Übersicht zur Reporting Services-Sicherheit im integrierten SharePoint-Modus

Wenn die SharePoint-Webanwendung so konfiguriert ist, dass die Windows-Authentifizierung verwendet wird, und Kerberos aktiviert ist, wird die Verbindung von der SharePoint-Webanwendung zum Berichtsserver über die angenommenen oder delegierten Anmeldeinformationen des aktuellen Windows-Benutzers hergestellt. Das folgende Diagramm zeigt die Verbindungen, wenn ein Berichtsserver für die SharePoint-Integration konfiguriert ist und die SharePoint-Webanwendung die Windows-Authentifizierung mit aktiviertem Kerberos verwendet.

• Verbindung 1
  Ein Benutzer greift über das Benutzertoken, das bei der Netzwerkanmeldung des Benutzers erstellt wird, auf eine SharePoint-Website zu. Das Token enthält die Benutzeridentität und die Gruppenmitgliedschaft. Die SharePoint-Webanwendung authentifiziert den Benutzer. Der Benutzer fordert ein Berichtsserverelement oder einen Vorgang an.

• Verbindung 2
  Die SharePoint-Webanwendung sendet das Token und die Anforderung an den Berichtsserver. Die Verbindungsanforderung wird unter der Windows-Identität des Benutzers gesendet. Der Berichtsserver überprüft, ob der Benutzer berechtigt ist, auf den Berichtsserver zuzugreifen.

• Verbindung 3
  Wenn die Überprüfung erfolgreich ist, überprüft der Berichtsserver, ob der Benutzer berechtigt ist, auf das Element oder den Vorgang zuzugreifen.

  Ein Berichtsserver verwendet eine interne Sicherheitserweiterung, um Benutzerberechtigungen zu überprüfen. Mithilfe der Erweiterung sendet der Berichtsserver einen Aufruf an das Windows SharePoint Services-Objektmodell, um die Berechtigungen zu überprüfen, die in der SharePoint-Inhaltsdatenbank gespeichert sind. Sie können diese Sicherheitserweiterung nicht konfigurieren oder verwalten. Es handelt sich um eine interne Komponente, die für Berichtsserver verwendet wird, die im integrierten SharePoint-Modus ausgeführt werden.

  Wenn der Benutzer berechtigt ist, auf den Bericht oder ein anderes Element oder einen anderen Vorgang zuzugreifen, wird die Anforderung beantwortet.

Durch die Verwendung der integrierten Sicherheit von Windows können Sie das klassische "Doppelhop"-Problem vermeiden, bei dem Anmeldeinformationen bereits nach einer einzigen Verbindung verfallen. Darüber hinaus kann die Menge der Optionen erweitert werden, die Ihnen bei der Konfiguration von Datenquellenverbindungen für Berichte und Modelle zur Verfügung stehen. Wenn die Windows-Benutzeridentität verwendet wird, um eine Verbindung mit dem Berichtsserver herzustellen, kann der Berichtsserver diese Identität während der Berichtsverarbeitung verwenden, um Daten von externen Datenquellen abzurufen. Das bedeutet, dass Sie beim Festlegen von Datenquelleneigenschaften für einen Bericht die Option Integrierte Sicherheit von Windows für die Datenquellenverbindung auswählen können. Weitere Informationen finden Sie in der SQL Server-Onlinedokumentation unter Angeben der Anmeldeinformationen und Verbindungsinformationen für Berichtsdatenquellen.

Wenn die Konfiguration der SharePoint-Webanwendung die Formularauthentifizierung vorsieht, wird die Verbindung mit dem Berichtsserver mithilfe eines vordefinierten vertrauenswürdigen Kontos, das berechtigt ist, die Identität eines SharePoint-Benutzers auf dem Berichtsserver anzunehmen, über das Netzwerk gesendet. Derselbe Ansatz wird verwendet, wenn die Konfiguration der SharePoint-Webanwendung die Windows-Authentifizierung vorsieht und Kerberos nicht aktiviert ist. Das folgende Diagramm zeigt die Verbindungen, wenn vertrauenswürdige Konten und SharePoint-Benutzeridentitäten verwendet werden.

• Verbindung 1
  Ein Benutzer meldet sich an einer SharePoint-Website an. Die SharePoint-Webanwendung authentifiziert den Benutzer. Die SharePoint-Webanwendung übersetzt die Benutzeridentität in eine SharePoint-Benutzeridentität (SPUser). Für diesen Benutzer wird ein neues Benutzertoken im Kontext von SPUser erstellt. Das Token enthält die Benutzeridentität und die Gruppenmitgliedschaft. Der Benutzer fordert ein Berichtsserverelement oder einen Vorgang an.

• Verbindung 2
  Die SharePoint-Webanwendung nimmt im Rahmen der Anforderung an den Berichtsserver die Identität des SharePoint-Benutzers an. Die Verbindungsanforderung wird gesendet, wobei ein vertrauenswürdiges Konto verwendet wird. Das Konto entspricht der Prozessidentität der SharePoint-Webanwendung.

  Der Berichtsserver überprüft, ob die Verbindungsanforderung von einem vertrauenswürdigen Konto stammt, indem sie mit den Kontoinformationen verglichen werden, die der Berichtsserver beim Start aus der SharePoint-Konfigurationsdatenbank abgerufen hat. Auf einem Berichtsserver entspricht das vertrauenswürdige Konto einem Windows-Benutzer mit der Berechtigung, die Identität der SharePoint-Webanwendung anzunehmen. Es wird nur verwendet, um die Identität von SPUser anzunehmen. Es erhält keinen Zugriff auf Berichtsserverelemente und -vorgänge.

• Verbindung 3
  Wenn die Überprüfung erfolgreich ist, überprüft der Berichtsserver, ob SPUser berechtigt ist, auf das Element oder den Vorgang zuzugreifen.

  Der Berichtsserver verwendet eine interne Sicherheitserweiterung, um die Benutzerberechtigungen zu überprüfen, einen Aufruf an das Windows SharePoint Services-Objektmodell zu senden und die Berechtigungen zu überprüfen, die in der SharePoint-Inhaltsdatenbank gespeichert sind. Wenn der Benutzer berechtigt ist, auf den Bericht oder ein anderes Element oder einen anderen Vorgang zuzugreifen, wird die Anforderung beantwortet.

Wenn Sie ein Abonnement für einen Bericht erstellen, speichert der Berichtsserver die Kontoinformationen für SPUser, sodass überprüft werden kann, ob der Benutzer berechtigt ist, den Bericht zum Zeitpunkt der Zustellung anzuzeigen. Wenn SPUser abgelaufen ist, führt dies zu einem Abonnementfehler, und es wird ein rsSharePointError-Fehler zurückgegeben. Durch eine Eigenschaft auf Farmebene, die TokenTimeout-Eigenschaft, wird bestimmt, wie lange SPUser gültig ist.

Eine Bereitstellung von SharePoint-Produkten oder -Technologien verwendet eine Vielzahl von Konten, um Dienste auszuführen und um auf Front-End- und Back-End-Server zuzugreifen. Wenn Sie ein Domänenkonto für die Bereitstellung angeben, stellen Sie sicher, dass Sie empfohlene bewährte Methoden berücksichtigen und Konten angeben, die ausschließlich von der SharePoint-Webanwendung verwendet werden. Konfigurieren Sie ein Dienstkonto nicht so, dass es unter dem Domänenbenutzerkonto einer tatsächlichen Person ausgeführt wird, die auf die SharePoint-Website zugreift. Wenn Sie unter Verwendung der Anmeldeinformationen des Dienstes auf eine SharePoint-Website zugreifen, können Fehler auftreten. Weitere Informationen zu Anforderungen und Empfehlungen an das Dienstkonto finden Sie im Thema Planen von Administrator- und Dienstkonten in der Windows SharePoint Services 3.0-Produktdokumentation.

Wenn Sie über eine Reporting Services-Bereitstellung für dezentrales Skalieren sowie ein SharePoint-Produkt verfügen und für Ihre Umgebung andere Authentifizierungsanbieter konfiguriert sind, können beim Authentifizieren von Benutzern Probleme auftreten. Wenn z. B. in der Berichterstellungsumgebung Formularauthentifizierungen für Internetverbindungen und Windows-Authentifizierungen für Intranetverbindungen verwendet werden, wird die Anfrage möglicherweise an einen Web-Front-End-Computer mit einem Authentifizierungsanbieter weitergeleitet, der nicht dem Authentifizierungstyp der Anforderung entspricht. Dadurch wird in Reporting Services möglicherweise der Zugriff für die Anforderung verweigert, oder die Anforderung wird statt unter dem entsprechenden Benutzer unter der Anwendungspoolidentität ausgeführt.

Es wird empfohlen, dass Benutzer verschiedene URLs verwenden, um Inhalte aus dem Internet oder Intranet abzurufen. Alternativ können Sie die Hostdatei auf den Web-Front-End-Computern so konfigurieren, dass die DNS-Suche (Domain Name System) durch Zuordnen der Internetprotokolladresse (IP) der internetseitigen Site zur Internet-URL überschrieben wird, damit Anforderungen an die Internet-URL nicht über DNS an die Intranet-URL weitergeleitet werden.

In Reporting Services benötigen sowohl der Webdienst als auch der Windows-Dienst Zugriff auf SharePoint-Datenbanken. Die Dienstkonten für beide Dienste werden als vertrauenswürdige Benutzer in einer SharePoint-Webanwendung ausgeführt und erhalten automatisch die Berechtigung zum Zugriff auf die SharePoint-Datenbanken.

Die Verbindung wird intern verwaltet. Sie wird konfiguriert, wenn Sie die SharePoint-Zentraladministration verwenden, um eine SharePoint-Webanwendung auf einen Berichtsserver zu verweisen und die vertrauenswürdigen Konten festzulegen. Anders als bei der Berichtsserververbindung mit der eigenen Datenbank, die Sie mit dem Reporting Services-Konfigurationstool festlegen oder ändern können, ist es nicht möglich, die Berichtsserververbindung mit den SharePoint-Datenbanken explizit zu konfigurieren oder zu verwalten.

Wenn ein Berichtsserver im integrierten SharePoint-Modus ausgeführt wird, führt dies zu Einschränkungen hinsichtlich der Konfiguration der Dienstkonten in Reporting Services. Halten Sie sich beim Konfigurieren von Dienstkonten an die folgenden Richtlinien:

• Wählen Sie Konten aus, die über Netzwerkanmeldeberechtigungen verfügen, falls die Berichtsserver-Dienstkonten eine Verbindung mit den SharePoint-Datenbanken auf einem Remotecomputer herstellen müssen.

• Vermeiden Sie die Verwendung integrierter Konten (beispielsweise Lokales System oder Netzwerkdienst), wenn sich der Berichtsserver und die SharePoint-Datenbanken auf demselben Computer und die SharePoint-Webanwendung auf einem Remotecomputer befinden. Wenn SharePoint-Datenbanken auf einem Remotecomputer ausgeführt werden, wird integrierten Konten, die auf diesem Remotecomputer definiert sind, der Datenbankzugriff explizit durch die SharePoint-Webanwendung verweigert. Das bedeutet, dass alle Dienste, die auf diesem Computer unter integrierten Konten ausgeführt werden, keine Verbindung mit SharePoint-Datenbanken herstellen können.

• Bei allen anderen Topologien, in denen die Server und Datenbanken auf demselben Computer oder verschiedenen Computern platziert werden, können die Reporting Services-Dienstkonten als Domänenkonten oder integrierte Konten konfiguriert werden.

Wenn der Berichtsserver nicht auf die SharePoint-Datenbanken zugreifen kann und ein Konfigurationsfehler vorliegt (wenn beispielsweise die Dienstkonten oder Kennwörter nicht gültig sind oder wenn keine lokale Instanz des Windows SharePoint-Objektmodells installiert ist), tritt ein rsServerConfigurationError-Fehler auf. Für alle anderen Verbindungsfehler wird der rsSharePointError-Fehler zusammen mit zusätzlichen Fehlerinformationen von der lokalen Windows SharePoint Services-Instanz zurückgegeben.