用于 SQL Server 身份验证的 IIS7.5 域帐户应用程序池标识

Question

在 Windows Server 2003/IIS6 环境中，我们通常会创建一个应用程序池，该应用程序池作为使用最低权限创建的 AD 帐户的身份运行，仅用于此目的。该域用户还将被授予对 SQL Server 的访问权限，以便该应用程序池中的任何 ASP.NET 应用程序都能够通过 Integrated Security=SSPI 连接到 SQL Server。

我们正在勇敢地迈向 Windows Server 2008 R2/IIS7.5 的世界，并希望复制此模型，但我正在努力解决如何使 IIS7.5 中的应用程序池作为 AD 帐户的身份运行？我知道这听起来很简单，希望如此，但到目前为止我的尝试都没有结果。

• 应用程序池标识是否应该是域帐户的“自定义帐户”？
• 域帐户是否需要添加到任何组？

Answer 1

是的，域帐户将添加到自定义帐户：高级设置 -> 身份下。以下信息来自了解 IIS 7.0 中的内置用户和组帐户

IIS 7.0 会在运行时自动将 IIS_IUSRS 成员身份添加到工作进程令牌中。通过执行此操作，已定义为作为“应用程序池标识”运行的帐户不再需要明确成为 IIS_IUSRS 组的一部分。

如果要禁用此功能并手动将帐户添加到 IIS_IUSRS 组，请通过将 manualGroupMembership 值设置为“true”来禁用此新功能。下面是如何对 defaultAppPool 执行此操作的示例：

<applicationPools>
    <add name="DefaultAppPool">
       <processModel manualGroupMembership="true" />
    </add>
</applicationPools >