Windows站点权限配置：12年网关工程师的零越权、零宕机实践

　　去年寒假那会儿，运维组小王蹲在机房地上拆快递，我凑过去看，他正拆一个标着“企业级权限管理”的盒子——结果里面是个塑料文件夹，印着Windows Server 2019的LOGO。当时外头在下雨，空调出风口嗡嗡响，他抬头说：“这破玩意儿能管住权限？我看悬。”我原以为他只是吐槽，结果后来真被这玩意儿坑得够呛。

　　我们当时在给某政务平台做网关迁移，甲方要求“零越权、零宕机”，我拍着胸脯说“没问题”——毕竟十二年网关经验，权限配置这点破事儿还能搞不定？结果第一天就翻车：新网关对接Windows站点时，IIS的NTFS权限和IIS管理器里的权限设置打架了。具体来说，某个目录的NTFS权限给了“读取”，但IIS的“应用程序池标识”账户没加进来，结果用户访问直接403。更离谱的是，这错误是间歇性的——有时候能访问，有时候不能，我盯着日志看了半天，发现是文件系统缓存导致的权限检查延迟。小王在旁边啃煎饼果子，说：“这不就是Windows权限的经典坑吗？NTFS和IIS各管各的，跟俩部门打架似的。”

　　后来我们用了个笨办法：把所有需要访问的目录，先在NTFS里给“IUSR”和“IIS_IUSRS”加完全控制，再在IIS里逐个收紧。这招虽然粗暴，但确实管用——至少测试环境里没再报403。但甲方安全组不干了，说“完全控制太危险，必须按最小权限原则”。我原以为他们只是说说，结果真拿了个Excel表格，列了三百多个目录，每个目录要精确到“只读”或“读写”。小王看着表格，说：“这得配到猴年马月？”我咬着牙说：“配吧，总比宕机强。”

　　那天晚上十一点，机房里就剩我和小王。他戴着耳机听摇滚，我盯着屏幕改权限。突然，他摘了耳机说：“你听，这空调声像不像Windows权限检查的提示音？”我抬头看了他一眼，没说话——其实我也听见了，那声音像极了权限验证失败时的“叮咚”声。改到一半，甲方突然打电话，说某个子站点访问不了。我查了半天，发现是某个.dll文件的权限没配对——NTFS里给了“读取”，但IIS的“匿名身份验证”账户没加进来。小王在旁边冷笑：“看吧，我说什么来着？Windows权限就是‘配了不一定行，不配一定不行’。”

文章配图，仅供参考

　　但最让我后怕的，是权限配置的“隐性依赖”。有次我们改了个目录的权限，结果导致另一个完全不相关的子站点崩溃——因为那个子站点的某个脚本，偷偷调用了这个目录的文件。这种“牵一发而动全身”的情况，在Linux上很少见，但在Windows上太常见了。小王说：“这就是Windows的‘特色’——权限不是按服务隔离的，是按文件系统隔离的。”我点头：“所以，零越权的前提，是得先搞清楚所有依赖关系。”

　　现在回想起来，那十二年网关经验里，最管用的不是什么高深技术，而是“优胜劣汰”——把那些容易出问题的配置方式，直接淘汰掉。比如，我们后来再也不用IIS的“匿名身份验证”了，改用“Windows身份验证”，虽然配置复杂点，但至少权限可控。再比如，我们再也不用NTFS的“继承权限”了，所有目录的权限都手动配置，虽然麻烦，但至少不会因为父目录权限变更而翻车。

　　上周和小王吃饭，他说：“现在新来的运维，连NTFS和IIS权限的区别都搞不清。”我笑了笑：“十二年前我也搞不清，后来被坑多了，自然就懂了。”他夹了口菜，说：“所以，零越权、零宕机的秘诀，就是‘被坑够’？”我点头：“差不多吧——不过，最好是被别人的坑，而不是自己的。”

　　现在甲方又提了新要求：支持动态权限调整。我翻了翻文档，发现Windows的“授权管理器”和“角色定义”能实现，但配置起来比IIS权限还复杂。小王在旁边说：“这活儿，怕是要干到过年。”我叹了口气：“干吧，总比被甲方骂强。”

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!