在IIS上为Django服务配置与Power Automate集成的安全Windows身份验证

1. IIS的Windows身份验证配置步骤 #

• 安装Windows身份验证模块：打开服务器管理器，在「角色功能」中找到「Web服务器（IIS）→ Web服务器→ 安全性」，勾选「Windows身份验证」完成安装。
• 站点身份验证配置：
  1. 打开IIS管理器，定位到你的Django站点，切换到「功能视图」→「身份验证」。
  2. 禁用「匿名身份验证」，启用「Windows身份验证」。
  3. 双击「Windows身份验证」进入设置，点击「提供程序」，确保NTLM、Kerberos（域环境优先）在启用列表中。
• 应用程序池配置：
  1. 找到站点对应的应用程序池，右键选择「高级设置」。
  2. 将「标识」设置为域服务账户（避免使用默认的ApplicationPoolIdentity，减少Kerberos委派问题），该账户需拥有站点目录的读取权限。
• Django身份信息对接：
  在项目settings.py中添加/修改配置，让Django接收IIS传递的验证身份：

  AUTHENTICATION_BACKENDS = [
      'django.contrib.auth.backends.RemoteUserBackend',
      'django.contrib.auth.backends.ModelBackend',
  ]
  # 若IIS通过自定义HTTP头传递用户，可配置对应字段（默认WSGI会传递REMOTE_USER）
  # REMOTE_USER_HEADER = 'HTTP_X_REMOTE_USER'
  

2. 凭据管理最佳实践（避免明文密码） #

• 使用专用域服务账户：创建仅用于Power Automate访问的域账户，仅分配Django站点的访问权限，禁止使用个人用户账户。
• Power Automate端凭据管理：
  • Azure托管场景：启用系统/用户分配的托管身份，由域管理员授予该身份访问Django服务所在域的权限，全程无需存储凭据。
  • 本地/企业场景：选择「Windows身份验证」连接类型，使用「存储企业凭据」（凭据加密存储在企业凭据库，非明文）或「使用当前凭据」。
• 零明文存储原则：Django完全依赖IIS身份验证，不在代码、配置文件中存储任何密码；Power Automate禁用「基本身份验证」，避免明文传递凭据。
• 权限最小化：给服务账户仅分配必要权限——比如仅允许访问指定API端点，禁止登录服务器或访问其他资源。

3. Power Automate集成的特定考量 #

• 连接类型选择：创建HTTP请求动作时，明确选择「Windows身份验证」，指定对应的服务账户或托管身份，禁用匿名访问。
• Kerberos委派配置（跨场景）：若Power Automate与Django服务跨域/跨服务器部署，需域管理员配置约束委派，允许Power Automate的服务账户（或托管身份对应账户）委派到Django服务的SPN（服务主体名称）。
• 请求头规范：不要自定义Authorization头，让Windows身份验证自动处理身份校验，避免请求被IIS拦截。
• 身份验证测试：在Django API视图中打印request.user.username，确认能获取到Power Automate使用的服务账户名称，验证身份传递是否正常。

内容的提问来源于stack exchange，提问作者thuong-lino