cmd.exe 作为内置应用程序池标识

Question

我的 IIS Web 应用程序使用内置应用程序池标识运行IIS APPPOOL\Foo。

IIS APPPOOL\Foo是否可以在使用 psexec 或其他工具的上下文中运行命令行？

有各种博客文章展示了如何获取应用程序池的密码，但它们仅适用于应用程序池使用特定 Windows 标识的情况，而不适用于应用程序池使用内置标识的情况IIS APPPOOL\...。

Answer 1

您有时可以通过运行以下命令来查看 AppPool 帐户的凭据：

C:\windows\System32\inetsrv>appcmd list apppool APPOOLNAME /Text:*

不过，当 AppPool 使用内置身份时，这将不起作用。

我建议您针对您的场景使用组托管服务帐户 (GMSA)。GMSA 与内置应用程序池帐户非常相似，因为没有可读密码（某种程度上，密码由活动目录管理/轮换）。配置完成后，GMSA 帐户将设置为应用程序池的身份帐户。AppPool 作为 GMSA 帐户运行后，您还可以转到文件共享并授予该帐户对文件共享的必要访问权限。