Я запускаю несколько веб-сайтов с использованием IIS как в Windows Server 2003, так и в Windows Server 2008. Эти веб-сайты используют проверку подлинности Windows с указанием только параметра NTLM (без Kerberos).
Оба эти сервера являются членами одного и того же домена Active Directory, функционального уровня Windows Server 2003. Существуют контроллеры домена, работающие как под управлением Windows Server 2008, так и под Windows Server 2012.
Домен имеет двустороннее доверие с другим доменом Active Directory в собственном лесу.
Иногда пользователи не могут пройти аутентификацию на веб-сайтах IIS при использовании учетной записи пользователя из доверенного домена. Их браузер неоднократно запрашивает учетные данные, и после нескольких попыток отображается пустая страница. Учетные данные действительны. В качестве шага по устранению неполадок я предоставил тестовой учетной записи из доверенного домена разрешение на локальный вход на веб-сервер и смог войти на веб-сервер, используя эту учетную запись, в то же время, когда IIS не позволял пользователю входить в систему с теми же учетными данными .
Проблема не возникает со всеми веб-серверами одновременно, один будет затронут, а другие продолжат успешно обрабатывать запросы на вход из доверенного домена.
Перезапуск службы рабочей станции решает проблему (как и перезапуск всего сервера).
Мои вопросы:
Как я могу определить, какой контроллер домена Active Directory обрабатывает запросы входа от IIS для: a: основного домена b: доверенного домена
Когда IIS получает запрос на вход в доверенный домен, как этот запрос обрабатывается? В частности, отправляется ли запрос контроллеру домена в основном или дополнительном домене и как выбирается конкретный контроллер домена?
Спасибо,
Чтобы сначала ответить на ваш второй вопрос:
Поскольку вы все еще используете NTLM, читая о поток NTLM в многодоменной среде может немного помочь вам в этом. IIS свяжется с контроллером домена (DC) в своем домене, который, в свою очередь, свяжется с контроллером домена в доверенном домене.
Доверяющий DC выполняет поиск в DNS по имени доверенного домена и отправляет запросы LDAP и NetBIOS всем DC, возвращаемым этим запросом. Первый ответит "побеждает". Вероятно, поэтому вы видите некоторый недетерминизм в этом процессе. Вы можете повлиять на этот процесс, обманывая DNS.
Поиск аутентифицирующего DC будет зависеть либо от перехвата аутентификационного трафика, либо от просмотра журнала событий безопасности всех DC, где может происходить аутентификация.