Windows站点搭建总踩坑？5步权限配置法

　　去年6月，我蹲在IDC机房第三排靠窗那台DELL R730旁边改IIS应用池标识——空调漏水滴到右肩胛骨上，冰得人一激灵。运维老张叼着半截烟，手指在键盘上敲出“NT SERVICE\\W3SVC”时忽然顿住，转头问我：“你确定要用这个账户？”我没接话，手还在敲回车。结果站点首页弹出500.19，错误代码0x80070005。我敢打包票，那个红色十六进制码我闭眼都能写出来：八零零七零零零五。

　　但真不是权限没给够。是给太满，满到IIS自己都懵了。我们照文档把IUSR、IIS_IUSRS、NETWORK SERVICE全加进网站目录的Security选项卡，ACL打勾打到手酸——结果index.html一放进去，直接401.2。李工端着保温杯路过，掀开服务器机箱盖散热，热风扑过来那一秒我闻见烤面包片味儿，他手机响了，接起来就一句：“嗯…SQL连接串再验下SSL加密模式。” 挂了电话继续拧螺丝。我盯着屏幕左下角那个小小的“已启用父级继承”，心里发毛。

　　我原以为只要把应用池身份换成自定义域账户，再把这账户加进IIS_IUSRS组就完事。结果部署完发现Web.config里的根本不生效——请求超时还是三十秒。后来扒进程发现，是那账户被顺手加进了本地Administrators组，导致IIS偷偷降级用了LocalSystem上下文去跑HTTP模块。所以执行超时配置根本没加载。这个我说不准具体哪行日志暴露的，但Event Viewer里Application日志第4297号事件反复刷了十七次，全是“Failed to load module ‘aspnetcore’”。对，十七次，不多不少。

　　桌上还剩半盒冷掉的黄焖鸡米饭，塑料盖掀开了，酱汁结了一层膜。王姐推门进来递U盘，袖口蹭到我鼠标线，屏幕一闪，任务管理器跳出来——w3wp.exe进程用户列显示的是“IIS APPPOOL\\DefaultAppPool”，可底下句柄列表里赫然躺着五个\\\\.\\pipe\\iisipm_开头的命名管道，Owner全是SYSTEM。她低头系鞋带时头发扫过我的显示器边框，我顺手把进程树收了，又点开NTFS权限对话框，删掉那个“替换子容器及对象的所有者”前面的勾。窗外开始下雨，雨点砸在机房百叶窗上像敲鼓，节奏乱，但持续。

文章配图，仅供参考

　　所以那5步真不是玄学：①关父级继承（手动砍），②只给IIS_IUSRS读取+遍历+列出文件夹内容，③应用池身份设为ApplicationPoolIdentity（别动！），④静态资源目录额外加IUSR读取，⑤Log目录单独给应用池账户修改权限。就这么五步，优胜劣汰——撑不过前三步的配置当场死透，活下来的能跑三个月不掉链子。上个月隔壁组用PowerShell一键授权脚本，跑完连favicon.ico都403，他们截图问我为啥图标路径里多了个“%20”空格编码——其实是因为脚本自动把“C:\\inetpub\\wwwroot\\my app”里的空格当分隔符拆了。这事儿我懒得解释，就回了个表情包：一只熊猫在烧路由器。

　　说到路由器，昨天网络组换新防火墙，策略同步延迟四十二秒。我改完web.config后等响应等了快两分钟，页面才缓缓吐出那行“Hello World”。期间运维小陈进来倒水，看见我屏幕黑着，顺手按了下主机箱侧边那个红色紧急复位键——机器没重启，风扇转速却飙高了三档，噪音突然大得像钻孔。他耸耸肩走了。我也没动，就听着那嗡嗡声，看Task Manager里CPU从12%慢慢爬到18%，再回落。这时候才发现回收站图标右下角有个小红点，点开全是昨天删的旧备份文件夹，没清。删完清回收站时弹窗说“某些项目正在使用”，点了忽略，桌面右下角通知栏却跳出一行灰字：“OneDrive 正在同步 3 个文件”。

　　其实最邪门的是昨天调试WebSocket连接失败，抓包看到Upgrade头字段被截断了。最后发现是ARR反向代理服务器上那个“Enable SSL Offloading”开关开着，而实际前端是HTTP明文，导致IIS重写模块把原始Connection: Upgrade头误判成非安全请求，静默丢弃。查日志时翻到一条写着“HTTP.sys rejected the upgrade request”的警告，时间戳精确到毫秒：十八秒整。但我在想，如果当时没听见隔壁机柜空调压缩机停机那一声“咔”，说不定就跳过这条日志了。它太轻，轻得像打喷嚏。

　　我现在手边还有两台没配完的Windows Server 2022，一台是测试环境，一台是准生产。测试那台已经配完了，但我不敢上线——今天下午三点，客户那边要连AD域验证接口，我得先看着他们用LDAP工具连一次。要是连不上，我就得把步骤五再走一遍，但这次Log目录权限得改成“修改+写入”，不能光“修改”。至于准生产的那台……我打算先泡杯茶，等雨停。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!