请求协助：IIS无法验证已批准外部AD域的Windows token问题

核心结论：和委派权限直接相关 #

同域用户能透明登录，信任域用户反复弹出登录框，本质是你的IIS应用池账户（或服务器机器账户）没有权限验证外部域用户的Kerberos令牌，导致跨域身份验证流程中断。下面是具体的排查和修复步骤：

1. 配置委派权限（关键步骤） #

不管你用的是自定义域账户还是默认的Network Service/Local System，都需要在AD中配置委派：

• 如果用自定义域账户作为应用池身份：打开AD用户和计算机，找到该账户→属性→「委派」选项卡，选择「信任此用户委派指定的服务」，添加你的IIS服务器的HTTP服务（格式为HTTP/你的服务器FQDN），确保允许委派的范围覆盖信任域用户。
• 如果用Network Service/Local System：这些账户对应的是服务器的机器账户（格式DOMAIN\SERVERNAME$），同样在AD中找到该机器账户，按上面的步骤配置委派权限。

2. 检查SPN是否正确注册 #

Kerberos依赖正确的SPN（服务主体名称），没有SPN会直接导致跨域验证失败：

• 打开命令提示符，执行setspn -L 你的服务器名查看已注册的SPN，确认存在HTTP/你的服务器FQDN和HTTP/你的服务器NetBIOS名。
• 如果应用池用的是自定义账户，需要给该账户注册SPN：执行setspn -A HTTP/你的服务器FQDN DOMAIN\你的应用池账户。

3. 确认域信任关系配置 #

• 确保两个域之间是双向信任，并且信任属性中启用了Kerberos相关选项（比如AES加密），避免仅依赖NTLM（NTLM不支持跨域委派）。
• 可以在域控制器的「Active Directory域和信任关系」中查看信任的属性，确认身份验证方法为「Kerberos和NTLM」。

4. 强制使用Kerberos排除NTLM问题 #

在IIS站点的「Windows身份验证」设置里，把Negotiate设为唯一的提供程序，禁用NTLM。这样可以排除NTLM回退导致的跨域验证问题，强制走Kerberos流程，更容易定位错误。

5. 查看Kerberos日志定位具体错误 #

在IIS服务器的事件查看器中，打开「应用程序和服务日志→Microsoft→Windows→Kerberos-Key-Distribution-Center」，查看是否有事件ID 10或其他错误事件，这些日志会直接告诉你令牌验证失败的具体原因（比如权限不足、SPN缺失等）。

内容的提问来源于stack exchange，提问作者Olivier FAIVRE