IIS网站间调用遇HttpClient 401未授权：身份验证方案求解

问题背景 #

同一IIS服务器下，使用不同应用池账户的网站A需向网站B发送GET请求。已加入Windows域的电脑浏览器调用该请求可正常获取网站B返回的JSON数据，但网站A发起调用时，其服务账户信息未被加入HTTP请求，导致网站B返回401拒绝请求。

核心问题 #

1. 为何IIS服务器无法识别（认证/授权）网站A的账户？
2. 如何通过HttpClient手动将账户信息加入HTTP请求，且无需知晓服务账户的用户名和密码？

当前代码实现 #

namespace Infrastructure
{
    public class FooService
    {
        private readonly HttpClient _httpClient;

        public FooService(HttpClient httpClient)
        {
            _httpClient = httpClient;
            _httpClient.BaseAddress = new Uri("https://domain/");

            // 添加Basic头无效
            // var byteArray = Encoding.ASCII.GetBytes("user:passowrd");
            // _httpClient.DefaultRequestHeaders.Authorization = 
            //    new System.Net.Http.Headers.AuthenticationHeaderValue("Basic", Convert.ToBase64String(byteArray));
        }

        public async Task<FooServiceData> GetDataAsync() =>
            await _httpClient.GetFromJsonAsync<FooServiceData>(
                "foo/data");
    }

    public class FooServiceData
    {
        public string Url { get; set; }
        public string Token { get; set; }
    }
}

触发401的调用代码（控制器动作中）：

var credentials = _fooService.GetDataAsync().Result;

更新1：开发环境复现问题 #

通过浏览器访问网站B可正常运行，但在开发机Visual Studio中运行发送该请求的ASP.NET MVC项目时，同样返回401。项目的IIS配置（launchSetting.json）如下：

"iisSettings": {
    "windowsAuthentication": true,
    "anonymousAuthentication": false,
    "iisExpress": {
      "applicationUrl": "http://localhost:26978",
      "sslPort": 44339
    }
  }

原本以为Visual Studio及后台IIS服务以当前登录账户运行，但认证机制的某些变化导致网站B无法对该请求进行认证，请问原因是什么？

更新2：无效的尝试 #

我们尝试在网站B的服务账户属性中设置了「允许服务与桌面交互」选项，但并未解决问题。

解决方案与解释 #

问题1：为何IIS无法识别网站A的账户？ #

这是Kerberos约束委派的限制：

• 浏览器访问时，会自动通过Kerberos/NTLM将当前域用户的凭证传递给网站B（Windows集成认证的默认行为）。
• 网站A的应用池账户是域服务账户时，默认无法将自身身份委派给网站B——这是Windows安全机制的防护，避免服务随意冒充身份访问资源。
• 开发环境中，即使Visual Studio用你的账户运行，IIS Express默认不会自动转发凭证到外部站点，且NTLM协议不支持「双跳」（用户→IIS Express→网站B），必须依赖Kerberos的委派配置。

问题2：如何用HttpClient自动传递服务账户凭证（无需明文密码）？ #

需启用Windows集成认证的HttpClient处理程序，并配置Kerberos委派：

步骤1：修改HttpClient配置

如果通过DI注入HttpClient，建议在Program.cs中统一配置：

builder.Services.AddHttpClient<FooService>(client =>
{
    client.BaseAddress = new Uri("https://domain/");
})
.ConfigurePrimaryHttpMessageHandler(() => new HttpClientHandler
{
    UseDefaultCredentials = true // 自动使用当前应用池账户的凭证
});

若在服务内部初始化，可修改FooService构造函数：

public FooService()
{
    var handler = new HttpClientHandler
    {
        UseDefaultCredentials = true
    };
    _httpClient = new HttpClient(handler)
    {
        BaseAddress = new Uri("https://domain/")
    };
}

步骤2：配置Kerberos约束委派（关键）

1. 在域控制器中找到网站A的应用池服务账户，打开属性→委派选项卡。
2. 选择「信任此用户作为指定服务的委派」，添加网站B的HTTP服务（需指定SPN：HTTP/网站B域名）。
3. 确保网站B的IIS站点启用Windows身份验证，禁用匿名认证。
4. 开发环境中，需确保开发机与网站B服务器在同一域，同时修改IIS Express的applicationhost.config，将windowsAuthentication节点设置为：

<windowsAuthentication enabled="true">
    <providers>
        <add value="Negotiate" />
        <add value="NTLM" />
    </providers>
    <useKernelMode>true</useKernelMode>
    <useAppPoolCredentials>true</useAppPoolCredentials>
</windowsAuthentication>

开发环境401的原因 #

开发环境的「双跳」场景（你的账户→IIS Express→网站B）下，NTLM不支持跨服务的凭证转发，必须依赖Kerberos的SPN和委派配置。若无法配置Kerberos，可临时将网站B的域名映射到localhost（修改hosts文件），避免跨机器的凭证传递限制。

内容的提问来源于stack exchange，提问作者Muflix