高信任 S2S 配置中 SharePoint 2013 应用程序生命周期事件接收器标注的身份验证选项

Question

我有一个使用标准 Visual Studio 2013 PHA 模板编写的本地、高信任提供商托管应用程序 (PHA)。我已经按照 Kirk Evans 在他的博客中介绍的 High-Trust/S2S 应用程序的配置步骤进行了操作:

http://blogs.msdn.com/b/kaevans/archive/2012/11/27/creating-high-trust-sharepoint-apps-with-microsoft-office-developer-tools-for-visual-studio-2012-preview-2.aspx

在我添加一个服务来为 AppInstalled 事件托管一个事件接收器之前，一切都按预期工作，不需要太多修改。当我尝试在启用事件的情况下安装应用程序时，我从 SharePoint 收到以下错误:

The remote event receiver callout failed. Details: The HTTP request is unauthorized with client authentication scheme 'Anonymous'. The authentication header received from the server was 'NTLM;Negotiate'.

开箱即用的 PHA 未配置为在其服务绑定(bind)中支持匿名身份验证。当我通过 web.config 添加对匿名身份验证的支持时，应用程序安装并且所有事件接收器逻辑按预期执行，包括将列表和安全组添加到主机 Web 的 CSOM 调用。

这给我留下了一个两部分的问题:

匿名访问是否是 High-Trust/S2S 应用程序的明确要求
事件接收器？一方面，这似乎是一个安全漏洞。另一方面，我还没有找到任何方法来强制 SharePoint 在应用程序生命周期事件期间使用匿名以外的身份验证方案。我错过了什么吗？

如果需要匿名访问，是否有人推荐(经过测试和确认)最佳实践来保护该通信的安全？想到IP地址限制，但我还没有完全考虑清楚。

TIA

Answer 1

High-Trust/S2S 应用程序事件接收器绝对需要匿名访问。

您可以使用 HTTPs 来保护与 App Event 接收器的通信。一个建议是阻止来自外部域的应用程序事件接收器的访问，因为 SharePoint 将从网络内调用 Web 服务。