跨多个域的 SharePoint (WSS) 认证

Question

首先，一些背景信息：我们有一个基于WSS 3.0的内部网站，托管在DOMAIN_A.LOCAL的服务器上，并设置为使用集成的Windows身份验证来对DOMAIN_A.LOCAL的Active Directory用户帐户进行身份验证。

这个设置对于使用DOMAIN_A.LOCAL的AD帐户登录Windows的用户完全正常工作，但是当用户尝试从使用不同域（例如DOMAIN_B.LOCAL）的AD帐户登录Windows的PC访问网站时，会出现以下问题：

1. 用户必须手动输入他们的凭据，如DOMAIN_A\UserName而不只是UserName，否则Internet Explorer会自动插入DOMAIN_B并导致身份验证失败。 2. 登录后，如果用户需要浏览器将其身份验证传递到客户端应用程序（例如，单击文档库中的Microsoft Office文档以打开进行编辑），则似乎会自动传递无效凭据（可能是DOMAIN_B），从而强制用户再次手动输入其DOMAIN_A凭据。

因此，我的问题是：

在使用集成的Windows身份验证时，是否有任何方式实现“默认域”类型的行为（与使用基本明文身份验证时可以做到的一样），以便如果在DOMAIN_B上的用户没有输入其用户名之前的域，DOMAIN_A将自动为他们插入？

当然，我意识到此部署可能存在致命缺陷，因此我也愿意接受对不同实现的建议。

总而言之，主要问题源于需要访问一个SharePoint站点上的相同内容的两种不同类型的用户。 DOMAIN_A中的用户都有自己的全职工作站点，在其中以自己的身份登录Windows。不幸的是，在DOMAIN_B中的用户必须使用共享计算机，这些计算机使用没有SharePoint权限的通用“kiosk”类型帐户登录 - 因此要求DOMAIN_B用户在访问给定页面时随时提供他们的凭据。 我希望保留DOMAIN_A的“静态”用户集成的Windows身份验证的便利性，同时最大程度地减少DOMAIN_B的“kiosk”用户必须忍受的手动身份验证量。

- Tim Lara

Answer 1

DOMAIN_A.LOCAL必须信任DOMAIN_B.LOCAL，否则来自DOMAIN_B.LOCAL的用户将会收到凭据提示，因为他们的DOMAIN_B.LOCAL帐户在DOMAIN_A.LOCAL中未知。

考虑到DOMAIN_B.LOCAL是用于信息亭用户的，您可能不想信任此域。

您需要将Web应用程序扩展到新的区域，并实现基于表单的身份验证，或者使用Windows身份验证与反向代理（如ISA服务器）。

- shufler

---

我不能通过信任DOMAIN_B来解决问题的另一个原因是这些帐户在SharePoint中没有任何权限。DOMAIN_B帐户只是标识信息亭工作站而不是个人用户的通用登录。当您建议将应用程序扩展到新区域时，您是否意味着可以通过单独的区域使用不同的身份验证方法来使用相同的内容？如果是这样，那可能正是我所需要的... - Tim Lara

是的，那正是我的意思。这是有关规划区域以及如何使用ISA进行扩展和发布的Technet文章：http://technet.microsoft.com/en-us/library/cc288609.aspx - shufler

谢谢，Jason - 这正是我所需要的。我正在测试这个配置。 - Tim Lara

Answer 2

我在互联网上搜索了多个域的SharePoint用户帐户，并发现了一个有趣的工具，称为Microsoft Front End Identity Manager。你听说过吗？

如果您正在使用分布在两个或更多森林中的用户帐户的多森林部署，则经常会出现这种情况。当两个组织合并并需要访问来自两个组织的域时，通常会看到这种情况。您可以使用用户对象中的可区分名称（ms-ds-Source-Object-DN）属性来创建用户帐户之间的关联。在此关联中，一个帐户被视为主帐户，其他帐户是主帐户的备选帐户。有一个名为Microsoft Front End Identity Manager的工具，可以创建用户帐户对象之间的此关系。Microsoft Front End Identity Manager的一个功能是，SharePoint服务器可以通过其中的备选帐户列表来维护配置文件的标识。当您使用任一帐户查找用户的配置文件时，SharePoint服务器将返回主帐户配置文件示例（domain\username）。

- Todd

Answer 3

可能不是你想听到的，但你可能需要采用基于表单的身份验证。

- Kirk Liemohn

---

是的，可能会这样。当然，权衡的是，对于DOMAIN_A用户来说，工作流程可能不太方便，但至少基本上每个人都应该能正常工作。 - Tim Lara

Answer 4

很遗憾，如果您想保留Microsoft Office集成（这似乎是您想要的），则必须坚持使用Windows身份验证。使用表单身份验证将删除大部分您想要保留的功能，有更多信息在此处。

理想情况下，您希望使用Jason提到的建议，即某种反向代理。但是，如果您没有像ISA服务器这样的东西，那么可能会有成本影响，因此实际上最好让DOMAIN_B的用户学会在其用户名之前键入DOMAIN_B\。

- Joe Swan

---

您仍然可以通过FBA获得许多（大多数？）Office集成功能。但是需要注意的是，您需要使用FBA登录并记住您的身份（存储cookie），以便Office应用程序使用。 - Kirk Liemohn

@Kirk - 实际上，当我去查看它以检查事情时，我意识到我没有正确解释它。你当然是对的关于FBA，只是从WA切换到FBA会关闭客户端集成，之后可以重新打开。 - Joe Swan