Использовать безопасность NTFS в IIS для данного пользователя

У меня есть веб-сайт, который пытается получить документы из папки, доступной только для определенных групп/пользователей AD. Учитывая, что пользователь прошел проверку подлинности с помощью проверки подлинности Windows, я хочу попытаться проверить, есть ли у него доступ к определенному местоположению, и при необходимости отображать/скрывать документы. У меня сложилось впечатление, что при использовании проверки подлинности Windows и олицетворения ASP.NET будут использоваться учетные данные текущего пользователя при выполнении запроса, а не учетные данные пула приложений, но это, похоже, не так, потому что я администратор, способный открывая папки с ограниченным доступом в проводнике Windows, но я не могу прочитать их из своего приложения.

Есть ли способ использовать учетные данные текущего запрашивающего пользователя для доступа к файлам в локальной файловой системе?

В моем web.config:

<appSettings>
    <add key = "documentFolder" value = "C:\Users\auser\source\repos\myapp\myapp\docs\folder1,C:\Users\auser\source\repos\myapp\myapp\docs\folder2,C:\Users\auser\source\repos\myapp\myapp\docs\secured" />
    <add key = "securityFolder" value = "C:\Users\auser\source\repos\myapp\myapp\docs\secured"/>
</appSettings>
<system.web>
  <authentication mode = "Windows" />
  <identity impersonate = "true"/>
  <authorization>
    <deny users = "?" />
  </authorization>
</system.web>

Я пытаюсь получить доступ к файлам в двух местах. Во-первых, я их индексирую (пока это запускается из Application_Start):

var dirs = ConfigurationManager.AppSettings["documentFolder"].ToString().Split(',');

foreach (var dir in dirs)
{
    foreach (var file in Directory.GetFiles(dir, "*.pdf", SearchOption.TopDirectoryOnly))
    {
        try
        {
            FileStream fs = new FileStream(file, FileMode.Open, FileAccess.Read); // <-- Fails with "Access to the path 'C:\Users\auser\source\repos\myapp\myapp\docs\secured' is denied."
        }
        catch (Exception ex)
        {
            logger.Error("Failed to read file.", ex);
        }
    }
}

Позже я пытаюсь проверить, есть ли у пользователя доступ:

protected void Button1_Click(object sender, EventArgs e)
{
    bool canSeeSecurityDocuments;
    try
    {
        System.Security.AccessControl.DirectorySecurity ds = Directory.GetAccessControl(ConfigurationManager.AppSettings["securityFolder"].ToString()); <-- Fails with "Attempted to perform an unauthorized operation."
        canSeeSecurityDocuments = true;
    }
    catch (Exception ex)
    {
        canSeeSecurityDocuments = false;
    }
}

Из промона:

Desired Access: Read Attributes, Read Control

Disposition: Open

Options: Open Reparse Point

Attributes: n/a

ShareMode: Read, Write, Delete

AllocationSize: n/a

Impersonating: mydomain\myuserid <- redacted, but correct.

Основываясь на исследованиях интегрированных и классических конвейеров, я переместил вызов GetFiles в другое место и завернул его в WindowsImpersonationContext, чтобы посмотреть, не приведет ли это к олицетворению, чего не произошло. (от этот ТАК ответ):

var current = System.Security.Principal.WindowsIdentity.GetCurrent();
logger.Debug(current.Name); <-- This is my identity

WindowsIdentity clientId = (WindowsIdentity)User.Identity;

using (WindowsImpersonationContext wic = clientId.Impersonate())
{
    current = System.Security.Principal.WindowsIdentity.GetCurrent();
    logger.Debug(current.Name); <-- This is still my identity

    // call to GetFiles, as above. Still fails.
}

current = System.Security.Principal.WindowsIdentity.GetCurrent();
logger.Debug(current.Name); <-- still me. Nothing seems to change.