Globális biztonsági beállítások

Ezen az oldalon az adminisztrációt és az alapértelmezett alkalmazásbiztonsági irányelvet konfigurálhatja. Ez a biztonsági konfiguráció az összes adminisztratív funkció biztonsági irányelvére vonatkozik, továbbá felhasználói alkalmazások alapértelmezett biztonsági irányelve. Biztonsági tartományok adhatók meg, hogy felhasználói alkalmazások részére felül lehessen bírálni és személyre lehessen szabni a biztonsági irányelveket.

Az adminisztrációs konzol oldal megtekintéséhez kattintson a Biztonság > Globális biztonság elemre.

[AIX Solaris HP-UX Linux Windows] [IBM i] A biztonság befolyásolja az alkalmazások teljesítményét. A teljesítményre vonatkozó hatás az alkalmazás terhelési jellemzőitől függően eltérő mértékű lehet. Először meg kell határozni az alkalmazásokra vonatkozó biztonsági szint engedélyezését, majd meg kell mérni a biztonság hatását az alkalmazások teljesítményére.

Biztonság beállításakor érvényesítsen minden módosítást a Felhasználói nyilvántartás vagy a Hitelesítési mechanizmusok oldalon. A felhasználói nyilvántartás beállítások érvényesítéséhez kattintson az Alkalmaz gombra. A rendszer megpróbálja hitelesíteni a kiszolgáló azonosítót vagy (internalServerID használata esetén) érvényesíteni az adminisztrátori azonosítót a konfigurált felhasználói nyilvántartáshoz. A felhasználói nyilvántartás beállítások adminisztrációs biztonság engedélyezése utáni érvényesítésével elkerülhetők a kiszolgáló első újraindításakor fellépő problémák.

Biztonság konfiguráció varázsló

Az alapvető adminisztrációs és alkalmazás biztonsági beállítások konfigurációját lehetővé tévő varázslót indít. Ez a folyamat az adminisztrációs feladatokat és alkalmazásokat a felhatalmazott felhasználókra korlátozza.

A varázsló segítségével alkalmazás biztonság, erőforrás vagy Java 2 Connector (J2C) biztonság és felhasználói nyilvántartás állítható be. Beállítható meglévő nyilvántartás, valamint engedélyezhető adminisztrációs, alkalmazás- és erőforrás biztonság.

A varázslóval elvégzett módosítások alkalmazásakor az adminisztrációs biztonság alapértelmezésben bekapcsolt.

Biztonsági konfiguráció jelentés

Az alkalmazáskiszolgáló aktuális biztonsági beállításait összegyűjtő és megjelenítő jelentést állít elő. Az információk a központi biztonsági beállításokkal, az védelem felhasználókkal és csoportokkal, a CORBA elnevezési szerepekkel és a cookie védelemmel kapcsolatban kerülnek összegyűjtésre. Többszörös biztonsági tartományok beállítása esetén a jelentés az egyes tartományokhoz rendelt biztonsági konfigurációkat jeleníti meg.

A jelentés jelenlegi korlátja, hogy nem jeleníti meg az alkalmazásszintű biztonsági információkat. A jelentés a Java üzenetszolgáltatás (JMS), a sín és a webszolgáltatás biztonsági információit sem jelzi.

Adminisztrációs biztonság engedélyezése

Meghatározza az adminisztrációs biztonság engedélyezését az alkalmazáskiszolgáló tartományra. Az adminisztrációs biztonság a felhasználóktól megkívánja a hitelesítést az alkalmazáskiszolgáló adminisztrációs irányításának megszerzése előtt.

További információkért tekintse meg az adminisztrátori szerepek és hitelesítés kapcsolódó hivatkozásait.

Biztonság engedélyezésekor állítsa be a hitelesítési mechanizmus konfigurációt és adjon meg egy érvényes felhasználói azonosítót és jelszót (vagy internalServerID szolgáltatás használatakor egy érvényes adminisztrátori azonosítót) a választott nyilvántartás konfigurációban.

Megjegyzés: A környezetet kezelő adminisztrátort azonosító felhasználói azonosító (mely rendszerint az adminisztrátori azonosító) eltér a kiszolgálók közötti kapcsolathoz használt felhasználói azonosítótól. A belső kiszolgáló azonosító szolgáltatás használatakor nem szükséges kiszolgáló azonosítót és jelszót megadni. Választhatóan azonban megadhat kiszolgáló azonosítót és jelszót. Kiszolgáló azonosító és jelszó megadásához tegye a következőket:

Kattintson a Biztonság > Globális biztonság elemre.
A Felhasználói fiókok lerakatban válassza ki a lerakatot, majd kattintson a Beállítás gombra.
A Kiszolgáló felhasználói azonosság szakaszban adja meg a kiszolgáló azonosítót és jelszót.

[z/OS] Ha a felhasználói nyilvántartás Helyi operációs rendszer értékű , akkor csak a z/OS indítású feladat beállítást adhatja meg.

Probléma esetén, például ha a kiszolgáló nem indul a biztonsági tartományon belüli biztonság engedélyezése után, szinkronizáljon újra minden fájlt a cellától a csomópontig. A fájlok újraszinkronizálásához futtassa a csomópontról a következő parancsot: syncNode -username felhasználói_azonosító -password felhasználói_jelszó. A parancs a telepítéskezelőhöz kapcsolódik és minden fájlt újraszinkronizál.

[IBM i] [z/OS] Ha a kiszolgáló adminisztrációs biztonság engedélyezése után nem indul újra, akkor tilthatja a biztonságot. Az alkalmazáskiszolgáló_gyökér/bin könyvtárban futtassa a wsadmin -conntype NONE parancsot. A wsadmin> parancssorban írja be a securityoff parancsot, majd a visszatéréshez írja be az exit parancsot. Indítsa újra a kiszolgálót tiltott biztonsággal, hogy ellenőrizhesse az adminisztrációs konzolon keresztül a helytelen beállításokat.

[z/OS] Helyi operációs rendszer felhasználói nyilvántartást használók: Aktív felhasználói nyilvántartásként a Helyi operációs rendszer lehetőséget választva nem szükséges jelszót megadni a felhasználói nyilvántartás beállításban.

Információk	Érték
Alapértelmezett:	Engedélyezett

Alkalmazás biztonság engedélyezése

Engedélyezi az alkalmazások biztonságát a környezetben. A biztonság ezen típusa az alkalmazás elkülönítését, és az alkalmazás felhasználóinak hitelesítési követelményeit adja meg

A WebSphere Application Server korábbi kiadásaiban, ha a felhasználó engedélyezte a globális biztonságot, akkor az adminisztratív és az alkalmazás biztonság is engedélyezett lett. A WebSphere Application Server 6.1 változatban a globális biztonság korábbi megvalósítása adminisztratív biztonságra és alkalmazásbiztonságra oszlik, amelyek külön engedélyezhetők.

A felosztás eredményként a WebSphere Application Server ügyfeleknek tudniuk kell, hogy az alkalmazástiltott tiltott-e a célkiszolgálón. Az adminisztratív biztonság alapértelmezésben engedélyezett. Az alkalmazásbiztonság alapértelmezésben tiltott. Az alkalmazásbiztonság engedélyezéséhez engedélyezni kell az adminisztratív biztonságot. Az alkalmazásbiztonság csak akkor lép hatályba, ha az adminisztratív biztonság engedélyezett.

Információk	Érték
Alapértelmezett:	Tiltott

Java 2 biztonság használata, hogy a helyi erőforrásokhoz az alkalmazások hozzáférése korlátozott legyen

Meghatározza a Java 2 biztonságiengedély-ellenőrzés engedélyezését vagy tiltását. Alapértelmezésben a helyi erőforrásokhoz nem korlátozott a hozzáférés. A Java 2 biztonságot még akkor is letilthatja, ha engedélyezett az alkalmazásbiztonság.

Ha engedélyezett Java 2 biztonság használata alkalmazás helyi erőforrásokhoz való hozzáférésének korlátozása érdekében beállítás esetén egy alkalmazás több Java 2 biztonsági engedélyt igényel, mint amennyit az alapértelmezett irányelv adományoz, akkor az alkalmazás megfelelő futása meghiúsulhat, amíg meg nem adja az igényelt engedélyeket az alkalmazás app.policy vagy was.policy fájljában. Az igényelt engedélyekkel nem rendelkező alkalmazások AccessControl kivételeket idéznek elő. A Java 2 biztonságról a kapcsolódó hivatkozásokban találhat további információkat.

Információk	Érték
Alapértelmezett:	Tiltott

Figyelmeztetés egyéni alkalmazás-engedélyek megadása esetén

Meghatározza, hogy alkalmazás telepítés és alkalmazás indítás során a biztonsági környezet figyelmeztetést hoz létre, ha az alkalmazások bármilyen egyéni engedélyt kapnak. Az egyéni engedélyek a felhasználói alkalmazások által meghatározott engedélyek, nem Java API engedélyek. A Java API engedélyek a java.* és a javax.* csomagokban meglévő engedélyek.

Az alkalmazáskiszolgáló támogatást nyújt az irányelvfájl kezeléshez. A termékben számos irányelvfájl található, egyik részük statikus, másik részük dinamikus. A dinamikus irányelv egy bizonyos erőforrás típusra vonatkozó engedélysablon. A dinamikus engedélysablonban nincs kódalap meghatározva és nem is használt relatív kódalap. A valós kódalap a konfigurációból és futási adatokból dinamikusan jön létre. A filter.policy fájl a J2EE 1.4 specifikáció szerint tartalmazza az engedélyek listáját, melyeket a felhasználó nem kíván megadni az alkalmazásoknak. Az engedélyekről a Java 2 biztonsági irányelvfájlokról szóló kapcsolódó hivatkozásokban találhat további információkat.

Fontos: A beállítást nem engedélyezheti a Java 2 biztonság használata alkalmazás helyi erőforrásokhoz való hozzáférésének korlátozása érdekében lehetőség engedélyezése nélkül.

Információk	Érték
Alapértelmezett:	Tiltott

Hozzáférés tiltása erőforrás-hitelesítési adatokhoz

Ezt a lehetőséget annak korlátozása érdekében engedélyezze, hogy az alkalmazás hozzáférhessen a Java kapcsolati architektúra (JCA) érzékeny leképezéshitelesítési adataihoz.

A lehetőség engedélyezését a következő két feltétel egyidejű teljesülése esetén fontolja meg:

Java 2 biztonság foganatosított.
Az alkalmazás megkapta az accessRuntimeClasses WebSphereRuntimePermission engedélyt az alkalmazás EAR fájljában talált was.policy fájlban. Például az alkalmazáskód megkapta az engedélyt, ha a was.policy fájlban megtalálható a következő sor:
```
permission com.ibm.websphere.security.WebSphereRuntimePermission "accessRuntimeClasses";
```

A Hozzáférés tiltása erőforrás-hitelesítési adatokhoz lehetőség finoman szabályozható Java 2 engedélyellenőrzést ad a WSPrincipalMappingLoginModule megvalósítás alapértelmezett azonosítókiosztásához. Engedélyezett Java 2 biztonság használata alkalmazás helyi erőforrásokhoz való hozzáférésének korlátozása érdekében és Hozzáférés tiltása erőforrás-hitelesítési adatokhoz beállítások esetén kifejezett engedélyt kell adnia azoknak a Java 2 Platform, Enterprise Edition (J2EE) alkalmazásoknak, amelyek a JAAS bejelentkezésnél közvetlenül a WSPrincipalMappingLoginModule megvalósítást használják.

Információk	Érték
Alapértelmezett:	Tiltott

Aktuális tartománymeghatározás

Megadja az aktív felhasználói lerakatra vonatkozó aktuális beállítást.

Ez a mező csak olvasható.

Elérhető tartomány meghatározások

Meghatározza az elérhető felhasználói fiók lerakatokat.

A kijelölések egy legördülő listában jelennek meg, és az alábbiakat tartalmazzák:

Helyi operációs rendszer
Önálló LDAP nyilvántartás
Önálló egyéni nyilvántartás

Beállítás aktuálisként

Beállítása után engedélyezi a felhasználói lerakatot.

[AIX Solaris HP-UX Linux Windows] Nem root UNIX felhasználóként vagy többcsomópontos környezetben való futtatáskor LDAP vagy egyéni felhasználói nyilvántartás szükséges.

Az alábbi felhasználói lerakatok egyikére konfigurálhat beállításokat:

Egyesített lerakatok

A beállítást egyedülálló tartomány alatti többszörös lerakatokban lévő profilok kezeléséhez adja meg. A tartomány az alábbi helyeken lévő azonosságokat tartalmazhat:

A rendszerbe épített fájlalapú lerakatban
Néhány külső lerakatban
Mind a rendszerbe épített fájlalapú lerakatban, mind a legalább egy külső lerakatban

Megjegyzés: Az egyesített lerakatok beállítását csak adminisztrátori jogosultsággal rendelkező felhasználó tekintheti meg.

Helyi operációs rendszer

[z/OS] A beállítást akkor adja meg, ha alkalmazáskiszolgáló felhasználói nyilvántartásként az erőforrás hozzáférés-vezérlési szolgáltatása (RACF) vagy a rendszerjogosultsági szolgáltatás (SAF) szabványnak megfelelő konfigurált biztonsági kiszolgálót kívánja használni.

[AIX Solaris HP-UX Linux Windows] [IBM i] Nem root UNIX felhasználóként vagy többcsomópontos környezetben való futtatáskor nem használhat helyi operációs rendszert.

[AIX Solaris HP-UX Linux Windows] A helyi operációs rendszer nyilvántartás csak akkor érvényes, ha tartományvezérlőt használ vagy ha a WebSphere Application Server, Network Deployment cella egyetlen gépen helyezkedik el. Utóbbi esetben nem terjeszthet több csomópontot egy cellában több gépen, mivel a helyi operációs rendszer használata esetén ez a beállítás nem érvényes.

Önálló LDAP nyilvántartás

A beállítással önálló LDAP nyilvántartás beállításokat használ külső LDAP könyvtárban lévő felhasználók és csoportok esetén. Ha a biztonság engedélyezett és az alábbi tulajdonságok bármelyike módosításra kerül, akkor lépjen át a Biztonság > Globális biztonság oldalra, majd kattintson az Alkalmaz vagy az OK gombra a módosítások érvényesítéséhez.

Megjegyzés: A beállítás nem egyetlen LDAP nyilvántartást valósít meg, mivel több LDAP kiszolgáló támogatott.

Önálló egyéni nyilvántartás

A beállítással létrejön a com.ibm.websphere.security.UserRegistry felületet megvalósító önálló egyéni nyilvántartás. Biztonság alkalmazása esetén bármely tulajdonság módosításának érvényesítéséhez a Globális biztonság oldalon kattintson az Alkalmaz vagy az OK gombra.

Információk	Érték
Alapértelmezett:	Tiltott

Beállítás...

Válassza ki a globális biztonsági beállítások megadásához.

Web és SIP biztonság

A Hitelesítés szakaszban bontsa ki a Web és SIP biztonság ágat hivatkozások megjelenítéséhez az alábbiakhoz:

Általános beállítások
Egyszeri bejelentkezés (SSO)
SPNEGO webes hitelesítés
Megbízhatóság hozzárendelése

Általános beállítások

A webes hitelesítés beállításainak megadásához válassza ezt a lehetőséget.

Egyszeri bejelentkezés (SSO)

Kiválasztásával az egypontos bejelentkezés (SSO) konfigurációs értékei adhatók meg.

SSO támogatással a webfelhasználók a WebSphere Application Server erőforrások elérésekor, például HTML, JavaServer lapok (JSP) fájlok, szervletek, EJB-komponensek, és Lotus Domino erőforrások elérésekor összesen egyszer hitelesítenek.

SPNEGO webes hitelesítés

Az Egyszerű és védett GSS-API egyeztetési mechanizmus (SPNEGO) lehetőséget nyújt webügyfelek és a kiszolgáló számára, hogy a kommunikációt engedélyező webes hitelesítési protokollal egyeztessenek.

Megbízhatóság hozzárendelése

A megbízhatóság hozzárendelés beállításainak megadásához válassza ezt a lehetőséget. Megbízhatóság hozzárendeléssel fordított proxykiszolgálók csatlakoztathatók alkalmazáskiszolgálókhoz.

Használhatja a globális biztonsági beállításokat vagy személyre szabhatja egy tartomány beállításait.

Megjegyzés: Az megbízhatóság hozzárendelés elfogók (TAI-k) használata SPNEGO hitelesítéshez elavult. Az SPNEGO webes hitelesítési oldalai segítségével az SPNEGO már sokkal egyszerűbben konfigurálható.

RMI/IIOP biztonság

A Hitelesítés szakaszban bontsa ki a RMI/IIOP és SIP biztonság ágat hivatkozások megjelenítéséhez az alábbiakhoz:

CSIv2 bejövő kommunikáció
CSIv2 kimenő kommunikáció

CSIv2 bejövő kommunikáció

A kiszolgáló által Objektumkezelési csoport (OMG) Közös biztonságos együttműködés (CSI) hitelesítési protokollal kapott kérések hitelesítési beállításainak és ugyanezen protokollal elfogadott kapcsolatok szállítási beállításainak megadásához válassza ezt a lehetőséget.

A hitelesítési jellemzők három egyidejűleg használható hitelesítési réteget tartalmaznak:

CSIv2 attribútum réteg. Az attribútum réteg egy felsőbb szintű kiszolgálótól származó, már hitelesített azonosságjelsort tartalmazhat. Ez a réteg a legnagyobb prioritású, utána következik az üzenetréteg, majd a szállítási réteg. Ha egy ügyfél mind a hármat küldi, akkor csak az attribútum réteg lesz figyelembe véve. SSL ügyféltanúsítványt azonosságként csak akkor lehet használni, ha a kérés során csak ezek az információk jelennek meg. Az ügyfél kiválasztja a névtérből az együttműködő objektum hivatkozást (IOR), majd kiolvassa a címkével megjelölt komponens értékeit a kiszolgáló biztonsági igényének meghatározásához.
CSIv2 szállítási réteg. A szállítási réteg a legalsó réteg, azonosságként Védett socket réteg (SSL) ügyféltanúsítványt tartalmazhat.
CSIv2 üzenetréteg. Az üzenetréteg felhasználói azonosítót és jelszót vagy egy lejárattal rendelkező hitelesített tokent tartalmazhat.

CSIv2 kimenő kommunikáció

A kiszolgáló által Objektumkezelési csoport (OMG) Közös biztonságos együttműködés (CSI) hitelesítési protokollal küldött kérések hitelesítési beállításainak és ugyanezen protokollal kezdeményezett kapcsolatok szállítási beállításainak megadásához válassza ezt a lehetőséget.

A hitelesítési jellemzők három egyidejűleg használható hitelesítési réteget tartalmaznak:

CSIv2 attribútum réteg. Az attribútum réteg egy felsőbb szintű kiszolgálótól származó, már hitelesített azonosságjelsort tartalmazhat. Ez a réteg a legnagyobb prioritású, utána következik az üzenetréteg, majd a szállítási réteg. Ha egy ügyfél mind a hármat küldi, akkor csak az attribútum réteg lesz figyelembe véve. SSL ügyféltanúsítványt azonosságként csak akkor lehet használni, ha a kérés során csak ezek az információk jelennek meg. Az ügyfél kiválasztja a névtérből az együttműködő objektum hivatkozást (IOR), majd kiolvassa a címkével megjelölt komponens értékeit a kiszolgáló biztonsági igényének meghatározásához.
CSIv2 szállítási réteg. A szállítási réteg a legalsó réteg, azonosságként Védett socket réteg (SSL) ügyféltanúsítványt tartalmazhat.
CSIv2 üzenetréteg. Az üzenetréteg felhasználói azonosítót és jelszót vagy egy lejárattal rendelkező hitelesített tokent tartalmazhat.

Java hitelesítési és jogosultságkezelési szolgáltatás

A Hitelesítés szakaszban bontsa ki a Java hitelesítési és jogosultságkezelési szolgáltatás ágat hivatkozások megjelenítéséhez az alábbiakhoz:

Alkalmazás bejelentkezések
Rendszerbejelentkezések
J2C hitelesítési adatok

Alkalmazás bejelentkezések

Ezzel a lehetőséggel JAAS által használt bejelentkezési konfigurációkat határozhat meg.

Ne távolítsa el a ClientContainer, DefaultPrincipalMapping és WSLogin bejelentkezési konfigurációkat, mert más alkalmazásoknak szükségük lehet rájuk. Ha ezek a konfigurációk eltávolításra kerülnek, akkor egyes alkalmazások meghibásodhatnak.

Rendszerbejelentkezések

Válassza ezt a lehetőséget a rendszer erőforrásai által használt JAAS bejelentkezési konfigurációk meghatározásához, beleértve a hitelesítési mechanizmust, azonosítókiosztást és hitelesítési adatok kiosztását.

J2C hitelesítési adatok

A Java hitelesítési és jogosultságkezelési szolgáltatáshoz (JAAS) tartozó Java 2 Connector (J2C) hitelesítési adatok beállításainak meghatározásához válassza ezt a lehetőséget.

Használhatja a globális biztonsági beállításokat vagy személyre szabhatja egy tartomány beállításait.

LTPA

A hitelesítési információk titkosításához válassza ki ezt a lehetőséget, így az alkalmazáskiszolgáló biztonságos módon küldhet adatokat egyik kiszolgálóról a másikra.

A kiszolgálók közt cserélt hitelesítési információk titkosítása magába foglalja az Egyszerűsített külső hitelesítés (LTPA) mechanizmust.

Kerberos és LTPA

A hitelesítési információk titkosításához válassza ki ezt a lehetőséget, így az alkalmazáskiszolgáló biztonságos módon küldhet adatokat egyik kiszolgálóról a másikra.

A kiszolgálók közt cserélt hitelesítési információk titkosítása magába foglalja a Kerberos mechanizmust.

Megjegyzés: Ez a lehetőség csak a Kerberos konfigurálása után választható ki.

Kerberos konfiguráció

Válassza ki a hitelesítési információk titkosításához, hogy így az alkalmazáskiszolgáló biztonságosan küldhessen adatokat az egyik kiszolgálóról a másikra.

A kiszolgálók között kicserélt hitelesítési információk titkosítása magában foglalja az LTPA KRB5 mechanizmusát.

Hitelesítési gyorsítótár beállítások

Válassza ki a hitelesítési gyorsítótár beállítások megadásához.

Java Authentication SPI (JASPI) engedélyezése

Jelölje be a Java hitelesítési SPI (JASPI) hitelesítés használatának engedélyezéséhez.

Ezután kattintson a Szolgáltatók elemre egy JASPI hitelesítési szolgáltató és a kapcsolódó hitelesítési modulok létrehozásához vagy szerkesztéséhez a globális biztonsági konfigurációban.

Tartomány által minősített felhasználói nevek használata

Megadja, hogy a metódusok (például getUserPrincipal() ) által visszaadott felhasználói nevek az őket tartalmazó biztonsági tartományok által minősítettek legyenek.

Biztonsági tartományok

A Biztonsági tartományok hivatkozással további biztonsági konfigurációkat állíthat be felhasználói alkalmazásoknak.

Ha szeretne például a felhasználói alkalmazások egy halmazának a globális szinten használttól eltérő felhasználói nyilvántartás készletet, akkor hozzon létre egy biztonsági konfigurációt azzal a felhasználói nyilvántartással, és társítsa hozzá az alkalmazások halmazához. Ezek a kiegészítő biztonsági konfigurációk különféle hatókörökhöz társíthatók (cella, fürtök/kiszolgálók, SIBus-ok). Ha a biztonsági beállítások hatókörhöz lettek társítva, akkor azon hatókör összes felhasználói alkalmazása azt a biztonsági konfigurációt fogja használni. Részletesebb információkért lásd: Több biztonsági tartomány.

Az egyes biztonsági attribútumok esetében használhatja a globális biztonsági beállításokat vagy személyre szabhatja a tartomány beállításait.

Külső hitelesítési szolgáltatók

Ezzel a lehetőséggel megadható, hogy az alapértelmezett hitelesítési konfiguráció vagy külső hitelesítés szolgáltató kerüljön felhasználásra.

A külső szolgáltatóknak a Java tárolókra vonatkozó jogosultságkezelési szerződési (JACC) meghatározáson kell alapulniuk a Java 2 Platform, Enterprise Edition (Java EE) hitelesítés kezeléséhez. Ha nem állított be külső biztonsági szolgáltatót JACC hitelesítés szolgáltatónak, akkor ne módosítsa a hitelesítés szolgáltatóra vonatkozó oldalak beállításait.

Egyéni tulajdonságok

Ezen az oldalon tetszőleges név-érték párokat adhat meg, ahol a név egy tulajdonság kulcsa, az érték pedig egy karaktersorozat.

Fájlnév: usec_secureadminappinfra.html