LocalSystem-NTLM-Proxy-Anmeldung mit dem Computerkonto
Prüfen Sie die Netzwerkidentität eines Windows-Dienstes, statt anzunehmen, er nutze das Proxy-Konto des Desktop-Benutzers.
Eine Browseranmeldung, die für die Person am Desktop gelingt, belegt nicht die Identität eines LocalSystem-Dienstes. LocalSystem gehört zum Computer und ist nicht der angemeldete Benutzer.
Wenn die Anwendung den Windows-Sicherheitskontext für die Proxy-Authentifizierung nutzt, prüfen Sie, welches Konto der Proxy tatsächlich erhält. Auf einem domänenverbundenen Rechner kann das das Computerkonto statt des Mitarbeiterkontos sein.
Windows kennt die Richtlinie Network security: Allow Local System to use computer identity for NTLM. Sie steuert LocalSystem-Dienste, die Negotiate verwenden, wenn sie auf NTLM zurückfallen. Die unterstützte Richtlinie und ihre Voreinstellung unterscheiden sich zwischen historischen Windows-Versionen.
Der HTTP-Client muss außerdem einen unterstützten Proxy-Authentifizierungspfad nutzen und die vorgesehenen Anmeldeinformationen anfordern. Die Richtlinie allein verleiht einem beliebigen Client keine Authentifizierungsunterstützung.
Vergleichen Sie das konfigurierte Konto des Dienstes, die ausgehandelte Authentifizierungsmethode und den Proxy-Autorisierungsdatensatz, bevor Sie die Richtlinie ändern. Einem Mitarbeiter Zugriff zu gewähren, gewährt dem Computerkonto nicht automatisch denselben Zugriff.