Sicherheit für das Senden und Empfangen von Nachrichten

Die folgende Abbildung zeigt, was mit einer Nachricht geschieht, wenn sie von BizTalk Server empfangen, verarbeitet und an eine andere Anwendung oder einen Partner gesendet wird.

Sicherheitsfeatures, die während der Lebensdauer einer Nachricht verwendet werden

1. Der Empfangsspeicherort für den Adapter empfängt die Nachricht. Abhängig vom Protokoll führt der Adapter die Authentifizierung des Absenders auf Protokollebene aus, um ein Windows-Benutzerkonto zu identifizieren, das den Absender der Nachricht darstellt.

2. Der Adapter übergibt die Nachricht dann an die Pipeline, in der die Authentifizierung auf Nachrichtenebene stattfindet, wenn sie nicht bereits im Adapter erfolgt ist.

   1. In der Decodierungsphase entschlüsselt die Pipeline die Nachricht und überprüft die Gültigkeit der Signatur anhand des an die Nachricht angefügten Zertifikats oder anhand des im Zertifikatspeicher Andere Personen des lokalen Computers konfigurierten Zertifikats. Nachdem die Pipeline die Signatur überprüft hat, überprüft die Decodierungskomponente die Zertifikatkette bis zu einer vertrauenswürdigen Stammzertifizierungsstelle. Wenn Sie die Pipeline für die Decodierung von S/MIME-Nachrichten konfigurieren, und der Absender hat die Nachricht mithilfe von S/MIME verschlüsselt, überprüft der MIME/SMIME-Decoder die Signatur der Nachricht und verwendet das Zertifikat zum Identifizieren des Absenders. Weitere Informationen zur Verwendung von Mime/SMIME-Decoderpipelinekomponenten finden Sie unter Implementieren von Nachrichtensicherheit.

   2. In der Parteiauflösungsphase verwendet BizTalk Server die Zertifikatinformationen und die von der Authentifizierung auf Protokollebene abgerufene SSID (Sender Security ID, Absendersicherheits-ID) zum Ermitteln, ob der Absender der Nachricht eine bekannte Partei im System ist. Die SSID des Absenders ist der qualifizierte Name des vom Adapter authentifizierten Benutzers. Beispiel: Wenn BizTalk Server die Nachricht über den HTTP-Adapter mithilfe von Windows-Authentifizierung empfängt, lautet die SSID des Absenders Domäne\Benutzername. BizTalk Server weist der Nachricht eine Partei-ID (PID) zu, bei der es sich entweder um die Partei-ID einer anerkannten Partei oder um eine Gast-ID handelt. Weitere Informationen zur Verwendung der Parteienauflösungskomponente finden Sie unter Verwenden von Zertifikaten für die Parteienauflösung.

   3. Wenn Sie den empfangenden Port so konfiguriert haben, dass der Absender als eine bekannte Partei im System authentifiziert werden muss, und BizTalk Server kann keine PID für den Absender der Nachricht ermitteln, löscht BizTalk Server abhängig von der Konfiguration des Empfangsports die Nachricht oder hält sie an. BizTalk Server stellt dieses Feature zur Verfügung, um das Risiko von DoS-Angriffen (Denial-of-Service-Angriffen) zu verringern. Weitere Informationen zu den Authentifizierungsoptionen für Empfangsports finden Sie unter Konfigurieren von Authentifizierungsoptionen für einen Empfangsport.

3. Nachdem die Pipeline die Nachricht authentifiziert hat, wird die Nachricht an die MessageBox-Datenbank gesendet.

   1. Wenn Sie den Host (auf dem die Pipeline ausgeführt wird), der Nachrichten in der Warteschlange speichert, nicht als vertrauenswürdigen Authentifizierungshost definiert haben, überschreibt die MessageBox-Datenbank die PID mit der Gast-ID und die SSID mit dem Dienstkonto, als das die Hostinstanz ausgeführt wird, die Nachrichten in der Warteschlange speichert. Weitere Informationen zum vertrauenswürdigen Authentifizierungshost finden Sie unter Authentifizierung von Nachrichten zwischen Prozessen. Weitere Informationen zum Konfigurieren des vertrauenswürdigen Authentifizierungshosts finden Sie unter Ändern von Hosteigenschaften.

   2. Wenn der Host, auf dem die Pipeline ausgeführt wird, als für die Authentifizierung vertrauenswürdig markiert ist, vertraut die MessageBox-Datenbank der PID und der SSID und belässt diese Informationen im Kontext der Nachricht, damit Downstreamprozesse diese Informationen zum Authentifizieren und/oder Autorisieren des ursprünglichen Absenders der Nachricht verwenden können.

   3. Wenn BizTalk Server Empfangsautorisierung verlangt, überprüft die MessageBox-Datenbank, ob die Hosts, die die Nachricht abonniert haben, für ihren Empfang autorisiert sind. Weitere Informationen zur Empfangsautorisierung finden Sie unter Autorisieren des Empfängers einer Nachricht.

4. Nachdem BizTalk Server die Nachricht verarbeitet hat, verschlüsselt die ausgehende Pipeline die Nachricht in der Codierungsphase und/oder signiert sie digital.

Weitere Informationen

Implementieren der Nachrichtensicherheit
Planen der Nachrichtensicherheit