Java 认证和授权服务的系统登录配置条目设置

在将集成密码服务设施 (ICSF) 用作认证机制时处理登录请求。

处理远程方法调用 (RMI)、Web 应用程序和大多数其他登录协议的入站登录请求。

RMI_INBOUND

此登录配置处理入站 RMI 请求的登录。通常，这些登录是对 Enterprise JavaBeans (EJB) 文件进行认证访问的请求。在使用 RMI 连接器时，这些登录可能是 Java 管理扩展 (JMX) 的请求。

WEB_INBOUND

此登录配置处理 Web 应用程序请求（这包括 Servlet 和 JavaServer Pages (JSP) 文件）的登录。此登录配置可以与从信任关联拦截器 (TAI)（如果已配置）生成的输出交互作用。传递给 WEB_INBOUND 登录配置的主体集可能包含 TAI 生成的对象。

DEFAULT

此登录配置处理大多数其他协议和内部认证所进行的入站请求的登录。

这三个登录配置将传递以下回调信息，这些配置中的登录模块将处理此信息。这些回调并不同时传递。然而，这些回调的组合确定了应用程序服务器认证用户的方式。

回调

callbacks[0] = new javax.security.auth.callback.
NameCallback(“Username:”);

职责

收集登录期间提供的用户名。此信息可以是以下登录类型的用户名：

• 用户名和密码登录，这称为基本认证。
• 仅使用用户名进行身份断言，不需要密码。

回调

callbacks[1] = new javax.security.auth.callback.
PasswordCallback(“Password:”, false);

职责

收集登录期间提供的密码。允许使用空密码，空密码用于支持身份断言。

回调

callbacks[2] = new com.ibm.websphere.security.auth.callback.
WSCredTokenCallbackImpl(“Credential Token:”);

职责

在登录期间收集轻量级第三方认证 (LTPA) 令牌或其他令牌类型。通常，不存在用户名和密码时出现此信息。

回调

callbacks[3] = new com.ibm.wsspi.security.auth.callback.
WSTokenHolderCallback(“Authz Token List:”);

职责

收集从 WSOpaqueTokenHelper 调用返回的 TokenHolder 对象的 ArrayList 列表。此回调使用 createTokenHolderListFromOpaqueToken 方法，并将公共安全互操作性 V2 (CSIv2) 授权令牌用作输入。

限制： 仅当启用了安全性属性传播选项并且此登录是传播登录时才出现此回调。在传播登录中，通过请求传播了足够的安全性属性，因而不必访问用户注册表来获取其他属性。必须对出站认证和 入站认证都启用安全性属性传播。

可以通过完成以下步骤来对 CSIv2 出站认证启用安全性属性传播选项：

1. 单击安全性 > 全局安全性。
2. 在“认证”下，展开 RMI/IIOP 安全性，然后单击 CSIv2 出站认证。
3. 启用安全性属性传播选项。

可以通过完成以下步骤来对 CSIv2 入站认证启用安全性属性传播选项：

1. 单击安全性 > 全局安全性。
2. 在“认证”下，展开 RMI/IIOP 安全性，然后单击 CSIv2 入站认证。
3. 启用安全性属性传播选项。

在系统登录配置中，应用程序服务器根据回调收集的信息来认证用户。然而，定制登录模块不需要根据任何这些回调操作。以下列表说明了这些回调的典型组合：

• 仅 callbacks[0] = new javax.security.auth.callback.NameCallback(“Username:”); 回调

  以下登录时发生此回调：CSIv2 身份断言；Web 和 CSIv2 X509 证书登录；旧样式信任关联拦截器登录，等等。在 Web 和 CSIv2 X509 证书登录中，应用程序服务器将证书映射到用户名。此回调由任何仅使用用户名建立信任的登录类型使用。

• callbacks[0] = new javax.security.auth.callback.NameCallback(“Username:”); 回调和 callbacks[1] = new javax.security.auth.callback.PasswordCallback(“Password:”, false); 回调。

  此回调组合通常用于基本认证登录。大多数用户认证使用这两种回调进行。

• 仅 callbacks[2] = new com.ibm.websphere.security.auth.callback.WSCredTokenCallbackImpl(“Credential Token:”);
  此回调用于验证轻量级第三方认证 (LTPA) 令牌。此验证通常是在单点登录 (SSO) 或下游登录期间发生的。每当请求来自应用程序服务器而不是纯客户机时，LTPA 令牌就会流向目标服务器。对于单点登录 (SSO)，在 Cookie 中接收 LTPA 令牌，并且使用该令牌来进行登录。如果定制登录模块需要 LTPA 令牌中的用户名，那么它可以使用以下方法检索令牌中的唯一标识：

  com.ibm.wsspi.security.token.WSSecurityPropagationHelper.
  validateLTPAToken(byte[])

  检索唯一标识后，使用以下方法获取用户名：

  com.ibm.wsspi.security.token.WSSecurityPropagationHelper.
  getUserFromUniqueID(uniqueID)

  要点： 每当将定制登录模块插入到应用程序服务器登录模块前面，并且它使用凭证映射服务更改了标识时，如果存在 LTPA 令牌，此登录模块就必须验证该令牌，这一点十分重要。调用以下方法足以验证 LTPA 令牌中的信任：

  com.ibm.wsspi.security.token.WSSecurityPropagationHelper.
  validateLTPAToken(byte[])

  接收服务器的 LTPA 密钥必须与发送服务器相同，这样此验证才能成功。当存在 LTPA 令牌时，如果未验证此令牌，就会出现安全漏洞。
• 先前提到的任何回调与 callbacks[3] = new com.ibm.wsspi.security.auth.callback.WSTokenHolderCallback(“Authz Token List:”); 回调的组合。
  此回调表明某些传播属性达到了服务器。传播的属性仍然需要以下某个认证方法：

  • callbacks[0] = new javax.security.auth.callback.
    NameCallback(“Username:”);

  • callbacks[1] = new javax.security.auth.callback.
    PasswordCallback(“Password:”, false);

  • callbacks[2] = new com.ibm.websphere.security.auth.callback.
    WSCredTokenCallbackImpl(“Credential Token:”);

  如果已将属性从纯客户机添加至主体集，那么 NameCallback 和 PasswordCallback 回调将认证信息，然后令牌保持器中已序列化的对象会添加至已认证的此主体集。

  如果同时启用 CSIv2 身份断言和传播，应用程序服务器就会使用 NameCallback 回调和令牌保持器（它包含传播的所有属性）以将大部分对象反序列化。因为与 CSIv2 可信服务器列表中指示的服务器建立了信任关系，所以应用程序服务器使用 NameCallback 回调。要指定可信的服务器，完成以下步骤：

  1. 单击安全性 > 全局安全性。
  2. 在“认证”下，单击 CSIv2 入站认证。

  定制登录模块需要处理定制串行化。有关更多信息，请参阅信息中心中的“安全性属性传播”。

当 com.ibm.CSI.rmiOutboundLoginEnabled 或 com.ibm.CSIOutboundPropagationEnabled 属性为 true 时，处理发送出站到另一台服务器的远程方法调用（RMI）请求。

此登录配置确定目标服务器的安全能力及其安全域。当应用程序服务器向下游既发送认证信息又发送授权信息时，该应用程序服务器就不必为了进行授权而再次访问用户 注册表和查找用户的安全性属性。另外，在发送服务器上添加的任何定制对象都必须存在于下游服务器上的主体集中。

在 RMI_OUTBOUND 登录配置中可以使用以下回调。可以使用此回调返回的 com.ibm.wsspi.security.csiv2.CSIv2PerformPolicy 对象来查询此特定出站请求的安全策略。此查询可以帮助确定目标域是否与当前域不同，以及应用程序服务器是否必须映射该域。有关更多信息，请参阅信息中心中的“配置指向另一目标域的出站映射”。

回调

callbacks[0] = new WSProtocolPolicyCallback(“Protocol Policy Callback: ”);

职责

为此登录模块提供有关出站调用的特定于协议的策略信息。此信息用于确定安全性级别，包括目标域、目标安全需求和合并的安全需求。

以下方法获取此特定登录模块的 CSIv2PerformPolicy 策略：

csiv2PerformPolicy = (CSIv2PerformPolicy)
((WSProtocolPolicyCallback)callbacks[0]).getProtocolPolicy();

与 RMI 不同的协议可能有不同类型的策略对象。

有关更多信息，请参阅信息中心中的“配置指向另一目标域的出站映射”。

将简单 WebSphere 认证机制 (SWAM) 用作认证方法时，处理单台服务器环境中的登录请求。

注： 在应用程序服务器 V8.5 中，不推荐使用 SWAM，在将来的发行版中将移除 SWAM。

此登录配置使您能够将轻量级目录访问协议 (LDAP) 用户注册表中的标识映射至系统授权工具 (SAF) 用户标识。

注： 在应用程序服务器 V8.5 中，不推荐使用 SWAM，在将来的发行版中将移除 SWAM。

处理使用身份断言的 Web Service 安全性的登录配置请求。

此登录配置适用于 Web Service 安全性草稿 13 JAX-RPC (V5.x) 应用程序。有关更多信息，请参阅信息中心中的“身份断言认证方法”。

处理使用身份断言的 Web Service 安全性的登录配置请求。

此登录配置适用于 Web Service 安全性 V1.0 JAX-RPC 应用程序。

可以为 JAAS IDAssertionUsernameToken 登录模块配置定制属性 com.ibm.wsspi.wssecurity.auth.module.IDAssertionLoginModule.disableUserRegistryCheck。此属性是 Web Service 安全性身份断言 JAAS 登录模块 wssecurity.IDAssertionUsernameToken 的选项。此属性指示该登录模块在处理入站标识令牌时不应该执行用户注册表检查。

在公用密钥密码术标准 #7 (PKCS7) 对象中验证具有证书撤销列表的 X.509 证书。

此登录配置用于 V6.0.x 系统。

用公共密钥基础结构 (PKI) 路径验证 X.509 证书。

此登录配置用于 V6.0.x 系统。

处理使用数字签名验证的 Web Service 安全性的登录配置请求。

此登录配置用于 V5.x 系统。

验证基本认证（用户名和密码）。

如果使用 JAX-RPC 运行时，那么可以为 JAAS UsernameToken 登录模块配置下列定制属性：

可以为 JAAS UsernameToken 登录模块配置定制属性 com.ibm.wsspi.wssecurity.auth.module.UsernameLoginModule.disableUserRegistryCheck。此属性是 Web Service 安全性的 UsernameToken JAAS 登录模块 com.ibm.wsspi.wssecurity.auth.module.UsernameLoginModule 的选项。此属性指示该登录模块在处理入站用户名令牌时不应该执行用户注册表检查。

通过检查证书和证书路径的有效性验证 X.509 二进制安全性令牌 (BST)。

此登录配置用于 V6.0.x 系统。

处理对 Web 容器中的组件（例如 Servlet 和 JavaServer Pages (JSP) 文件）的登录请求。

com.ibm.ws.security.web.AuthenLoginModule 登录模块在 LTPA 登录配置中预定义。您可以在 LTPA_WEB 登录配置中此模块的前后添加定制登录模块。

LTPA_WEB 登录配置可以处理使用回调处理程序传递的 HttpServletRequest 对象、HttpServletResponse 对象和 Web 应用程序名。有关更多信息，请参阅信息中心中的“示例：定制服务器端 Java 认证和授权服务认证及登录配置”。

处理 LTPA_WEB 登录配置未处理的登录请求。

此登录配置由 WebSphere Application Server V6.1 和先前版本使用。

com.ibm.ws.security.server.lm.ltpaLoginModule 登录模块是在 LTPA 登录配置中预定义的。您可以在 LTPA 登录配置中此模块的前后添加定制登录模块。有关更多信息，请参阅信息中心中的“示例：定制服务器端 Java 认证和授权服务认证及登录配置”。

处理对 Web 容器中的组件（例如 Servlet 和 JavaServer Pages (JSP) 文件）的登录请求。

com.ibm.ws.security.web.AuthenLoginModule 登录模块在 LTPA 登录配置中预定义。您可以在 LTPA_WEB 登录配置中此模块的前后添加定制登录模块。

LTPA_WEB 登录配置可以处理使用回调处理程序传递的 HttpServletRequest 对象、HttpServletResponse 对象和 Web 应用程序名。有关更多信息，请参阅信息中心中的“示例：定制服务器端 Java 认证和授权服务认证及登录配置”。