[转]Reporting Services 中的身份验证类型

本文转自：https://docs.microsoft.com/zh-cn/previous-versions/sql/sql-server-2008/cc281310%28v%3dsql.100%29

通过随服务器一起安装的 Windows 身份验证扩展插件或您部署的自定义身份验证扩展插件，Reporting Services 可处理 HTTP 请求的所有身份验证功能。Windows 身份验证扩展插件支持不同类型的身份验证，因此您可以精确地控制报表服务器将接受哪些 HTTP 请求。身份验证类型包括 RSWindowsNegotiate、RSWindowsKerberos、RSWindowsNTLM 和RSWindowsBasic。每种身份验证类型都可以单独打开或关闭。如果您希望报表服务器接受多种类型的请求，则可启用多种身份验证类型。

注意
在 Reporting Services 的早期版本中，所有身份验证支持都是由 IIS 提供的。在此版本中，将不再使用 IIS。Reporting Services 会在内部处理所有身份验证请求。

身份验证类型

下表介绍了 Reporting Services 支持的身份验证类型。

AuthenticationType 名称	HTTP 身份验证层值	默认情况下是否使用	说明
RSWindowsNegotiate	Negotiate	是	RSWindowsNegotiate 指示报表服务器处理指定 Negotiate 的身份验证请求。Negotiate 会先尝试 Kerberos 身份验证，但是如果 Active Directory 无法将客户端请求的票证授予报表服务器，则回退到 NTLM。仅当票证不可用时，Negotiate 才会回退到 NTLM。如果第一次尝试导致出错而不是缺少票证，则报表服务器不会进行再次尝试。
RSWindowsNTLM	NTLM	是	NTLM 可通过按照质询响应中的说明交换私有数据对用户进行身份验证。将不会在其他请求中对凭据进行委托或模拟。后续请求将遵循新的质询响应顺序。根据网络安全设置的不同，系统可能提醒用户输入凭据，或者会以透明方式处理身份验证请求。
RSWindowsKerberos	Kerberos	否	对于指定 Kerberos 身份验证的请求，报表服务器将读取发出请求的用户的安全令牌权限。如果某个域启用了委托，则还可在为报表提供数据的外部数据源的其他连接中使用请求报表的用户的令牌。在指定 RSWindowsKerberos 之前，请确保您所使用的浏览器类型确实支持该值。如果您使用的是 Internet Explorer，则 Kerberos 身份验证只能通过 Negotiate 进行支持。Internet Explorer 将不表述直接指定 Kerberos 的身份验证请求。
RSWindowsBasic	Basic	否	基本身份验证是在 HTTP 协议中定义的，并只能用于对向报表服务器发出的 HTTP 请求进行身份验证。凭据以 base64 编码形式在 HTTP 请求中传递。如果您使用基本身份验证，则在通过网络发送用户帐户信息之前，请使用安全套接字层 (SSL) 对其进行加密。SSL 提供一个加密通道，可借助此通道通过 HTTP TCP/IP 连接将连接请求从客户端发送到报表服务器。有关详细信息，请参阅 Microsoft TechNet 网站中的 Using SSL to Encrypt Confidential Data（使用 SSL 加密机密数据）。
Custom	(Anonymous)	否	匿名身份验证将指示报表服务器忽略 HTTP 请求中的身份验证标头。报表服务器接受所有请求，但不接受您所提供用来对用户进行身份验证的自定义 ASP.NET 窗体身份验证的调用请求。仅当要在报表服务器上部署处理所有身份验证请求的自定义身份验证模块时，才指定 Custom。不能将 Custom 身份验证类型与默认的 Windows 身份验证扩展插件一起使用。

不支持的身份验证方法

不支持下列身份验证方法和请求。

身份验证方法	说明
匿名	报表服务器将不接受来自匿名用户的未经身份验证的请求，但包含自定义身份验证扩展插件的那些部署除外。如果对配置为使用基本身份验证的报表服务器启用报表生成器访问，则报表生成器将接受未经身份验证的请求。对于所有其他情况，在匿名请求到达 ASP.NET 前将拒绝该请求，同时生成 HTTP 状态 401 拒绝访问错误。客户端收到 401 拒绝访问错误后必须使用有效的身份验证类型重新表述该请求。
单一登录技术 (SSO)	在 Reporting Services 中不提供对单一登录技术的本机支持。如果希望使用单一登录技术，则必须创建自定义身份验证扩展插件。报表服务器宿主环境不支持 ISAPI 筛选器。如果您使用的 SSO 技术以 ISAPI 筛选器形式实现，请考虑使用 RSASecueID 或 RADIUS 协议的 ISA Server 内置支持。另外，还可以创建 ISA Server ISAPI 或 RS 的 HTTPModule，但是建议您直接使用 ISA Server。
Passport	SQL Server 2008 不支持。
摘要式	SQL Server 2008 不支持。

如何配置身份验证设置

保留报表服务器 URL 后，身份验证设置将配置为使用默认的安全设置。如果错误地修改了这些设置，则报表服务器将返回 HTTP 401 拒绝访问错误，该错误针对无法通过身份验证的 HTTP 请求。选择身份验证类型要求您已了解在网络中是如何支持 Windows 身份验证。必须指定至少一种身份验证类型。可为 RSWindows 指定多种身份验证类型。RSWindows 身份验证类型（即，RSWindowsBasic、RSWindowsNTLM、RSWindowsKerberos 和 RSWindowsNegotiate）与 Custom 互斥。

重要提示
Reporting Services 不验证您指定的设置以确定它们对于您的计算环境来说是否正确。有可能默认安全设置将对您的安装无效，也有可能将指定对安全基础结构无效的配置设置。因此，使报表服务器部署在较大的单位中可用之前，先在受控的测试环境中仔细测试该报表服务器部署非常重要。