SharePoint 統合モードの Reporting Services のセキュリティ概要

SharePoint Web アプリケーションが Kerberos を使用する Windows 認証用に構成される場合、SharePoint Web アプリケーションからレポート サーバーへの接続では、現在の Windows ユーザーの権限を借用した資格情報またはこの権限が委任された資格情報を使用できます。Windows 統合セキュリティと Kerberos および ID 委任を組み合わせて使用することにより、1 回の接続の後 Windows 資格情報の有効期限が切れる従来の "ダブルホップ" 問題を解消できます。また、レポートやモデルに対してデータ ソース接続を構成するときのオプションも増えます。次の図は、レポート サーバーが SharePoint 統合用に構成され、SharePoint Web アプリケーションで Windows 認証と Kerberos および ID 委任を組み合わせて使用している場合の接続を示しています。

• 接続 1
  ユーザーが、ネットワークへのログオン時に作成されたユーザー トークンで SharePoint サイトにアクセスします。トークンにはユーザー ID とグループのメンバーシップが含まれています。SharePoint Web アプリケーションによって、ユーザーが認証されます。ユーザーは、レポート サーバーのアイテムまたは操作を要求します。

• 接続 2
  SharePoint Web アプリケーションからレポート サーバーに、トークンと要求が送信されます。接続要求はユーザーの委任された Windows ID で送信されます。レポート サーバーによってユーザーの認証が行われ、そのユーザーにレポート サーバーへのアクセスを許可するかどうかを確認します。

• 接続 3
  認証が成功した場合、レポート サーバーは Reporting Services インスタンスのユーザー アカウントを使用して SharePoint コンテンツ データベースへの接続を確立し、アイテムまたは操作へのアクセスをユーザーに承認することを確認します。承認が成功した場合、レポート サーバーは要求に対応します。

• 接続 4
  ユーザーがレポートを表示している場合、レポート サーバーではレポートの処理中にユーザーの Windows ID を委任して、外部データ ソースからデータを取得できます。つまり、レポートのデータ ソース プロパティを設定するときに、データ ソース接続に対して [Windows 統合セキュリティ] オプションを選択できます。詳細については、SQL Server オンライン ブックの「レポート データ ソースに関する資格情報と接続情報の指定」および「共有データ ソースを作成および管理する方法 (Reporting Services の SharePoint 統合モード)」を参照してください。

SharePoint Web アプリケーションが、フォーム認証または NTLM を使用する Windows 認証用に構成されている場合、レポート サーバーへの接続は定義済みの信頼されたアカウントの下、ネットワークを介して送信されます。この信頼されたアカウントは、レポート サーバー上で SharePoint ユーザーの権限を借用する権限を持っているアカウントです。次の図は、信頼されたアカウントと SharePoint ユーザー ID が使用される場合の接続を示しています。

• 接続 1
  ユーザーが SharePoint サイトにログオンします。SharePoint Web アプリケーションによって、ユーザーが認証されます。ユーザー ID が SharePoint ユーザー ID (SPUser) に変換され、このユーザー用の新しいユーザー トークンが SPUser のコンテキストで作成されます。トークンにはユーザー ID とグループのメンバーシップが含まれています。ユーザーは、レポート サーバーのアイテムまたは操作を要求します。

• 接続 2
  SharePoint Web アプリケーションは、信頼されたアカウントを使用してレポート サーバーに接続します。信頼されたアカウントは、SharePoint Web アプリケーションのプロセス ID です。次に、SharePoint Web アプリケーションで SharePoint ユーザー ID の権限が借用され、アイテムまたは操作の要求が行われます。

  レポート サーバーによって、その接続要求が信頼されたアカウントからのものであることが認証されます。これは、レポート サーバーが起動時に SharePoint 構成データベースから取得したアカウント情報と比較することによって行われます。レポート サーバー上では、信頼されたアカウントは SharePoint Web アプリケーションの権限を借用する権限を持つ Windows ユーザーであり、SPUser の権限の借用に使用することもできます。ただし、レポート サーバーのアイテムと操作へのアクセスは許可されません。

• 接続 3
  認証が成功した場合、レポート サーバーは Reporting Services インスタンスのユーザー アカウントを使用して SharePoint コンテンツ データベースへの接続を確立し、アイテムまたは操作へのアクセスを SPUser に承認することを確認します。承認が成功した場合、レポート サーバーは要求に対応します。

• 接続 4
  ユーザーがレポートを表示している場合、"ダブルホップ" 問題により、レポート サーバーでは SPUser を使用して外部データ ソースからデータを取得することはできません。つまり、レポートのデータ ソース プロパティを設定するときに、データ ソース接続に対して [Windows 統合セキュリティ] オプションを選択することはできません。ただし、保存された資格情報や要求された資格情報など、他の接続オプションを使用するようにレポートを構成できます。詳細については、SQL Server オンライン ブックの「レポート データ ソースに関する資格情報と接続情報の指定」および「共有データ ソースを作成および管理する方法 (Reporting Services の SharePoint 統合モード)」を参照してください。

レポートのサブスクリプションを作成すると、レポート サーバーで SPUser のアカウント情報が保存されます。これによって、配信時にユーザーがレポートを表示する権限を持っているかどうかを確認できるようになります。SPUser の有効期限が切れている場合、サブスクリプションは失敗し、rsSharePointError エラーが返されます。TokenTimeout という名前のファーム レベルのプロパティによって、SPUser の有効期間が決まります。

配置された SharePoint の製品またはテクノロジでは、サービスの実行や、フロントエンド/バックエンド サーバーへのアクセスに、多様なアカウントが使用されます。配置のドメイン アカウントを指定する場合は、推奨事項に従って、SharePoint Web アプリケーションによって排他的に使用されているアカウントを指定します。SharePoint サイトにアクセスする可能性のある実際の人物のドメイン ユーザー アカウントで実行されるようなサービス アカウントは構成しないでください。サービス資格情報を使用して SharePoint サイトにアクセスした場合、エラーが発生する可能性があります。

Reporting Services のスケールアウト配置と SharePoint 製品を使用している場合に、複数の異なる認証プロバイダーをその環境で構成すると、ユーザー認証で問題が発生する可能性があります。たとえば、レポート環境で、インターネット接続にフォーム認証を使用し、イントラネット接続に Windows 認証を使用している場合、要求の認証タイプと一致しない認証プロバイダーを使用している Web フロントエンド コンピューターに要求が転送される可能性があります。これが原因で Reporting Services が要求のアクセスを拒否したり、要求したユーザーではなくアプリケーション プール ID を使用して要求が実行される場合があります。

通常は、別々の URL を使用してインターネットとイントラネットのコンテンツにアクセスすることをお勧めします。または、インターネットに接続しているサイトのインターネット プロトコル (IP) アドレスをインターネット URL にマッピングして、Web フロントエンド コンピューター上のホスト ファイルがドメイン名システム (DNS) 参照を上書きするように構成すると、インターネット URL への要求が DNS によってイントラネット URL に転送されるのを防ぐことができます。

Reporting Services では、Web サービスと Windows サービスの両方で SharePoint へのアクセスが必要です。これら 2 つのサービスのサービス アカウントは、SharePoint Web アプリケーション内では信頼されたユーザーとして実行され、SharePoint データベースにアクセスするための権限が自動的に与えられます。

接続は内部的に管理されます。つまり、SharePoint のサーバー管理を使用して、SharePoint Web アプリケーションがレポート サーバーをポイントするようにし、信頼されたアカウントを設定することで、接続を構成します。レポート サーバーから自身のデータベースへの接続は Reporting Services 構成ツールを使用して設定または変更できますが、対照的に、レポート サーバーから SharePoint データベースへの接続は明示的に構成および管理を行うことができません。

SharePoint 統合モードでレポート サーバーを実行すると、Reporting Services でサービス アカウントを作成する方法に関して制約が発生します。サービス アカウントを構成するときは、次のガイドラインに従ってください。

• レポート サーバーのサービス アカウントでリモート コンピューター上の SharePoint データベースに接続する必要がある場合は、ネットワークへのログオン権限を持つアカウントを選択します。

• レポート サーバーと SharePoint データベースが 1 台のコンピューター上にあり、SharePoint Web アプリケーションがリモート コンピューター上にある場合は、ビルトイン アカウント (Local System、Network Service など) を使用しないでください。SharePoint データベースがリモート コンピューター上で実行されている場合、SharePoint Web アプリケーションではそのリモート コンピューターで定義されているビルトイン アカウントへのデータベース アクセスは明示的に拒否されます。つまり、レポート サーバーがビルトイン アカウントで実行されている場合、SharePoint データベースに接続することはできません。これは、レポート サーバーが SharePoint データベースと同じコンピューターで実行されているためです。

• 同じコンピューターまたは異なるコンピューター上にサーバーとデータベースを置くその他のすべてのトポロジでは、Reporting Services のサービス アカウントをドメイン アカウントまたはビルトイン アカウントとして構成できます。

レポート サーバーから SharePoint データベースにアクセスできない場合で、構成エラーがある場合 (サービス アカウントまたはパスワードが有効でない場合や、Windows SharePoint オブジェクト モデルがインストールされていない場合など) は、rsServerConfigurationError エラーが発生します。その他のすべての接続エラーには、rsSharePointError エラーが返されます。ローカルの SharePoint インスタンスからの追加のエラー情報がある場合もあります。