GitHub Actions部署.NET Core API至IIS：无高权限启停站点方案咨询

1. 为自托管运行器创建最小权限专用账户 #

• 创建本地专用账户（而非Network Service或管理员），仅赋予以下必要权限：
  • 添加到IIS_IUSRS组，获得IIS基础操作权限
  • 授予目标Web站点根目录的读写权限，用于部署文件复制
  • 通过PowerShell或组策略，仅允许该账户启停特定目标站点/应用池（而非所有IIS资源）：

    # 示例：赋予账户启停指定应用池的权限
    $account = "LOCAL\DeploymentUser"
    $appPoolName = "YourApiAppPool"
    $rule = New-Object System.Security.AccessControl.FileSystemAccessRule($account, "FullControl", "ContainerInherit,ObjectInherit", "None", "Allow")
    $acl = Get-Acl "IIS:\AppPools\$appPoolName"
    $acl.AddAccessRule($rule)
    Set-Acl "IIS:\AppPools\$appPoolName" $acl
    

2. 用应用池回收替代站点启停 #

不需要停止整个站点，仅回收对应的应用池即可释放文件锁，部署后再预热站点：

• 部署流程调整为：
  1. 回收目标应用池：Restart-WebAppPool -Name "YourApiAppPool"
  2. 复制部署文件到站点目录
  3. 发送HTTP请求预热站点（避免首次请求延迟）：Invoke-WebRequest -Uri "https://yourapi.example.com/health" -UseBasicParsing
• 此方式仅需运行器账户拥有回收指定应用池的权限，远小于管理员权限。

3. 采用IIS部署槽（蓝绿部署） #

利用IIS的部署槽功能实现零停机部署，完全规避文件占用问题：

• 配置主站点和备用部署槽，部署流程为：
  1. 将新版本部署到备用槽的目录
  2. 验证备用槽站点运行正常
  3. 切换流量到备用槽（IIS会自动完成无缝切换）
• 运行器账户仅需拥有备用槽目录的读写权限和槽切换权限，无需操作主站点的启停。

4. 配置PowerShell JEA（最小权限管理端点） #

创建受限的PowerShell远程端点，仅允许运行器执行指定的部署相关命令：

• 步骤：
  1. 定义JEA角色，仅包含Restart-WebAppPool、Start-WebSite、Stop-WebSite等必要命令
  2. 创建JEA会话配置，关联到运行器账户
  3. GitHub Actions通过此JEA端点执行部署操作，运行器账户无需管理员权限，仅能执行预定义的受限命令

内容的提问来源于stack exchange，提问作者Suresh Kumar R