Numatytieji IIS tarpinio serverio kredencialai gali naudoti kompiuterio paskyrą
Nustatykite tinklo paskyrą, esančią už numatytųjų tarpinio serverio kredencialų IIS darbininke, o ne tikėkitės interaktyvaus administratoriaus tapatybės.
Numatytieji IIS tarpinio serverio kredencialai priklauso efektyviajai darbininko tapatybei, o ne administratoriui, kuris įdiegė programą. NetworkService pateikia kompiuterio kredencialus tinkle; programų telkinių tapatybės taip pat turi dokumentuotą kompiuterio paskyros elgesį. Tinkamoje domeno aplinkoje tarpinis serveris gali matyti DOMAIN\WEBSERVER$.
Užrašykite programų telkinį, jo sukonfigūruotą tapatybę ir bet kokį tapatybės perėmimą tinklo iškvietimo metu. Palyginkite tai su tarpinio serverio įrodymais tam pačiam galiniam taškui ir tam pačiam iššūkiui. Vietinis telkinio paskyros pavadinimas ir nuotolinė tinklo tapatybė yra du skirtingi stebėjimai.
Jei politika sąmoningai leidžia kompiuterio paskyrą, suteikite šią prieigą sąmoningai. Jei reikalinga atskira paslaugos paskyra, pateikite ją per diegimo palaikomą kredencialų tvarką. Viso telkinio perkėlimas į privilegijuotą interaktyvią paskyrą vien tam, kad būtų atkartota sėkmė darbalaukyje, pakeičia kur kas daugiau nei prisijungimą prie tarpinio serverio.
Autentifikavimo schema turi palaikyti pasirinktą tapatybę. Numatytieji Windows kredencialai gali dalyvauti palaikomame integruotame autentifikavime; jie nesukuria Basic vartotojo vardo/slaptažodžio nesusijusiai paskyrai.
Tikrinkite maršruto pasirinkimą ir kredencialus. Paslauga prieš autentifikavimą gali pasirinkti kitą tarpinio serverio konfigūraciją. 407 yra naudingas tik tada, kai jis susietas su faktiniu darbininko galiniu tašku, paskyra ir paskelbta schema.