Win Server 2019中ASP.NET应用登出遇Security Exception及注册表权限问题求助

1. 夺取注册表项的所有权 #

默认情况下HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\State的所有权归SYSTEM账户，普通管理员无法直接修改权限，需先夺取所有权：

• 打开注册表编辑器（regedit.exe），定位到目标路径
• 右键该注册表项 → 权限 → 高级
• 点击所有者旁的更改，在弹出的窗口中输入当前管理员账户名，点击检查名称确认后确定
• 返回高级权限窗口，勾选替换子容器和对象的所有者，应用并确认所有弹窗

2. 分配目标账户权限 #

所有权变更完成后，给ASP.NET应用的运行账户分配权限：

• 回到注册表项的权限窗口，点击添加
• 输入应用的运行身份（通常是IIS APPPOOL\你的应用池名称，若使用本地账户则直接输入账户名），检查名称后确定
• 给该账户勾选读取和写入权限，应用并保存

3. PowerShell命令行强制修改（可选） #

若GUI操作仍失败，以管理员身份打开PowerShell执行以下命令：

# 定义注册表路径
$regPath = "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\State"

# 获取当前ACL并设置所有者为管理员账户
$acl = Get-Acl $regPath
$owner = New-Object System.Security.Principal.NTAccount("你的管理员账户名")
$acl.SetOwner($owner)
Set-Acl $regPath $acl

# 给应用运行账户添加读写权限
$rule = New-Object System.Security.AccessControl.RegistryAccessRule(
    "IIS APPPOOL\你的应用池名称", 
    "Read,Write", 
    "ContainerInherit,ObjectInherit", 
    "None", 
    "Allow"
)
$acl.AddAccessRule($rule)
Set-Acl $regPath $acl

4. 检查组策略限制 #

若以上操作仍失败，排查组策略是否限制了注册表修改权限：

• 打开本地组策略编辑器（gpedit.msc）
• 定位到计算机配置→Windows设置→安全设置→本地策略→用户权限分配
• 确保当前管理员账户未被限制“修改注册表”相关权限，且没有拒绝类的权限项

内容的提问来源于stack exchange，提问作者Lyn