Arquitetura de segurança para sincronização da Web

O Microsoft SQL Server permite um controle refinado sobre a configuração da segurança de sincronização da Web. Este tópico fornece uma lista abrangente de todos os componentes que podem ser incluídos em uma configuração de sincronização da Web e informações sobre as conexões feitas entre componentes. Quando possível, use a Autenticação do Windows.

A ilustração a seguir mostra todas as conexões possíveis, mas algumas conexões podem não ser necessárias em uma topologia específica. Por exemplo, uma conexão com um servidor FTP será necessária somente se o instantâneo for entregue usando FTP.

As tabelas a seguir descrevem os componentes e conexões mostrados na ilustração.

Um. Usuário do Windows no qual o agente de mesclagem é executado

Durante a sincronização, o Agente de Mesclagem (A) é iniciado no Assinante. O Merge Agent pode ser iniciado a partir de uma etapa de trabalho do SQL Server Agent ou de um aplicativo personalizado autônomo. Se o Merge Agent for iniciado a partir de uma etapa de trabalho do SQL Server Agent, o Merge Agent será executado no contexto de um usuário do Windows que você especificar. Se você não especificar um usuário do Windows, o Merge Agent será executado no contexto da conta de serviço do Windows para o SQL Server Agent.

Tipo de conta	Onde a conta é especificada
Usuário do Windows	Transact-SQL: os parâmetros @job_login e @job_password de sp_addmergepullsubscription_agent. RMO (Replication Management Objects): as propriedades Login e Password para SynchronizationAgentProcessSecurity.
Conta de serviço do Windows para o SQL Server Agent	Gerenciador de Configuração do SQL Server
Aplicativo autônomo	O Merge Agent é executado no contexto do usuário do Windows que está executando o aplicativo.

B. Conexão com o Assinante

O Merge Agent conecta-se ao Assinante usando a Autenticação do Windows ou a Autenticação do SQL Server. O logon do usuário do Windows ou do SQL Server que você especificar deve ser associado a um usuário de banco de dados que seja membro da função de banco de dados fixa dbowner no banco de dados de assinatura.

Observação

A Autenticação do Windows é sempre usada quando o Merge Agent é iniciado a partir de um trabalho do SQL Server Agent. A Autenticação do Windows também é usada quando o Merge Agent é iniciado programaticamente, a menos que a Autenticação do SQL Server seja especificada explicitamente.

Tipo de autenticação	Onde a autenticação é especificada
Autenticação do Windows.	O Merge Agent faz conexões no contexto do usuário do Windows especificado para o Merge Agent (A).
A Autenticação do SQL Server será usada somente se o seguinte for especificado: RMO: um valor de Standard para SubscriberSecurityMode. Linha de comando do Merge Agent: um valor de 0 para SubscriberSecurityMode.	RMO: SubscriberLogin e SubscriberPassword. Linha de comando do Merge Agent: -SubscriberLogin e -SubscriberLogin.

C. Conexão com um servidor proxy de saída

Especifique um usuário do Windows para essa conexão somente se houver um servidor proxy de saída que restrinja o acesso à rede interna do Assinante.

Tipo de autenticação	Onde a autenticação é especificada
Autenticação do Windows	RMO: InternetProxyLogin e InternetProxyPassword com InternetProxyServer. Linha de comando do Merge Agent: -InternetProxyLogin e -InternetProxyPassword com -InternetProxyServer.

D. Conexão com o IIS

Depois de se conectar ao Assinante e extrair alterações do banco de dados de assinatura, o Merge Agent faz uma solicitação HTTPS para o Microsoft Internet Information Services (IIS) e carrega as alterações de dados como uma mensagem XML. O Merge Agent deve ter permissões de logon para o IIS.

Tipo de autenticação	Onde a autenticação é especificada
A Autenticação Básica será usada se uma das seguintes opções for especificada: Transact-SQL: um valor de 0 para o parâmetro @internet_security_mode de sp_addmergepullsubscription_agent. RMO: um valor de Standard para InternetSecurityMode. Linha de comando do Merge Agent: um valor de 0 para -InternetSecurityMode.	Transact-SQL: os parâmetros @internet_login e @internet_password de sp_addmergepullsubscription_agent. RMO: InternetLogin e InternetPassword. Linha de comando do Merge Agent: -InternetLogin e -InternetPassword.
A Autenticação Integrada* será usada se um dos seguintes itens for especificado: Transact-SQL: um valor de 1 para o parâmetro @internet_security_mode de sp_addmergepullsubscription_agent. RMO: um valor de IntegratedInternetSecurityMode. Linha de comando do Merge Agent: um valor de 1 para -InternetSecurityMode.	O Merge Agent faz conexões no contexto do usuário do Windows especificado para o Agente de Mesclagem (A).

*A autenticação integrada só poderá ser usada se todos os computadores estiverem no mesmo domínio ou estiverem em vários domínios que tenham relações de confiança entre si.

Observação

A delegação será necessária se você usar a Autenticação Integrada. Recomendamos que você use a Autenticação Básica e o SSL para conexões do Assinante com o IIS.

E. Conexão com o Publicador

Os componentes do Ouvinte de Replicação do SQL Server e do Merge Replication Reconciler são hospedados no computador que está executando o IIS. Esses componentes executam as seguintes ações:

• Obtenha a solicitação HTTPS descrita na seção “D. Conexão com o IIS".

• Faça uma conexão SQL com o banco de dados de publicação e aplique as alterações carregadas ao banco de dados de publicação.

• Extraia as alterações baixadas e envie uma resposta HTTPS de volta ao Merge Agent.

O Conciliador de Replicação de Mesclagem conecta-se ao Publicador usando Autenticação do Windows ou Autenticação do SQL Server. O logon do usuário do Windows ou do SQL Server especificado deve estar em conformidade com o seguinte:

• Esteja na lista de acesso à publicação (PAL). Para obter mais informações, consulte Secure the Publisher (Proteger o publicador).

• Associe-se a um usuário no banco de dados de publicações.

Tipo de autenticação	Onde a autenticação é especificada
A Autenticação do Windows será usada se uma das seguintes opções for especificada: Transact-SQL: um valor de 1 para o parâmetro @publisher_security_mode de sp_addmergepullsubscription_agent. RMO: um valor de Integrated para PublisherSecurityMode. Linha de comando do Merge Agent: um valor de 1 para -PublisherSecurityMode.	O Merge Agent faz conexões com o Publicador no contexto do usuário do Windows especificado para a conexão com o IIS (D). Se o Publicador e o IIS estiverem em computadores diferentes e a Autenticação Integrada for usada para a conexão (D), você deverá habilitar a delegação Kerberos no computador que está executando o IIS. Para obter mais informações, consulte a documentação do Windows.
A Autenticação do SQL Server será usada se um dos seguintes itens for especificado: Transact-SQL: um valor de 0 para o parâmetro @publisher_security_mode de sp_addmergepullsubscription_agent. RMO: um valor de StandardPublisherSecurityMode. Linha de comando do Merge Agent: um valor de 0 para -PublisherSecurityMode.	Transact-SQL: os parâmetros @publisher_login e @publisher_password de sp_addmergepullsubscription_agent. RMO: PublisherLogin e PublisherPassword. Linha de comando do Merge Agent: -PublisherLogin e -PublisherPassword.

F. Conexão com o Distribuidor

O Reconciliador de Replicação de Mesclagem hospedado no computador que executa o IIS também faz conexões com o Distribuidor. O Reconciliador de Replicação de Mesclagem conecta-se ao Distribuidor usando a Autenticação do Windows ou a Autenticação do SQL Server. O logon do usuário do Windows ou do SQL Server especificado deve estar em conformidade com o seguinte:

• Esteja no PAL (acesso à publicação). Para obter mais informações, consulte Secure the Publisher (Proteger o publicador).

• Esteja associado a um usuário de banco de dados no banco de dados de distribuição. O usuário pode ser o usuário Guest.

O compartilhamento de instantâneos normalmente está no Distribuidor. Para obter mais informações sobre compartilhamentos de instantâneo, consulte a seção "H. Acesso ao compartilhamento de instantâneos" mais adiante neste tópico.

Tipo de autenticação	Onde a autenticação é especificada
A Autenticação do Windows será usada se uma das seguintes opções for especificada: Transact-SQL: um valor de 1 para o parâmetro @distributor_security_mode de sp_addmergepullsubscription_agent. RMO: um valor de Integrated para DistributorSecurityMode. Linha de comando do Merge Agent: um valor de 1 para -DistributorSecurityMode.	O Merge Agent faz conexões com o Distribuidor no contexto do usuário do Windows especificado para a conexão com o IIS (D). Se o Distribuidor e o IIS estiverem em computadores diferentes e a Autenticação Integrada for usada para a conexão (D), você deverá habilitar a delegação kerberos no computador que está executando o IIS. Para obter mais informações, consulte a documentação do Windows.
A Autenticação do SQL Server será usada se um dos seguintes itens for especificado: Transact-SQL: um valor de 0 para o parâmetro @distributor_security_mode de sp_addmergepullsubscription_agent. RMO: um valor de Standard para DistributorSecurityMode. Linha de comando do Merge Agent: um valor de 0 para -DistributorSecurityMode.	Transact-SQL: os parâmetros @distributor_login e @distributor_password de sp_addmergepullsubscription_agent. RMO: DistributorLogin e DistributorPassword Linha de comando do Merge Agent: -DistributorLogin e -DistributorPassword.

G. Conexão com um servidor FTP

Especifique um usuário do Windows para essa conexão somente se você for baixar arquivos de instantâneo de um servidor FTP, em vez de um local UNC, para o computador que está executando o IIS antes de aplicar o instantâneo ao Assinante. Para obter mais informações, consulte Transferir instantâneos pelo FTP.

Tipo de autenticação	Onde a autenticação é especificada
Autenticação do Windows	Transact-SQL: os parâmetros @ftp_login e @ftp_password de sp_addmergepublication. RMO: FtpLogin e FtpPassword.

H. Acesso ao Compartilhamento de Instantâneos

O compartilhamento de instantâneo é acessado pelo Merge Replication Reconciler hospedado no computador que está executando o IIS.

Tipo de autenticação

Onde a autenticação é especificada

Autenticação do Windows

O Merge Agent acessa o compartilhamento de snapshots no contexto do usuário Windows definido para a conexão com o IIS (D). Se o compartilhamento de instantâneos e o IIS estiverem em computadores diferentes e a Autenticação Integrada for usada para a conexão (D), você deverá habilitar a delegação Kerberos no computador que está executando o IIS. Para obter mais informações, consulte a documentação do Windows.

Eu. Conta do Pool de Aplicativos do IIS

Essa conta é usada para iniciar o processo de W3wp.exe no computador que está executando o IIS para Windows Server 2003 ou o processo de Dllhost.exe no Windows 2000. Esses processos hospedam aplicativos no computador que está executando o IIS, como o Ouvinte de Replicação do SQL Server e o Reconciliador de Replicação de Mesclagem. Essa conta deve ter permissões de leitura e execução nas seguintes DLLs de replicação no computador que está executando o IIS:

• Replisapi

• Replrec

• Replprov

• Msgprox

• Xmlsub

A conta também deve fazer parte do grupo IIS_WPG. Para obter mais informações, consulte a seção "Definindo permissões para o ouvinte de replicação do SQL Server" na configuração do IIS para sincronização da Web.

Tipo de conta	Onde a conta é especificada
Qualquer usuário do Windows que tenha as permissões necessárias.	Gerenciador dos Serviços de Informações da Internet (IIS).

Consulte Também

Configurar a Sincronização da Web
Agente de Mesclagem de Replicação