Konfigurisanje Veb-potvrde verodostojnosti Internet Information Services u operativnom sistemu Windows 2000

Preporučujemo da svi korisnici nadograđuje Microsoft Internet Information Services (IIS) verzija 7,0 koja radi na sistemu Microsoft Windows Server 2008. IIS 7,0 znatno povećava bezbednost Veb infrastrukture. Za više informacija o temama vezanim za IIS bezbednost posetite sledeću Microsoft Web lokaciju:

http://www.microsoft.com/technet/security/prodtech/IIS.mspxViše informacija o dodatnoj komponenti IIS 7.0 potražite na sledećoj Microsoft veb lokaciji:

http://www.iis.net/default.aspx?tabid=1

Ovaj članak važi za Windows 2000. Podrška za Windows 2000 se završava 13 jula 2010. Centar za rešenja za windows 2000 sa krajnjim podrškom predstavlja polaznu tačku za planiranje strategije migracije iz operativnog sistema Windows 2000. Više informacija potražite u smernicama za životni ciklus Microsoft podrške.

Rezime

Ovaj članak sa postepenim koracima opisuje kako se konfiguriše potvrda verodostojnosti za zahteve na Webu u Microsoft Internet Information Services (IIS) 5,0.

Kako funkcioniše Web potvrda identiteta

Web potvrda identiteta je komunikacija između Web pregledača i Web servera koji uključuje mali broj zaglavlja i poruka o greškama u Hyper Text Protocol (HTTP). Protok komunikacije je:

Web pregledač vrši zahtev kao što je HTTP-preuzmi.
Web server izvršava proveru verodostojnosti. Ako ovo nije uspešno, zato što je potrebna potvrda identiteta, server šalje poruku o grešci sličnu sledećoj:

Nemate dozvolu za prikazivanje ove stranice nemate odobrenje da prikažete ovaj imenik ili stranicu koristeći akreditive koje ste dobili.

Informacije su uključene u ovu poruku koju Web pregledač može da koristi za ponovno slanje zahteva kao autorizovani zahtev.
Web pregledač koristi odgovor servera da bi mogao da izgradi novi zahtev koji sadrži informacije o potvrdi identiteta.
Web server izvršava proveru verodostojnosti. Ako je ček uspešan, Web server šalje podatke koji su prvobitno zahtevali nazad u Web pregledač.

Metodi potvrde identiteta

Napomena: sa nekim od sledećih metoda potvrde identiteta, potrebno je da koristite disk jedinice koje ste FORMATIRALI sa NTFS sistemom datoteka zato što NTFS formatirani diskovi održavaju najviši nivo bezbednosti. IIS podržava pet sledećih metoda potvrde verodostojnosti Web lokacije:

Anonimna potvrda identiteta

IISkreira korisnički račun IUSR_ za računara ( gde je ime računara naziv računala) za potvrdu identiteta anonimnih korisnika kada zahtevaju Web sadržaj. Ovaj nalog korisniku daje pravo da se lokalno prijavi. Možete poništiti pristup anonimnom korisniku da koristi bilo koji važeći Windows nalog.Napomena: možete podesiti različite anonimne naloge za različite Web lokacije, virtuelne direktorijume ili fizičke direktorijume i datoteke. Ako je računar zasnovan na operativnom sistemu Windows 2000 samostalni server, IUSR_ nalog zaime računara se nalazi na lokalnom serveru. Ako je server kontroler domena, IUSR_ nalog zaime računara je definisan za domen.

Osnovna potvrda identiteta

Koristite osnovnu potvrdu verodostojnosti da biste ograničili pristup datotekama na Web serveru koji je formatiran NTFS. Sa osnovnom potvrdom identiteta korisnik mora da unese akreditive, a Access je zasnovan na korisničkom ID-u. Da biste koristili osnovnu potvrdu identiteta, dodelite svakom korisniku pravo da se lokalno prijavi i da olakša administraciju, dodajte ih u grupu koja ima pristup potrebnim datotekama.Napomena: pošto su korisnički akreditivi šifrovani kodiranjem base64, ali nisu šifrovani kada se prenose preko mreže, Osnovna potvrda identiteta se smatra nesigurnom potvrdom verodostojnosti.

Integrisana Windows potvrda identiteta

Integrisana Windows potvrda identiteta je bezbednija od osnovne provere identiteta i ona dobro funkcioniše u okruženju interne mreže u kojem korisnici imaju naloge Windows domena. U integrisanoj Windows potvrdi identiteta, pregledač pokušava da koristi akreditive trenutnog korisnika iz prijavljivanja na domen i ako ovo ne uspe, od korisnika će biti zatraženo da unese korisničko ime i lozinku. Ako koristite integrisanu Windows potvrdu identiteta, korisnička lozinka se ne prenosi na server. Ako se korisnik prijavio na lokalni računar kao korisnik domena, korisnik ne mora ponovo da potvrdi verodostojnost kada korisnik pristupi mrežnom računaru u tom domenu.Napomena: nije moguće koristiti integrisanu Windows potvrdu identiteta putem proxy servera.

Sažeta potvrda identiteta

Sažeta potvrda identiteta se odnosi na mnoge slabosti osnovne potvrde verodostojnosti. Lozinka se ne šalje u vidu jasnog teksta kada koristite skraćenu potvrdu identiteta. Pored toga, možete koristiti skraćenu potvrdu identiteta putem proxy servera. Sažeta potvrda identiteta koristi mehanizam za izazov/odgovor (koji koristi Integrisana Windows potvrda identiteta) gde je lozinka poslata u šifrovanom formatu. Da biste koristili skraćenu potvrdu identiteta:

Server zasnovan na operativnom sistemu Windows 2000 mora biti u domenu.
Morate da instalirate IISSuba. DLL datoteku na kontroleru domena. Ova datoteka se automatski kopira tokom instalacije operativnog sistema Windows 2000 Server.
Morate konfigurisati sve korisničke naloge sa lozinkom za prodavnicu koristeći omogućenu opciju "korisnički nalog za šifrovanje". Omogućavanje ove opcije naloga zahteva da se lozinka ponovo uspostavi ili da se ponovo unese.

Napomena: moraćete da koristite Microsoft Internet Explorer 5,0 ili noviji kao Web pregledač ako koristite skraćenu potvrdu identiteta.

Mapiranje certifikata klijenta

Mapiranje certifikata klijenta je metod u kome se kreira "mapiranje" između certifikata i korisničkog naloga. U ovom modelu, korisnik predstavlja certifikat i sistem traži mapiranje da bi utvrdio koji korisnički nalog treba da bude prijavljen. Certifikat možete da mapirate na Windows korisnički nalog na jedan od dva načina:

Pomoću aktivnog direktorijuma.-ili-
Korišćenjem pravila koja su definisana u serverskoj aplikaciji IIS.

Za dodatne informacije o mapiranju certifikata klijenta na korisničke naloge potražite mapiranje certifikata klijenta u IIS dokumentaciji. Ako je IIS instaliran, možete da prikažete IIS dokumentaciju tako što ćete otkucati sledeću URL adresu na traci adresa Web pregledača u kojoj je localhost ime lokalnog domaćina:

http://localhost/iisHelp/iis/misc/default.aspZa više informacija o korišćenju certifikata kliknite na sledeći broj članka da biste videli članak u Microsoft bazi znanja:

290625 Konfigurisanje SSL-a u operativnom sistemu Windows 2000 IIS 5 probni ambijent pomoću servera za certifikate 2,0Svaki metod potvrde identiteta možete konfigurisati tako da kontroliše pristup sledećim stavkama na IIS serveru:

Sav Veb sadržaj koji se hostuje na IIS serveru.
Pojedinačne Web lokacije koje se nalaze na IIS serveru.
Pojedinačni virtuelni direktorijumi ili fizički direktorijumi koji se nalaze na Web lokaciji.
Pojedinačne stranice ili datoteke koje se nalaze na Web lokaciji.

Konfigurisanje IIS Web lokacije potvrde identiteta

Koristite administrativni nalog da biste se prijavili na računar Web servera.
Kliknite na dugme Start, postavite pokazivač na stavku Programi, izaberite stavku Administrativne alatke, a zatim izaberite stavku Upravljač Internet usluga. Pokrenuće se proširenje konzole Internet Information Services.
Na stablu konzole kliknite * ime računara gde je ime računara ime računara.
Kliknite desnim tasterom miša na neku od sledećih stavki, a zatim izaberite stavku Svojstva:
- Da biste konfigurisali potvrdu verodostojnosti za sav Veb sadržaj koji se hostuje na IIS serveru, kliknite desnim tasterom miša na ime računara.
- Da biste konfigurisali potvrdu identiteta za pojedinačnu Web lokaciju, kliknite desnim tasterom miša na Web lokaciju koju želite.
- Da biste konfigurisali potvrdu verodostojnosti za virtuelni direktorijum ili fizički direktorijum na Web lokaciji, izaberite Web lokaciju koju želite, a zatim kliknite desnim tasterom miša na željeni direktorijum, na primer _vti_pvt.
- Da biste konfigurisali potvrdu identiteta za pojedinačnu stranicu ili datoteku na Web lokaciji, izaberite željenu Web lokaciju, kliknite na fasciklu koja sadrži željenu datoteku ili stranicu, a zatim kliknite desnim tasterom miša na datoteku ili stranicu koju želite.
U dijalogu " Svojstva imena stavki " gde je ime stavke ime izabrane stavke, izaberite karticu bezbednost direktorijuma .Napomena: ako je izabrana stavka pojedinačna datoteka, izaberite karticu " bezbednost datoteke ".
U okviru anonimnog pristupa i kontrole za potvrdu identitetakliknite na dugme Uredi.
Kliknite da biste izabrali polje za potvrdu anonimnog pristupa da biste uključili anonimni pristup. Da biste isključili anonimni pristup, opozovite izbor u ovom polju za potvrdu.Napomena: Ako isključite anonimni pristup, potrebno je da konfigurišete neki obrazac autorizovanih pristupa.
1. Da biste promenili nalog koji se koristi za anonimni pristup ovom resursu, kliknite na Uredi pored naloga koji se koristi za anonimni pristup.
2. U dijalogu " anonimni korisnički nalog " Izaberite korisnički nalog koji želite da koristite za anonimni pristup.
3. Opozovite izbor u polju za potvrdu Dozvoli IIS da kontroliše lozinku ako želite da koristite API Windows LogonUser () za potvrdu identiteta korisnika.Napomena: Ako isključite ovu opciju kontrole lozinke, to će učiniti IIS da koristi normalnu potvrdu identiteta i da se nalog prijavi lokalno. Trebalo bi da isključite ovu opciju ako korisnici dožive poteškoće u pristupu resursima kao što su datoteke ili Microsoft Access baze podataka na mrežnom računaru.
4. Kliknite na dugme U redu.
U okviru autorizovanih pristupakliknite da biste izabrali osnovnu potvrdu identiteta (lozinka se šalje u vidu jasnog teksta) da biste uključili osnovnu potvrdu identiteta. Kada dobijete sledeću poruku, kliknite na dugme da:

Opcija za potvrdu identiteta izabrali ste rezultate u lozinkama koje se prenose preko mreže bez šifrovanja podataka. Neko ko pokuša da ugrozi bezbednost sistema može da koristi analizator protokola da bi ispitao korisničke lozinke tokom procesa potvrde identiteta. Više detalja o potvrdi korisnika potražite u pomoći na mreži. Ovo upozorenje se ne primenjuje na HTTPS (ili SSL) veze. Želite li zaista da nastavite?
1. Da biste izabrali domen sa kojim ćete potvrditi identitet korisnika koji koriste osnovnu potvrdu identiteta, kliknite na dugme " Uredi sledeće" da biste izabrali podrazumevani domen.
2. Upišite željeni domen u polje " ime domena ", a zatim kliknite na dugme "u redu".Napomena Ako vas brine bezbednost na internoj mreži zato što Osnovna potvrda identiteta prenosi informacije o korisničkom imenu i lozinci u čist tekst, možete koristiti osnovnu potvrdu identiteta zajedno sa Secure Sockets Layer (SSL).
Kliknite da biste izabrali skraćenu potvrdu verodostojnosti za Windows domenske servere da biste koristili skraćenu potvrdu identiteta. Kada dobijete sledeću poruku, kliknite na dugme da:

Sažeta potvrda identiteta funkcioniše samo sa Windows 2000 nalozima domena i zahteva da nalozi skladište lozinke kao šifrovani jasan tekst. Želite li zaista da nastavite?Napomena: morate konfigurisati korisničke naloge sa lozinkom prodavnice koristeći uključenu opciju "korisnički nalog za šifrovanje".
Potvrdite izbor u polju za potvrdu Integrisana Windows potvrda identiteta da biste koristili integrisanu Windows potvrdu identiteta.Napomena: ovaj metod potvrde identiteta je ranije bio poznat kao Microsoft Windows NT izazov/odziv ili NT LAN Manager (NTLM).
Kliknite na dugme u redu, a zatim u dijalogu Svojstva imena stavki kliknite na dugme u redu. Ako se otvori dijalog " zamene nasleđivanja ":
1. Kliknite na dugme " Izaberi sve " da biste primenili nove postavke potvrde identiteta na sve datoteke ili fascikle koje se nalaze u okviru stavke koju ste promenili.
2. Kliknite na dugme U redu.
Napustite Internet Information Services.

Reference

Za više informacija kliknite na sledeće brojeve članaka da biste videli članke u Microsoft bazi znanja:

297954 Rešavanje problema sa Web serverom u operativnom sistemu Windows 2000

299970 Korišćenje NTFS dozvola za zaštitu Web stranice koja radi na IIS 4,0 ili 5

216705 Podešavanje dozvola na FrontPage Webu u programu IIS

222028 Podešavanje sažete potvrde verodostojnosti za korišćenje sa Internet Information Services 5,0