セキュリティの認可 <authorization>

[アーティクル]
03/22/2024

概要

<authorization> 要素を使用すると、サイトまたはアプリケーションにアクセスできるユーザーアカウントを構成できます。認可を認証と組み合わせて使用して、サーバー上のコンテンツへのアクセスをセキュリティで保護します。認証ではユーザーの ID が確認されますが、認可によってユーザーがアクセスできるリソースとアクセスできないリソースが決まります。

IIS では、許可規則と拒否規則の 2 種類の認可規則が定義されています。

許可規則を使用すると、サイト、アプリケーション、またはサーバー上のすべてのサイトにアクセスできるユーザーアカウントまたはユーザーグループを定義できます。
拒否規則を使用すると、サイト、アプリケーション、またはサーバー上のすべてのサイトにアクセスできないユーザーアカウントまたはユーザーグループを定義できます。

互換性

バージョン	メモ
IIS 10.0	`<authorization>` 要素は、IIS 10.0 では変更されませんでした。
IIS 8.5	`<authorization>` 要素は、IIS 8.5 では変更されませんでした。
IIS 8.0	`<authorization>` 要素は IIS 8.0 では変更されませんでした。
IIS 7.5	`<authorization>` 要素は、IIS 7.5 では変更されませんでした。
IIS 7.0	`<authorization>` 要素が IIS 7.0 で導入されました。
IIS 6.0	`<authorization>` コレクションは、IIS 6.0 AzEnable、AzStoreName、AzScopeName、AzImpersonationLevel の各メタベースプロパティを置き換えます。

段取り

Web サーバー上のサイトとアプリケーションの認可をサポートして構成するには、URL 認可モジュールをインストールする必要があります。そのためには、次のステップに従います。

Windows Server 2012 または Windows Server 2012 R2

タスクバーで [サーバーマネージャー]をクリックします。 - [サーバーマネージャー] で、[管理] メニューを選択し、[役割と機能の追加] を選択します。 - 役割と機能の追加ウィザードで、[次へ] を選択します。 [インストールの種類] を選択し、[次へ] を選択します。対象サーバーを選択し、[次へ] を選択します。 - [サーバーの役割] ページで、[Web サーバー (IIS)]、[Web サーバー] の順に展開し、[セキュリティ] を展開して、[URL 認証] を選択します。次へをクリックします。
。 - [機能の選択] ページで、[次へ] を選択します。 - [インストールオプションの確認] ページで、[インストール] を選択します。 - [結果] ページで、[閉じる] を選択します。

Windows 8 または Windows 8.1

[スタート] 画面で、ポインターを左下隅まで移動し、[スタート] ボタンを右クリックし、[コントロールパネル] を選択します。 - [コントロールパネル] で [プログラムと機能] を選択し、[Windows の機能の有効化または無効化] を選択します。 - [インターネットインフォメーションサービス]を展開し、[World Wide Web サービス] を展開し、[セキュリティ] を展開して、[URL 認証] を選択します。
- [OK] を選択します。
閉じるをクリックします。

Windows Server 2008 または Windows Server 2008 R2

タスクバーで [スタート] を選択し、[管理ツール] をポイントして、[サーバーマネージャー] を選択します。 - [サーバーマネージャー] 階層ウィンドウで [ロール] を展開し、[Web サーバー (IIS)] を選択します。 - [Web サーバー (IIS)] ウィンドウで、[役割サービス] セクションまでスクロールし、[役割サービスの追加] を選択します。 - 役割サービスの追加ウィザードの [役割サービスの選択] ページで、[URL 認証] を選択し、[次へ] を選択します。
- [インストールオプションの確認] ページで、[インストール] を選択します。 - [結果] ページで、[閉じる] を選択します。

Windows Vista または Windows 7

タスクバーで、[スタート]、[コントロールパネル] の順に選択します。 - [コントロールパネル] で [プログラムと機能] を選択し、[Windows の機能の有効化または無効化] を選択します。 - [インターネットインフォメーションサービス] を展開し、[URL 認証] を選択し、[OK] を選択します。

操作方法

認可規則を追加する方法

インターネットインフォメーションサービス (IIS) マネージャーを開きます。
- Windows Server 2012 または Windows Server 2012 R2 を使用している場合:
  - タスクバーで、[サーバーマネージャー] を選択し、[ツール]、[インターネットインフォメーションサービス (IIS) マネージャー] の順に選択します。
- Windows 8 または Windows 8.1 を使用している場合:
  - Windows キーを押しながら文字 X を押し、[コントロールパネル] を選択します。
  - [管理ツール] を選択し、[インターネットインフォメーションサービス (IIS) マネージャー] をダブルクリックします。
- Windows Server 2008 または Windows Server 2008 R2 を使用している場合:
  - タスクバーで、[スタート] ボタンを選択し、[管理ツール]、[インターネットインフォメーションサービス (IIS) マネージャー] の順に選択します。
- Windows Vista または Windows 7 を使用している場合:
  - タスクバーで、[スタート]、[コントロールパネル] の順に選択します。
  - [管理ツール] をダブルクリックし、[インターネットインフォメーションサービス (IIS) マネージャー] をダブルクリックします。
[接続] ウィンドウで、サーバー名を展開して [サイト] を展開し、認可を構成するサイトまたはアプリケーションに移動します。
[ホーム] ウィンドウで、[認可規則] をダブルクリックします。
新しい認可規則を追加するには、[操作] ウィンドウで [許可規則の追加]、[拒否規則の追加] の順に選択します
サイトまたはアプリケーションに必要な認可設定を適用し、[OK] を選択します。次に例を示します。
- 例 1: 特定の HTTP 動詞についてのすべてのユーザーへの許可規則の追加:
- 例 2: すべての HTTP 動詞に対する特定のユーザーの拒否規則の追加:
  
  Note
  
  既存の規則を編集または削除するには、[認可規則] ウィンドウで規則を選択し、[編集] または [削除] を [操作] ウィンドウで選択します。 [編集] をクリックすると、規則を編集できるダイアログボックスが表示されます。このダイアログボックスは、認可の [許可規則の追加] ダイアログボックスと [拒否規則の追加] ダイアログボックスに似ています。

構成

<authorization> 要素は、ApplicationHost.config ファイルのサーバーレベルで構成することも、適切な Web.config ファイルのサイトまたは適切なレベルで構成することもできます。

サーバーレベルで認可規則を構成することで、サーバー全体の既定の認可規則を設定できます。これらの規則を削除、クリア、またはオーバーライドするには、サイトまたはアプリケーションに対してより具体的な規則を構成します。

属性

属性	説明
`bypassLoginPages`	省略可能な Boolean 属性です。フォーム認証のログインページとして指定されたページの認可チェックをスキップするかどうかを指定します。これにより、認証されていないユーザーは、ログインページにアクセスしてログオンできます。既定値は `true` です。

子要素

要素	説明
`add`	省略可能な要素です。認可規則のコレクションに認可規則を追加します。
`remove`	省略可能な要素です。認可規則のコレクションへの認可規則への参照を削除します。
`clear`	省略可能な要素です。認可規則へのすべての参照を認可規則のコレクションから削除します。

構成サンプル

次の構成例は、Web.config ファイルに含まれている場合、既定の IIS 認可設定を削除します。これにより、すべてのユーザーが Web サイトまたはアプリケーションコンテンツにアクセスできるようになります。次に、管理者特権を持つユーザーのみがコンテンツにアクセスできるようにする認可規則を構成します。

<configuration>
   <system.webServer>
      <security>
         <authorization>
            <remove users="*" roles="" verbs="" />
            <add accessType="Allow" users="" roles="Administrators" />
         </authorization>
      </security>
   </system.webServer>
</configuration>

サンプルコード

次の例では、管理者グループのユーザーが Contoso という名前の Web サイトにアクセスできるようにする認可規則の許可を追加します。

AppCmd.exe

appcmd.exe set config "Contoso" -section:system.webServer/security/authorization /+"[accessType='Allow',roles='administrators']"

Note

AppCmd.exe を使用してこれらの設定を構成するときに、必要に応じて commit パラメーターを apphost に設定できます。これにより、Web.config ファイルでなく、ApplicationHost.config ファイル内の適切な場所のセクションに構成設定がコミットされます。

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample
{
   private static void Main()
   {
      using (ServerManager serverManager = new ServerManager())
      {
         Configuration config = serverManager.GetWebConfiguration("Contoso");
         ConfigurationSection authorizationSection = config.GetSection("system.webServer/security/authorization");
         ConfigurationElementCollection authorizationCollection = authorizationSection.GetCollection();

         ConfigurationElement addElement = authorizationCollection.CreateElement("add");
         addElement["accessType"] = @"Allow";
         addElement["roles"] = @"administrators";
         authorizationCollection.Add(addElement);

         serverManager.CommitChanges();
      }
   }
}

VB.NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration

Module Sample
   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetWebConfiguration("Contoso")
      Dim authorizationSection As ConfigurationSection = config.GetSection("system.webServer/security/authorization")
      Dim authorizationCollection As ConfigurationElementCollection = authorizationSection.GetCollection
      Dim addElement As ConfigurationElement = authorizationCollection.CreateElement("add")
      addElement("accessType") = "Allow"
      addElement("roles") = "administrators"
      authorizationCollection.Add(addElement)
      serverManager.CommitChanges()
   End Sub
End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST/Contoso";
var authorizationSection = adminManager.GetAdminSection("system.webServer/security/authorization", "MACHINE/WEBROOT/APPHOST/Contoso");
var authorizationCollection = authorizationSection.Collection;

var addElement = authorizationCollection.CreateNewElement("add");
addElement.Properties.Item("accessType").Value = "Allow";
addElement.Properties.Item("roles").Value = "administrators";
authorizationCollection.AddElement(addElement);

adminManager.CommitChanges();

VBScript

Set adminManager = CreateObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST/Contoso"
Set authorizationSection = adminManager.GetAdminSection("system.webServer/security/authorization", "MACHINE/WEBROOT/APPHOST/Contoso")
Set authorizationCollection = authorizationSection.Collection

Set addElement = authorizationCollection.CreateNewElement("add")
addElement.Properties.Item("accessType").Value = "Allow"
addElement.Properties.Item("roles").Value = "administrators"
authorizationCollection.AddElement(addElement)

adminManager.CommitChanges()

Share via

セキュリティの認可 <authorization>

概要

互換性

段取り

Windows Server 2012 または Windows Server 2012 R2

Windows 8 または Windows 8.1

Windows Server 2008 または Windows Server 2008 R2

Windows Vista または Windows 7

操作方法

認可規則を追加する方法

構成

属性

子要素

構成サンプル

サンプルコード

AppCmd.exe

C#

VB.NET

JavaScript

VBScript

フィードバック

フィードバック

その他のリソース

Share via

セキュリティの認可 <authorization>

概要

互換性

段取り

Windows Server 2012 または Windows Server 2012 R2

Windows 8 または Windows 8.1

Windows Server 2008 または Windows Server 2008 R2

Windows Vista または Windows 7

操作方法

認可規則を追加する方法

構成

属性

子要素

構成サンプル

サンプル コード

AppCmd.exe

C#

VB.NET

JavaScript

VBScript

フィードバック

フィードバック

その他のリソース

サンプルコード