Vue d ensemble des environnements hybrides Business Connectivity Services SharePoint 2013

Transcription

1 Vue d ensemble des environnements hybrides Business Connectivity Services SharePoint 2013 Christopher J Fox Microsoft Corporation Novembre 2012 S applique à : SharePoint 2013, SharePoint Online Résumé : un environnement SharePoint hybride se compose d une batterie de serveurs SharePoint 2013 déployée localement et d une location SharePoint Online Microsoft Office 365. L intégration de la version locale de SharePoint 2013 et de SharePoint Online vous permet d utiliser Business Connectivity Services pour publier en toute sécurité des données métiers internes dans SharePoint Online.

2 Ce document est fourni en l état. Les informations et les vues contenues dans ce document, y compris les URL et autres références de site web Internet, sont susceptibles d être modifiées sans préavis. Leur utilisation relève de votre seule responsabilité. Les exemples fournis ici le sont à titre d illustration uniquement et sont fictifs. Aucune association ou connexion réelle n est voulue ni suggérée. Ce document ne vous confère aucun droit sur la propriété intellectuelle inhérente à quelque produit Microsoft que ce soit. Vous pouvez copier ou utiliser ce document pour vos propres besoins de référence internes. Vous pouvez modifier ce document pour vos propres besoins de référence internes Microsoft Corporation. Tous droits réservés. 2

3 Sommaire Sommaire... 3 Axes stratégiques... 4 Qu est-ce qu une solution hybride Business Connectivity Services SharePoint?... 4 Pourquoi utiliser une solution hybride BCS SharePoint?... 4 Architecture hybride BCS... 5 Office 365 et SharePoint Online... 5 Version locale... 5 Flux de données hybrides BCS... 7 Types de certificats et informations d identification... 8 Certificats de serveur et certificats SharePoint... 8 Informations d identification des utilisateurs

4 Axes stratégiques Une solution hybride BCS (Business Connectivity Services) vous permet de publier en toute sécurité des données métiers internes pour vos utilisateurs dans SharePoint Online. Elle constitue une solution spécifique à un problème très spécifique. Cette section a pour but de vous aider à mieux comprendre cette solution et quand l utiliser. Qu est-ce qu une solution hybride Business Connectivity Services SharePoint? Si votre société possède une batterie de serveurs SharePoint 2013 locale et une location SharePoint Online 2013, vous pouvez créer une connexion sécurisée entre votre batterie et SharePoint Online afin de rendre des données métiers accessibles aux applications pour SharePoint et aux listes externes dans SharePoint Online par le biais des services BCS. Cette solution porte le nom de solution hybride BCS SharePoint. SharePoint Online 2013 prend en charge uniquement les connexions unidirectionnelles depuis SharePoint Online vers une seule batterie locale. Les données métiers doivent être publiées comme source OData. Pourquoi utiliser une solution hybride BCS SharePoint? Une solution hybride BCS SharePoint 2013 offre une passerelle pour les sociétés qui souhaitent tirer parti de SharePoint Online dans le nuage pour accéder à des données métiers locales tout en maintenant les données propriétaires en sécurité sur leur intranet d entreprise. La solution hybride BCS SharePoint n impose pas l ouverture de voies d accès dans votre pare-feu pour autoriser le passage du trafic, ni le déplacement de vos données métiers sur le réseau de périmètre. Elle utilise les services BCS locaux pour établir une connexion aux données métiers puis, par le biais d un proxy inverse, publier de manière sécurisée le point de terminaison vers les services BCS dans SharePoint Online

5 Architecture hybride BCS La solution hybride BCS possède des composants locaux et dans le nuage Office 365. Office 365 et SharePoint Online Chaque abonnement à Microsoft Office 365 héberge une location SharePoint Online. L abonnement à Office 365 fournit également le service de contrôle d accès et les services MSODS (Microsoft Online Directory Services). SharePoint Online Héberge les sites qui exposent les données métiers locales, le service runtime BCS et le magasin de métadonnées, ainsi que le service Banque d informations sécurisé. Service BCS runtime en ligne - Le service BCS runtime est une application de service SharePoint qui gère toutes les fonctionnalités BCS, telles que l administration, la sécurité et les communications. Services MSODS Office 365 Procurent des services d annuaire dans Office 365, que vous pouvez synchroniser avec vos services de domaine Active Directory (AD DS, Active Directory Domain Services) locaux. La synchronisation s effectue par le biais de la synchronisation des profils utilisateur et permet aux utilisateurs d utiliser le même compte pour l authentification locale et l authentification dans le nuage. Service Banque d informations sécurisé SharePoint Online Il s agit de l application de service SharePoint de mappage d informations d identification. Dans la solution hybride BCS SharePoint, SharePoint Online stocke un certificat de serveur SSL qui authentifie la demande SharePoint Online auprès du proxy inverse. Service de contrôle d accès Azure Il s agit du service d émission de jetons de sécurité Azure qui effectue l authentification et émet les jetons de sécurité quand un utilisateur se connecte à un site SharePoint Online. Il consulte les informations d identification dans les services MSODS, qui ont été synchronisées avec les comptes Active Directory locaux. Cela permet à l utilisateur d utiliser le même jeu d informations d identification pour l environnement local et l environnement en ligne. Version locale Proxy inverse Ce serveur est responsable de l acceptation et de l authentification du trafic entrant en provenance d Internet et de la publication du point de terminaison auquel la demande entrante doit se connecter. Il se trouve sur le réseau de périmètre. SharePoint local Batterie de serveurs SharePoint 2013 qui héberge le service BCS, le site qui accepte les demandes hybrides entrantes et le Service Banque d informations sécurisé. Services AD DS Services Windows Server qui stockent et gèrent les comptes d utilisateur, les groupes de sécurité, les groupes de distribution et les comptes d ordinateurs. 5

6 Magasin de profils utilisateur Base de données SharePoint qui sert à stocker les informations de profils utilisateur. Les profils utilisateur contiennent des informations détaillées sur les membres d une organisation. Un profil utilisateur organise et affiche toutes les propriétés associées à chaque utilisateur, ainsi que les liens de mise en réseau, les documents et d autres éléments qui y sont liés. Dans le scénario hybride BCS, il sert à mapper les informations d identification OAuth du service de contrôle d accès aux informations d identification de domaine. Pipeline CSOM Le modèle objet côté client reçoit la demande du proxy inverse et mappe le jeton utilisateur OAuth entre le service de contrôle d accès et les informations d identification de domaine des utilisateurs. Site/Collection de sites Collection de sites créée spécialement en vue de faciliter toutes les communications de demandes hybrides. Un mappage des accès de substitution est configuré pour l application web dans laquelle se trouve cette collection de sites. Service BCS runtime SharePoint local Le service BCS runtime est une application de service SharePoint qui gère toutes les fonctionnalités BCS, telles que l administration, la sécurité et les communications. Service Banque d informations sécurisé SharePoint local Il s agit de l application de service SharePoint de mappage d informations d identification. Dans la solution hybride BCS SharePoint, la version locale de SharePoint stocke le mappage entre les informations d identification de domaine des utilisateurs et les informations d identification utilisées pour accéder à la source de données externe. Tête de service OData La solution hybride BCS SharePoint ne prend en charge que le protocole OData. Si vos données externes ne sont pas accessibles de manière native via une source OData, vous devez utiliser Visual Studio pour générer et déployer une tête de service OData. Données externes Données métier avec lesquelles la solution hybride BCS SharePoint travaille. 6

7 Flux de données hybrides BCS Dans SharePoint Online, vous rendez les données externes disponibles par le biais de listes externes ou d applications pour SharePoint. L exemple ci-dessous utilise une liste externe. 1. Un travail de l information se connecte à sa location SharePoint Online et ouvre une liste externe qui requiert des données d une source OData locale. 2. La liste externe crée une demande pour les données et l envoie à Business Connectivity Services. BCS examine la demande et vérifie l objet de paramètres de connexion et le type de contenu externe pour savoir comment se connecter à la source de données et quelles informations d identification utiliser. 7

8 3. Business Connectivity Services extrait un certificat client du service Banque d informations sécurisé dans SharePoint Online.Le certificat client est un certificat SSL utilisé pour l authentification auprès du proxy inverse. BCS extrait également un jeton OAuth à partir du service de contrôle d accès. Il s agit des informations d identification de l utilisateur qui servent à son authentification auprès de la batterie de serveurs locale SharePoint Business Connectivity Services envoie une demande HTTPS au point de terminaison pour la source de données publié par le proxy inverse. 5. Le proxy inverse authentifie la demande à l aide du certificat client et la transfère au pipeline CSOM de la batterie SharePoint 2013 locale. 6. Celui-ci consulte le service Profil utilisateur pour rechercher un mappage entre le jeton de sécurité OAuth de l utilisateur dans le service de contrôle d accès et ses informations d identification de domaine dans les services AD DS. S il existe un mappage, les informations d identification de domaine de l utilisateur sont renvoyées à la demande. Ces informations servent à authentifier l utilisateur auprès du site local SharePoint qui reçoit les demandes hybrides et la demande est ensuite transmise au service BCS local SharePoint. 7. Celui-ci extrait les informations d identification utilisées pour l authentification auprès de la source de données externe à partir du service Banque d informations sécurisé local SharePoint. Le service BCS local SharePoint transmet la demande de données avec les informations d identification de données externes à la tête de service OData, qui effectue ensuite les opérations souhaitées sur les données externes et renvoie les résultats à l utilisateur de SharePoint Online. Types de certificats et informations d identification La solution hybride BCS est une combinaison de la configuration hybride SharePoint et d une configuration BCS. Chaque configuration requiert différents jeux de certificats et d informations d identification utilisateur, et ces deux jeux sont nécessaires au bon fonctionnement de la solution hybride BCS. Certificats de serveur et certificats SharePoint Certificat SSL - Ce certificat sert à établir l approbation pour le canal de communication entre le périphérique de proxy inverse et Office 365. Il peut s agir d un caractère générique et il doit provenir d une autorité de certification bien connue. Serveur à serveur La configuration de l authentification de serveur à serveur pour les environnements hybrides SharePoint consiste à établir une approbation entre la version locale de SharePoint et le service de contrôle d accès. Celui-ci joue ensuite le rôle de broker d approbation pour la version locale de SharePoint et pour le serveur SharePoint Online. Lorsque l approbation serveur à serveur est entièrement configurée, chaque batterie de serveurs approuve les jetons de sécurité émis par le service de contrôle d accès et utilisés pour authentifier l accès aux ressources pour le compte de l utilisateur identifié. 8

9 Informations d identification des utilisateurs Jeton de sécurité OAuth du service de contrôle d accès Lorsqu un utilisateur ouvre une session sur SharePoint Online, il est authentifié par le service de contrôle d accès. Celui-ci émet un jeton de sécurité OAuth qui représente l utilisateur auprès de tous les processus et objets SharePoint Online auxquels il tente d accéder. Ce jeton de sécurité est incorporé dans la demande de données externes et passé au proxy inverse en même temps que le certificat SSL. À partir de là, il est transmis au pipeline CSOM dans la version locale de SharePoint et mappé aux informations d identification de domaine de l utilisateur. Informations d identification Active Directory des utilisateurs Il s agit d un autre jeton de sécurité qui représente l utilisateur dans son domaine Active Directory. Il représente l utilisateur auprès de toutes les ressources de domaine auxquelles il tente d accéder. Dans la configuration hybride BCS SharePoint, il sert à authentifier l utilisateur dans la version locale de SharePoint. Informations d identification de données externes - Le service OData est sécurisé à l aide de l authentification de base, de l authentification Windows ou en faisant appel à un fournisseur d authentification personnalisé. 9