Intranet 的 Azure 代理托管 ASP.net/IIS 网站

Question

我有一个内网托管 asp。net/IISv10/windows 2016 网站使用 windows 身份验证，我正尝试使用 Azure 代理将其公开到互联网。

当前的方法是使用 kerberos 将凭据从 Azure 传递到 IIS。 Azure AD 与域 AD 同步。在 Azure 身份验证完成后，我们目前仍会收到第二个 windows 质询弹出窗口。我已经阅读了大量有关该问题的资料，并且仍在积极进行故障排除，但此设置似乎很难正常工作。

我的问题是：在这种情况下，Kerberos 是身份验证的最佳选择吗？ Azure 代理中提供的其他身份验证形式是否更简单？

更新：我们设法使 Kerberos 正常工作，结果证明问题有两个方面。第一个是打字错误，把一切都搞砸了。修复此问题后，我们收到了一个 "bad gateway" 错误，我们可以快速调试该错误。 我们已经为 App Proxy 连接器服务器 (xxxxx) 设置了委派设置，对于“仅信任此计算机以委派给指定的服务器”选项，我们选择了“仅使用 Kerberos”选项。该文档实际上说要将其更改为“使用任何身份验证协议”选项。这解决了问题。

Answer 1

如果您指的是 Azure 应用程序代理，它适用于：

• 使用 Integrated Windows Authentication 的 Web 应用程序 身份验证
• 使用 form-based 或 header-based 的 Web 应用程序 访问
• 您希望向不同设备上的丰富应用程序公开的 Web API
• Remote Desktop Gateway
托管的应用程序
• 与 Active Directory 身份验证库 (ADAL) 集成的富客户端应用程序

Application Proxy 支持单个 sign-on。有关受支持方法的详细信息，请参阅选择 single sign-on method.

文档参考：

Remote access to on-premises applications through Azure AD Application Proxy

Kerberos Constrained Delegation for Single Sign-on to your apps with Application Proxy

希望以上信息对您有所帮助。