¿Cómo puedo asignar permisos de directorio activo a la identidad predeterminada del grupo de aplicaciones?

9

¿Cómo puedo asignar permiso de directorio activo a la identidad predeterminada del grupo de aplicaciones [IIS APPPOOL {nombre del grupo de aplicaciones}]?

Estoy tratando de hacer esto para habilitar una aplicación web para consultar grupos de usuarios activos del directorio y verificar la existencia de un nombre de usuario o nombre de grupo en particular.

Gracias.

active-directory iis application-pools

— usuario2384219
fuente

8

Usted no Puede conferir permisos a los recursos locales para la identidad IIS APPPOOL {nombre del grupo de aplicaciones} para los recursos locales por:

Cómo asignar permisos a la cuenta ApplicationPoolIdentity

En Active Directory, la identidad debe ser una entidad de seguridad conocida, una entidad de seguridad de usuario / grupo / computadora real o una entidad de seguridad extranjera / de confianza.

Sin embargo, si usa la identidad del servicio de red en el AppPool de IIS, el grupo de aplicaciones usará la cuenta de la máquina del servidor IIS al acceder a los recursos de la red. En ese caso, puede conferir los permisos necesarios a la cuenta del equipo (dominio \ nombre de equipo $) en Active Directory.

http://www.iis.net/learn/manage/configuring-security/application-pool-identities

— Greg Askew
fuente

2

Cuando uso la identidad del servicio de red en el ISS AppPool, funciona como se esperaba. Sin embargo, la documentación en "http://www.iis.net/learn/manage/configuring-security/application-pool-identities" dice "La buena noticia es que las identidades del grupo de aplicaciones también usan la cuenta de la máquina para acceder a los recursos de la red. No se requieren cambios ", pero obviamente no se comporta igual que en el caso en que la aplicación intenta realizar consultas AD.

— user2384219

Nadie es perfecto. Al menos NetworkService funciona. El uso de una identidad de grupo de aplicaciones es probablemente algo que está roto o mal documentado.

— Greg Askew

@GregAskew: las identidades del grupo de aplicaciones se ejecutan como superconjuntos de cuentas de servicio de red, por lo que cuando acceden a los recursos de la red funcionan como nombres de máquina, pero también pueden tener una seguridad local más estricta.

— Erik Funkenbusch

1

Lo que hice en la computadora AD fue delegar el control a la computadora que ejecuta el IIS que aloja la aplicación. Delegué solo permisos de "modificar membresía de grupo" (o algo así) y conseguí que mi solución funcionara.

Tuve un giro en mi aplicación que obtuvo IPrincipal de ADFS, por lo que no utilicé la autenticación de Windows, pero aparte de eso, todo funcionó bien.

Lástima que IISExpress no funcione de la manera en que funciona IIS, ya que esta no es la primera vez que tengo problemas al ir a producción.

— Tommi
fuente