IIS перемещение виртуального каталога в общий файловый ресурс нарушает олицетворение вошедшего в систему пользователя

Question

У нас есть экземпляр IIS6, на котором запущен веб-сайт интрасети с аутентификацией Windows и Impersonate = true, чтобы он использовал учетные данные NT, передаваемые браузером клиентов. AppPool настроен для запуска в качестве пользователя сетевой службы: serviceAcctX, чтобы мы могли отменить олицетворение в редких случаях (для чтения или записи ресурса, к которому пользователь клиента не имеет доступа)

Отлично работает, когда источник виртуального каталога находится на локальном диске. Зарегистрированный пользователь проходит проверку подлинности, а содержимое страницы настраивается на основе параметров авторизации.

Наша инфраструктурная команда пытается переместить источник виртуального каталога в общий файловый ресурс на удаленном сервере. Мы уже преодолели эту проблему, изменив политику безопасности .Net, добавив полное доверие для этого конкретного пути к общей папке. Мы установили свойство Connect As для того же serviceAcctX, того же, что и AppPool.

Сайт запускается нормально. Тем не менее, пользователь клиента не является олицетворением. Запрос обрабатывается с использованием учетных данных serviceAcctX по умолчанию, а не учетных данных NT клиента, как раньше.

Есть ли способ, чтобы олицетворение клиента продолжало работать, как раньше, и при этом иметь виртуальный каталог в общей папке? Любые указатели очень ценятся.

Answer 1

Я бы отнес это к категории нехорошей идеи.

Есть ряд потенциальных проблем, которые возникают, и вы вводите много зависимых сложностей.

Вместо этого я бы пошел на что-то более "автономное", чем это. Используйте File Replication для синхронизации файлов между вашим веб-сервером (серверами) и удаленным сервером.

Хотя и немного сложное, оно увеличивает живучесть вашего приложения. Это означает, что если удаленный сервер перезагружается, выходит из строя или между ними возникает проблема с сетью, ваше приложение все еще работает. Кроме того, вы по-прежнему можете хранить файлы на удаленном сервере.

Answer 2

Вам может потребоваться установить флажок «доверять этому компьютеру для делегирования» в Active Directory для веб-сервера, чтобы передать маркер пользователя.