asp.net配置使用層次式配置體系結構。asp.net的所有配置信息都包含了在配置文件中，該文件為config.web，它位于與應用程序文件相同的目錄中。除非子目錄內的config.web文件覆蓋了父目錄的設置，否則，子目錄降繼承父目錄的設置。
config.web文件為每種主要的asp.net功能提供了對應部分。
config.web文件中有關安全的內容如下所示：
<security>
<authentication mode=”[windows/cookie/passport/none]”>
<cookie cookie=”[name]” loginurl=”[url]” decryptionkey=”[key]”>
<credentials passwordformat =”[clear,shal,md5]”>
<user name=”[username]”password=”[password]”/>
</credentials>
</cookie>
<passport redirecturl=”internal”/>
</authentication>
<authorization>
<allow users=”[comma separated list of users]” roles=”[comma separated list of roles]”/>
<deny users=”[comma separated list of users]” roles=”[comma separated list of roles]”/>
</authentication>
<identity>
<impersonation enable =”[true/false]”/>
</identity>
</security>
這部分主要分為三部分：
&raquo;認證
&raquo;授權
&raquo;身份
通過應用程序根目錄的應用程序配置文件中類似的一部分來覆蓋計算機層次配置文件中的對應部分，就可以設置每個要素的值。所有子目錄降自動繼承設置，然而，子目錄也可以通過覆蓋其父目錄的設置來擁有自己的配置文件。