将Negotiate身份验证传递至IIS站点：多IIS服务间Windows凭据转发问题咨询

一、响应中www-authenticate: Negotiate ...的含义 #

你看到的这个响应头，本质是Service B返回的身份验证挑战。原因很直白：浏览器发给Service A的Negotiate令牌，是专门针对Service A的服务主体名称（SPN）生成的——它只能用来证明用户身份给Service A，完全无法直接复用给Service B。当Service A把这个令牌原封不动传给Service B时，Service B会立刻识别出这个令牌不是给自己的，所以直接拒绝接受，并返回新的Negotiate挑战，要求发起一个针对Service B的合法认证流程。

二、正确转发用户凭据的方法 #

要实现Service A带着用户的Windows身份去调用Service B，核心是让Service A能够模拟用户身份发起对Service B的请求，这需要结合Kerberos约束委派（优先推荐，因为NTLM不支持跨服务委派）+ 代码层面的正确配置，具体步骤如下：

1. 配置Kerberos约束委派（前提条件） #

• 先确保所有服务都启用Kerberos身份验证：给Service A和Service B注册正确的服务主体名称（SPN），比如HTTP/servicea.yourdomain.com和HTTP/serviceb.yourdomain.com，并绑定到各自的应用池运行账户。
• 在Active Directory中，给Service A的应用池账户配置约束委派，明确允许它代表用户向Service B的SPN进行委派。只有这样，Service A才能拿到用户的Kerberos票证去访问Service B。

2. 代码层面实现身份模拟/转发 #

如果你的Service A是.NET应用，可以参考以下实现方式：

• 使用WindowsIdentity.Impersonate()模拟用户：在处理请求时，获取当前用户的Windows身份，然后在调用Service B的代码块中模拟该身份，让HttpClient自动生成针对Service B的合法令牌：

  // 获取当前请求的用户Windows身份
  using (var impersonationContext = WindowsIdentity.Impersonate(WindowsIdentity.GetCurrent().Token))
  {
      using (var client = new HttpClient())
      {
          // 启用默认凭据，会自动使用当前模拟的用户身份发送Kerberos令牌
          client.DefaultRequestHeaders.Accept.Clear();
          client.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));
          // 不要手动传之前的Authorization令牌，让HttpClient自动处理
          var response = await client.GetAsync("https://serviceb.yourdomain.com/api/xxx");
          response.EnsureSuccessStatusCode();
          // 后续处理响应逻辑
      }
      impersonationContext.Undo();
  }
  

• 关键提醒：绝对不要手动转发浏览器传来的Authorization头，因为这个令牌是绑定Service A的，对Service B完全无效，必须让HttpClient基于模拟的用户身份重新生成合法令牌。

3. 针对Angular前端的额外配置 #

确保你的Angular应用在调用Service A时，已经开启withCredentials: true，这样浏览器才会自动携带Windows身份验证的令牌：

this.http.get('https://servicea.yourdomain.com/api/data', { withCredentials: true })
  .subscribe(data => { /* 处理返回数据 */ });

总结 #

直接转发Authorization头失败的核心原因是Negotiate令牌是服务绑定的，不能跨服务复用。通过配置Kerberos约束委派+代码中模拟用户身份，就能实现Service A带着用户的Windows凭据去调用Service B。

内容的提问来源于stack exchange，提问作者Danny Barack