如何让IIS部署的Blazor Server应用转发AD用户身份至远程SQL Server？

1. 启用并配置身份模拟 #

• 在IIS站点的功能视图中打开身份模拟，设置为启用，并选择「使用经过身份验证的用户的身份」。
• 在应用根目录的web.config中添加或确认以下配置：

  <system.web>
    <identity impersonate="true" />
  </system.web>
  

2. 配置Kerberos约束委派 #

由于你的应用池使用Network Service身份，实际会以Web服务器的机器账户（格式为DOMAIN\服务器名$）运行，需要给该账户配置对SQL Server服务的委派权限：

• 打开Active Directory用户和计算机，找到Web服务器的计算机账户。
• 右键进入属性面板，切换到委派选项卡，选择「信任此计算机来委派指定的服务」。
• 点击「添加」→「用户或计算机」，找到SQL Server所在的计算机账户，选中对应的SQL Server服务（通常是MSSQLSvc/SQL服务器名:端口或MSSQLSvc/SQL服务器名.域名.com）。

3. 确保SQL Server注册Kerberos SPN #

SQL Server需要正确注册服务主体名称（SPN）才能支持Kerberos认证：

• 在域控制器或SQL Server上执行命令查看现有SPN：

  setspn -L SQL服务账户名
  

• 如果缺少对应SPN，执行以下命令注册（替换占位符为实际信息）：

  setspn -A MSSQLSvc/SQL服务器名:1433 DOMAIN\SQL服务账户名
  setspn -A MSSQLSvc/SQL服务器名.域名.com:1433 DOMAIN\SQL服务账户名
  

4. 修正SQL连接字符串 #

确保连接字符串使用集成安全，且不指定硬编码的用户密码：

"Server=SQL服务器名;Database=你的数据库名;Integrated Security=True;TrustServerCertificate=True;"

5. 验证身份转发效果 #

可以在Blazor组件中添加代码，确认当前用户身份与SQL登录身份一致：

var currentAdUser = User.Identity.Name;
using (var conn = new SqlConnection(你的连接字符串))
{
    conn.Open();
    using (var cmd = new SqlCommand("SELECT SYSTEM_USER", conn))
    {
        var sqlLoginUser = cmd.ExecuteScalar().ToString();
        // 输出两个变量值，确认是否匹配当前登录的AD用户
    }
}

也可以查看SQL Server的日志，确认登录身份是否为目标AD用户而非Network Service。

关键注意事项 #

• 基本认证本身不具备自动身份转发能力，必须配合身份模拟+Kerberos委派才能实现跨服务器的身份传递。
• 如果使用自定义应用池账户（非Network Service），需要给该AD用户配置委派权限，而非Web服务器的机器账户。
• Web服务器与SQL Server必须处于同一Active Directory域，跨域场景需额外配置域信任关系。

内容的提问来源于stack exchange，提问作者JoeGER94