IIS6.0的默认权限和用户权限设置小结

NTFS权限
目录用户\组权限
%windir%\help\iishelp\commonAdministrators完全控制
%windir%\help\iishelp\commonSystem完全控制
%windir%\help\iishelp\commonIIS_WPG读取、执行
%windir%\help\iishelp\commonUsers（请参见“注意1”。）读取、执行
%windir%\IISTemporaryCompressedFilesAdministrators完全控制
%windir%\IISTemporaryCompressedFilesSystem完全控制
%windir%\IISTemporaryCompressedFilesIIS_WPG完全控制
%windir%\IISTemporaryCompressedFilesCreatorowner完全控制
%windir%\system32\inetsrvAdministrators完全控制
%windir%\system32\inetsrvSystem完全控制
%windir%\system32\inetsrvUsers读取、执行
%windir%\system32\inetsrv\*.vbsAdministrators完全控制
%windir%\system32\inetsrv\ASPcompiledtemplatesAdministrators完全控制
%windir%\system32\inetsrv\ASPcompiledtemplatesIIS_WPG完全控制
%windir%\system32\inetsrv\HistoryAdministrators完全控制
%windir%\system32\inetsrv\HistorySystem完全控制
%windir%\system32\LogfilesAdministrators完全控制
%windir%\system32\inetsrv\metabackAdministrators完全控制
%windir%\system32\inetsrv\metabackSystem完全控制
Inetpub\AdminscriptsAdministrators完全控制
Inetpub\wwwroot（或内容目录）Administrators完全控制
Inetpub\wwwroot（或内容目录）System完全控制
Inetpub\wwwroot（或内容目录）IIS_WPG读取、执行
Inetpub\wwwroot（或内容目录）IUSR_MachineName读取、执行
Inetpub\wwwroot（或内容目录）ASPNET（请参见“注意2”。）读取、执行

注意1：在使用基本身份验证或集成身份验证时以及在配置自定义错误时，都必须对此目录拥有相应的权限。例如，在出现错误401.1时，只有向已登录用户授予了读取4011.htm文件的权限，该用户才会看到预期的自定义错误详细信息。

注意2：默认情况下，IIS5.0隔离模式中使用ASP.NET作为ASP.NET进程标识。如果将ASP.NET切换到IIS5.0隔离模式，则ASP.NET必须对内容区域具有访问权限。IIS帮助中对ASP.NET进程隔离进行了详细说明。有关其他信息，请访问下面的Microsoft网站：

ASP.NET进程隔离
http://technet2.microsoft.com/WindowsServer/zh-CHS/Library/32f8749c-753e-4c70-8ed7-f5defacc6adf2052.mspx?mfr=true(http://technet2.microsoft.com/WindowsServer/zh-CHS/Library/32f8749c-753e-4c70-8ed7-f5defacc6adf2052.mspx?mfr=true)


注册表权限
位置用户\组权限
HKLM\System\CurrentControlSet\Services\ASPAdministrators完全控制
HKLM\System\CurrentControlSet\Services\ASPSystem完全控制
HKLM\System\CurrentControlSet\Services\ASPIIS_WPG读取
HKLM\System\CurrentControlSet\Services\HTTPAdministrators完全控制
HKLM\System\CurrentControlSet\Services\HTTPSystem完全控制
HKLM\System\CurrentControlSet\Services\HTTPIIS_WPG读取
HKLM\System\CurrentControlSet\Services\IISAdminAdministrators完全控制
HKLM\System\CurrentControlSet\Services\IISAdminSystem完全控制
HKLM\System\CurrentControlSet\Services\IISAdminIIS_WPG读取
HKLM\System\CurrentControlSet\Services\w3svcAdministrators完全控制
HKLM\System\CurrentControlSet\Services\w3svcSystem完全控制
HKLM\System\CurrentControlSet\Services\w3svcIIS_WPG读取


Windows用户权限
策略用户
从网络访问此计算机Administrators
从网络访问此计算机ASPNET
从网络访问此计算机IUSR_MachineName
从网络访问此计算机IWAM_MachineName
从网络访问此计算机Users
调整进程内存配额Administrators
调整进程内存配额IWAM_MachineName
调整进程内存配额Localservice
调整进程内存配额Networkservice
跳过遍历检查IIS_WPG
允许本地登录（请参见“注意”）Administrators
允许本地登录（请参见“注意”）IUSR_MachineName
拒绝本地登录ASPNET
在身份验证之后模拟客户端Administrators
在身份验证之后模拟客户端ASPNET
在身份验证之后模拟客户端IIS_WPG
在身份验证之后模拟客户端Service
作为批处理作业登录ASPNET
作为批处理作业登录IIS_WPG
作为批处理作业登录IUSR_MachineName
作为批处理作业登录IWAM_MachineName
作为批处理作业登录Localservice
作为服务登录ASPNET
作为服务登录Networkservice
替换进程级别令牌IWAM_MachineName
替换进程级别令牌Localservice
替换进程级别令牌Networkservice


注意：在以默认设置全新安装的带有IIS6.0的MicrosoftWindowsServer2003中，Users组和Everyone组都拥有“跳过遍历检查”权限。工作进程标识通过这两个组当中的一个继承“跳过遍历检查”权限。如果从“跳过遍历检查”权限中删除这两个组，工作进程标识将不会通过任何其他分配继承“跳过遍历检查”权限，因此工作进程将无法启动。如果必须从“跳过遍历检查”权限中删除Users组和Everyone组，请添加IIS_WPG组以允许IIS按预期方式运行。

注意：在IIS6.0中，如果将基本身份验证配置为身份验证选项之一，则基本身份验证的“LogonMethod”元数据库属性将为NETWORK_CLEARTEXT。NETWORK_CLEARTEXT登录类型不需要“允许本地登录”用户权限。这同样适用于匿名身份验证。有关其他信息，请参见IIS帮助中的“基本身份验证默认登录类型”主题。您也可以访问下面的Microsoft网站：

基本身份验证
http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/cf438d2c-f9c7-4351-bf56-d2ab950d7d6e.mspx(http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/cf438d2c-f9c7-4351-bf56-d2ab950d7d6e.mspx)