非域管理员组用户执行WCF调用失败问题排查求助

问题核心：部署在Windows Server 2012的应用发起WCF调用到Windows 10上的应用时，非域管理员用户会触发SecurityNegotiationException（凭据被拒绝、登录失败），加入域管理员组后恢复正常。以下是常见的排查方向和解决方法：

1. 检查WCF服务端的权限限制配置 #

打开服务端的WCF配置文件（web.config/app.config），定位到<system.serviceModel>下的安全相关节点：

• 若配置了<authorization>规则，确认是否仅允许Domain Admins组访问：

  <authorization>
    <allow roles="Domain Admins"/>
    <deny users="*"/>
  </authorization>
  

  这种情况下，非管理员用户会被直接拒绝。修改为允许目标用户组或特定用户：

  <authorization>
    <allow users="DOMAIN\YourTargetUserGroup"/>
    <deny users="*"/>
  </authorization>
  

• 同时检查<security>模式下的身份验证设置，确保Windows身份验证没有额外的权限限制。

2. 验证Windows本地安全策略 #

在Windows Server 2012上打开本地安全策略（运行secpol.msc），检查以下项：

• 从网络访问此计算机：确认目标用户或用户组在允许列表中，避免被自定义规则排除。
• 拒绝从网络访问此计算机：确保目标用户不在这个列表里，否则会直接拦截登录请求。
• 允许本地登录：如果WCF服务需要本地登录权限（比如自托管场景），确保用户组被包含。

3. 检查WCF服务宿主的运行账户权限 #

• 如果是IIS托管的WCF服务：查看应用程序池的运行账户，确保该账户有足够权限验证客户端凭据，且对服务资源有读写权限。
• 如果是自托管服务：检查服务运行的账户是否拥有Impersonate a client after authentication权限（在本地安全策略的用户权限分配中），这是Windows身份验证模拟客户端的必要权限。

4. 确认NTFS资源权限 #

检查WCF服务所在目录、配置文件、关联数据库或文件资源的NTFS权限，确保目标用户组具有读取、执行权限。如果服务需要写入操作，还需添加写入权限。

5. 统一身份验证协议版本 #

Windows 10和Windows Server 2012的身份验证协议可能存在兼容性问题：

• 在两端的本地安全策略中，设置网络安全: LAN管理器身份验证级别为发送NTLMv2响应\拒绝LM和NTLM，避免因协议不匹配导致凭据验证失败。

内容的提问来源于stack exchange，提问作者Triterium