ASP.NET Web API模拟身份时PrincipalContext异常求助

你遇到的确实是Kerberos双跳认证问题：

• 本地访问时，客户端身份直接传递到IIS，访问本地AD属于单跳，NTLM协议可处理，所以模拟正常。
• 远程访问时，IIS需要将客户端身份跨机器传递到域内AD服务器，这是第二跳，NTLM不支持跨机器的身份传递，必须依赖Kerberos的委派机制才能实现。

解决步骤： #

1. 将IIS应用池账户改为域账户
   不能使用本地系统账户（如Network Service、Local System），需创建专门的域账户作为应用池运行身份——本地账户无法被域控制器授予委派权限。

2. 配置域账户的约束委派
   在域控制器的「Active Directory用户和计算机」中：

   • 找到应用池对应的域账户，打开属性→委派选项卡
   • 选择「信任此用户，仅允许委派到指定服务」
   • 添加目标域控制器的LDAP服务（服务类型选ldap，目标选域控制器主机名）
   • 勾选「使用任何身份验证协议」

3. 代码中明确指定Kerberos认证
   修改PrincipalContext构造代码，强制使用Kerberos协商认证：

   WindowsIdentity.RunImpersonated(((WindowsIdentity)User.Identity).AccessToken, () => {
       var principleContext = new PrincipalContext(
           ContextType.Domain, 
           null, 
           ConfigHelper.AdRoot, 
           ContextOptions.Negotiate // 明确启用Kerberos协商
       );                    
       // 后续AD操作逻辑
   });
   

4. 验证环境配置

   • Web API服务器和客户端必须加入同一域（或信任域）
   • 客户端需使用域账户访问API，不能用本地账户

补充说明 #

移除RunImpersonated后代码正常，是因为此时API使用应用池账户直接访问AD，属于单跳请求，无需传递客户端身份，自然不会触发双跳限制。

内容的提问来源于stack exchange，提问作者hardtogetaname