WS 2016+IIS 10环境下ASP.NET应用SSO无法生效求助

1. 浏览器端验证 #

• 确认应用域名已加入本地Intranet区域：SSO依赖浏览器自动发送域凭证，需在Internet选项→安全→本地Intranet中添加应用域名，并开启“自动登录当前用户名和密码”（自定义级别→用户验证→登录选项）。
• 检查浏览器Kerberos支持：Chrome需启用chrome://flags/#negotiate-auth-delegate-by-default；Firefox需在about:config中设置network.negotiate-auth.trusted-uris为应用域名。

2. Kerberos核心配置排查 #

• 检查SPN注册状态：以域管理员权限执行setspn -L 服务器NetBIOS名，确认存在HTTP/应用域名和HTTP/服务器NetBIOS名格式的SPN。缺失则用setspn -A HTTP/应用域名 服务器NetBIOS名添加。
• 验证Kerberos票据生成：客户端执行klist purge清空旧票据，访问应用后执行klist，查看是否生成对应SPN的Kerberos票据。无票据说明协商失败，会回退到NTLM触发弹窗。
• 核对应用池身份：确保应用程序池运行身份为域账户（而非本地系统账户），且该账户拥有AD读取权限，与正常服务器配置完全一致。

3. IIS与ASP.NET配置核对 #

• 确认IIS认证设置：启用Windows身份验证，禁用匿名、表单等其他认证；高级设置中勾选“启用内核模式身份验证”，提供程序顺序设为Negotiate,NTLM。
• 对比web.config配置：确保<authentication mode="Windows"/>正确配置，无冲突的<authorization>规则；若启用<identity impersonate="true"/>，需确认模拟账户权限正常。
• 检查IIS绑定：站点绑定的域名需与SPN注册的域名完全匹配，避免使用IP地址或未注册的别名。

4. 域与网络环境排查 #

• 服务器时间同步：Kerberos要求服务器与域控制器时间差≤5分钟，执行w32tm /query /status查看状态，异常则用w32tm /resync同步。
• 域控制器连通性：确保服务器已正常加入域，DNS能正确解析服务器与客户端域名；检查服务器AD账户无禁用、权限限制等问题。
• 组策略对比：用gpresult /h gpresult.html生成两台服务器的组策略报告，重点核对“计算机配置→安全设置→本地策略→安全选项”中Kerberos、身份验证相关项。

5. 日志分析定位 #

• 启用IIS失败请求跟踪：筛选401状态码，查看认证过程的详细日志，确定是Kerberos协商失败还是NTLM验证异常。
• 检查系统安全日志：在事件查看器→Windows日志→安全中，查找Kerberos相关错误（事件ID 4768、4769）或身份验证失败事件（事件ID 4625），依据日志信息定位问题。

内容的提问来源于stack exchange，提问作者James