Windows服务器站点权限配置：零越权、零宕机

　　三个月前那破事儿我现在想起来还牙痒——运维群里突然跳了条报警，Windows服务器上某个站点权限崩了，IIS日志里全是403，QPS直接掉到地板上。我原以为又是哪个二愣子改ACL的时候手滑，结果一查监控，好家伙，是权限组配置被自动覆盖了，覆盖源是那台新上线的CDN节点同步脚本。那脚本谁写的？测试组的老王，他上个月刚从Linux组调过来，Windows权限模型压根没摸透，还在用Linux那套“chmod 777”的野路子。

　　当时我在工位上啃着外卖，监控大屏的红光晃得我眼睛疼。群里@我的消息一条接一条，老王发了个“捂脸哭”的表情包，说“我以为Windows也能像Linux那样递归改权限”。我直接把键盘敲得啪啪响：“递归改权限？你知道Windows的DACL和SACL是分开存储的吗？你知道继承权限和显式权限冲突时系统会优先用哪个吗？你知道NTFS权限和共享权限是‘与’关系吗？”他回了个“...”，我都能想象他盯着屏幕发呆的样子。

　　后来我们花了十八小时排查，发现问题的根子在“优胜劣汰”——那台CDN节点用的是旧版同步工具，而生产环境已经升级到新版本，新版本默认启用了“权限继承强制同步”，旧版没这功能。结果就是，新节点同步权限时，把站点根目录的显式权限覆盖成了继承权限，而继承权限里恰好没给IIS_IUSRS组写权限。更绝的是，这破事儿在测试环境没复现，因为测试环境的站点目录结构简单，生产环境有三十多层子目录，权限继承链复杂得像蜘蛛网。

　　那天晚上我盯着代码看了三小时，突然想起上个月安全组刚发过通知，说“所有服务器必须启用‘零越权’策略，权限配置必须精确到文件级”。我当时还吐槽这要求太变态，现在看来，这他妈就是救命稻草——如果没这策略，老王那个脚本可能连403都不会报，直接静默失败，等蜘蛛爬到404页面才发现收录量暴跌，那时候黄花菜都凉了。

　　第二天我拉着老王和安全组的小李开了个会，小李是那种能把“最小权限原则”讲成相声的人。他说：“Windows权限配置就像搭乐高，每个块都得放对位置，少一块多一块都会塌。”我补了句：“而且这乐高还不能用502粘，得用系统自带的卡扣，不然同步工具一扫，全散架。”老王在旁边记笔记，笔尖都快把纸戳破了。

　　会后我们做了三件事：第一，把所有CDN节点的同步工具升级到最新版，强制启用“权限继承检查”；第二，在IIS配置里加了条规则，所有站点的应用程序池标识必须用“网络服务”账户，杜绝用自定义账户导致的权限混乱；第三，给运维组写了份《Windows权限配置避坑指南》，第一条就是“别用递归改权限，除非你想体验什么叫‘权限雪崩’”。

　　现在三个月过去了，那台服务器再没报过权限相关的警报，QPS稳得像老狗，蜘蛛爬得比以前还勤快。我偶尔还会去监控里瞅一眼，看到“零越权、零宕机”的标签，心里就踏实。老王现在见了我都绕着走，估计是怕我又拉他开“权限配置复盘会”——不过上个月他升职了，带了个新人，听说那新人第一天就被他按着脑袋学Windows权限模型，学得比当年我教他Linux还狠。

　　对了，昨天机房空调坏了，噪音大得像拖拉机，我在工位上改配置的时候差点把键盘摔了。后来发现是风扇轴承卡了，运维小哥拿螺丝刀敲了两下就好了——这破事儿跟权限配置没关系，但我就是想吐槽一句：Windows服务器有时候比人还娇贵，权限配错了要宕机，空调坏了也要宕机，真不知道是谁在伺候谁。

　　现在回头看，那场破事儿其实是个好事——它让我们彻底抛弃了“大概齐”的权限配置思路，转而用“精确打击”的方式管理每个站点的权限。我敢打包票，这种“优胜劣汰”的配置策略，至少能让我们在未来两年内少踩九成的权限坑。至于那剩下的一成？呵呵，Windows的权限模型那么复杂，谁敢说能完全避开所有坑？不过至少现在，我们知道该怎么填坑了。

文章配图，仅供参考

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!