Windows 身份驗證在 AWS Application Load Balancer 后面不起作用

Question

我有一個使用 Windows 身份驗證的 ASP .NET WCF 服務 Web。 將 Web 服務部署到服務器 (Windows Server 2012) 並在 IIS 上啟用 Windows 身份驗證后，我使用直接進入服務器的 localhost 訪問該頁面。 它提示輸入憑據，我提供了一次我的 AD 用戶名/密碼，它可以工作。

現在，如果我在 AWS 應用程序負載均衡器后面有相同的服務器，並且我點擊了映射到應用程序負載均衡器的網絡服務的 DNS，然后注意到這里的一個問題。

彈出窗口以輸入 Windows 憑據。 但是當我輸入正確的憑據時，它不會接受它們。 它反復提示輸入用戶/密碼？ 發生了什么？ ALB 不支持 IIS 的 AD 集成身份驗證？

有任何想法嗎？

Answer 1

由於登錄問題和與其他用戶會話的連接，應用程序負載平衡器將無法工作。

Windows 身份驗證（Kerberos 或 NTLM 回退）需要 TCP 連接保持相同的源端口以保持身份驗證。您必須使用網絡負載平衡器而不是應用程序負載平衡器。

無法通過第 7 層“應用程序”負載平衡器進行 Windows 身份驗證。

Answer 2

AWS Application Load Balancer 中似乎有針對此解決方案的解決方法。 您需要在 ALB 設置中啟用粘性會話。 我試過這個，現在我沒有得到重復的 windows auth 彈出提示，提示重復輸入啟用 windows auth 的 web 應用程序的用戶名和密碼。 但是這種快速修復可能對無狀態應用程序沒有幫助。

Answer 3

在 ALB 上啟用粘性會話確實允許 Windows 身份驗證工作，但我們看到在某些情況下，您最終可能會以錯誤的用戶身份進行身份驗證。 當多個用戶同時登錄時，我們會看到這種情況。 只是抬頭。