Valores de comunicaciones de salida CSIv2 (Common Secure Interoperability Versión 2)

Especifica que se debe ofrecer soporte para la propagación de atributos de seguridad durante las solicitudes de inicio de sesión. Cuando selecciona esta opción, el servidor de aplicaciones conserva información adicional acerca de la solicitud de inicio de sesión como, por ejemplo, el nivel de autenticación utilizado, y conserva la identidad y la ubicación del que ha originado la solicitud.

Si no selecciona esta opción, el servidor de aplicaciones no acepta ningún tipo de información de inicio de sesión adicional para propagarla a los servidores receptores.

Especifica que la aserción de identidad es una forma de confirmar las identidades de un servidor a otro durante una invocación de EJB (Enterprise JavaBeans) en sentido descendente.

Este servidor no autentica de nuevo la identidad confirmada porque confía en el servidor emisor. La aserción de identidad tiene prioridad sobre los otros tipos de autenticación.

La confirmación de identidad se efectúa en la capa de atributos y sólo se puede aplicar en servidores. El principal determinado en el servidor se basa en las reglas de precedencia. Si se realiza la aserción de identidad, la identidad siempre se deriva de la capa de atributos. Si se utiliza la autenticación básica sin la aserción de identidad, la identidad siempre se deriva de la capa de mensajes. Por último, si se realiza la autenticación de certificados de cliente SSL sin la autenticación básica ni la confirmación de identidad, la identidad se deriva de la capa de transporte.

La identidad confirmada es la credencial de invocación que determina la modalidad RunAs para el enterprise bean. Si la modalidad RunAs es Cliente, la identidad es la identidad del cliente. Si la modalidad RunAs es Sistema, la identidad es la identidad del servidor. Si la modalidad RunAs es Especificada, la identidad es la identidad especificada. El servidor receptor recibe la identidad en una señal de identidad, y también recibe la identidad del servidor emisor en un símbolo de autenticación de cliente. El servidor receptor valida la identidad del servidor emisor como una identidad de confianza mediante el recuadro de entrada ID de servidor de confianza. Escriba una lista de nombres de principal separados por el símbolo de barra vertical (|), por ejemplo, serverid1|serverid2|serverid3.

Todos los tipos de señales de identidad se correlacionan con el campo de ID de usuario del registro de usuarios activo. Para una señal de identidad ITTPrincipal, se correlaciona de uno en uno con los campos de ID de usuario. Para una señal de identidad ITTDistinguishedName, el valor del primer signo igual se correlaciona con el campo del ID de usuario. Para una señal de identidad ITTCertChain, el valor del primer signo igual del nombre distinguido se correlaciona con el campo de ID de usuario.

Al autenticarse en un registro de usuarios LDAP, los filtros LDAP determinan cómo se correlaciona una identidad de tipo ITTCertChain y ITTDistinguishedName con el registro. Si el tipo de símbolo es ITTPrincipal, el principal se correlaciona con el campo UID del registro LDAP.

Especifica la identidad de servidor que utiliza el servidor de aplicaciones para establecer la confianza con el servidor de destino. La identidad del servidor puede enviarse utilizando uno de los métodos siguientes:

• Un ID de servidor y una contraseña cuando se especifica la contraseña de servidor en la configuración del registro.
• Un ID de servidor y un símbolo LTPA (Lightweight Third Party Authentication) cuando se utiliza el ID de servidor interno.

Especifica un usuario alternativo como identidad de confianza que se envía a los servidores de destino en lugar de enviar la identidad de servidor.

Esta opción es la recomendada para la aserción de identidad. La identidad se hace automáticamente de confianza cuando se envía en la misma célula y no necesita estar en la lista de identidades de confianza de la misma célula. Sin embargo, esta identidad debe estar en el registro de los servidores de destino en una célula externa y el ID de usuario debe estar en la lista de identidades de confianza o se rechazará la identidad durante la evaluación de confianza.

Especifica la identidad de confianza que se envía desde el servidor emisor al servidor receptor.

Si especifica una identidad en este campo, se puede seleccionar en el panel del depósito de cuentas de usuario configurados. Si no especifica una identidad, se envía un símbolo LTPA (Lightweight Third Party Authentication) entre los servidores.

Especifica una lista separada por el símbolo de barra vertical (|) de los ID de usuario del administrador de los servidores de confianza que pueden efectuar la aserción de identidad de este servidor. Por ejemplo, serverid1|serverid2|serverid3. El servidor de aplicaciones todavía da soporte a las comas (,) como delimitadores de lista para conservar la compatibilidad con versiones anteriores. El servidor de aplicaciones comprueba si hay comas cuando con el carácter de barra vertical (|) no se puede encontrar un ID de servidor fiable válido.

Especifica una lista separada por signos de punto y coma (;) o coma (,) de ID de servidores de confianza en los que se confía para llevar a cabo la confirmación de identidad de este servidor. Por ejemplo, serverid1;serverid2;serverid3 o serverid1,serverid2,serverid3.

Utilice esta lista para decidir si se trata de un servidor de confianza. Incluso si el servidor está en la lista, el servidor emisor deberá autenticarse con el servidor receptor para poder aceptar la señal de identidad del servidor receptor.

Especifica la contraseña asociada a la identidad de confianza.

Confirma la contraseña asociada a la identidad de confianza.

Especifica la autenticación de cliente a servidor utilizando Kerberos, LTPA o la autenticación básica.

Si selecciona Autenticación básica y LTPA y el mecanismo de autenticación activo es LTPA, el servidor acude a un servidor descendente con un nombre de usuario y contraseña o señal LTPA.

Si selecciona Autenticación básica y KRB5 y el mecanismo de autenticación activo es KRB5, el servidor acude a un servidor descendente con un nombre de usuario y contraseña, señal Kerberos o señal LTPA.

Si no selecciona Autenticación básica, el servidor no acude a un servidor descendente con un nombre de usuario y contraseña.

Especifica si los procesos de cliente se conectan al servidor utilizando uno de los transportes conectados del servidor.

Puede elegir utilizar SSL, TCP/IP o Ambos como el transporte de salida al que da soporte el servidor. Si especifica TCP/IP, el servidor sólo da soporte a TCP/IP y no puede iniciar conexiones SSL con los servidores receptores. Si especifica Da soporte a SSL, este servidor puede iniciar las conexiones TCP/IP o SSL indistintamente. Si especifica Precisa SSL, este servidor debe utilizar SSL para iniciar conexiones con servidores receptores. Cuando especifique SSL, decida qué conjunto de valores de configuración SSL desea utilizar para la configuración de salida.

Esta decisión determina qué archivo de claves y archivo de confianza se debe utilizar para conexiones de salida con los servidores receptores.

Especifica una lista de valores SSL predefinidos para elegir para la conexión de entrada.

Información	Valor
Tipo de datos:	Serie
Valor predeterminado:	DefaultSSLSettings
Valor predeterminado:	DefaultIIOPSSL
Rango:	Cualquier valor SSL que esté configurado en Repertorio de configuración SSL

Especifica si un certificado de cliente del almacén de claves configurado se va a utilizar para autenticarse en el servidor cuando se establezca la conexión SSL entre este servidor y un servidor receptor, siempre que el servidor receptor dé soporte a la autenticación de certificados de cliente.

Generalmente la autenticación de certificados de cliente un rendimiento mayor que la autenticación de la capa de mensajes pero requiere alguna configuración adicional. Estos pasos adicionales requieren la verificación de que este servidor disponga de un certificado personal y de que el servidor receptor tenga el certificado de firmante de este servidor.

Especifica el tipo de configuración de inicio de sesión del sistema que se debe utilizar para la autenticación de entrada.

Puede añadir módulos de inicio de sesión personalizados pulsando Seguridad Seguridad global. En Autenticación, pulse Java Authentication and Authorization ServiceInicios de sesión de sistema.

Seleccione esta opción para habilitar las sesiones sin estado que resultan útiles principalmente para mejorar el rendimiento.

El primer contacto entre un cliente y un servidor debe autenticarse completamente. Sin embargo, todos los demás contactos con sesiones válidas, vuelven a utilizar la información de seguridad. El cliente pasa un ID de contexto al servidor y el ID se utiliza para buscar la sesión. El ID de contexto tiene el ámbito de la conexión, lo cual garantiza la exclusividad. Cuando la sesión de seguridad no es válida y el reintento de autenticación está habilitado, que es el valor por omisión, el interceptor de seguridad del cliente invalida la sesión del cliente y vuelve a someter la petición sin que el usuario lo sepa. Esto puede producirse si la sesión no existe en el servidor, por ejemplo, el servidor ha fallado y ha reanudado la operación. Cuando este valor está inhabilitado, se debe volver a autenticar cada una de las invocaciones de método.

Especifica si se debe limitar el tamaño de la memoria caché de la sesión CSIv2.

Cuando se habilita esta opción, debe establecer valores para las opciones Tamaño máximo de memoria caché y Tiempo de espera de sesión desocupada. Si no habilita esta opción, la memoria caché de la sesión CSIv2 no está limitada.

En versiones anteriores del servidor de aplicaciones, puede haber establecido este valor como la propiedad personalizada com.ibm.websphere.security.util.csiv2SessionCacheLimitEnabled. En esta versión del producto, es aconsejable establecer este valor mediante este panel de la consola de administración y no como una propiedad personalizada.

Especifique el tamaño máximo de la memoria caché de la sesión superado el cual se suprimen las sesiones caducadas de la memoria caché.

Las sesiones caducadas se definen como sesiones que están desocupadas durante más tiempo que el especificado en el campo Tiempo de espera de sesión desocupada. Cuando especifique un valor para el campo Tamaño máximo de memoria caché, considere la posibilidad de establecer su valor entre 100 y 1000 entradas.

Considere la posibilidad de especificar un valor para este campo si el entorno utiliza la autenticación Kerberos y tiene un breve desfase horario para el centro de distribución de claves (KDC) configurado. En este caso, un breve desfase horario se define como un lapso inferior a 20 minutos. Considere aumentar el valor de este campo si el tamaño pequeño de la memoria caché hace que la recogida de basura se ejecute con tanta frecuencia que afecta al rendimiento del servidor de aplicaciones.

En versiones anteriores del servidor de aplicaciones, puede haber establecido este valor como la propiedad personalizada com.ibm.websphere.security.util.csiv2SessionCacheMaxSize. En esta versión del producto, es aconsejable establecer este valor mediante este panel de la consola de administración y no como una propiedad personalizada.

Este campo sólo se aplica si habilita las opciones Sesiones con estado y Habilitar límite de memoria caché de la sesión CSIv2.

Esta propiedad especifica el tiempo en milisegundos que una sesión CSIv2 puede permanecer desocupadas antes de que se suprima. La sesión se suprime si se selecciona la opción Habilitar límite de memoria caché de sesión CSIv2 y el valor del campo Tamaño máximo de memoria caché se supera.

Este valor de tiempo de espera sólo se aplica si habilita las opciones Sesiones con estado y Habilitar límite de memoria caché de la sesión CSIv2. Considere la posibilidad de reducir el valor de este campo si el entorno utiliza la autenticación Kerberos y tiene un breve desfase horario para el centro de distribución de claves (KDC) configurado. En este caso, un breve desfase horario se define como un lapso inferior a 20 minutos. Un pequeño desfase horario puede producir un gran número de sesiones CSIv2 rechazadas. Sin embargo, con un valor más pequeño en el campo Tiempo de espera de sesión desocupada, el servidor de aplicaciones puede limpiar estas sesiones rechazadas con más frecuencia y potencialmente reducir la escasez de recursos.

En versiones anteriores de WebSphere Application Server, podría haber establecido este valor como la propiedad personalizada com.ibm.websphere.security.util.csiv2SessionCacheIdleTime. En esta versión del producto, es aconsejable establecer este valor mediante este panel de la consola de administración y no como una propiedad personalizada. Si lo ha establecido previamente como una propiedad personalizada, el valor se ha establecido en milisegundos y se convierte a segundos en este panel de la consola de administración. En este panel de la consola de administración, debe especificar el valor en segundos.

Habilita el uso de módulos de inicio de sesión de salida RMI (Remote Method Invocation).

El módulo de inicio de sesión personalizado correlaciona o lleva a cabo otras funciones antes de la llamada de salida RMI predefinida.

Si la configuración RMI/IIOP se realiza entre diferentes reinos, utilice este enlace para añadir reinos de confianza de salida.

Las señales de credenciales sólo se envían a los reinos de confianza. Además, el servidor receptor debe confiar en este reino utilizando la configuración de reinos de confianza de entrada para validar la señal LTPA.