Windows站点权限整合：一次配置，全域生效

　　V2EX上刚刷到那个帖子，标题写着“Windows站点权限整合：一次配置，全域生效”，我盯着看了三秒，手指悬在键盘上方没敲下去——不是不想回，是怕一开口就露馅儿。昨天下午四点十七分，机房空调又跳了，冷风忽大忽小，嗡嗡声混着UPS低频震颤，像有人拿指甲刮白板。我盯着域控服务器那台Dell R740的IDRAC网页界面，加载条卡在87%，而王磊蹲在机柜底下拽网线，手肘压扁了半盒冷掉的黄焖鸡米饭盒盖。

　　这事得从九月第三周说起。不是整月，是第三周。我们改权限模型那天，窗外正下那种黏糊糊的雨，雨滴砸在机房北窗上不滑落，而是糊成一片灰蒙蒙的膜。林工把域策略更新脚本丢进GPO编辑器，点了“强制更新”，然后转头问张敏：“你那边IIS站点权限刷下来没？”张敏没抬头，左手拇指在触控板上划了三下，右手端起杯子抿了一口已经凉透的美式，杯底磕在桌面，嗒、嗒、嗒，三声。我原以为GPO下发后五分钟内所有IIS站点会统一走新ACL链，结果……我说不准。有两台Win Server 2019跑的是IIS 10.0.17763，其中一台挂了个自签名证书绑定，它硬是拒绝继承父级SACL，非要用本地Security Descriptor Editor手动补。这个我敢打包票，我亲手用dsacls查过三次，都一样——它认AD组，但不理组策略里塞进去的Audit Entry。

　　对，Audit Entry。他们宣传页上写的“全域审计可追溯”，结果呢？Audit Policy本身在OU层级被覆盖过两次。第一次是运维在去年十二月给SQL集群单独开了Object Access Audit；第二次是今年六月财务系统上线，他们悄悄启用了SACL inheritance bypass，理由是“避免日志刷爆”。没人通知我们测试侧。直到九月十号凌晨两点十八分，日志归档脚本突然报错，提示Event ID 4662日志体积超限，我才发现，这玩意儿早就在部分节点上断了一年零九个月。断得悄无声息，就像办公室饮水机滤芯该换了也不换，水还是能接，只是味道有点发涩——没人尝出来，因为没人专门去喝。

　　还有个细节：GPO刷新时，IIS管理器控制台右下角状态栏会弹出一行浅灰色小字：“App Pool identities re-evaluated”。这行字只闪现不到一秒钟，但必须等它出现，才算真的开始继承。我们测了七次，前六次都靠肉眼盯——直到第五次，林工在刷新前顺手按了Alt+Tab切回微信，结果那行字跳出来的时候他正盯着一个撤回的红包消息，错过了。后来我们写了个PowerShell轮询脚本来捕获那行字，但脚本本身触发了AppInit_DLLs机制异常，在其中一台带AVG杀毒的测试机上直接让w3wp进程崩了两次。AVG那个绿色小盾牌图标，当时在任务栏右下角一闪一闪的，像在嘲笑什么。

　　说到这儿其实该收了，但我得提一句李响。就是总穿深灰夹克、袖口磨出毛边那位。他在九月十二号上午十点二十三分，在测试环境执行了一次无警告的DCPromo还原（临时把DC降级再重升），理由是“想看看权限链断裂后的自愈延迟”。我没拦，因为他说完就把U盘插进了KVM切片器，动作很熟。U盘贴纸写着“2024 Q3 灾备演练”，但标签纸边缘翘了起来，露出底下另一层蓝色标签残迹，像是“2023 Q2 测试失败备份”。这事跟权限整合没关系，但它发生了，我就记住了。

文章配图，仅供参考

　　所以“一次配置，全域生效”到底站不站得住？我看是站得住的——不是靠设计，是靠淘汰。那些没法被策略覆盖的节点，要么自己崩掉，要么被运维半夜手动加进排除列表，要么……就像那台挂自签名证书的IIS一样，被标记为“Legacy Non-Compliant”，扔进一个叫“NoPolicyEnforce_XX”的专用OU里，再没人动它。优胜劣汰嘛。适者生存，不适者……就不在报表里出现了。这逻辑我熟悉，十三年前我第一份UI自动化脚本跑在IE6上，也是这么被干掉的：不是它错了，是它活得太久，没人记得要维护了。

　　我现在在改测试用例编号。不是重写，是把所有带“GPO_INHERITANCE_VERIFIED”的case全改成“GPO_INHERITANCE_OBSERVED_AT_LEAST_ONCE”。词太满，得泄气。另外，下周一我要去机房把那台R740的风扇滤网拆了——不是因为故障，是因为每次路过它旁边，我闻到一股微焦味，像主板电容在缓慢释放最后一点寿命。这个味道和权限整合没任何关系，但最近它总在我写test plan的时候钻进来。我准备换个工位，或者……至少换个耳机耳塞。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!