ASP.NET Core 8 Web API部署IIS后Windows身份验证失效求助

1. 核对.NET 8项目与IIS配置 #

• 确认Program.cs中Windows身份验证的启用逻辑正确：

  builder.Services.AddAuthentication(IISDefaults.AuthenticationScheme);
  // 确保中间件顺序：先认证，再授权
  app.UseAuthentication();
  app.UseAuthorization();
  

• 检查部署生成的web.config，确保身份验证节点配置正确：

  <system.webServer>
    <security>
      <authentication>
        <anonymousAuthentication enabled="false" />
        <windowsAuthentication enabled="true" />
      </authentication>
    </security>
  </system.webServer>
  

• 验证Windows 10上已安装对应版本的ASP.NET Core Runtime Hosting Bundle，这是IIS托管.NET Core应用的必要组件，缺失会导致身份验证等功能异常。

2. 修正应用程序池配置 #

• 应用程序池的.NET CLR版本必须设置为无托管代码，ASP.NET Core是独立运行时，无需IIS托管CLR，选错版本会干扰身份验证流程。
• 确认应用程序池标识的权限：
  • 若使用Network Service，需确保该账户拥有API部署目录的读取权限，以及API依赖资源（如数据库、文件）的访问权限；
  • 若使用自定义账户，需将其加入本地登录权限组，并授予足够的目录访问权限。
• 彻底禁用ASP.NET模拟：ASP.NET Core不依赖该功能，启用后会破坏Windows身份验证的原生流程，务必在IIS站点的身份验证设置中确认其为禁用状态。

3. 检查Windows 10系统级设置 #

• 防火墙与端口：确保IIS默认端口（80/443）及Kerberos认证所需的88端口未被防火墙拦截，可临时关闭防火墙测试是否恢复正常。
• 本地安全策略配置：
  • 打开本地安全策略，在本地策略 -> 用户权限分配中，确认应用程序池标识账户已加入允许本地登录列表；
  • 在安全选项中，将网络安全: LAN管理器身份验证级别设置为发送NTLMv2响应\拒绝LM和NTLM，避免旧认证协议引发的冲突。
• 浏览器配置：若通过浏览器访问API，需将站点加入本地intranet区域，并启用该区域的自动使用当前用户名和密码登录选项。

4. 启用日志定位问题 #

• IIS失败请求跟踪：在IIS管理器中为目标站点启用失败请求跟踪，设置跟踪规则捕获401类错误，通过生成的日志文件查看身份验证失败的具体环节（如Kerberos协商失败、NTLM认证被拒绝）。
• ASP.NET Core调试日志：在appsettings.json中开启身份验证相关的Debug级日志：

  "Logging": {
    "LogLevel": {
      "Microsoft.AspNetCore.Authentication": "Debug"
    }
  }
  

  部署后查看日志文件，定位身份验证流程中的异常点。

5. 排查.NET版本迁移的配置差异 #

• 对比.NET 6与.NET 8的中间件顺序：.NET 8采用最小API模式时，需确保UseAuthentication()在UseAuthorization()之前执行，中间件顺序错误会导致身份验证失效。
• 检查托管模式配置：
  • 若使用OutOfProcess托管模式，需在web.config中添加转发头配置：

    <aspNetCore hostingModel="OutOfProcess">
      <environmentVariables>
        <environmentVariable name="ASPNETCORE_FORWARDEDHEADERS_ENABLED" value="true" />
      </environmentVariables>
    </aspNetCore>
    

    同时在Program.cs中注册转发头服务：

    builder.Services.AddForwardedHeaders(options => 
        options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto);
    

内容的提问来源于stack exchange，提问作者Azad