Docker容器中Windows Service权限问题：ASP.NET4.8服务无法写入文件夹

首先你的PowerShell权限配置脚本存在明显错误，这是导致Windows Service无法写入目录的直接原因，同时补充额外排查方向如下：

1. 修复PowerShell脚本中的ACL配置错误 #

在配置c:\XYZ\web\reports\output权限时，你错误地将日志路径$mypath的ACL赋值给了$acl2，导致报表目录的权限并未正确更新。修正后的脚本如下：

sc.exe config "XYZAgent" obj= "NT AUTHORITY\NETWORK SERVICE"
sc.exe config "XYZReporting" obj= "NT AUTHORITY\NETWORK SERVICE"

# 配置日志目录权限
$mypath = "c:\XYZ\logs"
$acl = Get-ACL $mypath
$accessrule = New-Object System.Security.AccessControl.FileSystemAccessRule(
    "NT AUTHORITY\NETWORK SERVICE",
    "FullControl",
    "ContainerInherit,ObjectInherit",
    "None",
    "Allow"
)
$acl.AddAccessRule($accessrule)
Set-Acl $mypath $acl

# 配置报表输出目录权限（修正ACL来源错误）
$mypath2 = "c:\XYZ\web\reports\output"
$acl2 = Get-ACL $mypath2  # 原脚本错误使用了$mypath
$accessrule2 = New-Object System.Security.AccessControl.FileSystemAccessRule(
    "NT AUTHORITY\NETWORK SERVICE",
    "FullControl",
    "ContainerInherit,ObjectInherit",
    "None",
    "Allow"
)
$acl2.AddAccessRule($accessrule2)
Set-Acl $mypath2 $acl2

2. 额外排查点 #

（1）确保目标目录存在 #

在Dockerfile复制文件后，可能存在目录未创建的情况，可在PowerShell脚本开头添加检查：

# 检查并创建目录
if (-not (Test-Path $mypath)) { New-Item -ItemType Directory -Path $mypath | Out-Null }
if (-not (Test-Path $mypath2)) { New-Item -ItemType Directory -Path $mypath2 | Out-Null }

（2）验证服务运行账户与状态 #

容器启动后，进入容器执行以下命令：

• 确认服务运行账户：

  sc.exe quser "XYZAgent"
  

  需输出NT AUTHORITY\NETWORK SERVICE。
• 检查服务启动状态：

  Get-Service "XYZAgent"
  

  若启动失败，查看系统事件日志定位原因：

  Get-EventLog -LogName System -EntryType Error -After (Get-Date).AddHours(-1)
  

（3）容器内账户权限差异 #

Windows容器中NETWORK SERVICE的权限可能与本地环境不同，若修正ACL后仍有问题，可临时将服务改为Local System账户测试（生产环境需评估安全风险）：

sc.exe config "XYZAgent" obj= "LocalSystem"

若此方法有效，说明NETWORK SERVICE在容器中缺少隐含权限，可细化ACL配置（比如单独添加Write、Modify权限，而非直接赋予FullControl）。

（4）重置文件复制后的权限继承 #

ADD命令会保留源文件权限，可在设置ACL前重置目录继承性：

$acl.SetAccessRuleProtection($false, $false)  # 启用继承并清除现有规则
Set-Acl $mypath $acl

内容的提问来源于stack exchange，提问作者Craig Walker