Compartir a través de

Recomendaciones de seguridad del tiempo de ejecución de BizTalk Server

  • Artículo

Debe instalar el tiempo de ejecución de BizTalk Server, o el motor, en todos los equipos en los que desea recibir, enviar, procesar o realizar seguimiento de mensajes. Es decir, debe instalar los componentes de tiempo de ejecución en cualquier equipo en el que cree una instancia de host de BizTalk (servidores de procesamiento). Se recomienda seguir estas directrices para proteger e implementar el tiempo de ejecución de BizTalk Server en su entorno.

  • Asegúrese de que tiene los derechos de usuario de seguridad mínimos para realizar tareas de tiempo de ejecución de BizTalk. Para obtener más información sobre los derechos de usuario de seguridad mínima, consulte Derechos de usuario de seguridad mínima.

    Nota

    La configuración de BizTalk proporciona a las cuentas los permisos mínimos que necesitan para realizar sus tareas.

  • La cuenta de servicio para cada instancia de host debe tener permisos para iniciar sesión como servicio en el equipo en el que se ejecuta la instancia de host.

  • Sólo la cuenta (o cuentas) de servicio de un host tienen acceso a los datos de cuadro de mensajes relacionados con un host y sólo esos servicios pueden exponer en el cuadro de mensajes. Para minimizar la posibilidad de ataques de revelación de información, no debería utilizar la misma cuenta de servicio para más de un host.

  • Los servidores de procesamiento (hosts que no realizan seguimiento) sólo necesitan conectarse a las bases de datos de cuadro de mensajes y de administración, y al servidor secreto principal. Si utiliza el protocolo de seguridad de Internet (IPSec), puede restringir el acceso de los servidores de procesamiento a estas dos bases de datos y al servidor secreto principal.

  • Todos los componentes que se ejecutan dentro del mismo host de BizTalk tienen el mismo nivel de confianza que el host. Al administrador de BizTalk le corresponde determinar qué componentes deben ejecutarse en el mismo host y, por tanto, compartir el mismo nivel de confianza. BizTalk se asegura de que sólo se ejecuten en un host de BizTalk los ensamblados que hayan instalado los administradores de BizTalk. Si desea crear más restricciones con respecto a los ensamblados que utiliza BizTalk, por ejemplo, si desea crear una restricción para que BizTalk sólo ejecute ensamblados firmados por un proveedor determinado o valide la firma de nombre seguro de una orquestación, puede utilizar el Mecanismo de seguridad de acceso a código de .NET Framework. Para obtener más información sobre el sitio web de Microsoft MSDN en https://go.microsoft.com/fwlink/?LinkId=60947.

  • El granularidad de autorización para envío de mensajes se encuentra en el nivel del host de BizTalk. Es decir, si tiene varias orquestaciones o adaptadores que se ejecutan dentro del mismo host de BizTalk, no puede restringir que una orquestación específica reciba mensajes enviados al host.

  • Cuando un host no está autorizado a recibir un mensaje, coloca ese mensaje en la cola de suspensión. De forma predeterminada, cuando en el mismo host se ejecutan adaptadores de recepción y orquestaciones, la orquestación puede leer la cola de suspensión del host. Entonces una orquestación puede seleccionar un mensaje que BizTalk dejó en suspenso debido a un error de autorización. Por lo tanto, se recomienda que no ejecute orquestaciones y adaptadores de recepción en el mismo host.

  • Las instancias de host son servicios de Windows que se ejecutan en un equipo específico. Para crear una instancia de host, debe ser administrador de BizTalk y administrador de Windows en el equipo en el que desea crear la instancia, dado que BizTalk crea un servicio de Windows que corresponda con la instancia de host.

  • Cuando Microsoft Visual Studio genera un ensamblado, utiliza una clave personalizada generada por el Entorno de desarrollo integrado (IDE). Si el entorno requiere la firma de todos los ensamblados con una clave específica, debe configurar el IDE para que todos los equipos de desarrollo usen esa clave o bien debe usar la firma retrasada de ensamblados.

  • Todos los componentes de las canalizaciones de recepción y envío intentan mantener la huella de memoria baja. Cuando los datos superan un umbral determinado, estos componentes envían datos a la carpeta temporal (%TEMP%) del disco. Debe asegurarse de que las carpetas temporales de las cuentas de servicio de las instancias de host tienen listas de control de acceso discrecional (DACL) adecuadas, de forma que sólo la cuenta de servicio pueda leer estos archivos. También debe asegurarse de que la carpeta temporal tiene espacio suficiente para almacenar los posibles archivos grandes.

Consulte también

Administración de puertos de seguridad de BizTalk Server para las recomendaciones de seguridad de los servidores de procesamientopara un planeamiento de implementación de BizTalk Serverpara la seguridad