Сценарий
Веб-сервер IIS. Не веб-сервис .Net. Отправка в веб-сервис.
Веб-приложение .Net, подключающееся к веб-службе междоменным образом.
Требование
Веб-сервер должен требовать авторизованных пользователей Active Directory с единым входом в систему.
Допустимо, что предварительный тест OPTIONS принимает аутентифицированный запрос, но любой другой запрос (включая POST после теста OPTIONS) должен требовать аутентифицированного пользователя.
Где я нахожусь:
У меня есть успешный междоменный вызов CORS, работающий между веб-приложением и веб-сервером. Я ясно вижу, как работает вызов OPTIONS, а затем работает последующий вызов POST.
Проблема:
Вызов OPTIONS не отправляет учетные данные. Чтобы обойти это, мы разрешаем анонимных пользователей на уровне веб-сайта. В противном случае получаем ошибку 401 Unauthorized.
Однако, как только мы это сделаем, POST больше не требует аутентификации. Фактически, журнал веб-сервера показывает, что учетные данные вообще не отправляются в почте. Это неприемлемо.
Мне нужен способ либо (а) заставить вызов OPTIONS отправлять учетные данные Active Directory, либо (б) веб-сервер должен отклонять все неаутентифицированные запросы без OPTIONS.
Предпочтения:
Что касается пути решения (а), я вполне согласен с тем, что для этого требуется.
Для пути решения (b) предпочтительнее параметр IIS или параметр web.config. Веб-сервер написан на python, но я полагаю, что мы могли бы создать модуль кода веб-сервера C #, который будет вызывать код python, который выполняет реальную работу на сервере.
Идеи?