Standaard proxy-referenties in IIS kunnen het machineaccount gebruiken
Identificeer het netwerkaccount achter standaard proxy-referenties in een IIS-worker in plaats van de identiteit van de interactieve beheerder te verwachten.
Standaard proxy-referenties in IIS horen bij de effectieve identiteit van de worker, niet bij de beheerder die de toepassing heeft geïmplementeerd. NetworkService presenteert de referenties van de computer op het netwerk; identiteiten van toepassingspools hebben ook gedocumenteerd gedrag van machineaccounts. In een geschikte domeinomgeving kan de proxy DOMAIN\WEBSERVER$ zien.
Leg de toepassingspool, de geconfigureerde identiteit en eventuele identiteitsaanname bij de netwerkaanroep vast. Vergelijk dat met het bewijs van de proxy voor hetzelfde eindpunt en dezelfde uitdaging. Een lokale poolaccountnaam en de externe netwerkidentiteit zijn twee verschillende waarnemingen.
Als het beleid het machineaccount bewust autoriseert, verleen die toegang dan bewust. Als een afzonderlijk serviceaccount nodig is, lever dat dan via de ondersteunde referentieregeling van de implementatie. De hele pool naar een bevoorrecht interactief account verplaatsen om alleen een succes op het bureaublad te reproduceren, verandert veel meer dan de proxylogin.
Het authenticatieschema moet de gekozen identiteit ondersteunen. Standaard Windows-referenties kunnen deelnemen aan ondersteunde geïntegreerde authenticatie; ze maken geen Basic-gebruikersnaam/wachtwoord voor een niet-gerelateerd account.
Controleer naast de referenties ook de routeselectie. Een service kan vóór authenticatie een andere proxyconfiguratie kiezen. Een 407 is alleen nuttig als die aan het werkelijke eindpunt, account en aangekondigde schema van de worker is gekoppeld.