Cómo establecer permisos NTFS mínimos y derechos de usuario para IIS 5.x o IIS 6.0

En este artículo se describe cómo establecer los permisos mínimos necesarios para un servidor web dedicado de Internet Information Services (IIS) 5.0, IIS 5.1 o IIS 6.0. 

La limitación de este artículo

Advertencia Este artículo solo es válido para servidores web dedicados que usan funcionalidades básicas de IIS, como servir contenido estático HTML o contenido simple de páginas Active Server (ASP). Los requisitos de permisos que se describen en este artículo son específicos solo para los permisos básicos de un servidor web dedicado que ejecuta IIS 5. x o [IIS 6.0](/kb/812614otros productos de Microsoft y de terceros](#bkmk_unsupport) que pueden requerir permisos diferentes. Puede revisar la documentación del servidor y de la aplicación para conocer los requisitos de seguridad específicos. Le recomendamos que revise los artículos relacionados que son específicos para las funciones de su servidor web.

Pasos de prueba previos a las configuraciones de permisos en un entorno de producción

Antes de realizar cambios en los permisos de un servidor web de producción, se recomienda realizar los pasos siguientes:

  1. Ejecute la versión más reciente de la herramienta de bloqueo de seguridad de IIS. Los siguientes programas y servicios se instalaron como parte del conjunto de pruebas que se usó para probar la seguridad del servidor después de conceder los permisos descritos en este artículo:

    • Servicios de índice

    • Terminal Services

    • Script Debugger

    • IIS

      • Common Files
      • Documentación
      • Extensiones de servidor de FrontPage 2000
      • Administrador de servicios de Internet (HTML)
      • WWW
      • FTP

  2. Realice las siguientes pruebas funcionales:

    • Documentos de hipertexto (HTML)
    • Páginas Active Server (ASP)
    • Extensiones de servidor de FrontPage, como conectar, editar y guardar, si FPSE está habilitado mientras usa la herramienta de bloqueo
    • Conexiones de capas de sockets seguros (SSL)

Conceder propiedad y permiso al administrador y al sistema

Para hacerlo, siga estos pasos.

  1. Abra el Explorador de Windows. Para ello, haga clic enInicio, Programas y luego haga clic en
    Explorador de Windows.

  2. Expandir Mi PC.

  3. Haga clic con el botón derecho en la unidad del sistema (que suele ser la unidad C) y, a continuación, haga clic en Propiedades.

  4. Haga clic en la pestaña Seguridad y luego en Avanzado para abrir el cuadro de diálogo Configuración de Access Control para disco local.

  5. Haga clic en la pestaña Propietario , haga clic para activar la casilla de verificación Reemplazar propietario en Subcontenedores y Objetos y, a continuación, haga clic en Aplicar.

    Si recibe el siguiente mensaje de error, haga clic en Continuar:

    Nota

    Error al aplicar información de seguridad a %systemdrive%\Pagefile.sys

  6. Si recibe el siguiente mensaje de error, haga clic en Sí:

    Nota

    No tiene permiso para leer el contenido del directorio %systemdrive%\Información del volumen del sistema: ¿Desea reemplazar el permiso de directorio? Todos los permisos se reemplazarán, lo que le otorga control total

  7. Haga clic en Aceptar para cerrar el cuadro de diálogo.

  8. Haga clic en Agregar.

  9. Agregue los siguientes usuarios y, a continuación, concédales el permiso NTFS de control total:

    • Administrador
    • Sistema
    • Creator Owner

  10. Después de agregar estos permisos NTFS, haga clic en Avanzado, haga clic para activar el permiso Restablecer en todos los objetos secundarios y habilitar la propagación de permisos heredados y, después, haga clic en Aplicar.

  11. Si recibe el siguiente mensaje de error, haga clic en Continuar:

    Nota

    Error al aplicar información de seguridad a %systemdrive%\Pagefile.sys

  12. Después de restablecer los permisos de NTFS, haga clic en Aceptar.

  13. Haga clic en el grupo Todos , haga clic en Quitar y, después, en Aceptar.

  14. Abra las propiedades de la carpeta %systemdrive%\Program Files\Common Files y luego haga clic en la pestaña Seguridad. Agregue la cuenta que se usa para el acceso anónimo. De forma predeterminada, esta es la cuenta IUSR_<MachineName> . Después, agregue el grupo Usuarios. Asegúrese de que solo se seleccione lo siguiente:

    • Leer & ejecutar
    • Mostrar el contenido de la carpeta
    • Leer

  15. Abra las propiedades del directorio raíz que contiene el contenido web. De forma predeterminada, esta es la carpeta %systemdrive%\Inetpub\Wwwroot. Haga clic en la pestaña Seguridad , agregue la cuenta IUSR_<MachineName> y el grupo Usuarios, y luego asegúrese de que solo se seleccione lo siguiente:

    • Leer & ejecutar
    • Mostrar el contenido de la carpeta
    • Leer

  16. Si desea conceder permiso NTFS de escritura para Inetpub\FTProot o la ruta de acceso del directorio para el sitio o sitios FTP, repita el paso 15.

    Nota No se recomienda conceder permisos de escritura NTFS a la cuenta anónima en ningún directorio, incluidos los directorios usados por el servicio FTP. Esto puede provocar que se carguen datos innecesarios en el servidor web.

Deshabilitar herencia en directorios del sistema

Para hacerlo, siga estos pasos.

  1. En la carpeta %systemroot%\System32, seleccione todas las carpetas excepto la siguiente:

    • Inetsrv
    • Certsrv (si existe)
    • COM

  2. Haga clic con el botón derecho en el resto de las carpetas, haga clic en Propiedades y, después, en la pestaña Seguridad .

  3. Haga clic para desactivar la casilla Permitir permisos heredables , haga clic en Copiar y, a continuación, en Aceptar.

  4. En la carpeta %systemroot%, seleccione todas las carpetas excepto la siguiente:

    • Ensamblado (si existe)
    • Downloaded Program Files
    • Ayuda
    • Microsoft.NET (si existe)
    • Páginas web sin conexión
    • System32
    • Tareas
    • Temp
    • Web

  5. Haga clic con el botón derecho en el resto de las carpetas, haga clic en Propiedades y, después, en la pestaña Seguridad .

  6. Haga clic para desactivar la casilla Permitir permisos heredables , haga clic en Copiar y, a continuación, en Aceptar.

  7. Aplique permisos a lo siguiente:

    1. Abra las propiedades de la carpeta %systemroot%, haga clic en la pestaña Seguridad , agregue las cuentas IUSR_<MachineName> y IWAM_<MachineName> y el grupo Usuarios y, después, asegúrese de que solo se selecciona lo siguiente:

      • Leer & ejecutar
      • Mostrar el contenido de la carpeta
      • Leer

    2. Abra las propiedades de la carpeta %systemroot%\Temp, seleccione la cuenta IUSR_<MachineName> (esta cuenta ya está presente porque hereda de la carpeta Winnt) y, a continuación, haga clic para activar la casilla Modificar . Repita este paso para la cuenta IWAM_<MachineName> y el
      Grupo de usuarios.

    3. Si se utilizan clientes con extensión de servidor de FrontPage, como FrontPage o Microsoft Visual InterDev, abra las propiedades de la carpeta %systemdrive%\Inetpub\Wwwroot, seleccione el grupo Usuarios autenticados , seleccione lo siguiente y, a continuación, haga clic en Aceptar:

      • Modificar
      • Leer & ejecutar
      • Mostrar el contenido de la carpeta
      • Leer
      • Escribir

Permisos NTFS

La siguiente tabla enumera los permisos que se aplicarán al seguir los pasos de la sección "Deshabilitar herencia en directorios del sistema". Esta tabla es solo de referencia.

 Para aplicar los permisos de la tabla siguiente, siga estos pasos:

  1. Abra el Explorador de Windows. Para ello, haga clic en Inicio, Programas, Accesorios y luego haga clic en Explorador de Windows.
  2. Expandir Mi PC.
  3. Haga clic con el botón derecho en %systemroot% y haga clic en Propiedades.
  4. Haga clic en la pestaña Seguridad y, a continuación, haga clic en Opciones avanzadas.
  5. Haga doble clic en Permiso y, a continuación, seleccione la configuración adecuada en la lista Aplicar en .

Nota En la columna "Aplicar a", el término Predeterminado hace referencia a "Esta carpeta, subcarpetas y archivos".

Azure Usuarios\Grupos Permisos Aplicar a
%SystemRoot%\ (C:\WinNT) Administrador Control total Default
Sistema Control total Default
Usuarios Leer, ejecutar Default
%systemroot%\system32 Administradores Control total Default
Sistema Control total Default
Usuarios Leer, ejecutar Default
%SystemRoot%\System32\Inetsrv Administradores Control total Default
Sistema Control total Default
Usuarios Leer, ejecutar Default
Inetpub\adminscripts Administradores Control total Default
Inetpub\urlscan (si está presente) Administradores Control total Default
Sistema Control total Default
%SystemRoot%\System32\Inetsrv\MetaBack Administradores Control total Default
Sistema Control total Default
%SystemRoot%\Help\IISHELP\Common Administradores Control total Esta carpeta y archivos
Sistema Control total Esta carpeta y archivos
IWAM_Nombre de< máquina> Leer, ejecutar Esta carpeta y archivos
Red Control total Esta carpeta y archivos
Servicio Esta carpeta y archivos
Usuarios Leer, ejecutar Esta carpeta y archivos
Inetpub\wwwroot (o directorios de contenido) Administradores Control total Esta carpeta y archivos
Sistema Control total Esta carpeta y archivos
IWAM_<MachineName> Leer, ejecutar Esta carpeta y archivos
Servicio Leer, ejecutar Esta carpeta y archivos
Red Leer, ejecutar Esta carpeta y archivos
Opcional**: Usuarios Leer, ejecutar Esta carpeta y archivos

Nota: Si usa extensiones de servidor de FrontPage, los usuarios autenticados o el grupo Usuarios deben tener el permiso Cambiar NTFS para crear, cambiar el nombre, escribir o proporcionar la funcionalidad que un desarrollador podría tener tener desde un cliente de tipo FrontPage, como Visual InterDev 6.0 o FrontPage 2002.

Conceder permisos en el Registro

  1. Haga clic en Inicio y en Ejecutar, escriba regedt32 y haga clic en Aceptar. No utilice el Editor del Registro, ya que no le permite cambiar los permisos en Windows 2000.

  2. En el Editor del Registro, busque y seleccione HKEY_LOCAL_MACHINE.

  3. Expanda Sistema, CurrentControlSet y, después, Servicios.

  4. Seleccione la clave IISADMIN , haga clic en Seguridad (o presione ALT+S) y, a continuación, seleccione
    permisos (o presione P).

  5. Desactive la casilla Permitir que los permisos heredables del primario se propaguen a este objeto , haga clic en Copiar y luego quite todos los usuarios excepto:

    • Administradores (permitir lectura y control total)
    • Sistema (permitir lectura y control total)

  6. Haga clic en Aceptar.

  7. Repita los pasos para la clave MSFTPSVC .

  8. Seleccione la clave W3SVC , haga clic en Seguridad y, a continuación, en Permisos.

  9. Desactive la casilla Permitir que los permisos heredables del primario se propaguen a este objeto y, a continuación, quite todas las entradas excepto:

    • Administradores (permitir lectura y control total)
    • Sistema (permitir lectura y control total)
    • Red (lectura)
    • Servicio (lectura)
    • IWAM_<MachineName> (lectura)

  10. Haga clic en Aceptar.

Entrada de registro

En la tabla siguiente se enumeran los permisos que se aplicarán al seguir los pasos de la sección "Conceder permisos en el Registro". Esta tabla es solo de referencia.

Nota: El acrónimo HKLM significa HKEY_LOCAL_MACHINE.

Ubicación Usuarios\Grupos Permisos
HKLM\System\CurrentControlSet\Services\IISAdmin Administradores Control total
Sistema Control total
HKLM\System\CurrentControlSet\Services\MsFtpSvc Administradores Control total
Sistema Control total
HKLM\System\CurrentControlSet\Services\w3svc Administradores Control total
Sistema Control total
IWAM_<MachineName> Leer

Conceder derechos en la directiva de seguridad local

  1. Haga clic en Inicio, Configuración y luego en Panel de control.

  2. Haga doble clic en Herramientas administrativas y luego en Directiva de seguridad local.

  3. En el cuadro de diálogo Configuración de seguridad local , expanda Directivas locales y, a continuación, haga clic en Asignación de derechos de usuario.

  4. Modifique la directiva adecuada:

    1. Haga doble clic en la directiva.
    2. Seleccione y haga clic en Quitar para cualquier usuario que no aparezca en la tabla.
    3. Agregue cualquier usuario que no aparezca en la lista. Para ello, haga clic en
      Agregue y seleccione el usuario en el cuadro de diálogo Seleccionar usuarios o grupos .

Tenga en cuenta que, dado que una directiva de controlador de dominio invalida la directiva local, debe asegurarse de que la configuración de directiva eficaz coincida con la configuración de directiva local.

Directivas

En la tabla siguiente se enumeran los permisos que se aplicarán al seguir los pasos de la sección "Conceder derechos en la directiva de seguridad local".

Directiva Usuarios
Iniciar sesión localmente Administradores
IUSR_<MachineName> (anónimo)
Usuarios (autenticación necesaria)
Acceso a este equipo desde la red Administradores
ASPNet (.NET Framework)
IUSR_<MachineName> (anónimo)
IWAM_<MachineName>
Usuarios
Iniciar sesión como proceso por lotes ASPNet
Red
IUSR_<MachineName>
IWAM_<MachineName>
Servicio
Inicio de sesión como servicio ASPNet
Red
Omitir comprobación de recorrido Administradores
IUSR_<MachineName> (anónimo)
Usuarios (básico, integrado, implícito)
IWAM_<MachineName>

Referencias

Para obtener más información acerca de cómo restaurar los permisos predeterminados de NTFS para Windows 2000, haga clic en los números de artículo siguientes para verlos en Microsoft Knowledge Base:

266118 Cómo restaurar los permisos NTFS predeterminados para Windows 2000

260985 Permisos NTFS mínimos necesarios para usar CDONTS

324068 Cómo establecer permisos de IIS para objetos específicos

815153 Cómo configurar los permisos de archivo NTFS para la seguridad de las aplicaciones ASP.NET Para obtener más información acerca de los permisos necesarios para IIS 6.0, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

[812614](/kb/812614s para IIS 6.0
 

Más información

En este artículo no se aborda ninguno de los requisitos de seguridad específicos de las siguientes aplicaciones o roles de servidor:

  • Controlador de dominio de Windows 2000
  • Microsoft Exchange 5.5 o Microsoft Exchange 2000 Outlook Web Access
  • Microsoft Small Business Server 2000
  • Portal de Microsoft SharePoint o Team Services
  • Microsoft Commerce Server 2000 o Microsoft Commerce Server 2002
  • Microsoft BizTalk Server 2000 o Microsoft BizTalk Server 2002
  • Microsoft Content Management Server 2000 o Microsoft Content Management Server 2002
  • Microsoft Application Center 2000
  • Las aplicaciones de terceros que dependen de permisos adicionales