Configuración del acceso HTTP a Analysis Services en IIS 8.0

se aplica a: SQL Server Analysis Services Azure Analysis Services Fabric/Power BI Premium

En este artículo se explica cómo configurar un punto de conexión HTTP para acceder a una instancia de Analysis Services. Puede habilitar el acceso HTTP configurando MSMDPUMP.dll, una extensión ISAPI que se ejecuta en Internet Information Services (IIS) y bombea datos hacia y desde aplicaciones cliente y un servidor de Analysis Services. Este enfoque proporciona un medio alternativo para conectarse a Analysis Services cuando la solución llama a las siguientes funcionalidades:

• El acceso de cliente se realiza a través de Internet o conexiones de extranet, con restricciones en las que se pueden habilitar los puertos.

• Las conexiones de cliente proceden de dominios que no son de confianza en la misma red.

• La aplicación cliente se ejecuta en un entorno de red que permite conexiones HTTP pero no TCP/IP.

• Las aplicaciones cliente no pueden usar las bibliotecas cliente de Analysis Services (por ejemplo, una aplicación Java que se ejecuta en un servidor UNIX). Si no puede usar las bibliotecas cliente de Analysis Services para el acceso a datos, puede usar SOAP y XML/A a través de una conexión HTTP directa a una instancia de Analysis Services.

• Se requieren métodos de autenticación distintos de la seguridad integrada de Windows. En concreto, puede usar conexiones anónimas y autenticación básica al configurar Analysis Services para el acceso HTTP. No se admite la autenticación implícita, formularios y ASP.NET. Un requisito de autenticación básica es una de las principales razones para habilitar el acceso HTTP. Para más información, consulte Autenticación e identidad de Microsoft BI.

Puede configurar el acceso HTTP para cualquier versión o edición compatibles de Analysis Services, que ejecute el modo tabular o el modo multidimensional. Los cubos locales son una excepción. No se puede conectar a un cubo local a través de un punto de conexión HTTP.

La configuración del acceso HTTP es una tarea posterior a la instalación. Analysis Services debe instalarse antes de poder configurarlo para el acceso HTTP. Como administrador de Analysis Services, deberá conceder permisos a las cuentas de Windows antes de que sea posible el acceso HTTP. También es un procedimiento recomendado validar la instalación en primer lugar, asegurándose de que está totalmente operativo antes de realizar más configuración. Una vez configurado el acceso HTTP, puede usar el punto de conexión HTTP y el nombre de red normal del servidor a través de TCP/IP. La configuración del acceso HTTP no invalida otros enfoques para el acceso a datos.

A medida que avance con la configuración de MSMDPUMP, recuerde que hay dos conexiones que se deben tener en cuenta: client-to-IIS, IIS-to-SSAS. Las instrucciones de este artículo se refieren a IIS a SSAS. Es posible que la aplicación cliente requiera configuración adicional para poder conectarse a IIS. Las decisiones como si usar SSL o cómo configurar enlaces están fuera del ámbito de este artículo. Consulte Servidor web (IIS) para obtener más información sobre IIS.

Información general

MSMDPUMP es una extensión ISAPI que se carga en IIS y proporciona redirección a una instancia local o remota de Analysis Services. Al configurar esta extensión ISAPI, se crea un punto de conexión HTTP en una instancia de Analysis Services.

Debe crear y configurar un directorio virtual para cada punto de conexión HTTP. Cada punto de conexión necesitará su propio conjunto de archivos MSMDPUMP para cada instancia de Analysis Services a la que quiera conectarse. Un archivo de configuración de este conjunto de archivos especifica el nombre de la instancia de Analysis Services utilizada para cada punto de conexión HTTP.

En IIS, MSMDPUMP se conecta a Analysis Services mediante el proveedor OLE DB de Analysis Services a través de TCP/IP. Aunque las solicitudes de cliente pueden originarse fuera de la confianza de dominio, Analysis Services e IIS deben estar en el mismo dominio o en dominios de confianza para que la conexión nativa se realice correctamente.

Cuando MSMDPUMP se conecta a Analysis Services, usa una identidad de usuario de Windows. Esta cuenta será la cuenta anónima si configuró el directorio virtual para conexiones anónimas o una cuenta de usuario de Windows. La cuenta debe tener los derechos de acceso a datos adecuados en el servidor y la base de datos de Analysis Services.

En la tabla siguiente se enumeran consideraciones adicionales al habilitar el acceso HTTP para distintos escenarios.

Prerrequisitos

En las instrucciones de este artículo se supone que IIS ya está configurado y que Analysis Services ya está instalado. Windows Server 2012 se incluye con IIS 8.x como rol de servidor que puede habilitar en el sistema.

Configuración adicional en IIS 8.0

Faltan componentes que son necesarios para el acceso HTTP a Analysis Services en la configuración predeterminada de IIS 8.0. Estos componentes, que se encuentran en las áreas de características Seguridad y desarrollo de aplicaciones del rol servidor web (IIS), incluyen lo siguiente:

• Seguridad | Autenticación de Windows o Autenticación básica y cualquier otra característica de seguridad necesaria para el escenario de acceso a datos.

• Desarrollo | de aplicacionesCGI

• Desarrollo | de aplicacionesExtensiones de ISAPI

Para comprobar o agregar estos componentes, use Administrador del servidor | Administrar | agregar roles y características. Recorra el asistente hasta que llegue a Roles de servidor. Desplácese hacia abajo para buscar servidor web (IIS).

1. Abra Seguridad del servidor | weby elija los métodos de autenticación.

2. AbraDesarrollo de aplicacionesde servidor | web y elija CGI y extensiones ISAPI.

   

Cuando IIS está en un servidor remoto

Una conexión remota entre IIS y Analysis Services requiere que instale el proveedor OLE DB de Analysis Services (MSOLAP) en el servidor de Windows que ejecuta IIS.

1. Vaya a la página de descarga de SQL Server 2014 Feature Pack.

2. Seleccione Descargar.

3. Desplácese hacia abajo para buscar\x64\SQL_AS_OLEDB.msi ENU

4. Siga las instrucciones del asistente para completar la instalación.

Paso 1: Copiar los archivos MSMDPUMP en una carpeta del servidor web

Cada punto de conexión HTTP que cree debe tener su propio conjunto de archivos MSMDPUMP. En este paso, copiará el archivo ejecutable MSMDPUMP, el archivo de configuración y la carpeta de recursos de las carpetas del programa de Analysis Services en una nueva carpeta de directorio virtual que creará en el sistema de archivos del equipo que ejecuta IIS.

La unidad debe tener el formato del sistema de archivos NTFS. La ruta de acceso a la carpeta que cree no debe contener ningún espacio.

1. Copie los archivos siguientes, que se encuentran en <unidad>:\Archivos de programa\Microsoft SQL Server\<instance>\OLAP\bin\isapi: MSMDPUMP.DLL, MSMDPUMP. INI y una carpeta Resources.

   

2. En el servidor web, cree una carpeta: <drive>:\inetpub\wwwroot\OLAP

3. Pegue los archivos que copió anteriormente en esta nueva carpeta.

4. Compruebe que la carpeta \inetpub\wwwroot\OLAP del servidor web contiene lo siguiente: MSMDPUMP.DLL, MSMDPUMP. INI y una carpeta Resources. La estructura de carpetas debe tener este aspecto:

   • <drive>:\inetpub\wwwroot\OLAP\MSMDPUMP.dll

   • <drive>:\inetpub\wwwroot\OLAP\MSMDPUMP.ini

   • <drive>:\inetpub\wwwroot\OLAP\Resources

Paso 2: Creación de un grupo de aplicaciones y un directorio virtual en IIS

A continuación, cree un grupo de aplicaciones y un punto de conexión a la bomba.

Creación de un grupo de aplicaciones

1. Inicie el Administrador de IIS.

2. Abra la carpeta del servidor, haga clic con el botón derecho en Grupos de aplicaciones y, a continuación, haga clic en Agregar grupo de aplicaciones. Cree un grupo de aplicaciones denominado OLAP mediante .NET Framework, con el modo de canalización administrada establecido en Clásico.

   grupo

3. De forma predeterminada, IIS crea grupos de aplicaciones mediante ApplicationPoolIdentity como identidad de seguridad, que es una opción válida para el acceso HTTP a Analysis Services. Si tiene motivos específicos para cambiar la identidad, haga clic con el botón derecho en OLAP y, a continuación, seleccione Configuración avanzada. Seleccione ApplicationPoolIdentity. Haga clic en el botón Cambiar de esta propiedad para reemplazar la cuenta integrada por la cuenta personalizada que desea usar.

   

4. De forma predeterminada, en un sistema operativo de 64 bits, IIS establece la propiedad Enable 32-bit Applications en false. Si copió msmdpump.dll de una instalación de 64 bits de Analysis Services, esta es la configuración correcta para la extensión MSMDPUMP en un servidor IIS de 64 bits. Si copió los archivos binarios MSMDPUMP de una instalación de 32 bits, establézcalo en true. Compruebe esta propiedad ahora en Configuración avanzada para asegurarse de que está establecida correctamente.

Creación de una aplicación

1. En el Administrador de IIS, abra Sitios, abra Sitio web predeterminado. Debería ver una carpeta denominada Olap. Se trata de una referencia a la carpeta OLAP que creó en \inetpub\wwwroot.

   

2. Haga clic con el botón derecho en la carpeta y seleccione Convertir en aplicación.

3. En Agregar aplicación, escriba OLAP para el alias. Seleccione esta opción para elegir el grupo de aplicaciones OLAP. La ruta de acceso física debe establecerse en C:\inetpub\wwwroot\OLAP.

   

4. Haz clic en Aceptar. Actualice el sitio web y observe que la carpeta OLAP ahora es una aplicación en el sitio web predeterminado. Ahora se establece la ruta de acceso virtual al archivo MSMDPUMP.

   

Paso 3: Configuración de la autenticación de IIS y adición de la extensión

En este paso, seguirá configurando el directorio virtual de SSAS que acaba de crear. Especificará un método de autenticación y, a continuación, agregará una asignación de script. Los métodos de autenticación admitidos para Analysis Services a través de HTTP incluyen:

• Autenticación de Windows (Kerberos o NTLM)

• Autenticación básica

• Autenticación anónima

La autenticación de Windows se considera la más segura y aprovecha la infraestructura existente para las redes que usan Active Directory. Para usar la autenticación de Windows de forma eficaz, todos los exploradores, las aplicaciones cliente y las aplicaciones de servidor deben admitirla. Este es el modo más seguro y recomendado, pero requiere que IIS pueda acceder a un controlador de dominio de Windows que pueda autenticar la identidad del usuario que solicita una conexión.

En el caso de las topologías que colocan Analysis Services e IIS en equipos diferentes, deberá solucionar problemas de doble salto que se producen cuando una identidad de usuario debe delegarse a un segundo servicio en un equipo remoto, normalmente habilitando Analysis Services para la delegación restringida de Kerberos. Para obtener más información, consulte Configurar Analysis Services para la delegación restringida de Kerberos.

La autenticación básica se usa cuando tiene identidades de Windows, pero las conexiones de usuario proceden de dominios que no son de confianza, lo que prohíbe el uso de conexiones delegadas o suplantadas. La autenticación básica le permite especificar una identidad de usuario y una contraseña en una cadena de conexión. En lugar de usar el contexto de seguridad del usuario actual, las credenciales de la cadena de conexión se usan para conectarse a Analysis Services. Dado que Analysis Services solo admite la autenticación de Windows, las credenciales que se le pasan deben ser un usuario o grupo de Windows que sea miembro del dominio en el que se hospeda Analysis Services.

La autenticación anónima se suele usar durante las pruebas iniciales porque su facilidad de configuración le ayuda a validar rápidamente la conectividad HTTP a Analysis Services. En unos pocos pasos, puede asignar una cuenta de usuario única como identidad, conceder permisos de cuenta en Analysis Services, usar la cuenta para comprobar el acceso a datos en una aplicación cliente y, a continuación, deshabilitar la autenticación anónima cuando se complete la prueba.

También puede usar la autenticación anónima en un entorno de producción si los usuarios no tienen cuentas de usuario de Windows, pero seguir los procedimientos recomendados bloqueando los permisos en el sistema host, como se indica en este artículo: Habilitar autenticación anónima (IIS 7). Asegúrese de que la autenticación está establecida en el directorio virtual y no en el sitio web primario para reducir aún más el nivel de acceso a la cuenta.

Cuando anonymous está habilitado, cualquier conexión de usuario al punto de conexión HTTP puede conectarse como usuario anónimo. No podrá auditar conexiones de usuario individuales ni usar la identidad de usuario para seleccionar datos de un modelo. Como puede ver, el uso de Anonymous afecta a todo, desde el diseño del modelo hasta la actualización y el acceso a los datos. Sin embargo, si los usuarios no tienen un inicio de sesión de usuario de Windows para empezar, el uso de la cuenta anónima podría ser la única opción.

Establecimiento del tipo de autenticación y adición de una asignación de script

1. En el Administrador de IIS, abra Sitios, abra Sitio web predeterminado y, a continuación, seleccione el directorio virtual OLAP .

2. Haga doble clic en Autenticación en la sección IIS de la página principal.

   de

3. Habilite la autenticación de Windows si usa la seguridad integrada de Windows.

   

4. Como alternativa, habilite la autenticación básica si las aplicaciones cliente y servidor están en dominios diferentes. Este modo requiere que el usuario escriba un nombre de usuario y una contraseña. El nombre de usuario y la contraseña se transmiten a través de la conexión HTTP a IIS. IIS intentará suplantar al usuario mediante las credenciales proporcionadas al conectarse a MSMDPUMP, pero las credenciales no se delegarán en Analysis Services. En su lugar, deberá pasar un nombre de usuario y una contraseña válidos en una conexión, como se describe en el paso 6 siguiente.

   Importante

   Tenga en cuenta que es importante que cualquier persona que cree un sistema donde se transmita la contraseña, tenga formas de proteger el canal de comunicación. IIS proporciona un conjunto de herramientas que le ayudan a proteger el canal. Para obtener más información, consulte Configuración de SSL en IIS 7.

5. Deshabilite la autenticación anónima si usa la autenticación de Windows o Básica. Cuando la autenticación anónima está habilitada, IIS siempre la usará primero, incluso si se habilitan otros métodos de autenticación.

   En Autenticación anónima, la bomba (msmdpump.dll) se ejecuta como la cuenta de usuario que estableció para el usuario anónimo. No hay distinción entre el usuario que se conecta a IIS y el usuario que se conecta a Analysis Services. De forma predeterminada, IIS usa la cuenta IUSR, pero puede cambiarla a una cuenta de usuario de dominio que tenga permisos de red. Necesitará esta funcionalidad si IIS y Analysis Services están en equipos diferentes.

   Para obtener instrucciones sobre cómo configurar credenciales para la autenticación anónima, consulte Autenticación anónima.

   Importante

   La autenticación anónima es más probable que se encuentre en un entorno extremadamente controlado, donde los usuarios reciben o deniegan el acceso mediante listas de control de acceso en el sistema de archivos. Para conocer los procedimientos recomendados, consulte Habilitación de la autenticación anónima (IIS 7).

6. Haga clic en el directorio virtual OLAP para abrir la página principal. Haga doble clic en Asignaciones de controlador.

   

7. Haga clic con el botón derecho en cualquier parte de la página y seleccione Agregar asignación de scripts. En el cuadro de diálogo Agregar asignación de scripts, especifique *.dll como ruta de acceso de solicitud, especifique c:\inetpub\wwwroot\OLAP\msmdpump.dll como ejecutable y escriba OLAP como nombre. Mantenga todas las restricciones predeterminadas asociadas a esta asignación de scripts.

   

8. Cuando se le pida que permita la extensión ISAPI, haga clic en Sí.

   

Paso 4: Editar MSMDPUMP. Archivo INI para establecer el servidor de destino

The MSMDPUMP. El archivo INI especifica la instancia de Analysis Services a la que se conecta MSMDPUMP.DLL. Esta instancia puede ser local o remota, instalada como predeterminada o como una instancia con nombre.

Abra el archivo msmdpump.ini ubicado en la carpeta C:\inetpub\wwwroot\OLAP y eche un vistazo al contenido de este archivo. Debería tener este aspecto:

<ConfigurationSettings>  
<ServerName>localhost</ServerName>  
<SessionTimeout>3600</SessionTimeout>  
<ConnectionPoolSize>100</ConnectionPoolSize>  
</ConfigurationSettings>  
  

Si la instancia de Analysis Services para la que está configurando el acceso HTTP se encuentra en el equipo local y se instala como una instancia predeterminada, no hay ninguna razón para cambiar esta configuración. De lo contrario, debe especificar el nombre del servidor (por ejemplo, NombreServidor>ADWRKS-SRV01</ServerName>). < Para un servidor instalado como una instancia con nombre, asegúrese de anexar el nombre de instancia (por ejemplo, NombreServidor>ADWRKS-SRV01\Tabular</ServerName>). <

De forma predeterminada, Analysis Services escucha en el puerto TCP/IP 2383. Si instaló Analysis Services como instancia predeterminada, no es necesario especificar ningún puerto en <ServerName> porque Analysis Services sabe cómo escuchar automáticamente en el puerto 2383. Sin embargo, debe permitir conexiones entrantes a ese puerto en firewall de Windows. Para obtener más información, vea Configurar firewall de Windows para permitir el acceso a Analysis Services.

Si configuró una instancia con nombre o predeterminada de Analysis Services para escuchar en un puerto fijo, debe agregar el número de puerto al nombre del servidor (por ejemplo, <NombreServidor>AW-SRV01:55555</ServerName>) y debe permitir conexiones entrantes en Firewall de Windows a ese puerto.

Paso 5: Concesión de permisos de acceso a datos

Como se indicó anteriormente, deberá conceder permisos en la instancia de Analysis Services. Cada objeto de base de datos tendrá roles que proporcionan un nivel determinado de permisos (lectura o lectura y escritura) y cada rol tendrá miembros que constan de identidades de usuario de Windows.

Para establecer permisos, puede usar SQL Server Management Studio. En la carpetaRolesde base de | datos, puede crear roles, especificar permisos de base de datos, asignar pertenencia a cuentas de usuario o grupo de Windows y, a continuación, conceder permisos de lectura o escritura en objetos específicos. Normalmente, los permisos de lectura en un cubo son suficientes para las conexiones de cliente que usan datos del modelo, pero no lo actualizan.

La asignación de roles varía en función de cómo configuró la autenticación.

Autenticación	Asignación de roles
Anónimo	Agregue a la lista Pertenencia la cuenta especificada en Editar credenciales de autenticación anónima en IIS. Para obtener más información, consulte Autenticación anónima.
Autenticación de Windows	Agregue a la lista Pertenencia las cuentas de usuario o grupo de Windows que solicitan datos de Analysis Services a través de la suplantación o delegación. Suponiendo que se usa la delegación restringida de Kerberos, las únicas cuentas que necesitan permisos son las cuentas de usuario y grupo de Windows que solicitan acceso. No se necesitan permisos para la identidad del grupo de aplicaciones.
Autenticación básica	Agregue a la lista Pertenencia las cuentas de grupo o usuario de Windows que se pasarán en la cadena de conexión. Además, si va a pasar credenciales a través de EffectiveUserName en la cadena de conexión, la identidad del grupo de aplicaciones debe tener derechos de administrador en la instancia de Analysis Services. En SSMS, haga clic con el botón derecho en la instancia | Propiedades | Seguridad | Agregar. Escriba la identidad del grupo de aplicaciones. Si usó la identidad predeterminada integrada, la cuenta se especifica como APPPool de IIS\DefaultAppPool.

Para obtener más información sobre cómo establecer permisos, consulte Autorización del acceso a objetos y operaciones (Analysis Services).

Paso 6: Configuración de un canal seguro

A partir de SQL Server Analysis Services 2025, las conexiones HTTP a través de msmdpump.dll se deshabilitarán de forma predeterminada.

Al intentar conectarse a http://localhost/OLAP/msmdpump.dll mediante una copia de este archivo DLL desde C:\Archivos de programa\Microsoft SQL Server\MSAS17. MSSQLSERVER\OLAP, verá este error:

Las conexiones a SQL Server Analysis Services a través de msmdpump.dll deben usar canales seguros, por ejemplo HTTPS. (Desconocido)

Entornos de prueba

Si está trabajando en un entorno de prueba y no tiene ningún problema sobre la pérdida de credenciales básicas en texto no cifrado, puede deshabilitar la RequireSecureChannel configuración como msmdpump.ini se indica a continuación:

<ConfigurationSettings>
	<ServerName>localhost</ServerName>
	<SessionTimeout>3600</SessionTimeout>
	<ConnectionPoolSize>100</ConnectionPoolSize>
	<RequireSecureChannel>false</RequireSecureChannel>
</ConfigurationSettings>

Entornos de producción

Si va a configurar un entorno de producción para las conexiones a la instancia de SSAS, debe configurar SSL en el sitio de IIS mediante las instrucciones siguientes: Configuración de SSL en IIS 7.

Paso 7: Probar la configuración

La sintaxis de la cadena de conexión para MSMDPUMP es la dirección URL del archivo MSMDPUMP.dll.

Si la aplicación web escucha en un puerto fijo, anexe el número de puerto al nombre del servidor o la dirección IP (por ejemplo, http://my-web-srv01:8080/OLAP/msmdpump.dll o http://123.456.789.012:8080/OLAP/msmdpump.dll.

Para probar rápidamente la conexión, puede abrir una conexión mediante Internet Explorer, Microsoft Excel o SQL Server Management Studio.

Solución de problemas de conexiones mediante Internet Explorer

Es posible que una solicitud de conexión que finalice con este error no le dé mucho que continuar: "No se puede realizar una conexión a "<nombre> de servidor" o Analysis Service no se está ejecutando en el servidor".

Para obtener un error más informativo, haga lo siguiente:

1. EnOpcionesavanzadas de Internet Explorer Internet Explorer>>, desactive la casilla Mostrar mensajes HTTP descriptivos.

2. Vuelva a intentar la conexión (por ejemplo, http://my-web-srv01:8080/OLAP/msmdpump.dll)

Si ve un XML ERROR mostrado en la ventana del explorador, puede eliminar MSMDPUMP como causa potencial y cambiar el foco al certificado.

Prueba de conexiones mediante SQL Server Management Studio

1. En Management Studio, en el cuadro de diálogo Conectar con el servidor, seleccione Analysis Services como tipo de servidor. En Nombre del servidor, escriba la dirección HTTP de la extensión msmdpump: http://my-web-srv01/OLAP/msmdpump.dll.

   El Explorador de objetos muestra la conexión HTTP:

   

2. La autenticación debe ser autenticación de Windows y la persona que usa Management Studio debe ser administrador de Analysis Services. Un administrador puede conceder más permisos para habilitar el acceso de otros usuarios.

Prueba de conexiones mediante Excel

1. En la pestaña Datos de Excel, en Obtener datos externos, haga clic en Desde otros orígenes y, a continuación, elija Desde Analysis Services para iniciar el Asistente para la conexión de datos.

2. En Nombre del servidor, escriba la dirección HTTP de la extensión msmdpump: http://my-web-srv01/OLAP/msmdpump.dll.

3. En Credenciales de inicio de sesión, elija Usar autenticación de Windows si usa seguridad integrada de Windows o NTLM o usuario anónimo.

   En Autenticación básica, elija Usar el siguiente nombre de usuario y contraseña y, a continuación, especifique las credenciales usadas para iniciar sesión. Las credenciales que proporcione se pasarán en la cadena de conexión a Analysis Services.

Prueba de conexiones mediante AMO

Puede probar el acceso HTTP mediante programación mediante AMO, sustituyendo la dirección URL del punto de conexión por el nombre del servidor. Para obtener más información, consulte Entrada de foro (Sincronización de bases de datos de SSAS 2008 R2 a través de HTTPS a través de los límites de dominio o bosque y firewall).

Una cadena de conexión de ejemplo que ilustra la sintaxis para el acceso HTTP(S) mediante la autenticación básica:

Data Source=https://<servername>/olap/msmdpump.dll; Initial Catalog=AdventureWorksDW2012; Integrated Security=Basic; User ID=XXXX; Password=XXXXX;

Para obtener más información sobre cómo configurar la conexión mediante programación, consulte Establecimiento de conexiones seguras en ADOMD.NET.

Como último paso, asegúrese de realizar un seguimiento de las pruebas más rigurosas mediante un equipo cliente que se ejecuta en el entorno de red desde el que se originarán las conexiones.

Véase también

Publicación de foro (acceso http mediante msmdpump y autenticación básica)
Configurar Firewall de Windows para permitir el acceso a Analysis Services
Autorización del acceso a objetos y operaciones (Analysis Services)
Métodos de autenticación de IIS
Instalación de SSL en IIS 7