Windows Server 2012R2 Essentials ではデフォルトで IIS の親パスが有効になっていたので、無効化しました。

Microsoft Baseline Security Analyzer の結果です。




ここで「結果の詳細情報」をクリックしてみます。




デフォルWeb サイト、と仮想ディレクトリ　のどちらか、あるいは両方で親パスが有効になっている、とあります。



次に「解決方法」をクリックしてみます。





古いOSをベースにした解説ばかりで、Windows Server 2012R2 に関する手順はどこにも見つかりません。。。


インターネット インフォメーション（IIS)マネジャー からDefault Web site を開いてみても「プロパティ」が存在していません。
ということで、Windows Server 2012R2 ではここに書いてある方法では無効化はできませんでした。




そこで、手探りで見つけた無効化の方法を以下に紹介します。

まず、インターネット インフォメーション（IIS)マネジャーを開き、左側ペインにある 「Server2012R2」 → 「サイト」 → 「Default Web site」 と開いていきます。





中央ペインの「ASP」をダブルクリックします。




「親パスを有効にする」を見ると、「False(=無効）」になっていました。　ということは、有効になっているのは仮想ディレクトリ「Certsrv」の方みたいです。


そこで、今度は左側ペインの「Default Web site」をクリックすると、「CertSrv」があるので、これをクリック

すると、中央のペインに「ASP」が現れるので、これをクリックします。





すると以下のように「親パスを有効にする」を見ると、「True(=有効）」になっていました。




これをクリックし、「False」に変更し、「OK」をクリック。変更内容を保存しますかと聞いてくるので、「はい」をクリックし、インターネット インフォメーション（IIS)マネジャーを終了します。

再度、Microsoft Baseline Security Analyzer でスキャンしてみた結果、「親パス」が安全と評価されました。