Zugriffssteuerung Active Directory und SharePoint

[Zobus 10]

Hallo zusammen,

ich zerbreche mir zurzeit den Kopf wie ich einem externen Partner Zugriff auf unseren SharePoint gewähren kann.

 

Wir betreiben zurzeit einen SharePoint Foundation 2010 Server der über das Internet erreichbar ist.

 

Nun habe ich die ersten Anforderungen unserer Fachabteilungen erhalten, dass externe Partner auf definierte Bereiche des SharePoints zugreifen sollen.

Mir ist bislang nur die Möglichkeit bekannt, dass dafür im AD ein passender User angelegt wird und mit der Rechtestruktur des SharePoint Servers verknüpft wird.

 

Wenn ich nun einen Account für unseren externen Partner einrichte, soll dieser allerdings nur auf den SharePoint zugreifen können. Ein Zugriff auf andere Systeme (PCs etc. ) soll mit diesem Account nicht möglich sein.

Ich hatte anfangs die Idee, den User aus der Gruppe „Domain User“ zu entfernen. Das hat allerdings keine Auswirkung auf die Anmeldemöglichkeit an anderen Systemen.

Hat jemand eine Idee wie ich das lösen kann?

 

Gruß

 

zobus

[dmetzger 10]

Du kannst in den Eigenschaften des Benutzerobjekts festlegen, an welchen Computern sich Benutzer anmelden dürfen.

 

Zum Anderen solltest Du die erforderlichen Lizenzen für authentifizierte externe Benutzer klären. Zwar ist SharePoint 2010 Foundation ein kostenloser Download, doch ist seine Nutzung an Lizenzbestimmungen gebunden.

[Dukel 455]

Für externen Zugriff kannst du, neben den AD Accounts, Claims Based Auth. nutzen oder z.B. eine SQL Datenbank für die externen Nutzer wie unter Webcast: SharePoint Foundation 2010 einrichten mit Authentifizierung gegen eine SQL Datenbank - Steffen über SQL Server und Business Intelligence - Site Home - TechNet Blogs erklärt.

 

Claims lohnt sich aber eher nur für viele Zugriffe von wenig unterschiedlichen Partnern.

[Kleiner3006 10]

Hallo Zobus,

So wie du es beschreibst, sollen die wirklich nur auf den SharePoint selber drauf aber nicht auf den Server auf dem er läuft oder?

 

Wir haben es so gelöst, dass wir pro Person ein User angelegt haben und diesen dann z.B. eine Sicherheitsgruppe "Extern" als primäre Gruppe hinterlegt haben. Aus allen anderen haben wir sie raus genommen.

Die Gruppe "Extern" haben wir dann auf dem SharePoint dort eingetragen wo sie Berechtigungen erhalten sollen!

 

Viele Grüße

[Dukel 455]

[...]

Wenn ich nun einen Account für unseren externen Partner einrichte, soll dieser allerdings nur auf den SharePoint zugreifen können. Ein Zugriff auf andere Systeme (PCs etc. ) soll mit diesem Account nicht möglich sein.

Ich hatte anfangs die Idee, den User aus der Gruppe „Domain User“ zu entfernen. Das hat allerdings keine Auswirkung auf die Anmeldemöglichkeit an anderen Systemen.

Hat jemand eine Idee wie ich das lösen kann?

 

Gruß

 

zobus

 

Hast du bei Zugriffen auf andere Rechner irgendwo "Jeder" oder "Authentifizierte Benutzer" eingetragen?

[Zobus 10]

Du kannst in den Eigenschaften des Benutzerobjekts festlegen, an welchen Computern sich Benutzer anmelden dürfen.

 

Zum Anderen solltest Du die erforderlichen Lizenzen für authentifizierte externe Benutzer klären. Zwar ist SharePoint 2010 Foundation ein kostenloser Download, doch ist seine Nutzung an Lizenzbestimmungen gebunden.

 

Hallo dmetzger,

 

das funktioniert leider nicht. Es handelt sich dabei nur um einen webbasierten User, der keinem PC zugeordnet werden kann.

 

Bzgl. der Lizensierung musst du dir keine Gedanken machen. Wir haben die entsprechenden Connectorlizenz für den Betrieb im öffentlichen Netz lizensiert. Aber danke für die Info

 

Gruß

 

zobus

[Zobus 10]

Für externen Zugriff kannst du, neben den AD Accounts, Claims Based Auth. nutzen oder z.B. eine SQL Datenbank für die externen Nutzer wie unter Webcast: SharePoint Foundation 2010 einrichten mit Authentifizierung gegen eine SQL Datenbank - Steffen über SQL Server und Business Intelligence - Site Home - TechNet Blogs erklärt.

 

Claims lohnt sich aber eher nur für viele Zugriffe von wenig unterschiedlichen Partnern.

 

Ok, das ist zumindest ein Ansatz, das werde ich mir einmal anschauen. Hatte gehofft, dass ich diese Zugriffe auch über das AD abfackeltn kann.

 

Danke

 

zobus

[Zobus 10]

Hallo Zobus,

So wie du es beschreibst, sollen die wirklich nur auf den SharePoint selber drauf aber nicht auf den Server auf dem er läuft oder?

 

Wir haben es so gelöst, dass wir pro Person ein User angelegt haben und diesen dann z.B. eine Sicherheitsgruppe "Extern" als primäre Gruppe hinterlegt haben. Aus allen anderen haben wir sie raus genommen.

Die Gruppe "Extern" haben wir dann auf dem SharePoint dort eingetragen wo sie Berechtigungen erhalten sollen!

 

Viele Grüße

 

Ja, der externre partner soll nur auf den Sharepoint, mehr nicht.

Das mit der Sicherheitsgruppe habe ich auch getestet. Habe eine Gruppe erstellt und diese dem User zugeordnet. Die restlichen Gruppen habe ich von User Objekt entfernt. Seltsamerweise konnte ich an einer Testmaschine immernoch mit dem entsprechenden User Login an der Domäne anmelden - was mich halt irritiert hat....

[Kleiner3006 10]

Das ist komisch, hast du das überprüft was Dukel geschrieben hat?

Hast du bei Zugriffen auf andere Rechner irgendwo "Jeder" oder "Authentifizierte Benutzer" eingetragen?

 

Mal eine andere überlegung! Wie habt ihr euren SharePoint gesichert? Unser steht in der DMZ und durch unsere Firewall dürfen die auch nur über den entsprechenden Port auf die Seiten. Es ist überhaupt nicht möglich andere Maschinen zu erreichen...

 

Was ich noch nicht ausprobiert habe, aber in der Theorie auch möglich wäre ist, dass du auf dem SharePoint Server einen lokalen Benutzer erstellst! Dieser dürfte sich nun wirklich nicht woanders anmelden dürfen?!

 

Viele Grüße

[dmetzger 10]

das funktioniert leider nicht. Es handelt sich dabei nur um einen webbasierten User, der keinem PC zugeordnet werden kann.

 

Warum soll das nicht funktionieren? Du hast als Anforderung formuliert, dass solche Benutzer "nicht auf andere Systeme (PCs etc. )" zugreifen sollen.

[Zobus 10]

Warum soll das nicht funktionieren? Du hast als Anforderung formuliert, dass solche Benutzer "nicht auf andere Systeme (PCs etc. )" zugreifen sollen.

 

Genau, und was soll dort eingetragen werden wenn es sich wie beim SharePoint um eine Webseite handelt?

 

Gruß zobus

[dmetzger 10]

Genau, und was soll dort eingetragen werden wenn es sich wie beim SharePoint um eine Webseite handelt?

 

Hängt die Website bei Euch in der Luft, oder läuft sie auf einem Server? ;)

[Zobus 10]

Hängt die Website bei Euch in der Luft, oder läuft sie auf einem Server? ;)

 

Natürlich aufm Server ;), allerdings wenn ich den Servername hinterlege ist eine Anmeldung nicht mehr möglich....

 

Gruß