![[IBM i]](../images/iseries.gif)
对象和文件安全性
本主题讨论包含敏感信息并且需要保护的各种对象和文件。
保护集成文件系统文件
除了企业 bean 和 servlet 之外,WebSphere® Application Server 还会访问集成文件系统流文件。下列文件可能包含敏感信息。建议密切关注这些文件以确保不会对未授权访问进行授权。
- 在概要文件的 /properties 子目录中,下列文件可包含用户标识和密码:
- sas.client.props
- soap.client.props
- sas.stdclient.properties
- sas.tools.properties
- wsserver.key
在缺省情况下,/properties 子目录在 profile_root 目录中。先前的每个文件在交付时,其 *PUBLIC 权限设置为 *EXCLUDE。对于这些文件,QEJBSVR 用户概要文件被授予 *RW 权限。还可通过密码编码提供更多保护。有关更多信息,请参阅密码编码和加密。
- 如果概要文件在 /etc 子目录中,那么应保护为 WebSphere Application Server 概要文件创建的所有密钥 (KDB) 文件和信任 (JKS) 文件。
对于 JKS 文件,那么 QEJBSVR 用户概要文件应具有 *R 权限,并且 *PUBLIC 应具有 *EXCLUDE 权限。
对于 KDB 文件,运行 Web 服务器的用户概要文件应具有 *RX 权限,并且 *PUBLIC 应具有 *EXCLUDE 权限。
保护 WebSphere Application Server 的数据库资源
WebSphere Application Server 使用表来保存用户应用程序的数据,如企业 bean 持久性和 servlet 会话数据。有若干选项可用来控制允许哪些用户概要文件访问此用户数据。有关更多信息,请参阅数据库访问安全性。
保护 WebSphere Application Server 文件
当您启用 WebSphere Application Server 安全性时,服务器用户概要文件和密码将放置到使用操作系统安全性以安全方式进行维护的服务器配置文件中。此外,还可用密码来保护某些 WebSphere Application Server 资源。这些密码也将放置在服务器配置文件中。服务器自动对密码进行编码以避免其他人无意中看到,但只是通过对密码编码来进行保护是不够的。
下列文件在概要文件的
/config 子目录中,并且它们可包含用户标识和密码:
- cells/cell_name/security.xml
- cells/cell_name/nodes/node_name/resources.xml
- cells/cell_name/nodes/node_name/servers/server_name/server.xml
服务器用户概要文件和密码用于在服务器初始化时认证服务器。由于下列原因,此认证是必需的:
- 在企业 bean 安全性经过部署,以对方法授权使用 SYSTEM_IDENTITY 时,该用户标识和密码将用作服务器的系统标识。在这种情况下,在进行企业 bean 之间的方法调用时将使用该用户标识和密码。
- 该用户标识和密码用于认证服务器以进行服务器间通信。因为这些文件的安全性可能会受到损害,所以请对服务器标识和密码使用非缺省用户概要文件。缺省用户概要文件为 QEJBSVR。如果使用本地操作系统用户注册表,那么可能会选择创建并使用没有特权的用户概要文件。有关更多信息,请参阅使用特定用户概要文件运行应用程序服务器。
保护 WebSphere Application Server 的用户概要文件
缺省情况下,首次安装 WebSphere Application Server 时,它将使用下列用户概要文件:
- QEJB
- 此概要文件提供对某些管理数据(包括密码)的访问。
- QEJBSVR
- 此概要文件提供运行 WebSphere Application Server 的上下文。出于安全性或管理用途,可能希望创建其他用户概要文件,用来运行 WebSphere Application Server 的各个部分。有关更多信息,请参阅使用特定用户概要文件来运行应用程序服务器。