Valores de comunicaciones de salida CSIv2 (Common Secure Interoperability Versión 2)

Utilice esta página para especificar las características que soportará un servidor cuando actúe como cliente de otro servidor en sentido descendente.

Para ver esta página de la consola administrativa, realice los pasos siguientes:
  1. Pulse Seguridad > Seguridad global.
  2. En Autenticación, pulse Seguridad RMI/IIOP > Comunicaciones de salida CSIv2.
Las características de autenticación incluyen tres capas de autenticación que puede utilizar de forma simultánea:

Pestaña Configuración

Propague atributos de seguridad

Especifica el soporte para la propagación de atributos de seguridad durante las solicitudes de inicio de sesión. Cuando selecciona esta opción, el servidor de aplicaciones conserva información adicional acerca de la solicitud de inicio de sesión como, por ejemplo, el nivel de autenticación utilizado, y conserva la identidad y la ubicación del que ha originado la solicitud.

Si no selecciona esta opción, el servidor de aplicaciones no acepta ningún tipo de información de inicio de sesión adicional para propagarla a los servidores en sentido descendente.

Valor predeterminado: Habilitado
Utilizar la aserción de identidad [z/OS]

Especifica que la aserción de identidad es una forma de confirmar las identidades de un servidor a otro durante una invocación de EJB (Enterprise JavaBeans) en sentido ascendente.

Este servidor no autentica de nuevo la identidad confirmada porque confía en el servidor en sentido ascendente. La aserción de identidad tiene prioridad sobre los otros tipos de autenticación.

La aserción de identidad se efectúa en la capa de atributos y sólo se puede aplicar en servidores. El principal determinado en el servidor se basa en las reglas de precedencia. Si se realiza la aserción de identidad, la identidad siempre se deriva de la capa de atributos. Si se utiliza la autenticación básica sin la aserción de identidad, la identidad siempre se deriva de la capa de mensajes. Por último, si se realiza la autenticación de certificados de cliente SSL sin la autenticación básica ni la aserción de identidad, la identidad se deriva de la capa de transporte.

La identidad confirmada es la credencial de invocación que determina la modalidad RunAs para el enterprise bean. Si la modalidad RunAs es Cliente, la identidad es la identidad del cliente. Si la modalidad RunAs es Sistema, la identidad es la identidad del servidor. Si la modalidad RunAs es Especificada, la identidad es la identidad especificada. El servidor receptor recibe la identidad en una señal de identidad, y también recibe la identidad del servidor emisor en una señal de autenticación de cliente. El servidor receptor valida la identidad del servidor emisor como una identidad de confianza mediante el recuadro de entrada ID de servidor de confianza. Escriba una lista de nombres de principal separados por el símbolo de barra vertical (|), por ejemplo, serverid1|serverid2|serverid3.

Todos los tipos de señales de identidad se correlacionan con el campo de ID de usuario del registro de usuarios activo. Para una señal de identidad ITTPrincipal, se correlaciona de uno en uno con los campos de ID de usuario. Para una señal de identidad ITTDistinguishedName, el valor del primer signo igual se correlaciona con el campo del ID de usuario. Para una señal de identidad ITTCertChain, el valor del primer signo igual del nombre distinguido se correlaciona con el campo de ID de usuario.

Al autenticarse en un registro de usuarios LDAP, los filtros LDAP determinan cómo se correlaciona una identidad de tipo ITTCertChain y ITTDistinguishedName con el registro. Si el tipo de señal es ITTPrincipal, el principal se correlaciona con el campo UID del registro LDAP.

Valor predeterminado: Inhabilitado
Utilizar la identidad de servidor de confianza

Especifica la identidad de servidor que utiliza el servidor de aplicaciones para establecer la confianza con el servidor de destino. La identidad del servidor puede enviarse utilizando uno de los métodos siguientes:

  • Un ID de servidor y una contraseña cuando se especifica la contraseña de servidor en la configuración del registro.
  • Un ID de servidor y una señal LTPA (Lightweight Third Party Authentication) cuando se utiliza el ID de servidor interno.
Para la interoperatividad entre servidores de aplicaciones distintos de WebSphere Application Server, utilice uno de los métodos siguientes:
  • Configure el ID de servidor y la contraseña en el registro.
  • Seleccione la opción Identidad de servidor con confianza y especifique la identidad de confianza y la contraseña para que se envíe la señal GSSUP (Generic Security Services Username Password) interaoperativa, en lugar de una señal LTPA.
Valor predeterminado: Inhabilitado
Especificar una identidad de confianza alternativa

Especifica un usuario alternativo como identidad de confianza que se envía a los servidores de destino en lugar de enviar la identidad de servidor.

Esta opción es la recomendada para la aserción de identidad. La identidad se hace automáticamente de confianza cuando se envía en la misma célula y no necesita estar en la lista de identidades de confianza de la misma célula. Sin embargo, esta identidad debe estar en el registro de los servidores de destino en una célula externa y el ID de usuario debe estar en la lista de identidades de confianza o se rechazará la identidad durante la evaluación de confianza.

Valor predeterminado: Inhabilitado
Identidad de confianza

Especifica la identidad de confianza que se envía desde el servidor emisor al servidor receptor.

Si especifica una identidad en este campo, se puede seleccionar en el panel del repositorio de cuentas de usuario configurados. Si no especifica una identidad, se envía una señal LTPA (Lightweight Third Party Authentication) entre los servidores.

[AIX Solaris HP-UX Linux Windows] [iSeries] Especifica una lista separada por el símbolo de barra vertical (|) de los ID de usuario del administrador de los servidores de confianza que pueden efectuar la aserción de identidad de este servidor. Por ejemplo, serverid1|serverid2|serverid3. El servidor de aplicaciones todavía da soporte a las comas (,) como delimitadores de lista para conservar la compatibilidad con versiones anteriores. El servidor de aplicaciones comprueba si hay comas cuando con el carácter de barra vertical (|) no se puede encontrar un ID de servidor fiable válido.

[z/OS] Especifica una lista separada por signos de punto y coma (;) o coma (,) de ID de servidores de confianza en los que se confía para llevar a cabo la aserción de identidad de este servidor. Por ejemplo, serverid1;serverid2;serverid3 o serverid1,serverid2,serverid3.

Utilice esta lista para decidir si se trata de un servidor de confianza. Incluso si el servidor está en la lista, el servidor emisor deberá autenticarse con el servidor receptor para poder aceptar la señal de identidad del servidor receptor.

Contraseña

Especifica la contraseña asociada a la identidad de confianza.

Tipo de datos: Texto
Confirmar contraseña

Confirma la contraseña asociada a la identidad de confianza.

Tipo de datos: Texto
Autenticación de la capa de mensajes

Las opciones siguientes están disponibles para la autenticación de la capa de mensajes:
Nunca
Especifica que este servidor no puede aceptar la autenticación de ID de usuario y contraseña.
Soportado
Especifica que el un cliente que se comunica con este servidor puede especificar un ID de usuario y una contraseña. Sin embargo, puede invocarse un método sin este tipo de autenticación. Por ejemplo, en su lugar puede utilizarse un certificado anónimo o del cliente.
Necesario
Especifica que los clientes que se comunican con este servidor deben especificar un ID de usuario y una contraseña para cada solicitud de método.
Permitir al cliente la autenticación de servidor con:

Especifica la autenticación de servidor utilizando Kerberos, LTPA o la autenticación básica.

Las opciones siguientes están disponibles para el cliente para la autenticación de servidor:
Kerberos (KRB5)
Seleccione esta opción para especificar Kerberos como mecanismo de autenticación. Primero debe configurar el mecanismo de autenticación de Kerberos. Consulte Configuring Kerberos as the authentication mechanism using the administrative console si desea más información.
LTPA
Seleccione configurar y habilitar la autenticación de señales LTPA (Lightweight Third-Party Authentication).
Autenticación básica
La autenticación básica es GSSUP (Generic Security Services Username Password). Este tipo de autenticación consiste, generalmente, en enviar un ID de usuario y una contraseña del cliente al servidor para autenticarlos.

Si selecciona Autenticación básica y LTPA, y el mecanismo de autenticación es LTPA, el servidor acude a un servidor descendente con un nombre de usuario y contraseña o señal LTPA.

Si selecciona Autenticación básica y KRB5, y el mecanismo de autenticación es KRB5, el servidor acude a un servidor descendente con un nombre de usuario, contraseña, señal Kerberos o señal LTPA.

Si no selecciona Autenticación básica, el servidor no acude a un servidor descendente con un nombre de usuario y contraseña.

Transporte

Especifica si los procesos de cliente se conectan al servidor utilizando uno de los transportes conectados del mismo.

Puede elegir si desea utilizar SSL (Secure Sockets Layer), TCP/IP o ambos tipos de conexión como transporte de entrada que recibe soporte del servidor. Si especifica TCP/IP, el servidor sólo dará soporte a TCP/IP y no aceptará conexiones SSL. Si especifica Da soporte a SSL, este servidor puede dar soporte a las conexiones TCP/IP o SSL indistintamente. Si especifica Precisa SSL, cualquier servidor que se comunique con éste debe utilizar SSL.

Nota: Esta opción no está disponible en el sistema operativo z/OS a menos que existan nodos de la versión 6.0.x y anteriores en la célula.
TCP/IP
Si selecciona TCP/IP, el servidor sólo abrirá un puerto de escucha TCP/IP y todas las solicitudes de entrada no tendrán protección SSL.
Precisa SSL
Si selecciona Precisa SSL, el servidor sólo abrirá un puerto de escucha SSL y todas las solicitudes de entrada se recibirán mediante SSL.
Da soporte a SSL
Si selecciona Da soporte a SSL, el servidor abre un puerto de escucha tanto SSL como TCP/IP y la mayoría de las solicitudes de entrada se recibirán mediante SSL.
Proporcione un número de puerto fijo para los puertos siguientes. Un número de puerto cero indica que se realiza una asignación dinámica en el tiempo de ejecución. [AIX Solaris HP-UX Linux Windows] [iSeries]

CSIV2_SSL_MUTUALAUTH_LISTENER_ADDRESS
CSIV2_SSL_SERVERAUTH_LISTENER_ADDRESS
SAS_SSL_SERVERAUTH_LISTENER_ADDRESS

[z/OS]

ORB_SSL_LISTENER_ADDRESS

Valor predeterminado: Da soporte a SSL
Rango: TCP/IP, Precisa SSL, Da soporte a SSL
Valores SSL

Especifica una lista de valores SSL predefinidos para elegir para la conexión de entrada.

[z/OS] Nota: Esta opción no está disponible en el sistema operativo z/OS a menos que existan nodos de la versión 6.0.x y anteriores en la célula.
Tipo de datos: Serie
[AIX Solaris HP-UX Linux Windows] [iSeries] Valor predeterminado: DefaultSSLSettings
[z/OS] Valor predeterminado: DefaultIIOPSSL
Rango: Cualquier valor SSL que esté configurado en Repertorio de configuración SSL
Autenticación de certificado de cliente

Especifica si un certificado de cliente del almacén de claves configurado se va a utilizar para autenticarse en el servidor cuando se establezca la conexión SSL entre este servidor y un servidor en sentido descendente, siempre que el servidor en sentido descendente dé soporte a la autenticación de certificados de cliente.

Generalmente la autenticación de certificados de cliente un rendimiento mayor que la autenticación de la capa de mensajes pero requiere alguna configuración adicional. Estos pasos adicionales requieren la verificación de que este servidor disponga de un certificado personal y de que el servidor en sentido descendente tenga el certificado de firmante de este servidor.

Cuando seleccione la autenticación de certificados de cliente, están disponibles las siguientes opciones:
Nunca
Especifica que este servidor no puede realizar la autenticación de certificado de cliente SSL (Secure Sockets Layer) con servidores en sentido descendente.
Soportado
Especifica que este servidor puede utilizar certificados de cliente SSL para autenticarse en los servidores en sentido descendente. Sin embargo, puede invocarse un método sin este tipo de autenticación. Por ejemplo, el servidor puede utilizar un certificado anónimo o de autenticación básica en su lugar).
Necesario
Especifica que este servidor debe utilizar certificados de cliente SSL para autenticarse en los servidores en sentido descendente.
Valor predeterminado: Habilitado
Configuración de inicio de sesión

Especifica el tipo de configuración de inicio de sesión del sistema que se debe utilizar para la autenticación de entrada.

Puede añadir módulos de inicio de sesión personalizados pulsando Seguridad > Seguridad global. En Autenticación, pulse Java Authentication and Authorization Service > Inicios de sesión del sistema.

Sesiones con estado

Seleccione esta opción para habilitar las sesiones sin estado que resultan útiles principalmente para mejorar el rendimiento.

El primer contacto entre un cliente y un servidor debe autenticarse completamente. Sin embargo, todos los demás contactos con sesiones válidas, vuelven a utilizar la información de seguridad. El cliente pasa un ID de contexto al servidor y el ID se utiliza para buscar la sesión. El ID de contexto tiene el ámbito de la conexión, lo cual garantiza la exclusividad. Cuando la sesión de seguridad no es válida y el reintento de autenticación está habilitado, que es el valor predeterminado, el interceptor de seguridad del cliente invalida la sesión del cliente y vuelve a someter la solicitud sin que el usuario lo sepa. Esto puede producirse si la sesión no existe en el servidor, por ejemplo, el servidor ha fallado y ha reanudado la operación. Cuando se inhabilita este valor, cada una de las invocaciones de método deben volver a autenticarse.

Correlación de salida personalizada

Habilita el uso de módulos de inicio de sesión de salida RMI (Remote Method Invocation).

El módulo de inicio de sesión personalizado correlaciona o completa otras funciones antes de la llamada de salida RMI predefinida.

Para declarar una correlación de salida personalizada, siga los pasos siguientes:
  1. Pulse Seguridad > Seguridad global.
  2. En Autenticación, pulse Java Authentication and Authorization Service > Inicios de sesión de sistema> Nuevo.
Reinos de autenticación de confianza - salida

Si la configuración RMI/IIOP se realiza en varios reinos, utilice este enlace para añadir reinos de confianza de salida.

Las señales de credenciales sólo se envían a los reinos de confianza. Además, el servidor receptor debe confiar en este reino utilizando la configuración de reinos de confianza de entrada para validar la señal LTPA.




Los enlaces marcados (en línea) requieren acceso a Internet.

Tareas relacionadas


Nombre de fichero: usec_outbound.html