IISWebサイトでのKerberos認証の構成

これは、Windows Server 2012R2を実行しているIISWebサイトで透過的なSSO（シングルサインオン）Kerberosドメインユーザー認証を構成する方法のステップバイステップガイドです。

WebサーバーでIISManagerを起動し、必要なWebサイトを選択して、認証に移動します。 セクション。ご覧のとおり、匿名認証のみ デフォルトで有効になっています。無効にしてWindows認証を有効にします （ まず、IISは常に匿名認証を実行しようとします）。

Windows認証に使用できるプロバイダーのリストを開きます（プロバイダー ）。デフォルトでは、2つのプロバイダーを利用できます：交渉 およびNTLM 。 Negotiateは、最初の認証方法としてKerberosを使用するコンテナであり、認証が失敗した場合はNTLMが使用されます。 交渉する必要があります プロバイダーのリストの最初に来る。

次のステップには、サービスプリンシパル名（SPN）の登録が含まれます。 ユーザーがアクセスするWebサイトの名前のエントリ。 IIS Webサイトを、それが配置されているサーバーの名前でのみ使用できるようにする必要がある場合（ http：// server-name またはhttps://server-name.adatum.loc ）、追加のSPNエントリを作成する必要はありません（SPNエントリはADのサーバーアカウントにすでに存在します）。 Webサイトのアドレスがホスト名と異なる場合、または負荷分散を使用してWebファームを構築している場合は、追加のSPNエントリをサーバーまたはユーザーアカウントに接続する必要があります。

IISサーバーのファームがあるとします。この場合、別のADアカウントを作成し、それにSPNエントリをバインドすることをお勧めします。当社のウェブサイトのターゲットアプリケーションプールは、このアカウントから開始されます。

ドメインアカウントを作成するiis_service 。このオブジェクトにSPNエントリが割り当てられていないことを確認してください（servicePrincipalName属性が空です）。

Webサイトがhttp：// webportalで応答する必要があるとします。 およびhttps://webportal.adatum.loc 。これらのアドレスは、サービスアカウントのSPN属性で指定する必要があります。

Setspn /s HTTP/webportal adatum\iis_service
Setspn /s HTTP/webportal.adatum.loc adatum\iis_service

したがって、ユーザーがこれらのアドレスにアクセスしたときに、このアカウントがKerberosチケットを復号化し、セッションを認証できるようにします。

アカウントのSPN設定は次のように確認できます：

setspn /l iis_service

ヒント 。同じSPNが異なるドメインエントリで使用されている場合、Kerberosは正しく機能しません。次のコマンドを使用して、ドメインに重複するSPNがないことを確認します。setspn –x

次のステップは、IISアプリケーションプールを構成して、前に作成したアカウントから起動することです。

Webサイトのアプリケーションプールを選択します（この例では、DefaultAppPoolです）。

詳細設定を開きます IDに移動します。

ApplicationPoolIdentityから変更します adatum \ iis_serviceへ 。

次に、IISマネージャーでWebサイトにアクセスし、構成エディターを選択します。 。

ドロップダウンメニューで、system.webServer>セキュリティ>認証>windowsAuthenticationを選択します

useAppPoolCredentialsを変更します 真に 。

したがって、IISがドメインアカウントを使用してクライアントからのKerberosチケットを復号化できるようにします。

次のコマンドを使用してIISをリセットします：

iisreset

すべてのWebファームサーバーで同じように構成する必要があります。

Kerberos認証をテストしてみましょう。これを行うには、クライアントのブラウザでhttps://webportal.adatum.locを開きます。

注 。私の場合、IE11では一度に認証できませんでした。信頼できるWebサイトのリストにアドレスを追加し、現在のユーザー名とパスワードを使用した自動ログオンを指定する必要がありました ユーザー認証->ログオン 信頼できるゾーンサイトの設定。

Fiddlerを使用してHTTPトラフィックを監視することにより、WebサイトでKerberos認証が使用されていることを確認できます（このツールについては前述しました）。

Fiddlerを起動し、ブラウザでターゲットWebサイトを開きます。ウィンドウの左側で、Webサイトアクセスの行を見つけます。ウィンドウの右側にある[インスペクター]タブに移動します。 「承認ヘッダー（ネゴシエート）にはKerberosチケットが含まれているようです 」は、KerberosがIISWebサイトでの認証に使用されたことを示しています。