Secure Store Service

지난번 포스트에서 BCS를 통해 External Content Type을 사용하는 예제를 만들어 봤습니다. 그런 시나리오에서 제가 의도적으로 누락 했던 부분이 있습니다. 바로 BCS저장소에 접근 할 때 사용 하게 되는 인증 입니다. 그래서 서버 로컬에서 Administrator로 로그인 했을 땐 문제가 없지만 웹서버 바깥에서 로그인 하게 되면 DB인증이 실패 하는 경우가 발생 합니다.

BCS뿐 아니라 SharePoint는 Presentation layer의 역할을 가지고 있기 때문에 여러 데이터 소스로 부터 데이터를 취합 하는 시나리오가 자주 발생 하게 됩니다. 그럴 때 마다 가장 먼저 해결 해야 하는 부분이 데이터 소스에 접근 할 때 어떤 인증 방식으로 어떤 identity를 사용 할 것 인가 하는 문제 입니다.

이 때 SharePoint에서 제공 하는 솔루션이 Secure Storage Service 입니다. SSS는 2007 버전에서는 SSO서비스라고 이름 붙였습니다만 이름이 타 Web SSO와 혼동을 일으키는 부분도 있어서 이름을 바꾸어 업그레이드 되었습니다.

이제 지난 포스트에 이어서 SSS를 설정 하는 방법을 알아 보겠습니다.

중앙 관리에서 서비스 응용 프로그램 관리로 이동합니다.

만약 SharePoint 팜서비스 구성 마법사를 통해 Secure Store Service를 이미 만들어 둔 상태라면 아래 단계는 건너 뛰어도 됩니다.

서비스 응용 프로그램 이름과 데이터베이스 이름, 응용프로그램 풀 이름을 설정 합니다.

서비스 응용 프로그램 목록에서 제대로 Secure Store Service가 만들어 졌는지 확인이 가능합니다.

"관리"를 클릭해서 나머지 설정을 진행 합니다.

"새 키 생성"을 클릭합니다.

키의 암호를 지정합니다.

이제 "새 응용 프로그램"을 클릭

대상 응용 프로그램 ID, 표시 이름, 연락처 전자메일을 설정 합니다. 대상 응용 프로그램 형식은 "그룹:"을 선택 합니다. "그룹"은 Windows 기준으로 말씀드리자면 "Domain Users같은 그룹에 속한 사용자 아이디가 이 "MyDatabase"라는 응용프로그램에 접근 한다면" 이라는 의미 입니다.

대상응용 프로그램 관리자에는 적당히 게정을 지정을 지정 하시고 중요 한 부분은 "멤버" 부분입니다. 어떤 사용자 그룹이 이 "대상 응용 프로그램"을 사용할 것인가를 지정하는 부분입니다. 다시 말하자면 "Domain Users"그룹에 속한 사용자들이 이 "MyDatabase 대상 응용 프로그램"에 접근시에 작동 한다는 것을 뜻합니다.

"MyDatabase" 대상 응용 프로그램이 만들어 진 것을 확인 할 수 있습니다.

이제 이 대상프로그램에 접근한 사용자가 어떤 ID로 바꿀 것인가를 지정 합니다. "자격 증명 설정"을 클릭합니다.

자격 증명 설정 화면에서 대상 응용 프로그램에 접근시에 가장할 자격 증명을 지정 합니다.

이제 Secure Store Service에 MyDatabase라는 대상 응용프로그램 설정이 완료 되었습니다. 이 설정을 External Content Type에서 사용 해 보도록 하겠습니다.

앞서 말씀 드린 대로 Secure Store Service는 이전 버전의 SSO서비스 기능을 확장 해서 SharePoint 2010 의 인증 추가 기능은 Claim 티켓까지 사용 할 수 있도록 확장 되었습니다. 외부 시스템과의 연동 시에 Secure Store Service를 잘 활용 하면 보안 인증에 관련된 많은 부분을 손 쉽게 처리 할 수 있습니다.