Планирование проверки подлинности Kerberos в SharePoint Server

**Применимо к:**SharePoint Server 2013, SharePoint Server 2016

**Последнее изменение раздела:**2017-06-27

Сводка. Узнайте, как запланировать проверку подлинности Kerberos в SharePoint 2013 и SharePoint Server 2016 и использовать ее для проверки подлинности Windows и проверки подлинности на основе утверждений.

Протокол Kerberos поддерживает метод проверки подлинности на основе билетов, предоставляемых доверенным источником. Билеты Kerberos указывают, что сетевые учетные данные пользователя, связанного с клиентским компьютером, прошли проверку подлинности. Протокол Kerberos определяет способ, которым пользователи взаимодействуют с сетевой службой, чтобы получить доступ к сетевым ресурсам. Центр распределения ключей Kerberos выпускает билет для выдачи билета для клиентского компьютера от имени пользователя. В Windows клиентский компьютер является участником домена доменных служб Active Directory (AD DS), а билет для выдачи билета является свидетельством того, что контроллер домена проверил подлинность учетных данных пользователя.

Перед установлением сетевого соединения с сетевой службой клиентский компьютер представляет свой билет для выдачи билета в центр распределения ключей и запрашивает билет службы. На основании ранее выданного билета для выдачи билета, который подтверждает подлинность клиентского компьютера, центр распределения ключей выпускает билет службы для клиентского компьютера. Затем клиентский компьютер передает билет службы сетевой службе. Билет службы также должен содержать допустимое имя участника-службы, которое определяет службу. Для включения проверки подлинности Kerberos компьютеры сервера и клиента уже должны иметь доверенное подключение к центру распределения ключей. Компьютеры сервера и клиента также должны иметь доступ к службам AD DS.

В этой статье

• Проверка подлинности Kerberos и SharePoint Server

• Проверка подлинности Kerberos и проверка подлинности на основе утверждений

Проверка подлинности Kerberos и SharePoint Server

Ниже приводятся преимущества проверки подлинности Kerberos:

• Kerberos — это самый надежный протокол проверки подлинности, встроенный в Windows. Он поддерживает дополнительные функции безопасности, включая шифрование данных AES и взаимную проверку подлинности клиентов и серверов.

• Протокол Kerberos обеспечивает делегирование учетных данных клиентов.

• Среди доступных методов безопасной проверки подлинности Kerberos требует наименьшего объема сетевого трафика к контроллерам домена AD DS. В некоторых случаях Kerberos может уменьшить задержку отображения страниц или увеличить число страниц, которые может обрабатывать интерфейсный веб-сервер. Kerberos также может уменьшить нагрузку на контроллеры домена.

• Kerberos является открытым протоколом, который поддерживается многими платформами и производителями.

Ниже приводятся причины, по которым проверка подлинности Kerberos может быть неприемлема:

• В отличие от других методов проверки подлинности проверка подлинности Kerberos для правильного функционирования требует дополнительной настройки инфраструктуры и среды. Во многих случаях для настройки проверки подлинности Kerberos, которая может оказаться сложной в развертывании и обслуживании, требуются разрешения администратора домена. Неправильная настройка Kerberos может привести к невозможности проверки подлинности на сайтах.

• Проверка подлинности Kerberos требует подключения клиентского компьютера к центру распределения ключей и контроллеру домена служб Active Directory (AD DS). В развертывании Windows и SharePoint центр распределения ключей является контроллером домена служб AD DS. Хотя такая конфигурация сети и распространена в интрасети предприятий, развертывания с выходом в Интернет обычно таким образом не настраиваются.

Делегирование Kerberos

Проверка подлинности Kerberos поддерживает делегирование удостоверений клиентов. Это значит, что служба может выполнить олицетворение удостоверения клиента, прошедшего проверку подлинности. Олицетворение позволяет службе передавать удостоверение, прошедшее проверку подлинности, другим сетевым службам от имени клиента. Для делегирования учетных данных клиента может также использоваться проверка подлинности на основе утверждений, но это требует, чтобы серверное приложение поддерживало утверждения.

При использовании вместе с SharePoint Server делегирование Kerberos позволяет службе переднего плана выполнять проверку подлинности клиента и затем использовать удостоверение клиента для проверки подлинности в серверной системе. Серверная система затем выполняет собственную проверку подлинности. Когда клиент использует проверку подлинности Kerberos для прохождения проверки подлинности в интерфейсной службе, делегирование Kerberos можно использовать для передачи удостоверения клиента в серверную систему. Протокол Kerberos поддерживает два типа делегирования:

• Базовое делегирование Kerberos (неограниченное).

• Ограниченное делегирование Kerberos.

Базовое и ограниченное делегирование Kerberos

Базовое делегирование Kerberos может выходить за пределы домена в одном лесу, но не может пересекать границы леса. Ограниченное делегирование Kerberos не позволяет переходить границы домена или леса за исключением случаев, когда используются контроллеры домена, запущенные в Windows Server 2012.

В зависимости от приложений-служб, входящих в состав развертывания SharePoint Server, для реализации проверки подлинности Kerberos в SharePoint Server может потребоваться ограниченное делегирование Kerberos.

Чтобы развернуть проверку подлинности Kerberos с любыми из следующих приложений-служб или продуктами, SharePoint Server может использовать либо базовое, либо ограниченное делегирование Kerberos:

• Служба Служба подключения к бизнес-данным (это приложение-служба недоступно SharePoint Foundation 2013)

• Службы Службы Access (это приложение-служба недоступно в SharePoint Foundation 2013)

• Службы SQL Server Reporting Services (SSRS) (отдельный продукт)

• Project Server 2016 (отдельный продукт)

Службы, поддерживающие проверку подлинности Kerberos, могут делегировать удостоверения несколько раз. По мере передвижения удостоверения от службы к службе метод делегирования может меняться с базового на ограниченное делегирование Kerberos. Однако обратное направление невозможно. Метод делегирования не может измениться с ограниченного делегирования Kerberos на базовое. Поэтому важно рассчитать и спланировать, потребуется ли серверной службе базовое делегирование Kerberos. Этот процесс может затрагивать планирование реализации и проектирование границ доменов.

Служба с поддержкой протокола Kerberos может использовать перенос протокола для преобразования удостоверения, отличного от Kerberos, в удостоверение Kerberos, которое может делегироваться другим службам с поддержкой Kerberos. Эту возможность можно использовать, например, для делегирования удостоверения, не являющегося Kerberos, из интерфейсной службы в удостоверение Kerberos в серверной службе.

В качестве альтернативы делегированию Kerberos может использоваться проверка подлинности на основе утверждений. Проверка подлинности на основе утверждений позволяет передавать утверждение проверки подлинности клиента между разными службами, если службы удовлетворяют всем следующим требованиям:

• Между службами должно быть отношение доверия.

• Службы должны поддерживать утверждения.

Дополнительные сведения о проверке подлинности Kerberos см. в следующих источниках:

• Практическое руководство по Kerberos (https://social.technet.microsoft.com/wiki/contents/articles/4209.kerberos-survival-guide.aspx)

• Принципы работы протокола проверки подлинности Kerberos версии 5

• Microsoft Kerberos

• Принципы работы протокола Kerberos

Проверка подлинности Kerberos и проверка подлинности на основе утверждений

SharePoint 2013 и SharePoint Server 2016 поддерживает проверку подлинности на основе утверждений. Проверка подлинности на основе утверждений основана на платформа Windows Identity Foundation (WIF), которая представляет собой набор классов .NET Framework, используемых для реализации удостоверений, основанных на утверждениях. Проверка подлинности на основе утверждений базируется на таких стандартах, как WS-Federation и WS-Trust. Дополнительные сведения о проверке подлинности на основе утверждений см. в следующих источниках:

• Удостоверение, основанное на утверждениях, для Windows (технический документ) (https://go.microsoft.com/fwlink/p/?LinkId=198942)

• Домашняя страница Windows Identity Foundation

• Планирование проверки подлинности в SharePoint Server

При создании веб-приложения UNRESOLVED_TOKEN_VAL(SharePoint Server) с помощью центра Центр администрирования необходимо выбрать один или несколько типов проверки подлинности на основе утверждений. При создании веб-приложения UNRESOLVED_TOKEN_VAL(SharePoint Server) с помощью командлета New-SPWebApplicationMicrosoft PowerShell вы можете указать проверку подлинности на основе утверждений и ее типы либо классическую проверку подлинности. Проверка подлинности на основе утверждений рекомендуется для всех веб-приложений UNRESOLVED_TOKEN_VAL(SharePoint Server). При использовании проверки подлинности на основе утверждений для веб-приложений доступны все поддерживаемые типы проверки подлинности, при этом можно применять межсерверную проверку подлинности и проверку подлинности приложений. Дополнительные сведения см. в разделе Новые возможности проверки подлинности для SharePoint 2013.

Приложения-службы, которым требуется служба C2WTS, должны использовать ограниченное делегирование Kerberos. Это обусловлено тем, что служба C2WTS требует преобразования протокола, а оно поддерживается только ограниченным делегированием Kerberos. Для приложений-служб, приведенных в предыдущем списке, служба C2WTS преобразует утверждения в пределах фермы в учетные данные Windows для исходящей проверки подлинности. Важно понимать, что указанные приложения-службы могут использовать службу C2WTS только при условии, что для входящей проверки подлинности используется либо метод на основе утверждений, либо классический режим Windows. Приложения-службы, доступ к которым осуществляется через веб-приложения и которые используют утверждения SAML или утверждения проверки подлинности на основе форм, не используют службу C2WTS и поэтому не могут преобразовывать утверждения в учетные данные Windows.

Проверка подлинности Kerberos и новая модель приложений SharePoint

Если для проверки подлинности пользователей используется режим утверждений Windows, а для веб-приложения задано использование только проверки подлинности Kerberos без обращения к NTLM в качестве протокола проверки подлинности, то проверка подлинности приложений работать не будет. Дополнительные сведения см. в статье Планирование проверки подлинности приложений в SharePoint Server.

See also

Планирование методов проверки подлинности для пользователей в SharePoint Server