최소 권한 환경에서 관리 작업 계획(SharePoint Foundation 2010)

 

적용 대상: SharePoint Foundation 2010

마지막으로 수정된 항목: 2016-11-30

이 문서에서는 최소 권한 관리를 사용하여 Microsoft SharePoint Foundation 2010 팜을 구성 및 유지 관리하는 방법에 대해 설명합니다.

개요

최소 권한 관리 개념에서는 사용자가 인증된 작업을 완료하는 데 필요한 최소 권한을 사용자에게 지정합니다. 최소 권한 관리의 목표는 환경의 보안 제어 수준을 구성하고 유지하는 것입니다. 그 결과 각 서비스에는 절대적으로 필요한 리소스에 대해서만 액세스 권한이 부여됩니다. 최소 권한 관리를 구현하면 이 관리 수준을 유지하기 위해 추가 리소스가 필요할 수 있기 때문에 작업 비용이 늘어날 수 있습니다. 또한 보안 문제 해결 능력도 줄어들 수 있습니다.

Security Note
조직은 일반적으로 권장되는 것보다 나은 보안 수준을 얻기 위해 최소 권한 관리를 구현합니다. 최소 권한 관리를 유지하기 위한 리소스 비용으로 인해 이러한 보안 수준이 필요한 조직 비율은 높지 않습니다. 하지만 정부 기관, 보안 조직 및 금융 서비스 산업의 일부 배포에는 이 수준의 보안이 필요할 수 있습니다. 최소 권한 환경의 구현은 모범 사례와 다르므로 혼동하지 않아야 합니다. 최소 권한 환경에서는 관리자가 추가적으로 강화된 보안 수준과 함께 모범 사례를 수행하도록 구현합니다.

계정 및 서비스에 대한 최소 권한 환경

최소 권한 관리를 계획하려면 몇 가지 계정, 역할 및 서비스를 고려해야 합니다. 이중에서 일부는 SQL Server에 적용되고 일부는 SharePoint 2010 제품에 적용됩니다. 관리자가 추가 계정 및 서비스를 잠그면 일상적인 작업 비용이 늘어날 수 있습니다.

Microsoft SQL Server 역할

최소 권한 관리 환경에서는 SharePoint 서비스 계정이 아니지만 SharePoint 관리에 사용되는 계정에서 다음 두 가지 SQL Server 서버 수준 역할을 제거하는 것이 좋습니다.

• dbcreator- dbcreator 고정 서버 역할의 구성원은 모든 데이터베이스를 만들고, 수정, 삭제 및 복원할 수 있습니다.

• securityadmin- securityadmin 고정 서버 역할의 구성원은 로그인 및 자신의 속성을 관리합니다. 이러한 사용자는 서버 수준의 권한에 대해 GRANT, DENY 및 REVOKE를 수행할 수 있습니다. 이러한 사용자는 데이터베이스에 대한 액세스 권한 있는 경우 데이터베이스 수준의 권한에 대해 GRANT, DENY 및 REVOKE를 수행할 수 있습니다. 또한 SQL Server 로그인에 대한 암호를 재설정할 수 있습니다.

  Security Note
  데이터베이스 엔진에 액세스 권한을 부여하고 사용자 권한을 구성하는 기능을 통해 보안 관리자가 대부분의 서버 권한을 지정할 수 있습니다. securityadmin 역할은 sysadmin 역할과 동일하게 취급되어야 합니다.

SQL Server 서버 수준의 역할에 대한 자세한 내용은 서버 수준 역할(https://go.microsoft.com/fwlink/?LinkId=213450&clcid=0x412)을 참조하십시오.

이러한 SQL Server 역할 중 하나 이상을 제거하면 중앙 관리 웹 사이트에 표시되는 "예기치 않은" 오류 메시지가 발생할 수 있습니다. 또한 ULS(통합 로깅 서비스) 로그 파일에 다음 메시지가 표시될 수 있습니다.

System.Data.SqlClient.SqlException?<작업 유형> 권한이 <데이터베이스> 데이터베이스에서 거부되었습니다.  테이블 <table>

표시될 수 있는 오류 메시지와 함께 사용자가 다음과 같은 작업을 수행하지 못할 수 있습니다.

• 데이터베이스 쓰기 오류로 인한 팜 백업 복원

• 서비스 인스턴스 또는 웹 응용 프로그램 프로비전

• 관리되는 계정 구성

• 웹 응용 프로그램에 대한 관리되는 계정 변경

• 중앙 관리 웹 사이트를 사용해야 하는 모든 데이터베이스, 관리되는 계정 또는 서비스 작업

특정 환경에서는 DBA(데이터베이스 관리자)가 SharePoint 관리자와 독립적으로 작업을 수행하고 모든 데이터베이스를 만들고 관리해야 할 수 있습니다. DBA가 모든 데이터베이스를 만들고 관리하는 방법에 대한 자세한 내용은 DBA가 만든 데이터베이스를 사용한 배포(SharePoint Foundation 2010)를 참조하십시오.

SharePoint Foundation 2010 역할 및 서비스

일반적으로 새 데이터베이스를 만드는 기능은 SharePoint 서비스 계정에서 제거해야 합니다. SharePoint 서비스 계정은 Microsoft SQL Server 인스턴스에 대해 sysadmin 역할을 포함해야 하며 SharePoint 이외의 서비스 계정은 Microsoft SQL Server를 실행하는 서버에서 로컬 관리자여야 합니다.

하지만 다른 SharePoint Foundation 2010 서비스 및 계정을 잠글 수 있습니다.

• SharePoint_Shell_Access 역할

  이 Microsoft SQL Server 역할을 제거하면 구성 및 콘텐츠 데이터베이스에 항목을 쓰는 기능이 제거됩니다. 이 역할에 대한 자세한 내용은 Add-SPShellAdmin을 참조하십시오.

• SharePoint Timer 서비스(SPTimerV4)

  이 서비스는 기본적으로 설치되고 구성 캐시 정보를 유지 관리합니다. 서비스 유형이 사용하지 않도록 설정된 경우 다음과 같은 동작이 발생할 수 있습니다.

  • 타이머 작업이 실행되지 않음

  • 상태 분석기 규칙이 실행되지 않음

  • 유지 관리 및 팜 구성이 오래됨

• SharePoint 관리 서비스(SPAdminV4)

  이 서비스는 해당 서버에 대해 로컬 관리자 권한이 필요한 자동화된 변경을 수행합니다. 서비스가 실행 중이 아니면 서버 수준의 관리 변경을 수동으로 처리해야 합니다. 서비스 유형이 사용하지 않도록 설정된 경우 다음과 같은 동작이 발생할 수 있습니다.

  • 관리 타이머 작업이 실행되지 않음

  • 웹 구성 파일이 업데이트되지 않음

  • 보안 및 로컬 그룹이 업데이트되지 않음

  • 레지스트리 값 및 키가 작성되지 않음

  • 서비스를 시작하거나 다시 시작할 수 없음

  • 서비스 프로비전을 완료할 수 없음

• SPUserCodeV4 Service

  이 서비스를 통해 사이트 수집 관리자는 솔루션 갤러리에 샌드박스 솔루션을 업로드할 수 있습니다. 샌드박스 솔루션에 대한 자세한 내용은 샌드박스 솔루션 개요(SharePoint Foundation 2010)를 참조하십시오.

서비스에 대한 자세한 내용은 SharePoint Administration Service가 사용하지 않도록 설정됨을 참조하십시오.

조직의 비즈니스 요구 사항에 따라 SharePoint Foundation 2010 서비스 또는 역할이 구현된 경우 다음 기능에 대한 동작이 발생할 수 있습니다.

• 백업 및 복원

  데이터베이스 권한이 제거된 경우 백업에서 복원을 수행하는 기능이 실패할 수 있습니다.

• 업그레이드

  업그레이드 프로세스는 올바르게 시작되지만 데이터베이스에 대해 적합한 권한이 사용자에게 없으므로 프로세스가 실패합니다. 조직이 이미 최소 권한 환경인 경우 문제를 해결하려면 모범 사례 환경으로 이동하여 업그레이드를 완료하고 최소 권한 환경으로 돌아갑니다.

• 업데이트

  구성 데이터베이스의 스키마에 대해서는 소프트웨어 업데이트를 팜에 적용하는 기능이 성공하지만 콘텐츠 데이터베이스 및 서비스에서는 실패합니다.

고려해야 하는 추가 요구 사항

앞에서 설명한 고려 사항 외에도 추가 작업을 고려해야 할 수 있습니다. 다음 목록은 모든 내용을 포함하지 않습니다. 사용자의 판단에 따라 적합한 항목을 선택적으로 사용하십시오.

• 사용자 관리자 계정 설정- 이 계정은 팜에서 각 서버를 설정하는 데 사용됩니다. 계정은 Microsoft SharePoint Server 2010 팜의 각 서버에서 Administrators 그룹의 구성원이어야 합니다. 이 계정에 대한 자세한 내용은 관리 계정을 참조하십시오.

• 내 사이트 호스트 응용 프로그램 풀 계정- 이 계정은 내 사이트 응용 프로그램 풀이 실행되는 계정입니다. 이 계정을 구성하려면 Farm Administrators 그룹의 구성원이어야 합니다.

• 기본 제공 사용자 그룹- 기본 제공 사용자 보안 그룹을 제거하거나 권한을 변경하면 예기치 않은 결과가 발생할 수 있습니다.

• 그룹 사용 권한-기본적으로 WSS_ADMIN_WPG SharePoint 그룹에는 로컬 리소스에 대한 읽기 및 쓰기 액세스 권한이 있습니다. Microsoft SharePoint Foundation이 올바르게 작동하기 위해서는 WSS_ADMIN_WPG 파일 시스템 위치인 %WINDIR%\System32\drivers\etc\HOSTS 및 %WINDIR%\Tasks가 필요합니다. 다른 서비스 또는 응용 프로그램이 서버에서 실행되는 경우 해당 항목이 작업 또는 HOSTS 폴더 위치에 액세스하는 방식을 고려해야 할 수 있습니다. 계정 설정에 대한 자세한 내용은 계정 권한 및 보안 설정(SharePoint Server 2010)을 참조하십시오.

• 서비스 권한 변경- 서비스 권한을 변경하면 예기치 않은 결과가 발생할 수 있습니다. 예를 들어 레지스트리 키 HKLM\System\CurrentControlSet\Services\PerfProc\Performance\Disable Performance Counters의 값이 0인 경우 User Code Host 서비스가 해제되어 샌드박스 솔루션의 작동이 중지될 수 있습니다. 작동하지 않는 사용자 코드 서비스에 대한 자세한 내용은 SharePoint 2010 사용자 코드 호스트 서비스가 시작하지 않음(영문일 수 있음)(https://go.microsoft.com/fwlink/?LinkId=225642&clcid=0x412)(영문일 수 있음)을 참조하십시오.