IIS多主机绑定下Windows Authentication类型为空问题求助

环境配置 #

• SSL证书主题备用名称：
  • mymachine
  • mymachine.home
• IIS站点绑定：
  • https://mymachine.home:5007
  • https://mymachine:5007

问题现象 #

访问https://mymachine:5007时，GetWindowsPrincipal()方法返回authenticationType="Negotiate"，NTLM身份验证正常完成；但访问https://mymachine.home:5007时，该方法返回的authenticationType为空字符串，直接导致身份验证失败。

相关代码 #

private WindowsPrincipal? GetWindowsPrincipal()
{
    NativeMethods.HttpGetAuthenticationInformation(_requestNativeHandle, out var authenticationType, out var token);

    if (token != IntPtr.Zero && authenticationType != null)
    {
        if ((authenticationType.Equals(NtlmString, StringComparison.OrdinalIgnoreCase)
            || authenticationType.Equals(NegotiateString, StringComparison.OrdinalIgnoreCase)
            || authenticationType.Equals(BasicString, StringComparison.OrdinalIgnoreCase)))
        {
            return new WindowsPrincipal(new WindowsIdentity(token, authenticationType));
        }
    }
    return null;
}

疑问 #

为何https://mymachine.home:5007绑定会出现authenticationType为空的情况？如何配置才能让两个绑定都正常完成身份验证？已确认SSL证书配置正确，是否需要额外的IIS设置或其他配置？

解决思路与方案 #

1. 调整浏览器本地Intranet区域配置 #

Windows身份验证依赖浏览器的本地Intranet站点识别规则，mymachine通常会被自动判定为Intranet站点，浏览器会自动发送Windows凭据；而mymachine.home可能被归类到Internet区域，导致凭据不自动提交：

• 打开IE/Edge的「Internet选项」→「安全」→「本地Intranet」→「站点」→「高级」
• 添加https://mymachine.home到本地Intranet区域，按需勾选「对该区域中的所有站点要求服务器验证(https:)」

2. 配置IIS Windows身份验证提供程序 #

确保IIS中Windows身份验证的核心提供程序正常启用且顺序正确：

• 打开IIS管理器 → 目标站点 →「身份验证」→「Windows身份验证」→「提供程序」
• 确认Negotiate和NTLM均在列表中，若缺失则添加；建议将Negotiate设为首位

3. 注册服务主体名称（SPN） #

使用Negotiate身份验证时，需为HTTP服务注册对应域名的SPN，否则会出现身份验证回退或失败：

• 以管理员身份打开命令提示符，执行以下命令（替换DOMAIN\IISAppPoolUser为站点应用池的运行账户）：

  setspn -S HTTP/mymachine.home DOMAIN\IISAppPoolUser
  setspn -S HTTP/mymachine DOMAIN\IISAppPoolUser
  

• 执行setspn -L DOMAIN\IISAppPoolUser验证SPN是否已成功注册

4. 验证站点身份验证开关 #

确保目标IIS站点已启用Windows身份验证，同时禁用可能冲突的身份验证方式：

• 打开IIS管理器 → 目标站点 →「身份验证」
• 确认「Windows身份验证」为启用状态，「匿名身份验证」为禁用状态

5. 排查底层API调用逻辑 #

检查NativeMethods.HttpGetAuthenticationInformation的实现代码，确认是否存在针对不同域名的请求处理差异；可临时添加日志，输出authenticationType和token的具体返回值，定位是否为底层API的异常返回。

内容的提问来源于stack exchange，提问作者Mselmi Ali