Configurazione di amministrazione remota e delega delle funzionalità in IIS 7

Articolo
07/19/2023

Introduzione

IIS offre amministratori e sviluppatori con un nuovo sistema di configurazione accessibile, estendibile e distribuibile. Il nuovo formato basato su XML consente di configurare facilmente i moduli e le funzionalità disponibili in IIS 7 e versioni successive. Consente anche il controllo granulare delle posizioni in cui è possibile configurare le impostazioni per le singole funzionalità, ad esempio a livello di server nel file applicationHost.config o a un sito o a un livello di applicazione in un file di Web.config.

La nuova interfaccia utente di amministrazione IIS, GESTIONE IIS supporta completamente questo nuovo sistema di configurazione e aggiunge funzionalità aggiuntive che forniscono un sistema potente e granulare per la configurazione del server Web. Due di queste funzionalità aggiuntive sono amministrazione remota di server, siti e applicazioni e supporto per l'autenticazione e l'autorizzazione basati sull'utente.

Questo articolo illustra come abilitare connessioni remote, configurare utenti e autorizzazioni e delegare le funzionalità a un sito o a livello di applicazione. Esistono molti scenari in cui un amministratore del server IIS potrebbe voler delegare il controllo amministrativo di una determinata funzionalità o funzionalità a un utente o in cui l'amministratore potrebbe voler impedire ad altri utenti di visualizzare la configurazione esistente. Prendere lo scenario seguente, ad esempio.

Edward è un amministratore del server in un computer che ospita diversi siti. Il computer fa parte di un dominio e alcuni dei proprietari del sito appartengono allo stesso dominio. Tuttavia, alcuni proprietari del sito non sono al di fuori del dominio e Edward deve creare account utente di GESTIONE IIS per loro creando un nome utente e una password per ogni proprietario. Dopo aver creato gli account utente di IIS Manager necessari, Edward configura le autorizzazioni di Gestione IIS per ogni sito per specificare quali utenti possono connettersi a un determinato sito. A tale scopo, Edward apre la funzionalità Autorizzazioni gestione IIS in ogni sito e aggiunge utenti di Windows e utenti di Gestione IIS. Questa azione esegue due operazioni. Innanzitutto, configura IIS per consentire a un utente di connettersi al sito quando l'utente fornisce credenziali valide. In secondo luogo, consente agli utenti che si connettono correttamente per configurare tutte le funzionalità delegate in tale sito.

Edward vuole anche delegare la configurazione di alcune funzionalità che considera attendibile da un proprietario del sito nel proprio sito. Ciò elimina la necessità di un proprietario del sito per richiedere che Edward configura funzionalità che variano in base al sito, ad esempio documenti predefiniti. Decide di delegare la configurazione per le funzionalità seguenti in tutti i siti del server: Documenti predefiniti, Esplora directory e Pagine errori. Edward decide inoltre di delegare la configurazione di una funzionalità aggiuntiva, reindirizzamento HTTP, al sito Contoso, perché sa che il sito spesso deve essere reindirizzato e considera attendibile i proprietari del sito per configurare tali impostazioni. Imposta tutte le altre funzionalità da leggere solo in modo che i proprietari del sito possano visualizzare le impostazioni ma non configurarle nei loro siti.

Julian e Catherine sono proprietari di siti per il sito Contoso sul computer di Edward. Julian ha un account utente di Windows e Catherine ha un account utente di IIS Manager per cui Edward ha fornito le proprie credenziali. Possono aprire Gestione IIS nei propri computer e connettersi a Contoso perché Edward ha consentito ai propri account di configurare il sito Contoso. Ognuno visualizza tutte le funzionalità delegate al livello del sito. Possono configurare documenti predefiniti, Esplorazione directory, pagine errori e reindirizzamento HTTP perché Edward delegava la configurazione di tali impostazioni al sito.

Prerequisiti

Per completare le procedure in questo articolo, è necessario installare gli elementi seguenti:

IIS 7.0 in Windows Server 2008 o IIS 7.5 in Windows Server® 2008 R2
Gestione IIS

Configurazione delle connessioni remote in Gestione IIS

In IIS, Gestione IIS semplifica l'esecuzione dell'amministrazione remota. Oltre alla gestione di IIS nel computer locale, Gestione IIS può gestire server, siti e applicazioni remote. L'amministratore del server usa le funzionalità di amministrazione remota per aggiungere account utente di GESTIONE IIS e consentire agli utenti di connettersi a qualsiasi sito o applicazione per cui hanno l'autorizzazione.

La configurazione dell'amministrazione remota comporta l'abilitazione delle connessioni remote in Gestione IIS e la configurazione del tipo di credenziali necessarie per la connessione al server. Facoltativamente, è possibile modificare le impostazioni di connessione e registrazione predefinite e aggiungere restrizioni di connessione in base a indirizzi IP o nomi di dominio.

Installare il servizio di gestione

Le opzioni di installazione di IIS predefinite non includono il servizio di gestione (noto anche come servizio di gestione Web (WMSVC) che è necessario per l'amministrazione remota. Se non è stato installato il servizio di gestione, seguire la procedura descritta in questa procedura per installarla.

Per installare il servizio di gestione:

Fare clic su Start, digitare Server Manager nella casella Ricerca e premere INVIO per aprire Server Manager.
Nell'albero, in Ruoli selezionare Server Web (IIS).
Fare clic su Aggiungi servizi ruolo e quindi selezionare Servizio di gestione , come illustrato nell'immagine seguente.
Fare clic su Avanti e seguire le istruzioni per completare l'installazione.

Abilitare connessioni remote e configurare le credenziali di identità

Abilitare le connessioni remote in modo che gli utenti di Windows e IIS Manager (configurati più avanti in questo articolo) possano connettersi a questo computer usando Gestione IIS nei computer. Per impostazione predefinita, il servizio di gestione consente le connessioni solo dagli utenti con credenziali di Windows, ma è possibile configurarla anche per consentire le connessioni dagli utenti con le credenziali di Gestione IIS. Ai fini di questo articolo, configurare il servizio di gestione per consentire entrambi i tipi di credenziali, come illustrato nell'immagine seguente.

Nota

La sezione successiva di questo articolo illustra le credenziali di Gestione IIS.

Per abilitare le connessioni remote e consentire le connessioni dagli utenti di Windows e dagli utenti di Gestione IIS:

In Gestione IIS fare clic sul nodo server nell'albero nel riquadro Connessioni.
Fare doppio clic su Servizio di gestione per aprire la pagina delle funzionalità del servizio di gestione.
Selezionare la casella di controllo Abilita connessioni remote .
In Credenziali di identità selezionare credenziali di Windows o credenziali di Gestione IIS.
Nel riquadro Azioni fare clic su Applica per salvare le modifiche e quindi fare clic su Avvia per avviare il servizio di gestione.

Informazioni aggiuntive

Non è necessario abilitare le connessioni remote per avviare il servizio di gestione. Se le connessioni remote sono disabilitate e viene avviato il servizio di gestione, è possibile connettersi al servizio di gestione dal computer locale, ma non da un computer remoto. Se non è possibile connettersi da un computer remoto, assicurarsi che le connessioni remote siano abilitate.

È necessario controllare le impostazioni del firewall per assicurarsi che le connessioni siano consentite al servizio di gestione. Quando il servizio di gestione è installato, il processo di installazione aggiunge una regola del firewall che consente il traffico al servizio di gestione sulla porta 8172 (porta predefinita) che è attiva per impostazione predefinita. Se si modifica mai la porta usata dal servizio di gestione, è necessario aggiungere una nuova regola del firewall per consentire il traffico al servizio di gestione in tale porta.

Configurare le impostazioni di connessione e registrazione per il servizio di gestione

Oltre alle impostazioni del servizio di gestione configurate nella sezione precedente, è possibile configurare le impostazioni di connessione e specificare dove registrare le richieste. La tabella seguente descrive ogni campo e la relativa impostazione predefinita. Se si modificano le impostazioni, assicurarsi di fare clic su Applica nel riquadro Azioni e quindi riavviare il servizio di gestione.

Proprietà	Descrizione	Impostazione predefinita
Indirizzo IP	Specifica l'indirizzo IP a cui è associato il servizio.	Tutti non assegnati
Porta	Specifica il numero di porta usato dal servizio per le richieste.	8172
Certificato SSL	Specifica il certificato SSL usato dal servizio. Tutte le richieste al servizio usano HTTPS sulla porta specificata nel campo Porta . Questo elenco contiene i certificati SSL disponibili per il server. Se si desidera aggiungere altri certificati SSL, usare la funzionalità Certificati server a livello di server.	Certificato autofirmato installato durante l'installazione
Richieste di log a	Specifica il percorso dei file di log per il servizio di gestione.	`%SystemDrive%\Inetpub\logs\WMSVC`

Configurare restrizioni IP e dominio per il servizio di gestione

Per impostazione predefinita, il servizio di gestione accetta tutte le richieste effettuate all'indirizzo IP e alla porta configurate e gli utenti possono connettersi quando vengono aggiunti a Gestione IIS (come illustrato nella sezione successiva). È tuttavia possibile configurare il servizio per negare l'accesso per le richieste non specificate e aggiungere invece regole di autorizzazione specifiche in modo che vengano accettate solo le richieste effettuate da un indirizzo IP o un dominio specifici. Per altre informazioni sull'autorizzazione o la negazione delle richieste da indirizzi IP o domini, vedere le procedure in Configurazione della gestione remota in Microsoft TechNet.

Configurazione di utenti e autorizzazioni per Gestione IIS

Quando è stato configurato il servizio di gestione nella sezione precedente, è stata selezionata l'opzione credenziali di Windows o gestione IIS . Questa opzione consente agli utenti con account utente Windows o iis Manager di connettersi a un sito o a un'applicazione nel computer remoto usando Gestione IIS. Entrambi i tipi di utenti devono fornire credenziali valide (un nome utente e una coppia di password) quando si connettono in remoto. Un utente di Windows deve fornire credenziali di Windows valide per un account utente nel computer remoto o per un account utente nel dominio se il computer è membro di un dominio. Un utente di Gestione IIS deve fornire credenziali valide di Gestione IIS, configurate in Gestione IIS da un amministratore del server nel computer remoto. In entrambi i casi, un utente può usare Gestione IIS per connettersi a siti o applicazioni per cui l'amministratore del server ha concesso l'autorizzazione utente.

Aggiungere un utente di Gestione IIS

Le procedure seguenti illustrano come aprire la funzionalità Utenti di Gestione IIS e aggiungere un utente. Quando si apre la pagina delle funzionalità Utenti di Gestione IIS , l'elenco visualizza ogni nome utente di Gestione IIS e se l'account è abilitato o disabilitato. Solo gli account abilitati possono connettersi a siti o applicazioni per i quali sono stati concessi l'autorizzazione.

Per aggiungere un utente di Gestione IIS:

Nel riquadro Connessioni di Gestione IIS fare clic sul nodo del server nell'albero.
Nella home page del server fare doppio clic su Utenti di Gestione IIS.
Nella pagina Utenti di Gestione IIS fare clic su Aggiungiutente nel riquadro Azioni.
Nella casella Nome utente digitare un nome utente.
Nella casella Password digitare una password e quindi digitare di nuovo la password nella casella Conferma password.
Fare clic su OK.

Configurare le autorizzazioni di Gestione IIS per un sito o un'applicazione

Per consentire a un utente di connettersi in remoto a un sito o a un'applicazione nel server, è necessario concedere l'autorizzazione a un sito o a un'applicazione dall'amministratore del server. Dopo aver concesso l'autorizzazione, è possibile usare Gestione IIS per connettersi al sito o all'applicazione usando le credenziali di Windows (se sono un utente di Windows) o le credenziali utente di Gestione IIS (se si tratta di un utente di Gestione IIS).

Per consentire a un utente di Gestione IIS di connettersi a un sito o a un'applicazione:

In Gestione IIS, nel riquadro Connessioni selezionare il sito o l'applicazione per cui si desidera configurare le autorizzazioni.
Nella home page del sito o dell'applicazione fare doppio clic su Autorizzazioni gestione IIS.
Nel riquadro Azioni della pagina Autorizzazioni gestione IIS fare clic su Consenti utente.
Nella finestra di dialogo Consenti utente selezionare Gestione IIS e fare clic su Seleziona.
Nella finestra di dialogo Utenti selezionare uno o più utenti di Gestione IIS dall'elenco e quindi fare clic su OK.
Fare clic su OK per chiudere la finestra di dialogo Consenti utente .

Per consentire a un utente di Windows di connettersi a un sito o a un'applicazione:

Nel riquadro Azioni della pagina Autorizzazioni gestione IIS fare clic su Consenti utente.
Nella finestra di dialogo Consenti utente selezionare Windows e quindi fare clic su Seleziona.
Nella finestra di dialogo Seleziona utente o gruppo digitare un nome utente o cercare un account utente e quindi fare clic su OK.
Fare clic su OK per chiudere la finestra di dialogo Consenti utente .

Configurare elenchi Controllo di accesso (ACL) per le directory del contenuto

Affinché Gestione IIS funzioni correttamente quando un utente si connette a un sito o a un'applicazione, gli ACL devono essere configurati correttamente per la directory fisica del sito o dell'applicazione. Per gli utenti di Windows, è necessario configurare gli ACL di directory e file per ogni utente o gruppo di Windows che deve accedere alle directory e ai file. Per gli utenti di Gestione IIS, è necessario configurare gli ACL di directory e file per l'utente WMSVC (NT Service\WMSVC per impostazione predefinita).

Per la directory fisica di un sito o di un'applicazione, configurare le autorizzazioni di lettura, scrittura ed esecuzione per l'utente WMSVC (se si consente agli utenti di Gestione IIS di connettersi) e per tutti gli utenti di Windows che devono connettersi a tale sito o applicazione.

Se la directory fisica del sito o dell'applicazione si trova in un computer diverso ,ad esempio in una condivisione UNC, sarà necessario configurare WMSVC per l'esecuzione come utente che dispone di autorizzazioni di lettura, scrittura ed esecuzione per il contenuto in tale condivisione UNC (l'utente predefinito NT Service\WMSVC, non può accedere agli elementi in un computer diverso).

Connettersi a un sito o a un'applicazione in Gestione IIS

Dopo aver configurato il servizio di gestione e aver configurato utenti e autorizzazioni, un utente può connettersi al sito o all'applicazione.

Per connettersi a un sito o a un'applicazione

In Gestione IIS fare clic su File e quindi su Connetti a un sito(o Connetti a un'applicazione).
Nella procedura guidata Connetti al sito o Connetti all'applicazione digitare il nome del server e il nome del sito a cui connettersi. Se ci si connette a un'applicazione, digitare anche il nome dell'applicazione. Quindi fare clic su Avanti.
Nella pagina Specifica credenziali della procedura guidata Connetti al sito o Connetti all'applicazione selezionare se si desidera utilizzare le credenziali correnti o specificare le credenziali per la connessione al sito. Quando si specificano le credenziali, il valore predefinito è Credenziali di Windows, a meno che non si selezioni la casella di controllo Usa credenziali di Gestione IIS . Dopo aver specificato le credenziali, fare clic su Avanti per connettersi al server.
Se la connessione ha esito positivo, Gestione IIS visualizzerà una pagina finale nella procedura guidata Connetti al sito o Connetti all'applicazione per denominare la connessione. Come illustrato nell'immagine seguente, l'utente TestAdmin ha creato una connessione del sito al sito Contoso.com.

Informazioni aggiuntive

Nella sezione successiva verrà esaminata la delega delle funzionalità. Tuttavia, prima di eseguire questa operazione e per spiegare meglio la delega delle funzionalità e le operazioni eseguite, si esamina una funzionalità del sito a cui ci si è appena connessi. Il sito deve essere evidenziato e deve essere visualizzata la home page del sito. Nella home page fare doppio clic su Pagine di errore.

Come illustrato nell'immagine seguente, sul lato destro della pagina è presente un avviso che indica che questa funzionalità è stata bloccata ed è di sola lettura. Questo avviso viene visualizzato quando una funzionalità è stata bloccata; la sezione successiva illustra la delega delle funzionalità e il blocco in modo più dettagliato.

Delega delle funzionalità in Gestione IIS

La pagina funzionalità delega funzionalità consente a un amministratore del server di configurare lo stato di delega delle funzionalità configurabili nei file Web.config a livello di sito e applicazione in Gestione IIS. Potrebbe voler delegare la configurazione di determinate funzionalità, ad esempio Documenti predefiniti e Esplorazione directory, a un singolo proprietario del sito in modo che il proprietario possa configurare tali funzionalità delegate nel proprio sito.

In alternativa, un amministratore del server può delegare una funzionalità di sola lettura in modo che un proprietario del sito possa visualizzare la configurazione di una funzionalità ma non può modificare le impostazioni. L'amministratore del server può anche impedire la visualizzazione delle funzionalità in Gestione IIS a livello di sito e applicazione.

Esistono diversi stati di delega, ognuno dei quali determina se una funzionalità viene delegata a livelli inferiori nel sistema di configurazione e se la funzionalità viene visualizzata in Gestione IIS quando gli utenti sono connessi a livelli inferiori. La tabella seguente descrive ogni stato di delega.

Tipo di delega	Descrizione
Non delegato	La configurazione è bloccata e qualsiasi configurazione della funzionalità in un file diWeb.config genererà un errore di runtime. La funzionalità non è visibile o configurabile in Gestione IIS quando un utente è connesso a livelli inferiori a cui è impostato questo stato. Ad esempio, se una funzionalità è configurata come Non delegata a livello di sito, gli utenti connessi alle applicazioni in tale sito non vedranno la funzionalità e non potranno configurarla in Gestione IIS.
Sola lettura	La configurazione è bloccata e qualsiasi configurazione della funzionalità in un file diWeb.config genererà un errore di runtime. La funzionalità è visibile in Gestione IIS quando un utente è connesso a livelli inferiori, ma la configurazione è bloccata in modo che le modifiche non possano essere apportate.
Lettura/Scrittura	La funzionalità può essere configurata in Web.config. La funzionalità viene visualizzata in Gestione IIS e può essere configurata quando un utente è connesso a livelli inferiori (sito o a livello di applicazione).
Sola lettura configurazione	Il significato è uguale a Sola lettura; Esistono tuttavia impostazioni o dati per la funzionalità archiviati e gestiti all'esterno di IIS, ad esempio in un database.
Lettura/scrittura della configurazione	Il significato è uguale a Lettura/Scrittura; Esistono tuttavia impostazioni o dati per la funzionalità archiviati e gestiti all'esterno di IIS, ad esempio in un database.

Nota

Gli amministratori del server possono modificare la configurazione per tutte le funzionalità, quindi se sono connessi al server, vedranno tutte le funzionalità a tutti i livelli anche se una funzionalità è stata configurata per non essere visualizzata a livelli inferiori.

Configurare gli stati di delega predefiniti per le funzionalità in Gestione IIS

Quando si apre per la prima volta la pagina della funzionalità Delega funzionalità , è possibile configurare lo stato di delega predefinito delle funzionalità in Gestione IIS. Questi stati di delega sono le impostazioni predefinite usate da Gestione IIS per tutti i siti e le applicazioni nel server.

Per configurare gli stati di delega predefiniti per le funzionalità in Gestione IIS

Nel riquadro Connessioni di Gestione IIS fare clic sul nodo del server nell'albero.
Nella home page del server fare doppio clic su Delega funzionalità.
Selezionare Delega dall'elenco Raggruppa per per organizzare l'elenco delle funzionalità in base agli stati di delega correnti.
Selezionare Pagine di errore nell'elenco Delega funzionalità e quindi esaminare gli stati di delega disponibili nel riquadro Azioni . La funzionalità Pagine errori è selezionata e le opzioni disponibili in Imposta delega funzionalità sono Lettura/Scrittura, Rimuovi delega e Reimposta su Ereditato.
Selezionare Pagine di errore. Nel riquadro Azioni fare clic su Lettura/Scrittura per sbloccare la sezione di configurazione correlata alla funzionalità Pagine errori . In questo modo la funzionalità può essere configurata nei file Web.config e in Gestione IIS a livello di sito e applicazione.

Informazioni aggiuntive

L'estratto seguente dai file di configurazione IIS mostra che i valori possono essere sottoposti a override in ogni posizione (noto anche come "path"):

<location path="" overrideMode="Allow">
    <system.webServer>
        <httpErrors>
            ...
            ...
        </httpErrors>
    </system.webServer>
</location>

Per illustrare ulteriormente le operazioni di questa azione, esaminare la funzionalità Pagine errori a livello di sito. Nel riquadro Connessioni connettersi a un sito e quindi fare doppio clic su Pagine di errore nella home page del sito. Come illustrato nell'immagine seguente, la funzionalità Pagine errori può ora essere configurata dall'utente connesso al livello del sito.

Configurare stati di delega personalizzata per le funzionalità in un sito o in un'applicazione

I passaggi precedenti hanno configurato lo stato di delega predefinito per la funzionalità Pagine errori in tutti i siti del server. Potrebbe verificarsi anche un momento in cui non si vuole che lo stato di delega configurato sia applicabile a tutti i siti. In questo caso, è possibile configurare uno stato di delega personalizzato per un sito specifico. È anche possibile copiare stati di delega personalizzati di tutte le funzionalità da un sito a un altro sito.

Per configurare gli stati di delega personalizzati per le funzionalità in un sito specifico

In Gestione IIS fare doppio clic su Delega funzionalità.
Nella pagina Delega funzionalità fare clic su Delega sito Web personalizzato nel riquadro Azioni.
Nell'elenco Siti selezionare il sito per il quale si desidera configurare le impostazioni di delega personalizzate.
Selezionare una funzionalità e quindi fare clic su uno stato di delega nel riquadro Azioni .

Per copiare stati di delega personalizzati da un sito a un altro sito

Nella pagina Delega sito Web personalizzato selezionare il sito da cui copiare la delega in un altro sito nell'elenco Siti .
Fare clic su Copia delega.
Nella finestra di dialogo Copia delega selezionare il sito o i siti in cui si desidera copiare gli stati di delega e quindi fare clic su OK.

Reimpostare gli stati di delega delle funzionalità

Potrebbe esserci un momento in cui è necessario annullare le modifiche apportate agli stati di delega delle funzionalità. Forse le modifiche sono state apportate a un sito o a un'applicazione particolare per caso, o alcune "sperimentazione" con la funzionalità sono andate male. In questo caso, reimpostare gli stati di delega di tutte le funzionalità agli stati predefiniti. In alternativa, reimpostare solo una funzionalità allo stato predefinito.

Per reimpostare gli stati di delega delle funzionalità

Aprire la pagina funzionalità Delega funzionalità .
Per reimpostare tutti gli stati di delega delle funzionalità, nel riquadro Azioni fare clic su Reimposta tutte le delega.

Per reimpostare lo stato di delega di una funzionalità specifica, selezionare la funzionalità nell'elenco e nel riquadro Azioni fare clic su Reimposta su Ereditato.

Share via