Configurare l'accesso HTTP a Analysis Services in IIS 8.0

Si applica a: SQL Server Analysis Services Azure Analysis Services Fabric/Power BI Premium

In questo articolo viene illustrato come configurare un endpoint HTTP per l'accesso a un'istanza di Analysis Services. È possibile abilitare l'accesso HTTP configurando MSMDPUMP.dll, un'estensione ISAPI che viene eseguita in IIS (Internet Information Services) e che consente di eseguire attività di data pump da applicazioni client a un server Analysis Services e viceversa. Questo approccio fornisce un'alternativa per la connessione ad Analysis Services se per le soluzioni Business Intelligence in uso sono richieste le funzionalità seguenti:

• L'accesso client viene eseguito tramite connessioni Internet o Extranet, con restrizioni relativamente alle porte che è possibile abilitare.

• Le connessioni client hanno origine da domini non attendibili nella stessa rete.

• Le applicazioni client vengono eseguite in un ambiente di rete che consente connessioni HTTP ma non TCP/IP.

• Nelle applicazioni client non è possibile utilizzare le librerie client di Analysis Services (ad esempio, un'applicazione Java in esecuzione in un server UNIX). Se non è possibile utilizzare le librerie client di Analysis Services per l'accesso ai dati, è possibile utilizzare SOAP e XML/A in una connessione HTTP diretta a un'istanza di Analysis Services.

• Sono richiesti metodi di autenticazione diversi dalla sicurezza integrata di Windows. In particolare, è possibile utilizzare le connessioni anonime e l'autenticazione di base quando si configura Analysis Services per l'accesso HTTP. Le autenticazioni Digest, basate su form e ASP.NET non sono supportate. Un requisito di autenticazione di base è uno dei motivi principali per l'abilitazione dell'accesso HTTP. Per altre informazioni, vedere Microsoft BI Authentication and Identity Delegation(Autenticazione a Microsoft BI e delega d'identità).

È possibile configurare l'accesso HTTP per qualsiasi versione o edizione supportata di Analysis Services con l'esecuzione in modalità tabulare o multidimensionale. I cubi locali sono un'eccezione. È possibile connettersi a un cubo locale tramite un endpoint HTTP.

L'impostazione dell'accesso HTTP è un'attività di post-installazione. Analysis Services deve essere installato prima di configurarlo per l'accesso HTTP. Come amministratore di Analysis Services, sarà necessario concedere autorizzazioni agli account di Windows prima che sia possibile eseguire l'accesso HTTP. Inoltre, è buona norma convalidare prima di tutto l'installazione, verificando che sia pienamente operativa prima di proseguire la configurazione del server. Dopo aver configurato l'accesso HTTP, è possibile usare sia l'endpoint HTTP sia il nome di rete regolare del server su TCP/IP. La configurazione dell'accesso HTTP non invalida altri approcci per l'accesso ai dati.

Proseguendo nella configurazione di MSMDPUMP, tenere presente che ci sono due connessioni da considerare: da client a IIS e da IIS a SSAS. Le istruzioni in questo articolo riguardano la connessione da IIS a SSAS. L'applicazione client potrebbe richiedere una configurazione aggiuntiva per la connessione a IIS. Le decisioni riguardanti l'uso di SSL o la configurazione delle associazioni non sono comprese nell'ambito di questo articolo. Per altre informazioni su IIS, vedere Web Server (IIS) .

Panoramica

MSMDPUMP è un'estensione ISAPI che viene caricata in IIS e fornisce il reindirizzamento a un'istanza di Analysis Services locale o remota. Configurando l'estensione ISAPI, viene creato un endpoint HTTP a un'istanza di Analysis Services.

Per ogni endpoint HTTP è necessario creare e configurare una directory virtuale. A ogni endpoint dovrà essere associato un proprio set di file MSMDPUMP, per ogni istanza di Analysis Services a cui si desidera effettuare la connessione. In un file di configurazione in questo set di file viene specificato il nome dell'istanza di Analysis Services utilizzata per ciascun endpoint HTTP.

In IIS la connessione di MSMDPUMP ad Analysis Services viene eseguita tramite il provider OLE DB di Analysis Services su TCP/IP. Anche se le richieste client possono avere origine all'esterno del trust del dominio, Analysis Services e IIS devono essere nello stesso dominio o in domini trusted affinché la connessione nativa abbia esito positivo.

Per la connessione di MSMDPUMP ad Analysis Services, viene utilizzata un'identità utente di Windows. Questo account sarà un account anonimo se è stata configurata la directory virtuale per le connessioni anonime o un account utente di Windows. L'account deve disporre dei diritti di accesso ai dati adatti per il database e il server Analysis Services.

Nella tabella seguente vengono elencate ulteriori considerazioni relative all'abilitazione dell'accesso HTTP per scenari diversi.

Prerequisiti

Le istruzioni in questo articolo presuppongono che IIS sia già configurato e che sia già installato Analysis Services. Windows Server 2012 viene fornito con IIS 8.x come ruolo server che può essere abilitato nel sistema.

Configurazione aggiuntiva in IIS 8.0

Nella configurazione predefinita di IIS 8.0 mancano componenti necessari per l'accesso HTTP ad Analysis Services. Questi componenti, disponibili nelle aree funzionali Sicurezza e Sviluppo di applicazioni del ruolo Server Web (IIS) , sono i seguenti:

• Sicurezza | Autenticazione di Windows o Autenticazione di base e altre funzionalità di sicurezza necessarie per lo scenario di accesso ai dati.

• Sviluppo | di applicazioniCGI

• Sviluppo | di applicazioniEstensioni ISAPI

Per verificare o aggiungere questi componenti, usare Server Manager | Manage | Aggiungi ruoli e funzionalità. Eseguire la procedura guidata fino a Ruoli server. Scorrere fino a Server Web (IIS).

1. Aprire Sicurezza server | Webe scegliere i metodi di autenticazione.

2. Aprire SviluppoapplicazioniWeb Server | e scegliere Estensioni CGI e ISAPI.

   

Quando IIS è in un server remoto

Una connessione remota tra IIS e Analysis Services richiede l'installazione del provider OLE DB per Analysis Services (MSOLAP) nel server Windows che esegue IIS.

1. Aprire la pagina di download per il Feature Pack di SQL Server 2014

2. Fare clic sul pulsante rosso Scarica.

3. Scorrere verso il basso fino a trovare ITA\x64\SQL_AS_OLEDB.msi

4. Per completare l'installazione, seguire le istruzioni della procedura guidata.

Passaggio 1: Copiare i file MSMDPUMP in una cartella nel server Web

A ogni endpoint HTTP creato deve essere associato un proprio set di file MSMDPUMP. In questo passaggio si esegue la copia del file eseguibile MSMDPUMP, del file di configurazione e della cartella delle risorse dalle cartelle di programma di Analysis Services in una cartella della directory virtuale IIS che verrà creata nel file system del computer in cui è in esecuzione IIS.

È necessario formattare l'unità per il file system NTFS. Il percorso della cartella creata non deve contenere spazi.

1. Copiare i file seguenti, disponibili in <drive>:\Programmi\Microsoft SQL Server\instance>\<OLAP\bin\isapi: MSMDPUMP.DLL, MSMDPUMP.INI e una cartella Resources.

   

2. Nel server Web creare una nuova cartella: <unità>:\inetpub\wwwroot\OLAP

3. Incollare i file copiati in precedenza in questa nuova cartella.

4. Verificare che nella cartella \inetpub\wwwroot\OLAP nel server Web siano contenuti i file MSMDPUMP.DLL, MSMDPUMP.INI e una cartella Resources. La struttura di cartelle dovrebbe essere simile alla seguente:

   • <drive>:\inetpub\wwwroot\OLAP\MSMDPUMP.dll

   • <drive>:\inetpub\wwwroot\OLAP\MSMDPUMP.ini

   • <drive>:\inetpub\wwwroot\OLAP\Resources

Passaggio 2: Creare un pool di applicazioni e una directory virtuale in IIS

Successivamente, creare un pool di applicazioni e un endpoint al data pump.

Creare un pool di applicazioni

1. Avviare Gestione IIS.

2. Aprire la cartella del server, fare clic con il pulsante destro del mouse su Pool di applicazioni e scegliere Aggiungi pool di applicazioni. Creare un pool di applicazioni con il nome OLAP, usando .NET Framework, con Modalità pipeline gestita impostata su Classica.

   

3. Per impostazione predefinita, IIS crea pool di applicazioni usando ApplicationPoolIdentity come identità di sicurezza,una scelta valida per l'accesso HTTP ad Analysis Services. Se si hanno motivi specifici per modificare l'identità, fare clic con il pulsante destro su OLAPe scegliere Impostazioni avanzate. Selezionare ApplicationPoolIdentity. Fare clic sul pulsante Cambia di questa proprietà per sostituire l'account predefinito con quello personalizzato che si vuole usare.

   delle

4. Per impostazione predefinita, in un sistema operativo a 64 bit, tramite IIS la proprietà Attiva applicazioni a 32 bit viene impostata su False. Se il file msmdpump.dll è stato copiato da un'installazione a 64 bit di Analysis Services, questa è l'impostazione corretta per l'estensione MSMDPUMP in un server IIS a 64 bit. Se i file binari MSMDPUMP sono stati copiati da un'installazione a 32 bit, impostare su True. Controllare questa proprietà in Impostazioni avanzate per assicurarsi che sia impostata correttamente.

Creare un'applicazione

1. In Gestione IIS aprire Sitie selezionare Sito Web predefinito. Verrà visualizzata una cartella denominata Olap. Si tratta di un riferimento alla cartella OLAP creata in \inetpub\wwwroot.

   

2. Fare clic con il pulsante destro del mouse sulla cartella e scegliere Converti in applicazione.

3. In Aggiungi applicazione immettere OLAP per l'alias. Fare clic su Seleziona per scegliere il pool di applicazioni OLAP. Impostare l'opzione Percorso fisico su C:\inetpub\wwwroot\OLAP

   

4. Fare clic su OK. Aggiornare il sito Web. La cartella OLAP è ora un'applicazione nel sito Web predefinito. A questo punto viene stabilito il percorso virtuale per il file MSMDPUMP.

   

Passaggio 3: Configurare l'autenticazione IIS e aggiungere l'estensione

In questo passaggio viene configurata ulteriormente la directory virtuale SSAS appena creata. Viene specificato un metodo di autenticazione e quindi aggiunto un mapping di script. Tra i metodi di autenticazione supportati per Analysis Services tramite HTTP sono inclusi:

• Autenticazione di Windows (Kerberos o NTLM)

• Autenticazione di base

• Autenticazione anonima

L'autenticazione di Windows è considerata la forma di autenticazione più sicura. Consente anche di usare l'infrastruttura esistente per le reti che impiegano Active Directory. Per utilizzare l'autenticazione di Windows in modo efficiente, tutti i browser e le applicazioni client e server devono supportarla. Si tratta della modalità più sicura e consigliata, per la quale è tuttavia necessario che IIS abbia accesso a un controller di dominio Windows in grado di autenticare l'identità dell'utente che richiede una connessione.

Per le topologie in cui Analysis Services e IIS vengono installati in computer diversi, sarà necessario risolvere i problemi di doppio hop che si verificano quando un'identità utente deve essere delegata a un secondo servizio in un computer remoto, in genere abilitando Analysis Services per la delega vincolata Kerberos. Per altre informazioni, vedere Configure Analysis Services for Kerberos constrained delegation.

L'autenticazione di base viene usata in presenza di identità di Windows. Le connessioni utente hanno tuttavia origine da domini non attendibili, che non consentono l'uso di connessioni rappresentate o delegate. L'autenticazione di base consente di specificare un'identità utente e una password in una stringa di connessione. Anziché utilizzare il contesto di sicurezza dell'utente corrente, per effettuare la connessione ad Analysis Services vengono utilizzate le credenziali nella stringa di connessione. Poiché Analysis Services supporta solo l'autenticazione di Windows, tutte le credenziali che gli vengono passate devono rappresentare un utente o gruppo di Windows che sia un membro del dominio in cui Analysis Services è ospitato.

L'autenticazione anonima viene spesso usata durante il test iniziale, perché la relativa semplicità di configurazione consente di convalidare rapidamente la connettività HTTP ad Analysis Services. In soli pochi passaggi è possibile assegnare un account utente univoco come identità, concedere all'account le autorizzazioni in Analysis Services, utilizzare l'account per verificare l'accesso ai dati in un'applicazione client e infine disabilitare l'autenticazione anonima al completamento del test.

È anche possibile usare l'autenticazione anonima in un ambiente di produzione se gli utenti non hanno account utente di Windows, ma si attengono alle procedure consigliate bloccando le autorizzazioni nel sistema host, come illustrato nell'articolo: Enable Anonymous Authentication (IIS 7)(Abilitare l'autenticazione anonima (IIS 7)). Assicurarsi che l'autenticazione sia impostata nella directory virtuale e non nel sito Web padre, per ridurre ulteriormente il livello di accesso dell'account.

Quando è abilitata l'autenticazione anonima, la connessione come utente anonimo è consentita per qualsiasi connessione utente all'endpoint HTTP. Non sarà possibile controllare le singole connessioni utente né usare l'identità utente per selezionare i dati da un modello. Come è possibile vedere, l'utilizzo dell'autenticazione anonima ha impatto su vari aspetti, dalla progettazione dei modelli, all'aggiornamento dei dati e all'accesso a questi ultimi. Tuttavia, se gli utenti non dispongono di un account di accesso di Windows con cui iniziare, è possibile che l'unica opzione disponibile sia l'account anonimo.

Impostare il tipo di autenticazione e aggiungere un mapping di script

1. In Gestione IIS aprire Siti, selezionare Sito Web predefinitoe scegliere la directory virtuale OLAP .

2. Fare doppio clic su Autenticazione nella sezione IIS della pagina principale.

   

3. Se si usa la sicurezza integrata di Windows, abilitare Autenticazione Windows .

   

4. In alternativa, abilitare Autenticazione di base se le applicazioni client e server in uso si trovano in domini diversi. Per poter utilizzare questa modalità, l'utente dovrà immettere un nome utente e una password. Il nome utente e la password vengono trasmessi a IIS mediante connessione HTTP. Tramite IIS si tenterà di rappresentare l'utente che utilizza le credenziali specificate durante la connessione a MSMDPUMP, ma le credenziali in questione non verranno delegate ad Analysis Services. Sarà invece necessario passare un nome utente e una password validi in una connessione, come descritto nel Passaggio 6 del presente documento.

   Importante

   Si noti che chiunque compili un sistema in cui viene trasmessa la password deve disporre di modalità per la sicurezza del canale di comunicazione. In IIS è disponibile un set di strumenti che consente di proteggere il canale. Per altre informazioni, vedere Come configurare SSL in IIS 7.

5. Disabilitare Autenticazione anonima se si usa l'autenticazione di Windows o di base. Quando abilitata, l'autenticazione anonima viene sempre utilizzata per prima in IIS, persino se si abilitano altri metodi di autenticazione.

   Con l'autenticazione anonima, il data pump (msmdpump.dll) viene eseguito come account utente stabilito per l'utente anonimo. Non esiste alcuna distinzione tra l'utente connesso a IIS e quello connesso ad Analysis Services. Per impostazione predefinita, in IIS viene utilizzato l'account IUSR, ma è possibile impostarlo su un account utente di dominio con autorizzazioni di rete. È necessaria questa funzionalità se IIS e Analysis Services sono in computer diversi.

   Per istruzioni su come configurare le credenziali per l'autenticazione anonima, vedere Anonymous Authentication(Autenticazione anonima).

   Importante

   L'autenticazione anonima risulta disponibile con maggiore probabilità in un ambiente estremamente controllato, in cui l'accesso viene concesso o negato in base agli elenchi di controllo di accesso nel file system. Per le procedure consigliate, vedere Enable Anonymous Authentication (IIS 7)(Abilitare l'Autenticazione anonima (IIS 7).

6. Fare clic sulla directory virtuale OLAP per aprire la pagina principale. Fare doppio clic su Mapping gestori.

   del

7. Fare clic con il pulsante destro del mouse in un punto qualsiasi della pagina e selezionare Aggiungi mapping di script. Nella finestra di dialogo Aggiungi mappa script specificare *.dll come percorso della richiesta, specificare c:\inetpub\wwwroot\OLAP\msmdpump.dll come eseguibile e digitare OLAP come nome. Mantenere tutte le restrizioni predefinite associate a questo mapping di script.

   

8. Alla richiesta di consentire l'estensione ISAPI, fare clic su Sì.

   

Passaggio 4: Modificare il file MSMDPUMP.INI per impostare il server di destinazione

Nel file MSMDPUMP.INI viene specificata l'istanza di Analysis Services a cui MSMDPUMP.DLL effettua la connessione. Questa istanza può essere locale o remota, installata come quella predefinita o come istanza denominata.

Aprire il file msmdpump.ini posizionato nella cartella C:\inetpub\wwwroot\OLAP ed esaminare il relativo contenuto. Il messaggio sarà simile al seguente:

<ConfigurationSettings>  
<ServerName>localhost</ServerName>  
<SessionTimeout>3600</SessionTimeout>  
<ConnectionPoolSize>100</ConnectionPoolSize>  
</ConfigurationSettings>  
  

Se l'istanza di Analysis Services per la quale si configura l'accesso HTTP si trova sul computer locale e viene installata come predefinita, non esiste alcun motivo per modificare questa impostazione. In caso contrario, è necessario specificare il nome del server, <ad esempio NomeServer>ADWRKS-SRV01</NomeServer>. Per un server installato come istanza denominata, assicurarsi di aggiungere il nome dell'istanza, <ad esempio ServerName>ADWRKS-SRV01\Tabular</ServerName>.

Per impostazione predefinita, Analysis Services è in ascolto sulla porta TCP/IP 2383. Se Analysis Services è stato installato come istanza predefinita, non è necessario specificare alcuna porta in <ServerName> perché Analysis Services sa come essere in ascolto sulla porta 2383 automaticamente. Tuttavia, è necessario consentire connessioni in ingresso per tale porta in Windows Firewall. Per altre informazioni, vedere Configure the Windows Firewall to Allow Analysis Services Access.

Se è stata configurata un'istanza denominata o predefinita di Analysis Services per l'ascolto su una porta fissa, è necessario aggiungere il numero di porta al nome del server (ad esempio, <ServerName>AW-SRV01:55555</ServerName>) ed è necessario consentire le connessioni in ingresso in Windows Firewall a tale porta.

Passaggio 5: Concedere le autorizzazioni di accesso ai dati

Come indicato in precedenza, sarà necessario concedere le autorizzazioni nell'istanza di Analysis Services. A ogni oggetto di database verranno assegnati ruoli mediante i quali viene fornito un livello specificato di autorizzazioni (lettura o lettura/scrittura) e ogni ruolo disporrà di membri costituiti da identità utente di Windows.

Per impostare le autorizzazioni è possibile utilizzare SQL Server Management Studio. Nella cartella Ruoli database | è possibile creare ruoli, specificare le autorizzazioni del database, assegnare l'appartenenza agli account utente o di gruppo di Windows e quindi concedere autorizzazioni di lettura o scrittura per oggetti specifici. In genere, le autorizzazioni di lettura per un cubo sono sufficienti per le connessioni client, mediante le quali vengono usati, ma non aggiornati, i dati del modello.

L'assegnazione dei ruoli varia a seconda della modalità con cui è stata configurata l'autenticazione.

Authentication	Assegnazione del ruolo
Anonimo	Aggiungere all'elenco Appartenenza l'account specificato in Modifica credenziali di autenticazione anonima in IIS. Per altre informazioni, vedere Anonymous Authentication(Autenticazione anonima).
Autenticazione di Windows	Aggiungere all'elenco Appartenenza gli account di gruppo o utente di Windows che richiedono i dati di Analysis Services mediante la rappresentazione o la delega. Supponendo che venga utilizzata la delega vincolata Kerberos, gli unici account che richiedono le autorizzazioni sono gli account di gruppo e l'utente di Windows che richiedono l'accesso. Nessuna autorizzazione è necessaria per l'identità del pool di applicazioni.
Autenticazione di base	Aggiungere all'elenco Appartenenza gli account di gruppo o utente di Windows che vengono passati nella stringa di connessione. Inoltre, se si passano le credenziali tramite EffectiveUserName nella stringa di connessione, l'identità del pool di applicazioni deve avere i diritti di amministratore sull'istanza di Analysis Services. In SSMS fare clic con il pulsante destro del mouse sull'istanza | Proprietà | Sicurezza | Aggiungi. Immettere l'identità del pool di applicazioni. Se è stata usata l'identità predefinita predefinita, l'account viene specificato come IIS AppPool\DefaultAppPool.

Per altre informazioni sull'impostazione delle autorizzazioni, vedere Autorizzazione dell'accesso a oggetti e operazioni (Analysis Services).

Passaggio 6: Verificare la configurazione

La sintassi della stringa di connessione per MSMDPUMP è l'URL del MSMDPUMP.dll.

Se l'applicazione Web è in ascolto su una porta fissa, aggiungere il numero di porta al nome del server o all'indirizzo IP , ad esempio http://my-web-srv01:8080/OLAP/msmdpump.dll o http://123.456.789.012:8080/OLAP/msmdpump.dll.

Per testare la connessione in modo rapido, è possibile aprirne una usando Internet Explorer, Microsoft Excel o SQL Server Management Studio.

Risolvere i problemi relativi alle connessioni tramite Internet Explorer

Una richiesta di connessione che termina con questo errore potrebbe non dare molto da fare: "Impossibile stabilire una connessione a "<nome> server" o Analysis Service non è in esecuzione nel server".

Per ottenere un errore con maggiori informazioni, procedere come segue:

1. In Internet Explorer>Internet Options>Advanced deselezionare la casella di controllo Mostra messaggi HTTP descrittivi.

2. Ripetere la connessione (ad esempio, http://my-web-srv01:8080/OLAP/msmdpump.dll)

Se nella finestra del browser viene visualizzato un CODICE XML ERRORE, è possibile eliminare MSMDPUMP come potenziale causa e spostare lo stato attivo sul certificato.

Verificare le connessioni tramite SQL Server Management Studio

1. Nella finestra di dialogo Connetti al server di Management Studio selezionare Analysis Services come tipo di server. In Nome server immettere l'indirizzo HTTP dell'estensione msmdpump: http://my-web-srv01/OLAP/msmdpump.dll.

   Esplora oggetti consente di visualizzare la connessione HTTP:

   

2. L'autenticazione deve essere quella di Windows e l'utente che utilizza Management Studio deve essere un amministratore di Analysis Services. Un amministratore può concedere ulteriori autorizzazioni per consentire l'accesso di altri utenti.

Verificare le connessioni tramite Excel

1. In Carica dati esterni della scheda Dati in Excel fare clic su Da altre originie scegliere Da Analysis Services per avviare la Connessione dati guidata.

2. In Nome server immettere l'indirizzo HTTP dell'estensione msmdpump: http://my-web-srv01/OLAP/msmdpump.dll.

3. Per le credenziali di accesso, selezionare Usa autenticazione di Windows , se si usa la sicurezza integrata di Windows o l'autenticazione NTLM o un utente anonimo.

   Per l'autenticazione di base, scegliere Usa nome utente e password seguentie specificare le credenziali usate per l'accesso. Le credenziali immesse verranno passate nella stringa di connessione ad Analysis Services.

Verificare le connessioni tramite AMO

È possibile verificare l'accesso HTTP a livello di codice tramite AMO, sostituendo l'URL dell'endpoint per il nome del server. Per informazioni dettagliate, vedere il post del forum relativo alla modalità di sincronizzazione di database di SSAS 2008 R2 tramite HTTPS nei limiti di dominio, foresta e firewall.

Di seguito è riportata una stringa di connessione di esempio che illustra la sintassi per l'accesso HTTP(S) tramite l'autenticazione di base:

Data Source=https://<servername>/olap/msmdpump.dll; Initial Catalog=AdventureWorksDW2012; Integrated Security=Basic; User ID=XXXX; Password=XXXXX;

Per altre informazioni sulla connessione a livello di programmazione, vedere Implementazione di connessioni protette in ADOMD.NET.

Come passaggio finale, accertarsi di eseguire successivamente un test più rigido utilizzando un computer client in esecuzione nell'ambiente di rete dal quale hanno origine le connessioni.

Vedere anche

Post del forum (accesso http tramite msmdpump e autenticazione di base)
Configurare Windows Firewall per consentire l'accesso ad Analysis Services
Autorizzazione dell'accesso a oggetti e operazioni (Analysis Services)
Metodi di autenticazione IIS
Enable Anonymous Authentication (IIS 7)