以前没有搞过Windows的Web的开发，不太清楚这个里面的最佳实践。

目前的感觉是：
IIS的身份一般不去动，因为是大家共享的
如果需要比较强的用户身份，而且比较固定，建议修改Application Pool的运行身份，另外建议创建自己的Application Pool，如果应用只是简单的需要某种身份访问系统中的资源，例如读写文件、服务数据库，那么建议简单的修改web.config，使用Impersonate指定一个用户。