IIS中某应用开启Windows Authentication后浏览器弹窗要求输入账号密码的原因

1. 核对站点内核模式设置 #

IIS的Windows Authentication默认启用内核模式，但应用池身份不同时，这个设置会影响凭据自动协商：

• 打开IIS管理器，找到目标站点→身份验证→右键Windows Authentication→高级设置
• 如果第二个应用的应用池用的是自定义域账户，关闭「启用内核模式」；如果是ApplicationPoolIdentity/NetworkService，保持开启
• 务必和第一个正常站点的设置完全对齐

2. 检查SPN服务主体名称配置 #

Kerberos认证依赖正确的SPN，缺失或错误会触发NTLM fallback并弹框：

• 用域管理员权限执行命令：setspn -L <应用池账户>，查看是否包含HTTP/<站点域名>和HTTP/<服务器NetBIOS名>
• 参考第一个正常站点的SPN列表，给第二个站点补全缺失的条目（自定义账户需手动添加：setspn -A HTTP/<域名> <域账户>）
• 若用ApplicationPoolIdentity，IIS会自动注册SPN，但需确保服务器有权限修改AD的SPN

3. 确认浏览器Intranet区域设置 #

浏览器仅对Intranet区域站点自动发送Windows凭据，若第二个站点被归为Internet区域，必然弹框：

• 打开浏览器「Internet选项」→安全→本地Intranet→站点→高级
• 把第二个站点的域名添加到Intranet区域（例如*.yourcompany.com）
• 检查第一个站点的域名是否在同一区域，对齐配置

4. 验证web.config身份验证节点 #

IIS界面配置可能被web.config覆盖，导致行为不一致：

• 对比两个应用的web.config，确保<system.web>下的配置一致：

  <authentication mode="Windows" />
  <authorization>
    <allow users="*" /> <!-- 或指定允许的域用户/组 -->
  </authorization>
  

• 确认第二个应用的web.config没有启用Forms等其他身份验证模式

5. 检查应用池身份的实际权限 #

即使inetpub文件夹权限一致，应用池身份可能缺少应用目录的细粒度权限：

• 打开第二个应用的物理路径→右键属性→安全，确认应用池身份（如IIS AppPool/YourAppPoolName）拥有「读取&执行」权限
• 若用域账户作为应用池身份，确认该账户未被AD禁用，且有权限访问域控制器获取用户凭据

6. 用失败请求跟踪定位根因 #

以上排查无效时，启用IIS失败请求跟踪抓认证错误：

• 打开IIS管理器→目标站点→失败请求跟踪规则→添加规则，跟踪401状态码
• 触发弹窗后查看生成的日志，找到MODULE_SET_RESPONSE_ERROR_STATUS事件，里面会明确标注认证失败的具体原因（如Kerberos协商超时、NTLM验证失败）

内容的提问来源于stack exchange，提问作者pileup