Безопасность отчетов SSRS в приложении Asp.net

Question

Если я передаю некоторые идентификаторы из приложения Asp.net на сервер SSRS для рендеринга отчетов - как я могу убедиться, что идентификаторы не прочитаны или не изменены конечным пользователем?

Один из способов, я думаю, использовать управление ReportViewer в приложении Asp.net и реализовать SSL, но является ли это надежным? или являются их лучшими/альтернативными способами обеспечения безопасности в таком приложении.

Answer 1

Три уровня вы могли бы сделать в целях безопасности:

1. Изменение порта по умолчанию на SSRS сервере к чему-то другому, чем 80 EG: Изменить его на 81, а затем кто-то должен подключиться через: HTTP: // (имя сервера): 81/ReportServer. Использование другого порта делает трафик не на общем интернет-порту 80, может быть хорошим способом скрыть использование. Это также потребует, чтобы на сервере, на котором размещен этот порт, вы открыли этот порт в настройках брандмауэра Windows для использования с этим приложением.

2. Используйте HTTPS с сертификатом, чтобы определить, что соединение действительно между хостом и целью.

3. Настройте только одного пользователя на сайте SSRS, кроме локального администратора. Дайте этому пользователю права только на чтение. Настройте приложение для аутентификации в ReportViewer через удаленный режим, но HARD CODE это значение в свой метод, не помещайте в приложение или веб-конфигурацию. Таким образом, кто-то должен иметь доступ к исходному коду, чтобы иметь возможность просматривать пользователя, они не смогут попасть на сайт SSRS, даже если он не будет локальным администратором на сервере, на котором размещен SSRS.

Это мои идеи в любом случае. В большинстве случаев у людей возникают проблемы с SSRS, которые слишком безопасны, чтобы просто встать против вас, вы хотите больше безопасности. Я надеюсь, что некоторые из них помогают, поскольку я знаю, что этот метод, который я не могу сказать, является 100% надежным (ничего не ИМХО), но теперь он добавил уровень сложности в добавлении другого порта, а также выделенного пользователя с минимальным разрешением, доступным только для просмотра другой учетной записи, но может быть жестко запрограммирован в приложениях на передней панели.

Answer 2

Вы также можете добавить свою безопасность в свой уровень отчета. Используйте User!UserID, чтобы зафиксировать, кто входит в ваш отчет. и проверьте это с помощью набора данных, который вы создаете из базы данных приложений, которая управляет правами доступа к отчетам. Таким образом, вы можете отфильтровать данные, отображаемые для неверных пользователей.

Примечание: Пожалуйста, рассматривайте это как еще один уровень безопасности вашей системы и не полагайтесь только на это. Есть способы, которыми могущественный пользователь может обойти это.