逻辑体系结构组件 (Windows SharePoint Services)

时间：2022-11-30 10:42:26

本文内容：

有多种方式可以排列逻辑体系结构设计中的组件。每个组件对共享和隔离都有着不同的机会。开始逻辑体系结构设计之前需要：

  • 了解共享和隔离的目标。

  • 对每项选择进行权衡。

本文中的每部分都描述一个特定的逻辑结构组件，并讨论该组件的以下注意事项：容量、共享和隔离、可配置项、管理和规划建议。

服务器场

从技术角度看，服务器场并不是逻辑体系结构组件。但是，服务器场表示设计的*元素。单独的服务器场提供物理隔离。

由组织所决定的若干条件可能会影响所需的服务器场数量，这些条件包括：

  • 职责所属的各个运营部门。

  • 专用资金来源。

  • 单独的数据中心位置。

  • 针对网站间物理隔离的行业要求。

尽管如此，还是可以在单个服务器场上满足许多隔离要求。例如，可以使用不同的 Internet Information Services (IIS) 应用程序池配合不同的进程标识，在进程级实现隔离。还可以使用单独的 Web 应用程序在 Web 应用程序级实现隔离。

组织之所以实现多个服务器场，不仅是为了满足可能需要多个服务器场的隔离要求，也是为了实现性能和扩展目标。

应用程序池

应用程序池是集中在一起的一个或多个 URL（在 IIS 中表现为网站），由工作进程提供服务。每个应用程序池都有自己的工作进程和标识（安全帐户），以防两个进程进行交互。

容量

一个应用程序池的内存开销是 30-50 兆字节 (MB) 加上应用程序池进程空间中运行的应用程序所使用的内存。应用程序池的数量限制受系统上可用内存的影响。也就是说，应用程序池的数量由以下两个因素控制：

  • 可用的可寻址内存。

  • 应用程序池中运行的应用程序的大小。

为达到可接受的性能，一般指导标准是使用八个或更少的应用程序池。

共享和隔离

IIS 应用程序池提供了一种使多个网站可在同一台服务器计算机上运行的方式，但仍拥有自己的工作进程和标识。此方法有助于防止网站上出现漏洞，否则攻击者利用漏洞可以注入恶意代码，而这些代码会攻击其他应用程序池中的网站。

可配置项

对每个应用程序池都使用单独的应用程序池标识。

管理

管理包括为每个应用程序池保持单独的应用程序池标识。

规划建议

从实际的角度来说，出于以下原因之一时请考虑使用专用的应用程序池：

  • 需要将经过身份验证的内容与匿名内容分开。

  • 需要隔离为外部业务应用程序存储密码并与之交互的应用程序。

  • 需要隔离用户非常*地创建和管理网站并就内容进行协作时所使用的应用程序。

Web 应用程序

Web 应用程序是通过 SharePoint 产品和技术创建和使用的 IIS 网站。每个 Web 应用程序都表现为 IIS 中一个不同的网站。应为每个 Web 应用程序都分配一个唯一的域名，这样有助于防止跨网站脚本攻击。

容量

每个 ASP.NET 页对每个 Web 应用程序都分别生成一个单独的动态链接库 (DLL)。这些单独的 DLL 消耗内存，因而限制了服务器上可以运行的 Web 应用程序的数量。为达到可接受的性能，指导标准是实现 99 个或更少的 Web 应用程序。

共享和隔离

库和模板在服务器场的配置数据库中进行注册。您可以指定哪些 Web 应用程序能使用这些库和模板。

每个 Web 应用程序都有一个唯一的域名，这样有助于防止跨网站脚本攻击。

可配置项

下表列出了参与隔离和共享的可配置项。

项 说明

区域

在 Web 应用程序中，最多可以创建五个区域。使用区域可以对大类用户强制实施各种访问权限和策略条件。

Web 应用程序的策略

创建“全部区域”策略可以实施 Web 应用程序中所有区域上均适用的策略条件。

管理

不必对 Web 应用程序进行持续管理。

规划建议

一般来说，专用 Web 应用程序的用途是：

  • 将对匿名用户提供的内容与对经过身份验证的用户提供的内容分开。

  • 隔离用户。例如，通过将合作伙伴网站放置在单独的 Web 应用程序中，可以确保合作伙伴无法访问 Intranet 内容。

  • 强制实施权限。通过专用的 Web 应用程序，可以使用管理中心的“Web 应用程序的策略”页面来按策略强制实施权限。例如，可以创建一个策略，明确拒绝对一个或多个用户组的写入访问。强制实施 Web 应用程序的策略时不考虑对 Web 应用程序中单独的网站或文档配置的权限。

  • 优化数据库性能。如果应用程序所处的 Web 应用程序中有数据特征相似的其他应用程序，则应用程序会获得更好的性能。例如，“我的网站”的数据特征通常包括大量小型网站。相比之下，工作组网站通常包含少量大型网站。通过将这两种不同类型的网站分别放置在单独的 Web 应用程序中，生成的数据库就会由具有相似特征的数据组成，从而优化了数据库性能。

  • 优化可管理性。由于创建单独的 Web 应用程序会产生单独的网站和数据库，因此可以对每个网站的回收站、有效期限和大小实现不同的限制，并协商不同的服务级别协议。例如，可能允许使用更多时间来还原对业务不重要的网站。

区域

区域表示访问相同 Web 应用程序时所使用的不同逻辑路径 (URL)。在每个 Web 应用程序中最多可以创建五个区域，同时使用以下可用的区域名称之一：默认、Intranet、Internet、自定义或 Extranet。每个区域都表现为 IIS 中一个不同的网站。

默认区域是创建 Web 应用程序后创建的第一个区域。

容量

一个 Web 应用程序中最多可以创建五个区域。承载多个 Web 应用程序的场可以支持来自五个以上不同网络区域的用户请求。通常情况下在所有 Web 应用程序间对区域进行协调，以便为相同的用户配置相同名称的区域。

共享和隔离

区域提供了一种按以下内容划分用户的方法：

  •                     身份验证类型   可以将每个区域配置为使用不同的身份验证提供程序，从而便于您在所有合作伙伴公司间共享相同内容。

  •                     网络区域   可以将每个区域配置为容纳从其他网络区域（如 Extranet 或 Internet）进入的用户。

  •                     策略权限   可以基于用户帐户或组帐户按区域明确地允许或拒绝对内容的读取访问或写入访问。

可配置项

下表列出了参与隔离和共享的可配置项。

项 说明

身份验证提供程序

可将每个区域配置为使用不同的身份验证提供程序。

安全套接字层 (SSL)

按区域打开或关闭 SSL。

负载平衡的 URL 和备用访问映射

指定用户为访问 Web 应用程序中的内容所要键入的域名。另外，使用备用访问映射将用户友好的 URL 或适合区域的 URL 映射为每个区域的默认 URL（服务器名称和端口）。备用访问映射支持外部 SSL 终止。外部 SSL 终止是指代理服务器终止 SSL 请求，然后使用 HTTP 将该请求转发给 Web 服务器。在这种情况下，可以将备用访问映射配置为使用 SSL 返回这些请求，从而在客户端与代理服务器之间保持安全的通信。

Web 应用程序的策略

为 Web 应用程序中的每个区域创建唯一的一组策略。如果有特殊的一组用户对于总体安全策略要求有例外，请考虑使用一个单独的区域容纳这些用户。

管理

如果使用备用访问映射则请注意，所有公用 URL 都需要有域名系统 (DNS) 项才能将公用 URL 映射为用于场的负载平衡器的 IP 地址。

规划建议

设计区域时，有几个关键决策对于成功部署至关重要。这些决策包括对以下区域的设计和配置决策：

  • 默认区域

  • 用于外部访问的区域

以下各部分介绍对于区域的某些规划建议和要求。

默认区域的配置要求

最需要注意的区域就是默认区域。以下要求适用于配置默认区域的方式：

  • 默认区域必须是最安全的区域。这是因为当用户请求无法与区域关联时，就会应用默认区域的身份验证和策略。

  • 索引组件至少需要通过一个区域访问内容才能对内容进行爬网。默认情况下，索引组件使用 NTLM 身份验证。搜索服务管理员可以将爬网规则配置为对特定范围的 URL 进行爬网时使用基本身份验证或客户端证书。因此，若要对内容进行爬网，必须至少将一个区域配置为使用 NTLM 身份验证、基本身份验证或证书。此外，爬网程序在遇到可以通过身份验证的区域之前，将按以下顺序对区域进行轮询：默认区域、Intranet 区域、Internet 区域、自定义区域、Extranet 区域。但是，如果爬网程序首先遇到的区域已配置为使用 Kerberos 身份验证，则爬网程序不会进行身份验证，也不会尝试访问下一个区域。因此，请确保使用 Kerberos 身份验证的区域的配置不会阻止索引组件对内容进行爬网。有关与对内容进行爬网相关的身份验证要求的详细信息，请参阅规划身份验证方法 (Windows SharePoint Services)。

  • 可以从默认区域发送含有链接的管理电子邮件。其中包括发往接近配额限制的网站所有者的电子邮件。因此，收到管理电子邮件和通知的用户必须能够通过默认区域访问链接。这一点对网站的所有者尤为重要。

  • 只有通过默认区域，以主机命名的网站集才可用。要访问以主机命名的网站集的所有用户都必须能通过默认区域进行访问。

配置 Extranet 环境的区域

在 Extranet 环境中，出于以下两个原因，区域的设计至关重要：

  • 可以从几个不同的网络（如内部网络、合作伙伴公司网络或 Internet）发起用户请求。

  • 用户使用多个 Web 应用程序中的内容。例如，Intranet 环境可能包括在几个不同的 Web 应用程序中驻留的网站。此外，员工可能对 Intranet 内容及合作伙伴协作内容都有访问权限。

在 Extranet 环境中要确保遵循以下设计原则：

  • 配置跨多个 Web 应用程序的区域，使这些区域互为镜像。身份验证的配置以及目标用户应相同。但是，与区域关联的策略在 Web 应用程序之间可以不同。例如，确保 Intranet 区域在所有 Web 应用程序中都用于同一个员工。换句话说，不要在一个 Web 应用程序中为内部员工配置 Intranet 区域，而在另一个 Web 应用程序中为远程员工配置 Intranet 区域。

  • 为每个区域和每个资源准确配置相应备用访问映射。

Web 应用程序的策略

Web 应用程序的策略对 Web 应用程序中的所有内容强制实施权限，便于您在 Web 应用程序级为用户设置安全策略。为网站和内容配置的所有其他安全设置将被策略中的权限替代。

可以根据用户或用户组配置策略，但不能根据 SharePoint 组配置策略。可以为 Web 应用程序定义通用策略，也可以只为特定区域定义策略。

容量

对 Web 应用程序的策略没有任何容量限制。

共享和隔离

Web 应用程序的策略为根据用户及其访问内容所通过的区域来设置权限提供了一种方法。

例如，可以通过使用策略执行下列操作：

  • 允许技术支持人员访问所有内容。

  • 拒绝对合作伙伴或供应商的写入访问。

  • 无论网站所有者如何配置权限，都拒绝某类用户访问安全数据。

  • 确保爬网帐户有权对所有内容进行爬网。

可配置项

下表列出了参与隔离和共享的可配置项。

项 说明

区域

将策略应用于 Web 应用程序中的特定区域（例如 Intranet 区域）或 Web 应用程序中的所有区域。

用户

指定使用以下各项之一向其应用策略的用户：

  • 用户帐户

  • 组帐户

  • 电子邮件地址

权限

选择要对用户强制实施的权限：

  • 完全控制

  • 完全读取

  • 拒绝写入

  • 全部拒绝

这些权限替代在 Web 应用程序中分配的任何权限，包括为网站集、网站、列表、文档等设置的权限。

管理

不必对 Web 应用程序的策略进行持续管理。

规划建议

由于策略是集中进行管理的，因此请考虑使用策略管理大类用户，而非单个用户。

内容数据库

默认情况下，Web 应用程序的所有内容都存储在一个内容数据库中。可以在网站集级别将内容分散在多个内容数据库中。内容数据库可以包括一个或多个网站集。单个网站集不能跨多个数据库。对网站的备份和还原发生在内容数据库级别。

容量

为实现可接受的性能，指导标准是每个 Web 应用程序实现 99 个或更少的内容数据库。

共享和隔离

通过规划数据库可以为效率（多个网站集共享一个数据库）或隔离（每个网站集一个数据库）进行优化。

通过管理数据库使其达到最大目标大小，实现高效扩展。在这种情况下，可以配置数据库设置，向现有数据库添加新网站集，直到达到最大网站集数量为止。通过估算数据库最大目标大小所除以的网站集平均大小或最大大小，可以计算最大网站集数量。预期有大量小型网站集（如我的网站）时，这种方法很有效。

通过将数据库限制为一个网站集，实现团队或项目之间的内容隔离。利用这种方法可以独立管理单个团队的内容。例如，可以独立管理每个团队的数据库以进行备份、恢复和迁移。利用这种方法可以对不同的团队或项目实施不同的服务级别协议。利用此方法还可以将内容一直管理到项目的生命周期结束。例如，项目完成时可以将数据库存档。

可配置项

下表列出了参与隔离和共享的可配置项。

项 说明

数据库服务器

指定要在其上创建内容数据库的 SQL Server 计算机。

搜索服务器

将搜索服务器与每个内容数据库关联。

容量设置

  • 在每个数据库中可以创建的最大网站数量。

  • 生成警告事件之前可以创建的网站数量。

管理

可管理的数据库管理计划将数据库数量与管理数据库所需的资源保持平衡。

数据库的管理包括：

  • 为需要专用数据库的新工作组网站或网站集创建新数据库。

  • 监视数据库大小，并在达到目标大小时并创建新数据库。

  • 备份和还原数据库。

规划建议

选择以下两种方法之一：

  • 根据适当的大小警告阈值确立内容数据库的目标大小。在达到大小警告阈值时创建新数据库。利用此方法，可以仅根据目标大小向可用的数据库自动添加网站集。

  • 将网站集与特定的内容数据库关联。利用此方法可以将一个或多个网站集放置到可以独立于其他数据库进行管理的专用数据库中。

如果要将网站集与特定的内容数据库关联，则可以使用以下方法实现这一点：

  • 使用 Stsadm 命令行工具在特定的数据库中创建网站集。

  • 通过在 SharePoint 管理中心网站的“管理内容数据库设置”页上应用以下数据库容量设置，使某个数据库专用于单个网站集：

    • 生成警告事件之前允许的最大网站数量 = 1

    • 此数据库中允许创建的最大网站数量 = 1

  • 通过执行下列步骤，向专用数据库添加一组网站集：

    1. 在 Web 应用程序中创建数据库，然后在管理中心的“管理内容数据库设置”页上将该数据库的状态设置为“就绪”。

    2. 将所有其他数据库的状态设置为“脱机”。内容数据库脱机时，不能创建新网站集。但是，仍可访问脱机数据库中的现有网站集，以进行读取和写入操作。

    3. 创建网站集。这些网站集将自动被添加到数据库。

    4. 将所有其他数据库的状态设置回“就绪”。

网站集

网站集是一组有着相同所有者并共享管理设置的网站。每个网站集都包含一个首要网站，还可以包含一个或多个子网站。

容量

为达到可接受的性能，建议的指导标准是每个 Web 应用程序实现 50,000 个以下的网站集。通过将网站集分散到多个数据库服务器上进行扩展后，可以提供额外的存储容量和吞吐量。

共享和隔离

网站集引入了若干影响权限、导航和功能部署的共享和隔离机会。

以下各项可以在一个网站集*享，但不能在多个网站集*享：

  • 母版页

  • 页面布局

  • 图像

  • 网站模板

此外，还可以在网站集级别隔离权限和导航，其方式如下：

  • 网站集中的子网站可以从首要网站继承权限。

  • 网站集不能从其他网站集继承权限。

  • 没有从一个网站集到另一个网站集的内置导航。

最后，Windows SharePoint Services 3.0 搜索只在单个网站集中提供搜索结果。Windows SharePoint Services 3.0 搜索不会在多个网站集中加入结果。

虽然对单个网站强制实施权限，但网站仍会受到来自域中其他网站的跨网站脚本攻击，必须注意到这一点。

可配置项

下表列出了管理中心中参与隔离和共享的可配置项。

项 说明

网站集管理员

可以指定一个用户作为网站集的主要管理员，一个用户作为网站集的第二管理员。在管理中心内，对这两个角色不能输入多个帐户，也不能输入组帐户。

配额模板

可以应用配额模板来限制网站集所使用的资源。提供的一些模板如下：

  • 个人网站 (100 MB)

  • 工作组网站 (2,000 MB)

下表列出了网站集中参与隔离和共享的可配置项。

项 说明

网站集管理员

可以指定多个用户帐户作为网站集管理员。不能添加组帐户。

权限级别

向网站集添加用户帐户和组帐户，并为每个帐户指定权限级别。

管理

创建网站集不需要 DNS 项，且很容易就可以自动进行或委派给用户。可以集中为工作组网站创建网站集，也可以允许用户通过使用“自助式网站管理”创建自己的网站集。将网站集分配给单个数据库后就可以在网站集级别执行备份和恢复。

规划建议

网站集在逻辑体系结构和信息体系结构之间建立了一座桥梁。设计网站集时，请考虑以下两个设计任务：

  • 设计在整个组织内一致的 URL。

  • 按照逻辑划分内容。

除非使用的是以主机命名的网站集，否则每个 Web 应用程序都必须有一个根级别网站集。这样只需一个 URL 路径即可进入驻留在 Web 应用程序中的网站。在 Web 应用程序中实现多个区域时，这也是要求之一。

许多组织计划在一个 Web 应用程序内实现多个网站集，以供组织内的不同团队或部门使用。常见的设计目标包括以下内容：

  • 为每个团队维护一个单独并独立的网站集。

  • 为每个团队创建一个唯一的 URL。

为了满足这些目标，可以使用管理路径向 Web 应用程序内加入多个首要网站集。通过定义管理路径，可以指定 Web 应用程序的 URL 命名空间中哪些路径用于网站集。可以指定根网站下个别路径中存在一个或多个网站集。如果没有管理路径，则在根网站集下创建的所有网站都是根网站集的一部分。

可以创建以下两种类型的管理路径：

  •                     显式包含   具有所分配的显式 URL 的网站集。显式包含仅应用于一个网站集。如果要管理网站增加并分别提供备份和还原这些网站的机会，则可以将这些网站集中的每一个网站集与不同的内容数据库关联。使用此方法创建的网站集的示例 URL 为 http://fabrikam/hr。通过显式包含创建的网站集的限制是大约 100 个网站集。如果您的组织需要更多网站集，请改用通配符包含。

  •                     通配符包含    添加到 URL 的路径。此路径表明直接在路径名称之后指定的所有网站都是唯一网站名。此选项通常用于支持“自助式网站管理”，如为便于合作伙伴协作而创建的网站。使用此方法创建的网站集的示例 URL 为 http://partnerweb/sites/project1 和 http://partnerweb/sites/project2。在这些示例中，“http://partnerweb”表示根级别网站集，“/sites”表示通配符包含。

网站

网站是网站集中承载的一个或多个相关网页。

容量

为达到可接受的性能，指导标准是每个网站集实现少于 250,000 个网站。通过嵌套子网站所创建的网站总数可以非常大。例如，100 个网站，每个网站有 1000 个子网站，总数就是 100,000 个网站。建议最大的网站和子网站数量为 125 个网站，其中每个网站包含 2,000 个子网站，总共 250,000 个网站。

共享和隔离

网站包含从网站集中的一个子网站到另一个子网站的内置导航。没有从一个网站集到另一个网站集的内置导航。

与网站集一样，单独的网站容易受到域中其他网站的跨网站脚本攻击。

可配置元素

从每个网站中，可以向该网站 Owners 组添加用户帐户或组帐户。

管理

可以使用 Microsoft Office SharePoint Designer 2007 备份和还原单个网站。有关网站管理的详细信息，请参阅以下文章：

规划建议

有关规划网站的信息，请参阅以下文章：规划网站结构和发布 (Windows SharePoint Services)。

以主机命名的网站集

如果要在 Web 应用程序中创建多个根级别网站集，则可以使用以主机命名的网站集。例如，宿主组织的管理员使用以主机命名的网站集创建多个以域命名的网站。

创建以主机命名的网站集不需要任何特殊模式，如主机标头模式。可以使用 Stsadm 命令行工具创建以主机命名的网站集。

使用以主机命名的网站集可以更大程度地控制 URL。但是，有利就有弊。对于以主机命名的网站集需要注意以下事项：

  • 只有通过默认区域，以主机命名的网站集才可用。配置为通过其他区域的进行身份验证的用户帐户不能访问以主机命名的网站集。

  • 备用访问映射功能不能与以主机命名的网站集一起工作。备用访问映射功能支持外部 SSL 终止，这便于在远程员工访问及合作伙伴访问的情况下使用 SSL (HTTPS)。

容量

在一个 IIS 网站中最多可以创建 100,000 个以主机命名的网站集。

共享和隔离

从以主机命名的网站集获得的独立域名有助于阻止两个网站之间的跨网站脚本攻击。

管理

针对以主机命名的网站集的管理任务包括以下各项：

  • 使用 Stsadm 命令行工具添加以主机命名的网站集。

  • 每个以命名主机的网站集都需要一个单独的 DNS 项。

规划建议

有关在宿主环境中使用 Stsadm 命令行工具和以主机命名的网站集来创建以主机命名的网站集的信息，请参阅白皮书：创建基于 Windows SharePoint Services 的共享承载解决方案。

下载此书籍

本主题包含在以下可下载书籍内，以方便您阅读和打印：

有关可下载书籍的完整列表，请参阅 Windows SharePoint Services 的可下载书籍（该链接可能指向英文页面）。
标签：

相关文章