Visão geral da segurança do Reporting Services no Modo Integrado do SharePoint

Se o aplicativo da Web do SharePoint estiver configurado para Autenticação do Windows usando Kerberos, a conexão do aplicativo da Web do SharePoint com o servidor de relatório poderá usar as credenciais representadas ou delegadas do usuário atual do Windows. Usando a segurança integrada do Windows com Kerberos e delegação de identidade, é possível eliminar o problema clássico de “salto duplo” em que as credenciais do Windows expiram após uma única conexão. Ela também expande o conjunto de opções que estão disponíveis ao configurar conexões de fonte de dados para relatórios e modelos. O diagrama a seguir mostra as conexões quando um servidor de relatório está configurado para a integração do SharePoint e o aplicativo da Web do SharePoint usa a Autenticação do Windows com o Kerberos habilitado e delegação de identidade.

• Conexão 1
  Um usuário acessa um site do SharePoint com o token de usuário criado quando efetuou logon na rede. Contém a identidade de usuário e a associação de grupo. O aplicativo da Web do SharePoint autentica o usuário. O usuário solicita um item ou operação de servidor de relatório.

• Conexão 2
  O aplicativo da Web do SharePoint envia o token e a solicitação para o servidor de relatório. A solicitação de conexão é enviada com a identidade do Windows delegada do usuário. O servidor de relatório autentica o usuário para ver se ele tem permissão de acessar o servidor de relatório.

• Conexão 3
  Se a autenticação for bem-sucedida, o servidor de relatório usará a conta do usuário da instância do Reporting Services para fazer uma conexão com os bancos de dados de conteúdo do SharePoint para verificar se o usuário tem acesso autorizado ao item ou operação. Se a autorização for bem-sucedida, o servidor de relatórios faz a solicitação.

• Conexão 4
  Se o usuário estiver exibindo o relatório, o servidor de relatório poderá delegar a identidade do Windows do usuário durante o processamento do relatório para recuperar dados de fontes de dados externas. Isso significa que, ao definir propriedades de fonte de dados em um relatório, é possível selecionar a opção Segurança integrada do Windows para a conexão de fonte de dados. Para obter mais informações, consulte Especificando informações de credencial e conexão para fontes de dados do relatório e Como criar e gerenciar fontes de dados compartilhadas (Reporting Services no modo integrado do SharePoint) nos Manuais Online do SQL Server.

Se o aplicativo da Web do SharePoint estiver configurado para autenticação de formulários ou para a Autenticação do Windows usando NTLM, a conexão com o servidor de relatório será enviada pela rede por meio de uma conta confiável que tem permissão para representar um usuário do SharePoint no servidor de relatório. O diagrama a seguir mostra as conexões quando as contas confiáveis e as identidades de usuário do SharePoint são usadas.

• Conexão 1
  Um usuário efetua logon em um site do SharePoint. O aplicativo da Web do SharePoint autentica o usuário. O aplicativo da Web do SharePoint converte a identidade de usuário em uma identidade de usuário do SharePoint (SPUser). Um novo token de usuário é criado para esse usuário no contexto de SPUser. Contém a identidade de usuário e a associação de grupo. O usuário solicita um item ou operação de servidor de relatório.

• Conexão 2
  O Aplicativo Web do SharePoint se conecta ao servidor de relatório usando uma conta confiável, que é a identidade de processo do aplicativo Web do SharePoint. O aplicativo da Web do SharePoint Web então representa a identidade de usuário do SharePoint na solicitação para um item ou operação.

  O servidor de relatório autentica que a solicitação de conexão é de uma conta confiável comparando-a com as informações da conta que o servidor de relatório recuperou dos bancos de dados de configuração do SharePoint quando foi iniciado. Em um servidor de relatório, a conta confiável é um usuário do Windows com permissão para representar o aplicativo Web do SharePoint. Ela também é usada para representar o SPUser, mas não tem permissão para acessar itens e operações de servidor de relatório.

• Conexão 3
  Se a autenticação for bem-sucedida, o servidor de relatório usará a conta do usuário da instância do Reporting Services para fazer uma conexão com os bancos de dados de conteúdo do SharePoint para verificar se o SPUser tem acesso autorizado ao item ou operação. Se a autorização for bem-sucedida, o servidor de relatórios faz a solicitação.

• Conexão 4
  Se o usuário estiver exibindo o relatório, o servidor de relatório não poderá usar o SPUser para recuperar dados de fontes de dados externas devido ao problema de "salto duplo". Isso significa que, ao definir propriedades de fonte de dados em um relatório, não será possível selecionar a opção Segurança integrada do Windows para a conexão de fonte de dados. Você poderá, no entanto, configurar o relatório para usar outras opções de conexão, como credenciais armazenadas ou credenciais solicitadas. Para obter mais informações, consulte Especificando informações de credencial e conexão para fontes de dados do relatório e Como criar e gerenciar fontes de dados compartilhadas (Reporting Services no modo integrado do SharePoint) nos Manuais Online do SQL Server.

Ao criar uma assinatura em um relatório, o servidor de relatório armazena as informações da conta de SPUser de modo que possa confirmar que o usuário tem permissão para exibir o relatório no momento da entrega. Se a conta de SPUser tiver expirado, a assinatura falhará e retornará um erro rsSharePointError. Uma propriedade de nível de farm chamada TokenTimeout determina por quanto tempo SPUser é válido.

Uma implantação de produto ou tecnologia do SharePoint usa várias contas para executar serviços e acessar servidores front-end e back-end. Quando for especificar contas de domínio em sua implantação, procure seguir as práticas recomendadas e especificar contas que sejam usadas exclusivamente pelo aplicativo Web do SharePoint. Não configure uma conta de serviço para ser executada sob a conta de usuário de domínio de uma pessoa real que acessará o site do SharePoint. Se acessar um site do SharePoint por meio de credenciais de serviço, talvez você encontre erros.

Se você tiver uma implantação em expansão do Reporting Services e um produto SharePoint, e tiver configurado provedores de autenticação diferentes para o ambiente, talvez tenha problemas com a autenticação de usuários. Por exemplo, se o ambiente de relatório usar autenticação de Formulários para conexões da Internet e Autenticação do Windows para conexões de intranet, talvez a solicitação seja encaminhada para um computador front-end da Web com um provedor de autenticação que não corresponda ao tipo de autenticação da solicitação. Isso poderia fazer com que o Reporting Services negasse acesso à solicitação ou a solicitação poderia ser executada sob a identidade do pool de aplicativos, em vez do usuário que fez a solicitação.

Como prática recomendada, os usuários devem utilizar URLs diferentes para acessar o conteúdo da Internet e da intranet. Ou você pode configurar o arquivo de hosts nos computadores front-end da Web para substituir a pesquisa de DNS mapeando o endereço IP do site voltado para a Internet para a URL da Internet, de modo que as solicitações para a URL da Internet não sejam roteadas para a URL da intranet pelo DNS.

No Reporting Services, o serviço Web e o serviço Windows precisam acessar os bancos de dados do SharePoint. As contas de serviço de ambos são executadas como usuários confiáveis em um aplicativo da Web do SharePoint e obtêm automaticamente permissão para acessar os bancos de dados do SharePoint.

A conexão é gerenciada internamente; é configurada quando você usa a Administração Central do SharePoint para apontar um aplicativo da Web do SharePoint para um servidor de relatório e definir as contas confiáveis. Em contraste com a conexão do servidor de relatório com seus próprios bancos de dados, que pode ser definida ou modificada com a ferramenta Configuração do Reporting Services, não é possível configurar ou gerenciar explicitamente a conexão do servidor de relatório com os bancos de dados do SharePoint.

A execução de um servidor de relatório no modo integrado do SharePoint impõe restrições no modo de configuração de contas de serviço no Reporting Services. Use estas diretrizes ao configurar contas de serviço:

• Escolha contas que tenham permissões de logon de rede se for necessário conectar as contas de serviço Servidor de Relatório com os bancos de dados do SharePoint em um computador remoto.

• Não use contas internas (como Sistema Local ou Serviço de Rede) se o servidor de relatório e os bancos de dados do SharePoint estiverem em um computador e o aplicativo da Web do SharePoint estiver em um computador remoto. Quando os bancos de dados do SharePoint são executados em um computador remoto, o aplicativo da Web do SharePoint nega explicitamente o acesso a contas internas definidas nesse computador remoto. Isso significa que, se o servidor de relatório estiver sendo executado em uma conta interna, ele não poderá conectar-se a bancos de dados do SharePoint porque estará sendo executado no mesmo computador que os bancos de dados do SharePoint.

• Para todas as outras topologias que colocam os servidores e bancos de dados no mesmo computador ou em computadores diferentes, as contas de serviço do Reporting Services podem ser configuradas como contas de domínio ou contas internas.

Se o servidor de relatório não conseguir acessar os bancos de dados do SharePoint e houver um erro de configuração (por exemplo, se as contas de serviço ou senhas não forem válidas ou se uma instância local do modelo de objeto do Windows SharePoint não estiver instalada), um erro rsServerConfigurationError ocorrerá. Para todos os outros erros de conexão, o erro rsSharePointError é retornado, junto com informações adicionais sobre o erro da instância local do SharePoint.