通过

Lync Server 2013 中的主要安全功能

  • 项目

 

主题上次修改时间： 2013-07-18

Lync Server 2013 包括多种安全功能，包括服务器到服务器身份验证、基于角色的访问控制和配置数据的集中存储。

本文概述了 Lync Server 2013 安全性。

Lync Server 2013 中的主要安全功能

安全是一个非常广泛的主题。 安全性可跨 Lync Server 2013 的每个功能以及构成 Lync 生态系统的数据库、服务和硬件。 本文概述了 Lync Server 2013 中专为安全而设计的一些功能。

规划和设计工具

Lync Server 2013 提供了两种工具，用于促进规划和设计，并减少错误配置 Lync Server 组件的可能性。

  • 拓扑规划工具 可自动完成大部分拓扑设计过程。 可以将结果从规划工具导出到拓扑生成器，这是安装运行 Lync Server 2013 的每个服务器所需的工具。

  • 拓扑生成器在中央管理存储中存储所有配置信息。

有关这些工具的详细信息，请参阅 规划 Lync Server 2013。

中央管理存储

在 Lync Server 2013 中，有关服务器和服务的配置数据是中央管理存储的一部分。 中央管理存储提供定义、设置、维护、管理、描述和操作 Lync Server 部署所需的数据的可靠架构化存储。 它还会验证数据，以确保配置的一致性。 对此配置数据的所有更改都在中央管理存储上进行，这可以消除“不同步”问题。

数据的只读副本将复制到拓扑中的所有服务器，包括边缘服务器和 Survivable Branch Appliance。 复制过程由默认情况下在网络服务上下文下运行的服务进行管理，从而将权限缩减为计算机上的简单用户所拥有的权限。

服务器到服务器身份验证

在 Lync Server 2013 中，可以通过使用开放授权 (OAuth) 协议在服务器之间配置身份验证。 例如，可以将 Lync Server 2013 配置为使用运行Exchange Server 2013 的服务器进行身份验证。 使用 OAuth 协议，Lync 服务器和 Exchange 服务器可以相互信任。 这样做可实现无缝集成产品。 有关详细信息，请参阅 在 Lync Server 2013 中管理服务器到服务器的身份验证 (OAuth) 和合作伙伴应用程序

基于 Windows PowerShell 的管理和基于 Web 的管理界面

Lync Server 2013 提供强大的管理接口，基于Windows PowerShell命令行接口构建。 其中包含用于管理安全性的 cmdlet，并且默认情况下会启用 Windows PowerShell 安全功能，以防止用户轻易或无意中运行脚本。 这意味着软件默认设置为自动帮助实现最大安全性并减少攻击事件。 有关 Lync Server 2013 中Windows PowerShell管理支持的详细信息，请参阅 Lync Server 2013 Management Shell。

基于角色的访问控制 (RBAC)

Microsoft Lync Server 2013 提供基于角色的访问控制 (RBAC) ，使你能够委托管理任务，同时保持高安全标准。 可以使用 RBAC 来遵守“最小特权”原则，按照该原则，用户只能获得其工作所需的管理权限。 Lync Server 2013 引入了创建新角色的功能以及修改现有角色的能力。 有关详细信息，请参阅 规划 Lync Server 2013 中基于角色的访问控制。

网络地址转换 (NAT)

Lync Server 2013 不支持在边缘服务器的内部接口上使用网络地址转换 (NAT) ，但它确实支持将 Access Edge 服务、Web 会议边缘服务和 A/V Edge 服务的外部接口放置在路由器或防火墙后面，该路由器或防火墙对单个和缩放的合并边缘服务器拓扑执行网络地址转换 (NAT) 。 硬件负载平衡器后的多台边缘服务器不能使用 NAT。 如果多台边缘服务器在其外部接口上使用 NAT，将需要域名系统 (DNS) 负载平衡。 反之，使用 DNS 负载平衡让你可以减少边缘服务器池中每台边缘服务器的公共 IP 地址的数量。 有关详细信息，请参阅规划 Lync Server 2013 中的外部用户访问权限。

注意

如果你与拥有 Microsoft Office Communications Server 2007 部署的企业联盟，且需要在你的企业与联盟企业之间使用音频/视频，则端口要求就是对已部署的边缘服务器的早期版本的端口要求。 例如，必须为两个企业打开这些旧版本所需的端口范围，直到联合合作伙伴将其边缘服务器升级到 Lync Server 2013。 此时，可以根据新配置检查并减少端口要求。

边缘服务器的简化证书

部署向导可以自动填充使用者名称 (SN) 和使用者替代名称 (SAN)，从而减少包含不必要的和可能不安全的条目的可能性。

可信赖计算安全开发周期 (SDL)

Lync Server 2013 的设计和开发符合 Microsoft 可信计算安全开发生命周期 (SDL) ，如下所述 https://go.microsoft.com/fwlink/?linkid=68761。

  • 可信任设计 创建更安全的统一通信系统的第一步是设计威胁模型，并在设计时测试每个功能。 Microsoft 会对超出设计范围的行为进行测试，以便查找由于非预期产品行为引起的安全漏洞。 多个与安全相关的改进功能内置在编码过程和实践中。 生成时工具会在将代码签入到最终产品之前检测缓冲区溢出和其他潜在安全威胁。 当然，针对所有未知安全威胁进行设计是不可能的。 没有任何系统会保证完全的安全。 但是，由于产品开发从一开始就遵循安全设计原则，Lync Server 2013 将行业标准安全技术作为其体系结构的基本组成部分。

  • 默认情况下值得信任 默认情况下，Lync Server 2013 中的网络通信已加密。 由于所有服务器都使用证书和 Kerberos 身份验证、TLS、安全Real-Time传输协议 (SRTP) 和其他行业标准加密技术，包括 128 位高级加密标准 (AES) 加密，因此几乎所有 Lync Server 数据都受到网络保护。 此外，基于角色的访问控制可以部署运行 Lync Server 2013 的服务器，以便每个服务器角色仅运行服务，并且仅具有与这些服务相关的权限，这些权限适用于服务器角色。

  • 按部署可信 所有 Lync Server 2013 文档都包含最佳做法和建议，可帮助你确定和配置部署的最佳安全级别，并评估激活非默认选项的安全风险。