WCF，Clientcredentials，多跳，kerberos和Windows身份验证-如何开始工作

Question

我有一个在服务器A上运行的Web应用程序，该应用程序在服务器B上调用WCF服务（K2工作流），该应用程序需要模拟/委托才能作为调用用户运行。 如果我从服务器A运行Web应用程序，则该应用程序运行良好。 如果我在调试时从本地PC运行该应用程序，则效果也很好。 如果从PC上的浏览器将应用程序打到服务器A，则会出现以下错误：

客户端身份验证方案“ Ntlm”对HTTP请求进行了未经授权的操作。 从服务器收到的身份验证标头是“ Ntlm，协商”。 System.Net.WebException：远程服务器返回错误：（401）未经授权。 在System.Net.HttpWebRequest.GetResponse（）在System.ServiceModel.Channels.HttpChannelFactory`1.HttpRequestChannel.HttpChannelRequest.WaitForReply（TimeSpan超时）中。

我使用以下代码运行该服务：

SvcWorklist.ClientCredentials.Windows.AllowedImpersonationLevel = System.Security.Principal.TokenImpersonationLevel.Delegation;
SvcWorklist.ClientCredentials.Windows.ClientCredential = System.Net.CredentialCache.DefaultNetworkCredentials;

我觉得我已经做完了所有事情，这是我尝试过的事情的清单：

1. 通过服务器A应用程序池域用户向服务器B（NETBIOS和FQDN）设置SPN（包括端口）
   1. 在服务器A和B上设置与应用程序池用户相同的域用户
   2. 确保允许应用程序池用户在Active Directory中委派
   3. 确保允许两个服务器在AD中进行委派
   4. 将身份验证设置为Windows并在服务器A上的web.config中模拟为true
   5. 确保Thread.CurrentPrincipal.Identity.Name具有我的用户ID
   6. 确保为Windows和模拟设置了IIS
   7. 尝试将服务器A和B上的IIS配置限制为仅Ntlm和/或协商

任何帮助或想法都将受到感激。

Answer 1

对于有同样问题的老兄-我想通了。 我在目标服务上设置了SPN，而不是它托管的服务。 我还需要设置共享点以使用协商还是ntlm。