Konfiguriranje web-provjere autentičnosti internetskih informacijskih servisa u sustavu Windows 2000

Preporučujemo da svi korisnici nadogradite verziju 7,0 na Microsoft Internet Information Services (IIS) koja se pokreće na sustavu Microsoft Windows Server 2008. IIS 7,0 znatno povećava sigurnost web-infrastrukture. Dodatne informacije o web-temama vezanim uz sigurnost servisa IIS potražite na sljedećem Microsoftovu web-mjestu:

http://www.microsoft.com/technet/security/prodtech/IIS.mspxDodatne informacije o IIS-u 7.0 potražite na sljedećem Microsoftovom web-mjestu:

http://www.iis.net/default.aspx?tabid=1

Ovaj se članak odnosi na Windows 2000. Podrška za Windows 2000 završava na srpnju 13, 2010. Centar za rješenje sustava windows 2000 za krajnje podršku polazište je za planiranje migracije iz sustava Windows 2000. Dodatne informacije potražite u odjeljku pravilnik o životnom ciklusu Microsoftove podrške.

Sažetak

U ovom se članku detaljno opisuje kako konfigurirati provjeru autentičnosti za zahtjeve temeljene na webu u Microsoftovim internetskim informacijama Services (IIS) 5,0.

Način funkcioniranja web-provjere autentičnosti

Web-Provjera autentičnosti komunikacija je između web-preglednika i web-poslužitelja koji obuhvaća manji broj zaglavlja Hyper Text Transfer Protocol (HTTP) i poruka o pogreškama. Protok komunikacije je:

Web-preglednik daje zahtjev, kao što je HTTP-GET.
Web-poslužitelj izvršava provjeru autentičnosti. Ako to ne uspije jer je potrebna provjera autentičnosti, poslužitelj će vratiti poruku o pogrešci sličnu sljedećoj:

Niste ovlašteni za prikaz ove Pagenemate dozvolu za prikaz ovog direktorija ili stranice pomoću vjerodajnica koje ste dobili.

Informacije su uključene u ovu poruku da web-preglednik može koristiti za ponovno slanje zahtjeva kao provjereni zahtjev.
Web-preglednik koristi odgovor poslužitelja za konstruiranje novog zahtjeva koji sadrži podatke za provjeru autentičnosti.
Web-poslužitelj izvršava provjeru autentičnosti. Ako je ček uspješan, web-poslužitelj šalje podatke koji su prvotno zatraženi natrag u web-pregledniku.

Načini provjere autentičnosti

Pažnja: uz neke od sljedećih načina provjere autentičnosti morate koristiti pogone koje ste oblikovali u datotečnom sustavu NTFS jer diskovi OBLIKOVANI u NTFS održavaju najvišu razinu sigurnosti. IIS podržava pet sljedećih načina provjere autentičnosti web-mjesta:

Anonimna provjera autentičnosti

IIS stvara račun za IUSR_ComputerName (gdje je ComputerName naziv računala) radi autentičnosti anonimnih korisnika prilikom zahtjeva web-sadržaja. Ovaj račun korisniku daje pravo na lokalno prijavljivanje. Anonimni korisnički pristup možete ponovno postaviti tako da koristi bilo koji valjani račun za Windows.Pažnja: možete postaviti razne anonimne račune za različita web-mjesta, virtualne direktorije ili fizičke direktorije i datoteke. Ako je računalo sa sustavom Windows 2000 samostalan poslužitelj, račun za IUSR_ComputerName nalazi se na lokalnom poslužitelju. Ako je poslužitelj kontrolor domene, za domenu je definiran račun IUSR_ComputerName .

Osnovna provjera autentičnosti

Koristite osnovnu provjeru autentičnosti da biste ograničili pristup datotekama na web-poslužitelju oblikovan kao NTFS. Uz osnovnu provjeru autentičnosti korisnik mora unijeti vjerodajnice, a Access se temelji na ID-u korisnika. Da biste koristili osnovnu provjeru autentičnosti, dodijelite svakom korisniku pravo da se prijavljuje lokalno i da biste jednostavnije administriraju, dodajte ih u grupu koja ima pristup potrebnim datotekama.Pažnja: Budući da su korisničke vjerodajnice kodirane pomoću kodiranja, ali nisu šifrirane kada se prenose putem mreže, osnovna se provjera autentičnosti smatra nesigurnim oblikom provjere autentičnosti.

Integrirana provjera autentičnosti sustava Windows

Integrirana provjera autentičnosti u sustavu Windows sigurnija je od osnovne provjere autentičnosti i dobro funkcionira u intranetu koja sadrži račune za domene u sustavu Windows. U integriranoj autentifikaciju sustava Windows preglednik pokušava koristiti vjerodajnice sadašnjeg korisnika iz prijave u domenu, a ako to ne uspije, korisnik će zatražiti da unesite korisničko ime i lozinku. Ako koristite integriranu provjeru autentičnosti sustava Windows, korisnikova lozinka neće se prenijeti na poslužitelj. Ako se korisnik prijavio na lokalno računalo kao korisnik domene, korisnik ne mora ponovno provjeriti autentičnost kada korisnik pristupi mrežnom računalu u toj domeni.Pažnja: nije moguće koristiti integriranu provjeru autentičnosti sustava Windows putem proxy poslužitelja.

Provjera autentičnosti sažetka

Sažetak provjere autentičnosti adresira mnoge slabosti osnovne provjere autentičnosti. Lozinka se ne šalje u čistom tekstu kada koristite sažetu provjeru autentičnosti. Osim toga, provjeru autentičnosti možete koristiti i putem proxy poslužitelja. Provjera autentičnosti sustava Digest koristi mehanizam izazova/odaziva (koji integrira provjeru autentičnosti u sustavu Windows) gdje je lozinka poslana u šifriranom obliku. Da biste koristili provjeru autentičnosti sažetka:

Poslužitelj koji se temelji na sustavu Windows 2000 mora biti u domeni.
Datoteku Iizdavba. dll morate instalirati na kontroler domene. Ta se datoteka automatski kopira tijekom postavljanja sustava Windows 2000 Server.
Sve korisničke račune morate konfigurirati pomoću lozinke za pohranu putem mogućnosti reverzibilno šifriranje . Uz mogućnost omogućivanja tog računa potrebna je ponovno postavljanje lozinke ili ponovnog unosa.

Opaska: morate koristiti Microsoft Internet Explorer 5,0 ili noviji kao web-preglednik ako koristite sažetu provjeru autentičnosti.

Mapiranje klijentskog certifikata

Mapiranje klijentskog certifikata metoda je na kojoj se stvara "mapiranje" između certifikata i korisničkog računa. U ovom modelu korisnik predstavlja certifikat, a sustav pretražuje mapiranje da bi ustanovio koji bi se korisnički račun trebao prijaviti. Certifikat možete mapirati na korisnički račun sustava Windows na jedan od dva načina:

Pomoću servisa Active Directory.-or-
Pomoću pravila koja su definirana u IIS-u.

Dodatne informacije o tome kako mapirati klijentske certifikate na korisničke račune potražite u članku Preslikavanje klijentskog certifikata u dokumentaciji IIS-a. Ako ste instalirali IIS, možete pogledati dokumentaciju servisa IIS tako da upišete sljedeći URL na adresnu traku web-preglednika gdje je localhost naziv lokalnog glavnog računala:

http://localhost/iisHelp/iis/misc/default.aspDodatne informacije o korištenju certifikata potražite u članku iz Microsoftove baze znanja pod sljedećim brojem:

290625 Konfiguriranje SSL-a u sustavu Windows 2000 IIS 5 za test Environment pomoću poslužitelja certifikata 2,0Svaki način provjere autentičnosti možete konfigurirati tako da upravlja pristupom sljedećim stavkama na IIS poslužitelju:

Sav web-sadržaj koji je hostiran na IIS poslužitelju.
Pojedinačna web-mjesta koja su hostirana na IIS poslužitelju.
Individualni Virtualni direktoriji ili fizički direktoriji koji se nalaze na web-mjestu.
Pojedinačne stranice ili datoteke koje se nalaze na web-mjestu.

Konfiguriranje provjere autentičnosti IIS web-mjesta

Prijavite se na računalo web-poslužitelja pomoću administratorskog računa.
Kliknite Start, pokažite na programi, pokažite na Administrativni alati, a zatim kliknite Upravitelj internetskih servisa. Započinje dodatak dodatka Internet Information Services.
U stablu konzole kliknite * naziv računalana kojem je naziv računala naziv računala.
Desnom tipkom miša kliknite neku od sljedećih stavki, a zatim kliknite Svojstva:
- Da biste konfigurirali provjeru autentičnosti za sav web-sadržaj koji se nalazi na poslužitelju IIS, desnom tipkom miša kliknite naziv računala.
- Da biste konfigurirali provjeru autentičnosti za pojedinačno web-mjesto, desnom tipkom miša kliknite web-mjesto koje želite.
- Da biste konfigurirali provjeru autentičnosti za virtualni direktorij ili fizički direktorij na web-mjestu, kliknite web-mjesto koje želite, a zatim desnom tipkom miša kliknite željeni direktorij, primjerice _vti_pvt.
- Da biste konfigurirali provjeru autentičnosti za pojedinačnu stranicu ili datoteku na web-mjestu, kliknite web-mjesto koje želite, kliknite mapu koja sadrži datoteku ili željenu stranicu, a zatim desnom tipkom miša kliknite datoteku ili željenu stranicu.
U dijaloškom okviru svojstva naziva stavke u kojem je naziv stavke naziv stavke koju ste odabrali kliknite karticu Sigurnost direktorija .Pažnja: ako je odabrana stavka pojedinačna datoteka, kliknite karticu Sigurnost datoteke .
U odjeljku kontrola anonimnog pristupa i provjere autentičnostikliknite Uređivanje.
Klikom odaberite potvrdni okvir anonimni pristup da biste uključili anonimni pristup. Da biste isključili anonimni pristup, poništite taj potvrdni okvir.Pažnja: Ako isključite anonimni pristup, morate konfigurirati neki obrazac za provjeru autentičnosti.
1. Da biste promijenili račun koji se koristi za anonimni pristup ovom resursu, kliknite Uredi pokraj računa koji se koristi za anonimni pristup.
2. U dijaloškom okviru anonimni korisnički račun kliknite korisnički račun koji želite koristiti za anonimni pristup.
3. Kliknite da biste izbrisali potvrdni okvir Dopusti IIS za kontrolu lozinke ako želite koristiti API za provjeru autentičnosti korisnika u sustavu Windows.Pažnja: Ako isključite ovu mogućnost kontrole lozinke, ta snaga IIS koristi normalnu provjeru autentičnosti i da biste račun prijavili lokalno. Ovu mogućnost isključite ako korisnici osjete poteškoće s pristupom resursima kao što su datoteke ili baze podataka programa Microsoft Access na mrežnom računalu.
4. Kliknite U redu.
U odjeljku provjereni pristupkliknite da biste odabrali osnovnu provjeru autentičnosti (lozinka se šalje u čistom tekstu) da biste uključili osnovnu provjeru autentičnosti. Kada primite sljedeću poruku, kliknite Yes (Da):

Mogućnost provjere autentičnosti koju ste odabrali rezultira pomoću lozinki koje se prenose putem mreže bez šifriranja podataka. Ako netko pokuša ugroziti sigurnost sustava, pomoću analizatora protokola možete ispitati korisničke lozinke tijekom postupka provjere autentičnosti. Dodatne pojedinosti o autentifikaciju korisnika potražite u odjeljku pomoć na mreži. Ovo upozorenje ne primjenjuje se na HTTPS (ili SSL) veze. Jeste li sigurni da želite nastaviti?
1. Da biste odabrali domenu s kojom želite provjeriti autentičnost korisnika koji koriste osnovnu provjeru autentičnosti, kliknite Uređivanje dalje da biste odabrali zadanu domenu.
2. Unesite domenu koju želite u okvir naziv domene , a zatim kliknite u redu.Napomena Ako ste zabrinuti zbog sigurnosti na intranetu jer osnovna provjera autentičnosti prenosi korisničko ime i podatke o lozinkama u čistom tekstu, možete koristiti osnovnu provjeru autentičnosti uz SSL (Secure Sockets Layer).
Kliknite da biste potvrdili okvir Provjera autentičnosti sustava Windows za domene za poslužitelje da biste koristili sažetu provjeru autentičnosti. Kada primite sljedeću poruku, kliknite Yes (Da):

Provjera autentičnosti sustava Windows 2000 radi samo sa domenama za domene u obliku računa i zahtijeva da računi pohranjuju lozinke kao šifrirani jasan tekst. Jeste li sigurni da želite nastaviti?Pažnja: morate konfigurirati korisničke račune pomoću mogućnosti reverzibilna lozinka za pohranu na kartici pohrana.
Kliknite da biste potvrdili okvir Integrirana provjera autentičnosti sustava Windows da biste koristili integriranu provjeru autentičnosti sustava Windows.Pažnja: ta je metoda provjere autentičnosti nekoć bila poznata kao izazov/odaziv programa Microsoft Windows NT (NTLM).
Kliknite u redu, a zatim u dijaloškom okviru svojstva naziva stavke kliknite u redu. Otvorit će se dijaloški okvir za prekoračenja nasljeđivanja :
1. Kliknite Odaberi sve da biste primijenili nove postavke provjere autentičnosti na sve datoteke ili mape koje se nalaze u stavci koju ste promijenili.
2. Kliknite U redu.
Zatvorite internetske informacijske servise.

Reference

Dodatne informacije potražite u člancima iz Microsoftove baze znanja pod sljedećim brojevima:

297954 Otklanjanje poteškoća s web-poslužiteljem u sustavu Windows 2000

299970 Korištenje dozvola za NTFS radi zaštite web-stranice koja radi na servisu IIS 4,0 ili 5

216705 Postavljanje dozvola za FrontPage web na servisu IIS

222028 Postavljanje provjere autentičnosti sažetka za korištenje s internetskim informacijski servisi 5,0