【文章內(nèi)容簡(jiǎn)介】 面引擎到 Web Cache? 從 Oracle Infrastructure 到 Oracle Inter DirectoryOracle 支持多道防火墻的配置，在 Web Cache 之后可配置一道防火墻打開(kāi)HTTPS 所用端口， Portal 中間層和 Portal 節(jié)點(diǎn)之間也可配置一道防火墻打開(kāi)SQL*NET 和 AJP 協(xié)議所用端口。Portal 容器是基于 Oracle 數(shù)據(jù)庫(kù)，因此所有頁(yè)18 / 59面定義和 portlet 相關(guān)信息均存放在數(shù)據(jù)庫(kù)中，因此可利用數(shù)據(jù)庫(kù)強(qiáng)大的安全特性。Oracle Advanced Security 是通過(guò)實(shí)施行業(yè)標(biāo)準(zhǔn)的加密與完整性算法以支持多種外部驗(yàn)證服務(wù)提供強(qiáng)大的驗(yàn)證和加密的能力。該產(chǎn)品提供了強(qiáng)健的“企業(yè)用戶(hù)安全性” ，根據(jù)此功能，組織機(jī)構(gòu)通過(guò)使用數(shù)字證書(shū)或口令驗(yàn)證用戶(hù)身份，可以選擇實(shí)施端到端的安全性，從而降低了部署安全功能的總體成本。Oracle label Security 為細(xì)化訪問(wèn)控制提供了基于行標(biāo)簽的復(fù)雜而靈活的安全性。Oracle Label Security 借用政府機(jī)構(gòu)、國(guó)防部門(mén)和商業(yè)組織使用的“貼標(biāo)簽”概念來(lái)保護(hù)敏感信息并提供數(shù)據(jù)隔離能力，該產(chǎn)品選件還包括一套管理策略、標(biāo)簽和用戶(hù)標(biāo)簽驗(yàn)證的強(qiáng)大工具。19 / 59第三章 Oracle AS Portal 的安全模型及組件安全性 Oracle AS Portal 安全模型當(dāng)網(wǎng)站上的內(nèi)容可以使用的時(shí)候，你就需要限制登錄條件了，至少有些部分需要設(shè)置了。比如，你不太可能讓每個(gè)用戶(hù)有權(quán)察看所有的文檔，更不可能讓每個(gè)用戶(hù)都有權(quán)更改每個(gè)文檔。OracleAS Portal 提供了完整的安全模型，允許你完全控制在你的網(wǎng)站中，哪些用戶(hù)可以查看或更改。在一個(gè)用戶(hù)登錄 OracleAS Portal 之前，他們只能瀏覽那些內(nèi)容提供著給公眾設(shè)計(jì)的內(nèi)容。 公眾只要知道門(mén)戶(hù)的 URL 就可以瀏覽公共內(nèi)容， 可以登錄到門(mén)戶(hù)服務(wù)器。 用戶(hù)可以看到為公眾設(shè)計(jì)的那些部分，比如公眾 portlets。 如果網(wǎng)站沒(méi)有開(kāi)放給公眾的對(duì)象，用戶(hù)的登錄被拒絕。用戶(hù)登錄門(mén)戶(hù)以后，由于他們的權(quán)限不同，有一些內(nèi)容可能看到或更改，也可能看不到。換句話(huà)說(shuō)，授權(quán)的用戶(hù)可以比普通用戶(hù)看到合作更多的事情。例如，經(jīng)認(rèn)證的用戶(hù)可以看到一些內(nèi)容和 portlet， 但是公共用戶(hù)不能看到。經(jīng)認(rèn)證的用戶(hù)可以添加和編輯內(nèi)容，這種權(quán)限普通用戶(hù)是沒(méi)有的。在門(mén)戶(hù)中，你可以通過(guò)用戶(hù)和組對(duì)對(duì)象（頁(yè)面，元素，或者 portlet）的訪問(wèn)進(jìn)行控制， 也就是說(shuō)，你可以給用戶(hù)、用戶(hù)組、或二者的結(jié)合。為了實(shí)現(xiàn)對(duì)這種靈活的控制網(wǎng)站內(nèi)容存取方式的支持， OracleAS Portal 利用 Oracle Application Server 和 Oracle9i Database Server 的組件給你的門(mén)戶(hù)提供更強(qiáng)的保護(hù)。 OracleAS Portal 在安全方面的實(shí)施上和以下組件進(jìn)行交互： ? Oracle Application Server Single SignOn 為那些在門(mén)戶(hù)中試圖訪問(wèn)非公共區(qū)域的用戶(hù)授權(quán)。 ? mod_osso 是 Oracle HTTP Server 的模塊，將授權(quán)請(qǐng)求轉(zhuǎn)給 OracleAS Single SignOn. ? OracleAS Web Cache 將 OracleAS Portal 中的頁(yè)面緩存?；谑Ь彺?0 / 59技術(shù)，當(dāng)頁(yè)面/元數(shù)據(jù)改變時(shí)，OracleAS Portal 將緩存設(shè)為無(wú)效。 ? Oracle Inter Directory, Oracle’s 自帶的 LDAP 3 服務(wù)，作為用戶(hù)和組成員鑒權(quán)的資料庫(kù)? Oracle Inter Directory 的 Oracle Delegated Administration Services (DAS) 添加和更新目錄中的存儲(chǔ)信息。 ? 在目錄事件（如，刪除用戶(hù)）發(fā)生的時(shí)候，Oracle Directory Integration Platform 通報(bào)給 OracleAS Portal。原理上說(shuō)，當(dāng)一個(gè)目錄的改變需要OracleAS Portal 的改變時(shí)，目錄集成服務(wù)器通知 OracleAS Portal。OracleAS Portal 架構(gòu)包括三個(gè)基礎(chǔ)層，包括用戶(hù)瀏覽器，中間層服務(wù)器，基礎(chǔ)架構(gòu)服務(wù)器和資料庫(kù)。在默認(rèn)情況下，Oracle Inter Directory 和 OracleAS Single SignOn 作為基礎(chǔ)架構(gòu)安裝的一部分被裝在同一個(gè)主機(jī)上。這一層后來(lái)被用于 OracleAS Portal 的安裝上。 當(dāng)三個(gè)服務(wù)器和資料庫(kù)被撞到同一個(gè)主機(jī)上以后，我們建議你將三個(gè)功能放在不同的服務(wù)器上。 如果你使用 以前的版本，發(fā)現(xiàn)中間層和基礎(chǔ)架構(gòu)層的組件已經(jīng)改變了。21 / 59 DAD 和 mod_plsql 的組合仍然存在于基礎(chǔ)架構(gòu)層，但是現(xiàn)在和 Oracle Application Server Containers for J2EE (OC4J)上運(yùn)行的 DAS 結(jié)合。相似的， Parallel Page Engine 顯示在中間層，實(shí)際也是運(yùn)行在 OC4J。 另外，OracleAS Single SignOn 模塊已經(jīng)擴(kuò)展了，包括了 mod_osso，這樣允許任何 URL 加入 OracleAS Single SignOn。即使應(yīng)用不是由合作應(yīng)用書(shū)寫(xiě)，mod_osso 現(xiàn)在是把第三方應(yīng)用加入 OracleAS Single SignOn 的建議方法。任何一個(gè)能夠讀 HTTP 頭文件的應(yīng)用都會(huì)在 OracleAS Single SignOn 能力上受益。 OracleAS Web Cache 是中間層組件的前置，對(duì) OracleAS Portal 的吞吐量進(jìn)行優(yōu)化。當(dāng)一個(gè)瀏覽器申請(qǐng)來(lái)的時(shí)候。OracleAS Web Cache 首先接受，如果可以，OracleAS Web Cache 直接回答，否則就將請(qǐng)求發(fā)到 Oracle HTTP Server. 在 版本中，如果需求的是一個(gè)非公共頁(yè)面，這個(gè)用戶(hù)需要提交用戶(hù)名和密碼。在 OracleAS Single SignOn 的授權(quán)中依舊使用這個(gè)功能。與 版本不同的是，OracleAS Single SignOn 不是將用戶(hù)的鑒權(quán)和自己的 schema 表對(duì)比，它通過(guò) LDAP 和 Oracle Inter Directory 進(jìn)行對(duì)比，其結(jié)果返回 OracleAS Single SignOn。一個(gè)成功的授權(quán)后， OracleAS Single SignOn 建立一個(gè) single signon cookie。 當(dāng)一個(gè)用戶(hù)被授權(quán)，并且建立好了一個(gè) OracleAS Portal 會(huì)話(huà)后，他可以登錄網(wǎng)頁(yè)和其他對(duì)象。這時(shí)候有必要定義那些頁(yè)面和對(duì)象這個(gè)用戶(hù)有權(quán)利登錄。如同在 版本中, OracleAS Portal Repository 中的 Access Control Lists 一樣。 2 版本中不同的是， 所有的用戶(hù)和組成員的信息都存在 Oracle Inter Directory 中。當(dāng)一個(gè)用戶(hù)第一次登錄 OracleAS Portal，用戶(hù)的組成員權(quán)力被放在門(mén)戶(hù)節(jié)點(diǎn)，并緩存。這個(gè)處理允許了對(duì)象權(quán)力快速查找。當(dāng)對(duì)象和頁(yè)面的權(quán)利得知后， Parallel Page Engine 可以產(chǎn)生正確的頁(yè)面。 在 2 版本中，所有的用戶(hù)軟件分發(fā)由 Oracle Inter Directory 來(lái)完成，而不是 OracleAS Single SignOn 的 schema。中間層和 LDAP 服務(wù)器之間的借口是DAS servlet。對(duì) DAS servlet 的調(diào)用由 mod_osso plugin 來(lái)保護(hù)， 確保用戶(hù)在登錄 Oracle Inter Directory 前已經(jīng)被正確授權(quán)。 安全架構(gòu)的重要特征是保證本地被緩存的用戶(hù)成員權(quán)限和 Oracle Inter Directory 同步， Oracle Directory Integration Platform 自動(dòng)保持本地緩存的信息22 / 59與 Oracle Inter Directory 同步。當(dāng)需要和外部資料庫(kù)授權(quán)的時(shí)候，Oracle Inter Directory 與以前的OracleAS Single SignOn 版本不同，他首先要保持本地緩存的內(nèi)容與 OID 的同步，并保持 OID 和外部資料庫(kù)的同。 Portal 組件安全性 Portlet 安全性Portlets 就像應(yīng)用的窗戶(hù), 顯示綜述的信息，并且提供了訪問(wèn)所有應(yīng)用功能的方法。Portlets 把應(yīng)用的功能直接在 portal 中展示出來(lái)，或者提供了深層次的鏈接，能夠讓?xiě)?yīng)用自己完成一項(xiàng)任務(wù)。因此 portlets 把信息格式化，用于在web 頁(yè)面上顯示 , 內(nèi)部的應(yīng)用不一定需要被集成到 OracleAS Portal 中。在 OracleAS Portal 中, portlets 被供應(yīng)商管理。一個(gè)供應(yīng)商是在 OracleAS Portal 上注冊(cè)的一個(gè)應(yīng)用。 OracleAS Portal 支持兩種供應(yīng)商: ? Web 提供商 ? 數(shù)據(jù)庫(kù)提供商 Portlet 的安全性包括三個(gè)主要的功能: ? 鑒權(quán): 當(dāng)一個(gè)用戶(hù)第一次訪問(wèn)一個(gè)加密的 URL，他們首先需要驗(yàn)明身份，例如一個(gè)用戶(hù)名和密碼，或者數(shù)字認(rèn)證。 ? 授權(quán)： 授權(quán)允許特定用戶(hù)能夠訪問(wèn)部分應(yīng)用的流程。 一些應(yīng)用可能有公共的訪問(wèn)，但是其他的可能只有一些通過(guò)鑒權(quán)的用戶(hù)才能訪問(wèn)。 ? 通信加密: 通信加密是指 OracleAS Portal 在和提供商通信往來(lái)（如消息）之間建立鑒權(quán)的方法。在一個(gè)高度網(wǎng)絡(luò)化的環(huán)境里，確認(rèn)一個(gè)通信是否合法是非常重要的。 為了讓你的 web 提供商完全安全，你需要保證在這些領(lǐng)域，他們都是安全的。如果你只在某一兩個(gè)方面實(shí)現(xiàn)了加密，你的提供商不能被認(rèn)為是安全的。對(duì) web 提供商的加密工作必須配合提供商所給的數(shù)據(jù)的機(jī)密性來(lái)完成。23 / 59 鑒權(quán)當(dāng)一個(gè)用戶(hù)第一次登陸 OracleAS Portal, 他們必須輸入他們的密碼，在被允許訪問(wèn)前驗(yàn)明身份。 授權(quán)授權(quán)決定一個(gè)特定的用戶(hù)是否可以看見(jiàn)并和一個(gè) portlet 進(jìn)行交互。有兩種授權(quán)檢查： ? 門(mén)戶(hù)訪問(wèn)控制單: 當(dāng)?shù)顷?OracleAS Portal, OracleAS 單點(diǎn)登陸會(huì)進(jìn)行授權(quán)。一旦被授權(quán)， OracleAS Portal 用 ACL 授予對(duì) portal 對(duì)象例如頁(yè)面和 portlet 的訪問(wèn)權(quán)限。這些動(dòng)作可能包括簡(jiǎn)單的查看一個(gè)對(duì)象，或者進(jìn)行管理的功能等。如果你不屬于一個(gè)被賦予特定權(quán)限的組， OracleAS Portal 不允許進(jìn)行和該權(quán)限有關(guān)的任何操作。? 可編程的 Portlet 加密 : Portal 開(kāi)發(fā)包包含 API 的 Java 被調(diào)用來(lái)判斷一個(gè)用戶(hù)是否被允許查看一個(gè) portlet。我們可以用這些 API 來(lái)實(shí)施授權(quán)的邏輯，來(lái)加強(qiáng) Portal ACL 安全性。 通信安全鑒權(quán)和授權(quán)是保證 web 提供商安全的重要組件。但是他們對(duì)提供商收到的消息不進(jìn)行確認(rèn)，因此就不適合對(duì)提供商的安全訪問(wèn)。如果通信不安全，某些人可以模擬 OracleAS Portal,從而欺騙 Web 提供商，獲取一些敏感信息。 通信安全重點(diǎn)在 OracleAS Portal 和 Web 提供商之間的安全訪問(wèn)。這些方法不適用于在 portal 數(shù)據(jù)庫(kù)內(nèi)部運(yùn)行的數(shù)據(jù)庫(kù)提供商。包括三種通信安全方法： ? Portal Server 鑒權(quán)，保證引入的信息來(lái)自一個(gè)可靠的主機(jī)。 ? 消息鑒權(quán)，保證引入的消息來(lái)自一個(gè)具有共享主鍵的主機(jī)。 24 / 59? 消息加密，保護(hù)消息的內(nèi)容 Portal Server 鑒權(quán) Portal Server 鑒權(quán)把對(duì)提供商的訪問(wèn)限制到很小數(shù)目的機(jī)器商。這個(gè)方法可以把引入的 HTTP 消息的 IP 地址，或者主機(jī)名和一組可信任的主機(jī)進(jìn)行比較。如果該 IP 地址或者主機(jī)名在列表中, 消息就被傳送給提供商。否則，在到達(dá)提供商之前被拒絕。 消息鑒權(quán) 消息鑒權(quán)通過(guò)設(shè)置搜索基于提供商信息的共享主鍵的求校驗(yàn)和進(jìn)行工作。當(dāng)一條信息被提供商收到的時(shí)候，該條信息的真實(shí)性通過(guò)計(jì)算理想的校驗(yàn)和，同實(shí)際值進(jìn)行比較得到。如果兩值相等，則消息被接受。否則，消息被拒絕并禁止任何更多的處理。校驗(yàn)和包括一個(gè)時(shí)間標(biāo)記，用來(lái)減小在傳送過(guò)程中一條消息被非法記錄的可能。 消息加密 消息加密依靠 HTTPS 協(xié)議，來(lái)為提供商和 OracleAS Portal 之間進(jìn)行通信。消息被加密，從而保證內(nèi)部的數(shù)據(jù)。加密不光提供了較高的安全登記，同時(shí)也會(huì)影響到性能。 OraDAV 安全性WebDAV (World Wide Web 分布式授權(quán)和驗(yàn)證) 是 IETF 對(duì)協(xié)作授權(quán)規(guī)定的標(biāo)準(zhǔn)。它定義了一組 HTTP 擴(kuò)展，允許 inter 上的遠(yuǎn)程用戶(hù)能夠協(xié)同編輯和管理文件。 OraDAV, Oracle’s 對(duì) WebDAV 的實(shí)施, 是 Oracle HTTP Server 和 WebDAV 客戶(hù)之間進(jìn)行通信的機(jī)制. OraDAV 允許用戶(hù)能夠用 WebDAV 客戶(hù)端連接到OracleAS Portal。在安全性上，通過(guò) WebDAV 訪問(wèn) OracleAS Portal 涉及到安全性的兩個(gè)方面： ? OracleAS Portal 為 OraDAV 設(shè)置的會(huì)話(huà) cookies 過(guò)期問(wèn)題? SSL 和 OraDAV 25 / 59會(huì)話(huà) cookies 過(guò)期OraDAV 配置參數(shù), ORACookieMaxAge, 單位為秒 ,設(shè)定了 DAV 客戶(hù)端保持cookies