IIS7: Come bloccare l'accesso con un file web.config?

So che IIS7 mi permette di avere una configurazione per directory con il file xml web.config. Ho una directory con alcuni file di configurazione che non vogliono essere accessibili dal web. Un file web.config locale che vieta l'accesso in lettura sarebbe una buona soluzione.

Quali dovrebbero essere i contenuti di un file web.config per vietare l'accesso Web ai file?

Modifica: sto cercando di inserire un file web.config con questi contenuti in un file:

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
            <system.web>
                    <authorization>
                            <deny users="*" /> <!-- Denies all users -->
                    </authorization>
            </system.web>
</configuration>

Ma posso ancora accedere direttamente a un file all'interno della directory. Che cosa c'è che non va? Come posso eseguire il debug di ciò che sta accadendo?

Stai usando system.web. In IIS7, invece, dovresti usare system.webServer. Questo bloccherà tutti i tipi di file, non solo i file ASP.NET. Ad esempio, è possibile proteggere con password jpg, gif, txt e tutti i tipi di file.

Sarebbe simile a questo:

  <system.webServer>
      <security>
          <authorization>
              <remove users="*" roles="" verbs="" />
              <add accessType="Allow" roles="Administrators" />
          </authorization>
      </security>
  </system.webServer>

E se vuoi impostarlo per 1 solo file:

 <location path="dontlook.jpg">
     <system.webServer>
         <security>
             <authorization>
                 <remove users="*" roles="" verbs="" />
                 <add accessType="Allow" roles="Administrators" />
             </authorization>
         </security>
     </system.webServer>
 </location>

penso che questo possa risolvere il tuo problema.
posizionare questo web.config nella directory che contiene la directory di destinazione:

<configuration>
 <system.webServer>
  <security>
   <requestFiltering>
    <hiddenSegments>
     <add segment="target directory name"/>
    </hiddenSegments>
   </requestFiltering>
  </security>
 </system.webServer>
</configuration>

È possibile utilizzare i nodi Location su Web.config. Ecco una spiegazione dettagliata su msdn ; in breve:

<location path="Subdirectory">
    <system.web>
        <authorization>
            <deny users="*"/> <!-- Denies all users -->
        </authorization>
    </system.web>
</location>
<location path="Public_Directory">
    <system.web>
        <authorization>
            <allow users="*"/> <!-- Allows all users -->
        </authorization>
    </system.web>
</location>

Puoi anche usare il? carattere jolly per specificare che è necessario (consentire / negare) utenti anonimi

• * indica ogni utente connesso.
• ? significa utenti anonimi.

È necessario utilizzare ?.

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
    <system.web>
        <authorization>
            <deny users="?" /> 
        </authorization>
    </system.web>
</configuration>