- html - 出于某种原因,IE8 对我的 Sass 文件中继承的 html5 CSS 不友好?
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景?
我的网络应用程序在 Windows Server 2003 下的 IIS 6.0 中运行,我们都知道在这种情况下,IIS 使用用户帐户“网络服务”。
我碰巧必须允许某些用户在我的网页上执行某些操作,并且该操作需要管理员权限。
对我来说最懒的解决方案似乎是将“网络服务”添加到管理员组,而且它确实有效。
我的问题是,这个解决方案有多危险,它会以什么方式危害我的网络服务器的安全?
最佳答案
这通常是“一个坏主意”。如果这是一个面向公众的服务器,那么这是一个非常糟糕的主意。
您应该做的就是将您需要在另一个进程(例如具有提升权限的 Windows 服务)中执行的特定管理任务沙箱化,这就是我们解决此类问题的方法。
然后,我们在 Windows 服务中托管一个远程服务器,并通过命名管道或 TCP/IP 与该服务进行通信(如果是机器对机器,并且是通过后端专用网络)。
有关更多信息,请参阅我为其他用户留下的有关类似问题的答案:
更好的方法是永远不要在 Web 应用程序和 Windows 服务之间进行直接通信,而是通过作业或消息队列等中介进行通信。您的低特权应用程序发出执行管理任务的请求,您的高特权服务从队列中读取这些任务并执行它们。
在这两种情况下,您都应该确保不会超出每项任务的职责范围。即,确保如果任务是在服务器上创建新的 Windows 帐户,则不允许该新帐户获得超出其需要的权限。
关于security - 将 "Network Service"帐户添加到管理员组,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/2226444/
2 个不同的租户(租户 A 中的订阅 A 和租户 B 中的订阅 B) 我们在 Azure 云中有一个订阅,并且我们已经设置了 Azure Keyvault。我们可以在那里创建 key 并使用其中一个
账户-B: 在具有 4 个安全组的 vpc(vpc-B) 中包含 RDS。 我为账户 A 创建了承担角色 具有以下政策: [![在此处输入图像描述][1]][1] [![在此处输入图像描述][2]][
我想问一下如果我使用 Google Apps 帐户而不是 Google 帐户 users.create_login_url() 函数来生成登录页面。 Google 会自动要求我使用 Google 帐户
我正在使用帐户 (accounts-hithub)。现在工作正常,但现在我想更新当前用户。 我尝试过类似的事情 Accounts.update({_id: Meteor.user()._id}, {.
ngrok 的配置文件只允许一个 authtoken 行,您作为用户可用的所有资源(例如,保留的主机名)都基于关联的帐户使用授权 token 。 如果您有多个 ngrok 帐户——例如,一个专业(工作
作为 Coursera 数据科学家类(class)设置的一部分,我错误地将目录 test-repo 链接到错误的帐户。所以,在声明中: git remote add origin https://gi
我想使用 Keycloak 设置 Google 联盟,但仅限于我公司的授权用户。 设置 Google 联盟允许任何 Google 帐户登录。 我查看了 Keycloak 上的身份验证流程,但一直找不到
我正在使用 web3 制作自己的桌面 BSC 钱包。目前我正在使用 private_key = "private key" account = w3.eth.account.privateKeyToA
我们的 Subversion 存储库和 Phabricator 安装有不同的身份验证系统。 但似乎 Phabricator 假定提交作者和 Phabricator 帐户将相同。文档中没有提到提交作者如
我正在使用 codio.com 。从那里我使用 ubuntu 终端登录 Heroku,但它给了我以下错误。我已阅读帮助 page还 。它说使用 MFA 您必须使用浏览器进行登录。但问题是浏览器没有从
我正在尝试第一次发布我的应用程序。如果我没记错的话,为了把admob 广告放到我的应用程序中,我应该有一个admob 帐户。 我的问题是我是否需要使用与打开 Play 商店开发者帐户相同的 gmail
关闭。这个问题不满足Stack Overflow guidelines .它目前不接受答案。 想改善这个问题吗?更新问题,使其成为 on-topic对于堆栈溢出。 3年前关闭。 Improve thi
OS: Ubuntu 18.04 Server Docker 18.3 CE 我使用 PuTTY SSH session 从我的 Windows 10 笔记本电脑登录到服务器。 我的本地 Window
在 Heroku CLI(我使用 WSL/Ubuntu)中,我想查看我当前登录的是哪个 Heroku 帐户。 命令 heroku login开始一个新的登录 session ,但我想知道哪个帐户当前处
除了 [sa] 用户,我在 sysadmin 中没有用户 不幸的是,我以 [sa] 用户身份登录并禁用了它 那么我无法启用它,我该怎么做才能再次启用它? 最佳答案 您必须使用 sqlcmd.exe与
我想找到所有具有索引或已注册身份的 polkadot 帐户;类似于 https://polkascan.io/polkadot/account/identities和 https://polkasca
我想从我的服务器应用程序访问类记录。 我创建了一个服务帐户,但无法从我的 Google 帐户创建的教室中获取记录。 我如何获得访问权限?谢谢 最佳答案 创建服务帐户是不够的。您还必须执行域范围的委派并
我有相同的超链接: HyperLink skype = new HyperLink(); skype.NavigateUrl = "skype:username?call"; 当用户按下它时,他重定向
我和这里的一些人正在创业。我们目前正在使用 Google OpenID API 来管理注册和登录我们的应用程序,但我们希望迁移到更简单的用户注册模型。为此,我们需要知道是否有办法检测电子邮件(不是 g
尝试访问我的 sitemap.xml 时,我收到此错误: 'Account' object has no attribute 'get_absolute_url' on line 112. 109.
我是一名优秀的程序员,十分优秀!