【正文】 ........................................79 ........................................................................................................................................79 ....................................................................................................................80iv / 133 80 80 80 ....................................................................................................................................80 81 和 .NET Framework 安裝注意事項 ........................................................................................81 安裝了哪些組件？ ..................................................................................................................82 安裝建議 ...............................................................................................................................84 確保 WEB 服務(wù)器安全的步驟 ......................................................................................................86 1：修補程序和更新程序 .....................................................................................................86 2： IISLockdown ...................................................................................................................88 3：服務(wù) .................................................................................................................................91 4：協(xié)議 .................................................................................................................................93 5：帳戶 .................................................................................................................................95 6：文件和目錄 .....................................................................................................................98 7：共享 ...............................................................................................................................100 8：端口 ...............................................................................................................................101 9：注冊表 ...........................................................................................................................102 步驟 10：審核和日志記錄 ................................................................................................103 步驟 11：站點和虛擬目錄 ................................................................................................105 步驟 12：腳本映射 ............................................................................................................109 步驟 13： ISAPI 篩選器 ......................................................................................................112 步驟 14： IIS 元數(shù)據(jù)庫 ......................................................................................................113 步驟 15：服務(wù)器證書 ........................................................................................................114 步驟 17：代碼訪問安全性 ................................................................................................1171 / 133第 1 章 Sharepoint Portal Server 2022 安全概述 簡介微軟 Sharepoint Portal Server 2022(以后簡稱 SPS2022)是基于 Windows Sharepoint Service 和 SQLServer2022 開發(fā)的企業(yè)信息門戶支撐平臺，它必須運行在 Windows 2022 Server 操作系統(tǒng)上。由于 SPS2022 信息門戶的所有內(nèi)容都存儲在 SQLServer2022 關(guān)系數(shù)據(jù)庫中，因此，對 SPS2022 的安全管理和加固，重點應(yīng)放在 Web 主機和應(yīng)用的加固、網(wǎng)站內(nèi)容訪問權(quán)限的管理、用戶認證和授權(quán)、安全的數(shù)據(jù)訪問和加固數(shù)據(jù)庫服務(wù)器等五個方面。當(dāng)認證通過的用戶訪問門戶時，Web 主機進行轉(zhuǎn)發(fā)，由 SPS 從數(shù)據(jù)庫中獲取有關(guān)內(nèi)容，并渲染成 Web 頁面展示到用戶的瀏覽器上。當(dāng)創(chuàng)建一個 SPS 門戶時，系統(tǒng)會自動在數(shù)據(jù)庫服務(wù)器上創(chuàng)建三個庫，他們分別是站點數(shù)據(jù)庫，組件設(shè)置數(shù)據(jù)庫和用戶信息數(shù)據(jù)庫，每個庫的作用如下表所示：數(shù)據(jù)庫 作用站點數(shù)據(jù)庫 保存所有的門戶和站點的內(nèi)容，包括網(wǎng)頁、文檔、圖片和樣式表2 / 133等名稱：門戶名稱+_SITEDB組件設(shè)置數(shù)據(jù)庫 存儲門戶的個性提醒、通知以及訪問日志等名稱：門戶名稱+_SERVDB用戶信息數(shù)據(jù)庫 存儲用戶的個人檔案信息名稱：門戶名稱+_PROFDB配置庫 存放 SPS 服務(wù)器場的配置信息名稱：企業(yè)信息門戶名稱+_CONFIGDB 功能與定位除了一般的企業(yè)門戶支撐平臺提供網(wǎng)站服務(wù)功能外，SPS 還提供了搜索引擎、網(wǎng)站內(nèi)容存儲、個性化服務(wù)和網(wǎng)上協(xié)作支持等功能，并且能和 Office2022 專業(yè)版和企業(yè)版完全集成。對 SPS 的加固，也應(yīng)圍繞這這幾個方面進行。4 / 133第 2 章 身份認證和授權(quán)SPS2022 資源的訪問控制 身份認證SPS2022 的用戶認證由 Web 主機負責(zé)，支持如下幾種認證機制：認證機制 優(yōu)點 特點Basic 認證（基本認證）W3C 標(biāo)準(zhǔn)，協(xié)議簡單可靠，并且支持所有的瀏覽器口令明文傳遞，因此推薦用 SSL 保護密碼口令明文存儲在主機和 PC 內(nèi)存中不能修改登錄界面數(shù)字證書認證 和 SSL 協(xié)議一起使用，可自動登錄要求用戶擁有合法證書，不適用互聯(lián)網(wǎng)門戶集成 Windows認證使用 NTLM 或 Kerberos 認證協(xié)議，可實現(xiàn)自動登錄，和活動目錄集成只支持 IE 瀏覽器不支持 Http 代理服務(wù)器代理認證在 環(huán)境下，網(wǎng)站默認采用集成 Windows 認證協(xié)議，在企業(yè)信息門戶應(yīng)用場景中，建議采用集成 Windows 認證方式。Microsoft SharePoint? Portal Server 使用角色來控制對工作空間內(nèi)容的訪問，并將具有相同權(quán)限的用戶分組到同一名稱下，這類似于 Microsoft Windows174。SharePoint Portal Server 將角色存儲在單個的文件夾中，而不是將其存儲在目錄服務(wù)中或服務(wù)器的安全數(shù)據(jù)庫中?？梢酝ㄟ^賦予某個用戶執(zhí)行特定任務(wù)的用戶權(quán)限將其同一個角色關(guān)聯(lián)起來，例如：授予其創(chuàng)建或編輯文檔的權(quán)限。在您創(chuàng)建自定義角色的時候，您可以選擇將團隊站點所有可用的權(quán)限任意組合在一起5 / 133使用。? 讀者 允許用戶搜索、查看和瀏覽網(wǎng)站內(nèi)容。 ? 討論參與者 允許用戶向網(wǎng)站中已獲授權(quán)的區(qū)域提交內(nèi)容。 ? 管理員 允許用戶完全控制網(wǎng)站。具體操作如下：1. 在“網(wǎng)站設(shè)置”頁上的“常規(guī)設(shè)置”節(jié)中，單擊“管理用戶”。 3. 在“添加用戶：portal_site_name”頁的“步驟 1：選擇用戶”節(jié)，在“用戶”框中鍵入電子郵件地址或帳戶名。 o 以“域\用戶名”格式鍵入帳戶名。4. 在“步驟 2：選擇網(wǎng)站用戶組”節(jié)中，對每個要分配用戶的網(wǎng)站用戶組，選中其復(fù)選框，然后單擊“下一步”。 6. 在“步驟 4：發(fā)送電子郵件”節(jié)中，執(zhí)行下列操作之一： 1. 如果希望通過發(fā)送電子郵件來通知用戶已獲授權(quán)，請選中“發(fā)送以下電子郵件以通知這些用戶他們已被添加”復(fù)選框。2. 如果希望自定義郵件，則在“主題”和“正文”框中鍵入更改。 更改系統(tǒng)訪問帳戶和密碼Microsoft Office SharePoint Portal Server 2022 使用下列帳戶： ? 配置數(shù)據(jù)庫管理帳戶 ? CentralAdminAppPool 應(yīng)用程序池帳戶 ? 門戶網(wǎng)站應(yīng)用程序池標(biāo)識 ? 默認內(nèi)容訪問帳戶 ? 用于爬網(wǎng)的替代帳戶 ? 用戶配置文件導(dǎo)入帳戶 ? Single Signon Service 帳戶SharePoint Portal Server 對 Microsoft SQL Server 中的現(xiàn)有帳戶授權(quán)。要點 必須在安裝了 SharePoint Portal Server 的服務(wù)器場中的每個服務(wù)器上更改帳戶。SharePoint 管理中心使用此帳戶訪問和修改配置數(shù)據(jù)庫和門戶網(wǎng)站的全部數(shù)據(jù)庫（人員配置文件、內(nèi)容和組件設(shè)置數(shù)據(jù)庫）中的設(shè)置。該帳戶必須擁有對 SQL Server 實例的數(shù)據(jù)庫創(chuàng)建者和安全管理員服務(wù)器角色。7 / 133要點 下列用戶權(quán)限將自動授予本地服務(wù)器上的此帳戶（配置數(shù)據(jù)庫管理帳戶）：替換進程級令牌、調(diào)整進程的內(nèi)存配額和作為服務(wù)登錄。請參見下列過程的步驟 5（取消舊的配置數(shù)據(jù)庫管理帳戶的權(quán)限）來刪除這些權(quán)限。不這樣做會導(dǎo)致爬網(wǎng)失敗。注釋 如果此帳戶的密碼已過期并且必須更改，或該密碼已重新設(shè)置，則在執(zhí)行下列過程之前必須先對 CentralAdminAppPool 應(yīng)用程序池執(zhí)行此文檔后面“CentralAdminAppPool 應(yīng)用程序池帳戶”部分中的過程。1. 在任務(wù)欄上，單擊“ 開始 ”，指向“管理工具”，再單擊 “服務(wù)”。 3. 單擊“登錄 ”選項卡。 5. 在“本帳戶 ”框中，以“域\用戶名”格式鍵入用戶名。 7. 單擊“確定 ”。 9. 用鼠標(biāo)右鍵單擊“MSSQLSERVER” ，再單擊“停止”。 11. 用鼠標(biāo)右鍵單擊“MSSQLSERVER” ，再單擊“開始”。 8 / 13313. 單擊“登錄 ”選項卡。 15. 在“本帳戶 ”框中，以“域\用戶名”格式鍵入用戶名。 17. 單擊“確定 ”。1. 在運行 SQL Server 的計算機上，打開 SQL Server 企業(yè)管理器。 3. 展開“SQL Server 組”節(jié)點。 5. 展開“安全性 ”節(jié)點。 ? 如果登錄名已經(jīng)存在，請用鼠標(biāo)右鍵單擊該登錄名，再單擊“屬性”。 8. 在