Permalink

2

Limitationen bei der Verwendung von Claims based Authentication in SharePoint 2010

Wie schon gebloggt kann man so einige SharePoint-Authentifizierungs-Szenarien mit Claims lösen. Wo Sonne ist, ist aber auch Schatten. In einem Projekt kam die Frage auf ob man alle Benutzer nur über Claims innerhalb SharePoint 2010 einbinden kann. Sprich keinen „User Profile Sync“ gegen ein Directory.  Und so machte ich machte mich auf die Suche nach den Limitationen. Hier meine Liste die vermutlich im Laufe der Zeit immer länger wird:

Audiences
OOTB funktionieren die „Benutzer basierten“-Audiences nicht. Also das Szenario „Mitglieder dieser Gruppe können das sehen“ funktioniert ohne „Custome Code“ nicht.
„Property-based“-Audiences funktionieren. Details dazu in diesem TechNet Blogpost: http://blogs.technet.com/b/speschka/archive/2010/06/12/using-audiences-with-claims-auth-sites-in-sharepoint-2010.aspx

Excel Services
Die Excel Services benutzen normalerweise C2WTS (Claims to Windows Token Service). Es wird aber nichts andere konvertiert das nicht entweder „Windows Classic“ oder „Windows Tokens“ zu einer „Windows Identity“ gewandelt wird. Aus diesem Grund müssen externe Datenzugriffe oder  „unattended data refresh” über den Secure Store Service durchgeführt.

Performance Point
Performance Point muss die „ Unattended Service Account”-Option im Zusammenhang mit “Secure Store Services” und Claims benutzen.

SQL Server 2008 R2 Reporting Services Integration
Die SQL Reporting Services benötigen zwingend Windows Authentication. Es besteht keine Möglichkeit den C2WTS (Claims to Windows Token Service) zu benutzen.

Visio Services
„Secure Store Service“ kann nur für das Darstellen von Objekten benutzt werden dessen Connection über ein ODC-File spezifiziert wurden.

Project Server
Claims werden prinzipiell unterstützt. Jedoch benötigt die Migration mehr als nur „MigrateUser“ da der Project Server eine eigene Datenbank für die „User Logon Information“ unterhält.

SharePoint Designer
Der „External Content Type Designer“ in SharePoint Designer 2010 kann keine „Claims aware WDSL endpoints“ ansprechen (http://support.microsoft.com/default.aspx?scid=kb;EN-US;982268).

PowerPivot
Das Darstellen von Workbooks“ in PowerPivot arbeitet eigentlich wie erwartet, trotzdem unterstützt PowerPivot nur klassische Web Apps. Dies aus folgenden zwei Gründen:
Um Daten von einer externen DB zu aktualisieren, benutzte Power Pivot die User Credentials die im Secure Store Service gespeichert sind. In einer claims-based Web App kann das “SharePoint binary API” mit einem “Windows Token” nicht angesprochen werden.
Eingehende „Connection Request“ werden von den SharePoint Front End Servern nicht akzeptiert. Dies scheint ein Bug zu sein.

SharePoint Features

  • Search Alerts – funktionieren nicht
  • SharePoint Server 2010 Explorer Ansicht – funktioniert nicht
  • InfoPath Forms Services – funktionieren nicht. Das Aufrufen von den asmx Web Services verursacht Probleme. Kann aber teilweise behoben werden.
  • Search crawling – funktioniert nicht

SharePoint Workspace
SharePoint Workspace 2010 kann keine Verbindung zu einer Claims aktivierten Site herstellen (Hinweis von Alexander Marek)

Team Foundation Server 2010
Die Integration mit Team Foundation Server 2010 ist nicht möglich (Hinweis von Alexander Marek

Dies ist meine aktuelle Sammlung. Gute Ausgangspunkte um nach Lösungen und Ideen zu suchen sind folgende Blogs:
Share-n-dipity: http://blogs.technet.com/b/speschka/
SharePoint Security: http://www.sharepointsecurity.com/category/sharepoint/claims-based-authentication//
Microsoft Whitepaper: http://technet.microsoft.com/de-de/library/hh487289.aspx

Autor: Christoph Müller

Christoph Müller ist Consultant, Blogger und Podcaster rund ums Thema SharePoint, Digital Transformation, Cloud, Mobile und Netzpolitik.

2 Kommentare

  1. Hi Chris,
    ich habe eine claims basierte Web Anwendung und habe nun einige Tests mit einem Windows Account durchgeführt. Ich konnte sowohl den Content crawlen, mit Workspace synchen und auch Explorer Ansicht öffnen. Bezieht sich die Aussage bezüglich Workspace und Explorer dann nur auf den User der über FBA kommt? Crawl ist ja davon unberühert.
    Steffen