在自定义 BCS/.net 类上实现安全性？

Question

我正在实现一个自定义 BCS 模型以从后端系统获取数据。由于后端使用它自己的用户管理，我通过服务帐户访问它。

所有这些都运行良好，并允许我将数据提取到 SharePoint 中。然而，由于它是通过服务帐户传递的，因此每个人都可以访问它，这很糟糕。

谁能给我一些建议来实施哪种方法？后端没有给我 NT ACL，但我想知道我是否可以以某种方式“伪造”它们？ （本质上说“这个 NT 组具有读取访问权限”就足够了）。

我知道用于搜索结果的 ISecurityTrimmer2，但理想情况下我想涵盖 BCS 模型内部的安全性，以便它也适用于外部列表。我想避免使用安全存储并将每个单独的用户映射到后端。

Answer 1

此处得到了答案。我可以将 BCS 模型中的一个字段设置为 WindowsSecurityDescriptorField，然后我可以在 BCS 方法中使用自定义代码来创建 ACL：

Byte[] GetSecurityDescriptor(string domain, string username)
{
    NTAccount acc = new NTAccount(domain, username);
    var sid = (SecurityIdentifier)acc.Translate(typeof(SecurityIdentifier));
    CommonSecurityDescriptor sd = new CommonSecurityDescriptor(false, false,
        ControlFlags.None,sid,null, null, null);
    sd.SetDiscretionaryAclProtection(true, false);

    //Deny access to everyone
    SecurityIdentifier everyone = new SecurityIdentifier(
        WellKnownSidType.WorldSid, null);
    sd.DiscretionaryAcl.RemoveAccess(AccessControlType.Allow, everyone, 
      unchecked((int)0xffffffffL), InheritanceFlags.None, PropagationFlags.None);

    //Grant full access to specified user
    sd.DiscretionaryAcl.AddAccess(AccessControlType.Allow, sid,
      unchecked((int)0xffffffffL), InheritanceFlags.None, PropagationFlags.None);

    byte[] secDes = new Byte[sd.BinaryLength];
    sd.GetBinaryForm(secDes, 0);

    return secDes;
}

这效果很好，并且允许我在后端系统和 Active Directory 之间转换用户后创建自定义 ACL 。

如果将安全性作为 BCS 模型的一部分，我仍然有兴趣了解是否有人有其他方法。

Answer 2

如果您想避免使用 Secure Store，那么听起来您唯一的选择就是 PassThrough。问题是您不能使用 NTLM。您必须使用 Kerberos，因为 NTLM 不允许身份委派，因为您要将凭据从用户传递到 SharePoint 服务器再到外部系统。在使用 Kerberos 进行身份委托时，您需要为您的服务创建 SPN（服务主体名称），以便 AD 知道它可以委托身份。

对外部系统进行身份验证< /a>

请参阅使用 Kerberos 身份验证为您的 Web 应用程序创建服务主体名称 在本文中创建 SPN。

Answer 3

我正在使用一种稍微不同的方法。如果您编写 .NET 对象代码以从外部系统检索数据，则可以访问 SPContext 对象来检查您所在的站点或哪个用户正在查询数据。在代码中，您可以使用该信息来过滤您喜欢的任何数据。

因此，SharePoint 网站上完全相同的外部列表实例可能会根据用户名或组成员身份为用户 A 返回 5 个结果，但为用户 B 返回 10 个结果。实施起来并不难，而且实际上效果很好。

查看 http:// /jsiegmund.wordpress.com/2010/05/19/creating-secured-bcs-objects-with-bcs-meta-man/。