.NET中Oracle.ManagedDataAccess是否支持AD域认证_配置Credential参数-Oracle-PHP中文网

oraclecredential 不支持 active directory 域认证，因其仅封装用户名/密码，不集成 windows 安全上下文或 kerberos；ad 认证需通过外部身份验证（如 sqlnet.ora 配置 kerberos5 并使用 uid=/），此时 credential 属性必须为空。

不支持直接通过 credential 属性实现 active directory 域认证（即 windows 集成认证）。 oracle.manageddataaccess.client 的 oraclecredential 类型仅封装用户名/密码凭据，不接受 kerberos 票据、windows security context 或 ad 域令牌。它本质上是纯密码式认证的抽象层，与 .net 的 system.security.principal.windowsidentity 无集成路径。

为什么 `Credential` 属性无法用于 AD 认证

该属性设计目标明确：仅用于显式传递 username + password 组合（或加密后的等价物），底层仍走 Oracle 的传统密码验证流程。即使你构造一个 OracleCredential 实例并赋值给 Credential，驱动仍会将其序列化为连接字符串中的 User Id=xxx;Password=yyy 形式发送——这与 AD 认证所需的 SSPI/Kerberos 协商机制完全无关。

Credential 属性在连接打开后不可修改，且一旦连接字符串中已含 User Id 或 Password，再设该属性会抛 InvalidOperationException
Oracle.ManagedDataAccess 不读取 Windows 当前登录上下文，也不调用 AcquireCredentialsHandle 或 InitializeSecurityContext
其内部未链接到 Windows SSPI 接口，也未提供类似 SQL Server 的 Integrated Security=true 开关

AD 认证在 Oracle.ManagedDataAccess 中的可行路径

若你确实需要从 .NET 应用连接 Oracle 并使用 AD 身份（例如通过 Kerberos），唯一受支持的方式是启用 Oracle 的 外部身份验证（External Authentication），并依赖 Oracle 客户端底层（如 sqlnet.ora 配置）完成 Kerberos 协商——此时应用层无需、也不能操作 Credential 属性。

Accessibility Review

对设计或页面进行 WCAG 2.1 AA 无障碍审计。触发关键词：“audit accessibility”、 “check a11y”、 “is this accessible?” 或在审查设计时使用。

下载

连接字符串中必须省略 User Id 和 Password，改用 Uid=/（注意斜杠）表示外部认证
确保客户端机器已正确配置 Kerberos：有有效的 krb5.conf（Linux/macOS）或注册表/环境变量（Windows），且已获取 TGT（kinit 或 Windows 自动票据）
Oracle 客户端的 sqlnet.ora 必须包含：SQLNET.AUTHENTICATION_SERVICES = (KERBEROS5)；禁用 (NTS)（NTS 是 Windows 本地安全机构，非 AD 域）
数据库端需配置 REMOTE_OS_AUTHENT=FALSE、OS_AUTHENT_PREFIX=""，并创建对应外部用户：CREATE USER ops$alice IDENTIFIED EXTERNALLY;

常见错误现象与绕过陷阱

试图强行把 Windows 凭据塞进 Credential 会导致静默失败或 ORA 错误，而非预期的域登录。

设置 Credential 后仍收到 ORA-01017: invalid username/password：说明驱动未走外部认证，仍在尝试密码校验
连接字符串含 Uid=/ 却报 ORA-12641: TNS: Authentication service failed to initialize：sqlnet.ora 缺少 KERBEROS5 或 Kerberos 环境未就绪
误以为 Persist Security Info=true 能“暴露”域凭据：它只影响 Credential 属性 getter 是否返回已设的密码对象，对 AD 认证无意义
混淆 OracleCredential 与 NetworkCredential：后者是 .NET HTTP/FTP 场景用的，Oracle 驱动完全不识别