如何通过IIS将Kerberos身份验证透传至Flask的Oracle数据库连接？

出现该问题的核心原因和Flask、cx_Oracle、Kerberos本身的配置无关，本质是IIS托管Flask时的进程身份上下文，和命令行直接运行Flask时的用户身份完全脱节：

• 命令行运行时，Flask进程直接继承你当前登录的域身份，自然可以直接使用当前身份缓存的Kerberos票据，通过Oracle的操作系统认证完成连接
• 你虽然在IIS中开启了Windows身份验证，但这个配置仅负责把客户端的身份标识传递到IIS层，默认状态下既不会让IIS工作进程（w3wp）用你的域身份运行，也不会把对应的Kerberos安全上下文透传给后端Python子进程，最终导致连接数据库时拿不到有效身份凭据

方案1：为IIS应用池配置固定域身份（最稳定，适配固定服务账号场景） #

这是生产环境最常用的方案，不需要复杂的域侧配置：

• 找到部署Flask应用对应的IIS应用池，打开高级设置面板
• 将进程模型-标识从默认的ApplicationPoolIdentity，修改为你日常用来连接Oracle的专用域账号
• 给该域账号在本地服务器上授予"作为批处理作业登录"的本地安全策略权限
• 提前在服务器上用该域账号完成一次Kerberos票据获取（可通过临时交互式登录或执行kinit命令实现），验证该身份下通过sqlplus可以正常连通Oracle数据库
• 注意提前确认该域账号已注册对应IIS服务的SPN，避免出现Kerberos身份验证不通过的问题

方案2：配置约束委派实现真实客户端凭据透传（适配多用户独立身份连库场景） #

如果业务要求不同访问用户使用自己的域身份连接Oracle，而非共用统一服务账号，才需要配置完整的凭据透传链路：

• 在域控制器上为你的IIS服务器配置约束委派，允许IIS服务将客户端的Kerberos票据转发给Oracle数据库对应的服务SPN，解决Kerberos双跳的链路拦截问题
• 调整wfastcgi（配置IIS运行Flask的默认网关组件）的参数，开启进程安全模拟的相关选项，确保IIS层的模拟身份能传递到Python子进程的运行上下文中
• 修改cx_Oracle的连接逻辑，不要使用明文用户名密码的连接串，要启用Oracle外部身份验证（操作系统认证模式），让cx_Oracle自动抓取当前进程上下文里的Kerberos票据完成连接

• 绝对不要用默认的ApplicationPoolIdentity作为应用池运行身份：这是服务器本地虚拟账号，不具备域身份，完全无法通过依赖域Kerberos体系的Oracle身份验证
• 临时加一个测试路由输出当前Python进程的Windows身份，先确认IIS托管下Flask实际运行的身份，不要靠猜测排查问题
• 检查本地Oracle客户端的sqlnet.ora配置，确保开启了SQLNET.AUTHENTICATION_SERVICES = (KERBEROS, NTS)，否则就算身份上下文正确，Oracle客户端也不会走Kerberos认证逻辑

内容的提问来源于stack exchange，提问作者AngusE