Condividi tramite

Pianificare la protezione per un ambiente di accesso anonimo esterno (Office SharePoint Server)

  • Articolo

Contenuto dell'articolo:

  • Proteggere i server back-end

  • Configurare l'accesso anonimo

  • Proteggere il sito Amministrazione centrale

  • Proteggere la distribuzione del contenuto tramite SSL

  • Disattivare i messaggi di posta elettronica in arrivo

  • Utilizzare la modalità di blocco

  • Elenco di controllo per una progettazione protetta

  • Pianificare una protezione avanzata per i ruoli del server

  • Pianificare configurazioni protette per le caratteristiche di Office SharePoint Server

Le indicazioni sulla protezione per un ambiente basato su accesso anonimo esterno hanno lo scopo di consentire l'accesso anonimo al contenuto garantendo al contempo la protezione dei server back-end della farm dall'accesso utente diretto o da azioni dannose messe in atto tramite server Web front-end. In un ambiente in cui è possibile distribuire più farm per supportare la creazione, la gestione temporanea e la pubblicazione, le indicazioni si riferiscono alla farm pubblicata ovvero la farm accessibile in modo anonimo dagli utenti.

Sono disponibili diversi gli speciali consigli per un ambiente basato su accesso anonimo esterno. Alcuni consigli potrebbero tuttavia rivelarsi non attuabili per tutte le soluzioni.

Proteggere i server back-end

Per l'hosting di siti per l'utilizzo anonimo sono richiesti server esposti a Internet. È possibile limitare l'esposizione al traffico Internet per proteggere i server back-end, inclusi il server di indicizzazione e altri ruoli del server applicazioni, nonché server che ospitano database:

  • Proteggere i server database   Inserire almeno un firewall tra i server Web front-end e i server che ospitano database. Alcuni ambienti impongono l'hosting dei server database in una rete interna, anziché direttamente in un ambiente Extranet.

  • Proteggere i server applicazioni Proteggere almeno i server applicazioni richiedendo il protocollo IPsec (Internet Protocol security) per salvaguardare le comunicazioni tra i computer della server farm. È inoltre possibile utilizzare per i server applicazioni il firewall utilizzato per proteggere i server database. In alternativa, è possibile inserire un firewall aggiuntivo tra i server Web front-end e i server applicazioni.

  • Proteggere il ruolo indice   Il componente di indicizzazione comunica attraverso un server Web front-end per eseguire la ricerca per indicizzazione del contenuto nei siti. Per proteggere questo canale di comunicazione, può essere opportuno configurare un server Web front-end dedicato che verrà utilizzato da uno o più server indice. La comunicazione relativa alla ricerca per indicizzazione viene così isolata in un server Web front-end non accessibile agli utenti. Configurare inoltre Internet Information Services (IIS) in modo da applicare restrizioni a SiteData.asmx (il servizio SOAP del crawler) e consentirvi l'accesso soltanto al server indice o ad altri crawler. L'implementazione di un server Web front-end dedicato alla ricerca per indicizzazione del contenuto consente inoltre di migliorare le prestazioni riducendo il carico nei server Web front-end principali e garantendo così una migliore esperienza utente.

Configurare l'accesso anonimo

Per rendere il contenuto disponibile per l'accesso anonimo, è necessario configurare le impostazioni seguenti:

  • Configurare il sito o la raccolta siti per consentire l'accesso anonimo.

  • Configurare almeno un'area dell'applicazione Web per consentire l'accesso anonimo.

Attivare l'accesso anonimo solo per le applicazioni Web che richiedono l'accesso non autenticato. Se si desidera utilizzare l'autenticazione per la personalizzazione, implementare l'autenticazione Forms utilizzando un provider di autenticazione del database semplice.

Proteggere il sito Amministrazione centrale

Poiché gli utenti esterni hanno accesso all'area di rete, è importante proteggere il sito Amministrazione centrale in modo da bloccare l'accesso esterno e proteggere l'accesso interno:

  • Verificare che il sito Amministrazione centrale non sia ospitato in un server Web front-end.

  • Bloccare l'accesso esterno al sito Amministrazione centrale. A tale scopo, è possibile inserire un firewall tra i server Web front-end e il server che ospita il sito Amministrazione centrale.

  • Configurare il sito Amministrazione centrale utilizzando SSL (Secure Sockets Layer). In tal modo si garantisce la protezione delle comunicazioni tra la rete interna e il sito Amministrazione centrale.

Proteggere la distribuzione del contenuto

Se non si utilizza la caratteristica di distribuzione del contenuto, disattivare la ricezione delle distribuzioni del contenuto per la server farm. A tale scopo, in Impostazioni distribuzione del contenuto selezionare Rifiuta processi di distribuzione del contenuto in ingresso. Si tratta dell'impostazione predefinita.

Se si utilizzano le caratteristiche di distribuzione del contenuto per distribuire contenuto tra server farm, verificare che il sito Amministrazione centrale per la server farm di ricezione sia configurato per l'utilizzo di SSL. In tal modo si garantisce che le comunicazioni server correlate alla distribuzione del contenuto tra le due server farm siano protette tramite SSL.

Per proteggere le identità degli autori, disattivare inoltre l'impostazione Distribuisci nomi utente quando si configura il percorso di distribuzione del contenuto.

Disattivare i messaggi di posta elettronica in arrivo

Non utilizzare l'integrazione della posta elettronica per i messaggi di posta elettronica in arrivo. In tal modo si protegge l'ambiente dai rischi associati ai messaggi di posta elettronica inviati da origini anonime tramite Internet. Se i messaggi di posta elettronica in arrivo non sono consentiti, configurare il sito Amministrazione centrale per attivare i messaggi di posta elettronica anonimi. Seppur disponibile, questa opzione non è particolarmente sicura.

Utilizzare la modalità di blocco

La modalità di blocco è una caratteristica utilizzabile per proteggere i siti pubblicati. Quando tale modalità è attivata, le autorizzazioni specifiche per il livello di autorizzazione Accesso limitato vengono ridotte. Nella tabella seguente sono descritte in dettaglio le autorizzazioni predefinite del livello di autorizzazione Accesso limitato e le autorizzazioni ridotte previste quando la modalità di blocco è attivata.

Autorizzazione Accesso limitato predefinito Accesso limitato in modalità di blocco

Autorizzazioni elenco: Visualizzazione pagine applicazione

●

Autorizzazioni sito: Visualizzazione informazioni utenti

●

●

Autorizzazioni sito: Utilizzo interfacce remote

●

Autorizzazioni sito: Utilizzo caratteristiche di integrazione client

●

●

Autorizzazioni sito: Apertura

●

●

La modalità di blocco viene applicata ai siti nei casi seguenti:

  • Lo strumento della riga di comando Stsadm.exe viene utilizzato per attivare la modalità di blocco.

  • Il modello del sito portale di pubblicazione viene applicato alla raccolta siti. Per impostazione predefinita, la modalità di blocco è attivata quando viene applicato questo modello.

Valutare l'opportunità di utilizzare la modalità di blocco nei siti pubblicati se è richiesta una maggiore protezione in tali siti. Se inoltre è stato applicato il modello di sito portale di pubblicazione, determinare se la modalità di blocco è la configurazione desiderata per questi siti. In caso contrario, utilizzare lo strumento della riga di comando Stsadm.exe per disattivare la modalità di blocco.

Nella tabella seguente sono elencati i comandi Stsadm correlati all'utilizzo della modalità di blocco.

Azione Comando

Attivare la modalità di blocco per una raccolta siti

stsadm -o activatefeature -url <url raccolta siti> -filename ViewFormPagesLockDown\feature.xml

Disattivare la modalità di blocco per una raccolta siti

stsadm -o deactivatefeature -url <url raccolta siti> -filename ViewFormPagesLockDown\feature.xml

Elenco di controllo per una progettazione protetta

Utilizzare questo elenco di controllo per la progettazione unitamente agli elenchi di controllo disponibili in Esaminare gli elenchi di controllo per la progettazione della topologia protetta (Office SharePoint Server).

Topologia

[ ]

Proteggere i server back-end inserendo almeno un firewall tra i server Web front-end e i server applicazioni e database.

[ ]

Pianificare un server Web front-end dedicato per la ricerca per indicizzazione del contenuto. Non includere questo server Web front-end nella rotazione di server Web front-end dell'utente finale.

Architettura logica

[ ]

Attivare l'accesso anonimo solo per le aree dell'applicazione Web che ospitano siti o raccolte siti configurate per consentire l'accesso anonimo.

Per ulteriori informazioni, vedere Pianificare i metodi di autenticazione (Office SharePoint Server).

[ ]

Utilizzare SSL per proteggere la distribuzione del contenuto.

[ ]

Bloccare l'accesso al sito Amministrazione centrale e configurare SSL per il sito.

Pianificare una protezione avanzata per i ruoli del server

Nella tabella seguente vengono forniti ulteriori consigli per la protezione avanzata di un ambiente basato su accesso anonimo esterno.

Componente Suggerimento

Porte

Bloccare l'accesso esterno alla porta per il sito Amministrazione centrale.

Protocolli

  • Disattivare SMTP.

  • Utilizzare SSL per proteggere il contenuto quando viene distribuito dalla farm di creazione e modifica alla farm di gestione temporanea e di pubblicazione.

IIS

Se si intende configurare un server Web front-end dedicato per l'indicizzazione, configurare IIS in modo da limitare l'accesso a SiteData.asmx (servizio SOAP del crawler) e consentire l'accesso solo al server di indicizzazione o ad altri crawler.

Pianificare configurazioni protette per le caratteristiche di Office SharePoint Server

Nella tabella seguente vengono descritti ulteriori consigli per proteggere le funzionalità Microsoft Office SharePoint Server 2007 in un ambiente basato su accesso anonimo esterno.

Caratteristica o area Suggerimento

Autenticazione

Specificare l'autenticazione anonima in IIS.

Distribuzione del contenuto

Se non si utilizza la caratteristica di distribuzione del contenuto, disattivare la ricezione di distribuzioni del contenuto per la server farm. Si tratta dell'impostazione predefinita.

Se si utilizza la caratteristica di distribuzione del contenuto, sono consigliate le configurazioni seguenti:

  • Attivare SSL per il sito Amministrazione centrale nella server farm di ricezione.

  • Disattivare l'impostazione Distribuisci nomi utente quando si configura il percorso di distribuzione del contenuto.

Integrazione della posta elettronica

Non attivare l'integrazione della posta elettronica per i messaggi di posta elettronica in arrivo.

Memorizzazione nella cache del contenuto di pagine con contenuto personalizzato

È possibile utilizzare la cache di output per ottimizzare le prestazioni dei siti che visualizzano contenuto personalizzato. In questo scenario la sostituzione post-cache viene utilizzata per garantire l'aggiornamento del contenuto personalizzato. Di conseguenza, se l'intera pagina o parte della pagina include contenuto personalizzato, la ricezione tramite la cache di output non presenta particolari vantaggi.

Se si utilizza la cache di output nelle pagine con contenuto personalizzato, tenere presenti le implicazioni associate alla configurazione di questa caratteristica dal punto di vista della protezione. In presenza delle condizioni seguenti, verificare che i siti che visualizzano contenuto personalizzato supportino la sostituzione post-cache:

  • Si prevede di attivare la cache di output per le pagine (per ottimizzare le prestazioni).

  • Sia utenti anonimi che utenti autenticati accedono al contenuto.

  • La soluzione include siti in cui sono presenti controlli che visualizzano contenuto personalizzato (per utenti autenticati).

In questo scenario a tutti gli utenti anonimi verrà visualizzato lo stesso contenuto. Il contenuto visualizzato dagli utenti autenticati varia a seconda che sia visualizzato o meno il contenuto personalizzato e sia attivata o meno la sostituzione post-cache per questo contenuto:

  • Se la sostituzione post-cache è supportata per il contenuto personalizzato, gli utenti autenticati con gli stessi diritti potranno visualizzare solo il proprio contenuto personalizzato.

  • Se la sostituzione post-cache non è supportata per il contenuto personalizzato, agli utenti con gli stessi diritti verrà visualizzato lo stesso contenuto. In questo scenario se il contenuto personalizzato viene memorizzato nella cache per l'utente A, a tutti gli utenti successivi che dispongono degli stessi diritti, verrà visualizzato il contenuto personalizzato dell'utente A anziché il proprio.

InfoPath Forms Server

In un ambiente anonimo disattivare il proxy del servizio Web InfoPath Forms Services. Questo servizio, eseguito come account di servizio attendibile, inoltra le richieste ai servizi Web utilizzando l'identità dell'account di servizio attendibile.

Negli ambienti in cui l'accesso ai moduli di InfoPath è consentito solo agli utenti autenticati, l'accesso a un sistema di dati back-end è protetto tramite l'autenticazione. Se tuttavia in seguito vengono creati moduli di InfoPath utilizzabili da utenti anonimi e tali moduli accedono allo stesso sistema di dati back-end, tale sistema viene configurato in modo da considerare attendibile il proxy del servizio Web e fornire i dati richiesti. In questo caso gli utenti anonimi potranno accedere ai dati in genere disponibili solo per gli utenti autenticati.

Per impostazione predefinita, il proxy del servizio Web è disattivato. Questo servizio viene gestito in Amministrazione centrale. Nella scheda Gestione applicazioni cercare nella categoria InfoPath Forms Services e fare clic su Gestisci proxy servizio Web.

Scaricare il manuale

Questo argomento è incluso nel manuale seguente, che può essere scaricato per una lettura e una stampa più agevoli:

Per un elenco completo dei manuali disponibili che è possibile scaricare per Office SharePoint Server 2007, vedere Downloadable content for Office SharePoint Server 2007 (informazioni in lingua inglese)