ここでは、セキュリティ保護されたリモートの発行のセットアップ方法として最もお勧めできるものについて説明します。サーバーおよびコンテンツのセキュリティ保護のいくつかの側面を活用し、統合されたセキュリティ保護を確立します。このセキュリティ保護には、次のものが含まれます。
IIS によって次のレベルの認証が提供されます。
どのように発行を行うかによって、適切な WebDAV ディレクトリの構成が決まります。IIS によって仮想ディレクトリを作成する場合、匿名認証と統合 Windows 認証の両方がオンになります。サーバーに接続するクライアントが Web ページのコンテンツを表示する場合、およびスクリプトを実行する場合には、この既定の設定により、良い結果が期待できますが、クライアントがディレクトリのファイルを操作またはディレクトリに対してファイルを発行する場合にはその限りではありません。
匿名アクセス すべてのユーザーにそのディレクトリに対するアクセスを許可します。そのため、WebDAV ディレクトリに対してはオフにする必要があります。だれがアクセスするかを制御することができないため、不特定のクライアントにより、ディレクトリが破壊される可能性があります。詳細については、「匿名認証」を参照してください。
基本認証 パスワードがクリア テキストで送られます。クリア テキストは、簡単に傍受、解読されるため、基本認証をオンにする場合は SSL (Secure Sockets Layer) によるパスワードの暗号化を行う必要があります。詳細については、「基本認証」および「サーバーに SSL をセットアップする」を参照してください。
ダイジェスト認証 パスワードが MD5 ハッシュとしてネットワークで送信されるため、インターネット上でファイアウォールを通してアクセスされるサーバー上に情報を公開する場合に適しています。ただし、パスワードは Active Directory 内にテキスト形式で格納されます。詳細については、「ダイジェスト認証」を参照してください。
高度ダイジェスト認証 ダイジェスト認証の強化版です。パスワードが MD5 ハッシュとしてネットワークで送信されるのに加えて、Active Directory 内に テキストではなく MD5 ハッシュとして格納されます。このため、高度ダイジェストは、インターネット上でファイアウォールを通してアクセスされるサーバー上に情報を公開する場合に適しています。詳細については、「高度ダイジェスト認証」を参照してください。
統合 Windows 認証 インターネット上で WebDAV ディレクトリをセットアップする場合に適しています。詳細については、「統合 Windows 認証」を参照してください。
ここでは、IIS の権限と Windows XP の権限を用いて、どのように WebDAV ディレクトリへのアクセスを制御するか、また、どのようにスクリプト ファイルを保護するかについて説明します。
ここでは、発行するものの目的により選択できる Web アクセス権の構成方法を示します。
Web アクセス権の詳細については、「Web サーバーのアクセス権を設定する」を参照してください。
NTFS ファイル システムのドライブに WebDAV 発行ディレクトリを設定する場合、Windows XP Server では、既定で、Wwwroot ディレクトリを除くすべてのユーザーにフル コントロールが与えられます。このアクセス権のレベルを変更して Everyone グループに [読み取り] アクセス権のみを付与します。次に、特定の個人またはグループに [書き込み] アクセス権を付与します。
NTFS のアクセス権の詳細については、「NTFS のアクセス権」を参照してください。
発行ディレクトリ内に、クライアントによって参照されるべきではないスクリプト ファイルがある場合には、[スクリプト ソース アクセス] を許可しないことにより、ファイルへのアクセスを拒否することができます。スクリプトには、アプリケーション マッピング リストにある拡張子を持つファイルが含まれます。[スクリプトおよび実行可能ファイル] がそのディレクトリに対して有効に設定されていない限り、.exe の拡張子を持つファイルを含むその他のすべての実行可能ファイルは、静的 HTML ファイルとして扱われます。
.exe ファイルを実行可能とする一方で、それがダウンロードされ、HTML ファイルとして参照されることを防ぐには、発行ディレクトリの [仮想ディレクトリ] プロパティ シートで、実行アクセス権を [スクリプトおよび実行可能ファイル] に変更します。このレベルの設定により、すべての実行可能ファイルに [スクリプト ソース アクセス] の設定が適用されます。[スクリプト ソース アクセス] が選択されている場合、[読み込み] アクセス権を持つクライアントは、すべての実行可能ファイルの実行と参照を行うことができ、[書き込み] アクセス権を持つクライアントは、その実行と編集を行うことができます。
次のアクセス権によって、クライアントは、[アプリケーションのマッピング] プロパティ シートにない実行可能ファイルに書き込みを行うことができます。
次のアクセス権によって、クライアントは、実行可能ファイルに書き込みを行うことができます。
極めて大きいサイズのファイルを WebDAV ディレクトリにドラッグ アンド ドロップする場合には、大きなディスク領域が必要とされます。使用するディスク領域を制限するには、ディスク使用のクォータを設定します。ディスク クォータの詳細については、Windows 2000 Server のマニュアルの「ディスク クォータの概要」を参照してください。
セキュリティの詳細については、「IIS セキュリティ チェックリスト」を参照してください。