IIS-401.3-未经授权

我正在尝试开始使用IIS。我在IIS管理器上创建了一个新站点，将其映射到文件系统上的文件夹，并将index.html添加到该文件夹​​。我已将此站点的端口设置为85。当我尝试访问时http://localhost:85/index.html，出现以下错误消息：

401.3-无权限-由于Web服务器上此资源的访问控制列表（ACL）配置或加密设置，您无权查看此目录或页面。

我授予了该文件夹上所有人的读取权限，然后重试。然后，我可以访问该页面。

然后，我将文件夹的属性与wwwroot的属性进行了比较。我发现wwwroot在IIS_IUSRS上具有读取权限...当我在文件夹上执行相同操作并再次尝试时，我再次遇到上述错误。我检查了默认情况下启用了匿名访问，但是仍然出现此错误。

为什么会这样？解决问题的正确方法是什么？

我在同一问题上奋斗了几天。可以通过修改站点映射到的文件系统文件夹的安全用户访问属性来解决。但是IIS_IUSRS不是您必须授权的唯一帐户。

• 在IIS管理控制台中，在站点配置的“身份验证”部分中，修改“匿名身份验证”行，并检查设置为“特定用户”的帐户（我的帐户为IUSR）。
• 将站点文件夹上的读取和执行权限授予作为特定用户列出的帐户。

要么

• 在IIS管理控制台中，在网站配置的“身份验证”部分中，通过选择“应用程序池的身份”而不是“特定用户”来修改“匿名身份验证”行。

这对我有用。

1. 将应用程序池标识设置为可以分配文件夹权限的帐户。
2. 确保已向源目录和所有相关文件授予对分配给应用程序池标识属性的帐户的文件的读取权限
3. 在IIS的服务器根节点上，将匿名用户设置为从应用程序池标识继承。（这是我努力的一部分）

要将服务器匿名设置为从应用程序池标识继承，请执行以下操作。

• 打开IIS管理器（inetmgr）
• 在左侧窗格中，选择根节点（服务器主机名）
• 在中间窗格中，打开“身份验证”小程序
• 突出显示“匿名身份验证”
• 在右侧窗格中，选择“编辑...”（应打开一个对话框）
• 选择“应用程序池标识”

TL; DR;

在大多数情况下，授予对以下一个或多个帐户的访问权限就足够了：

1. IIS AppPool \ DefaultAppPool
2. 研究所

具有访问权限：

1. 读取并执行
2. 列出文件夹内容
3. 读

而已！

继续阅读以获取更详细的说明...

1. 打开IIS并选择您的应用程序。
2. 在右侧单击Authentication。
3. 在此处选择“ 匿名身份验证 ”。
4. 弹出以下对话框。

根据上图所选择的内容，授予对Web应用程序文件夹的ACL的访问权限：

• 特定用户：为两个用户授予访问权限IUSR（在我的情况下）+IIS AppPool\DefaultAppPool
• 应用程序池标识：IIS AppPool\DefaultAppPool仅授予访问权限

IIS AppPool\DefaultAppPool 该帐户是新IIS Web应用程序的默认AppPool帐户，如果已设置自定义帐户，请使用该自定义帐户。

为该帐户授予以下权限：

1. Read & Execute
2. List folder contents
3. Read

由于您要处理静态内容...

在充当网站根目录的文件夹上-如果右键单击>属性>安全，列表中是否显示“用户”？如果未单击“添加...”并键入，请确保完成后单击“应用”。

试试这个解决方案：

/server/38222/iis-7-5-windows-7-http-error-401-3-未经授权

还要检查运行IIS AppPool的用户是否对该文件夹/文件具有读取权限。

看看这个：

http://www.iis.net/learn/manage/configuring-security/application-pool-identities

也看看这个：

http://www.iis.net/learn/get-started/planning-for-security/understanding-built-in-user-and-group-accounts-in-iis

以防万一其他人遇到这个问题。我对所有这些步骤进行了故障排除，结果是因为我从MAC解压缩了某些文件，Microsoft却没有任何通知就自动将其加密了。经过数小时的尝试设置文件夹权限，我走进去，看到文件名是绿色的，这意味着文件已加密，即使文件夹权限正确，IIS也会抛出相同的错误。

1. 创建一个新站点，右键单击“站点”文件夹，然后单击“添加站点”
2. 输入站点名称。
3. 选择物理路径
4. 选择IP地址
5. 更改端口
6. 点击确定
7. 转到应用程序池
8. 选择站点池
9. 用鼠标右键单击单击高级设置
10. 将.Net CLR版本更改为“无管理代码”
11. 将标识更改为“ ApplicationPoolIdentity”
12. 转到网站主页，然后单击“身份验证”
13. 右键单击到AnonymousAuthentication，然后单击“编辑”
14. 选择应用程序池标识
15. 点击确定
16. 繁荣！

对于路由添加一个web.config

<configuration>
    <system.webServer>
        <rewrite>
            <rules>
                <rule name="React Routes" stopProcessing="true">
                    <match url=".*" />
                    <conditions logicalGrouping="MatchAll">
                        <add input="{REQUEST_FILENAME}" matchType="IsFile" negate="true" />
                        <add input="{REQUEST_FILENAME}" matchType="IsDirectory" negate="true" />
                        <add input="{REQUEST_URI}" pattern="^/(api)" negate="true" />
                    </conditions>
                    <action type="Rewrite" url="/" />
                </rule>
            </rules>
        </rewrite>
    </system.webServer>
</configuration>

与接收未经授权有关的另一个问题可能与从IIS进行身份验证设置中使用的提供程序有关。就我而言，如果我将Windows身份验证提供程序设置为“协商”，则会遇到该问题。选择“ NTLM”选项后，将授予访问权限。

有关身份验证提供程序的更多信息

https://docs.microsoft.com/zh-cn/iis/configuration/system.webserver/security/authentication/windowsauthentication/providers/

请在Windows 2012 R2中启用以下项目

如果您应该使用应用程序池身份验证（而不是IUSR），那么让·孙的检查清单是我发现的处理IIS中401错误的最佳方法：

打开IIS管理器，导航到您的网站或将网站部署到的应用程序文件夹。

1. 打开“高级设置”（位于右侧的“操作”窗格中）。
2. 记下应用程序池名称，然后关闭此窗口
3. 双击身份验证图标以打开身份验证设置
4. 禁用Windows身份验证
5. 右键单击“匿名身​​份验证”，然后单击“编辑”。
6. 选择“应用程序池标识”单选按钮，然后单击“确定”。
7. 从左侧的IIS管理器树中选择“应用程序池”节点，然后选择在步骤3中记下的“应用程序池”名称
8. 右键单击并选择高级设置
9. 展开“过程模型”设置，然后从“内置帐户”下拉列表中选择ApplicationPoolIdentity，然后单击“确定”。
10. 再次单击确定以保存和关闭“应用程序池”高级设置页面
11. 打开管理员命令行（右键单击CMD图标，然后选择“以管理员身份运行”。它将在开始菜单中的某个位置，可能在“附件”下。

12. 运行以下命令：

    icacls <path_to_site> /grant "IIS APPPOOL\<app_pool_name>"(CI)(OI)(M)
    

    例如：

    icacls C:\inetpub\wwwroot\mysite\ /grant "IIS APPPOOL\DEFAULTAPPPOOL":(CI)(OI)(M)
    

特别是步骤5和6.通常经常被忽略，并且在网络上很少提及。