我的身份验证问题是否与双跳问题有关？答案

【问题标题】：Is my authentication issue related to a double hop issue?我的身份验证问题是否与双跳问题有关？
【发布时间】：2019-05-19 23:45:47
【问题描述】：

我们的自制协作网站存在身份验证问题。

我们有带有 Collab 平台的服务器 A。我们在网站上使用我们的域帐户登录。该网站与服务器 B 上的 API 对话，但服务器 B 也应该能够从服务器 C 上的内部网（Sharepoint）获取数据。这是双跳问题吗？ NTLM 是使用，而不是 Kerberos。

我们是否需要将所有内容都更改为 Kerberos？我发现了很多关于双跳的信息，但没有一个关于如何配置/修复它的正确解释。

服务器 A 和 B 是 2012R2，服务器 C 是 2016。

【问题讨论】：

它可能是双跳，这取决于您在 IIS 上设置安全性的方式。有 2 个选项： 1) IIS 需要用户的身份验证，并且需要向后端系统识别同一用户。或2）后端系统不需要知道用户，他们只需要提供服务并且匿名（或其他一些服务帐户）就可以了。你需要哪一个？
请阅读Under what circumstances may I add “urgent” or other similar phrases to my question, in order to obtain faster answers? - 总结是这不是解决志愿者的理想方式，并且可能会适得其反。请不要将此添加到您的问题中。
嗨@tgolisch，这是使用的第一个选项。

【解决方案1】：

是的。当您需要在 Web 服务器上对用户进行身份验证，然后重新使用并将凭据从 Web 服务器传递到另一台服务器时，这就是“双跳”方案。允许这样做的唯一方法是在这两台机器之间建立 Kerberos 信任。这是在 Active Directory 中完成的。

您不需要“将所有内容转换为 Kerberos”，因为它已经内置在 Active Directory 域中的任何服务器中。

在 IIS 中，您需要设置“IIS”、“身份验证”以使用“摘要”身份验证（当然匿名是禁用的）。

有很多很棒的文章可以引导您了解我没有提到的任何内容。 (Like this one) 不难，但是第一次学还是需要时间的。所以不用担心。

【讨论】：