DotNetNuke 初始安装安全最佳实践

Question

我已经在 Windows Server 2008 上安装了几个 DotNetNuke 站点。我想知道应该如何一起配置各种安全实体。例如，一些安装参考建议将站点文件的权限设置为包含具有修改权限的“网络安全”； IIS 7.5 AppPool 标识设置为网络服务。

至于数据库 - 我使用的是 SqlServer 2008。我使用了 Windows Integrated 和 SqlServer 用户身份。一个比另一个更受欢迎吗？我在这个论坛中注意到，AppPool 身份需要 SqlServer 中的 db_owner 权限。

简而言之，我试图将文件权限、IIS 7.5 AppPool 和 SqlServer 2008 安全设置结合在一起。我使用 DotNetNuke 5.x 和 6.x。

Answer 1

在 IIS 7.5 中，我总是使用“IIS AppPool\ApplicationPoolName”，其中 ApplicationPoolName 在您创建网站时由 IIS 定义。我将它用于文件权限，我还使用相同的用户名对数据库帐户使用 Windows 身份验证，这假设您在本地运行 SQL Server。

从安全角度来看，拥有单独的应用程序池帐户会有所帮助，因为池是孤立的，这意味着它们只能访问其文件系统和数据库，而不能访问其他网站的文件系统或数据库。

如果您使用的是 IIS 7 或更早版本（在 Windows 2000/XP 中不是 5/5.1），则默认应用程序池在网络服务下运行。