Làm cách nào tôi có thể thêm quyền ACL cho tài khoản IIS APPPOOL \ * qua Powershell?

Tôi muốn có thể đặt tài khoản IIS cho các trang web mới để có quyền sửa đổi. Tôi có đoạn script sau:

function Set-ModifyPermission ($directory, $username, $domain = 'IIS APPPOOL') {
    $inherit = [system.security.accesscontrol.InheritanceFlags]"ContainerInherit, ObjectInherit"
    $propagation = [system.security.accesscontrol.PropagationFlags]"None"
    $acl = Get-Acl $directory
    $user = New-Object System.Security.Principal.NTAccount($domain, $username )
    $accessrule = New-Object system.security.AccessControl.FileSystemAccessRule($user, "Modify", $inherit, $propagation, "Allow")
    $acl.AddAccessRule($accessrule)
    set-acl -aclobject $acl $directory
}

Tuy nhiên, khi tôi chạy nó, tôi gặp lỗi như thế này:

Set-Acl: Mối quan hệ tin cậy giữa máy trạm này và miền chính không thành công.

Tôi nghĩ rằng điều này là do IIS APPPOOLkhông phải là một tên miền thực, nhưng là một tiền tố kỳ lạ trên một tài khoản giả mạo. Có cách nào chính xác để tham khảo tài khoản đó để tôi có thể thực hiện công việc này không?

Trước hết, sử dụng Set-Acl như thế này, vì đường dẫn thư mục là đối số vị trí đầu tiên:

Set-Acl $directory $acl

Thứ hai, bạn nên tạo đối tượng người dùng chỉ với một đối số:

$user = New-Object System.Security.Principal.NTAccount("$domain\\$username")

CẬP NHẬT: Có vẻ như nó sẽ không chấp nhận "IIS APPPOOL \ AppPoolName" làm định danh NTAccount. Bây giờ, có hai cách để thực hiện những gì bạn đang cố gắng làm:

1. Tạo một đối tượng SID mới với AppPoolIdentities SID và dịch nó thành NTAccount, như thế này: http://iformattable.blogspot.com/2007/12/convert-sid-to-ntaccount-with.html , và bạn sẽ có thể để đối xử với nó như bất kỳ đối tượng NTAccount nào khác. Nếu bạn vẫn muốn có thể chuyển tên miền / tên người dùng cho tài khoản thực, hãy xây dựng một số logic đơn giản mặc định cho AppPool SID nếu tên người dùng là "AweSomeAppPool" và tên miền trống, chỉ là một ví dụ.

2. Sử dụng PowerShell để gọi icacls.exe và sử dụng nó để cấp / thu hồi bất kỳ quyền nào bạn muốn, như thế này (dấu nhắc lệnh dạng icacls bình thường đầu tiên, sau đó powershell, nhận thấy sự khác biệt):

   icacls.exe test.txt /grant "IIS AppPool\DefaultAppPool":(OI)(CI)M

   cmd /c icacls test.txt /grant "IIS AppPool\DefaultAppPool:(OI)(CI)M"

Nếu bạn chọn tùy chọn thứ hai, hãy chắc chắn kiểm tra chúng theo cách thủ công trước, tôi đã không có cơ hội tự kiểm tra các ví dụ cụ thể này, nhưng nó sẽ hoạt động

Một cái gì đó như thế này sẽ làm cho các mẹo cho bạn. Nó cũng có thể giải quyết IIS APPPOOl \ Mọi thứ ...

function Set-AclOnPath
{
    param(
        [Parameter(Mandatory=$true)]
        [ValidateNotNullOrEmpty()]
        [string] $Path,

        [Parameter(Mandatory=$true)]
        [ValidateNotNullOrEmpty()]
        [string] $DomainAccount
    )

    #Put whatever permission you want here
    $permission = $DomainAccount,"ReadAndExecute","Allow"
    $accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule $permission

    $acl = Get-Acl $Path
    $acl.SetAccessRule($accessRule)
    $acl | Set-Acl $Path
}

Các hoạt động sau đây trong Windows 2012 để lấy SID cho trang IIS. Nó yêu cầu Nhà cung cấp IIS sử dụng mô-đun powershell WebAd dùng, nhưng bài viết này cho biết nó sẽ hoạt động trên Windows 2008R2.

$appPoolName = 'MyAppPool'
$appPoolSid = (Get-ItemProperty IIS:\AppPools\$appPool).applicationPoolSid
$identifier = New-Object System.Security.Principal.SecurityIdentifier $appPoolSid
$user = $identifier.Translate([System.Security.Principal.NTAccount])

Kể từ IIS 10 / Windows 10 / Server 2016, mô-đun WebAd dùng không được chấp nhận và chúng tôi dự kiến ​​sẽ sử dụng mô-đun Powershell IISAd dùng mới thay thế. Dưới đây là cách tải nhóm ứng dụng SID được dịch sang người dùng ảo bằng mô-đun mới:

Import-Module IISAdministration
$manager = Get-IISServerManager
$appPoolName = 'MyAppPool'
$appPoolSid = $manager.ApplicationPools["$appPoolName"].RawAttributes['applicationPoolSid']
$identifier = New-Object System.Security.Principal.SecurityIdentifier $appPoolSid
$user = $identifier.Translate([System.Security.Principal.NTAccount])

Những điều sau đây làm việc cho tôi trong Windows 2012, không thể có các ví dụ khác hoạt động:

Import-Module WebAdministration

$appPoolName='MyAppPool'
$folderDirectory='C:\MyWebFolder'

$appPoolSid = (Get-ItemProperty IIS:\AppPools\$appPoolName).applicationPoolSid

Write-Output "App Pool User $appPoolSid"

$identifier = New-Object System.Security.Principal.SecurityIdentifier $appPoolSid
$user = $identifier.Translate([System.Security.Principal.NTAccount])

Write-Output "Translated User $user.Value"

$acl = Get-Acl $folderDirectory
$acl.SetAccessRuleProtection($True, $False)
$rule = New-Object System.Security.AccessControl.FileSystemAccessRule($user,”FullControl”, “ContainerInherit, ObjectInherit”, “None”, “Allow”)
$acl.AddAccessRule($rule)
$acl | set-acl -path $folderDirectory