ASP.NET Core 2.2发布站点配置Windows身份认证：消除Chrome登录弹窗与解决401未授权问题

我来帮你梳理这个Windows身份认证的问题，结合你已经做的配置和遇到的症状，咱们一步步排查可能的遗漏点：

1. 确认ASP.NET Core应用本身的身份认证配置 #

你有没有在Startup.cs里正确启用Windows身份认证？这是很容易漏掉的关键步骤：

• 在ConfigureServices方法中添加：

  services.AddAuthentication(IISDefaults.AuthenticationScheme);
  

• 在Configure方法中，确保app.UseAuthentication();放在app.UseMvc();（或类似路由中间件）之前，这样认证逻辑才能在请求到达业务代码前生效。

另外，在Program.cs的WebHost配置里，需要明确开启Windows认证转发：

WebHost.CreateDefaultBuilder(args)
       .UseIISIntegration(options =>
       {
           options.ForwardWindowsAuthentication = true;
       })
       .UseStartup<Startup>();

2. 代码目录的NTFS权限调整 #

你提到的IIS_IUSRS是本地组，当应用池使用NetworkService身份时，它对应的域身份是<你的域名>\<服务器名>$（这是一个域内的计算机账户）。此时代码目录的权限应该做如下调整：

• 添加<域名>\<服务器名>$账户，赋予读取和执行、列出文件夹内容、读取权限；
• 或者更通用的方式，添加Authenticated Users组，赋予相同权限（因为AD登录用户默认属于这个组）；
• 不要只依赖本地的IIS_IUSRS，因为域用户登录后的身份不会自动关联到这个本地组，这可能是权限不足导致401的原因之一。

3. 浏览器的自动登录配置优化 #

你已经把站点加入可信站点，但还需要确保自动登录的开关正确设置：

• IE/Edge（兼容模式）：打开Internet选项 → 安全 → 可信站点 → 自定义级别 → 找到“用户身份验证” → 选择“自动登录到Intranet区域”；
• Chrome：需要配置允许自动认证的站点，可以通过快捷方式添加参数：chrome.exe --auth-server-whitelist="你的站点IP或域名"，或者通过组策略配置对应的站点白名单；
• 注意：如果用IP地址访问站点，Kerberos认证会直接失效，只能回退到NTLM，这时候更容易出现弹窗，建议尽量用域名访问，并且确保域名在Intranet区域内。

4. IIS应用池与Kernel Mode认证的细节 #

• 你设置了UseKernelmode = true，这个选项需要注意：如果应用池身份是NetworkService，它默认拥有SeImpersonatePrivilege权限，但如果后续换了自定义账户，需要手动给账户添加这个权限；另外，Kerberos认证需要注册SPN（服务主体名称），比如执行命令setspn -S HTTP/你的站点域名 你的服务器名，如果没有注册SPN，Kerberos会失败，回退到NTLM，可能导致弹窗；
• 如果暂时不想处理SPN，可以尝试把UseKernelmode改为false，切换到用户模式认证，看看是否能解决弹窗问题。

5. 查看401错误的具体子状态码 #

打开IIS的日志（默认路径：C:\inetpub\logs\LogFiles），找到对应的401请求，看子状态码能更精准定位问题：

• 401.1：登录失败，可能是用户名密码错误，或者身份验证协议不兼容；
• 401.3：权限不足，说明用户通过了认证，但没有访问资源的权限；
• 401.4：筛选器限制访问，可能是IIS的某些模块拦截了请求。

6. 本地调试的配置补充 #

你提到本地User.Identity.Name返回null，这是因为本地调试默认没有开启Windows认证。修改Properties/launchSettings.json：

"iisSettings": {
  "windowsAuthentication": true,
  "anonymousAuthentication": false,
  ...
}

这样本地调试时也能获取到AD用户信息，方便对比排查线上和本地的差异。

内容的提问来源于stack exchange，提问作者Guy E