Konfigurera HTTP-åtkomst till Analysis Services på IIS 8.0

Gäller för: SQL Server Analysis Services Azure Analysis Services Fabric/Power BI Premium

Den här artikeln beskriver hur du konfigurerar en HTTP-slutpunkt för åtkomst till en Analysis Services-instans. Du kan aktivera HTTP-åtkomst genom att konfigurera MSMDPUMP.dll, ett ISAPI-tillägg som körs i Internet Information Services (IIS) och pumpar data till och från klientprogram och en Analysis Services-server. Den här metoden är ett alternativt sätt att ansluta till Analysis Services när din lösning kräver följande funktioner:

• Klientåtkomsten sker via Internet- eller extranätsanslutningar, med begränsningar för vilka portar som kan aktiveras.

• Klientanslutningar kommer från icke-betrodda domäner i samma nätverk.

• Klientprogrammet körs i en nätverksmiljö som tillåter HTTP men inte TCP/IP-anslutningar.

• Klientprogram kan inte använda Analysis Services-klientbiblioteken (till exempel ett Java-program som körs på en UNIX-server). Om du inte kan använda Analysis Services-klientbiblioteken för dataåtkomst kan du använda SOAP och XML/A via en direkt HTTP-anslutning till en Analysis Services-instans.

• Andra autentiseringsmetoder än Windows-integrerad säkerhet krävs. Mer specifikt kan du använda anonyma anslutningar och grundläggande autentisering när du konfigurerar Analysis Services för HTTP-åtkomst. Sammanfattad autentisering, formulär och ASP.NET autentisering stöds inte. Ett krav för grundläggande autentisering är en av de främsta orsakerna till att http-åtkomst aktiveras. Mer information finns i Microsoft BI-autentisering och identitetsdelegering.

Du kan konfigurera HTTP-åtkomst för alla versioner eller versioner av Analysis Services som stöds, antingen i tabellläge eller flerdimensionellt läge. Lokala kuber är ett undantag. Du kan inte ansluta till en lokal kub via en HTTP-slutpunkt.

Att konfigurera HTTP-åtkomst är en uppgift efter installationen. Analysis Services måste installeras innan du kan konfigurera det för HTTP-åtkomst. Som administratör för Analysis Services måste du bevilja behörigheter till Windows-konton innan HTTP-åtkomst är möjlig. Det är också en bra idé att verifiera installationen först, så att den fungerar fullt ut innan du utför mer konfiguration. När HTTP-åtkomst har konfigurerats kan du använda både HTTP-slutpunkten och serverns vanliga nätverksnamn via TCP/IP. Om du konfigurerar HTTP-åtkomst ogiltigförklaras inte andra metoder för dataåtkomst.

När du går vidare med MSMDPUMP-konfigurationen bör du komma ihåg att det finns två anslutningar att tänka på: klient-till-IIS, IIS-till-SSAS. Anvisningarna i den här artikeln handlar om IIS-till-SSAS. Klientprogrammet kan kräva ytterligare konfiguration innan det kan ansluta till IIS. Beslut som om du vill använda SSL eller hur du konfigurerar bindningar ligger utanför omfånget för den här artikeln. Mer information om IIS finns i Webbserver (IIS ).

Översikt

MSMDPUMP är ett ISAPI-tillägg som läses in i IIS och ger omdirigering till en lokal eller fjärransluten Analysis Services-instans. Genom att konfigurera det här ISAPI-tillägget skapar du en HTTP-slutpunkt till en Analysis Services-instans.

Du måste skapa och konfigurera en virtuell katalog för varje HTTP-slutpunkt. Varje slutpunkt behöver en egen uppsättning MSMDPUMP-filer för varje Analysis Services-instans som du vill ansluta till. En konfigurationsfil i den här filuppsättningen anger namnet på Analysis Services-instansen som används för varje HTTP-slutpunkt.

I IIS ansluter MSMDPUMP till Analysis Services med Analysis Services OLE DB-providern via TCP/IP. Även om klientbegäranden kan komma utanför domänförtroendet måste både Analysis Services och IIS finnas i samma domän eller i betrodda domäner för att den interna anslutningen ska lyckas.

När MSMDPUMP ansluter till Analysis Services använder den en Windows-användaridentitet. Det här kontot är det anonyma kontot om du har konfigurerat den virtuella katalogen för anonyma anslutningar eller ett Windows-användarkonto. Kontot måste ha rätt behörighet för dataåtkomst på Analysis Services-servern och databasen.

I följande tabell visas ytterligare överväganden när du aktiverar HTTP-åtkomst för olika scenarier.

Förutsättningar

Anvisningarna i den här artikeln förutsätter att IIS redan har konfigurerats och att Analysis Services redan är installerat. Windows Server 2012 levereras med IIS 8.x som en serverroll som du kan aktivera i systemet.

Extra konfiguration i IIS 8.0

Standardkonfigurationen för IIS 8.0 saknar komponenter som krävs för HTTP-åtkomst till Analysis Services. Dessa komponenter, som finns i funktionsområdena Säkerhet och programutveckling i webbserverrollen (IIS), innehåller följande:

• Säkerhet | Windows-autentisering, grundläggande autentisering och andra säkerhetsfunktioner som krävs för ditt dataåtkomstscenario.

• Programutveckling | CGI

• Programutveckling | ISAPI-tillägg

Om du vill verifiera eller lägga till dessa komponenter använder du Serverhanteraren | Hantera | Lägg till roller och funktioner. Gå igenom guiden tills du kommer till Serverroller. Bläddra ned för att hitta webbserver (IIS).

1. Öppna Webbserversäkerhet | och välj autentiseringsmetoderna.

2. ÖppnaProgramutveckling för webbserver | och välj CGI- och ISAPI-tillägg.

   

När IIS finns på en fjärrserver

En fjärranslutning mellan IIS och Analysis Services kräver att du installerar Analysis Services OLE DB-providern (MSOLAP) på Windows-servern som kör IIS.

1. Gå till nedladdningssidan för SQL Server 2014-funktionspaketet

2. Välj Hämta.

3. Rulla nedåt för att hitta ENU-\x64\SQL_AS_OLEDB.msi

4. Slutför installationen genom att följa anvisningarna i guiden.

Steg 1: Kopiera MSMDPUMP-filerna till en mapp på webbservern

Varje HTTP-slutpunkt som du skapar måste ha en egen uppsättning MSMDPUMP-filer. I det här steget kopierar du den körbara filen MSMDPUMP, konfigurationsfilen och resursmappen från Analysis Services-programmapparna till en ny virtuell katalogmapp som du skapar i filsystemet på den dator som kör IIS.

Enheten måste vara formaterad för NTFS-filsystemet. Sökvägen till den mapp som du skapar får inte innehålla några blanksteg.

1. Kopiera följande filer som finns på <enheten>:\Program Files\Microsoft SQL Server\<instance>\OLAP\bin\isapi: MSMDPUMP.DLL, MSMDPUMP. INI och en resursmapp.

   

2. Skapa en ny mapp på webbservern: <enhet>:\inetpub\wwwroot\OLAP

3. Klistra in de filer som du tidigare kopierade till den nya mappen.

4. Kontrollera att mappen \inetpub\wwwroot\OLAP på webbservern innehåller följande: MSMDPUMP.DLL, MSMDPUMP. INI och en resursmapp. Mappstrukturen bör se ut så här:

   • <enhet>:\inetpub\wwwroot\OLAP\MSMDPUMP.dll

   • <enhet>:\inetpub\wwwroot\OLAP\MSMDPUMP.ini

   • <drive>:\inetpub\wwwroot\OLAP\Resources

Steg 2: Skapa en programpool och en virtuell katalog i IIS

Skapa sedan en programpool och en slutpunkt till pumpen.

Skapa en programpool

1. Starta IIS Manager.

2. Öppna servermappen, högerklicka på Programpooler och klicka sedan på Lägg till programpool. Skapa en programpool med namnet OLAP med .NET Framework, med läget Hanterad pipeline inställd på Klassiskt.

   

3. Som standard skapar IIS programpooler med ApplicationPoolIdentity som säkerhetsidentitet, vilket är ett giltigt val för HTTP-åtkomst till Analysis Services. Om du har specifika orsaker till att ändra identiteten högerklickar du på OLAP och väljer sedan Avancerade inställningar. Välj ApplicationPoolIdentity. Klicka på knappen Ändra för den här egenskapen för att ersätta det inbyggda kontot med det anpassade konto som du vill använda.

   

4. I ett 64-bitars operativsystem anger IIS som standard egenskapen Aktivera 32-bitarsprogram till false. Om du kopierade msmdpump.dll från en 64-bitars installation av Analysis Services är detta rätt inställning för MSMDPUMP-tillägget på en 64-bitars IIS-server. Om du kopierade MSMDPUMP-binärfilerna från en 32-bitars installation anger du det till sant. Kontrollera den här egenskapen nu i Avancerade inställningar för att se till att den är korrekt inställd.

Skapa ett program

1. Öppna Webbplatser i IIS-hanteraren och öppna Standardwebbplats. Du bör se en mapp med namnet Olap. Det här är en referens till den OLAP-mapp som du skapade under \inetpub\wwwroot.

   

2. Högerklicka på mappen och välj Konvertera till program.

3. I Lägg till program anger du OLAP för aliaset. Välj för att välja OLAP-programpoolen. Den fysiska sökvägen ska vara inställd på C:\inetpub\wwwroot\OLAP

   

4. Klicka på OK. Uppdatera webbplatsen och observera att OLAP-mappen nu är ett program under standardwebbplatsen. Den virtuella sökvägen till MSMDPUMP-filen har nu upprättats.

   

Steg 3: Konfigurera IIS-autentisering och lägg till tillägget

I det här steget fortsätter du att konfigurera den virtuella SSAS-katalogen som du nyss skapade. Du anger en autentiseringsmetod och lägger sedan till en skriptkarta. Autentiseringsmetoder som stöds för Analysis Services via HTTP omfattar:

• Windows-autentisering (Kerberos eller NTLM)

• Grundläggande autentisering

• Anonym autentisering

Windows-autentisering anses vara den säkraste och utnyttjar befintlig infrastruktur för nätverk som använder Active Directory. Om du vill använda Windows-autentisering effektivt måste alla webbläsare, klientprogram och serverprogram ha stöd för det. Detta är det säkraste och rekommenderade läget, men det kräver att IIS kan komma åt en Windows-domänkontrollant som kan autentisera identiteten för den användare som begär en anslutning.

För topologier som placerar Analysis Services och IIS på olika datorer måste du åtgärda problem med dubbelhopp som inträffar när en användaridentitet måste delegeras till en andra tjänst på en fjärrdator, vanligtvis genom att aktivera Analysis Services för Kerberos-begränsad delegering. För mer information, se Konfigurera Analysis Services för Kerberos-begränsad delegering.

Grundläggande autentisering används när du har Windows-identiteter, men användaranslutningar kommer från icke-betrodda domäner, vilket förbjuder användning av delegerade eller personifierade anslutningar. Med grundläggande autentisering kan du ange en användaridentitet och ett lösenord i en anslutningssträng. I stället för att använda säkerhetskontexten för den aktuella användaren används autentiseringsuppgifter för anslutningssträngen för att ansluta till Analysis Services. Eftersom Analysis Services endast stöder Windows-autentisering måste alla autentiseringsuppgifter som skickas till den vara en Windows-användare eller grupp som är medlem i domänen där Analysis Services finns.

Anonym autentisering används ofta under den inledande testningen eftersom den enkla konfigurationen hjälper dig att snabbt verifiera HTTP-anslutningen till Analysis Services. I bara några få steg kan du tilldela ett unikt användarkonto som identitet, bevilja kontot behörigheter i Analysis Services, använda kontot för att verifiera dataåtkomst i ett klientprogram och sedan inaktivera anonym autentisering när testningen är klar.

Du kan också använda anonym autentisering i en produktionsmiljö om användarna inte har Windows-användarkonton, men följer metodtipsen genom att låsa behörigheter i värdsystemet, enligt beskrivningen i den här artikeln: Aktivera anonym autentisering (IIS 7). Se till att autentiseringen har angetts i den virtuella katalogen, och inte på den överordnade webbplatsen, för att ytterligare minska kontoåtkomstnivån.

När Anonym är aktiverat tillåts alla användaranslutningar till HTTP-slutpunkten att ansluta som anonym användare. Du kommer inte att kunna granska enskilda användaranslutningar eller använda användaridentiteten för att välja data från en modell. Som du ser påverkar användningen av Anonym allt från modelldesign till datauppdatering och åtkomst. Men om användarna inte har en Windows-användarinloggning att börja med kan det vara ditt enda alternativ att använda anonymt konto.

Ange autentiseringstyp och lägg till en skriptkarta

1. Öppna Webbplatser i IIS-hanteraren, öppna Standardwebbplats och välj sedan den virtuella OLAP-katalogen .

2. Dubbelklicka på Autentisering i IIS-avsnittet på huvudsidan.

   

3. Aktivera Windows-autentisering om du använder windowsintegrerad säkerhet.

   

4. Du kan också aktivera grundläggande autentisering om dina klient- och serverprogram finns i olika domäner. Det här läget kräver att användaren anger ett användarnamn och lösenord. Användarnamnet och lösenordet överförs via HTTP-anslutningen till IIS. IIS försöker personifiera användaren med de angivna autentiseringsuppgifterna när du ansluter till MSMDPUMP, men autentiseringsuppgifterna delegeras inte till Analysis Services. I stället måste du skicka ett giltigt användarnamn och lösenord för en anslutning, enligt beskrivningen i steg 6 nedan.

   Viktigt!

   Observera att det är viktigt för alla som skapar ett system där lösenordet överförs att ha sätt att skydda kommunikationskanalen. IIS innehåller en uppsättning verktyg som hjälper dig att skydda kanalen. Mer information finns i Konfigurera SSL på IIS 7.

5. Inaktivera anonym autentisering om du använder Windows- eller Basic-autentisering. När anonym autentisering är aktiverat använder IIS det alltid först, även om andra autentiseringsmetoder är aktiverade.

   Under Anonym autentisering körs pumpen (msmdpump.dll) som det användarkonto som du har upprättat för anonym användare. Det finns ingen skillnad mellan användaren som ansluter till IIS och användaren som ansluter till Analysis Services. Som standard använder IIS IUSR-kontot, men du kan ändra det till ett domänanvändarkonto som har nätverksbehörigheter. Du behöver den här funktionen om IIS och Analysis Services finns på olika datorer.

   Anvisningar om hur du konfigurerar autentiseringsuppgifter för anonym autentisering finns i Anonym autentisering.

   Viktigt!

   Anonym autentisering finns troligen i en extremt kontrollerad miljö, där användare får eller nekas åtkomst via åtkomstkontrollistor i filsystemet. Metodtips finns i Aktivera anonym autentisering (IIS 7).

6. Klicka på den virtuella OLAP-katalogen för att öppna huvudsidan. Dubbelklicka på Hanterarmappningar.

   

7. Högerklicka var som helst på sidan och välj sedan Lägg till skriptkarta. I dialogrutan Lägg till skriptkarta anger du *.dll som sökväg för begäran, anger c:\inetpub\wwwroot\OLAP\msmdpump.dll som körbar fil och skriver OLAP som namn. Behåll alla standardbegränsningar som är associerade med den här skriptkartan.

   

8. När du uppmanas att tillåta ISAPI-tillägget klickar du på Ja.

   

Steg 4: Redigera MSMDPUMP. INI-fil för att ange målservern

The MSMDPUMP. INI-filen anger den Analysis Services-instans som MSMDPUMP.DLL ansluter till. Den här instansen kan vara lokal eller fjärransluten, installerad som standard eller som en namngiven instans.

Öppna den msmdpump.ini filen som finns i mappen C:\inetpub\wwwroot\OLAP och ta en titt på innehållet i den här filen. Det ska se ut som i följande exempel:

<ConfigurationSettings>  
<ServerName>localhost</ServerName>  
<SessionTimeout>3600</SessionTimeout>  
<ConnectionPoolSize>100</ConnectionPoolSize>  
</ConfigurationSettings>  
  

Om Analysis Services-instansen som du konfigurerar HTTP-åtkomst för finns på den lokala datorn och installeras som en standardinstans finns det ingen anledning att ändra den här inställningen. Annars måste du ange servernamnet (till exempel <ServerName>ADWRKS-SRV01</ServerName>). För en server som är installerad som en namngiven instans måste du lägga till instansnamnet (till exempel <ServerName>ADWRKS-SRV01\Tabular</ServerName>).

Som standard lyssnar Analysis Services på TCP/IP-port 2383. Om du har installerat Analysis Services som standardinstans behöver du inte ange någon port i <ServerName> eftersom Analysis Services vet hur man lyssnar på port 2383 automatiskt. Du måste dock tillåta inkommande anslutningar till den porten i Windows-brandväggen. Mer information finns i Konfigurera Windows-brandväggen så att Analysis Services-åtkomst tillåts.

Om du har konfigurerat en namngiven eller standardinstans av Analysis Services för att lyssna på en fast port måste du lägga till portnumret i servernamnet (till exempel <ServerName>AW-SRV01:55555</ServerName>) och du måste tillåta inkommande anslutningar i Windows-brandväggen till den porten.

Steg 5: Bevilja dataåtkomstbehörigheter

Som tidigare nämnts måste du bevilja behörigheter för Analysis Services-instansen. Varje databasobjekt har roller som ger en viss behörighetsnivå (läsa eller läsa/skriva) och varje roll har medlemmar som består av Windows-användaridentiteter.

Om du vill ange behörigheter kan du använda SQL Server Management Studio. Under mappen Databasroller | kan du skapa roller, ange databasbehörigheter, tilldela medlemskap till Windows-användar- eller gruppkonton och sedan bevilja läs- eller skrivbehörighet för specifika objekt. Läsbehörigheter för en kub räcker vanligtvis för klientanslutningar som använder modelldata men inte uppdaterar dem.

Rolltilldelningen varierar beroende på hur du konfigurerade autentisering.

Autentisering	Rolltilldelning
Anonym	Lägg till det konto som anges i Redigera autentiseringsuppgifter för anonym autentisering i IIS i listan Medlemskap. Mer information finns i Anonym autentisering,
Windows-autentisering	Lägg till Windows-användar- eller gruppkontona i listan Medlemskap och begär Analysis Services-data via personifiering eller delegering. Förutsatt att Kerberos-begränsad delegering används är de enda konton som behöver behörigheter Windows-användar- och gruppkonton som begär åtkomst. Inga behörigheter krävs för programpoolens identitet.
Grundläggande autentisering	Lägg till de Windows-användar- eller gruppkonton som skickas i anslutningssträngen i listan Medlemskap. Om du skickar autentiseringsuppgifter via EffectiveUserName i anslutningssträngen måste programpoolens identitet dessutom ha administratörsbehörighet för Analysis Services-instansen. Högerklicka på instansen i SSMS | Egenskaper | Säkerhet | Lägg till. Ange programpoolens identitet. Om du använde den inbyggda standardidentiteten anges kontot som IIS AppPool\DefaultAppPool.

Mer information om hur du anger behörigheter finns i Auktorisera åtkomst till objekt och åtgärder (Analysis Services).

Steg 6: Konfigurera en säker kanal

Från och med SQL Server Analysis Services 2025 inaktiveras HTTP-anslutningar via msmdpump.dll som standard.

När du försöker ansluta till http://localhost/OLAP/msmdpump.dll med en kopia av denna DLL från C:\Program Files\Microsoft SQL Server\MSAS17. MSSQLSERVER\OLAP visas det här felet:

Anslutningar till SQL Server Analysis Services via msmdpump.dll måste använda säkra kanaler, till exempel HTTPS. (Okänd)

Testmiljöer

Om du arbetar i en testmiljö och inte har några problem med att läcka grundläggande autentiseringsuppgifter i klartext kan du inaktivera konfigurationsinställningen RequireSecureChannel som msmdpump.ini nedan:

<ConfigurationSettings>
	<ServerName>localhost</ServerName>
	<SessionTimeout>3600</SessionTimeout>
	<ConnectionPoolSize>100</ConnectionPoolSize>
	<RequireSecureChannel>false</RequireSecureChannel>
</ConfigurationSettings>

Produktionsmiljöer

Om du konfigurerar en produktionsmiljö för anslutningar till din SSAS-instans bör du konfigurera SSL på din IIS-plats med hjälp av följande instruktioner: Så här konfigurerar du SSL på IIS 7.

Steg 7: Testa konfigurationen

Syntaxen för anslutningssträngen för MSMDPUMP är URL:en till filen MSMDPUMP.dll.

Om webbprogrammet lyssnar på en fast port lägger du till portnumret i servernamnet eller IP-adressen (till exempel http://my-web-srv01:8080/OLAP/msmdpump.dll eller http://123.456.789.012:8080/OLAP/msmdpump.dll.

För att snabbt testa anslutningen kan du öppna en anslutning med Hjälp av Internet Explorer, Microsoft Excel eller SQL Server Management Studio.

Felsöka anslutningar med Internet Explorer

En anslutningsbegäran som avslutas med det här felet kanske inte ger dig mycket att gå på: "Antingen kan en anslutning inte göras till servernamn<> eller så körs inte Analysis Service på servern".

Gör följande för att få ett mer informativt fel:

1. I Internet Explorer>InternetAlternativ>Avancerat avmarkerar du kryssrutan för Visa egna HTTP-meddelanden.

2. Försök ansluta igen (till exempel http://my-web-srv01:8080/OLAP/msmdpump.dll)

Om du ser en FEL-XML som visas i webbläsarfönstret kan du eliminera MSMDPUMP som den potentiella orsaken och flytta fokus till certifikatet.

Testa anslutningar med SQL Server Management Studio

1. I Management Studio går du till dialogrutan Anslut till server och väljer Analysis Services som servertyp. I Servernamn anger du HTTP-adressen för msmdpump-tillägget: http://my-web-srv01/OLAP/msmdpump.dll.

   Object Explorer visar HTTP-anslutningen:

   

2. Autentisering måste vara Windows-autentisering och personen som använder Management Studio måste vara Analysis Services-administratör. En administratör kan bevilja ytterligare behörigheter för att aktivera åtkomst av andra användare.

Testa anslutningar med Excel

1. På fliken Data i Excel går du till Hämta externa data, klickar på Från andra källor och väljer sedan Från Analysis Services för att starta guiden Dataanslutning.

2. I Servernamn anger du HTTP-adressen för msmdpump-tillägget: http://my-web-srv01/OLAP/msmdpump.dll.

3. För Inloggningsuppgifter väljer du Använd Windows-autentisering om du använder Windows-integrerad säkerhet eller NTLM eller anonym användare.

   För Grundläggande autentisering väljer du Använd följande användarnamn och lösenord och anger sedan de autentiseringsuppgifter som används för att logga in. De autentiseringsuppgifter som du anger skickas på anslutningssträngen till Analysis Services.

Testa anslutningar med hjälp av AMO

Du kan testa HTTP-åtkomst programmatiskt med hjälp av AMO och ersätta URL:en för slutpunkten med servernamnet. Mer information finns i Forum Post (Så här synkroniserar du SSAS 2008 R2-databaser via HTTPS över domän-/skogs- och brandväggsgränser).

Ett exempel på en anslutningssträng som illustrerar syntaxen för HTTP(S) åtkomst med grundläggande autentisering:

Data Source=https://<servername>/olap/msmdpump.dll; Initial Catalog=AdventureWorksDW2012; Integrated Security=Basic; User ID=XXXX; Password=XXXXX;

Mer information om hur du konfigurerar anslutningen programmatiskt finns i Upprätta säkra anslutningar i ADOMD.NET.

Som ett sista steg bör du följa upp med mer rigorös testning med hjälp av en klientdator som körs i nätverksmiljön som anslutningarna kommer från.

Se även

Foruminlägg (http-åtkomst med msmdpump och grundläggande autentisering)
Konfigurera Windows-brandväggen för att tillåta Analysis Services-åtkomst
Auktorisera åtkomst till objekt och åtgärder (Analysis Services)
IIS-autentiseringsmetoder
Så här konfigurerar du SSL på IIS 7