Configurar conexões SSL em um servidor de relatórios de modo nativo

Artigo
06/25/2013

O modo Nativo do Reporting Services usa o serviço HTTP SSL para estabelecer conexões criptografadas com um servidor de relatório. Se você tiver um arquivo de certificado (.cer) instalado em um repositório de certificados local no computador do servidor de relatório, poderá vinculá-lo a uma reserva de URL do Reporting Services para dar suporte a conexões do servidor de relatório através de um canal criptografado.

Dica
Se você estiver usando o modo do SharePoint do Reporting Services, consulte a documentação do SharePoint para obter mais informações. Por exemplo Como habilitar o SSL em um aplicativo Web do SharePoint 2010 (https://blogs.msdn.com/b/sowmyancs/archive/2010/02/12/how-to-enable-ssl-on-a-sharepoint-web-application.aspx).

Como o IIS (Serviço de Informações da Internet) também usa HTTP SSL, existem problemas de interoperabilidade consideráveis que você deve considerar se executa o IIS e o Reporting Services no mesmo computador. Leia a seção Problemas de interoperabilidade com IIS para obter orientação sobre como lidar com esses problemas.

Requisitos de certificado de servidor

Deve haver um certificado de servidor instalado no computador (não há suporte para certificados de cliente). O Reporting Services não fornece funcionalidade de solicitação, geração, download ou instalação de um certificado. O Windows Server 2003 fornece um snap-in de Certificados que pode ser usado para solicitar um certificado de uma autoridade de certificação confiável.

Para fins de teste, você pode gerar um certificado localmente. Se você usar o utilitário MakeCert e o comando de exemplo como modelo, especifique o nome do seu servidor como o host e remova todas as quebras de linha antes de executar o comando. Caso execute o comando em uma janela do DOS, poderá ser necessário aumentar o tamanho do buffer da janela para acomodar o comando inteiro.

Se você estiver executando o IIS e o Reporting Services em conjunto no mesmo computador, poderá usar o aplicativo de console Gerenciador do IIS para obter o certificado instalado em seu computador. O Gerenciador do IIS inclui opções para criar e empacotar um arquivo de solicitação de certificado (.crt) para processamento subsequente por uma autoridade de certificação confiável. A autoridade de certificação que você está usando irá gerar um arquivo de certificado (.cer) e o enviará de volta para você. Você pode usar o Console de Gerenciamento do IIS para instalar o arquivo de certificado no repositório local. Para obter mais informações, consulte o tópico sobre como usar SSL para criptografar dados confidenciais no Technet.

Problemas de interoperabilidade com o IIS

A presença do IIS no mesmo computador que o Reporting Services afetará significativamente as conexões SSL com um servidor de relatório:

Se o IIS estiver instalado, o serviço World Wide Web (W3SVC) sempre deverá estar em execução. O serviço HTTP SSL criará uma dependência do IIS caso detecte que ele está em execução. Isso significa que o serviço W3SVC deverá estar em execução sempre que o IIS e o Reporting Services estiverem instalados no mesmo computador e que você deve configurar URLs de servidor de relatório para conexões SSL.
A desinstalação do IIS pode interromper o serviço temporariamente em uma URL de servidor de relatório associada por SSL. Por esse motivo, é estritamente recomendável que você reinicie o computador após a desinstalação do IIS.

A reinicialização do computador é necessária para apagar todas as sessões SSL do cache. Alguns sistemas operacionais armazenam as sessões SSL em cache por até 10 horas, fazendo com que uma URL https:// continue a funcionar mesmo depois que a associação SSL tenha sido removida da reserva de URL em HTTP.SYS. A reinicialização do computador fecha todas as conexões abertas que usam o canal.

Associar o SSL a uma reserva de URL do Reporting Services

As etapas a seguir não incluem instruções sobre como solicitar, gerar, baixar ou instalar um certificado. Você deve ter um certificado instalado e disponível para uso. As propriedades do certificado especificadas, a autoridade de certificação da qual ele é obtido e as ferramentas e os utilitários que você usa para instalar o certificado são os de sua preferência.

Você pode usar a ferramenta Configuração do Reporting Services para associar o certificado. Se o certificado estiver instalado corretamente no repositório do computador local, a ferramenta Configuração do Reporting Services o detectará e exibirá na lista Certificados SSL das páginas URL do Serviço da Web e URL do Gerenciador de Relatórios.

Para configurar a URL de um servidor de relatório para SSL

Inicie a ferramenta Configuração do Reporting Services e conecte-se ao servidor de relatório.
Clique em URL do Serviço Web.
Expanda a lista de certificados SSL. O Reporting Services detecta certificados de autenticação de servidor no repositório local. Se você instalou um certificado mas ele não aparece na lista, talvez seja necessário reiniciar o serviço. Para reiniciar o serviço, use os botões Parar e Iniciar da página Status do Servidor de Relatório na ferramenta Configuração do Reporting Services.
Selecione o certificado.
Clique em Aplicar.
Clique na URL para verificar se está funcionando.

A configuração de banco de dados do servidor de relatório é um requisito para testar a URL. Se você ainda não criou o banco de dados do servidor de relatório, faça-o antes de testar a URL.

As reservas de URL para o Gerenciador de Relatórios e o serviço Web Servidor de Relatórios são configuradas de maneira independente. Se você também quiser configurar o acesso ao Gerenciador de Relatórios por meio de um canal criptografado por SSL, continue com as próximas etapas:

Clique em URL do Gerenciador de Relatórios.
Clique em Avançado.
Em Multiplicar Identidades SSL para o Gerenciador de Relatórios, clique em Adicionar.
Selecione o certificado, clique em OK e, depois, em Aplicar.
Clique na URL para verificar se está funcionando.

Como são armazenadas as associações de certificado

As associações de certificado serão armazenadas em HTTP.SYS. Uma representação das associações definidas também será armazenada na seção URLReservations do arquivo RSReportServer.config. As configurações no arquivo de configuração são apenas uma representação dos valores reais especificados em outros lugares. Não modifique os valores diretamente no arquivo de configuração. Os parâmetros de configuração só serão exibidos no arquivo depois que você usar a ferramenta Configuração do Reporting Services ou o provedor WMI do Servidor de Relatório para associar um certificado.

Observação
Se você configurar uma associação com um certificado SSL no Reporting Services e depois quiser remover o certificado do computador, não se esqueça de remover a associação do Reporting Services, antes de remover o certificado do computador. Caso contrário, você não poderá remover a associação usando a ferramenta Configuração do Reporting Services ou WMI, e receberá um erro de "Parâmetro inválido". Caso você já tenha removido o certificado do computador, use a ferramenta Httpcfg.exe para remover a associação de HTTP.SYS. Para obter mais informações sobre Httpcfg.exe, consulte a documentação de produto do Windows.

Se você configurar uma associação com um certificado SSL no Reporting Services e depois quiser remover o certificado do computador, não se esqueça de remover a associação do Reporting Services, antes de remover o certificado do computador. Caso contrário, você não poderá remover a associação usando a ferramenta Configuração do Reporting Services ou WMI, e receberá um erro de "Parâmetro inválido". Caso você já tenha removido o certificado do computador, use a ferramenta Httpcfg.exe para remover a associação de HTTP.SYS. Para obter mais informações sobre Httpcfg.exe, consulte a documentação de produto do Windows.

As associações SSL são um recurso compartilhado no Microsoft Windows. As alterações feitas pelo Gerenciador de Configurações do Reporting Services ou outras ferramentas como o Gerenciador do IIS podem afetar outros aplicativos no mesmo computador. É uma prática recomendada usar a mesma ferramenta para editar associações que você usou para criar as associações. Por exemplo se você criou associações de SSL usando o Gerenciador de Configurações, então é recomendado que você use o Gerenciador de Configurações para gerenciar o ciclo de vida das associações. Se você usar o Gerenciador do IIS para criar associações, é recomendado usar o Gerenciador do IIS para gerenciar o ciclo de vida das associações. Se o IIS estiver instalado no computador antes de o Reporting Services ser instalado, será uma prática recomendada revisar a configuração do SSL no IIS antes de configurar o Reporting Services.

Se você remover as associações do SSL para o Reporting Services usando o Gerenciador de Configurações do Reporting Services, o SSL poderá não mais funcionar para sites em um servidor que está executando o IIS (Serviços de Informações da Internet) ou em outro servidor de HTTP.SYS. O Gerenciador de Configurações do Reporting Services remove a chave do Registro a seguir. Quando esta chave do Registro é removida, a associação do SSL para o IIS também é removida. Sem esta associação, o SSL não é fornecido para o protocolo HTTP. Para diagnosticar este problema, use o Gerenciador do IIS ou o utilitário da linha de comando HTTPCFG.exe. Para resolver o problema, restaure a associação SSL para seus sites usando o Gerenciador do IIS. Para impedir este problema no futuro, use o Gerenciador do IIS para remover as associações SSL e em seguida use o Gerenciador do IIS para restaurar a associação para os sites desejados. Para obter mais informações, consulte o artigo da base de conhecimento O SSL não funciona mais depois de remover uma associação SSL (https://support.microsoft.com/kb/956209/n).