Privzete poverilnice proxyja v IIS lahko uporabljajo račun računalnika
Prepoznajte omrežni račun za privzetimi poverilnicami proxyja v delovnem procesu IIS, namesto da bi pričakovali identiteto interaktivnega skrbnika.
Privzete poverilnice proxyja v IIS pripadajo dejanski identiteti delovnega procesa, ne skrbniku, ki je aplikacijo namestil. NetworkService predstavi poverilnice računalnika v omrežju; tudi identitete aplikacijskih bazenov imajo dokumentirano vedenje računa računalnika. V ustreznem domenskem okolju lahko proxy vidi DOMAIN\WEBSERVER$.
Zabeležite aplikacijski bazen, njegovo konfigurirano identiteto in morebitno prevzemanje identitete pri omrežnem klicu. Primerjajte to z dokazi proxyja za isto končno točko in isti izziv. Lokalno ime računa bazena in oddaljena omrežna identiteta sta dve različni opažanji.
Če politika namerno dovoljuje račun računalnika, to dostopnost dodelite zavestno. Če je potreben ločen servisni račun, ga zagotovite prek podprte ureditve poverilnic pri uvajanju. Premik celotnega bazena na privilegiran interaktivni račun samo zato, da bi poustvarili uspeh na namizju, spremeni veliko več kot prijava v proxy.
Shema preverjanja pristnosti mora podpirati izbrano identiteto. Privzete poverilnice Windows lahko sodelujejo v podprtem integriranem preverjanju pristnosti; ne ustvarijo Basic uporabniškega imena/gesla za nepovezan račun.
Preverite tudi izbiro poti, ne le poverilnic. Storitev lahko pred preverjanjem pristnosti izbere drugo konfiguracijo proxyja. 407 je uporaben le, kadar je povezan z dejansko končno točko delovnega procesa, računom in objavljeno shemo.