security - Kerberos 委托(delegate)在 chrome 中不起作用

Question

我有一个带有 2 个站点的 IIS 7 服务器 - site1、site2。

site1绑定(bind)80端口，site2绑定(bind)81端口。

我在 site2 中有一个网页，它通过 $.ajax() 发送 http 获取请求到 site1 中的 URL。

我已将两个站点都配置为使用 kerberos:

仅启用 Windows 身份验证，仅在提供程序中选择了协商:kerberos。

为 AD 中的用户/服务器配置 SPN。

我使用 fiddler 来监视请求 header 。

当我使用 IE8 时，我看到 kerberos 票证通过 2 跳从 site2 委托(delegate)给 site1，kerberos 应该工作的方式。

当我使用 chrome 时，我看到 keberos 票证没有被委托(delegate)。我收到 401 错误。

我尝试设置:

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome]
"AuthNegotiateDelegateWhitelist"="*" 

...(特别是服务器名称)，但它没有奏效。

有任何想法吗？

Answer 1

我必须向此键添加相同的注册表值才能使一切正常:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Chromium
同样有趣的是，我使用的是 *.domain.local 而不是 *.domain.local。