Hľadiská zabezpečenia pri povolení vlastného skriptu

Umožnenie prispôsobovania lokalít a stránok v službe SharePoint používateľmi prostredníctvom vkladania skriptu im môže poskytnúť potrebnú flexibilitu pri plnení požiadaviek vo vašej organizácii. Mali by ste si však uvedomovať aj vplyv vlastného skriptu na bezpečnosť. Keď povolíte používateľom spúšťať vlastné skripty, nebude už naďalej možné zabezpečovať riadenie, zisťovať rozsah možností vloženého kódu, blokovať jeho konkrétne časti, či blokovať všetok nasadený vlastný kód. Preto odporúčame používať namiesto povoľovania vlastného skriptu službu SharePoint Framework. Ďalšie informácie nájdete v časti Alternatíva ku vlastnému skriptu.

Možnosti vlastných skriptov

Každý skript, ktorý sa spúšťa na stránke služby SharePoint (môže ísť o HTML stránku v knižnici dokumentov alebo o JavaScript vo webovej časti Editora skriptov) sa vždy spúšťa v kontexte používateľa, ktorý navštevuje stránku a aplikáciu v službe SharePoint. To znamená, že:

  • Skripty majú prístup k všetkému, k čomu má prístup aj používateľ.

  • Skripty môžu získať prístup k obsahu vo viacerých službách Office 365 a integráciou s programom Microsoft Graph môže byť ich prístup ešte širší.

Vloženie skriptu nie je možné auditovať

Globálni správcovia, správcovia zabezpečenia alebo správcovia služby SharePoint môžu povoľovať alebo blokovať možnosti skriptu v celej organizácii alebo v rámci určitej kolekcie lokalít. (Ďalšie informácie o tom, ako na to, nájdete v téme Vypnutie možností skriptovania.) Ak však povolíte skriptovanie, nebudete môcť naďalej určovať:

  • aký kód bol vložený,

  • kde bol kód vložený,

  • kto kód vložil.

Každý používateľ, ktorý má povolenie „Pridať a prispôsobiť stránky" (súčasť úrovní povolení Návrh a Úplný prístup), môže vkladať na ľubovolnú stránku alebo do ľubovolnej knižnice dokumentov kód, ktorý môže významne ovplyvniť všetkých používateľov a zdroje v organizácii. Skript má širší prístup než len na stránku alebo lokalitu. Môže pristupovať k obsahu vo všetkých kolekciách a iných službách Office 365 v organizácii. Spúšťanie skriptu nie je ohraničené. Ďalšie informácie o aktivite na lokalite, ktorú je možné auditovať, nájdete v téme Konfigurácia nastavenia auditu pre kolekciu lokality.

Vložený skript nie je možné blokovať ani odstrániť

Neskôr je možné nastavenie povolenia vlastného skriptu zmeniť, aby sa zabránilo používateľom pridávať vlastný skript, ale nie je možné blokovať vykonanie skriptu, ktorý už bol vložený. Ak by bol vložený nebezpečný alebo škodlivý skript, jediným spôsobom, ako ho zastaviť je odstránenie stránky, na ktorej sa hosťuje. To môže viesť k strate údajov.

Alternatíva k vlastnému skriptu

SharePoint Framework je model stránky a model webových častí, ktorý poskytuje riadený a plne podporovaný spôsob vytvárania riešení pomocou technológií skriptovania s podporou voľne dostupných nástrojov. Kľúčové funkcie služby SharePoint Framework:

  • rámec sa spúšťa v kontexte aktuálneho používateľa a pripojenia v prehliadači, nevyužíva rámce iFrame,

  • ovládacie prvky sa vykresľujú na normálnej stránke modelu DOM (Document Object Model),

  • ovládacie prvky reagujú a sú prístupné,

  • vývojári môžu získať prístup k životnému cyklu, okrem vykresľovania môžu pracovať so zaťažením pri prístupe, serializovať a deserializovať, konfigurovať zmeny a ďalšie,

  • môžete použiť ľubovoľný rámec prehliadača: React, Handlebars, Knockout, AngularJS a ďalšie,

  • súbor nástrojov je založený na bežných, voľne dostupných, klientských, vývojárskych nástrojoch, ako napríklad npm, TypeScript, Yeoman, webpack a gulp,

  • správcovia služieb Office 365 majú k dispozícii nástroje riadenia na okamžité vypnutie riešení, bez ohľadu na počet použitých inštancií alebo počet stránok, či lokalít, v ktorých boli použité,

  • riešenia môžu byť nasadené vo webových častiach a stránkach, ktoré používajú klasické možnosti používania alebo nové možnosti používania,

  • len globálni správcovia, správcovia SharePointu a osoby s povolením spravovať katalóg aplikácií môžu pridávať riešenia. (Ďalšie informácie o poskytovaní povolení na správu katalógu aplikácií nájdete v téme Žiadosť o povolenie inštalovať aplikáciu.)

Rozšírte svoje zručnosti
Preskúmať školenie
Buďte medzi prvými, ktorí získajú nové funkcie
Pridajte sa k insiderom pre Office

Boli tieto informácie užitočné?

Ďakujeme za vaše pripomienky!

Ďakujeme vám za pripomienky. Pravdepodobne vám pomôže, ak vás spojíme s pracovníkom podpory pre Office.

×