提问



在安装了ASP.NET 4.0的Windows Server 2008下,有大量相关的用户帐户,我无法理解哪一个是哪个,它们如何不同,哪一个真的是我的应用运行的那个。这里列表:



  • IIS_IUSRS

  • IUSR

  • 默认应用

  • ASP.NET v4.0

  • NETWORK_SERVICE

  • 本地服务。



什么是什么?

最佳参考


这是一个非常好的问题,遗憾的是,在成为Web开发人员和设置IIS的情况下,许多开发人员不会对IIS/ASP.NET安全性提出足够的问题。所以这里......


要涵盖列出的身份:


IIS_IUSRS:


这类似于旧的IIS6 IIS_WPG组。它是一个内置组,其安全性配置使得该组的任何成员都可以充当应用程序池标识。


IUSR:


此帐户类似于旧的IUSR_<MACHINE_NAME>本地帐户,该帐户是IIS5和IIS6网站的默认匿名用户(即通过站点属性的目录安全性选项卡配置的帐户)。


有关IIS_IUSRSIUSR的更多信息,请参阅:



  了解IIS 7中的内置用户和组帐户[32]



DefaultAppPool:


如果应用程序池配置为使用应用程序池标识功能运行,则将动态创建名为IIS AppPool\<pool name>的合成帐户,以用作池标识。在这种情况下,将为池的生命周期创建一个名为IIS AppPool\DefaultAppPool的综合帐户。如果删除池,则该帐户将不再存在。在对文件和文件夹应用权限时,必须使用IIS AppPool\<pool name>添加这些权限。您还不会在计算机用户管理器中看到这些池帐户。有关详细信息,请参阅以下内容:



  应用程序池标识[33]



ASP.NET v4.0: -


这将是ASP.NET v4.0应用程序池的应用程序池标识。见上文DefaultAppPool


NETWORK SERVICE: -


NETWORK SERVICE帐户是Windows 2003上引入的内置标识。NETWORK SERVICE是一个低权限帐户,您可以在其下运行应用程序池和网站。在Windows 2003池中运行的网站仍然可以模拟站点的匿名帐户(IUSR_或您配置为匿名身份的任何内容)。


在Windows 2008之前的ASP.NET中,您可以在应用程序池帐户下执行ASP.NET执行请求(通常NETWORK SERVICE)。或者,您可以将ASP.NET配置为在本地通过web.config文件中的<identity impersonate="true" />设置模拟站点的匿名帐户(如果该设置已锁定,则需要由web.config中的管理员完成) machine.config文件)。


设置<identity impersonate="true">在使用共享应用程序池的共享托管环境中很常见(与部分信任设置结合使用以防止模拟帐户的展开)。


在IIS7.x/ASP.NET中,模拟控件现在通过站点的身份验证配置功能进行配置。因此,您可以配置为以池标识,IUSR或特定的自定义匿名帐户运行。


LOCAL SERVICE:


LOCAL SERVICE帐户是服务控制管理器使用的内置帐户。它在本地计算机上具有最小权限集。它的使用范围相当有限:



  本地服务帐户[34]



LOCAL SYSTEM:


你没有问过这个,但我补充说完整性。这是一个本地内置帐户。它拥有相当广泛的特权和信任。您永远不应将网站或应用程序池配置为以此身份运行。



  LocalSystem帐户[35]



在实践中:


在实践中,保护网站的首选方法(如果网站获得自己的应用程序池 - 这是IIS7的MMC中新网站的默认设置)将在Application Pool Identity下运行。这意味着设置网站的其应用程序池的高级设置中的标识Application Pool Identity:





在网站中,您应该配置身份验证功能:





右键单击并编辑匿名身份验证条目:





确保选择应用程序池标识:





当您开始应用文件和文件夹权限时,您将授予应用程序池标识所需的任何权限。例如,如果您授予ASP.NET v4.0池权限的应用程序池标识,那么您可以通过资源管理器执行此操作:





单击检查名称按钮:





或者你可以使用ICACLS.EXE工具执行此操作:


icacls c:\wwwroot\mysite /grant "IIS AppPool\ASP.NET v4.0":(CI)(OI)(M)


...或者...如果你的网站的应用程序池被调用BobsCatPicBlog那么:


icacls c:\wwwroot\mysite /grant "IIS AppPool\BobsCatPicBlog":(CI)(OI)(M)


我希望这有助于澄清事情。


更新


我刚刚在2009年提出了这个优秀的答案,其中包含了大量有用的信息,非常值得一读:



  本地系统帐户与网络服务帐户之间的区别?