如何解决IIS部署后Blazor调用ASP.NET Core Web API的AD组授权问题？

核心问题定位 #

Blazor Server调用同服务器上的Web API时，默认使用应用池的IIS APPPool身份发起请求，而非客户端的Windows用户身份，导致API的AD组授权失效。要解决这个问题，需要实现客户端Windows身份的静默转发，并在API端验证用户所属AD组。

步骤1：配置Blazor Server的HttpClient转发身份 #

在Blazor Server的Program.cs中，配置HttpClient时启用默认凭据（即转发当前客户端的Windows身份）：

builder.Services.AddHttpClient("ApiClient", client =>
{
    client.BaseAddress = new Uri("http://localhost/YourApiPath/"); // 替换为你的API实际地址
})
.ConfigurePrimaryHttpMessageHandler(() => new SocketsHttpHandler
{
    UseDefaultCredentials = true // 关键配置：启用Windows身份自动转发
});

在Blazor组件中注入该HttpClient发起请求时，会自动携带客户端的Windows身份信息。

步骤2：配置IIS中两个应用的身份验证 #

1. 对Blazor Server站点和Web API站点，均启用Windows身份验证，禁用匿名身份验证：
   • 打开IIS管理器，找到对应站点 → 身份验证模块 → 禁用匿名身份验证，启用Windows身份验证。
2. 优化应用池配置（可选但推荐）：
   • 将两个应用的应用池标识设置为域账户（而非默认的ApplicationPoolIdentity），确保该域账户具备查询AD用户组的权限。
   • 进入应用池高级设置，启用“加载用户配置文件”选项，避免身份验证过程中出现权限缺失问题。

步骤3：Web API端配置AD组授权 #

在API的控制器或具体方法上，使用[Authorize]属性指定允许访问的AD组：

// 直接指定AD组名称（格式：域名\组名）
[Authorize(Roles = "Domain\\YourTargetADGroup")]
[ApiController]
[Route("api/[controller]")]
public class ProtectedController : ControllerBase
{
    // 你的API端点逻辑
}

若需要更灵活的授权规则，可通过策略授权实现：
在API的Program.cs中添加自定义策略：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("RequireADGroup", policy =>
        policy.RequireRole("Domain\\YourTargetADGroup"));
});

然后在控制器上绑定该策略：

[Authorize(Policy = "RequireADGroup")]

步骤4：验证身份传递是否生效 #

在API中添加调试端点，检查当前请求的用户身份：

[HttpGet("whoami")]
public IActionResult GetCurrentUserInfo()
{
    return Ok(new
    {
        UserName = User.Identity?.Name,
        IsAuthenticated = User.Identity?.IsAuthenticated,
        AssignedRoles = User.Claims.Where(c => c.Type == ClaimTypes.Role).Select(c => c.Value)
    });
}

通过Blazor应用调用该端点，若返回的UserName为客户端的Windows用户名，而非应用池账户，则说明身份转发成功。

常见问题排查 #

• 若仍使用应用池身份：检查Blazor的HttpClient是否正确配置UseDefaultCredentials = true，同时确认IIS站点的Windows身份验证已启用。
• AD组验证失败：确保API应用池的域账户有权限查询AD用户的组成员身份，或直接将客户端用户添加至目标AD组。

内容的提问来源于stack exchange，提问作者pooteeweet