将托管服务帐户与组件服务一起使用

Question

我负责部署的网站使用一些使用可信连接连接到SQL的COM +组件。该网站是一个经典的ASP站点，设置为在Server 2008上的IIS7下运行。

开发人员说应该将COM +组件设置为以交互式用户身份登录 - 这显然是错误的，因为这样的事情在正常情况下不会存在，当他们登录到使用RDP的测试服务器及其ID有权访问数据库。

理想情况下，我会将COM +组件配置为使用服务帐户。

但是，我们的组织已经强制要求使用Server 2008托管服务帐户而不是传统的服务帐户。我已尝试在COM +身份对话框中使用MSA，但它并不喜欢密码留空的事实。我怀疑COM +不支持MSA，但我的网络搜索技能无法在任何地方找到验证。

这似乎是使用MSA的另一个理想的地方，但我怀疑在这种情况下我们将不得不回到传统的服务帐户。

我的问题是有没有其他人尝试过使用带有COM +的MSA并且成功（例如直接在注册表中输入凭据）？在我证明使用传统服务帐户的合理性时，任何引用MSA不能与COM +合作的引用都是错误的。

非常感谢

**更新** 最后，我们为COM +服务的身份创建了传统的服务帐户，因为我们无法找到使用MSA的任何帮助

Answer 1

这是一个非常老的问题，我没有答案。我确实有建议，但没有足够的意见要发表。

尝试从MSA转到GMSA。如果将COM +应用程序设置为作为服务运行，而不是作为DCOM进程运行，则可以将服务设置为GMSA。 DCOM GUI允许您将组件设置为作为服务运行。

1. 在“身份”页面上，将Identity设置为Network Service
2. 在“激活”页面上，
   • 将Activation type设置为Server Application
   • 选择[*] Run Application as NT Service
3. 现在您的服务将会显示，您应该可以将“登录”设置为GMSA

您的应用程序在这种环境下可能会或可能无法运行，因此请对其进行测试。