内部网站如何选择性禁用Windows身份验证直通以支持账号切换？

针对你遇到的用户需要切换AD账号访问网站的问题，以下是几个无需复杂表单验证、更友好的实现方案：

方案1：IIS配置专属切换路径（推荐企业环境） #

在IIS中单独创建一个用于触发凭据重验证的虚拟目录，通过配置强制浏览器弹出Windows凭据框：

• 在你的网站下添加一个虚拟目录，比如命名为/switch-account
• 进入该虚拟目录的身份验证设置：
  • 启用Windows身份验证
  • 禁用启用内核模式身份验证（关键：这个设置会阻止浏览器自动使用当前登录的AD凭据）
  • 确保其他身份验证方式（如匿名、表单验证）都被禁用
• 在虚拟目录中放置一个简单的跳转页面（比如ASP.NET页面或HTML静态页），自动跳回网站主页
• 在主网站添加一个"切换账号"链接，指向/switch-account

用户点击链接后，浏览器会立即弹出Windows凭据输入框，输入新账号密码后，会自动跳转回主站，后续会话将使用新的AD身份。

方案2：利用浏览器无痕/隐私窗口（零配置） #

直接引导用户右键点击"切换账号"链接，选择在无痕窗口（Chrome）/隐私窗口（Edge）中打开：

• 无痕/隐私窗口不会继承当前浏览器的AD凭据缓存，访问网站时会自动触发Windows凭据提示
• 用户输入新账号后，即可在该窗口中使用新身份访问，原有窗口的会话不受影响

这个方案无需任何服务器配置，适合普通用户操作，缺点是无痕窗口的会话是临时的，关闭后需要重新验证。

方案3：优化Chrome命令行方案（无需关闭所有窗口） #

你原来的Chrome命令行方案可以优化，避免关闭所有现有浏览器实例：

chrome.exe --new-window --auth-server-allowlist="nothing" https://你的网站地址

• --new-window参数会打开一个独立的新浏览器窗口，与现有窗口的会话完全隔离
• 这个新窗口不会自动使用当前AD凭据，会直接弹出凭据输入框
• 原有浏览器窗口的会话可以正常保留，无需关闭

另外，也可以引导技术用户手动清除Chrome中对应网站的凭据：

1. 打开chrome://settings/passwords
2. 在"已保存的密码"中找到你的网站，点击删除
3. 刷新网站页面，即可重新弹出凭据输入框

内容的提问来源于stack exchange，提问作者Johan Greefkes