iis - IIS 应用程序池中的哪个身份选项被认为是最好的

Question

目前，我们所有的网络应用程序都将其应用程序池标识设置为 ApplicationPoolIdentity。现在，当一个应用程序需要访问某些服务器上的某些资源时，比如添加/读取某些文件，该应用程序会在代码中向有权执行此操作的用户执行模拟。但是现在，我们正在考虑为每个应用程序创建一个特定的用户，并将其应用程序池标识设置为其特定的新用户。但是我注意到在Advanced Settings对话框中微软推荐使用application pool identity，如下图所示:

为什么 Microsoft 建议使用此身份，并且使用特定用户不是最佳做法或错误的做法？

谢谢，
阿希隆

Answer 1

ApplicationPoolIdentity uses a concept called Virtual Accountsand is implemented to have App Pool isolation.This blog explainsin detail about that .

ApplicationPoolIdentity 是在 IIS7+ 及更高版本中在每个网站/应用程序池之间进行适当隔离的推荐方法。因此您可以为一个网站或应用程序运行代码或文件，而其他人无法访问。

但是对于您需要访问另一台服务器上的资源的场景，当您使用 ApplicationPoolIdentity 时，它始终只使用机器身份。因此最好的方法是使用托管服务帐户

Managed Service Accounts are a great way to manage Servicesthat need network access. Let Windows take care of passwords and SPNsfor you

请查找更多信息here , here

但这有问题，因为只能将一个托管服务帐户分配给一台服务器。即使使用应用程序池标识，它也将使用 $machineaccount 访问网络资源。

如果您必须为每个网站/应用程序隔离网络资源，那么您唯一的方法就是为每个网站创建单独的用户帐户并进行管理。

希望这对您有所帮助!