[8.5.5.6 或更新版本]

Common Secure Interoperability 第 2 版 (CSIv2)

Common Secure Interoperability 第 2 版 (CSIv2) 是用以滿足鑑別、委派和專用權 CORBA 安全交互作業能力需求的架構。CSIv2 架構中會使用 SAS 通訊協定,以便在 GIOP 要求和回覆訊息的服務環境定義中交換記號,來建立安全環境定義。SAS 需要傳輸層安全 (TLS) (SSL/TLS),以便在其上另提供兩層,來用於用戶端鑑別和委派。

SAS 通訊協定分為兩層。如果可能無法在傳輸時達成充分鑑別,會使用此鑑別層來執行用戶端鑑別。用戶端可使用屬性層,將安全屬性(例如:身分)推送或遞送至目標伺服器,以便在存取控制決策中套用這些屬性。在 CSIv2 說明文件中,為方便討論,將傳輸稱為另一層,雖然它不屬於 SAS 通訊協定訊息,且 SAS 訊息位在傳輸之上。

CSIv2 身分主張

使用 RMI/IIOP 執行要求時,會使用屬性層中的 CSIv2 身分主張支援,從用戶端程序向伺服器程序主張身分。

主張是一個實體對另一個實體的宣告,用來代表自己來接受身分。用戶端可以主張身分,且該身分代表在其啟動遠端資源時生效的主體。除了代表使用者的身分記號之外,用戶端程序也會在鑑別層或傳輸層中傳送其自己的身分。目標伺服器會執行信任驗證,以確定用戶端程序能夠主張身分。如果目標伺服器信任用戶端,伺服器會使用主張的身分來建立伺服器端主體,以用來代表呼叫時在用戶端程序中生效的使用者。

用戶端可以主張正在使用「主體名稱」身分記號的使用者。主體名稱的格式,取決於在用戶端程序中所配置的使用者登錄。亦支援匿名身分記號類型,當伺服器收到這類記號時,會使用未經鑑別的主體。

如需使用身分主張來配置 CSIV2 屬性層的相關資訊,請參閱配置入埠 CSIv2 屬性層配置出埠 CSIv2 屬性層

CSIv2 鑑別層

使用 RMI/IIOP 執行要求時,會使用 CSIv2 鑑別層,將鑑別資訊從用戶端程序帶至伺服器程序。

CSIv2 鑑別層可以包含用戶端傳送的記號,之後伺服器就可以使用該記號來鑑別用戶端。鑑別層中支援各種不同的記號類型。舉例來說,使用 GSSUP 記號來傳輸用戶端的使用者名稱和密碼,以用來驗證是否符合目標伺服器的使用者登錄。「小型認證機構 (LTPA)」記號是一個代表用戶端的使用者且不必傳輸密碼的記號,但是在進行遠端方法呼叫之前,必須在用戶端程序中鑑別該使用者,且用戶端和伺服器程序兩者必須共用 LTPA 金鑰。

不論哪一種記號類型,在伺服器程序中都會使用記號來鑑別遠端使用者,且會建立一個主體,來代表用戶端啟動遠端物件之前在用戶端生效的主體。如果還啟用了身分主張,鑑別層可包含代表用戶端身分的安全資訊,而身分主張記號代表呼叫期間的實際遠端使用者。

如需配置 CSIV2 鑑別層的相關資訊,請參閱配置入埠 CSIv2 鑑別層配置出埠 CSIv2 鑑別層

CSIv2 傳輸層

Common Secure Interoperability 第 2 版 (CSIv2) 傳輸層支援用來保護 SAS 通訊協定要求訊息,以及支援從用戶端程序至伺服器程序的用戶端憑證鑑別。

傳輸層的主要功能是當從用戶端傳輸 SAS 通訊協定訊息至伺服器程序時,提供安全性質。可以使用加密及/或簽署來保護訊息。Liberty 設定檔 SSL 支援會作為提供這類性質的基礎機制。

傳輸層的第二個功能是在未使用鑑別層時,提供鑑別資料來源。如果已啟用身分主張,且未啟用鑑別層,就會從傳輸的用戶端憑證鏈,來取得用戶端程序身分。目標伺服器程序會將用戶端憑證鏈對映至其使用者登錄中的使用者,來鑑別用戶端憑證鏈。會使用憑證鏈發證者的識別名稱,來判斷是否信任用戶端主張該身分。

如果未啟用身分主張和鑑別層,在目標伺服器程序中啟動實際遠端方法呼叫時,會使用藉由對映用戶端憑證鏈所取得的主體,作為呼叫端主體。如果支援但不需要目標伺服器的鑑別層,且用戶端未傳送鑑別記號和身分記號,也會這樣做。

如需使用身分主張來配置 CSIV2 屬性層的相關資訊,請參閱配置入埠 CSIv2 傳輸層配置出埠 CSIv2 傳輸層

重要詞彙

ORB - Object Request Broker。
它會在相同程序中可能並置或未並置的實體之間,調解物件方法呼叫。
安全環境定義 (security context)
此資訊用來規定對 ORB 物件執行的特定作業具有哪些安全性質。舉例來說,在呼叫物件作業期間要使用的身分。
用戶端安全服務 (client security service) 或 CSS
此實體會起始 SAS 通訊協定要求,以便在「目標安全服務」中,為目標 ORB 內物件的作業建立安全環境定義。
目標安全服務 (target security service) 或 TSS
此實體會接收 SAS 通訊協定要求,以便為其 ORB 內物件的作業,建立相關的安全環境定義。它可接受或拒絕建立或使用安全環境定義的要求。
用戶端鑑別 (client authentication)
用來鑑別用戶端的記號型機制。GSSUP(使用者名稱密碼 GSS)是最低需求,但可能是其他鑑別,例如,LTPA。
身分主張 (identity assertion)
在這種機制下,中介實體會為另一實體擔保,且 TSS 會將主張的身分用於呼叫主體。TSS 可以決定是否信任主張該身分的 Proxy。
Stateless
安全環境定義只在單一要求期間使用,不會重複用於後續要求。
Stateful
安全環境定義在建立之後,可供多項要求重複使用,直到 TSS 或 CSS 使其失效為止。
傳輸層安全 (transport layer security)
基礎傳輸所提供的安全支援。

指示主題類型的圖示 概念主題

資訊中心條款 | 意見


「時間戳記」圖示 前次更新: 2015 年 6 月 22 日
http://www14.software.ibm.com/webapp/wsbroker/redirect?version=phil&product=was-libcore-mp&topic=cwlp_csiv2overview
檔名:cwlp_csiv2overview.html