IIS：对不在域中的客户端计算机使用Kerberos

Question

不属于域（但在网络上）的计算机是否可以通过IIS8发布的网站进行身份验证，该站点的身份验证仅使用“ Negotiate：Kerberos”的单个提供程序进行“ Windows身份验证”（并禁用内核模式身份验证）？

我问是因为我只是尝试执行此操作，但是我无法通过身份验证到达站点（但仅尝试将身份验证传递到数据库）。 我在对客户端的响应中看到“ WWW-Authenticate：Negotiate”标头，但是客户端似乎只在随后的（重新）请求中发送“ NTLM Type1：协商”（NTLMSSP）。 就是我误解了Fiddler2的结果！

我正在使用Kerberos，因为大多数客户端将是域计算机，并且我需要将用户凭据从Web应用程序传递回数据库。 我希望我能够对非域计算机执行相同的操作，并且只需提示他们输入用户名/域/密码即可验证并转换为服务器上的Kerberos票证。

请注意，出于测试目的，Windows 8既是服务器又是客户端。 在生产中，服务器将是Windows 2008 Server R2，客户端将主要是Windows 7（尽管将有一些Windows 8客户端）。

Answer 1

Kerberos身份将不会在账户/不属于域的一部分的计算机上工作。 您有两种选择可以实现目标：

1. 使用基本身份验证请求用户数据，并将其传递给LogonUserEx 。 看到这个答案。
2. 通过其他方式对用户进行身份验证，然后使用S4U2self （协议转换）。