1 / 17

Kerberos pour la Business Intelligence

Kerberos pour la Business Intelligence. Jean-Pierre Riehl Membre du Board http://blog.djeepy1.net @djeepy1 . MVP SQL Server MCSA : SQL Server 2012 MCITP : Business Intelligence Developer 2008 MCITP : Database Administrator 2008 MCPD : Enterprise Application

erwin
Download Presentation

Kerberos pour la Business Intelligence

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. Kerberos pour la Business Intelligence

  2. Jean-Pierre Riehl Membre du Board http://blog.djeepy1.net @djeepy1 MVPSQL Server MCSA: SQL Server 2012 MCITP: Business Intelligence Developer 2008 MCITP: Database Administrator 2008 MCPD : Enterprise Application Microsoft Certified Trainer Pure-Player Microsoft • Practice Collaboration • Practice Data & Business Intelligence • Practice Infrastructure • Practice Développement

  3. La mission : «Je dois réaliser un rapport avec SSRS qui donne les ventes de l’utilisateur en cours» • Le problème : • Login failed for user • NT AUTHORITY\ANONYMOUS LOGON 

  4. Problème du « Double Hop » Délégation Hop #1 Hop #2 NTLM

  5. La solution ? Mettre en place Kerberos

  6. Le protocole Kerberos • Protocole d’authentification • KDC : Key Distribution Center • Architecture d’échange de Tickets • permet la délégation d’identité

  7. Kerberos dans SharePoint Ferme SharePoint Windows Auth. Windows Auth. CLAIMS APP WFE

  8. Kerberos dans SharePoint Passer de Claims à Kerberos Ferme SharePoint S4U Logon C2WTS SAML Kerb AD SSRS SAML Kerb CLAIMS Kerberos APP WFE

  9. Pré-requis • Authentification Kerberos sur la ferme SharePoint • Compte de service pour C2WTS • +autorisations • SPN • Délégation

  10. SPN : Service Principal Name • Chaine de caractères représentant le « service » pour Kerberos • <service>/<host>:[<port>] • Associé à un compte AD • Se crée avec la commande SetSPN

  11. SPN HTTP • setspn-s HTTP/ksp AZEOLAB\spservices • setspn -s HTTP/ksp.azeolab.local AZEOLAB\spservices SQL Server • setspn -s MSSQLSvc/kSQL AZEOLAB\sqlserver • setspn-s MSSQLSvc/kSQL.azeolab.local AZEOLAB\sqlserver Browser • setspn-s MSOLAPDisco.3/kSQL AZEOLAB\sqlbrowser • setspn -s MSOLAPDisco.3/kSQL.azeolab.local AZEOLAB\sqlbrowser Analysis Services • setspn -s MSOLAPSvc.3/kSQL AZEOLAB\sqlssas • setspn -s MSOLAPSvc.3/kSQL.azeolab.local AZEOLAB\sqlssas

  12. Délégations • Se définit dans l’AD • On ne peut déléguer que si un SPN est posé sur le compte • SP/C2WTS • SP/SSRS • Délégation contrainte

  13. Kerberos dans SharePoint Ferme SharePoint Windows Auth. Windows Auth. Kerb CLAIMS APP WFE C2WTS Chemins de délégation Service App

  14. On récapitule • Authentification Kerberossur les WebAppSharePoint • Configuration C2WTS • Compte de service, permissions • Création des SPN • Web App, C2WTS, SSRS, SQL, SSAS, Browser • Création des délégations contraintes • Service Application • C2WTS • Serveur • On peut ajouter Excel Services, PerformancePoint, BCS

  15. Pour aller plus loin… • Utilisation de Virtual Service Account • Utilisation de DNS • Topologie Cross-Domain • EffectiveUserName • Quelques outils • Klist • Event Viewer • NetMon • SQL Profiler

  16. Announcement NEW Microsoft® Kerberos Configuration Manager for SQL Server® Téléchargement : http://www.microsoft.com/en-us/download/details.aspx?id=39046

More Related