Descrição da actualização que implementa a Protecção Expandida para Autenticação nos Serviços de Informação Internet (IIS)

• Agora, esta actualização detectará correctamente quando um computador com o Windows Server 2003 Service Pack 2 (SP2) se encontrar numa instalação na qual o IIS 6 contém alguns binários do Windows Server 2003 Service Pack 1 (SP1), e não autorizará a instalação, saindo da mesma com um código de erro. As versões da actualização 973917 que tiverem sido disponibilizadas antes desta data serão instaladas com êxito, mas poderão fazer com que o IIS não seja reiniciado após a instalação.
• Em computadores com o Windows Server 2003, esta versão corrige um problema que poderia fazer com que quantidades excessivas de memória fossem atribuídas depois da activação da Protecção Expandida para Autenticação.
• Em computadores com o Windows Server 2008, esta versão corrige um problema que poderia fazer com que a Protecção Expandida não funcionasse correctamente quando o IIS está configurado para utilizar a Autenticação do Windows do modo Kernel.

Voltar ao topo

Configuração

• Informações de enlace de canal especificadas através de um Token de Enlace de Canal (CBT). Utiliza-se essencialmente para ligações SSL.
• Informações de enlace do serviço especificadas através de um nome do principal do serviço (SPN). Utiliza-se essencialmente para ligações que não utilizem SSL ou quando se estabelece uma ligação. Por exemplo, este é um cenário provável em que o SSL é descarregado para outro dispositivo, como um servidor proxy ou um balanceador de carga.

Voltar ao topo

Cenários relacionados com a Protecção Expandida

• Nestes cenários, também seria possível especificar o sinalizador AllowDotlessSpn se o seu ambiente de rede suportar SPNs baseados no NetBIOS. No entanto, os SPNs baseados no NetBios não são seguros.
• O sinalizador NoServiceNameCheck não deve ser especificado nos cenários em que se utilize verificação do SPN e não a verificação do token de enlace de canal.
• A instalação predefinida do IIS 6.0, IIS 7.0 ou IIS 7.5 não activa nem instala a autenticação do Windows. A Protecção Expandida é apenas aplicável quando a autenticação do Windows estiver activada para o seu Web site ou aplicação.

Voltar ao topo

Configuração no IIS 7.0 e 7.5

<windowsAuthentication enabled="false" />

Como activar a Protecção Expandida para a autenticação do Windows no IIS 7.5

1. Clique em Iniciar, aponte para Ferramentas Administrativas e clique em Gestor de Serviços de Informação Internet (IIS).
2. No painel Ligações, expanda o nome do servidor, expanda Sites e seleccione o site, aplicação ou serviço Web para o qual pretende activar a Protecção Expandida para a autenticação do Windows.
3. Avance para a secção Segurança no painel Home e faça duplo clique em Autenticação.
4. No painel Autenticação, seleccione Autenticação do Windows.
5. Clique em Activar no painel Acções.
6. Clique em Definições Avançadas no painel Acções.
7. Quando a caixa de diálogo Definições Avançadas for apresentada, seleccione uma das seguintes opções no menu Protecção Expandida:
   • Seleccione Aceitar se pretender activar a protecção expandida enquanto proporciona suporte de nível inferior para clientes que não suportem a protecção expandida.
   • Seleccione Necessária se pretender activar a protecção expandida sem fornecer suporte de nível inferior.
8. Clique em OK para fechar a caixa de diálogo Definições Avançadas.

Como activar a Protecção Expandida para a autenticação do Windows no IIS 7.0

Configuração

Atributo

Elementos Subordinados

Exemplo de Configuração

<location path="Default Web Site">
   <system.webServer>
      <security>
         <authentication>
            <windowsAuthentication enabled="true">
               <extendedProtection tokenChecking="Allow" flags="None">
                  <spn name="HTTP/www.contoso.com" />
                  <spn name="HTTP/contoso.com" />
               </extendedProtection>
            </windowsAuthentication>
         </authentication>
      </security>
   </system.webServer>
</location>

Exemplo de código

AppCmd.exe

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/windowsAuthentication /enabled:"True" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/windowsAuthentication /extendedProtection.tokenChecking:"Allow" /extendedProtection.flags:"None" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/windowsAuthentication /+"extendedProtection.[name='HTTP/www.contoso.com']" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/windowsAuthentication /+"extendedProtection.[name='HTTP/contoso.com']" /commit:apphost

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetApplicationHostConfiguration();

         ConfigurationSection windowsAuthenticationSection = config.GetSection("system.webServer/security/authentication/windowsAuthentication", "Default Web Site");
         windowsAuthenticationSection["enabled"] = true;

         ConfigurationElement extendedProtectionElement = windowsAuthenticationSection.GetChildElement("extendedProtection");
         extendedProtectionElement["tokenChecking"] = @"Allow";
         extendedProtectionElement["flags"] = @"None";

         ConfigurationElementCollection extendedProtectionCollection = extendedProtectionElement.GetCollection();

         ConfigurationElement spnElement = extendedProtectionCollection.CreateElement("spn");
         spnElement["name"] = @"HTTP/www.contoso.com";
         extendedProtectionCollection.Add(spnElement);

         ConfigurationElement spnElement1 = extendedProtectionCollection.CreateElement("spn");
         spnElement1["name"] = @"HTTP/contoso.com";
         extendedProtectionCollection.Add(spnElement1);

         serverManager.CommitChanges();
      }
   }
}

Visual Basic .NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration
Module Sample
   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetApplicationHostConfiguration

      Dim windowsAuthenticationSection As ConfigurationSection = config.GetSection("system.webServer/security/authentication/windowsAuthentication", "Default Web Site")
      windowsAuthenticationSection("enabled") = True

      Dim extendedProtectionElement As ConfigurationElement = windowsAuthenticationSection.GetChildElement("extendedProtection")
      extendedProtectionElement("tokenChecking") = "Allow"
      extendedProtectionElement("flags") = "None"

      Dim extendedProtectionCollection As ConfigurationElementCollection = extendedProtectionElement.GetCollection

      Dim spnElement As ConfigurationElement = extendedProtectionCollection.CreateElement("spn")
      spnElement("name") = "HTTP/www.contoso.com"
      extendedProtectionCollection.Add(spnElement)

      Dim spnElement1 As ConfigurationElement = extendedProtectionCollection.CreateElement("spn")
      spnElement1("name") = "HTTP/contoso.com"
      extendedProtectionCollection.Add(spnElement1)

      serverManager.CommitChanges()
   End Sub
End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST";

var windowsAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/windowsAuthentication", "MACHINE/WEBROOT/APPHOST/Default Web Site");
windowsAuthenticationSection.Properties.Item("enabled").Value = true;

var extendedProtectionElement = windowsAuthenticationSection.ChildElements.Item("extendedProtection");
extendedProtectionElement.Properties.Item("tokenChecking").Value = "Allow";
extendedProtectionElement.Properties.Item("flags").Value = "None";

var extendedProtectionCollection = extendedProtectionElement.Collection;

var spnElement = extendedProtectionCollection.CreateNewElement("spn");
spnElement.Properties.Item("name").Value = "HTTP/www.contoso.com";
extendedProtectionCollection.AddElement(spnElement);

var spnElement1 = extendedProtectionCollection.CreateNewElement("spn");
spnElement1.Properties.Item("name").Value = "HTTP/contoso.com";
extendedProtectionCollection.AddElement(spnElement1);

adminManager.CommitChanges();

VBScript

Set adminManager = createObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST"

Set windowsAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/windowsAuthentication", "MACHINE/WEBROOT/APPHOST/Default Web Site")
windowsAuthenticationSection.Properties.Item("enabled").Value = True

Set extendedProtectionElement = windowsAuthenticationSection.ChildElements.Item("extendedProtection")
extendedProtectionElement.Properties.Item("tokenChecking").Value = "Allow"
extendedProtectionElement.Properties.Item("flags").Value = "None"

Set extendedProtectionCollection = extendedProtectionElement.Collection

Set spnElement = extendedProtectionCollection.CreateNewElement("spn")
spnElement.Properties.Item("name").Value = "HTTP/www.contoso.com"
extendedProtectionCollection.AddElement(spnElement)

Set spnElement1 = extendedProtectionCollection.CreateNewElement("spn")
spnElement1.Properties.Item("name").Value = "HTTP/contoso.com"
extendedProtectionCollection.AddElement(spnElement1)

adminManager.CommitChanges()

Voltar ao topo

Configuração no IIS 6.0

1. Inicie o Editor de Registo. Para tal, clique em Iniciar, clique em Executar, escreva regedit e clique em OK.
2. Localize e clique na seguinte subchave de registo:
   
   
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\W3SVC\Parameters\extendedProtection\
3. Verifique a presença dos valores de registo
   tokenChecking
   ,
   Flags
   e
   spns
   .
   
   Se estes valores de registo não existirem, siga estes passos para os criar:
   1. Seleccione a subchave indicada no passo 2, aponte para Novo no menu Editar e clique em Valor DWORD.
   2. Escreva tokenChecking e prima ENTER.
   3. Seleccione a subchave indicada no passo 2, aponte para Novo no menu Editar e clique em Valor DWORD.
   4. Escreva flags e prima ENTER.
   5. Seleccione a subchave indicada no passo 2, aponte para Novo no menu Editar e clique em Valor MULTI_SZ.
   6. Escreva spns e prima ENTER.
4. Clique para seleccionar o valor de registo tokenChecking.
5. No menu Editar, clique em Modificar.
6. Na caixa Dados do valor, escreva o valor pretendido e clique em OK.
7. Clique para seleccionar o valor de registo flags.
8. Na caixa Dados do valor, escreva o valor pretendido e clique em OK.
9. Clique para seleccionar o valor de registo spns.
10. Na caixa Dados do valor, introduza um spn adequado e clique em OK.
11. Saia do Editor de Registo.

Voltar ao topo

Informações sobre a actualização

Voltar ao topo

Pré-requisitos para o Windows Server 2003

Problemas conhecidos

• Windows Server 2003
  
  Esta actualização foi disponibilizada em 9 de Março de 2010, para efectuar uma verificação adicional para garantir que o sistema IIS 6, instalado num computador com o Windows Server 2003 SP2, não contém binários da versão SP1. Se forem encontrados esses binários, esta actualização será fechada com uma mensagem de erro. Para corrigir esta situação, volte a aplicar a actualização SP2 nos computadores e instale este pacote depois de ter instalado com êxito o SP2.
  
  A versão original desta actualização de segurança, disponibilizada em 9 de Março de 2010, pode fazer com que os conjuntos aplicacionais do IIS não sejam iniciados em instalações do Windows Server 2003 SP2 nas quais o IIS 6 possa conter alguns binários do SP1. O registo do Sistema apresentará a seguinte mensagem de erro ao iniciar o serviço IIS:
  ID do evento 1009, Descrição: Um processo que fornecia serviços ao conjunto aplicacional "DefaultAppPool" foi terminado inesperadamente. O ID do processo era "1234"
  Para obter mais informações sobre este problema conhecido, clique no número de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento daMicrosoft:
  2009746  (http://support.microsoft.com/kb/2009746/ ) Os Serviços de Informação Internet 6.0 poderão não funcionar correctamente após a instalação da actualização KB973917 (em inglês)
  Recomendamos a consulta da secção "Pré-requisitos para o Windows Server 2003" se o computador não tiver uma instalação de raiz do Windows Server 2003 SP2.
  
  A partir de 16 de Dezembro de 2009, se utilizar as Actualizações Automáticas, deixará de receber esta actualização se a instalação do IIS estiver numa configuração em que ambos os binários SP1 e SP2 estão presentes. Recomendamos que reveja o seguinte artigo na Base de Dados de Conhecimento da Microsoft para saber quais os próximos passos que terá de efectuar para se certificar de que o computador está preparado para aplicar esta actualização.
  2009746  (http://support.microsoft.com/kb/2009746/ ) Os Serviços de Informação Internet 6.0 poderão não funcionar correctamente após a instalação da actualização KB973917 (em inglês)
• Windows Server 2003 e Windows Server 2008
  
  Esta versão foi disponibilizada novamente em 9 Março de 2010, e substitui na totalidade a versão inicial. Se instalar a versão mais recente, a versão inicial será desinstalada e substituída pela nova. A desinstalação da versão de 9 de Março desta actualização deixará o computador sem a Protecção Expandida para a funcionalidade IIS.

Voltar ao topo

Como obter esta actualização

Para o Windows Server 2003

Para versões do Windows Server 2003 baseadas em Itanium

Para versões do Windows Server 2003 baseadas em x64 e para a edição do Windows XP x64

Para o Windows Server 2008

Para versões do Windows Server 2008 baseadas em Itanium

Para versões do Windows Server 2008 baseadas em x64

Para o Windows Vista

Para versões do Windows Vista baseadas em x64

Voltar ao topo

Voltar ao topo

Informações sobre ficheiros do Windows XP e do Windows Server 2003

• Os ficheiros aplicáveis a uma especificação (RTM, SPn) e ramo de serviço (QFE, GDR) específicos estão anotados nas colunas "Requisito SP" e "Ramo de serviço".
• Os ramos de serviço GDR contêm apenas as correcções amplamente distribuídas para resolver problemas críticos generalizados. Os ramos de serviço QFE contêm outras correcções além das correcções amplamente distribuídas.
• Além dos ficheiros listados nestas tabelas, esta actualização de software também instala um ficheiro de catálogo de segurança (KBnúmero.cat) associado que está assinado com uma assinatura digital da Microsoft.

Para todas as versões baseadas em x64 suportadas do Windows Server 2003 e do Windows XP Professional x64 Edition

Para todas as versões baseadas em x86 suportadas do Windows Server 2003

Para todas as versões baseadas em IA-64 suportadas do Windows Server 2003

Voltar ao topo

Informações sobre ficheiros do Windows Vista e do Windows Server 2008

• Os ficheiros aplicáveis a um produto, especificação (RTM, SPn) e ramo de serviço (LDR, GDR) específicos podem ser identificados examinando os números de versão dos ficheiros, conforme mostrado na tabela seguinte:
  Reduzir esta tabelaExpandir esta tabela

  Versão	Produto	Especificação	Ramo de serviço
  6.0.6000. 16xxx	Windows Vista	RTM	GDR
  6.0.6000. 20xxx	Windows Vista	RTM	LDR
  6.0.6001. 18xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	GDR
  6.0.6001. 22xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	LDR
  6.0.6002. 18xxx	Windows Vista SP2 e Windows Server 2008 SP2	SP2	GDR
  6.0.6002. 22xxx	Windows Vista SP2 e Windows Server 2008 SP2	SP2	LDR

• O Service Pack 1 está integrado na versão original do Windows Server 2008. Por isso, os ficheiros da especificação RTM aplicam-se apenas ao Windows Vista. Os ficheiros da especificação RTM possuem um número de versão 6.0.0000.xxxxxx.
• Os ramos de serviço GDR contêm apenas as correcções amplamente distribuídas para resolver problemas críticos generalizados. Os ramos de serviço LDR incluem outras correcções para além das correcções amplamente distribuídas.
• Os ficheiros MANIFEST (.manifest) e MUM (.mum) instalados em cada ambiente são listados separadamente. Os ficheiros MUM e MANIFEST, assim como os ficheiros de catálogo de segurança (.cat) associados, são essenciais para manter o estado do componente actualizado. Os ficheiros de catálogo de segurança (atributos não listados) são assinados com uma assinatura digital da Microsoft.

Para todas as versões baseadas em x86 suportadas do Windows Vista e do Windows Server 2008

Para todas as versões baseadas em x64 suportadas do Windows Vista e do Windows Server 2008

Para todas as versões baseadas em IA-64 suportadas do Windows Server 2008