Tổng quan về quyền IIS7 - ApplicationPoolIdentity

Gần đây chúng tôi đã nâng cấp lên IIS7 như một máy chủ web lõi và tôi cần một cái nhìn tổng quan về các quyền. Trước đây, khi cần ghi vào hệ thống tệp, tôi sẽ cấp cho người dùng AppPool (Dịch vụ mạng) quyền truy cập vào thư mục hoặc tệp.

Trong IIS7, tôi thấy, theo mặc định, người dùng AppPool được đặt thành ApplicationPoolIdentity. Vì vậy, khi tôi kiểm tra trình quản lý tác vụ, tôi thấy rằng một tài khoản người dùng có tên 'WebSite.com' đang chạy Quy trình IIS ('Website.com' là tên của trang web trong IIS)

Tuy nhiên, tài khoản người dùng này không tồn tại nếu tôi cố gắng sử dụng tài khoản đó để cấp quyền. Vì vậy, làm cách nào để xác định người dùng nào cũng cấp quyền?

Chỉnh sửa ================================================= =============================

Xem bên dưới cho vấn đề trong ảnh chụp màn hình. Trang web của chúng tôi (www.silverchip.co.uk) chạy trên tên người dùng SilverChip.co.uk. Tuy nhiên khi tôi thêm pemissions, người dùng này vẫn tồn tại!

================================= Xem hình ảnh AppPool

ApplicationPoolIdentity thực sự là cách thực hành tốt nhất để sử dụng trong IIS7 +. Nó là một tài khoản được tạo động, không có đặc quyền. Để thêm bảo mật hệ thống tệp cho nhóm ứng dụng cụ thể, hãy xem "Danh tính nhóm ứng dụng" của IIS.net . Phiên bản nhanh:

Nếu nhóm ứng dụng được đặt tên là "DefaultAppPool" (chỉ cần thay thế văn bản này bên dưới nếu nó được đặt tên khác)

1. Mở Windows Explorer
2. Chọn một tập tin hoặc thư mục.
3. Nhấp chuột phải vào tệp và chọn "Thuộc tính"
4. Chọn tab "Bảo mật"
5. Nhấp vào nút "Chỉnh sửa" và sau đó nút "Thêm"
6. Nhấp vào nút "Vị trí" và đảm bảo bạn chọn máy cục bộ . ( Không phải miền Windows nếu máy chủ thuộc về một.)
7. Nhập " IIS AppPool \ DefaultAppPool " trong hộp văn bản "Nhập tên đối tượng cần chọn:". (Đừng quên thay đổi "DefaultAppPool" ở đây thành bất cứ điều gì bạn đặt tên cho nhóm ứng dụng của mình.)
8. Nhấp vào nút "Kiểm tra tên" và nhấp vào "OK".

Nhớ sử dụng tên địa phương của máy chủ, không phải tên miền khi giải quyết tên

IIS AppPool\DefaultAppPool

(chỉ là một lời nhắc nhở vì điều này làm tôi vấp ngã một chút):

Cấp quyền truy cập vào IIS AppPool \ YourAppPoolName người dùng có thể không đủ với cấu hình mặc định IIS.

Trong trường hợp của tôi, tôi vẫn gặp lỗi HTTP Lỗi 401.3 - Không được phép sau khi thêm người dùng AppPool và nó chỉ được sửa sau khi thêm quyền cho người dùng IUSR .

Điều này là cần thiết bởi vì theo mặc định, truy cập ẩn danh được thực hiện bằng IUSR . Bạn có thể đặt một người dùng cụ thể khác, Nhóm ứng dụng hoặc tiếp tục sử dụng IUSR, nhưng đừng quên đặt các quyền thích hợp.

Tín dụng cho câu trả lời này: Lỗi HTTP 401.3 - Không được phép

Trên Windows Server 2008 (r2), bạn không thể gán danh tính nhóm ứng dụng cho một thư mục thông qua Properties-> Security. Bạn có thể làm điều đó thông qua một dấu nhắc lệnh quản trị bằng cách sử dụng như sau:

icacls "c:\yourdirectory" /t /grant "IIS AppPool\DefaultAppPool":(R)

Phần A: Cấu hình nhóm ứng dụng của bạn

Giả sử Nhóm ứng dụng được đặt tên 'MyPool' Chuyển đến 'Cài đặt nâng cao' của Nhóm ứng dụng từ Trình quản lý IIS

1. Cuộn xuống 'Danh tính'. Cố gắng chỉnh sửa giá trị sẽ đưa ra một hộp thoại. Chọn 'Tài khoản tích hợp' và bên dưới tài khoản đó, chọn 'ApplicationPoolIdentity'.

2. Một vài dòng bên dưới 'Danh tính', bạn sẽ tìm thấy 'Tải hồ sơ người dùng'. Giá trị này phải được đặt thành 'True'.

Phần B: Cấu hình trang web của bạn

1. Tên trang web: SiteName (chỉ là một ví dụ)
2. Đường dẫn vật lý: C: \ Sao cũng được (chỉ là một ví dụ)
3. Kết nối dưới dạng ...: Người dùng ứng dụng (xác thực thông qua) (Có thể tìm thấy các cài đặt trên trong 'Cài đặt cơ bản' của trang web trong Trình quản lý IIS)
4. Sau khi định cấu hình các cài đặt cơ bản, hãy tìm cấu hình 'Xác thực' trong 'IIS' trong bảng điều khiển chính của trang web. Mở nó ra. Bạn sẽ thấy một tùy chọn cho 'Xác thực ẩn danh'. Hãy chắc chắn rằng nó được kích hoạt. Sau đó nhấp chuột phải và 'Chỉnh sửa ...' nó. Chọn 'Nhận dạng nhóm ứng dụng'.

Phần C: Cấu hình thư mục của bạn

Thư mục trong câu hỏi là C: \ Sao cũng được

1. Chuyển đến Thuộc tính - Chia sẻ - Chia sẻ Nâng cao - Quyền và đánh dấu 'Chia sẻ thư mục này'
2. Trong cùng hộp thoại, bạn sẽ tìm thấy nút 'Quyền'. Nhấp vào nó.
3. Một hộp thoại mới sẽ mở ra. Nhấp vào 'Thêm'.
4. Một hộp thoại mới 'Chọn Người dùng hoặc Nhóm' sẽ mở. Trong 'Từ vị trí này', đảm bảo tên giống với máy tính chủ cục bộ của bạn. Sau đó, trong 'Nhập tên đối tượng', nhập 'IIS AppPool \ MyPool' và nhấp vào 'Kiểm tra tên' và sau đó 'Ok'
5. Cung cấp quyền chia sẻ đầy đủ cho người dùng 'MyPool'. Áp dụng nó và đóng các thuộc tính thư mục
6. Mở thuộc tính thư mục một lần nữa. Lần này, đi đến Bảo mật - Nâng cao - Quyền và nhấp vào Thêm. Sẽ có một tùy chọn 'Chọn hiệu trưởng' ở trên cùng hoặc một số tùy chọn khác để chọn người dùng. Nhấp vào nó.
7. Hộp thoại 'Chọn Người dùng hoặc Nhóm' sẽ mở lại. Lặp lại bước 4.
8. Cung cấp tất cả hoặc nhiều quyền bạn cần cho người dùng 'MyPool'.
9. Kiểm tra 'Thay thế tất cả các quyền đối tượng con ... "và Áp dụng và đóng.

Bây giờ bạn có thể sử dụng trình duyệt trang web

Câu trả lời hàng đầu từ Jon Adams

Đây là cách triển khai thực hiện điều này cho mọi người PowerShell

$IncommingPath = "F:\WebContent"
$Acl = Get-Acl $IncommingPath
$Ar = New-Object  system.security.accesscontrol.filesystemaccessrule("IIS AppPool\DefaultAppPool","FullControl","ContainerInherit, ObjectInherit", "None", "Allow")
$Acl.SetAccessRule($Ar)
Set-Acl $IncommingPath $Acl

Chỉ cần thêm vào sự nhầm lẫn, hộp thoại Quyền hiệu quả (Windows Explorer) không hoạt động đối với các thông tin đăng nhập này. Tôi có một trang web "Umbo4" bằng cách sử dụng xác thực thông qua và xem Quyền hạn hiệu quả của người dùng trong thư mục gốc của trang web. Kiểm tra Tên Kiểm tra đã giải quyết tên "IIS AppPool \ Umbo4", nhưng Quyền hiệu quả cho thấy rằng người dùng không có quyền nào trên thư mục (tất cả các hộp kiểm đều không được chọn).

Sau đó, tôi loại trừ người dùng này khỏi thư mục một cách rõ ràng, sử dụng tab Explorer Security. Điều này dẫn đến việc trang web bị lỗi với lỗi HTTP 500.19, như mong đợi. Quyền hiệu quả tuy nhiên nhìn chính xác như trước.

Tôi đã khắc phục tất cả các sự cố asp.net của mình chỉ bằng cách tạo một người dùng mới có tên IUSER bằng mật khẩu và thêm nó vào Dịch vụ mạng và Nhóm người dùng. Sau đó, tạo tất cả các trang web và ứng dụng ảo của bạn đặt xác thực thành IUSER bằng mật khẩu của nó .. đặt quyền truy cập tệp cấp cao để bao gồm IUSER và BAM, nó đã khắc phục ít nhất 3-4 vấn đề bao gồm cả vấn đề này ..

Dave