Share via

Планирование безопасности внешней среды анонимного доступа (Office SharePoint Server)

  • Статья

Содержание:

  • Защита фоновых серверов

  • Настройка анонимного доступа

  • Обеспечение безопасности сайта центра администрирования

  • Безопасное развертывание контента с помощью протокола SSL

  • Отключение входящей электронной почты

  • Использование режима блокировки

  • Контрольный список проекта системы безопасности

  • Планирование усиления безопасности для ролей сервера

  • Планирование настроек безопасности компонентов Office SharePoint Server

Основные направления защиты для среды внешнего анонимного доступа заключаются в том, чтобы предоставить анонимный доступ к содержимому, обеспечив при этом защиту серверов фермы от прямого доступа пользователей или злонамеренных действий, направляемых через интерфейсные веб-серверы. Для среды, в которой может быть развернуто несколько ферм, поддерживающих создание, промежуточное хранение и публикацию, основные направления защиты должны быть сосредоточены на опубликованной ферме (ферме, к которой пользователи получают анонимный доступ).

Существуют несколько уникальных рекомендаций для среды внешнего анонимного доступа. Некоторые из этих рекомендаций применимы не для всех решений.

Защита фоновых серверов

Для сайтов размещения, обеспечивающих анонимное использование, необходимы серверы с выходом в Интернет. Входящий трафик, поступающий из Интернета, может быть ограничен путем защиты серверов, в том числе сервера индексирования и других ролей серверов приложений и серверов, на которых размещены базы данных:

  • Защита серверов баз данных   В качестве минимальной меры установите межсетевой экран между интерфейсными веб-серверами и серверами баз данных. В некоторых средах требуется, чтобы серверы баз данных размещались во внутренней сети, а не напрямую в экстрасети.

  • Защита серверов приложений   Обеспечьте защиту серверов приложений, по крайней мере, с помощью протокола IPsec, который позволяет защитить межсерверный обмен данными. Кроме того, можно разместить дополнительные серверы за брандмауэром, который используется для защиты серверов баз данных. Или же можно использовать дополнительный брандмауэр между интерфейсными веб-серверами и серверами приложений.

  • Защита роли индексирования   Компонент индексирования связывается с интерфейсным веб-сервером для выполнения обхода контента сайтов. Чтобы защитить канал связи, рассмотрите возможность настройки выделенного интерфейсного веб-сервера для использования одним или несколькими серверами индексирования. При этом связь во время обхода осуществляется только через интерфейсный веб-сервер, который недоступен для пользователей. Кроме того, настройте службы IIS таким образом, чтобы к службе SiteData.asmx (служба обходчика SOAP) имел доступ только сервер индексирования (или другие обходчики). Выделение интерфейсного веб-сервера для обхода контента способствует повышению производительности за счет сокращения нагрузки на главные интерфейсные веб-серверы, что в свою очередь улучшает условия работы пользователя.

Настройка анонимного доступа

Чтобы обеспечить анонимный доступ к содержимому, необходимо обеспечить следующее:

  • Настройка веб-сайта или семейства веб-сайтов должна допускать анонимный доступ

  • Настройка как минимум одной зоны в веб-приложении должна допускать анонимный доступ

Разрешите анонимный доступ только тем веб-приложениям, для которых необходим доступ без проверки подлинности. Если для идентификации на узлах требуется осуществлять проверку подлинности, реализуйте проверку подлинности с помощью форм, используя простую базу данных службы проверки подлинности.

Обеспечение безопасности сайта центра администрирования

Поскольку доступ к зоне сети имеют внешние пользователи, важно обезопасить сайт центра администрирования, заблокировать внешний доступ к нему и защитить внутренний доступ. Для этого выполните следующие действия.

  • Убедитесь, что сайт центра администрирования не находится на интерфейсном веб-сервере.

  • Заблокируйте внешний доступ к сайту центра администрирования. Это можно обеспечить, установив межсетевой экран между веб-серверами переднего плана и сервером, на котором размещается сайт центра администрирования.

  • Настройте сайт центра администрирования для использования протокола SSL. Это обеспечит безопасность связи между внутренней сетью и сайтом центра администрирования.

Безопасное развертывание контента

Если функция развертывания контента не используется, отключите функцию получения фермой серверов развертываний содержимого (в области Параметры развертывания содержимого выберите Отклонять входящие задания развертывания содержимого). Значение по умолчанию.

Если возможности развертывания контента используются с целью развертывания контента с одной фермы серверов на другую, убедитесь, что сайт центра администрирования получающей фермы серверов настроен на использование протокола SSL. Это обеспечит безопасность межсерверного обмена данными в отношении разворачиваемого содержимого между двумя фермами серверов.

Кроме того, чтобы защитить удостоверения пользователей, снимите флажок Развертывать имена пользователей во время настройки пути развертывания контента.

Отключение входящей электронной почты

Не используйте интеграцию для входящей электронной почты. Это обеспечит защиту среды от рисков, связанных с электронной почтой, отправленной из анонимных источников в Интернете. Если входящая электронная почта разрешена, настройте сайт центра администрирования для включения анонимной электронной почты. Такая возможность предусмотрена, однако в ней заключена угроза безопасности.

Использование режима блокировки

Режим блокировки используется для защиты опубликованных сайтов. Когда режим блокировки включен, число детальных разрешений для уровня разрешений ограниченного доступа сокращается. В следующей таблице описываются разрешения по умолчанию уровня разрешений ограниченного доступа и ограниченные разрешения при включенном режиме блокировки.

Разрешение Ограниченный доступ — по умолчанию Ограниченный доступ — режим блокировки

Разрешения для списков: просмотр страниц приложений

●

Разрешения для сайтов: обзор сведений о пользователе

●

●

Разрешения для сайтов: использование удаленных интерфейсов

●

Разрешения для сайтов: использование средств интеграции клиентов

●

●

Разрешения для сайтов: открытие

●

●

Режим блокировки применяется для сайтов при следующих обстоятельствах:

  • Программа командной строки Stsadm.exe используется для включения режима блокировки.

  • Шаблон сайта портала публикации применяется для семейства сайтов. По умолчанию режим блокировки включается при применении этого шаблона.

Рекомендуется использовать режим блокировки на опубликованных сайтах, если для этих сайтов требуется повышенный уровень безопасности. Кроме того, при применении шаблона сайта портала публикации определите, является ли режим блокировки требуемой настройкой для этих сайтов. Если нет, используйте программу командной строки Stsadm.exe, чтобы выключить режим блокировки.

В следующей таблице перечислены команды Stsadm, имеющие отношение к использованию режима блокировки.

Действие Команда

Включить режим блокировки для семейства сайтов

stsadm -o activatefeature -url <url-адрес семейства сайтов> -имя_файла ViewFormPagesLockDown\feature.xml

Выключить режим блокировки для семейства сайтов

stsadm -o deactivatefeature -url <url-адрес семейства сайтов> -имя_файла ViewFormPagesLockDown\feature.xml

Контрольный список безопасного проекта

Используйте этот контрольный список проекта совместно с контрольными списками, приведенными в разделе Обзор контрольных списков проекта безопасной топологии (Office SharePoint Server).

Топология

[ ]

Защитите фоновые серверы, установив по крайней мере один межсетевой экран между интерфейсными веб-серверами и серверами приложений и баз данных.

[ ]

Запланируйте использование выделенного интерфейсного веб-сервера для обхода контента. Не включайте этот интерфейсный веб-сервер в ротацию интерфейсных веб-серверов балансировки сетевой нагрузки конечного пользователя.

Логическая архитектура

[ ]

Разрешите анонимный доступ только для тех зон веб-приложений, в которых размещаются сайты или семейства сайтов, настроенные для анонимного доступа.

Дополнительные сведения см. на в разделе Планирование способов проверки подлинности (Office SharePoint Server).

[ ]

Используйте SSL для защиты развертывания контента.

[ ]

Заблокируйте доступ к сайту центра администрирования и настройте на этом сайте протокол SSL.

Планирование мер по усилению безопасности для ролей сервера

В приведенной ниже таблице описаны рекомендации по дополнительному усилению защиты среды внешнего анонимного доступа.

Компонент Рекомендации

Порты

Заблокируйте внешний доступ к порту сайта центра администрирования.

Протоколы

  • Отключите протокол SMTP.

  • Используйте протокол SSL для защиты содержимого, поскольку оно развертывается из фермы разработки в промежуточные и опубликованные фермы.

Службы IIS

При настройке выделенного интерфейсного веб-сервера, используемого для индексирования, настройте службы IIS для разрешения доступа к файлу SiteData.asmx (службе обходчика SOAP) только серверу индексирования или другим обходчикам.

Планирование безопасных конфигураций компонентов Office SharePoint Server

В приведенной ниже таблице описаны дополнительные рекомендации по обеспечению защиты средств Microsoft Office SharePoint Server 2007 во внешней среде анонимного доступа.

Функция или область Рекомендации

Проверка подлинности

Укажите анонимную проверку подлинности в службе IIS.

Развертывание контента

Если функция развертывания контента не используется, отключите функцию получения фермой серверов развертываний содержимого. Значение по умолчанию.

При использовании функции развертывания контента рекомендуются следующие настройки:

  • Включите протокол SSL для сайта центра администрирования на получающей ферме серверов.

  • Снимите флажок Развертывать имена пользователей при настройке пути развертывания контента.

Интеграция электронной почты

Не включайте интеграцию для входящей электронной почты.

Кэширование содержимого страниц с персонализированным содержимым

Кэширование вывода можно использовать для оптимизации производительности сайтов, отображающих некоторое персонализированное содержимое. В этом сценарии используется замена после кэширования с целью обеспечения обновления персонализированного содержимого для пользователей. В результате, если вся страница или ее большая часть содержит персонализированное содержимое, применение кэширования вывода дает небольшое преимущество.

При использовании кэширования вывода на страницах с персонализированным содержимым, будьте уверенны в безопасности последствий, вытекающих из способа его настройки. При выполнении следующих условий убедитесь, что сайты, отображающие персонализированное содержимое, поддерживают замену после кэширования:

  • Планируется включение кэширования вывода на страницах (для оптимизации производства).

  • Как анонимные, так и авторизованные пользователи имеют доступ к содержимому.

  • Приложение имеет сайты с элементами управления, отображающими персонализированное содержимое (для авторизованных пользователей).

В этом сценарии все анонимные пользователи видят отображение одного и того же содержимого. Содержимое, которое видят авторизованные пользователи, зависит от того, отображается ли персонализированное содержимое и поддерживается ли замена после кэширования для этого содержимого:

  • Если замена после кэширования поддерживается для персонализированного содержимого, авторизованные пользователи, имеющие одинаковые права, могут просматривать только свое собственное персонализированное содержимое.

  • Если замена после кэширования не поддерживается для персонализированного содержимого, пользователи, имеющие одинаковые права, как и все остальные могут просматривать одно и то же содержимое. В этом сценарии, если персонализированное содержимое сначала кэшируется для пользователя A, все последующие пользователи, имеющие такие же права, будут видеть персонализированное содержимое пользователя A, а не свое собственное содержимое.

Сервер InfoPath Forms Server

В среде с анонимным доступом отключите прокси-сервер веб-служб службы InfoPath Forms Services. Эта служба запускает запросы в качестве надежной учетной записи службы и пересылает их в веб-службы путем использования идентификации надежной учетной записи службы.

В средах, где к формам InfoPath имеют доступ только авторизованные пользователи, доступ к системе управления базами данных защищен с помощью проверки подлинности. Однако если впоследствии создаются формы InfoPath для использования анонимными пользователями и эти формы имеют доступ к той же системе управления базами данных, эта система управления базами данных настраивается на доверие прокси-серверу веб-служб и предоставление требуемых данных. В этом случае анонимные пользователи могут иметь доступ к данным, которые, как правило, доступны только для авторизованных пользователей.

По умолчанию прокси-сервер веб-служб отключен. Управление этой службой осуществляется в центре администрирования. На вкладке Управление приложениями, в категории служба InfoPath Forms Services щелкните Управление прокси-сервером веб-служб.

Загрузка этой книги

Для упрощения чтения и печати эта тема включена в следующую загружаемую книгу:

См. полный список доступных книг на веб-сайте Загружаемые книги для Office SharePoint Server 2007