Dois-je me faire passer pour PHP via FastCGI?

J'installe la dernière version de PHP sur IIS 7.5 via FastCGI, et toutes les instructions indiquent que FastCGI doit emprunter l'identité du client appelant en définissant

 fastcgi.impersonate = 1

Si mon site Web aura cette configuration

• pool d'applications dédié
• identité du pool d'applications d'ApplicationPoolIdentity
• authentification anonyme uniquement (comme IUSR)

pourquoi je veux imiter?

Je viens d'un arrière-plan ASP.NET, où l'IUSR obtient des autorisations en lecture seule et l'identité du pool d'applications obtient des autorisations d'écriture. Donner un accès en écriture à l'IUSR ouvre généralement la porte aux vulnérabilités WebDAV. J'hésite donc à laisser PHP fonctionner comme IUSR.

Je ne trouve pas beaucoup de gens qui posent cette question ( 1 | 2 ), donc je pense que je dois manquer quelque chose. Quelqu'un peut-il clarifier cela pour moi?

13 mois plus tard, je voulais revoir ma propre question. Pendant ce temps, j'ai transféré une demi-douzaine de sites Web d'IIS 6 vers IIS 7.5 et les ai configurés avec ma méthode préférée. Tout ce que je peux dire, c'est que les sites Web fonctionnent, ils n'ont eu aucun problème de sécurité (pas que ce soient des sites populaires), et à mon avis, la configuration est plus sécurisée que ce que learn.iis.net recommande.

Pour la postérité, voici les paramètres pertinents. Dans PHP INI:

cgi.force_redirect = 0
cgi.fix_pathinfo=1
fastcgi.impersonate = 0

Dans IIS:

• Pool d'applications> Identité> ApplicationPoolIdentity
• Site Web> Authentification> Authentification anonyme> Utilisateur spécifique: IUSR

Les autorisations NTFS et où les appliquer:

• IUSR - Grant Read, Deny Write
  • Répertoire racine du site Web IIS. Par exemple, dans un projet Zend Framework, ce serait le répertoire / public.
  • Si votre application télécharge des fichiers et les enregistre dans un répertoire public, vous devez appliquer cette autorisation au répertoire de téléchargement temporaire. En effet move_uploaded_file, les autorisations du répertoire de téléchargement seront préservées. C'est le plus gros inconvénient de cette configuration d'autorisations que j'ai trouvé.
• ApplicationPoolIdentity ( IIS AppPool\<<YourApplicationPoolName>>) - Accorder la lecture et la liste
  • La racine de votre application PHP. Par exemple, dans un projet Zend Framework, ce serait le projet entier.
  • Toutes les bibliothèques externes (Zend, Doctrine, etc.) incluses par votre application qui ne se trouvent pas dans le dossier d'application.
• ApplicationPoolIdentity - Grant Modify
  • Tout emplacement où votre application rédigera tels que upload_tmp_dir, session.save_pathet error_log.
  • Parfois, j'ai besoin d'ajouter cette autorisation à la racine de l'application PHP dans mon environnement de développement pour prendre en charge des choses comme la génération automatique de procurations de Doctrine .
• ApplicationPoolIdentity - Liste de subventions
  • Si votre application se trouve dans un répertoire virtuel, vous devrez ajouter cette autorisation à la racine du site Web. Cela permet à votre application de lire son web.config parent. Par exemple, si la racine de votre application est http://example.com/MyPHPApp , définissez cette autorisation sur le répertoire Web example.com. Plus précisément, vous devez uniquement appliquer à "Ce dossier et fichiers", "dans ce conteneur uniquement".

J'espère que cela aide toute personne qui décide que les instructions de learn.iis.net ne sont pas idéales.

Voir: http://www.php.net/manual/en/install.windows.iis6.php

Usurpation d'identité et accès au système de fichiers

Il est recommandé d'activer l'emprunt d'identité FastCGI en PHP lorsque vous utilisez IIS. Ceci est contrôlé par la directive fastcgi.impersonate dans le fichier php.ini. Lorsque l'emprunt d'identité est activé, PHP effectuera toutes les opérations du système de fichiers au nom du compte d'utilisateur qui a été déterminé par l'authentification IIS.

Selon la documentation, il permet simplement à fastcgi d'agir au nom du client en utilisant les mêmes autorisations (dans votre cas, ce qui ressemble au compte IUSR). En d'autres termes, pour effectuer toutes les actions normalement autorisées sur les propres informations d'identification du client (ou anon). Ni plus ni moins. Sans cet ensemble, j'imagine que les pauvres fastcgi seraient paralysés.