將IIS 7.5 Web窗體連接到SQL Server的最佳方法

Question

我正在從以下版本升級ASP.NET 4.0應用程序：

Windows Server 2003和IIS 6

至：

Windows Server 2008和IIS 7.5

此應用程序基於ASP.NET Web窗體 ，而非MVC。 我目前使用SQL身份驗證，但是我想在新環境中遵循最佳實踐。

IIS 7.5計算機和SQL Server 2008計算機都將駐留在具有自己的域控制器的DMZ中 。 如果我們可以在Dev，Test和Prod環境中使用類似的連接字符串，那就太好了。 在這種情況下，最佳做法是什么？ 我已經閱讀了三種選擇。

1. 應用程序池標識
2. 在域上創建自己的服務帳戶
3. SQL驗證

這里是討論相關問題的問題的鏈接，但是似乎沒有什么可以回答我的具體問題。

用戶ASP.NET運行在

向ApplicationPoolIdentity帳戶分配權限

Answer 1

我建議使用AD帳戶來運行應用程序池。 然后，可以在SQL Server上為該帳戶創建權限。 然后，該應用程序使用的conn字符串將完全不必包含帳戶信息（受信任的連接），並且您不必擔心與安全性相關的事情。 作為額外的預防措施，請從所有用戶組中刪除該AD帳戶，除了用於這一件事（應用程序池）之外，不要將其用於其他任何用途。 授予該用戶對網站文件的讀取訪問權限，並僅對其需要寫入的文件夾（例如轉儲日志文件）進行寫入訪問。

Answer 2

就最佳實踐而言，我認為您列出的三個選項中的任何一個都不比另一個更好。 如果使用正確，它們所有人都可以安全有效地完成工作。 您的決定應基於考慮到您的特定環境，公司政策等因素中的哪一項可以為您帶來優勢，但是同樣，這些都不是壞習慣。