本地帐户需要什么权限才能允许IIS使用Kerberos？

Question

我有一个网站在IIS7上运行。应用程序池在本地计算机帐户下运行。我们使用Windows身份验证来验证用户身份，但是，这是失败，因为本地帐户似乎没有权限作出的Kerberos请求域控制器的事件日志似乎表明：

---

一个账户被成功已登录。

主题： 安全ID：NULL SID

帐户名称： -

帐户域： -

登录ID：为0x0

登录类型：3

新登入：

Security ID:  MyDomain\mark 

Account Name:  Mark 

Account Domain:  MyDomain 

Logon ID:  0x2ed3554 

Logon GUID:  {4a4f0c3f-2232-c2d9-9868-3a020042810f} 

---

如果我使用这些账户网络服务，本地服务或本地系统然后一切工作正常。那么，我需要额外的权限来授予我的本地计算机帐户，以便它可以支持使用Kerberos进行Windows身份验证？

谢谢！

Answer 1

经过一些更多的研究，我认为基本上这是一个有缺陷的想法，在Kerberos中使用本地计算机帐户。似乎没有办法将本地帐户添加到AD中，因此它如何与域控制器进行通信？因此，我选择了在本地帐户下运行的站点禁用的Kerberos：

cscript C:\inetpub\adminscripts\adsutil.vbs set w3svc/1/root/MyVirtualDirectory/NTAuthenticationProviders "NTLM" 

希望这可以帮助别人。