Как да настроите минималните разрешения за NTFS и потребителските права за IIS 5.x или IIS 6.0

Ограничение за тази статия

Предупреждение Тази статия е валидна само за уеб сървъри, които използват основните функции на IIS, като например обслужващи HTML статично съдържание или просто Active Server Pages (ASP) съдържание. Разрешение за изискванията, които са описани в тази статия са специфични само за основните разрешения за специален уеб сървър, който изпълнява IIS 5. x или IIS 6.0. Тази статия не разглежда други Microsoft и други продукти , които могат да изискват различни разрешения. Можете да прегледате документацията на сървър и приложение за сигурност на специфични изисквания. Препоръчваме ви Преглед на статии , които са специфични за роли на уеб сървъра.

Тестване стъпки преди конфигурации на разрешенията в производствена среда

Преди да направите промени в разрешенията за производство уеб сървър, препоръчваме да направите следното:

1. Изпълнете най-новата версия на инструмента за заключване на IIS. Следните програми и услуги са инсталирани като част от пакета на тест, който е използван за проверка на защитата на сървъра след даване на разрешения, описани в тази статия:

   • Индекс на услуги

   • Терминални услуги

   • Дебъгер за скриптове

   • IIS

     • Общи файлове

     • Документация

     • Разширения за сървър на FrontPage 2000

     • Диспечер за интернет услуги (HTML)

     • WWW

     • FTP

2. Извършете следните функционални изпитания:

   • Документи с хипертекст (HTML)

   • Active Server Pages (ASP)

   • Разширенията за сървър на FrontPage, като свързване, редактиране и записване, ако FPSE е разрешено, докато използвате инструмента за заключване

   • Защитени връзки на сокет пластове (SSL)

Предоставяне на собственост и права на администратор и на системата

За целта изпълнете следните стъпки:

1. Отворете Windows Explorer. За целта щракнете върху Старт, щракнете върху програмии щракнете върху Windows Explorer.

2. Разширяване на компютъра.

3. Щракнете с десния бутон на системния диск (обикновено това е устройство C) и след това щракнете върху свойства.

4. Щракнете върху раздела защита и щракнете върху Advanced да отворите диалоговия прозорец на Настройките за управление на достъпа на локалния диск .

5. Щракнете върху собственик , поставете отметка в квадратчето Замени собственика на под контейнери и обекти и след това щракнете върху Приложи. Ако се появи следното съобщение за грешка, щракнете върху продължи:

   Възникна грешка при прилагането информацията за %systemdrive%\Pagefile.sys защита

6. Ако се появи следното съобщение за грешка, щракнете върху да:

   Нямате право да четете съдържанието на директория %systemdrive%\System Volume Information - желаете ли да замените директория разрешение - всички разрешение ще бъдат заменени, ви дават пълен контрол

7. Щракнете върху OK , за да затворите диалоговия прозорец.

8. Щракнете върху Добавяне.

9. Добавяне на следните потребители и след това им предоставят пълен контрол NTFS разрешението:

   • Администратор

   • Система

   • Създател собственик

10. След като сте добавили тези NTFS разрешенията, щракнете върху Разширени, поставете отметка в квадратчето нулиране на разрешения за всички обекти наследници и разрешаване разпространяването на наследявани разрешения и след това щракнете върху Приложи.

11. Ако се появи следното съобщение за грешка, щракнете върху продължи:

    Възникна грешка при прилагането информацията за %systemdrive%\Pagefile.sys защита

12. След като върнете разрешенията за NTFS, щракнете върху OK.

13. Щракнете върху групата Everyone , щракнете върху Премахнии след това щракнете върху OK.

14. Отворете свойствата на папката за %systemdrive%\Program Files\Common файлове и след това щракнете върху раздела защита добавяне акаунт, който се използва за анонимен достъп. По подразбиране това е IUSR_ < MachineName > акаунт. След това добавете групата на потребители. Уверете се, че само следните са избрани:

    • Четене и изпълнение

    • Списък на съдържанието на папка

    • Четене

15. Отваряне на свойствата в главната директория, която съдържа уеб съдържание. По подразбиране това е папката %systemdrive%\Inetpub\Wwwroot. Щракнете върху раздела защита , добавете IUSR_ < MachineName > акаунт и групата потребители и след това се уверете, че само следните са избрани:

    • Четене и изпълнение

    • Списък на съдържанието на папка

    • Четене

16. Ако искате да напишете NTFS разрешението за Inetpub\FTProot или път до директорията на FTP сайт или сайтове, повторете тази стъпка 15. Забележка: Не препоръчваме предоставяне на запис на NTFS разрешения за анонимен акаунт във всички директории, включително директории, използвани от услугата FTP използва. Това може да причини ненужно данни да се качат на вашия уеб сървър.

Прекратява наследство в системните директории

За целта изпълнете следните стъпки&colon;

1. В папката %systemroot%\System32 изберете всички папки с изключение на следните:

   • Inetsrv

   • Certsrv (ако е налична)

   • COM

2. С десния бутон върху останалите папки, щракнете върху свойстваи след това щракнете върху раздела защита .

3. Поставете отметка в квадратчето Разреши могат да наследяват разрешения , щракнете върху Копирайи щракнете върху OK.

4. В папката % systemroot % изберете всички папки с изключение на следните:

   • Монтаж (ако е налична)

   • Изтеглените програмни файлове

   • Помощ

   • Microsoft.NET (ако е налична)

   • Офлайн Web страници

   • System32

   • Задачи

   • Temp

   • Уеб

5. С десния бутон върху останалите папки, щракнете върху свойстваи след това щракнете върху раздела защита .

6. Поставете отметка в квадратчето Разреши могат да наследяват разрешения , щракнете върху Копирайи щракнете върху OK.

7. Приложи разрешения за следното:

   1. Отворете свойствата на папката % systemroot %, щракнете върху раздела защита , добавете IUSR_ < MachineName > и IWAM_ < MachineName > акаунти и групата потребители и след това се уверете, че само следните са избрани:

      • Четене и изпълнение

      • Списък на съдържанието на папка

      • Четене

   2. Отваряне на свойствата на %systemroot%\Temp папка, изберете акаунта IUSR_ < MachineName > (този акаунт вече съществува защото наследява от папката Winnt) и поставете отметка в квадратчето Промяна . Повторете тази стъпка за акаунта на IWAM_ < MachineName > и Група потребители .

   3. Ако FrontPage Server разширение на клиентите като се използват FrontPage или Microsoft във Visual InterDev, отворете свойствата на папката %systemdrive%\Inetpub\Wwwroot, изберете групата Удостоверени потребители , изберете и натиснете OK :

      • Промяна

      • Четене и изпълнение

      • Списък на съдържанието на папка

      • Четене

      • Запис

NTFS разрешенията

Следната таблица показва разрешенията, които ще се прилагат, когато изпълните стъпките в раздела "Забрани наследство в системните директории". Тази таблица е за справка само. За да приложите разрешенията в следната таблица, изпълнете следните стъпки:

1. Отворете Windows Explorer. За да направите това, щракнете върху Старт, програми, принадлежностии след това щракнете върху Windows Explorer.

2. Разширяване на компютъра.

3. С десния бутон върху % systemroot %и след това щракнете върху свойства.

4. Щракнете върху раздела защита и след това щракнете върху Разширени.

5. Щракнете двукратно върху разрешениеи след това изберете съответната настройка от списъка Прилагат върху .

Забележка: В "спрямо" колоната, терминът по подразбиране се отнася към "Тази папка, подпапки и файлове."

Забележка: Ако използвате разширения за сървър на FrontPage, удостоверени потребители или групи потребители трябва да има промяна NTFS разрешението за създаване, преименуване, да запише или да осигури функционалност, че разработчикът може да е от тип FrontPage на клиента, като Във Visual InterDev 6.0 или FrontPage 2002.

Даване на разрешения в системния регистър

1. Щракнете върху Старт, щракнете върху изпълнение, въведете regedt32и след това щракнете върху OK. Не използвайте редактора на системния регистър, защото той не ви промените разрешения в Windows 2000.

2. В редактора на системния регистър, намерете и изберете HKEY_LOCAL_MACHINE.

3. Разширяване на системата, разгънете CurrentControlSetи след това разгънете услуги.

4. Изберете IISADMIN ключ, щракнете върху защита (или натиснете ALT + S) и след това изберете Разрешения (или натиснете P).

5. Щракнете, за да махнете отметката от квадратчето Разреши могат да наследяват разрешения от родителя да разпространяват за този обект , щракнете върху Копирайи след премахване на всички потребители с изключение на:

   • Администраторите (позволяват четене и пълен контрол)

   • Система (позволяват четене и пълен контрол)

6. Щракнете върху ОК.

7. Повторете стъпките за MSFTPSVC ключ.

8. Изберете W3SVC ключ, щракнете върху защитаи щракнете върху разрешения.

9. Изчистете квадратчето за отметка Разреши могат да наследяват разрешения от родителя да разпространяват за този обект и след това премахнете всички записи с изключение на:

   • Администраторите (позволяват четене и пълен контрол)

   • Система (позволяват четене и пълен контрол)

   • Мрежа (Прочети)

   • Услугата (Прочети)

   • IWAM_ < MachineName > (Прочети)

10. Щракнете върху ОК.

Предоставят права в правила за локалната защита

1. Щракнете върху Старт, щракнете върху Настройкии след това щракнете върху Контролен панел.

2. Щракнете двукратно върху Административни инструментии щракнете двукратно върху Локални правила за защита.

3. В диалоговия прозорец на Локалните настройки за защита разгънете Локални правилаи натиснете Възлагане на потребителски права.

4. Промяна на най-подходящата политика:

   1. Щракнете двукратно върху правила.

   2. Изберете и щракнете върху Премахни за всеки потребител, който не са изброени в таблицата.

   3. Добавяне на всеки потребител, който не е в списъка. За да направите това, щракнете върху Добавянеи след това изберете потребителя в диалоговия прозорец избор на потребители или групи .

Обърнете внимание, защото правило за домейнов контролер замества локални правила, трябва да се уверите Ефективна настройка за правилата отговаря на Локални правила за настройка.

Препратки

За повече информация как да се възстанови NTFS разрешенията по подразбиране за Windows 2000 щракнете върху следните номера на статии в базата знания на Microsoft:

266118 как да се възстанови NTFS разрешенията по подразбиране за Windows 2000

260985 минимум NTFS разрешенията за използването на CDONTS

324068 как да зададете IIS разрешения за отделни обекти

815153 как да конфигурирате NTFS файлови разрешения за сигурност на ASP.Нето приложения За повече информация относно необходимите разрешения за IIS 6.0 щракнете върху следния номер на статия в базата знания на Microsoft:

812614 Разрешения и потребителски права по подразбиране за IIS 6.0

Повече информация

Тази статия разглежда един от специфичните изисквания за сигурност на следните роли на сървъра или приложения:

• Windows 2000 домейн контролер

• Microsoft Exchange 5.5 или Microsoft Exchange 2000 Outlook Web Access

• Microsoft Small Business Server 2000

• Microsoft SharePoint Portal или екипа услуги

• Microsoft Commerce Server 2000 или Microsoft Commerce Server 2002

• Microsoft BizTalk Server 2000 или Microsoft BizTalk Server 2002

• Сървър за управление на съдържание на Microsoft 2000 или Microsoft съдържание Management Server 2002

• Microsoft приложение център 2000

• Приложенията, които зависят от допълнителни разрешения