401 - 在 IE7 中未经授权，仅使用 Windows 身份验证。

Question

我创建了一个使用 Windows 身份验证的 Intranet 站点

在 chrome 中我可以立即访问该站点，而在 FF 中它需要 Active Directory 登录。 但使用 IE7 时出现以下错误：

401 - 未经授权：由于凭据无效，访问被拒绝。 您无权使用您提供的凭据查看此目录或页面。

我不确定为什么它在其他浏览器中可以，但在 IE 中不行？ 任何帮助表示赞赏。

谢谢

Answer 1

解决方案：

IE 正在使用 Kerberos，而不是像 Chrome 和 Firefox 那样依赖 NTLM。您必须按照以下步骤在 IIS7.5 中强制执行 NTLM 身份验证：

1. 选择您的网站。
2. 双击身份验证。
3. 选择“Windows 身份验证”（确保已启用）。
4. 点击右侧栏中的“Providers...”。
5. 选择 NTLM 并点击“上移”。

链接：windows authentication not working in ie7

Answer 2

我对 IIS 不熟悉，但在过去的几周里，我在将 AD 登录集成到 Web 应用程序方面有很多实践经验。这是非常合乎逻辑的 - 每个 Microsoft 产品都可以更好地与另一个这样的产品集成，只要您使用 Active Directory 作为 Windows 登录身份验证方法，Internet Explorer（应该对所有版本都有效，而不仅仅是 7）会自动传递您的 AD 登录凭据.

其他所有浏览器要么需要进行配置，要么要求您手动输入，要么根本不支持。这就解释了为什么 Firefox 会要求您输入用户名和密码。在 Opera 下，您很可能会收到相同的错误消息。

我对 Chrome 的猜测是，它是您选择的默认浏览器，并且在某个时间点，您输入了登录凭据，并且该会话仍然处于活动状态。

所有这一切都意味着（如果我的假设是正确的）您需要使用与 Windows 不同的 AD 帐户登录此应用程序，而后者（由 IE 自动传递）未获得授权。

Answer 3

听起来您的环境设置不正确，无法进行 Kerberos 身份验证。有很多事情会导致 Kerberos 身份验证失败。例如。服务器或客户端上的时钟偏差、Web 服务器上缺少 SPN 等。

通常，当您配置为使用 Windows 身份验证时，您会要求使用 SPNEGO，这意味着尽可能使用 Kerberos，然后在 Kerberos 失败时回退到 NTLM。然而，这个post 指出这不再是真的。 IE7 在某些情况下会停止在 Kerberos，但不会退回到 NTLM。

您可以尝试按照post 的建议禁用“启用集成 Windows 身份验证”。看起来很奇怪，但实际上只是关闭了 SPNEGO，您仍将使用 NTLM。

我猜 Firefox 和 Chrome 可以正常工作，因为它们使用的是 NTLM 而不是 Kerberos。根据我的经验，非 Microsoft 浏览器不支持开箱即用的 Kerberos。你需要做一些配置工作才能让它发生。例如，在 FireFox 中，您需要设置 network.negotiate-auth.trusted-uris 参数。见here

一旦您确认 IE7 的 NTLM 仍然可以正常工作。然后，您可以发布另一个问题，询问如何解决 IIS 的 Kerberos 身份验证问题。

Answer 4

首先查看here 并获取更详细的错误描述。我在使用 CRM 时遇到了一些疯狂的问题，这一切都归结为 IIS 中的设置顺序，问题的答案最终变得如此简单； 进入 iis，然后进入身份验证设置 单击Windows身份验证并选择高级 确保内核模式已打开 点击提供商并确保协商高于 NTLM。