确保ASP.NET利用程序和Web Services安全之Machine.Config和Web.Config指...[网络技术]

Machine.config 中的设置为服务器利用计算机级的默许值.假如要为服务器上全部利用程序强迫利用特定的配置,可在 <location> 元素上利用 allowOverride="false",如上所述.这对驻留筹划特别实用,在驻留筹划中,需求为服务器上的全部利用程序强迫实施安全战略的各个方面.

关于可以基于单个利用程序配置的那些设置,普通利用程序会供应 Web.config 文件.固然可以利用多个 <location> 元素从 Machine.config 配置单个利用程序,但单独的 Web.config 文件可以供应布置上风,并能使 Machine.config 文件变得更小.

需求考虑的主要问题是计算机战略应当强迫利用哪些设置.这取决于特定的筹划.一些通用筹划以下所示:

<location path="" allowOverride="false">
<system.web>
<authentication mode="Windows"/>  
</system.web>
</location>    
 
 驻留筹划供应驻留服务的公司需求限制利用程序,以使它们不能拜候彼此的资源,从而限制对重要系统资源的拜候.要实现此目标,可以配置全部利用程序以部份信任级别运行.比方,中级信任级别限制利用程序只能拜候自身虚拟目录分级构造内的文件,而限制对其他范例资源的拜候.有关具体信息,请参阅模块 9 ASP.NET 代码拜候安全性.要对服务器上的全部利用程序利用中级信任战略,请利用以下配置:

<location path="" allowOverride="false>
<system.web>
<trust level="Medium" />
</system.web>
</location>        
 

ACL 和权限
配置文件包含敏感数据,因此需求利用得当配置的 ACL 来限制拜候.

Machine.config
默许情形下,利用以下 ACL 配置 Machine.config:

Administrators:完好掌握
System:完好掌握
Power Users:改正
Users:读取和履行
LocalMachine\ASPNET（进程标识）:读取和履行

注意 在 Windows Server 2003 上,本地服务和网络服务帐户也被授与读取权限.

Users 组的成员默许情形下被授与读取权限,因为计算机上运行的全部托管代码都必须可以读取 Machine.config.

Machine.config 上的默许 ACL 是安全的默许值.但是,假如只有单个 Web 利用程序运行在服务器上,或全部 Web 利用程序利用相同的进程标识,则可以通过删除用户的拜候掌握项 (ACE) 来进一步限制 ACL.假如确切从 DACL 中删除了"users",需求明确增添 Web 进程标识.

Web.config
.NET Framework 不安装任何 Web.config 文件.假如安装供应自身 Web.config 的利用程序,普通它会从 inetpub 目录担当 ACL,默许情形下,该 ACL 将为 Everyone 组的成员授与读取权限.要锁定利用程序特定的 Web.config,请利用以下 ACL 之一.

关于 .NET Framework 1.0:

Administrators:完好掌握
System:完好掌握
ASP.NET 进程标识:读取
UNC 标识:读取
模拟标识（固定标识）:读取
模拟标识（原呼唤方）:读取

关于 .NET Framework 1.1:

Administrators:完好掌握
System:完好掌握
ASP.NET 进程标识:读取
UNC 标识:读取
模拟标识（固定标识）:读取

假如利用程序利用明确帐户的模拟（即,假如模拟固定标识）,如 <identity impersonate="true" user password="Y0urStr0ngPassw0rd$"/>,则帐户（本例中为 WebUser）和进程都需求读取权限.

假如代码基准基于通用命名约定 (UNC) 同享,则必须为 IIS 供应的 UNC 令牌标识授与读取权限.

假如您正在模拟但没有利用明确凭证,如 <identity impersonate="true"/>,并且没有利用 UNC,则在 .NET Framework 1.1 中只有进程需求拜候权限.关于 .NET Framework 1.0,必须别的配置 ACL,使其为将被模拟的任何标识授与读取权限（即,必须为原呼唤方授与读取权限）.

康斯坦丁blog