在Windows XP上通过Kerberos进行WCF身份验证

Question

我有一个.NETWCF客户端与Java服务器组件进行对话。服务器端身份验证通过配置为反向代理的中间Apache服务器完成。

NET客户端的配置如下：

<basicHttpBinding>
    <binding name="AdministrationServiceImplServiceSoapBinding">
          <security mode="TransportCredentialOnly">
            <transport clientCredentialType="Windows" proxyCredentialType="Windows" />
          </security>
    </binding>
</basicHttpBinding>

Apache配置为需要Kerveros身份验证：

<LocationMatch "^...$">
  AuthType Kerberos
  Krb5Keytab ...
  KrbServiceName HTTP/hostname
  KrbMethodNegotiate on
  KrbMethodK5Passwd off
  Require valid-user
  Satisfy All
</LocationMatch>

如果我在Windows 7上启动我的应用程序，一切都按预期工作：. NET客户端使用Kerberos，Apache验证客户端，我可以使用Spring Security性访问客户端凭据。

如果我在Windows XP上启动应用程序，我会收到HTTP 401错误消息。在观看了使用WireShark的网络通信后，我看到了这种情况：

（1） 首次尝试在没有身份验证的情况下访问web服务

POST <path> HTTP/1.1
Content-Type: text/xml; charset=utf-8
SOAPAction: ""
Host: <host>
Content-Length: 374
Expect: 100-continue
Connection: Keep-Alive

（2） 100继续从服务器回复

HTTP/1.1 100 Continue

（3） 来自客户端的SOAP请求（仍未经验证）

（4）服务器给出401响应

HTTP/1.1 401 Authorization Required
Server: Apache
WWW-Authenticate: Negotiate

（5） 客户端尝试使用NTLM进行身份验证

POST <path> HTTP/1.1
Content-Type: text/xml; charset=utf-8
SOAPAction: ""
Authorization: Negotiate TlRMTVNTUAABAAAAt4IY4gAAAAAAAAAAAAAAAAAAAAAFASgKAAAADw==
Host: <host>
Content-Length: 0

（6） 401来自服务器的消息（我们这里不讲NTLM！）

HTTP/1.1 401 Authorization Required

（7）客户放弃

当我从客户端解码Base64协商头时，它以NTLMSSP\x00开头，指示客户端希望进行NTLM身份验证，尽管配置文件为自动身份验证指定了“Windows”（又称Kerberos）。

在客户端，我能做些什么来说服.NET使用Kerberos吗？如果没有，我的Apache应该返回什么以便客户端知道它应该使用Kerberos？

Answer 1

Windows没有为Kerberos安全的服务使用正确的服务主体名称（SPN）：使用Kerberos时，Windows应该在活动目录中查找SPNHTTP/$serverame。

错误的一个可能原因是服务的SPN不存在，必须创建（c.f.Kerberos身份验证问题-服务主体名称（SPN）问题-第3部分）。然而，在我的设置中，SPN确实存在，但不知何故Windows没有检索到它们）。我使用KerbTray验证了Windows实际上不包含HTTP/$servername的Kerberos票据。

解决方案是在WCF客户端配置中明确定义SPN。

<endpoint address="http://$servername/Service" />

成了

<endpoint address="http://$servername/Service" />
  <identity>
    <servicePrincipalName value="HTTP/$servername" />
  </identity>
</endpoint>