ASP.NET Core 2 MVC发布后AD角色授权报错：无指定认证方案

这个错误其实很明确：你的应用在发布后没有正确配置身份验证方案，导致系统不知道该用什么方式触发用户登录挑战。本地运行时IIS Express默认帮你启用了Windows身份验证相关配置，但发布到正式服务器时必须手动补上这些设置，我给你一步步梳理解决方案：

1. 完善Startup.cs中的身份验证配置 #

你需要在ConfigureServices和Configure方法中显式配置Windows身份验证相关服务和中间件：

在ConfigureServices方法中添加身份验证服务 #

public void ConfigureServices(IServiceCollection services)
{
    services.AddMvc();

    // 配置Windows身份验证，指定默认认证方案为IIS集成的方案
    services.AddAuthentication(IISDefaults.AuthenticationScheme)
        .AddNegotiate(); // 这个方案支持NTLM和Kerberos，适配Windows域环境

    // 配置默认授权策略，确保所有需要授权的请求都要求用户已认证
    services.AddAuthorization(options =>
    {
        options.DefaultPolicy = new AuthorizationPolicyBuilder()
            .RequireAuthenticatedUser()
            .Build();
    });
}

在Configure方法中启用身份验证中间件 #

注意中间件顺序很重要，UseAuthentication必须放在UseMvc之前：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    else
    {
        app.UseExceptionHandler("/Home/Error");
        app.UseHsts();
    }

    app.UseHttpsRedirection();
    app.UseStaticFiles();
    app.UseCookiePolicy();

    // 启用身份验证，这一步是触发登录窗口的关键
    app.UseAuthentication();

    app.UseMvc(routes =>
    {
        routes.MapRoute(
            name: "default",
            template: "{controller=Home}/{action=Index}/{id?}");
    });
}

2. 服务器端（以IIS为例）的必要配置 #

发布到IIS后，还需要在IIS管理器中调整站点的身份验证设置：

• 找到你的站点 → 打开「身份验证」功能
• 禁用匿名身份验证（如果启用匿名，应用会直接跳过登录检查）
• 启用Windows身份验证

3. 关于AD角色授权的补充说明 #

你用的[Authorize(Roles = "Domain Users")]本身没问题，但要注意两个细节：

• 确保当前访问的用户确实属于这个域组，拼写要和AD中的组名称完全一致（AD组名称不区分大小写，但尽量精准）
• 如果是本地组而非域组，需要用机器名\\组名的格式，比如[Authorize(Roles = "MyServer\\LocalAdmin")]

额外排查点 #

• 检查应用池身份：如果部署到IIS，应用池的运行身份需要有访问域控制器的权限，建议使用ApplicationPoolIdentity或域账户
• 确认服务器已加入域，并且能正常连接到域控制器，否则无法验证用户的组身份

内容的提问来源于stack exchange，提问作者Mischa Morf