DotNet Core HttpSys Windows身份验证 - 双跳问题

Question

我们在Service Fabric平台上开发了微服务，这些服务部署在独立的本地集群上。 我们有一个网站，配置为使用Windows身份验证，然后模拟登录用户来获取SSRS报告。 我们使用HttpSys来构建Web主机。 当从除appbox本身以外的任何服务器访问网站时，我们面临双跳问题。

对于无状态服务，代码如下所示：

protected override IEnumerable<ServiceInstanceListener> CreateServiceInstanceListeners()
{
    return new ServiceInstanceListener[]
    {
        new ServiceInstanceListener(serviceContext =>
            new HttpSysCommunicationListener(serviceContext, "ServiceEndpoint", (url, listener) =>
            {
                return new WebHostBuilder()
                    .UseHttpSys(
                        options =>
                        {
                            options.Authentication.Schemes = AuthenticationSchemes.Negotiate | AuthenticationSchemes.NTLM;
                            options.Authentication.AllowAnonymous = false;
                        }
                    )
                    .ConfigureServices(
                        services => services
                            .AddSingleton<StatelessServiceContext>(serviceContext))
                    .UseContentRoot(Directory.GetCurrentDirectory())
                    .UseStartup<Startup>()
                    .UseServiceFabricIntegration(listener, ServiceFabricIntegrationOptions.None)
                    .UseUrls(url)
                    .Build();
            }))
    };
}

在Startup.cs中：

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthenticationCore(options =>
    {
        options.DefaultScheme = HttpSysDefaults.AuthenticationScheme;
    });
}

SSRS电话：

if (User.Identity is WindowsIdentity currentUser)
{
    WindowsIdentity.RunImpersonated(currentUser.AccessToken, () =>
    {
        var reportServer = ReportServer();
        var trustedUserHeader = new ReportService2010.TrustedUserHeader();
        reportServer.ClientCredentials.Windows.AllowedImpersonationLevel = TokenImpersonationLevel.Identification;
        var items = reportServer.ListChildrenAsync(trustedUserHeader, ReportFolder, true).Result;
    });
}

我们已经尝试了一切。 所有SPN都已正确创建。 我们已经拥有一个传统的Silverlight网站，该网站运行正常，可以在Windows身份验证的相同基础上工作，并模拟用户获取SSRS报告。

为了验证服务结构是如何创建服务的问题，我使用HttpSys自主服务器创建了独立的DotNet核心网站。 还是同样的问题。

我试图在网上找到，但没有文件或任何其他人遇到过类似的问题。

HTTP请求未经授权使用客户端身份验证方案'Ntlm'。 从服务器收到的身份验证标头是“NTLM”。