SharePoint Security Einführung in das SharePoint Sicherheitssystem. Fabian Moritz MVP Office SharePoint Server

Transkript

1 SharePoint Security Einführung in das SharePoint Sicherheitssystem Fabian Moritz MVP Office SharePoint Server 1

2 Agenda SharePoint Identitäten Authentifizierungsverfahren Benutzer, Gruppen und Rollen Heraufstufung und Impersonifizierung Das SharePoint-Berechtigungssystem 2

3 SharePoint-Architektur Config DB Server Web Application aka Virtual Server aka IIS Website Content DB Top Level Website Zentraladministration Website Site Collection 3

4 SharePoint-Identitäten Application Pool-Identität Konfiguration über IIS oder WSS-Administration Zugriff auf Ressourcen (Dateisystem, SQL) WSS System-Identität Wird verwendet, um AppPool-Identität zu verstecken SHAREPOINT\SYSTEM Benutzer-Identität Windows oder anderer Authentifizierungsprovider Vergabe von Berechtigungen 4

5 IIS Application Pool-Identität Pro IIS Website ein Application Pool AppPool wird unter eigener Identität ausgeführt Identität ist lokales oder Domainkonto In Serverfarmen Domainkonto verwenden! 5

6 AppPool-Identität und SQL Server Zugriff auf Config-Datenbank Erstellung und Zugriff auf Content-Datenbank Benutzerkonto benötigt SQL Server-Rechte 6

7 Authentifizierungsverfahren 1. Windows Authentifizierung Authentifizierung gegen IIS Lokales oder Active Directory-Benutzerkonto WSS v2 unterstützt nur diesen Typ 2. ASP.NET 2.0 Forms Authentifizierung Basiert auf Authentication Provider Framework IIS wird für Anonymen Zugriff konfiguriert 3. Web SSO Authentifizierung Basiert auf Active Directory Federation Services 7

8 Windows Authentifzierung Authentifizierung über Windows-Benutzerkonto Lokale Benutzergruppen Active Directory-Benutzerkonten Authentifizierungsverfahren Windows integriert (NTLM, Kerberos) Basic (Nur mit SSL!) 8

9 ASP.NET Forms Authentifizierung Basiert auf ASP.NET Authentifizierungsprovider Membership Provider für Benutzerkonten Role Provider für Gruppen und Rollen Application Browser Office App Custom App Internet WSSv3 Authentication Provider Identity Login Bob Mary Wally PWD xoxoxo oxox xoxox Desktop Windows XP Web Server Windows Server 2003 Identity Mgmt App Operating System Out-of-the-box Provider SqlMembershipProvider ActiveDirectoryMembershipProvider 9

10 Formular-basierte Authentifizierung in SharePoint 10

11 Agenda SharePoint Identitäten Authentifizierungsverfahren Benutzer, Gruppen und Rollen Heraufstufung und Impersonifizierung Das SharePoint-Berechtigungssystem 11

12 Die Rolle der Site Collection Was ist eine Site Collection? Isolierte Ansammlung von Websites Bildet Sicherheitsgrenze Jede Site Collection hat Einen oder zwei Besitzer Site Collection Papierkorb Berechtigungen innerhalb der Site Collection Werden auf alle Unterelemente vererbt Können aufgebrochen werden 12

13 Berechtigungslevel Rechte werden über Berechtigungslevel erteilt SharePoint liefert Standard-Berechtigungslevel Zusammenfassung von SharePoint-Rechten Zuweisung auf Benutzer oder Gruppen 13

14 SharePoint-Rechte 14

15 Die Benutzerinformationsliste Verwaltet Informationen von externen Benutzern Verwaltung auf Ebene der Site Collection Speicherung in UserInfo-Tabelle 15

16 SharePoint Benutzeridentitäten Zugriff auf Windows Identity und Principal System.Security-Namensraum SPUser liefert Informationen zum WSS-Benutzer 16

17 SPUserCollection Users - Benutzer, die explizit berechtigt wurden AllUsers - Authentifizierte Benutzer der Website SiteUsers - Alle Benutzer der Site Collection 17

18 Externe Benutzer hinzufügen Verwaltung über Role Assignments Rechtezuweisung über Role Definition 18

19 SharePoint Gruppen Gruppierung von Windows Benutzern Vergabe von Berechtigungsleveln Verwaltung auf Ebene der Site Collection 19

20 SharePoint-Benutzer verwalten 20

21 Agenda SharePoint Identitäten Authentifizierungsverfahren Benutzer, Gruppen und Rollen Heraufstufung und Impersonifizierung Das SharePoint-Berechtigungssystem 21

22 Code heraufstuften Code wird im Kontext des Benutzers ausgeführt In einigen Szenarien können höhere Privilegien erforderlich sein SPSecurity.RunWithElevatedPrivileges 22

23 Heraufstufung: Besonderheiten Das Context-Objekt nutzt den aktuellen Benutzer Neues SPSite-Objekt erforderlich! 23

24 Impersonifizierung Code im Kontext eines anderen Benutzers 24

25 Heraufstufung und Impersonifizierung 25

26 Agenda SharePoint Identitäten Authentifizierungsverfahren Benutzer, Gruppen und Rollen Heraufstufung und Impersonifizierung Das SharePoint-Berechtigungssystem 26

27 Objekte absichern Was kann berechtigt werden? Websites Listen und Bibliotheken Elemente und Dokumente Wer kann berechtigt werden? SharePoint Gruppen SharePoint Benutzer Active Directory-Gruppen Windows Benutzer 27

28 Berechtigungsvererbung Berechtigungen werden grundsätzlich vererbt Vererbung bis auf Element-Ebene Berechtigung kann aufgebrochen werden 28

29 Auf Berechtigungen prüfen Implizite Prüfung auf Berechtigungen Vermeidung von Zugriffsverletzungen zur Laufzeit 29

30 Berechtigungsvererbung aufbrechen 30

31 Zusammenfassung WindowsIdentity IPrincipal SPUser SPUserCollection SPGroup SPRoleAssignment SPRoleDefinition SPSecurity.RunWithElevatedPrivileges() 31

32 Und jetzt? Laden Sie die Beispiele herunter Lesen Sie meinen aktuellen Security-Artikel Laden Sie sich die SharePoint SDKs herunter Besuchen Sie Codeplex für weitere Tools 32