Business Connectivity Services 보안 개요(SharePoint Foundation 2010)

적용 대상: SharePoint Foundation 2010

마지막으로 수정된 항목: 2016-11-30

이 문서에서는 Microsoft Business Connectivity Services 서버 및 클라이언트의 보안 아키텍처, 지원되는 보안 환경, 외부 시스템에 외부 콘텐츠 형식을 연결하는 데 사용할 수 있는 인증 모드, 저장된 개체에서 사용할 수 있는 권한 옵션 및 Microsoft Business Connectivity Services 보안을 구성하는 일반 기술에 대해 설명합니다.

이 문서의 내용

• 이 문서에 대한 정보

• Business Connectivity Services 보안 아키텍처

• Business Connectivity Services 인증 개요

• Business Connectivity Services 사용 권한 개요

• Business Connectivity Services 보안

이 문서에 대한 정보

Microsoft Business Connectivity Services는 외부 시스템에 액세스하도록 사용자를 인증하고 외부 시스템에서 데이터 사용 권한을 구성하는 보안 기능을 포함합니다. Microsoft Business Connectivity Services는 지원되는 Microsoft Office 2010 응용 프로그램 및 웹 브라우저의 다양한 보안 방법을 모두 수용할 수 있을 만큼 유연성이 뛰어납니다.

Business Connectivity Services 보안 아키텍처

이 섹션에서는 Microsoft Business Connectivity Services 보안 아키텍처에 대해 설명합니다.

Security Note
클라이언트 컴퓨터와 프런트 엔드 서버 간의 모든 채널에서 SSL(Secure Sockets Layer)을 사용하는 것이 좋습니다. 또한 Microsoft SharePoint Foundation 2010이 실행되는 서버와 외부 시스템 간에는 SSL이나 IPSec(Internet Protocol Security)을 사용하는 것이 좋습니다. 예외적으로 SOAP 1.1 프로토콜을 사용하여 외부 시스템으로 메시지를 전송할 때나 SQL Server 데이터베이스에 연결할 때는 SSL을 사용할 수 없습니다. 하지만 이러한 경우에는 IPSec을 사용하여 데이터 교환을 보호할 수 있습니다.

외부 데이터 액세스

사용자가 웹 브라우저에서 외부 데이터에 액세스하는 경우 로그온한 사용자의 클라이언트 컴퓨터, 웹 서버 팜, 외부 시스템 등 세 가지 시스템이 관여합니다.

1. 사용자는 보통 웹 브라우저에서 웹 파트를 사용하거나 외부 목록의 외부 데이터와 상호 작용합니다.

2. 프런트 엔드 서버의 BDC 서버 런타임은 Business Data Connectivity 서비스의 데이터를 사용하여 외부 시스템에 연결하여 작업을 실행합니다.

3. Secure Store Service는 외부 시스템을 위한 자격 증명 집합을 안전하게 보관하고 개인 또는 그룹 ID에 해당 자격 증명 집합을 연결합니다.

   중요

   Secure Store Service는 SharePoint Foundation 2010에 포함되어 있지 않습니다. SharePoint Foundation 2010에서 보안 저장소가 필요한 경우에는 사용자 지정 보안 저장소 공급자를 제공해야 합니다.

4. Security Token Service는 사용자 계정 정보에 기반한 ID 클레임으로 구성된 보안 토큰을 발행하여 인증 요청에 응답하는 웹 서비스입니다.

5. Microsoft Business Connectivity Services는 클레임 기반 인증을 사용하도록 구성된 웹 서비스와 데이터베이스에 자격 증명을 전달할 수 있습니다. 클레임 기반 인증에 대한 개요는 인증 방법 계획(SharePoint Foundation 2010)을 참조하십시오.

Business Connectivity Services 인증 개요

Microsoft Business Connectivity Services는 다음 유형의 방법을 사용하여 외부 시스템에 인증 요청을 전달하도록 구성할 수 있습니다.

• 자격 증명대개 이름/암호 형식으로 구성됩니다. 일부 외부 시스템에서는 PIN(개인 식별 번호) 값과 같은 추가 자격 증명이 필요할 수도 있습니다.

• 클레임 SAML(Security Assertion Markup Language) 티켓이 외부 데이터를 제공하는 클레임 인식 서비스에 전달될 수 있습니다.

자격 증명 인증을 사용하도록 Business Connectivity Services 구성

Microsoft Business Connectivity Services는 사용자가 제공하는 자격 증명을 이용하여 외부 데이터에 대한 요청을 인증할 수 있습니다. 외부 데이터에 액세스할 때 사용자는 다음 방법으로 자격 증명을 제공할 수 있습니다.

• Windows 인증:

  • Windows Challenge/Response(NTLM)

  • Microsoft 협상

• Windows 이외의 인증

  • 양식 기반

  • 다이제스트

  • 기본

솔루션 디자이너는 자격 증명을 전달하도록 Microsoft Business Connectivity Services를 구성하면서 외부 콘텐츠 형식에 인증 모드 정보를 추가합니다. 인증 모드에는 사용자로부터 들어오는 인증 요청을 처리하고 해당 요청을 자격 증명 집합에 매핑하여 외부 콘텐츠 시스템에 전달하는 방법에 대한 Microsoft Business Connectivity Services 정보가 포함됩니다. 예를 들어 인증 모드에서 사용자의 자격 증명을 외부 데이터 시스템으로 직접 전달하도록 지정할 수 있습니다. 또는 사용자의 자격 증명을 Secure Store Service에 저장된 계정에 매핑한 다음 외부 시스템에 전달하도록 지정할 수 있습니다.

인증 모드는 다음 방법으로 외부 콘텐츠 형식에 연결합니다.

• Microsoft SharePoint Designer에서 외부 콘텐츠 형식을 만듭니다.

• 외부 시스템이 웹 서비스인 경우 Microsoft Business Connectivity Services 관리 페이지를 사용하여 인증 모드를 지정할 수 있습니다.

• 외부 콘텐츠 형식을 정의하는 .XML 파일을 직접 편집하여 인증 모드를 지정할 수 있습니다.

다음 표에서는 Microsoft Business Connectivity Services 인증 모드에 대해 설명합니다.

다음 그림에서는 자격 증명을 사용할 때 Microsoft Business Connectivity Services 인증 모드를 보여 줍니다.

• PassThrough(사용자 ID) 모드 (A)에서 로그온한 사용자의 자격 증명은 외부 시스템에 직접 전달됩니다.

• RevertToSelf(BDC ID) 모드 (B)에서 사용자의 로그온 자격 증명은 Microsoft Business Connectivity Services를 실행하는 프로세스 계정의 자격 증명으로 바뀌고 이 자격 증명이 외부 시스템으로 전달됩니다.

• Secure Store Service를 사용하는 모드로 WindowsCredentials(Windows ID 가장), RdbCredentials(사용자 지정 ID 가장), Credentials의 세 가지가 있습니다. 이들 모드에서 사용자의 자격 증명은 외부 시스템의 자격 증명 집합에 매핑되고 Microsoft Business Connectivity Services가 이러한 자격 증명을 외부 시스템에 전달합니다. 솔루션 관리자는 각 사용자의 자격 증명을 외부 시스템의 고유한 계정에 매핑하거나 인증된 사용자 집합을 하나의 그룹 계정에 매핑할 수 있습니다.

클레임 기반 인증을 사용하도록 Business Connectivity Services 구성

Microsoft Business Connectivity Services는 들어오는 보안 토큰을 기준으로 외부 데이터에 대한 액세스를 제공하고 외부 시스템에 보안 토큰을 전달할 수 있습니다. 보안 토큰은 사용자에 대한 ID 클레임 집합으로 이루어지며, 보안 토큰을 사용하는 인증을 "클레임 기반 인증"이라고 합니다. SharePoint Foundation에는 보안 토큰을 발행하는 Security Token Service가 포함됩니다.

다음 그림은 클레임 기반 인증에서 Security Token Service 및 Secure Store Service가 작동하는 방법을 보여 줍니다.

1. 사용자가 클레임 인증을 위해 구성된 외부 목록에서 작업을 수행하려고 합니다.

2. 클라이언트 응용 프로그램이 Secure Token Service에서 보안 토큰을 요청합니다.

3. Secure Token Service가 요청하는 사용자의 ID에 기반하여 대상 응용 프로그램 식별자 및 클레임 집합을 포함하는 보안 토큰을 발행합니다. Secure Token Service는 클라이언트 응용 프로그램에 보안 토큰을 반환합니다.

4. 클라이언트가 Secure Store Service에 보안 토큰을 전달합니다.

5. Secure Store Service가 보안 토큰을 평가하고 대상 응용 프로그램 식별자를 사용하여 외부 시스템에 적용할 자격 증명 집합을 반환합니다.

6. 클라이언트가 자격 증명을 받아서 외부 시스템에 전달하면 외부 데이터 검색 또는 업데이트와 같은 작업을 수행할 수 있습니다.

Business Connectivity Services 사용 권한 개요

Microsoft Business Connectivity Services에서 사용 권한은 메타데이터 저장소의 개체에 대해 하나 이상의 사용 권한 수준을 보유한 개인 계정, 그룹 계정 또는 클레임과 연결됩니다. Microsoft Business Connectivity Services에서 개체에 사용 권한을 올바르게 설정하면 외부 데이터를 안전하게 통합하는 솔루션을 사용할 수 있습니다. 사용 권한 전략을 계획할 때 자격 증명을 통해 필요한 작업을 수행할 최소 권한을 제공하는 방식으로 데이터가 필요한 각 사용자 또는 그룹에 특정 권한을 부여하는 것이 좋습니다.

사용 권한을 설정할 수 있는 대상

Business Data Connectivity 서비스의 각 인스턴스(또는 호스팅의 경우 각 파티션)에는 해당 저장소의 용도에 맞게 정의된 모든 모델, 외부 시스템, 외부 콘텐츠 형식, 메서드 및 메서드 인스턴스를 포함하는 메타데이터 저장소가 포함됩니다. 이러한 개체는 다음 그림과 같이 계층 구조로 구성됩니다.

메타데이터 저장소에서 개체의 계층 구조에 따라 다른 개체로 사용 권한을 전파할 수 있는 개체가 결정됩니다. 그림에서 사용 권한을 설정하고 필요한 경우 전파할 수 있는 모든 개체는 실선으로 표시되어 있고 상위 개체에서 사용 권한을 가져오는 모든 개체는 점선으로 표시됩니다. 예를 들어 그림에서 외부 시스템(LobSystem)은 해당 시스템에 할당된 사용 권한으로 보안이 적용되지만 작업에 직접 사용 권한을 할당할 수는 없습니다. 사용 권한을 할당할 수 없는 개체는 자신의 상위 개체의 사용 권한을 가져옵니다. 즉, 작업은 상위 외부 콘텐츠 형식(엔터티)의 사용 권한을 가져옵니다.

Security Note
메타데이터 저장소의 개체에 대한 사용 권한이 전파되면 해당 항목의 모든 하위에 대한 사용 권한 설정이 사용 권한을 전파하는 개체의 사용 권한으로 바뀝니다. 예를 들어 외부 콘텐츠 형식에서 사용 권한이 전파되면 해당 외부 콘텐츠 형식의 모든 메서드와 메서드 인스턴스에 새 사용 권한이 적용됩니다.

메타데이터 저장소 및 여기에 포함된 개체에는 다음과 같은 네 가지 권한 수준을 설정할 수 있습니다.

• 편집

  Security Note
  편집 권한은 높은 우선 순위로 고려해야 합니다. 악의적인 사용자에게 편집 권한이 있으면 자격 증명을 도용하거나 서버 팜을 훼손시킬 수 있습니다. 프로덕션 시스템에서는 관리자 수준의 권한이 있는 것으로 신뢰할 수 있는 사용자에게만 편집 권한을 부여하는 것이 좋습니다.

• 실행

• 클라이언트에서 선택 가능

• 사용 권한 설정

다음 표에서는 다양한 개체에서 설정할 수 있는 이들 권한의 의미를 정의합니다.

Business Data Connectivity 서비스에 대한 특수 권한

앞에서 설명한 일반적인 설정 사용 권한 기능 외에 Business Data Connectivity 서비스에 대한 특수 권한 집합이 있습니다.

• 팜 관리자에게는 Business Data Connectivity 서비스에 대한 모든 권한이 부여됩니다. 예를 들어 서비스 인스턴스를 유지 관리하거나 복구할 수 있어야 하기 때문입니다. 그러나 팜 관리자가 메타데이터 저장소의 개체에 대한 실행 권한을 갖지는 않으므로 필요한 경우 Business Data Connectivity 서비스 인스턴스의 관리자가 이 권한을 명시적으로 부여해야 합니다.

• Windows PowerShell 사용자는 팜 관리자이고 Business Data Connectivity 서비스에서 명령을 실행할 수 있습니다.

• 프런트 엔드 서버의 응용 프로그램 풀 계정에서 Business Data Connectivity 서비스에 대한 권한은 팜 관리자와 동일합니다. Microsoft Business Connectivity Services에 기반하여 배포 패키지를 생성하려는 경우 이 권한이 필요합니다.

• SharePoint Designer 사용자에게는 대부분의 경우 전체 메타데이터 저장소에서 편집, 실행 및 클라이언트에서 선택 가능과 같은 권한이 부여됩니다. SharePoint Designer 사용자에게는 사용 권한 설정 권한을 부여할 수 없습니다. 필요한 경우 SharePoint Designer 사용자의 사용 권한을 메타데이터 저장소의 하위 집합으로 제한할 수 있습니다.

  경고

  보안 솔루션을 지원하려는 경우 SharePoint Designer를 사용하여 편집 권한을 자유롭게 할당할 수 있는 테스트 환경에서 외부 콘텐츠 형식을 만들어야 합니다. 프로덕션 환경에 테스트한 솔루션을 배포하면 편집 권한을 제거하여 외부 데이터 무결성을 보호할 수 있습니다.

일반적인 작업과 관련 권한

이 섹션에서는 Business Data Connectivity 서비스의 일반적인 작업과 이 작업을 수행하는 데 필요한 권한에 대해 설명합니다.

Business Connectivity Services 보안

이 섹션에서는 Business Connectivity Services의 보안을 손쉽게 유지하기 위해 사용할 수 있는 추가 조치에 대해 설명합니다.

서비스 계정

보안 격리를 위해 Business Data Connectivity 서비스 응용 프로그램과 프런트 엔드 서버에서는 동일한 서비스 계정을 사용하지 않아야 합니다.

서버 간 통신

Business Data Connectivity 서비스 응용 프로그램과 외부 시스템 간의 통신을 보호하면 중요한 데이터가 위험에 노출되지 않도록 하는 데 도움이 됩니다. SharePoint Foundation 2010이 실행되는 서버와 외부 시스템 간에 전송되는 데이터를 보호하려면 암호화된 통신 채널을 사용해야 합니다. IPsec(인터넷 프로토콜 보안)은 통신을 손쉽게 보호하는 데 사용할 수 있는 한 가지 방식입니다. 어떤 방식을 선택할지는 보호할 특정 통신 채널의 종류와 두 방식의 장점 및 단점이 조직에 얼마나 적합한지에 따라 달라집니다.

FileBackedMetadataCatalog를 사용하는 응용 프로그램

보안상의 이유로 RevertToSelf 인증 모드는 SharePoint Foundation 2010에서 기본적으로 사용하지 않도록 설정됩니다. 하지만 이렇게 하더라도 FileBackedMetadataCatalog 클래스를 사용하는 응용 프로그램에서 모델을 가져오고 RevertToSelf 인증을 사용하는 호출을 실행하지 못하는 것은 아닙니다. 이렇게 하면 응용 프로그램 풀 계정에 권한을 부여함으로써 사용자의 권한이 향상될 수 있습니다. 모든 응용 프로그램을 프로덕션 시스템에 설치하기 전에 이러한 응용 프로그램을 검토하여 FileBackedMetadataCatalog 클래스 및 RevertToSelf 인증을 사용하지 않는지 확인해야 합니다.