Dodaj IIS 7 AppPool Identities jako SQL Server Logons

Prowadzę witrynę internetową IIS 7 z AppPool trybu zintegrowanego rurociągu . AppPools NIE działa w ramach NetworkService itp. Tożsamość (według celu), ale używa własnej AppPool Identitiy (IIS AppPool \ MyAppPool).

Jest to tak zwane konto usługi lub konto wirtualne. (konto użytkownika, które nie jest pełnym kontem ...)

Chciałbym nadać temu kontu usługi uprawnienia (IIS AppPool \ MyAppPool) do połączenia z moim SQL Server 2008 Express (działającym w trybie mieszanego uwierzytelniania).

Podczas gdy SQL Server może dodać dowolne normalne konto użytkownika, konta wirtualnego IIS AppPool \ MyAppPool nie można dodać do prawidłowych danych logowania (SQL Server mówi, że konta nie można znaleźć).

Czy jest jakaś sztuczka, coś, co muszę włączyć, aby konta wirtualne działały? (proces w3wp.exe działa pod tą tożsamością zgodnie z taskmgr, ale nie mogę używać konta w zabezpieczeniach NTFS ...)

Dzięki za pomoc!

„IIS APPPOOL \ AppPoolName” będzie działać, ale jak wspomniano wcześniej, nie wydaje się być prawidłową nazwą AD, więc podczas wyszukiwania w oknie dialogowym „Wybierz użytkownika lub grupę” nie pojawi się (w rzeczywistości , znajdzie to, ale pomyśli, że jest to rzeczywiste konto systemowe i spróbuje traktować to jako takie ... co nie będzie działać i wyświetli komunikat o błędzie informujący o tym, że nie został odnaleziony).

Jak do tego doszło, to:

1. W SQL Server Management Studio poszukaj folderu Zabezpieczenia (folder zabezpieczeń na tym samym poziomie co foldery Bazy danych, Obiekty serwera itp. ... nie folder zabezpieczeń w każdej bazie danych)
2. Kliknij loginy prawym przyciskiem myszy i wybierz „Nowe logowanie”
3. W polu Nazwa logowania wpisz IIS APPPOOL \ YourAppPoolName - nie klikaj wyszukiwania
4. Podaj dowolne inne wartości (np. Typ uwierzytelnienia, domyślna baza danych itp.)
5. Kliknij OK

Tak długo, jak faktycznie istnieje nazwa AppPool, należy teraz utworzyć login.

CREATE LOGIN [IIS APPPOOL\MyAppPool] FROM WINDOWS;
CREATE USER MyAppPoolUser FOR LOGIN [IIS APPPOOL\MyAppPool];

Jeśli korzystasz z różnych komputerów, musisz albo korzystać z USŁUGI SIECIOWEJ, SYSTEMU LOKALNEGO, konta domeny lub SQL 2008 R2 (jeśli go posiadasz) zarządzanego konta usługowego (co jest moją preferencją, jeśli masz taką infrastrukturę) . Nie możesz używać konta, które nie jest widoczne dla domeny Active Directory.

Na marginesie procesy korzystające z kont wirtualnych (NT Service \ MyService i IIS AppPool \ MyAppPool) nadal działają na koncie „NETWORK SERVICE”, jak sugeruje ten post http://www.adopenstatic.com/cs/blogs/ken/ archiwum / 2008/01/29 / 15759.aspx . Jedyną różnicą jest to, że procesy te są członkami grup „NT Service \ MyService” lub „IIS AppPool \ MyAppPool” (ponieważ są to właściwie grupy, a nie użytkownicy). Jest to również powód, dla którego procesy uwierzytelniają się w sieci, podobnie jak komputer, w taki sam sposób, jak konto NETWORK SERVICE.

Sposobem na bezpieczny dostęp nie jest poleganie na tych kontach nieposiadających uprawnień USŁUGI SIECIOWEJ, ale udzielanie większej liczby uprawnień w szczególności do usługi „NT Service \ MyService” lub „IIS AppPool \ MyAppPool” oraz w razie potrzeby usunięcie uprawnień dla „użytkowników”.

Jeśli ktoś ma bardziej dokładne lub sprzeczne informacje, prosimy o opublikowanie.

Spójrz na: http://www.iis.net/learn/manage/configuring-security/application-pool-identities

USE master
GO
sp_grantlogin 'IIS APPPOOL\<AppPoolName>'

USE <yourdb>
GO
sp_grantdbaccess 'IIS APPPOOL\<AppPoolName>', '<AppPoolName>'
sp_addrolemember 'aspnet_Membership_FullAccess', '<AppPoolName>'
sp_addrolemember 'aspnet_Roles_FullAccess', '<AppPoolName>'

To może być to, czego szukasz ...

http://technet.microsoft.com/en-us/library/cc730708%28WS.10%29.aspx

Radziłbym również w dłuższej perspektywie rozważyć rozważenie użytkownika domeny o ograniczonych prawach. To, co próbujesz, działa dobrze w scenariuszu z silosem, ale będziesz musiał wprowadzić zmiany, jeśli przeprowadzisz się na inną maszynę dla serwera DB.

Zrozumiałem to metodą prób i błędów ... prawdziwą szczeliną w zbroi było mało znane ustawienie w IIS Configuration Editorna stronie internetowej w

Section: system.webServer/security/authentication/windowsAuthentication

From: ApplicationHost.config <locationpath='ServerName/SiteName' />

o nazwie useAppPoolCredentials(która jest ustawiona Falsedomyślnie. Ustaw to, Truea życie znów stanie się wspaniałe !!! Mam nadzieję, że to oszczędza bólu następnemu facetowi ...

W moim przypadku problem polegał na tym, że zacząłem od zera tworzyć przykładowy projekt stopu MVC przy użyciu rozszerzenia Visual Studio / Episerver i działał on dobrze, gdy został wykonany przy użyciu lokalnego programu Visual Studio iis express. Jednak domyślnie wskazuje bazę danych SQL na LocalDB, a kiedy wdrożyłem witrynę do lokalnego IIS, zaczął dawać błędy niektóre z początkowych błędów, które rozwiązałem: 1. dodając powiązanie adresu URL lokalnego serwisu do C: / Windows / System32 / drivers / etc / hosts 2. Następnie edytując plik application.config znalazł lokalizację pliku, klikając prawym przyciskiem myszy IIS express w prawym dolnym rogu ekranu podczas uruchamiania witryny za pomocą Visual Studio i dodając tam powiązanie z lokalnym adresem URL iis. 3. W końcu utknąłem z „nie można uzyskać dostępu do błędów bazy danych”