Seguridad de colectivo
Puede utilizar los principios de seguridad colectiva en el perfil Liberty para la direccionar datos en movimiento y datos en REST.
- La configuración de seguridad de dominio administrativo para el colectivo se compone de dos partes:
Para que los usuarios accedan a los beans gestionados del controlador de colectivo, deben estar en el rol de administrador. Todas las acciones administrativas a través del colectivo requieren que se otorgue al usuario el rol de administrador. Consulte Configuración de una conexión JMX segura con el perfil Liberty para obtener información detallada completa.
Las comunicaciones entre servidores están dentro del dominio de servidor y, como tales, no se utiliza ninguna identidad de usuario ni contraseña para comunicarse entre los miembros de un colectivo. Cada miembro del colectivo tiene una identidad exclusiva en el colectivo que se compone de nombre de host, directorio de usuario y nombre de servidor. Cada miembro dentro del colectivo define la configuración de dominio de servidor, que consta de los archivos serverIdentity.jks y collectiveTrust.jks. Estos archivos contienen los certificados SSL que son necesarios para establecer las comunicaciones seguras en el colectivo. La configuración de clave HTTPS debe tener valores de confianza específicos, que se establecen de forma predeterminada.
La configuración SSL de dominio del servidor se puede personalizar añadiendo más entradas de certificado de confianza al almacén de claves collectiveTrust.jks . Se copian todos los valores de confianza cuando se duplica un controlador; por lo tanto, se debe aplicar la personalización SSL al controlador inicial. Solo es necesario añadir los valores de confianza al almacén de claves collectiveTrust.jks si no se utilizan los certificados HTTPS predeterminados. Si se modifica la configuración SSL HTTPS, se aplican las reglas siguientes de certificado:La comunicación entre servidores requiere que se admita la autenticación SSL. Si se personaliza la configuración SSL HTTPS, la configuración SSL debe especificar clientAuthenticationSupported="true". Se recomienda que no utilice clientAuthenticationRequired="true"; dado que impedirá la autenticación con nombres de usuario y contraseñas. Por ejemplo:<!-- clientAuthenticationSupported establecido para habilitar la confianza bidireccional --> <ssl id="defaultSSLConfig" keyStoreRef="defaultKeyStore" trustStoreRef="defaultTrustStore" clientAuthenticationSupported="true" />
Se puede impedir que los miembros publiquen información al controlador colectivo mediante el uso del MBean CollectiveRegistration. Los métodos disavow y avow impedirán o habilitarán la autenticación, respectivamente.
La política de seguridad de datos de repositorio colectivo cubre la política de datos específicamente en REST, la política de acceso al contenido del repositorio colectivo.
A continuación se detalla la política de seguridad actual para los datos de colectivo:Dado que el repositorio colectivo finalmente reside en el disco, los valores de permiso del sistema de archivos deben ser seguros para el entorno. Se recomienda que solo el usuario pueda leer y escribir la configuración del controlador de colectivo, que solo el grupo pueda leerla y que no sea accesible para para todo el mundo, dicho de otro modo, chmod 0640. Siga las directrices de seguridad que haya establecido su organización.