IIS7: Comment bloquer l'accès avec un fichier web.config?

Je sais que IIS7 me permet d'avoir une configuration par répertoire avec le fichier xml web.config. J'ai un répertoire avec des fichiers de configuration qui ne veulent pas être accessibles sur le Web. Un fichier web.config local interdisant l'accès en lecture serait une bonne solution.

Quel devrait être le contenu d'un fichier web.config pour interdire l'accès Web aux fichiers?

Edit: j'essaie de mettre un fichier web.config avec ces contenus dans un fichier:

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
            <system.web>
                    <authorization>
                            <deny users="*" /> <!-- Denies all users -->
                    </authorization>
            </system.web>
</configuration>

Mais je peux toujours accéder directement à un fichier dans le répertoire. Qu'est ce qui ne va pas avec ça? Comment déboguer ce qui se passe?

Vous utilisez system.web. Dans IIS7, vous devez utiliser system.webServer à la place. Cela bloquera tous les types de fichiers, pas seulement les fichiers ASP.NET. Par exemple, vous pouvez protéger par mot de passe jpg, gif, txt et tous les types de fichiers.

Cela ressemblerait à quelque chose comme ceci:

  <system.webServer>
      <security>
          <authorization>
              <remove users="*" roles="" verbs="" />
              <add accessType="Allow" roles="Administrators" />
          </authorization>
      </security>
  </system.webServer>

Et si vous souhaitez le définir pour un seul fichier:

 <location path="dontlook.jpg">
     <system.webServer>
         <security>
             <authorization>
                 <remove users="*" roles="" verbs="" />
                 <add accessType="Allow" roles="Administrators" />
             </authorization>
         </security>
     </system.webServer>
 </location>

je pense que cela peut résoudre votre problème.
placez ce web.config dans un répertoire contenant le répertoire cible:

<configuration>
 <system.webServer>
  <security>
   <requestFiltering>
    <hiddenSegments>
     <add segment="target directory name"/>
    </hiddenSegments>
   </requestFiltering>
  </security>
 </system.webServer>
</configuration>

Vous pouvez utiliser les nœuds d'emplacement sur le Web.config. Voici une explication détaillée sur msdn ; en un mot:

<location path="Subdirectory">
    <system.web>
        <authorization>
            <deny users="*"/> <!-- Denies all users -->
        </authorization>
    </system.web>
</location>
<location path="Public_Directory">
    <system.web>
        <authorization>
            <allow users="*"/> <!-- Allows all users -->
        </authorization>
    </system.web>
</location>

Vous pouvez également utiliser le? caractère générique pour spécifier que vous devez (autoriser / refuser) les utilisateurs anonymes

• * signifie que chaque utilisateur connecté.
• ? signifie des utilisateurs anonymes.

Vous devez utiliser ?.

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
    <system.web>
        <authorization>
            <deny users="?" /> 
        </authorization>
    </system.web>
</configuration>