Windows站点权限整合：一次配置，全域生效

发布时间：2026-11-03 11:26:06 所属栏目：Windows 来源：DaWei

导读：　　去年7月，我蹲在IDC机房第三排右数第七台机柜前面——就是那台贴着黄纸条写“别动SCCM策略”的Dell R740，风扇声像拖拉机过桥。刘工蹲旁边拧螺丝，搓了两下手指，油灰沾在指腹发亮；他递扳手时袖口磨脱了线，露出里面灰蓝的

　　去年7月，我蹲在IDC机房第三排右数第七台机柜前面——就是那台贴着黄纸条写“别动SCCM策略”的Dell R740，风扇声像拖拉机过桥。刘工蹲旁边拧螺丝，搓了两下手指，油灰沾在指腹发亮；他递扳手时袖口磨脱了线，露出里面灰蓝的秋衣边。我说要测域策略下发延迟，他“嗯”了一声就去接电话，电话里听见一句“……那个GPO里嵌套的WMI筛选器又没生效”，然后挂了，挂得特别快，像怕被录音。

　　我原以为只要把IIS应用池身份统一换进一个AD安全组，再把这组加进所有站点的NTFS权限模板里，就能一次配完、全域生效。结果前天查日志发现，财务系统那边还是报错，不是401，是500，错误代码0x80070005，Access is denied——但奇怪的是，Event Viewer里Security Log居然干净得像新装的系统，一条SACL没触发。我盯着那行红字看了十八秒，突然想起去年三月老张离职前改过一台服务器的Local Security Policy，把“Network access: Sharing and security model for local accounts”偷偷调回“Classic”。我没删他账号，也没动他改的GPO链接顺序，现在它卡在某个OU继承链第三层底下，半死不活吊着。这个我敢打包票。

　　桌上那盒凉透的酸辣粉还剩一半，汤凝成胶状，浮着几粒干花生。小陈推门进来问“能帮我看下Kerberos票据缓存时间吗”，我说“你等会儿”，他顺手把空咖啡杯搁在酸辣粉盒子旁边，杯底水渍在桌面画了个不规则圆。我没理他，继续敲PowerShell：Get-ADObject -Filter {Name -eq "WebApp-Site-Acl-Template"} -Properties | fl。输出里DistinguishedName路径长到换行两次，但ObjectSID最后四位和我们主域控不一样。我说不准是不是复制冲突导致，也可能只是LDIF导出时少了一个冒号——这种事，十年前我信誓旦旦说能定位，现在只敢说“先跑个repadmin /showrepl再说”。

　　上周五下午四点十七分，我把所有IIS站点的anonymousAuthentication用户全指向ApplicationPoolIdentity，手工去掉everyone，再给IIS_IUSRS只留读取和列表权限。做完之后没重启服务，也没跑Invoke-GPUpdate，就盯着浏览器F5。第一个站点起来，第二个也起来了，第三个加载到一半白屏——不是超时，是返回了纯HTML文本，Content-Type居然是text/plain。我骂了句脏话，李姐在隔壁隔间应了一声，转头扔来半包苏打饼干，包装袋哗啦响。后来发现是web.config里里那行X-Content-Type-Options: nosniff，和IIS默认MIME映射起了冲突。删掉它，好了。这事跟权限整合没关系，但它让我多看了三遍GPO编辑器里的“Internet Information Services (IIS) Manager Permissions”节点，看它是否真关掉了“Allow IIS Manager to use custom user accounts”。它关着。这点我记得清清楚楚。

　　优胜劣汰不是喊口号。我们有个老项目用.NET Framework 3.5跑ASPX页面，Windows身份验证开在站点级，Forms验证退到二级目录；去年迁移时，运维按文档把应用池提权到NetworkService，结果它连自己本地的SQL Server Express都连不上，报错提示找不到SQL Server实例——其实是它的启动账户根本没被加进SQL Server的sysadmin角色，而GPO里那条“Add network service to local Administrators group”被另一条更高优先级的GPO覆盖了，盖得特别干净，连Conflict字段都空着。这不是配置失败，是淘汰。你要是还在靠手动add-user-to-group糊弄生产环境，那你早该被淘汰了。可笑的是，他们到现在还在用那个带密码的本地账户部署Web Deploy包，每次改密码还得同步改MSDeploy服务的登录凭据。上个月我看到有人截图问我怎么解密web.config里的encryptedPassword，我回他：“别解，重装。”

　　昨天晨会，张总说“要统一管控”，说完看了我一眼。我没接话。散会后他叫住我，问“上次你说的那个GPO策略块，到底能不能锁死权限”。我没回答，伸手摸了下机柜侧板温度——烫手。刘工刚好路过，拎着螺丝刀从下面钻出来，T恤后背湿透一片。我忽然想到，去年7月那天其实没下雨，但我记得雨刷器在脑子里刮了三天。可能记混了，也可能当时窗外真下了，只是我没抬头。这个我说不准。

文章配图，仅供参考

　　我现在每天早上进办公室第一件事：扫一眼DC的replication latency报表——不是看数值，是看颜色。绿色不动，黄色我就开PowerShell输get-gpresult，红色？直接拎笔记本去机房，拔掉那台最近更新过Sysvol的DC网线，等它断连自动降级，再手动强制同步。我知道这不是正解，但比坐等GPO轮询快三分钟。你要是真想“一次配置，全域生效”，就先学会认哪些GPO节点底下埋着三个以上的$env:PROCESSOR_ARCHITECTURE条件脚本，再想想你写的那个ApplyPermission.ps1，它有没有在Server 2022 Datacenter Edition上试过用非Administrator权限执行——没有。所以我打算下周找个下午，让小陈把测试环境的域控升到2025预览版，装完就跑一遍Set-WebConfigurationProperty，看看IIS模块的inheritance标志位到底听不听GPO说话。或者，算了，先去热下那盒酸辣粉。

（编辑：我爱制作网_沈阳站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!