未关闭"扩展保护"的非IE浏览器对AD FS进行NTLM身份验证？

Question

使用NTLM身份验证到AD FS 2.0,从运行在Windows上的Google Chrome或Firefox 3.5+时,会导致重复登录对话框并最终导致登录失败,"审核失败"事件的状态为"状态:0xc000035b".

这可以通过关闭IIS中"/ adfs/ls"Web应用程序的"扩展保护"来"解决".这在几个地方有记录; 有关详细信息,请参阅我对另一个StackOverflow问题的回答.

我的问题是:如何在不关闭"扩展保护"的情况下,为这些浏览器对AD FS进行NTLM身份验证？我的意思是,在Internet Explorer中,这可以正常使用"扩展保护",为什么不使用Chrome或Firefox？或者这是Chrome/Firefox实施错误/限制,例如,他们使用Windows NTLM库？

更新:我应该提到我想这样做而不强迫人们在浏览器设置中进行更改.

Answer 1

根据

• http://technet.microsoft.com/en-us/library/hh237448(v=ws.10).aspx
• http://support.microsoft.com/kb/2461628/en-us

这是Chrome/Firefox/Safari实施限制,如果

• 客户端正在运行Windows 7 ,服务器已ExtendedProtectionTokenCheck设置为 Require或Allow
• 客户端正在运行Windows XP或Vista - 没有适当的更新(!)并且服务器已ExtendedProtectionTokenCheck设置为 Require

也许您可以使用以下方法抑制客户端上的扩展保护:http: //support.microsoft.com/kb/976918/en-us

[...]
要控制扩展保护行为,请创建以下注册表子项:项
名称: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA
值名称: SuppressExtendedProtection
类型: DWORD

对于支持通道绑定的Windows客户端无法通过无法正确处理CBT的非Windows Kerberos服务器进行身份验证:
1.将注册表项设置为" 0x01".
这将配置Kerberos不发出未修补的CBT令牌应用.
2.如果这不能解决问题,则将注册表项值设置为" 0x03".
这将配置Kerberos永远不会发出CBT令牌.

[...]