如何解决ASP.NET Web Form门户AD用户自动登录失效及重复弹窗问题

我来帮你梳理下这个Windows身份认证自动登录的问题，结合你提到的两台服务器的差异，咱们一步步排查解决：

一、先对齐IIS站点的Windows身份认证核心配置 #

因为旧应用在IIS_X上能正常自动登录，新应用不行，首先要确保新应用的IIS配置和旧应用完全一致：

• 打开IIS管理器，找到新应用的站点，进入「Windows身份认证」，点击右侧的「高级设置」：
  • 必须勾选启用内核模式身份验证，这是域环境下Kerberos自动登录的关键开关。
  • 「扩展保护」建议设置为「接受」或「关闭」，如果设为「要求」，很可能因为SPN配置不匹配导致认证失败弹窗。
• 同样的配置也同步到IIS_Y上，确保两台服务器的Windows身份认证设置完全一致。

二、配置正确的SPN（服务主体名称） #

自动登录依赖Kerberos协议，而Kerberos要求服务器必须有正确的SPN绑定到应用池账户：

• 用域管理员权限打开命令提示符，为服务器IP和端口注册SPN（替换成你的实际域名、服务器IP和端口）：

  setspn -A HTTP/你的服务器IP 你的AD域名\NetworkService
  setspn -A HTTP/你的服务器IP:端口号 你的AD域名\NetworkService
  

  注：因为你用的是DefaultAppPool，默认运行账户是Network Service，所以要给这个账户注册SPN。
• 检查IIS_X的SPN配置（可以用setspn -L 服务器名查看），把IIS_Y的SPN配置完全对齐。

三、客户端浏览器配置调整 #

域内客户端要自动发送凭据，必须把站点加入「本地Intranet」区域：

• 打开浏览器的「Internet选项」→「安全」→「本地Intranet」→「站点」→「高级」，添加http://你的服务器IP:端口号。
• 确认「本地Intranet」区域的「自定义级别」里，「自动登录到Intranet区域」是启用状态。

四、解决IIS_Y的四次弹窗问题 #

IIS_Y反复弹窗四次，通常是Kerberos认证失败后回退到NTLM，而NTLM又因权限或配置问题反复失败：

• 检查IIS_Y的「Windows身份认证」→「提供程序」，确保Kerberos排在NTLM前面，优先使用Kerberos认证。
• 检查IIS_Y在AD中的计算机账户状态，确保没有被禁用、密码过期，或者存在重复的计算机账户。
• 在客户端执行klist purge清除Kerberos缓存，然后重新访问站点，看是否还弹窗。

五、站点权限和web.config补充检查 #

• 检查站点根目录的NTFS权限，确保DefaultAppPool（或Network Service）有读取和执行权限，和IIS_X上旧应用的权限配置保持一致。
• 暂时注释掉代码中AD用户存在性的校验逻辑，测试是否能自动登录，如果可以，说明问题出在校验逻辑的异常处理上（比如获取AD用户信息时出错，导致认证流程中断）。

最后验证 #

完成以上配置后，先在IIS_X上测试新应用，确认无弹窗自动登录，再同步配置到IIS_Y，验证效果。

内容的提问来源于stack exchange，提问作者rknrsln