应用程序池标识、用户组和IIS隔离

Question

我遵循了以下两个问题:

IIS 7.5应用程序池身份权限未分配到文件夹，但应用程序仍然可以写入其文件夹？

IIS AppPoolIdentity和文件系统写访问权限

为了尝试理解如何隔离IIS ApplicationPoolIdentity 用户，尽管他们是具有几乎遍布读取访问权限的 Users 组的成员。

我认为比较安全的做法是 App Pool\myapp 只能读取站点内容（或读/写其虚拟目录），但最好的做法是在不删除 Users 组ACL的情况下实现这一点？？我的Windows服务器默认将“users”组放在所有卷的ACL上，并继承到所有文件夹...

- pfab.io

---

我对以“网站和一般情况下是否真实”开头的问题有些困惑，您能否重新表述一下？我认为您是想问：“如何防止应用程序池标识用户在服务器上读取Users组具有访问权限的所有数据？”- 您能确认一下吗？ - Kev

放弃那个，是的我确认 :) - pfab.io

Answer 1

AMit - 这仍然不能解决他的Web应用程序可以读取C：/驱动器上几乎任何文件的问题。但更糟糕的是，Web应用程序可以写入C：/驱动器。因为用户组具有此权限...这是Microsoft设计中的根本安全漏洞。我一直在寻找解决方案，但尚未找到。

将网站放在不同分区中只是通过模糊来保护安全性...这基本上根本没有安全性 - 只是希望他们不要发现...

- Zack A

Answer 2

这个问题也在你链接的Kev的答案中得到了解答。最好将网站根目录设置在一个单独的非系统驱动器上。在那里，您可以从顶级中删除“Users”组，并仅向各个站点的主文件夹授予相应应用程序池标识的权限。

- Amit Naidu