Select the product you need help with
Konfigurace identity procesu pro účet ASPNET v ASP.NET 1.1 při použití režimu izolace IIS 5 ve službě IIS 6.0 v systému Windows Server 2003ID článku: 895967 - Produkty, které se vztahují k tomuto článku. Na této stránceSouhrnTento článek popisuje postup konfigurace identity procesu pro účet ASPNET. Tuto konfiguraci můžete použít ke spuštění úlohy, které nemusí pracovat podle očekávání výchozí instalace. Tento článek popisuje, jak provést následující:
Článku článek také popisuje použití čítačů výkonu, ladicí programy a technologie společnosti Microsoft, jako například (Windows Management INSTRUMENTATION) a služby Active Directory. Dále tento článek popisuje problém, který může nastat, pokud odinstalujte nebo přeinstalujte ASP.NET. Přestože tento článek popisuje, jak nakonfigurovat účet ASPNET mít zvýšena oprávnění a uživatelská práva, výchozí oprávnění a uživatelská práva účtu ASPNET vhodný pro většinu aplikací WWW. ÚvodTento článek popisuje postup konfigurace identity procesu pro účet ASPNET v Microsoft ASP.NET 1.1 při použití Internetová informační služba (IIS) 5 režimu izolace služby IIS 6.0 v počítači se systémem Microsoft Windows Server 2003. Poznámky
Poznámka: Při spuštění aplikace systému Windows v pracovním procesu W3wp.exe, je výchozí identita procesu NetworkService. Výchozí identity procesu můžete konfigurovat na úrovni aplikace fondu. Ve službě IIS 5 aspnet_wp.exe pracovní proces spuštěn pod místním účtem ASPNET. Identity pracovního procesu Aspnet_wp.exe v beta verzích ASP.NET použít systémový účet. Systémový účet je účet správce v místním počítači. Tento účet obsahuje mnoho oprávnění a uživatelská práva v počítači. Pracovní proces používá ve výchozím nastavení účet ASPNET v verzi ASP.NET. Tato konfigurace vytvoří výchozí méně privilegovaném instalace. Účet ASPNET má méně oprávnění a uživatelská práva. Účet ASPNET je však stále hodí pro většinu webových aplikací. Další informaceIIS 6.0 režim izolace pracovního procesuPři použití režimu izolace pracovního procesu ve službě IIS 6.0 můžete konfigurovat výchozí identitu procesu pracovního procesu. Další informace o vestavěné účty Windows a výchozí oprávněními, které jsou přidruženy každý účet na tomto webu společnosti Microsoft:http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/3648346f-e4f5-474b-86c7-5a86e85fa1ff.mspx
(http://www.microsoft.com/technet/prodtechnol/WindowsServer2003/Library/IIS/3648346f-e4f5-474b-86c7-5a86e85fa1ff.mspx)
Režim izolace IIS 5V IIS 6 předdefinovaný účet uživatele ASPNET je používá ke spuštění pracovního procesu ASP.NET v režimu izolace IIS 5.0.Identita procesuMůžete konfigurovat identitu procesu v oddílu processModel souboru je služba spuštěna v režimu izolace IIS 5.Poznámka: Při spuštění ASP.NET v režimu izolace pracovních procesů IIS 6.0 jsou ignorována nastavení v oddílu processModel. Konfigurace identity procesu recyklace nebo jiné hodnoty modelu proces konfigurace pracovního procesu služby IIS pro aplikace použijte Správce služby IIS. Soubor Machine.config je umístěn v následující složce: %systemroot%\WINDOWS\Microsoft.NET\Framework\ Version \CONFIG Poznámka:Version představuje .NET Framework verze.Atribut userName a atribut heslo řízení identity procesu. Výchozí hodnoty těchto atributů jsou následující. Chcete-li použít proces, který má více oprávnění a uživatelská práva lze nastavit atribut userNamesystému. Při použití účtu systém spustí pracovní proces ASP.NET pomocí stejné identity jako proces Inetinfo.exe. Ve výchozím nastavení je proces Inetinfo.exe spuštěn jako identita System. Při konfiguraci pracovní proces ASP.NET použít identita System pracovní proces ASP.NET lze přístup většinu prostředků v místním počítači. V počítači se systémem Windows Server 2003 systémový účet má stejná oprávnění a uživatelská práva jako účet počítače. Systémový účet lze tedy přístup stejné síťové prostředky jako účet počítače. Konfigurovat proces spuštěn jako identita System změnit atribut userName v oddílu processModel následující. Výchozí oprávnění pro účet ASPNETPři instalaci ASP.NET účet ASPNET je vytvořena jako místní účet. Účet ASPNET patří pouze do skupiny Users v počítači. Účet ASPNET má oprávnění a uživatelská práva, které jsou přidruženy skupiny Users. Účet ASPNET proto lze přístup k prostředkům, ke kterým je udělen přístup skupiny Users.Další informace o výchozí oprávnění a uživatelská práva na serveru nově nainstalovanou aplikaci, která je spuštěna služba IIS 6.0 klepněte na následující číslo článku databáze Microsoft Knowledge Base: 812614 Poznámka: Ve výchozím účtem ASPNET nemá správná oprávnění a uživatelská práva provést některé úkoly popsané v tomto článku.
(http://support.microsoft.com/kb/812614/
)
Výchozí oprávnění a uživatelská práva pro službu IIS 6.0 Přístup k prostředkuNásledující části popisují způsob použití různých zdrojů. Můžete získat přístup mnoho tyto prostředky místně Pokud povolení zosobnění a udělit zosobněného účtu přístup k prostředku. Však zosobnění často nefunguje při pokusu o přístup ke vzdáleným prostředkům, pokud aplikace používá mechanismus ověřování může být delegován, jako je například Kerberos nebo základního ověřování.Soubor prostředkůPovolit aplikaci, která je spuštěna pod účtem ASPNET zapisovat soubory, může správce udělit oprávnění k zápisu pro účet ASPNET. Správce může udělit oprávnění k zápisu pro jednotlivý soubor nebo složku hierarchie.Změna seznamu řízení přístupu pro soubor, postupujte takto:
ZosobněníS zosobnění aplikace spuštěna v kontextu zabezpečení entita požadavku jako ověřený uživatel nebo jako anonymní uživatel. Ve výchozím nastavení zosobnění je nepovinný a v ASP.NET není povoleno. Povolení zosobnění na úrovni počítače, nebo na úrovni aplikace, přidat v oddílu <system.web> souboru nebo souboru web.config následující direktivy konfigurace.databasesAplikace, které připojení k databázi pomocí ověřování SQL jsou obecně neovlivní pomocí účtu ASPNET. Aplikace, které používají integrované ověřování a zosobnění není také obecně ovlivněny. Pokud aplikace není zosobnění a pomocí integrovaného ověřování, je však nutné udělit přístup do databáze pro účet ASPNET.Při pokusu o ověření Microsoft SQL Server pomocí integrovaného ověřování přes pojmenované kanály nelze použít účet ASPNET Můžete však použít účet ASPNET společně s integrované ověřování pomocí přenosového Transmission Control Protocol (TCP). Aplikace musí používat databázi Microsoft Access, musí být schopen zapisovat do souboru databáze účet ASPNET. Správci musí změnit oprávnění souboru umožní toto použití. Do protokolu aplikaceAplikace musí zapsat do protokolu aplikace lze provést spuštěná pod účtem ASPNET. Pokud aplikace musí vytvořit novou kategorii protokolu událostí, musí aplikace vytvořit klíč registru pod podregistruHKEY_LOCAL_MACHINE . Ve výchozím nastavení nelze vytvořit účet ASPNET klíče registru pod podregistru HKEY_LOCAL_MACHINE .Vytvořit kategorii v době spuštění, je nutné povolit zosobnění. Potom musí zosobnit účet, který má více oprávnění a uživatelská práva. Správce může také vytvořit kategorii. Potom aplikace může zapisovat do kategorie v době spuštění. Pokud aplikace musí vytvořit nové kategorie protokolu událostí, vytvořit kategorie na instalaci. Po vytvoření kategorie účet ASPNET může zapisovat do protokolu aplikace. Obor názvů System.DirectoryServices a služby Active DirectoryPokud webová aplikace musí získat přístup k adresářové službě Active Directory, může aplikace používat zosobnění v prostředí, které podporuje delegování. Aplikace lze také zadat explicitní pověření konstruktor DirectoryEntry v oboru názvů System.DirectoryServices přístup k adresářové službě Active Directory. Pokud aplikace používá explicitní pověření, aplikace by měly ukládat pověření odpovídajícím způsobem technika například Stavba řetězce COM + nebo ochrany dat Windows API.Čítače výkonuÚčet ASPNET má dostatečná oprávnění k zápisu do data čítačů výkonu. Účet ASPNET nemá dostatečná oprávnění číst data čítačů výkonu. Pokud aplikace musí přečíst data čítačů výkonu nebo musí vytvořit výkon Čítač kategorie, je nutné udělit oprávnění Administrator nebo Users účet ASPNET.Pokud aplikace musí vytvořit nový výkon Čítač kategorií, vytvořit kategorie při instalaci. Po vytvoření kategorií můžete zapisovat účet ASPNET čítače. Pomocí nástroje Sledování výkonu (Perfmon.exe) je stále lze sledovat čítače výkonu ASP.NET při použití účtu ASPNET. Pokud chcete sledovat čítače výkonu ASP.NET v systému Windows Server 2003, přidejte do skupiny IIS_WPG identita procesu. Servery COM Out-of-processAplikace, které musí při spuštění jako účet ASPNET spustit servery COM out-of-process konkrétně může udělit zahájení oprávnění účtu pomocí nástroje Dcomcnfg.exe.Ladicí program problémyVe výchozím nelze krok do volání služby XML web z aplikace klienta. Krok do volání služby XML web, je nutné přidat účet ASPNET do skupiny Debugger Users v počítači, kde je spuštěn webové služby XML.Pevné identityV služby COM + spustit kód pomocí pevné identity. Pomocí třídy ServicedComponent oboru názvů služby System.EnterpriseServices můžete napsat spravovaný kód součásti, které používají služby COM +. Privilegovaná funkce zalomení v třídy odvozené od třídy ServicedComponent. Potom můžete spustit tuto třídu jako aplikace COM + serveru, který má zkonfigurovaná identita.Soubory ve sdílených položkách UNC kódem na pozadíV aplikaci ASP.NET můžete použít několik metod vyvinout soubory aplikace. Obsah je uložen v kódem na pozadí soubory na sdílené složky Universal Naming Convention (UNC), v následujících metod:
ASP.NET na řadiči domény primárního nebo záložníhoVe výchozím nastavení Pokud používáte ASP.NET 1.1 v řadiči domény vaše webové aplikace ASP.NET bude spuštěna v kontextu zabezpečení účtu IWAM_ ComputerName.Poznámka:ComputerName je název počítače, kde je umístěn účet IWM_ ComputerName. Další informace naleznete následujícím článku znalostní databáze Microsoft Knowledge Base: 315158
(http://support.microsoft.com/kb/315158/
)
Oprava: ASP.NET nefunguje s výchozí účet ASPNET v řadiči domény Metabáze IISÚčet ASPNET nelze přečíst metabáze Internetová informační služba (IIS). Pokud aplikace musí získat přístup k nastavení metabáze, můžete použít nástroj Metaacl.exe selektivně udělit oprávnění čtení uzlů metabáze.Aplikace musí používat soubory .disco, je nutné udělit oprávnění pro čtení k metabáze pro účet ASPNET. Soubory .disco musí přečíst metabáze IIS poskytují služby zjišťování. Správa systému a WMIWindows Management Instrumentation (WMI) můžete použít ke správě a sledování počítačů používajících operační systémy Microsoft Windows. Však při aplikací, spustit v operačním systému Windows spustit pod účtem ASPNET účet ASPNET pouze má stejná oprávnění jako Everyone výchozí účet. Tato oprávnění patří čtení dat WMI, zápisu zprostředkovatele dat a spuštění metody pro zprostředkovatelů v místním počítači.Další informace o mechanismy zabezpečení WMI naleznete v dokumentaci WMI Platform SDK nebo navštivte následující web společnosti Microsoft Developer Network (MSDN): http://msdn2.microsoft.com/en-us/library/aa394582.aspx Ve výchozím nastavení generuje ASP.NET kryptograficky silné heslo pro účet ASPNET. Pokud heslo účtu ASPNET není sdílená mezi počítači nebo není vynulován hodnotu než výchozí, toto chování pomáhá chránit systém po udělit další oprávnění a uživatelská práva účtu ASPNET.
(http://msdn2.microsoft.com/en-us/library/aa394582.aspx)
Interakce s plochouPokud služby IIS jsou nakonfigurovány tak, aby Povolit interakci s plochou, účet ASPNET nelze získat přístup k ploše. K tomuto chování dochází, když volitelné seznamy řízení přístupu (DACL) objektu stanice výchozí okna a na ploše objektu výchozí nejsou nakonfigurovány k udělení práv účtu ASPNET. Správci mohou změnit tyto DACL. Nebo můžete spustit proces pomocí účtu, který má uživatelská práva pro tyto objekty.Odebrat ASP.NETPři odebrání ASP.NET účet ASPNET je zakázán. Účet však zůstane v systému. Pokud chcete přeinstalovat ASP.NET, můžete odstranit účet ASPNET.Pokud po explicitně odstranit účet ASPNET přeinstalovat ASP.NET, je vytvořen nový účet ASPNET, který má nový identifikátor zabezpečení (SID). ACL, které označuje předchozí účet ASPNET již proto platí pro nový účet ASPNET. OdkazyDalší informace o výchozí seznamy řízení přístupu v systému Windows 2000 naleznete v následujícím dokumentu white paper Microsoft: http://technet.microsoft.com/en-us/library/bb742509.aspx Další informace o šifrování pověření a řetězců připojení klepněte na následující číslo článku databáze Microsoft Knowledge Base:
(http://technet.microsoft.com/en-us/library/bb742509.aspx)
329290 Další informace o účtu ASPNET klepnutím na následující číslo článku databáze Microsoft Knowledge Base:
(http://support.microsoft.com/kb/329290/
)
Jak používat nástroj ASP.NET šifrování pověření a řetězců připojení stavu relace 315158
(http://support.microsoft.com/kb/315158/
)
Oprava: ASP.NET nefunguje s výchozí účet ASPNET v řadiči domény VlastnostiID článku: 895967 - Poslední aktualizace: 28. prosince 2006 - Revize: 2.7
Strojově přeložený článek Důležité: Tento článek byl přeložen pomocí software společnosti Microsoft na strojový překlad, ne profesionálním překladatelem. Společnost Microsoft nabízí jak články přeložené překladatelem, tak články přeložené pomocí software na strojový překlad, takže všechny články ve Znalostní databázi (Knowledge Base) jsou dostupné v češtině. Překlad pomocí software na strojový překlad ale není bohužel vždy dokonalý. Obsahuje chyby ve skloňování slov, skladbě vět, nebo gramatice, podobně jako když cizinci dělají chyby při mluvení v češtině. Společnost Microsoft není právně zodpovědná za nepřesnosti, chyby nebo škody vzniklé chybami v překladu, nebo při použití nepřesně přeložených instrukcí v článku zákazníkem. Společnost Microsoft aktualizuje software na strojový překlad, aby byl počet chyb omezen na minimum. Projděte si také anglickou verzi článku:895967
(http://support.microsoft.com/kb/895967/en-us/
)
|
Zpět nahoru
