Authentifizierung von Nachrichten zwischen Prozessen

In der folgenden Abbildung sind die Sicherheitsfunktionen in BizTalk Server dargestellt, mithilfe derer Sie Nachrichten zwischen verschiedenen BizTalk-Hosts authentifizieren können.

Sicherheitsfunktionen, die BizTalk Server zum Authentifizieren von Nachrichten zwischen Prozessen verwendet

Nachdem BizTalk Server eine Nachricht empfangen, sie entschlüsselt und überprüft hat sowie über eine gültige Partei-ID (PID) und ein gültiges Zertifikat zum Identifizieren des Absenders der Nachricht verfügt, ist die MessageBox-Datenbank bereit, die der Nachricht entsprechenden Abonnements zu überprüfen und die Nachricht zur Weiterverarbeitung an andere Hosts zu senden.

Während eine Nachricht von einem Prozess zu einem anderen übertragen wird, ist es oft erforderlich, die Identität des ursprünglichen Absenders der Nachricht an Downstreamprozesse zur Autorisierung, Parteiauflösung und Geschäftslogik im Zusammenhang mit dem Absender zu übergeben. Durch das Aktivieren aller Hosts zur Weitergabe dieser Informationen ohne irgendeine Art von Mechanismus für Sicherheit oder zur Herstellung der Vertrauenswürdigkeit wäre es jedoch unbedingt erforderlich, dass alle Benutzerobjekte und der gesamte Code (z. B. Orchestrierungen, Adapter, Pipelinekomponenten, Funktoide) vertrauenswürdig sind.

Zur Bereitstellung der Mittel zum Unterscheiden der Vertrauensebene für Benutzerobjekte und Benutzercode ist in BizTalk Server die Hosteigenschaft Vertrauenswürdige Authentifizierung enthalten. Wenn die MessageBox-Datenbank eine Nachricht von einem Host empfängt, für den keine vertrauenswürdige Authentifizierung festgelegt wurde, überschreibt die MessageBox-Datenbank die PID mit der Gast-ID und die SSID mit dem Dienstkonto, als das die Hostinstanz ausgeführt wird. Wenn ein Host für vertrauenswürdige Authentifizierung gekennzeichnet wurde, wird es ihm von BizTalk ermöglicht, jede beliebige Absender-ID (SSID) und jede beliebige Partei-ID (PID) in Nachrichten anzugeben, die in die Warteschlange der MessageBox-Datenbank eingereiht wird.

Durch die Angabe, welche Hosts vertrauenswürdig sind und welche nicht, können Sie die Sicherheitsbegrenzungen definieren, in deren Rahmen Benutzerobjekten und Code vertraut werden kann. Dies bedeutet: Benutzerobjekte und Code zur Bereitstellung in Hosts, für die die Eigenschaft Vertrauenswürdige Authentifizierung festgelegt wurde, müssen vertrauenswürdiger als Benutzerobjekte und Code zur Bereitstellung in Hosts sein, für die diese Eigenschaft nicht festgelegt wurde. Weitere Informationen zum Konfigurieren des vertrauenswürdigen Authentifizierungshosts finden Sie unter Ändern von Hosteigenschaften.

Wenn die MessageBox-Datenbank eine Nachricht empfängt, führt BizTalk Server die folgenden Schritte aus, um die vertrauenswürdige Authentifizierung der Hostinstanz zu erzwingen, die die Nachricht an die MessageBox-Datenbank sendet.

1. Die MessageBox-Datenbank ermittelt zuerst, ob für den die Nachricht sendenden Host vertrauenswürdige Authentifizierung festgelegt wurde. Dazu überprüft sie, ob die SSID zu einem Dienstkonto der Hostinstanz für einen vertrauenswürdigen Host gehört.

2. Wenn für den Host, der die Nachricht an die MessageBox-Datenbank sendet, vertrauenswürdige Authentifizierung festgelegt wurde, behält die MessageBox-Datenbank die SSID und die PID im Nachrichtenkontext unverändert bei, außer wenn sie leer sind. Wenn die SSID leer ist, wird von der MessageBox-Datenbank die SID des aufrufenden Prozesses eingetragen, die auch als „Host-SID“ (HSID) bezeichnet wird. Ist die PID leer, wird dafür von der MessageBox-Datenbank die Gast-ID festgelegt.

3. Wenn für den Host, der die Nachricht an die MessageBox-Datenbank sendet, keine vertrauenswürdige Authentifizierung festgelegt wurde, wird in die SSID die HSID eingetragen und für die PID der Wert Gast festgelegt. Dies geschieht unabhängig davon, ob diese Felder zuvor ausgefüllt wurden.

Wichtig

Wenn bei einem Downstreamprozess die SSID und PID des ursprünglichen Absenders der Nachricht bekannt sein soll, müssen Sie für sämtliche Hosts, die die Nachricht durchläuft, vertrauenswürdige Authentifizierung festlegen. In Fällen, in denen beispielsweise die Nachricht empfangen und anschließend zum Erstellen ausgehender Nachrichten in einer Orchestrierung verwendet wird, müssen die für eingehende Nachrichten empfangene SSID und PID ausgehenden Nachrichten explizit als Eigenschaft hinzugefügt werden, damit diese Identitäten übertragen werden können.

Wichtig

Wenn Sie den Host, bei dem eine Pipeline ausgeführt wird, mit vertrauenswürdiger Authentifizierung konfiguriert haben, wird die Pipeline von BizTalk Server als vertrauenswürdige Umgebung betrachtet. Deshalb ist es äußerst wichtig zu überprüfen, ob alle benutzerdefinierten Komponenten einer BizTalk-Pipeline, die auf einem Host mit vertrauenswürdiger Authentifizierung ausgeführt wird, ebenfalls vertrauenswürdig sind.

Hinweis

Es ist nicht möglich, dasselbe Dienstkonto sowohl bei Hosts, für die vertrauenswürdige Authentifizierung festgelegt wurde, als auch bei Hosts zu verwenden, für die diese Eigenschaft nicht festgelegt wurde.

Weitere Informationen

Authentifizierung eingehender Nachrichten
Schutz ausgehender Nachrichten
Authentifizierung des Absenders einer Nachricht
Autorisieren des Empfängers einer Nachricht