IIS 5.0 工作时需要的最小 NTFS 权限

本文的发布号曾为 CHS271071
症状
本文列出 IIS 5.0 Web 站点所需的最小 NTFS 访问权限。安装 IIS 时，它应该已经具备默认 Web 站点和默认 FTP 站点的相应 NTFS 访问权限。许多不同的文件夹需要正确的 NTFS 权限。如果任何权限设置不正确，可能导致以下一个或多个错误：

在 Web 浏览器中：

You are not authorized to view this page
You do not have permission to view this directory or page using the credentials you supplied.

HTTP 401.3 - Access denied by ACL on resource Internet Information Services
-或者-

在 Web 浏览器中：

Server Application Error
The server has encountered an error while loading an application during the processing of your request.Please refer to the event log for more detailed information.Please contact the server administrator for assistance.
在系统日志中：

Event Type: Warning
Event Source: W3SVC
Event Category: None
Event ID: 36
Date: 3/5/2001
Time: 9:59:40 AM
User: N/A
Computer: MACHINE-NAME
Description:
The server failed to load application '/LM/W3SVC/5/Root'.The error was 'General access denied error'.
For additional information specific to this message please visit the Microsoft Online Support site located at:

Event Type: Error
Event Source: DCOM
Event Category: None
Event ID: 10001
Date: 3/5/2001
Time: 9:59:40 AM
User: NT AUTHORITY\SYSTEM
Computer: MACHINE-NAME
Description:
Unable to start a DCOM Server:{99169CB1-A707-11D0-989D-00C04FD919C1} as ./IWAM_MACHINE-NAME.The error:"Access is denied." Happened while starting this command:C:\WINNT\System32\dllhost.exe /Processid:{3D14228D-FBE1-11D0-995D-00C04FD919C1}
-or-

In the Web browser:

Error:Access is denied.
在系统日志中：

Event Type: Warning
Event Source: W3SVC
Event Category: None
Event ID: 30
Date: 3/5/2001
Time: 10:01:13 AM
User: N/A
Computer: MACHINE-NAME
Description:
The server was unable to read the file C:\WINNT\help\iisHelp\common\401-3.htm.The file does not exist.For additional information specific to this message please visit the Microsoft Online Support site located at:
原因
NTFS 权限的默认设置已被更改，IIS 5.0 没有正常运行所需的足够权限。
解决方案
备注：本文中的步骤用于限制权限，执行这些步骤之后，只有管理员能够在 IIS 5.0 计算机上安装或运行软件。按照本文的说明重置权限之后，您需要通过"Internet 服务管理器"对每个 Web 站点执行"检查服务器扩展"任务。执行此任务的目的是使 FrontPage 客户端能够使用 HTTP 协议进行连接。

使用 Windows 资源管理器，按下列步骤操作：
将整个硬盘驱动器重置为以下权限：
SYSTEM - 完全控制
ADMINISTRATORS -完全控制


为此，请单击高级，然后选择重置所有子对象上的权限并启用继承权限的传播。

备注：尝试向 Pagefile.sys 文件应用权限时，将出现错误信息。出现此信息以及类似的任何错误信息时，单击继续。


为此，请单击打开 Program Files\Common Files 文件夹的属性。添加 Everyone 组，然后选择读取和执行、列出文件夹内容和读取。
为此，请单击打开 Inetpub\Wwwroot 文件夹的属性。添加 Everyone 组，然后选择读取和执行、列出文件夹内容和读取。
为此，请单击在 Winnt\System32 文件夹下，选中 Inetsrv、Certsrv （如果存在）和 Com 之外的其他所有文件夹。
为此，请单击在 Winnt 文件夹下，选中以下文件夹之外的其他所有文件夹：Assembly（如果有）、Downloaded Program Files、Help、IIS Temporary Compressed Files、Microsoft.NET（如果有）、Offline Web Pages、System32、Tasks、Temp 和 Web。
为此，请单击打开 Winnt 文件夹的属性。添加 Everyone 组，然后选择读取和执行、列出文件夹内容和读取。
为此，请单击打开 Winnt\Temp 文件夹的属性，选择 Everyone 组（该组应该已经存在，它从 Winnt 文件夹继承而来），然后单击选中修改复选框。备注：只有在使用 Microsoft ASP.NET 时，才需要执行下列步骤。请仔细检查这些步骤，确保它们不会破坏服务器的安全性。


为此，请单击配置 ASPNET 帐户：
打开 %systemdrive%（通常为 C:\）并添加 ASPNET 帐户。
确保只选中列出文件夹内容。
单击高级，选择 ASPNET 帐户（它被列为 aspnet_wp 帐户 MACHINE\ASPNET），然后单击查看/编辑。
在应用到下拉列表中，选择仅此文件夹，然后单击清除允许列下的所有复选框，但不清除列出文件夹 / 读取数据。如果高级部分列出了 ASPNET 帐户的两个条目，则删除其中一个条目。
备注：只有在 IIS 服务器上安装了 Microsoft Firewall Client 时，才需要执行下列步骤。


为此，请单击打开 Program Files\Microsoft Firewall Client 文件夹的属性。添加 Everyone 组，然后选择读取和执行、列出文件夹内容和读取。
更多信息
虽然每个系统管理员可以根据各自的需求设置权限，但最好使用 Everyone 组，而不要只使用 IUSR_MACHINE 帐户。实际上，如果只为 IUSR_MACHINE 帐户添加权限，ASP 和 ASP.NET 将无法运行。如果使用 Everyone 组，当 Web 站点对匿名用户和经过身份验证的用户都有高、中或低的保护级别设置时，ASP 能够正常运行。

另外，如果只需要匿名访问，管理员可以创建 InternetGuests 本地组，然后将 IUSR_MACHINE、IWAM_MACHINE 和 ASPNET 添加到该组，将 Everyone 组替换为 InternetGuests 组。不过，Everyone 组包括 Users 组（对于经过身份验证的 Web 用户）、IUSR_MACHINE 帐户（对于匿名 HTM 访问）、IWAM_MACHINE 帐户（对于匿名 ASP 功能）以及 ASPNET（对于 ASP.NET 功能）。

IIS 5.0 使用两个单独的帐户执行 Web 页。使用匿名身份验证时，IIS 使用 IUSR_MACHINE 帐户查看 Web 页。不过，IWAM_MACHINE 用于启动一个单独的进程，该进程称为 Dllhost.exe，所有 Active Server Pages (ASP)、组件对象模型 (COM) 组件或其他 ISAPI 扩展（ASP 被视为 ISAPI 扩展）都在该进程内运行。这样做的目的主要是保持稳定。如果从 ASP 页调用的自定义 COM 组件崩溃（也即，导致访问冲突，从而致使进程停止），它不会影响到 Inetinfo.exe，因此 Web 服务将继续运行。

IIS 4.0 中的两个保护级别如下：
默认：IIS 4.0 在进程内（也即 Inetinfo.exe 进程内）运行所有应用程序，该进程由 SYSTEM 帐户启动。查看 Web 页时，为 Web 页提供服务的特定线程在 IUSR_MACHINE 帐户的上下文中运行。HTM、ASP 和其他任何 ISAPI 扩展都在 Inetinfo.exe 进程内运行。
在单独的内存空间运行（独立进程）：这也称为进程外。它使用 IWAM_MACHINE 帐户生成单独的 Mtx.exe 进程，用于运行 ASP 和其他 ISAPI 扩展。
IIS 5.0 中的三个保护级别如下：
低（IIS 进程）：该设置与 IIS 4.0 下的默认设置类似。所有 Web 页，不论是 HTM 还是 ASP，都在 Inetinfo.exe 进程内运行。
中等（池）：这是默认设置。与 IIS 4.0 相同，该设置启动称为 Dllhost.exe 的单独进程，所有 ASP 和 COM 组件都在该进程内运行。该进程由 IWAM_MACHINE 帐户启动，这也与 IIS 4.0 相同。另外，该设置也称为池，因为在 IIS 中运行的所有 Web 站点都在执行 ASP 页时共享这一个 Dllhost.exe 进程。请注意，Windows 2000 用 Dllhost.exe 替换 Mtx.exe。
高（独立）：该设置为每个 Web 站点或应用程序启动专用 Dllhost.exe 进程。如果有 5 个 Web 站点，每个站点的保护级别都设为"高"，总共将有六个 Dllhost.exe 进程：五个 Dllhost.exe 进程和一个附加 Dllhost.exe 进程，该附加进程由 COM+ 在系统应用程序下启动。