IIS至文件服务器的Kerberos传递仅管理员可用问题求助

问题场景 #

Windows Server 2019 IIS上运行自定义ASP.NET应用，配置强制Kerberos Windows身份验证，应用池使用带约束委派权限的自定义服务账户，已授权委派至SQL Server和NetApp存储的CIFS服务。SQL Server委派正常，但访问CIFS共享时出现差异：

• IIS本地管理员组账户：Kerberos委派正常，通过response.WriteFile(FullFilePath)可直接获取文件
• 非管理员账户：Kerberos委派失败，自动回退到NTLM，因无有效NTLM凭据导致传递用户为NULL，弹出登录提示；手动输入凭据后可通过NTLM访问文件

核心排查点 #

1. 本地管理员的Kerberos豁免权限 #

Windows默认给本地管理员组账户赋予Kerberos委派豁免权（允许以计算机账户身份完成委派），普通用户无此权限。需确认：

• NetApp存储的CIFS服务SPN是否正确注册（格式为cifs/<NetApp-FQDN>）
• AD中应用池服务账户的约束委派设置，是否明确添加cifs/<NetApp-FQDN>服务，且勾选「仅使用Kerberos」

2. ASP.NET身份模拟与验证配置 #

• 确保web.config启用身份模拟：

  <system.web>
    <authentication mode="Windows" />
    <identity impersonate="true" />
  </system.web>
  

• IIS站点需禁用匿名身份验证，仅启用Windows身份验证，并将验证提供商设置为Negotiate:Kerberos（移除NTLM，避免回退）

3. 文件路径的SPN匹配问题 #

• 若FullFilePath使用IP地址/短名称，Kerberos无法生成有效票据，直接回退NTLM；必须使用注册了SPN的NetApp FQDN
• 若使用短名称，需在AD中注册对应SPN，或配置SPN后缀搜索规则

4. 普通用户权限限制 #

• 检查IIS服务器上普通用户对ASP.NET临时目录（默认C:\Windows\Microsoft.NET\Framework64\vX.X.X.X\Temporary ASP.NET Files）的读取权限
• 确认NetApp CIFS共享的NTFS权限允许普通用户读取目标文件

5. 约束委派的服务范围 #

• 在AD用户和计算机中，查看应用池服务账户的「委派」标签，确认已添加cifs服务类型，目标为NetApp的FQDN
• 选择「仅Kerberos」作为委派协议，禁止NTLM回退

分步解决 #

1. 验证SPN配置

   • 在域控制器执行setspn -L <NetApp-FQDN>，确认存在cifs/<NetApp-FQDN>
   • 执行setspn -L <应用池服务账户名>，确认约束委派列表包含该SPN

2. 强制Kerberos验证

   • IIS站点→身份验证→Windows身份验证→提供商：移除NTLM，仅保留Negotiate:Kerberos
   • web.config添加配置锁定验证协议：

     <system.webServer>
       <security>
         <authentication>
           <windowsAuthentication enabled="true">
             <providers>
               <clear />
               <add value="Negotiate:Kerberos" />
             </providers>
           </windowsAuthentication>
         </authentication>
       </security>
     </system.webServer>
     

3. 配置身份模拟权限

   • 在本地安全策略→用户权限分配中，给应用池服务账户添加「模拟客户端进行身份验证」权限
   • 确认NetApp CIFS服务已启用Kerberos身份验证，且普通用户对目标文件有读取权限

4. 验证委派有效性

   • 在IIS服务器用普通用户登录，执行klist查看Kerberos票据，确认生成了NetApp CIFS的委派票据
   • 重新抓包验证，确认普通用户请求时Kerberos票据正常传递至NetApp存储

内容的提问来源于stack exchange，提问作者Glenn Sullivan