从 Web 服务安全访问 Windows 网络共享

Question

我们开发了一个 RESTful Web 服务，它需要访问网络共享才能读取和写入文件。这是一个面向公众的 Web 服务（通过 SSL 运行），要求员工使用指定的用户名和密码登录。

此网络服务将在 DMZ 中运行。从 DMZ 访问网络共享似乎并不“正确”。我冒昧地猜测这样做的“安全”方法是在域内提供另一个服务只与我们的 Web 服务对话。这样一来，如果有人想利用它，他们就必须通过 Web 服务找到一种方法，而不是通过已知的系统 API。

我的解决方案“正确”吗？有没有更好的办法？

注意事项：

• Web 服务不在 IIS 下运行。
• Web 服务当前在可以访问网络共享和 SQL 数据库的帐户下运行。
• Web 服务仅适用于指定人员，而非公众。
• 我是一名开发人员，而不是 IT 专业人员。

Answer 1

使用内部资源的某种 vpn 怎么样？对此有一些很好的解决方案，而向互联网开放网络共享似乎风险太大。

除此之外，当攻击者使用这些 Web 服务闯入您的 DMZ 主机时，他可以使用相同的 API 闯入您的内部服务器，除非您有能力创建两个完全不同的解决方案。

当直接从 DMZ 访问文件服务器时，您将使用防火墙限制这些连接，因此即使在破坏您的 DMZ 主机之后，攻击者也无法执行“所有操作”，而只能读取（写入？）这些服务器。

我建议#2