IIS网站默认是允许所有用户连接，如果对网站的安全性要求较高，网站只针对特定用户开放，就需要对用户进行验证，进行验证的主要方法有：

•   匿名身份验证

•   基本身份验证

•   摘要式身份验证

•   Windows身份验证

系统默认只启用了匿名身份验证，由于2008R2中的IIS采用了模块化设计，默认只会安装少数功能与组件，所以要设置使用其他的身份验证方法，首先就需要安装相应的功能组件。

在【服务器管理器】中选择“添加角色服务”。

匿名身份验证>windows身份验证>摘要式身份验证>基本身份验证

也就是说，如果同时开启匿名身份验证和基本身份验证，那么客户端就会优先利用匿名身份验证，而基本身份验证则无效！所以如果要使用户必须验证身份后才能访问，首先必须禁用匿名访问功能，然后再设置身份验证方式。如果不禁用匿名访问功能，即使设置了身份验证方式也不会生效。

在web站点的主窗口中打开“身份验证”，默认情况下，“匿名身份验证”为“已启用”状态，点击右侧“操作”菜单中的“禁用”命令，将其禁用。这样当用户再次访问时就必须使用用户名登录。

基本身份验证是使用web服务器的本地用户进行身份验证，如果web服务器属于域的成员服务器，那也还可以使用域用户进行身份验证。

在身份验证界面中启用基本身份验证，

 

然后在客户端测试，用admin用户可以成功访问网站。

下面再用一个域用户zhangsan进行测试，如果只输入zhangsan的用户名，是无法通过验证的，必须要指定zhangsan所在的域，即使用域用户账户的全名coolpen\zhangsan

我们也可以在web服务器上指定所处的域。选中基本身份验证，然后点击右侧的“编辑”按钮对其进行设置。

 默认域：指定Web服务器所处的域。当用户连接网站时，如果用户输入了一个用户名zhangsan，那么服务器优先将其视为本地用户进行身份验证，如果发现zhangsan不是本地用户，则自动将其视为coolpen.net域的域用户，将用户名和密码送到此域的域控制器检查。这样设置的好处是，即使是域用户，也可以只输入用户名，而不需要输入全名了。
领域：此处的文字可供用户参考，它会被显示在登录界面上。

需要注意的是，“基本身份验证”的用户名和密码都是以明文的方式在网络中传送，因而安全性不高。如果要使用基本身份验证的话，应搭配其他可确保数据发送安全的措施，如使用SSL连接等。

同基本身份验证相比，摘要式身份验证有少许改进，它将用户名和密码经过MD5加密之后再到网络中传输，因而比基本身份验证要更为安全。但摘要式身份验证只能用于域环境，要求web服务器必须是域的成员服务器，而且用户必须是域用户账户。配置起来比较繁杂，而且实际中用得不多，因而这里就不予介绍。

 

Windows 身份验证使用 NTLM 或 Kerberos 协议进行身份验证，但是使用时有一定的局限性。NTLM协议无法通过代理服务器，Kerberos协议无法通过防火墙，所以Windows 身份验证最适用于Intranet 环境

 

总结：Windows 身份验证和摘要式身份验证因为使用条件限制，所以运用很少，我们更多的是使用基本身份验证！

另外，虚拟目录可以像主网站一样的设置各种身份验证方式，对于大多数网站，都是将主网站设置为允许匿名访问，而将其下的某个虚拟目录设置要通过身份验证方可访问。

在IIS中，还可以通过限制IP地址的方式来增加网站的安全性，不过这种方式只适合于向特定用户提供Web网站，或是限制一些特定用户访问。要使用IP地址限制功能，也必须先安装“IP和域限制”组件。

如果web服务器的性能一般，或是网站的访问量比较大，为避免服务器响应慢或是宕机，可以限制网站所占的带宽及同时连接数量。

在默认站点的主界面中，点击右侧“操作”面板中的“限制……”链接。打开编辑网站限制对话框，限制带宽使用：设置网站允许使用的最大带宽，单位为字节，注意不要大于当前网络带宽。连接超时默认限制为120秒，即用户访问web站点时，如果在120秒内没有活动则自动断开。限制连接数用于限制允许同时连接网站的最多用户数量。

通过网站日志，管理员可以查看跟踪网站被访问的情况，如哪些用户访问了本站点、访问者查看了什么内容，以及最后一次查看该信息的时间等。可以使用日志来评估内容受欢迎程度或识别信息瓶颈，有时还可以通过日志查出非授权用户访问网站以便采取应对措施。

在站点主界面中点击“日志”可以对其进行设置。