ASP.NET MVC应用：IIS无法将Windows身份验证传递至SQL Server

一、本地VS调试自动登录方案 #

• 打开项目属性→Web选项卡，选择“使用本地IIS Web服务器”，勾选“NTLM”身份验证方式。
• 修改launchSettings.json，确保以下配置：

  "iisSettings": {
    "windowsAuthentication": true,
    "anonymousAuthentication": false,
    "iisExpress": {
      "applicationUrl": "http://localhost:xxxx",
      "sslPort": 0
    }
  }
  

• 确保web.config中启用Windows身份验证并拒绝匿名访问：

  <authentication mode="Windows" />
  <authorization>
    <deny users="?" />
  </authorization>
  

二、部署到IIS后SQL身份传递问题（双跳问题） #

你遇到的是典型的Kerberos双跳问题：IIS能识别用户身份，但无法将该身份传递到另一台服务器的SQL Server，导致默认使用应用池/服务器账户（DOMAIN\SERVERNAME$）执行SQL操作。以下是分步解决步骤：

1. 确认基础IIS配置 #

• 站点级别：仅启用Windows身份验证，关闭匿名身份验证；扩展保护设为“关闭”，勾选“启用内核模式身份验证”（你已配置，再次确认）。
• 应用池：若使用自定义账户（ApplicationPoolName），确保该账户是域账户；若使用内置账户（如Network Service），则对应服务器账户DOMAIN\SERVERNAME$需具备后续委派权限。

2. 配置Kerberos约束委派 #

步骤1：为SQL Server注册SPN（服务主体名称）

SQL Server服务需使用域账户运行，在域控制器上执行以下命令（默认实例示例）：

# 注册FQDN形式的SPN
setspn -S MSSQLSERVICE/SQLSERVER.DOMAIN.COM DOMAIN\SQL_Service_Account
# 注册NetBIOS名称的SPN
setspn -S MSSQLSERVICE/SQLSERVER DOMAIN\SQL_Service_Account

若为命名实例，命令格式调整为：

setspn -S MSSQLSERVICE/SQLSERVER.DOMAIN.COM:INSTANCENAME DOMAIN\SQL_Service_Account
setspn -S MSSQLSERVICE/SQLSERVER:INSTANCENAME DOMAIN\SQL_Service_Account

步骤2：为IIS服务器/应用池账户配置委派权限

• 打开AD用户和计算机管理工具，找到IIS服务器（或应用池自定义账户）。
• 右键→属性→委派选项卡，选择“信任此计算机/用户委派到指定服务”。
• 点击“添加”→“用户或计算机”，选择SQL Server服务运行的域账户，勾选对应的MSSQLSERVICE服务。

3. 调整应用配置 #

• 关闭ASP.NET模拟：移除或修改web.config中的<identity impersonate="true" />为false——模拟会导致身份无法跨服务器传递，Kerberos委派不需要启用模拟。
• 确保SQL连接字符串使用Windows身份验证：

  <connectionStrings>
    <add name="YourDbContext" 
         connectionString="Server=SQLSERVER;Database=YourDB;Trusted_Connection=True;MultipleActiveResultSets=True" 
         providerName="System.Data.SqlClient" />
  </connectionStrings>
  

4. 验证配置有效性 #

• 在IIS服务器上执行klist命令，查看是否存在用户的Kerberos服务票据。
• 在应用中添加调试代码，输出身份验证类型：

  // 在控制器或视图中输出
  @User.Identity.AuthenticationType
  

  若输出为Kerberos，则身份验证方式正确；若为NTLM，需检查SPN或委派配置是否有误。

三、常见排查点 #

• 确保客户端、IIS服务器、SQL Server均在同一域或存在双向信任关系。
• 查看IIS服务器事件查看器→安全日志，检查是否有Kerberos认证失败事件（如事件ID 4625），根据错误信息调整配置。
• 若使用自定义应用池账户，确保该账户具备IIS站点访问权限，以及SQL Server的登录权限（需在SQL Server中添加该账户登录并授予对应数据库权限）。

内容的提问来源于stack exchange，提问作者Ben Phillips