Authentification Windows intégrée

par Mike Wasson

La Authentification Windows intégrée permet aux utilisateurs de se connecter avec leurs informations d’identification Windows, à l’aide de Kerberos ou de NTLM. Le client envoie des informations d’identification dans l’en-tête d’autorisation. Elle est idéale pour un environnement intranet. Pour plus d'informations, consultez Authentification Windows.

Avantages	Inconvénients
Intégré à IIS.	Non recommandé pour les applications Internet.
N’envoie pas les informations d’identification de l’utilisateur dans la demande.	Nécessite la prise en charge de Kerberos ou de NTLM dans le client.
Si l’ordinateur client appartient au domaine (par exemple, l’application intranet), l’utilisateur n’a pas besoin d’entrer les informations d’identification.	Le client doit se trouver dans le domaine Active Directory.

Notes

Si votre application est hébergée sur Azure et que vous disposez d’un domaine Active Directory local, envisagez de fédérer votre AD local avec Azure Active Directory. De cette façon, les utilisateurs peuvent se connecter avec leurs informations d’identification locales, mais l’authentification est effectuée par Azure AD. Pour plus d’informations, consultez Authentification Azure.

Pour créer une application qui utilise le Authentification Windows intégré, sélectionnez le modèle « Application Intranet » dans l’Assistant projet MVC 4. Ce modèle de projet place le paramètre suivant dans le fichier Web.config :

<system.web>
    <authentication mode="Windows" />
</system.web>

Côté client, l’Authentification Windows intégré fonctionne avec n’importe quel navigateur prenant en charge le schéma d’authentification Negotiate, qui inclut la plupart des navigateurs principaux. Pour les applications clientes .NET, la classe HttpClient prend en charge Authentification Windows :

HttpClientHandler handler = new HttpClientHandler()
{
    UseDefaultCredentials = true
};

HttpClient client = new HttpClient(handler);

Authentification Windows est vulnérable aux attaques de falsification de demandes intersite (CSRF). Consultez Prévention des attaques par falsification de requête intersite (CSRF).