Kerberos委派失败给来自受信任域的用户

Question

我已经成功在ASP.Net网站和SQL Server之间设置了Kerberos委派。 可以将IIS应用程序池帐户和SQL Server服务帐户的同一域中的所有用户从网站委派给SQL Server。 现在，我们有一个来自双向信任域的用户尝试使用该网站，并且在SQL Server端发生了以下错误：“用户'NT AUTHORITY \\ ANONYMOUS LOGON'的登录失败。这意味着委派失败。

该网站是Windows 2003上的IIS 6。

我从受信任的域中检查了用户，并且“ userAccountControl”为512，因此不会阻止委派。 在用户IE浏览器设置中，我可以对“本地Intranet”进行正确配置。

有人可以告诉我如何解决此问题吗？

谢谢！

理查德

Answer 1

也许这对您有帮助： http : //social.technet.microsoft.com/Forums/zh-CN/sharepoint2010setup/thread/c43260a9-6791-4572-a7f2-1547467d89bb/

这是报价（由SenthilSK撰写）

Kerberos协议支持两种委托，基本委托（不受约束）和约束委托。 基本Kerberos委派可以跨越单个林中的域边界，但是无论信任关系如何都不能跨越林边界。 Kerberos约束委派在任何情况下都不能跨越域或林边界。 有关针对您的方案的KCD配置的更多详细信息，我建议您参考Kerberos上的白皮书http://www.microsoft.com/download/en/details.aspx?id=23176