Windows站点搭建权限配置五步法

文章配图，仅供参考

　　“Windows站点搭建权限配置五步法”，这词儿是去年端午在客户现场听他们运维总监讲的，白板上用马克笔画了五个带箭头的方框，每个框底下压着一行手写体：“1. 建独立应用池 → 2. 设ApplicationPoolIdentity → 3. 解除IIS_IUSRS默认继承 → 4. 手动赋予App_Data+Config读写+Log目录写 → 5. 禁用匿名身份模拟”。我原以为是又一套PPT玄学，结果回去拿测试环境试了三天，第四天凌晨三点二十一分，我用这五步重配了六个老旧站点，其中四个再没掉过进程。这个我敢打包票。

　　优胜劣汰——不是说它多先进，是它天然淘汰人。比如第三步“解除IIS_IUSRS默认继承”，你得手动点开目录属性→安全→高级→取消勾选“从父项继承”，然后删掉列表里所有带IIS_IUSRS字样的条目；但凡漏删一个，或者顺手点了“复制”而不是“移除”，后面第四步手动赋权就全乱套。上周我们组新来的实习生照着文档走完五步，重启服务后报错0x80070005，查了四小时，最后发现是第二步他没改应用池标识，还卡在DefaultAppPool，结果第五步禁用匿名模拟时，整个池子连web.config都读不进来了。这事儿我说不准，但我知道：能严格执行五步的，基本不会犯低级权限错误；执行不完的，十有八九已经在给漏洞背锅。

　　对面工位老周换拖鞋了，灰蓝格子，跟上礼拜不一样。他前天调休申请被驳回，理由是“端午节后连续值班已超合规线”，行政系统弹窗提示音特别刺耳，“嘀”一声，没人理，就他自己伸手按了静音键。我盯着他新拖鞋的鞋带打了个死结，忽然想起前年做的那个医保云迁移，也是权限卡死，最后是DBA老张直接把C:\\inetpub\\wwwroot\\app\\config\\web.config的ACL权限删了三层，手动重建，才让.NET Framework 4.7.2吐出真实错误码——结果呢？是web.config里有个硬写了用户名密码，而那个账号早在半年前就被AD策略锁死了。这种事儿，五步法救不了，但它至少逼你先看一眼impersonate有没有开。

　　第四步写得最啰嗦，非得拆三遍：先右键App_Data文件夹→属性→安全→编辑→添加→输入“IIS APPPOOL\\YourPoolName”→点检查名称→等它变成蓝色→点确定；然后回到同一窗口，在用户列表里找到它，勾选“修改”“读取和执行”“列出文件夹内容”“读取”“写入”五项；接着点“高级”，点“禁用继承”，选“将继承的权限转换为对此对象的显式权限”，再点确定。每一步都得看状态栏变绿，只要中间某次点太快，对话框闪一下就关了，你就得从第一步重来。后端小陈昨天试到第七遍，咖啡洒在工牌上，褐色渍从“张三”两个字边缘漫开，像一张微型地图。我没拦他，因为第八遍他终于成功了——而且第二天自己改了三处ACL逻辑，把Log目录单独拎出来做了日志轮转专用账户。

　　反常识的是：第五步“禁用匿名身份模拟”，不是加安全，是减混乱。你只要一勾那个复选框，IIS立马放弃对所有静态资源做身份验证缓存，全扔给NTFS层扛。有些项目跑得好好的，就是因为一直开着模拟，全靠运气撞对了进程身份和磁盘权限的耦合点；一旦换服务器、升补丁、换域控策略，啪，就崩。去年端午那天，客户现场崩的就是这个——他们五步只走了四步，卡在第五步不敢动，怕影响单点登录。结果我强行勾上，等了十八秒，服务起来第一件事就是报错，但错误码清清楚楚写着“0x80070005 - 拒绝访问”，定位到log目录下那个叫w3svc123的子文件夹，进去一看，Owner居然是SYSTEM，而应用池账户连读都没读到权限。修完重启，三百七十二条告警五分钟内归零。这结论我信。

　　手机响了一声没接，锁屏上显示是行政部，应该是问下周排班的事。我忘了回。值班表贴在茶水间第三块玻璃上，上周那张被人用便利贴盖住了三分之一，露出底下“林工：6.1–6.3（待确认）”几个字。我其实想问能不能把6.2换成6.4，但算了。这五步法现在要推到DevOps流水线里做自动校验，我在PowerShell脚本里加了个check_iis_acl.ps1，刚跑通本地环境，还没敢放生产。你要是遇到ApplicationPoolIdentity在域环境下解析失败——别问我，我也不知道为啥，反正我们上月碰到两次，一次重启WAS服务好了，一次重装了Windows Identity Foundation。信不信由你。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!