Windows身份验证切换后网站登录弹窗及应用池数据库登录问题求助

一、彻底解决Windows身份验证弹窗问题（替代可信站点方案） #

加可信站点虽能消除弹窗，但会干扰身份传递逻辑，进而引发应用池数据库访问异常。正确的无弹窗配置需满足域内自动凭据传递的核心条件：

• 客户端与服务器处于同一AD域或双向信任域
• 将网站URL配置到本地Intranet区域（比可信站点更适配域身份验证逻辑）：
  1. 打开Internet选项 → 安全 → 本地Intranet → 站点 → 高级，添加网站的FQDN或域内别名
  2. 返回本地Intranet的自定义级别设置，找到「用户身份验证-登录」选项，选择「自动登录当前用户名和密码」
• IIS服务器端配置：
  • 确认已禁用匿名身份验证，启用Windows身份验证
  • 在「身份验证规则」中添加允许目标AD组的规则，并将其优先级设为最高（避免被其他规则覆盖）
  • 网站绑定使用AD内可解析的FQDN，不要用IP或非域内自定义别名

二、解决应用池无法登录数据库的问题 #

根据是否需要传递客户端身份到数据库，分两种场景处理：

场景1：用应用池自身身份访问数据库 #

• 若应用池使用域账户运行：
  1. 在SQL Server中创建该域账户的登录名，映射到目标数据库的用户，并赋予必要的读写权限
  2. 确保数据库连接字符串使用Integrated Security=True（无需手动填写用户名密码）
• 若应用池使用**内置账户（如ApplicationPoolIdentity）**运行：
  1. 在SQL Server中创建登录名IIS APPPOOL\你的应用池名称（示例：IIS APPPOOL\MyWebAppPool）
  2. 给该登录名分配目标数据库的访问权限，连接字符串同样使用Integrated Security=True

场景2：传递客户端AD身份到数据库（模拟客户端） #

1. 在IIS站点的「Windows身份验证」→ 高级设置中，勾选「启用内核模式身份验证」
2. 打开站点的「身份模拟」功能，设置为「使用Windows身份验证的用户」
3. 在SQL Server中给客户端所属的AD组添加登录权限，确保组内用户能访问目标数据库
4. 连接字符串保持Integrated Security=True

三、关键注意事项 #

• 无需调整NTLM/Kerberos提供商顺序，域环境下Kerberos是默认优先验证方式，仅当Kerberos协商失败时才会自动 fallback到NTLM
• 扩展保护设置保持「接受」即可，无需修改
• 若要批量配置客户端的Intranet区域和自动登录规则，可通过组策略推送：在组策略编辑器中找到「用户配置→管理模板→Windows组件→Internet Explorer→Internet控制面板→安全页→站点到区域分配列表」添加网站URL，同时配置「用户身份验证-登录」为自动登录，无需用户手动操作

内容的提问来源于stack exchange，提问作者Nadine