Pianificare la protezione del sito (Office SharePoint Server)

Contenuto dell'articolo:

• Informazioni sugli elementi di protezione del sito

• Informazioni sull'assegnazione di autorizzazioni

• Informazioni sulle autorizzazioni specifiche ed ereditarietà delle autorizzazioni

• Scegliere i livelli di protezione del sito da utilizzare

• Pianificare l'ereditarietà delle autorizzazioni

• Script dei siti secondari

• Foglio di lavoro

In questo articolo viene illustrata la pianificazione del controllo di accesso e delle autorizzazioni a livello di raccolta siti, sito e sito secondario. Non viene illustrata la pianificazione della protezione del server o della server farm. Per ulteriori informazioni sulla pianificazione di altri aspetti della protezione, ad esempio i metodi di autenticazione e la crittografia, vedere Pianificare la protezione dei siti e del contenuto (Office SharePoint Server).

La protezione del sito viene controllata tramite l'assegnazione di autorizzazioni a utenti e gruppi per un oggetto a protezione diretta specifico, ad esempio un sito, un elenco o una voce. Quando si pianifica la protezione del sito, è necessario stabilire quanto segue:

• Quale livello di controllo si desidera esercitare sulle autorizzazione per i singoli oggetti a protezione diretta. Ad esempio, si desidera controllare l'accesso per l'intero sito oppure sono necessarie impostazioni di protezione specifiche per un elenco, una cartella o una voce specifica?

• Come si desidera suddividere in categorie e gestire gli utenti, utilizzando i gruppi. In questo articolo vengono illustrati i concetti essenziali della protezione del sito e vengono fornite informazioni utili per la determinazione degli oggetti a protezione diretta a cui applicare autorizzazioni specifiche. Per ulteriori informazioni sulla suddivisione degli utenti in categorie tramite i gruppi, vedere Scegliere quali gruppi di protezione utilizzare (Office SharePoint Server).

  Nota

  Rispetto alla versione precedente sono state apportate modifiche significative al modo in cui i gruppi e le autorizzazioni interagiscono. Nella versione precedente i gruppi a livello di sito vengono utilizzati per contenere sia gli utenti che le autorizzazioni, ovvero quando si aggiunge un utente a un gruppo del sito vengono determinate automaticamente le autorizzazioni concesse all'utente per un sito. Nella versione attuale i concetti di gruppi di utenti e autorizzazioni sono stati separati. I gruppi di SharePoint a livello di raccolta siti contengono gli utenti, i livelli di autorizzazioni contengono le autorizzazioni e i gruppi non dispongono di alcuna autorizzazione fino a quando non viene loro assegnato un livello di autorizzazione per un oggetto a protezione diretta specifico, ad esempio un sito, un elenco o raccolta, una cartella, una voce o un documento.

Informazioni sugli elementi di protezione del sito

Indipendente dal tipo di sito creato, la protezione per il sito include i cinque elementi seguenti:

• Autorizzazioni utente individuali Autorizzazioni individuali che concedono la possibilità di eseguire azioni specifiche. Ad esempio, l'autorizzazione Visualizzazione elementi consente all'utente di visualizzare le voci di un elenco. Gli amministratori della farm possono controllare quali autorizzazioni sono disponibili per la server farm utilizzando la pagina Autorizzazioni utente per l'applicazione Web in Amministrazione centrale. Per visualizzare questa pagina, in Protezione applicazione nella pagina Gestione applicazioni fare clic su Autorizzazioni utente per l'applicazione Web. Per informazioni sulle autorizzazioni disponibili, vedere User permissions and permission levels.

• Livello di autorizzazione Insieme predefinito di autorizzazioni che consente agli utenti di eseguire azioni correlate. I livelli di autorizzazione predefiniti sono Accesso limitato, Lettura, Collaborazione, Progettazione e Controllo completo. Ad esempio, il livello di autorizzazione Lettura include tra le altre le autorizzazioni Visualizzazione elementi, Apertura elementi, Visualizzazione pagine e Visualizzazione versioni. Tutte queste autorizzazioni sono necessarie per leggere documenti, elementi e pagine di un sito di SharePoint. Le autorizzazioni possono essere incluse in più livelli di autorizzazione. I livelli di autorizzazione possono essere personalizzati da chiunque disponga di un livello di autorizzazione che include l'autorizzazione Gestione autorizzazioni. Per informazioni sui livelli di autorizzazione predefiniti e sulle autorizzazioni in essi incluse, vedere User permissions and permission levels.

• Utente Persona che dispone di un account utente autenticabile mediante il metodo di autenticazione utilizzato nel server. È possibile aggiungere singoli utenti e assegnare direttamente un livello di autorizzazione a ogni utente. Non è necessario che gli utenti facciano parte di un gruppo. È consigliabile assegnare autorizzazioni ai gruppi invece che agli utenti. Poiché la gestione diretta degli account utente è onerosa, è consigliabile assegnare autorizzazioni su base del singolo utente solo come eccezione. Per ulteriori informazioni sui tipi di account utente, vedere User permissions and permission levels.

• Gruppo Gruppo di utenti. Può essere un gruppo di protezione di Windows, ad esempio Reparto_A, aggiunto al sito, o un gruppo di SharePoint, ad esempio proprietari di siti, membri di siti o visitatori di siti. A ogni gruppo di SharePoint viene assegnato un livello di autorizzazione predefinito, che può essere modificato in base alle esigenze. Se a un utente viene assegnato un livello di autorizzazione che include l'autorizzazione Creazione gruppi (inclusa nel livello di autorizzazione Controllo completo per impostazione predefinita), questo utente può creare gruppi di SharePoint personalizzati.

• Oggetto a protezione diretta Agli utenti o ai gruppi viene assegnato un livello di autorizzazione per un oggetto a protezione diretta specifico: specifico: sito, elenco, raccolta, cartella, documento o voce. Per impostazione predefinita le autorizzazioni per un elenco, una raccolta, una cartella, un documento o una voce vengono ereditate dal sito principale, dall'elenco principale o dalla raccolta. Un utente o un gruppo a cui viene assegnato un livello di autorizzazione per un oggetto a protezione diretta specifico che include l'autorizzazione Gestione autorizzazioni può tuttavia modificare le autorizzazioni per tale oggetto. Per impostazione predefinita le autorizzazioni vengono inizialmente controllate a livello di sito, con tutti gli elenchi e le raccolte che ereditano le autorizzazioni del sito. Utilizzare le autorizzazioni a livello di elenco, cartella o voce per controllare ulteriormente gli utenti che possono visualizzare o interagire con il contenuto del sito. È possibile riprendere a ereditare le autorizzazioni da un elenco principale, dal sito nella sua interezza o da un sito principale in qualsiasi momento.

Informazioni sull'assegnazione di autorizzazioni

È possibile assegnare un livello di autorizzazione a un utente o un gruppo per un oggetto a protezione diretta specifico (sito, elenco o voce). I singoli utenti o gruppi possono disporre di livelli di autorizzazione diversi per oggetti a protezione diretta diversi.

Nota

Poiché la gestione diretta degli account utente è onerosa, è consigliabile utilizzare il più possibile le autorizzazioni di gruppo. In particolare, se si utilizzano autorizzazioni specifiche (vedere la sezione seguente), è consigliabile utilizzare i gruppi per evitare di dovere tenere traccia delle autorizzazioni per singoli account utente. Poiché le persone possono cambiare frequentemente team e responsabilità, potrebbe essere preferibile non tenere traccia di tutti i cambiamenti e aggiornare continuamente le autorizzazioni per gli oggetti protetti in modo esclusivo.

Nel diagramma seguente viene illustrato il modo in cui livelli di autorizzazione specifici vengono assegnati a utenti e gruppi per un oggetto a protezione diretta specifico.

Informazioni sulle autorizzazioni specifiche ed ereditarietà delle autorizzazioni

Per controllare con maggiore precisione le azioni che gli utenti possono eseguire sul sito, è possibile utilizzare autorizzazioni specifiche (autorizzazioni a livello di elenco, raccolta, cartella, voce o documento). Gli oggetti a protezione diretta seguenti sono disponibili per l'assegnazione di autorizzazioni:

• Sito Controlla l'accesso al sito nella sua interezza.

• Elenco o raccolta Controlla l'accesso a un elenco specifico o a una raccolta specifica.

• Cartella Controlla l'accesso alle proprietà di una cartella, ad esempio il nome della cartella.

• Voce o documento Controlla l'accesso a una voce di elenco o a un documento specifico.

Ereditarietà delle autorizzazioni e autorizzazioni specifiche

Per impostazione predefinita, le autorizzazioni incluse in un sito vengono ereditate dal sito. È tuttavia possibile interrompere l'ereditarietà per qualunque oggetto a protezione diretta di livello inferiore nella gerarchia modificando le autorizzazioni su tale oggetto a protezione diretta, ovvero creando un'assegnazione di autorizzazione esclusiva. È ad esempio possibile modificare le autorizzazioni per una raccolta documenti, interrompendo così l'ereditarietà dal sito. Tuttavia l'ereditarietà viene interrotta solo per l'oggetto a protezione diretta per cui sono state assegnate autorizzazioni. Le autorizzazioni rimanenti del sito restano invariate. È possibile riprendere a ereditare le autorizzazioni dall'elenco principale o dal sito in qualsiasi momento.

Ereditarietà delle autorizzazioni e siti secondari

Gli stessi siti Web sono oggetti a protezione diretta per i quali è possibile assegnare autorizzazioni. È possibile configurare i siti secondari in modo che ereditino le autorizzazioni da un sito padre oppure creare autorizzazioni esclusive per un sito specifico. L'ereditarietà delle autorizzazioni costituisce il modo più semplice per gestire un gruppo di siti Web. Se tuttavia un sito secondario eredita le autorizzazioni dal sito padre tale insieme di autorizzazioni viene condiviso. I proprietari dei siti secondari che ereditano le autorizzazioni dal sito padre possono pertanto modificare tali autorizzazioni. Se si desidera modificare le autorizzazioni solo per il sito secondario, è necessario interrompere l'ereditarietà delle autorizzazioni e quindi apportare le modifiche desiderate.

I siti secondari possono ereditare autorizzazioni da un sito padre. È possibile interrompere l'ereditarietà delle autorizzazioni per un sito secondario creando autorizzazioni esclusive. In tale modo, i gruppi, gli utenti e i livelli di autorizzazione vengono copiati dal sito padre al sito secondario e viene quindi interrotta l'ereditarietà. Se si passa dalle autorizzazioni esclusive alle autorizzazioni ereditate, verrà attivata l'ereditarietà per utenti, gruppi e livelli di autorizzazione e si perderanno eventuali utenti, gruppi o livelli di autorizzazione definiti in modo esclusivo nel sito secondario. I livelli di autorizzazione possono essere anche ereditati, come specificato per impostazione predefinita, in modo tale che il livello di autorizzazione Lettura rimanga invariato, indipendentemente dall'oggetto a cui viene applicato. È possibile interrompere l'ereditarietà modificando il livello di autorizzazione. Ad esempio, è possibile che si preferisca che il livello di autorizzazione Lettura per un sito secondario specifico non includa l'autorizzazione Creazione avvisi.

Scegliere i livelli di protezione del sito da utilizzare

Quando si crea la struttura di autorizzazioni, è importante trovare un equilibrio tra la facilità di amministrazione, le prestazioni e la necessità di controllare autorizzazioni specifiche per singoli elementi. Se si utilizzano diffusamente autorizzazioni specifiche:

• Sarà necessario più tempo per gestire le autorizzazioni.

• Microsoft Office SharePoint Server potrebbe disattivare la memorizzazione dell'output nella cache se in una raccolta siti sono inclusi più di 10.000 elenchi di controllo di accesso univoci. Gli utenti potrebbero riscontrare un peggioramento delle prestazioni quando tentano di accedere al contenuto dei siti. Per ulteriori informazioni sulla memorizzazione nella cache, vedere Memorizzazione nella cache in Office SharePoint Server 2007.

Come nel caso di qualsiasi server o sito Web, è importante inoltre applicare il principio dei privilegi minimi per la creazione di autorizzazioni di accesso al sito. È infatti consigliabile assegnare agli utenti solo i livelli di autorizzazione necessari. Per semplificare il più possibile l'amministrazione, è necessario innanzitutto utilizzare i gruppi standard, ad esempio Membri, Visitatori e Proprietari, e controllare le autorizzazioni a livello del sito. Includere la maggior parte degli utenti nei gruppi Visitatori e Membri. Limitare il numero di utenti inclusi nel gruppo Proprietari, specificando solo gli utenti ai quali si desidera consentire la modifica della struttura oppure delle impostazioni e dell'aspetto del sito. Per impostazione predefinita, gli utenti inclusi nel gruppo Membri possono collaborare al sito, aggiungendo o rimuovendo elementi o documenti, ma non possono modificare la struttura, le impostazioni o l'aspetto del sito. Se si necessita di maggiore controllo sulle azioni consentite agli utenti, è possibile creare gruppi di SharePoint e livelli di autorizzazione aggiuntivi.

Se sono presenti determinati elenchi, raccolte, cartelle, elementi o documenti che contengono dati riservati per i quali è necessaria una protezione maggiore, è possibile concedere autorizzazioni a un gruppo specifico o a un singolo utente. È tuttavia necessario notare che non è possibile in alcun modo visualizzare tutte le autorizzazioni specifiche per elenchi, raccolte, cartelle, elementi o documenti in un sito. È pertanto difficile determinare rapidamente quali utenti o gruppi dispongono di autorizzazioni per oggetti a protezione diretta specifici e reimpostare in blocco eventuali autorizzazioni specifiche.

Pianificare l'ereditarietà delle autorizzazioni

La gestione delle autorizzazioni risulta più semplice quando viene definita una gerarchia chiara di autorizzazioni e autorizzazioni ereditate. Quando ad alcuni elenchi in un sito vengono applicate autorizzazioni specifiche e quando alcuni siti dispongono di siti secondari con autorizzazioni esclusive e alcune autorizzazioni ereditate, la gestione diventa più complicata. Per quanto possibile, disporre siti, siti secondari, elenchi e raccolte in modo che la maggior parte delle autorizzazioni venga condivisa. Creare elenchi, raccolte o siti secondari distinti per i dati riservati.

Ad esempio, la gestione di un sito con ereditarietà di autorizzazioni analoga a quella illustrata nella tabella seguente risulta molto più semplice.

Oggetto a protezione diretta	Descrizione	Autorizzazioni esclusive o ereditate
SitoA	Home page del gruppo	Esclusive
SitoA/SitoSecondarioA	Gruppo riservato	Esclusive
SitoA/SitoSecondarioA/ElencoA	Dati riservati	Esclusive
SitoA/SitoSecondarioA/RaccoltaA	Documenti riservati	Esclusive
SitoA/SitoSecondarioB	Informazioni di progetto condivise dal gruppo	Ereditate
SitoA/SitoSecondarioB/ElencoB	Dati non riservati	Ereditate
SitoA/SitoSecondarioB/RaccoltaB	Documenti non riservati	Ereditate

Al contrario, la gestione di un sito con ereditarietà di autorizzazioni analoga a quella illustrata nella tabella seguente non risulta molto semplice.

Oggetto a protezione diretta	Descrizione	Autorizzazioni esclusive o ereditate
SitoA	Home page del gruppo	Esclusive
SitoA/SitoSecondarioA	Gruppo riservato	Esclusive
SitoA/SitoSecondarioA/ElencoA	Dati non riservati	Esclusive ma uguali a SitoA
SitoA/SitoSecondarioA/RaccoltaA	Documenti non riservati ma con uno o due documenti riservati	Ereditate con autorizzazioni esclusive a livello di documento
SitoA/SitoSecondarioB	Informazioni di progetto condivise dal gruppo	Ereditate
SitoA/SitoSecondarioB/ElencoB	Dati non riservati ma con uno o due elementi riservati	Ereditate con autorizzazioni esclusive a livello di elemento
SitoA/SitoSecondarioB/RaccoltaB	Documenti non riservati ma con una cartella speciale contenente documenti riservati	Ereditate con autorizzazioni specifiche a livello di cartella e di documento

Script dei siti secondari

Se l'ambiente richiede il massimo livello di isolamento del contenuto e dei siti, potrebbe essere utile progettare la struttura di siti di Office SharePoint Server in modo da ridurre al minimo i rischi associati all'utilizzo di spazi dei nomi URL contigui. La configurazione predefinita per gli spazi dei nomi URL dei siti di Office SharePoint Server potrebbe presentare un problema con gli script dei siti secondari, consentendo a un eventuale utente malintenzionato di eseguire in un sito operazioni che esulano dal livello di autorizzazione che gli è stato concesso. Tale problema si verifica perché i siti di Office SharePoint Server sono limiti di protezione, un numero qualsiasi dei quali può essere adiacente l'uno all'altro per lo stesso nome host. Poiché i Web browser considerano soltanto i nomi host e non i siti come limiti di protezione, il contenuto con script che risiedono in un sito di Office SharePoint Server potrebbe in alcuni casi essere eseguito in altri siti se questi dipendono dallo stesso nome host.

Office SharePoint Server autorizza l'accesso al contenuto in base ai diritti e all'appartenenza a gruppi di un utente autenticato. Uno script eseguito per conto di un utente può pertanto eseguire senza problemi tutte le operazioni che l'utente è autorizzato a effettuare. Il problema potenziale viene illustrato nell'esempio seguente:

• L'utente A e l'utente B hanno ognuno una propria raccolta siti di Office SharePoint Server, ovvero http://my/sites/UtenteA e http://my/sites/UtenteB.

• L'utente A dispone di autorizzazioni di collaboratore per il proprio sito, ma non ha alcuna autorizzazione per il sito dell'utente B. Quando pertanto l'utente A tenta di esplorare il sito dell'utente B, gli viene visualizzato un errore di accesso negato.

• L'utente A può tuttavia caricare nel proprio sito un documento contenente uno script dannoso e concederne l'accesso in lettura all'utente B. Se quest'ultimo visualizza il documento creato dall'utente A, è possibile che lo script dannoso venga eseguito senza visualizzare alcun avviso utilizzando le credenziali dell'utente B. Nel contesto di numerosi Web browser disponibili lo script non oltrepassa un limite di protezione e quindi la sua esecuzione non viene considerata come un evento tra domini diversi.

Il problema ha luogo perché il sito di Office SharePoint Server dell'utente B e il sito di Office SharePoint Server dell'utente A dipendono dallo stesso nome host. In questa struttura di siti l'utente B e l'utente A devono potersi riconoscere l'un l'altro attendibili e fidarsi reciprocamente che non venga effettuato alcun tentativo di attacco tramite script. Se gruppi di collaboratori non possono fidarsi tra loro, è consigliabile che i relativi siti vengano partizionati tra nomi host diversi. Questo problema con gli script è più preoccupante negli scenari di collaborazione Office SharePoint Server piuttosto che negli scenari di pubblicazione Internet o con portali strutturati, in quanto l'eventuale utente malintenzionato deve disporre dell'accesso come collaboratore per poter effettuare un attacco tramite script nel sito secondario.

Man mano che si estende l'utilizzo di Office SharePoint Server, soprattutto l'utilizzo Intranet nelle organizzazioni di grandi dimensioni, e che un numero crescente di utenti delle organizzazioni collabora a una parte di una distribuzione basata su percorsi, ad esempio http://my o http://corp, diventa sempre più difficile considerare affidabili tutti i collaboratori a un determinato host. Ciò è vero in particolare negli scenari in cui la creazione dei siti avviene in modalità self-service e in cui i siti secondari presentano numerosi livelli di nidificazione. È possibile progettare la distribuzione di Office SharePoint Server in modo da evitare tali preoccupazioni. Per ulteriori informazioni sulla progettazione dell'architettura delle informazioni, vedere Determinare l'architettura delle informazioni per il sito.

Per informazioni sulla progettazione di raccolte siti, siti e siti secondari di Office SharePoint Server, vedere Determinare siti e siti secondari.

Per informazioni aggiuntive sulla protezione, vedere Centro risorse di protezione per Prodotti e tecnologie SharePoint(informazioni in lingua inglese) (https://go.microsoft.com/fwlink/?linkid=148056&clcid=0x410).

Utilizzo di raccolte siti con nome basato sull'host

L'utilizzo di raccolte siti con nome basato sull'host consente di garantire un maggiore livello di protezione per i siti e il contenuto supportando la creazione di più raccolte siti a livello radice all'interno di una stessa applicazione Web. Gli amministratori di organizzazioni di hosting ad esempio possono utilizzare raccolte siti con nome basato sull'host per creare più siti con nome basato sul dominio. Microsoft Windows SharePoint Services 3.0 supporta la creazione di più domini in un'unica applicazione Web. In questo modo è possibile inserire più domini, ad esempio http://UtenteB.collab.mycorp.com e http://UtenteB.collab.mycorp.com, in raccolte siti distinte all'interno della stessa applicazione Web. Quando si utilizza questo approccio per fare fronte al problema con gli script dei siti secondari, è tuttavia necessario considerare quanto segue:

• L'utilizzo di nomi host descrittivi, come http://UtenteB.collab.mycorp.com, può causare problemi con DNS perché è necessario che tali nomi puntino tutti alla distribuzione di Office SharePoint Server appropriata. I nomi di dominio completi consentono di ovviare parzialmente al problema, consentendo l'utilizzo di voci DNS con caratteri jolly, ad esempio *.collab.mycorp.com.

• In Office SharePoint Server è incluso il supporto per la creazione in modalità self-service e la gestione di raccolte siti basate su percorsi. La distribuzione di siti con nome basato sull'intestazione host può dare luogo a un carico operativo per il provisioning dei siti. Per ulteriori informazioni sulla creazione di siti in modalità self-service, vedere Configurare la creazione di siti in modalità self-service.

Per ulteriori informazioni sulle raccolte siti con nome basato sull'host, vedere Pianificare raccolte siti con nome basato sull'host (Office SharePoint Server).

Spostamento di contenuto in un nome host diverso

Se si desidera spostare il contenuto esistente in un nome host separato, attenersi alle linee guida seguenti:

• È possibile spostare piccole quantità di contenuto, tra cui raccolte documenti ed elenchi, utilizzando caratteristiche client quali Invia a, Altra posizione, Apri con Visualizzazione Esplora risorse (per i documenti) o Esporta in un foglio di calcolo (per gli elenchi).

• Per spostare grandi quantità di contenuto, tra cui siti e raccolte siti, considerare la possibilità di eseguire il backup e il ripristino del contenuto. Per informazioni sul backup e il ripristino del contenuto, vedere Eseguire il backup e il ripristino di raccolte siti mediante gli strumenti incorporati (Office SharePoint Server 2007).

• Per quantità di dati maggiori, considerare la possibilità di creare una nuova raccolta siti utilizzando un nome host diverso.

• Considerare la possibilità di creare un percorso gestito allo stesso livello del sito della posizione originale per ospitare la raccolta siti. Definendo un percorso gestito, è possibile specificare i percorsi dello spazio dei nomi URL di un'applicazione Web da utilizzare per le raccolte siti. Ciò è importante perché nel contenuto di Office SharePoint Server in molti casi vengono utilizzati percorsi relativi al server. Durante il ripristino del contenuto in una nuova posizione, Office SharePoint Server può ripristinare il nome host di un URL, ma se il livello non corrisponde a questo punto, l'operazione di ripristino può avere esito negativo. Per ulteriori informazioni sui percorsi gestiti, vedere Definire percorsi gestiti.

Foglio di lavoro

Inserire nel foglio di lavoro Site and content security worksheet(informazioni in lingua inglese) (https://go.microsoft.com/fwlink/?linkid=73135&clcid=0x410) la propria gerarchia di siti e quindi elencare le autorizzazioni necessarie a ogni livello della gerarchia ed eventuali ereditarietà delle autorizzazioni.

Scaricare il manuale

Questo argomento è incluso nel manuale seguente, che può essere scaricato per una lettura e una stampa più agevoli:

• Pianificare siti e caratteristiche, parte 1(informazioni in lingua inglese)

Vedere l'elenco completo dei manuali disponibili in Contenuto scaricabile per Office SharePoint Server 2007.