IIS托管.NET Core应用使用WindowsIdentity连接ManagementScope(WMI)的问题

你不需要手动提取WindowsIdentity的用户名和密码传递给ConnectionOptions，当你不为ConnectionOptions指定Username、Password属性时，WMI连接会自动使用当前进程的安全上下文（也就是你配置的IIS应用池运行身份）完成身份校验。你之前的写法主动指定了Username但未提供密码，反而会覆盖默认的身份上下文，导致访问被拒绝。

修正后的实现代码 #

private ManagementScope GetManagementScope(string machineName)
{
    ConnectionOptions options = new ConnectionOptions
    {
        Impersonation = ImpersonationLevel.Impersonate,
        // 远程WMI访问默认要求PacketPrivacy级别的认证，必须显式指定
        Authentication = AuthenticationLevel.PacketPrivacy
        // 不要手动设置Username、Password，自动使用当前进程身份
    };

    ManagementPath path = new ManagementPath
    {
        Server = machineName,
        NamespacePath = @"\\root\\MicrosoftIISv2"
    };

    var scope = new ManagementScope(path, options);
    // 可选：提前测试连接，避免后续调用报错
    scope.Connect();
    return scope;
}

必须确认的配置项 #

• 应用池「进程模型」→「标识」确实配置为目标远程机器的管理员账号；如果是工作组环境，远程机器上必须存在和应用池标识同名、同密码的本地账号
• 应用池「高级设置」中的「加载用户配置文件」选项设置为True，否则身份的安全上下文不会被完整加载，WMI远程校验会失败
• 域环境下跨机器访问属于Kerberos双跳场景，需要在域控中为应用池运行账号开启对应远程机器的WMI服务约束委托权限，否则身份无法传递到远程机器

内容的提问来源于stack exchange，提问作者Richard Eagle