Az ezerarcú publikálás …az ISA Server 2006 segítségével

Gál Tamásv-tagal@microsoft.comMicrosoft Magyarország

TartalomTípusok és csoportokKomponensek és technikák

Listener, hitelesítés, delegálás, SSOWebszerver publikálás demó x2Szimpla szerver publikálásdemó

Típusok és csoportokPublikálás

A kiszolgálóink szolgáltatásaink biztonságos közzétételeKomoly rizikófaktorNagyon sok segítség az ISA 2006-ban

Csoportosítási szempontokBelső vs. külső (pl. Internet)Integrált vs. önálló kiszolgálóSzimpla szerver vs. webszerver

Komponensek és technikákA listener

Figyel, szűr, szabályozHálózat / IP / port / tanúsítványokTipikusan egy-egy HTTP és HTTPS listener-ünk van (web listener)

Lényegesen összetetteb mint a szimpla

Minden publikáló szabályban kötelező

De 1-1 listener-t több szabályban is felhasználhatunk

További lehetőségek: hitelesítés, SSO

Komponensek és technikákHitelesítés

ISA felhasználási területekBelső (felhasználók, proxy, fw kliens)Belső (szolgáltatások, proxy, fw kliens)Külső (szolgáltatások, proxy)

A hitelesítés lépéseiA kliens jogosultság elfogadása (listener)Érvényesítés az adott névtérben (listener)

Címtár, RADIUS, SecurID, stb.Delegálás (publikáló szabály)

Komponensek és technikákHitelesítés

Hitelesítés típusokNincs HTML űrlap alapú kliens hitelesítési metódus (FBA)

Windows (Active Directory)LDAP (Active Directory)RADIUS, RADIUS OTPRSA SecureID

HTTP alapú kliens hitelesítési metódusBasic, Digest / wDigest, Integrated

SSL kliens tanúsítványon alapuló hitelesítés

Komponensek és technikákHitelesítés

HTTP alapú kliens hitelesítési metódusBasic

A hitelesítési infó szimpla szövegbenDigest / WDigest

A hitelesítési infó hash-elve, azaz nem visszafejthetőTipikusan kiszolgálók között

IntegratedNTLM, Kerberos, Negotiate (megegyezéses)Mindig a tartomány\felhasználó formula

Komponensek és technikákHitelesítés

HTML űrlap (FBA)Jelszó és vagy passcode űrlapokJelszóváltoztatás (pl. OWA)

Időlimit, értesítés a lejáratrólA mobil kliensek automatikusan mást kapnak (User-Agent detektálás)Failback > Basic hitelesítésSzerkeszthető űrlap

Szimpla, OWA, strings.txt26 különböző nyelven, de „megerőszakolás” is

Komponensek és technikákHitelesítés

Multifaktoros hitelesítésLényegesen biztonságosabbA felhasználónak rendelkezni kell jelszóval ÉS

egy tanúsítvánnyal;vagy egy egyszeri jelszót / kódot (OTP) generáló szoftveres/hardveres eszközzel;vagy egy SecurID-eszközzel, amely minden szükséges esetben egy úgynevezett passcode-ot (nagyon rövid lejáratú számkombináció) képes generálni.

Komponensek és technikákHitelesítés-delegálás

Biztonságos és erőforrás takarékosISA 2004 – erős korlátok

Csak Basic, ergo csak VPN és HTTPSISA 2006 – szinte mindent

Nincs delegálás, és a kliens nem hitelesíthet közvetlenül;Nincs delegálás, de a kliens hitelesíthet közvetlenül;Basic, NTLM, Negotiate (Kerberos / NTLM)Kikényszerített Kerberos-delegálás.

Komponensek és technikákHitelesítés mix

1. Kliens jogosultság elfogadása

2. A jogosultság elküldése..

3. …majd befogadása

4. Hitelesítés-delegálás

5. A publikált szerver válasza

6. A válasz továbbküldése

ISA Server

Hitelesítés-szolgáltató

Kliens

OWA

4

5

2 3

1 6

`

Exchange.Company.Com

SharePoint.Company.Com

Komponensek és technikákSSO1. forgatókönyv - Két publikált webszerver, kötelező hitelesítéssel

Exchange elérés - SSO nélkülKérem a hitelesítési infókat!Egy e-mailből menjünk tovább a SharePoint oldalunkra!Kérem megint a hitelesítési infókat!

FBA

2. forgatókönyv - Két publikált webszerver, kötelező hitelesítéssel▪ Exchange elérés – SSO-val▪ Kérem a hitelesítési infókat!▪ Egy e-mailből menjünk tovább a SharePoint oldalunkra!▪ NEM kérem a hitelesítési infókat!

demó

Webszerver publikálás

demó

Webszerver publikálásTanúsítvánnyal

demó

Szimpla szerver publikálás

Szünet...