Plug-in for Web Servers Integration Guide

Transkript

1 IBM Tioli Access Manager for e-business Plug-in for Web Serers Integration Guide Verze 5.1 SC

2

3 IBM Tioli Access Manager for e-business Plug-in for Web Serers Integration Guide Verze 5.1 SC

4 Poznámka Než začnete použíat uedené informace a produkt, o který se opírají, přečtěte si informace uedené části Dodatek F, Poznámky, na stránce 213. Prní ydání (Listopad 2003) Toto ydání platí pro erzi 5, ydání 1, modifikace 0 IBM Tioli Access Manager (číslo produktu 5724-C08) a pro šechna následná ydání a modifikace, pokud nebude uedeno jinak noém ydání. Copyright International Business Machines Corporation 2000, Všechna práa yhrazena.

5 Obsah Obrázky ix Tabulky xi Úod xiii Pro koho je určena tato kniha xiii Co tato kniha obsahuje xi Publikace x Informace o ydání x Základní informace x Informace o zabezpečení Webu x Odkazy pro ýojáře xi Technické dodatky xii Souisející publikace xii Online přístup k publikacím xx Dostupnost xx Kontakt na softwaroou podporu xx Konence použíané této knize xx Konence typu písma xx Rozdíly operačních systémech xxi Kapitola 1. Úod do produktu IBM Tioli Access Manager Plug-in for Web Serers Technologie produktu Tioli Access Manager Plug-in for Web Serers Základní proozní komponenty a architektura Podpora irtuálních hostitelů Ochrana ašeho weboého prostoru pomocí produktu Tioli Access Manager Plug-in for Web Serers Autentizace produktu Tioli Access Manager Plug-in for Web Serers Získání poěření Kapitola 2. Konfigurace produktu IBM Tioli Access Manager Plug-in for Web Serers.. 7 Obecné informace o plug-in programu Kořenoý adresář instalace produktu Tioli Access Manager Plug-in for Web Serers Konfigurační soubor pdwebpi.conf Konfigurační soubor pdwebpimgr.conf Spuštění a zastaení procesu produktu Tioli Access Manager Plug-in for Web Serers Chyboé zpráy HTTP Podpora maker Makra souisející s formáty Konfigurace autorizačního sereru Konfigurace praconích láken Nastaení maximální doby trání relace pro požadaky IPC Konfigurace chyboých stránek Konfigurace irtuálních hostitelských sererů Konfigurace specifická pro weboý serer Pokyny pro weboý serer Výpisy objektu pro přizpůsobení Parametry příkazoého řádku Výstup Konfigurace SU (switch user) pro administrátory Pochopení toku procesu přepnutí užiatele Poolení přepnutí užiatele Konfigurace formuláře HTML pro přepnutí užiatele Poolení nebo yloučení užiatelů z přepnutí užiatele Konfigurace mechanismu pro autentizaci přepnutí užiatele Copyright IBM Corp. 2000, 2003 iii

6 Olinění funkcionality ostatních plug-in programů Konfigurace přepnutí při selhání pro serery LDAP Podpora P3P (Platform for Priacy Preferences) hlaiček Konfiguroání hlaiček P3P Konfigurace monitoroání, protokoloání, trasoání a databáze paměti cache plug-in programu Proěřoací záznamy Konfigurace monitoroání Trasoání akcí plug-in programu Nastaení databáze paměti cache Konfigurace služby autorizačního rozhraní API Obnoení poěření Konfiguroání obnoení poěření Konfigurace ukládání do paměti cache požadaku HTTP Konfigurace parametrů serer-side ukládání do paměti cache Podpora jazyků a znakoé sady Kapitola 3. Zpracoání požadaku a autentizace produktu IBM Tioli Access Manager Plug-in for Web Serers Proces zacházení s požadakem Proces autentizace Konfigurace autentizace Konfigurace autentizace irtuálních hostitelů Konfigurace pořadí politik autentizace Konfigurace zpracoání následujícího po autorizaci Spráa stau relace Konfigurace paměti cache pro relace/poěření plug-in programu Udržoání stau relace pomocí ID relace SSL Udržoání stau relace pomocí Základní autentizace Udržoání stau relace pomocí cookies relace Udržoání stau relace pomocí HTTP hlaiček Udržoání stau relace pomocí IP adres Udržoání stau relace pomocí LTPA cookies Udržoání stau relace pomocí IV hlaiček Přehled konfigurace autentizace Mechanismus lokální autentizace Parametry externí užiatelské autentizace CDAS Přednastaená konfigurace plug-in programů Konfigurace několika politik autentizace Příkazy pro odhlášení, změnu hesla a nápoědu Konfigurace Základní autentizace Aktiace Základní autentizace Konfigurace mechanismu pro Základní autentizaci Nastaení jména sféry Práce s BA hlaičkami Uedení UTF-8 zakódoání BA hlaiček Konfigurace autentizace pomocí formulářů Aktiace autentizace pomocí formulářů Konfigurace mechanismu pro autentizaci pomocí formulářů Přizpůsobení HTML formulářů s odpoědí Přizpůsobení URI přihlášení pomocí formulářů Vytoření BA hlaičky Uedení UTF-8 zakódoání BA hlaiček Konfigurace autentizace pomocí certifikátů Vzájemná autentizace pomocí certifikátů Aktiace autentizace pomocí certifikátů Konfigurace mechanismu pro autentizaci pomocí certifikátů Konfigurace autentizace pomocí tokenů Autentizace SecurID pomocí tokenu Aktiace autentizace pomocí tokenů Konfigurace mechanismu pro autentizaci pomocí tokenů Přizpůsobení stránek s odpoědí pro tokeny i IBM Tioli Access Manager for e-business: Plug-in for Web Serers Integration Guide

7 Konfigurace autentizace pomocí SPNEGO Podpora platformy a registru užiatelů Přechod konfigurace SPNEGO z erze 4.1 na Omezení Konfigurace jednotného přihlášení k praconí ploše Windows Rady pro odstraňoání problémů Konfigurace autentizace pomocí NTLM0 (pouze pro platformy IIS) Konfigurace autentizace pomocí weboého sereru (pouze pro platformy IIS) Konfigurace autentizace po přepnutí při selhání Koncepty autentizace po přepnutí při selhání Konfigurace autentizace po přepnutí při selhání Konfigurace autentizace pomocí IV hlaiček Aktiace autentizace pomocí IV hlaiček Konfigurace parametrů IV hlaiček Ueďte UTF-8 zakódoání IV hlaiček Konfigurace mechanismu pro autentizaci pomocí IV hlaiček pro i-remote-address Konfigurace autentizace pomocí HTTP hlaiček Aktiace autentizace pomocí HTTP hlaiček Určení typů hlaiček Konfigurace mechanismu pro autentizaci pomocí HTTP hlaiček Konfigurace autentizace pomocí IP adresy Aktiace autentizace pomocí IP adresy Konfigurace mechanismu pro autentizaci pomocí IP adresy Konfigurace autentizace pomocí LTPA cookies Aktiace autentizace pomocí LTPA cookies Nastaení podrobných informací o klíči Konfigurace zpracoání následujícího po autorizaci pomocí LTPA cookies Konfigurace přesměroání užiatelů po přihlášení Aktiace přesměroání užiatele Konfigurace parametrů přesměroání užiatele Přidání rozšířených atributů pro poěření Mechanismy pro přidání rozšířených atributů do poěření Konfigurace služby pojmenoání Přidání rozšířených atributů LDAP do HTTP hlaičky (hodnota příznaku) Aktiace zpracoání pomocí hodnoty příznaku Konfigurace parametrů hodnoty příznaku Podpora MPA (Multiplexing Proxy Agents) Platné typy dat relací a metody autentizace Průběh procesu autentizace pro MPA a několik klientů Aktiace autentizace MPA Vytoření účtu užiatele pro MPA Přidání účtu MPA do skupiny pdwebpi-mpa-serers Kapitola 4. Bezpečnostní politika produktu IBM Tioli Access Manager Plug-in for Web Serers Politiky ACL (Access Control List) specifické pro plug-in program /PDWebPI/hostitel nebo irtuální-hostitel Opránění ACL plug-in programu Předolená politika ACL pro /PDWebPI Politika pro přihlášení třikrát a dost Politika odolnosti hesla Nastaení politiky odolnosti hesla pomocí obslužného programu pdadmin Nastaení pro určitého užiatele a globální nastaení Politika POP odolnosti autentizace (zýšená) Konfigurace úroní pro zýšenou autentizaci Aktiace zýšené autentizace Poznámky a omezení zýšené autentizace Vícefaktoroá autentizace Aktiace ícefaktoroé autentizace Opětoná autentizace pomocí politiky chráněného objektu Podmínky oliňující opětonou autentizaci pomocí POP Obsah

8 Vytoření a použití opětoné autentizace pomocí POP Autentizace pomocí POP založená na síti Určení IP adres a rozsahů Zablokoání zýšené autentizace pomocí IP adresy Algoritmus autentizace založené na síti Úroeň zabezpečení politiky chráněného objektu Zacházení s neautentizoanými užiateli (HTTP/HTTPS) Zpracoání požadaku od anonymního klienta Přinucení užiatele, aby se přihlásil Použití neautentizoaného HTTPS Řízení neautentizoaných užiatelů pomocí politik ACL/POP Kapitola 5. Řešení jednotného přihlášení pro web Koncepty jednotného přihlášení Automatické přihlášení do zabezpečené aplikace Konfigurace jednotného přihlášení do zabezpečených aplikací pomocí HTTP hlaiček Jednotné přihlášení do WebSphere Application serer pomocí LTPA cookies Jednotné přihlášení do plug-in programu z WebSEAL nebo jiné proxy Aktiace a zablokoání autentizace pomocí IV hlaiček Konfigurace parametrů IV hlaiček Použití failoer cookie pro jednotné přihlášení Aktiace jednotného přihlášení pomocí failoer cookies Použíání globálního jednotného přihlášení (GSO - Global single sign-on) Konfigurace GSO (Global single sign-on) Jednotné přihlášení pomocí SPNEGO (Security Proider NEGOtiation) Jednotné přihlášení pomocí formulářů Průběh procesu jednotného přihlášení pomocí formulářů Požadaky pro podporu aplikace Aktiace jednotného přihlášení pomocí formulářů Konfigurace jednotného přihlášení pomocí formulářů Příklad konfiguračního souboru pro IBM HelpNow Kapitola 6. Řešení přihlášení napříč doménou Cross domain single sign-on (služba CDSSO) Průběh procesu autentizace pro CDSSO Aktiace a zablokoání autentizace pomocí CDSSO Zašifroání dat tokenu autentizace Konfigurace časoého označení tokenu Zahrnutí atributů poěření tokenech autentizace Uedení knihoen sso-create a sso-consume Vysětlení odkazů CDSSO Ochrana tokenu autentizace Jednotné přihlášení pomocí e-community Funkce a požadaky jednotného přihlášení pomocí e-community Průběh procesu jednotného přihlášení pomocí e-community Cookie e-community Vouch-for požadaek a odpoěď Vouch-for token Zašifroání ouch-for tokenu Konfigurace e-community Konfigurace jednotného přihlášení pomocí e-community - příklad Kapitola 7. Integrace aplikace Udržoání stau relace mezi klientem a aplikacemi back-end Aktiace spráy ID relace užiatele Vkládání dat poěření do hlaičky HTTP Ukončení relací užiatele Poskytnutí řízení přístupu k dynamickým URL Konfigurace dynamických URL i IBM Tioli Access Manager for e-business: Plug-in for Web Serers Integration Guide

9 Kapitola 8. Vyolání ADI (authorization decision information retrieal) Vyolání přehledu ADI Načítání ADI z požadaku plug-in programu Příklad: Načítání ADI z hlaičky požadaku Příklad: Načítání ADI z řetězce dotazu požadaku Příklad: Načítání ADI z těla požadaku POST Načítání ADI z poěření užiatele Dodání důodu selhání Konfigurace yolání dynamické ADI Konfigurace plug-in programu pro použití weboé služby AMWebARS Dodatek A. Použití pdbackup k zálohoání dat pro plug-in Funkčnost Zálohoání dat pro plug-in Obnoa dat pro plug-in Syntaxe Příklady Příklady pro UNIX Příklady pro Windows Obsah pdinfo-pdwebpi.lst Další data zálohoání Dodatek B. pdwebpi.conf reference Obecné parametry konfigurace Parametry konfigurace autentizace Konfigurační parametry relace Konfigurační parametry LDAP Konfigurační parametry proxy Konfigurační parametry autorizačního API Konfigurační parametry specifické pro daný weboý serer Dodatek C. Stručná reference pro moduly Dodatek D. Stručná reference pro příkazy pdwebpi_start pdwebpi pdwpi-ersion pdwpicfg action config pdwpicfg action unconfig Dodatek E. Speciální znaky doolené běžných ýrazech Dodatek F. Poznámky Ochranné známky Sloníček Rejstřík Obsah ii

10 iii IBM Tioli Access Manager for e-business: Plug-in for Web Serers Integration Guide

11 Obrázky 1. Výměna informací mezi plug-in programem a produktem Tioli Access Manager Výojoý diagram, jak plug-in program určuje modul autentizace Výojoý diagram logiky ýzy k autentizaci Výojoý diagram, jak plug-in program určuje modul relace Typická architektura sereru pro failoer cookies Přístup užiatele k zabezpečeným aplikacím pomocí GSO Průběh procesu jednotného přihlášení pomocí formulářů Průběh procesu pro CDSSO Přihlášení se do e-community Příklad konfigurace jednotného přihlášení pomocí e-community Průběh procesu ARS (Attribute retrieal serice) Copyright IBM Corp. 2000, 2003 ix

12 x IBM Tioli Access Manager for e-business: Plug-in for Web Serers Integration Guide

13 Tabulky 1. Pole certifikátu EPAC produktu Tioli Access Manager Souhrn sekcí souboru pdwebpi.conf Podporoané substituce maker Konfigurační parametry chyboé stránky e stanze [proxy] Konfigurační parametry specifické pro weboé serery Parametry [p3p-header] Definice polí autentizačního proěřoacího záznamu Definice parametrů konfigurace monitoroání Jazyky podporoané plug-in programem s podporoanými adresáři Lokální zabudoané autentizátory Parametry externího sereru CDAS Ekialentní konfigurace SPNEGO mezi erzí 4.1 a Jména souboru knihony autentizace po přepnutí při selhání Popis polí IV hlaičky Platné typy dat relací pro agenty MPA Platné typy autentizace agentů MPA Opránění ACL plug-in programu Opránění WebDAV plug-in programu Příkazy politiky pro přihlášení pdadmin pro LDAP Příkazy pdadmin odolnosti hesla pro LDAP Příklady hesel Popisy úroní POP Popis polí IV hlaičky Parametry konfigurace LTPA Popis polí IV hlaičky Obecné parametry konfigurace Konfigurační parametry autentizace Konfigurační parametry relace Konfigurační parametry LDAP Konfigurační parametry proxy Konfigurační parametry autorizačního API Konfigurační parametry specifické pro daný weboý serer Reference pro politiky/moduly autentizace plug-in programu Moduly autentizace specifické pro Windows Reference pro moduly relace plug-in programu Modul pro zpracoání předcházející autorizaci plug-in programu Reference pro moduly pro zpracoání následující po autorizaci plug-in programu Reference pro modul odpoědi Copyright IBM Corp. 2000, 2003 xi

14 xii IBM Tioli Access Manager for e-business: Plug-in for Web Serers Integration Guide

15 Úod Pro koho je určena tato kniha Produkt IBM Tioli Access Manager Plug-in for Web Serers sprauje zabezpečení ochrany dat ašich weboých zdrojů tak, že ystupuje jako brána mezi ašimi klienty a bezpečným weboým prostorem. Plug-in program implementuje bezpečnostní politiku, která chrání áš weboý prostor objektů. Plug-in program může nabídnout řešení pro jednotné přihlášení, podporoat weboé serery ystupující jako irtuální hostitelé a zahrnout zdroje weboého aplikačního sereru do sé bezpečnostní politiky. Poznámka: Další informace o podporoaných platformách, požadacích na disk a paměť, předem požadoaných opraách softwaru a instalační instrukce naleznete knize Tioli Access Manager for e-business Web Security Installation Guide. IBM Tioli Access Manager (Tioli Access Manager) je základní software, který je nezbytný, aby bylo možné pracoat s aplikacemi produktoé řadě IBM Tioli Access Manager. Umožňuje integraci aplikací IBM Tioli Access Manager, které nabízí širokou paletu řešení autorizace a spráy. Jsou-li prodány jako integroané řešení, mohou tyto produkty nabídnout řešení pro spráu řízení přístupu, které centralizuje síť a bezpečnostní politiku pro e-business aplikace. Poznámka: IBM Tioli Access Manager je noé jméno dříe uolněného softwaru zaného Tioli SecureWay Policy Director. Užiatelům, kteří dobře znali software a dokumentaci produktu Tioli SecureWay Policy Director, bychom chtěli dát ědět, že termín Management Serer (serer spráy) je nyní nahrazen termínem Policy Serer (serer politik). Kniha IBM Tioli Access Manager for e-business Plug-in for Web Serers: Průodce užiatele obsahuje administratiní procedury a informace o technických odkazech, týkající se zabezpečení aší weboé domény pomocí plug-in programu pro aplikace weboých sererů. Tento průodce je určen pro systémoé administrátory, odpoědné za instalaci, nasazení a administraci produktu Access Manager Plug-in for Web Serers. Čtenáři této knihy by měli znát: Operační systémy pro PC a UNIX. Architekturu databáze a koncepty. Spráu zabezpečení. Internetoé protokoly, četně HTTP, HTTPS a TCP/IP. Lightweight Directory Access Protocol (LDAP) a adresářoé služby. Podporoaný registr užiatelů. Autentizaci a autorizaci. Pokud použíáte komunikaci SSL (Secure Sockets Layer), měli byste také znát protokol SSL, ýměnu klíčů (eřejných a soukromých), digitální podpisy, šifroací algoritmy a ydaatele certifikátů. Copyright IBM Corp. 2000, 2003 xiii

16 Co tato kniha obsahuje Tato kniha obsahuje následující části: Kapitola 1, Úod do produktu IBM Tioli Access Manager Plug-in for Web Serers Obsahuje úod do produktu Access Manager Plug-in for Web Serers, poskytuje podrobnosti o architektuře systému, o funkcionalitě a praconím prostředí. Kapitola 2, Konfigurace produktu IBM Tioli Access Manager Plug-in for Web Serers Obsahuje informace o požadacích konfigurace produktu Access Manager Plug-in for Web Serers. Kapitola 3, Zpracoání požadaku a autentizace produktu IBM Tioli Access Manager Plug-in for Web Serers Diskuze o tom, jak plug-in obsluhuje proces autentizace a proádí zpracoání následující po autorizaci, které je yžadoáno autorizoaných relacích. Kapitola 4, Bezpečnostní politika produktu IBM Tioli Access Manager Plug-in for Web Serers Informace o konfiguraci a nastaení bezpečnostní politiky produktu Access Manager plug-in for Web Serers. Kapitola 5, Řešení jednotného přihlášení pro web Diskuze o řešeních pro jednotné přihlášení do weboého prostoru, chráněného produktem Access Manager Plug-in for Web Serers. Kapitola 6, Řešení přihlášení napříč doménou Diskuze o řešení pro jednotné cross-domain přihlášení produktu Access Manager Plug-in for Web Serers. Kapitola 7, Integrace aplikace, na stránce 157 Diskuze o integraci třístranné aplikace pomocí přídaného rozsahu proměnných prostředí a hlaiček HTTP plug-in programu a schopnosti dynamického URL. Kapitola 8, Vyolání ADI (authorization decision information retrieal), na stránce 163 Diskuze o tom, jak plug-in program může poskytnout nebo získat ADI (autorization decision information) požadoanou ke zhodnocení autorizačních praidel, která chrání zdroje doméně Tioli Access Manager. Dodatek A, Použití pdbackup k zálohoání dat pro plug-in, na stránce 169 Informace o použití utility pdbackup. Dodatek B, pdwebpi.conf reference Seznam parametrů konfigurace Access Manager Plug-in for Web Serers, četně odpoídajících popisů. Dodatek C, Stručná reference pro moduly Seznam šech možností plug-in programu pro autentizaci, relace a po-autorizační politiky, četně odpoídajících popisů. Dodatek D, Stručná reference pro příkazy Seznam dostupných obslužných programů plug-in programu, četně popisu akcí, které tyto obslužné programy proádějí. Dodatek E, Speciální znaky doolené běžných ýrazech, na stránce 211 Vypsání speciálních znaků poolených běžných ýrazech použitých konfiguračním souboru pdwebpi.conf. xi IBM Tioli Access Manager for e-business: Plug-in for Web Serers Integration Guide

17 Publikace Abyste určili, která publikace ám může být užitečná, zobrazte znou popis Tioli Access Manager knihony, předpokládané publikace a souisející publikace. Až určíte, které publikace potřebujete, odkaz na instrukce pro on-line přístup k publikacím. Další informace o produktu IBM Tioli Access Manager for e-business můžete nalézt : Knihona produktu Tioli Access Manager je rozdělena do následujících kategorií: Informace o ydání Základní informace Informace o zabezpečení Webu Odkazy pro ýojáře na stránce xi Technické dodatky na stránce xii Informace o ydání IBM Tioli Access Manager for e-business Čtěte jako prní (GI ) Obsahuje informace pro instalaci a začátek práce s produktem Tioli Access Manager. IBM Tioli Access Manager for e-business Release Notes (GI ) Poskytuje nejnoější informace např. o omezeních softwaru, pomocných opraách problémů, nebo o aktualizacích dokumentace. Základní informace IBM Tioli Access Manager Base Installation Guide (SC ) Vysětluje, jak nainstaloat a nakonfiguroat Tioli Access Manager, základní software, četně rozhraní Web Portal Manager. Tato publikace je podmnožinou IBM Tioli Access Manager for e-business Web Security Installation Guide a je určena pro použití s dalšími Tioli Access Manager produkty, stejně jako IBM Tioli Access Manager pro Business Integration a IBM Tioli Access Manager pro operační systémy. IBM Tioli Access Manager Base: Administratiní příručka (SC ) Popisuje koncepty a procedury použíání služeb produktu Tioli Access Manager. Poskytuje instrukce pro proádění úloh z rozhraní Web Portal Manager a pro proádění úloh pomocí příkazu pdadmin. Informace o zabezpečení Webu IBM Tioli Access Manager for e-business Web Security Installation Guide (SC ) Poskytuje instrukce pro instalaci, konfiguraci a odstranění Tioli Access Manager základního softwaru stejně jako komponent Web Security. Tato publikace je nadsadou IBM Tioli Access Manager Base Installation Guide. IBM Tioli Access Manager Upgrade Guide (SC ) Vysětluje, jak přejít na yšší erzi z Tioli SecureWay Policy Director Version 3.8 nebo z předchozích erzí Tioli Access Manager na Tioli Access Manager erzi 5.1. IBM Tioli Access Manager for e-business WebSEAL: Administratiní příručka (SC ) Poskytuje podkladoé materiály, administratiní procedury a informace o technických odkazech, které použíá serer WebSEAL ke spráě zdrojů e aší zabezpečené weboé doméně. Úod x

18 IBM Tioli Access Manager for e-business IBM WebSphere Application Serer: Integrační příručka (SC ) Poskytuje instrukce pro instalaci, odstranění a administratiu pro integroání Tioli Access Manager s aplikačním sererem IBM WebSphere. IBM Tioli Access Manager for e-business IBM WebSphere Edge Serer Integration Guide (SC ) Poskytuje instrukce pro instalaci, odstranění a administratiu pro integroání Tioli Access Manager s aplikací IBM WebSphere Edge Serer. IBM Tioli Access Manager for e-business Plug-in for Web Serers: Integrační příručka (SC ) Poskytuje instrukce pro instalaci, administratiní procedury a informace o technických odkazech, týkající se zabezpečení aší weboé domény pomocí plug-in pro aplikace weboých sererů. IBM Tioli Access Manager for e-business BEA WebLogic Serer: Integrační příručka (SC ) Poskytuje instrukce pro instalaci, odstranění a administratiu pro integroání Tioli Access Manager s produktem BEA WebLogic Serer. IBM Tioli Access Manager for e-business IBM Tioli Identity Manager: Příručka k funkci zajištění rychlého spuštění (SC ) Poskytuje přehled úloh souisejících s integroáním Tioli Access Manager a s produktem Tioli Identity Manager a ysětluje, jak použít a instaloat shromažďoání Proisioning Fast Start. Odkazy pro ýojáře IBM Tioli Access Manager for e-business Authorization C API Deeloper Reference (SC ) Obsahuje referenční materiál, který popisuje, jak použíat autorizační rozhraní C API produktu Tioli Access Manager a serisní plug-in rozhraní produktu Access Manager pro přidání zabezpečení produktu Tioli Access Manager do aplikací. IBM Tioli Access Manager for e-business Authorization Jaa Classes Deeloper Reference (SC ) Poskytuje referenční informace, jak pomocí implementace autorizačního rozhraní API jazyce Jaa poolit, aby aplikace použíala zabezpečení produktu Tioli Access Manager. IBM Tioli Access Manager for e-business Administration C API Deeloper Reference (SC ) Poskytuje referenční informace, jak pomocí administratiního rozhraní API poolit, aby aplikace proáděla administratiní úlohy produktu Tioli Access Manager. Tento dokument popisuje implementaci tohoto administratiního rozhraní API jazyce C. IBM Tioli Access Manager for e-business Administration Jaa Classes Deeloper Reference (SC ) Poskytuje referenční informace, jak pomocí implementace administratiního rozhraní API jazyce Jaa poolit, aby aplikace proáděla administratiní úlohy produktu Tioli Access Manager. IBM Tioli Access Manager for e-business Web Security Deeloper Reference (SC ) Poskytuje informace o administratiě a programoání CDAS (cross-domain authentication serice), CDMF (cross-domain mapping framework) a modulu Odolnosti hesla. xi IBM Tioli Access Manager for e-business: Plug-in for Web Serers Integration Guide

19 Technické dodatky IBM Tioli Access Manager for e-business Command Reference (SC ) Poskytuje informace o obslužných programech příkazoého řádku a skriptech, které jsou součástí produktu Tioli Access Manager. IBM Tioli Access Manager Error Message Reference (SC ) Obsahuje ysětlení a doporučoané akce pro zpráy, které ydáá produkt Tioli Access Manager. IBM Tioli Access Manager for e-business Problem Determination Guide (SC ) Obsahuje informace napomáhající určení problému pro produkt Tioli Access Manager. IBM Tioli Access Manager for e-business Performance Tuning Guide (SC ) Poskytuje informace o ladění ýkonnosti pro prostředí obsahující produkt Tioli Access Manager, e kterém je IBM Directory Serer nadefinoán jako registr užiatelů. Souisející publikace Tato část obsahuje seznam publikací, souisejících s knihonou produktu Tioli Access Manager. Tioli Software Library obsahuje celou řadu publikací týkajících se produktů Tioli, jako např. dokumenty typu white paper, základní informace o produktech, demonstrační materiály, tz. redbooky a informace o ohlášení. Tioli Software Library je k dispozici na této weboé adrese: Obsahem Tioli Software Glossary jsou definice mnoha technických termínů, ztahujících se k softwaru Tioli. Tioli Software Glossary je k dispozici pouze anglickém jazyce na odkazu Glossary leé části weboé stránky Tioli Software Library IBM Global Security Kit Produkt Tioli Access Manager umožňuje šifroání dat pomocí produktu IBM Global Security Kit (GSKit) eze 7.0. Produkt GSKit je zahrnut na IBM Tioli Access Manager základním CD-ROM pro aši partikulární platformu, stejně jako na CD-ROM IBM Tioli Access Manager Web Security, IBM Tioli Access Manager Web Administration Interfaces a IBM Tioli Access Manager Directory Serer. Sada programů GSKit instaluje obslužný program pro spráu klíčů ikeyman gsk7ikm, který ám doolí ytořit databáze klíčů, páry klíčů eřejný-soukromý a žádosti o certifikát. Následující dokument je k dispozici na weboém sereru Tioli Information Center, a to e stejné části jako dokumentace produktu IBM Tioli Access Manager: IBM Global Security Kit Secure Sockets Layer and ikeyman User s Guide (SC ) Obsahuje informace pro síťoé nebo systémoé administrátory, kteří chtějí aktioat SSL komunikaci prostředí produktu Tioli Access Manager. IBM Tioli Directory Serer Produkt IBM Tioli Directory Serer, erze 5.2, je na obsažen CD-ROM IBM Tioli Access Manager Directory Serer pro požadoaný operační systém. Poznámka: Produkt IBM Tioli Directory Serer je noé jméno pro dříe ydaný software známý jako: IBM Directory Serer (erze 4.1 a 5.1) IBM SecureWay Directory Serer (erze 3.2.2) Úod xii

20 Produkty IBM Directory Serer erze 4.1, IBM Directory Serer erze 5.1, a IBM Tioli Directory Serer erze 5.2 jsou šechny podporoány produktem IBM Tioli Access Manager erze 5.1. Další informace o produktu IBM Tioli Directory Serer můžete nalézt : IBM DB2 Uniersal Database Produkt IBM DB2 Uniersal Database Enterprise Serer Edition, erze 8.1 je poskytnut na CD-ROM IBM Tioli Access Manager Directory Serer a je instaloán se softwarem pro IBM Tioli Directory Serer. Produkt DB2 je požadoán při použití produktu IBM Tioli Directory Serer, z/os, nebo OS/390 sererů LDAP jako registr užiatelů produktu Tioli Access Manager. Další informace o produktu DB2 můžete nalézt : IBM WebSphere Application Serer IBM WebSphere Application Serer, Adanced Single Serer Edition 5.0, je součástí CD-ROM IBM Tioli Access Manager Web Administration Interfaces pro požadoaný operační systém.websphere Application Serer umožňuje jak podporu Web Portal Manager rozhraní, které se použíá ke spráě Tioli Access Manager, tak podporu produktu Web Administration Tool, který se použíá ke spráě IBM Tioli Directory Serer. Produkt IBM WebSphere Application Serer Fix Pack 2 je také yžadoán Tioli Access Manager a je poskytnut na CD-ROM IBM Tioli Access Manager WebSphere Fix Pack. Další informace o produktu IBM WebSphere Application Serer můžete nalézt : IBM Tioli Access Manager for Business Integration Produkt IBM Tioli Access Manager for Business Integration je k dispozici jako samostatně objednatelný produkt. Nabízí řešení zabezpečení pro zpráy z produktů IBM MQSeries erze 5.2 a IBM WebSphere MQ for Version 5.3. Produkt IBM Tioli Access Manager for Business Integration umožňuje, aby aplikace WebSphere MQSeries posílala data diskrétně a neporušeně pomocí klíčů, které jsou přidruženy k odesílacím a přijímajícím aplikacím. Stejně jako produkt WebSEAL a produkt IBM Tioli Access Manager for Operating Systems, tak i produkt IBM Tioli Access Manager for Business Integration je jedním ze spráců zdrojů, který použíá autorizační služby produktu IBM Tioli Access Manager. Další informace o produktu IBM Tioli Access Manager for Business Integration můžete nalézt : Níže uedené dokumenty, které se týkají produktu IBM Tioli Access Manager for Business Integration erze 5.1, jsou k dispozici na weboé stránce Tioli Information Center: IBM Tioli Access Manager for Business Integration Administration Guide (SC ) IBM Tioli Access Manager for Business Integration Problem Determination Guide (GC ) IBM Tioli Access Manager for Business Integration Release Notes (GI ) IBM Tioli Access Manager for Business Integration Read This First (GI ) xiii IBM Tioli Access Manager for e-business: Plug-in for Web Serers Integration Guide

21 IBM Tioli Access Manager for WebSphere Business Integration Brokers Produkt IBM Tioli Access Manager for WebSphere Business Integration Brokers dostupný jako část produktu IBM Tioli Access Manager for Business Integration poskytuje řešení zabezpečení produktu WebSphere Business Integration Message Broker, erze 5.0 a produktu WebSphere Business Integration Eent Broker, erze 5.0. Produkt IBM Tioli Access Manager for WebSphere Business Integration Brokers funguje e spojení s produktem Tioli Access Manager pro zabezpečení JMS publikačních/podpisoých aplikací pomocí poskytnutí hesla a autentizace na základě poěřoacích listů, centrálně definoané autorizace a monitoroacích služeb. Další informace o produktu IBM Tioli Access Manager for WebSphere Integration Brokers můžete nalézt : Níže uedené dokumenty, které se týkají produktu IBM Tioli Access Manager for WebSphere Integration Brokers erze 5.1, jsou k dispozici na weboé stránce Tioli Information Center: IBM Tioli Access Manager for WebSphere Business Integration Brokers Administration Guide (SC ) IBM Tioli Access Manager for WebSphere Business Integration Brokers Release Notes (GI ) IBM Tioli Access Manager for Business Integration Read This First (GI ) IBM Tioli Access Manager for Operating Systems Produkt IBM Tioli Access Manager for Operating Systems je k dispozici jako samostatně objednatelný produkt. Pro UNIXoé systémy nabízí další úroeň pro ymáhání politiky autorizace k půodní úroni lastního operačního systému. Produkt IBM Tioli Access Manager for Operating Systems je stejně jako produkty WebSEAL a IBM Tioli Access Manager for Business Integration jedním ze spráců zdrojů, kteří použíají autorizační služby produktu IBM Tioli Access Manager. Další informace o produktu IBM Tioli Access Manager for Operating Systems můžete nalézt : Níže uedené dokumenty, které se týkají produktu IBM Tioli Access Manager for Operating Systems erze 5.1, jsou k dispozici na weboé stránce Tioli Information Center: IBM Tioli Access Manager for Operating Systems Installation Guide (SC ) IBM Tioli Access Manager for Operating Systems Administration Guide (SC ) IBM Tioli Access Manager for Operating Systems Problem Determination Guide (SC ) IBM Tioli Access Manager for Operating Systems Release Notes (GI ) IBM Tioli Access Manager for Operating Systems Read Me First (GI ) IBM Tioli Identity Manager Produkt IBM Tioli Identity Manager Version 4.5 dostupný jako samostatně setřiditelný produkt ám umožňuje centrální spráu užiatelů (jako jsou ID užiatelů a hesla) a zajišťoání (které poskytuje nebo odoláá přístup k aplikacím, zdrojům nebo operačním systémům). Produkt Tioli Identity Manager může být integroán s produktem Tioli Access Manager pomocí produktu Tioli Access Manager Agent. Abyste získali další informace o použití produktu Agent, kontaktujte zástupce ašeho IBM konta. Úod xix

22 Dostupnost Další informace o produktu IBM Tioli Identity Manager můžete nalézt : Online přístup k publikacím Publikace pro tento produkt jsou k dispozici online erzi e formátu PDF (Portable Document Format) nebo HTML (Hypertext Markup Language), případně obou knihoně Tioli software library: Chcete-li knihoně nalézt publikace produktu, klepněte na odkaz Product manuals leé části stránky library. Pak najděte na stránce Tioli software information center jméno produktu a klepněte na ně. Publikace produktu obsahují poznámky k jednotliým ydáním, průodce instalací, průodce užiatele, průodce administrátora a reference pro ýojáře. Poznámka: Pokud chcete ytisknout PDF publikace, zaškrtněte pole Fit to page dialogu Print produktu Adobe Acrobat (ke kterému se dostanete, pokud klepnete na File Print). Funkce dostupnosti pomáhají užiateli, který má tělesné postižení, jako např. sníženou pohybliost nebo omezené iděni, úspěšně použíat softwaroé produkty. Pomocí těchto produktů můžete použíat asistenční technologie, prostřednictím kterých můžete poslouchat a naigoat rozhraní. Můžete také použíat kláesnici místo myši pro obsluhu šech funkcí grafického užiatelského rozhraní. Kontakt na softwaroou podporu Než se obrátíte na Softwaroou podporu IBM Tioli se sým problémem, podíejte se klepnutím na Tioli support na stránku podpory softwaru IBM Tioli na této weboé adrese: Pokud budete potřeboat další pomoc, obraťte se na softwaroou podporu způsobem, který je popsán příručce IBM Software Support Guide na této weboé adrese: Průodce poskytuje následující informace: Konence použíané této knize požadaky na registraci a způsobilost pro obdržení podpory telefonní čísla záislosti na zemi, e které pracujete jaké informace je nutné shromáždit, než se obrátíte na Zákaznickou podporu Tato příručka použíá několik grafických konencí pro speciální termíny a akce, a příkazy a cesty záislé na operačním systému. Konence typu písma V této knize jsou použity tyto konence typu písma: xx IBM Tioli Access Manager for e-business: Plug-in for Web Serers Integration Guide

23 tučné písmo Příkazy uedené malými písmeny nebo smíšeně malými i elkými písmeny, které je těžké odlišit od okolního textu, klíčoá sloa, parametry, olby a jména tříd Jay a objekty jsou uedeny tučným písmem. kurzía Proměnné, názy publikací a speciální sloa nebo fráze, které je nutné zdůraznit, jsou yznačeny kurzíou. monospace Příklady kódů, příkazoé řádky, ýstupy na obrazoku, jména souborů a adresářů, která je těžké odlišit od okolního textu, systémoé zpráy, text, který musí užiatel spráně zadat, a hodnoty argumentů nebo oleb příkazů jsou yznačeny pomocí monospace. Rozdíly operačních systémech Tato kniha použíá konence operačního systému UNIX e specifikacích proměnných prostředí a zápisu adresářů. Pokud použíáte příkazoý řádek operačního systému Windows, nahraďte $proměnná za %proměnná% proměnných prostředích a nahraďte každé lomítko (/) lomítkem zpětným (\) cestách k adresářům.pokud použíáte nadstabu bash operačním systému Windows, můžete použíat konence operačního systému UNIX. Úod xxi

24 xxii IBM Tioli Access Manager for e-business: Plug-in for Web Serers Integration Guide

25 Kapitola 1. Úod do produktu IBM Tioli Access Manager Plug-in for Web Serers Produkt IBM Tioli Access Manager (Tioli Access Manager) Plug-in for Web Serers je integrační řešení, které ulehčuje implementaci a spráu bezpečnostní politiky ašeho chráněného weboého prostoru. Je-li nainstaloán jako součást stejného procesu jako áš weboý serer, ystupuje plug-in program jako bezpečnostní brána mezi ašimi klienty a aším chráněným weboým prostorem. Tato úodní kapitola obsahuje přehled technologie produktu Tioli Access Manager Plug-in for Web Serers, uádí technické požadaky produktu a nabízí úod do procesů zajišťujících zabezpečení ašeho weboého prostoru pomocí plug-in programu. Poznámka: Další informace o podporaaných platformách, požadacích na disk a paměť, předem požadoaných opraách softwaru a instalační instrukce naleznete publikaci Tioli Access Manager for e-business Web Security Installation Guide.Podrobné informace o tom, jak přejít na yšší erzi produktu Tioli Access Manager Plug-in for Web Serers (tj. na erzi 5.1), naleznete publikaci IBM Tioli Access Manager Upgrade Guide. Tato úodní kapitola obsahuje následující témata: Technologie produktu Tioli Access Manager Plug-in for Web Serers Ochrana ašeho weboého prostoru pomocí produktu Tioli Access Manager Plug-in for Web Serers na stránce 3 Autentizace produktu Tioli Access Manager Plug-in for Web Serers na stránce 4 Získání poěření na stránce 4 Technologie produktu Tioli Access Manager Plug-in for Web Serers Produkt Tioli Access Manager Plug-in for Web Serers může být zaintegroán do aplikací produktu Tioli Access Manager, aby bylo poskytoáno úplné řešení zabezpečení ochrany dat ašich weboých zdrojů. Plug-in program je součástí stejného procesu jako áš weboý serer, zachycuje každý požadaek, který dorazí, určí, zda bude nutné yžadoat rozhodnutí o autorizaci, a také poskytuje prostředky pro autentizaci užiatele (je-li nezbytná). Plug-in program může nabídnout řešení pro jednotné přihlášení a zahrnout zdroje weboých aplikací do sé bezpečnostní politiky. Základní proozní komponenty a architektura Produkt Tioli Access Manager Plug-in for Web Serers se skládá ze dou základních komponent architektury komponenty lastního plug-in programu a komponenty autorizačního sereru. Komponenta lastního plug-in programu pracuje s lákny weboého sereru, a odesílá na autorizační serer podrobnosti o každém požadaku přes rozhraní IPC (Inter-Process Communication). Autorizační serer zpracoáá autentizaci a autorizaci příchozích požadaků. Autorizační serer je aplikace AZNAPI lokálním režimu, která přijímá a zpracoáá požadaky z plug-in komponenty a odpoídá tak, že sdělí plug-in komponentě, jak obsloužit každý požadaek. Copyright IBM Corp. 2000,

26 Obrázek 1. Výměna informací mezi plug-in programem a produktem Tioli Access Manager. Autorizační serer určuje, kterému z irtuálních hostitelů je adresoán požadaek (pokud na weboém sereru existují irtuální hostitelé), a určuje, zda daný požadaek yžaduje autorizaci. Požadaky, které neyžadují autorizaci, jsou ronou předány weboému sereru ke zpracoání. Požadaky, které yžadují autorizaci, jsou zpracoány následujícím způsobem autorizačním sererem: 1. Z požadaku, který byl již autentizoán, jsou yjmuty informace o relaci a autentizaci. 2. Je-li to třeba, je zahájena autentizační ýměna informací s užiatelem. 3. Je ytořeno poěření produktu Tioli Access Manager. 4. Proede se určení zdrojů, ke kterým může užiatel přistupoat, a tyto zdroje jsou namapoány na odpoídající jméno chráněného objektu produktu Tioli Access Manager. Jméno chráněného objektu předstauje elektronickou jednotku, jako např. zabezpečenou část weboého sereru nebo aplikaci, ke kterým mají poolen přístup pouze určití užiatelé. 5. Určí se, zda požadaek nebo odpoěď yžadují úprau. 6. Jsou ygeneroány odpoědi yžadoané plug-in programem nebo hostitelským weboým sererem tak, že k požadaku nebo odpoědi jsou připojeny cookies nebo hlaičky, nebo je ygeneroána samostatná odpoěď (např. odpoěď o proedené autentizaci nebo odpoěď, že užiatel není autorizoán). Podpora irtuálních hostitelů Virtuální hostitelstí je schopnost weboých sererů, která jim umožňuje, aby se objeily na internetu jako íce než jeden hostitel. Všechny weboé serery, podporoané produktem Tioli Access Manager Plug-in for Web Serers, nabízí schopnost irtuálního hostitelstí. 2 IBM Tioli Access Manager for e-business: Plug-in for Web Serers Integration Guide

27 Produkt Tioli Access Manager Plug-in for Web Serers nabízí možnost implementace bezpečnostní politiky na bázi jednotliých irtuálních hostitelů. Nastaení aplikace nutné pro implementaci této schopnosti je obsaženo dalších částech tohoto dokumentu. Ochrana ašeho weboého prostoru pomocí produktu Tioli Access Manager Plug-in for Web Serers Produkt Tioli Access Manager Plug-in for Web Serers obsahuje následující funkce: Podporuje íce politik autentizace, četně Základní autentizace, autentizace pomocí IP adresy, tokenu, certifikátů, formulářů, atd. Přijímá požadaky HTTP a HTTPS. Chrání zdroje weboého sereru pomocí autentizace a autorizace požadaků užiatele záislosti na politice organizace. Podporuje autentizaci a autorizaci požadaků prostředí irtuálního hostitele. Sprauje řízení přístupu do prostoru weboého sereru. Podporoané zdroje zahrnují URL, regulérní ýrazy založené na URL, CGI programy, HTML soubory, Jaa serlety a soubory třídy Jay. Ukládá do paměti cache informace o relaci a o poěření, aby eliminoal opakující se dotazy na databázi registru užiatelů během kontroly autorizace. Nabízí schopnosti jednotného přihlášení. Firemní bezpečnostní politika určuje weboé zdroje, které yžadují ochranu, a úroeň zabezpečení ochrany dat pro každý z těchto weboých zdrojů. Produkt Tioli Access Manager použíá irtuální znázornění těchto weboých zdrojů, které se nazýá prostor chráněných objektů. Prostor chráněných objektů obsahuje objekty, které předstaují skutečné fyzické prostředky e aší síti. Bezpečnostní politiku naimplementujete pomocí odpoídajících zabezpečoacích mechanismů, které aplikujete na objekty yžadující ochranu. Zabezpečoací mechanismy zahrnují: politiky ACL (Access control list) Politiky ACL určují typy užiatelů, které mohou uažoat o přístupu, a udáají operace, které je dooleno proádět na objektu pro každý typ užiatele. POP (Protected object policies - politiky chráněného objektu) POP určuje další podmínky regulující přístup ke chráněnému objektu, jako je např. utajení, integrita, monitoroání a denní doba přístupu. autorizační praidla Autorizační praidla jsou podmínky obsažené autorizační metodě, které se použíají k ynucení rozhodnutí o přístupu na základě atributů, jako je sta, aplikace a kontext prostředí. rozšířené atributy Rozšířené atributy jsou další hodnoty, které jsou umístěny na objektu, ACL nebo POP, a které oliňují rozhodnutí o autorizaci. Autorizační serer je tou komponentou produktu Tioli Access Manager Plug-in for Web Serers, která pooluje nebo zamítá přístup ke chráněným zdrojům na základě poěření užiatele a řízení přístupu umístěných na objektu. Pokud chcete úspěšně naimplementoat bezpečnostní politiku, musíte logicky zorganizoat různé typy obsahu a aplikoat odpoídající politiky ACL a POP. Spráa řízení přístupu může být komplexní a je možné ji ytořit snadněji, pokud proedete důkladnou kategorizaci typů obsahu. Vyčerpáající informace o produktu Tioli Access Manager, četně podrobných informací o nastaení bezpečnostní politiky, najdete knize IBM Tioli Access Manager Base: Administratiní příručka. Kapitola 1. Úod do produktu IBM Tioli Access Manager Plug-in for Web Serers 3