LocalSystem NTLM-proxylogin met het computeraccount
Controleer de netwerkidentiteit die een Windows-service presenteert in plaats van aan te nemen dat deze het proxyaccount van de desktopgebruiker gebruikt.
Een browserlogin die slaagt voor de persoon achter de desktop bewijst niet de identiteit van een LocalSystem-service. LocalSystem hoort bij de computer en is niet de aangemelde gebruiker.
Wanneer de toepassing de Windows-beveiligingscontext gebruikt voor proxyauthenticatie, controleer welk account de proxy werkelijk ontvangt. Op een domeinjoined machine kan dat het computeraccount zijn in plaats van het account van de medewerker.
Windows kent een specifiek beleid met de naam Network security: Allow Local System to use computer identity for NTLM. Het beheert LocalSystem-services die Negotiate gebruiken wanneer ze terugvallen op NTLM. Het ondersteunde beleid en de standaardwaarde verschillen tussen historische Windows-versies.
De HTTP-client moet ook een ondersteund proxyauthenticatiepad gebruiken en de bedoelde referenties opvragen. Het beleid alleen voegt geen authenticatieondersteuning toe aan een willekeurige client.
Vergelijk het geconfigureerde account van de service, de onderhandelde authenticatiemethode en het proxyautorisatierecord voordat u het beleid wijzigt. Een medewerker toegang geven verleent het computeraccount niet automatisch dezelfde toegang.