Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

484 Kapitel 17: Schützen von Serveranwendungen
Sie können diese Elemente im Internetinformationsdienste-Manager auf der Ebene von Server,
Site oder virtuellem Verzeichnis hinzufügen oder entfernen, indem Sie das Feature Standarddokument
öffnen. Sie können dies auch in der XML-Konfiguration (in der application-
Host.config des Webservers oder in der Web.config-Datei von Website, Anwendung oder
virtuellem Verzeichnis) im folgenden Abschnitt einstellen:
Das Element defaultDocument hat nur ein Attribut, enabled, das "true" oder "false" sein
kann. Das Element defaultDocument/files kann Elemente mit den üblichen Namen enthalten
(add, remove und clear), um die Liste der Dateien in der Auflistung zu steuern, wie im
vorherigen Beispiel gezeigt.
Sie sollten eine serverweite Liste der Standarddokumente festlegen, weil dies die Dokumente
sind, die gesucht und angezeigt werden, falls die angeforderte URL ein Verzeichnis ist.
Wenn Sie sich darauf verlassen, dass ein Standarddokument weiter oben in der Liste vorhanden
ist und daher verhindert, dass eines weiter unten in der Liste ignoriert wird, schlägt
das wahrscheinlich fehl, falls jemand eine der Standarddateien verschiebt oder umbenennt.
Falls Sie lieber eine Liste der Dateien in einem Verzeichnis anzeigen, wenn ein Verzeichnis
angefordert wird und kein Standarddokument gefunden wird, können Sie im Internetinformationsdienste-Manager
das Feature Verzeichnis durchsuchen öffnen und aktivieren. Oder
Sie aktivieren es in der Web.config-Datei unter folgendem Pfad:
Authentifizierung und Autorisierung
Wenn Sie einen Webserver einrichten, lautet nach der Frage »Welchen Inhalt sollen wir
hosten?« die nächste meistens: »Wem sollen wir diesen Inhalt zur Verfügung stellen?« Wenn
Sie auswählen wollen, welchen Benutzern der Zugriff auf welchen Inhalt erlaubt wird, brauchen
Sie einen guten Authentifizierungsmechanismus als Grundlage.
Wie es sich für einen Internetstandard gehört, stellt HTTP viele Clientauthentifizierungsmechanismen
zur Auswahl, die unterschiedliche Vor- und Nachteile haben. In IIS 7.0 stehen
standardmäßig die Authentifizierungsmethoden anonyme Authentifizierung, Standardauthentifizierung,
Clientzertifikatzuordnung, Digestauthentifizierung, Formularauthentifizierung
und Windows-Authentifizierung zur Verfügung. (In Kapitel 4, »Authentifizierung
und Authentifizierungsprotokolle«, finden Sie genauere Beschreibungen einiger dieser
Methoden.)
Anonyme Authentifizierung, Standardauthentifizierung, Clientzertifikatzuordnung, Digestauthentifizierung
und Formularauthentifizierung basieren auf Internetstandarddokumenten
und funktionieren mit mehreren Browsern. Manche andere Browser als Internet Explorer