标签: impersonation

准备在Windows 2003(web2)上使用Windows 2000(web1)迁移asp应用程序.在旧服务器上有一个共享文件的文件夹,用于导入和导出(\\web1 \文件夹).我想通过新服务器提供对相同文件夹访问asp-application的访问权限.配置IIS:允许匿名访问,包括检查窗口.池在网络服务下启动.但是没有访问权限.并且有一个有趣的事实:如果使用新服务器本地处理为http:// localhost,则可以访问(模拟工作),如果处理为http:// web2,则无法访问.错误:

Microsoft VBScript runtime error Error '800a0046 ' 

Permission denied

Run Code Online (Sandbox Code Playgroud)

我们改变了安全设置,本地IE 6 - 通过http:// web2获得,但在其他浏览器(如Opera)中不起作用.在其他机器上也不起作用.

从SysInternal放入实用程序procmon.它表明,在这两种情况下都是对资源的吸引力,在两种情况下都是模仿,都是相同的,但在一种情况下,SUCCESS和其他ACCESS DENIED.

此应用程序的整个安全系统基于NTFS的权限,因此您无法禁用模拟.

我是经典的asp新手.我无法理解这个案子.

我正在尝试用 C# 创建一个程序，该程序应该能够在其他人的 Outlook 日历中创建约会。我有代码可以在我自己的日历中创建约会。我在谷歌上搜索，我发现我应该使用模拟。所以我添加了这一行：

service.ImpersonatedUserId = new ImpersonatedUserId(ConnectingIdType.SmtpAddress, emailAddress);

这是我的代码：

private void button2_Click(object sender, EventArgs e) {
try{
    ExchangeService service = new ExchangeService();
    service.UseDefaultCredentials = true;   
    service.Credentials = new WebCredentials("Test@domain.com", "password");
    service.AutodiscoverUrl("Test@domain.com", adAutoDiscoCallBack);
    service.ImpersonatedUserId = new ImpersonatedUserId(ConnectingIdType.SmtpAddress, "Test2@domain.com");

    Appointment appointment = new Appointment(service);
    // Set the properties on the appointment object to create the appointment.
    appointment.Subject = "Tennis lesson";
    appointment.Body = "Focus on backhand this week.";
    appointment.Start = DateTime.Now.AddDays(2);
    appointment.End = appointment.Start.AddHours(1);
    appointment.Location = "Tennis club";
    appointment.ReminderDueBy = DateTime.Now; …

我读了很多关于 OIDC 和 OAuth2 的内容，我知道 id token 主要用于客户端了解用户是谁以及用户当前是否仍然在线。

此外，Id令牌可以防止一类冒充攻击[您可以在本文中找到更多详细信息]。

但如果 id 令牌被盗怎么办？攻击者可以使用 id 令牌来冒充用户吗？

在我们的项目中，除了OIDC之外，我们只确保https。我还应该采取哪些安全考虑来减轻假冒攻击？

我正在使用以下代码在ASP.net表单上动态写入excel文件,该表单可以将数据表保存为excel.

//Create Excel Object
Microsoft.Office.Interop.Excel.Application excel = new Microsoft.Office.Interop.Excel.Application();
Microsoft.Office.Interop.Excel.Workbook workbook = excel.Workbooks.Open(target);
Microsoft.Office.Interop.Excel.Worksheet worksheet = (Microsoft.Office.Interop.Excel.Worksheet)workbook.Worksheets[1];

worksheet.Name = "Worksheet1";
excel.Visible = false;
//Generate Fields Name
foreach (DataColumn col in dataTable.Columns)
{
    colIndex++;
    excel.Cells[1, colIndex] = col.ColumnName;
}
object[,] objData = new object[rowNo, columnNo];
for (int row = 0; row < rowNo; row++)
{
    for (int col = 0; col < columnNo; col++)
    {
        objData[row, col] = dataTable.Rows[row][col];
    }
}
Microsoft.Office.Interop.Excel.Range range;
range = worksheet.Range[excel.Cells[2, 1], excel.Cells[rowNo + 1, columnNo]]; …

试图解决这个问题，但到目前为止所有努力都是徒劳的。工作流程如下

作为 LocalSystem 运行的 Windows 服务使用CreateProcessAsUser(...)当前登录用户的令牌创建子项。

const auto session = WTSGetActiveConsoleSessionId();
auto result = WTSQueryUserToken(session, &token);

HANDLE primary;
result = DuplicateTokenEx(token,
    TOKEN_QUERY_SOURCE | TOKEN_ALL_ACCESS | TOKEN_IMPERSONATE |
    TOKEN_QUERY | TOKEN_DUPLICATE | TOKEN_ADJUST_PRIVILEGES,
    nullptr, SecurityImpersonation, TokenPrimary, &primary);

const auto args = std::to_string(reinterpret_cast<long>(access));
CreateProcessAsUser(primary,
                      const_cast<LPSTR>(command.c_str()), // module name
                      const_cast<LPSTR>(args.c_str()),    // Command line
                      nullptr, // Process handle not inheritable
                      nullptr, // Thread handle not inheritable
                      TRUE,    // Set handle inheritance to TRUE
                      0,       // No creation flags
                      nullptr, // Use parent's …

我一直在尝试使用 Keycloak Impersonation API（最近添加的）来获取另一个用户的访问令牌。我根据文档和另一个StackOverflow 问题创建了一个半成功的 CURL 请求。CURL 请求（下面）返回一个501 Not Implemented，我正在尝试解决这个问题。如果这是另一个错误，我会假设我做错了什么，但这似乎至少部分正确。

curl --verbose -X POST "http://localhost:8081/auth/realms/master/protocol/openid-connect/token" \
 -H "Content-Type: application/x-www-form-urlencoded" \
 --data-urlencode "grant_type=urn:ietf:params:oauth:grant-type:token-exchange" \
 -d "client_id=admin-cli" \
 -d "requested_subject={TARGET_USER_ID}" \
 -d "subject_token={USER_MANAGER_TOKEN}"

到目前为止，我的工作流程是获取 Keycloak 主域“admin”用户的访问令牌（成功）并在模拟请求中使用它，以及目标用户的 Keycloak ID。我做错了什么或错过了一步吗？

我没有更改任何 Keycloak 权限，这是必需的吗？

根据我的理解和文档，目前在Keycloak v5 - Sever Installation 中默认支持和启用模拟。然而，另一篇文章（Keycloak v5 - Token Exchange）似乎表明该功能默认是禁用的；这可能是我得到的原因501 Not Implemented吗？

编辑： @qdivision 提到需要启用令牌交换才能使其工作。但是，我们正在使用jboss/keycloakDocker 映像，我想知道应该在哪里添加profile.properties文件以启用此功能？