Windows站点搭建总踩坑？5步权限配置法一次到位

　　去年四月份，我亲手把一个客户站点从阿里云轻量迁到某“全栈Windows云”——就为那句客服说的“IIS一键集成、ASP.NET Core原生支持、备案通道直连管局”。我原以为能省下半个月联调时间，结果在权限上卡了十七个钟头。

　　第一步，给IIS_IUSRS加读取权。不是加错，是加完刷新页面还是403。我点开属性面板再点三次“高级”，发现继承权限框居然被灰色锁着——不是禁用，是压根没勾。点了勾再确定，系统弹窗：“当前安全描述符格式无效”。我没截图，因为鼠标垫起边了，左手一碰就滑出去两厘米，重试五次才点中“确定”。

　　第二步，applicationPoolIdentity账户要读取web.config。我在“有效权限”里查它，显示“完全控制”；但打开文件时仍提示“拒绝访问”。这时孩子在旁边扒拉键盘，按出一堆Ctrl+Alt+Del，我顺手切回任务管理器，看到w3wp.exe进程属主居然是IUSR，不是applicationPoolIdentity。我愣了三秒。这玩意儿根本没按文档走。我重配应用池身份，重启服务，桌面右下角弹出小红叉：WAS服务启动失败。查事件查看器，日志编号1005，内容就一行：“无法加载配置节‘system.webServer’”。

　　第三步，数据库连接字符串里的用户名，得同时属于SQL Server的login和数据库user。我在SSMS里执行CREATE USER [IIS APPPOOL\\DefaultAppPool] FOR LOGIN [IIS APPPOOL\\DefaultAppPool]——报错：“主体在当前数据库中已存在”。我删掉重建，又报：“未找到服务器主体”。最后发现是SQL Server实例用的是混合模式，但Windows身份验证端口被防火墙默认拦了。我改注册表HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\Tcpip\\Parameters下的DisableIPSourceRouting，设为0，重启网卡——窗外正下雨，雨滴斜砸在玻璃上，像一串乱码。

文章配图，仅供参考

　　第五步，写入Log目录权限。ApplicationPoolIdentity要写日志，得给D:\\www\\logs加修改权。我加完测试，日志照常生成。可第二天凌晨2:17，站点突然500，错误页显示“未能打开日志文件”。我查磁盘空间，剩6.2GB；查文件句柄，没满；进目录看，发现log文件夹下面多出个叫“$RECYCLE.BIN”的隐藏文件夹——不是系统自建的，是前一天运维用远程桌面拖拽删除旧日志时，误把整个logs文件夹拖进了回收站，系统没清干净，残留了个符号链接。权限检查根本不会扫这玩意儿。桌上的外卖凉了，汤凝成一层膜，我拿筷子戳破，里面浮着半片没化开的紫菜。

　　中间工单提交了两次。第一次选“IIS权限异常”，填完点提交，跳转页显示“请稍候…（倒计时30秒）”，30秒后空白页。我F5，弹出“您的请求已被拒绝，请勿重复提交”。第二次我换浏览器，Chrome进不去控制台，Edge直接404，最后用IE11才发出去。标题写“紧急：站点无法启动，疑似权限叠加冲突”，正文抄了前三步操作和报错原文。客服回：“您好，建议参考知识库KB#7292-4（权限配置常见误区）”。我点开KB#7292-4，第一页写着：“本文适用于Windows Server 2012 R2及以上版本”，而我后台面板赫然印着“OS：Windows Server 2022 Datacenter”。我截图发过去，等了三天，回复是：“亲，已转技术二线”。再没下文。工单状态栏一直停在“处理中”。

　　早年买虚拟主机，一块钱一天那种，FTP传完就能跑。有个站长老张，域名后缀是.cc，备案被驳三次，第四次他干脆在首页嵌了个纯文本div：“此站未备案，依法暂停服务”，底下留邮箱。结果管局真给他过了——因为“主动公示，态度诚恳”。现在呢？备案按钮点下去，进度条走到80%卡住，弹窗说“需补充材料”，可材料清单是空的。我问客服，她答：“系统自动判定您域名解析未生效”。我甩过去dig结果和Cloudflare面板截图，她回：“麻烦截图带完整时间水印”。我没回。这哪是审核，这是过堂。

　　还有那个快照备份收费的事。他们控制台写着“每日自动快照”，详情页小字：“快照存储独立计费，首月赠送10GB，超出部分0.15元/GB/天”。我没注意。某天收到扣费通知：上月快照占了327GB。我查了，全是IIS日志压缩包——他们快照机制把C:\\inetpub\\logs\\LogFiles每小时打一次包，不清理，不提醒，不设上限。我打电话过去，坐席说：“先生，快照功能本身免费，存储空间另计。”我问：“那‘每日自动快照’这句话，到底算广告语，还是合同条款？”他顿了三秒，说：“我们正在优化文案表述。”

　　优胜劣汰？对。熬不住的自己换掉，忍得了的留下，最后剩下一批觉得“能跑就行”的人。就像当年那些用Access当后台的小站点，现在都死了，活着的早切MySQL或PostgreSQL。这圈子就这德性：不靠厂商良心，靠你摔够多少次跤，自己长出骨头来认路。我同事老陈上个月把三台Windows站全切成Linux+Kestrel，他说“至少chmod 755不会骗我”。我不置可否。但明年到期，这批资源我肯定不续。不换更好用的，就换更少坑的。实在不行——我自己搭Hyper-V集群，哪怕慢点，至少鼠标垫起边的时候，我知道那不是它的错。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!