NTLM Kerberos支持设置在nginx服务器后面的身份服务器(不适用于IE)
NTLM和Kerberos是一种身份验证协议，用于在计算机网络中验证用户的身份。它们通常用于Windows环境中，用于实现单点登录和安全访问控制。
NTLM（Windows NT LAN Manager）是一种早期的身份验证协议，用于验证用户的身份。它基于挑战-响应机制，客户端和服务器之间进行多次握手来验证用户的凭据。然而，NTLM存在一些安全性问题，并且不适用于跨域身份验证。
Kerberos是一种网络身份验证协议，旨在提供更安全的身份验证机制。它使用票据来验证用户的身份，并使用密钥加密通信。Kerberos使用一个可信的第三方身份服务器（KDC）来颁发票据和验证用户的身份。它提供了单点登录和跨域身份验证的能力。
在nginx服务器后面设置身份服务器可以提供更安全和可靠的身份验证机制。通过将身份服务器放置在nginx服务器后面，可以集中管理和控制用户的身份验证过程。这样一来，所有的身份验证请求都将被重定向到身份服务器进行处理，从而提高了系统的安全性和可扩展性。
然而，需要注意的是，NTLM和Kerberos身份验证协议在IE浏览器中的支持存在差异。NTLM在IE中得到广泛支持，而Kerberos则需要进行额外的配置和设置才能在IE中正常工作。
对于这种情况，可以考虑以下解决方案：
- 针对不支持Kerberos的IE浏览器，可以使用NTLM作为备选方案。这样可以确保所有浏览器都能够正常进行身份验证。
- 对于支持Kerberos的浏览器，可以配置nginx服务器和身份服务器以支持Kerberos身份验证。这样可以提供更安全和高效的身份验证机制。
- 在nginx服务器中，可以使用相关的模块或插件来实现NTLM和Kerberos身份验证的集成。例如，ngx_http_auth_ntlm_module和ngx_http_auth_kerberos_module等模块可以用于实现NTLM和Kerberos身份验证。
腾讯云提供了一系列与身份验证和安全相关的产品和服务，可以帮助用户构建安全可靠的云计算环境。以下是一些相关产品和服务的介绍链接：
- 腾讯云身份认证服务（CAM）：https://cloud.tencent.com/product/cam
- 腾讯云安全加密服务（KMS）：https://cloud.tencent.com/product/kms
- 腾讯云Web应用防火墙（WAF）：https://cloud.tencent.com/product/waf
请注意，以上链接仅供参考，具体的产品选择应根据实际需求和情况进行评估和决策。
相关·内容
我在为内联网网站设置SSO时遇到了问题。目前，我正在使用Tomcat8.0和。它们工作得很好，但只有一个问题:浏览器(如和所描述的设置后的Firefox和IE )不能进行Kerberos身份验证，只能执行NTLM。
我用Wireshark分析了通信量，Tomcat发送http头字段“WWW-身份验证”，浏览器在标头字段"Authentication“中回答一个base64 64编码的字符串，其中包含NTLMSSP。我想这不是Kerberos吧？
我读取了一个post ()，为了使Kerberos工作，必须使用命令setspn.exe在AD中注册服务器。我试图为setspn ()获得正确
浏览 0提问于2018-11-13得票数 2
回答已采纳
我有一个托管IIS 7的intranet站点，该站点带有windows身份验证，配置为接受协商。我还将配置设置设置为使用每连接Kerberos (非NTLM)身份验证：
<system.webServer>
<security>
<authentication>
<windowsAuthentication authPersistNonNTLM="true" />
</authentication>
</security>
</system.webSe
浏览 1提问于2013-05-10得票数 1
回答已采纳
1回答
IE中并发连接的认证
、、、
当IE9访问HTTPS网站并跨多个并发连接进行内容下载时，这些连接中的每一个都是单独进行身份验证的吗？
到目前为止，我观察到的情况如下：
IE9在每个并发连接上通过NTLM - NTLM握手身份验证进行身份验证
IE9仅在主连接上通过Kerberos -1身份验证进行身份验证
通过Kerberos进行IE7身份验证-每个并发连接上的身份验证
浏览 1提问于2013-08-14得票数 0
微软使用的两个WWW认证添加项，我现在知道的是
NTLM
谈判
如果从服务器发送协商，则将根据一组条件使用Kerberos。
内联网区
使用主机名而不是IP访问服务器
在IE中启用集成Windows身份验证，在Firefox中信任主机
服务器不是浏览器的本地服务器
客户端的Kerberos系统通过域控制器进行身份验证
然后，将在服务器和客户端之间尝试Kerberos，如果不满足上面的内容，那么将尝试NTLM。
我的问题是，服务器是否有办法表明不应该发送NTLM？我目前通过跟踪会话中的请求来处理这个问题，如果接收到NTLM消息，它将禁用Kerberos
浏览 3提问于2009-01-28得票数 7
回答已采纳
众所周知，IE不喜欢对在DNS中注册为CNAME的主机执行Kerberos操作。所发生的情况是IE转过身来使用主机的底层A记录来查找服务主体名称(SPN)。
在测试网络上，我们可以通过将SPN注册到主机的A记录，从而使Kerberos认证在通过浏览器中的CNAME访问web服务器时成功地进行。当使用URL中的A记录主机直接访问web服务器时，Kerberos身份验证工作正常，但由于无法控制的各种原因，希望使用CNAME。
但是，在生产网络上，同样的配置失败了，我不知道为什么。有什么想法吗？
这是一个使用SPNEGO库的java web应用程序，而不是IIS。Kerberos身份验证在测试和生产
浏览 0提问于2011-02-23得票数 2
背景(只是相关的部分)：我们有一个大型的intranet asp.net 2.0/3.5应用程序。
Web服务器是AD域中的Windows 2003。
客户端在Windows上，IE6-8.Windows身份验证，使用从Windows标识创建的自定义主体。网络服务器位于F5北草坪会议大楼后面，它将用户转发到特定的Web服务器。(原因是我们公司的F5交易w/ kerberos受到限制)。没有系统范围的问题，比如删除会话、超时或服务器超载，一般来说，一切都很好。
有一项功能需要委托--我们使用域/web服务器提供的Kerberos令牌，作为经过身份验证的用户连接到网络文件共享。
SPN、ACL等似
浏览 3提问于2009-10-21得票数 2
首先，negotiate、ntlm和kerberos是windows身份验证的三种不同实现？
IE发送此消息：Authorization: Negotiate YIIFswYGKwYB ...
火狐发送了这个：Authorization: NTLM TlRMTVNTUAADAA ...
它们是否使用不同的协议？如果是这样的话，如何配置iis 7.0，以便只使用ntlm？
附注：iis配置为使用windows auth，但两种浏览器都会抛出登录表单，并且只有firefox才能成功登录。
浏览 0提问于2012-02-24得票数 14
回答已采纳
1回答
我正在开发一个站点，在那里我们希望使用进行Kerberos身份验证。所以我们不支持NTLM。当用户提出未经身份验证的请求时，服务器将使用带有头WWW的HTTP 401进行应答--身份验证:协商。
问题:对于某些用户/配置，浏览器将发送NTLM凭据。服务器不一定在Windows上运行，因此无法处理NTLM凭据。
据我所知，“谈判”的意思是“如果可能的话请给我寄Kerberos，否则就发送NTLM”。是否有不同的设置说“只发送给我Kerberos”？或者有什么方法可以告诉浏览器站点只支持Kerberos？
作为后续，为什么浏览器不能使用Kerberos？在本例中，它们登录到同一个域。也许他们的证件
浏览 3提问于2018-07-20得票数 6
回答已采纳
我必须访问上的web服务器，它需要一些身份验证。我怎么知道它是在使用NTLM、Kerberos还是其他什么？
浏览 0提问于2010-01-28得票数 6
回答已采纳
我在Windows Server2008上运行NodeJS服务器。
服务器不会做太多事情，但我设置了401的头，WWW-Authenticate协商，我知道它可以使用他的默认Kerberos身份验证，如果它不可用，则使用NTLM。
我下载了fiddler，并发现当我试图访问服务器时，它会尝试使用NTLM(提示我输入用户名和密码)而不是Kerberos进行身份验证，即使计算机与服务器在同一个域中，当我运行命令"klist“时，它确实会显示他有令牌，这意味着他已经使用Kerberos进行了身份验证(不是吗？)。
我的问题是，我如何才能让它使用Kerberos而不是NTLM进行身份验证--为
浏览 7提问于2014-07-15得票数 0
1回答
对于Web应用程序，是由服务器来决定要遵循哪种身份验证方法，还是由它来决定客户端。
是特定于浏览器的身份验证方法，如NTLM和Kerberos。
在intranet web应用程序中，与NTLM和Kerberos相比，BASIC和Diget处于什么位置？
谢谢您:)
浏览 2提问于2012-10-18得票数 0
回答已采纳
除了IIS&Exchange服务器之外，任何机器访问Exchange都有问题。
我们有一个运行Windows 2003的小开发域。一台服务器(我们称之为IIS_box)运行IISandExchange2003。IIS_Box在/Exchange/虚拟目录上设置了Outlook，权限拒绝匿名用户，并且启用了基本身份验证和集成windows身份验证。
在IIS_Box上，访问http://IIS_Box.ourDomain.net/Exchange/向用户提供OWA应用程序，而不提示输入用户名/密码。但是，要进入http://IIS_方框/交换/，用户将显示一个用户名/密码对话框。
如果用
浏览 0提问于2010-02-18得票数 1
回答已采纳
我试图在我们的网络中使用tomcat服务器上的spnego实现kerberos SSO。
我们在域上为预身份验证创建了一个帐户(TCNKRBGINA)，并将其设置为http服务器：
Setspn -A HTTPS/testtech.etat-ge.ch TCNKRBGINA
Setspn -A HTTP/testtech.etat-ge.ch TCNKRBGINA
但是客户机(IE或Firefox)发送一个NTLM令牌，而不是kerberos票证。
问题似乎不在服务器端，因为当没有发送授权头时，它将正确返回带有WWW-Authenticate: Negotiate头的401状态代码。客户端发送
浏览 0提问于2011-04-14得票数 2
回答已采纳
我有Tomcat应用程序，我想添加对集成Windows身份验证(IWA)的支持。我想要做以下的行为：
如果用户是经过域身份验证的用户-我希望从请求中获得用户名(IWA本身)
如果用户不是域认证用户-我只想用表单显示我的自定义页面来登录并手动验证它。
因此，我的应用程序具有以下工作流：
用户加载静态AngularJS页面
此页面向URL发出AJAX请求，如/login/check_iwa
服务器端/登录/check_iwa发送401 WWW-身份验证:协商
如果用户是域用户，浏览器将使用用户的凭据重新发送请求，否则不会发生任何事情，JS将获得401，并理解用户是来
浏览 3提问于2016-03-03得票数 3
回答已采纳
4回答
有一个简单的WCF演示应用程序，有两个控制台项目-主机和客户端。两人都在我的机器上运行(win 7盒)。我使用的是netTcpBinding，它使用windows身份验证。
问题是，身份验证正在从kerberos降级到NTLM，我不知道为什么.
如果我用
<clientCredentials>
<windows allowNtlm="true" />
</clientCredentials>
在客户端，一切都很好。但是，如果我将其更改为false，则会得到以下例外：
SecurityNegotiationException:远程服务器
浏览 1提问于2010-02-23得票数 8
回答已采纳
我们正在尝试为CredSSP使用身份验证，而我们的一个客户端遇到了一个障碍，使得他们在指定目标服务器的FQDN时无法使用CredSSP创建PSSessions。服务器和客户端都连接到同一个域，不相交的命名空间也没有什么特别之处。
在调试过程中，我们打开了所有可以想到的相关安全选项；具体而言：
我们启用了GP设置，允许使用通配符SPN wsman/*委派新凭据(标准和“只使用NTLM”)
我们已经用WSMan启用了*.domain.com受信任主机设置
我们(当然)已经为服务器和客户端上的WSMan启用了CredSSP
我们已经在服务器上设置了LocalAccountTokenF
浏览 1提问于2012-08-03得票数 3
回答已采纳
1回答
我的客户要求我的基于Linux的web/应用服务器在Windows域中进行SSO。服务器安装了自己的keytab，所有这些都可以正常工作。Windows域(EXAMPLE.ORG)有一个与SPN /server.example.org相关联的服务用户帐户。我的应用服务器(WildFly)需要Kerberos身份验证，并拒绝NTLM身份验证。
我有测试域(基于2016)，它是用默认设置创建的。我试图在测试域中重复这个设置，但我无法使Kerberos工作。我看到来自服务器的协商请求，但是客户端总是返回NTLM票证。
WWW-Authenticate: Negotiate
浏览 0提问于2022-12-23得票数 1
回答已采纳
在我们的大型企业环境中，我们已经设置了4台ISA 2006服务器。用户(WinXP IE8)使用自动代理配置脚本进行配置。最近，PAC被修改为返回FQDN，而不是ISA服务器的IP地址。这样做是为了强制Kerberos身份验证，而不是NTLM。
这种变化给一些用户带来了间歇性的问题。当通过SSL访问站点时，它们会从代理服务器获得多个身份验证提示。并非所有用户都受到影响。不同的地点受到影响。有一次，其中一个代理服务器开始发出"502代理错误，不支持缓冲区空间“。它重新启动并恢复了业务。
我们所能得出的最好结果是，它与巨大的Kerberos令牌大小有关(我们是一个涉及数百/数千个AD安全组
浏览 0提问于2012-06-15得票数 1
回答已采纳
6回答
我在Windows服务器上编写和宿主web应用程序以供内部网使用。我的服务器堆栈使用Sinatra (它使用Rack)、Thin和(在某些情况下) Apache进行反向代理。
我希望在我们的ActiveDirectory支持的域中支持单个登录(使用NTLM或Kerberos)。我已经看到，当我落后于Apache时，我可以使用mod_ntlm或来执行NTLM身份验证。我还没试过这个，但我想它会成功的。
当我不支持Apache时，我的问题是NTLM或Kerberos身份验证，只使用Thin和Sinatra。我见过，但是使用细节非常稀少。
请在Sinatra或Rack下提供已知代码，说明如何在服务器
浏览 5提问于2011-04-16得票数 16
回答已采纳
2回答
我试图在我们正在开发的intranet应用程序上实现SSO。为此，我使用了。现在，我在配置SSO时遇到了一些问题，希望这里有人能够帮助我。
设置如下：
带有tomcat的Linux服务器为intranet应用程序提供服务
Windows 2008作为域控制器(Active )
带有IE9和Firefox的Windows 7客户端
当我打开intranet应用程序时，我看到一个GET请求从客户机发送到tomcat服务器。tomcat服务器和SpnegoFilter的第一个响应是401未经授权的，这是正确的，因此需要对客户端进行身份验证。
806 6.117724 192
浏览 5提问于2012-12-18得票数 2
回答已采纳
我一直在尝试让windows上的curl版本7.63连接到HTTP/2 REST api并使用Windows身份验证。
REST端点被设置为执行“协商”，并在“加入域”的windows服务器上运行。因此，它将从Windows DC KDC获得kerberos委派。
这一切都适用于http/1.1，但如果我尝试强制curl使用http/2，它将恢复到http/1.1
当我使用“基本”身份验证时，curl可以使用http/2连接到rest端点。
我发现这篇博文来自微软的一位前IIS工程师，他说IIs不支持使用Windows身份验证的Http/2。
由于我的REST端点在标头中使用以下内容进行响应:
浏览 3提问于2018-12-20得票数 0
我被困在以下场景中:我从一个具有身份验证类型Kerberos的客户端运行一个c#程序。我想使用kerberos凭据对仍然由NTLM认证的SharePoint服务器use服务进行身份验证。如何使用我的客户端Kerberos凭据使用NTLM登录到can服务？
作为一个测试程序，我编写了以下内容，我希望将其调整为不使用常量用户名、pasword和域且仍能正常工作的程序：
using System;
using System.Security.Principal;
using TestSharePointServices.listService;
namespace TestSharePointSe
浏览 5提问于2013-07-31得票数 0
回答已采纳
我把我的Ubuntu升级到18.10 (从17.10)。现在，我无法从CLI连接到项目的(16.131.27701.1版)。(我有两周没有在仓库里工作了。因此，我不知道服务器端在这段时间是否也发生了变化。)
$ git fetch
Username for 'http://....net:8080': NUNNI
Password for 'http://NUNNI@....net:8080':
fatal: Authentication failed for 'http://....net:8080/tfs/AE/_git/AE-VMT/'
浏览 3提问于2019-01-14得票数 2
我想知道是否可以让Windows机器使用Kerberos对Squid (Linux)进行身份验证，而不需要Active域。
我只想在客户端创建一个Kerberos票证，它应该允许客户机访问squid (使用I.E.)。
我只找到了关于配置A.D./Squid的教程，而不是一个只有Linux服务器的环境。
谢谢
更新：
kerberos设置正确完成，代理和客户端可以获得票证。
至于浏览器(FF/IE)，我得到：
ERROR
Cache Access Denied
While trying to retrieve the URL: http://www.google.com/
The foll
浏览 0提问于2010-09-23得票数 1
我有身份服务器4，它驻留在ngnix代理之后。它支持Azure AD。现在，如果我在https上进行SSO，那么它不能用于IE浏览器，但由于IWA/NTLM/Kerberos，它可以在其他浏览器中正常工作。
因此需要在ngnix中进行更改才能支持该功能。
浏览 10提问于2019-07-13得票数 0
回答已采纳
有谁知道在Windows上运行的Java 6客户机在访问实现SPNEGO身份验证协议的Microsoft服务器时是否能够通过NTLM进行身份验证？
我的理解是，运行在Windows上的Java 6已经内置了对SPNEGO的支持，但在kerberos身份验证不可能的情况下，Java实现似乎不尝试NTLM身份验证。Sun文档中提供的示例在401未经授权的错误的响应下失败，该服务器发送WWW身份验证:协商。
下面是对测试环境的描述：
目标服务器：
Windows 2008 R2独立服务器(不是AD域的一部分)
使用WCF实现的Microsoft SOAP服务
WCF配置为SPNEGO身份
浏览 1提问于2011-05-09得票数 6
回答已采纳
是否可以通过web.config文件指定对使用system.net的SMTP使用NTLM身份验证？如果是这样，需要做些什么呢？
我被告知，如果SMTP服务器需要NTLM或Kerberos，则添加以下内容将导致使用NTLM或Kerberos，但我们的SMTP服务器没有进行身份验证。(我不是SMTP专家)。
<configuration>
<system.net>
<mailSettings>
<smtp>
<network host="yourhost.com" userName
浏览 0提问于2012-12-18得票数 0
4回答
我没有访问设置的权限，也没有权限更改链接服务器上的任何内容。
从我所读到的一切来看，这似乎意味着我不能使用Kerberos --这是一个大问题，因为我不知道如何使用没有Kerberos的链接服务器。
有没有任何方法可以连接到没有Kerberos的链接服务器？(或者用某种方式在AD中启用无需admin的Kerberos？)
精确问题描述
当我坐在服务器前面时连接到链接服务器时，工作正常；但当我试图从任何其他计算机连接到链接服务器(通过我的服务器进行委托)时，就会出现错误：
登录失败的用户'NT权限\匿名登录‘。(，错误: 18456)
这似乎是"双跳问题“，通常的解决方案是启用K
浏览 0提问于2010-04-27得票数 1
回答已采纳
我们正在使用集成的windows身份验证(我认为NTLM)。所有其他客户似乎都很好，IE6或IE7。intranet站点位于IE中的可信站点区域中。
第一个测试的用户说IE8最初是工作的，但是一个补丁可能已经破坏了它。我通过将工作的IE7安装升级到IE8进行了测试，并看到了相同的行为。
在访问站点时，我们获得登录提示，我们可以通过域\用户名和密码进行身份验证。在从文档库访问某些内容时，还会再次得到提示。
还有其他人见过这种行为吗？
Sharepoint 2007 SP2或切换到Kerberos会修复它吗？
下面的内容可能是相关的，但是这是在服务器上运行IE8的引用，另外，我们仍然可以进行身份验
浏览 0提问于2009-07-22得票数 1
回答已采纳
形势：
我在我的web服务器上部署了一个.NET asmx web服务。这个服务在另一个服务器上调用一个服务(如果相关的话，我们的SharePoint服务器)。我希望通过使用客户端的凭据来模拟/委托来自web服务的对SharePoint服务的调用。
问题：
当我调用我的Web并调用SharePoint时，我将从SharePoint服务得到一个401响应。
设置：
我的web服务器正在运行IIS 7。应用程序池运行在“网络服务”下。
在我的Windows 2003域控制器上，web服务器已启用“可信的委托(仅限Kerberos)”。
在ISS中，我的应用程序禁用了匿名身份验证，启用了
浏览 5提问于2013-08-02得票数 5
回答已采纳
1回答
是否有方法检查Windows身份验证(协商、Kerberos、NTLM.)在浏览器中(使用JavaScript或其他方法)是否可用，如果不是，则不提示浏览器输入用户名和密码？
背景
我们正在开发Angular2 SPA公司应用程序，如果它可用(用户正在从域连接计算机访问应用程序)，并且如果它不可用(从因特网或非域连接计算机进行访问)，则会很好地失败以形成基于身份验证的单点登录。
设置
在服务器端拥有受Windows身份验证保护的资源(即REST方法)。当您使用JavaScript调用此REST方法时，将发生以下两种情况之一：
如果Windows身份验证可用，方法将被调用，您将得到一个200
浏览 3提问于2017-03-30得票数 6
对于主机t.p.no，我遇到了一些困难。我正在跟踪，它为其他人编写了一个未添加到windows域中的主机。
由于某些原因，问题似乎是客户端NTLM令牌。
我将遍历服务器的设置和状态，然后是测试客户端：
服务器
环境：
操作系统是CentOS 5.9，
Kerberos、Apache和mod_auth_kerb与yum一起安装：
httpd.x86_64 2.2.3-76.el5.centos installed
httpd-devel.i386 2.2.3-76.el5
浏览 3提问于2013-05-14得票数 3
回答已采纳
2回答
NTLM现代用法
、、、
我知道Kerberos是最近在windows环境中使用的身份验证协议，NTLM仍然只支持互操作性。我想知道在非域环境下，如果我登录到我自己的pc在家里有windows 10，身份验证是由NTLM协议还是Kerberos进行的？
我还想知道现在的NTLM用例吗？
浏览 0提问于2020-04-02得票数 1
1回答
SPN澄清
、、
我们收到以下信息：
“Server无法使用Kerberos进行身份验证，因为服务主体名称(SPN)丢失、放置错误或重复。”
我在如何修理？上找到了一篇文章。但我仍有以下问题：
目前我们的计划是NTLM。NTLM和Kerberos有什么不同？
这个SPN到底是什么？我担心我的生产服务器。
微软推荐哪个更安全："NTLM“还是"Kerberos"？
在什么情况下使用它？
如果我不纠正这个错误，我将面临什么问题？
浏览 0提问于2016-09-23得票数 2
回答已采纳
如何检查我的IIS站点是否使用NTLM或Kerberos？如何将身份验证从Kerberos更改为NTLM？我在用IIS 7.5。
浏览 0提问于2012-08-23得票数 12
回答已采纳
我正在使用indy组件在delphi应用程序中实现电子邮件。我专门使用TidSMTP组件。我需要有效地支持所有主要的电子邮件服务器。我使用作为我的电子邮件客户端，并将smtp属性与TidSMTP组件中的属性进行比较。我试图找到描述TidSMTP属性之间关系的文档，但一直未能找到它。
有人能解释一下它们是如何比较的吗？
In Thunderbird:Connection Security：(None，STARTTLS，SSL/TLS).In TidSMTP.UseTLS (utNoTLSSupport，utUseImplicitTLS，utUseRequireTLS，Thunderbird:身份
浏览 1提问于2012-05-08得票数 6
回答已采纳
1回答
Kerberos使用IE7和8在Windows上工作，但在Windows 2000上使用IE6的客户端不能使用Kerberos进行身份验证。Windows Server 2003将身份验证显示为NTLM。
web应用程序运行在端口40000上，并有自己的应用程序池。
如何使IE6与Kerberos进行身份验证？
浏览 0提问于2009-09-03得票数 1
回答已采纳
1回答
我刚刚了解到，正在探索的某个应用程序不支持SPNEGO身份验证。这是否意味着微软的NTLM也不受支持？
以下是的一段短文，让我相信上面的话是真的：
“.SPNEGO最明显的用途是在微软的"HTTP协商”身份验证扩展中。它最初是在Internet Explorer 5.01和IIS 5.0中实现的，并提供了单点登录功能，后来被推广为集成Windows身份验证。可协商的子机制包括NTLM和Kerberos，它们都用于Active Directory.“
供参考，
浏览 3提问于2016-03-29得票数 0
我有一个场景，在IIS7/Windows2008中托管的ASP.NET MVC 3 web应用程序正在从另一台服务器访问web服务，该服务器也托管在IIS /Windows2008中。KCD是在两个服务器之间设置的，我也设置了必要的SPN。
我已经确认了这在IE中的工作。使用NetMon，我还确认KCD正在后端工作。我的web应用程序在计算机帐户(网络服务)下运行，SPN也相应地为这个机器帐户设置。问题是，当我在我的Windows和Mac (Lion)机器上使用Safari时，我得到了一个401未经授权的错误：
请求是未经授权的客户端身份验证方案‘协商’。从服务器收到的身份验证头是“协商，NT
浏览 1提问于2012-09-13得票数 0
回答已采纳
3回答
Azure CLI的代理认证
、、、、
对于Azure CLI，有使用代理身份验证的方法吗？我们的代理服务器需要对所有请求进行身份验证，而我没有看到任何与此相关的文档。使用HTTP_PROXY环境变量，我可以指示az使用特定的代理服务器，但我不能定义它来使用代理身份验证，或者如果有方法，我不知道。我们的代理身份验证必须通过NTLM或Kerberos完成。
相关团队能否检查我们是否可以配置az cli来使用Kerberos代理身份验证？
浏览 0提问于2019-05-01得票数 0
回答已采纳
1回答
Windows可执行文件身份验证
、、、、
在研究windows身份验证方法和协议时，我决定了解在一个简单的可执行文件中使用的协商、Kerberos和NTLM之间的确切区别，然后再使用IIS和Web身份验证。
我取得了很好的成绩，但我仍然需要更多关于谈判和Kerberos的细节。
我有以下情况：
我已经创建了非常简单的C# windows窗体应用程序，该应用程序显示了显示以下值的消息框：
System.Security.Principal.WindowsIdentity.GetCurrent().AuthenticationType
请注意，我是一个在本地机器上具有管理权限的域用户，我有以下结果：
当我运行exe文件(双击)时，我主
浏览 6提问于2016-03-22得票数 9
回答已采纳
我有一个非常简单的设置。Server (2012)和Server (2016)。X有一个连接到Y的服务器，使用设置"Connections :要使用登录的当前安全上下文进行连接“。SPN被设置，并且我们域中的内部用户可以查询链接的服务器。如果我运行这个查询，我可以看到它们的连接通过KERBEROS进行身份验证：
select session_id,net_transport,client_net_address,auth_scheme
from sys.dm_exec_connections WHERE net_Transport = 'TCP'
然而，一些外部用户通
浏览 0提问于2017-05-04得票数 4
哪个性能测试工具支持使用Kerberos身份验证的网页？仅仅依靠NTLM的工具是不够的。
浏览 1提问于2010-11-12得票数 6
回答已采纳
1回答
是否可以将Windows服务器和工作站(Windows 7)配置为只使用Kerberos进行身份验证，而不使用NTLM进行域内的身份验证？
我被告知，如果通过IP地址访问目标系统，Kerberos身份验证就会失败。
外面有成功或失败的故事吗？
浏览 0提问于2012-02-08得票数 1
2回答
我正在努力想办法使我的收发邮件尽可能的安全。
首先，我的域有通配符OV证书，我有.csr、.crt和.key文件的副本，但我没有.p12或.pfx的任何PKCS12文件，是否可以从SSL证书中获得这些文件，以便我可以通过电子邮件客户端(如outlook、thunderbird)对发送的电子邮件进行数字签名。等
第二，目前我可以和应该为我的电子邮件客户端(S)使用的“最安全”/“最佳”安全设置，下面是所有可用的选项。
传入选项
连接安全：
无
斯泰特
SSL/TLS (目前通过端口993使用)
认证方法：
普通密码(目前通过端口993使用)
加密密码
Kerberos / GSSAPI
NTLM
浏览 0提问于2016-04-28得票数 3
回答已采纳
2回答
我们有一些网页内容，是建立在虚拟目录使用集成窗口身份验证。虚拟目录正在使用自定义标识(自定义用户帐户)的应用程序池下运行。问题是NTLM身份验证工作正常，但是Kerberos身份验证不起作用。这是在IIS 6下工作的相同配置，但是我们需要迁移到IIS 7，Kerberos身份验证不起作用。
以下是有关我的环境的更多信息：
虚拟目录身份验证设置：
除Windows身份验证外，所有禁用的内容
启用内核模式身份验证:已启用
应用程序池设置：
管理管道模式:经典
身份:自定义本地用户
Web.config设置：
身份验证模式= "Windows“
sys
浏览 3提问于2010-09-23得票数 10
回答已采纳
我有一个在Linux服务器上运行Nginx的PHP应用程序，它使用LDAP成功地与我的Active Directory集成在一起。 在当前场景中，用户可以为应用程序创建新的登录，或使用其Windows凭据登录到应用程序。 现在，我正在尝试实现一个完整的单点登录(SSO)，在域中的Windows机器上使用凭据登录的用户将能够打开登录的应用程序，而无需再次使用凭据。 做了一些研究，由于我的Linux服务器不在同一个域中，最好的选择是使用NTLM (旧的和不安全的)，Kerberos protocol或Negotiate协议(这将在NTLM和Kerberos中选择每个请求)，这取决于视窗版本和域控
浏览 25提问于2019-05-15得票数 1
经过很长一段时间与kerberos认证在我的网站上挣扎，我终于来找你，因为我迷路了。我目前正在创建一个经典的PHP网站，我希望通过使用kerberos实现无缝的身份验证。
情况是这样的：
我有一个带有KDC角色的Windows2012R2域控制器。
我有一个Linux服务器(fqdn = webserver.domain.local)。
我有我的网站，它托管在Linux服务器上，可以通过HTTPS访问，其名称是：site.domain.local。
我已经设置了kerberos身份验证，主要是按照以下说明：https://serverfault.com/a/753956/506532 (我的S
浏览 0提问于2019-01-23得票数 0
回答已采纳
1回答
有人知道IIS7的不同windows身份验证提供程序意味着什么吗？有3个可用的提供者
NTLM
谈判
谈判:Kerberos
NTLM很明显，我认为它的NTLM和协商是Kerberos，如果是，那么协商是什么:Kerberos？
浏览 0提问于2010-02-19得票数 8
回答已采纳
我需要以编程方式调用WCF服务。该服务可以由( NTLM或Kerberos身份验证)托管，并且需要在这两种方式下工作。也就是说，如果通过Kerberos连接到服务失败，那么它应该回到NTLM。
下面是我为Kerberos使用的代码(如果相关的话，该服务是在SharePoint 2010中托管的，并且是从web部件调用的)：
public static SiteMembershipSvc.SiteMembershipServiceClient InitialiseSiteMembershipService(string url)
{
var binding = new BasicHttp
浏览 8提问于2010-09-09得票数 8
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
实时音视频活动推荐
腾讯云开发者
