Cum se setează permisiunile minime NTFS și drepturile de utilizator pentru IIS 5.x sau IIS 6.0

Limitare pentru acest articol

Avertisment Acest articol este doar valid pentru dedicat servere Web care utilizează funcționalitatea de bază IIS, cum ar fi servire conţinut HTML statice conținut sau simplă Active Server Pages (ASP). Cerințele de permisiune care sunt descrise în acest articol sunt specifice numai permisiunile de bază pentru un server dedicat Web pe care se execută IIS 5. x sau IIS 6.0. Acest articol nu ia în considerare alte Microsoft și produse terțe care pot necesita permisiuni diferite. Puteți vedea documentația server și aplicația pentru cerințele de securitate specifice. Vă recomandăm să revizuiți articolele corelate specifice pentru roluri de pe serverul Web.

Testarea pași înainte de permisiuni configurațiile într-un mediu de producție

Înainte de a face modificări de permisiune pe un server Web de producție, se recomandă să efectuați următorii pași:

1. Executați Cea mai recentă versiune a instrumentului Lockdown IIS. Următoarele programe și servicii s-au instalat ca parte a suitei test care s-a utilizat pentru a testa securitate server după acordarea de permisiuni menționate în acest articol:

   • Index de servicii

   • Terminal Services

   • Script Debugger

   • IIS

     • Common Files

     • Documentație

     • Extensiile de FrontPage Server 2000

     • Managerul de servicii Internet (HTML)

     • WWW

     • FTP

2. Efectuați următoarele teste funcţionale:

   • Documente hipertext (HTML)

   • Active Server Pages (ASP)

   • FrontPage Server Extensions, cum ar fi conectarea, editarea și salvarea, dacă FPSE este activată în timp ce utilizați instrumentul Lockdown

   • Secure Socket straturi conexiuni (SSL)

Acordă dreptul de proprietate și permisiunea de administrator și la sistemul de

Pentru a face acest lucru, urmați acești pași:

1. Deschideţi Windows Explorer. Pentru aceasta, faceți clic pe Start, faceți clic pe programeși apoi faceți clic pe Windows Explorer.

2. Extindeți computerul meu.

3. Faceți clic dreapta pe unitatea de sistem (aceasta este de regulă unitatea C), și apoi faceți clic pe Proprietăți.

4. Faceți clic pe fila Securitate , și apoi faceți clic pe Complex pentru a deschide caseta de dialog Setări de Control acces pentru disc Local .

5. Faceți clic pe fila proprietar , faceți clic pentru a bifa caseta de selectare Înlocuiește proprietarul din Sub containere și obiecte , și apoi faceți clic pe se aplică. Dacă primiţi următorul mesaj de eroare, faceți clic pe continuare:

   Eroare la aplicarea informații de securitate pentru %systemdrive%\Pagefile.sys

6. Dacă primiţi următorul mesaj de eroare, faceți clic pe Da:

   Nu aveți permisiunea de a citi conținutul directorului %systemdrive%\System Volume Information - doriți să Înlocuiți permisiunile directorului - permisiunea toate vor fi înlocuite cu care vă acordă Control total

7. Faceți clic pe OK pentru a închide caseta de dialog.

8. Faceți clic pe Adăugare.

9. Adăugați următoarele utilizatori și apoi să le acorde permisiunea Full Control NTFS:

   • Administrator

   • Sistem

   • Creator Owner

10. După ce ați adăugat aceste permisiuni NTFS, faceți clic pe Complex, faceți clic pentru a bifa caseta de selectare Reinițializare permisiune pe toate obiectele fiu și activați propagarea permisiunile transmisibile și apoi faceți clic pe se aplică.

11. Dacă primiţi următorul mesaj de eroare, faceți clic pe continuare:

    Eroare la aplicarea informații de securitate pentru %systemdrive%\Pagefile.sys

12. După ce ați resetaţi permisiunile NTFS, faceți clic pe OK.

13. Faceți clic pe grupul Everyone , faceți clic pe Eliminare, și apoi faceți clic pe OK.

14. Deschideți proprietățile pentru folderul %systemdrive%\Program Files Files, și apoi faceți clic pe fila Securitate Adăugare cont care este utilizat pentru acces anonim. În mod implicit, acesta este contul IUSR_ < MachineName >. Apoi, adăugaţi grupul utilizatori. Asigurați-vă că sunt selectate numai următoarele:

    • Citiți și să Execute

    • Listare conținut Folder

    • Citire

15. Deschideți proprietățile pentru directorul rădăcină care găzduiește conținut de pe Web. În mod implicit, acesta este folderul %systemdrive%\Inetpub\Wwwroot. Faceți clic pe fila Securitate , adăugați contul IUSR_ < MachineName > și grupul utilizatori și apoi asigurați-vă că sunt selectate numai următoarele:

    • Citiți și să Execute

    • Listare conținut Folder

    • Citire

16. Dacă doriți să acorde permisiunea de scriere NTFS pentru Inetpub\FTProot sau calea directorului pentru site-ul FTP sau site-uri, repetați pasul 15. Notă Nu recomandăm că vă acordați permisiuni NTFS scrie la contul anonim în directoare, inclusiv directoare utilizate de utilizarea serviciului FTP. Acest lucru poate provoca date nu sunt necesare pentru a fi încărcat pe serverul Web.

Dezactivați moștenire în directoarele de sistem

Pentru a face acest lucru, urmați acești pași:

1. În folderul %systemroot%\System32, selectați toate folderele, cu excepția următoarele:

   • Inetsrv

   • Certsrv (dacă există)

   • COM

2. Faceți clic dreapta pe folderele rămase, faceți clic pe Proprietăți, și apoi faceți clic pe fila Securitate .

3. Faceți clic pentru a debifa caseta de selectare Allow permisiunile transmisibile , faceți clic pe Copiereși apoi faceți clic pe OK.

4. În folderul % systemroot %, selectați toate folderele, cu excepția următoarele:

   • Asamblare (dacă există)

   • Fișierele de Program descărcate

   • ajutor

   • Microsoft.NET (dacă există)

   • Paginile Web offline

   • System32

   • Activități

   • Temp

   • Web

5. Faceți clic dreapta pe folderele rămase, faceți clic pe Proprietăți, și apoi faceți clic pe fila Securitate .

6. Faceți clic pentru a debifa caseta de selectare Allow permisiunile transmisibile , faceți clic pe Copiereși apoi faceți clic pe OK.

7. Aplică următoarele permisiuni:

   1. Deschideți proprietățile pentru folderul % systemroot %, faceți clic pe fila Securitate , Adăugați conturile IUSR_ < MachineName > și IWAM_ < MachineName > și grupul utilizatori și apoi asigurați-vă că numai următoarele selectat:

      • Citiți și să Execute

      • Listare conținut Folder

      • Citire

   2. Deschideți proprietățile pentru folderul %systemroot%\Temp, selectați contul IUSR_ < MachineName > (acest cont este deja prezent, deoarece acesta moștenește din folderul Winnt) și apoi faceți clic pentru a bifa caseta de selectare Modify . Repetați acest pas pentru contul IWAM_ < MachineName > și Grupul de utilizatori .

   3. Dacă FrontPage Server extensie clienți cum ar fi FrontPage sau Microsoft Visual InterDev sunt utilizate, deschideți proprietățile pentru folderul %systemdrive%\Inetpub\Wwwroot, selectați grupul de Utilizatori autentificați , selectați următoarele și apoi faceți clic pe OK :

      • Modificați

      • Citiți și să Execute

      • Listare conținut Folder

      • Citire

      • Scriere

Permisiunile NTFS

Următorul tabel listează permisiunile care vor fi aplicate când urmați pașii din secțiunea "Disable moștenire în directoarele de sistem". Acest tabel este numai pentru referinţă. Pentru a aplica permisiuni în următorul tabel, urmați acești pași:

1. Deschideţi Windows Explorer. Pentru aceasta, faceți clic pe Start, faceți clic pe programe, faceți clic pe Accesoriiși apoi faceți clic pe Windows Explorer.

2. Extindeți computerul meu.

3. Faceți clic dreapta pe % systemroot %, și apoi faceți clic pe Proprietăți.

4. Faceți clic pe fila Securitate , și apoi faceți clic pe Complex.

5. Faceți dublu clic pe permisiuniși apoi selectați setarea corespunzător din lista de Aplica pe .

Notă În "se aplică" coloana, termenul implicit se referă la "Acest folder, subfolderele și fișierele."

Notă Dacă utilizați FrontPage Server Extensions, utilizatorii autentificați sau grupul utilizatori trebuie să aveți permisiunea de modificare NTFS pentru a crea, pentru a redenumi, să scrie sau pentru a furniza funcționalitatea un dezvoltator poate fi necesar să aveți un tip de FrontPage de client, cum ar fi Visual InterDev 6.0 sau FrontPage 2002.

Acordați permisiuni în registry

1. Faceți clic pe Start, faceți clic pe Executare, tastați regedt32și apoi faceți clic pe OK. Utilizați Registry Editor, deoarece acesta nu permite modificarea permisiunilor în Windows 2000.

2. În Registry Editor, găsiți și selectați HKEY_LOCAL_MACHINE.

3. Extindeți sistem, extindeți CurrentControlSetși apoi extindeți Services.

4. Selectați cheia IISADMIN , faceți clic pe Securitate (sau apăsați ALT + S), apoi selectați Permisiuni (sau apăsați P).

5. Faceți clic pentru a debifa caseta de selectare Allow permisiunile transmisibile de la părintele să se propage la acest obiect , faceți clic pe Copiere, și apoi eliminați toate utilizatori , cu excepția:

   • Administratori (permite Read și Full Control)

   • Sistem (permite Read și Full Control)

6. Faceți clic pe OK.

7. Repetați pașii pentru cheia MSFTPSVC .

8. Selectați cheia W3SVC , faceți clic pe Securitateși apoi faceți clic pe permisiuni.

9. Faceți clic pentru a debifa caseta de selectare Allow permisiunile transmisibile de la părintele să se propage la acest obiect și apoi eliminați toate intrările cu excepția:

   • Administratori (permite Read și Full Control)

   • Sistem (permite Read și Full Control)

   • Rețea (citire)

   • Service (citire)

   • IWAM_ < MachineName > (citire)

10. Faceți clic pe OK.

Acordarea drepturilor în Politica de securitate locală

1. Faceți clic pe Start, faceți clic pe Setăriși apoi faceți clic pe Panoul de Control.

2. Faceți dublu clic pe Instrumente de administrareși apoi faceți dublu clic pe Politica de securitate locală.

3. În caseta de dialog Local Security Settings , extindeți Local Policiesși apoi faceți clic pe User Rights Assignment.

4. Modificați politica corespunzătoare:

   1. Faceți dublu clic pe politica.

   2. Selectați și apoi faceți clic pe Eliminare pentru orice utilizator care este nu sunt listate în tabel.

   3. Adăugați un utilizator care nu este listat. Pentru aceasta, faceți clic pe Adăugareşi selectaţi utilizatorul în caseta de dialog Selectare utilizatori sau grupuri .

Rețineți că, deoarece o politică de controler de domeniu suprascrie politica locală, trebuie să vă asigurați că Efective setarea de politică coincide cu Setarea de politică locale.

Referințe

Pentru mai multe informații despre cum se restaurează implicit permisiunile NTFS pentru Windows 2000, faceți clic pe următoarele numere de articol pentru a vedea articolele în baza de cunoștințe Microsoft:

266118 cum se restaurează permisiunile NTFS implicite pentru Windows 2000

260985 minim NTFS permisiunile necesare pentru a utiliza CDONTS

324068 cum se setează permisiunile IIS pentru obiecte specifice

815153 cum se configurează permisiunile de fișiere NTFS pentru securitatea aplicațiilor ASP.NET Pentru mai multe informații despre permisiunile necesare pentru IIS 6.0, faceți clic pe următorul număr de articol pentru a vedea articolul în baza de cunoștințe Microsoft:

812614 permisiunile implicite și drepturile de utilizator pentru IIS 6.0

Mai multe informații

Acest articol nu se referă la oricare dintre cerințele de securitate specifice următoarele roluri de server sau aplicații:

• Controler de domeniu Windows 2000

• Microsoft Exchange 5.5 sau Microsoft Exchange 2000 Outlook Web Access

• Microsoft Small Business Server 2000

• Microsoft SharePoint Portal sau Team Services

• Microsoft Commerce Server 2000 sau Microsoft Commerce Server 2002

• Microsoft BizTalk Server 2000 sau Microsoft BizTalk Server 2002

• Conținut Microsoft Management Server 2000 sau Microsoft conținut Management Server 2002

• Microsoft Application Center 2000

• Aplicații terțe care depind de permisiuni suplimentare