使用 Reporting Services 进行身份验证的扩展保护

扩展保护是针对最新版本的 Microsoft Windows 操作系统的一组增强功能。 扩展保护可增强应用程序如何保护凭据和身份验证。 该功能本身不会直接提供针对凭据转发等特定攻击的保护，而是为 Reporting Services 等应用程序提供基础结构，以强制实施针对身份验证的扩展保护。

作为扩展保护一部分的主要身份验证增强功能是服务绑定和渠道绑定。 通道绑定使用通道绑定令牌（CBT）来验证在两个终结点之间建立的通道未被破坏。 服务绑定使用服务器主体名称 (SPN) 来验证身份验证标记的预期目的地。 有关扩展保护的详细信息，请参阅 集成 Windows 身份验证与扩展保护。

SQL Server 2019 （15.x） Reporting Services 支持并强制执行已在作系统中启用并在 Reporting Services 中配置的扩展保护。 默认情况下，Reporting Services 接受指定 Negotiate 或 NTLM 身份验证的请求，因此，可能因操作系统中支持扩展保护以及 Reporting Services 扩展保护功能而受益。

Reporting Services 扩展保护概述

SQL Server 2019 （15.x） Reporting Services 支持并强制实施已在操作系统中启用的扩展保护。 如果操作系统不支持扩展保护或操作系统中的功能尚未启用，Reporting Services 扩展保护功能将无法进行身份验证。 Reporting Services 扩展保护还需要 SSL 证书。 有关详细信息，请参阅 在本机模式报表服务器上配置 SSL 连接

由于扩展保护设置或配置错误设置的更改而出现的常见问题不会公开明显的错误消息或对话框窗口。 与扩展保护配置和兼容性相关的问题会导致身份验证失败并在 Reporting Services 跟踪日志中记录错误。

升级

• 将 Reporting Services 服务器升级到 SQL Server 2019（15.x）会将具有默认值的配置设置添加到 rsreportserver.config 文件。 如果设置已存在，则 SQL Server 2019 （15.x） 安装会将这些 rsreportserver.config 设置保留在文件中。

• 将配置设置添加到 rsreportserver.config 配置文件时，默认行为是 Reporting Services 扩展保护功能关闭，必须启用本主题中所述的功能。 有关详细信息，请参阅本主题中的 配置设置 部分。

• 设置 RSWindowsExtendedProtectionLevel 的默认值为 Off。

• 设置 RSWindowsExtendedProtectionScenario 的默认值为 Proxy。

• SQL Server 2019 （15.x） 升级顾问不验证操作系统或当前安装的 Reporting Services 是否已启用扩展保护支持。

Reporting Services 扩展保护不涵盖的内容

Reporting Services 扩展保护功能不支持以下功能区域和方案：

• Reporting Services 自定义安全扩展插件的作者必须将对扩展保护的支持添加到其自定义安全扩展插件中。

• 向 Reporting Services 安装添加或使用的第三方组件必须由第三方供应商更新，以支持扩展保护。 有关详细信息，请与第三方供应商联系。

部署方案和建议

以下各方案说明各种不同部署和拓扑，以及使用 Reporting Services 扩展保护来对它们进行保护的建议配置。

直接

此方案介绍直接连接到报表服务器（例如 Intranet 环境）。

情景	方案图	保护方式
直接 SSL 通信。 报表服务器将强制客户端与报表服务器之间的通道绑定。	1) 客户端应用程序 2) 报表服务器	不需要服务绑定，因为 SSL 通道将用于通道绑定。 将 RSWindowsExtendedProtectionLevel 设置为 Allow 或 Require。 将 RSWindowsExtendedProtectionScenario 设置为 Direct。
直接 HTTP 通信。 报表服务器将强制客户端进行与报表服务器的服务绑定。	1) 客户端应用程序 2) 报表服务器	没有 SSL 通道，因此无法强制实施通道绑定。 可以验证服务绑定，但是，如果没有通道绑定，服务绑定本身就不是完全防御，服务绑定只会防范基本威胁。 将 RSWindowsExtendedProtectionLevel 设置为 Allow 或 Require。 将 RSWindowsExtendedProtectionScenario 设置为 Any。

代理和网络负载均衡

客户端应用程序连接到执行 SSL 的设备或软件，并通过凭据传递到服务器进行身份验证，例如 Extranet、Internet 或安全 Intranet。 客户端连接到代理，或者所有客户端都使用代理。

使用网络负载均衡（NLB）设备时，情况相同。

情景	方案图	保护方式
HTTP 通信。 报表服务器将强制客户端与服务器进行服务绑定。	1) 客户端应用程序 2) 报表服务器 3) 代理	没有 SSL 通道，因此无法强制实施通道绑定。 将 RSWindowsExtendedProtectionLevel 设置为 Allow 或 Require。 将 RSWindowsExtendedProtectionScenario 设置为 Any。 请注意，报表服务器必须配置为知道代理服务器的名称，以确保正确强制实施服务绑定。
HTTP 通信。 报告服务器将强制执行客户端到代理通道绑定以及客户端到报告服务器服务绑定。	1) 客户端应用程序 2) 报表服务器 3) 代理	SSL 通道可用于代理，因此可以强制实施代理的通道绑定。 服务绑定也可以被强制执行。 报表服务器必须知道代理名称，报表服务器管理员应使用主机标头为其创建 URL 预留，或在 Windows 注册表项 BackConnectionHostNames中配置代理名称。 RSWindowsExtendedProtectionLevel 至 Allow 或 Require。 将 RSWindowsExtendedProtectionScenario 设置为 Proxy。
与安全代理之间的间接 HTTPS 通信。 报表服务器将强制客户端代理通道绑定和客户端到报表服务器服务绑定。	1) 客户端应用程序 2) 报表服务器 3) 代理	SSL通道可用于代理，因此可以强制对代理的通道绑定。 还可以强制实施服务绑定。 报表服务器必须知道代理名称，报表服务器管理员应使用主机标头为其创建 URL 预留，或在 Windows 注册表项 BackConnectionHostNames中配置代理名称。 RSWindowsExtendedProtectionLevel 至 Allow 或 Require。 将 RSWindowsExtendedProtectionScenario 设置为 Proxy。

网关

此方案描述连接到执行 SSL 并对用户进行身份验证的设备或软件的客户端应用程序。 接着，此设备或软件模拟用户上下文或其他用户上下文，之后对报表服务器发出请求。

情景	方案图	保护方式
间接 HTTP 通信。 网关将强制实施客户端到网关通道绑定。 有一个用于报表服务器服务绑定的网关。	1) 客户端应用程序 2) 报表服务器 3) 网关设备	无法进行从客户端到报表服务器的通道绑定，因为网关模拟了一个身份，导致创建了新的 NTLM 令牌。 网关到报表服务器没有 SSL，因此无法强制实施通道绑定。 可以强制实施服务绑定。 将 RSWindowsExtendedProtectionLevel 设置为 Allow 或 Require。 将 RSWindowsExtendedProtectionScenario 设置为 Any。 网关设备应由管理员配置，以强制实施通道绑定。
与安全网关之间的间接 HTTPS 通信。 网关将执行客户端到网关的通道绑定，报表服务器将执行网关到报表服务器的通道绑定。	1) 客户端应用程序 2) 报表服务器 3) 网关设备	由于网关模拟上下文并因此创建新的NTLM令牌，无法实现从客户端到报表服务器的通道绑定。 从网关到报表服务器的 SSL 意味着可以强制实施通道绑定。 不需要服务绑定。 将 RSWindowsExtendedProtectionLevel 设置为 Allow 或 Require。 将 RSWindowsExtendedProtectionScenario 设置为 Direct。 网关设备应由管理员配置，以强制实施通道绑定。

组合

此方案描述在 Extranet 或 Internet 环境中，客户端如何通过代理进行连接。 这与客户端连接到报表服务器的 Intranet 环境结合使用。

情景	方案图	保护方式
不使用 SSL 的情况下，从客户端间接或直接访问报表服务器服务，包括客户端到代理或客户端到报表服务器的连接。	1) 客户端应用程序 2) 报表服务器 3) 代理 4) 客户端应用程序	可以强制实施从客户端到报表服务器的服务绑定。 报表服务器必须知道代理名称，报表服务器管理员应使用主机标头为其创建 URL 预留，或在 Windows 注册表项 BackConnectionHostNames中配置代理名称。 将 RSWindowsExtendedProtectionLevel 设置为 Allow 或 Require。 将 RSWindowsExtendedProtectionScenario 设置为 Any。
从客户端到报表服务器的间接和直接访问，客户端与代理或报表服务器建立 SSL 连接。	1) 客户端应用程序 2) 报表服务器 3) 代理 4) 客户端应用程序	可以使用通道绑定 报表服务器必须知道代理名称，报表服务器管理员应使用主机标头为代理创建 URL 预留，或在 Windows 注册表项 BackConnectionHostNames中配置代理名称。 将 RSWindowsExtendedProtectionLevel 设置为 Allow 或 Require。 将 RSWindowsExtendedProtectionScenario 设置为 Proxy。

配置 Reporting Rervices 扩展保护

该文件 rsreportserver.config 包含控制 Reporting Services 扩展保护行为的配置值。

有关使用和编辑 rsreportserver.config 文件的详细信息，请参阅 RSReportServer 配置文件。 还可以使用 WMI API 更改和检查扩展保护设置。 有关详细信息，请参阅 SetExtendedProtectionSettings 方法（WMI MSReportServer_ConfigurationSetting）。

验证配置设置失败时，身份验证类型RSWindowsNTLMRSWindowsKerberos，并在RSWindowsNegotiate报表服务器上禁用。

Reporting Services 扩展保护的配置设置

下表提供有关在 rsreportserver.config 中显示的扩展保护配置设置的信息。

配置文件中的 rsreportserver.config 示例条目：

<Authentication>
         <RSWindowsExtendedProtectionLevel>Allow</RSWindowsExtendedProtectionLevel>
         <RSWindowsExtendedProtectionScenario>Proxy</RSWindowsExtendedProtectionLevel>
</Authentication>

服务绑定和包含的 SPN

服务绑定使用服务器主体名称或 SPN 来验证身份验证标记的预期目标。 Reporting Services 使用现有的 URL 预留信息来生成被视为有效的 SPN 的列表。 使用 URL 预留信息验证 SPN 和 URL 预留，系统管理员可以从单个位置管理这两者。

报表服务器启动时、扩展保护的配置设置更改或应用程序域回收时，将更新有效的 SPN 列表。

SPN 的有效列表特定于每个应用程序。 例如，报表管理器和报表服务器将具有不同的有效 SPN 列表。

为应用程序计算的有效 SPN 列表取决于以下因素：

• 每个 URL 预留。

• 从域控制器检索到的与报表服务服务帐户相关的每个 SPN。

• 如果 URL 预留包含通配符（“*”或“+”），则报表服务器将从 hosts 集合中添加每个条目。

Hosts 集合来源。

下表列出了 Hosts 集合的潜在来源。

有关详细信息，请参阅为报表服务器注册服务主体名称（SPN），以及关于 URL 预留和注册（SSRS 配置管理器）。

另请参阅

使用扩展保护连接到数据库引擎扩展保护的身份验证概述集成 Windows 身份验证与扩展保护Microsoft 安全公告：扩展保护的身份验证报表服务器服务跟踪日志RSReportServer 配置文件SetExtendedProtectionSettings 方法（WMI MSReportServer_ConfigurationSetting）