AppFabric 1.1 是否与 IIS 10 中的 CNG 数据加密提供程序兼容？

AppFabric 1.1 与 IIS 10 新增的 CNG Data Encryption Providers 不兼容，这是你遇到AD账户锁定问题的根因。

原因说明 #

AppFabric 1.1 是微软已经停止官方支持的 legacy 产品，最后适配的服务器环境为 Windows Server 2012 R2 + IIS 8.5，其内置的凭据解密逻辑硬编码依赖 IIS 旧版的 DPAPI 加密提供程序，未适配 IIS 10 新增的 CNG 加密接口。当 AppFabric 遍历站点配置读取用 CNG 加密的物理路径凭据时，解密得到的密码为乱码，多次重试错误密码就会触发AD账户锁定策略，和你排查到的现象完全吻合。

可行解决方案 #

• 回退站点凭据加密方式到旧版DPAPI提供程序，以管理员身份执行以下命令：
  %windir%\system32\inetsrv\appcmd set config -section:system.applicationHost/sites -siteDefaults.physicalPathCredentials.passwordEncryptionProvider:"IISWASOnlyAesProvider" /commit:apphost
  命令执行完成后重新设置对应站点的物理路径凭据，再启动 AppFabric Workflow Management 服务即可解决账户锁定问题。
• 若你当前的WCF服务没有强依赖AppFabric的工作流持久化、运行监控能力，建议替换为适配 Windows Server 2019 环境的替代方案，例如使用WCF原生持久化能力、或者迁移到ASP.NET Core gRPC替代原有WCF服务，避免继续使用已停服的AppFabric带来的后续兼容性风险。
• 临时验证方案：可先将对应站点的物理路径凭据设置为使用应用程序池身份，不需要额外加密存储，再启动AppFabric服务确认账户是否还会被锁定，可进一步验证故障根因。

内容的提问来源于stack exchange，提问作者Sylvain Rodrigue