IIS NTLM/Kerberos 身份验证是否仍然适用于脱机域控制器？

Question

我们有多个 IIS 实例分布在远程区域分支机构。每个 IIS 实例 (v.7.5) 都运行相同的应用程序，并使用集成身份验证（提供商列表中的 NTLM）对其用户进行身份验证。

一些分支经常与总部断开连接，因此无法访问域控制器。当与总部的链接断开时，我们观察到一些用户仍然可以对 IIS 服务器进行身份验证，而另一些则不能。

我们可以在 NTLM 和 Kerberos 身份验证中找到的 MSFT 文档不包含有关这些机制（和/或 IIS 本身）如何处理临时断开域控制器的情况的信息。工作站可以轻松获得信息：策略设置定义了本地缓存的登录次数，允许与离线 DC 进行交互登录。但是 IIS 会发生什么？

• DC 不可用时是否可以进行身份​​验证？
• 如果是，有什么要求？
• 是否涉及某种缓存？（通常：如果 DC 关闭，域成员工作站是否可以重新启动并仍然访问 NTLM 身份验证的 IIS 应用程序？）

任何有关此主题的文档的帮助或指示将不胜感激，

亲切的问候，某人

Answer 1

Windows会在有限的时间内缓存身份验证凭据。您的 Web 服务器很可能已让用户在连接到 DC 时进行身份验证。这些用户将能够在通信中断期间使用该网站，但最近未使用该网站的新用户将被阻止。

如果连接不可靠，最好的方法可能是激活分支机构的域控制器角色以进行完整的 AD 复制。