Standard proxy-legitimasjon i IIS kan bruke maskinkontoen
Identifiser nettverkskontoen bak standard proxy-legitimasjon i en IIS-arbeider i stedet for å forvente identiteten til den interaktive administratoren.
Standard proxy-legitimasjon i IIS tilhører arbeiderens effektive identitet, ikke administratoren som implementerte applikasjonen. NetworkService presenterer legitimasjonen til datamaskinen på nettverket; identiteter for applikasjonsbassenger har også dokumentert maskinkonto-atferd. I et passende domenemiljø kan proxyen se DOMAIN\WEBSERVER$.
Registrer applikasjonsbassenget, den konfigurerte identiteten og eventuell identitetsovertakelse ved nettverkskallet. Sammenlign det med bevisene fra proxyen for samme endepunkt og utfordring. Et lokalt bassengkontonavn og den eksterne nettverksidentiteten er to forskjellige observasjoner.
Hvis policyen bevisst autoriserer maskinkontoen, gi den tilgangen med vilje. Hvis en egen tjenestekonto kreves, lever den via utrullingens støttede legitimasjonsopplegg. Å flytte hele bassenget til en privilegert interaktiv konto bare for å gjenskape en suksess på skrivebordet endrer langt mer enn proxy-innloggingen.
Autentiseringsskjemaet må støtte den valgte identiteten. Standard Windows-legitimasjon kan delta i støttet integrert autentisering; de oppretter ikke et Basic-brukernavn/passord for en urelatert konto.
Kontroller rutevalget så vel som legitimasjonen. En tjeneste kan velge en annen proxykonfigurasjon før autentisering. En 407 er bare nyttig når den er knyttet til arbeiderens faktiske endepunkt, konto og annonserte skjema.