Modèle de sécurité (mise en cache de Windows Server AppFabric)

Article
12/05/2011

Les fonctionnalités de mise en cache de Windows Server AppFabric proposent plusieurs options de gestion de la sécurité. Par défaut, la communication entre les clients de cache et le cluster de cache utilise le chiffrement et la signature. Par ailleurs, vous devez ajouter de façon explicite un compte Windows à la liste des comptes autorisés pour permettre à l'utilisateur associé d'accéder au cluster de cache.

Paramètres de sécurité du cluster de cache

Deux modes de protection peuvent être définis sur le cluster de cache : None et Transport. Lorsque le mode None est défini, les données échangées entre le cluster de cache et les clients de cache ne sont pas chiffrées ou signées. Les données sont donc potentiellement exposées à des attaques réseau malveillantes susceptibles de les enregistrer ou de les modifier. Par ailleurs, les clients de cache peuvent communiquer avec le cluster de cache, même si l'accès ne leur a pas été octroyé de façon explicite. Lorsque le mode de protection est défini sur le paramètre Transport par défaut, seuls les comptes Windows autorisés peuvent accéder au cluster de cache.

Trois niveaux de protection des données échangées entre un cluster de cache et des clients de cache peuvent être définis : None, Sign et EncryptAndSign. Le paramètre None ne fournit aucune sécurité supplémentaire. Le paramètre Sign protège les données sur le réseau contre la falsification. Le paramètre EncryptAndSign chiffre les données avant de les signer. Les paramètres Sign et EncryptAndSign peuvent uniquement être spécifiés lorsque le mode de sécurité est défini sur Transport.

Pour modifier le mode de sécurité ou le niveau de protection du cluster de cache, utilisez la commande Windows PowerShell Set-CacheClusterSecurity.

Notes

Lorsque la sécurité est activée, le service de mise en cache d'AppFabric doit être exécuté sous une identité appropriée. Pour les environnements de domaine, le compte « Autorité NT\Service réseau » prédéfini doit être utilisé. Pour les environnements de groupe de travail, un compte d'ordinateur local doit être utilisé. Il y a toutefois une exception au paramètre de compte de service pour un environnement de domaine. Lorsque la sécurité est désactivée (mode de sécurité défini sur None), il est possible d'exécuter le service de mise en cache d'AppFabric comme un compte de domaine spécifique autre que le service réseau.

Paramètres de sécurité des clients de cache

Comme pour les paramètres de sécurité du cluster de cache, le client de cache peut configurer les paramètres de sécurité dans le fichier de configuration de l'application à l'aide de l'élément securityProperties. Le client peut également configurer la sécurité par programme à l'aide de la classe DataCacheSecurity avec la propriété SecurityProperties de la classe DataCacheFactoryConfiguration. Pour plus d'informations, consultez la rubrique Paramètres de configuration de l'application (mise en cache de Windows Server AppFabric).

Il est important que le client de cache et le cluster de cache utilisent les paramètres de sécurité qui autorisent une connexion. Dans le tableau ci-dessous, les colonnes représentent les paramètres de sécurité du serveur et les lignes les paramètres de sécurité du client. La valeur « Correct » ou « Incorrect » est affectée à chaque combinaison pour indiquer si la connexion est autorisée ou non.

Paramètres du client	Mode=None, ProtectionLevel=Any	Mode=Transport, ProtectionLevel=None	Mode=Transport, ProtectionLevel=Sign	Mode=Transport, ProtectionLevel=EncryptAndSign
None, Any	Correct	Incorrect	Incorrect	Incorrect
Transport, None	Incorrect	Correct	Incorrect	Incorrect
Transport, Sign	Incorrect	Correct	Correct	Incorrect
Transport, EncryptAndSign	Incorrect	Correct	Correct	Correct

Comptes client autorisés

Lorsque le mode de sécurité est défini sur Transport, les clients de cache qui tentent de se connecter au cluster de cache doivent être autorisés de façon explicite. Pour cela, utilisez la commande Grant-CacheAllowedClientAccount dans Windows PowerShell. Pour plus d’informations, consultez la rubrique Utilisation de Windows PowerShell pour la gestion des fonctionnalités de mise en cache de Windows Server AppFabric.

Assistant Configuration de la sécurité

AppFabric prend en charge l'utilisation de l'Assistant Configuration de la sécurité sous Windows Server 2008. Vous pouvez enregistrer un fichier de modèle prédéfini qui spécifie les paramètres minimaux requis par l'exécution de la mise en cache d'AppFabric auprès de l'Assistant. Bien que le fichier de modèle WindowsServerAppFabric.xml soit installé avec AppFabric, vous devez l'enregistrer manuellement auprès de l'Assistant avant d'utiliser l'outil. Les étapes de ce processus sont décrites ci-dessous.

Localisez le fichier WindowsServerAppFabric.xml dans le répertoire .\Windows\System32\AppFabric.

Ouvrez le fichier WindowsServerAppFabric.xml. Vérifiez que les informations de version du système d'exploitation dans l'élément SCWKBRegistrationInfo correspondent à votre ordinateur actuel. Si ce n'est pas le cas, modifiez les attributs en vous référant au tableau suivant et enregistrez les modifications.

Système d'exploitation	OSMajorVersion	OSMinorVersion	ServicePackMajorVersion
Windows Server 2008	6	0	0
Windows Server 2008 SP1	6	0	1
Windows Server 2008 SP2	6	0	2
Windows Server 2008 R2	6	1	0

Ouvrez une invite de commandes.

Exécutez la commande suivante :

scwcmd register /kbname:appfabric /kbfile:%windir%\System32\AppFabric\WindowsServerAppFabric.xml

Si vous utilisez l'outil d'administration de l'Assistant Configuration de la sécurité, le rôle installé « Service de mise en cache de Windows Server AppFabric » doit désormais apparaître.

Voir aussi

Concepts

Utilisation de Windows PowerShell pour la gestion des fonctionnalités de mise en cache de Windows Server AppFabric
Concepts relatifs à la mise en cache de Windows Server AppFabric

2011-12-05

Partager via