Visão geral híbrida de Serviços Corporativos de Conectividade do SharePoint 2013

Transcrição

1 Visão geral híbrida de Serviços Corporativos de Conectividade do SharePoint 2013 Christopher J Fox Microsoft Corporation Novembro de 2012 Aplica-se a: SharePoint 2013, SharePoint Online Resumo: Um ambiente híbrido do SharePoint é composto por um farm do SharePoint 2013 que está implantado localmente e um aluguel do Microsoft Office 365 SharePoint Online. A integração do SharePoint 2013 no local e do SharePoint Online permite que você utilize os Serviços Corporativos de Conectividade para publicar os dados de linha de negócios (LOB) internos no SharePoint Online com segurança.

2 Este documento é fornecido "no estado em que se encontra". As informações e exibições expressas neste documento, incluindo URLs e outras referências a sites da Internet, podem ser alteradas sem aviso prévio. As informações e exibições expressas neste documento, incluindo URLs e outras referências a sites da Internet, podem ser alteradas sem aviso prévio. Alguns exemplos citados neste documento são fornecidos somente como ilustração e são fictícios. Não há nenhuma intenção, nem por dedução, de qualquer associação ou conexão real. Este documento não oferece a você quaisquer direitos legais sobre propriedade intelectual em qualquer produto da Microsoft. Este documento pode ser copiado e usado para fins internos e de referência. Este documento pode ser modificado para fins internos e de referência Microsoft Corporation. Todos os direitos reservados. 2

3 Sumário Sumário... 3 Impulsionadores de Negócios... 4 O que é uma solução híbrida de Serviços Corporativos de Conectividade do SharePoint?... 4 Por que usar uma solução híbrida BCS do SharePoint?... 4 Arquitetura híbrida BCS... 5 Office 365 e SharePoint Online... 5 Local... 5 Fluxo de dados híbrido BCS... 7 Tipos de certificados e credenciais... 8 Certificados de servidor e do SharePoint... 8 Credenciais do usuário

4 Impulsionadores de Negócios Uma solução híbrida BCS (Serviços Corporativos de Conectividade) permite que você publique os dados LOB internos para os seus usuários no SharePoint Online. Ela resolve um problema de negócios muito específico de uma determinada maneira. Esta seção ajuda você a compreender essa solução e quando deve utilizá-la. O que é uma solução híbrida de Serviços Corporativos de Conectividade do SharePoint? Se a sua empresa possui um farm do SharePoint 2013 local e um aluguel do SharePoint Online 2013, será possível criar uma conexão segura entre os dois para disponibilizar os dados de linha de negócios (LOB), usando BCS, aos aplicativos do SharePoint e às listas externas no SharePoint Online. Isso é chamado de uma solução híbrida BCS do SharePoint. O SharePoint Online 2013 suporta apenas conexões unidirecionais, de conexões on-line para conexões locais e somente para um farm local. Os dados LOB devem ser publicados como fonte OData. Por que usar uma solução híbrida BCS do SharePoint? A solução híbrida BCS do SharePoint 2013 fornece uma ponte para as empresas que querem aproveitar as vantagens do SharePoint Online baseado em nuvem para acessar os dados LOB locais, mantendo os dados do proprietário confiáveis mantido em sua intranet corporativa. A solução híbrida BCS do SharePoint não requer a abertura de furos no firewall para permitir o tráfego e não requer que você mova os seus dados LOB para dentro da rede de perímetro. A solução híbrida BCS do SharePoint usa os serviços BCS locais para conectar-se aos dados LOB e, então, por meio de um proxy reverso, publicar com segurança o ponto de extremidade para os serviços BCS no SharePoint Online

5 Arquitetura híbrida BCS A solução híbrida BCS possui componentes na nuvem do Office 365 e no local. Office 365 e SharePoint Online Local O365 Todas as inscrições do Microsoft Office 365 hospedam um aluguel do SharePoint Online. A inscrição do O365 também oferece o Access Control Service (ACS) e o Microsoft Online Directory Services (MSODS). SharePoint Online Hospeda os sites que exibem os dados LOB locais, o serviço de tempo de execução BCS, o repositório de metadados e o Serviço de Repositório Seguro. Serviço de tempo de execução BCS Online - O serviço de tempo de execução BCS é um aplicativo de serviço do SharePoint que gerencia todas as funcionalidades BCS, como administração, segurança e comunicações. O365 Microsoft Online Directory Services (MSODS) Fornece serviços de diretório no O365 que podem ser sincronizados com os seus Serviços de Domínio Active Directory (AD DS) locais. A sincronização é feita por meio da sincronização de perfis de usuário e permite que os usuários utilizem a mesma conta para a autenticação no local e na nuvem. Serviço de Repositório Seguro do SharePoint Online Este é o mapeamento de credenciais para o aplicativo de serviço do SharePoint. Na solução híbrida BCS do SharePoint, o SharePoint Online armazena um certificado de servidor SSL que autentica a solicitação do SharePoint Online para o proxy reverso. Azure Access Control Service Este é o serviço de token de segurança do Azure que realiza a autenticação e emite tokens de segurança quando um usuário faz logon em um site do SharePoint Online. Ele pesquisa as credenciais no MSODS, que foram sincronizadas com as contas do Active Directory locais. Isso permite que o usuário utilize o mesmo conjunto de credenciais para os ambientes local e online. Proxy reverso Este servidor é responsável pela aceitação e autenticação do tráfego de entrada da Internet e publicação do ponto de extremidade para a solicitação de entrada para se conectar. Ele está na rede de perímetro. SharePoint local Um farm de servidores do SharePoint 2013, que hospeda o serviço BCS, o site que aceita as solicitações híbridas de entrada e o Serviço de Repositório Seguro. AD DS Um Serviço do Windows Server que armazena e gerencia as contas de usuário, os grupos de segurança, os grupos de distribuição e as contas de computador. Repositório de Perfil de Usuário Um banco de dados do SharePoint utilizado para armazenar as informações de perfil de usuário. Os perfis de usuário contêm informações detalhadas sobre as pessoas de uma organização. Um perfil de usuário organiza e exibe todas as propriedades relacionadas a cada usuário, juntamente com marcas sociais, documentos e outros itens referentes a esse usuário. No cenário híbrido BCS, ele é 5

6 utilizado para mapear as credenciais OAuth do ACS do usuário até as credenciais de domínio dos usuários. Tubulação do CSOM O modelo de objeto do lado do cliente recebe a solicitação de entrada do proxy reverso e mapeia o token de usuário do OAuth do ACS até as credenciais de domínio dos usuários. Site/Conjunto de sites Um conjunto de sites criado especificamente com o propósito de facilitar todas as comunicações de solicitações híbridas. O aplicativo Web, no qual este conjunto de sites está, possui um mapeamento alternativo de acesso configurado. Serviço de tempo de execução BCS do SharePoint local O serviço de tempo de execução BCS é um aplicativo de serviço do SharePoint que gerencia todas as funcionalidades BCS, como administração, segurança e comunicações. Serviço de Repositório Seguro do SharePoint local Este é o mapeamento de credenciais para o aplicativo de serviço do SharePoint. Na solução híbrida BCS do SharePoint, o SharePoint local armazena o mapeamento das credenciais de domínio dos usuários até as credenciais que são utilizadas para acessar a fonte de dados externa. Cabeçalho de serviço OData A solução híbrida BCS do SharePoint apenas suporta o protocolo OData. Se seus dados externos não estiverem originalmente acessíveis por meio da fonte OData, é necessário utilizar o Visual Studio para compilar e implantar um cabeçalho de serviço OData para eles. Dados externos Os dados LOB (de linha de negócios) com os quais a solução híbrida BCS do SharePoint funciona. 6

7 Fluxo de dados híbrido BCS No SharePoint Online, você disponibiliza os dados externos por meio das listas externas ou aplicativos do SharePoint. Este exemplo usa uma lista externa. 1. Um profissional da área de informação faz logon no seu aluguel do SharePoint Online e abre uma lista externa que requer dados de uma fonte OData local. 2. A lista externa cria uma solicitação de dados e a envia aos Serviços Corporativos de Conectividade. O BCS examina a solicitação e consulta o tipo de conteúdo externo e o objeto de configurações de conexão para visualizar como se conectar à fonte de dados e quais credenciais usar. 3. Os Serviços Corporativos de Conectividade recupera um certificado do cliente do serviço de repositório seguro no SharePoint Online. O certificado do cliente é um certificado SSL e ele é utilizado para autenticar o proxy reverso. O BCS também recupera um token do OAuth a partir do Access Control Service. Essas são as credenciais de uso que são utilizadas para a autenticação do usuário do farm do SharePoint 2013 local. 7

8 4. O Serviço Corporativo de Conectividade envia uma solicitação de HTTPS ao ponto de extremidade da fonte de dados que é publicada pelo proxy reverso. 5. O proxy reverso autentica a solicitação utilizando o certificado de cliente e a encaminha à tubulação do modelo de objeto do lado do cliente (CSOM) do farm do SharePoint 2013 local. 6. A tubulação do CSOM consulta o Serviço de Perfil de Usuário para procurar um mapeamento entre o token de segurança do OAuth dos usuários a partir do ACS e as credenciais de domínio do usuário a partir do AD DS. Se existir um, as credenciais de domínio do usuário são retornadas à solicitação. As credenciais de domínio do usuário são utilizadas para autenticar o site do SharePoint local que recebe solicitações híbridas e a solicitação é passada para o serviço BCS do SharePoint local. 7. O BCS do SharePoint local recupera as credenciais que são utilizadas para autenticar a fonte de dados externa a partir do Serviço de Repositório Seguro do SharePoint local. Então, o serviço BCS do SharePoint local passa a solicitação de dados junto com as credenciais de dados externos para o cabeçalho de serviço OData que realizará as operações desejadas nos dados externos e retornará os resultados para o usuário do SharePoint Online. Tipos de certificados e credenciais A solução híbrida BCS é uma combinação da configuração híbrida do SharePoint e uma configuração BCS. Cada configuração requer conjuntos de certificados diferentes e credenciais de usuário e você precisa de ambos os conjuntos para a solução híbrida BCS funcionar. Certificados de servidor e do SharePoint Certificado SSL - Este certificado é utilizado para estabelecer relação de confiança para o canal de comunicação entre o dispositivo de proxy reverso e o O365. Ele pode ser um certificado curinga, ele deve ser de uma autoridade de certificação reconhecida. Servidor para servidor A configuração da autenticação de servidor para servidor para os ambientes híbridos do SharePoint consiste em estabelecer relação de confiança entre o SharePoint local e o Access Control Service (ACS). O ACS será o agente de confiança do servidor do SharePoint local e do SharePoint Online. Quando a confiança de servidor para servidor estiver totalmente configurada, cada farm de servidor confiará nos tokens de segurança que são emitidos pelo ACS e são utilizados para autenticar o acesso aos recursos em nome do usuário identificado. Credenciais do usuário Token de segurança do OAuth a partir do ACS Quando um usuário faz logon no SharePoint Online, o usuário é autenticado pelo ACS. O ACS emite um token de segurança do OAuth, que representa o usuário para todos os objetos e processos do SharePoint Online que ele tentar acessar. Esse token de segurança está incorporado na solicitação dos dados externos e é 8

9 passado junto com o certificado SSL para o proxy reverso. A partir daí, ele passa pela tubulação do modelo de objeto do lado do cliente (CSOM) no SharePoint local e é mapeado para as credenciais de domínio dos usuários. Credencial dos usuários do Active Directory Este é outro token de segurança que representa o usuário no domínio Active Directory do usuário. Ele representa o usuário para todos os recursos de domínio que o usuário tentar acessar. Na configuração híbrida BCS do SharePoint, ele é utilizado para autenticar o usuário no SharePoint local. Credenciais de dados externos - O serviço OData é protegido utilizando uma autenticação básica ou uma autenticação do Windows, ou usando um provedor de autenticação personalizada. 9