Protegendo a administração

Realize tarefas administrativas do Microsoft AppFabric 1.1 para Windows Server, usando os recursos das ferramentas do AppFabric encontrados no Gerenciador do IIS do AppFabric. Praticamente a maior parte das funcionalidades do Gerenciador do IIS é encontrada nos cmdlets padrão entregues com o AppFabric. O conjunto de ferramentas do AppFabric é bastante avançado. Crie uma instalação funcional do AppFabric, selecionando uma caixa, clicando com o mouse ou executando cmdlets. No entanto, uma instalação do AppFabric poderá ficar rapidamente inutilizável se um usuário sem autorização obter acesso a uma parte ou a todo o sistema do AppFabric e a seus componentes de suporte. Esse tópico está focado em como proteger as funcionalidades administrativas do AppFabric.

Privilégios administrativos do AppFabric

Ao utilizar qualquer ferramenta do AppFabric, a partir de um ponto de vista administrativo, você sempre operará sob seu próprio contexto de segurança. Isso facilita a administração do AppFabric e das suas tecnologias de suporte, como Windows Server, IIS e SQL Server. Para administrar o AppFabric, você precisa ser um membro dos Administradores de Servidor de Aplicativo conceituais (grupo de segurança AS_Administrators do Windows) ou dos Operadores de Servidor de Aplicativo conceituais (grupo de segurança AS_Observers do Windows).

Para a administração remota do AppFabric, o AS_Administrators e o AS_Observers possuem privilégios administrativos correspondentes. O AppFabric pode ser instalado em um servidor ao qual os usuários podem se conectar remotamente, utilizando o modo de segurança do IIS com o Gerenciador do IIS. Como um administrador, para permitir que os usuário consultem os armazenamentos de monitoramento e persistência, você precisa adicionar a conta do Gerenciador do IIS (normalmente a conta interna do Serviço de Rede) para o AS_Administrators e o AS_Observers em um servidor remoto. Selecione o grupo de segurança com base nas permissões que você deseja que os usuários remotos tenham. Quando os usuários são autenticados no IIS somente para as ferramentas administrativas, eles executam como membros do grupo AS_Administrators ou AS_Observers com as restrições e permissões adequadas. Essa é uma regra de segurança do Windows e não pode ser alterada. Para administrar o AppFabric remotamente, utilizando o Gerenciador do IIS, você precisa ser um administrador de domínio. Para tarefas administrativas remotas, acesse os recursos como você mesmo. Não há representação ou proxy que forneça a você uma identidade remota alternativa.

Um administrador do AppFabric pode utilizar a opção Delegação de Recurso do IIS para delegar diversas permissões de segurança para todos os sites em um computador. Por exemplo, você pode definir permissões de somente leitura, para a navegação de diretórios, ou desabilitar o registro em log. A opção Delegação de Recurso é exibida na seção Gerenciamento da Exibição de Recursos no nível do computador.

O IIS também permite o bloqueio e o desbloqueio granular de determinadas configurações em níveis de escopo diferentes, utilizando o bloqueio de configurações. Realize o bloqueio de configurações, editando diretamente os elementos XML nos arquivos de configuração. Uma configuração bloqueada só pode ser desbloqueada no nível em que foi bloqueada e não pode ser modificada em níveis mais baixos. Você pode usar essa opção quando desejar usar a mesma configuração para sites diferentes e quando precisar substituir algumas propriedades selecionadas. Realize o gerenciamento de bloqueios no nível da seção ou em atributos individuais, elementos, diretivas e elementos de coleção. Não há suporte direto para as ferramentas desse recurso. Assim, você precisa editar manualmente o arquivo de configuração no nível adequado do escopo primário onde deseja que as alterações sejam propagadas para as pastas filho.

Para tarefas administrativas típicas que envolvem instalação, configuração e tarefas de execução para o AppFabric, atribua os usuários para o grupo LOCALHOST\Administrators. Isso permite que os membros editem as configurações de servidor, site e aplicativo para implantar ou cancelar a implantação de aplicativos e para executar programas de suporte, como Gerenciador do IIS, MSDeploy ou SvcConfigEditor.

Segurança Observação
Lembre-se de que, se você conceder permissões a uma conta de serviço para consultar os armazenamentos de monitoramento e persistência, você estará concedendo as mesmas permissões a todos os aplicativos que são executados nessa conta.

Administração remota

Ao administrar o AppFabric localmente, a execução será na conta em que você está conectado. Para administrar o AppFabricremotamente, o Serviço de Gerenciamento do IIS permitirá que os administradores locais e de domínio utilizem o Gerenciador do IIS para gerenciar remotamente um servidor Web. Somente um administrador local pode configurar o Serviço de Gerenciamento do IIS para habilitar as conexões remotas. Após essa etapa, você pode utilizar qualquer um dos modos a seguir para gerenciar a segurança ao acessar um computador do AppFabric remoto:

• Somente credenciais do Windows. Nesse modo, o Serviço de Gerenciamento da Web do IIS é executado em suas credenciais. Isso significa que você pode realizar todas as ações que poderia realizar se estivesse conectado localmente ao computador remoto. Por exemplo, se você possuir permissões para modificar o arquivo Web.config de um aplicativo localmente, também poderá modificar esse aplicativo remotamente. O acesso aos recursos do AppFabric é protegido pela sua associação aos grupos AS_Observers e AS_Administrators.

• Credenciais do Windows ou Segurança de Autenticação do Gerenciador do IIS. Nesse modo, você faz logon e realiza a execução como LOCALSERVICE no computador remoto. Neste caso, talvez você veja mais informações diferentes com o Gerenciador do IIS do que se estivesse usando as credenciais do Windows somente. Como o LOCALSERVICE possui permissões para administrar todos os aplicativos do computador (modificar arquivos Web.config, consultar e modificar dados de persistência e monitoramento) por padrão, as permissões efetivas na conexão são determinadas por meio do escopo ao qual você está conectado. Por exemplo, se as suas credenciais permitirem que você se conecte a um aplicativo específico, o AppFabric garantirá que você acesse as informações somente sobre aquele aplicativo, sem permitir que você veja dados confidenciais de persistência.

Você utilizará os seguintes grupos conceituais e seus grupos correspondentes de segurança do Windows para administrar o AppFabric localmente e remotamente:

• Administradores de Servidor de Aplicativos. Os membros do grupo conceitual Administradores de Servidor de Aplicativo (permissões de acesso total) são mapeados para o grupo de segurança AS_Administrators do Windows. Os membros do grupo AS_Administrators podem suspender, retomar, concluir ou excluir instâncias persistentes, criar e remover origens e coletores do evento e exibir, limpar e arquivar dados de monitoramento. A instalação do AppFabric cria o grupo AS_Administrators no momento da instalação e adiciona a conta AUTORIDADE NT\SERVIÇO LOCAL a esse grupo. SERVIÇO LOCAL é a conta na qual o Serviço de Coleta de Eventos e o Serviço de Gerenciamento de Fluxo de Trabalho operam. Você pode adicionar membros manualmente ao grupo AS_Administrators para que eles tenham acesso total para administrar o AppFabric.

• Observadores do Servidor de Aplicativos. Os membros do grupo conceitual Observadores de Servidor de Aplicativo (permissões de acesso parcial) são mapeados para o grupo de segurança AS_Observers do Windows. Os membros do grupo AS_Observers possuem visibilidade parcial dos dados de persistência e monitoramento do aplicativo e podem enumerar aplicativos e serviços, exibir configurações de serviço e aplicativo, exibir dados de monitoramento e examinar instâncias persistentes. A instalação do AppFabric cria o grupo AS_Observers no momento da instalação, mas não insere nenhuma conta a esse grupo. Você pode adicionar membros manualmente ao grupo AS_Observers para que eles tenham acesso parcial para administrar o AppFabric.

Para obter mais informações sobre a proteção de configuração, delegação e administração remota por meio do IIS, consulte Securing Configuration (https://go.microsoft.com/fwlink/?LinkId=183022) e Configuring Remote Administration and Feature Delegation in IIS 7.0 (https://go.microsoft.com/fwlink/?LinkId=184265).

  2012-03-05