जब मैं IIS_IUSRS RW एक्सेस को किसी फ़ोल्डर में जोड़ता हूं, तो यह ISUR RW एक्सेस की अनुमति कैसे नहीं देता है?

Question

मैं IIS7 (Windows Server 2008 x64) का उपयोग कर रहा हूं और अनाम प्रमाणीकरण का उपयोग करके मेरे पास एक वेबसाइट सेटअप है। आयन उपयोगकर्ता पहचान IUSR के रूप में कॉन्फ़िगर की गई है। एप्लिकेशन एक फ़ोल्डर में फ़ाइलें लिखता है और मैं IIS_IUSRS समूह आरडब्ल्यू अनुमतियों को फ़ोल्डर में दे रहा हूं। यह काम नहीं करता है। मुझे स्पष्ट रूप से एप्लिकेशन को फ़ोल्डर में लिखने की अनुमति देने के लिए IUSR RW परमिट देना चाहिए।

यह मेरी समझ है कि एप्लिकेशन पूल पहचान स्वचालित रूप से IIS_IUSRS समूह में जोड़ दी जाती है। मैंने यह मान लिया कि IUSR (या कोई भी अनाम उपयोगकर्ता पहचान) IIS_IUSRS समूह का एक निहित सदस्य भी था। ऐसा नहीं लगता कि यह मामला है।

समस्या निवारण के दौरान, मैं फ़ोल्डर तक पहुंच देखने के लिए प्रोसेस मॉनिटर का उपयोग करता हूं और यह निर्धारित करता हूं कि नेटवर्क सेवा (एप्लिकेशन पूल पहचान) IUSR (यह वही है जो मुझे उम्मीद थी) प्रतिरूपण कर रही है, लेकिन IIS_IUSRS समूह को आरडब्ल्यू परमिट देने से IUSR को एक्सेस करने की अनुमति नहीं मिली फ़ाइल प्रवेश निषेध)।

क्या कोई समझा सकता है कि IUSR IIS_IUSRS समूह का सदस्य है या नहीं?

मैंने निम्नलिखित दस्तावेज़ों की समीक्षा की है और कोई ठोस उत्तर नहीं पाया है:

IIS 7 में अंतर्निहित उपयोगकर्ता और समूह खातों को समझना

आवेदन पूल पहचान

Answer 1

ऐसा इसलिए है क्योंकि ये दो अलग-अलग चीजें हैं। IIS_IUSRS IIS कार्यकर्ता प्रक्रिया खातों के लिए समूह है । इसका मतलब यह है कि एप्लिकेशन पूल खुद के तहत चलता है। IUSR अनाम उपयोगकर्ता की पहचान है। इसका मतलब है कि आईआईएस का मानना ​​है कि साइट को एक्सेस करने वाले उपयोगकर्ता हैं।

अब भले ही आपने यह नहीं कहा, मुझे लगता है - यह ऐप क्लासिक एस्प है? (अन्यथा, यदि यह .Net है तो आपको प्रतिरूपण का उपयोग करना होगा)। किसी भी तरह, क्या होता है कि संसाधनों को प्रतिरूपित पहचान के रूप में एक्सेस किया जाता है, अर्थ, आपके मामले में अनाम उपयोगकर्ता, जिसका अर्थ है IUSR। इसलिए आपको इसे अधिकार प्रदान करना होगा। .Net में, यदि आप प्रतिरूपण को बंद करते हैं, तो आप पाएंगे कि IIS_IUSRS खेल में आ जाएगा जैसा कि आप अपेक्षा कर रहे हैं। क्लासिक एएसपी में (और स्थिर फ़ाइलों के लिए), आपके पास कोई विकल्प नहीं है, प्रतिरूपण हमेशा "सक्षम" है; इसलिए इसका हमेशा उपयोगकर्ता की पहचान जो उपयोग किया जाता है, न कि पूल की पहचान। इसलिए चूंकि IIS_IUSRS पूल पहचान के लिए है, इसलिए यह खेलने में नहीं है।

---

ओपी द्वारा अधिक जानकारी जोड़े जाने के बाद संपादित करें:

उनके नामों के कारण IUSR और IIS_IUSRS को भ्रमित करना आसान है। यह देखने के लिए कि वे अलग-अलग हैं, यह याद रखना है कि IIS_IUSRS IIS6 में एक प्रतिस्थापन है IIS6, जो कि वर्कर प्रोसेस ग्रुप था। इन समूहों में आप उन खातों को जोड़ते हैं जिन्हें आप अपने पूल के तहत चलाना चाहते हैं, न कि पहचान के आधार पर, आनोन विशेषाधिकार को अधिक सीमित माना जाता है। जैसे। कभी-कभी आप अन्य नेटवर्क संसाधनों के लिए kerberos प्रतिनिधिमंडल के लिए पूल चलाने के लिए एक डोमेन खाते का उपयोग करना चाह सकते हैं। फिर आप उस सेवा खाते को इस समूह में जोड़ देंगे।

जब प्रतिरूपण सक्षम किया जाता है तो पूल / प्रक्रिया उपयोगकर्ता होने का दिखावा करती है क्योंकि इसे बताया गया था। एनॉन ऑर्ट (आपका मामला) के मामले में, वह उपयोगकर्ता IUSR है। विंडोज़ के मामले में, यह उपयोगकर्ता की विंडोज़ की डोमेन पहचान होगी। यह इसलिए भी है कि आपको प्रतिरूपण के साथ एक प्रदर्शन हिट मिलता है, क्योंकि प्रक्रिया को संसाधन पहुंच के लिए एक अलग पहचान पर स्विच करना पड़ता है।

यदि आप .NET और अनाम प्रमाणीकरण का उपयोग कर रहे हैं, तो मैं यह नहीं देखता कि आप प्रतिरूपण को सक्षम क्यों करेंगे। यदि आप उपयोग नहीं कर रहे हैं या प्रतिरूपण की आवश्यकता नहीं है, तो आपको IIS7 के मामले में कुछ और चालबाजी के बारे में पता होना चाहिए: आप अपने IUSR को पूरी तरह से दूर कर सकते हैं और सभी भ्रम को समाप्त कर सकते हैं। मुझे लगता है कि आप इसे पसंद करेंगे, और यह मेरा पसंदीदा तरीका भी है। आपको बस इतना करना है कि इसे पूल पहचान का पुन: उपयोग करने के लिए अनाम पहचान के रूप में बताएं ।

तो इसके बाद आपको केवल IIS_IUSRS समूह से निपटना होगा। लेकिन भ्रमित मत हो, इसका मतलब यह नहीं है कि ये दोनों एक ही हैं! IUSR के विकल्प के लिए प्रक्रिया की पहचान के लिए यह संभव हो सकता है, लेकिन आसपास के अन्य तरीके से नहीं!

कुछ और IIS7 ट्रिकरी से अवगत होना: यदि आप IIS_IUSRS को देखते हैं, तो यह खाली हो सकता है। थॉट्स क्योंकि पूल शुरू होने पर आपकी वर्चुअल पूल आइडेंटिटी अपने आप इसमें जुड़ जाती है, इसलिए आपको इन चीजों के बारे में चिंता करने की जरूरत नहीं है।

इस तालिका को बेहतर ढंग से स्पष्ट करने में मदद करनी चाहिए कि थ्रेड निष्पादन पहचान कैसे निर्धारित की जाती है:

प्रतिरूपण अनाम उपयोग संसाधन तक पहुँच के रूप में

IIS5 / 6 में सक्षम IUSR_computer सक्षम या,
                                       IIS7 में IUSR या
                                       अगर आपने aon user अकाउंट बदल दिया है 
                                       IIS में, आप जो भी वहाँ सेट करते हैं
सक्षम अक्षम MYDOM \ MyName
अक्षम एनटी प्राधिकरण \ नेटवर्क सेवा (पूल पहचान)
अक्षम विकलांग NT प्राधिकरण \ नेटवर्क सेवा (पूल पहचान)

Comments

हम .net (3.5 लक्षित) का उपयोग कर रहे हैं, लेकिन यह प्रतिरूपण का उपयोग हो सकता है। मुझे कुछ निश्चित होने के लिए अपने डेवलपर्स के साथ जांच करनी होगी। मेरा भ्रम इस तथ्य से उपजा है कि मैंने मान लिया (गलत रूप से ऐसा लगता है) कि अनाम उपयोगकर्ता पहचान स्वचालित रूप से IIS_IUSRS समूह का सदस्य था। चूँकि वह तब मुझे स्पष्ट करने की अनुमति नहीं देता है और यदि मुझे चिंता है तो कृपया मुझे सुधार दें।

1) क्लासिक एएसपी का उपयोग करते हुए, फ़ाइल पहुंच अनुमतियाँ अनाम उपयोगकर्ता पहचान का उपयोग करती हैं। IIS 7 या बाद में, यह उपयोगकर्ता डिफ़ॉल्ट रूप से IIS_IUSRS समूह का सदस्य नहीं है। 2) ASP.Net का उपयोग करते हुए, फ़ाइल अभिगमन अनुमतियाँ अनाम उपयोगकर्ता पहचान का उपयोग करती हैं यदि प्रतिरूपण सक्षम है। IIS 7 या बाद में, यह उपयोगकर्ता डिफ़ॉल्ट रूप से IIS_IUSRS समूह का सदस्य नहीं है। 3) ASP.Net का उपयोग करते हुए, फ़ाइल अभिगम अनुमतियाँ कर्मचारी प्रक्रिया पहचान का उपयोग करती हैं यदि प्रतिरूपण अक्षम है। IIS 7 या बाद के संस्करण में, यह उपयोगकर्ता हमेशा डिफ़ॉल्ट रूप से IIS_IUSRS समूह का सदस्य होता है।

सभी बिंदुओं पर हाँ बिल्कुल सही! पूरी तरह से स्पष्ट होने के लिए, # 1 और # 2 में आपको "यदि IIS अननोन ऑर्थर सक्षम है" जोड़ना चाहिए, जिसे मुझे पहले शामिल नहीं करना था क्योंकि आपने पहले ही कहा था कि आप anon का उपयोग कर रहे हैं। इसे बेहतर ढंग से समझाने के लिए मैंने जो तालिका जोड़ी है, उसे देखें।

— अमित नायडू

इसे स्पष्ट करने के लिए आपका बहुत-बहुत धन्यवाद। यह परीक्षण और त्रुटि के माध्यम से मुझे जो कुछ भी मिला है, उससे सहमत है, लेकिन मैंने इस दस्तावेज को कहीं भी स्पष्ट रूप से नहीं देखा है। यह उन IIS के लिए महत्वपूर्ण है जो अपने सर्वर पर LUA को नियुक्त करते हैं जब IIS अनुप्रयोगों की आवश्यकता होती है, जिन्हें लिखने की अनुमति होती है।