无管理员权限能否启动IIS Manager托管Blazor Server项目

你首先不需要担心「IIS服务始终以管理员权限运行」的问题——完全无管理员权限无法完整使用IIS Manager的配置功能，但IIS本身的服务运行默认就是低权限的，仅在你做配置变更的短时间内需要提权，不存在高权限常驻的安全风险。

很多人会混淆IIS管理工具的操作权限和IIS服务的运行权限：

• IIS的核心工作进程（w3wp.exe，也就是你托管的应用实际跑的进程）默认使用ApplicationPoolIdentity虚拟账户运行，这是个权限被严格裁剪的本地低权账户，根本没有管理员权限。你平时右键选择「以管理员身份运行」IIS Manager，只是为了修改系统级的站点、端口、应用池配置时能通过系统权限校验，等你配置完关掉管理器，后台服务全程都在低权上下文里运行。
• 普通非管理员用户确实能双击打开IIS Manager的界面，但所有涉及配置修改、应用池/站点重启、绑定调整的操作都会被系统拦截，要么弹UAC要求提权，要么直接报权限不足，只能只读查看现有配置，没有实际运维意义。

针对你要部署的Blazor Server项目，只需要单次提权完成以下配置即可，后续不需要长期持有管理员权限：

• 单次用管理员身份启动IIS Manager，完成基础配置：
  • 新建独立应用池，.NET CLR版本选择「无托管代码」，托管管道模式保持集成模式，应用池标识保留默认的ApplicationPoolIdentity即可，不要修改为高权限系统账户
  • 新建站点，物理路径指向你VS发布的项目文件夹，绑定对应端口/域名证书，记得提前在服务器功能里启用IIS的WebSockets支持（Blazor Server的实时通信依赖这个组件）
  • 给你刚创建的应用池对应的虚拟账户（格式为IIS AppPool\你的应用池名称），分配发布文件夹的读取+执行权限即可，不要给整个盘符、系统目录的权限，也不要默认给完全控制权限
• 如果需要给普通运维人员分配日常运维权限，不需要给整台服务器的本地管理员权限：
  • 用管理员账号打开IIS Manager，选中服务器根节点，找到「IIS管理器权限」功能
  • 把需要授权的普通本地/域用户添加进去，按需给对应站点分配委托管理权限即可，被授权的普通用户后续打开IIS Manager连接指定站点时，不需要全局管理员权限就能完成站点重启、配置微调这类操作
• 所有配置完成后直接关闭IIS Manager就行，后台的Blazor Server应用会持续在低权应用池账户下运行，不会有管理员权限常驻的风险。

• 不要在服务器上长期用管理员账号挂着IIS Manager后台，配置完成及时关闭
• 如果你的Blazor Server应用有文件上传、临时文件生成需求，单独给对应的上传/临时目录分配写入权限，不要给整个发布目录开放写权限
• 定期把应用池配置为定时回收，进一步降低长期运行的权限风险

内容的提问来源于stack exchange，提问作者meteorra