asp.net 2.0 の web.config ファイルの構成セクションの暗号化

asp.net2.0 には、web.config の一部のデータを暗号化する新しい関数があります。この記事では、RSAProtectedConfigurationProvider と DPAPIProtectedConfigurationProvider を使用して暗号化する手順について説明します。

1. まず、暗号化する web.config 内の構成セクションを暗号化できるかどうかを判断します

。 2. RSA キー コンテナーを作成します。

3. web.config で使用するキー コンテナーを特定します。

4. web.config を暗号化します。

5. にアクセス許可を付与します。 RSA キー コンテナー

ステップ 1: まず、暗号化する web.config の構成セクションを暗号化できるかどうかを判断します。
ASP.NET 2.0 は、Web.config の一部の構成セクションの暗号化をサポートしています。次の構成セクションのデータは暗号化できません:

<ランタイム>

<起動>


<衛星アセンブリ>
<暗号化設定>

<暗号クラス>

ステップ 2: RSA キー コンテナーを作成する RSA キー コンテナーを作成するには、ASP.NET IIS 登録ツール (Aspnet_regiis.exe) と –pc スイッチを使用してください。キー コンテナーには、アプリケーションの Web.config ファイルの configProtectedData セクションで指定された RsaProtectedConfigurationProvider によって使用されるキー コンテナーを識別する名前を付ける必要があります。新しく作成した RSA キー コンテナを確実にエクスポートできるようにするには、-exp オプションを含める必要があります。

たとえば、次のコマンドは、エクスポート可能なマシンレベルのキー コンテナである ABeenKeys という名前の RSA キー コンテナを作成します。

aspnet_regiis -pc "ABeenKeys"–exp

ステップ 3: web.config を変更してキー コンテナーを識別する
Web.config ファイルを編集して、使用するキー コンテナを特定します。

を web.config に追加して、ABeenKeys という名前のマシンレベルの RSA キー コンテナの場合、xmlns 属性を に追加します。

http://schemas.microsoft.com/.NetConfiguration/v2.0 ">saProtectedConfigurationProvider は、ABeenKeys という名前のマシンレベルの RSA キー コンテナーを使用します。

ステップ 4: web.config ファイルの セクションを暗号化する
web.config ファイルの構成セクションを暗号化

> aspnet_regiis -pe "connectionStrings" -app "/connectionTest"

ステップ 5: RSA キー コンテナーへのアクセス許可は、どのユーザー アクセス許可を与える必要があるかという次のコードによって決定できます

。
デフォルトでは、RSA キー コンテナは、それが配置されているサーバー上の NTFS アクセス制御リスト (ACL) によって厳重に保護されています。これにより、暗号化キーにアクセスできるユーザーが制限されるため、暗号化された情報のセキュリティが強化されます。 ASP.NET が RSA キー コンテナーを使用できるようにするには、ASP.NET アプリケーションのプロセス ID に RSA キー コンテナーへの読み取りアクセスを許可する必要があります。 -pa スイッチを指定して Aspnet_regiis.exe ツールを使用すると、ASP.NET アプリケーションの ID に RSA キー コンテナーへの読み取りアクセス許可を付与できます。たとえば、次のコマンドは、Windows Server 2003 NETWORK SERVICE アカウントに、ABeenKeys という名前のマシンレベルの RSA キー コンテナへの読み取りアクセスを付与します:

aspnet_regiis -pa "ABeenKeys" "NT AUTHORITYNETWORK SERVICE"
知らせ：

RSA キー コンテナがユーザー レベルのコンテナである場合は、Windows プロファイルにキーが保存されているユーザーとしてログインする必要があります。また、ユーザー レベルの RSA キー コンテナへのアクセスを許可するには、-pku オプションを含める必要があります。

コンピューター構成で指定されたデフォルトの RsaProtectedConfigurationProvider を使用するには、まずアプリケーションの Windows ID に NetFrameworkConfigurationKey という名前のコンピューター キー コンテナーへのアクセスを許可する必要があります。これは、デフォルト プロバイダーに指定されたキー コンテナーです。たとえば、次のコマンドは、デフォルトの RsaProtectedConfigurationProvider によって使用される RSA キー コンテナへのアクセスを NETWORK SERVICE アカウントに許可します。

aspnet_regiis -pa "NetFrameworkConfigurationKey" "NT AUTHORITYNETWORK SERVICE"
NetFrameworkConfigurationKey RSA キー コンテナーは、Aspnet_regiis.exe ツールによって発行されるコマンドのデフォルトのキー コンテナーです。したがって、上記のコマンドは次のように発行することもできます:

aspnet_regiis -pa "NT AUTHORITYNETWORK SERVICE"

code download