Panoramica della soluzione ibrida Servizi di integrazione applicativa di SharePoint 2013 Christopher J Fox Microsoft Corporation Novembre 2012 Si applica a: SharePoint 2013, SharePoint Online Riepilogo: Un ambiente ibrido di SharePoint è costituito da una farm SharePoint 2013 distribuita in locale e da una tenancy SharePoint Online di Microsoft Office 365. L'integrazione di SharePoint 2013 in locale e SharePoint Online consente di utilizzare i Servizi di integrazione applicativa per pubblicare in modo protetto dati line-of-business interni in SharePoint Online.
Questo documento viene fornito «così com'è». Le informazioni e le opinioni espresse nel presente documento, inclusi gli URL e altri riferimenti a siti Web Internet, possono essere soggette a modifiche senza preavviso. L'utente accetta di utilizzarlo a proprio rischio. Alcuni esempi illustrati nel presente documento vengono forniti a scopo esclusivamente esemplificativo e sono fittizi. Nessuna associazione o connessione reale è intenzionale o può essere desunta. Il presente documento non implica la concessione di alcun diritto di proprietà intellettuale relativo ai prodotti Microsoft. È possibile copiare e utilizzare questo documento per fini di riferimento interno. Il documento può essere modificato per fini di riferimento interno. 2012 Microsoft Corporation. Tutti i diritti sono riservati. 2
Sommario Sommario... 3 Driver di business... 4 Che cos'è una soluzione ibrida Servizi di integrazione applicativa di SharePoint?... 4 Perché utilizzare una soluzione ibrida BCS di SharePoint?... 4 Architettura ibrida BCS... 5 Office 365 e SharePoint Online... 5 Locale... 5 Flusso di dati della soluzione ibrida BCS... 7 Tipi di certificati e credenziali... 8 Certificati server e SharePoint... 8 Credenziali utente... 8 3
Driver di business Una soluzione ibrida Servizi di integrazione applicativa consente di pubblicare in modo protetto dati line-of-business interni agli utenti in SharePoint Online. Risolve un problema aziendale molto specifico. In questa sezione viene illustrata la soluzione e quando utilizzarla. Che cos'è una soluzione ibrida Servizi di integrazione applicativa di SharePoint? Se l'azienda dispone di una farm di SharePoint 2013 in locale e di una tenancy SharePoint Online 2013, è possibile utilizzare i Servizi di integrazione applicativa per creare una connessione sicura tra le due in modo da rendere disponibili i dati line-of-business alle applicazioni per SharePoint e agli elenchi esterni in SharePoint Online. Questa viene denominata soluzione ibrida BCS di SharePoint. SharePoint Online 2013 supporta solo connessioni unidirezionali da online a locale e per una singola farm in locale. I dati line-of-business devono essere pubblicati come un'origine OData. Perché utilizzare una soluzione ibrida BCS di SharePoint? Una soluzione ibrida BCS di SharePoint 2013 fornisce un bridge per le aziende che desiderano trarre vantaggio dalle funzionalità basate sul cloud di SharePoint Online per l'accesso a dati lineof-business locali, mantenendo al sicuro i dati proprietari nella rete Intranet aziendale. La soluzione ibrida BCS di SharePoint non richiede l'apertura di porte nel firewall per consentire il traffico e non richiede lo spostamento dei dati line-of-business all'esterno della rete perimetrale. La soluzione ibrida BCS di SharePoint utilizza i servizi BCS locali per la connessione ai dati lineof-business e quindi, tramite un proxy inverso, pubblicare in modo sicuro l'endpoint nei servizi BCS in SharePoint Online 2013. 4
Architettura ibrida BCS La soluzione ibrida BCS dispone di componenti nel cloud in Office 365 e in locale. Office 365 e SharePoint Online Locale Office 365: ogni sottoscrizione a Microsoft Office 365 ospita una tenancy di SharePoint Online. La sottoscrizione a Office 365 fornisce inoltre il servizio di controllo di accesso (ACS) e il servizio di directory online Microsoft (MSODS). SharePoint Online: ospita i siti che rendono disponibili i dati line-of-business locali, il servizio di runtime e l'archivio dei metadati BCS e il servizio di archiviazione sicura. Servizio di runtime BCS online: il servizio di runtime BCS è un'applicazione di servizio di SharePoint che gestisce tutte le funzionalità di BCS, come ad esempio l'amministrazione, la sicurezza e le comunicazioni. Servizio di directory online Microsoft (MSODS) di Office 365: fornisce i servizi directory in Office 365 che è possibile sincronizzare con Servizi di dominio Active Directory in locale. La sincronizzazione viene effettuata tramite la sincronizzazione dei profili utente e consente agli utenti di utilizzare lo stesso account sia per l'autenticazione locale che nel cloud. Servizio di archiviazione sicura di SharePoint Online: applicazione di servizio di SharePoint per il mapping di credenziali. Nella soluzione ibrida BCS di SharePoint, SharePoint Online archivia un certificato server SSL che esegue l'autenticazione delle richieste di SharePoint Online al proxy inverso. Servizio di controllo di accesso Azure: servizio token di sicurezza Azure che esegue l'autenticazione e rilascia i token di sicurezza quando un utente esegue l'accesso a un sito di SharePoint Online. Esegue la ricerca delle credenziali nel servizio di directory online Microsoft (MSODS) che è stato sincronizzato con gli account di Active Directory locali. Questo consente all'utente di utilizzare lo stesso insieme di credenziali sia per gli ambienti locali che online. Proxy inverso: questo server è responsabile per l'accettazione e l'autenticazione del traffico in entrata da Internet e la pubblicazione dell'endpoint per la richiesta in entrata a cui eseguire la connessione. È posizionato nella rete perimetrale. SharePoint in locale: server farm di SharePoint 2013 che ospita il servizio BCS, il sito che accetta le richieste ibride in entrata e il servizio di archiviazione sicura. Servizi di dominio Active Directory: un servizio di Windows Server che archivia e gestisce gli account utente, i gruppi di sicurezza, i gruppi di distribuzione e gli account computer. Archivio profili utente: database di SharePoint utilizzato per archiviare le informazioni dei profili utente. I profili utente contengono informazioni dettagliate sulle persone che fanno parte di un'organizzazione. Un profilo utente consente di organizzare e visualizzare tutte 5
le proprietà relative a un utente, insieme ai relativi tag di social networking, documenti e altri elementi. In uno scenario BCS ibrido, viene utilizzato per il mapping delle credenziali OAuth ACS degli utenti alle credenziali di dominio degli utenti. Pipeline CSOM: CSOM (Client-Side Object Model) riceve la richiesta in entrata dal proxy inverso ed esegue il mapping del token utente OAuth da ACS alle credenziali di dominio degli utenti. Sito/raccolta siti: raccolta siti creata appositamente allo scopo di agevolare tutte le comunicazioni relative alle richieste ibride. Per l'applicazione Web in cui è contenuta la raccolta siti è configurato un mapping di accesso alternativo. Servizio di runtime BCS di SharePoint in locale: il servizio di runtime BCS è un'applicazione di servizio di SharePoint che gestisce tutte le funzionalità di BCS, come ad esempio l'amministrazione, la sicurezza e le comunicazioni. Servizio di archiviazione sicura di SharePoint in locale: applicazione di servizio di SharePoint per il mapping di credenziali. Nella soluzione ibrida BCS di SharePoint, SharePoint in locale archivia il mapping delle credenziali di dominio degli utenti nelle credenziali utilizzate per l'accesso all'origine dati esterna. Gestore del servizio OData: la soluzione ibrida BCS di SharePoint supporta solo il protocollo OData. Se i dati esterni non sono accessibili in modo nativo tramite un'origine OData, è necessario utilizzare Visual Studio per sviluppare e distribuire un gestore del servizio OData per i dati. Dati esterni: dati line-of-business (LOB) utilizzati dalla soluzione ibrida BCS di SharePoint. 6
Flusso di dati della soluzione ibrida BCS In SharePoint Online i dati esterni vengono resi disponibili tramite elenchi esterni o applicazioni per SharePoint. In questo esempio viene utilizzato un elenco esterno. 1. Un Information Worker esegue l'accesso alla tenancy di SharePoint Online e apre un elenco esterno che richiede i dati da un'origine OData locale. 2. L'elenco esterno crea una richiesta dei dati e la invia a Servizi di integrazione applicativa. BCS analizza la richiesta e fa riferimento all'oggetto impostazioni di connessione e al tipo di contenuto esterno per determinare la modalità di connessione all'origine dati e le credenziali da utilizzare. 3. Servizi di integrazione applicativa recupera il certificato client dal servizio di archiviazione sicura in SharePoint Online. Il certificato client è un certificato SSL utilizzato per l'autenticazione al proxy inverso. BCS recupera inoltre un token OAuth dal servizio di controllo di accesso. Questo rappresenta le credenziali dell'utente utilizzate per l'autenticazione nella farm di SharePoint 2013 in locale. 7
4. Servizi di integrazione applicativa invia una richiesta HTTPS all'endpoint per l'origine dati pubblicata dal proxy inverso. 5. Il proxy inverso esegue l'autenticazione della richiesta utilizzando il certificato client e la inoltra alla pipeline CSOM (Client-Side Object Model) della farm di SharePoint 2013 locale. 6. La pipeline CSOM consulta il servizio profili utente per cercare un mapping tra il token di sicurezza OAuth dell'utente da ACS e le credenziali di dominio dell'utente da Servizi di dominio Active Directory. Se ne è presente uno, le credenziali di dominio dell'utente vengono restituite alla richiesta. Le credenziali di dominio dell'utente vengono utilizzate per eseguire l'autenticazione nel sito di SharePoint locale che riceve le richieste ibride e la richiesta viene passata al servizio BCS di SharePoint locale. 7. Il servizio BCS di SharePoint locale recupera le credenziali utilizzate per l'autenticazione nell'origine dati esterna dal servizio di archiviazione sicura di SharePoint locale. Il servizio BCS di SharePoint in locale passa la richiesta di dati insieme alle credenziali per i dati esterni al gestore del servizio OData, che quindi esegue le operazioni desiderate sui dati esterni e restituisce i risultati all'utente di SharePoint Online. Tipi di certificati e credenziali La soluzione ibrida BCS è una combinazione della configurazione ibrida di SharePoint e di una configurazione BCS. Ogni configurazione richiede diversi set di certificati e credenziali utente, entrambi necessari per far funzionare la soluzione ibrida BCS. Certificati server e SharePoint Certificato SSL: questo certificato viene utilizzato per stabilire una relazione di trust per il canale di comunicazione tra il dispositivo proxy inverso e Office 365. Può essere un certificato con caratteri jolly e deve provenire da un'autorità di certificazione nota. Da server a server: la configurazione dell'autenticazione da server a server per gli ambienti ibridi di SharePoint consiste nello stabilire una relazione di trust tra SharePoint in locale e il servizio di controllo di accesso (ACS). ACS è quindi il broker di trust sia per SharePoint in locale che per il server SharePoint Online. Quando la relazione di trust da server a server è configurata, ogni server farm ritiene attendibili i token di sicurezza rilasciati da ACS e utilizzati per l'autenticazione dell'accesso alle risorse per conto dell'utente identificato. Credenziali utente Token di sicurezza OAuth da ACS: quando un utente esegue l'accesso a SharePoint Online viene autenticato tramite ACS. ACS rilascia un token di sicurezza OAuth che rappresenta l'utente per tutti i processi e gli oggetti di SharePoint Online a cui l'utente tenta di accedere. Questo token di sicurezza è incorporato nella richiesta di dati esterni e viene passato, insieme al 8
certificato SSL, al proxy inverso. Viene quindi passato alla pipeline CSOM (Client-Side Object Model) in SharePoint in locale ed è mappato alle credenziali di dominio dell'utente. Credenziali Active Directory degli utenti: un altro token di sicurezza che rappresenta l'utente nel relativo dominio Active Directory. Rappresenta l'utente per tutte le risorse di dominio a cui l'utente tenta di accedere. Nella configurazione ibrida BCS di SharePoint, viene utilizzato per autenticare l'utente in SharePoint in locale. Credenziali dati esterni: il servizio OData viene protetto tramite l'autenticazione di base o l'autenticazione di Windows oppure utilizzando un provider di autenticazione personalizzato. 9