CSIv2(Common Secure Interoperability Version 2) 아웃바운드 통신 설정

이 페이지에서 서버가 다른 다운스트림 서버에 대한 클라이언트로서 작동할 때 지원하는 기능을 지정할 수 있습니다.

이 관리 콘솔 페이지를 보려면 다음 단계를 완료하십시오.
  1. 보안 > 글로벌 보안을 클릭하십시오.
  2. 인증에서 RMI/IIOP 보안 > CSIv2 아웃바운드 통신을 클릭하십시오.
인증 기능에는 동시에 사용할 수 있는 다음과 같은 세 가지 인증 레이어가 포함됩니다.
보안 속성 전파

로그인 요청 중 보안 속성 전파를 지원하도록 지정합니다. 이 옵션을 선택하면 Application Server는 로그인 요청에 대한 추가 정보(예: 사용된 인증 강도) 및 요청자의 ID와 위치를 보관합니다.

이 옵션을 선택하지 않으면 Application Server는 다운스트림 서버로 전파할 추가 로그인 정보를 승인하지 않습니다.

기본값: 사용 가능
중요사항: 복제 서비스를 사용할 경우, 보안 속성 전파 옵션이 사용 가능한지 확인하십시오.
서버 신뢰 ID 사용

Application Server가 대상 서버와의 신뢰를 설정하는 데 사용하는 서버 ID를 지정합니다. 다음 메소드 중 하나를 사용하여 서버 ID를 전송할 수 있습니다.

  • 서버 암호를 레지스트리 구성에 지정한 경우 서버 ID 및 암호.
  • 내부 서버 ID를 사용할 경우 LTPA(Lightweight Third Party Authentication)의 서버 ID.
WebSphere® Application Server 이외의 Application Server와의 상호운영성을 위해 다음 메소드 중 하나를 사용하십시오.
  • 레지스트리에 서버 ID 및 암호를 구성하십시오.
  • 서버 신뢰 ID 옵션을 선택한 후 LTPA 토큰 대신 상호운영 가능 GSSUP(Generic Security Services Username Password) 토큰이 전송될 수 있도록 신뢰된 ID 및 암호를 지정하십시오.
기본값: 사용 불가능
대체 신뢰 ID 지정

서버 ID를 전송하는 대신 대상 서버에 전송되는 신뢰된 ID로 대체 사용자를 지정합니다.

이 옵션은 ID 신뢰에 권장합니다. 동일한 셀 내에서 전송될 때 ID가 자동으로 신뢰되며 동일한 셀 내의 신뢰된 ID 목록에 존재할 필요가 없습니다. 그러나 해당 ID가 외부 셀의 대상 서버 레지스트리에 존재하고 사용자 ID가 신뢰된 ID 목록에 존재해야 하며 그렇지 않을 경우 신뢰 평가 중 ID가 거부됩니다.

기본값: 사용 불가능
신뢰 ID

전송 서버에서 수신 서버로 전송되는 신뢰된 ID를 지정하십시오.

이 필드에 ID를 지정할 경우 구성된 사용자 계정 저장소에 대한 패널에서 선택할 수 있습니다. ID를 지정하지 않는 경우 서버 간에 LTPA(Lightweight Third Party Authentication) 토큰이 전송됩니다.

[AIX Solaris HP-UX Linux Windows] [iSeries] 이 서버에 ID 신뢰를 수행할 수 있도록 신뢰된 서버 관리자 사용자 ID의 파이프로 구분된(|) 목록을 지정합니다(예: serverid1|serverid2|serverid3). Application Server는 이전 버전과의 호환성을 위해 목록 분리문자로 쉼표(,) 문자를 지원합니다. Application Server는 파이프 문자(|)가 유효한 신뢰 서버 ID를 찾지 못하는 경우 쉼표 문자를 점검합니다.

[z/OS] 이 서버에 ID 신뢰를 수행할 수 있도록 신뢰된 서버 ID의 세미콜론으로 구분되거나(;) 콤마로 구분된(,) 목록을 지정합니다(예: serverid1;serverid2;serverid3 또는 serverid1,serverid2,serverid3).

이 목록을 사용하여 서버가 신뢰되는지 여부를 결정하십시오. 서버가 목록에 있는 경우에도 전송 서버의 ID 토큰을 승인하려면 전송 서버가 수신 서버에서 인증되어야 합니다.

암호

신뢰 ID와 연관된 암호를 지정합니다.

데이터 유형: 텍스트
암호 확인

신뢰 ID와 연관된 암호를 확인합니다.

데이터 유형: 텍스트
메시지 레이어 인증

다음 옵션은 메시지 레이어 인증에 사용 가능합니다.
불필요
이 서버가 사용자 ID 및 암호 인증을 승인할 수 없도록 지정합니다.
지원됨
이 서버와 통신 중인 클라이언트가 사용자 ID 및 암호를 지정할 수 있도록 지정합니다. 그러나 이러한 인증 유형 없이도 메소드를 호출할 수 있습니다. 예를 들어, 대신에 익명 또는 클라이언트 인증을 사용합니다.
필수
이 서버와 통신 중인 클라이언트가 모든 메소드 요청에 대해 사용자 ID 및 암호를 지정해야 하도록 지정합니다.
클라이언트의 서버 인증 도구:

Kerberos, LTPA 또는 기본 인증을 사용하여 클라이언트 대 서버 인증을 지정합니다.

다음 옵션은 클라이언트 대 서버 인증에 사용 가능합니다.
Kerberos(KRB5)
Kerberos를 인증 메커니즘으로 지정하도록 선택하십시오. 먼저 Kerberos 인증 메커니즘을 구성해야 합니다. 자세한 정보를 보려면 관리 콘솔을 사용하여 Kerberos를 인증 메커니즘으로 구성의 내용을 읽어 보십시오.
LTPA
LTPA(Lightweight Third-Party Authentication) 토큰 인증을 구성하고 사용 가능하도록 선택하십시오.
기본 인증
기본 인증은 GSSUP(Generic Security Services Username Password)입니다. 이러한 인증 유형에는 일반적으로 인증을 위한 클라이언트에서 서버로의 사용자 ID 및 암호 전송이 포함됩니다.

기본 인증LTPA를 선택하고 활성 인증 메커니즘이 LTPA인 경우 서버는 사용자 이름, 암호 또는 LTPA 토큰으로 다운스트림 서버로 이동합니다.

기본 인증KRB5를 선택하고 활성 인증 메커니즘이 KRB5인 경우 서버는 사용자 이름, 암호, Kerberos 토큰 또는 LTPA 토큰으로 다운스트림 서버로 이동합니다.

기본 인증을 선택하지 않은 경우 서버는 사용자 이름 및 암호로 다운스트림 서버로 이동하지 않습니다.

전송

클라이언트가 연결된 전송 중 하나를 사용하여 서버에 대한 연결을 처리할지 여부를 지정합니다.

서버가 지원하는 인바운드 전송으로 SSL(Secure Sockets Layer), TCP/IP 또는 둘 다 사용하도록 선택할 수 있습니다. TCP/IP를 지정하면 서버가 TCP/IP만 지원하며 SSL 연결을 승인할 수 없습니다. SSL 지원을 지정하면, 이 서버가 TCP/IP 또는 SSL 연결을 지원할 수 있습니다. SSL-필수를 지정하면 이 서버와 통신 중인 서버가 SSL을 사용해야 합니다.

주: 버전 6.0.x 및 이전 노드가 둘 다 셀에 존재하지 않을 경우 이 옵션이 z/OS® 운영 체제에서 사용 가능하지 않습니다.
TCP/IP
TCP/IP를 선택하면 서버는 TCP/IP 리스너 포트만 열고 모든 인바운드 요청에는 SSL 보호가 없습니다.
SSL 필수
SSL 필수를 선택하면, 서버는 SSL 리스너 포트만 열고 모든 인바운드 요청은 SSL을 사용하여 수신됩니다.
SSL 지원
SSL 지원을 선택하면, 서버는 TCP/IP 및 SSL 리스너 포트를 모두 열고 대부분의 인바운드 요청은 SSL(Secure Sockets Layer)을 사용하여 수신됩니다.
다음 포트에 수정된 포트 번호를 제공합니다. 포트 번호가 0인 경우에는 동적 지정이 런타임 시 작성됩니다. [AIX Solaris HP-UX Linux Windows] [iSeries]

CSIV2_SSL_MUTUALAUTH_LISTENER_ADDRESS
CSIV2_SSL_SERVERAUTH_LISTENER_ADDRESS
SAS_SSL_SERVERAUTH_LISTENER_ADDRESS

[z/OS]

ORB_SSL_LISTENER_ADDRESS

기본값: SSL 지원
범위: TCP/IP, SSL 필수, SSL-지원
SSL 설정

인바운드 연결을 위해 선택할 사전 정의된 SSL 설정 목록을 지정합니다.

[z/OS] 주: 버전 6.0.x 및 이전 노드가 둘 다 셀에 존재하지 않을 경우 이 옵션이 z/OS 운영 체제에서 사용 가능하지 않습니다.
데이터 유형: 문자열
[AIX Solaris HP-UX Linux Windows] [iSeries] 기본값: DefaultSSLSettings
[z/OS] 기본값: DefaultIIOPSSL
범위: SSL 구성 레퍼토리에 구성되는 모든 SSL 설정
클라이언트 인증서 인증

서버와 다운스트림 서버 간의 SSL(Secure Socket Layer) 연결이 작성된 경우, 구성된 키 스토어의 클라이언트 인증서를 사용하여 서버를 인증할지 여부를 지정합니다(다운스트림 서버가 클라이언트 증명 인증을 지원하는 경우).

일반적으로, 클라이언트 인증서 인증은 메시지 레이어 인증보다 고성능이지만, 일부 추가 설정 단계가 필요합니다. 이들 추가 단계는 서버가 개인 인증서를 갖고 다운스트림 서버가 이 서버의 서명자 인증을 갖는지 확인하는 것이 포함됩니다.

클라이언트 증명 인증을 선택하면 다음 옵션이 사용 가능합니다.
불필요
이 서버가 다운스트림 서버로 SSL(Secure Sockets Layer) 클라이언트 증명 인증을 시도하지 않도록 지정합니다.
지원됨
이 서버가 다운스트림 서버에 인증할 SSL 클라이언트 인증을 사용할 수 있도록 지정합니다. 그러나 이러한 인증 유형 없이도 메소드를 호출할 수 있습니다. 예를 들어, 서버는 대신에 익명 또는 기본 인증을 사용할 수 있습니다.
필수
이 서버가 다운스트림 서버에 인증할 SSL 클라이언트 인증을 사용해야 하도록 지정합니다.
기본값: 사용 가능
로그인 구성

인바운드 인증에 사용할 시스템 로그인 구성의 유형을 지정합니다.

보안 > 글로벌 보안을 클릭하여 사용자 정의 로그인 모듈을 추가할 수 있습니다. 인증에서 JAAS(Java™ Authentication and Authorization Service) > 시스템 로그인을 클릭하십시오.

Stateful 세션

대부분 성능 향상을 위해 사용되는 Stateful 세션을 사용 가능하도록 하려면 이 옵션을 선택하십시오.

클라이언트와 서버 간의 첫 번째 접속은 완전하게 인증되어야 합니다. 반면 유효한 세션인 모든 후속 접속은 보안 정보를 다시 사용합니다. 클라이언트는 컨텍스트 ID를 서버에 전달하고, 이 ID는 세션 조회에 사용됩니다. 컨텍스트 ID 범위는 고유성을 보증하는 연결입니다. 보안 세션이 유효하지 않고 인증 재시도가 사용 가능할 때마다 기본적으로 사용 가능하며 클라이언트측 보안 인터셉터가 클라이언트측 세션을 무효화하고 사용자가 인식하지 못하는 사이에 요청을 다시 제출합니다. 이러한 상황은 세션이 서버에 없는 경우에 발생할 수 있습니다(예: 서버가 실패하고 조작을 재개함). 이 값이 사용 불가능하게 되면 모든 메소드 호출을 재인증해야 합니다.

CSIv2 세션 캐시 한계 사용 가능

CSIv2 세션 캐시의 크기를 제한할지 여부를 지정합니다.

이 옵션을 사용 가능하게 하면, 최대 캐시 크기대기 세션 제한시간 옵션에 값을 설정해야 합니다. 이 옵션을 사용 가능하게 하지 않으면, CSIv2 세션 캐시가 제한되지 않습니다.

이전 버전의 Application Server에서는 이 값을 com.ibm.websphere.security.util.csiv2SessionCacheLimitEnabled 사용자 정의 특성으로 설정했을 수 있습니다. 이 제품 버전에서는 사용자 정의 특성이 아닌 이 관리 콘솔을 사용하여 이 값을 설정하는 것이 좋습니다.

기본값: false
최대 캐시 크기

만기된 세션을 캐시에서 삭제하게 되는 세션 캐시의 최대 크기를 지정합니다.

만기된 세션은 대기 세션 제한시간 필드에 지정된 시간보다 길게 대기하는 세션으로 정의됩니다. 최대 캐시 크기 필드에 값을 지정할 때, 100 - 1000개 항목 사이의 값 설정을 고려하십시오.

사용자 환경에서 Kerberos 인증을 사용하고 구성된 KDC(Key Distribution Center)에 대한 작은 클럭 스큐가 있는 경우 이 필드에 값을 지정하는 것을 고려하십시오. 이 시나리오에서는 작은 클럭 스큐가 20분 미만으로 정의됩니다. 캐시 크기가 작아서 Application Server 성능에 영향을 미치는 가비지 콜렉션이 너무 자주 실행되면, 이 필드의 값을 늘리는 것을 고려하십시오.

이전 버전의 Application Server에서는 이 값을 com.ibm.websphere.security.util.csiv2SessionCacheMaxSize 사용자 정의 특성으로 설정했을 수 있습니다. 이 제품 버전에서는 사용자 정의 특성이 아닌 이 관리 콘솔을 사용하여 이 값을 설정하는 것이 좋습니다.

이 필드는 Stateful 세션CSIv2 세션 캐시 한계 사용 가능 옵션을 모두 사용 가능하게 하는 경우에만 적용됩니다.

기본값: 기본적으로 값은 설정되지 않습니다.
범위: 100 - 1000개 항목
대기 세션 제한시간

이 특성은 CSIv2 세션이 삭제되기 전에 대기 상태에 있을 수 있는 시간(밀리초)을 지정합니다. CSIv2 세션 캐시 한계 사용 가능 옵션을 선택하고 최대 캐시 크기 필드의 값이 초과되면 세션이 삭제됩니다.

이 제한시간 값은 Stateful 세션CSIv2 세션 캐시 한계 사용 가능 옵션을 모두 사용 가능하게 하는 경우에만 적용됩니다. 사용자 환경에서 Kerberos 인증을 사용하고 구성된 KDC(Key Distribution Center)에 대한 작은 클럭 스큐가 있는 경우 이 필드의 값을 줄이는 것을 고려하십시오. 이 시나리오에서는 작은 클럭 스큐가 20분 미만으로 정의됩니다. 클럭 스큐가 작으면 많은 수의 CSIv2 세션이 거부될 수 있습니다. 하지만 대기 세션 제한시간 필드의 값이 더 작으면, Application Server가 이러한 거부된 세션을 더 자주 정리하여 잠재적으로 자원 부족이 줄어듭니다.

이전 버전의 WebSphere Application Server에서는 이 값을 com.ibm.websphere.security.util.csiv2SessionCacheIdleTime 사용자 정의 특성으로 설정했을 수 있습니다. 이 제품 버전에서는 사용자 정의 특성이 아닌 이 관리 콘솔을 사용하여 이 값을 설정하는 것이 좋습니다. 이전에 사용자 정의 특성으로 설정한 경우 값이 밀리초 단위로 설정되었고, 이 관리 콘솔 패널에서 초 단위로 변환되었습니다. 이 관리 콘솔 패널에서 값을 초 단위로 지정해야 합니다.

기본값: 기본적으로 값은 설정되지 않습니다.
범위: 60 - 86,400초
사용자 정의 아웃바운드 맵핑

사용자 정의 원격 메소드 호출(RMI) 아웃바운드 로그인 모듈을 사용 가능하게 합니다.

사용자 정의 로그인 모듈은 사전 정의된 RMI 아웃바운드 호출보다 먼저 다른 기능을 맵핑하거나 완료합니다.

사용자 정의 아웃바운드 맵핑을 선언하려면 다음 단계를 완료하십시오.
  1. 보안 > 글로벌 보안을 클릭하십시오.
  2. 인증에서 JAAS(Java Authentication and Authorization Service) > 시스템 로그인 > 새로 작성을 클릭하십시오.
신뢰 인증 범주 - 아웃바운드

RMI/IIOP 통신이 다른 범주에서인 경우, 이 링크를 사용하여 아웃바운드 신뢰 범주를 추가할 수 있습니다.

신임 토큰은 신뢰되는 범주로만 보내집니다. 또한 수신 서버는 LTPA 토큰의 유효성을 검증하기 위해 인바운드 신뢰 범주 구성을 사용하여 이 범주를 신뢰합니다.




표시된(온라인) 링크는 인터넷에 액세스해야 합니다.

관련 태스크


파일 이름: usec_outbound.html