Aggiungi identità AppPool di IIS 7 come accessi SQL Server

Sto gestendo un sito Web IIS 7 con un AppPool di modalità pipeline integrata . Gli AppPool NON funzionano con NetworkService, ecc. Identità (per scopo), ma utilizzano la propria Identità AppPool (IIS AppPool \ MyAppPool).

Questo è un cosiddetto account di servizio o account virtuale. (un account utente, che non è un account completo ...)

Vorrei concedere a questo account di servizio (IIS AppPool \ MyAppPool) le autorizzazioni per connettermi al mio SQL Server 2008 Express (in esecuzione in modalità di autenticazione mista).

Mentre SQL Server può aggiungere qualsiasi account utente normale, l'account virtuale IIS AppPool \ MyAppPool non può essere aggiunto agli accessi validi (SQL Server dice che l'account non è stato trovato).

C'è qualche trucco, qualcosa che devo abilitare per far funzionare gli account virtuali? (il processo w3wp.exe viene eseguito con questa identità in base a taskmgr, ma non riesco nemmeno a utilizzare l'account nella sicurezza NTFS ...)

Grazie per l'aiuto!

"IIS APPPOOL \ AppPoolName" funzionerà, ma come accennato in precedenza, non sembra essere un nome AD valido quindi quando lo cerchi nella finestra di dialogo "Seleziona utente o gruppo", non verrà visualizzato (in realtà , lo troverà, ma penserà che sia un vero account di sistema e proverà a trattarlo come tale ... che non funzionerà e ti darà il messaggio di errore che non viene trovato).

Come l'ho fatto funzionare è:

1. In SQL Server Management Studio, cerca la cartella Sicurezza (la cartella di sicurezza allo stesso livello delle cartelle Database, Oggetti server, ecc. ... non la cartella di sicurezza all'interno di ogni singolo database)
2. Fare clic con il tasto destro del mouse e selezionare "Nuovo accesso"
3. Nel campo Nome di accesso, digitare IIS APPPOOL \ YourAppPoolName - non fare clic su Cerca
4. Inserisci tutti gli altri valori che ti piacciono (ad es. Tipo di autenticazione, database predefinito, ecc.)
5. Clicca OK

Finché esiste il nome AppPool, ora è necessario creare il login.

CREATE LOGIN [IIS APPPOOL\MyAppPool] FROM WINDOWS;
CREATE USER MyAppPoolUser FOR LOGIN [IIS APPPOOL\MyAppPool];

Se stai attraversando macchine, devi utilizzare il SERVIZIO DI RETE, il SISTEMA LOCALE, un account di dominio o un account del servizio gestito di SQL 2008 R2 (se ce l'hai) (che è la mia preferenza se disponessi di tale infrastruttura) . Non è possibile utilizzare un account non visibile al dominio di Active Directory.

Come nota a margine i processi che utilizzano account virtuali (Servizio NT \ MyService e IIS AppPool \ MyAppPool) sono ancora in esecuzione con l'account "SERVIZIO DI RETE" poiché questo post suggerisce http://www.adopenstatic.com/cs/blogs/ken/ archivio / 2008/01/29 / 15759.aspx . L'unica differenza è che questi processi sono membri dei gruppi "NT Service \ MyService" o "IIS AppPool \ MyAppPool" (poiché si tratta in realtà di gruppi e non utenti). Questo è anche il motivo per cui i processi si autenticano sulla rete come la macchina allo stesso modo dell'account NETWORK SERVICE.

Il modo per proteggere l'accesso non dipende dal fatto che questi account non dispongano dei privilegi di SERVIZIO DI RETE, ma di concedere più autorizzazioni specificatamente a "Servizio NT \ MyService" o "IIS AppPool \ MyAppPool" e, se necessario, rimuovere le autorizzazioni per "Utenti".

Se qualcuno ha informazioni più precise o contraddittorie, si prega di pubblicare.

Guarda: http://www.iis.net/learn/manage/configuring-security/application-pool-identities

USE master
GO
sp_grantlogin 'IIS APPPOOL\<AppPoolName>'

USE <yourdb>
GO
sp_grantdbaccess 'IIS APPPOOL\<AppPoolName>', '<AppPoolName>'
sp_addrolemember 'aspnet_Membership_FullAccess', '<AppPoolName>'
sp_addrolemember 'aspnet_Roles_FullAccess', '<AppPoolName>'

Questo potrebbe essere quello che stai cercando ...

http://technet.microsoft.com/en-us/library/cc730708%28WS.10%29.aspx

Consiglierei anche a più lungo termine di considerare un utente di dominio con diritti limitati, quello che stai cercando funziona bene in uno scenario di macchine silos ma dovrai apportare modifiche se ti sposti su un'altra macchina per il server DB.

L'ho capito attraverso tentativi ed errori ... la vera crepa nell'armatura era un ambiente poco conosciuto in IIS Configuration Editorper il sito Web in

Section: system.webServer/security/authentication/windowsAuthentication

From: ApplicationHost.config <locationpath='ServerName/SiteName' />

chiamato useAppPoolCredentials(che è impostato di Falsedefault. Impostalo su Truee la vita diventa di nuovo fantastica !!! Spero che questo salvi il dolore per il prossimo ...

Nel mio caso il problema era che ho iniziato a creare un progetto di esempio MVC Alloy da zero usando l'estensione Visual Studio / Episerver e ha funzionato bene quando eseguito usando Visual Studio iis express locale. Tuttavia, per impostazione predefinita punta il database sql su LocalDB e quando ho distribuito il sito su IIS locale ha iniziato a dare errori alcuni degli errori iniziali che ho risolto: 1.aggiungendo l'URL del sito locale associato a C: / Windows / System32 / drivers / etc / hosts 2. Quindi, modificando application.config, è stato trovato il percorso del file facendo clic con il tasto destro del mouse su IIS express nell'angolo in basso a destra dello schermo durante l'esecuzione del sito utilizzando Visual Studio e aggiunto un collegamento lì per l'URL di IIS locale. 3. Finalmente sono rimasto bloccato con "impossibile accedere agli errori del database"