如何让HttpListener端点使用Kerberos而非NTLM进行身份认证？

问题背景 #

我在运行Active Directory的虚拟机上，通过PowerShell启动了一个用HttpListener托管的简易端点，代码如下：

string[] prefixes = { "http://+:8080/" };
HttpListener listener = new HttpListener();

foreach (string prefix in prefixes)
{
    listener.Prefixes.Add(prefix);
}

listener.AuthenticationSchemes = AuthenticationSchemes.Negotiate;
listener.Start();

Console.WriteLine("Listening on port 8080...");

while (true)
{
    HttpListenerContext context = listener.GetContext();
    HttpListenerRequest request = context.Request;
    HttpListenerResponse response = context.Response;

    if (request.HttpMethod == "GET" && request.Url.AbsolutePath == "/api/kerberos/test")
    {
        IIdentity identity = context.User.Identity;
        string responseString = $"Hello, {identity.Name}! You are authenticated using {identity.AuthenticationType}.";
        byte[] buffer = Encoding.UTF8.GetBytes(responseString);

        response.ContentLength64 = buffer.Length;
        response.OutputStream.Write(buffer, 0, buffer.Length);
    }
    else
    {
        response.StatusCode = (int)HttpStatusCode.NotFound;
    }

response.Close();
}

访问http://{FQDN}//api/kerberos/test时，虽会提示输入Windows账号密码，但始终返回Hello, DOMAIN\john.smith! You are authenticated using NTLM.，我希望实现返回Hello, DOMAIN\user! You are authenticated using Kerberos.的效果。

已尝试的操作：

• 执行setspn -Q HTTP/{FQDN}查询SPN
• 执行setspn -S HTTP/{FQDN} john.smith注册SPN

我认为问题出在SPN配置上，但对Kerberos不太熟悉，需要帮助。

解决步骤 #

1. 修正访问URL #

当前URL包含双斜杠//，会干扰Kerberos认证流程，需改为正确格式：http://{FQDN}:8080/api/kerberos/test（必须加上服务监听的8080端口）。

2. 确认SPN绑定到服务运行账号 #

Kerberos要求SPN必须绑定到启动HttpListener应用的Windows账号：

• 先检查是否存在重复SPN（重复绑定会导致Kerberos降级到NTLM）：

  setspn -X
  

• 若发现HTTP/{FQDN}被多个账号绑定，删除多余条目：

  setspn -D HTTP/{FQDN} [多余账号名]
  

• 确认当前SPN绑定的账号确实是运行应用的账号，若不是则重新注册：

  setspn -D HTTP/{FQDN} john.smith
  setspn -S HTTP/{FQDN} [实际运行应用的账号]
  

3. 配置客户端浏览器支持Kerberos #

Kerberos默认仅对本地Intranet区域生效，需做以下设置：

• 打开浏览器的Internet选项 -> 安全 -> 本地Intranet -> 站点 -> 高级，将http://{FQDN}添加到区域列表。
• 进入本地Intranet -> 自定义级别，找到“用户身份验证 -> 登录”，选择“自动使用当前用户名和密码登录”。

4. 验证Kerberos票据生成 #

在客户端机器上执行命令，检查是否能获取服务的Kerberos票据：

klist get HTTP/{FQDN}

若成功获取，说明SPN配置正常；若报错，需排查AD域信任、网络连通性或SPN配置问题。

5. 确认服务端配置 #

确保代码中listener.AuthenticationSchemes = AuthenticationSchemes.Negotiate的设置未被覆盖，且服务端与客户端处于同一个AD域（或存在双向信任关系）。

内容的提问来源于stack exchange，提问作者sanny_gomes