Planung der Sicherheit für die Serviceintegration
Wenn Sie die Sicherheit Ihres Messaging-Systems planen, kann der Bereich von Optionen, die Ihnen zur Verfügung stehen, über eine Gruppe häufig gestellter Fragen beschrieben werden.
- Wie kann der Bus gesichert werden?
- Wer ist berechtigt, auf den Bus zuzugreifen?
- Wer ist berechtigt, auf die Busziele zuzugreifen?
- Welche Verbindungen müssen gesichert werden?
- Welche Benutzer-IDs werden in den Nachrichten gespeichert, die zwischen dem Bus und fremden Bussen übertragen werden?
- Welche Stufe der Datenspeichersicherheit ist erforderlich?
Informationen zur Verwendung der Serviceintegration mit Web-Services finden Sie im Artikel Busfähige Web-Services sichern.
- Wie kann der Bus gesichert werden?
- Wenn die globale Sicherheit in WebSphere Application Server aktiviert und
eine Benutzerregistry konfiguriert ist, ist ein neu erstellter Service Integration Bus standardmäßig gesichert. Das Flag Bussicherheit aktivieren
in der Busdefinition wird standardmäßig ausgewählt. Das bedeutet, dass die Messaging-Engine alle verbindungsherstellenden Clientanwendungen authentifiziert und Berechtigungsprüfungen für alle Clientanwendungen durchführt, die versuchen, auf Busressourcen
zuzugreifen. Weitere Informationen zum Aktivieren der Bussicherheit finden Sie im Artikel Messaging-Sicherheit.
Wenn Sie einen neuen Bus erstellen oder einen vorhandenen Bus sichern möchten, werden Sie vom Assistenten "Bussicherheit" aufgefordert, eine Sicherheitsdomäne anzugeben. Die Sicherheitsdomäne enthält die Sicherheitseinstellungen für den Bus. Sie können je nach Versionen der Busmember die globale Standarddomäne oder eine andere Domäne angeben:
- Globale Domäne
- Dies ist die Standardsicherheitsdomäne. Für heterogene Busse müssen Sie die globale Domäne angeben.
- Domänen auf Zellenebene und angepasste Domänen
- Wenn der Bus nur Busmember von WebSphere Application Server Version 7.0 oder höher enthält, können Sie den Bus für die Verwendung einer Sicherheitsdomäne auf Zellenebene oder einer angepassten Sicherheitsdomäne konfigurieren. Eine angepasste Sicherheitsdomäne enthält gewöhnlich Sicherheitseinstellungen, die für einen bestimmten Bus spezifisch sind. Sie können weitere, separate Sicherheitsdomänen für Benutzeranwendungen konfigurieren, z. B. das Benutzerrepository. Weitere Informationen zur Verwendung mehrerer Sicherheitsdomänen für den Bus finden Sie im Artikel Messaging-Sicherheit und mehrere Sicherheitsdomänen.
- Wer ist berechtigt, auf den Bus zuzugreifen?
- Wenn eine Clientanwendung versucht, eine Verbindung zum Bus herzustellen, authentifiziert die Messaging-Engine die Berechtigungsnachweise (eine Identität und ein Kennwort) für die Clientanwendung anhand der Benutzerregistry. Wenn der Client erfolgreich authentifiziert wird, prüft die Messaging-Engine, ob der Client berechtigt ist, die Verbindung zum Bus herzustellen. Jede Clientanwendung, die eine gültige Benutzeridentität und ein gültiges Kennwort in der Benutzerregistry besitzt, kann erfolgreich authentifiziert werden, aber möglicherweise möchten Sie nicht, dass jede Clientanwendung berechtigt ist, auf den Bus zuzugreifen. Wenn Sie den Zugriff auf den Bus steuern möchten, müssen Sie bestimmten Clientanwendungen die Zugriffsberechtigung in der Rolle "Bus-Connector" für den Bus erteilen. Sie erstellen eine Gruppe in der Benutzerregistry. Anschließend fügen Sie der Gruppe die Identitäten der Clientanwendungen und dann die Gruppe der Rolle "Bus-Connector" für den Bus hinzu. Nähere Informationen finden Sie im Artikel Rolle "Bus-Connector" verwalten.
- Wer ist berechtigt, auf die Busziele zuzugreifen?
- Sie müssen für jedes Ziel festlegen, welche Clients welche Operationen (oder Rollen) an einem Busziel ausführen dürfen. Die Berechtigung wird erteilt, indem Rollen Gruppen und Gruppenmember hinzugefügt werden. Wenn Sie beispielsweise festlegen möchten, dass eine Gruppe von Clientanwendungen mit dem Namen
MyGroup Nachrichten an ein Warteschlangenziel mit dem Namen MyQueue senden darf, fügen Sie
MyGroup der Rolle "Sender" für MyQueue hinzu. Nähere Informationen finden Sie im Artikel Rollen für Ziele verwalten.
Sie können einen Satz von Standardberechtigungen definieren, die für jedes Ziel in einem Bus gelten. Wenn Sie beispielsweise alle Member der Gruppe MyMediations berechtigen möchten, Nachrichten an jedes Ziel in einem ausgewählten Bus zu senden, können Sie MyMediations der Standardrolle "Sender" hinzufügen. Standardmäßig übernehmen alle lokalen Ziele die Rollen von der Standardressource. Sie können die standardmäßige Rollenübernahme für ausgewählte Ziele außer Kraft setzen. Weitere Informationen zu Standardrollen finden Sie im Artikel Standardrollen verwalten. Weitere Informationen zum Überschreiben der Übernahme (Vererbung) von Standardrollen finden Sie im Artikel Übernahme von der Standardressource inaktivieren.
Wenn eine Gruppe von Clientanwendungen Publish/Subscribe-Operationen für Topics ausführt, sind die Topics in einem Topicbereich enthalten. Die Identitäten aller Clients, die Veröffentlichungen in einem Topic durchführen, müssen zu einer Gruppe gehören, die die Rolle "Sender" für den Topicbereich hat. Alle Clientanwendungen, die ein Topic subskribieren, müssen zu einer Gruppe gehören, die die Rolle "Receiver" (Empfang) für den Topicbereich hat. Nähere Informationen finden Sie im Artikel Rollen für das Stammverzeichnis eines Topicbereichs verwalten. Standardmäßig werden auch Überprüfungen der Berechtigungen auf Topicebene durchgeführt. Sie können die Prüfung auf Topicebene inaktivieren oder festlegen, welche Gruppen von Clientanwendungen Sie für den Zugriff auf ausgewählte Topics berechtigen möchten.
- Welche Verbindungen müssen gesichert werden?
- Legen Sie fest, welche der folgenden Verbindungen mit SSL gesichert werden sollen:
- Verbindungen zwischen Clients und Servern (Messaging-Engines),
- Verbindungen zwischen Messaging-Engines in einem Bus,
- Verbindungen zwischen Bussen.
Nähere Informationen hierzu finden Sie im Artikel Nachrichten zwischen Messaging-Bussen sichern.
- Welche Benutzer-IDs werden in den Nachrichten gespeichert, die zwischen dem Bus und fremden Bussen übertragen werden?
- Wenn eine Nachricht gesendet wird, wird die Benutzer-ID des Senders in der Nachricht gespeichert und für alle
nachfolgenden Zugriffssteuerungsprüfungen für die Nachricht verwendet. Wenn eine Verbindung zwischen Bussen
besteht, können Sie die eingehende ID und die abgehende ID in der Verbindung konfigurieren,
um zu kontrollieren, welche Benutzer-ID in den Nachrichten ID gespeichert wird, die Ihr Bus an fremde Busse sendet und von fremden Bussen empfängt. Die eingehende ID ersetzt die Benutzer-ID in jeder Nachricht, die über die Verbindung an den Bus übertragen wird. Die eingehende ID wird verwendet, um den Zugriff auf Nachrichten im Bus zu steuern. Sie können eine eingehende ID aus den folgenden Gründen konfigurieren:
- Der lokale Bus und der fremde Bus sind in verschiedenen Sicherheitsdomänen enthalten.
- Der fremde Bus ist nicht sicher.
- Sie können die Zugriffssteuerung einfacher steuern, wenn jede Nachricht dieselbe Benutzer-ID hat.
Die abgehende ID ersetzt die Benutzer-ID in jeder Nachricht, die über die Verbindung vom Bus übertragen wird. Sie können eine abgehende ID konfigurieren, um zu verhindern, dass die ursprünglichen Benutzer-IDs in den Nachrichten im fremden Bus übertragen werden.
Nähere Informationen finden Sie im Artikel Links zwischen Messaging-Engines sichern.
- Welche Stufe der Datenspeichersicherheit ist erforderlich?
- Das Messaging-System kann einen Datenspeicher (Datenbank) verwenden, um Nachrichten auf einer Platte zu speichern. Die Nachrichten im Datenspeicher können durch einen Benutzernamen und ein Kennwort geschützt werden. Sie müssen entscheiden, ob diese Sicherheit für Ihren Datenspeicher ausreichend ist. Ihr Datenbank stellt unter Umständen weitere Sicherheitsoptionen bereit, z. B. Datenverschlüsselung. Nähere Informationen finden Sie im Artikel Datenbankzugriff sichern.