默认 FTP 用户隔离设置 <userIsolation>

项目
03/25/2024

概述

<userIsolation> 元素用于在 FTP 站点的特定部分中启动或限制 FTP 客户端。根据 <userIsolation> 元素中指定的选项，服务器管理员可以阻止共享服务器环境（其中多个用户帐户共享一个 FTP 站点）中用户之间未经授权的访问。

FTP 用户隔离是在 IIS 6.0 中引入的，但在 FTP 7.0 和 FTP 7.5 中进行了重大更新。为了保持向后兼容，所有以前的 FTP 用户隔离功能仍可用，但用户隔离模式现在可以使用以下选项：

“模式” 说明

无在 FTP 7.0 和 FTP 7.5 中指定此模式会将用户隔离配置为始终在 FTP 站点的根目录中启动 FTP 客户端。（IIS 6.0 中无法执行此操作。）注意：如果他们拥有足够的权限，任何 FTP 用户都可以访问该 FTP 站点中任何其他 FTP 用户的内容。

StartInUsersDirectory 在 IIS 6.0 中，如果存在与用户帐户同名的目录，并且禁用了用户隔离，则 FTP 客户端将在该用户名的目录中启动。在 FTP 7.0 和 FTP 7.5 中，仍然可通过为模式指定 StartInUsersDirectory 来实现。注意：如果他们拥有足够的权限，任何 FTP 用户都可以访问该 FTP 站点中任何其他 FTP 用户的内容。

IsolateRootDirectoryOnly 在 IIS 6.0 中，如果您启用了用户隔离并为用户创建了物理目录，以便在用户首次登录服务器时启动，则可以使用全局虚拟目录。如果想要在多个 FTP 用户之间共享内容，可以创建全局虚拟目录。在 FTP 7.0 和 FTP 7.5 中，仍然可通过为模式指定 IsolateRootDirectoryOnly 来使用此选项。

IsolateAllDirectories 在 FTP 7.0 和 FTP 7.5 中指定此模式时，FTP 客户端将在与其首次登录服务器时的用户帐户名称相匹配的目录中启动。通过使用此模式，您可以为其中的每个帐户使用虚拟目录。不再需要创建物理目录。（IIS 6.0 中无法执行此操作。）但是，如果使用此选项，则不能再使用全局虚拟目录。要在多个 FTP 用户之间共享文件夹，必须为每个用户创建一个虚拟目录（相对于全局路径）。

ActiveDirectory 在 FTP 7.0 和 FTP 7.5 中指定此模式时，FTP 服务将从每个用户的 Active Directory 设置中的用户帐户检索用户隔离设置。此模式的工作方式与 IIS 6.0 相同。

自定义使用 FTP 7.5，现在可以为用户隔离模式指定 Custom。通过此模式，可以使用 FTP 扩展性通过创建自定义 FTP 提供程序来提供自定义用户隔离。

“模式”	说明
无	在 FTP 7.0 和 FTP 7.5 中指定此模式会将用户隔离配置为始终在 FTP 站点的根目录中启动 FTP 客户端。（IIS 6.0 中无法执行此操作。）注意：如果他们拥有足够的权限，任何 FTP 用户都可以访问该 FTP 站点中任何其他 FTP 用户的内容。
StartInUsersDirectory	在 IIS 6.0 中，如果存在与用户帐户同名的目录，并且禁用了用户隔离，则 FTP 客户端将在该用户名的目录中启动。在 FTP 7.0 和 FTP 7.5 中，仍然可通过为模式指定 StartInUsersDirectory 来实现。注意：如果他们拥有足够的权限，任何 FTP 用户都可以访问该 FTP 站点中任何其他 FTP 用户的内容。
IsolateRootDirectoryOnly	在 IIS 6.0 中，如果您启用了用户隔离并为用户创建了物理目录，以便在用户首次登录服务器时启动，则可以使用全局虚拟目录。如果想要在多个 FTP 用户之间共享内容，可以创建全局虚拟目录。在 FTP 7.0 和 FTP 7.5 中，仍然可通过为模式指定 IsolateRootDirectoryOnly 来使用此选项。
IsolateAllDirectories	在 FTP 7.0 和 FTP 7.5 中指定此模式时，FTP 客户端将在与其首次登录服务器时的用户帐户名称相匹配的目录中启动。通过使用此模式，您可以为其中的每个帐户使用虚拟目录。不再需要创建物理目录。（IIS 6.0 中无法执行此操作。）但是，如果使用此选项，则不能再使用全局虚拟目录。要在多个 FTP 用户之间共享文件夹，必须为每个用户创建一个虚拟目录（相对于全局路径）。
ActiveDirectory	在 FTP 7.0 和 FTP 7.5 中指定此模式时，FTP 服务将从每个用户的 Active Directory 设置中的用户帐户检索用户隔离设置。此模式的工作方式与 IIS 6.0 相同。
自定义	使用 FTP 7.5，现在可以为用户隔离模式指定 Custom。通过此模式，可以使用 FTP 扩展性通过创建自定义 FTP 提供程序来提供自定义用户隔离。

使用 IsolateRootDirectoryOnly 或 IsolateAllDirectories 模式进行用户隔离时，物理目录或虚拟目录路径必须使用以下层次结构：

用户帐户类型主目录语法

匿名用户 %FtpRoot%\LocalUser\Public

本地 Windows 用户帐户（需要基本身份验证） %FtpRoot%\LocalUser\%UserName%

Windows 域帐户（需要基本身份验证） %FtpRoot%\%UserDomain%\%UserName%

IIS 管理器或 ASP.NET 自定义身份验证用户帐户 %FtpRoot%\LocalUser\%UserName%

用户帐户类型	主目录语法
匿名用户	%FtpRoot%\LocalUser\Public
本地 Windows 用户帐户（需要基本身份验证）	%FtpRoot%\LocalUser\%UserName%
Windows 域帐户（需要基本身份验证）	%FtpRoot%\%UserDomain%\%UserName%
IIS 管理器或 ASP.NET 自定义身份验证用户帐户	%FtpRoot%\LocalUser\%UserName%

兼容性

版本	说明
IIS 10.0	`<userIsolation>` 元素在 IIS 10.0 中未进行修改。
IIS 8.5	`<userIsolation>` 元素在 IIS 8.5 中未进行修改。
IIS 8.0	`<userIsolation>` 元素在 IIS 8.0 中未进行修改。
IIS 7.5	`<ftpServer>` 元素的 `<userIsolation>` 元素作为 IIS 7.5 的功能提供。
IIS 7.0	`<ftpServer>` 元素的 `<userIsolation>` 元素是在 IIS 7.0 的独立下载项 FTP 7.0 中引入的。
IIS 6.0	空值

注意

FTP 7.0 和 FTP 7.5 服务是 IIS 7.0 带外提供的，需要从以下 URL 下载和安装模块：

https://www.iis.net/expand/FTP

在 Windows 7 和 Windows Server 2008 R2 中，FTP 7.5 服务作为 IIS 7.5 的功能提供，因此无需再下载 FTP 服务。

安装

若要支持 Web 服务器的 FTP 发布，必须安装 FTP 服务。为此，请按照以下步骤操作。

Windows Server 2012 或 Windows Server 2012 R2

在任务栏上，单击 “服务器管理器”。
在“服务器管理器”中，单击“管理”菜单，然后单击“添加角色和功能”。
在“添加角色和功能”向导中，单击“下一步”。选择安装类型，然后单击“下一步”。选择目标服务器，然后单击“下一步”。
在“服务器角色”页上，展开“Web 服务器(IIS)”，然后选择“FTP 服务器”。

注意

若要支持 FTP 服务使用 ASP.Membership 身份验证或 IIS 管理器身份验证，除“FTP 服务”外还需选择“FTP 扩展性”。
。
单击“下一步”，然后在“选择功能”页上，再次单击“下一步”。
在“确认安装选择”页上，单击“安装”。
在“结果” 页面中单击“关闭” 。

Windows 8 或 Windows 8.1

在“开始”屏幕上，将指针一直移动到左下角，右键单击“开始”按钮，然后单击“控制面板”。
在“控制面板”中，单击“程序与功能”，然后单击“打开或关闭 Windows 功能”。
展开“Internet Information Services”，然后选择“FTP 服务器”。

注意

若要支持 FTP 服务使用 ASP.Membership 身份验证或 IIS 管理器身份验证，还需选择“FTP 扩展性”。
单击“确定”。
单击“关闭” 。

Windows Server 2008 R2

在任务栏上，单击“开始”，指向“管理工具”，然后单击“服务器管理器”。
在“服务器管理器”层次结构窗格中，展开“角色”，然后单击“Web 服务器(IIS)”。
在“Web 服务器 (IIS)”窗格中，滚动到“角色服务”部分，然后单击“添加角色服务”。
在“添加角色服务向导”的“选择角色服务”页，展开“FTP 服务器”。
选择“FTP 服务”。

注意

若要支持 FTP 服务使用 ASP.Membership 身份验证或 IIS 管理器身份验证，还需选择“FTP 扩展性”。
单击 “下一步” 。
在“确认安装选择”页中，单击“安装”。
在“结果” 页面中单击“关闭” 。

Windows 7

在任务栏上，单击“开始”，然后单击“控制面板”。
在“控制面板”中，单击“程序与功能”，然后单击“打开或关闭 Windows 功能”。
展开“Internet Information Services”，然后展开“FTP 服务器”。
选择“FTP 服务”。

注意

若要支持 FTP 服务使用 ASP.Membership 身份验证或 IIS 管理器身份验证，还需选择“FTP 扩展性”。
单击“确定”。

Windows Server 2008 或 Windows Vista

从以下 URL 下载安装包：
- https://www.iis.net/expand/FTP
按照以下演练中的说明安装 FTP 服务：
- 安装 FTP 7 及排查问题

操作方式

如何在虚拟目录中隔离用户

打开 Internet Information Services (IIS) 管理器：
- 如果使用的是 Windows Server 2012 或 Windows Server 2012 R2：
  - 在任务栏上，单击“服务器管理器”，单击“工具”，然后单击“Internet Information Services (IIS)管理器”。
- 如果使用的是 Windows 8 或 Windows 8.1：
  - 按住 Windows 键，按字母 X，然后单击“控制面板”。
  - 单击“管理工具”，然后双击“Internet 信息服务(IIS)管理器”。
- 如果使用的是 Windows Server 2008 或 Windows Server 2008 R2：
  - 在任务栏上，单击“开始”，指向“管理工具”，然后单击“Internet Information Services (IIS)管理器”。
- 如果使用的是 Windows Vista 或 Windows 7：
  - 在任务栏上，单击“开始”，然后单击“控制面板”。
  - 双击“管理工具”，然后双击“Internet 信息服务(IIS)管理器”。
在“连接”窗格中，展开服务器名称，展开“站点”节点，然后单击站点名称。
在站点的“主页”窗格中，双击“FTP 用户隔离”。
在“FTP 用户隔离”页上的“隔离用户”下。将用户限制为以下目录：，选择“用户名目录(禁用全局虚拟目录)”。
在“操作”窗格中，单击“应用”。

如何使用 Active Directory 隔离用户

打开 Internet Information Services (IIS) 管理器：
- 如果使用的是 Windows Server 2012 或 Windows Server 2012 R2：
  - 在任务栏上，单击“服务器管理器”，单击“工具”，然后单击“Internet Information Services (IIS)管理器”。
- 如果使用的是 Windows 8 或 Windows 8.1：
  - 按住 Windows 键，按字母 X，然后单击“控制面板”。
  - 单击“管理工具”，然后双击“Internet 信息服务(IIS)管理器”。
- 如果使用的是 Windows Server 2008 或 Windows Server 2008 R2：
  - 在任务栏上，单击“开始”，指向“管理工具”，然后单击“Internet Information Services (IIS)管理器”。
- 如果使用的是 Windows Vista 或 Windows 7：
  - 在任务栏上，单击“开始”，然后单击“控制面板”。
  - 双击“管理工具”，然后双击“Internet 信息服务(IIS)管理器”。
在“连接”窗格中，展开服务器名称，展开“站点”节点，然后单击站点名称。
在站点的“主页”窗格中，双击“FTP 用户隔离”。
在“FTP 用户隔离”页上的“隔离用户”下。将用户限制为以下目录:”下选择“Active Directory 中配置的 FTP 主目录”，然后单击“设置”。
在“设置凭据”对话框中，在“用户名”和“密码”框中输入用户名和密码。在“确认密码”框中再次输入密码，然后单击“确定”。
在“操作”窗格中，单击“应用”。

有关如何设置 Active Director 的其他信息，请参阅使用 FTP 用户隔离托管多个 FTP 站点 (IIS 6.0) 主题中的“使用 Active Directory 模式隔离用户”部分。

配置

特性

属性说明

mode

可选枚举属性。

指定用户隔离模式。

名称	描述
`StartInUsersDirectory`	指定不应使用用户隔离，而是在用户目录中启动会话（如果存在）。数值为 `0`。
`IsolateRootDirectoryOnly`	指定用户隔离应仅隔离根目录。用户的主目录必须是物理目录，并且仍可使用全局虚拟目录。数值为 `1`。
`ActiveDirectory`	根据 Active Directory 设置隔离用户。数值为 `2`。
`IsolateAllDirectories`	指定用户隔离应隔离所有目录。用户的主目录可以是物理目录或虚拟目录，但全局虚拟目录将被忽略；必须在每个用户的主路径下显式创建所有虚拟目录。数值为 `3`。
`None`	指定不应使用用户隔离。数值为 `4`。
`Custom`	指定自定义 FTP 提供程序将实现用户隔离。数值为 `5`。

默认值为 None。

子元素

元素	说明
`activeDirectory`	可选元素。指定用于与 Active Directory 服务器通信的连接凭据和超时值。

配置示例

以下示例显示 FTP 站点的一个 <userIsolation> 元素，将 FTP 服务配置为使用 Active Directory 隔离该站点的用户，并配置连接到 Active Directory 服务器的凭据。

<site name="ftp.example.com" id="5">
  <application path="/">
    <virtualDirectory path="/" physicalPath="c:\inetpub\www.example.com" />
  </application>
  <bindings>
    <binding protocol="ftp" bindingInformation="*:21:" />
  </bindings>
  <ftpServer>
    <userIsolation mode="ActiveDirectory">
      <activeDirectory adUserName="MyUser"
        adPassword="[enc:RsaProtectedConfigurationProvider:57686f6120447564652c2049495320526f636b73:enc]"
        adCacheRefresh="00:02:00" />
    </userIsolation>
    <security>
      <authentication>
        <basicAuthentication enabled="true" />
        <anonymousAuthentication enabled="false" />
      </authentication>
    </security>
  </ftpServer>
</site>

代码示例

以下示例为 FTP 站点配置 Active Directory 用户隔离。

AppCmd.exe

appcmd.exe set config  -section:system.applicationHost/sites /[name='ftp.example.com'].ftpServer.userIsolation.mode:"ActiveDirectory" /commit:apphost
appcmd.exe set config  -section:system.applicationHost/sites /[name='ftp.example.com'].ftpServer.userIsolation.activeDirectory.adUserName:"MyUser" /[name='ftp.example.com'].ftpServer.userIsolation.activeDirectory.adPassword:"MyPassword" /[name='ftp.example.com'].ftpServer.userIsolation.activeDirectory.adCacheRefresh:"00:02:00" /commit:apphost

注意

使用 AppCmd.exe 配置这些设置时，必须确保将 commit 参数设置为 apphost。这会将配置设置提交到 ApplicationHost.config 文件中的相应位置部分。

C#

using System;
using System.Text;
using Microsoft.Web.Administration;

internal static class Sample {

    private static void Main() {
        
        using(ServerManager serverManager = new ServerManager()) { 
            Configuration config = serverManager.GetApplicationHostConfiguration();
            
            ConfigurationSection sitesSection = config.GetSection("system.applicationHost/sites");
            
            ConfigurationElementCollection sitesCollection = sitesSection.GetCollection();
            
            ConfigurationElement siteElement = FindElement(sitesCollection, "site", "name", @"ftp.example.com");
            if (siteElement == null) throw new InvalidOperationException("Element not found!");

            ConfigurationElement ftpServerElement = siteElement.GetChildElement("ftpServer");
            
            ConfigurationElement userIsolationElement = ftpServerElement.GetChildElement("userIsolation");
            userIsolationElement["mode"] = @"ActiveDirectory";
            
            ConfigurationElement activeDirectoryElement = userIsolationElement.GetChildElement("activeDirectory");
            activeDirectoryElement["adUserName"] = @"MyUser";
            activeDirectoryElement["adPassword"] = @"MyPassword";
            activeDirectoryElement["adCacheRefresh"] = TimeSpan.Parse("00:02:00");
            
            serverManager.CommitChanges();
        }
    }
    
       private static ConfigurationElement FindElement(ConfigurationElementCollection collection, string elementTagName, params string[] keyValues)
   {
      foreach (ConfigurationElement element in collection)
      {
         if (String.Equals(element.ElementTagName, elementTagName, StringComparison.OrdinalIgnoreCase))
         {
            bool matches = true;
            for (int i = 0; i < keyValues.Length; i += 2)
            {
               object o = element.GetAttributeValue(keyValues[i]);
               string value = null;
               if (o != null)
               {
                  value = o.ToString();
               }
               if (!String.Equals(value, keyValues[i + 1], StringComparison.OrdinalIgnoreCase))
               {
                  matches = false;
                  break;
               }
            }
            if (matches)
            {
               return element;
            }
         }
      }
      return null;
   }
}

VB.NET

Imports System
Imports System.Text
Imports Microsoft.Web.Administration

Module Sample
   Sub Main()
      Dim serverManager As ServerManager = New ServerManager
      Dim config As Configuration = serverManager.GetApplicationHostConfiguration
      Dim sitesSection As ConfigurationSection = config.GetSection("system.applicationHost/sites")
      Dim sitesCollection As ConfigurationElementCollection = sitesSection.GetCollection

      Dim siteElement As ConfigurationElement = FindElement(sitesCollection, "site", "name", "ftp.example.com")
      If (siteElement Is Nothing) Then
         Throw New InvalidOperationException("Element not found!")
      End If

      Dim ftpServerElement As ConfigurationElement = siteElement.GetChildElement("ftpServer")

      Dim userIsolationElement As ConfigurationElement = ftpServerElement.GetChildElement("userIsolation")
      userIsolationElement("mode") = "ActiveDirectory"

      Dim activeDirectoryElement As ConfigurationElement = userIsolationElement.GetChildElement("activeDirectory")
      activeDirectoryElement("adUserName") = "MyUser"
      activeDirectoryElement("adPassword") = "MyPassword"
      activeDirectoryElement("adCacheRefresh") = TimeSpan.Parse("00:02:00")

      serverManager.CommitChanges()
   End Sub

   Private Function FindElement(ByVal collection As ConfigurationElementCollection, ByVal elementTagName As String, ByVal ParamArray keyValues() As String) As ConfigurationElement
      For Each element As ConfigurationElement In collection
         If String.Equals(element.ElementTagName, elementTagName, StringComparison.OrdinalIgnoreCase) Then
            Dim matches As Boolean = True
            Dim i As Integer
            For i = 0 To keyValues.Length - 1 Step 2
               Dim o As Object = element.GetAttributeValue(keyValues(i))
               Dim value As String = Nothing
               If (Not (o) Is Nothing) Then
                  value = o.ToString
               End If
               If Not String.Equals(value, keyValues((i + 1)), StringComparison.OrdinalIgnoreCase) Then
                  matches = False
                  Exit For
               End If
            Next
            If matches Then
               Return element
            End If
         End If
      Next
      Return Nothing
   End Function


End Module

JavaScript

var adminManager = new ActiveXObject('Microsoft.ApplicationHost.WritableAdminManager');
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST";

var sitesSection = adminManager.GetAdminSection("system.applicationHost/sites", "MACHINE/WEBROOT/APPHOST");
var sitesCollection = sitesSection.Collection;
var siteElementPos = FindElement(sitesCollection, "site", ["name", "ftp.example.com"]);
if (siteElementPos == -1) throw "Element not found!";

var siteElement = sitesCollection.Item[siteElementPos]);
var ftpServerElement = siteElement.ChildElements.Item("ftpServer");
var userIsolationElement = ftpServerElement.ChildElements.Item("userIsolation");
userIsolationElement.Properties.Item("mode").Value = "ActiveDirectory";
var activeDirectoryElement = userIsolationElement.ChildElements.Item("activeDirectory");

activeDirectoryElement.Properties.Item("adUserName").Value = "MyUser";
activeDirectoryElement.Properties.Item("adPassword").Value = "MyPassword";
activeDirectoryElement.Properties.Item("adCacheRefresh").Value = "00:02:00";
adminManager.CommitChanges();

function FindElement(collection, elementTagName, valuesToMatch) {
   for (var i = 0; i < collection.Count; i++) {
      var element = collection.Item(i);
      if (element.Name == elementTagName) {
         var matches = true;
         for (var iVal = 0; iVal < valuesToMatch.length; iVal += 2) {
            var property = element.GetPropertyByName(valuesToMatch[iVal]);
            var value = property.Value;
            if (value != null) {
               value = value.toString();
            }
            if (value != valuesToMatch[iVal + 1]) {
               matches = false;
               break;
            }
         }
         if (matches) {
            return i;
         }
      }
   }
   return -1;
}

VBScript

Set adminManager = createObject("Microsoft.ApplicationHost.WritableAdminManager")
adminManager.CommitPath = "MACHINE/WEBROOT/APPHOST"
Set sitesSection = adminManager.GetAdminSection("system.applicationHost/sites", "MACHINE/WEBROOT/APPHOST")
Set sitesCollection = sitesSection.Collection

siteElementPos = FindElement(sitesCollection, "site", Array("name", "ftp.example.com"))
If siteElementPos = -1 Then
   WScript.Echo "Element not found!"
   WScript.Quit
End If

Set siteElement = sitesCollection.Item(siteElementPos)
Set ftpServerElement = siteElement.ChildElements.Item("ftpServer")
Set userIsolationElement = ftpServerElement.ChildElements.Item("userIsolation")
userIsolationElement.Properties.Item("mode").Value = "ActiveDirectory"
Set activeDirectoryElement = userIsolationElement.ChildElements.Item("activeDirectory")

activeDirectoryElement.Properties.Item("adUserName").Value = "MyUser"
activeDirectoryElement.Properties.Item("adPassword").Value = "MyPassword"
activeDirectoryElement.Properties.Item("adCacheRefresh").Value = "00:02:00"

adminManager.CommitChanges()

Function FindElement(collection, elementTagName, valuesToMatch)
   For i = 0 To CInt(collection.Count) - 1
      Set element = collection.Item(i)
      If element.Name = elementTagName Then
         matches = True
         For iVal = 0 To UBound(valuesToMatch) Step 2
            Set property = element.GetPropertyByName(valuesToMatch(iVal))
            value = property.Value
            If Not IsNull(value) Then
               value = CStr(value)
            End If
            If Not value = CStr(valuesToMatch(iVal + 1)) Then
               matches = False
               Exit For
            End If
         Next
         If matches Then
            Exit For
         End If
      End If
   Next
   If matches Then
      FindElement = i
   Else
      FindElement = -1
   End If
End Function

通过