Seguridad del gestor de trabajos
Al realizar un proceso de registro del gestor de trabajos, deben tenerse en cuenta un número de impactos en la seguridad de WebSphere Application Server.
Nota: En WebSphere Application
Server Versión 7.0, se ha introducido un nuevo estilo de gestión flexible. Difiere del estilo existente de llamadas de invocación y respuesta síncronas a través de wsadmin o las API de Java™ API al ofrecer un mecanismo asíncrono de colocación de trabajos en cola con fines administrativos. El aspecto principal de la gestión flexible es un nuevo proceso administrativo llamado gestor de trabajos. Puede registrar ambos servidores de aplicaciones en agentes administrativos
y servidores de gestores de despliegue conocidos para el gestor de trabajo
mediante un proceso de registro. Tras registrar los servidores, puede poner en cola los trabajos administrativos
dirigidos a los servidores de aplicaciones o gestores de despliegue mediante el
gestor de trabajos. Puede someter estos trabajos en un número elevado de servidores en un área
geográficamente extensa. Existen varias consideraciones de seguridad
que se deben tener en cuenta tanto durante como después del proceso de registro
del gestor de trabajos.
Tenga en cuenta lo siguiente:
- Debe mantenerse un mínimo de requisitos de configuración de seguridad antes del registro.
- Permita a un agente o un gestor de despliegue (dmgr) federarse para el gestor de trabajos con casi cualquier configuración de seguridad. Algunas excepciones incluyen:
- El agente administrativo o el gestor de despliegue deben tener el mismo estado de seguridad administrativa (habilitado o inhabilitado).
- Para habilitar la seguridad tras la federación, deberá habilitar todos los procesos de agente administrativo y de gestor de despliegue en el mismo dominio administrativo y, a continuación, reiniciar todos los procesos a la vez.
- Aproveche la creación de un certificado encadenado para intercambiar únicamente los certificados raíz de larga duración entre un agente administrativo, un gestor de despliegue y un gestor de trabajos. Cuando caduca un certificado personal en el agente administrativo, el gestor de despliegue o el gestor de trabajos, ello no afecta a la confianza establecida durante la federación.
- Utilice el mecanismo de autenticación específico de la administración de certificados RSA (Rivest Shamir Adleman), el cual no se basa en claves compartidas y que es el mecanismo de autenticación administrativa por omisión del gestor de trabajo. El mecanismo de autenticación de señales RSA es también nuevo para este release de WebSphere Application Server. Para obtener más información, consulte Mecanismo de autenticación de señales RSA.
- Añada un identificador único universal (UUID) de perfil a todos los certificados generados en WebSphere Application Server Versión 8.0. Este UUID de perfil se utiliza para autorizar solicitudes para extraer trabajos de la cola del gestor de trabajos.
Los trabajos del gestor de trabajos se pueden asociar con credenciales de emisor: LTPA (Lightweight Third-Party Authentication) o Kerberos o bien con credenciales especificadas utilizando un ID de usuario y una contraseña. Ambos tipos se almacenan con el trabajo. La contraseña se volverá ininteligible si se utilizan programas de utilidad estándar y podrá cifrarse cuando se habilite el punto de conexión del cifrado de contraseñas. LTPA y Kerberos se renuevan a condición de que el mecanismo de autenticación lo permita.
Los trabajos del gestor de trabajos se pueden asociar con credenciales de emisor: LTPA (Lightweight Third-Party Authentication) o con credenciales especificadas utilizando un ID de usuario y una contraseña. Ambos tipos se almacenan con el trabajo. La contraseña se volverá ininteligible si se utilizan programas de utilidad estándar y podrá cifrarse cuando se habilite el punto de conexión del cifrado de contraseñas. LTPA se renueva a condición de que el mecanismo de autenticación se lo permita.
Con este release de servicio, los trabajos del gestor de trabajos se pueden asociar con credenciales de emisor: LTPA (Lightweight Third-Party Authentication) o Kerberos o bien con credenciales especificadas utilizando un ID de usuario y una contraseña. Ambos tipos se almacenan con el trabajo. La contraseña se volverá ininteligible si se utilizan programas de utilidad estándar y podrá cifrarse cuando se habilite el punto de conexión del cifrado de contraseñas. LTPA y Kerberos se renuevan a condición de que el mecanismo de autenticación lo permita.
- El acceso del agente administrativo o del gestor de despliegue a FileTransferServlet se lleva a cabo mediante el envío de un certificado RSA válido en el que confía el gestor de trabajos y que valida CertPath.
Los roles administrativos necesarios para ejecutar trabajos de gestión flexible se definen mediante los mandatos administrativos subyacentes utilizados por dichos trabajos. Por ejemplo, el rol necesario para iniciar y detener servidores es el rol de operador. El rol de operador también es necesario para la ejecución de trabajos de gestión flexible que inician y detienen servidores. Las reglas generales para asignar los roles administrativos necesarios son:
- La visualización de los datos requiere el rol de supervisor.
- La actualización de datos requiere el rol de configurador.
- La gestión de trabajos requiere el rol de operador.
- El registro o la cancelación del registro de nodos gestionados requiere el rol de administrador.