Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Authentifizierung und Autorisierung 485
bieten unter Umständen keine Unterstützung für die integrierte Windows-Authentifizierung.
Nur die anonyme Authentifizierung ist in der Standardeinstellung aktiviert.
Der gesamte Zugriff von IIS auf Ressourcen, die der Webserver ausliefert, wird durch Windows-NTFS-Berechtigungen
gesteuert. Das bedeutet, dass jeder Zugriff über eine lokale
Benutzer-ID mit den zugehörigen Gruppen durchgeführt wird. Es ist wichtig, hier zwischen
dem Sicherheitskontext zu unterscheiden, den der Benutzer zu haben glaubt, und dem
Sicherheitskontext, den der Server verwendet, um den Zugriff dieses Benutzers zu bedienen.
Ein gutes Beispiel ist die anonyme Authentifizierung: In der Standardeinstellung ist sie
mit dem IUSR-Konto verknüpft, um zu steuern, auf welche Dateien und Ressourcen zugegriffen
werden kann.
Authentifizierungseinstellungen werden zwar auf der Ebene von Server, Website oder virtuellem
Verzeichnis aktiviert, deaktiviert und definiert, aber die meisten Konfigurationseinstellungen
sind in der serverweiten Datei applicationHost.config unter dem folgenden Abschnitt
gespeichert:
Die Einstellungen beziehen sich auf Elemente, die serverspezifisch sind, nicht sitespezifisch,
zum Beispiel physische Pfade, Benutzernamen und Domänen.
Anonyme Authentifizierung
Anonyme Authentifizierung ist der einzige Authentifizierungsmechanismus in IIS 7.0, der
nach der Installation standardmäßig aktiviert ist. In vielen Aspekten ist dies die sicherste
Konfiguration, weil Ihr Webserver dann Seiten an jeden ausliefert, der eine Verbindung
herstellen kann. Sie als Webmaster stellen sicher, dass nur öffentliche Seiten ausgeliefert
werden können.
Wenn Sie das Element Anonyme Authentifizierung auswählen und den Befehl Bearbeiten
wählen, wird nur eine Konfigurationseinstellung angeboten. Sie können einen Benutzer
auswählen, dessen Konto verwendet wird, um auf Ressourcen zuzugreifen (Abbildung 17.8).
Abbildung 17.8 Im Dialogfeld Anmeldeinformationen für anonyme
Authentifizierung bearbeiten legen Sie fest, welche Identität für den
anonymen Zugriff auf Webressourcen verwendet wird
In der Standardeinstellung ist die anonyme Benutzeridentität das integrierte Konto IUSR mit
der bekannten SID S-1-5-17, das in IIS 7.0 neu ist. (In Kapitel 1, »Subjekte, Benutzer und
andere Akteure«, finden Sie eine Beschreibung von SIDs.) In IIS 6.0 und älteren Versionen