Windows多媒体站点搭建：18年经验一键权限配置

　　去年十二月，我蹲在IDC机房第三排冷通道里改IIS MIME映射表，后颈全是汗——不是热的，是那个刚部署完的Windows多媒体站点又开始406 Not Acceptable，但日志里连User-Agent都打不出来。运维老张隔着机柜喊：“你先别动applicationHost.config，销售刚挂电话说对方CDN厂商的缓存策略和你们不兼容。”我嗯了一声，顺手把咖啡杯搁在机柜顶上，杯底印着“Azure Media Services 2021”，早掉漆了。

文章配图，仅供参考

　　就这事儿，现在他们管它叫“18年经验一键权限配置”。哈。我原以为是个PowerShell脚本打包了所有NTFS ACL + IIS Authorization Rules + Windows Auth Provider链路，结果点开那个bat文件——里面塞了三十七行reg add，两处icacls绕过UAC的临时提权hack，还有四条netsh http add urlacl写死了127.0.0.1:8081，可我们根本没用8081。我敢打包票，那行命令是抄的某家广电客户的旧配置，他们当年用WAS做流媒体中继，早就退市了。

　　优胜劣汰？对。不是技术优胜，是活下来的人优胜。上周五测试时，后端小王硬是把一个MP4文件塞进Content-Disposition头里带中文filename，IIS直接500，错误日志里只打印出“无法序列化HTTP响应头”，没写哪一行——结果排查了六小时，最后发现是web.config里里某条X-Powered-By被手动删了一半，剩下半个引号。这种东西能跑通三年不报错，也能在某次.NET运行时补丁后当场死机。没人维护，全靠撞。谁撑得住谁就是“经验”。

　　监控大屏右下角那个“边缘命中率”指标忽然抖了一下，从92.7%掉到89.3%，持续了十八毫秒。没人理，因为左边另一个更红的告警在闪：SQL Server Agent Job失败。我盯了三秒，转头去倒水——饮水机贴着张泛黄便签：“换滤芯日期：已超期47天”，字是采购部实习生写的，底下还画了个歪斜笑脸。我拧开盖子的时候，厂商销售又打电话来，问“您这边是否考虑将RTSP网关统一纳管进他们的智能编排平台”，我没挂，就听着，听他讲完三分钟PPT话术，然后说：“你们上次发的证书吊销列表，怎么漏了CN=win-media-prod-03这个域名？”他顿了两秒，说“稍等”，再就没声儿了。

　　那个节点分布图……你们见过吗？就是每次扩容会议投影出来的那张蓝色拓扑图，标注了全国十二个边缘节点，其中西安节点旁边不知谁手滑点了个小红点，标着“（测试中）”，可它已经在线跑满两年多。没人改，没人删，也没人点进去看是不是真在测试。我们就照着那张图配ACL规则，往每个节点推一样的SDDL字符串，包括那个红点——推完它果然拒了所有HLS请求，但没人发现，因为流量压根没导过去。这算优胜？不，这算幸存偏差。活着的规则，不等于对的规则。

　　我昨天翻旧Git log，发现2019年有个commit message写着：“fix auth fallback for legacy WMP clients (IE8 + DirectShow)”，下面diff是删掉了两行，加了一行。现在谁还用WMP播H.265？可这配置还在prod环境里飘着。我说不准它到底有没有生效——毕竟WMP自己都进博物馆了，但万一哪个医院影像系统还在走ActiveX控件呢？不敢动。就像三百七十二条purge规则里，有二百零三条压根没命中标记，只是二十年前某次CDN迁移时批量导入的废规则。你敢删？不敢。你敢留？心慌。

　　KPI这事我懒得提，但得说一句：上季度“多媒体服务SLA达标率”报表里，那个99.95%其实是拿三个可用性数据拼的：IIS进程存活、MSE解码器初始化成功率、以及一个根本没人看的日志滚动间隔——因为真正的媒体分片延迟毛刺，压根不在监控维度里。财务部要折算成“每千次播放故障成本”，我就拿这三组数套了个加权公式，凑出来比上季度高0.03个百分点。领导没细问，采购流程单据上签字比我签名还快。

　　所以你现在问我“一键权限配置”到底靠不靠谱？我说不准。但我知道，当运维老张第三次把你拉进紧急会议，说“客户反馈点开MP4页面白屏”，你打开F12 Network面板看到Accept头是video/, /，而IIS返回Content-Type是text/html，你就该立刻去查web.config里那块——不是查它写没写对，是查它上一次被编辑是什么时候，谁改的，改之前有没有备份。那个备份文件夹里，说不定还躺着2007年XP SP2时代的applicationHost.config原始备份，压缩包名是“iis7_migr_backup_071123.zip”，解压密码是我们第一个APP上线那天的值班手机号——我已经忘了。

　　下一步？我把那个“一键配置”脚本里的所有reg add都替换成rem reg add，然后让小王明天上午十点前，手动逐台登录所有边缘节点，用icacls /save 导出当前ACL快照，存在D:\\acl_snap\\202412_subdir\\下，子目录名按服务器名拼音首字母建。别命名成“final_v2_fix”，就叫a、b、c……要是他问为什么，就说：“上个月西安节点那个红点，也是这么来的。”

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!