Parece que IIS AppPool\DefaultAppPool
não era a conta certa para definir as permissões - com muita tentativa e erro e usando uma página com get-current-user
do php, descobri que a conta IUSR também precisa de acesso à pasta wwwroot. Eu dei o acesso IUSR para a pasta - todos, mas excluir e acesso total - e carregou a página bem.