ASP.NET模拟/委派连接远程SQL Server失败问题求助

我帮你梳理下Azure环境下ASP.NET 4.5 + SQL Server 2016配置Windows身份验证模拟/委派的排查和解决步骤，这种跨机器的Kerberos委派配置很容易踩细节坑，咱们一步步来：

• 给IIS服务器的计算机账户开委派权限：
  打开AD用户和计算机，找到test-iis-server的计算机对象，右键属性→「委派」选项卡，选择信任此计算机以委派到任何服务（仅限Kerberos）（先选全权限排查，后续可以缩窄到特定服务）。
• 检查访问用户的账户属性：
  找到你用来测试的域用户对象，进入「账户」选项卡，确保没勾选账户敏感，不能被委派——这个选项会直接阻断委派。

• 应用程序池身份：
  如果用内置的Network Service，实际是以计算机账户test-iis-server$来做委派；如果用自定义域账户，要确保这个账户有足够的权限。
• 站点身份验证：
  1. 禁用匿名身份验证，启用Windows身份验证。
  2. 打开Windows身份验证的「高级设置」，务必勾选启用内核模式身份验证——这是Kerberos能正常工作的关键前提。
• ASP.NET模拟配置：
  在web.config里添加模拟配置：

  <system.web>
    <identity impersonate="true" />
    <!-- 不需要指定userName/password，因为是基于Windows身份验证的用户模拟 -->
  </system.web>
  

  同时在IIS站点的「身份验证」模块里启用「ASP.NET模拟」，确保和web.config配置一致。
• 注册Kerberos SPN：
  Kerberos需要正确的服务主体名称（SPN）才能生成票据。在DC上用管理员命令行执行：
  如果用Network Service身份：

  setspn -A HTTP/test-iis-server YOURDOMAIN\test-iis-server$
  setspn -A HTTP/test-iis-server.yourdomain.com YOURDOMAIN\test-iis-server$
  

  如果用自定义域账户（比如YOURDOMAIN\IISAppPoolAcct）：

  setspn -A HTTP/test-iis-server YOURDOMAIN\IISAppPoolAcct
  setspn -A HTTP/test-iis-server.yourdomain.com YOURDOMAIN\IISAppPoolAcct
  

• 身份验证模式：在SQL Server管理器里，右键服务器→属性→「安全性」，确认是Windows身份验证模式。
• 用户权限：确保测试用的域用户在SQL Server里有对应的登录名，并且已经授予目标数据库的访问权限（比如db_datareader/db_datawriter）。
• 验证Kerberos连接：在SQL Server里执行以下查询，检查当前连接的身份验证方式：

  SELECT auth_scheme FROM sys.dm_exec_connections WHERE session_id = @@SPID;
  

  如果返回KERBEROS，说明委派生效；如果是NTLM，那说明还是用了NTLM，委派没成功，得回头查前面的配置。

• 网络连通性：确保两台VM在同一个Azure虚拟网络，并且能互相解析主机名（在IIS服务器上ping SQL服务器的机器名，看是否能正常解析）。
• 端口开放：Kerberos用88端口，LDAP用389/636端口，确保NSG（网络安全组）没有阻断这些端口的通信。
• 时间同步：Kerberos对时间差非常敏感，两台VM的时间差不能超过5分钟，确保都和域控制器的时间同步。

• 启用IIS的失败请求跟踪，捕捉身份验证过程中的详细错误日志。
• 查看DC的事件查看器→「系统」日志，找Kerberos相关的事件（事件ID 4768、4769等），这些日志会明确告诉你委派失败的具体原因（比如SPN缺失、权限不足等）。
• 在IIS服务器上用klist命令查看Kerberos票据缓存，确认是否获取到了用户的有效票据。

内容的提问来源于stack exchange，提问作者kaycee