SharePoint ו SmartCards (כרטיסי CAC)

האם עובד עם SharePoint ו SmartCards?

יש לי, כמו צבא ביותר / סביבות הפדרלי תמצאו שמשתמשים בדרך כלל גישה למשל SharePoint שלך באמצעות CAC (Common Access Card) כרטיס. זה כמו בכל הכרטיס השני jazzed רק קצת יותר למעלה בכלל עם מידע אחר המצורף על זה, שום דבר מפואר מאוד אמיתי. הנה דוגמא של כרטיס CAC נלקחה מהצבא. מיל אתר:

cac card SharePoint and SmartCards (CAC Cards)

המתודולוגיה ותכלית בין כרטיס CAC וגם הכרטיס הם די דומים. הם משמשים, כך שהמשתמש יכול לאמת למיין כל אישור לקוח אובייקטים מודע. בתוך תחומי הפדרלי אף, כרטיסי CAC בדרך כלל חובה.

אבל עם SharePoint, סוג של SmartCards הם מעצבנים. יש כמה הסתייגויות להגדרת הסביבה שלך בתוך SharePoint לגבי שמירה על תאימות CAC, כמה שיכול להיות מטופל באמצעות הגלום הגדרות IIS, אחרים, טוב, דורשים פיתוח מותאם אישית.

עבור הרבה אנשים, יישום של ארכיטקטורת אבטחה כרטיסים חכמים לסביבה שלהם SharePoint יכול להיות אחד יחסית ללא כאבים. אם אתה יודע שכל המשתמשים יש חשבונות פעילים מדריך, אז אתה מוכן ללכת, גם עושה כמה תצורה ב-IIS תקבלו את רוב הדרך לשם. הדרך שבה זה יכול להיעשות היא באמצעות המושג שנקרא תעודת מיפוי הלקוח. מיפוי הלקוחות תעודת יהיה בעצם שאילתה עבור אישור הלקוח הנחה של כרטיסים חכמים, וכן מפה לחשבון Windows קיימים. בעיקרו של דבר, זה לא שונה בהרבה תצורה כי אתה בסופו של דבר עם בעת שימוש משולב של Windows Authentication מאז תוכל עדיין יהיו זהות Windows חוקי לשים מפעילי השוואה נגד. אם זה המקרה שלך, את הבעיות שיש לך ייתקל מחויבים מיסודו ל-IIS. את השינוי הגדול ביותר הוא ב-IIS metabase, מאז תצטרך לתמרן את הנכס metabase כי orchestrates חיבור SSL מו"מ הלקוח. כלומר, אתה אומר SharePoint תמיד ולתת את האישור, אשר יסייעו לפתור את אישור הלקוח חסימות המשא ומתן מחדש. הדבר נעשה על ידי הגדרת metabase SSLAlwaysNegoClientCert נכס כדי נכון.

בזמן זה עובד, זה לא מצב אידיאלי עבור סביבות גדולות שלי. יש לי משתמשים רבים כי למרות שיש CAC / כרטיסים כרטיסים חכמים כי לא קיים עץ Active Directory שאני יכול תוכנית נגד. הדבר מציב בעיה גדולה בשבילי, כי המיפוי שלי ייכשל כמו אופרטור השוואה יהיה למשוך באופן עקבי ערך כוזב על להחזיר את ההתאמה. אני גם לא ממש יכולה לדמיין את יישום כל סוג של ניהול זה יהיה מועיל, זה סוג של תסריט, כי הייתי צריך לדעת את הסיסמה של המשתמשים, אשר עבור יחידה צבאית בדרך כלל, יכול להיות ענק. לאורך השורות האלה אותו, הייתי ממש הגדרת תרחיש 1-ל-1 שלי המיפוי. אני לא רוצה לקחת על עצמו משימה זו בכל דרך לשתף או צורה. אם הלכתי בדרך הזאת, אני אהיה תקוע עם תסריט ניהול, זה היה למען מילה טובה יותר, להיות unmanageable.
למרבה המזל, באמצעות ASP.NET ניתן להזריק דברים בנחל בקשה ASP.NET. זה דבר טוב. עם שיטות אימות מספר המוצעים בתחום של SharePoint, הם מיושמים כמו מודולים HTTP. לדוגמה, אם אתה משתמש FBA עם מופע שלך SharePoint זה יהיה באמצעות HTTP מודולים וכן.

איך מודול HTTP עובד הוא די פשוט. ראשית, בקשה האינטרנט של SharePoint תוגש IIS. בקשה אינטרנט ימופו ASP.NET, אשר לנתח את מקור באמצעות מנוע ASP.NET 2.0, אשר במהותה היא בקשה האינטרנט יד מעל. זה המקום שבו המודול HTTP שייכנס לתוקף. לאחר בקשת האינטרנט הוא הושיט אל ASP.NET תהיה שאילתה לתוך מודולים HTTP כי בתצורת קבצים בשרת כדי לקבוע אם בכלל כדאי לעצור ואולי לשנות את הבקשה. אמנם רק מודולים מסוימים ייכנסו לתוקף, כל מודולי ה-HTTP הזמינים נטענים.

אם אתה רוצה לראות את זה בפעולה, אתה יכול להציג את המודולים HTTP כי הם כעת מופעים מהאתר שלך SharePoint באמצעות קוד חלק קטן באמצעות אוסף Context.ApplicationInstance.Modules בתוך אירוע WebPart OnLoad.

בשנת פירסום הבא בסדרה זו, אני מוכן לדבר על איך אנחנו יכולים לפתור את הבעיה באמצעות בנייה של מודול HTTP מותאמות אישית, וכיצד אנו יכולים לנהל את תעודות הלקוח שלנו דרך אחסון נתונים בניגוד להסתמך על Windows חשבונות. בהמשך, אנו רואים כיצד אנו יכולים לנצל את המושג הזה יותר ליישם ספקית תפקיד מותאם אישית אשר תקע לתוך מודול ה-HTTP על מנת לספק מנגנון כדי להפנות משתמשים אשר לא להירשם תפקיד ברירת מחדל אתר אנונימית, כמו גם כפי ליישם בשם בתוקף תפקידי לסביבת SharePoint.

מאמר או מחקר הגישו תחת אבטחה SharePoint .

37 תגובות »

זה יכול גם להיות מושגת באמצעות ISA 2006 עד לאמת את CAC אל DoD ואז גם להעביר בקשה אנונימית חוות SharePoint או המפה חשבון לספירה ולאחר מכן להעביר כרטיס Kerberos את חוות SharePoint באמצעות Kerberos מוגבל המשלחת. זה די חלקלק אפס פתרון קוד.
על ידי ג 'ון - יוני תגובה 1, 2007 @ 01:50
זה מה שאני השתמשתי בנסיבות מסוימות, ועל כך באחרים קצת. יש עלות שקועה עם השב"כ מן החומרה הן, יישום, ופרספקטיבות וניהול שהופכות חלקים של DoD קצת להיגמל ממנו כפתרון.
לא ניסיתי 100% מה שאני מתאר כאן דרך ISA (כלומר מיפוי משתמשים שאינם המודעה CAC / כרטיסים חכמים חקרו מידע), אבל אני אבדוק את נותן לזה סיכוי.
אני אוהב באמצעות Kerberos בדרך כלל בצורה שאתה מתאר את זה כי בגלל שיקולים מהירות ועבודה עם-TGT של לבנות שלט אחיד יותר בסביבה עבור יישומים אחרים.
תגובה על ידי Buenz אדם ביוני - 9, 2007 @ 12:48
היי אני גם עובד על אתר צבאי ולא אני מנסה לדרוש אימות CAC באתר SharePoint שלי אני נתקל הרבה בעיות. הכי קרוב שהגענו היה שם המשתמשים התבקשו לבצע אימות פעמיים עם כרטיסי CAC. במקרה עשית מסמך הנוהל שלך הגדרה זו את?
תגובה על ידי אדלר לורן - 12 ביולי, 2007 @ 08:24
אני לא באמת יש לי צעד צעד בתהליך זה בחוץ בגלל ההבדלים בין סביבות אדריכלי יכול להיות עצום כל כך.
איך בדיוק אתה עושה אימות שלך? האם אתה פשוט לבדוק את הגדרות ה-IIS כדי לקבל תעודות הלקוח?
תגובה על ידי Buenz אדם - 12 ביולי, 2007 @ 08:54
אדם,
פירסום נהדר, אני מצפה בשקיקה את "הבא בסדרה". פעילות דומה לזו שאתה מתאר ניתנה לי, בעצם, המבוא שלי SharePoint, CAC, Active Directory ... אתה שם את זה, אני לא עובד עם זה עדיין! (אז אני מתנצל אם אני המינוח שימוש לרעה או אוזלת לבגוד אחרת.)
בעיקרון, משתמשים יהיו צריכים להיות מסוגלים להתחבר באמצעות שם המשתמש שלהם / סיסמה או דרך CAC (מ מחוץ לאתר או מחוץ ליער-AD), עם שם המשתמש והסיסמה / ו CAC מחוץ לאתר חסול כמשתמש אותו.
יש לי להתמודד על יישום מודול HTTP ואיך משתמשים שאינם לספירה יעבוד, אבל אני תקוע מאוד להבין איך לשייך את CAC מאומתים ערך לספירה. אני יודע שאת כל סוגי עסוק, אבל אני יהיה אסיר תודה רבה עבור עצה שאתה יכול להציע. תודה!
בריאן
בריאן - אוגוסט תגובה 22, 2007 @ 02:14
שלום אדם,
אני מנסה להגדיר חתימת CAC כרטיס עבור InfoPath 2003, טפסים על הסביבה 3.0 SIPR SPS (שבו אנו כרגע לא לחתום על עם CAC).
כל עזרה תהיה ךיתורעה או נקודה בכיוון הנכון. אני לא המתכנת ... אבל ... אבל אני לומד מהר.
אני מולטי מדיה Illustrator ידי MOS, אלא InfoManagement / הבחור אוטומציה בפועל.
לפי SFMOSS - במרץ תגובה 10, 2008 @ 02:56
אדם,
תודה על פירסום זה. זה כתובות רבות של נושאים שאני בפנים. אני כרגע יישום פורטל SP עבור הלקוח USAF ACC, עם יחידות מופרדים גיאוגרפית ברחבי הארץ וכן פקודות שונות. מידע לספירה אינו משותף בין פקודות, ולכן נאלצתי להשתמש FBA. השאלה שלי היא כזאת: האם יש בכל זאת כדי לקבוע את הזהות מכרטיס CAC? איך הייתי מפת שזהות תפקיד של ספק התפקיד שלי FBA? לחסל את שם המשתמש / סיסמה התהליך יהיה ענק בתוספת ללקוח, אבל אני לא בטוח שזה אפשרי. אם לא, אז אין שום טעם אמיתי בהתמודדות עם כרטיס CAC בכלל.
אני מאוד מעריך את עזרתך הצבעה אותי בכיוון הנכון.
לפי VegasGuy - במרץ תגובה 26, 2008 @ 21:29
יש לנו מצבים שבהם למשתמש יש שני CAC שונים של עם UPN אותו. רישום CAC הוא שם הצי ריזרב CAC השני הוא CAC האזרחית שלהם. UPN היא לספירה צריך להיות כל כך ייחודי האדם הזה יכול להיות רק חשבון אחד, אבל צריך שניים. האם הפתרון שלהם יש עוד מישהו לרוץ לתוך המצב הזה?
בריאן - אוגוסט תגובה 28, 2008 @ 10:11
אדם,
פוסט נהדר! יש לי דרישה לחתימה כרטיס CAC ב עבור שרת SharePoint 2007 (MOSS). כל עזרה עם השב"כ גישה או FBA בפירוט.
תודה מראש
לפי לינדי - דצמבר תגובה 30, 2008 @ 14:13
אני צריך להגדיר אימות CAC באמצעות מערך ISA 2006 שלנו שלנו "MySite 'ואת הפורטל רגיל, אבל אני נתקל בבעיות מאפשר אימות CAC לאתר אנונימיים שלנו. אני מקבל את זה לעבוד עם מודל פנימי רבים לאחד אימות, זה פשוט שיש המשתמש החיצוני פגע השב"כ שלנו 2006 מערך שגורם לי בעיות. כל תובנה יהיה מוערך מאוד!
תגובה על ידי נוני הרננדז - 13 ינואר 2009 @ 13:49
היי אדם,
פירסום נהדר! זה תמיד בראש תוצאות חיפוש עבור CAC / כרטיסים חכמים ו-SharePoint.
יש עדכונים כלשהם בנוגע מודול HTTP או את האפשרות של שימוש ספקית חברות?
תגובה על ידי ג 'ואל - 28 בינואר, 2009 @ 06:34
מצויינת לכתוב. מתאר בדיוק מה שאני צריך לעשות עבור יישום חיל האוויר שטח SP פיקוד. עשית את ההודעה מעקב.
תגובה על ידי JDK - 4 פבואר 2009 @ 01:44
אקסלנט פוסט. האם עשיתם את ההודעות מעקב?
תגובה על ידי VR - 27 בפברואר, 2009 @ 09:29
פירסום מעקב זה יהיה להפוך את זמן קצר! זה לקח קצת זמן ביחד, אבל יהיה שווה לחכות.
תגובה על ידי Buenz אדם במרס - 2, 2009 @ 08:45
אני מנסה ליישם Authentication & Authorization עם CAC של ב-SharePoint. אני צריך לשים httpModule מותאם אישית של צינור עבור הפורטל SharePoint שלי, אבל אם אני כל כך הרבה כמו לנסות לקרוא את context.Request.clientCertificate.isPresent () הערך, הפורטל מתרסק כל כך קשה כי אני צריך לשחזר מגיבוי. אותו קוד עובד כאשר שמתי אותו צינור של מי שאינו SharePoint, אתר ה-HTML. מישהו ראה משהו דומה? האם מישהו קיבל את זה לעבודה?
לפי טים - במרץ תגובה 13, 2009 @ 11:42
אני הבנתי סוף סוף את הפתרון לבעיה שלי פרסום באתר SharePoint אלמוני בעת צורך CAC חוקי לבקר. אם מישהו נתקל בבעיה אל תהסס לפנות אלי כדי שאני יוכל לעזור!
על ידי נוני הרננדז - במרץ תגובה 27, 2009 @ 07:26
היי נוני,
אני מנסה ליישם את אתר SharePoint אלמוני עם כרטיס CAC חוקית. אתה יכול שלח לי איך עשית את זה?
תודה
לפי Venkat - מרץ תגובה 28, 2009 @ 09:11
אני שידול נוני עכשיו אולי לעשות פוסט אורח על הנושא. אני מקווה שהיא תסכים!
תגובה על ידי Buenz אדם במרץ - 28, 2009 @ 11:55
אני בתהליך של כתיבת מדריך תצורה תחסוך ימים / שבועות / חודשים של זיעה, דמעות סיוטים!
בנימה אחרת אני בנאדם, אחד גברי למדי את זה!
תגובה על ידי נוני הרננדז - 1 באפריל, 2009 @ 08:15
נוני,
תודה רבה. מחכים לך מדריך תצורה.
תגובה על ידי Venkat - 2 אפריל, 2009 @ 10:54
נוני,
תגובה על ידי Venkat - 7 אפריל, 2009 @ 11:01
נוני,
תגובה על ידי Venkat - 7 אפריל, 2009 @ 11:01
נוני,
אתה יכול בבקשה שלח לי פעם שאתה עשית עם המדריך? הנה הדוא"ל שלי forumsub@att.net .
תודה
תגובה על ידי ג 'ון - 7 אפריל, 2009 @ 11:02
נוני, נכון לסיים את המדריך שלך?
תגובה על ידי Dvar - 20 אפריל 2009 @ 02:16
מצטערים שזה לוקח כל כך הרבה זמן ... אני שבר לי את היד נקע באצבע אז הדברים היו נעים לאט. הייתי צריך לעשות את זה מהר מאוד, מצטערת על העיכוב!
לחיים,
נוני
תגובה על ידי נוני הרננדז - 20 אפריל 2009 @ 11:50
נוני,
קיבלת את המדריך שלך בהגדרת CAC עדיין. אנא דוא"ל @ af.edu kamie.dameron כאשר אתה עושה. תודה
תגובה על ידי Dameron Kamie - 20 אפריל 2009 @ 16:37
המדריך הוא להשלים סוף סוף על הדף הראשי של אדם! מקווה שזה יעזור לכולם!
תגובה על ידי נוני הרננדז - 28 אפריל 2009 @ 06:28
נוני,
ראיתי את המאמר שכתבת שכותרתו CAC מופעל אנונימיים אתרי SharePoint, אולם היא כי המשך המאמר הזה, כפי שהוא לא הזכיר את מודול HTTP בכלל. אם אתה לא יכול להצביע לי את המאמר.
תגובה על ידי ג 'רמי וייס - 7 במאי, 2009 @ 02:14
השתמשתי CAC כרטיסי ידי פשוט geting שם משתמש מן בניתוח CERT_SUBJECT משתנה שרת ולאחר מכן משווה את זה שם שמות באתר האינטרנט של הבקשה שלי. עד כה, זה עובד). לא היו לי שני משתמשים באותו שם. אבל כאשר תעודת מקבל chaged או misnamed, CERT_SUBJECT מגיע ריק.
תגובה על ידי ג 'יי יוז - 11 במאי, 2009 @ 10:29
אני צריך ליישם את אימות כרטיס חכם למשתמשים לספירה המחבר הסיסמה עבור משתמשים חיצוניים על יישום האינטרנט אותו ... האם מישהו יכול לתת לי פיסת לייעץ איך לעשות את זה?
אני יודע איך לעשות את זה עם Apps אינטרנט שונות, אבל לא עם אחד
תגובה על ידי Dvar - 11 במאי, 2009 @ 11:10
האם מישהו ניסה את זה עם תעודת חיצוניים לרשות המשתמשים הלא DoD? אנחנו נמצאים בתהליך של מבט לתוך זה ורציתי לקבל קצת ברמת הקושי שאנו נצטרך להתמודד עם זה.
כריס
תגובה על ידי כריס תומאס - 18 במאי, 2009 @ 07:56
אני יודע את החוט המקורי הוא קצת מיושן. אבל DoD יש לרוב סטנדרטית על השב"כ עבור CAC, במקור במיוחד עבור OWA ועכשיו עבור SharePoint / MOSS. הוא אפילו DISA סטיג (אבטחה טכניים יישום מדריכים) עבור זה. ראה כאן: http://iase.disa.mil/stigs/draft-stigs/draft_isa_server_2006_addendumv1r0.doc וכאן http://iase.disa.mil/stigs/draft-stigs/draft_isa_server_2006_addendumv1r0.doc . Intelligent Curretnly של מיקרוסופט Application Gateway (IAG) וזה בעתיד גרסה מאוחדת Application Gateway (UAG) הם מסתכלים לכתובת זו wel כמו צרכים אחרים גישה מרחוק. שוב אין פתרון קוד. קאסטר DoD גישה ההתקנה / לבנות הרופאים מ DISA.
ישנם מסמכים מאוחרים יותר בכמה בנושא KCD לראות כאן:
Kerberos מוגבל המשלחת של ISA Server 2006
http://technet.microsoft.com/en-us/library/bb794858.aspx
CAC עבור ההתקנה OWA / documention בניית פותחה ונכתבה על ידי המחברים של מאמר זה (באותה גישה כבר למנף לשימוש עם SharePoint / MOSS ועוד)
התחבר אל Outlook Web Access עם כרטיסים חכמים
http://technet.microsoft.com/en-us/magazine/2007.07.smartcards.aspx
הגדרת Kerberos מוגבל המשלחת עם IAG SP2
http://technet.microsoft.com/en-us/library/dd278107.aspx
הגדר אימות Kerberos (Office SharePoint Server)
http://technet.microsoft.com/en-us/library/cc263449.aspx
המשתמש לא יכול לגשת לאתר אינטרנט זה שפורסם ב-ISA Server 2006 באמצעות Kerberos מוגבל המשלחת אם המשתמש הוא לא מושלם כמו המחשב ISA Server
http://support.microsoft.com/kb/942637/en-us
KCD עם חוצה יער חשבונות
http://technet.microsoft.com/en-us/library/cc752953.aspx
אותו סוג של רעיון אבל עבור ביצועי הצבע במקרה זה.
וידאו הדגמה: הגדרת המשלחת Kerberos עבור ניטור שרת
http://technet.microsoft.com/en-us/library/dd630733.aspx
כיצד להגדיר את תעודת אימות מבוסס על OWA - חלק א
http://msexchangeteam.com/archive/2008/10/07/449942.aspx
תגובה על ידי SecurityPresentations יוני - 17, 2009 @ 19:15
אתה פורסמה
המדריך הוא להשלים סוף סוף על הדף הראשי של אדם! מקווה שזה יעזור לכולם!
תגובה על ידי נוני הרננדז - 28 אפריל 2009 06:28 @ am
האם אתה יכול לספק את כתובת האתר לדף הראשי של אדם, בבקשה.
תגובה על ידי רובין - 15 בספטמבר, 2009 @ 01:13
אתה יכול בבקשה לתת את כתובת האתר עבור המדריך?
על ידי GReddy - נובמבר הערה 6, 2009 @ 10:04
http://www.sharepointsecurity.com/sharepoint/cac-enabled-anonymous-sharepoint-sites/
תגובה על ידי אדם - 6 בנובמבר, 2009 @ 10:52
שלום.
אני במצב דומה - הגדרת גישה CAC דרך ISA 2006 SP1 w KCD / לנקודה מחלקנו 2007 בחוות שרתים, באמצעות השב"כ, כדי לטעון את האיזון שרתי SharePoint.
היה לי שום בעיה הגדרת OWA, אבל נקודת השיתוף היא עכשיו נותן לי את השגיאות הבאות:
סיכום:
דפדפן האינטרנט הוא שולח את הראש לאמת www-הגיש את שרת האינטרנט אינו מוגדר לקבל:
שגיאה HTTP 401.2 - לא מורשה,: הגישה נדחתה בשל תצורת השרת.
אינטרנט שירותי מידע (IIS).
השב"כ שרתי Sharepoint להתקיים באותו תחום, משתמשים כל להתקיים לספירה, היסודות כולם נראים נכונים. לא בטוח את החבר 'ה Sharepoint מוגדרים לחלוטין עבור Kerberos עדיין (זה ברשת המבחן שלנו, כמובן).
הגדרתי SPN בחשבון תחום שירות המשמש את זהותו מאגר היישומים של SharePoint, ואיפשר משלחת מטעם השב"כ על חשבון השירות.
הייתי בהחלט מעריך את הודעת דוא"ל כדי שאוכל אולי לדבר איתך, או אולי קישורים למספר מסמכי יותר. זה נראה דליל, באמצעות w CAC / authenticatio השב"כ & כרטיסים חכמים
תודה מראש!.
תגובה על ידי ברט - 2 פבואר 2010 @ 10:00
הייתי קודם כל להסתכל על הכרטיס CAC השני / מאמרים SharePoint באתר זה, particuarlly זה אחד על ידי נוני:
http://www.sharepointsecurity.com/sharepoint/cac-enabled-anonymous-sharepoint-sites/
תגובה על ידי אדם - 2 פבואר 2010 @ 10:45