如何使用IIS Web應(yīng)用池保護你的企業(yè)？
問：你能描述一下IIS Web應(yīng)用池是怎樣工作的嗎?Web應(yīng)用池怎樣與企業(yè)的安全相關(guān)聯(lián)，它是一個值得使用的功能嗎?
答：在任何運行多個應(yīng)用或站點的IIS Web服務(wù)器上，IIS的Web應(yīng)用池都是一個值得實施的功能。因為它能將多個應(yīng)用彼此隔離，即使它們位于同一個服務(wù)器上。它能提高服務(wù)器和運行在其上應(yīng)用的整體可靠性，并且同樣能用于提高安全性。
一個應(yīng)用池是由按照URL定義的一個或多個應(yīng)用構(gòu)成的組，共享同樣的工作進程。工作進程運行web站點。每個應(yīng)用池擁有一個或多個工作進程。這些工作進程對于應(yīng)用池來說是唯一的且不會跨應(yīng)用池共享。
由于每個工作進程作為一個單獨的實例運作，它提供了一個進程邊界，使在應(yīng)用池中的單個應(yīng)用不會受到其它池問題的影響。如果某個應(yīng)用崩潰或是內(nèi)存泄漏，它不會影響到在其它應(yīng)用池中的站點，因為每個應(yīng)用池擁有自己的工作進程和服務(wù)器資源。
多個應(yīng)用池能同時運行，根據(jù)資源使用率對其進行不同的配置，甚至可以在一段靜止期后關(guān)閉直到再次需要它。CPU監(jiān)控能預防某個站點耗盡服務(wù)器的CPU，且工作進程循環(huán)地更換應(yīng)用在內(nèi)存中的實例，這有助于讓有問題的應(yīng)用保持順利地運行，同時減小問題的發(fā)生，比如內(nèi)存泄漏。
多個應(yīng)用池不僅增加了應(yīng)用的可用性，它們還有助于安全性。例如，你可能想為需要更高安全級別的每個應(yīng)用創(chuàng)建單獨的應(yīng)用池，同時允許需要較低安全級別的多個應(yīng)用共享同一個應(yīng)用池。這種類型的配置讓你充分使用應(yīng)用池的身份，這允許你以唯一的虛擬帳戶來運行應(yīng)用池，而不用必須創(chuàng)建和管理域或本地帳戶，后者對于建立理想的特權(quán)訪問級別來說通常是乏味和不適用的。
默認情況下，工作進程以本地的NetworkService帳戶運行，它是在Windows中內(nèi)建立的具有相對較低特權(quán)的身份。盡管以較低特權(quán)的帳戶運行服務(wù)是一項好的安全實踐，但許多Windows的系統(tǒng)服務(wù)同樣使用這個帳戶。任何以NetworkService身份運行的服務(wù)都可能訪問它擁有的其它服務(wù)。一個IIS工作進程通常運行定制的代碼如ASP.NET和PHP，它們應(yīng)該通過使用不同的應(yīng)用池身份來和其它的Windows系統(tǒng)服務(wù)分隔開來。
我當然推薦你定制應(yīng)用池并使用不同的身份，從而實現(xiàn)根據(jù)你的特殊環(huán)境建立所需要的應(yīng)用隔離程度。
【編輯推薦】
