Sicherheit <Sicherheit>

Übersicht

Die <security> Abschnittsgruppe befindet sich im <system.webServer>-Abschnitt und enthält alle Elemente, die Sicherheitseinstellungen auf einem IIS-Server (Internet Information Services) 7 konfigurieren. Dazu gehören SSL-Einstellungen (Secure Sockets Layer) für einen Standort, Anwendungen, die von den Binärdateien der Common Gateway Interface (CGI) oder der Internet Server-API (ISAPI) abhängig sind, Konfigurationseinstellungen für alle Authentifizierungsmodule, die auf Ihrem Server installiert sind, und Autorisierungsregeleinstellungen. Sie umfasst auch Konfigurationseinstellungen für die IP-Sicherheit und Anforderungsfilterung sowie eine Liste der ISAPI- und CGI-Einschränkungen auf dem Server.

Die Einstellungen in der <security>-Abschnittsgruppe können für zusätzliche Sicherheit kombiniert werden. Zum Beispiel:

• Das <authentication>-Element definiert Konfigurationsabschnitte für alle Benutzerauthentifizierungstypen, die Sie auf Ihrem IIS 7-Server installieren und aktivieren können, während das <authorization>-Element die Benutzerkonten konfiguriert, die auf Ihre Website oder Anwendung zugreifen können. Sie verwenden <authorization> in Kombination mit <authentication>, um den Zugriff auf Inhalte auf Ihrem Server zu sichern. Das <access>-Element konfiguriert SSL-Einstellungen für Ihren Webserver, Ihre Website oder Anwendung.
• Das <isapiCgiRestriction>-Element gibt eine Liste von CGI- und ISAPI-Anwendungen an, die unter IIS 7 ausgeführt werden können. Mit diesem Element können Sie sicherstellen, dass böswillige Benutzer keine nicht autorisierten CGI- und ISAPI-Binärdateien auf Ihren Webserver kopieren und dann ausführen können. Das <applicationDependencies>-Element gibt eine Anwendung an, die Abhängigkeiten zu einer oder mehreren CGI- oder ISAPI-Erweiterungseinschränkungen aufweist. Sie können das <isapiCgiRestriction>-Element mit dem <applicationDependencies>-Element kombinieren, um sicherzustellen, dass ihre CGI- oder ISAPI-Erweiterungseinschränkungen ordnungsgemäß festgelegt sind.

Kompatibilität

Setup

Das <security>-Element ist in der Standardinstallation von IIS 7 enthalten.

Gewusst wie

Anonyme Authentifizierung deaktivieren.

1. Öffnen Sie den Internet Information Services (IIS) Manager:

   • Wenn Sie Windows Server 2012 oder Windows Server 2012 R2 verwenden:

     • Klicken Sie der der Taskleiste auf Server-Managerdann auf Toolsund dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows 8 oder Windows 8.1 verwenden:

     • Halten Sie die Windows-Taste gedrückt, drücken Sie den Buchstaben X, und klicken Sie dann auf "Systemsteuerung".
     • Klicken Sie auf Verwaltungund doppelklicken Sie dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows Server 2008 oder Windows Server 2008 R2 verwenden:

     • Klicken Sie auf der Taskleiste auf Start, zeigen Sie auf Verwaltungund dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows Vista oder Windows 7 verwenden:

     • Klicken Sie auf der Taskleiste auf Start und dann auf Systemsteuerung.
     • Doppelklicken Sie auf Verwaltungund doppelklicken Sie dann auf den Internet Information Services (IIS) Manager.

2. Erweitern Sie im Bereich Verbindungen den Servernamen, erweitern Sie Sites, wechseln Sie zu der Ebene im Hierarchiebereich, die Sie konfigurieren möchten, und klicken Sie dann auf die Website oder Webanwendung.

3. Scrollen Sie zum Abschnitt Sicherheit im Bereich Start, und doppelklicken Sie dann auf Authentifizierung.

4. Wählen Sie im Bereich Authentifizierung die Option Anonyme Authentifizierung, und klicken Sie dann Deaktivieren im Bereich Aktionen.
   

So ändern Sie anonyme Authentifizierungsanmeldeinformationen aus dem IUSR-Konto

1. Öffnen Sie den Internet Information Services (IIS) Manager:

   • Wenn Sie Windows Server 2012 oder Windows Server 2012 R2 verwenden:

     • Klicken Sie der der Taskleiste auf Server-Managerdann auf Toolsund dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows 8 oder Windows 8.1 verwenden:

     • Halten Sie die Windows-Taste gedrückt, drücken Sie den Buchstaben X, und klicken Sie dann auf "Systemsteuerung".
     • Klicken Sie auf Verwaltungund doppelklicken Sie dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows Server 2008 oder Windows Server 2008 R2 verwenden:

     • Klicken Sie auf der Taskleiste auf Start, zeigen Sie auf Verwaltungund dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows Vista oder Windows 7 verwenden:

     • Klicken Sie auf der Taskleiste auf Start und dann auf Systemsteuerung.
     • Doppelklicken Sie auf Verwaltungund doppelklicken Sie dann auf den Internet Information Services (IIS) Manager.

2. Erweitern Sie im Bereich Verbindungen den Servernamen, erweitern Sie Sites, navigieren Sie zu der Ebene im Hierarchiebereich, den Sie konfigurieren möchten, und klicken Sie dann auf die Website oder Webanwendung.

3. Scrollen Sie zum Abschnitt Sicherheit im Bereich Start, und doppelklicken Sie dann auf Authentifizierung.

4. Wählen Sie im Bereich Authentifizierung die Option Anonyme Authentifizierung, und klicken Sie dann Bearbeiten... im Bereich Aktionen.

5. Führen Sie im Dialogfeld Anonyme Authentifizierungsinformationen bearbeiten eine der folgenden Optionen aus:

   • Wählen Sie Anwendungspoolidentität aus, um den Identitätsgruppe für den Anwendungspool zu verwenden, und klicken Sie dann auf OK.
     

   • Klicken Sie auf Festlegen..., und geben Sie dann im Dialogfeld Anmeldeinformationen festlegen den Benutzernamen für das Konto im Feld Benutzername ein, geben Sie das Kennwort für das Konto in den Feldern Kennwort und Kennwort bestätigen ein, klicken Sie auf OK, und klicken Sie dann erneut auf OK .
     

     Hinweis

     Wenn Sie dieses Verfahren verwenden, gewähren Sie nur dem neuen Konto minimale Berechtigungen auf dem IIS-Servercomputer.

Aktivieren der Standardauthentifizierung und Deaktivieren der anonymen Authentifizierung

1. Öffnen Sie den Internet Information Services (IIS) Manager:

   • Wenn Sie Windows Server 2012 oder Windows Server 2012 R2 verwenden:

     • Klicken Sie der der Taskleiste auf Server-Managerdann auf Toolsund dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows 8 oder Windows 8.1 verwenden:

     • Halten Sie die Windows-Taste gedrückt, drücken Sie den Buchstaben X, und klicken Sie dann auf "Systemsteuerung".
     • Klicken Sie auf Verwaltungund doppelklicken Sie dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows Server 2008 oder Windows Server 2008 R2 verwenden:

     • Klicken Sie auf der Taskleiste auf Start, zeigen Sie auf Verwaltungund dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows Vista oder Windows 7 verwenden:

     • Klicken Sie auf der Taskleiste auf Start und dann auf Systemsteuerung.
     • Doppelklicken Sie auf Verwaltungund doppelklicken Sie dann auf den Internet Information Services (IIS) Manager.

2. Erweitern Sie im Bereich Verbindungen den Servernamen, erweitern Sie Sites und dann die Website, Anwendung oder den Webdienst, für die Sie die Basis-Authentifizierung aktivieren möchten.

3. Scrollen Sie zum Abschnitt Sicherheit im Bereich Start, und doppelklicken Sie dann auf Authentifizierung.

4. Wählen Sie im Bereich AuthentifizierungStandardauthentifizierung aus, und klicken Sie dann im Bereich Aktionen auf aktivieren.

5. Wählen Sie im Bereich Authentifizierung die Option Anonyme Authentifizierung, und klicken Sie dann Deaktivieren im Bereich Aktionen.
   

Anfordern von Secure Sockets Layer

1. Öffnen Sie den Internet Information Services (IIS) Manager:

   • Wenn Sie Windows Server 2012 oder Windows Server 2012 R2 verwenden:

     • Klicken Sie der der Taskleiste auf Server-Managerdann auf Toolsund dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows 8 oder Windows 8.1 verwenden:

     • Halten Sie die Windows-Taste gedrückt, drücken Sie den Buchstaben X, und klicken Sie dann auf "Systemsteuerung".
     • Klicken Sie auf Verwaltungund doppelklicken Sie dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows Server 2008 oder Windows Server 2008 R2 verwenden:

     • Klicken Sie auf der Taskleiste auf Start, zeigen Sie auf Verwaltungund dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows Vista oder Windows 7 verwenden:

     • Klicken Sie auf der Taskleiste auf Start und dann auf Systemsteuerung.
     • Doppelklicken Sie auf Verwaltungund doppelklicken Sie dann auf den Internet Information Services (IIS) Manager.

2. Wechseln Sie im Bereich Verbindungen zu der Website, Anwendung oder zum Verzeichnis, für die Sie SSL-Anforderungen konfigurieren möchten. SSL kann nicht auf Serverebene konfiguriert werden.

3. Doppelklicken Sie im Bereich Start auf SSL-Einstellungen.
   

4. Klicken Sie im Bereich SSL-Einstellungen auf SSL erforderlich.

5. Klicken Sie im Bereich Aktionen auf Übernehmen.

So aktivieren Sie die Windows-Authentifizierung für eine Website, Webanwendung oder einen Webdienst

1. Öffnen Sie den Internet Information Services (IIS) Manager:

   • Wenn Sie Windows Server 2012 oder Windows Server 2012 R2 verwenden:

     • Klicken Sie der der Taskleiste auf Server-Managerdann auf Toolsund dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows 8 oder Windows 8.1 verwenden:

     • Halten Sie die Windows-Taste gedrückt, drücken Sie den Buchstaben X, und klicken Sie dann auf "Systemsteuerung".
     • Klicken Sie auf Verwaltungund doppelklicken Sie dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows Server 2008 oder Windows Server 2008 R2 verwenden:

     • Klicken Sie auf der Taskleiste auf Start, zeigen Sie auf Verwaltungund dann auf den Internet Information Services (IIS) Manager.

   • Wenn Sie Windows Vista oder Windows 7 verwenden:

     • Klicken Sie auf der Taskleiste auf Start und dann auf Systemsteuerung.
     • Doppelklicken Sie auf Verwaltungund doppelklicken Sie dann auf den Internet Information Services (IIS) Manager.

2. Erweitern Sie im Bereich Verbindungen den Servernamen, erweitern Sie Sites und dann die Website, Anwendung oder den Webdienst, für die Sie die Windows-Authentifizierung aktivieren möchten.

3. Scrollen Sie zum Abschnitt Sicherheit im Bereich Start, und doppelklicken Sie dann auf Authentifizierung.

4. Wählen Sie im Bereich Authentifizierung die Windows-Authentifizierung, und klicken Sie dann Aktivieren im Bereich Aktionen.
   

Konfiguration

Wenn Sie Sicherheitseinstellungen konfigurieren, muss die XML-Konfigurationsdatei die Abschnittsgruppe <security> enthalten. Sie können Sicherheitseinstellungen auf Serverebene in der Datei „ApplicationHost.config“ oder auf Websiteebene, Anwendungsebene oder Verzeichnisebene in der entsprechenden Datei „Web.config“ konfigurieren.

Attribute

Keine

Untergeordnete Elemente

Konfigurationsbeispiel

Im folgenden Beispiel werden die Authentifizierungs-, SSL- und Anforderungsfiltereinstellungen für eine Website namens Contoso konfiguriert.

<location path="Contoso">
   <system.webServer>
      <security>
         <authentication>
            <windowsAuthentication enabled="true" />
            <basicAuthentication enabled="false" />
            <anonymousAuthentication enabled="false" />
         </authentication>
         <access sslFlags="Ssl, SslNegotiateCert, Ssl128" />
         <requestFiltering>
            <fileExtensions>
               <add fileExtension=".inc" allowed="false" />
            </fileExtensions>
            <denyUrlSequences>
               <add sequence="_vti_bin" />
               <add sequence="_vti_cnf" />
               <add sequence="_vti_pvt" />
            </denyUrlSequences>
         </requestFiltering>
      </security>
   </system.webServer>
</location>

Beispielcode

In den folgenden Beispielen wird die anonyme Authentifizierung für eine Site namens Contoso deaktiviert. Anschließend werden sowohl die Standardauthentifizierung als auch die Windows-Authentifizierung für die Site aktiviert.

AppCmd.exe

appcmd.exe set config "Contoso" -section:system.webServer/security/authentication/anonymousAuthentication /enabled:"False" /commit:apphost

appcmd.exe set config "Contoso" -section:system.webServer/security/authentication/basicAuthentication /enabled:"True" /commit:apphost

appcmd.exe set config "Contoso" -section:system.webServer/security/authentication/windowsAuthentication /enabled:"True" /commit:apphost

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample {

   private static void Main() {

      using(ServerManager serverManager = new ServerManager()) { 
         Configuration config = serverManager.GetApplicationHostConfiguration();

         ConfigurationSection anonymousAuthenticationSection = config.GetSection("system.webServer/security/authentication/anonymousAuthentication", "Contoso");
         anonymousAuthenticationSection["enabled"] = false;

         ConfigurationSection basicAuthenticationSection = config.GetSection("system.webServer/security/authentication/basicAuthentication", "Contoso");
         basicAuthenticationSection["enabled"] = true;

         ConfigurationSection windowsAuthenticationSection = config.GetSection("system.webServer/security/authentication/windowsAuthentication", "Contoso");
         windowsAuthenticationSection["enabled"] = true;

         serverManager.CommitChanges();
      }
   }
}

VB.NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration

Module Sample
   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetApplicationHostConfiguration

      Dim anonymousAuthenticationSection As ConfigurationSection = config.GetSection("system.webServer/security/authentication/anonymousAuthentication", "Contoso")
      anonymousAuthenticationSection("enabled") = False

      Dim basicAuthenticationSection As ConfigurationSection = config.GetSection("system.webServer/security/authentication/basicAuthentication", "Contoso")
      basicAuthenticationSection("enabled") = True

      Dim windowsAuthenticationSection As ConfigurationSection = config.GetSection("system.webServer/security/authentication/windowsAuthentication", "Contoso")
      windowsAuthenticationSection("enabled") = True

      serverManager.CommitChanges()
   End Sub
End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST";

var anonymousAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/anonymousAuthentication", "MACHINE/WEBROOT/APPHOST/Contoso");
anonymousAuthenticationSection.Properties.Item("enabled").Value = false;

var basicAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/basicAuthentication", "MACHINE/WEBROOT/APPHOST/Contoso");
basicAuthenticationSection.Properties.Item("enabled").Value = true;

var windowsAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/windowsAuthentication", "MACHINE/WEBROOT/APPHOST/Contoso");
windowsAuthenticationSection.Properties.Item("enabled").Value = true;

adminManager.CommitChanges();

VBScript

Set adminManager = CreateObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST"

Set anonymousAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/anonymousAuthentication", "MACHINE/WEBROOT/APPHOST/Contoso")
anonymousAuthenticationSection.Properties.Item("enabled").Value = False

Set basicAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/basicAuthentication", "MACHINE/WEBROOT/APPHOST/Contoso")
basicAuthenticationSection.Properties.Item("enabled").Value = True

Set windowsAuthenticationSection = adminManager.GetAdminSection("system.webServer/security/authentication/windowsAuthentication", "MACHINE/WEBROOT/APPHOST/Contoso")
windowsAuthenticationSection.Properties.Item("enabled").Value = True

adminManager.CommitChanges()