Windows多媒体站点权限配置优化方案

　　跟产品吵完第三轮，PM 把权限矩阵图拍在钉钉对话框里，说“用户要能点播就点播、上传就上传、删自己传的也得删得痛快”——我盯着那张表看了十八秒，手边咖啡杯上印的公司 logo 被指纹糊成半透明椭圆。我原以为是鉴权粒度太粗，结果翻完 AD 组策略和 IIS 的 delegated administration 设置，发现真正在拦人的，是 Media Foundation 的 COM 权限缓存没清。这个我敢打包票，上周五倒水时测试顺手改了三台灰度机器的 HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\MediaFoundation\\Platform\\DisableCOMRegistration，接口 403 掉了七成。

　　但问题不在这儿。问题是那个“优胜劣汰”——不是算法层面的淘汰，是人肉筛选：去年九月份那次大巡检，运维甩给我一份 27 行的 PowerShell 报告，全是“无法解析 SID”“ACL 继承已禁用”“LocalSystem 对 C:\\inetpub\\wwwroot\\media 不具备 SeSecurityPrivilege”，我一条条对过去，前十九行全砍了，留了最后八行重配。这不是优化，是人工筛沙。筛完第二天前端加了个预加载 thumbnail 的 fetch 调用，直接撞上 Media Services 的 ApplicationPoolIdentity 权限白名单缺口——这玩意儿根本没进过 RBAC 模型，它认的是本地组成员身份，而我们早把本地组当古董供起来了。

　　oncall 手机震了一下，凌晨两点十七分，告警是 /api/v1/media/upload/status 返回 500 但 HTTP 状态码打成了 422。我捞日志时发现，真正出错的是 Media Foundation 初始化时调用了 IMFActivate::ActivateObject，失败码是 MF_E_ACCESSDENIED；可 W3SVC 日志里只记了“拒绝访问”，连线程 ID 都被 IIS 日志截断了。这个我说不准——是不是因为启用了 FastCGI 路由层的 credential delegation？还是 GPO 里某个叫 “Allow unauthenticated access to media pipelines” 的开关其实根本不存在？查了一宿，微软文档更新日期停留在 2020 年十月，PDF 页脚印着“此内容可能已过时”。

文章配图，仅供参考

　　碎片拼起来讲这事：第一，IIS Application Pool Identity 默认没开 “Log on as a service”，你加了也没用，因为 Media Foundation 启动时根本不会去查这个策略项；第二，MS-MMC 的 media source handler 实际走的是 Windows Runtime 的 brokered activation，不是传统 DCOM；第三，真正的临界点不在 ACL，而在 HKCU\\Software\\Classes\\CLSID\\{XXXX} 下那个 DefaultIcon 的读取权限——你给 Everyone 设了 FullControl，但它只要 ReadKey 就够了，多给的 WriteKey 反而让 LSASS 多一次令牌模拟判断。这三个点，任何一个写进 release note 都得加星号标注“仅影响 Windows Server 2019 Datacenter with KB5012170+”。

　　监控大屏上一个无关曲线抖了一下，是 Prometheus 抓取 node_exporter 的 uptime 值突降三百七十二次调用——纯属 coincident，隔壁 SRE 正在滚动重启 etcd 集群。但这提醒我：所有我们盯着看的告警，都是漏网之鱼。真正卡住 upload pipeline 的那个 ACL 条目，压根没进任何审计日志——因为它在 Media Foundation 初始化阶段就被绕过了，系统直接走了 fallback path 到 legacy AVI codec loader，然后在 CreateFileW 时跪在 SECURITY_DESCRIPTOR 的 owner 字段校验上。跪得悄无声息，连 ETW trace 都没留下句柄泄露提示。

　　测试小张上周四提了 bug 单，说 iOS Safari 上传成功但后台没生成 thumbnail，定位到 ffmpeg.exe 进程 spawn 失败，错误码 0x80070005；我让他改用 Process Monitor 抓，抓出来一看：是 %TEMP% 下那个 ffmpeg-xxxxx.log 被 LocalService 账户创建时，ACL 里漏掉了 SYSTEM 的 WRITE_DAC 权限。这个事儿我们去年就修过两次，第三次还修错了——补丁包里写的路径是 C:\\Windows\\Temp，但 Media Services 默认用的是 %SYSTEMROOT%\\Temp，而 SYSTEMROOT 是 C:\\，不是 C:\\Windows。这种细节，没人验收，QA 也不跑权限路径替换场景。KPI 是“上线率≥99.97%”，不是“ACL 覆盖面≥99.97%”。

　　我原以为只要把 media-upload-group 加进 “Perform volume maintenance tasks” 用户权限里就完了，结果昨天上线前五分钟，DBA 老李拎着保温杯过来问我：“你们那个 thumbnail 服务，到底连不连主库？”——他刚看到慢查询里冒出三百多次 SELECT FROM [MediaMetadata] WHERE [IsThumbnail] = 1，执行计划扫了全文档，IO wait 累计十八毫秒。我嘴上说“我们只读 View”，心里想的是：这 View 里有个函数依赖 dbo.fn_GetUserPermissions()，而它底层又 call 了 xp_cmdshell 查 registry… 但这个真不能跟他细聊，聊了就得承认我们用 SQL Server 做权限兜底这件事本身，就是个反模式。

　　所以别跟我谈“方案”。它就不是方案，是伤口结痂后长出来的硬皮。优胜劣汰？淘汰的不是低效配置，是敢动 Media Foundation 栈的新人。去年九月份我带的实习生，试了三套 regsvr32 注册顺序，全崩在 MFTEnumEx 上，第四天他改用 C++ 写了个裸 COM 初始化器，成功绕过所有中间件——但代码没进主干，因为安全团队说“自定义 COM 激活器必须经过静态扫描”，而他们扫描器只认 C# 和 PowerShell。我现在桌上还有他留的便利贴，上面画了个歪斜的 Media Session 图，右下角写着：“别信文档，信 procmon filter”。

　　下一步？我打算下周三下午三点，带一台干净的 WinServer 2022 虚拟机，关掉所有 Group Policy，手动走一遍 media-upload flow，用 sigcheck -i 看每个 DLL 的签名时间戳，再对比 Media Foundation SDK 里那个叫 mfplat.dll 的版本兼容表。咖啡杯已经空了，谁去倒水的时候顺手把打印机旁边那叠没拆封的《Windows Internals Vol.6》带回来？第 417 页讲 ACL inheritance cache 清理时机，我翻过，但当时以为它只管文件对象，没注意注册表 key 也共享同一套缓存结构。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!