Standard-Proxy-Anmeldeinformationen in IIS können das Maschinenkonto verwenden
Ermitteln Sie das Netzwerkkonto hinter den Standard-Proxy-Anmeldeinformationen in einem IIS-Worker, statt die Identität des interaktiven Administrators zu erwarten.
Standard-Proxy-Anmeldeinformationen in IIS gehören zur effektiven Identität des Workers, nicht zum Administrator, der die Anwendung bereitgestellt hat. NetworkService präsentiert die Anmeldeinformationen des Computers im Netzwerk; auch Identitäten von Anwendungspools zeigen dokumentiertes Verhalten mit dem Maschinenkonto. In einer geeigneten Domänenumgebung kann der Proxy DOMAIN\WEBSERVER$ sehen.
Halten Sie den Anwendungspool, seine konfigurierte Identität und eine etwaige Identitätsübernahme beim Netzwerkaufruf fest. Vergleichen Sie dies mit den Belegen des Proxys für denselben Endpunkt und dieselbe Aufforderung. Ein lokaler Poolkontoname und die entfernte Netzwerkidentität sind unterschiedliche Beobachtungen.
Wenn die Richtlinie das Maschinenkonto bewusst autorisiert, erteilen Sie diesen Zugriff absichtlich. Wenn ein separates Dienstkonto erforderlich ist, stellen Sie es über die unterstützte Anmeldeinformationsregelung der Bereitstellung bereit. Den gesamten Pool auf ein privilegiertes interaktives Konto umzustellen, nur um einen Erfolg am Desktop zu reproduzieren, ändert weit mehr als die Proxy-Anmeldung.
Das Authentifizierungsschema muss die gewählte Identität unterstützen. Standard-Windows-Anmeldeinformationen können an unterstützter integrierter Authentifizierung teilnehmen; sie erzeugen kein Basic-Benutzername/Passwort für ein fremdes Konto.
Prüfen Sie neben den Anmeldeinformationen auch die Routenauswahl. Ein Dienst kann vor der Authentifizierung eine andere Proxy-Konfiguration wählen. Ein 407 ist nur nützlich, wenn er an den tatsächlichen Endpunkt, das Konto und das angekündigte Schema des Workers gebunden ist.