调解安全性
启用总线安全性后,需要授权许可权来确保调解可运行并安全地对服务集成总线执行消息传递操作。调解安全性有一些对应的机制,在跨多个安全域的总线上运行调解有一些隐含意义。
- WebSphere® Application Server V7.0 或更高版本 总线成员将 LTPA 令牌用于消息传递引擎认证。如果指定了认证别名,那么会使用该别名,但不需要密码。
- WebSphere Application Server V6 总线成员需要认证别名来确保可调用调解。有关更多信息,请参阅 配置总线以访问受保护调解。
当应用程序将消息发送至总线时,发送方应用程序的标识与该消息关联。如果消息发起方对正向路由路径中的下一个目标具有发送方权限,那么会将消息发送至该目标。如果调解在期望目标上按某种方式处理消息,那么缺省情况下与该消息相关联的标识会被保留。可对调解进行编程以将消息标识重设为运行调解代码的标识。例如,如果调解目标表示两个安全域之间的边界,那么发送方应用程序无权访问调解目标。通过将不同标识转换为单个用户标识,可控制安全域之间的访问。有关调解编程的更多信息,请参阅调解编程。有关使用 resetIdentity() 方法的更多信息,请参阅 SIMediationSession。
安装调解以供在启用总线安全性后使用时,必须确保总线调用调解时使用的标识可访问该调解。缺省情况下,调解未经认证。可以通过使用组装工具指定 RunAs 角色以将调解配置为使用调解认证别名。有关更多信息,请参阅 为调解处理程序配置备用调解标识。
如果已启用总线安全性,并且调解将消息发送至目标,那么调解标识需要访问目标的权限。有关更多信息,请参阅 管理许可权。使用该调解标识发送由调解发送的任何新消息。
如果已禁用管理安全性,那么不会对调解配置标识。如果已启用总线安全性,并且已禁用管理安全性,那么调解未经认证,无法访问总线目标。
在多个安全域中使用调解
可在总线成员跨多个安全域的总线拓扑中成功运行调解。总线安全性配置提供了称为 addUserServerIdForMediations 的选项以允许调解在服务器标识下运行。在此情况下,不需要调解认证别名。
调解是作为应用程序部署的,并且在应用程序服务器使用的域(而不是总线域)中运行。因为调解认证别名应用于整个总线,所以,如果对不同域中的多个服务器运行调解,那么必须确保调解认证别名中的用户标识存在于每个域的配置中。或者,可选择使用服务器标识选项。即使多个域未在使用中,也可使用此选项。