IIS アプリケーションからメールを送信するにはどうようにすればよいですか?

IIS サーバーから電子メールを送信する方法はいくつかあります。恐らく最も簡単なのは、IIS に SMTP サービスをインストールし、CDONTS または CDOSYS オブジェクトを使用してメールを送信する方法です。

SMTP サービスをインストールするためには、Windows NT 4.0 Option Pack を使用するか、または、[Windows コンポーネントの追加と削除]で、Internet Information Services、SMTP サービスを追加してください。これにより、SMTP サーバースナップインが Internet Information Services コンソールに追加され、SMTP サービスを構成することができます。

サーバーに追加する他のサービスと同様に、SMTP サービスを適切に構成し、セキュリティで保護する必要があることに注意してください。これには認証を構成し、メールの中継を制御する MS01-037 SMTP サービスの認証エラーがメールの中継を可能にする （このページの作成時点のバージョンとなります）などの関連の修正プログラムが含まれます。SMTP サーバーの管理者にとって役に立つ最も良いリソースの 1 つに、マイクロソフトプレスからリリースされている Running Microsoft Internet Information Server 4.0 があります。この本の中に SMTP の章があり、効果的にセットアップを行う方法に関して説明されています。

サービスをインストールし、構成すると、以下のように、容易に ASP ページを記述し、CDONTS を使用してメールを送信することができます。

IIS には Web サーバーが発行した標準エラーの多くに対応するエラーコードレスポンスが含まれています。エラーコードの意味が説明されている資料はありますか?

はい、あります。そのエラーは HTTP の RFC の一部にあるため、それらに関する説明は http://www.w3.org/Protocols/rfc2616/rfc2616-sec10.html (英語) でご覧いただけます。これらの他に、IISでは「サブエラーコード」が提供されており、トラブルシューティングに役立つ他の情報を得ることができます。たとえば、エラーコード 403 は、仕様によっては「許可されていません」を示します。IIS の 403.1 のエラーは、「実行アクセスが許可されていません」を示し、403.17 は、「クライアント証明書は有効期限が切れたか、まだ有効になっていません。」となります。

それぞれのコードの意味をそれぞれ確認するためには、Web サイトのプロパティの [カスタムエラー] タブのエラーコードの一覧上でダブルクリックしてください。[エラーマッピングのプロパティ] ダイアログボックスにエラーコードの名前が表示されます。（下の図 1 参照）

Windows XP システム上に IIS がインストールでき、そのバージョンは IIS 5.1 ということがわかりました。Windows 2000 用の IIS 5.1 はどこで入手できますか?

最近 IIS は多くのバージョンがリリースされ、オペレーションシステムに IIS をインストールできるバージョンに関する俗説が出回っています。下のリストは、この文書の作成時点の最新の IIS に関するバージョンとオペレーティングシステムを示しています。

IUSR_<サーバー名> アカウントは既定で、ゲストグループのメンバとなると理解しています。その場合、NTFS アクセス権をゲストグループに適用し、IUSR アカウントはどのようにセキュリティで保護すればよいですか?

IUSR アカウントをセキュリティで保護することは不可欠です。そのため IUSR アカウントが使用される方法、および IUSR アカウントが所属するグループを理解することが重要です。これを利用するために、Windows 2000 リソースキットで提供されている W3Who.dll program (英語) を使用することができます。この有益なプログラムにより、そのプログラムを呼び出すユーザーのユーザー名、アクセス権、グループメンバシップのリポートが作成されます。このユーティリティを実装するためには、単純に Web ブラウザからそのプログラムを呼び出します。たとえば、Web サイトでフォルダを作成し、匿名アクセスを有効にし、NTFS アクセス権が NTFS がアクセス権を実行する IUSR アカウントを許可することを確認します。また、IIS スナップインの [スクリプトおよび実行可能ファイル] のフォルダをチェックします。次にInternet Explorer でそのファイルを検索します。(http://servername/foldername/w3who.dll)

その結果を示すページでは、以下のようにその IUSR アカウントの情報が表示されます。

アクセストークン

• 'IISANSWERS\IUSR_IISANSWERS' S-1-5-21-790525478-1993962763-xxxxxxxxxxxxxxx

• 'IISANSWERS\None' S-1-5-21-790525478-1993962763-xxxxxxxxxxxxxx

• '\Everyone' S-1-1-0

• 'BUILTIN\Guests' S-1-5-32-546

• 'BUILTIN\Users' S-1-5-32-545

• '\LOCAL' S-1-2-0

• 'NT AUTHORITY\NETWORK' S-1-5-2

• 'NT AUTHORITY\Authenticated Users' S-1-5-11

• SeUndockPrivilege - Remove computer from docking station

この情報から、この IUSR アカウントはゲスト、ユーザー、承認されたユーザー、ネットワークグループ、Everyone のメンバであることがわかります。したがって匿名ユーザーは、これらのグループがアクセスを許可されているすべてのリソースへのアクセス権があります。

IUSR アカウントのアクセスをセキュリティで保護する最も良い方法は、IIS Lockdown Wizard ツールによって展開する方法です。IIS Lockdown Wizard ツールを使用し、サーバーをセキュリティで保護する場合、IUSR アカウントは必要に応じ、書き込み拒否または実行拒否のアクセス権を割り当てたWeb 匿名ユーザーグループのメンバに追加されます。このように、他のグループのメンバに関わらず、リソースがIUSR アカウントからの不正なアクセスから保護されます。この方法により、他のユーザーおよびグループを単純にそのグループのメンバにし、Web 匿名ユーザーグループへ割り当てられたアクセス権を制限できるという利点が得られます。

IIS が NTFS に関するアクセス権を強化する方法を教えてください。

IIS にはアクセス権を許可するために連続して強制されるいくつかのセキュリティの階層があります。

レイヤ 1 - IP アドレスおよびドメイン名の制限

最初に行われるチェックによってクライアントが使用している IP アドレスが許可されることを検証されます。この設定を効果的に使用するには、IIS を指定されたファイアウォールからのみアクセスできるように構成することです。この設定は Web サイト、ディレクトリ、またはファイルの [セキュリティ] タブで行うことができます。

レイヤ 2 - 認証

ユーザーは、有効なユーザーアカウントへ認証されることが必要です。匿名アクセスがIIS スナップインで有効にされ、NTFS のアクセス権がIUSR_<コンピュータ名> （または匿名ユーザーとして認められたアカウント）へのアクセスが許可されている場合、その匿名アカウントが使用されます。そうでない場合、そのユーザーは有効なユーザーアカウントに認証する必要があります。この場合、その他の認証方法が、匿名以外のユーザーを有効にします。既定で、匿名および統合 Windows 認証方法は、IIS 5 および IIS 4 の匿名および Windows NT チャレンジレスポンスで有効にされています。

レイヤ 3 - Web ベースのアクセス権

要求されるアクセス権の種類は、Web サーバーによって許可される必要があります。これらのアクセス権は、読み取り、書き込み、アプリケーション許可なしのスクリプトソースアクセス許可、スクリプト、スクリプトおよび実行可能ファイルなどです。また、アプリケーションが .asp ファイル、asp.dll などの実行可能ファイルにマッピングされているファイルエクステンションの使用によって呼び出される場合、そのアプリケーションと共に使用される HTTP の動詞を許可する必要があります。

レイヤ 4 - NTFS のアクセス権

最後に、NTFS のアクセス権がチェックされ、強化されます。

そのため、おわかりのように、異なる種類のセキュリティがそれぞれのステージで強化されます。ユーザーが HTML ファイルを読み取るリクエストをした場合、フルコントロールの NTFS アクセスを所有している場合でもそれらのリクエストは拒否されます。ユーザーが許可されていない IP アドレスを所有していた場合、サーバーには全くアクセスすることはできません。それは、管理者でもアクセスできません。実際、アクセス権を組み合わせると、ほとんどの制限的特権が提供されます。