Devo impersonare PHP tramite FastCGI?

Sto installando l'ultima versione di PHP su IIS 7.5 tramite FastCGI e tutte le istruzioni indicano che FastCGI dovrebbe impersonare il client chiamante impostando

 fastcgi.impersonate = 1

Se il mio sito Web avrà questa configurazione

• pool di applicazioni dedicato
• identità del pool di applicazioni di ApplicationPoolIdentity
• solo autenticazione anonima (come IUSR)

perché voglio impersonare?

Vengo da uno sfondo ASP.NET, in cui lo IUSR ottiene autorizzazioni di sola lettura e l'identità del pool di applicazioni ottiene eventuali autorizzazioni di scrittura. Concedere l'accesso in scrittura allo IUSR di solito apre le porte alle vulnerabilità di WebDAV. Quindi esito a far funzionare PHP come IUSR.

Non riesco a trovare molte persone che fanno questa domanda ( 1 | 2 ), quindi penso che mi debba mancare qualcosa. Qualcuno può chiarire questo per me?

13 mesi dopo, volevo rivisitare la mia domanda. In quel momento ho trasferito una mezza dozzina di siti Web da IIS 6 a IIS 7.5 e li ho configurati con il mio metodo preferito. Tutto quello che posso dire è che i siti Web funzionano, non hanno avuto problemi di sicurezza (non che si tratti di siti popolari) e, a mio avviso, l'installazione è più sicura di quanto raccomandato da learn.iis.net.

Per i posteri, ecco le impostazioni pertinenti. In PHP INI:

cgi.force_redirect = 0
cgi.fix_pathinfo=1
fastcgi.impersonate = 0

In IIS:

• Pool di applicazioni> Identità> ApplicationPoolIdentity
• Sito Web> Autenticazione> Autenticazione anonima> Utente specifico: IUSR

Le autorizzazioni NTFS e dove applicarle:

• IUSR - Concedi lettura, nega scrittura
  • La directory principale del sito Web IIS. Ad esempio, in un progetto Zend Framework questa sarebbe la directory / public.
  • Se l'applicazione carica i file e li salva in una directory pubblica, è necessario applicare questa autorizzazione alla directory di caricamento temporanea. Questo perché move_uploaded_fileconserverà le autorizzazioni della directory di upload. Questo è il più grande svantaggio di questa configurazione di autorizzazioni che ho trovato.
• ApplicationPoolIdentity ( IIS AppPool\<<YourApplicationPoolName>>) - Concedi lettura ed elenco
  • La radice della tua applicazione PHP. Ad esempio, in un progetto Zend Framework questo sarebbe l'intero progetto.
  • Eventuali librerie esterne (Zend, Doctrine, ecc.) Incluse dall'applicazione che non si trovano nella cartella dell'applicazione.
• ApplicationPoolIdentity - Modifica concessione
  • Qualsiasi posizione in cui l'applicazione scriverà, come upload_tmp_dir, session.save_pathe error_log.
  • A volte ho bisogno di aggiungere questa autorizzazione alla radice dell'applicazione PHP nel mio ambiente di sviluppo per supportare cose come la generazione automatica di proxy di Doctrine .
• ApplicationPoolIdentity - Elenco concessioni
  • Se l'applicazione si trova in una directory virtuale, sarà necessario aggiungere questa autorizzazione alla radice del sito Web. Ciò consente all'applicazione di leggere il proprio web.config principale. Ad esempio, se la radice dell'applicazione è http://example.com/MyPHPApp , impostare questa autorizzazione sulla directory web example.com. In particolare, devi solo applicare a "Questa cartella e file", "solo all'interno di questo contenitore".

Spero che questo aiuti chiunque altro a decidere che le istruzioni di learn.iis.net non sono l'ideale.

Vedi: http://www.php.net/manual/en/install.windows.iis6.php

Rappresentazione e accesso al file system

Si consiglia di abilitare la rappresentazione FastCGI in PHP quando si utilizza IIS. Questo è controllato dalla direttiva fastcgi.impersonate nel file php.ini. Quando la rappresentazione è abilitata, PHP eseguirà tutte le operazioni del file system per conto dell'account utente che è stato determinato dall'autenticazione IIS.

Per documentazione, consente semplicemente a fastcgi di agire per conto del client utilizzando tutte le stesse autorizzazioni (nel tuo caso essere quello che sembra l'account IUSR). In altre parole, per eseguire tutte le azioni normalmente consentite alle proprie credenziali del cliente (o anon). Ne più ne meno. Senza questo set, immagino che il fastcgi povero rimarrebbe paralizzato.