Ik heb het afgelopen jaar diverse keren SharePoint 2007 geinstalleerd. Al die keren gebruikte ik hiervoor 1 algemeen service account wat onder Local Administrator rechten draaide. Uit security oogpunt niet de meeste ideale situatie maar voor lokale ontwikkeling acceptabel. Deze keer wil ik de security van MOSS fijnmaziger opzetten en het principe van 'least priviliges' toepassen. Dit betekent dat alle processen deze keer gaan draaien onder een eigen service account en niet meer rechten toegewezen krijgen dan absoluut noodzakelijk. Uit onderzoek blijkt dat geen enkel account van SharePoint hoeft te draaien onder beheerder rechten. Enkel het account dat gebruikt wordt voor de installatie van de programmatuur heeft beheerder rechten nodig. Na het bestuderen van het Technet artikel 'Plan for administrative and service accounts (Office SharePoint Server)' ben ik tot onderstaande account matrix gekomen.
[Download SA account matrix]
Bovenstaande accounts worden aangemaakt in het AD onder de vorige keer aangemaakte organisatorische eenheid voor service accounts. De MOSS accounts worden geplaatst onder 'SharePoint' en het op dit moment onderkende SQL server account dat in de matrix staat uiteraard onder 'SQL Server'.
De procedure voor het aanmaken van de accounts is als volgt:
- Start 'Active Directory Users and Clients'.
- Selecteer de juiste OU. In dit geval '<domein>' > 'Services' > 'Service Accounts' > 'SharePoint' of 'SQL server'.
- Ga naar het menu 'Action' en selecteer onder 'New' de optie 'User'.
- Vul onder 'Last Name' en onder 'Full name' in de naam van het account. Bijvoorbeeld 'MOSS_FARM'.
- Vul deze naam ook in onder 'User logon name' en bij de pre-Windows 2000 'User logon name'.
- Klik op 'Next' en voer een wachtwoord in bij 'Password' en herhaal dit wachtwoord bij 'Confirm password'.
- Zet het vinkje bij 'User must change password at next logon uit'. Het betreft hier immers service accounts.
- Plaats een vinkje bij 'Password never expires'. We willen immers niet dat het account verloopt met als mogelijk consequentie dat de SharePoint omgeving niet meer correct functioneert.
- Klik op 'Next' en controleer op het volgende scherm of alle instellingen naar wens zijn.
- Klik nu op 'Finish'. Het account zal aangemaakt worden.
Het is handig om bij ieder account een korte omschrijving te plaatsen waarin aangegeven wordt wat het doel van het betreffende account is. Dubbelklik op het account en vul op het tabblad 'General' bij het veld 'Description' de betreffende informatie in.
Na het aanmaken van de MOSS accounts ziet mijn AD er als volgt uit.
Reacties