Windows Server 2003 + IIS6.0 网站出现“401.3 未授权：访问由于 ACL 设置被拒绝”，如何解决？
在 Windows Server 2003 操作系统中，使用 IIS 6.0 部署网站时，如果访问页面提示：
解决流程如下：
HTTP 错误 401.3 - 未经授权：访问由于 ACL 对所请求资源的设置被拒绝表示 IIS 虽然通过了身份验证，但因为 NTFS 文件系统的访问控制列表（ACL）权限限制，导致无法读取目标文件。以下是常见原因及解决方案。
一、错误原因分析
| 原因 | 描述 |
|---|---|
| 文件或目录 NTFS 权限不足 | 网站运行账户（如 IWAM_xxxx 或 IUSR_xxxx）没有读取权限 |
| IIS 匿名用户身份验证配置错误 | 匿名访问使用的账户不存在或权限异常 |
| 应用程序池身份验证账户权限受限 | 自定义应用程序池账户无访问权限 |
| 系统安全策略限制 | 组策略或本地安全策略阻止访问 |
二、排查与解决步骤
✅ 步骤1：确认网站使用的匿名用户账户
- 打开 IIS管理器；
- 右键你的网站 → 属性 → 切换到【目录安全性】选项卡；
- 点击“匿名访问”旁边的“编辑”按钮；
- 查看当前使用的匿名用户账户：
- 默认为
IUSR_<计算机名>； - 若勾选“使用自定义用户名”，则为指定账户。
- 默认为
✅ 步骤2：为匿名用户添加 NTFS 访问权限
- 进入网站根目录（如
C:\inetpub\wwwroot）； - 右键点击该目录 → 属性 → 安全标签页；
- 点击“添加” → 输入之前查到的匿名用户（如
IUSR_<计算机名>）； - 勾选以下权限：
- 读取 & 执行
- 列出文件夹内容
- 读取
- 点击“应用”保存设置。
✅ 步骤3：检查应用程序池身份验证账户权限（可选）
- 如果你设置了特定的应用程序池运行账户（非默认）：
- 请确保该账户也拥有网站目录的读取权限；
- 否则将导致即使认证成功也无法访问资源。
✅ 步骤4：启用匿名访问并确认状态
- 在 IIS 管理器中打开网站属性；
- 【目录安全性】→ “匿名访问”必须勾选；
- 如果禁用匿名访问，请确保客户端提供了有效的身份验证凭据（如集成Windows身份验证）。
✅ 步骤5：重启 IIS 服务生效设置
- 执行以下命令刷新 IIS：
bash
iisreset
三、其他建议
- 避免使用 Everyone 权限：虽然可以临时解决问题，但存在安全隐患；
- 定期检查权限继承：确保子目录权限与父目录一致；
- 升级服务器环境：Windows Server 2003 已停止官方支持，建议迁移到更高版本系统以提升安全性与兼容性；
- 查看日志辅助排查：路径一般为
C:\WINDOWS\system32\LogFiles，可查找具体拒绝访问记录。
四、总结
出现 HTTP 401.3 错误，说明 IIS 身份验证已通过，但由于 NTFS 文件系统权限限制，导致无法访问网站资源。解决流程如下：
- 查看匿名用户账户；
- 为其分配网站目录的读取权限；
- 检查应用程序池账户是否也有权限；
- 确保匿名访问已启用；
- 必要时重启 IIS 或查看日志进一步定位问题。
更新时间：2025-05-15 13:15:51