Docker容器内调用NTLM保护的SharePoint API遇未授权问题求助

我们正在构建部署于Docker容器的Worker服务，需与采用Windows认证的本地SharePoint REST API交互。本地Windows开发机通过VS Code执行dotnet run可正常调用API，但部署到Docker容器后，API调用返回Unauthorized状态码及以下错误响应：

{
  "odata.error": {
    "code": "-2147024891, System.UnauthorizedAccessException",
    "message": {
      "lang": "en-US",
      "value": "Access denied. You do not have permission to perform this action or access this resource."
    }
  }
}

本地运行正常的代码：

var opts = new RestClientOptions("https://sharepoint.domain.local");
opts.Credentials = new NetworkCredential("username", "password", "domain.local");

var spclient = new RestClient(opts);

var req = new RestRequest("_api/lists/getbytitle('MY_LIST')/items", Method.Get);

var resp = spclient.Execute(req);
_logger.LogDebug("Status code {x} returned from API call {y}", resp.StatusCode, resp.ResponseUri);
_logger.LogTrace("Raw response from {url}. Content: {raw}", resp.ResponseUri, resp.Content);

if(!resp.IsSuccessful)
{
    throw new Exception();
}

已尝试手动指定NTLM认证但无效，对应代码：

CredentialCache cc = new CredentialCache();
cc.Add("https://sharepoint.domain.local", "NTLM", "username", "password", "domain.local");


var opts = new RestClientOptions("https://sharepoint.domain.local");
opts.Credentials = cc;

var spclient = new RestClient(opts);

var req = new RestRequest("_api/lists/getbytitle('MY_LIST')/items", Method.Get);

var resp = spclient.Execute(req);
_logger.LogDebug("Status code {x} returned from API call {y}", resp.StatusCode, resp.ResponseUri);
_logger.LogTrace("Raw response from {url}. Content: {raw}", resp.ResponseUri, resp.Content);

if(!resp.IsSuccessful)
{
    throw new Exception();
}

1. 更换支持完整NTLM的基础镜像 #

若使用Alpine等轻量镜像，可能缺少NTLM依赖库，建议切换到基于Debian/Ubuntu的.NET官方镜像：

FROM mcr.microsoft.com/dotnet/runtime:7.0-bookworm-slim

这类镜像包含完整的系统组件，能更好兼容Windows认证协议。

2. 改用Kerberos认证（优先推荐） #

NTLM在容器环境中存在跨网络的上下文限制，Kerberos是更稳定的Windows认证方案：

• 确保容器网络可访问域控制器，在Docker配置中指定DNS指向域控制器
• 代码中使用Kerberos认证器（需RestSharp支持）：

var opts = new RestClientOptions("https://sharepoint.domain.local");
opts.Authenticator = new KerberosAuthenticator(new NetworkCredential("username", "password", "domain.local"));

var spclient = new RestClient(opts);
// 后续请求逻辑不变

注意：需确保服务账号具备Kerberos认证权限，且容器与域控制器网络连通。

3. 调整容器网络模式 #

• 若使用Docker Desktop，尝试切换到host网络模式（仅Linux容器适用），让容器直接使用宿主机网络栈：

docker run --network host your-worker-image

这种模式下容器的网络环境与本地运行时一致，可避免NAT导致的认证信息丢失。

4. 强制使用NTLMv2并禁用自动重定向 #

部分SharePoint服务器要求NTLMv2认证，且自动重定向可能导致认证上下文丢失，可调整代码：

var credential = new NetworkCredential("username", "password", "domain.local");
var cache = new CredentialCache();
cache.Add(new Uri("https://sharepoint.domain.local"), "NTLM", credential);

var opts = new RestClientOptions("https://sharepoint.domain.local")
{
    Credentials = cache,
    FollowRedirects = false
};

var spclient = new RestClient(opts);

5. 检查SharePoint服务器配置 #

• 确认SharePoint服务器的IIS已启用NTLM/Kerberos认证
• 检查服务器是否有IP访问限制，确保容器IP在允许范围内

内容的提问来源于stack exchange，提问作者user1913559