ASP.NET Core集成SSRS生成PDF：取消Windows身份验证重复弹窗配置问询

我之前处理过不少域内ASP.NET Core集成SSRS的场景，你遇到的核心问题是用户的Windows身份凭据没有从ASP.NET Core应用正确传递到SSRS服务。结合你当前的配置，主要需要从以下几个方面调整：

1. 切换到Kerberos身份验证（域环境最优解） #

你的当前配置用的是RSWindowsNTLM，但NTLM无法解决跨服务器的"身份双跳"问题（如果你的ASP.NET Core应用和SSRS不在同一台服务器）。Kerberos的约束委派是域内实现自动身份传递的标准方案。

修改ReportServer.config的认证类型 #

将原有的RSWindowsNTLM替换为RSWindowsKerberos，如果需要兼容老客户端，也可以同时保留两种类型：

<Authentication>
  <AuthenticationTypes>
    <RSWindowsKerberos/>
    <!-- 可选：保留这一行以兼容依赖NTLM的旧客户端 -->
    <!-- <RSWindowsNTLM/> -->
  </AuthenticationTypes>
  <RSWindowsExtendedProtectionLevel>Off</RSWindowsExtendedProtectionLevel>
  <RSWindowsExtendedProtectionScenario>Proxy</RSWindowsExtendedProtectionScenario>
  <EnableAuthPersistence>true</EnableAuthPersistence>
</Authentication>

配置AD约束委派 #

• 找到你的ASP.NET Core应用运行的服务账号：如果是IIS托管，就是应用池的标识账号；如果是自托管，就是运行进程的域账号。
• 在Active Directory用户和计算机中，打开该账号的属性→委派标签，选择「信任此用户以委派到指定服务」，然后添加SSRS服务器的HTTP服务（要填SSRS服务器的完整FQDN）。

注册SPN服务主体名称 #

在域控制器上以管理员身份运行命令提示符，执行以下命令（替换为你的SSRS服务器信息）：

setspn -S HTTP/ssrs-server.yourdomain.com DOMAIN\ssrs-service-account
setspn -S HTTP/ssrs-server DOMAIN\ssrs-service-account

这一步是让Kerberos能正确识别SSRS服务，避免身份验证失败。

2. 配置ASP.NET Core应用传递身份 #

确保你的应用已经启用Windows身份验证，并且在调用SSRS时自动传递当前用户凭据：

启用Windows身份验证 #

在Program.cs中添加身份验证中间件：

// IIS托管场景
builder.Services.AddAuthentication(IISDefaults.AuthenticationScheme);

// Kestrel自托管场景
builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

调用SSRS时使用默认凭据 #

当你通过HttpClient请求SSRS的PDF生成接口时，一定要开启默认凭据传递：

var handler = new HttpClientHandler
{
    UseDefaultCredentials = true // 关键：自动传递当前登录用户的Windows凭据
};
using var httpClient = new HttpClient(handler);

var pdfUrl = "http://ssrs-server/ReportServer?/YourReportPath&rs:Format=PDF";
var pdfResponse = await httpClient.GetAsync(pdfUrl);

3. 验证SSRS站点设置 #

登录SSRS Web门户（通常是http://ssrs-server/Reports），进入站点设置→安全性→身份验证类型，确保：

• 勾选了「Windows身份验证」
• 没有启用「匿名访问」（匿名会跳过Windows身份验证，不符合你的需求）

4. 测试与排查 #

• 先在SSRS服务器本地访问报表，确认无需重复输入凭据
• 在ASP.NET Core应用服务器上，用域用户登录后测试PDF生成功能
• 如果仍有问题，检查事件查看器中的Kerberos错误日志，或者用klist命令查看当前用户的Kerberos票据是否包含SSRS服务的条目

内容的提问来源于stack exchange，提问作者Jackal