Autorisations IIS_IUSRS et IUSR dans IIS8

Question

Je viens de passer de IIS6 sur Win2003 à IIS8 sur Win2012 pour l'hébergement d'applications ASP.NET.

Dans un dossier particulier de mon application, je dois créer et supprimer des fichiers. Après avoir copié les fichiers sur le nouveau serveur, je voyais toujours les erreurs suivantes lorsque j'essayais de supprimer des fichiers :

Accès au chemin ' D:\WebSites\myapp.co.uk\companydata\filename.pdf est refusé.

Lorsque je vérifie IIS, je vois que l'application est exécutée sous le compte DefaultAppPool, cependant, je n'ai jamais configuré les permissions Windows sur ce dossier pour inclure IIS AppPool \DefaultAppPool

Au lieu de cela, pour empêcher les clients de crier, j'ai accordé les permissions suivantes sur le dossier :

IUSR

• Lire et exécuter
• Liste des contenus des dossiers
• Lire
• Écrire à

IIS_IUSRS

• Modifier
• Lire et exécuter
• Liste des contenus des dossiers
• Lire
• Écrire à

Cela semble avoir fonctionné, mais je crains que trop de privilèges aient été définis. J'ai lu des informations contradictoires en ligne sur le fait que IUSR n'est pas du tout nécessaire ici. Quelqu'un peut-il préciser quels utilisateurs/permissions suffiraient pour créer et supprimer des documents dans ce dossier ? De plus, IUSR fait-il partie du groupe IIS_IUSRS ?

Mise à jour et solution

Veuillez consulter ma réponse ci-dessous . J'ai dû le faire, malheureusement, car certaines suggestions récentes n'étaient pas bien pensées, ni même sûres (selon moi).

Answer 1

IUSR fait partie de la IIS_IUSER donc je suppose que vous pouvez supprimer les permissions de IUSR sans s'inquiéter. Autres lectures

Cependant, un problème est apparu au fil du temps, car de plus en plus de services système Windows ont commencé à s'exécuter en tant que NETWORKSERVICE . Cela est dû au fait que les services fonctionnant en tant que NETWORKSERVICE peut altérer d'autres services qui fonctionnent sous la même identité. Comme les processus de travail IIS exécutent par défaut du code tiers (ASP classique, ASP.NET, code PHP), il était temps d'isoler les processus de travail IIS des autres services du système Windows et d'exécuter les processus de travail IIS sous des identités uniques.

Le système d'exploitation Windows offre une fonction appelée "comptes virtuels" qui permet à IIS de créer des identités uniques pour chacun de ses pools d'applications. DefaultAppPool est le pool par défaut qui est attribué à tous les pools d'applications que vous créez.

Pour le rendre plus sûr, vous pouvez modifier le paramètre IIS DefaultAppPool Identité à ApplicationPoolIdentity .

En ce qui concerne les autorisations, Créer et Supprimer résument tous les droits qui peuvent être accordés. Ainsi, quel que soit le droit que vous avez attribué au IIS_USERS est tout ce dont ils auront besoin.

Answer 2

Quand j'ai ajouté des permissions pour IIS_IUSRS dans le dossier du site, les ressources comme JavaScript et CSS étaient toujours inaccessibles (erreur 401, interdite). Cependant, lorsque j'ai ajouté IUSR ça a commencé à fonctionner. Donc, vous êtes sûr ne peut pas supprimer les autorisations pour IUSR .

Answer 3

@EvilDr Vous pouvez créer un compte IUSR_[identifiant] dans votre environnement AD et laisser le pool d'applications particulier s'exécuter sous ce compte IUSR_[identifiant] :

"Pool d'applications" > "Paramètres avancés" > "Identité" > "Compte personnalisé".

Définissez votre site web comme "Utilisateur de l'application (authentification par passage)" et non "Utilisateur spécifique", dans les paramètres avancés.

Maintenant, donnez à ce IUSR_[identifiant] les permissions NTFS appropriées sur les fichiers et les dossiers, par exemple : modifier sur companydata.

Answer 4

J'utiliserais l'utilisateur spécifique (et NON l'utilisateur de l'application). Ensuite, je vais activer l'impersonnalisation dans l'application. Une fois que vous aurez fait cela, quel que soit le compte défini comme utilisateur spécifique, ces informations d'identification seront utilisées pour accéder aux données suivantes ressources locales sur ce serveur (pas pour les ressources externes).

Le paramètre Utilisateur spécifique est spécifiquement destiné à l'accès aux ressources locales.

Answer 5

La permission IIS_IUser est plus que suffisante pour créer ou supprimer des fichiers. L'autorisation IUser n'est pas nécessaire. Je donne cette autorisation pour plus de 20 dossiers. Je cherche un autre moyen de le faire. Suggérez-moi si une option est disponible.