应用程序池因密码过期而停止，本质是域账户凭据失效导致身份验证失败；需同步更新IIS应用池“标识”和关联Windows服务的登录密码，并确保账户属IIS_WPG等必要本地组，最后启动并回收池以生效。

应用程序池因密码过期而停止，本质是身份凭据失效引发的权限中断。iis 不会自动同步 active directory 中更新的密码，一旦应用池所用的域账户密码过期或被重置，池就会在下次启动或回收时无法验证身份，直接进入“已停止”状态，访问网站即返回 503 service unavailable 错误。

确认应用程序池是否因密码问题停止

打开 IIS 管理器 → 展开“应用程序池”，观察目标池（如 MSSharePointPortalAppPool 或 Management Reporter）状态是否为“已停止”。右键点击该池 → “属性” → 切换到“标识”选项卡，检查“用户名”字段是否为域账户（格式如 DOMAIN\svc-apppool）。若为本地系统账户（如 ApplicationPoolIdentity 或 LocalSystem），则基本排除密码问题；若为域账户，且近期发生过密码策略变更或账户锁定，则高度可疑。

更新应用程序池账户密码

必须在两个位置同步更新密码，缺一不可：

Windows TTS (WSL2)

在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。

下载

• 在 IIS 管理器中：右键目标应用程序池 → “属性” → “标识”选项卡 → 勾选“配置” → 在“密码”和“确认密码”框中输入当前有效的域账户密码 → 点击“确定”
• 在 Windows 服务中（如该池关联后台服务）：打开“服务”管理控制台（services.msc）→ 找到对应服务（如“管理记者进程服务”）→ 右键 → “属性” → “登录”选项卡 → 选择“此帐户”，点击“浏览”确认账户 → 在“密码”和“确认密码”栏重新输入相同有效密码 → 点击“应用”

验证账户权限与组成员身份

仅改密码还不够。域账户必须是服务器本地组 IIS_WPG 和 STS_WPG（SharePoint 场景）或 IIS_IUSRS（通用场景）的成员：

• 打开“计算机管理” → “本地用户和组” → “用户” → 找到该账户 → 右键 → “属性” → “成员属于”选项卡
• 确认列表中包含 IIS_WPG（IIS 工作进程组）；若为 SharePoint 或 MR 环境，还需有 STS_WPG；若为标准 Web 应用，IIS_IUSRS 是必需项
• 如缺失，点击“添加”→ 输入组名→“检查名称”→“确定”

重启并验证运行状态

完成上述操作后：

• 在 IIS 管理器中，右键该应用程序池 → 先“启动”，再右键 → “回收”确保新凭据生效
• 刷新网站，检查是否恢复访问；同时查看 Windows 事件查看器 → “Windows 日志” → “系统”和“应用程序”，筛选来源为 WAS 或 W3SVC 的错误事件，确认无“身份验证失败”或“拒绝访问”类报错
• 建议后续启用账户“密码永不过期”策略（适用于服务账户），并在密码即将到期前主动轮换，避免突发中断