Planejamento de Segurança de Integração de Serviço
Ao planejar a segurança do sistema de mensagens, o intervalo de opções disponíveis para você pode ser descrito por meio de um conjunto de perguntas mais frequentes.
- Como Proteger o Barramento?
- Quem tem autoridade para acessar o barramento?
- Quem tem autoridade para acessar os destinos do barramento?
- Quais conexões devo proteger?
- Quais IDs de usuário são armazenados nas mensagens transmitidas entre o barramento e quaisquer barramentos externos?
- Qual nível de segurança do armazém de dados é necessário?
Se estiver usando a integração de serviços com os serviços da Web, consulte Protegendo Serviços da Web Ativados para Barramento.
- Como Proteger o Barramento?
- Desde que a segurança global do WebSphere Application Server
esteja ativada e um registro do usuário esteja configurado, um novo barramento de
integração de serviços recém-criado é protegido por padrão. O sinalizador Ativar
Segurança do Barramento na definição do barramento é marcado por
padrão. Isto significa que o mecanismo do sistema de mensagens autentica todos os
aplicativos clientes de conexão e desempenha as verificações de autorização em cada
aplicativo cliente que tenta acessar os recursos do barramento. Para obter informações adicionais sobre a ativação da segurança do barramento, consulte Segurança do Sistema de Mensagens.
Quando você cria um novo barramento, ou deseja proteger um barramento existente, o assistente de Segurança do Barramento solicita que especifique um domínio de segurança. O domínio de segurança contém as configurações de segurança para o barramento. É possível especificar o domínio global padrão, ou um domínio alternativo, dependendo das versões dos membros do barramento:
- Domínio Global
- Este é o domínio de segurança padrão. Você deve especificar o domínio global para barramentos de versões combinadas.
- Domínios de Nível de Célula ou Customizados
- Se o barramento contiver apenas membros do barramento do WebSphere Application Server Versão 7.0 ou posterior, você poderá configurar o barramento para utilizar o domínio de segurança padrão da célula ou um domínio de segurança customizado. Geralmente, um domínio de segurança customizado contém configurações de segurança específicas de um determinado barramento. É possível configurar domínios de segurança adicionais, separados, para aplicativos de usuário, como o UserRepository. Para obter mais informações sobre o uso de múltiplos domínios de segurança para o barramento, consulte Segurança do Sistema de Mensagens e Vários Domínios de Segurança.
- Quem tem autoridade para acessar o barramento?
- Quando um aplicativo cliente tenta conectar-se ao barramento, o mecanismo do sistema de mensagens autentica as credenciais (uma identidade e uma senha) do aplicativo cliente em contraste com o registro do usuário. Se o cliente for autenticado com êxito, o mecanismo do sistema de mensagens verificará se o cliente tem autoridade para conectar-se ao barramento. Todos os aplicativos clientes que tenham uma identidade de usuário e senha válidos no registro do usuário podem autenticar com êxito, mas é provável que não queira que cada aplicativo cliente tenha autoridade para se conectar ao barramento. Para controlar o acesso ao barramento, é necessário conceder autoridade para aplicativos clientes específicos na função de conector do barramento. Você cria um grupo no registro do usuário, inclui as identidades dos aplicativos clientes no grupo e, então, inclui o grupo na função de conector do barramento. Para obter informações adicionais, consulte Administrando a Função de Conector do Barramento.
- Quem tem autoridade para acessar os destinos do barramento?
- Para cada destino, é necessário decidir quais clientes requerem autoridade para assumir operações em um destino de barramento e quais operações (ou funções) que precisam assumir. A autoridade é concedida incluindo grupos
e membros do grupo nas funções. Por exemplo, se você desejar que um grupo de
aplicativos clientes chamado MyGroup envie mensagens para
um destino de fila chamado MyQueue, inclua MyGroup na
função de emissor para MyQueue. Para obter informações adicionais, consulte
Administrando Funções de Destino.
É possível definir um conjunto de permissões padrão que se aplicam a cada destino em um barramento. Por exemplo, se você desejar autorizar que todos os membros de um grupo chamado MyMediations enviem mensagens para cada destino em um barramento selecionado, poderá incluir MyMediations na função de emissor padrão. Por padrão, todos os destinos locais herdam as funções do recurso padrão. É possível optar por substituir a herança padrão para os destinos selecionados. Para obter informações adicionais sobre funções padrão, consulte Administrando Funções Padrão. Para obter informações adicionais sobre a substituição de herança de função padrão, consulte Desativando a Herança do Recurso Padrão.
Se um grupo de aplicativos clientes aplicar e assinar tópicos, os tópicos existirão em um espaço de tópico. As identidades de todos os clientes que publicam um tópico devem pertencer a um grupo que tenha a função de emissor para o espaço de tópico. Todos os aplicativos clientes que assinam um tópico devem pertencer a um grupo que tenha a função de receptor no espaço de tópico. Para obter mais informações, consulte Administrando Funções Raiz do Espaço de Tópicos. Por padrão, também existem verificações de permissões de autorização no nível de tópico. É possível desativar a verificação no nível de tópico ou decidir quais grupos de aplicativos clientes terão autorização para acessar os tópicos selecionados.
- Quais conexões devo proteger?
- Decida quais destas conexões devem ser protegidas com SSL:
- Conexões entre os clientes e servidores (mecanismos do sistema de mensagens).
- Conexões entre mecanismos do sistema de mensagens dentro de um barramento.
- Conexões entre barramentos.
Para obter informações adicionais, consulte Protegendo Mensagens entre Barramentos de Sistema de Mensagens.
- Quais IDs de usuário são armazenados nas mensagens transmitidas entre o barramento e quaisquer barramentos externos?
- Quando uma mensagem é enviada, o ID do usuário do emissor é armazenado na mensagem e utilizado para quaisquer verificações de controle de acesso subseqüentes na mensagem. Onde existe um link entre barramentos, você pode configurar
o ID de Entrada e o ID de Saída no link para controlar qual ID do
usuário é armazenado nas mensagens transmitidas entre os barramentos local e externo. O ID de Entrada substitui o ID do usuário em todas as mensagens que são transmitidas por meio do link para dentro do barramento. O ID de Entrada é utilizado para controlar o acesso às mensagens dentro do barramento. Convém configurar um ID de Entrada pelas seguintes razões:
- O barramento local e o barramento externo existem em domínios de segurança separados.
- O barramento externo não é seguro.
- É possível gerenciar o controle de acesso mais facilmente quando todas as mensagens têm o mesmo ID do usuário.
O ID de Saída substitui o ID do usuário em todas as mensagens que são transmitidas por meio do link para fora do barramento. Convém configurar um ID de Saída quando você desejar impedir que o ID do usuário original seja transportado nas mensagens no barramento externo.
Para obter informações adicionais, consulte Protegendo Links entre Mecanismos do Sistema de Mensagens.
- Qual nível de segurança do armazém de dados é necessário?
- O sistema de mensagens pode utilizar um armazém de dados (banco de dados) para armazenar mensagens em um disco. As mensagens no armazém de dados podem ser protegidas por um nome de usuário e senha. Você deve considerar se esta segurança é suficiente para seu armazém de dados. O banco de dados pode fornecer opções de segurança adicionais, como por exemplo a criptografia de dados. Para obter informações adicionais, consulte Protegendo o Acesso ao Banco de Dados.