最近遇到一個很有意思的使用環境，操作人員將所有的網站應用內容投放到共用存儲裡面，並且使用微軟的SMB協議將其以CIFS的方式共用出來，使用Windows Server 2008 R2的IIS將其連接起來。在多IIS主機的情況下，實現一次部署，多點生效的效果。 不過在使用的時候遇到了一些問題，在漢語世
最近遇到一個很有意思的使用環境，操作人員將所有的網站應用內容投放到共用存儲裡面，並且使用微軟的SMB協議將其以CIFS的方式共用出來，使用Windows Server 2008 R2的IIS將其連接起來。在多IIS主機的情況下，實現一次部署，多點生效的效果。
不過在使用的時候遇到了一些問題，在漢語世界裡面似乎這樣用的環境不多，特別總結一下這樣的場景，撰文分享給大家。
錯誤代碼：0x80070003
起初的想法，操作者使用了Windows的映射網路驅動器的方法將UNC路徑轉換成了一個Windows的盤符，預設的Windows會給整個電腦里的第一個映射Z盤，緊接著，在IIS裡面添加這個網站，建個網站的根目錄指向到這個Z盤下麵的wwwroot文件夾下麵，啟動一下，瀏覽後就看到了該錯誤代碼。搜索錯誤代碼，最有用的信息是將其更換成UNC路徑而非映射盤符。
錯誤代碼：0x80070005
更換成UNC路徑之後，再次瀏覽後就看到了該錯誤代碼，提示“由於許可權不足而無法讀取配置文件”。
Figure 1錯誤提示很明顯，許可權不足
關於許可權相關的問題我自然的想到了procmon工具，和許可權有關的肯定逃不過procmon的法眼了！
Figure 2工具呈現出訪問被拒絕（Access Denied），path是剛剛更換的unc路徑
Figure 3進程選項卡內看到的該進程是由這個IIS資源池下的bbbb用戶啟動的，這個和我們新建的網站虛擬名稱一致
羅列出來的這個IIS APPPOOL\bbbb的用戶我們是在Windows傳統的用戶和用戶組下麵無法查看到的，而且即便是我們先前映射了Z盤，也是需要口令密碼的，這個bbbb用戶應該不會走系統層面去找對應的token的，況且機器會有重啟，自動更新等操作，新起來之後還要認為的輸入用戶名和口令（非域環境下），這顯然不科學。
網上搜來搜去有些結果，歸類如下：
- 如果使用的是2003系統可以用一個vbs命令來獲取到iusr用戶的密碼，創建網站的時候可以這樣來填寫認證信息，但是2008系統下麵已經不能這樣查看。
- 使用subst創建虛擬映射盤符，來欺騙2008認為這個是本地硬碟而非一個UNC路徑，但是這個嘗試之後又會回到起初的那個0x80070003錯誤。
- 還有的嘗試使用mklink創建一個符號連接的方式映射到本地磁碟的固定目錄，結果這個也會回到0x80070003錯誤。
從上面的經歷來看，大家的思路有兩個，一個是欺騙IIS、一個是使用破解的用戶名密碼去進行驗證。
更換英文關鍵字接的搜索，突然在一個微軟工程師anilr的回帖中找到了問題的解決辦法，https://forums.iis.net/post/1905350.aspx
他說繼續保持UNC路徑，在"connect as"中輸入用戶名密碼進行校驗即可。
這個“connect as”對應中文應該是個什麼呢？直譯叫做“連接為”，這個好像在新建網站的時候見到過。
Figure 4添加網站的時候可以看到連接為，點開始後和憑證有關！
對於新網站可以這樣操作，對於已經有的網站該怎麼處理呢？
Figure 5通過搜索IIS的內置幫助，看看到底哪些地方會出現“連接為”，發現有物理路徑這樣的關鍵字出現
Figure 6順而在網站的高級設置裡面找到了物理路徑憑據，下麵的解釋有需要填寫用戶名密碼這類的要求。
根據需要在物理路徑憑據下麵輸入可以訪問那個UNC路徑的用戶名和密碼。
這裡補充說明一下，既然還是和微軟的SMB協議有關，登陸驗證也是基於NTLM的相同用戶驗證的策略，所以這裡我們需要在IIS節點上創建一個和文件伺服器用來共用這個UNC路徑一致的用戶。
否則如果你即便輸入了映射時候的對端密碼賬號也是無效的，因為你本地IIS電腦節點上並沒有這個用戶。
Figure 7輸入和對端一樣的用戶名密碼之後點擊確定，生效！
再次瀏覽問題全無，運行正常。
此時我們再請出Procmon看看。
Figure 8通過查看第一條訪問文件的許可權，我們看到Impersonating（偽裝用戶）已經是這個IIS節點上的有許可權訪問該UNC路徑的用戶了 。
至此，所有的疑惑已經解決，使用到的知識點都是基本的Windows操作原理，是從系統工作人員的角色解決WEB程式的報錯的一個有意思的案例！
-=EOB=-
