SAP BusinessObjects Enterprise XI 3.1 Service Pack 3. Chinese Admin Guide (2010)

12.3.4.2.8 为假冒身份和 Windows 身份验证修改 web.config 文件

如果要使用 AD 身份验证，必须修改 web.config 文件以更改使用的身份

验证模式并允许假冒身份。除了更改 IIS 的配置方式外，还要进行此操作。

视想要配置的应用程序而定，修改以下任一 web.config 文件。

•

要配置 CMC 和 InfoView，请配置 Web Content 目录中的 web.config
文件。

要仅配置 InfoView，请配置 InfoView 目录中的 web.config 文件。

注意:

web.config 文件中的值区分大小写。

12.3.4.2.8.1 为基本 AD 身份验证修改 web.config

1。

从以下任一位置中打开适当的 Web.config 文件。

•

C:\Program Files\Business Objects\BusinessObjects Enterprise
12.0\Web Content\

•

C:\Program Files\Business Objects\BusinessObjects Enterprise
12.0\Web Content\InfoViewApp\InfoViewApp

注意:

上述路径是默认位置。如果更改了默认位置，请相应修改此路径。

2。

在 <system.web> 块中找到以下行：

3。

将 "None" 替换为 "Windows"。

4。

添加以下行：

5。

保存并关闭文件。

6。

重新启动 IIS。

12.3.4.3 为 Java 应用程序服务器配置 Kerberos 和数据库单一登录

满足所有以下要求的部署支持数据库单一登录：

•

BusinessObjects Enterprise 部署在 Java Web 应用程序服务器上。

•

已将 Java Web 应用程序服务器配置为与 AD 和 Kerberos 一起使用。

SAP BusinessObjects Enterprise 管理员指南

450

•

要求单一登录的数据库是 SQL Server 或 Oracle 的支持版本。

•

必须已在 SQL Server 或 Oracle 内为需要访问该数据库的组或用户授予
权限。

•

CMC 的“AD 身份验证”页中的“高速缓存安全上下文”（单一登录到数
据库所必需的上下文）复选框处于选中状态。

最后一步是修改 krb5.ini 文件以支持 Java 数据库的单一登录。

注意:

这些说明介绍如何为 Java 应用程序服务器配置数据库单一登录。如果要

为 Java 应用程序服务器配置端到端数据库单一登录，则还必须进行 Java
Vintela 单一登录所需的配置步骤。有关详细信息，请参阅第 432 页上的

“ 为 Java InfoView 配置 Kerberos 和单一登录”

。

注意:

如果想要配置数据库单一登录，请确保已设置了高速缓存安全上下文。有

关详细说明，请转到第 418 页上的

“在 Windows AD 插件中启用 Kerberos

身份验证 ”

。

12.3.4.3.1 为 Java 应用程序服务器启用数据库单一登录

1。

打开用于部署 BusinessObjects Enterprise 的 krb5.ini 文件。

此文件的默认位置为 Web 应用程序服务器上的 WINNT 目录。

注意:

如果无法在 WINNT 目录中找到该文件，请检查文件位置的 Java 参

数：

-Djava.security.auth.login.config

此变量是在 Java Web 应用程序服务器上配置 AD 和 Kerberos 时指

定的。

2。

转到该文件的 [libdefaults] 部分。

3。

在文件的 [realms] 部分的开头位置前输入以下字符串：

forwardable = true

4。

保存并关闭文件。

5。

重新启动 Web 应用程序服务器。

451

使用 AD 身份验证

12.3.4.4 为 .NET InfoView 配置 Kerberos 和单一登录

本节描述为 BusinessObjects Enterprise .NET InfoView 配置单一登录

和 AD 身份验证（使用 Kerberos）所需的步骤。

执行这些步骤前，请确保能够正常使用 Kerberos 对 .NET InfoView 手

动进行身份验证。AD 用户必须能够提供其 AD 用户名和密码才能登录到 .NET
InfoView，并且已在 CMC 中启用了 Kerberos。

相关主题

•

第 418 页上的“

在 Windows AD 插件中启用 Kerberos 身份验证

”

•

第 427 页上的“

为 .NET InfoView 和 IIS 配置 Kerberos

”

12.3.4.4.1 在 CMC 中启用单一登录

1。

转到 CMC 的“身份验证”管理区域。

2。

双击“Windows AD”。

3。

在“身份验证选项”区域中选择“为选定身份验证模式启用单一登录”。

4。

单击“更新”。

12.3.4.4.2 为假冒身份和 Windows 身份验证修改 web.config

要启用假冒身份和 Windows 身份验证，则需要为下表中列出的两个应用

程序修改 Web.config 文件。

默认位置

应用程序

<安装目录>\Business Objects\BusinessObjects Enter-
prise 12.0\Web Content\InfoViewApp\InfoViewApp

InfoViewApp

<安装目录>\Business Objects\BusinessObjects Enter-
prise 12.0\Web Content\InfoViewApp\PlatformServices

PlatformSer-
vices

12.3.4.4.2.1 为假冒身份和 Windows 身份验证修改 web.config

1。

打开 InfoView 的 Web.config 文件。

2。

查找 <system.web> 下的以下行：

3。

修改此行，如下所示：

SAP BusinessObjects Enterprise 管理员指南

452

4。

查找 <system.web> 下的以下行：

5。

编辑字符串，如下表所示：

编辑方式

字符串

在

cmsDefault

值字段中

输入 CMS 计算机名。

将

"false"

更改为

"true"

确保将

value

设置为

"secWinAD"

6。

保存并关闭 Web.config 文件。

7。

打开 PlatformServices 的 Web.config 文件。

8。

编辑 <system.web> 下的行，如下表所示：

编辑方式

行

将

"None"

更改为

"Windows"

确保将此行设置为

"true"

9。

保存并关闭 Web.config 文件。

10。

重新启动 IIS。

提示:

也可以在将 IIS 配置为使用集成 Windows 身份验证这一过程完成后

重新启动 IIS。

12.3.4.4.3 配置 IIS 上的客户端以使用集成 Windows 身份验证

为了支持单一登录，需要将 IIS 上的 BusinessObjects 客户端配置为使

用集成 Windows 身份验证。请执行以下步骤以将客户端配置为使用 Windows
身份验证。

1。

在 IIS 的“Internet 信息服务”窗口中，展开左侧的树，然后转到“默
认网站”下的“InfoViewApp”。

2。

右键单击“InfoViewApp”，然后选择“属性”。

453

使用 AD 身份验证

3。

单击“目录安全性”选项卡中的“编辑”。

4。

取消选择“匿名访问”（如果选择了该选项）

5。

选择“集成 Windows 身份验证”并单击“确定”。

6。

单击“确定”以完成。

7。

对 PlatformServices 重复步骤 1-6。

8。

重新启动 IIS。

12.3.4.4.4 将 IIS 主机配置为可委派其他帐户

必须确保承载 IIS 的计算机可以委派其他帐户，或者 IIS 正在其下运行

的帐户可以委派其他帐户。执行下面的步骤以将承载 IIS 的计算机配置为可
进行委派。有关如何设置 IIS 正在其下运行的帐户的说明，请参阅 Windows
AD 文档。

1。

打开“Active Directory 用户和计算机” 管理单元。

2。

将树扩展到承载 IIS 的计算机的域中。

3。

双击“计算机”。

4。

右键单击承载 IIS 的计算机，然后选择“属性”

5。

选择“委派”选项卡。

6。

选择“信任此计算机来委派任何服务（仅 Kerberos）”，然后单击“确
定”。

12.3.4.4.5 配置 Internet Explorer 浏览器

需要在 BusinessObjects Enterprise 客户端计算机上配置 Internet

Explorer 浏览器，以支持端到端单一登录。该执行过程包括以下任务：

•

将客户端计算机配置为使用集成 Windows 身份验证

•

将 IIS 添加到本地 Intranet 站点

提示:

您可以通过注册表项自动执行以下步骤。有关更多详细信息，请参阅

Windows 文档。

1。

在客户端计算机上，打开 Internet Explorer 浏览器。

2。

启用集成 Windows 身份验证。

a。

转到“工具” > “Internet 选项”。

b。

选择“高级”选项卡。

c。

导航到“安全”设置。

d。

选择“启用集成 Windows 身份验证（需要重启动）”并单击“应用”。

3。

将 IIS 添加到本地 Intranet 站点列表。

SAP BusinessObjects Enterprise 管理员指南

454

a。

转到“工具” > “Internet 选项”。

b。

转到“安全” > “本地 Intranet” > “站点” > “高级”。“安
全”选项卡。

c。

键入 IIS 的 Web 站点，然后单击“添加”。
例如：http://iismachine.domain.com

d。

单击“确定”两次以关闭“Internet 选项”对话框。

4。

关闭 Internet Explorer 浏览器，然后再次打开该浏览器以使更改生效。

5。

对每台客户端计算机重复步骤 1-4。

12.3.4.5 为 IIS 配置 Kerberos 和数据库单一登录

如果要设置数据库单一登录，则需要将 IIS 和 BusinessObjects

Enterprise 配置为允许将用户凭据传播到数据库。通过执行本节中的步骤，
用户可以根据基础数据库对其 AD 帐户凭据进行身份验证。在执行端到端单
一登录之前，必须首先完成这些步骤，以设置使用 Kerberos 进行身份验证
的 .NET InfoView 单一登录。此外，必须执行以下操作来设置数据库单一登
录：

。

BusinessObjects Enterprise 服务帐户必须可委派其他帐户。

。

必须用 BusinessObjects Enterprise 服务帐户运行报告服务。承

载报告服务的计算机的 BusinessObjects Enterprise 服务帐户必须属
于本地 Administrators 组。该帐户的本地安全策略必须设置为“以操
作系统方式执行”。

。

必须启用“高速缓存安全上下文”。有关更多详细信息，请参阅第

419 页上的

“为 Kerberos 配置 Windows AD 安全插件”

。

配置 IIS 以访问 AD 域控制器来执行查询。

相关主题

•

第 431 页上的“

使用 AD 身份验证及 NTLM

”

12.3.4.6.1 在 CMC 中启用单一登录

1。

转到 CMC 的“身份验证”管理区域。

2。

双击“Windows AD”。

3。

在“身份验证选项”区域中选择“为选定身份验证模式启用单一登录”。

4。

单击“更新”。

12.3.4.6.2 为假冒身份和 Windows 身份验证修改 web.config

要启用假冒身份和 Windows 身份验证，则需要为下表中列出的两个应用

程序修改 Web.config 文件。

457

使用 AD 身份验证

默认位置

应用程序

<安装目录>\Business Objects\BusinessObjects Enter-
prise 12.0\Web Content\InfoViewApp\InfoViewApp

InfoViewApp

<安装目录>\Business Objects\BusinessObjects Enter-
prise 12.0\Web Content\InfoViewApp\PlatformServices\

PlatformSer-
vices

12.3.4.6.2.1 为假冒身份和 Windows 身份验证修改 web.config

1。

打开 InfoView 的 Web.config 文件。

2。

查找 <system.web> 下的以下行：

3。

修改此行，如下所示：

4。

查找 <system.web> 下的以下行：

5。

编辑字符串，如下表所示：

编辑方式

字符串

在

cmsDefault

值字段中

输入 CMS 计算机名。

将

"false"

更改为

"true"

确保将

value

设置为

"secWinAD"

6。

保存并关闭 Web.config 文件。

7。

打开 PlatformServices 的 Web.config 文件。

8。

编辑 <system.web> 下的行，如下表所示：

SAP BusinessObjects Enterprise 管理员指南

458

编辑方式

行

将

"None"

更改为

"Windows"

确保将此行设置为

"true"

9。

保存并关闭 Web.config 文件。

10。

重新启动 IIS。

提示:

也可以在将 IIS 配置为使用集成 Windows 身份验证这一过程完成后

重新启动 IIS。

12.3.4.6.3 配置 IIS 上的客户端以使用集成 Windows 身份验证

为了支持单一登录，需要将 IIS 上的 BusinessObjects 客户端配置为使

用集成 Windows 身份验证。请执行以下步骤以将客户端配置为使用 Windows
身份验证。

1。

在 IIS 的“Internet 信息服务”窗口中，展开左侧的树，然后转到“默
认网站”下的“InfoViewApp”。

2。

右键单击“InfoViewApp”，然后选择“属性”。

3。

单击“目录安全性”选项卡中的“编辑”。

4。

取消选择“匿名访问”（如果选择了该选项）。

5。

选择“集成 Windows 身份验证”并单击“确定”。

6。

单击“确定”以完成。

7。

对 PlatformServices 重复步骤 1-6。

8。

重新启动 IIS。

12.3.4.6.4 配置 Internet Explorer 浏览器

需要在 BusinessObjects Enterprise 客户端计算机上配置 Internet

Explorer 浏览器，以支持端到端单一登录。该执行过程包括以下任务：

•

将客户端计算机配置为使用集成 Windows 身份验证

•

将 IIS 添加到本地 Intranet 站点

提示:

您可以通过注册表项自动执行以下步骤。有关更多详细信息，请参阅

Windows 文档。

1。

在客户端计算机上，打开 Internet Explorer 浏览器。

459

使用 AD 身份验证

2。

启用集成 Windows 身份验证。

a。

转到“工具” > “Internet 选项”。

b。

选择“高级”选项卡。

c。

导航到“安全”设置。

d。

选择“启用集成 Windows 身份验证（需要重启动）”并单击“应用”。

3。

将 IIS 添加到本地 Intranet 站点列表。

a。

转到“工具” > “Internet 选项”。

b。

转到“安全” > “本地 Intranet” > “站点” > “高级”。

c。

键入 IIS 的 Web 站点，然后单击“添加”。

例如：http://iismachine.domain.com

d。

单击“确定”两次以关闭“Internet 选项”对话框。

4。

关闭 Internet Explorer 浏览器，然后再次打开该浏览器以使更改生效。

5。

对每台客户端计算机重复步骤 1-4。

12.3.4.7 将 AD 与 SiteMinder 一起使用

本节提供有关 BusinessObjects Enterprise 提供的不同方法的信息，这

些方法可用于利用 Windows Active Directory（AD）和 SiteMinder 为 IIS
和 Java 进行的身份验证。另外还包含有关管理和配置 AD 帐户的信息。

可以将 SiteMinder 与 NTLM 或 Kerberos 一起使用。有关 NTLM 的更多

信息，请参阅第 431 页上的

“使用 AD 身份验证及 NTLM”

。有关 Kerberos

的更多信息，请参阅第 410 页上的

“使用 AD 身份验证及 Kerberos”

。

12.3.4.7.1 AD 和 SiteMinder 工作流程

用于配置 BusinessObjects Enterprise 以将 IIS 与 AD 和 SiteMinder

一起使用的工作流程包含以下步骤：

•

第 404 页上的

“映射 AD 帐户 ”

•

第 461 页上的

“为 SiteMinder 配置 Windows AD 插件”

•

第 462 页上的

“为 Java AD 和 SiteMinder 修改 web.xml”

12.3.4.7.2 配置 AD 和 SiteMinder 工作流程

本节说明如何使用 AD 和 SiteMinder。SiteMinder 是一个第三方用户访

问和身份验证工具，可以使用该工具和 AD 安全插件一起创建到
BusinessObjects Enterprise 的单一登录。本节假设用户已完成了第 404
页上的

“映射 AD 帐户 ”

。

SAP BusinessObjects Enterprise 管理员指南

460

必须执行以下两项操作才能启用 SiteMinder AD 单一登录：

•

为 SiteMinder 单一登录配置 AD 插件

•

修改 Web.xml 文件以使用 Java 和 SiteMinder，或者修改 Web.config
文件以使用 .NET 和 SiteMinder

注意:

请确保 SiteMinder 管理员已启用了对 4.x 代理的支持。无论使用哪种

受支持的 SiteMinder 版本，都必须完成此操作。有关 SiteMinder 和如何
安装它的更多信息，请参阅 SiteMinder 文档。

12.3.4.7.2.1 为 SiteMinder 配置 Windows AD 插件
12.3.4.7.2.1.1 为 SiteMinder 单一登录配置 AD 插件

1。

从 CMC 中，单击“身份验证”。

2。

双击“Windows AD”。

3。

向下滚动到页面的“SiteMinder 选项”区域。

4。

单击“已禁用”。

Windows AD SiteMinder 配置页面将出现。

5。

如果尚未配置 Windows AD 插件，将会收到一条警告，并且系统将询问是
否要继续。单击“确定”。

AD SiteMinder 配置页面将出现。

6。

单击“使用 SiteMinder 单一登录”。

7。

在“策略服务器主机”框中，键入每个策略服务器的名称，然后单击“添
加”。

8。

对于每个策略服务器主机，指定“结算”、“身份验证”和“授权”端口
号。

9。

输入“代理名”的名称和“共享秘密”。再次输入“共享秘密”。

注意:

请确保 SiteMinder 管理员已启用了对 4.x 代理的支持。无论使用哪

种受支持的 SiteMinder 版本，都必须完成此操作。有关 SiteMinder 和
如何安装它的更多信息，请参阅 SiteMinder 文档。

10。

单击“更新”。

461

使用 AD 身份验证

12.3.4.7.2.2 为 Java AD 和 SiteMinder 修改 web.xml
12.3.4.7.2.2.1 启用 Java AD SiteMinder

1。

从 Web 应用程序服务器上 InfoView 的部署位置中打开 InfoView 的
web.xml 文件。

<DeployedLocation>\Business Objects\BusinessObjects Enterprise
12.0\warfiles\
warfiles|WebApss\InfoViewApp\WEB-INF

注意:

如果使用随 BusinessObjects Enterprise 一起安装的 Tomcat 的版

本，请将 <DeployedLocation> 替换为 C:\ProgramFiles\Business Ob
jects\tomcat55\webapps。如果使用任何其他支持的 Web 应用程序服务
器，请查阅 Web 应用程序服务器的文档来确定要替换的相应路径。

2。

在文件中查找以下字符串：

<param-name>cms.default</param-name>

3。

在 cms.default <param-value> 字段中输入 CMS 名称和端口号。

使用以下格式：服务器名称:端口号。

4。

在文件中查找以下字符串：

<param-name>authentication.default</param-name>

5。

将 authentication.default 的 <param-value> 设置为 secWinAD。

<param-value>secWinAD</param-value>

6。

在文件中查找以下字符串：

<param-name>sso.enabled</param-name>

7。

将 sso.enabled 的 <param-value> 从 false 更改为 true。

<param-value>true</param-value>

8。

在文件中查找以下字符串：

<param-name>siteminder.enabled</param-name>

SAP BusinessObjects Enterprise 管理员指南

462

9。

将 siteminder.enabled 的 <param-value> 从 false 更改为 true。

<param-value>true</param-value>

10。

在文件中查找以下字符串：

<param-name>siteminder.authentication</param-name>

11。

将 siteminder.authentication 的 <param-value> 设置为 secWinAD。

<param-value>secWinAD</param-value>

12。

保存并关闭文件。

13。

重新启动 Web 应用程序服务器。

12.3.4.7.2.3 为到 InfoView 的 Java AD 单一登录修改 web.xml
12.3.4.7.2.3.1 启用 Java AD 单一登录

1。

从 Web 应用程序服务器上 InfoView 的部署位置中打开 InfoView 的
web.xml 文件。

<DeployedLocation>\InfoViewApp\WEB-INF

注意:

如果使用随 BusinessObjects Enterprise 一起安装的 Tomcat 的版

2。

在文件中查找以下字符串：

<param-name>cms.default</param-name>

3。

在 cms.default <param-value> 字段中输入 CMS 名称和端口号。

使用以下格式：服务器名称:端口号。

4。

在文件中查找以下字符串：

<param-name>authentication.default</param-name>

5。

将 authentication.default 的 <param-value> 设置为 secWinAD。

<param-value>secWinAD</param-value>

463

使用 AD 身份验证

6。

在文件中查找以下字符串：

<param-name>sso.enabled</param-name>

7。

将 sso.enabled 的 <param-value> 从 false 更改为 true。

<param-value>true</param-value>

8。

保存并关闭文件。

9。

重新启动 Web 应用程序服务器。

12.3.4.7.2.4 为 Java AD 和 SiteMinder 修改 web.xml 文件
12.3.4.7.2.4.1 为 SiteMinder 启用 Java AD 客户端

1。

从 Web 应用程序服务器上 InfoView 的部署位置中打开 InfoView 的
web.xml 文件。

<DeployedLocation>\InfoViewApp\WEB-INF

注意:

如果使用随 BusinessObjects Enterprise 一起安装的 Tomcat 的版

2。

在文件中查找以下字符串：

<param-name>cms.default</param-name>

3。

在 cms.default <param-value> 字段中输入 CMS 名称和端口号。

使用以下格式：服务器名称:端口号。

4。

在文件中查找以下字符串：

<param-name>authentication.default</param-name>

5。

将 authentication.default 的 <param-value> 设置为 secWinAD。

<param-value>secWinAD</param-value>

6。

在文件中查找以下字符串：

<param-name>sso.enabled</param-name>

SAP BusinessObjects Enterprise 管理员指南

464

7。

将 sso.enabled 的 <param-value> 从 false 更改为 true。

<param-value>true</param-value>

8。

在文件中查找以下字符串：

<param-name>siteminder.enabled</param-name>

9。

将 siteminder.enabled 的 <param-value> 从 false 更改为 true。

<param-value>true</param-value>

10。

在文件中查找以下字符串：

<param-name>siteminder.authentication</param-name>

11。

将 siteminder.authentication 的 <param-value> 设置为 secWinAD。

<param-value>secWinAD</param-value>

12。

保存并关闭文件。

13。

重新启动 Web 应用程序服务器。

12.3.4.7.2.5 为 .NET InfoView 和 SiteMinder 修改 web.config

12.3.4.7.2.5.1 为 SiteMinder 启用 .NET InfoView 客户端

1。

对于 IIS，从 InfoView 的部署位置中打开其 web.config 文件。

C:\Program Files\Business Objects\BusinessObjects Enterprise
12.0\Web Content\InfoViewApp\InfoViewApp

注意:

上述路径是默认位置。如果更改了默认位置，请相应修改此路径。

2。

在文件中查找以下字符串：

3。

在 cmsDefault 值字段中输入 CMS 名称。

4。

在文件中查找以下字符串：

465

使用 AD 身份验证

SAP BusinessObjects Enterprise XI 3.1 Service Pack 3. Chinese Admin Guide (2010) - 29