Descripción general de permisos IIS7 - ApplicationPoolIdentity

Recientemente nos hemos actualizado a IIS7 como un servidor web central y necesito una visión general en términos de permisos. Anteriormente, cuando necesitaba escribir en el sistema de archivos, le habría dado al usuario de AppPool (Servicio de red) acceso al directorio o archivo.

En IIS7 veo, por defecto, el usuario de AppPool está configurado en ApplicationPoolIdentity. Entonces, cuando reviso el administrador de tareas, veo que una cuenta de usuario llamada 'WebSite.com' está ejecutando el proceso IIS ('Website.com' es el nombre del sitio web en IIS)

Sin embargo, esta cuenta de usuario no existe si trato de usarla para otorgar permisos. Entonces, ¿cómo determino a qué usuario otorgar los permisos también?

Editar ================================================= =============================

Vea a continuación el problema en la captura de pantalla. Nuestro sitio web (www.silverchip.co.uk) funciona con el nombre de usuario SilverChip.co.uk. Sin embargo, cuando agrego permisos, ¡este usuario no existe!

================================= Ver imagen de AppPool

ApplicationPoolIdentity es en realidad la mejor práctica para usar en IIS7 +. Es una cuenta sin privilegios creada dinámicamente. Para agregar seguridad del sistema de archivos para un grupo de aplicaciones en particular, consulte "Identidades del grupo de aplicaciones" de IIS.net . La versión rápida:

Si el grupo de aplicaciones se llama "DefaultAppPool" (solo reemplace este texto a continuación si se llama de manera diferente)

1. Abra el Explorador de Windows
2. Seleccione un archivo o directorio.
3. Haga clic derecho en el archivo y seleccione "Propiedades"
4. Seleccione la pestaña "Seguridad"
5. Haga clic en el botón "Editar" y luego en "Agregar"
6. Haga clic en el botón "Ubicaciones" y asegúrese de seleccionar la máquina local . ( No es el dominio de Windows si el servidor pertenece a uno).
7. Ingrese " IIS AppPool \ DefaultAppPool " en el cuadro de texto "Ingrese los nombres de objeto para seleccionar:". (No olvide cambiar "DefaultAppPool" aquí a lo que haya denominado su grupo de aplicaciones).
8. Haga clic en el botón "Comprobar nombres" y haga clic en "Aceptar".

Recuerde usar el nombre local del servidor, no el nombre de dominio, al resolver el nombre

IIS AppPool\DefaultAppPool

(solo un recordatorio porque esto me hizo tropezar un poco):

Dar acceso al usuario de IIS AppPool \ YourAppPoolName puede no ser suficiente con las configuraciones predeterminadas de IIS.

En mi caso, aún tenía el error HTTP Error 401.3 - No autorizado después de agregar el usuario de AppPool y se solucionó solo después de agregar permisos al usuario de IUSR .

Esto es necesario porque, de forma predeterminada, el acceso anónimo se realiza mediante el IUSR . Puede configurar otro usuario específico, el grupo de aplicaciones o continuar usando el IUSR, pero no olvide establecer los permisos adecuados.

Créditos a esta respuesta: Error HTTP 401.3 - No autorizado

En Windows Server 2008 (r2) no puede asignar una identidad de grupo de aplicaciones a una carpeta a través de Propiedades-> Seguridad. Sin embargo, puede hacerlo a través de un símbolo del sistema de administrador usando lo siguiente:

icacls "c:\yourdirectory" /t /grant "IIS AppPool\DefaultAppPool":(R)

Parte A: Configuración de su grupo de aplicaciones

Supongamos que el grupo de aplicaciones se llama 'MyPool' Vaya a 'Configuración avanzada' del grupo de aplicaciones desde el Administrador de IIS

1. Desplácese hacia abajo hasta 'Identidad'. Al intentar editar el valor, aparecerá un cuadro de diálogo. Seleccione 'Cuenta integrada' y debajo de ella, seleccione 'ApplicationPoolIdentity'.

2. Algunas líneas debajo de 'Identidad', debería encontrar 'Cargar perfil de usuario'. Este valor debe establecerse en 'Verdadero'.

Parte B: Configurando su sitio web

1. Nombre del sitio web: Nombre del sitio (solo un ejemplo)
2. Ruta física: C: \ Lo que sea (solo un ejemplo)
3. Conectar como ...: usuario de la aplicación (autenticación de paso) (la configuración anterior se puede encontrar en 'Configuración básica' del sitio en el Administrador de IIS)
4. Después de configurar los ajustes básicos, busque la configuración 'Autenticación' en 'IIS' en la consola principal del sitio. Abrelo. Debería ver una opción para 'Autenticación anónima'. Asegúrate de que esté habilitado. Luego haga clic derecho y 'Editar ...'. Seleccione 'Identidad del grupo de aplicaciones'.

Parte C: Configurando tu carpeta

La carpeta en cuestión es C: \ Lo que sea

1. Vaya a Propiedades - Compartir - Uso compartido avanzado - Permisos, y marque 'Compartir esta carpeta'
2. En el mismo cuadro de diálogo, encontrará un botón 'Permisos'. Pinchalo.
3. Se abrirá un nuevo cuadro de diálogo. Haga clic en 'Agregar'.
4. Se abrirá un nuevo cuadro de diálogo 'Seleccionar usuarios o grupos'. En "Desde esta ubicación", asegúrese de que el nombre sea el mismo que el de su computadora host local. Luego, en 'Ingrese los nombres de los objetos', escriba 'IIS AppPool \ MyPool' y haga clic en 'Verificar nombres' y luego en 'Aceptar'
5. Otorgue permisos completos para compartir para el usuario 'MyPool'. Aplicarlo y cerrar las propiedades de la carpeta
6. Abrir las propiedades de la carpeta nuevamente. Esta vez, vaya a Seguridad - Avanzado - Permiso, y haga clic en Agregar. Habrá una opción 'Seleccionar un director' en la parte superior, o alguna otra opción para elegir un usuario. Pinchalo.
7. El cuadro de diálogo 'Seleccionar usuarios o grupos' se abrirá nuevamente. Repita el paso 4.
8. Otorgue todos los permisos que necesite al usuario 'MyPool'.
9. Marque 'Reemplazar todos los permisos de objetos secundarios ... "y Aplicar y cerrar.

Ahora debería poder usar el navegador del sitio web

Respuesta principal de Jon Adams

Aquí se explica cómo implementar esto para la gente de PowerShell

$IncommingPath = "F:\WebContent"
$Acl = Get-Acl $IncommingPath
$Ar = New-Object  system.security.accesscontrol.filesystemaccessrule("IIS AppPool\DefaultAppPool","FullControl","ContainerInherit, ObjectInherit", "None", "Allow")
$Acl.SetAccessRule($Ar)
Set-Acl $IncommingPath $Acl

Solo para agregar a la confusión, el cuadro de diálogo Permisos efectivos (Windows Explorer) no funciona para estos inicios de sesión. Tengo un sitio "Umbo4" que usa autenticación de paso y miré los Permisos efectivos del usuario en la carpeta raíz del sitio. La prueba Comprobar nombres resolvió el nombre "IIS AppPool \ Umbo4", pero los Permisos efectivos muestran que el usuario no tenía ningún permiso en la carpeta (todas las casillas de verificación no están marcadas).

Luego excluí a este usuario de la carpeta explícitamente, usando la pestaña Seguridad de Explorer. Esto dio como resultado que el sitio fallara con un error HTTP 500.19, como se esperaba. Sin embargo, los permisos efectivos se veían exactamente como antes.

Solucioné todos mis problemas de asp.net simplemente creando un nuevo usuario llamado IUSER con una contraseña y lo agregué al Servicio de red y Grupos de usuarios. A continuación, cree todos sus sitios y aplicaciones virtuales, configure la autenticación en IUSER con su contraseña ... configure el acceso a archivos de alto nivel para incluir IUSER y BAM, solucionó al menos 3-4 problemas, incluido este.

Dave