Comment attribuer des autorisations au compte ApplicationPoolIdentity

Dans IIS 7 sur Windows Server 2008, les pools d'applications peuvent être exécutés sous le compte "ApplicationPoolIdentity" au lieu du compte NetworkService.

Comment attribuer des autorisations à ce compte "ApplicationPoolIdentity". Il n'apparaît pas en tant qu'utilisateur local sur la machine. Il n'apparaît en tant que groupe nulle part. Rien à distance comme il apparaît n'importe où. Lorsque je recherche des utilisateurs locaux, des groupes et des comptes intégrés, il n'apparaît pas dans la liste et rien de similaire n'apparaît dans la liste. Que se passe-t-il?

Je ne suis pas le seul à avoir ce problème: voir la section Problèmes liés à ApplicationPoolIdentity dans IIS 7.5 + Windows 7 pour obtenir un exemple.

"Il s'agit malheureusement d'une limitation du sélecteur d'objet sous Windows Server 2008 / Windows Vista. Plusieurs personnes l'ayant déjà découvert, vous pouvez toujours manipuler la liste de contrôle d'accès pour l'identité du pool d'applications à l'aide d'outils de ligne de commande tels qu'icacls ."

Mise à jour: La question initiale concernait Windows Server 2008, mais la solution est plus simple pour Windows Server 2008 R2 et Windows Server 2012 (et Windows 7 et 8). Vous pouvez ajouter l'utilisateur via l'interface utilisateur NTFS en le saisissant directement. Le nom est au format IIS APPPOOL \ {nom du pool d'applications}. Par exemple: IIS APPPOOL \ DefaultAppPool.

IIS APPPOOL\{app pool name}

Note: Selon les commentaires ci-dessous, il y a deux choses à savoir:

• Entrez la chaîne directement dans "Sélectionner un utilisateur ou un groupe" et non dans le champ de recherche.
• Dans un environnement de domaine, vous devez d'abord définir l'emplacement sur votre ordinateur local.

Référence à l'article Microsoft Docs: Identités de pool d'applications> Sécurisation des ressources

Réponse d'origine: (pour Windows Server 2008) Il s'agit d'une fonctionnalité intéressante, mais comme vous l'avez mentionné, elle n'est pas encore totalement implémentée. Vous pouvez ajouter l'identité du pool d'applications à partir de l'invite de commande avec un nom similaire à icacls, puis la gérer à partir de l'interface graphique. Par exemple, exécutez quelque chose comme ceci à partir de l'invite de commande:

icacls c:\inetpub\wwwroot /grant "IIS APPPOOL\DefaultAppPool":(OI)(CI)(RX)

Ensuite, dans l'Explorateur Windows, accédez au dossier wwwroot et modifiez les autorisations de sécurité. Vous verrez à quoi ressemble un groupe (l'icône du groupe) appelé DefaultAppPool. Vous pouvez maintenant modifier les autorisations.

Cependant, vous n'avez pas besoin de l'utiliser du tout. C'est un bonus que vous pouvez utiliser si vous le souhaitez. Vous pouvez utiliser l'ancienne méthode de création d'un utilisateur personnalisé par pool d'applications et d'affecter l'utilisateur personnalisé à un disque. Cela a un support complet de l'interface utilisateur.

Cette méthode d’injection de SID est intéressante car elle vous permet d’utiliser un seul utilisateur tout en isolant complètement chaque site l’un de l’autre sans avoir à créer des utilisateurs uniques pour chaque pool d’applications. Assez impressionnant, et ce sera encore mieux avec le support de l'interface utilisateur.

Remarque: Si vous ne parvenez pas à trouver l'utilisateur du pool d'applications, vérifiez si le service Windows appelé Application Helper Application Helper est en cours d'exécution. C'est le service qui mappe les utilisateurs du pool d'applications vers les comptes Windows.

Vous devez vous assurer que le From this locationchamp est défini sur le local machineet non sur le domaine.

J'ai eu le même problème et une fois que j'ai changé que cela a bien fonctionné.

Vous devriez vraiment créer des groupes par "rôle" et attribuer à ce groupe les accès au système de fichiers. Ajoutez ensuite le pool d'applications aux groupes spécifiques à un rôle, si nécessaire. De cette façon , même si vous supprimez le pool d'application plus tard (et l'utilisateur virtuel GOES tapette ), vous n'avez pas à vous soucier de refaire toutes les autorisations, vous ajoutez juste le pool d'application de remplacement au groupe existant.

Après avoir lu @Scott Forsyth - Réponse de MVP, j'ai tenté de redémarrer le service Application Host Helper. Cela a résolu le problème pour moi.

J'exécutais WS8 R2 et je ne pouvais pas ajouter IIS APPPOOL\DefaultAppPoolvia l'Explorateur Windows. La seule façon dont cela fonctionnait était via la ligne de commande:

cacls [CHEMIN DE FICHIER] / T / E / G "APPUI IIS \ DefaultAppPool": C

Si cette question concerne la procédure à suivre pour exécuter _sp_send_dbmail dans la base de données msdb (à l'aide de la procédure stockée SQL send stockée Mail dans msdb), voici quelques solutions. Ajoutez le nom d'utilisateur de l'application .net de votre base de données (défini dans la chaîne de connexion de votre application .net) à l'utilisateur msdb avec l'appartenance au rôle "DatabaseMailUserRole".