ASP.NET MVC5站点：如何让登录后以AD用户身份而非应用池身份运行？

我来给你分享几个不用存储用户密码就能实现需求的方案，都是在ASP.NET MVC 5环境下可行的思路：

这是最安全、最符合AD生态的方案，核心是通过AD配置让应用池账户能够委派登录用户的身份去访问目标服务，全程不需要代码里处理密码或模拟逻辑。

• 步骤1：注册服务主体名称（SPN）
  给你的ASP.NET站点和目标服务注册SPN，确保Kerberos能正确识别服务身份。比如：

  # 给站点应用池账户注册HTTP SPN
  setspn -S HTTP/your-app-domain.com DOMAIN\your-app-pool-account
  # 给目标服务注册对应的SPN（比如目标服务是WCF或API）
  setspn -S HTTP/target-service-domain.com DOMAIN\target-service-account
  

• 步骤2：配置AD委派权限
  在AD用户和计算机管理中，找到你的应用池账户，打开属性窗口的「委派」标签：

  • 选择「仅信任此用户委派到指定服务」
  • 点击「添加」，搜索并选择目标服务的SPN，完成配置

• 步骤3：代码中确保身份传递
  登录验证AD凭据后，生成Forms认证Cookie时，确保用户的AD身份信息（比如SID）被包含在Claims中：

  var userPrincipal = UserPrincipal.FindByIdentity(new PrincipalContext(ContextType.Domain), username);
  var claimsIdentity = new ClaimsIdentity(new[]
  {
      new Claim(ClaimTypes.Name, username),
      new Claim(ClaimTypes.PrimarySid, userPrincipal.Sid.Value)
  }, "Forms");
  
  HttpContext.GetOwinContext().Authentication.SignIn(new AuthenticationProperties { IsPersistent = rememberMe }, claimsIdentity);
  

  之后调用目标服务时，Kerberos会自动传递用户的AD身份，不需要额外模拟代码。

如果暂时无法配置Kerberos，可以通过用户的SID来模拟身份，全程不需要存储密码。

• 步骤1：登录时获取并存储用户SID
  验证AD凭据成功后，从AD中获取用户的SID，并存入Forms认证的Claims：

  using (var context = new PrincipalContext(ContextType.Domain))
  {
      var user = UserPrincipal.FindByIdentity(context, IdentityType.SamAccountName, username);
      if (user != null && context.ValidateCredentials(username, password))
      {
          var claims = new List<Claim>
          {
              new Claim(ClaimTypes.Name, user.DisplayName),
              new Claim(ClaimTypes.Email, user.EmailAddress),
              new Claim(ClaimTypes.PrimarySid, user.Sid.Value)
          };
          var identity = new ClaimsIdentity(claims, DefaultAuthenticationTypes.ApplicationCookie);
          AuthenticationManager.SignIn(new AuthenticationProperties { IsPersistent = rememberMe }, identity);
          // 重定向到首页
          return RedirectToAction("Index", "Home");
      }
  }
  

• 步骤2：调用服务时模拟用户身份
  在需要调用目标服务的代码块中，取出SID并创建Windows身份进行模拟：

  // 从当前Claims中获取用户SID
  var sidClaim = User.Claims.FirstOrDefault(c => c.Type == ClaimTypes.PrimarySid);
  if (sidClaim != null)
  {
      var sid = new SecurityIdentifier(sidClaim.Value);
      using (var windowsIdentity = new WindowsIdentity(sid))
      using (windowsIdentity.Impersonate())
      {
          // 这里调用目标服务，此时运行身份为登录用户的AD身份
          var serviceResponse = YourExternalService.Execute();
      }
  }
  

• 步骤3：配置应用池权限
  确保应用池账户拥有「模拟客户端进行身份验证」的权限：

  1. 打开本地安全策略（secpol.msc）
  2. 导航到「本地策略」->「用户权限分配」
  3. 找到「模拟客户端进行身份验证」，添加你的应用池账户

如果你的站点用户都是公司域内用户，且可以调整登录流程，直接改用集成Windows认证会更简单：

• 在IIS中给站点开启「Windows身份验证」，禁用「Forms身份验证」
• 站点会自动以访问用户的AD身份运行，调用后端服务时直接传递用户身份，不需要额外配置

内容的提问来源于stack exchange，提问作者David Alan Condit