Administration à distance

Activation de l'administration à distance sous IIS 4.0 et 5.0

Que vous utilisiez l'utilitaire de ligne de commande d'administration à distance Fpremadm ou les formulaires d'administration HTML pour administrer à distance un serveur IIS 4.0 ou ultérieur, vous devez activer les formulaires d'administration selon la méthode décrite dans cette rubrique.

Vous devez exécuter les formulaires d'administration HTML sur un port sécurisé. L'utilisation d'un port sécurisé n'est possible que si un certificat de sécurité est installé. Si vous ne possédez pas un certificat de sécurité avant d'activer les formulaires d'administration, utilisez l'application Gestionnaire de clés, pour faire une demande de certificat de sécurité, soumettez la requête à un responsable de clés, puis utilisez le Gestionnaire de clés pour installer le certificat renvoyé par le responsable de clés. La documentation IIS contient plus de détails sur ce processus.

Une fois que vous disposez d'un certificat de sécurité, vous pouvez activer les formulaires d'administration HTML sous forme de site Web IIS distinct ou sous forme de répertoire virtuel sur un site Web existant. L'avantage d'utiliser un site Web distinct est qu'une adresse IP séparée rend la découverte des formulaires beaucoup plus difficile. En outre, un site séparé permet l'activation d'autres paramètres de sécurité comme des numéros de port non standard distincts. L'inconvénient d'utiliser un site Web distinct est qu'une adresse IP supplémentaire est nécessaire pour la machine.

Pour activer les formulaires d'administration HTML pour une utilisation à distance

1. Déterminez quel compte (ou groupe de comptes) de machine Windows NT aura accès aux formulaires d'administration HTML.

   Ce compte doit faire partie du groupe des administrateurs de la machine. Si nécessaire, créez un compte avec le Gestionnaire des utilisateurs Windows NT. Selon la configuration du compte de la machine, fournir un accès au groupe des administrateurs peut être une meilleure solution que donner un accès à plusieurs comptes individuels de la machine.

2. Ouvrez Windows Explorer à l'emplacement des formulaires d'administration HTML sur le disque dur, par défaut C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\40\. Sélectionnez le dossier Admisapi, cliquez sur Propriétés dans le menu Fichier, puis cliquez sur Permissions dans l'onglet Sécurité.
3. Dans la boîte de dialogue Permissions - Répertoire, mettez à jour la liste Nom des utilisateurs et groupes autorisés avec les boutons Ajouter et Supprimer.

   Supprimez tous les utilisateurs et groupes non autorisés. Assurez-vous notamment qu'aucun groupe ajouté à la liste ne contient le compte d'accès anonyme IUSR_machinename et que tous les compte à accès large tels que TOUT LE MONDE sont supprimés.

4. Dans la liste Nom, tapez le compte SYSTÈME de la machine.

   Ce compte est obligatoire pour permettre à IIS d'accéder au fichier pendant le processus de validation de sécurité.

5. Pour chaque utilisateur ou groupe de la liste Nom, changez Type d'accès en Lecture.
6. Cliquez sur Remplacer les permissions des sous-répertoires et Remplacer les permissions sur les fichiers existants, puis sur OK pour accepter les modifications. Cliquez à nouveau sur OK pour fermer la boîte de dialogue Propriétés du dossier.
7. Démarrez l'application IIS Internet Service Manager, puis ouvrez IIS et les dossiers de la machine.
8. Cliquez avec le bouton droit de la souris sur le nom de la machine, puis sur Créer un nouveau site.
9. Dans le champ Description de l'assistant Nouveau site Web, tapez le nom du site, par exemple, Formulaires d'administration des extensions serveur FrontPage, puis cliquez sur Suivant.
10. Sélectionnez l'adresse IP à utiliser pour ce site. L'adresse IP doit avoir été configurée avant l'exécution de l'assistant. N'utilisez pas le champ Port TCP car les formulaires d'administration HTML ne seront accessibles que par l'intermédiaire d'un port sécurisé. Cliquez sur Suivant pour continuer.
11. Tapez le chemin d'accès aux fichiers des formulaires d'administration HTML, généralement C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\40\Admisapi, et assurez-vous que la case à cocher Autoriser l'accès anonyme au site est désactivée. Cliquez sur Suivant.
12. Cliquez sur Autoriser l'accès en lecture et Autoriser l'accès en exécution (qui inclut l'accès aux scripts), puis cliquez sur Terminer.
13. Cliquez avec le bouton droit de la souris sur l'icône du nouveau site Web créée dans le volet de gauche. Celle-ci porte le nom que vous avez tapé à l'étape 9. Cliquez sur Propriétés.
14. Dans l'onglet Site Web, tapez un numéro de port non standard dans le champ Port SSL, par exemple 8234.
15. Dans l'onglet Sécurité de l'annuaire, cliquez sur le bouton Communications sécurisées. Activez la case à cocher Requérir un canal sécurisé, puis cliquez sur OK.
16. Ajoutez les restrictions d'accès TCP/IP de votre choix.
17. Cliquez sur OK pour accepter les modifications.

Les formulaires sont désormais utilisables pour une administration à distance avec un URL tel que https://machinename:8234/fpadmin.htm, ou machinename désigne l'adresse IP que vous avez tapée à l'étape 5, et 8234 le numéro de port que vous avez entré.

Pour créer un répertoire virtuel hébergeant les formulaires d'administration HTML sur un site Web existant :

1. Déterminez quel compte (ou groupe de comptes) de machine Windows NT aura accès aux formulaires d 'administration HTML.

   Ce compte doit faire partie du groupe des administrateurs de la machine. Si nécessaire, créez un compte avec le Gestionnaire des utilisateurs de Windows NT. Selon la configuration du compte de la machine, fournir un accès au groupe des administrateurs peut s'avérer une meilleure solution que donner accès à plusieurs comptes de machine individuels.

2. Ouvrez Windows Explorer à l'emplacement des formulaires d'administration HTML sur le disque dur, par défaut C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\40\. Sélectionnez le dossier Admisapi, cliquez sur Propriétés dans le menu Fichier, puis cliquez sur Permissions dans l'onglet Sécurité.
3. Dans la boîte de dialogue Permissions - Répertoire, mettez à jour la liste Nom des utilisateurs et groupes autorisés avec les boutons Ajouter et Supprimer.

   Supprimez tous les utilisateurs et groupes non autorisés. En particulier, assurez-vous qu'aucun groupe ajouté à la liste ne contient le compte d'accès anonyme IUSR_machinename et que tous les comptes à accès large tels que TOUT LE MONDE sont supprimés.

4. Dans la liste Nom, tapez le compte SYSTÈME de la machine.

   Ce compte est obligatoire pour permettre à IIS d'accéder au fichier pendant le processus de validation de sécurité.

5. Pour chaque utilisateur ou groupe de la liste Nom, changez Type d'accès en Lecture.
6. Cliquez sur Remplacer les permissions des sous-répertoires et Remplacer les permissions sur les fichiers existants, puis cliquez sur OK pour accepter les modifications. Cliquez à nouveau sur OK pour fermer la boîte de dialogue Propriétés du dossier.
7. Démarrez l'application IIS Internet Service Manager et ouvrez le dossier IIS et le dossier de la machine.
8. Cliquez avec le bouton droit de la souris sur l'icône du site Web qui sera utilisé pour héberger les formulaires d'administration HTML, tel que Site Web par défaut. Cliquez sur Créer un nouveau répertoire virtuel dans le menu contextuel.
9. Dans le champ Alias de l'Assistant Nouveau répertoire virtuel, tapez le nom d'alias des formulaires d'administration HTML, comme fpadmin, puis cliquez sur Suivant.
10. Entrez le chemin d'accès aux fichiers des formulaires d'administration HTML, généralement C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\40\Admisapi, puis cliquez sur Suivant.
11. Sélectionnez les cases à cocher Autoriser l'accès en lecture et Autoriser l'accès en exécution (qui inclut l'accès aux scripts), puis cliquez sur Terminer.
12. Cliquez avec le bouton droit de la souris sur l'icône du nouveau répertoire virtuel Fpadmin, puis cliquez sur Propriétés dans le menu contextuel.
13. Dans l'onglet Sécurité du répertoire, cliquez sur le bouton Modifier de la zone Méthode d'authentification par mot de passe.
14. Assurez-vous que la case à cocher Autoriser les connexions anonymes est désactivée et que l'une des deux cases à cocher Authentification de base ou Stimulation/réponse de Windows est activée, puis cliquez sur OK.
15. Sous Communications sécurisées, cliquez sur Modifier.
16. Cliquez sur Exiger un canal sécurisé, puis cliquez sur OK.
17. Ajoutez les restrictions d'accès TCP/IP de votre choix.
18. Cliquez sur OK pour accepter les modifications.

Les formulaires sont désormais activés pour l'administration à distance avec un URL tel que https://machinename/fpadmin/fpadmin.htm.