Connexion NTLM au proxy LocalSystem avec le compte d'ordinateur
Vérifiez l'identité réseau présentée par un service Windows au lieu de supposer qu'il utilise le compte proxy de l'utilisateur du poste de travail.
Une connexion dans le navigateur qui réussit pour la personne devant le poste de travail n'établit pas l'identité d'un service LocalSystem. LocalSystem est associé à l'ordinateur et non à l'utilisateur connecté.
Lorsque l'application utilise le contexte de sécurité Windows pour l'authentification au proxy, examinez quel compte le proxy reçoit réellement. Sur une machine jointe au domaine, il peut s'agir du compte d'ordinateur plutôt que du compte de l'employé.
Windows dispose d'une stratégie précise nommée Network security: Allow Local System to use computer identity for NTLM. Elle contrôle les services LocalSystem qui utilisent Negotiate lorsqu'ils reviennent à NTLM. La stratégie prise en charge et sa valeur par défaut varient selon les versions historiques de Windows.
Le client HTTP doit aussi emprunter un chemin d'authentification proxy pris en charge et demander les informations d'identification prévues. La stratégie seule n'ajoute pas de prise en charge de l'authentification à un client quelconque.
Comparez le compte configuré du service, la méthode d'authentification négociée et l'enregistrement d'autorisation du proxy avant de modifier la stratégie. Accorder un accès à un employé n'accorde pas automatiquement le même accès au compte d'ordinateur.