处于多节点 WebSphere Application Server WebSphere Application Server Network Deployment 环境时的安全性注意事项
WebSphere® Application Server Network Deployment 支持集中管理分布式节点和应用程序服务器。此支持本质上就很复杂,特别是包括安全性时。因为一切都是分布式的,所以为了确保通信在应用程序服务器和节点代理程序之间以及在节点代理程序(特定于节点的配置管理器)和 Deployment Manager(域范围的集中式配置管理器)之间受到适当的保护,安全性起到了更重要的作用。
开始之前
因为进程是分布式的,必须使用的认证机制为轻量级第三方认证 (LTPA)。LTPA 令牌已加密和签名,并可转发到远程进程。但是,令牌会到期。SOAP 连接器(缺省连接器)用于管理安全性,它没有用于到期令牌的重试逻辑。但是,协议是无状态的,因此,如果在令牌中剩余的给定时间内,没有足够的时间运行请求,那么会为每个请求创建新令牌。备用连接器是 RMI 连接器,它是有状态的,并具有一些重试逻辑,以通过在检测到错误后重新提交请求来改正到期令牌。而且,因为令牌在指定时间到期,所以系统时钟的同步对于进行基于令牌的验证操作是至关重要的。如果时钟偏差过多(大约 10-15 分钟),那么可能遇到不可恢复的验证故障(通过使它们同步可避免的故障)。验证系统之间的时间、日期和时区是否都相同。节点可接受的是跨时区,假设时间在时区是正确的(例如,5 PM CST = 6 PM EST,等)。
因为进程是分布式的,所以必须选择支持认证令牌的认证机制(如轻量级第三方认证 (LTPA))。这些令牌已加密和签名,并可转发到远程进程。但是,这些令牌具有到期时间,这些时间是在
WebSphere Application Server 管理控制台上设置的。SOAP 连接器(它是缺省连接器)用于管理安全性,它没有用于到期令牌的重试逻辑。但是,协议是无状态的,因此,如果在令牌中剩余的给定时间内,没有足够的时间运行请求,那么会为每个请求创建新令牌。备用连接器是远程方法调用 (RMI) 连接器,它是有状态的,并具有一些重试逻辑,以通过在检测到错误后重新提交请求来改正到期令牌。而且,因为令牌在指定时间到期,所以系统时钟的同步对于进行基于令牌的验证操作是至关重要的。如果时钟偏差过多(大约 10-15 分钟),那么可能遇到不可恢复的验证故障(通过使它们同步可避免的故障)。验证系统之间的时间、日期和时区是否都相同。节点可接受的是跨时区,假设时间在时区是正确的(例如,5 PM CST = 6 PM EST,等)。
![[z/OS]](../images/ngzos.gif)
- 供 Web 容器使用的系统 SSL 指令表
- SOAP HTTP 连接器使用的 Java™ 安全套接字扩展 (JSSE) SSL 指令表(如果 SOAP 连接器用于管理请求)
WebSphere z/OS Profile Management Tool 或 zpmt 命令使用同一认证中心为给定单元中的所有服务器(包括节点代理程序和 Deployment Manager 的那些服务器)生成证书。