Berechtigungen im IIS

[Reese]

Hallo zusammen

Ich arbeite an einer Berufsschule an der ein "Surfblocker" entwickelt wird. Dieser Surfblocker ist eigentlich einfach eine ASP welche gewisse Einstellungen auf dem ISA (Firewall) Server ändert. So ist es dem Lehrer möglich, Schüler zu blocken oder das WWW frei zu geben.

Aber das ist nicht mein Problem... Mein Problem ist, dass ich es nicht schaffe, die Berechtigungen richtig zu vergeben.

Als erstes habe ich das ganze mit dem Anonymen Zugriff mit dem Standardbenutzer versucht. Dies schlug fehl, da dieser nicht über die nötigen Berechtigungen für das ASP Script verfügte.
Anschließend änderte ich den Benutzer für den Anonymenzugriff auf ein Admin-Acount, und siehe da, es funktioniert.
Leider ist das nicht die Lösung, denn so ist die Seite für jeden im LAN verfügbar, also auch für die Schüler...

Wenn ich die Berechtigung auf "Integrierte Windwos Authentifizierung" setze, kann ich im Dateisystem sagen, welcher User bzw. Gruppe aus dem Active Directory zugreifen darf und wer nicht.
Aber leider werden hier die ASP Scripts unter dem Benutzer ausgeführt der auf die Page zugreift. Deshalb funktioniert das ganze wenn ich mit einem Admin Acount darauf zugreife, mit einem normalen Lehreracount funktioniert es aber leider nicht.

Nun meine Frage, ist es möglich, so etwas wie „Anonymer-Zugriff“ nur für die ASP Interpretierung zu setzen, aber trotzdem die Integrierte Windows Authentifizierung und Berechtigungen via NTFS zu benutzen?
Resp. ich will einfach dass die ASPs nicht unter dem Benutzer laufen der gerade zugreift, sondern unter einem Admin Acount, welcher über die entsprechenden Berechtigungen verfügt.

Es gibt da natürlich auch einen anderen Lösungsansatz, nämlich dass man die Berechtigung an den entsprechenden Acounts geben würde, jedoch habe ich keine Ahnung wo ich die Berechtigung für das "Create Object" setzen kann.

System:
Windows Server 2003 Standart
IIS 6.0

Gruss Reese

[Frank (no reg)]

Hi,

es heisst (wennschon) Standar_d_.

Es gibt mehrere mögliche Varianten, z.b.

1. Benutze Windows-integrierte Authentifizierung und weise im Active Directory die Benutzer einer Gruppe zu, der du die entsprechenden Rechte erteilst.

2. Definiere in den Eigenschaften der Website oder des virtuellen Verzeichnis unter "Verzeichnissicherheit" ein Domänenkonto anstelle des IUSR_Machine, welches die erforderlichen Rechte besitzt (was du ja quasi bereits getan hast - es muss aber ganz sicher kein Admin sein, oder?)

3. Gib dem IUSR_Machine die entsprechenden Rechte.

Variante 2 hat den nachteil, dass damit jeder beliebige die URL aufrufen könnte, egal ob er es eigentlich darf oder nicht.

"Create Object"? Wenn es eine COM+ verwaltete Komponente ist, dann evt. mal unter Systemsteuerung -> Verwaltungsprogramme -> Komponentendienste schauen, wo die Komponente ist und für diese dann eine Rolle definieren und den entsprechenden Benutzer zuweisen. Aber so pauschal zu antworten, war von mir jetzt nur Kaffeesatz-Deuterei. Dazu müsstest du ein paar mehr Infos liefern.

Grüsse, Frank