Internet Information Services'ta (IIS) Kimlik Doðrulamasý için Geniþletilmiþ Koruma teknolojisini kullanan güncelleþtirmenin açýklamasý

• Bu güncelleþtirme artýk IIS 6'nýn bazý Windows Server 2003 Service Pack 1 (SP1) ikili dosyalarý içerdiði bir yükleme gerçekleþtirilen Windows Server 2003 Service Pack 2 (SP2) çalýþan bir bilgisayarý doðru þekilde algýlar ve yükleme iþlemini reddederek bir hata koduyla sonlandýrýlýr. 973917 numaralý güncelleþtirmenin bu tarihten önce yayýmlanmýþ sürümleri baþarýyla yüklenir, ancak yüklemenin ardýndan IIS'nin baþlatýlamamasýna neden olabilirler.
• Bu yeniden yayýmlanan sürüm, Windows Server 2003 çalýþan bir bilgisayarda Kimlik Doðrulamasý için Geniþletilmiþ Koruma etkinleþtirildikten sonra aþýrý miktarda bellek ayrýlmasýna neden olan bir sorunu giderir.
• Yeniden yayýmlanan sürüm, Windows Server 2008 çalýþan bir bilgisayarda IIS, çekirdek modu Windows Kimlik Doðrulamasý kullanýlacak biçimde yapýlandýrýldýðýnda Geniþletilmiþ Koruma özelliðinin düzgün çalýþmamasýna neden olan bir sorunu giderir.

Üste

Yapýlandýrma

• Kanal Baðlama Belirteci (CBT) aracýlýðýyla belirtilen kanal baðlama bilgileri. Temel olarak SSL baðlantýlarý için kullanýlýr.
• Hizmet asýl adý (SPN) aracýlýðýyla belirtilen hizmet baðlama bilgileri. Temel olarak SSL kullanmayan baðlantýlarda veya bir baðlantý oluþturulduðunda kullanýlýr. Örneðin, SSL yükünün bir proxy sunucu veya yük dengeleyici gibi baþka bir aygýta aktarýldýðý bir senaryoda kullanýlabilir.

Üste

Geniþletilmiþ Koruma Senaryolarý

• Bu senaryolarda, að ortamýnýzda NetBIOS tabanlý SPN'ler destekleniyorsa, AllowDotlessSpn bayraðýný da belirtebilirsiniz. Ancak NetBIOS tabanlý SPN'ler güvenli deðildir.
• SPN denetiminin kullanýldýðý ve kanal baðlama belirteci denetiminin kullanýlmadýðý senaryolarda NoServiceNameCheck bayraðýný belirtmemelisiniz.
• IIS 6.0, IIS 7.0 veya IIS 7.5'in varsayýlan yüklemelerinde Windows kimlik doðrulamasý etkinleþtirilmez veya yüklenmez. Geniþletilmiþ Koruma yalnýzca Web siteniz veya uygulamanýz için Windows kimlik doðrulamasý etkinleþtirildiðinde uygulanabilir.

Üste

IIS 7.0 ve IIS 7.5'te Yapýlandýrma

<windowsAuthentication enabled="false" />

IIS 7.5'te Windows kimlik doðrulamasý için Geniþletilmiþ Koruma'yý etkinleþtirme

1. Baþlat'ý týklatýn, Yönetimsel Araçlar'ýn üzerine gelin ve sonra Internet Information Services (IIS) Yöneticisi'ni týklatýn.
2. Baðlantýlar bölmesinde, sunucu adýný ve ardýndan Siteler'i geniþletin, sonra da Windows kimlik doðrulamasý için Geniþletilmiþ Koruma'yý etkinleþtirmek istediðiniz siteyi, uygulamayý ya da Web hizmetini seçin.
3. Giriþ bölmesindeki Güvenlik bölümüne gidin ve Kimlik Doðrulamasý'ný çift týklatýn.
4. Kimlik Doðrulamasý bölmesinde, Windows Kimlik Doðrulamasý seçeneðini belirleyin.
5. Eylemler bölmesinde, Etkinleþtir'i týklatýn.
6. Eylemler bölmesinde, Geliþmiþ Ayarlar'ý týklatýn.
7. Geliþmiþ Ayarlar iletiþim kutusu görüntülendiðinde, Geniþletilmiþ Koruma menüsündeki aþaðýdaki seçeneklerden birini belirleyin:
   • Geniþletilmiþ koruma özelliðini desteklemeyen istemciler için alt düzeyde destek saðlayarak geniþletilmiþ koruma özelliðini etkinleþtirmek istiyorsanýz Kabul Et seçeneðini belirleyin.
   • Alt düzeyde destek saðlamadan geniþletilmiþ koruma özelliðini etkinleþtirmek istiyorsanýz, Gerekli seçeneðini belirleyin.
8. Geliþmiþ Ayarlar iletiþim kutusunu kapatmak üzere Tamam'ý týklatýn.

IIS 7.0'da Windows kimlik doðrulamasý için Geniþletilmiþ Koruma'yý etkinleþtirme

Yapýlandýrma

Öznitelik

Alt Öðeler

Yapýlandýrma Örneði

<location path="Varsayýlan Web Sitesi">
   <system.webServer>
      <security>
         <authentication>
            <windowsAuthentication enabled="true">
               <extendedProtection tokenChecking="Ýzin Ver" flags="Yok">
                  <spn name="HTTP/www.contoso.com" />
                  <spn name="HTTP/contoso.com" />
               </extendedProtection>
            </windowsAuthentication>
         </authentication>
      </security>
   </system.webServer>
</location>

Örnek Kod

AppCmd.exe

appcmd.exe set config "Varsayýlan Web Sitesi" -section:system.webServer/security/authentication/windowsAuthentication /enabled:"True" /commit:apphost

appcmd.exe set config "Varsayýlan Web Sitesi" -section:system.webServer/security/authentication/windowsAuthentication /extendedProtection.tokenChecking:"Ýzin Ver" /extendedProtection.flags:"Yok" /commit:apphost

appcmd.exe set config "Varsayýlan Web Sitesi" -section:system.webServer/security/authentication/windowsAuthentication /+"extendedProtection.[name='HTTP/www.contoso.com']" /commit:apphost

appcmd.exe set config "Varsayýlan Web Sitesi" -section:system.webServer/security/authentication/windowsAuthentication /+"extendedProtection.[name='HTTP/contoso.com']" /commit:apphost

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetApplicationHostConfiguration();

         ConfigurationSection windowsAuthenticationSection = config.GetSection("system.webServer/security/authentication/windowsAuthentication", "Varsayýlan Web Sitesi");
         windowsAuthenticationSection["enabled"] = true;

         ConfigurationElement extendedProtectionElement = windowsAuthenticationSection.GetChildElement("extendedProtection");
         extendedProtectionElement["tokenChecking"] = @"Ýzin Ver";
         extendedProtectionElement["flags"] = @"Yok";

         ConfigurationElementCollection extendedProtectionCollection = extendedProtectionElement.GetCollection();

         ConfigurationElement spnElement extendedProtectionCollection.CreateElement("spn"); =
         spnElement["name"] = @"HTTP/www.contoso.com";
         extendedProtectionCollection.Add(spnElement);

         ConfigurationElement spnElement1 = extendedProtectionCollection.CreateElement("spn");
         spnElement1["name"] = @"HTTP/contoso.com";
         extendedProtectionCollection.Add(spnElement1);

         serverManager.CommitChanges();
      }
   }
}

Visual Basic .NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration
Module Sample
   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetApplicationHostConfiguration

      Dim windowsAuthenticationSection As ConfigurationSection = config.GetSection("system.webServer/security/authentication/windowsAuthentication", "Varsayýlan Web Sitesi")
      windowsAuthenticationSection("enabled") = True

      Dim extendedProtectionElement As ConfigurationElement = windowsAuthenticationSection.GetChildElement("extendedProtection")
      extendedProtectionElement("tokenChecking") = "Ýzin Ver"
      extendedProtectionElement("flags") = "Yok"

      Dim extendedProtectionCollection As ConfigurationElementCollection = extendedProtectionElement.GetCollection

      Dim spnElement As ConfigurationElement = extendedProtectionCollection.CreateElement("spn")
      spnElement("name") = "HTTP/www.contoso.com"
      extendedProtectionCollection.Add(spnElement)

      Dim spnElement1 As ConfigurationElement = extendedProtectionCollection.CreateElement("spn")
      spnElement1("name") = "HTTP/contoso.com"
      extendedProtectionCollection.Add(spnElement1)

      serverManager.CommitChanges()
   End Sub
End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST";

var windowsAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/windowsAuthentication", "MACHINE/WEBROOT/APPHOST/Varsayýlan Web Sitesi");
windowsAuthenticationSection.Properties.Item("enabled").Value = true;

var extendedProtectionElement = windowsAuthenticationSection.ChildElements.Item("extendedProtection");
extendedProtectionElement.Properties.Item("tokenChecking").Value = "Ýzin Ver";
extendedProtectionElement.Properties.Item("flags").Value = "Yok";

var extendedProtectionCollection = extendedProtectionElement.Collection;

var spnElement = extendedProtectionCollection.CreateNewElement("spn");
spnElement.Properties.Item("name").Value = "HTTP/www.contoso.com";
extendedProtectionCollection.AddElement(spnElement);

var spnElement1 = extendedProtectionCollection.CreateNewElement("spn");
spnElement1.Properties.Item("name").Value = "HTTP/contoso.com";
extendedProtectionCollection.AddElement(spnElement1);

adminManager.CommitChanges();

VBScript

Set adminManager = createObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST"

Set windowsAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/windowsAuthentication", "MACHINE/WEBROOT/APPHOST/Varsayýlan Web Sitesi")
windowsAuthenticationSection.Properties.Item("enabled").Value = True

Set extendedProtectionElement = windowsAuthenticationSection.ChildElements.Item("extendedProtection")
extendedProtectionElement.Properties.Item("tokenChecking").Value = "Ýzin Ver"
extendedProtectionElement.Properties.Item("flags").Value = "Yok"

Set extendedProtectionCollection = extendedProtectionElement.Collection

Set spnElement = extendedProtectionCollection.CreateNewElement("spn")
spnElement.Properties.Item("name").Value = "HTTP/www.contoso.com"
extendedProtectionCollection.AddElement(spnElement)

Set spnElement1 = extendedProtectionCollection.CreateNewElement("spn")
spnElement1.Properties.Item("name").Value = "HTTP/contoso.com"
extendedProtectionCollection.AddElement(spnElement1)

adminManager.CommitChanges()

Üste

IIS 6.0'da Yapýlandýrma

1. Kayýt Defteri Düzenleyicisi'ni baþlatýn. Bunu yapmak için, Baþlat'ý ve sonra Çalýþtýr'ý týklatýn, regedit yazýn ve Tamam'ý týklatýn.
2. Aþaðýdaki kayýt defteri alt anahtarýný bulup týklatýn:
   
   
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\W3SVC\Parameters\extendedProtection\
3. tokenChecking
   ,
   Flags
   ve
   spns
   kayýt defteri deðerlerinin varolduðunu doðrulayýn.
   
   Bu kayýt defteri deðerleri yoksa, aþaðýdaki adýmlarý izleyerek onlarý oluþturun:
   1. 2. adýmda listelenen kayýt defteri alt anahtarýný seçin, Düzen menüsünde Yeni'nin üzerine gelin ve sonra DWORD Deðeri'ni týklatýn.
   2. tokenChecking yazýn ve ENTER tuþuna basýn.
   3. 2. adýmda listelenen kayýt defteri alt anahtarýný seçin, Düzen menüsünde Yeni'nin üzerine gelin ve sonra DWORD Deðeri'ni týklatýn.
   4. flags yazýn ve ENTER tuþuna basýn.
   5. 2. adýmda listelenen kayýt defteri alt anahtarýný seçin, Düzen menüsünde Yeni'nin üzerine gelin ve sonra MULTI_SZ Deðeri'ni týklatýn.
   6. spns yazýn ve ENTER tuþuna basýn.
4. tokenChecking kayýt defteri deðerini týklatýp seçin.
5. Düzen menüsünde, Deðiþtir'i týklatýn.
6. Deðer verisi kutusuna tercih edilen deðeri yazýn ve Tamam'ý týklatýn.
7. flags kayýt defteri deðerini týklatýp seçin.
8. Deðer verisi kutusuna tercih edilen deðeri yazýn ve Tamam'ý týklatýn.
9. spns kayýt defteri deðerini týklatýp seçin.
10. Deðer verisi kutusuna uygun bir spn yazýn ve Tamam'ý týklatýn.
11. Kayýt Defteri Düzenleyicisi'nden çýkýn.

Üste

Güncelleþtirme bilgileri

Üste

Windows Server 2003 için önkoþullar

Bilinen sorunlar

• Windows Server 2003
  
  Bu güncelleþtirme, Windows Server 2003 SP2 çalýþan bir bilgisayardaki IIS sisteminin SP1 sürümünden ikili dosyalar içermediðinden emin olmak üzere ek bir denetim gerçekleþtirmek üzere 9 Mart 2010 tarihinde yeniden yayýmlandý. Bu tür ikili dosyalar bulunursa, bu güncelleþtirme bir hata iletisiyle sonlandýrýlýr. Bu durumu düzeltmek için, SP2 güncelleþtirmesini bilgisayarlarýnýza yeniden uygulayýn ve SP2'yi baþarýyla yükledikten sonra bu paketi yükleyin.
  
  Bu güvenlik güncelleþtirmesinin 9 Mart 2010 tarihinde yayýmlanan özgün sürümü, IIS 6'nýn bazý SP1 ikili dosyalarý içerebileceði Windows Server 2003 SP2 yüklemelerinde IIS uygulama havuzlarýnýn baþlatýlamamasýna neden olabiliyordu. IIS hizmeti baþlatýldýðýnda Sistem günlüðünde aþaðýdaki hata iletisi görüntüleniyordu:
  Olay Kimliði 1009, Açýklama: 'DefaultAppPool' uygulama havuzuna hizmet veren bir iþlem beklenmedik þekilde sona erdirildi. Ýþlem kimliði: '1234'
  Bu bilinen sorun hakkýnda daha fazla bilgi için, Microsoft Bilgi Bankasý'ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn:
  2009746  (http://support.microsoft.com/kb/2009746/ ) KB973917 yüklendikten sonra Internet Information Services 6.0 düzgün çalýþmayabilir (Bu baðlantý, bir kýsmý veya tamamý Ýngilizce olan içeriðe iþaret edebilir)
  Bilgisayarýnýzda Windows Server 2003 SP2'nin temiz bir yüklemesi yoksa "Windows Server 2003 için önkoþullar" bölümünü incelemeniz önerilir.
  
  Otomatik Güncelleþtirmeler'i kullanýyorsanýz ve IIS yapýlandýrmanýz bilgisayarda hem SP1 hem de SP2 ikili dosyalarý bulunacak biçimde yapýlandýrýlmýþsa, 16 Aralýk 2009'dan itibaren bu güncelleþtirme sunulmaz. Bilgisayarýn bu güncelleþtirmeyi uygulamaya hazýr olduðundan emin olmak üzere uygulamanýz gereken sonraki adýmlar için Microsoft Bilgi Bankasý'nda yer alan aþaðýdaki makaleyi incelemeniz önerilir.
  2009746  (http://support.microsoft.com/kb/2009746/ ) KB973917 yüklendikten sonra Internet Information Services 6.0 düzgün çalýþmayabilir (Bu baðlantý, bir kýsmý veya tamamý Ýngilizce olan içeriðe iþaret edebilir)
• Windows Server 2003 ve Windows Server 2008
  
  Bu güncelleþtirme 9 Mart 2010 tarihinde yeniden yayýmlanmýþtýr. Yeniden yayýmlanan güncelleþtirme, ilk sürümün yerini alýr. Yeni sürümü yüklerseniz, ilk sürüm kaldýrýlýr ve yerini yeni sürüm alýr. Bu güncelleþtirmenin 9 Mart tarihli sürümü kaldýrýldýðýnda, bilgisayarda IIS iþlevselliði için Geniþletilmiþ Koruma olmaz.

Üste

Güncelleþtirme nasýl edinilir

Windows Server 2003

Windows Server 2003'ün Itanium tabanlý sürümleri

Windows Server 2003'ün x64 tabanlý sürümleri ve Windows XP x64 Edition

Windows Server 2008

Windows Server 2008'in Itanium tabanlý sürümleri

Windows Server 2008'in x64 tabanlý sürümleri

Windows Vista

Windows Vista'nýn x64 tabanlý sürümleri

Üste

Üste

Windows XP ve Windows Server 2003 dosya bilgileri

• Belirli bir aþama (RTM, SPn) ve hizmet dalý (QFE, GDR) için geçerli olan dosyalar "SP gereksinimi" ve "Hizmet dalý" sütunlarýnda belirtilmiþtir.
• GDR hizmet dallarý yalnýzca yaygýn olarak karþýlaþýlan kritik sorunlarý gidermek üzere kapsamlý olarak yayýmlanmýþ düzeltmeleri içerir. QFE hizmet dallarý, kapsamlý olarak yayýmlanan düzeltmelerden baþka düzeltmeler de içerir.
• Bu tablolarda listelenen dosyalarýn yaný sýra, bu yazýlým güncelleþtirmesi ayný zamanda bir Microsoft dijital imzasý kullanýlarak imzalanmýþ iliþkili bir güvenlik kataloðu dosyasý yükler (BBnumara.cat).

Windows Server 2003'ün ve Windows XP Professional x64 Edition'ýn tüm desteklenen x64 tabanlý sürümleri

Windows Server 2003'ün tüm desteklenen x86 tabanlý sürümleri

Windows Server 2003'ün tüm desteklenen IA-64 tabanlý sürümleri

Üste

Windows Vista ve Windows Server 2008 dosya bilgileri

• Belirli bir ürün, aþama (RTM, SPn) ve hizmet dalý (LDR, GDR) için geçerli olan dosyalar, aþaðýdaki tabloda gösterildiði þekilde dosya sürümü numaralarý incelenerek belirlenebilir:
  Bu tabloyu kapaBu tabloyu aç

  Sürüm	Ürün	Aþama	Hizmet dalý
  6.0.6000.16xxx	Windows Vista	RTM	GDR
  6.0.6000.20xxx	Windows Vista	RTM	LDR
  6.0.6001.18xxx	Windows Vista SP1 ve Windows Server 2008 SP1	SP1	GDR
  6.0.6001.22xxx	Windows Vista SP1 ve Windows Server 2008 SP1	SP1	LDR
  6.0.6002.18xxx	Windows Vista SP2 ve Windows Server 2008 SP2	SP2	GDR
  6.0.6002.22xxx	Windows Vista SP2 ve Windows Server 2008 SP2	SP2	LDR

• Service Pack 1, Windows Server 2008'in yayýmlanan sürümüyle tümleþiktir. Dolayýsýyla, RTM aþama dosyalarý yalnýzca Windows Vista'ya uygulanýr. RTM aþama dosyalarý, 6.0.0000.xxxxxx sürüm numarasýna sahiptir.
• GDR hizmet dallarý yalnýzca yaygýn olarak karþýlaþýlan kritik sorunlarý gidermek üzere kapsamlý olarak yayýmlanmýþ düzeltmeleri içerir. LDR hizmet dallarý, kapsamlý olarak yayýmlanan düzeltmelerden baþka düzeltmeler de içerir.
• Her çalýþma ortamý için yüklenen MANIFEST dosyalarý (.manifest) ve MUM dosyalarý (.mum) ayrý olarak listelenmektedir. MUM ve MANIFEST dosyalarýnýn yaný sýra bunlarýn iliþkili güvenlik kataloðu (.cat) dosyalarý, güncelleþtirilmiþ bileþenin durumunu korumak açýsýndan kritik önem taþýmaktadýr. Güvenlik kataloðu dosyalarý (öznitelikler listelenmez) Microsoft dijital imzasýyla imzalanýr.

Windows Vista'nýn ve Windows Server 2008'in tüm desteklenen x86 tabanlý sürümleri

Windows Vista'nýn ve Windows Server 2008'in tüm desteklenen x64 tabanlý sürümleri

Windows Server 2008'in tüm desteklenen IA-64 tabanlý sürümleri