Τρόπος ορισμού ελάχιστα δικαιώματα NTFS και τα δικαιώματα χρήστη για τις υπηρεσίες IIS 5.x ή 6.0 των υπηρεσιών IIS

Ο περιορισμός για αυτό το άρθρο

Προειδοποίηση Αυτό το άρθρο ισχύει μόνο για αποκλειστικούς διακομιστές Web που χρησιμοποιούν τις βασικές λειτουργίες των υπηρεσιών IIS, όπως η λειτουργία περιεχομένου HTML στατικό περιεχόμενο ή απλό Active Server Pages (ASP). Οι απαιτήσεις για δικαιώματα που περιγράφονται σε αυτό το άρθρο σχετίζονται μόνο με τα βασικά δικαιώματα για έναν αποκλειστικό διακομιστή Web που εκτελεί τις υπηρεσίες IIS 5. x ή των υπηρεσιών IIS 6.0. Αυτό το άρθρο δεν εξετάζει άλλα Microsoft και προϊόντα τρίτων κατασκευαστών που μπορεί να απαιτεί διαφορετικά δικαιώματα. Μπορείτε να αναθεωρήσετε διακομιστή και εφαρμογών τεκμηρίωση ασφαλείας συγκεκριμένες απαιτήσεις. Συνιστάται να εξετάσετε τα σχετικά άρθρα που αφορούν συγκεκριμένα για τους ρόλους του διακομιστή σας Web.

Δοκιμή βήματα πριν από τις ρυθμίσεις δικαιωμάτων σε περιβάλλον παραγωγής

Πριν να κάνετε αλλαγές στα δικαιώματα σε ένα διακομιστή Web παραγωγής, συνιστάται να κάνετε τα παρακάτω βήματα:

1. Εκτελέστε την πιο πρόσφατη έκδοση του εργαλείου κλειδώματος των υπηρεσιών IIS. Τα παρακάτω προγράμματα και υπηρεσίες έχουν εγκατασταθεί ως τμήμα της οικογένειας δοκιμής που χρησιμοποιήθηκε για τον έλεγχο ασφαλείας του διακομιστή μετά την εκχώρηση των δικαιωμάτων που περιγράφονται σε αυτό το άρθρο:

   • Υπηρεσίες ευρετηρίου

   • Οι υπηρεσίες Terminal Services

   • Το πρόγραμμα εντοπισμού σφαλμάτων δέσμης ενεργειών

   • ΤΩΝ ΥΠΗΡΕΣΙΏΝ IIS

     • Κοινά αρχεία

     • Τεκμηρίωση

     • Οι επεκτάσεις διακομιστή FrontPage 2000

     • Διαχείριση υπηρεσιών Internet (HTML)

     • WWW

     • FTP

2. Εκτελέστε τις ακόλουθες λειτουργικές δοκιμές:

   • Έγγραφα υπερκειμένου (HTML)

   • Ενεργές σελίδες διακομιστή (ASP)

   • Το FrontPage Server Extensions, όπως τη σύνδεση, την επεξεργασία και την αποθήκευση, εάν είναι ενεργοποιημένη η FPSE ενώ χρησιμοποιείτε το εργαλείο κλειδώματος

   • Ασφαλών υποδοχών (SSL) συνδέσεις με αποχρώσεις

Εκχώρηση κυριότητας και άδεια για το διαχειριστή και το σύστημα

Για να το κάνετε αυτό, ακολουθήστε τα εξής βήματα:

1. Ανοίξτε την Εξερεύνηση των Windows. Για να γίνει αυτό, κάντε κλικ στο κουμπί Έναρξη, κάντε κλικ στην εντολή προγράμματακαι, στη συνέχεια, κάντε κλικ στο κουμπί Εξερεύνηση των Windows.

2. Αναπτύξτε τον υπολογιστή μου.

3. Κάντε δεξιό κλικ στη μονάδα δίσκου συστήματος (συνήθως είναι η μονάδα δίσκου C) και, στη συνέχεια, κάντε κλικ στο κουμπί Ιδιότητες.

4. Κάντε κλικ στην καρτέλα " ασφάλεια " και, στη συνέχεια, κάντε κλικ στο κουμπί για προχωρημένους για να ανοίξετε το παράθυρο διαλόγου Ρυθμίσεις ελέγχου πρόσβασης για τον τοπικό δίσκο .

5. Κάντε κλικ στην καρτέλα " κάτοχος ", κάντε κλικ για να επιλέξετε το πλαίσιο ελέγχου Αντικατάσταση κατόχου στα δευτερεύοντα κοντέινερ και αντικείμενα και, στη συνέχεια, κάντε κλικ στο κουμπί εφαρμογή. Εάν λάβετε το ακόλουθο μήνυμα λάθους, κάντε κλικ στο κουμπί " συνέχεια":

   Παρουσιάστηκε ένα σφάλμα εφαρμογή των πληροφοριών ασφάλειας σε %systemdrive%\Pagefile.sys

6. Εάν λάβετε το ακόλουθο μήνυμα λάθους, κάντε κλικ στο κουμπί " Ναι":

   Δεν έχετε δικαίωμα ανάγνωσης των περιεχομένων του καταλόγου %systemdrive%\System πληροφοριών τόμου - θέλετε να αντικαταστήσετε τα δικαιώματα καταλόγου - όλα τα δικαιώματα θα αντικατασταθούν παραχωρούν πλήρη έλεγχο

7. Κάντε κλικ στο κουμπί OK για να κλείσετε το παράθυρο διαλόγου.

8. Κάντε κλικ στο κουμπί Προσθήκη.

9. Προσθέστε τους ακόλουθους χρήστες και κατόπιν εκχωρείτε το δικαίωμα NTFS πλήρους ελέγχου:

   • Ο διαχειριστής

   • Σύστημα

   • Κάτοχος δημιουργός

10. Αφού έχετε προσθέσει αυτά τα δικαιώματα NTFS, κάντε κλικ στο κουμπί για προχωρημένους, κάντε κλικ για να επιλέξετε το πλαίσιο ελέγχου Επαναφορά δικαιωμάτων σε όλα τα εξαρτημένα αντικείμενα και ενεργοποίηση της μεταβίβασης δικαιωμάτων και, στη συνέχεια, κάντε κλικ στο κουμπί εφαρμογή.

11. Εάν λάβετε το ακόλουθο μήνυμα λάθους, κάντε κλικ στο κουμπί " συνέχεια":

    Παρουσιάστηκε ένα σφάλμα εφαρμογή των πληροφοριών ασφάλειας σε %systemdrive%\Pagefile.sys

12. Μετά την επαναφορά δικαιώματα NTFS, κάντε κλικ στο κουμπί OK.

13. Κάντε κλικ στην ομάδα Everyone , κάντε κλικ στο κουμπί Κατάργησηκαι, στη συνέχεια, κάντε κλικ στο κουμπί OK.

14. Ανοίξτε τις ιδιότητες του φακέλου αρχείων Εφαρμογών\Κοινά %SYSTEMDRIVE%\Program και, στη συνέχεια, στην καρτέλα ασφάλεια Προσθήκη ο λογαριασμός που χρησιμοποιείται για ανώνυμη πρόσβαση. Από προεπιλογή, αυτός είναι ο λογαριασμός IUSR_ < όνομα_υπολογιστή >. Στη συνέχεια, προσθέστε την ομάδα Users. Βεβαιωθείτε ότι είναι επιλεγμένο μόνο τα εξής:

    • Ανάγνωση & εκτέλεση

    • Λίστα περιεχομένων φακέλου

    • Ανάγνωση

15. Ανοίξτε τις ιδιότητες του καταλόγου ρίζας που περιέχει περιεχόμενο Web σας. Από προεπιλογή, αυτό είναι το φάκελο %systemdrive%\Inetpub\Wwwroot. Κάντε κλικ στην καρτέλα " ασφάλεια ", προσθέστε το λογαριασμό IUSR_ < όνομα_υπολογιστή > και την ομάδα Users και, στη συνέχεια, βεβαιωθείτε ότι είναι επιλεγμένο μόνο τα εξής:

    • Ανάγνωση & εκτέλεση

    • Λίστα περιεχομένων φακέλου

    • Ανάγνωση

16. Εάν θέλετε να εκχωρήσετε δικαιώματα εγγραφής NTFS για Inetpub\FTProot ή τη διαδρομή καταλόγου για την τοποθεσία FTP ή τοποθεσίες, επαναλάβετε το βήμα 15. Σημείωση Δεν συνιστάται να χορηγήσετε δικαιώματα εγγραφής NTFS για τον ανώνυμο λογαριασμό με τους καταλόγους, καθώς και σε καταλόγους που χρησιμοποιούνται από τις χρήσεις της υπηρεσίας FTP. Αυτό μπορεί να προκαλέσει τα απαραίτητα δεδομένα για την αποστολή τους στο διακομιστή Web.

Απενεργοποίηση μεταβίβασης σε καταλόγους του συστήματος

Για να το κάνετε αυτό, ακολουθήστε τα εξής βήματα:

1. Στο φάκελο %systemroot%\System32, επιλέξτε όλους τους φακέλους, εκτός από τα εξής:

   • Inetsrv

   • Certsrv (εάν υπάρχει)

   • COM

2. Κάντε δεξιό κλικ τους υπόλοιπους φακέλους, κάντε κλικ στο κουμπί Ιδιότητεςκαι, στη συνέχεια, κάντε κλικ στην καρτέλα ασφάλεια .

3. Κάντε κλικ για να απενεργοποιήστε το πλαίσιο ελέγχου δυνατότητα μεταβίβασης δικαιωμάτων , κάντε κλικ στο κουμπί Αντιγραφήκαι, στη συνέχεια, κάντε κλικ στο κουμπί OK.

4. Στο φάκελο % systemroot %, επιλέξτε όλους τους φακέλους, εκτός από τα εξής:

   • Συγκρότηση (εάν υπάρχει)

   • Ληφθέντα αρχεία προγράμματος

   • Βοήθεια

   • Microsoft.NET (εάν υπάρχει)

   • Ιστοσελίδες χωρίς σύνδεση

   • System32

   • Εργασίες

   • Temp

   • Web

5. Κάντε δεξιό κλικ τους υπόλοιπους φακέλους, κάντε κλικ στο κουμπί Ιδιότητεςκαι, στη συνέχεια, κάντε κλικ στην καρτέλα ασφάλεια .

6. Κάντε κλικ για να απενεργοποιήστε το πλαίσιο ελέγχου δυνατότητα μεταβίβασης δικαιωμάτων , κάντε κλικ στο κουμπί Αντιγραφήκαι, στη συνέχεια, κάντε κλικ στο κουμπί OK.

7. Εφαρμογή δικαιωμάτων με το ακόλουθο:

   1. Ανοίξτε τις ιδιότητες για το φάκελο % systemroot %, κάντε κλικ στην καρτέλα ασφάλεια , προσθέστε τους λογαριασμούς IUSR_ < όνομα_υπολογιστή > και IWAM_ < όνομα_υπολογιστή > και την ομάδα Users και, στη συνέχεια, βεβαιωθείτε ότι είναι μόνο τα εξής επιλεγμένες:

      • Ανάγνωση & εκτέλεση

      • Λίστα περιεχομένων φακέλου

      • Ανάγνωση

   2. Ανοίξτε τις ιδιότητες για το φάκελο %systemroot%\Temp, επιλέξτε το λογαριασμό IUSR_ < όνομα_υπολογιστή > (Αυτός ο λογαριασμός υπάρχει ήδη επειδή γίνεται σε αυτό μεταβίβαση από το φάκελο Winnt) και, στη συνέχεια, κάντε κλικ για να επιλέξετε το πλαίσιο ελέγχου " Τροποποίηση ". Επαναλάβετε αυτό το βήμα για το λογαριασμό IWAM_ < όνομα_υπολογιστή > και το Ομάδα " χρήστες ".

   3. Εάν πελάτες επέκταση διακομιστή FrontPage όπως το FrontPage ή Microsoft Visual InterDev χρησιμοποιούνται, ανοίξτε τις ιδιότητες για το φάκελο %systemdrive%\Inetpub\Wwwroot, επιλέξτε την ομάδα Authenticated Users , επιλέξτε τα παρακάτω και, στη συνέχεια, κάντε κλικ στο κουμπί OK του :

      • Τροποποίηση

      • Ανάγνωση & εκτέλεση

      • Λίστα περιεχομένων φακέλου

      • Ανάγνωση

      • Εγγραφή

Τα δικαιώματα NTFS

Ο παρακάτω πίνακας παραθέτει τα δικαιώματα που θα εφαρμοστεί όταν ακολουθείτε τα βήματα στην ενότητα "Απενεργοποίηση μεταβίβασης σε καταλόγους του συστήματος". Αυτός ο πίνακας είναι μόνο για αναφορά. Για να εφαρμόσετε τα δικαιώματα στον ακόλουθο πίνακα, ακολουθήστε τα εξής βήματα:

1. Ανοίξτε την Εξερεύνηση των Windows. Για να γίνει αυτό, κάντε κλικ στο κουμπί Έναρξη, κάντε κλικ στην επιλογή προγράμματα, κατόπιν στην επιλογή Βοηθήματακαι, στη συνέχεια, κάντε κλικ στην επιλογή Εξερεύνηση των Windows.

2. Αναπτύξτε τον υπολογιστή μου.

3. Κάντε δεξιό κλικ % systemroot %και, στη συνέχεια, κάντε κλικ στο κουμπί Ιδιότητες.

4. Κάντε κλικ στην καρτέλα " ασφάλεια " και, στη συνέχεια, κάντε κλικ στο κουμπί για προχωρημένους.

5. Κάντε διπλό κλικ στο δικαίωμακαι, στη συνέχεια, επιλέξτε την κατάλληλη ρύθμιση από την Εφαρμογή σε λίστα.

Σημείωση Στήλη στο το "ισχύουν για", ο όρος αναφέρεται προεπιλογή "Αυτό το φάκελο, υποφακέλους και αρχεία."

Σημείωση Εάν χρησιμοποιείτε το FrontPage Server Extensions, το Authenticated Users ή της ομάδας χρηστών πρέπει να έχουν το δικαίωμα αλλαγής NTFS για να δημιουργήσετε, να μετονομάσετε, να γράψετε ή να παρέχει τη λειτουργικότητα που ένας προγραμματιστής μπορεί να χρειαστεί να έχετε από έναν τύπο FrontPage υπολογιστή-πελάτη, όπως Visual InterDev 6.0 ή το FrontPage 2002.

Εκχωρήστε δικαιώματα στο μητρώο

1. Κάντε κλικ στο κουμπί Έναρξη, επιλέξτε Εκτέλεση, πληκτρολογήστε regedt32και, στη συνέχεια, κάντε κλικ στο κουμπί OK. Μην χρησιμοποιείτε τον Επεξεργαστή μητρώου επειδή δεν επιτρέπει να αλλάξετε τα δικαιώματα στα Windows 2000.

2. Στον επεξεργαστή μητρώου, εντοπίστε και επιλέξτε HKEY_LOCAL_MACHINE.

3. Ανάπτυξη συστήματος, αναπτύξτε το τρέχον σύνολο ελέγχουκαι, στη συνέχεια, αναπτύξτε το στοιχείο υπηρεσίες.

4. Επιλέξτε το IISADMIN κλειδί, κάντε κλικ στο κουμπί ασφαλείας (ή πιέστε το συνδυασμό πλήκτρων ALT + S), και στη συνέχεια επιλέξτε Δικαιώματα (ή πιέστε το πλήκτρο P).

5. Κάντε κλικ για να απενεργοποιήστε το πλαίσιο ελέγχου δυνατότητα μεταβίβασης δικαιωμάτων από το γονικό αντικείμενο σε αυτό το αντικείμενο , κάντε κλικ στο κουμπί Αντιγραφήκαι, στη συνέχεια, καταργήστε όλους τους χρήστες εκτός από:

   • Οι διαχειριστές (δυνατότητα ανάγνωσης και πλήρη έλεγχο)

   • Σύστημα (δυνατότητα ανάγνωσης και πλήρη έλεγχο)

6. Κάντε κλικ στο κουμπί OK.

7. Επαναλάβετε τα βήματα του κλειδιού MSFTPSVC .

8. Επιλέξτε το W3SVC κλειδί, κάντε κλικ στο κουμπί ασφαλείαςκαι, στη συνέχεια, κάντε κλικ στην επιλογή δικαιώματα.

9. Κάντε κλικ για να καταργήσετε το πλαίσιο ελέγχου δυνατότητα μεταβίβασης δικαιωμάτων από το γονικό αντικείμενο σε αυτό το αντικείμενο και στη συνέχεια καταργήστε όλα καταχωρήσεις εκτός από:

   • Οι διαχειριστές (δυνατότητα ανάγνωσης και πλήρη έλεγχο)

   • Σύστημα (δυνατότητα ανάγνωσης και πλήρη έλεγχο)

   • Δίκτυο (ανάγνωση)

   • Υπηρεσία (ανάγνωση)

   • IWAM_ < όνομα_υπολογιστή > (ανάγνωση)

10. Κάντε κλικ στο κουμπί OK.

Εκχώρηση δικαιωμάτων στην τοπική πολιτική ασφαλείας

1. Κάντε κλικ στο κουμπί Έναρξη, κάντε κλικ στην επιλογή Ρυθμίσειςκαι στη συνέχεια κάντε κλικ στην επιλογή Πίνακας ελέγχου.

2. Κάντε διπλό κλικ στο Εργαλεία διαχείρισηςκαι, στη συνέχεια, κάντε διπλό κλικ στην Τοπική πολιτική ασφαλείας.

3. Στο παράθυρο διαλόγου " Τοπικές ρυθμίσεις ασφαλείας ", αναπτύξτε το στοιχείο Τοπικές πολιτικέςκαι, στη συνέχεια, κάντε κλικ στο κουμπί Εκχώρηση δικαιωμάτων χρήστη.

4. Τροποποιήστε την κατάλληλη πολιτική:

   1. Κάντε διπλό κλικ στην πολιτική.

   2. Επιλέξτε και, στη συνέχεια, κάντε κλικ στο κουμπί Κατάργηση για οποιονδήποτε χρήστη που είναι δεν αναφέρονται στον πίνακα.

   3. Μπορείτε να προσθέσετε οποιονδήποτε χρήστη που δεν υπάρχει στη λίστα. Για να γίνει αυτό, κάντε κλικ στο κουμπί Προσθήκηκαι, στη συνέχεια, επιλέξτε το χρήστη στο παράθυρο διαλόγου Επιλογή χρηστών ή ομάδων .

Σημειώστε ότι επειδή μια πολιτική ελεγκτή τομέα, παρακάμπτει την τοπική πολιτική, πρέπει να βεβαιωθείτε ότι Αποτελεσματική ρύθμιση πολιτικής ταιριάζει με Τη ρύθμιση τοπικής πολιτικής.

Αναφορές

Για περισσότερες πληροφορίες σχετικά με τον τρόπο επαναφοράς των προεπιλεγμένων δικαιωμάτων NTFS για τα Windows 2000, κάντε κλικ στους αριθμούς των άρθρων παρακάτω, για να προβάλετε τα άρθρα της Γνωσιακής Βάσης της Microsoft:

266118 Τρόπος επαναφοράς των προεπιλεγμένων δικαιωμάτων NTFS για τα Windows 2000

260985 δικαιώματα NTFS ελάχιστο που απαιτείται για τη χρήση CDONTS

324068 Τρόπος ορισμού δικαιωμάτων IIS για συγκεκριμένα αντικείμενα

815153 πώς να ρυθμίσετε δικαιώματα αρχείου NTFS για την ασφάλεια των εφαρμογών ASP.NET Για περισσότερες πληροφορίες σχετικά με τα απαιτούμενα δικαιώματα για τις υπηρεσίες IIS 6.0, κάντε κλικ στον αριθμό του άρθρου παρακάτω, για να προβάλετε το άρθρο της Γνωσιακής Βάσης της Microsoft:

812614 Προεπιλεγμένα δικαιώματα και δικαιώματα χρήστη για τις υπηρεσίες IIS 6.0

Περισσότερες πληροφορίες

Αυτό το άρθρο δεν αντιμετωπίζει κάποια από τις απαιτήσεις ασφαλείας της συγκεκριμένης των παρακάτω ρόλων διακομιστή ή εφαρμογές:

• Ελεγκτή τομέα των Windows 2000

• Microsoft Exchange 5.5 ή Microsoft Exchange 2000 Outlook Web Access

• Microsoft Small Business Server 2000

• Microsoft SharePoint Portal ή Team Services

• Microsoft Commerce Server 2000 ή του Microsoft Commerce Server 2002

• Microsoft BizTalk Server 2000 ή το Microsoft BizTalk Server 2002

• Microsoft Content Management Server 2000 ή το Microsoft Content Management Server 2002

• Microsoft Application Center 2000

• Οι εφαρμογές τρίτων κατασκευαστών που εξαρτώνται από πρόσθετα δικαιώματα