IIS8中的IIS_IUSRS和IUSR权限

Question

我刚刚从 Win2003 上的 IIS6 迁移到 Win2012 上的 IIS8 来托管 ASP.NET 应用程序。

在我的应用程序的一个特定文件夹中，我需要创建和删除文件。将文件复制到新服务器后，当我尝试删除文件时，我不断看到以下错误:

Access to the path 'D:\WebSites\myapp.co.uk\companydata\filename.pdf' is denied.

当我检查 IIS 时，我发现该应用程序正在 DefaultAppPool 帐户下运行，但是，我从未在此文件夹上设置 Windows 权限以包含 IIS AppPool\DefaultAppPool

相反，为了阻止客户尖叫，我授予了该文件夹的以下权限:

IUSR

• 读取并执行
• 列出文件夹内容
• 阅读
• 写

IIS_IUSRS

• 修改
• 读取并执行
• 列出文件夹内容
• 阅读
• 写

这似乎有效，但我担心设置了太多权限。我在网上读到了关于是否真的需要 IUSR 的相互矛盾的信息。任何人都可以澄清哪些用户/权限足以创建和删除此文件夹上的文档吗？另外，IUSR 是 IIS_IUSRS 组的一部分吗？

更新及解决方案

请参阅my answer below 。我不得不遗憾地这样做，因为最近的一些建议没有经过深思熟虑，甚至不安全(IMO​​)。

Answer 1

我讨厌发布自己的答案，但最近有些答案忽略了我在自己的问题中发布的解决方案，建议的方法简直就是鲁莽。

简而言之 - 您根本不需要编辑任何 Windows 用户帐户权限。这样做只会带来风险。该进程完全在 IIS 中使用继承的权限进行管理。

将修改/写入权限应用于正确用户帐户

1. 当域出现在“站点”列表下时，右键单击该域，然后选择“编辑权限”

在“安全”选项卡下，您将看到列出了MACHINE_NAME\IIS_IUSRS。这意味着 IIS 自动拥有该目录的只读权限(例如在站点中运行 ASP.Net)。 您无需编辑此条目。

点击编辑按钮，然后添加...

在文本框中，键入 IIS AppPool\MyApplicationPoolName，将 MyApplicationPoolName 替换为您的域名或正在访问您网站的任何应用程序池，例如IIS AppPool\mydomain.com

按检查姓名按钮。您输入的文本将发生变化(注意下划线):

按确定添加用户

选择新用户(您的域)后，现在您可以安全地提供任何修改或写入权限