Vue d’ensemble de la sécurité de Business Connectivity Services (SharePoint Server 2010)

Article
02/05/2017

S’applique à : SharePoint Server 2010

Dernière rubrique modifiée : 2016-11-30

Cet article décrit l’architecture de sécurité du serveur et du client Services Microsoft Business Connectivity, les environnements de sécurité pris en charge, les modes d’authentification disponibles pour connecter des types de contenu externe à des systèmes externes, les options d’autorisation disponibles sur les objets stockés et les techniques générales pour configurer la sécurité des Services Microsoft Business Connectivity.

Dans cet article :

À propos de cet article
Architecture de sécurité de Business Connectivity Services
Vue d’ensemble de l’authentification de Business Connectivity Services
Vue d’ensemble des autorisations du service Business Connectivity
Sécurisation de Business Connectivity Services

À propos de cet article

Les Services Microsoft Business Connectivity incluent des fonctionnalités de sécurité permettant l’authentification des utilisateurs pour accéder aux systèmes externes et la configuration des autorisations sur les données des systèmes externes. Les Services Microsoft Business Connectivity sont hautement flexibles et peuvent gérer une large panoplie de méthodes de sécurité à partir des applications Microsoft Office 2010 prises en charge et du navigateur Web.

Architecture de sécurité de Business Connectivity Services

Cette section décrit l’architecture de la sécurité Services Microsoft Business Connectivity pour l’authentification à partir d’un navigateur Web ou à partir d’une application cliente Office 2010 prise en charge, comme Microsoft Outlook 2010.

Security Note
Il est recommandé d’utiliser SSL (Secure Sockets Layer) sur tous les canaux entre les ordinateurs clients et les serveurs frontaux. Il est également recommandé d’utiliser SSL ou IPSec (Internet Protocol Security) entre les serveurs exécutant Microsoft SharePoint Server 2010 et des systèmes externes. Notez cependant que vous ne pouvez pas utiliser SSL lors de la transmission de messages aux systèmes externes à l’aide du protocole SOAP 1.1 ou de la connexion à une base de données SQL Server. Toutefois, dans ces cas, vous pouvez utiliser IPSec pour protéger l’échange de données.

Il est recommandé d’utiliser SSL (Secure Sockets Layer) sur tous les canaux entre les ordinateurs clients et les serveurs frontaux. Il est également recommandé d’utiliser SSL ou IPSec (Internet Protocol Security) entre les serveurs exécutant Microsoft SharePoint Server 2010 et des systèmes externes. Notez cependant que vous ne pouvez pas utiliser SSL lors de la transmission de messages aux systèmes externes à l’aide du protocole SOAP 1.1 ou de la connexion à une base de données SQL Server. Toutefois, dans ces cas, vous pouvez utiliser IPSec pour protéger l’échange de données.

Accès à des données externes à partir d’un navigateur Web

Lorsqu’un utilisateur accède aux données externes à partir d’un navigateur Web, trois systèmes sont impliqués : l’ordinateur client de l’utilisateur connecté, la batterie de serveurs Web et le système externe.

Architecture de sécurité BCS d'un navigateur Web

À partir des navigateurs Web, les utilisateurs interagissent généralement avec les données externes dans des listes externes ou en utilisant des composants WebPart.
Le BDC Server Runtime sur les serveurs frontaux utilise les données du Service Business Data Connectivity pour se connecter aux systèmes externes et y exécuter des opérations.
Le service Banque d’informations sécurisé stocke en toute fiabilité les jeux d’informations d’identification pour les systèmes externes et associe ces jeux à des identités d’individus ou de groupes.
Le service d’émission de jeton de sécurité est un service Web qui répond aux demandes d’authentification en émettant des jetons de sécurité composés de revendications d’identité basées sur les informations de comptes utilisateur stockées.
Les Services Microsoft Business Connectivity peuvent transmettre les informations d’identification aux bases de données et services Web qui sont configurés pour utiliser l’authentification basée sur les revendications. Pour une vue d’ensemble du service Banque d’informations sécurisé, voir Planifier le service banque d’informations sécurisé (SharePoint Server 2010). Pour une vue d’ensemble de l’authentification reposant sur les revendications, voir Planifier des méthodes d’authentification (SharePoint Server 2010).

Accès aux données externes à partir d’une application cliente Office

Pour accéder aux données externes à partir d’une application cliente Office prise en charge, deux systèmes sont impliqués : l’ordinateur client de l’utilisateur connecté et le système externe. Ce modèle est pris en charge lorsqu’un utilisateur interagit avec les données externes en utilisant Outlook 2010, Microsoft SharePoint Workspace ou Microsoft Word 2010.

Sécurité BCS d'une application client Office

Les utilisateurs Outlook 2010 utilisent souvent des données externes dans les éléments Outlook tels que Contacts ou Tâches. Les utilisateurs SharePoint Workspace 2010 peuvent mettre des listes externes hors connexion et interagir avec celles-ci. Les utilisateurs Word 2010 peuvent insérer des données externes dans des documents Word.
Office Integration Client Runtime agit en tant que connecteur entre Services Microsoft Business Connectivity s’exécutant sur le client et les applications Office prises en charge.
Si les données externes sont configurées pour utiliser l’authentification basée sur les revendications, le client interagit avec le service d’émission de jeton de sécurité sur la batterie de serveurs SharePoint pour obtenir les jetons de revendications. (Pour plus d’informations, voir Configurer l’authentification par revendications (SharePoint Server 2010).)
BDC Client Runtime sur les ordinateurs clients utilise les données du Service Business Data Connectivity pour se connecter à des systèmes externes et y exécuter des opérations pour un accès client enrichi.
Le cache client met en cache les informations du Service Business Data Connectivity et du service Banque d’informations sécurisé qui sont nécessaires pour sécuriser la connexion aux données externes. Le cache est actualisé à partir de la batterie de serveurs SharePoint pour incorporer les informations mises à jour.
Le service Banque d’informations sécurisé client permet aux utilisateurs finaux de configurer leurs informations d’identification de sécurité.
Les Services Microsoft Business Connectivity peuvent transmettre les informations d’identification aux bases de données et aux services prenant en charge les revendications.

Vue d’ensemble de l’authentification de Business Connectivity Services

Les Services Microsoft Business Connectivity peuvent être configurés pour transmettre les demandes d’authentification aux systèmes externes en utilisant les types de méthodes suivants :

Informations d’identification Il s’agit généralement du couple nom/mot de passe. Certains systèmes externes peuvent nécessiter des informations d’identification supplémentaires, par exemple une valeur PIN (Personal Identification Number).
Revendications Les tickets SAML (Security Assertion Markup Language) peuvent être transmis aux services prenant en charge les revendications qui fournissent les données externes.

Configuration de Business Connectivity Services pour l’authentification des informations d’identification

Les Services Microsoft Business Connectivity peuvent utiliser des informations d’identification qu’un utilisateur fournit pour authentifier des demandes de données externes. Les méthodes suivantes de fourniture par les utilisateurs des informations d’identification pour l’accès aux données externes sont prises en charge :

Authentification Windows :
- Stimulation/Réponse de Windows (NTLM)
- Microsoft Negotiate
Authentification autre que Windows
- Basée sur des formulaires
- Digest
- De base

Lors de la configuration des Services Microsoft Business Connectivity pour la transmission d’informations d’identification, le concepteur de la solution ajoute des informations sur le mode d’authentification aux types de contenu externe. Le mode d’authentification transmet aux Services Microsoft Business Connectivity des informations sur la façon de traiter une demande d’authentification entrante émanant d’un utilisateur et de mapper cette demande à un jeu d’informations d’identification pouvant être transmises à un système de contenu externe. Par exemple, un mode d’authentification peut spécifier la transmission des informations d’identification directement au système de données externe. Sinon, il peut spécifier que les informations d’identification de l’utilisateur soient mappées à un compte qui est stocké dans un service Banque d’informations sécurisé qui doit alors être transmis au système externe.

Vous associez un mode d’authentification à un type de contenu externe des façons suivantes :

Lorsque vous créez un type de contenu externe dans Microsoft SharePoint Designer ou Microsoft Visual Studio 2010.
Si le système externe est un service Web, vous pouvez utiliser les pages d’administration des Services Microsoft Business Connectivity pour spécifier le mode d’authentification.
Vous pouvez spécifier le mode d’authentification en éditant directement le fichier .XML qui définit le type de contenu externe.

Le tableau suivant décrit les modes d’authentification des Services Microsoft Business Connectivity :

Mode d’authentification	Description
PassThrough	Transmet les informations d’identification d’un utilisateur connecté au système externe. Cela nécessite que les informations d’identification de l’utilisateur soient connues du système externe. Notes Si l’application Web n’est pas configurée pour être authentifiée à l’aide des informations d’identification Windows, le compte NT Authority/Connexion anonyme est transmis au système externe, plutôt que les informations d’identification de l’utilisateur. Ce mode est appelé Identité de l’utilisateur dans les pages d’administration des Services Microsoft Business Connectivity et dans SharePoint Designer 2010.
RevertToSelf	Lorsque l’utilisateur accède aux données externes à partir d’un navigateur Web, ce mode ignore les informations d’identification de l’utilisateur et envoie le compte d’identité du pool d’applications sous lequel le runtime BCS est en cours d’exécution sur le serveur Web au système externe. Lorsque l’utilisateur accède aux données externes à partir d’une application cliente Office, ce mode est l’équivalent du mode relais (PassThrough), car les Services Microsoft Business Connectivity s’exécutant sur le client s’exécutent selon les informations d’identification de l’utilisateur. Ce mode est appelé Identité BDC dans les pages d’administration des Services Microsoft Business Connectivity et dans SharePoint Designer 2010. Notes Par défaut, le mode RevertToSelf n’est pas activé. Vous devez utiliser Windows PowerShell pour activer le mode RevertToSelf afin de pouvoir créer ou importer des modèles qui utilisent RevertToSelf. Pour plus d’informations, voir Mode d’authentification RevertToSelf. Le mode RevertToSelf n’est pas pris en charge dans les environnements hébergés.
WindowsCredentials	Pour les bases de données ou les services Web externes, ce mode utilise un service Banque d’informations sécurisé pour mapper les informations d’identification de l’utilisateur à un jeu d’informations d’identification Windows sur le système externe. Ce mode est appelé Imiter l’identité Windows dans les pages d’administration des Services Microsoft Business Connectivity et dans SharePoint Designer 2010.
Credentials	Pour un service Web externe, ce mode utilise un service Banque d’informations sécurisé pour mapper les informations d’identification de l’utilisateur à un jeu d’informations d’identification fournies par une source autre que Windows et qui sont utilisées pour accéder aux données externes. Le service Web doit utiliser une authentification de base ou Digest quand ce mode est utilisé. Important Pour mieux préserver la sécurité dans ce mode, nous recommandons que la connexion entre les Services Microsoft Business Connectivity et le système externe soit sécurisée via l’utilisation de SSL (Secure Sockets Layer) ou IPSec (Internet Protocol Security). Ce mode est appelé Imiter l’identité personnalisée dans les pages d’administration des Services Microsoft Business Connectivity et dans Office SharePoint Designer.
RDBCredentials	Pour une base de données externe, ce mode utilise un service Banque d’informations sécurisé pour mapper les informations d’identification de l’utilisateur à un jeu d’informations d’identification fournies par une source autre que Windows. Pour mieux préserver la sécurité dans ce mode, nous recommandons que la connexion entre les Services Microsoft Business Connectivity et le système externe soit sécurisée par le protocole SSL (Secure Sockets Layer) ou la sécurité IPSec. Ce mode est appelé Imiter l’identité personnalisée dans les pages d’administration des Services Microsoft Business Connectivity et dans Office SharePoint Designer.
DigestCredentials	Pour un service WCF, ce mode utilise un service Banque d’informations sécurisé pour mapper les informations d’identification de l’utilisateur à un jeu d’informations d’identification en utilisant l’authentification Digest. Ce mode est appelé Emprunter l’identité personnalisée - Digest dans les pages d’administration des Services Microsoft Business Connectivity et dans SharePoint Designer 2010.

L’illustration suivante représente les modes d’authentification des Services Microsoft Business Connectivity lors de l’utilisation des informations d’identification.

Authentification des services Business Connectivity

En mode PassThrough (Identité de l’utilisateur) (A), les informations d’identification de l’utilisateur connecté sont transmises directement au système externe.
En mode RevertToSelf (Identité BDC) (B), les informations d’identification de connexion de l’utilisateur sont remplacées par les informations d’identification du compte de processus sous lequel s’exécutent les Services Microsoft Business Connectivity, et ces informations d’identification sont transmises au système externe.
Trois modes utilisent le service Banque d’informations sécurisé : WindowsCredentials (Imiter l’identité Windows), RdbCredentials (Imiter l’identité personnalisée) et Credentials. Dans ces modes, les informations d’identification de l’utilisateur sont mappées à un jeu d’informations d’identification pour le système externe et les Services Microsoft Business Connectivity transmettent ces informations d’identification au système externe. Les administrateurs de solutions peuvent soit mapper les informations d’identification de chaque utilisateur à un compte unique, soit mapper un jeu d’utilisateurs authentifiés à un compte de groupe unique.

Configuration de Business Connectivity Services pour l’authentification basée sur les revendications

Les Services Microsoft Business Connectivity peuvent fournir l’accès aux données externes sur la base de jetons de sécurité entrants et transmettre les jetons de sécurité à des systèmes externes. Un jeton de sécurité est constitué d’un jeu de revendications d’identité concernant un utilisateur, et l’utilisation de jetons de sécurité pour l’authentification est appelée « authentification basée sur les revendications ». SharePoint Server inclut un service d’émission de jeton de sécurité qui émet des jetons de sécurité.

L’illustration suivante montre comment le service d’émission de jeton de sécurité et le service Banque d’informations sécurisé collaborent dans l’authentification basée sur les revendications :

Authentification par revendications dans BCS

Un utilisateur tente une opération sur une liste externe qui est configurée pour l’authentification basée sur les revendications.
L’application cliente demande un jeton de sécurité au service d’émission de jeton de sécurité.
Selon l’identité de l’utilisateur demandeur, le service d’émission de jeton de sécurité émet un jeton qui contient un jeu de revendications et un identificateur d’application cible. Le service d’émission de jeton de sécurité retourne le jeton à l’application cliente.
Le client transmet le jeton de sécurité au service Banque d’informations sécurisé.
Le service Banque d’informations sécurisé évalue le jeton de sécurité et utilise l’identificateur de l’application cible pour retourner un jeu d’informations d’identification qui s’appliquent au système externe.
Le client reçoit les informations d’identification et les transmet au système externe de façon qu’une opération (telle que l’extraction ou la mise à jour de données externes) puisse avoir lieu.

Vue d’ensemble des autorisations du service Business Connectivity

Dans les Services Microsoft Business Connectivity, les autorisations associent un compte individuel, un compte de groupe ou une revendication à un ou plusieurs niveaux d’autorisation sur un objet dans un magasin de métadonnées. En définissant correctement les autorisations sur des objets dans les Services Microsoft Business Connectivity, les solutions sont mieux à même d’incorporer sans risque les données externes. Lors de la planification d’une stratégie d’autorisations, nous vous recommandons d’accorder des autorisations spécifiques à chaque utilisateur ou groupe qui en a besoin, de façon que les informations d’identification fournissent le minimum de privilèges nécessaires pour réaliser les tâches.

Avertissement

Définir correctement les autorisations dans les Services Microsoft Business Connectivity fait partie d’une stratégie de sécurité globale. Un autre facteur tout aussi important est la sécurisation des données dans les systèmes externes. La façon dont vous procédez dépend du modèle de sécurité et des fonctionnalités du système externe, mais ce sujet dépasse le cadre de cet article.

Notes

Les services Microsoft Business Connectivity utilisent les autorisations sur les objets de métadonnées et les autorisations sur le système externe pour déterminer les règles d’autorisation. Par exemple, un découpage de sécurité peut empêcher les données externes d’apparaître dans les résultats de la recherche des utilisateurs. Toutefois, si des utilisateurs découvrent d’une manière ou d’une autre l’URL permettant d’accéder aux données externes masquées, ils peuvent accéder aux données externes s’ils disposent des autorisations nécessaires sur l’objet de métadonnées et sur le système externe. La façon correcte d’empêcher les utilisateurs d’accéder aux données externes consiste à définir les autorisations appropriées dans les services Microsoft Business Connectivity et dans le système externe.

Sur quoi peut-on définir des autorisations ?

Chaque instance du Service Business Data Connectivity (ou, dans le cas de l’hébergement, chaque partition) contient un magasin de métadonnées qui inclut tous les modèles, les systèmes externes, les types de contenu externe, les méthodes et les instances de méthodes qui ont été définis pour les besoins de ce magasin. Ces objets existent dans une hiérarchie comme le montre l’illustration suivante :

Hiérarchie du magasin de métadonnées

Notes

Dans le graphique hiérarchique précédent, les libellés entre parenthèses correspondent aux noms des objets définis dans le schéma de métadonnées des Services Microsoft Business Connectivity. Les libellés qui ne figurent pas entre parenthèses sont les noms de chaque objet tel qu’il apparaît dans l’interface utilisateur du Service Business Data Connectivity. Pour une description complète du schéma de métadonnées des Services Microsoft Business Connectivity, ainsi que des procédures pas à pas de nombreuses tâches de développement, voir le Kit de développement logiciel (SDK) Microsoft SharePoint 2010 (https://go.microsoft.com/fwlink/?linkid=166117&clcid=0x40C).

La hiérarchie des objets dans un magasin de métadonnées détermine les objets qui peuvent propager leurs autorisations à d’autres objets. Dans l’illustration, chaque objet sur lequel des autorisations peuvent être définies, et le cas échéant propagées, est représenté par une ligne continue ; chaque objet qui prend ses autorisations de son objet parent est représenté par une ligne discontinue. Par exemple, l’illustration montre qu’il est possible de sécuriser un système externe (LobSystem) en lui affectant des autorisations, mais une action ne peut pas recevoir d’autorisations directement. Les objets auxquels il n’est pas possible d’affecter des autorisations prennent leurs autorisations de leur objet parent. Par exemple, une action prend les autorisations de son type de contenu externe (entité) parent.

Security Note
Quand les autorisations s’appliquant à un objet dans un magasin de métadonnées sont propagées, les paramètres des autorisations pour tous les enfants de cet élément sont remplacés par les autorisations de l’objet propagateur. Par exemple, si des autorisations sont propagées à partir d’un type de contenu externe, toutes les méthodes et les instances de méthodes de ce type de contenu externe reçoivent les nouvelles autorisations.

Quand les autorisations s’appliquant à un objet dans un magasin de métadonnées sont propagées, les paramètres des autorisations pour tous les enfants de cet élément sont remplacés par les autorisations de l’objet propagateur. Par exemple, si des autorisations sont propagées à partir d’un type de contenu externe, toutes les méthodes et les instances de méthodes de ce type de contenu externe reçoivent les nouvelles autorisations.

Il est possible de définir quatre niveaux d’autorisation sur le magasin de métadonnées et les objets qu’il contient :

Modifier

Security Note
L’autorisation Modifier doit être considérée comme dotée de privilèges élevés. À l’aide de l’autorisation Modifier, un utilisateur malveillant peut dérober des informations d’identification ou endommager une batterie de serveurs. Dans un système de production, il est recommandé de n’accorder l’autorisation Modifier qu’aux utilisateurs qui, à vos yeux, présentent les qualités requises pour disposer d’autorisations de niveau administrateur.

L’autorisation Modifier doit être considérée comme dotée de privilèges élevés. À l’aide de l’autorisation Modifier, un utilisateur malveillant peut dérober des informations d’identification ou endommager une batterie de serveurs. Dans un système de production, il est recommandé de n’accorder l’autorisation Modifier qu’aux utilisateurs qui, à vos yeux, présentent les qualités requises pour disposer d’autorisations de niveau administrateur.

Exécuter
Sélectionnable dans les clients
Définir les autorisations

Le tableau suivant définit la signification de ces autorisations sur les divers objets pour lesquels elles peuvent être définies.

Objet	Définition	Autorisations de modification	Autorisations d’exécution	Autorisations Sélectionnable dans les clients	Autorisations Définir des autorisations
Magasin de métadonnées	La collection de fichiers XML, stockés dans le Service Business Data Connectivity, contenant chacun des définitions de modèles, de types de contenu externe et de systèmes externes.	L’utilisateur peut créer de nouveaux systèmes externes.	En dépit de l’absence d’une autorisation « Exécuter » sur le magasin de métadonnées même, ce paramètre peut être utilisé pour propager des autorisations d’exécution à des objets enfants dans le magasin de métadonnées.	En dépit de l’absence d’une autorisation « Sélectionnable dans les clients » sur le magasin de métadonnées même, ce paramètre peut être utilisé pour propager ces autorisations à des objets enfants dans le magasin de métadonnées.	L’utilisateur peut définir des autorisations sur n’importe quel objet du magasin de métadonnées en les propageant à partir du magasin de métadonnées.
Modèle	Un fichier XML qui contient des jeux de descriptions d’un ou plusieurs types de contenu externe, leurs systèmes externes connexes et des informations spécifiques à l’environnement, telles que les propriétés d’authentification.	L’utilisateur peut éditer le fichier modèle.	L’autorisation « Exécuter » n’est pas applicable aux modèles.	L’autorisation « Sélectionnable dans les clients » n’est pas applicable aux modèles.	L’utilisateur peut définir des autorisations sur le modèle.
Système externe	La définition de métadonnées d’une source de données prise en charge pouvant être modélisée, par exemple une base de données, un service Web ou un assembly de connectivité .NET.	L’utilisateur peut éditer le système externe. Le fait de définir cette autorisation permet de rendre le système externe et toute instance de système externe qu’il contient visibles dans SharePoint Designer.	En dépit de l’absence d’une autorisation « Exécuter » sur un système externe même, ce paramètre peut être utilisé pour propager des autorisations d’exécution à des objets enfants dans le magasin de métadonnées.	En dépit de l’absence d’une autorisation « Sélectionnable dans les clients » sur un système externe même, ce paramètre peut être utilisé pour propager ces autorisations à des objets enfants dans le magasin de métadonnées.	L’utilisateur peut définir des autorisations sur le système externe.
Type de contenu externe	Collection de métadonnées réutilisable qui définit un jeu de données à partir d’un ou plusieurs systèmes externes, les opérations disponibles sur ces données et les informations de connectivité liées à ces données.	En dépit de l’absence d’une autorisation « Modifier » sur un type de contenu externe même, ce paramètre peut être utilisé pour propager ces autorisations à des objets enfants dans le magasin de métadonnées.	L’utilisateur peut exécuter des opérations sur le type de contenu externe.	L’utilisateur peut créer des listes externes du type de contenu externe.	L’utilisateur peut définir des autorisations sur le type de contenu externe.
Méthode	Une opération liée à un type de contenu externe.	L’utilisateur peut éditer la méthode.	En dépit de l’absence d’une autorisation « Exécuter » sur une méthode même, ce paramètre peut être utilisé pour propager des autorisations d’exécution à des objets enfants dans le magasin de métadonnées.	Il n’existe pas d’autorisation « Sélectionnable dans les clients » sur une méthode.	L’utilisateur peut définir des autorisations sur la méthode.
Instance de méthode	Pour une méthode particulière, décrit la façon d’utiliser une méthode en utilisant un jeu spécifique de valeurs par défaut.	L’utilisateur peut éditer l’instance de méthode.	L’utilisateur peut exécuter l’instance de méthode.	Il n’existe pas d’autorisation « Sélectionnable dans les clients » sur une instance de méthode.	L’utilisateur peut définir des autorisations sur l’instance de méthode.

Autorisations spéciales sur le service Business Data Connectivity

Outre les fonctionnalités générales de définition d’autorisations décrites plus haut, il existe un jeu d’autorisations spéciales pour le Service Business Data Connectivity :

Les administrateurs de batterie ont toutes les autorisations sur le Service Business Data Connectivity. Ceci est nécessaire par exemple pour gérer ou réparer une instance du service. Cependant, sachez que l’administrateur de batterie ne possède d’autorisation d’exécution sur aucun objet du magasin de métadonnées et que ce droit doit être accordé explicitement par un administrateur d’une instance du Service Business Data Connectivity, si cela est nécessaire.
Les utilisateurs de Windows PowerShell sont des administrateurs de batterie et peuvent exécuter des commandes sur le Service Business Data Connectivity.
Les comptes de pool d’applications sur les serveurs frontaux ont les mêmes autorisations sur le Service Business Data Connectivity que les administrateurs de batterie. Cette autorisation est nécessaire pour générer des packages de déploiement basés sur les Services Microsoft Business Connectivity.
Les utilisateurs SharePoint Designer doivent, dans la plupart des cas, recevoir les autorisations suivantes sur l’ensemble du magasin de métadonnées : Modifier, Exécuter et Sélectionnable dans les clients. Les utilisateurs SharePoint Designer ne doivent pas recevoir les autorisations Définir les autorisations. Au besoin, vous pouvez limiter les autorisations de l’utilisateur SharePoint Designer à un sous-ensemble du magasin de métadonnées.

Avertissement

Pour mieux sécuriser une solution, SharePoint Designer doit être utilisé pour créer des types de contenu externe dans un environnement de test dans lequel les autorisations de modification peuvent être accordées librement. Lors du déploiement de la solution testée dans un environnement de production, retirez les autorisations de modification afin de protéger l’intégrité des données externes.

Tâches courantes et leurs autorisations correspondantes

Cette section décrit les tâches courantes dans le Service Business Data Connectivity et les autorisations nécessaires pour les exécuter.

Tâche	Autorisations
Créer un nouvel objet dans le magasin de métadonnées	Pour créer un nouvel objet de métadonnées, l’utilisateur doit disposer d’autorisations de modification sur l’objet métadonnée parent. Par exemple, pour créer une nouvelle méthode dans un type de contenu externe, l’utilisateur doit disposer d’autorisations sur le type de contenu externe. Consultez l’illustration plus haut dans cet article pour la relation enfant/parent entre les objets dans le magasin de métadonnées.
Supprimer un objet du magasin de métadonnées	Pour supprimer un objet de métadonnées, l’utilisateur doit avoir des autorisations de modification sur cet objet. Pour supprimer un objet et tous ses objets enfants (comme la suppression d’un type de contenu externe et de toutes ses méthodes), l’autorisation de modification est également nécessaire sur tous les objets enfants.
Ajout d’un type de contenu externe à un modèle	Pour ajouter un type de contenu externe à un modèle, l’utilisateur doit disposer d’autorisations de modification sur le modèle.
Importation de modèles	Pour importer un modèle dans le magasin de métadonnées, l’utilisateur doit disposer des autorisations de modification sur le magasin de métadonnées. Si des autorisations explicites ne sont pas affectées au modèle, l’utilisateur l’ayant importé recevra les autorisations de modification sur ce modèle.
Exportation de modèles	Pour exporter un modèle à partir du magasin de métadonnées, l’utilisateur doit disposer d’autorisations de modification sur ce modèle et sur tous les systèmes externes contenus dans le modèle.
Génération d’un package de déploiement	Les packages de déploiement sont générés par le compte du pool d’applications qui est utilisé par le serveur frontal. Ce compte possède les autorisations maximales sur le magasin de métadonnées, ce qui lui permet de réaliser cette tâche.
Définition des autorisations initiales sur le magasin des métadonnées.	Lors de la première création d’une instance du Service Business Data Connectivity, son magasin de métadonnées est vide. L’administrateur de batterie a les autorisations maximales sur le magasin et peut définir les autorisations initiales.
Générer un package de déploiement à partir d’une batterie de serveurs consommatrice.	L’application de Service Business Data Connectivity peut être partagée entre plusieurs batteries de serveurs. Pour générer un package de déploiement à partir d’une batterie de serveurs consommatrice (batterie de serveurs qui se connecte à un emplacement distant pour utiliser l’application de Service Business Data Connectivity), le compte de pool d’applications utilisé par le serveur frontal de la batterie de serveurs consommatrice doit disposer d’autorisations sur le magasin de métadonnées de la batterie de serveurs de publication. Pour plus d’informations sur l’affectation d’autorisations au compte du pool d’applications, voir Définir des autorisations pour permettre à une batterie de serveurs consommatrice de générer des packages de déploiement.

Sécurisation de Business Connectivity Services

Cette section présente des mesures supplémentaires qui permettent de sécuriser Business Connectivity Services.

Compte de service

Pour des impératifs d’isolement liés à la sécurité, l’application de Service Business Data Connectivity et le serveur frontal ne doivent pas utiliser le même compte de service.

Communications de serveur à serveur

La sécurisation des communications entre l’application de Service Business Data Connectivity et les systèmes externes préserve l’intégrité des données sensibles. Vous devez utiliser un canal de communication chiffré pour protéger les données envoyées entre les serveurs exécutant SharePoint Server 2010 et les systèmes externes. La sécurité du protocole Internet (IPsec) est une méthode qui permet de protéger les communications. Le choix de la méthode à utiliser dépend des canaux de communication que vous sécurisez et des avantages et compromis les plus appropriés pour votre organisation.

Applications utilisant FileBackedMetadataCatalog

Pour des raisons de sécurité, le mode d’authentification RevertToSelf est désactivé sur SharePoint Server 2010 par défaut. Toutefois, cela n’empêche pas les applications qui utilisent la classe FileBackedMetadataCatalog d’importer des modèles et d’exécuter des appels qui utilisent l’authentification RevertToSelf. Cela peut aboutir à l’élévation des privilèges des utilisateurs par le biais de l’octroi de privilèges au compte du pool d’applications. Avant d’installer des applications sur un système de production, vous devez vous assurer qu’aucune d’entre elles n’utilise la classe FileBackedMetadataCatalog et l’authentification RevertToSelf.

Partager via