IE访问IIS7.5架设的需Windows认证的网站时出现不停弹框的问题

这是一个安装了IIS的Windows 2008系统，它已运行了一些Sharepoint站点。这些Sharepoint站点使用Windows认证，且他们都正常运行。

现在在此服务器上部署了一个新的Web站点，并启用了Windows认证（采用内核态），但当通过https://MyWebServer:8080或https://MyWebServer.MyDomain.com:8080访问此站点时，IE会不停地请求认证。

首先，我们用域认证信息（domain credentials）测试了基本认证（basic authentication），它是成功的。然后我们启用了登陆事件的审查（audit）功能；不幸的是，不管是否成功进入了Web站点，我们都没能发现任何登陆事件的记录。

为了找出与此有关的更多信息，我们启用了IIS FREB跟踪功能，发现“IIS Web Core”设置了401状态，其错误信息是“拒绝访问”。

现在，我们不得不回来看看对Kerberos纠错最有用的信息——网络监视跟踪记录。从捕获的信息来看，我们确认了Kerberos错误是KRB_AP_ERR_MODIFIED 。

有两个引发该错误的常见原因：

1. 错误的DNS设定

2. 客户端发送的ticket被用不同的密钥加密/解密。

我们用netmon确认了DNS的运行在意料之中。我们用Ldp工具审查SPN，当查询SPN时得到了如下的结果

Dn: CN=MyWebServer,……..

……

servicePrincipalName (11):

….

HOST/MyWebServer.MyDomain.com ;

HOST/MyWebServer ;

….

Dn: CN=SPS_Service_Account…….

….

servicePrincipalName (18):

……

HTTP/ MyWebServer.MyDomain.com;

HTTP/ MyWebServer ;

……

我们能看到，HTTP/MyWebServer是SharePoint服务里注册的账号（被用来运行SharePoint应用池），运行在内核态认证的IIS 7以上服务器是不需要它的。然后回IIS MMC查看，我们发现所有SPS站点都采用用户态的Windows认证，它需要把SPN账号注册到应用池认证中。这就是SPS站点以Windows认证的方式运行的原因。

新添加的站点使用用户态Windows认证，需要在机器账号中注册的SPN的账号。这与SharePoint站点产生了冲突。

这解释了为何我们得到了KRB_AP_ERR_MODIFIED错误。当IE访问https://MyWebServer:8080时，请求HTTP/MyWebServer的ticket，它被注册在SharePoint服务的账号里。IE把该ticket传递给Web服务器。在服务器端，IIS尝试使用机器账号对该ticket解密。这必然会失败，因为它被另一个密钥解密。

为了解决此问题：

1. 我们给新添加的站点，如MySite，使用host头，将其加到站点绑定中。

2．注册SPN HTTP/MySite的本机账号

3．现在，我们使用https://MySite访问此Web站点。

随后，我们做以下SPN的配置：

MyWebServer:

HTTP/MySite

HTTP/MySite.MyDomain.com

HOST/ MyWebServer

HOST/ MyWebServer.MyDomain.com

SPS service account:

HTTP/ MyWebServer

HTTP/ MyWebServer. MyDomain.com

如下配置IIS:

顺带一提，若我们想用内核态认证（建议使用），并把SPN注册在应用池认证中，我们可以设置useAppPoolCredentials为true。这里有一个配置的例子。

<system.webServer>

<security>

<authentication>

<windowsAuthentication enabled="true" useKernelMode="true" useAppPoolCredentials="true" />

</authentication>

</security>

</system.webServer>

Wei Zhao from DSI team