Concetti relativi alla sicurezza in Team Foundation Server

Articolo
09/12/2008

Aggiornamento: novembre 2007

Per assicurare la sicurezza di Team Foundation Server, è necessario comprendere il funzionamento di Team Foundation Server e la modalità con cui comunica con altri componenti di Team Foundation. Un amministratoreTeam Foundation Server deve conoscere l'autenticazione di Windows, i protocolli e il traffico di rete e la struttura della rete aziendale in cui è installato Team Foundation Server. L'amministratore deve inoltre conoscere i gruppi e le autorizzazioni di Team Foundation Server.

Informazioni sulla sicurezza di Team Foundation Server

I concetti di sicurezza di Team Foundation Server possono essere suddivisi in tre categorie generali: topologia, autenticazione e autorizzazione. La topologia comprende i concetti relativi alla posizione e alla modalità di distribuzione dei server Team Foundation, al traffico di rete tra i client Team Foundation Server e Team Foundation e ai servizi che vengono eseguiti in Team Foundation Server. L'autenticazione riguarda la determinazione della validità di utenti, gruppi e servizi di Team Foundation Server e se tali utenti, gruppi e servizi dispongono delle autorizzazioni appropriate per l'esecuzione di azioni. Allo scopo di ottimizzare la sicurezza di Team Foundation Server all'interno della rete è inoltre necessario essere consapevoli delle dipendenze di Team Foundation Server da altri componenti e servizi.

Quando si considera la sicurezza di Team Foundation Server, è necessario conoscere la differenza tra autenticazione e autorizzazione. Per Autenticazione si intende la verifica delle credenziali di un tentativo di connessione da parte di un client, server o processo. Autorizzazione è la verifica che l'identità che sta tentando di connettersi dispone delle autorizzazioni per accedere all'oggetto o al metodo. L'autorizzazione si verifica sempre dopo la riuscita dell'autenticazione. Se una connessione non viene autenticata, viene negata prima della verifica dell'autorizzazione. Se l'autenticazione di una connessione riesce, è ancora possibile negare l'esecuzione di una determinata azione se l'utente o il gruppo non dispone dell'autorizzazione necessaria.

Topologie, porte e servizi di Team Foundation Server

Per la sicurezza e la distribuzione di Team Foundation Server è innanzitutto necessario determinare se i componenti di Team Foundation possono connettersi tra loro al fine di comunicare. Lo scopo è di consentire le connessioni tra i client Team Foundation e Team Foundation Server e limitare o impedire altri tentativi di connessione.

Il funzionamento di Team Foundation Server dipende da determinate porte e servizi. Tali porte possono però essere sicure e monitorate in base alle esigenze di sicurezza aziendali. A seconda del tipo di distribuzione di Team Foundation, è necessario consentire al traffico di rete di Team Foundation Server di passare tra i client Team Foundation, i server che includono i componenti logici dei livelli applicazione e dati di Team Foundation, i computer di compilazione Team Foundation Build e i client Team Foundation remoti mediante Team Foundation Server Proxy. Per impostazione predefinita, Team Foundation Server è configurato per utilizzare HTTP per i servizi Web. Per un elenco completo delle porte e dei servizi di Team Foundation Server e informazioni sul loro utilizzo nell'architettura Team Foundation Server, vedere Architettura di sicurezza di Team Foundation Server e Team Foundation Server, HTTPS e Secure Sockets Layer (SSL).

È possibile distribuire Team Foundation Server in un dominio Active Directory o in un gruppo di lavoro. Active Directory offre più funzionalità di sicurezza predefinite, che è possibile utilizzare per proteggere la distribuzione di Team Foundation Server. È possibile, ad esempio, configurare Active Directory in modo che non siano consentiti nomi di computer duplicati, al fine di impedire lo spoofing del nome del computer da parte di utenti malintenzionati che utilizzano un server Team Foundation Server non autorizzato. Per proteggersi dallo stesso tipo di minaccia in un gruppo di lavoro, è necessario configurare certificati per il computer. Per ulteriori informazioni su Team Foundation Server in un dominio Active Directory, vedere Gestione di Team Foundation Server in un dominio Active Directory. Per ulteriori informazioni su Team Foundation Server in un gruppo di lavoro, vedere Gestione di Team Foundation Server in un gruppo di lavoro.

Indipendentemente dal fatto che avvenga nell'ambito di un gruppo di lavoro o di un dominio, la distribuzione di Team Foundation Server presenta alcune limitazioni di topologia. Per ulteriori informazioni sulle topologie di Team Foundation Server, vedere Topologie di Team Foundation Server, Informazioni su prodotti e tecnologie SharePoint e Informazioni su SQL Server e SQL Server Reporting Services.

Team Foundation Server supporta completamente l'utilizzo del protocollo di sicurezza Kerberos. È possibile configurare Team Foundation Serverper supportare Kerberos per l'autenticazione reciproca del client e del server, dopo avere installato Team Foundation Server.

Autenticazione

La sicurezza di Team Foundation Server è integrata e basata sull'autenticazione integrata di Windows e sulle funzionalità di sicurezza del sistema operativo Windows. L'autenticazione integrata di Windows viene utilizzata per autenticare account per le connessioni tra client di Team Foundation e Team Foundation Server, per servizi Web nei server di livello applicazione e dati di Team Foundation Server e per le connessioni tra i server di livello applicazione e i server di livello dati di Team Foundation.

È consigliabile non configurare tutte le connessioni di database SQL tra Team Foundation Server e Windows SharePoint Services al fine di utilizzare l'autenticazione di SQL Server, L'Autenticazione di SQL Server è meno sicura perché al momento della connessione al database il nome utente e la password dell'account dell'amministrazione del database vengono inviati da server a server in formato non crittografato. L'autenticazione integrata di Windows non invia il nome utente e la password. Trasferisce invece le informazioni sull'identità dell'account del servizio associate al pool di applicazioni di Internet Information Services (IIS) host a SQL Server utilizzando i protocolli di sicurezza dell'autenticazione integrata di Windows.

Autorizzazione di Team Foundation Server

L'autorizzazione di Team Foundation Server si basa sugli utenti e i gruppi di Team Foundation, sulle autorizzazioni assegnate direttamente a tali utenti e gruppi e sulle autorizzazioni che questi possono ereditare dall'appartenenza ad altri gruppi di Team Foundation Server. Gli utenti e i gruppi di Team Foundation possono essere utenti e gruppi locali, di Active Directory o entrambi.

Team Foundation Server è preconfigurato con gruppi predefiniti a livello di server e di progetto. Benché sia possibile compilare questi gruppi utilizzando singoli utenti, per semplificare la gestione può essere opportuno compilare questi gruppi utilizzando i gruppi di sicurezza di Active Directory. In questo modo, è possibile gestire più facilmente l'appartenenza e le autorizzazioni dei gruppi in più computer.

Una distribuzione specifica potrebbe richiedere la configurazione di utenti, gruppi e autorizzazioni in più computer e all'interno di più applicazioni. Se, ad esempio, si desidera includere nella distribuzione report e portali di progetto, è necessario configurare autorizzazioni per utenti e gruppi in SQL Reporting Services, Windows SharePoint Services e Team Foundation Server. In Team Foundation Server le autorizzazioni possono essere impostate per progetto e per tutto il server. Alcune autorizzazioni, inoltre, vengono concesse per impostazione predefinita a qualsiasi utente o gruppo aggiunto a Team Foundation Server, poiché tale utente o gruppo viene aggiunto automaticamente a Valid Users di Team Foundation. Per ulteriori informazioni sulla modalità di configurazione delle autorizzazioni, vedere Gestione delle autorizzazioni. Per ulteriori informazioni su utenti, gruppi e ruoli di Team Foundation Server, vedere Gestione di utenti e gruppi.

Oltre a configurare le autorizzazioni per l'autorizzazione in Team Foundation Server, potrebbe essere necessario definire autorizzazioni per il controllo del codice sorgente e gli elementi di lavoro. Tali autorizzazioni sono gestite separatamente dalla riga di comando, ma sono integrate come parte dell'interfaccia di Team Explorer. Per ulteriori informazioni sulle autorizzazioni di controllo del codice sorgente, vedere Controllo della versione di Team Foundation. Per ulteriori informazioni sulla personalizzazione degli elementi di lavoro, vedere Utilizzo di elementi di lavoro di Team Foundation.

Dipendenze di Team Foundation Server

Oltre ai propri servizi, Team Foundation Server richiede alcuni servizi applicativi di Windows e di altri produttori sui server di livello applicazione e di livello dati. Nella seguente tabella sono riportati in dettaglio i servizi richiesti sui server che includono il livello applicazione Team Foundation logico.

Nome del servizio	Descrizione
Verifica compatibilità applicazioni	Questo servizio è parte di un'infrastruttura per l'applicazione di correzioni che consentono di eseguire le applicazioni con i più recenti sistemi operativi e service pack di Windows. Per garantire una corretta applicazione delle correzioni, questo servizio deve essere in esecuzione.
Distributed Transaction Coordinator	Questo servizio coordina le transazioni di aggiornamento di due o più risorse protette mediante transazioni, quali database, code di messaggi e file system, che possono trovarsi su un singolo computer o essere distribuite tra più computer in rete.
Client DNS	Questo servizio viene utilizzato per risolvere i nomi di dominio DNS.
Log eventi	Questo servizio registra gli eventi del sistema operativo scrivendoli in uno dei tre log predefiniti accessibili mediante Visualizzatore eventi (Security, Application e System).
Servizio di amministrazione IIS	Questo servizio gestisce la metabase di IIS.
Accesso rete	Questo servizio verifica le richieste di accesso e controlla la replica a livello di dominio del database degli account utente.
Connessioni di rete	Questo servizio, noto anche come NetMan, gestisce tutte le connessioni di rete create e configurate in Connessioni di rete nel Pannello di controllo ed è responsabile della visualizzazione dello stato della rete nell'area di notifica del desktop.
NLA (Network Location Awareness)	Questo servizio raccoglie e archivia le informazioni di configurazione di rete, quali le modifiche a nomi e percorsi degli indirizzi IP e ai nomi di dominio.
RPC (Remote Procedure Call, chiamata di procedura remota)	Questo servizio è un meccanismo sicuro di comunicazione tra processi (IPC) che consente lo scambio di dati e la chiamata di funzionalità che risiedono in processi diversi. Il processo diverso può trovarsi sullo stesso computer, sulla rete locale (LAN) o in Internet. Il servizio RPC svolge il ruolo di utilità di mapping degli endpoint RPC (EPM) e di gestore di controllo del servizio (SCM, Service Control Manager).
Report Server (MSSSQLSERVER)	Questo servizio gestisce le richieste SOAP (Simple Object Access Protocol) e URL, elabora report, fornisce la gestione di snapshot e della cache dei report e supporta e impone i criteri di sicurezza e l'autorizzazione.
Gestione account di sicurezza (SAM)	Questo servizio gestisce le informazioni degli account utente, compresi i gruppi di appartenenza.
Strumentazione gestione Windows	Questo servizio avvia e arresta Common Information Model Object Manager (CIMOM).
Ora di Windows	Questo servizio, noto anche come W32Time, sincronizza data e ora in tutti i computer in esecuzione in una rete Windows Server 2003.
Pubblicazione sul Web	Questo servizio è un gestore di configurazione e processo in modalità utente che gestisce i componenti di IIS che elaborano le richieste HTTP ed eseguono le applicazioni Web e periodicamente controlla le applicazioni Web per determinare eventuali arresti imprevisti.

Nella seguente tabella sono riportati in dettaglio i servizi richiesti sui server che includono il livello dati Team Foundation logico.

Nome del servizio	Descrizione
Verifica compatibilità applicazioni	Questo servizio è parte di un'infrastruttura per l'applicazione di correzioni che consentono di eseguire le applicazioni con i più recenti sistemi operativi e service pack di Windows. Per garantire una corretta applicazione delle correzioni, questo servizio deve essere in esecuzione.
Distributed Transaction Coordinator	Questo servizio coordina le transazioni di aggiornamento di due o più risorse protette mediante transazioni, quali database, code di messaggi e file system, che possono trovarsi su un singolo computer o essere distribuite tra più computer in rete.
Client DNS	Questo servizio viene utilizzato per risolvere i nomi di dominio DNS.
Log eventi	Questo servizio registra gli eventi del sistema operativo scrivendoli in uno dei tre log predefiniti accessibili mediante Visualizzatore eventi (Security, Application e System).
Accesso rete	Questo servizio verifica le richieste di accesso e controlla la replica a livello di dominio del database degli account utente.
Connessioni di rete	Questo servizio, noto anche come NetMan, gestisce tutte le connessioni di rete create e configurate in Connessioni di rete nel Pannello di controllo ed è responsabile della visualizzazione dello stato della rete nell'area di notifica del desktop.
NLA (Network Location Awareness)	Questo servizio raccoglie e archivia le informazioni di configurazione di rete, quali le modifiche a nomi e percorsi degli indirizzi IP e ai nomi di dominio.
RPC (Remote Procedure Call, chiamata di procedura remota)	Questo servizio è un meccanismo sicuro di comunicazione tra processi (IPC) che consente lo scambio di dati e la chiamata di funzionalità che risiedono in processi diversi. Il processo diverso può trovarsi sullo stesso computer, sulla rete locale (LAN) o in Internet. Il servizio RPC svolge il ruolo di utilità di mapping degli endpoint RPC (EPM) e di gestore di controllo del servizio (SCM, Service Control Manager).
Gestione account di sicurezza (SAM)	Questo servizio gestisce le informazioni degli account utente, compresi i gruppi di appartenenza.
SQL Analysis Server (MSSQLSERVER)	Questo servizio crea e gestisce cubi OLAP e modelli di data mining.
SQL Server FullText Search (MSSQLSERVER)	Questo servizio crea indici full-text sul contenuto e attiva la ricerca full-text negli elementi di lavoro.
Strumentazione gestione Windows	Questo servizio avvia e arresta Common Information Model Object Manager (CIMOM).
Ora di Windows	Questo servizio, noto anche come W32Time, sincronizza data e ora in tutti i computer in esecuzione in una rete Windows Server 2003.