統合Windows認証

統合Windows認証（IWA）^{[ 1 ]}は、 Microsoft製品 に関連する用語で、 Microsoft Windows 2000で導入され、それ以降のWindows NTベースのオペレーティングシステムに搭載されたSSPI機能に関するSPNEGO、Kerberos、およびNTLMSSP認証プロトコルを指します。この用語は、Microsoft Internet Information Services、Internet Explorer、およびその他のActive Directory対応アプリケーション間の自動認証接続に対してより一般的に使用されます。

IWAは、 HTTP Negotiate認証、NT認証^{[ 2 ]} 、NTLM認証^{[ 3 ]} 、ドメイン認証^{[ 4 ]} 、Windows統合認証^{[ 5 ]} 、Windows NTチャレンジ/レスポンス認証^{[ 6 ]}、または単にWindows認証など、いくつかの名前でも知られています。

統合Windows認証は、Windowsクライアントとサーバーのセキュリティ機能を利用します。基本認証やダイジェスト認証とは異なり、初期段階ではユーザー名とパスワードの入力を求めません。クライアントコンピューター上の現在のWindowsユーザー情報は、WebブラウザーがWebサーバーとのハッシュ化を含む暗号化通信を通じて提供します。認証通信でユーザーを識別できなかった場合、WebブラウザーはユーザーにWindowsユーザーアカウントのユーザー名とパスワードの入力を求めます。

統合 Windows 認証自体は、標準規格でも認証プロトコルでもありません。プログラムのオプションとして IWA が選択されている場合 (たとえば、IISサイトのプロパティ ダイアログのディレクトリ セキュリティタブ内) ^{[ 7 ]} 、これは、基盤となるセキュリティ メカニズムが優先的に使用されることを意味します。Kerberosプロバイダが機能し、ターゲットのKerberos チケットを取得でき、関連する設定で Kerberos 認証が許可されている場合 (たとえば、Internet Explorerのイントラネット サイト設定)、Kerberos 5 プロトコルが試行されます。それ以外の場合は、NTLMSSP認証が試行されます。同様に、Kerberos 認証が試行されて失敗した場合、NTLMSSP が試行されます。IWA はSPNEGOを使用して、イニシエータとアクセプタが Kerberos または NTLMSSP のいずれかをネゴシエートできるようにします。サードパーティのユーティリティは、統合 Windows 認証のパラダイムを UNIX、Linux、および Mac システムに拡張しています。

統合 Windows 認証は、ほとんどの最新の Web ブラウザーで動作しますが^{[ 8 ]}、一部の HTTPプロキシ サーバーでは動作しません^{[ 7 ]}。そのため、すべてのクライアントが単一のドメイン内にあるイントラネットでの使用に最適です。認証を要求するサーバーにユーザーのログオン資格情報を渡すように構成されている場合は、他の Web ブラウザーでも動作する可能性があります。プロキシ自体が NTLM 認証を必要とする場合、プロキシ認証のプロトコルが RFC-2069 に記載されていないため、Java などの一部のアプリケーションでは動作しない可能性があります。

• Internet Explorer 2以降のバージョン。^{[ 7 ]}
• Windows オペレーティングシステム上のMozilla Firefoxでは、about:config ページの「 network.negotiate-auth.trusted-uris」（Kerberos 用）または「 network.automatic-ntlm-auth.trusted-uris 」（NTLM）設定名に、認証を渡すドメイン/Web サイトの名前を入力できます（複数のドメインの場合はカンマ区切り）。[ 9 ^{] Macintoshオペレーティング}システムでは、Kerberos チケットがあれば（negotiate を使用）、この設定が機能します。一部の Web サイトでは、「network.negotiate-auth.delegation-uris」の設定も必要になる場合があります。
• Opera 9.01以降のバージョンはNTLM/Negotiateを使用できますが、サーバーがBasic認証またはDigest認証を提供している場合は、それらを使用します。
• Google Chromeはバージョン8.0以降で動作します。
• Kerberosチケットさえあれば、Safariは動作します。
• Microsoft Edge 77以降。^{[ 10 ]}

iOSは、Kerberosシングルサインオン拡張機能を介してKerberosをネイティブにサポートしています。この拡張機能を設定することで、SafariとEdgeでKerberosを使用できるようになります。

Android のChrome には SPNEGO のサポートがあり、 Hypergate Authenticatorのようなソリューションで Kerberos のサポートを追加しています。

• SSPI（セキュリティサポートプロバイダーインターフェース）
• NTLM（NT LAN Manager）
• SPNEGO（シンプルかつ保護されたGSSAPIネゴシエーションメカニズム）
  • GSSAPI（汎用セキュリティサービスアプリケーションプログラミングインターフェース）

• Microsoft IIS 6.0 テクニカル リファレンスにおける IWA の説明