.NET Core Web API部署IIS后访问UNC路径提示凭证错误求助

• 检查IIS应用程序池身份配置
  确保应用程序池的身份是具有UNC文件夹访问权限的域账户/本地管理员账户，而非默认的ApplicationPoolIdentity或NetworkService（这两类账户跨机器访问时权限受限）。配置路径：IIS管理器 → 应用程序池 → 目标池 → 高级设置 → 进程模型 → 身份 → 选择自定义账户并输入有权限的账户凭证。

• 调整UNC路径的权限设置
  确认UNC文件夹的共享权限和NTFS权限均已授予应用程序池身份账户（或其所属组）读取权限。注意：共享权限管控网络访问层面，NTFS权限管控文件系统层面，二者缺一不可。

• 正确实现Windows身份模拟（替代DllImport的兼容方案）
  你之前在Web Forms中用DllImport模拟的方式，可在Web API中用原生Windows API调用复现，避开NetworkCredential的局限。示例代码：

  [DllImport("advapi32.dll", SetLastError = true, CharSet = CharSet.Unicode)]
  private static extern bool LogonUser(string lpszUsername, string lpszDomain, string lpszPassword,
      int dwLogonType, int dwLogonProvider, out IntPtr phToken);
  
  [DllImport("kernel32.dll", CharSet = CharSet.Auto)]
  private static extern bool CloseHandle(IntPtr handle);
  
  public IActionResult GetImage(string uncPath)
  {
      IntPtr userToken = IntPtr.Zero;
      try
      {
          // 替换为有权访问UNC路径的账户信息
          bool loggedOn = LogonUser("adminAccount", "domainName", "accountPassword",
              9 /* LOGON32_LOGON_NEW_CREDENTIALS */, 3 /* LOGON32_PROVIDER_WINNT50 */, out userToken);
  
          if (!loggedOn)
          {
              return StatusCode(StatusCodes.Status500InternalServerError, "身份模拟失败");
          }
  
          using (WindowsIdentity identity = new WindowsIdentity(userToken))
          {
              using (identity.Impersonate())
              {
                  byte[] imageBytes = System.IO.File.ReadAllBytes(uncPath);
                  return File(imageBytes, "image/png");
              }
          }
      }
      finally
      {
          if (userToken != IntPtr.Zero)
          {
              CloseHandle(userToken);
          }
      }
  }
  

  说明：LOGON32_LOGON_NEW_CREDENTIALS（值为9）适用于跨机器访问场景，无需本地账户权限，比其他登录类型更适配当前需求。

• 配置Windows身份验证与委派（域环境适用）
  若Web API启用了Windows身份验证，需确保委派配置正确：

  1. 在AD中为应用程序池账户设置“信任此用户作为委派到任何服务（仅Kerberos）”；
  2. 若需简化配置，可禁用Kerberos约束委派改用NTLM，在Web.config中添加：

     <system.webServer>
       <security>
         <authentication>
           <windowsAuthentication enabled="true">
             <providers>
               <clear />
               <add value="NTLM" />
             </providers>
           </windowsAuthentication>
         </authentication>
       </security>
     </system.webServer>
     

• 排查Kerberos双跳问题（域环境）
  域内部署时，应用程序池使用域账户可能存在Kerberos双跳限制，需配置SPN（服务主体名称）：
  执行命令为Web服务器添加SPN：setspn -S HTTP/your-server-hostname domain\app-pool-account

内容的提问来源于stack exchange，提问作者Gemada