Windows站点权限配置：16年日志工程师实战避坑指南

　　去年六月那档子事儿，现在想起来还后怕。测试群消息弹得比心跳还快，窗外天都黑了，运维群里还在吵权限配置——说白了，就是Windows站点那堆NTFS权限和IIS应用池身份搞出幺蛾子。我原以为按文档改几个ACL就完事儿，结果上线那晚，日志系统直接卡成PPT，连404错误都刷不出来，更别说追踪用户访问链了。

　　那会儿刚接手新项目，设计甩过来个权限矩阵表，密密麻麻标着“Everyone-读取”“Users-修改”，我扫了一眼就扔给后端：“照这个配。”结果第二天测试报错——日志文件被锁死，服务进程占用率飙到90%。后端叼着烟说：“你给的权限太松了，IIS应用池身份是Network Service，结果日志目录连‘写入’都没给。”我拍桌子：“文档里没写要配特殊权限啊！”他翻了个白眼：“文档是死的，Windows是活的——你见过哪个站点敢让Network Service随便写系统目录？”

　　白板上的字还留着上会写的“Q3目标”，旁边不知谁画了只乌龟。测试群突然安静了半秒，接着炸出一串“@日志组 快来看看”“这错误堆栈看不懂”。我抓起鼠标点开事件查看器，满屏的“拒绝访问”红叉——原来IIS的匿名身份被设成了IUSR，而日志目录的权限只给了Application Pool Identity。设计在群里喊：“不是说用默认配置吗？”我回：“默认配置是给本地开发用的，生产环境谁这么干谁死！”

　　其实最坑的是权限继承。有个子目录的权限被手动改过，结果父目录的“替换所有子对象权限”没勾，导致新文件全继承了旧权限。后端蹲在机房角落打电话：“这权限像俄罗斯套娃，改完一层还有一层，我手都酸了。”外卖到了没人拿，放在工位上凉透了。我盯着屏幕上的“访问被拒绝”，突然想起三年前另一个项目——也是因为权限没配好，日志漏了半个月，最后被安全部追着骂了俩月。

　　后来怎么解决的？直接甩了脚本给后端：“用icacls批量改，别手动点。”又拉上设计开了个会：“以后权限表必须标清楚‘生产环境特殊配置’，否则别想过审。”设计叼着棒棒糖说：“早听你的不就好了？”我冷笑：“早听我的？你上次还说日志格式用JSON太麻烦，结果排查问题多花了三天。”

文章配图，仅供参考

　　其实我也栽过跟头。有回迁移站点，为了图快直接复制了整个目录，结果旧权限全带过来了——包括那个被手动改过的子目录权限。上线后用户报500错误，我查了半天才发现是日志文件被锁死，因为应用池身份没权限覆盖。那天加班到十点，测试群还在响，老板在群里问：“怎么还没解决？”我回：“在改权限。”他秒回：“权限不是五分钟就能改好吗？”我盯着屏幕上的“访问被拒绝”，突然不想解释了——有些坑，只有踩过才知道多深。

　　现在再配权限，我直接上三板斧：第一，IIS应用池身份必须用“Application Pool Identity”，别用Network Service或Local System；第二，日志目录权限只给“修改”和“写入”，别给“完全控制”；第三，用icacls脚本批量检查，别信手动配置。设计有时候会抗议：“这样太麻烦了。”我甩给他之前的错误截图：“麻烦总比出事强。”

　　测试群还在响，外卖小哥打电话来说“再不拿就凉了”。我关掉事件查看器，起身去拿外卖——权限配置这事儿，就跟抽烟似的，抽多了呛，不抽又难受。但至少现在，我知道哪几种烟最呛人，哪几种能凑合抽了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!