Windows Server 2008이 나오면... (54) - 권한 부여 규칙 in IIS 7.0

웹 사이트의 보안 관리를 하실 경우, 개개별 가상 디렉터리 or 폴더에 대해서 사용자별 or 그룹별 접근을 제한하기 위해서는 NTFS 권한을 이용하여 셋팅하곤 했습니다.

위의 사진과 같이 pix라는 폴더에 대해서 Administrators 그룹만 접근하게 하려면, Windows 탐색기를 이용하여, 보안 설정에서 일반 사용자의 읽기 권한을 해제하고, Administrators에 대한 읽기 권한만 설정했었죠. 차후 설정을 원복하기도 쉽지 않고, 조금의 실수만으로도 큰 보안 이슈로 이어지게 됩니다.

실제 웹 서버를 운영하시는 관리자 분들을 만나뵈면, 이러한 보안 설정이 매우 귀찮고, 난해하다는 피드백을 많이 들었습니다. 바로 IIS 7.0에서 이를 더욱 편리하게 바꿔주었습니다. 바로 권한 부여 규칙입니다. IIS 7 관리 도구에서 직접 설정을 할 수 있고, Windows 계정 뿐만 아니라, IIS 계정을 이용하여 권한을 설정할 수 있습니다. 또한! 특정 동사에 대해서 거부할 수 있는 기능도 내장하고 있습니다. 이를 거꾸로 살펴보면, 아예 웹 서버로 요청이 들어오지 않을 요청에 대해서는 미리 막아놓아, 보안 사고를 미연에 방지할 수 있습니다.

웹 사이트내 원하는 폴더 또는 가상 디렉터리에서 권한 부여 규칙을 사용하게 되면, 위의 그림과 같은 화면을 보실 수 있습니다. 물론 해당 창을 들어오기 전에, 허용 규칙인지, 거부 규칙인지를 선택해줘야겠죠?

지정한 역할 또는 사용자 그룹이라고 하는 것은 Windows 계정을 의미하며, 지정한 사용자라고 함은 IIS에서 생성한 계정을 의미합니다. IIS에서 계정 생성하는 방법에 대해서는 바로 이전 포스팅에서 다루었습니다. ^^ 원천적으로 접근할 수 없는 사용자들을 막아두는 것도 좋은 습관이겠죠? 또한 거부가 허용보다 우선하게 됩니다.(보안 설정과 동일합니다.)

아주 작은 기능이지만, IIS 7에서는 매우 유용하면서 강력한 기능입니다. Windows 탐색기가 아닌 IIS 관리 도구에서 모든 설정을! 또하나의 IIS의 모토 같습니다.