Windows站点搭建总踩坑？5步权限配置法

　　一三年那会儿，我跟老陈在西二旗租的隔断间里搭第一个Windows站点，他叼着烟调试IIS，风扇嗡嗡响得像台拖拉机——那扇朝北的窗缝漏风，冬天键盘上结霜，夏天屏幕泛油光。我记得清清楚楚，他敲完`icacls "D:\\site" /grant "IIS_IUSRS":(OI)(CI)RX`就拍大腿：“成了！”结果第二天用户上传头像直接403。我们俩蹲在显示器前盯了四小时，最后发现是ASP.NET临时文件夹权限没单独给，`C:\\Windows\\Microsoft.NET\\Framework64\\v4.0.30319\\Temporary ASP.NET Files`——这个路径我背得比自己身份证还熟，可就是忘了它不随网站根目录自动继承。我原以为设了父目录权限就够了，结果连Session都崩，用户登录后秒退。那天老陈把半截烟按灭在泡面桶里，说“你这步错得挺艺术”。

　　一七年换云主机，我带着小马和阿哲搞批量部署。小马用PowerShell写了个脚本，自动加用户、开端口、设应用池身份，三分钟起一个站。阿哲当时总嫌我手慢，非让我用他那个带GUI的权限向导工具，点六次下一步，自动勾选“包括子容器和对象”。我没拦，觉得省事。结果上线第三天监控报警，数据库连接池耗尽。查日志发现`NETWORK SERVICE`账户被莫名其妙加进了`IIS_IUSRS`组，又因为组策略同步延迟，某台机器上它的Token里混进了域控里的旧SID……权限爆炸式叠加，连`web.config`读取都触发两次ACL遍历。我删掉那一行冗余赋权的时候手抖，小马在旁边啃煎饼果子，酱汁滴在键盘F键上。后来才明白：自动化不是少动脑子，是得把所有可能的权限交叠路径全画出来——而我只画了主线。

　　去年4月份，客户急要个内网审批系统，Win2022+IIS10+NET6，我照例列5步权限清单发群里。王工（就是当年在中关村卖盗版XP光盘、现在搞零信任网关那位）回了个截图：Azure AD Connect同步下来的组，名字叫“SiteAdmins-Web”，但实际权限落在`NT AUTHORITY\\IUSR`这个内置账户上。我盯着看了两分钟，突然笑出声——这玩意儿连文档里都没提过。我原以为Windows权限模型二十年没大变，结果2022年起，IIS默认启用Application Pool Identity隔离模式后，`IUSR`早不是过去那个哑巴账户，它能主动向AD发起令牌请求。可我还在用一三年那套“给IIS_IUSRS加RX”思维去套。错了。这步真错了。去年那单最后重配了三次，第二次还误删了组策略里的DFS-R读取权限，导致配置文件不同步。王工没骂我，只甩来一句：“你管这叫‘5步’？我数了数，光ADFS证书链信任链校验就得走七层。”

　　优胜劣汰嘛。不是谁扛得住折腾就赢，是那些在风扇噪音里多听半秒的人，在PowerShell报错后多翻一行日志的人，在客户催得跳脚时还肯关掉远程桌面去看一眼`secpol.msc`里“拒绝从网络访问此计算机”列表的人——活下来了。老陈早不做站了，改做二手服务器回收，上周还在朋友圈晒拆下来的希捷ST3000DM001，盘片刮花了一道，他说“比人脑好修”。小马前年跳去深圳搞边缘计算，有次视频见他桌上摆着块树莓派4B，接线乱得像蜘蛛网，问他在弄啥，说“跑IIS？早不跑了，连Linux kernel我都懒得编译”。只有我还卡在这儿，每年重学一遍Windows ACL，不是因为喜欢，是甲方服务器柜子锁在他们机房，密码不给我，重启要填纸质工单，还得等他们行政签字。

文章配图，仅供参考

　　其实吧，一七年之后，很多坑早不是技术问题。比如备案——一三年我们还能拿朋友身份证扫个二维码搞定，一七年开始要人脸核验+运营商二次实名，二二年连阿里云后台都弹窗警告：“该主体已关联3个历史注销站，请确认是否真实运营”。去年4月那个项目，光等ICP号批复就拖了11天，我每天刷新工信部网站，刷到页面缓存里都是验证码的残影。倒不是技术多难，是规则在变脸。今天有效的方法，半年后可能连菜单项都藏进三级嵌套里。前两天试Win11 Server预览版，IIS管理器右键菜单里多了个“Apply Permission Template”，点开全是英文模板名，其中一个是“GDPR-Compliant Anonymous Access (Limited)”，我鼠标悬停三秒，没敢点。

　　桌上这台戴尔显示器牌子真记不清了，外壳黄得发棕，左下角有道指甲盖大的划痕，好像是某次争执时老陈摔笔蹭的。风扇不响了，换静音机箱，可我现在反而听不到错误——全是日志，全是告警邮件，全是钉钉红点。五步法？写的时候总觉得少了点什么。去年4月那次，我最终补了第六步：让客户IT把他们域控的GPO备份发我一份。他们发来了，78MB的.zip，我解压后看见217个.xml文件，每个命名都带时间戳和变更人缩写。我没打开。压缩包还躺在D盘Downloads文件夹里，图标蒙着灰。现在这套我也拿不准还能干几年。

（编辑：均轻资讯网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!