通过脚本将HTTP-NTLM身份验证令牌传递至Exchange的方案问询

核心结论 #

可以通过IIS的身份模拟与Active Directory委派机制，让Web应用以登录域用户的身份访问Exchange服务器，无需用户输入密码，实现SSO。

关键前提与配置步骤 #

1. 确认Exchange服务器的身份验证支持
   本地Exchange服务器原生支持NTLM/Kerberos身份验证，无论是EWS（Exchange Web Services）还是Exchange REST API（OData接口），都无需用户明文密码，只要请求携带有效的用户身份令牌即可访问。

2. 配置AD委派权限

   • 在Active Directory中找到运行IIS的服务器计算机对象（或Web应用池使用的自定义服务账户）
   • 开启信任此计算机委派到指定服务，添加Exchange相关的服务主体名称（SPN），例如：
     • http/exchange.yourdomain.com（对应Exchange REST/OData接口）
     • exchange/exchange.yourdomain.com（对应EWS SOAP接口）
   • 优先选择Kerberos委派（NTLM委派跨服务器功能受限，可靠性低于Kerberos）

3. IIS与Web应用配置

   • 开启Web应用的身份模拟：
     • 对于Node.js：在IIS应用池高级设置中，将“加载用户配置文件”设为True，确保应用池能获取当前登录用户的身份上下文
     • 对于PHP：在php.ini中设置fastcgi.impersonate = On，或在IIS站点的FastCGI设置中开启模拟
   • 将Web应用的身份验证方式切换为Negotiate（Kerberos优先），替换纯NTLM以提升委派稳定性

开发实现示例 #

Node.js 端

使用ews-javascript-api库实现Kerberos身份验证，自动复用IIS传递的用户身份：

const ews = require('ews-javascript-api');

// 初始化Exchange服务
const exchService = new ews.ExchangeService(ews.ExchangeVersion.Exchange2016);
exchService.Url = new ews.Uri('https://exchange.yourdomain.com/EWS/Exchange.asmx');

// 自动复用当前IIS模拟的用户身份（Kerberos）
exchService.Credentials = new ews.KerberosCredentials();

// 示例：获取用户最近10条日历事件
async function getCalendarItems() {
  const calendarFolder = await ews.CalendarFolder.Bind(exchService, ews.WellKnownFolderName.Calendar);
  const items = await calendarFolder.FindItems(new ews.ItemView(10));
  return items;
}

PHP 端

利用curl的NTLM/Kerberos身份验证，结合IIS模拟的用户身份访问Exchange：

// 初始化curl请求，自动使用当前模拟用户的凭证
$ch = curl_init('https://exchange.yourdomain.com/EWS/Exchange.asmx');
// 优先使用Kerberos， fallback到NTLM
curl_setopt($ch, CURLOPT_HTTPAUTH, CURLAUTH_GSSNEGOTIATE | CURLAUTH_NTLM);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);

$response = curl_exec($ch);
curl_close($ch);

// 解析Exchange返回的SOAP/REST数据

注意事项 #

• 必须确保内网DNS能正确解析Exchange服务器的SPN，否则Kerberos身份验证会失败
• 测试时需使用域用户登录客户端机器，验证Web应用是否能自动获取Exchange数据
• 若内网仅支持NTLM，需确认Exchange服务器已开启NTLM跨服务器身份验证权限

内容的提问来源于stack exchange，提问作者Dan