规划内部团队或部门环境的安全性 (Windows SharePoint Services)

本文内容：

内部团队或部门的安全指南重点在于为较大组织内的团队或部门推荐实用的安全配置和设置。本指南假定组织内的主要 IT 团队未承载服务器。

虽然本环境指南要求具备一些 IT 知识，但服务器场管理员却不必是专门的 IT 专家。如果实现设置需要更多的专用角色，则会说明这些角色。

保护设计清单的安全

查看下列清单以确保您的规划满足安全服务器拓扑结构设计标准。

拓扑结构

[ ]

对于只具有内部访问权限的团队或部门部署，可以在一台服务器或两台服务器上安装 Windows SharePoint Services 3.0。

[ ]

在双服务器或更多服务器的部署中，如果可能的话，应在不同于前端 Web 服务器的其他服务器上承载管理中心网站。只有当应用程序服务器角色与前端 Web 服务器角色承载于不同服务器上时，才能够实现此操作。

例如，如果服务器 A 承载前端 Web 服务器角色，服务器 B 承载数据库和应用程序服务器角色，则管理中心网站最安全的位置在服务器 B 上。但是，如果服务器 A 承载前端 Web 服务器和应用程序服务器角色，服务器 B 只承载数据库角色，则只能选择在服务器 A 上承载管理中心网站。

逻辑体系结构

[ ]

每个 Web 应用程序中至少要有一个区域使用 NTLM 身份验证。这是搜索帐户在 Web 应用程序中对内容进行爬网的必要条件。搜索帐户无法使用 Kerberos 身份验证对内容进行爬网。

[ ]

部署自定义 Web 部件时，确保在承载敏感内容或安全内容的 Web 应用程序中只部署可信赖的 Web 部件。这样将保护敏感内容免遭域内脚本攻击。

内部团队或部门环境指南假定只允许对服务器、网站和内容进行内部访问，并且整体网络环境受 IT 部门制定的策略所保护。因此，针对特定角色进行服务器安全强化的程度不必与针对其他环境进行服务器安全强化的程度相同。但是，有些功能需要可能还未进行配置的特定服务或其他设置。

下表描述了为内部团队或部门推荐的安全强化设置。

功能	设置
电子邮件集成	如果启用电子邮件集成，则在一台前端 Web 服务器上需要 SMTP 服务。

下表描述用于保护 Windows SharePoint Services 3.0 功能的其他建议。这些建议适用于内部团队或部门环境。

功能或区域	建议
身份验证	根据现有的标识管理系统进行身份验证。如果这不是 Active Directory 目录服务，请使用 ASP.NET 表单身份验证来连接到您的标识管理系统。使用表单身份验证可能需要以下角色提供帮助：开发验证提供程序的 ASP.NET 开发人员。所连接到的标识管理系统的管理员。
管理中心网站	限制只有适当的用户才能访问管理中心网站。如果要启用管理中心网站以进行远程管理，请使用安全套接字层 (SSL) 保护此管理中心网站。运行部署操作的管理员必须是承载管理中心网站的服务器上本地 Administrators 组的成员。
Windows SharePoint Services 管理服务	在单一服务器部署中，Windows SharePoint Services 管理服务默认情况下处于禁用状态，原因如下：此服务用于运行从管理中心网站启动的部署任务，单一服务器部署通常不需要此服务。但是，通过使用 Stsadm.exe 命令行工具可以运行部署任务，这不需要使用此服务。用于管理中心网站的帐户被所有其他进程共享。因此，禁用此服务可使配置更安全。为确保单一服务器部署的安全，建议：在运行安装程序之后更改服务器场帐户。启动 Windows SharePoint Services 管理服务。如果执行这些操作，则可以直接从管理中心网站执行与部署有关的任务。

身份验证

根据现有的标识管理系统进行身份验证。如果这不是 Active Directory 目录服务，请使用 ASP.NET 表单身份验证来连接到您的标识管理系统。使用表单身份验证可能需要以下角色提供帮助：

管理中心网站

Windows SharePoint Services 管理服务

在单一服务器部署中，Windows SharePoint Services 管理服务默认情况下处于禁用状态，原因如下：

此服务用于运行从管理中心网站启动的部署任务，单一服务器部署通常不需要此服务。但是，通过使用 Stsadm.exe 命令行工具可以运行部署任务，这不需要使用此服务。
用于管理中心网站的帐户被所有其他进程共享。因此，禁用此服务可使配置更安全。

为确保单一服务器部署的安全，建议：

如果执行这些操作，则可以直接从管理中心网站执行与部署有关的任务。

本主题包含在以下可下载书籍内，以方便您阅读和打印：