Wie kann ich über Powershell ACL-Berechtigungen für IIS APPPOOL \ * -Konten hinzufügen?

Ich möchte in der Lage sein, das IIS-Konto für neue Websites so einzurichten, dass sie über Änderungsberechtigungen verfügen. Ich habe das folgende Skript:

function Set-ModifyPermission ($directory, $username, $domain = 'IIS APPPOOL') {
    $inherit = [system.security.accesscontrol.InheritanceFlags]"ContainerInherit, ObjectInherit"
    $propagation = [system.security.accesscontrol.PropagationFlags]"None"
    $acl = Get-Acl $directory
    $user = New-Object System.Security.Principal.NTAccount($domain, $username )
    $accessrule = New-Object system.security.AccessControl.FileSystemAccessRule($user, "Modify", $inherit, $propagation, "Allow")
    $acl.AddAccessRule($accessrule)
    set-acl -aclobject $acl $directory
}

Wenn ich es jedoch ausführe, erhalte ich folgende Fehler:

Set-Acl: Die Vertrauensstellung zwischen dieser Workstation und der primären Domäne ist fehlgeschlagen.

Ich denke, das liegt daran, dass IIS APPPOOLes sich nicht um eine echte Domain handelt, sondern um ein seltsames Präfix für eine Art gefälschten Account. Gibt es eine korrekte Möglichkeit, auf dieses Konto zu verweisen, damit dies funktioniert?

Verwenden Sie zunächst Set-Acl wie folgt, da der Verzeichnispfad das erste Positionsargument ist:

Set-Acl $directory $acl

Zweitens sollten Sie das Benutzerobjekt mit nur einem Argument erstellen:

$user = New-Object System.Security.Principal.NTAccount("$domain\\$username")

UPDATE: Scheint, dass "IIS APPPOOL \ AppPoolName" nicht als NTAccount-ID akzeptiert wird. Nun gibt es zwei Möglichkeiten, um das zu erreichen, was Sie versuchen:

1. Erstellen Sie ein neues SID-Objekt mit der AppPoolIdentities-SID und übersetzen Sie es in ein NTAccount, wie folgt: http://iformattable.blogspot.com/2007/12/convert-sid-to-ntaccount-with.html , und Sie sollten in der Lage sein um es wie jedes andere NTAccount-Objekt zu behandeln. Wenn Sie weiterhin Domänen- / Benutzernamen für echte Konten übergeben möchten, ist eine einfache Logik integriert, die standardmäßig die AppPool-SID verwendet, wenn der Benutzername "AweSomeAppPool" lautet und die Domäne nur als Beispiel leer ist.

2. Verwenden Sie PowerShell, um icacls.exe aufzurufen, und verwenden Sie es, um die gewünschten Berechtigungen wie folgt zu erteilen / zu widerrufen (zuerst normale icacls-Eingabeaufforderung, dann Powershell, beachten Sie den Unterschied):

   icacls.exe test.txt /grant "IIS AppPool\DefaultAppPool":(OI)(CI)M

   cmd /c icacls test.txt /grant "IIS AppPool\DefaultAppPool:(OI)(CI)M"

Wenn Sie sich für die zweite Option entscheiden, müssen Sie sie zuerst manuell testen. Ich hatte noch keine Gelegenheit, diese spezifischen Beispiele selbst zu testen, aber es sollte funktionieren

So etwas sollte den Trick für Sie tun. Es sollte auch in der Lage sein, IIS APPPOOl \ Anything aufzulösen ...

function Set-AclOnPath
{
    param(
        [Parameter(Mandatory=$true)]
        [ValidateNotNullOrEmpty()]
        [string] $Path,

        [Parameter(Mandatory=$true)]
        [ValidateNotNullOrEmpty()]
        [string] $DomainAccount
    )

    #Put whatever permission you want here
    $permission = $DomainAccount,"ReadAndExecute","Allow"
    $accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule $permission

    $acl = Get-Acl $Path
    $acl.SetAccessRule($accessRule)
    $acl | Set-Acl $Path
}

Das Folgende funktioniert in Windows 2012, um eine SID für die IIS-Site abzurufen. Es ist der IIS-Anbieter erforderlich, der das WebAdministration-Powershell-Modul verwendet. In diesem Artikel wird jedoch angegeben, dass es unter Windows 2008R2 funktioniert.

$appPoolName = 'MyAppPool'
$appPoolSid = (Get-ItemProperty IIS:\AppPools\$appPool).applicationPoolSid
$identifier = New-Object System.Security.Principal.SecurityIdentifier $appPoolSid
$user = $identifier.Translate([System.Security.Principal.NTAccount])

Ab IIS 10 / Windows 10 / Server 2016 ist das WebAdministration-Modul veraltet, und es wird erwartet, dass stattdessen das neue IISAdministration Powershell-Modul verwendet wird. So übersetzen Sie die SID des Anwendungspools mithilfe des neuen Moduls in den virtuellen Benutzer:

Import-Module IISAdministration
$manager = Get-IISServerManager
$appPoolName = 'MyAppPool'
$appPoolSid = $manager.ApplicationPools["$appPoolName"].RawAttributes['applicationPoolSid']
$identifier = New-Object System.Security.Principal.SecurityIdentifier $appPoolSid
$user = $identifier.Translate([System.Security.Principal.NTAccount])

Folgendes hat in Windows 2012 für mich funktioniert, die anderen Beispiele konnten nicht funktionieren:

Import-Module WebAdministration

$appPoolName='MyAppPool'
$folderDirectory='C:\MyWebFolder'

$appPoolSid = (Get-ItemProperty IIS:\AppPools\$appPoolName).applicationPoolSid

Write-Output "App Pool User $appPoolSid"

$identifier = New-Object System.Security.Principal.SecurityIdentifier $appPoolSid
$user = $identifier.Translate([System.Security.Principal.NTAccount])

Write-Output "Translated User $user.Value"

$acl = Get-Acl $folderDirectory
$acl.SetAccessRuleProtection($True, $False)
$rule = New-Object System.Security.AccessControl.FileSystemAccessRule($user,”FullControl”, “ContainerInherit, ObjectInherit”, “None”, “Allow”)
$acl.AddAccessRule($rule)
$acl | set-acl -path $folderDirectory