.NET 6下IIS中Windows身份模拟401未授权问题求助

错误码2148074252（十六进制0x8009030C）对应SEC_E_LOGON_DENIED，说明模拟后的用户身份在访问目标API时被拒绝，结合你的场景，以下是针对性排查步骤：

1. 修正异步代码的模拟方式 #

.NET 6中WindowsIdentity.RunImpersonated是同步方法，你在内部使用GetAwaiter().GetResult()阻塞异步操作，可能导致模拟上下文丢失。改用异步专用的RunImpersonatedAsync，并全程使用异步调用：

var userToImpersonate = (WindowsIdentity)_httpContextAccessor.HttpContext.User.Identity;

await WindowsIdentity.RunImpersonatedAsync(
    userToImpersonate.AccessToken, async () =>
    {
        var uri = new Uri("...");

        using (var handler = new HttpClientHandler { UseDefaultCredentials = true })
        {
            using (var client = new HttpClient(handler))
            {
                var responseString = await client.GetStringAsync(uri);
                // 处理返回内容
            }
        }
    }
);

2. 确认身份验证协议为Kerberos #

跨服务器的Windows身份模拟依赖Kerberos协议，NTLM不支持跨机器的委派验证：

• 打开IIS管理器，分别进入Web应用和API的身份验证设置，双击Windows身份验证
• 点击提供程序，确保Negotiate（对应Kerberos）排在NTLM之前，或仅启用Negotiate

3. 配置Kerberos服务主体名称（SPN） #

如果Web应用和API部署在不同服务器，或使用自定义应用池账户，需要注册正确的SPN：

• 以域管理员身份运行命令行，为Web应用的应用池账户注册SPN：

  setspn -S HTTP/[Web应用域名] [域账户名]
  

• 为API的应用池账户注册SPN：

  setspn -S HTTP/[API域名] [域账户名]
  

• 验证SPN是否注册成功：

  setspn -L [账户名]
  

4. 启用Kerberos委派权限 #

确保Web应用的应用池账户被允许委派到API的服务账户：

• 打开Active Directory用户和计算机，找到Web应用的应用池账户（或机器账户，如果用Network Service）
• 右键属性，切换到委派标签，选择信任此用户进行委派到指定服务，添加目标API的SPN（HTTP/[API域名]）

5. 检查应用池配置 #

• 确保Web应用和API的应用池加载用户配置文件选项已启用：
  进入IIS管理器 → 应用池 → 对应应用池 → 高级设置 → 进程模型 → 加载用户配置文件 → 设置为True
• 避免使用LocalSystem作为应用池身份，建议使用域账户或Network Service，便于Kerberos委派配置

6. 验证模拟令牌的有效性 #

在模拟代码中添加日志，验证userToImpersonate.AccessToken是否有效，以及模拟后的身份是否正确：

var userToImpersonate = (WindowsIdentity)_httpContextAccessor.HttpContext.User.Identity;
// 记录模拟前的用户名
Console.WriteLine($"Original User: {userToImpersonate.Name}");

await WindowsIdentity.RunImpersonatedAsync(
    userToImpersonate.AccessToken, async () =>
    {
        // 记录模拟后的用户名
        Console.WriteLine($"Impersonated User: {WindowsIdentity.GetCurrent().Name}");
        // 后续请求代码
    }
);

内容的提问来源于stack exchange，提问作者DanB