Estou com um problema ao configurar o site do IIS 7.0 em um ambiente de teste com o Kerberos. Eu tenho uma versão de avaliação do Windows Server 2008 R2 com AD DS, AD RMS, DHCP, DNS & Funções do IIS instaladas. Eu entrei nas configurações de segurança do IIS para o site e configurei a Autenticação do Windows para permitir o login do Kerberos.
O problema que estou encontrando é que não está usando o Kerberos rotineiramente para o protocolo de segurança. Quando defino provedores no IIS para "Negociar", o Fiddler2 indica que o cabeçalho retornará um cabeçalho NTLM em 50% do tempo e um cabeçalho Kerberos nos outros 50% do tempo. Se eu definir o provedor como "Negociar: Kerberos" no IIS, não consigo acessar o site, pois ele relata imediatamente um erro 401. Além disso, qualquer tentativa de se conectar ao site em qualquer configuração usando uma máquina Linux aponta imediatamente para um erro de segurança 401.
Alguém pode fornecer alguns insights ou guias sobre como configurar isso? Eu especificamente preciso bloquear qualquer fallback para NTLM, além de ativar o Kerberos, independentemente da máquina que me conectar. Até agora, não encontrei nenhum artigo de technet ou serverfault que resolvesse totalmente esse problema.
No Firefox, você precisará configurá-lo para usar o Kerberos em about: config network.negotiate-auth.trusted-uris e network.negotiate-auth.delegation-uris .
Para o Chrome / Chromium, experimente o navegador chromo -auth-server-whitelist="company.com"
Se você deseja configurar um serviço / aplicativo do Linux para autenticar em um ponto de extremidade de serviço do IIS, é possível fazer com que a caixa do Linux seja autenticada em um site de janelas hospedadas no IIS da seguinte forma:
ktpass -princ HTTP/[email protected] -ptype KRB5_NT_PRINCIPAL -mapuser myuser -pass mypassword -out c:\user.keytab myiis.site.com corresponda ao seu ponto de extremidade. e que SITE.COM corresponde ao seu Componente do domínio . setspn -L myuser
klist -c -k user.keytab /etc/heimdal/krb5.keytab
ktutil list