Het minimale NTFS-machtigingen en gebruikersrechten instellen voor IIS 5.x of IIS 6.0

De beperking voor dit artikel

Waarschuwing Dit artikel is alleen geldig voor specifieke-webservers waarop IIS basisfunctionaliteit zoals HTML statische inhoud of eenvoudige Active Server Pages (ASP) voor de inhoud. De machtiging vereisten die worden beschreven in dit artikel gelden alleen voor de algemene machtigingen voor een toegewezen webserver waarop IIS 5. x of IIS 6.0. In dit artikel rekening geen met andere Microsoft-producten van andere leveranciers en waarvoor andere machtigingen gelden. Server- en documentatie voor de specifieke beveiligingsvereisten, kunt u bekijken. Het is raadzaam dat u de verwante artikelen bekijken die specifiek zijn voor de functies van uw webserver.

Stappen voordat u de machtigingen configuraties te testen in een productieomgeving

Voordat u wijzigingen in de machtigingen op een productiewebserver, raden we aan dat u de volgende stappen uitvoeren:

1. De meest recente versie van het hulpprogramma IIS Lockdownuitvoeren. De volgende programma's en services zijn geïnstalleerd als onderdeel van de test die is gebruikt voor het testen van beveiliging van de server na het verlenen van de machtigingen die worden beschreven in dit artikel:

   • Index Services

   • Terminal Services

   • Scriptdebugger

   • IIS

     • Common Files

     • Documentatie

     • FrontPage-serverextensies 2000

     • Internet-servicebeheer (HTML)

     • WWW

     • FTP

2. De volgende functionele tests uitvoeren:

   • Hypertextdocumenten (HTML)

   • Active Server Pages (ASP)

   • FrontPage-serverextensies, zoals verbinding maken, bewerken en opslaan als FPSE is ingeschakeld terwijl u de Lockdown gebruiken

   • Secure Socket Layers (SSL)-verbindingen

Eigendom en toestemming verlenen voor de beheerder en het systeem

Ga hiervoor als volgt te werk:

1. Open Windows Verkenner. Hiertoe klikt u op Start, klik op programma'sen klik op Windows Verkenner.

2. Vouw Mijn Computeruit.

3. Klik met de rechtermuisknop op het systeemstation (meestal is dit station C) en klik vervolgens op Eigenschappen.

4. Klik op het tabblad beveiliging en klik vervolgens op Geavanceerd om het dialoogvenster Instellingen voor toegangsbeheer voor de lokale schijf .

5. Klik op het tabblad eigenaar , schakelt u het selectievakje Eigenaar van Sub-containers en objecten vervangen en klik vervolgens op toepassen. Klik op Doorgaanals u het volgende foutbericht weergegeven:

   Fout toepassen van beveiligingsgegevens voor %systemdrive%\Pagefile.sys

6. Klik op Jaals het volgende foutbericht weergegeven:

   U bent niet gemachtigd voor het lezen van de inhoud van de directory %systemdrive%\System Volume Information - wilt u de map machtigingen vervangen - alle machtigingen worden vervangen die u volledig beheer

7. Klik op OK om het dialoogvenster te sluiten.

8. Klik op Toevoegen.

9. Voeg de volgende gebruikers en geven ze de volledige NTFS-machtiging beheer:

   • Beheerder

   • Systeem

   • Maker eigenaar

10. Nadat u NTFS-machtigingen hebt toegevoegd, klikt u op Geavanceerd, schakel het selectievakje machtigingen voor alle onderliggende objecten opnieuw instellen en doorgeven van overneembare machtigingen inschakelen in en klik op toepassen.

11. Klik op Doorgaanals u het volgende foutbericht weergegeven:

    Fout toepassen van beveiligingsgegevens voor %systemdrive%\Pagefile.sys

12. Nadat u NTFS-machtigingen hebt ingesteld, klikt u op OK.

13. Klik op de groep Iedereen , klikt u op verwijderenen klik vervolgens op OK.

14. Open de eigenschappen voor de map %systemdrive%\Program Files\Common Files en klik vervolgens op het tabblad beveiliging de account die wordt gebruikt voor anonieme toegang toevoegen. Standaard is dit de account IUSR_ < computernaam >. Vervolgens voegt u de groep gebruikers. Zorg ervoor dat alleen de volgende zijn ingeschakeld:

    • Lezen en uitvoeren

    • Mapinhoud weergeven

    • Lezen

15. Open de eigenschappen voor de hoofdmap waarin uw Web content. Standaard is dit de map %systemdrive%\Inetpub\Wwwroot. Klik op het tabblad beveiliging , voeg de account IUSR_ < computernaam > en de groep gebruikers en zorg ervoor dat alleen de volgende zijn ingeschakeld:

    • Lezen en uitvoeren

    • Mapinhoud weergeven

    • Lezen

16. Als u wilt schrijven van NTFS-machtigingen voor Inetpub\FTProot of het pad naar de map voor uw FTP-site of sites, herhaalt u stap 15. Opmerking Niet aan te raden dat u schrijven van NTFS-machtigingen voor de anonieme account in alle mappen verlenen, met inbegrip van de mappen die worden gebruikt door de FTP-service wordt gebruikt. Dit kan leiden tot onnodige gegevens te uploaden naar uw webserver.

Overname in systeemmappen uitschakelen

Ga hiervoor als volgt te werk:

1. Selecteer in de map %systemroot%\System32 alle mappen behalve de volgende:

   • Inetsrv

   • Certsrv (indien aanwezig)

   • COM

2. Klik met de rechtermuisknop op de resterende mappen, klikt u op Eigenschappenen klik vervolgens op het tabblad beveiliging .

3. Schakel het selectievakje Overneembare machtigingen , klikt u op kopiërenen klik vervolgens op OKklikken.

4. Selecteer in de map % systemroot % alle mappen behalve de volgende:

   • Assembly (indien aanwezig)

   • Gedownloade programmabestanden

   • Help

   • Microsoft.NET (indien aanwezig)

   • Off line webpagina 's

   • System32

   • Taken

   • TEMP

   • Web

5. Klik met de rechtermuisknop op de resterende mappen, klikt u op Eigenschappenen klik vervolgens op het tabblad beveiliging .

6. Schakel het selectievakje Overneembare machtigingen , klikt u op kopiërenen klik vervolgens op OKklikken.

7. Machtigingen van toepassing op het volgende:

   1. Open de eigenschappen voor de map % systemroot %, klikt u op het tabblad beveiliging , voeg de accounts IUSR_ < computernaam > en IWAM_ < computernaam > en de groep gebruikers en zorg ervoor dat alleen de volgende zijn geselecteerd:

      • Lezen en uitvoeren

      • Mapinhoud weergeven

      • Lezen

   2. Open de eigenschappen voor de map %systemroot%\Temp, selecteert u de account IUSR_ < computernaam > (deze account is al aanwezig omdat deze uit de map Winnt) en schakelt u het selectievakje wijzigen . Herhaal deze stap voor de account IWAM_ < computernaam > en de De groep gebruikers .

   3. Als FrontPage Server-extensie-Clients, zoals FrontPage of Microsoft Visual InterDev zijn gebruikt, opent u de eigenschappen voor de map %systemdrive%\Inetpub\Wwwroot, selecteert u de groep Geverifieerde gebruikers , selecteert u het volgende en klik op OK :

      • Wijzigen

      • Lezen en uitvoeren

      • Mapinhoud weergeven

      • Lezen

      • Schrijven

NTFS-machtigingen

De volgende tabel geeft een overzicht van de machtigingen die worden toegepast wanneer u de stappen in de sectie 'Overname in systeemmappen uitschakelen'. Deze tabel is alleen ter referentie. Als u wilt toepassen op de machtigingen in de volgende tabel, de volgende stappen uit:

1. Open Windows Verkenner. Hiervoor klikt u op Start, klik op programma's, op Bureau-accessoiresen klik vervolgens op Windows Verkenner.

2. Vouw Mijn Computeruit.

3. Met de rechtermuisknop op de map % systemroot %en klik vervolgens op Eigenschappen.

4. Klik op het tabblad beveiliging en klik vervolgens op Geavanceerd.

5. Dubbelklik op machtigingenen selecteer vervolgens de juiste instelling in de lijst Toepassen op .

Opmerking  Kolom in de 'van toepassing op", de term die standaard verwijst naar"Deze map, submappen en bestanden."

Opmerking Als u FrontPage-serverextensies gebruikt, moet de geverifieerde gebruikers of de groep gebruikers toegang hebben tot de wijziging NTFS maken, hernoemen, schrijven of de functionaliteit die een ontwikkelaar mogelijk moeten zijn van een FrontPage-client, zoals Visual InterDev 6.0 of FrontPage 2002.

De machtigingen in het register

1. Klik op Start, klik op uitvoeren, typ regedt32en klik op OK. Gebruik de Register-Editor niet omdat kunt u machtigingen in Windows 2000 niet.

2. In de Register-Editor, zoek en selecteer HKEY_LOCAL_MACHINE.

3. Vouw systeemCurrentControlSetuitbreiden en klik op Services.

4. Selecteer de sleutel IISADMIN , klikt u op beveiliging (of druk op ALT + S), en selecteer vervolgens Machtigingen (of druk op P).

5. Klik op deze optie schakelt u het selectievakje Overneembare machtigingen van bovenliggend object doorgeven aan dit object en klik op kopiëren, verwijdert u alle gebruikers met uitzondering van:

   • Beheerders (lezen en volledig beheer toestaan)

   • Systeem (gebruikers kunnen lezen en volledig beheer)

6. Klik op OK.

7. Herhaal de stappen voor de sleutel MSFTPSVC .

8. Selecteer de sleutel W3SVC , klikt u op beveiligingen klik vervolgens op machtigingen.

9. Schakel het selectievakje Overneembare machtigingen van bovenliggend object doorgeven aan dit object en verwijder alle items met uitzondering van:

   • Beheerders (lezen en volledig beheer toestaan)

   • Systeem (gebruikers kunnen lezen en volledig beheer)

   • Netwerk (lezen)

   • Service (lezen)

   • IWAM_ < computernaam > (lezen)

10. Klik op OK.

Toekenning van rechten in het lokale beveiligingsbeleid

1. Klik op Start, klik op Instellingenen klik vervolgens op Configuratiescherm.

2. Dubbelklik op Systeembeheeren dubbelklik vervolgens op Lokaal beveiligingsbeleid.

3. Vouw Lokaal beleiduit in het dialoogvenster Lokale beveiligingsinstellingen en klik vervolgens op Toewijzing van gebruikersrechten.

4. Het juiste beleid te wijzigen:

   1. Dubbelklik op het beleid.

   2. Selecteer en klik op verwijderen voor elke gebruiker die wordt niet weergegeven in de tabel.

   3. Voeg elke gebruiker die niet wordt vermeld. Hiertoe klikt u op Toevoegenen selecteer de gebruiker in het dialoogvenster gebruikers of groepen selecteren .

Houd er rekening mee dat omdat het lokale beleid voorrang heeft op voor een domeincontroller, moet u ervoor zorgen dat Doeltreffende instelling komt overeen met Instelling van lokaal.

Verwijzingen

Voor meer informatie over het herstellen van standaardmachtigingen voor NTFS voor Windows 2000, klikt u op de volgende artikelnummers om de artikelen in de Microsoft Knowledge Base:

266118 het herstellen van de standaard NTFS-machtigingen voor Windows 2000

260985 minimum NTFS-machtigingen vereist voor het gebruik van CDONTS

324068 het IIS-machtigingen voor bepaalde objecten instellen

815153 het configureren van NTFS-bestandsmachtigingen voor de beveiliging van ASP.NET-toepassingen Voor meer informatie over de vereiste machtigingen voor IIS 6.0, klikt u op het volgende artikel in de Microsoft Knowledge Base:

812614 Standaardmachtigingen en gebruikersrechten voor IIS 6.0

Meer informatie

Dit artikel heeft geen betrekking op een van de specifieke beveiligingsvereisten van de volgende serverfuncties of -toepassingen:

• Windows 2000-domeincontroller

• Microsoft Exchange 5.5 of Outlook Web Access voor Exchange 2000

• Microsoft Small Business Server 2000

• Microsoft SharePoint Portal of teamservices

• Microsoft Commerce Server 2000 of Microsoft Commerce Server 2002

• Microsoft BizTalk Server 2000 of Microsoft BizTalk Server 2002

• Microsoft Content Management Server 2000 of Microsoft Content Management Server 2002

• Microsoft Application Center 2000

• De toepassingen van andere leveranciers die afhankelijk van aanvullende machtigingen zijn