18年原生工程师亲授：Windows站点权限5步到位

　　凌晨三点的机房冷得像太平间，对讲机里运维老张的破锣嗓子突然炸响："三号柜UPS报警！"我手一抖，刚敲完的`icacls`命令行里多出个空格——得，这权限脚本又得重跑。上周刚给某银行Windows站点做权限迁移，客户非说"要像原生APP那样丝滑"，我原以为就是改改ACL，结果发现他们连NTFS和共享权限都没分开，活生生把IIS站点权限搞成俄罗斯套娃。

　　那帮搞Web的总说"权限管理很简单"，可他们见过凌晨五点泡面汤洒在键盘上的光景吗？我敢打包票，九成九的Windows站点权限问题都出在"继承"二字上。上周那项目，客户把整个D盘权限继承全开了，结果测试环境跑得好好的，一到生产环境就报403——你猜怎么着？运维小哥把`Everyone`组从父目录踢出去了，可子目录还勾着"继承"，权限树直接裂成八瓣。

　　第一步必须用`icacls /save`备份，别信什么"我们有版本控制"。去年给某电商平台做权限迁移，客户说"我们Git管着所有配置"，结果`icacls`导出的.txt文件比项目代码还大，Git直接拒推。最后还是用7-Zip分卷压缩，让运维小哥扛着移动硬盘去IDC机房传的——那哥们儿穿得比北极科考队还厚，在零下十八度的机房里插U盘，手抖得像帕金森。

　　说到继承，第二步必须用`icacls /reset`彻底清空。我原以为`/inheritance:r`就够了，结果在某政务系统上栽了跟头——他们居然在文件夹属性里手动勾了"替换所有子对象权限"，可`icacls`命令行里没显式写`/T`，导致子目录权限像打地鼠一样，改完这边冒那边。最后没办法，只能写个PowerShell脚本遍历所有子目录，用`Get-Acl`和`Set-Acl`硬怼，脚本跑完天都亮了，监控大屏上突然平掉的曲线倒是挺好看。

　　第三步给IIS应用池账户赋权限时，千万别用`IIS_IUSRS`。上个月给某游戏公司做权限，他们非说"官方文档让用这个组"，结果游戏服务器每隔两小时就崩溃——后来发现是`IIS_IUSRS`默认包含`NETWORK SERVICE`，而他们的反作弊模块把`NETWORK SERVICE`当黑客杀了。最后改成单独建个`GameServer_AppPool`用户，用`icacls "D:\GameServer" /grant "GameServer_AppPool:(OI)(CI)M"`，`(OI)(CI)`必须显式写，别偷懒用`/T`，血泪教训。

　　第四步最反常识：共享权限和NTFS权限必须分开设。去年给某物流公司做权限，他们把共享权限设成`Everyone:Full Control`，NTFS权限设成`Domain Users:Read`，结果客户端访问报"访问被拒绝"——因为Windows会取两者交集！最后只能把共享权限改成`Domain Users:Change`，NTFS权限保持`Read`，这才勉强跑通。那运维主管还嘴硬："微软文档没说不能这样设"，我直接把`net share`和`icacls`的输出甩他脸上，他才闭嘴。

文章配图，仅供参考

　　现在回头看，这五步能活下来，全靠优胜劣汰。那些信"一键脚本"的，早就被权限冲突搞崩溃了；那些用图形界面点点点的，根本搞不定复杂继承链；那些不备份权限的，现在还在用`takeown`和`cacls`抢救数据——可别学他们，我上周刚帮某医院抢救完被`cacls`搞坏的病历系统，那主任差点没把我手机打爆。

　　凌晨五点半，运维老张在对讲机里喊："UPS报警解除！"我盯着终端里刚跑完的`icacls /restore`命令，突然闻到泡面味——原来隔壁工位的测试小妹在吃红烧牛肉面，那香味混着机房的冷风，居然有点上头。算了，先不管权限了，这碗面再不吃就凉了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!