[2003] Hoe extra (IIS) rechten te geven aan gebruikers?*

[max3D]

De situatie is als volgt:
Webserver2003 met een aantal mensen die hun domeinen moeten kunnen beheren in IIS. Het is ongewenst dat ze allemaal als admin inloggen.

Hoe geef ik een nieuwe groep users (zeg IIS_admins) het recht dit te doen? Bij local sec policies zijn dit geen standaard opties. Bij software restriction kan je vooral het tegendeel. De algemene vraag is dus of je je eigen set rechten kan bouwen (in een template?)

Vreemd genoeg kan ik het nergens vinden, terwijl er vast een voor de hand liggende oplossing is.

(shit, in topic titel W2k3 vergeten. Sorry. Modje?)

[ Voor 5% gewijzigd door max3D op 19-09-2005 15:28 ]

[alt-92]

Delegeren per site? Dus een Site_Admin aanmaken per site en daarop rechten delegeren.

[max3D]

Dat klinkt goed, maar hoe doe ik dat?

[elevator]

Al eens rondgekeken met Google? Als je de terman van BackSlash32 verengelst en in google intypt krijg je iets als [google=delegate permissions iis] en dan krijg je al aardig wat hits?

[max3D]

Me rotgezocht, maar nooit met delegate omdat ik niet wist dat het zo moest. Zal gaan zoeken.

[max3D]

Lang zoeken, maar nog niks zinnigs gevonden. Ik weet hoe het in AD moet, maar met webserver heb je dat nu eenmaal niet. Niemand een pointer?

Daarnaast vroeg ik me af ok ik niet de IIS5 methode zou kunnen gebruiken waarbij je gewoon de iisadmin directory kopieert, zodat iedere site beheerder zijn eigen iis heeft. Kan dat nog met iis6? (en ja daar heb ik ook al flink op gegoogled).

[alt-92]

max3D schreef op maandag 19 september 2005 @ 17:19:
Lang zoeken, maar nog niks zinnigs gevonden. Ik weet hoe het in AD moet, maar met webserver heb je dat nu eenmaal niet. Niemand een pointer?

(2 uur noem ik niet lang. Maar goed.)

Iets als een webadmin voor IIS?

[elevator]

Probeer dit eens: http://msmvps.com/bernard/archive/2005/05/08/46074.aspx ?

[Verwijderd]

max3D schreef op maandag 19 september 2005 @ 15:26:
De situatie is als volgt:
Webserver2003 met een aantal mensen die hun domeinen moeten kunnen beheren in IIS. Het is ongewenst dat ze allemaal als admin inloggen.

Hoe geef ik een nieuwe groep users (zeg IIS_admins) het recht dit te doen? Bij local sec policies zijn dit geen standaard opties. Bij software restriction kan je vooral het tegendeel. De algemene vraag is dus of je je eigen set rechten kan bouwen (in een template?)

Vreemd genoeg kan ik het nergens vinden, terwijl er vast een voor de hand liggende oplossing is.

(shit, in topic titel W2k3 vergeten. Sorry. Modje?)

het ligt eraan wat je wilt...

iis4 en iis5 had een website operator tab, maar die bestaat niet meer in iis6.
(kopie-en maken van de source dir lijkt me grote onzin, meerdere executables zouden dan op port 80 willen luisteren en da's niet mogelijk).

[max3D]

De link van elevator beschrijft een methode die perfect aansloot bij wat ik wilde. De mogelijkheid voor een limited iis console waarin de user alleen zijn eigen website(s) en app pools kan beheren.
Het treurige nieuws is dat ik de hele ochtend bezig ben geweest die methode toe te passen en het niet wil werken.
Het begint er natuurlijk mee dat ik geen groep aan een groep kan toekennen zonder AD, maar dat heb ik omzeild door gewoon een testuser rechtstreeks aan de IIS_WPG groep toe te kennen. Vervolgens alle stapjes netjes uitgevoerd. Propagation overal gecontroleerd, want wil nog wel eens wispelturig zijn, maar alle rechten stonden als beschreven. Resultaat echter noppes:
de testuser heeft inderdaad een eigen iis console, maar er wordt geen enkele website getoond. Er is ook rechtsklikkend op websites niet de optie om een nieuwe aan te maken.
Ten einde raad zekerheidshalve op het laatst de permissies op de hele schijf zo aangepast dat de testuser volledige rechten had. Maakte geen enkel verschil.
Alles drie keer opnieuw met kleine variaties geprobeerd (user wel lid IIS_WPG, IIS_WPG gelijke rechten geven als de testuser etc etc). Geen enkel verschil. Geen foutmelding. Gewoon geen sites zichtbaar.

iis5_rulez: wat ik wil is gewoon met wat mensen samen een server 2003 webedition delen, waarbij iedereen zijn eigen site kan beheren, maar niet bij die van de andere kan komen en er al zeker niet als admin ingelogd moet worden.

Ik vond overigens vlak voordat ik dit schreef een iis admin control panel. Geen idee of het goed werkt, ga het downloaden en testen. Je vindt het hier http://www.iis-resources....glefile.php?cid=13&lid=31