Kā iestatīt minimālo NTFS atļaujas un lietotāju tiesības IIS 5. x vai IIS 6.0

Šajā rakstā ierobežojums

Brīdinājums. Šis raksts attiecas tikai uz īpaša tīmekļa serveri, kas izmanto IIS pamata funkcionalitāti, piemēram, apkalpo HTML statisku saturu vai vienkāršā Active Server Pages (ASP) saturs. Šajā rakstā aprakstītie atļauju prasības ir raksturīgi tikai pamata Web serveris, kas darbojas IIS 5 atļaujas. x vai IIS 6.0. Šajā rakstā nav jāņem vērā citi Microsoft un trešo pušu produktiem var būt atšķirīgas atļaujas. Varat pārskatīt specifiskas drošības prasības serverim un programmas dokumentācijā. Mēs iesakām pārskatīt rakstus , kas attiecas uz tīmekļa servera lomas.

Darbības pirms atļaujas konfigurācijas pārbaudes ražošanas vidē

Pirms atļauju izmaiņas ražošanas tīmekļa serverī, ieteicams rīkoties šādi:

1. Palaidiet rīku IIS Lockdown jaunāko versiju. Šīm programmām un pakalpojumiem tika instalēta kā daļa no testa komplekts, kas tika izmantota, lai pārbaudītu servera drošības pēc šajā rakstā aprakstītās atļauju piešķiršanu:

   • Indeksa pakalpojumi

   • Termināļa pakalpojumi

   • Skriptu atkļūdotāju

   • IIS

     • Parastajiem failiem

     • Dokumentācija

     • FrontPage servera paplašinājumi 2000

     • Interneta pakalpojumu pārvaldnieks (HTML)

     • WWW

     • FTP

2. Veikt funkcionālu šādus testus:

   • Hiperteksta dokumentus (HTML)

   • Active Server Pages (ASP)

   • FrontPage servera paplašinājumi, piemēram, savienojuma izveide, rediģēšana un saglabāšana, aktivizējot FPSE lietojot rīku Lockdown

   • Secure Socket slāņu (SSL) savienojumus

Administratora un sistēmas piešķirt īpašumtiesības un atļaujas

Lai to izdarītu, veiciet tālāk norādītās darbības.

1. Atveriet pārlūkprogrammu Windows Explorer. Lai to izdarītu, noklikšķiniet uz Sākt, noklikšķiniet uz programmasun pēc tam noklikšķiniet uz Windows Explorer.

2. Izvērsiet sadaļu Mans dators.

3. Ar peles labo pogu noklikšķiniet uz sistēmas diska (parasti tas ir C disks), un pēc tam noklikšķiniet uz Rekvizīti.

4. Noklikšķiniet uz cilnes Drošība un pēc tam noklikšķiniet uz papildu , lai atvērtu dialoglodziņu Lokālā diska piekļuves vadības iestatījumus .

5. Noklikšķiniet uz zīmnes īpašnieks , atzīmējiet izvēles rūtiņu Aizstāt īpašnieku Sub konteineri un objektos un pēc tam noklikšķiniet uz lietot. Ja tiek parādīts šāds kļūdas ziņojums, noklikšķiniet uz turpināt.

   Lietojot %systemdrive%\Pagefile.sys drošības informāciju, radās kļūda

6. Ja tiek parādīts šāds kļūdas ziņojums, noklikšķiniet uz Jā.

   Jums nav atļaujas lasīt direktorija %systemdrive%\System Volume Information - saturu vai vēlaties aizstāt direktorija atļaujas - visas atļaujas tiks aizstātas, kas jums sniedz pilnīgu kontroli

7. Noklikšķiniet uz Labi , lai aizvērtu dialoglodziņu.

8. Noklikšķiniet uz Pievienot.

9. Pievienot šo lietotāju, un pēc tam piešķir pilnīgu kontroli NTFS atļaujas:

   • Administrators

   • Sistēma

   • Creator Owner

10. Pēc tam, kad esat pievienojis šo NTFS atļaujas, noklikšķiniet uz papildu, atzīmējiet izvēles rūtiņu atiestatiet atļaujas visos bērnobjektos un iespējot Mantojamas atļaujas izplatīšana un pēc tam noklikšķiniet uz lietot.

11. Ja tiek parādīts šāds kļūdas ziņojums, noklikšķiniet uz turpināt.

    Lietojot %systemdrive%\Pagefile.sys drošības informāciju, radās kļūda

12. Pēc atiestatīšanas NTFS atļaujas, noklikšķiniet uz Labi.

13. Noklikšķiniet uz visiem grupas, noklikšķiniet uz Noņemtun pēc tam noklikšķiniet uz Labi.

14. Atvērt mapi %systemdrive%\Program Files\Common failu rekvizītus, un pēc tam noklikšķiniet uz zīmnes drošības pievienot kontu, ko izmanto anonīmu piekļuvi. Pēc noklusējuma šī atrašanās vieta ir IUSR_ < MachineName > kontu. Pievienojiet lietotāju grupa. Pārliecinieties, vai ir atzīmētas tikai šādi:

    • Lasīt un izpildīt

    • Mapes satura sarakstu

    • Lasīt

15. Atveriet saknes direktorijā, kurā tiek glabāti jūsu Web satura rekvizītus. Pēc noklusējuma šī atrašanās vieta ir mape %systemdrive%\Inetpub\Wwwroot. Noklikšķiniet uz cilnes Drošība , pievienojiet IUSR_ < MachineName > kontu un lietotāju grupas un pēc tam pārliecinieties, vai ir atlasīts tikai:

    • Lasīt un izpildīt

    • Mapes satura sarakstu

    • Lasīt

16. Ja vēlaties piešķirt Inetpub\FTProot rakstīt NTFS atļaujas vai FTP vietnes vai vietņu direktorija ceļu, atkārtojiet 15. Piezīme. Mēs neiesakām jums piešķir rakstīt NTFS atļaujas jebkurā direktoriju, tostarp direktoriju izmanto FTP pakalpojums izmanto anonīmu kontu. Tas var izraisīt nevajadzīgu datu augšupielādēti tīmekļa serveri.

Atspējot sistēmas direktorijos mantošana

Lai to izdarītu, veiciet tālāk norādītās darbības.

1. Mapē %SystemRoot%\System32. Atlasiet visas mapes, izņemot šādas:

   • Inetsrv

   • Certsrv (ja tāds ir)

   • COM

2. Ar peles labo pogu noklikšķiniet uz mapes pārējās, noklikšķiniet uz Rekvizītiun pēc tam noklikšķiniet uz zīmnes Drošība .

3. Noklikšķiniet, lai notīrītu izvēles rūtiņu Atļaut Mantojamas atļaujas , noklikšķiniet uz Kopētun pēc tam noklikšķiniet uz Labi.

4. Mapē % systemroot %, atlasiet visas mapes, izņemot šādas:

   • Montāža (ja tāds ir)

   • Lejupielādētie programmu faili

   • palīgā

   • Microsoft.NET (ja tāds ir)

   • Bezsaistes Web lapas

   • System32

   • Uzdevumi

   • Pagaidu

   • Web

5. Ar peles labo pogu noklikšķiniet uz mapes pārējās, noklikšķiniet uz Rekvizītiun pēc tam noklikšķiniet uz zīmnes Drošība .

6. Noklikšķiniet, lai notīrītu izvēles rūtiņu Atļaut Mantojamas atļaujas , noklikšķiniet uz Kopētun pēc tam noklikšķiniet uz Labi.

7. Lietot atļaujas šādiem jautājumiem:

   1. Atvērt mapi % systemroot % rekvizītus, noklikšķiniet uz cilnes Drošība , pievienojiet IUSR_ < MachineName > un < MachineName > IWAM_ kontiem un lietotāju grupas un pārliecinieties, vai ir tikai atlasīt:

      • Lasīt un izpildīt

      • Mapes satura sarakstu

      • Lasīt

   2. Atvērt mapi %systemroot%\Temp rekvizītus, atlasiet IUSR_ < MachineName > kontu (šis konts jau pastāv, jo tā tiek pārmantots no Winnt mapi) un atzīmējiet izvēles rūtiņu mainīt . Atkārtojiet šo darbību IWAM_ < MachineName > konta un Lietotāju grupa.

   3. Ja FrontPage servera paplašinājumu klientiem tiek izmantots FrontPage vai Microsoft Visual InterDev, kā atvērt mapi %systemdrive%\Inetpub\Wwwroot rekvizītus, atlasiet Autentificēto lietotāju grupa, atlasiet Tālāk un pēc tam noklikšķiniet uz Labi :

      • Modificējiet

      • Lasīt un izpildīt

      • Mapes satura sarakstu

      • Lasīt

      • Rakstīt

NTFS atļaujas

Tālāk redzamajā tabulā norādītas atļaujām, kas tiek izmantotas, izpildiet sadaļā "Atspējot pārmantošana sistēmas direktorijos". Šajā tabulā ir tikai atsaucei. Lai lietotu atļaujas šajā tabulā, rīkojieties šādi:

1. Atveriet pārlūkprogrammu Windows Explorer. Lai to izdarītu, noklikšķiniet uz Sākt, noklikšķiniet uz programmas, Piederumiun pēc tam noklikšķiniet uz Windows Explorer.

2. Izvērsiet sadaļu Mans dators.

3. Ar peles labo pogu noklikšķiniet uz % systemroot %un pēc tam noklikšķiniet uz Rekvizīti.

4. Noklikšķiniet uz cilnes Drošība un pēc tam noklikšķiniet uz papildu.

5. Veiciet dubultklikšķi uz atļaujas, un pēc tam atlasiet atbilstošo iestatījumu sarakstā Attiecas uz .

Piezīme. Sadaļā "attiecas uz" kolonnu, termins noklusējuma attiecas uz "Šajā mapē, apakšmapēm un failiem."

Piezīme. Ja izmantojat FrontPage servera paplašinājumi, autentificētie lietotāji vai lietotāju grupas jābūt mainīt NTFS atļaujas izveidot, pārdēvēt, rakstīt vai nodrošināt funkcionalitāte, kas varētu būt izstrādātājs ir FrontPage tipa klientu, piemēram Visual InterDev 6.0 vai FrontPage 2002.

Atļauju piešķiršana reģistrā

1. Noklikšķiniet uz Sākt, noklikšķiniet uz palaist, ierakstiet regedt32un pēc tam noklikšķiniet uz Labi. Nevar izmantot reģistra redaktoru, jo tas neļauj mainīt atļaujas sistēmā Windows 2000.

2. Reģistra redaktorā atrodiet un atlasiet HKEY_LOCAL_MACHINE.

3. Izvērsiet sistēmas, CurrentControlSetun izvērsiet sadaļu pakalpojumi.

4. Atlasiet IISADMIN atslēgu, noklikšķiniet uz drošības (vai nospiediet taustiņu kombināciju ALT + S) un pēc tam atlasiet Atļaujas (vai nospiediet P).

5. Notīriet izvēles rūtiņu Atļaut Mantojamas atļaujas no vecākobjekta izplatīt šim objektam , noklikšķiniet uz Kopētun pēc tam noņemiet visus lietotājiem izņemotnoklikšķiniet:

   • Administratori (atļaut lasīt un pilnīga kontrole)

   • Sistēmas (atļaut lasīt un pilnīga kontrole)

6. Noklikšķiniet uz Labi.

7. Atkārtojiet MSFTPSVC atslēgas.

8. Atlasiet taustiņu W3SVCDrošībaun pēc tam noklikšķiniet uz atļaujas.

9. Notīriet izvēles rūtiņu Atļaut Mantojamas atļaujas no vecākobjekta izplatīt šim objektam , un pēc tam noņemiet visus ierakstus izņemot:

   • Administratori (atļaut lasīt un pilnīga kontrole)

   • Sistēmas (atļaut lasīt un pilnīga kontrole)

   • Tīkla (lasīt)

   • Pakalpojums (lasīt)

   • IWAM_ MachineName < > (lasīt)

10. Noklikšķiniet uz Labi.

Lokālās drošības politikas tiesību piešķiršana

1. Noklikšķiniet uz Sākt, noklikšķiniet uz Iestatījumiun pēc tam noklikšķiniet uz Vadības panelis.

2. Veiciet dubultklikšķi uz Administratīvie rīkiun pēc tam veiciet dubultklikšķi uz Lokālā drošības politika.

3. Lokālās drošības iestatījumu dialoglodziņā izvērsiet Local Policies (lokālā politika)un pēc tam noklikšķiniet uz Lietotāju tiesību piešķiršana.

4. Modificēt attiecīgo politiku:

   1. Veiciet dubultklikšķi uz politikas.

   2. Atlasiet un pēc tam noklikšķiniet uz Noņemt visiem lietotājiem, kas nav norādīta šajā tabulā.

   3. Pievienojiet katram lietotājam, kurš nav sarakstā. Lai to izdarītu, noklikšķiniet uz Pievienojumprogrammasun pēc tam atlasiet lietotāja dialoglodziņā Atlasiet lietotāju vai grupu .

Ņemiet vērā, ka tā domēna kontrollera politika ignorē Lokālās politikas, pārliecinieties, vai Efektīvu politikas iestatījumiem atbilst Lokālās politikas iestatījums.

Atsauces

Lai iegūtu papildinformāciju par to, kā atjaunot noklusējuma NTFS atļaujas Windows 2000, noklikšķiniet uz šiem rakstu numuriem un lasiet Microsoft zināšanu bāzes rakstus:

266118 kā atjaunot noklusējuma NTFS atļaujas Windows 2000

Nepieciešams, lai izmantotu CDONTS 260985 vismaz NTFS atļaujas

Kā iestatīt atļaujas IIS konkrētiem objektiem 324068

815153 kā konfigurēt NTFS atļaujas drošības ASP.NET lietojumprogrammas Lai iegūtu papildinformāciju par IIS 6.0 nepieciešamajām atļaujām, noklikšķiniet uz šī raksta numura un lasiet Microsoft zināšanu bāzes rakstu:

812614 Noklusējuma atļaujas un lietotāju tiesības programmatūrā IIS 6.0

Papildinformācija

Šis raksts neattiecas uz kādu no šīm servera lomas vai lietojumprogrammas specifiskas drošības prasības:

• Windows 2000 domēna kontrolleri

• Microsoft Exchange 5.5 vai Microsoft Exchange 2000 Outlook Web Access

• Microsoft Small Business Server 2000

• Team Services vai Microsoft SharePoint Portal

• Microsoft Commerce Server 2000 vai Microsoft Commerce Server 2002

• Microsoft BizTalk Server 2000 vai Microsoft BizTalk Server 2002

• Microsoft Content Management Server 2000 vai Microsoft Content Management Server 2002

• Microsoft Application Center 2000

• Trešo pušu lietojumprogrammas, kas atkarīgi no papildu atļaujas