Início / server / Perguntas / 858798
Accepted
Tim Brigham
Asked: 2017-07-01 09:23:59 +0800 CST

IIS habilitar autenticação para proxy reverso

  • 772

Estou movendo uma configuração de proxy reverso do Apache para o IIS. Alguns desses sites precisam se autenticar no proxy antes de prosseguir. Eles estão em um site IIS separado para simplificar. Como faço para especificar que este site e/ou os proxies reversos que configurei nele podem ser usados ​​por um grupo específico do AD?

O que eu tentei:

O abaixo é feito apenas com a autenticação do Windows habilitada no IIS. Todos são Server 2016 / IIS 10.

  1. Definir as permissões NTFS na pasta que hospeda o site de proxy reverso apenas para the domain\desiredgroupe os proxy\iis_iusrsgrupos, mas isso não ajudou - ainda está permitindo qualquer domain\domain userspassagem.

  2. Editando as regras de autenticação com domain\desiredgroupacesso e domain\domain userssendo negado. Isso bloqueia todos.

active-directory

2 respostas

  1. O método mais aceito para fazer isso é usar o Application Request Routing (ARR) - mas isso requer a configuração de um servidor AD FS (Serviços de Federação do Active Directory) adicional.

    Recentemente, eu estava procurando fazer o mesmo que você para uma instância do Kibana e encontrei este blog de ajuda: https://www.smbadmin.com/2017/07/securing-kibana-with-iis-reverse-proxy. html

    Como os links não são considerados uma boa resposta na pilha, vou resumir:

    1. Instale o IIS com a função de servidor Web junto com autorização de URL, autenticação do Windows e ferramentas de gerenciamento.
    2. Configure o proxy reverso do IIS com o módulo URL Rewrite. Isso pode exigir alguns ajustes, dependendo da natureza do site/aplicativo da Web no back-end e, em alguns casos, pode falhar completamente (mais sobre isso posteriormente).
    3. Configuração SSL (opcional) - O proxy aceita tráfego vindo via https - e o back-end pode usar http porque é uma conexão privada. Uma boa maneira de proteger sites/aplicativos que não são habilitados para SSL.
    4. Autenticação de configuração - usando o módulo de autenticação para o site do IIS, desative o anônimo e ative o método preferido, no meu caso "Autenticação do Windows".
    5. Regras de autorização de configuração - Exclua a regra padrão permitir tudo e adicione uma regra de permissão para os usuários ou grupos do AD que devem ter acesso.

    Então, isso funcionou muito bem para a minha instalação do Kibana, então decidi implantá-lo no Jenkins e em vários outros sites e aplicativos da Web, com alguns ajustes que mais funcionaram.

    No entanto, ressalva - alguns sites com os quais tentei isso, simplesmente não aceitariam - o Confluence, por exemplo, o pop-up de autorização aparecia continuamente a cada atualização de página. Outro aplicativo da Web obscuro e personalizado que é de código fechado usou algumas práticas de desenvolvimento da Web ruins que podem causar continuamente redirecionamentos 500 e ruins.

    Posso tentar configurar o ARR no futuro para ver se isso funciona melhor nesses casos, mas o ARR está fora do escopo da sua pergunta original.

    • 2
  2. Best Answer

    Não parece ter suporte nativo no IIS.

    • -1

relate perguntas