IIS4.0編6

IIS4.0編1
IIS4.0編2
IIS4.0編3
IIS4.0編4
IIS4.0編5
IIS4.0編6
IIS4.0編7
IIS4.0テスト1
IIS4.0テスト2
IIS4.0テスト3

サイトマップ

 

 

第六章 セキュリティ

インターネットにコンピューターを接続すると、インターネットを介して世界中の人からのアクセスが可能になる。ウェブ サーバーへの接続は善意の目的のもとに行われるべきものであるが、中にはネットワークの内部にまで不正に侵入する悪意を持ったユーザーも存在することを想定しなければならない。Windows NT オペレーティング システムでは、侵入者から自分のシステムを守ることができる。IISはWindows NTセキュリティ機構に基づいて、さらに監視やセキュリティ機能を提供する。

6-1、フォルダーとファイルへのアクセス権

○NTFS アクセス権

NTFS アクセス権はWindows NTのユーザーあるいはグループ アカウントに適用される。

フルコントロール:ファイルアクセス権の変更+「変更」
変更:作成、編集、追加、属性変更、削除+「読み取り」
読み取り:フォルダとファイル名表示、ファイルを開いて読む、プログラムファイルの実行
アクセス権なし

○IISアクセス権

IISアクセス権はNTFSアクセス権とは違い、ウェブサイトにアクセスする全てのユーザーに適用される。

wpe5.jpg (18501 バイト)

読み取り:読み取りアクセス権を設定するとホーム フォルダあるいは仮想ディレクトリに格納されているファイルの読み取りとダウンロードが可能になる。
書き込み:書き込みアクセス権を設定するとフォルダへのファイルのアップロードとファイルの内容の変更が可能になる。ただしHTTP 1.1プロトコルのPUT機能をサポートするブラウザでのみ書き込みアクセスを実行できる。

ログアクセス:ログアクセス権を設定すると設定したフォルダーへの訪問者の記録をログファイル内に残すことができる。

ディレクトリ ブラウジングを許可する:ディレクトリの参照が有効になっていて、デフォルトのドキュメントが指定されていない場合はウェブサイト内のHTMLファイルのディレクトリの一覧をユーザーが見ることができる。

IISアクセス権とNTFSアクセス権が設定された場合、制限の強いほうのアクセス権が適用される。

6-2、IISの認証方式

認証とはユーザーが本人であることを確認するプロセスである。IISはユーザー認証をし、そのユーザーがどのリソースにアクセスできるかを制御する。認証を得ていないユーザーがIIS 4.0上のリソースへアクセスするようなことは絶対にあってはいけない。IIS 4.0でWebサイトを構築するときには「匿名アクセス」、「基本認証」、「Windowsチャレンジ/レスポンス」の3つの認証方法から選択できる。FTPについても匿名アクセスおよびユーザー名とパスワードを使用する2つの認証方法がある。

○匿名アクセス

ウェブ ユーザーはインターネット ゲスト アカウント(IUSR_computername)を使用してコンピュータにログオンし、ユーザー名とパスワードを入力する必要がない。ただしIISサーバーへのローカル ログオンのみ許可される。ネットワーク上のその他のサーバーへのアクセスはできない。ウェブ サービスを提供しているサーバーに対する権限もインターネット ゲスト アカウントに許可されたもののみに限定される。匿名アクセスではユーザー名の詐称や盗んだパスワードによる機密情報へのアクセスを防げる。不特定のユーザーにアクセスを許可するウェブ サイトやウェブ アプリケーションの場合は、匿名方式のアクセスを許可するのが一般的である。

インターネット ゲスト アカウントはIISのインストール時に無作為抽出で生成されるパスワードと一緒に自動的に作成される。たとえばコンピュータ名がwebserverの場合には、匿名アクセス アカウント名は IUSR_webserverになる。

注意: 

インターネット ゲスト アカウントはIISサーバーのGuestsグループにも追加される。IISサーバーのGuestsグループに与えられたアクセス権はインターネット ゲスト アカウントにも適用される。
PDCあるいはBDCに作成されたユーザー アカウントは自動的にドメイン ユーザー グループのメンバーになるので、PDCあるいはBDC上にIISをインストールすれば、インターネット ゲスト アカウントはドメイン ユーザー グループのメンバーになる。その結果、匿名のユーザーがドメイン ユーザー グループと同じアクセス権を持つというセキュリティ上の問題が生じる。この問題を修正にはUser Manager for Domainsを使用してインターネット ゲスト アカウントをドメイン ユーザー グループから取り除いて、ゲスト グループに加える。

匿名アクセスの許可にはインターネット サービス マネージャで、WWW サービスまたはFTP サービスをダブルクリックしてそのプロパティ シートを表示し、[サービス] タブを開いてWWWサービスの場合、[匿名を許可] チェック ボックスをオンにし、FTPサービスの場合、[匿名の接続を許可する] チェック ボックスをオンにする。

○基本認証

サーバーへのアクセスに際してWindows NTのユーザー名とパスワードが要求される。基本認証ではWindows NTのユーザー名とパスワードは暗号化されずに送信される。そのため、ネットワーク パケットを盗み見されるとユーザー名とパスワードを知られてしまう可能性がある。

○Windows NT チャレンジ/レスポンス

サーバーへのアクセスに際してWindows NTのユーザー名とパスワードが要求される。Windows NTチャレンジ/レスボンスではユーザー名とパスワードが暗号化されるので、インターネット上でも安全に認証情報を送信できる。

6-3、Secure Socket Layer (SSL)

SSLはインターネット上の通信をセキュリティ面で保護する一般的な方法である。SSL 3.0プロトコルでは送受信データが暗号化され、Webサイトにアクセスするユーザーとの間に安全な通信経路が確立される。SSLはWebコンテンツの信憑性を保証し、特定のWebサイトにアクセスするユーザーを正確に識別できる。管理者はIIS Internet Service Managerのチェックボックスを選択して、Secure Channelサービスを自分のWebサイトに適用する。サーバー証明がクライアントに提示されるので、クライアントはIIS 4.0サーバーのIDを認証することができる。

6-4、サーバーヘのアクセスの許可または拒否

サーバーヘのアクセスを許可または拒否するようIISを設定する(サーバーにアクセスできるホストやネットワークを制限する)方法もある。たとえば、ある特定のIPアドレスからのアクセスを拒否することでIISのサーバーヘのアクセスを個人単位およびネットワーク単位で制限できる。IISの管理ツールを使用すると、IPアドレスやドメイン名によるアクセス制限を簡単に設定できる。