Bei der Arbeit soll ich ein Dienstkonto erstellen, um den App-Pool für meine Webanwendung in iis unter auszuführen.
Warum wäre dies nützlich und / oder notwendig?
Es gibt Ihrer Anwendung ein bestimmtes Konto, mit dem Sie die Sicherheit festlegen können. Normalerweise wird der Prozess als IIS-Benutzerkonto ausgeführt und verfügt daher über alle mit diesem Konto verknüpften Berechtigungen. Indem Sie ein Konto nur für diese Anwendung erstellen, können Sie diesem Dienstkonto nur für die benötigten Ressourcen Rechte zuweisen. Dies verringert die Wahrscheinlichkeit, dass jemand Ihre Anwendung ausnutzt, erheblich und verringert die Wahrscheinlichkeit, dass Ihre Anwendung einen Teil des Systems beeinträchtigt, auf den sie ohnehin nicht zugreifen sollte.
Ein Dienstkonto wird für zwei Dinge verwendet: Isolation und Überwachung.
Durch die Isolation können Sie dem Dienstkonto die für den Dienst erforderlichen Mindestrechte gewähren und sicherstellen, dass selbst wenn ein Angreifer den Dienst ausnutzt und lokalen Systemzugriff erhält, seine Fähigkeit, weiteren Schaden zu verursachen, begrenzt ist. Selbst in einem Fall, in dem ein Angreifer kein Problem darstellt, verhindert die Isolation, dass ein fehlerhafter Dienst andere Dienste beeinflusst.
Die Überwachung kann durch Dienstkonten unterstützt werden, da jede von einem anderen Dienst ausgeführte Aktion als von einem anderen Benutzer stammend protokolliert wird, wodurch es einfacher wird, einen schlecht verhaltenen Dienst von anderen zu unterscheiden, die ordnungsgemäß funktionieren.
Obwohl dies die Hauptverwendung für Dienstkonten ist, gibt es andere, wie z. B. die Leistungsoptimierung. Wenn Sie jeden Dienst als einen anderen Benutzer ausführen, können Sie die vorhandene Ressourcenzuweisung pro Benutzer verwenden, um die für einen Dienst verfügbaren Ressourcen zu steuern.
Ich halte die Service-Konten für Service-Konten für obligatorische Richtlinien für jedes System, das sicher sein möchte.
quelle
Grundsätzlich gilt: Wenn die Anwendung beschädigt wird, ist der Schaden, den sie anrichten kann, nur auf Dateien beschränkt, die diesem Benutzer gehören oder von diesem beschreibbar sind. Wenn die Anwendung gefährdet ist, gilt dieselbe Einschränkung auch für die Daten, auf die über sie zugegriffen werden kann.
Grundsätzlich sollte jede Software nur auf die benötigten Ressourcen zugreifen können und sonst nichts. Natürlich gibt es immer Vereinfachungen und Kompromisse, aber das Ausführen einer Web-App unter einem eigenen Konto ist eine der wichtigsten Maßnahmen, um dies anzuwenden.
quelle