Проверка подлинности Windows KRB5KRB_AP_ERR_MODIFIED

Позвольте мне предисловие сказать, что я занимаюсь этим вопросом около полутора недель и не могу понять. Думаю, я близок, но каждый раз, когда я так до сих пор думал, я ошибался. Я просмотрел все сообщения на форуме, которые мог найти, и ничего не помогло.

Я просто пытаюсь заставить свое веб-приложение и его соответствующую службу использовать проверку подлинности Windows, чтобы в коде я мог вытащить учетные данные текущего пользователя, не запрашивая их, и передать их хранимой процедуре базы данных через мою службу.

Звучит достаточно просто, правда?

НЕПРАВИЛЬНО!

С участием WireShark работает, я продолжаю получать ответ KRB_ERROR (30) с более подробной информацией о:

код_ошибки: KRB5KRB_AP_ERR_MODIFIED (41)

Я попробую это завтра, но я подумал, что опубликую сейчас на случай, если у кого-то есть идея, почему я продолжаю получать KRB5KRB_AP_ERR_MODIFIED ошибка, основанная на моей текущей настройке, которую я перечислю ниже.

Вот моя текущая настройка:

Windows Server 2008 R2 Standard SP1 64-разрядная 4,00 ГБ ОЗУ.

Ради этой публикации мы назовем этот сервер DALDEP01.TEST.LOCAL, и на нем у меня следующее:

• MS SQL Server 2008 R2 который имеет базу данных, которую мы назовем Развернуть.

  1. Только одна учетная запись пользователя имеет доступ к Развернуть db, который ТЕСТ \ DeploySvc.

  2. Эта учетная запись пользователя является носитель данных / писатель данных и был предоставлен EXEC.

• IIS 7.5 на котором размещены 2 веб-сайта:

  1. Deploy.Service что делает операции CRUD против Развернуть дб.

  2. Deploy.Web который принимает Silverlight 4 приложение, которое обращается к Deploy.Service.

  3. Оба сайта настроены одинаково (потому что я не знаю, как еще это сделать):

     • Они используют DeployAppPool который работает под настраиваемой учетной записью пользователя ТЕСТ \ DeploySvc.

     • Анонимная аутентификация Отключено.

     • Проверка подлинности Windows Включено

       1. Расширенная защита Принять.

       2. Включить аутентификацию в режиме ядра Проверено.

       3. Провайдеры просто Вести переговоры, поскольку я удалил NTLM, потому что мне нужен только Kerberos.

• SPN настроены следующим образом:

C: \> setspn -l Deplowsvc

          Зарегистрированные ServicePrincipalNames для CN = DeploySvc, OU = Services Accounts, DC = test, DC = local:
HTTP / deploy.test.local
HTTP / развертывание