IIS部署站点AD查询无输出，PowerShell运行正常问题求助

• 检查应用程序池的身份验证模式

  • 别光给宿主账户加权限，先确认应用程序池用的是不是你授权过的账户。如果用的是ApplicationPoolIdentity这类内置账户，得把池身份改成你授权的域账户，或者给服务器的计算机账户（格式：域\计算机名$）授予AD查询权限。
  • 操作：打开IIS管理器 → 找到目标应用程序池 → 高级设置 → 进程模型 → 标识 → 选自定义账户，输入有权限的域账户。

• 核对AD查询代码的执行上下文

  • PowerShell是在你当前登录用户的环境下跑的，但IIS是用应用池的身份执行代码。如果代码里硬绑了当前用户的凭据，或者依赖登录会话，肯定出问题。
  • 要么在代码里明确指定有权限的AD账户凭据（比如用-Credential参数），要么让脚本自动继承应用池的身份，别用-CurrentUser这类依赖当前会话的参数。

• 确认AD权限的具体范围

  • 你给的权限可能不够细，比如只给了读取用户的权限，但查的是组或者OU信息。得确保账户有目标AD对象（OU、用户、组等）的读取权限，还要勾选“列出内容”“读取所有属性”这些必要权限。
  • 操作：打开AD用户和计算机 → 右键目标OU → 属性 → 安全 → 添加账户 → 勾选对应的权限。

• 排查Kerberos身份验证问题

  • 如果IIS服务器和AD不在同一个域，或者应用池用的是域账户，可能是Kerberos委派出问题了，导致没法正常验证到AD。
  • 可以先试试在应用池高级设置里开启“启用32位应用程序”（如果你的AD查询工具是32位的），或者去域控制器的事件查看器里找Kerberos相关的错误日志，看看有没有身份验证失败的记录。

• 测试应用池身份的AD访问能力

  • 用runas /user:域\账户 powershell.exe命令，以应用池的身份打开PowerShell，然后执行同样的AD查询命令。如果这里也失败，要么是权限没配对，要么是这个账户被限制不能在IIS服务器登录。

• 检查IIS的执行限制

  • 确认IIS没禁用PowerShell脚本的执行权限，比如处理程序映射里有没有PowerShell的规则，站点的执行权限是不是设成了“脚本和可执行文件”。另外也看看请求超时时间，别太短导致查询被中断。

内容的提问来源于stack exchange，提问作者Montu Jain