规划外部匿名访问环境的安全性 (Windows SharePoint Services)

本文内容：

设计外部匿名访问环境的安全指南的目的是当通过直接用户访问或通过前端 Web 服务器的恶意操作来保护场中的后端服务器时，允许对内容进行匿名访问。在可能部署多个场以支持创作、分段和发布的环境中，此环境的指南所针对的是已发布的场（用户匿名访问的场）。

对于外部匿名访问环境，有几个唯一的建议。其中的一些建议可能不适用于所有解决方案。

保护后端服务器

匿名使用的宿主网站需要面向 Internet 的服务器。可以通过保护后端服务器（包括应用程序服务器（搜索）和承载数据库的服务器）限制通过 Internet 曝光的通信：

保护数据库服务器至少在前端 Web 服务器和承载数据库的服务器之间放置一个防火墙。某些环境指示数据库服务器应承载在内部网络中，而不是直接位于 Extranet 环境中。
保护索引角色索引组件通过前端 Web 服务器进行通信以便对网站中的内容进行爬网。若要保护此通信通道，请考虑配置供一台或多台索引服务器使用的专用前端 Web 服务器。这样就可以将爬网通信隔离到用户无法访问的前端 Web 服务器。此外，配置 Internet Information Services (IIS) 以限制 SiteData.asmx（爬网程序 SOAP 服务）仅允许索引服务器（或其他爬网程序）对其进行访问。提供内容爬网专用的前端 Web 服务器也会提高性能，方式是通过减少主前端 Web 服务器的负载，从而改善用户体验。

对于可匿名访问的内容，必须配置：

仅对要求未经身份验证的访问的 Web 应用程序启用匿名访问。如果要将身份验证用于个性化设置，请通过使用简单的数据库身份验证提供程序来实现表单身份验证。

由于外部用户具有对网络区域的访问权，因此保护管理中心网站以阻止外部访问和保护内部访问非常重要：

不要为传入电子邮件使用电子邮件集成。这将使环境不会受到与从 Internet 上的匿名源发送的电子邮件关联的风险。如果允许传入电子邮件，请将管理中心网站配置为启用匿名电子邮件。虽然此选项可用，但不是很安全。

拓扑结构

[ ]	通过在前端 Web 服务器和应用程序服务器以及数据库服务器之间至少放置一个防火墙来保护后端服务器。
[ ]	规划专用的前端 Web 服务器以便用于内容爬网。不要在最终用户的前端 Web 轮作中包含该前端 Web 服务器。

逻辑体系结构

[ ]

仅对承载配置为允许匿名访问的网站或网站集的 Web 应用程序区域启用匿名访问。

[ ]

使用 SSL 来保护内容部署。

[ ]

阻止对管理中心网站的访问并为网站配置 SSL。

下表描述有关外部匿名访问环境的其他强化建议。

组件	建议
端口	阻止对管理中心网站的端口的外部访问。
协议	禁用 SMTP。
IIS	如果正在配置专用的前端 Web 服务器以便建立索引，请配置 IIS 以限制 SiteData.asmx（爬网程序 SOAP 服务）仅允许索引服务器（或其他爬网程序）对其进行访问。

对此环境，不建议使用任何其他指导策略。

本主题包含在以下可下载书籍内，以方便您阅读和打印：