Hallo,
wir haben zwecks bequemen Onlinezugriff auf Datenshares von unterwegs im IIS 7 (SBS 2008) einen Überordner ("Shares") der LAN-Datenfreigaben als Virtuelle Anwendung im ISS angelegt und WebDav darauf aktiviert. Die virtuelle
Anwendung wird im Applikationspool "SBS Web Applications application pool" ausgeführt welche die Identität des "Networkservice" benutzt.
In den WebDav Einstellungsregeln wurden alle Benutzer für "Lesen; Schreiben; Quelle" freigegeben.
Der Einstiegsordner "Shares" wurde auf NTFS Basis für alle Benutzer lesend freigegeben (alle Ordner liegen lokal auf dem IIS).
Die jeweiligen Unterordner (unsere Netzwerkfreigaben) erben die NTFS Berechtigung des Überordners nicht und nur entsprechende
Sicherheitsgruppen haben Zugriff darauf.
Als IIS Authentifizierungsmöglichkeiten wurden Standard- und Windows Auth. zugelassen.
In den Grundeinstellungen des virtuellen Anwendung wurde Die Pass-Through-Authentifizierung auf "Anwenderungsbenutzer" gestellt.
Somit wollten wir erreichen, dass sich Benutzer via integriertem Windows WebDav Client auf das Verzeichnis "Shares" verbinden und dann entsprechend ihrer Sicherheitsgruppenmitgliedschaft Zugriff auf die Unterverzeichnisse haben. Funktioniert soweit!
Erste Frage: Gibt es hier Sicherheitsbedenken? (ich möchte die Unternehmensdaten nicht bei Google wiederfinden..)
Das einzige Problem was jetzt bleibt, ist dass wenn nicht der WebDav Client (also unter Windows 7 -> Netzlaufwerke verbinden.. Https://) verwendet wird sondern der Internet Explorer zur Anzeige des WebDav Verzeichnisses benutzt wird, keine Unterordner
(unsere eigentlich interssanten Datenordner) aufgerufen werden können.
Beim Auftruf des WebDav Verzeichnisses über den InternetExplorer wird die Einstiegsseite problemlos aufgerufen und die Unterordnerstruktur ist sichtbar, beim Zugriff auf Unterordner erscheint jedoch eine Fehlerseite, die auf mangelnde Berechtigung
hinweist.
Nach div. Test habe ich herausgefunden, dass der Networkservice (Identität des ApplicationPool des Virtuellen Verzeichnisses) lesenden Zugriff auf alle Unteroprdner benötigt (was auf Grund der nicht erbenden NTFS Struktur unterbunden wurde) um
scheinbar nach dem Vorhandensein der web.conf zu schauen...
Jetzt meine zweite Frage: Kann ich dem Networkservice bedenkenlos lesenden Zugriff auf die Unterverzeichnisse (kritische Daten!) geben oder ergibt sich hier die Möglichkeit für Angreifer unauthentifiziert zuzugreifen ? Soweit ich es verstanden
habe nutzt der IIS selbst den Networkservice nur um nach der web.conf in jedem Unteverzeichnis zu suchen, der Datenzugriff selbst geschieht allerdings im Kontext des Benutzers, der sich am IIS authentifiziert hat (daher auch die Pass-Through-Authentifizierung).
Dritte Frage: Wieso benötigt nur die Ansicht im InternetExplorer den Networkservice zum Suchen nach web.conf und nicht der Windows WebDav Client ?
Vielen Dank für euren Input!
