Predvolené poverenia proxy v IIS môžu používať počítačový účet
Zistite sieťový účet za predvolenými povereniami proxy v pracovnom procese IIS, namiesto toho, aby ste očakávali identitu interaktívneho správcu.
Predvolené poverenia proxy v IIS patria efektívnej identite pracovného procesu, nie správcovi, ktorý aplikáciu nasadil. NetworkService predkladá poverenia počítača v sieti; identity fondov aplikácií majú tiež dokumentované správanie počítačového účtu. Vo vhodnom doménovom prostredí môže proxy vidieť DOMAIN\WEBSERVER$.
Zaznamenajte fond aplikácií, jeho nakonfigurovanú identitu a akékoľvek zosobnenie pri sieťovom volaní. Porovnajte to s dôkazmi proxy pre rovnaký koncový bod a rovnakú výzvu. Miestny názov účtu fondu a vzdialená sieťová identita sú dve rôzne pozorovania.
Ak zásada zámerne povoľuje počítačový účet, udeľte tento prístup vedome. Ak sa vyžaduje samostatný servisný účet, poskytnite ho prostredníctvom podporovaného usporiadania poverení pri nasadení. Presun celého fondu na privilegovaný interaktívny účet len preto, aby sa zopakoval úspech na pracovnej ploche, mení oveľa viac než prihlásenie do proxy.
Schéma overovania musí podporovať zvolenú identitu. Predvolené poverenia Windows sa môžu zúčastňovať podporovaného integrovaného overovania; nevytvárajú Basic používateľské meno/heslo pre nesúvisiaci účet.
Skontrolujte výber trasy aj poverenia. Služba môže pred overením zvoliť inú konfiguráciu proxy. 407 je užitočný len vtedy, keď je spojený so skutočným koncovým bodom pracovného procesu, účtom a inzerovanou schémou.