De forma mais sucinta, minha pergunta é se um aplicativo ASP.NET 4.0 em execução no modo integrado do IIS 7 deve ser capaz de respeitar esta parte do meu arquivo Web.config:
<location path="auth/windows">
<system.webServer>
<modules>
<remove name="FormsAuthentication"/>
</modules>
</system.webServer>
</location>
Estou experimentando autenticação de modo misto (Windows e Forms). Usando o Gerenciador do IIS, desabilitei a autenticação anônima para auth/windows/winauth.aspx, que está no caminho do local acima. Eu configurei o Failed Request Tracing para rastrear vários códigos de status HTTP, incluindo 302s.
Quando solicito a página winauth.aspx, um código de status HTTP 302 é retornado. Se eu observar o rastreamento da solicitação, posso ver que um 401 (não autorizado) foi gerado originalmente pelo AnonymousAuthenticationModule. No entanto, o FormsAuthenticationModule converte isso em 302, que é o que o navegador vê. Parece que minha tentativa de remover esse módulo do pipeline das páginas nesse caminho não está funcionando. Mas não estou vendo nenhuma reclamação em lugar nenhum (visualizador de eventos, páginas amarelas da morte, etc.) que indique que é uma configuração inválida. Quero que o 401 seja retornado ao navegador, o que provavelmente incluiria um cabeçalho WWW-Authenticate apropriado.
Alguns outros pontos: a) eu tenho <authentication mode="Forms">no meu Web.config, e é para isso que o 302 redireciona; b) Recebi o "nome" do módulo que estou tentando remover do arquivo inetserv\config\applicationHost.config; c) Tenho este elemento no meu arquivo Web.config: <modules runAllManagedModulesForAllRequests="false">; d) Tentei um <location>elemento para o caminho no qual defini o modo de autenticação como "Nenhum", mas isso gerou uma página de exceção amarela informando que a propriedade não pode ser definida abaixo do nível do aplicativo.
Alguém teve sorte em remover módulos dessa maneira?