AD组用户仅允许登录Web应用、禁止登录域内计算机的配置异常问题

我最近碰到个挺头疼的配置问题，跟大家唠唠：我在公司的IIS服务器上部署了一个第三方Web应用，用的是Windows身份认证。为了管控外部承包商的访问权限，专门建了个AD组把这些承包商加进去，核心需求很明确——他们只能登录这个Web应用，绝对不能碰域内的其他计算机。

一开始我想的是用AD里的「登录工作站」功能来限制，就给其中一个测试用户配置了这个选项，指定了Web服务器的名称。结果倒好，限制用户登录其他域内计算机的目的确实达到了，但意外的是，这个用户连Web应用的身份认证都失败了，完全跑偏了预期效果。

后来我琢磨明白问题出在哪了：当用户通过IIS的Windows认证访问Web应用时，本质是用户的客户端设备和IIS服务器之间完成Kerberos或NTLM认证流程。而「登录工作站」限制的是用户发起登录请求的设备，也就是用户自己的电脑，不是Web服务器。所以AD看到用户从自己的电脑发起认证请求，但这个设备不在「登录工作站」的允许列表里，直接就把认证请求给拒绝了，自然就没法登录Web应用。

给大家分享几个可行的解决思路：

• 放弃「登录工作站」，改用域组策略的用户权限分配：
  • 登录域控制器，打开组策略编辑器，找到「计算机配置」→「Windows设置」→「安全设置」→「本地策略」→「用户权限分配」→「允许本地登录」。
  • 保留原本允许本地登录的域用户/组，把承包商AD组从这个列表中移除。这样他们就无法在域内任何计算机上进行本地登录或远程桌面登录了。
• 确保Web应用的认证不受影响：
  • 要保证IIS服务器的「允许本地登录」权限里包含承包商AD组（或者包含Authenticated Users组），因为IIS需要在服务器端处理这些用户的认证请求。
  • 如果Web应用用的是Kerberos认证，记得检查服务主体名称（SPN）是否已经正确注册到域账号上，避免出现Kerberos认证失败的问题。
• 可选的额外限制（按需配置）：
  • 可以给承包商AD组设置「拒绝从网络访问这台计算机」的策略，但一定要注意不要把IIS服务器纳入这个策略的应用范围，否则Web应用的网络认证会被直接阻断。
  • 配合AD的「登录时间」限制，根据Web应用的实际使用时段，进一步收紧承包商的访问窗口。

备注：内容来源于stack exchange，提问作者user245321