Windows站点搭建总踩坑？5步权限配置法一次到位

文章配图，仅供参考

　　我原以为删掉那个鬼权限组就完事了。结果呢？ApplicationPoolIdentity账户连C:\\inetpub\\wwwroot\\logs目录都写不进日志——不是没权限，是根本找不到这个路径。查了三分钟才发现：有人半年前重装过服务器，但没动旧的符号链接，D:\\websites\\logs被ln -s到C:\\inetpub\\wwwroot\\logs，而NTFS权限只打了D盘根，C盘那层全是继承中断。我说不准是谁干的，但我知道那天保洁阿姨推着拖把经过时，特意绕开了我们身后那块地板——底下电缆桥架刚泡过水，滋滋响了整整两小时。

　　五步权限配置法？呵，优胜劣汰这个词我没乱用。上周五下午，我亲眼看着两个新人对同一台Win2019服务器配权限：一个照着文档勾选“完全控制”全打钩，另一个在“高级安全设置”里把“替换子容器及对象的所有者”打了钩却忘了勾“替换所有子对象的权限项”。结果前者能跑，后者报错Event ID 1309，但页面返回500，不是401。我敢打包票，他点那个复选框的时候手指抖了一下，因为旁边工位的小李接了个电话，喊了句“妈！我这儿不忙”，顺手把桌上那盒没吃完的麻辣香锅推过来，汤汁溅到了他的鼠标垫边缘。

　　第一步，永远先看IIS Manager里那个应用池标识名——不是看文字，是看右边小字写的“已启动”，然后去计算机管理→本地用户和组→用户里翻，找那个带$结尾的随机字符账户。第二步，进网站物理路径属性→安全→编辑→添加→高级→立即查找→选中ApplicationPoolIdentity，再逐条点开它左边那个小三角……可慢点，别急，先确认它有没有“读取和执行”权限，再点进去看“特殊权限”，这里必须看到“列出文件夹内容”和“读取”两个权限的继承箭头都是实心的，不是虚线——去年七月有个项目，就因为其中一个箭头是虚线，结果ASPX编译缓存死活进不去临时ASP.NET文件夹。第三步才是加IIS_IUSRS，但只给“读取”和“列出文件夹内容”，绝不多给。第四步得开Windows资源监视器，盯着磁盘活动那一栏，等你加完权限后重启应用池，看哪个进程突然占满IO——十次有八次是w3wp.exe在疯狂重刷web.config哈希校验，因为它发现父目录ACL变了，但它自己还没同步完元数据。第五步……第五步根本不是加权限，是去事件查看器里过滤Security日志，搜4670事件，看哪条记录里SubjectUserName是IUSR，ObjectPath含.config或.aspx，AccessMask是0x120089——这个值我背得比自己生日还熟，它代表“读取属性+读取扩展属性+遍历文件夹/运行文件”，少了任何一条，页面都卡在白屏半秒才出来。

　　那天晚饭吃的是楼下沙县，我撕开一次性筷子时，听见隔壁组老陈在跟客户语音：“您放心，SSL卸载我们肯定走硬件，不走软件……”我咬断了筷尖。其实他知道的，Nginx做TLS卸载后转发HTTP到后端IIS，如果后端IIS没配置X-Forwarded-Proto头检查逻辑，整个HTTP Strict Transport Security就形同虚设。但他没说。我也就没提。饭盒底下压着一张A4纸，上面画了三个同心圆，最里面标着“applicationHost.config”，中间是“web.config”，最外圈写着“machine.config”，圆环之间全是斜向箭头，有些被红笔划掉，有些用蓝笔标着“仅继承不覆盖”。旁边还有一行小字：“别信默认值”。

　　现在我改用PowerShell脚本自动校验这五步——但脚本第一行总要sleep三秒，因为WMI服务起来慢，尤其凌晨机器负载低的时候。前两天我把它改成后台作业提交，结果在某台服务器上发现Get-Acl直接返回空对象，查了半天才想起，那个服务器管理员把“Windows Management Instrumentation”服务设成了手动启动模式。我就站在那里笑了足足十八秒，手里捏着半截冰啤酒瓶，瓶身全是水珠，顺着指缝往下淌。窗外还在下雨，这次是从南边窗户漏进来的，滴滴答答，落在地板接缝里那块翘起的PVC地胶上，声音有点像老式继电器吸合。

　　下一步？明早八点我去机房，重新挂载D盘的备份快照，顺便看看那台Web服务器的System Volume Information文件夹底下，到底有没有残存的USN日志碎片。要是真有，我就得问问当初谁把Volume Shadow Copy Service关了——但我不打算真问，问了也白问，他们现在都在做DevOps流程图，没人记得清三个月前哪天关的服务。算了，先修权限吧，修完再说。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!