37、IIS 7.0 认证与授权配置全解析

IIS 7.0 认证与授权配置全解析

1. 协议过渡配置

协议过渡功能在 Windows Server 2003 中首次实现，它允许客户端使用除 Kerberos 之外的协议（如 NTLM 或 Digest）向 IIS 7.0 进行身份验证。通过利用用户自我服务（S4U2S）和用户代理服务（S4U2P），IIS 7.0 能够获取后端服务的 Kerberos 票据。

1.1 协议过渡流程

1. 客户端使用除 Kerberos 之外的 HTTP 身份验证协议（如 NTLM 或 Digest 身份验证）向 IIS 7.0 进行身份验证。
2. IIS 7.0 代表用户获取 Kerberos 票据。
3. IIS 7.0 服务器使用 Kerberos 向后端服务器应用程序进行身份验证。后端服务必须支持 Kerberos 身份验证。

1.2 配置要求

在默认的 IIS 7.0 配置中，无需在 IIS 7.0 中进行额外配置来支持协议过渡。唯一需要的配置是在域控制器上。为支持协议过渡，域功能级别必须为 Windows Server 2003 或更高版本。此外，协议过渡依赖于约束委派，这要求 IIS 7.0 服务器和后端服务器位于同一域中，客户端可以位于任何受信任的域或林。

1.3 配置步骤

1. 确保已注册所需的 SPN。
2. 打开 Active Directory 用户和计算机 MMC 工具。
3. 找到与 IIS 服务器对应的计算机账户（如果网站的工作进程在自定义用户账户下运行，则为用户账户）。