IIS应用池AD身份访问UNC路径周期性权限异常排查求助

问题背景 #

• 第三方应用部署于IIS，需访问UNC路径，应用池使用具备该UNC路径访问权限的AD账户运行
• 应用正常运行24-28小时后，出现UNC路径访问被拒错误，仅重启应用池可恢复
• 已完成的排查动作：
  • 设置Load User Profile: True，无效果
  • 更换为AD管理员账户运行应用池，问题依旧
  • 反复确认UNC路径权限配置无误
• 补充细节：
  • 应用通过C# File.Exists()方法检测文件，文件不存在时抛出访问被拒错误
  • 错误通过Microsoft.Extensions.Logging.LoggerExtensions.LogError()记录
  • 应用运行于IIS经典模式，当前应用池使用AD管理员账户；启用匿名身份验证，使用IUSR而非应用池身份，计划修改此项测试，但无法理解重启池即可恢复的原因

排查步骤 #

1. 检查AD账户的Kerberos票据续期情况 #

默认Kerberos票据有效期为10小时，可续期至7天，但续期失败会导致权限验证失效，这是此类周期性权限问题的常见原因。

• 在应用服务器上执行klist命令，查看目标AD账户的票据有效期及续期状态
• 检查事件查看器的「系统」日志，查找Kerberos相关错误（事件ID 4769、4770等）
• 临时缓解方案：配置应用池定期回收（比如每22小时回收一次），避开故障窗口；若确认是续期问题，可联系域管理员调整Kerberos票据的最大续期时间

2. 排查应用池身份令牌失效问题 #

经典模式下，应用池的身份令牌可能因AD账户策略变更（如密码过期、组权限更新，即使未手动修改，域内自动策略也可能触发）而失效，且长时间运行未刷新。

• 检查域控制器上目标AD账户的状态，确认无密码过期、组权限变更等情况
• 开启应用池的「定期回收」并设置时间间隔，验证是否能避免问题，以此确认是否为令牌未刷新导致

3. 检查UNC路径所在服务器的会话限制 #

文件服务器可能对同一AD账户的并发会话数有限制，或长时间闲置的会话被强制断开，而应用未处理重连逻辑。

• 查看文件服务器的「本地安全策略」，检查「网络安全: LAN Manager 身份验证级别」及「会话限制」相关设置
• 查看文件服务器的事件日志，查找会话断开的相关记录
• 可尝试在应用服务器上手动映射UNC为网络驱动器并保持连接，模拟验证是否为会话超时问题

4. 完善File.Exists()的异常日志 #

File.Exists()在权限不足时也会返回false，应用当前的错误日志可能掩盖了真实原因。

• 修改日志逻辑，记录File.Exists()调用时的完整异常信息（包括InnerException），明确是权限验证失败还是真的文件不存在

5. 验证匿名身份验证的配置冲突 #

虽然当前匿名身份使用IUSR，但经典模式下部分请求可能意外使用IUSR访问UNC路径（如静态资源请求），不过这无法解释周期性问题，但仍需排除：

• 将匿名身份验证修改为使用应用池身份，观察问题是否复现

内容的提问来源于stack exchange，提问作者Ken Najem