WebSEAL Guía del administrador

Transcripción

1 IBM Tioli Access Manager WebSEAL Guía del administrador Versión 3.9 GC

2

3 IBM Tioli Access Manager WebSEAL Guía del administrador Versión 3.9 GC

4 Nota Antes de utilizar esta información y el producto al que da soporte, lea la información incluida en el Apéndice C, Aisos en la página 253. Primera edición (julio de 2002) Este manual es la traducción del original inglés IBM Tioli Access Manager WebSEAL Administrator s Guide, GC Copyright International Business Machines Corporation 1999, Reserados todos los derechos.

5 Contenido Prefacio ix A quién a dirigido este manual ix Contenido de este manual ix Publicaciones x IBM Tioli Access Manager x Publicaciones relacionadas xiii Acceso a las publicaciones en línea x Solicitud de publicaciones x Comentarios sobre las publicaciones x Accesibilidad xi Cómo ponerse en contacto con el soporte al cliente xi Conenios utilizados en este manual xi Conenios tipográficos xi Capítulo 1. Visión general de IBM Tioli Access Manager WebSEAL Presentación de IBM Tioli Access Manager y WebSEAL Información sobre el modelo de seguridad de Access Manager Espacio de objetos protegidos Definición y aplicación de políticas de ACL y POP Administración de política: Web Portal Manager Protección del espacio web con WebSEAL Planificación e implementación de la política de seguridad Identificación de tipos de contenido y nieles de protección Información sobre la autenticación de WebSEAL Objetios de autenticación Acceso autenticado y no autenticado a los recursos Estructura de caché de sesión/credenciales de WebSEAL Información sobre las conexiones (junctions) WebSEAL Conexiones (junctions) WebSEAL y escalabilidad de sitios web Capítulo 2. Configuración básica del seridor Información general del seridor Directorio raíz de la instalación de WebSEAL Inicio y detención de WebSEAL WebSEAL representado en el espacio de objetos protegidos WebSEAL deuele HTTP/ Archio de registro de WebSEAL Utilización del archio de configuración de WebSEAL Presentación del archio de configuración webseald.conf Directorio raíz de seridor WebSEAL Configuración de los parámetros de comunicación Configuración de WebSEAL para peticiones HTTP Configuración de WebSEAL para peticiones HTTPS Restricción de conexiones de ersiones de SSL específicas Parámetros de tiempo de espera para la comunicación HTTP/HTTPS Parámetros adicionales de tiempo de espera del seridor WebSEAL Gestión del espacio web Directorio raíz del árbol de documentos web Configuración del índice de directorios Windows: conenios de denominación para programas CGI Configuración del almacenamiento en la caché de documentos web Especificación de tipos de documento para el filtrado Gestión de páginas personalizadas de mensajes de error HTTP Soporte para macros de las páginas de mensajes de error HTTP Gestión de páginas personalizadas de gestión de cuentas Copyright IBM Corp. 1999, 2002 iii

6 Parámetros y alores de páginas personalizadas Descripciones de páginas HTML personalizadas Gestión de certificados de cliente y seridor Información sobre tipos de archio de bases de datos de claes GSKit Configuración de parámetros de base de datos de claes Utilización del programa de utilidad de gestión de certificados ikeyman Configuración de la comprobación de CRL Configuración de la caché de CRL Configuración del registro HTTP predeterminado Habilitación e inhabilitación del registro HTTP Especificación del tipo de indicación de la hora Especificación de los umbrales de creación de archio de registro Especificación de la frecuencia de aciado de los búferes de archio de registro Formato de registro común HTTP (para request.log) Visualización del archio request.log Visualización del archio agent.log Visualización del archio referer.log Configuración del registro HTTP mediante el registro de eentos Registro de mensajes de sericios de WebSEAL Capítulo 3. Configuración aanzada del seridor Configuración de la calidad predeterminada de niel de protección Configuración de QOP para redes y hosts indiiduales Configuración de actualizaciones y sondeo de la base de datos de autorizaciones Configuración de la escucha de notificaciones de actualizaciones Configuración del sondeo de la base de datos de autorizaciones Gestión de la asignación de threads de trabajo Configuración de threads de trabajo de WebSEAL Asignación de threads de trabajo para conexiones (junctions) (imparcialidad de conexiones) Réplica de seridores WebSEAL frontales Configuración de múltiples instancias de seridor WebSEAL Visión general de la configuración Configuración de múltiples instancias de WebSEAL en UNIX Configuración de múltiples instancias de WebSEAL en Win NT/ Desconfiguración de múltiples instancias de WebSEAL Comandos de inicio, detención, reinicio y estado del seridor Configuración del cambio de usuario (SU) para administradores Información sobre el flujo de proceso de cambio de usuario Habilitación del cambio de usuario: Resumen Configuración del formulario HTML de cambio de usuario Habilitación y exclusión de usuarios del cambio de usuario Configuración del mecanismo de autenticación de cambio de usuario Configuración de un mecanismo de cambio de usuario de CDAS Influencia en otras funciones de WebSEAL Configuración del almacenamiento en la caché de peticiones del seridor WebSEAL Contexto Flujo de proceso de almacenamiento en la caché del seridor Configuración de parámetros del almacenamiento en la caché del seridor Notas y limitaciones Gestión de los caracteres codificados UTF Preención de la ulnerabilidad causada por scripts de sitios cruzados Contexto Configuración del filtrado de cadenas de direcciones URL Supresión de la identidad del seridor Utilización de las estadísticas de WebSEAL Sintaxis del comando pdadmin stats Componentes de estadísticas y tipos de actiidad Habilitación estática de estadísticas mediante el registro de eentos Utilización del programa de utilidad de rastreo para capturar acciones de WebSEAL Sintaxis básica del comando trace Componentes de rastreo de WebSEAL i IBM Tioli Access Manager: WebSEAL Guía del administrador

7 Capítulo 4. Política de seguridad de WebSEAL Políticas de ACL específicas de WebSEAL /WebSEAL/<host> /WebSEAL/<host>/<archio> Permisos ACL de WebSEAL Política de ACL predeterminada de /WebSEAL Caracteres álidos para nombres de ACL Política de inicio de sesión en tres intentos Sintaxis de los comandos Política de intensidad de contraseñas Política de intensidad de contraseñas establecida por el programa de utilidad pdadmin Sintaxis de los comandos Ejemplos de contraseñas álidas y no álidas Valores globales y específicos para un usuario Política POP de intensidad de autenticación (incremental) Configuración de los nieles de autenticación incremental Habilitación de la autenticación incremental Formulario de inicio de sesión incremental Algoritmo de autenticación incremental Notas y limitaciones de autenticación incremental Distinción entre autenticación incremental y de múltiples factores Política POP de autenticación basada en la red Configuración de nieles de autenticación Especificación de direcciones IP y rangos Inhabilitación de la autenticación incremental por dirección IP Algoritmo de autenticación basada en red Notas y limitaciones de autenticación basada en red Política POP de calidad de protección Gestión de usuarios no autenticados (HTTP / HTTPS) Proceso de una petición de un cliente anónimo Obligación del inicio de sesión de usuario Aplicaciones HTTPS sin autenticar Control de usuarios no autenticados con políticas de ACL/POP Capítulo 5. Autenticación de WebSEAL Información sobre el proceso de autenticación Tipos de datos de sesión soportados Métodos de autenticación soportados Gestión del estado de la sesión Visión general del estado de la sesión Visión general de la caché de sesión de GSKit y WebSEAL Configuración de la caché de ID de sesión SSL de GSKit Configuración de la caché de sesión/credenciales de WebSEAL Mantenimiento del estado con cookies de sesión Determinación de los tipos de datos álidos de ID de sesión Configuración de cookies de resolución de errores Visión general de la configuración de autenticación Parámetros de autenticación local Parámetros de autenticación de CDAS personalizado externo Configuración predeterminada para la autenticación de WebSEAL Configuración de múltiples métodos de autenticación Solicitud de inicio de sesión Comandos de fin de sesión y de cambio de contraseña Configuración de la autenticación básica Habilitación e inhabilitación de la autenticación básica Definición del nombre de dominio Configuración del mecanismo de autenticación básica Condiciones de configuración Configuración de la autenticación de formularios Habilitación e inhabilitación de la autenticación de formularios Configuración del mecanismo de autenticación de formularios Contenido

8 Condiciones de configuración Personalización de los formularios HTML de respuesta Configuración de la autenticación de certificados del cliente Información general: autenticación mutua mediante certificados El certificado de prueba de WebSEAL Habilitación e inhabilitación de la autenticación de certificados Configuración del mecanismo de autenticación de certificados Condiciones de configuración Configuración de la autenticación de cabeceras HTTP Habilitación e inhabilitación de la autenticación de cabeceras HTTP Especificación de tipos de cabecera Configuración del mecanismo de autenticación de cabeceras HTTP Condiciones de configuración Configuración de autenticación de direcciones IP Habilitación e inhabilitación de la autenticación de direcciones IP Configuración del mecanismo de autenticación de direcciones IP Configuración de la autenticación de señales Habilitación e inhabilitación de la autenticación de señales Configuración del mecanismo de autenticación de señales Soporte para agentes MPA (Multiplexing Proxy Agents) Tipos de datos de sesión y métodos de autenticación álidos Flujo de proceso de autenticación para MPA y clientes múltiples Habilitación e inhabilitación de la autenticación de MPA Creación de una cuenta de usuario para el MPA Adición de la cuenta de MPA al grupo webseal-mpa-serers Limitaciones de la autenticación de MPA Configuración de la reautenticación basada en la política de seguridad Condiciones que afectan a la reautenticación de POP Creación y aplicación de la POP de reautenticación Configuración del restablecimiento y ampliación de la duración de la caché de sesión Configuración de la reautenticación basada en la política de inactiidad de sesión Condiciones que afectan a la reautenticación por inactiidad Habilitación de la reautenticación por inactiidad Configuración del restablecimiento y ampliación de la duración de la caché de sesión Capítulo 6. Soluciones de inicio de sesión en dominios cruzados Configuración de la autenticación de CDSSO Integración de una biblioteca compartida CDMF personalizada Flujo de proceso de autenticación para CDSSO con CDMF Habilitación e inhabilitación de la autenticación de CDSSO Configuración del mecanismo de autenticación de CDSSO Cifrado de los datos de la señal de autenticación Configuración de la indicación de la hora de señal Expresión de ínculos HTML de CDSSO Protección de la señal de autenticación Configuración de inicio de sesión único de comunidad electrónica Características y requisitos de comunidad electrónica Flujo de proceso de la comunidad electrónica Información de la cookie de comunidad electrónica Información sobre la petición y la respuesta de garantización Información sobre la señal de garantización Cifrado de la señal de garantización Configuración de una comunidad electrónica Capítulo 7. Conexiones (junctions) WebSEAL Visión general de las conexiones (junctions) WebSEAL Ubicación y formato de la base de datos de conexiones (junctions) Aplicación del control de accesos flexible: resumen Aplicación del control de accesos flexible: resumen Directrices para la creación de conexiones (junctions) WebSEAL i IBM Tioli Access Manager: WebSEAL Guía del administrador

9 Información de consulta adicional para conexiones (junctions) WebSEAL Utilización de pdadmin para crear conexiones (junctions) Configuración de una conexión (junction) WebSEAL básica Creación de conexiones (junctions) de tipo TCP Creación de conexiones (junctions) de tipo SSL Adición de seridores de fondo adicionales a una conexión (junction) Conexiones (junctions) SSL autenticadas mutuamente WebSEAL alida el certificado de seridor de fondo Coincidencia de Nombre distinguido (DN) WebSEAL se autentica con un certificado de cliente WebSEAL se autentica con una cabecera de BA Gestión de información de identidad de cliente entre conexiones (junctions) Creación de conexiones (junctions) de proxy TCP y SSL Conexiones (junctions) de WebSEAL a WebSEAL a traés de SSL Modificación de las direcciones URL de recursos de fondo Información sobre los tipos de ruta de acceso utilizados en las direcciones URL Filtrado de las direcciones URL en las respuestas Proceso de direcciones URL en las peticiones Opciones adicionales de conexión (junction) Cómo forzar una nuea conexión (junction) ( f) Especificación de la identidad del cliente en cabeceras HTTP ( c) Especificación de las direcciones IP de cliente en cabeceras HTTP ( r) Limitación del tamaño de cabeceras HTTP generadas por WebSEAL Transferencia de cookies de sesión a seridores de portal con conexión (junction) ( k) Soporte para direcciones URL no sensibles a mayúsculas y minúsculas ( i) Soporte para conexión (junction) con información de estado ( s, u) Especificación de UUID de seridor de fondo para conexiones (junctions) con información de estado ( u) Conexión (junction) con sistemas de archios de Windows ( w) Notas técnicas para utilizar conexiones (junctions) WebSEAL Montaje de arios seridores en la misma conexión (junction) Excepciones a la aplicación de permisos entre conexiones (junctions) Certificación de autenticación entre conexiones (junctions) Utilización de query_contents con seridores de terceros Instalación de los componentes de query_contents Instalación de query_contents en seridores UNIX de terceros Instalación de query_contents en seridores Win32 de terceros Personalización de query_contents Protección de query_contents Capítulo 8. Soluciones de inicio de sesión único de web Configuración de cabeceras de BA para las soluciones de inicio de sesión único Conceptos de inicio de sesión único (SSO) Especificación de la identidad de cliente en cabeceras de BA Especificación de la identidad del cliente y la contraseña genérica Reenío de la información de cabecera de BA del cliente original Eliminación de la información de cabecera de BA de cliente Especificación de los nombres de usuario y las contraseñas de GSO Utilización de Global Sign-on (GSO) Correlación de la información de autenticación Configuración de una conexión (junction) WebSEAL habilitada para GSO Configuración de la caché de GSO Configuración del inicio de sesión único en IBM WebSphere (LTPA) Configuración de una conexión (junction) LTPA Configuración de la caché de LTPA Notas técnicas para el inicio de sesión único de LTPA Configuración de la autenticación de formularios de inicio de sesión único Contexto y objetios Flujo de proceso de inicio de sesión único con formularios Requisitos para el soporte de aplicaciones Creación del archio de configuración para el inicio de sesión único con formularios Habilitación del inicio de sesión único con formularios Contenido ii

10 Ejemplo de archio de configuración para IBM HelpNow Capítulo 9. Integración de aplicaciones Soporte para la programación de CGI Windows: soporte para ariables de entorno de WIN Soporte para aplicaciones del seridor de fondo Mejores prácticas de conexión (junction) para la integración de aplicaciones Información completa de cabecera HOST con Soporte para el filtrado de las direcciones URL absolutas estándar Creación de un sericio de personalización personalizado Configuración de WebSEAL para un sericio de personalización Ejemplo de sericio de personalización Habilitación de autorizaciones empresariales dinámicas (señal/alor) Creación de autorizaciones empresariales a partir de datos LDAP Mantenimiento del estado de la sesión entre las aplicaciones clientes y de fondo Información sobre la gestión de la sesión de usuario Habilitación de la gestión de ID de sesión de usuario Inserción de datos de credenciales en la cabecera HTTP Terminación de sesiones de usuario Especificación del control de acceso a las direcciones URL dinámicas Componentes de dirección URL dinámica Correlación de objetos ACL y POP con direcciones URL dinámicas Actualización de WebSEAL para direcciones URL dinámicas Resolución de direcciones URL dinámicas en el espacio de objetos Configuración de limitaciones en las peticiones POST Resumen y notas técnicas Ejemplo de dirección URL dinámica: Trael Kingdom La aplicación La interfaz La política de seguridad Clientes seguros Control de acceso Conclusión Apéndice A. Consulta de webseald.conf Apéndice B. Información de consulta de las conexiones (junctions) WebSEAL Utilización de pdadmin para crear conexiones (junctions) Comandos de conexión (junction) Creación de una nuea conexión (junction) para un seridor inicial Adición de un seridor adicional a una conexión (junction) existente Apéndice C. Aisos Marcas registradas Índice iii IBM Tioli Access Manager: WebSEAL Guía del administrador

11 Prefacio Bienenido a la publicación IBM Tioli Access Manager WebSEAL Guía del administrador. IBM Tioli Access Manager WebSEAL es el gestor de seguridad de recursos para los recursos basados en web. WebSEAL es un seridor web de alto rendimiento y de threads múltiples que aplica una política de seguridad detallada al espacio de objetos web protegidos. WebSEAL puede proporcionar soluciones de inicio de sesión único e incorporar recursos de seridores de aplicaciones web de fondo a su política de seguridad. Esta guía de administración ofrece un conjunto exhaustio de procedimientos e información de consulta para la gestión de los recursos de los dominios web seguros. También incluye información general y de conceptos útil para la gran ariedad de funciones de WebSEAL. A quién a dirigido este manual Este manual a dirigido a los administradores de sistemas que son responsables de configurar y mantener un entorno de Access Manager WebSEAL. Los lectores deben estar familiarizados con los elementos siguientes: Sistemas operatios de PC y UNIX Arquitectura y conceptos de bases de datos Gestión de seguridad Contenido de este manual Protocolos Internet, incluidos HTTP, TCP/IP, FTP (File Transfer Protocol) y Telnet Sericios LDAP (Lightweight Directory Access Protocol) y de directorio Un registro de usuarios soportado Autenticación y autorización Si habilita la comunicación SSL (Secure Sockets Layer), también debe estar familiarizado con el protocolo SSL, intercambio de claes (públicas y priadas), firmas digitales, algoritmos criptográficos y entidades emisoras de certificados. Capítulo 1: Visión general de IBM Tioli Access Manager WebSEAL Este capítulo le presenta conceptos y funciones importantes de WebSEAL, como por ejemplo: organización y protección del espacio de objetos, autenticación, adquisición de credenciales y conexiones (junctions) WebSEAL. Capítulo 2: Configuración básica del seridor Este capítulo contiene información técnica de consulta para las tareas generales de configuración de WebSEAL, que incluyen: utilización del archio de configuración de WebSEAL, gestión del espacio web, gestión de certificados y configuración del registro. Capítulo 3: Configuración aanzada del seridor Este capítulo contiene información técnica de consulta para las tareas aanzadas de configuración de WebSEAL, que incluyen: configuración de múltiples Copyright IBM Corp. 1999, 2002 ix

12 instancias de WebSEAL, configuración de funciones de cambio de usuario, gestión de la asignación de threads de trabajo y configuración de actualizaciones y sondeos de base de datos de autorizaciones. Capítulo 4: Política de seguridad de WebSEAL Este capítulo describe procedimientos técnicos detallados para personalizar la política de seguridad de WebSEAL, que incluyen: políticas de ACL y POP, calidad de protección, política de autenticación incremental, política de autenticación basada en la red, política de inicio de sesión de tres intentos y política de intensidad de contraseñas. Capítulo 5: Autenticación de WebSEAL Este capítulo proporciona procedimientos técnicos detallados para configurar WebSEAL para que gestione arios métodos de autenticación, que incluyen: nombre de usuario y contraseña, certificados de cliente, código de paso de señal de SecurID, datos de cabecera HTTP especiales y funciones de reautenticación. Capítulo 6: Soluciones de inicio de sesión en dominios cruzados En este capítulo se describen soluciones de inicio de sesión en dominios cruzados para el componente externo de la configuración proxy de WebSEAL entre el cliente y el seridor WebSEAL. Capítulo 7: Conexiones (junctions) WebSEAL Este capítulo contiene información técnica de consulta completa para configurar y utilizar las conexiones (junctions) WebSEAL. Capítulo 8: Soluciones de inicio de sesión único de web En este capítulo se describen soluciones de inicio de sesión único para el componente interno de la configuración proxy de WebSEAL entre el seridor WebSEAL y el seridor de fondo de aplicaciones con conexión (junction). Capítulo 9: Integración de aplicaciones Este capítulo explora diersas posibilidades de WebSEAL para integrar la funcionalidad de aplicaciones de terceros. Apéndice A: Información de consulta de webseald.conf Apéndice B: Información de consulta de las conexiones (junctions) WebSEAL Publicaciones Este apartado contiene una lista de publicaciones de la biblioteca de Access Manager y otros documentos relacionados. También describe cómo acceder a las publicaciones de Tioli en línea, cómo solicitar publicaciones de Tioli y cómo realizar comentarios sobre las publicaciones de Tioli. IBM Tioli Access Manager La biblioteca de Access Manager está organizada en las siguientes categorías: Información del release Información de Base Información de WebSEAL Información de seguridad web Información de consulta para desarrolladores Información técnica complementaria Las publicaciones de la biblioteca del producto están incluidas en formato PDF (Portable Document Format) en el CD del producto. Para acceder a estas x IBM Tioli Access Manager: WebSEAL Guía del administrador

13 publicaciones utilizando un naegador web, abra el archio infocenter.html, que se encuentra en el directorio /doc del CD del producto. Para obtener fuentes de información adicionales sobre Access Manager y temas relacionados, isite los siguientes sitios web: Información del release IBM Tioli Access Manager for e-business Read Me First GI (am39_readme.pdf) Proporciona información sobre la instalación e iniciación al uso de Access Manager. IBM Tioli Access Manager for e-business Release Notes GI (am39_relnotes.pdf) Proporciona información de última hora, como limitaciones de software, soluciones temporales y actualizaciones de la documentación. Información de Base IBM Tioli Access Manager Base Installation Guide GC (am39_install.pdf) Describe cómo instalar, configurar y actualizar el software Access Manager, incluida la interfaz Web Portal Manager. IBM Tioli Access Manager Base Guía del administrador GC (am39_admin.pdf) Describe los conceptos y procedimientos para la utilización de los sericios de Access Manager. Proporciona instrucciones para realizar tareas desde la interfaz Web Portal Manager y mediante el comando pdadmin. IBM Tioli Access Manager Base for Linux on zseries Installation Guide GC (am39_zinstall.pdf) Describe cómo instalar y configurar Access Manager Base para Linux en la plataforma zseries. Información de WebSEAL IBM Tioli Access Manager WebSEAL Installation Guide GC (amweb39_install.pdf) Proporciona instrucciones de instalación, configuración y eliminación del seridor WebSEAL y del kit de desarrollo de aplicaciones WebSEAL. IBM Tioli Access Manager WebSEAL Guía del administrador GC (amweb39_admin.pdf) Proporciona material de consulta, procedimientos de administración e información técnica de consulta sobre la utilización de WebSEAL para gestionar los recursos de su dominio web seguro. IBM Tioli Access Manager WebSEAL Deeloper s Reference GC (amweb39_deref.pdf) Proporciona información de administración y programación para CDAS (Cross-domain Authentication Serice), CDMF (Cross-domain Mapping Framework) y para el Módulo de intensidad de contraseñas. IBM Tioli Access Manager WebSEAL for Linux on zseries Installation Guide Prefacio xi

14 GC (amweb39_zinstall.pdf) Proporciona instrucciones de instalación, configuración y eliminación del seridor WebSEAL y del kit de desarrollo de aplicaciones WebSEAL para Linux en la plataforma zseries. Información de seguridad web IBM Tioli Access Manager for WebSphere Application Serer Guía del usuario GC (amwas39_user.pdf) Proporciona instrucciones de instalación, eliminación y administración de Access Manager for IBM WebSphere Application Serer. IBM Tioli Access Manager for WebLogic Serer User s Guide GC (amwls39_user.pdf) Proporciona instrucciones de instalación, eliminación y administración de Access Manager for BEA WebLogic Serer. IBM Tioli Access Manager Plug-in for Edge Serer User s Guide GC (amedge39_user.pdf) Describe cómo instalar, configurar y administrar Plug-in for IBM WebSphere Edge Serer. IBM Tioli Access Manager Plug-in for Web Serers User s Guide GC (amws39_user.pdf) Proporciona instrucciones de instalación, procedimientos de administración e información técnica de consulta para proteger su dominio web utilizando la aplicación Plug-in for Web Serers. Material de consulta para desarrolladores IBM Tioli Access Manager Authorization C API Deeloper s Reference GC (am39_authc_deref.pdf) Proporciona material de consulta que describe cómo utilizar la API C de autorización de Access Manager y la interfaz de plug-in de sericio de Access Manager para agregar la seguridad de Access Manager a aplicaciones. IBM Tioli Access Manager Authorization Jaa Classes Deeloper s Reference GC (am39_authj_deref.pdf) Proporciona información de consulta sobre la utilización de la implementación en lenguaje Jaa de la API de autorización para permitir que una aplicación utilice la seguridad de Access Manager. IBM Tioli Access Manager Administration C API Deeloper s Reference GC (am39_adminc_deref.pdf) Proporciona información de consulta sobre la utilización de la API de administración para permitir que una aplicación pueda realizar tareas de administración de Access Manager. Este documento describe la implementación de C de la API de administración. IBM Tioli Access Manager Administration Jaa Classes Deeloper s Reference SC (am39_adminj_deref.pdf) Proporciona información de consulta sobre la utilización de la implementación en lenguaje Jaa de la API de administración para permitir que una aplicación pueda realizar tareas de administración de Access Manager. IBM Tioli Access Manager WebSEAL Deeloper s Reference GC (amweb39_deref.pdf) xii IBM Tioli Access Manager: WebSEAL Guía del administrador

15 Proporciona información de administración y programación para CDAS (Cross-domain Authentication Serice), CDMF (Cross-domain Mapping Framework) y para el Módulo de intensidad de contraseñas. Información técnica complementaria IBM Tioli Access Manager Performance Tuning Guide GC (am39_perftune.pdf) Proporciona información de ajuste del rendimiento para un entorno compuesto por Access Manager con IBM SecureWay Directory definido como el registro de usuarios. IBM Tioli Access Manager Capacity Planning Guide GC (am39_capplan.pdf) Proporciona asistencia a los responsables de planificación para determinar el número de seridores web de fondo, WebSEAL y LDAP necesarios para conseguir la carga de trabajo deseada. IBM Tioli Access Manager Error Message Reference SC (am39_error_ref.pdf) Proporciona explicaciones y acciones recomendadas para los mensajes generados por Access Manager. La publicación Tioli Glossary incluye definiciones de muchos de los términos técnicos relacionados con el software de Tioli. La publicación Tioli Glossary está disponible, sólo en inglés, en el siguiente sitio web: Publicaciones relacionadas Este apartado contiene una lista de las publicaciones relacionadas con la biblioteca de Access Manager. IBM DB2 Uniersal Database IBM DB2 Uniersal Database es necesario al instalar los seridores IBM SecureWay Directory, z/os y OS/390 SecureWay LDAP. La información de DB2 está disponible en el siguiente sitio web: IBM Global Security Toolkit Access Manager proporciona cifrado de datos mediante el uso de IBM Global Security Toolkit (GSKit). GSKit se proporciona en el CD de IBM Tioli Access Manager Base para su plataforma específica. El paquete GSKit instala el programa de utilidad de gestión de claes ikeyman (gsk5ikm), que permite crear bases de datos de claes, pares de claes pública y priada y peticiones de certificado. El siguiente documento está disponible en el directorio /doc/gskit: Secure Sockets Layer Introduction and ikeyman User s Guide gskikm5c.pdf Proporciona información para administradores de red o administradores de seguridad de sistemas que tienen planificado habilitar la comunicación SSL en el dominio seguro de Access Manager. Prefacio xiii

16 IBM SecureWay Directory IBM SecureWay Directory, Versión 3.2.2, se incluye en el CD de IBM Tioli Access Manager Base para su plataforma específica. Si está planificando instalar el seridor IBM SecureWay Directory como su registro de usuarios, los siguientes documentos están disponibles en la ruta de acceso /doc/directory del CD de IBM Tioli Access Manager Base para su plataforma específica: IBM SecureWay Directory Installation and Configuration Guide (aparent.pdf, lparent.pdf, sparent.pdf, wparent.pdf) Proporciona información de instalación, configuración y migración para los componentes de IBM SecureWay Directory en los sistemas operatios AIX, Linux, Solaris y Microsoft Windows. IBM SecureWay Directory Release Notes (relnote.pdf) Contiene información complementaria a la documentación del producto IBM SecureWay Directory, Versión 3.2.2, y describe las características y funciones que están disponibles en este release. IBM SecureWay Directory Readme Addendum (addendum322.pdf) Proporciona información sobre los cambios y arreglos realizados después de la traducción de la documentación de IBM SecureWay Directory. Este archio está disponible sólo en inglés. IBM SecureWay Directory Serer Readme (serer.pdf) Proporciona una descripción de IBM SecureWay Directory Serer, Versión IBM SecureWay Directory Client Readme (client.pdf) Proporciona una descripción de IBM SecureWay Directory Client SDK, Versión Este kit de desarrollo de software (SDK) proporciona soporte para el desarrollo de aplicaciones LDAP. SSL Introduction and ikeyman User s Guide (gskikm5c.pdf) Proporciona información para administradores de red o administradores de seguridad de sistemas que tienen planificado habilitar la comunicación SSL en el dominio seguro de Access Manager. IBM SecureWay Directory Configuration Schema (scparent.pdf) Describe el árbol de información de directorios (DIT) y los atributos utilizados para configurar el archio slapd32.conf. En IBM SecureWay Directory Versión 3.2, los alores de directorio se almacenan utilizando el formato LDIF (LDAP Directory Interchange Format) en el archio slapd32.conf. IBM SecureWay Directory Tuning Guide (tuning.pdf) Proporciona información de ajuste del rendimiento para IBM SecureWay Directory. Incluye consideraciones sobre los ajustes del tamaño de los directorios que tienen desde arios miles de entradas hasta millones de entradas, cuando procede. Para obtener más información sobre IBM SecureWay Directory, isite el siguiente sitio web: xi IBM Tioli Access Manager: WebSEAL Guía del administrador

17 IBM WebSphere Application Serer IBM WebSphere Application Serer, Adanced Single Serer Edition, Versión 4.0.2, se instala con la interfaz Web Portal Manager. Para obtener información sobre IBM WebSphere Application Serer, isite el siguiente sitio web: Acceso a las publicaciones en línea Las publicaciones de la biblioteca del producto están incluidas en formato PDF (Portable Document Format) en el CD del producto. Para acceder a estas publicaciones utilizando un naegador web, abra el archio infocenter.html, que se encuentra en el directorio /doc del CD del producto. Cuando IBM publica una ersión actualizada de una o más publicaciones impresas o en línea, se enían a Tioli Information Center. Tioli Information Center contiene las ersiones más recientes de las publicaciones de la biblioteca del producto en formato PDF o HTML, o en ambos. También están disponibles documentos traducidos de algunos productos. Puede acceder a Tioli Information Center y a otras fuentes de información técnica desde el siguiente sitio web: La información está organizada por producto e incluye las notas del release, guías de instalación, guías del usuario, guías del administrador y material de consulta para desarrolladores. Nota: Si desea imprimir documentos PDF en un papel que no sea de tamaño carta, seleccione la casilla de erificación Ajustar a página en el diálogo de impresión de Adobe Acrobat (que está disponible al hacer clic en Archio Imprimir) para asegurarse de que se imprima todo el contenido de la página en tamaño carta en el papel que esté utilizando. Solicitud de publicaciones Puede realizar pedidos de muchas publicaciones de Tioli en línea en el siguiente sitio web: publications/cgibin/pbi.cgi También puede realizar pedidos por teléfono llamando a uno de estos números: En Estados Unidos: En España: Para obtener una lista de números de teléfono de otros países, isite el siguiente sitio web: Comentarios sobre las publicaciones Nos interesa conocer sus experiencias con los productos y la documentación de Tioli, y agradeceremos cualquier sugerencia para aplicar mejoras. Si tiene Prefacio x

18 comentarios o sugerencias sobre nuestros productos y la documentación, póngase en contacto con nosotros utilizando uno de los procedimientos siguientes: Eníe un mensaje de correo electrónico a pubs@tioli.com. Rellene la encuesta de opinión del cliente en el siguiente sitio web: Accesibilidad Las características de accesibilidad ayudan a los usuarios que tienen una discapacidad física, como moilidad restringida o isión limitada, a utilizar los productos de software sin problemas. En este producto, puede utilizar tecnologías de asistencia para tener acceso a la interfaz y naegar por ella. También puede utilizar el teclado en lugar del ratón para realizar todas las funciones de la interfaz gráfica de usuario. Cómo ponerse en contacto con el soporte al cliente Si tiene algún problema con cualquier producto de Tioli, puede ponerse en contacto con el soporte al cliente de Tioli. Consulte el manual Tioli Customer Support Handbook en el siguiente sitio web: En el manual se proporciona información sobre cómo ponerse en contacto con el soporte al cliente de Tioli, según la graedad del problema, y la siguiente información: Registro y elegibilidad Números de teléfono y direcciones de correo electrónico, según el país donde se encuentre Qué información debe reunir antes de ponerse en contacto con el sericio de soporte Conenios utilizados en este manual Esta guía utiliza arias conenios para algunos términos y acciones especiales, comandos y rutas de acceso del sistema operatio, y gráficos de margen. Conenios tipográficos En este manual se utilizan los siguientes conenios tipográficos: Negrita Los nombres de comandos y opciones, las palabras clae y otra información que debe utilizarse literalmente aparecen en negrita. Cursia Las ariables, opciones de comandos y alores que el usuario debe proporcionar aparecen en cursia. Los títulos de publicaciones y las palabras o expresiones especiales que están enfatizadas también aparecen en cursia. Monoespaciado Los ejemplos de código, las líneas de comandos, la salida en pantalla, los nombres de archio y de directorio, y los mensajes del sistema aparecen en una fuente monoespaciada. xi IBM Tioli Access Manager: WebSEAL Guía del administrador

19 Capítulo 1. Visión general de IBM Tioli Access Manager WebSEAL IBM Tioli Access Manager for e-business (Access Manager) es una solución de gestión centralizada de políticas sólida y segura para e-business y aplicaciones distribuidas. IBM Tioli Access Manager WebSEAL es un seridor web de alto rendimiento y de threads múltiples que aplica una política de seguridad detallada al espacio de objetos web protegidos de Access Manager. WebSEAL puede proporcionar soluciones de inicio de sesión único e incorporar recursos de seridores de aplicaciones web de fondo a su política de seguridad. Esta isión general le presenta las principales posibilidades del seridor WebSEAL. Índice de temas: Presentación de IBM Tioli Access Manager y WebSEAL en la página 1 Información sobre el modelo de seguridad de Access Manager en la página 3 Protección del espacio web con WebSEAL en la página 7 Planificación e implementación de la política de seguridad en la página 8 Información sobre la autenticación de WebSEAL en la página 10 Información sobre las conexiones (junctions) WebSEAL en la página 14 Presentación de IBM Tioli Access Manager y WebSEAL IBM Tioli Access Manager: IBM Tioli Access Manager es una solución completa de gestión de políticas de autorización y seguridad de red que proporciona una protección máxima de extremo a extremo de los recursos a traés de intranets y extranets geográficamente dispersas. Además de sus aanzadas características de gestión de políticas de seguridad, Access Manager proporciona posibilidades de autenticación, autorización, seguridad de datos y gestión centralizada de los recursos. Puede utilizar Access Manager junto con aplicaciones estándar basadas en Internet para construir intranets de alta seguridad y bien gestionadas. En su núcleo, Access Manager proporciona: Infraestructura de autenticación Access Manager proporciona una amplia gama de autenticadores incorporados y da soporte a autenticadores externos. Infraestructura de autorización El sericio de autorizaciones de Access Manager, al que se accede a traés de la API de autorización de Access Manager, proporciona decisiones de permiso y denegación en las peticiones de recursos protegidos ubicados en el dominio seguro. Con Access Manager, las empresas pueden gestionar de forma segura el acceso a los recursos internos priados basados en red, al tiempo que se aproecha la amplia conectiidad y la facilidad de uso de Internet. Access Manager, en Copyright IBM Corp. 1999,

20 combinación con un sistema de cortafuegos corporatio, puede proporcionar una protección completa de la intranet empresarial contra accesos no autorizados e intrusiones. IBM Tioli Access Manager WebSEAL: IBM Tioli Access Manager WebSEAL es el gestor de recursos que es responsable de gestionar y proteger información y recursos basados en web. WebSEAL es un seridor web de alto rendimiento y threads múltiples que aplica una política de seguridad detallada al espacio de objetos web protegidos de Access Manager. WebSEAL puede proporcionar soluciones de inicio de sesión único e incorporar recursos de seridores de aplicaciones web de fondo a su política de seguridad. WebSEAL actúa normalmente como un proxy web inerso al recibir peticiones HTTP/HTTPS de un naegador web y proporcionar contenido de su propio seridor web o de seridores de aplicaciones web de fondo con conexión (junction). Las peticiones que pasan a traés de WebSEAL se ealúan mediante el sericio de autorizaciones de Access Manager para determinar si el usuario está autorizado para acceder al recurso solicitado. WebSEAL proporciona las siguientes funciones: Da soporte a arios métodos de autenticación Tanto la arquitectura incorporada como la de plug-in permiten la flexibilidad al dar soporte a arios mecanismos de autenticación. Acepta peticiones HTTP y HTTPS Integra y protege los recursos de seridor de fondo a traés de la tecnología de conexiones (junctions) WebSEAL Gestiona un control de acceso estricto para el espacio web del seridor local y de fondo Los recursos soportados incluyen direcciones URL, expresiones regulares basadas en direcciones URL, programas CGI, archios HTML, serlets Jaa y archios de clase Jaa. Funciona como proxy web inerso WebSEAL aparece como un seridor web en los clientes y como un naegador web en los seridores de fondo con conexión (junction) que protege. Proporciona posibilidades de inicio de sesión único 2 IBM Tioli Access Manager: WebSEAL Guía del administrador