Windows服务器站点搭建：权限配置一步到位

　　去年十月份，我蹲在三号机房角落那台Dell R730后面改IIS权限，右手边键盘上还粘着半块冷掉的葱油饼——是小张中午带的，他接完电话就撕开塑料袋啃，腮帮子一鼓一鼓，跟仓鼠似的。机房空调又抽风，嗡嗡声里混着UPS那阵间歇性“滴…滴…”，像有人在用指甲刮黑板。

　　我说“权限配置一步到位”，不是说真能点一下就全好。是说它自己会咬人——咬得越狠的配置，死得越快；留下来的，全是骨头硬的、路径短的、ACL链路没绕第三圈的。优胜劣汰？对，就是这个味儿。你刚给一个AppPoolIdentity加了Modify，它当场给你回个500.19，连错误代码都懒得报全；你手抖多勾了个“继承”，第二天早上发现日志文件被写爆，占满整个C盘，但居然没崩——就卡在那儿，像哮喘病人喘着气等你去摸它肋骨。

　　我原以为把ApplicationPoolIdentity设成本地管理员组就万事大吉。结果呢？ASP.NET Core站跑起来第一秒就吐出一行红字：“Could not load file or assembly 'System.Runtime'”。我盯着Event Viewer里那个Security日志编号4625看了十八秒，才反应过来——它根本不是权限不够，是权限太够了，连CLR加载器都懵了，转头去查HKLM\\SOFTWARE\\Microsoft\\.NETFramework\\v4.0.30319里的loadFromRemoteSources，可这台服务器压根没开远程加载……所以它其实是在找不存在的锁孔。这个我敢打包票。

　　王工非说要建个专用服务账户，密码必须每三十天换一次。我就按他说的做了：创建域用户、加进IIS_IUSRS、设为应用池标识、关掉UAC虚拟化、再手动跑一遍icacls把C:\\inetpub\\wwwroot\\siteA全目录逐级赋予Modify。结果部署脚本执行到第七步——就是那个Copy-Item -Recurse命令——直接挂了。报错是“Access is denied”，可明明刚用Get-Acl确认过权限全绿。后来才发现是NTFS权限里的“Special permissions”里漏掉了“Synchronize”——这玩意儿不显在常规界面里，只藏在高级权限对话框底下第二页，被一个灰掉的复选框盖着。你点它，它才亮；你不点，它就装死。这种细节没人教，全靠撞墙撞出来的包浆。

　　那天下午四点十七分，窗外开始下雨。雨不大，但玻璃上爬满了斜线水痕，把对面电信楼的LED屏糊成一片紫红光晕。我盯着屏幕右下角时间，突然想起昨天李姐在茶水间说她儿子奥数班老师退课了，因为学生家长集体投诉“解题步骤太多，浪费时间”。我差点笑出声——咱们干这行的，谁不是天天在给一台服务器讲三十七种解法，最后挑一个它肯听的？

　　有个事我说不准：为什么每次重置IIS之后，ApplicationHost.config里那段，maxAllowedContentLength总会悄悄从30000000变成3000000？不是改错了，是它自己倒退了一位。我试过六次，三次是重启后变的，两次是部署新站点时变的，还有一次……是小张路过时顺手碰了下鼠标——他右手食指沾着葱油饼渣，往左键上按了一下，紧接着config就刷地跳黄条。纯属巧合？可能吧。但我现在看见他靠近键盘，本能往后缩半米。

　　再说个失败案例：上上周，某银行二级分行非要上HTTPS双向认证。我们配完证书、绑定端口、开了clientCertificateMappingAuthentication，所有步骤文档齐备，还录了屏。结果测试环境一切正常，生产环境第一次外部请求就返回403.16。查了一整天，最后发现——他们的防火墙策略里有一条叫“阻断所有带ClientHello扩展的TLS握手”，理由栏写着：“防SSL漏洞探测”。他们把证书验证流程当成扫描器了。这种事儿，你说怎么教？你教它看证书链，它给你看RFC 5280；你教它看握手扩展，它问你“扩展在哪截？”——它连Wireshark都没装过。

文章配图，仅供参考

　　权限配置之所以能“一步到位”，不是因为它聪明，是它穷。Windows Server没那么多花活，它不会猜你要干嘛，也不打算哄你开心。你给它一条路，它走；你给它两条路，它卡住；你给它三条路还标着“推荐A”“建议B”“实验C”，它就干脆蓝屏给你看——不是崩溃，是沉默，连BSOD都不屑给你弹。所以我现在建站第一件事，不是开IIS，是先删掉C:\\inetpub\\wwwroot下所有自带示例目录。连default.htm都删。清空，然后只放一个web.config，里面就两行：。剩下的，全靠手动点，一行ACL一行ACL往上垒。累，但踏实。

　　下次我打算试试PowerShell里带-CimSession的那个新参数，据说能绕过某些IPC权限缓存陷阱。不过得等小张把那台R730的固件升完再说——他上午说“马上”，现在还没动静。我看一眼手机，微信对话框里他最后一条是：“师傅修完机柜灯了，正拧螺丝”。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!