爲什麼將應用程序池標識設置爲用於asp.net Web應用程序的網絡服務？

Question

我見過一個由具有網絡服務標識的Classic App Pool運行的Web應用程序。背後的原因是什麼？如果使用本地系統/本地服務或其他，我們會面臨什麼問題。

如果有人知道，請分享您的知識。

Answer 1

IIS 4.x/5.x用於將本地系統/本地服務用作IIS進程的默認標識，這成爲系統範圍的風險，因爲IIS等Web服務器可能遭到黑客入侵。一旦黑客入侵，惡意代碼將在這些強大的帳戶下執行，以破解整個Windows機器以及同一域中的其他資源。

因此，當微軟設計IIS 6時，他們切換到網絡服務，這比舊的選項權限少得多。在IIS 7及更高版本中，Microsoft引入了應用程序池標識帳戶以減少更多權限。這就是@mason所評論的「最小特權原則」。

但是，整個IIS安全故事並沒有在這裏結束。諸如DMZ等概念將爲您的Web環境帶來更多的安全性，您應該花一些時間通過特定材料（IIS安全書等）學習，而不僅僅是通過Web論壇。