Невозможно пройти аутентификацию в службе веб-API ASP.NET с помощью HttpClient

Я исследовал исходный код HttpClientHandler (последняя версия, которую мне удалось достать), и вот что можно найти в методе SendAsync:

// BeginGetResponse/BeginGetRequestStream have a lot of setup work to do before becoming async
// (proxy, dns, connection pooling, etc).  Run these on a separate thread.
// Do not provide a cancellation token; if this helper task could be canceled before starting then 
// nobody would complete the tcs.
Task.Factory.StartNew(startRequest, state);

Теперь, если вы проверите в своем коде значение SecurityContext.IsWindowsIdentityFlowSuppressed (), вы, скорее всего, получите истинное значение. В результате метод StartRequest выполняется в новом потоке с учетными данными процесса asp.net (не учетными данными олицетворенного пользователя).

Из этого есть два возможных выхода. Если у вас есть доступ к вашему серверу aspnet_config.config, вы должны установить следующие параметры (установка их в web.config, похоже, не имеет никакого эффекта):

<legacyImpersonationPolicy enabled="false"/>
<alwaysFlowImpersonationPolicy enabled="true"/>

Если вы не можете изменить aspnet_config.config, вам придется создать свой собственный HttpClientHandler для поддержки этого сценария.

ОБНОВЛЕНИЕ ОТНОСИТЕЛЬНО ИСПОЛЬЗОВАНИЯ FQDN

Проблема, с которой вы столкнулись, - это функция в Windows, которая предназначена для защиты от «атак отражения». Чтобы обойти это, вам необходимо внести в белый список домен, к которому вы пытаетесь получить доступ на машине, которая пытается получить доступ к серверу. Выполните следующие шаги:

1. Зайдите в Пуск -> Выполнить -> regedit
2. Найдите HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 раздел реестра.
3. Щелкните его правой кнопкой мыши, выберите Создать, а затем Многострочное значение.
4. Введите BackConnectionHostNames (ENTER).
5. Щелкните правой кнопкой мыши только что созданное значение и выберите Изменить.
6. Поместите имена хостов для сайтов, которые находятся на локальном компьютере, в поле значения и нажмите OK (каждое имя хоста / полное доменное имя должно быть в отдельной строке, без подстановочных знаков, имя должно быть точным совпадением).
7. Сохраните все и перезапустите машину

Вы можете прочитать полную статью базы знаний об этой проблеме здесь.

У меня тоже была такая же проблема. Благодаря исследованиям, проведенным @tpeczek, я разработал следующее решение: вместо использования HttpClient (который создает потоки и отправляет запросы асинхронно) я использовал класс WebClient, который выдает запросы в том же потоке. Это позволяет мне передать удостоверение пользователя в WebAPI из другого приложения ASP.NET.

Очевидным недостатком является то, что это не будет работать асинхронно.

var wi = (WindowsIdentity)HttpContext.User.Identity;

var wic = wi.Impersonate();
try
{
    var data = JsonConvert.SerializeObject(new
    {
        Property1 = 1,
        Property2 = "blah"
    });

    using (var client = new WebClient { UseDefaultCredentials = true })
    {
        client.Headers.Add(HttpRequestHeader.ContentType, "application/json; charset=utf-8");
        client.UploadData("http://url/api/controller", "POST", Encoding.UTF8.GetBytes(data));
    }
}
catch (Exception exc)
{
    // handle exception
}
finally
{
    wic.Undo();
}

Примечание. Требуется пакет NuGet: Newtonsoft.Json, который является тем же сериализатором JSON, который использует WebAPI.

Причина, по которой это не работает, заключается в том, что вам нужна двухэтапная аутентификация.

Первый прыжок - это веб-сервер, и для работы олицетворения с проверкой подлинности Windows проблем нет. Но при использовании HttpClient или WebClient для аутентификации вас на другом сервере веб-сервер должен работать с учетной записью, имеющей разрешение на выполнение необходимого делегирования.

Для получения дополнительных сведений см. Следующее:
http://blogs.technet.com/b/askds/archive/2008/06/13/understanding-kerberos-double-hop.aspx

Исправьте с помощью команды "setspn":
http://www.phishthis.com/2009/10/24/how-to-configure-ad-sql-and-iis-for-two-hop-kerberos-authentication-2/ (Для выполнения этих операций вам потребуются достаточные права доступа.)

Просто подумайте, что произойдет, если любому серверу будет разрешено пересылать ваши учетные данные по своему усмотрению ... Чтобы избежать этой проблемы безопасности, контроллеру домена необходимо знать, каким учетным записям разрешено выполнять делегирование.

Чтобы олицетворять исходного (аутентифицированного) пользователя, используйте следующую конфигурацию в файле Web.config:

<authentication mode="Windows" />
<identity impersonate="true" />

В этой конфигурации ASP.NET всегда олицетворяет аутентифицированного пользователя, и весь доступ к ресурсам осуществляется с использованием контекста безопасности аутентифицированного пользователя.