ASP.NET Core部署IIS时用户上下文模拟失效问题求助

核心问题分析 #

你当前配置的<system.web><authentication mode="Windows" /><identity impersonate="true"/></system.web>是传统ASP.NET Framework的配置节，ASP.NET Core完全不识别这部分内容，这是导致模拟失效的根本原因。

正确配置步骤 #

1. 在ASP.NET Core应用中启用认证中间件 #

在Program.cs中添加Windows认证服务及中间件，确保应用能接收IIS传递的用户凭据：

var builder = WebApplication.CreateBuilder(args);

// 注册Windows认证服务
builder.Services.AddAuthentication(IISDefaults.AuthenticationScheme);
// 注册授权服务
builder.Services.AddAuthorization();

// 其他服务配置（如控制器、Swagger等）
builder.Services.AddControllers();

var app = builder.Build();

// 启用认证和授权中间件（顺序不能错）
app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();

app.Run();

2. 修改web.config的ASP.NET Core配置节点 #

在<aspNetCore>节点中添加forwardWindowsAuthToken="true"，确保IIS将登录用户的令牌传递给Core进程：

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <location path="." inheritInChildApplications="false">
    <system.webServer>
      <handlers>
        <add name="aspNetCore" path="*" verb="*" modules="AspNetCoreModuleV2" resourceType="Unspecified" />
      </handlers>
      <!-- 添加forwardWindowsAuthToken="true" -->
      <aspNetCore processPath="dotnet" arguments=".\RestTest.dll" stdoutLogEnabled="false" stdoutLogFile=".\logs\stdout" hostingModel="inprocess" forwardWindowsAuthToken="true" />
    </system.webServer>
    <!-- 删除无效的<system.web>节，ASP.NET Core不识别 -->
  </location>
</configuration>

3. 配置IIS站点认证 #

• 禁用匿名认证
• 根据需求启用Windows认证或Basic认证：
  • 若用Windows认证：确保客户端与IIS服务器在同一域/信任域，避免Kerberos/NTLM认证失败
  • 若用Basic认证：务必配合HTTPS使用（防止明文传输凭据），并在IIS的Basic认证设置中指定正确的域

4. 应用池权限与设置 #

• 应用池标识保持ApplicationPoolIdentity即可
• 确保应用池账号拥有模拟客户端请求的权限：
  1. 打开本地安全策略（secpol.msc）
  2. 导航到「本地策略」→「用户权限分配」
  3. 找到「Impersonate a client after authentication」权限，添加IIS APPPOOL\DefaultAppPool账号

5. 代码中正确获取/使用登录用户上下文 #

在请求处理逻辑中，通过HttpContext.User获取登录用户身份，若需要执行AD操作，建议使用手动模拟块确保上下文正确：

[Authorize]
[ApiController]
[Route("api/[controller]")]
public class AdController : ControllerBase
{
    [HttpGet("current-user")]
    public IActionResult GetCurrentUser()
    {
        // 直接从HttpContext获取登录用户
        var loggedInUser = User.Identity?.Name;

        // 手动模拟登录用户上下文执行操作
        using (var impersonationContext = ((WindowsIdentity)User.Identity).Impersonate())
        {
            var currentContextUser = WindowsIdentity.GetCurrent().Name;
            // 在此块内执行AD读写操作，将以登录用户权限运行
            impersonationContext.Undo();
        }

        return Ok(new { LoggedInUser = loggedInUser, ContextUser = currentContextUser });
    }
}

关键注意事项 #

• ASP.NET Core不支持传统的<identity impersonate="true"/>配置，请勿再使用
• 托管模式优先选择inprocess，forwardWindowsAuthToken参数仅在该模式下有效；若使用outofprocess，需额外配置转发头环境变量
• 测试时务必在请求上下文中验证用户身份，应用启动时的进程身份默认是应用池账号，属于正常现象

内容的提问来源于stack exchange，提问作者Johannes