主页 / server / 问题 / 124168
Accepted
YodasMyDad
Asked: 2010-03-20 00:00:39 +0800 CST

设置 Win2008 R2 服务器 - IIS_IUSRS 权限

  • 772

我正在设置一个 Web 服务器，并注意到它赋予IIS_IUSRS对 wwwroot 的读取和执行（并因此列出文件夹内容）权限。我正在努力确保它尽可能安全，只是想知道是否可以离开它？

在我的最后一台服务器（Win2003）上，我只向 wwwroot 上的用户授予“读取”权限，然后根据需要手动添加对文件夹的写入/执行权限。

只是想知道其他人是否保持原样？

windows-server-2008 permissions iis-7.5

3 个回答

  1. Best Answer

    您可以浏览文章http://learn.iis.net/page.aspx/140/understanding-the-built-in-user-and-group-accounts-in-iis-70/。正如 TomTom 所说，是的，与 IIS 6.0 相比，安全性发生了很大变化。这篇文章深入介绍了 IIS 7.0 中发生的用户和组级别的更改。

    以下是网站链接和 IIS 7 中可用帮助的一部分。

    IIS_IUSRS 组已被授予对所有必要文件和系统资源的访问权限，以便帐户在添加到该组时可以无缝地充当应用程序池标识。默认情况下，选择 ApplicationPoolIdentity 帐户。ApplicationPoolIdentity 帐户是在启动应用程序池时动态创建的，因此该帐户为您的应用程序提供了最大的安全性。

    • 2

  2. 以下是我的理解：

    根据这里：

    IIS 7 还简化了配置应用程序池标识的过程，并使所有必要的更改变得更容易。当 IIS 启动一个工作进程时，它需要创建一个该进程将使用的令牌。创建此令牌后，IIS 7 会在运行时自动将 IIS_IUSRS 成员身份添加到工作进程令牌。作为“应用程序池标识”运行的帐户不再需要成为 IIS_IUSRS 组的显式部分。此更改可帮助您以更少的障碍设置系统，并使您的整体体验更加有利。

    因此，可以说，无论我们使用哪个帐户作为应用程序池标识，都会在运行时动态隐式地赋予该帐户 IIS_IUSRS 组权限。据称这种所谓的便利性提供了最大的安全性。无论如何，如果帐户作为应用程序池标识运行，谁不想要 IIS_IUSRS 权限。但我只是喜欢一切都在阳光下。

    谢谢

    • 1

  3. 我建议您仔细阅读 IIS 7 中的权限处理 - 它与您所知道的完全不同。完全;)

    我通常设置： * 每个网站一个用户 * 每个网站的一个应用程序池，以用户身份运行 * 就是这样 - 权限归应用程序用户所有。

    • 0

相关问题