IIS身份验证与文件访问异常问题求助：需协调网络/服务器团队的配置事项排查

兄弟，我太懂你现在的糟心处境了，刚把网站迁到新服务器的IIS上就接连踩坑，换谁都急！结合你描述的两个问题，大概率是和域环境集成、身份权限传递或者服务器的网络信任配置有关，你得赶紧和网络/服务器团队协调排查下面这些关键事项：

一、针对身份验证异常的排查要点 #

• 首要确认：新IIS服务器有没有加入公司的Active Directory（AD）域？要是没加入域，Windows身份验证根本没法正常识别域内用户，这是所有问题的核心前提，你编辑里也提到这点了，必须先落实！
• 检查IIS站点的Windows身份验证配置：看看「启用内核模式身份验证」有没有勾选？没开的话，很可能导致部分域用户（比如不同OU、不同组的用户）身份验证失败，出现时而要登录时而不用的情况。
• 让服务器团队检查新服务器的本地安全策略：找到「网络访问：本地账户的共享和安全模型」，确认是不是设为「经典 - 本地用户以自己的身份验证」，这个配置不对会直接干扰身份验证的传递逻辑。
• 找网络团队确认域信任关系：客户端和新IIS服务器是不是在同一个域，或者属于有双向信任的域？跨域环境下Windows身份验证很容易出问题，这点必须排查。

二、针对文件服务器链接无响应的排查要点 #

这个问题和身份验证是强关联的，大概率是身份传递失败导致的（也就是常说的「双跳问题」），需要排查这些：

• 确认IIS服务器的权限传递配置：如果用Windows身份验证，必须在AD里给IIS服务器的计算机账户配置Kerberos约束委派，授权它把用户身份传递到目标文件服务器。这一步只能由AD管理员（服务器/网络团队）操作，自己搞不了。
• 检查文件服务器的权限设置：不管用匿名还是Windows身份验证，都要确认IIS对应的访问账户（匿名是IUSR或应用池标识，Windows身份验证是用户本身）有没有文件服务器共享目录的读取权限，包括共享权限和NTFS权限，两者都得匹配才行。
• 让网络团队排查网络连通性：确认IIS服务器和文件服务器之间的SMB协议端口（默认445、139）有没有被防火墙规则挡住，端口不通的话点击链接自然没反应。

总结优先级 #

先搞定「新服务器加入AD」这个基础项，再去配置Kerberos委派，这两个是解决你当前两个问题的核心关键，赶紧和团队协调落实吧！

备注：内容来源于stack exchange，提问作者user3055699