Perfekte Abstimmung mit Ihrer Business-Infrastruktur!

Transkript

1 Perfekte Abstimmung mit Ihrer Business-Infrastruktur! In diesem Abschnitt werden die folgenden Bereiche beschrieben: - Exchange Server Infrastruktur Einbindung - Microsoft SharePoint Server Veröffentlichung für Windows Phone Zertifikate mit Windows Phone Sicherheit und Geräte-Management - Weiterführende (Sicherheits-) Konzepte für Entwickler - Verbindung zu anderen -Servern Microsoft Exchange Server Infrastruktur Einbindung Grundlegend verwendet Windows Phone 7.5 die gleiche Anbindungs-Infrastruktur, wie die bisherigen Windows Mobile Versionen. Windows Phone 7.5 stellt die Verbindung zum Exchange Server ebenfalls über das Exchange ActiveSync (EAS) Protokoll her. Die in Windows Phone 7.5 implementierte EAS Version ist Dieses Protokoll wird zum Beispiel auch für die Anbindung an Windows Live Hotmail verwendet. Es werden Exchange Server Versionen 2003 SP2, 2007 und 2010 und die Hosting-Versionen unterstützt. Über EAS Version 14.0 wird in Windows Phone 7.5 ermöglicht, mehrere Exchange Server Konten auf einem Smartphone zu nutzen. Das können mehrere von einem Exchange Server verwaltete Konten sein, oder die gleichzeitige Nutzung von verschiedenen Exchange Server Infrastrukturen. Für die Benutzer-Authentifizierung über EAS sind standardmäßig Basic Authentifizierung und SSL eingestellt. Es wird jedoch dringend empfohlen, Basic Authentifizierung abzuschalten, da sonst Benutzer-Informationen und Passwörter als Plain Text übertragen werden. Ergänzend kann auf die Nutzung von Benutzer- Zertifikaten zurückgegriffen werden, was im Bereich Zertifikate mit Windows Phone 7.5 ausführlicher beschrieben wird. Windows Phone 7.5 unterstützt für die Einrichtung der Exchange Anbindung die Server Autodiscovery - Funktion. Für die erste Anbindung von Windows Phone 7.5 an eine bestehende Exchange Server Infrastruktur oder Hosted Exchange Umgebung genügt in den meisten Fällen die Eingabe einer vorhandenen -Adresse und dem Kennwort. Sollten die Exchange Server Einstellungen nicht automatisch gefunden werden, werden in zwei weiteren Schritten die zusätzlichen Konfigurationsparameter angefragt:

2 Die gewählten Konfigurationen können ggfs. in den Einstellungen in Microsoft Outlook Mobile ergänzt oder verändert werden. Sie sind in den Synchronisationseinstellungen weiter unten zu finden. An der infrastrukturellen Administration des Exchange Server müssen gegenüber bisherigen angebundenen Smartphones keine Veränderungen vorgenommen werden. Da es bei der Unterstützung von Exchange Server Richtlinien auf Windows Phone 7.5 Unterschiede zu bisherigen Windows Mobile Versionen gibt, sind in bestimmten Fällen Anpassungen der Richtlinien-Administration erforderlich. Die entsprechenden Unterschiede der verfügbaren Richtlinien bei den verschiedenen Exchange Server Versionen werden etwas später in diesem Kapitel beschrieben. Als Ausblick auf die im Verlauf dieses Jahres erscheinende Cloud-Lösung Office365 sei darauf hingewiesen, dass über die schon beschriebene Autodiscovery-Funktion zur leichten Konfiguration des Outlook-Kontos auch die Anbindung an Office365 erfolgt. Microsoft SharePoint Server Veröffentlichung für Windows Phone 7.5 Für die Nutzung von Dokumenten, die auf einem SharePoint Server 2010 abgelegt sind, verfügt Windows Phone 7.5 über drei verschiedenen Zugriffsmöglichkeiten: - Verbindung über ein WLan im eigenen Unternehmensnetz (Intranet) aus dem Office-Hub

3 - Abgesicherter Zugriff über das Mobilfunknetz oder ein öffentliches WLan (Internet) aus dem Office- Hub - Zugriff über den Internet Explorer Mobile (Intranet/Internet erfordert keine unterschiedliche Konfiguration) Die Nutzung der SharePoint Funktionen im Office-Hub im unternehmenseigenen WLan (Intranet) erfordert keine zusätzliche Zugriffskonfiguration. Auf der vierten Seite der Panoramaansicht des Office-Hub wird der Link zum SharePoint Server eingegeben und die verfügbaren/freigegebenen Dokumente angezeigt. Es stehen dann unmittelbar alle Fähigkeiten von SharePoint Mobile zur Verfügung. Ist der sichere Zugriff auf die Unternehmensdokumente aus dem Internet erforderlich, kommt der Microsoft Forefront UAG (Unified Access Gateway) Server zum Einsatz. Forefront UAG übernimmt die verschlüsselte Veröffentlichung von SharePoint Seiten, kann (sollte) aber auch für den Zugriff auf den Exchange Server genutzt werden. Die folgende Grafik zeigt die schematische Infrastruktur-Konfiguration: HTTPS (443) Rechenz entrum/ Unterne Exchange SharePoint 2010 HTTPS / HTTP

4 Der SharePoint Publishing Solution Guide für die SharePoint Veröffentlichung durch Forefront UAG ist unter folgendem Link verfügbar: SharePoint Publishing Solution Guide SharePoint Mobile in Windows Phone 7.5 unterstützt genau diese Infrastruktur-Anordnung und ermöglicht in den Zugriffseinstellungen die Hinterlegung der entsprechenden UAG Benutzerdaten. Die hinterlegten Benutzerdaten fungieren dann gleichzeitig als Autoren-Identifikation bei der gemeinsamen Bearbeitung von Dokumenten. Die Nutzung der Konfiguration für den sicheren SharePoint Zugriff bietet Windows Phone 7.5 gleichzeitig die uneingeschränkte Voraussetzung für die zukünftige Microsoft Hosting Plattform Office 365! Die dritte Variante, Dokumente von einem SharePoint Server 2010 herunter zu laden, nutzt den Internet Explorer Mobile in Windows Phone 7.5. Dabei ist es unerheblich, ob der Zugriff über ein Unternehmens- WLan im Intranet oder über den verschlüsselten Weg über ein öffentliches WLan oder das Mobilfunknetz (Internet) erfolgt. Wird auf den SharePoint Server aus dem Internet zugegriffen, werden im Internet Explorer Mobile automatisch die Berechtigungsparameter abgefragt.

5 Wird das Smartphone um 90 geschwenkt, führt die Drehung des Bildschirms im Internet Explorer Mobile zum Ausblenden der Adress-Zeile, was die sichtbare Größe der Webseite erhöht. Als Ausblick auf die im Verlauf dieses Jahres erscheinende Cloud-Lösung Office365 sei darauf hingewiesen, dass auf SharePoint Seiten, die über Office365 bereitgestellt werden, ohne eine spezielle Zugangskonfiguration zugegriffen werden kann. Die Abfrage der Benutzer-Berechtigungen erfolgt unmittelbar nach Eingabe des SharePoint-Links. Zertifikate mit Windows Phone 7.5 Windows Phone 7.5 verwendet Zertifikate in unterschiedlichen Situationen, genutzt beim Aufbau eines SSLbasierenden, sicheren Kanals zwischen Windows Phone 7.5 und einem Webserver oder Dienst, oder zur Authentifizierung von Benutzern, die über EAS mit einem Exchange Server verbinden. Das gilt auch für den Zugriff auf den SharePoint Server. Zertifikate werden in Windows Phone 7.5 aber auch für die Installation und Lizensierung von Anwendungen aus dem Marketplace genutzt. Auf diese Situation wird hier aber nicht näher eingegangen. Für die Nutzung von Zertifikaten bei Authentifizierung bieten sich zwei Konzepte an: - Nutzung der in Windows Phone 7.5 vor-installierten ROOT-Zertifikate - Authentifizierung mit Hilfe von eigenen Zertifikaten Für die Authentifizierung mittels ROOT-Zertifikaten sind keine weiteren Konfigurationen erforderlich. Die Liste der in Windows Phone 7.5 vor-installierten ROOT-Zertifikate ist unter folgendem Link verfügbar (bitte laden Sie das Dokument Windows Phone 7 Root Certificates_FINAL_ pdf herunter): Windows Phone 7 Guides for IT Professionals Das Dokument enthält sowohl eine Liste aller ROOT-Zertifikate als auch die Beschreibung der Details jedes vor-installierten Zertifikats. Die Alternative zur Nutzung der ROOT-Zertifikate ist die Verwendung und Installation von unternehmensspezifischen Zertifikaten. Windows Phone 7.5 beinhaltet einen sogenannten smart installer, der Zertifikate automatisch erkennt und in den entsprechenden, im Zertifikat vordefiniert Speicher installiert. Vom Zertifikat-Installer werden alle *.cer-, *.p7b- und *.pfx-dateien unterstützt. Als empfohlene Verfahren für die Übermittlung eines Zertifikats an ein Windows Phone 7 Smartphone gelten das Herunterladen von einer Webseite (oder SharePoint Seite) oder das Versenden per -Anlage. Eine einfach umzusetzende Variante ist, den Benutzer auf eine (ggfs sichere) Webseite zu verweisen, von der das Zertifikat herunter geladen wird. Der Smart-Installer wird die Datei als Zertifikat erkennen, empfohlener Weise nach dem Kennwort fragen und dann das Zertifikat installieren. Die folgenden Screenshots veranschaulichen diesen Prozess (über eine sichere SharePoint Seite):

6 Wenn das zu installierende Zertifikat nicht Kennwort-geschützt ist (nicht empfohlen), erfolgt die direkte Frage zur Installation. Zu diesem Zeitpunkt können wietere Details zum zu installierenden Zertifikat angezeigt werden. Die alternative Übermittlungsmethode ist das Versenden des Zertifikats als -Anlage. Wie im Falle der Nutzung einer SharePoint Seite für den Download erfordert auch das Versenden in einer , dass die entsprechenden Datei-Typen zugelassen sind. Ähnlich wie beim Zugriff auf eine Webseite tippt der Benutzer auf die -Anlage, wird ggfs. zur Eingabe des Zertifikat-Kennworts aufgefordert und tippt dann auf Installieren. Weiterführende Informationen zur Nutzung von digitalen Zertifikaten finden sie unter folgendem Link: Grundlegendes zu digitalen Zertifikaten und SSL

7 Sicherheit und Geräte-Management Der Punkt Sicherheit beinhaltet die Konzepte und Fähigkeiten von Windows Phone 7.5 für Auf-dem-Gerät- Sicherheit während Geräte-Management auf die Server-basierende Administrationsmöglichkeiten fokussiert. Die eingebaute Sicherheit von Windows Phone 7.5 basiert zunächst auf dem Konzept von abgeschlossenen Räumen (enlisch Chamber), die mit Rechten und Pflichten ausgestattet sind. Dieses Konzept sorgt zum Beispiel bei Anwendung für Unabhängigkeit und Solidität (sandbox-prinzip), sorgt dafür, dass das Geräte-Dateisystem weder über eine Anwendung aus dem Marketplace noch über einen externen USB-Zugriff direkt erreicht werden kann (kein Tethering ) oder eine Anwendung im Hintergrund eine unerlaubte Netzwerkverbindung aufbaut. In Windows Phone 7.5 gibt es vier verschiedene Chamber-Typen: - Trusted Computing Base (TCB) chamber mit den höchsten Rechten zum Beispiel für Betriebssystemprozesse oder Kernel-mode Treiber - Elevated RightsChamber (ERC), mit weniger Rechten ausgestattet als TCB, wird für Dienste oder User-Mode Treiber genutzt - Standard Rights Chamber (SRC) wird u.a. für vorinstallierte Anwendung wie Outlook Mobile eingesetzt - Least Privileged Chamber (LPC) ist der Standard Chamber für alle nicht-microsoft Anwendungen, die über den Marketplace installiert werden Die durch Microsoft vorgenommene Zertifizierung von Anwendung, die über den Marketplace herunter geladen werden können, gehört ebenfalls zu der eingebauten Sicherheit. Weiterführende Informationen finden Sie hier (bitte laden Sie das Dokument Windows Phone 7 Security Model_FINAL_ pdf herunter): Windows Phone 7 Guides for IT Professionals Darüber hinaus ist jede Information, die vom oder zum Gerät gesendet wird, immer verschlüsselt. Es wird eine SSL Verschlüsselung mit 128bit oder 256bit, je nach Unterstützung der Server Verbindung. Weiterhin wird das Entfernen von Dokumenten und Datei aus dem Geräte Speicher dadurch verhindert, dass externe Speicherkarten (MicrosSD) von Windows Phone 7.5 standardmäßig nicht unterstützt werden. Wenn ein Gerätehersteller ein Windows Phone 7.5 Gerät dennoch MIT einer SD-Karten entwickelt hat (diese muss unter dem Akku plaziert sein, um Entfernen oder Einstecken im Gerätebetrieb zu verhindern), wird der Speicher dieser SD-Karte dem Lowlevel-Dateisystem des Betriebssystems zugeordnet, gesperrt und mit einem 128bit Schlüssel versehen. Sollte die SD-Karte aus dem Gerät entfernt werden, ist nicht nur das Handy nicht mehr funktionsfähig, auch die Informationen auf der SD-Karte können nicht mehr entschlüsselt werden. Zu den vom Benutzer unmittelbar selbst beeinflussbaren Sicherheitsfunktionen zählen die Einrichtung einer Bildschirmsperre mit PIN-Benutzung und die Mein-Handy-Finden -Funktion, die sehr nützlich ist, wenn das Handy gestohlen wurde oder verloren gegangen ist.

8 Die Funktion wird über den entsprechenden Windows Live Dienst abgebildet und bietet neben dem Anzeigen der aktuellen Handy Position auf einer Karte auch folgende weitere Dienste: Sehr Nützlich bei der Nutzung der Bildschirmsperre ist die Anzeige von Informationen, wie Datum, Uhrzeit, nächster Termin, entgangene Anrufe oder neu Nachrichten ( , SMS, MMS):

9 Das zweite Konzept für Sicherheit auf einem Windows Phone 7.5 Smartphone basiert auf der Administration von Exchange Server Richtlinien (Policies), die über das EAS-Protocol auf das Gerät übertragen werden. Unterstützt werden folgende EAS Richtlinien: - [Kennwort anfordern] erfordert eine Geräte-PIN, bevor s, Kontakte oder Termine übertragen werden können - [Einfaches Kennwort zulassen] verhindert die Nutzung einer einfachen PIN wie 1111, wenn nicht eingeschaltet - [Zulässige Anzahl von fehlerhaften Versuchen] generiert eine Geräte-Zurücksetzung auf die Werkseinstellung, wenn zu viele falsche Kennwörter eingegeben wurden (Local wipe) - [Minimale Kennwortlänge] gibt die minimale Ziffernanzahl der PIN an - [Zeitraum ohne Benutzereingabe, bis das Kennwort erneut eingegeben werden muss] sperrt den Bildschirm nach eingegebener Anzahl Minuten Inaktivität - [Kennwortablauf] bestimmt den regelmäßigen Zeitraum, bis die PIN erneuert werden muss - [Kennwortverlauf erzwingen] verhindert das wiederholte Nutzen der gleichen PIN Die folgende Tabelle gibt Auskunft, welche Richtlinien mit welcher Exchange Server Version verfügbar sind: Werden diese Richtlinien vom Administrator angewandt, erhält der Anwender unmittelbar intuitive und selbst erklärende Anweisung für die Umsetzung am Gerät. Die folgenden Screenshots zeigen die

10 Aufforderung zum Vergeben einer Geräte-PIN und den Dialog zur Warnung mehrfach falsch eingegebener Kennwörter: Wie schon erwähnt verfügt Windows Phone 7.5 über die Fähigkeit, mehrere EAS Verbindungen, respektive mehrere Outlook Konten, gleichzeitig zu nutzen. Sollten mehrere oder alle EAS Konten über Exchange Server Richtlinien administriert worden sein, ergibt sich eine Schnittmenge der unterschiedlichen Richtlinien. Dies wird auch Result-Set-Of-Policies (RSOP) genannt. Dabei wird immer die restriktivste Mischung der Richtlinien verwendet. Die folgende Grafik veranschaulicht ein Result-Set-Of-Policies für zwei unterschiedliche Outlook Konten auf einem Windows Phone 7.5 Gerät: Internet Konto 1 Richtlinien Kennwort angefordert = [ein] Inaktivitätszeitrau m = [5 min] Kennwortablauf = [aus] Konto 2 Richtlinien Kennwort angefordert = [ein] Inaktivitätszeitraum = [1 min] Ina Kennwortablauf = [ein] Result set of policies Kennwort angefordert= [ein] An dieser Stelle sei noch erwähnt, dass über Ergänzungen für den Microsoft System Center Configuration Manager (SCCM) die Administrationsmöglichkeit von EAS Richtlinien aus der SCCM-Administrator Konsole besteht. Unter Anderem hat die Firma Odyssey Software, Inc. Eine Ergänzung für SCCM entwickelt, die auch Windows Phone 7.5 Gerätemanagement unterstützt. Weiterführende Informationen finden Sie unter folgendem Web-Link: Und zuletzt sei noch erwähnt, dass die nächste Version SCCM 2012 ebenfalls Gerätemanagement Unterstützung für Windows Phone 7.5 enthalten wird. Um Geräte zum Beispiel von den Mobilfunknetzbetreibern oder der zentralen IT-Abteilung provisionieren zu können, unterstützt Windows Phone 7.5 das Gerätemanagement mit Hilfe von OMA DM und OMA CP (Open Mobile Allience). Es ist damit möglich, die Konfigurationsparameter für die Anbindung an einen Exchange-Server und/oder die Zugangsparameter für das Mobilfunknetz (APN) und zusätzliche Internet- Proxy auf das Handy zu schicken. Insbesondere die Anpassung an spezielle, sichere Unternehmenszugänge

11 lassen sich remote übertragen und für den Anwender unkompliziert und transparent auf sein Smartphone senden. Exemplarisch sei an dieser Stelle das entsprechende Konfigurationsportal des Mobilfunknetzbetreibers Vodafone dargestellt. Dieses Portal ist über den folgenden Link erreichbar (nutzbar für Vodafone-Kunden in Europa): Die folgenden Screenshots zeigen exemplarisch die Nutzung der OMA-CP Konfigurationsmöglichkeiten in der Anwendung. Neben den EAS Richtlinien gibt es jedoch noch zwei weitere, sehr wichtige Administrationsmöglichkeiten: - Zurücksetzen des Gerätes durch den Administrator über die Exchange Server Konsole (remote wipe) - Zurücksetzen des Gerätes durch den Benutzer über Outlook Web Access (OWA remote wipe) Das durch den Administrator initiierte Remote Wipe ist schon verfügbar seit der ersten Implementierung von EAS.

12 Die durch den Benutzer aktivierte Gerätezurücksetzung über OWA wird ab der Exchange Server Version 2007 unterstützt. Outlook Web Access verfügt über das Options-Menü, das den Zugriff auch auf die für den Benutzer verbundenen Telefone ermöglicht.

13 Über die Details erhält man genauere Information zu dem ausgewählten Telefon. Sie beinhalten Angaben über Synchronisationsverlauf, Geräte-Name und Modell, die verwendete Telefon-Nummer, Betriebssystem Information und gerätespezifische Identifikationsparameter. Mit einem Mouse-Klick auf die Schaltfläche Gerätzurücksetzung und die nochmalige Bestätigung wird der Remote Wipe initiiert. Da es sich um eine für den Benutzer nicht wahrnehmbare Push- Aktion handelt, ist der Exchange Server in der Lage, den Erfolg des Remote Wipe zu protokollieren.

14 Zusätzlich wird dem Benutzer eine über die erfolgreiche Gerätezurücksetzung zugesandt. Diese Bestätigungs kann eine sehr wichtige Information sein, wenn im Unternehmen aus Compliance- Gründen das erfolgreiche Löschen aller unternehmensrelevanten Daten auf einem tragbaren Gerät dokumentiert werden müssen! Weiterführende (Sicherheits-) Konzepte für Entwickler Neben den schon beschriebenen Authentifizierungskonzepten können mit Windows Phone 7.5 auch Technologien wie Active Directory Federation Services (ADFS) Version 2 über Windows Azure genutzt werden. Insbesondere Cloud-basierende Client-Anwendungen profitieren von der vollwertigen Integration in die Unternehmens-EDV. Über diesen Weg können beispielsweise mobile Szenarien für den sicheren Zugriff auf Microsoft Dynamics NAV Server abgebildet werden. Das Grundkonzept basiert auf dem AppFabric Access Control Service (ACS) Version 2.0 innerhalb der Windows Azure Plattform. Die folgenden beiden Links bieten detailierte Informationen zu der Windows Azure Plattform und deren Nutzung in Verbindung mit Windows Phone 7.5 Anwendungen: How-To- Windows Phone 7 App mit Windows Azure Innerhalb der Windows Azure Plattform ist der Secure Token Service eine Kernkomponente, der auch innerhalb des Unternehmensnetzes genutzt werden kann. Die folgende Abbildung veranschaulicht die Architektur:

15 Die folgenden Screenshots zeigen beispielhaft die Nutzung dieser Technologien anhand einer Microsoft internen Windows Phone 7.5 Anwendung, die anlässlich einer internen Schulungsveranstaltung entwickelt wurde. Weiterführende Informationen auch zu den Entwicklungskonzepten von Windows Phone 7.5 findet man unter anderem an dieser Stelle: Windows Phone Development auf MSDN Anbindung zu anderen -Servern Windows Phone 7.5 stellt auch die Verbindungskonfiguration zu anderen Consumer- -Systemen wie Yahoo oder Googl zur Verfügung. Alternativ kann ein weiteres Benutzer-Konto über POP oder IMAP eingebunden werden. Weitere, nicht expliziert aufgeführte Konten können über das Erweiterte Setup manuell hinzugefügt werden.

16 Des Weiteren bieten Partner wie Commontime Lösungen für die Integration von Windows Phone 7.5 zum Beispiel mit Lotus Notes ( ). Alternativ ist die Möglichkeit gegeben, die vielfältigen Exchange Server Konnektoren (zum Beispiel für Lotus Notes) zu nutzen, um PIM- Daten von anderen -Servern auf ein Windows Phone 7.5 Smartphone zu synchronisieren. Die für mittelständische Unternehmen angebotene Lösung Microsoft Windows Small Business Server 2011 Standard, bei der Exchange 2010 und SharePoint Foundation 2010 enthalten sind, verfügt ebenfalls über die erforderlichen Schnittstellen, um Windows Phone 7.5 Geräte direkt anzubinden. Es können s vom Small Business Server 2011 abgerufen, Termine vereinbart und Kontakte verwaltet werden. Auch die gemeinsame Nutzung von Office Dokumenten über SharePoint 2010 aus dem Office Hub ist möglich.