IIS使用自定义账户为应用池标识时无法检测USB token的权限配置问题

• 首先调整IIS应用池基础配置
  打开IIS管理器，进入目标应用池的「高级设置」，找到「加载用户配置文件」选项，设置为True。注意：该配置默认对自定义标识关闭，会导致系统无法加载用户证书存储与硬件设备访问上下文，是绝大多数同类问题的根因，可优先修改验证
• 配置USB硬件设备访问权限
  1. 打开设备管理器，找到对应的USB Hardware Token设备，右键进入「属性」-「安全」选项卡
  2. 点击「编辑」按钮添加你的自定义用户账户，给该账户勾选「读取」「完全控制」权限后保存生效
• 配置PKCS#11驱动访问权限
  找到Pkcs11Interop包调用的厂商提供的PKCS#11驱动文件（通常为xxx_pkcs11.dll格式），右键进入文件属性的「安全」选项卡，给自定义用户添加「读取和执行」权限
• 调整本地安全策略配置
  1. 运行secpol.msc打开本地安全策略编辑器
  2. 依次进入「本地策略」-「用户权限分配」目录
  3. 找到「创建全局对象」策略，添加你的自定义用户账户到授权列表
  4. 找到「作为服务登录」策略，确认你的自定义用户已在授权列表中，未找到则手动添加
• 配置证书私钥访问权限
  运行mmc添加「证书」管理单元（选择计算机账户维度），找到USB Token内置的对应证书，右键进入「所有任务」-「管理私钥」，给自定义用户添加「读取」权限

所有配置完成后，回收对应IIS应用池、重启站点即可验证功能是否正常。

内容的提问来源于stack exchange，提问作者Mahmoud Obra