모니터링 서버 응용 프로그램 풀 계정

업데이트: 2009-04-30

모니터링 서버의 응용 프로그램 프로세스는 응용 프로그램 풀 ID 구성에서 지정되는 계정으로 실행됩니다.

기본 제공되는 로컬 시스템, 로컬 서비스 및 네트워크 서비스 계정 이외에도 로컬 또는 네트워크 계정을 지정할 수 있습니다. 이러한 계정에는 응용 프로그램 데이터베이스 및 필요한 데이터 원본에 대한 액세스 권한이 필요합니다. "사용자별 인증을 통해 연결"하도록, 즉 개별 최종 사용자의 자격 증명을 인증에 사용하도록 서버를 구성하는 경우 응용 프로그램 풀 계정에는 응용 프로그램 데이터베이스에 대한 액세스 권한만 있으면 됩니다. 그러나 모든 사용자는 어떤 데이터 원본이든 액세스 권한을 부여받아야 합니다.

가능한 한 낮은 권한 수준의 도메인 계정을 사용하여 모니터링 서버를 실행해야 합니다. ID에는 응용 프로그램에 필요한 리소스 이외에 다른 리소스에 대한 액세스 권한을 부여해서는 안 됩니다.

모니터링 서버의 응용 프로그램 풀 ID는 모니터링 서버 구성 관리자에서 지정되는 계정으로 실행됩니다. SharePoint 사이트를 실행하는 데 사용하는 응용 프로그램 풀 ID는 동일한 계정으로 설정해야 합니다. 그러나 모니터링 서버 구성 관리자는 현재 설정이 무엇이든 변경하지 않으며 원하는 경우에는 사용자가 직접 이 설정을 변경해야 합니다. 응용 프로그램 풀 ID로는 도메인 계정을 사용하는 것이 좋습니다. 도메인 계정은 모니터링 서버가 설치되어 있는 컴퓨터의 IIS_WPG 그룹에만 할당되어야 합니다.

모니터링 서버 구성 관리자에서는 도메인 계정을 지정할 수 있습니다(권장 배포). 또한 모니터링 서버 구성 관리자에서는 기본 제공 계정도 지정할 수 있습니다. 모니터링 서버 구성 관리자는 응용 프로그램 데이터베이스에 저장되는 메타데이터에 대해 선택한 계정 액세스 권한을 자동으로 할당합니다. 기본적으로는 사용하려는 각 데이터 원본에 대한 권한을 직접 이 계정에 할당해야 합니다.

데이터 원본 인증

모니터링 서버의 데이터 원본을 사용하려면 데이터 액세스를 위해 모니터링 서버를 인증해야 하는 경우가 많습니다. 기본적으로 모니터링 서버에서는 항상 응용 프로그램 풀 ID를 사용하여 모든 데이터 원본에 연결합니다. 단, 관리자에게 액세스 자격 증명이 포함된 연결 문자열을 지정하는 것이 허용된 데이터 원본은 예외입니다. 대시보드 디자이너의 경우 SQL Server 2005 Alanysis Services 데이터 원본을 만드는 데 사용하는 마법사를 통해 Analysis Services에 대한 연결의 보안을 유지할 역할 집합을 지정할 수 있습니다.

단일 사용자로 데이터 원본에 인증하는 경우 조직의 비즈니스 데이터에 대한 액세스를 충분하게 제어하지 못할 수도 있습니다. 액세스를 보다 효율적으로 제어할 수 있도록 모니터링 서버에서는 두 가지 옵션을 사용할 수 있습니다.

첫 번째 옵션은 Analysis Services 연결 문자열에 CustomData 필드를 사용하는 것입니다. 모니터링 서버에서는 연결 문자열의 CustomData로 서버에 인증하는 계정의 도메인 이름과 사용자 이름을 지정할 수 있습니다. 그러면 모니터링 서버에서 제공하는 사용자 이름이 포함된 문자열을 기준으로 하여 액세스를 제한하도록 Analysis Services를 구성할 수 있습니다.

두 번째 옵션은 Web.config 파일에서 Bpm.ServerConnectionPerUser 속성을 사용하도록 설정하여 모니터링 서버의 Kerberos 위임 지원을 사용하도록 설정하는 것입니다. 위임을 사용하면 현재 인증된 사용자의 가장 토큰이 등록된 모든 데이터 원본에 제공됩니다. Kerberos 위임을 사용하는 경우에는 각 사용자에게 데이터 원본에 대한 액세스 권한이 필요합니다. 이 사용자별 데이터 원본 액세스 권한은 모니터링 서버 및 사용자가 연결할 서비스에 대해 모두 등록해야 합니다. 이 방법을 사용하는 경우 등록된 각 데이터 원본에 대해 사용 가능한 응용 프로그램 보안 모델을 사용할 수 있다는 장점이 있습니다.

분석 보고서 및 데이터 원본 보안

Analysis Services 보고서에 대한 탐색 기능이 지원되기 때문에 사용자는 정적 보고서에 포함된 내용을 넘어서 업무에 대해 보다 폭넓게 이해할 수 있습니다. 또한 편집자 역할 및 독자 역할을 가진 구성원에 대한 보고서 수준 보안을 통해 사용자는 특정 사용자 집합과 관련 데이터를 공유할 수 있습니다. 분석 보고서에 대해 편집자 역할 또는 독자 역할 권한이 있어도 사용자가 해당 뷰에서 허용되는 것 이상의 데이터를 보는 것을 막지는 못합니다. 이러한 경우 큐브 데이터에 대한 액세스를 제한하는 방법은 데이터 원본에 대한 보안을 사용하는 것뿐입니다. Analysis Services OLAP 큐브를 참조하는 데이터 원본에 대한 액세스 권한을 얻은 사용자는 Analysis Services에서 액세스 권한이 제한되는 경우가 아니면 해당 큐브의 모든 데이터를 볼 수 있습니다. 기본적으로 모니터링 서버는 모든 데이터 원본에 대해 단일 사용자로 연결합니다.

데이터 원본 연결 문자열

모니터링 서버에서는 사용자에게 지원되는 대부분의 데이터 원본 유형에 대해 자체적인 연결 문자열을 지정할 수 있는 기능을 제공합니다. 연결 문자열의 일부분으로 자격 증명 집합을 지정하려는 경우에는 이러한 자격 증명이 암호화되지 않으며 데이터 원본에 대한 액세스 권한이 있는 모든 사용자의 작업 영역에 직접 저장된다는 점을 기억해야 합니다.

주의:
연결 문자열의 일부분으로 자격 증명을 제공하지 않는 것이 좋습니다.

SharePoint Products and Technologies 배포

모니터링 서버의 응용 프로그램 풀 ID 계정은 모니터링 서버 웹 사이트와 일치하는 것이 좋습니다. 이렇게 하면 기본 구성을 사용하는 경우 보고서 및 성과 기록표가 같은 사용자 컨텍스트에서 실행됩니다. Bpm.ServerConnectionPerUser 속성을 사용하려는 경우에도 Kerberos 구성을 간단하게 유지하는 것이 좋습니다. SharePoint Products and Technologies 배포를 실행하는 프로세스는 모니터링 서버의 메타데이터 리포지토리에 대한 액세스 권한을 가지게 됩니다. 그러므로 배포에서는 콘텐츠를 게시할 수 있는 사용자를 제한해야 합니다. 이러한 사용자는 모니터링 서버 데이터에 액세스할 수 있기 때문입니다.

IIS 구성

응용 프로그램 풀 ID 및 Web.config 파일의 구성 외에도 모든 관련 웹 사이트에 대해 SSL을 사용하도록 설정하여 모니터링 서버에 대한 보안을 보다 확실하게 적용해야 합니다. Windows 통합 인증 이외의 다른 인증 또는 기본 포트 이외의 포트는 사용하지 않는 것이 좋습니다. 즉, Windows 통합 인증 및 기본 포트를 사용하는 것이 좋습니다.