Windows站点权限一体化配置：一次设定，全域生效

　　跟人吵架那天，机房空调坏了，吹出来一股子铁锈味。李工在隔壁柜子拍了三下，没反应，就掏出手机查“HP DL380 G7 风扇报警代码”——他查的时候我正把Windows站点权限一体化配置那套策略推到AD域里，结果三台IIS服务器全弹出401.2，连本地环回都过不去。我原以为是组策略刷新延迟，结果抓包一看，不是GPO没落下去，是SPN注册直接崩在Kerberos预认证环节。这个我敢打包票，抓包窗口还开着，Wireshark左下角时间戳停在十七点四十二分零八秒。

　　王磊端着保温杯进来倒水，水壶嘴歪了，滴了两滴在控制台键盘F5键上。他问我“是不是又动了krbtgt密码”，我说没动，他就“哦”了一声，转身去修那个响了三天的UPS蜂鸣器。修到一半接了个电话，说他闺女数学考了八十九，语气还挺高兴。挂了电话回来，我正好把那个被遗忘的Service Principal Name重新用setspn -S加回去，三台服务器几乎同步吐出200响应——不是轮询，是真同步，连日志里时间戳差都不超三百七十二毫秒。优胜劣汰？对，就是字面意思：该死的活不下来，该活的，一个字儿都不用再配。

　　但你说这东西好用吗……我不说准。上周五下午我们改了全局站点绑定，六个子站，两个HTTPS，四个HTTP，全是不同主机头，全走同一个APPPOOL。我点了“应用”，等了十八秒，看到所有绑定状态变绿，就撤了。结果第二天运维打电话说某个旧接口报错，查了半天发现是那个绑定了通配符DNS记录的测试站，它把某条路由给劫持了，而它的ApplicationHost.config里根本没写那段。我翻它C:\\Windows\\System32\\inetsrv\\config\\applicationHost.config，光标往下滑，手抖，划过了两屏，又滚回去找，第三次才看见那行被注释掉的location标签。它就在那儿，静静躺着，像一坨刚凝固的咖啡渣，旁边是半块啃过的韭菜盒子——是我早上没吃完扔桌上的，现在边儿有点发硬。

　　张主任来巡检，看我盯着屏幕不说话，伸手摸了下机箱侧面：“嘿，这儿烫得厉害。”我没吭声。他手指刚缩回去，自己口袋里的钥匙串就哗啦响了一声。我忽然想起昨天那个失败案例：某银行分行非要拿这套方案做双活站点切流，我们按文档开好域级GPO，权限模板全导入，ADFS也做了信任声明，结果用户第一次单点登录时，身份断言里的groups属性莫名丢了三十七个OU路径——不是全部丢，是随机丢，每次丢的还不一样。后来他们自己回滚了，换回原来那一堆web.config硬编码，说“稳定”。我懒得争，反正他们备份脚本还在跑，备份脚本调用的是PowerShell 5.1，调用前还要先检查$PSVersionTable.PSVersion.Major是不是等于五，否则报错退出。这事我说不准，真说不准。到底是谁的Token Signing Cert链漏了一环？我不知道。

文章配图，仅供参考

　　对了，那天窗外一直在下雨，雨刮器频率特别怪，不是快慢交替，是忽快、停顿、再快、再停顿，像谁在用指甲敲玻璃。我数了七次，第七次停顿时，监控告警弹窗闪出来，不是权限问题，是磁盘IO队列长度超了二百一十六。我就顺手点了清空。其实不该清，但当时桌上那盒酸辣粉汤已经凉透，浮着一层油皮，我拿筷子拨了一下，没拨开。

　　有个细节你们肯定没试过：如果你把站点权限一体化配置后，在任意一台前端节点执行gpupdate /force /target:computer，再马上用Get-WebConfigurationProperty -Filter “system.webServer/security/authentication/windowsAuthentication” -Name “enabled” -PSPath “IIS:/” ，你会发现返回值全是True，但其中一台服务器在applicationHost.config里写的其实是False——它缓存了上次读取的元数据快照，而这个快照来自GAC里一个叫Microsoft.Web.Administration.dll的版本，v7.9.0.0，你卸载它，IIS管理器就打不开，重装又自动恢复。我查过源码，它不是bug，是设计如此：快照生成时读的是内存映射文件，而内存映射文件的内容，是由另一个没人记得起的后台线程，从C:\\Windows\\System32\\inetsrv\\config\
edirection.config里扒出来的。它根本不看GPO。这个事儿，我没告诉李工，也没告诉张主任。他们俩现在还在讨论要不要上Windows Server 2025预览版。

　　所以啊，别问“一次设定，全域生效”靠不靠谱。它靠，但它只靠对的人、对的时间、对的那一块内存页。其它时候？你自己看着办吧。我明天下午三点要去拆一个运行了九年的SharePoint 2013元数据服务，那个库的主键索引名里藏着两个中文字符，SQL Server居然认得，但我导出schema的时候，SSMS直接崩了三次。嗯，先喝口凉酸辣粉汤再说。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!