IUSR та IWAM датуються дуже ранніми днями IIS, коли ви встановлювали його окремо (не як компонент ОС). За замовчуванням, якщо веб-сайт дозволяє анонімну автентифікацію, обліковий запис IUSR використовується стосовно дозволів на ОС. Це можна змінити за замовчуванням. Існують деякі рекомендації щодо безпеки принаймні перейменувати обліковий запис, тому це не "відомий" обліковий запис, так само, як є рекомендація щодо перейменування облікового запису адміністратора на сервері. Ви можете дізнатися більше про IUSR та аутентифікацію на MSDN .
IWAM був розроблений для будь-яких програм, що не входять у процес, і використовується лише в IIS 6.0, коли ви перебуваєте в режимі ізоляції IIS 5.0. Ви зазвичай бачили це з об'єктами COM / DCOM.
Що стосується ідентифікацій пулу додатків, типовим є запуск мережевої служби. Ви не повинні працювати як локальна система, оскільки цей обліковий запис має права, більші за права адміністратора. Таким чином, це в основному залишає вас мережевим сервісом, локальним сервісом або локальним обліковим записом / доменом, крім цих двох.
Що робити, це залежить. Однією з переваг залишити його як мережевий сервіс - це обмежений обліковий запис привілеїв на сервері. Однак, коли він отримує доступ до ресурсів через мережу, він відображається як Domain \ ComputerName $, тобто ви можете призначити дозволи, які дозволяють обліковому запису Network Service отримувати доступ до таких ресурсів, як SQL Server, що працює в іншому полі. Крім того, оскільки він відображається як обліковий запис комп’ютера, Якщо ви ввімкнули автентифікацію Kerberos, SPN вже існує, якщо ви отримуєте доступ до веб-сайту за іменем сервера.
Випадок, коли ви бажаєте змінити пул додатків до певного облікового запису домену Windows, якщо ви хочете, щоб певний обліковий запис здійснював доступ до мережевих ресурсів, наприклад, обліковий запис служби, що здійснює доступ до SQL Server для веб-програми. В рамках ASP.NET є й інші варіанти зробити це без зміни ідентичності пулу додатків, тому це більше не є строго необхідним. Ще одна причина, по якій ви хочете скористатися обліковим записом користувача домену - це те, що ви робили автентифікацію Kerberos і у вас було кілька веб-серверів, які обслуговували веб-додаток. Хороший приклад - якщо у вас було два або більше веб-серверів, які обслуговували служби звітування SQL Server. Передній кінець, ймовірно, має загальну URL-адресу, наприклад, report.mydomain.com або report.mydomain.com. У цьому випадку SPN можна застосувати лише до одного облікового запису в межах AD. Якщо у вас є пули додатків, які працюють під мережевою службою на кожному сервері, це не працюватиме, оскільки, коли вони залишають сервери, вони відображаються як Домен \ ComputerName $, тобто у вас буде стільки облікових записів, скільки у вас були сервери, що обслуговували додаток Рішення полягає в тому, щоб створити обліковий запис домену, встановити ідентифікацію пулу додатків на всіх серверах на один і той же обліковий запис користувача домену та створити одну SPN, тим самим дозволяючи автентифікацію Kerberos. У випадку такого додатка, як SSRS, де ви можете передати облікові дані користувачів на сервер бази даних, тоді автентифікація Kerberos є обов'язковою, оскільки тоді вам доведеться налаштувати делегування Kerberos. буду мати стільки облікових записів, скільки у вас були сервери, які обслуговували додаток. Рішення полягає в тому, щоб створити обліковий запис домену, встановити ідентифікацію пулу додатків на всіх серверах на один і той же обліковий запис користувача домену та створити одну SPN, тим самим дозволяючи автентифікацію Kerberos. У випадку такого додатка, як SSRS, де ви можете передати облікові дані користувачів на сервер бази даних, тоді автентифікація Kerberos є обов'язковою, оскільки тоді вам доведеться налаштувати делегування Kerberos. буду мати стільки облікових записів, скільки у вас були сервери, які обслуговували додаток. Рішення полягає в тому, щоб створити обліковий запис домену, встановити ідентифікацію пулу додатків на всіх серверах на один і той же обліковий запис користувача домену та створити одну SPN, тим самим дозволяючи автентифікацію Kerberos. У випадку такого додатка, як SSRS, де ви можете передати облікові дані користувачів на сервер бази даних, тоді автентифікація Kerberos є обов'язковою, оскільки тоді вам доведеться налаштувати делегування Kerberos.
Я знаю, що багато чого потрібно взяти, але коротка відповідь, крім локальної системи, залежить.