IIS 有问必答 - 2005 年 6 月
“URL”不属于 401 自定义错误的选项
问：
我通过远程桌面连接（作为管理员），在 Windows 2000 Server（带 Service Pack 4）下使用 IIS 5。例如，我可以用一个 URL 来自定义错误 404，一切都没问题。但对，对于所有 401 错误，URL 未被列为选项（仅有 File 或 Default）。有没有办法自定义 401.x 错误页吗？我托管的是静态页。
答：
这个问题问得很好！在讨论这种定制行为（指仅支持“Default”和“File”模式的 401 自定义错误的行为）之前，我们先来看一下状态代码。错误 404 指示未找到请求的页，而 401 错误则指示有关安全性的错误。401 错误重点突出遭拒绝的访问，具体原因有很多，包括身份验证和授权的失败。下表列出了 401.X 子状态代码及相关的描述：
| 状态代码 | 描述 |
401.1 | Login failed（登录失败） |
401.2 | Login failed due to server configuration（由于服务器配置，登录失败） |
401.3 | Unauthorized due to ACL on resource（由于资源上的 ACL，未授权） |
401.4 | Authorization failed by filter（由于筛选器，授权失败） |
401.5 | Authorization failed by ISAPI/CGI application（由于 ISAPI/CGI 应用程序，授权失败） |
401.7 | Access denied by URL authorization policy on the web server（由于 web 服务器上的 URL 授权策略，访问被拒绝）（仅对 IIS6） |
注意：在 IIS 6 中，上述这些特定的错误代码称为子状态代码，均被捕获在一个 IIS 日志文件中。然而，低于 IIS 5 及更低的版本，这些特定的错误代码并未被捕获在 IIS 日志文件中，而是显示在浏览器中。有关完整的 IIS 状态代码，请参阅以下知识库文章：318380
现在回到刚才的问题上：为何 IIS 对 404 自定义错误提供了“Default”、“File”和“URL”模式，而只对 401 错误提供了“Default”和“File”模式呢？在“Default”设置中，将发送标准的 HTTP 1.1 错误消息。譬如，401.3 会发送错误消息：“Unauthorized due to ACL on resource（由于资源上的 ACL，未授权）”。“File”选项允许您发送一个包含在 IIS 安装中的预定义的静态 HTML 文件。在 IIS 5.0 中，IIS 自定义错误消息的预定义的 HTML 文件位于：%windir%/Help/iisHelp/common。
那么，“URL”选项又如何呢？该选项对错误 401、407 和 502 不可用。出现 401.X 错误时，IIS 没有用户上下文来执行请求，只会回复一条静态错误消息，而不是另一个动态内容——因为那样会产生另一个 401.X 错误。譬如，匿名访问某个网站时，默认的请求标识用户帐户为 IUSR_COMPUTERNAME 帐户。假如该匿名帐户在一个 ASP 页上遇到了一个 401.1“Login failed（登录失败）”错误消息，那么 IIS 将没有其它用户上下文来进行进一步处理，并且无法检索自定义错误消息（例如：将请求重定向到另一个基于 URL 的访问，如
http://www.yourserver.com/customerror.asp）。所以，IIS 会返回一个“File”选项所指定的静态 HTML 错误消息。“URL”功能在 401.X 自定义错误消息配置中，被有意地删除了。
IIS 6.0 可支持的网站数量
问：
IIS 6.0 可支持多少个网站？
答：
2,111 个网站。实际上，这个数字是我的车牌号，并不是可支持的网站数。这个问题涉及的情况很复杂，不好回答。具体的答案与下列问题的答案大致相同：“IIS 6 可支持多少个应用程序池？”或“IIS 6 计算机可处理多少名用户？”。可惜，没有直接的公式可以推导出这些答案。与 IIS 5 差不多，我曾见过一台服务器在生产环境中运行 1,500 个站点，而我那台配有四颗 CPU 的计算机仅承载着两个站点。在 IIS 6 发布之前，Microsoft IT 机构曾在 IIS 6 上进行过压力测试，让其运行 20,000 个站点和数百个应用程序池。所以，这个问题的答案“取决于”您的硬件配置（CPU、内存、硬盘驱动器、网络等等）和应用程序（复杂性、带宽等等）。只要了解了服务器的这些细目，您就可以大致估计出它能支持多少个站点了。假如，您有一条 T1 (1.5mbps) 线路，页大小的平均速度为 5Kbs，那么每秒钟大致可以处理 27 个下载页。初步估算后，还必须进行测试，看看能否通过调整，获得最佳的性能。位于以下地址上的案例研究：
http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/caa232a0-80d2-48da-9699-9b06bf79440d.mspx介绍了 ASP.NET 应用程序的容量规划过程，并提供了一些有关优化和扩展的技巧。
如果您正在使用非 ASP.NET 内容（比如其它 ISAPI 扩展或 CGI's），那么还应阅读IIS 6.0 性能优化 指南，有助于您优化 IIS 6 计算机。
您的容量上限取决于服务器硬件。对于所创建的每个应用程序池，IIS 都会对其分配一定量的资源。例如，与在 30 个不同的应用程序池中运行 50 个 ASP.NET 应用程序相比，在一个应用程序池中承载 200 个静态网站通常将消耗更少的资源。IIS 没有硬编码限制——这里的窍门在于容量管理。您可以在以下地址上，参阅有关容量管理的 Microsoft Operations Framework (MOF) 最佳实践建议：
http://www.microsoft.com/technet/itsolutions/cits/mo/smf/smfcapmg.mspx.
IUSR_MachineName 帐户不执行身份验证
问：
我已经将服务器从 Windows 2000 Server 和 IIS 5.0 升级到了 Windows Server 2003 和 IIS 6.0。如今，我无法对我的一些网站的 IUSR_MachineName 帐户进行身份验证。我不知道问题出在哪里，也不知道如何解决。
答：
这个问题也问得很好，不过要是您知道了原因的话，可能会觉得很吃惊。这个身份验证功能是 IIS 的旧版本引入，通常称为 IIS 子验证。随着引入 IIS 6.0 和全新的高度安全的默认安装程序，Microsoft 决定在完成升级后，消除这个功能，以提高安全性。这个决定已付诸实施，因为具体解决办法很繁琐，而且安全“风险”也更高。
让我们先来了解一下 IIS 子验证。IIS 子验证是在 iissuba.dll 组件（位于 %windir%\system32）中执行的。该组件设计用于协助管理员在预 Active Directory 环境中，避免由于无效的登录尝试（比如：拒绝服务攻击），而导致匿名用户帐户被锁定或禁用。虽然子验证的原理很完善，但是所涉及的安全问题却要比许多管理员或 Microsoft 所想象的要严重一些。所以，Windows Server 2003 系统禁用了该功能。
为了使上述组件正常工作，必须将其载入一个以带有提升的用户权限的标识运行的进程。该权限称为可信计算基 (TCB) 权限，是专门预留给本地系统帐户的。该权限使 IIS 可以成功地为没有密码的用户模拟登录。您可以做到这一点，因为有关进程作为具有提升的权限的本地系统运行着。
不过，请亲自测试一下；在 IIS 6.0 中的具体实现方法，请见下方：
（注意：请先在测试环境中进行试验）
1. | 使用下列命令，注册 IIS 子验证组件： %windir%\system32\inetsrv\rundll32 iissuba.dll, RegisterIISSUBA 注意：该命令视具体情况而定 |
2. | 在 IIS 6.0 中，确认您正在 IIS 的默认工作进程隔离模式下运行。具体方法：在命令行中执行以下命令： cscript adsutil.vbs set w3svc/IIs5IsolationModeEnabled a�?falsea�? 注意：升级的默认行为就是使该属性为 True，以确保完成升级后，具有最高的兼容性。 |
3. | 打开“管理工具”文件夹中的“IIS 管理器”。 |
4. | 定位“应用程序池”文件夹下的 DefaultAppPool。右键单击并选择“属性”。在“标识”选项卡上，选择作为“本地系统”运行。 |
5. | 最后的配置步骤就是启用 IIS 的匿名密码同步功能。 具体方法：在命令提示符窗口中，执行以下命令： cscript adsutil.vbs set w3svc/anonymouspasswordsync true 注意：在 IIS 管理器用户界面的“服务”选项卡上，也可以实现上述操作。这一更改需要重新启动 IIS，才能生效。 |
若要进行测试，请更改 IUSR_MachineName 帐户的密码，使之与配置数据库中所列的密码不同。这样做可以模拟在密码无效的情况下成功执行登录的行为。可通过执行以下操作之一，来实现这一点：
| • | 在 Windows Server 2003 计算机的“本地用户”中，更改 IUSR_MachineName 的密码 |
| • | 编辑 AnonymousUserPass 配置数据库属性，并将其设为无效的密码。 |
对于该例，我们将采取最简单的方法，更改 Windows Server 2003 计算机上的密码。请执行下列操作：
1. | 打开“计算机管理”管理单元 MMC；定位“本地用户和组”，并突出显示“用户”文件夹。 |
2. | 右键单击“IUSR_MachineName”，并选择“设置密码”。 |
3. | 随意更改密码。 |
上述操作将有效地导致任何使用匿名用户帐户的登录尝试失败，因为保存在配置数据库中的用户名和密码不正确。这种情况类似于管理员、用户或服务更改了某个帐户密码时的情景。
既然我们已经认识了 IIS 子验证，那么就可以更好地了解为什么您会在完成升级后，遇到这个问题。IIS 5.x 的默认配置数据库设置是将 AnonymousPasswordSync 设为“true”，来启用该功能。在 IIS 5.x 上，默认注册并启用了 iissuba.dll 组件，并且核心 web 服务器作为“本地系统”(Inetinfo) 运行。IIS 6.0 的情况则不一样：既不注册该组件，也没有任何工作进程作为带有提升的权限的“本地系统”运行。若要改变这种行为，您就需要启用子验证，或者纠正 IUSR_MachineName 或自定义的匿名帐户的密码问题。
在多数情况下，请通过更改密码而不要通过启用子验证，来解决这个问题。子验证仍旧存在的原因不是为了支持旧的应用程序，而且除非您的业务很紧急，否则 Microsoft 不推荐您使用该功能。
IIS 产品小组已经推出了一个工具，可协助您诊断有关身份验证和授权失败的问题。该工具名为 Authentication and Access Control Diagnostics 1.0 (AuthDiag)，已经随 IIS Diagnostics Toolkit（可从“Microsoft 下载中心”下载）一同发布了。若要使用 AuthDiag，请从以下地址下载 IIS Diagnostics Toolkit 1.0：
http://www.microsoft.com/downloads/details.aspx?FamilyID=e90fe777-4a21-4066-bd22-b931f7572e9a&DisplayLang=en。 有关 IIS Diagnostics Toolkit 的详细信息，请访问：
http://www.microsoft.com/windowsserver2003/iis/diagnostictools/default.mspx。
有关 IIS 6.0 中的子验证的更多详细信息，可以在“Windows Server 2003 技术中心”站点上，参阅相关文档
（http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/22e38464-acb3-48cd-87e5-c554ef6e3ccd.mspx）。
更多信息
如有问题，请提交给IIS 有问必答。 虽然无法保证回答每个问题，但是挑选出的问题会连同答案一起刊登在下一期的 IIS 有问必答 专栏中。
若要获得 IIS 有问必答 专栏前几个月份的问答列表，请单击此处。
我们代表 Microsoft Corporation 衷心希望本文中的信息能对您有所帮助。但是应由您自己承担使用本文中的信息所带来的风险。本文中的所有信息都“按原样”提供，对于其准确性、完整性、针对特殊用途的适用性、所有权和不侵权原则，均没有任何明示或暗示的担保；本文提及的任何第三方产品和信息，Microsoft Corporation 未参与创作，不为它们提供支持，也不向您推荐或作出任何保证。对于因使用这些信息而造成的任何损失，不管是直接的、间接的、特殊的、偶然的还是必然的，Microsoft Corporation 均不承担任何责任，即使 Microsoft Corporation 已被告知可能会发生这种损失也是如此。