IIS（Microsoft IIS）運用完全ガイド：アーキテクチャ・設定・セキュリティ・ASP.NET Core連携とパフォーマンス最適化

はじめに — Microsoft IISとは

Microsoft Internet Information Services（IIS）は、Windows OS に標準で同梱されるWebサーバーソフトウェアです。静的コンテンツ（HTML・画像など）の配信から、ASP.NETや従来のClassic ASP、PHP（FastCGI経由）などの動的コンテンツのホスティング、さらにリバースプロキシやロードバランサー的な利用まで幅広く対応します。企業のオンプレミス環境や、Windowsベースのホスティングで長年用いられてきた実績あるプラットフォームです。

歴史と位置づけ

IIS は Windows の各バージョンとともに進化してきました。代表的なバージョンと特徴を簡単に挙げると：

• IIS 6.0（Windows Server 2003）：worker process（w3wp）や HTTP.sys によるカーネルモードの受信、アプリケーションプール概念の強化。
• IIS 7.0 / WAS（Windows Server 2008）：モジュールベースのアーキテクチャ導入、Windows Process Activation Service（WAS）によりHTTP以外のプロトコルサポートが強化。
• IIS 7.5、8.0、8.5、10.0（Windows 7/8/10/Server 2012/2016/2019/2022 等）：拡張機能（URL Rewrite、WebSockets、IIS Managerの強化）、セキュリティ改善、パフォーマンス最適化。

IIS はライセンス的には Windows の一部として提供され、追加のサーバーソフトウェア費用は通常不要です（ただし Windows Server ライセンスが必要）。

基本アーキテクチャ

IIS のアーキテクチャの主要要素：

• HTTP.sys：カーネルモードで動作するHTTPプロトコルドライバ。TCP受信、接続管理、URL予約、キューイング、キャッシュなどを担い、ユーザーモードのワーカープロセスへ効率よくリクエストを渡します。
• WAS（Windows Process Activation Service）：プロセスの起動・監視やアプリケーションプールの管理を行うコンポーネント。IIS 7以降での非HTTPプロトコルサポートなどを支えます。
• ワーカープロセス（w3wp.exe）：サイト/アプリケーションを実行するユーザーモードのプロセス。アプリケーションプール単位で分離され、安定性やセキュリティを確保します。
• モジュール/ハンドラ：認証、圧縮、キャッシュ、URLリライトなどの機能はモジュールとして組み込まれ、必要に応じて組み合わせて利用できます。

重要な機能と機構

主な機能を用途ごとに整理します。

• アプリケーションプール：プロセス分離の単位。異なるアプリを別のプールで実行することで、障害の影響範囲を限定できます。プールごとに.NET CLRバージョン、パイプラインモード、アイドルタイムアウトなどを設定できます。
• 認証と認可：匿名認証、Windows認証、基本認証、ダイジェスト認証、クライアント証明書などをサポート。さらにURLレベルやファイルレベルでのアクセス制御が可能です。
• SSL/TLS対応：証明書管理、SNI（Server Name Indication）のサポート、TLSバージョンの構成が可能です。
• 拡張モジュール：URL Rewrite、Application Request Routing（ARR）、Request Filtering、WebSockets、Output Caching、Dynamic Compression など豊富なモジュール群で機能拡張できます。
• スクリプト・CGI・FastCGI：従来のCGIやISAPI、FastCGIを使ってPHPなどを動かせます。FastCGI はパフォーマンスと安定性が高いため一般的です。
• ASP.NET / .NET Core 統合：ASP.NET アプリはネイティブに統合されます。ASP.NET Core は IIS の AspNetCoreModule（ANCM）を介して Kestrel と組み合わせて運用できます（プロセス内ホスティング / プロキシ方式の両方）。

管理と設定

IIS の設定は複数レイヤで管理できます。

• IIS Manager（GUI）：Windowsのグラフィカル管理ツール。サイト、アプリケーション、アプリケーションプールの作成や基本設定が可能。
• web.config：サイト／アプリケーション単位のXML設定ファイル。ASP.NETと共有する形でURLリライトやハンドラ設定、セキュリティ設定を行います。
• appcmd.exe：コマンドラインで設定を操作するユーティリティ（例：appcmd list apppool）。
• PowerShell（WebAdministration モジュール）：Get-Website、Get-WebAppPoolState、New-WebAppPool などを用いた自動化やスクリプトによる一括管理に向きます。

セキュリティの考え方・ベストプラクティス

IIS を安全に運用するための主要な注意点：

• 不要なモジュールや拡張を有効化しない（最小権限・最小機能の原則）。
• TLS 設定を最新化し古いプロトコル（SSL 3.0、TLS 1.0/1.1 等）を無効化する。強力な暗号スイートを選択する。
• アプリケーションプールを専用の低権限アカウントで実行し、ファイルシステムやネットワークリソースへの不要な権限を与えない。
• Request Filtering（旧URLScan）で不正な要求を弾く。HTTPヘッダ、拡張子、長さなどで制限を設ける。
• ログと監査（IISログ、ETW、Failed Request Tracing）を有効化し、侵入検知に活用する。
• OWASP の一般的なガイドラインに従い、入力検証や出力エンコーディング、CSRF対策などをアプリ側でも徹底する。

パフォーマンス最適化

代表的なチューニング項目：

• 出力キャッシュ（Output Caching）や静的コンテンツのキャッシュを活用する。
• HTTP.sys の機能（接続キューやキャッシュ）を理解して接続数やキュー長を調整する。
• アプリケーションプールのリサイクル設定を適切に（リソースリーク対策と可用性のバランス）。
• ARR を用いたロードバランシング、キャッシュの導入。必要に応じて外部のロードバランサやCDNと併用する。
• 静的ファイルは可能な限り IIS 側で配信し、動的処理はアプリケーション側に限定する。

トラブルシューティングと監視

IIS の問題解析に便利なツールと手法：

• Failed Request Tracing (FREB)：特定のHTTPステータスや時間超過時の詳細トレースを収集。
• IISログ（W3C形式など）：アクセスログからステータスコード、処理時間、クライアントIPなどを分析。
• Event Viewer：WASやW3SVC、アプリケーションイベントの確認。
• ETW / Performance Monitor：接続数、CPU、スレッド、要求キューなどのパフォーマンスカウンタを監視。
• プロセスダンプ解析：w3wp のハングや高負荷時にはダンプを取得してコードレベルで解析。

IIS と .NET Core（ASP.NET Core）の連携

ASP.NET Core は Kestrel を内蔵したクロスプラットフォームWebサーバーです。Windows 環境では IIS をフロントエンドにして以下の2方式で組み合わせます：

• アウトプロセス（Reverse Proxy）：IIS がリバースプロキシとしてリクエストを Kestrel に転送。プロセス間通信となり安定性が高い。
• インプロセス（In-Process）：AspNetCoreModuleV2 によるホスティングで、IIS ワーカープロセス内でアプリが直接実行され、レイテンシが改善される場合がある（対応バージョンの確認が必要）。

いずれの場合も AspNetCoreModule（ANCM）と web.config の設定が必要です。クラウド移行やコンテナ化を考える際は、Kestrel 単体での運用（リバースプロキシ不要）も選択肢になりますが、Windows 環境で既存運用や管理機能を活かしたい場合は IIS が有力です。

利用シーンと代替技術

IIS が向いているケース：

• Windows 環境、特に ASP/.NET アプリのホスティング。
• AD（Active Directory）連携など Windows 認証が重視されるシステム。
• 管理画面やGUIで運用を行う既存組織。

一方、Linux や軽量コンテナ中心の環境、ハイパフォーマンスを極限まで追求する場合は Nginx や Apache、Caddy などを採用するケースも多いです。クラウドでは Azure App Service、AWS Elastic Beanstalk、コンテナサービス（AKS/EKS）やマネージドロードバランサとCDNの組合せも一般的です。

運用上の注意点まとめ

• 設定は環境ごとに差分管理（Infrastructure as Code や PowerShell スクリプト化がおすすめ）。
• 定期的なセキュリティパッチとTLS設定の更新。
• ログ収集とアラートの整備（異常なステータス、応答遅延、エラー率の監視）。
• アプリケーションプールの分離と最小権限の徹底。

まとめ

Microsoft IIS は Windows と密に統合された成熟した Web サーバーで、特に Windows/ASP.NET 系のワークロードで高い親和性があります。モジュール化されたアーキテクチャ、HTTP.sys による高効率な受信、アプリケーションプールによる分離、豊富な管理ツール群といった特徴により、オンプレミスからクラウド移行期のハイブリッド運用まで幅広いシナリオで利用されています。とはいえ、運用面ではセキュリティ設定やパフォーマンスチューニング、ログ監視など適切な設計・運用が不可欠です。移行や新規構築の際は、要件（OS、認証、スケール、運用フロー）を踏まえ、IIS の強みが活かせるかを検討してください。

参考文献

• Microsoft IIS ドキュメント（Microsoft Learn）
• What's New in IIS 7
• HTTP Server API (HTTP.sys) — Windows Server
• IIS アプリケーション プールの管理
• ASP.NET Core を IIS にデプロイする — Microsoft Docs
• URL Rewrite Module for IIS