群晖NAS共享文件夹无法添加IIS_IUSRS权限的问题求助

Hi，我之前在域环境下配置群晖NAS和IIS共享的时候也踩过类似的坑，给你梳理几个关键的排查点和解决办法：

• 核心问题：IIS_IUSRS是本地组，不是域组
  IIS_IUSRS是你那台IIS虚拟机本地的内置用户组，并不是域级别存在的组。你的群晖已经加入域，所以在共享权限里搜索时，它只会去域控制器里查找域用户/组，自然找不到这个本地组——这就是你搜不到的根本原因。

• 两个可行的解决方向

  1. 使用专门的域用户替代本地组
     • 先在你的域控制器上创建一个专门的服务域用户（比如svc_iis_web），把这个用户加入到IIS虚拟机的本地IIS_IUSRS组里，确保它具备IIS运行所需的本地权限。
     • 打开群晖DSM的控制面板>共享文件夹>选中目标共享>编辑>权限，切换到「域用户」标签页，搜索并添加这个域用户，给它配置对应的读取权限（如果网站需要写入数据就再加写入权限）。
     • 最后把你的IIS应用池的身份设置为这个域用户，这样应用池就能以有权限的身份访问NAS共享了。
  2. 添加IIS虚拟机的计算机账户
     • 如果不想新建域用户，也可以直接用IIS虚拟机的计算机账户来授权。IIS应用池默认的ApplicationPoolIdentity身份，在访问网络资源时会以域名\计算机名$的形式（比如MYDOMAIN\WEBVM$）去请求权限。
     • 在群晖共享的权限设置里，手动输入完整的计算机账户名（注意末尾的$不能少），点击检查名称就能识别到，然后给它配置读取权限即可。

• 群晖这边的配置注意事项

  • 先确认群晖和域控制器之间的DNS解析正常：可以在群晖里ping域控制器的主机名，也在IIS虚拟机上ping群晖的主机名，确保双向都能解析。
  • 配置权限时一定要切换到「域用户」标签页，不要在本地用户列表里找——群晖的本地用户和域用户是分开管理的。
  • 如果手动输入账户名还是识别不了，检查群晖的域连接状态：打开DSM的控制面板>域/LDAP，确认显示“已加入域”，并且能正常获取域信息。

• 验证步骤
  配置完成后，先在IIS虚拟机上通过\\群晖IP地址\共享文件夹名访问共享，确认能正常打开并读取文件；然后把网站的物理路径修改为这个共享路径，重启IIS应用池后测试网站是否能正常加载数据。

备注：内容来源于stack exchange，提问作者user2930584