Sécurité Windows

Cette rubrique décrit les comptes et les groupes de sécurité de Windows Server que Windows Server AppFabric crée et utilise. Ces groupes assurent l'implémentation physique des rôles de sécurité conceptuels définis par le système AppFabric.

AppFabric crée deux groupes de sécurité lors de l'installation : COMPUTERNAME\AS_Administrators et COMPUTERNAME\AS_Observers. AppFabric utilise également les comptes Windows intégrés AUTORITE NT\Service Local et BUILTIN\IIS_IUSRS. NT AUTHORITY\Local Service sert d'identité de connexion pour les services service de collecte d'événements ; et Service de gestion du flux de travail. Le compte BUILTIN\IIS_IUSRS est utilisé comme compte de connexion SQL Server pour l'identité de pool d'applications des services NET avec la base de données de persistance. Les tâches associées à l'administrateur système de AppFabric telles que le déploiement d'applications et la configuration de la sécurité du système de fichiers, requièrent une appartenance au groupe Administrateurs local.

Rôles conceptuels de sécurité d'AppFabric

Modélisez votre solution de sécurité en classant vos utilisateurs dans l'un des trois rôles de sécurité conceptuels de AppFabric : Administrateurs de serveur d'applications, Observateurs de serveur d'applications et Utilisateurs de serveur d'applications. Ces trois rôles de sécurité conceptuels apportent des autorisations spécifiques à destination respectivement des administrateurs, des observateurs et des utilisateurs. Vous pouvez comparer l'utilisation des rôles de sécurité conceptuels de AppFabric à la création d'un organigramme logique au début du développement d'un programme informatique. En effectuant d'abord la conception, l'implémentation physique devient un processus plus simple et plus fluide. Vous pouvez mapper initialement les utilisateurs affectés à chaque rôle sur des comptes et des groupes de sécurité Windows, voire sur des rôles de base de données SQL Server. Pour plus d'informations sur les rôles de sécurité conceptuels de AppFabric, consultez la rubrique Modèle de sécurité pour Windows Server AppFabric.

Groupes de sécurité Windows d'AppFabric

Groupe Administrateurs d'AppFabric

Le groupe de sécurité Windows des administrateurs de AppFabric, AS_Administrators, vous permet de contrôler totalement la configuration, la surveillance et la persistance de l'application. Les membres du groupe peuvent effectuer les opérations suivantes :

• interruption, reprise, arrêt et suppression des instances persistantes ;

• création et suppression des sources et des collecteurs d'événements ;

• affichage, purge et archivage des données de surveillance.

Les services NT du système AppFabric (service de collecte d'événements ; et Service de gestion du flux de travail) automatisent des tâches de gestion de AppFabric, telles que la collecte d'événements et la récupération d'instances après une panne ou un redémarrage du système. L'installation de AppFabric désigne AUTORITE NT\Service Local comme compte d'ouverture de session pour les services service de collecte d'événements ; et Service de gestion du flux de travail. Durant l'installation, le compte AUTORITE NT\Service local est également membre du groupe de sécurité local NOM-ORDINATEUR\AS_Administrators. Cela garantit que les services système de AppFabric disposent des autorisations appropriées pour exécuter leurs opérations.

Groupe Observateurs d'AppFabric

Le groupe de sécurité Windows des observateurs du serveur d'applications, AS_Observers, offre une visibilité complète des données persistance et de surveillance d'application. Les observateurs de serveur d'applications (AS_Observers) peuvent :

• énumérer les applications et les services ;

• afficher la configuration de l'application et du service ;

• afficher les données de surveillance ;

• examiner les instances persistantes.

Groupe Utilisateurs d'AppFabric

Attribuez des comptes d'identifié de pool d'applications IIS à ce rôle pour autoriser les applications à utiliser des magasins de persistance partagés et des services système partagés tels que des minuteurs. Le rôle Utilisateurs de serveur d'applications est attribué au groupe de sécurité IIS BUILTIN\IIS_IUSRS. Pour plus d’informations sur le groupe intégré IIS_IUSRS, consultez la rubrique IIS 7.0 : Configurer la sécurité du serveur Web (https://go.microsoft.com/fwlink/?LinkID=131918).

En raison de son étendue locale, le groupe BUILTIN\IIS_IUSRS n'est pas utilisé à l'intérieur d'un environnement de domaine. Lorsque vous développez votre modèle de sécurité de domaine, les types de membres qui seraient dans le groupe BUILTIN\IIS_IUSRS d'étendue locale seront remplacés par les identités d'application des pools d'applications IIS hébergeant les services NET WCF et WF dans un groupe d'utilisateurs de domaine. Comme les comptes de domaine ne sont pas créés par le programme d'installation d'AppFabric, vous devez créer manuellement un représentant de BUILTIN\IIS_IUSRS au niveau du domaine. Par exemple, vous pouvez créer le groupe MyDomain\MyDomainASUsers, puis ajouter les identités de domaine des pools d'applications IIS d'AppFabric à ce groupe. Lors de la configuration de la persistance d'AppFabric, vous spécifierez ce groupe (MyDomain\MyDomainASUsers) de façon appropriée. Cela s'effectue lors de la saisie d'une entrée dans le champ Utilisateurs de la section Configuration de la sécurité de la boîte de dialogue Configuration du magasin de persistance, ou dans le champ –Users à l'intérieur de la cmdlet Initialize-ASPersistenceSqlDatabase. Cette opération ajoute l'ID de connexion SQL MyDomain\MyDomainASUsers à la base de données de persistance d'AppFabric. Au moment de l'exécution, les identités des pools d'applications IIS disposeront d'une autorisation d'accès à la base de données de persistance sous le rôle System.Activities.DurableInstancing.InstanceStoreUsers. Pour plus d'informations sur la configuration du groupe Utilisateurs dans le cadre d'une configuration à l'aide de la cmdlet Initialize-ASPersistenceSqlDatabase, consultez la rubrique Création et initialisation d'une base de données à l'aide des cmdlets de Windows Server AppFabric. Pour plus d'informations sur la configuration du groupe Utilisateurs dans le cadre d'une configuration à l'aide de l'Assistant Configuration de Windows Server AppFabric, consultez la rubrique Assistant Configuration de Windows Server AppFabric. Pour plus d'informations sur la différence d'identité de pool d'applications par défaut entre IIS 7 et IIS 7.5, consultez la section Identités de pool d'applications.

Groupe Administrateurs système Windows

Affectez des utilisateurs au groupe Administrateurs système de Windows pour leur permettre de déployer et d'annuler le déploiement d'applications à l'aide d'outils tels que le Gestionnaire des services Internet ou MSDeploy. L'appartenance à ce groupe permet également de modifier la configuration d'un serveur, d'un site ou d'une application.

Sécurité de domaine d'AppFabric

Si vous utilisez plusieurs serveurs AppFabric dans une batterie de serveurs Web, il est vivement recommandé de passer de l'utilisation des groupes de sécurité Windows locaux AS_Administrators et AS_Observers Windows créés lors de l'installation sur un ordinateur unique à l'utilisation de leurs équivalents au niveau du domaine sur plusieurs ordinateurs. Les comptes et les groupes de sécurité de domaine doivent être correctement configurés préalablement à une configuration réussie d'AppFabric sur des serveurs de batterie Web. Si vous utilisez Active Directory, vous pouvez concevoir vos rôles de sécurité AppFabric à l'aide de comptes de domaine afin de simplifier la sécurité des ordinateurs. L'administrateur AppFabric peut utiliser Active Directory pour créer explicitement deux comptes de groupe personnalisés pour les rôles Administrateurs et Observateurs. Par exemple, vous pourriez les appeler « DOMAINE\MyAppFabricAdmins » et « DOMAINE\MyAppFabricObservers ». L'administrateur peut ensuite octroyer au groupe DOMAINE\MyAppFabricAdmins des autorisations administratives sur l'ordinateur qui utilise AppFabric, et de même pour le « DOMAINE\MyAppFabricObservers ».

Les groupes AS_Administrators et AS_Observers locaux créés durant l'installation d'AppFabric sur un serveur unique ne sont pas utilisés pour sécuriser une batterie Web utilisant plusieurs serveurs AppFabric. Vous devrez utiliser des comptes de domaine à la place. Sachez que les programmes d'installation et de configuration d'AppFabric ne créent pas de comptes de domaine à votre place. Vous devez donc les créer manuellement à l'aide d'Active Directory. Créez des groupes de sécurité Windows de domaine représentant chacun des rôles conceptuels d'AppFabric (Administrateurs, Observateurs et Utilisateurs). Octroyez aux utilisateurs affectés à ces groupes les privilèges appropriés associés à chaque rôle conceptuel d'AppFabric, mais au niveau de l'étendue du domaine. Vous les spécifierez ensuite durant le processus de configuration d'AppFabric.

Les identités de service sous lesquelles les services service de collecte d'événements ; et Service de gestion du flux de travail s'exécuteront sur les divers serveurs de la batterie Web doivent figurer dans le groupe Administrateurs de domaine d'AppFabric. Ce dernier inclut généralement le compte Administrateur de domaine d'AppFabric. Le privilège « Ouvrir une session en tant que service » doit être octroyé aux utilisateurs de ce groupe et appliqué dans le domaine. Ce droit permet à un principal de sécurité de se connecter en tant que service. Tout service s'exécutant sous un autre compte d'utilisateur doit disposer de ce droit.

  2011-12-05