Windows Server 2016环境下，IIS Web应用认证所用域控制器由何决定？

当你的IIS Web应用启用<authentication mode="Windows" />时，决定使用哪个域控制器的核心因素是Windows Server 2016系统的全局域控制器定位机制，而非应用自身或IIS的直接设置，具体细节如下：

核心决定逻辑：系统层面的域控制器定位 #

运行IIS的服务器作为域成员服务器，会通过以下内置逻辑自动选择域控制器：

• DNS SRV记录查询：服务器会向DNS查询_ldap._tcp.dc._msdcs.你的域名这类SRV记录，获取域内可用域控制器列表，再根据响应速度、站点链接成本筛选最优节点。
• 缓存与可用性检测：服务器会缓存最近成功通信的域控制器，优先复用；如果当前连接的域控制器不可用，会自动切换到其他可用节点。
• Kerberos场景补充：若使用Kerberos认证（Windows认证的默认协议之一），KDC（密钥分发中心，通常由域控制器兼任）的选择同样遵循上述系统逻辑，不会由应用或IIS指定。

应用与IIS的角色 #

• 应用的<authentication mode="Windows" />仅用于启用Windows认证模式，不包含任何域控制器指定配置。
• IIS的Windows认证设置（比如切换NTLM/Kerberos协议、配置认证提供商）仅控制认证流程的协议和规则，不会直接指定要连接的域控制器。即便应用池使用域账户运行，该账户的域控制器访问逻辑依然遵循系统全局规则。

如何确认当前使用的域控制器 #

你可以通过以下方法快速定位：

• 执行命令：在IIS服务器的命令提示符中运行 nltest /dsgetdc:你的域名，返回结果会显示当前服务器正在使用的域控制器名称、地址等信息。
• 查看系统日志：打开事件查看器，在「Windows日志 -> 系统」中筛选来源为NetLogon的事件，日志内容会记录服务器连接的域控制器详情。
• Kerberos场景：运行 klist 命令查看当前持有的Kerberos票据，票据中的KDC地址即为对应的域控制器。

内容的提问来源于stack exchange，提问作者user1274309