IIS 身份验证

Posted 2020-06-25 分而治之

IIS 支持以下身份验证模式：

• 匿名。如果不需要对客户端进行身份验证（或者使用自定义身份验证机制，如窗体身份验证），则可将 IIS 配置为允许匿名访问。在该事件中，IIS 创建一个 Windows 令牌来表示具有相同匿名（或客人）帐户的所有匿名用户。默认的匿名帐户是 IUSR_MACHINENAME，其中 MACHINENAME 是安装期间指定的计算机的 NetBios 名称。

• 基本。基本身份验证要求用户以用户名和密码的形式提供凭据来证明他们的身份。基本身份验证基于 Internet 标准 RFC 2617，所有常用浏览器都支持它。用户的凭据以未加密的 Base64 编码格式从浏览器传送到 Web 服务器。为了更好保护这些凭据，只要在使用基本身份验证同时再使用安全套接字层 (SSL) 即可。由于 Web 服务器包含未加密的用户凭据，因此 ASP.NET 应用程序可以模拟调用方并使用他们的凭据来访问网络资源。

• 集成的 Windows。集成的 Windows 身份验证（以前称为 NTLM，也称为 Windows NT 质询/应答身份验证，Windows NT Challenge/Response）是使用 Kerberos v5 身份验证还是 NTLM 身份验证，取决于客户端和服务器的配置。服务器与客户端协商确定要使用的协议。如果满足以下条件，则使用 Kerberos 身份验证：

  • ASP.NET Web 应用程序正在 NetworkService 帐户或自定义域帐户下运行。如果应用程序在本地帐户（如 Windows 2000 Server 上的 ASPNET 帐户）上运行，则使用 NTLM 身份验证。

  • 域帐户的 Active Directory 中有一个服务主要名称 (SPN)，该域帐户用于运行客户端进行身份验证所使用的服务。

  • 客户端计算机和服务器计算机至少需要运行 Windows 2000 Server，且处在相同的（即信任的）Windows 域中。

注 默认情况下，对于 Windows Server 2003 操作系统启用集成 Windows 身份验证。

在ASP.NET中，Forms认证是由FormsAuthenticationModule实现的，URL的授权检查是由UrlAuthorizationModule实现的

在Windows身份认证中，验证工作主要是由IIS实现的，WindowsAuthenticationModule负责创建WindowsPrincipal和WindowsIdentity