Docker Desktop Windows容器WCF服务SQL匿名登录失败解决方案求助

问题根源 #

容器内的WCF服务以匿名身份运行时，默认使用NT AUTHORITY\ANONYMOUS LOGON账户，该账户无法通过Windows身份验证访问外部公司服务器上的SQL Server——因为容器是独立的隔离环境，此账户不在域内（或无SQL Server访问权限）。而之前IIS环境能正常运行，是因为IIS的匿名身份通常配置了具备SQL访问权限的本地/域账户。

可行解决方案 #

以下方案均符合"必须使用Windows身份验证"的要求：

方案1：运行容器时指定有权限的账户 #

直接在启动容器时，指定具备SQL Server访问权限的域账户或本地账户：

• Docker命令行方式：

  docker run -d --name wcf-service --user "DOMAIN\YourAccount" --password "YourPassword" your-wcf-image:latest
  

• Docker Compose方式（在docker-compose.yml中配置）：

  services:
    wcf-service:
      image: your-wcf-image:latest
      user: "DOMAIN\YourAccount"
      environment:
        - PASSWORD=YourPassword
  

注意：该账户必须已在SQL Server中配置登录权限，且拥有目标数据库的访问权限。

方案2：修改容器内IIS应用池运行账户 #

如果容器使用IIS托管WCF服务，可在Dockerfile中添加命令，将应用池身份改为有权限的账户：

RUN Import-Module WebAdministration; \
    Set-ItemProperty IIS:\AppPools\DefaultAppPool -name processModel -value @{userName='DOMAIN\YourAccount';password='YourPassword';identitytype='SpecificUser'}

构建镜像后启动容器，服务将以指定账户运行，从而具备访问SQL Server的权限。

方案3：配置Kerberos约束委派实现身份传递 #

若需要将客户端的Windows身份传递到SQL Server（模拟客户端身份访问），需配置Kerberos约束委派：

1. 修改web.config，启用WCF的Windows身份验证：

   <protocolMapping>
     <add binding="basicHttpBinding" scheme="http" />
   </protocolMapping>
   <bindings>
     <basicHttpBinding>
       <binding>
         <security mode="TransportCredentialOnly">
           <transport clientCredentialType="Windows" />
         </security>
       </binding>
     </basicHttpBinding>
   </bindings>
   

2. 将容器运行账户配置为域账户，并在Active Directory中为该账户设置约束委派权限，允许委派到SQL Server的服务主体名称（SPN）。
3. 使用WCF Test Client时，启用Windows身份验证访问服务，服务将模拟客户端身份访问SQL Server。

方案4：使用Group Managed Service Account(gMSA)（域环境推荐） #

gMSA是域环境下的安全账户，无需在容器中存储明文密码，适合生产环境：

1. 在Active Directory中创建gMSA账户，并授予其SQL Server的登录及数据库访问权限。
2. 配置容器主机加入域，并创建gMSA凭证规范文件。
3. 启动容器时指定使用gMSA：

   docker run -d --name wcf-service --security-opt "credentialspec=file://gmsa-cred-spec.json" your-wcf-image:latest
   

4. 修改容器内IIS应用池身份为该gMSA账户。

内容的提问来源于stack exchange，提问作者faujong