配置工作进程标识

在以前的 IIS 版本中，工作进程以本地系统帐户的身份运行。因为本地系统帐户几乎可以访问操作系统上的所有资源，所以它可能会产生严重的安全隐患。IIS 6.O 提供了更高的安全性能，因为默认情况下工作进程以新的内置网络服务帐户的身份运行。IIS 6.0 还允许配置工作进程以哪种帐户的身份运行。您可以选择使用三种预定义的帐户之一，或者创建您自己的帐户。

要点 要点 您必须是本地计算机上 Administrators 组的成员或者必须被委派了相应的权限，才能执行下列步骤。作为安全性的最佳操作，请使用不属于 Administrators 组的帐户登录计算机，然后使用运行方式命令以管理员身份运行 IIS 管理器。在命令提示符下，键入 runas /user:administrative_accountname "mmc %systemroot%\system32\inetsrv\iis.msc"。

使用预定义的帐户为应用程序池配置工作进程标识

  1. 在 IIS 管理器中，展开本地计算机，展开“应用程序池”文件夹，右键单击要配置的应用程序池，然后单击“属性”。
  2. 单击“标识”选项卡。
  3. 单击“预定义帐户”，然后在它旁边的列表框中单击“网络服务”、“本地服务”或“本地系统”。

    注意 注意 网络服务、本地服务和本地系统是 IIS_WPG 组的成员。

  4. 单击“确定”。

使用可配置的帐户为应用程序池配置工作进程标识

  1. 在 IIS 管理器中，展开本地计算机，展开“应用程序池”文件夹，右键单击要配置的应用程序池，然后单击“属性”。
  2. 单击“标识”选项卡。
  3. 单击“配置”。
  4. 单击“浏览”，然后在“输入要选择的对象名称”下，键入运行工作进程所使用的帐户名，然后单击“确定”。
  5. 在“密码”框中，键入与该帐户相关的密码。如果没有与该帐户相关的密码，请将“密码”框留空。
  6. 单击“确定”。

要点 要点 当您使用可配置的帐户为应用程序池配置工作进程标识时，必须将创建的帐户添加到 IIS_WPG 组中以便工作进程能够运行。

IIS_WPG

IIS_WPG 组是由 IIS 6.0 提供的用户组。IIS_WPG 组成员提供了运行应用程序所需的最小一组用户特权和权限。它提供了一种方便的方法，将特定的用户帐户（IIS_WPG 成员）用于工作进程标识帐户，而无需手动为帐户指派用户特权和权限。如果帐户不在 IIS_WPG 组中且不具备相应的权限，则工作进程将无法启动。

注意 注意 默认情况下，IIS_WPG 组没有启动 CGI 进程的权限。如果创建一个新的帐户并将其添加到 IIS_WPG 组中以运行工作进程标识，则还必须为该新帐户指派两个用户权限以启动 CGI 进程。这些用户权限是“调整进程的内存配额”和“替换进程级令牌”。

为应用程序隔离配置用户帐户

应用程序隔离是指按进程边界来隔离应用程序以防应用程序互相影响。

对于工作进程隔离模式，可以使用应用程序池来配置隔离。可以将单个应用程序放在其自己的应用程序池中，或者将多个应用程序分为一个应用程序池。

配置应用程序独立运行

  1. 创建一个新的帐户，并为应用程序池配置工作进程标识。
  2. 将帐户添加到 IIS_WPG 组中。默认情况下，IIS_WPG 组拥有每个网站目录的“读取和执行”、“列出文件夹目录”和“读取”权限。如果帐户不在 IIS_WPG 组中且不具备相应的权限，则工作进程无法启动。
相关主题

© 1997-2003 Microsoft Corporation。保留所有权利。