welchen User für Apache-Dienst mit Netzwerkzugriff

[porki 11]

Hallo,

ich brauche einen passen User im Active-Directory um den Apache Dienst für einen Webserver (Intranet) zu nutzen.

Standardmäßig wird der Apache-Dienst mit dem System-Benutzer Konto gestartet. Aber mit diesem kann ich nicht auf einen anderen Server lesend zugreifen, da der System-Benutzer ja nur lokale Rechte hat.

Welchen User könnte ich nehmen, ohne, dass ich dem zu viel Rechte gebe?

[NorbertFe 2.089]

vor 3 Minuten schrieb porki:

da der System-Benutzer ja nur lokale Rechte hat.

Dann gib ihm halt die Rechte auf dem Remote Ziel. Wozu glaubst du, hat ein Computer ein Konto im ad?

[porki 11]

Danke für die Antwort, leider tue ich mich da etwas schwer. Müsste ich jetzt dem Compter (Intranet-Server) in der AD Rechte geben (welche wären das), damit der lokale System-Benutzer Rechte hat auf den Fileserver?

Oh jetzt wo ich es geschrieben habe, fällt mir vielleicht die Lösung ein.

Müsste ich im AD auf dem Fileserver den Intranetserver unter Sicherheits-Registerkarte hinzufügen?

Hier fehlt mir wohl Hintergrundwissen.

[mwiederkehr 384]

Laut https://httpd.apache.org/docs/2.4/platform/windows.html wird ein Konto mit den Berechtigungen "Anmelden als Dienst" sowie "als Teil des Betriebssystems agieren" benötigt. Ich denke aber, "Anmelden als Dienst" sollte genügen. Da Windows keine privilegierten Ports kennt, reicht ein normaler Domänen-Benutzer mit diesem Recht.

 

Aber muss es Apache sein? Wenn möglich würde ich es mit dem IIS machen.

[NorbertFe 2.089]

vor 22 Minuten schrieb porki:

Müsste ich jetzt dem Compter (Intranet-Server) in der AD Rechte geben (welche wären das), damit der lokale System-Benutzer Rechte hat auf den Fileserver?

Nein dem Computerkonto (oder auch deinem Service userkonto) die rechte auf dem fileserver. Welche das sind, keine Ahnung, das musst du doch wissen. Vermutlich lesen und oder schreiben auf Share und ntfs.

[porki 11]

Danke mwiederkehr,

die Lösung von dem etwas unfreundlichen NorbertFe hat ausgereicht. 

[Dukel 457]

Alternativ (aber aufwändiger) kann man Kerberos nutzen. Mit "constrained delegation" greift der User auf die Ressourcen zu und kann berechtigt werden. Je nach Anforderungen kann man dies nutzen.