我可以为Azure上的IIS应用程序池身份使用AAD托管身份吗？

Question

我正在Azure Windows VM上托管IIS，并需要为IIS应用程序池身份配置服务帐户。我可以使用哪种方法来实现这一点？是否可以使用AAD托管标识或服务主体作为IIS应用程序池身份？

- Andy

---

在这里找到了答案：https://serverfault.com/questions/510016/how-can-i-assign-active-directory-permission-to-the-default-app-pool-identity - Andy

Answer 1

根据微软文档： Windows操作系统提供了一种名为“虚拟帐户”的功能，允许IIS为其每个应用程序池创建一个唯一的身份标识。有关虚拟帐户的更多信息，请参阅服务帐户逐步指南。

如果您在Windows Server 2008 R2上运行IIS 7.5或更新版本的IIS，则无需执行任何操作即可使用新身份标识。默认情况下设置ApplicationPoolIdentity。IIS管理员进程（WAS）将创建一个名为新应用程序池的虚拟帐户，并默认在此帐户下运行应用程序池的工作进程。

要在运行Windows Server 2008上的IIS 7.0时使用此虚拟帐户，必须将您创建的应用程序池的Identity属性更改为ApplicationPoolIdentity。 请参考：应用程序池标识 | 微软文档。

要执行以下操作，您必须是本地计算机上管理员组的成员。对于AAD，请确保进行活动目录同步以连接到本地AD。

1. 单击“开始”，指向“管理工具”，然后单击“Internet Information Services（IIS）管理器”。
2. 双击，双击“应用程序池”，右键单击，然后单击“高级设置”。
3. 在身份验证框中，单击“ApplicationPoolIdentity”。
4. 在应用程序池任务下，单击停止，然后单击启动。 参考： 服务帐户逐步指南 - 配置IIS应用程序池使用虚拟帐户 | Microsoft Docs

- kavyaS