IIS7.5中神秘的ApplicationPoolIdentity

最新推荐文章于 2024-01-24 08:59:37 发布
转载 最新推荐文章于 2024-01-24 08:59:37 发布 · 597 阅读 · 0
文章标签：

#iis #web服务 #测试 #windows #system #服务器

IIS7.5引入了ApplicationPoolIdentity特性，为每个应用程序池动态创建一个虚拟账户，增强了安全性。本文详细解释了这一机制，并演示了如何正确配置文件夹权限以便应用程序池能够访问所需的资源。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

IIS7.5中(仅win7,win2008 SP2,win2008 R2支持)，应用程序池的运行帐号，除了指定为LocalService,LocalSystem,NetWorkService这三种基本类型外，还新增了一种ApplicationPoolIdentify

win7的官方帮助上是这么说的:

ApplicationPoolIdentity – 默认情况下，选择“应用程序池标识”帐户。启动应用程序池时动态创建“应用程序池标识”帐户，因此，此帐户对于您的应用程序来说是最安全的。

也就是说"ApplicationPoolIdentity"帐号是系统动态创建的“虚拟”帐号(说它是虚拟的，是因为在用户管理里看不到该用户或用户组，在命令行下输入net user也无法显示，但该帐号又是确实存在的)

如何验证该帐号确实是存在的的？打开任务管理器，观察一下:

w3wp.exe即iis进程，上图中高亮部分表明该iis进程正在以帐号luckty运行(注意这里的luckty即为上图中的应用程序池名称)


好了，搞清楚这个有什么用?

先来做一个测试，比如我们在iis里新建一个站点，主目录设置为c:\2\，应用程序池就指定刚才图中的luckty

假如我们在该站点的default.aspx.cs里写入这样一行代码 :

File.AppendAllText("C:\\TestDir\\1.txt",DateTime.Now.ToString());

前提是c盘必须先建一个目录TestDir，同时除Administrator,System保留完全控制权外，其它帐号的权限都删除掉

运行后，会提示异常： 对路径“C:\TestDir\1.txt”的访问被拒绝。

原因很明显:该站点运行时是以应用程序池(luckty)对应的虚拟帐号运行的，而这个虚拟帐号不具备c:\TestDir的访问权限

这种情况在web服务器（iis6）安全配置中很常见，比如我们把图片上传目录，常常放在主目录之外，同时以虚拟目录形式挂于站点之下，另外在IIS6中不指定该目录任何执行权限 ，这样即使有人非法上传了asp/aspx木马上去，也无法运行搞不成破坏!

言归正传，要想让那一行测试代码正常运行，解决办法很简单，把虚拟帐号的权限加入文件夹安全权限中即可，但是问题来了：这个虚拟帐号我们是不可见的，如果你直接添加名为luckty的用户到文件夹安全帐号里，根本通不过(提示找不到luckty用户)，说明这个虚拟帐号名称并不是"luckty"


关键：手动输入 IIS AppPool\luckty （即IIS AppPool\应用程序池名），再确定，这回ok了.


当然除了用"IIS AppPool\应用程序池名"外，windows内部还有一个特殊的用户组Authenticated Users，把这个组加入TestDir的安全权限帐号里也可以，不过个人觉得没有"IIS AppPool\应用程序池名"来得精确.


结束语：
IIS7.5的虚拟帐号设计确实很棒，想想传统IIS6的时候，为了把同一服务器上的各站点权限分开(以防止木马捣乱)，不得不创建一堆iuser_XXX,iwam_XXX帐号并指定密码，再一个个站点分配过去，累死人！而虚拟帐号设计则让这类管理轻松多了，也不用担心密码过于简单或过期问题。So,还在等什么，赶紧升级到win7/win2008 R2吧！

作者： 菩提树下的杨过
出处： http://yjmyzz.cnblogs.com
本文版权归作者和博客园共有，欢迎转载，但未经作者同意必须保留此段声明，且在文章页面明显位置给出原文连接，否则保留追究法律责任的权利。
IIS应用程序池标识（程序池账户）ApplicationPoolIdentify
weixin_30367873的博客
07-25 1509
IIS中应用程序池的运行账户（标识）有以下4个选项 LocalService 本地服务 LocalSystem 本地系统 NetWorkService 网络服务 ApplicationPoolIdentify 默认情况下新建的应用程序池标识为ApplicationPoolIdentify，官网文档解释（传送门）为： If you are running IIS 7.5 on Win...
IIS7.5中神秘的ApplicationPoolIdentity介绍
09-30
在介绍IIS7.5的新特性时，ApplicationPoolIdentity是一个非常重要的概念。它是IIS7.5引入的一个安全机制，用来提高应用程序池的身份隔离度和应用程序的安全性。在IIS7.5之前，应用程序通常是以LocalService、Local...
IIS ApplicationPoolIdentity
大自然的小女孩
11-04 979
原创地址：http://www.cnblogs.com/jfzhu/p/4067297.html                                                转载请注明出处   从IIS 7.5开始，Application Pool Identity的Built-in Account除了LocalService，LocalSystem，Net
Application Pool Identities
weixin_34119545的博客
03-25 228
Whether you are running your site on your own server or in the cloud, security must be at the top of your priority list. If so, you will be happy to hear that IIS has a security feature called the app...
IIS 7.5中神秘的应用程序池标识解析(程序池账户)
01-10
IIS7.5中(仅win7,win2008 SP2,win2008 R2支持)，应用程序池的运行帐号，除了指定为LocalService,LocalSystem,NetWorkService这三种基本类型外，还新增了一种ApplicationPoolIdentify win7的官方帮助上是这么说的:...
IIS 7.5 部署ASP.NET失败的解决方法
10-24
在IIS 7.5中，默认情况下应用程序池的标识是“ApplicationPoolIdentity”，这是一种系统动态创建的虚拟用户账户。这种账户对于应用程序来说是最安全的选择，因为它不暴露任何真实的用户账户信息。然而，这种虚拟账户...
IIS7.5非常详细配置全解
11-01
### IIS7.5配置全解析 #### 一、引言 随着技术的发展，IIS (Internet Information Services) 作为一款强大的Web服务器组件，在Windows操作系统中扮演着重要角色。特别是对于那些初学者而言，了解如何正确配置IIS7.5...
关于ApplicationPoolIdentity
weixin_30699463的博客
08-05 451
一直以来IIS中的网站默认都是以network service在运行，但是从IIS7开始，默认会以ApplicationPoolIdentity运行。 这个账户比较特殊，是一种虚拟帐户，你无法在计算机用户列表中看到它，但是可以在任务管理器的进程列表中看到（显示出来的w3wp.exe的运行身份就是应用程序池的名称），据说是在应用程序池启动时动态创建的。 这种帐户的默认权限应该和原来的networ...
IIS应用程序池标识的权限说明
偏爱mango的小姐姐的博客
08-07 3691
最近在部署项目到服务器上的时候报了一个错误，如错信息如下： 编译器错误信息: CS0016:未能写入输出文件: '*:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\Temporary ASP.NET Files\*\*.dll'--拒绝访问." 百度都说是因为权限的问题，但由于服务器已经加上权限控制，不允许添加新的用户权限，因而只能另选他法。 最终的解...
如何找到w3wp与w3svc的对应关系
weixin_30539625的博客
12-25 181
在生产环境中，一般会有多个IIS进程在运行，这里面可能是有Web Garden的设置，也可能是有多个application pool在运行。而我们经常在c:\inetpub\logs目录下面，看到很多诸如下面的子目录 同时，我们也会在taskmgr里面看到多个w3wp，如下图 那么，pid为3780的进程，对应的iis log，是上面的w3svc哪个子目录呢？ 在wind...
安装IIS及搭建asp.net程序遇到的问题
code12313的博客
01-24 1052
在路径中：C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Temporary ASP.NET Files添加IIS_IUSR角色或者Authenticated Users角色。如果没启动在路径C:\Windows\Microsoft.NET\Framework\v4.0.30319\Temporary ASP.NET Files中添加IIS_IUSR角色或者Authenticated Users。出现以上问题没有安装ASP.NET4.6功能，勾选安装即可。
PHP7.2中Yii2部署后出现500错误
g960214的博客
11-07 3887
今天我在github上拿下自己的代码，然后想放到自己的mac上，之前是在windows（PHP7.0）上开发的。部署之后，突然发现，哎～ 500 了，然后我就： 看看我vendor目录是否正常引入了。最后发现并没有正常引入。可是在网页是出现一个500的错误，并没有报什么错误。但是PHP是世界上最好的语言，我在web/index.php （入口脚本）中添加 ini_set('display_er...
django报错:AppRegistryNotReady
无形的专栏
04-13 2048
报错信息: "The translation infrastructure cannot be initialized before the " AppRegistryNotReady: The translation infrastructure cannot be initialized before the apps registry is ready. Check that you d
System.TypeInitializationException”类型的未经处理的异常在 ，的类型初始值设定项引发异常。
热门推荐
鸣风
03-07 2万+
如图 这种错误大多是声明的类里面初始字段赋值出了问题 比如 在类里面生命了一个 1024*1024*1024大小的数组，超出了最大内存限制就会出错 public static readonly byte[] Buffer = new byte[1024 * 1024 * 1024]; 修改方法是检查类里面的字段初始值是否超出内存限制。 ...
CentOS nginx django uwsgi mysql 部署项目
Sc-000的专栏
10-19 1200
CentOS Nginx Djnago uwsgi mysql 部署项目 django版本1.7以上 我用的1.8.2, python2.7 'ascii' codec can't decode byte 0xe8 in position 40: ordinal not in range(128) django.core.exceptions.AppRegistryNotReady: Models aren't loaded yet.
Change IIS Application Pool Identity Type
kielin的专栏
06-17 1353
<br />@echo off<br />if "%1" == "" goto :ALert<br />if "%1" == "/?" goto :ALert<br />@set ProcessModelIndentyType=%~1<br />echo ProcessModelIndentyType=%ProcessModelIndentyType% <br />echo========================================================<br />echo C
iis7.5出现500.0错误
最新发布
04-12
<think>好的，我现在需要解决用户提到的IIS 7.5中出现500.0错误的解决方案。首先，我得回忆一下这个错误通常是什么原因引起的。根据用户提供的引用内容，特别是引用[1]，错误代码0x80070005可能与权限不足有关，无法读取配置文件。而引用[2]和[3]提到了编译错误，输出文件访问被拒绝，这也指向权限问题。另外，引用[4]则涉及身份验证设置，可能与Safari浏览器相关，但用户现在的问题是500.0错误，可能更多需要关注配置和权限。 首先，500.0错误属于内部服务器错误，常见的原因包括应用程序池配置问题、文件权限不足、配置文件错误等。根据引用[1]，用户之前遇到500.19错误时是因为配置文件权限问题，现在500.0可能类似。我需要分步骤检查可能的因素： 1. **检查应用程序池身份验证**：确保应用程序池使用的账户（如ApplicationPoolIdentity）有足够的权限访问网站目录和临时文件目录。引用[2]和[3]中的错误显示无法写入临时ASP.NET文件，可能需要给该目录添加IIS_IUSRS或应用程序池账户的修改权限。 2. **验证配置文件（web.config）**：可能存在语法错误或配置错误。比如节点配置不正确，导致处理程序无法识别。需要检查web.config中的各个部分，特别是system.webServer下的模块和处理程序设置。 3. **检查临时文件夹权限**：确保Temporary ASP.NET Files目录（如c:\Windows\Microsoft.NET\Framework64\v4.0.30319\Temporary ASP.NET Files\）有正确的写入权限。添加IIS_IUSRS或应用程序池账户的完全控制权限。 4. **重新注册ASP.NET**：使用aspnet_regiis.exe工具重新注册，确保ASP.NET正确安装并与IIS集成。命令如`aspnet_regiis -i`。 5. **检查身份验证设置**：虽然引用[4]提到的是Windows身份验证在Safari中的问题，但500.0错误也可能与身份验证模块配置有关，需要确认相关设置是否正确，比如是否启用了冲突的模块。 6. **查看详细错误日志**：通过事件查看器或失败的请求跟踪日志获取更具体的错误信息，这有助于定位问题根源。 在整理这些步骤时，需要注意每个可能的点，并给出具体的操作指导，比如如何修改权限，如何运行命令等。同时，需要提醒用户检查错误日志，因为具体的错误信息可能不同，解决方案也可能有所调整。另外，需要确保用户理解权限修改的风险，避免赋予过高权限导致安全隐患。</think>### IIS 7.5 500.0 错误解决方案 IIS 7.5 的 **HTTP 500.0 错误**通常与应用程序池配置、权限问题或运行时模块冲突相关。以下是逐步排查与解决方法： --- #### 1. **检查应用程序池身份验证与权限** - **步骤**： 1. 打开 **IIS管理器** → 选择对应网站的应用程序池 → 右键进入 **高级设置**。 2. 确保 **Identity（标识）** 设置为有权限的账户（如 `ApplicationPoolIdentity` 或自定义账户）[^1]。 3. 为网站目录（如 `C:\inetpub\wwwroot`）和临时文件夹（如 `Temporary ASP.NET Files`）添加以下权限： - `IIS_IUSRS` 组：读取/执行 - 应用程序池账户：修改/写入（若涉及动态编译）[^2][^3]。 --- #### 2. **修复临时文件夹权限** - **问题**：ASP.NET 编译时无法写入临时文件（如错误 `CS0016: Access is denied`）[^2][^3]。 - **步骤**： 1. 找到临时文件夹路径：`C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Temporary ASP.NET Files\` 2. 右键文件夹 → **属性** → **安全** → 添加 `IIS_IUSRS` 和应用程序池账户，赋予 **完全控制** 权限。 --- #### 3. **验证 web.config 配置文件** - **问题**：错误的配置节点可能导致处理程序冲突（如重复定义模块）[^1]。 - **步骤**： 1. 检查 `web.config` 中 `<system.webServer>` 下的 `<modules>` 和 `<handlers>` 是否存在语法错误。 2. 暂时重命名 `web.config` → 测试是否仍报错。若正常，则原文件存在配置问题。 --- #### 4. **重新注册 ASP.NET** - **步骤**： 1. 以管理员身份运行命令提示符。 2. 执行命令： ```bash cd C:\Windows\Microsoft.NET\Framework64\v4.0.30319 aspnet_regiis -i ``` 3. 重启 IIS 服务：`iisreset`。 --- #### 5. **检查身份验证模块冲突** - **问题**：身份验证模块（如 Windows 身份验证）配置错误可能导致 500.0 错误[^4]。 - **步骤**： 1. 在 IIS 管理器中，进入网站 → **身份验证**。 2. 禁用非常用模块（如 Negotiate、Kerberos），仅保留必要模块（如 NTLM）[^4]。 --- #### 6. **查看详细错误日志** - **步骤**： 1. 启用 **失败请求跟踪**（Failed Request Tracing）： - IIS管理器 → 网站 → 右键选择 **失败请求跟踪** → 启用并配置规则。 2. 检查日志路径（默认在 `%SystemDrive%\inetpub\logs\FailedReqLogFiles`）获取具体错误信息。 --- ### 相关问题 1. **如何排查 IIS 7.5 的 HTTP 500.19 错误？** （提示：需检查配置文件权限和 XML 语法[^1]） 2. **ASP.NET 编译时出现访问被拒绝错误应如何解决？** （提示：关注临时文件夹权限和应用程序池账户配置[^2]） 3. **IIS 中 Windows 身份验证与浏览器兼容性问题如何修复？** （提示：调整身份验证提供程序顺序或禁用冲突模块[^4]）
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值