INTRODUCTION
ASP.NET permet aux administrateurs d'héberger des applications dans des modes de confiance partielle, tels que confiance moyenne. Il permet également de configurer des niveaux de confiance partielle personnalisés par le biais de fichiers de stratégie personnalisés. Pour plus d'informations sur l'utilisation du niveau de confiance moyenne dans ASP.NET 2.0, reportez-vous au site Web de Microsoft Developper Network (MSDN) à l'adresse suivante :
Procédure d'utilisation du niveau de confiance moyenne dans ASP.NET 2.0Nous avons précédemment décrit le niveau de confiance partielle d'ASP.NET comme étant un mécanisme permettant d'isoler les applications dans un environnement d'hébergement partagé où plusieurs applications de niveaux de confiance différents sont hébergés sur le même serveur Web. Nous mettons à jour nos informations à ce propos pour refléter le fait qu'exécuter une application d'infrastructure de pages ASP.NET en mode de confiance partielle ne garantit pas l'isolation complète par rapport aux autres applications qui s'exécutent dans le même processus ou sur le même ordinateur.
Configurer les applications d'infrastructure de pages ASP.NET afin qu'elles s'exécutent dans des processus distincts à faible privilège (en utilisant des pools d'applications individuels) est la procédure recommandée pour assurer l'isolation par rapport aux autres applications d'infrastructure de pages ASP.NET sur le même serveur Web. La section suivante fournit des informations sur la configuration de l'isolation des applications. Nous mettons à jour notre autre documentation pour refléter le changement de stratégie décrit dans cet article.
Plus d'informations
Il est conseillé aux administrateurs de serveurs d'appliquer les instructions présentées dans cet article afin de s'assurer que les applications sont isolées dans les environnements d'hébergement partagés. Ces instructions s'appliquent à l'hébergement d'ASP.NET sur Windows Server 2003 SP2 et versions ultérieures. Elles couvrent les services IIS (Internet Information Services) 6.0 à 7.5.
La plupart des tâches décrites ici peuvent être automatisées à l'aide de l'outil de ligne de commande des services IIS AppCmd.exe dans IIS 7 et 7.5, et à l'aide des scripts d'administration IIS dans IIS 6.0.
Procédure permettant de placer des applications sur des sites IIS distincts
Dans un environnement d'hébergement partagé, les applications doivent être placées sur des sites IIS distincts. La configuration est mieux isolée entre les applications lorsqu'elles sont hébergées sur des sites distincts. En outre, l'hôte CLR de .NET Framework sera séparé, ce qui assure une isolation supplémentaire à ce niveau.
Pour placer chaque application sur un site distinct, procédez comme suit :
Internet Information Services 6.0 (Windows Server 2003 SP2)
-
Ouvrez le Gestionnaire des services IIS.
-
Dans le volet gauche, développez le nœud du serveur actuel.
-
Cliquez avec le bouton droit sur le nœud Sites Web, cliquez sur Nouveau, puis sur Site Web.
-
Cliquez sur Suivant.
-
Entrez un nom unique pour le nouveau site Web, puis cliquez sur Suivant.
-
Configurez les liaisons de site pour l'environnement d'hébergement.
-
Entrez le chemin d'accès physique du dossier dans lequel les fichiers d'application sont stockés.
-
Activez la case à cocher Exécuter les scripts (tels que ASP), puis cliquez sur Suivant.
-
Cliquez sur Terminer. Le nouveau site apparaît sous le nœud Sites Web.
Internet Information Services 7 (Windows Vista SP2 et Windows Server 2008 SP1) et Internet Information Services 7.5 (Windows 7 et Windows Server 2008 R2)
-
Ouvrez le Gestionnaire des services IIS.
-
Dans le volet Connexions, développez le nœud du serveur actuel.
-
Sélectionnez le nœud Sites, puis cliquez sur le lien Ajouter un site Web du volet Actions.
-
Dans la boîte de dialogue Ajouter un site Web, entrez un nom unique pour le nouveau site Web, puis entrez le chemin d'accès physique du dossier dans lequel les fichiers d'application sont stockés. Par défaut, un nouveau pool d'applications est créé avec le même nom que le site, et le site est configuré pour utiliser ce pool d'applications. (Il s'agit de la configuration recommandée.)
-
Configurez les liaisons de site pour l'environnement d'hébergement.
-
Désactivez la case à cocher Démarrage immédiat du site Web afin de veiller à ce que le site ne soit pas disponible avant l'application des indications relatives à l'isolation présentées ici.
-
Cliquez sur OK. Le site configuré s'affiche sous le nœud Sites du volet Connexions.
Procédure permettant de placer les sites dans des pools d'applications distincts
Dans un environnement d'hébergement partagé, les applications doivent être placées dans des pools d'applications distincts. Cela permet d'isoler les applications dans des processus de système d'exploitation distincts avec des identités uniques. Cela assure un niveau d'isolation d'un site à l'autre. (La section suivante décrit comment configurer les identités de pool d'applications pour l'isolation).
Internet Information Services 6.0 (Windows Server 2003 SP2)
-
Ouvrez le Gestionnaire des services IIS.
-
Dans le volet gauche, développez le nœud du serveur actuel.
-
Cliquez avec le bouton droit sur Pools d'applications, cliquez sur Nouveau, puis sur Pool d'applications.
-
Entrez un nom unique pour le nouveau pool d'applications, puis cliquez sur OK.
-
Développez le nœud Sites Web.
-
Cliquez avec le bouton droit sur le site Web cible, puis cliquez sur Propriétés.
-
Cliquez sur l'onglet Répertoire de base.
-
Dans le champ Pool d'applications, au bas de la boîte de dialogue, sélectionnez le nouveau pool d'applications.
-
Cliquez sur OK.
Internet Information Services 7 (Windows Vista SP2 et Windows Server 2008 SP1) et Internet Information Services 7.5 (Windows 7 et Windows Server 2008 R2)
Après avoir exécuté la procédure permettant de placer les applications sur des sites IIS distincts, le nouveau site est automatiquement placé dans un nouveau pool d'applications distinct. Toutefois, si vous devez configurer un site existant pour qu'il utilise un nouveau pool d'applications distinct, procédez comme suit :
-
Ouvrez le Gestionnaire des services IIS.
-
Dans le volet Connexions, développez le nœud du serveur actuel.
-
Sélectionnez le nœud Pools d'applications.
-
Dans le volet Actions, cliquez sur le lien Ajouter un pool d'applications.
-
Entrez un nom unique pour le nouveau pool d'applications, puis sélectionnez un mode pipeline et une version .NET Framework cible.
-
Cliquez sur OK. Le nouveau pool d'applications s'affiche dans la liste.
-
Dans le volet Connexions, développez le nœud Sites.
-
Sélectionnez le site que vous souhaitez déplacer vers le pool d'applications, créé lors d'une étape précédente de cette procédure.
-
Dans le volet Actions, cliquez sur le lien Paramètres de base.
-
Dans la boîte de dialogue Modifier le site, cliquez sur Sélectionner.
-
Dans la liste Pool d'applications, sélectionnez le pool d'applications que vous avez créé précédemment.
-
Cliquez sur OK.
Dans la boîte de dialogue Modifier le site, cliquez sur OK.
Procédure de configuration des pools d'applications pour l'isolation (identité de processus)
Les pools d'applications hébergent des applications et des sites dans un ou plusieurs processus Windows. L'identité sous laquelle le processus s'exécute est configurable. Dans un environnement d'hébergement partagé, il doit exister une identité distincte pour chaque application. Cela permet de garantir que chaque application s'exécute dans le contexte d'un compte unique. Cela permet une isolation correcte grâce aux listes de contrôle d'accès discrétionnaire du système de fichiers (DACL) et aux fonctionnalités intégrées d'isolation de processus du système d'exploitation sous-jacent. Pour créer un compte d'utilisateur, puis affecter un pool d'applications pour utiliser ce compte, procédez comme suit.
Internet Information Services 6.0 (Windows Server 2003 SP2)
Créez un compte d'utilisateur local à utiliser comme identité du pool d'applications
-
Ouvrez le Gestionnaire des services IIS.
-
Dans le volet gauche, développez Utilisateurs et groupes locaux.
-
Cliquez avec le bouton droit sur le nœud Utilisateurs, puis cliquez sur Nouvel utilisateur.
-
Entrez un nom unique et un mot de passe sécurisé pour le nouveau compte d'utilisateur.
-
Désactivez la case à cocher L'utilisateur doit changer le mot de passe à la prochaine ouverture de session.
-
Activez la case à cocher L'utilisateur ne peut pas changer de mot de passe.
-
Cliquez sur Créer, puis sur Fermer.
-
Dans le volet gauche, sélectionnez le nœud Utilisateurs. Le nouveau compte s'affiche dans la liste.
Configurez le pool d'applications de manière à ce qu'il utilise le nouveau compte d'utilisateur local
-
Ouvrez le Gestionnaire des services IIS.
-
Dans le volet gauche, développez le nœud du serveur actuel.
-
Développez le nœud Pools d'applications.
-
Cliquez avec le bouton droit sur le pool d'applications cible, puis cliquez sur Propriétés.
-
Cliquez sur l'onglet Identité.
-
Sélectionnez la case d'option Configurable.
-
Entrez le nom d'utilisateur et le mot de passe du nouveau compte.
-
Cliquez sur OK.
-
Entrez à nouveau le mot de passe dans la boîte de dialogue Confirmer le mot de passe, puis cliquez sur OK.
Internet Information Services 7 et 7.5 (Windows Vista SP2, Windows Server 2008 SP1, Windows 7 et Windows Server 2008 R2)
-
Ouvrez le Gestionnaire des services IIS.
-
Dans le volet Connexions, développez le nœud du serveur actuel.
-
Sélectionnez le nœud Pools d'applications.
-
Sélectionnez le pool d'applications cible.
-
Dans le volet Actions, cliquez sur le lien Paramètres avancés.
-
Dans la section Modèle de processus, définissez la propriété Identité sur ApplicationPoolIdentity. Ce paramètre crée automatiquement une identité unique pour ce pool d'applications. Dans les sections suivantes, vous pouvez utiliser cette identité unique pour définir des listes de contrôle d'accès discrétionnaire (DACL) aux emplacements de fichiers où l'application doit accéder.
-
Cliquez sur OK.
Procédure de configuration des DACL aux emplacements de contenu des applications
La liste de contrôle d'accès discrétionnaire (DACL) est une liste d'autorisations associées à un objet pouvant être utilisées pour contrôler l'accès à cet objet. L'utilisation des DACL pour restreindre l'accès au contenu des applications contribue à renforcer l'isolation entre les sites hébergés sur le même serveur Web. Pour plus d'informations sur les identités IIS et les ACL, reportez-vous à la section Contenu sécurisé dans IIS par le biais d'ACL du système de fichiers
Toutes les versions d'IIS
-
Ouvrez le dossier racine pour le contenu du site à une invite de commandes ou dans l'Explorateur Windows.
-
Appliquez l'une des méthodes suivantes pour supprimer les entrées de tout accès non-administrateur à cet emplacement. (Cela inclut le groupe Utilisateurs).
-
Dans l'Explorateur Windows, cliquez avec le bouton droit sur le dossier, sélectionnez Propriétés, cliquez sur l'onglet Sécurité, puis modifiez la liste de contrôle d'accès.
-
À l'invite de commandes, utilisez l'utilitaire icacls.exe (ou cacls.exe sur les versions antérieures du système d'exploitation Windows) pour modifier la liste de contrôle d'accès.
-
-
Ajoutez une nouvelle entrée pour l'identité du processus que vous avez sélectionné pour le site.
-
Donnez à la nouvelle identité l'accès Lecture et exécution au dossier.
Si certains dossiers nécessitent des autorisations d'écriture par l'application (par exemple, un dossier « Téléchargements »), procédez comme suit :
Internet Information Services 6.0 (Windows Server 2003 SP2)
-
Dans l'Explorateur Windows, cliquez avec le bouton droit sur le dossier, sélectionnez Propriétés, cliquez sur l'onglet Sécurité, puis ajoutez l'accès Modifier pour l'identité de processus.
-
Pour les dossiers qui contiendront du contenu statique (images, fichiers texte, etc.), procédez comme suit :
-
Ouvrez le Gestionnaire des services IIS.
-
Dans le volet gauche, cliquez avec le bouton droit sur le nom de dossier approprié, puis cliquez sur Propriétés.
-
Cliquez sur l'onglet Répertoire.
-
Dans la liste Autorisations d'exécution, sélectionnez Aucune.
-
Internet Information Services 7 et 7.5 (Windows Vista SP2, Windows Server 2008 SP1, Windows 7 et Windows Server 2008 R2)
-
Dans l'Explorateur Windows, cliquez avec le bouton droit sur le dossier, sélectionnez Propriétés, cliquez sur l'onglet Sécurité, puis ajoutez l'accès Modifier pour l'identité de processus.
-
Pour les dossiers qui contiendront du contenu statique (images, fichiers texte, etc.), ajoutez une entrée de fichier « web.config » pour l'emplacement qui n'autorise pas les autorisations de script dans le paramètre accessPolicy : <system.webServer> <handlers accessPolicy="Read,Write" /> </system.webServer>
Procédure de configuration d'un emplacement de dossier de fichiers temporaires ASP.NET et procédure de définition de DACL par site
ASP.NET nécessite un emplacement sur le serveur afin de stocker des données temporaires, telles que des fichiers compilés. Il s'agit généralement du dossier de fichiers temporaires ASP.NET. Par défaut, ce dossier se trouve sous le dossier dans lequel .NET Framework est installé. Attribuer un emplacement temporaire différent pour chaque site et sécuriser le dossier individuellement contribuent à renforcer l'isolation entre les sites hébergés sur le même serveur Web. Pour plus d'informations sur le dossier de fichiers temporaires ASP.NET, reportez-vous à la section de présentation de la compilation dynamique ASP.NET.
Procédure de configuration d'un emplacement de dossier de fichiers temporaires ASP.NET différent pour chaque site
-
Créez un nouveau dossier pour chaque site afin de stocker les fichiers temporaires ASP.NET de ce site. Il est préférable d'utiliser un lecteur indépendant du système pour stocker les fichiers temporaires.
-
Dans le fichier web.config ou applicationHost.config racine du serveur, incluez un paramètre permettant de naviguer vers l'emplacement du nouveau dossier pour ce site précis en utilisant un élément <emplacement>, tel que : <configuration> <location path="path"> <system.web> <compilation tempDirectory="temp-files-path" /> </system.web> </location> <!-- and so on --> </configuration>
Procédure de définition des DACL appropriés sur l'emplacement de dossier des fichiers temporaires ASP.NET
-
Utilisez une invite de commandes ou l'Explorateur Windows pour supprimer les autorisations pour tout accès non-administrateur à cet emplacement. (Cela inclut le groupe Utilisateurs).
-
Ajoutez une entrée pour l'identité de processus précédemment sélectionnée pour ce site, puis donnez à cette identité l'accès Modifier pour ce dossier.
Procédure de suppression de données de configuration sensibles des fichiers de configuration racine
Les fichiers web.config de l'application sont situés dans le dossier de contenu de l'application utilisée. Même si ASP.NET n'utilise pas le fichier web.config de l'application, lorsque c'est possible, il est préférable de placer les informations relatives à la sécurité (paramètres de clés de l'ordinateur et chaînes de connexion) dans un fichier de configuration en dehors de l'emplacement de l'application. Cette opération ajoute une protection contre la divulgation d'informations.
Internet Information Services 6.0 (Windows Server 2003 SP2)
Stocker des informations de configuration relatives à la sécurité dans le fichier web.config racine n'est pas une option à privilégier pour isoler les données entre différents sites, car tous les sites disposent d'un accès en lecture à ce fichier. Par conséquent, sur IIS 6, vous devez stocker la configuration sensible dans le fichier web.config de l'application. Cela permet aux sites d'isoler chaque configuration sensible. Dans ce cas, votre application compte sur les défenses ASP.NET pour empêcher l'utilisation du fichier web.config de l'application et pour s'assurer que des informations sensibles ne sont pas divulguées.
Internet Information Services 7 et 7.5 (Windows Vista SP2, Windows Server 2008 SP1, Windows 7 et Windows Server 2008 R2)
Pour IIS 7 et les versions ultérieures, déplacez la configuration sensible qui se trouve dans le fichier IIS applicationHost.config vers un élément <emplacement> qui couvre la configuration vers le site auquel il s'applique. Pour plus d'informations, voir Procédure d'utilisation du verrouillage dans la configuration d'IIS 7.0. Microsoft remercie les personnes suivantes de leur collaboration pour protéger les clients :
