

さくらVPS for Windows Serverというクラウドサービスを使い、IISでサイトを公開しています。

IISでは社内アプリのダウンロードサイトを公開しています。  
そのサイト自体は、AzureADと連携させて、マイクロソフトアカウントでログインするようにしていますので、安全かと判断しています。

一方で、社内アプリ自体は、.NET Framework
のClickOnceを使っていて、社内アプリのダウンロード時やアップデート時には、IISの仮想フォルダにアクセスしています。  
IISではフォルダ階層が表示されないようにしていますので、正確なフォルダ名やファイル名が分からない限りアクセスできないとは思うのですが、何らかの方法でフォルダ名やファイル名を見つけられれば自由にアクセスできてしまうので、そこに不安を感じています。

ハッカー等が踏み台を探している中で、当社のこのサイトを見つけ、何らかの方法でフォルダ名やファイル名を見つけることは、現実としてあり得るのでしょうか？

あり得るとしたら、AzureADとさくらVPSのActiveDirectoryの連携をして、権限設定すればできそうな気はするのですが、私の能力不足で全く理解が出来ません。

次善の策として、  
・ダウンロードサイトから社内アプリのClickOnceでのダウンロード時には、ダウンロードサイトのほうで各アプリの仮想フォルダのアクセス権限を書き換え、ダウンロード時だけIIS_IUSRSの権限を読み込み可にして、それが終わったら権限を無くす。  
・社内アプリのClickOnceでのアップデート時には、そのアプリ自体からその仮想フォルダのアクセス権限を書き換え、アップデート時だけIIS_IUSRSの権限を読み込み可にして、それが終わったら権限を無くす。

以上のようにすればできそうな気がするのですが、セキュリティ的にどうなのでしょうか？

教えてください。


CC BY-SA 4.0
2021-05-01T03:54:46.250
75606
2021-05-04T03:15:11.700
2021-05-01T17:43:39.683
19110
40913
question
security iis
クラウドIISの仮想フォルダのセキュリティ確保について教えてください


> セキュリティ的にどうなのでしょうか

「よくわからないけどこういう方法を思いついた」というのはセキュリティ的には論外だと思います。

[Microsoftのドキュメント](https://docs.microsoft.com/ja-
jp/visualstudio/deployment/securing-clickonce-applications?view=vs-2019)によれば

> ClickOnce アプリケーションを配置する場合、Windows 認証以外の認証シナリオはサポートされません。

ということなので、ADと連携して認証させるか、ローカルのサーバに配置してください。


CC BY-SA 4.0
2021-05-04T03:15:11.700
75660
2021-05-04T03:15:11.700
5793
75606
answer