Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 

Azure Web Role의 AppPool 실행 권한을 Local System으로 바꾸는 방법

검색해 보면 이에 대해 다음의 글이 나옵니다.

Programmatically Changing the AppPool Identity in a Windows Azure Web Role
; http://www.wadewegner.com/2011/01/programmatically-changing-the-apppool-identity-in-a-windows-azure-web-role/

위의 소스 코드에서는 AppPool의 이름을 알아야 하는데, 문제는 Azure에서 기본적으로 만드는 AppPool의 이름이 예상할 수 없다는 점입니다. 그러니까, 대충 다음과 같이 AppPool 이름이 할당됩니다.

azure_web_role_identity_1.png

그런데, 위의 그림을 가만 보면 우리가 쓰는 AppPool 이외의 것은 어차피 사용하지도 않기 때문에 굳이 특정 AppPool의 이름을 바꾸려는 것보다는 모든 AppPool을 바꿔도 상관없다는 가정을 할 수 있습니다.

따라서, 다음과 같이 Console EXE 프로그램을 만들어 줄 수 있습니다.

using System;
using System.DirectoryServices;
using System.Threading;

class Program
{
    static int Main(string[] args)
    {
        string settingsDelay = Environment.GetEnvironmentVariable("SETTINGS_DELAY");
        if (string.IsNullOrEmpty(settingsDelay) == true)
        {
            return 0;
        }

        int delay = int.Parse(settingsDelay);
        Thread.Sleep(delay * 1000);

        var metabasePath = "IIS://localhost/W3SVC/AppPools";

        using (DirectoryEntry appPools = new DirectoryEntry(metabasePath))
        {
            foreach (DirectoryEntry appPool in appPools.Children)
            {
                if (appPool != null)
                {
                    appPool.InvokeSet("AppPoolIdentityType", new Object[] { 0 }); // 0 == LOCAL SYSTEM
                    appPool.Invoke("SetInfo", null);

                    appPool.CommitChanges();
                }
            }
        }

        return 0;
    }
}

그리고 .csdef에 예전에 설명했던 것처럼,

Azure Cloud Service 배포시 사용자 정의 작업을 추가하는 방법
; https://www.sysnet.pe.kr/2/0/11022

IIS - appcmd.exe를 이용해 특정 페이지에 클라이언트 측 인증서를 제출하도록 설정하는 방법
; https://www.sysnet.pe.kr/2/0/11125

권한이 상승된 Task로 등록해 주면 됩니다.

<?xml version="1.0" encoding="utf-8"?>
<ServiceDefinition name="..." xmlns="..." schemaVersion="2015-04.2.6">
  <WebRole name="..." vmsize="...">
    <Startup>
      ...[생략]...
      <Task commandLine="MakeLocalSystem.exe" executionContext="elevated" taskType="background">
        <Environment>
          <Variable name="SETTINGS_DELAY" value="5" />
        </Environment>
      </Task>
      ...[생략]...
    </Startup>
    ...[생략]...
  </WebRole>
</ServiceDefinition>




참고로, "Programmatically Changing the AppPool Identity in a Windows Azure Web Role" 글에서는 이 작업을 RoleEntryPoint 클래스의 OnStart에 실어서 하는 걸로 나옵니다.

RoleEntryPoint
; https://docs.microsoft.com/en-us/previous-versions/azure/reference/ee758619(v=azure.100)

RoleEntryPoint를 상속받은 클래스를 Azure Web Role 프로젝트에 포함한 경우, Azure는 별도의 WaIISHost.exe(Windows Azure Web Role Entry Point Host) 프로세스를 실행시켜 사용자가 정의한 RoleEntryPoint 상속 클래스를 만들어 실행해 줍니다. 재미있는 것은 이 프로세스의 실행 계정이 "NETWORK SERVICE"라는 점입니다. 의미인즉, 이 실행 권한으로는 AppPool의 계정 변경을 할 수 없다는 것입니다.

따라서, 저 글에서 설명한 데로 하면 안 되고, .csdef + Task를 정의해 elevated 권한으로 해당 코드를 실행시켜줘야만 합니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]







[최초 등록일: ]
[최종 수정일: 7/17/2021]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 




... 106  107  108  [109]  110  111  112  113  114  115  116  117  118  119  120  ...
NoWriterDateCnt.TitleFile(s)
11232정성태6/28/201719588Windows: 144. Windows Server 2016에 Windows Identity Extensions을 설치하는 방법
11231정성태6/28/201719522디버깅 기술: 86. windbg의 mscordacwks DLL 로드 문제 - 세 번째 이야기 [1]
11230정성태6/28/201718936제니퍼 .NET: 26. 제니퍼 닷넷 적용 사례 (6) - 잦은 Recycle 문제
11229정성태6/27/201720341오류 유형: 402. Windows Server Backup 관리 콘솔이 없어진 경우
11228정성태6/26/201717462개발 환경 구성: 320. Visual Basic .NET 프로젝트에서 내장 Manifest 자원을 EXE 파일로부터 제거하는 방법파일 다운로드1
11227정성태6/19/201725896개발 환경 구성: 319. windbg에서 python 스크립트 실행하는 방법 - pykd [6]
11226정성태6/19/201717014오류 유형: 401. Microsoft Edge를 실행했는데 입력 반응이 없는 경우
11225정성태6/19/201716258오류 유형: 400. Outlook - The required file ExSec32.dll cannot be found in your path. Install Microsoft Outlook again.
11224정성태6/13/201718754.NET Framework: 661. Json.NET의 DeserializeObject 수행 시 속성 이름을 동적으로 바꾸는 방법파일 다운로드1
11223정성태6/12/201717688개발 환경 구성: 318. WCF Service Application과 WCFTestClient.exe
11222정성태6/10/201721841오류 유형: 399. WCF - A property with the name 'UriTemplateMatchResults' already exists.파일 다운로드1
11221정성태6/10/201718895오류 유형: 398. Fakes - Assembly 'Jennifer5.Fakes' with identity '[...].Fakes, [...]' uses '[...]' which has a higher version than referenced assembly '[...]' with identity '[...]'
11220정성태6/10/201723702.NET Framework: 660. Shallow Copy와 Deep Copy [1]파일 다운로드2
11219정성태6/7/201718829.NET Framework: 659. 닷넷 - TypeForwardedFrom / TypeForwardedTo 특성의 사용법
11218정성태6/1/201721766개발 환경 구성: 317. Hyper-V 내의 VM에서 다시 Hyper-V를 설치: Nested Virtualization
11217정성태6/1/201717913오류 유형: 397. initerrlog: Could not open error log file 'C:\...\MSSQL12.MSSQLSERVER\MSSQL\Log\ERRORLOG'
11216정성태6/1/201719610오류 유형: 396. Activation context generation failed
11215정성태6/1/201721263오류 유형: 395. 관리 콘솔을 실행하면 "This app has been blocked for your protection" 오류 발생 [1]
11214정성태6/1/201718658오류 유형: 394. MSDTC 서비스 시작 시 -1073737712(0xC0001010) 오류와 함께 종료되는 문제 [1]
11213정성태5/26/201724035오류 유형: 393. TFS - The underlying connection was closed: Could not establish trust relationship for the SSL/TLS secure channel.
11212정성태5/26/201723295오류 유형: 392. Windows Server 2016에 KB4019472 업데이트가 실패하는 경우
11211정성태5/26/201722143오류 유형: 391. BeginInvoke에 전달한 람다 함수에 CS1660 에러가 발생하는 경우
11210정성태5/25/201722457기타: 65. ActiveX 없는 전자 메일에 사용된 "개인정보 보호를 위해 암호화된 보안메일"의 암호화 방법
11209정성태5/25/201770090Windows: 143. Windows 10의 Recovery 파티션을 삭제 및 새로 생성하는 방법 [16]
11208정성태5/25/201728845오류 유형: 390. diskpart의 set id 명령어에서 "The specified type is not in the correct format." 오류 발생
11207정성태5/24/201729680Windows: 142. Windows 10의 복구 콘솔로 부팅하는 방법
... 106  107  108  [109]  110  111  112  113  114  115  116  117  118  119  120  ...