Ist es sicher, einen Pool unter NT AUTHORITY \ NETWORK SERVICE auszuführen?

Question

Normalerweise würde ich einen Benutzer mit eingeschränkten Rechten erstellen und den Prozess unter diesem ausführen, aber die Tatsache, dass Pools, die 2008 unter IIS7 automatisch erstellt wurden, diesen Account verwenden, lässt mich denken, dass dies absolut sicher ist und möglicherweise mehr als etwas, das ich erstelle? Der ganze Secure-by-Default-Push von Redmond würde mich glauben machen, dass dies der Fall ist.

Answer 1

Ja, es ist sicher. Services and Service Accounts Security Planning Guide

Eine weitere Sache. Es ist sogar besser, das lokale Dienstkonto zu verwenden (nicht mit dem lokalen Systemkonto zu verwechseln!). Es hat auf dem lokalen Server die gleiche Berechtigung wie der Netzwerkdienst. Hat jedoch keine Netzwerkberechtigungen. Der Netzwerkdienst kann mit den Berechtigungen des Computerkontos auf Netzwerkressourcen zugreifen (wie authentifizierter Benutzer).

Update 1 (Auf Kommentar antworten):

Soweit ich verstehen. Beide Optionen funktionieren. Ihr Anwendungscode wird (standardmäßig) nicht unter der Identität des Anwendungspools ausgeführt. Aber unter der Identität des Benutzers, der sich auf Ihrer Website authentifiziert. Oder, wenn anonyme Benutzer erlaubt sind, das Konto iuser_computername. Der Grund, dass die Identität des Anwendungspools wichtig ist, besteht darin, dass Sie Code eingeben können, damit Angreifer, die seinen Code injizieren, auch die Identität Ihrer Anwendung in die Anwendungspoolidentität ändern können.

Das sagte, es gibt weitere Komplikationen, die zu zahlreich sind, um zu veröffentlichen.