Compartilhar via

Segurança para federação (Search Server 2008)

  • Artigo

Atualizado em: 2008-10-09

Este artigo explica as práticas recomendadas de segurança para o recurso de Federação do Servidor de Pesquisa da Microsoft 2008. As recomendações destinam-se a profissionais de tecnologia da informação, arquitetos de sistema e administradores de serviços de pesquisa.

Visão Geral da Federação de Pesquisa

A pesquisa federada permite que os usuários finais emitam uma consulta que pode consultar um ou mais mecanismos de pesquisa compatíveis com o Open-search 1.1, exibindo resultados de cada mecanismo de pesquisa em uma Web Part separada em uma única página de resultados de pesquisa. Essas fontes podem ser de repositórios de conteúdo corporativo, outros mecanismos de pesquisa ou partes do índice de conteúdo. Para obter mais informações sobre a Federação de Pesquisa, consulte Visão Geral sobre Pesquisa Federada (em inglês) (https://go.microsoft.com/fwlink/?linkid=122651&clcid=0x416) (em inglês) e Trabalhando com federação (Search Server 2008).

Tipos de autenticação

Há vários tipos de autenticação de usuários, credenciais comuns e por usuário, disponíveis para a Pesquisa Federada. No entanto, coletar credenciais exige uma extensão de Web Part para tipos de autenticação diferentes do Kerberos na autenticação por usuário. Na seção de informações sobre credenciais e autenticação nas definições locais, você deve especificar o tipo de autenticação para o local federado. O tipo de autenticação pode ser:

  • Anônima

    Não são necessárias credenciais para conectar ao local federado.

  • Comum

    Cada conexão usa o mesmo conjunto de credenciais para se conectar ao local federado.

  • Por usuário

    As credenciais do usuário que enviou a consulta de pesquisa são usadas para conectar ao local federado.

Para os tipos de autenticação comum e por usuário, você também deve especificar um dos seguintes protocolos de autenticação:

  • Básica

    A autenticação básica faz parte da especificação do HTTP e possui suporte na maioria dos navegadores.

    Observação de segurançaSegurançaObservação:

    Os navegadores da Web que usam a autenticação Básica transmitem senhas de uma forma descriptografada. Ao monitorar as comunicações na sua rede, um usuário mal-intencionado pode usar publicamente as ferramentas disponíveis para interceptar e decodificar essas senhas. Assim, a autenticação Básica não é recomendada a menos que você tenha certeza que a conexão é segura, como em uma linha dedicada ou conexão SSL.

  • Digest

    A autenticação Digest depende do protocolo HTTP 1.1 como definido na especificação RFC 2617 no site World Wide Web Consortium (W3C). Como a autenticação Digest precisa da conformidade com o HTTP 1.1, alguns navegadores não oferecem suporte à mesma. Se um navegador que não possua conformidade com o HTTP 1.1 solicitar um arquivo quando a autenticação Digest estiver habilitada, a solicitação será rejeitada porque não há suporte para a autenticação Digest no cliente. A autenticação Digest só pode ser usada em domínios do Windows. A autenticação Digest funciona com contas de domínio do Microsoft Windows Server 2008, Microsoft Windows Server 2003 e Microsoft Windows 2000 Server somente e pode requerer que as contas armazenem senhas como texto sem formatação criptografado.

  • NTLM

    Os registros do usuário são armazenados no banco de dados do SAM (gerente de contas de segurança) ou no banco de dados do Active Directory. Cada conta de usuário é associada a duas senhas: a senha compatível com o LAN Manager e a senha do Windows. Cada senha é criptografada e armazenada no banco de dados do SAM ou do Active Directory.

  • Kerberos (somente no tipo de autenticação por usuário)

    Ao usar o protocolo Kerberos, um parceiro em uma das pontas de uma conexão de rede pode verificar se o parceiro na outra ponta é a entidade que diz ser. Embora o NTLM permita que os servidores verifiquem as identidades de seus clientes, esse recurso não permite que os clientes verifiquem a identidade de um servidor, nem permite que um servidor verifique a identidade de outro. A autenticação NTLM foi projetada para um ambiente de rede no qual se suponha que os servidores sejam confiáveis.

  • Formulários

    Um cookie de autenticação de formulários não é nada além do contêiner do tíquete de autenticação de formulários. Cada solicitação passa o tíquete como o valor do cookie de autenticação de formulários e é usado pela autenticação de formulários, no servidor, para identificar um usuário autenticado. Entretanto, a autenticação de formulários sem cookies passa o tíquete na URL em um formato criptografado. A autenticação de formulários sem cookies é usada porque os navegadores cliente podem bloquear cookies. Esse recurso é introduzido no Microsoft .NET Framework 2.0.

Filtragem de segurança na Pesquisa Federada

Uma consideração importante a ser avaliada ao usar a Pesquisa federada é a filtragem de segurança dos resultados da pesquisa. A filtragem de segurança é um método pelo qual os resultados retornados são filtrados com base em permissões de conta do usuário. Por padrão, a filtragem de segurança dos resultados de pesquisa persiste para os resultados retornados pelo seguinte:

  • Farm local

    Nos cenários em que o local federado seja um local OpenSearch e esteja configurado para autenticação por usuário, as credenciais de um usuário são passadas automaticamente se a autenticação Kerberos estiver sendo usada. Entretanto, as credenciais do usuário não são passadas automaticamente para protocolos de autenticação diferentes de Kerberos. Para garantir que haja filtragem de segurança nos resultados para o usuário atual nesses cenários, estenda a Web Part Resultados federados para coletar credenciais de usuário. Para obter mais informações, consulte o tópico sobre a criação de uma Web Part de Pesquisa federada personalizada com uma interface do usuário de credenciais (em inglês) (https://go.microsoft.com/fwlink/?linkid=122653&clcid=0x416) (em inglês).

  • Se a autenticação Kerberos não for usada, você também precisa estender a Web Part Pesquisa federada para coletar credenciais do usuário se desejar garantir que haja filtragem de segurança nos resultados da pesquisa para locais OpenSearch (todos os locais diferentes do farm local) em cada usuário.

Para obter mais informações sobre a segurança do Search Server 2008, consulte Segurança e proteção para o Search Server 2008 e Considerações de segurança para pesquisa (Search Server 2008).