Функции безопасности Outlook Web Access (часть 5)

В предпоследней части этого цикла статей мы рассмотрели доступ к данным и файлам в OWA, а затем начали рассматривать функцию просмотра документов WebReady Document Viewing. В этой части мы закончим рассматривать функции безопасности OWA 2007 рассмотрением аспектов настройки функции WebReady Document Viewing, а затем перейдем к рассмотрению использования веб маячков.

Поддерживаемые типы документов

На рисунке 14 четвертой части этого цикла мы видели вкладку Доступ к файлам на общем компьютере (Public Computer File Access). Если мы нажмем кнопку Поддерживаемые (Supported) на этой закладке, у нас откроется окно, как показано на рисунке 20, где мы можем настроить поддерживаемые типы документов для каждого просмотра WebReady Document Viewing. Оригинальная Release To Manufacturing (RTM) версия Exchange 2007 поддерживала всего 5 типов документов, но их число было увеличено до 10 с выходом Exchange 2007 Service Pack 1. Компания Microsoft выпустила Exchange 2007 Service Pack 2 в августе 2009 года, и насколько я знаю, Exchange 2007 Service Pack 2 не добавил типов файлов, поддерживаемых при таком просмотре.

В области настройки функции WebReady Document Viewing, о которой часто забывают, есть стандартное ограничение по размеру вложения, открываемого таким способом. По умолчанию вложение размером более 5000КБ не может быть открыто, а попытки открыть его будут генерировать сообщение об ошибке 'Документ не может быть преобразован службой WebReady Document Viewing, поскольку его размер превышает максимально допустимый размер, установленный администратором (The document cannot be converted by the WebReady Document Viewing service because it is larger than the maximum size limit set by the administrator for your organization)'. Эта ошибка показана на рисунке 21.

Этот лимит в 5000KB управляется записью в MaxDocumentInputSize в разделе реестра на сервере Client Access Server. Если этот раздел не задан, стандартный лимит в 5000KB все равно будет применяться, поэтому если вам нужно изменить это значение, чтобы оно соответствовало требованиям вашей организации, вам нужно создать этот ключ в реестре. Информация этого раздела будет следующей:

Раздел (Key): HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSExchangeOWA\WebReadyDocumentViewing

Имя (Name): MaxDocumentInputSize

Тип (Type): DWORD

Значение (Value): {значение в КБ}

Однако одного создания этого раздела не было достаточно в моей тестовой среде, поскольку требовался еще один ключ. Раздел MaxDocumentOutputSize также требуется для контролирования размера HTML файла, генерируемого в окне веб браузера. Эти файлы по умолчанию помещаются в папку C:\Windows\Temp\XCCache. Раздел MaxDocumentOutputSize также имеет стандартное ограничение по размеру в 5000КБ. Если не определить этот раздел, у вас появится другая, менее понятная ошибка 'Документ не может быть открыть в качестве веб страницы. Если проблема продолжает появляться, обратитесь в службу технической поддержки в вашей организации (The document cannot be opened as a Web page. If the problem continues, contact technical support for your organization)'. Эта ошибка показана на рисунке 22.

Дополнительный раздел, необходимый для этой службы, будет следующим:

Раздел (Key): HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSExchangeOWA\WebReadyDocumentViewing

Имя (Name): MaxDocumentOutputSize

Тип (Type): DWORD

Значение (Value): {значение в КБ}

Есть также другие дополнительные разделы реестра, предназначенные для управления службой WebReady Document Viewing. Эти разделы могут контролировать количество строк, отображаемых на странице Excel, расположение XCCache папки, расположение папки temp и т.д. Рекомендую вам просмотреть полный список параметров реестра здесь, когда вы планируете настройку WebReady Document Viewing. Не забудьте о том, что эти разделы реестра необходимо применять на каждом сервере Client Access Server, требующем новые настройки, в вашей организации.

Веб маячки (Web Beacons)

Последняя, но ни в коем случае не по важности, функция безопасности OWA представляет собой управление веб маячками в сообщениях электронной почты. Возможно, самой распространенной формой использования веб маячков является ситуация, в которой нежелательные сообщения содержат образы, которые можно загрузить на локальный компьютер. Эти образы берутся с веб сайтов, чтобы отправитель нежелательной почты мог воспользоваться этими образами с целью подтвердить, что целевой почтовый адрес, получивший эту нежелательную почту, является действительным адресом электронной почты. Проверка действительности адреса электронной почты служит для увеличения объема нежелательной почты, получаемой адресатом.

К счастью, OWA может определять содержимое, которое может использоваться в качестве веб маячков, и это содержимое будет блокироваться по умолчанию, что вполне соответствует философии компании Microsoft о защищенности продуктов по умолчанию. Результаты блокирования веб маячка показаны на рисунке 23. Вы заметите, что каждый образ заблокирован от автоматического отображения, а в верней части письма находится текст, предоставляющий пользователю две части информации. В первой части пользователь информируется о том, что содержимое было заблокировано в целях защиты. Вторая часть говорит пользователям о том, что они смогут разблокировать это содержимое, если они уверены, что могут доверять его отправителю. Хотя эта функция может говорить сама за себя, я все же решил рассказать о ней на тот случай, если вы используете Outlook Web Access в Exchange 2007 впервые.

Чтобы посмотреть элементы настройки OWA, управляющие веб маячками, можно воспользоваться командой Get-OwaVirtualDirectory и посмотреть значение FilterWebBeaconsAndHtmlForms свойства, как показано на рисунке 24.

На рисунке 24 видно, что стандартное значение свойства FilterWebBeaconsAndHtmlForms установлено на UserFilterChoice, что, как мы только что обсудили, блокирует веб маячки по умолчанию, но разрешает пользователю загружать любое заблокированное содержимое, если он того пожелает. Одной из двух других опций является ForceFilter, которая, как и UserFilterChoice, блокирует содержимое, но пользователь при этом не сможет разблокировать это содержимое. И последняя опция будет DisableFilter, она не блокирует веб маячки. Следует отметить, что нельзя использовать консоль управления Exchange Management Console для управления конфигурацией веб маячков; как и в случае со многими другими, менее четкими настройками Exchange 2007, здесь можно использовать только Exchange Management Shell.

Ниже приведен пример команды Exchange Management Shell, которая используется для изменения настройки виртуального каталога /owa стандартного веб сайта. В этом примере параметр по умолчанию UserFilterChoice заменяется параметром ForceFilter, полностью блокирующим содержимое веб маячков, не давая пользователю возможности разблокировать это содержимое.

Set-OwaVirtualDirectory 'owa (default web site)' 'FilterWebBeacons ForceFilter

Для просмотра того, как это влияет на пользователей, давайте вернемся к сообщению, показанному на рисунке 23 выше. На рисунке 25 ниже вы видите текст в верхней части сообщения, информирующий пользователя о том, что содержимое было заблокировано по умолчанию. Пользователь не может это изменить.

Заключение

Итак мы закончили все пять частей цикла статей о функциях безопасности OWA, в которых рассмотрели достаточно большое количество функций. Даже если вы уже пользуете Exchange 2007, вы, возможно, еще не смогли воспользоваться некоторыми из этих функций, а о некоторых из них вы, возможно, вообще не знали. Надеюсь, что после прочтения всех пяти частей этого цикла у вас будет более полное понимание имеющихся функций, и вы уже сможете подумать над тем, как их использовать.