En IIS 7, trato de negar el acceso a todos los archivos con la extensión .xml para todos los usuarios.

Probé la siguiente configuración en mi archivo web.config:

<location path="*.xml">
    <system.web>
      <authorization>
        <deny users="*"/>
      </authorization>
    </system.web>
</location>

Pero luego obtener cualquier resultado de archivo en un error interno del servidor.

Funciona si niego el acceso a los archivos individuales, pero esta solución no me compra mucho, ya que no conozco todos los archivos .xml por adelantado.