Windows服务器站点搭建：权限配置零越权、零宕机

　　会议室空调在滴水，一滴、两滴、三滴，正落在我摊开的笔记本左下角，把“权限矩阵”四个字洇成淡蓝色的雾。他把简历在桌上转了半圈，停住，手指压着纸边——不是推过来，是压住，像怕它飞了。前台在走廊大声讲电话：“……对，302换锁芯，不是303！”消毒水味从门缝挤进来，跟三年前我第一次进这栋楼时一模一样。

　　我说：“去年六月份。”
他抬眼：“哪台？”
我答：“Web03。”
他没接，低头用笔帽戳简历右下角那块咖啡渍，戳了三下，才说：“你配的IIS应用池Identity，是LocalSystem？”
我愣了半秒——原以为他要问AD组策略继承顺序，结果他卡在那个最基础、最反常识、最该被筛掉的点上。我喉咙发干，说了实话：“不是，是ApplicationPoolIdentity。但……我们加了个自定义服务组，叫IIS_W3SVC_ReadOnly。”
他笔停了。抬头，眼神不锐利，只是很沉，像看着一块刚从锅炉里拎出来的铁板：“谁批准的？”

　　我原以为他会问审计日志留存周期，或者AppCmd导出脚本有没有做参数化校验。结果他盯着我，等“谁批准的”。我卡住——真没人批。是我和运维老张蹲在机房柜子后面，拿手机电筒照着《Windows Server 2019安全基线指南》第7.4.2条，他念，我敲，中间他咳了三声，我分心回了条钉钉，说“小王VPN证书过期了”。就那三秒走神，漏看了括号里的注释：“（禁止通过成员组方式授予SeServiceLogonRight）”。第二天凌晨两点上线，站点跑起来了，零宕机。零越权？直到三个月后内部红队复测，发现那个组里混进了SQL Agent Service账户的SID——人家根本不需要登录权限，只需要一个注册表路径读取权。我们多给了。不多，就一行ACL，但刚好够绕过AppPool沙箱边界。

　　他一直转笔。银色的Zippo打火机改装笔，没火石，转起来却特别顺。旁边那位戴黑框眼镜的候选人突然插话：“你们没上Credential Guard？”我扭头看他一眼——是上周二下午三点在隔壁工位蹭网速的那个，他电脑贴满便签，其中一张写着“别信DCOM权限说明”。我没理，只对着主面试官说：“上了。但Group Policy刷新延迟22分钟，我们当时配的是‘强制立即应用’。”
他点头，轻得像风吹动一页纸：“然后呢？”
“然后？”我笑了下，“然后我们改策略时用了Invoke-Command批量推送，忘了加-ThrottleLimit 1，十七台服务器全在抢DC同步，Kerberos TGT重放失败率瞬时拉到18%。有三台站点503了八秒——没人报警，监控阈值设的是60秒。”

文章配图，仅供参考

　　我原以为“零越权、零宕机”是个技术命题，是权限树怎么剪、是Health Check脚本能不能在IIS重启瞬间完成探活、是w3svc服务崩溃时是否触发Failover Cluster自动漂移。结果整个过程里，真正掐脖子的，是那个我临时改的问题：面试前五分钟，我把原计划问的“你如何验证NTFS与Share级权限叠加效果”，删了，换成“你上线前最后检查的三项是什么”。因为我刚看到HR发来消息，说前一位候选人吹了半小时“容器化平滑迁移方案”，但连AppCmd list apppool都敲错了两次。我手抖改了题，结果把自己也套进去了——我问别人“最后三项”，可我自己去年六月上线Web03前，只做了两项：进程内存占用比对、HTTP响应头X-Powered-By是否已抹除。第三项？忘了。忘了看本地管理员组里有没有域用户残留。直到第七天，安全部扫出一个域账号还在本地Administrators里躺着，只因为当初给ITSupport组授权远程桌面时，顺手加了这个嵌套组。

　　走廊消毒水味忽然变浓，有人推着保洁车经过，轮子卡在门槛缝里，反复颠了三次。我想到上个月离谱的前同事老赵，他在新东家搞“零信任架构落地”，把所有IIS站点静态文件夹全设成Authenticated Users只读，结果前端资源加载全401——因为公司统一用ADFS单点登录，会话Cookie路径没配对，IE兼容模式下Token根本不带过去。他硬扛三天没报障，第四天自己写了段PowerShell自动往每个目录ACL里塞Everyone——还美其名曰“灰度兜底策略”。我问他图啥，他说：“总不能让PM看白屏啊。”
我点点头，没说话。现在想起来，他那个Everybody都能读的ACL，比我们那个漏掉的SQL Agent SID，更接近真实世界的生存逻辑。

　　冷气又滴了一滴。这次落在“零宕机”三个字上。我盯着那摊蓝，忽然觉得这题根本不在服务器上，在人身上——不是你多懂SDDL语法，是你敢不敢把本地管理员组清空、敢不敢删掉那个叫“Legacy_IIS_Support”的万能组、敢不敢让监控告警声音调大到隔壁会议室都听得见。优胜劣汰不是筛掉配错SID的人，是筛掉那些在凌晨两点听见告警铃响、第一反应是调低音量、而不是去查Event ID 5156的人。老张上个月裸辞了，走之前把Web03的RDP历史连接记录全清了，只留一条：2023-06-17 01:59:03，IP 10.21.15.88，用户名：Admin_Zhang。没密码，没备注，也没人问。

　　他终于把笔放下，笔尖朝下，稳稳立在咖啡渍边缘。我没看他，目光落在窗外。楼下快递员正把一箱未拆封的HPE ProLiant DL380堆在台阶上，纸箱印着褪色的“Win2012R2测试专供”。我数了数，七箱。应该够再撑半年吧。他没再问。我也没补。空调继续滴水，滴，滴，滴。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!