Як я можу призначити дозвіл активного каталогу до ідентифікації пулу програм за замовчуванням

9

Як я можу призначити дозвіл активного каталогу ідентифікації пулу програм за замовчуванням [IIS APPPOOL {ім'я пулу додатків}]?

Я намагаюся зробити це, щоб веб-додаток запитував активні групи каталогів, користувачів та перевіряв наявність певного імені користувача чи імені групи.

Дякую.

active-directory iis application-pools

— user2384219
джерело

8

Ви цього не робите. Ви можете надати дозволи місцевим ресурсам для IIS APPPOOL {app pool name} ідентичності для місцевих ресурсів на:

Як призначити дозволи до облікового запису ApplicationPoolIdentity

В Active Directory ідентифікатор повинен бути або відомим директором безпеки, фактичним користувачем / групою / директором комп'ютерної безпеки, або іноземним / довіреним принципом безпеки.

Однак якщо ви використовуєте ідентифікацію мережевої служби на IIS AppPool, пул додатків використовуватиме обліковий запис машини сервера IIS під час доступу до мережевих ресурсів. У цьому випадку ви можете надати необхідні дозволи для облікового запису комп'ютера (домен \ ім'я комп’ютера $) в Active Directory.

http://www.iis.net/learn/manage/configuring-security/application-pool-identities

— Грег Аскеу
джерело

2

Коли я використовую ідентифікацію мережевої послуги на ISS AppPool, вона працює як очікувалося. Однак документація на "http://www.iis.net/learn/manage/configuring-security/application-pool-identities" говорить: "Хороша новина полягає в тому, що особистість Application Pool також використовує обліковий запис машини для доступу до мережевих ресурсів. Ніяких змін не потрібно. ", Але це, очевидно, не так, як у випадку, коли програма намагається робити запити AD.

— user2384219

Ніхто не ідеальний. Принаймні, NetworkService працює. Використання ідентичності apppool - це, ймовірно, щось, що є зламаним або погано задокументованим.

— Грег Аскеу

@GregAskew - Ідентифікатори пулу додатків працюють як набори облікових записів мережевих служб, тому, коли вони отримують доступ до мережевих ресурсів, вони працюють як імена машин, але вони також можуть мати більш жорстку безпеку на місцях.

— Ерік Функенбуш

1

Що я робив на комп’ютері AD, це було делегувати контроль комп'ютеру, на якому працює IIS, що розміщує програму. Я делегував лише дозволи "змінити членство в групі" (або щось подібне), і моє рішення працювало.

У моїй програмі був поворот, який отримав IPrincipal від ADFS, тому я не використовував Windows auth, окрім того, що все працювало чудово.

Дуже погано IISExpress не функціонує так, як функціонує IIS, оскільки це не перший раз, коли у мене виникли проблеми при виробництві.

— Томмі
джерело