使用 AzMan 作为服务帐户运行 IIS

Question

由于 IP 原因，我需要有一个网站作为服务帐户运行，我还希望能够使用 AzMan 进行用户身份验证/身份验证。由于某种原因，我似乎无法让这些一起工作。我已经设置了一个示例应用程序来测试基本上可以吐出一些用户凭据的水域。除了 Azman 和设置的 Web 配置之外，该应用程序没有集成代码（没有日志记录/DB/Webserice 交互），它是一个寻呼机。

在网络服务帐户下运行应用程序池，匿名访问被拒绝，我得到：

Windows Identity Check - Name: 'NT AUTHORITY\NETWORK SERVICE'  
Request.LogonUserIdentity.Name = 'CT\rhyc'  
HttpContext.User.Identity.Name = 'CT\rhyc'  
User.Identity.Name = 'CT\rhyc'  
Is in UserRole = 'True'  

..这一切都很好，一切正常，但是服务帐户是网络服务而不是我应该使用的服务帐户。 如果我将帐户切换到服务帐户，我会收到弹出窗口，要求提供用户凭据（我不想要，它应该是单点登录）；但是我在之前的设置（ct/rhyc）中获得了这些凭据，

该网站运行了一个 setspn 命令（显然），但我真的不知道 spn 是做什么的，更不用说知道如何检查它。 另外，如果我允许匿名访问运行服务帐户的应用程序池，我会得到：

Windows Identity Check - Name: 'CT\SVC-PERAT2-T2DEV'  
Request.LogonUserIdentity.Name = 'PERAT2NTAH3WD1\CVX_IUSR'  
HttpContext.User.Identity.Name = ''  
User.Identity.Name = ''  
Is in UserRole = 'False' 

抱歉，我是 IIS n00b，这通常不是我会做的事情，但是我们的管理员似乎对 IIS 不太了解，所以留给我了..:(

Answer 1

通过 SPN，您将进入 Kerberos 的世界。这通常是一个未知的领域。

有一份很棒的白皮书详细介绍了与此相关的安全问题：
http://www. microsoft.com/DOWNLOADS/details.aspx?FamilyID=7dfeb015-6043-47db-8238-dc7af89c93f1&displaylang=en

它解释了如何打开更多日志记录以找到身份验证问题的根源。通常，这与 Exchange 中的委派未设置为传递用户凭据等有关。

更多信息请参见：
http://support.microsoft.com/kb/262177

Answer 2

好吧，看来我们找错了树。 Kerbros 从来都不是必需的，不知怎么的，它是如何从中国人的耳语中溜走的。我们已更改为 NTLM，一切都很好。

下面的cmd
cscript adsutil.vbs set w3svc/1152622725/root/NTAuthenticationProviders "NTLM"

其中 1152622725 是网站 id

感谢所有帮助人员，吸取的教训：不要用 kerbros 操，因为它会反噬！