Configurare IIS (6) per l'accesso ad una share CIFS

[intruder_it]

Hola,

ho un problema che purtroppo nonostante abbia tentato tutti i classici workaround che conosco per IIS non riesco a risolvere, spero che qualcuno qui ci sia già passato e sappia magari mettermi sulla giusta strada:

Devo far accedere ad un server IIS6 (quindi win2k3) ad una share CIFS di un NAS non in dominio.

Purtroppo nonostante vari tentativi continuo a beccarmi un bel 401 quando provo ad aprire le folder sul NAS da web o anche da browse locale di IIS.

Ho provato a:

1. Creare un utenza locale di sistema, assegnarla all'application pool di IIS.
2. Connettere la share CIFS chiamandola in UNC (\\indirizzoserver\path\alla\folder) e settando delle credenziali sia come user che come NOMEMACCHINAREMOTA\User.
3. Creare un utenza con lo stesso nome e la stessa password sia su un server che sul NAS e usare quella come utenza per l'app pool di IIS.
4. Abilitare la basic authentication in IIS e provare il login tramite quella, nada.
5. Modificare manina i meta di IIS e a mettere come protocollo di autenticazione primario NTLM.
6. Abilitare nelle Local Security Policies la delega dei permessi tra gli acocunt.
7. Sempre nelle Loal Security Policies ho anche abilitato l'utente associato all'App pool di iis nell'elenco di utenti abilitati per il login remoto.

Se può essere utile si tratta di una VM su quella fogna di Ospit@ Virtuale e il NAS è quello che ti mette a disposizione la piattaforma telecom.
Il NAS lo riesco a mappare correttamente e ad accederci, è solo IIS che mi da access denied.

Qualche idea?

[Tasslehoff]

Finché iis girerà con local system non accederai all e share, devi far girare il servizio con una utenza che abbia permessi sufficienti a leggere i file sulla share

[intruder_it]

Originariamente inviato da Tasslehoff

Finché iis girerà con local system non accederai all e share, devi far girare il servizio con una utenza che abbia permessi sufficienti a leggere i file sulla share

Ciao, l'ho già fatto al punto 1.
Ho dato all'application pool un utenza di sistema diversa da Local System o da Network Service. Non va una sega lo stesso.

[stef07]

Hai provato a settare l' anonymous autentication sulla virtual dir che punta allo share, indicando come utenza una locale creata sulla tua macchina uguale a quella definita sul NAS ? Ti serve anche il directory browser ?

[Kaya]

Hai già provato a rimuovere l'autenticazione via user/pass e vedere se così accede?

[intruder_it]

Ciao,

Nelle impostazioni della virtual directory non mi permette di evitare di fornire le credenziali di accesso alla network share, il campo deve essere popolato.

Ho provato a dare come utenza per l'anonymous authentication quella con la stessa user e password che c'è sul NAS ma da lo stesso 401.

[Tasslehoff]

Originariamente inviato da intruder_it

Ciao, l'ho già fatto al punto 1.
Ho dato all'application pool un utenza di sistema diversa da Local System o da Network Service. Non va una sega lo stesso.

Attenzione, mi riferivo all'utenza con cui gira IIS in toto, non all'utenza dell'application pool.

Non so se sul website che utilizzi e che punta alla share gira una applicazione oppure se semplicemente è un website (o una virtual directory) statico e la DirectoryRoot (o la virtual directory) punta alla share, se così fosse non servirebbe alcuna applicazione o application pool.

Quello che hai è un problema tipico di Windows nell'accesso alle share tramite servizi, a me è capitato un problema simile usando però come webserver Lotus Domino al posto di IIS.

[intruder_it]

Ah! Merda, ma l'utente con cui gira in IIS in generale è configurabile?
Io sapevo di no!

Cmq si, il sito è statico e hai ragione l'app pool in teoria non serve a una mazza.

[Tasslehoff]

Originariamente inviato da intruder_it

Ah! Merda, ma l'utente con cui gira in IIS in generale è configurabile?
Io sapevo di no!

Assolutamente sì, basta andare nelle proprietà del servizio, tab connessione e definire l'utente locale che verrà utilizzato per far girare il servizio.

[intruder_it]

Ho provato ma allo startup del servizio mi da Error 5 Access Denied.
Ho provato a mettere l'utente nel gruppo Administrators per vedere se cambiava qualcosa ma da lo stesso errore.
Ho seguito anche questa KB: http://support.microsoft.com/kb/325349 (Method 2) ma nada.

[stef07]

giusto per sicurezza, se a livello di share e ntfs, sul nas imposti acl su everyone full control funziona ?

[intruder_it]

Ciao!

purtroppo non ho questa possibilità, i settaggi che posso applicare al NAS di Ospit@ virtuale sono ridotti all'osso.

[Tasslehoff]

Originariamente inviato da intruder_it

Ciao!

purtroppo non ho questa possibilità, i settaggi che posso applicare al NAS di Ospit@ virtuale sono ridotti all'osso.

Ok però l'utente con cui gira il servizio deve poter accedere alla share, almeno in lettura (a meno che si tratti di un website con webdav che deve anche scrivere), altrimenti la vedo difficile come cosa...

[intruder_it]

Non mi sono spiegato bene, posso creare nuove utenze sul NAS con full control ma non posso definire i permessi a livello di "everyone".

Comunque W3SVC con un utenza diversa da quella di default non mi parte.