¿Cómo puedo agregar permisos ACL para cuentas IIS APPPOOL \ * a través de Powershell?

Quiero poder configurar la cuenta de IIS para que los nuevos sitios web tengan permisos de modificación. Tengo el siguiente script:

function Set-ModifyPermission ($directory, $username, $domain = 'IIS APPPOOL') {
    $inherit = [system.security.accesscontrol.InheritanceFlags]"ContainerInherit, ObjectInherit"
    $propagation = [system.security.accesscontrol.PropagationFlags]"None"
    $acl = Get-Acl $directory
    $user = New-Object System.Security.Principal.NTAccount($domain, $username )
    $accessrule = New-Object system.security.AccessControl.FileSystemAccessRule($user, "Modify", $inherit, $propagation, "Allow")
    $acl.AddAccessRule($accessrule)
    set-acl -aclobject $acl $directory
}

Sin embargo, cuando lo ejecuto, obtengo errores como este:

Set-Acl: la relación de confianza entre esta estación de trabajo y el dominio primario falló.

Creo que esto se debe a IIS APPPOOLque no es un dominio real, sino que es un prefijo extraño en una cuenta falsa. ¿Hay una manera correcta de referirme a esa cuenta para que pueda hacer que esto funcione?

En primer lugar, use Set-Acl de esta manera, ya que la ruta del directorio es el primer argumento posicional:

Set-Acl $directory $acl

En segundo lugar, debe crear el objeto de usuario con un solo argumento:

$user = New-Object System.Security.Principal.NTAccount("$domain\\$username")

ACTUALIZACIÓN: Parece que no aceptará "IIS APPPOOL \ AppPoolName" como un identificador de NTAccount. Ahora, hay dos formas de lograr lo que está tratando de hacer:

1. Cree un nuevo objeto SID con el SID AppPoolIdentities y traduzca a una cuenta NTA, así: http://iformattable.blogspot.com/2007/12/convert-sid-to-ntaccount-with.html , y debería poder para tratarlo como cualquier otro objeto NTAccount. Si aún desea poder pasar nombres de dominio / usuario para cuentas reales, cree una lógica simple que por defecto es el SID de AppPool si el nombre de usuario es "AweSomeAppPool" y el dominio está vacío, solo como ejemplo.

2. Use PowerShell para invocar icacls.exe, y úselo para otorgar / revocar los permisos que desee, de esta manera (primero el símbolo del sistema normal de icacls, luego PowerShell, observe la diferencia):

   icacls.exe test.txt /grant "IIS AppPool\DefaultAppPool":(OI)(CI)M

   cmd /c icacls test.txt /grant "IIS AppPool\DefaultAppPool:(OI)(CI)M"

Si opta por la segunda opción, asegúrese de probarlos manualmente primero, no he tenido la oportunidad de probar estos ejemplos específicos yo mismo, pero debería funcionar

Algo como esto debería hacerte el truco. También debería ser capaz de resolver IIS APPPOOl \ Anything ...

function Set-AclOnPath
{
    param(
        [Parameter(Mandatory=$true)]
        [ValidateNotNullOrEmpty()]
        [string] $Path,

        [Parameter(Mandatory=$true)]
        [ValidateNotNullOrEmpty()]
        [string] $DomainAccount
    )

    #Put whatever permission you want here
    $permission = $DomainAccount,"ReadAndExecute","Allow"
    $accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule $permission

    $acl = Get-Acl $Path
    $acl.SetAccessRule($accessRule)
    $acl | Set-Acl $Path
}

Lo siguiente funciona en Windows 2012 para obtener un SID para el sitio IIS. Requiere el proveedor IIS que utiliza el módulo PowerShell de WebAdministration, pero este artículo indica que funcionará en Windows 2008R2.

$appPoolName = 'MyAppPool'
$appPoolSid = (Get-ItemProperty IIS:\AppPools\$appPool).applicationPoolSid
$identifier = New-Object System.Security.Principal.SecurityIdentifier $appPoolSid
$user = $identifier.Translate([System.Security.Principal.NTAccount])

A partir de IIS 10 / Windows 10 / Server 2016, el módulo de WebAdministration está en desuso y se espera que usemos el nuevo módulo IISAdministration Powershell. A continuación, se explica cómo traducir el SID del grupo de aplicaciones al usuario virtual mediante el nuevo módulo:

Import-Module IISAdministration
$manager = Get-IISServerManager
$appPoolName = 'MyAppPool'
$appPoolSid = $manager.ApplicationPools["$appPoolName"].RawAttributes['applicationPoolSid']
$identifier = New-Object System.Security.Principal.SecurityIdentifier $appPoolSid
$user = $identifier.Translate([System.Security.Principal.NTAccount])

Lo siguiente funcionó para mí en Windows 2012, no pude hacer funcionar los otros ejemplos:

Import-Module WebAdministration

$appPoolName='MyAppPool'
$folderDirectory='C:\MyWebFolder'

$appPoolSid = (Get-ItemProperty IIS:\AppPools\$appPoolName).applicationPoolSid

Write-Output "App Pool User $appPoolSid"

$identifier = New-Object System.Security.Principal.SecurityIdentifier $appPoolSid
$user = $identifier.Translate([System.Security.Principal.NTAccount])

Write-Output "Translated User $user.Value"

$acl = Get-Acl $folderDirectory
$acl.SetAccessRuleProtection($True, $False)
$rule = New-Object System.Security.AccessControl.FileSystemAccessRule($user,”FullControl”, “ContainerInherit, ObjectInherit”, “None”, “Allow”)
$acl.AddAccessRule($rule)
$acl | set-acl -path $folderDirectory