Windows站点权限整合：一次配置，全域生效

　　去年2月份，我蹲在IDC机柜前面，手电筒光柱抖得像心电图——不是因为冷，是李工刚把那台域控服务器的网线拔了又插回去，三遍。监控大屏左下角红灯一直在闪，不是告警，就是闪，闪得人想砸键盘。我原以为只是GPO策略推送慢，结果点开组策略结果集（RSoP）一看，www-03这台IIS服务器连“Authenticated Users”组的默认继承都断了，断得比我们食堂外卖盒底那层油还干净。

　　我说一次配置全域生效？嗯，站得住。但站得住的地方不是技术多优雅，是活下来的都改用这套了。没改的，要么还在凌晨三点手动给三百个虚拟目录挨个加“IUSR”权限，要么刚被勒索软件扫完——上个月老陈那套外贸站，NTFS权限全写死在site123目录下，连回收站都绕过ACL直接删，删完才想起自己十年前关掉了审核日志。这个我敢打包票：你查他服务器安全日志，最后一条记录是2019年11月的，之后全是空白。

文章配图，仅供参考

　　浏览器开着二十八个标签，十七个是PowerShell窗口，两个是ADSI Edit，剩下九个全是不同站点的web.config——其中三个tab标题还卡在“正在加载…”。窗外天黑得早，才下午四点半，灯还没亮，屏幕光打在脸上，照得我右眼一直跳。运维小王蹲在隔壁机架后面啃鸡腿，酱汁滴在HPE服务器导轨上，我没吱声。他递来半张纸，上面手写：“www-api和www-static共享同一个应用池账户，但前者ACL里有Domain Admins，后者没有”。就这一行，没标点，墨水有点洇。我盯着看了十一秒，突然笑出声——笑完才意识到自己根本没打算改。

　　所谓“全域”，其实就是指“所有跑在Windows Server上的、靠IIS或HTTP.sys暴露的、且不走反向代理前置鉴权的网站”。这句话太长，没人念。我们日常说的就是“那几个老站”。可实际落地时，“全域”崩得最狠的是那些挂着ASP.NET Framework 4.6.2却硬塞进.NET 6容器里的边缘服务——它们压根不读web.config里的，全靠Windows身份令牌往下传。传到哪？传到它自己都不认识的UNC路径上。所以去年2月那次整合，我们其实只动了十二台服务器的GPO模板，其余八十三台？等它们哪天自己挂掉，再统一迁进新OU——这叫优胜劣汰。不是方法论，是观察结果。

　　林姐端着保温杯进来的时候，水蒸气糊了半块玻璃。她问“测试环境ACL跑通没”，我说“跑了，www-test-07那个站点上传失败”。她皱眉。我补了句：“不是权限问题，是它web.config里写了，但前端JS偷偷把Base64图片塞进POST body里传——传了八兆，服务器连拒绝都懒得拒，直接500。而真正的权限错误，比如IIS_IUSRS对D:\\logs没写入权，反而返回200+空响应。”她听完拧开杯盖吹了三口气，热气散得特别慢。我没接话。这事和权限整合半毛钱关系都没有，但那天所有人都默认它是“整合副作用”之一。

　　还有一次，小张在域控上执行gpupdate /force后跑来问：“为什么www-qa的NTFS权限变回默认了？”我让他去dcdiag看复制状态，他打开的是eventvwr；我让他查repadmin /showrepl，他输成了repadmin /replsummary。最后发现是DNS缓存污染，指向了一台早就退役的RODC。这件事我说不准是网络还是AD架构问题，反正不是权限配置的问题。但我们当天下午三点全员停下手头事，在机房围着一台HP DL380默站了六分钟，直到监控屏闪停。没人说话。只有空调外机嗡嗡响，震得机柜面板上一枚松动的螺丝直晃悠。

　　我桌上那盒黄焖鸡凉透了，汤凝成浅褐色膜，底下浮着两粒花椒。我不爱吃花椒，但每次点单都忘了备注。这种细节跟权限整合没关系。但你知道吗，去年2月17号那天下午，我把GPO模板推上去后，顺手删了本地管理员组里的“Administrator”账户——纯手误。两小时后财务系统弹窗报错，说“无法访问\\\\file-srv\\fin\\2023_Q4”。查了四十分钟，才想起那个共享文件夹ACL里还明晃晃写着“BUILTIN\\Administrators:F”。我原以为只要没人在意，这事就不会爆出来；结果十分钟后林姐发微信：“Q4报表缺一张，谁动我权限了？”——这破事和全域生效没关系，纯粹是我手抖。

　　现在你问我下一步干啥？我把www-prod-12那台的AppPool Identity从“ApplicationPoolIdentity”改成“DOMAIN\\svc-iis-app”，然后再跑一遍icacls D:\\sites\\www-prod-12 /grant "DOMAIN\\svc-iis-app:(OI)(CI)RX"。别的先不动。这步做完，我要去看一眼监控大屏——它今天终于不闪了，换成蓝屏，右下角显示“Connection timeout to DC-SH”。啧，又来了。

（编辑：PHP编程网 - 金华站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!