公共域上的自动 Windows 身份验证？

Question

我正在开发一个 Asp.NET Core Web 应用程序，并按照 Microsoft 官方指南启用了 Windows 身份验证：

https://docs.microsoft.com/en-us/aspnet/core/security/authentication/windowsauth?view=aspnetcore-2.2&tabs=visual-studio

身份验证有效，但有一件事我不清楚。如果我使用浏览器从 Windows 域中的计算机访问该网站，我将有两种不同的行为，具体取决于我访问它的方式：

• 如果我使用地址中的机器名称（例如：https://devmachine01/）访问，浏览器会自动登录并通过身份验证，而无需用户进行任何操作
• 如果我使用机器的公共域名（例如：https://mypublicwebsite.com）访问，浏览器会要求我输入我的 Windows 凭据，如下图所示：

此时我的问题是：

1. 有没有办法让浏览器自动登录，即使我 使用公共域而不是机器名访问？ （显然，我只希望机器自动工作 浏览器运行所在的域已登录）
2. 如果 第一个问题的答案是否定的，我至少可以配置我的 Asp.NET Core Web 应用程序，以便它记住用户，所以 用户只需登录一次（使用 cookie 或类似机制）？ 根据我在上面链接的文章中提供的说明 用户每次关闭时都必须重新输入他的凭据，并且 重新打开浏览器，这不是最方便的。

Answer 1

Windows 身份验证是允许自动登录的身份验证方案，它基于属于同一域的所有内容：身份提供者 (AD)、Web 服务器和客户端（本地计算机）。根据定义，公共网站不是域的一部分，因此 Windows Auth（或至少其自动登录功能）无法在这样的环境中运行。

从技术上讲，您通常仍然可以使用 Windows Auth 或 AD。例如，Azure Active Directory 旨在在分布式环境中工作。但是，您必须手动进行身份验证（通过传统的用户名和密码或通过 OAuth 流程）。您不能使用公共网站自动登录。

编辑

抱歉，我最初没有仔细阅读您的问题。虽然它不会改变我的答案，但它确实需要更多解释。虽然机器在技术上属于域，但它的外向立面不是。这就是为什么通过主机名访问它可以工作，但通过实际的网络域却不能。也就是说，您绝对疯狂将您域中的计算机暴露在整个互联网上。即使你可以让它工作，你打开的漏洞的安全风险也远远超过了自动登录等简单的细节。您的内部网络应该是internal，并且您应该立即从域中删除这台机器。