Descrição da atualização que implementa a Proteção Estendida para Autenticação no IIS (Serviços de Informações da Internet)

• Esta atualização detectará corretamente quando um computador que está executando o Windows Server 2003 Service Pack 2 (SP2) estiver em uma instalação onde o IIS 6 contém alguns binários do Windows Server 2003 Service Pack 1 (SP1) e se recusará a instalar, saindo com um código de erro. As versões da atualização 973917 que foram lançadas antes desta data serão instaladas com êxito, mas poderão fazer com que o IIS não seja reiniciado após a instalação.
• Em um computador que está executando o Windows Server 2003, este relançamento resolve um problema que poderia fazer com que uma grande quantidade de memória fosse alocada ao habilitar a Proteção Estendida para Autenticação.
• Em um computador que está executando o Windows Server 2008, este relançamento resolve um problema que poderia fazer com que a Proteção Estendida não funcionasse corretamente se o ISS fosse configurado para usar a Autenticação do Windows em modo kernel.

Voltar para o início

Configuração

• Informações de associação de canal, especificadas por meio de uma CBT (Token de Associação de Canal). Esse mecanismo é usado principalmente para conexões SSL.
• Informações de associação de serviço, especificadas por meio de um SPN (Nome da Entidade de Serviço). Esse mecanismo é usado principalmente em conexões que não usam SSL ou quando uma conexão é estabelecida. Por exemplo, isso pode ocorrer quando o SSL é descarregado para outro dispositivo, como um servidor proxy ou balanceador de carga.

Voltar para o início

Cenários de proteção estendida

• Nesses cenários, você também poderá especificar o sinalizador AllowDotlessSpn se seu ambiente de rede oferecer suporte a SPNs baseados em NetBIOS. No entanto, os SPNs baseados em NetBIOS não são seguros.
• Nos cenários em que a verificação SPN é usada e a verificação de token de associação do canal não é usada, você não deve especificar o sinalizador NoServiceNameCheck.
• A instalação padrão do IIS 6.0, do IIS 7.0 ou do IIS 7.5 não habilita nem instala a autenticação do Windows. A proteção estendida só é aplicável quando a autenticação do Windows está habilitada para seu site ou aplicativo.

Voltar para o início

Configuração no IIS 7.0 e no IIS 7.5

<windowsAuthentication enabled="false" />

Como habilitar a Proteção Estendida da autenticação do Windows para o IIS 7.5

1. Clique em Iniciar, aponte para Ferramentas Administrativas e clique em Gerenciador dos Serviços de Informações da Internet (IIS).
2. No painel Conexões, expanda o nome do servidor, expanda Sites e, em seguida, selecione o site, o aplicativo ou o serviço Web para o qual deseja habilitar a Proteção Estendida da autenticação do Windows.
3. Role para a seção Segurança no painel Página Inicial e clique duas vezes em Autenticação.
4. No painel Autenticação, selecione Autenticação do Windows.
5. No painel Ações, clique em Habilitar.
6. No painel Ações, clique em Configurações Avançadas.
7. Quando a caixa de diálogo Configurações Avançadas for exibida, selecione uma das seguintes opções no menu Proteção Estendida:
   • Selecione Aceitar se desejar habilitar a proteção estendida e, ao mesmo tempo, oferecer suporte a versões anteriores para clientes que não têm suporte para proteção estendida.
   • Selecione Necessário se desejar habilitar a proteção estendida sem oferecer suporte a versões anteriores.
8. Clique em OK para fechar a caixa de diálogo Configurações Avançadas.

Como habilitar a Proteção Estendida da autenticação do Windows para IIS 7.0

Configuração

Atributo

Elementos Filho

Exemplo de Configuração

<location path="Default Web Site">
   <system.webServer>
      <security>
         <authentication>
            <windowsAuthentication enabled="true">
               <extendedProtection tokenChecking="Allow" flags="None">
                  <spn name="HTTP/www.contoso.com" />
                  <spn name="HTTP/contoso.com" />
               </extendedProtection>
            </windowsAuthentication>
         </authentication>
      </security>
   </system.webServer>
</location>

Código de Exemplo

AppCmd.exe

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/windowsAuthentication /enabled:"True" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/windowsAuthentication /extendedProtection.tokenChecking:"Allow" /extendedProtection.flags:"None" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/windowsAuthentication /+"extendedProtection.[name='HTTP/www.contoso.com']" /commit:apphost

appcmd.exe set config "Default Web Site" -section:system.webServer/security/authentication/windowsAuthentication /+"extendedProtection.[name='HTTP/contoso.com']" /commit:apphost

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetApplicationHostConfiguration();

         ConfigurationSection windowsAuthenticationSection = config.GetSection("system.webServer/security/authentication/windowsAuthentication", "Default Web Site");
         windowsAuthenticationSection["enabled"] = true;

         ConfigurationElement extendedProtectionElement = windowsAuthenticationSection.GetChildElement("extendedProtection");
         extendedProtectionElement["tokenChecking"] = @"Allow";
         extendedProtectionElement["flags"] = @"None";

         ConfigurationElementCollection extendedProtectionCollection = extendedProtectionElement.GetCollection();

         ConfigurationElement spnElement = extendedProtectionCollection.CreateElement("spn");
         spnElement["name"] = @"HTTP/www.contoso.com";
         extendedProtectionCollection.Add(spnElement);

         ConfigurationElement spnElement1 = extendedProtectionCollection.CreateElement("spn");
         spnElement1["name"] = @"HTTP/contoso.com";
         extendedProtectionCollection.Add(spnElement1);

         serverManager.CommitChanges();
      }
   }
}

Visual Basic .NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration
Exemplo de módulo
   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetApplicationHostConfiguration

      Dim windowsAuthenticationSection As ConfigurationSection = config.GetSection("system.webServer/security/authentication/windowsAuthentication", "Default Web Site")
      windowsAuthenticationSection("enabled") = True

      Dim extendedProtectionElement As ConfigurationElement = windowsAuthenticationSection.GetChildElement("extendedProtection")
      extendedProtectionElement("tokenChecking") = "Allow"
      extendedProtectionElement("flags") = "None"

      Dim extendedProtectionCollection As ConfigurationElementCollection = extendedProtectionElement.GetCollection

      Dim spnElement As ConfigurationElement = extendedProtectionCollection.CreateElement("spn")
      spnElement("name") = "HTTP/www.contoso.com"
      extendedProtectionCollection.Add(spnElement)

      Dim spnElement1 As ConfigurationElement = extendedProtectionCollection.CreateElement("spn")
      spnElement1("name") = "HTTP/contoso.com"
      extendedProtectionCollection.Add(spnElement1)

      serverManager.CommitChanges()
   End Sub
End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST";

var windowsAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/windowsAuthentication", "MACHINE/WEBROOT/APPHOST/Default Web Site");
windowsAuthenticationSection.Properties.Item("enabled").Value = true;

var extendedProtectionElement = windowsAuthenticationSection.ChildElements.Item("extendedProtection");
extendedProtectionElement.Properties.Item("tokenChecking").Value = "Allow";
extendedProtectionElement.Properties.Item("flags").Value = "None";

var extendedProtectionCollection = extendedProtectionElement.Collection;

var spnElement = extendedProtectionCollection.CreateNewElement("spn");
spnElement.Properties.Item("name").Value = "HTTP/www.contoso.com";
extendedProtectionCollection.AddElement(spnElement);

var spnElement1 = extendedProtectionCollection.CreateNewElement("spn");
spnElement1.Properties.Item("name").Value = "HTTP/contoso.com";
extendedProtectionCollection.AddElement(spnElement1);

adminManager.CommitChanges();

VBScript

Set adminManager = createObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST"

Set windowsAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/windowsAuthentication", "MACHINE/WEBROOT/APPHOST/Default Web Site")
windowsAuthenticationSection.Properties.Item("enabled").Value = True

Set extendedProtectionElement = windowsAuthenticationSection.ChildElements.Item("extendedProtection")
extendedProtectionElement.Properties.Item("tokenChecking").Value = "Allow"
extendedProtectionElement.Properties.Item("flags").Value = "None"

Set extendedProtectionCollection = extendedProtectionElement.Collection

Set spnElement = extendedProtectionCollection.CreateNewElement("spn")
spnElement.Properties.Item("name").Value = "HTTP/www.contoso.com"
extendedProtectionCollection.AddElement(spnElement)

Set spnElement1 = extendedProtectionCollection.CreateNewElement("spn")
spnElement1.Properties.Item("name").Value = "HTTP/contoso.com"
extendedProtectionCollection.AddElement(spnElement1)

adminManager.CommitChanges()

Voltar para o início

Configuração do IIS 6.0

1. Inicie o Editor do Registro. Para fazer isso, clique em Iniciar, clique em Executar, digite regedit e clique em OK.
2. Localize e clique na seguinte subchave do Registro:
   
   
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\W3SVC\Parameters\extendedProtection\
3. Verifique se os valores do Registro
   tokenChecking
   ,
   Flags
   e
   spns
   estão presentes.
   
   Se esses valores do Registro estiverem ausentes, siga estas etapas para criá-los:
   1. Selecione a subchave do Registro listada na etapa 2, aponte para Novo no menu Editar e clique em Valor DWORD.
   2. Digite tokenChecking e pressione ENTER.
   3. Selecione a subchave do Registro listada na etapa 2, aponte para Novo no menu Editar e clique em Valor DWORD.
   4. Digite flags e pressione ENTER.
   5. Selecione a subchave do Registro listada na etapa 2, aponte para Novo no menu Editar e clique em Valor MULTI_SZ.
   6. Digite spns e pressione ENTER.
4. Clique para selecionar o valor tokenChecking do Registro.
5. No menu Editar, clique em Modificar.
6. Na caixa Dados do valor, digite o valor desejado e clique em OK.
7. Clique para selecionar o valor flags do Registro.
8. Na caixa Dados do valor, digite o valor desejado e clique em OK.
9. Clique para selecionar o valor spns do Registro.
10. Na caixa Dados do valor, digite o spn apropriado e clique em OK.
11. Saia do Editor do Registro.

Voltar para o início

Informações de atualização

Voltar para o início

Pré-requisitos para o Windows Server 2003

Problemas conhecidos

• Windows Server 2003
  
  Esta atualização foi relançada em 9 de março de 2010 para executar uma verificação adicional e comprovar que o sistema IIS 6 em um computador que está executando o Windows Server 2003 SP2 não contém binários da versão SP1. Se esses binários forem encontrados, esta atualização será encerrada com uma mensagem de erro. Para corrigir essa condição, reaplique a atualização do SP2 nos seus computadores e instale este pacote depois de reinstalar o SP2.
  
  A versão original desta atualização de segurança, lançada antes de 9 de março de 2010, poderia fazer com que os pools de aplicativos do ISS não funcionassem em instalações do Windows Server 2003 SP2 onde o IIS 6 pode conter alguns binários do SP1. Os pools do aplicativo ISS podem não ser iniciados. O log do sistema exibiria a seguinte mensagem de erro se o serviço do IIS fosse iniciado:
  Identificação do evento 1009, descrição: Um processo que atende a um pool de aplicativos 'DefaultAppPool' foi finalizado inesperadamente. A identidade do processo era '1234'
  Para obter mais informações sobre esse problema conhecido, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft:
  2009746  (http://support.microsoft.com/kb/2009746/ ) O Internet Information Services 6.0 pode não funcionar corretamente após a instalação do KB973917 (em inglês)
  Se o seu computador não for uma instalação limpa do Windows Server 2003 SP2, recomendamos que você veja novamente a seção "Pré-requisitos para o Windows Server 2003".
  
  Desde de 16 de dezembro de 2009, ao utilizar as Atualizações Automáticas, você não receberá mais ofertas desta atualização se a sua instalação do IIS estiver em uma configuração, onde os binários do SP1 e SP2 estão presentes no computador. Recomendamos que você leia o artigo a seguir novamente na Base de Dados de Conhecimento Microsoft para obter as próximas etapas para se certificar de que o computador está pronto para a aplicação desta atualização.
  2009746  (http://support.microsoft.com/kb/2009746/ ) O Internet Information Services 6.0 pode não funcionar corretamente após a instalação de KB973917 (em inglês)
• Windows Server 2003 e Windows Server 2008
  
  Essa atualização foi relançada em 9 de março de 2010. Ela substitui totalmente a versão inicial. Se você instalar a nova versão, a versão inicial será desinstalada e substituída pela nova. Desinstalar o lançamento de 9 de março desta atualização deixará o computador sem a Proteção Estendida para a funcionalidade ISS presente.

Voltar para o início

Como obter essa atualização

Para Windows Server 2003

Para versões do Windows Server 2003 com base em processadores Itanium

Para versões do Windows Server 2003 com base em x64 e para o Windows XP x64 edition

Para Windows Server 2008

Para versões do Windows Server 2008 com base em processadores Itanium

Para versões do Windows Server 2008 com base em x64

Para Windows Vista

Para versões do Windows Vista com base em x64

Voltar para o início

Voltar para o início

Informações sobre o arquivo do Windows XP e do Windows Server 2003

• Os arquivos que se aplicam a uma etapa específica (RTM, SPn) e ramificação do serviço (QFE, GDR) são observados nas colunas ?Requisito de SP? e ?Ramificação do serviço?.
• As ramificações do serviço GDR contém somente as correções amplamente disponibilizadas para resolver problemas críticos bastante conhecidos. As ramificações do serviço QFE contém hotfixes, além de correções amplamente disponibilizadas.
• Além dos arquivos listados nessas tabelas, esta atualização de software também instala um arquivo associado do catálogo de segurança (KBnúmero.cat) que está assinado com uma assinatura digital da Microsoft.

Para todas as versões baseadas em x86 compatíveis do Windows Server 2003 e para o Windows XP Professional x64 edition

Para todas as versões baseadas em x86 compatíveis do Windows Server 2003

Para todas as versões compatíveis com base em IA-64 do Windows Server 2003

Voltar para o início

Informações sobre o arquivo do Windows Vista e do Windows Server 2008

• Os arquivos que se aplicam a um produto, etapa (RTM, SPn) e ramificação do serviço específicos (LDR, GDR) podem ser identificados ao examinar os números da versão do arquivo, conforme mostrado na tabela a seguir:
  Recolher esta tabelaExpandir esta tabela

  Versão	Produto	Etapa	Ramificação do serviço
  6.0.6000.16xxx	Windows Vista	RTM	GDR
  6.0.6000.20xxx	Windows Vista	RTM	LDR
  6.0.6001.18xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	GDR
  6.0.6001.22xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	LDR
  6.0.6002.18xxx	Windows Vista SP2 e Windows Server 2008 SP2	SP2	GDR
  6.0.6002.22xxx	Windows Vista SP2 e Windows Server 2008 SP2	SP2	LDR

• O Service Pack 1 está integrado na versão de lançamento do Windows Server 2008. Por isso, os arquivos da etapa RTM se aplicam somente ao Windows Vista. Os arquivos da etapa RTM tem um número de versão 6.0.0000.xxxxxx.
• As ramificações do serviço GDR contêm somente as correções amplamente disponibilizadas para resolver problemas críticos bastante conhecidos. As ramificações do serviço LDR contêm hotfixes, além de correções amplamente disponibilizadas.
• Os arquivos MANIFEST (.manifest) e os arquivos MUM (.mum) instalados para cada ambiente são listados separadamente. Os arquivos MUM e MANIFEST e os arquivos associados do catálogo de segurança (.cat) são importantes para manter o estado do componente atualizado. Os arquivos do catálogo de segurança (atributos não listados) são assinados com uma assinatura digital da Microsoft.

Para todas as versões baseadas em x86 compatíveis do Windows Vista e Windows Server 2008

Para todas as versões baseadas em x64 compatíveis do Windows Vista e Windows Server 2008

Para todas as versões compatíveis com base em IA-64 do Windows Server 2008