仅当 Web svcs 客户端与 IIS 服务器位于同一台计算机上时，Windows 集成身份验证才会失败

Question

我有一个在 IIS7 下运行的 Web 服务，服务器上设置了主机标头，以便它接收对http://myserver1.mydomain.com发出的请求。
我已将 Windows 集成身份验证设置为已启用，将其他所有内容（基本、匿名等）设置为已禁用。

我正在使用 powershell 脚本测试 Web 服务，当我从我的工作站针对http://myserver1.mydomain.com运行它时，它工作正常

但是，当我在 IIS 服务器本身上运行完全相同的脚本时，我收到一条 401-Unauthorized 消息。

此外，我已经尝试在第二台服务器 myserver2.mydomain.com 上安装 Web 服务。 我可以再次从我的工作站和 myserver1 调用我的测试脚本。

因此，似乎唯一的问题是当客户端与 Web 服务器本身在同一个盒子上时 - 不知何故 Windows 凭据没有被传递或识别。

我尝试在 myserver1 上使用 IE 设置（选中和取消选中“启用 Windows 集成身份验证”，并将 URL 添加到本地站点）。 那似乎没有效果。

当我查看 IIS 日志时，我看到 401 unauthorized 行，但其他信息很少。

当使用 IE (v9) 进行测试时，我看到了基本相同的行为——在我的工作站上工作，但当 IE 在 IIS 服务器上运行时却没有。

Answer 1

几个小时后我找到了答案：

默认情况下，如果用于该站点的主机标头与本地主机名不匹配，则有一个称为 LoopbackCheck 的东西将拒绝 Windows 身份验证。 只有当客户端在本地主机上时才会看到此行为。 检查是为了打败可能的反射攻击。

更多细节在这里：

http://support.microsoft.com/kb/896861

kb 项目讨论了禁用环回检查的方法，但我最终只是从使用主机标头切换到端口来区分 IIS 服务器上的不同站点。

感谢给予帮助的人。

Answer 2

尝试检查在服务器本身上运行时传递的实际凭据。 通常，您将在某些无权访问相关资源的系统帐户上运行。

例如，在您的盒子上，您的凭据运行为...

我的域名\我的名字

服务器将类似于...

系统\SYSTEM_ACCOUNT

因此这将失败，因为“SYSTEM\SYSTEM_ACCOUNT”没有凭据。

如果是这种情况，您可以通过以下两种方式之一解决问题。

1. 授予“SYSTEM\SYSTEM_ACCOUNT”对相关资源的访问权限。 出于安全考虑，大多数人会避免使用此策略（这就是为什么帐户一开始就没有访问权限的原因）。

2. 模拟客户端的凭据，或将其手动更改为可以访问资源的内容，例如“MYDOMAIN\MYNAME”。 这是大多数人可能会接受的，包括我自己。