IIS 10.0无法为.NET Framework 4.8应用池设置AD服务账户

1. 检查AD账户的权限与委派限制 #

• 确认AD服务账户未被设置账户不能委派或仅允许委派到指定服务的约束，.NET 4.8对Kerberos委派的校验比4.6更严格。
• 验证账户拥有作为服务登录权限：在本地安全策略→本地策略→用户权限分配中配置该权限，生产环境可能已配置但测试/开发环境常遗漏。

2. 修正应用池配置细节 #

• 确保LoadUserProfile设为true的同时，将setProfileEnvironment也设为true，手动修改applicationHost.config前先停止IIS服务避免冲突：

  <applicationPools>
    <add name="你的应用池名称" managedRuntimeVersion="v4.0" managedPipelineMode="Integrated">
      <processModel identityType="SpecificUser" userName="DOMAIN\ServiceAccount" password="你的密码" loadUserProfile="true" setProfileEnvironment="true" />
    </add>
  </applicationPools>
  

  修改后执行命令重启服务：net stop was /y && net start w3svc

3. 适配.NET 4.8的安全策略变更 #

• 在应用程序web.config中添加配置，禁用过严的身份验证缓存：

  <system.web>
    <authentication mode="Windows" />
    <identity impersonate="false" />
  </system.web>
  <system.webServer>
    <security>
      <authentication>
        <windowsAuthentication enabled="true" useKernelMode="true">
          <providers>
            <clear />
            <add value="Negotiate" />
            <add value="NTLM" />
          </providers>
        </windowsAuthentication>
      </authentication>
    </security>
  </system.webServer>
  

• 安装.NET 4.8最新累积更新，修复早期版本存在的身份验证兼容性bug。

4. 排查组策略与本地安全策略冲突 #

• 运行gpresult /r查看已应用的组策略，检查是否存在限制本地账户使用范围或阻止AD账户本地登录的策略，生产环境可能因OU配置不受影响。
• 核对本地安全策略中“用户权限分配”“安全选项”下的相关项，确保无冲突设置。

5. 验证文件系统权限 #

• 确保AD账户对以下路径拥有读写权限：应用程序目录、C:\inetpub\temp、C:\Windows\Temp，.NET 4.8对临时目录的权限要求更高。
• 使用procmon工具跟踪w3wp.exe的访问日志，定位具体的权限被拒路径。

6. 正确使用PowerShell配置应用池 #

• 以管理员身份运行PowerShell，执行以下命令设置身份：

  Import-Module WebAdministration
  Set-ItemProperty IIS:\AppPools\你的应用池名称 -name processModel -value @{userName='DOMAIN\ServiceAccount';password='你的密码';identityType='SpecificUser'}
  Restart-WebAppPool 你的应用池名称
  

• 查看事件日志（事件查看器→Windows日志→应用程序）获取具体错误信息，不要仅依赖IIS GUI的模糊提示。

内容的提问来源于stack exchange，提问作者Timothy Dooling