深入理解IIS 5.0运行时的身份
Article last modified on 2002-6-27
----------------------------------------------------------------
The information in this article applies to:
- Microsoft Windows 2000 Advanced Server
- Microsoft Windows 2000 Server
- Microsoft Windows 2000 Professional
- Microsoft IIS 5.0
----------------------------------------------------------------
概要
为了更好的说明IIS 5.0运行时的身份标识,我们在IIS中新建一个虚拟目录Token,来举例说明。
在IIS 5.0中,Medium(Pooled)是主页目录和每一个新的IIS应用的应用程序保护(Application Protection)的缺省配置。
在这种情况下,所有的ASP脚本的处理线程都是在IIS Out-Of-Process Pooled Application这个COM+应用的进程下运行的!
默认情况下,InetInfo.EXE的运行身份是NT AUTHORITY/SYSTEM,而IIS Out-Of-Process Pooled Application应用的运行身份是IWAM_MachineName。
由于默认情况下,匿名访问是优先的,而它所使用的账号一般默认设置为IUSER_MachineName。所以ASP线程的运行身份就是IUSER_MachineName。
不同的配置,不同的运行身份
下面我们做四种不同的IIS配置,来看一下运行身份是怎么变化的。配置A其实就是IIS 5.0的默认情况。
配置对比如下:
区别 | 配置A (默认配置) | 配置B | 配置C | 配置D |
Token虚拟目录的应用程序保护 | 中(共用的) Medium(Pooled) | 中 | 中 | 低(IIS进程)Low(IIS Process) |
匿名访问的账号 | IUSR_MYSERVER | 一个域用户 TomoSoft/TokenTest | IUSR_MYSERVER | IUSR_MYSERVER |
COM+应用 “IIS Out-Of-Process Pooled Applications”的标识 | IWAM_MYSERVER | 一个域用户 TomoSoft/TokenTest | 一个域用户 TomoSoft/TokenTest | 一个域用户 TomoSoft/TokenTest |
ASP页面中所调用的组件所在的COM+应用 | 其他独立的应用 | “IIS Out-Of-Process Pooled Applications” | “IIS Out-Of-Process Pooled Applications” | “IIS Out-Of-Process Pooled Applications” |
下图给出配置A情况的IIS 运行图:
图 1 配置A的运行身份
可以看出,配置A的情况下,将会有三个以上的进程交互数据,所以在进程之间会有大量的开销。
但是优点就是,安全。COM+应用、IIS Out-Of-Process Pooled Application应用、InetInfo.EXE三者是相互隔离的,一方崩溃不会波及其余。
配置B的运行图:
图 2 配置B的运行身份
可以看出,配置B的运行,ASP页面调用的COM+组件由于被放置在IIS Out-of-Process Pooled Application这个IIS应用池中,所以这将会大大减少进程间调用COM的开销。
由于ASP处理线程属于STA,而被调用的COM+组件也属于STA,所以COM+组件也在ASP处理线程内,所以COM+组件内部执行时的Thread Token是这个ASP处理线程的身份Tomosoft/TokenTest,它的Process Token则是IIS应用池的身份Tomosoft/TokenTest。
配置C的情况和配置B大体是一样的。唯一的区别就是COM+组件的Thread Token是IUSER_MachineName,这是和匿名访问的账号相一致的。
下图给出配置D的运行图:
图 3 配置D的运行身份
可以看出,ASP处理线程在InetInfo.EXE进程中,而且ASP处理线程和InetInfo进程的运行身份还是不一样的!
COM+组件内部执行时的没有Thread Token,它的Process Token是IIS应用池的身份Tomosoft/TokenTest!
更多信息
在ASP页面中记录当前的Token值的测试
在Token目录下新建一个TokenTest.asp,代码如下:
<% On Error Resume Next
Dim TokenDump ‘ 这是一个记录当前线程和进程身份的组件 Set TokenDump = Server.Createobject("Tokdumpsrv.TokDump") Response.write TokenDump.TokenDump(&H1) %> |
IIS Out-Of-Process Pooled Application的标识保持为TomoSoft/TokenTest不变。
只是更改应用程序保护和匿名访问账号。
测试4种情况,列表如下:
序号 | 设置情况 | ASP执行的 Thread Token | ASP执行的 Process Token | |
应用程序保护 | 匿名访问账号 | |||
1 | 中 | TomoSoft/ TokenTest | TomoSoft/TokenTest
Token Type: Impersonation Delegation | TomoSoft/TokenTest
Token Type: Primary Delegation |
2 | 中 | IUSER_MachineName | MySERVER/ IUSR_MYSERVER
Token Type: Impersonation Impersonation | 同上 |
3 | 低 | TomoSoft/ TokenTest | TomoSoft/TokenTest | NT AUTHORITY/ SYSTEM |
4 | 低 | IUSER_MachineName | MySERVER/ IUSR_MYSERVER | NT AUTHORITY/ SYSTEM |
在应用程序保护为中的情况下,可以观察到,ASP处理线程的Thread Token是和该虚拟目录的匿名访问账号一致的,而Process Token是和IIS Out-of-Process Pooled Application应用的标识一致的。
这就符合图1和图2的说法了。
在应用程序保护为低的情况下,可以观察到,ASP处理线程的Thread Token是和该虚拟目录的匿名访问账号一致的,而Process Token就是InetInfo.EXE的身份SYSTEM账号。
这就是图3的说法了。
这种测试在三台不同服务器上得到了验证。
Written by zhengyun@tomosoft.com
Trackback: http://tb.blog.csdn.net/TrackBack.aspx?PostId=12679