Service Fabric托管Web API本地正常远程访问返回401未授权求助

嘿，我之前也碰到过类似的Service Fabric + Integrated Windows Authentication（IWA）远程调用401的问题，结合你的场景，给你梳理几个核心的排查方向和解决办法，应该能帮到你：

本地调用正常但远程失败，很大概率和服务运行的身份有关：

• 如果你的Service Fabric服务用Network Service账户运行，它的身份其实是机器账户（格式为DOMAIN\机器名$）。要确保远程客户端所在的域信任这个机器账户，或者把这个机器账户添加到远程机器的授权用户组里。
• 要是用自定义账户运行服务，这个账户必须是域账户，而且在远程机器上拥有访问API的权限。

先确保你的Web API认证配置没有遗漏：

• 在Startup.cs里要正确注册Negotiate方案：

  services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
          .AddNegotiate();
  

• 必须在中间件管道里启用认证和授权，顺序不能错：

  app.UseAuthentication();
  app.UseAuthorization();
  

• 还要确认你的控制器或接口方法上标注了[Authorize]属性，而且没有额外限制其他认证方案。

远程调用时Negotiate默认会用Kerberos协议，这时候需要配置委派权限：

• 先为你的Web API注册服务主体名称（SPN）。假设你的Service Fabric节点机器名是SFNode01，域是CONTOSO，API端口是8080，可以用这条命令注册：

  setspn -S HTTP/SFNode01.CONTOSO.COM:8080 CONTOSO\你的服务账户名
  

• 打开AD用户和计算机，找到服务账户，进入属性→委派，选择“信任此用户进行委派到指定服务”，然后添加刚才注册的SPN。

• 确保远程机器能访问Service Fabric节点的API端口，防火墙（包括节点本地防火墙和网络防火墙）没有拦截流量。
• 确认远程机器和Service Fabric节点在同一个域，或者处于互相信任的域环境中。工作组环境下IWA的远程调用限制很多，建议先在域环境测试。

远程客户端必须正确传递Windows凭证：

• 如果是.NET客户端，要用HttpClientHandler启用默认凭证：

  var handler = new HttpClientHandler
  {
      UseDefaultCredentials = true
  };
  var client = new HttpClient(handler);
  

• 如果是浏览器调用，要把API的URL添加到浏览器的Intranet站点列表，并且启用“自动登录到Intranet区域”的设置。

要是上面的步骤都没解决，建议开启认证日志看细节：
在appsettings.json里添加日志配置：

"Logging": {
    "LogLevel": {
        "Microsoft.AspNetCore.Authentication": "Debug",
        "Microsoft.AspNetCore.Authentication.Negotiate": "Debug"
    }
}

查看日志里的错误信息，比如是Kerberos票据获取失败，还是授权检查不通过，能帮你精准定位问题。

内容的提问来源于stack exchange，提问作者Manas Singhal