IIS应用池使用专用域账户时TLS 1.2调用外部Web服务失败问题咨询

你遇到的TLS 1.2调用失败本质是IIS进程模型的配置缺失 + 专用域账户权限不足共同导致的：
IIS默认不会为域身份的应用池加载用户配置文件，而Windows负责TLS协商的Schannel组件、.NET Framework的TLS默认配置都存储在注册表项中，专用域账户既没有对应注册表项的读取权限，也没有被加载用户配置，就会导致TLS 1.2握手失败，表现为你遇到的连接超时异常：

System.ServiceModel.EndpointNotFoundException: There was no endpoint listening at https:///.asmx that could accept the message. This is often caused by an incorrect address or SOAP action. See InnerException, if present, for more details. ---> System.Net.WebException: Unable to connect to the remote server ---> System.Net.Sockets.SocketException: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond ...

• 启用IIS应用池「加载用户配置文件」选项
  打开IIS管理器 → 找到对应站点的应用池 → 点击右侧「高级设置」 → 定位到「进程模型」分组下的「加载用户配置文件」，将值修改为True，保存后重启应用池。
• 为专用域账户授予注册表读取权限
  打开注册表编辑器（运行输入regedit），依次操作两个注册表路径：
  1. 定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL，右键点击该项 → 「权限」 → 添加你的专用域账户，授予读取、读取和执行权限
  2. 定位到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319，重复上述权限配置操作，为专用域账户添加读取权限
• 显式指定TLS版本（兜底可选）
  若上述配置后仍失败，可在调用外部Web服务的可执行程序入口处添加代码强制指定TLS版本，无需依赖系统默认配置：

  // 按需指定支持的TLS版本，此处示例同时支持TLS1.1和TLS1.2
  System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls11 | System.Net.SecurityProtocolType.Tls12;
  

• 生效验证
  所有配置完成后，运行iisreset重启IIS服务，再测试Web调用流程即可。

该方案完全匹配你此前的排查结果：

• 专用域账户RDP登录后直接运行exe正常：RDP登录时会自动加载用户配置文件，且登录会话默认有注册表读取权限
• ApplicationPoolIdentity身份运行正常：IIS内置账户默认启用加载用户配置，且默认拥有所有系统注册表项的读取权限
• 授予管理员权限后运行正常：管理员账户默认拥有所有注册表项的访问权限，且IIS会自动加载管理员账户的用户配置

内容的提问来源于stack exchange，提问作者L4rp