Sécurisation des solutions Office

Article
03/04/2013

Le modèle de sécurité des solutions Office implique plusieurs technologies : Visual Studio Tools pour Office Runtime, ClickOnce, le Centre de gestion de la confidentialité de Microsoft Office, et la zone sites sensibles d'Internet Explorer. Les sections suivantes décrivent les différentes fonctionnalités de sécurité s'exécutent :

Octroi de niveaux de confiance à des solutions Office
Octroi de niveaux de confiance à des documents
Octroi de niveaux de confiance lors de l'utilisation de Windows Installer
Considérations spécifiques sur la sécurité pour les solutions Office
Sécurité pendant le développement
Visual Studio Tools pour Office Runtime

S'applique à : Les informations contenues dans cette rubrique s'appliquent aux projets de niveau document et de niveau application pour Office 2013 et Office 2010. Pour en savoir plus, consultez Fonctionnalités disponibles par type d'application et de projet Office.

Octroi de niveaux de confiance à des solutions Office

L'octroi de niveaux de confiance à des solutions Office signifie modifier la stratégie de sécurité de chaque utilisateur final pour approuver la solution Office d'après les preuves suivantes :

Le certificat utilisé pour signer le manifeste de déploiement.
L'URL du manifeste de déploiement.

Pour plus d'informations, consultez Octroi de niveaux de confiance à des solutions Office.

Octroi de niveaux de confiance à des documents

Pour une personnalisation au niveau du document, le document doit se trouver dans un répertoire désigné comme un emplacement approuvé.Pour plus d'informations, consultez Octroi de niveaux de confiance à des documents.

Octroi de niveaux de confiance lors de l'utilisation de Windows Installer

Vous pouvez utiliser Windows Installer pour créer un fichier MSI afin d'installer des solutions Office dans le répertoire Program Files, ce qui requiert des droits d'administrateur.Pour les solutions Office dans le répertoire program files, Visual Studio 2010 tools pour Office Runtime considère les solutions Office pour approuver et n'affiche pas l'invite d'approbation ClickOnce.

Considérations spécifiques sur la sécurité pour les solutions Office

Les fonctionnalités de sécurité fournies par .NET Framework 4, .NET Framework 4.5, et Microsoft Office peuvent aider à protéger contre divers menaces possibles dans les solutions Office.Pour plus d'informations, consultez Considérations spécifiques sur la sécurité pour les solutions Office.

Sécurité pendant le développement

Pour faciliter votre processus de développement, Visual Studio définit la stratégie de sécurité requise pour exécuter et déboguer votre solution sur votre ordinateur à chaque fois que vous générez un projet.Dans certains cas, le développement du projet pourra nécessiter des étapes de sécurité supplémentaires.

Solutions au niveau du document

Vous devez ajouter le chemin qualifié complet d'un document à la liste des emplacements approuvés de l'application Microsoft Office si vous développez les types de projets suivants :

Solutions au niveau du document qui se trouvent sur un partage de fichiers réseau tel que \\NomServeur\NomPartage.
Solutions au niveau du document pour Word qui utilisent des fichiers .doc ou .docm.

Incluez les sous-répertoires lorsque vous ajoutez l'emplacement du document à la liste des emplacements approuvés ou incluez spécifiquement les dossiers de débogage et de génération.Pour plus d'informations, consultez l'article Créer, supprimer ou modifier un emplacement approuvé pour vos fichiers (éventuellement en anglais) de l'aide en ligne de Microsoft Office.

Certificats temporaires

Visual Studio crée un certificat temporaire si un certificat de signature n'existe pas déjà.Vous devez utiliser ce certificat temporaire uniquement pendant le développement et acheter un certificat officiel pour le déploiement.

Le certificat temporaire est généré après la génération initiale d'un projet Office.Lorsque vous appuyez une nouvelle fois sur F5, le projet est régénéré car il est marqué comme modifié lors de l'ajout du certificat.

Il est conseillé de supprimer les certificats temporaires de temps à autre car leur nombre peut augmenter fortement.

Visual Studio Tools pour Office Runtime

Le Visual Studio Tools pour Office Runtime dispose de fonctionnalités permettant de vérifier l'identité de l'éditeur et les autorisations accordées à une personnalisation.Il vérifie ces autorisations via une série de vérifications de sécurité.

Sécurité pendant le chargement de la personnalisation

Lors du chargement d'une personnalisation au niveau du document, le Visual Studio Tools pour Office Runtime vérifie toujours si le document figure dans la liste des emplacements approuvés.De plus, le runtime vérifie si la solution FullTrust demande dans le manifeste de l'application. Il n'effectue aucune vérification de la sécurité supplémentaire pendant que la personnalisation charge.

Série de vérifications de sécurité pendant l'installation

Lorsqu'une solution Office est installée ou mise à jour, le Visual Studio Tools pour Office Runtime effectue un ensemble de vérifications de sécurité suivant un ordre spécifique pour prendre une décision d'approbation.Une solution est installée ou mise à jour uniquement si le runtime détermine qu'elle est approuvée.

Vous pouvez démarrer le processus d'installation de quatre manières : en exécutant le programme d'installation, en ouvrant le manifeste de déploiement, en ouvrant l'hôte d'application Microsoft Office ou en exécutant VSTOInstaller.exe.

La première vérification de la sécurité s'applique uniquement aux solutions au niveau du document.Le document de ce type de solution doit se trouver à un emplacement approuvé.S'il se trouve sur un partage de fichiers réseau distant ou possède une extension .doc ou .docm, son emplacement doit être ajouté à la liste des emplacements approuvés.Pour plus d'informations, consultez Octroi de niveaux de confiance à des documents.

Vérifications de sécurité Microsoft Office

Sécurité VSTO - installation à partir de Microsoft Office

L'ensemble de vérifications de sécurité suivant est effectué par le Visual Studio Tools pour Office Runtime et ClickOnce.Pour satisfaire à ces vérifications, les solutions Office doivent nécessiter des autorisations FullTrust, être signées avec un certificat qui ne figure pas dans la liste des éditeurs non approuvées et se trouver à un emplacement qui n'est pas dans la zone limitée d'Internet Explorer.Si le certificat ne figure pas dans la liste des éditeurs non approuvés, la solution est installée immédiatement.Sinon, si elle a satisfait à toutes ces vérifications, le dernier ensemble de vérifications est appliqué.

Vérifications de sécurité du runtime et de ClickOnce

Sécurité VSTO pour l'installation de solutions

Si l'invite de confiance ClickOnce est autorisée et que la solution n'a pas encore été approuvée, le runtime autorisera l'utilisateur final à prendre la décision d'approbation.Si l'utilisateur approuve la solution, une entrée est ajoutée à sa liste d'inclusion.Toutes les solutions qui figurent dans la liste d'inclusion de l'utilisateur disposent d'un niveau de confiance totale et peuvent être installées et exécutées.

À partir de Visual Studio 2010, la liste d'inclusion est ignorée si la solution Office est installée à l'aide de Windows Installer (MSI) dans le dossier Program Files.Pour plus d'informations, consultez Octroi de niveaux de confiance à des solutions Office à l'aide de listes d'inclusion.

Vérifications de la liste d'inclusion du runtime

Sécurité VSTO - utilisation du programme d'installation

Voir aussi

Partager via