asp.net Webアプリケーション用のネットワークサービスとしてアプリケーションプールIDを設定するのはなぜですか？

Question

私は、クラシックアプリケーションプールでネットワークサービスのIDを持つWebアプリケーションを見てきました。背後にある理由は何でしょうか？ローカルシステム/ローカルサービスなどを使用する場合、私たちが直面する問題は何か。

ご存じの方は、ご自身の知識をお伝えください。

Answer 1

IIS 4.x/5.xはIISなどのWebサーバーがハッキングされる可能性があるため、ローカルシステム/ローカルサービスをIISプロセスのデフォルトIDとして使用することがシステム全体のリスクとなっていました。ハッキングされると、強力なアカウントの下で悪意のあるコードが実行され、Windowsマシン全体をハッキングし、同じドメイン内の他のリソースがハッキングされる可能性があります。

したがって、MicrosoftがIIS 6を設計したとき、ネットワークサービスに切り替えました。ネットワークサービスは古いオプションよりもはるかに少ないアクセス許可を持っています。さらにIIS 7以降では、アプリケーションプールIDアカウントを導入してより多くのアクセス許可を削減しました。それは@masonが「最小特権の原則」とコメントしたものです。

ただし、ここではすべてのIISセキュリティストーリーが終了しません。 DMZなどのコンセプトは、Web環境だけでなく、特定の資料（IISセキュリティブックなど）を使って学習するために、より多くのセキュリティをWeb環境にもたらします。