我对IIS很陌生，这是我正在努力解决的问题。
我有一个在IIS 7中运行的遗留Web应用程序（因此不易更改）。 此Web应用程序向用户显示可能敏感的个人数据的图像，但如果用户查看页面的源，则它们将显示在可通过任何浏览器直接查看的URL中。
我认为我需要做的是删除文件夹权限（图像所在的位置）以阻止人们直接浏览它们，然后创建另一个有权查看此文件夹的帐户，然后关联这个新创建的帐户使用运行该站点的应用程序池。
所以我的问题是这是正确的做法吗？如果是的话，我将如何实现（请记住，我是IIS和权限的完全新手）。
非常感谢任何帮助。
谢谢， 克雷格