IIS上で別サーバーの共有フォルダにアクセスする方法

Question

お世話になります。

現在、Win2012サーバー上にあるWebアプリケーションから
別のファイルサーバー上の共有フォルダにアクセスする機能を作成しています。

この際、共有フォルダのアクセス権は
どの様に設定すると良いのでしょうか？
Everyoneフルコントロールを設定すればアクセスできますが、
セキュリティ的には危険ですので、
適切な設定があればご教授お願いします。

※IISの偽装起動をすれば解決はできましたが、
それ以外の方法を模索しています。

Webサーバー：Windows2012
IIS:8

追記：
・ファイルサーバーとWebサーバーは同じドメイン上にいます。

・機能としては、Webサイト上でPDFを作成→PDFをWeb画面上に表示しつつ
ファイルサーバーにファイルを保存という流れとなります。
この際、ファイルサーバーにアクセスがしたいです。

・web.configの中で
<identity impersonate="true" userName="*****" password="*****" />
と設定する事で、指定ユーザーの権限で共有フォルダにアクセスする事は可能でしたが
偽装ユーザーではなく、IISでデフォルトで起動した際のIISユーザーで共有フォルダにアクセスをしたい。

宜しくお願い致します。

Comments

[退会済みユーザー]

環境（例：クライアントもサーバーもすべて Active Directory ドメイン環境に属しているとか）とアクセスというのは具体的にどういう操作をするのか（例：ASP.NET の HTTP ジェネリックハンドラを使ってクライアントにダウンロードさせるとか）によります。

[退会済みユーザー]

「IISのなりすまし」とは何ですか？　偽装のことですか？　どのように設定しているのですか？

[Y.H.]

どのユーザーの権限でアクセスしたいのでしょうか？
・アプリケーションプールの実行ユーザー(ADのユーザー？)
・特定の任意のADユーザー（Web.configなどで定義？）
・クライアントの(ブラウザ実行している)ユーザー（ADユーザー？）

[deranail]

SurferOnWwwさま
回答ありがとうございます。

ファイルサーバーとWebサーバーは同じドメイン上にいます。

機能としては、
Webサイト上でPDFを作成→PDFをWeb画面上に表示しつつファイルサーバーにファイルを保存
という流れとなります。

なりすましは偽装の事でweb.configの中で
<identity impersonate="true" userName="*****" password="*****" />
と設定しています。
ここで指定したユーザーの権限で共有フォルダにアクセスする事は可能でした。

[deranail]

Y.Hさま
回答ありがとうございます。
アクセスしたいのは、IISでデフォルトで起動した際のIISユーザーです。

Webサーバーのアプリケーションプールの実行ユーザーで
ファイルサーバーにアクセスする事は設定上可能でしょうか？

[Y.H.]

この発言取り消します。
<s>アプリケーションプールの実行ユーザーをADに存在するユーザーに変更するのは無しってことなら
ファイルサーバー側で個別に権限を与えることができないので出来ないですね。</s>

[退会済みユーザー]

deranail さん＞

2020/02/18 12:05 と 12:09 の質問者さんのコメントを質問欄を編集して追記していただくようお願いします。質問のコメント欄は初期画面では開かないので見ない人がいますから。ここ Teratail は技術者同士の情報交換の場所ということらしいので、適切な情報提供の意味でお願いします。

[退会済みユーザー]

Y.H. さん＞

IIS のワーカープロセスにファイルサーバーの共有フォルダにアクセス権は与えることはできないと言われてますか？　ワーカープロセスはネットワーククレデンシャルを持っているので Web サーバーとファイルサーバーが AD に属していればアクセス権を与えることはできるはずですが？

[Y.H.]

SurferOnWwwさん
コンピューターアカウントを許可すればOK・・・というのをすっかり忘れてました。。。
ご指摘ありがとうございます。

Answer 1

ファイルサーバーとWebサーバーは同じドメイン上にいます。

機能としては、Webサイト上でPDFを作成→PDFをWeb画面上に表示しつつファイルサーバーにファイルを保存という流れとなります。

ということであれば、IIS のワーカープロセスがファイルサーバーの目的のフォルダに読み書き権限を持っていれば良いということと理解します。

質問者さんが行っているように偽装を使うのが最も簡単だと思います。偽装するドメインアカウントの権限をできるだけ低く抑えておけばセキュリティリスクも問題ないレベルに抑えられるのではないでしょうか？

Webサーバーのアプリケーションプールの実行ユーザーでファイルサーバーにアクセスする事は設定上可能でしょうか？

Web サーバーもファイルサーバーも Active Directory ドメイン環境に属していれば、<domainname><machinename>$ というアカウントにファイルサーバーの目的のフォルダに対する必要なアクセス権を与えれば可能なはずです。。

詳しくは、以下の記事の「ネットワークへのアクセス」のセクションを見てください。

アプリケーション プール ID
https://docs.microsoft.com/ja-jp/previous-versions/ee886292(v=technet.10)?redirectedfrom=MSDN

Comments

[deranail]

ありがとうございました。
回答方法で解決出来ました。

ユーザーの追加からひたすら探していましたが、
ユーザーの追加、ではなくコンピューターの追加だったのですね。