集成 Windows 身份验证和SSL协议

Question

我的 Intranet 上有一个管理网站，当前通过 IIS 使用集成 Windows 身份验证。我们希望将此应用程序移至公共网站并使用 SSL 对其进行保护，以便我们的用户可以从任何地方访问它。

我一直计划使用 HttpModule 从 http 重定向到 https，但看起来这不适用于集成身份验证（登录弹出窗口出现在重定向之前）。

我是否被困在 IIS 中使用“需要 SSL”复选框？这似乎对用户不太友好，因为如果用户忘记使用 https URL，他们会得到一个漂亮的胖错误页面，而不是温和的重定向。

在这种情况下你会怎么做？

Answer 1

我每次都将其作为 IIS 问题解决，而不是代码问题：

• 在 IIS 中创建一个新网站
• ，将其绑定到相同的 IP 地址（和/或主机标头）、SSL 证书和端口 443，将
• 其配置为指向与当前端口 80 站点
• 测试相同的应用程序根目录，以确保直接连接到 https://site 给出预期响应
• 重新配置原始站点（仍绑定到端口 80）以使用 HTTP 重定向功能
• 将端口 80 站点配置为重定向到端口 443 站点； （可选）删除应用程序和虚拟目录映射（以防有人意外禁用重定向）

从那时起，任何只需在浏览器中键入网站地址的用户都将收到来自 IIS 的快速重定向消息，该消息会将其发送到 SSL - 网站的受保护版本。

Answer 2

我们的 Intranet 站点上也遇到了类似的问题，最终从集成 Windows 身份验证切换到直接在站点上请求其网络用户名/密码。这样我们就可以将它们重定向到 HTTPS 或其他类似的东西，而不必担心身份验证弹出窗口何时出现。

我们有一些与此类似的代码（假设您使用的是 ASP.NET）来对用户进行身份验证，然后我们将身份验证状态存储在 cookie 中。

public static bool AuthenticateUser(string username, string password)
{
    System.DirectoryServices.DirectoryEntry _entry = new System.DirectoryServices.DirectoryEntry(ldap_path, username, password, System.DirectoryServices.AuthenticationTypes.Delegation);

    bool _authenticated = false;
    try
    {
        Object _o = _entry.NativeObject;
        _authenticated = true;
    }
    catch
    {
        _authenticated = false;
    }
    finally
    {
        // Avoids the "multiple connections to server not allowed" error.
        _entry.Close();
        _entry.Dispose();
    }

    return _authenticated;
}

通过在应用程序中处理所有身份验证而不是依赖 IIS，它最终为我们节省了大量的麻烦和挫败感。