Panoramica sulla sicurezza per Reporting Services utilizzato in modalità di integrazione con SharePoint

Se l'applicazione Web di SharePoint è configurata per l'autenticazione di Windows tramite Kerberos, per la connessione dall'applicazione Web di SharePoint al server di report si possono utilizzare le credenziali rappresentate o delegate dell'utente di Windows corrente. Utilizzando la sicurezza integrata di Windows con Kerberos e delega dell'identità, è possibile eliminare il consueto problema del "doppio hop", che provoca la scadenza delle credenziali di Windows dopo una singola connessione, ed estendere il set di opzioni disponibile per la configurazione delle connessioni alle origini dati per report e modelli. Nel diagramma seguente vengono illustrate le connessioni utilizzate nel caso in cui il server di report sia configurato per l'integrazione SharePoint e nell'applicazione Web di SharePoint venga utilizzata l'autenticazione di Windows con Kerberos e delega dell'identità.

• Connessione 1
  Un utente accede a un sito di SharePoint tramite il token utente creato quando l'utente ha effettuato l'accesso alla rete. Il token utente contiene informazioni sull'appartenenza ai gruppi e sull'identità dell'utente. L'applicazione Web di SharePoint autentica l'utente. L'utente richiede un'operazione o un elemento del server di report.

• Connessione 2
  Tramite l'applicazione Web di SharePoint vengono inviati il token e la richiesta al server di report. La richiesta di connessione viene inviata utilizzando l'identità di Windows delegata dell'utente. Tramite il server di report viene eseguita l'autenticazione dell'utente per verificare se quest'ultimo può accedere al server di report.

• Connessione 3
  Se l'autenticazione viene completata, nel server di report verrà utilizzato l'account utente dell'istanza di Reporting Services per la connessione ai database del contenuto di SharePoint, al fine di verificare che l'utente sia autorizzato ad accedere all'elemento o all'operazione. Se l'autorizzazione viene completata, la richiesta viene soddisfatta dal server di report.

• Connessione 4
  Se l'utente sta visualizzando un report, tramite il server di report l'identità di Windows dell'utente può essere delegata durante l'elaborazione dei report per recuperare dati da origini dati esterne. Pertanto, quando si impostano le proprietà relative all'origine dati in un report, è possibile selezionare l'opzione Sicurezza integrata di Windows per la connessione all'origine dati. Per ulteriori informazioni, vedere Specifica di credenziale e informazioni sulla connessione per le origini dati del report e Procedura: Creazione e gestione di origini dei dati condivise (Reporting Services in modalità integrata SharePoint) nella documentazione online di SQL Server.

Se l'applicazione Web di SharePoint è configurata per l'autenticazione basata su form o per l'autenticazione di Windows tramite NTLM, la connessione al server di report viene inviata in rete tramite un account attendibile predefinito, dotato dell'autorizzazione necessaria per rappresentare un utente di SharePoint nel server di report. Nel diagramma seguente vengono illustrate le connessioni stabilite quando vengono utilizzati account attendibili e identità utente di SharePoint.

• Connessione 1
  Un utente accede a un sito di SharePoint. L'applicazione Web di SharePoint autentica l'utente. L'applicazione Web di SharePoint converte l'identità utente in un'identità utente di SharePoint (SPUser). Per l'utente viene creato un nuovo token utente nel contesto di SPUser. Il token utente contiene informazioni sull'appartenenza ai gruppi e sull'identità dell'utente. L'utente richiede un'operazione o un elemento del server di report.

• Connessione 2
  Tramite l'applicazione Web di SharePoint viene effettuata la connessione al server di report utilizzando un account attendibile, ovvero l'identità del processo dell'applicazione Web di SharePoint. Tale applicazione rappresenta quindi l'identità utente di SharePoint nella richiesta di un elemento o un'operazione.

  Tramite il server di report viene verificato che la richiesta di connessione sia stata inviata da un account attendibile, confrontando quest'ultimo con le informazioni sugli account recuperate mediante il server di report dai database di configurazione di SharePoint quando tale server è stato avviato. In un server di report, l'account attendibile è costituito da un utente di Windows autorizzato a rappresentare l'applicazione Web di SharePoint. Inoltre, viene utilizzato per rappresentare SPUser, ma non dispone dell'accesso agli elementi e alle operazioni del server di report.

• Connessione 3
  Se l'autenticazione viene completata, nel server di report verrà utilizzato l'account utente dell'istanza di Reporting Services per la connessione ai database del contenuto di SharePoint, al fine di verificare che SPUser sia autorizzato ad accedere all'elemento o all'operazione. Se l'autorizzazione viene completata, la richiesta viene soddisfatta dal server di report.

• Connessione 4
  Se l'utente sta visualizzando un report, nel server di report non può essere utilizzato SPUser per il recupero dei dati da origini dati esterne, a causa del problema del "doppio hop". Pertanto, quando si impostano le proprietà relative all'origine dati in un report, non è possibile selezionare l'opzione Sicurezza integrata di Windows per la connessione all'origine dati. È tuttavia possibile configurare il report per l'utilizzo di altre opzioni di connessione, quali le credenziali archiviate o quelle su richiesta. Per ulteriori informazioni, vedere Specifica di credenziale e informazioni sulla connessione per le origini dati del report e Procedura: Creazione e gestione di origini dei dati condivise (Reporting Services in modalità integrata SharePoint) nella documentazione online di SQL Server.

Quando si crea una sottoscrizione a un report, nel server di report verranno archiviate le informazioni relative all'account SPUser in modo che sia possibile verificare che l'utente disponga dell'autorizzazione a visualizzare il report al momento del recapito. Se l'account SPUser è scaduto, la creazione della sottoscrizione non riuscirà e verrà restituito un errore rsSharePointError. La durata della validità dell'account SPUser è determinata dalla proprietà a livello di farm TokenTimeout.

In una distribuzione di un prodotto o una tecnologia SharePoint viene utilizzata un'ampia gamma di account per l'esecuzione dei servizi e l'accesso ai server front-end e back-end. Se per la distribuzione in uso si specificano account di dominio, seguire le procedure consigliate e specificare account che vengono utilizzati esclusivamente dall'applicazione Web di SharePoint. Non configurare alcun account di servizio in modo che venga eseguito con l'account di dominio di un utente reale, che potrebbe effettivamente accedere al sito di SharePoint. Se si accede a un sito di SharePoint utilizzando le credenziali di un servizio, potrebbero verificarsi degli errori.

Se si dispone di una distribuzione con scalabilità orizzontale di Reporting Services e di un prodotto SharePoint e sono stati configurati provider di autenticazione diversi per l'ambiente, è possibile che si verifichino dei problemi durante l'autenticazione degli utenti. Se ad esempio l'ambiente di report utilizza l'autenticazione basata su form per le connessioni Internet e l'autenticazione di Windows per le connessioni Intranet, è possibile che la richiesta venga instradata a un computer front-end Web con un provider di autenticazione che non corrisponde al tipo di autenticazione della richiesta. Ciò può causare che l'accesso venga negato per la richiesta in Reporting Services o l'esecuzione della richiesta nell'identità del pool di applicazioni e non in relazione all'utente che ha eseguito la richiesta.

In base alla procedura consigliata, è necessario che gli utenti utilizzino URL diversi per accedere al contenuto da Internet e dalla rete Intranet. In alternativa, è possibile configurare il file hosts nei computer front-end Web in modo da ignorare la ricerca DNS (Domain Name System) eseguendo il mapping dell'indirizzo IP (Internet Protocol) del sito Internet all'indirizzo URL Internet, in modo che le richieste all'URL Internet non vengano reindirizzate all'URL Intranet mediante DNS.

In Reporting Services hanno l'esigenza di accedere ai database di SharePoint sia il servizio Web che il servizio Windows. Gli account di servizio per entrambi i servizi vengono eseguiti come utenti attendibili in un'applicazione Web di SharePoint e ricevono automaticamente l'autorizzazione ad accedere ai database di SharePoint.

La connessione è gestita internamente. Viene configurata quando si utilizza lo strumento Amministrazione centrale SharePoint per associare un'applicazione Web di SharePoint a un server di report e impostare gli account attendibili. Diversamente da quanto avviene per la connessione tra il server di report e i relativi database, che può essere impostata o modificata tramite lo strumento di configurazione di Reporting Services, la connessione tra il server di report e i database di SharePoint non può essere configurata o gestita esplicitamente.

Se il server di report viene eseguito in modalità di integrazione con SharePoint, la configurazione degli account dei servizi in Reporting Services è soggetta ad alcuni vincoli. Per la configurazione degli account dei servizi, seguire le linee guida seguenti:

• Se la connessione ai database di SharePoint in un computer remoto deve essere eseguita tramite gli account servizio server di report, scegliere account dotati di autorizzazioni di accesso alla rete.

• Se il server di report e i database di SharePoint si trovano nello stesso computer e l'applicazione Web di SharePoint si trova in un computer remoto, non utilizzare account predefiniti quali Sistema locale o Servizio di rete. Quando i database di SharePoint vengono eseguiti in un computer remoto, tramite l'applicazione Web di SharePoint l'accesso ai database viene negato esplicitamente agli account predefiniti configurati in tale computer. Pertanto, se il server di report è in esecuzione utilizzando un account predefinito, non può connettersi ai database di SharePoint perché è in esecuzione nello stesso computer di questi ultimi.

• Per tutte le altre topologie, in cui i server e i database risiedono nello stesso computer o in computer diversi, gli account del servizio Reporting Services possono essere configurati come account di dominio o account predefiniti.

Se il server di report non riesce ad accedere ai database di SharePoint ed è presente un errore di configurazione (ad esempio, gli account o le password dei servizi non sono valide o non è installata un'istanza locale del modello a oggetti di Windows SharePoint), si verifica un errore di rsServerConfigurationError. Per tutti gli altri errori di connessione, viene restituito l'errore rsSharePointError insieme a ulteriori informazioni sugli errori dall'istanza locale di SharePoint.