Windows 如何处理在受限用户下运行的web角色.aspx页面？

web角色.aspx页面和web角色代码以默认的“完整IIS”模式在两个单独的进程中运行。我要移植的应用程序的问题是.aspx处理程序需要访问本地文件系统，并且由于它现在在

MachineName\\NETWORK SERVICE

帐户下运行，因此它没有这样的访问权限

好吧，我可以做下面的一个

首先，在启动任务中，我可以向用户

MachineName\\networkservice

授予访问必要子文件夹的权限。这将起作用，但看起来不安全-在

MachineName\\NETWORK SERVICE

下运行的任何东西都将获得相同的访问权限，这可能会引入漏洞

其次，我可以以某种方式强制IIS在专用用户下运行的专用池中运行角色网站，并授予该用户访问权限。这听起来不错，但我不确定我是否能够自动做到这一点（特别是强制IIS创建在特定用户下运行的专用池）——在角色配置文件中或在启动任务中

第三，我可以将所有处理文件系统的工作转移到属于角色的代码上，该代码在

WaIISHost.exe

中运行。这需要重新设计

上述哪一个选项最方便且最符合最佳实践？还有什么其他选择？我如何应对这种情况

其次，我可以以某种方式强制IIS在专用用户下运行的专用池中运行角色网站，并授予该用户访问权限。这听起来不错，但我不确定我是否能够自动做到这一点（特别是强制IIS创建在特定用户下运行的专用池）——在角色配置文件中或在启动任务中

韦德·温格的博客非常适合这类问题

以下是如何在特定用户下设置web角色：

---

看起来不错，但如何获取该用户的用户名和（特别是）密码？我是否要创建一个新用户？不确定-但您可以看看远程桌面功能安装用户的方式，看看是否可以进行调整？或者，如果角色开始处于提升状态，则可以在那里创建新的用户/角色？Emm。关于你提到的“远程桌面功能”，我到底应该怎么看？事实上，再看一遍，我认为这个远程桌面用户不会是最容易使用的-太硬了-所以你最好使用

net user/add

，创建一个新用户-参见