Cikk azonos�t�ja: 810572 - Utols� ellen�rz�s: 2007. december 4. - Verzi�sz�m: 8.4

ASP.NET alkalmaz�sok konfigur�l�sa deleg�l�shoz

A cikkben �rintett term�kek list�j�nak megtekint�se.

RendszertippA jelen cikk az �n �ltal haszn�ltt�l elt�r� oper�ci�s rendszerre vonatkozik. A cikk azon tartalmait, amelyek nem relev�nsak �nnek, letiltjuk.

A lap tartalma

Az �sszes kibont�sa | Az �sszes �sszecsuk�sa

Ez a cikk l�p�senk�nt ismerteti az Internet Information Services (IIS) �s az Active Directory alkamaz�sokon, az ASP.NET alkalmaz�sok deleg�l�s�hoz elv�gzend� be�ll�t�sokat. A deleg�l�s, mint a megszem�lyes�t�s egy fejlettebb form�ja, m�dot ad t�voli er�forr�sok el�r�s�re is az �gyfelek nev�ben, �gy nem csak helyi er�forr�sokhoz f�rhet hozz�. Ez a cikk le�rja az ASP.NET rendszerhez kapcsol�d� alkalmaz�sok deleg�l�s�hoz sz�ks�ges l�p�seket.

A lap tetej�re

A deleg�l�s k�vetelm�nyei

A deleg�l�s az integr�lt Windows-hiteles�t�st haszn�lja az er�forr�sok el�r�s�hez. Fi�kj�t tetsz�leges sz�m� sz�m�t�g�phez deleg�lhatja, csup�n mindegyiket megfelel�en kell konfigur�lnia. Az integr�lt Windows-hiteles�t�s csak az al�bbi k�t felt�tel teljes�l�se eset�n m�k�dik:

A h�l�zat az Active Directory-t ig�nyl� Kerberos hiteles�t�si protokoll haszn�lat�ra van be�ll�tva
A h�l�zat sz�m�t�g�pei �s a fi�kok deleg�l�sra megb�zhat�k�nt vannak be�ll�tva.

Ha a felt�telek nem teljes�lnek, az integr�lt Windows-hiteles�t�s haszn�lat�val nem �rhet�k el a t�voli er�forr�sokon l�v� adatok, mivel az integr�lt Windows-hiteles�t�s csak az IIS-kiszolg�l�hoz enged�lyez hozz�f�r�st, az IIS-kiszolg�l� �ltal t�volr�l el�rt, Windows-hiteles�t�s haszn�lat�ra konfigur�lt tov�bbi er�forr�sokhoz nem.

A Kerberos-hiteles�t�s a kiszolg�l�t �s az �gyfelet is hiteles�ti, m�g a Windows NT k�rd�s-v�lasz (NTLM) hiteles�t�si m�dszere csak az �gyfelet. A Windows 2000 rendszern�l kor�bbi oper�ci�s rendszerek nem t�mogatj�k a Kerberos-hiteles�t�st. A Kerberos haszn�lat�hoz emellett az IIS 5.0-s vagy �jabb verzi�ja sz�ks�ges. Ezek k�vetkezt�ben Windows 2000 vagy ann�l �jabb oper�ci�s rendszert kell futtatnia minden olyan sz�m�t�g�pen, melyen haszn�lni k�v�nja a Kerberos alap� deleg�l�st. Ezeknek a sz�m�t�g�peknek tov�bb� ugyanahhoz az Active Directory erd�h�z kell tartozniuk. A Kerberos protokollt csak a Microsoft Internet Explorer 5.0-s �s �jabb verzi�i t�mogatj�k. A Microsoft Tud�sb�zis kapcsol�d� cikke:

217098� (http://support.microsoft.com/kb/217098/ ) A Windows 2000 Kerberos felhaszn�l�hiteles�t�si protokollj�nak gyors �ttekint�se (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)

A lap tetej�re

Az Internet Explorer konfigur�l�sa a deleg�l�shoz

Internet Explorer 5.0 vagy �jabb verzi� haszn�lata eset�n az Internet Explorer a k�vetkez�k�pp �ll�that� be az ASP.NET �s az IIS k�z�tti deleg�l�shoz. Ehhez hajtsa v�gre a k�vetkez� l�p�seket:

Ind�tsa el az Internet Explorer b�ng�sz�t. Kattintson a men�s�v Eszk�z�k men�j�re, majd annak Internetbe�ll�t�sok parancs�ra.
Kattintson a Speci�lis f�lre, �s kattint�ssal jel�lje be Az integr�lt Windows-hiteles�t�s enged�lyez�se (�jraind�t�st ig�nyel) jel�l�n�gyzetet.

Ez a be�ll�t�s lehet�v� teszi, hogy az Internet Explorer v�laszoljon az egyeztet�si k�r�sekre, majd Kerberos-hiteles�t�st hajtson v�gre. Mivel a szolg�ltat�shoz Windows 2000 vagy �jabb oper�ci�s rendszer sz�ks�ges, ha az Internet Explorer nem e rendszerek valamelyik�n fut, nem fog v�laszolni az egyeztet�si k�r�sre. Az Internet Explorer alap�rtelmez�s szerint az NTLM-hiteles�t�st haszn�lja, Az integr�lt Windows-hiteles�t�s enged�lyez�se (�jraind�t�st ig�nyel) jel�l�n�gyzet bejel�l�s�t�l f�ggetlen�l.

Figyelmeztet�s: A Rendszerle�r�adatb�zis-szerkeszt�vel vagy m�s eszk�zzel helytelen�l m�dos�tott rendszerle�r� adatb�zis komoly probl�m�kat okozhat, amelyek ak�r az oper�ci�s rendszer �jratelep�t�s�t is sz�ks�gess� tehetik. A Microsoft nem garant�lja az ilyen jelleg� probl�m�k megoldhat�s�g�t, ez�rt a rendszerle�r� adatb�zist csak saj�t felel�ss�g�re m�dos�thatja.
Megjegyz�s: A Microsoft Windows 2000 vagy �jabb verzi�j� rendszert futtat� sz�m�t�g�peken a rendszergazd�k a rendszerle�r�-adatb�zis
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
kulcs�ban tal�lhat� REG_DWORD t�pus� EnableNegotiate bejegyz�s 1 �rt�kre t�rt�n� be�ll�t�s�val enged�lyezhetik az integr�lt Windows-hiteles�t�st.
Bizonyos esetekben a Kerberos-hiteles�t�s sikertelen az Internet Explorer �gyfeleken. Tov�bbi inform�ci�t a Kerberos-hiteles�t�ssel kapcsolatos k�rd�sekr�l a Microsoft Tud�sb�zis k�vetkez� cikkeiben tal�l a cikkek sz�m�ra kattintva:
321728� (http://support.microsoft.com/kb/321728/ ) Az Internet Explorer proxykiszolg�l�kkal nem t�mogatja a Kerberos-hiteles�t�st (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)
325608� (http://support.microsoft.com/kb/325608/ ) A Kerberos-hiteles�t�sen kereszt�li hiteles�t�s-deleg�l�s terhel�selosztott architekt�r�kban nem m�k�dik (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)
248350� (http://support.microsoft.com/kb/248350/ ) Az IIS 4.0 rendszerr�l az IIS 5.0 rendszerre val� friss�t�st k�vet�en sikertelen a Kerberos-hiteles�t�s (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)
264921� (http://support.microsoft.com/kb/264921/ ) Hogyan hiteles�ti az IIS a b�ng�sz��gyfeleket (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)

A lap tetej�re

Az IIS konfigur�l�sa a deleg�l�shoz

Az ASP.NET technol�gi�t haszn�l� alkalmaz�sok eset�n az integr�lt Windows-hiteles�t�s, valamint a megszem�lyes�t�s bekapcsol�s�hoz az Internet Information Services (IIS) konfigur�l�sa sz�ks�ges. Az IIS Windows-hiteles�t�s haszn�lat�ra val� konfigur�l�sa az al�bbi l�p�sekkel tehet� meg:

Kattintson a Start men� Futtat�s parancs�ra, �rja be az inetmgr parancsot, majd kattintson az OK gombra.
Bontsa ki a helyi sz�m�t�g�p, ezt k�vet�en a Webhelyek �gat.
Kattintson jobb gombbal az Alap�rtelmezett webhely elemre, �s kattintson a Tulajdons�gok parancsra.
Kattintson a K�nyvt�rbiztons�g lap N�vtelen �s hiteles�tett hozz�f�r�s be�ll�t�sai csoportj�nak Szerkeszt�s gombj�ra.
Kattint�ssal jel�lje be a Be�p�tett Windows hiteles�t�s jel�l�n�gyzetet, �s t�r�lje a jelet a N�vtelen hozz�f�r�s, a Windows tartom�nykiszolg�l�k kivonatol� hiteles�t�se �s az Alapfok� hiteles�t�s jel�l�n�gyzetekb�l.

Megjegyz�s: Ha a n�vtelen hozz�f�r�s enged�lyezve van, az IIS m�g akkor is �gy pr�b�lkozik el�sz�r a hiteles�t�ssel, ha m�s m�dszerek is enged�lyezve vannak.

Ha a n�vtelen hozz�f�r�s, az integr�lt Windows-hiteles�t�s �s az alapfok� hiteles�t�si m�d is enged�lyezve van, a hiteles�t�si m�dszerek precedenci�ja a k�vetkez�: az integr�lt Windows-hiteles�t�s az els�, azt k�veti az alapfok� hiteles�t�s, azt pedig a n�vtelen hozz�f�r�s.

A lap tetej�re

Az ASP.NET konfigur�l�sa a deleg�l�shoz

Nyissa meg a Web.config f�jlt egy sz�vegszerkeszt� programban; ilyen p�ld�ul a Jegyzett�mb. A Web.config f�jl a webalkalmaz�s k�nyvt�r�ban tal�lhat�.
Keresse meg a Web.config f�jl <configuration> szakasz�ban a k�vetkez� r�szletet:
<allow users="*" /> <deny users="?" />
A <System.web> szakaszban a k�vetkez�k�pp ellen�rizze, hogy a hiteles�t�si elem �rt�ke Windows:
<authentication mode="Windows" />
A megszem�lyes�t�shez a k�vetkez� elemet adja hozz� a <System.web> szakaszhoz:
<identity impersonate="true"/>
A Microsoft Tud�sb�zis kapcsol�d� cikkei:
306158� (http://support.microsoft.com/kb/306158/ ) A megszem�lyes�t�s implement�l�sa ASP.NET alkalmaz�sokban (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)
317012� (http://support.microsoft.com/kb/317012/ ) Folyamat- �s k�relemidentit�s az ASP.NET nyelvben (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)
315736� (http://support.microsoft.com/kb/315736/ ) ASP.NET alkalmaz�sok biztons�goss� t�tele a Windows rendszerbiztons�g haszn�lat�val (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)

A lap tetej�re

Az Active Directory konfigur�l�sa deleg�l�shoz

A deleg�l�snak minden deleg�ltk�nt val� m�k�d�st lehet�v� tev� hiteles�t� adatokkal rendelkez� sz�m�t�g�pen enged�lyezve kell lennie. Ezt az Active Directory eszk�zeinek haszn�lat�val lehet elv�gezni.

Tov�bbi inform�ci�kat tal�l a Microsoft al�bbi weblapjain:

A deleg�l�si megb�zhat�s�g be�ll�t�s�r�l:
http://technet2.microsoft.com/windowsserver/en/library/b207ee9c-a055-43f7-b9be-20599b694a311033.mspx (http://technet2.microsoft.com/windowsserver/en/library/b207ee9c-a055-43f7-b9be-20599b694a311033.mspx)

A felhaszn�l�i �s sz�m�t�g�pfi�kokr�l:
http://technet2.microsoft.com/windowsserver/en/library/91a98c38-38c5-49dc-83bf-e69d8e1dbbfa1033.mspx (http://technet2.microsoft.com/windowsserver/en/library/91a98c38-38c5-49dc-83bf-e69d8e1dbbfa1033.mspx)

Az IIS folyamat magja, az InetInfo.exe a LocalSystem fi�kon fut� szolg�ltat�s, amely a k�vetkez� feladatokat v�gzi:

Fogadja az �gyf�lk�relmet.
Megszem�lyes�ti a felhaszn�l�t.
Elv�gzi a megfelel� feladatokat.
Visszat�r a folyamat eredeti identit�s�hoz. Ez a LocalSystem.

Ha az InetInfo.exe alkalmaz�st a LocalSystem fi�kt�l elt�r� fi�kon futtatja, ellen�rizze, hogy az a fi�k viselkedhet-e meghatalmazottk�nt. Ebben az esetben nem kell konfigur�lni a sz�m�t�g�pet deleg�l�sra.

A lap tetej�re

Hibaelh�r�t�s

Ha az ASP.NET lap h�v�s�ra haszn�lt URL-c�mhez tartoz� webkiszolg�l� neve nem azonos az IIS szolg�ltat�st futtat� sz�m�t�g�p NetBIOS-nev�vel, az integr�lt hiteles�t�s a 401.3 hibak�dot eredm�nyezheti, �s sikertelen lehet. A probl�ma megold�s�hoz a SetSPN.exe seg�dprogrammal regisztr�ljon egy �j egyszer� szolg�ltat�snevet a sz�m�t�g�p r�sz�re. A Microsoft Tud�sb�zis kapcsol�d� cikke:
294382� (http://support.microsoft.com/kb/294382/ ) A hiteles�t�s sikertelen lehet �s �401.3� jel� hib�t eredm�nyezhet, ha a webhely �llom�sneve elt�r a kiszolg�l� NetBIOS-nev�t�l (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)
A Kerberos-hiteles�t�s terhel�selosztott architekt�r�kban nem m�k�dik, �s az IIS az NTLM-hiteles�t�s haszn�lat�ra v�lt vissza. Mivel az NTLM-hiteles�t�s deleg�l�shoz nem haszn�lhat�, a deleg�l�sra ig�nyt tart� alkalmaz�sok �s szolg�ltat�sok egyike sem m�k�dik. A Microsoft Tud�sb�zis kapcsol�d� cikke:
325608� (http://support.microsoft.com/kb/325608/ ) A Kerberos-hiteles�t�sen kereszt�li hiteles�t�s-deleg�l�s terhel�selosztott architekt�r�kban nem m�k�dik (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)
A Kerberos helyes m�k�d�s�hez a kommunik�ci� sor�n v�gig teljesen min�s�tett tartom�nyneveket (FQDN) kell haszn�lni.
Windows 2000 rendszer� �gyf�len Internet Explorer b�ng�sz�vel megnyitva egy olyan webhelyet, melynek �llom�s-fejl�cbeli neve nem azonos a sz�m�t�g�p NetBIOS-nev�vel, az integr�lt hiteles�t�s a 401.3 jel� hib�t eredm�nyezheti, �s sikertelen lehet. Fontos megjegyezni, hogy a Windows NT 4, Windows 98 vagy Windows 95 rendszereken fut� Internet Explorer �gyfelek eset�n a hiteles�t�s nem sikertelen. A t�bbi hiteles�t�si m�dszer m�k�dik.
Ha a webkiszolg�l� teljesen min�s�tett tartom�nynevet haszn�l, a webhelyet fel kell venni az Internet Explorer intranethelyeket tartalmaz� list�j�ba. Az al�bbi l�p�sek v�grehajt�s�val �llap�thatja meg, hogy a webkiszolg�l� teljesen min�s�tett tartom�nynevet haszn�l-e:
1. Ind�tsa el az Internet Explorer programot.
2. Az Eszk�z�k men�ben kattintson az Internetbe�ll�t�sok parancsra, majd a Biztons�g f�lre.
3. Kattint�ssal jel�lje ki a Helyi intranet z�n�t. Kattintson a Helyek gombra.
4. Kattintson a Speci�lis gombra, majd �rja be a webhely c�m�t a Webhely hozz�ad�sa a z�n�hoz mez�be. Kattintson a Hozz�ad�s, ezt k�vet�en az OK gombra.
Ha az Internet Explorer �gyf�l proxykiszolg�l� haszn�lat�ra van be�ll�tva, a Proxy figyelmen k�v�l hagy�sa helyi c�mekn�l jel�l�n�gyzetet be kell jel�lni. Az al�bbi l�p�seket k�vetve �llap�that� meg, hogy az Internet Explorer proxykiszolg�l� haszn�lat�ra van-e be�ll�tva:
1. Ind�tsa el az Internet Explorer programot.
2. Kattintson az Eszk�z�k men� Internetbe�ll�t�sok parancs�ra, majd a Kapcsolatok f�lre.
3. Kattintson a LAN-be�ll�t�sok gombra. Gy�z�dj�n meg r�la, hogy a Proxykiszolg�l� csoportban a Proxy figyelmen k�v�l hagy�sa helyi c�mekn�l jel�l�n�gyzet be van jel�lve.
Ha az ASP.NET technol�gi�t haszn�l� alkalmaz�snak SQL Server kiszolg�l�hoz is hozz� kell f�rnie, a TCP/IP protokoll haszn�lata sz�ks�ges. A named pipe-ok nem t�mogatj�k a Kerberos-deleg�l�st, kiz�r�lag NTLM-hiteles�t�st haszn�lnak. Ennek haszn�lat�hoz adja hozz� a k�vetkez� attrib�tumot a kapcsol�d�si karakterl�nchoz:
"Network Library =dbmssocn"
Ha nem adja meg ilyen m�don a h�l�zati k�nyvt�rat, az NTLM az �gyf�l-konfigur�ci�s seg�dprogramban (Cliconfg.exe) tal�lhat� els� k�nyvt�rbe�ll�t�st veszi figyelembe. Ez az alap�rtelmez�s a Microsoft Data Access Components (MDAC) 2.6-os verzi�j�ban named pipe-okr�l a TCP/IP-re v�ltozott.
A Microsoft Tud�sb�zis kapcsol�d� cikkei:
315159� (http://support.microsoft.com/kb/315159/ ) Programhiba: Az ASPNET fi�k alatt fut� munkav�gz� folyamatban nem m�k�dnek a named pipe-ok (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)
176377� (http://support.microsoft.com/kb/176377/ ) Az SQL Server el�r�se az ASP nyelvb�l az integr�lt biztons�g haszn�lat�val (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)
176379� (http://support.microsoft.com/kb/176379/ ) Az IIS �s az SQL Server telep�t�se k�t, egym�s fel� megb�zhat� kapcsolattal rendelkez� sz�m�t�g�pen (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)
247931� (http://support.microsoft.com/kb/247931/ ) Az SQL Server rendszerhez val� kapcsol�d�s hiteles�t�si m�djai az Active Server Pages technol�gia haszn�lata eset�n (El�fordulhat, hogy a hivatkoz�s r�szben vagy teljes eg�sz�ben angol nyelv� tartalomra mutat.)

A lap tetej�re

Hivatkoz�sok

A biztons�gos web alap� alkalmaz�sok tervez�s�r�l tov�bbi tudnival�kat tal�l, �s k�l�nb�z� deleg�l�si forgat�k�nyvekkel ismerkedhet meg a Microsoft Developer Network (MSDN) al�bbi webhely�n:

http://msdn2.microsoft.com/en-us/library/aa302415.aspx (http://msdn2.microsoft.com/en-us/library/aa302415.aspx)

A biztons�gos web alap� alkalmaz�sok tervez�s�r�l b�vebben olvashat a k�vetkez� kiadv�nyban:

Designing Secure Web-Based Applications
Microsoft Press
Michael Howard, Marc Levy, and Richard Waymire
ISBN 0-7356-0995-0

A lap tetej�re

A cikkben tal�lhat� inform�ci� a k�vetkez�(k)re vonatkozik:

Microsoft ASP.NET 1.1
Microsoft ASP.NET 1.0
Microsoft Internet Information Services 5.0
Microsoft Internet Information Services 6.0

A lap tetej�re

kbhowto kbhowtomaster kbwebserver kbwebforms kbconfig kbauthentication kbclient kbdomain KB810572

A lap tetej�re

A Microsoft tud�sb�zisban szolg�ltatott inform�ci�kat "az adott �llapotban", b�rminem� szavatoss�g vagy garancia n�lk�l biztos�tjuk. A Microsoft kiz�r mindennem�, ak�r kifejezett, ak�r v�lelmezett szavatoss�got vagy garanci�t, ide�rtve a forgalomk�pess�gre �s az adott c�lra val� alkalmass�gra vonatkoz� szavatoss�got is. A Microsoft Corporation �s annak besz�ll�t�i semmilyen k�r�lm�nyek k�z�tt nem felel�sek semminem� k�r�rt, �gy a k�zvetlen, a k�zvetett, az �zleti haszon elmarad�s�b�l sz�rmaz� vagy speci�lis k�rok�rt, illetve a k�r k�vetkezm�nyek�nt felmer�l� k�lts�gek megt�r�t�s��rt, m�g abban az esetben sem, ha a Microsoft Corporationt vagy besz�ll�t�it az ilyen k�rok bek�vetkezt�nek lehet�s�g�re figyelmeztett�k. Egyes �llamok joga nem teszi lehet�v� bizonyos k�rok�rt a felel�ss�g kiz�r�s�t vagy korl�toz�s�t, ez�rt a fenti korl�toz�sok az �n eset�ben esetleg nem alkalmazhat�k.

This site in other countries/regions:

ASP.NET alkalmaz�sok konfigur�l�sa deleg�l�shoz

A lap tartalma

�sszefoglal�

A deleg�l�s k�vetelm�nyei

Az Internet Explorer konfigur�l�sa a deleg�l�shoz

Az IIS konfigur�l�sa a deleg�l�shoz

Az ASP.NET konfigur�l�sa a deleg�l�shoz

Az Active Directory konfigur�l�sa deleg�l�shoz

Hibaelh�r�t�s

Hivatkoz�sok

A cikkben tal�lhat� inform�ci� a k�vetkez�(k)re vonatkozik:

Kulcsszavak:�

Tov�bbi t�mogat�s

K�z�ss�g

Azonnali seg�ts�g

A cikk ford�t�sa