BEA WebLogic Server: Guia de Integração

Transcrição

1 IBM Tioli Access Manager para e-business BEA WebLogic Serer: Guia de Integração Versão 5.1 S

2

3 IBM Tioli Access Manager para e-business BEA WebLogic Serer: Guia de Integração Versão 5.1 S

4 Nota Antes de utilizar estas informações e o produto suportado por elas, leia as informações no Apêndice C, Aisos, na página 63. Primeira Edição (Noembro de 2003) Esta edição aplica-se à ersão 5, release 1, modificação 0 do IBM Tioli Access Manager (número do produto 5724-C08) e a todos os releases e modificações subseqüentes, até que seja indicado de outra maneira em noas edições. Copyright International Business Machines Corporation Todos os direitos reserados.

5 Índice Prefácio Quem Dee Ler este Manual O que este Manual Contém Publicações i Informações sobre o Release i Informações de Base i Informações sobre Segurança na Web i Referências para Desenoledores ii Suplementos Técnicos iii Publicações Relacionadas iii Acessando Publicações On-line xi Acessibilidade xii Entrando em Contato com o Suporte ao Software xii Conenções Utilizadas neste Manual xii Conenções Tipográficas xii Diferenças do Sistema Operacional xii Capítulo 1. Introdução e Visão Geral O Modelo de Segurança do Tioli Access Manager Integrando o Tioli Access Manager e o WebLogic Serer Componentes da Security Serice Proider Interface do Tioli Access Manager Implementação de Critérios e Funções Recursos e Funções Utilizando a Autenticação do Tioli Access Manager Registrando e Auditando Confiabilidade, Disponibilidade e Escalabilidade Capítulo 2. Instruções de Instalação Plataformas Suportadas Requisitos de Disco e Memória Pré-requisitos de Software Tioli Access Manager Policy Serer Tioli Access Manager Authorization Serer Tioli Access Manager WebSEAL ou Tioli Access Manager Plug-in para Web Serers BEA WebLogic Serer Tioli Access Manager Jaa Runtime Instalando Utilizando o Assistente de Instalação Opções de install_amwls Instalando Utilizando Utilitários Natios Instalando no AIX Instalando no HP-UX Instalando no Solaris Instalando no Windows Capítulo 3. Procedimentos de Configuração Parte 1: Configurando o Tioli Access Manager Jaa Runtime Enironment Parte 2: Definindo CLASSPATH para startweblogic Parte 3: Configurando o Tioli Access Manager para WebLogic Configurando o Tioli Access Manager para WebLogic Utilizando o Console Extension Web Application...21 Configurando o Tioli Access Manager para WebLogic a partir da Linha de Comandos Parte 4: Configurando a Região do Tioli Access Manager Configurando a Região do Tioli Access Manager Utilizando o Console Extension Web Application Configurando a Região do Tioli Access Manager a partir da Linha de Comandos Parte 5: Configurando para a Conexão Única do BEA WebLogic Serer Configurando a Conexão Única Utilizando um Campo de Junção do WebSEAL Copyright IBM Corp iii

6 Configurando a Conexão Única Utilizando o Tioli Access Manager Plug-in para Web Serers Parte 6: Configurando o Tioli Access Manager para WebLogic em Ambientes de Multi-seridores do BEA WebLogic Serer Incluindo Ambientes em Cluster Parte 7: Testando a Configuração Capítulo 4. Atiando a Conexão Única Conexão Única com o Tioli Access Manager WebSEAL Capítulo 5. Tarefas de Administração Atiando o Seriço de Denominações em um Tioli Access Manager Authorization Serer Gerenciamento de Usuários e Grupos com o Tioli Access Manager para WebLogic Utilizando o Aplicatio de Demonstração Dicas de Utilização Três Critérios de Logon de Orientação Excluindo a Região do Tioli Access Manager Desconfigurando o Tioli Access Manager para WebLogic Dicas de Resolução de Problemas Falha de Conexão Única Utilizando Login Baseado em Formulários O WebLogic Serer Emite Exceção de Memória Limitações Questões Conhecidas e Soluções Alternatias Capítulo 6. Instruções de Remoção Remoendo do Solaris Remoendo do Windows Remoendo do AIX Remoendo do HP-UX Apêndice A. Referência dos Arquios de Propriedades amsspi.properties rbpf.properties amwlsjlog.properties Apêndice B. Referência Rápida de Comandos AMWLSConfigure action config AMWLSConfigure action unconfig AMWLSConfigure action create_realm AMWLSConfigure action delete_realm Apêndice C. Aisos Marcas Glossário Índice Remissio i IBM Tioli Access Manager para e-business: BEA WebLogic Serer: Guia de Integração

7 Prefácio Quem Dee Ler este Manual Bem-indo ao IBM Tioli Access Manager para BEA WebLogic Serer (daqui em diante referido como Tioli Access Manager para WebLogic). Este produto estende o IBM Tioli Access Manager para suportar aplicatios escritos para o BEA WebLogic Serer. O IBM Tioli Access Manager (Tioli Access Manager) é o software base necessário para executar aplicatios no conjunto de produtos do IBM Tioli Access Manager. Ele permite a integração de aplicatios do IBM Tioli Access Manager que fornecem uma ampla faixa de soluções de autorização e gerenciamento.vendidos como uma solução integrada, esses produtos fornecem uma solução de gerenciamento de controle de acesso que centraliza o critério de segurança de rede e aplicatio para aplicatios de e-business. Nota: O IBM Tioli Access Manager é o noo nome do software anteriormente liberado denominado Tioli SecureWay Policy Director. Além disso, para os usuários familiarizados com o software e a documentação do Tioli SecureWay Policy Director, o seridor de gerenciamento é agora referido como o seridor de critério. O IBM Tioli Access Manager para WebLogic Serer: Guia do Usuário fornece instruções de instalação, configuração e administração para a utilização do IBM Tioli Access Manager com o BEA WebLogic Serer. O público alo deste guia de administração inclui: Administradores de segurança Administradores de sistema de rede Arquitetos de IT O que este Manual Contém Os leitores deem estar familiarizados com: Protocolos de Internet, incluindo HTTP, TCP/IP, FTP (File Transfer Protocol) e Telnet Implementação e gerenciamento de sistemas WebLogic Serer Gerenciamento de segurança, incluindo autenticação e autorização Se ocê estier atiando a comunicação SSL (Secure Sockets Layer), também deerá estar familiarizado com o protocolo SSL, troca de chaes (pública e priada), assinaturas digitais, algoritmos criptográficos e autoridades de certificação. Este documento contém os seguintes capítulos: Capítulo 1, Introdução e Visão Geral Apresenta uma isão geral dos seriços de autenticação e autorização fornecidos pelo Tioli Access Manager para WebLogic. Capítulo 2, Instruções de Instalação Descree como instalar o Tioli Access Manager para WebLogic. Copyright IBM Corp. 2003

8 Capítulo 3, Procedimentos de Configuração Descree como configurar o Tioli Access Manager para WebLogic. Capítulo 4, Tarefas de Administração Descree como utilizar o aplicatio de demonstração e fornece dicas de utilização, informações sobre resolução de problemas e limitações. Capítulo 5, Instruções de Remoção Descree como remoer o Tioli Access Manager para WebLogic. Publicações Reise as descrições da biblioteca do Tioli Access Manager, as publicações de pré-requisitos e as publicações relacionadas para determinar quais publicações podem ser úteis. Depois de determinar as publicações necessárias, consulte as instruções para acessar publicações on-line. Informações adicionais sobre o produto IBM Tioli Access Manager para e-business em si podem ser encontradas em: A biblioteca do Tioli Access Manager está organizada nas seguintes categorias: Informações sobre o Release Informações de Base Informações sobre Segurança na Web Referências para Desenoledores na página ii Suplementos Técnicos na página iii Informações sobre o Release IBM Tioli Access Manager para e-business Leia isto Primeiro (G ) Fornece informações para instalar e começar a utilizar o Tioli Access Manager. IBM Tioli Access Manager para e-business Release Notes (GI ) Fornece as últimas informações, como limitações de software, soluções e atualizações de software. Informações de Base IBM Tioli Access Manager Base Installation Guide (SC ) Explica como instalar e configurar o software base do Tioli Access Manager, incluindo a interface de Web Portal Manager. Este manual é um subconjunto de IBM Tioli Access Manager para e-business Web Security Installation Guide e dee ser utilizado com outros produtos do Tioli Access Manager, como IBM Tioli Access Manager para Business Integration e IBM Tioli Access Manager para Sistemas Operacionais. IBM Tioli Access Manager Base Administration Guide (SC ) Descree os conceitos e procedimentos para utilizar os seriços do Tioli Access Manager. Fornece instruções para a execução de tarefas a partir da interface do Web Portal Manager e utilizando o comando pdadmin. Informações sobre Segurança na Web IBM Tioli Access Manager para e-business Web Security Installation Guide (SC ) i IBM Tioli Access Manager para e-business: BEA WebLogic Serer: Guia de Integração

9 Fornece instalação, configuração e instruções de remoção para o software base de Tioli Access Manager e também os componentes do Web Security. Este manual é um super conjunto de IBM Tioli Access Manager Base Installation Guide. IBM Tioli Access Manager Upgrade Guide (SC ) Explica como fazer a atualização do Tioli SecureWay Policy Director Versão 3.8 ou ersões anteriores do Tioli Access Manager para o Tioli Access Manager Versão 5.1. IBM Tioli Access Manager para e-business WebSEAL Administration Guide (SC ) Fornece informações sobre material de segundo plano, sobre procedimentos administratios e sobre referência técnica para utilizar o WebSEAL para gerenciar os recursos de seu domínio Web seguro. IBM Tioli Access Manager para e-business IBM WebSphere Application Serer Integration Guide (SC ) Fornece instruções de instalação, remoção e administração para integrar o Tioli Access Manager com o IBM WebSphere Application Serer. IBM Tioli Access Manager para e-business IBM WebSphere Edge Serer Integration Guide (SC ) Fornece instruções de instalação, remoção e administração para integrar o Tioli Access Manager com o aplicatio IBM WebSphere Edge Serer. IBM Tioli Access Manager para e-business Plug-in for Web Serers Integration Guide (SC ) Fornece instruções de instalação, procedimentos de administração e informações de referência técnica para proteger o domínio da Web utilizando o plug-in para seridores da Web. IBM Tioli Access Manager para e-business BEA WebLogic Serer: Guia de Integração (S ) Fornece instruções de instalação, remoção e administração para integrar o Tioli Access Manager com o BEA WebLogic Serer. IBM Tioli Access Manager para e-business IBM Tioli Identity Manager Proisioning Fast Start Guide (SC ) Fornece uma isão geral das tarefas relacionadas à integração do Tioli Access Manager e do Tioli Identity Manager e explica como utilizar e instalar a coleta do Proisioning Fast Start. Referências para Desenoledores IBM Tioli Access Manager para e-business Authorization C API Deeloper Reference (SC ) Fornece material de referência que descree como utilizar a API C de autorização do Tioli Access Manager e a interface de plug-in de seriço do Tioli Access Manager para incluir segurança do Tioli Access Manager em aplicatios. IBM Tioli Access Manager para e-business Authorization Jaa Classes Deeloper Reference (SC ) Fornece informações de referência para o uso da implementação da linguagem Jaa da API de autorização para permitir que um aplicatio utilize a segurança do Tioli Access Manager. IBM Tioli Access Manager para e-business Administration C API Deeloper Reference (SC ) Prefácio ii

10 Fornece informações de referência sobre o uso da API de administração para permitir que um aplicatio execute tarefas administratias do Tioli Access Manager. Esse documento descree a implementação C da API de administração. IBM Tioli Access Manager para e-business Administration Jaa Classes Deeloper Reference (SC ) Fornece informações de referência para o uso da implementação da linguagem Jaa da API de administração para permitir que um aplicatio execute tarefas administratias do Tioli Access Manager. IBM Tioli Access Manager para e-business Web Security Deeloper Reference (SC ) Fornece informações de administração e programação para o CDAS (Cross-Domain Authentication Serice), o CDMF (Cross-Domain Mapping Framework) e o módulo de força da senha. Suplementos Técnicos IBM Tioli Access Manager para e-business Command Reference (SC ) Fornece informações sobre os utilitários da linha de comandos e scripts fornecidos com o Tioli Access Manager. IBM Tioli Access Manager Error Message Reference (SC ) Fornece explicações e as ações recomendadas para as mensagens produzidas pelo Tioli Access Manager. IBM Tioli Access Manager para e-business Problem Determination Guide (SC ) Fornece informações sobre determinação de problemas para o Tioli Access Manager. IBM Tioli Access Manager para e-business Performance Tuning Guide (SC ) Fornece informações de ajuste de desempenho para um ambiente que consiste no Tioli Access Manager com o IBM Tioli Directory serer como o registro do usuário. Publicações Relacionadas Esta seção lista publicações relacionadas à biblioteca do Tioli Access Manager. O Tioli Software Library fornece uma ariedade de publicações Tioli como documentos técnicos, planilhas de dados, demonstrações, liros de registros e cartas de anúncio. A Tioli Software Library está disponíel na Web em: O Tioli Software Glossary inclui definições para ários termos técnicos relacionados ao software Tioli. O Tioli Software Glossary está disponíel, somente em Inglês, a partir do link Glossary, ao lado esquerdo da página da Web do Tioli Software Library Libraryhttp:// IBM Global Security Kit O Tioli Access Manager fornece criptografia de dados atraés do uso do IBM GSKit (Global Security Kit) Versão 7.0. O GSKit está incluído no CD do IBM Tioli Access Manager Base para sua plataforma particular e também nos CDs do IBM Tioli Access Manager Web Security, nos CDs do IBM Tioli Access Manager Web Administration Interfaces e nos CDs do IBM Tioli Access Manager Directory Serer. O pacote GSKit fornece o utilitário de gerenciamento de chaes do ikeyman, gsk7ikm, que é utilizado para criar bancos de dados chae, pares de chaes iii IBM Tioli Access Manager para e-business: BEA WebLogic Serer: Guia de Integração

11 pública-priada e pedidos de certificados. O documento a seguir está disponíel no site do Tioli Information Center, na mesma seção que a documentação do produto IBM Tioli Access Manager: IBM Global Security Kit Secure Sockets Layer and ikeyman User s Guide (SC ) Fornece informações para administradores de segurança de rede ou de sistema que planejam atiar a comunicação SSL em seu ambiente do Tioli Access Manager. IBM Tioli Directory Serer O IBM Tioli Directory Serer, Versão 5.2, é incluído no CD do IBM Tioli Access Manager Directory Serer para o sistema operacional desejado. Nota: IBM Tioli Directory Serer é o noo nome para o software liberado anteriormente conhecido como: IBM Directory Serer (Versão 4.1 e Versão 5.1) IBM SecureWay Directory Serer (Versão 3.2.2) O IBM Directory Serer Versão 4.1, o IBM Directory Serer Versão 5.1 e o IBM Tioli Directory Serer Versão 5.2 são todos suportados pelo IBM Tioli Access Manager Versão 5.1. Informações adicionais sobre o IBM Tioli Directory Serer podem ser encontradas em: IBM DB2 Uniersal Database O IBM DB2 Uniersal Database Enterprise Serer Edition, Versão 8.1 é fornecido no CD do IBM Tioli Access Manager Directory Serer e é instalado com o software IBM Tioli Directory Serer. O DB2 é necessário ao utilizar o IBM Tioli Directory Serer, os seridores LDAP z/os ou OS/390 como o registro de usuário para o Tioli Access Manager. Informações adicionais sobre o DB2 podem ser encontradas em: IBM WebSphere Application Serer O IBM WebSphere Application Serer, Adanced Single Serer Edition 5.0, é incluído no CD do IBM Tioli Access Manager Web Administration Interfaces para o sistema operacional desejado. O WebSphere Application Serer atia o suporte da interface do Web Portal Manager, que é utilizada para administrar o Tioli Access Manager e o Web Administration Tool, que é utilizado para administrar o IBM Tioli Directory Serer. O IBM WebSphere Application Serer Fix Pack 2 também é requerido pelo Tioli Access Manager e é fornecido no CD do IBM Tioli Access Manager WebSphere Fix Pack. Informações adicionais sobre o IBM WebSphere Application Serer podem ser encontradas em: IBM Tioli Access Manager para Business Integration O IBM Tioli Access Manager para Business Integration, disponíel como um produto solicitado separadamente, fornece uma solução de segurança para Prefácio ix

12 mensagens do IBM MQSeries, Versão 5.2 e o IBM WebSphere MQ para Versão 5.3. O IBM Tioli Access Manager para Business Integration permite que os aplicatios MQSeries do WebSphere eniem dados com priacidade e integridade, utilizando chaes associadas a aplicatios de enio e recepção. Como o WebSEAL e o IBM Tioli Access Manager para Sistemas Operacionais, o IBM Tioli Access Manager para Business Integration é um dos gerenciadores de recursos que utilizam os seriços do IBM Tioli Access Manager. Informações adicionais sobre o IBM Tioli Access Manager para Business Integration podem ser encontradas em: Os seguintes documentos associados ao IBM Tioli Access Manager para Business Integration Versão 5.1 estão disponíeis no Web site do Tioli Information Center: IBM Tioli Access Manager para Business Integration: Guia de Administração (S ) IBM Tioli Access Manager for Business Integration Problem Determination Guide (GC ) IBM Tioli Access Manager para Business Integration: Notas sobre o Release (G ) IBM Tioli Access Manager para Business Integration: Leia isto Primeiro (G ) IBM Tioli Access Manager para WebSphere Business Integration Brokers O IBM Tioli Access Manager para WebSphere Business Integration Brokers, disponíel como parte do IBM Tioli Access Manager para Business Integration, fornece uma solução de segurança para o WebSphere Business Integration Message Broker, Versão 5.0 e o WebSphere Business Integration Eent Broker, Versão 5.0. O IBM Tioli Access Manager para WebSphere Business Integration Brokers opera juntamente com o Tioli Access Manager para dar segurança a aplicatios de publicação/assinatura JMS fornecendo senha e autenticação baseada em credenciais, autorização definida centralmente e seriços de auditoria. Informações adicionais sobre o IBM Tioli Access Manager para WebSphere Integration Brokers podem ser encontradas em: Os seguintes documentos associados ao IBM Tioli Access Manager para WebSphere Integration Brokers, Versão 5.1 estão disponíeis no Web site do Tioli Information Center: IBM Tioli Access Manager para WebSphere Business Integration Brokers: Guia de Administração (S ) IBM Tioli Access Manager para WebSphere Business Integration Brokers: Notas sobre o Release (G ) IBM Tioli Access Manager para Business Integration: Leia isto Primeiro (G ) IBM Tioli Access Manager para Sistemas Operacionais O IBM Tioli Access Manager para Sistemas Operacionais, disponíel como um produto que pode ser solicitado separadamente, fornece uma camada de aplicação do critério de autorização em sistemas UNIX, além da fornecida pelo sistema operacional natio. O IBM Tioli Access Manager para Sistemas Operacionais, x IBM Tioli Access Manager para e-business: BEA WebLogic Serer: Guia de Integração

13 como o WebSEAL e o IBM Tioli Access Manager para Business Integration, é um dos gerenciadores de recursos que utilizam os seriços do IBM Tioli Access Manager. Informações adicionais sobre o IBM Tioli Access Manager para Sistemas Operacionais podem ser encontradas em: Os seguintes documentos associados ao IBM Tioli Access Manager para Sistemas Operacionais Versão 5.1 estão disponíeis no Web site do Tioli Information Center: IBM Tioli Access Manager para Sistemas Operacionais: Guia de Instalação (S ) IBM Tioli Access Manager for Operating Systems Administration Guide (SC ) IBM Tioli Access Manager for Operating Systems Problem Determination Guide (SC ) IBM Tioli Access Manager para Sistemas Operacionais: Notas sobre o Release (G ) IBM Tioli Access Manager para Sistemas Operacionais: Leia isto Primeiro (G ) IBM Tioli Identity Manager O IBM Tioli Identity Manager Versão 4.5, disponíel como um produto que pode ser solicitado separadamente, permite gerenciar centralmente usuários (como IDs de usuários e senhas) e proisões (que estejam fornecendo ou cancelando o acesso a aplicatios, recursos ou sistemas operacionais). O Tioli Identity Manager pode ser integrado com o Tioli Access Manager atraés do uso do Tioli Access Manager Agent. Entre em contato com o representante de contas IBM para obter informações adicionais sobre como comprar o Agent. Informações adicionais sobre o IBM Tioli Identity Manager podem ser encontradas em: Acessando Publicações On-line As publicações para esse produto estão disponíeis on-line no formato PDF (Portable Document Format) ou HTML (Hypertext Markup Language) ou em ambos na biblioteca de software do Tioli: Para localizar publicações do produto na biblioteca, clique no link Product manuals à esquerda da página de bibliotecas. Em seguida, localize e clique no nome do produto na página central de informações do software Tioli. As publicações de produto incluem notas sobre o release, guias de instalação, guias de usuário, guias de administrador e referências de desenoledor. Nota: Para garantir a impressão correta de publicações PDF, selecione a caixa de opções Ajustar à página na janela Imprimir do Adobe Acrobat (disponíel quando ocê clica em Arquio Imprimir). Prefácio xi

14 Acessibilidade Os recursos de acessibilidade ajudam usuários que possuem alguma limitação física, como mobilidade restrita ou isão limitada, a utilizar os produtos de software com êxito. Com este produto, é possíel utilizar tecnologias de assistência para ouir e naegar a interface. Você também pode usar o teclado em lugar do mouse para operar todos os recursos da interface gráfica com o usuário. Entrando em Contato com o Suporte ao Software Antes de entrar em contato com o suporte do IBM Tioli Software com um problema, consulte o site de suporte do IBM Tioli Software clicando no link Tioli support no Web site a seguir: Se precisar de ajuda, entre em contato com o suporte a software, utilizando os métodos descritos no IBM Software Support Guide, no seguinte Web site: O guia fornece as seguintes informações: Requisitos de registro e elegibilidade para receber suporte Números de telefone, dependendo do país em que ocê esteja localizado Uma lista de informações que ocê dee reunir antes de entrar em contato com o suporte ao cliente Conenções Utilizadas neste Manual Este guia utiliza árias conenções para termos e ações especiais e para comandos e caminhos que dependem do sistema operacional. Conenções Tipográficas As seguintes conenções tipográficas são utilizadas nesta referência: Negrito Comandos em letra minúscula ou mistura de letras maiúsculas e minúsculas que são difíceis de distinguir no texto, palaras-chae, parâmetros, opções, nomes de classes Jaa e objetos ao redor aparecem em negrito. Itálico Variáeis, títulos de publicações e palaras e frases especiais que são enfatizadas aparecem em itálico. Espaçamento fixo Exemplos de códigos, linhas de comandos, saída de tela, nomes do arquio e diretório que são difíceis de distinguir no texto, mensagens do sistema, texto que o usuário dee digitar e alores para argumentos ou opções de comando ao redor aparecem em espaçamento fixo. Diferenças do Sistema Operacional Este manual utiliza a conenção UNIX para especificar ariáeis de ambiente e para notação do diretório. Ao utilizar a linha de comandos do Windows, substitua $ariable por %ariable% para ariáeis de ambiente e substitua cada barra (/) por uma barra inertida (\) nos caminhos de diretório. Se ocê for utilizar o shell bash em um sistema Windows, poderá utilizar as conenções UNIX. xii IBM Tioli Access Manager para e-business: BEA WebLogic Serer: Guia de Integração

15 Capítulo 1. Introdução e Visão Geral O Tioli Access Manager para WebLogic é uma extensão para o Tioli Access Manager que garante o acesso a aplicatios do BEA WebLogic Serer utilizando os recursos de segurança do Tioli Access Manager. Utilizando a Security Serice Proider Interface do BEA WebLogic Serer, o Tioli Access Manager para WebLogic autentica clientes utilizando um registro de usuário administrado por Tioli Access Manager. O IBM Tioli Access Manager WebSEAL (WebSEAL) ou o IBM Tioli Access Manager Plug-in para Web Serers pode ser utilizado para estender os recursos de segurança do Tioli Access Manager para WebLogic para fornecer suporte a uma conexão única de usuário final. O Tioli Access Manager para WebLogic permite que aplicatios do WebLogic Serer utilizem a segurança do Tioli Access Manager sem que sejam necessárias alterações de codificação ou implementação. Um domínio seguro do Tioli Access Manager dee ser implementado antes da instalação do Tioli Access Manager para WebLogic. Os usuários que não estejam familiarizados com o Tioli Access Manager deem reer o modelo de segurança do Tioli Access Manager antes de implementar um domínio seguro. Um resumo bree do modelo de segurança é apresentado aqui. O Modelo de Segurança do Tioli Access Manager O Tioli Access Manager é uma solução completa de autorização e de gerenciamento de política de segurança de rede que fornece proteção de recursos, de uma extremidade à outra, atraés de intranets e extranets geograficamente dispersas. O Tioli Access Manager apresenta o mais aançado gerenciamento de política de segurança. Além disso, ele suporta capacidades de autenticação, autorização, segurança de dados e gerenciamento de recursos. O Tioli Access Manager é utilizado em conjunto com aplicatios padrão baseados na Internet para construir intranets e extranets altamente seguras e bem gerenciadas. Em seu núcleo, o Tioli Access Manager fornece: Uma estrutura de autenticação O Tioli Access Manager suporta uma ampla ariedade de mecanismos de autenticação, incluindo: certificados, Autenticação básica, formulários e cabeçalhos HTTP. Uma estrutura de autorização O Tioli Access Manager oferece uma estrutura para gerenciamento de política de autorização. O critério de autorização é gerenciado centralmente e é distribuído automaticamente para acessar pontos de execução na empresa. O seriço de autorização do Tioli Access Manager fornece as decisões permit e deny em solicitações de acesso para seridores natios do Tioli Access Manager e aplicatios de terceiros. Copyright IBM Corp

16 WebSEAL é o gerenciador de segurança de recursos do Tioli Access Manager para recursos baseados na Web. O WebSEAL é um seridor Web de múltiplos threads de alto desempenho que aplica uma rígida segurança para recursos da Web protegidos. O Tioli Access Manager Plug-in para Web Serers é integrado com o Tioli Access Manager para fornecer uma solução completa de segurança para os recursos da Web. O plug-in opera como parte do mesmo processo do seridor Web, interceptando cada pedido que chega, determinando se uma decisão de autorização é requerida e fornecendo um meio para a autenticação do usuário, se necessário. Tanto o Tioli Access Manager Plug-in para Web Serers quanto o WebSEAL podem fornecer soluções de conexão única e incorporar recursos do aplicatio da Web em seu critério de segurança. Você pode obter informações adicionais sobre o Tioli Access Manager, incluindo as informações necessárias para tomar decisões de implementação, examinando a documentação do IBM Tioli Access Manager. O prefácio desta publicação inclui uma listagem da documentação releante do Tioli Access Manager. Integrando o Tioli Access Manager e o WebLogic Serer O Tioli Access Manager para WebLogic, Versão 5.1, suporta: BEA WebLogic Serer ersão 7.0 SP2 BEA WebLogic Serer ersão 8.1 SP1 O Tioli Access Manager para WebLogic Versão 5.1 fornece uma estrutura de segurança completa para o BEA WebLogic Serer utilizando a SSPI (Security Serice Proider Interface). Nota: O Tioli Access Manager para WebLogic Versão 5.1 não suporta a região personalizada do BEA WebLogic Serer. O suporte para a região personalizada do BEA WebLogic Serer era parte do Tioli Access Manager para WebLogic Versão 4.1. O BEA WebLogic Serer fornece SSPI para proedores de segurança de terceiros, como o Tioli Access Manager para WebLogic, para integrar de forma contínua suas funções de segurança e a arquitetura do BEA WebLogic Serer. Componentes da Security Serice Proider Interface do Tioli Access Manager O Tioli Access Manager para WebLogic substitui a região de segurança padrão criada com cada domínio seguro do BEA WebLogic Serer e fornece os seguintes Proedores de Segurança do BEA WebLogic Serer: Proedor de Autenticação Proedor de Autorização Proedor de Mapeamento de Funções O Tioli Access Manager para WebLogic utiliza o proedor de segurança de Mapeamento de Credenciais do BEA WebLogic Serer padrão e o keystore padrão. 2 IBM Tioli Access Manager para e-business: BEA WebLogic Serer: Guia de Integração

17 Cada um dos Proedores listados acima contém também um MBean (Management Bean) que permite a edição da configuração atraés do console do WebLogic. As seções abaixo detalham a funcionalidade fornecida por cada um desses Proedores e MBeans. O Tioli Access Manager fornece os seguintes pontos de integração com o BEA WebLogic Serer: Proedor de Autenticação O Proedor de Autenticação do Tioli Access Manager para WebLogic implementa a autenticação simples do BEA WebLogic Serer. Na autenticação simples, um usuário tenta autenticar em um BEA WebLogic Serer utilizando uma combinação de nome de usuário e senha. Esse nome de usuário e a senha são erificados pelo Tioli Access Manager utilizando o componente Jaa Runtime do Tioli Access Manager. O Tioli Access Manager para WebLogic também fornece seu próprio Módulo de Login, que é utilizado para fornecer a funcionalidade de conexão única do WebSEAL ou do Tioli Access Manager Plug-in para Web Serers. Os detalhes da atiação da funcionalidade de conexão única estão incluídos no Capítulo 4, Atiando a Conexão Única, na página 31. O Proedor de Autenticação para o Tioli Access Manager para WebLogic consiste em ários componentes: Proedor de Autenticação Integra o Proedor de Autenticação do IBM Tioli Access Manager para WebLogic Serer e a Estrutura de Segurança do WebLogic. Módulo de Login do JAAS (Jaa Authentication and Authorization Serice) Executa autenticação simples e de conexão única. Os Módulos de Login do JAAS retornam um Assunto preenchido com Principais, conforme especificado pelo padrão de JAAS. O Tioli Access Manager para WebLogic fornece seu próprio Módulo de Login, que utiliza o componente Jaa Runtime do Tioli Access Manager para autenticar para o seridor de autorização do Tioli Access Manager. MBean de Autenticação Atia a configuração do Proedor de Autenticação atraés do console do WebLogic. Ele também permite que os usuários executem tarefas de administração de registro de usuários, como incluir e excluir usuários utilizando a extensão do console do Tioli Access Manager para WebLogic. Proedor de Autorização Os Proedores de Autorização fornecem uma interface entre o BEA WebLogic Serer e o seriço externo de autorização. O Proedor de Autorização determina se o acesso dee ser concedido ou negado aos recursos do BEA WebLogic Serer. A decisão sobre o acesso é tomada utilizando as classes PDPermission que são distribuídas com o componente Jaa Runtime do Tioli Access Manager. O Proedor de Autorização para Tioli Access Manager para WebLogic consiste nos seguintes componentes. Proedor de Autorização Integra o Proedor de Autorização e a Estrutura de Segurança do WebLogic. Além de controlar o acesso aos recursos do BEA WebLogic Serer, o Proedor de Autorização do Tioli Access Manager para WebLogic trata da implementação Capítulo 1. Introdução e Visão Geral 3

18 de critérios no espaço de objetos do Tioli Access Manager e da remoção de critérios do espaço de objetos do Tioli Access Manager. MBean de Autorização Atia a configuração do Proedor de Autorização atraés do console do WebLogic. Ele também é chamado para operações como a criação e a exclusão de critérios atraés do console do WebLogic. Proedor de Mapeamento de Funções Os Proedores de Mapeamento de Funções são utilizados para fornecer uma interface entre o BEA WebLogic Serer e o seriço externo de autorização que está sendo utilizado para gerenciar funções. O Proedor de Mapeamento de Funções está focalizado em funções em ez de critérios, que são de responsabilidade do Proedor de Autorização. O Proedor de Mapeamento de Funções consiste nos seguintes componentes: Proedor de Mapeamento de Funções. Integra o Proedor de Mapeamento de Funções e a Estrutura de Segurança do WebLogic. O Proedor de Mapeamento de Funções do Tioli Access Manager para WebLogic é responsáel pela implementação e pela remoção de funções. MBean de Mapeamento de Funções. Atia a configuração do Proedor de Mapeamento de Funções atraés do console do WebLogic. Ele também é chamado para operações como a criação e a atualização da participação de funções excluindo as funções atraés do console do WebLogic. Implementação de Critérios e Funções Os critérios e as funções podem ser definidos em descritores de desenolimento ou criados atraés do console do WebLogic. No desenolimento de aplicatios J2EE, as funções e os critérios definidos dentro dos descritores de desenolimento de aplicatios são exportados para o espaço de objetos protegidos do Tioli Access Manager. Embora seja possíel, não é esperado que a criação de critérios seja executada usando o utilitário administratio do Tioli Access Manager, pdadmin ou o Tioli Access Manager Web Portal Manager. Antes de iniciar um BEA WebLogic Serer que esteja utilizando o Tioli Access Manager para WebLogic, é necessário criar algum critério padrão no Tioli Access Manager. Isso é executado durante a configuração do Tioli Access Manager para WebLogic os detalhes da configuração do Tioli Access Manager para WebLogic estão no Capítulo 3, Procedimentos de Configuração, na página 19. Recursos e Funções O BEA WebLogic Serer define ários tipos diferentes de recursos, sendo que todos são suportados pelo Tioli Access Manager para WebLogic. Todos os tipos de recursos são considerados iguais dentro do Tioli Access Manager para WebLogic e, por isso, noos tipos de recursos, criados para releases futuros do BEA WebLogic Serer, serão suportados automaticamente. Os critérios e funções definidos para todos os tipos de recursos são armazenados no espaço de objetos protegidos do Tioli Access Manager de uma maneira uniforme. A lista atual de recursos suportados do BEA WebLogic Serer que podem ser segurados é: 4 IBM Tioli Access Manager para e-business: BEA WebLogic Serer: Guia de Integração

19 Recursos administratios Recursos de aplicatios Recursos COM Recursos EIS Recursos EJB Recursos JDBC Recursos JMS Recursos do seridor Recursos do URL Recursos de Seriços da Web Os recursos são representados no seguinte formato no espaço de objetos protegidos do Tioli Access Manager: /WebAppSerer/WLS/Resources/wls_domain/wls_realm/resource_type/Details As funções são representadas no seguinte formato no espaço de objetos protegidos do Tioli Access Manager: /WebAppSerer/WLS/Roles/wls_domain/wls_realm/role_name/AppName Esses nomes do contêiner de objetos protegidos do Tioli Access Manager são totalmente configuráeis utilizando os arquios de propriedades configurados com o Tioli Access Manager para WebLogic. Assim, todos os BEA WebLogic Serer e outros seridores de aplicatios podem ser configurados no mesmo domínio do Tioli Access Manager. Isso atia a criação de uma localização centralizada para funções e critérios para todos os tipos de seridores de aplicatios. Utilizando a Autenticação do Tioli Access Manager O Tioli Access Manager pode ser utilizado para fornecer autenticação para usuários externos ou internos. A autenticação para usuários externos conta com as capacidades de conexão única do WebSEAL ou do Tioli Access Manager Plug-in para Web Serers. Para uma ótima segurança da rede, cada WebLogic Serer que recebe pedidos de acesso de usuários externos atraés do WebSEAL ou do Tioli Access Manager Plug-in para Web Serers não dee aceitar pedidos de acesso de usuários internos. As seções a seguir descreem como a autenticação é manuseada para usuários externos e internos. Autenticando Usuários Externos com o WebSEAL O diagrama abaixo exibe o modelo para o processamento de solicitações de usuários externos para acesso a recursos protegidos. Capítulo 1. Introdução e Visão Geral 5

20 Figura 1. O Tioli Access Manager Fornece Autenticação de Conexão Única para Usuários Externos A lista a seguir descree os processos conforme mostrado na figura acima. 1. Um usuário externo solicita acesso a um recurso protegido. A solicitação é recebida pelo WebSEAL antes de entrar na rede segura da empresa. 2. O WebSEAL intercepta o pedido do usuário e autentica o usuário no domínio seguro do Tioli Access Manager. O WebSEAL suporta os seguintes métodos de autenticação: nome do usuário e senha, certificados, nome do usuário e RSA SecureID ou um mecanismo de autenticação personalizado. O WebSEAL aplica sua própria decisão de autorização com base na URL solicitada e na política de acesso do Tioli Access Manager. O WebSEAL pode aplicar considerações como alidade de conta, hora do dia e mecanismos de autenticação. 3. Depois que o pedido de URL do usuário tier sido autorizado, o WebSEAL encaminhará o pedido para o WebLogic Serer. A solicitação inclui o nome de usuário externo e uma senha especial no cabeçalho da autenticação básica. A senha especial pertence ao sso_user e permite que a Security Serice Proider Interface confirme o WebSEAL como a origem do pedido. Para obter informações adicionais sobre o sso_user, consulte o Capítulo 3, Procedimentos de Configuração, na página O WebLogic Serer transmite, de modo transparente, a identidade do usuário autenticado e a senha para a Security Serice Proider Interface. 5. A Security Serice Proider Interface utiliza os seriços de autenticação do Tioli Access Manager para erificar se a senha fornecida pelo WebSEAL está correta para o sso_user descrito acima. Ou seja, essa senha fornece a base de confiança que a origem da solicitação é o WebSEAL. A solicitação está, agora, pronta para autorização. 6 IBM Tioli Access Manager para e-business: BEA WebLogic Serer: Guia de Integração

21 Autenticando Usuários Internos O diagrama abaixo exibe o modelo para o processamento de pedidos para acesso a recursos protegidos por usuários internos que não passam por uma segurança do WebSEAL ou do plug-in: Registrando e Auditando Figura 2. O Tioli Access Manager Custom Realm Fornece a Autenticação de Usuários Internos A lista a seguir descree os processos conforme mostrado na figura acima. 1. Um usuário interno solicita acesso a um recurso protegido. 2. O módulo de Autenticação do Usuário do WebLogic enia a identidade do usuário à Security Serice Proider Interface. 3. A Security Serice Proider Interface enia o pedido de autenticação ao registro do usuário. Se a autenticação for bem-sucedida, a Security Serice Proider Interface retornará o nome do usuário ao WebLogic Serer como o usuário autenticado. 4. Para autorizar um pedido, o BEA WebLogic Serer consulta o Proedor de Autorização do Tioli Access Manager para WebLogic, que determina se o usuário atual autenticado (talez não autenticado) está autorizado a acessar o recurso solicitado. O acesso é determinado por chamadas para o Tioli Access Manager Authorization Serer, que seleciona as funções que recebem acesso ao recurso e decide se o usuário atual autenticado recebe alguma dessas funções. O registro no Tioli Access Manager para WebLogic é tratado pelas classes JLog IBM que são distribuídas com o componente Jaa Runtime do Tioli Access Manager. Utilizando o Tioli Access Manager para WebLogic e os arquios de propriedades JLog eniados com o Tioli Access Manager para WebLogic, as classes JLog podem ser configuradas para utilizar as classes de registro do BEA WebLogic Serer. Isso permite que o Tioli Access Manager para WebLogic registre eentos diretamente nos arquios de log do WebLogic. Capítulo 1. Introdução e Visão Geral 7

22 Confiabilidade, Disponibilidade e Escalabilidade O Tioli Access Manager para WebLogic utiliza as classes Jaa Runtime do Tioli Access Manager para manipular o banco de dados de objetos protegidos do Tioli Access Manager e o registro do usuário. Um cache interno do Tioli Access Manager para WebLogic fornece melhoras de desempenho para decisões de acesso. As classes Jaa Runtime do Tioli Access Manager suportam o failoer do seridor de autorização do Tioli Access Manager. Se o seridor de autorização principal falhar, o failoer para um seridor secundário ocorrerá automaticamente. A configuração de ambiente recomendada é utilizar aclds replicados e o seriço de denominações do Tioli Access Manager para WebLogic. As decisões de acesso podem ser executadas utilizando o seriço de denominações do Tioli Access Manager Policy Serer ou do Tioli Access Manager Authorization Serer que é eniado com o Tioli Access Manager para WebLogic. A configuração do Tioli Access Manager Policy Serer dee ser utilizada apenas em ambientes de teste deido a um único ponto de falha e questões de desempenho. O seriço de denominações é desenolido especificamente para uso em ambientes de produção. Para obter detalhes adicionais, consulte Atiando o Seriço de Denominações em um Tioli Access Manager Authorization Serer na página IBM Tioli Access Manager para e-business: BEA WebLogic Serer: Guia de Integração

23 Capítulo 2. Instruções de Instalação Plataformas Suportadas Este capítulo contém os seguintes tópicos: Plataformas Suportadas Requisitos de Disco e Memória Pré-requisitos de Software na página 10 Instalando Utilizando o Assistente de Instalação na página 11 Instalando Utilizando Utilitários Natios na página 14 O Tioli Access Manager para WebLogic, Versão 5.1, suporta: BEA WebLogic Serer ersão 7.0 SP2 BEA WebLogic Serer ersão 8.1 SP1 O Tioli Access Manager para WebLogic não suporta o Custom Realm para este release. Em ez disso, essa integração suporta SSPI (Security Serice Proider Interface) do BEA WebLogic Serer. O Tioli Access Manager para WebLogic é suportado nos seguintes sistemas operacionais: IBM AIX 5.1 Sun Solaris 8 e 9 Hewlett-Packard HP-UX 11.0 e 11i (BEA WebLogic Serer ersão 7.0 apenas) Microsoft Windows 2000 Serer e Adanced Serer (Serice Pack 3) Nota: O Tioli Access Manager para WebLogic suporta sistemas executados com o Jaa 2 Security Manager atiado. Um arquio de critérios em Jaa é fornecido com o software e inclui as permissões necessárias para bases de códigos específicas para que o Jaa 2 Security Manager funcione. Requisitos de Disco e Memória O Tioli Access Manager para WebLogic tem os seguintes requisitos de disco e memória: 64 MB RAM, 128 MB recomendado. Esta é a quantidade de memória necessária, além dos requisitos de memória especificados pelo BEA WebLogic Serer e por quaisquer outros componentes do Tioli Access Manager. Os 64 MB de RAM adicionais são utilizados para otimizar o desempenho do armazenamento em cache. A quantidade de memória necessária por outros componentes do Tioli Access Manager dependerá de quais componentes do Tioli Access Manager estão instalados no sistema host. Para obter informações adicionais, consulte o IBM Tioli Access Manager Base Installation Guide. 2 MB de espaço em disco, 4 MB recomendado. Esse requisito é uma adição ao espaço em disco requerido pelo BEA WebLogic Serer e por quaisquer outros componentes do Tioli Access Manager. 5 MB de espaço em disco para arquios de log. Copyright IBM Corp

24 Pré-requisitos de Software Isto em adição ao espaço em disco requerido para os componentes do software. A instalação bem-sucedida do Tioli Access Manager para WebLogic requer os pré-requisitos descritos nas seguintes seções: Tioli Access Manager Policy Serer Tioli Access Manager WebSEAL ou Tioli Access Manager Plug-in para Web Serers BEA WebLogic Serer na página 11 Tioli Access Manager Jaa Runtime na página 11 Tioli Access Manager Policy Serer Um domínio seguro do Tioli Access Manager dee ser estabelecido antes da instalação do Tioli Access Manager para WebLogic. O domínio seguro do Tioli Access Manager é estabelecido quando ocê instala o Tioli Access Manager Policy Serer. O Policy Serer é distribuído no CD do IBM Tioli Access Manager Base para seu sistema operacional. Normalmente, o Tioli Access Manager Policy Serer é instalado em um sistema diferente do sistema que hospeda o Tioli Access Manager para WebLogic. Tioli Access Manager Authorization Serer O Tioli Access Manager Authorization Serer dee ser instalado no mesmo host em que o BEA WebLogic Serer e o Tioli Access Manager para WebLogic estão instalados. O Authorization Serer fornece ao BEA WebLogic Serer o acesso ao seriço de autorização do Tioli Access Manager. O Authorization Serer também age como um seridor de coleta de registro e auditoria para armazenar registros de atiidades do seridor. Tioli Access Manager WebSEAL ou Tioli Access Manager Plug-in para Web Serers O Tioli Access Manager WebSEAL (WebSEAL) e o Tioli Access Manager Plug-in para Web Serers (o plug-in) fornecem seriços de segurança baseados na Web que podem ser utilizados pelo Tioli Access Manager para WebLogic. Quando instalados, esses aplicatios podem ser utilizados para fornecer uma solução de conexão única do BEA WebLogic Serer. O WebSEAL ou o plug-in não são pré-requisitos para instalar o Tioli Access Manager para WebLogic. Entretanto, eles serão necessários se ocê exigir uma solução de conexão única. Para obter as instruções de instalação para o WebSEAL ou o plug-in, consulte o IBM Tioli Access Manager para e-business Web Security Installation Guide. Ao utilizar o WebSEAL ou outro seridor proxy para conectar ao BEA WebLogic Serer, é necessário assegurar-se de que o seridor proxy seja o único ponto de contato para os usuários que estão acessando os recursos protegidos do BEA WebLogic Serer. Para restringir o acesso, será necessário criar um filtro de conexão do BEA WebLogic Serer. Um filtro de conexão permite proteger os 10 IBM Tioli Access Manager para e-business: BEA WebLogic Serer: Guia de Integração

25 recursos no níel da rede, em ez de utilizar funções para restringir o acesso. Consulte a documentação do BEA WebLogic Serer para obter detalhes sobre a criação de filtros de conexão. BEA WebLogic Serer O BEA WebLogic Serer dee ser instalado e configurado no sistema que hospedará o Tioli Access Manager para WebLogic. O BEA WebLogic Serer é atiado utilizando o comando startweblogic. O BEA WebLogic Serer é distribuído com o Jaa Runtime Enironment necessário em todas as plataformas suportadas, exceto AIX. O Tioli Access Manager para WebLogic utiliza esse mesmo Jaa Runtime Enironment. A instalação bem-sucedida do BEA WebLogic Serer atende ao pré-requisito do Tioli Access Manager para WebLogic para um Jaa Runtime Enironment. IBM Jaa Runtime Enironment no AIX Em sistemas AIX, o BEA WebLogic Serer 7.0 requer que o IBM Jaa Runtime Enironment Versão 1.3 seja instalado no sistema que hospedará o Tioli Access Manager para WebLogic. Em sistemas AIX, o BEA WebLogic Serer 8.1 requer que o IBM Jaa Runtime Enironment Versão 1.4 seja instalado no sistema que hospedará o Tioli Access Manager para WebLogic. O Tioli Access Manager para WebLogic utiliza essas mesmas ersões do Jaa Runtime Enironment. Tioli Access Manager Jaa Runtime O Tioli Access Manager Jaa Runtime Enironment, ersão 5.1, do Tioli Access Manager Base dee ser instalado e configurado no sistema que hospedará o Tioli Access Manager para WebLogic. O Tioli Access Manager Jaa Runtime Enironment fornece recursos de autenticação e autorização baseados em Jaa. Essas classes Jaa estendem o Jaa Runtime Enironment que é utilizado pelo BEA WebLogic Serer. O domínio seguro do Tioli Access Manager dee ser estabelecido antes de configurar o Tioli Access Manager Jaa Runtime Enironment no sistema que hospedará o Tioli Access Manager para WebLogic. O Tioli Access Manager Jaa Runtime Enironment é distribuído com o CD do IBM Tioli Access Manager Base para cada sistema operacional suportado. Para obter instruções de instalação, consulte o IBM Tioli Access Manager Base Installation Guide. Instalando Utilizando o Assistente de Instalação Atenção Esse assistente de instalação é suportado pela localização de instalação padrão do BEA WebLogic Serer, Versão 7.0 apenas. Se estier utilizando o BEA WebLogic Serer, Versão 8.1, siga as instruções em Instalando Utilizando Utilitários Natios na página 14. O assistente de instalação install_amwls simplifica a configuração de um sistema Tioli Access Manager para WebLogic Serer instalando e configurando os seguintes componentes na ordem apropriada: Access Manager Jaa Runtime Enironment Capítulo 2. Instruções de Instalação 11