CMS中的安全性和身份验证（下）

以下各节将详细讲述除来宾访问之外的所有这些 MSCMS 安全设置。有关“来宾访问”的信息，请参见“验证用户身份”一节。

控制对虚拟 Web 站点的访问

MSCMS 站点上的每个虚拟站点各代表 Web 服务器的一个不同的入口点。因此，控制对这些站点的访问对服务器安全很重要。

管理员可以为每个虚拟 Web 站点从三种不同的安全设置中选择一种：

MSCMS Authoring is allowed（允许 MSCMS 创作）。此设置授予用户访问和修改 Web 站点内容的权限。

MSCMS Authoring is not allowed（不允许 MSCMS 创作）。启用此设置时站点是只读的。这意味着通过此站点登录的客户端都不能修改内容。例如，在不允许 MSCMS 创作的站点上，Site Builder 是不可访问的。

MSCMS is disabled（禁用 MSCMS）。当 MSCMS 不支持某个站点时，将不映射或者将移除虚拟目录，因而从此站点请求的任何页面都将被报告为“未找到”。

对于高安全性站点，管理员可能想将系统配置为只有一个服务器的一个虚拟 Web 站点支持创作功能。此虚拟 Web 服务器的地址可由防火墙或 IP 访问隐藏，这样任何外部用户都不能访问或读取它。除提供高安全性外，此配置还可提高性能，因为 MSCMS 使用效率更高的脚本来呈现运行时 Web 页。

MSCMS 2001 系统帐户

使用一个系统帐户，MSCMS 可访问网络上的资源，并可在使用了 Active Directory 时连接到 Active Directory。此帐户充当所有已验证身份的用户的代理，从而使管理员不必分别向每个已验证身份的用户授予对受保护资源的访问权。系统帐户必须有权枚举或浏览 MSCMS 中支持的组织单元、域、容器、组和用户。

在设置系统帐户时，请注意以下几点：

建立系统帐户时不必使用享有特权的 Windows 用户帐户，使用常规域用户帐户即可。

如果 MSCMS 2001 中使用了 Active Directory Service 组织单元，则系统帐户必须有权查看 ADS 树。

如果使用 SQL 信任的身份验证，则系统帐户必须对 CMS 2001 使用的 Microsoft SQL Server? 数据库有读/写访问权。如果使用 SQL

身份验证，那么 SQL 帐户就需要有对数据库的访问权限，而不要求对系统帐户拥有访问权。

一定不要让系统帐户成为域管理员。系统帐户可以是本地管理员帐户，但建议不要采用此设置。

一定不要将 IIS 匿名帐户设置成为系统帐户。这样做会授予匿名帐户对 CMS 2001 数据库的访问权。

启用系统帐户

1.打开“服务器配置应用程序”，单击 Security（安全）选项卡，然后单击 Configure（配置）。

 

2.为系统帐户设置 Windows NT 用户帐户和帐户密码。



3.如果您选择使用 SQL 身份验证，请打开“数据库配置应用程序”(Database Configuration Application)，选择 SQL Server 7/2000，然后单击 Next（下一步）。



4.清除 Use Trusted Connection（使用可信连接）复选框，然后提供必要的凭据。如果您在使用 SQL 集成安全机制，请将数据库角色定义为 Public、DB_DATAREAD 和 DB_DATAWRITE。



IP 检查和 cookie 超时

IP 检查和 cookie 超时专门用于禁止黑客模拟已验证身份的用户对 Web 站点进行未经授权访问。对计划使用基于窗体手动登录的管理员，这些设置特别重要，因为 cookie 超时指定标识用户会话的会话令牌的生存期，而令牌只对通过基于窗体登录访问站点的用户发出。令牌的默认生存期为 720 分或 12 小时。

启用 IP 检查时，将对照 HTTP 请求中的标头的 IP 地址来检查由 MSCMS 在用户登录时生成的会话令牌。在理论上，用户在登录到 Web 站点后，会一直使用同一 IP 地址；这样，对于每个后续的 HTTP 请求，令牌中的 IP 地址应当匹配提交请求的用户的 IP 地址。如果不匹配，访问就会被拒绝。但在某些情况下，用户可能不一直使用同一 IP 地址（例如，通过不同代理服务器传递其请求的用户就是这样）；因此，明智的做法是，在实现 IP 检查前，应先分析可能访问 Web 站点的用户群体。注意，IP 检查默认情况下是启用的；所以，如果管理员预见到 Web 站点用户会有问题，则必须禁用它。例如，如果在已验证身份的用户手动登录后不断出现“会话超时”这一提示消息，则管理员可能需要禁用 IP 检查。

共3页  1 2 3