Tambahkan IIS 7 AppPool Identities sebagai SQL Server Logons

Saya menjalankan situs web IIS 7 dengan AppPool dari Mode Pipeline Terpadu . AppPools TIDAK berjalan di bawah NetworkService, dll. Identitas (berdasarkan tujuan), tetapi menggunakan AppPool Identitiy sendiri (IIS AppPool \ MyAppPool).

Ini disebut akun layanan atau akun virtual. (akun pengguna, yang bukan akun lengkap ...)

Saya ingin memberikan izin akun layanan ini (IIS AppPool \ MyAppPool) untuk terhubung ke SQL Server 2008 Express (berjalan dalam Mode Auth. Campuran).

Sementara SQL Server dapat menambahkan akun pengguna normal, akun virtual IIS AppPool \ MyAppPool tidak dapat ditambahkan ke log masuk yang valid (SQL Server mengatakan, bahwa akun tidak dapat ditemukan).

Apakah ada trik, apa saja yang saya perlukan untuk mengaktifkan agar akun virtual berfungsi? (proses w3wp.exe berjalan di bawah identitas ini sesuai dengan taskmgr, tapi saya tidak dapat menggunakan akun di keamanan NTFS ...)

Terima kasih atas bantuan Anda!

"IIS APPPOOL \ AppPoolName" akan berfungsi, tetapi seperti yang disebutkan sebelumnya, tampaknya bukan nama AD yang valid sehingga ketika Anda mencarinya di kotak dialog "Pilih Pengguna atau Grup", itu tidak akan muncul (sebenarnya , ia akan menemukannya, tetapi ia akan menganggapnya sebagai akun sistem yang sebenarnya, dan ia akan mencoba memperlakukannya seperti itu ... yang tidak akan berfungsi, dan akan memberi Anda pesan kesalahan tentang itu tidak ditemukan).

Cara saya membuatnya berfungsi adalah:

1. Di SQL Server Management Studio, cari folder Security (folder keamanan di tingkat yang sama dengan folder Databases, Server Objects, dll. ... bukan folder keamanan dalam setiap basis data individual)
2. Klik kanan login dan pilih "Login Baru"
3. Di bidang Nama masuk, ketik IIS APPPOOL \ YourAppPoolName - jangan klik pencarian
4. Isi nilai apa pun yang Anda suka (mis., Tipe otentikasi, database default, dll.)
5. Klik OK

Selama nama AppPool benar-benar ada, login sekarang harus dibuat.

CREATE LOGIN [IIS APPPOOL\MyAppPool] FROM WINDOWS;
CREATE USER MyAppPoolUser FOR LOGIN [IIS APPPOOL\MyAppPool];

Jika Anda melintasi mesin, Anda harus menggunakan LAYANAN JARINGAN, SISTEM LOKAL, akun domain, atau SQL 2008 R2 (jika Anda memilikinya) Akun Layanan Terkelola (yang merupakan pilihan saya jika Anda memiliki infrastruktur seperti itu) . Anda tidak dapat menggunakan akun yang tidak terlihat oleh domain Direktori Aktif.

Sebagai catatan tambahan, proses yang menggunakan akun virtual (NT Service \ MyService dan IIS AppPool \ MyAppPool) masih berjalan di bawah akun "LAYANAN JARINGAN" sebagaimana posting ini menyarankan http://www.adopenstatic.com/cs/blogs/ken/ arsip / 2008/01/29 / 15759.aspx . Satu-satunya perbedaan adalah bahwa proses ini adalah anggota grup "NT Service \ MyService" atau "IIS AppPool \ MyAppPool" (karena ini sebenarnya adalah grup dan bukan pengguna). Ini juga merupakan alasan mengapa proses otentikasi di jaringan sebagai mesin dengan cara yang sama seperti akun NETWORK SERVICE.

Cara untuk mengamankan akses tidak bergantung pada akun ini yang tidak memiliki hak istimewa LAYANAN NETWORK tetapi untuk memberikan lebih banyak izin khusus untuk "NT Service \ MyService" atau "IIS AppPool \ MyAppPool" dan untuk menghapus izin untuk "Pengguna" jika perlu.

Jika ada yang memiliki informasi yang lebih akurat atau kontradiktif, silakan kirim.

Lihatlah: http://www.iis.net/learn/manage/configuring-security/application-pool-identities

USE master
GO
sp_grantlogin 'IIS APPPOOL\<AppPoolName>'

USE <yourdb>
GO
sp_grantdbaccess 'IIS APPPOOL\<AppPoolName>', '<AppPoolName>'
sp_addrolemember 'aspnet_Membership_FullAccess', '<AppPoolName>'
sp_addrolemember 'aspnet_Roles_FullAccess', '<AppPoolName>'

Ini mungkin yang Anda cari ...

http://technet.microsoft.com/en-us/library/cc730708%28WS.10%29.aspx

Saya juga akan menyarankan jangka panjang untuk mempertimbangkan pengguna domain hak terbatas, apa yang Anda coba berfungsi dengan baik dalam skenario mesin silo tetapi Anda harus membuat perubahan jika Anda pindah ke komputer lain untuk server DB.

Saya mengetahuinya melalui coba-coba ... celah sebenarnya dalam baju besi itu sedikit dikenal pengaturan di IIS di Configuration Editoruntuk situs web di

Section: system.webServer/security/authentication/windowsAuthentication

From: ApplicationHost.config <locationpath='ServerName/SiteName' />

disebut useAppPoolCredentials(yang diatur Falsesecara default. Tetapkan ini ke Truedan hidup menjadi hebat lagi !!! Semoga ini menyelamatkan rasa sakit untuk pria berikutnya ....

Dalam kasus saya masalahnya adalah saya mulai membuat proyek sampel MVC Alloy dari awal menggunakan ekstensi Visual Studio / Episerver dan bekerja dengan baik ketika dieksekusi menggunakan Visual studio iis express lokal. Namun secara default itu menunjuk database sql ke LocalDB dan ketika saya menyebarkan situs ke IIS lokal itu mulai memberikan kesalahan beberapa kesalahan awal saya diselesaikan dengan: 1. menambahkan url situs lokal yang mengikat C: / Windows / System32 / driver / etc / hosts 2. Kemudian dengan mengedit application.config menemukan lokasi file dengan mengklik kanan IIS express di sudut kanan layar ketika menjalankan situs menggunakan Visual studio dan menambahkan ikatan di sana untuk url iis lokal. 3. Akhirnya saya terjebak dengan "tidak dapat mengakses kesalahan basis data"