IBM WebSphere Application Server Guía de integración

Transcripción

1 IBM Tioli Access Manager for e-business IBM WebSphere Application Serer Guía de integración Versión 5.1 SC

2

3 IBM Tioli Access Manager for e-business IBM WebSphere Application Serer Guía de integración Versión 5.1 SC

4 Nota Antes de utilizar esta información y el producto al que da soporte, lea la información del Apéndice B, Aisos, en la página 107. Primera edición (noiembre de 2003) Esta edición se aplica a la ersión 5, release 1, modificación 0 de IBM Tioli Access Manager (número de producto 5724-C08) y a todos los releases y modificaciones subsiguientes hasta que se indique lo contrario en las nueas ediciones. Este manual es la traducción del original inglés IBM Tioli Access Manager for e-business IBM WebSphere Application Serer Integration Guide, SC Copyright International Business Machines Corporation 2002, Reserados todos los derechos.

5 Contenido Prefacio ii A quién a dirigido este manual ii Contenido de este manual ii Publicaciones iii Información del release iii Información de Base iii Información de seguridad web ix Material de consulta para desarrolladores x Información técnica complementaria x Publicaciones relacionadas x Acceso a las publicaciones en línea xiii Accesibilidad xi Cómo ponerse en contacto con el soporte de software xi Conenios utilizados en este manual xi Conenios tipográficos xi Diferencias entre sistemas operatios x Capítulo 1. Introducción y isión general Integración de Tioli Access Manager con WebSphere Application Serer Seguridad basada en roles de Jaa 2 Enterprise Edition Correlación de principales y grupos con roles Centralización de la gestión de políticas para múltiples seridores WebSphere Capítulo 2. Instrucciones de instalación Contenido del software Plataformas soportadas Soporte para WebSphere Application Serer Versión Requisitos de memoria y disco Requisitos preios de software WebSphere Application Serer Tioli Access Manager Base Jaa Runtime Enironment Requisitos preios del registro de usuarios Actualización desde un release anterior Instalación con el asistente para la instalación Instalación de Tioli Access Manager for WebSphere mediante utilidades natias Instalación en Solaris Instalación en AIX Instalación en HP-UX Instalación en Linux Instalación en Windows Capítulo 3. Procedimientos de configuración Configuración de la instalación inicial Parte 1: Creación del usuario de administración de Tioli Access Manager para WebSphere Application Serer 28 Parte 2: Habilitación de la seguridad de WebSphere Parte 3: Configuración de Access Manager Jaa Runtime Enironment Parte 4: Incorporación a un dominio seguro Parte 5a: Migración de los alores de seguridad de WebSphere WebSphere Versión Parte 5b: Migración de los alores de seguridad de WebSphere WebSphere Versión Configuración de Tioli Access Manager for WebSphere en un entorno de WebSphere Application Serer Versión Parte 1: Creación del usuario de administración de Tioli Access Manager para WebSphere Application Serer 39 Parte 2: Habilitación de la seguridad de WebSphere Application Serer Versión Parte 3: Configuración de Access Manager Jaa Runtime Enironment Copyright IBM Corp. 2002, 2003 iii

6 Parte 4: Configuración Tioli Access Manager for WebSphere Parte 5: Migración de la política de administración Configuración de instalaciones adicionales Parte A-1: Configuración de Access Manager Jaa Runtime Enironment Parte A-2: Incorporación a un dominio seguro Capítulo 4. Migración de roles de seguridad Cómo migrar los roles de seguridad Limitaciones de la utilidad de migración Sugerencias para la resolución de problemas Uso de archios de registro Usuarios no asociados a las ACL creadas La migración falla en archios de Windows con nombre corto Web Portal Manager no puede asociar una ACL a un objeto Aiso de que el usuario [...] es miembro de pdwas-admin Autenticación de cliente perdida porque ha caducado la sesión Los mensajes de la utilidad de migración no aparecen en el idioma correcto Capítulo 5. Tareas de administración WebSphere Adanced Edition Single Serer Versión Herramientas de administración de Tioli Access Manager Especificación de propiedades de tiempo de ejecución Configuración del almacenamiento en caché de roles estáticos Configuración del almacenamiento en caché de roles dinámicos Parámetros de infraestructura de política basada en roles Configuración de Authorization Serers adicionales Adición de una clase de objetos a la consola Configuración de la correlación del principal GSO Creación de un nueo inicio de sesión de la aplicación Registro de Tioli Access Manager for WebSphere Inicio de sesión único en WebSphere Application Serer mediante WebSEAL Paso 1 Crear una cuenta de usuario fiable en Tioli Access Manager Paso 2 Crear una unión WebSEAL con WebSphere Application Serer Paso 3a Configurar SSO mediante TAI para WebSphere Application Serer Versión Paso 3b Configurar SSO mediante TAI para WebSphere Application Serer Versión Paso 4 Establecer la contraseña de SSO en WebSEAL Paso 5 Probar la conexión WebSEAL Sugerencias para la resolución de problemas El seridor WebSphere no se inicia tras la configuración y la migración WebSphere Application Serer Versión solamente El seridor WebSphere no se inicia tras la desconfiguración WebSphere Application Serer Versión solamente Copia de seguridad de archios de Tioli Access Manager for WebSphere Capítulo 6. Guía de aprendizaje: Cómo habilitar la seguridad Guía de aprendizaje: Tioli Access Manager for WebSphere Application Serer Versión Cómo utilizar la guía de aprendizaje Parte 1: Adición de usuarios a un registro de usuarios de LDAP Parte 2: Instalación de Tioli Access Manager for WebSphere Parte 3: Adición de seguridad a una aplicación de WebSphere Parte 4: Creación del usuario de administración de Tioli Access Manager para WebSphere Application Serer 75 Parte 5: Habilitación de la seguridad de WebSphere Parte 6: Despliegue de la aplicación Parte 7: Comprobación de la seguridad de la aplicación desplegada Parte 8: Migración de la aplicación a Tioli Access Manager Parte 9: Comprobación de la seguridad de la aplicación desplegada Parte 10: Cambio de roles Parte 11: Comprobación de la seguridad de la aplicación desplegada Guía de aprendizaje: Tioli Access Manager for WebSphere Application Serer Versión Cómo utilizar la guía de aprendizaje i IBM Tioli Access Manager for e-business: IBM WebSphere Application Serer Guía de integración

7 Parte 1: Adición de usuarios a un registro de usuarios de LDAP Parte 2: Instalación de Tioli Access Manager for WebSphere Parte 3: Adición de seguridad a una aplicación de WebSphere Parte 4: Creación del usuario de administración de Tioli Access Manager para WebSphere Application Serer 85 Parte 5: Habilitación de la seguridad de WebSphere Parte 6: Despliegue de la aplicación Parte 7: Comprobación de la seguridad de la aplicación desplegada Parte 8: Migración de la aplicación a Tioli Access Manager Parte 9: Comprobación de la seguridad de la aplicación desplegada Parte 10: Cambio de roles Parte 11: Comprobación de la seguridad de la aplicación desplegada Capítulo 7. Instrucciones de eliminación Eliminación en Solaris Eliminación en Windows Eliminación en AIX Eliminación en HP-UX Eliminación en Linux Apéndice A. Información de consulta de comandos pdwascfg migrateear migrateear Apéndice B. Aisos Marcas registradas Glosario Índice Contenido

8 i IBM Tioli Access Manager for e-business: IBM WebSphere Application Serer Guía de integración

9 Prefacio Bienenidos a IBM Tioli Access Manager for WebSphere Application Serer (Tioli Access Manager for WebSphere). Este producto amplía Tioli Access Manager para dar soporte a aplicaciones escritas para IBM WebSphere Application Serer. IBM Tioli Access Manager (Tioli Access Manager) es el software base necesario para ejecutar aplicaciones en el conjunto de productos de IBM Tioli Access Manager. Permite la integración de aplicaciones de IBM Tioli Access Manager que proporcionan una amplia gama de soluciones de autorización y gestión. Suministrados como solución integrada, estos productos proporcionan una solución de gestión de control de accesos que centraliza la política de seguridad de aplicaciones y redes para aplicaciones de e-business. Nota: IBM Tioli Access Manager es el nueo nombre del software preiamente comercializado con el nombre de Tioli SecureWay Policy Director. Además, para los usuarios familiarizados con el software y la documentación de Tioli SecureWay Policy Director, el término Management Serer ahora ha pasado a denominarse Policy Serer. La publicación IBM Tioli Access Manager for WebSphere Application Serer Guía de integración proporciona instrucciones de instalación, configuración y administración. Este documento también proporciona una guía de aprendizaje sobre la configuración de una política de seguridad centralizada para aplicaciones de WebSphere. A quién a dirigido este manual Esta guía de administración a dirigida a: Administradores de seguridad Administradores de sistemas en red Arquitectos de IT Contenido de este manual Los lectores deberán estar familiarizados con: Protocolos de Internet, incluidos HTTP, TCP/IP, protocolo de transferencia de archios (FTP) y telnet. Despliegue y gestión de sistemas y aplicaciones de WebSphere Application Serer. Gestión de la seguridad, incluidas autenticaciones y autorizaciones. Si está utilizando comunicaciones SSL (Secure Sockets Layer), también debería estar familiarizado con el protocolo SSL, intercambio de claes (públicas y priadas), firmas digitales, algoritmos de cifrado y entidades emisoras de certificados. Este documento contiene los siguientes capítulos: Capítulo 1, Introducción y isión general Presenta una isión general de los componentes de Tioli Access Manager que prestan sericios de autorización a WebSphere Application Serer. Copyright IBM Corp. 2002, 2003 ii

10 Capítulo 2, Instrucciones de instalación Describe cómo instalar Tioli Access Manager for WebSphere. Capítulo 3, Procedimientos de configuración Describe cómo configurar Tioli Access Manager for WebSphere. Capítulo 4, Migración de roles de seguridad Describe cómo usar la utilidad de migración de Tioli Access Manager for WebSphere para migrar los roles de seguridad de Jaa 2 Enterprise Edition a usuarios y grupos de Tioli Access Manager. Capítulo 5, Tareas de administración Describe cómo realizar tareas de administración para gestionar Tioli Access Manager for WebSphere. Capítulo 6, Guía de aprendizaje: Cómo habilitar la seguridad Describe cómo agregar seguridad a una aplicación de WebSphere Application Serer. También describe cómo migrar la información de seguridad a Tioli Access Manager y cómo comprobar si la seguridad se ha habilitado correctamente. Capítulo 7, Instrucciones de eliminación Describe cómo eliminar Tioli Access Manager for WebSphere. Publicaciones Lea las descripciones de la biblioteca de Tioli Access Manager, las publicaciones de requisito preio y las publicaciones relacionadas para determinar qué publicaciones le podrían ser de ayuda. Tras determinar las publicaciones que necesita, consulte las instrucciones para acceder a las publicaciones en línea. Puede encontrar información adicional acerca del propio producto IBM Tioli Access Manager for e-business en la siguiente dirección: La biblioteca de Tioli Access Manager está organizada en las siguientes categorías: Información del release Información de Base Información de seguridad web en la página ix Material de consulta para desarrolladores en la página x Información técnica complementaria en la página x Información del release IBM Tioli Access Manager for e-business Read This First (GI ) Proporciona información sobre la instalación e iniciación al uso de Tioli Access Manager. IBM Tioli Access Manager for e-business Release Notes (GI ) Proporciona información de última hora, como limitaciones de software, soluciones temporales y actualizaciones de la documentación. Información de Base IBM Tioli Access Manager Base Installation Guide (SC ) Explica cómo instalar y configurar el software Tioli Access Manager Base, incluida la interfaz Web Portal Manager. Este manual es una parte de la iii IBM Tioli Access Manager for e-business: IBM WebSphere Application Serer Guía de integración

11 publicación IBM Tioli Access Manager for e-business Web Security Installation Guide y está pensado para ser utilizado con otros productos de Tioli Access Manager, como por ejemplo IBM Tioli Access Manager for Business Integration e IBM Tioli Access Manager for Operating Systems. IBM Tioli Access Manager Base Guía de administración (SC ) Describe los conceptos y procedimientos para la utilización de los sericios de Tioli Access Manager. Proporciona instrucciones para realizar tareas desde la interfaz Web Portal Manager y mediante el comando pdadmin. Información de seguridad web IBM Tioli Access Manager for e-business Web Security Installation Guide (SC ) Proporciona instrucciones de instalación, configuración y eliminación del software base de Tioli Access Manager, así como de los componentes de seguridad web. Este manual incluye la publicación IBM Tioli Access Manager Base Installation Guide. IBM Tioli Access Manager Upgrade Guide (SC ) Describe cómo actualizar desde Tioli SecureWay Policy Director Versión 3.8 o desde ersiones anteriores de Tioli Access Manager a Tioli Access Manager Versión 5.1. IBM Tioli Access Manager for e-business WebSEAL Guía de administración (SC ) Proporciona material de consulta, procedimientos de administración e información técnica de consulta sobre la utilización de WebSEAL para gestionar los recursos de su dominio web seguro. IBM Tioli Access Manager for e-business IBM WebSphere Application Serer Guía de integración (SC ) Proporciona instrucciones de instalación, eliminación y administración para la integración de Tioli Access Manager con IBM WebSphere Application Serer. IBM Tioli Access Manager for e-business IBM WebSphere Edge Serer Integration Guide (SC ) Proporciona instrucciones de instalación, eliminación y administración para la integración de Tioli Access Manager con la aplicación IBM WebSphere Edge Serer. IBM Tioli Access Manager for e-business Plug-in for Web Serers Integration Guide (SC ) Proporciona instrucciones de instalación, procedimientos de administración e información técnica de consulta para proteger su dominio web utilizando el plug-in para seridores web. IBM Tioli Access Manager for e-business BEA WebLogic Serer Integration Guide (SC ) Proporciona instrucciones de instalación, eliminación y administración para la integración de Tioli Access Manager con BEA WebLogic Serer. IBM Tioli Access Manager for e-business IBM Tioli Identity Manager Proisioning Fast Start Guide (SC ) Proporciona una isión general de las tareas relatias a la integración de Tioli Access Manager y Tioli Identity Manager y explica el modo en que debe utilizarse e instalarse la colección Proisioning Fast Start. Prefacio ix

12 Material de consulta para desarrolladores IBM Tioli Access Manager for e-business Authorization C API Deeloper Reference (SC ) Proporciona material de consulta que describe cómo utilizar la API de autorización en C de Tioli Access Manager y la interfaz de plug-in de sericio de Tioli Access Manager para agregar la seguridad de Tioli Access Manager a las aplicaciones. IBM Tioli Access Manager for e-business Authorization Jaa Classes Deeloper Reference (SC ) Proporciona información de consulta sobre la utilización de la implementación en lenguaje Jaa de la API de autorización para permitir que una aplicación utilice la seguridad de Tioli Access Manager. IBM Tioli Access Manager for e-business Administration C API Deeloper Reference (SC ) Proporciona información de consulta sobre la utilización de la API de administración para permitir que una aplicación pueda realizar tareas de administración de Tioli Access Manager. Este documento describe la implementación en C de la API de administración. IBM Tioli Access Manager for e-business Administration Jaa Classes Deeloper Reference (SC ) Proporciona información de consulta sobre la utilización de la implementación en lenguaje Jaa de la API de administración para permitir que una aplicación pueda realizar tareas de administración de Tioli Access Manager. IBM Tioli Access Manager for e-business Web Security Deeloper Reference (SC ) Proporciona información de administración y programación para CDAS (cross-domain authentication serice), CDMF (cross-domain mapping framework) y para el módulo de intensidad de contraseñas. Información técnica complementaria IBM Tioli Access Manager for e-business Command Reference (SC ) Proporciona información sobre las utilidades y scripts de línea de comandos proporcionados por Tioli Access Manager. IBM Tioli Access Manager Error Message Reference (SC ) Proporciona explicaciones y acciones recomendadas para los mensajes generados por Tioli Access Manager. IBM Tioli Access Manager for e-business Problem Determination Guide (SC ) Proporciona información de determinación de problemas para Tioli Access Manager. IBM Tioli Access Manager for e-business Performance Tuning Guide (SC ) Proporciona información de ajuste del rendimiento para un entorno compuesto por Tioli Access Manager con el seridor IBM Tioli Directory como registro de usuarios. Publicaciones relacionadas Este apartado contiene una lista de las publicaciones relacionadas con la biblioteca de Tioli Access Manager. x IBM Tioli Access Manager for e-business: IBM WebSphere Application Serer Guía de integración

13 Tioli Software Library proporciona una ariedad de publicaciones de Tioli como, por ejemplo, documentación técnica, hojas de datos, demostraciones, Redbooks y cartas de anuncio. Tioli Software Library está disponible en la dirección web La publicación Tioli Software Glossary incluye definiciones de muchos de los términos técnicos relacionados con el software de Tioli. La publicación Tioli Software Glossary está disponible, sólo en inglés, a traés del ínculo Glossary en la parte izquierda de la página web de Tioli Software Library IBM Global Security Kit Tioli Access Manager proporciona cifrado de datos mediante el uso de IBM Global Security Kit (GSKit) Versión 7.0. GSKit se incluye en el CD IBM Tioli Access Manager Base para una plataforma determinada, además de en los CD IBM Tioli Access Manager Web Security, IBM Tioli Access Manager Web Administration Interfaces y IBM Tioli Access Manager Directory Serer. El paquete GSKit proporciona la utilidad de gestión de claes ikeyman, gsk7ikm, que se utiliza para crear bases de datos de claes, pares de claes públicas y priadas y solicitudes de certificados. El siguiente documento está disponible en el sitio web de Tioli Information Center en la misma sección que la documentación del producto IBM Tioli Access Manager: IBM Global Security Kit Secure Sockets Layer and ikeyman User s Guide (SC ) Proporciona información para administradores de red o administradores de seguridad de sistemas que quieran habilitar la comunicación SSL en el entorno de Tioli Access Manager. IBM Tioli Directory Serer IBM Tioli Directory Serer, Versión 5.2, se incluye en el CD IBM Tioli Access Manager Directory Serer para el sistema operatio deseado. Nota: IBM Tioli Directory Serer es el nueo nombre del software preiamente comercializado con el nombre de: IBM Directory Serer (Versión 4.1 y Versión 5.1) IBM SecureWay Directory Serer (Versión 3.2.2) IBM Tioli Access Manager Versión 5.1 ofrece soporte completo a IBM Directory Serer Versión 4.1, IBM Directory Serer Versión 5.1 e IBM Tioli Directory Serer Versión 5.2. Puede encontrar información adicional sobre IBM Tioli Directory Serer en: IBM DB2 Uniersal Database IBM DB2 Uniersal Database Enterprise Serer Edition, Versión 8.1 se proporciona con el CD IBM Tioli Access Manager Directory Serer y se instala con el software de IBM Tioli Directory Serer. Se necesita DB2 para utilizar seridores LDAP de IBM Tioli Directory Serer, z/os o bien OS/390 como registro de usuarios para Tioli Access Manager. Puede encontrar información adicional sobre DB2 en: Prefacio xi

14 IBM WebSphere Application Serer IBM WebSphere Application Serer, Adanced Single Serer Edition 5.0 iene incluido en el CD IBM Tioli Access Manager Web Administration Interfaces para el sistema operatio deseado. WebSphere Application Serer habilita el soporte para la interfaz Web Portal Manager, la cual se utiliza para administrar Tioli Access Manager, y la herramienta de administración web, que se utiliza para administrar IBM Tioli Directory Serer. IBM WebSphere Application Serer Fix Pack 2 también es necesario para Tioli Access Manager y se proporciona con el CD IBM Tioli Access Manager WebSphere Fix Pack. Puede encontrar información adicional sobre IBM WebSphere Application Serer en: IBM Tioli Access Manager for Business Integration IBM Tioli Access Manager for Business Integration, producto que se adquiere por separado, proporciona una solución de seguridad para los mensajes de IBM MQSeries, Versión 5.2 e IBM WebSphere MQ, Versión 5.3. IBM Tioli Access Manager for Business Integration permite a las aplicaciones de WebSphere MQSeries eniar datos con priacidad e integridad utilizando teclas asociadas al enío y la recepción de aplicaciones. Al igual que WebSEAL e IBM Tioli Access Manager for Operating Systems, IBM Tioli Access Manager for Business Integration, es uno de los gestores de recursos que utilizan los sericios de IBM Tioli Access Manager. Puede encontrar información adicional sobre IBM Tioli Access Manager for Business Integration en: En el sitio web de Tioli Information Center están disponibles los siguientes documentos asociados a IBM Tioli Access Manager for Business Integration Versión 5.1: IBM Tioli Access Manager for Business Integration Guía de administración (SC ) IBM Tioli Access Manager for Business Integration Problem Determination Guide (GC ) IBM Tioli Access Manager for Business Integration Release Notes (GI ) IBM Tioli Access Manager for Business Integration Read This First (GI ) IBM Tioli Access Manager for WebSphere Business Integration Brokers IBM Tioli Access Manager for WebSphere Business Integration Brokers, que se encuentra disponible como parte de IBM Tioli Access Manager for Business Integration, ofrece una solución de seguridad para WebSphere Business Integration Message Broker, Versión 5.0 y WebSphere Business Integration Eent Broker, Versión 5.0. IBM Tioli Access Manager for WebSphere Business Integration Brokers funciona junto con Tioli Access Manager para proteger las aplicaciones para publicación/suscripción JMS proporcionando una contraseña, una autenticación basada en credenciales, una autorización definida de forma centralizada y sericios de auditoría. xii IBM Tioli Access Manager for e-business: IBM WebSphere Application Serer Guía de integración

15 Puede encontrar información adicional sobre IBM Tioli Access Manager for WebSphere Integration Brokers en: En el sitio web de Tioli Information Center están disponibles los siguientes documentos asociados a IBM Tioli Access Manager for WebSphere Integration Brokers, Versión 5.1: IBM Tioli Access Manager for WebSphere Business Integration Brokers Administration Guide (SC ) IBM Tioli Access Manager for WebSphere Business Integration Brokers Release Notes (GI ) IBM Tioli Access Manager for Business Integration Read This First (GI ) IBM Tioli Access Manager for Operating Systems IBM Tioli Access Manager for Operating Systems, producto que se adquiere por separado, proporciona una capa de imposición de política de autorización en sistemas UNIX además de la proporcionada por el sistema operatio natio. IBM Tioli Access Manager for Operating Systems, al igual que WebSEAL e IBM Tioli Access Manager for Business Integration, es uno de los gestores de recursos que utilizan los sericios de IBM Tioli Access Manager. Puede encontrar información adicional sobre IBM Tioli Access Manager for Operating Systems en: En el sitio web de Tioli Information Center encontrará los siguientes documentos asociados a IBM Tioli Access Manager for Operating Systems Versión 5.1: IBM Tioli Access Manager for Operating Systems Installation Guide (SC ) IBM Tioli Access Manager for Operating Systems Administration Guide (SC ) IBM Tioli Access Manager for Operating Systems Problem Determination Guide (SC ) IBM Tioli Access Manager for Operating Systems Release Notes (GI ) IBM Tioli Access Manager for Operating Systems Read Me First (GI ) IBM Tioli Identity Manager IBM Tioli Identity Manager Versión 4.5, producto que se adquiere por separado, permite gestionar de forma centralizada a los usuarios (como la contraseña y el ID de usuario) y el suministro, es decir concediendo o rechazando el acceso a aplicaciones, recursos o sistemas operatios. Tioli Identity Manager puede integrarse con Tioli Access Manager a traés del agente de Tioli Access Manager. Póngase en contacto con el representante de cuentas de IBM para obtener información sobre cómo adquirir el agente. Puede encontrar información adicional sobre IBM Tioli Identity Manager en: Acceso a las publicaciones en línea Las publicaciones de este producto están disponibles en línea en formato PDF (Portable Document Format), HTML (Hypertext Markup Language) o en ambos en Prefacio xiii

16 el sitio web de Tioli Software Library: Para encontrar las publicaciones de productos en la biblioteca, haga clic en el ínculo Product manuals en la parte izquierda de la página web de Tioli Software library. A continuación, busque el nombre del producto en la página Tioli software information center y haga clic en él. Las publicaciones de productos incluyen notas del release, guías de instalación, guías del usuario, guías del administrador y material de consulta para desarrolladores. Nota: Para garantizar la impresión correcta de las publicaciones en PDF, seleccione la casilla de erificación Ajustar a página en el diálogo de impresión de Adobe Acrobat (que aparece al hacer clic en Archio Imprimir). Accesibilidad Las características de accesibilidad ayudan a los usuarios que tienen una discapacidad física, como moilidad restringida o isión limitada, a utilizar los productos de software sin problemas. En este producto, puede utilizar tecnologías de asistencia para tener acceso acústico a la interfaz y naegar por ella. También puede utilizar el teclado en lugar del ratón para realizar todas las funciones de la interfaz gráfica de usuario. Cómo ponerse en contacto con el soporte de software Antes de ponerse en contacto con el soporte de software de IBM Tioli para resoler un problema, consulte el sitio web de soporte de software de IBM Tioli haciendo clic en el ínculo Tioli support del sitio web siguiente: Si necesita ayuda adicional, póngase en contacto con el soporte de software mediante los métodos que se describen en la publicación IBM Software Support Guide en el siguiente sitio web: La guía proporciona la siguiente información: Requisitos de registro y elegibilidad para recibir soporte. Números de teléfono, según el país donde se encuentre. Una lista de la información que debe reunir antes de ponerse en contacto con el soporte al cliente. Conenios utilizados en este manual Esta publicación utiliza arios conenios para algunos términos y acciones especiales, comandos y rutas de acceso en función del sistema operatio. Conenios tipográficos En esta publicación se utilizan los siguientes conenios tipográficos: Negrita Los comandos en minúsculas o en mayúsculas y minúsculas que son difíciles de distinguir dentro del texto, palabras clae, parámetros, opciones, nombres de clases Jaa y objetos aparecen en negrita. xi IBM Tioli Access Manager for e-business: IBM WebSphere Application Serer Guía de integración

17 Cursia Las ariables, títulos de publicaciones y palabras o frases especiales que están enfatizadas aparecen en cursia. Monoespaciado Los ejemplos de código, líneas de comandos, salida en pantalla, nombres de archios y directorios que son difíciles de distinguir dentro del texto, mensajes del sistema, texto que el usuario debe escribir y alores de argumentos u opciones de comandos aparecen en monoespaciado. Diferencias entre sistemas operatios Esta publicación utiliza los conenios de UNIX para especificar las ariables de entorno y la notación de directorios. Si utiliza la línea de comandos de Windows, sustituya $ariable por %ariable% en las ariables de entorno y sustituya la barra inclinada (/) por una barra inclinada inertida (\) en las rutas de acceso de directorios. Si utiliza un shell bash en un sistema Windows, puede utilizar los conenios de UNIX. Prefacio x

18 xi IBM Tioli Access Manager for e-business: IBM WebSphere Application Serer Guía de integración

19 Capítulo 1. Introducción y isión general IBM Tioli Access Manager for WebSphere Application Serer (Tioli Access Manager for WebSphere) es una ampliación de IBM Tioli Access Manager (Tioli Access Manager) que proporciona una autorización basada en contenedor y una gestión de políticas centralizada para las aplicaciones de IBM WebSphere Application Serer. Tioli Access Manager for WebSphere facilita el uso de Tioli Access Manager mediante una gestión centralizada de las políticas de seguridad tanto de los recursos de WebSphere Application Serer como de aquellos que no tengan relación con WebSphere Application Serer. Tioli Access Manager permite gestionar identidades comunes, perfiles de usuario y mecanismos de autorización. Tioli Access Manager también proporciona una utilidad de interfaz gráfica de usuario, Tioli Access Manager Web Portal Manager, que puede utilizarse como un único punto de gestión de la seguridad tanto de recursos compatibles con Jaa 2 Enterprise Edition (J2EE) como de recursos no compatibles con J2EE. WebSphere Application Serer da soporte a las clases de seguridad y a las API de J2EE. Tioli Access Manager for WebSphere soporta las aplicaciones de WebSphere que utilizan las clases de seguridad de J2EE, sin que sea necesario realizar cambios de código o de despliegue en las aplicaciones. Tioli Access Manager for WebSphere puede integrarse con contenedores de WebSphere para permitirles utilizar los sericios de seguridad proporcionados por un dominio seguro de Tioli Access Manager. El dominio seguro debe desplegarse antes de instalar Tioli Access Manager for WebSphere. Los usuarios que utilicen por primera ez Tioli Access Manager deben estudiar el modelo de seguridad de Tioli Access Manager antes de desplegar un dominio seguro de Tioli Access Manager. A continuación figura un bree resumen. Tioli Access Manager es una solución completa para la gestión de políticas de seguridad de red y de autorización que proporciona una protección de extremo a extremo de los recursos en intranets y extranets distribuidas geográficamente. Tioli Access Manager proporciona una gestión de políticas de seguridad de última generación. Además, Tioli Access Manager da soporte a las posibilidades de gestión de autenticación, autorización, seguridad de datos y recursos. Tioli Access Manager se utiliza conjuntamente con aplicaciones estándar basadas en Internet para construir intranets y extranets de alta seguridad y adecuadamente gestionadas. En esencia, Tioli Access Manager proporciona: Una infraestructura de autenticación Tioli Access Manager da soporte a una amplia gama de mecanismos de autenticación. Sin embargo, tenga en cuenta que WebSphere realiza sus propias acciones de autenticación antes de utilizar Tioli Access Manager for WebSphere. Una infraestructura de autorización Copyright IBM Corp. 2002,

20 El sericio de autorización de Tioli Access Manager, al que se accede a traés de las clases de autorización estándar de J2EE, toma decisiones de aceptación y denegación para las solicitudes de acceso a seridores de Tioli Access Manager natios y aplicaciones de otros proeedores. Para obtener más información sobre Tioli Access Manager, incluida la información necesaria para realizar decisiones de despliegue, consulte la documentación del producto. Empiece por las siguientes guías: IBM Tioli Access Manager Base Installation Guide Esta guía describe cómo planificar, instalar y configurar un dominio seguro de Tioli Access Manager. Una serie de scripts de instalación rápida le permiten desplegar rápidamente un dominio seguro completamente funcional. Estos scripts resultan muy útiles al crear prototipos de despliegue de un dominio seguro. IBM Tioli Access Manager Base Guía de administración Este documento proporciona una isión general del modelo de seguridad de Tioli Access Manager para la gestión de recursos protegidos. Esta guía describe cómo configurar los seridores de Tioli Access Manager que toman decisiones de control de accesos. Además, proporciona instrucciones detalladas de cómo realizar tareas importantes como declarar políticas de seguridad, definir espacios de nombres de objetos protegidos y administrar los perfiles de usuarios y grupos. Integración de Tioli Access Manager con WebSphere Application Serer Tioli Access Manager for WebSphere amplía el modelo de seguridad de Tioli Access Manager para trabajar con aplicaciones desarrolladas para IBM WebSphere Application Serer. El modelo de seguridad se utiliza de la siguiente manera: Cuando un usuario (principal) intenta acceder a un recurso protegido, WebSphere realiza las siguientes tareas: Autentica el principal. Cuando la seguridad está especificada en el descriptor de despliegue de una aplicación (seguridad declaratia), un contenedor de WebSphere determina los roles necesarios para acceder al recurso y utiliza Tioli Access Manager for WebSphere para determinar si se han otorgado los roles necesarios al principal actual. Cuando un desarrollador de aplicaciones ha agregado código de seguridad directamente a la aplicación (seguridad programática), un contenedor de WebSphere utiliza Tioli Access Manager para llear a cabo las comprobaciones de pertenencia a roles necesarias. 2 IBM Tioli Access Manager for e-business: IBM WebSphere Application Serer Guía de integración

21 Figura 1. Tioli Access Manager desplegado con WebSphere Application Serer En la Figura 1 se ilustra la siguiente secuencia de eentos: 1. Cuando se ejecuta una aplicación de WebSphere con seguridad de J2EE y el usuario intenta acceder a un recurso protegido, WebSphere autentica el usuario utilizando el registro de usuarios. Por ejemplo, en la Figura 1, WebSphere Adanced Edition, ersión de múltiples seridores, realiza la autenticación utilizando un registro de usuarios de IBM Directory. El registro de usuarios está compartido con Tioli Access Manager. (Para WebSphere Adanced Edition Single Serer, la autenticación se realiza mediante la seguridad basada en el host). 2. Cuando el usuario solicita acceso a un método o recurso protegido, el contenedor de WebSphere utiliza la información del descriptor de despliegue de la aplicación de J2EE para determinar la pertenencia a roles necesaria. 3. El contenedor de WebSphere utiliza el módulo integrado de Tioli Access Manager para solicitar una decisión de autorización ( granted, permitida, o denied, denegada) a Tioli Access Manager Authorization Serer. El contenedor de WebSphere también pasa información de contexto adicional, si existe, a Authorization Serer. La información de contexto opcional puede incluir el nombre de celda, el nombre de host y el nombre de seridor. Si la base de datos de políticas de Tioli Access Manager tiene alguna política especificada para cualquier información de contexto, Authorization Serer puede utilizar esta información al tomar una decisión de autorización. 4. Authorization Serer consulta las definiciones de usuario de Tioli Access Manager en el registro de usuarios compartido. (El registro de usuarios está Capítulo 1. Introducción y isión general 3

22 compartido con WebSphere, a menos que se utilice WebSphere Adanced Edition Single Serer). A continuación, Authorization Serer consulta los permisos que se han definido para el usuario especificado dentro del espacio de nombres de objetos protegidos de Tioli Access Manager. El espacio de nombres de objetos protegidos está incluido en la base de datos de políticas que se muestra en la Figura Tioli Access Manager Authorization Serer deuele la decisión de acceso al contenedor de WebSphere. 6. WebSphere Application Serer concede o deniega el acceso al método o recurso protegido. Seguridad basada en roles de Jaa 2 Enterprise Edition La seguridad de Jaa 2 Enterprise Edition (J2EE) utiliza el concepto de principal para representar la identidad de una entidad que realiza actiidades. Las entidades pueden ser personas (usuarios) o procesos. Además, J2EE utiliza el concepto de rol tal como se describe a continuación. Los métodos están correlacionados con roles. En la tabla siguiente, que representa una aplicación financiera de ejemplo, se definen los roles y se correlacionan con los métodos. La entrada permitido de la siguiente tabla indica que el rol puede acceder al método especificado. Tabla 1. Correlación de métodos con roles Roles Métodos getbalance deposit closeaccount Teller permitido permitido Cashier Superisor permitido permitido Los roles que se han definido arriba pueden correlacionarse con principales, con grupos o con ambos. La entrada Inocar de las celdas de la tabla siguiente indica que el principal o el grupo pueden inocar cualquier método que se haya concedido a ese rol. Tabla 2. Permisos de inocación de métodos para principales o grupos Roles Principal/Grupo TellerGroup CashierGroup SuperisorGroup Frank (es un principal, no es miembro de ninguno de los grupos anteriores) Teller Cashier Superisor Inocar Inocar Inocar Inocar En la tabla anterior, el principal Frank puede inocar los métodos getbalance y closeaccount pero no puede inocar el método deposit, ya que este método no se ha concedido al rol Cashier ni al rol Superisor. 4 IBM Tioli Access Manager for e-business: IBM WebSphere Application Serer Guía de integración

23 Correlación de principales y grupos con roles Antes de la ejecución de la aplicación, se ejecuta la utilidad de migración de Tioli Access Manager for WebSphere para llenar el espacio de nombres de objetos protegidos de Tioli Access Manager. La utilidad de migración obtiene información sobre roles y métodos a partir de los descriptores de despliegue de la aplicación de J2EE. Durante la ejecución de la aplicación, cuando un usuario solicita acceso a un recurso protegido, se transfiere la siguiente información al contenedor de WebSphere: Principal La identidad autenticada del usuario. NombreRol El nombre de un rol. NombreApl El nombre de la aplicación. NombreCelda El nombre de una agrupación de sistemas host en la red. NombreHost El nombre de un sistema host contenido en NombreCelda. NombreSeridor El nombre de un seridor que se aloja en NombreHost. Los nombres de rol se derian de las correlaciones de método-rol en los descriptores de despliegue. De forma predeterminada, la comprobación de acceso de Tioli Access Manager se realiza en función del NombreRol y NombreApl. La comprobación de acceso se puede ampliar fácilmente para que tenga en cuenta NombreCelda, NombreHost y NombreSeridor. Estos alores son opcionales y se ealúan sólo cuando están definidos. Las listas de control de accesos (ACL) de Tioli Access Manager determinan los roles de la aplicación de J2EE que se han asignado a un principal. La utilidad de migración asocia las ACL con NombreApl en el espacio de nombres de objetos protegidos. En la Figura 2 se ilustra la siguiente secuencia de eentos: 1. Antes de la ejecución de la aplicación, la utilidad de migración de Tioli Access Manager for WebSphere accede al descriptor de despliegue de la aplicación de J2EE para extraer información sobre roles y la correlación rol-principal o rol-grupo. 2. La utilidad de migración conierte la información al formato de Tioli Access Manager y la transfiere a Tioli Access Manager Policy Serer. 3. Policy Serer agrega entradas al espacio de nombres de objetos protegidos para representar los roles definidos para la aplicación. Cuando se han definido correlaciones rol-principal o rol-grupo en el descriptor de despliegue, se agregan los principales o grupos correspondientes a las ACL asociadas a los nueos objetos. Capítulo 1. Introducción y isión general 5

24 Figura 2. Correlación de roles con el espacio de objetos protegidos de Tioli Access Manager El modelo de seguridad de Tioli Access Manager utiliza las definiciones almacenadas en el espacio de nombres de objetos protegidos para crear una jerarquía de recursos con los que se pueden asociar ACL. Estas ACL definen la correlación de roles con usuarios o grupos. En la Figura 3 se ilustra cómo se pueden aplicar las ACL al espacio de nombres de objetos protegidos que describe un rol. El espacio de nombres de objetos protegidos para todas las aplicaciones de WebSphere consiste en un objeto protegido de niel superior denominado WebAppSerer. El objeto WebAppSerer tiene un objeto hijo denominado deployedresources. Conjuntamente, estos dos nombres de objeto siren de prefijo de niel superior para todos los roles de J2EE definidos en las aplicaciones de WebSphere. 6 IBM Tioli Access Manager for e-business: IBM WebSphere Application Serer Guía de integración

25 Los roles están definidos en el niel siguiente de la jerarquía, como un recurso denominado para el rol: NombreRol. Inmediatamente debajo de este objeto, existe el recurso que representa a la aplicación: NombreApl. Debajo del objeto protegido NombreApl, existen arios recursos opcionales que pueden definirse para controlar con mayor precisión el acceso a roles. Los recursos opcionales son NombreCelda, NombreHost y NombreSeridor. Figura 3. Asociación de listas ACL con objetos del espacio de nombres de objetos protegidos. En la Figura 3 anterior, ACL 1 concede al usuario1 acceso al NombreRol especificado, en cualquier aplicación de toda la red. Se deniega el acceso al usuario2 y al grupo1. En el modelo de seguridad de Tioli Access Manager, los objetos definidos debajo de NombreRol en la jerarquía del espacio de objetos protegidos heredan estos alores de acceso. Esta herencia se produce de forma predeterminada. Por lo tanto, en la Figura 3, los alores de acceso están heredados por los objetos que representan NombreApl/NombreCelda/NombreHost/NombreSeridor. Algunas eces la política de seguridad requiere que los alores de acceso para los objetos situados debajo del punto de asociación de la ACL sean diferentes de los alores de acceso heredados. En este caso, el administrador de Tioli Access Manager define una nuea ACL que contiene los alores de acceso necesarios. A continuación, el administrador asocia la nuea ACL con el objeto en el punto de control especificado. Esta nuea ACL sobrescribe los alores de acceso heredados. Por ejemplo, es posible que la política de seguridad dicte que no debe concederse el permiso NombreRol al usuario1 cuando la aplicación se ejecuta en un seridor concreto en un host específico dentro de una celda específica. Para aplicar esta política, el administrador define una ACL más restrictia, representada en la Figura 3 como ACL 2. Esta ACL deniega el acceso al usuario1, usuario2 y grupo1. A continuación, el administrador asocia esta ACL con el objeto NombreSeridor que representa el seridor al que se debe restringir el acceso. En la Figura 3 se muestra la asociación de ACL 2 con NombreSeridor. Tenga en cuenta que ACL 2 sólo se aplica al seridor especificado. Si existe más de un objeto Capítulo 1. Introducción y isión general 7

26 NombreSeridor debajo de NombreHost, ACL 2 sólo se aplica al objeto NombreSeridor con el que está asociada. El resto de objetos NombreSeridor en este niel de la jerarquía continúan heredando los alores de acceso definidos en ACL 1 y asociados con NombreRol. Para obtener más información sobre la utilización de las ACL en el espacio de nombres de objetos protegidos, consulte la publicación IBM Tioli Access Manager Base Guía de administración. Centralización de la gestión de políticas para múltiples seridores WebSphere Tioli Access Manager proporciona una gestión centralizada de las políticas de seguridad. Tioli Access Manager puede gestionar la política de seguridad de arios WebSphere Application Serer. Además, Tioli Access Manager utiliza el mismo modelo para gestionar la seguridad en aplicaciones que no son de WebSphere. Después de que los roles y las correlaciones de principales o grupos descritos en los descriptores de despliegue de una aplicación de J2EE se hayan migrado a Tioli Access Manager, y los usuarios y grupos se hayan registrado en Tioli Access Manager, puede utilizar las herramientas de gestión de Tioli Access Manager para gestionar posteriores cambios en las definiciones de seguridad. Utilice Tioli Access Manager Web Portal Manager para gestionar los cambios en las definiciones de seguridad relacionadas con las correlaciones de roles con principales o grupos. Utilice la consola de WebSphere para realizar otros cambios relacionados con la seguridad. Tenga en cuenta que los cambios de las correlaciones de roles realizados mediante la consola de WebSphere no serán isibles para el modelo de seguridad de Tioli Access Manager. Utilice las siguientes herramientas de Tioli Access Manager para gestionar la política de seguridad: Tioli Access Manager Web Portal Manager Web Portal Manager es la consola de gestión de Tioli Access Manager. Esta consola proporciona una interfaz gráfica de usuario para la gestión de usuarios, acciones y recursos de Tioli Access Manager definidos en el espacio de nombres de objetos protegidos de Tioli Access Manager. La consola puede utilizarse para crear y gestionar listas ACL. La consola también puede utilizarse para gestionar las definiciones de usuarios y grupos en el registro de usuarios. pdadmin La utilidad pdadmin es una utilidad basada en la línea de comandos para gestionar el modelo de seguridad de Tioli Access Manager. Esta potente utilidad puede utilizarse para gestionar todos los aspectos del espacio de nombres de objetos protegidos de Tioli Access Manager, incluidos usuarios, objetos, recursos y listas ACL. Además, pdadmin puede gestionar entradas de usuarios y grupos en el registro de usuarios. Los administradores pueden utilizar esta utilidad dentro de scripts o programas para automatizar las tareas de administración. Para obtener más información, consulte la publicación IBM Tioli Access Manager Base Guía de administración. API de administración de Tioli Access Manager Tioli Access Manager proporciona una interfaz de programación para las tareas de administración realizadas por pdadmin y Web Portal Manager. Los 8 IBM Tioli Access Manager for e-business: IBM WebSphere Application Serer Guía de integración