IIS7xのアプリケーションプールをリサイクルする権限を与える

Question

私はDevOpsアプローチを採用することで、ターゲットサーバにソフトウェア（Windowsサービスがエージェントとして機能する）をインストールして、リモートで自律的に展開できるようにするプロジェクトに携わっています。

背景として、ここでは、展開をリモートで管理するサーバー、コードが展開されるさまざまなターゲットサーバー（Windows 2008 R2）について説明します。サーバーはIISアプリケーションをホストしており、展開はファイルとフォルダを置き換えるだけで、その後にアプリケーションプールをリサイクルします。

このため、2つの異なる種類のアクセス許可を適用しようとしています。アプリケーションフォルダ構造に対するNTFSアクセス許可と、アプリケーションプールをリサイクルするアクセス許可。

私はどこに問題があるのですか？私はこの問題についてインターネットで数時間を探していましたが、これを正しく行うにはどうしたらいいか分かりません。 ほとんどすべての参考文献（以下のようなもの）は、IISリモート管理委任またはリモートWebデプロイメントに焦点を当てていますが、私は適用に失敗しました。

実際に知っておく必要があるのは、（エージェントを実行しているアカウントの）サーバー上のローカルにアクセス許可を委任する（アプリケーションプールのみをリサイクルする）方法です。

• https://blogs.msdn.microsoft.com/asiatech/2011/07/20/iis-7-delegate-remote-application-pool-recycling-for-non-administrator/
• https://www.iis.net/learn/manage/remote-administration/configuring-remote-administration-and-feature-delegation-in-iis-7

Answer 1

我々はadminitrator権限およびスケジュールされたタスクと2番目のアカウントを使用してこの問題を解決することになりました。限られた権限で、DevOpsチームのエージェントを実行している

• Aサービスアカウント（A）：

  そこで、我々は始まりました。

• サービスアカウント（B）は、管理者権限を持つスケジュールされたタスクを実行して、アプリケーションプールをリサイクルします。

そして、我々はやった：Aとスケジュールされたタスクを作成し

• 、それはタスクの実際の所有者であり、それを実行するために必要な権限を持っているので。
• 管理者権限を持ち、アプリケーションプールのリサイクルを実行するために必要な権限を持つBとして実行するタスクを構成しました。

この方法を使用すると、アクセス許可を委譲する可能性のない（または簡単ではない）アドオン管理者タスクを偽装することができます。