绑定主机名后IIS域用户无法登录，报HTTP 401.0未授权错误

1. 检查站点身份验证配置 #

• 打开IIS管理器，找到目标站点→身份验证功能：
  • 若启用匿名身份验证：右键→编辑，选择「应用程序池标识」，或指定一个对站点物理路径有读取权限的本地用户（避免用默认IUSR，部分场景下权限不足）。
  • 若启用Windows身份验证：确保该验证已启用，且站点物理路径给Authenticated Users组分配了读取权限；本地环境下若出现Kerberos验证失败，可临时切换优先使用NTLM（在Windows身份验证的高级设置里开启「启用内核模式身份验证」）。

2. 验证站点物理路径的NTFS权限 #

找到网站对应的本地文件夹，右键→属性→安全标签，确认以下主体拥有读取&执行、列出文件夹内容、读取权限：

• IIS AppPool\[你的应用程序池名称]（应用程序池标识）
• 匿名身份验证指定的用户（如IUSR）
• Authenticated Users（若用Windows验证）

注意：不要直接给Everyone权限，排查完成后再按需调整最小权限。

3. 确认主机头绑定与hosts映射一致性 #

• 检查IIS站点的绑定配置：确保主机名和hosts文件中的映射完全一致（无大小写差异、空格或多余符号）。
• hosts文件格式必须为：127.0.0.1 你的主机名，保存后可通过ping 你的主机名验证是否解析到127.0.0.1。
• 排查站点的IP地址和域限制功能：确保未拒绝该主机名的请求。

4. 检查应用程序池身份设置 #

打开IIS管理器→应用程序池，找到对应站点的池→高级设置：

• 若使用默认的ApplicationPoolIdentity：必须确保该标识已被添加到站点物理路径的NTFS权限列表中。
• 若使用自定义账户：确认账户未过期、密码正确，且拥有站点路径的读取权限。

5. 通过错误日志精准定位 #

打开站点的日志功能，找到最新的401错误记录，查看子状态码：

• 401.1：登录凭证无效或身份验证方式不匹配，检查验证配置或客户端凭证。
• 401.3：NTFS权限不足，重点调整文件夹安全权限。
• 401.5：ISAPI/CGI扩展权限问题，检查对应扩展的权限设置。

内容的提问来源于stack exchange，提问作者KDS