IIS：将 Kerberos 与不在域中的客户端计算机一起使用

Question

不属于域（但在网络上）的计算机能否针对由 IIS8 发布的网站进行身份验证，其中该站点的身份验证是“Windows 身份验证”，仅使用“协商： Kerberos”（并禁用内核模式身份验证）？

我之所以这么问，是因为我正在尝试这样做，但我无法通过对站点的身份验证（但仅是尝试将身份验证传递给数据库）。我在对客户端的响应中看到“WWW-Authenticate: Negotiate”标头，但客户端似乎只在后续（重新）请求中发送“NTLM Type1：协商”（NTLMSSP）。要么，要么我错误地解释了 Fiddler2 的结果！

我正在使用 Kerberos，因为大多数客户端都是域计算机，我需要将用户凭据从 Web 应用程序传回数据库。我希望我能够对非域计算机执行相同的操作，并且它们只会被提示输入用户名/域/密码，该用户名/域/密码将被验证并转换为服务器上的 Kerberos 票证。

请注意，出于测试目的，Windows 8 既是服务器又是客户端。在生产中，服务器将是 Windows 2008 Server R2，客户端将主要是 Windows 7（尽管会有一些 Windows 8 客户端）。

Answer 1

Kerberos 将不在不属于域的帐户/计算机上工作。 您有两种选择来实现您的目标：

1. 使用基本身份验证请求用户数据并将其传递给LogonUserEx。请参阅this 获取答案。
2. 通过其他方式对用户进行身份验证，并使用S4U2self（协议转换）。