Windows集成(NTLM)身份验证与Windows集成(Kerberos)

Question

Windows集成(NTLM)身份验证和Windows集成(Kerberos)之间有什么区别？

如何在IIS6中实现这些

wrt MSDN

Answer 1

Kerberos和NTLM是用于验证用户密码的不同算法,而不会泄露服务器的密码.有关NTLM和Kerberos的更多信息,请访问Wikipedia.

如果启用Windows身份验证,则通常首选Kerberos,如果不可用,则会返回到NTLM.

• NTLM仅要求客户端与Web服务器通信以进行身份​​验证.Web服务器处理与域控制器的通信.这是公共可用站点的优势,其中无法从Internet访问DC.不幸的是,NTLM使用的加密技术已经过时,不再被认为是安全的.NTLM应仅用于https.
• Kerberos要求客户端从域控制器获取票证,这使其更适合Intranet场景.然而,Kerberos更安全并且可以处理委托,其中web服务器可以使用客户端的身份访问其他资源(例如)文件服务器.

Answer 2

这是一个很好的链接：

http://msdn.microsoft.com/en-us/library/aa480475.aspx

此外，这还将显示 kerberos（协商）是否已打开（在您的网络服务器上）：

cscript adsutil.vbs get w3svc/nnn/NTAuthenticationProviders

注意：nnnn 是 MetaBase 站点 ID

过去，kerberos 给我带来了一些问题（当用户拥有太多权限时），导致“400 Bad Request”错误

请参阅： http: //blogs.technet.com/b/surama/archive/2009/04/06/kerberos-authentication-problem-with-active-directory.aspx