1

我在正确设置 AppPoolIdentity 的权限时遇到了一些困难。

失败的请求日志中显示的错误是：

ModuleName="IIS Web Core", Notification="BEGIN_REQUEST", HttpStatus="500", HttpReason="Internal Server Error", HttpSubStatus="0", ErrorCode="The I/O operation has been aborted because of either a thread exit or an application request.
 (0x800703e3)", ConfigExceptionInfo=""

我相信这是一个权限问题，因为将应用程序池的 AppPoolIdentity 更改为LocalSystem会使网站中的所有内容都正常工作。当 AppPoolIdentity 设置为ApplicationPoolIdentity时，上面显示的错误就是我收到的错误。我使用以下语法命名了应用程序池标识：

IIS APPPOOL\<app_pool_name>

我已经确认：

  1. 我在设置权限时使用了正确的 app_pool_name。（在设置权限时使用检查名称有效，这意味着 Windows 正在查找用户。）
  2. wwwroot 和 oracle 客户端目录具有允许应用程序池身份读取和执行文件的权限。
  3. 在 IIS 中启用匿名身份验证并设置为使用应用程序池标识。

是否需要授予我错过的其他目录的权限？还是我完全想念的其他问题？

对于一些额外的背景，我正在使用带有 IIS 7.5 的 Windows Server 2008 R2。

提前致谢！

编辑： 我做了一些跟踪，感谢彼得给出的建议，发现我缺少一些权限。我缺少的权限是：

  • 完全控制 HKLM\SOFTWARE\Microsoft\SystemCertificates\
  • 完全控制 HKU{GUID}\Software\Policies\Microsoft\SystemCertificates\
  • 完全控制 HKLM\SOFTWARE\Microsoft\EnterpriseCertificates\
  • 读取 HKLM\System\CurrentControlSet\services\eventlog\Security\
  • 完全控制 C:\Windows\SysWOW64\config\systemprofile\AppData\

修改这些权限后，我的应用程序现在正在使用自定义应用程序错误记录到 Windows 事件日志。（基本上自定义应用程序错误告诉我它无法建立与数据库的连接。）。请记住，如果我以 LocalSystem 而不是 IIS 中的 AppPoolIdentity 用户身份运行，一切正常。再次使用进程监视器，我发现 Oracle 客户端正在记录到 sqlnet.log 文件。在此文件中，它显示：

Fatal NI connect error 12631, connecting to:
 (DESCRIPTION=(ADDRESS=(PROTOCOL=TCP)(HOST=[DB IP ADDRESS])(PORT=1521))(CONNECT_DATA=(SERVER=DEDICATED)(SERVICE_NAME=[SERVICE NAME])(CID=(PROGRAM=C:\Windows\SysWOW64\inetsrv\w3wp.exe)(HOST=[WEB APPLICATION SERVER NAME])(USER=[APP POOL IDENTITY USER]))))

  VERSION INFORMATION:
    TNS for 32-bit Windows: Version 11.2.0.1.0 - Production
    Windows NT TCP/IP NT Protocol Adapter for 32-bit Windows: Version 11.2.0.1.0 - Production
  Time: 21-JUL-2015 16:28:00
  Tracing not turned on.
  Tns error struct:
    ns main err code: 12631

TNS-12631: Username retrieval failed
    ns secondary err code: 0
    nt main err code: 0
    nt secondary err code: 0
    nt OS err code: 0

关于它为什么使用 AppPoolIdentity 作为它试图连接的用户的任何想法？

4

1 回答 1

1

我终于解决了这个问题。

在上面进行的编辑中，我添加了解决第一个问题的必要权限。

为了让它工作，我修改了我的 SQLNET.ora 文件，如下所示：

# sqlnet.ora Network Configuration File: E:\Oracle_client\product\11.2.0.1\client_x32\network\admin\sqlnet.ora
# Generated by Oracle configuration tools.
#SQLNET.AUTHENTICATION_SERVICES= (NONE, NTS)
SQLNET.AUTHENTICATION_SERVICES= (NONE)
NAMES.DIRECTORY_PATH= (TNSNAMES, EZCONNECT)

请注意，原来的 SQLNET.AUTHENTICATION_SERVICES 现在仅设置为 NONE。

（我相信此更改不会立即生效，但几分钟后它确实生效了。重新启动机器可能有点矫枉过正，但足够了）。

我还将 AppPoolIdentity 切换到 LocalService，然后又切换回 AppPoolIdentity。这样做之后，它起作用了，但我认为来回切换 AppPoolIdentity 不会对其工作产生任何影响。

于 2015-07-22T16:48:07.153 回答