如何在没有用户密码的情况下获取 Alfresco 登录票证，但使用用户主体名称 (UPN) 模拟用户

我正在编写一个 DLL，它具有无需使用用户密码、仅使用用户主体名称 (UPN) 即可获取 Alfresco 登录票证的功能。我正在调用露天 REST API 服务/wc服务。我在 Alfresco 中使用 NTLM。

我冒充用户使用WindowsIdentity构造函数如此处解释http://msdn.microsoft.com/en-us/library/ms998351.aspx#paght000023_impersonatingbyusingwindowsidentity http://msdn.microsoft.com/en-us/library/ms998351.aspx#paght000023_impersonatingbyusingwindowsidentity。我检查过并且用户被正确模拟（我检查过WindowsIdentity.GetCurrent().Name财产）。

冒充用户后，我尝试制作HttpWebRequest并设置其凭据CredentialsCache.DefaultNetworkCredentials。我收到错误：

The remote server returned an error: (401) Unauthorized.
   at System.Net.HttpWebRequest.GetResponse()

当我使用new NetworkCredential("username", "P@ssw0rd")要设置请求凭据，我获得了 Alfresco 登录票证（HttpStatusCode.OK, 200).

有什么方法可以在没有用户密码的情况下获得 Alfresco 登录票吗？

这是我正在使用的代码：

private string GetTicket(string UPN) {
 WindowsIdentity identity = new WindowsIdentity(UPN);
 WindowsImpersonationContext context = null;

 try {
  context = identity.Impersonate();

  MakeWebRequest();
 }
 catch (Exception e) {
  return e.Message + Environment.NewLine + e.StackTrace;
 }
 finally {
  if (context != null) {
   context.Undo();
  }
 }
}

private string MakeWebRequest() {
 string URI = "http://alfrescoserver/alfresco/wcservice/mg/util/login";


 HttpWebRequest request = WebRequest.Create(URI) as HttpWebRequest;

 request.CookieContainer = new CookieContainer(1);

 //request.Credentials = new NetworkCredential("username", "p@ssw0rd"); // It works with this
 request.Credentials = CredentialCache.DefaultNetworkCredentials;  // It doesn’t work with this
 //request.Credentials = CredentialCache.DefaultCredentials;    // It doesn’t work with this either

 try {
  using (HttpWebResponse response = request.GetResponse() as HttpWebResponse) {
   StreamReader sr = new StreamReader(response.GetResponseStream());

   return sr.ReadToEnd();
  }
 }
 catch (Exception e) {
  return (e.Message + Environment.NewLine + e.StackTrace);
 }
}

以下是来自 Alfresco stdout.log 的记录（如果有任何帮助的话）：

17:18:04,550  DEBUG [app.servlet.NTLMAuthenticationFilter] Processing request: /alfresco/wcservice/mg/util/login SID:7453F7BD4FD2E6A61AD40A31A37733A5
17:18:04,550  DEBUG [web.scripts.DeclarativeRegistry] Web Script index lookup for uri /mg/util/login took 0.526239ms
17:18:04,550  DEBUG [app.servlet.NTLMAuthenticationFilter] New NTLM auth request from 10.**.**.** (10.**.**.**:1229)
17:18:04,566  DEBUG [app.servlet.NTLMAuthenticationFilter] Processing request: /alfresco/wcservice/mg/util/login SID:7453F7BD4FD2E6A61AD40A31A37733A5
17:18:04,566  DEBUG [web.scripts.DeclarativeRegistry] Web Script index lookup for uri /mg/util/login took 0.400909ms
17:18:04,566  DEBUG [app.servlet.NTLMAuthenticationFilter] Received type1 [Type1:0xe20882b7,Domain:<NotSet>,Wks:<NotSet>]
17:18:04,566  DEBUG [app.servlet.NTLMAuthenticationFilter] Client domain null
17:18:04,675  DEBUG [app.servlet.NTLMAuthenticationFilter] Sending NTLM type2 to client - [Type2:0x80000283,Target:AlfrescoServerA,Ch:197e2631cc3f9e0a]

我已经解决了问题！

我相信我们有一个双跳问题 http://blogs.msdn.com/b/knowledgecast/archive/2007/01/31/the-double-hop-problem.aspx.

为了解决这个问题必须这样做：

1. 运行我的 DLL 的用户必须是Windows Server 2003 域 用户
2. 使用我的 DLL 的服务必须有 挂号的服务主体名称在 具有以下用户的域控制器 运行它（运行我的 DLL 的用户）
3. 运行我的 DLL 的用户不得有帐号敏感，不能 委托的在域中选择的选项 控制器
4. 运行我的 DLL 的用户必须有信任此用户以委派给 任何服务（仅限 Kerberos） or 相信 该用户委托给 仅限指定服务选项 在域控制器中选择（如果 用户在 Windows Server 2003 中 该选项的功能域是 仅当您注册时可用 服务主体名称与此 用户）
5. 运行我的 DLL 的用户必须有TrustedToAuthForDelegation用户帐户控制 (UAC) 设置为 true
6. 运行使用的服务的计算机 我的DLL必须有信任计算机 委托给任何服务（Kerberos 仅有的） or 信任计算机 委托给指定的服务 仅有的在域中选择的选项 控制器

这一切（以及更多）都在 Microsoft 文档中进行了解释。它包含了：

• Active Directory 清单，
• 客户申请清单，
• 中间层清单，
• 后端检查表

plus

• 常见的配置示例 场景。

Setting TrustedToAuthForDelegation用户帐户控制 (UAC) 是通过 Active Directory cmdlet 在 PowerShell 中完成的here http://technet.microsoft.com/en-us/library/ee617249.aspx.

您可以阅读更多有关ASP.NET 2.0 中的 Windows 身份验证 http://msdn.microsoft.com/en-us/library/ff647076.aspx.

当然，Alfresco 必须启用 Kerberos 登录。