Setări de securitate globală

Utilizaţi această pagină pentru a configura administrarea şi politica implicită de securitate a aplicaţiilor. Această configurare a securităţii se aplică politicii de securitate pentru toate funcţiile administrative şi este utilizată ca politică de securitate implicită pentru aplicaţiile de utilizator. Domeniile de securitate pot fi definite pentru a înlocui şi a personaliza politicile de securitate pentru aplicaţiile de utilizator.

Pentru a vizualiza această pagină de consolă administrativă, apăsaţi pe Securitate > Securitate globală.

[AIX Solaris HP-UX Linux Windows] [IBM i] Securitatea are impact de performanţă asupra aplicaţiilor dumneavoastră. Impactul performanţei poate varia în funcţie de caracteristicile încărcării de lucru a aplicaţiei. Mai întâi trebuie să determinaţi că este activat nivelul necesar de securitate pentru aplicaţiile dumneavoastră, şi apoi să măsuraţi impactul securităţii asupra performanţei aplicaţiilor dumneavoastră.

După ce este configurată securitatea, validaţi toate modificările asupra registrului de utilizatori sau a paginilor mecanismului de autentificare. Apăsaţi pe Aplicare pentru a valida setările registrului de utilizatori. Se face o încercare de a autentifica ID-ul serverului sau de a valida ID-ul admin (dacă se utilizează internalServerID) la registrul de utilizatori configurat. Validarea setărilor registrului de utilizatori după activarea securităţii administrative poate evita problemele când reporniţi serverul prima dată.

Vrăjitor de configurare securitate

Lansează un vrăjitor care vă permite să configuraţi setările de securitate a aplicaţiei şi administrative de bază. Acest proces restricţionează taskurile administrative şi aplicaţiile la utilizatorii autorizaţi.

Utilizând acest vrăjitor, puteţi configura securitatea aplicaţiei, securitatea resurselor sau Java 2 Connector (J2C) şi un registru de utilizatori. Puteţi configura un registru existent şi puteţi activa securitatea administrativă, de aplicaţie şi de resurse.

Când aplicaţi modificările făcute utilizând vrăjitorul de configurare a securităţii, securitatea administrativă este activată implicit.

Raport configurare securitate

Lansează un raport care adună şi afişează setările de securitate curente ale serverului de aplicaţii. Sunt adunate informaţii despre setările de securitate ale nucleului, utilizatori administrativi şi grupuri, roluri de numire CORBA şi protecţia cookie-urilor. Când sunt configurate mai multe domenii de securitate, raportul afişează configuraţia de securitate asociată cu fiecare domeniu.

O limitare curentă a raportului este aceea că nu afişează informaţiile de securitate la nivelul aplicaţiei. Raportul nu afişează nici informaţii despre securitatea Java Message Service (JMS), securitatea de magistrală sau Web Services Security.

Activare securitate administrativă

Specifică dacă să se activeze securitate administrativă pentru acest domeniu de server de aplicaţii. Securitatea administrativă necesită ca utilizatorii să se autentifice înainte de a obţine controlul administrativ asupra serverului de aplicaţii.

Pentru informaţii suplimentare, consultaţi legăturile înrudite pentru roluri administrative şi autentificare administrativă.

Când activaţi securitatea, setaţi configurarea mecanismului de autentificare şi specificaţi un ID de utilizator şi o parolă valide (sau un ID admin valid cânf se utilizează caracteristica internalServerID) în configuraţia registrului selectat.

Notă: Există o diferenţă între ID-ul de utilizator (care este de obicei numit ID admin), care identifică administratorii ce gestionează mediul, şi un ID server, care este utilizat pentru comunicaţii de la server la server. Nu este nevoie să introduceţi un ID server şi o parolă când utilizaţi caracteristica ID server intern. Totuşi, opţional, puteţi specifica un ID server şi parolă. Pentru a specifica ID-ul server şi parola, finalizaţi următorii paşi:

Apăsaţi pe Securitate > Securitate globală.
Din Magazie conturi utilizator, selectaţi magazia şi apăsaţi pe Configurare.
Specificaţi ID-ul server şi parola în secţiunea Identitate utilizator server.

[z/OS] Puteţi specifica numai opţiunea Task pornit pe z/OS când registrul de utilizatori este Local OS.

Dacă aveţi probleme, cum ar fi că serverul nu porneşte după activarea securităţii în domeniul de securitate, resincronizaţi toate fişierele din celulă la acest nod. Pentru a resincroniza fişierele, rulaţi urrmătoarea comandă din nod: syncNode -username your_userid -password your_password. Această comandă se conectează la managerul de implementare şi resincronizează toate fişierele.

[IBM i] [z/OS] Dacă serverul dumneavoastră nu reporneşte după ce activaţi securitatea administrativă, puteţi dezactiva securitatea. Deplasaţi-vă la directorul app_server_root/bin şi rulaţi comanda wsadmin -conntype NONE. La promptul wsadmin>, introduceţi securityoff şi apoi tastaţi exit pentru a reveni la un prompt de comandă. Reporniţi serverul cu securitatea dezactivată pentru a verifica toate setările incorecte prin consola administrativă.

[z/OS] Utilizatorii registrului de utilizatori Local OS: Când selectaţi Local OS ca registru de utilizatori activ, nu este nevoie să furnizaţi o parolă în configuraţia registrului de utilizatori.

Informaţii	Valoare
Valoare implicită:	Activată

Activare securitate aplicaţii

Activează securitatea pentru aplicaţiile din mediul dumneavoastră. Acest tip de securitate furnizează izolarea aplicaţiei şi cerinţe pentru autentificarea utilizatorilor aplicaţiei

În ediţiile anterioare de WebSphere Application Server, când un utilizator activează securitatea globală, securitate atât administrativă cât şi de aplicaţii este activată. În versiunea 6.1 de WebSphere Application Server, noţiunea anterioară de securitate globală este împărţită în securitate administrativă şi securitate de aplicaţii, fiecare fiind nevoie să o activaţi separat.

Ca rezultat al acestei împărţiri, WebSphere Application Server clienţii trebuie să ştie dacă securitate de aplicaţii este dezactivată pe serverul ţintă. Securitatea de administrare este activată, implicit. Securitatea aplicaţiei este dezactivată, implicit. Pentru a activa securitatea aplicaţiei, trebuie să activaţi securitatea administrativă. Securitatea aplicaţiei are efect numai când este activată securitatea administrativă.

Informaţii	Valoare
Valoare implicită:	Dezactivat

Utilizare securitate Java 2 pentru restricţionare acces aplicaţie la resursele locale.

Specifică dacă să se activeze sau să se dezactiveze verificarea permisiunii securităţii Java 2. Implicit, accesul la resursele locale nu este restricţionat. Puteţi alege să dezactivaţi securitatea Java 2, chiar atunci când este activată securitatea aplicaţiei.

Când este activată opţiunea Utilizare securitate Java 2 pentru a restricţiona accesul aplicaţiei la resurse locale, opţiunea este activată şi dacă o aplicaţie necesită mai multe permisiuni de securitate Java 2 decât dacă sunt acordate în politica implicită, aplicaţia ar putea împiedica rularea corespunzătoare până când sunt acordate permisiunile necesare fie în fişierul app.policy fie în fişierul was.policy al aplicaţiei. Excepţiile AccessControl sunt generate de aplicaţii care nu au toate permisiunile necesare. Vedeţi legăturile înrudite pentru informaţii suplimentare despre securitatea Java 2.

Informaţii	Valoare
Valoare implicită:	Dezactivat

Avertizare dacă aplicaţiile au acordate permisiuni personalizate

Specifică faptul că în timpul implementării aplicaţiei şi al pornirii aplicaţiei, runtime-ul de securitate emite un avertisment dacă aplicaţiilor li se acordă vreo permisiune personalizată. Permisiunile personalizate sunt permisiuni care sunt definite de aplicaţiile de utilizator, nu permisiuni API Java. Permisiunile Java API sunt permisiuni din pachetele java.* şi javax.*.

Serverul de aplicaţii furnizează suport pentru gestiunea fişierelor de politici. Un număr de fişiere de politici sunt disponibile în acest produs, unele dintre ele sunt statice şi altele dinamice. Politica dinamică este un şablon de permisiuni pentru un anumit tip de resursă. Nu este definită nici o bază de cod şi nu se utilizează nici o bază de cod relativă în şablonul politicii dinamice. Baza de cod reală este creată dinamic din configuraţie şi datele de runtime. Fişierul filter.policy conţine o listă de permisiuni pe care nu doriţi ca o aplicaţie să le aibă, conform Specificaţiei J2EE 1.4. Pentru informaţii suplimentare despre permisiuni, consultaţi legătura înrudită despre fişierele de politică de securitate Java 2.

Important: Nu puteţi activa această opţiune fără a activa opţiunea Utilizare securitate Java 2 pentru a restricţiona accesul aplicaţiei la resursele locale.

Informaţii	Valoare
Valoare implicită:	Dezactivat

Restricţie acces la date de autentificare resurse

Activaţi această opţiune pentru a restricţiona accesul aplicaţiei la date senzitive de autentificare de mapare Java Connector Architecture (JCA).

Luaţi în considerare activarea acestei opţiuni când ambele condiţii următoare sunt adevărate:

Este impusă securitatea Java 2.
Codul aplicaţiei primeşte permisiunea accessRuntimeClasses WebSphereRuntimePermission în fişierul was.policy găsit în fişierul arhivă a aplicaţiilor de întreprindere (EAR). De exemplu, codul aplicaţiei primeşte permisiunea când se găseşte următoarea linie în fişierul dumneavoastră was.policy:
```
permission com.ibm.websphere.security.WebSphereRuntimePermission "accessRuntimeClasses";
```

Opţiunea Restricţionare acces la datele de autentificare resursă adaugă o verificare a permisiunii de securitate avansată Java 2 la maparea implicită a principalului pentru implementarea WSPrincipalMappingLoginModule. Trebuie să acordaţi permisiunea explicită aplicaţiilor Java 2 Platform, Enterprise Edition (J2EE) care utilizează implementarea WSPrincipalMappingLoginModule direct în logarea Java Authentication and Authorization Service (JAAS) când sunt activate opţiunile Utilizarea securităţii Java 2 pentru a restricţiona accesul aplicaţiei la resursele locale şi Restricţionarea accesului la datele de autentificare a resurselor.

Informaţii	Valoare
Valoare implicită:	Dezactivat

Definiţie regiune curentă

Specifică setarea curentă pentru magazia de utilizatori activi.

Acest câmp este numai-citire.

Definiţii regiuni disponibile

Specifică magaziile de conturi de utilizator disponibile.

Selecţiile apar într-o listă derulantă ce conţine:

Sistem de operare local
Registru LDAP independent
Registru autonom personalizat

Setare ca fiind curent

Activează magazia de utilizatori după ce este configurată.

[AIX Solaris HP-UX Linux Windows] Este necesar LDAP sau registrul utilizatorilor personalizat când rulează ca utilizator UNIX non-root sau la rularea într-un mediu multiple-nod.

Puteţi configura setările pentru una dintre următoarele magazii de utilizatori:

Magazii federalizate

Specificaţi această setare pentru a gestiona profilurile în mai multe magazii de sub o singură regiune. Regiunea poate consta din identităţi din:

Magazia bazată pe fişiere care este construită în sistem
Una sau mai multe magazii externe
Atât magazia bazată pe fişiere, încorporată, cât şi una sau mai multe magazii externe

Notă: Numai un utilizator cu privilegii de administrator poate vizualiza configuraţia magaziilor federalizate.

Sistem de operare local

[z/OS] Specificaţi această setare dacă doriţi ca serverul dumneavoastră de securitate conform SAF (System Authorization Facility) sau Resource Access Control Facility (RACF) configurat să fie utilizat ca registru de utilizatori al serverului de aplicaţii.

[AIX Solaris HP-UX Linux Windows] [IBM i] Nu puteţi utiliza localOS în nod-multiplu sau când la rularea ca non-root pe o platformă UNIX.

[AIX Solaris HP-UX Linux Windows] Registrul sistemului de operare local este valid doar când folosiţi un controler de domeniu sau când celula WebSphere Application Server, Network Deployment se află în aceeaşi celulă . În cazul din urmă, nu puteţi împrăştia mai multe noduri dintr-o celulă pe mai multe maşini pentru că această configuraţie, utilizând registrul de utilizatori al sistemului de operare local, nu este validă.

Registru LDAP independent

Specificaţi setarea pentru a folosi setările pentru registrul LDAP autonom când utilizatorii şi grupurile se găsesc într-un director LDAP extern. Când este activată securitatea şi vreuna dintre aceste proprietăţi se modifică, deplasaţi-vă la pagina Securitate > Securitate globală şi faceţi clic pe Aplicare sau OK pentru a valida modificările.

Notă: Întrucât sunt suportate mai multe servere LDAP, această setare nu implică un registru LDAP.

Registru autonom personalizat

Specificaţi această setare pentru a implementa propriul dumneavoastră registru autonom personalizat care implementează interfaţa com.ibm.websphere.security.UserRegistry. Când este activată securitatea şi vreuna dintre aceste proprietăţi se modifică, deplasaţi-vă la panoul Securitate globală şi apăsaţi pe Aplicare sau OK pentru a valida modificările.

Informaţii	Valoare
Valoare implicită:	Dezactivat

Configurare...

Selectaţi pentru a configura setările de securitate globală.

Securitate SIP şi web

Din Autentificare, expandaţi Securitate SIP şi web pentru a vedea legăturile la:

Setări generale
SSO (Single sign-on)
Autentificare web SPNEGO
Asociere de încredere

Setări generale

Selectaţi pentru a specifica setările pentru autentificarea web.

SSO (Single sign-on)

Selectaţi pentru a specifica valorile de configurare pentru semnare unică (SSO).

Cu suport SSO, utilizatorii web se pot autentifica o dată când accesează atât resursele WebSphere Application Server , precum fişiere HTML, JavaServer Pages (JSP), servlets, enterprise beans, cât şi resurse Lotus Domino.

Autentificare web SPNEGO

Simple and Protected GSS-API Negotiation Mechanism (SPNEGO) furnizează o cale pentru clienţii web şi server sî negocieze protocolul de autentificare web care este folosit pentru a permite comunicarea.

Asociere de încredere

Selectaţi să se specifice setările pentru asocierea de încredere. Asocierea de încredere este utilizată pentru a conecta serverele proxy invers la serverele de aplicaţii.

Puteţi utiliza setările de securitate globală sau personalizaţi setările pentru un domeniu.

Notă: Utilizarea interceptorilor de asociere de încredere (TAI) pentru autentificarea SPNEGO este acum depreciată. Paginile de autentificare web SPNEGO furnizează acum o modalitate mai uşoară de a configura SPNEGO.

Securitatea RMI/IIOP

Din Autentificare, expandaţi securitatea RMI/IIOP pentru a vizualiza legăturile la:

Comunicaţii de intrare CSIv2
Comunicaţii de ieşire CSIv2

Comunicaţii de intrare CSIv2

Selectaţi pentru a specifica setările de autentificare pentru cereri care sunt primite şi setări de transport pentru conexiuni care sunt acceptate de acest server utilizând protocolul de autentificare Object Management Group (OMG) Common Secure Interoperability (CSI).

Caracteristicile de autentificare includ trei niveluri de autentificare pe care le puteţi utiliza simultan:

Nivelul de atribute CSIv2. Nivelul de atribute ar putea conţine un jeton de identitate, care este o identitate de la un server din amonte care este deja autentificat. Nivelul de identitate are prioritatea cea mai ridicată, urmat de nivelul de mesaje şi apoi de nivelul de transport. Dacă un client le trimite pe toate trei, se utilizează numai nivelul de identitate. Singurul mod de a utiliza certificatul de client SSL este dacă reprezintă singura informaţie prezentată în timpul cererii. Clientul culege IOR-ul (referinţă de obiect interoperabil) din spaţiul nume şi citeşte valorile din componenta etichetată pentru a determina de ce are nevoie serverul pentru securitate.
Nivelul de transport CSIv2. Nivelul de transport, care este cel mai jos nivel, ar putea conţine un certificat de client SSL (Secure Sockets Layer) ca identitate.
Nivelul de mesaje CSIv2. Nivelul de mesaje ar putea conţine un ID de utilizator şi parolă sau un jeton autentificat cu o expirare.

Comunicaţii de ieşire CSIv2

Selectaţi pentru a specifica setările de autentificare pentru cereri care sunt trimise şi setări de transport pentru conexiuni care sunt iniţiate de server utilizând protocolul de autentificare Object Management Group (OMG) Common Secure Interoperability (CSI).

Caracteristicile de autentificare includ trei niveluri de autentificare pe care le puteţi utiliza simultan:

Nivelul de atribute CSIv2. Nivelul de atribute ar putea conţine un jeton de identitate, care este o identitate de la un server din amonte care este deja autentificat. Nivelul de identitate are prioritatea cea mai ridicată, urmat de nivelul de mesaje şi apoi de nivelul de transport. Dacă un client le trimite pe toate trei, se utilizează numai nivelul de identitate. Singurul mod de a utiliza certificatul de client SSL este dacă reprezintă singura informaţie prezentată în timpul cererii. Clientul culege IOR-ul (referinţă de obiect interoperabil) din spaţiul nume şi citeşte valorile din componenta etichetată pentru a determina de ce are nevoie serverul pentru securitate.
Nivelul de transport CSIv2. Nivelul de transport, care este cel mai jos nivel, ar putea conţine un certificat de client SSL (Secure Sockets Layer) ca identitate.
Nivelul de mesaje CSIv2. Nivelul de mesaje ar putea conţine un ID de utilizator şi parolă sau un jeton autentificat cu o expirare.

Autentificare Java şi Serviciu de autorizare

Din Autentificare, expandaţi Java authentication and authorization service pentru a vizualiza legături la:

Logări aplicaţii
Logări sistem
Date de autentificare J2C

Logări aplicaţii

Selectaţi pentru a defini configuraţiile de logare care sunt utilizate de JAAS.

Nu înlăturaţi configuraţiile de logare ClientContainer, DefaultPrincipalMapping şi WSLogin pentru că alte aplicaţii le-ar putea utiliza. Dacă aceste configuraţii sunt înlăturate, alte aplicaţii ar putea eşua.

Logări sistem

Selectaţi pentru a defini configuraţiile de logare JAAS care sunt utilizate de resursele sistemului, inclusiv mecanismul de autentificare, maparea principală şi maparea acreditărilor.

Date de autentificare J2C

Selectaţi pentru a specifica setările pentru datele de autentificare Java Authentication and Authorization Service (JAAS) Java 2 Connector (J2C).

Puteţi utiliza setările de securitate globală sau personalizaţi setările pentru un domeniu.

LTPA

Selectaţi să criptaţi informaţiile de autentificare astfel încât serverul de aplicaţii să poată trimite datele de la un server la altul într-o manieră sigură (securizată).

Criptarea informaţiilor de autentificare care sunt schimbate între servere implică mecanismul LTPA (Lightweight Third-Party Authentication).

Kerberos şi LTPA

Selectaţi să criptaţi informaţiile de autentificare astfel încât serverul de aplicaţii să poată trimite datele de la un server la altul într-o manieră sigură (securizată).

Criptarea informaţiilor de autentificare care sunt schimbate între servere implică mecanismul Kerberos.

Notă: Kerberos trebuie configurat înainte ca această opţiune să poată fi selectată.

Configuraţie Kerberos

Selectaţi să criptaţi informaţiile de autentificare astfel încât serverul de aplicaţii să poată trimite date de la un server la altul într-o manieră sigură (securizată).

Criptarea informaţiilor de autentificare care sunt schimbate între servere implică mecanismul KRB5 de LTPA.

Setări cache autentificare

Selectaţi pentru a vă seta setările de cache de autentificare.

Activare JASPI (Java Authentication SPI)

Selectaţi pentru a activa utilizarea autentificării Java Authentication SPI (JASPI).

Puteţi apoi să faceţi clic pe Furnizori pentru a crea sau edita un furnizor de autentificare JASPI şi modulele de autentificare asociate în configuraţia de securitate globală.

Utilizare nume de utilizatori calificate cu regiune.

Specifică faptul că numele de utilizator care sunt returnate de metode, cum ar fi metoda getUserPrincipal(), sunt calificate cu regiunea de securitate în care se află.

Domenii de securitate

Utilizaţi legătura Domeniu securitate pentru a configura configuraţii de securitate suplimentare pentru aplicaţiile de utilizator.

De exemplu, dacă doriţi să utilizaţi un alt registru de utilizatori pentru un set de aplicaţii de utilizator decât cel utilizat la nivelul global, puteţi crea o configuraţie de securitate cu acel registru de utilizatori şi îl asociaţi cu acel set de aplicaţii. Aceste configuraţii de securitate suplimentare pot fi asociate cu diverse domenii (celulă, cluster-e/servere, SIBus-uri). Odată ce configuraţiile de securitate au fost asociate cu un domeniu, toate aplicaţiile de utilizator din acel domeniu utilizează această configuraţie de securitate. Citiţi despre Domenii de securitate multiple pentru informaţii detaliate suplimentare.

Pentru fiecare atribut de securitate, puteţi utiliza setările de securitate globală sau personalizaţi setările pentru domeniu.

Furnizori de autorizare externi

Selectaţi pentru a specifica dacă să se utilizeze configuraţia de autorizare implicită sau un furnizor de autorizare extern.

Furnizorii externi trebuie să fie bazaţi pe specificarea Java Authorization Contract for Containers (JACC) pentru a manipula autorizarea Java Platform, Enterprise Edition (Java EE). Nu modificaţi nicio setare de pe paginile furnizorului de autorizări, în afară de cazul în care aţi configurat un furnizor de securitate extern ca furnizor de autorizări JACC.

Proprietăţile personalizate

Selectaţi pentru a specifica perechi de date nume-valoare, unde numele este o cheie de proprietate şi valoarea este un şir.

Numele fişierului: usec_secureadminappinfra.html