Planejar métodos de autenticação (Office SharePoint Server)

Atualizado em: 2009-04-23

Neste artigo:

• Sobre autenticação

• Métodos de autenticação com suporte

• Configurar autenticação

• Planejar autenticação para rastreamento de conteúdo

• Planejar zonas para design de autenticação

• Escolher métodos de autenticação permitidos em seu ambiente

• Planilha

Este artigo descreve métodos de autenticação compatíveis com o Microsoft Office SharePoint Server 2007. Depois de ler este artigo, você estará apto a:

• Compreender como a autenticação é implementada no Office SharePoint Server 2007.

• Identificar métodos de autenticação apropriados ao seu ambiente.

Sobre autenticação

A autenticação é o processo de validação da identidade de um usuário. Após a validação da identidade de um usuário, o processo de autorização determina os sites, o conteúdo e outros recursos que ele pode acessar.

No Office SharePoint Server 2007, o processo de autenticação é gerenciado pelo IIS. Depois que o IIS executa a autenticação de usuários, os recursos de segurança do Office SharePoint Server 2007 realizam o processo de autorização.

Para obter mais informações sobre como implementar autorização do Office SharePoint Server 2007, consulte Planejar a segurança de site e de conteúdo (Office SharePoint Server).

O planejamento da autenticação é importante não somente para proteger sua solução por meio da validação das identidades dos usuários, mas também para proteger as credenciais do usuário na rede.

Métodos de autenticação com suporte

O Office SharePoint Server 2007 fornece um sistema de autenticação flexível e extensível, que oferece suporte à autenticação em sistemas de gerenciamento de identidades baseados ou não no sistema operacional Microsoft Windows. Com a integração com a autenticação conectável do ASP.NET, o Office SharePoint Server 2007 oferece suporte a uma variedade de esquemas autenticação baseados em formulários. O suporte à autenticação no Office SharePoint Server 2007 permite várias situações de autenticação, incluindo:

• Usando métodos de autenticação padrão do Windows.

• Usando um banco de dados simples contendo nomes e senhas de usuário.

• Conectando-se diretamente a um sistema de gerenciamento de identidades da organização.

• Usando dois ou mais métodos de autenticação para acessar aplicativos parceiros (por exemplo, conectar-se ao sistema de gerenciamento de identidades da empresa parceira para autenticar funcionários do parceiro e usar métodos de autenticação do Windows para autenticar funcionários internos).

• Participando de sistemas de gerenciamento de identidades federados.

A tabela a seguir lista os métodos de autenticação com suporte:

Autenticação de contas do sistema

A autenticação de formulários ASP.NET e o SSO na Web podem ser usados para autenticar somente contas de usuário. As contas de processo utilizadas na conexão com o software de banco de dados do Microsoft SQL Server e na execução de web farm devem ser contas do Windows, mesmo ao usar métodos alternativos de autenticação para autenticar usuários.

O Office SharePoint Server 2007 oferece suporte à autenticação do SQL Server e às contas locais de processo do computador em farms que não estejam executando o Active Directory. Por exemplo, você pode implementar contas locais usando nomes de usuário e senhas idênticos em todos os servidores de um farm.

Configurar autenticação

Embora a configuração da autenticação do Windows seja um processo simples, configurar a autenticação para usar formulários ASP.NET ou SSO na Web requer mais planejamento. Esta seção fornece um resumo de como a autenticação é configurada no Office SharePoint Server 2007. Estas informações o ajudarão a compreender como estabelecer uma estratégia de autenticação de sua solução e a determinar quem na organização precisa estar envolvido no planejamento da autenticação.

Configurar autenticação para aplicativos Web do SharePoint

A autenticação no Office SharePoint Server 2007 é configurada no nível do aplicativo Web do SharePoint. O diagrama a seguir ilustra um farm de servidores do Windows SharePoint Services configurado para hospedar sites de várias empresas. A autenticação é configurada separadamente para cada empresa.

Quando você cria inicialmente ou estende um aplicativo Web, vê um número limitado de opções de autenticação (Kerberos, NTLM e anônima). Se você estiver usando um desses métodos, poderá configurar a autenticação ao criar ou estender o aplicativo Web.

A ilustração a seguir mostra as opções limitadas de autenticação que estão disponíveis quando você cria inicialmente ou estende um aplicativo Web:

No entanto, se você estiver usando configurações diferentes de autenticação, selecione as opções de autenticação padrão e, em seguida, configure a autenticação depois que o aplicativo Web for criado ou estendido. (Para fazer isso, na Administração Central, na página Gerenciamento de Aplicativos, na seção Segurança de Aplicativo, marque Provedores de autenticação e, em seguida, clique na zona para abrir a página Editar Autenticação.) As configurações definidas nessa página dependem do tipo de autenticação selecionado: Windows, formulários ou SSO na Web.

A ilustração a seguir mostra a página Editar Autenticação:

Dependendo das opções de autenticação selecionadas na Administração Central, talvez seja necessária configuração adicional. A tabela a seguir resume as etapas de configuração baseadas no método de autenticação. Essa tabela também indica se são necessárias funções especializadas, além da função Administrador do SharePoint.

Conectar-se a sistemas de gerenciamento de identidades externos ou não baseados no Windows

Para usar formulários ASP.NET ou SSO na Web na autenticação de usuários em um sistema de gerenciamento de identidades não baseado no Windows ou externo, você deve registrar o provedor de associação no arquivo Web.config. Além de registrar um provedor de associação, você pode registrar também um gerenciador de funções. O Office SharePoint Server 2007 usa a interface do gerenciador de funções padrão do ASP.NET para coletar informações do grupo sobre o usuário atual. Cada função do ASP.NET é tratada como um grupo de domínios pelo processo de autorização do Office SharePoint Server 2007. Você registra gerenciadores de funções da mesma maneira que registra provedores de associação para autenticação.

Para gerenciar usuários ou funções de associação no site da Administração Central, você pode, opcionalmente, registrar o provedor de associação e o gerenciador de funções no arquivo Web.config do site da Administração Central (além de registrá-los no arquivo Web.config dos aplicativos que hospedam o conteúdo).

Certifique-se de que o nome do provedor de associação e do gerenciador de funções que você registrou no arquivo Web.config sejam os mesmos inseridos na página Authentication.aspx da Administração Central. Se você não inserir o gerenciador de funções no arquivo Web.config, o provedor padrão especificado no arquivo machine.config poderá ser usado no lugar.

Por exemplo, a cadeia a seguir em um arquivo Web.config especifica um provedor de associação SQL:

<membership defaultProvider="AspNetSqlMembershipProvider">

Para obter informações adicionais sobre como usar a autenticação de formulários ASP.NET para se conectar a um provedor de autenticação do SQL Server, consulte Amostras de autenticação.

Finalmente, se você estiver usando o SSO na Web para se conectar a um sistema de gerenciamento de identidades externo, também terá de registrar um módulo HTTP no SSO na Web. Um módulo HTTP é um assembly chamado em cada solicitação feita ao seu aplicativo. Os módulos HTTP são chamados como parte do pipeline de solicitação do ASP.NET. Para obter mais informações, consulte o artigo de introdução aos módulos HTTP (https://go.microsoft.com/fwlink/?linkid=77954\&clcid=0x416).

A integração com a autenticação de formulários ASP.NET impõe requisitos adicionais ao provedor de autenticação. Além de registrar os vários elementos no arquivo Web.config, é preciso programar o provedor de associação, o gerenciador de funções e o módulo HTTP para interagir com os métodos do Office SharePoint Server 2007 e do ASP.NET, conforme indicado na seguinte tabela:

Habilitando o acesso anônimo

Você pode habilitar o acesso anônimo em um aplicativo Web, bem como configurar um método de autenticação mais seguro. Com essa configuração, os administradores dos sites internos do aplicativo Web podem optar por permitir o acesso anônimo. Se os usuários anônimos quiserem acessar recursos protegidos, poderão clicar em um botão de logon para enviar suas credenciais.

Usando métodos de autenticação diferentes para acessar um site

Você pode configurar aplicativos Web no Office SharePoint Server 2007 para serem acessados por até cinco métodos de autenticação ou sistemas de gerenciamento de identidades diferentes. A figura a seguir ilustra um aplicativo parceiro configurado para ser acessado por usuários de dois sistemas de gerenciamento de identidades diferentes. Os funcionários internos são autenticados pelo método de autenticação padrão do Windows. Os funcionários da empresa parceira são autenticados pelo sistema de gerenciamento de identidades da própria empresa.

Para configurar um aplicativo Web para ser acessado por dois ou mais sistemas de autenticação diferentes, você deve configurar zonas adicionais no aplicativo Web. As zonas representam caminhos lógicos diferentes de obtenção de acesso ao mesmo aplicativo físico. Com um aplicativo parceiro típico, os funcionários de uma empresa parceira acessam o aplicativo pela Internet, enquanto os funcionários internos o acessam diretamente na intranet.

Para criar uma nova zona, estenda o aplicativo Web. Na página Estender Aplicativo Web para Outro Site do IIS, na seção URL com Carga Equilibrada , especifique a URL e o tipo de zona. O tipo de zona é simplesmente um nome de categoria aplicado à zona e não afeta a configuração dela.

Depois de estender o aplicativo Web, você pode configurar um método de autenticação diferente para a nova zona. A figura a seguir mostra a página Provedores de Autenticação de um aplicativo Web configurado usando duas zonas diferentes. A zona padrão é a usada por funcionários internos. A zona Internet é configurada para acesso do parceiro e usa formulários ASP.NET para autenticar os funcionários dele no respectivo sistema de gerenciamento de identidades.

Planejar autenticação para rastreamento de conteúdo

Para executar rastreamentos bem-sucedidos de conteúdo em um aplicativo Web, você deve entender os requisitos de autenticação do componente de índice do servidor de indexação (também chamado de rastreador ). Esta seção descreve como configurar a autenticação de aplicativos Web para garantir o rastreamento bem-sucedido desse conteúdo.

Quando um administrador de farm cria um aplicativo Web usando todas as configurações padrão, a zona padrão desse aplicativo Web é configurada para usar NTLM. O administrador de farm pode alterar o método de autenticação da zona para qualquer método de autenticação padrão aceito pelo Office SharePoint Server 2007.

O administrador de farm também pode estender um aplicativo Web uma ou mais vezes para habilitar zonas adicionais. Até cinco zonas podem ser associadas a um determinado aplicativo Web e cada zona pode ser configurada para usar qualquer método de autenticação aceito pelo Office SharePoint Server 2007.

Por padrão, o rastreador usa NTLM ao rastrear conteúdo. Um administrador de serviço de pesquisa também pode criar uma regra de rastreamento a fim de configurar o rastreador para usar um método de autenticação diferente, como autenticação básica ou certificado de cliente, em vez de NTLM, ao rastrear um intervalo específico de URLs. Para obter mais informações sobre regras de rastreamento, consulte Planejar o rastreamento de conteúdo (Office SharePoint Server).

Ordem na qual o rastreador acessa zonas

Ao planejar as zonas de um aplicativo Web, considere a ordem de sondagem na qual o rastreador acessa zonas ao tentar autenticar. A ordem de sondagem é importante, pois se o rastreador encontrar uma zona configurada para usar autenticação Digest ou Kerberos e que não use uma porta padrão (80 ou 443), a autenticação falhará e o rastreador não tentará acessar a próxima zona da ordem de sondagem. Se isso ocorrer, o rastreador não rastreará o conteúdo nesse aplicativo Web.

O rastreador sonda as zonas na seguinte ordem:

• Zona padrão

• Zona da intranet

• Zona da Internet

• Zona personalizada

• Zona da extranet

A figura a seguir mostra as decisões tomadas pelo sistema de autenticação quando o rastreador tenta autenticar:

Como o rastreador sonda as zonas

A tabela a seguir descreve as ações associadas a cada texto explicativo na figura.

Texto explicativo	Ação
1	Rastreador tenta autenticar usando a zona padrão. Observação: O rastreador sempre tenta usar a zona padrão primeiro ao tentar autenticar.
2	Se os métodos de autenticação configurados para o rastreador e a zona forem iguais, o rastreador será autenticado e seguirá para a fase de autorização. Caso contrário, irá para a etapa 3.
3	Se a zona estiver configurada para autenticação Kerberos, irá para a etapa 4. Caso contrário, irá para a etapa 5.
4	Se a zona estiver configurada para usar a porta 80 ou 443, o rastreador será autenticado e seguirá para a fase de autorização. Caso contrário, a autenticação falhará e o rastreador não tentará autenticar usando outra zona. Isso significa que o conteúdo não será rastreado.
5	Se não houver mais zonas na ordem de sondagem, a autenticação falhará e o conteúdo não será rastreado. Caso contrário, irá para a etapa 6.
6	O rastreador tenta autenticar usando a próxima zona da ordem de sondagem. Retorna à etapa 2.

Se você configurar a zona padrão para usar um método de autenticação incompatível com o rastreador, como o SSO na Web, terá de criar pelo menos uma zona adicional e configurá-la para usar certificados, autenticação básica, Kerberos com uma porta padrão ou NTLM. Se certificados ou autenticação básica forem usados para rastrear o aplicativo Web, o administrador de serviço de pesquisa deverá criar uma regra de rastreamento a fim de configurar o rastreador para usar o método apropriado de autenticação no rastreamento desse aplicativo Web. Considere o seguinte cenário.

Cenário de autenticação

O administrador de farm cria um aplicativo Web e configura-o para usar autenticação de formulários. Como o administrador de farm quer que o conteúdo do aplicativo Web seja rastreado e indexado, e como ele sabe que o rastreador requer uma zona configurada com NTLM, autenticação básica ou certificados, ele estende o aplicativo Web e configura a zona da intranet para usar NTLM.

Quando o rastreador tenta autenticar usando a zona padrão, o sistema de autenticação descobre que o rastreador e a zona não estão configurados para usar o mesmo método de autenticação. Como a zona não está configurada para Kerberos usando uma porta fora do padrão ou autenticação Digest, e há pelo uma zona adicional na ordem de sondagem, o rastreador tenta autenticar usando a zona da intranet. Como a zona da intranet está configurada para usar NTLM e o rastreador também usa NTLM, por padrão a autenticação é bem-sucedida.

Observe que, se o administrador do farm tivesse configurado a zona da intranet para autenticação básica, em vez de NTLM, o administrador do serviço de pesquisa precisaria criar uma regra de rastreamento a fim de configurar o rastreador para usar autenticação básica no rastreamento desse aplicativo Web específico. Caso contrário, a autenticação falharia e o conteúdo não seria rastreado. Da mesma maneira, se o administrador do farm tivesse configurado a zona da intranet para usar um certificado do cliente, o administrador do serviço de pesquisa teria de criar uma regra de rastreamento a fim de configurar o rastreador para usar um certificado do cliente ao rastrear esse aplicativo Web específico. Além disso, um administrador de servidor teria de registrar o certificado do cliente no servidor de indexação; caso contrário, a autenticação falharia e o conteúdo não seria rastreado.

Lembre-se de que, se você configurar uma zona para usar autenticação básica ou certificados e quiser que o rastreador autentique usando essa zona, o administrador do serviço de pesquisa terá de criar uma regra de rastreamento a fim de configurar o rastreador para usar o mesmo método de autenticação que a zona na qual pretende autenticá-lo. Caso contrário, o rastreador tentará usar a próxima zona disponível.

Além de configurar corretamente o método de autenticação, você deve garantir que o rastreador esteja autorizado para rastrear conteúdo no aplicativo Web. O administrador do serviço de pesquisa deve garantir que a conta de acesso ao conteúdo tenha permissão de leitura do conteúdo acessado por meio dessa zona. Os administradores de farm podem fazer isso criando uma diretiva que atribua à conta de acesso ao conteúdo permissão de leitura em um determinado aplicativo Web.

Planejar zonas para design de autenticação

Se você pretende implementar mais de um método de autenticação em um aplicativo Web usando zonas, siga estas diretrizes:

• Use a zona padrão para implementar as configurações de autenticação mais seguras. Se não for possível associar uma solicitação a uma zona específica, as configurações de autenticação e outras diretivas de segurança da zona padrão serão aplicadas. A zona padrão é a criada na criação inicial de um aplicativo Web. Geralmente, as configurações de autenticação mais seguras são as criadas para acesso do usuário final. Consequentemente, a zona padrão provavelmente será aquela acessada pelos usuários finais.

• Use o número mínimo de zonas exigido pelo aplicativo. Cada zona é associada a um novo site e domínio do IIS para acessar o aplicativo Web. Adicione novos pontos de acesso somente quando forem necessários.

• Para que o conteúdo de um aplicativo Web seja incluído nos resultados da pesquisa, configure pelo menos uma zona para usar autenticação NTLM. O componente de índice precisa da autenticação NTLM para rastrear conteúdo. Não crie uma zona dedicada para o componente de índice se ela não for necessária.

Escolher métodos de autenticação permitidos em seu ambiente

Além da compreensão de como a autenticação está configurada, o planejamento da autenticação inclui:

• Considerar o contexto ou ambiente de segurança do aplicativo Web no Office SharePoint Server 2007.

• Avaliar as recomendações e as implicações de cada método.

• Compreender como as credenciais dos usuários e os dados de identidade relacionados são armazenados em cache e consumidos pelo Office SharePoint Server 2007.

• Compreender como as contas de usuário são gerenciadas.

• Garantir que os métodos de autenticação sejam compatíveis com os navegadores usados pelos usuários.

Recomendações para ambientes de segurança específicos

A escolha dos métodos autenticação está voltada principalmente para o contexto de segurança do aplicativo. A tabela a seguir fornece recomendações com base nos ambientes de segurança mais comuns:

Recomendações e implicações dos métodos de autenticação

Compreender as vantagens, as recomendações e as implicações de cada método de autenticação pode ajudar a determinar o método ideal para seu ambiente. A tabela a seguir destaca recomendações e implicações de cada método de autenticação. Para obter mais informações sobre cada método de autenticação do Windows compatível com o IIS, consulte o artigo sobre autenticação do IIS (em inglês) (https://go.microsoft.com/fwlink/?linkid=78066\&clcid=0x416) (em inglês).

Gerenciamento das informações de identidade do usuário

Como as credenciais e outras informações de identidade dos usuários são processadas e usadas pelo Office SharePoint Server 2007 pode influenciar sua decisão em relação à opção de autenticação mais adequada à finalidade pretendida. Esta seção fornece detalhes de como as informações de identidade do usuário são processadas nas seguintes categorias:

• Identificadores binários   Como os identificadores (IDs) binários de usuário são criados ou usados pelo Office SharePoint Server 2007.

• Armazenamento em cache   O processo de retenção da identidade de um usuário por um período de tempo para evitar a repetição do processo de autenticação em cada solicitação.

• Função e associação de grupo   Além de determinar quem são os usuários, o processo de autenticação também determina a que grupos ou funções um usuário pertence. Essas informações são usadas durante o processo de autorização para determinar as ações que um usuário tem permissão para realizar. Para fins de autorização, o Office SharePoint Server 2007 trata grupos do Active Directory e funções do ASP.NET como o mesmo tipo de entidade.

A tabela a seguir detalha como o Office SharePoint Server 2007 gerencia identificadores binários de usuário, dados de usuário armazenados em cache e dados de função e associação de grupo conforme o método de autenticação usado:

Gerenciamento de contas de usuário

Compreender como o Office SharePoint Server 2007 trata tarefas típicas de gerenciamento de contas de usuário também pode influenciar a escolha do método de autenticação. Geralmente, os usuários que são membros de um provedor de autenticação em uma zona podem gerenciar contas em todas as zonas, desde que tenham permissão. As informações contidas na lista a seguir aplicam-se independentemente do método de autenticação implementado:

• Adicionando e convidando novos usuários    Você poderá adicionar ou convidar um novo usuário de qualquer zona e de todos os métodos de autenticação configurados se o provedor de associação e o gerenciador de funções estiverem registrados no arquivo Web.config atual. Quando você adiciona um novo usuário, o Office SharePoint Server 2007 resolve o nome do usuário nas fontes a seguir, na seguinte ordem:

  • A tabela UserInfoList armazenada pelo Office SharePoint Server 2007. As informações do usuário estarão nessa lista se os usuários já tiverem sido adicionados a outro site.

  • O provedor de autenticação configurado na zona atual. Por exemplo, se um usuário for um membro do provedor de autenticação configurado na zona padrão, o Office SharePoint Server 2007 primeiro verificará esse provedor de associação.

  • Todos os outros provedores de autenticação.

• Excluindo usuários As contas de usuário são marcadas como excluídas no banco de dados do Office SharePoint Server 2007. No entanto, o registro do usuário não é removido.

Alguns comportamentos de gerenciamento de conta de usuário no Office SharePoint Server 2007 diferem conforme o provedor de autenticação. A tabela a seguir destaca várias tarefas comuns de conta de usuário que diferem conforme o método de autenticação implementado:

Suporte do navegador

Nem todos os navegadores funcionam com cada um dos métodos de autenticação compatíveis. Antes de selecionar métodos de autenticação para permitir em seu ambiente, determine os navegadores aos quais terá de oferecer suporte. Em seguida, determine os métodos de autenticação que são compatíveis com os navegadores. O Internet Explorer funciona com todo os métodos de autenticação aceitos. Outros navegadores compatíveis com o Office SharePoint Server 2007 incluem:

• Netscape 8.0

• Netscape 7.2

• Mozilla 1.7.12

• Firefox 1.5

• Safari 2.02

Planilha

Use a seguinte planilha para registrar os métodos de autenticação apropriados para seu ambiente:

• Planilha de métodos de autenticação (https://go.microsoft.com/fwlink/?linkid=77970\&clcid=0x416)

A seguinte tabela representa um exemplo de uma planilha preenchida:

Observações adicionais: "Trabalhe com Denise Smith na aprovação de todas as configurações de autenticação dos aplicativos Web do SharePoint antes da implementação."

Baixar este manual

Este tópico está incluído no seguinte manual baixável para facilitar a leitura e a impressão:

• Planejamento e arquitetura para o Office SharePoint Server 2007, parte 2

Consulte a lista completa de manuais disponíveis na página de download de conteúdo do Office SharePoint Server 2007.

Consulte também

Conceitos

Modelo de arquitetura lógica: implantação corporativa