SP 2013 Migration: Authentifizierung Best Practice

Tim Als Antwort am 12 Dez. 2013 15:15

Vielleicht hilft es ja noch jemand anderem:

Habe selbst noch ein wenig recherchiert und werde mich wohl für Option 2 entscheiden.

Im englischen Technet Forum gab es hierzu ebenfalls einen Thread:

http://social.technet.microsoft.com/Forums/sharepoint/en-US/1c42c42d-d2da-4a4e-a183-3c6d62a4aa24/authentication-mode-upgrade?forum=sharepointadmin

Dort gibt es Meinung für und gegen Option 1 bzw. 2. Will man SP2013 in Verbindung mit den Office Web Apps einsetzen, kommt man zumindest nicht an der Claims Authentifizierung vorbei.

Ein wesentlicher Vorteil von Option 2 ist, dass man immer noch ein Fallback-Szenario hat, da die SP2010-Farm nicht verändert wurde.

Im Technet habe ich dann auch noch folgendes Video gefunden:

http://technet.microsoft.com/EN-US/library/cc263299.aspx

Hier wird ebenfalls gesagt (2:55 Min): "If you want to migrate from classic to claims authentication, [..] do this as a seperate process after you upgrade the data".

Heißt für mich:

1. In SP2013-Farm Webanwendungen mit PowerShell als Windows Classic aufsetzen.

2. Datenbanken rüberholen und migrieren

3. Authentifizierung auf Claims umstellen (ebenfalls mit PowerShell)

Schöne Grüße,

Tim

Tom Scheuermann Als Antwort am 14 Dez. 2013 14:21

Hi !

Aus der Erfahrung eines Consultants heraus würde ich sagen, Du liegst völlig richtig.

Claims ist die Zukunft (macht aus Sinn), das beibehalten der klassischen Authentifizierung bei der Migration ist deshalb nicht empfehlenswert.

Deine Vorgehensweise, die Webanwendung erst NACH der Migration umzustellen, halte ich für die beste Methode.

Beachten musst Du allerdings, das es u.U. zu Problemen mit den Dienstkonten kommen kann (z.B. in den Richtlinien für eine Webanwendung).
Ob alles passt erkennst Du daran, das die Konten dann "irgendwie komisch" benannt sind - z.B. i:0#.wDOMAIN\ACCOUNT.

Das i:0#w kennzeichnet den Claim, die Dienstkonten sollten in dieser Form eingetragen sein.

Tim Als Antwort am 16 Dez. 2013 16:34

Hi Tom,

vielen Dank für deine Antwort. Der Aspekt mit den Dienstkonten ist interessant, hatte ich so noch nicht auf dem Plan. Gibt es hierzu irgendeinen entsprechenden Artikel von Microsoft zu dem Thema?

Auf Client-Seite wurden die IE-Sicherheitseinstellungen entsprechend geändert, um die Windows Anmeldeinformationen an die Seite weiterzuleiten.
Gibt es da schon Erfahrungen, inwieweit die Claims-Authentifizierung hier Änderungen erfordert, um das "Single Sign on" zu realisieren?

Schöne Grüße,
Tim

Tom Scheuermann Als Antwort am 16 Dez. 2013 18:29

Hi Tim,

einen echten "Single SignOn" gibt es in SharePoint nicht wirklich.

Aufgrund der Zuordnung des FQDN der Webanwendung zu den "lokalen Intranetsites" fragt der BROWSER den Windows Client nach einem NTLM oder Kerberos Ticket und reicht dieses automatisch an den IIS weiter.
Ist der FQDN nicht unter "Lokales Intranetsites" gelistet, zeigt der Browser direkt einen Eingabeseite für die Credentials.

Das alles hat mit "Claims" nichts zu tun, insofern hat sich auch nix geändert :-)

Tim Als Antwort am 17 Dez. 2013 08:16

Hi Tom,

gut zu wissen, vielen Dank!

Schöne Grüße,
Tim