IIS：對不在域中的客戶端計算機使用Kerberos

Question

不屬於域（但在網絡上）的計算機是否可以通過IIS8發布的網站進行身份驗證，該站點的身份驗證僅使用“ Negotiate：Kerberos”的單個提供程序進行“ Windows身份驗證”（並禁用內核模式身份驗證）？

我問是因為我只是嘗試執行此操作，但是我無法通過身份驗證到達站點（但僅嘗試將身份驗證傳遞到數據庫）。 我在對客戶端的響應中看到“ WWW-Authenticate：Negotiate”標頭，但是客戶端似乎只在隨后的（重新）請求中發送“ NTLM Type1：協商”（NTLMSSP）。 就是我誤解了Fiddler2的結果！

我正在使用Kerberos，因為大多數客戶端將是域計算機，並且我需要將用戶憑據從Web應用程序傳遞回數據庫。 我希望我能夠對非域計算機執行相同的操作，並且只需提示他們輸入用戶名/域/密碼即可驗證並轉換為服務器上的Kerberos票證。

請注意，出於測試目的，Windows 8既是服務器又是客戶端。 在生產中，服務器將是Windows 2008 Server R2，客戶端將主要是Windows 7（盡管將有一些Windows 8客戶端）。

Answer 1

Kerberos身份將不會在賬戶/不屬於域的一部分的計算機上工作。 您有兩種選擇可以實現目標：

1. 使用基本身份驗證請求用戶數據，並將其傳遞給LogonUserEx 。 看到這個答案。
2. 通過其他方式對用戶進行身份驗證，然后使用S4U2self （協議轉換）。