Web Parts, Impersonate and Security Policy, Part 1

Web Parts, Impersonate and Security Policy

Part 1

Written by: Rickie Lee (rickieleemail at yahoo.com)

在开发某些Web Parts的时候，需要访问一些对象或数据。因为SPS进行严格的安全访问控制，有些用户授权实现这些操作，但是其他用户则没有授权，同时也不可能授予这些权限给所有人。

在这种情况下，当用户不具有权限去执行这些操作时，SPS将让IE弹出login窗口，让用户输入credentials凭据。为了避免这种不友好的间断，使用户平滑访问特权操作和资源，需要实现定制的impersonation方案。这样，执行这些操作的代码需要在合适的account帐户环境下，该帐户授权执行必要的操作。并且在这些操作执行完成后，用户的帐户需要返回至原来的domain帐户。

如下的示例代码（C#）用来显式创建System.Security.Principal.WindowsIdentity实例对象，标识新的account：

protected static WindowsIdentity CreateIdentity(string User, string Domain, string Password)

{

// The Windows NT user token.

IntPtr tokenHandle = new IntPtr(0);

const int LOGON32_PROVIDER_DEFAULT = 0;

const int LOGON32_LOGON_NETWORK = 3;

// Initialize token object

tokenHandle = IntPtr.Zero;

// Call LogonUser to obtain a handle to an access token.

bool returnValue = LogonUser(User, Domain, Password,

LOGON32_LOGON_NETWORK, LOGON32_PROVIDER_DEFAULT,

ref tokenHandle);

// Check for failure

if (false == returnValue)

{

int ret = Marshal.GetLastWin32Error();

throw new Exception("LogonUser failed with error code: " + ret);

}

System.Diagnostics.Debug.WriteLine("Created user token: " + tokenHandle);

//The WindowsIdentity class makes a new copy of the token.

//It also handles calling CloseHandle for the copy.

WindowsIdentity id = new WindowsIdentity(tokenHandle);

CloseHandle(tokenHandle);

return id;

}

[DllImport("advapi32.dll", SetLastError=true)]

private static extern bool LogonUser(String lpszUsername, String lpszDomain, String lpszPassword,

int dwLogonType, int dwLogonProvider, ref IntPtr phToken);

[DllImport("kernel32.dll", CharSet=CharSet.Auto)]

private extern static bool CloseHandle(IntPtr handle);

Web Parts调用示例代码：

// Assign new account information

string strUID = "Rickie";

string strPassword = "rickieleemail at yahoo.com";

string strDomain = "Your_Domain_Name";

// Change the context

WindowsIdentity objIdentity = CreateIdentity(strUID, strDomain, strPassword);

objContext = objIdentity.Impersonate();

// Perform actions that require higher permission level

......

// Tear down context

objContext.Undo();

首先调用CreateIdentity()方法，创建System.Security.Principal.WindowsIdentity实例对象，该account具有合适的访问权限。然后调用WindowsIdentity对象的Impersonate()方法，开始扮演（impersonate）新的windows identity，执行需要特权的方法或资源。完成上述操作后，停止impersonate并返回到用户原来的身份（account）。