Облікові дані проксі за замовчуванням у IIS можуть використовувати обліковий запис комп'ютера
Визначте мережевий обліковий запис, що стоїть за обліковими даними проксі за замовчуванням у робочому процесі IIS, замість того щоб очікувати ідентичність інтерактивного адміністратора.
Облікові дані проксі за замовчуванням у IIS належать чинній ідентичності робочого процесу, а не адміністратору, який розгорнув застосунок. NetworkService подає облікові дані комп'ютера в мережі; ідентичності пулів застосунків також мають задокументовану поведінку облікового запису комп'ютера. У належному доменному середовищі проксі може бачити DOMAIN\WEBSERVER$.
Зафіксуйте пул застосунків, його налаштовану ідентичність і будь-яке втілення під час мережевого виклику. Порівняйте це з доказами проксі для тієї самої кінцевої точки та того самого запиту. Локальна назва облікового запису пулу й віддалена мережева ідентичність — два різні спостереження.
Якщо політика навмисно дозволяє обліковий запис комп'ютера, надайте цей доступ свідомо. Якщо потрібен окремий обліковий запис служби, надайте його через підтримуваний механізм облікових даних під час розгортання. Перенесення всього пулу на привілейований інтерактивний обліковий запис лише для відтворення успіху на робочому столі змінює значно більше, ніж вхід у проксі.
Схема автентифікації має підтримувати обрану ідентичність. Стандартні облікові дані Windows можуть брати участь у підтримуваній інтегрованій автентифікації; вони не створюють імені користувача й пароля Basic для стороннього облікового запису.
Перевірте не лише облікові дані, а й вибір маршруту. Служба може вибрати іншу конфігурацію проксі до автентифікації. 407 корисний лише тоді, коли він прив'язаний до фактичної кінцевої точки робочого процесу, облікового запису та оголошеної схеми.