安全管理
使用 AppFabric 内 IIS Manager 中的 AppFabric 工具功能来执行 Windows Server AppFabric 管理任务。几乎所有的 IIS Manager 功能都可以在 AppFabric 附带的标准 cmdlet 中找到。AppFabric 工具集非常强大。您可以通过选中复选框、单击鼠标或运行 cmdlet 来创建实用的 AppFabric 安装。但是，如果未经授权的用户获得了对全部或部分 AppFabric 系统及其支持组件的访问权限，则 AppFabric 安装会立即变为无法使用。本主题主要介绍如何保护 AppFabric 管理功能的安全。
AppFabric 管理权限
从管理角度来看，使用任何 AppFabric 工具时，您始终在自己的安全上下文中操作。这样可以更轻松地管理 AppFabric 及其支持技术（如 Windows Server、IIS 和 SQL Server）。若要管理 AppFabric，您必须是 Application Server Administrators 概念组（AS_Administrators Windows 安全组）或 Application Server Operators 概念组（AS_Observers Windows 安全组）的成员。
对于 AppFabric 的远程管理，AS_Administrators 和 AS_Observers 组具有对应的管理权限。AppFabric 可以安装在用户可以使用 IIS Manager 的 IIS 安全模式远程连接的服务器上。作为管理员，若要允许用户查询监控存储和暂留存储，您必须将 IIS Manager 帐户（通常为内置的网络服务帐户）添加到远程服务器上的 AS_Administrators 或 AS_Observers。根据您希望远程用户拥有何种权限来选择安全组。当用户仅为管理工具在 IIS 中进行身份验证时，这些用户作为具有相应限制和权限的 AS_Administrators 或 AS_Observers 组的成员运行。这是一个 Windows 安全规则，无法更改。若要使用 IIS Manager 远程管理 AppFabric，您必须是域管理员。对于远程管理任务，您像访问自己的资源。没有模拟或代理授予您备用远程标识。
AppFabric 管理员可以使用 IIS 中的“功能委派”选项为计算机上的所有网站委派各种安全权限。例如，您可以为目录浏览设置只读权限或禁用日志记录。“功能委派”选项显示在计算机级别功能视图的“管理”部分中。
IIS 还允许使用配置锁定对不同作用域级别的某些配置设置进行精细锁定和解锁。通过直接编辑配置文件中的 XML 元素来执行配置锁定。锁定的配置设置只能在其被锁定的级别解锁，无法在较低的级别修改。当不希望为不同的站点使用同一配置及需要覆盖少数选择属性时，可以使用此选项。您可以在节级别或为个别属性、元素以及集合元素和指令执行锁定管理。此功能无直接的工具支持，因此，您必须手动编辑父作用域相应级别的配置文件，您希望其中的更改通过子文件夹层叠。
对于 AppFabric 安装、配置和执行任务相关的典型管理任务，将用户分配到本地 LOCALHOST\Administrators 组。这样做可允许成员编辑服务器、站点或应用程序配置，以部署和取消部署应用程序，并运行 IIS Manager、MSDeploy 或 SvcConfigEditor 等支持程序。
.gif "security") 安全 注意 |
|---|
| 请注意，如果为服务帐户授予查询监控存储和暂留存储的权限，则会向在该帐户下运行的所有应用程序授予相同的权限。 |
远程管理
当本地管理 AppFabric 时，您在所登录到的帐户下运行。为了远程管理 AppFabric，IIS 管理服务允许本地管理员和域管理员使用 IIS Manager 远程管理 Web 服务器。只有本地管理员才能将 IIS 管理服务配置为启用远程连接。完成该操作后，您可以使用以下任一模式，在访问远程 AppFabric 计算机时管理安全：
**仅 Windows 凭据。**在此模式中，IIS Web 管理服务在您的凭据下运行。这意味着您可以执行在本地连接到远程计算机时可执行的所有操作。例如，如果您在本地具有修改应用程序的 Web.config 文件的权限，还可以远程修改该文件。对 AppFabric 资源的访问受您在 AS_Observers 组和 AS_Administrators 组中的成员身份的保护。
**Windows 凭据或 IIS Manager 身份验证安全。**在此模式中，您登录到远程计算机并作为 LOCALSERVICE 运行。在此情况下，使用 IIS Manager 可看到的信息与仅使用 Windows 凭据时能看到的信息有所不同。由于默认情况下，LOCALSERVICE 具有管理计算机上所有应用程序（修改 Web.config 文件，以及查询和修改暂留和监控数据）的权限，因此，对连接的有效权限由您连接的作用域确定。例如，如果您的凭据允许您连接到特定应用程序，AppFabric 会确保您只可访问与该应用程序有关的信息，而不允许您查看敏感的暂留数据。
您将使用以下概念组及其对应的 Windows 安全组来本地和远程管理 AppFabric：
**Application Server Administrators。**Application Server Administrators 概念组的成员（完全访问权限）映射到 AS_Administrators Windows 安全组。AS_Administrators 组的成员可以暂停、恢复、终止或删除暂留的实例，创建和删除事件源和事件收集器，以及查看、清除和存档监控数据。AppFabric 安装程序会在安装时创建 AS_Administrators 组，并将 NT AUTHORITY\LOCAL SERVICE 帐户添加到此组。LOCAL SERVICE 是 事件收集服务 和 Workflow Management service 运行时所使用的帐户。对于希望向其授予完全 AppFabric 管理权限的成员，您可以手动向 AS_Administrators 组添加该成员。
**Application Server Observers。**Application Server Observers 概念组的成员（部分访问权限）映射到 AS_Observers Windows 安全组。AS_Observers 组成员可以查看部分应用程序暂留和监控数据，并可以枚举应用程序和服务、查看应用程序和服务配置、查看监控数据，以及检查暂留的实例。AppFabric 安装程序会在安装时创建 AS_Observers 组，但不向此组中插入任何帐户。对于希望向其授予部分 AppFabric 管理权限的成员，您可以手动向 AS_Observers 组添加该成员。
有关使用 IIS 保证配置、委派和远程管理安全的详细信息，请参阅Securing Configuration (https://go.microsoft.com/fwlink/?LinkId=183022)（可能为英文网页），以及Configuring Remote Administration and Feature Delegation in IIS 7.0 (https://go.microsoft.com/fwlink/?LinkId=184265)（可能为英文网页）。
2011-12-05