IIS マネージャーで［サイトの編集］を行う際、下の画像（Windows 10 Pro の IIS 10 のものです）のように「パススルー認証」という言葉が出てきますが、これは一体何かという話を書きます。
まず、そもそもパススルー認証とは一般的にどういう意味かですが広義には以下のようなことらしいです。
例えば、サーバー A とサーバー B の 2 つのサーバーがあり、サーバー B のみにユーザーの資格情報が保持されているとします。
クライアントがサーバー A にアクセスした際、サーバー A ではユーザー認証ができないので、サーバー A はサーバー B にユーザー認証を要求します。そのようなメカニズムをパススルー認証 (Pass-Through Authentication) と呼んでいるそうです。
Microsoft のドキュメント Pass-Through Authentication の Figure 1 に、Active Directory ドメインサービス環境で Windows 認証を使用しているケースが示してありますが、それを見ると理解しやすいかもしれません。画像のみ借用して下に貼っておきます。
で、それと上の画像の IIS の「パススルー認証」とどういう関係があるのかですが、それについては「サイトの編集」ダイアログの右上の ? ボタンをクリックすると表示される Microsoft のドキュメント「Sites」の Physical path の項目に説明があります。今は英語版しかないのですが、昔は日本語版のヘルプページがあって、以下の通り説明されていました。
"必要に応じて、[接続] をクリックして、物理パスに接続するための資格情報を指定することもできます。 資格情報を指定しない場合、Web サーバーはパススルー認証を使用します。 これは、コンテンツにはアプリケーション ユーザーの ID を使用してアクセスし、構成ファイルにはアプリケーション プールの ID を使用してアクセスすることを意味します。"
上の説明に関し注意点があるので以下に書いておきます。
注意 1
上の説明で「コンテンツにはアプリケーション ユーザーの ID を使用」とありますが、これは統合 Windows 認証の環境でパススルー認証によってユーザー認証が完了した場合で、匿名認証の場合は IUSR が使用されます。また、「コンテンツ」というのは静的コンテンツのみです。（動的コンテンツについては下の注意 3 参照）
注意 2
上の説明で言う「構成ファイル」とは web.config のことです。物理パス C:\inetpub\wwwroot には自動的にアプリケーションプール ID が適切なアクセス権を持つように設定されます。正確には、wwwroot フォルダに対して必要なアクセス権を持つ IIS_IUSRS グループが設定されます。そして、実行時にアプリケーションプール ID のアクセストークンに対して IIS_IUSRS メンバーシップが自動的に追加されるので web.config には問題なくアクセスできます。
ただし、物理パスが C:\inetpub\wwwroot 以外にある場合は要注意です。特に、物理パスが UNC にあって web.config も UNC にある場合がややこしいです。
注意 3
.aspx, .ascx などの動的コンテンツへのアクセス、.aspx.cs, .ascx.cs などコードビハインドのコードでのファイルや SQL Server へのアクセスは「アプリケーション プールの ID を使用」します。
この場合、記事「コンパイル済みアセンブリの保存場所」で書きましたように Temporary ASP.NET Files フォルダーにコンパイル済みアセンブリが置かれますので、アプリケーション プールの ID はそのフォルダに対しても適切なアクセス権を持つ必要があります。（自動的に設定されているはず）
なお、.aspx ページの中に外部スクリプトファイルや外部 CSS ファイルなど静的ファイルを取り込むための定義（例： <script src="/scripts/jquery.js" ...>）がされていて、.aspx ページがブラウザに読み込まれた後、ブラウザがそれらの静的ファイルをサーバーに要求した場合は、上で言う「コンテンツにはアプリケーション ユーザーの ID を使用」が当てはまりますので注意してください。ただし、HTTP ハンドラ経由で静的ファイルを取得する場合は話は別で、アプリケーションプールの ID を使用します。
さらに、上に紹介した Microsoft のドキュメント「Sites」の Application user (pass-through authentication) の項目に説明があります。これも昔は日本語版のヘルプページがあって、以下の通り説明されていました。
"このオプションは、パススルー認証を使用する場合に選択します。 このオプションを選択すると、物理パスへのアクセスに要求元のユーザーの資格情報が使用されます。"
"匿名要求については、匿名認証用に構成されている ID が物理パスへのアクセスに使用されます。 既定では、この ID は組み込みの IUSR アカウントです。"
"認証された要求の場合、物理パスへのアクセスに要求元のユーザーの認証済み資格情報のセットが使用されます。 このアプリケーションで使用されるアプリケーション プール ID は物理パスに対して読み取りアクセス権を持ち、認証されたユーザーが、物理パス上のコンテンツにアクセスできるようにします。"
という訳で、「接続」ダイアログのパス資格情報で [アプリケーション ユーザー (パススルー認証)] を選択するということは、
-
匿名アクセスの場合は IUSR（デフォルト。変更可能です。詳しくは「IUSR は変更可能」参照）
-
Winsows 認証の場合はログインしたユーザーの Windows アカウント
-
Forms 認証でユーザーがログイン済みの場合の場合アプリケーションプール ID（記事「ASP.NET の ID オブジェクト」参照）
の資格情報で「サイトの編集」ダイアログで [物理パス(P):] に設定したパスのコンテンツにアクセスすることになり、統合 Windows 認証を利用している場合は上に述べたパススルー認証のメカニズムによってユーザーの資格情報をドメインコントローラーから取得してコンテンツにアクセスすることになるはずです。
従って、通常は IIS のデフォルトの設定どおりパススルー認証としておけば、統合 Windows 認証に限らずほとんどのケースで問題なさそうです。
なお、「サイトの設定」ダイアログで [テスト設定(G):] をクリックすると、「テスト接続」ダイアログに [結果(R):] が 2 つ表示され、前者は OK ながら、後者の方に "パス (C:\xxx\yyy) へのアクセスを検証できません。" と表示されて問題ありそうな感じがしますが、それは気にしなくてよさそうです。
前者は ( ) 内に示す ID が有効かどうか、後者はパススルー認証で物理パスへのアクセス権があるかどうかの結果を表示しているようですが、IIS マネージャーが検証できないだけで、実際にアクセス権がないと言っているわけではなさそうですので。