Настройка HTTP-доступа к службам Analysis Services в IIS 8.0

Применимо к: SQL Server Analysis Services Azure Analysis Services Fabric/Power BI Premium

В этой статье объясняется, как настроить конечную точку HTTP для доступа к экземпляру служб Analysis Services. Вы можете включить http-доступ, настроив MSMDPUMP.dll, расширение ISAPI, которое выполняется в службах IIS, а также перекачивает данные в клиентские приложения и сервер служб Analysis Services. Этот подход предоставляет альтернативные средства для подключения к службам Analysis Services при вызове решения следующих возможностей:

• Доступ к клиенту осуществляется через Интернет или экстрасети с ограничениями, на которые можно включить порты.

• Клиентские подключения относятся к ненадежным доменам в той же сети.

• Клиентское приложение выполняется в сетевой среде, которая разрешает HTTP-подключения, но не TCP/IP.

• Клиентские приложения не могут использовать клиентские библиотеки служб Analysis Services (например, приложение Java, работающее на сервере UNIX). Если вы не можете использовать клиентские библиотеки служб Analysis Services для доступа к данным, вы можете использовать SOAP и XML/A через прямое HTTP-подключение к экземпляру служб Analysis Services.

• Требуются методы проверки подлинности, отличные от встроенной безопасности Windows. В частности, можно использовать анонимные подключения и обычную проверку подлинности при настройке служб Analysis Services для доступа ПО HTTP. Дайджест, Формы и ASP.NET аутентификация не поддерживаются. Требование базовой проверки подлинности является одной из основных причин включения доступа ПО HTTP. Дополнительные сведения см. в статье "Проверка подлинности и делегирование удостоверений Майкрософт".

Вы можете настроить HTTP-доступ для любой поддерживаемой версии или выпуска служб Analysis Services, выполняя табличный режим или многомерный режим. Локальные куби — это исключение. Вы не можете подключиться к локальному кубу через конечную точку HTTP.

Настройка HTTP-доступа — это задача после установки. Необходимо установить службы Analysis Services, прежде чем можно настроить его для доступа по протоколу HTTP. Администратор служб Analysis Services должен предоставить разрешения для учетных записей Windows, прежде чем доступ по протоколу HTTP возможен. Кроме того, рекомендуется сначала проверить установку, гарантируя, что она полностью работает, прежде чем выполнять дополнительную настройку. После настройки доступа ПО HTTP можно использовать как конечную точку HTTP, так и обычное сетевое имя сервера по протоколу TCP/IP. Настройка ДОСТУПА ПО HTTP не делает недопустимыми другие подходы к доступу к данным.

При перемещении с конфигурацией MSMDPUMP следует учитывать два подключения: "клиент — IIS", IIS — SSAS. Инструкции, описанные в этой статье, относятся к службам IIS —SSAS. Клиентскому приложению может потребоваться дополнительная конфигурация, прежде чем она сможет подключиться к IIS. Решения, такие как использование SSL или настройка привязок, выходят за рамки этой статьи. Дополнительные сведения о СЛУЖБАх IIS см. в разделе "Веб-сервер" (IIS).

Обзор

MSMDPUMP — это расширение ISAPI, которое загружается в СЛУЖБЫ IIS и предоставляет перенаправление на локальный или удаленный экземпляр служб Analysis Services. Настроив это расширение ISAPI, вы создадите конечную точку HTTP для экземпляра служб Analysis Services.

Необходимо создать и настроить один виртуальный каталог для каждой конечной точки HTTP. Каждая конечная точка должна иметь собственный набор ФАЙЛОВ MSMDPUMP для каждого экземпляра служб Analysis Services, к которому требуется подключиться. Файл конфигурации в этом наборе файлов указывает имя экземпляра служб Analysis Services, используемого для каждой конечной точки HTTP.

В службах IIS MSMDPUMP подключается к службам Analysis Services с помощью поставщика OLE DB служб Analysis Services по протоколу TCP/IP. Несмотря на то что клиентские запросы могут возникать вне доверия к домену, службы Analysis Services и IIS должны находиться в одном домене или в доверенных доменах для успешного выполнения собственного подключения.

При подключении MSMDPUMP к службам Analysis Services использует удостоверение пользователя Windows. Эта учетная запись будет анонимной учетной записью, если вы настроили виртуальный каталог для анонимных подключений или учетную запись пользователя Windows. Учетная запись должна иметь соответствующие права доступа к данным на сервере и базе данных служб Analysis Services.

В следующей таблице перечислены дополнительные рекомендации по включению HTTP-доступа для различных сценариев.

Предпосылки

Инструкции в этой статье предполагают, что службы IIS уже настроены и уже установлены службы Analysis Services. Windows Server 2012 поставляется с IIS 8.x в качестве роли сервера, которую можно включить в системе.

Дополнительная конфигурация в IIS 8.0

Конфигурация IIS 8.0 по умолчанию отсутствует в компонентах, необходимых для доступа HTTP к службам Analysis Services. Эти компоненты, найденные в областях функций "Безопасность и разработка приложений" роли веб-сервера (IIS), включают в себя следующее:

• Безопасность | Проверка подлинности Windows или обычная проверка подлинности, а также любые другие функции безопасности, необходимые для сценария доступа к данным.

• Разработка | приложенийCGI

• Разработка | приложенийРасширения ISAPI

Чтобы проверить или добавить эти компоненты, используйте диспетчер | серверовдля управления добавлением | ролей и компонентов. Пошаговые инструкции мастера, пока не получите к ролям сервера. Прокрутите вниз, чтобы найти веб-сервер (IIS).

1. Откройте веб-сервер | безопасности и выберите методы проверки подлинности.

2. Откройтеразработку приложений | и выберите расширения CGI и ISAPI.

   

Когда службы IIS на удаленном сервере

Для удаленного подключения между службами IIS и Службами Analysis Services требуется установить поставщик OLE DB служб Analysis Services (MSOLAP) на сервере Windows под управлением IIS.

1. Перейдите на страницу загрузки пакета дополнительных компонентов SQL Server 2014

2. Выберите Скачать.

3. Прокрутите вниз, чтобы найти\x64\SQL_AS_OLEDB.msi ENU

4. Следуйте инструкциям мастера, чтобы завершить установку.

Шаг 1. Копирование MSMDPUMP-файлов в папку на веб-сервере

Каждая созданная конечная точка HTTP должна иметь собственный набор файлов MSMDPUMP. На этом шаге вы копируете исполняемый файл MSMDPUMP, файл конфигурации и папку ресурсов из папок программы Служб Analysis Services в новую папку виртуального каталога, которую вы создадите в файловой системе компьютера под управлением IIS.

Диск должен быть отформатирован для файловой системы NTFS. Путь к создаваемой папке не должен содержать пробелы.

1. Скопируйте следующие файлы, найденные на <диске>:\Program Files\Microsoft SQL Server\<instance>\OLAP\bin\isapi: MSMDPUMP.DLL, MSMDPUMP. INI и папка Resources.

   

2. На веб-сервере создайте папку: <drive>:\inetpub\wwwroot\OLAP

3. Вставьте файлы, скопированные ранее в эту новую папку.

4. Убедитесь, что папка \inetpub\wwwroot\OLAP на веб-сервере содержит следующее: MSMDPUMP.DLL, MSMDPUMP. INI и папка Resources. Структура папок должна выглядеть следующим образом:

   • <drive>:\inetpub\wwwroot\OLAP\MSMDPUMP.dll

   • <drive>:\inetpub\wwwroot\OLAP\MSMDPUMP.ini

   • <drive>:\inetpub\wwwroot\OLAP\Resources

Шаг 2. Создание пула приложений и виртуального каталога в IIS

Затем создайте пул приложений и конечную точку для насоса.

Создание пула приложений

1. Запустите диспетчер IIS.

2. Откройте папку сервера, щелкните правой кнопкой мыши пулы приложений и нажмите кнопку "Добавить пул приложений". Создайте пул приложений с именем OLAP с помощью платформы .NET Framework с режимом управляемого конвейера, установленным в классическом режиме.

   "

3. По умолчанию СЛУЖБЫ IIS создают пулы приложений с помощью ApplicationPoolIdentity в качестве удостоверения безопасности, который является допустимым выбором для доступа HTTP к службам Analysis Services. Если у вас есть конкретные причины для изменения удостоверения, щелкните правой кнопкой мыши OLAP и выберите дополнительные параметры. Выберите ApplicationPoolIdentity. Нажмите кнопку "Изменить " для этого свойства, чтобы заменить встроенную учетную запись пользовательской учетной записью, которую вы хотите использовать.

   

4. По умолчанию в 64-разрядной операционной системе IIS задает для свойства Enable 32-bit Applicationsзначение false. Если вы скопировали msmdpump.dll из 64-разрядной установки служб Analysis Services, это правильный параметр расширения MSMDPUMP на 64-разрядном сервере IIS. Если вы скопировали двоичные файлы MSMDPUMP из 32-разрядной установки, задайте для него значение true. Проверьте это свойство теперь в расширенных параметрах , чтобы убедиться, что он задан правильно.

Создание приложения

1. В диспетчере IIS откройте веб-сайт по умолчанию. Вы увидите папку с именем Olap. Это ссылка на папку OLAP, созданную в разделе \inetpub\wwwroot.

   

2. Щелкните правой кнопкой мыши папку и выберите "Преобразовать в приложение".

3. В поле "Добавление приложения" введите OLAP для псевдонима. Выберите пул приложений OLAP. Физический путь должен иметь значение C:\inetpub\wwwroot\OLAP

   

4. Нажмите кнопку ОК. Обновите веб-сайт и обратите внимание, что папка OLAP теперь является приложением на веб-сайте по умолчанию. Теперь устанавливается виртуальный путь к ФАЙЛу MSMDPUMP.

   

Шаг 3. Настройка проверки подлинности IIS и добавление расширения

На этом шаге вы продолжаете настраивать только что созданный виртуальный каталог SSAS. Вы укажете метод проверки подлинности и добавьте карту скриптов. Поддерживаемые методы проверки подлинности для служб Analysis Services по протоколу HTTP включают:

• Проверка подлинности Windows (Kerberos или NTLM)

• Обычная проверка подлинности

• анонимная аутентификация;

Проверка подлинности Windows считается наиболее безопасной и использует существующую инфраструктуру для сетей, использующих Active Directory. Чтобы эффективно использовать проверку подлинности Windows, все браузеры, клиентские приложения и серверные приложения должны поддерживать его. Это самый безопасный и рекомендуемый режим, но требуется, чтобы службы IIS могли получить доступ к контроллеру домена Windows, который может пройти проверку подлинности удостоверения пользователя, запрашивающего подключение.

Для топологий, которые помещают службы Analysis Services и IIS на разные компьютеры, необходимо устранить проблемы с двойным прыжком, которые возникают, когда удостоверение пользователя должно быть делегировано второй службе на удаленном компьютере, как правило, путем включения служб Analysis Services для ограниченного делегирования Kerberos. Дополнительные сведения см. в разделе "Настройка служб Analysis Services для ограниченного делегирования Kerberos".

Обычная проверка подлинности используется при наличии удостоверений Windows, но подключения пользователей относятся к ненадежным доменам, запрещая использование делегированных или олицетворенных подключений. Базовая проверка подлинности позволяет указать удостоверение пользователя и пароль в строке подключения. Вместо использования контекста безопасности текущего пользователя учетные данные строки подключения используются для подключения к службам Analysis Services. Так как службы Analysis Services поддерживают только проверку подлинности Windows, все учетные данные, передаваемые ему, должны быть пользователем Или группой Windows, являющейся членом домена, в котором размещаются службы Analysis Services.

Анонимная проверка подлинности часто используется во время первоначального тестирования, так как его простота настройки помогает быстро проверить подключение HTTP к службам Analysis Services. На нескольких шагах можно назначить уникальную учетную запись пользователя в качестве удостоверения, предоставить разрешения учетной записи в службах Analysis Services, использовать учетную запись для проверки доступа к данным в клиентском приложении, а затем отключить анонимную проверку подлинности при завершении тестирования.

Вы также можете использовать анонимную проверку подлинности в рабочей среде, если у пользователей нет учетных записей пользователей Windows, но следуйте рекомендациям, заблокируя разрешения на хост-систему, как описано в этой статье: Включение анонимной проверки подлинности (IIS 7). Убедитесь, что проверка подлинности установлена в виртуальном каталоге, а не на родительском веб-сайте, чтобы уменьшить уровень доступа к учетной записи.

Если анонимный включен, любое подключение пользователя к конечной точке HTTP разрешено подключаться как анонимный пользователь. Вы не сможете проверять отдельные подключения пользователей или использовать удостоверение пользователя для выбора данных из модели. Как видно, использование Anonymous влияет на все, от проектирования модели до обновления и доступа к данным. Тем не менее, если у пользователей нет имени пользователя Windows для начала, использование анонимной учетной записи может быть единственным вариантом.

Установка типа проверки подлинности и добавление карты скрипта

1. В диспетчере IIS откройте сайты, откройте веб-сайт по умолчанию и выберите виртуальный каталог OLAP .

2. Дважды щелкните проверку подлинности в разделе IIS главной страницы.

   

3. Включите проверку подлинности Windows , если используется встроенная безопасность Windows.

   :

4. Кроме того, включите обычную проверку подлинности , если клиентские и серверные приложения находятся в разных доменах. В этом режиме пользователю требуется ввести имя пользователя и пароль. Имя пользователя и пароль передаются через HTTP-подключение к IIS. СЛУЖБЫ IIS попытаются олицетворить пользователя с помощью предоставленных учетных данных при подключении к MSMDPUMP, но учетные данные не будут делегированы службам Analysis Services. Вместо этого необходимо передать допустимое имя пользователя и пароль для подключения, как описано на шаге 6 ниже.

   Это важно

   Обратите внимание, что важно для всех, кто создает систему, в которой передается пароль, чтобы иметь способы защиты канала связи. IIS предоставляет набор средств, которые помогают защитить канал. Дополнительные сведения см. в разделе "Настройка SSL" в IIS 7.

5. Отключите анонимную проверку подлинности , если вы используете проверку подлинности Windows или Basic. Если включена анонимная проверка подлинности, службы IIS всегда будут использовать его первым, даже если включены другие методы проверки подлинности.

   При анонимной проверке подлинности насос (msmdpump.dll) выполняется в качестве учетной записи пользователя, установленной для анонимного пользователя. Нет различий между пользователем, подключающимся к службам IIS, и пользователем, подключающимся к службам Analysis Services. По умолчанию СЛУЖБА IIS использует учетную запись IUSR, но ее можно изменить на учетную запись пользователя домена с разрешениями сети. Эта возможность потребуется, если службы IIS и службы Analysis Services находятся на разных компьютерах.

   Инструкции по настройке учетных данных для анонимной проверки подлинности см. в разделе "Анонимная проверка подлинности".

   Это важно

   Анонимная проверка подлинности, скорее всего, найдена в чрезвычайно управляемой среде, где пользователи получают или запрещают доступ путем списков управления доступом в файловой системе. Рекомендации см. в разделе "Включить анонимную проверку подлинности" (IIS 7).

6. Щелкните виртуальный каталог OLAP , чтобы открыть главную страницу. Дважды щелкните сопоставления обработчиков.

   

7. Щелкните правой кнопкой мыши в любом месте страницы и выберите "Добавить карту скрипта". В диалоговом окне "Добавление карты скриптов" укажите *.dll в качестве пути запроса, укажите c:\inetpub\wwwroot\OLAP\msmdpump.dll в качестве исполняемого файла и введите OLAP в качестве имени. Сохраните все ограничения по умолчанию, связанные с этой картой скрипта.

   окна "

8. Когда появится запрос на разрешение расширения ISAPI, нажмите кнопку "Да".

   

Шаг 4. Изменение MSMDPUMP. INI-файл для задания целевого сервера

The MSMDPUMP. INI-файл указывает экземпляр служб Analysis Services, к которому MSMDPUMP.DLL подключается. Этот экземпляр может быть локальным или удаленным, установленным как по умолчанию или как именованный экземпляр.

Откройте файл msmdpump.ini, расположенный в папке C:\inetpub\wwwroot\OLAP, и просмотрите содержимое этого файла. Это должно выглядеть примерно так:

<ConfigurationSettings>  
<ServerName>localhost</ServerName>  
<SessionTimeout>3600</SessionTimeout>  
<ConnectionPoolSize>100</ConnectionPoolSize>  
</ConfigurationSettings>  
  

Если экземпляр служб Analysis Services, для которого вы настраиваете HTTP-доступ, находится на локальном компьютере и установлен в качестве экземпляра по умолчанию, не существует причин для изменения этого параметра. В противном случае необходимо указать имя сервера (например, <ServerName>ADWRKS-SRV01</ServerName>). Для сервера, установленного в качестве именованного экземпляра, обязательно добавьте имя экземпляра (например, <ServerName>ADWRKS-SRV01\Tabular</ServerName>).

По умолчанию службы Analysis Services прослушивают tcp/IP-порт 2383. Если вы установили службы Analysis Services в качестве экземпляра по умолчанию, вам не нужно указывать порт в <ServerName> , так как службы Analysis Services знают, как прослушивать порт 2383 автоматически. Однако необходимо разрешить входящие подключения к такому порту в брандмауэре Windows. Дополнительные сведения см. в разделе "Настройка брандмауэра Windows для разрешения доступа к службам Analysis Services".

Если вы настроили именованный или стандартный экземпляр служб Analysis Services для прослушивания фиксированного порта, необходимо добавить номер порта в имя сервера (например, <ServerName>AW-SRV01:55555</ServerName>) и разрешить входящий трафик в брандмауэре Windows к этому порту.

Шаг 5. Предоставление разрешений на доступ к данным

Как упоминалось ранее, необходимо предоставить разрешения на экземпляр служб Analysis Services. Каждый объект базы данных будет иметь роли, предоставляющие заданный уровень разрешений (чтение или чтение или запись), а каждая роль будет содержать участников, состоящих из удостоверений пользователей Windows.

Чтобы задать разрешения, можно использовать СРЕДУ SQL Server Management Studio. В папке "Роли | " можно создать роли, указать разрешения базы данных, назначить членство в учетных записях пользователей или групп Windows, а затем предоставить разрешения на чтение или запись для определенных объектов. Как правило, разрешения на чтение куба достаточно для клиентских подключений, использующих данные модели, но не обновляя их.

Назначение ролей зависит от способа настройки проверки подлинности.

Аутентификация	Назначение ролей
Анонимный	Добавьте в список членства учетную запись, указанную в разделе "Изменение учетных данных анонимной проверки подлинности " в IIS. Дополнительные сведения см. в разделе "Анонимная проверка подлинности",
Проверка подлинности Windows	Добавьте в список участников учетные записи пользователя или группы Windows, запрашивающие данные служб Analysis Services с помощью олицетворения или делегирования. Если используется ограниченное делегирование Kerberos, единственными учетными записями, которым требуются разрешения, являются учетные записи пользователей и групп Windows, запрашивающие доступ. Для удостоверения пула приложений не требуется никаких разрешений.
Обычная проверка подлинности	Добавьте в список участников учетные записи пользователя или группы Windows, которые будут переданы в строку подключения. Кроме того, если вы передаете учетные данные через EffectiveUserName в строке подключения, удостоверение пула приложений должно иметь права администратора в экземпляре служб Analysis Services. В SSMS щелкните правой кнопкой мыши экземпляр | Свойства | Безопасность | Добавьте. Введите удостоверение пула приложений. Если вы использовали встроенное удостоверение по умолчанию, учетная запись указывается как IIS AppPool\DefaultAppPool.

Дополнительные сведения о настройке разрешений см. в разделе "Авторизация доступа к объектам и операциям" (службы Analysis Services).

Шаг 6. Настройка безопасного канала

Начиная с SQL Server Analysis Services 2025, http-подключения через msmdpump.dll будут отключены по умолчанию.

При попытке подключиться к http://localhost/OLAP/msmdpump.dll использованию копии этой библиотеки DLL из C:\Program Files\Microsoft SQL Server\MSAS17. MSSQLSERVER\OLAP вы увидите следующую ошибку:

Подключения к службам SQL Server Analysis Services через msmdpump.dll должны использовать безопасные каналы, например HTTPS. (Неизвестно)

Тестовые среды

Если вы работаете в тестовой среде, и у вас нет проблем с утечкой базовых учетных данных в виде обычного текста, можно отключить RequireSecureChannel параметр конфигурации, msmdpump.ini как показано ниже:

<ConfigurationSettings>
	<ServerName>localhost</ServerName>
	<SessionTimeout>3600</SessionTimeout>
	<ConnectionPoolSize>100</ConnectionPoolSize>
	<RequireSecureChannel>false</RequireSecureChannel>
</ConfigurationSettings>

Рабочие среды

Если вы настраиваете рабочую среду для подключений к экземпляру SSAS, необходимо настроить SSL на сайте IIS, выполнив следующие инструкции. Настройка SSL в IIS 7.

Шаг 7. Тестирование конфигурации

Синтаксис строки подключения для MSMDPUMP — это URL-адрес файла MSMDPUMP.dll.

Если веб-приложение прослушивает фиксированный порт, добавьте номер порта к имени сервера или IP-адресу (например, http://my-web-srv01:8080/OLAP/msmdpump.dll или http://123.456.789.012:8080/OLAP/msmdpump.dll.

Чтобы быстро проверить подключение, можно открыть подключение с помощью Internet Explorer, Microsoft Excel или SQL Server Management Studio.

Устранение неполадок подключений с помощью Internet Explorer

Запрос на подключение, завершающийся этой ошибкой, может не дать вам много времени: "Не удается выполнить подключение к имени<> сервера, или служба Analysis Service не запущена на сервере".

Чтобы получить более информативную ошибку, сделайте следующее:

1. В internet Explorer Internet Explorer> InternetOptions>Advanced снимите флажок для отображения понятных HTTP-сообщений.

2. Повторите попытку подключения (например, http://my-web-srv01:8080/OLAP/msmdpump.dll)

Если в окне браузера отображается XML-файл ERROR, можно исключить MSMDPUMP в качестве потенциальной причины и переместить фокус на сертификат.

Тестирование подключений с помощью SQL Server Management Studio

1. В среде Management Studio в диалоговом окне "Подключение к серверу" выберите службы Analysis Services в качестве типа сервера. В имени сервера введите HTTP-адрес расширения msmdpump: http://my-web-srv01/OLAP/msmdpump.dll

   Обозреватель объектов отображает HTTP-подключение:

   

2. Проверка подлинности должна быть проверкой подлинности Windows, а пользователь, использующий Management Studio, должен быть администратором служб Analysis Services. Администратор может предоставить дополнительные разрешения для предоставления доступа другим пользователям.

Тестирование подключений с помощью Excel

1. На вкладке "Данные" в Excel в меню "Получить внешние данные" щелкните "Из других источников", а затем выберите "Из служб Analysis Services ", чтобы запустить мастер подключения к данным.

2. В имени сервера введите HTTP-адрес расширения msmdpump: http://my-web-srv01/OLAP/msmdpump.dll

3. Для учетных данных для входа выберите "Использовать проверку подлинности Windows ", если используется встроенная безопасность Windows или NTLM или анонимный пользователь.

   Для базовой проверки подлинности выберите "Использовать следующее имя пользователя и пароль", а затем укажите учетные данные, используемые для входа. Предоставленные учетные данные будут переданы строке подключения в службы Analysis Services.

Тестирование подключений с помощью AMO

Вы можете протестировать HTTP-доступ программным способом с помощью AMO, заменив URL-адрес конечной точки для имени сервера. Дополнительные сведения см. в статье "Публикация форума" (синхронизация баз данных SSAS 2008 R2 через HTTPS через границы домена или леса и брандмауэра).

Пример строки подключения, демонстрирующей синтаксис для доступа HTTP(S) с помощью базовой проверки подлинности:

Data Source=https://<servername>/olap/msmdpump.dll; Initial Catalog=AdventureWorksDW2012; Integrated Security=Basic; User ID=XXXX; Password=XXXXX;

Дополнительные сведения о настройке подключения программным способом см. в разделе "Установка безопасных подключений" в ADOMD.NET.

В качестве последнего шага обязательно выполните более строгое тестирование с помощью клиентского компьютера, работающего в сетевой среде, из которой будут получены подключения.

См. также

Пост форума (http-доступ с помощью msmdpump и базовой проверки подлинности)
Настройка брандмауэра Windows на разрешение доступа к службам Analysis Services
Авторизация доступа к объектам и операциям (Analysis Services)
Методы проверки подлинности IIS
Настройка SSL в IIS 7