安全协议与标准06B数据库LDAP和应用服务器安全PPT资料.ppt

安全协议与标准06B数据库LDAP和应用服务器安全PPT资料.ppt

《安全协议与标准06B数据库LDAP和应用服务器安全PPT资料.ppt》由会员分享，可在线阅读，更多相关《安全协议与标准06B数据库LDAP和应用服务器安全PPT资料.ppt（45页珍藏版）》请在冰豆网上搜索。

WebSphere是一个模块化的平台，基于业界支持的开放标准。

WebSphere可以在许多平台上运行，包括Intel、Linux和z/OS。

WebSphereApplicationServer是该基础设施的基础，其他所有产品都在它之上运行。

WebSphereProcessServer基于WebSphereApplicationServer和WebSphereEnterpriseServiceBus，它为面向服务的体系结构（SOA）的模块化应用程序提供了基础，并支持应用业务规则，以驱动支持业务流程的应用程序。

其他WebSphere产品提供了广泛的其他服务。

WebSphere功能,人员集成（交互功能）流程集成信息集成应用程序集成应用程序基础设施加速器,Websphere安装,创建概要文件管理控制台https:

/127.0.0.1:

9043/ibm/console/logon.jsp样本库http:

9080/WSsamples/,SOA/WSwithWebSphere,在ServiceOrientedArchitecture（SOA）理念开始深入人心的时候，WebServices作为实现SOA的首选技术备受业界关注。

随着JavaEE5的出现，WebServices编程模型、标准和规范也不断推新。

基于注释的新编程模型JAX-WS2.0（JavaAPIforXMLWebServices）简化了WebServices应用的开发，其数据模型JAX-B2.0（JavaArchitectureforXMLbinding）所提供的XML和Java数据的绑定规则使得XML到Java对象的转换更加简洁易用。

此外，MTOM、SAAJ1.3、StAX1.0、SOAP1.2等标准和规范，有效地扩展了WebServices的功能和易用性。

Websphere安全体系,认证授权传输平台安全：

操作系统安全和网络安全Java安全：

J2EE安全体系、JAAS、类级别的安全授权模型WAS安全,认证、授权、传输的实现,对于Web认证由操作系统用户认证方式、JAAS认证模型，以及WAS统一的LTPA等的认证机制；

对于Web安全授权分别由JAVA安全层次中的J2EE安全模型，Java2安全模型来完成；

对于Web传输则主要SSL传输安全机制来完成。

JAAS,PAM（PluggableAuthenticationModule）是一种认证授权框架，提供了一种认证机制，使得上层业务应用程序的开发使用不依赖于底层的认证授权机制。

JavaAuthenticationandAuthorizationService（JAAS）JAVA认证与授权服务，是PAM的JAVA版应用框架。

JAAS的认证机制通过检查Servlet、应用程序、Applet等JAVA代码的执行者身份，确保执行者有足够权限进行相应的操作。

WAS控制台的角色,监视员监视员可以查看WAS中的各种配置信息，运行状态，但是不能做任何更改操作员操作员可以触发运行时状态改变，例如启动、停止服务器，但是不能做任何配置的改变配置员配置员可以修改配置信息，但是不能更改运行状态。

管理员管理员具有操作员和配置员的权限，除此之外还能修改敏感的安全配置信息和服务器安全策略等，例如服务器ID和密码，启动和禁用管理安全，JAVA2安全等等。

WebServices环境的安全,离开安全机制，WebServices便无法成功应用于生产环境。

通常，可以由以下两种机制确保WebServices环境的安全：

传输层安全性TLS/SSL消息级别安全性,SOAP+HTTP+SSL,HTTP是最常用的SOAP消息传送机制，而SSL（HTTPS）可以保证HTTP消息（包含SOAP消息）在传输层的安全性，进而保证SOAP消息的安全性，包括：

认证机制、机密性和完整性。

但是SSL有以下几点局限性：

只适用于HTTP，不适用于JMS,SMTP等其他消息传送机制；

只提供点对点（Point-to-Point）的安全性；

只能对整个消息进行加密，不能针对消息的某一部分进行加密。

WS-Security,2002年，IBM与Microsoft联合发布了WS-Securityv1.0的草案，后来这一草案被OASIS看好，并进一步修改，2004年发布为正式的WS-Security规范。

WS-Security通过认证（Authentication）、加密（Encryption）和数字签名（DigitalSignature）等方式保证了WebServices在消息级别的认证机制、机密性和完整性。

并且，跟SSL相比，WS-Security具有以下优势提供端到端（End-to-End）的安全性。

独立于传输方式，可用于HTTP,JMS,SMTP,FTP等。

支持WS-Security,WASV6.1支持WS-Security，并对其进行了扩展WASV6.1FeaturePackforWebServices对WebServices安全的支持可选安装，扩展了WASV6.1的功能，支持JavaEE5，提供了一些新特性，主要表现在异步性（Asynchronously）、可靠性（Reliably）、安全性（Securely）及与其他软件产品的交互性（Interoperably）。

支持基于JAX-WS2.0的WebServices，以及WS-Security和一系列扩展安全策略：

WS-SecureConversation,WS-ReliableMessaging,WS-Addressing,WS-Transaction等。

WASV7.0对WebServices安全的支持,WebSphere,TheWebSphereApplicationServersecuritymodelisbasedontheservicesprovidedintheoperatingsystemandtheJavaEEsecuritymodel.WebSphereApplicationServerprovidesimplementationsofuserauthenticationandauthorizationmechanismsprovidingsupportforvarioususerregistries:

LocaloperatingsystemuserregistryLDAPuserregistryFederateduserregistry（asofversion6.1）CustomuserregistryTheauthenticationmechanismssupportedbyWebSphereareLightweightThirdPartyAuthentication（LTPA）,Websphere安全文档,1.WebSphereSecurityFundamentalsredbook2.IBMWebSphereApplicationServerV6.1SecurityHandbook3.WebSphereApplicationServerV7.0SecurityGuide,J2EE安全文档,JAVASecurityhttp:

/SecurityReferenceDocumentationhttp:

/SecurityServiceshttp:

/,Weblogic,主要的J2EE应用服务器软件之一OwnedbyOracleCorporation,OracleWebLogicconsistsofaJavaEEplatformproductfamilythatincludes:

aJavaEEapplicationserver,WebLogicApplicationServeranenterpriseportal,WebLogicPortalanEnterpriseApplicationIntegrationplatformatransactionserverandinfrastructure,WebLogicTuxedoatelecommunicationplatform,WebLogicCommunicationPlatformanHTTPwebserver,JBoss,JBossApplicationServer（orJBossAS）isafreesoftware/open-sourceJavaEE-basedapplicationserver.BecauseitisJava-based,theJBossapplicationserveroperatescross-platform:

usableonanyoperatingsystemthatJavasupports.JBossASwasdevelopedbyJBoss,nowadivisionofRedHat.,Tomcat,FREETomcat是一个小型的轻量级应用服务器，最新的Servlet和JSP规范总是能在Tomcat中得到体现。

Tomcat的Servlet引擎通常与Apache或者其他Web服务器一起工作。

OpenEJB,OpenEJB是一个嵌入式，轻量级EJB3.0实现。

既可以作为单独服务器使用，也可以嵌入到Tomcat、JUnit、Eclipse、Intellij、Maven、Ant和其它任何IDE与应用程序中OpenEJB被用于Apache的Geronimo、IBM的WebSphere、Apple的WebObjects应用服务器中。

数据库安全,关系数据库RelationalDatabaseManagementSystem数据库安全问题数据丢失、备份、日志入侵：

窃取、篡改、删除加密加密技术用于数据库传输期间：

SSL、VPN存储与备份期间,数据库用户,和操作系统用户对应关系角色与群组口令权限SELECT（读），INSERT（追加），UPDATE（写），DELETE，RULE（规则），REFERENCES（外键），和TRIGGER,数据库数据的加密,对数据库数据的加密三个不同层次OS层DBMS内核层（在服务器端）DBMS外层（在客户端）,数据库备份技术,备份的层次表、库、文件系统损坏与恢复工具与支持内置工具第三方工具,SQL,Standardization,MSSQLServer2008,MicrosoftSQLServer是由美国微软公司所推出的关系数据库解决方案