MVC内网应用：以当前登录用户身份远程进行WMI模拟的问题

我之前在域内网环境下处理过几乎一模一样的场景，要解决这个问题，核心是要实现跨机器的Windows身份委托，让Web服务器能够以当前登录用户的身份去访问客户端的WMI资源，而不是一直用服务账号的上下文。下面是具体的步骤和注意点：

1. 确认MVC应用的Windows身份验证配置 #

首先确保你的MVC应用已经正确启用Windows身份验证，并且禁用匿名访问：

• 在IIS中，给你的网站开启「Windows身份验证」，关闭「匿名身份验证」
• 在web.config里添加或确认以下配置：

<system.web>
  <authentication mode="Windows" />
  <identity impersonate="true" /> <!-- 开启身份模拟，让应用线程使用当前登录用户身份 -->
</system.web>

2. 配置Active Directory的Kerberos约束委托 #

因为是跨机器访问（Web服务器 → 客户端计算机），默认的Windows身份模拟只能在本地生效，跨机器需要依赖Kerberos委托来传递用户身份。具体操作：

• 打开AD用户和计算机管理工具，找到你的Web服务器对应的计算机对象
• 右键选择「属性」，切换到「委派」标签页
• 选择「信任此计算机来委派指定的服务」，点击「添加」
• 在弹出的窗口中，选择客户端计算机，然后添加对应的WMI/WinRM服务（常用的SPN是HOST/<客户端计算机名>或WMI/<客户端计算机名>，因为WMI底层依赖WinRM服务）
• 保存配置，等待AD同步生效（通常几分钟内）

3. 调整WMI连接代码 #

修改你的WMI连接逻辑，不要硬编码服务账号的凭据，而是让代码自动使用当前经过委托的用户身份：

using System.Management;

// 客户端计算机名称或IP
string clientComputerName = "目标客户端机器名";

// 创建连接选项，使用当前用户身份
var connectionOptions = new ConnectionOptions
{
    Impersonation = ImpersonationLevel.Impersonate, // 必须设置为Impersonate或Delegate
    Authentication = AuthenticationLevel.Kerberos, // 指定用Kerberos认证，确保身份传递
    // 不要设置Username和Password，让系统自动使用当前线程的用户身份
};

// 构建WMI连接范围
var managementScope = new ManagementScope($"\\\\{clientComputerName}\\root\\cimv2", connectionOptions);

try
{
    managementScope.Connect();
    // 这里执行你的WMI操作，此时就是以当前登录用户的身份运行
    // 示例：获取客户端系统信息
    ObjectQuery query = new ObjectQuery("SELECT * FROM Win32_OperatingSystem");
    ManagementObjectSearcher searcher = new ManagementObjectSearcher(managementScope, query);
    foreach (ManagementObject queryObj in searcher.Get())
    {
        Console.WriteLine($"操作系统名称: {queryObj["Caption"]}");
    }
}
catch (ManagementException ex)
{
    // 处理异常
    Console.WriteLine($"WMI连接失败: {ex.Message}");
}

4. 关键注意事项 #

• 所有涉及的机器（Web服务器、客户端计算机）必须加入同一个Active Directory域，Kerberos委托依赖域环境才能生效
• 当前登录的用户必须在目标客户端计算机上拥有足够的权限（比如管理员权限，或者WMI操作所需的特定权限）
• Web应用的应用池身份需要配置为域账号，或者Web服务器的计算机账号已被AD允许进行委派操作
• 确保客户端计算机的WMI服务（Winmgmt）已经启动，并且防火墙允许域内的WMI访问（默认域环境下是允许的，若有自定义规则需调整）

内容的提问来源于stack exchange，提问作者Cozdemir