.NET Framework4 MVC应用部署至Windows Server2019 IIS10后LDAP登录异常

1. 核实IIS Windows身份验证的细节配置 #

• 确认站点已启用Windows身份验证，并检查「高级设置」中的两项关键配置：
  • 将「扩展保护」设为接受或关闭（IIS 10默认开启的扩展保护，在跨域、代理场景下会导致客户端验证失败，旧IIS 7.5环境通常未启用该特性）；
  • 勾选「启用内核模式身份验证」（确保Kerberos/NTLM认证能正常通过内核层处理）。

2. 检查web.config中的身份验证规则 #

• 确保身份验证与授权配置无冲突，示例如下：

  <authentication mode="Windows" />
  <authorization>
    <deny users="?" /> <!-- 拒绝匿名访问 -->
    <allow users="*" /> <!-- 允许所有已认证域用户 -->
  </authorization>
  

• 排查是否存在<location>节点对特定路径单独设置了身份验证规则，导致客户端访问时触发重复验证流程。

3. 配置SPN服务主体名称 #

IIS 10对Kerberos认证的SPN要求更严格，若应用池使用域账户运行，需为服务器注册正确的SPN：

• 以域管理员身份执行命令提示符：

  setspn -A HTTP/服务器完整域名 域\应用池身份账户
  setspn -A HTTP/服务器IP地址 域\应用池身份账户
  

SPN缺失会导致Kerberos认证失败，退回到NTLM，进而出现凭证弹窗反复弹出的问题。

4. 调整客户端浏览器的Intranet区域设置 #

客户端浏览器需将服务器地址加入本地Intranet区域，才能自动使用当前域账户凭证验证：

• 打开浏览器「Internet选项」→「安全」→「本地Intranet」→「站点」，添加服务器地址；
• 在「自定义级别」中，将「用户身份验证→登录」设为「自动登录到Intranet区域中的所有站点」。

5. 确认应用池的进程模型配置 #

• 确保应用池「加载用户配置文件」设为True（应用池→高级设置→进程模型），该选项影响Kerberos票据的生成与存储；
• 再次核实应用池身份账户对应用文件夹的读取权限，避免因权限不足导致认证后无法加载资源。

6. 查看Kerberos认证失败日志 #

在服务器「事件查看器→Windows日志→系统」中，筛选来源为Kerberos的事件，若出现ID 4768（预认证失败）、4771（Kerberos认证失败），可结合SPN配置进一步定位问题。

内容的提问来源于stack exchange，提问作者Jan Sršeň