Windows站点权限一键整合：全域生效

　　去年五月，凌晨三点十七分，IDC机房那台老式空调嗡嗡声突然拔高了半个调——不是坏了，是隔壁托管柜在换UPS，电容啸叫混进风道里，听着像有人拿指甲刮黑板。我正盯着IIS管理器里那个“Windows站点权限一键整合：全域生效”的勾选框，光标悬着，没点下去。

　　小杨在钉钉上连戳我三下，头像右下角弹出个“？？？”表情包，后面跟一句：“李工，备案初审过了，但蜘蛛昨天只扫了/robots.txt底下两层，你那儿配完了没？”他发完立刻撤回，估计是怕被运维总监看见。我没回。撤回这动作本身比问题还烦人。

　　我原以为这功能就是换个ACL继承方式，顶多把applicationHost.config里那堆全拉平了重写一遍。结果点下去之后，它真把C:\\inetpub\\wwwroot\\site1下面所有子目录的SDDL全刷了一遍，连web.config里手写的规则都绕开了——不是覆盖，是忽略。对，就是那种“我知道你写了，但我选择不认”的忽略。这个我敢打包票，因为第二天凌晨四点十八分，我翻着Event Viewer里4670日志，第十八秒停在一条Security-Auditing事件上，来源Application，ID 1102，没错，是权限变更日志自己打的戳，不是脚本伪造的。

　　工位左手边那份凉透的黄焖鸡米饭盒盖没盖严，汤渗出来半圈油渍，粘住了键盘F键右边那片塑料皮。我拿纸巾擦的时候蹭掉了三个字符：/api/v2/order/status。正好是我们订单状态接口的路径。这事儿跟权限整合没关系，但那天我就记住了那串字符被擦掉的样子。

　　优胜劣汰——我说的就是这个。不是指技术先进淘汰落后，是它自动把旧策略里那些“仅限内网”“白名单IP段+时间窗口”“需二次校验token”全干掉了，剩下唯一存活的是“Authenticated Users: RX”，然后往下透传到每个子站、每个虚拟目录、每个Handler映射。CDN回源请求一过来，IIS根本不看它带没带X-Forwarded-For，直接甩给Windows认证模块；结果呢？我们那套基于AD组的权限树，反而跑得比原来快，QPS毛刺少了，蜘蛛爬得深了，连带着百度收录量曲线第三天就往上翘了一截——但我没记具体数值，这个我说不准。

　　不过它有个毛病：当某个站点启用了URL重写模块，又恰好配置了自定义错误页重定向，比如403跳去/error/forbidden.aspx，而这个aspx文件自己设置了拒绝匿名访问……这时候权限整合会先砍掉底层文件系统权限，再让HTTP模块去处理跳转，结果你猜怎么着？跳转失败，直接500。我同事老陈前两天在群里贴截图，说“整合后首页打开慢了七秒”，其实是IIS卡在反复尝试访问那个被砍掉读权限的error页面上，循环十次才罢休。他后来把error页挪到了C:\\temp下面，改权限单独放行，这事才算过去。他发完截图后加了个捂脸哭的表情，没说话。

　　还有一次，监控又跳了一条报警，是W3SVC服务突然CPU冲到97%，持续十九秒。查下来发现是整合过程中顺手清空了AppPool的Identity缓存，导致所有新Worker进程启动时疯狂查AD域控——但我们没动域控，是它自己触发的。这事儿我到现在没搞懂为啥只在三台服务器上发生，另外五台稳如老狗。可能跟本地安全策略里的LSA Protection开关状态有关？也可能无关。反正那天晚上我吃了两顿外卖，第二份是泡面，调料包撒多了，咸得舌头疼。

　　对了，王总上周问过一句：“这个整合之后，咱们能不能把运维手册里那十二页权限矩阵图删了？”我没答。不是不敢答，是那图早就不准了——去年十月我们用Ansible做过一次手动权限补丁，把CMS后台上传目录设成了“Administrators+IIS_IUSRS+Backup Operators”，但整合脚本不管这个，它照常抹平。现在那张图夹在《灾备流程V3.2》附录第七页，纸边都卷起来了。没人敢撕，也没人敢改。

　　说实话，我现在每天早上第一件事不是看Zabbix大盘，是翻一眼D:\\Logs\\PermissionIntegrate\
un.log.last。里面有一行固定格式：“Completed for [站点名] —— total affected paths: 三百七十二”。数字每次都不一样，有时多两个，有时少一个，但“三百七十二”出现频率最高。我不知道它是按什么算法算出来的，也不打算查。反正它跑通了，蜘蛛也爬了，备案也过了，小杨没再戳我。

文章配图，仅供参考

　　今天下午三点，我要去3号机房做例行热备切换。如果到时候发现某台Web服务器权限整合后的ACL和实际执行结果对不上，我会把日志打包发给老陈，顺便问他要不要一起吃晚饭——他最近总点同一款酸辣粉，估计外卖地址已经存进他手机输入法了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!