可以将.NET客户端库配置为使用CNAME进行Kerberos身份验证吗？

Question

在构建Kerberos票证请求发送到KDC时，将Windows客户端（在本例中为浏览器）配置为忽略DNS CNAME记录。如果您有CNAME，它还将解析CNAME指向的A记录，并在建立请求时使用A记录的FQDN。 可以覆盖：

• IE（https://support.microsoft.com/en-us/help/938305/error-message-when-you-try-to-log-on-to-a-web-site-that-requires-kerbe）
• Chrome浏览器（https://www.chromium.org/administrators/policy-list-3#DisableAuthNegotiateCnameLookup）。

我的情况与此类似，但涉及客户端浏览器和后端之间的中间层。客户端使用Kerberos向前端进行身份验证，这很好用，并且前端使用Kerberos约束委派将客户端的凭据委派给后端，这也很好。

我们最近发现此配置存在问题。我们的某些后端服务位于AWS ELB的后面，AWS ELB前面又有CNAMES，因此可以重新部署它们。

所以现在的问题是：在委派客户端凭据时是否可以更改前端服务器的Kerberos客户端的行为，以使用后端ELB的CNAME形成Kerberos请求，就像您可以在浏览器上做什么？

一些预选赛：

• 中间层是用ASP.NET编写的，并且在IIS上运行。
• 我们无法在DNS区域中将A记录配置为指向后端ELB，因为它们使用AWS SDN功能来配置可能会更改的多个IP。