security.html

Sun Java System Application Server Enterprise Edition 8.1 管理指南

<a name="wp526461"> </a><div class="pSmartList1"><li><code class="cCode">pk12util</code>，一个命令行实用程序，用于以 PKCS12 格式在证书/密钥数据库和文件之间导入和导出密钥及证书。</li></div>
</ul></div>
<a name="wp526465"> </a><p class="pParagraph">
有关使用 <code class="cCode">certutil</code>、<code class="cCode">pk12util</code> 和其他 NSS 安全性工具的更多信息，请参见位于 <a  href="javascript:if(confirm('http://www.mozilla.org/projects/security/pki/nss/tools/  \n\n该文件无法用 Teleport Ultra 下载, 因为 它是一个域或路径外部被设置为它的启始地址的地址。  \n\n你想在服务器上打开它?'))window.location='http://www.mozilla.org/projects/security/pki/nss/tools/'" tppabs="http://www.mozilla.org/projects/security/pki/nss/tools/">http://www.mozilla.org/projects/security/pki/nss/tools</a> 的 NSS Security Tools。 
</p>
<a name="wp526469"> </a><h4 class="pHeading3">
管理密码安全性
</h4>
<a name="wp526471"> </a><p class="pParagraph">
在此版本的 Application Server 中，包含特定域的规范的 <code class="cCode">domain.xml</code> 文件最初以明文形式包含了 IMQ 代理的密码。<code class="cCode">domain.xml</code> 文件中包含此密码的元素为 <code class="cCode">jms-host</code> 元素的 <code class="cCode">admin-password</code> 属性。由于在安装期间不能更改此密码，因此它不会对安全性产生很大的影响。 
</p>
<a name="wp526473"> </a><p class="pParagraph">
不过，您可以使用管理控制台添加用户和资源，并为这些用户和资源指定密码。部分密码将以明文形式写入 <code class="cCode">domain.xml</code> 文件，例如用于访问数据库的密码。将这些密码以明文形式保存在 <code class="cCode">domain.xml</code> 文件中可能会破坏安全性。通过执行以下操作步骤，您可以对 <code class="cCode">domain.xml</code> 中的任何密码进行加密，包括 <code class="cCode">admin-password</code> 属性或数据库密码：
</p>
<div class="pSmartList1"><ol type="1" class="pSmartList1">
<a name="wp526475"> </a><div class="pSmartList1"><li>在 <code class="cCode">domain.xml</code> 文件所在的目录（默认情况下，此目录为 <em class="cEmphasis">install_dir</em><code class="cCode">/domains/</code><em class="cEmphasis">domain_dir</em><code class="cCode">/config</code>）中，运行以下 <code class="cCode">asadmin</code> 命令：</li></div>
<a name="wp526477"> </a><p class="pStepParaI1">
<code class="cCode">asadmin create-password-alias &lt;</code><em class="cEmphasis">alias-name</em><code class="cCode">&gt;</code>
</p>
<a name="wp526479"> </a><p class="pStepParaI1">
例如，
</p>
<a name="wp526481"> </a><p class="pStepParaI1">
<code class="cCode">asadmin create-password-alias jms-password</code>
</p>
<a name="wp526483"> </a><p class="pStepParaI1">
将显示输入密码提示（在本例中为 <code class="cCode">admin</code>）。有关更多信息，请参阅 <code class="cCode">create-password-alias</code>、<code class="cCode">list-password-aliases</code> 和 <code class="cCode">delete-password-alias</code> 命令的手册页。
</p>
<a name="wp526485"> </a><div class="pSmartList1"><li>删除并替换 <code class="cCode">domain.xml</code> 中的密码。使用 <code class="cCode">asadmin</code> <code class="cCode">set</code> 命令可以完成此操作。用于此目的的 <code class="cCode">set</code> 命令的示例如下：</li></div>
<a name="wp526487"> </a><code class="pCodelineIndent">
asadmin set server.jms-service.jms-host.default_JMS_host.admin-password=${ALIAS=jms-password}
</code>
<a name="wp526489"> </a><div class="pSmartList1"><li>重新启动相关域的 Application Server。</li></div>
</ol></div>
<a name="wp526491"> </a><h5 class="pHeading4">
保护具有编码密码的文件
</h5>
<a name="wp526493"> </a><p class="pParagraph">
某些文件包含需要使用文件系统权限进行保护的编码密码。这些文件包括：
</p>
<div class="pSmartList1"><ul class="pSmartList1">
<a name="wp526495"> </a><div class="pSmartList1"><li><em class="cEmphasis">install_dir</em><code class="cCode">/domains/</code><em class="cEmphasis">domain_dir</em><code class="cCode">/master-password</code></li></div>
</ul></div>
<div class="pParaIndent1"><ul class="pParaIndent1">
<a name="wp526497"> </a><p class="pParaIndent1">
此文件包含编码主密码，并且应使用文件系统权限 600 对其进行保护。
</p>
</ul></div>
<div class="pSmartList1"><ul class="pSmartList1">
<a name="wp526499"> </a><div class="pSmartList1"><li>任何使用 <code class="cCode">--passwordfile</code> 参数创建的、作为参数传递给 <code class="cCode">asadmin</code> 的密码文件均应使用文件系统权限 600 进行保护。</li></div>
</ul></div>
<a name="wp526501"> </a><h5 class="pHeading4">
更改主密码
</h5>
<a name="wp526503"> </a><p class="pParagraph">
主密码 (MP) 是全局性的共享密码。它从不用于验证，也从不会在网络上传输。此密码是整体安全性的要塞点；用户可以选择在需要时手动输入此密码，也可以将其隐藏在文件中。它是系统中最敏感的数据。用户可以通过删除此文件强制系统提示输入 MP。更改主密码后，系统会将其重新保存到主密码密钥库中。
</p>
<a name="wp526505"> </a><p class="pParagraph">
要更改主密码，必须按照以下步骤进行操作：
</p>
<div class="pSmartList1"><ol type="1" class="pSmartList1">
<a name="wp526507"> </a><div class="pSmartList1"><li>停止域的 Application Server。使用 <code class="cCode">asadmin</code> 命令 <code class="cCode">change-master-password</code> 提示输入旧密码和新密码，然后对所有依赖条目重新进行加密。例如，</li></div>
<a name="wp526509"> </a><code class="pCodelineIndent">
asadmin change-master-password&gt;<br />请输入主密码&gt;<br />请输入新的主密码&gt;<br />请再次输入新的主密码&gt;
</code>
<a name="wp526511"> </a><div class="pSmartList1"><li>重新启动 Application Server。 </li></div>
</ol></div>
<a name="wp526513"> </a><p class="pParagraph">
<b class="cBold">警告：</b>此时，不能启动正在运行的服务器实例并且不能重新启动运行服务器实例，除非已更改这些实例所对应的节点代理上的 SMP。如果在更改服务器实例的 SMP 之前重新启动了该服务器实例，它将无法启动。
</p>
<div class="pSmartList1"><ol type="1" class="pSmartList1">
<a name="wp526515"> </a><div class="pSmartList1"><li>一次停止一个节点代理及与其相关的服务器。再次运行 <code class="cCode">asadmin</code> <code class="cCode">change-master-password</code> 命令，然后重新启动节点代理及与其相关的服务器。</li></div>
<a name="wp526517"> </a><div class="pSmartList1"><li>继续对下一个节点代理执行此过程，直到对所有节点代理均已执行此过程。这样可以完成滚动更改。</li></div>
</ol></div>
<a name="wp526519"> </a><h5 class="pHeading4">
 更改管理员密码
</h5>
<a name="wp526525"> </a><p class="pParagraph">
“<a  href="security.html#wp526469" tppabs="http://docs.sun.com/source/819-1553/security.html#wp526469">管理密码安全性</a>”中讨论了如何对管理员密码进行加密。强烈建议您对管理员密码进行加密。如果要在对管理员密码进行加密之前更改管理员密码，请使用 <code class="cCode">asadmin</code> <code class="cCode">set</code> 命令。用于此目的的 <code class="cCode">set</code> 命令的示例如下：
</p>
<a name="wp526527"> </a><code class="pCodelineIndent">
asadmin set server.jms-service.jms-host.default_JMS_host.admin-password=<em class="cEmphasis">new_pwd</em>
</code>
<a name="wp526529"> </a><p class="pParagraph">
还可以使用管理控制台更改管理员密码。要使用管理控制台更改管理员密码，请执行以下步骤。
</p>
<div class="pSmartList1"><ol type="1" class="pSmartList1">
<a name="wp526531"> </a><div class="pSmartList1"><li>在管理控制台的树组件中，展开“配置”节点。</li></div>
<a name="wp526533"> </a><div class="pSmartList1"><li>展开要配置的实例：</li></div>
<div class="pSmartList2"><ol type="a" class="pSmartList2">
<a name="wp526535"> </a><div class="pSmartList2"><li>要配置特定的实例，请展开该实例的配置节点。例如，对于默认实例 <code class="cCode">server</code>，请展开 <code class="cCode">server-config</code> 节点。</li></div>
<a name="wp526537"> </a><div class="pSmartList2"><li>要为所有实例配置默认设置，请展开 <code class="cCode">default-config</code> 节点。</li></div>
</ol></div>
<a name="wp526539"> </a><div class="pSmartList1"><li>展开“安全性”节点。</li></div>
<a name="wp526541"> </a><div class="pSmartList1"><li>展开“区域”节点。</li></div>
<a name="wp526543"> </a><div class="pSmartList1"><li>选择 <code class="cCode">admin-realm</code> 节点。 </li></div>
<a name="wp526545"> </a><div class="pSmartList1"><li>在“编辑区域”页面中，单击“管理用户”按钮。</li></div>
<a name="wp526547"> </a><div class="pSmartList1"><li>选择名为 <code class="cCode">admin</code> 的用户。</li></div>
<a name="wp526549"> </a><div class="pSmartList1"><li>输入新密码并确认密码。</li></div>
<a name="wp526551"> </a><div class="pSmartList1"><li>单击“保存”以保存新密码，或单击“关闭”以关闭页面而不保存新密码。</li></div>
</ol></div>
<a name="wp526555"> </a><h4 class="pHeading3">
指定安全职责
</h4>
<a name="wp526557"> </a><p class="pParagraph">
将为以下角色指定安全职责：
</p>
<div class="pSmartList1"><ul class="pSmartList1">
<a name="wp526563"> </a><div class="pSmartList1"><li><a  href="security.html#wp526579" tppabs="http://docs.sun.com/source/819-1553/security.html#wp526579">应用程序开发者</a></li></div>
<a name="wp526569"> </a><div class="pSmartList1"><li><a  href="security.html#wp526595" tppabs="http://docs.sun.com/source/819-1553/security.html#wp526595">应用程序部署者</a></li></div>
<a name="wp526575"> </a><div class="pSmartList1"><li><a  href="security.html#wp526611" tppabs="http://docs.sun.com/source/819-1553/security.html#wp526611">系统管理员</a></li></div>
</ul></div>
<a name="wp526579"> </a><h5 class="pHeading4">
应用程序开发者
</h5>
<a name="wp526581"> </a><p class="pParagraph">
应用程序开发者负责：
</p>
<div class="pSmartList1"><ul class="pSmartList1">
<a name="wp526583"> </a><div class="pSmartList1"><li>为应用程序组件指定角色和基于角色的访问限制。</li></div>
<a name="wp526585"> </a><div class="pSmartList1"><li>定义应用程序的验证方法并指定受保护的应用程序部分。</li></div>
</ul></div>
<a name="wp526587"> </a><p class="pParagraph">
应用程序开发者可以使用 <code class="cCode">deploytool</code> 等工具来编辑应用程序部署描述符。《The J2EE 1.4 Tutorial》中的 "<em class="cEmphasis">Security</em>" 一章详细讨论了这些安全性任务，您可以从以下 URL 中查看该教程：
</p>
<div class="pParaIndent1"><ul class="pParaIndent1">
<a name="wp526591"> </a><p class="pParaIndent1">
<a  href="javascript:if(confirm('http://java.sun.com/j2ee/1.4/docs/tutorial/doc/index.html  \n\n该文件无法用 Teleport Ultra 下载, 因为 它是一个域或路径外部被设置为它的启始地址的地址。  \n\n你想在服务器上打开它?'))window.location='http://java.sun.com/j2ee/1.4/docs/tutorial/doc/index.html'" tppabs="http://java.sun.com/j2ee/1.4/docs/tutorial/doc/index.html">http://java.sun.com/j2ee/1.4/docs/tutorial/doc/index.html</a>
</p>
</ul></div>
<a name="wp526595"> </a><h5 class="pHeading4">
应用程序部署者
</h5>
<a name="wp526597"> </a><p class="pParagraph">
应用程序部署者负责：
</p>
<div class="pSmartList1"><ul class="pSmartList1">
<a name="wp526599"> </a><div class="pSmartList1"><li>将用户或组（或两者）映射到安全角色。</li></div>
<a name="wp526601"> </a><div class="pSmartList1"><li>限制访问组件方法所需的权限，使满足特定部署方案的要求。</li></div>
</ul></div>
<a name="wp526603"> </a><p class="pParagraph">
应用程序部署者可以使用 <code class="cCode">deploytool</code> 等工具来编辑应用程序部署描述符。《The J2EE 1.4 Tutorial》中的 "<em class="cEmphasis">Security</em>" 一章详细讨论了这些安全性任务，您可以从以下 URL 中查看该教程：
</p>
<div class="pParaIndent1"><ul class="pParaIndent1">