IIS 7.5中神秘的应用程序池标识解析(程序池账户)

下面就详细讲解一下"IIS 7.5中神秘的应用程序池标识解析(程序池账户)"的完整攻略。

什么是应用程序池标识(程序池账户)

应用程序池标识，简称程序池账户，是一个IIS的安全机制，用于提高IIS应用程序池的安全性。在IIS 7.5中，程序池账户被引入，取代了IIS 6.0中的IIS_WPG和IIS_IUSRS用户组。程序池账户是一个本地用户账户，用于执行IIS承载的ASP.NET应用程序时使用。

IIS的应用程序池账户有三种设置方式：LocalSystem、NetworkService、ApplicationPoolIdentity。其中，前两种是比较常用的设置方式，而ApplicationPoolIdentity是IIS 7.5中新增的一种设置方式。下面我们来详细介绍一下这三种设置方式的具体内容。

LocalSystem

LocalSystem是Windows系统默认的系统账户，也是IIS应用程序池的默认账户，用于执行应用程序池中的应用程序。LocalSystem拥有操作系统的最高权限，其拥有的权限包括：

• 拥有操作整个系统的权利，包括访问所有用户的文件、进程和资源。
• 能够对系统上的所有服务和资源进行远程管理。
• 能够为本地服务和进程授予访问权限。

虽然LocalSystem拥有最高的权限，但它也存在一定的风险，因为一旦被黑客攻击，则黑客可以利用LocalSystem的权限对系统进行任意操作。

NetworkService

NetworkService是Windows系统自带的一个特殊账户，是IIS应用程序池的另一种默认账户。与LocalSystem相比，NetworkService的权限要稍微低一些，但是它仍然可以作为IIS应用程序池执行应用程序的安全账户。NetworkService拥有的权限包括：

• 可以访问网络资源上的共享文件夹。
• 可以作为匿名用户进行远程连接。
• 可以访问与计算机帐户无关的许多系统对象和作业。

ApplicationPoolIdentity

ApplicationPoolIdentity是IIS 7.5中新增的一种设置方式，是一种更为安全的账户类型。在IIS 7.5中，每个应用程序池都有其自己的ApplicationPoolIdentity账户，该账户是一个本地账户，由操作系统生成，只有在运行应用程序池时才会激活。

ApplicationPoolIdentity账户是一种更加安全和灵活的账户类型，IIS 7.5通过访问控制列表(ACL)的方式，确保只有与当前应用程序池关联的应用程序有权访问其资源。使用ApplicationPoolIdentity账户时，应用程序将只拥有稍低于LocalSystem和NetworkService两种账户的权限，因此，即使被攻击也不会造成灾难性后果。

如何设置应用程序池标识(程序池账户)

下面我们来介绍一下如何设置IIS应用程序池标识(程序池账户)，包括如何选择合适的账户类型以及如何手动配置程序池账户。

如何选择合适的账户类型

要选择正确的IIS应用程序池账户，需要考虑应用程序池需要的权限、安全性和性能。通常情况下，如果应用程序池需要操作系统资源，则可以选择LocalSystem或NetworkService账户；如果应用程序池只需要操作IIS资源，则可以选择ApplicationPoolIdentity账户，该账户默认是IIS资源的最小运行权限。

对于需要使用LocalSystem和NetworkService账户的应用程序池，可以按照如下步骤进行设置：

1. 打开IIS管理器，进入应用程序池，右键单击要设置的应用程序池，选择"高级设置"。

2. 在“高级设置”对话框中，找到“标识”属性组，选择要设置的账户类型。

3. 如果要使用LocalSystem账户，选择“本地系统”。

4. 如果要使用NetworkService账户，选择“网络服务”。

5. 点击"确定"，完成设置。

对于需要使用ApplicationPoolIdentity账户的应用程序池，可以按照如下步骤进行设置：

1. 打开IIS管理器，进入应用程序池，右键单击要设置的应用程序池，选择“进程模型”。
2. 在“进程模型”对话框中，找到“标识”属性组，将“标识”设置为“应用程序池身份”。
3. 点击“确定”，完成设置。

手动配置程序池账户

除了使用默认的账户类型外，我们还可以手动配置程序池账户。手动配置程序池账户时，需要确保已有一个本地账户可以用于承载应用程序，通常情况下，Windows系统会预先分配一个专门用于IIS应用程序池的账户，名为IIS APPPOOL\应用程序池名称，其中应用程序池名称为要承载的应用程序池的名称。

手动配置程序池账户的具体步骤如下：

1. 打开IIS管理器，进入应用程序池，右键单击要设置的应用程序池，选择“高级设置”。
2. 在“高级设置”对话框中，找到“标识”属性组，选择“自定义账户”。
3. 输入本地账户名称和密码，并确认密码。
4. 点击“确定”，完成设置。

示例1：使用LocalSystem账户运行IIS应用程序池

下面我们来看一个实际的示例：如何使用LocalSystem账户运行IIS应用程序池。

1. 打开IIS管理器，进入应用程序池，右键单击要设置的应用程序池，选择“高级设置”。
2. 在“高级设置”对话框中，找到“标识”属性组，选择“本地系统”。
3. 点击“确定”，完成设置。

这样，所选择的应用程序池将使用LocalSystem账户运行，具有最高权限。

示例2：使用ApplicationPoolIdentity账户运行IIS应用程序池

下面我们再来看一个实际的示例：如何使用ApplicationPoolIdentity账户运行IIS应用程序池。

1. 打开IIS管理器，进入应用程序池，右键单击要设置的应用程序池，选择“进程模型”。
2. 在“进程模型”对话框中，找到“标识”属性组，将“标识”设置为“应用程序池身份”。
3. 点击“确定”，完成设置。

这样，所选择的应用程序池将使用ApplicationPoolIdentity账户运行，具有更高的安全性。