IIS als Dienstkonto mit AzMan läuft

Question

ich eine Anforderung haben eine Website läuft als Dienstkonto für IP Gründe zu haben, möchte ich auch in der Lage sein, den Benutzer zu verwenden AzMan für Auth/Auth von. Aus irgendeinem Grund kann ich nicht scheinen, dass diese zusammenarbeiten. Ich habe eine Beispiel-App eingerichtet, um die Gewässer zu testen, die im Grunde einige Benutzeranmeldeinformationen ausspuckt. Anders als Azman und die Web-Konfiguration hat die App keinen Integrationscode (keine Protokollierung/DB/Webserice-Interaktion), es ist ein Ein-Pager.

Ausführen der App-Pool unter dem Netzwerkdienstkonto mit dem Anon Zugriff verweigert erhalte ich:

Windows Identity Check - Name: 'NT AUTHORITY\NETWORK SERVICE' 
Request.LogonUserIdentity.Name = 'CT\rhyc' 
HttpContext.User.Identity.Name = 'CT\rhyc' 
User.Identity.Name = 'CT\rhyc' 
Is in UserRole = 'True' 

..welche alles gut ist, alles funktioniert, aber das Dienstkonto Netzwerkdienst das Dienstkonto nicht Ich soll verwenden. Wenn ich das Konto auf das Dienstkonto umschreibe, bekomme ich ein Popup-Fenster, in dem nach Benutzerdaten gefragt wird (was ich nicht will, es sollte Single Sign On sein); Allerdings habe ich diese Anmeldeinformationen in der vorherigen Einrichtung (ct/rhyc)

übergeben Es wurde ein Setspn Befehl für die Website ausgeführt (anscheinend), aber ich weiß nicht wirklich, was spn tut, geschweige denn wissen, wie man es überprüft. Auch wenn ich Anon Zugang mit dem App-Pool läuft der Dienst die ich Konto erlauben:

Windows Identity Check - Name: 'CT\SVC-PERAT2-T2DEV' 
Request.LogonUserIdentity.Name = 'PERAT2NTAH3WD1\CVX_IUSR' 
HttpContext.User.Identity.Name = '' 
User.Identity.Name = '' 
Is in UserRole = 'False' 

Sorry Leute, ich bin und IIS n00b, ist es normalerweise nicht etwas, was ich tun würde, aber unsere Admins don‘ t scheinen viel über IIS zu wissen, so dass es mir noch übrig ist .. :(

Answer 1

mit SPN Sie in die Welt der Kerberos bekommen. Dies ist in der Regel ein Bereich des unbekannten.

es gibt eine große White Paper ist, dass geht durch die Fehlersuche in diesem Bereich: http://www.microsoft.com/DOWNLOADS/details.aspx?FamilyID=7dfeb015-6043-47db-8238-dc7af89c93f1&displaylang=en

Es wird erläutert, wie mehr Protokollierung aktiviert wird, um zum Stamm des Auth-Problems zu gelangen. Normalerweise ist es mit Delegation in Exchange zu tun, nicht eingerichtet ist, um die Anmeldeinformationen eines Benutzers weitergeben usw.

Mehr hier: http://support.microsoft.com/kb/262177

Answer 2

OK so sieht es aus wie wir den Holzweg waren. Kerbros wurde nie benötigt, einige, wie es durch chinesisches Geflüster gerutscht ist. Wir haben nur NTLM geändert und alles ist gut.

cmd unter
cscript adsutil.vbs set w3svc/1152622725/root/NTAuthenticationProviders "NTLM"

wo 1152622725 die Website-ID

Danke für all die Hilfe Jungs war, Lektion gelernt: nicht f__k mit kerros, weil es zurückbeißt!