将IIS 7.5 Web窗体连接到SQL Server的最佳方法

Question

我正在从以下版本升级ASP.NET 4.0应用程序：

Windows Server 2003和IIS 6

至：

Windows Server 2008和IIS 7.5

此应用程序基于ASP.NET Web窗体 ，而非MVC。 我目前使用SQL身份验证，但是我想在新环境中遵循最佳实践。

IIS 7.5计算机和SQL Server 2008计算机都将驻留在具有自己的域控制器的DMZ中 。 如果我们可以在Dev，Test和Prod环境中使用类似的连接字符串，那就太好了。 在这种情况下，最佳做法是什么？ 我已经阅读了三种选择。

1. 应用程序池标识
2. 在域上创建自己的服务帐户
3. SQL验证

这里是讨论相关问题的问题的链接，但是似乎没有什么可以回答我的具体问题。

用户ASP.NET运行在

向ApplicationPoolIdentity帐户分配权限

Answer 1

我建议使用AD帐户来运行应用程序池。 然后，可以在SQL Server上为该帐户创建权限。 然后，该应用程序使用的conn字符串将完全不必包含帐户信息（受信任的连接），并且您不必担心与安全性相关的事情。 作为额外的预防措施，请从所有用户组中删除该AD帐户，除了用于这一件事（应用程序池）之外，不要将其用于其他任何用途。 授予该用户对网站文件的读取访问权限，并仅对其需要写入的文件夹（例如转储日志文件）进行写入访问。

Answer 2

就最佳实践而言，我认为您列出的三个选项中的任何一个都不比另一个更好。 如果使用正确，它们所有人都可以安全有效地完成工作。 您的决定应基于考虑到您的特定环境，公司政策等因素中的哪一项可以为您带来优势，但是同样，这些都不是坏习惯。