Vue d'ensemble des autorisations IIS7 - ApplicationPoolIdentity

Nous avons récemment mis à niveau vers IIS7 en tant que serveur Web principal et j'ai besoin d'une vue d'ensemble en termes d'autorisations. Auparavant, lorsque j'avais besoin d'écrire dans le système de fichiers, j'aurais donné à l'utilisateur AppPool (service réseau) un accès au répertoire ou au fichier.

Dans IIS7, je vois, par défaut, l'utilisateur AppPool est défini sur ApplicationPoolIdentity. Ainsi, lorsque je vérifie le gestionnaire de tâches, je vois qu'un compte d'utilisateur appelé «WebSite.com» exécute le processus IIS («Website.com» étant le nom du site Web dans IIS)

Cependant, ce compte d'utilisateur n'existe pas si j'essaie de l'utiliser pour donner des autorisations. Alors, comment puis-je déterminer quel utilisateur doit également accorder les autorisations?

Modifier ================================================= =============================

Voir ci-dessous pour le problème dans la capture d'écran. Notre site Web (www.silverchip.co.uk) fonctionne sous le nom d'utilisateur SilverChip.co.uk. Cependant quand j'ajoute des pemissions, cet utilisateur n'existe pas!

================================= Voir Image AppPool

ApplicationPoolIdentity est en fait la meilleure pratique à utiliser dans IIS7 +. Il s'agit d'un compte non privilégié créé dynamiquement. Pour ajouter la sécurité du système de fichiers pour un pool d'applications particulier, voir «Identités du pool d'applications» d'IIS.net . La version rapide:

Si le pool d'applications est nommé "DefaultAppPool" (remplacez simplement ce texte ci-dessous s'il est nommé différemment)

1. Ouvrez l'Explorateur Windows
2. Sélectionnez un fichier ou un répertoire.
3. Faites un clic droit sur le fichier et sélectionnez "Propriétés"
4. Sélectionnez l'onglet "Sécurité"
5. Cliquez sur le bouton "Modifier" puis sur "Ajouter"
6. Cliquez sur le bouton "Emplacements" et assurez-vous de sélectionner la machine locale . ( Pas le domaine Windows si le serveur en fait partie.)
7. Entrez " IIS AppPool \ DefaultAppPool " dans la zone de texte "Entrez les noms des objets à sélectionner:". (N'oubliez pas de remplacer "DefaultAppPool" ici par le nom de votre pool d'applications.)
8. Cliquez sur le bouton "Vérifier les noms" et cliquez sur "OK".

N'oubliez pas d'utiliser le nom local du serveur, pas le nom de domaine, lors de la résolution du nom

IIS AppPool\DefaultAppPool

(juste un rappel car cela m'a fait trébucher un peu):

Donner accès à l' IIS AppPool \ YourAppPoolName utilisateur peut être pas assez avec IIS configurations par défaut.

Dans mon cas, j'avais toujours l'erreur HTTP Erreur 401.3 - Non autorisée après l'ajout de l'utilisateur AppPool et elle n'a été corrigée qu'après l'ajout d'autorisations à l' utilisateur IUSR .

Cela est nécessaire car, par défaut, l'accès anonyme se fait à l'aide de l' IUSR . Vous pouvez définir un autre utilisateur spécifique, le pool d'applications ou continuer à utiliser l'IUSR, mais n'oubliez pas de définir les autorisations appropriées.

Crédits à cette réponse: Erreur HTTP 401.3 - Non autorisé

Sur Windows Server 2008 (r2), vous ne pouvez pas attribuer une identité de pool d'applications à un dossier via Propriétés-> Sécurité. Vous pouvez le faire via une invite de commande d'administration en utilisant les éléments suivants:

icacls "c:\yourdirectory" /t /grant "IIS AppPool\DefaultAppPool":(R)

Partie A: Configuration de votre pool d'applications

Supposons que le pool d'applications est nommé «MyPool» Accédez aux «Paramètres avancés» du pool d'applications à partir du gestionnaire IIS

1. Faites défiler jusqu'à «Identité». Essayer de modifier la valeur fera apparaître une boîte de dialogue. Sélectionnez «Compte intégré» et sous celui-ci, sélectionnez «ApplicationPoolIdentity».

2. Quelques lignes sous «Identité», vous devriez trouver «Charger le profil utilisateur». Cette valeur doit être définie sur «True».

Partie B: Configuration de votre site Web

1. Nom du site Web: SiteName (juste un exemple)
2. Chemin physique: C: \ Peu importe (juste un exemple)
3. Se connecter en tant que: utilisateur de l'application (authentification unique) (les paramètres ci-dessus peuvent être trouvés dans «Paramètres de base» du site dans le gestionnaire IIS)
4. Après avoir configuré les paramètres de base, recherchez la configuration «Authentification» sous «IIS» dans la console principale du site. Ouvrez-le. Vous devriez voir une option pour «Authentification anonyme». Assurez-vous qu'il est activé. Cliquez ensuite avec le bouton droit de la souris et "Modifier ...". Sélectionnez «Identité du pool d'applications».

Partie C: Configurer votre dossier

Le dossier en question est C: \ Peu importe

1. Allez dans Propriétés - Partage - Partage avancé - Autorisations, et cochez 'Partager ce dossier'
2. Dans la même boîte de dialogue, vous trouverez un bouton «Autorisations». Cliquez dessus.
3. Une nouvelle boîte de dialogue s'ouvre. Cliquez sur «Ajouter».
4. Une nouvelle boîte de dialogue «Sélectionner des utilisateurs ou des groupes» s'ouvre. Sous «À partir de cet emplacement», assurez-vous que le nom est le même que celui de votre ordinateur hôte local. Ensuite, sous «Entrez les noms des objets», tapez «IIS AppPool \ MyPool» et cliquez sur «Vérifier les noms» puis sur «OK»
5. Accordez des autorisations de partage complètes à l'utilisateur «MyPool». Appliquez-le et fermez les propriétés du dossier
6. Ouvrez à nouveau les propriétés du dossier. Cette fois, accédez à Sécurité - Avancé - Autorisation, puis cliquez sur Ajouter. Il y aura une option «Sélectionner un principal» en haut, ou une autre option pour choisir un utilisateur. Cliquez dessus.
7. La boîte de dialogue "Sélectionner des utilisateurs ou des groupes" s'ouvre à nouveau. Répétez l'étape 4.
8. Accordez toutes ou autant d'autorisations dont vous avez besoin à l'utilisateur «MyPool».
9. Cochez "Remplacer toutes les autorisations d'objet enfant ..." et Appliquer et fermer.

Vous devriez maintenant pouvoir utiliser la navigation sur le site Web

Meilleure réponse de Jon Adams

Voici comment implémenter cela pour les gens de PowerShell

$IncommingPath = "F:\WebContent"
$Acl = Get-Acl $IncommingPath
$Ar = New-Object  system.security.accesscontrol.filesystemaccessrule("IIS AppPool\DefaultAppPool","FullControl","ContainerInherit, ObjectInherit", "None", "Allow")
$Acl.SetAccessRule($Ar)
Set-Acl $IncommingPath $Acl

Pour ajouter à la confusion, la boîte de dialogue Autorisations effectives (Explorateur Windows) ne fonctionne pas pour ces connexions. J'ai un site "Umbo4" utilisant l'authentification directe et j'ai regardé les autorisations effectives de l'utilisateur dans le dossier racine du site. Le test Vérifier les noms a résolu le nom «IIS AppPool \ Umbo4», mais les autorisations effectives montrent que l'utilisateur n'avait aucune autorisation sur le dossier (toutes les cases à cocher ne sont pas cochées).

J'ai ensuite exclu cet utilisateur du dossier explicitement, en utilisant l'onglet Sécurité de l'Explorateur. Cela a entraîné l'échec du site avec une erreur HTTP 500.19, comme prévu. Cependant, les autorisations effectives étaient exactement comme auparavant.

J'ai résolu tous mes problèmes asp.net simplement en créant un nouvel utilisateur appelé IUSER avec un mot de passe et en lui ajoutant le service réseau et les groupes d'utilisateurs. Ensuite, créez tous vos sites et applications virtuels définissez l'authentification sur IUSER avec son mot de passe .. définissez un accès de fichier de haut niveau pour inclure IUSER et BAM, il a résolu au moins 3-4 problèmes, y compris celui-ci ..

Dave