Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

482 Kapitel 17: Schützen von Serveranwendungen
Es ist auch möglich, den physischen Pfad auf eine Netzwerkfreigabe in einem anderen Server
zu legen. Dazu können Sie einen UNC-Pfad wie zum Beispiel \\Server\Freigabename
angeben. Sie können die Dialogfelder für Grund- oder erweiterte Einstellungen verwenden,
um die Anmeldeinformationen des Benutzers so zu verändern, dass sie auf Dateien im physischen
Pfad der Website zugreifen. So können Sie sicherstellen, dass für die Benutzer dieser
Website beim Zugriff auf Dateien die jeweiligen NTFS- und Freigabeberechtigungen angewendet
werden.
Vorsicht Passen Sie bei allen Optionen auf, die Anmeldeinformationen eines Benutzer für einen späteren
Identitätswechsel speichern. Selbst wenn diese Anmeldeinformationen verschlüsselt sind, bleibt ein gewisses
Risiko, dass jemand Lesezugriff auf die Konfiguration dieses Servers bekommt und sich als dieser
andere Benutzer authentifiziert.
Aus diesem Grund sollten die Anmeldeinformationen, die Sie hier angeben, zu einem Konto gehören, das
keine echte Person repräsentiert. Die Rechte und Privilegien dieses Kontos sollten darauf beschränkt sein,
auf die Ordner und Dateien der Website zuzugreifen.
Das Kennwort für dieses Konto sollte nicht auch für irgendwelche anderen Konten benutzt werden, und es
sollte zufällig generiert werden, zum Beispiel mit dem folgenden Befehl:
net user Kontoname /add /domain /random
Die mit dem Befehl net user /random generierten Kennwörter sind auf eine Länge von 8 Zeichen beschränkt.
Falls Sie längere zufällige Kennwörter generieren wollen, empfehle ich das von Jesper Johansson
entwickelte Tool Passgen, das Sie auf der Begleit-CD zu diesem Buch finden.
Die Einstellungen zum physischen Pfad der Website und ihrer virtuellen Verzeichnisse
finden Sie zusammen mit dem Benutzerkonto, das für den Zugriff auf den physischen Pfad
verwendet wird, an folgender Stelle in der XML-Datei applicationHost.config :
Dies wird in der systemweiten applicationHost.config eingestellt, nicht in der individuellen
Web.config-Datei der Site. Physischer Pfad, Benutzerkonto und Kennwort sind keine Eigenschaften
der Website. Sie ändern sich, falls die Website auf einen anderen Hostingdienst
verlegt wird, und sie sollten im Allgemeinen nicht dem Websitebesitzer mitgeteilt werden.
Attribute des Elements virtualDirectory sind unter anderem:
path ist eine Zeichenfolge, die den virtuellen Pfad vom Stammverzeichnis der Website
zu diesem Pfad beschreibt.
physicalPath ist der physische Pfad zum Inhalt, der in diesem virtuellen Verzeichnis
gespeichert ist. Für lokalen Inhalt kann der Pfad das Format "X:\Pfad1\Pfad2" haben; für
Netzwerkinhalt sollte der Pfad im UNC-Format angegeben werden, zum Beispiel
"\\Server\Freigabe\Pfad1\Pfad2".
username ist eine Zeichenfolge, die den Namen des Benutzers angibt, dessen Anmeldeinformationen
verwendet werden, um auf den physischen Pfad zuzugreifen. Falls dieses
Attribut fehlt, wird Pass-Through-Authentifizierung verwendet.