다중 노드 WebSphere Application Server WebSphere Application Server, Network Deployment 환경의 보안 고려사항

WebSphere® Application Server, Network Deployment에서는 분산 노드 및 애플리케이션 서버의 중앙 관리를 지원합니다. 이 지원은 본질적으로 복잡하게 만들며, 특히 보안이 포함될 때 그렇습니다. 모든 것이 분배되므로, 보안은 애플리케이션 서버와 노드 에이전트 간, 그리고 노드 에이전트(노드별 구성 관리자)와 배치 관리자(도메인별 중앙 구성 관리자) 간의 안전한 통신을 보장하는 데 보다 더 큰 역할을 수행합니다.

시작하기 전에

[AIX Solaris HP-UX Linux Windows][IBM i]프로세스가 분배되기 때문에 사용되어야 하는 인증 메커니즘은 LTPA(Lightweight Third Party Authentication)입니다. LTPA 토큰은 암호화되고 서명되므로 원격 프로세스로 전달 가능합니다. 그러나 토큰은 만기가 있습니다. 관리 보안에 사용되며 만기된 토큰에 대한 재시도 논리를 갖지 않습니다. 그러나 프로토콜은 Stateless이므로 토큰에 남은 주어진 시간을 갖는 요청을 실행하기에 시간이 부족한 경우 각 요청에 대해 새 토큰이 작성됩니다. 대체 커넥터는 Stateful하며 오류가 발견된 이후에 요청을 다시 제출하여 만기된 토큰을 정정하는 몇 가지 재시도 논리가 있는 RMI 커넥터입니다. 또한 토큰은 시간별 만기를 가지므로 시스템 시계의 동기화는 토큰 기반 유효성 검증을 제대로 조작하는 데 중요합니다. 시계가 너무 많이 Off되는 경우(대략 10-15분), 복구할 수 없는 유효성 검증 장애(시계를 동기화함으로써 피할 수 있었음)가 발생할 수 있습니다. 시계 시간, 날짜 및 시간대가 시스템 사이에서 모두 동일한지 확인하십시오. 시간대(예: 5 PM CST = 6 PM EST) 내에서 시간이 올바르게 제공된 시간대의 노드에서는 승인 가능합니다.

[z/OS]프로세스가 분배되므로 LTPA(Lightweight Third Party Authentication)와 같이 인증 토큰을 지원하는 인증 메커니즘을 선택해야 합니다. 토큰은 암호화되고 서명되므로 원격 프로세스로 전달 가능합니다. 그러나 토큰에는 WebSphere Application Server 관리 콘솔에 설정되는 만기 시간이 있습니다. 기본 커넥터인 SOAP 커넥터는 관리 보안에 사용되며 만기된 토큰에 대한 재시도 논리를 갖지 않습니다. 그러나 프로토콜은 Stateless이므로 토큰에 남은 주어진 시간을 갖는 요청을 실행하기에 시간이 부족한 경우 각 요청에 대해 새 토큰이 작성됩니다. 대체 커넥터는 Stateful하며 오류가 발견된 이후에 요청을 다시 제출하여 만기된 토큰을 정정하는 몇 가지 재시도 논리가 있는 RMI(Remote Method Invocation) 커넥터입니다. 또한 토큰은 시간별 만기를 가지므로 시스템 시계의 동기화는 토큰 기반 유효성 검증을 제대로 조작하는 데 중요합니다. 시계가 너무 많이 Off되는 경우(대략 10-15분), 복구할 수 없는 유효성 검증 장애(시계를 동기화함으로써 피할 수 있었음)가 발생할 수 있습니다. 시계 시간, 날짜 및 시간대가 시스템 사이에서 모두 동일한지 확인하십시오. 시간대(예: 5 PM CST = 6 PM EST) 내에서 시간이 올바르게 제공된 시간대의 노드에서는 승인 가능합니다.

[z/OS]SSL(Secure Sockets Layer)에 추가 고려사항이 있습니다. WebSphere Application Server for z/OS®는 SSL에 사용되는 키 및 신뢰 저장소를 저장하는 데 RACF®(Resource Access Control Facility)를 사용할 수 있지만, 내부적으로 서로 다른 SSL 프로토콜이 사용됩니다. 다음 두 가지를 모두 설정해야 합니다.
  • 웹 컨테이너에서 사용할 시스템 SSL 레퍼토리
  • SOAP 커넥터가 관리 요청에 사용될 경우 SOAP HTTP 커넥터에 사용할 JSSE(Java™ Secure Sockets Extension) SSL 레퍼토리
사용자가 구성하는 키 저장소 및 신뢰 저장소가 이들이 통신하는 서버만을 신뢰하도록 설정되었는지 확인하십시오. 그러나 도메인의 모든 서버의 trustfile에 있는 서버에서 필요한 서명자 인증을 포함해야 합니다. 개인 인증서를 작성하기 위해 CA(Certificate Authority)를 사용하면, 모든 서명자에 CA 루트 인증서를 가짐으로써 모든 서버가 서로 신뢰함을 보장하기가 더 쉽습니다.

[z/OS]WebSphere z/OS Profile Management Tool 또는 zpmt 명령은 노드 에이전트 및 배치 관리자의 인증을 비롯하여 지정된 셀 내의 모든 서버에 대한 인증을 생성할 때 동일한 CA(Certificate Authority)를 사용합니다.

이 태스크 정보

WebSphere Application Server, Network Deployment 환경에서 사용하거나 계획할 때 다음 사항을 고려하십시오.

프로시저

결과

분배된 서버 간의 보안 상호작용에 대한 적절한 이해는 보안 통신에서 발생한 문제점을 크게 줄입니다. 추가 기능을 관리해야 하므로 보안이 복잡도를 추가합니다. 보안이 적절하게 작업하게 하려면, 사용자의 하부 구조 계획 중에 충분한 고려사항이 필요합니다.

다음에 수행할 작업

WebSphere Application Server, Network Deployment 환경과 관련된 보안 문제점이 발생한 경우, 문제점에 대한 추가 정보를 찾으려면 문제점 해결 보안 구성의 내용을 참조하십시오. 문제점을 풀기 위해 추적이 필요하면, 서버가 분배되므로 문제점을 재작성 중인 동안 동시에 모든 서버에서 추적을 수집하는 것이 매우 자주 요청됩니다. 이 추적은 발생하는 문제점 유형에 따라 동적으로 또는 정적으로 사용 가능할 수 있습니다.

주제 유형을 표시하는 아이콘 태스크 주제



시간소인 아이콘 마지막 업데이트 날짜: last_date
http://www14.software.ibm.com/webapp/wsbroker/redirect?version=cord&product=was-nd-mp&topic=tsec_esecarun
파일 이름:tsec_esecarun.html