Apache executando como conta do sistema local, como acessar outros recursos da rede?

Question

• Apache 2.2, Windows Server 2003 R2
• Apache iniciado automaticamente como serviço, faça logon como conta do sistema local
• diferentes vhosts configurados

O que (módulo do apache?) preciso configurar para que, por exemplo, um script pode saída de um arquivo para um servidor de aplicativos em um caminho específico? O caminho é acessível com permissões de leitura e gravação para um usuário ou grupo gerenciado por diretório ativo. Servidor Web e servidor de aplicativos são máquinas diferentes, ambas gerenciadas por diretório ativo.

Os diferentes vhosts se comunicam com diferentes hosts em um nível de arquivo principalmente XML ou arquivos de texto.

Mudar para um usuário do diretório ativo executando o processo do apache não é uma solução!

    

Answer 1

LocalSystem é, obviamente, reconhecido apenas pelo SAM do sistema local. Por isso, claramente não pode ser autenticado por nenhum outro servidor.

Na verdade, você descartou a solução típica para problemas como este: alterar a conta na qual o serviço Apache é executado. Crie uma conta de serviço específica em seu domínio para ela (por exemplo, "ApacheServiceOnServer1" ), verifique se ela não está em nenhum grupo (nem mesmo 'usuários') e adicione uma ACL para ApacheServiceOnServer1 para os diretórios específicos para os quais ele precisa ler / gravar. Certifique-se de que a ACL tenha apenas as permissões exatas de que precisa - por exemplo, se não precisar excluir arquivos nesse diretório, não conceda essa priv. Preste atenção à herança também. Desta forma, você limita o acesso do serviço Apache a somente aquelas coisas exatas que ele precisa fazer.

Se o acima não é adequado para você, então você fica com duas opções:

1: Seu script (que grava em algum compartilhamento de rede) deve incluir uma etapa de autenticação, para que ele forneça creds reconhecidos pelo outro servidor.

2: Solte a segurança do compartilhamento no qual o script está sendo gravado, permitindo que o usuário "Todos" grave nele. Isso exigirá que você ative a conta "Convidado" no outro servidor.