从Azure应用服务通过SOAP查询SSRS报表参数遇NTLM认证错误

• 首先排查网络连通性：确认SSRS服务器的防火墙、网络安全组规则已完整放通Azure应用服务的所有出站IP段，NTLM身份验证需要三次往返握手，任意阶段的报文被拦截都会返回该通用无权限报错，不要仅验证基础端口连通性。
• 调整应用身份验证配置：如果使用.NET技术栈，在应用配置文件的system.serviceModel绑定节点中，明确指定传输层NTLM认证规则：

  <security mode="TransportCredentialOnly">
    <transport clientCredentialType="Ntlm" proxyCredentialType="None" />
  </security>
  

  同时在代码中显式开启NTLM支持与模拟级别配置：

  reportServiceClient.ClientCredentials.Windows.AllowNtlm = true;
  reportServiceClient.ClientCredentials.Windows.AllowedImpersonationLevel = System.Security.Principal.TokenImpersonationLevel.Impersonation;
  

• 修正凭证参数格式：代码中传入的域参数不要使用本地内网的NetBIOS短域名，替换为SSRS服务器可识别的完整FQDN域名；如果SSRS为工作组部署，直接留空域参数，用户名按SSRS服务器名\登录账号的格式传入，避免Azure环境自动拼接租户默认域名导致凭证校验失败。
• 开启详细日志定位根因：在Azure应用服务中开启HTTP请求详细日志，同时在SSRS服务器的日志目录（默认路径C:\Program Files\Microsoft SQL Server\MSRSxx.MSSQLSERVER\Reporting Services\LogFiles）中抓取认证失败的具体日志，可区分是凭证解析错误、请求来源拦截还是NTLM握手报文丢失。
• 备选兼容方案：如果NTLM方案始终无法调通，可在SSRS服务器端同步开启HTTPS加密的基本身份验证，可直接兼容你现有基于官方示例的代码逻辑，无需大幅修改业务代码。

内容的提问来源于stack exchange，提问作者Adam