Entegre Windows kimlik doğrulamasını kullanarak oturum açma istemi alma

Windows 2003 sunucusunda IIS 7 altında çalışan bir .NET 3.5 uygulamam var ve oturum açmam istenmeye devam ettiği için tümleşik Windows kimlik doğrulamasının düzgün çalışmasını sağlayamıyorum. Windows Kimlik Doğrulamasını diğer tüm güvenlik türleri devre dışı bırakılarak IIS'de etkin olacak şekilde ayarladım ve uygulama web.config dosyası kimlik doğrulama / yetkilendirme şu şekilde ayarlandı:

<system.web>
    <compilation debug="true" strict="false" explicit="true" targetFramework="3.5" />
    <authenticationmode="Windows"/>
    <authorization>
    <deny users = "?" />
    </authorization>
</system.web>

Bu kurulumla, Windows kullanıcısının anonim kullanıcılara erişime izin vermesini ve bunu reddetmesini sahne arkasında doğrulamayı bekliyorum. Ancak, siteye erişmeye çalıştığımda aldığım şey bir Windows oturum açma açılır penceresi.

Birkaç gündür bu sorunu gideriyorum ve sorunu çözemiyorum. Benzer sorunları olan gönderilere dayanarak, URL'min nokta içermediğini doğruladım, IE ayarlarımın Tümleşik Windows Kimlik Doğrulamasını Etkinleştir olarak ayarlandığını iki kez kontrol ettim ve ayrıca URL'mi intranet sitelerime ekledim, ancak yine de açılır pencereyi görüyorum.

Daha fazla sorun gidermek için, IIS'de Anonim Kimlik Doğrulamayı etkinleştirdim ve web.config dosyamı doğrudan içeri girmeme izin verecek şekilde değiştirdim ve ardından Response.Write (System.Security.Principal.WindowsIdentifity.getcurrent (). User.name.toString () ekledim ) kimlik doğrulamasında hangi kullanıcının kullanıldığını görmeye çalışmak. Elde ettiğim sonuç, açıkçası uygulamam için IIS uygulama havuzu olan IIS APPPOOL \ myapp.

Hala yalnızca Windows kimlik doğrulamasını kullanıyorum, ancak açılır pencereyi almadığım ve Windows kimlik doğrulamasının gerçek Windows kullanıcısına karşı gerçekleştirildiğinden, herhangi birinin sağlayabileceği herhangi bir yardımı gerçekten takdir ediyorum.

Teşekkürler.

Daha fazla sorun giderme işleminden sonra ek not:

Oturum açma başarısız olduğunda ve Windows oturum açma istemi tekrar görüntülendiğinde, "SUNUCUADI" \ "KULLANICI ADI" olarak oturum açmaya çalışan kullanıcı adını gösterdiğini fark ettim ki bu da beni sunucuya karşı sunucuya karşı doğrulamaya çalıştığına inandırdı. alan adı. Bunu onaylamak için, doğrudan uygulama sunucusunda ağ etki alanı kullanıcısı ile aynı kullanıcı adı ve şifreyle yerel bir kullanıcı hesabı oluşturdum ve tekrar oturum açmayı denedim. Sonuç olarak oturum açma istemini tekrar aldım ancak bu sefer kullanıcı adı ve parolayı girdiğimde başarıyla oturum açabildim. Ağ kullanıcısı ve uygulama sunucusu aynı etki alanında olduğundan, IIS kimlik doğrulamasının neden etki alanı hesaplarına değil de yerel uygulama sunucusu hesaplarına işaret ettiğinden emin değiller. Bu noktada bunun bir IIS sorusu olduğunun farkındayım, bu yüzden forums.iis'e yazıyorum.

Üzerinde çalıştığım bir Windows 2008 sunucum var, bu yüzden cevabım OP'nin Windows 2003 sunucusundaki ile tamamen aynı değil.

İşte yaptığım şey (bunu daha sonra bulabilmem için buraya kaydediyorum).

Aynı sorunu yaşıyordum:

Benim içinde Web.config dosyasında, ben bu bölümü vardı:

<system.web>
    <authentication mode="Windows" />
    <authorization>
        <allow users="*" />
        <deny users="?" />
    </authorization>
</system.web>

IIS altında, tüm bunlar Kimlik Doğrulama simgesi altında çözülmüş gibi görünüyor .

1. İzinleri Düzenle: ASP.NET hesabınızın izne sahip olduğundan emin olun. Benimki başlangıçta eklenmedi.

Şimdi Kimlik Doğrulamanın özelliklerine gidin :

Enable anonim kimlik doğrulaması ile IUSR:

Windows Kimlik Doğrulamasını etkinleştirin , ardından Sağlayıcıları ayarlamak için Sağ Tıklayın .

NTLM'nin İLK olması gerekir!

Sonra, altında olmadığını kontrol Gelişmiş Ayarlar ... Genişletilmiş Koruma olduğunu kabul ve Çekirdek modu kimlik doğrulaması etkinleştirme CHECKED edilir:

Bunu yaptıktan sonra, web uygulamama geri döndüm, Gözat bağlantısını tıkladım ve kimlik bilgilerimi tekrar vermek zorunda kalmadan oturum açtım.

Umarım bu birçoğunuz için yararlı olur ve umarım ileride benim için de yararlı olur.

Sadece başkalarının yararı için. Hata a ise 401.1 Unauthorizedve hata kodunuz eşleşiyorsa 0xc000006d, aslında FQDN'ye veya yerel makine adınızla eşleşmeyen özel ana bilgisayar başlıklarına yönelik istekleri engelleyen bir güvenlik "özelliği" ile karşılaşıyorsunuzdur:

Sorunu çözmek için bu destek makalesini takip edin:

https://webconnection.west-wind.com/docs/_4gi0ql5jb.htm (orijinal, şimdi geçersiz: http://support.microsoft.com/kb/896861 )

Kaybolmamasını sağlamak için destek makalesinden:

Geçici çözüm, bu politikayı açıkça devre dışı bırakan bir kayıt defteri saldırısıdır.

Bu yapılandırmayı el ile gerçekleştirmek için bu anahtarı sunucudaki kayıt defterinde bulun:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

ve yeni bir anahtar düzenleyin veya ekleyin:

DisableLoopbackCheck (DWORD)

daha sonra geri döngü denetimini devre dışı bırakmak için değeri 1'e (yerel kimlik doğrulama çalışır) veya 0'a (yerel kimlik doğrulamaya izin verilmez) gönderin.

Veya daha kolay bir şekilde Powershell'i kullanabilirsiniz:

New-ItemProperty HKLM:\System\CurrentControlSet\Control\Lsa -Name "DisableLoopbackCheck" -Value "1" -PropertyType dword

Görünüşe göre son Windows 10 sürümleri (1803 ve sonrası?) Da yerel olarak kimlik doğrulaması yapmak için bu yapılandırma ayarını gerektiriyor.

Bu biraz zaman aldı çünkü buradaki herkesin yorumları bana yardımcı olmadı. Bu makaleyi buldum ve düzeltti!

Web sitemin yalnızca belirli bir bölümünü korumak istediğim için benzer bir sorun yaşadım. IE dışında her şey iyi çalıştı. Hem Anonim hem de Windows Kimlik Doğrulamasını etkinleştirdim. Anonim için Kimlik, Uygulama Havuzu kimliğine ayarlanır. Sorun Windows Kimlik Doğrulaması ile ilgiliydi. Etrafta biraz araştırma yaptıktan sonra, kemancıyı ateşledim ve sağlayıcı olarak Kerberos'u kullandığını buldum (aslında varsayılan olarak Müzakere seçeneğine ayarlanmıştır). NTLM olarak değiştirdim ve bu onu düzeltti. HTH

Daudi

Web güvenliğinize [Etki Alanı Kullanıcıları] izni ekleyin.

• Siteler klasörünün altındaki IIS'de sitenize sağ tıklayın
• İzinleri Düzenle ... seçeneğini tıklayın.
• Güvenlik sekmesini seçin
• Grup veya kullanıcı adları bölümünün altında Düzenle ... düğmesini tıklayın
• İzinler açılır penceresinde Grup veya kullanıcı adları altında Ekle ... seçeneğine tıklayın.
• Metin alanını seçmek için nesne adlarına [Etki Alanı Kullanıcıları] girin ve değişikliği uygulamak için Tamam'ı tıklayın.
• İzinler açılır penceresini kapatmak için Tamam'ı tıklayın
• Özellikler açılır penceresini kapatmak ve yeni ayarlarınızı uygulamak için Tamam'ı tıklayın.

Her şeyi değiştirerek sunucunuzda hata yapmayın. 2008 R2'de Windows Kimlik Doğrulaması kullanırken oturum açmanızı isteyen bir pencereniz varsa, her uygulamanız için gidin Providersve YUKARI'ya gidin NTLM. Ne zaman Negotiatelistedeki ilk biridir, Windows Kimlik 2008 R2 üzerinde belirli bir uygulama için çalışma özelliğine durdurabilir ve asla işin daha adını ve şifresini girmesi istenir edilebilir. Bu bazen başvurunuzda bir güncelleme yaptığınızda olur. NTLMListede ilk sırada olduğundan emin olun ve bu sorunu bir daha asla görmeyeceksiniz.

URL'nizin alan adında noktalar varsa, IE onu yerel değil bir internet adresi gibi ele alır. En az iki seçeneğiniz var:

1. URL'de server.domain'i değiştirmek için kullanılacak bir takma ad alın. Örneğin, uygulamam.
2. Bilgisayarınızda aşağıdaki adımları izleyin.

Siteye gidin ve oturum açma iletişim kutusunu iptal edin. Bunun olmasına izin ver:

IE'nin ayarlarında:

WindowsIdentity.GetCurrentdoğru: APPPOOL kullanıcısını edinmelisiniz. Bunun nedeni, kodunuzu çalıştıran ASP.NET işleminin geçerli kimlik olmasıdır. Sitenin kimliğine isabet eden kullanıcıyı geri döndürmesini istiyorsanız, web.config dosyanıza aşağıdaki satırı eklemeniz gerekir:

<identity impersonate="true" />

Bu, işlemin sayfayı isteyen kullanıcının kimliğini üstlenmesine neden olur. Tüm eylemler onların adına gerçekleştirilecektir, bu nedenle ağdaki klasörleri okuma veya veritabanı kaynaklarına erişim ve benzeri herhangi bir girişim, mevcut kullanıcının bu şeyler için izinlere ihtiyaç duyacağı anlamına gelecektir. Sen Kimliğe bürünme hakkında daha fazla bilgi bulabilirsiniz burada . Web / veritabanı sunucusu topolojinizin nasıl ayarlandığına bağlı olarak, kimliğe bürünme açıkken temsilcilik sorunlarıyla karşılaşabileceğinizi unutmayın.

Ancak asıl sorununuz, kimliğin belirlenemediği ve bir oturum açma açılır penceresi alacağınızdır. <deny>IIS'de anonim kimlik doğrulamasını devre dışı bıraktıysanız , bloğa ihtiyacınız olmadığını not edeceğim . Bunu asla dahil etmiyoruz (özel <location>bloklar ve benzerleri hariç ), bu yüzden kaldırmayı ve tekrar denemeyi deneyebileceğinizi söyleyebilirim. Gerçi her şey kulağa doğru geliyor.

IIS'de uygulama havuzunu hangi kullanıcının çalıştırdığını belirtmediniz. Özel bir hesap mı yoksa varsayılan hesap mı? Özelse, web sunucusunda bir etki alanı hesabı mı yoksa yerel bir hesap mı? Özel hesaplar bazen bir SPN kaydettirme gibi birkaç adım daha gerektirebilir. Ayrıca, özel hesabın AD'de gelen kullanıcının hesabını çözmek için izne sahip olmamasıyla ilgili bir sorun olabilir.

Hangi yanıtın döndürüldüğünü görmek için IIS günlüklerini de kontrol edebilirsiniz. Büyük olasılıkla bir 401 olacaktır, ancak 401.2 gibi bir alt numarası olmalıdır. Bu alt numara bazen sorunun kökünü belirlemeye yardımcı olabilir. Bu KB makalesi beşi listeler.

Bu benim için düzeltti.

Sunucum ve İstemci Bilgisayarım Windows 7 ve aynı etki alanında

1. iis7.5'te İntranetiniz için Windows kimlik doğrulamasını etkinleştirin (diğer tüm kimlik doğrulamalarını devre dışı bırakın. Ayrıca web.config dosyasında Windows kimlik doğrulamasından bahsetmeye gerek yok

2. sonra İstemci PC'ye gidin .. IE8 veya 9- Araçlar-internet Seçenekleri-Güvenlik-Yerel Intranet-Siteler-gelişmiş-Sitenizi ekleyin ("sunucu verfi gerekli ..." bilet işaretini kaldırın ... gerek yok

3. IE8 veya 9- Araçlar-internet Seçenekleri-Güvenlik-Yerel İntranet-Özel seviye-kullanıcı kimlik doğrulama-oturum açma-geçerli kullanıcı adı ve şifre ile otomatik oturum açma seçimi

4. bu ayarları kaydedin .. bitirdiniz .. Artık kullanıcı adı ve parola istemenize gerek yok.

5. İstemci bilgisayarınız etki alanının bir parçası olduğundan, bu ayarlar için bir GPO'ya sahip olmanız gerektiğinden emin olun, aksi takdirde bu ayar, kullanıcı bir dahaki sefere Windows'ta oturum açtığında geri dönecektir.

Tarayıcı ile ilgili olabilir. IE kullanıyorsanız, Gelişmiş Ayarlar'a gidebilir ve "Windows Tümleşik Kimlik Doğrulamasını Etkinleştir" onay kutusunun işaretli olduğunu işaretleyebilirsiniz.

Benim durumumda, yetkilendirme ayarları düzgün yapılmamış.

Yapmak zorundaydım

1. IIS Yöneticisi'nde .NET Yetkilendirme Kurallarını açın

   

2. ve kaldırmak Reddetme Kuralı

   

İntranetimizde sorun istemci tarafında burada gösterildiği gibi güvenlik ayarları değiştirilerek çözüldü. Sağdaki onay kutularından herhangi biri bizim için çalıştı.

Bir ASP.Net uygulamasıyla benzer bir sorunu çözdüm.

Belirtiler: Makine etki alanına doğru şekilde katılmış olsa bile (Ek Notunuzda söylediğiniz gibi) yerel bir kullanıcı kullanarak uygulamamda oturum açabiliyordum, ancak etki alanı kullanıcısı değil. Güvenlik olay görüntüleyicisinde, ID = 4625 "Etki alanı sid tutarsız" olan bir olay vardı.

Çözüm: Çözümü burada buldum . Sorun, sanal makinelerin klonlandığı test makinelerimin (Windows Server 2008 R2; bir Etki Alanı Denetleyicisi ve bir web sunucusu) olmasıydı. Her ikisi de, görünüşe göre sorunlara neden olan aynı makine SID'sine sahipti. İşte yaptığım şey:

1. Web sunucusunu etki alanından kaldırın.
2. VM'de c: \ Windows \ System32 \ Sysprep \ Sysprep.exe'yi çalıştırın.
3. Sanal makineyi yeniden başlatın.
4. Web sunucusunu etki alanına katın.

İşlemdeki bazı ayarları kaybedersiniz (kullanıcı tercihleri, statik IP, kendinden imzalı sertifikayı yeniden oluşturma), ancak şimdi onları yeniden oluşturduğuma göre, her şey düzgün çalışıyor.

Ben de aynı sorunu yaşadım. Bu ve diğer forumlarda bulunan şeylerin çoğunu denedim.

Sonunda biraz kendi RnD'sini yaptıktan sonra başarılı oldu.

IIS Ayarlarına girdim ve ardından web siteme izin seçeneklerime Kuruluşlar Etki Alanı Kullanıcı Grubumu ekledim.

Artık tüm etki alanı kullanıcıma o web sitesine erişim izni verildiği için bu sorunla karşılaşmadım.

Bu yardımcı olur umarım

Etki alanı önekinizle oturum açmayı denediniz mi, örneğin DOMAIN \ Username? IIS 6 varsayılan olarak ana bilgisayarı varsayılan etki alanı olarak kullanır, bu nedenle oturum açma sırasında etki alanının belirtilmesi sorunu çözebilir.

Yukarıdaki IIS yapılandırma püf noktalarını ve geri döngü kayıt defteri hackini denedim ve uygulama havuzu izinlerini ve bir düzine başka şeyi gözden geçirip yeniden oluşturdum ve IIS Express veya IIS 7.5 ile geliştirme iş istasyonumda çalışan kimlik doğrulama döngüsünden hâlâ kurtulamadım. yerel veya uzaktan göz atma oturumundan. Dört 401.2 durum yanıtı ve boş bir sayfa aldım. IIS 8.5 hazırlama sunucuma dağıtılan aynı site kusursuz çalışıyor.

Son olarak, yanıt gövdesindeki, tarayıcı tarafından boş bırakılan işaretlemenin başarılı bir oturum açma için varsayılan sayfayı içerdiğini fark ettim. 401 hatası için ASP.NET ve HTTP için Özel Hata işlemenin, iş istasyonumun Windows Kimlik Doğrulamasını engellediğini / müdahale ettiğini belirledim ancak hazırlama sunucusu değil. Bununla uğraşarak birkaç saat geçirdim, ancak yalnızca 401 hatası için özel işlemeyi kaldırır kaldırmaz iş istasyonu normale döndü. Bunu kendi ayağınızı vurmanın başka bir yolu olarak sunuyorum.

IIS7.0 veya IIS7.5'teki Windows kimlik doğrulaması, uygulama havuzu kimliği ApplicationPoolIdentity One'ın Ağ Hizmeti veya başka bir yerleşik hesap kullanması gerektiğinde kerberos (sağlayıcı = Anlaşma) ile çalışmaz. Diğer bir olasılık, Windows Authenticatio'nun çalışmasını sağlamak için NTLM'yi kullanmaktır (Windows Kimlik Doğrulamasında, Sağlayıcılarda, NTLM'yi en üste koyun veya anlaşmayı kaldırın)

Chris van de vijver

Aynı sorunu yaşadım çünkü uygulama havuzunda kullandığım kullanıcı (Kimlik) IIS_IUSRS grubuna aşağı düşmüyordu. Kullanıcıyı gruba ekledi ve her şey çalışıyor

Benim durumumda çözüm (yukarıda önerilen ayarların üstünde) / kullanıcılarımın yerel geliştirme bilgisayarını / IIS'yi (barındırma sunucusu) yeniden başlatmaktı . Kullanıcım yeni oluşturulan AD güvenlik grubuna eklendi ve bilgisayar oturumunu kapatana / yeniden başlatana kadar ilke kullanıcı AD hesabına uygulanmadı.

Umarım bu birine yardımcı olur.

Aynı kimlik bilgisi sorma sorunuyla karşılaştım ve hızlı bir arama yaptım ve internette hiçbir şey düzeltmedi. Aptalca bir sorunu bulmak biraz zaman aldı.

IIS'de -> Gelişmiş Ayar -> Fiziksel Yol Kimlik Bilgisi (boş)

VM / sunucuya erişimi olan bir makine kimliği (etki alanı / kullanıcı) eklediğim anda, parola sorma işlemi duracaktı.

Bu yardımcı olur umarım

Bu sorunu .net core 2'de yaşıyordum ve buradan çoğu öneriyi gözden geçirdikten sonra, web.config'deki bir ayarı kaçırdık gibi görünüyor.

<aspNetCore processPath="dotnet" arguments=".\app.dll" forwardWindowsAuthToken="false" stdoutLogEnabled="false" stdoutLogFile=".\logs\stdout" />

Doğru ayar forwardWindowsAuthToken = "true" idi, bu şimdi apaçık görünüyor, ancak aynı problem için çok fazla durum olduğunda tam olarak tespit etmek daha zor

Düzenleme: Sorunu gidermeye yönelik aşağıdaki Msdn makalesini de yararlı buldum .

Aynı sorunu aldım ve altında web uygulamasının NetworkService'de çalıştığı uygulama havuzunun Uygulama havuzu kimliğini değiştirerek çözüldü