¿En qué cuenta necesita asp.net la configuración de permisos en .NET 4 en Win7?

Question

He estado trabajando en XP Pro por lo que parece ser una eternidad y solo recientemente cambié a Win 7. Ejecutando IIS 7.5 Me resulta realmente confuso en cuanto a qué cuenta necesita acceder en estos días para permitir que se ejecute un sitio web ASP.NET/leer/escribir, etc.

Terminé frustrado y simplemente dando acceso a "todos", pero no estoy muy contento con eso. ¿Qué cuenta debería dar los permisos también para que lo entienda de una vez por todas?

Saludos

Answer 1

La cuenta de usuario virtual no es ApplicationPoolIdentity. El nombre de usuario coincidirá con el nombre del grupo de aplicaciones al que está asociado.

No hay interfaz de usuario para editar estos usuarios, pero para limitar el acceso a las aplicaciones web que se ejecutan en DefaultAppPool, escriba "IIS AppPool \ DefaultAppPool" en el cuadro de búsqueda de Explorer con el equipo local configurado como fuente.

El grupo local IIS_USERS se crea para contener automáticamente a estos usuarios virtuales, por lo que si no desea algo afrutado como limitar el acceso de grupos de aplicaciones, asigne los derechos a este grupo que asignaría a NETWORKSERVICE bajo XP/2003 .

Answer 2

De manera predeterminada, un usuario virtual se crea sobre la marcha que se lleva el nombre del grupo de aplicaciones; está marcado como ApplicationPoolIdentity en el administrador de IIS. Este usuario pertenece al grupo IIS_IUSRS.

IIS 7.5 tiene un grupo de aplicaciones que se ejecuta utilizando las credenciales de un usuario en particular. A menos que le cuente a su sitio lo contrario (mediante suplantación, vea http://msdn.microsoft.com/en-us/library/xh507fc5(v=VS.100).aspx) esta identidad se usará.

Tenga en cuenta que este es un usuario virtual - consulte http://learn.iis.net/page.aspx/624/application-pool-identities/. Para una seguridad máxima, un nuevo usuario virtual para cada grupo de aplicaciones se crea sobre la marcha cada vez que se inicia el grupo, por lo que, en particular, no lo verá listado en el cuadro de diálogo "Seleccionar usuarios o grupos" al establecer permisos para carpetas.

Para evitar esto, puede:

• establecer el permiso para el archivo para permitir el acceso de lectura al grupo IIS_USRS
• o, con mayor seguridad, cambie la identidad del usuario para cada grupo de aplicaciones y usa eso.

Para cambiar la identidad del usuario, use el Administrador de IIS. Haga clic con el botón derecho en Mi PC, elija Administrar, expanda Servicios, luego elija Administrador IIS; verá una lista de los grupos de aplicaciones como están configurados actualmente.

Esta es la mía:

Como se puede ver sólo estoy usando la identidad predeterminada para todas mis aplicaciones. Haga clic derecho en una piscina y seleccionar la configuración avanzada, verás esto:

que le permite cambiar la identidad, según corresponda.

También hay formas de ver y cambiar la identidad usando WMI: vea http://technet.microsoft.com/en-us/library/cc771170(WS.10).aspx.

Answer 3

De forma predeterminada, el grupo se ejecuta con su propia cuenta automática (IISAPPOOL \ DefaultAppPool por ejemplo) pero puede cambiarlo en la configuración del grupo. Además, la cuenta pertenece (de forma predeterminada) al grupo IIS_IUSRS.