Повышение привилегий в веб-приложении MVC3 с проверкой подлинности Windows

Вы можете поставить якорь где-нибудь на своем сайте:

@Html.ActionLink("elevate to admin", "SwitchToAdmin", "Home")

а затем выполните действие контроллера, которое позволит вводить учетные данные администратора:

public ActionResult SwitchToAdmin()
{
    // TODO: Adjust the role name that your administrators will have
    if (!User.IsInRole(@"DOMAIN\Administrators"))
    {
        // The user is not currently an admin => popup a Logon box
        // so that the administrator could authenticate himself
        return new HttpUnauthorizedResult();
    }
    else
    {
        // After inputting the correct username and password for the
        // admin, we can now redirect to the home action and start performing
        // the admin tasks
        return RedirectToAction("index", "home");
    }
}

Процесс возврата будет обратным. У вас может быть ссылка, которая вызовет действие контроллера, которое выдаст 401, если пользователь является администратором, позволяя обычному пользователю ввести свое имя пользователя и пароль.

Разрешить «опытному пользователю» временно установить определенную роль для других пользователей и, например, установить срок действия роли с помощью DateTime.

Чтобы использовать аутентификацию Windows для этого, я думаю, вам понадобится:

• Команда запускается от имени
• Ярлык на рабочем столе пользователя для запуска другого входа в систему
• Либо пакетный сценарий для запроса информации для входа пользователя, либо отдельная настольная программа для сбора информации (ярлык указывает на то, что вы выберете)
• как только информация для командной строки run as будет готова, вы можете либо запустить браузер, либо пользовательскую программу со встроенным браузером.

Преимущество программы со встроенным браузерным подходом заключается в том, что она может иметь дополнительные меры безопасности, такие как принудительное закрытие после тайм-аута.

Во всяком случае, это одно из возможных решений. Вы также можете попытаться придумать менее сложный способ решения бизнес-задачи. Возможно, сеанс удаленного рабочего стола для администратора?

Эквивалентом команды запуска от имени является использование олицетворения пользователя. Это запуск команд, требующих более высоких привилегий от имени другого пользователя. Это должно работать следующим образом: 1) Пользователь пытается получить доступ к привилегированным ресурсам. Веб-приложение обнаруживает это либо потому, что у него есть своего рода таблица всех задач, требующих более высоких привилегий, либо путем перехвата исключения безопасности, которое оно получает при попытке выполнить операцию. 2) Когда это обнаружено, вы выдаете «RequiresPrivilegesElevationException» (исключение, которое вы должны определить). Это исключение я поймал контроллером, который теперь знает, что он должен запрашивать у пользователя более высокие привилегии 3) контроллер запрашивает у пользователя пароль администратора (или пароль пользователя с более высокими привилегиями) 4) когда пользователь отправляет учетные данные (через https) учетные данные используется для создания контекста олицетворения, и все операции выполняются в этом контексте олицетворения.

Недостатком этого подхода является то, что учетные данные и повышение привилегий действуют только для одного обращения к серверу... для любого другого запроса пользователь вынужден повторно вводить учетные данные. НЕТ БЕЗОПАСНОГО СПОСОБА ИЗБЕЖАТЬ ЭТОГО из-за ограничений браузера безопасности