如何让IIS子应用对所有用户（含域用户）弹出Windows身份验证登录框？

嘿，我来帮你搞定这个问题！你遇到的情况其实是Windows身份验证的默认行为在搞鬼——域内设备会自动向Intranet站点传递当前登录用户的凭据，开启内核模式时IIS优先用Kerberos，所以直接自动登录；关闭内核模式后虽然会弹框，但因为NTLM验证的权限或重试机制问题，导致3次尝试后出现401错误。下面是具体的解决方案：

核心配置步骤 #

1. 调整身份验证提供程序，禁用Kerberos #

Kerberos是导致域用户自动登录的核心原因，我们可以强制只使用NTLM验证，让浏览器无法自动传递凭据：

• 打开IIS管理器，定位到你的子应用
• 进入Windows Authentication功能
• 点击右侧的Providers，移除Negotiate选项，只保留NTLM
• 再点击右侧的Advanced Settings，关闭Enable Kernel-mode authentication（这一步你已经尝试过，接下来需要配合权限设置解决401问题）

2. 修复关闭内核模式后的401错误 #

关闭内核模式后，IIS会使用应用程序池的身份处理NTLM验证，所以必须确保应用程序池身份有足够权限：

• 进入应用程序池的Advanced Settings，将Identity改为一个拥有AD用户读取权限的域账户（本地系统账户也可以，但域账户更安全）
• 如果使用域账户，要确保该账户在AD中拥有“Read”权限，同时在服务器上配置“Log on as a batch job”权限（可通过本地安全策略设置）

3. 强制弹出登录框的补充配置 #

如果上面的步骤还不够保险，可以在子应用的web.config中添加以下配置，确保服务器只发送NTLM验证头，彻底阻止自动凭据传递：

<system.webServer>
  <security>
    <authentication>
      <windowsAuthentication enabled="true" useKernelMode="false">
        <providers>
          <clear />
          <add value="NTLM" />
        </providers>
      </windowsAuthentication>
    </authentication>
  </security>
</system.webServer>

补充说明 #

• 为什么这样有效？移除Negotiate后，服务器只会返回WWW-Authenticate: NTLM头，不会触发Kerberos的自动登录机制，浏览器因此会强制弹出登录框，哪怕是域内用户。
• 关于401错误的本质：关闭内核模式后，应用程序池身份需要能访问AD验证域用户，所以使用具备权限的域账户是解决这个问题的关键；如果只是验证本地用户，本地系统账户就足够。

内容的提问来源于stack exchange，提问作者bmvr