Active Directory：能否将Computer$账户加入用户组？IIS共享权限求助

当然可以把域中的计算机账户（也就是你提到的Computer$账户）添加到Active Directory的用户组里，这正是解决这类IIS应用池访问网络共享权限不足问题的常用方案之一。下面给你详细说操作步骤和注意事项：

先明确几个核心要点 #

• DOMAIN\COMPUTERNAME$是域内计算机账户的标准命名格式，这类账户默认在AD用户和计算机中是隐藏状态，所以需要先开启高级视图才能看到。
• 当IIS应用池使用ApplicationPoolIdentity身份时，访问网络资源确实会以主机的计算机账户身份进行验证，把它加入目标共享允许的用户组，就能直接解决权限不足的问题。

具体操作步骤 #

1. 打开域控制器上的Active Directory用户和计算机（或者在已安装RSAT工具的机器上运行命令 dsa.msc）。
2. 点击顶部菜单的「查看」，勾选「高级功能」，这样才能显示出隐藏的计算机账户。
3. 在左侧导航树中找到你的Web服务器所在的组织单元（OU），定位到对应服务器的计算机账户（名称格式是服务器名$）。
4. 右键点击该计算机账户，选择「属性」，切换到「隶属于」标签页。
5. 点击「添加」，在弹出的「选择组」窗口中输入你要加入的组名（比如users或admins，建议优先选users遵循最小权限原则），点击「检查名称」确认组名无误后，点击「确定」。
6. 最后点击「应用」和「确定」保存设置。

后续验证与注意事项 #

• 组策略刷新：添加完成后，建议在Web服务器上运行命令 gpupdate /force 强制刷新域组策略，确保计算机账户的组成员身份立即生效。
• 权限测试：重新访问网站的共享资源功能，验证是否已经可以正常访问；也可以在Web服务器上打开命令提示符，运行 whoami /groups 查看当前计算机账户的组归属，确认目标组已经在列表中。
• 安全建议：尽量避免将计算机账户加入admins组，除非有特殊需求，优先使用users组，减少不必要的权限带来的安全风险。
• 备选方案：如果不想修改计算机账户的组归属，也可以考虑将IIS应用池的身份改为一个属于users组的域用户账户，但这种方式需要维护域用户的密码（比如设置密码永不过期），你可以根据实际场景选择更合适的方案。

内容的提问来源于stack exchange，提问作者XDS