Iis7.0: Настройка безопасности веб-сервера

В целях безопасности службы IIS 7 не устанавливаются в операционной системе Windows Server® 2008 по умолчанию. При установке служб IIS 7 веб-сервер настраивается на предоставление только статического содержимого. Это включает HTML-файлы и файлы изображений.

В следующем списке описаны новые компоненты безопасности в службах IIS 7 и вкратце приведены их преимущества:

• Новая встроенная группа Windows под названием IIS_IUSRS замещает локальную группу IIS_WPG. А новая встроенная учетная запись Windows под названием IUSRS замещает локальную анонимную учетную запись IUSR_MachineName, взятую из IIS 6.0. Однако учетная запись IUSR_MachineNameпродолжает использоваться для протокола FTP. В совокупности эти изменения обеспечивают четыре преимущества.

  • Возможность использования настраиваемой анонимной учетной записи без отключения анонимной учетной записи в службах IIS.

  • Поддержка постоянных списков управления доступом на нескольких веб-серверах с помощью общего идентификатора безопасности.

  • Улучшение процесса DCPROMO – локальная анонимная учетная запись не сможет стать учетной записью домена.

  • Устранение необходимости в управлении паролями.

• Можно настроить список ограничений IP-адресов для запрещения доступа к содержимому с отдельного компьютера, из группы компьютеров, из домена или со всех IP-адресов и указанных в списке записей. Это обеспечивает наследование и объединение правил ограничения доступа с IP-адресов, которые используются в дополнение к поддержке разрешения и запрещения доступа в службах IIS 6.0.

• Функциональные возможности средства безопасности UrlScan 2.5 в службах IIS 7. Это приводит к устранению необходимости использования отдельного средства.

• Службы IIS 7 поддерживают авторизацию URL-адресов в собственном коде. В целях согласованности в этом изменении предоставляется поддержка всех функциональных возможностей существующих внедрений управляемого кода ASP.NET.

Настройка компонентов безопасности в службах IIS 7 включает следующие задачи:

Iis 7.0: Настройка проверки подлинности в iis 7.0

IIS 7.0: Настройка проверки подлинности в IIS 7.0

************

0. Уровень веб-сервера.

Папка "Ограничения ISAPIиCGI. Должно стоять "Разрешено" для следующих типов расширений:

Active Server Pages (%windir%\System32\inetsrv\asp.dl;

ASP.NET v2.050727 (%windir%\Microsoft.NET\Framework\v2.0.50727\aspnet_isapi.dl);

WebDAV (%windir%\System32\inetsrv\webdav.dl);

Папка "Проверка подлинности".Должна быть включена "Анонимная проверка подлинности". По щелчку правой кнопки выбрать "Изменить". Выбрать "Указанный пользователь" и "Установка". Ввести имя учетной записи с правами администратора, пароль и подтверждение пароля.

1. Уровень: сайты. Сделать клик для проверки состояния веб сервера

*работает или не работает;

*тип привязки (порт, протокол);

*путь к физическому каталогу (C:\Programfiles\inagent).

2. Уровень DefaultWebSite. На странице просмотр возможностей двойным щелчком открыть папку "Модули" и проверить наличие следующих модулей обычного кода, обрабатывающих запросы к веб-серверу:

*CgiModule (%windir%\System32\inetsrv\cgi.dll);

*FastCgiModule (%windir%\System32\inetsrv\iisfcgi.dll);

*IsapiModule (%windir%\System32\inetsrv\isapi.dll);

***********

Проверка подлинности способствует подтверждению удостоверений клиентов, которые запрашивают доступ к узлам и приложениям. Службы IIS 7 по умолчанию поддерживают анонимную проверку подлинности и встроенную проверку подлинности Windows.

Службы IIS 7 поддерживают и метод проверки подлинности на основе вызовов, и метод проверки подлинностина основе перенаправления входа. Метод проверки подлинности на основе вызовов (например, встроенная проверка подлинности Windows) нуждается в правильном ответе клиента на вызов со стороны сервера. Метод проверки подлинности на основе перенаправления входа (например, проверка подлинности с помощью форм) полагается при определении удостоверения пользователя на страницу входа. Невозможно использовать оба этих метода одновременно.

IIS 7 также поддерживают проверку подлинности сертификата клиента, что требует настройки протокола SSL для узла. Дополнительные сведения о сертификатах клиента см. в разделе IIS 7.0: Настройка сертификатов сервера в IIS 7.0.

Сведения об уровнях, на которых можно выполнить эти процедуры, а также о модулях, обработчиках и разрешениях, требуемых для выполнения этих процедур, см. в разделе IIS 7.0: Требования к функциям проверки подлинности.

Настройка проверки подлинности в IIS 7.0 состоит из следующих процедур:

IIS 7.0: Настройка удостоверения анонимной проверки подлинности

IIS 7.0: Настройка проверки подлинности с использованием олицетворения ASP.NET.

IIS 7.0: Настройка обычной проверки подлинности

IIS 7.0: Настройка подлинности с сопоставлением сертификата клиента

IIS 7.0: Настройка дайджест-проверки подлинности

IIS 7.0: Настройка проверки подлинности с помощью форм

IIS 7.0: Настройка проверки подлинности Windows

IIS 7.0: Настройка правил адресов IPv4 и имен доменов

IIS 7.0: Настройка правил авторизации URL-адресов в IIS 7.0

IIS 7.0: Настройка сертификатов сервера в IIS 7.0

IIS 7.0: Настройка ограничений для ISAPI и CGI в IIS 7.0

IIS 7.0: Настройка протокола SSL в службах IIS 7.0

IIS 7.0: Настройка фильтрации запросов

IIS 7.0: Настройка общей конфигурации