无法根据 ADAM 对 SharePoint Extranet 站点进行身份验证
项目背景： 我正在建立一个小农场，其中内联网是它自己的应用程序。 遵循最低特权帐户设置原则，我为每个进程/应用程序创建了域用户帐户。 水池。 服务身份验证在 Kerberos 上效果很好。
其中一个项目需要有另一个 Web 应用程序（与 Intranet 分开）通过 Internet 向客户端公开。 为了保持 AD 结构独立，我们决定使用 ADAM。 该应用程序。 池帐户是独立的并且也使用 Kerberos。 关注 https://blogs.pointbridge.com/Blogs/morse_matt /Pages/Post.aspx?_ID=2，我扩展了原始应用程序，并将其配置为 Extranet 区域，分配 LDAPMembership 提供商，如本文所述。
困境 虽然人员选择器可以工作并允许我从 AD 和 ADAM 数据存储中指定集合管理员、站点所有者、成员等，但我无法登录我的用户。我不断收到用户无法进行身份验证的信息错误。 幸运的是，日志不会产生与目录查找相关的错误。 ADAM 数据存储似乎从未受到攻击。
根据 MS 的文章，我自己的想法是，因为我不使用 NTLM，所以爬虫永远不会到达 Extranet 区域。 然而，如果我们都知道 Kerberos 优于 NTLM，我应该如何保护应用程序的安全。
任何想法将不胜感激。
注意：SPN 已正确设置，权限已根据需要分配，ADAM 用户已禁用设置为 false，app. 池帐户列在 ADAM 内的读者角色容器中，
谢谢， 杰克
Project Background:
I am setting up a small farm where the Intranet is its own application. Following the Least Priveleged Account setup principle, I have Domain User accounts created for each process/app. pool. The service authentication works great over Kerberos.
One of the projects needs to have another web application (separate from the Intranet) exposed to clients through the Internet. In order to keep the AD structure separate, we decided to go with ADAM. The app. pool account is separate and also uses Kerberos. Following https://blogs.pointbridge.com/Blogs/morse_matt/Pages/Post.aspx?_ID=2, I extended my original application and configured it as an Extranet zone assigning an LDAPMembership provider as outlined in the article.
The dilema
While the people picker works and allowes me to specify Collection Administrators, Site Owners, Members, etc. from both AD and ADAM data stores, I am not able to log my users in. I constantly get the user could not be authenticated error. And nicely enough, the LOG produces no errors related to Directory lookups. It seems that the ADAM data store is never hit.
My own idea, based on MS articles, is that because I do not use NTLM, the crawler never gets to the Extranet zone. Yet, how should I go about securing the application if we all know that Kerberos is superior to NTLM.
Any ideas would be very much appreciated.
Note: SPNs were properly set up, permissions were assigned as required, the ADAM users have disabled set to false, app. pool accounts are listed in the Readers role container inside ADAM
Thanks,
Jack
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
您可以检查的一件事是网络端口的打开情况。 我假设您的 Web 服务器和 LDAP 服务器位于不同的网段。
想法是 LDAP 端口和 SSL 端口是不同的。 如果人员选择器使用 LDAP 端口并且登录使用 SSL 端口，那么这可以解释为什么一个可以工作而另一个不能，以及为什么呼叫没有到达 LDAP 服务器。
One thing that you could check is the opening of network ports. I am assuming that your web server and LDAP server are on different network segments.
Idea is that LDAP port and SSL port are different. If the people picker uses the LDAP port and the login uses the SSL port, then this could explain why one works and the other does not, and why the calls are not reaching the LDAP server.