![配置 IIS 以进行跨林 Kerberos 身份验证](https://linux22.com/image/698658/%E9%85%8D%E7%BD%AE%20IIS%20%E4%BB%A5%E8%BF%9B%E8%A1%8C%E8%B7%A8%E6%9E%97%20Kerberos%20%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81.png)
在我的环境中,我有两个独立的林 FA.COM 和 FB.COM 以及两个子域 DA.FA.COM 和 DB.FB.com。DA.FA.COM 和 DB.FB.com 之间没有林信任,但有双向外部信任。
我在 DB.FB.com 上有一个 IIS 服务器(Windows 2012r2 上的 IIS8.5),我按照此处的说明进行操作https://blogs.msdn.microsoft.com/chiranth/2014/04/17/setting-up-kerberos-authentication-for-a-website-in-iis/为 IIS 服务器中的静态网站配置 Kerberos SSO,并使其可供从 DB.FB.COM 访问的客户端使用。
但是我需要扩展访问权限,以允许来自 DA.FA.COM 的用户登录到他们的客户端计算机(也在 DA.FA.COM 中)以通过 Kerberos 访问静态网站(在 DB.FB.COM 中)。目前来自 DA.FA.COM 的用户和客户端能够进行 SSO,但通过 NTLM 而不是 kerberos。(注意:我使用 Fiddler 和 Klist 来验证 SSO 是通过 Kerberos 还是 NTLM 运行的)
我的问题是,如果我让 kerberos sso 在域 DB.FB.COM 中工作,我是否需要在 IIS 服务器上进行任何进一步的配置来支持跨林 kerberos,或者这是否是 DA.FA.COM 和 DB.FB.com 中的域控制器之间的配置问题以支持跨林 kerberos?
答案1
这可能需要在 FA.COM 上配置“使用森林搜索顺序”组策略,Computer Configuration > Adminitrive Templates > System > <Kerberos or KDC>
其值为FB.COM
。
如果我在本地更改 Kerberos,我可以通过 Kerberos 连接到不同林中的 SQL Server 实例。我可以轻松使用它进行测试SELECT CAST(CONNECTIONPROPERTY('auth_scheme') AS NVARCHAR(MAX)) AS auth_scheme
。
https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/hh921473(v=ws.10)您可以在这里找到更为详尽的文档。
希望这对某些人仍然有用。