| |||||
| |||||
Microsoft Windows SharePoint Services comprend ou tire parti des éléments suivants qui interagissent avec et affectent la sécurité du contenu de votre site Web :
Authentification de l'utilisateur
L'authentification de l'utilisateur pour Windows SharePoint Services se base sur les méthodes d'authentification Internet Information Services (IIS). Vous pouvez utiliser Windows SharePoint Services avec les formes d'authentification d'utilisateur suivantes :
Vous choisissez la méthode d'authentification que vous voulez utiliser pour configurer votre serveur Web. Les outils d'administration Windows SharePoint Services ne vous permettent pas de changer de méthode d'authentification. Pour cela, vous devez utiliser l'outil d'administration IIS (Internet Information Services) sur votre ordinateur serveur.
L'authentification anonyme donne accès aux utilisateurs qui n'ont pas de compte Windows sur l'ordinateur serveur, tels que les visiteurs de sites Web. IIS crée le compte anonyme pour les services Web, souvent nommé IUSR_nom de l'ordinateur. Lorsqu'IIS reçoit une requête anonyme, il imite le compte anonyme.
Vous pouvez autoriser ou non l'accès anonyme dans IIS pour un serveur virtuel donné et autoriser ou non l'accès anonyme pour un site du serveur virtuel via l'administration centrale de SharePoint. L'accès anonyme doit être activé dans IIS avant de pouvoir l'activer pour un site Web sur le serveur virtuel.
L'authentification de base est un protocole d'authentification supporté par la plupart des serveurs et des navigateurs Web. Bien que l'authentification de base transmet des noms d'utilisateur et des mots de passe en texte clair facilement décodé, il présente néanmoins certains avantages par rapport aux méthodes d'authentification sécurisée, en ce sens où il opère via un pare-feu de serveur proxy et garantit qu'un site Web est accessible par la plupart des navigateurs Web. Si vous utilisez l'authentification de base avec une sécurité Secure Sockets Layer (SSL), vous pouvez protéger les noms et mots de passe en sécurisant davantage les données utilisateur qu'avec l'authentification de base.
Authentification Windows intégrée
L'authentification Windows intégrée (également connue sous le nom de Windows NT Challenge Response) crypte les noms d'utilisateur et les mots de passe dans une interaction d'opérations entre le client et le serveur, rendant dès lors cette méthode plus sûre que l'authentification de base. Cette méthode présente toutefois le désavantage qu'elle ne peut pas s'effectuer via un pare-feu de serveur proxy et que certains navigateurs Web, tels que Netscape Navigator, ne la prennent pas en charge. Vous pouvez opter pour utiliser cette méthode d'authentification et l'authentification de base. La plupart des navigateurs Web sélectionnent l'option la plus sûre. Par exemple, si l'authentification de base et l'authentification Windows intégrée sont activées, Microsoft Internet Explorer essaie d'abord l'authentification Windows intégrée.
Authentification par certificats (SSL)
L'authentification par certificats (également appelée sécurité Secure Sockets Layer (SSL)) garantit la confidentialité des communications, l'authentification et l'intégrité des messages pour une connexion TCP/IP. Grâce au protocole SSL, les clients et serveurs peuvent communiquer tout en évitant l'écoute clandestine, la falsification ou la contrefaçon des messages. Windows SharePoint Services et SSL vous aident à sécuriser l'accès via des pare-feu et l'administration à distance de Windows SharePoint Services. Vous pouvez également spécifier l'utilisation de SSL à l'ouverture d'un site Web basé sur Windows SharePoint Services.
Groupe d'administrateurs SharePoint
Pour installer Windows SharePoint Services, vous devez être membre du groupe d'administrateurs locaux sur l'ordinateur serveur. Ce groupe donne également aux utilisateurs les autorisations nécessaires pour contrôler les paramètres dans les pages de l'administration centrale de SharePoint et pour exécuter l'outil de ligne de commande Stsadm.exe. Outre le groupe d'administrateurs locaux, vous pouvez identifier un groupe de domaines spécifique autorisé à accéder à l'administration de Windows SharePoint Services. Dans la documentation de l'aide de Microsoft Produits et technologies SharePoint, ce groupe de domaines est appelé groupe d'administrateurs SharePoint. Vous pouvez ajouter des utilisateurs à ce groupe de domaines plutôt qu'au groupe d'administrateurs locaux afin de distinguer l'accès d'administration à Windows SharePoint Services de l'accès d'administration à l'ordinateur serveur local.
Les membres du groupe d'administrateurs SharePoint n'ont pas accès à la métabase IIS et ne peuvent dès lors pas effectuer les actions suivantes pour Windows SharePoint Services :
Remarque Les membres de ce groupe peuvent créer des sites Web de niveau supérieur et modifier les paramètres du serveur virtuel.
Les membres du groupe d'administrateurs SharePoint peuvent effectuer toute autre action d'administration via l'administration centrale de SharePoint ou à l'aide du modèle d'objet pour Windows SharePoint Services.
Les membres du groupe d'administrateurs SharePoint et du groupe d'administrateurs locaux disposent de droits pour afficher et gérer toutes les listes créées sur leurs serveurs. En d'autres termes, un administrateur serveur peut lire des documents ou des éléments de liste, modifier des paramètres d'enquête, supprimer un site ou effectuer sur un site les mêmes actions qu'un administrateur de site.
Windows SharePoint Services comprend des groupes de sites pour vous aider à affecter des droits spécifiques aux utilisateurs, ainsi que des groupes intersites. Les groupes intersites permettent d'éviter de contrôler les autorisations de fichier et de dossier séparément ou de vous occuper de la synchronisation des groupes locaux à la liste des utilisateurs Web. Les groupes de sites vous permettent d'octroyer des autorisations aux utilisateurs sur votre site Web et d'utiliser les outils d'administration de Windows SharePoint Services pour ajouter des utilisateurs directement.
En pratique, la gestion des utilisateurs est déléguée des administrateurs serveur aux propriétaires et aux administrateurs de site. Les administrateurs de site contrôlent l'accès au site et disposent, par défaut, de droits pour ajouter, supprimer ou modifier l'appartenance d'utilisateurs à un groupe de sites. Au sein d'une entreprise, cela signifie généralement que les administrateurs de site sélectionnent les utilisateurs dans la liste des utilisateurs de l'entreprise et leur accordent l'accès à des degrés variés. Ainsi, si le site Web est réservé aux membres d'un groupe de travail donné qui doivent partager des documents et des informations, l'administrateur du site ajoute les membres de ce groupe de travail au site et les affecte au groupe de sites Collaborateur pour leur permettre d'ajouter des documents et de mettre à jour des listes.
Dans un ISP ou un environnement extranet, un propriétaire de site peut ajouter des utilisateurs et créer des comptes, éventuellement avec des listes d'utilisateurs différentes pour chaque collection de sites. L'administrateur du site ajoute les utilisateurs au site Web et Windows SharePoint Services ajoute automatiquement les utilisateurs au service d'annuaire Microsoft Active Directory.
Les membres du groupe de site Administrateur d'un site Web de niveau supérieur peuvent contrôler davantage d'options que les administrateurs d'un sous-site. Les administrateurs d'un site Web de niveau supérieur peuvent effectuer des actions telles que spécifier des paramètres pour les discussions de documents Web ou les alertes, afficher des données d'utilisation et de quota, mais aussi modifier les paramètres d'accès anonyme.
Remarque Le propriétaire et le propriétaire secondaire d'un site Web de niveau supérieur peuvent être membres du groupe de sites Administrateur de leur site, mais sont également identifiés séparément dans la base de données de configuration en tant que propriétaires de la collection de sites. Cet indicateur de propriétaire ne peut être modifié qu'à la page Gérer les propriétaires de la collection de sites dans l'administration centrale de SharePoint ou à l'aide de l'opération siteowner avec Stsadm.exe. Si vous supprimez un propriétaire du groupe de sites Administrateur du site, le propriétaire conserve l'indicateur de propriétaire dans la base de données et peut toujours effectuer des tâches d'administration pour la collection de sites.
Sécurisation du port d'accès à l'administration centrale de SharePoint
Si un utilisateur malveillant a accès au port utilisé pour accéder à l'administration centrale de SharePoint, il peut potentiellement empêcher les utilisateurs d'accéder à des sites ou modifier le contenu du site, voire même paralyser complètement un serveur Web. Il est important de limiter l'accès au port utilisé par l'administration centrale de SharePoint. Pour cela, il est recommandé d'effectuer les opérations suivantes :
Si vous voulez pouvoir gérer Windows SharePoint Services via une connexion Internet, utilisez SSL pour sécuriser la communication entre un ordinateur client et le serveur, même sur l'Internet. Pour utiliser le protocole SSL, vous devez tout d'abord configurer SSL dans Internet Information Services (IIS) et configurer ensuite Windows SharePoint Services à l'aide de la ligne de commande.
Remarque Lorsque vous utilisez SSL, l'URL de l'administration centrale de SharePoint change de http:// en https://.
Si vous ne devez pas donner accès à l'administration centrale de SharePoint à partir de l'Internet, il est recommandé d'utiliser les paramètres de pare-feu pour bloquer l'accès au port utilisé par l'administration centrale de SharePoint ou pour limiter l'accès au port vers certains domaines. Utilisez l'opération stsadm -o setadminport pour définir chaque serveur d'une batterie de serveurs sur le même numéro de port et configurez le pare-feu pour protéger ce port sur tous les serveurs. Sinon, vous pouvez utiliser la fonctionnalité de restrictions IP et de nom dans IIS pour limiter l'accès à des domaines spécifiques. Pour cela, vous devez spécifier ces restrictions pour chaque serveur virtuel auquel vous voulez limiter l'accès.
Utilisez le groupe d'administrateurs SharePoint pour contrôler les utilisateurs qui ont accès à l'administration centrale de SharePoint. Seul le groupe de domaines que vous spécifiez, et les administrateurs locaux, ont accès au port utilisé par l'administration centrale de SharePoint. Limitez l'accès d'administrateur local à quelques opérateurs seulement.
Si vous utilisez l'authentification Windows intégrée, vous évitez que les mots de passe soient envoyés en texte clair, ce qui peut arriver avec l'authentification de base. L'authentification de base est en effet moins sûre car elle utilise du texte clair.
L'accès anonyme, en soi, rend un serveur moins sûr. Si des utilisateurs anonymes peuvent accéder à un serveur, ils peuvent modifier des paramètres ou du contenu, sans que leurs actions permettent de remonter jusqu'à un compte utilisateur réel. L'accès anonyme est désactivé par défaut pour le port utilisé par l'administration centrale de SharePoint.
Sécurisation des connexions SQL Server
Si vous utilisez SQL Server au lieu de Microsoft SQL Server Desktop Engine (Windows) 2000 (WMSDE) pour vos bases de données, vous avez le choix entre les deux méthodes de sécurité suivantes pour les interactions entre Windows SharePoint Services et les serveurs de base de données qui exécutent SQL Server :
Remarque Si vous utilisez SQL Server sur un serveur de base de données distinct du serveur qui exécute Windows SharePoint Services, vous devez utiliser un compte de domaine (ou le compte Système local ou Service réseau) comme compte du pool d'applications IIS. Si vous utilisez un compte local, il ne peut accéder à l'ordinateur qui exécute SQL Server. Pour l'administration du serveur virtuel, le compte du pool d'applications IIS doit également avoir des droits pour créer des bases de données dans SQL Server. Si vous utilisez le compte Système local ou Service réseau, vous devez octroyer des privilèges de serveur de base de données au compte ordinateur pour l'ordinateur serveur Web. Les comptes de pool d'applications d'autres serveurs virtuels n'ont pas besoin de droits de création de base de données ; ils reposent sur le serveur virtuel d'administration pour la création de base de données.
À propos de l'authentification Windows NT intégrée
Avec l'authentification Windows NT intégrée, vous utilisez les paramètres de connexion de l'application Internet Information Services (IIS) et le pool d'applications pour vous connecter aux bases de données SQL Server. Les paramètres de connexion sont stockés de manière sécurisée dans la métabase IIS avec d'autres processus ouvriers IIS. Lorsque Windows SharePoint Services se connecte aux bases de données, il opère normalement et utilise le processus IIS pour la connexion. Dans un déploiement de batterie de serveurs, vous devez vous assurer que les modifications apportées aux paramètres de connexion sont reflétées sur tous les serveurs. Ainsi, si le domaine a une stratégie qui exige de réinitialiser fréquemment les mots de passe, vous devez changer de mot de passe dans IIS pour chaque ordinateur serveur de la batterie de serveurs.
Vous pouvez avoir un seul processus pour tous les serveurs virtuels d'un déploiement, ou encore isoler chaque serveur virtuel avec son propre pool d'applications. L'utilisation de processus distincts est plus sûre. Ainsi, si un serveur virtuel exécute un script personnalisé, il risque d'être écrit pour accéder à des pages d'un autre serveur virtuel s'ils partagent un pool d'applications. S'ils ont des pools d'applications différents, le script ne peut s'authentifier à la base de données via les serveurs virtuels.
À propos de l'authentification SQL Server
L'authentification SQL Server utilise un compte administrateur et un mot de passe (généralement le compte de la société par défaut) stocké dans la base de données SQL pour la connexion entre Windows SharePoint Services et les bases de données. Ces mêmes nom d'utilisateur et mot de passe sont utilisés pour toutes les mises à jour des bases de données, quel que soit le serveur d'une batterie de serveurs ou le serveur virtuel d'un serveur unique ou d'une batterie de serveur qui nécessite la mise à jour.
Important Lorsque vous utilisez l'authentification SQL Server, le mot de passe du compte administrateur est envoyé sur le réseau et risque d'être détecté par des utilisateurs malveillants. Il est recommandé d'utiliser l'authentification Windows NT intégrée pour les connexions entre Windows SharePoint Services et les bases de données SQL Server. Notez également que lorsque vous utilisez l'authentification SQL Server, le nom d'utilisateur et le mot de passe que vous spécifiez sont accessibles à tous les membres du groupe STS_WPG, ce qui peut inclure des comptes associés à d'autres applications de votre serveur.
Windows SharePoint Services prend en charge la connectivité via des pare-feu. Selon votre configuration, vous devez vous assurer que le pare-feu est ouvert pour les ports HTTP standard 80 et 443. Si vous utilisez un pare-feu, vous devez configurer les sites SharePoint avec l'authentification de base parce que l'authentification Windows intégrée ne passe pas à travers un pare-feu.
Afficher tout
Masquer tout