windows - 为 IIS 站点创建 Windows 用户，仅此而已

Question

我想在 IIS 中为网站添加基本身份验证，仅限 https。为此，我需要创建一个 Windows 用户。重要的是，该用户只能访问该网站。所以我需要在 Local Computer Policy 中将他添加到 Deny log on locally & Deny log on through Remote Desktop Services。

但是我无法将他添加到 Deny access to this computer from the network 或者他无法访问该网站。 Microsoft says关于此权限:

Users who can log on to the device over the network can enumerate lists of account names, group names, and shared resources.

Users with permission to access shared folders and files can connect over the network and possibly view or modify data.

我可以做些什么来创建一个我可以 100% 确定只能访问该网站而绝对不能访问其他网站的用户？

Answer 1

为了解决您对“拒绝从网络访问此计算机”策略的担忧，不应禁止使用该帐户对网站进行身份验证，因为“从网络访问”不包括 HTTP/S协议(protocol)和WWW服务。因此，您可以根据需要将基本授权用户帐户添加到“拒绝访问”策略中。

来源...

https://www.itprotoday.com/compute-engines/understanding-access-computer-network-user-right

“尽管名称听起来很宽泛，但‘从网络访问此计算机’用户权限仅适用于服务器服务及其提供的资源。服务器服务主要提供对文件和打印机的远程访问，但也提供对您在 Microsoft 管理控制台 (MMC) 计算机管理管理单元中看到的资源的远程访问，包括事件日志、共享文件夹、本地用户和组、逻辑磁盘管理以及使用命名管道的应用程序。但是访问这台计算机来自网络的用户权限对万维网发布、Telnet 和终端服务等服务没有影响。要控制对这些服务的访问，您必须根据需要实现特定于每项服务的安全设置。”

https://learn.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/access-this-computer-from-the-network

“从网络策略设置访问这台计算机决定了哪些用户可以从网络连接到设备。许多网络协议(protocol)都需要此功能，包括基于服务器消息 block (SMB) 的协议(protocol)， NetBIOS、通用互联网文件系统 (CIFS) 和组件对象模型增强版 (COM+)。”

希望这对您有所帮助。