集成Windows身份验证 （网络安全验证形式）

产生背景

集成 Windows 身份验证使用 Kerberos v5 验证和 NTLM 验证。如果在 Windows 2000 或更高版本域控制器上安装了 Active Directory 服务，并且用户的浏览器支持Kerberosv5验证协议，则使用 Kerberos v5 验证，否则使用 NTLM 验证。

集成 Windows 身份验证包括 Negotiate、Kerberos 和 NTLM 验证方法。Negotiate（Kerberos 和 NTLM 的包装）非常适用于连接 Internet 上的客户端，因为这两种验证方法均缺少某个功能（如下所示）：

• NTLM 可以通过防火墙，但通常会被代理服务器挡住。

• Kerberos 可以通过代理服务器，但通常会被防火墙挡住。

要成功地进行 Kerberos v5 验证，客户端和服务器都必须可靠地连接到密钥分配中心 (KDC)，并且必须与 Active Directory 服务兼容。

验证过程

以下步骤概述了如何使用集成 Windows 身份验证对客户端进行身份验证：

1.与基本身份验证不同，集成 Windows 身份验证开始时并不提示用户输入用户名和密码。客户机上的当前 Windows 用户信息可用于集成 Windows 身份验证。

注意

2.如果开始时的验证交换无法识别用户，则浏览器提示用户输入 Windows 帐户用户名和密码，并使用集成 Windows 身份验证进行处理。

3.Internet Explorer 将继续提示用户，直到用户输入有效的用户名和密码或关闭提示对话框为止。

尽管集成 Windows 身份验证非常安全，但它仍然有两个限制：

1.只有 Microsoft Internet Explorer 2.0 和更高版本才支持这种验证方法。

2.它不能用于 HTTP 代理连接。

因此，集成 Windows 身份验证最适用于 Intranet 环境，在其中用户和 Web 服务器计算机位于相同的域中，并且管理员可以确保每个用户使用 Internet Explorer 2.0 或更高版本。如果集成 Windows 身份验证由于用户凭据错误或其他问题而失败，则浏览器就会提示用户输入用户名和密码。

集成 Windows 身份验证使用 Kerberos。在 Kerberos 身份验证服务对某个服务进行验证之前，该服务只能在一个帐户对象上注册。如果服务实例的登录帐户发生变化，则该服务必须使用新帐户重新注册。因此，只有一个注册了该服务的应用程序池可以使用 Kerberos 进行验证。因此，在应用程序池的虚拟目录级别上，不能将站点彼此隔离。但是，有一个解决办法。客户可以基于域名来隔离这些站点。例如，CompanynameHR.com 和 CompanynameSales.com。

配置集成

要点 您必须是本地计算机上 Administrators 组的成员或者您必须被委派相应的权限才能执行下列步骤。作为安全性的最佳操作，请使用不属于 Administrators 组的帐户登录到计算机，然后使用运行方式命令来以管理员身份运行 IIs管理器。在命令提示符下，键入 runas /user:administrative_accountname"mmc %systemroot%\system32\inetsrv\iis.msc"。

启用集成

在 IIS 管理器中，右键单击“网站”文件夹、网站、目录、虚拟目录或文件，然后单击“属性”。

注意 所有网站均能继承在网站文件夹级别设定的配置设置。

1.单击“目录安全性”或“文件安全性”选项卡，具体情况取决于所配置的安全设置级别。

2.在“身份验证和访问控制”部分中，单击“编辑”。

3.在“用户访问需经过身份验证”部分中，选中“集成 Windows 身份验证”复选框。

4.单击“确定”两次。