启用Windows身份认证时，如何让IIS强制使用托管服务账户连接SQL Server？

问题原因 #

Windows身份认证在IIS经典模式下默认会模拟客户端身份——站点请求会以访问者的Windows账户身份执行，因此数据库连接会使用访问者的账号，而非应用池配置的托管服务账户（MSA）。而匿名认证设置为“应用池标识”时，请求直接以应用池账号运行，所以数据库连接会使用MSA。

解决方案 #

1. 禁用身份模拟 #

在站点根目录的web.config文件中，找到或添加<system.web>节点，设置禁用身份模拟：

<system.web>
  <identity impersonate="false" />
  <!-- 其他原有配置项保持不变 -->
</system.web>

注：经典ASP站点会读取.NET配置文件（web.config）的设置，因此该配置对ASP页面生效。

2. 配置SQL Server权限 #

给托管服务账户（如contoso\myserviceAcc$）分配SQL Server的必要权限：

• 在SQL Server中创建对应登录名，映射到目标数据库；
• 为该登录名分配所需的数据库权限（如db_datareader、db_datawriter或自定义权限）。

3. 验证IIS基础配置 #

• 确认应用池的运行身份已设置为目标托管服务账户，且该账户拥有站点文件目录的读取权限；
• 仅启用Windows身份认证，禁用其他认证方式（如匿名认证）。

4. 测试验证 #

重启应用池和站点后，访问站点并触发数据库操作，查看SQL Server日志，确认此时使用的是托管服务账户的身份。

内容的提问来源于stack exchange，提问作者Camilla Gaardsted