Business Connectivity Services 보안 개요(SharePoint Server 2010)

적용 대상: SharePoint Server 2010

마지막으로 수정된 항목: 2016-11-30

이 문서에서는 Microsoft Business Connectivity Services 서버 및 클라이언트의 보안 아키텍처, 지원되는 보안 환경, 외부 콘텐츠 형식을 외부 시스템에 연결하는 데 사용할 수 있는 인증 모드, 저장된 개체에 사용할 수 있는 권한, Microsoft Business Connectivity Services 보안 구성에 필요한 일반적인 기술 등을 설명합니다.

이 문서의 내용

• 이 문서에 대한 정보

• Business Connectivity Services 보안 아키텍처

• Business Connectivity Services 인증 개요

• Business Connectivity Services 사용 권한 개요

• Business Connectivity Services 보안

이 문서에 대한 정보

Microsoft Business Connectivity Services에는 외부 시스템에 액세스하는 사용자를 인증하는 보안 기능뿐 아니라 외부 시스템의 데이터에 대한 사용 권한을 구성할 수 있는 보안 기능이 포함되어 있습니다. Microsoft Business Connectivity Services는 상당히 유연한 구성 기능을 제공하므로 지원되는 Microsoft Office 2010 응용 프로그램 내에서 또는 웹 브라우저에서 보안 방법의 적용 범위를 조정할 수 있습니다.

Business Connectivity Services 보안 아키텍처

이 섹션에서는 웹 브라우저에서 인증하는 경우 및 Microsoft Outlook 2010과 같이 지원되는 Office 2010 클라이언트 응용 프로그램에서 인증하는 경우의 Microsoft Business Connectivity Services 보안 아키텍처에 대해 설명합니다.

Security Note
클라이언트 컴퓨터와 프런트 엔드 서버 간의 모든 채널에서 SSL(Secure Sockets Layer)을 사용하는 것이 좋습니다. 또한 Microsoft SharePoint Server 2010이 실행되는 서버와 외부 시스템 간에는 SSL이나 IPSec(Internet Protocol Security)을 사용하는 것이 좋습니다. 예외적으로 SOAP 1.1 프로토콜을 사용하여 외부 시스템으로 메시지를 전송할 때나 SQL Server 데이터베이스에 연결할 때는 SSL을 사용할 수 없습니다. 하지만 이러한 경우에는 IPSec을 사용하여 데이터 교환을 보호할 수 있습니다.

웹 브라우저에서 외부 데이터 액세스

사용자가 웹 브라우저에서 외부 데이터에 액세스하는 경우 로그온한 사용자의 클라이언트 컴퓨터, 웹 서버 팜, 외부 시스템 등 3가지 시스템이 연관됩니다.

1. 웹 브라우저에서 사용자는 일반적으로 웹 파트를 사용하거나 외부 목록을 통해 외부 데이터와 상호 작용합니다.

2. 프런트 엔드 서버의 BDC 서버 런타임은 Business Data Connectivity 서비스의 데이터를 사용하여 외부 시스템에 연결하고 작업을 실행합니다.

3. Secure Store Service는 외부 시스템의 자격 증명 집합을 안전하게 저장하고 있다가 해당 자격 증명 집합을 개별 ID 또는 그룹 ID에 연결합니다.

4. Security Token Service는 사용자 계정 정보를 기반으로 하는 ID 클레임으로 구성된 보안 토큰을 발행하여 인증 요청에 응답하는 웹 서비스입니다.

5. Microsoft Business Connectivity Services는 클레임 기반 인증을 사용하도록 구성된 데이터베이스 및 웹 서비스에 자격 증명을 전달합니다. Secure Store Service에 대한 개요는 Secure Store Service 계획(SharePoint Server 2010)을 참조하고, 클레임 기반 인증에 대한 개요는 인증 방법 계획(SharePoint Server 2010)을 참조하십시오.

Office 클라이언트 응용 프로그램에서 외부 데이터 액세스

지원되는 Office 클라이언트 응용 프로그램에서 외부 데이터를 액세스하는 경우 로그온한 사용자의 클라이언트 컴퓨터, 외부 시스템 등 2가지 시스템이 연관됩니다. 이 모델은 사용자가 Outlook 2010, Microsoft SharePoint Workspace 또는 Microsoft Word 2010을 사용하여 외부 데이터와 상호 작용하는 경우에 지원됩니다.

1. Outlook 2010 사용자는 일반적으로 연락처 또는 작업과 같은 Outlook 항목의 외부 데이터를 사용하고, SharePoint Workspace 2010 사용자는 외부 목록을 오프라인 상태로 전환하여 상호 작용할 수 있으며, Word 2010 사용자는 외부 데이터를 Word 문서에 삽입할 수 있습니다.

2. Office 통합 클라이언트 런타임은 클라이언트에서 실행 중인 Microsoft Business Connectivity Services 및 지원되는 Office 응용 프로그램 간의 커넥터 역할을 합니다.

3. 클레임 기반 인증을 사용하도록 외부 데이터를 구성한 경우 클라이언트는 SharePoint 팜의 Security Token Service와 상호 작용하여 클레임 토큰을 가져옵니다. 자세한 내용은 클레임 인증 구성(SharePoint Server 2010)을 참조하십시오.

4. 클라이언트 컴퓨터의 BDC 클라이언트 런타임은 Business Data Connectivity 서비스의 데이터를 사용하여 외부 시스템에 연결하고 다양한 클라이언트 액세스에 대한 작업을 실행합니다.

5. 클라이언트 캐시는 외부 데이터에 안전하게 연결하는 데 필요한 Business Data Connectivity 서비스 및 Secure Store Service의 정보를 캐시합니다. 캐시는 업데이트된 정보를 포함하도록 SharePoint 팜에서 새로 고쳐집니다.

6. 클라이언트 Secure Store Service를 사용하면 최종 사용자가 보안 자격 증명을 구성할 수 있습니다.

7. Microsoft Business Connectivity Services는 데이터베이스 및 클레임 인식 서비스에 자격 증명을 전달합니다.

Business Connectivity Services 인증 개요

다음 유형의 방식을 사용하여 외부 시스템에 인증 요청을 전달하도록 Microsoft Business Connectivity Services를 구성할 수 있습니다.

• 자격 증명 일반적으로 이름/암호 형식입니다. 일부 외부 시스템에서는 PIN(개인 식별 번호) 값과 같은 추가 자격 증명을 요청할 수도 있습니다.

• 클레임 외부 데이터를 공급하는 클레임 인식 서비스에 SAML(Security Assertion Markup Language) 티켓을 전달할 수 있습니다.

자격 증명 인증에 대한 Business Connectivity Services 구성

Microsoft Business Connectivity Services는 사용자가 제공하는 자격 증명을 사용하여 외부 데이터에 대한 요청을 인증할 수 있습니다. 외부 데이터 액세스에 필요한 자격 증명을 제공하는 데 지원되는 방식은 다음과 같습니다.

• Windows 인증:

  • Windows Challenge/Response(NTLM)

  • Microsoft 협상

• Windows 이외의 인증

  • 양식 기반

  • 다이제스트

  • 기본

솔루션 디자이너는 자격 증명을 전달하도록 Microsoft Business Connectivity Services를 구성하면서 외부 콘텐츠 형식에 인증 모드 정보를 추가합니다. 인증 모드에는 사용자로부터 들어오는 인증 요청을 처리하고 해당 요청을 자격 증명 집합에 매핑하여 외부 콘텐츠 시스템에 전달하는 방법에 대한 Microsoft Business Connectivity Services 정보가 포함됩니다. 예를 들어 인증 모드에서 사용자의 자격 증명을 외부 데이터 시스템으로 직접 전달하도록 지정할 수 있습니다. 또는 사용자의 자격 증명을 Secure Store Service에 저장된 계정에 매핑한 다음 외부 시스템에 전달하도록 지정할 수 있습니다.

다음과 같은 방법으로 인증 모드를 외부 콘텐츠 형식에 연결할 수 있습니다.

• Microsoft SharePoint Designer 또는 Microsoft Visual Studio 2010에서 외부 콘텐츠 형식을 만드는 경우에 인증 모드를 지정할 수 있습니다.

• 외부 시스템이 웹 서비스인 경우 Microsoft Business Connectivity Services 관리 페이지를 사용하여 인증 모드를 지정할 수 있습니다.

• 외부 콘텐츠 형식을 정의하는 .XML 파일을 직접 편집하여 인증 모드를 지정할 수 있습니다.

다음 표에서는 Microsoft Business Connectivity Services의 인증 모드를 설명합니다.

다음 그림은 자격 증명을 사용하는 경우의 Microsoft Business Connectivity Services 인증 모드를 보여 줍니다.

• PassThrough(사용자 ID) 모드 (A)에서 로그온한 사용자의 자격 증명은 외부 시스템에 직접 전달됩니다.

• RevertToSelf(BDC ID) 모드 (B)에서 사용자의 로그온 자격 증명은 Microsoft Business Connectivity Services를 실행하는 프로세스 계정의 자격 증명으로 바뀌고 이 자격 증명이 외부 시스템으로 전달됩니다.

• Secure Store Service를 사용하는 모드로 WindowsCredentials(Windows ID 가장), RdbCredentials(사용자 지정 ID 가장), Credentials의 세 가지가 있습니다. 이들 모드에서 사용자의 자격 증명은 외부 시스템의 자격 증명 집합에 매핑되고 Microsoft Business Connectivity Services가 이러한 자격 증명을 외부 시스템에 전달합니다. 솔루션 관리자는 각 사용자의 자격 증명을 외부 시스템의 고유한 계정에 매핑하거나 인증된 사용자 집합을 하나의 그룹 계정에 매핑할 수 있습니다.

클레임 기반 인증을 사용하도록 Business Connectivity Services 구성

Microsoft Business Connectivity Services는 들어오는 보안 토큰을 기준으로 외부 데이터에 대한 액세스를 제공하고 외부 시스템에 보안 토큰을 전달할 수 있습니다. 보안 토큰은 사용자에 대한 ID 클레임 집합으로 이루어지며, 보안 토큰을 사용하는 인증을 "클레임 기반 인증"이라고 합니다. SharePoint Server에는 보안 토큰을 발행하는 Security Token Service가 포함됩니다.

다음 그림은 클레임 기반 인증에서 Security Token Service 및 Secure Store Service가 작동하는 방법을 보여 줍니다.

1. 사용자가 클레임 인증을 사용하도록 구성된 외부 목록에서 작업을 시도합니다.

2. 클라이언트 응용 프로그램이 Secure Token Service에서 보안 토큰을 요청합니다.

3. Secure Token Service는 요청하는 사용자의 ID를 기반으로 클레임 집합 및 대상 응용 프로그램 식별자를 포함하는 보안 토큰을 발행한 다음, 클라이언트 응용 프로그램에 보안 토큰을 반환합니다.

4. 클라이언트가 보안 토큰을 Secure Store Service에 전달합니다.

5. Secure Store Service가 보안 토큰을 평가하고 대상 응용 프로그램 식별자를 사용하여 외부 시스템에 적용되는 자격 증명 집합을 반환합니다.

6. 클라이언트는 자격 증명을 수신하고 외부 시스템으로 전달하여 외부 데이터 검색 또는 업데이트와 같은 작업을 수행할 수 있도록 합니다.

Business Connectivity Services 사용 권한 개요

Microsoft Business Connectivity Services의 사용 권한은 개별 계정, 그룹 계정 또는 클레임을 메타데이터 저장소에 있는 개체에 대한 하나 이상의 사용 권한 수준과 연결합니다. Microsoft Business Connectivity Services에서 개체에 대한 사용 권한을 올바르게 설정하면 솔루션을 외부 데이터와 안전하게 통합할 수 있습니다. 사용 권한 전략을 계획하는 경우, 작업을 수행하는 데 필요한 최소한의 권한만 제공하도록 개별 사용자 또는 그룹의 자격 증명에 사용 권한을 구체적으로 지정하는 것이 좋습니다.

사용 권한을 설정할 수 있는 대상

Business Data Connectivity 서비스의 각 인스턴스나 각 파티션(호스팅의 경우)에는 메타데이터 저장소가 있어, 해당 저장소의 용도에 맞게 정의된 모든 모델, 외부 시스템, 외부 콘텐츠 형식, 메서드 및 메서드 인스턴스를 포함하고 있습니다. 이러한 개체는 다음 그림에 나타나는 것처럼 계층 구조로 존재합니다.

메타데이터 저장소에 있는 개체의 계층 구조에 따라 사용 권한을 다른 개체에 전파할 수 있는 개체가 결정됩니다. 사용 권한을 설정 및 전파(선택 사항)할 수 있는 개체는 그림에서 실선으로 표시되고, 상위 개체의 사용 권한을 상속받는 개체는 점선으로 표시되어 있습니다. 예를 들어 위 그림에서 외부 시스템(LobSystem)은 사용 권한을 할당받아 보호될 수 있지만 작업(Action)은 사용 권한을 직접 할당받을 수 없습니다. 사용 권한을 할당받을 수 없는 개체는 상위 개체의 사용 권한을 상속받습니다. 예를 들어 작업(Action)은 상위 외부 콘텐츠 형식(Entity)의 사용 권한을 상속받습니다.

Security Note
메타데이터 저장소에 있는 개체의 사용 권한이 전파되는 경우 모든 하위 항목의 사용 권한 설정은 전파하는 상위 개체의 사용 권한 설정으로 바뀝니다. 예를 들어 외부 콘텐츠 형식에서 사용 권한이 전파되는 경우 해당 외부 콘텐츠 형식의 모든 메서드 및 메서드 인스턴스는 새 사용 권한을 받습니다.

메타데이터 저장소 및 저장소 내 개체에 설정할 수 있는 사용 권한 수준은 다음 4가지입니다.

• 편집

  Security Note
  편집 권한은 높은 우선 순위로 고려해야 합니다. 악의적인 사용자에게 편집 권한이 있으면 자격 증명을 도용하거나 서버 팜을 훼손시킬 수 있습니다. 프로덕션 시스템에서는 관리자 수준의 권한이 있는 것으로 신뢰할 수 있는 사용자에게만 편집 권한을 부여하는 것이 좋습니다.

• 실행

• 클라이언트에서 선택 가능

• 사용 권한 설정

다음 표에서는 개체별로 이러한 사용 권한이 갖는 의미를 설명합니다.

Business Data Connectivity Service의 특수 사용 권한

위에서 설명한 일반적인 기능의 사용 권한 외에도 Business Data Connectivity 서비스에 대한 특수 사용 권한 집합이 있습니다.

• 팜 관리자는 Business Data Connectivity 서비스에 대한 전체 사용 권한을 갖고 있습니다. 예를 들어 서비스 인스턴스를 유지하거나 복구하려면 이 권한이 필요합니다. 하지만 팜 관리자는 메타데이터 저장소의 개체에 대한 "실행" 권한이 없으며 이 권한이 필요한 경우 Business Data Connectivity 서비스 인스턴스의 관리자가 명시적으로 제공해야 합니다.

• Windows PowerShell 사용자는 팜 관리자인 동시에 Business Data Connectivity 서비스에서 명령을 실행할 수 있습니다.

• 프런트 엔드 서버의 응용 프로그램 풀 계정에는 팜 관리자와 동일한 Business Data Connectivity 서비스 사용 권한이 있습니다. 이 사용 권한은 Microsoft Business Connectivity Services를 기반으로 하는 배포 패키지를 생성하는 데 필요합니다.

• SharePoint Designer 사용자는 대부분의 경우 전체 메타데이터 저장소에 대한 편집, 실행 및 클라이언트에서 선택 가능 권한을 제공받아야 합니다. SharePoint Designer 사용자에게는 "사용 권한 설정" 권한이 제공되어서는 안 됩니다. 필요한 경우 SharePoint Designer 사용자의 사용 권한을 메타데이터 저장소의 하위 집합으로 제한할 수 있습니다.

  경고

  솔루션의 보안을 강화하려면 "편집" 권한을 자유롭게 할당할 수 있는 테스트 환경에서 SharePoint Designer를 사용하여 외부 콘텐츠 형식을 만들고, 테스트된 솔루션을 프로덕션 환경에 배포할 때는 "편집" 권한을 제거하여 외부 데이터의 무결성을 보호하는 것이 좋습니다.

일반적인 작업 및 관련 사용 권한

이 섹션에서는 Business Data Connectivity 서비스의 일반 작업 및 해당 작업을 수행하는 데 필요한 사용 권한에 대해 설명합니다.

Business Connectivity Services 보안

이 섹션에서는 Business Connectivity Services의 보안을 손쉽게 유지하기 위해 사용할 수 있는 추가 조치에 대해 설명합니다.

서비스 계정

보안 격리를 위해 Business Data Connectivity 서비스 응용 프로그램과 프런트 엔드 서버에서는 동일한 서비스 계정을 사용하지 않아야 합니다.

서버 간 통신

Business Data Connectivity 서비스 응용 프로그램과 외부 시스템 간의 통신을 보호하면 중요한 데이터가 위험에 노출되지 않도록 하는 데 도움이 됩니다. SharePoint Server 2010이 실행되는 서버와 외부 시스템 간에 전송되는 데이터를 보호하려면 암호화된 통신 채널을 사용해야 합니다. IPsec(인터넷 프로토콜 보안)은 통신을 손쉽게 보호하는 데 사용할 수 있는 한 가지 방식입니다. 어떤 방식을 선택할지는 보호할 특정 통신 채널의 종류와 두 방식의 장점 및 단점이 조직에 얼마나 적합한지에 따라 달라집니다.

FileBackedMetadataCatalog를 사용하는 응용 프로그램

보안상의 이유로 RevertToSelf 인증 모드는 SharePoint Server 2010에서 기본적으로 사용하지 않도록 설정됩니다. 하지만 이렇게 하더라도 FileBackedMetadataCatalog 클래스를 사용하는 응용 프로그램에서 모델을 가져오고 RevertToSelf 인증을 사용하는 호출을 실행하지 못하는 것은 아닙니다. 이렇게 하면 응용 프로그램 풀 계정에 권한을 부여함으로써 사용자의 권한이 향상될 수 있습니다. 모든 응용 프로그램을 프로덕션 시스템에 설치하기 전에 이러한 응용 프로그램을 검토하여 FileBackedMetadataCatalog 클래스 및 RevertToSelf 인증을 사용하지 않는지 확인해야 합니다.