Zugriffssteuerung für mehrere Busse
Die Messaging-Engine in einem Service Integration Bus (SIB) verwendet rollenbasierte Berechtigungen, um sicherzustellen, dass lokale Busse Nachrichten mit fremden SIBs und mit IBM MQ sicher austauschen können.
Die Serviceintegrationsberechtigung ist rollenbasiert. Durch die Zuordnung einer Gruppe von Benutzeridentitäten im Benutzerrepository zu einer oder mehreren Zugriffsrollen für ein Ziel in einem lokalen Bus können Sie steuern, wer berechtigt ist, auf dieses Busziel zuzugreifen und Operationen für dieses Ziel auszuführen. Die Messaging-Engine verwendet die Rollenzuordnungen zur Laufzeit, um zu bestimmen, welche Operationen von Gruppenmembern am Ziel ausgeführt werden können. Wenn eine Clientanwendung Nachrichten mit einem anderen Bus austauschen muss, müssen Sie die Identität der Clientanwendung den Rollen "Sender" und "Receiver" (Empfänger) für den fernen (fremden) Bus zuordnen. Wenn die Clientanwendung eine Nachricht vom lokalen Busziel an das fremde Busziel sendet, führt die Messaging-Engine eine zweistufige Berechtigungsüberprüfung der Identität der Clientanwendung durch:
- Erste Stufe der Berechtigungsprüfung
- Wenn die Clientanwendung eine Nachricht vom lokalen Ziel sendet, prüft die Messaging-Engine, ob die Identität der Clientanwendung in der Rolle "Sender" für das fremde Busziel berechtigt ist.
- Zweite Stufe der Berechtigungsprüfung
- Wenn das fremde Busziel die Nachricht empfängt, prüft die Messaging-Engine, ob die Nachrichtenidentität (die anfänglich auf die Identität der sendenden Clientanwendung gesetzt wird), in der Rolle "Sender" für das fremde Busziel brechtigt ist.
Nachrichten werden über eine Proxy-Definition für das fremde Busziel oder über die Definition eines fremden Busses an ein fremdes Busziel gesendet. Die Definition enthält die Berechtigung, die bestimmt, ob der Sender berechtigt ist, Nachrichten an den fremden Bus zu senden. Mit Definitionen fremder Ziele können Sie Berechtigungen auf Zielbasis erteilen. Wenn keine Definition eines fremden Ziels für ein bestimmtes Ziel vorhanden ist, verwendet die Messaging-Engine die Standarddefinition des fremden Busses.
Es ist wichtig zu begreifen, dass die Rollenzuordnungen für den fremden Bus bzw. für das fremde Busziel steuern, ob eine Clientanwendung Nachrichten an den fremden Bus senden kann. Wenn der fremde Bus eine Nachricht empfängt, verwendet die Messaging-Engine im fremden Bus die Rollenzuordnungen des fremden Busses, um zu prüfen, ob die Nachricht an das fremde Busziel weitergeleitet werden darf.
Für die zweite Stufe der Berechtigungsprüfung verwendet die Messaging-Engine die Identität, die in der Nachricht gespeichert ist. Diese ist zunächst auf die Identität der sendenden Clientanwendung gesetzt, kann aber am fremden Busziel durch Werte überschrieben werden, die mit den Eigenschaften für die eingehende Benutzer-ID bzw. abgehende Benutzer-ID angegeben wurden. In diesem Fall verwendet die Messaging-Engine die eingehende bzw. abgehende Benutzer-ID, um die Berechtigungsprüfungen im fremden Bus durchzuführen, und nicht die Identität der ursprünglichen sendenden Clientanwendung.
- Die sendende Clientanwendung muss in der Rolle "Sender" für die entsprechenden fremden Busziele berechtigt sein.
- Die fremden Busziele müssen vorhanden sein.
Die Überprüfung der eingehenden und abgehenden Benutzer-IDs wird auch durchgeführt, wenn Nachrichten über mehrere Busse weitergeleitet und Nachrichten an ein IBM MQ-Netz gesendet werden.
Wenn sichere Busse miteinander verbunden werden, muss der Link zwischen den beiden Bussen sicher sein. Um die Daten zu schützen, die über den virtuelle Link zwischen den Bussen mit SSL übertragen werden, müssen Sie die erforderlichen Transportketten definieren und dann denn Namen der Transportkette referenzieren.