带有外部域密钥表的IIS中的SPNEGO / Kerberos

Question

我在一个域中有带有w2k8和IIS7的服务器，而在其他某个外部域中则具有keytab（不信任）。 是否可以启用Windows身份验证（SPNEGO / Kerberos）从那些外部域对Web应用程序中的用户进行身份验证？

Answer 1

从理论上讲这是可能的，但是使它工作的后勤几乎是不可能实现的。

我不知道IIS是否支持它，但是在kerberos API中可能会说“尝试使用keytab中的每个密钥来解密此响应”。 从理论上讲，这可以与远程领域的键一起使用，尽管我从未见过代码尝试过。

但是，问题在于客户端需要根据协议外部的信息来决定用于发出请求的领域和主体。 因此，在联系w2k8域中的Web服务器时，您需要以某种方式告诉远程域中的所有Web客户端使用远程域。 您可以在unix机器上使用krb5.conf来执行此操作，但是在每个客户端上都需要使用远程领域中的标识来定制krb5.conf。

通常，如果启用了某种跨域信任，则Kerberos只能在多个域中工作。