Connexion

Select the product you need help with

Comment faire pour acc�der � des fichiers du r�seau � partir d'applications IIS

Num�ro d'article: 207671 - Voir les produits auxquels s'applique cet article

Cet article peut contenir des liens vers des informations en langue anglaise (pas encore traduites).

Cet article contient des informations relatives � des probl�mes qui apparaissent lorsque vous acc�dez � des fichiers d'un ordinateur autre que votre serveur Internet Information Server (IIS) � partir d'une extension ISAPI (Internet Server API), de pages ASP (Active Server Pages) ou d'une application CGI (Common Gateway Interface). Outre certains probl�mes se rapportant au sujet, cet article r�pertorie quelques m�thodes qui permettent de les contourner.

Bien qu'il s'agisse principalement d'un article r�dig� dans le contexte de l'acc�s � des fichiers sur des partages r�seau, les m�mes concepts s'appliquent �galement aux connexions aux canaux nomm�s. Les canaux nomm�s sont fr�quemment utilis�s non seulement pour des connexions SQL Server, mais aussi pour des communications RPC (appel de proc�dure � distance) et COM (mod�le d'objet composant). Et notamment, si vous vous connectez � un serveur SQL Server sur le r�seau configur� pour utiliser la s�curit� int�gr�e de Microsoft Windows�NT, la connexion s'av�re impossible en raison des probl�mes soulign�s dans le pr�sent article. RPC et COM peuvent �galement utiliser d'autres m�canismes de communication poss�dant des sch�mas d'authentification r�seau semblables. Les concepts d�crits dans cet article peuvent ainsi s'appliquer � une large vari�t� de m�canismes de communication au r�seau qui sont accessibles � partir de vos applications IIS.

Authentification et types d'emprunt d'identit�

Lorsqu'il r�pond � une requ�te HTTP, IIS effectue un emprunt d'identit� de sorte que l'acc�s aux ressources permettant de g�rer la requ�te soit limit� de fa�on appropri�e. Le contexte de s�curit� avec emprunt d'identit� se base sur le type d'authentification employ� pour la requ�te. Les cinq diff�rents types d'authentification disponibles � partir de IIS�4.0 sont les suivants�:

Type d'authentification                           Type d'emprunt d'identit�
  
Acc�s anonyme (aucune authentification)           R�seau
Synchronisation automatique du mot de passe �
ON (ON=valeur par d�faut)
 
Acc�s anonyme (aucune authentification)           Texte en clair IIS
Synchronisation automatique du mot de passe � OFF

Authentification de base                       Texte en clair IIS

Authentification Stimulation/r�ponse Windows�NT   R�seau

Mappage du certificat SSL client                  Interactif

Types de jetons

L'autorisation d'acc�der aux ressources du r�seau d�pend du type de jeton d'emprunt d'identit� utilis� pour le traitement de la demande.

Les jetons de r�seau "NE SONT PAS" autoris�s � acc�der aux ressources du r�seau. (Les jetons de r�seau sont nomm�s ainsi parce qu'un serveur cr�e g�n�ralement ce type de jetons lorsqu'un utilisateur est authentifi� sur le r�seau. Autoriser le serveur � utiliser un jeton de r�seau pour agir comme un client du r�seau et acc�der � un autre serveur s'intitule "d�l�gation"�; cette action est consid�r�e comme une faille possible en mati�re de s�curit�.)
Les jetons interactifs sont g�n�ralement employ�s pour authentifier un utilisateur local sur l'ordinateur. Les jetons interactifs permettent d'acc�der aux ressources du r�seau.
Les jetons de lots sont con�us pour offrir un contexte de s�curit� permettant l'ex�cution de programmes de commandes par lot. Les jetons de lot disposent d'un acc�s au r�seau.

IIS comprend le concept d'ouverture de session en Texte en clair Une ouverture de session de type Texte en clair est nomm�e ainsi parce que IIS acc�de au nom d'utilisateur et au mot de passe avec le texte en clair. Vous pouvez contr�ler si une connexion de type Texte en clair cr�e un jeton de r�seau, un jeton interactif ou un jeton de lot en param�trant la propri�t� LogonMethod dans la m�tabase. Par d�faut, les ouvertures de session en Texte en clair re�oivent un jeton interactif et ont acc�s aux ressources du r�seau. Vous pouvez configurer le param�tre LogonMethod au niveau du serveur, du site, du r�pertoire virtuel, du r�pertoire ou du fichier.

Un acc�s anonyme emprunte l'identit� du compte configur� � la fa�on de l'utilisateur anonyme pour la requ�te. Par d�faut, IIS dispose d'un compte utilisateur anonyme unique appel� IUSR_<nom_machine> qui fonctionne avec un emprunt d'identit� lorsqu'une demande non authentifi�e est g�r�e. Par d�faut, IIS�4.0 est dot� d'une fonction configurable appel�e "Activer la synchronisation automatique du mot de passe" qui cr�e le jeton en utilisant une sous-autorit� de s�curit�. Les jetons ainsi cr��s sont des jetons de r�seau qui "N'ONT PAS" acc�s aux autres ordinateurs du r�seau. Si vous d�sactivez la synchronisation automatique du mot de passe, IIS cr�e le jeton de la m�me mani�re que pour une ouverture de session de type Texte en clair mentionn� pr�c�demment. Une synchronisation automatique du mot de passe n'est possible que pour des comptes se trouvant sur le m�me ordinateur que IIS. En cons�quence, si vous changez votre compte anonyme pour un compte de domaine, vous ne pouvez pas employer la synchronisation automatique du mot de passe et vous obtenez une ouverture de session de type Texte en clair. Il existe pourtant une exception, si vous installez IIS sur votre contr�leur principal de domaine. Dans ce cas, les comptes du domaine sont sur l'ordinateur local. Vous pouvez configurer le compte anonyme et l'option de synchronisation automatique du mot de passe au niveau du serveur, du site, du r�pertoire virtuel, du r�pertoire ou du fichier.

La premi�re �tape d'acc�s � une ressource du r�seau consiste � avoir le type de jeton appropri�. Vous devez �galement emprunter l'identit� d'un compte qui dispose d'un acc�s � la ressource sur le r�seau. Par d�faut, le compte IUSR_<nom_machine> cr�� par IIS pour des demandes anonymes n'existe que sur l'ordinateur local. M�me si vous d�sactivez la synchronisation automatique du mot de passe pour pouvoir obtenir un jeton interactif capable d'acc�der aux ressources du r�seau, le compte IUSR_<nom_machine> n'acc�de g�n�ralement pas � la plupart des ressources du r�seau car il s'agit d'un compte non-reconnu par d'autres ordinateurs. Pour acc�der aux ressources du r�seau avec des demandes anonymes, vous devez remplacer le compte par d�faut par un compte d'un domaine de votre r�seau qui peut �tre reconnu par tous les ordinateurs. Si vous installez IIS sur un contr�leur de domaine, le compte IUSR_<nom_machine> devient alors un compte de domaine et doit �tre reconnu par d'autres ordinateurs du r�seau sans entreprendre d'actions suppl�mentaires.

Pr�vention des probl�mes

Les suggestions suivantes pr�sentent des moyens d'�viter des probl�mes lorsque vous acc�dez aux ressources du r�seau � partir de votre application IIS�:

Conserver les fichiers sur l'ordinateur local.
Certaines m�thodes de communication du r�seau ne n�cessitent pas de contr�le de s�curit�. L'utilisation des sockets Windows en est un exemple.
Vous pouvez fournir un acc�s direct aux ressources du r�seau de l'ordinateur en configurant un r�pertoire virtuel pour qu'il soit�:
��Un partage situ� sur un autre ordinateur.��
Tout acc�s � l'ordinateur qui partage les ressources du r�seau est r�alis� dans le contexte de la personne sp�cifi�e dans la bo�te de dialogue Se connecter en tant que. Ceci se produit quel que soit le type d'authentification configur� pour le r�pertoire virtuel. Cette option permet l'acc�s � tous les fichiers du partage r�seau � partir des navigateurs qui acc�dent � l'ordinateur IIS.
Utiliser une authentification de base ou une authentification anonyme sans synchronisation automatique du mot de passe.

Par d�faut, l'emprunt d'identit� qu'effectue Internet Information Server pour une authentification de base fournit un jeton capable d'acc�der des ressources du r�seau (contrairement � la Simulation/r�ponse Windows�NT qui fournit un jeton ne pouvant pas acc�der � des ressources du r�seau). Pour une authentification anonyme, le jeton ne peut acc�der � une ressource du r�seau que si la synchronisation automatique du mot de passe est d�sactiv�e. Par d�faut, la synchronisation automatique du r�seau est activ�e lors de la premi�re installation de Internet�Information�Server. Dans une telle configuration par d�faut, le jeton de l'utilisateur anonyme ne peut pas acc�der aux ressources du r�seau. Pour plus d'informations sur la synchronisation automatique du mot de passe dans IIS, cliquez sur les num�ros ci-dessous pour afficher les articles correspondants dans la Base de connaissances Microsoft.
190005
(http://support.microsoft.com/kb/190005/ )
Un site configur� pour un acc�s anonyme demande le mot de passe de l'utilisateur
259353
(http://support.microsoft.com/kb/259353/ )
Obligation d'entrer manuellement un mot de passe apr�s avoir opt� pour la synchronisation du mot de passe
Configurer le compte anonyme comme un compte de domaine.

Ceci permet � des demandes anonymes d'acc�der �ventuellement � des ressources du r�seau. Pour interdire � toutes les demandes anonymes d'acc�der au r�seau, il vous suffit de transformer le compte anonyme en compte de domaine sur les r�pertoires virtuels qui requi�rent sp�cifiquement cet acc�s.
Configurer le compte anonyme avec le m�me nom d'utilisateur et mot de passe sur l'ordinateur qui partage les ressources r�seau, puis d�sactiver la synchronisation automatique du mot de passe.

En proc�dant ainsi, vous devez vous assurer que les mots de passe correspondent exactement. Cette approche ne doit �tre employ�e que lorsque certaines raisons vous obligent � opter pour "Configurer le compte anonyme en tant que compte de domaine", mentionn�e pr�c�demment
Vous pouvez utiliser NullSessionShares et NullSessionPipes pour autoriser un acc�s � un partage de r�seau sp�cifique ou � un canal nomm� si votre requ�te est g�r�e avec un jeton de r�seau.

Si vous disposez d'un jeton de r�seau et tentez d'�tablir une connexion vers une ressource du r�seau, le syst�me d'exploitation tente alors d'�tablir une connexion en tant que connexion non authentifi�e (r�f�renc�e comme une "session NULL"). Vous devez effectuer ce param�trage du Registre sur l'ordinateur qui partage la ressource de r�seau et non sur l'ordinateur IIS. Si vous tentez d'acc�der � un NullSessionShare ou un NullSessionPipe avec un jeton qui n'est pas un jeton de r�seau, une authentification Microsoft Windows est alors employ�e et l'acc�s � la ressource s'appuie sur les droits d'utilisateur du compte de l'utilisateur avec emprunt d'identit�.
Vous pouvez �ventuellement r�aliser votre propre emprunt d'identit� pour cr�er un jeton Thread ayant effectivement un acc�s au r�seau.

Les fonctions LogonUser et ImpersonateLoggedOnUser peuvent �tre utilis�es pour emprunter l'identit� d'un compte diff�rent. Ceci vous oblige � avoir le nom d'utilisateur et le mot de passe "Texte en clair" d'un autre compte disponible pour votre code. LogonUser impose �galement que le compte qui appelle LogonUser dispose du privil�ge "Agir en tant que partie du syst�me d'exploitation" dans le Gestionnaire d'utilisateurs. Par d�faut, la plupart des utilisateurs pour lesquels IIS emprunte l'identit� alors qu'il g�re une requ�te HTTP, ne disposent pas de ce droit utilisateur. Toutefois, pour des applications "intra-processus", il existe plusieurs moyens de modifier votre contexte de s�curit� actuel pour le compte LocalSystem, qui dispose bien des informations d'identification administratives "Agir en tant que partie du syst�me d'exploitation". Pour des DLL ISAPI intra-processus, le meilleur moyen de modifier le contexte de s�curit� qu'IIS a cr�� pour le compte LocalSystem est d'appeler la fonction RevertToSelf. Si vous ex�cutez votre application IIS "hors processus", ce m�canisme ne fonctionne pas par d�faut car le processus est ex�cut� avec le compte IWAM_<nom_machine> et non le compte du syst�me local (LocalSystem). Par d�faut, le compte IWAM_<nom_machine> "NE DISPOSE PAS" des informations d'identification administratives "Agir en tant que partie du syst�me d'exploitation".
Ajoutez le composant appel� � partir de la page ASP au module serveur MTS (Microsoft Transaction Server) ou � une application serveur COM+, puis indiquez un utilisateur sp�cifique comme identit� du module.

Remarque Le composant s'ex�cute dans un fichier .exe distinct ext�rieur � IIS.
Avec l'authentification de base/en texte clair, nous vous recommandons de chiffrer les donn�es � l'aide de SSL parce qu'il est extr�mement facile d'obtenir des r�f�rences � partir d'une trace r�seau. Pour plus d'informations sur la fa�on d'installer SSL, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft.
228991
(http://support.microsoft.com/kb/228991/ )
Comment faire pour cr�er et installer un certificat SSL dans Internet�Information�Server�4.0

Remarque N'oubliez pas que vous pouvez emp�cher l'acc�s au r�seau pour les demandes anonymes lorsque la synchronisation de mot de passe est d�sactiv�e et les demandes sont authentifi�es gr�ce � l'authentification de base (ouvertures de session en texte clair) si vous d�finissez la propri�t� de m�tabase LogonMethod sur ��2�� (en indiquant qu'une ouverture de session r�seau est utilis�e pour cr�er le jeton d'emprunt d'identit�). Gr�ce � ce param�tre, le seul moyen pour des requ�tes de contourner la limitation du r�seau est de se connecter � NullSessionShares ou NullSessionPipes.

N'employez pas de lettres de lecteur mapp�es avec des partages r�seau. Sachant que vous ne pouvez faire votre s�lection qu'� partir des 26 lettres de lecteur potentielles, des probl�mes peuvent surgir si vous tentez d'utiliser une lettre de lecteur mapp�e dans un contexte de s�curit� diff�rent. Il est donc pr�f�rable de toujours employer des noms UNC (Universal Naming Convention) pour acc�der aux ressources. Le format doit �tre semblable � ce qui suit�:

\\Mon_serveur\nom_partage_fichiers\nom_r�pertoire\nom_fichier

Pour plus d'informations sur l'utilisation des noms UNC, cliquez sur le num�ro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft.

280383

(http://support.microsoft.com/kb/280383/ )

Recommandations de s�curit� IIS lors de l'utilisation d'un partage UNC

Les informations contenues dans cet article ne s'appliquent qu'� Internet�Information�Server�4.0. Internet Information�Server�5.0 (fourni avec Windows�2000) apporte des changements significatifs pour de nouveaux types et capacit�s d'authentification. Bien que la plupart des concepts d�crits dans cet article s'appliquent �galement � IIS�5.0, les d�tails sur les types de jetons avec emprunt d'identit� g�n�r�s selon certains sch�mas d'authentification de cet article s'appliquent strictement � IIS�4.0.

319067

(http://support.microsoft.com/kb/319067/ )

Comment faire pour ex�cuter des applications hors du contexte du compte syst�me

Si vous ne pouvez pas d�terminer le type de connexion qui est employ� sur votre serveur IIS pour g�rer les requ�tes, vous pouvez activer l'audit d'ouvertures et de fermetures de session. Proc�dez comme suit�:

Cliquez sur D�marrer, sur Param�tres, sur Panneau de configuration, sur Outils d'administration, puis sur Strat�gie de s�curit� locale.
Apr�s avoir ouvert Strat�gie de s�curit� locale, dans le volet de gauche Arborescence, cliquez sur Param�tres de s�curit�, cliquez sur Strat�gies locales, puis cliquez sur Strat�gie d'audit.
Double-cliquez sur Auditer les �v�nements de connexion puis cliquez sur Essais ayant r�ussi et Essais ayant �chou�. Des entr�es du journal des �v�nements sont ajout�es sous Journal de s�curit�. Vous pouvez d�terminer le type d'ouverture de session au niveau du d�tail des �v�nements sous Type d'ouverture de session�:

2=Interactif
3=R�seau
4=Lot
5=Service

Retour au d�but | Envoyer des commentaires

R�f�rences

Pour plus d'informations sur la s�curit� r�seau, cliquez sur les num�ros ci-dessous pour afficher les articles correspondants dans la Base de connaissances Microsoft.

124184

(http://support.microsoft.com/kb/124184/ )

Un service fonctionnant avec le compte syst�me ne parvient pas � acc�der au r�seau

180362

(http://support.microsoft.com/kb/180362/ )

Services et lecteurs redirig�s

158229

(http://support.microsoft.com/kb/158229/ )

Ramifications de s�curit� pour les applications IIS

319067

(http://support.microsoft.com/kb/319067/ )

Comment faire pour ex�cuter des applications hors du contexte du compte syst�me

280383

(http://support.microsoft.com/kb/280383/ )

Recommandations de s�curit� IIS lors de l'utilisation d'un partage UNC

Pour plus d'informations sur la synchronisation automatique du mot de passe dans IIS, cliquez sur les num�ros ci-dessous pour afficher les articles correspondants dans la Base de connaissances Microsoft.

190005

(http://support.microsoft.com/kb/190005/ )

Un site configur� pour un acc�s anonyme demande le mot de passe de l'utilisateur

259353

(http://support.microsoft.com/kb/259353/ )

Obligation d'entrer manuellement un mot de passe apr�s avoir opt� pour la synchronisation du mot de passe

Retour au d�but | Envoyer des commentaires

Propri�t�s

Num�ro d'article: 207671 - Derni�re mise � jour: lundi 23 janvier 2006 - Version: 5.0

Les informations contenues dans cet article s'appliquent au(x) produit(s) suivant(s):

Microsoft Internet Information Server 3.0
Microsoft Internet Information Server 4.0
Microsoft Internet Server Application Programming Interface 4.0
Microsoft Internet Information Services 5.0

kbhowtomaster kbhttp KB207671

L'INFORMATION CONTENUE DANS CE DOCUMENT EST FOURNIE PAR MICROSOFT SANS GARANTIE D'AUCUNE SORTE, EXPLICITE OU IMPLICITE. L'UTILISATEUR ASSUME LE RISQUE DE L'UTILISATION DU CONTENU DE CE DOCUMENT. CE DOCUMENT NE PEUT ETRE REVENDU OU CEDE EN ECHANGE D'UN QUELCONQUE PROFIT.

Retour au d�but | Envoyer des commentaires