Jaki jest efekt <tryb uwierzytelniania = "windows"> w wersjach IIS?

Question

Zastanawiam się, jaki jest wpływ ustawienia <authentication mode="windows"> w pliku web.config na inną wersję IIS.

Wierzę, że w IIS 5 ma on niewielki lub żaden efekt, ponieważ wszystko to jest zintegrowane i kontrolowane przez serwer sieciowy.

Na IIS 6 i 7, wierzę, że mogę ustawić serwer WWW na dostęp anonimowy, a następnie każda hostowana aplikacja internetowa może z kolei określić, czy chce korzystać z uwierzytelniania systemu Windows poprzez ustawienie trybu. Oznacza to, że web.config kontroluje ASP.NET w tych wersjach IIS i przesłania serwer.

szukam białym papierze lub odniesienie pewnego rodzaju, że będzie to kopię zapasową więcej niż tylko moim doświadczeniu obserwacyjnym

Answer 1

O ile mi wiadomo, nie było kilka zmian pomiędzy 5 i 6 w odniesieniu do bezpieczeństwa. Jednak IIS 7 był poważnym przeglądem i różni się nieco od IIS 6 (ale IIS 7 pozwala na uruchamianie w trybie "zgodności", aby twoje aplikacje zachowywały się prawie tak samo jak w IIS 5 i 6).

Istnieje kilka przydatnych artykułów, które mogą pomóc:

• http://learn.iis.net/page.aspx/110/changes-between-iis-60-and-iis-7-security/
• http://blogs.iis.net/nitashav/archive/2010/03/12/iis6-0-ui-vs-iis7-x-ui-series-integrated-windows-authentication.aspx

Answer 2

IIS 5 jest nieaktualny (Windows XP umrze w przyszłym roku). Omówienie dalszych szczegółów na ten temat jest mało warte, chociaż twoje zrozumienie nie jest poprawne, o ile dobrze pamiętam.

To ustawienie określa tylko, w jaki sposób środowisko ASP.NET interpretuje macierzysty token użytkownika przekazywany przez usługi IIS (ponieważ usługi IIS przeprowadzają uwierzytelnianie przy użyciu dostawców uwierzytelniania). Tak więc dla IIS 6/7/8, po ustawieniu tego na stronie ASP.NET, musisz dokładnie sprawdzić, jakie jest odpowiednie ustawienie po stronie IIS.

Na przykład, gdy strona IIS używa anonimowego/(zintegrowanego) uwierzytelniania Windows/Basic/Digest, różne typy tokenu użytkownika będą przekazywane do ASP.NET.

http://msdn.microsoft.com/en-us/library/907hb5w9(v=vs.100).aspx

Dlatego twoje zrozumienie „mogę ustawić serwer WWW dostęp anonimowy, a następnie każdy gospodarzem aplikacji internetowych mogłoby z kolei określić, czy chce korzystać z uwierzytelniania systemu Windows przez ustawienie trybu” jest błędne. Jeśli masz zamiar używać uwierzytelniania systemu Windows do uwierzytelniania klientów, musisz ustawić go po stronie IIS i ASP.NET. Począwszy od IIS 7, Menedżer IIS umieszcza te ustawienia w tym samym miejscu, ale wciąż musisz w pełni zrozumieć ich różnice i relacje.

Aby uzyskać więcej informacji na temat uwierzytelniania ASP.NET, można zapoznać się z http://msdn.microsoft.com/en-us/library/eeyk640h(v=vs.100).aspx