.NET 4.8 API部署至Azure VM的IIS后无法访问Swagger

问题详情 #

我有一个.NET 4.8 API，部署在已加入域的Azure虚拟机（Azure VM）的IIS中，应用池使用Application Pool Identity身份。部署后遇到以下问题：

• 手动配置80端口绑定后，仍无法访问站点下的API
• 配置站点物理路径时，提示错误：指定的用户名不存在
• 发布流水线使用IISWebAppManagementOnMachineGroup@0和IISWebAppDeploymentOnMachineGroup@0任务，YAML配置如下：

// 调用阶段定义的参数与变量
baseUrl: mysite.com
RootPath: 'D:\myapp\${{ parameters.baseUrl }}'
VirtualApiPath: '/API'
Workspace: '$(Pipeline.Workspace)/'
PackageName: '/drop/xxx/MyAPI.zip'

- task: IISWebAppManagementOnMachineGroup@0
  displayName: 'Manage Web Application'
  inputs:        
    IISDeploymentType: IISWebsite 
    ActionIISWebsite: 'CreateOrUpdateWebsite'
    WebsiteName: '${{ parameters.baseUrl }}'
    WebsitePhysicalPath: '${{ parameters.RootPath }}'
    CreateOrUpdateAppPoolForWebsite: true
    AppPoolNameForWebsite: 'MyAppPool'
    PipeLineModeForWebsite: 'Integrated'
    AppPoolIdentityForWebsite: 'ApplicationPoolIdentity'

- task: IISWebAppDeploymentOnMachineGroup@0
  displayName: 'Deploy Web Application'
  inputs:
    WebSiteName: ${{ parameters.baseUrl }}
    VirtualApplication: '${{ parameters.VirtualApiPath }}'
    Package: '${{ parameters.Workspace }}/**/${{ parameters.PackageName }}'
    TakeAppOfflineFlag: true
    XmlTransformation: true
    XmlVariableSubstitution: true

解决方案 #

1. 修复物理路径权限错误 #

使用Application Pool Identity时，IIS会生成虚拟账户IIS AppPool\<应用池名称>，出现“指定的用户名不存在”是因为该账户无物理路径访问权限：

• 登录Azure VM，定位到D:\myapp\mysite.com目录
• 右键目录→属性→安全→编辑→添加
• 在弹出窗口中输入IIS AppPool\MyAppPool，点击检查名称确认无误后添加
• 为该账户分配读取&执行、列出文件夹内容、读取权限，保存设置

2. 排查端口绑定与访问问题 #

• 检查Azure VM的网络安全组（NSG），确保80端口的入站规则已开放，允许客户端IP或所有IP访问
• 在IIS中确认网站绑定：若mysite.com无法被客户端解析，可暂时移除主机名绑定，直接使用VM公网IP访问测试
• 查看IIS日志（默认路径C:\inetpub\logs\LogFiles），根据错误代码（如403权限不足、500内部错误）定位具体问题
• 确认Swagger在生产环境启用：检查Web.config和SwaggerConfig.cs，确保未限制仅在开发环境加载Swagger

3. 优化流水线部署流程 #

• 在流水线中添加创建目录的步骤，避免物理路径不存在导致的异常：

  - task: PowerShell@2
    displayName: 'Create Application Directory'
    inputs:
      targetType: 'inline'
      script: |
        New-Item -Path 'D:\myapp\mysite.com' -ItemType Directory -Force
  

• 可在流水线中加入权限配置的PowerShell任务，自动为应用池账户分配物理路径权限，避免手动操作

内容的提问来源于stack exchange，提问作者Lucky