Configuración de la autenticación basada en formularios (Office SharePoint Server)

En este artículo:

• Acerca de la autenticación basada en formularios

• Configuración de la autenticación basada en formularios en varias zonas

• Configuración de la autenticación basada en formularios para aplicaciones web de Mis sitios

• Configuración del SSP para la autenticación basada en formularios

• Configuración de perfiles de usuario y búsqueda de personas

La autenticación de Microsoft Office SharePoint Server 2007 se realiza mediante un mecanismo de autenticación admitido por uno de los proveedores de autenticación disponibles. Los proveedores son módulos que contienen el código necesario para autenticar las credenciales de un solicitante. La autenticación de Office SharePoint Server 2007 se basa en el modelo de autenticación de ASP.NET y cuenta con tres proveedores de autenticación:

• Proveedor de autenticación de Windows

• Proveedor de autenticación basada en formularios

• Proveedor de autenticación de inicio de sesión único (SSO) web

Además, ASP.NET admite el uso de proveedores de autenticación conectables, es decir, se puede escribir un proveedor de autenticación para admitir cualquier almacén de credenciales que se desee usar.

Acerca de la autenticación basada en formularios

El proveedor de autenticación basada en formularios admite la autenticación con credenciales almacenadas en Active Directory, en una base de datos como SQL Server o en un almacén de datos del protocolo ligero de acceso a directorios (LDAP), como Novell eDirectory, Novell Directory Services (NDS) o Sun ONE. La autenticación basada en formularios permite la autenticación de usuario basada en la validación de entrada de credenciales desde un formulario de inicio de sesión. Las solicitudes sin autenticar se redirigen a una página de inicio de sesión, donde el usuario debe proporcionar credenciales válidas y enviar el formulario. Si la solicitud se puede autenticar, el sistema emite una cookie con una clave para el restablecimiento de la identidad para las solicitudes siguientes.

El proveedor de autenticación basada en formularios admite la autenticación con las credenciales almacenadas en:

• Servicio de directorio de Active Directory

• Una base de datos

• Un almacén de datos LDAP

Para habilitar la autenticación basada en formularios para un sitio web de Office SharePoint Server 2007 y agregar usuarios a la base de datos de cuentas de usuario, realice los procedimientos siguientes.

Creación de un nuevo sitio

1. En la página principal del sitio web de Administración central de SharePoint, haga clic en Administración de aplicaciones.

2. En la página Administración de aplicaciones, en la sección Administración de aplicaciones web de SharePoint, haga clic en Crear o extender una aplicación web.

3. En la página Crear o extender una aplicación web, haga clic en Crear una nueva aplicación web.

4. En la página Crear nueva aplicación web, en la sección Configuración de seguridad, asegúrese de que NTLM está seleccionado bajo Proveedor de autenticación. Además, seleccione Sí bajo Permitir anónimo.

5. Use las entradas predeterminadas para completar el procedimiento de creación de la nueva aplicación web y, a continuación, haga clic en Aceptar.

De esta forma ha creado un nuevo marcador de posición de sitio. Realice el siguiente procedimiento para crear una colección de sitios.

Creación de una colección de sitios

1. En la barra de vínculo superior, haga clic en Administración de aplicaciones.

2. En la página de Administración de aplicaciones, en la sección Administración de sitios de SharePoint, haga clic en Crear colección de sitios.

3. En la página Crear colección de sitios, en la sección Aplicación web, compruebe que está seleccionada la aplicación web en la que desea crear la colección de sitios.

   Si no lo está, haga clic en Cambiar aplicación web del menú Aplicación web. A continuación, en la página Seleccionar aplicación web, haga clic en la aplicación web en la que desea crear la colección de sitios.

4. En la sección Título y descripción, escriba el título y la descripción de la colección de sitios.

5. En la sección Dirección de sitio web, en Dirección URL, seleccione la ruta de acceso que se debe usar para la dirección URL.

   Nota

   Si selecciona una ruta de acceso de inclusión de caracteres comodín, también debe escribir el nombre del sitio que se debe usar en la dirección URL del sitio. Las rutas disponibles para la opción de dirección URL se toman de la lista de rutas de acceso administradas definidas como inclusiones de caracteres comodín.

6. En la sección Selección de plantilla, en la lista Seleccionar una plantilla, seleccione la plantilla que desea usar para el sitio de nivel superior de la colección de sitios.

7. En la sección Administrador de la colección de sitios primaria, escriba el nombre de usuario (con el formato dominio\nombreDeUsuario) del usuario que será el administrador de la colección de sitios.

8. Si desea identificar un usuario como el propietario secundario del nuevo sitio web de nivel superior (recomendado), en la sección Administrador de la colección de sitios secundaria, escriba el nombre de usuario del administrador secundario de la colección de sitios.

9. Si usa cuotas para limitar el uso de los recursos en la colección de sitios, en la sección Plantilla de cuota, haga clic en una plantilla en la lista Seleccione una plantilla de cuota.

10. Haga clic en Aceptar.

De esta forma ha creado una colección de sitios. Realice el siguiente procedimiento para configurar un proveedor de autenticación basada en formularios.

Configuración de un proveedor de autenticación basada en formularios

1. En la página principal del sitio web de Administración central de SharePoint, haga clic en Administración de aplicaciones.

2. En la página Administración de aplicaciones, en la sección Administración de aplicaciones web de SharePoint, haga clic en Lista de aplicaciones web.

3. En la página Lista de aplicaciones web, haga doble clic en la aplicación web que creó en el procedimiento anterior.

4. En la página Administración de aplicaciones, en la sección Seguridad de aplicaciones, haga clic en Proveedores de autenticación.

5. En la página Proveedores de autenticación, haga clic en el nombre de la zona del proveedor de autenticación cuyas opciones desee configurar.

6. En la página Editar autenticación, en la sección Tipo de autenticación, seleccione Formularios.

   Si debe conceder explícitamente el acceso anónimo a la colección de sitios, en la sección Acceso anónimo, active la casilla Habilitar el acceso anónimo para todos los sitios de la aplicación web. Para deshabilitar el acceso anónimo para todos los sitios de la aplicación web, desactive la casilla Habilitar el acceso anónimo.

   Nota

   Si habilita aquí el acceso anónimo, éste aún se puede denegar en el nivel de colección de sitios o el nivel de sitio. Sin embargo, si deshabilita aquí el acceso anónimo, éste se deshabilita en todos los niveles de la aplicación web.

7. En la sección Nombre del proveedor de pertenencia, en el cuadro Nombre del proveedor de pertenencia, escriba el nombre del proveedor de pertenencia que desee usar.

   Nota

   Si la aplicación web va a admitir la autenticación basada en formularios, el proveedor de pertenencia debe configurarse correctamente en el archivo web.config de la aplicación web de IIS que hospeda el contenido de SharePoint en cada uno de los servidores web. El proveedor de pertenencia también debe agregarse al archivo Web.config de la aplicación web de IIS que hospeda Administración central.

8. En la sección Integración de clientes, en ¿Desea habilitar la integración de clientes?, asegúrese de que está activado No y, a continuación, haga clic en Guardar.

   • Si selecciona Sí, se habilitarán las características que inician aplicaciones cliente según los tipos de documento. Puede que esta opción no funcione correctamente con algunos tipos de autenticación basada en formularios.

   • Si selecciona No, se deshabilitarán las características que inician aplicaciones cliente según los tipos de documentos. Los usuarios deberán descargar los documentos y, a continuación, cargarlos una vez realizados los cambios.

     Si Microsoft Office SharePoint Server 2007 con Service Pack 2 (SP2) no está instalado, la integración de clientes está deshabilitada de forma predeterminada al usar la autenticación basada en formularios. Esto se debe a que la integración de clientes no es compatible de forma nativa la autenticación basada en formularios en las versiones anteriores a Office SharePoint Server 2007 con SP2. Cuando está deshabilitada, los vínculos a las aplicaciones cliente no están visibles y no se pueden abrir documentos en dichas aplicaciones. Los documentos sólo se pueden abrir en un explorador web. Sin embargo, los usuarios pueden descargar documentos, editarlos en aplicaciones cliente a nivel local y, a continuación, cargarlos en el sitio.

     Si ha instalado Office SharePoint Server 2007 con SP2, se admite la integración del cliente, salvo la de Outlook. Asimismo, se admite el resto de integraciones de clientes, incluida la herramienta de creación de SharePoint Designer.

Una vez que un usuario haya proporcionado las credenciales, el sistema emitirá una cookie que identifica al usuario. En las solicitudes siguientes, el sistema comprobará primero la cookie para ver si ya se ha autenticado el usuario, para que no tenga que volver a proporcionar las credenciales.

Si el usuario no tiene activada la casilla Recordar cuenta en la página de inicio de sesión, la información de credenciales no se almacenará en caché en el equipo cliente y sólo será válida durante la sesión actual. Esto es especialmente importante en un escenario donde los usuarios se conectan desde equipos públicos o quioscos, en los que no deseará que las credenciales de usuario se almacenen en caché. Los usuarios tienen que volver a autenticarse si cierran el explorador, cierran la sesión o navegan a otro sitio web. Además, puede configurar un valor de tiempo de espera máximo de sesión inactiva para forzar la reautenticación si un usuario está inactivo durante un período prolongado de tiempo durante una sesión.

Configuración de la autenticación basada en formularios en varias zonas

La implementación de la autenticación basada en formularios puede interferir con la funcionalidad de búsqueda de empresa. Para habilitar la búsqueda en contenido autenticado mediante un mecanismo de autenticación personalizado, debe tener la zona predeterminada configurada de manera que admita la autenticación NTLM. El rastreador de búsqueda de Office SharePoint Server 2007 sondea las zonas en el orden siguiente:

• Zona predeterminada

• Zona Intranet

• Zona Internet

• Zona personalizada

• Zona Extranet

Office SharePoint Server 2007 no permite que una aplicación web funcione con el mismo nombre de proveedor en varias zonas. Puede configurar el archivo Web.config para usar el mismo proveedor en cada zona, pero el nombre del proveedor tiene que ser único en cada una de ellas.

Para obtener información adicional sobre los mecanismos de autenticación y ejemplos para la configuración de autenticación basada en formularios con varios proveedores, vea Planeación de la autenticación (Office SharePoint Server).

Configuración de la autenticación basada en formularios para aplicaciones web de Mis sitios

Para planear una implementación de autenticación basada en formularios en Office SharePoint Server 2007, debe determinar cómo configurar la autenticación basada en formularios para que interactúe con las aplicaciones web de Mis sitios. Para asegurarse de que los usuarios que usan la autenticación basada en formularios pueden realizar búsquedas de personas y crear aplicaciones web de Mis sitios en una granja de servidores de Office SharePoint Server 2007, realice el procedimiento siguiente:

1. Cree una aplicación web con la autenticación NTLM configurada para la zona predeterminada. Para obtener información acerca de cómo crear una aplicación web, vea Creación o extensión de aplicaciones web.

2. Cree un SSP. Para obtener información acerca de cómo crear un SSP, vea Introducción al capítulo: creación y configuración de proveedores de servicios compartidos.

   En este momento, todas las aplicaciones web se extienden a la zona predeterminada y el mecanismo de autenticación se configura como NTLM.

3. Para asegurarse de que el rastreador puede tener acceso al contenido, configure la aplicación web de contenido extendida para la autenticación basada en formularios; para ello, seleccione la aplicación en la lista de aplicaciones web de Administración central, tal como se muestra en la siguiente ilustración:

   

4. Siga el vínculo para crear o extender una aplicación web, y elija la opción para extender una aplicación web. Escriba los detalles, como un número de puerto en el que se hospedará la nueva aplicación web en IIS, y elija la zona que en que residirá esta aplicación web extendida.

   En la siguiente ilustración se muestra la aplicación web original, que siempre se crea en la zona predeterminada, y la aplicación web extendida creada en la zona personalizada.

   

   Cada una de las zonas identifica la separación lógica de las restricciones de acceso al mismo contenido.

   Nota

   No se puede aumentar el número de zonas.

5. Configure el nombre del proveedor de pertenencia de la aplicación web extendida para la autenticación basada en formularios, como se muestra en la siguiente ilustración.

   

   Tras extender la aplicación web de contenido a otra zona, puede configurar proveedores de autenticación y habilitar distintos mecanismos de autenticación con distintas direcciones URL. En este momento, agregue una sección para el proveedor en el archivo Web.config de la aplicación web extendida.

   Nota

   La inclusión de una sección para el proveedor en el archivo Web.config de la zona predeterminada no afectará a la forma en que Office SharePoint Server 2007 percibe al proveedor para la nueva zona. En la práctica, las dos zonas están aisladas entre sí en lo que se refiere a los sitios web de IIS, aunque sigan compartiendo el mismo grupo de aplicaciones.

6. Para modificar el proveedor de autenticación, siga el vínculo a la página de proveedores de autenticación. En esta página se muestran todas las zonas a las que se ha extendido la aplicación web. Seleccione la zona adecuada y configure el proveedor de autenticación. En el ejemplo anterior, el proveedor de autenticación está configurado como PeopleDCLDAPMemberShipProvider para la zona personalizada.

7. Agregue el primer usuario administrativo que tendrá acceso administrativo en todas las colecciones de sitios de la aplicación web. En este ejemplo, el contenido es el mismo y las colecciones de sitios son idénticas en todas las zonas extendidas (predeterminada y personalizada), aunque las direcciones URL son diferentes. Cuando se crea la aplicación web, la identidad del grupo de aplicaciones recibe permisos de lectura completa en la aplicación web para todas las zonas. Para la zona predeterminada, el acceso lo controla el administrador de la colección de sitios principal, que se especificó durante la creación de la colección de sitios en la raíz de la aplicación web. Para la zona extendida, tendrá que agregar un usuario concreto con control total en la aplicación web para habilitar el primer inicio de sesión a las colecciones de sitios y para realizar tareas administrativas. Para agregar un usuario, haga clic en Agregar usuarios en la directiva de página de la aplicación web y seleccione una zona. Ejecute el selector de personas y resuelva el nombre del usuario.

   Nota

   El usuario se agregará como *proveedor*:*nombreDeUsuario* porque el selector de personas resolverá el usuario mediante el proveedor configurado en el archivo Web.config de la aplicación web extendida. Office SharePoint Server 2007 omite el proveedor personalizado si se selecciona Todas las zonas en la lista desplegable Zona. Por ello, es muy importante asegurarse de que está seleccionada la zona adecuada.

8. Una vez que se ha agregado el usuario, compruebe que la autenticación basada en formularios está funcionando y vaya a la dirección URL de la zona extendida. En este ejemplo, la aplicación web de contenido se encuentra en la zona predeterminada en el puerto 2000 y se extiende a la zona personalizada en el puerto 2001. Vaya al puerto extendido.

9. En este momento, se muestra la pantalla de inicio de sesión de la autenticación basada en formularios. Escriba las credenciales del usuario que agregó y haga clic en Enviar. A continuación, se le redirige a la página Default.aspx del sitio.

La página Default.aspx es muy similar a una página Default.aspx estándar de un sitio de zona predeterminada. Sin embargo, en este ejemplo, no se muestra el vínculo de creación de Mi sitio. Mis sitios y la personalización son servicios proporcionados por el proveedor de servicios compartidos (SSP). Hay un SSP existente que proporciona los servicios a esta aplicación web. En este punto del procedimiento, el SSP no reconoce al nuevo usuario, cuyas credenciales se han usado para iniciar la sesión. Los vínculos no se muestran porque se realiza un recorte de seguridad en ellos y, en este ejemplo, el SSP no reconoce al usuario actual. Para corregir esta situación, habilite el SSP para la autenticación basada en formularios, como se describe en el siguiente procedimiento.

Configuración del SSP para la autenticación basada en formularios

Para configurar el proveedor de servicios compartidos (SSP) para la autenticación basada en formularios, extienda la aplicación web de administración de SSP para que se asigne a la misma zona que la aplicación web de contenido. En la página Administrar los servicios compartidos de esta granja de servidores, el host del sitio de administración para el SSP se muestra en la lista en el puerto 80, y el SSP sólo admite la autenticación NTLM. Para que el SSP reconozca al proveedor personalizado, configure el SSP para la autenticación basada en formularios.

1. Extienda la aplicación web del puerto 80 (el host del sitio de administración) a la misma zona en la que se extendió la aplicación web de contenido y, a continuación, configure la aplicación web extendida para la autenticación basada en formularios.

   Nota

   Normalmente, los usuarios no perciben esta nueva aplicación web, que sólo comunica la autenticación basada en formularios al SSP.

2. Vaya al nuevo sitio de administración de SSP. Una vez que la autenticación basada en formularios esté habilitada en la aplicación web de administración, puede dirigir el explorador a una dirección URL como http:// <servidor>:<puerto extendido>/SSP/admin/default.aspx, similar a la dirección URL del sitio de administración de SSP (con un número de puerto distinto). Sin embargo, se le pedirán las credenciales en la página de inicio de sesión de la autenticación basada en formularios.

   Después de escribir las credenciales del usuario que agregó durante el procedimiento Agregar usuarios en la página Directiva de aplicación web, se le redirige a la página de administración.

   Nota

   Si intenta ir a los Permisos de servicios de personalización en la sección Perfiles de usuario y Mis sitios de la página Administración de servicios compartidos, se denegará el acceso. La razón es que el usuario que ha iniciado sesión no tiene permisos para modificar los permisos de servicios de personalización aunque el usuario con autenticación basada en formularios tenga permisos para examinar el sitio. Para cambiar este comportamiento, el usuario debe tener permisos proporcionados de forma explícita en otra cuenta y la propia cuenta debe tener permisos para modificar los permisos de servicios de personalización. En este ejemplo, esa configuración sería difícil de obtener porque actualmente está realizando la exploración con la cuenta que se ha agregado con control total a través del SSP. Los usuarios de una zona autenticada de Windows son los únicos que tienen permisos para modificar los permisos de servicios de personalización. Para permitir que los usuarios con autenticación basada en formularios modifiquen los permisos de servicios de personalización, debe haber iniciado sesión como usuario de una zona autenticada de Windows.

3. Para agregar permisos para vínculos de personalización, inicie sesión en el sitio de administración de SSP mediante la zona predeterminada.

   Nota

   Asegúrese de que en el control de bienvenida muestra la identidad del usuario de Windows.

4. Vaya a la página Permisos de servicios de personalización y abra el selector de personas.

5. Intente resolver aquí al usuario con autenticación basada en formularios. El selector de personas no lo resolverá porque esta zona no tiene en cuenta que hay otro proveedor en el que se pueden realizar consultas para buscar a estos usuarios.

6. Para hacer que esta zona tenga en cuenta al proveedor, modifique el archivo Web.config para esta zona y agregue la misma sección del proveedor que ha agregado para habilitar la autenticación basada en formularios.

   Importante

   En el archivo Web.config, no establezca el atributo defaultProvider. Si lo establece, el selector de personas y el optimizador de seguridad usarán siempre este proveedor para resolver y autenticar usuarios.

7. Vaya a la página Permisos de servicios de personalización y abra el selector de personas, que ahora resuelve al usuario con autenticación basada en formularios y muestra todos los usuarios que cumplen los mismos criterios.

8. Seleccione un usuario y elija los permisos que desea asignarle:

   • Crear un sitio personal: este permiso es necesario para hacer que el vínculo de Mi sitio esté visible; permite a los usuarios crear Mi sitio.

   • Utilizar características personales: este permiso permite a los usuarios tener acceso a las características del SSP y Mi sitio.

   • Administrar perfiles de usuario: este permiso permite a los usuarios ver y administrar perfiles de usuario desde el almacén de perfiles.

   • Administrar audiencias: este permiso permite a los usuarios administrar audiencias.

   • Administrar permisos: este permiso habilita la administración de permisos en un SSP.

   • Administrar el análisis de uso: este permiso permite a los usuarios administrar y configurar el análisis de uso.

9. Haga clic en Guardar.

Ahora ya puede volver a iniciar sesión en el sitio de SSP de la zona personalizada como usuario con autenticación basada en formularios y agregar otros usuarios. Además, puede configurar conjuntos de permisos para dichos usuarios adicionales. Una vez que el usuario tiene habilitados los permisos para crear el sitio personal, se mostrará el vínculo Mi sitio. Puede examinar el portal de la zona personalizada a través del usuario con autenticación basada en formularios y observar que el conjunto de controles de bienvenida muestra el vínculo Mi sitio. Sin embargo, al hacer clic en el vínculo, no creará Mi sitio. La razón es que el SSP todavía hace referencia únicamente a la zona predeterminada para el host de Mi sitio, aunque el SSP esté extendido en la zona personalizada. La aplicación web aún no tiene en cuenta a los usuarios con autenticación de formularios. Puede solucionarlo si extiende la aplicación web Mi sitio y la configura para la autenticación basada en formularios.

Puesto que el host de Mi sitio se puede establecer manualmente desde el SSP, no importa si está extendido en una zona distinta de la aplicación web de administración del SSP. Si va a implementar un escenario en que estas dos zonas tienen que ser diferentes, puede desplazarse al SSP mediante la autenticación basada en formularios y establecer manualmente el host de Mi sitio. Vaya al sitio web de administración del SSP mediante la autenticación basada en formularios y, a continuación, vaya hasta la página Configuración de Mi sitio.

Ya puede modificar el proveedor de sitios personales para que señale a la aplicación web Mi sitio que se acaba de extender. Si extiende la aplicación web Mi sitio a la misma zona que la aplicación web de administración del SSP, Office SharePoint Server 2007 volverá a alinear automáticamente Mis sitios y esta configuración manual no será necesaria.

Además, puede ir al sitio de contenido, iniciar sesión mediante la autenticación basada en formularios y crear Mi sitio para el usuario con autenticación basada en formularios.

Configuración de perfiles de usuario y búsqueda de personas

Para planear una implementación de la autenticación basada en formularios en toda la implementación de Office SharePoint Server 2007, tiene que determinar cómo configurar la autenticación basada en formularios para que interactúe con los perfiles de usuarios y la búsqueda de personas. Office SharePoint Server 2007 importa los perfiles de usuario mediante el proveedor de autenticación activo. Para que la búsqueda personas funcione con la autenticación basada en formularios, los perfiles de usuario se tienen que importar con el proveedor de autenticación basada en formularios. Si se importa el mismo conjunto de los usuarios con la autenticación de Windows a través de la zona predeterminada y con la autenticación basada en formularios a través de la zona personalizada, la importación de perfiles importará el mismo conjunto de los usuarios a la vez, pero los identificará de formas distintas. Por ejemplo, el usuario "dominio\usuario1" no recibe el mismo tratamiento que el usuario "proveedor:usuario1". Esto ocurre aunque todas las propiedades sean idénticas, incluido el origen desde el que se importaron. Es el proveedor el que diferencia a los dos usuarios y los trata como dos usuarios distintos.

Suponiendo que haya configurado la aplicación web de administración de SSP para que funcione con la autenticación basada en formularios, realice los siguientes procedimientos para habilitar la búsqueda de personas. Asegúrese de que la aplicación web de administración del SSP está extendida y correctamente configurada para usar la autenticación basada en formularios. Además, tenga en cuenta que al usuario administrativo se le debe asignar de forma explícita permiso para administrar perfiles de usuario desde la página de permisos del servicio de personalización.

1. Para configurar una importación de perfiles de usuario, vaya al sitio de administración del SSP para la zona personalizada. Como ya está configurada con la autenticación basada en formularios, puede iniciar sesión con las credenciales del usuario administrativo.

2. Haga clic en Perfiles de usuarios y propiedades, y configure una nueva conexión de importación.

   Las opciones disponibles son Active Directory, Directorio LDAP, Recurso de Active Directory y Catálogo de datos profesionales. En este ejemplo, como el origen es un almacén de usuarios de un dominio, se selecciona un directorio LDAP como tipo de conexión.

3. Escriba el nombre de la conexión y el nombre del servidor LDAP, tal y como se definen en la sección del proveedor.

4. Escriba el nombre del proveedor, como se muestra en el archivo Web.config, y el atributo de nombre de usuario de la sección del proveedor. El resto de la información deberá rellenarse automáticamente.

5. Inicie la importación mediante la conexión de importación recién agregada.

6. Haga clic en Ver perfiles de usuario para comprobar que los perfiles se han importado, como se muestra en la siguiente ilustración:

   

   Una vez realizada la importación, el almacén de perfiles de usuario de Office SharePoint Server 2007 se actualiza con los nuevos perfiles. Para habilitar la búsqueda de personas, realice el siguiente procedimiento.

7. Inicie un rastreo del origen de contenido de personas. Cuando el rastreo haya terminado, podrá realizar una búsqueda de personas en el sitio con autenticación basada en formularios.

Descargar este libro

En este tema se incluye el siguiente libro descargable para facilitar la lectura y la impresión:

• Implementación para Office SharePoint Server 2007 (en inglés)

Vea la lista completa de libros disponibles en la biblioteca técnica de Office SharePoint Server.