IIS PHP 呼叫 COM 元件權限問題完整解決：DCOM 設定、Web.config 偽裝、應用程式池身分

問題

PHP 在 IIS 下 `new COM("Word.Application")` 等呼叫失敗，拋出權限相關 `com_exception`。

分層解決方案

1. DCOM 設定（元件層）

1. 執行 `dcomcnfg.exe`
2. 元件服務 → 電腦 → 我的電腦 → DCOM 設定 → 找到「Microsoft Word Document」
3. 右鍵內容 → 安全性 標籤
4. 「啟動及啟用權限」→ 自訂 → 編輯 → 新增 **Everyone**（或精確加入 `IUSR_機器名`、`IIS_IUSRS`）→ 允許「本機啟動」「遠端啟動」
5. 「存取權限」同樣新增允許
6. 身分識別 標籤 → 選「互動式使用者」→ 確定

2. Web.config 偽裝（ASP.NET 應用程式層）

若網站為 ASP.NET 應用程式，需在 `` 區段啟用偽裝：

<configuration>
  <system.web>
    <identity impersonate="true" />
  </system.web>
</configuration>

使 ASP.NET 請求以匿名使用者（IUSR）或驗證使用者身分執行，取得對應 DCOM 權限。

3. IIS 應用程式池身分（進程層）

若上述仍失敗，將應用程式池身分改為 **LocalSystem**：

IIS 管理員 → 應用程式池 → 選擇池 → 右鍵進階設定
→ 程序模型 → 身分識別 → LocalSystem
→ 確定 → 回收應用程式池

LocalSystem 擁有完整桌面互動權限，可解決多數 COM 元件「需要桌面」的問題。

權限最小化建議（生產環境）

• 勿長期使用 LocalSystem，建立專用服務帳號（最小權限），設定 DCOM 「此使用者」為該帳號，應用程式池身分同步設定。
• 定期稽核 DCOM 安全性日誌，移除 Everyone 完整控制。
• 考慮將 COM 操作移至獨立 Windows 服務（Named Pipe / HTTP API 通訊），Web 層僅發送指令，隔離權限風險。

適用 IIS 6.0 (Win2003) / IIS 7+ (Win2008+) 通用原則。