IIS调用API时用户身份委托失败，求排查方向

核心问题：HttpClient未传递模拟凭据 #

你的代码里HttpClient默认不会自动发送当前模拟用户的Windows凭据——哪怕在RunImpersonated块里模拟了用户身份，也得显式配置：

// 给HttpClient添加这行关键配置
_httpClient.UseDefaultCredentials = true;

没加这个的话，HttpClient只会用应用池身份发请求，根本不会传递模拟的用户身份，这是最常见的触发原因。

SPN配置问题 #

1. API服务的SPN缺失：你只给MVC应用池注册了HTTP/shark，但API服务也需要对应的SPN（哪怕和MVC同服务器同域名）。假设API访问地址是https://shark/api，需给API的应用池身份注册HTTP/shark（HTTPS服务统一使用HTTP类SPN）。
2. 重复SPN冲突：执行setspn -X命令检查域内是否存在重复的HTTP/shark SPN，重复SPN会直接导致Kerberos票据生成失败。
3. SPN注册主体错误：确认API的SPN是注册在API自身的应用池身份下，而非MVC的应用池身份。

委派配置验证 #

1. AD委派设置生效：登录域控制器，查看MVC应用池用户的AD属性，「委派」标签下必须勾选「信任此用户委派给任意服务(仅Kerberos)」，确保配置未被误修改。
2. 建议改用约束委派：非约束委派权限过宽，易引发问题。改成约束委派，明确指定可委派到的API的SPN（比如HTTP/shark），缩小权限范围的同时也能避免目标服务匹配错误。

应用配置检查 #

1. MVC与API的web.config配置：确保两处都正确启用Windows Auth并禁用匿名访问：

   <system.web>
     <authentication mode="Windows" />
     <authorization>
       <deny users="?" /> <!-- 拒绝匿名，强制身份验证 -->
     </authorization>
   </system.web>
   <system.webServer>
     <security>
       <authentication>
         <windowsAuthentication enabled="true" />
         <anonymousAuthentication enabled="false" />
       </authentication>
     </security>
   </system.webServer>
   

   注意MVC端不要开启<identity impersonate="true"/>，我们依赖的是应用池身份的委派能力，而非用户模拟。

2. 模拟令牌权限：在代码中添加日志输出windowsIdentity.ImpersonationLevel，该值必须为Impersonation或Delegation级别——如果是Identification，说明当前令牌没有委派权限，无法传递用户身份。

本地调用的NTLM降级问题 #

MVC和API在同一服务器时，系统可能自动用NTLM代替Kerberos，而NTLM不支持委派。可以这么处理：

• 把访问地址里的localhost换成shark，或者在本地hosts文件添加127.0.0.1 shark，避免localhost强制触发NTLM。
• 开启Kerberos日志排查：在组策略中启用「计算机配置->管理模板->系统->Kerberos->详细日志记录」，然后查看事件查看器的系统日志，找到Kerberos相关错误（事件ID 4768、4769），定位票据请求失败的具体原因。

API端日志细化 #

在API的日志里不仅记录身份名称，还要记录身份验证类型（Kerberos/NTLM）。如果显示是NTLM，说明Kerberos协商未成功，需回头排查SPN和委派配置。

内容的提问来源于stack exchange，提问作者Andrew N