Como aceder a ficheiros de rede a partir de aplicações do IIS

Voltar ao topo

Tipos de autenticação e representação

Authentication Type                          Impersonation Type
  
Anonymous Access (no authentication)         Network
Auto Password Synchronization is
ON (ON=default)
 
Anonymous Access (no authentication)         IIS Clear Text
Auto Password Synchronization is OFF         

Basic Authentication                         IIS Clear Text 

NT Challenge/Response Authentication         Network 

Client SSL Certificate Mapping               Interactive
				

Voltar ao topo

Tipos de tokens

• Tokens de rede "Não" têm permissão para aceder a recursos de rede. (Os tokens de rede são denominados, porque este tipo de token é normalmente criado por um servidor quando um utilizador é autenticado através da rede. Para permitir que o servidor para utilizar uma rede token para agir como um cliente de rede e aceder a outro servidor é designado por "delegação" e é considerada uma falha de segurança possível.)
• Tokens interactivos normalmente são utilizados quando autentica um utilizador local no computador. Tokens interactivos têm permissão para aceder a recursos através da rede.
• Batch tokens são concebidos para fornecer um contexto de segurança em que processos executado. Batch tokens ter acesso à rede.

Voltar ao topo

Evitar problema

• Manter os ficheiros no computador local.
• Alguns métodos de comunicação de rede não requerem uma verificação de segurança. Um exemplo está a utilizar Windows sockets.
• Pode fornecer acesso directo aos recursos da rede do computador, configurando um directório virtual para ser:
  "Uma partilha localizada noutro computador."
  Todos os acesso ao computador que partilha recursos de rede é efectuado no contexto de utilizador especificado na caixa de diálogo Ligar como. . Isto ocorre independentemente do tipo de autenticação está configurado para o directório virtual. Utilizando esta opção, todos os ficheiros na partilha de rede estão disponíveis a partir de browsers que aceder ao computador IIS.
• Utilize a autenticação básica ou a autenticação anónima sem a sincronização automática de palavra-passe.
  
  Por predefinição, a representação que o Internet Information Server para a autenticação base fornece um token que pode aceder a recursos de rede (ao contrário do Windows NT Challenge/Response, que fornece um token que não é possível aceder a recursos de rede). Para a autenticação anónima, o token só pode aceder um recurso de rede se a sincronização automática de palavra-passe está desactivada. Por predefinição, A sincronização automática de palavra-passe está activada quando o Internet Information Server é instalado pela primeira vez. Num tal uma configuração predefinida, o token de utilizador anónimo não poderá aceder aos recursos de rede.
  259353  (http://support.microsoft.com/kb/259353/ ) Tem de introduzir palavra-passe manualmente depois de activar a sincronização de palavra-passe
• Configure a conta anónima como uma conta de domínio.
  
  Isto permite pedidos anónimos de potencial acesso aos recursos através da rede. Para evitar que todos os pedidos anónimos tenham acesso à rede, tem de apenas se a conta anónima uma conta de domínio os directórios virtuais que necessitem de acesso especificamente.
• Configurar a conta anónima com o mesmo nome de utilizador e palavra-passe do computador que está a partilhar recursos de rede e, em seguida, desactivar a sincronização automática de palavra-passe.
  
  Se efectuar este procedimento terá de fazer-se de que as palavras-passe correspondem exactamente. Esta abordagem só deve ser utilizada quando o "Configurar a conta anónima como uma conta de domínio" mencionado anteriormente não uma opção por algum motivo.
• NullSessionShares e NullSessionPipes podem ser utilizados para permitir o acesso a uma partilha de rede específica ou a um pipe nomeado quando o pedido é processado com um token de rede.
  
  Se tiver um token de rede e tentar estabelecer uma ligação a um recurso de rede, o sistema operativo tenta estabelecer uma ligação como uma ligação não autenticados (referida como "Sessão NULL"). Esta definição de registo têm de ser efectuada no computador que está a partilhar o recurso de rede, não no computador do IIS. Se tentar aceder a um NullSessionShare ou NullSessionPipe com um token externos à rede, autenticação típica do Microsoft Windows é utilizada e o acesso ao recurso baseia-se os direitos de utilizador de conta do utilizador representado.
• Pode potencialmente executar a seus próprios representação para criar um token de thread que tenha acesso de rede.
  
  A função LogonUser e a função ImpersonateLoggedOnUser podem ser utilizados para representar uma conta diferente. Isto requer que tenha o nome de utilizador texto normal e palavra-passe de outra conta disponível no código. LogonUser também requer que a conta que chama LogonUser tem o privilégio "Actuar como parte do sistema operativo" no Gestor de utilizadores. Por predefinição, a maior parte dos utilizadores que o IIS representa enquanto processa um pedido de HTTP não tem este direito de utilizador. No entanto, para "In Applications processo" Existem várias formas de fazer com que o actual contexto de segurança mudar para a conta LocalSystem, que as credenciais administrativas "Actuar como parte do sistema operativo". Para DLL de ISAPI que são executados no processo, a melhor forma de alterar o contexto de segurança que criou o IIS para a conta sistema local é chamar a função de RevertToSelf . <machinename>Se estiver a executar a aplicação do IIS "fora do processo", este mecanismo não funcionará por predefinição porque o processo está em execução em IWAM_ <nome_computador> conta e não a conta sistema local. <machinename>Por predefinição, o IWAM_ <nome_computador> "Não" têm as credenciais administrativas "Actuar como parte do sistema operativo".
• Adicionar o componente é chamado a partir da página ASP para um pacote de servidor do Microsoft Transaction Server (MTS) ou a aplicação de servidor do COM + e, em seguida, especificar um utilizador específico como a identidade do pacote.
  
  Nota Executa o componente num ficheiro .exe separado que está fora do IIS.
• Com autenticação de texto básico/simples, recomendamos que encriptar os dados utilizando SSL porque é muito fácil obter credenciais a partir de um rastreio de rede. Para obter mais informações sobre como instalar o SSL, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:
  228991  (http://support.microsoft.com/kb/228991/ ) Como criar e instalar um certificado SSL no Internet Information Server 4.0

1. Clique em Iniciar , clique em definições , clique em Painel de controlo , clique em Ferramentas administrativas e, em seguida, clique em Política de segurança local .
2. Depois de abrir Política de segurança local, no painel de vista de árvore para a esquerda, clique em Definições de segurança , clique em Políticas locais (Local Policies) e clique em Política de auditoria .
3. Faça duplo clique em Auditar eventos de início de sessão e clique em com êxito e falha . Entradas de registo de eventos são adicionadas em registo de segurança. Pode determinar o tipo de início de sessão observando os detalhes do evento sob o tipo de início de sessão:

Voltar ao topo