无法使用应用程序池用户从IIS上托管的web API打开kerberos连接

Question

我在.net Core3.1中编写了一个web，它托管在一个非托管的应用程序池中。API所做的是对访问它的客户端进行身份验证。客户端正在发送一个JSON有效负载，其中包含一个查询和一个命名数据库。

在检索到有效负载之后，API应该使用应用程序池的用户凭据打开到远程数据库的连接。我不希望转发客户端的凭据，我希望使用应用程序池凭据。与数据库的连接使用MIT-Kerberos作为客户端身份验证方法。

这就是它失败的地方。我得到的是下面的堆栈跟踪：

2020-08-14 09:46:31.5417 COM.Core.ComLog错误用户: Une erreur est survenue: System.Data.OleDb.OleDbException (0x80004005)：HY000 ASEOLEDBCould未加载gssapi库。在System.Data.OleDb.OleDbConnectionInternal..ctor(OleDbConnectionString constr，连接)在System.Data.OleDb.OleDbConnectionFactory.CreateConnection(DbConnectionOptions options，DbConnectionPoolKey poolKey，Object poolGroupProviderInfo，DbConnectionPool pool，DbConnection owningObject)在System.Data.ProviderBase.DbConnectionFactory.CreateConnection(DbConnectionOptions options，DbConnectionPoolKey poolKey，Object poolGroupProviderInfo，DbConnectionPool pool，DbConnection owningConnection，DbConnectionOptions userOptions)在System.Data.ProviderBase.DbConnectionFactory.CreateNonPooledConnection(DbConnection，，) at，1 retry，) at，，TaskCompletionSource`1 retry，DbConnectionOptions userOptions) at System.Data.ProviderBase.DbConnectionInternal.OpenConnection(DbConnection outerConnection，DbConnectionFactory connectionFactory) at System.Data.OleDb.OleDbConnection.Open()

……

还有更多，但它是非特定的，没有列出原因。此外，没有内部异常。我也尝试过ODBC，无论使用哪种连接协议，我都会得到完全相同的消息。

我写了一个非常基本的控制台程序，它做同样的事情，但没有控制器和.net核心中间件。当我使用与服务器上的app_pool相同的ID运行它时，连接成功。

API托管在IIS上似乎是导致问题的原因，但我就是不明白为什么API无法连接到遥控器。在应用程序池的提供程序中，身份验证设置为拒绝匿名访问，Windows身份验证设置为true。

我们已经查找了kerberos的所有路径变量目标，并确保在每个位置都可以访问64位版本库。还是不能走。

我要么太傻了，搞不懂这个问题，要么就被这个问题搞糊涂了。我希望外面的人知道会发生什么。除了通用的kerberos安装指南，我没有在网上找到任何东西。呃。

Answer 1

IIS AppPool高级设置中的“加载用户配置文件”选项可能会被设置为"false“。尝试将其设置为"true“。这样，您就可以确信您的应用程序池将使用这些凭据。