Настройка проверки подлинности на основе форм (Office SharePoint Server)

Статья
06/12/2012

Содержание:

О проверке подлинности на основе форм
Настройка проверки подлинности на основе форм в нескольких зонах
Настройка проверки подлинности на основе форм для приложений личных сайтов
Настройка поставщика общих служб для проверки подлинности на основе форм
Настройка профилей пользователей и поиска людей

Проверка подлинности Microsoft Office SharePoint Server 2007 выполняется посредством механизма, который поддерживается одним из доступных поставщиков системы проверки подлинности. Поставщики — это модули, которые содержат код, необходимый для проверки подлинности учетных данных запросившего. Проверка подлинности для Office SharePoint Server 2007 строится на модели проверки подлинности ASP.NET и включает три поставщика системы проверки подлинности:

Поставщик проверки подлинности Windows
Поставщик проверки подлинности на основе форм
Поставщик проверки подлинности с единым входом

Кроме того, ASP.NET поддерживает работу с подключаемыми поставщиками проверки подлинности, то есть может записать поставщика с поддержкой любого необходимого хранилища учетных данных.

О проверке подлинности на основе форм

Поставщик проверки подлинности на основе форм поддерживает проверку учетных данных с учетными данными, сохраненными в службе Active Directory, базе данных (например, SQL Server) или хранилище с использованием протокола LDAP (например, Novell eDirectory, Novell Directory Services (NDS) или Sun ONE). Проверка подлинности на основе форм позволяет проверять учетные данные, введенные в форму входа в систему. Запросы, не прошедшие проверку подлинности, перенаправляются на страницу входа, где пользователю необходимо указать допустимые учетные данные и отправить форму. Если проверка подлинности проходит успешно, система создает cookie-файл с ключом для восстановления удостоверения при последующих запросах.

Поставщик проверки подлинности на основе форм поддерживает сравнение с учетными данными, хранящимися в одном из следующих мест:

Служба каталогов Active Directory
База данных
Хранилище данных LDAP

Чтобы включить проверку подлинности на основе форм для веб-сайта Office SharePoint Server 2007 и добавить пользователей в базу учетных данных, выполните следующие процедуры.

Создание нового сайта

На домашней странице центра администрирования SharePoint и щелкните Управление приложениями.
В разделе Управление веб-приложениями SharePoint страницы "Управление приложениями" щелкните Создание или расширение веб-приложения .
На странице "Создание или расширение веб-приложения" щелкните Создать новое веб-приложение.
На странице "Создание нового веб-приложения" в разделеНастройка безопасности, убедитесь, что выбран параметр NTLM в поле Поставщик проверки подлинности. Кроме того, выберите Да в поле Разрешить анонимный доступ.
Используйте записи по умолчанию для завершения процесса создания веб-приложения и щелкните ОК.

На этот момент создан новый заполнитель сайта. Используйте следующую процедуру для создания семейства сайтов.

Чтобы создать семейство сайтов, выполните следующие действия.

На верхней панели ссылок выберите Управление приложениями.
На странице "Управление приложениями" в разделе Управление сайтами SharePoint щелкните Создание семейства веб-сайтов.
На странице "Создание семейства сайтов" в разделе Веб-приложение убедитесь, что выбрано веб-приложение, в котором следует создать семейство сайтов.

Если нет, щелкните пункт Изменить веб-приложения в меню Веб-приложение. Затем на странице "Выбор веб-приложения" щелкните веб-приложение, в котором следует создать семейство сайтов.
В разделе Заголовок и описание введите заголовок и описание семейства сайтов.
В разделе Адрес веб-узла в полеURL-адрес выберите путь для URL-адреса.

Примечание

Если путь содержит подстановочные знаки, необходимо также ввести имя сайта, которое будет использовано в URL-адресе сайта. Доступные пути для URL-адреса берутся из списка управляемых путей, которые могут включать подстановочные знаки.
В разделе Выбор шаблона в списке Выберите шаблон выберите шаблон, который следует использовать для сайта верхнего уровня в семействе сайтов.
В разделе Главный администратор семейства веб-сайтов введите имя пользователя (в формате домен\имя пользователя), который будет администратором семейства сайтов.
Чтобы указать пользователя как дополнительного владельца нового веб-сайта верхнего уровня (рекомендуется), в разделе Дополнительный администратор семейства веб-сайтов введите имя пользователя для этого администратора.
При применении квот для ограничения использования ресурсов для семейств сайтов в разделе Шаблон квот выберите шаблон из списка Выберите шаблон квот.
Нажмите кнопку ОК .

Теперь семейство сайтов создано. Используйте следующую процедуру для настройки поставщика проверки подлинности на основе форм.

Настройка поставщика проверки подлинности на основе форм

На домашней странице центра администрирования SharePoint и щелкните Управление приложениями.
На странице "Управление приложениями" в разделе Управление веб-приложениями SharePoint щелкните Список веб-приложений.
На странице "Список веб-приложений" дважды щелкните новое веб-приложение, созданное на предыдущем этапе.
На странице "Управление приложениями" в разделе Безопасность приложений щелкните Поставщики проверки подлинности .
На странице "Поставщики проверки подлинности" щелкните имя зоны для поставщика проверки подлинности, параметры которого следует настроить.
На странице "Изменение параметров проверки подлинности" в разделе Тип проверки подлинности выберите На основе форм.

Чтобы разрешить анонимный доступ к семейству сайтов в разделе Анонимный доступ установите флажок Разрешить анонимный доступ для всех сайтов веб-приложения. Для отключения анонимного доступа снимите флажок Разрешить анонимный доступ.

Примечание

Разрешив анонимный доступ здесь, можно его запретить на уровне семейства сайтов или сайта. Однако если анонимный доступ отключен на этом уровне, он отключается на всех уровнях внутри веб-приложения.
В разделе Имя поставщика контроля членства в поле Имя поставщика контроля членства введите имя используемого поставщика.

Примечание

Если веб-приложение должно поддерживать проверку подлинности на основе форм, необходимо правильно настроить этого поставщика в файле Web.config для веб-приложения IIS, где находится контент SharePoint каждого веб-сервера. Кроме того, поставщика контроля членства необходимо добавить в файл Web.config веб-приложения IIS, где размещается центр администрирования.
В разделе Интеграция клиента в разделе Включить интеграцию клиента убедитесь, что выбран параметр Нет, и нажмите Сохранить.
- При выборе параметра Да подключаются возможности запуска клиентских приложений по типу документа. С некоторыми типами проверки подлинности на основе форм эта возможность работает некорректно.
- Если выбрать Нет, эти возможности запуска клиентских приложений отключаются. Пользователям придется скачивать документы, а после из изменения опять передавать на сервер.
  
  Если Microsoft Office SharePoint Server 2007 с пакетом обновления 2 (SP2) не установлен, то при использовании проверке подлинности на основе форм интеграция клиента отключена по умолчанию. Это вызвано тем, что интеграция клиента не имеет встроенной поддержки проверки подлинности на основе форм в версиях, предшествующих Office SharePoint Server 2007 с пакетом обновления 2 (SP2). Если интеграция отключена, ссылки на клиентские приложения не видны, и документы невозможно открыть в клиентских приложениях. Это можно сделать только из веб-браузера. Однако пользователи могут загружать документы, локально редактировать их в клиентском приложении и снова передавать на сайт.
  
  Если установлен Office SharePoint Server 2007 с пакетом обновления 2 (SP2), то интеграция клиента поддерживается во всех случаях, за исключением интеграции Outlook. Все остальные виды интеграции поддерживаются, включая среду создания SharePoint Designer.

Когда пользователь вводит учетные данные, система создает cookie-файл, идентифицирующий пользователя. При последующих запросах система сначала проверяет этот файл и определяет, проверялась ли подлинность этого пользователя. Если да, то повторно вводить учетные данные не придется.

Если пользователь не поставил флажок в поле Запомнить меня? на странице входа в систему, учетные данные не попадают в кэш клиентского компьютера и действуют только в течение одного сеанса. Это особенно важно в ситуациях, когда пользователи подключаются с общедоступных компьютеров, где данные кэшировать не следует. Закрыв браузер, завершив сеанс или перейдя на другой веб-сайт, пользователям придется еще раз ввести свои данные. Кроме того, можно настроить максимальное время простоя во время сеанса, чтобы пользователю пришлось повторно вводить свои данные по истечении указанного времени.

Настройка проверки подлинности на основе форм в нескольких зонах

Реализация проверки подлинности на основе форм может повлиять на функциональные возможности поиска. Чтобы включить для поиска в защищенном содержимом настраиваемый механизм проверки подлинности, необходимо для зоны по умолчанию добавить поддержку проверки подлинности NTLM. Функция обхода Office SharePoint Server 2007 опрашивает зоны в следующем порядке:

Зона по умолчанию
Зона интрасети
Зона Интернет
Пользовательская зона
Зона экстрасети

Примечание

Если используется проверка подлинности на основе форм, и средство обхода поиска Office SharePoint Server 2007 опрашивает зоны, поддерживающие проверку подлинности Kerberos, поиск Office SharePoint Server 2007 завершится ошибкой. Если используется проверка подлинности на основе форм, и средство обхода поиска Office SharePoint Server 2007 опрашивает зоны, поддерживающие базовую проверку или проверку подлинности с использованием учетных данных, необходимо настроить правило обхода и указать учетные данные или сертификаты в параметрах службы поиска поставщика общих служб. Если правило обхода не настроено, средство обхода опросит все зоны, пока не будет найдена зона с поддержкой NTLM. В этом случае, обход завершится успешно. Если средство обхода обнаружит зоны с поддержкой Kerberos или краткой проверки подлинности, его работа завершится ошибкой и опрос будет остановлен.

Office SharePoint Server 2007 не позволяет веб-приложению использовать одно и то же имя поставщика в разных зонах. В файле Web.config можно настроить один и тот же поставщик для всех зон, однако в каждой зоне поставщик должен иметь уникальное имя.

Дополнительные сведения о механизмах проверки подлинности и примеры настройки проверки подлинности на основе форм с несколькими поставщиками см. в разделе Планирование проверки подлинности (Office SharePoint Server).

Настройка проверки подлинности на основе форм для веб-приложений личных сайтов

Для планирования реализации проверки подлинности на основе форм в развертывании Office SharePoint Server 2007 необходимо определить настройку взаимодействия проверки подлинности на основе форм с веб-приложениями личных сайтов. Чтобы предоставить пользователям, прошедшим проверку подлинности на основе форм, возможность выполнять поиск людей и создавать веб-приложения личных сайтов в ферме Office SharePoint Server 2007, выполните следующие процедуры.

Создайте веб-приложение с проверкой подлинности NTLM, настроенное для зоны по умолчанию. Дополнительные сведения о создании веб-приложений см. в разделе Создание или расширение веб-приложений.
Создайте поставщика общих служб. Дополнительные сведения о создании поставщика общих служб см. в разделе Обзор раздела: создание и настройка поставщиков общих служб.

Теперь все веб-приложения будут расширены до зоны по умолчанию, а механизм проверки подлинности настроен как NTLM.
Чтобы средство обхода имело доступ к контенту, настройте расширенное веб-приложение контента для проверки подлинности на основе форм, выбрав веб-приложение из списка в центре администрирования, как показано на следующем рисунке.
Перейдите по ссылке "Создание или расширение веб-приложения" и выберите параметр для расширения веб-приложения. Введите сведения, такие как выбор номера порта для размещения нового веб-приложения в службе IIS и выбор зоны, в которой будет размещаться это расширенное веб-приложение.

На следующем рисунке показано исходное веб-приложение, которое всегда создается в зоне по умолчанию, и расширенное веб-приложение, созданное в зоне специальных сайтов.

Каждая зона определяет логическое разделение ограничений доступа к одному и тому же контенту.

Примечание

Число зон невозможно увеличить.
Настройте имя поставщика контроля членства расширенного веб-приложения для проверки подлинности на основе форм, как показано на следующем рисунке.

После расширения веб-приложения контента на другую зону можно настроить поставщиков системы проверки подлинности и включить различные механизмы проверки подлинности с использованием разных URL-адресов. Теперь добавьте раздел поставщика в файл Web.config расширенного веб-приложения.

Примечание

Добавление раздела поставщика в файл Web.config для зоны по умолчанию не влияет на знание приложения Office SharePoint Server 2007 о поставщике для новой зоны. Практически, обе зоны изолированы друг от друга в отношении веб-сайтов IIS, даже если они имеют тот же пул приложений.
Измените поставщика системы проверки подлинности, перейдя по ссылке на страницу "Поставщики проверки подлинности". На этой странице отображены все зоны, на которые расширено веб-приложение. Выберите соответствующую зону и настройте поставщика системы проверки подлинности. В предыдущем примере поставщик настроен как PeopleDCLDAPMemberShipProvider для зоны специальных сайтов.
Добавьте первого пользователя с правами администратора на доступ ко всем семействам сайтов в веб-приложении. В данном примере, действия выполняются с тем же контентом и одинаковыми семействами сайтов в расширенных зонах (по умолчанию и зоне специальных сайтов), даже если URL-адреса отличаются. При первом создании веб-приложения удостоверению пула приложений предоставляются разрешения на полное чтение в веб-приложении для всех зон. Для зоны по умолчанию доступом управляет главный администратор семейства сайтов, указанный во время создания коллекции сайтов в корне веб-приложения. Для расширенной зоны необходимо добавить отдельного пользователя с правами полного доступа в веб-приложении, чтобы разрешить первый вход в семейство сайтов и для выполнения административных задач. Чтобы добавить пользователя, на странице "Политика для веб-приложения" выберите Добавление пользователей и затем — зону. Запустите "Выбор людей" и проверьте имя пользователя.

Примечание

Пользователь будет добавлен как *поставщик*:*имя_пользователя*, так как средство "Выбор людей" проверяет пользователя с помощью поставщика, сконфигурированного в файле Web.config для расширенного веб-приложения. Office SharePoint Server 2007 пропускает настраиваемого поставщика, если в раскрывающемся списке Зона выбран параметр Все зоны. Поэтому очень важно убедиться, что выбрана правильная зона.
После добавления пользователя проверьте, что работу проверки пользователя на основе форм и перейдите на URL-адрес расширенной зоны. В данном примере, веб-приложение контента находится в зоне по умолчанию с портом 2000 и расширено в зону специальных приложений с портом 2001. Перейдите к расширенному порту.
Откроется окно входа с проверкой подлинности на основе форм. Введите учетные данные для добавленного ранее пользователя и выберите Отправить. Откроется страница Default.aspx сайта.

Страница Default.aspx похожа на стандартную страницу Default.aspx сайта зоны по умолчанию. Однако, в данном примере, ссылка создания личного сайта не отображается. личные сайты и личные настройки являются службами, предоставляемыми поставщиком общих служб. Для данного веб-приложения эти службы предоставляет существующий поставщик. На данном этапе процедуры, поставщик общих служб ничего не знает о новом пользователе, чьи учетные данные использовались для входа. Так как ссылки отфильтрованы в соответствии с ролями безопасности, они не отображаются, и в данном примере текущий пользователь не распознается поставщиком общих служб. Чтобы это исправить, включите поставщика общих служб для проверки подлинности на основе форм, как описано в следующей процедуре.

Настройка поставщика общих служб для проверки подлинности на основе форм

Чтобы настроить поставщика общих служб для проверки подлинности на основе форм, расширьте веб-приложение администрирования поставщика общих служб для сопоставления с той же зоной, которой принадлежит веб-приложение контента. На странице "Управление общими службами данной фермы" сайт администрирования для поставщика общих служб расположен на порте 80, и поставщик распознает только проверку подлинности NTLM. Чтобы поставщик общих служб распознавал настраиваемого поставщика, настройте поставщика общих служб для проверки подлинности на основе форм.

Расширьте веб-приложение на порте 80 (размещение сайта администрирования) на ту же зону, на которую было расширено веб-приложение контента, и затем настройте расширенное веб-приложение для проверки подлинности на основе форм.

Примечание

Как правило, пользователи ничего не знают об этом новом веб-приложении, о проверке подлинности которого на основе форм знает только поставщик общих служб.
Перейдите к новому сайту администрирования поставщика общих служб. После включения проверки подлинности на основе форм для веб-приложения администрирования, в браузере можно указать, например, следующий URL-адрес: http://<сервер>:<расширенный порт>/ssp/admin/default.aspx. Такой же URL-адрес имеет сайт администрирования поставщика общих служб. Однако теперь последует запрос указать учетные данные на странице входа проверки подлинности на основе форм.

После ввода учетных данных пользователя, добавленного в процедуре "Добавление пользователей" на странице "Политика для веб-приложения", откроется страница "Администрирование".

Примечание

Если в разделе Профили пользователей и личные веб-сайты на странице Узел администрирования общих служб попытаться перейти к странице разрешений служб личной настройки, в доступе будет отказано по причине отсутствия прав на изменение разрешений служб личной настройки, даже если пользователь, прошедший проверку подлинности на основе форм, имеет разрешения на переход к сайту. Чтобы изменить это поведение, пользователь должен иметь явные разрешения, предоставленные в другой учетной записи, и сама учетная запись должна иметь разрешения на изменение разрешений служб личной настройки. В данном примере, такую настройку было бы трудно осуществить, так как пользователь выполняет переход с помощью учетной записи, которая была добавлена вместе с разрешением полного доступа поверх поставщика общих служб. Разрешения на изменение разрешений служб личной настройки имеют только пользователи в зоне с проверкой подлинности Windows. Чтобы разрешить пользователям, прошедшим проверку подлинности на основе форм, изменять разрешения служб личной настройки, необходимо войти как пользователь в зоне с проверкой подлинности.
Добавьте разрешения для ссылок на личные настройки, войдя на сайт администрирования поставщика общих служб с помощью зоны по умолчанию.

Примечание

Убедитесь, что начальная страница элемента управления отображает удостоверение пользователя Windows.
Перейдите на страницу "Разрешения служб личной настройки" и запустите средство "Выбор людей".
Попытайтесь здесь выполнить сопоставление пользователя, прошедшего проверку подлинности на основе форм. Средство "Выбор людей" не проверяет пользователей, прошедших проверку на основе форм, так как эта зона не знает, что существует другой поставщик, который может быть запрошен для поиска данных пользователей.
Чтобы зона узнала о поставщике, измените файл Web.config для этой зоны и добавьте такой же раздел поставщика, который был добавлен для включения проверки подлинности на основе форм.

Важно!

В файле Web.config не устанавливайте атрибут defaultProvider. Если его установить, средство "Выбор людей" и триммер безопасности всегда будут использовать этот поставщик для проверки пользователей.
Вернитесь на страницу "Разрешения служб личной настройки" и запустите средство "Выбор людей", которое теперь сопоставляет пользователей проверки подлинности на основе форм и отображает всех пользователей, отвечающих тем же условиям..
Выберите пользователя и разрешения, которые будут ему назначены:
- Создание личного узла: это разрешение требуется для отображения ссылки личного узла и позволяет пользователям создавать личный сайт.
- Использование личных компонентов: это разрешение позволяет пользователям обращаться к поставщику общих служб и компонентам личного узла.
- Управление профилями пользователей: это разрешение позволяет пользователям просматривать профили пользователей и управлять ими из хранилища профилей.
- Управление аудиториями: это разрешение позволяет пользователям управлять аудиториями.
- Управление разрешениями: это разрешение включает управление разрешениями в поставщике общих служб.
- Управление данными анализа использования: это разрешение позволяет управлять и настраивать данные анализа использования.
Нажмите кнопку Сохранить.

Теперь можно снова войти на сайт поставщика общих служб зоны специальных сайтов как пользователь, прошедший проверку подлинности на основе форм, и добавить пользователей. Кроме того, можно установить набор разрешений для добавленных пользователей. После того как пользователю будет предоставлено разрешение создавать личный сайт, будет отображена ссылка "Мой узел". Можно перейти к порталу зоны специальных сайтов как пользователь, прошедший проверку подлинности на основе форм, где на начальной странице пакета элементов управления будет отображаться ссылка "Мой узел". Однако щелчок этой ссылки, в действительности, не создает личный сайт, так как поставщик общих служб продолжает обращаться к зоне по умолчанию, как к местоположению личного сайта, даже если поставщик был расширен в зону специальных сайтов. Веб-приложение пока еще ничего не знает о пользователях, прошедших проверку подлинности на основе форм. Эту проблему можно решить путем расширения веб-приложения личного сайта и настройки его для проверки подлинности на основе форм.

Поскольку можно вручную указать местоположение личного сайта из поставщика общих служб, не имеет значения, будет ли местоположение личного сайта расширено в зону, отличную от зоны веб-приложения администрирования поставщика общих служб. Если реализуется сценарий, в котором эти две зоны будут разные, можно перейти к поставщику общих служб с использованием проверки подлинности на основе форм и вручную установить местоположение личного сайта. Перейдите к веб-приложению администрирования поставщика общих служб и затем перейдите на страницу параметров личного сайта.

Теперь можно настроить поставщика личного сайта, чтобы он указывал на только что расширенное веб-приложение личного сайта. Если веб-приложение личного сайта будет расширено с ту же зону, которой принадлежит веб-приложение администрирования поставщика общих служб, приложение Office SharePoint Server 2007 автоматически перегруппирует личные сайты, и настройка вручную не потребуется.

Кроме того, можно перейти к сайту контента, войти с помощью проверки подлинности на основе форм и создать личный сайт для пользователя, прошедшего проверку подлинности на основе форм.

Настройка профилей пользователей и поиска людей

Для планирования реализации проверки подлинности на основе форм в целом развертывании Office SharePoint Server 2007 необходимо определить настройку проверки подлинности на основе форм для взаимодействия с профилями пользователей и поиском людей. Приложение Office SharePoint Server 2007 импортирует профили пользователей с помощью активного поставщика проверки подлинности. Для работы поиска людей с проверкой подлинности на основе форм профили пользователей должны быть импортированы вместе с поставщиком системы проверки подлинности на основе форм. Если группа пользователей будет импортирована с помощью проверки подлинности Windows, поверх зоны по умолчанию, и с помощью проверки подлинности на основе форм, поверх зоны специальных сайтов, при импорте профиля эта же группа пользователей будет одновременно импортироваться с раздельным их определением. Например, пользователь "домен\пользователь1" будет обрабатываться отдельно от пользователя "поставщик:пользователь1". Это верно, даже если все свойства идентичны, включая источник, из которого они импортируются. За разделение пользователей и отдельную их обработку отвечает поставщик.

Предположим, что уже имеется веб-приложение администрирования поставщика общих служб, настроенное для работы проверкой подлинности на основе форм. Выполните следующие процедуры, чтобы включить поиск людей. Убедитесь, что веб-приложение администрирования поставщика общих служб расширено и правильно настроено для использования проверки подлинности на основе форм.Также, следует явно предоставить пользователю с правами администратора разрешение на управление профилями пользователей со страницы "Разрешения на изменение разрешений служб личной настройки".

Чтобы настроить импорт профиля пользователей, перейдите к сайту администрирования поставщика общих служб для зоны специальных сайтов. Поскольку он уже был сконфигурирован с проверкой подлинности на основе форм, на него можно войти с помощью учетных данных пользователя с правами администратора.
Щелкните "Свойства и профили пользователей" и настройте новое соединение импорта.

Доступны следующие параметры: "Active Directory", "Каталог LDAP", "Ресурсы Active Directory" и "Каталог бизнес-данных". В данном примере, поскольку источником является хранилище сертификатов в домене, в качестве типа подключения выбран каталог LDAP.
Введите имя соединения и сервера LDAP, как они указаны в разделе поставщика.
Введите имя поставщика, как оно указано в файле Web.config, и атрибут имени пользователя из раздела поставщика. Остальные сведения должны заполняться автоматически.
Запустите импорт с помощью только что добавленного соединения импорта.
Проверьте, что профили импортируются по щелчку элемента Просмотр профиля пользователя, как показано на следующем рисунке.

После выполнения импорта новых профилей хранилище профилей пользователей в приложении Office SharePoint Server 2007 обновляется. Чтобы включить поиск людей, выполните следующую процедуру.
Начните обход источника контента профилей. После завершения обхода становится доступным поиск людей на сайте проверки подлинности на основе форм.