Omówienie zabezpieczeń dla usługi Reporting Services w trybie zintegrowanym programu SharePoint

Jeśli aplikacja sieci Web programu SharePoint jest skonfigurowany dla uwierzytelniania systemu Windows za pomocą protokołu Kerberos, personifikowanym lub delegowanych poświadczenia bieżącego użytkownika systemu Windows może używać połączenie z aplikacji sieci Web programu SharePoint serwer raportów.Przy użyciu zintegrowanych zabezpieczeń systemu Windows z delegowania Kerberos i tożsamości, można wyeliminować klasycznego "double -przeskok" problemu polegającego poświadczenia systemu Windows wygasa po jednego połączenia.Można również zwiększyć zestaw opcji, które są dostępne podczas konfigurowania połączenia źródło danych dla raportów i modeli.Poniższy diagram przedstawia połączeń, gdy serwer raportów jest skonfigurowany dla integracja programu SharePoint i aplikacji sieci Web programu SharePoint używa uwierzytelniania systemu Windows z delegacji Kerberos i tożsamości.

• Połączenia 1
  Użytkownik uzyskuje dostęp do witryny programu SharePoint w obszarze tokenu użytkownika utworzone po zalogowaniu się użytkownika do sieci.Zawiera on członkostwo tożsamości i grupy użytkowników.Aplikacja sieci Web programu SharePoint uwierzytelnia użytkownika.Użytkownik żąda serwer raportów towaru lub operacji.

• Połączenia 2
  Aplikacja sieci Web programu SharePoint wysyła tokenu i żądania serwer raportów.Delegowaną tożsamością Windows użytkownik jest wysyłane żądanie połączenia.serwer raportów uwierzytelnia użytkownika, aby sprawdzić, czy użytkownik może uzyskać dostęp do serwer raportów.

• Połączenia 3
  Uwierzytelnianie jest pomyślne, serwer raportów użyje konta wystąpienie usług Reporting Services połączenie zawartości bazy danych programu SharePoint do sprawdzenia, czy użytkownik jest autoryzowany dostęp do element lub operacji.W przypadku pomyślnego autoryzacja serwer raportów usług żądania.

• Połączenia 4
  Jeśli użytkownik jest przeglądanie raportu, serwer raportów można delegować Windows tożsamości użytkownika podczas przetwarzania do pobierania danych z zewnętrznych źródeł danych raportu.Oznacza to, że możesz zestaw właściwości źródło danych w raporcie, można wybrać Zintegrowane zabezpieczenia systemu Windows opcja dla połączenia źródło danych.Aby uzyskać więcej informacji, zobacz Określanie poświadczeń i informacji o połączeniu dla źródeł danych raportu (SSRS) i Jak Tworzenie i zarządzanie udostępniane źródła danych (usługi raportowania w trybie zintegrowanym programu SharePoint) w dokumentacji SQL Server Books Online.

Jeśli aplikacja sieci Web programu SharePoint jest skonfigurowany dla uwierzytelniania formularzy lub uwierzytelnianie systemu Windows przy użyciu NTLM, połączenie z serwerem sprawozdanie jest przesyłane przez sieć wstępnie zdefiniowane konta zaufanych mającego uprawnienie do personifikacji użytkownika programu SharePoint serwer raportów.Poniższy diagram przedstawia połączeń, gdy używane są zaufane kont i tożsamości użytkownika programu SharePoint.

• Połączenia 1
  Użytkownik loguje się do witryny programu SharePoint.Aplikacja sieci Web programu SharePoint uwierzytelnia użytkownika.Aplikacja sieci Web programu SharePoint tłumaczy tożsamości użytkownika do tożsamości użytkownika programu SharePoint (SPUser).Dla tego użytkownika w kontekście SPUser tworzony jest nowy token użytkownika.Zawiera on członkostwo tożsamości i grupy użytkowników.Użytkownik żąda serwer raportów towaru lub operacji.

• Połączenia 2
  Łączy aplikacji sieci Web programu SharePoint serwer raportów przy użyciu zaufanego konta, które jest tożsamość procesu aplikacji sieci Web programu SharePoint.Następnie aplikacja sieci Web programu SharePoint personifikuje tożsamości użytkownika programu SharePoint w żądaniu element lub operacji.

  serwer raportów uwierzytelnia żądanie połączenia jest przez porównanie z informacji o koncie, że serwer raportów pobrane z bazy danych konfiguracja programu SharePoint po uruchomieniu serwer raportów z zaufanych konta.serwer raportów zaufanych konto jest użytkownika systemu Windows z uprawnieniami do personifikować aplikację sieci Web programu SharePoint.Służy ona również personifikować SPUser, ale nie jest dozwolony dostęp do elementów serwer raportów i operacji.

• Połączenia 3
  Jeśli uwierzytelnianie zakończyło się pomyślnie, serwer raportów użyje konta wystąpienie usług Reporting Services do połączenia programu SharePoint baz danych zawartości, aby zweryfikować, że SPUser jest upoważniony do dostępu do towaru lub operacji.W przypadku pomyślnego autoryzacja serwer raportów usług żądania.

• Połączenia 4
  Jeśli użytkownik jest przeglądanie raportu, serwer raportów nie można używać do pobierania danych z zewnętrznych źródeł danych z powodu SPUser "double -przeskok" problem.Oznacza to, że możesz zestaw właściwości źródło danych w raporcie, nie można wybrać Zintegrowane zabezpieczenia systemu Windows opcji połączenia źródło danych.Można jednak skonfigurować raport, aby używać innych opcji połączenia, takich jak przechowywane poświadczenia lub prompted poświadczenia.Aby uzyskać więcej informacji, zobacz Określanie poświadczeń i informacji o połączeniu dla źródeł danych raportu (SSRS) i Jak Tworzenie i zarządzanie udostępniane źródła danych (usługi raportowania w trybie zintegrowanym programu SharePoint) w dokumentacji SQL Server Books Online.

Podczas tworzenia subskrypcja do raportu tak, aby sprawdzić, czy użytkownik ma uprawnienia do wyświetlania raportu w serwer raportów będą przechowywane informacje o koncie SPUser czas dostawy.Jeśli wygasł SPUser subskrypcja będzie się niepowodzeniem i zwracają rsSharePointError błąd.Farmy -poziom właściwość o nazwie TokenTimeout Określa, jak długo obowiązuje SPUser.

We wdrożeniu produktu lub technologii SharePoint do uruchamiania usług i uzyskiwania dostępu do serwerów aplikacji zewnętrznych i wewnętrznych są używane różne konta.Jeżeli dla wdrożenia zostaną określone konta domeny, należy upewnić się, że są stosowane zalecenia oparte na najważniejszych wskazówkach i że określono konta używane wyłącznie przez aplikację sieci Web programu SharePoint.Nie należy konfigurować konta usługi do działania na koncie użytkownika domeny należącego do osoby, która będzie uzyskiwać dostęp do witryny programu SharePoint.Jeśli dostęp do witryny programu SharePoint przy użyciu poświadczenia usługa, mogą wystąpić błędy.

Jeśli masz wdrożenie skalowalne w poziomie z Reporting Services i produkt SharePoint i skonfigurowano uwierzytelnianie różnych dostawców dla środowiska, mogą wystąpić problemy z uwierzytelniania użytkowników.Na przykład jeśli środowiska raportowania używa uwierzytelniania formularzy dla połączeń internetowych i uwierzytelnianie systemu Windows dla połączeń sieci intranet, wniosek może być kierowane do komputera frontonu sieci Web dostawca uwierzytelniania, który nie jest zgodny z typem uwierzytelniania żądania.Może to spowodować Reporting Services można odmówić dostępu wniosek, lub na wniosek może być uruchamiane tożsamość puli aplikacji, a nie użytkownika, kto wprowadził żądania.

Najlepszym rozwiązaniem użytkownicy powinni używać różnych adresów URL do zawartości dostęp z Internetu i intranetu.Lub można skonfigurować pliku hosts na komputerach frontonu sieci Web, aby zastąpić wyszukiwania systemu nazw domen (DNS) mapowanie adresu Internet Protocol (IP) witryny Internetu do internetowego adresu URL tak, aby żądania do internetowego adresu URL nie uzyskać kierowane do Intranetowy adres URL przez serwer DNS.

W Reporting Services, usługa sieci Web i usługa Windows wymagają dostępu do baz danych programu SharePoint.usługa Kont dla obu usługas uruchamiane jako zaufanych użytkowników w aplikacji sieci Web programu SharePoint i mają automatycznie przyznane uprawnienie dostępu do baz danych programu SharePoint.

Połączenie jest zarządzane wewnętrznie; Po pkt aplikacji sieci Web programu SharePoint do serwer raportów za pomocą administracji centralnej programu SharePoint jest skonfigurowany i zestaw zaufanych kont.W odróżnieniu od serwer raportów połączenia własnej bazy danych, które zestaw lub zmodyfikować za pomocą narzędzie Konfiguracja usług Reporting Services, nie można jawnie konfigurowania lub zarządzać serwer raportów połączenia z bazami danych programu SharePoint.

Uruchamianie serwera raportowania w trybie zintegrowanym programu SharePoint wprowadzono ograniczenia dotyczące sposobu konfigurowania usługa konta w Reporting Services.Użyj tych wytycznych, podczas konfigurowania usługa kont:

• Wybierz konta, które mają uprawnienia logowania sieciowe, jeśli serwer raportowania usługa kont musi połączyć się z bazami danych programu SharePoint na komputerze zdalnym.

• Nie należy używać konta wbudowane (takich jak System lokalny lub Usługa sieciowa) Jeśli serwer raportów i baz danych programu SharePoint są na jednym komputerze i aplikacji sieci Web programu SharePoint jest na komputerze zdalnym.Po uruchomieniu baz danych programu SharePoint na komputerze zdalnym, aplikacji sieci Web programu SharePoint wyraźnie odmawia dostępu bazy danych kont wbudowanych, które są zdefiniowane na komputerze zdalnym.Oznacza to, że jeśli serwer raportów jest uruchomiony w ramach wbudowanego konta, następnie go nie może połączyć bazy danych programu SharePoint, ponieważ jest uruchomiona na tym samym komputerze baz danych programu SharePoint.

• Dla wszystkich topologii, które należy umieścić na tym samym komputerze lub komputerami, serwerami i bazami danych Reporting Services usługa kont można skonfigurować jako wbudowane konta lub kont domeny.

Jeśli serwer raportów nie może uzyskać dostępu do baz danych programu SharePoint i występuje błąd konfiguracja (na przykład, jeśli usługa kont lub hasła nie są prawidłowe lub jeśli lokalnego wystąpienia modelu obiektów programu Windows SharePoint nie jest zainstalowany), rsServerConfigurationError wystąpi błąd.Inne błędy połączenia rsSharePointError zwracany jest błąd wraz z dodatkowe informacje o błędzie z lokalnego wystąpienie programu SharePoint.