Windows服务器站点搭建：权限配置一步到位

文章配图，仅供参考

　　空调在滴水，一滴、两滴，落在白板下面那摊水渍里。投影仪对焦不准，PPT第12页的权限树全糊成灰团，小王踮脚去调镜头，椅子少一把，他踩着翻过来的塑料凳，后颈青筋绷着。桌上那摞打印的需求单没人收，最上面一张被汤汁洇开一道浅黄——谁的外卖洒了，大概没擦，就那么摊着。

　　我说站得住，不是因为它多聪明，是它活下来了。优胜劣汰。去年春晚上线那版，没埋点，没灰度，没漏斗，直接全量推。第二天早会，运维喊“403炸了”，测试说“连目录都进不去”，开发蹲在工位上敲了六小时icacls命令，最后用PowerShell脚本硬把IIS_IUSRS组的Modify权限补进每个子目录——补了17级，补漏23个隐藏文件夹，补完发现其中5个压根没被任何页面引用过。

　　我原以为他们会拉个专项复盘，结果复盘会上老李直接问：“那个‘一步到位’的‘一步’，到底指哪一步？”没人答。小陈掏手机翻Git记录，翻到一半手指停住，抬头说：“……好像根本没提过‘哪一步’。”PRD写的是“配置一步到位”，不是“执行一步到位”。白板笔没水了，我拿蓝笔划掉“配置”，改成“落实”，但没人看那块白板。

　　小陈后来偷偷改了部署清单，在install.ps1末尾加了三条set-acl语句，只跑一次，强制生效。上线第三天，客服后台跳出11条“无法上传头像”的反馈，查日志发现是appdata路径的继承权限被他那三条指令意外清掉了。我们删掉第二条，加回继承开关，再等三天，又收到8条“导出Excel失败”，因为temp目录被设了只读。他们最后把整个D:\\Sites\\MyApp\\ 递归设成Everyone-FullControl——不是最佳实践，是投降式配置。你去翻今年Q2的线上审计报告，它还在那儿，标着“待优化（高风险）”，括号里那行小字我手写的：“已知，且暂无动它的勇气。”

　　我上周重读PRD第7页，发现有个词被涂改过：“一步到位”原本写的是“一键到位”，墨迹还洇着，底下露出半个“键”字。是谁改的？老张说他没改，小陈说他只动过脚本。大概那个数吧，记不清是哪个版本了。

　　反正去年春晚这事之后，我们组新增一个检查项：所有涉及NTFS权限的PRD描述，必须标注“影响范围含子目录/含继承/含特殊ACL项（如CREATOR OWNER）”。写不全的，打回。可上周新来的实习生交的稿子，写的是“用户访问即授权”，后面跟了个分号，没下文。我让他补，他回邮件说：“我以为分号就是断句。”我没回。会议室椅子还是少一把。

　　老板在拍脑袋的时候总喜欢举例子：“你看Linux那边chmod 755不就完事了？”我说Linux没有ACL继承链、没有UAC虚拟化、没有ApplicationPoolIdentity这种动态SID，他说：“那你告诉我Windows怎么简化？”我没说。我能说的只有：去年春晚那次，我们靠补丁活着；今年春节前的预演环境，我亲眼看见小陈在三台服务器上手动运行同一段脚本，运行完挨个chkntfs确认，中间停了两次去帮产品同事调PPT字体——他的笔记本贴着投影幕布放，屏幕反光晃得人眼疼。

　　自己那份没人看的文档。我把“权限配置一步到位”的实际操作路径、所有绕过GUI的PowerShell命令、每次踩坑对应的错误代码，整理成《NTFS权限落地核对表》，共38项，带截图和时间戳。发过三次企业微信，@所有人，最后一次是凌晨两点零七分。没人回复。后来我发现小陈电脑桌面有个同名Excel，但最后一列写着“v3.2-仅本地用-勿同步”。

　　所以这次我不打算写PRD了。等下个需求来，我准备直接把表格打印出来，塞进每个开发的键盘垫下面。反正他们总会换垫子。白板笔还是没水，我试了三次按压，咔咔响，不出墨。老张的保温杯盖子拧得特别紧，他每次开会都要拧三圈才敢松手。小陈刚发来一条消息：“临时加个需求，要能支持非域环境下的匿名访问权限回滚——今天下班前给思路。”我回：“把上次春晚的脚本倒着跑一遍，别忘了清缓存。”他秒回：“……缓存是哪层的？”

　　我该重写核对表了。加一栏：“是否依赖域控服务”，打钩项现在得标红色。还有，补一条：遇到401.2而不是403，优先检查IIS中“Windows身份验证”模块是否启用——不是配置问题，是模块根本没装。这点我们当初漏写了，因为评审那天，所有人都默认它存在。投影仪那会儿终于对准了，画面清晰得吓人，连PPT里一个标点符号的锯齿都看得见。可没人再看屏幕。外卖汤渍干了，留下淡褐色印子，像地图上一块谁也认不出的地名。

　　下回再碰权限的事，我打算先问清楚：这个“一步”，到底是指部署前、部署中，还是部署后重启IIS的那一秒？问完再说别的。至于核对表——先钉在公告栏最左边，旁边贴张便利贴，写：“请撕下带走。撕不完的，我下周重印。”

（编辑：草根网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!