【IT168 专稿】大家知道，IIS一般允许访问者通过HTTP协议来访问其中的网站信息，不过这种通信协议由于采用的是明文方式来传输信息的，而不会对要访问的信息进行加密，因此通过这种方法访问网站时一些隐私信息容易在传输过程中被他人中途偷窥。为了避免隐私信息被他人随意窃取，我们可以借用SSL的身份验证功能，来对网站信息进行加密传输，并限定只有指定的客户通过HTTPS协议才能访问到指定的站点信息。下面本文就以Windows 2003服务器操作系统为例，来向各位详细介绍一下如何借用SSL验证来对网站信息进行加密传输，以便让IIS信息访问更安全。
创建SSL身份验证证书
要想对IIS中的指定网站信息建立加密传输机制的话，首先需要为该目标网站创建一个SSL身份验证证书，该证书的创建操作只需要通过Windows 2003服务器操作系统内置的“Web服务器证书向导”功能就能轻松完成；下面就是为目标网站创建证书请求文件的具体操作步骤：
依次单击“开始”/“设置”/“控制面板”命令，在弹出的系统控制面板窗口中，双击“管理工具”图标，并在其后界面中双击“Internet 信息服务(IIS)管理器”图标，打开系统的IIS控制台界面。
在该界面的左侧窗格区域中，依次展开“本地计算机”/“网站”分支，再用鼠标右键单击该分支下面的目标网站名称，从弹出的右键菜单中执行“属性”命令，打开目标网站的属性设置界面。
单击该界面中的“目录安全性”标签，并在对应标签页面的“安全通信”设置项处，单击“服务器证书”按钮，弹出如图1所示的Web服务器证书向导窗口；继续单击该窗口中的“下一步”按钮，在随后出现的服务器证书对话框中，我们可以为目标网站选择一个分配证书的方法，在这里我们可以将“新建证书”选项选中，并单击“下一步”按钮。
 |
| 图1 |
接下来将“现在准备证书请求，但稍后发送”项目选中，然后为新证书设置一个合适的名称，同时在“位长”列表框中为新证书设置一个合适的密钥位长；下面再输入好使用证书的单位以及部门信息，然后输入站点的公用名称，一般来说要是该站点位于Internet上的话，就应该输入该站点的完整域名信息。完成好上面的所有信息输入操作后，Web服务器证书向导窗口将会弹出如图2所示的界面，提示我们指定一个合适的文本文件来保存证书请求信息，默认状态下系统会自动在Windows安装根目录下创建一个名为“certreq.txt”的文本文件来作为证书请求文件，最后单击向导窗口中的“完成”按钮就能结束SSL身份验证证书的创建任务了。
 |
| 图2 |
手工添加证书服务
由于Windows 2003服务器操作系统在缺省状态下并不支持证书服务，这样的话安装在该系统中的网站自然就无法申请网站证书；为了能够正确申请网站证书，我们需要按照下面的方法，先将证书服务启动好：
依次单击“开始”/“设置”/“控制面板”命令，在弹出的系统控制面板窗口中，双击“添加或删除程序”图标，再其后出现的窗口中再单击“添加/删除Windows组件”标签，在弹出的如图3所示的标签页面中将“证书服务” 项目选中，随后系统打开一个提示界面提醒我们一旦安装好了证书服务后，将无法更改域成员身份以及计算机名称，同时询问我们是否需要继续下面的操作。
 |
| 图3 |
此时我们可以单击提示界面中的“是”按钮，再单击一下“下一步”按钮，并将新对话框中的“独立根CA”项目选中，同时继续单击“下一步”按钮，进入到如图4所示的CA识别信息对话框；在该对话框的“公用名称”文本框中输入CA的名称信息，在有效期限处设置好证书的具体生效时间，默认情况下证书的有效期限为5年。
 |
| 图4 |
接下来单击“下一步”按钮，Windows系统将会自动创建好密钥信息，然后会弹出“证书数据库设置”对话框，在该对话框的“证书数据库”文本框中指定好证书数据库的存放位置，在该对话框的“证书数据库日志”文本框中指定好证书数据库日志的存放位置，然后再单击“下一步”按钮；随后系统将会自动按照我们的设置要求进行配置系统，同时提示我们插入Windows 2003服务器操作系统的安装光盘，一旦插入安装光盘后，Windows系统就会自动完成证书服务的其他配置任务。
申请高级网站证书
为了让目标网站使用SSL加密机制，来保证网站信息在传输过程中不被人偷窥，我们需要申请一个高级网站证书；在申请网站证书时，我们可以按照如下步骤来操作：
首先打开系统的资源管理器窗口，在该窗口中双击Windows安装目录下面的system32文件夹，并将该文件夹下面的Certsrv子文件夹复制到目标网站所对应的根目录下。
接着打开IE浏览器窗口，并在该窗口的地址栏中输入“http://xxx.xxx.xxx.xxx/certsrv/default.asp”（其中xxx.xxx.xxx.xxx为目标网站的网址或IP地址），进入到如图5所示的Microsoft证书服务页面；单击该页面中的“申请一个证书”超级链接，并在其后出现的链接页面中再单击“高级证书申请”链接。
 |
| 图5 |
接下来再单击一下“使用base64编码的CMC或PKCS #10文件提交一个证书申请，或使用base64编码的PKCS #7文件续订证书申请”超级链接，打开如图6所示的申请页面；下面打开前面已经创建好的证书请求文件“certreq.txt”，将该文件中的内容直接复制粘贴到图6界面中的“保存的申请”文本框中，再单击一下“提交”按钮就能完成高级网站证书的申请任务。
 |
| 图6 |
高级网站证书一旦申请成功后，系统将会自动提示我们必须等待管理员颁发自己申请的证书，只有颁发过证书后才能使之生效。在颁发证书时，我们可以按照下面的步骤来操作：
依次单击“开始”/“设置”/“控制面板”命令，在弹出的系统控制面板窗口中，双击“证书颁发机构”图标，在其后界面的左侧窗格区域中选中“挂起的申请”选项，在对应该选项右侧的窗格区域中用鼠标右键单击前面申请好的证书，并依次执行右键菜单中的“所有任务”/“颁发”命令。
下面再选中“颁发的证书”选项，并在对应该选项右侧的窗格区域中用鼠标左键双击前面申请好的证书，在随后弹出的证书对话框中单击“详细信息”标签，打开如图7所示的标签页面；接着单击该标签页面中的“复制到文件”按钮，打开证书导出向导界面，根据界面提示指定好具体的文件名称，结束证书的颁发任务。
 |
| 图7 |
将证书导入网站目录
为了让目标网站所对应的目录文件信息全部使用SSL加密传输功能，我们需要将前面申请好的网站证书导入到目标网站所对应的目录中；在导入网站证书时，可以按照下面的步骤来操作：
依次单击“开始”/“设置”/“控制面板”命令，在弹出的系统控制面板窗口中，双击“管理工具”图标，并在其后界面中双击“Internet 信息服务(IIS)管理器”图标，打开系统的IIS控制台界面。
在该界面的左侧窗格区域中，依次展开“本地计算机”/“网站”分支，再用鼠标右键单击该分支下面的目标网站名称，从弹出的右键菜单中执行“属性”命令，打开目标网站的属性设置界面。
单击该界面中的“目录安全性”标签，并在对应标签页面的“安全通信”设置项处，单击“服务器证书”按钮，打开IIS证书向导设置窗口，然后选择“分配现有证书”选项，再将前面颁发好的证书选中，最后在如图8所示的界面中指定好网站应该使用的SSL端口，缺省状态下该端口号码为“443”，完成上面的设置后，再单击“完成”按钮返回到目标网站的“目录安全性”标签页面。
 |
| 图8 |
启用网站的身份验证功能
做好了上面的各项准备工作后，目标网站的SSL安全加密功能仍然还没有生效，此时我们还需要对该网站进行进一步的配置。按照前面的方法，打开目标网站的目录安全标签页面，并单击“安全通信”处的“编辑”按钮，进入到如图9所示的设置界面，将该界面中的“要求安全通道（SSL）”复选项选中，并将随后自动激活的“要求128位加密”项目选中，再单击“确定”按钮返回到目录安全标签页面。
 |
| 图9 |
接下来在“身份验证和访问控制”设置项处单击“编辑”按钮，打开身份验证方法设置窗口，将该窗口中的“启用匿名访问”选项以及“集成Windows身份验证”选项的选中状态取消，再将“基本身份验证”选项选中，随后系统将会自动弹出一提示界面，单击该界面中的“是”按钮，最后单击“确定”按钮返回到目录安全标签页面。
下面再单击目标网站属性界面中的“网站”标签，并在对应标签页面的SSL端口文本框中输入事先设置好的SSL端口号码，最后单击一下“确定”按钮就可以了。以后我们再次访问目标网站中的信息时，必须使用形如“https://xxx.xxx.xxx.xxx”格式的URL地址（其中xxx.xxx.xxx.xxx为目标网站的域名地址或IP地址），才能看到网站中的具体内容。不过，在第一次通过HTTPS方式访问目标站点时，浏览器将会自动打开一个安全警告窗口来提示我们是否同意当前证书，我们单击一下“是”按钮来浏览网站信息时，目标网站中的信息就会在传输过程中被自动加密，其他任何人都不会偷窥到其中的内容，这样IIS信息访问就会更加安全。
