Internet Information Server 5

Transkript

1 Internet Information Server 5 Aufbau und Bereitstellung von Webanwendungen mit Windows 2000 Advanced Server von Uwe Bünning, Jörg Krause 1. Auflage Hanser München 2001 Verlag C.H. Beck im Internet: ISBN Zu Inhaltsverzeichnis schnell und portofrei erhältlich bei beck-shop.de DIE FACHBUCHHANDLUNG

2 11.1 Zugangssicherheit Sicherheit administrieren In diesem Kapitel geht es um die Sicherung der Verbindungen zu den vom IIS verwalteten Inhalten, den Aufbau verschlüsselter Verbindungen und die Kontrolle des Zugriffsverhaltens mit Hilfe der Protokolldateien Zugangssicherheit Die theoretischen Grundlagen zu den hier gezeigten Techniken finden Sie in Kapitel 5 Sicherheit und Überwachung ab Seite 143. Bei der Absicherung des Zugangs geht es vor allem um die Verteilung von Inhalten an geschlossene Benutzergruppen. Grundlagen ab Seite Lösungsansätze Prinzipiell stehen Ihnen zwei Lösungswege zur Verfügung. Durch Vergabe entsprechender Rechte im Dateisystem NTFS kann der Zugriff für bestimmte Benutzer eingeschränkt oder freigegeben werden. Die Verwaltung der Benutzer erfolgt wie bisher auch über den Windows 2000-Benutzermanager oder Active Directory. Das ist bequem, solange die Anzahl der Personen relativ gering ist. Es wird allerdings schwieriger, wenn eine öffentliche Website einen sehr großen und möglicherweise nur automatisch gepflegten Nutzerbestand hat. Größere Communities haben einige Hunderttausend registrierte Benutzer. Dafür ist Windows 2000 primär nicht ausgelegt. Eine andere Lösung ist die Absicherung per ASP-Skript. Dabei muss natürlich die Struktur der Seite angepasst werden, was entsprechende Programmierkenntnisse verlangt. Die Verwaltung der Benutzer erfolgt in einer eigenen Datenbank unter MS Access oder SQL Server. Jeder Zugriff auf ein Skript des geschützten Bereiches wird über die Authentifizierung geleitet. Einmal erkannt, wird der Benutzer per Cookie verfolgt und muss sich nicht weiter um die Anmeldung kümmern. Natürlich gibt es Alternativen zu Cookies das verwendete Prinzip bleibt jedoch gleich. In jedem Fall muss sichergestellt werden, dass nicht erkannte Personen nicht weitergeleitet werden. Von Vorteil ist neben der höheren Nutzerzahl auch die freie Gestaltung des Eingabeformulars, das als normale HTML-Seite vorliegt. Im Gegensatz dazu blendet der Browser bei der Authentifizierung per HTTP ein eigenes Dialogfeld auf, auf dessen Gestaltung und Sprache Sie keinen Einfluss haben. Beide Varianten werden nachfolgend ausführlich vorgestellt. 2 mögliche Wege: Entweder NTFS- Rechte und AD- Benutzerkonten......oder eigene Benutzerdatenbank und ASP-Skript

3 Sicherheit administrieren Abbildung 11.1: Anlegen einer Sicherheitsgruppe in Active Directory Absicherung per NTFS Die Absicherung per NTFS verlangt, dass die berechtigen Nutzer im Benutzermanager oder im Active Directory eingetragen sind. Es ist unbedingt zu empfehlen, diese in einer Sicherheitsgruppe zu erfassen. Ordnen Sie dieser Gruppe alle Benutzer zu, die Zugang zu der Site erhalten sollen. Dieser Vorgang wird in Band II Windows 2000 im Netzwerkeinsatz ausführlich beschrieben. Abbildung 11.2: Kopieren vererbter Rechte Vergabe der Zugriffsrechte im NTFS Die Vergabe der Zugriffsrechte erfolgt im ACL-Editor. Wechseln Sie zum zu schützenden Verzeichnis oder zu der entsprechenden Datei. Gehen Sie folgendermaßen vor: 1. Im Kontextmenü öffnen Sie den Dialog EIGENSCHAFTEN. 2. Gehen Sie zur Registerkarte SICHERHEITSEINSTELLUNGEN. 3. Deaktivieren Sie das Kontrollkästchen VERERBBARE ÜBERGEORDNETE BERECHTIGUNGEN ÜBERNEHMEN. 4. Bestätigen Sie den folgenden Dialog mit KOPIEREN.

4 11.1 Zugangssicherheit Entfernen Sie alle Benutzer aus der Liste, die keinen Zugriff erhalten sollen mindestens jedoch JEDER und IUSR_<MACHINE>. 6. Fügen Sie die Gruppe, die zuvor angelegt wurde, und weitere privilegierte Nutzer hinzu. 7. Vergeben Sie der Gruppe die passenden Rechte. Für den lesenden Zugriff und Skriptausführung werden nur die Rechte LESEN, AUS- FÜHREN und ORDNERINHALT AUFLISTEN benötigt. Abbildung 11.3: Zugriffsschutz mit NTFS Der Benutzer wird nun mit dem Authentifizierungsdialog seines Browser konfrontiert, wenn er auf eine Datei zugreifen will, für die der normalerweise verwendete anonyme IUSR_<MACHINE> (beziehungsweise der aktuelle angemeldete Benutzer) keine Rechte besitzt. Abbildung 11.4: Authentifizierung mit dem IE 5.5

5 Sicherheit administrieren Auf die Gestaltung dieses Dialogs haben Sie keinen Einfluss. Allerdings dürften fast allen Benutzern diese Felder vertraut sein. Beachten Sie, dass für Dateien, auf die der IIS bereits zugegriffen hat und die sich im IIS-Cache befinden, geänderte Sicherheitseinstellungen unter Umständen erst mit einer Zeitverzögerung wirksam werden Zugriffssicherheit im IIS konfigurieren Sie können nun noch die Art der Authentifizierung einstellen. Gehen Sie folgendermaßen vor: 1. Suchen Sie das zu schützende Verzeichnis in der IIS-Managementkonsole. 2. Öffnen Sie die Registerkarte VERZEICHNISSICHERHEIT. 3. Wählen Sie die Optionen STEUERUNG DES ANONYMEN ZUGRIFFS UND AUTHENTIFIZIERUNG oder BESCHRÄNKUNGEN FÜR IP-ADRESSEN UND DOMÄNEN. Beide Optionen werden nachfolgend erläutert. Abbildung 11.5: Netscape 6 ohne Chance: Das Dialogfeld bleibt stehen trotz korrekter Angaben Steuerung des anonymen Zugriffs Normalerweise ist anonymen Benutzern der Zugriff gestattet. Das ist die Standardeinstellung, denn Webseiten sind ohne besondere Schutzmaßnahmen jedem zugänglich. Natürlich unterläuft dieser Zugriff nicht die Sicherheitsmechanismen, die Windows 2000 sonst bietet. Durch die Entfernung der Konten JEDER bzw. IUSR_<MACHINE> wird der anonyme Zugriff unterdrückt. Sie können die Option jedoch auch aktiv lassen NTFS wird den Zugriff dennoch zuverlässig verhindern. Eingestellt werden kann jedoch die Art der Authentifizierung. Wenn Sie Integrierte Windows-Authentifizierung eingestellt haben, kann nur der Internet Explorer zugreifen. Netscape kennt nur die Basisauthentifizierung. Um allen Browsern den Zugriff zu gestatten, müssen Sie die Option KENNWORT IM KLARTEXT SENDEN aktivieren.

6 11.1 Zugangssicherheit 427 Abbildung 11.6: Die Einstellung der Authentifizierungsart für alle Browser wird von einer Warnung begleitet Die Warnung sollte Sie nicht veranlassen, bei öffentlichen Servern tatsächlich die»sichere«windows-authentifizierung zu verwenden, denn der Abruf bleibt dann Benutzern des Internet Explorers vorbehalten. Im Intranet mag dagegen der Einsatz sinnvoll erscheinen, wenn auch ausgerechnet dort die Wahrscheinlichkeit eines Angriffs geringer ist. Mithin ist die erweiterte Sicherheit kein wirklich praktikabler Schutz Beschränkungen für IP-Adressen Zusätzlich zum Schutz mit Nutzername und Kennwort besteht die Möglichkeit, gezielt Computern mit bestimmten Adressen, einem Subnetz oder einer Domäne den Zugriff zu erteilen oder zu verweigern. Entscheiden Sie zuerst, welchen Weg Sie gehen: Alle zulassen und einzelne aussperren oder niemanden zulassen und einzelnen Adressen Zugriff gewähren. Dazu wählen Sie die Optionsfelder ZUGRIFF VERWEIGERT (alle aussperren) oder ZUGRIFF GEWÄHRT (alle zulassen). Die Ausnahmen von dieser Regel tragen Sie dann in die Liste mit HINZUFÜGEN ein. Abbildung 11.7: Zulassen oder Sperren eines einzelnen Computers Bei der Angabe eines einzelnen Computers können Sie den DNS zu Hilfe nehmen, um die Adresse zu ermitteln oder zu überprüfen. Bedenken Sie aber, dass die Liste nicht dynamisch aktualisiert wird, wenn sich die Daten zu einem späteren Zeitpunkt im DNS ändern.

7 Sicherheit administrieren Abbildung 11.8: Angabe einer Gruppe Abbildung 11.9: Freigabe einer Domäne Bei der Nutzung der Option MEHRERE COMPUTER ist zu beachten, dass Sie im Feld NETZWERK-ID tatsächlich nur ein Netzwerk und keine vollständige Adresse angeben dürfen. Dies ist unter Umständen nicht leicht zu erkennen, wenn die Subnetzmaske keine Null enthält. Wenn Sie einen Computer angeben, gilt das Subnetz nicht. Die Freigabe einer Domäne ist die optimale Einstellung für einen Server im Intranet Absicherung per Skript Die Absicherung per Skript verlangt, dass jede Anforderung abgefangen werden kann. Dazu dient das bereits in Abschnitt Weiterleitungen ab Seite 367 beschriebene Verfahren. Die Weiterleitung führt zu einem speziellen ASP-Skript, das die Anmeldung überprüft. Einrichten der Weiterleitung Im Beispiel soll der Zugriff auf Seiten mit der Endung.HTM beschränkt werden. Dazu gehen Sie folgendermaßen vor: 1. Öffnen Sie für die zu schützende Site oder das entsprechende virtuelle Verzeichnis den EIGENSCHAFTEN-Dialog in der IIS Managementkonsole.

8 11.1 Zugangssicherheit Gehen Sie zur Registerkarte VERZEICHNIS. Tragen Sie im Feld EINER UMLEITUNG ZU EINEM URL folgendes ein: *; *.htm; checkuser.asp?url=$v&param=$u Das erste Sternchen weist auf eine universelle Umleitungsdirektive hin. Danach wird definiert, dass nur Dateien mit der Endung.HTM erkannt werden. Als Ziel wird das ASP-Skript CHECKUSER.ASP angegeben, dem das ursprüngliche Ziel in der Variablen $V übergeben wird. Der Rest &param=$u überträgt die ursprünglichen GET- Parameter an das Skript, damit diese nicht verloren gehen. 3. Aktivieren Sie das Kontrollkästchen DEM EXAKTEN OBEN ANGEGEBE- NEN URL. Die Weiterleitung ist jetzt aktiviert. Wenn der Benutzer im Browser einen beliebigen URL mit der Anforderung einer HTM-Dateien eingibt, wird das Skript CHECKUSER.ASP ausgeführt. Abbildung 11.10: Eine Weiterleitung eintragen Vorbereitung der Benutzerverwaltung Eine einfache Benutzerverwaltung benötigt keine umfangreichen Ressourcen oder leistungsstarken Datenbankmanagementsysteme. Für dieses kleine Projekt ist deshalb auch bei einigen tausend Nutzern Microsoft Access die beste Wahl. Die Tabelle hat einen sehr einfachen Aufbau, den Sie der folgenden Abbildung entnehmen können. Legen Sie die Tabelle auf dem Server ab. Dazu muss Access nicht installiert sein. Für MDB-Dateien liefert Windows 2000 die passenden OLEDB-Treiber bereits mit. Beachten Sie, dass das Skript schreibend auf die Tabelle zugreift. Entsprechend muss IUSR_<MACHINE> Schreibrechte auf die Datenbankdatei haben. Abbildung 11.11: Aufbau der Tabelle für die Nutzerverwaltung Schreibrechte einstellen