在 IIS 中使用应用程序池身份与本地帐户

Question

我应该强化我们公司开发的 Web 应用程序。为此，我决定为每个网站创建单独的应用程序池。我的问题是使用应用程序池身份是否更安全，还是为每个应用程序池使用单独的本地/域帐户？

Answer 1

使用应用程序池身份的原因纯粹是安全问题。Windows 中对此还有另一个名称 - 它们也称为“虚拟帐户”。

默认情况下，“网络服务”，尤其是“本地计算机”帐户拥有太多权限。本地计算机可以不受限制地访问整个系统，而网络服务能够与也作为网络服务运行的其他 Windows 服务混用。应用程序池身份和一般的虚拟帐户只是一种直接的机制，您可以通过该机制仅分配服务所需的最低限度的权限，而不能再分配更多权限。它还有助于从 ACL 和审计的角度保持事情的直接性，因为您将很难追踪哪个“网络服务”在计算机上执行了某些操作等。