Sécurité du gestionnaire de travaux
Lors de l'exécution du processus d'enregistrement du gestionnaire de travaux, de nombreux impacts sur la sécurité de WebSphere Application Server sont à prendre en compte.
Remarque : Dans WebSphere Application Server version 7.0, un nouveau style
de gestion de système appelé gestion flexible a été ajouté. La différence avec le style existant d'appel synchrone et de réponse
via wsadmin ou les API Java™ est le travail asynchrone
avec un mécanisme créé à des fins administratives. La gestion flexible comprend
un nouveau processus administratif appelée gestionnaire de travaux. Via un processus d'enregistrement, vous pouvez enregistrer les serveurs d'applications
sur des agents d'administration et des serveurs du gestionnaire de déploiement connus du gestionnaire
de travaux. Après l'enregistrement des serveurs, vous pouvez mettre en
attente des travaux d'administration destinés aux serveurs
d'administration ou aux gestionnaires de déploiement via le
gestionnaire de travaux. Vous pouvez soumettre ces travaux à un
grand nombre de serveurs sur une zone géographique étendue. Vous devez garder à l'esprit un certain nombre de considérations en matière de sécurité pendant et après
le processus d'enregistrement du gestionnaire de travaux.
Prenez en compte les points ci-dessous :
- Les éléments de configuration de sécurité requis doivent être le moins nombreux possible avant l'enregistrement.
- Autorisation d'un agent ou d'un gestionnaire de déploiement (dmgr) à être fédéré au
gestionnaire de travaux quasiment sans configuration de sécurité. Voici quelques exceptions :
- L'agent d'administration ou le gestionnaire de déploiement doivent avoir le même état de sécurité d'administration (activé ou désactivé).
- Pour activer la sécurité après le processus de fédération, vous devez activer tous les processus d'agent d'administration et de gestionnaire de déploiement au sein du même domaine d'administration, puis redémarrer tous ces processus en même temps.
- Optimisation de la création d'un certificat chaîné pour échanger uniquement les certificats racine de longue vie entre un agent d'administration, un gestionnaire de déploiement et un gestionnaire de travaux. Lorsqu'un certificat personnel expire dans l'agent d'administration, le gestionnaire de déploiement ou le gestionnaire de travaux, cela n'affecte pas la sécurité établie lors de la fédération.
- Utilisation du mécanisme d'authentification spécifique à l'administration du certificat Rivest Shamir Adleman (RSA), qui ne dépend pas des clés partagées et qui est le mécanisme d'authentification d'administration par défaut pour le gestionnaire de travaux. Le mécanisme d'authentification du jeton RSA est également nouveau dans cette version de WebSphere Application Server. Voir Mécanisme d'authentification des jetons RSA pour plus d'informations.
- Ajout d'un profil UUID (Identificateur universel unique) à tous les certificats générés par WebSphere Application Server Version 8.0. Ce profil UUID sert à autoriser les requêtes permettant d'extraire les travaux de la file d'attente du gestionnaire de travaux.
Les travaux du gestionnaire de travaux peuvent être associés aux justificatifs de l'appelant : LTPA (Lightweight Third-Party Authentication), Kerberos ou avec les droits d'accès spécifiés (ID utilisateur et mot de passe). Les deux sont stockés avec les travaux. Le mot de passe est grisé à l'aide des utilitaires standard et peut être chiffré lorsque le point de connexion pour le chiffrement du mot de passe est activé. LTPA et Kerberos sont régénérés tant que le mécanisme d'authentification l'autorise.
Les travaux du gestionnaire de travaux peuvent être associés aux justificatifs de l'appelant : LTPA (Lightweight Third-Party Authentication) ou avec les droits d'accès spécifiés (ID utilisateur et mot de passe). Les deux sont stockés avec les travaux. Le mot de passe est grisé à l'aide des utilitaires standard et peut être chiffré lorsque le point de connexion pour le chiffrement du mot de passe est activé. LTPA est régénéré tant que le mécanisme d'authentification l'autorise.
Avec cette version du service, les travaux du gestionnaire de travaux peuvent être associés aux droits d'accès de l'appelant : LTPA (Lightweight Third-Party Authentication), Kerberos ou avec les droits d'accès spécifiés (ID utilisateur et mot de passe). Les deux sont stockés avec les travaux. Le mot de passe est grisé à l'aide des utilitaires standard et peut être chiffré lorsque le point de connexion pour le chiffrement du mot de passe est activé. LTPA et Kerberos sont régénérés tant que le mécanisme d'authentification l'autorise.
- L'accès de l'agent d'administration ou du gestionnaire de déploiement à FileTransferServlet s'effectue par l'envoi d'un certificat RSA valide sécurisé par le gestionnaire de travaux et approuvé par CertPath.
Les rôles d'administration pour l'exécution de travaux de gestion flexibles sont définis par les commandes d'administration sous-jacentes utilisées par ces travaux. Par exemple, le rôle requis pour le démarrage et l'arrêt des serveurs est le rôle d'opérateur. Le rôle d'opérateur est également requis pour l'exécution des travaux de gestion flexibles qui démarrent et arrêtent les serveurs. Les règles générales pour l'attribution de rôles d'administration sont :
- L'affichage de données requiert le rôle de moniteur.
- La mise à jour de données requiert le rôle de configurateur.
- La gestion de travaux requiert le rôle d'opérateur.
- L'enregistrement ou le désenregistrement de noeuds gérés requiert le rôle d'administrateur.