Überlegungen zur Sicherheit von Monitoring Server

Monitoring Server nutzt die Domänenauthentifizierung von Microsoft Internetinformationsdienste (IIS) zur Authentifizierung des Benutzerzugriffs auf die Anwendung. Jeder aktive Benutzer in einer vertrauenswürdigen Domäne kann auf den Webdienst zugreifen, ohne bestimmte Rollen auf Objekt- oder Serverebene verfügt der Benutzer jedoch nicht über Berechtigungen zum Erstellen oder Anzeigen von Metadaten auf dem Server.

Monitoring Server wird mit einem vordefinierten Satz von Rollen im Datenbankrepository konfiguriert. Die Autorisierung basiert auf einem Vergleich zwischen dem Benutzer, den Gruppen, denen der Benutzer angehört, und den Monitoring Server-Rollen, die dem Benutzer zugewiesen sind.

Monitoring Server bietet verschiedene Rollen, die die Berechtigungen zum Verwalten oder Erstellen von Dashboardelementen definieren. Im Dashboard-Designer werden Benutzer und Gruppen aus dem Active Directory-Verzeichnisdienst diesen Rollen zugewiesen.

Zusätzlich zu den grundlegenden Rollen im System gibt es die Dashboardelementrollen Editor und Leser, die für die einzelnen Elemente auf dem Server gelten. Diese Dashboardelemente umfassen Berichte, Scorecards und die Definition des Dashboards.

Durch Identitätswechsel kann eine Webanwendung oder ein Webdienst unter der Identität einer anderen Entität anstatt als Prozessidentität agieren, um auf lokale Ressourcen zuzugreifen. Mithilfe von Delegierung kann eine Webanwendung oder ein Webdienst das Identitätstoken für den Zugriff auf Remotenetzwerkressourcen verwenden.

Szenarien, in denen die Verwendung der Delegierung erforderlich ist, werden in der Regel als Double-Hop-Szenarien bezeichnet. Die Delegierung nutzt die integrierte Windows-Authentifizierung und das Kerberos-Protokoll. Monitoring Server erfordert Delegierung, wenn die Bpm.ServerConnectionPerUser-Eigenschaft in der Datei web.config auf True festgelegt ist und die Dienste und Websites, die als Datenquellen registriert sind, auf Remotecomputern installiert sind. Die Bpm.ServerConnectionPerUser-Einstellung erzwingt, dass Monitoring Server versucht, bei der Kommunikation mit externen Datenquellen wie Analysis Services die Identität des authentifizierten Benutzers zu verwenden.

Informationen zur Konfiguration der Kerberos-Delegierung finden Sie im Bereitstellungshandbuch für PerformancePoint Server 2007.