ウェブリソースへのアクセスを許可または拒否する

Web.configファイルのlocationタグでウェブリソースへのアクセス権限を設定できます。この例の設定では、adminとwebmasterを除くすべてのユーザーが/sitecoreパスへのアクセスを拒否します:

複数のallowおよびdenyルールが定義されている場合、Sitecoreは標準的なASP.NETコア 認可動作に従ってそれらを現れる順序で評価します。より具体的なルールは、より一般的なルールの前に定義されるべきです。特に、allowルールはdenyルールの前に評価され、deny="*" のようなワイルドカードルールは、以前の許可ルールが処理された後にのみ適用されます。つまり、明示的な許可ルールは、後の拒否ルールがワイルドカードを使っていてもアクセスを許可できることを意味します。

denyタグとallowタグについては、Microsoftの「特定のユーザーが特定のウェブリソースへのアクセスを制限する方法」のドキュメントで詳しくお読みください。

また、Web.configファイルをWindows ASP.NETグループおよびユーザーで使用するように設定することもできます。これは、Microsoftの「 ASP.NETにおけるWindows認証と認可の実装方法」のドキュメントに記載されています。

!注locationタグはコアロールのみがデフォルトで使用しており、各コアロールは異なる設定をしています。セキュリティレビューの一環としてlocationタグの監査を推奨します。