IIS站点web.config配置Windows域账户身份模拟报错如何解决

根因说明 #

本地计算机未加入域时，Windows资源管理器访问域内共享属于交互式登录场景，可手动输入/调用缓存的域凭据完成验证；但IIS的<identity impersonate="true" userName="xxx" />配置会调用底层LogonUser API生成用户令牌，默认情况下未加入域的设备无法通过DOMAIN\用户名的下层登录名格式正确寻址域控制器完成身份验证，因此报错。

可按以下步骤依次排查解决 #

• 步骤1：修改web.config的用户名格式，将传统的下层登录名格式替换为用户主体名（UPN）格式，示例如下：

<system.web>
  <identity impersonate="true" userName="user01@DOMAIN01" password="password" />
  ...
</system.web>

如果域有正式后缀（如DOMAIN01.com、DOMAIN01.local），请在@后补全完整域后缀。

• 步骤2：若应用池使用集成托管管道模式，需在web.config的<system.webServer>节点下添加配置，避免集成模式的身份验证规则冲突：

<system.webServer>
  <validation validateIntegratedModeConfiguration="false" />
  ...
</system.webServer>

• 步骤3：确认本地已缓存正确的域账号凭据：打开「控制面板→用户账户→凭据管理器→Windows凭据」，检查是否存在对应DOMAIN01的凭据项，若不存在可手动添加：网络地址填写DOMAIN01，用户名填写DOMAIN01\user01，密码填写对应账号的正确密码后保存。
• 步骤4：配置本地安全策略权限：运行secpol.msc打开本地安全策略编辑器，依次进入「本地策略→用户权限分配」，将DOMAIN01\user01账号添加到以下两个策略的允许列表中：
  • 允许本地登录
  • 作为批处理作业登录
• 步骤5：检查网络连通性：确保本地设备和DOMAIN01域控制器之间的以下端口未被防火墙拦截：
  • 53（DNS）
  • 88（Kerberos身份验证）
  • 389（LDAP目录查询）
  • 135（RPC通信）

内容的提问来源于stack exchange，提问作者Alexey M.