专栏首页大内老A[WCF权限控制]模拟(Impersonation)与委托(Delegation)[上篇]

[WCF权限控制]模拟(Impersonation)与委托(Delegation)[上篇]

由于服务操作是在寄宿进程中执行,在默认的情况下,服务操作是否具有足够的权限访问某个资源(比如文件)决定于执行寄宿进程Windows帐号的权限设置,而与作为客户端的Windows帐号无关。在有多情况下,我们希望服务操作执行在基于客户端的安全上下文中执行,以解决执行服务进行的帐号权限不足的问题。这就涉及到一个重要的话题——模拟(Impersonation)与委托(Delegation)[实例程序源代码从这里下载]

目录: 一、从访问令牌(Access Token)说起 二、再谈WindowsIdentity 三、实例演示:通过身份模拟的方式读取文件

一、从访问令牌(Access Token)说起

当我们以某个Windows帐号的名义成功登录Windows的时候,操作系统会创建一个访问令牌(Access Token)。访问令牌不仅仅包括登录用户身份相关信息,还包括该用户具有的权限信息,比如ACL(Access Control List)。当我们开启某个进程的时候,该访问令牌会自动附加到该进程上,作为其安全上下文重要的组成部分。我们也可以将访问令牌作为进程或者线程安全描述符的封装。Windows下的访问令牌主要具有如下两种形式。

  • 主令牌(Primary Token):每一个进程都具有一个唯一的主令牌,进行通过主令牌被开启;
  • 模拟令牌(Impersonation Token):在默认的情况下,当线程被开启的时候,所在进程的主令牌会自动附加到当前线程上,作为线程的安全上下文。而线程可以运行在另一个非主令牌的访问令牌下执行,而这个令牌被称为模拟令牌。而指定线程的模拟令牌的过程被称为模拟。

我们可以调用Win32函数LogonUser,通过输入Windows帐号、密码、域名以及认证相关信息创建一个访问令牌。LogonUser被调用的时候,会试图进行基于本机的登陆操作。访问令牌会在认证成功认证的情况下被创建并返回。LogonUser的定义如下,输入参数依次代表的含义分别是用户名、域名(可选参数)、密码(明文)、登录类型和登录提供者。而创建的访问令牌以输出操作的形式返回。关于LogonUser函数的详细说明,可以参考MSDN在线文档。

   1: BOOL LogonUser(
   2:   __in      LPTSTR lpszUsername,
   3:   __in_opt  LPTSTR lpszDomain,
   4:   __in      LPTSTR lpszPassword,
   5:   __in      DWORD dwLogonType,
   6:   __in      DWORD dwLogonProvider,
   7:   __out     PHANDLE phToken
   8: );

当我们进行模拟而试图创建一个模拟令牌的时候,我们需要使用到另外一个重要的Win32函数DuplicateToken。顾名思义,该函数通过一个现有的令牌来“复制”一个新的令牌。DuplicateToken函数的定义如下面的代码片断所示。

   1: BOOL WINAPI DuplicateToken(
   2:   __in   HANDLE ExistingTokenHandle,
   3:   __in   SECURITY_IMPERSONATION_LEVEL ImpersonationLevel,
   4:   __out  PHANDLE DuplicateTokenHandle
   5: );

从上面给出的DuplicateToken函数的定义我们可以看出:除了传入现有的访问令牌作为输入参数之外,还具有一个表示模拟级别的ImpersonationLevel的参数。模拟级别是一个非常重要的概念,它表示被复制的模拟令牌可以被使用的程度和访问。模拟等级通过如下所示的SECURITY_IMPERSONATION_LEVEL枚举表示。

   1: typedef enum _SECURITY_IMPERSONATION_LEVEL {
   2:   SecurityAnonymous,
   3:   SecurityIdentification,
   4:   SecurityImpersonation,
   5:   SecurityDelegation 
   6: } SECURITY_IMPERSONATION_LEVEL, *PSECURITY_IMPERSONATION_LEVEL;

四个枚举项,SecurityAnonymous、SecurityIdentification、SecurityImpersonation和SecurityDelegation分别代表如下四种模拟的等级。

  • 匿名(Anonymous):无法获取有关客户端的标识信息,且无法模拟客户端;
  • 识别(Identification):可以获取有关客户端的信息(如安全标识符和特权),但是无法模拟客户端;
  • 模拟(Impersonation):可以在本地模拟客户端的安全上下文。,但无法在远程系统上模拟客户端;
  • 委托(Delegation):可以在本地和远程系统上模拟客户端的安全上下文。

对于模拟级别,对于托管代码的应用编程接口中也具有一个匹配的枚举TokenImpersonationLevel。如下面的代码片断所示,除了上述的四个对应于具体模拟级别的枚举项之外,TokenImpersonationLevel还有一个额外的枚举值None,表示具体的模拟级别上为指定。

   1: public enum TokenImpersonationLevel
   2: {
   3:     None,
   4:     Anonymous,
   5:     Identification,
   6:     Impersonation,
   7:     Delegation
   8: }

二、 再谈WindowsIdentity

关于模拟在托管代码的实现,我们不得不提我们之前已经介绍过的类型WindowsIdentity。从某种意义上讲,一个WindowsIdentity对象可以看成是对一个访问令牌的封装。WindowsIdentity直接为我们提供了模拟的功能。从下面给出的WindowsIdentity部分成员定义可以看到,它具有一个IntPtr类型的只读属性Token,实际上代表的就是我们上面介绍的访问令牌。而我们可以通过直接指定这个访问令牌创建一个WindowsIdentity对象。ImpersonationLevel表示访问令牌的模拟级别。

   1: public class WindowsIdentity : IIdentity,...
   2: {
   3:     //其他成员
   4:     public WindowsIdentity(IntPtr userToken);
   5:     public virtual IntPtr Token { get; }
   6:     public TokenImpersonationLevel ImpersonationLevel { get; }
   7:  
   8:     
   9:     public virtual WindowsImpersonationContext Impersonate();
  10:     public static WindowsImpersonationContext Impersonate(IntPtr userToken);
  11: }

对应一个现有的WindowsIdentity对象,只要其访问令牌的模拟级别为Impersonation或者Delegation,我们就能调用Impersonate方法模拟这个身份。此外WindowsIdentity还提供了静态的Impersonate是我们可以直接根绝一个访问令牌实施身份模式。一旦Impersonate方法被调用,基于被模拟身份的安全上下文会自动附加到当前线程。Impersonate方法返回的是一个WindowsImpersonationContext对象。如果需要将安全上下文恢复到模拟之前的状态,可以调用WindowsImpersonationContext的Undo方法。而WindowsImpersonationContext实现了IDisposable接口,Undo方法实际上也会在Dispose方法中被调用。WindowsImpersonationContext定义如下。

   1: public class WindowsImpersonationContext : IDisposable
   2: {    
   3:     public void Dispose();
   4:     public void Undo();
   5: }

一般来说,只有某些特殊的操作(比如访问一个受权限控制的文件)才需要在被模拟的身份下执行。当这些操作执行完毕或者在执行过程中抛出异常,我们都需要恢复线程安全上下文到被模式之前的状态。所以正确的模拟编程应该采用如下的方式。

   1: WindowsImpersonationContext impersonationContext = identity.Impersonate();
   2: try
   3: {
   4:     //在模拟身份下执行的操作
   5: }
   6: catch (Exception ex)
   7: {
   8:     //异常处理
   9: }
  10: finally
  11: {
  12:     impersonationContext.Undo();
  13: }

或者

   1: using (WindowsImpersonationContext impersonationContext = identity.Impersonate())
   2: { 
   3:    //在模拟身份下执行的操作     
   4: }

有一点需要注意的是:无论WindowsIdentity对象的模拟级别是什么,调用Impersonate方法都不会抛出异常。但是,只有当模拟级别为Imperation或者Delegation的情况下,采用真正使用被模拟的身份进行安全资源的访问。

三、实例演示:通过身份模拟的方式读取文件

为了让读者对身份模式的作用和实现具有一个深刻的认识,我们来演示一个简单的实例。在这个实例中,我们将通过ACL设置一个文件的读取权限,然后演示针对不同Windows帐号进行模拟的情况下,是否能够正常读取该文件。

我们需要创建了两个本机的Windows帐户Foo和Bar(密码为Password)。然后你在某个公共的目录下(比如D:\盘)创建一个简单的文本(比如impersonationTest.txt)。然后赋予帐号Foo对该文件的读取权限,但拒绝帐号Bar读取该文件。

然后我们创建一个简单的控制台应用作为演示程序。在默认创建的Program类中,定义如下一个CreateWindowsIdentity静态方法。该方法通过输入用户名、密码和模拟级别创建相应的WindowsIdentity。在CreateWindowsIdentity方法内部实际上是直接调用了上面介绍的两个Win32函数LogonUser和DuplicateToken。

   1: class Program
   2: {
   3:     //其他成员
   4:     public const int LOGON32_PROVIDER_DEFAULT = 0;
   5:     public const int LOGON32_LOGON_INTERACTIVE = 2;
   6:  
   7:     [DllImport("advapi32.dll", SetLastError = true)]
   8: public static extern bool LogonUser(string userName, string domainName, string password, int logonType, int loggonProvider, ref IntPtr token);
   9:  
  10:     [DllImport("advapi32.dll", CharSet = CharSet.Auto, SetLastError = true)]
  11: public extern static bool DuplicateToken(IntPtr existingToken, int imperonationLevel, ref IntPtr newToken);
  12:  
  13:     public static WindowsIdentity CreateWindowsIdentity(string userName, string password, TokenImpersonationLevel tokenImpersonationLevel)
  14:     {
  15:         IntPtr token = IntPtr.Zero;
  16:         IntPtr duplicateToken = IntPtr.Zero;
  17:         if (LogonUser(userName, string.Empty, password, LOGON32_LOGON_INTERACTIVE, LOGON32_PROVIDER_DEFAULT, ref token))
  18:         {
  19:             int impersonationLevel;
  20:             switch (tokenImpersonationLevel)
  21:             {
  22:                 case TokenImpersonationLevel.Anonymous:
  23:                     { impersonationLevel = 0; break; }
  24:                 case TokenImpersonationLevel.Impersonation:
  25:                     { impersonationLevel = 2; break; }
  26:                 case TokenImpersonationLevel.Delegation:
  27:                     { impersonationLevel = 3; break; }
  28:                 default:
  29:                     { impersonationLevel = 1; break; }
  30:             }
  31:             if (DuplicateToken(token, impersonationLevel, ref duplicateToken))
  32:             {
  33:                 return new WindowsIdentity(duplicateToken);
  34:             }
  35:             else
  36:             {
  37:                 throw new InvalidOperationException(string.Format("创建模拟令牌失败 (错误代码: {0}) ", Marshal.GetLastWin32Error()));
  38:             }
  39:         }
  40:         else
  41:         {
  42:             throw new InvalidOperationException(string.Format("用户登录失败 (错误代码: {0}) ", Marshal.GetLastWin32Error()));
  43:         }
  44:     }        
  45: }

然后我们定义如下一个静态的ReadFile方法。在这个方法中,我们根据传入的用户名和密码调用上述的CreateWindowsIdentity方法创建相应的WindowsIdentity。然后模拟该用户进行文件的读取。在成功读取和抛出异常的情况下分别输出相应的指示性文字。在Main方法中,分别传入传入账号Foo和Bar以及相应的密码对该方法进行调用。从输出的结果可以看出,在模拟帐号Foo时,文件被成功读取,而在模拟帐号Bar的时候却失败了。这和测试文件的ACL设置时一致的。

   1: public static void ReadFile(string userName, string password)
   2: {
   3:     try
   4:     {
   5:         WindowsIdentity identity = CreateWindowsIdentity(userName, password, TokenImpersonationLevel.Impersonation);
   6:         using (WindowsImpersonationContext context = identity.Impersonate())
   7:         {
   8:             Console.WriteLine("当前用为:{0}", WindowsIdentity.GetCurrent().Name);
   9:             File.ReadAllText("D:\\impersonationTest.txt");
  10:             Console.WriteLine("成功读取文件内容...");
  11:         }
  12:     }
  13:     catch
  14:     {
  15:         Console.WriteLine("读取文件失败...");
  16:     }
  17: }
  18: static void Main(string[] args)
  19: {
  20:     ReadFile("Foo", "Password");
  21:     ReadFile("Bar", "Password");
  22: }

输出结果(Jinnan-PC为我本机的机器名):

   1: 当前用户为:Jinnan-PC\Foo
   2: 成功读取文件内容...
   3: 当前用户为:Jinnan-PC\Bar
   4: 读取文件失败...

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 模拟在WCF中的应用

    在《模拟(Impersonation)与委托(Delegation)》一文中,我们对模拟和委托这两个概念以及相关编程实现进行了详细说明。如果将模拟使用在WCF上...

    蒋金楠
  • Enterprise Library Policy Injection Application Block 之四:如何控制CallHandler的执行顺序

    一、为什么CallHandler需要进行排序 PIAB为我们提供了一个很好地实现AOP的方式。AOP旨在实现Business Logic和Non-Busines...

    蒋金楠
  • [WCF-Discovery]让服务自动发送上/下线通知[实例篇]

    在《原理篇》我们对客户端如何监听通知,以及服务在上下线时如何发送通知从原理上进行了深入地剖析。我们现在通过一个简单的实例演示如何通过ServiceDiscove...

    蒋金楠
  • 仿真新人必须要知道的事情之,如何在仿真中做好工程作业

    模拟在整个行业中无处不在,但并不总是如此。最初作为航空航天和汽车行业的工具,现在正在世界各地产生一项工程工作。“你可以得到一份模拟干衣机、冰箱甚至外科设备的工程...

    开物小编
  • 仿真新人必须要知道的事情之,如何在仿真中做好工程作业

    埃根斯皮勒补充道:“公司告诉我们,他们在招聘的工程师中寻找两样东西。”“他们做了什么吗?他们有什么特殊的技能吗?”

    开物小编
  • 【全栈修炼】396- OAuth2 修炼宝典

    严格来说,OAuth2 不是一个标准协议,而是一个安全的授权框架。其详细描述系统中不同角色,用户,服务前端应用(如 API )以及客户端(如网站或APP)之间如...

    pingan8787
  • Response私人订制

    STEP-2: 参照Templates中的样例,拷贝和添加新的返回状态码,以添加504状态码为例;

    用户5521279
  • 如何优雅的构建排序公式

    最近的一个项目中的需求要对一堆元素进行排序,排序的依据是元素在页面上面的坐标位置,然后按照顺序给所有元素一个编号。如下图所示:

    用户3158888
  • 光流法详解之一(LK光流)

    Lucas–Kanade光流算法是一种两帧差分的光流估计算法。它由Bruce D. Lucas 和 Takeo Kanade提出 [1]。

    一棹烟波
  • 中国工业机器人何时能痛定思痛?

    ---- 2013年中国已成为全球最大的工业机器人消费国。根据中国机器人联盟的数据,2014年中国工业机器人销量达4.5万台,并预测到2017年可能达到10万...

    机器人网

扫码关注云+社区

领取腾讯云代金券