內部 IIS 網站一直跳 Windows 身分驗證 (Authentication Prompt) 怎麼解？

Question

內部 IIS 網站一直跳 Windows 身分驗證 (Authentication Prompt) 怎麼解？

Kelvin Chan 60

Hi 各位大佬，

最近公司內部的 IIS Web App 出現問題，使用者點進去會一直跳出 Windows 帳密驗證視窗，重輸好幾次都進不去。

想請教大家平常會怎麼排查？除了檢查 IIS 的 Windows Authentication 順序 (Negotiate / NTLM) 之外，如果是 SPN 設錯或 Kerberos 驗證失敗，用 setspn 或看 Event Log 有沒有什麼快速抓錯的方法？另外，瀏覽器那邊是不是一定要透過 GPO 把網址加進 Local Intranet Zone 才能自動帶憑證登入？

第一次遇到這種一直卡驗證的狀況，求指點，感謝！

0 則留言

1 個回答

您的回答

Answer 1

您好，

IIS 內部網站上重複彈出的 Windows 驗證視窗通常與 Kerberos/SPN 設定、應用程式叢集識別碼或瀏覽器登入規則不正確有關。首先，請確認 IIS 中已啟用 Windows 驗證，並檢查 Negotiate 和 NTLM 提供者設定。使用 setspn -Q HTTP/webserver.contoso.com 檢查 HTTP SPN 是否存在或重複，並確認 SPN 已註冊到正確的服務帳戶。執行 klist 檢查用戶端的 Kerberos 票證；如有必要，請使用 klist purge 清除緩存，然後重新登入進行測試。檢查 %SystemDrive%\inetpub\logs\LogFiles 中的 sc-status、sc-substatus 和 sc-win32-status 條目，以確定 401 錯誤的具體原因。同時，檢查事件檢視器中的安全性日誌和系統日誌，尋找與帳戶驗證或 Kerberos 相關的錯誤。瀏覽器不一定需要透過群組原則物件 (GPO) 設定本機 Intranet 區域，但將內部網站新增至該區域並允許自動登入通常有助於啟用整合式驗證。如果網站透過 DNS 別名存取站點，請仔細檢查與別名對應的服務主體名稱 (SPN) 以及 IIS 核心模式驗證設定。官方參考資料：[IIS Windows 驗證] 和 [Setspn指令].

希望這些資訊對您有所幫助。如果此答案對您有所幫助，請採納。如有其他疑問，歡迎留言。祝您愉快！

HP.