使用NetworkService身份的应用池连接SQL Server时持续登录失败

1. 核对SQL Server上机器账户的权限配置 #

• 打开SQL Server Management Studio，展开安全性 > 登录名，找到Domain\PCNewName$
  • 右键选择属性 > 用户映射：确认myDB数据库已勾选，且下方角色成员中db_owner已勾选
  • 切换到状态标签：确认“登录”选项为“启用”
• 检查该登录的服务器角色，确保至少拥有public权限（默认已配置，但需确认）

2. 验证Kerberos身份配置（核心排查点） #

NetworkService访问远程SQL Server时，会以机器账户的身份请求Kerberos票证，Win11默认配置可能和Win10存在差异：

• 在Win11机器上以管理员身份打开命令提示符，执行：

  klist get MSSQLSvc/DBTEST:1433
  

  • 如果返回“找不到票证”，说明Kerberos认证失败，需在域控制器上配置SPN：
    以域管理员身份打开命令提示符，执行（替换Domain\SQLServiceAccount为SQL Server服务运行的账户，若SQL用LocalSystem则为Domain\DBTEST$）：

    setspn -A MSSQLSvc/DBTEST:1433 Domain\SQLServiceAccount
    setspn -A MSSQLSvc/DBTEST.你的域名.com:1433 Domain\SQLServiceAccount
    

• 若Kerberos配置困难，可临时在连接字符串中强制使用NTLM：

  "CMSConnectionString": "Data Source=DBTEST;Initial Catalog=myDB;Integrated Security=True;Authentication=NTLM;"
  

3. 检查IIS应用池的身份配置细节 #

• 打开IIS管理器，找到目标应用池，右键选择高级设置：
  • 确认“标识”为NetworkService，且未勾选“加载用户配置文件”（该选项可能导致身份上下文异常）
• 重启应用池和IIS服务：

  iisreset
  

4. 查看SQL Server登录审核日志，定位精准错误 #

• 打开SQL Server Management Studio，连接到DBTEST，右键服务器 > 属性 > 安全性：勾选“登录审核”为“失败的登录”
• 重启SQL Server服务，重现报错后，查看管理 > SQL Server日志，找到对应失败登录记录的错误状态码：
  • 状态码3：密码错误（机器账户密码在域中未同步）
  • 状态码11：登录已禁用
  • 状态码12：登录有效但无目标数据库访问权限
• 根据状态码针对性修复

5. 排查域中机器账户的信任问题 #

• 在域控制器上打开Active Directory用户和计算机，找到PCNewName机器账户：
  • 右键属性 > 账户：确认“账户已禁用”未勾选
  • 若仍有问题，右键选择重置账户，然后在Win11机器上重新加入域（需重启）

内容的提问来源于stack exchange，提问作者Sylvain C.