IUSR e affini

[supermac]

Domanda da ignorante: le limitazioni che le applicazioni web hanno relativamente ad esplorazione della rete, accesso in scrittura al filesystem & Co, derivano tutte dalle limitazioni ai diritti dell'utente IUSR usato da IIS per far girare le pagine aspNet o ci sono dei limiti intrinsechi delle pagine web?
In altre parole, se concedessi all'utente IUSR tutti i diritti, le mie pagine aspNET in intranet potrebbero esplorare e andare a scrivere/leggere files nella rete aziendale senza limitazioni come se si trattasse di un utente qualsiasi della rete o comunque la mia webApp in intranet non potrebbe mai funzionare come una applicazione desktop?
(spero di averla espressa bene)

[URANIO]

TEORICAMENTE non ci sono limiti, puoi assegnare all'appPool un utenza che vuoi e far girare il processo con quei permessi.

[supermac]

thx

[URANIO]

Aggiungo però (soprattutto se IIS è esposto) non è una buona idea farlo.
L'ideale sarebbe farlo fare ad un servizio, e da IIS limitarsi a salvare su un DB/file un "flag" che faccia attivare il servizio.

[supermac]

Allora ho una applicazione che gira in intranet con pagine web aspnet nelle quali compaiono dei link a file che si trovano in rete interna.
I link sono nella forma \\server\cad\disegni\PG003660\xxxxxxx.pdf e cliccandoli mi aspetto che si aprano i files o le cartelle (i link possono anche essere path di cartelle), tutte cose che in debug locale già faccio PERCHE' VS in debug usa il mio account che può girare liberamente nel dominio (si tratta di linkbutton che eseguono Process.start per cui si aprono direttamente le applicazioni collegate ai tipi di files e/o esplora risorse quando si tratta di percorsi di cartelle).
BENE, ho pubblicato il sito sul server e ho configurato IIS in modo che usi uno specifico application pool (solo per il mio sito) che non usa l'utente standard di IIS ma usa un utente PIX_IIS che fa parte del gruppo DOMAIN USERS (che fa parte del gruppo USERS) ed anche del gruppo IIS_USERS.
Testato, questo utente PIX_IIS può scorrazzare liberamente per la rete aziendale e accedere alle macchine dove si trovano i files/percorsi.
Ho riavviato IIS.
Le pagine web girano, va tutto benissimo MA quando clicco i link mi esce ERRORE, accesso negato.
Cattura.JPG
Suggestions?

[URANIO]

Mi sembra tutto corretto.
Sei sicuro che l'apppool che stai usando sia quello modificato?
magari aggiungi NETWORK SERVICE ai gruppi dell'utente che usi (solitamente aggiungo quel gruppo se devo accedere alle cartelle di rete)

[supermac]

No in effetti non sta usando l'applicationPool specifico..... questo perchè quando al mio applicationPool dico di usare l'utente PIX_IIS anzichè l'utente standard di IIS mi fa queste storie:
There was an error while performing this operation.
Details:
Keyset does not exist ( exception from HRESULT : 0x8009000D)

[supermac]

PS non trovo un Network Service tra i gruppi utente da aggiungere al mio PIX_IIS....

[URANIO]

Scusa mi sono confuso, netwokservice è l'identità dell' AppPool.
https://learn.microsoft.com/en-us/ii...ool-identities

[supermac]

mmmm non ho capito, per l'identità dell'application pool devo usare un mio account a cui do tutti i privilegi del caso (ma non riesco a impostarlo) o devo usare un network service come identità??
In ogni caso ho testato il network service come identità dell'applicationPool e i link non funziano uguale...