Falha de autenticação do Windows entre vários domínios (sites)

Question

Eu acabei de lançar uma nova empresa de Intranet - a empresa tem 6 sites no Reino Unido, cada um tem um domínio local chamado (por exemplo) london.local, derby.local, thatlotupnorth.local etc etc, e cada um tem seu próprio Servidor AD (Os sites são conectados via MPLS através da Virgin, mas isso deve ser transparente para o problema)

O servidor de intranet (Server 2008 R2, IIS 7.5) é baseado em, digamos, london.local e usa a Autenticação do Windows para autenticar e acessar o site no servidor de intranet.

Isso funciona bem em todos os sites, exceto um.

Outras investigações mostram que um usuário que é um membro deste site, digamos derby.local, não pode entrar em sua conta dentro de outro domínio, por exemplo, eu configurei uma conta no domínio derby.local e tentei registrar em de london.local, eu recebo o erro "Não há atualmente nenhum servidor de logon disponível para atender o logon", sugerindo que o servidor AD não está acessível, no entanto, eu posso pingar.

Tenho quase certeza de que a causa da autenticação do Windows na intranet é porque o servidor não pode acessar o servidor do AD no outro site.

O nslookup relata que um domínio é "inexistente" e todos os outros servidores do AD respondem com seus detalhes. No entanto, eu sou capaz de ping derby.local.

quaisquer indicações de onde começar a resolução de problemas são muito apreciadas!

    

Answer 1

Se o site estiver na zona Sites confiáveis e essa zona estiver configurada para "Logon automático com nome de usuário e senha atuais" e o IIS estiver configurado com uma conta do pool de aplicativos que possa representar o usuário, ele deverá ser possível para a Internet Explorer para apresentar o token de autenticação como parte do cabeçalho de solicitação http e o IIS para usar esse token para autenticação e autorização.

A Zona da Intranet também pode ser usada se o URL for um nome único / abreviado.

Essa "autenticação integrada", em oposição à solicitação de credenciais (provavelmente em texto sem formatação), normalmente é o mecanismo de autenticação preferido.

Uma maneira de determinar se está configurada corretamente é baixar o utilitário DelegConfig e adicioná-lo como um diretório virtual no site. Quando você abrir o link para esse diretório virtual, ele executará alguns testes e exibirá o que, se houver alguma coisa, pode estar configurado incorretamente.

Normalmente, isso exige que o computador IIS seja "Confiável para Delegação" na guia de delegação da conta do computador ou, se o pool de aplicativos estiver usando uma conta de domínio, essa conta precisa ser confiável da mesma maneira, embora a Delegação guia não mostra por padrão para contas de usuário, então você precisaria usar setspn.exe.

Às vezes, o cabeçalho da solicitação HTTP é muito grande, devido a muitos membros do grupo. Isso exigiria o ajuste de uma configuração de registro do IIS para MaxRequestBytes.

Configurações de registro HTTP.sys para o IIS link

DelegConfig Download: link