Огляд дозволів IIS7 - ApplicationPoolIdentity

Нещодавно ми оновили до IIS7 як основний веб-сервер, і мені потрібен огляд з точки зору дозволів. Раніше, коли потрібно писати у файлову систему, я мав би надати користувачеві AppPool (мережевий сервіс) доступ до каталогу або файлу.

У IIS7 я бачу за замовчуванням користувача AppPool ApplicationPoolIdentity. Тож коли я перевіряю диспетчер завдань, я бачу, що в обліковому записі користувача під назвою "WebSite.com" працює процес IIS ("Website.com" - це назва веб-сайту в IIS)

Однак цього облікового запису користувача не існує, якщо я намагаюся використовувати це для надання дозволів. Отже, як я можу визначити, якому користувачеві також надавати дозволи?

Редагувати ==================================================== ==============================

Дивіться нижче про проблему на знімку екрана. Наш веб-сайт (www.silverchip.co.uk) працює на ім'я користувача SilverChip.co.uk. Однак, коли я додаю пемісії, цей користувач існує!

=================================== Див. Зображення AppPool

ApplicationPoolIdentity - це фактично найкраща практика для використання в IIS7 +. Це динамічно створений, непривілейований рахунок. Щоб додати безпеку файлової системи для певного пулу додатків, див . "Ідентифікатори пулу програм" IIS.net . Швидка версія:

Якщо пул додатків названий "DefaultAppPool" (просто замініть цей текст нижче, якщо він названий інакше)

1. Відкрийте Провідник Windows
2. Виберіть файл або каталог.
3. Клацніть файл правою кнопкою миші та виберіть "Властивості"
4. Виберіть вкладку "Безпека"
5. Натисніть кнопку "Редагувати", а потім кнопку "Додати"
6. Натисніть кнопку "Місцеположення" та переконайтесь, що ви вибрали локальну машину. ( Не домен Windows, якщо сервер належить до нього.)
7. Введіть " IIS AppPool \ DefaultAppPool " у текстове поле "Введіть імена об'єктів для вибору:". (Не забудьте змінити тут "DefaultAppPool" на те, що ви назвали пулом додатків.)
8. Натисніть кнопку "Перевірити імена" і натисніть "ОК".

Не забудьте використовувати місцеве ім'я сервера, а не доменне ім'я при вирішенні імені

IIS AppPool\DefaultAppPool

(лише нагадування, тому що це мене трохи спричинило):

Надання доступу до IIS AppPool \ YourAppPoolName користувача може бути недостатньо для конфігурацій за замовчуванням IIS.

У моєму випадку у мене все ще була помилка HTTP помилка 401.3 - Несанкціонована після додавання користувача AppPool, і вона була виправлена ​​лише після додавання дозволу користувачу IUSR .

Це необхідно, тому що за замовчуванням анонімний доступ здійснюється за допомогою IUSR . Ви можете встановити іншого конкретного користувача, пул додатків або продовжити використання IUSR, але не забудьте встановити відповідні дозволи.

Кредити на цю відповідь: Помилка HTTP 401.3 - Несанкціонована

У Windows Server 2008 (r2) ви не можете призначити ідентичність пулу додатків папці через Properties-> Security. Ви можете зробити це через командний рядок адміністратора, використовуючи наступне:

icacls "c:\yourdirectory" /t /grant "IIS AppPool\DefaultAppPool":(R)

Частина A: Налаштування пулу додатків

Припустимо, пул додатків має назву "MyPool". Перейдіть до "Розширені налаштування" пулу програм від менеджера IIS

1. Прокрутіть униз до пункту «Ідентичність». Якщо спробувати відредагувати значення, з’явиться діалогове вікно. Виберіть "Вбудований рахунок" і під ним виберіть "ApplicationPoolIdentity".

2. У кількох рядках нижче "Ідентичність" ви можете знайти "Завантажити профіль користувача". Це значення повинно бути встановлено як "True".

Частина B: Налаштування веб-сайту

1. Назва веб-сайту: SiteName (лише приклад)
2. Фізичний шлях: C: \ Що б не було (лише приклад)
3. Підключення як ...: Користувач програми (автентифікація через пропуск) (Вищенаведені налаштування можна знайти в "Основні налаштування" сайту в Менеджері IIS)
4. Після налаштування основних параметрів шукайте конфігурацію "Автентифікація" у розділі "IIS" на головній консолі сайту. Відкрий це. Ви повинні побачити опцію "Анонімна автентифікація". Переконайтесь, що вона включена. Потім клацніть правою кнопкою миші та "Редагувати ...". Виберіть "Ідентифікатор пулу програми".

Частина C: Налаштування вашої папки

Ця папка - це C: \ Що б там не було

1. Перейдіть до Властивості - Обмін - Розширений обмін - Дозволи та позначте "Надіслати цю папку"
2. У цьому ж діалоговому вікні ви знайдете кнопку "Дозволи". Клацніть по ньому.
3. Відкриється нове діалогове вікно. Натисніть "Додати".
4. Відкриється нове діалогове вікно "Вибрати користувачів або групи". У розділі "З цього місця" переконайтесь, що ім'я збігається з вашим локальним хост-комп'ютером. Потім у розділі "Введіть імена об'єктів" введіть "IIS AppPool \ MyPool" і натисніть "Перевірити імена", а потім "Ок"
5. Надайте повні дозволи для користувача "MyPool". Застосуйте його та закрийте властивості папки
6. Знову відкрийте властивості папки. Цього разу перейдіть у розділ Безпека - Додатково - Дозвіл та натисніть кнопку Додати. Буде опція "Вибрати головного" вгорі або інша опція для вибору користувача. Клацніть по ньому.
7. Діалогове вікно "Вибрати користувачів або групи" знову відкриється. Повторіть крок 4.
8. Надайте всі або стільки необхідних дозволів користувачеві MyPool.
9. Поставте прапорець "Замінити всі дозволені об'єкти ..." та застосуйте та закрийте.

Тепер ви зможете користуватися веб-сайтом для перегляду

Топ відповіді від Jon Adams

Ось як це реалізувати для людей із PowerShell

$IncommingPath = "F:\WebContent"
$Acl = Get-Acl $IncommingPath
$Ar = New-Object  system.security.accesscontrol.filesystemaccessrule("IIS AppPool\DefaultAppPool","FullControl","ContainerInherit, ObjectInherit", "None", "Allow")
$Acl.SetAccessRule($Ar)
Set-Acl $IncommingPath $Acl

Просто для додання плутанини, діалог "Ефективні дозволи" (Windows Explorer) не працює для цих входів. У мене є сайт "Umbo4", що використовує аутентифікацію проходження, і переглянув ефективні дозволи користувача в кореневій папці сайту. Тест перевірки імен вирішив назву "IIS AppPool \ Umbo4", але Ефективні дозволи показують, що користувач не мав дозволів на папку (усі прапорці не встановлені).

Потім я виключив цього користувача з папки явно, використовуючи вкладку Безпека Провідника. Це призвело до помилки сайту з помилкою HTTP 500.19, як очікувалося. Однак ефективні дозволи виглядали точно так, як і раніше.

Я вирішив усі проблеми з asp.net, просто створивши нового користувача під назвою IUSER з паролем і додав до нього Службу мережі та групи користувачів. Потім створіть усі ваші віртуальні сайти та програми, встановіть автентифікацію на IUSER за допомогою свого пароля .. встановіть доступ до файлів високого рівня, щоб включити IUSER та BAM, він виправив щонайменше 3-4 проблеми, включаючи цей ..

Дейв