Consigli relativi alla protezione per la distribuzione delle applicazioni

Di seguito sono riportate le linee guida per la distribuzione di applicazioni BizTalk nel proprio ambiente:

• Quando si esporta un'applicazione in un file con estensione msi, tutti gli elenchi di controllo di accesso discrezionale (DACL) vengono rimossi dai file e dalle cartelle. Dopo aver installato un'applicazione da tale file, occorre riconfigurare tutte le impostazioni di sicurezza riguardanti file e cartelle.

• Per ragioni di sicurezza, quando si esporta un file di associazione, le password per i binding vengono rimosse dal file. Dopo avere importato i binding, sarà necessario riconfigurare le password per le porte di trasmissione e gli indirizzi di ricezione per consentirne il funzionamento. Per configurare le password per la porta di trasmissione o l'indirizzo di ricezione, utilizzare la finestra di dialogo Proprietà del trasporto della Console di amministrazione BizTalk Server. Per istruzioni, vedere Come creare una porta di invio. Vedere anche Come creare una posizione di ricezione. Per altre informazioni sui file di associazione, vedere File di associazione e distribuzione di applicazioni.

• La distribuzione o l'annullamento della distribuzione di uno schema proprietà può causare l'esposizione di dati sensibili e successivamente di informazioni riservate durante il rilevamento. Ogni volta che si esegue o si annulla la distribuzione di un assembly contenente uno schema proprietà, il Visualizzatore eventi registra un evento nel registro eventi applicazioni di Windows. In caso di dati sensibili, è consigliabile controllare nel registro eventi questi messaggi per garantire la corrispondenza di tutte le attività di distribuzione di assembly con i criteri.

  Il messaggio generato nel registro eventi in caso di distribuzione è il seguente:

  L'utente "" ha distribuito l'assembly "{1}{0}" contenente schemi di proprietà.

  Il messaggio generato nel registro eventi in caso di annullamento della distribuzione è il seguente:

  L'utente "{1}" annulla la distribuzione dell'assembly "{0}" contenente gli schemi delle proprietà.

• Se l'applicazione contiene una directory virtuale, si tenga presente che le impostazioni di sicurezza riguardanti la directory virtuale corrispondono a quelle attivate quando il file con estensione msi viene generato durante l'esportazione dell'applicazione. Se si sta distribuendo un'applicazione in un ambiente di produzione, prima di esportare l'applicazione è necessario verificare che le impostazioni soddisfino i requisiti di sicurezza desiderati.

  Tuttavia, se si distribuisce un'applicazione che contiene una directory virtuale già esistente nell'ambiente di destinazione, le impostazioni di sicurezza riguardanti la directory virtuale esistente resteranno attive e non verranno modificate per corrispondere a quelle riguardanti la directory virtuale che si sta distribuendo. È quindi consigliabile verificare che le impostazioni di sicurezza riguardanti la directory virtuale esistente soddisfino i requisiti di sicurezza desiderati.

  Attenzione

  Se la directory virtuale utilizza il protocollo HTTPS (Hypertext Transfer Protocol over Secure Socket Layer), le relative impostazioni di sicurezza non vengono mantenute durante l'esportazione e, al momento dell'importazione, la directory virtuale erediterà le impostazioni di sicurezza della radice. È quindi consigliabile verificare che le impostazioni di sicurezza soddisfino i requisiti desiderati.

• Se, al momento dell'installazione di un'applicazione, il pool di applicazioni specificato per un servizio Web non esiste, verrà utilizzato di pool di applicazioni predefinito. Poiché le impostazioni di sicurezza riguardanti il pool di applicazioni predefinito potrebbero non essere appropriate per i requisiti desiderati, è consigliabile creare il pool di applicazioni e configurare le impostazioni di sicurezza appropriate prima di importare l'applicazione oppure verificare che le impostazioni riguardanti il pool di applicazioni predefinito siano appropriate.

• Accertarsi che l'origine dei file di Windows Installer (con estensione msi) da distribuire sia attendibile in modo da evitare problemi di sicurezza che potrebbero essere indotti da creatori malintenzionati. Per altre informazioni, vedere Sicurezza e Windows Installer.

• Accertarsi di disporre delle autorizzazioni necessarie per la distribuzione di applicazioni. Per altre informazioni, vedere Autorizzazioni necessarie per la distribuzione e la gestione di un'applicazione BizTalk.

• Accertarsi che solo gli amministratori BizTalk abbiano accesso agli assembly, ai file di associazione e ai file di criteri, poiché potrebbero contenere dati critici di business, ad esempio informazioni riguardanti la connettività e la configurazione. Se si distribuiscono applicazioni attraverso una condivisione di rete, configurare l'elenco di controllo di accesso discrezionale (DACL) nella condivisione di rete in modo che solo gli amministratori di BizTalk possano visualizzarne il contenuto. Per altre informazioni sui gruppi e sugli account utente, vedere Gruppi di Windows e account utente in BizTalk Server.

• Quando si eseguono operazioni di distribuzione, BizTalk Server comunica con il database di gestione BizTalk. Se esiste un firewall tra essi, è necessario aprire le porte appropriate sul firewall tra i domini di elaborazione, dei servizi e dei dati. Per altre informazioni, vedere Porte necessarie per BizTalk Server.

• Se si fa riferimento a un percorso remoto per un assembly, un file di associazione o un altro file di risorse che può contenere dati sensibili, è consigliabile considerare la protezione della rete tra il computer di origine e il computer da cui viene eseguita la distribuzione. Se la rete tra questi due computer non è completamente isolata da potenziali aggressori, è necessario copiare il file di destinazione su un supporto rimovibile e trasportarlo fisicamente al computer da cui viene eseguita la distribuzione.

Vedere anche

Considerazioni sulla sicurezza per la distribuzione di applicazioni