IIS应用池自定义账户与SQL Server AppPool登录权限异常问题排查

核心原因：自定义账户与IIS AppPool\<poolname>的权限关联或身份模拟 #

1. 自定义账户被加入含IIS AppPool\<poolname>的Windows组 #

尽管SQL Server中仅存在IIS AppPool\<poolname>的登录名，但如果你的自定义Windows账户被添加到某一本地/域组，且该组已被授予与IIS AppPool\<poolname>一致的数据库访问权限（或直接映射到对应数据库用户），自定义账户会通过组权限继承获得访问权限。

2. 应用程序启用了身份模拟 #

若应用在web.config中配置了<identity impersonate="true" />且未指定自定义账户，此时应用会模拟应用池标识而非自定义账户身份连接SQL Server。即便应用池以自定义账户运行，模拟机制会让SQL连接使用IIS AppPool\<poolname>的安全上下文，刚好匹配SQL中已有的登录名与数据库用户映射。

3. 自定义账户继承了应用池虚拟账户的权限 #

IIS为每个应用池生成专属虚拟账户IIS AppPool\<poolname>，当切换应用池为自定义账户时，IIS会自动为该账户配置必要权限，使其能继承应用池虚拟账户的部分安全特性。若IIS AppPool\<poolname>的SQL登录名权限范围足够（比如属于db_datareader/db_datawriter角色），自定义账户可通过这一隐式关联获得数据库访问权。

4. 自定义账户为本地管理员 #

若自定义账户是本地管理员，会自动归入BUILTIN\Administrators组，而SQL Server默认会为该组创建登录名并授予高权限。此时即便没有单独的自定义账户登录名，也能通过管理员组权限访问数据库，看似匹配IIS AppPool\<poolname>映射，实则是管理员权限在生效。

自定义账户与IIS AppPool\<poolname>的关联 #

两者无直接从属关系，但存在间接关联：

• 应用池使用自定义账户时，IIS会为该账户配置作为服务登录权限，保障应用池进程正常运行。
• 若开启应用池的"加载用户配置文件"选项，自定义账户会加载自身配置文件，并继承应用池虚拟账户的部分环境变量。
• 部分IIS本地组（如IIS_IUSRS）包含所有应用池虚拟账户，若自定义账户加入该组，会间接获得虚拟账户的部分权限。

内容的提问来源于stack exchange，提问作者Anders Lindgren