Windows Server 2016 Docker容器中Asp.net应用池身份无效报错排查

针对你遇到的ASP.NET容器应用池首次请求后被禁用、AD账户身份验证失败的问题，以下是几种可行的解决方案：

1. 使用GMSA（组托管服务账户） #

GMSA是AD中专为服务设计的账户类型，无需手动维护密码，容器可通过规范的凭证配置实现AD身份验证，规避普通域账户的登录权限问题：

• 在AD服务器上创建GMSA账户，配置允许容器所在主机的计算机账户拥有该GMSA的访问权限
• 在容器主机上安装AD PowerShell模块，导入GMSA账户并生成凭证规范文件
• 启动容器时添加参数：docker run --security-opt "credentialspec=file://<你的凭证规范文件名>.json" ...
• 在容器内的IIS配置中，将应用池PortalAppPool的身份设置为域\GMSA账户名$

2. 将容器加入域 #

Windows Server 2016容器支持加入AD域，让容器直接成为域成员以访问AD：

• 编写容器启动脚本，使用netdom join %computername% /domain:<你的域名> /userd:<域账户> /passwordd:<密码> /reboot完成域加入
• 确保容器的DNS服务器指向AD服务器（可通过docker run --dns <AD服务器IP>设置）
• 域加入完成后，重启容器内的WAS服务（net stop was && net start was），再配置应用池使用目标AD账户

3. 切换为容器本地账户（业务允许时） #

如果无需AD账户，可在容器内创建本地用户并配置应用池：

• 在Dockerfile中添加命令创建本地管理员用户：

  RUN net apppooluser <密码> /add
  RUN net localgroup administrators apppooluser /add
  

• 授予该用户批处理登录权限（需提前将ntrights.exe复制到容器内）：

  RUN ntrights.exe +r SeBatchLogonRight -u apppooluser
  

• 配置PortalAppPool应用池的身份为该本地用户

报错参考：应用池PortalAppPool的身份无效。指定的用户名或密码可能不正确，或者用户没有批处理登录权限。若未修正身份，应用池在接收首次请求时将被禁用。如果是批处理登录权限导致问题，需在授予权限后修改IIS配置存储中的身份，Windows进程激活服务(WAS)才能重试登录。若首次请求后身份仍无效，应用池将被禁用。数据字段包含错误编号。

内容的提问来源于stack exchange，提问作者Mohammad