IIS 7.0中的委派的Kerberos身份验证

Question

我正在尝试创建一个使用UserPrinciple.Current的.net网页，以获取当前登录用户的详细信息，并允许他们更改其Active Directory密码。

经过一番抨击后，我开始工作了（耶！）。我唯一的问题是我希望它在我们的Intranet站点（http：// intranet）上工作，但是如果我指定完全限定的域名（http://intranet.mydomain.co.uk），它似乎只能工作。

查看此页面（How to configure an ASP.NET application for a delegation scenario）“摘要”部分底部的问题排查部分似乎包含两条相互矛盾的建议：

  

3.要使Kerberos正常工作，您必须使用完全限定的域名（FQDN）进行所有通信。

     

5.如果Web服务器使用完全限定的域名，则必须将该站点添加到Internet Explorer的Intranet站点列表中。

请注意，第5项以 IF 开头 - 表明它没有 HAVE 这样做。但是第3项规定FQDN是必要的。

所以问题很简单：我可以在不使用FQDN主机名的情况下通过IIS 7设置委派吗？

Answer 1

你需要两者否则它将无法正常工作，IE将回退到NTLM。另外一点是，编写一个用户可以更改其AD密码的webapp是没有意义的。这应该通过Windows更改密码对话框而不是某些第三方工具来完成。