Windows站点权限整合：一次配置，全域生效

　　上线那晚，我蹲在机房门口啃冷包子，设计举着平板站我斜后方，说“这个按钮交互得呼吸感”，我咽下最后一口韭菜馅儿，回她：“你先让我把IIS的applicationHost.config里那堆删干净。”

　　白板上还留着上会写的字——“权限收敛：一次配置，全域生效”，字迹被空调吹歪了半边，底下画了个箭头指向“AD组策略”，旁边潦草补了句“别动本地users.xml”，估计是后端写的，他今早刚修完SQL Server的登录失败风暴，袖口还沾着咖啡渍。

文章配图，仅供参考

　　老板拎着保温杯路过，停了两秒，问：“这玩意儿真能一次配、全网用？”我没抬头，只点了下烟，“能。只要所有服务器都装了KB5012345（其实没装），都加了同一个OU（其实有四台还在旧OU里挂着），都没改过spn（其实有台改过，还改错了）……”他听完笑了，拍拍我肩走了，保温杯盖子没拧紧，一路滴水到电梯口。

　　测试群一直在响。凌晨两点零七分，有人截图发：“/site/a 401 /site/b 正常 /site/c 返回503”。我没回。因为我知道，c是去年迁过去的.NET Core站点，启用了InProcess Hosting Model，它根本不吃IIS的applicationPoolIdentity那一套，它吃的是Windows Service Account——而那个账号，上周被行政批量重置密码时顺手踢出了Domain Admins组。这事没人记，我也没记，只记得那天午休去楼下便利店买冰可乐，听见隔壁工位两个新人在聊《甄嬛传》，说“果郡王死得冤”，我插了一句“比他还冤的是你们新搭的AppPool身份验证链路”，说完自己都愣了。

　　其实最气的不是故障。是改了四版方案，每版都号称“最后这次铁定行”。第一版靠本地组同步AD组，垮在域信任中断五分钟；第二版用SCCM推GPO，垮在某台测试机手动关了Windows Firewall Service——防火墙关了，GPO还能拉？能。但它拉的是缓存里的旧策略，缓存里没这组权限；第三版改用PowerShell DSC，垮在DSC资源模块版本冲突，报错信息写着“Could not load file or assembly 'Microsoft.Web.Administration, Version=7.0.0.0'”，而服务器上装的是8.5.0.0。我查了仨小时源码，发现微软根本没公开7.0.0.0的NuGet包，纯属DSC模板写死的幻影版本。

　　窗外天黑了。不是傍晚那种带暖光的黑，是凌晨三点的黑，浓得像泼了墨汁，连对面写字楼的应急灯都懒得亮。我就在这时候突然想通了：所谓“一次配置，全域生效”，根本不是技术命题，是淘汰赛。谁的服务器没及时打补丁、谁的AD OU结构半年没清理、谁的IIS metabase还残留着IIS6时代的legacy属性……全都被这个“一次生效”当场点名、直接判负。它不挑毛病，它只筛选环境。优胜劣汰？不，是优者存活，劣者静默——静默到你巡检脚本都扫不出来，直到某天用户说“怎么点下载按钮没反应”，你扒日志才发现，那个文件夹的继承权限，在三年前某次半夜手动chown时被勾掉了“替换子容器权限”选项。

　　外卖到了没人拿，塑料袋在门边积了层灰。我抽完第二支，想起上个项目，2019年迁Exchange，也是这么干的：先把全局地址列表统一归到新的GlobalAddressList-AzureOnly，再一刀切停旧GAL。结果财务部三台老Outlook 2010客户端全连不上OAB，报错是“0x8004010F”，查三天，最后发现是其中一台DC的NetLogon服务启动类型被人改成“手动”了。当时后端拍桌子：“这不是基础设施问题吗？”——现在轮到我拍，拍完发现掌心全是灰。我原以为这次赢在标准化，结果赢在够狠：不兼容的机器，就让它掉队；不听话的组策略，就让它失效；不维护的账号，就让它变孤儿。没有过渡期，没有灰度——这哪是整合，这是清场。

　　对了，前天人事喊我去填离职访谈表，是去年离职的那个DBA留下的坑。他走之前偷偷给三套生产库写了同名同路径的SQL Agent Job，名字都叫“[Daily_Cleanup_V2]”，但执行逻辑分别是truncate tempdb、drop index、update statistics。没人敢动，怕删错。现在我把这活儿接了，准备下周找借口重建job。至于Windows站点权限？明天上午十点，我和后端约好重跑一遍全量AD组同步脚本。这次不改逻辑，只改两件事：一，在所有服务器上加一行注册表键，禁用IIS的ApplicationHost.config自动备份覆盖；二，把“DOMAIN\\Group-WebAdmins”这个名字，手动删掉最后那个‘s’，改成“DOMAIN\\Group-WebAdmin”，因为——没错，有个旧系统只认单数命名，而且它的web.config里硬编码了这个错误拼写。我昨天才发现。我漏的。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!