配置web服务基本用户身份验证，保证web站点的安全

Posted 2022-02-12

IIS网站默认允许所有用户连接，如果对网站的安全性要求较高，网站只针对特定用户开放，就需要对用户进行验证。进行验证的主要方法有：匿名身份验证、基本身份验证、摘要式身份验证、Windows身份验证。这里只介绍如何配置基本身份验证。
一、添加身份验证模块。
1.打开“服务器管理器”，点击“添加角色服务”。

2.在“安全性”中勾选要安装的3种身份验证方法，这里我已经安装过了。

然后按照操作向导的提示完成即可。
二、关闭匿名身份验证，启用基本身份验证。
4种身份验证方法的优先级为：匿名用户-Windows身份验证-摘要身份验证-基本身份验证。
也就是说，如果同时开启匿名身份验证和基本身份验证，客户端就会优先进行匿名身份验证，此时基本身份验证将无效。所以，如果要使用户必须验证身份后才能访问网站，首先必须要禁用匿名身份访问功能，然后再设置身份验证方式。如果不禁用匿名访问功能，即使设置了身份验证方式也不会生效。
1.打开IIS信息服务管理器，点击我们要进行设置身份验证的站点，双击打开“身份验证”。

2.禁用“匿名身份验证”，启用“基本身份验证”。

这样客户端在访问网站时就必须要输入用户名和密码。
三、创建用于访问web站点的本地用户。
1.打开“计算机管理”控制面板，新建一个名叫“zhangsan”的本地用户。

2.由于这个这个用户是本地用户，因此可以利用此用户登录此服务器，也可以远程桌面连接的方式登录此服务器。出于服务器安全性考虑，禁用zhangsan用户的本地登录和远程桌面服务登录权限。

四、客户端验证。

此时访问网站就必须要进行身份验证，使用zhangsan登录网站

验证成功，此时zhangsan用户只能用来登录网站，不能通过本地或远程桌面登录服务器，既保证了web站点的安全性，也保证了服务器的安全性。