Tengo un grupo de aplicaciones en IIS que se ejecuta bajo el estándar AppPoolIdentity como parte del grupo IIS_IUSRS .
¿Cuáles son las implicaciones de seguridad de otorgar a AppPoolIdentity modify y create en el intepub/wwwroot/website/ directorio? ¿Hay alguna forma de mitigar estos riesgos?
En mi caso particular, es para un sitio web ASP.NET que necesitaba estos privilegios para el registro y la generación de informes.
Es perfectamente normal que un sitio web necesite acceso de escritura a una o más carpetas bajo su raíz web. AppPoolIdentity es lo mejor que se puede usar para las identidades del grupo de aplicaciones, ya que no crea una cuenta de usuario de Windows que pueda verse comprometida. En su lugar, genera un nuevo usuario local sobre la marcha cuando se inicia el grupo de aplicaciones. Mi única preocupación sería otorgar el permiso de escritura de AppPoolIdentity a todo el wwwroot. En su lugar, solo puede darle acceso de modificación a la carpeta de registros o informes en particular para minimizar cualquier tipo de riesgo.
EDIT: La restricción del acceso de escritura mitiga cualquier daño que pueda causar una aplicación comprometida. El acceso de escritura a todo wwwroot le daría acceso completo para volver a escribir todo el sitio (si está comprometido) en comparación con si solo le diera permisos de escritura a la carpeta de registros. Tendrían que comprometer los Permisos de OS / NTFS para superar eso, por lo que es una capa de seguridad agregada.
Lea otras preguntas en las etiquetas access-control asp.net permissions iis