identity impersonate="true" 在 IIS 上无效，因默认内核模式认证截断客户端身份，需禁用内核模式、启用Windows认证、配置Kerberos委派，并确保反向代理不剥离认证头。
为什么 identity impersonate="true" 在 IIS 上没效果
因为 IIS 10+ 默认用 Integrated Windows Authentication + Application Pool Identity，而 impersonate="true" 只对传入的 Windows 身份生效——前提是客户端已成功认证且未被 IIS 中间层截断。
常见错误现象：HttpContext.Current.User.Identity.Name 还是 IIS APPPOOLMyAppPool，不是用户域账号；文件操作仍报“拒绝访问”，哪怕代码里写了 impersonate="true"。
- 确认 IIS 站点启用了
Windows Authentication（不是Anonymous Authentication） - 禁用
Kernel-mode authentication：在 IIS 管理器 → 站点 → Windows 身份验证 → 高级设置 → 取消勾选“启用内核模式” -
web.config中不能只写<identity impersonate="true" />，必须配合<authentication mode="Windows" /> - 如果用了反向代理（如 ARR、Nginx），原始 Windows 认证头大概率被剥离，此时
impersonate失效是必然的
impersonate="true" 和 impersonate="true" userName="..." password="..." 的区别
前者是“委托式模拟”：用客户端传来的身份继续向下调用；后者是“固定账户模拟”：绕过客户端身份，硬编码一个域账户执行后续操作。两者安全模型和适用场景完全不同。
使用场景：impersonate="true" 适合内部 Intranet 应用，要求 Kerberos 约束委派配置；userName/password 方式只适用于测试或极简单场景，生产环境禁用——密码明文写在 web.config 里，且 .NET 会以 LogonType.Batch 登录，无法访问网络资源（如 UNC 路径、SQL Server Windows 身份）。
- 固定账户方式在 .NET Framework 4.7.2+ 已标记为
obsolete，IIS 会记录警告事件 ID 1309 - 即使配置成功，
File.OpenRead("\servershare ile.txt")仍可能抛UnauthorizedAccessException，因模拟后的线程无网络凭据 - Kerberos 委派必须在域控上为应用池对应计算机账户启用“仅委派给指定服务”，否则模拟到第二跳就失败
ASP.NET Core 还能用 system.web identity impersonate 吗
不能。ASP.NET Core 完全移除了 system.web 段，web.config 对它无效。IIS 只是作为反向代理存在，身份验证由中间件（如 Microsoft.AspNetCore.Authentication.Negotiate）接管。
如果你在 ASP.NET Core 项目里看到 web.config 里还留着 <identity impersonate="true">，它不会报错，但也不会起任何作用——IIS 忽略它，Kestrel 更不认识它。
- Core 下等效做法是：启用
Negotiate或WindowsAuthentication中间件，再在业务代码中调用WindowsIdentity.RunImpersonated -
RunImpersonated是临时线程级模拟，不改变整个请求上下文的User，需手动包裹敏感操作 - IIS 必须开启
Windows Authentication，且web.config中的<aspNetCore>段要设forwardWindowsAuthToken="true"，否则HttpContext.User为空
模拟后访问 SQL Server 报“登录失败”怎么办
这是最典型的链路断裂：IIS 成功模拟了用户，但 SQL Server 收到的是来自应用服务器的连接，而非原始用户机器——即缺少 Kerberos 信任链，降级为 NTLM 后无法二次委派。
错误信息典型为：Login failed for user 'DOMAINUSER'. Reason: Failed to open the explicitly specified database. 或直接 Error: 18456 状态 58。
- 检查 SQL Server 是否启用
Windows Authentication模式（不是仅混合模式） - 运行
setspn -L <app-pool-machine-name>，确认有HTTP/<site-hostname>和MSSQLSvc/<sql-server-fqdn>:<port>两个 SPN，且归属同一域账户 - 在域控上为应用服务器计算机账户启用“委派给指定服务”，添加
MSSQLSvc/<sql-server-fqdn>:<port> - 避免用
localhost或127.0.0.1连 SQL，这会强制走 NTLM；改用 FQDN，如sql01.contoso.com
真正麻烦的从来不是配 impersonate 这一行，而是让整个 Windows 身份从浏览器穿过 IIS、跨机器再到 SQL Server，每段都得对得上 SPN、委派策略和协议协商结果。少一个环节，就卡在“看起来配置全对，但就是不行”。
