使用计算机账户进行 LocalSystem NTLM 代理登录

桌面用户在浏览器中登录成功，并不能证明 LocalSystem 服务的身份。LocalSystem 与计算机关联，而不是与已登录的用户关联。

当应用程序使用 Windows 安全上下文进行代理身份验证时，应检查代理实际收到的是哪一个账户。在加入域的计算机上，这可能是计算机账户，而不是员工的账户。

Windows 有一项名为 Network security: Allow Local System to use computer identity for NTLM 的特定策略。它控制在使用 Negotiate 并回退到 NTLM 时使用计算机身份的 LocalSystem 服务。该策略是否受支持及其默认值在不同历史版本的 Windows 中并不相同。

HTTP 客户端还必须使用受支持的代理身份验证路径，并请求预期的凭据。仅靠该策略不会为任意客户端增加身份验证支持。

在更改策略之前，请比较服务配置的账户、协商使用的身份验证方法以及代理授权记录。为员工授予访问权限，并不会自动为计算机账户授予相同的访问权限。