IIS7 Windows 身份验证提供程序

Question

有谁知道 IIS7 的不同 Windows 身份验证提供程序是什么意思。有 3 个可用的提供者

1. NTLM
2. 谈判
3. 协商：Kerberos

NTLM 非常明显，我认为它的 NTLM 和 Negotiate 是 Kerberos 如果是这样，那么 Negotiate:Kerberos 是什么？

Answer 1

您所看到的实际上是 Windows Server 2008 R2 中的一项新功能。

NTLM 和协商与旧版本的 IIS 中的相同。就本讨论而言，Negotiate = Kerberos 是正确的 - 但如果 Negotiate 无法使用 Kerberos 进行身份验证，它也可以回退到 NTLM。

2008 R2 在 IIS 中添加了一项名为“ Negotiable 2 ”（在文档/博客中经常称为 Nego2）的新功能，它允许 LiveID 等新身份验证提供程序与 IIS 一起使用。

Nego2 的额外好处之一是它允许您拥有一个 Kerberos/Negotiate 身份验证提供程序，如果它无法进行身份验证，则不会回退到 NTLM。这就是您看到的新的“Negotiate:Kerberos”提供程序。

这样做的缺点是要使用 Nego2 提供程序（包括 Negotiate:Kerberos），您必须禁用内核模式身份验证，这会降低性能并导致其他问题，具体取决于您的配置。