远程IIS客户端改Advanced Settings后Application Pool停止故障

故障表现 #

• 通过远程IIS客户端在「Advanced Settings」窗口修改任意配置项并保存后，对应Application Pool会自动停止
• 故障应用池无法正常启动：要么执行启动操作后立刻停止，要么能启动但接收到第一个Web请求时马上终止，始终无法正常对外提供服务
• 故障触发时无显性报错：Event Viewer中检索不到任何和该应用池停止相关的错误日志

已知特征 #

• 临时修复逻辑非常明确：出现故障后，在同一个Advanced Settings窗口重新录入当前应用池Identity配置使用的账号凭据，Application Pool即可完全恢复正常运行
• 故障存在明确触发边界：仅通过远程IIS客户端修改配置会触发问题，直接登录服务器本地修改相同配置项时，不会出现任何异常

根因说明 #

这个问题不少运维都踩过，属于IIS远程管理的已知老坑：
IIS存储自定义应用池Identity的密码时，会基于服务器本地的机器密钥做加密存储。当你通过远程IIS客户端连接服务器修改配置时，保存操作会错误使用客户端本地机器的密钥重写applicationHost.config中对应应用池processModel节点下的加密密码字段，导致服务器后续无法解密出正确的身份凭据，应用池因为身份校验失败直接静默停止。
之所以事件查看器没有相关报错，是因为默认配置下这类凭据校验失败的日志会被IIS快速失败保护机制过滤，没开W3SVC服务详细调试日志的场景下根本不会留下错误记录。

验证&规避方案 #

• 快速验证方法：故障触发后直接打开服务器路径C:\Windows\System32\inetsrv\config\applicationHost.config，定位到对应故障应用池的processModel配置节点，能看到password属性的加密值和本地正常修改配置时存储的加密值格式、长度存在明显差异
• 日常规避方式：
  • 涉及修改应用池Identity相关配置时，优先登录服务器本地操作
  • 如果需要使用远程IIS客户端修改其他非身份相关配置，改之前可以先把应用池Identity临时切到NetworkService这类内置账户，改完其他配置再切回自定义账户重新录入凭据，即可避免触发故障
  • 可以提前在服务器端开启IIS配置审计日志，后续出现同类配置异常时可以快速定位到被篡改的配置节点

内容的提问来源于stack exchange，提问作者yomer