ASP.NET MVC部署IIS时AD身份认证异常问题求助

看起来你踩了ASP.NET MVC部署到IIS时AD身份认证的经典坑——把应用池身份和客户端用户身份搞混了，我来一步步帮你梳理解决：

一、先修正IIS与应用池的核心配置 #

这是解决问题的基础，当前你给DefaultAppPool指定个人凭据的操作，会让应用始终以这个账户的身份运行，自然拿不到实际登录的AD用户：

• 把DefaultAppPool的标识改回内置的ApplicationPoolIdentity（这是IIS默认的最安全选项），别再用个人用户凭据。之前的配置文件错误，大概率是因为应用池账户没有访问资源的权限，后面会教你补全权限。
• 进入IIS站点的「认证」功能：
  • 彻底禁用匿名认证（否则用户可以跳过AD登录）
  • 启用Windows身份认证（AD域身份认证依赖这个功能，它会自动对接域内的用户身份）
• 补全应用池的资源权限：右键你的应用根文件夹→属性→安全→编辑→添加，输入IIS AppPool\DefaultAppPool，点击「检查名称」确认账户存在后，给它分配读取和执行、列出文件夹内容、读取这三个基础权限，保存即可解决之前的配置文件访问错误。

二、修正代码获取真实的AD登录用户 #

你当前的代码应该是调用了WindowsIdentity.GetCurrent().Name，这会返回应用池的运行身份，而不是客户端的登录用户。换成ASP.NET MVC内置的用户身份对象：

// 获取完整的域用户格式，比如：DOMAIN\ZhangSan
string fullUserName = User.Identity.Name;

// 如果只需要用户名部分，可以拆分处理
string userNameOnly = fullUserName.Split('\\')[1];

这个User.Identity是经过Windows身份认证后，自动填充的客户端真实用户身份，完全符合你的需求。

三、关于用户组分配的疑问 #

不需要把AD用户组分配给DefaultAppPool的标识——应用池身份是用来运行应用进程的服务身份，和客户端的AD用户身份是完全独立的体系。如果你需要控制用户的访问权限，应该在代码里检查当前登录用户所属的AD组：

using System.Security.Principal;

// 检查当前用户是否属于指定的AD组
bool isInAuthorizedGroup = new WindowsPrincipal((WindowsIdentity)User.Identity)
                              .IsInRole("DOMAIN\\YourAuthorizedGroup");

通过这种方式，你可以基于AD组来控制用户的页面访问或功能权限。

内容的提问来源于stack exchange，提问作者Chhavi