Docker中运行的.NET Core 2.0 WebAPI如何启用NTLM认证实现SSO？

我之前在部署.NET Core 2.0 WebAPI做NTLM SSO时也碰到过这个坑，核心问题其实是HttpSys的特性——它是Windows专属的组件，依赖Windows内核里的Http.sys驱动，而你大概率用了Linux版的Microsoft .NET Core镜像，这肯定没法生效。下面是我亲测有效的解决步骤：

1. 切换到Windows-based的.NET Core 2.0镜像 #

HttpSys只能在Windows环境下运行，所以必须放弃Linux镜像，改用Windows Nano Server或Windows Server Core的.NET Core 2.0镜像。比如在Dockerfile里指定：

FROM mcr.microsoft.com/dotnet/core/aspnet:2.0-nanoserver-sac2016
WORKDIR /app
COPY ./publish .
ENTRYPOINT ["dotnet", "YourApi.dll"]

注意：.NET Core 2.0的Windows镜像版本需要和宿主机Windows版本兼容，比如sac2016对应Windows Server 2016/Windows 10 1607，避免出现兼容性报错。

2. 确认代码里的HttpSys配置正确 #

确保你在Program.cs里正确启用HttpSys并配置NTLM认证，示例代码如下：

using Microsoft.AspNetCore.Server.HttpSys;

public class Program
{
    public static void Main(string[] args)
    {
        BuildWebHost(args).Run();
    }

    public static IWebHost BuildWebHost(string[] args) =>
        WebHost.CreateDefaultBuilder(args)
            .UseHttpSys(options =>
            {
                // 启用NTLM认证
                options.Authentication.Schemes = AuthenticationSchemes.NTLM;
                // 根据业务需求决定是否禁止匿名访问
                options.Authentication.AllowAnonymous = false;
            })
            .UseStartup<Startup>()
            .Build();
    }

这里不需要在Startup.cs里额外添加AddAuthentication类的中间件，HttpSys会直接接管认证逻辑。

3. 配置容器运行权限与网络 #

Windows容器需要足够权限访问Http.sys服务，同时NTLM认证需要连通域控制器（如果是域环境的SSO），运行容器时可以这样配置：

docker run -d -p 80:80 --user "NT AUTHORITY\NETWORK SERVICE" --network nat your-api-image

• --user指定网络服务账户，它默认拥有访问Http.sys的权限；
• --network nat确保容器能访问域内的域控制器，NTLM身份验证依赖和DC的交互。

4. 排查常见问题 #

• 检查容器OS类型：用docker inspect <container-id>查看Os字段是否为windows，彻底排除误用Linux镜像的情况；
• 测试域连通性：进入容器内部执行ping your-domain-controller，确认能正常访问DC；
• 查看应用日志：用docker logs <container-id>查看启动日志，排查是否有HttpSys初始化失败的具体错误信息。

如果受限于环境必须使用Linux容器，那NTLM方案基本不可行，只能换用Kerberos等适配Linux的认证协议，但这需要额外的域配置工作。

内容的提问来源于stack exchange，提问作者user479338