.NET Core用户模拟失效：访问网络共享路径权限被拒

这本质是Windows身份验证的模拟（Impersonation）与委托（Delegation）权限差异导致的问题，并非普通的文件共享权限问题。

核心原因 #

你当前的模拟级别是impersonate，这个级别仅允许在本地服务器范围内使用模拟身份执行操作，无法将用户身份传递到远程服务器（比如\\Server001）。

• 当你直接把应用池身份设为目标域账户时，应用是用该账户的真实身份发起网络请求，属于委托场景，Windows会将完整的身份令牌传递给远程文件服务器，因此能正常访问共享。
• 而使用RunImpersonatedAsync模拟用户时，虽然本地日志显示身份切换成功，但发起网络调用时，Windows会默认回退到应用池的ApplicationPoolIdentity身份去访问远程共享，这才是权限被拒的真正原因。

解决方法 #

1. 配置Kerberos委托（推荐，符合用户隔离需求） #

要实现跨服务器的身份传递，需要提升身份验证的委托权限，步骤如下：

• 确保IIS使用Kerberos协议：在站点的Windows身份验证设置中，启用Kerberos，禁用NTLM（或调整协商顺序让Kerberos优先）。NTLM协议不支持跨机器的身份委托。
• 在Active Directory中配置账户委托：需要域管理员权限，将应用池对应的机器账户（或自定义域账户，如果使用域账户做应用池身份）设置为允许委托访问目标文件服务器的文件共享服务。如果需要更严格的控制，可以使用约束委托，限制仅能委托访问\\Server001的共享资源。

2. 代码层面验证令牌有效性 #

在模拟上下文内，可以添加代码验证令牌是否支持委托：

await WindowsIdentity.RunImpersonatedAsync(userToImpersonate.AccessToken, async () =>
{
    var currentIdentity = WindowsIdentity.GetCurrent();
    _logger.LogInformation("Token supports delegation: {IsDelegation}", currentIdentity.IsDelegation);
    // 若输出为false，说明令牌不支持跨机器委托，需检查Kerberos配置
});

3. 备选方案（不推荐，不符合用户隔离需求） #

如果无法配置AD委托，临时方案可以将应用池身份改为具有共享访问权限的域账户，但这样所有用户都会用同一个身份访问共享，无法实现“仅访问自身有权限文件夹”的需求。

内容的提问来源于stack exchange，提问作者Ryan Farahani