Расширенная защита для проверки подлинности служб Reporting Services
Расширенная защита — это набор усовершенствований, внесенных в последние версии операционной системы MicrosoftWindows. С помощью расширенной защиты приложения могут лучше защищать учетные данные и проверку подлинности. Сама эта функция не обеспечивает защиту от определенных атак, например, таких как переадресация учетных данных, однако она предоставляет таким приложениям, как службы Службы Reporting Services, инфраструктуру для ввода в действие расширенной защиты проверки подлинности.
Основными улучшениями процесса проверки подлинности, которые входят в расширенную защиту, являются привязка службы и привязка канала. Для привязки канала используется токен привязки канала (CBT), позволяющий удостовериться в целостности канала, установленного между двумя конечными точками. При привязке службы для проверки пункта назначения токенов проверки подлинности используются имена участников-служб (SPN). Дополнительные сведения о расширенной защите см. в разделе Интегрированная проверка подлинности Windows с расширенной защитой.
SQL Server 2008 R2 Службы Reporting Servicesподдерживает и вводит в действие расширенную защиту, которая была включена в операционной системе и настроена в службах Службы Reporting Services. По умолчанию Службы Reporting Services принимает запросы, в которых указана проверка подлинности Negotiate или NTLM, что позволяет ему пользоваться поддержкой расширенной защиты в операционной системе и функциями расширенной защиты в службах Службы Reporting Services.
.gif "Важное примечание") Важно! |
|---|
По умолчанию расширенная защита в Windows отключена. Дополнительные сведения о включении расширенной защиты в Windows см. в разделе Расширенная защита для проверки подлинности. Для успешного прохождения проверки подлинности и операционная система, и стек проверки подлинности клиента должны поддерживать расширенную защиту. При использовании старых операционных систем для реализации на компьютере расширенной защиты может потребоваться установка нескольких обновлений. Сведения о последних изменениях, внесенных в расширенную защиту, см. в статье Новые сведения о расширенной защите. |
Общие сведения о расширенной защите служб Reporting Services
Службы SQL Server 2008 R2 Службы Reporting Services поддерживает и вводит в действие расширенную защиту, включенную в операционной системе. Если операционная система не поддерживает расширенную защиту или если эта функция в операционной системе отключена, то функция расширенной защиты служб Службы Reporting Services не сможет провести проверку подлинности. Для расширенной защиты служб Службы Reporting Services также требуется сертификат SSL. Дополнительные сведения см. в разделе Настройка сервера отчетов для соединений по протоколу SSL
| Важно! |
|---|
По умолчанию в службах Службы Reporting Services расширенная защита отключена. Эту функцию можно включить, изменив файл конфигурации rsreportserver.config или обновив этот файл с помощью средств WMI API. SQL Server 2008 R2 Службы Reporting Services не предоставляет пользовательского интерфейса для изменения или просмотра настроек расширенной защиты. Дополнительные сведения см. в разделе с описанием параметров конфигурации в этой главе. |
Обычные проблемы, возникающие из-за изменений параметров расширенной защиты или неверно заданных настроек, не сопровождаются понятными сообщениями об ошибках или диалоговыми окнами. Проблемы, связанные с конфигурацией расширенной защиты и совместимостью, ведут к возникновению сбоев при проверке подлинности и ошибок в журналах трассировки служб Службы Reporting Services. Дополнительные сведения об устранении неполадок и проверке расширенной защиты служб Службы Reporting Services см. в разделе Устранение неполадок расширенной защиты (службы Reporting Services)
| Важно! |
|---|
На момент выхода SQL Server 2008 R2 в клиент Microsoft SQL не была добавлена поддержка расширенной защиты. Клиент SQL используется для подключения к источникам данных SQL Server и базе данных каталога служб Службы Reporting Services. Это ограничение в клиенте SQL влияет на службах Службы Reporting Services следующим образом: На SQL Server, на котором расположен каталог базы данных служб Службы Reporting Services, нельзя включать расширенную защиту, в противном случае сервер отчетов не сможет подключиться к каталогу базы данных и будет возвращать ошибки проверки подлинности. Ни на одном из серверов SQL Server, которые используются в качестве источников данных для отчетов служб Службы Reporting Services, нельзя включать расширенную защиту, поскольку в случае ее включения попытки сервера отчетов подключиться к источнику данных для отчета завершатся неудачей и будут возвращены ошибки проверки подлинности. Возможным решением является переключение источников данных служб Службы Reporting Services на использование собственных поставщиков, а не клиента SQL. Например, настройте источники данных для драйвера ODBC, после чего следует использовать собственный клиент SQL, который поддерживает расширенную защиту. |
Обновление
При обновлении сервера служб Службы Reporting Services до версии SQL Server 2008 R2 в файл rsreportserver.config добавляются параметры конфигурации со значениями по умолчанию. Если настройки уже имелись, то при установке SQL Server 2008 R2 они будут сохранены в файле rsreportserver.config.
При добавлении параметров конфигурации в файл конфигурации rsreportserver.config по умолчанию функция расширенной защиты служб Службы Reporting Services отключена. Ее необходимо включить, следуя описанной в этой главе процедуре. Дополнительные сведения см. в разделе с описанием параметров конфигурации в этой главе.
Значение по умолчанию для параметра RSWindowsExtendedProtectionLevel равно Off.
Значение по умолчанию для параметра RSWindowsExtendedProtectionScenario равно Proxy.
Помощник по обновлению SQL Server 2008 R2 не проверяет, включена ли расширенная защита в операционной системе или текущей установке служб Службы Reporting Services.
Какие службы Reporting Services не охватываются расширенной защитой
Следующие области и варианты не поддерживаются функцией расширенной защиты Службы Reporting Services:
Авторы настраиваемых модулей безопасности служб Службы Reporting Services должны добавлять поддержку расширенной защиты в свои модули.
Сторонние компоненты, добавленные в установку Службы Reporting Servicesили используемые ей, должны быть обновлены их поставщиками для обеспечения поддержки расширенной защиты. Обратитесь к сторонним поставщикам за дополнительными сведениями.
Рекомендации и варианты развертывания
Описанные далее варианты иллюстрируют разные развертывания и топологии, а также рекомендуемые конфигурации для их защиты с помощью расширенной защиты служб Службы Reporting Services.
Прямой доступ
В этом сценарии описывается прямое соединение с сервером отчетов, например, в среде интрасети.
Сценарий |
Диаграмма сценария |
Инструкции по защите |
|---|---|---|
Прямая связь по SSL. Сервер отчетов принудит клиента использовать привязку канала сервера отчетов. |
.gif "Прямой доступ по SSL с расширенной защитой")
1) Клиентское приложение 2) Сервер отчетов |
Присвойте параметру RSWindowsExtendedProtectionLevel значение Allow или Require. Присвойте параметру RSWindowsExtendedProtectionScenario значение Direct. |
Прямая связь по HTTP. Сервер отчетов принудит клиента использовать привязку службы сервера отчетов. |
.gif "Расширенная защита и прямой доступ")
1) Клиентское приложение 2) Сервер отчетов |
Присвойте параметру RSWindowsExtendedProtectionLevel значение Allow или Require. Присвойте параметру RSWindowsExtendedProtectionScenario значение Any. |
Прокси и распределение сетевой нагрузки
Клиентские приложения подключаются к устройству или программному обеспечению, которое использует SSL и передает учетные данные серверу для проверки подлинности, например, в экстрасети, Интернете или защищенной интрасети. Клиент подключается к прокси или все клиенты используют прокси.
Такая же ситуация складывается при использовании устройства распределения сетевой нагрузки (NLB).
Сценарий |
Диаграмма сценария |
Инструкции по защите |
|---|---|---|
Связь по HTTP. Сервер отчетов принудит клиента использовать привязку службы сервера отчетов. |
.gif "Непрямой доступ к серверу отчетов с расширенной защитой")
1) Клиентское приложение 2) Сервер отчетов 3) Прокси |
Присвойте параметру RSWindowsExtendedProtectionLevel значение Allow или Require. Присвойте параметру RSWindowsExtendedProtectionScenario значение Any.
|
Связь по HTTP. Сервер отчетов принудит клиента использовать привязку канала прокси и привязку службы сервера отчетов. |
.gif "Непрямой доступ по SSL к серверу отчетов с расширенной защитой")
1) Клиентское приложение 2) Сервер отчетов 3) Прокси |
Присвойте параметру RSWindowsExtendedProtectionLevel значение Allow или Require. Присвойте параметру RSWindowsExtendedProtectionScenario значение Proxy. |
Непрямая связь по HTTPS с защищенным прокси. Сервер отчетов принудит клиента использовать привязку канала прокси и привязку службы сервера отчетов. |
.gif "Расширенная защита и непрямой доступ по SSL и HTTPS")
1) Клиентское приложение 2) Сервер отчетов 3) Прокси |
Присвойте параметру RSWindowsExtendedProtectionLevel значение Allow или Require. Присвойте параметру RSWindowsExtendedProtectionScenario значение Proxy. |
Шлюз
В этом сценарии клиентское приложение соединяется с устройством или программным обеспечением, использующим SSL и выполняющим проверку подлинности пользователя. Затем устройство или программное обеспечение олицетворяет контекст данного пользователя или контекст другого пользователя перед отправкой запроса серверу отчетов.
Сценарий |
Диаграмма сценария |
Инструкции по защите |
|---|---|---|
Непрямая связь по HTTP. Шлюз принудит клиента использовать привязку канала шлюза. На пути к привязке службы сервера отчетов имеется шлюз. |
1) Клиентское приложение 2) Сервер отчетов 3) Шлюзовое устройство |
Присвойте параметру RSWindowsExtendedProtectionLevel значение Allow или Require. Присвойте параметру RSWindowsExtendedProtectionScenario значение Any.
|
Непрямая связь по HTTPS с защищенным шлюзом. Шлюз принудит клиента использовать привязку канала шлюза, а сервер отчетов принудит шлюз использовать привязку канала сервера отчетов. |
1) Клиентское приложение 2) Сервер отчетов 3) Шлюзовое устройство |
Присвойте параметру RSWindowsExtendedProtectionLevel значение Allow или Require. Присвойте параметру RSWindowsExtendedProtectionScenario значение Direct.
|
Сочетание
В этом сценарии описывается экстрасеть или Интернет в ситуации, когда клиент устанавливает соединение с прокси. Происходит это в сочетании со средой интрасети, в которой клиент устанавливает соединение с сервером отчетов.
Сценарий |
Диаграмма сценария |
Инструкции по защите |
|---|---|---|
Непрямой и прямой доступ от клиента к службе сервера отчетов без SSL по каналу между клиентом и прокси или клиентом и сервером отчетов. |
.gif "Смешанная среда расширенной защиты")
1) Клиентское приложение 2) Сервер отчетов 3) Прокси 4) Клиентское приложение |
Присвойте параметру RSWindowsExtendedProtectionLevel значение Allow или Require. Присвойте параметру RSWindowsExtendedProtectionScenario значение Any. |
Непрямой и прямой доступ от клиента к серверу отчетов, когда клиент устанавливает соединение SSL с прокси или сервером отчетов. |
.gif "Расширенная защита в сочетании с SSL")
1) Клиентское приложение 2) Сервер отчетов 3) Прокси 4) Клиентское приложение |
Присвойте параметру RSWindowsExtendedProtectionLevel значение Allow или Require. Присвойте параметру RSWindowsExtendedProtectionScenario значение Proxy. |
Настройка расширенной защиты служб Reporting Services
Файл rsreportserver.config содержит значения конфигурации, управляющие поведением расширенной защиты служб Службы Reporting Services.
Дополнительные сведения об использовании и изменении файла rsreportserver.config см. в разделе Файл конфигурации RSReportServer. Параметры расширенной защиты также можно изменить и просмотреть с помощью средств WMI API. Дополнительные сведения см. в разделе Метод SetExtendedProtectionSettings (WMI MSReportServer_ConfigurationSetting).
Если параметры конфигурации не проходят проверку, на сервере отчетов отключаются типы проверки подлинности RSWindowsNTLM, RSWindowsKerberos и RSWindowsNegotiate.
Параметры конфигурации для расширенной защиты служб Reporting Services
В следующей таблице приведены сведения о параметрах конфигурации, приведенных в файле rsreportserver.config для расширенной защиты.
Параметр |
Описание |
|---|---|
RSWindowsExtendedProtectionLevel |
Указывает степень использования расширенной защиты. Допустимые значения: Off, Allow и Require. По умолчанию присваивается значение Off. Значение Off указывает отсутствие проверки привязки канала или привязки службы. Значение Allow означает поддержку расширенной защиты, при этом она не является обязательной. Значение Allow указывает следующее:
Значение Require указывает, что:
|
RsWindowsExtendedProtectionScenario |
Указывает, какие формы расширенной защиты проверяются: привязка канала, привязка службы или то и другое. Допустимые значения: Any, Proxy и Direct. По умолчанию присваивается значение Proxy. Значение Any указывает, что:
Значение Proxy указывает, что:
Значение Direct указывает, что:
.gif "Примечание") Примечание
Этот параметр не учитывается, если параметру RsWindowsExtendedProtectionLevel присвоено значение OFF.
|
Образцы записей из файла конфигурации rsreportserver.config:
<Authentication>
<RSWindowsExtendedProtectionLevel>Allow</RSWindowsExtendedProtectionLevel>
<RSWindowsExtendedProtectionScenario>Proxy</RSWindowsExtendedProtectionLevel>
</Authentication>
Привязка службы и включенные SPN
Привязка службы использует имена участников-служб или SPN для проверки пункта назначения токенов проверки подлинности. Службы Reporting Services использует существующее резервирование URL-адреса для построения списка SPN, которые считаются допустимыми. Благодаря использованию сведений резервирования URL-адреса для проверки и SPN и резервирования URL-адреса системные администраторы могут управлять обеими проверками из одного места.
Список действующих SPN обновляется при запуске сервера отчетов, при изменении параметров конфигурации расширенной защиты или при очистке домена приложений.
У каждого из приложений — свой список допустимых SPN. Например, диспетчер отчетов и сервер отчетов будут вычислять разные списки допустимых SPN.
Список допустимых SPN, вычисляемый для приложения, определяется следующими факторами:
Каждое резервирование URL-адресов.
Каждый SPN, полученный от контроллера домена для учетной записи служб Reporting Services.
Если в резервировании URL-адреса есть символы-шаблоны («*» или «+»), то сервер отчетов добавит каждую запись из коллекции узлов.
Источники коллекции узлов.
В следующей таблице перечислены потенциальные источники для коллекции узлов.
Тип источника |
Описание |
|---|---|
ComputerNameDnsDomain |
Имя домена DNS, назначенное локальному компьютеру. Если локальный компьютер является узлом или кластером, используется доменное имя DNS виртуального сервера кластера. |
ComputerNameDnsFullyQualified |
Полное имя DNS, служащее уникальным идентификатором локального компьютера. Это имя является сочетанием имени узла DNS и доменного имени DNS и имеет форму ИмяУзла.ИмяДомена. Если локальный компьютер является узлом или кластером, используется полное имя DNS виртуального сервера кластера. |
ComputerNameDnsHostname |
Имя узла DNS локального компьютера. Если локальный компьютер является узлом или кластером, используется имя узла DNS виртуального сервера кластера. |
ComputerNameNetBIOS |
Имя NetBIOS локального компьютера. Если локальный компьютер является узлом или кластером, используется имя NetBIOS виртуального сервера кластера. |
ComputerNamePhysicalDnsDomain |
Имя домена DNS, назначенное локальному компьютеру. Если локальный компьютер является узлом или кластером, используется доменное имя DNS локального компьютера, а не виртуального сервера кластера. |
ComputerNamePhysicalDnsFullyQualified |
Полное имя DNS, служащее уникальным идентификатором компьютера. Если локальный компьютер является узлом или кластером, используется полное имя DNS локального компьютера, а не виртуального сервера кластера. Полное имя DNS является сочетанием имени узла DNS и доменного имени DNS и имеет форму ИмяУзла.ИмяДомена. |
ComputerNamePhysicalDnsHostname |
Имя узла DNS локального компьютера. Если локальный компьютер является узлом или кластером, используется имя узла DNS локального компьютера, а не виртуального сервера кластера. |
ComputerNamePhysicalNetBIOS |
Имя NetBIOS локального компьютера. Если локальный компьютер является узлом или кластером, используется имя NetBIOS локального компьютера, а не виртуального сервера кластера. |
По мере добавления SPN в журнал трассировки заносится запись, аналогичная следующей:
rshost!rshost!10a8!01/07/2010-19:29:38:: i INFO: SPN Whitelist Added <ComputerNamePhysicalNetBIOS> - <theservername>.
rshost!rshost!10a8!01/07/2010-19:29:38:: i INFO: SPN Whitelist Added <ComputerNamePhysicalDnsHostname> - <theservername>.
Дополнительные сведения см. в разделах Как зарегистрировать имя участника-службы для сервера отчетов и Сведения о резервировании и регистрации URL-адресов (службы Reporting Services).
См. также