如何为IIS上的.NET应用配置权限以执行witadmin访问TFS集合？

核心原因 #

IIS应用的运行身份（默认是ApplicationPoolIdentity或Network Service）和服务器管理员账户并非同一身份，该运行身份没有访问目标TFS集合的权限，导致witadmin执行时鉴权失败。

解决方案 #

方案1：修改应用池运行身份为有权限的账户 #

• 打开IIS管理器，定位到你的应用对应的应用池
• 右键选择高级设置
• 在进程模型板块，修改标识为服务器上拥有TFS集合访问权限的管理员账户（或专门配置的服务账户）
• 重启应用池和站点

方案2：在witadmin命令中指定凭据 #

直接在witadmin的参数里传入有权限的账户凭据，摆脱对应用池身份的依赖：
修改代码中的Arguments参数，添加/user:和/password:参数（域账户格式为域\用户名）：

// 导出命令示例
Arguments = $"exportgloballist {TfsCollectionArgument} /user:DOMAIN\\AdminUser /password:YourPassword";

// 导入命令示例
Arguments = $"importgloballist {TfsCollectionArgument} /f:{Path.Combine(System.AppContext.BaseDirectory, "globallistsToPost.xml")} /user:DOMAIN\\AdminUser /password:YourPassword";

注意：硬编码密码存在安全风险，建议通过加密后的配置文件（如appsettings.json）存储凭据。

方案3：给应用池身份授予TFS集合权限 #

若不想修改应用池身份，可直接为当前应用池账户分配TFS集合权限：

• 打开TFS集合的管理页面，进入安全性设置
• 添加IIS应用池账户，格式为IIS APPPOOL\你的应用池名称（例如应用池名为MyAppPool，账户就是IIS APPPOOL\MyAppPool）
• 为该账户分配全局列表管理或对应权限（至少需具备读取/修改全局列表的权限）
• 保存权限设置后重启应用池

额外注意事项 #

• 确保服务器上的witadmin.exe版本与TFS服务器版本匹配，版本不兼容也可能引发类似权限报错
• 检查应用池的加载用户配置文件选项是否开启（在高级设置中），未开启可能导致无法读取PATH环境变量或用户凭据缓存

内容的提问来源于stack exchange，提问作者AoooR