Description de la mise à jour qui implémente la protection étendue pour l'authentification dans les Services IIS

• cette mise à jour doit désormais détecter sans problème lorsqu'un ordinateur exécuté sous Windows Server 2003 Service Pack 2 (SP2) se trouve sur une installation où IIS 6 contient certains fichiers binaires Windows Server 2003 Service Pack 1 (SP1). Elle refuse également de s'installer et de se fermer avec un code d'erreur. Les versions de la mise à jour 973917 qui ont été publiées avant cette date pourront être installées correctement, mais les services IIS pourraient ne pas redémarrer après l'installation.
• Sur un ordinateur exécutant Windows Server 2003, cette mise à jour republiée permet de résoudre un problème qui pourrait engendrer une allocation excessive de mémoire par rapport à l'activation de la protection étendue pour l'authentification.
• Sur un ordinateur exécutant Windows Server 2008, cette mise à jour republiée permet de résoudre un problème qui pourrait engendrer un dysfonctionnement de la protection étendue lorsque les services IIS sont configurés pour utiliser l'authentification Windows en mode noyau.

Retour au début | Envoyer des commentaires

Configuration

• Informations de liaison de canal qui sont spécifiées via un jeton de liaison de canal. Ce mécanisme est utilisé principalement pour les connexions SSL.
• Informations de liaison de service qui sont spécifiées via un nom principal de service. Ce mécanisme est utilisé principalement pour les connexions qui n'utilisent pas SSL ou lorsqu'une connexion est établie. Par exemple, un scénario dans lequel SSL est déchargé vers un autre périphérique, comme un serveur proxy ou un équilibrage de charge.

Scénarios de protection étendue

• Dans ces scénarios, vous pouvez également spécifier l'indicateur AllowDotlessSpn si votre environnement réseau prend en charge les noms principaux de service basés sur NetBIOS. Toutefois, les noms principaux de service basés sur NetBIOS ne sont pas sécurisés.
• Pour les scénarios dans lesquels la vérification de nom principal de service est utilisée et pas la vérification de jeton de liaison de canal, vous ne devez pas spécifier l'indicateur NoServiceNameCheck.
• L'installation par défaut de IIS 6.0, IIS 7.0 ou IIS 7.5 ne permet pas d'activer ou d'installer l'authentification Windows. La protection étendue est applicable uniquement lorsque l'authentification Windows est activée pour votre site Web ou votre application.

Configuration sous IIS 7.0 et 7.5

<windowsAuthentication enabled="false" />

Comment activer la protection étendue pour l'authentification Windows pour IIS 7.5

1. Cliquez sur Démarrer, pointez sur Outils d'administration, puis cliquez sur Gestionnaire des services Internet (IIS).
2. Dans le volet Connexions, développez le nom du serveur, Sites, puis sélectionnez le site, l'application ou le service Web pour lequel vous souhaitez activer la protection étendue pour l'authentification Windows.
3. Accédez à la section Sécurité dans le volet Accueil, puis double-cliquez sur Authentification.
4. Dans le volet Authentification, sélectionnez Authentification Windows.
5. Cliquez sur Activer dans le volet Actions.
6. Cliquez sur Paramètres avancés dans le volet Actions.
7. Lorsque la boîte de dialogue Paramètres avancés s'affiche, sélectionnez l'une des options suivantes dans le menu Protection étendue :
   • Sélectionnez Accepter si vous souhaitez activer la protection étendue avec prise en charge de bas niveau pour les clients qui ne prennent pas en charge la protection étendue.
   • Sélectionnez Requise si vous souhaitez activer la protection étendue sans fournir de prise en charge de bas niveau.
8. Cliquez sur OK pour fermer la boîte de dialogue Paramètres avancés.

Comment activer la protection étendue pour l'authentification Windows pour IIS 7.0

Attribut de

configuration

Éléments enfants

Exemple de configuration

<location path="Default Web Site">
   <system.webServer>
      <security>
         <authentication>
            <windowsAuthentication enabled="true">
               <extendedProtection tokenChecking="Allow" flags="None">
                  <spn name="HTTP/www.contoso.com" />
                  <spn name="HTTP/contoso.com" />
               </extendedProtection>
            </windowsAuthentication>
         </authentication>
      </security>
   </system.webServer>
</location>

Exemple de code

AppCmd.exe

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/windowsAuthentication /enabled:"True" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/windowsAuthentication /extendedProtection.tokenChecking:"Allow" /extendedProtection.flags:"None" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/windowsAuthentication /+"extendedProtection.[name='HTTP/www.contoso.com']" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/windowsAuthentication /+"extendedProtection.[name='HTTP/contoso.com']" /commit:apphost

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetApplicationHostConfiguration();

         ConfigurationSection windowsAuthenticationSection = config.GetSection("system.webServer/security/authentication/windowsAuthentication", "Default Web Site");
         windowsAuthenticationSection["enabled"] = true;

         ConfigurationElement extendedProtectionElement = windowsAuthenticationSection.GetChildElement("extendedProtection");
         extendedProtectionElement["tokenChecking"] = @"Allow";
         extendedProtectionElement["flags"] = @"None";

         ConfigurationElementCollection extendedProtectionCollection = extendedProtectionElement.GetCollection();

         ConfigurationElement spnElement = extendedProtectionCollection.CreateElement("spn");
         spnElement["name"] = @"HTTP/www.contoso.com";
         extendedProtectionCollection.Add(spnElement);

         ConfigurationElement spnElement1 = extendedProtectionCollection.CreateElement("spn");
         spnElement1["name"] = @"HTTP/contoso.com";
         extendedProtectionCollection.Add(spnElement1);

         serverManager.CommitChanges();
      }
   }
}

Visual Basic .NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration
Module Sample
   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetApplicationHostConfiguration

      Dim windowsAuthenticationSection As ConfigurationSection = config.GetSection("system.webServer/security/authentication/windowsAuthentication", "Default Web Site")
      windowsAuthenticationSection("enabled") = True

      Dim extendedProtectionElement As ConfigurationElement = windowsAuthenticationSection.GetChildElement("extendedProtection")
      extendedProtectionElement("tokenChecking") = "Allow"
      extendedProtectionElement("flags") = "None"

      Dim extendedProtectionCollection As ConfigurationElementCollection = extendedProtectionElement.GetCollection

      Dim spnElement As ConfigurationElement = extendedProtectionCollection.CreateElement("spn")
      spnElement("name") = "HTTP/www.contoso.com"
      extendedProtectionCollection.Add(spnElement)

      Dim spnElement1 As ConfigurationElement = extendedProtectionCollection.CreateElement("spn")
      spnElement1("name") = "HTTP/contoso.com"
      extendedProtectionCollection.Add(spnElement1)

      serverManager.CommitChanges()
   End Sub
End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST";

var windowsAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/windowsAuthentication", "MACHINE/WEBROOT/APPHOST/Default Web Site");
windowsAuthenticationSection.Properties.Item("enabled").Value = true;

var extendedProtectionElement = windowsAuthenticationSection.ChildElements.Item("extendedProtection");
extendedProtectionElement.Properties.Item("tokenChecking").Value = "Allow";
extendedProtectionElement.Properties.Item("flags").Value = "None";

var extendedProtectionCollection = extendedProtectionElement.Collection;

var spnElement = extendedProtectionCollection.CreateNewElement("spn");
spnElement.Properties.Item("name").Value = "HTTP/www.contoso.com";
extendedProtectionCollection.AddElement(spnElement);

var spnElement1 = extendedProtectionCollection.CreateNewElement("spn");
spnElement1.Properties.Item("name").Value = "HTTP/contoso.com";
extendedProtectionCollection.AddElement(spnElement1);

adminManager.CommitChanges();

VBScript

Set adminManager = createObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST"

Set windowsAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/windowsAuthentication", "MACHINE/WEBROOT/APPHOST/Default Web Site")
windowsAuthenticationSection.Properties.Item("enabled").Value = True

Set extendedProtectionElement = windowsAuthenticationSection.ChildElements.Item("extendedProtection")
extendedProtectionElement.Properties.Item("tokenChecking").Value = "Allow"
extendedProtectionElement.Properties.Item("flags").Value = "None"

Set extendedProtectionCollection = extendedProtectionElement.Collection

Set spnElement = extendedProtectionCollection.CreateNewElement("spn")
spnElement.Properties.Item("name").Value = "HTTP/www.contoso.com"
extendedProtectionCollection.AddElement(spnElement)

Set spnElement1 = extendedProtectionCollection.CreateNewElement("spn")
spnElement1.Properties.Item("name").Value = "HTTP/contoso.com"
extendedProtectionCollection.AddElement(spnElement1)

adminManager.CommitChanges()

Configuration sous IIS 6.0

1. Démarrez l'Éditeur du Registre. Pour cela, cliquez sur Démarrer, sur Exécuter, tapez regedit, puis cliquez sur OK.
2. Recherchez la sous-clé de Registre suivante, puis cliquez dessus :
   
   
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\W3SVC\Parameters\extendedProtection\
3. Vérifiez que les valeurs de Registre
   tokenChecking
   ,
   Flags
   et
   spns
   sont présentes.
   
   Si ce n'est pas le cas, procédez comme suit pour les créer :
   1. Sélectionnez la sous-clé de Registre indiquée à l'étape 2, pointez sur Nouveau dans le menu Edition, puis cliquez sur Valeur DWORD.
   2. Tapez tokenChecking et appuyez sur Entrée.
   3. Sélectionnez la sous-clé de Registre indiquée à l'étape 2, pointez sur Nouveau dans le menu Edition, puis cliquez sur Valeur DWORD.
   4. Tapez flags, puis appuyez sur Entrée.
   5. Sélectionnez la sous-clé de Registre indiquée à l'étape 2, pointez sur Nouveau dans le menu Edition, puis cliquez sur Valeur MULTI_SZ.
   6. Tapez spns et appuyez sur Entrée.
4. Cliquez pour sélectionner la valeur de Registre tokenChecking.
5. Dans le menu Edition, cliquez sur Modifier.
6. Dans la zone Données de la valeur, tapez la valeur préférée, puis cliquez sur OK.
7. Cliquez pour sélectionner la valeur de Registre flags.
8. Dans la zone Données de la valeur, tapez la valeur préférée, puis cliquez sur OK.
9. Cliquez pour sélectionner la valeur de Registre spns.
10. Dans la zone Données de la valeur, entrez un nom principal de service approprié, puis cliquez sur OK.
11. Quittez l'Éditeur du Registre.

Retour au début | Envoyer des commentaires

Informations sur les fichiers Windows XP et Windows Server 2003

• Les fichiers qui s'appliquent à un jalon (RTM, SPn) et à un dossier (QFE, GDR) spécifiques sont marqués dans les colonnes "SP requis" et "Dossier".
• Les dossiers GDR ne contiennent que les correctifs généralement publiés pour résoudre les problèmes critiques courants. Les dossiers QFE contiennent des correctifs en plus des correctifs généralement publiés.
• En plus des fichiers répertoriés dans ces tableaux, cette mise à jour logicielle installe aussi un fichier catalogue de sécurité associé (KBnuméro.cat) qui est signé avec une signature numérique Microsoft.

Pour toutes les versions x64 prises en charge de Windows Server 2003 et pour Windows XP Professionnel Édition x64

Pour toutes les versions x86 prises en charge de Windows Server 2003

Pour toutes les versions IA-64 prises en charge de Windows Server 2003

Informations sur les fichiers Windows Vista et Windows Server 2008

• Vous pouvez identifier les fichiers qui s'appliquent à un produit spécifique, un jalon (RTM, SPn) et à un dossier (LDR, GDR) en examinant les numéros de version des fichiers tels qu'ils apparaissent dans le tableau suivant :
  Réduire ce tableauAgrandir ce tableau

  Version	Produit	Jalon	Dossier
  6.0.6000. 16xxx	Windows Vista	RTM	GDR
  6.0.6000. 20xxx	Windows Vista	RTM	LDR
  6.0.6001. 18xxx	Windows Vista SP1 et Windows Server 2008 SP1	SP1	GDR
  6.0.6001. 22xxx	Windows Vista SP1 et Windows Server 2008 SP1	SP1	LDR
  6.0.6002. 18xxx	Windows Vista SP2 et Windows Server 2008 SP2	SP2	GDR
  6.0.6002. 22xxx	Windows Vista SP2 et Windows Server 2008 SP2	SP2	LDR

• Le Service Pack 1 est intégré dans la version de Windows Server 2008. Dès lors, les fichiers jalon RTM ne s'appliquent qu'à Windows Vista. Les fichiers jalon RTM présentent le numéro de version 6.0.0000.xxxxxx.
• Les dossiers GDR ne contiennent que les correctifs généralement publiés pour résoudre les problèmes critiques courants. Les dossiers LDR contiennent des correctifs en plus des correctifs généralement publiés.
• Les fichiers MANIFEST (.manifest) et MUM (.mum) installés pour chaque environnement sont répertoriés séparément. Les fichiers MUM et MANIFEST, ainsi que les fichiers du catalogue de sécurité associés (.cat), sont essentiels pour conserver l'état du composant mis à jour. Les fichiers du catalogue de sécurité (attributs non répertoriés) sont signés à l'aide d'une signature numérique de Microsoft.

Pour toutes les versions x86 prises en charge de Windows Vista et Windows Server 2008

Pour toutes les versions x64 prises en charge de Windows Vista et Windows Server 2008

Pour toutes les versions IA-64 prises en charge de Windows Server 2008