Windows Server 2019 IIS站点以域用户运行无法加载静态内容的排查咨询

该报错的核心原因并非Windows身份验证的模拟配置不兼容，而是两类请求的处理链路差异导致的：

• .aspx动态请求由ASP.NET托管运行时处理，可绕过部分权限校验正常加载数据
• 静态文件（HTML/CSS/JS）请求由IIS内核模式的静态文件模块直接处理，对应用程序池标识的NTFS权限校验更严格，权限不足时会直接触发500错误

把域服务账户加入本地管理员组后静态文件可正常加载，进一步印证了权限不足是核心问题，该操作完全违背最小权限安全原则，可通过以下精准配置替代。

• 配置站点物理路径的基础NTFS权限
  为运行应用程序池的专用域服务账户，授予站点根目录的「读取 & 列出文件夹内容、读取」权限，确认权限继承未被阻断，避免存放静态资源的子目录出现权限隔离；若站点有文件上传需求，仅单独给上传目录授予「修改、写入」权限即可。
• 校验应用程序池的基础运行权限
  打开本地安全策略（运行secpol.msc），依次进入「本地策略-用户权限分配」，找到「作为服务登录」权限项，将专用域服务账户添加到授权列表中，这是Windows Server 2019上域账户承载应用池进程的基础要求。
  回到IIS管理器打开对应应用程序池的高级设置，在「进程模型」板块中将「加载用户配置文件」设置为True，避免域账户在非交互式运行时出现用户配置加载失败导致的权限异常。
• 确认静态文件处理映射的权限配置
  在IIS管理器选中对应站点，进入「处理程序映射」面板，找到StaticFile映射条目，右键打开「编辑权限」，确认该映射的运行身份为「应用程序池标识」，无需对静态文件请求开启客户端模拟，该配置为系统默认设置，若被修改会直接打断静态文件的权限校验链路。
• 关于模拟权限列表的说明
  排查中发现「身份验证后模拟客户端」设置列表未显示IIS_IUSRS、添加选项处于禁用状态属于正常现象：该权限是Windows 2000/XP时代的旧版配置项，当前Windows Server 2019中系统内置的IIS_IUSRS组、应用程序池标识已经默认具备该权限，无需手动添加；系统弹出的版本不兼容提示为通用提示，与当前报错无关联，无需调整该设置。

• 调整后无需将域服务账户加入本地管理员组，即可正常加载所有静态资源
• 已配置的域服务账户SQL Server读写权限不受影响，aspx页面访问数据库的链路保持原有逻辑，不会出现权限异常

内容的提问来源于stack exchange，提问作者Gareth