IIS、SQL Server 與 ASP.NET 安全設定完整指南（上）：建立自訂 IIS 使用者帳戶

SQL Server、IIS 與 ASP.NET 各自提供堅實的安全模型，並能良好協同運作。微軟預設將各服務權限設至最低，但開發人員常面臨挑戰：如何在應用程式與資料之間建立適當的信任層級，又不留下安全漏洞？本系列將分三步驟說明最常用且可靠的設定方法，第一步為定義自訂 IIS 使用者帳戶。

為什麼需要自訂 IIS 使用者？

最安全的做法是建立一個權限最小化的專用帳戶，配置 IIS 以此身份執行 Web 應用程式。如此每位訪客僅擁有你明確授予的權限，大幅縮小攻擊面。

步驟 1：建立 Windows 使用者「DotNetKB」

1. 在 Windows 建立新使用者 DotNetKB，設定強式密碼。
2. 將其加入 Guests（來賓）群組，確保權限最低。
3. 勾選 「密碼永不過期」 與 「使用者無法變更密碼」。

步驟 2：配置 IIS 匿名存取身分識別

1. 開啟 Internet Information Services (IIS) 管理員。
2. 右鍵點選目標 Web 應用程式（如 DotNetKB_WebSite），選擇屬性。
3. 切換至 目錄安全性 標籤，點選「匿名存取和驗證控制」區塊的 編輯。
4. 在「使用者名稱」輸入 DotNetKB，取消勾選「允許 IIS 控制密碼」，輸入該帳戶密碼。
5. 點確定儲存至 IIS 設定資料庫。

完成後，IIS 將以此低權限帳戶執行你的 Web 應用程式。下一篇將說明如何授權此帳戶存取 SQL Server 並設定 ASP.NET 模擬。