将 IIS 应用程序池身份从内置帐户更改为自定义帐户会导致 503 错误

Question

我有一个使用 C# 和 .NET 开发的 Intranet Web 应用程序，它托管在我们自己运行 IIS 8.5 的内部 Web 服务器上。

我已将应用程序池设置为使用内置帐户

ApplicationPoolIdentity

，效果很好。

但是，我需要应用程序能够浏览网络驱动器，因此我已更改应用程序池以使用有权访问网络驱动器的自定义帐户。我知道它可以访问，因为我在这里使用我的登录详细信息。

但是当我浏览该网站时，出现以下错误

服务不可用

HTTP 错误 503。服务不可用。

当我使用这些新设置回收应用程序池时，出现以下错误：

执行此操作时出错 详细信息 对象 标识符不代表有效的对象。 （HRESULT 的异常： 0x800710D8）

我也尝试过使用服务器管理员帐户，但收到相同的错误消息。

谢谢

编辑

以下消息位于事件日志中

应用程序池TestApplicationPool标识无效。这 为身份指定的用户名或密码可以是 不正确，或者用户可能没有批量登录权限。如果 身份不正确，应用程序池将被禁用 应用程序池收到第一个请求。如果批量登录 权限导致问题，IIS 配置中的身份 必须在 Windows 之前授予权限后更改存储 进程激活服务 (WAS) 可以重试登录。如果身份 第一次请求应用程序池后仍然无效 处理后，应用程序池将被禁用。数据字段 包含错误号。

Answer 1

尝试从命令提示符授予用户帐户访问所需 asp 文件和文件夹的权限

aspnet_regiis -ga "Domain\SomeAccount"

https://msdn.microsoft.com/en-us/library/k6h9cz8h(v=vs.100).aspx

还允许帐户作为服务登录：

开始 -> 控制面板 -> 管理工具 -> 本地安全策略 -> 本地策略 -> 用户权限分配 -> 作为服务登录

同时将该帐户添加到 IIS_WPG 组

在计算机管理屏幕的系统工具下，展开本地用户和组，然后单击组。

右键单击 IIS_WPG 组，然后单击添加到组。

在 IIS_WPG 属性对话框中，单击添加。

https://msdn.microsoft.com/en-us/library/aa544832(v=cs.70).aspx

Answer 2

该组在较新版本的

IIS

中称为 IIS_IUSRS。

您可能还需要以下内容：

• 从网络访问此计算机
• 调整进程的内存配额
• 允许本地登录
• 绕过遍历检查
• 生成安全审核详细信息
• 身份验证后冒充客户端
• 作为批处理作业登录
• 作为服务登录
• 替换进程级令牌

Answer 3

不要忘记从本地用户和组中的“来宾”组中删除自定义帐户