Vue d’ensemble de la sécurité de Business Connectivity Services (SharePoint Server 2010)

S’applique à : SharePoint Server 2010

Dernière rubrique modifiée : 2016-11-30

Cet article décrit l’architecture de sécurité du serveur et du client Services Microsoft Business Connectivity, les environnements de sécurité pris en charge, les modes d’authentification disponibles pour connecter des types de contenu externe à des systèmes externes, les options d’autorisation disponibles sur les objets stockés et les techniques générales pour configurer la sécurité des Services Microsoft Business Connectivity.

Dans cet article :

• À propos de cet article

• Architecture de sécurité de Business Connectivity Services

• Vue d’ensemble de l’authentification de Business Connectivity Services

• Vue d’ensemble des autorisations du service Business Connectivity

• Sécurisation de Business Connectivity Services

À propos de cet article

Les Services Microsoft Business Connectivity incluent des fonctionnalités de sécurité permettant l’authentification des utilisateurs pour accéder aux systèmes externes et la configuration des autorisations sur les données des systèmes externes. Les Services Microsoft Business Connectivity sont hautement flexibles et peuvent gérer une large panoplie de méthodes de sécurité à partir des applications Microsoft Office 2010 prises en charge et du navigateur Web.

Architecture de sécurité de Business Connectivity Services

Cette section décrit l’architecture de la sécurité Services Microsoft Business Connectivity pour l’authentification à partir d’un navigateur Web ou à partir d’une application cliente Office 2010 prise en charge, comme Microsoft Outlook 2010.

Security Note

Il est recommandé d’utiliser SSL (Secure Sockets Layer) sur tous les canaux entre les ordinateurs clients et les serveurs frontaux. Il est également recommandé d’utiliser SSL ou IPSec (Internet Protocol Security) entre les serveurs exécutant Microsoft SharePoint Server 2010 et des systèmes externes. Notez cependant que vous ne pouvez pas utiliser SSL lors de la transmission de messages aux systèmes externes à l’aide du protocole SOAP 1.1 ou de la connexion à une base de données SQL Server. Toutefois, dans ces cas, vous pouvez utiliser IPSec pour protéger l’échange de données.

Accès à des données externes à partir d’un navigateur Web

Lorsqu’un utilisateur accède aux données externes à partir d’un navigateur Web, trois systèmes sont impliqués : l’ordinateur client de l’utilisateur connecté, la batterie de serveurs Web et le système externe.

1. À partir des navigateurs Web, les utilisateurs interagissent généralement avec les données externes dans des listes externes ou en utilisant des composants WebPart.

2. Le BDC Server Runtime sur les serveurs frontaux utilise les données du Service Business Data Connectivity pour se connecter aux systèmes externes et y exécuter des opérations.

3. Le service Banque d’informations sécurisé stocke en toute fiabilité les jeux d’informations d’identification pour les systèmes externes et associe ces jeux à des identités d’individus ou de groupes.

4. Le service d’émission de jeton de sécurité est un service Web qui répond aux demandes d’authentification en émettant des jetons de sécurité composés de revendications d’identité basées sur les informations de comptes utilisateur stockées.

5. Les Services Microsoft Business Connectivity peuvent transmettre les informations d’identification aux bases de données et services Web qui sont configurés pour utiliser l’authentification basée sur les revendications. Pour une vue d’ensemble du service Banque d’informations sécurisé, voir Planifier le service banque d’informations sécurisé (SharePoint Server 2010). Pour une vue d’ensemble de l’authentification reposant sur les revendications, voir Planifier des méthodes d’authentification (SharePoint Server 2010).

Accès aux données externes à partir d’une application cliente Office

Pour accéder aux données externes à partir d’une application cliente Office prise en charge, deux systèmes sont impliqués : l’ordinateur client de l’utilisateur connecté et le système externe. Ce modèle est pris en charge lorsqu’un utilisateur interagit avec les données externes en utilisant Outlook 2010, Microsoft SharePoint Workspace ou Microsoft Word 2010.

1. Les utilisateurs Outlook 2010 utilisent souvent des données externes dans les éléments Outlook tels que Contacts ou Tâches. Les utilisateurs SharePoint Workspace 2010 peuvent mettre des listes externes hors connexion et interagir avec celles-ci. Les utilisateurs Word 2010 peuvent insérer des données externes dans des documents Word.

2. Office Integration Client Runtime agit en tant que connecteur entre Services Microsoft Business Connectivity s’exécutant sur le client et les applications Office prises en charge.

3. Si les données externes sont configurées pour utiliser l’authentification basée sur les revendications, le client interagit avec le service d’émission de jeton de sécurité sur la batterie de serveurs SharePoint pour obtenir les jetons de revendications. (Pour plus d’informations, voir Configurer l’authentification par revendications (SharePoint Server 2010).)

4. BDC Client Runtime sur les ordinateurs clients utilise les données du Service Business Data Connectivity pour se connecter à des systèmes externes et y exécuter des opérations pour un accès client enrichi.

5. Le cache client met en cache les informations du Service Business Data Connectivity et du service Banque d’informations sécurisé qui sont nécessaires pour sécuriser la connexion aux données externes. Le cache est actualisé à partir de la batterie de serveurs SharePoint pour incorporer les informations mises à jour.

6. Le service Banque d’informations sécurisé client permet aux utilisateurs finaux de configurer leurs informations d’identification de sécurité.

7. Les Services Microsoft Business Connectivity peuvent transmettre les informations d’identification aux bases de données et aux services prenant en charge les revendications.

Vue d’ensemble de l’authentification de Business Connectivity Services

Les Services Microsoft Business Connectivity peuvent être configurés pour transmettre les demandes d’authentification aux systèmes externes en utilisant les types de méthodes suivants :

• Informations d’identification Il s’agit généralement du couple nom/mot de passe. Certains systèmes externes peuvent nécessiter des informations d’identification supplémentaires, par exemple une valeur PIN (Personal Identification Number).

• Revendications Les tickets SAML (Security Assertion Markup Language) peuvent être transmis aux services prenant en charge les revendications qui fournissent les données externes.

Configuration de Business Connectivity Services pour l’authentification des informations d’identification

Les Services Microsoft Business Connectivity peuvent utiliser des informations d’identification qu’un utilisateur fournit pour authentifier des demandes de données externes. Les méthodes suivantes de fourniture par les utilisateurs des informations d’identification pour l’accès aux données externes sont prises en charge :

• Authentification Windows :

  • Stimulation/Réponse de Windows (NTLM)

  • Microsoft Negotiate

• Authentification autre que Windows

  • Basée sur des formulaires

  • Digest

  • De base

Lors de la configuration des Services Microsoft Business Connectivity pour la transmission d’informations d’identification, le concepteur de la solution ajoute des informations sur le mode d’authentification aux types de contenu externe. Le mode d’authentification transmet aux Services Microsoft Business Connectivity des informations sur la façon de traiter une demande d’authentification entrante émanant d’un utilisateur et de mapper cette demande à un jeu d’informations d’identification pouvant être transmises à un système de contenu externe. Par exemple, un mode d’authentification peut spécifier la transmission des informations d’identification directement au système de données externe. Sinon, il peut spécifier que les informations d’identification de l’utilisateur soient mappées à un compte qui est stocké dans un service Banque d’informations sécurisé qui doit alors être transmis au système externe.

Vous associez un mode d’authentification à un type de contenu externe des façons suivantes :

• Lorsque vous créez un type de contenu externe dans Microsoft SharePoint Designer ou Microsoft Visual Studio 2010.

• Si le système externe est un service Web, vous pouvez utiliser les pages d’administration des Services Microsoft Business Connectivity pour spécifier le mode d’authentification.

• Vous pouvez spécifier le mode d’authentification en éditant directement le fichier .XML qui définit le type de contenu externe.

Le tableau suivant décrit les modes d’authentification des Services Microsoft Business Connectivity :

L’illustration suivante représente les modes d’authentification des Services Microsoft Business Connectivity lors de l’utilisation des informations d’identification.

• En mode PassThrough (Identité de l’utilisateur) (A), les informations d’identification de l’utilisateur connecté sont transmises directement au système externe.

• En mode RevertToSelf (Identité BDC) (B), les informations d’identification de connexion de l’utilisateur sont remplacées par les informations d’identification du compte de processus sous lequel s’exécutent les Services Microsoft Business Connectivity, et ces informations d’identification sont transmises au système externe.

• Trois modes utilisent le service Banque d’informations sécurisé : WindowsCredentials (Imiter l’identité Windows), RdbCredentials (Imiter l’identité personnalisée) et Credentials. Dans ces modes, les informations d’identification de l’utilisateur sont mappées à un jeu d’informations d’identification pour le système externe et les Services Microsoft Business Connectivity transmettent ces informations d’identification au système externe. Les administrateurs de solutions peuvent soit mapper les informations d’identification de chaque utilisateur à un compte unique, soit mapper un jeu d’utilisateurs authentifiés à un compte de groupe unique.

Configuration de Business Connectivity Services pour l’authentification basée sur les revendications

Les Services Microsoft Business Connectivity peuvent fournir l’accès aux données externes sur la base de jetons de sécurité entrants et transmettre les jetons de sécurité à des systèmes externes. Un jeton de sécurité est constitué d’un jeu de revendications d’identité concernant un utilisateur, et l’utilisation de jetons de sécurité pour l’authentification est appelée « authentification basée sur les revendications ». SharePoint Server inclut un service d’émission de jeton de sécurité qui émet des jetons de sécurité.

L’illustration suivante montre comment le service d’émission de jeton de sécurité et le service Banque d’informations sécurisé collaborent dans l’authentification basée sur les revendications :

1. Un utilisateur tente une opération sur une liste externe qui est configurée pour l’authentification basée sur les revendications.

2. L’application cliente demande un jeton de sécurité au service d’émission de jeton de sécurité.

3. Selon l’identité de l’utilisateur demandeur, le service d’émission de jeton de sécurité émet un jeton qui contient un jeu de revendications et un identificateur d’application cible. Le service d’émission de jeton de sécurité retourne le jeton à l’application cliente.

4. Le client transmet le jeton de sécurité au service Banque d’informations sécurisé.

5. Le service Banque d’informations sécurisé évalue le jeton de sécurité et utilise l’identificateur de l’application cible pour retourner un jeu d’informations d’identification qui s’appliquent au système externe.

6. Le client reçoit les informations d’identification et les transmet au système externe de façon qu’une opération (telle que l’extraction ou la mise à jour de données externes) puisse avoir lieu.

Vue d’ensemble des autorisations du service Business Connectivity

Dans les Services Microsoft Business Connectivity, les autorisations associent un compte individuel, un compte de groupe ou une revendication à un ou plusieurs niveaux d’autorisation sur un objet dans un magasin de métadonnées. En définissant correctement les autorisations sur des objets dans les Services Microsoft Business Connectivity, les solutions sont mieux à même d’incorporer sans risque les données externes. Lors de la planification d’une stratégie d’autorisations, nous vous recommandons d’accorder des autorisations spécifiques à chaque utilisateur ou groupe qui en a besoin, de façon que les informations d’identification fournissent le minimum de privilèges nécessaires pour réaliser les tâches.

Sur quoi peut-on définir des autorisations ?

Chaque instance du Service Business Data Connectivity (ou, dans le cas de l’hébergement, chaque partition) contient un magasin de métadonnées qui inclut tous les modèles, les systèmes externes, les types de contenu externe, les méthodes et les instances de méthodes qui ont été définis pour les besoins de ce magasin. Ces objets existent dans une hiérarchie comme le montre l’illustration suivante :

La hiérarchie des objets dans un magasin de métadonnées détermine les objets qui peuvent propager leurs autorisations à d’autres objets. Dans l’illustration, chaque objet sur lequel des autorisations peuvent être définies, et le cas échéant propagées, est représenté par une ligne continue ; chaque objet qui prend ses autorisations de son objet parent est représenté par une ligne discontinue. Par exemple, l’illustration montre qu’il est possible de sécuriser un système externe (LobSystem) en lui affectant des autorisations, mais une action ne peut pas recevoir d’autorisations directement. Les objets auxquels il n’est pas possible d’affecter des autorisations prennent leurs autorisations de leur objet parent. Par exemple, une action prend les autorisations de son type de contenu externe (entité) parent.

Security Note

Quand les autorisations s’appliquant à un objet dans un magasin de métadonnées sont propagées, les paramètres des autorisations pour tous les enfants de cet élément sont remplacés par les autorisations de l’objet propagateur. Par exemple, si des autorisations sont propagées à partir d’un type de contenu externe, toutes les méthodes et les instances de méthodes de ce type de contenu externe reçoivent les nouvelles autorisations.

Il est possible de définir quatre niveaux d’autorisation sur le magasin de métadonnées et les objets qu’il contient :

• Modifier

  Security Note

  L’autorisation Modifier doit être considérée comme dotée de privilèges élevés. À l’aide de l’autorisation Modifier, un utilisateur malveillant peut dérober des informations d’identification ou endommager une batterie de serveurs. Dans un système de production, il est recommandé de n’accorder l’autorisation Modifier qu’aux utilisateurs qui, à vos yeux, présentent les qualités requises pour disposer d’autorisations de niveau administrateur.

• Exécuter

• Sélectionnable dans les clients

• Définir les autorisations

Le tableau suivant définit la signification de ces autorisations sur les divers objets pour lesquels elles peuvent être définies.

Autorisations spéciales sur le service Business Data Connectivity

Outre les fonctionnalités générales de définition d’autorisations décrites plus haut, il existe un jeu d’autorisations spéciales pour le Service Business Data Connectivity :

• Les administrateurs de batterie ont toutes les autorisations sur le Service Business Data Connectivity. Ceci est nécessaire par exemple pour gérer ou réparer une instance du service. Cependant, sachez que l’administrateur de batterie ne possède d’autorisation d’exécution sur aucun objet du magasin de métadonnées et que ce droit doit être accordé explicitement par un administrateur d’une instance du Service Business Data Connectivity, si cela est nécessaire.

• Les utilisateurs de Windows PowerShell sont des administrateurs de batterie et peuvent exécuter des commandes sur le Service Business Data Connectivity.

• Les comptes de pool d’applications sur les serveurs frontaux ont les mêmes autorisations sur le Service Business Data Connectivity que les administrateurs de batterie. Cette autorisation est nécessaire pour générer des packages de déploiement basés sur les Services Microsoft Business Connectivity.

• Les utilisateurs SharePoint Designer doivent, dans la plupart des cas, recevoir les autorisations suivantes sur l’ensemble du magasin de métadonnées : Modifier, Exécuter et Sélectionnable dans les clients. Les utilisateurs SharePoint Designer ne doivent pas recevoir les autorisations Définir les autorisations. Au besoin, vous pouvez limiter les autorisations de l’utilisateur SharePoint Designer à un sous-ensemble du magasin de métadonnées.

  Avertissement

  Pour mieux sécuriser une solution, SharePoint Designer doit être utilisé pour créer des types de contenu externe dans un environnement de test dans lequel les autorisations de modification peuvent être accordées librement. Lors du déploiement de la solution testée dans un environnement de production, retirez les autorisations de modification afin de protéger l’intégrité des données externes.

Tâches courantes et leurs autorisations correspondantes

Cette section décrit les tâches courantes dans le Service Business Data Connectivity et les autorisations nécessaires pour les exécuter.

Sécurisation de Business Connectivity Services

Cette section présente des mesures supplémentaires qui permettent de sécuriser Business Connectivity Services.

Compte de service

Pour des impératifs d’isolement liés à la sécurité, l’application de Service Business Data Connectivity et le serveur frontal ne doivent pas utiliser le même compte de service.

Communications de serveur à serveur

La sécurisation des communications entre l’application de Service Business Data Connectivity et les systèmes externes préserve l’intégrité des données sensibles. Vous devez utiliser un canal de communication chiffré pour protéger les données envoyées entre les serveurs exécutant SharePoint Server 2010 et les systèmes externes. La sécurité du protocole Internet (IPsec) est une méthode qui permet de protéger les communications. Le choix de la méthode à utiliser dépend des canaux de communication que vous sécurisez et des avantages et compromis les plus appropriés pour votre organisation.

Applications utilisant FileBackedMetadataCatalog

Pour des raisons de sécurité, le mode d’authentification RevertToSelf est désactivé sur SharePoint Server 2010 par défaut. Toutefois, cela n’empêche pas les applications qui utilisent la classe FileBackedMetadataCatalog d’importer des modèles et d’exécuter des appels qui utilisent l’authentification RevertToSelf. Cela peut aboutir à l’élévation des privilèges des utilisateurs par le biais de l’octroi de privilèges au compte du pool d’applications. Avant d’installer des applications sur un système de production, vous devez vous assurer qu’aucune d’entre elles n’utilise la classe FileBackedMetadataCatalog et l’authentification RevertToSelf.