Setările comunicaţiilor de ieşire CSIv2 (Common Secure Interoperability Version 2)

Specifică să se suporte propagarea atributelor de securitate în timpul cererilor de logare. Când selectaţi această opţiune, serverul de aplicaţii reţine informaţii suplimentare despre cererea de logare, cum ar fi tăria autentificării utilizate şi reţine identitatea şi locaţia originatorului cererii.

Dacă nu selectaţi această opţiune, serverul de aplicaţii nu acceptă ca vreo informaţie de logare suplimentară să se propage la serverele din aval.

Specifică faptul că o aserţiune de identitate este un mod de a presupune identităţi de la un server la altul în timpul unei invocări în aval EJB (Enterprise JavaBeans.

Acest server nu autentifică din nou identitatea presupusă pentru că are încredere în serverul din amonte. Aserţiunea identităţii are prioritate faţă de toate celelalte tipuri de autentificare.

Aserţiunea identităţii este realizată în nivelul de atribute şi se aplică numai pe servere. Principalul determinat la server se bazează pe regulile de precedenţă. Dacă se realizează aserţiunea identităţii, identitatea este întotdeauna derivată din nivelul de atribute. Dacă se utilizează autentificarea de bază fără aserţiunea identităţii, identitatea este întotdeauna derivată din nivelul de mesaje. În cele din urmă, dacă autentificarea certificatului de client SSL este realizată fie fără autentificare de bază, fie fără aserţiunea identităţii, atunci identitatea este derivată din nivelul de transport.

Identitatea presupusă este acreditarea de invocare care este determinată de modul RunAs pentru bean-ul enterprise. Dacă modul RunAs este Client, identitatea este identitatea clientului. Dacă modul RunAs este System, identitatea este identitatea serverului. Dacă modul RunAs este Specified (Specificat), identitatea este cea specificată. Serverul de recepţie primeşte identitatea într-un jeton de identitate şi, de asemenea, primeşte identitatea serverului emiţător într-un jeton de autentificare client. Serverul de recepţie validează identitatea serverului emiţător ca identitate de încredere prin caseta de intrare a ID-urilor de servere de încredere (Trusted Server IDs). Introduceţi o listă de nume de principal separate prin bare verticale (|), de exemplu, serverid1|serverid2|serverid3.

Toate tipurile de token-uri de identitate mapează la câmpul ID de utilizator al registrului de utilizatori activi. Pentru un jeton de identitate ITTPrincipal, acest jeton se mapează unu-la-unu cu câmpurile de ID utilizator. Pentru un jeton de identitate ITTDistinguishedName, valoarea de la primul semn egal este mapată la câmpul ID utilizator. Pentru un jeton de identitate ITTCertChain, valoarea de a primul semn egal al numelui distinctiv este mapată la câmpul ID utilizator.

La autentificarea la un registru de utilizatori LDAP, filtrele LDAP determină cum sunt mapate identităţile de tipul ITTCertChain şi ITTDistinguishedName la registru. Dacă tipul jetonului este ITTPrincipal, atunci principalul este mapat la câmpul UID în registrul LDAP.

Specifică identitatea de server pe care serverul de aplicaţii o utilizează pentru a stabili încrederea cu serverul ţintă. Identitatea serverului poate fi trimisă utilizând una dintre următoarele metode:

• Un ID server şi parolă când parola serverului este specificată în configuraţia registrului.
• Un ID server într-un token LTPA (Lightweight Third Party Authentication) când se utilizează ID-ul de server intern.

Specifică un utilizator alternativ ca identitate de încredere care este trimisă la serverele ţintă în loc să se trimită identitatea serverului.

Această opţiune este recomandată pentru aserţiunea identităţii. Identitatea este automat de încredere când este trimisă în aceeaşi celulă şi nu trebuie să fie în lista de identităţi de încredere în aceeaşi celulă. Totuşi, această identitate trebuie să fie în registrul de servere ţintă dintr-o celulă externă, iar ID-ul de utilizator trebuie să fie pe lista de identităţi de încredere sau identitatea este respinsă în timpul evaluării încrederii.

Specifică identitatea de încredere care este trimisă de la serverul emiţător la serverul receptor.

Dacă specificaţi o identitate în acest câmp, aceasta poate fi selectată pe panoul pentru magazia contului dumneavoastră de utilizator configurată. Dacă nu specificaţi o identitate, se trimite un jeton LTPA (Lightweight Third Party Authentication) între servere.

Specifică o listă separată prin bare verticale (|) de ID-uri de utilizator administrator server de încredere, care sunt de încredere pentru a realiza aserţiunea identităţii pe acest server. De exemplu, serverid1|serverid2|serverid3. Serverul de aplicaţii suportă caracterul virgulă (,) ca delimitator de listă pentru compatibilitate înapoi (invers). Serverul de aplicaţii verifică acest caracter virgulă când caracterul bară verticală (|) nu reuşeşte să găsească un ID server de încredere valid.

Specifică o listă de ID-uri de servere de încredere separate prin punct şi virgulă (;) sau virgulă (,), care sunt de încredere pentru a realiza aserţiunea identităţii pe acest server. De exemplu, serverid1;serverid2;serverid3 sau serverid1,serverid2,serverid3.

Utilizaţi această listă pentru a decide dacă un server este sau nu de încredere. Chiar dacă serverul este pe listă, serverul emiţător tot trebuie să se autentifice cu serverul receptor pentru a accepta jetonul de identitate al serverului emiţător.

Specifică parola care este asociată cu identitatea de încredere.

Confirmă parola care este asociată cu identitatea de încredere.

Specifică autentificarea client-la-server utilizând autentificare Kerberos, LTPA sau Basic (de bază).

Dacă selectaţi Autentificare de bază şi LTPA şi mecanismul de autentificare activ este LTPA, serverul se duce cu un server în aval cu un nume de utilizator, parolă sau token LTPA.

Dacă selectaţi Autentificare de bază şi KRB5 şi mecanismul de autentificare activ este KRB5, serverul se duce cu un server în aval cu un nume de utilizator, parolă, token Kerberos sau token LTPA.

Dacă nu selectaţi Autentificare de bază, serverul nu se duce cu un server în aval cu un nume de utilizator şi parolă.

Specifică dacă procesele de client se conectează la server utilizând unul dintre transporturile conectate la server.

Puteţi alege fie să utilizaţi SSL, TCP/IP sau Ambele ca transport de ieşire pe care îl suportă un server. Dacă specificaţi TCP/IP, serverul suportă numai TCP/IP şi nu poate iniţia conexiuni SSL cu serverele din aval. Dacă specificaţi suportat-SSL, acest server poate iniţia conexiuni TCP/IP sau SSL. Dacă specificaţi necesar-SSL, acest server trebuie să utilizeze SSL pentru a iniţia conexiuni la serverele din aval. Când specificaţi SSL, hotărâţi-vă ce set de setări de configurare SSL doriţi să utilizaţi pentru configuraţia de ieşire.

Această decizie determină ce fişier de chei şi ce fişier de încredere să se utilizeze pentru conexiunile de ieşire la serverele din aval.

Specifică o listă de setări SSL predefinite din care să alegeţi pentru conexiunea de intrare.

Informaţii	Valoare
Tip de date:	Şir
Valoare implicită:	DefaultSSLSettings
Valoare implicită:	DefaultIIOPSSL
Interval:	Toate setările SSL configurate în SSL Configuration Repertoire

Specifică dacă se utilizează un certificat de client de la depozitul de chei configurat pentru autentificare la server când se face conexiunea SSL între acest server şi un server din aval, dat fiind că serverul din aval suportă autentificarea certificatului de client.

În mod normal, autentificarea certificatului de client are o performanţă mai ridicată decât autentificarea nivelului de mesaje, dar necesită o setare suplimentară. Aceşti paşi suplimentari includ verificarea că acest server are un certificat personal şi că serverul din aval are certificatul semnatarului pentru acest server.

Specifică tipul de configuraţie de logare pe sistem de utilizat pentru autentificarea de intrare.

Puteţi adăuga module de logare personalizate, apăsând pe Securitate Securitate globală. De la Autentificare, faceţi clic pe Java Authentication and Authorization ServiceLogări sistem.

Selectaţi această opţiune pentru a activa sesiunile stateful, care sunt utilizat în principal pentru îmbunătăţiri ale performanţei.

Primul contact dintre un client şi un server trebuie să se autentifice complet. Totuşi, toate contactele ulterioare cu sesiuni valide reutilizează informaţiile de securitate. Clientul transmite un ID contextual la server şi ID-ul este utilizat pentru a căuta sesiunea. ID-ul contextual are ca domeniu conexiunea, ceea ce garantează unicitatea. Ori de câte ori sesiunea de securitate nu este validă şi este activată reîncercarea autentificării, care este valoarea implicită, interceptorul de securitate pe partea de client invalidează sesiunea pe parte de client şi lansează din nou cererea fără ştiinţa utilizatorului. Această situaţie ar putea apărea dacă sesiunea nu există pe server, de exemplu, serverul a eşuat şi a reluat operaţia. Când această valoare este dezactivată, fiecare invocare de metodă trebuie să se autentifice din nou.

Specifică dacă să se limiteze dimensiunea memoriei cache a sesiunii CSIv2.

Când activaţi această opţiune, trebuie să setaţi valori pentru opţiunile Dimensiune maximă cache şi Timeout sesiune nefolosită. Când nu activaţi această opţiune, memoria cache a sesiunii CSIv2 nu este limitată.

În versiuni anterioare ale serverului de aplicaţii, este posibil să fi setat această valoare ca proprietate personalizată com.ibm.websphere.security.util.csiv2SessionCacheLimitEnabled. În această versiune de produs, este recomandat să setaţi această valoare utilizând acest panou al consolei administrative şi nu ca proprietate personalizată.

Specificaţi dimensiunea maximă a memoriei cache a sesiunii după care sesiunile expirate sunt şterse din cache.

Sesiunile expirate sunt definite ca sesiuni care sunt nefolosite mai mult decât timpul care este specificat în câmpul Timeout sesiune nefolosită. Când specificatţi o valoare pentru câmpul Dimensiune maximă cache, aveţi în vedere setarea valorii sale între 100 şi 1000 de intrări.

Consideraţi specificarea unei valori pentru acest câmp dacă mediul dumneavoastră utilizează autentificare Kerberos şi are un impuls de ceas scurt pentru KDC (key distribution center) configurat. În acest scenariu, un impuls de ceas scurt este definit ca mai mic de 20 minute. Luaţi în considerare creşterea valorii acestui câmp dacă dimensiunea mică a cache-ului face ca colectarea gunoiului să ruleze atât de des încât are impact asupra performanţei serverului de aplicaţii.

În versiuni anterioare ale serverului de aplicaţii, este posibil să fi setat această valoare ca proprietate personalizată com.ibm.websphere.security.util.csiv2SessionCacheMaxSize. În această versiune de produs, este recomandat să setaţi această valoare utilizând acest panou al consolei administrative şi nu ca proprietate personalizată.

Acest câmp se aplică numai dacă activaţi ambele opţiuni Sesiuni stateful şi Activarea limitei cache de sesiune CSIv2.

Această proprietate specifică timpul în milisecunde cat o sesiune CSIv2 poate rămâne nefolosită înainte de a fi ştearsă. Sesiunea este ştearsă dacă selectaţi opţiunea Activare limită cache sesiune CSIv2 şi valoarea câmpului Dimensiune maximă cache este depăşită.

Această valoare de timeout se aplică numai dacă activaţi ambele opţiuni Sesiuni stateful şi Activarea limitei cache de sesiune CSIv2. Consideraţi descreşterea valorii pentru acest câmp dacă mediul dumneavoastră utilizează autentificare Kerberos şi are un impuls de ceas scurt pentru KDC (key distribution center) configurat. În acest scenariu, un impuls de ceas scurt este definit ca mai mic de 20 minute. O mică deviere a ceasului poate avea ca rezultat un număr mai mare de sesiuni CSIv2 respinse. Totuţi, cu o valoare mai mică pentru câmpul Timeout sesiune nefolosită, serverul de aplicaţii poate curăţa aceste sesiuni respinse mai des şi eventual reduce penele de resurse.

În versiuni anterioare ale WebSphere Application Server, aţi fi putut să setaţi această valoare ca o proprietate personalizată com.ibm.websphere.security.util.csiv2SessionCacheIdleTime. În această versiune de produs, este recomandat să setaţi această valoare utilizând acest panou al consolei administrative şi nu ca proprietate personalizată. Dacă înainte aţi setat-o ca proprietate personalizată, valoarea a fost setată în milisecunde şi convertita pe acest panou al consolei administrative în secunde. Pe acest panou al consolei administrative, trebuie să specificaţi valoarea în secunde.

Permite utilizarea modulelor de logare de ieşire RMI (Remote Method Invocation - Invocare metodă la distanţă).

Modulul de logare personalizat mapează sau finalizează alte funcţii înainte de apelul de ieşire RMI predefinit.

Dacă comunicaţia RMI/IIOP este peste regiuni diferite, utilizaţi această legătură pentru a adăuga regiunile de încredere de ieşire.

Token-urile de acreditare sunt trimise numai la regiunile care sunt de încredere. În plus, serverul receptor ar trebui să aibă încredere în această regiune utilizând configuraţia regiunilor de încredere de intrare pentru a valida jetonul LTPA.