IIS7: ¿Cómo bloquear el acceso con un archivo web.config?

Sé que IIS7 me permite tener una configuración por directorio con el archivo web.config xml. Tengo un directorio con algunos archivos de configuración que no quieren tener acceso a la web. Un archivo web.config local que prohíba el acceso de lectura sería una buena solución.

¿Cuál debería ser el contenido de un archivo web.config para prohibir el acceso web a los archivos?

Editar: estoy tratando de poner un archivo web.config con estos contenidos en un archivo:

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
            <system.web>
                    <authorization>
                            <deny users="*" /> <!-- Denies all users -->
                    </authorization>
            </system.web>
</configuration>

Pero aún puedo acceder directamente a un archivo dentro del directorio. ¿Qué tiene de malo? ¿Cómo depuro lo que está sucediendo?

Estás usando system.web. En IIS7, debe usar system.webServer en su lugar. Esto bloqueará todos los tipos de archivos, no solo los archivos ASP.NET. Por ejemplo, puede proteger con contraseña jpg, gif, txt y todo tipo de archivos.

Se vería algo así:

  <system.webServer>
      <security>
          <authorization>
              <remove users="*" roles="" verbs="" />
              <add accessType="Allow" roles="Administrators" />
          </authorization>
      </security>
  </system.webServer>

Y si desea configurarlo para solo 1 archivo:

 <location path="dontlook.jpg">
     <system.webServer>
         <security>
             <authorization>
                 <remove users="*" roles="" verbs="" />
                 <add accessType="Allow" roles="Administrators" />
             </authorization>
         </security>
     </system.webServer>
 </location>

Creo que esto puede resolver tu problema.
coloque este web.config en el directorio que contiene el directorio de destino:

<configuration>
 <system.webServer>
  <security>
   <requestFiltering>
    <hiddenSegments>
     <add segment="target directory name"/>
    </hiddenSegments>
   </requestFiltering>
  </security>
 </system.webServer>
</configuration>

Puede usar los nodos de ubicación en Web.config. Aquí hay una explicación detallada sobre msdn ; en una palabra:

<location path="Subdirectory">
    <system.web>
        <authorization>
            <deny users="*"/> <!-- Denies all users -->
        </authorization>
    </system.web>
</location>
<location path="Public_Directory">
    <system.web>
        <authorization>
            <allow users="*"/> <!-- Allows all users -->
        </authorization>
    </system.web>
</location>

También puedes usar el? comodín para especificar que debe (permitir / denegar) usuarios anónimos

• * significa cada usuario conectado.
• ? significa usuarios anónimos.

Debes usar ?.

<?xml version="1.0" encoding="utf-8" ?>
<configuration>
    <system.web>
        <authorization>
            <deny users="?" /> 
        </authorization>
    </system.web>
</configuration>