Sicherheit bei der Verbundsuche (Search Server 2008)

In diesem Artikel werden bewährte Methoden zur Sicherheit mit dem Verbundfeature von Microsoft Search Server 2008 beschrieben. Er sollte von IT-Experten, Systemarchitekten und Suchdienstadministratoren gelesen werden.

Übersicht über die Verbundsuche

Mit der Verbundsuche können Endbenutzer eine Abfrage erstellen, mit der mit OpenSearch 1.1 kompatible Suchmodule abgefragt und Ergebnisse jedes Suchmoduls in einem separaten Webpart auf einer einzelnen Suchergebnisseite angezeigt werden können. Bei den Quellen kann es sich um Inhaltsrepositorys eines Unternehmens handeln, um andere Suchmodule oder um Teile des Inhaltsindexes. Weitere Informationen zur Verbundsuche finden Sie unter Federated Search Overview in englischer Sprache (https://go.microsoft.com/fwlink/?linkid=122651&clcid=0x407) (Übersicht über die Verbundsuche) und Arbeiten mit Verbunden.

Authentifizierungstypen

Verschiedene Typen der Benutzerauthentifizierung, benutzerspezifische und allgemeine Anmeldeinformationen, stehen für die Verbundsuche zur Verfügung. Dabei ist jedoch zu beachten, dass zum Sammeln von Anmeldeinformationen eine Webparterweiterung für Nicht-Kerberos-Authentifizierungstypen bei der benutzerspezifischen Authentifizierung erforderlich ist. Im Abschnitt mit den Authentifizierungs- und Anmeldeinformationen der Speicherortdefinition geben Sie den Authentifizierungstyp für den Verbundspeicherort an. Der Authentifizierungstyp kann einer der folgenden sein:

• Anonym

  Zum Herstellen der Verbindung mit dem Verbundspeicherort sind keine Anmeldeinformationen erforderlich.

• Allgemein

  Bei jeder Verbindung wird der gleiche Satz von Anmeldeinformationen zum Herstellen der Verbindung mit dem Verbundspeicherort verwendet.

• Pro Benutzer

  Die Anmeldeinformationen des Benutzers, der die Suchabfrage übermittelt hat, werden zum Herstellen der Verbindung mit dem Verbundspeicherort verwendet.

Für die Authentifizierungstypen Allgemein und Pro Benutzer müssen Sie außerdem eines der folgenden Authentifizierungsprotokolle angeben:

• Standard

  Die Standardauthentifizierung ist Teil der HTTP-Spezifikation und wird von den meisten Browsern unterstützt.

  Sicherheit Hinweis:

  Webbrowser mit Standardauthentifizierung übertragen Kennwörter in unverschlüsselter Form. Durch Überwachen der Kommunikation im Netzwerk kann ein böswilliger Benutzer diese Kennwörter mit öffentlich verfügbaren Tools abfangen und decodieren. Die Standardauthentifizierung wird deshalb nicht empfohlen, sofern Sie nicht sicher sind, dass die Verbindung sicher ist, wie bei einer Standleitung oder einer SSL-Verbindung (Secure Sockets Layer).

• Digest

  Die Digestauthentifizierung basiert auf dem HTTP 1.1-Protokoll, das in der Spezifikation RFC 2617 auf der Website des World Wide Web Consortium (W3C) definiert ist. Da zur Digestauthentifizierung HTTP 1.1-Kompatibilität erforderlich ist, wird sie von einigen Browsern nicht unterstützt. Wenn ein nicht mit HTTP 1.1 kompatibler Browser eine Datei anfordert, während die Digestauthentifizierung aktiviert ist, wird die Anforderung abgelehnt, da die Digestauthentifizierung nicht vom Client unterstützt wird. Die Digestauthentifizierung kann nur in Windows-Domänen verwendet werden. Digestauthentifizierung kann nur für Domänenkonten unter Microsoft Windows Server 2008, Microsoft Windows Server 2003 und Microsoft Windows 2000 Server verwendet werden und erfordert möglicherweise, dass die Kennwörter der Konten als verschlüsselter Nur-Text gespeichert werden.

• NTLM

  Benutzerdatensätze werden in der Datenbank der Sicherheitskontenverwaltung (Security Account Manager, SAM) oder in der Active Directory-Datenbank gespeichert. Jedem Benutzerkonto werden zwei Kennwörter zugeordnet: das LAN Manager-kompatible Kennwort und das Windows-Kennwort. Jedes Kennwort wird verschlüsselt und in der SAM-Datenbank oder der Active Directory-Datenbank gespeichert.

• Kerberos (nur benutzerspezifische Authentifizierung)

  Mithilfe des Kerberos-Protokolls kann ein Teilnehmer an einem Ende einer Netzwerkverbindung überprüfen, ob der Teilnehmer am anderen Ende die Entität darstellt, die er vorgibt zu sein. Während Server mithilfe von NTLM die Identitäten ihrer Clients überprüfen können, ermöglicht NTLM weder Clients noch Servern die Überprüfung anderer Server. Die NTLM-Authentifizierung ist für eine Netzwerkumgebung konzipiert, in der vertrauenswürdige Server vorausgesetzt werden.

• Formular

  Ein Formularauthentifizierungscookie ist lediglich ein Container für ein Formularauthentifizierungsticket. Bei jeder Anforderung wird das Ticket als Wert des Formularauthentifizierungscookies übergeben und von der Formularauthentifizierung zum Identifizieren eines authentifizierten Benutzers auf dem Server verwendet. Bei der Formularauthentifizierung ohne Cookies wird das Ticket jedoch in der URL verschlüsselt übergeben. Die Formularauthentifizierung ohne Cookies wird verwendet, weil Clientbrowser Cookies blockieren könnten. Dieses Feature wird in Microsoft .NET Framework 2.0 eingeführt.

Einschränkung aus Sicherheitsgründen bei der Verbundsuche

Ein wichtiger Aspekt bei der Verbundsuche ist die Einschränkung der Suchergebnisse aus Sicherheitsgründen. Die Einschränkung aus Sicherheitsgründen ist eine Methode, durch die zurückgegebene Ergebnisse basierend auf Benutzerkontoberechtigungen gefiltert werden. Standardmäßig wird die Einschränkung der Suchergebnisse aus Sicherheitsgründen für Ergebnisse aus folgenden Quellen angewendet:

• Lokale Farm

  In Szenarien, in denen der Verbundspeicherort ein OpenSearch-Speicherort ist und der Speicherort für die benutzerspezifische Authentifizierung konfiguriert ist, werden die Anmeldeinformationen eines Benutzers automatisch übergeben, wenn die Kerberos-Authentifizierung verwendet wird. Bei anderen Authentifizierungsprotokollen als Kerberos werden die Benutzeranmeldeinformationen jedoch nicht automatisch übergeben. Um sicherzustellen, dass die Ergebnisse der Einschränkung aus Sicherheitsgründen für den aktuellen Benutzer in diesen Szenarien entsprechen, erweitern Sie das Webpart für die Verbundsuchergebnisse, um die Benutzeranmeldeinformationen zu sammeln. Weitere Informationen finden Sie unter Creating a Custom Federated Search Web Part with a Credentials UI in englischer Sprache (https://go.microsoft.com/fwlink/?linkid=122653&clcid=0x407) (Erstellen eines benutzerdefinierten Webparts für Verbundsuchergebnisse mithilfe einer Benutzeroberfläche für Anmeldeinformationen).

• Wenn die Kerberos-Authentifizierung nicht verwendet wird, müssen Sie auch die Webparts für die Verbundsuche erweitern, um Benutzeranmeldeinformationen zu sammeln, wenn Sie sicherstellen möchten, dass Suchergebnisse für OpenSearch-Speicherorte (alle anderen Orte als die lokale Farm) für jeden Benutzer Einschränkungen aus Sicherheitsgründen unterworfen werden.

Weitere Informationen zur Sicherheit für Search Server 2008 finden Sie unter Sicherheit und Schutz für Search Server 2008 und Sicherheitsüberlegungen für die Suche (Search Server 2008).