深入理解IIS 5.0執行時的身份

Article last modified on 2002-6-27<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

----------------------------------------------------------------

The information in this article applies to:

- Microsoft Windows 2000 Advanced Server

- Microsoft Windows 2000 Server

- Microsoft Windows 2000 Professional

- Microsoft IIS 5.0

----------------------------------------------------------------

概要

為了更好的說明IIS 5.0執行時的身份標識，我們在IIS中新建一個虛擬目錄Token，來舉例說明。

在IIS 5.0中，Medium(Pooled)是主頁目錄和每一個新的IIS應用的應用程式保護(Application Protection)的預設配置。

在這種情況下，所有的ASP指令碼的處理執行緒都是在IIS Out-Of-Process Pooled Application

預設情況下，InetInfo.EXE的執行身份是NT AUTHORITY/SYSTEM，而IIS Out-Of-Process Pooled Application應用的執行身份是IWAM_MachineName。

由於預設情況下，匿名訪問是優先的，而它所使用的賬號一般預設設定為IUSER_MachineName。所以ASP執行緒的執行身份就是IUSER_MachineName。

不同的配置，不同的執行身份

下面我們做四種不同的IIS配置，來看一下執行身份是怎麼變化的。配置A其實就是IIS 5.0的預設情況。

配置對比如下：

下圖給出配置A情況的IIS 執行圖：

<?xml:namespace prefix = v ns = "urn:schemas-microsoft-com:vml" />

圖 1 配置A的執行身份

可以看出，配置A的情況下，將會有三個以上的程序互動資料，所以在程序之間會有大量的開銷。

但是優點就是，安全。COM+應用、IIS Out-Of-Process Pooled Application應用、InetInfo.EXE三者是相互隔離的，一方崩潰不會波及其餘。

配置B的執行圖：

                圖 2 配置B的執行身份

可以看出，配置B的執行，ASP頁面呼叫的COM+元件由於被放置在IIS Out-of-Process Pooled Application這個IIS應用池中，所以這將會大大減少程序間呼叫COM的開銷。

由於ASP處理執行緒屬於STA，而被呼叫的COM+元件也屬於STA，所以COM+元件也在ASP處理執行緒內，所以COM+元件內部執行時的Thread Token是這個ASP處理執行緒的身份Tomosoft/TokenTest，它的Process Token則是IIS應用池的身份Tomosoft/TokenTest。

配置C的情況和配置B大體是一樣的。唯一的區別就是COM+元件的Thread Token是IUSER_MachineName，這是和匿名訪問的賬號相一致的。

下圖給出配置D的執行圖：

圖 3 配置D的執行身份

可以看出，ASP處理執行緒在InetInfo.EXE程序中，而且ASP處理執行緒和InetInfo程序的執行身份還是不一樣的!

COM+元件內部執行時的沒有Thread Token，它的Process Token是IIS應用池的身份Tomosoft/TokenTest!

更多資訊

在ASP頁面中記錄當前的Token值的測試

在Token目錄下新建一個TokenTest.asp，程式碼如下：

IIS Out-Of-Process Pooled Application的標識保持為TomoSoft/TokenTest不變。

只是更改應用程式保護和匿名訪問賬號。

測試4種情況，列表如下：

在應用程式保護為中的情況下，可以觀察到，ASP處理執行緒的Thread Token是和該虛擬目錄的匿名訪問賬號一致的，而Process Token是和IIS Out-of-Process Pooled Application應用的標識一致的。

這就符合圖1和圖2的說法了。

在應用程式保護為低的情況下，可以觀察到，ASP處理執行緒的Thread Token是和該虛擬目錄的匿名訪問賬號一致的，而Process Token就是InetInfo.EXE的身份SYSTEM賬號。

這就是圖3的說法了。

這種測試在三臺不同伺服器上得到了驗證。

Written by [email protected]

Trackback: http://tb.blog.csdn.net/TrackBack.aspx?PostId=12679