授予在 IIS7x 上回收应用程序池的权限

Question

我参与了一个项目，通过采用 DevOps 方法，必须在目标服务器上安装软件（充当代理的 Windows 服务），以允许远程和自主地执行部署。

作为背景，我们在这里讨论的是远程管理部署的服务器，以及部署代码的不同目标服务器 (Windows 2008 R2)。服务器托管 IIS 应用程序，部署包括替换文件和文件夹，然后是应用程序池回收。

为此，我尝试应用两种不同类型的权限：应用程序文件夹结构的 NTFS 权限和回收应用程序池的权限。

这是我遇到问题的最后一个。我花了几个小时在互联网上搜索这件事，但如果可能的话，我无法弄清楚如何正确地做到这一点。 几乎所有的参考资料（如下面的参考资料）都集中在 IIS 远程管理委派或远程 Web 部署上，我尝试应用但未成功。

事实上，我需要知道的是如何在服务器本地（针对运行代理的帐户）委派权限（仅回收应用程序池，仅此而已）。

• https://blogs.msdn.microsoft.com/asiatech/2011/07/20/iis-7-delegate-remote-application-pool-recycling-for-non-administrator/
• https://www.iis.net/learn/manage/remote-administration/configuring-remote-administration-and-feature-delegation-in-iis-7

Answer 1

我们最终通过使用具有管理员权限和计划任务的第二个帐户解决了这个问题。

所以，我们开始：

• 运行 DevOps 代理的服务帐户 (A)，权限有限。
• 以管理员权限运行计划任务的服务帐户 (B) 以回收应用程序池。

我们做到了：

• 与 A 创建了一个计划任务，因此它是该任务的实际所有者并拥有运行它的必要权限。
• 将该任务配置为以 B 身份运行，该任务具有管理员权限，将拥有执行应用程序池回收所需的权限。

这种方法将允许我们模拟其他管理员任务，这些任务不可能（或不容易）委派权限。