SSO-Einstellungen

Gibt an, dass die SSO-Funktion aktiviert ist.

Für Webanwendungen, die Seiten für formularbasierte Anmeldung (Java EE FormLogin) verwenden, wie z. B. die Administrationskonsole, muss SSO (Single Sign-On) aktiviert werden. Sie können SSO nur für bestimmte erweiterte Konfigurationen inaktivieren, in denen LTPA-SSO-Cookies nicht erforderlich sind.

Diese Option gibt an, dass SSO nur aktiviert wird, wenn Anforderungen mit SSL (Secure Sockets Layer) über HTTPS-Verbindungen durchgeführt werden. Bei Aktivierung dieser Eigenschaft wird die Sicherheit automatisch aktiviert.

Gibt den Domänennamen (z. B. .ibm.com) für alle SSO-Hosts an.

Der Anwendungsserver verwendet nach dem ersten Punkt alle Informationen von links nach rechts für die Domänennamen. Wenn dieses Feld nicht definiert ist, verwendet der Web-Browser standardmäßig den Namen des Hosts, auf dem die Webanwendung ausgeführt wird, als Domänennamen. Außerdem ist Single Sign-On auf den Anwendungsserverhost beschränkt, und funktioniert nicht für andere Anwendungsserverhosts in der Domäne.

Sie können mehrere Domänen mit Semikolons (;), Leerzeichen ( ), Kommas (,) oder Pipezeichen (|) als Trennzeichen angeben. Jede Domäne wird mit dem Hostnamen in der HTTP-Anforderung verglichen, bis eine Übereinstimmung gefunden wird. Wenn Sie beispielsweise "ibm.com;austin.ibm.com" angeben und die erste Übereinstimmung in der Domäne "ibm.com" gefunden wird, führt der Anwendungsserver keinen weiteren Abgleich in der Domäne "austin.ibm.com" durch. Wenn jedoch weder in "ibm.com" noch in "austin.ibm.com" eine Übereinstimmung gefunden wird, legt der Anwendungsserver keine Domäne für das LtpaToken-Cookie fest.

Fehler vermeiden:

• Der Sitzungsmanager verwendet einen sicheren Generator für die Generierung von Sitzungs-IDs. Die Sitzungs-ID wird in das Cookie geschrieben, wenn das Cookie in der Methode "setCookie" erstellt wird. Der Sitzungsmanager stellt das LtpaToken nicht auf Cookies ein.
• Die Verwendung mehrerer Domänennamen im Feld "Domänenname" erlaubt nicht notwendigerweise die Verwendung verschiedener Domänennamen in einer einzigen Sitzung. Wenn beispielsweise der Domänenname den Wert ibm.com;lotus.com, enthält, können Sie nicht auf einen Server unter der Adresse www.ibm.com zugreifen und anschließend ein erfolgreiches SSO beim Zugriff auf die Seite www.lotus.com voraussetzen, da der Browser steuert, ob der LTPA-Cookie gesendet wird oder nicht. In diesem besonderen Fall hat der Browser bereits einen Cookie in einer Domäne für www.ibm.com und würde daher den Cookie in der Anforderung für www.lotus.com nicht senden.

gotcha

Wenn Sie den UseDomainFromURL-Wert angeben, setzt der Anwendungsserver den SSO-Domänennamen auf den Wert für die Domäne des Hosts, der in der Webadresse verwendet wird. Geht beispielsweise eine HTTP-Anforderung von server1.raleigh.ibm.com ein, setzt der Anwendungsserver den Wert für den SSO-Domänennamen auf raleigh.ibm.com.

Gibt an, dass für die Unterstützung von Servern mit früheren Versionen ein interoperables Cookie an den Browser gesendet wird.

In WebSphere Application Server Version 6 und höher wird ein neues Cookie-Format für die Weitergabe von Sicherheitsattributen benötigt. Wenn das Flag für den Interoperabilitätsmodus gesetzt ist, kann der Server maximal zwei SSO-Cookies an den Browser zurücksenden. In einigen Fällen sendet der Server einfach nur das kompatible SSO-Cookie.

Wenn die Weitergabe von Sicherheitsattributen für eingehende Webanforderungen aktiviert ist, werden Sicherheitsattribute an die Frontend-Application-Server weitergegeben. Ist diese Option inaktiviert, wird das SSO-Token (Single Sign-On) für die Anmeldung und das erneute Erstellen des Subjekts aus der Benutzerregistry verwendet.

Wenn der Anwendungsserver einem Cluster angehört und der Cluster mit einer DRS-Domäne konfiguriert ist, wird die Weitergabe durchgeführt. Falls der Datenreplikationsservice nicht konfiguriert ist, enthält das SSO-Token die Informationen zum Ursprungsserver.

Mit diesen Informationen kann der Empfangsserver einen MBean-Aufruf an den Ursprungsserver absetzen, um die ursprünglich serialisierten Sicherheitsattribute abzurufen.

Das Attribut "HttpOnly" ist ein Browserattribut, das erstellt wird, um zu verhindern, dass clientseitige Anwendungen (wie z. B. Java-Scripts) auf Cookies zugreifen, um Schwachstellen aufgrund von Cross-Site Scripting zu verhindern. Das Attribut legt fest, dass LTPA- und WASReqURL-Cookies das Feld "HTTPOnly" enthalten.

Für Sitzungscookies sehen Sie sich die Sitzungseinstellungen für Server, Anwendungen und Webmodule an.