Consigli sulla sicurezza per il runtime di BizTalk Server

È necessario installare il runtime di BizTalk Server, o il motore, in tutti i computer dai quali si desidera ricevere, inviare, elaborare e monitorare i messaggi. In altre parole, è necessario installare i componenti del runtime in tutti i computer nei quali è stata creata un'istanza dell'host di BizTalk (server di elaborazione). Per garantire la protezione e la distribuzione del runtime di BizTalk Server nell'ambiente in uso, attenersi alle indicazioni seguenti:

• Accertarsi di disporre dei diritti utente di sicurezza minimi per l'esecuzione delle attività del runtime di BizTalk. Per altre informazioni sui diritti utente di sicurezza minimi, vedere Diritti utente di sicurezza minimi.

  Nota

  La configurazione di BizTalk prevede la concessione delle autorizzazioni minime necessarie agli account per l'esecuzione delle attività.

• L'account del servizio di ogni istanza dell'host deve disporre delle autorizzazioni di accesso come servizio sul computer in cui è eseguita l'istanza dell'host.

• Solo gli account del servizio degli host hanno accesso ai dati MessageBox correlati a un host e solo questi servizi possono eseguire pubblicazioni su MessageBox. Per ridurre al minimo la possibilità di attacchi con divulgazione di informazioni, non utilizzare lo stesso account del servizio per più di un host.

• I server di elaborazione (host che non ospitano il rilevamento) devono collegarsi solo ai database MessageBox e di gestione e al server master secret. Se si utilizza IPSec (Internet Protocol security), è possibile limitare l'accesso dei server di elaborazione a questi due database e al server master secret.

• Tutti i componenti eseguiti all'interno dello stesso host di BizTalk hanno lo stesso livello di attendibilità dell'host. È compito dell'amministratore di BizTalk determinare i componenti che devono essere eseguiti nello stesso host e, quindi, condividere lo stesso livello di attendibilità. BizTalk assicura che in un host di BizTalk vengano eseguiti solo gli assembly installati dagli amministratori di BizTalk. Se si desidera creare ulteriori restrizioni per quanto riguarda gli assembly usati da BizTalk, ad esempio, se si vuole limitare BizTalk solo per eseguire assembly firmati da un determinato fornitore o convalidare la firma del nome sicuro per un'orchestrazione, è possibile usare il meccanismo di sicurezza di accesso al codice .NET Framework. Per altre informazioni sul sito Web Microsoft MSDN in https://go.microsoft.com/fwlink/?LinkId=60947.

• La granularità delle autorizzazioni per la pubblicazione dei messaggi è limitata al livello dell'host di BizTalk. In altre parole, se sono presenti più orchestrazioni o adapter in esecuzione all'interno dello stesso host di BizTalk, non è possibile limitare la ricezione dei messaggi inviati all'host a un'orchestrazione specifica.

• Quando un host non è autorizzato a ricevere un messaggio, lo posiziona nella propria coda degli elementi sospesi. Per impostazione predefinita, quando gli adapter di ricezione e le orchestrazioni sono in esecuzione nello stesso host, le orchestrazioni possono leggere la coda degli elementi sospesi dell'host. È quindi possibile che un'orchestrazione prelevi un messaggio sospeso da BizTalk a causa di un errore di autorizzazione. È pertanto consigliabile non eseguire le orchestrazioni e gli adapter di ricezione nello stesso host.

• Le istanze di host sono servizi di Windows in esecuzione in un determinato computer. Per creare un'istanza di host è necessario essere un amministratore BizTalk e, allo stesso tempo, un amministratore Windows per il computer nel quale si desidera creare l'istanza di host, in quanto BizTalk crea il servizio Windows in modo che corrisponda all'instanza di host.

• Quando Microsoft Visual Studio genera un assembly, usa una chiave personalizzata generata dall'IDE (Integrated Developer Environment). Se l'ambiente in uso prevede la firma di tutti gli assembly con una chiave specifica, è necessario configurare l'ambiente IDE su tutti i computer utilizzati per lo sviluppo affinché utilizzino tale chiave, oppure utilizzare la firma ritardata degli assembly.

• Tutti i componenti nelle pipeline di ricezione e trasmissione tentano di mantenere basso il proprio footprint di memoria. Quando i dati superano una determinata soglia, questi componenti eseguono lo streaming dei dati su disco nella cartella temporanea (%TEMP%). È necessario accertarsi che le cartelle temporanee per gli account del servizio delle istanze di host dispongano degli elenchi di controllo di accesso discrezionale (DACL) appropriati, in modo tale che solo l'account del servizio possa leggere tali file. È inoltre necessario accertarsi che la cartella temporanea disponga di spazio sufficiente per l'archiviazione di file di grandi dimensioni.

Vedere anche

Gestione delle porte di sicurezza BizTalk Serverper i server di elaborazioneraccomandazioni sulla sicurezza per una pianificazione della distribuzione di BizTalk Server per la sicurezza