Contas do pool de aplicativos do Monitoring Server

Atualizado em: 2009-04-30

O processo de aplicativo do Monitoring Server é executado como uma conta especificada pela configuração de identidade do pool de aplicativos.

Além das contas internas do Sistema Local, Serviço Local e Serviço de Rede, uma conta local ou de rede pode ser especificada. Essa conta requer acesso ao banco de dados do aplicativo e às fontes de dados necessárias. Se o servidor está configurado para "conectar autenticação por usuário", o que significa que as credenciais do usuário final individual são usadas para autenticação, então a conta do pool de aplicativos só precisa acessar o banco de dados do aplicativo. No entanto, todos os usuários devem receber permissão de acesso a quaisquer fontes de dados.

Sempre que possível, o Monitoring Server deve ser executado com uma conta de domínio que tenha privilégios baixos. A identidade não deve ter acesso a quaisquer recursos diferentes desses exigidos pelo aplicativo.

A identidade do pool de aplicativos do Monitoring Server é executada na conta especificada por Gerenciador de Configuração do Monitoring Server. A identidade do pool de aplicativos em que o site do SharePoint é executado deve ser configurada com a mesma conta. No entanto, o Gerenciador de Configuração do Monitoring Server não altera a definição atual, seja ela qual for, e depende do usuário alterar essa configuração manualmente. É recomendável usar uma conta de domínio como a identidade do pool de aplicativos. A conta de domínio deve apenas ser atribuída ao grupo IIS_WPG no computador que o Monitoring Server está instalado.

O Gerenciador de Configuração do Monitoring Server oferece suporte ao especificar uma conta de domínio, que é a implantação recomendada. O Gerenciador de Configuração do Monitoring Server também oferece suporte ao especificar uma conta interna. O Gerenciador de Configuração do Monitoring Server atribui o acesso de conta selecionado automaticamente para os metadados armazenados no banco de dados do aplicativo. Por padrão, essa conta precisa receber manualmente as permissões para cada uma das fontes de dados que você planeja usar.

Autenticação da fonte de dados

As fontes de dados do Monitoring Server geralmente exige que o Monitoring Server autentique para acessar os dados. Por padrão, o Monitoring Server sempre usa a identidade do pool de aplicativos para se conectar a qualquer fonte de dados. A única exceção são as fontes de dados que permitem que os administradores especifiquem uma seqüência de conexão que contém as credenciais de acesso. No Dashboard Designer, o assistente para criar um fonte de dados SQL Server 2005 Analysis Services permite que você especifique um conjunto de funções em que proteger a conexão com o Analysis Services.

A autenticação para fontes de dados como um único usuário não pode fornecer controle suficiente sobre o acesso aos dados de negócios da organização. Há duas opções disponíveis no Monitoring Server para permitir um melhor controle de acesso.

A primeira opção é para usar o campo CustomData em uma seqüência de conexão Analysis Services. O Monitoring Server pode especificar o nome de domínio e o nome de usuário da conta que estiver autenticando para o servidor como CustomData da seqüência de conexão. Em seguida, o Analysis Services pode ser configurado para restringir o acesso com base na seqüência de caracteres que contém o nome de usuário fornecido pelo Monitoring Server.

A segunda opção é ativar o suporte Monitoring Server de delegação Kerberos ativando a propriedade Bpm.ServerConnectionPerUser no arquivo web.config. A delegação oferece um símbolo de representação do usuário autenticado atualmente para qualquer fonte de dados registrada. Com a delegação Kerberos, cada um dos seus usuários precisa acessar a fonte de dados. Este acesso de fonte de dados por usuário deve ser registrado com dois Monitoring Server e o serviço com o qual os usuários estarão conectados. A vantagem dessa abordagem é que você pode usar os modelos de segurança do aplicativo que estão disponíveis para cada fonte de dados registrada.

Relatórios analíticos e segurança da fonte de dados

O suporte para navegação nos relatórios Analysis Services fornece aos usuários a capacidade para entender os seus negócios além do que um relatório estático pode transmitir. A segurança no nível do relatório para os membros das funções Editor e Leitor permite que os usuários compartilhem dados relevantes com um conjunto específico de pessoas. As permissões da função Editor ou Leitor em um relatório analítico não impedem os usuários de ver os dados além do permitido na exibição pretendida. Nessa situação, a segurança na fonte de dados é a única maneira para limitar o acesso aos dados do cubo. Quando um usuário tem acesso a uma fonte de dados que faz referência a um cubo Analysis Services OLAP, o usuário pode ver todos os dados nesse cubo, a menos que o acesso esteja restrito ao Analysis Services. Por padrão, o Monitoring Server conecta-se como um único usuário para todas as fontes de dados.

Seqüências de caracteres de conexão da fonte de dados

O Monitoring Server fornece aos usuários a capacidade para especificar suas próprias seqüências de caracteres de conexão para muitos tipos de fonte de dados suportados. Se optar por especificar um conjunto de credenciais como parte de seqüência de conexão, você precisará saber que essas credenciais não serão criptografadas e podem ser armazenadas diretamente no espaço de trabalho de quem possui acesso para o fonte de dados.

Cuidado:
Recomendamos que você não forneça credenciais como parte de uma seqüência de conexão.

Implantações de Produtos e Tecnologias do SharePoint

Recomendamos que a conta de identidade do pool de aplicativos do Monitoring Server corresponda aos sites na Web do Monitoring Server. Isso garante que se você estiver usando a configuração padrão, seus relatórios e cartões de pontuação serão executados no mesmo contexto de usuário. Se você optar por usar a propriedade Bpm.ServerConnectionPerUser, ainda recomendamos simplificar a configuração do Kerberos. Observe que o processo que executa a implantação dos Produtos e Tecnologias do SharePoint terá acesso ao repositório de metadados do Monitoring Server. Certifique-se de que a implantação restrinja quem pode publicar o conteúdo, já que esses usuários poderão acessar os dados do Monitoring Server.

Configuração do IIS

Além da configuração da identidade do pool de aplicativos e o arquivo web.config, você deve proteger ainda o Monitoring Server ativando o SSL para todos os os sites da Web relevantes. Não recomendamos o uso de algo além da autenticação integrada do Windows e uma porta não-padrão. É recomendável usar a autenticação integrada do Windows e uma porta padrão.