內部代理托管的ASP.net/IIS網站的Azure代理

Question

我有一個使用Windows身份驗證托管的asp.net/IISv10/windows 2016網站的Intranet，我正在嘗試使用Azure代理向Internet公開。

當前的方法是使用Kerberos將憑據從Azure傳遞到IIS。 Azure AD與域AD同步。 Azure身份驗證完成后，我們目前仍會彈出第二個Windows挑戰彈出窗口。 我已經對該問題進行了許多閱讀，並且仍在積極地進行故障排除，但是這種設置似乎很難上手。

我的問題是：在這種情況下，Kerberos是否是身份驗證的最佳選擇？ Azure代理中是否可以使用其他形式的身份驗證？

更新：我們設法使Kerberos正常工作，事實證明該問題有兩個方面。 首先是一個錯字，把所有東西弄亂了。 解決此問題后，我們得到了一個“錯誤的網關”錯誤，我們可以對其進行快速調試。 我們已經為App Proxy連接器服務器（xxxxx）設置了委派設置，對於“信任此計算機僅將其委派給指定的服務器”選項，我們選擇了“僅使用Kerberos”選項。 該文檔實際上說將其更改為“使用任何身份驗證協議”選項。 這解決了問題。

Answer 1

如果您指的是Azure應用程序代理，則可以使用：

• 使用集成Windows身份驗證進行身份驗證的Web應用程序
• 使用基於表單或基於標題的訪問的Web應用程序
• 您要向不同設備上的豐富應用程序公開的Web API
• 托管在遠程桌面網關后面的應用程序
• 與Active Directory身份驗證庫（ADAL）集成的富客戶端應用程序

應用程序代理支持單點登錄。 有關支持的方法的更多信息，請參見選擇單一登錄方法 。

文檔參考：

通過Azure AD應用程序代理對本地應用程序的遠程訪問

使用應用程序代理對應用程序進行單點登錄的Kerberos約束委派

希望以上信息對您有所幫助。