同域环境下IIS应用跨服务器通过Windows身份验证连接SQL Server的配置方案咨询（含匿名登录失败错误解决）

这个问题我之前帮不少开发者排查过，核心原因是跨服务器场景下NTLM身份验证无法传递用户身份，必须依赖Kerberos实现身份委派才能让应用的Windows身份顺利传递到SQL Server。下面是一步步的配置步骤，按顺序操作基本就能解决：

1. 调整IIS应用程序池的运行身份 #

默认的ApplicationPoolIdentity或LocalSystem没法跨域传递身份，得改成域账户或者NetworkService（后者会使用IIS服务器的机器账户）：

• 打开IIS管理器，找到你的应用对应的应用池，右键选择「高级设置」
• 在「进程模型」->「身份」里，选择「自定义账户」，输入有权限访问SQL Server的域账户（比如DOMAIN\AppPoolServiceAccount）；如果用NetworkService，后续要给DOMAIN\IIS服务器名$这个机器账户在SQL Server里授权

2. 确认SQL Server的身份验证模式 #

确保SQL Server允许Windows身份验证：

• 打开SQL Server配置管理器，找到你的SQL Server实例服务，右键选择「属性」
• 切换到「安全性」选项卡，确认勾选「Windows身份验证模式」，重启SQL Server服务生效

3. 配置Kerberos约束委派（最关键的一步） #

这是跨服务器身份传递的核心，需要让IIS的运行身份（机器账户或域账户）被允许委派到SQL Server服务：

1. 打开Active Directory用户和计算机（ADUC），找到IIS服务器的计算机对象（或你刚才设置的应用池域账户）
2. 右键选择「属性」->「委派」选项卡
3. 选择「信任此计算机/用户进行委派到指定服务」，点击「添加」
4. 在弹出的窗口中选择「用户和计算机」，找到SQL Server所在的服务器，确认后在「可用服务」里找到MSSQLSvc/[SQL服务器FQDN]:[端口]（比如MSSQLSvc/SQL01.contoso.com:1433，默认实例用1433，命名实例要对应实际端口或实例名），添加进去
5. 保存设置，等待域控制器同步（一般几分钟内生效）

4. 修正数据库连接字符串 #

必须用SQL Server的完全限定域名（FQDN），并且明确指定Windows身份验证：

Server=SQL01.contoso.com;Database=YourTargetDB;Integrated Security=True;

不要用NetBIOS名称（比如SQL01），否则Kerberos无法正确识别服务主体名称（SPN）

5. 验证Kerberos是否生效 #

在SQL Server上执行以下查询，检查当前连接的身份验证方式：

SELECT auth_scheme FROM sys.dm_exec_connections WHERE session_id = @@SPID;

如果返回KERBEROS，说明身份委派成功；如果是NTLM，说明Kerberos配置还有问题，需要回头检查SPN或委派设置

6. 检查SQL Server权限 #

确保应用池的运行账户（或IIS机器账户）在SQL Server里有合法的登录权限：

• 打开SSMS，在「安全性」->「登录名」里新建Windows身份验证登录，输入对应的账户（比如DOMAIN\AppPoolServiceAccount或DOMAIN\IISServerName$）
• 切换到「用户映射」选项卡，勾选目标数据库，赋予必要的权限（比如db_datareader、db_datawriter）

常见坑点提醒 #

• 如果是SQL Server命名实例，要确保SQL Server Browser服务处于运行状态，并且对应端口在防火墙开放
• 两台服务器和域控制器的时间必须同步（Kerberos对时间差的容忍度不超过5分钟）
• 检查DNS解析，确保IIS服务器能正确解析SQL Server的FQDN，反之亦然

内容的提问来源于stack exchange，提问作者Pranav