IIS7 İzinlerine Genel Bakış - ApplicationPoolIdentity

Kısa bir süre önce çekirdek bir web sunucusu olarak IIS7'ye geçtik ve izinler konusunda bir genel bakıma ihtiyacım var. Daha önce, dosya sistemine yazmak gerektiğinde AppPool kullanıcısına (Şebeke Servisi) dizine veya dosyaya erişim verirdim.

IIS7'de AppPool kullanıcısının varsayılan olarak ayarlandığını görüyorum ApplicationPoolIdentity. Görev yöneticisini kontrol ettiğimde, 'WebSite.com' adlı bir kullanıcı hesabının IIS İşlemini çalıştırdığını görüyorum ('Website.com' IIS'deki web sitesinin adıdır)

Ancak, izin vermek için bunu kullanmaya çalışırsam bu kullanıcı hesabı yok. Peki, hangi kullanıcının izinleri vereceğini nasıl belirlerim?

Düzenle ================================================ =============================

Ekran görüntüsündeki sorun için aşağıya bakın. Web sitemiz (www.silverchip.co.uk) SilverChip.co.uk kullanıcı adında çalışır. Ancak pemissions eklediğimde, bu kullanıcı var!

================================= AppPool Görüntüsüne Bakın

ApplicationPoolIdentity aslında IIS7 + 'da kullanılacak en iyi uygulamadır. Dinamik olarak oluşturulmuş, ayrıcalıksız bir hesaptır. Belirli bir uygulama havuzuna dosya sistemi güvenliği eklemek için IIS.net'in "Uygulama Havuzu Kimlikleri" ne bakın . Hızlı sürüm:

Uygulama havuzu "DefaultAppPool" olarak adlandırılmışsa (farklı adlandırılmışsa aşağıdaki metni değiştirin)

1. Windows Gezgini'ni açın
2. Bir dosya veya dizin seçin.
3. Dosyayı sağ tıklayın ve "Özellikler" i seçin
4. "Güvenlik" sekmesini seçin
5. "Düzenle" yi ve ardından "Ekle" düğmesini tıklayın
6. "Yerler" düğmesini tıklayın ve yerel makineyi seçtiğinizden emin olun . ( Sunucu bir taneye aitse Windows etki alanı değil .)
7. " Seçilecek nesne adlarını girin:" metin kutusuna " IIS AppPool \ DefaultAppPool " girin. (Burada "DefaultAppPool" ifadesini uygulama havuzunuzu adlandırdığınız adla değiştirmeyi unutmayın.)
8. "Adları Kontrol Et" düğmesini ve "Tamam" ı tıklayın.

Adı çözümlerken sunucunun yerel adını değil, etki alanı adını kullanmayı unutmayın.

IIS AppPool\DefaultAppPool

(bu sadece beni hatırlattı çünkü bir hatırlatma):

IIS AppPool \ YourAppPoolName kullanıcısına erişim izni vermek IIS varsayılan yapılandırmaları ile yeterli olmayabilir .

Benim durumumda, hala HTTP Hatası 401.3 - AppPool kullanıcısı eklendikten sonra yetkisiz hata alıyorum ve sadece IUSR kullanıcısına izinler eklendikten sonra düzeltildi .

Varsayılan olarak, IUSR kullanılarak Anonim erişim yapıldığı için bu gereklidir . Başka bir kullanıcı, Uygulama Havuzu ayarlayabilir veya IUSR'yi kullanmaya devam edebilirsiniz, ancak uygun izinleri ayarlamayı unutmayın.

Bu yanıta verilen krediler: HTTP Hatası 401.3 - Yetkisiz

Windows Server 2008'de (r2) Özellikler-> Güvenlik aracılığıyla bir klasöre uygulama havuzu kimliği atayamazsınız. Bunu aşağıdakileri kullanarak bir yönetici komut istemi ile yapabilirsiniz:

icacls "c:\yourdirectory" /t /grant "IIS AppPool\DefaultAppPool":(R)

Bölüm A: Uygulama Havuzunuzu Yapılandırma

Uygulama Havuzu'nun 'MyPool' olarak adlandırıldığını varsayalım IIS Yöneticisi'nden Uygulama Havuzu'nun 'Gelişmiş Ayarlar'a gidin

1. 'Kimlik'e gidin. Değeri düzenlemeye çalışmak bir iletişim kutusu açar. 'Yerleşik hesap'ı seçin ve altında' ApplicationPoolIdentity'yi seçin.

2. 'Kimlik'in altında birkaç satır varsa,' Kullanıcı Profilini Yükle'yi bulmalısınız. Bu değer 'True' olarak ayarlanmalıdır.

Bölüm B: Web sitenizi yapılandırma

1. Web Sitesi Adı: SiteAdı (sadece bir örnek)
2. Fiziksel Yol: C: \ Her neyse (sadece bir örnek)
3. Farklı bağlan ...: Uygulama Kullanıcısı (doğrudan kimlik doğrulaması) (Yukarıdaki ayarlar, IIS Yöneticisi'ndeki sitenin 'Temel Ayarlar' bölümünde bulunabilir)
4. Temel ayarları yapılandırdıktan sonra, sitenin ana konsolunda 'IIS' altında 'Kimlik Doğrulama' yapılandırmasını bulun. Aç onu. 'Anonim Kimlik Doğrulama' için bir seçenek görmelisiniz. Etkin olduğundan emin olun. Sonra sağ tıklayın ve 'Düzenle ...'. 'Uygulama Havuzu Kimliği'ni seçin.

Bölüm C: Klasörünüzü yapılandırma

Söz konusu klasör C: \ Whatever

1. Özellikler - Paylaşım - Gelişmiş Paylaşım - İzinler'e gidin ve 'Bu klasörü paylaş' seçeneğini işaretleyin
2. Aynı iletişim kutusunda bir düğme 'İzinler' bulacaksınız. Tıkla.
3. Yeni bir iletişim kutusu açılacaktır. 'Ekle'yi tıklayın.
4. Yeni bir 'Kullanıcı veya Grup Seç' iletişim kutusu açılır. 'Bu konumdan' altında, adın yerel ana bilgisayarınızla aynı olduğundan emin olun. Ardından, 'Nesne adlarını girin' altında, 'IIS AppPool \ MyPool' yazın ve 'Adları Kontrol Et'i ve ardından' Tamam'ı tıklayın
5. 'MyPool' kullanıcısı için tam paylaşım izinleri verin. Uygula ve klasör özelliklerini kapat
6. Klasör özelliklerini tekrar açın. Bu kez Güvenlik - Gelişmiş - İzin'e gidin ve Ekle'yi tıklayın. Üstte 'Bir İlke Seç' seçeneği veya bir kullanıcı seçmek için başka bir seçenek olacaktır. Tıkla.
7. 'Kullanıcıları veya Grupları Seç' iletişim kutusu tekrar açılır. 4. adımı tekrarlayın.
8. 'MyPool' kullanıcısına ihtiyacınız olan tüm veya çok sayıda izni verin.
9. 'Tüm alt nesne izinlerini değiştir ... "seçeneğini işaretleyin ve Uygula ve kapat.

Artık web sitesine göz atmayı kullanabilmelisiniz

Top Yanıt

PowerShell kullanıcıları için bunu nasıl uygulayacağınız aşağıda açıklanmıştır

$IncommingPath = "F:\WebContent"
$Acl = Get-Acl $IncommingPath
$Ar = New-Object  system.security.accesscontrol.filesystemaccessrule("IIS AppPool\DefaultAppPool","FullControl","ContainerInherit, ObjectInherit", "None", "Allow")
$Acl.SetAccessRule($Ar)
Set-Acl $IncommingPath $Acl

Sadece karışıklığa eklemek için, (Windows Gezgini) Etkili İzinler iletişim kutusu bu girişler için çalışmaz. Doğrudan kimlik doğrulaması kullanarak bir sitem "Umbo4" var ve site kök klasöründe kullanıcının Etkili İzinleri baktı. Adları Denetle testi "IIS AppPool \ Umbo4" adını çözdü, ancak Etkili İzinler kullanıcının klasörde hiç izninin olmadığını gösterir (tüm onay kutuları işaretlenmemiş).

Daha sonra bu kullanıcıyı Explorer Security sekmesini kullanarak açıkça klasörden hariç tuttum. Bu, sitenin beklendiği gibi bir HTTP 500.19 hatasıyla sonuçlanmasına neden oldu. Ancak Etkili İzinler tam olarak eskisi gibi görünüyordu.

Tüm asp.net sorunlarımı sadece bir şifre ile IUSER adlı yeni bir kullanıcı oluşturarak çözdüm ve Ağ Hizmeti ve Kullanıcı Grupları ekledim. Daha sonra tüm sanal sitelerinizi ve uygulamalarınızı şifresi ile IUSER'a ayarlayın .. IUSER ve BAM dahil olmak üzere üst düzey dosya erişimini ayarlayın, bu da dahil olmak üzere en az 3-4 sorunu düzeltti ..

Dave