IIS7 與 IIS 6 相比有了很大的改動，原來在 IIS 6 下可以的設(shè)置到了 IIS 7 下有的會發(fā)生變化。身份模擬的配置上，IIS7 和 IIS6有很大不同，網(wǎng)上IIS6的身份模擬的文章比較多，但介紹IIS7的比較少，我把的一些折騰的經(jīng)驗在這篇博客中寫下來，以供參考。
IIS 7 有兩種 ASP.NET Application Mode。
一種是 集成模式(Integrated Mode) 這個是默認的模式，也是微軟推薦的模式，另一種是 經(jīng)典模式(Classic Mode) ，這種模式是用于兼容老版本。集成模式使用更方便而且安全性更好，不需要把模擬帳戶的用戶名和密碼寫在配置文件中，這樣更安全也更方便。既然我們已經(jīng)用了IIS 7，那么我們還是按微軟推薦的方式使用集成模式比較好。
集成模式下，身份模擬可以完全通過界面來完成：
首先如上圖所示，IIS 7 在 Server Level 下有個 IIS-> Authentication ，雙擊這個圖標我們看到下面這個圖：
在這個圖中我們看到 IIS7 多了一個 ASP.NET Impersonation 的功能，在 Actions 里面點 Enable 開啟身份模擬功能，然后點 Edit 編輯身份模擬。
我們看到上面這個編輯框，在這個編輯框中，我們指定要進行身份模擬的帳號，這個帳號必須是本地已經(jīng)存在的帳號，點 Set 輸入這個帳號的名稱和密碼。
然后點OK。
到這里，按照 MSDN 中的幫助文檔，身份模擬應(yīng)該就算設(shè)置成功了。
然后我做了一個簡單的測試頁面看看身份模擬是否成功，測試程序如下：
protected void Page_Load(object sender, EventArgs e) { Response.Write(System.Security.Principal.WindowsIdentity.GetCurrent().Name); }
運行的結(jié)果居然是：
NT AUTHORITYIUSR
也就是說 Asp.net 沒有用我設(shè)置的這個 MyAccount 帳號模擬運行，而是仍然用IUSR 帳號模擬運行。查了好久，才發(fā)現(xiàn)是下面問題造成：
用 Virtual Studio 2008 生成網(wǎng)站時，web.config 文件中默認會有這樣一個設(shè)置：
雙擊代碼全選 1 <identity impersonate="true" />
這個設(shè)置是為 IIS 6 做身份模擬而設(shè)置的。在這種情況下，用戶身份的認證交給IIS來進行。當允許匿名登錄時，IIS將一個匿名登錄使用的標識（缺省情況下是IUSR）交給ASP.NET應(yīng)用程序。當不允許匿名登錄時，IIS將認證過的身份標識傳遞給ASP.NET應(yīng)用程序。ASP.NET的具體訪問權(quán)限由該賬號的權(quán)限決定。
這個設(shè)置在 IIS 7 下已經(jīng)過時了，如果用古典模式，才需要這樣設(shè)置。
找到問題原因后，我把 <identity impersonate="true" /> 這個配置項從 web.config 中刪除了。刪除后，就可以用到前面在界面上配置的用戶名來模擬帳號了。
然而先不要高興的太早，緊接著就出現(xiàn)了新的問題。 錯誤如下：
Could not load file or assembly 'xxxx' or one of its dependencies. Access is denied.
Description: An unhandled exception occurred during the execution of the current web request. Please review the stack trace for more information about the error and where it originated in the code. Exception Details: System.IO.FileLoadException: Could not load file or assembly 'GetPathFileLib' or one of its dependencies. Access is denied. Source Error:
從錯誤提示看，應(yīng)該是目前這個模擬帳戶沒有足夠的權(quán)限去執(zhí)行 bin 目錄下的 xxxx.dll ，于是我把bin 目錄賦予模擬帳戶 MyAccount 完全控制的權(quán)限，結(jié)果還是不行，我在網(wǎng)上搜了一下，有人說需要將C:WINDOWSMicrosoft.NETFrameworkv2.0.50727Temporary 這個目錄也設(shè)置為完全控制，于是照做了，還是不行。無奈之下，我把MyAccount 帳戶加入了 IIS_IUSRS這個群組，問題終于解決。
現(xiàn)在我們再運行上面那個顯示當前用戶的代碼顯示結(jié)果為
MachineNameMyAccout
注意：我們必須要把 <identity impersonate="true" /> 刪除才行，如果僅僅是設(shè)置為 <identity impersonate="false" />
模擬的帳戶會變成 IIS APPPOOLDefaultAppPool，這個設(shè)置是不正確的。
到這里IIS7 下設(shè)置身份模擬就全部完成了。 |
