¿Debo suplantar PHP a través de FastCGI?

Estoy instalando la última versión de PHP en IIS 7.5 a través de FastCGI, y todas las instrucciones dicen que FastCGI debe suplantar al cliente que llama configurando

 fastcgi.impersonate = 1

Si mi sitio web tendrá esta configuración

• grupo de aplicaciones dedicado
• identidad del grupo de aplicaciones de ApplicationPoolIdentity
• autenticación anónima solamente (como IUSR)

¿Por qué quiero suplantar?

Vengo de un fondo ASP.NET, donde el IUSR obtiene permisos de solo lectura y la identidad del grupo de aplicaciones obtiene permisos de escritura. Dar acceso de escritura al IUSR generalmente abre la puerta a vulnerabilidades de WebDAV. Así que dudo en dejar que PHP se ejecute como IUSR.

No puedo encontrar a muchas personas haciendo esta pregunta ( 1 | 2 ), así que creo que me falta algo. ¿Podría alguien aclararme esto?

13 meses después, quería revisar mi propia pregunta. En ese tiempo, transferí media docena de sitios web de IIS 6 a IIS 7.5 y los configuré con mi método preferido. Todo lo que puedo decir es que los sitios web funcionan, no han tenido ningún problema de seguridad (no es que sean sitios populares), y en mi opinión, la configuración es más segura de lo que recomienda learn.iis.net.

Para la posteridad, aquí están las configuraciones relevantes. En el PHP INI:

cgi.force_redirect = 0
cgi.fix_pathinfo=1
fastcgi.impersonate = 0

En IIS:

• Grupo de aplicaciones> Identidad> ApplicationPoolIdentity
• Sitio web> Autenticación> Autenticación anónima> Usuario específico: IUSR

Los permisos NTFS y dónde aplicarlos:

• IUSR - Grant Read, Deny Write
  • El directorio raíz del sitio web de IIS. Por ejemplo, en un proyecto de Zend Framework, este sería el directorio / public.
  • Si su aplicación carga archivos y los guarda en un directorio público, debe aplicar este permiso al directorio de carga temporal. Esto se debe a move_uploaded_fileque conservará los permisos del directorio de carga. Este es el mayor inconveniente de esta configuración de permisos que he encontrado.
• ApplicationPoolIdentity ( IIS AppPool\<<YourApplicationPoolName>>) - Grant Read & List
  • La raíz de su aplicación PHP. Por ejemplo, en un proyecto Zend Framework este sería el proyecto completo.
  • Cualquier biblioteca externa (Zend, Doctrine, etc.) incluida por su aplicación que no esté en la carpeta de la aplicación.
• ApplicationPoolIdentity - Grant Modify
  • Cualquier lugar en el que su aplicación va a escribir como upload_tmp_dir, session.save_path, y error_log.
  • A veces necesito agregar este permiso a la raíz de la aplicación PHP en mi entorno de desarrollo para admitir cosas como la generación automática de proxies de Doctrine .
• ApplicationPoolIdentity - Lista de subvenciones
  • Si su aplicación está en un directorio virtual, deberá agregar este permiso a la raíz del sitio web. Esto permite que su aplicación lea su web.config principal. Por ejemplo, si la raíz de su aplicación es http://example.com/MyPHPApp , configure este permiso en el directorio web de example.com. Específicamente, solo necesita aplicar a "Esta carpeta y archivos", "solo dentro de este contenedor".

Espero que esto ayude a cualquiera que decida que las instrucciones de learn.iis.net no son ideales.

Ver: http://www.php.net/manual/en/install.windows.iis6.php

Suplantación y acceso al sistema de archivos

Se recomienda habilitar la suplantación FastCGI en PHP cuando se usa IIS. Esto está controlado por la directiva fastcgi.impersonate en el archivo php.ini. Cuando se habilita la suplantación, PHP realizará todas las operaciones del sistema de archivos en nombre de la cuenta de usuario que ha sido determinada por la autenticación IIS.

Según la documentación, simplemente permite que fastcgi actúe en nombre del cliente utilizando todos los mismos permisos (en su caso, lo que parece ser la cuenta IUSR). En otras palabras, realizar todas las acciones normalmente permitidas a las credenciales propias del cliente (o anon). Ni mas ni menos. Sin este conjunto, imagino que los pobres fastcgi quedarían paralizados.