部署在IIS上的ASP.NET网站无法获取域用户NT登录问题

看起来你遇到的核心问题是Windows身份验证的用户身份没有正确传递到ASP.NET代码中，导致你获取到的始终是服务器/应用池账号，而不是访问用户的NT登录名。结合你的配置和代码，我来一步步帮你排查和解决：

一、补全ASP.NET核心身份验证配置 #

你的Web.config里漏掉了最关键的<authentication mode="Windows" />节点！虽然IIS里启用了Windows Authentication，但ASP.NET层面没有开启对应的身份验证模式，导致用户身份无法被正确识别。

修改后的Web.config需要添加这个节点，同时建议加上授权规则拒绝匿名用户：

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
<system.web>
    <!-- 必须开启Windows身份验证模式 -->
    <authentication mode="Windows" />
    <identity impersonate="true" />
    <!-- 拒绝匿名访问，确保只有经过Windows认证的用户能进入 -->
    <authorization>
        <deny users="?" />
    </authorization>
</system.web>
<system.webServer>
    <defaultDocument>
        <files>
            <add value="User_login_Portal.aspx" />
        </files>
    </defaultDocument>
    <!-- 明确配置IIS身份验证规则，和IIS界面设置保持一致 -->
    <security>
        <authentication>
            <windowsAuthentication enabled="true">
                <providers>
                    <add value="Negotiate" /> <!-- 支持Kerberos，域环境推荐 -->
                    <add value="NTLM" />
                </providers>
            </windowsAuthentication>
            <anonymousAuthentication enabled="false" />
        </authentication>
    </security>
</system.webServer>
<connectionStrings>
    <add name="myConnectionString" connectionString="Server=Server;Database=Backend_UM;User ID=sa;Password=Password;Trusted_Connection=False;" providerName="System.Data.SqlClient" />
</connectionStrings>
</configuration>

二、调整应用池身份设置 #

你当前用的是ApplicationPoolIdentity，这是一个本地虚拟账号，在域环境下很难正确传递用户的NT身份（尤其是当需要模拟用户时）。推荐的做法是：

• 创建一个域用户账号（比如DOMAIN\WebAppPoolUser）
• 给这个账号分配网站根目录的读取/执行权限
• 将应用池的身份改为这个域用户账号

这样做的好处是，域账号可以更好地和Windows身份验证协作，确保用户身份能正确传递到ASP.NET代码中。

三、修正代码中获取用户身份的方式 #

你的代码里混用了多种获取身份的方法，其中Environment.UserName和WindowsIdentity.GetCurrent()在模拟配置不正确时，很容易返回应用池/服务器账号。优先使用ASP.NET提供的身份对象，这是经过身份验证后的可靠用户身份：

// 这是获取Windows认证用户NT登录名的正确方式
string userNTFullName = HttpContext.Current.User.Identity.Name;
if (!string.IsNullOrEmpty(userNTFullName))
{
    string[] loginParts = userNTFullName.Split('\\');
    if (loginParts.Length == 2)
    {
        // 提取用户名部分（去掉域名前缀）
        string login = loginParts[1];
        loginid.Text = login;
    }
}

四、额外检查项 #

1. 网站目录权限：确保域用户组（或具体访问用户）对网站根目录有读取权限，否则即使身份验证通过，也会出现权限拒绝的问题。
2. Kerberos SPN配置（可选）：如果你的域环境需要无密码自动登录（单点登录），需要为应用池的域账号注册SPN服务主体名称。打开命令提示符（以管理员身份）执行：

   setspn -A HTTP/yourwebsite.domain.com DOMAIN\WebAppPoolUser
   

   替换yourwebsite.domain.com为你的网站域名，DOMAIN\WebAppPoolUser为你的应用池域账号。

完成以上步骤后，重新启动应用池和网站，应该就能正确获取到访问用户的NT登录名了。

内容的提问来源于stack exchange，提问作者Abdullah Wajahat