CAC Diaktifkan Anonymous Sharepoint Situs
Oleh: Noni Hernandez
Enterprise Architect
Jika Anda bekerja / pernah bekerja atau berencana untuk bekerja dalam lingkungan Departemen Pertahanan, keamanan akan menjadi topik yang menghantui mimpi-mimpi Anda. Bukan berarti keamanan tidak lazim di sektor swasta, tetapi mengingat sifat pekerjaan kami keamanan adalah prioritas utama jika bukan prioritas nomor satu. Bahwa menjadi kata, saya telah bekerja dengan PKI Departemen Pertahanan selama beberapa tahun sehingga saya sangat sadar akan ruang lingkup dan implikasi menyediakan lingkungan komputasi yang aman. Baru-baru ini saya ditugaskan untuk membawa kami semua server yang tersedia secara publik untuk standar aman. Ini terlibat untuk menjalankan sebuah beban seimbang ISA 2006 array dan melindungi semua layanan kami yang tersedia melalui internet NIPRNET atau komersial. Salah satu proyek saya adalah mengamankan pertanian SharePoint kami hanya membolehkan akses melalui array ISA. Biasanya ini akan menjadi tugas selesai dalam satu tidur, tergantung pada model otentikasi yang digunakan. Namun, menjadi elemen DoD membawa persyaratan tertentu yang harus dipenuhi untuk menjamin perlindungan data kami. Masukkan CAC, atau common Access Card, dan pemanfaatan Departemen Pertahanan PKI untuk menegakkan lingkungan yang lebih aman.
Inheren, ISA 2006 telah besar dukungan untuk klien model otentikasi sertifikat, tetapi ada beberapa kendala. Yang utama menjadi ISA hanya akan memungkinkan sambungan dengan query domain Anda untuk proses otentikasi anggota aktif domain Anda. Ini adalah hal yang baik-baik saja, kecuali untuk pengertian publik memiliki halaman dengan informasi yang terbatas, pada model akses anonim. Ini adalah tempat hal-hal mulai mendapatkan rumit. Seperti yang saya katakan sebelumnya, salah satu persyaratan yang diturunkan oleh Departemen Pertahanan adalah untuk mengamankan semua server yang tersedia secara publik melalui CAC otentikasi. Ini berarti memberikan akses ke situs umum Anda kepada siapa pun dengan CAC yang valid. Jika Anda mempublikasikan situs anonim Anda dan memberi Anda akses langsung ke peternakan, kemudian menggelar skenario ini agak sederhana, tetapi Anda meninggalkan server Anda rentan terhadap akses yang tidak mungkin hanya dengan memberikan akses langsung. Jadi tentu saja kita perlu untuk menerbitkan situs ini melalui array ISA kami untuk memberikan lapisan keamanan. Ini adalah tempat saya pertama kali bertemu masalah. Jika Anda mengkonfigurasi aturan akses di ISA kemudian memungkinkan klien memerlukan sertifikat otentikasi pengguna menjadi anggota aktif dalam domain Anda dengan mereka terdaftar CAC ke account tersebut. Jika Anda memilih untuk meninggalkan permintaan sertifikat di web server dan mengatur permintaan otentikasi pada pendengar untuk 'No Authentication' dan delegasi otentikasi "Tidak delegasi, tetapi dapat mengotentikasi klien secara langsung ', anda kemungkinan besar akan menerima 408/Request timed out kesalahan saat mencoba mengakses halaman. Aku terjebak pada pesan kesalahan ini selama berminggu-minggu setelah mencoba berbagai kombinasi untuk membuat karya ini.
Setelah banyak tidur malam (dan bahkan lebih buruk lagi, mimpi buruk!) Mencoba untuk menciptakan solusi untuk masalah ini, akhirnya saya menemukan solusi hanya setelah diminta untuk mengamankan server lain di balik array. Jadi di sini adalah metode yang saya dikembangkan untuk memungkinkan akses ke situs SharePoint anonim kami, dengan satu-satunya ketentuan yang mereka CAC yang valid.
Langkah 1.
Pada ISA array, bukan menciptakan Penerbitan SharePoing Situs Aturan atau Web Publishing Situs Aturan, pilih 'Non-Web Server Protokol Penerbitan Peraturan'. Berikan nama yang bermakna sehingga admin akan dapat dengan mudah mengidentifikasi apa aturan kinerja, saya memilih 'HQ Anonymous SharePoint Site [CAC Enabled]'. Setelah Anda klik next masukkan IP baik individu beban server atau IP seimbang dimanfaatkan untuk mencapai situs. Setelah mengklik berikutnya, Anda harus mengklik baru untuk membuat versi modifikasi dari HTTPS / SSL protokol, saya menamainya 'HTTPS [HQ Anon]' untuk kembali mencerminkan pemanfaatannya. Setelah mengklik berikutnya Anda harus terlebih dahulu membuat sebuah protokol TCP Inbound menggunakan Port Range 443-443. Hal ini pada dasarnya melucuti bawah metode yang digunakan oleh ISA, yaitu kompresi, masking, untuk memungkinkan sambungan SSL tetapi masih menghasilkan proxy koneksi ke situs internal kami untuk melindungi data. Setelah mengklik OK, Anda harus melakukan hal yang sama serta membuat dan Outbound koneksi dengan parameter yang sama, hal ini akan mengizinkan klien permintaan sertifikat harus dikembalikan kepada pengguna akhir untuk jabat tangan yang sukses. Setelah mengklik OK dan kemudian Selesai anda akan melihat protokol baru Anda di 'Dipilih Protokol' daftar dropdown. Klik Next dan pilih jaringan yang akan mendengarkan permintaan ini, kemungkinan besar 'eksternal' dan kemudian klik tombol Alamat. Karena saya menggunakan array seimbang beban Saya telah memiliki VIP siap untuk digunakan untuk situs yang diterbitkan ini, jadi saya memilih 'alamat IP Specified ..' dan kemudian pilih IP saya akan gunakan untuk menerbitkan situs ini dan kemudian klik Tambah sehingga aturan ini hanya menanggapi permintaan dikirim ke IP tertentu ini. Setelah Anda memilih IP dan klik OK, klik Finish untuk menyelesaikan pembuatan aturan.
Langkah 2.
Setelah Anda telah menciptakan aturan, klik dua aturan baru untuk melihat properti. Klik pada 'Untuk' tab dan mengubah 'Permohonan untuk server diterbitkan' Pengaturan untuk 'Permintaan muncul datang dari komputer ISA Server'. Setelah memverifikasi semua pengaturan sudah benar dari langkah 1 dan 2 kemudian klik 'Terapkan' dan 'OK'. Ini harus menyimpulkan bagian konfigurasi ISA!
Langkah 3.
Pada peternakan SharePoint Anda, Anda harus membuka pengaturan IIS dan kemudian navigasi ke situs anonim dan melihat properti. Bila Anda memiliki sifat terbuka, navigasikan ke halaman Keamanan Direktori dan kemudian klik Edit pada bagian Secure Communications. Di sini Anda akan perlu memilih 'Require saluran aman', 'klien Mengharuskan sertifikat', dan kemudian 'Aktifkan kepercayaan sertifikat list'. Klik New untuk membuat daftar Trust baru, klik Next dan kemudian klik 'Tambah dari File'. Anda harus memilih Departemen Pertahanan Root CA 2 dan saya juga menetapkan KELAS DoD 3 Root CA dari mana Anda memiliki sertifikat ini disimpan. Klik next dan kemudian memberinya nama, yaitu CTL DOD, klik next dan kemudian Finish. Setelah mengklik OK semua jalan melalui ke Keamanan Direktori halaman situs anonim properti, anda selesai!
Jadi seperti yang Anda lihat, itu benar-benar tidak proses yang rumit. Tapi dalam skema besar, kita semua tahu bahwa kita cenderung untuk lebih berpikir dan lebih rumit untuk merancang solusi. Saya lebih dari bersalah dalam hal ini, aku kehilangan minggu tidur untuk membuktikannya! Panduan konfigurasi ini diatur pada berpura-pura bahwa Anda memiliki beberapa item awal dikonfigurasi, dan bahwa Anda mencapai jalan buntu pada titik yang sama saya lakukan. Jika tidak sedang kehilangan rambut karena ini, dan Anda baru saja mulai turun menjadi gila, maka Anda perlu tahu bahwa ada beberapa langkah yang harus diselesaikan sebelum mencapai tahap ini.
-------
Terima kasih Noni untuk menyetujui untuk menulis posting ini! Saya pikir semua orang akan setuju ini merupakan kontribusi yang berharga bagi Departemen Pertahanan - SharePoint masyarakat!
Pasal Atau Penelitian Filed Under SharePoint | SharePoint Arsitektur.
4 Komentar »
RSS feed untuk komentar di posting ini. Trackback URL
Sekitar [...] Diaktifkan Anonymous BlogosphereCAC SharePoint Situs (SharePoint Shelter) Jika Anda sudah pernah bekerja / pernah bekerja atau berencana untuk bekerja dalam lingkungan Departemen Pertahanan, keamanan akan menjadi topik yang menghantui mimpi-mimpi Anda. Bukan berarti keamanan tidak lazim di sektor swasta, tetapi mengingat sifat pekerjaan kami keamanan adalah prioritas utama jika bukan prioritas nomor satu. Bahwa menjadi kata, saya telah bekerja dengan PKI Departemen Pertahanan selama beberapa tahun sehingga saya sangat sadar akan ruang lingkup dan implikasi menyediakan lingkungan komputasi yang aman. Baru-baru ini saya ditugaskan untuk membawa kami semua server yang tersedia secara publik untuk standar aman. [...]
Pingback oleh Windows 7 Sekarang Dengan Mode XP, Office 2010 ScreenShots, EDS untuk Jual Microsoft Hosted Aplikasi - SharePoint Daily - Bambu Bangsa - 28 April 2009 @ 6:19
Hi Noni,
Saya telah berjuang selama hampir 2 minggu untuk membuat situs SharePoint saya bekerja dengan kartu CAC. Kita tidak punya ISA 2006 lingkungan. Aku perlu menerapkan otentikasi CAC WEB langsung ke server. di bawah ini adalah skenario.
Saya telah menciptakan MOSS2007 situs web di Windows Server 2008 dengan otentikasi windows (AD). Saya perlu membuat situs ini dengan CAC otentikasi. AD memiliki semua sertifikat klien dipetakan ke account pengguna.
LANGKAH 1:
Sertifikat Klien Saya telah menginstal pemetaan otentikasi dalam IIS7.0 dan diaktifkan untuk server.
Aku diaktifkan Sertifikat Klien Pemetaan dan mengatur ssl propety untuk SslNegotiateCert di IIS7.0.
Saya mencoba mengakses situs dari browser klien dengan CAC dan petunjuknya untuk memilih sertifikat digital (tidak ada sertifikat di dalamnya). Ketika saya klik ok maka petunjuknya saya otentikasi jendela prompt.
Step2:
Aku mengikuti langkah 3 di atas dan situs mulai memberikan error 403.
Aku putus asa mencari solusi.
Dapatkah Anda membantu saya solusi ini?
Terima kasih,
Reddy
Komentar oleh Reddy - 13 November 2009 @ 9:21
Great artikel, terstruktur dan ditulis! Saya bekerja dengan SharePoint portal di masa lalu dan kami berencana untuk masa depan; CAC enbabling situs dibesarkan. Reddy's situasi akan menjadi satu sama dengan saya. Apakah ada tanggapan atas pertanyaan Reddy? Saya tidak lagi pada SP portal dan ini hanya untuk pengetahuan pribadi saya tentang bagaimana hal itu akan pernah bekerja. Thanks lagi untuk membaca yang baik
Komentar oleh Bruce - 7 Desember 2009 @ 12:12
silakan meninggalkan komentar pada artikel ini dengan CAC / SharePoint pengalaman.
Thank you ... Adam.
Komentar oleh adam - Januari 26, 2010 @ 1:10