Modelo de segurança (Cache do Windows Server AppFabric)

  • Artigo

Os recursos de cache do Windows Server AppFabric fornecem várias opções para gerenciamento da segurança. Por padrão, a comunicação entre clientes de cache e o cluster de cache usam criptografia e assinatura. Além disso, você deve adicionar explicitamente uma conta do Windows à lista de contas permitidas para que o usuário associado possa acessar o cluster de cache.

Configurações de segurança do cluster de cache

Existem dois modos de proteção que podem ser definidos no cluster de cache: None e Transport. Quando definido como None, os dados enviados entre o cluster de cache e os clientes de cache não são criptografados ou assinados. Isso possivelmente exporá os dados a ataques de rede mal-intencionados que registram em log ou modificam dados. Além disso, todos os clientes de cache poderão se comunicar com o cluster de cache, mesmo que o acesso não tenha sido explicitamente concedido a eles. Quando o modo de proteção está definido para a configuração Transport padrão, apenas as contas permitidas do Windows podem acessar o cluster de cache.

Existem três níveis de proteção para os dados enviados entre um cluster de cache e os clientes de cache: None, Sign e EncryptAndSign. A configuração None não oferece segurança adicional. A configuração Sign protege os dados da rede de serem violados. A configuração EncryptAndSign criptografa os dados antes da assinatura. Sign e EncryptAndSign poderão ser especificadas somente quando o modo de segurança estiver definido como Transport.

Para alterar o modo de segurança ou o nível de proteção do cluster de cache, use o comando Set-CacheClusterSecurity do Windows PowerShell.

Observação

Quando a segurança está habilitada, o Serviço de Cache do AppFabric deve ser executado com a identidade adequada. Em ambientes de domínio, a identidade deve ser a conta "Autoridade NT\Serviço de Rede" integrada. Em ambientes de grupo de trabalho, ela deve ser uma conta de computador local. No entanto, há uma exceção para a configuração de conta do serviço de um ambiente de domínio. Quando a segurança é desabilitada definindo o modo de segurança como None, é possível executar o Serviço de Cache do AppFabric como uma conta de domínio específica diferente do Serviço de Rede.

Configurações de segurança do cliente de cache

Assim como as configurações de segurança de cluster de cache, o cliente de cache pode especificar as configurações de segurança no arquivo de configuração do aplicativo usando o elemento securityProperties. Ou então, o cliente pode configurar a segurança de forma programática, usando a classe DataCacheSecurity em conjunto com a propriedade SecurityProperties da classe DataCacheFactoryConfiguration. Para obter mais informações, consulte Definições de configuração do aplicativo (Cache do Windows Server AppFabric).

É importante que o cliente de cache e o cluster de cache usem configurações de segurança que permitam conexão. Na tabela a seguir, as colunas representam a configuração de segurança do servidor e as linhas representam a configuração de segurança do cliente. Cada combinação é listada como "Aprovar" ou "Falhar", dependendo se a conexão é permitida ou não.

Configurações de cliente Mode=None, ProtectionLevel=Any Mode=Transport, ProtectionLevel=None Mode=Transport, ProtectionLevel=Sign Mode=Transport, ProtectionLevel=EncryptAndSign

None, Any

Aprovar

Falhar

Falhar

Falhar

Transport, None

Falhar

Aprovar

Falhar

Falhar

Transport, Sign

Falhar

Aprovar

Aprovar

Falhar

Transport, EncryptAndSign

Falhar

Aprovar

Aprovar

Aprovar

Contas de cliente permitidas

Quando o modo de segurança está definido como Transport, qualquer cliente de cache que tente se conectar ao cluster de cache deve ser explicitamente permitido. Isso é feito usando o comando Grant-CacheAllowedClientAccount no Windows PowerShell. Para obter mais informações, consulte Usando o Windows PowerShell para gerenciar os recursos de cache do Windows Server AppFabric.

Assistente de Configuração de Segurança

O AppFabric oferece suporte ao uso do SCW (Assistente de Configuração de Segurança) no Windows Server 2008. Você pode registrar um arquivo de modelo fornecido com o SCW que especificará as configurações mínimas que o cache do AppFabric exige para execução. Embora o arquivo de modelo WindowsServerAppFabric.xml seja instalado com o AppFabric, você deverá registrá-lo manualmente com o SCW antes de usar a ferramenta. As etapas a seguir descrevem este processo.

  1. Localize o arquivo WindowsServerAppFabric.xml no diretório .\Windows\System32\AppFabric.

  2. Abra o arquivo WindowsServerAppFabric.xml. Verifique se as informações de versão do sistema operacional no elemento SCWKBRegistrationInfo correspondem ao seu computador atual. Se não corresponderem, altere os atributos de acordo com a tabela a seguir e salve as alterações.

    Sistema operacional OSMajorVersion OSMinorVersion ServicePackMajorVersion ServicePackMinorVersion

    Windows Server 2008

    6

    0

    0

    0

    Windows Server 2008 SP1

    6

    0

    1

    0

    Windows Server 2008 SP2

    6

    0

    2

    0

    Windows Server 2008 R2

    6

    1

    0

    0

  3. Abra um prompt de comando administrativo.

  4. Execute o seguinte comando:

    scwcmd register /kbname:appfabric /kbfile:%windir%\System32\AppFabric\WindowsServerAppFabric.xml

Ao usar a ferramenta administrativa Assistente de Configuração de Segurança, você deverá ver uma função instalada denominada "Serviço de Cache do Windows Server AppFabric".

Consulte também

Conceitos

Usando o Windows PowerShell para gerenciar os recursos de cache do Windows Server AppFabric
Conceitos de cache do Windows Server AppFabric

  2011-12-05