Vue d’ensemble de la sécurité de Business Connectivity Services (SharePoint Foundation 2010)

Article
03/04/2017

S’applique à : SharePoint Foundation 2010

Dernière rubrique modifiée : 2016-11-30

Cet article décrit l’architecture de sécurité du serveur et du client Services Microsoft Business Connectivity, les environnements de sécurité pris en charge, les modes d’authentification disponibles pour connecter les types de contenu externe aux systèmes externes, les options d’autorisation disponibles sur les objets stockés et les techniques générales pour la configuration de la sécurité des Services Microsoft Business Connectivity.

Dans cet article :

À propos de cet article
Architecture de sécurité de Business Connectivity Services
Vue d’ensemble de l’authentification de Business Connectivity Services
Vue d’ensemble des autorisations de Business Connectivity Services
Sécurisation de Business Connectivity Services

À propos de cet article

Les Services Microsoft Business Connectivity incluent des fonctionnalités de sécurité permettant l’authentification des utilisateurs pour accéder aux systèmes externes et pour configurer les autorisations sur les données des systèmes externes. Les Services Microsoft Business Connectivity sont hautement flexibles et peuvent gérer une large panoplie de méthodes de sécurité à partir des applications Microsoft Office 2010 prises en charge et du navigateur Web.

Architecture de sécurité de Business Connectivity Services

Cette section décrit l’architecture de sécurité des Services Microsoft Business Connectivity.

Security Note
Nous vous recommandons d’utiliser le protocole SSL (Secure Sockets Layer) sur tous les canaux entre les ordinateurs clients et les serveurs frontaux et d’utiliser le protocole SSL ou la sécurité IPSec (Internet Protocol Security) entre les serveurs Microsoft SharePoint Foundation 2010 et les systèmes externes. Notez toutefois l’exception suivante : vous ne pouvez pas utiliser le protocole SSL lors de la transmission de messages vers des systèmes externes à l’aide du protocole SOAP 1.1 ou lors de la connexion à une base de données SQL Server. Cependant, dans ces cas-là il est possible d’utiliser la sécurité IPSec pour protéger l’échange de données.

Nous vous recommandons d’utiliser le protocole SSL (Secure Sockets Layer) sur tous les canaux entre les ordinateurs clients et les serveurs frontaux et d’utiliser le protocole SSL ou la sécurité IPSec (Internet Protocol Security) entre les serveurs Microsoft SharePoint Foundation 2010 et les systèmes externes. Notez toutefois l’exception suivante : vous ne pouvez pas utiliser le protocole SSL lors de la transmission de messages vers des systèmes externes à l’aide du protocole SOAP 1.1 ou lors de la connexion à une base de données SQL Server. Cependant, dans ces cas-là il est possible d’utiliser la sécurité IPSec pour protéger l’échange de données.

Accès aux données externes

Lorsqu’un utilisateur accède aux données externes à partir d’un navigateur Web, trois systèmes sont impliqués : l’ordinateur client de l’utilisateur connecté, la batterie de serveurs Web et le système externe.

Architecture de sécurité BCS d'un navigateur Web

À partir des navigateurs Web, les utilisateurs interagissent généralement avec les données externes dans des listes externes ou en utilisant des composants WebPart.
Le runtime serveur BDC sur les serveurs frontaux utilise le Service Business Data Connectivity pour se connecter aux systèmes externes et y exécuter des opérations.
Le service Banque d’informations sécurisé stocke de manière sécurisée les jeux d’informations d’identification pour les systèmes externes et associe ces jeux d’informations d’identification à des identités d’individus ou de groupes.

Important

Le service Banque d’informations sécurisé n’est pas fourni avec SharePoint Foundation 2010. Si vous avez besoin d’un magasin sécurisé dans SharePoint Foundation 2010, vous devez fournir un fournisseur de magasin sécurisé.
Le service d’émission de jeton de sécurité est un service Web qui répond aux demandes d’authentification en émettant des jetons de sécurité composés de revendications d’identité basées sur les informations de comptes d’utilisateur stockées.
Les Services Microsoft Business Connectivity peuvent transmettre les informations d’identification aux bases de données et services Web configurés pour utiliser l’authentification basée sur les revendications. Pour une vue d’ensemble de l’authentification basée sur les revendications, voir Planifier des méthodes d’authentification (SharePoint Foundation 2010).

Vue d’ensemble de l’authentification de Business Connectivity Services

Les Services Microsoft Business Connectivity peuvent être configurés pour transmettre les demandes d’authentification aux systèmes externes en utilisant les types de méthodes suivants :

Informations d’identification Il s’agit généralement de la paire nom/mot de passe. Certains systèmes externes peuvent également nécessiter des informations d’identification supplémentaires, par exemple une valeur de code PIN (Personal Identification Number).
Revendications Les tickets SAML (Security Assertion Markup Language) peuvent être transmis aux services prenant en charge les revendications qui fournissent les données externes.

Configuration de Business Connectivity Services pour l’authentification des informations d’identification

Les Services Microsoft Business Connectivity peuvent utiliser des informations d’identification qu’un utilisateur fournit pour authentifier des demandes pour des données externes. Les méthodes suivantes permettant aux utilisateurs de fournir des informations d’identification d’accès aux données externes sont prises en charge :

Authentification Windows
- Stimulation/Réponse de Windows (NTLM)
- Microsoft Negotiate
Authentification autre que Windows
- Basée sur les formulaires
- Digest
- De base

Lors de la configuration des Services Microsoft Business Connectivity pour la transmission d’informations d’identification, le concepteur de la solution ajoute des informations sur le mode d’authentification aux types de contenu externe. Le mode d’authentification transmet aux Services Microsoft Business Connectivity des informations sur la façon de traiter une demande d’authentification entrante émanant d’un utilisateur et de mapper cette demande à un jeu d’informations d’identification pouvant être transmises au système de contenu externe. Par exemple, un mode d’authentification peut spécifier la transmission des informations d’identification directement au système de données externe. Sinon, il peut spécifier que les informations d’identification de l’utilisateur soient mappées à un compte stocké dans un service Banque d’informations sécurisé qui doit ensuite être transmis au système externe.

Vous associez un mode d’authentification à un type de contenu externe des façons suivantes :

Lorsque vous créez un type de contenu externe dans Microsoft SharePoint Designer.
Si le système externe est un service Web, vous pouvez utiliser les pages d’administration des Services Microsoft Business Connectivity pour spécifier le mode d’authentification.
Vous pouvez spécifier le mode d’authentification en éditant directement le fichier .XML qui définit le type de contenu externe.

Le tableau suivant décrit les modes d’authentification des Services Microsoft Business Connectivity :

Mode d’authentification	Description
PassThrough	Transmet les informations d’identification d’un utilisateur connecté au système externe. Cela nécessite que les informations d’identification de l’utilisateur soient connues du système externe. Notes Si l’application Web n’est pas configurée pour l’authentification avec des informations d’identification Windows, le compte Autorité NT/Ouverture de session anonyme (plutôt que les informations d’identification de l’utilisateur) est passé au système externe. Ce mode est appelé Identité de l’utilisateur dans les pages d’administration des Services Microsoft Business Connectivity et dans SharePoint Designer 2010.
RevertToSelf	Lorsque l’utilisateur accède aux données externes à partir d’un navigateur Web, ce mode ignore les informations d’identification de l’utilisateur et envoie le compte d’identité du pool d’applications sous lequel le runtime BCS s’exécute sur le serveur Web au système externe. Lorsque l’utilisateur accède aux données externes à partir d’une application cliente Office, ce mode est l’équivalent du mode relais (PassThrough), car les Services Microsoft Business Connectivity s’exécutant sur le client s’exécutent selon les informations d’identification de l’utilisateur. Ce mode est appelé Identité BDC dans les pages d’administration des Services Microsoft Business Connectivity et dans SharePoint Designer 2010. Notes Par défaut, le mode RevertToSelf n’est pas activé. Vous devez utiliser Windows PowerShell pour activer le mode RevertToSelf afin de pouvoir créer ou importer des modèles qui utilisent RevertToSelf. Pour plus d’informations, voir RevertToSelf authentication mode. Le mode RevertToSelf n’est pas pris en charge dans les environnements hébergés.
WindowsCredentials	Pour les bases de données ou les services Web externes, ce mode utilise un service Banque d’informations sécurisé pour mapper les informations d’identification de l’utilisateur à un jeu d’informations d’identification Windows sur le système externe. Ce mode est appelé Emprunter l’identité Windows dans les pages d’administration des Services Microsoft Business Connectivity et dans SharePoint Designer 2010.
Credentials	Pour un service Web externe, ce mode utilise un service Banque d’informations sécurisé pour mapper les informations d’identification de l’utilisateur à un jeu d’informations d’identification fournies par une source autre que Windows et qui sont utilisées pour accéder aux données externes. Le service Web doit utiliser une authentification de base ou Digest quand ce mode est utilisé. Important Pour mieux préserver la sécurité dans ce mode, nous recommandons que la connexion entre les Services Microsoft Business Connectivity et le système externe soit sécurisée via l’utilisation de SSL (Secure Sockets Layer) ou IPSec (Internet Protocol Security). Ce mode est appelé Emprunter l’identité personnalisée dans les pages d’administration des Services Microsoft Business Connectivity et dans Office SharePoint Designer.
RDBCredentials	Pour une base de données externe, ce mode utilise un service Banque d’informations sécurisé pour mapper les informations d’identification de l’utilisateur à un jeu d’informations d’identification fournies par une source autre que Windows. Pour mieux préserver la sécurité dans ce mode, nous recommandons que la connexion entre les Services Microsoft Business Connectivity et le système externe soit sécurisée par le protocole SSL ou par la sécurité IPSec. Ce mode est appelé Emprunter l’identité personnalisée dans les pages d’administration des Services Microsoft Business Connectivity et dans Office SharePoint Designer.
DigestCredentials	Pour un service Web WCF, ce mode utilise un service Banque d’informations sécurisé pour mapper les informations d’identification de l’utilisateur à un ensemble d’informations d’identification à l’aide de l’authentification Digest. Ce mode est appelé Emprunter l’identité personnalisée – Digest dans les pages d’administration des Services Microsoft Business Connectivity et dans SharePoint Designer 2010.

L’illustration suivante représente les modes d’authentification des Services Microsoft Business Connectivity lors de l’utilisation des informations d’identification.

Authentification des services Business Connectivity

En mode PassThrough (Identité de l’utilisateur) (A), les informations d’identification de l’utilisateur connecté sont transmises directement au système externe.
En mode RevertToSelf (Identité BDC) (B), les informations d’identification de connexion de l’utilisateur sont remplacées par les informations d’identification du compte de processus sous lequel s’exécutent les Services Microsoft Business Connectivity et ces informations d’identification sont transmises au système externe.
Trois modes utilisent le service Banque d’informations sécurisé : WindowsCredentials (Emprunter l’identité Windows), RdbCredentials (Emprunter l’identité personnalisée) et Credentials. Dans ces modes, les informations d’identification de l’utilisateur sont mappées à un jeu d’informations d’identification pour le système externe et les Services Microsoft Business Connectivity transmettent ces informations d’identification au système externe. Les administrateurs de solutions peuvent soit mapper les informations d’identification de chaque utilisateur à un compte unique, soit mapper un jeu d’utilisateurs authentifiés à un compte de groupe unique.

Configuration de Business Connectivity Services pour l’authentification basée sur les revendications

Les Services Microsoft Business Connectivity peuvent fournir l’accès aux données externes sur la base de jetons de sécurité entrants et transmettre les jetons de sécurité à des systèmes externes. Un jeton de sécurité est constitué d’un jeu de revendications d’identité concernant un utilisateur, et l’utilisation de jetons de sécurité pour l’authentification est appelée « authentification basée sur les revendications ». SharePoint Foundation inclut un service d’émission de jeton de sécurité qui émet des jetons de sécurité.

L’illustration suivante montre comment le service d’émission de jeton de sécurité et le service Banque d’informations sécurisé collaborent dans l’authentification basée sur les revendications :

Authentification par revendications dans BCS

Un utilisateur tente une opération sur une liste externe qui est configurée pour l’authentification basée sur les revendications.
L’application cliente demande un jeton de sécurité au service d’émission de jeton de sécurité.
Selon l’identité de l’utilisateur demandeur, le service d’émission de jeton de sécurité émet un jeton de sécurité qui contient un jeu de revendications et un identificateur d’application. Le service d’émission de jeton de sécurité retourne le jeton de sécurité à l’application cliente.
Le client transmet le jeton de sécurité au service Banque d’informations sécurisé.
Le service Banque d’informations sécurisé évalue le jeton de sécurité et utilise l’identificateur de l’application cible pour retourner un jeu d’informations d’identification qui s’appliquent au système externe.
Le client reçoit les informations d’identification et les transmet au système externe de façon qu’une opération (telle que l’extraction ou la mise à jour de données externes) puisse avoir lieu.

Vue d’ensemble des autorisations de Business Connectivity Services

Dans les Services Microsoft Business Connectivity, les autorisations associent un compte individuel, un compte de groupe ou une revendication à un ou plusieurs niveaux d’autorisation sur un objet dans un magasin de métadonnées. En définissant correctement les autorisations sur des objets dans les Services Microsoft Business Connectivity, les solutions sont mieux à même d’incorporer sans risque les données externes. Lors de la planification d’une stratégie d’autorisations, nous vous recommandons d’accorder des autorisations spécifiques à chaque utilisateur ou groupe qui en a besoin, de façon que les informations d’identification fournissent le minimum de privilèges nécessaires pour réaliser les tâches requises.

Avertissement

Définir correctement les autorisations dans les Services Microsoft Business Connectivity fait partie d’une stratégie de sécurité globale. Un autre facteur tout aussi important est la sécurisation des données dans les systèmes externes. La façon dont vous procédez dépend du modèle de sécurité et des fonctionnalités du système externe, mais ce sujet dépasse le cadre de cet article.

Notes

Les services Business Connectivity Services utilisent les autorisations sur les objets de métadonnées et les autorisations sur le système externe pour déterminer les règles d’autorisation. Par exemple, un découpage de sécurité peut empêcher l’affichage des données externes dans les résultats de recherche des utilisateurs. Toutefois, si les utilisateurs découvrent par un moyen quelconque l’URL des données externes découpées, ils peuvent accéder à ces données s’ils disposent des autorisations suffisantes sur l’objet de métadonnées et sur le système externe. La méthode correcte pour empêcher les utilisateurs d’accéder à des données externes consiste à définir les autorisations appropriées à la fois dans les services Business Connectivity et dans le système externe.

Sur quoi peut-on définir des autorisations ?

Chaque instance du Service Business Data Connectivity (ou, dans le cas de l’hébergement, chaque partition) contient un magasin de métadonnées qui inclut tous les modèles, les systèmes externes, les types de contenu externe, les méthodes et les instances de méthodes qui ont été définis pour les besoins de ce magasin. Ces objets existent dans une hiérarchie comme le montre l’illustration suivante :

Hiérarchie du magasin de métadonnées

Notes

Dans le graphique hiérarchique précédent, les libellés entre parenthèses correspondent aux noms des objets définis dans le schéma de métadonnées des Services Microsoft Business Connectivity. Les libellés qui ne figurent pas entre parenthèses sont les noms de chaque objet tel qu’il apparaît dans l’interface utilisateur du Service Business Data Connectivity. Pour une description complète du schéma de métadonnées des Services Microsoft Business Connectivity, ainsi que des procédures pas à pas de nombreuses tâches de développement, voir le Kit de développement logiciel SDK Microsoft SharePoint 2010 (https://go.microsoft.com/fwlink/?linkid=166117&clcid=0x40C).

La hiérarchie des objets dans un magasin de métadonnées détermine les objets qui peuvent propager leurs autorisations à d’autres objets. Dans l’illustration, chaque objet sur lequel des autorisations peuvent être définis, et le cas échéant propagées, est représenté par une ligne continue ; chaque objet qui prend ses autorisations de son objet parent est illustré avec une ligne discontinue. Par exemple, l’illustration montre qu’il est possible de sécuriser un système externe (LobSystem) en lui affectant des autorisations, mais une action ne peut pas recevoir d’autorisations directement. Les objets auxquels il n’est pas possible d’affecter des autorisations prennent leurs autorisations de leur objet parent. Par exemple, une action prend les autorisations de son type de contenu externe (entité) parent.

Security Note
Quand les autorisations s’appliquant à un objet dans un magasin de métadonnées sont propagées, les paramètres des autorisations pour tous les enfants de cet élément sont remplacés par les autorisations de l’objet propagateur. Par exemple, si des autorisations sont propagées à partir d’un type de contenu externe, toutes les méthodes et les instances de méthodes de ce type de contenu externe reçoivent les nouvelles autorisations.

Quand les autorisations s’appliquant à un objet dans un magasin de métadonnées sont propagées, les paramètres des autorisations pour tous les enfants de cet élément sont remplacés par les autorisations de l’objet propagateur. Par exemple, si des autorisations sont propagées à partir d’un type de contenu externe, toutes les méthodes et les instances de méthodes de ce type de contenu externe reçoivent les nouvelles autorisations.

Il est possible de définir quatre niveaux d’autorisation sur le magasin de métadonnées et les objets qu’il contient :

Modifier

Security Note
L’autorisation Modifier doit être considérée comme hautement privilégiée. Avec cette autorisation, un utilisateur malveillant peut dérober des informations d’identification ou endommager une batterie de serveurs. Nous vous recommandons, dans un système de production, d’accorder l’autorisation Modifier uniquement aux utilisateurs dont vous savez qu’ils possèdent des autorisations de niveau administrateur.

L’autorisation Modifier doit être considérée comme hautement privilégiée. Avec cette autorisation, un utilisateur malveillant peut dérober des informations d’identification ou endommager une batterie de serveurs. Nous vous recommandons, dans un système de production, d’accorder l’autorisation Modifier uniquement aux utilisateurs dont vous savez qu’ils possèdent des autorisations de niveau administrateur.

Exécuter
Sélectionnable dans les clients
Définir les autorisations

Le tableau suivant indique la signification de ces autorisations sur les divers objets pour lesquels elles peuvent être définies.

Objet	Définition	Autorisations de modification	Autorisations d’exécution	Autorisations Sélectionnable dans les clients	Autorisations Définir des autorisations
Magasin de métadonnées	La collection de fichiers XML, stockés dans le Service Business Data Connectivity, chacun contenant des définitions de modèles, de types de contenu externe et de systèmes externes.	L’utilisateur peut créer de nouveaux systèmes externes.	En dépit de l’absence d’une autorisation « Exécuter » sur le magasin de métadonnées proprement dit, ce paramètre peut être utilisé pour propager des autorisations d’exécution à des objets enfants dans le magasin de métadonnées.	En dépit de l’absence d’une autorisation « Sélectionnable dans les clients » sur le magasin de métadonnées même, ce paramètre peut être utilisé pour propager des autorisations d’exécution à des objets enfants dans le magasin de métadonnées.	L’utilisateur peut définir des autorisations sur n’importe quel objet du magasin de métadonnées en les propageant à partir du magasin de métadonnées.
Modèle	Un fichier XML qui contient des jeux de descriptions d’un ou plusieurs types de contenu externe, leurs systèmes externes connexes et des informations spécifiques à l’environnement, telles que les propriétés d’authentification.	L’utilisateur peut modifier le fichier de modèle.	L’autorisation « Exécuter » n’est pas applicable aux modèles.	L’autorisation « Sélectionnable dans les clients » n’est pas applicable aux modèles.	L’utilisateur peut définir des autorisations sur le modèle.
Système externe	La définition de métadonnées d’une source de données prise en charge pouvant être modélisée, par exemple une base de données, un service Web ou un assembly de connectivité .NET.	L’utilisateur peut éditer le système externe. Le fait de définir cette autorisation permet de rendre le système externe et toute instance de système externe qu’il contient visibles dans SharePoint Designer.	En dépit de l’absence d’une autorisation « Exécuter » sur un système externe même, ce paramètre peut être utilisé pour propager des autorisations d’exécution à des objets enfants dans le magasin de métadonnées.	En dépit de l’absence d’une autorisation « Sélectionnable dans les clients » sur un système externe même, ce paramètre peut être utilisé pour propager des autorisations d’exécution à des objets enfants dans le magasin de métadonnées.	L’utilisateur peut définir des autorisations sur le système externe.
Type de contenu externe	Collection de métadonnées réutilisable qui définit un jeu de données à partir d’un ou plusieurs systèmes externes, les opérations disponibles sur ces données et les informations de connectivité liées à ces données.	En dépit de l’absence d’une autorisation « Modifier » sur un type de contenu externe même, ce paramètre peut être utilisé pour propager ces autorisations à des objets enfants dans le magasin de métadonnées.	L’utilisateur peut exécuter des opérations sur le type de contenu externe.	L’utilisateur peut créer des listes externes du type de contenu externe.	L’utilisateur peut définir des autorisations sur le type de contenu externe.
Méthode	Une opération liée à un type de contenu externe	L’utilisateur peut modifier la méthode.	En dépit de l’absence d’une autorisation « Exécuter » sur une méthode même, ce paramètre peut être utilisé pour propager des autorisations d’exécution à des objets enfants dans le magasin de métadonnées.	Il n’existe pas d’autorisation « Sélectionnable dans les clients » sur une méthode.	L’utilisateur peut définir des autorisations sur la méthode.
Instance de méthode	Pour une méthode particulière, décrit la façon d’utiliser une méthode en utilisant un jeu spécifique de valeurs par défaut.	L’utilisateur peut modifier l’instance de méthode.	L’utilisateur peut exécuter l’instance de méthode.	Il n’existe pas d’autorisation « Sélectionnable dans les clients » sur une instance de méthode.	L’utilisateur peut définir des autorisations sur l’instance de méthode.

Autorisations spéciales sur le service BDC

Outre les fonctionnalités générales de définition d’autorisations décrites plus haut, il existe un jeu d’autorisations spéciales pour le Service Business Data Connectivity :

Les administrateurs de batterie ont toutes les autorisations sur le Service Business Data Connectivity. Ceci est nécessaire par exemple pour gérer ou réparer une instance du service. Cependant, sachez que l’administrateur de batterie ne possède d’autorisation d’exécution sur aucun objet du magasin de métadonnées et que ce droit doit être accordé explicitement par un administrateur d’une instance du Service Business Data Connectivity, si cela est nécessaire.
Les utilisateurs de Windows PowerShell sont des administrateurs de batterie et peuvent exécuter des commandes sur le Service Business Data Connectivity.
Les comptes du pool d’applications sur les serveurs frontaux ont les mêmes autorisations sur le Service Business Data Connectivity que les administrateurs de batterie. Cette autorisation est nécessaire pour générer des packages de déploiement basés sur les Services Microsoft Business Connectivity.
Les utilisateurs de SharePoint Designer doivent, dans la plupart des cas, recevoir les autorisations suivantes sur l’ensemble du magasin de métadonnées : Modifier, Exécuter et Sélectionnable dans les clients. Les utilisateurs de SharePoint Designer ne doivent pas recevoir les autorisations Définir les autorisations. Au besoin, vous pouvez limiter les autorisations de l’utilisateur de SharePoint Designer à un sous-ensemble du magasin de métadonnées.

Avertissement

Pour mieux garantir une solution sécurisée, SharePoint Designer doit être utilisé pour créer des types de contenu externe dans un environnement de test dans lequel les autorisations de modification peuvent être accordées librement. Lors du déploiement de la solution testée dans un environnement de production, retirez les autorisations de modification afin de mieux protéger l’intégrité des données externes.

Tâches courantes et leurs autorisations correspondantes

Cette section décrit les tâches courantes dans le Service Business Data Connectivity et les autorisations nécessaires pour les exécuter.

Tâche	Autorisations
Créer un nouvel objet dans le magasin de métadonnées	Pour créer un nouvel objet de métadonnées, l’utilisateur doit disposer d’autorisations d’exécution sur l’objet de métadonnées parent. Par exemple, pour créer une nouvelle méthode dans un type de contenu externe, l’utilisateur doit disposer d’autorisations sur le type de contenu externe. Consultez l’illustration plus haut dans cet article pour la relation enfant/parent entre les objets dans le magasin de métadonnées.
Supprimer un objet du magasin de métadonnées	Pour supprimer un objet de métadonnées, l’utilisateur doit avoir des autorisations de modification sur cet objet. Pour supprimer un objet et tous ses objets enfants (comme la suppression d’un type de contenu externe et toutes ses méthodes), l’autorisation de modification est également nécessaire pour tous les objets enfants.
Ajout d’un type de contenu externe à un modèle	Pour ajouter un type de contenu externe à un modèle, l’utilisateur doit disposer d’autorisations de modification sur le modèle.
Importation de modèles	Pour importer un modèle dans le magasin de métadonnées, l’utilisateur doit disposer des autorisations de modification sur le magasin de métadonnées. Si des autorisations explicites ne sont pas affectées au modèle, l’utilisateur l’ayant importé recevra les autorisations de modification sur ce modèle.
Exportation de modèles	Pour exporter un modèle à partir du magasin de métadonnées, l’utilisateur doit disposer d’autorisations de modification sur ce modèle et sur tous les systèmes externes contenus dans le modèle.
Génération d’un package de déploiement	Les packages de déploiement sont générés par le compte du pool d’applications utilisé par le serveur frontal. Ce compte possède les autorisations maximales sur le magasin de métadonnées, ce qui lui permet de réaliser cette tâche.
Définition des autorisations initiales sur le magasin des métadonnées.	Lors de la première création d’une instance du Service Business Data Connectivity, son magasin de métadonnées est vide. L’administrateur de batterie a les autorisations maximales sur le magasin et peut définir les autorisations initiales.

Sécurisation de Business Connectivity Services

Cette section traite des mesures supplémentaires susceptibles d’aider à sécuriser les services Business Connectivity

Compte de service

À des fins d’isolation de sécurité, l’application de Service Business Data Connectivity et le serveur frontal ne doivent pas utiliser le même compte de service.

Communication de serveur à serveur

La sécurisation des communications entre l’application de Service Business Data Connectivity et les systèmes externes aide à éviter que les données confidentielles ne soient compromises. Vous devez utiliser un canal de communication chiffré afin de protéger les données envoyées entre des serveurs exécutant SharePoint Foundation 2010 et des systèmes externes. La sécurité IPSec (Internet Protocol Security) est l’une des méthodes susceptible d’aider à protéger les communications. Le choix de la méthode à utiliser dépend des canaux de communication spécifiques que vous sécurisez et des avantages et compromis le mieux adaptés à votre organisation.

Applications qui utilisent FileBackedMetadataCatalog

Pour des raisons de sécurité, le mode d’authentification RevertToSelf est désactivé sur SharePoint Foundation 2010 par défaut. Toutefois, cela n’empêche pas les applications qui utilisent la classe FileBackedMetadataCatalog d’importer des modèles et d’exécuter des appels qui utilisent l’authentification RevertToSelf. Cela peut provoquer une élévation des privilèges des utilisateurs suite à l’accord de privilèges au compte du pool d’applications. Il convient d’examiner toutes les applications afin de s’assurer qu’elles n’utilisent pas la classe FileBackedMetadataCatalog et l’authentification RevertToSelf avant de les installer sur un système de production.

Partager via