Tivoli SecureWay Policy Director WebSEAL °ü¸® ¾È³...

Post on 20-Jan-2020

2 views 0 download

Transcript of Tivoli SecureWay Policy Director WebSEAL °ü¸® ¾È³...

Tivoli SecureWayPolicy Director WebSEAL�� ���

�� 3.8

Tivoli SecureWayPolicy Director WebSEAL�� ���

�� 3.8

Tivoli SecureWay Policy Director WebSEAL �� ���

��� ��

© Copyright IBM Corporation 2001. All rights reserved. Tivoli Systems ����� ��� ��, IBM����� ��� �� �� IBM �� ���� ��� ��� �� Tivoli ��� ��� ���� ���� ��� � ����. IBM Corporation� �� �� �� �� � ���� �� ��� ��, ��,��, ��, ��, ��� � � �� �� ���� ���� ��, ��, ����� �� ���� ��� ���, ��� ��� �� � ����. IBM Corporation IBM Corporation ��� �� ��� ��� �� ����� �� �� ���� ����� ����� ��� � � �� �� ������ ��� � �� ��� �����. IBM Corporation� �� �� � ��� ���� �� ��� ��� ���� ����. � ��� ��� ���� �� ���� ��� �� �� “�����” �����. �� �� �� ��� �� ��� � ���� ���� ��� � �� �� ��� ��� ���� ����.

��

IBM, IBM ��, Tivoli, Tivoli ��, AIX, Cross-Site, NetView, OS/2, Planet Tivoli, RS/6000, TivoliCertified, Tivoli Enterprise, Tivoli Enterprise Console, Tivoli Ready � TME� ���� �� ���� ���� IBM Corporation �� Tivoli Systems Inc.� � �� ������.

Microsoft, Windows, Windows NT � Windows ��� �� �� �� ���� ���� MicrosoftCorporation� ����.

UNIX� �� �� �� ���� ���� Open Group� ������.

Java � �� Java � �� �� �� �� ���� ���� Sun Microsystems, Inc.

� ����. �� ��, �� � ��� � � ��� � �� ������.

����

� ����� Tivoli Systems �� IBM� ��, ���� �� ���� ����� � Tivoli Systems�� IBM� ���� �� �� ���� �� ��� � ��� �� ����� ����. ��� ��,���� �� ���� ����� � Tivoli Systems �� IBM� ��, ���� �� ����� ��� � ��� ��� ����. Tivoli Systems �� IBM� ��� �� ��� �� �� ���� ��� � �� ��� ����, ��� ��� ��, ���� �� ���� �� ��� � ����.Tivoli Systems �� IBM� ���� ��� ��� ����, �� �� �� �� �� �� ���� �����. Tivoli Systems �� IBM � ��� �� �� �� ������� �� � ���� ��� �� �� � ����. � �� ����� � � � � �� ���� ���� � ����. ���� �� ���� 135-270, � ��� ��� � � 467-12, �����, �� ��.�.� ���� ������, ����: 080-023-8080�� ������.

��

�� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xiii� �� ��� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xiii

� �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xiv

�� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xv

Policy Director � ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xvi

��� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xvi

�� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xviii

��� �� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xviii

�� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xviii

�1� WebSEAL �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1WebSEAL� � �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1

�� �� � �� � �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3

� policy �� � ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4

WebSEAL ��� �� � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

��� � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6

�� �� �� � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7

EPAC(Extended Privilege Attribute Certificate) . . . . . . . . . . . . . . . . . . 8

WebSEAL Junction� �� � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9

WebSEAL Junction � � ��� �� . . . . . . . . . . . . . . . . . . . . . . 12

�2� WebSEAL �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17� � ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18

webseald.conf �� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18

WebSEAL �� �� ���� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20

WebSEAL � �� ����. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20

WebSEAL �� � �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21

iiiTivoli SecureWay Policy Director WebSEAL �� ���

�� ��� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21

HTTP ��� �� WebSEAL ��. . . . . . . . . . . . . . . . . . . . . . . . . . . 22

HTTPS ��� �� WebSEAL ��. . . . . . . . . . . . . . . . . . . . . . . . . . 22

�� SSL ������ �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . 23

HTTP � HTTPS ��� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . 23

HTTP/HTTPS ��� �� ��� ��� . . . . . . . . . . . . . . . . . . . 24

�� WebSEAL � ��� ���. . . . . . . . . . . . . . . . . . . . . . . . 25

� �� � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26

� �� ��� �� ����. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26

���� �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28

Windows: CGI ����� �� �� � �� �� . . . . . . . . . . . . . 29

� �� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30

HTTP � ��� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33

��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36

��� �� HTML ��� � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37

��� �� ��� ��� � �. . . . . . . . . . . . . . . . . . . . . . . . . . . . 37

��� �� HTML ��� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38

���� � � � ��� �. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38

GSKit ������ �� ��� �� � . . . . . . . . . . . . . . . . . . . 40

WebSEAL� �� ������ ��� �� . . . . . . . . . . . . . . . . 41

iKeyman ��� � ���� �� . . . . . . . . . . . . . . . . . . . . . . . . . . 43

CRL �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44

�� QOP(Quality of Protection) � �� . . . . . . . . . . . . . . . . . . . . . . . . 45

�� ��� � ����� �� QOP �� . . . . . . . . . . . . . . . . . . . . . 45

�� ������ �� � �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47

�� �� �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47

�� ������ ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 48

���� WebSEAL � �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 48

HTTP �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50

iv �� 3.8

HTTP �� �� �� � �� ��� . . . . . . . . . . . . . . . . . . . . . . . . . 51

���� �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51

�� �� �� ��� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51

�� �� ��� �� � �� . . . . . . . . . . . . . . . . . . . . . . . . . 52

request.log� ���� �� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . 52

HTTP �� �� ��(request.log) . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53

request.log �� �. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54

agent.log �� � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54

referer.log � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54

�3� WebSEAL �� policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57WebSEAL �� ACL policy. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57

/WebSEAL/<host> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 58

/WebSEAL/<host>/<file> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 58

WebSEAL ACL �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 58

�� /WebSEAL ACL policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59

3 ����� ��� policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59

� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61

�� �� policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61

pdadmin ����� � ��� �� �� policy . . . . . . . . . . . . . . 62

� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62

��� �� ���� � ��� ��. . . . . . . . . . . . . . . . . . . . . . . 64

�� ��� � �� � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65

�� �� POP policy(step-up) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65

Step-up ��� �� � �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66

Step-up �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67

Step-up ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 69

Step-up �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 70

Step-up �� �� � ���� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71

vTivoli SecureWay Policy Director WebSEAL �� ���

���� � �� POP policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72

�� � ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72

IP �� � �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73

IP ��� �� step-up �� �� ���. . . . . . . . . . . . . . . . . . . . . . . 75

���� � �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75

���� � �� �� � ���� . . . . . . . . . . . . . . . . . . . . . . . . . . 75

QOP(Qualtiy of Protection) POP policy. . . . . . . . . . . . . . . . . . . . . . . . . . . 75

���� � ��� ��(HTTP/HTTPS) . . . . . . . . . . . . . . . . . . . . . . . . . . 76

�� �������� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . 76

��� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77

���� � HTTPS� ������ . . . . . . . . . . . . . . . . . . . . . . . . . 77

ACL/POP policy� ���� � ��� �� . . . . . . . . . . . . . . . . . . 78

�4� WebSEAL ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79�� ����� �� � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80

���� �� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81

���� �� ��� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81

��� �� ��� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82

�� �� �. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 83

GSKit � WebSEAL �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 83

WebSEAL �� �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85

GSKit SSL �� ID �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86

�� �� �� ���� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 87

��� �� ID ��� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 90

failover � �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91

�� �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94

�� �� ���. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95

�� ��� �� CDAS �� ��� . . . . . . . . . . . . . . . . . . . . . . . . 96

WebSEAL ��� �� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . 96

vi �� 3.8

�� �� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 97

��� � �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 97

���� � �� � � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 98

�� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 100

�� �� �� � �� ���. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 100

�� � � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 100

�� �� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101

�� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 102

�� �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 102

�� �� �� � �� ��� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 102

�� �� ��� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 102

�� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103

HTML � �� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103

����� ��� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 104

����: ���� �� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . 104

WebSEAL ��� ���. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106

��� �� �� � �� ��� . . . . . . . . . . . . . . . . . . . . . . . . . . . . 107

��� �� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 107

�� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108

HTTP � �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108

HTTP � �� �� � �� ��� . . . . . . . . . . . . . . . . . . . . . . . . 109

� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109

HTTP � �� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109

�� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 110

IP �� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111

IP �� �� �� � �� ��� . . . . . . . . . . . . . . . . . . . . . . . . . . . 111

IP �� �� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111

�� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111

�� �� �� � �� ���. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111

viiTivoli SecureWay Policy Director WebSEAL �� ���

�� �� ��� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 112

����� ��� ���� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 113

��� �� ��� �� � �� ���. . . . . . . . . . . . . . . . . . . . . . . 114

MPA � �� ����� �� �� ���� � . . . . . . . . . . . . . 115

MPA �� �� � �� ���. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 116

MPA� �� ��� �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117

webseal-mpa-servers ��� MPA �� �� . . . . . . . . . . . . . . . . . . . 117

MPA �� ����. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117

�5� �� ��� �� � ��� . . . . . . . . . . . . . . . . . . . . . . . . . . . 119CDSSO �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119

��� �� CDMF �� ����� �� . . . . . . . . . . . . . . . . . . . . . 120

CDMF� ��� CDSSO� �� �� ���� � . . . . . . . . . . . . . 120

CDSSO �� �� � �� ��� . . . . . . . . . . . . . . . . . . . . . . . . . . . 122

CDSSO �� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 122

�� �� ��� ���. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123

�� ���� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124

CDSSO HTML � � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 125

�� �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 125

e-Community �� �� � �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 125

e-Community �� � ���� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 128

e-Community ���� � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129

e-Community �� �� � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 135

“Vouch For” �� � �� �� � . . . . . . . . . . . . . . . . . . . . . . . 136

“Vouch For” ��� �� � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137

“Vouch For” �� ��� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 138

e-Community ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 139

�6� WebSEAL Junction. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 145WebSEAL Junction ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 146

viii �� 3.8

Junction ������ �� � �� . . . . . . . . . . . . . . . . . . . . . . . . . . 146

���� � �� �� ��: �� . . . . . . . . . . . . . . . . . . . . . . . . 147

�� �� �� ��: �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147

WebSEAL Junction ��� �� � . . . . . . . . . . . . . . . . . . . . . . . . 147

WebSEAL Junction�� HTTP 1.0�� ���. . . . . . . . . . . . . . . . 148

WebSEAL Junction� �� �� �� . . . . . . . . . . . . . . . . . . . . . . . . 148

“pdadmin � ���”� ��� Junction �� . . . . . . . . . . . . . . . . . . . . . 149

�� WebSEAL Junction ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 150

TCP �� Junction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 150

SSL �� Junction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151

�� �� SSL Junction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153

WebSEAL ��� � ���� ���� . . . . . . . . . . . . . . . . . . . 153

�� �(DN) �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 154

WebSEAL ���� ���� ��� . . . . . . . . . . . . . . . . . . . . . . 154

WebSEAL BA �� ���. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 155

Junction� � ���� �� �� �� . . . . . . . . . . . . . . . . . . . . 156

TCP � SSL ��� Junction �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 157

SSL� �� WebSEAL�� WebSEAL�� Junction . . . . . . . . . . . . . . . . . 158

�� Junction ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 159

�� Junction �� �(-f) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160

HTTP �� �� ���� �� ��(-c) . . . . . . . . . . . . . . . . . . . 161

HTTP �� �� ���� IP �� ��(-r) . . . . . . . . . . . . . . . . . 163

�� �� Junction � � � ��(-k) . . . . . . . . . . . . . . . . . . . 164

����� ���� �� URL ��(-i) . . . . . . . . . . . . . . . . . . . . . . . 165

���� � ����� ���������� URL ��(-j) . . . . . . . 165

Junction ��� ���� � �� URL �� . . . . . . . . . . . . . . . . . 170

Stateful Junction ��(-s, -u) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 172

Stateful Junction� �� ��� � UUID ��(-u). . . . . . . . . . . . . 173

Windows �� ����� Junction(-w) . . . . . . . . . . . . . . . . . . . . . . . 177

ixTivoli SecureWay Policy Director WebSEAL �� ���

WebSEAL Junction ��� �� � ���� . . . . . . . . . . . . . . . . . . . . . 178

��� Junction�� �� � �� . . . . . . . . . . . . . . . . . . . . . . . . 178

Junction � �� �� HTML URL �� . . . . . . . . . . . . . . . . . . 179

Junction�� �� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 180

Junction� �� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 181

��� � �� query_contents �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 181

query_contents �. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 182

�� UNIX � � query_contents �. . . . . . . . . . . . . . . . . . . . . . . 183

��� Win32 � � query_contents �. . . . . . . . . . . . . . . . . . . . . 183

query_contents ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 184

query_contents � . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 186

�7� � �� � ��� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 189�� �� � ���� �� BA � ��. . . . . . . . . . . . . . . . . . . . . . . . . 189

SSO(Single Sign-On) �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 190

BA ��� ���� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . 190

���� �� � � �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . 191

�� ���� BA � �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . 193

���� BA � �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 194

GSO�� ��� � � �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . 195

GSO(Global Sign-on) �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 196

�� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 197

GSO �� WebSEAL Junction �� . . . . . . . . . . . . . . . . . . . . . . . . . 198

GSO �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 199

IBM WebSphere(LTPA)�� �� �� � . . . . . . . . . . . . . . . . . . . . . . . . 200

LTPA Junction �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 201

LTPA �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 202

LTPA �� ���� �� � ���� . . . . . . . . . . . . . . . . . . . . . . 203

�8� ������ ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 205

x �� 3.8

CGI ����� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 205

Windows: WIN32 �� � �� . . . . . . . . . . . . . . . . . . . . . . . . . . . 207

��� � � ������ �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 208

�� ���� �� �� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 209

LDAP ����� ���� �� �� �� . . . . . . . . . . . . . . . . . . . . 209

��� �� ��� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213

��� ���� �� WebSEAL �� . . . . . . . . . . . . . . . . . . . . . . . . 214

��� ��� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215

�� URL� �� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215

�� URL ���� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 216

�� URL� ACL �� � �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . 216

�� URL� �� WebSEAL �� . . . . . . . . . . . . . . . . . . . . . . . . . . 219

�� � ���� �� URL �� . . . . . . . . . . . . . . . . . . . . . . . . . . . 219

POST ��� ���� ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 220

�� � � ���� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 222

�� URL ��: Travel Kingdom . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 223

������. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 224

����� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 224

� policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 225

� ���� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 226

�� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 226

� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 227

��A. webseald.conf �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 229

��B. WebSEAL Junction ��. . . . . . . . . . . . . . . . . . . . . . . . . . . 245“pdadmin � ���”� ��� Junction �� . . . . . . . . . . . . . . . . . . . . . 245

Junction �. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 247

�� � � �� �� Junction �� . . . . . . . . . . . . . . . . . . . . . . . . . . . 248

xiTivoli SecureWay Policy Director WebSEAL �� ���

�� Junction� �� � �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 251

��C. iKeyman�� ��� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . 253iKeyman ���� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 254

�� WebSEAL ������ �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . 255

�� ������ ��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 257

�� �� � �� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . 260

�� �� CA �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 262

�� CA �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263

������ �� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 264

��� ��� ��. ��� �� ��. . . . . . . . . . . . . . . . . . . . . . 264

�������� �� �� � . . . . . . . . . . . . . . . . . . . . . . . . . . . 266

������� �� �� �. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 267

� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 268

�� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 270

�� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 270

�� �� �� �� . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 271

������ �� �. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 272

��. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 273

xii �� 3.8

��

Tivoli SecureWay Policy Director WebSEAL � ��� �� �

� �����.

Tivoli SecureWay Policy Director WebSEAL � � ��� ��

Policy Director �� � �����. WebSEAL ���� ��

��� � � ��, �� � �� � ��� �� � policy� �

����. WebSEAL �� �� � ���� ���� � policy���� � ������ � ��� ��� � ����.

� � ����� � � ���� ��� ��� �� ��

�� �� ��� ����� . �� � ����� ����

WebSEAL ��� �� ��� ���� � �� ��� �����.

� �� ���� ��� ��� ���� ���� � ����.

¶ � ��

¶ ��� � � �� ��

¶ ���� ��� ��

¶ IT ��

¶ ������ ���

xiiiTivoli SecureWay Policy Director WebSEAL �� ���

� �� ��

¶ �1�: WebSEAL ��

� ��� �� � ��� �� ��, ��, �� � �

WebSEAL junction � ��� WebSEAL �� ��� �

�����.

¶ �2�: WebSEAL �� ��

� ��� � �� �, ��� ���, ��� �, ���

� � ��� �� WebSEAL �� ACL � POP policy �

� ���� � WebSEAL �� ���� �� ��� ���

�� � ���.

¶ �3�: WebSEAL �� policy

� ��� ACL � POP policy, QOP(Qualtiy of Protection),step-up �� policy, ���� � �� policy, 3 ����� �

�� policy � �� �� policy � � WebSEAL�� �

policy� ���� �� ���� �� ��� �� ��� �

���.

¶ �4�: WebSEAL ��

� ��� ��� � ��, ����� ���, SecurID �

� �� � �� HTTP � ��� � � ��� �� �

��� ��� WebSEAL� ��� �� ��� �� ���

� ���.

¶ �5�: �� ��� �� � ���

� ��� WebSEAL ��� ��� �� ��(�, ����

WebSEAL � ��)� �� �� ��� �� � ���� �

���.

¶ �6�: WebSEAL Junctions

� �� WebSEAL junction� ��� ���� �� �� �

�� � ��� �� ����.

¶ �7�: � �� � ���

xiv �� 3.8

� ��� WebSEAL ��� ��� �� ��(�, WebSEAL �

��� junction ������ � ��)� �� �� ��

� ���� � ���.

¶ �8�: ������ ��

� ��� ��� ������ ��� ���� �� ���

WebSEAL� ��� �����.

¶ �� A: webseald.conf ��

¶ �� B: WebSEAL Junction ��

¶ �� C: iKeyman�� ��� ��

��� ��� ���� �� �� ��� �� �� �� ��� �����.�� �� ����.

�� � � � ��, �� � �� ��� ��� �� �

� ��� �� ����.� �� ��� � �, � �� � � � ��� ����.

����� �� ��, ��� � � �� � ��� �

���.������ � ��, ��, �� ��, �� � ���� � � �

�� ���� ������ �� ����.

xvTivoli SecureWay Policy Director WebSEAL �� ���

Policy Director �� ���� � Tivoli SecureWay Policy Director �� ���� ����

Policy Director �� � �����.

Tivoli SecureWay Policy Director �� ��

�� ���

Tivoli SecureWay Policy Director Base � ��

Tivoli SecureWay Policy Director WebSEAL � ��

�� ���

Tivoli SecureWay Policy Director Base � ��

Tivoli SecureWay Policy Director WebSEAL � ��(� ��)

Tivoli SecureWay Policy Director Plug-in for Edge Server � ��

Tivoli SecureWay Policy Director Web Portal Manager � ��

��� ���

Tivoli SecureWay Policy Director Authorization ADK Developer Reference

Tivoli SecureWay Policy Director Authorization API Java Wrappers

Developer Reference

Tivoli SecureWay Policy Director Administration API Developer Reference

Tivoli SecureWay Policy Director WebSEAL Developer Reference

�� ��

Tivoli SecureWay Policy Director ��� ��

Tivoli SecureWay Policy Director Performance Tuning Guide

Tivoli SecureWay Policy Director Capacity Planning Guide

��� �� ���Tivoli �� �� � ���(http://www.tivoli.com/support/)��� ��

� � ��� �����.

¶ ��� ��, � � �� ��, � �� � ��� ���

� ��� � ��

¶ �� ���� ��(FAQ)

xvi �� 3.8

¶ ����� ��� ��

http://www.tivoli.com/support/getting/� Customer Support Handbook� ����.

����� Tivoli �� ��� ����� http://www.tivoli.com/support/documents/� ����. �� ��� � �� ��� ��

���� � � ����.

https://www.tivoli.com/secure/support/Prodman/html/AB.html#Security�� Policy Director � ��� �� ��� � �

����.

�� �� PDF � HTML ���� �� ��� ��� �� ��

���.

���� �� ��� ����� ID ��� �����. �� � �

���� ��� ID� ��� http://www.tivoli.com/support/getting/�� ����.

������ http://www.tivoli.com/support/smb/index.html�� Tivoli� �� � ��� �� ��� ������.

xviii ���� ��� ����� Tivoli � �� �� ��� ����

��.

xviiTivoli SecureWay Policy Director WebSEAL �� ���

�� ��http://www.tivoli.com/support/Prodman/html/pub_order.html��

Tivoli ��� ����� ����� �� � ���� ��� �

����.

¶ �� ��: tivoli@kr.ibm.com

¶ �� ��.�.� ������: 080-023-8080, 02-3781-7114

��� �� ��� ����� Tivoli �� ��� �� ���� ��� ���� ����,��� ����� �������. �� ��� �� ���� �

��� ��� �� � ���� ������.

¶ �� ��: tivoli@kr.ibm.com

¶ �� ��� �� �� ��: http://www.tivoli.com/support/survey/

�� �� ������ � Tivoli �� �� �� �� Tivoli ��� � ���

��� �� � ���� ������.

¶ �� ��: tivoli@kr.ibm.com

¶ �� ��.�.� ������: 080-023-8080, 02-3781-7114

¶ � ���: http://www.support.tivoli.com

¶ Tivoli �� ��� ��� �� �� ���� ���� ���

� ��� ��� ��� �� ����.

xviii �� 3.8

WebSEAL ��

Tivoli SecureWay Policy Director WebSEAL ���� �� ��

� � � ��, �� � �� � ��� �� � policy� ���

��. WebSEAL �� �� � ���� ���� � policy� �

�� � ������ � ��� ��� � ����.

� ��� WebSEAL � � �� ��� � �����.

�� �� �� ����.

¶ �WebSEAL� � �� ���

¶ 5 ���� �WebSEAL ��� �� ��

¶ 7 ���� ��� �� �� ��

¶ 9 ���� �WebSEAL Junction� �� ��

WebSEAL� � �� ��Tivoli SecureWay Policy Director WebSEAL � � ��� ��

Policy Director �� � �����.

WebSEAL ���� �� ��� � � ��, �� � �� � �

�� �� � policy� �����. WebSEAL �� �� � �

��� ���� � policy� ��� � ������ � ��� �

�� � ����.

1

1Tivoli SecureWay Policy Director WebSEAL �� ���

1.W

ebS

EA

L�

WebSEAL �� ��� �����.

¶ �� �� ��� ��

� � ���� ��� ��� �� ���� ���� � ��

� ���� �����.

¶ HTTP, HTTPS �� �

¶ WebSEAL junction �� �� ��� � �� �� � ��

¶ �� � ��� � � ��� �� �� �� �� �

���� �� URL, URL � � ��, CGI ����,HTML ��, Java servlet � Java �� �� ����.

¶ � � � ��� �� ��

WebSEAL ������� � � � ���� ���� ��

junction ��� � �� � ����� �����.

¶ �� �� � �� ��

�� 1. WebSEAL� � �� ��

2 �� 3.8

�� �� � �� �� ��� ��� � ��� ��� ��� ���� � �� ��� �

�� ��� ���� ��� ���. �� �� �� ���� �

� ���� �� ����� � ���. �� �� � �� ��

� �����. � ������ �� �� �� ���� � �

WebSEAL ��� �����.

�� ���� �����.

¶ � ��� �� �

¶ � ��� ����� ���� ��� ��� �

¶ � ��� ���� � �� ��� WebSEAL �� ���

� � ��� �� �

� �� ��� �� ��� � �� ��� � � ����.

1. �� �� - ���� ��� ������.

¶ ���� � ����� HTTP� �� ��

¶ ��� �� �� ��� ����, ���� � ��

¶ �� WebSEAL �� ����

2. �� �� - ����� ��� �(���)� �����.

¶ HTTPS� �� ���� � ���� ��

¶ ������ � �� ���� ��� ���� ���� �

���� ���(�: �� �� �� �� ��� �� ��)

¶ ��� �� �� ��� ���� ���� � ��

¶ WebSEAL ��� ��� � ��

3. �� �� - ����� ��� �����.

¶ HTTP �� HTTPS� �� �� ���� ��

¶ ��� ���� ��� ��

3Tivoli SecureWay Policy Director WebSEAL �� ���

1.W

ebS

EA

L�

¶ ��� �� �� ��� ����, �� ��. ����

� ��� ������ �� ��� ��� �

¶ WebSEAL �� ����� �� ��� �� ���� �

policy� ��� ��� �

�� policy �� � ���� � policy� ��� �����.

1. ��� ��� � ��

2. �� �

Policy Director� �� �� � ����� � � ��� ��� �

� �����. �� �� � ���� ����� � ��� ��

� �� �� �����.

��� ��� �� �� ��� � ���� ���� �

policy� ������.

� ����� ��� ����.

¶ ACL(Access Control List) policy

ACL policy� ���� ��� ��� ���� �� ���

� ��� �����.

¶ POP(Protected Object Policiy)

POP� ��� �, ���, �� � �� �� � �� ��

��� ��� ��� �� ��� �����.

¶ � ��

� �� ��� ������(�: �� �� �� ���)� �

��� �� � �� �� �, ACL �� POP� ����

�� ����.

Policy Director� � ����� �� �� ������. �� ��

���� ���� �� � �� �� �� �� ��� ���� �

� �� �(��)��� ��� ���� �����.

4 �� 3.8

� policy� ����� ����� �� �� �� ��(4 ����

�� policy �� � ���� �)� ���� ���� ���

ACL � POP policy� ��� ���. �� �� �� �� �

���� �� ��� � ��� � �����.

WebSEAL ��� �� ���� � ���� ������ ���� �� ���� �� ��

�� ���� ������. � � ����� �� ��� ���

��, � �� �� ����� ���.

WebSEAL � ����� ��� ���� � �����

�� �� ��� � ����. � ���� �� ��� ��

��� WebSEAL� � ���� ��, WebSEAL� �� � ���

� ��� ���� ���� �� ��� � ����.

� ���� �� �� �� �����. �� ��� �� �

��� �� ��� � ��� ��� � �� ��� ���� ��

� �����. �� ��� � ����� ����� ��� ��

��� ��� � �� ��� ��� ���� ����.

�� �� WebSEAL ��� �����.

¶ WebSEAL �� ���� ��� ���

�� 2. �� ��

5Tivoli SecureWay Policy Director WebSEAL �� ���

1.W

ebS

EA

L�

WebSEAL� ���� �� ���� �� �� ���� ��� �

����.

¶ WebSEAL ����� �� ���� ����

¶ WebSEAL �� ���� ��� ���. � ����

WebSEAL �� ���� ����� ��� ���� ��

�� � ��� � �� �� (�� ���� �) ��� ���

�.

��� �� ��� ��� �� � policy� � ���� ��

�� �� ���� ����� �� ��� ���.

��� ��WebSEAL �� ������ ������ ��� �� ���

� ��� ��� ���. �� ������ �� ��� ����.

1. �� ���� ���� ��� ����.

���� Policy Director ��� ������ �� ��� ��

� �� ���� ���� ��� ��� � ����. ��� �

�� ���� ���� � ��� �����.

2. WebSEAL ��� ���� � ����� �� ��� ��

���.

WebSEAL �� ���� ��� �� Policy Director �

�� ������. �� �� WebSEAL � ����� ��

� ��� �����. �� �� ���� ���.

���� ��� �, ���� � �� ��� �� �� ��

� �����.

�� ���� ��, WebSEAL ���� � ��� ����

�.

� �� WebSEAL �� �� � ���� �� �� ���

��� ���� ���� �� �� ����� ��� � �

���.

6 �� 3.8

�� ����� � ��� ��� �� Policy Director ���

�� ��� � ����. �� Policy Director� �� ��, �� �

�� �� �� ���� ��� ��� � �� ���.

�� �� ��� ��� �� ��� �� 79 ���� �WebSEAL���� ������.

�� ��� �� ���� ����� 1�� � � ��� ���� ���� �

�� �� ��� ��� ����. ��� �� � ���� �

��� �� ��� ���� � �����.

Policy Director� ���� ��� ��� � �����. ����

�� �� �����. ��� ���� ���� ���� ��� �

��� �� ���� ����. ��� �� ��� ��� ��

� � ����. �� ��, �� ��� ���� �� �� ��

�� �� ���.

�� ����� ��� �� ��� �� ��� �����. � ��

� Policy Director ��� �����(����� LDAP)� ���� �

�� �� ��� �� �����. WebSEAL ��� � � �

� ��� EPAC(Extended Privilege Attribute Certificate)�� �� �

��� �� �� � � ��� �����.

�� 3. ���� �� �� ��

7Tivoli SecureWay Policy Director WebSEAL �� ���

1.W

ebS

EA

L�

��, �� � ��� � ��� �� �� ��� ���� � �

� ��� ����. � ��� � � � ��� ���� � �

����.

� ����� ���� ��� ���� �� �� ������ �

��� � �� � �� ��� �����.

Policy Director ���� ��� �� � ���� � �� ��� �

� ��� �����.

EPAC(Extended Privilege Attribute Certificate)�� ����� �� ��� ��� Policy Director ����� �

����.

�� ��, �� �� ���� ��� ���� ���� � ���

� �� ��� � �� ��� ����� ��� ����� ��

���.

EPAC�� Policy Director� ACL(Access Control List)� � ��

� � ��� UUID(Unique Universal Identifier)� �����.

Policy Director� �� � ���� ���� �����.

¶ �� ���

¶ WebSEAL junction� �� ��

�� EPAC ��� Policy Director� �����.

�� ��

�� ��� ID ����� � � ��� ���

���� UUID ����� UUID

�� UUID ����� �� ��� UUID

8 �� 3.8

WebSEAL Junction� �� ��Policy Director� ����� �� ��, �� �� � � ����

�����. � � ������ �� ���� � ��� ���� �

��� ���� WebSEAL � , ��� � � � ���� ��

������ ��� �� � ����.

WebSEAL � ��� � ������ � �� ��� WebSEALjunction �� junction��� ���. WebSEAL junction ���

� WebSEAL � ��� � �� TCP/IP �����.

��� � � �� WebSEAL � ��� �� ���� ��� �

������ � � � ����. ��� � � �� WebSEAL � ��� �� �� junction(��) ����� WebSEAL �

� “��”���.

junction� � WebSEAL ��� � �� �� ���� ���

� ����. WebSEAL ��� ��� ��� � � ���� ��

�� ��� � �� � �� �� ��� ��� � ����. ��

� � � �� ��� �� �� ��� ���� �� �� ��

� ���� ��� � ��� Policy Director � ���� �

���(181 ���� ���� � �� query_contents ��� ��).

�� 4. junction WebSEAL ��� � � ���

9Tivoli SecureWay Policy Director WebSEAL �� ���

1.W

ebS

EA

L�

junction �� ���, ���� � �� � ��(�� �����

��� ���)� ��� �� ��� ��� � ��� ����

�. ����� � ��� �� �� �� �� �����.

WebSEAL junction ��� � � � ��� WebSEAL � � �

�� ���� ���� ��� ���. �� � �� junction����� ��� ���, �� �� �� � ��� �����.

����� � ��� ��� ��� ��� �� ����.WebSEAL �� URL ��� ��� � � ���� ��� ��

� ����. ����� � �� �� ���� ��� ���

�� ���� � �� � � � �� �� ���� � ����.

�� � �� ��� ��� � �� ��� �� �����

��. �� � ����� ��, �� ��� � ����� ���

�.

10 �� 3.8

���� ��� � � �� �� � �� � ��� ��� ���

����. �� �� ��� �� �� ���� ��� �����.WebSEAL junction � � �� �� ���� ���� ��

��� �� �� ��� ��� ��� �� � ��� ���

��� � ����.

WebSEAL junction� � �� �� � ���� ��� �� ��

��. �� �� � �� ���� ��� ��� ��� ��� �

� ����� ���� ��� ��� � �� ���. ��� �

� �� ��� ���� ����� ��� �����.

�� 5. WebSEAL junction�� �� � ��

11Tivoli SecureWay Policy Director WebSEAL �� ���

1.W

ebS

EA

L�

WebSEAL junction � ���� �� ��� ����� �� ��

� �����. Junction �� � � ���� � ����� ���

� ��� �� � �� ���.

WebSEAL Junction � � ��� ���WebSEAL junction �� ��� ��� � ���� ���� � �

����. � ������ ��� ���� �� �� � � � �

� ���� ���� ��� �� � ����.

�� � �� � � ��� � ����.

¶ �� ���� ���� �� ��

¶ �� ���, fail-over �� � ����� � ��� ��� �

��� ��

��� ����� WebSEAL ����� � � �� junction �� ��� ��� ����

WebSEAL � �� �����. �� ���� WebSEAL � �

�� � ��� �� � ���� �� ���� �����. ��

��� ��� IBM Network Dispatcher �� Cisco Local Director � ����� �����.

���� ��� ���� fail-over ��� �����. � � ��

� ��� � �� ��� ��� � � ���� �� ���

��� �����. ���� �� ��� � fail-over �� ���

� ����� ����� �����.

12 �� 3.8

���� WebSEAL � � ���� � � �� � �� � junction������� ��� ��� ����� ���.

��� �� �� ��� ��� ������ ���� �� ���

� � � ������.

��� �� ��� ���� �� WebSEAL � ��, ��� � �� � ��

���� ��� � ����. ��� � � �� WebSEAL junction �� � ��� ��� � � ���� ��� ��� � �� �

��.

� �� ��� � � ��� junction(��) ���� junction�

���. �� ��� �� ��� ����� �� � � � junction� � �����. � ������� ��� ��� � � � �

��� � ����� �� ���� �����.

�� 6. �� ���� WebSEAL �

13Tivoli SecureWay Policy Director WebSEAL �� ���

1.W

ebS

EA

L�

�� �������� junction� �� �� � �� � ��� �

��� ��� �����. � � �� ����� ��� �� �

�� �� ���� ���.

�� 7. ��� � junction

14 �� 3.8

�� ��� � � �� ��� �� ��� ��� junction �

��� junction���.

��� ��� ���� ��� ��� � ����� ����� ��� � � ��

�� ���. �� ���� � � �� �����, �� ��

� � �� �� �� ���� � ��� ����� ���.

WebSEAL “�� ��” ��� ��� ���� �� � �

� �� ���� �����. � �� �� �� �� ���

� � � � �� ��� �����.

�� WebSEAL � � �� �� ���� �� ���� ��

� � ����� � � � �� ���� �����.

��� ������� � ����� ������ ��� ���� �

��� ��� ��� � � ���� �� ���� � statefuljunction� ��� � ����.

�� 8. �� � ��

15Tivoli SecureWay Policy Director WebSEAL �� ���

1.W

ebS

EA

L�

�� 9. �� ��� �

16 �� 3.8

WebSEAL �� ��

� �� ���� ����� �� WebSEAL � � ���� ��

���� � ��� � �� � � ��� �� ���� �

�� ��� �� ����.

�� �� �� ����.

¶ 18 ���� �� � ���

¶ 21 ���� ��� ��� ���

¶ 26 ���� �� �� ��

¶ 33 ���� �HTTP � ��� ���

¶ 37 ���� ���� �� HTML ��� ��

¶ 38 ���� ����� � � � ��� ��

¶ 45 ���� ��� QOP(Quality of Protection) � ���

¶ 47 ���� ��� ������ �� � ���

¶ 48 ���� ����� WebSEAL � ���

¶ 50 ���� � HTTP �� ���

2

17Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

�� �� ���� ���� WebSEAL � � � ��� � ���.

¶ �webseald.conf �� �� ���

¶ 20 ���� �WebSEAL �� �� �����

¶ 20 ���� �WebSEAL � �� �����

¶ 21 ���� �WebSEAL �� � ���

webseald.conf �� �� ��webseald.conf �� ��� �� ���� ���� WebSEAL� ��� ���� �� ��� � ����. �� �� ����� ��

��.

UNIX:

/opt/pdweb/etc/

Windows:

C:\Program Files\Tivoli\PDWeb\etc\

�� � �� � ���� ��� ����.

�� ���

WEBSEAL GENERAL [server]

LDAP [ldap]

SSL [ssl]

JUNCTION [junction]

[filter-url]

[filter-schemes]

[script-filtering]

[gso-cache]

[ltpa-cache]

18 �� 3.8

�� ���

AUTHENTICATION [ba]

[forms]

[token]

[certificate]

[http-headers]

[auth-headers]

[ipaddr]

[authentication-levels]

[mpa]

[cdsso]

[cdsso-peers]

[failover]

[e-community-sso]

[inter-domain-keys]

[authentication-mechanisms]

[ssl-qop]

[ssl-qop-mgmt-hosts]

[ssl-qop-mgmt-networks]

[ssl-qop-mgmt-default]

SESSION [session]

CONTENT [content]

[acnt-mgt]

[cgi]

[cgi-types]

[cgi-environment-variable]

[content-index-icons]

[icons]

[content-cache]

[content-mime-types]

[content-encodings]

LOGGING [logging]

AUTHORIZATION API [aznapi-configuration]

[aznapi-entitlement-services]

POLICY DIRECTOR [policy-director]

19Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

229 ���� �webseald.conf ���� ������.

�: webseald.conf ��� ��� ���� WebSEAL� ����

� �� ���� ����� � ���. ��� �� 21 �

��� �WebSEAL �� � ���� ������.

WebSEAL ��� �� ����WebSEAL ���� �� �� �� ����� ��� ����.

UNIX:

/opt/pdweb/

Windows:

C:\Program Files\Tivoli\PDWeb\

Windows� Policy Director � �� � ��� ��� � ����.Policy Director� UNIX�� �� �� � ��� ��� � ���

�.

� ����� � �� ����� ��� � <install-path>

�� �����.

UNIX ���� �� � ��� ����� �� �� � �� �

� �� � ��� ��� �� ����.

/var/pdweb/

WebSEAL �� �� ����webseald.conf �� ��� server-root ���� ��� WebSEAL� �� ��� �����.

[server]server-root = /opt/pdweb/www

webseald.conf �� ��� ��� �� �� �� � � ��

���� ����.

20 �� 3.8

�: �� ����� � �� �� ��� ��� ���.

WebSEAL � � ��UNIX� ���� pdweb_start �� ���� Windows� ����

��� ���� ���� WebSEAL � ����� ���� ���

� ����.

UNIX:

pdweb_start {start|stop|restart|status}

�� ��, WebSEAL � � ��� � � ������ ��� �

�����.

# pdweb_start restart

pdweb_start � �� ����� ����.

/opt/pdweb/bin/

Windows:

��� ����� WebSEAL � ����� ���� ��� �� �

�� ������.

�� ���� ���� ���� WebSEAL � � � ��� � ���.

¶ 22 ���� �HTTP ��� �� WebSEAL ���

¶ 22 ���� �HTTPS ��� �� WebSEAL ���

¶ 23 ���� ��� SSL ������ �� ���

¶ 23 ���� �HTTP � HTTPS ��� ��� ���

¶ 24 ���� �HTTP/HTTPS ��� �� ��� ����

¶ 25 ���� ��� WebSEAL � ��� ����

21Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

HTTP ��� �� WebSEAL ��WebSEAL ���� ���� � ���� � HTTP ��� �

����. �� ��, �� � ����� �� ��� �� � �

��� � �� ��� ��� �� �����.

TCP� �� HTTP �� ��� �� ����

webseald.conf �� ��� [server] ���� ����.

HTTP ��� ��/�� ���WebSEAL �� � HTTP ��� �� �� �� ����� ��

��.

http = {yes|no}

HTTP ��� �� � ��HTTP ��� �� ��� 80���.

http-port = 80

�� 8080�� ���� �� �� �����.

http-port = 8080

HTTPS ��� �� WebSEAL ��SSL(HTTPS)� �� HTTP �� ��� �� ����

webseald.conf �� ��� [server] ���� ����.

HTTPS ��� ��/�� ���WebSEAL �� � HTTPS ��� �� �� �� ����� ��

��.

https = {yes|no}

HTTPS ��� �� � ��HTTPS ��� �� ��� 443���.

https-port = 443

�� 4343�� ���� �� �� �����.

https-port = 4343

22 �� 3.8

�� SSL ������ �� ��SSL � 2, SSL � 3 � TLS � 1� �� ���� �� ��

�� �� �� ����� � � ����. �� SSL � TLS ��

�� ��� ���� ���� webseald.conf �� ��� [ssl] �

��� ����. �����, �� SSL � TLS �� �����.

[ssl]disable-ssl-v2 = nodisable-ssl-v3 = nodisable-tls-v1 = no

HTTP � HTTPS �� ��� ���� ��� ���� �� � � ���� ��� � �� ��� �

��� �� �� �����. �� ��� ���� �� �� � ��

�� �� �� ��� ���� �� ��� ��� ���.

WebSEAL� ���� ��� ���� ���� � �� ��� ��

�� �� �� � ����. ��� ��� � � ���� ��� �

��� �� ���� ������.

� �� ���� �� �� �� �� ��� ��� ����. ��� ���� ����� ���� �� �� ���� ��� � �

� ��� �� ���� �����.

��� ��� ��� �� ���� � ������ ���� �

��� �� ����.

��� �� ���� ���� ��� ���� � ���� ��

��� �����. ��� ��� �� ���� � ��� ���

��� � � �� �� ��� ��� ���.

WebSEAL �� � ��� ��� ������ TCP, SSL ��

GSSAPI �� � ���� ����� ��� ���� �� ���

��� �� �������. ��� � ��� WebSEAL� �

� � ��� ���� ��� ��� ��� �� �� ��� � �

� ���.

23Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

webseald.conf �� ��� [server] ��� ��� worker-threads ���� ��� ��� ��� � ��� ��� � ����.

[server]worker-threads = 50

�: � ���� �� ��� ���� ��� �� ����.

HTTP/HTTPS ��� �� ���� ����WebSEAL SSL� IBM GSkit(Global Security Kit) ��� ���

��. WebSEAL� HTTPS ������� ��� � � GSKitSSL� �� ��� �� ���� �� ��� �������.

WebSEAL HTTP � HTTPS ��� � �� � ��� �

��� �����. �� ���� webseald.conf �� ���

[server] ���� ����.

¶ client-connect-timeout

�� �� ��� �� ���� � ���� �� HTTP ��

HTTPS ��� � WebSEAL� �� � ��� ���� �

����. ��� 120����.

[server]client-connect-timeout = 120

¶ persistent-con-timeout

� ���� HTTP/1.1(HTTP/1.0 ��) ���� ����.��� HTTP/1.1 �� � � � � � � ����

WebSEAL� HTTP/1.1 �� ��� �� ��� �� ��� �

��� �� ��(�)� �����. ��� 5����.

[server]persistent-con-timeout = 5

24 �� 3.8

�� WebSEAL �� ���� ������ � �� ��� ���� webseald.conf �� ����

����.

��� �� ���(�)

[junction] http-timeout TCP junction� � ��� �

� ���� ��� � ��

���� ��� �

120

[junction] https-timeout SSL junction� � ��� �

� ���� ��� � ��

���� ��� �

120

[cgi] cgi-timeout � CGI ����� ����

CGI ���� ���� ��

� �

120

�� 10. HTTP � HTTPS ��� �� ��� ���

25Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

��� �� ���(�)

[junction] ping-time WebSEAL � ��� ��

�� � � junction � �

��� ���� Ping� ��

���. WebSEAL 300���

� � �� ���� ����

(�� � �� ���).

300

� �� ���� ���� � ��� ��� � ��� ���� � ���.

¶ �� �� ��� �� �����

¶ 28 ���� ����� �� ���

¶ 29 ���� �Windows: CGI ����� �� �� � �� �

��

¶ 30 ���� �� �� �� ���

� �� ��� �� ����� �� �� ��� WebSEAL�� ���� ��� �� �� ��

��� �� �����. � �� � webseald.conf �� ���

[content] ����� doc-root ���� � ����. WebSEAL� � �� �� �� ��� �� ����.

UNIX:

doc-root = /opt/pdweb/www/docs

Windows:

doc-root = C:\Program Files\Tivoli\PDWeb\www\docs

� � ���� WebSEAL� ��� � � �� �����. �

� �� � junction ������� ����. webseald.conf� �

� � �� � ������ ��� ����.

26 �� 3.8

� �� pdadmin ����� ���� �� �� ���� �� �

� �� ���. �� ��(� � websealA�)��� � �

�� � ���.

1. pdadmin�� �������.

# pdadminpdadmin> loginEnter User ID: sec_masterEnter Password:pdadmin>

2. server task list �� ���� ��� �� junction ����

�����.

pdadmin> server task websealA list/

3. server task show �� ���� junction� ����� ��

���.

pdadmin> server task websealA show /Junction point: /Type: LocalJunction hard limit: 0 - using global valueJunction soft limit: 0 - using global valueActive worker threads: 0Root Directory: /opt/pdweb/www/docs

4. �� junction ���� ��� � � junction� ������. (�

junction� ��� �� junction �� � ��� -f ��� ���

��.)

pdadmin> server task websealA create -t local -f -d /tmp/docs /Created junction at /

5. �� junction ���� ������.

pdadmin> server task websealA list/

6. � junction� ����� �����.

pdadmin> server task websealA show /Junction point: /Type: Local

27Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

Junction hard limit: 0 - using global valueJunction soft limit: 0 - using global valueActive worker threads: 0Root Directory: /tmp/docs

���� �� ����� URL ��� ���� ��� � � WebSEAL� � �

��� �� ��� �� ��� � ����. � �� ��� ���

WebSEAL ��� ����� �����. ��� ��� WebSEAL� ���� ���� ��� ���� ��� ����� �����.

���� �� �� ��� �� ���� webseald.conf �� ��

� [content] ���� ����.

�� ��� ��� �� ����.

[content]directory-index = index.html

����� ���� ��� �� ���� � �� �� �� � �

���. �� ��, �� ����.

[content]directory-index = homepage.html

��� ����� directory-index ���� ��� �� ��� �

� �� ��� WebSEAL� ���� ���� ��� �����. �

� ���� ����� � ��� �� � �� ���� �� �

�� �� ����. ����� �� ��� ���� �����

� ����� �� ACL�� “list”(l) ��� ��� �� ����

��� �����.

�� ��� �� � �� ��� � WebSEAL�� ���� �

� ��� ���� ��� � ����. webseald.conf �� ���

[content-index-icons] ����� �� MIME �� � ��� �

.gif ��� ��� �� ����.

[content-index-icons]image/*= /icons/image2.gifvideo/* = /icons/movie.gifaudio/* = /icons/sound2.gif

28 �� 3.8

text/html = /icons/generic.giftext/* = /icons/text.gifapplication/x-tar = /icons/tar.gifapplication/* = /icons/binary.gif

� ��� ���� � MIME ��� �� ���� ��� � ���

�. ���� ��� ��� ��� �� ����. �� ��, �� �

���.

application/* = http://www.acme.com/icons/binary.gif

��� �� ��� �� ��� �� ����.

¶ ������� ���� � ���� ���

[icons]diricon = /icons/folder2.gif

¶ �� ����� ���� � ���� ���

[icons]backicon = /icons/back.gif

¶ � �� �� ��� ���� � ���� ���

[icons]unknownicon = /icons/unknown.gif

Windows: CGI ����� �� �� �� �� ��webseald.conf �� ��� [cgi-types] ���� �� ���� �

��� CGI ������ ���� ��� Windows �� �� �

�� ��� � ����.

UNIX � ���� �� � �� ����� ����. ���

Windows � ��� ���� �� �� ��� ��� ���.[cgi-types] ���� ��� �� �� ��� ���� (��� �

�) � ��� ��� CGI ����� �����.

[cgi-types]<extension> = <cgi-program>

�����, ���� ���� �� ��� �� ���� ���

CGI ������ ����. CGI ����� ��� ���� ��

� ��� ��� ��� ���� ��� ����.

29Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

��� .exe� �� Windows�� ������ ���� ���

���� ����.

�: ���� � Windows� .exe ��� ���� � � �

�� �� ���� ��� ����� ��(�: .zip)� �

� ���.

� ���� ��� ���� ��� � ��� �� ���

�� ��� ���. �� ��� ���� ����(.sh � .ksh), PERL ����(.pl) � Tcl ����(.tcl) �� ����.

�� ��� � [cgi-types] ��� �����.

[cgi-types]bat = cmdcmd = cmdpl = perlsh = shtcl = tclsh76

�: .bat � .cmd �� ���� �� � ��� ��� ���

�. ��� ��� ��� ������.

� �� �� ����� � �� �� �� ��� ����� ���� �� ���

� �� ��� ��� ���� �� ��� �� ����. ���

�� ��� WebSEAL � � junction ��� � �� ��

�� ����� ��� ���� ��� �����.

� �� �� ��� ���� ����� ���� � �� ���

WebSEAL � � ���� �� � ���� . �����

WebSEAL � �� �� ��� �� ��� ���� �� �

�� �� ���� ���.

�� ��� �� ��� �� � ��� ���� ��� � ���

�. ������ �� � �� ���� �� ��� ��� �

����.

30 �� 3.8

� �� �� junction� �� ��� � � ��� WebSEAL��

� � ��� ���� ���� �����.

�� MIME ��� ��� �� �����. � �� ��� ��

WebSEAL� ��� � �� � �� ���� ������.

¶ �� MIME ��

¶ ��� ��

¶ ��� ��

webseald.conf �� ��� [content-cache] ���� � �� ��

� ������. �� ��� �����.

<mime-type> = <cache-type>:<cache-size>

��� ��

mime-type HTTP “Content-Type:” � ��� �� ���

MIME ��� ����. � � ����( * )� �

�� � ����. */*� � ���� �� ��� �

��� �� �� �� �� ��� �� �� � ���

����.

cache-type ��� ��� ���� ��� �����. � Policy

Director ���� “���” ���� �����.

cache-size “�� �� ��” ��� �� �� �� ���� �

� ��� ��� �� � �� �� ��(����� ��)

� �����.

��:text/html = memory:2000image/* = memory:5000*/* = memory:1000

� �� �� ��� �� ��� ����.

¶ ��� �� ���� ��� ���

¶ ���� ��� ���� ��

31Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

¶ �� ��� ���� ���� �� �� ��� ���� �

� ��� ���� ��

¶ �� �� ��� �� �� ���� �� ���

�� �� ��pdadmin ����� ���� �� �� ��� ��� � ����.����� ���� �� ��� ��� �� ����.

pdadmin� ���� �� Policy Director �� sec_master� �

���� ���� ���.

�� � �� ��� ����� �� �� ������.

UNIX:

# pdadmin server task <server-name> cache flush all

Windows:

MSDOS> pdadmin server task <server-name> cache flush all

�� ��pdadmin ����� ���� ��� �� ���� �� �� ���

��� � ����. �� ��� ��� ���� �� ��� ��,� ��� � ���� ��� �� �����.

pdadmin� ���� �� Policy Director �� sec_master� �

���� ���� ���.

��� �� ���� �� ��� ��� �� �� ������.

UNIX:

# pdadmin server task <server-name> cache stat

Windows:

MSDOS> pdadmin server task <server-name> cache stat

32 �� 3.8

HTTP �� ��� ��WebSEAL � � ��� � ���� ����� ����� �

�� ����. ��� � �� �� ��� � ����. �� �

�, �� ����.

¶ ��� ��

¶ �� �� ��� ���

¶ ���� � UNIX �� ���� ��� ��� � CGI ��

��� �� � ��

��� �� ��� ��� �� � � HTML � ���� “403Forbidden” � � ���� ����� �����. � �� �

���� ��� � � ���� ��� HTML ��� ����.

� �� �� ����� ��� ����.

UNIX: <install-path>/www/lib/errors/<locale-dir>

Windows: <install-path>\www\lib\errors/<locale-dir>

errors ������ � ��� ��� �� �� ���� ��

�� �� ��� ������� ����.

�� ��, �� �� ���� �� ���� ��� �� ����.

UNIX: <install-path>/www/lib/errors/en_US

Windows: <install-path>\www\lib\errors/en_US

� ����� ���� HTML ���� �� ���� ����� �

�� �����. �� HTML ���� ���� ��� ���� �

� ��� � ����. ��� � ��� �� ���� ��

� �� 16� ����. � �� �� ��� ���.

33Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

�� �� �� �� ���� �� � ���� �� �� �

��� ��� �� ����.

� �� �� �� HTTP �

� ��

132120c8.html ��� � �� ���� ���� ����

� ��� � ����. ��� ��

� �� ����.

¶ ���� ���� � ����

��

¶ ���� ���

¶ ���� ��� �� �����

��� ���

1354a2fa.html �� �� �

����

�� ���� �� �� � ��

��� ��� �����. � ��

�� �����.

1898d259.html ���� �� ��

� ��

�� ��� WebSEAL � � ��

� � � ���� �� ��� ��

�����. ��� WebSEAL� ��

� ����� ���� � ����

������.

1898d25a.html ����� ��

�� � ��� ��

WebSEAL� GSO ������ ��

��� � � ����.

1898d25b.html ���� �� ��

�� � ��� ��

WebSEAL� GSO ���� ��

��� � � ����.

1898d25c.html ���� � ��

�� � ��� ��

�� ��� � �� GSO ���

�������. �� �� ���

��.

1898d25d.html ��� ��� �� ��� junction ��� � �

� � ���� ����

WebSEAL � � � � ����

�� ���� ���. �� � ��

�� � WebSEAL� ���� �

��.

34 �� 3.8

� �� �� �� HTTP �

� ��

1898d25e.html ���� �� ��

� ��

�� ��� WebSEAL� �� �

� � ���� �� ��� �� �

����. ��� ��� ��� ��

�� � ��� �������.

1898d25f.html ��� � ��

��

WebSEAL� junction ��� � �

��� ��� � �� ���

����.

1898d421.html ��� ��� �� �� ����� �����

�. �� �� �� ���� �� �

���� � �����.

302

1898d424.html �� �� WebSEAL� ���� � HTTP �

�� ����.

400

1898d425.html ��� ��� �� ��� WebSEAL� � �

� ��� ��� ��� ����

� � ���� ���.

1898d427.html ��� ���� �� ��� ���� �

�� ��� �� ����.

403

1898d428.html � � �� �� ��� � � ����. 404

1898d432.html ���� ��� �

��

�� ��� � WebSEAL� ���

���� �� ��� � ����.

503

1898d437.html � � ����� WebSEAL � � ��� ��� �

���������. � � ��

� � ���� ����� ���

��� ��� ��� � ����.

1898d439.html �� ��� �� ����/� ��� junction ��

� � � �� ��� ��

stateful �������. WebSEAL

� � � ��� ���� ����

��� ��� �� �����.

1898d442.html ���� ��� �

��

WebSEAL�� ���� ����

SSL �� ��� � junction �

�� � � �����.

35Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

� �� �� �� HTTP �

� ��

1898d7aa.html CGI ����� CGI ����� ��� ��� ��

���.

default.html � � WebSEAL ��� � �� �

��� ��� � ����.

500

deletesuccess.html �� ����� DELETE ��� ���

�� �������.

200

putsuccess.html �� ����� PUT ��� �����

�������.

200

relocated.html ����� ��� �� �� ����� �����

�.

302

websealerror.html 400 WebSEAL �

WebSEAL � �� ����. 400

��� ���� ��� �� HTML � ���� ���� �� ���� �

�� � ���� ��� � ����. ���� �� ��� ��

� ��� ���� �����.

��� ��

%ERROR_CODE% � �� �� �

%ERROR_TEXT% ��� ������ � � � ���

%METHOD% ����� ��� HTTP ���

%URL% ����� ��� URL

%HOSTNAME% ��� ��� �

%HTTP_BASE% � � �� HTTP URL “http://<host>:<tcpport>/”�

%HTTPS_BASE% � � �� HTTPS URL “https://<host>:<sslport>/”�

%REFERER% ������� �� � � �� “Unknown”(�� ��)

%BACK_URL% ������� �� � � �� “/”(�� ��)

%BACK_NAME% ��� �� �� ��� � “BACK”��� ��� � “HOME”

36 �� 3.8

��� �� HTML ��� ��Policy Director� ��� �� ���� ����� ��� �� ��

� ����� ���� �� ��� � �� � HTML ��� ��

�� ����. ���� ��� HTTP �� HTTPS� �� ��, �

� � BA ��� �����.

�� ��� �� ��� webseald.conf �� ��� [acnt-mgt] �

��� �� mgt-pages-root ���� � �����.

mgt-pages-root = lib/html/<lang-dir>

� ���� ����� �� ��� ��� ���. �� �� �

� ����� �� ����.

lib/html/C

��� ��� �� �� ��� ����.

lib/html/JP

��� �� ��� ���� � ���� ��� HTML ��� ��� � � webseald.conf ��

��� [acnt-mgt] ���� ����. �� ���� ���� �� �

�� �� ��� ���� ��� �����.

��� ��� ���

login = login.html �� ���

logout = logout.html �� ���

account-locked = acct_locked.html �� ���

passwd-expired = passwd_exp.html �� ���

passwd-change = passwd.html �� ���

passwd-change-success = passwd_rep.html �� ���

passwd-change-failure = passwd.html �� ���

help = help.html �� ���

token-login = tokenlogin.html �� ���

next-token = nexttoken.html �� ���

stepup-login = stepuplogin.html step-up ��

37Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

��� �� HTML ��� ��

�� ��

login.html ��� � � ��� �� �� ��

logout.html ���� �� ��� ���

acct_locked.html �� ���� � ��� ��� �� �� ��� ���

passwd_exp.html �� ���� � ��� ��� �� �� ��� ���

passwd.html �� � ��. �� � ��� � ��

passwd_rep.html �� � ��� ���� �� ��� ���

help.html ��� � ���� �� �� �� �� ���

tokenlogin.html �� ��� ��

nexttoken.html �� �� ��

stepuplogin.html step-up �� ��� ��

�� ������ � �� ���� ��� � ����. ��� ��

� ���� ���� ��� ��� � ����. ���� ��� �

� ���� �����.

��� ��

%USERNAME% ���� ���� �

%ERROR% Policy Director�� �� �� �� � �

��

����� � ��� ��� ��� ���� SSL� �� ��� ���� ���� � � � ��

���� ����� WebSEAL� ��� � ��� � � �� �

��� � ���.

WebSEAL �� ���� ���� �����.

38 �� 3.8

¶ WebSEAL� � � ���� ���� SSL ����� � �

�� ���� ��

¶ WebSEAL� ����� ���� ���� junction ��� �

(�� ��� � ���)� � ��� ���� ��

¶ WebSEAL� CA(Certificate Authority) �� ���� �����

�� ���� ����� ���� ����� ���� �

� ���� ���.

¶ WebSEAL CA(Certificate Authority) �� ���� �����

�� ���� �� ��� � �� , junction ��� � � �

���� ��

WebSEAL SSL� IBM GSKit(Global Security Kit) ��� ���

� �� ���� ���� ����. GSKit iKeyman ����

� ���� �� ��� WebSEAL � /���� ��� � CA �

� ���� ���� �� ��� ������� ��� ��

��.

WebSEAL �� ���� �� SSL ��� ���� � ��

�� ����� �����.

¶ �� ������(pdsrv.kdb)

¶ �� ������ �� ��(pdsrv.sth) � ��(“pdsrv”)

¶ � �� �� CA �� ���

¶ WebSEAL� SSL ����� � ��� ���� � ��� �

�� �� � ��� ���

� ��� ���� ��� � �� CA(Certificate Authority)��� ���� ���� ���� ���� �� ����.

WebSEAL ��� ��� �� ���� ��� �����.

¶ 41 ���� �WebSEAL� �� ������ ��� ���

¶ 43 ���� �iKeyman ��� � ���� ���

39Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

¶ 44 ���� �CRL �� ���

GSKit � ������ �� ��� �� ��IBM Key Management ��(iKeyman)� �� � �� �� �

� �� ��� �����.

CMS ������� ��� .kdb� �� � � ��� �� �

��� �����. .kdb �� � ������� ��� � ��

���. .kdb ��� �� ��� �� ������ ��� �

� ��� ��� ���� � ����.

.rdb � .crl �� � ��� ��� ��� � �����. CA �

�� �� ������ .rdb ��� �����.

� ��

.kdb “ ������” ��. Personal Certificates, Personal Certificates

�� � Singner Certificates� ����. �� ��, ��

WebSEAL ������ �� pdsrv.kdb���.

.sth “��” ��. ������ ��� ��� �� ����. �

��� �� � � .kdb �� �����.

.rdb “��” ������ ��. .kdb ������ ��� ��� �

���� �����. � ��� �� � � .kdb �� �

����. � ���� �� ��� �� � �� CA��� ��

� � ��� ��� �� ����. CA��� ���� ����

.rdb ���� ���� ��� ��� ��� �����(�� �

����). ����� ��� ���� � �� � ��� ��

� .rdb ���� �����. ����� ��� ���� ���

��� �����. ��� ���� �� �, ��, �� � ��

� �� �� ��� �� � �� � �� �� �

� ����.

.crl “��� �� ��” ��. � ���� �� �� ��� � ��

���� ��� �� ����. ��� iKeyman ��� ��

�� ��� ���� ���� � ��� �� ����.

40 �� 3.8

� ��

.arm ASCII �� ���� ��. .arm ���� �� � ����(�

� � ��) ���� Base-64 �� ASCII �� �� ���

�. ��� ���� ��� ���� ASCII �� ����. �

��� .arm ��� ���� �� iKeyman� ASCII �� �

��� ��� .kdb ��� ���� �� �����. ����

�, ���� .kdb ����� ��� ��� iKeyman� �����

� ASCII� ���� ��� �� .arm ��� �����. .arm

��� ASCII ���� ��� �� ���� � CA� ����.

�: �� ��� Base64 �� ��� �� .arm� �� �� ��

� �� ���� ��� � ����.

.der “�� � �” ��. .der ���� �� � ����(��

� ��) ���� ���� �� �� ����. � �� ASCII

� ��� ���� �� �� ���� .arm �� �� ���

��.

.p12 “PKCS 12” ��. ��� PKCS� “Public-Key Cryptography

Standards”� �����. .p12 ���� �� � �� � � �

���� ���� ���� �� �� ����. .p12 ���� �

� ��, ���, ���� ��� CA� ���, CA ���� ��

� � ���� ��� � �� � � ��� ���� �� ��

�� ����. .p12 ���� �� � �� ���� ��� ��

���.

WebSEAL� �� � ������ ���� ��WebSEAL ��� � �:

��, WebSEAL �� ��� ������� �����.webseald.conf �� ��� [ssl] ���� �� webseal-cert-keyfile���� � ��� � ��� �����.

[ssl]webseal-cert-keyfile = /var/pdweb/www/certs/pdsrv.kdb

iKeyman ����� ���� �� ������� ��� � �

���. ��� ��� �� ��� � ��� webseal-cert-

41Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

keyfile ���� ���� WebSEAL� � ������� ��

���� �� ��� � ����.

��� � � ��:

��, WebSEAL pdsrv.kdb ��� �� ��� ���� �

� �� ��� �����. webseal-cert-keyfile-stash ����

WebSEAL� �� ��� ��� � ���.

webseal-cert-keyfile-stash = /var/pdweb/www/certs/pdsrv.sth

� �� ��� �� �� ��� “pdsrv”���. ���

webseal-cert-keyfile-pwd ���� � ���� �� � ���

�. �� ��, �� ����.

webseal-cert-keyfile-pwd = pdsrv

��, WebSEAL �� ��� ���� �� ��� ����.webseal-cert-keyfile-pwd� ��� ����. �� ��� ����

webseald.conf �� ��� �� ��� ���� ��� �� �

� � ����.

�: ����� �� �� ���� �� ��� �����. �� �

�� ��� �� ���� �� �� �����.

WebSEAL ��� ���:

��, WebSEAL �� � �� ��� ���� �����.� � ��� ��� �� ��� ���� SSL ����� �

WebSEAL� ��� � �� ���.

� ��� ���� ���� �� � ���� � � ���� ��

����� ��� ����. ��, webseal-cert-keyfile-label ��

�� ���� �� � � ���� ���� �� �������

� “���”�� �� �� ���� �����.

webseal-cert-keyfile-label = WebSEAL

42 �� 3.8

��� ���� WebSEAL� SSL �� ����� ��� �� �

��� ����� ��� �� ����. (������ ��� �� CA���� ���� �� ����.) �� ���� �� �� � ��

WebSEAL ��� ����� � ���� ��� � ��� ���

�� ����.

iKeyman ����� ���� CA(Certificate Authority)� ����

��� ��� ������. iKeyman� ���� �� � ���

� ��� ��� ����.

�� ����(�: -K junction)��� �� ���� ���� ���

� iKeyman ����� ���� ��� ���� �� � ��� �

��� �� � ����. �� ��� ��� ���� ��

�.

WebSEAL(�����, user ivmgr� ��) � ������ �

�� � � ��� ��� ��� ���.

�� 253 ���� �iKeyman�� �� ��� ������.

�� Policy Director �� SSL ��:

webseald.conf �� ��� [ssl] ����� �� Policy Director �

� �� SSL ��� � WebSEAL� ���� ��� ��

�� � ���� � �� �� ���� �� ����. � ���

� pdconfig �� ����� ��� ��� ���.

[ssl]ssl-keyfile =ssl-keyfile-pwd =ssl-keyfile-stash =ssl-keyfile-label =

iKeyman ��� �� ���� ��iKeyman ����� GSKit �� ���� ���� WebSEAL� �

��� �� ���� ��� � ��� � ����. iKeyman����� ��� ������.

¶ �� ��� ������ ��

43Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

¶ ������ �� �

¶ �� WebSEAL ��� ��

¶ �� �� WebSEAL ��� ��

¶ ���� �� �� � �� ��

¶ CA �� ��� �� � �

¶ ������� �� �� � �������� �� ��

¶ ��� �������� �� ������� �� ��

� ��� ��� � iKeyman� ���� �� �� ��� ��

253 ���� �iKeyman�� �� ��� ������.

CRL � ��CRL(Certificate Revocation List) �� �� ��� ��� ���

�� ������. CRL ���� �� ��� ��� �����.WebSEAL� ���� SSL� GSKit �� CRL ��� �����.GSKit WebSEAL� ����� ���� CRL ��� ����

SSL junction���� ��� � ��� ���.

WebSEAL CRL ��� ���� � � ��� ��� �� �

��. ��� ���� � CRL ��� ��� ��� � ��

LDAP � � �� ���� webseald.conf �� ��� [ssl] �

��� ����.

[ssl]#ssl-ldap-server = <server-name>#ssl-ldap-server-port = <port-id>#ssl-ldap-user = <webseal-admin-name>#ssl-ldap-user-password = <admin-password>

�����, CRL �� ��� � ����(���� ��� ��).��� ���� � CRL ��� ����� � ���� ���

��� ��� �� ������.

ssl-ldap-user� �� �� SSL �� ���� �� �����

LDAP � � ������ ��� �� �����.

44 �� 3.8

�� QOP(Quality of Protection) �� ��QOP(Quality Of Protection)� ���� SSL(HTTPS)� �

WebSEAL� ���� � ��� �� ��� �� ��� � �

���. �� QOP �� webseald.conf �� ��� “SSLQUALITY OF PROTECTION MANAGEMENT” ���� ���

� ���� �����.

¶ ssl-qop-mgmt ���� QOP � �� � �� ���

¶ [ssl-qop-mgmt-default] ����� ��� ��� � ��

1. QOP � ��:

[ssl-qop]ssl-qop-mgmt = yes

2. HTTPS ��� �� �� ��� � ��:

[ssl-qop-mgmt-default]# default = ALL | NONE | <cipher-level># ALL (enables all ciphers)# NONE (disables all ciphers and uses an MD5 MAC check sum)# DES-40# DES-56# DES-168# RC2-40# RC2-128# RC4-40# RC4-128default = ALL

�� �� ��� ��� �� ����.

[ssl-qop-mgmt-default]default = RC4-128default = RC2-128default = DES-168

�� ��� � ����� �� QOP ��ssl-qop-mgmt = yes ��� �� [ssl-qop-mgmt-hosts] �

[ssl-qop-mgmt-networks] ���� ���� �� �����. ��

���� �� ���/����/����� IP ��� QOP �� �

���.

45Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

[ssl-qop-mgmt-default] ���� [ssl-qop-mgmt-hosts] �

[ssl-qop-mgmt-networks] ����� ���� �� �� IP ��� �

��� ��� �����.

���� �� �� �� ��:

[ssl-qop-mgmt-hosts]# <host-ip> = ALL | NONE | <cipher-level># ALL (enables all ciphers)# NONE (disables all ciphers and uses an MD5 MAC check sum)# DES-40# DES-56# DES-168# RC2-40# RC2-128# RC4-40# RC4-128xxx.xxx.xxx.xxx = ALLyyy.yyy.yyy.yyy = RC2-128

����/������ �� �� �� ��:

[ssl-qop-mgmt-networks]# <network/netmask> = ALL | NONE | <cipher-level># ALL (enables all ciphers)# NONE (disables all ciphers and uses an MD5 MAC check sum)# DES-40# DES-56# DES-168# RC2-40# RC2-128# RC4-40# RC4-128xxx.xxx.xxx.xxx/255.255.255.0 = RC4-128yyy.yyy.yyy.yyy/255.255.0.0 = DES-56

[ssl-qop-mgmt-hosts] � [ssl-qop-mgmt-networks] ���� ���

�� ��� �����. Policy Director 3.8 ����� ���� �

� �� ����.

46 �� 3.8

�� ������ �� � �� ��Management Server� ��� �� policy ������ � ���

� �� �� Policy Director � � �� �� �� ��� ���

�. Policy Director ��� ���� � ���� �� � policy� �� � ����. Management Server� � policy ����

��� ��� ��� �� ������� ��� ��� ����.

Management Server� ��� �� ������ �� �� policy �

��(WebSEAL �)� ���� � ���� �� ��� ���

���� ��� ���� �� ��� �� � ����. �� ��

policy ���� ��� �� ��������� � ������ �

�� ��� ���.

�� �� � policy ����� WebSEAL�� �� ������

�� � ��� ���� � �� ��� ����.

¶ Management Server���� �� �� ��(�� ����, ���

�� ���)

¶ ���� ���� ��� �� ������ ��( )(�� ���

�, ����� �� ����)

¶ �� � � � ��

webseald.conf �� ��� [aznapi-configuration] ����� ��

�� �� � ������ ��� �� ���� �� ����.

WebSEAL� �� ��� �� policy ������� ��� db-file ���� �����.

[aznapi-configuration]db-file = /var/pdweb/db/webseald.db

� �� �� ��listen-flags ���� WebSEAL� �� �� �� ��� �� �

�� ����� ���. ��� ��� ���� ����. ��� �

� ����� ��� “disable”� ������.

47Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

[aznapi-configuration]listen-flags = enable

tcp-port ���� ���� �� TCP ��� �����.

[aznapi-configuration]tcp-port = 12056

udp-port ���� ���� �� TCP ��� �����.

[aznapi-configuration]udp-port = 0

�� ������ �� ���� ��� � ����� ��� �� ������� ���

WebSEAL� ��� � ����. cache-refresh-interval ����

“default”, “disable” �� � ��� �� �� ���� �� � �

���. “default” � 600�� ����. �����, � ��

� � ����.

[aznapi-configuration]cache-refresh-interval = disable

����� WebSEAL �� ��

�: �� ��� Policy Director� �� ��� �� �� pdadminserver modify baseurl �� ����.

��� �� ����� ���� WebSEAL � � ���� �

�� ��� � failover ��� ���� �� ����. ����

WebSEAL � � ���� � � �� � ��, junction �����

� � dynurl ������� ��� ��� ����� ���.

� �� Policy Director� �� �� ��� ��� ����

WebSEAL � � ��� �����. pdadmin � �� � �

��� ���� ����.

�� ���� “WS1” �� WebSEAL � � ��� ���,“WS2”� ��� WebSEAL � � ��� ����.

48 �� 3.8

1. WS1 � � WS2 � �� WebSEAL� ��� ������.

2. WS2�� WebSEAL� ������.

3. WS2�� webseald.conf �� ��� server-name ��� �

� “WS2”�� “WS1”� �����.

[server]server-name = WS1

4. WS2�� WebSEAL� �������.

WS2 � � �� �� ��� �� ��� /WebSEAL/WS1 �� �

� �����. WS2 � �� /WebSEAL/WS1 �� ���� ��

�� �� object list � object show �� � �� � ���

�.

pdadmin ����� �� /WebSEAL/WS2 �� �� �� � ��

� ���� �����, ��� ���� ��� � ����.

pdadmin> object delete /WebSEAL/WS2

�� �� ����.

¶ �� �� � �� �: ��� �� �� � �� ��� �

� ����� �� �� WebSEAL � � � �� � ��

��� ���� � �� ��� �� �� � � ���

�� �� � ����.

¶ �� �� ��: WS2 � � WS1 � � ������ ���

� WS2 � � /WebSEAL/WS1� �� ��� �� ��� ��

���.

¶ �� ��: ���� WebSEAL ��� ��� ���� �

�� � ��, junction ������ � dynurl ������ ��

� � � �� ��� ���.

49Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

�� HTTP �� ��WebSEAL ���� ��� ��� ���� � �� ��� HTTP�� ��� �������.

¶ request.log

¶ agent.log

¶ referer.log

�����, �� �� �� ������ �������.

UNIX: /var/pdweb/www/log/

Windows: C:\Program Files\Tivoli\PDWeb\www\log\

HTTP �� ��� �� ���� webseald.conf �� ���

[logging] ���� ����.

�� � HTTP �� �� �� �� ��� �� ����.

�� � �� ��� ��/�� ��� ���

(= yes �� no)

request.log requests-file ��

referer.log referers-file ���

agent.log agents-file ����

�� ��, request.log ��� �� ��� �� �� �� ��

�����.

UNIX:

requests-file = /var/pdweb/www/log/request.log

Windows:

requests-file = \Program Files\Tivoli\PDWeb\www\log\request.log

50 �� 3.8

HTTP �� �� �� � �� ��������, �� HTTP �� �� �����.

[logging]requests = yesreferers = yesagents = yes

� ��� �� �� ����� ����� �� ���� � ���

�. �� ���� “no”� ��� ��� �� � ��� �

��� � ����.

���� �� ���� ��� �� ���� �(GMT)� �� ����� � ��

� ����� ��� � ����. �����, �� ���� ��

�� �����.

[logging]gmt-time = no

GMT ����� ����� �� �� �����.

gmt-time = yes

�� �� �� ��� ��max-size ���� � HTTP �� ��� �� ��� ����, �

��(���) �� ����.

[logging]max-size = 2000000

�� ��� �� �(�� ����� ��)� ���� ��� �

� �� � ����� �� � �� ��� �����. �� �� �� ��� �����.

�� ��� �� max-size �� ��� �� ����.

¶ max-size �� 0�� � ��(< 0), �� �� ��� ���

�� ���� ���� ���� ��� ��� ��� ����

��� 24���� � �� �����.

51Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

¶ max-size �� 0� ��(= 0), �� � ���� �� �� ��

���� �����. �� ��� �� ��� ���� ��

���� �����.

¶ max-size �� 0�� � ��(> 0), �� ��� �� ����

���� �� � �����. ��� � �� �� ��� ���

���� �� ���� �����.

�� �� � ��� �� � ���� �� ��� ���� �����. ���� �� ��

� ��� � ��, � � �� �� � ��� � ��� ��

���� � � ����.

�����, �� �� 20�� � �� �����.

[logging]flush-time = 20

��� ��� ���� �� ��� �� � �����.

request.log� ���� �� �� ��WebSEAL ��� junction ������ � ��� �� HTMLURL� ���� �����. webseald.conf �� ��� [filter-url]���� ��� � ���� ��� WebSEAL� ���� URL �

�� �����. ��� �� 179 ���� �Junction � �� �

� HTML URL �� �� ������.

��� junction � ��� �� � ��� � URL� ���

� �� ��, WebSEAL �� �� junction ���� ���� URL���� �����. ����� ���� ����� ����� URL� ��� � ����.

���� ����� �� ���� �� �� ��� junction �

�� WebSEAL� �� �� ���� �� � ����.

� �� Policy Director WebSEAL� ���� request.log ��

� � ���� �� ��� ��� � ����(�� ��). ��

52 �� 3.8

��� ��� ���� � ��� ��� ����� webseald.conf�� ��� [logging] ���� �� log-filtered-pages ����

�� � ����.

���� � ��� ��� ����� ���� “yes”(���)�

�����.

[logging]log-filtered-pages = yes

�� ��� ��� ����� ���� “no”� �����.

[logging]log-filtered-pages = no

HTTP �� �� ��(request.log)Policy Director � � �� �� �� �(�� �� )� ��

� HTTP �� �� ��� ���� request.log ��� � �� �

��� �����.

host - authuser [date] request status bytes

���,

host ���� ��� IP ��� �����.

authuser � ��� �� HTTP ��� From: � �� �

���. “unauth”� � ���� � ����� �

����.

date ��� � � ��� �����.

request ������� � ��� ��� �� �����.

status ���� ��� �� �� HTTP �� �� ��

���.

bytes ���� ��� �� �� ��� �� �����.� � ���� � �� ���� �� ����

log-filtered-pages ���� �����.

53Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

request.log �� ��request.log� �� URL� �� �� �� � ��� �� �

���� �� ��(�: IP ��) � HTTP ��� ��� �

����.

�� ��� request.log ��� � ����.

130.105.1.90 - - [26/Aug/2001:17:23:33 -0800]"GET /xsmith/private_html/ HTTP/1.0" 403 77

130.105.1.90 - - [26/Aug/2001:17:23:47 -0800]”GET /icons HTTP/1.0" 302 93

130.105.1.90 - - [26/Aug/2001:17:23:59 -0800]"GET /icons/ HTTP/1.0" 403 77

130.105.1.90 - - [26/Aug/2001:17:24:04 -0800]"GET /xsmith/private_html/ HTTP/1.0" 403 77

130.105.1.90 - - [26/Aug/2001:17:24:11 -0800]"GET /xsmith/ HTTP/1.0" 403 77

agent.log �� ��agent.log �� HTTP ��� �� User_Agent: �� ��� �

����. � ��� � ��� � ��� � �� � ���

� ����� �� ��� �����.

�� ��� agent.log ��� � ����.

Mozilla/4.01 [en] (WinNT; U)Mozilla/4.01 [en] (WinNT; U)Mozilla/4.01 [en] (WinNT; U)Mozilla/4.01 [en] (WinNT; U)

referer.log ��referer.log� HTTP ��� Referer: �� �����. � ���

� � ��� �� ��� �� �� �� ��� �����.

� ��� ��� ��� �����.

referer -> object

� ��� � ���� ��� �� �� �� ���� � ����

�. � ��� referer� � ��� ��� object� �� �� �

����� �����. � ��� �� �� ���� ���� �

�� �� �� �� �� ���� � ��� ���.

54 �� 3.8

�� ��� referer.log ��� � ����.

http://manuel/maybam/index.html -> /pics/tivoli_logo.gifhttp://manuel/maybam/pddl/index.html ->/pics/tivoli_logo.gifhttp://manuel/maybam/ -> /pddl/index.htmlhttp://manuel/maybam/ -> /pddl/index.htmlhttp://manuel/maybam/pddl/index.html ->/pics/tivoli_logo.gifhttp://manuel/maybam/ -> /pddl/index.html

55Tivoli SecureWay Policy Director WebSEAL �� ���

2.W

ebS

EA

L�

��

56 �� 3.8

WebSEAL �� policy

� ��� WebSEAL � policy� ���� ���� �� ��� �

�� ��� � �� ��� ���� ����.

�� �� �� ����.

¶ �WebSEAL �� ACL policy�

¶ 59 ���� �3 ����� ��� policy�

¶ 61 ���� ��� �� policy�

¶ 65 ���� ��� �� POP policy(step-up)�

¶ 72 ���� ����� � �� POP policy�

¶ 75 ���� �QOP(Qualtiy of Protection) POP policy�

¶ 76 ���� ����� � ��� ��(HTTP/HTTPS)�

WebSEAL �� ACL policy��� � ����� �� �� � �� � /WebSEAL ����

� �����.

¶ WebSEAL �� �� �� � ��� WebSEAL region� ��

ACL ��� ��� ���

¶ �� �� ACL� ���� ��� � �� �� �� � ��

� � policy� (��� �) ���

3

57Tivoli SecureWay Policy Director WebSEAL �� ���

3.W

ebS

EA

L�

�p

olicy

¶ � �� � � �� ��� �� �� ����� Traverse(T)��� ���

Policy Director ACL policy� �� ��� �� Tivoli SecureWayPolicy Director Base � ��� ������.

/WebSEAL/<host>� ������ �� WebSEAL � � � ��� �� ����. �

�� � ����� � �� �� �����.

¶ � �� ��� �� �� ����� Traverse(T) ��� ��

¶ �� �� ACL� ���� ��� � �� �� � ��� �

� �� �� � ��� � policy� (��� �) ���

/WebSEAL/<host>/<file>�� HTTP ��� � ���� �� �� ����. �� �

� �� ��� �� ����.

WebSEAL ACL ���� � �� � ��� WebSEAL region� ��� � �� ACL��� � ����.

�� ��

r � � �� � ��

x � CGI ���� �

d �� � ���� � �� � ��

m �� HTTP �� � ��(HTTP �� �� WebSEAL �

� � ��� �� - ��)

l �� � ��� �� ���� ��� ���� �

Management Server� ���

� �� �� “index.html” ���� ���� ��

�� ����� ����� ��� � � ��� �

�� ��

58 �� 3.8

�� ��

g �� ����� ���� ����� WebSEAL � �

��� ���� � ��� junction WebSEAL �

� ��

� /WebSEAL ACL policyWebSEAL ACL� default-webseal� � �� �� ����.

Group iv-admin TcmdbsvarxlGroup webseal-servers TgmdbsrxlUser sec_master TcmdbsvarxlAny-other TrxUnauthenticated T

��, ��� �� ACL �� � ��� /WebSEAL ���� �

� �� �����.

webseal-servers ���� � ���� � WebSEAL � � �� �

�� �� ����. �� ��� ���� � � ���� ��� �

� � ����.

Traverse(T) �� Web Portal Manager� � � �� � ��

� �� ����. �� ��� ���� Web Portal Manager� ���� ��� �� � ����.

3 ����� ��� policyLDAP � Policy Director �� �� ��� 3 ����� ���

policy� ���� �� ��� �� ��(n) � �� �� ��

(x)� ���� “n”�� ��� �� �� “x”� � �(��

��� ���� ��) � ����.

3 ����� ��� policy� ��� �� ��� �� � �����.Policy� ��� � ��� ��� �� �� ���� �� �

� � ����� �� ��� �����. �� ��, policy� � �

� �� � 180� �� ��� ��� � ����. � �

59Tivoli SecureWay Policy Director WebSEAL �� ���

3.W

ebS

EA

L�

�p

olicy

�� policy� �� 1� ��� � ��� ��� � � �� �

�� �� ��� ��� ��� �� � ����.

3 ����� ��� policy�� �� � �� pdadmin policy �

�� �����.

¶ � ��� ��� �� ��

policy set max-login-failures

¶ ��� �� � �� �� ��

policy set disable-time-interval

�� � �� �� �� �� �� ��� ��� �� ��

� �� ��� � ����.

�� ��, ��� policy� � �� �� �� �� �� �

��� �� ��� ��� � �� ����� ���� ���

� ��� �� policy� � ����� ��� ��� � ���

�� � ���� �����.

�� �� � ��� �����(�� � �� �� 60�).

disable-time-interval policy� “disable”� ��� ��� ����

�� ���� � ���� �� �� LDAP �� �� “no”�

����. ��� Web Portal Manager� � ��� �� ���

� ����.

�: disable-time-interval� “disable”� ��� �� � � ��

� �����. �� �� ��� WebSEAL � � ��� ��

��� ��� � ����. � �� LDAP ��� �� ���

�. �� �� LDAP �� �� ��� �� ��� �� �

� ��� �� �� ����. ��� ��� ��� ��� �

��� �� ����.

60 �� 3.8

� ���� pdadmin � LDAP ������� ��� �� �����.

�� ��

policy set max-login-failures {<number>|unset} [-user <username>]

policy get max-login-failures [-user <username>]

��� ��� �� � ��� �� �� ���

���� policy� ����. � � policy setdisable-time-interval �� �� ��� �� ���

�.

���� ��� policy� �� ����� �����

LDAP ������ �� �� ����� �����

��� � ����.

�� � 10�� �����.

policy set disable-time-interval {<number>|unset|disable} [-user<username>]

policy get disable-time-interval [-user <username>]

� ��� �� �� ��� ��� ��� ��� �

� ����� � ��� ���� �� policy� �

���.

���� ��� �� policy� �� ����� ��

��� LDAP ������ �� �� ����� �

���� ��� � ����.

�� � 180����.

�� �� policyLDAP � Policy Director �� �� ��� �� �� policy�

�� policy �� �� �� �� ��� �����. Policy Director� �� � �� �� �� policy �� ��� �����.

¶ 5 pdadmin �� policy �

61Tivoli SecureWay Policy Director WebSEAL �� ���

3.W

ebS

EA

L�

�p

olicy

¶ �� policy� ���� �� ��� � �� PAM(PlugableAuthentication Module)

Tivoli SecureWay Policy Director WebSEAL Developer Reference� ������.

pdadmin ����� �� ���� �� �� policypdadmin ����� � �� 5�� �� �� �� �� ��

��.

¶ �� �� ��

¶ �� ��� �

¶ �� � ��� �

¶ �� � �� �

¶ ��� ��

pdadmin �� Web Portal Manager� ���� ��� �� ��

� pdadmin, Web Portal Manager �� pkmspasswd �����

�� �� � policy� �� �����.

� ���� pdadmin � LDAP ������� ���� ���� ��

���. unset �� � policy ��� ��� � �� ���. �,policy� �� ���� ����.

�� ��

policy set min-password-length {<number>|unset} [-user <username>]

policy get min-password-length [-user <username>]

��� �� ��� ���� policy� ����.

���� ��� policy� �� ����� �����

�� ������ �� �� ����� ����� �

�� � ����.

�� � 8���.

62 �� 3.8

�� ��

policy set min-password-alphas {<number>|unset} [-user <username>]

policy get min-password-alphas [-user <username>]

��� � ���� ���� ���� policy� �

���.

���� ��� policy� �� ����� �����

�� ������ �� �� ����� ����� �

�� � ����.

�� � 4���.

policy set min-password-non-alphas {<number>|unset} [-user <username>]

policy get min-password-non-alphas [-user <username>]

��� � � ���(��)� ���� ����

policy� ����.

���� ��� policy� �� ����� �����

�� ������ �� �� ����� ����� �

�� � ����.

�� � 1���.

policy set max-password-repeated-chars {<number>|unset} [-user<username>]

policy get max-password-repeated-chars [-user <username>]

��� � � ��� ���� ���� policy�

����.

���� ��� policy� �� ����� �����

�� ������ �� �� ����� ����� �

�� � ����.

�� � 2���.

policy set password-spaces {yes|no|unset} [-user <username>]

policy get password-spaces [-user <username>]

63Tivoli SecureWay Policy Director WebSEAL �� ���

3.W

ebS

EA

L�

�p

olicy

�� ��

��� �� �� �� ��� ���� policy� ��

��.

���� ��� policy� �� ����� �����

�� ������ �� �� ����� ����� �

�� � ����.

�� � � �������.

� policy ���� ��� � policy ��� � ���� ��� ����.

��� ���

min-password-length 8

min-password-alphas 4

min-password-non-alphas 1

max-password-repeated-chars 2

password-spaces ��� ��

Policy Director� �� ����� ���� �� policy� �����

�� �� 5�� �� ���� unset ��� ������.

�� ��� �� � ��� ���� ��� 5�� pdadmin ���� ���� ��� �� �

�� �� �� policy �� �����.

�� �

password ���� ��. ��� ��� ���� �� ��� �

�� �

pass ���� ��. ��� 8�� ��� ��� �

passs1234 ���� ��. � � ��� ��� ��� ���

12345678 ���� ��. ��� � �� ���� ��� �

password3 ��

64 �� 3.8

�� ��� � ��� ��pdadmin policy � �� ���� � ��(- user ���� �

�) � �� ��� �� �� ����(- user ��� ���� �

�). �� �� ��� � policy� �� �� �� �����.���� �� ���� �� ��� ���� policy ���� �

��� ��(unset) �� ����. unset ��� �� �� policy� �

��� �� �� ���� ����.

�� ��, �� ����.

pdadmin> policy set min-password-length 8

pdadmin> policy set min-password-length 4 -user matt

pdadmin> policy get min-password-length

Minimum password length: 8

pdadmin> policy get min-password-length -user matt

Minimum password length: 4

(��� matt� � �� �� �� �� policy� ����. �� ��

���� 8�� �� �� policy� ����.)

pdadmin> policy set min-password-length unset -user matt

(�� ��� matt� 8�� �� �� �� �� policy� ���

�.)

pdadmin> policy set min-password-length unset

(�� ��� matt� ��� �� ���� �� �� �� policy� �

�� ����.)

�� �� POP policy(step-up)�� �� POP policy� ���� �� �� ���� �� ����

��� �� �� �� ��� ��� � ����.

65Tivoli SecureWay Policy Director WebSEAL �� ���

3.W

ebS

EA

L�

�p

olicy

Step-up ������ ��� � ��� ���� �� ��� ���

���� ���� �� ��� �� ���� ���� � � ��

��. �� ��� �� ��� ��� ���� ���� � ���

�� � ����.

�� ��, ��� WebSEAL ���� �� � ����� ���

� ��� ��� �� ��� ��� step-up POP policy� ���

� � ��� junction region� ��� �� ��� � ����.

�� �� policy� POP policy� IP ����� �� �����

����.

Step-up ��� �� �� ���� �� �� ��� � �� ��� ���� �� ���� ��

�� � �� ���� ��� �� ��� ���� ����.

WebSEAL � � ���� �� ����� ����� ���

�� WebSEAL� ��� � ��� ���� “���� ��” ��

“��” � �� �� ����.

�� ���� �� � �� �� �� ���� � ��� ��� �

� “�” �� ���� �� �����. �� ��, ��� ���

� �� ��� �� �� ��� ��� ��� �� ����

�� ��� �����. � �� �� �� � �� � ���

�.

����� ��� �� �� �� ���� �� � ����

� WebSEAL� ��� ����� �� � �� ����. Step-up�� ��� �� ���(�)� ���� �� ��� � �� �

�� ��� ����� �����.

Step-up ���� ���� ��� ���� � �� �� ��� “” �� �� ��� ��� ���� � � “���” ����

�� ��� ��� �����. ��, �� �� ����

66 �� 3.8

�� ��� ���� �� �� � ��� ����. ���� �

�� ��� ��� � ��� ��� ��� ����.

WebSEAL step-up �� ����� ���� �� � �� �� �

��(�)� �����.

¶ ���� ��

¶ ��

¶ �� ��

webseald.conf �� ��� [authentication-levels] ����� ��

�� ������. ���� � �� �� �����.

[authentication-levels]level = unauthenticatedlevel = password

� ����� ����� ��� ��� ��� 0 - 2� � ��

� �����.

¶ “Unauthenticated” ���� ��� ���� � ��� ��� �

�� � �� 0� �����.

¶ � ���� �� �� ��� � ����.

71 ���� �Step-up �� �� � ������ ������.

¶ �����, �� � �� 1� �� “password”� �����.

¶ Step-up ��� ����� ��� � �� ��� ��� ���.

�: ��� �� ��� �� �� ��� �� 79 ����

�WebSEAL ���� ������.

Step-up �� ��Step-up �� ��� �� �� ��� ��� �� �� ��� POPpolicy� � �����. POP policy� IP ����� �� ��� �

�� ������.

67Tivoli SecureWay Policy Director WebSEAL �� ���

3.W

ebS

EA

L�

�p

olicy

pdadmin pop modify set ipauth � IP ����� �� ���

��� � ���� � �� �� �� �����.

�� �� � IP �� ��� �� � ����. � ����

��� ���� �����. IP ��� ���� �� �� �� ��

�� ��� anyothernw(�� �� ����)� � �� ���

�� � ����. � � IP ��� ��� ���� �� ��

��� ��� �� �� ���� ��� �����. �� step-up�� ��� �� � ��� ������.

��:

pdadmin> pop modify <pop-name> set ipauth anyothernw <level-index>

anyothernw �� POP� �� ���� � �� ��� ���

� ���� ���� ��� �����. � ���� ���� ��

�� IP ��� ����� �� � ����� ���� ���

��� ��� �� ��� ���� � �����.

�����, anyothernw� �� � �� 0�� POP� �����.� �� pop show �� “Any Other Network”� �����.

pdadmin> pop show testProtected object policy: testDescription: Test POPWarning: noAudit level: noneQuality of protection: noneTime of day access: sun, mon, tue, wed, thu, fri, sat:

anytime:localIP Endpoint Authentication Method policy

Any Other Network 0

��

1. webseald.conf�� �� �� ������.

[authentication-levels]level = unauthenticatedlevel = token-card

2. IP ����� �� ��� POP ��� ������.

68 �� 3.8

pdadmin> pop modify test set ipauth anyothernw 1

pdadmin> pop show testProtected object policy: testDescription: Test POPWarning: noAudit level: noneQuality of protection: noneTime of day access: mon, wed, fri:anytime:localIP Endpoint Authentication Method policy

Any Other Network 1

� policy�� ��� “unauthenticated”(� 0)� ���� ��

���� � �� �� �� ���(� 1)�� step-up� ��

���. POP policy� � ���� �� �� ��� ����,���� � �� ������ ��� � �� ��� �

���� � ��� �����.

�� 72 ���� ����� � �� POP policy�� �����

�.

Step-up ��� ��WebSEAL �� ����� step-up POP policy� ����� �

��� ���� �� �� ��� �����. � HTML ��� ��

� webseald.conf �� ��� [acnt-mgt] ���� �� stepup-login���� � �����.

[acnt-mgt]stepup-login = stepuplogin.html

� HTML ��� login.html �� tokenlogin.html ��� ��� �

� ���� ����� �� ��� � ����.

� ���� %TEXT% �� ���� ���� ���, � ��

� ��� �����. � ��� WebSEAL� ���� �� �� �

� ��� ���� ��� �!��� �� � �� �� ���� �

�� ����� ���. � ��� � ��� � � �� ��

� ���� �� ���� ����� � �� ����.

69Tivoli SecureWay Policy Director WebSEAL �� ���

3.W

ebS

EA

L�

�p

olicy

Step-up �� ����WebSEAL �� ��� ���� POP� �� ��� ����

�.

�� 11. ��� � � �� step-up ��� �� ��� ��

�� 12. SecurID �� �� step-up ��� �� ��� ��

70 �� 3.8

1. POP� �� IP ����� �� ��� policy ��

2. ACL �� ��

3. POP� �� �� policy ��

4. POP� �� �� � policy ��

Step-up �� �� � ����

1. Step-up �� HTTP HTTPS� � �� �����.

2. HTTP ������ HTTPS�� step-up� � ����.

3. ���� �� � ���� ��� � �� ����� �� �

�� �� !� ���� ���.

4. ���� � ���� � �� ��� � ����.

5. ��� �� step-up ��� ���� ���� ����.

�: Step-up �� �� ����� ���� ��� ����

�����. ����� ����� ���� WebSEAL�

���� WebSEAL� ���� ���� �� ��, �

���� 0� � �� �� ���� � ��� ����

�.

�� ���� ���� step-up ��

���� �� �� �� ��

�� �� ��

�� �� ��

6. �� � �� ���� � ����. �� � �� ��

� �� ��� �� ��� �� ������ �� ����

�.

�� ���� �� ��� � ��� �� �� ��� � �� �

� �� ���� � �����.

��� �� ��� ��� �� ����� ���� WebSEAL�� �� �� �� ���� ��� ���� �����.

71Tivoli SecureWay Policy Director WebSEAL �� ���

3.W

ebS

EA

L�

�p

olicy

7. � �� �� �� ��� ��� �� � 0, 1, 2���. �

� �� �� ���� ��� WebSEAL POP� �� �� �

� �� ��� ��� � ���� �����.

8. webseald.conf �� ���� step-up �� �� ���� ��

���� ��� WebSEAL ��� step-up ��� �� ����

� ���. ��� �� �� �� �� ���� ��� ��

POP� � ���� �� �� � �� ��� ���� ��

�� � � ��� �� �� ��� ���� � ����.

step-up �� �� ��� �� webseald.log ��� ���

� �� � ���� ��� ������.

���� �� �� POP policy���� � �� POP policy� ���� IP ��� ��� � �

� �� �� �� ��� ���� ���. � ��� ���� �

� IP ��(�� IP �� ��)� � ���� �� ��� ���

� �� �� � ����.

�� � policy� step-up �� ��� ��� � ��� ��� ��

IP �� ��� �� �� �� ���� ��� �� ����.

���� � �� policy� POP policy� IP ����� �� ��

� ���� ����. � ��� �� � � �� ����� �

�� ���.

¶ �� �

¶ � ����

�� �� ��WebSEAL step-up �� ����� ���� �� � �� �� �

��� �����.

¶ ���� ��

¶ ��

72 �� 3.8

¶ �� ��

� ����� ����� ��� ��� ��� 0 - 2� � ��

� �����.

webseald.conf �� ��� [authentication-levels] ����� ��

�� ������. ���� � �� �� �����.

[authentication-levels]level = unauthenticatedlevel = password

���� � ��� ��� � � �� �� ��� � ����. ���, “unauthenticated”� � 0�� “password”� � 1���.

�� 66 ���� �Step-up ��� �� � ���� ������.

IP �� � �� ���� POP policy� � ��� IP �� � IP �� ��� ��

� ���.

pdadmin pop modify set ipauth add � IP ����� �� �

�� ��� �� ����(�� ���� ��) � �� �� �� �

����.

��:

pdadmin> pop modify <pop-name> set ipauth add <network> <netmask><level-index>

�� �� � IP �� ��� ����. � �� ���� �

��� �� ����. IP ��� ���� �� �� �� ���� �

�� anyothernw(�� �� ����)� � �� ��� �� �

����. � � IP ��� ��� ���� �� ����� �

�� �� ���� �� ��� ��� ���.

��:

pdadmin> pop modify <pop-name> set ipauth anyothernw <level-index>

73Tivoli SecureWay Policy Director WebSEAL �� ���

3.W

ebS

EA

L�

�p

olicy

�� �� �� ���� IP ��� �� � ���� ��

�� ����� ���� ��� � 0� ���� ����� ��

� “���”� ������.

anyothernw �� POP� �� ���� � �� ��� ���

� ���� ���� ��� �����. � ���� ���� ��

�� IP ��� ����� �� � ����� ���� ����

��� ��� �� ��� ���� � �����.

�����, anyothernw� �� � �� 0�� POP� �����.� �� pop show �� “Any Other Network”� �����.

pdadmin> pop show testProtected object policy: testDescription: Test POPWarning: noAudit level: noneQuality of protection: noneTime of day access: sun, mon, tue, wed, thu, fri, sat:

anytime:localIP Endpoint Authentication Method policy

Any Other Network 0

�� � �� �� ��� �� 66 ���� �Step-up ��� �

� � ���� ������.

��IP �� ��� 9.0.0.0�� ������ 255.0.0.0� ���� � �

� 1(����� “password”)� ����� ����.

pdadmin> pop modify test set ipauth add 9.0.0.0 255.0.0.0 1

�� ���� � 0 ��� ����� ����.

pdadmin> pop modify test set ipauth add 9.1.2.3 255.255.255.255 0

�� ���(�� ��� ���� �� � �� ���)� � ��

�� ���� �� ������.

pdadmin> pop modify test set ipauth anyothernw forbidden

74 �� 3.8

IP ��� �� step-up �� �� �����:

pdadmin> pop modify <pop-name> set ipauth remove <network> <netmask>

�� ��, �� ����.

pdadmin> pop modify test set ipauth remove 9.0.0.0 255.0.0.0

���� �� �� ����WebSEAL POP� �� ��� ���� � �� ��� ���

��.

1. POP� �� IP ����� �� ��� policy ��

2. ACL �� ��

3. POP� �� �� policy ��

4. POP� �� �� � policy ��

���� �� �� �� � �������� � �� policy� �� ���� � WebSEAL� ���

� IP ��� TCP �� ���� IP ���� ���. ���� �

��� HTTP ���� ���� ��, WebSEAL� ���� ���

��� � � IP ��� � ����.

� ��, WebSEAL �� ���� IP ��� ���� ��� �

����. ���� ����� WebSEAL � � �� ��� � �

� ���� � �� policy� ��� �� ��� ���.

QOP(Qualtiy of Protection) POP policyQOP(Qualtiy of Protection) POP ��� ���� �� � �� �

�� ��� �� �� ��� � ����.

�� � �� WebSEAL ���� �����.

QOP(Qualtiy of Protection) POP �� �� �� Policy Director�� ��� � � ��� ����� ����� “P” � “I” ACL �

75Tivoli SecureWay Policy Director WebSEAL �� ���

3.W

ebS

EA

L�

�p

olicy

� ��� ��� ����. �� QOP(Qualtiy of Protection)� �

� ��� ��� �� � ��� ���.

QOP POP �� ACL ��� �� “yes” �� �� QOP(Qualtiyof Protection)� ���� �� ����� ����. �� ��(�: WebSEAL)� �� �� �� ��� ��� ��� �����.

pdadmin> pop modify <pop-name> set qop {none|integrity|privacy}

QOP �� ��

����� ��� ���� �����(SSL).

��� ���� ��� ��� �� �� ���� �����.

�� ��, �� ����.

pdadmin> pop modify test set qop privacy

���� � ��� ��(HTTP/HTTPS)WebSEAL HTTP � HTTPS� � �� ��� ���� �

���� ��� �����. �� �� WebSEAL �� �� �

��� �� �� ��� �� ��� ���� ���� � policy� �����.

�� �� SSL� � ����, ���� � ����� ���

��.

¶ ���� � ��� WebSEAL ��� �� � �� �

��� �� � ����� ������.

¶ ���� � ��� WebSEAL ��� SSL ���� � � �

�� �����.

��� ��������� �� ��

1. �� ����� WebSEAL� �����(HTTP �� HTTPS� �).

76 �� 3.8

2. WebSEAL ����� �� ���� � ��� �����.

3. �� �� �� �� � �� �� �����.

4. �� �� ���� � �� �� �� ACL� ���� � �

���� ��� ���� �� ��� ���� �����.

5. � �� ��� ���� ��� Read(r) � Traverse(T) ���

����, ���� � ACL ��� �� ����.

6. ��� �� ��� �� ����� ��� ��(BA �� �

� ��)� ���.

��� ��� ��� �� �� ���� ACL policy� ��, ���� � ���

��� ��� ��� ���� � ���� ���� ��� � �

���.

Read(r) � Traverse(T) �� � �� �� �� ���� �

��� ����.

���� � ���� ���� ����� � �� �� ����

�� ACL policy� ��, ���� � ���� Read(r) ��� �

�����. ���� ��� � ��(BA �� �� ��)� ���.

���� � HTTPS� �����HTTPS� �� WebSEAL�� ���� � ��� ���� ��

� ��� ������ ��� ����.

¶ �� ������ �� ���� ���� �� ��� �� �

� �� � ��� ��� �����. ��� �� ���

�� ���� �� � ����.

¶ �� ������ ����� ���� �� ���� ���

��� �� �����. �����, ��� ��� ����� �

����� ���.

77Tivoli SecureWay Policy Director WebSEAL �� ���

3.W

ebS

EA

L�

�p

olicy

ACL/POP policy� ���� � ��� �

�: “�� ���” �� �� “any-other” �� �� ����.

1. ���� � ���� �� �� �� ��� ���� ��

� ���� �� � �� ��� ��� �� Read(r) �

Traverse(T) ��� �� ACL� �� ��� ������.

���� �� Tr�� ��� Tr

�: ���� �� �� ��� ��� � � ��� ��� �

� ���(“and” �� ��)���. ���� ��� �� ��

��� � ��� ���� ���� ���� �����.���� �� � ���� � ��� � ���, ACL�� ��� �� ���� ��� ���� � �� ��� �

���. ACL� � ��� �� ���� ��� �� ��,�� � ���� ��� ��� ���� �� ����.

2. ���(SSL)� ����� ��� �� ���� ����

POP(Protected Object policy)� ��� ������.

��� �� 75 ���� �QOP(Qualtiy of Protection) POPpolicy�� ������.

78 �� 3.8

WebSEAL ��

� ��� WebSEAL� �� ��� ������ ��� ���� �

�� � ���. ���� �� ���� ���� PolicyDirector ��� ����. WebSEAL � ��� ���� ����

�� ��� ����. �� �� �� ���� � ���� �

� ��� �� ��� ���� �����.

�� �� �� ����.

¶ 80 ���� ��� ����� �� ��

¶ 83 ���� ��� �� ��

¶ 94 ���� ��� �� ���

¶ 100 ���� ��� �� ���

¶ 102 ���� ��� �� ���

¶ 104 ���� ������ ��� �� ���

¶ 108 ���� �HTTP � �� ���

¶ 111 ���� �IP �� �� ���

¶ 111 ���� ��� �� ���

¶ 113 ���� ������ ��� ���� ���

4

79Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

�� ����� �� ���� � ���� ������ ���� �� ���� �� ��

�� ���� ������.

¶ WebSEAL ����� � �� �� ���� ���� �� �

��� ��� � ��� ���� �� ��� � ����.

¶ WebSEAL� ��� ��� �� Policy Director ��� ���

�� �����.

¶ WebSEAL � ��� ���� ���� �� ��� ����.

¶ �� �� ���� � ��� ���� � �� �� �� policy��� ACL ���� POP ��� ��� �� �� �� �

� ��� ���� �����.

�: ACL = �� �� �� policy POP = �� �� � policy

�� � WebSEAL ���� ���� �� � ��� ��

���.

¶ �� ���

�� ���� ���� WebSEAL � �� �� ��� �

��� �����. �� ���� ����� ��� � �

���� �� � ��� �����. �� WebSEAL � � �

� ���� ��� �� ���� � ��� �� � ��� �

��� � ��� ��� � �����.

¶ �� ���

�� ���� WebSEAL � � ����� ���� ���

�� �����. �� ��� ����� ����� ���, �

� � �� �� ����.

WebSEAL ���� ��� � � �� �� ���� �� �

� ���� � ����. �� ���� ���� �� �� ��

�� ���� ����.

80 �� 3.8

���� �� ��� ��WebSEAL �� � �� ��� ��� �����.

1. SSL ID(SSL ����� � ���)

2. � �� �� �

3. BA � ���

4. HTTP � ���

5. IP ��

WebSEAL ���� ��� ��� � � ��� �� ����

�� ���� �����.

���� �� ��WebSEAL �� ���� ����� ����� ��� ����

� ���� ���� �� ���� ������. �� �� ��

� �� ��� �� � WebSEAL �� ������ �� ��

� �����.

�� � �� ���� WebSEAL� � �� �� � ��

���.

�� �� ��� �

1. failover � HTTP � HTTPS

2. CDSSO ID �� HTTP � HTTPS

3. ����� ��� HTTPS

4. �� �� HTTP � HTTPS

5. �� ��(��� � � ��) HTTP � HTTPS

6. �� ��(��� � � ��) HTTP � HTTPS

7. HTTP � HTTP � HTTPS

8. IP �� HTTP � HTTPS

WebSEAL ���� ��� ��� � � ���� �� ���

� �� ���� �����.

81Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

HTTP � HTTPS �� � �� � �� ���� ����� ��

� �� ����� � � ����. �� ��� � �� �� ��

�� ���� ��� � ��� ���� ����� �� �� �

���� ��� �����.

��� �� ��� �

¶ 83 ���� ��� �� ��

¶ 94 ���� ��� �� ���

¶ 100 ���� ��� �� ���

¶ 102 ���� ��� �� ���

¶ 104 ���� ������ ��� �� ���

¶ 108 ���� �HTTP � �� ���

¶ 111 ���� �IP �� �� ���

¶ 111 ���� ��� �� ���

¶ 113 ���� ������ ��� ���� ���

¶ CDAS ��

Tivoli SecureWay Policy Director WebSEAL Developer Reference� ������.

82 �� 3.8

�� �� ������ � �� � �� �� ���� � � �� �� �

�� �� � �� ��� �� ��� ���� ��� ��� ��

� ���. � � � �� � ����� ���� � �� �

�� �� �� ��� ��� ��� ���.

���� � �� �� �� ��� ��� � � ��� �

���� � �� ��� ��� ���. �� �� ���

����/� ��� �� �� �� �� �� ����� ��

� ������. ����� � � ����� ���� �� ���

� ���� ��� �� ��� � � ����.

WebSEAL HTTP � HTTPS ��� � � �����. HTTP�

“stateless” ������ �� �� ��� ���� �� ��� ��

�� ����. �, SSL �� ���� �� �� ��� ����

�� �� �� ID� ����� �� ����. HTTP ��

HTTPS� ��� SSL �� ���� � ����.

��� WebSEAL �� ���� � �������� HTTP �

�� ��� ���. SSL �� ID� ��� ���� �� �� ��

��. ���� WebSEAL �� �� ��� ���� ����

�� ��� ������� ����.

1. SSL ID

2. � �� �� �

3. BA � ���

4. HTTP � ���

5. IP ��

GSKit � WebSEAL �� ���� ��� ���� � � �� �������� �� ID ���

�� � ����. HTTPS � HTTP �� �� ��� � � ���

� ��� � �� �� ��� �� �����.

83Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

¶ WebSEAL �� ��

WebSEAL �� ��� � ����� � �� �� ��

�� ��� �� ID ��(�� �� ��)� ����.

�� �� � ��� ����� ������� ���� ���

� �� ��� � �� ��� �����.

¶ GSKit SSL �� ID ��

GSKit �� ��� SSL �� ID ��� ���� �� ��� �

���� � HTTPS(SSL) ��� �����.

GSKit ��� �� WebSEAL LDAP ��� ����� ��

SSL ��� �� �� �� ��� �������.

� ��� � ��� ��� ��� � �� �� �� �� �� �

��� ��� � ����. �� �� ��� ���� ��� �

���.

�� 13. �� �� �� ���

84 �� 3.8

WebSEAL �� �� ��WebSEAL ��/�� ��� �� � �� ���� ��� � �

���.

¶ �� �� �� � � �

¶ �� �� ��� � �

¶ �� �� ��� ��� � �

�� �� �� � � ��webseald.conf �� ��� [session] ���� �� max-entires ���� WebSEAL ��/�� ��� �� �� �� �� ����.

� � �� ��� �� �� ����. �� ��� � �� ��

�� � ��� �� ��� �� ���� ��� ���� �

� ���� ���� ����.

�� ��� ��� �� ��� 4096���.

[session]max-entries = 4096

�� �� ���� � ��webseald.conf �� ��� [session] ���� �� timeout ��

�� WebSEAL ��/�� ��� ��� �� �� � ����

����.

WebSEAL �� ��� ����� �����. �� �� ���

���� �� �� ��� WebSEAL� ���� �� �� ���

�����.

���� ��� ���� ����. � “�� ���”� ��

“�� �”� �����. �� �� ��� ��� ���� �

��� �� ����� �� �� ���� �� ����.

�� ��� �� ���(� ��)� 3600���.

85Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

[session]timeout = 3600

�� �� ��� ���� � ��webseald.conf �� ��� [session] ���� �� inactive-timeout���� ��� �� ���� �� ��� �� ����.

�� ��� �� ��� ���(� ��)� 600���.

[session]inactive-timeout = 600

��� ��� ���� ���� ��� �� “0”�� ����

�.

GSKit SSL �� ID �� ���� � �� ���� GSKit SSL �� ID ��� �� ����

�.

¶ �� �� ��� � �

¶ �� �� �� � � �

�� �� ���� � ��GSKit SSL �� ID ��� ��� �� �� � ���� ��

� ���� webseald.conf �� ��� [ssl] ���� ����.SSL V2 ��� �� ���(ssl-v2-timeout) SSL V3 ��� �

� ���(ssl-v3-timeout), ��� � �� ���� ����.

�� SSL V2 �� ���(� ��)� 100���(��� ��� 1-100).

[ssl]ssl-v2-timeout = 100

�� SSL V3 �� ���(� ��)� 7200���(��� ���

1-86400).

[ssl]ssl-v3-timeout = 7200

86 �� 3.8

�� �� �� � � ��webseald.conf �� ��� [ssl] ���� �� ssl-max-entries ���� GSKit SSL �� ID ��� �� �� �� �� ����.

� � �� ��� �� �� ����. �� ��� � �� ��

�� � ��� �� ��� �� ���� ��� ���� �

� ���� ���� ����.

�� ��� ��� �� ��� 4096���.

[ssl]ssl-max-entries = 4096

�� ��� �� �������� � �� �� ��� ������ � �� �� �

� ���� � �� ��� ������ ����. � � �� �

���� �� �� ��� �� ���� ����� ����

� ����. �� � ��� � ����� �(�� �� ��)� � � ������ ���� ������.

�� �� ����� �� � �� � SSL ��� �� ��

�� ����� ��� � ��� � ��� �����. �� ��,�� Microsoft Internet Explorer ���� 2 - 3� ���� SSL��� �� �����.

�� �� ����� � ��(10� ��)� ��� �� �� �

� ����� �� ���� ���� �����. � ���

�� ��� �� ��� �� ��� ��� � �� “� �”���� ���.

�� �� �� � � �� ��� ����� � ���� �� �

���� �����. �� ��� �� ��� ���� �� ���

�. �� �� � policy� ���� ����.

�� ��� �� ��WebSEAL � � �� �� �� �����. �� �� �

� ���� �����.

87Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

¶ �� �� ���� ���. �� ��� ���� ��

¶ �� ���� ����� ���(�� ���� � ���

���� ��)

¶ �� � ���(�� ���)

¶ �� �� � � � ���� �� �� �� � ��� ��

�� ��

�� ID �� �� � �� ���webseald.conf �� ��� [session] ���� �� ssl-id-sessions���� �� �� �� �� �� ����� ���. � ��

�� HTTPS� � ���� ����� �� ��� �� ��

��� SSL �� ID� ���� ��� �����. � ���� “no”� ��� ���� �� ���� �� �� �����.

[session]ssl-id-sessions = no

� ���� “no”� �� ��� HTTPS� � ���� �

���� � �� � ��� �����.

1. SSL �� ID� �� �� ID ����� ���� ����.

2. failover �, CDSSO ID ��, �� ��� � � ��, ��

��, ����� ���� ���� ����� ��� �

����� � �� �����.

3. use-same-session = yes� ���� �� �� ����� �

�� �����(�� � ��). ��� ��� �� ID ���

� BA �� �����.

4. HTTP �� ���� ����� �� �� ID �����

HTTP �� �����.

5. IP ��� ���� ����� �� �� ID ����� IP �

�� �����.

88 �� 3.8

�� ���� �� ��� ����� ���� ��� �� � �

� �� ����� ����. ��� �� ������� ��� �

� � �� ��� � � �� �����. �� ����� ���

���� ���� ���� ���� � �� ���� �� �

�� � ����. �� ���� �� WebSEAL �� �� failover�� �� �� �� �� � ����.

�� �(���� failover ��)� ����� WebSEAL� ���

� webseald.conf �� ��� [session] �����

resend-webseal-cookies ���� ��� WebSEAL�� �� �

�� �� � � failover �� ����� ���� � � �

���. ��� ��� �� � � failover �� ���� ����

�� ��� ��� ��� ���.

resend-webseal-cookies ���� �� � “no”���.

[session]resend-webseal-cookies = no

�� � �� WebSEAL �� � � failover �� ���� �

� �� “yes”� �����.

��� �� �� � �� �������� � ��� ��(�: HTTP)� � ����� �� �

��, �� ��� ��(�: HTTPS)� � �� ���� � ���

�� ID ���� ����� WebSEAL� ��� � ����.

webseald.conf �� ��� [session] ���� �� use-same-session���� ��� �� ID ���� ��� �� �� �� ����

� ���. �����, � ���� “no”� ��� ����.

[session]use-same-session = no

� ���� “yes”� �� ��� �� � ��� �����.

1. � �� ��� �� � ���� � �� � ���� �

�� ���� � �� �� �����.

89Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

a. failover �

b. ����� ���

c. CDSSO ID ��

d. �� ��

e. ��� � � �� ��

f. �� ��

2. HTTP �� ���� ����� HTTP �� �����.

3. IP ��� ���� ����� IP ��� �����.

4. ssl-id-sessions �� �����. � � ��� �� ��

ssl-id-sessions� “no”� � � ����.

��� �� HTTP ����� �� ����� �� ���

SSL �� ID� ��� �� ���� �����.

5. �� HTTP � HTTPS ���� � �� � �� ����

� � ��� ����� ����.

�� �� ID ��� �� ���� �� ���� ���� ����� �� �� ��� ��

�� � �� ���� �� ���� �����.

¶ �� � �� �� �� ���(ssl-id-sessions)

¶ ����� HTTP HTTPS ���� ��� ��� �� ��

�� ���� �� �� �� �� ���(use-same-session)

�� � ��� ��� � ssl-id-sessions ��� �

use-same-session ���� ����, ��� �� ID ���� ��

� ����.

90 �� 3.8

HTTPS �����

�� �� ssl-id-sessions =yes

ssl-id-sessions = nouse-same-session =

no

use-same-session =yes ssl-id-sessions

ignored

failover � SSL ID � �

��� SSL ID � �

CDSSO SSL ID � �

�� SSL ID � �

�� SSL ID � �

BA SSL ID BA � �

HTTP � SSL ID HTTP � HTTP �

IP �� SSL ID IP �� IP ��

HTTP �����

�� �� use-same-session = no use-same-session =yes

failover � � �

CDSSO � �

�� � �

�� � �

BA BA � �

HTTP � HTTP � HTTP �

IP �� IP �� IP ��

failover �� ���� � failover � ��(HTTP � HTTPS�) �� ��� �

��� � �� ���� WebSEAL � ���� ����

����� �����. failover �� ��� ����� ��

��� "� � � #�� �� ����� � � �� ���� ��

����.

91Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

��� ����� �� ��� ����� ���� � ����

WebSEAL ���� ��� � ����. �� ��� ��� �

��� ��� ��� �� ��� ���� � � ���� ��

� �����.

�� ������ ������.

����� �� ���� � ��� � ����. �� ��

� ��� �� URL� �� �� �� �����. �� ���

��� ����� �� ��� � (�: WS1) �����. �

� ��� WS1� ���� � �������� �� � ���

WS1� ����.

failover �� �� � �� ����� �� ��� �(�� �

�, ��� �� ��� ��� � ��) WS1� �� ����

� �� ��� ����. WS1� �� ����� �� �� ���

���� �� �� � � ��(WS2 �� WS3)� ��� ��

��. �� ��� �� � �� ��� ����. ����� � �

� � � � �� ���� �� �� ����� �����.

�� 14. failover � ����

92 �� 3.8

�� WebSEAL � � ���� � �� ��� ����� �

� ���� ������. �� ����� �� ��� � ���

�� �����. �� WebSEAL � � ��� �� ���� ��,�� ��� �� �� �� �� � � �����. ��

WebSEAL � � �� ��� �� �� � �� �� � ���

��. �� ����� ��� ����� ��� ��� WebSEAL� � �� ��� ��� � ����.

�� �� �� �� �� ��� ���� DNS���. �� �

�� ��� ��� �� �� ���� � �� �� ��� �

����. �� �� ��� � DNS �� � � � �

�� ����. ����� �� �� ��� ���� � ��

���. ���� �� �� � failover �� � ����

�� ��� � � �����.

failover �� ��

webseald.conf �� ��� �� [failover] ���� ��

failover-auth ���� � �� failover �� �� �� �� �

���� ���.

¶ failover �� ����� “http”, “https” �� “both”� ���

���.

¶ failover �� �� ����� ��� “none”(���)� ����

��.

�� ��, �� ����.

[failover]failover-auth = https

��� ���� WebSEAL � �� � ���� �� ���.

93Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

�� �� ��� � �� �

� ���� ����� WebSEAL� ���� cdsso_key_gen ��

��� ������. � ����� �� �� �� ���� ���

� �� ��� �� � �����. ����� �� � ��

� ��(�� �� �)� ������.

UNIX: # cdsso_key_gen <pathname>

Windows: MSDOS> cdsso_key_gen <pathname>

�� � � ���� ����� ��� ��� ��� ��

� ��� ������. � � � �� webseald.conf �� ��

� [failover] ���� �� ��� ������. ��� ���

� ��� � � � �� failover � ��� �� ����� �

��.

[failover]failover-cookies-keyfile = <absolute-pathname>

���� ws.key �� ��� ��� �� ��� � ����.

�� � ��

� �(� ��)� � �� ����� ����.

failover-cookie-lifetime = 60

�� �� ������� HTTP � HTTPS ���� � �� �� ��� �� �

�� ����� � � ����.

WebSEAL� � ���� �� �� ���� �� ���

webseald.conf �� ��� [authentication-mechanisms] ����

� �����. ���� �� ��� ���� ��� �����.

94 �� 3.8

¶ ��(�) ���

�� ���� �� ���� ��� � �� �����(UNIX)�� DLL(Windows) ��� �����.

¶ ��� �� �� ���

WebSEAL ��� �� �� CDAS(Cross DomainAuthentication Service) � � ���� ���� � ��� � �

� ���� � �� �����.

�� CDAS ���� ��� ��� �� �� ������ ��

���.

� �� ������ ���� �� � ���� �����.

��� ��

�� � �� ��

passwd-ldap ����� LDAP ��� � ��� ����

�.

�� ��

token-cdas ����� LDAP ��� � SecurID ��

��� �����.

����� ��� ��

cert-ssl ����� SSL� � ����� ���� �

����.

HTTP � �/�� IP �� ��

http-request ����� �� HTTP � �/�� IP ��� �

�����.

CDSSO ID �� ��

cdsso �� ��� �� �� � ��

[authentication-mechanisms] ���� ���� �� ��� � ��

� �� ���� ��� � ����.

<authentication-method-parameter> = <shared-library>

95Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

82 ���� ���� �� ��� ���� ������.

�� ��� �� CDAS �� ������ CDAS � � �� ��� �� �� ������ ���� �

�� � ���� ��� � ����.

��� ��

passwd-cdas ����� ��� ������ �� ��� � �

�� �����.

token-cdas ����� ��� � �� ��� ����

�.

cert-cdas ����� SSL� � ����� ���� ��

���.

CDAS � � ���� ��� �� �� ����� �� � ���

� ��� �� Tivoli SecureWay Policy Director WebSEALDeveloper Reference� ������.

WebSEAL ��� �� � �������, WebSEAL �� ��(BA) ��� � ��(LDAP �

����)� ���� SSL� � ����� ����� ��� �

���.

WebSEAL �� TCP � SSL ��� � �� �����. ��

� [authentication-mechanisms] ���� � ���� ��� �

� ��(LDAP �����)� �� ��, SSL� �� ����� �

��� �� ��� �����.

�� ��� Solaris� �� [authentication-mechanisms] ���� �

��� �����.

[authentication-mechanisms]passwd-ldap = libldapauthn.socert-ssl = libsslauthn.so

96 �� 3.8

�� �� ���� ����� �� �����(�� CDAS ��) �

� ��� ���� ������. � �� ���� �� ��� �

� ��� 82 ���� ���� �� ��� ���� ������.

�� �� �� ��webseald.conf �� ��� [authentication-mechanism] ���� �

��� ���� �� ���� ��� �� ������ ������.�� �� �� �� ���� ��� � �����.

1. �� �� ���� �� ����� �����. ���� ��� �

��� � �� ������ ��� � ����.

2. cert-cdas ��� cert-ssl ���� �� ��� ���� cert-cdas���� �����. �� � ��� ���� ����� ���

� ��� ���.

3. �� �� ���� � �� ��� ���� ��� �����.WebSEAL ��� ����� ���� ���� �� �� �

��� �����.

a. passwd-cdas

b. passwd-ldap

4. � �� �� �� �� ���� � ��� ��� �� ���

��� ��� � ����. �� ��, ��� �/�� � HTTP� ��� � � ����� ��� �� �� ������ ��

� � ����. � ��� ���� ��� �� ������ �

��� passwd-cdas � http-request ���� � � ����

�. �� ��� ������ � ��� �� ��� ��� �

���� �����.

��� ���WebSEAL �� � ���� ������ � ��� ���

�� ����.

1. �� ��� � ���� � ����

2. �� ��� � �� �� �� �� ����

97Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

�� � ���� ���� “403 failure” �� ����.

1. �� �� �:

a. ����� ���

b. failover �

c. CDSSO

d. IP ��

e. HTTP �

2. ����� WebSEAL� � �� ����� �� ���� �

�� �

�� � �� � ��Policy Director� HTTP �� HTTPS�� ���� ����� �

��� � �� � �� �����.

pkmslogout� �� �� �� ���� ���� �� �� ���� ��� �

����� pkmslogout �� ���� �� ������ ����

� � ����. �� ��, �� ���� IP �� ��� ����

����� ��� pkmslogout� ���� ����. � ���� �

���� �� ����� ���.

pkmslogout � ����� ���, �� ��, �� �� �

HTTP � ��� �� ��� �� ��� �����.

�� �� �� �����.

https://www.tivoli.com/pkmslogout

����� webseald.conf �� ���� �� ���� ���

����.

[acnt-mgt]logout = logout.html

98 �� 3.8

���� ����� �� logout.html ��� ��� � ����.

pkmslogout ����� �� �� ��� ����� ������ �

���� �� �� ��� ���� ���� ���� �� �� ��

�� � ���� ����� ���.

��� �� �� � ��� �����.

https://www.tivoli.com/pkmslogout?filename=<custom_logout_file>

��� custom_logout_file ���� �� �� ����. � �

� �� logout.html �� � �� � HTML � ��� ��

��� lib/html/C ����� ��� ���.

pkmspasswd�� ��(BA) �� �� ��� ��� � � ��� ��� ���

�� � ����. � � HTTP �� HTTPS�� �����.

�� ��, �� ����.

https://www.tivoli.com/pkmspasswd

WebSEAL�� BA� ��� � ��� �� ��� � � �

BA ����� � �� �� �����.

1. ��� ����.

2. ���� ���� �� ������ �������.

3. ����� �� ��� �� ����� ����� BA �

��� �����.

4. ����� ��� ����� �� ���� ���.

� ����� �� ��� ���� ������ �����.

99Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

�� �� ���� ��(BA) �� ���� ��� � � ��� ����

�����. BA� HTTP ����� � ���� HTTP �

HTTPS� � ��� � ����.

�����, WebSEAL �� ��(BA) ��� � ��� ���

HTTPS��� ��� � �����.

� �� �� � �� ���webseald.conf �� ��� [ba] ���� �� ba-auth ����

�� �� ���� �� � �� ����� ���.

¶ �� �� ���� ����� “http”, “https” �� “both”� �

�����.

¶ �� �� ���� �� ����� ��� “none”� ������.

�� ��, �� ����.

[ba]ba-auth = https

�� �� ���� � ����� ����� ��� ���� ����� � �

�� � ���� �� ��� ��� ������.

�� �� ��� �� ���� webseald.conf �� ��� [ba]���� ����.

�� ��, �� ����.

[ba]basic-auth-realm = Policy Director

100 �� 3.8

� �� ��� ��passwd-ldap ���� ��� � � �� ��� ���� � �

��� �� ������ �����.

¶ UNIX�� � �� ��� ���� �� libldapauthn���

�� �� ��������.

¶ Windows�� � �� ��� ���� �� ldapauthn���

�� DLL���.

Authn ���� � �����

Solaris AIX Windows HP-UX

passwd-ldap libldapauthn.so libldapauthn.a ldapauthn.dll libldapauthn.sl

webseald.conf �� ��� [authentication-mechanism] �����

passwd-ldap ���� �� ����� ��� ��� �� �� �

��� ��� � � �� �� ���� ��� � ����. ����, �� ����.

Solaris:

[authentication-mechanisms]passwd-ldap = libldapauthn.so

�� 15. BA ��� � ��

101Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

Windows:

[authentication-mechanisms]passwd-ldap = ldapauthn.dll

�� ��� ��� � �� ��� ���� � ��� �� �� ��

�� �����.

�� �� ��Policy Director� �� ��(BA) ���� ��� �� ��

� �����. � �� �� ��(BA) ���� � �� �

�� � �� �� Policy Director���� ��� �� HTML ��

� ��� �����.

�� � ���� ���� ����� �� ��(BA)�� ����

��� ��� � � �� ��� ����� ����.

�� �� �� � �� ���webseald.conf �� ��� [forms] ���� �� forms-auth ���� �� �� ���� �� �� �� ����� ���.

¶ �� �� ���� ����� “http”, “https” �� “both”� �

�����.

¶ �� �� ���� �� ����� ��� “none”� �����

�.

�� ��, �� ����.

[forms]forms-auth = https

�� �� ��� ��passwd-ldap ���� ��� � � �� ��� ���� � �

��� �� ������ �����.

¶ UNIX�� � �� ��� ���� �� libldapauthn���

�� �� ��������.

102 �� 3.8

¶ Windows�� � �� ��� ���� �� ldapauthn���

�� DLL���.

Authn ���� � �����

Solaris AIX Windows HP-UX

passwd-ldap libldapauthn.so libldapauthn.a ldapauthn.dll libldapauthn.sl

webseald.conf �� ��� [authentication-mechanism] �����

passwd-ldap ���� �� ����� ��� ��� �� �� �

��� ��� � � �� �� ���� ��� � ����. ����, �� ����.

Solaris:

[authentication-mechanisms]passwd-ldap = libldapauthn.so

Windows:

[authentication-mechanisms]passwd-ldap = ldapauthn.dll

�� ��� ��� � �� ��� ���� � ��� �� �� ��

�� �����.

HTML �� �� ��� ���� ���� ��� �� ��� ��� ��� ���. �����,� login.html �� �� ����� ����.

<install-directory>/lib/html

� ��� �� � �� ���� �� ��� � ����. �� �

�, �� ����.

103Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

���� �� ��� � �� HTML ��� �� ��� �� 37���� ���� �� HTML ��� ��� ������.

������ ��� �� ��WebSEAL SSL� �� ����� �� ���� ���� �

���� � ��� �����. � �� ����� ��� ��

(�: �� � �� DN)� Policy Director ���� �����.

�����: ���� �� �� ���� ���� �� �� �� � ��� ������.

¶ WebSEAL � � ���� ���� SSL ����� � �

�� �����.

¶ WebSEAL CA(Certificate Authority) �� ���� �����

�� ���� ����� ���� ���� ����� �

����.

1. SSL ����� WebSEAL � � ��� �����.

2. � ��� WebSEAL � � � ���� � ��� �

� � ����. � ���� ��� trusted CA(CertificateAuthority)� � ��� ������.

3. ����� ���� ���� ��� � �� �� � �� �

��� �����. ���� ���� ����� trusted CA���� �� ��� ��� �����. WebSEAL ���� �

�� 16. � WebSEAL ��� ��

104 �� 3.8

� �� � �� ���� �� � ���� � � � ��

� � ����.

4. � � ���� �� ��� ����� ���� � �

� CA(Certificate Authority)� � ������ �����

���. �� ���� ���� ���� ��� ��� ���

�.

5. �� ����� �� ��� ������� �� �� ���

� �� � ���� WebSEAL � ���� ��� �

����.

� ����� �� �� � �� ���, � �� �

����� (��� ��� ��� ����) ��� ��� � �

���. ����� ��� ���� � � � ��� �

�� � ��� � ����.

6. �� ����� �� � WebSEAL � � ����.

7. WebSEAL ���� ���� �� �� �� CA� ��

��� ��� ���. ���� ���� �� WebSEAL� ������� �� trusted CA��� �� ���� �

�� �������.

�� 17. ����� WebSEAL ���� ���

105Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

8. ���� �� ��� WebSEAL SSL � �� ����

����� ����.

9. ���� �� ��� � ����� ��� � ����. �

���� ���� Policy Director ��� ����.

10. �� � ���� WebSEAL � ���� ��� ��

���. � ����� �� �� �� �� ���� �

��� ��� �� �� �� ������.

WebSEAL ��� �����, WebSEAL�� �� � ��� � ���� �� ����.��� ���� WebSEAL� SSL �� ����� ��� �� �

��� ����(��� �� CA ���� ���� �� �)� ��

� �� ����. �� ���� �� �� � �� WebSEAL ��

� ����� � ���� ��� � ��� ����� ����.

SSL�� � ��� ���� trusted CA(Certificate Authority)�

�� ��� ��� � ���� ��� ���� �� �� ���

��. GSKit iKeyman ����� ���� CA� ���� ��� �

�� ��� � ����. iKeyman� ���� � ��� ����

��� ���� �� �� ����. webseald.conf �� ��� [ssl]����� webseal-cert-keyfile-label ���� ���� ���� �

� WebSEAL � � ����� ������. (� � �� �

������� “default”� �� ���� �����.)

�� ����(�� ��, �� �� junction� �� �)��� �

� ���� ��� ���� iKeyman ����� ���� ��� �

� ���� �� � ��� ���� �� � ����.

41 ���� �WebSEAL� �� ������ ��� ���� �

�����.

253 ���� �iKeyman�� �� ��� ������.

106 �� 3.8

��� �� �� � �� ���webseald.conf �� ��� [certificate] ���� ��

accept-client-certs ���� ��� WebSEAL� SSL��� �

���� ���� � ��� ���� ��� ��� � ����.

�����, WebSEAL ����� ���� ��� ����.

[certificate]accept-client-certs = never

� ���� �� � �� optional � required �� ����.

�� �� accept-client-certs ���� ��� �� �� �

����.

� ��

never ������� X.509 ���� ��� ����.

optional ����� X.509 ���� ���� ���� ���

� ���� ��� � ��� ������.

required ����� X.509 ���� ���� ��� � �

�� ������. ����� ���� ���� ��

� ��� ��� ����.

��� �� ��� ��cert-ssl ���� ��� �� �� ��� �� �� ������ �

����.

¶ UNIX�� � �� ��� ���� �� libsslauthn��� �

� �� ��������.

¶ Windows�� � �� ��� ���� �� sslauthn��� �

� DLL���.

Authn����

� �����

Solaris AIX Windows HP-UX

cert-ssl libsslauthn.so libsslauthn.a sslauthn.dll libsslauthn.sl

107Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

webseald.conf �� ��� [authentication-mechanism] �����

cert-ssl ���� �� ����� ��� ��� �� �� ���

� ��� �� ���� ��� � ����.

Solaris:

[authentication-mechanisms]cert-ssl= libsslauthn.so

Windows:

[authentication-mechanisms]cert-ssl = sslauthn.dll

�� ����� ��� � ���� �� �� ��� DN� LDAPDN� �� �����.

�� ������ ��� ��� “required”� ��� HTTPS ����

� �� �� �� �� �� �����.

HTTP �� �� ��Policy Director� ���� �� ��� ����� � ���� �

�� �� HTTP � ��� � ��� �����.

� ����� �� (�� �� ) � ���� Policy Director �

�� ���� �� ��(�� �����)� �����. WebSEAL� ��� ��� ���� �� ��� �����.

WebSEAL ��� �� HTTP � ���� ��� ������ �

����. ��� ��� �� �� ���� �� ����� � ��

�� ����� ���� �� ����. ��� �� HTTP � �

��� ��� � ����.

�����, � �� ������ �� ��� ���� ���� �

���� �����.

108 �� 3.8

HTTP � �� �� � �� ���webseald.conf �� ��� [http-headers] ���� ��

http-headers-auth ���� HTTP � �� ���� �� �� �

� �� ����� ���.

¶ HTTP � �� ���� ����� “http”, “https” �� “both”� ������.

¶ HTTP � �� ���� �� ����� ��� “none”� ��

����.

�� ��, �� ����.

[http-headers]http-headers-auth = https

� �� ��webseald.conf �� ��� [auth-headers] ���� ���� ��

HTTP � ��� ��� ���.

[auth-headers]header = <header-type>

�����, � � �� ������ �� ��� � ���� �

���� ���� ����.

[auth-headers]header = entrust-client

� ��� ���� �� ���� �� � ���� �� ��� �

���, ����� � ���� Policy Director ��� ��� ��

�. API ��� ��� Tivoli SecureWay Policy Director WebSEALDeveloper Reference� ������.

HTTP � �� ��� ��http-request ���� HTTP �� � ��� ���� � ��

������ �����.

¶ UNIX�� � �� ��� ���� �� libhttpauthn���

�� �� ��������.

109Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

¶ Windows�� � �� ��� ���� �� httpauthn���

�� DLL���.

Authn ���� � �����

Solaris AIX Windows HP-UX

http-request libhttpauthn.so libhttpauthn.a httpauthn.dll libhttpauthn.sl

�����, ��� � �� ������ �� ��� � ����

��� Policy Director ��� ����� ���� ����. � �

�� ���� �� ���� �� � ���� �� ��� ����,����� � ���� Policy Director ��� ��� ���. API��� ��� Tivoli SecureWay Policy Director WebSEALDeveloper Reference� ������.

webseald.conf �� ��� [authentication-mechanism] �����

http-request ���� �� ����� ��� ��� �� �� �

��� HTTP � �� ���� ��� � ����.

�� ��, �� ����.

Solaris:

[authentication-mechanisms]http-request = libhttpauthn.so

Windows:

[authentication-mechanisms]http-request = httpauthn.dll

�� �

1. ssl-id-sessions = no�� �� ID �� ��� ������ �

���� ����. �� � �� ��� ����� �����.

2. ����� ��� �� ������ “�� ” ���(HTTP403)� �����.

110 �� 3.8

IP �� �� ��Policy Director� ����� � ���� IP ��� �� ���

�����.

IP �� �� �� � �� ���webseald.conf �� ��� [ipaddr] ���� �� ipaddr-auth ���� IP �� �� ���� �� �� �� ����� ���.

¶ IP �� �� ���� ����� “http”, “https” �� “both”�������.

¶ IP �� �� ���� �� ����� ��� “none”� ����

��.

�� ��, �� ����.

[ipaddr]ipaddr-auth = https

IP �� �� ��� ��IP ��� �� ���� ��� �� �� ������ �����. ��� ������ http-request ���� ������.

�� �� ��Policy Director� ����� � ���� �� ��� �� �

�� �����.

� �� �� � �� ���webseald.conf �� ��� [token] ���� �� token-auth ���� �� �� ���� �� �� �� ����� ���.

¶ �� �� ���� ����� “http”, “https” �� “both”� �

�����.

¶ �� �� ���� �� ����� ��� “none”� ������.

�� ��, �� ����.

111Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

[token]token-auth = https

� �� ��� ��token-cdas ���� �� �� �� ��� ���� � ��

������ �����.

¶ UNIX�� � �� ��� ���� �� libtokenauthn��

� �� �� ��������.

¶ Windows�� � �� ��� ���� �� tokenauthn��

� �� DLL���.

Authn ���� � �����

Solaris AIX Windows HP-UX

token-cdas libtokenauthn.so libtokenauthn.a tokenauthn.dll libtokenauthn.sl

�����, ��� � �� ������ SecurID �� �� �

��� ����� ���� ����. � ��� ���� �� �

��� �� �� ���� �� ��� ���� ����� � ���

� Policy Director ��� ��� ���. API ��� ��� TivoliSecureWay Policy Director WebSEAL Developer Reference� ���

���.

webseald.conf �� ��� [authentication-mechanism] �����

token-cdas ���� �� ����� ��� ��� �� �� �

��� �� �� ���� ��� � ����.

�� ��, �� ����.

Solaris:

[authentication-mechanisms]token-cdas = libtokenauthn.so

Windows:

[authentication-mechanisms]token-cdas = tokenauthn.dll

112 �� 3.8

����� ��� ��� ��Policy Director� MPA(Multiplexing Proxy Agent)� ���� �

����� �� ���� �����.

SPA(Standard Proxy Agent)� SSL � HTTP� � ���� �

� � ��� ���� ��� ���� ��������.WebSEAL � SSL � HTTP ��� � ���� ��� ��

���.

MPA(Multiplexing Proxy Agent)� �� ���� ��� ���

� �� ��������. ����� WAP(Wireless Access Protocol)� � ��� � � ������ WAP �������� ���.������ �� � � �� �� �� ���� �� ���

� �� � �� � �� � “�� ”���.

WebSEAL� � � ��� ��� ���� ��� �������

�� ���� �����. WebSEAL MPA � �� � ��

����� �� �� �� ��� ��� ���.

�� 18. MPA ������ �� ��

113Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

WebSEAL MPA� �� �� ��� ������� � ���

�� �� ��� ��� ��� ����� ���. ���� MPA� �� �� ��� � �� ���� ����� � �� �

� ��� � �� ���� ��� ���.

�� �� ��� �� � �� ��WebSEAL� � MPA�� �� �� ��� �� WebSEAL�� ������ �� �� ��� �� ��� ���. ��

� MPA � ����� �� ��� �� ��� ��� ����.

�� ��

MPA � WebSEAL ����� � WebSEAL

SSL �� ID

HTTP � HTTP �

BA � BA �

IP ��

� �

¶ ����� �� ��� ����� SSL �� ID� ��� � �

���.

¶ � ���, MPA� �� ��� ���� BA �� ����

����� �� ��� �� ���� HTTP � �� ��

���.

¶ MPA� �� ��� ���� HTTP �� ���� ����

� �� �� HTTP � ��� ��� � ����.

¶ � �� ��� �� ��� ����, �� ��� ���� �

���.

¶ MPA ��� ���� ssl-id-sessions� ��� ����. ��,ssl-id-sessions=yes� ���� SSL �� ID� HTTPS ���

�� �� ��� ������ � �����. MPA� SSL ��

ID� ��� ������ ����� � �� ���� ����

114 �� 3.8

��� ����� � ��� ��� ��� �����. �� 90 �

��� ���� �� ID ��� �� ���� ������.

WebSEAL� � MPA�� ���� �� ���� WebSEAL� �

������ ���� �� ��� ��� ���. �� �

MPA � ����� �� ��� �� ���� ��� ����.

�� ��

MPA � WebSEAL ����� � WebSEAL

�� �� �� ��

�� ��

�� ��

HTTP � HTTP �

���

IP ��

¶ � ���, MPA� �� ��(BA)� ���� ����� �� �

�� ���� ��, �� � HTTP �� �����.

¶ ��� � IP �� �� ���� ������ ��� � ��

��� �� ���� ����.

¶ ��, �� ��� ��(�� ��) ��� ���� � ��� �

�� �� ���� �� ����� ���(101 ���� ��

� �� ��� ��� ��). MPA ��� ���� ��� ��

� �����. ��� MPA�, �� ��, ��(�� ��)�� �

��� � ���, ����� ��� ��� � �� ����

���� � ����.

MPA � �� ������ �� �� ���� ��

1. WebSEAL ��� �� � �� ��� �����.

¶ ����� ��� ����� �� �� ��

¶ �� MPA ������ �� Policy Director �� ��

¶ MPA ��� webseal-mpa-servers ��� ��

115Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

2. ����� MPA ������ �����.

3. ������ ��� HTTP ���� ����.

4. ������ ����� �����.

5. ������ ���� ��� �� WebSEAL� � ���

����.

6. MPA� WebSEAL� � ����(���� �� ���� �

���) MPA(WebSEAL ��� �� ��)� �� ��� ��

����.

7. WebSEAL webseal-mpa-servers ��� �� MPA� � �

� �����.

8. MPA� �� ��� ���� ��� �� MPA ���� ���

���.

� MPA ��� � � ���� ��� ���� �� ��

� �� �� ���� ���� ����.

9. �� WebSEAL ��� ���� ��� ���.

MPA� ��� � ��� ��� ���� � �� ����

� ��� � ����.

10. ����� MPA� �� �� �� �� ���� ����

����� �����.

11. WebSEAL ���� �� ������ ��� �����.

12. � ������ ���� �� ��� �� MPA�� ��

�� ��� �� ��� ���.

13. �� �� ���� ���� �� �� �� ACL ��� �

�� �� �� �� �� ��� ���� �����.

MPA �� �� � �� ���webseald.conf �� ��� [mpa] ���� �� mpa ����

MPA ��� �� �� �� ����� ���.

¶ MPA �� ���� ����� “yes”� ������.

116 �� 3.8

¶ MPA �� ���� �� ����� ��� “no”� ������.

�� ��, �� ����.

[mpa]mpa = yes

MPA� �� ��� �� ���� �� ��� �� ��� �� Tivoli SecureWay PolicyDirector Base � �� � Tivoli SecureWay Policy Director WebPortal Manager � ��� ������.

webseal-mpa-servers ��� MPA �� ���� �� �� ��� �� Tivoli SecureWay Policy Director Base� �� � Tivoli SecureWay Policy Director Web Portal Manager� ��� ������.

MPA �� ����� ���� Policy Director� ��� WebSEAL � �� MPA� �

����.

117Tivoli SecureWay Policy Director WebSEAL �� ���

4.W

ebS

EA

L�

118 �� 3.8

�� ��� �� � ���

� ��� ��� � WebSEAL� ��� � �� ���� ��

� �� �� �� �� �� ���� ��� � ��� �� ��

��. � ��� � �� �� ��� �� �� � ���� �

���.

�� �� �� ����.

¶ �CDSSO �� ���

¶ 125 ���� �e-Community �� �� � ���

CDSSO �� ��Policy Director� CDSSO(Cross Domain Single Sign-on)� �� �

� � ���� � ��� ��� ����� �� ���� ��

���. CDSSO� � ���� �� �� �� ���� � �� ��

� ��� ��� ���� ����� ���. CDSSO �� ���

��� �� � � ���� ����(e-Community SSO ��).

CDSSO� �� �� � ���� ��� ��� � ��� ��

�� ��� �����. �� ��, � ��� ������� ��� �

�� �� � ��� ��� � � ��� �� ���� ��� �

���. CDSSO� �� �� ��� ��� �� ��� ��� �

���.

5

119Tivoli SecureWay Policy Director WebSEAL �� ���

5.�

��

��

��

��

��

���� �� ���� ��� ��� �� ��� �� CDSSO ��

� ��� ��� �� ��� � �� ����� � �� ��

��� �����. �� � �� ��� ��� ��(� �� ���

�� ���)� ��� �� ���� �� ���� ��� ����.

��� �� CDMF �� ����� �� CDSSO ������, �� �� ���� �� ���� ���

�� � � � ��� �� �� ����� ����� �� � ���

�.

CDMF(Cross Domain Mapping FrameWork)� � ��� ���

��� � ��� ��� ��� �� �� ���� ��� � �� �

�� �� �� ������ ��� � �� �� ����� ���

�����.

CDMF ����� ������ ��� �� �� � ��� �� �

�� ���� �� ���� � �� ���� �����.

CDMF� ��� CDSSO� �� �� ���� ����� ���� � ��19�� �����.

1. �� ���� ����� ���� � ���� ��� ��� �

�� ��� ��� �� ���� � �� ���� ��� ���

��� � �� ��� ��� ��� ���.

���� ���� ��� ���� �� �� � ���(A)� �

��� ��� CDSSO ��� ��� � ����.

2. ���� � ���� �� ��� �� �� � ��� B� �

�� ����� �����.

� ��� �� �� CDSSO ��� �����.

/pkmscdsso?<destination-URL>

�� ��, �� ����.

/pkmscdsso?https://www.domainB.com/index.html

120 �� 3.8

3. �� �� ��� A� �� WebSEAL � �� �����.WebSEAL ���� Policy Director ��(� �), �� ��

�(“A”), �� ��� �� � ����� ���� �� ��� �

����.

�� ��� ��� ���� �� �� CDMF �� �����

(cdmf_get_usr_attributes)� ���� �����. � �����

� ��� �� ���� � ��� B� � ��� � �� ��

� ��� ��� � ����.

WebSEAL triple-DES� cdsso_key_gen ����� � ����

�� � � �� ���� ������. � �� ��� A ��� B WebSEAL � � �� webseald.conf �� ���

[cdsso-peers] ����� ���� ����.

���� ��� �� ���� �� ���

����(authtoken-lifetime)� ���� ����. ���� ��

�� ���� �� ��� �� � ����.

4. ��� A WebSEAL � � �� ��� ��� ����� �

� �� ��� B WebSEAL � (HTTP �� ���)� ��

��.

5. ��� B WebSEAL � � �� ��� �� ���� ��

�� ������� ���� ��� ��� ��� ��� ��

����.

6. ��� B WebSEAL � � �� CDSSO �� ��� ����

�� �����. � CDSSO ������ �� � ��� ��

� ���� ��� �� CDMF �����(cdmf_map_usr)� �

����.

CDMF ������ ��� �� � ����� �� ��� ��

��� �� CDSSO ������ �����. CDSSO �����

� � ��� ���� ��� �����.

7. ��� B �� ���� ���� �� � �� �� � �

�� ACL ��� ���� �� �� �� �� ���

���� �����.

121Tivoli SecureWay Policy Director WebSEAL �� ���

5.�

��

��

��

��

��

CDSSO �� �� � �� ���webseald.conf �� ��� [cdsso] ���� �� cdsso-auth ���� CDSSO �� ���� �� �� �� ����� ���.

¶ CDSSO �� ���� ����� “http”, “https” �� “both”�������.

¶ CDSSO �� ���� �� ����� ��� “none”� ����

��.

�� ��, �� ����.

[cdsso]cdsso-auth = https

CDSSO �� ��� ��cdsso �� ���� �� �� ��� �� �� �� ���

��� �����.

�� 19. CDMF� ��� �� ��� �� � ����

122 �� 3.8

¶ UNIX�� � �� ��� ���� �� libcdssoauthn���

�� �� ��������.

¶ Windows�� � �� ��� ���� �� cdssoauthn��

� �� DLL���.

Authn ���� � �����

Solaris AIX Windows HP-UX

cdsso libcdssoauthn.so libcdssoauthn.a cdssoauthn.dll libcdssoauthn.sl

webseald.conf �� ��� [authentication-mechanism] �����

cdsso ���� �� ������ ��� �� �� ����

CDSSO �� ���� ��� � ����.

�� ��, �� ����.

Solaris:

[authentication-mechanisms]cdsso = libcdssoauthn.so

Windows:

[authentication-mechanisms]cdsso = cdssoauthn.dll

�� � ��� ���WebSEAL ��� �� �� ���� cdsso_key_gen ����� �

���� � ���� ���� ���. ���� � ���� �

� ��� WebSEAL � ��� ���� � � “���”

� ���. � ���� ���� WebSEAL � � � � ��

� ���.

�: ��� ���� ���� � Policy Director CDSSO ��

��� ��� ����.

cdsso_key_gen ����� �� � � ����� ��� ��(�� �� �)� ��� ���.

123Tivoli SecureWay Policy Director WebSEAL �� ���

5.�

��

��

��

��

��

UNIX: # cdsso_key_gen <absolute-pathname>

Windows: MSDOS> cdsso_key_gen <absolute-pathname>

� ����� ���� WebSEAL � �� webseald.conf �� �

�� [cdsso-peers] ���� ��� ��� ������. � ��

�� �� WebSEAL �� � �� ��� �����.

[cdsso-peers]<webseal-machine-name> = <keyfile-location>

��� A �� ��:

[cdsso-peers]www.domainB.com = <pathname>/A-B.key

��� B �� ��:

[cdsso-peers]www.domainA.com = <pathname>/A-B.key

�� ���� A-B.key �� ��� ���� ����(�: WebSEALA), ����(���) �� ��(�: WebSEAL B)� �����.

� ���� ������ �� ��� �� ���� �� ��� ����� ���

� ����. ����� ���� �� ���� ��� ���� �

� ��� �����. ���� ��� ��� � � ����

�� ��� �� � �� ��� ��� ��� �� � ���

���.

webseald.conf �� ��� [cdsso] ���� �� authtoken-lifetime���� �� � �� ����. � � ��� ����. �

�� 180���.

[cdsso]authtoken-lifetime = 180

���� ��� ��� �� � � ��� ���.

124 �� 3.8

CDSSO HTML �� ��2� � ���� �� ����� HTML �� �� � ��

CDSSO ��� ��� ���.

/pkmscdsso?<destination-URL>

�� ��, �� ����.

/pkmscdsso?https://www.domainB.com/index.html

�� � ���� ��� �� ��(�: ��� � � ��)� ����� ���

�� ��� �� ���� ��� ��� �����. ��� �� �

�� � ������ ����� ���.

WebSEAL � ��� ��� � ��� �� SSL� ���� �

� ��� �� �����. �� ���� ���� �����

�� � ����. ��� ���� ��� � �� � ����

�� ��� ��� ���� ��� ���.

��� �������� �� �� �� ����� ����. ���

����� � �� � ����� ���� �� ��� �� ��

�� ��� ��� ��� � ����.

��� “�� CDSSO �”� �� � ����. �� �� CDSSO���� ���� �� WebSEAL � � �� � �� �� �

�� � �� ���. ��� ��� ��� ���� � ���� �

���� ���� �� ���� ���� ���� ���.

e-Community �� �� � ��E-community �� �� � Policy Director ���� �� ��� �

�� � �� �����. �� ��� ��� �� ���� ���

��� �� ���� �� � � � �� ��� ��� � ��

�� ����.

125Tivoli SecureWay Policy Director WebSEAL �� ���

5.�

��

��

��

��

��

“e-community”� ���� �� ���� �� ���(Policy Director�� DNS)� �����. ��� ���� ��� � ����� �

���(��� ��� ��� � �� �� DNS �� ����), �

� �� �� �� �� �� ����(�: ��, � �� �� �

�� � ��)�� ��� � ����.

�� ��� ����� �� “�” �� “���” ����� �� �

��� �� ����. ���� ����� ���� � ����

e-community� ��� ���� ��� �����.

� ���� ���� e-community� ���� ���� � �� �

�(��� ���� ��� � � ��� ����)� � �����

�������. ��� �� e-community �� �� ��� ���

�� � ���� ���� � �� � !�� �� � ��� �

� � �� ���.

� �� �����, Policy Director Web Portal Manager� ����

���� ���� ��� ���� �� ����� ��� ���

�� ��� � ����.

�� ����� � �� ���� ���, � ��� A(dA.com) �

��� B(dB.com)� �� � e-community� �����. � ���

� ��� A� � �� ��� ���� �����. ��� B� ��,� “��” ������.

126 �� 3.8

� ��� ���� “��”���. �, ���� �� ��� ���

��. ���� ���� �� ��� �� ��� ���� �� �

����� ��� ���.

��� �� � (MAS), � � ���� �� ��� �� ����

����� �� � (�� ��� � ��)� � ��� ���

��. �������� MAS� mas.dA.com�� �����. MAS���� �� ���� ���� ��� ����� ���. MAS�� �

���� �� ��� ��� �� ���� ���.

�� ���� MAS� ����� ���� �� MAS� “vouch for”��� �����. � �� �� ���� ���� �� � � �

����. � � � “vouch for” ���, ���� ����� MAS����� e-community� ��� � ��� ��� ����.

�� 20. e-Community ��

127Tivoli SecureWay Policy Director WebSEAL �� ���

5.�

��

��

��

��

��

e-community ��� �� �� �� 129 ���� �e-Community �

��� �� �� �� �� ����.

e-Community �� � ����

¶ � �� �� URL(� �)� �� �� ��� �����. ��� �� �� pkmscdsso �� ���� CDSSO ��

������(119 ���� �CDSSO �� ��� ��).

¶ e-community ���� e-community� ���� �� ���� �

� WebSEAL � � � � ��� �����.

¶ e-community ��� ���� �� ���� � ���� ���

�� ��� �� � (MAS)� � �����.

¶ e-community �� ���� MAS� ��� ��� ��� ��

�� ��(�� ��, ��� B� ��� ��� A-��� Be-community� ���� �� ���), �� ������ “��”��� ����.

MAS� ���� ���� ���� �� �� ��� MAS� ��� �� ������ ���� �� �� � � ��� �

�� ��� �����.

¶ MAS(� �� �� ����� �� �� � �)� ���� �

� ��� “��(vouch for)”���.

¶ ��� �� �� ���� “vouch for” ���� ��� � �

� � � �����. ��� �� ���� �� � �� “vouchfor” ��� � � ��� � ����. e-community �� ��

� ���� ��� ���� � ��� �� �� ����.

¶ ��� “vouch for” ��� ��� ���� ��� �� ���

�����. “vouch for” ���� � ��� �� ��� ��

�� ����. �� � (triple-DES)� ���� �����. �

��� ��� ��� �� ��� ���� ���(�) �� �

� ����.

¶ e-community �� HTTP HTTPS�� �� �����.

128 �� 3.8

¶ �� e-community ���� � �� ��� �� � � �

�� ����. CDMF(Cross Domain Mapping Function) API� ���� �� ���� ���� �� ���� ��� ���

� ��� � ����.

e-community ���� �� ��� ��� ���� ���� �

�� �� ��� ���� ����.

¶ e-community� �� �� ��� ���� WebSEAL � �

webseald.conf ���� ����.

e-Community ���� ��e-community� ��� �� WebSEAL � (MAS), � ��� � �

� ���� ��� �� WebSEAL � � �����. MAS�

WebSEAL � � �� ������ �����, �� ��� �� �

�� WebSEAL ���� ��(�� ���� MAS� ���� ��)� ��� � ����.

���� �� �� � �� WebSEAL � � �� ���� ��

� � ��� MAS� ����� ��� ���. �� � ���� �

��� �� �������, �� ���� � ��� � ���

����. �� ��, �� ���� �� � � �� ��� ����

� ��� � ����. ��� � ��� ���� �� ���

� e-community ���� �� ����� e-community ����

� ��� � ����.

e-community �� “vouch for” ���� ��� ���. ��, ��

�� ��� ��� ���� � WebSEAL � ��� ��� ��

� ��� WebSEAL� ����� �� ��� �� � ��� �

���. e-community ���� WebSEAL � � “vouch for” � �

���� ���� ��� � “vouch for” � ��� ��� ����

�.

“vouch for” � � � ���� �� ��� �� ��� ��� �

���. ���� �� ��� �� “vouch for” � � �� MAS���. MAS� � ���� ��� ��� �� “vouch for” � ��

129Tivoli SecureWay Policy Director WebSEAL �� ���

5.�

��

��

��

��

��

�� �����. ���� e-community� �� �� ��� ����

��, � �� ���� �� �� � � ���� �� ��� ���

����(MAS���� ��� �� ��� ����) ��� ����

�� ��� �� “vouch for” � � ��� �� � ����.

“vouch for” � � �� �� “vouch for” ��� ��� ����.“vouch for” � � ��� ���� �� ���� WebSEAL � �

�����. ��� �� ��� �� ��� ������. ���� �

��� ����.

“vouch for” �� ��� ���� � � �� � � ���� ��

�� ��� �����. �� ���� �� �� ��� ���� �

� ��� ��� � ����. ���� �� ���� ��� �

�� ���, �� e-community ��� ���� ���.

� �� ����� e-community ���� �� �� �� ����

�� ������. ���� ���� � �� ��� FIRST ��

����(1 � 2)� � ���. �� ���� 2 �� 3 � �

���� � �� ��� NEXT �� ����(3 � 4)� ����.���� 5� �� �� ���� �����.

130 �� 3.8

“Vouch For” ��

¶ ���� e-community ��� ���� ���� ���� ��

� �� MAS� �����.

MAS� �� � ��� ����, �� ����� ���� �

��. MAS� ��� �� � ��� ��� ��, ��� ���

����� ������ ���. ��� ��� �� ���

��� �� ��� � ���� ����.

¶ MAS� �� � ���(� ����� ��� A)� �� “vouchfor” � ���.

¶ ��� �� e-community �� ���� ��� ��� �� �

� �� � � �� “vouch for” � � �����. “vouch for”� � MAS��� “vouch for” ��� ���� ��� � � �

� � ���. “vouch for” � � ��� �� ���� ��

“vouch for” ��� �����. ��� �� ������ “vouchfor” ���� �� � ��� MAS� ���� �� � �

�� 21. e-Community ���� �

131Tivoli SecureWay Policy Director WebSEAL �� ���

5.�

��

��

��

��

��

�� � � ���� � ����. � ����� e-community �

� MAS� “vouch for” � �� �����.

(1) � �� e-Community ��: WebSEAL 1(��� A)

¶ ���� WebSEAL 1(MAS ��� ��� �)� � ����

��� �����. ������ � ���� �� e-community �

� �� �� ����. WebSEAL 1 ���� �� �� �

�� ��� �� ����.

¶ WebSEAL 1 ���� e-community ��� ���� MAS� �

�� �����. WebSEAL 1 ���� ��� MAS�� ��

“vouch for” URL� �����.

¶ MAS� “vouch for” ��� �, � ���� �� ���

� ��� ����� ������ � �����.

¶ ��� ���, MAS� ���� �� ��� ����, �� ��

� ���, ��� “vouch for” �� �� ���� ���

WebSEAL 1�� �� ��� URL� �����. �� ��� A�� e-community �� ������ ���� � ���(� �

�, MAS)� �� “vouch for” � � �����.

��� ��� �� MAS� ��� ���� “vouch for”��� �����. � �� �� �� “vouch for” �� ��

� � ��� �����. ���� � � ���� �� �� �

�� � ��� �� ��� ����.

¶ WebSEAL 1 ��� �� ��� ���� �� �� ���

�����.

�: ��� ��� ���� �� ��� ��� ���. �� �

�� ���� WebSEAL 1� CDMF(Cross Domain MappingFramework)� ��� ���.

¶ �� �� ���� ��� ���� �����.

(2) � �� e-Community ��: WebSEAL 3(��� B)

132 �� 3.8

¶ ���� WebSEAL 3(�� ��� B)� � ���� ��� �

����. ������ � ���� �� e-community �� �

� �� ����. WebSEAL 3 ���� �� �� ��� �

�� �� ����.

¶ WebSEAL 3 ���� e-community ��� ���� MAS� �

�� �����. WebSEAL 3 ���� ��� MAS�� ��

“vouch for” URL� �����.

¶ MAS� “vouch for” ��� �, � ���� �� ���

� ���, ����� ������ � �����.

¶ ��� ���, MAS� ���� �� ��� ����, �� ��

� ���, ��� “vouch for” �� �� ���� ���

WebSEAL 3�� �� ��� URL� �����. �� ��� A�� e-community �� ������ ���� � ���(� �

�, MAS)� �� “vouch for” � � �����.

��� ��� �� MAS� ��� ���� “vouch for”��� �����. � �� �� �� “vouch for” �� ��

� � ��� �����. ���� � � ���� �� �� �

�� � ��� �� ��� ����.

¶ WebSEAL 3 ��� �� ��� ���� �� ��� ��

� �����.

¶ WebSEAL 3 WebSEAL 3� ��� B� �� “vouch for” �

� ����� ����� � �� e-community �(��� B� � ���)� ���� ����.

¶ �� �� ���� ��� ���� �����.

(3) �� e-Community ��: WebSEAL 2(��� A)

¶ ���� WebSEAL 2(MAS ��� ��� �)� � ����

��� �����. ������ MAS� “vouch for” � �� �

��� ��� A e-community �� �� �� ����.WebSEAL 2� � �� ���. WebSEAL 2� ���� �

� �� ��� ��� �� ����.

133Tivoli SecureWay Policy Director WebSEAL �� ���

5.�

��

��

��

��

��

¶ WebSEAL 2 ���� e-community ��� ���� MAS� �

�� �����. ��� A e-community �� ��� MAS ��� �� WebSEAL 2 ��� �����. �� WebSEAL 2�“vouch for” � � ��� �����. (���� 2� � ���

� ��� A � � ��� � ��� B � �� �����

� �������.)

¶ WebSEAL 2� ��� �� ��� A “vouch for” � (� �

�, WebSEAL 2� ��� A� ���� MAS)� �� ��

“vouch for” URL� ���� ��� �����.

¶ MAS� “vouch for” ��� �, ���� � ���� �� �

�� ���(���� 1 2�� ��).

¶ MAS� ��� “vouch for” �� �� ����� WebSEAL2�� �� ��� URL� ��� �����.

¶ WebSEAL 2� ��� �� ��� ���� �� ��� ��

� �����.

¶ �� �� ���� ��� ���� �����.

(4) �� e-Community ��: WebSEAL 4(��� B)

¶ ���� WebSEAL 4(�� ��� B)� � ���� ��� �

����. ���� 2� � ���� ��, ������

WebSEAL 3� “vouch for” � �� ���� ��� Be-community �� �� �� ����. WebSEAL 4� ���

� �� �� ��� ��� �� ����.

¶ WebSEAL 4 ���� e-community ��� ���� MAS� �

�� �����. ��� B e-community �� ��� MAS ��� �� WebSEAL 4 ��� �����. �� WebSEAL 4�“vouch for” � � ��� �����. (���� 1� � ���

� ��� B � � ��� � ��� A � �� �����

� �������. �� MAS ��� �� �����. �� �

� WebSEAL 4� ��� B� �� “vouch for” � � ���.)

134 �� 3.8

¶ ���� 2� � ���� ��, WebSEAL 4� ��� B �

�� �� ��� B “vouch for” � (���, WebSEAL 3)��� �� “vouch for” URL� ���� ��� �����.

¶ WebSEAL 3 “vouch for” ��� �, ���� � ����

�� ��� ���(���� 2�� ��).

¶ WebSEAL 3 ��� “vouch for” �� �� �����

WebSEAL 4�� �� ��� URL� ��� �����.

¶ WebSEAL 4� ��� �� ��� ���� �� ��� ��

� �����.

¶ �� �� ���� ��� ���� �����.

(5) � � e-Community ��: WebSEAL 2(��� A)

¶ ���� ���� WebSEAL 2(��� A)� �����. ����

3� ��� ��, WebSEAL 2� ���� �� �� ��� �

�� ����.

¶ �� �� ���� ��� ���� �����.

e-Community�� ����

¶ ���� ����� ��� ������ �� SSL �� ��

e-community �� �����.

¶ ���� /pkmslogout ���� � ������ � ����

�� SSL �� � e-community �� �����.

e-Community ��� �� ��

¶ e-community �� � WebSEAL � � � ��� ���

�� ���, ���� ���� ���� ��� � ��� �

� WebSEAL � (��� ��� �� ��)� �����.

¶ ��� �� ��� “vouch for” � � �, e-community �

�, “vouch for” � � �� ��(URL), ��� � �� ��

����. �� ��� ��� �� �� ����.

135Tivoli SecureWay Policy Director WebSEAL �� ���

5.�

��

��

��

��

��

¶ e-community �� ���� ���� � � ��� ���

“vouch for” ��� ��� � �� ���. MAS� ���� �

��� �� e-community �� � ��� ��� ���.

¶ �� webseald.conf �� ���� ��� �(���) �� ��� ����. � � � �� � � ��� ��� �

��� �� “vouch for” ��� ��� � ���� �����. �

�� ���� ���� ��� � MAS� ���� ���.

¶ ����� ��� �� ����� �����. ���� �� �

���� ������ e-community �� �����. ��� �

�� �� ������� ���� �����.

“Vouch For” �� � ��� �� ��e-community “vouch for” ���� �� �� � �� URL(“vouchfor”�� “vouch for” �)� � ���� �� ��� ����

�. ��� URL webseald.conf� �� ��� ���� e-community“vouch for” HTTP �� ��� � �����.

“vouch for” ��

“vouch for” �� ���� � ���� �� �� ��� ��� �

� � �� � (e-community� � �� )��� ��� ��� �

������. � � “vouch for” � (MAS� e-community ���

�� � � ��)� HTTP �� ���� ����.

“vouch for” ���� �� � ��� �� ����.

https://<vouch-for-server>/pkmsvouchfor?<ecommunity-name>&<target-URL>

�� � � ecommunity-name� ���� e-community ��� ��

����. �� � � “vouch for” �� target-URL� ���� �

��� ��� �� �� ��� ���� �����.

pkmsvouchfor “vouch for” URL �� �����.

�� ��, �� ����.

136 �� 3.8

https://mas.dA.com/pkmsvouchfor?companyABC&https://ws5.dB.com/index.html

“vouch for” ��

“vouch for” � “vouch for” � ��� �� � �� ����.

“vouch for” ��� �� � ��� �� ����.

https://<target-URL>?PD-VFHOST=<vouch-for-server>&PD-VF=<encrypted-token>

PD-VFHOST ���� “vouch for” ��� ��� � � ����

�. ��(��) � � � ��� ���� “vouch for” ��(PD-VF)� �� ��� � ��� ��� � �����. PD-VF ���

� ��� “vouch for” ��� �����.

�� ��, �� ����.

https://w5.dB.com/index.html?PD-VFHOST=mas.dA.com&PD-VF=3qhe9fjkp...ge56wgb

“Vouch For” �� �� ���� ��� �� �� �� ����� �� ��� �� ��� �

� �� ����� ���. ��� ��� ��� URL� ���� �

�� �� ��� ���� �� ���� ���� �����. ��

� ��� ���� “vouch for” ����� ���.

¶ ���� “vouch for” �� �� ��, ���� ��(���

��), ��� ��� � � ��� �, e-community �� � �

� �� �� �� ����.

¶ ��� “vouch for” ��� ��� ��� � � � ����

���� ��� � ��� ���� � �� ��(� �� ��)���� � ����.

¶ �� ��� ��� � ��� �� triple-DES � � ��

�� ������.

¶ ��� �� ��� ����� ��� ����.

137Tivoli SecureWay Policy Director WebSEAL �� ���

5.�

��

��

��

��

��

¶ �� � �� �����. �� � � � ��� ���� ��

� ��� ��� ��� �����. � � ��� �� �

� ���� � ��� � ��� �����.

¶ �� webseald.conf �� ���� ��� �(���) �� ��� ����. � � �� ��� ��� ��� � ��

�� � ����(� ��).

“Vouch For” � ���WebSEAL cdsso_key_gen ����� � ���� � ����

��� �� �� ���� ���� ���. ���� � ���� �

� ��� WebSEAL � ��� ���� � � “���”

� ���. � ���� ���� WebSEAL � � � � ��

� ���.

�: ��� ���� ���� � Policy Director e-community �

���� ��� ����. ���� � � � �� ��� �

��� ���.

cdsso_key_gen ����� �� ��� � ����� ��� �

�(�� �� �)� ��� ���.

UNIX: # cdsso_key_gen <absolute-pathname>

Windows: MSDOS> cdsso_key_gen <absolute-pathname>

��� ���(� � ��) �� � � �� ���� ��� �� �

��� � ���� � ��� webseald.conf �� ���

[e-community-sso] ����� intra-domain-key ���� ����

�����.

[e-community-sso]intra-domain-key = <absolute-pathname>

MAS, �� ���� �� � � �� �� ��� �� ���

� � ���� ��� ��� [inter-domain-keys] ���� ��

138 �� 3.8

���. MAS ��� ���� �� �� � �� inter-domain-keys� ���� ����. MAS� �� ���� �� � ���� �

��� ��� � ���.

[inter-domain-keys]<domain-name> = <absolute-pathname><domain-name> = <absolute-pathname

e-Community ��� ���� e-community ��� ��� �� �� ���� � �

����. �� ���� webseald.conf ��� ����.e-community�� ���� � � � � � ��� �� �� ��

� ���.

e-community-sso-auth

� ���� e-community ��� �� �� �� ����� ���.��� “http”, “https”, “both” �� “none”� �����. �� ��,�� ����.

[e-community-sso]e-community-sso-auth = both

“http”, “https” � “both”� � e-community ���� ���� �

� ��� �����. “none”� � � � � �� e-community� �� ����� ���. �� � “none”���.

master-http-port

e-community-sso-auth� HTTP e-community ��� ���� ���

�� � � HTTP ��(�� 80)� �� �� ���� HTTP ��� ���� master-http-port ���� � ��� �����.� � � ��� �� � � ���� � ���� �����. �

����, � ���� ��� � ����.

[e-community-sso]master-http-port = <port-number>

139Tivoli SecureWay Policy Director WebSEAL �� ���

5.�

��

��

��

��

��

master-https-port

e-community-sso-auth� HTTPS e-community ��� ���� ��

� �� � � HTTPS ��(�� 443)� �� �� ����

HTTPS ��� ���� master-http-port ���� � ���

�����. � � � ��� �� � � ���� � ���� �

����. �����, � ���� ��� � ����.

[e-community-sso]master-https-port = <port-number>

e-community-name

� ���� ���� �� ���� ���� �� � � ��

e-community� �� �� �����. �� ��, �� ����.

[e-community-sso]e-community-name = companyABC

e-community-name � e-community� ���� �� ���� �

� WebSEAL � � � ��� ���.

intra-domain-key

� ���� � � ��� ��� ��� ��� ����� ��

��� � ���� ��� ��� �����. �� ��, ��

����.

[e-community-sso]intra-domain-key = /abc/xyz/key.file

� ���� � ��� ��� ��� � �� �� WebSEAL� � �� ��� ��� ��(���) ��� ���.

is-master-authn-server

� ���� � � � MAS�� ��� �����. ��� “yes” �

� “no”� �����. �� ��, �� ����.

140 �� 3.8

[e-community-sso]is-master-authn-server = yes

�� �� WebSEAL� ��� �� � � ����� ��� ��

��� �� ��� � ����. � ������ �� ����

e-community� �� �� WebSEAL � � � MAS�� “��”�

��.

master-authn-server

is-master-authn-server ���� “no”� ��� � ���� �

�� ��� ��� ���. � ���� MAS� ��� ��� �

� �����. �� ��, �� ����.

[e-community-sso]master-authn-server = mas.dA.com

vf-token-lifetime

� ���� “vouch for” ��� � ��� �(� ��)� ��

��. � � ��� �� ����� � �����. ��� 180����. ���� � � ��� �� � � ��� ���. �� �

�, �� ����.

[e-community-sso]vf-token-lifetime = 180

vf-url

� ���� “vouch for” URL� �����. � ���(/)� ��

� ���. ��� /pkmsvouchfor���. �� ��, �� ��

��.

[e-community-sso]vf-url = /pkmsvouchfor

� URL� �� �� ����.

vf-url = /ecommA/pkmsvouchfor

ec-cookie-lifetime

141Tivoli SecureWay Policy Director WebSEAL �� ���

5.�

��

��

��

��

��

� ���� e-community ��� �� �� �(� ��)� ��

���. ��� 300����. �� ��, �� ����.

[e-community-sso]ec-cookie-lifetime = 300

��� �

MAS, �� ���� �� ���� � � ���� ��� ���

�� �� ��� � ��� ��� ��� [inter-domain-keys]����� �����. � � �� ��� ��� � �� �

�� �� �� �� �� ��� ���.

�� ��� MAS(��� A)� � �� �� ��� ���� ��

��� �����.

[inter-domain-keys]dB.com = /abc/xyz/key.fileBdC.com = /abc/xyz/key.fileC

� ���� key.fileB� ��� A ��� B ��� �� �

�� �����. key.fileC� ��� A ��� C ��� ��

��� �����.

��� �� � �� MAS� � �� ��� ��� ��� �

�� ���. MAS(��� A) ��� ���� ��� B� �� �

key.fileB� ��� ��� ���.

[inter-domain-keys]dA.com = /efg/hij/key.fileB

MAS(��� A) ��� ���� ��� C� �� � �

key.fileC� ��� ��� ���.

[inter-domain-keys]dA.com = /efg/hij/key.fileC

142 �� 3.8

CDSSO �� ��� ��e-community ���� cdsso �� ���� ��� ���. ��

�� � � “vouch for” ��� �� �� �� ����� ��� �

�� ��� � � ���� �����. cdsso �� ���� ��

�� ��� �� �� �� ������ �����.

¶ UNIX�� � �� ��� ���� �� libcdssoauthn���

�� �� ��������.

¶ Windows�� � �� ��� ���� �� cdssoauthn��

� �� DLL���.

Authn ���� � �����

Solaris AIX Windows HP-UX

cdsso libcdssoauthn.so libcdssoauthn.a cdssoauthn.dll libcdssoauthn.sl

webseald.conf �� ��� [authentication-mechanism] ����

cdsso ��� �� ����� ��� ��� �� �� ����

CDSSO �� ���� ��� � ����.

�� ��, �� ����.

Solaris:

[authentication-mechanisms]cdsso = libcdssoauthn.so

Windows:

[authentication-mechanisms]cdsso = cdssoauthn.dll

143Tivoli SecureWay Policy Director WebSEAL �� ���

5.�

��

��

��

��

��

144 �� 3.8

WebSEAL Junction

WebSEAL � ��� � ������ � �� ��� WebSEALjunction �� junction��� ���. WebSEAL junction ���

� WebSEAL � ��� � ������ � �� TCP/IP �����. junction WebSEAL� ��� � � �� � ��� ���

� �� ���.

pdadmin �� ���� �� Web Portal Manager� ����

WebSEAL junction� ��� � ����. � ��� WebSEALjunction ��� � � ��� � ���.

�� �� �� ����.

¶ 146 ���� �WebSEAL Junction ���

¶ 149 ���� �“pdadmin � ���”� ��� Junction ���

¶ 150 ���� ��� WebSEAL Junction ���

¶ 153 ���� ��� �� SSL Junction�

¶ 157 ���� �TCP � SSL ��� Junction ���

¶ 158 ���� �SSL� �� WebSEAL�� WebSEAL��

Junction�

¶ 159 ���� ��� Junction ���

¶ 178 ���� �WebSEAL Junction ��� �� � �����

6

145Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

¶ 181 ���� ���� � �� query_contents ���

WebSEAL Junction ���� � WebSEAL junction ��� ��� � ����.

¶ TCP ��� �� WebSEAL�� ��� � �

¶ SSL ��� �� WebSEAL�� ��� � �

¶ HTTP ��� � ��� TCP ��� �� WebSEAL�� ���

¶ HTTPS ��� � ��� SSL ��� �� WebSEAL�� ��

��

¶ SSL ��� �� WebSEAL�� WebSEAL�

junction� ���� �� �� � �� ��� ��� ���.

1. WebSEAL �� � ���� � ������ � � junction(��)� ��� ������.

2. junction ��� ������.

Junction ������ �� � ��WebSEAL junction ��� �� XML ��� ������ ��� �

���. junction ������ ����� ��� webseald.conf �

� ��� [junction] ���� �����. ����� WebSEAL �

��([server] ����� server-root ���)� ������.

[junction]junction-db = jct

¶ � junction ��� .xml� ��� ��� �����.

¶ pdadmin ����� ���� junctions � ��� ���� �

� � ����.

¶ XML ��� ���� junction ��� �� ��, ��, �� � �

�� � ����.

146 �� 3.8

���� � ��� � ��: ��

1. pdadmin ���� �� Web Portal Manager� ����

WebSEAL ��� � �� junction� ������.

2. junction ���� ��� ACL Policy� ���� ��� � � �

� ���� � ��� ������.

��� ��� � ��: ��

1. pdadmin ���� �� Web Portal Manager� ����

WebSEAL ��� � ���� junction� ������.

WebSEAL ��� �� ���� ���� “��” �� � �

���. �� � ��� �� �� ���� �� ���

WebSEAL� ���� query_contents�� �� ������� �

��� �� �� � ��� WebSEAL� � ��� ���.

2. query_contents ����� ��� � � ������.

3. �� �� � ��� �� ��� �� �� ACL Policy� �

�����.

WebSEAL Junction �� �� ���� � junction� �� “�”� ��� ����.

¶ �� WebSEAL �� � �� ����� junction� ��� � �

���.

¶ ��� �� ����� �� ��� � � junction� � ��

��.

��� junction ����� �� �� ��� � � ��(TCP�� SSL)� ��� ���.

¶ ACL policy� junction� � ��� � � �����.

¶ junction ���� �� WebSEAL � � � ��� �� �� �

���� ���� ���. �� ��, WebSEAL� /path/...��� ��� ��� ��� /path�� �� junction ����

���� ����.

147Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

¶ � � ���� �� HTML ���� � ����� �� �

� URL� �� ����(�: Javascript �� ��")� ��� �

� junction ���� ��� � � � ��� �� �� ����

� ���� ���. �� ��, ��� � � ���� ��

���� /path/... ��� URL� �� ����� ��� ��, /path�� �� junction ���� ���� ����.

WebSEAL Junction�� HTTP 1.0�� ���WebSEAL junction�� HTTP 1.0�� �����. � ���� �

�� junction � �� �� ������� �� �� �� ��

� ��� � � ����.

� ��� ���� RFC ��

� ��� ( ��� ���

WebSEAL)

HTTP/1.0 � HTTP/1.1 RFC2068

���(WebSEAL�� junction

� )

HTTP/1.0 �� RFC1945

�: ���� ���� HTTP/1.0 “Keep-Alive”� ���� ����.HTTP �� �� HTTP/1.1� � �����.

WebSEAL Junction� �� �� �WebSEAL junction ��� ��� 9 ���� �WebSEAL Junction� �� ��� ������.

junction � ��� �� ��� �� 245 ���� �WebSEALJunction ���� ������.

148 �� 3.8

“pdadmin �� ���”� ��� Junction ��pdadmin� ���� �� sec_master � ����� � ����

���� ���.

�� ��, �� ����.

UNIX:

# pdadminpdadmin> loginEnter User ID: sec_masterEnter Password:pdadmin>

Windows:

MSDOS> pdadminpdadmin> loginEnter User ID: sec_masterEnter Password:pdadmin>

WebSEAL junction� ����� pdadmin server task �� ��

����.

pdadmin> server task <server-name> <task>

server-name ��� � �� � � � ��� �� PolicyDirector ����(�: WebSEAL)� �� �����.

<policy-director-component>-<machine-name>

�� ��, �� �� cruz�� Policy Director ����� WebSEAL�� server-name �� ����.

webseald-cruz

server list �� ���� � � ��� ��� � ����.

pdadmin> server listwebseald-cruz

149Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

�� WebSEAL Junction ��WebSEAL TCP(HTTP) � WebSEAL ��� � ����

�� � �� � SSL(HTTPS) junction� �� �����.

WebSEAL ��� � �� junction ���� WebSEAL �

�� �� ��(� � � �) �� ����.

pdadmin� ���� �� WebSEAL junction� ����� �� �

�� � ��� �����.

¶ ��� ������ � � ��� �(-h ��)

¶ junction ��: tcp, ssl, tcpproxy, sslproxy, local(-t ��)

¶ junction ���(�� ���)

pdadmin> server task <server-name> create -t <type> -h<host-name> <jct-point>

�� ��, �� ����.

pdadmin> server task webseald-cruz create -t tcp -h doc.tivoli.com /pubs

TCP �� JunctionTCP ��� �� WebSEAL junction junction� �� ��� ��

��� junction �� � � ��� ����� ����.

�� 22. �� TCP(HTTP) Junction

150 �� 3.8

� TCP junction� ���� �� � � ����� -t tcp ��

�� create �� ������.

pdadmin> server task <server-name> create -t tcp -h <host-name>[-p <port>] <jct-point>

TCP junction� �� �� �� �(���� � ��) 80���.

SSL �� JunctionSSL junction TCP junction �� ��� ��� ����

WebSEAL ��� � �� �� ��� ����� ��� ��

�.

SSL junction � ����� ������ ��������� ��

��� ����. SSL� ���� ������ WebSEAL�� �

�, WebSEAL�� ��� � �� ��� ��� � ����. �

�� � � SSL junction� ��� � HTTPS� ��� � ��� �

��.

� SSL junction� ���� �� � � ����� -t ssl �� �

� create �� ������.

pdadmin> server task <server-name> create -t ssl -h <host-name>[-p <port>] <jct-point>

SSL junction� �� �� �� �(���� � ��) 443���.

�� 23. � SSL(HTTPS) ��

151Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

��� �� ��� ������ ��� � � ��� ���� WebSEAL � � �

� ����� ���� ��� �����. SSL ���� ���

� � ��� ���� ��, � � � � ���� � ��� �

��� �����.

WebSEAL� ��� � ��� � ���� �� WebSEAL �

�� ��� ������� ��� �� �� CA ��� ����

� ���� ���� ��� ���.

Policy Director� SSL� IBM GSKit(Global Security Kit) ��� �

����. GSKit iKeyman ����� ���� ��� � ����

�� CA� �� ���� WebSEAL ��� ��(pdsvr.kdb)���� ���.

��� ������ �� �� ��� �� 253 ����

�iKeyman�� �� ��� ������.

SSL Junction� ��SSL� �� junction ��� /sales��� Junction ���

sales.tivoli.com

pdadmin> server task <server-name> create -t ssl -hsales.tivoli.com /sales

�: �� ���� -t ssl �� �� �� 443� �����.

SSL� �� junction ��� /travel�� �� 4443� junction ��

� travel_svr

pdadmin> server task <server-name> create -t ssl -p 4443-h travel_svr /travel

152 �� 3.8

�� ��� SSL JunctionWebSEAL SSL junction(-t ssl �� -t sslproxy)� �� WebSEAL� ��� � �� �� ��� �����. �� SSL� ��

�� ��� ��� ���� ��� ��� ����. (��� ���

� ��� ���� ����.)

1. WebSEAL ��� � � �����(�� SSL ����).

¶ WebSEAL ��� � ��� � ���� ������.�WebSEAL ��� � ���� ������ ������.

¶ WebSEAL ���� �� �� �(DN)� �����

(-D)(������ �� ��). 154 ���� ��� �(DN)���� ������.

2. ��� � � WebSEAL� �����(� �� ��).

¶ ��� � � WebSEAL�� ���� ���� �����

�(-K). 154 ���� �WebSEAL ���� ���� ��

��� ������.

¶ ��� � � BA(Basic Authentication) �� �� WebSEAL�� ��� ������(-B , -U , -W) . 155 ����

�WebSEAL BA �� ����� ������.

SSL� �� �� ��� ���� � �� �� ��� ����

�.

¶ ���� ���� BA �� ���� ��� � ����.

¶ junction ��� �� ���� ��� � ����.

SSL� �� -b ��(BA �� ��� ��) �� ��� �� 156���� �Junction� � ���� �� �� ����� ���.

WebSEAL ��� �� ���� ����WebSEAL SSL ����� �� ��� � ���� ���

��. ��� � � � ���� WebSEAL� ����. WebSEAL

153Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

�� �� �� CA(Certificate Authority) ��� ���� �

���� ���� ���� ���.

(� CA�� �� �����) ������ � ���� �� ��

��� ���� CA(Certificate Authority) ���� WebSEAL�� �

��� ������� ����� ���.

iKeyman ����� ���� �� CA ���� ������� ��

�� �����. 253 ���� �iKeyman�� �� ��� ��

����.

� ��(DN) ���� �(DN) ��� � � � ��� ��� ���� � ���

�. � DN ��� ����� � � �� SSL junction� ���

� ��� � DN� ��� ���. DN ��� ��� �����

SSL junction� �� �� ���� � ��� ���� �� � �

���.

� � ���� ���� � ���� �� DN junction� �

�� DN � ���. DN� �� ���� ��� ��� � ��

��� ���.

� DN ��� ����� -D “<DN>” ��� ���� SSL junction� ��� � ��� � DN� ������. ���� �� �� �

�� ����� DN ���� ���� �����. �� ��, ��

����.

-D “/C=US/O=Tivoli/OU=SecureWay/CN=Policy Director”

-D �� -K �� -B �� �� ��� �� �����.

WebSEAL ����� ���� ������� ���� � junction ��� � �� WebSEAL ��

� ����� -K ��� ������.

-K “<key-label>”

154 �� 3.8

� ����� �� ���� ��� �����.

¶ ��� � � ���� ���� WebSEAL� ��� ����

� ����.

¶ WebSEAL �� ���� ���� ����

��� � (ssl-keyfile-label)� ����� ��(webseald.conf)���.

¶ DN ��(-D)� �� junction� ���� �� � ����.

-K �� GSKit ������� ��� �� �� ����

���� ���� ��� �����. iKeyman ����� ����

������� �� ���� ������. webseald.conf �� �

�� �� ssl-keyfile-label ���� ���� �� �����

�.

� ��� ���� ��� ���. �� ��, �� ����.

-K “cert1_Tiv”

41 ���� �WebSEAL� �� ������ ��� ���� �

�����.

WebSEAL BA �� ���BA(Basic Authentication)� �� WebSEAL ��� ����� -B -U“<username>” -W “<password>” ��� ������.

-B -U “<username>” -W “<password>”

� ����� �� ���� ��� �����.

¶ ��� � � BA �� WebSEAL� ��� ����� ��

��.

¶ -b ��� ���� junction� ���� ����(��� ����

� -B �� -b filter� ���).

¶ WebSEAL BA �� �� �� ��� ���� ��� �

� ����� �����.

155Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

¶ DN ��(-D)� �� junction� ���� �� � ����.

��� � �� ��� ���� ��� ���. �� ��, ��

����.

-U “WS1” -W “abCde”

Junction� �� ����� �� �� ��BA �� �� ���� �� ��� ����� junction� ��

� ����. -b �� filter, supply, ignore, gso �� � �� ��

� ����. �� ��� �� ��� �� 189 ���� ��� �

� � ���� �� BA � ���� � ����.

-b �� �� ��� �� junction �� ��� ��� ��� �

�� ��� ��� �� ���.

-b supply ��

¶ BA �� �� WebSEAL �� � ���� ��� ���

�. � �� �� ���� ��� � � “�” ��� �

BA �� �����.

¶ ���� ���� �� WebSEAL �� � ���� ���

�.

-b ignore ��

¶ BA �� �� WebSEAL �� � ���� ��� ���

�. � �� �� ���� ��� � � ��� � BA �

� �����.

¶ ���� ���� �� WebSEAL �� � ���� ���

�.

-b gso ��

¶ BA �� �� WebSEAL �� � ���� ��� ���

�. � �� GSO � � � ���� ��� � � ���

�� BA �� �����.

156 �� 3.8

¶ ���� ���� �� WebSEAL �� � ���� ���

�.

-b filter ��

¶ �����, -b filter �� WebSEAL ��� BA � ��� �

���� ���� � �����.

WebSEAL BA �� �� � HTTP ����� �����.WebSEAL ��� ��� � � ����� �� ��� ���

�.

¶ ���� ���� �� WebSEAL �� � ���� ���

�.

¶ ��� � � � ���� ��� ����(������) CGI�� HTTP_IV_USER, HTTP_IV_GROUP �

HTTP_IV_CREDS� ��� � ����. ���� � servlet� �

�� ��� Policy Director �� HTTP �(iv-user, iv-groups,iv-creds)� ������.

TCP � SSL ��� Junction ��HTTP �� HTTPS ��� � � ���� ���� ���� ��

��� ��� WebSEAL junction� ��� � ����. ���

TCP �� �� �� SSL ���� ����� junction� ���

� ����.

create ��� ��� � � �� TCP � �� SSL ��

junction� ���� � type ��� �� �� � ��� ����

�.

¶ -t tcpproxy

¶ -t sslproxy

create � add ��� ��� � � �� � � � ���� �

�� �� � ��� �����.

157Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

-H <host-name> ��� � � DNS ��� � �� IP ��

-P <port> ��� � � TCP ��

-h <host-name> �� � � � DNS ��� � �� IP ��

-p <port> �� � � � TCP ��. TCP junction� ��

��� 80�� SSL junction� �� ��� 443�

TCP ��� junction ��: (� ��� ��)

pdadmin> server task <server-name> create -t tcpproxy-H clipper -P 8081 -h www.ibm.com -p 80 /ibm

SSL ��� junction ��: (� ��� ��)

pdadmin> server task <server-name> create -t sslproxy-H clipper -P 8081 -h www.ibm.com -p 443 /ibm

SSL� �� WebSEAL�� WebSEAL�� JunctionPolicy Director� ���� WebSEAL � ��� WebSEAL �

�� SSL junction� �����. create �� -C ��� ���

� SSL� � � �� WebSEAL � � junction�� �� ���

������.

�� 24. ��� junction ��

158 �� 3.8

��:

pdadmin> server task <server-name> create -t ssl -C -h serverA /jctA

�� � ���� �� ��� �����.

¶ SSL ����� ���� ��� WebSEAL � � � � �

��� � ���� WebSEAL � � ��� � ����.

¶ -C ��� ���� ���� WebSEAL � � � �� ��

� BA(Basic Authentication) �� ��� WebSEAL � � �

�� � ����.

�� -C ���� ��� WebSEAL � � �� ��� HTTP �

� Policy Director �� ���� �� � �� � � ��� �

��� -c ��� ��� ��� � ����. � ����� iv-user,iv-groups � iv-creds� ����. 161 ���� �HTTP �� ��

���� �� ��(-c)�� ������.

�� �� WebSEAL�� WebSEAL�� junction� �����.

¶ junction -t ssl �� -t sslproxy junction ��� �����.

¶ � �� WebSEAL � � �� LDAP �� DCE ������ �

�� ���. ��� ��� WebSEAL � � ����

WebSEAL � � �� ��� ��� � ����.

�� Junction ��� ���� �� � WebSEAL junction ��� ��� � �

���.

¶ 160 ���� ��� Junction �� �(-f)�

¶ 161 ���� �HTTP �� �� ���� �� ��(-c)�

¶ 163 ���� �HTTP �� �� ���� IP �� ��(-r)�

¶ 164 ���� ��� �� Junction � � � ��(-k)�

¶ 165 ���� ������ ���� �� URL ��(-i)�

159Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

¶ 165 ���� ����� � ����� ���������� URL��(-j)�

¶ 170 ���� �Junction ��� ���� � �� URL ���

¶ 172 ���� �Stateful Junction ��(-s, -u)�

¶ 173 ���� �Stateful Junction� �� ��� � UUID ��

(-u)�

¶ 177 ���� �Windows �� ����� Junction(-w)�

��� Junction � ��(-f)�� junction� ��� �� junction� � �� ��� -f ��� �

�� ���.

�� ��(� � websealA�)��� � ��� �����.

1. pdadmin�� �������.

# pdadminpdadmin> loginEnter User ID: sec_masterEnter Password:pdadmin>

2. server task list �� ���� ��� �� junction ����

�����.

pdadmin> server task websealA list/

3. server task show �� ���� junction� ����� ��

���.

pdadmin> server task websealA show /Junction point: /Type: LocalJunction hard limit: 0 - using global valueJunction soft limit: 0 - using global valueActive worker threads: 0Root Directory: /opt/pdweb/www/docs

160 �� 3.8

4. �� junction ���� ��� �� �� junction� �����

�. (�� junction� ��� �� junction� � �� ��� -f��� �����.)

pdadmin> server task websealA create -t local -f -d /tmp/docs /Created junction at /

5. �� junction ���� ������.

pdadmin> server task websealA list/

6. � junction� ����� �����.

pdadmin> server task websealA show /Junction point: /Type: LocalJunction hard limit: 0 - using global valueJunction soft limit: 0 - using global valueActive worker threads: 0Root Directory: /tmp/docs

HTTP �� �� ����� �� ��(-c)-c ��� ���� junction ��� � � �� HTTP ��� �

� Policy Director �� ���� �� � �� � � ���

�� � ����. Policy Director HTTP � ��� junction �

�� � �� ������� ���� ����� Policy Director �

�� ��� ��� �� ��� �����.

HTTP � ��� ��� � � ���� ��� � ��� ��� �

� � �� � ���� ���� ���. � ��� �� �

�(-)� ��(_)� ��� “HTTP”� ���� �� ��� ���� CGI�� � ���� ����. HTTP �� � �� �� �

� �� ���.

PD �� HTTP �

� ��

�� CGI �� � ��

iv-user = HTTP_IV_USER = ��� � ����� �. �����

���� � ��( � �� ��) ��

� “���� ��”���.

161Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

PD �� HTTP �

� ��

�� CGI �� � ��

iv-groups = HTTP_IV_GROUPS = ����� �� ��� ��. �� ��

�� ���� �����.

iv-creds = HTTP_IV_CREDS = Policy Director ��� ���� ��

opaque ��� ��. �� � � ��� �

���� �� � ������

Authorization API� ���� �� �� �

� �� � � � � �� � � . T i v o l i

SecureWay Policy Director Authorization

ADK Developer Reference� ������.

CGI ���� Policy Director �� HTTP � ��� �� �

HTTP_IV_USER, HTTP_IV_GROUPS � HTTP_IV_CREDS� �

�� � ����. �� ������ ����� ��� ��, HTTP ���� � ��� �� �� ��� ��� ������.

-c ��-c �� �� Policy Director �� HTTP � ���� ��� �

����� � � ������ �����.

-c <header-types>

header-types ���� all, iv_user, iv_user_l, iv_groups � iv_creds� �����.

� ��

iv_user ��� �(� ��)� ��� HTTP ��� i v-user��� �����.

iv_user_l ���� �� DN(� ��)� ��� HTTP ���

iv-user ��� �����.

iv_groups ���� �� ��� ��� HTTP ��� iv-groups��� �����.

162 �� 3.8

� ��

iv_creds ���� �� ��� ��� HTTP ��� iv-creds �

�� �����.

�: iv_user �� iv_user_l � ��� ���� � �� �� ����

����.

-c all �� � �� ��� �� ��� �� HTTP �� ��

��. (� �� � � ��(iv_user )� �����.)

�: �� ��� �� ������. �� ���� ����.

��:

-c all

-c iv_creds

-c iv_user,iv_groups

-c iv_user_l,iv_groups,iv_creds

HTTP �� �� ����� IP �� ��(-r)-r ��� ���� junction ������ � � �� ��� HTTP�� ���� IP �� ��� �� � ����. Policy DirectorHTTP � ��� ���� junction �� � � �� �����

�� IP �� ��� ���� ��� ��� � ����.

HTTP � ��� ��� � � ���� ��� � ��� ��� �

� � �� � ���� ���� ���. � ��� �� �

�(-)� ��(_)� ��� “HTTP”� ���� �� ��� ���� CGI�� � ���� ����. HTTP �� � �� �� �

� �� ���.

�: IP ��� �� �� ��� ���� ��� ��� ���� �

����. IP �� �� ��� � � NAT(Network AddressTranslator)� ��� ��� �� ����.

163Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

PD �� HTTP �

� ��

�� CGI �� � ��

iv-remote-address HTTP_IV_REMOTE_ADDRESS

����� IP ��. � � ��� �

� NAT(Network Address Translator)� IP

��� ��� �� ����.

-r �� ���� ��� IP ��� ��� ������ � � ��

�� �����. � �� �� �� ����.

�� ��� Junction� � ��� ��(-k)� � ��� �� ��� �� � ���� ���� � ���.-k ��� ���� Policy Director �� �(��� ����

WebSEAL ���� ���)� ��� � � � �� � ����.�� � �� Plumtree Corporate Portal ����� WebSEAL� �

�� �� ���� � �����.

����� � � ��� ��� �� ��� ��� �, � �

� �� �� ������ � � ��� �� WebSEAL� �

���� ��� ���� � ��� �����. �� �� ���

� � � � ����� �� ��� ������ � � ��

�� �� �� ��� � ����.

WebSEAL ��� � � �� junction� ��� � �� ��

-k ��� ������.

� � ���� ��� � �� �� ����.

¶ ��� � � ��� �� ���� �� ��� �����. �

� ��(BA) ���� ����.

¶ webseald.conf �� ��� [session] ����� ssl-id-sessions���� “no”� �� ���. HTTPS ��� ��, � �

SSL �� ID �� ��� �� �� ���� �� ��� �

������.

164 �� 3.8

¶ WebSEAL ���� � � � ������ failover �� �

� ������. Failover ��� ��� ���� ��

WebSEAL � ��� ��� ����� ��� �� ��� �

� ����.

����� �� � �� URL ��(-i)�����, Policy Director� �� ��� ��� � URL� ��

��� �����. -i �� junction ��� � � �� �� ��

� WebSEAL� URL� ����� ���� ��� ���� � ��

���.

Junction�� � ��� �� ��, WebSEAL URL� �����

� ����� ���� ����. �����,� � � ����� �

����.

���� HTTP � � URL� ����� ����� ���� HTTP��� ����� �� HTTP � � URL� ����� ���� �

���.

�� ��, ����� ���� �� � �� �� � URL ���

URL� ����.

http://server/sales/index.htm

http://server/SALES/index.HTM

�� � ��� � URL� �� ��� ACL(Access Control List)���� ���.

-i ���� �� � � junction�� WebSEAL � � � ��

� �� URL� ����� ���� ����.

�� � � ������ �������� URL ��(-j)� ���� WebSEAL� ��� � � �� ����� ���� �

� �� � � � �� �� ���� ��� � ���.

¶ 166 ���� ����� �� �����

165Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

¶ 167 ���� �Junction �� ���� � �� URL ���

¶ 169 ���� ����� �� � ��� �� URL ���

¶ 170 ���� �Junction ��� ���� � �� URL ���

���� �� ���������� junction � � � ��� � ���� ��� ��

HTML, ����� ������(��") �� ����� ����.� ���� ���� Javascripts, VBscripts, ASP, JSP � ActiveX�� ����.

HTML, ���� �� ��"� � �� ���� ��� � �

� �� !� �� ����� �(URL)� ��� ����. URL

�� �� ���� �����.

¶ ��

¶ ��

¶ � ��

��� � �� �� URL� ������ junction� ���� ��

� ���� �� ���� �����. WebSEAL ��� �� ��

��� �� URL� ��� �� ��� � junction �� ��

� ��� ���.

�� ���� � URL�� �� WebSEAL ��� ���� ��

��. ��� URL� junction ��� �� �� ���� �� �� �

� �� �� ���� � ��� � �� �� ����� ��

��. � �� �� WebSEAL � � ��� �� ����� ��

�� �� ����.

�� URL �� ��( �� �� ���)

abc.html ../abc.html

./abc.html sales/abc.html

166 �� 3.8

�� URL �� ��( ��� junction ��� ���)

http://www.tivoli.com/abc.html

� �� URL �� ��( ��� junction ��� ���)

/abc.html /accounts/abc.html

WebSEAL �� �� � � �� URL� �� � ����

���� �����.

¶ �� HTML ��

HTML � ��� ���� �� ����� � ����

WebSEAL ���� ��� junction ��� URL� �����.179 ���� �Junction � �� �� HTML URL �� ��

������.

¶ ���� � ����� ������ ��

����� ��� ��� � �� � � �� URL ��

� ��� � �� ����� ��� � WebSEAL� �� �

� �� � ����� ����. WebSEAL ��� � junction��� ����� ����� ���.

�: � ����� �� ������ ���� �� URL� ���

�� �(�� �� � ��� ��)� ���� �� ����.

Junction ��� �� � �� �� URL ���� ������ ��� � � ��� ����� � �� URL

��� ���� �����. WebSEAL ����� ��� � �

�� � �� ��� � ����. URL� junction ��� ���

� ���� ������ �� � URL� ����.

167Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

����� � �� � �� ��� ���� WebSEAL

�� �� ���� ��� �� ��� �� �����. WebSEAL ��� �� � “� � ��” �� ����� ��

���.

-j �� junction � �� � ����� � ���� ����

���� ���� ��� � �� URL� ���� �� � �

� ���� �����.

� ��:

pdadmin> server task <server-name> create ... -j ...

� ��� � junction ��� �� ����� �����. � �

�� �� � �� �����.

IV_JCT_<backend-server-name> = </junction-name>

����� � URL� ���� ���� WebSEAL URL� ��

���� �����. ��� � � �� WebSEAL �� �

�� ���� junction ��� ���� ��� ������. ��URL ��� ��� junction ��� � ����� � � ��

��.

�� ����� � �� URL �� � �� ���� �����.

�� 25. �� �� ���� �� URL

168 �� 3.8

WebSEAL � �� URL� ���� � � �� �� �

���� �����. 170 ���� �Junction ��� ���� � �

� URL ���� ������.

�� � ���� ��� �� URL ��WebSEAL�� junction� � ���� �� �� URL� ���

� �� ��� �����. webseald.conf �� ���� �� URL�� � �� �� �� �� ����� �� ���� �� ���

�.

[script-filtering]script-filter = no

�����, ���� �� ��� � ����. ���� �� �

����� ��� �����.

script-filter = yes

�: ��� � �� junction� ����� -j ��� ��� ���.junction ��� �� ���� �� ����� ��� ��

��� ����� �����.

script-filter ��� �� � ��, � , �� ����

�� URL� �����.

�� 26. � �� URL ��

169Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

http://server/resource

script-filter ��� �� �� � ��� ��� junction��� ����.

/junction-name/resource

� ��� �� � �� ��� ��� �� ��� ���� � �

���. script-filter ���� �� URL �� � �� ��� ��

� junction�� ������.

�� ����� � URL �� ���� �����.

Junction ��� �� � �� �� URL ��Policy Director� � �� URL �� � �� � � ����

�� �����. �� �� ��� junction �� ���� junction�� ���� ���� ����� � ����.

WebSEAL junction �� ���� �� ���� � �� URL� �� �� ��� �����. URL� �� �� ��� ���� �

�� ���� WebSEAL � �� � junction�� ��� �

����.

�� 27. �� URL ��

170 �� 3.8

��� jmt.conf�� ASCII ��� �����. � ��� ���

webseald.conf �� ��� [junction] ����� �����.

jmt-map = lib/jmt.conf

���� �� ��� ��� �� junction �, �� � �� ��

��� �����. �� �� �� ��� � ���� ��

� ��� �� ����.

junction �� ��� �� �����, � �� ��� � � /jctA �

/jctB�� WebSEAL� junction���.

#jmt.conf#<junction-name> <resource-location-pattern>/jctA /documents/release-notes.html/jctA /travel/index.html/jctB /accounts/*/jctB /images/weather/*.jpg

�� jmt.conf �� ��� �����. ��� ���� ���

�� WebSEAL� �� ��� � ��� jmt load �� �

��� ���� “��”� ���.

pdadmin> server task <server-name> jmt loadJMT ���� ����� �������.

�� �� junction �� ��� ���� �����.

¶ � ����� -j ���� junction �� ���� ��

¶ � ��� �� ���� ��� ������ �

¶ � ��� �� URL� �� �� ���� ��

¶ �� �� � �� � �� � junction � ������ �

�� ��� �

¶ ��� �� � ��� ��� �� ��� ���� ��. �

�� WebSEAL �� ��

¶ �� ���� ���� �� �� ���� �� ���� ��

� � ��. ��� WebSEAL �� ��

171Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

¶ �� ���� �� ��� ��� ��� �� ��� �� ��

� ���� ��. ��� WebSEAL �� ��

¶ �� ��� �� � ���� �� �� WebSEAL � ��

��(webseald.log)� �� ��� �� ��� ��

Stateful Junction ��(-s, -u)���� � �� ������ �������� ��� HTTP ��� �� “��”� �������. �� ��, � ��� ��� ��

�� � �����.

¶ CGI ����� � �� ��� ��� ��� � ����

�� ��

¶ ��� ������ ��� ��� � ���� ���� ����

¶ ���� ��� ��� ��� ��� ���� ��� �� �

�� �������� �� �� ����

� �� ������� ��� � � �� ��� � �� ���

� ��� � ����. WebSEAL � � ��� �� ��� �

� junction� ��� � ���� ��� �� �� �� ��

� � � ����� �� �� ��� �� �� �� ��� �

� ������ ���.

�����, Policy Director� �� ��� �� �� � � ���

����� ��� � ��� ���� �����. Policy Director�

“least-busy” ��� �����. � �� �� �� �� �

�� �� � � � � �� ��� �����.

create � -s ���� � �� ��� �� ���� ����� �

�� �� ��� � �� � � � ����� �� “statefuljunction”� �����. �� ���� ��� ���� WebSEAL�� ��� � � UUID� ���� ���� ���� �� �

����. � � ����� � ��� � ���� �� UUID��� ��� ���� � ��� � � ������ ���.

172 �� 3.8

-s �� �� ��� � � � junction ����� junction�� �

� ���� WebSEAL � � �����. �� junction� ���

��� ���� add �� -s �� �� ���� ��� �� �

�� � � ��� junction ���� junction���.

����� �� ���� WebSEAL � � ��� �� � � �

� ��� ��� � � junction�� ��, -u ��� ���� ��

� ��� � UUID� � ���� WebSEAL � � ���� �

�� ���. �Stateful Junction� �� ��� � UUID ��(-u)�� ������.

Stateful Junction� �� ��� �� UUID ��(-u)��� � ������ � � �� junction� ���� WebSEAL�� UUID(Unique Universal Identifier)� ���� � ��� �

� �����. � UUID� ����� ���� stateful junction� �

����� �� �����(create -s).

�� ���� ��� ���� WebSEAL �� ��� � �

UUID� ���� ���� ���� �� �����. � � �

���� � ��� � ���� �� UUID ��� ��� ��

�� � ��� � � ������ ���.

�� ���� WebSEAL � � �� ��� � � junction��

stateful junction ��� �� ���� ���. �� ����

�� 28. Stateful junction ��� � UUID� ���

173Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

WebSEAL � �� ��� � �� � junction ��� � � �

��� UUID� �����. �� �� ��� � � � ���

� WebSEAL � � �� �� UUID� "� �� �����.

�� ���� � �� � �� � ��� ��� ���� � �

� ��� ���� �����. �� ��, �� “��”� �� UUID� ���� WebSEAL � 1� � ��� � � �����.

��� ��� �������� � ��� �� ��� ����

� WebSEAL � 2� � ��� ��, WebSEAL � 2� �

��� � � ���� � ��� UUID� ���� ��� “��”� �� ���� ����. ��, ��� ��� ���� ����.

-u ��� ���� �� ��� � � � ��� UUID� � �

��� WebSEAL � � ��� � ����.

�� ��, � �� ��� � �� stateful junction� �� � ��

�� ���� WebSEAL � � ��� ������. WebSEAL� 1 ��� � 2 ��� stateful junction� ���� ��� �

2� ���� � ��� UUID(UUID A)� �����. ���

WebSEAL � 2 ��� � 2 ��� stateful junction� ���

� �� UUID(UUID B)� ���� ��� � 2� �����.

174 �� 3.8

�������� ��� ��� WebSEAL � 2� � ����

� WebSEAL � 1� � ���� ��� � 2 ��� ��

“��”� �� ���.

junction �� � UUID ��� ��� �� ����� �����

�.

1. WebSEAL � 1��� � ��� � �� junction� ����

��.

create -s � add� ������.

2. 1�� ��� � ��� � � � �� UUID� ������.

show� ������.

3. WebSEAL � 2��� ��� � �� junction� ���� 2�

��� �� UUID� ������.

create -s -u � add -u� ������.

�� 29. �� UUID

175Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

�� ���� ��� � 1 WebSEAL-1 � WebSEAL-2� �

UUID 1� ���. ��� � 2� WebSEAL-1 � WebSEAL-2�� UUID2� ���.

��:�� ����,

¶ WebSEAL-1� WS1��� ���.

¶ WebSEAL-2� WS2�� ���.

¶ ��� � 1� APP1��� ���.

¶ ��� � 2� APP2�� ���.

pdadmin> server task webseald-WS1 create -t tcp -h APP1 -s /mntpdadmin> server task webseald-WS1 add -h APP2 /mntpdadmin> server task webseald-WS1 show /mnt

(�� UUID1 � UUID2� ���)

pdadmin> server task webseald-WS2 create -t tcp -h APP1 -u <UUID1> -s /mntpdadmin> server task webseald-WS2 add -h APP2 -u <UUID2> /mnt

����� ��� � 2� stateful ��� ���� UUID2� ��

�� � ���. �� ��� � � ��� WebSEAL-1 ��

WebSEAL-2� � ������ ��� ��� ����� ��

��� � 2� ���� �����.

�� 30. Stateful junction� �� ��� � UUID ��

176 �� 3.8

Windows �� ���� Junction(-w)WebSEAL URL� �� �� ��� ���� junction ���

� � �� ���� ��� � � ��� �����. Win32 �

� ��� � �� �� ���� �� �� �� � �� ���

����� � � ��� ��� ��� � ����.

� �� �� �� �� �� �����(abcdefghijkl.txt). �

�� �� ����� � ��� 8.3 �� � ��� �����

(abcdefx1.txt).

Windows ���� junction� ��� ��, ��� �� � ���

�� ��� ���� �� ���� � ���� ���� “��

�”� ���� ��� ��� ���.

-w �� 8.3 �� � ��� ��� ����. ���� �(8.3)��� �� �� ���� � �� ��� �� ACL� ���

� ����. � � �� � �� �� �� �

“403 Forbidden” �� ���� ���.

Windows�� �� �� “foo.”� �� �� �� “foo”� ��

� ��� �����. -w �� ��� � � ��� ��� �

� URL� �� ��� # �� �� �����. ACL �� # �

� �� �� �� �� ��� ���.

�: Win32�� ����� ���� ��(abced.txt = AbCdE.txt) �

�� -i ���� ���� 165 ���� ������ ����

�� URL ��(-i)�� ������.

��:Windows NT 4.0��� �� ��� ��� \ProgramFiles\Company Inc.\Release.Notes ��� ��� � ����.

1. \program files\company inc.\release.notes

2. \\program files\company inc\release.notes

177Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

3. \prograx1\companx2\releasx3.not

�� �� 1��� -i ��(-w� ��)� � ��� “���� ��

�”� �� �����.

�� 2��� Windows NT� �� # �� �� �� �����

� �����.

�� 3��� Windows NT� �� �� ��� ���� �� 8.3��� ���� �(DOS ���� �)� ���� ��� ����

�.

-w �� �� 2 3�� �� ���� � �� ����. -w�� # �� �� ���� ��(x) ��� ���� �� �� �

��� ��� ��� junction � � �� �� URL�� �

�� ���� �� �����.

WebSEAL Junction ��� �� �� ����

¶ ���� Junction�� �� � ���

¶ 179 ���� �Junction � �� �� HTML URL �� �

¶ 180 ���� �Junction�� �� ��� ���

¶ 181 ���� �Junction� �� ��� ���

��� Junction�� �� �� ������ junction ����� �� �� �� � � ��� � ��

��. ��� ����� � � � ��� � ����.

� junction ����� �� �� � � ���(�� � ��)��� �� ��� ����, � HTTP �� HTTPS� ��� ��

�. ���� � � � ��� junction ����� ���� ��

��.

178 �� 3.8

1� Policy Director � � ���� junction � � �� ���

� ������. �� ���� ��� � ��� ��(� ��

� ��) ���� ��� ���� ���. ���� � � ���

���� �� ��� ��, ���� ��� ���� ���� ��

���.

��� ���� � �� �� � � �� ���� ���� ���

���.

Junction� ���� �� HTML URL ���junction � ��� MIME �� “text/html”� �� ��� �

����.

WebSEAL� ��� � �� � ��� URL(�� URL � � ��

URL)� ����.

¶ �� �� URL �� ���� �� junction � � �� �

�� � URL� ��� �����.

/dir/file.html

� URL �� �� �� junction � � junction ����

���� �����.

/jct/dir/file.html

¶ �� URL �� ���� �� ��� � �� IP �� �

��� ��� � URL ��� �����.

http://servername[:port]/file.html ��https://servername[:port]/file.html

� URL �� � ��� �� ��� � ����.

1. URL� HTTP�� ���/��� TCP junction � ����

��, �� ���� �� junction ���� ���� URL������.

/jct/...

179Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

2. URL� HTTPS�� ���/��� SSL junction � ����

��, �� ���� �� junction ���� ���� URL������.

/jct/...

3. iv.conf ���� ���� ��/�� �� �� URL� �����.

4. META ��� �� �� �� ���� ��� ��� ���

��.

5. BASE ��� HREF ��� �� ��� ����� �� �

�� ��� �����.

junction � � �� URL �� � �� ���� webseald.conf�� ��� [filter-url] ���� ����.

[filter-url] ����� WebSEAL � � junction � � � �

�� URL� ����� ���� ���� HTML ��� ��� ��

����.

���� ���� �� HTML ��� ����� �����. ��� URL� �� �� HTML ��� ��� � �� ����.

�� 165 ���� ����� � ����� ����������

URL ��(-j)�� ������.

Junction�� �� ��� ���� Policy Director �� junction�� ��� � ����. �� �

�, x ��� �� CGI ����� l ��� �� ���� ���

�� ��� � ����. WebSEAL ��� � �� �� ��

�� CGI ���� ���� �� �� ���� ����, ��� �

HTTP �� ���� ���� ���� ��� ����.

junction� � �� �(�: CGI ���� �� ���� ��)�

���� � r ��� ��� �����.

<META HTTP-EQUIV=”Refresh” CONTENT=”5;URL=http://server/url”>

180 �� 3.8

Junction� �� ��� ����, WebSEAL ��� �� ��� ���� �����. ���

���� webseald.conf �� ��� [ssl] �����

webseal-cert-keyfile-label ���� � �� � � ����� �

����.

junction ��� ������ � � ����� ���� ��� �

��� �� WebSEAL� ���� � iKeyman ����� ��

�� � ���� ���� �� ���� ��� ���. �� �

� -K <key-label> ��� ���� junction� ������. 153 �

��� ��� �� SSL Junction�� ������.

junction� -K� ���� ��� GSKit� ���� �� ����

��� �� �� “��” ���� �� �� ��� �� ��� ��

���. ��� �� ��� ��� �� ������(pdsrv.kdb)�“��”(�)�� � ���� ��� � ���.

�� ���� �� ����.

¶ ��� �� ���� ��� ��� ������.

¶ �� �������� ��� ���� “��”�� ��� �

���.

¶ WebSEAL � � ��� �� webseal-cert-keyfile-label ���� ������.

¶ -K junction ��� � WebSEAL ����� ��� ��

������.

��� ���� query_contents ��Policy Director � ���� ���� ��� ������ � ��

� ��� ����� ��, ��� � ��� ��� �� ���

WebSEAL� ��� ���.

181Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

query_contents�� CGI ����� � ��� �����.query_contents ���� ��� � �� ��� ���� ��� �

� � ��� WebSEAL� Web Portal Manager� �����. ����� WebSEAL � �� ����� ��� � ��� ��

�� ���� ���. ��� � � UNIX �� Windows � ��

�� �� �� ���� �� �� ���� �� ��� �����.

Web Portal Manager� �� � �� ���� �� � �� �

��� junction� ���� �� �� � ��� ��� �� ��

� query_contents� ���� ����. �� Web Portal Manager� �� ������ ��� ��� � � ���� � ���

��� ��� �� �� policy ����� ��� � ����.

query_contents ��query_contents �� ���� �� ����. ��� PolicyDirector � �� ��� � � �� �� � �� ��� ���� �

� ��� ���� ��� ��� ����.

��� Policy Director ����� ����� ����� �� ���

�.

UNIX: <install-path>/www/lib/query_contents

Windows: <install-path>\www\lib\query_contents

����� �� �� ����.

� ��

query_contents.exe Win32 ���� �� � �� ����. ��

� � � cgi-bin ����� ���� ���.

query_contents.sh UNIX ���� �� � �� ����. �� �

� � cgi-bin ����� ���� ���.

query_contents.c �� �. ��� query_contents� ��� ��

� �� ��� �����. ���� ����

���� ����.

182 �� 3.8

� ��

query_contents.html HTML ��� ��� ��

query_contents.cfg � � � �� ��� ���� � �� ��

�� UNIX ��� query_contents ���� ������ query_contents.sh�� �� �����

����.

<install-path>/www/lib/query_contents

1. query_contents.sh� �� � � �� ��� ���� /cgi-bin����� ������.

2. .sh ��� ������.

3. � � � �� ��� � UNIX � ��� �����.

��� Win32 ��� query_contents ���� ������ query_contents.exe�� �� � �� ���

� query_contents.cfg�� �� �� ��� ����.

Windows: <install-path>\www\lib\query_contents

1. ��� � � � CGI ����� ��� ����� ������.

2. ��� ���� ��� � � � �� ��� ��� �� ���

����� ������.

3. query_contents.exe� �� � � � CGI ����� ����

��.

4. query_contents.cfg� Windows ����� ������.

� ���� �� ��� �� � ����.

� �� Windows ��

Windows 95 c:\windows

Windows NT 3.5x c:\winnt35

Windows NT 4.x c:\winnt

183Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

5. �� � � � �� �� ����� ��� �����

query_contents.cfg ��� ������.

� ���� �� Microsoft IIS(Internet Information Server) �

Netscape FastTrack � � � ��� �� ����. � ���

� ���(;)�� ���� �� ����� query_contents �

��� �� �����.

�� ���

1. Win32 ��� MS-DOS � ���� ��� �� CGI ����

��� query_contents ����� �����.

MSDOS> query_contents dirlist=/

�� ��� ��� �� ���.

100index.htmlcgi-bin//pics//

�� 100 ��� ���� �� �����. ��� �� 100�� ��(��� ��� ���) ��� �� �� � �����.

� �� �� � ��, �� ��� ��� ��� ���

��� �� �� ��� ���� �� ����.query_contents.cfg ��� ��� ���� �� ��� ���

�� ������.

2. ������ ��� URL� ������.

http://<win32-machine-name>/cgi-bin/query_contents.exe?dirlist=/

�� �� �� ��� �� ��� ���. � �� ���

� �� ��, � � � CGI ��� ���� ����. � � �

�� ���� ���� ������.

query_contents ��� ��query_contents �� URL ��� �� ����� ��� ���

� �� ����.

184 �� 3.8

�� ��, � � ��� �� ���� ��� � � �����

�� � URL�� query_contents� ����.

http://third-party-server/cgi-bin/query_contents?dirlist=/

query_contents ����� ��� ��� �����.

1. CGI �� �� $SERVER_SOFTWARE� � � �

�� �����.

� $DOCROOTDIR � � ��� ��� �� � ��

�� ��� ����.

2. �� URL�� �� � $QUERY_STRING� � �� �

�� ���� ���� ��� �����.

�� � $OPERATION �� ��� �� � ���

$OBJPATH� ����. �� ���� $OPERATION dirlist�� $OBJPATH� “/”���.

3. �� � ���� ���� ��(ls)� ���� Policy Director �

� ��� � ��� �� ��� �����. �����

�� ���� ���� �� ���(//)� ���� ����.

��� �� �� ����.

100index.htmlcgi-bin//pics//

�� 100 ��� ���� �� �����.

Doc �� ���� ��� ��UNIX:

UNIX � � �� query_contents.sh� ���� �� �����

�� �� ���� �� ��� � ��� ����.

query_contents� � ��(100�� � ��)� ���� �� ��

� ���� ��� ����� ���� ��� ����

$DOCROOTDIR �� ���� � � �� ������.

185Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

�� �� ����� ��� ��� ����� �� �� �

�, cgi-bin �� ��� ����� � ����. $FULLOBJPATH

�� ���� ��� cgi-bin ��� ���� ��� �� ��

������.

Windows:

query_contents.exe� Windows � ��� ���� �� ����

� query_contents.cfg ��� ������.

�� ��query_contents ����� �� �(query_contents.c)� PolicyDirector� � ���� �� �� �����.

�� ��� � � � �� ��� ���� � � ����� ��

��� ��� � ����. ��� �� �� ����.

1. ���� �� - �� �� ��� �� � ������� � �

�� �����.

2. �� ���� ���� �� � ��� �����.

�� ������ ��� � � � �����.

query_contents ��query_contents CGI ���� Web Portal Manager�� junction � � �� � ��� ��� � Policy Director� � �

����. �� �� ���� �� ��� �� �� � � ���

�� ��� ���.

� � (pdmgrd) ��� query_contents ����� �����

� policy� �� ���. �� �� ACL(query_contents_acl)��� �� ������.

group ivmgrd-servers Tl

user sec_master dbxTrlcam

186 �� 3.8

pdadmin ����� ���� junction � � query_contents.sh(UNIX) �� query_contents.exe(Windows) �� �� � ACL� �

�����. UNIX� ��, ��� �� � � ����.

pdadmin> acl attach /WebSEAL/<host>/<junction-name>/query_contents.shquery_contents_acl

187Tivoli SecureWay Policy Director WebSEAL �� ���

6.W

ebS

EA

LJu

nctio

n

188 �� 3.8

� �� �� � ���

� ��� ��� � WebSEAL� ��� � � ���� � �

�� �� �� �� �� �� ���� ��� � ��� �� �

���. � ��� WebSEAL ��� ��� � ��� �� �� �

� � ���� � ���. ���� �� �� junction,

�� �� � � LTPA� �����.

�� �� �� ����.

¶ ��� �� � ���� �� BA � ���

¶ 196 ���� �GSO(Global Sign-on) ���

¶ 200 ���� �IBM WebSphere(LTPA)�� �� �� ��

�� �� � ���� �� BA �� ��� ���� -b ��� ���� WebSEAL junction �� � �

� �� � ��� ���� � ��� ���� � ���.

¶ 190 ���� �SSO(Single Sign-On) ���

¶ 190 ���� �BA ��� ���� �� ���

¶ 191 ���� ����� �� � � �� ���

¶ 193 ���� ��� ���� BA � �� ���

¶ 194 ���� ����� BA � �� ���

¶ 195 ���� �GSO�� ��� � � �� ���

7

189Tivoli SecureWay Policy Director WebSEAL �� ���

7.�

��

��

��

��

SSO(Single Sign-On) ���� ��� ��� � ������ � � �� ��� � ���

���� ����� WebSEAL � ��� � � � ��� �

� ���� ��� � � ����. � ���� �� ��� ���

��� �� ����.

SSO(Single Sign-On) ���� � �� ��� ��� � � �

��� ��� �� � ����. �� �� � ��� ���� �

�� �� ����� ���� ��� ��� ��� ��� ��

� � �� ���. ��� � � ���� ��� ���� ���

�� ��� �����.

BA ��� ����� �� ����� � � �� �� �� ���� �� ��� �����

WebSEAL junction� ��� � ����. -b �� ��� ����

HTTP BA �� �� �� ���� �� ��� ��� � ��

��.

��� ���� �� � � ����� ���� �� ���� �

� � ��� ���.

1. ��� � �� �� ��� �����?

(WebSEAL HTTP �� ��(BA) �� ���� �� ���

�����.)

�� 31. �� ���

190 �� 3.8

2. ��� � �� �� ��� ��� ��, � ��� ��� ���

�?

(WebSEAL HTTP �� ��� ��� �����?)

3. WebSEAL ��� � �� ��� �� ��� ���?

(TCP �� SSL junction��?)

���� WebSEAL �� �� �� � � WebSEAL ��

�� ��(BA) �� �����. �� junction� � ��� �

� ���� �� �� �� �����. -b ��� ���� �

� �� ��� �� �� ��� ������.

����� �� � �� �� ��-b supply

-b supply �� �� Policy Director ��� �(����� �

� ��)� �� �(“�”) �� �� ����� WebSEAL� �

����. �� ���� ��� � ������ ���� ����.

� ��� �� �� �� �� �� �� ���� ��� ��

����� �����. “�” ��� webseald.conf �� ���

basicauth-dummy-passwd ����� ������.

[junction]basicauth-dummy-passwd = <password>

�� 32. ��� � � �� �� ��

191Tivoli SecureWay Policy Director WebSEAL �� ���

7.�

��

��

��

��

� ������� ��� � � Policy Director ������ ���

���� ��� �����. ���� ����� �� PolicyDirector ���� ���� WebSEAL ��� � � �� ���

��� ��� ��� � �� � ���� �����.

� � ��� � �� � ��� �����.

¶ WebSEAL �� ���� ��� �� ��� � �(“�”) ��� ��� � � ����� ��� ���.

¶ “�” ��� webseald.conf �� ���� �����.

¶ ��� � ������ HTTP BA �� �� Policy Director��� ��� ���.

¶ ��� �� ��(��� � � ��)� junction� � ���

� ��� junction� �� �����. SSL junction� ����

�� � ����.

������ ��� � ��� Policy Director “�” ��� �����. �� ���� ��� � ������� � ��� ����. �� “

�� 33. BA �� �� � ″�″ ��� ���

192 �� 3.8

�” ��� �� � ��� �� ���� ����� ���

�� ���� ��� �� �� ������ � � ���� �

���.

����� ��� � � ��� � �� WebSEAL� ��� �

�, � ������ � ���� ���� ����. ��� �� �

�� �� ������ ��� � � ����� ��� � �

����.

� ������ �� � �� ���� ��� � � ����

� ���� ����� WebSEAL� ����� ��� ���.

��� � ������ Policy Director ��� ���� � ��

� ��� ���.

� ����� BA � �� ��-b ignore

-b ignore �� ��� ���� BA(Basic Authentication) �

� �� �� �� ��� � � ����� WebSEAL� �����.WebSEAL � BA ���� ��� ����� ����� �

���� BA �� ����� � �� �� �� �� ��� �

� ����� ��� � ����.

�: �� � �� �� � ��� ���� ��� � � ��

�� ����� WebSEAL� ���� � � ����.

� � ��� � �� � ��� �����.

¶ ��� � � BA� �� ���� �� ��� �����.

��� � � �� �� ��� �� ����� ����. �

���� WebSEAL � � ���� �� ���� ��� � �

�� ��� ����.

¶ ��� � � ��� ���� �� ��� �������.

193Tivoli SecureWay Policy Director WebSEAL �� ���

7.�

��

��

��

��

¶ WebSEAL ��� ���� ��� �� ��� � ��

� ��� � � ����� �����.

¶ ��� �� ��(��� � � ��)� junction� � ���

� ��� junction� �� �����. SSL junction� ����

�� � ����.

����� BA � �� ��-b filter

-b filter �� ��� � � ��� ���� �� ���� ��

�� �� �� ��(BA) � ��� ����� WebSEAL� ���

��. � ������ WebSEAL �� � ���� ���.

� � ��� � �� � ��� �����.

¶ �� �� ���� WebSEAL ���� �����.

¶ ��� � �� �� ��� ���� ����.

¶ WebSEAL� ��� ��� � � ��� � ����.

¶ WebSEAL ��� � � ���� ��� �����.

�� 34. WebSEAL �� ���� �� ��� ���

194 �� 3.8

��� � � � �� ���� ��� ��� ��� ��� � �

�� -c �� ���� HTTP � ��� Policy Director ���

� �� ��� �� � ����. ��� �� 161 ���� �HTTP�� �� ���� �� ��(-c)�� ������.

GSO�� ��� �� � �� ��-b gso

-b gso �� ��� � � GSO(Global Sign-On)� �����

� � ��� �� ��(��� � � ��)� �����

WebSEAL� �����.

� � ��� � �� � ��� �����.

¶ ��� � �������� WebSEAL ������ ���� �

�� ��� � � ��� �����.

¶ � WebSEAL � ��� � � �� �����.

��� �� ��(��� � � ��)� junction� � ���� �

�� junction� �� �����. SSL junction� ���� �� �

����.

� ��� 196 ���� �GSO(Global Sign-on) ���� ��

�� ����.

�� 35. ���� BA � �� ��

195Tivoli SecureWay Policy Director WebSEAL �� ���

7.�

��

��

��

��

GSO(Global Sign-on) ��Policy Director� �� ��� � � ��� ��� � �����

� � � ��� � �� �� ��� �� �� � ���� ���

��.

�� ��� ��� �� ��� ������ ��� �� �� �

�� ���� ���� �����.

¶ DCE ������ �� � ��� - Tivoli GSO(Global Sign-On)�� ��

¶ LDAP ������ �� � ��� - LDAP ����� ��

�� � ��� ���

�� �� � �� ���� � ���� ��� ����� ��

� �� ��� ��� ��� � �� ���. �� ���

��� � �� ��� ��� �������� �� � ��� ��

����� ���� ���� GSO� ���� � ���� ��

�� ��� � ��� ��� ��� ���.

� �� WebSEAL ��� � � ��� “GSO aware” junction� ���� ������. GSO �� GSO �� �� � WebPortal Manager� ���� ����� ���.

WebSEAL� junction � � ��� ��� �� ��� ��

WebSEAL GSO � � ��� �� ��� ����. GSO � �

�� �� � ������� �� ��� � �� ��� ����

�� � ���� �� ��� ������� �����.

�� �� ��� ������ ��� �� ��� ��� ���

���� � GSO ���� ���� ��� �����.

1. ����� ��� � � ������ ��� �� �� ��

� ��� WebSEAL� �����. Policy Director ��� ���

��.

196 �� 3.8

�: �� �� � ����� �� �� ��� �� ����.

2. WebSEAL Policy Director ��� GSO �� LDAP � � �

����.

3. � � ��� �� ������ ��� ��� ��� �

��� �����.

4. WebSEAL junction� � ��� � � ��� ��� HTTP�� ��(BA) �� ��� � � �� ��� ����.

�� �� ���� ��� GSO� WebSEAL� �� ��� ���� ��� ���

��. ��� Michael� travel-app ������ ��� ��� �

��(��36 ��), WebSEAL GSO / LDAP � � Michael� �

� ��� ����.

�� 36. �� �� � ���

197Tivoli SecureWay Policy Director WebSEAL �� ���

7.�

��

��

��

��

GSO / LDAP � � �� �� ��� �� ��� ���� ��

��� �� ������� �������. �� ��� � ����

�� ��� �/�� �����. �� �� �� ���� �

�� ��� � ����.

� � travel-app ��� �� �� ��� ���� Michael� ��

����� ���� ����.

�� ��� GSO �� �� ������� ��� �����.

Michael Paul

resource: travel-app username=mike

password=123

resource: travel-app

username=bundy password=abc

resource: payroll-app username=powell

password=456

resource: payroll-app

username=jensen password=xyz

� ���� GSO� ��� � “mike” �� “123”� WebSEAL�

�����. WebSEAL junction� � ��� � � ���� �

��� �� ��(BA) �� ��� � � ��� �����.

GSO �� WebSEAL Junction ��GSO �� WebSEAL ��� � ��� junction�� ����

�.

GSO� ���� junction� ����� create �� -b gso ��

�� ������. �� ��� create �� ��� �����.

create -t tcp -h <host-name> -b gso -T <resource> <jct-point>

198 �� 3.8

GSO junction � �� ��� ���� ����.

�� ��

-b gso GSO� � junction� ��� �� ��� � �

� ��� ����� �����.

-T <resource/resource-group>

GSO �� �� �� ��� �����. � ���

��� ���� �� � GSO �������

�� �� � �� ��� ���. GSO

junction� �����.

WebSEAL/GSO ����� ���� junction junction� ��� �

-t ssl ��� ��� ���� SSL� � ��� � ����.

�� SSL junction� GSO �� ���� �� � �� ���� �

���� �� ����.

GSO �� WebSEAL junction� ��sales_svr ���� travel-app ������ ��� /sales junction���� ������.

create -t tcp -b gso -T travel-app -h sales_svr /sales

adm_svr ���� payroll-app ������ ��� /admin junction���� ���� SSL� � junction� ������.

create -t ssl -b gso -T payroll-app -h adm_svr /admin

�: �� ���� -t ssl �� �� �� 443� �����.

GSO �� ��GSO(Global Sign-on) �� ��� ���� ��� � ���� GSOjunction� ��� ���� � ����. �����, GSO ��� �

�� � ����. ��� �� ��� GSO �� ��(GSO ��� �

� GSO ��)� ��� ��� LDAP � � ��� ���.

GSO ��� ���� �� ���� webseald.conf �� ���

[gso-cache] ���� ����. � ��� ��� ���. ���

199Tivoli SecureWay Policy Director WebSEAL �� ���

7.�

��

��

��

��

���� �� ��� �� �� �� � ��� �� �����.� � ��� ��� �� �� �� ����� WebSEAL����� ��� ��� ��� ����. ���� ����� GSOjunction� ���� �� ���� GSO ��� ���� ����.

��� ��

gso-cache-enabled GSO �� ��� �� � �� ����

� ���. � “yes” � “no”���. �

�� “no”���.

gso-cache-size �� � ����� ��� �� ��

�� ����. � �� GSO junction

� � ������� ���� ��

�� ��� �� �� ���� ���

��. �� ��� � ���� �

����, �� �� ��� ���

�. ��� �� �� �� 50����

�����.

gso-cache-entry-lifetime ��� ��� �� ��� ��� ��

�� � �� �� ��(� ��). �� �

�� �� �� ��� � ����

�� �� ��� LDAP � � �� �

�� ���.

gso-cache-entry-idle-timeout ��� �� ��� ��� �� �� �

�� �� ��(� ��)

IBM WebSphere(LTPA)�� �� �� �Policy Director WebSEAL IBM WebSphere ��� �� � ��

�� ��� ��� ��� � ����. WebSEAL� WebSphere��� �� ������ ���� ���� ����� � �� �

�� ��� ���� �����. ���� WebSEAL WebSEALjunction� �� �� ��� IBM WebSphere � �� �� �� �

���� �����.

200 �� 3.8

WebSphere� � �� LTPA(Lightweight Third PartyAuthentication) ���� �����. WebSEAL junction� ���

� LTPA� ���� ����� �� �� �� � ���� ���

��.

���� WebSphere ��� �� ��� �� ���� �

WebSEAL� ��� ���. ��� ���� WebSEAL ����

�� LTPA �� �����. WebSphere� �� �� �����

���� LTPA ��� ��� �� � �� ��� �� ����.� ��� WebSEAL WebSphere � ���� ���� ��� �

��� �� � ���� ������.

WebSEAL junction� � WebSphere� ��� ��� HTTP �

� �� ����. ��� WebSphere � � ��� �, �

� �� ���, �� �� �� ��� ���� ���� ��

���.

��� ���� � WebSEAL ��� LTPA �� ��� �

�� ��� �� � � ��� �� LTPA �� ��� � �

���. �� �� �� � ��� � ��(���) ��� �

� ��� � ����.

LTPA Junction ��LTPA �� �� WebSphere�� �� �� ��� �� � �

� ��� �����.

1. LTPA ���� ������.

2. �� ��� ����� � ���� ��� ��� �����

�.

3. � ��� �� ��� ������.

��� � �� �� ���� junction create �� � �� ��

���� �����.

¶ -A �� junction� LPTA �� ����� ���.

201Tivoli SecureWay Policy Director WebSEAL �� ���

7.�

��

��

��

��

¶ -F <“keyfile”> �� � ��� �� �� �� ��� ���

�� � �� ��� �� �� � ��(WebSEAL � �)� �����. �� � �� WebSphere � �� ����

WebSEAL � � ��� �����. � ��� � ��

���� ��� WebSphere ��� ������.

¶ -Z <“keyfile-password”>� ��� �� � ��� ��� �

����.

��� junction XML ���� ��� ���� �����.

WebSEAL ��� WebSphere � ��� junction� ��� � �

� �� junction �� �� � ��� ������. �� ��, ��

����.

create ... -A -F “/abc/xyz/key.file” -Z “abcdefg” ...

LTPA �� ��LTPA �� ��, ��� � �� ��� � �� ��� ��

��. LTPA �� �� ��� � ���� LTPA junction� �

�� ���� � �� ���. �����, LTPA ��� �� ���

��. ��� �� ���, ��� � ��� ��� � � LTPA�� ���� ������.

LTPA ��� ���� ���� webseald.conf �� ���

[ltpa-cache] ���� ����. ���� �� �� � �� ���

�� ��� �� �����. � � ��� ��� �� ��

��� �����, WebSEAL ����� ��� ��� ��� �

���.

��� ��

ltpa-cache-enabled LTPA �� ��� �� � �� ���

�� ���. � “yes” � “no”���.

��� “yes”���.

202 �� 3.8

��� ��

ltpa-cache-size �� � ����� ��� �� ��

�� ����. � �� LTPA junction

� � ������� ���� ��

�� ��� �� �� ���� ���

��. �� ��� � ���� �

���� �� �� ��� ���

�. ��� �� �� �� 50����

�����. ��� 4096�� ����

�.

ltpa-cache-entry-lifetime ��� ��� �� ��� ��� ��

�� � �� �� ��(� ��). �� �

�� �� �� ��� � ����

�� �� ��� � LTPA �� ��

� ���. ��� 3600����.

ltpa-cache-entry-idle-timeout ��� �� ��� ��� �� �� �

�� �� ��(� ��). ��� 600�

���.

LTPA � ���� �� �� ����

¶ ���� �� WebSphere � � � ��� �� ����.LTPA junction � WebSphere � � �����. � � ��

� � � ��� junction ���� ���� �� � � ���

��� ���� ���.

¶ �� �� �� ���� ��� WebSEAL � WebSphere �

� �� ���� ��� ����� ��� ��� ���.

¶ WebSphere � � LTPA � � �� � ��� ����

�. WebSEAL ��� ��� junction � �� ��� ���

�.

203Tivoli SecureWay Policy Director WebSEAL �� ���

7.�

��

��

��

��

204 �� 3.8

������ �

WebSEAL �� � � �� URL ��� � ��� �����

� ��� �����. WebSEAL �� � � HTTP �� ��

� ��� ��� ������� ����� ��� ���� ��

� ��� � �� ���. �� WebSEAL �� ���� ����

�� �� URL� � �� ��� ��� � ����.

�� �� �� ����.

¶ �CGI ����� ���

¶ 208 ���� ���� � � ������ ���

¶ 209 ���� ��� ���� �� �� ���

¶ 213 ���� ���� �� ��� ��� ���

¶ 215 ���� ��� URL� �� �� ���

¶ 223 ���� ��� URL ��: Travel Kingdom�

CGI ���� ��CGI ������ ���� � WebSEAL CGI � ���

� �� �� �� �� �����. CGI ������ ��

WebSEAL � � junction ��� � �� ��� �� ��

�� ��� � ����. �� CGI ������� Policy Director�� ���, �� � �� ��� �����.

8

205Tivoli SecureWay Policy Director WebSEAL �� ���

8.�

��

��

��

�� WebSEAL � �� �� �� �� ���� CGI �����

� ��� � �� ���.

��� junction � �� ��� CGI ������� ���� �

� �� WebSEAL�� � � ���� HTTP � ���� ��

���. -c ��� ���� ��� � � ��� HTTP ��� PolicyDirector �� � ��� ���� junction� ��� ���.

�� 161 ���� �HTTP �� �� ���� �� ��(-c)�� �

�����.

�� Policy Director �� �� �

CGI �� � ��

HTTP_IV_USER ���� Policy Director ��� �� �

HTTP_IV_GROUPS ���� �� Policy Director ��. �� ��

�� ���� �����. (� ��� ���

� ����.)

HTTP_IV_CREDS Policy Director ��� ���� �� opaque

��� ��. �� � ������� Authorization

API� ���� �� �� ���� ��� � �

�� �� � � ��� �����. Policy

Director ADK Developer Reference� ����

��.

�� WebSEAL ��� �� REMOTE_USER �

WebSEAL� ���� �� � ���� HTTP_IV_USER ��

� REMOTE_USER �� ��� �����.REMOTE_USER �� junction ��� � �� ��� CGI �

������ ���� ��� �� ����. ��� � ����

WebSEAL� �� ���� ����.

CGI �� � ��

REMOTE_USER HTTP_IV_USER �� ��� �� �� ��

206 �� 3.8

Windows: WIN32 �� �� ��� � �� junction�� �����.

Windows� CGI ������ � ����� ��� � �� ��

��� �� �� ���� ��� � ����. �� �����

��� ��� �� �� �����.

��� ��� Windows ��� �� �� CGI ���� ���� �

�� webseald.conf �� ��� � �� �� CGI �����

� �� ����� ���� �� � ����. (�� ��� ��

Policy Director �� �� �� ����� ���� �� ����

���.)

��� Windows ��� �� �� webseald.conf �� ���

[cgi-environment-variables] ���� ������. �� ��� ��

����.

ENV = <variable-name>

�� ��, �� ����.

[cgi-environment-variables]#ENV = SystemDriveENV = SystemRootENV = PATHENV = LANGENV = LC_ALLENV = LC_CTYPEENV = LC_MESSAGESENV = LOCPATHENV = NLSPATH

��� �� �� CGI ���� �����.

207Tivoli SecureWay Policy Director WebSEAL �� ���

8.�

��

��

��

��� ��� ������ ��WebSEAL ��� � � � �� ������ ��� �

�� �� ��� �����. ��� � � � �� ��� ��

����.

¶ Java servlet

¶ Oracle Web Listener� �� ����

¶ � � ����

-c ��� ���� ��� � � junction� ��� � WebSEALPolicy Director �� ���� �� � �� � � ��� � �

� ��� ��� HTTP �� ����.

Policy Director �� HTTP � ��� ��� junction � ��

������� ���� ����� Policy Director ��� ��� �

�� �� ��� �����.

WebSEAL ��� Policy Director �� HTTP �� �����.

PD �� HTTP �

� ��

��

iv-user = ����� ��� � �. ����� ���� �

��( � �� ��), ��� “���� ��”�

��.

iv-groups = ����� �� ��� ��. �� �� �� �

�� ���� �����.

iv-creds = Policy Director ��� ���� �� opaque �

�� ��. �� � ������� Authorization API

� ���� �� �� ���� ��� � ��� ��

� � ��� �����. Tivoli SecureWay Policy

Director Authorization ADK Developer Reference�

������.

208 �� 3.8

HTTP �� CGI �������� HTTP_IV_USER,HTTP_IV_GROUP � HTTP_IV_CREDS �� �� �� �� �

����. �� CGI ��� ������ ������ ��, HTTP ������� � ��� ��� � �� ��� ������.

�� 161 ���� �HTTP �� �� ���� �� ��(-c)�� �

�����.

�� ���� � � ������ ������ � ���� �� ��� ���(���� � �

��� ���)� �� ���(���� � �� ���) � �

� �� ��� ��� ��� ����.

¶ � �� ��� ���� ���� ������� ��� ���

� �� �����. ��� ��� ���� �� �� ��

� �� �� ���� �����.

¶ �� �� ��� �� ��� �� �� ���� ���� �� �

�� ���� �����. ��� ��� ���� ��� ����

��, �� �� �� � �� ��� ��� ���� �� �

� �����.

�� ��� �� ���(CDAS)� �� �, Policy Director� �

� ��� �� �� ��� � ��/� ��� ���� ��� ��

� ���� � �� �� ��� ���� �����. ������

Authorization API� ���� ������ �� � ���� ��

� � ����. � CDAS �� ���� � �� ��� ��

Tivoli Policy Director WebSEAL Developer Reference� �����

�.

LDAP ����� ��� �� �� �WebSEAL ��� �� �� LDAP ��� � ����� ��

� ��� �� � �� �� �� � �� �� ���� ���

��. �� �� � ��� junction� � ��� ������ �

� ��� ��� HTTP �� ��� � ����.

209Tivoli SecureWay Policy Director WebSEAL �� ���

8.�

��

��

��

¶ ��� LDAP ����� ��� ������ ��� �� �� �

��� � ����� ���� Policy Director ��� ���

��.

¶ WebSEAL ������ � ���� ���� WebSEALjunction� � ��� � � ���� ��� HTTP �� �

���� �����.

¶ ��� ������ �� �� Authorization API� ����

� ���� ���� ��� � ����.

�� LDAP ��� HTTP �� ��� �� WebSEAL ����

� ��� ����.

1. LDAP �������� �� ���� ���� ���� � ��

�� ��� ��� �����.

2. Junction� �� �� ��� ���� ������ ��� ��

�� ���� ��� junction� � ���� ��� HTTP �

� �����.

��� �� LDAP ��� ������ �� LDAP ��� ���� ���� � �� ��� ��

��.

1. �� LDAP ���� ��� �� ��� ���� ����

pd.conf �� ��� [ldap-ext-cred-tags] ���� ������.

� ���� � �� �� ����.

2. ��� �� ���� ��� �� ��� ���� ��� ��

CDAS ��� ������.

CDAS � ��� �� ��� �� Tivoli Policy DirectorWebSEAL Developer Reference� ������.

210 �� 3.8

pd.conf �� ��� [ldap-ext-cred-tags] ���� ���� LDAPinetOrgPerson �� � ��� �� ���� ��� ��� �� �

�� �� �� ��� ������. � ���� ��� �� �

� �� ����.

<custom-credential-field> = <inetOrgPerson-field>

�� ����, pd.conf �� ���� �� � custom-credential-field���� �� ��� “tagvalue_” �� ���� ����. � �

��� ��� �� ��� �� ��� �� ��� �����. �� ��, �� ����.

inetOrgPerson �� � ��� LDAP

��� ���employeeNumber:09876

��� �� �� �� �: ldap-employee-number

[ldap-ext-cred-tags] ���� �� ��

� ��:

ldap-employee-number = employeeNumber

��� ��� �� �� � �:

tagvalue_ldap-employee-number:09876

¶ � ���� LDAP ��� � � ��� �� ��� ��� �

����. passwd-ldap �� ���� ��� ���.libldapauthn(ldapauthn) �� ������ �� ��� �� �

� ��� �� pd.conf �� ��� [ldap-ext-cred-tags] ���

� ��� ���� ����.

¶ LDAP ���� inetOrgPerson �� � ��� �� ��

� �� ����� � � ����.

¶ [ldap-ext-cred-tags] ���� �� ��� ��� � ����.

¶ ��� ���� �� �� ��� ��� ���� ��� ��

���.

¶ LDAP �� � ����� ���� ����.

211Tivoli SecureWay Policy Director WebSEAL �� ���

8.�

��

��

��

¶ �� �� � ����� ���� ����.

HTTP �� �� ��� ���� ��� �� ��� �� �� ��� junction� � ��� �

� ���� ��� HTTP �� ��� � ����. � ��� �

��� ���� �����.

1. �� �� �� ���� ���� junction� ������. � �

��� WebSEAL �� �� � ��� �� junction �� ��

��� � ��� ����� �����.

2. ������ ��� �� ��� ���� ��� HTTP �� �

��� �����.

junction �� ��� � ��� ���� �� junction� ���

�� ���� ��� ������. � ��� �

HTTP-Tag-Value���. ��� � �� �� ��� ����

�.

<custom-credential-field>=<http-header-field>

custom-credential-field ���� pd.conf �� ���

[ldap-ext-cred-tags] ���� ���� �� �� �����.“tagvalue_” ���� ���� ����. ���� ����� ��

�� ����. http-header-field ���� ���� ��� � �

��� HTTP �� �� �����. �� ��, �� ����.

junction �� ��� HTTP-Tag-Value� � ��:

ldap-employee-number=employee-id

��� ��� �� �� � �:

tagvalue_ldap-employee-number:09876

HTTP �� �� �� � �: employee-id:09876

212 �� 3.8

WebSEAL ��� ������ � � ��� ��� ��� �

junction �� ��� �� HTTP-Tag-Value� � ��� �

��.

pdadmin object modify set attribute �� ���� � ��

�� junction� ������.

pdadmin> object modify <obj-name> set attribute <attr-name> <attr-value>

�� ��, �� ����.

pdadmin> object modify /WebSEAL/WS1/junctionA set attributeHTTP-Tag-Value ldap-employee-number=employee-id

pdadmin object modify set attribute �� �� � ���� ��

�� HTTP-Tag-Value� � ��� ������(�� ��� �

�� ���) junction � � �� �� ��� �� ���� ���

� ����.

��� �� ��� ��� �� � , � �� ���� �� ����� �� ��� � ��� �

�� �� ��� ���� ���� �� � ��� ������. ���� �� ���, �� ��� � �� ��� ��� � ����.� �� �� ���� �� �� ��� ���� ��� ��

��� ����. �� ���� � ���� � ��� �� �

�� ��� �� ���� ����.

WebSEAL �� �� � Authorization API �� �� ���� ��

�� Policy Director ���� ��� �� � ���� ��� � �

���.

��� �� WebSEAL � ���� ���� ���� ��� �

� � ��� �����.

1. � �� �� � ��� �� �� �� � ��� ��

region� �����.

2. ��� �� ACL� � �� �� �� ��� �����.

213Tivoli SecureWay Policy Director WebSEAL �� ���

8.�

��

��

��

3. � ���� �� URL, � ��� �� �� �� � �� �

� ��� ���� � ����� ��� �� ��� ���

�� WebSEAL �� ��� ��� � ����.

4. � URL� �� � ��� ��� � WebSEAL �� ��

�� ���� ���� � �� � ��� ���� � ���

� �� �� ��� ���� �� ��� �����.

5. WebSEAL � ��� ���(junction ) � � � ����

PD_PORTAL HTTP �� �����.

6. ��� � �� ��� ��� �� � ���(�: CGI�

servlet)� PD_PORTAL � ��� �, �� ��, ��� �

����� ����� ��� �� URL �� �����.� ��� �� �� ��� ��� ����� �� ��� ��

� �� ��� ����.

��� ���� �� WebSEAL ��

1. ��� ���� �� �� WebSEAL junction� ������.�� ��, �� ����.

pdadmin> server task <server-name> create -t tcp-h portalhost.abc.com /portal-jct

2. webseald.conf �� ��� ���� � [portal-map] ����

������.

[portal-map]

3. � ���� �� � ��� ����� � �� URL ��

��� �� � ��� ���� �� � ��� region(���

��� ��� ����)� �����. � �� PD_PORTAL �

� �����.

[portal-map]<URL> = <object-space-region>:<permission>

�: � ���� � ���� ��� ���� �� ����

� ACL� �� ��� �� �� �����.

214 �� 3.8

4. ��� � ��� �� ��� ��� WebSEAL(webseald)����� ���.

��� ��� ��

¶ � � � junction� ����� ��� ������.

pdadmin> server task webseald-WS1 -t ssl -h PORTAL1 /portal

¶ ��� ���� �� ��� ��� �� �� WebSEAL �� �

� � ��� region� ������.

pdadmin> objectspace create /Resources“Portal Object Hierarchy” 10pdadmin> object create /Resources/Content ““ 10ispolicyattachable yespdadmin> object create /Resources/Support ““ 10ispolicyattachable yespdadmin> object create /Resources/Content/CGI ““ 11ispolicyattachable yespdadmin> object create /Resources/Support/Servlet ““ 11ispolicyattachable yes

�: “ispolicyattachable” ��� � ��� � “yes”� ���

� ���. �� ��� ���� � ACL� ���

�� �� �� �� �� �����.

¶ WebSEAL ��(webseald.conf):

[portal-map]/portal/servlet/PortalServlet = /Resources:r

¶ ���� � ���� � URL:

https://WS1/portal/servlet/PortalServlet

�� URL� ��� �� ���� � �� ���� ��� ��� � ���� ��� ��

��� �����. � � ������ � ��� ��� �� �

�� URL(Uniform Resource Locators)� ���� �����. ��� URL � �� �� �����. ��� ���� ����

���� �� ��� �� ���� ����� �� URL� ��

� ��� ����.

215Tivoli SecureWay Policy Director WebSEAL �� ���

8.�

��

��

��

�� URL ������ ��� � ������ ��� � ����� ���� �

� � CGI ������ � ������ � �����.

��� �� ��� �� URL ��� �� ��� ���� ���

��� � � �� ��(��� �� ����)� ���. ��

URL �� ��� �� �� � ��� ��� URL �

�� �����. URL� �� ��� �� � ������ ����

�� ��, ��� � �� �����.

�� URL� ACL ��� ��WebSEAL �� �� � �� �� policy ����(ACL)� �

��� ������ ��� � �� URL �� ���� ��

URL� �����. WebSEAL� �� � �� �� ����� �

�� ���� �� �� �� ����. �� �� ���� ACL � �� �� �� �� URL� � ��� ���� ���

��.

�� URL ��� ��� ���� �� �� �� policy ���

����� � ��� �� � ����. Policy Director� � �

� URL� �� �� �� �� �� ��� � �� ���� ��

�� � ��� ����.

�� 37. URL� � ���� CGI ������ ��

216 �� 3.8

�� ��� ���� �� � ��� �� ��� �����.

/opt/PolicyDirector/www/lib/dynurl.conf

� ��� ��(� ��� ���)� webseald.conf �� ���

[server] ����� dynurl-map ���� �����.

[server]dynurl-map = lib/dynurl.conf

� �� ��� �� ����� �� ���� ����. � �

�(�� ��)� ��� �� URL ��� �����.

� ��� ���� ��� ��� ������. ��� �� �� �

� ����.

<object> <template>

Policy Director� �� � ���� ��� �� �� ���� ��

� ��� ��� UNIX � ��� ����(���� ��)������. � ��� ���� �� �� URL � �� ��

�����.

Policy Director� ��� UNIX � �� ��� �����.

�� ��

\ ���� �� ��� ��� �� � �����. �� �

�, \t� TAB ���� ESC ��� ��� � �� ��

��.

? �� �� ���� ����. �� ��, “abcde” �

�� “ab?de” �� �����.

* 0� ��� �� ���� ����

[] ����� ��� � �� �� ��� �����. ��

��, ��� “abcde”� � �� “ab[cty]de” ���

��.

^ ��� �����. �� ��, �� [^ab]� ‘a’ �� ‘b’

�� ��� �� �����.

217Tivoli SecureWay Policy Director WebSEAL �� ���

8.�

��

��

��

�� ��� �� � ��� ���� �� URL� �����.

http://<server-name>/home-bank/owa/acct.bal?acc=<account-number>

� �� URL� ���� �� �� �� �� �����.

http://<server-name>/home-bank/owa/acct.bal?acc=*

� ���� �� URL� �� �� �� �� �� ��� �

�� �� � ����. home-bank��� �� �� �� ��

��, ��(acc=*)� ��� ��� �� �� ���� �(*) ����� ���� ��� ACL �� �� ��� �����.

�� �� �� �� �� �� �� �� �� URL� �� ��

��� �����.

�� 38. �� URL�� �� ��

218 �� 3.8

�� URL� �� WebSEAL �dynurl update �� ���� dynurl.conf �� ��� �� �

��� WebSEAL �� �� � ��� ��� � ����.

1. dynurl.conf� �� ���� �� URL ��� ��, �� ��

������.

2. � dynurl update �� ���� � � ������.

pdadmin> server task webseald-<server-name> dynurl update

server-name ��� WebSEAL ��� ���� � ��� �

� �����.

��� ���� �� URL �� �� �� �� URL �� dynurl.conf �� ���� ��

� ��� �� �����.

�� � ��� �� URL ��� ��� � dynurl.conf ��� �

� �� ����� ���� ���� ���� �� ���. �

��� ����� �� ��� �� � ��� � �� ���

�����.

����� � �� ��, WebSEAL URL� ����

http://<server>� �� ��� ������.

� �� ACL� ���� �� ��� ��� ������. �� ��, book.sales ��� �� ������ � � ���� ��

�� ��� �� ���� �� �� ������� ��� ���

� �� �� �� � ���� ���.

���� � �� URL ���

/ows/sales/bksale /ows/db-apps/owa/book.sales*

/ows/sales/general /ows/db-apps/owa/*

219Tivoli SecureWay Policy Director WebSEAL �� ���

8.�

��

��

��

�� ��� ��� �� ��, /ows/db-apps/owa ����� �

�� ��� /ows/sales/general �� �� �����. ��� �

� �� � �� ���� � �� ��� �� � ����.

�� � �� ��� URL � ��� ��� � URL �� �

��� GET ����� �� ��� ��� ���(POST � GET��� �� ��� ���).

��� ��� GET ����� �� ���(�: ���� ��� ��

�� ���)� URL� �����.

��� ��� POST ����� �� ���� ��� ��� ���

��.

ACL ��� URL� �� � �� ���� ���� ��� �� �� ��

��� ����(���� �� �� ���) ���� � ACL �� ��� �����.

POST ��� ���� ��POST ��� �� ��� ��� �����. �� POST ����

������ ��� � ��� ��� ���� ��� ��� �� �

����.

post-max-read

webseald.conf �� ��� [server] ���� �� post-max-read���� POST ��� ���� ����� ��� �� ��� �

� ������ � POST ��� WebSEAL� ��� ��� ���

��. WebSEAL� � ��� �� � �� ��� ��

�� ��� �� ����.

�� URL ��� �� ��� POST ��� ��� � post-max-read��� �� �����. ��� 4096������.

[server]post-max-read = 4096

220 �� 3.8

� ���� �� POST �� ��(����)� ���� ���� �

� ������. � ���� WebSEAL� ����� ��� POST��� ���� ���� �����.

dynurl-allow-large-posts

post-max-read ���� WebSEAL� � ��� ���� POST��� �� ������, �� ��� ������ � � � ��

�� �� ��� ����. � ������ ����� � �� �

����� � � � �����. ������ � � ��� ��

�� ��� ��� � ��� ���� ��� ����.

dynurl-allow-large-posts ���� WebSEAL� max-post-read�� �� ��� �� ��� � POST ��� ���� ��� ��

� � �� ���. ��� �� “no”(���)� ��� WebSEALmax-post-read�� ��� ��� �� ��� � POST ��� ��

�����.

[server]dynurl-allow-large-posts = no

��� �� “yes”� ��� WebSEAL �� POST ��� ��

���, max-post-read �� ���� ��� �� ������.

[server]dynurl-allow-large-posts = yes

�� 1

¶ � POST ��� �����(post-max-read ��� �).

¶ dynurl-allow-large-posts = no

¶ �� URL� �����.

¶ �: �� � ���

�� 2

¶ � POST ��� �����(post-max-read ��� �).

221Tivoli SecureWay Policy Director WebSEAL �� ���

8.�

��

��

��

¶ dynurl-allow-large-posts = yes

¶ �� URL� �����.

¶ �: WebSEAL� post-max-read �� ��� �� ��� �

� � �� ��� ���� � �� �� ���� �� ��

� �����. ��� �� �� � �� ��� ���� ��

� � �� � � �� �� ���� ����.

¶ �� ������ � POST ���� �� �� ���� �

�� �� ��� �� ����.

/rtpi153/webapp/examples/HitCount\?*action=reset*

�� � �� �����:

¶ �� URL� ��� ����� WebSEAL� ����� �� �

�� ������.

/opt/PolicyDirector/www/lib/dynurl.conf

¶ �� �� ��� �� ��� ��� ���.

<object> <template>

¶ ��� ���, �� ��� �� URL ��� ���� ����.

¶ ��� �� �� �� � �� WebSEAL �� � ���

� �� ����� �����.

¶ ������ � �� ��� ����� �� �� � ��

��. ����� � �� �� �� ��� ���� �� ��

��.

�� � dynurl.conf �� IBM WebSphere ��� ��� ��

� � ������� ���� � �� �� �� �����.

���� �� URL ���

/app_showconfig /rtpi153/webapp/examples/ShowConfig*

/app_snoop /rtpi153/servlet/snoop

/app_snoop /rtpi025/servlet/snoop

222 �� 3.8

���� �� URL ���

/app_hitcount/ejb /rtpi153/webapp/examples/HitCount\?source=EJB

/app_hitcount /rtpi153/webapp/examples/HitCount*

�� ����

¶ �� �� URL ����� ��� �� �� ��� � ����.(�� ��, app_snoop� �� �� � � �� URL� ����

�.)

¶ �� �� ��� � ����(�: app_hitcount �

app_hitcount/ejb).

¶ ���� URL ��� ����� � # ��� # ��� ��

�� � � � ����. ����� ���� ��� �����.���� ��� # ��� �� ���� ����� ������.

¶ dynurl.conf ��� ��� ������ dynurl update ��

�����(pdadmin server task ��).

�� ���� �� �� � �� ��� ����� � Web PortalManager� �� �� �����.

¶ �� � ��� ���� ��� �����. ���� ����

��.

¶ �� �� � ��� �� ���� �� � � ���� �

���.

¶ dynurl.conf ���� �� �� ���� �� �� �� ��

ACL� ������.

�� URL ��: Travel Kingdom�� ���� �� ����� Oracle Web Listener� � ��

URL� ���� ��� �����.

223Tivoli SecureWay Policy Director WebSEAL �� ���

8.�

��

��

��

� ��� �� �� URL � � � Oracle Web Listener���. ��� �� �� URL � � � ���� ��� � ����.

�����Travel Kingdom ���� � ����� �� �� ���� �

��� �����. � ��� ��� ��� �� � ���� �

�� ��� � �� � � � � � �� Oracle ������ �

������ ���� ���.

1. � � ��

��� �� ��� ���� ���� ���� �� ��� ��

� � ����. Travel Kingdom �� �� ��� � ���

� �� ���� �� �� �� ����� ��� �� ���

�. �� �� �� ��� ��� ��� ���� ��� � �

�� ���� ��� �� ��� ���.

2. �� ���

�� �� �� �����, Travel Kingdom ��, �� � �

� ��� �� � ������� �������. � ��� �

� � ��� �� �� �����.

������������� ��� � ��� �� ��� ����� Oracle� � � �����.

/db-apps/owa/tr.browse �� ���� �� ���, �� �� ��

� � ��

/db-apps/owa/tr.book ��� ���� � ���(��� �� ��

�� ��)

/db-apps/owa/tr.change �� ��� ����� ��� � ���

/db-apps/owa/admin.browse ��� � ��, �� �� �� � ��

� ���� �� �� ��� �� � �

��

224 �� 3.8

/db-apps/owa/admin.resume ���� � �������� ���� �

�� ��� ��� �� � ��� �

/db-apps/owa/admin.update � ��� ��� �� ��� ���� �

���

� �� �WebSEAL � � Travel Kingdom� �� � ��� � ���

��� ���� � �����.

¶ �� �� ������ � � ������� �� ���

Oracle � � � �� junction(/ows)� ��� � ����.

�� policy���� � ���� ����� � ��� ��� �� ����

� � ��� ��� � �� ������.

1. ��� ��� �� ����� ��� � ����.

2. �� ��� ��� ��� ���� �� � ���, �� ��

��� �� ����� ��� � ����.

3. � �� �� � ��� �� ��� �� ��� ��� �

���.

4. � �� ��� Travel Kingdom ��� ��� ��� ���

�� � ��� �� ��� �� ��� � � ����.

��� ��� �� URL ����� � � �� ���� � �� �� ��� �

� URL�� ACL �� � �� ����� ��� ��� ���.

��� ��� ��� ��� �� � �� ���� ��� ��

�� ������.

225Tivoli SecureWay Policy Director WebSEAL �� ���

8.�

��

��

��

���� � �� URL ��

/ows/tr/browse /ows/db-apps/owa/tr.browse\?dest=*&date=??/??/????

/ows/tr/auth /ows/db-apps/owa/ t r .book\?des t=*&depar t=??/?? /????

&return=??/??/????

/ows/tr/auth /ows/db-apps/owa/tr.change

/ows/admin/forall /ows/db-apps/owa/admin.resume

/ows/admin/forall /ows/db-apps/owa/admin.browse\?empid=[th]???

/ows/admin/auth /ows/db-apps/owa/admin.update\?empid=????

�� ���������� ��� � �� � WebSEAL� �����.

� ������ ����� �� �� Travel Kingdom �����

��� ���� ��� �� ���.

�� � �� ��� � �� ��� ����� �����.

Staff Travel Kingdom ��� ���

TKStaff Travel Kingdom ����

AdminStaff Travel Kingdom � ��� ���. � �� Staff���� ���� �� ������.

Customer ���� � �� ��� ��� Travel Kingdom���

� ����� � ���� ��� ���� WebSEAL � � ��

� ����� ����� � ����. �� �� � ���� ���

� � ��� �� Oracle � � � �����.

��� ��� � �� ��� �������� �� �� ��� ���

����.

226 �� 3.8

/ows/tr/browse ���� �� Tr any_authenticated Tr

/ows/tr/auth ���� �� - any_authenticated -

group TKStaff Tr group Customer PTr

/ows/admin/forall ���� �� - any_authenticated -

group Staff Tr

/ows/admin/auth ���� �� - any_authenticated -

group AdminStaff Tr

�� � Travel Kingdom� �� �� � �� �� ���� ��

�� � ��� ��� ��� ����. � �� ���� ��

untrusted ���� � ��� ���� ��� � �� ��

���� � ��� ���� ��� ����(��� � ��).

����� ��� ��� �� ��� �� ���� ��� �� ���

�����.

¶ ��� �� �

¶ ��� ��

¶ ��� ��� �� �� �� ��

�� ���� �� ���� �� WebSEAL Oracle � � �

�� ��� �� ��� �� �� � ���� ���� � ���

��.

227Tivoli SecureWay Policy Director WebSEAL �� ���

8.�

��

��

��

228 �� 3.8

webseald.conf ��

webseald.conf �� �

�� � ���:

¶ WEBSEAL GENERAL

[server]

¶ LDAP

[ldap]

¶ SSL

[ssl]

¶ JUNCTION

[junction]

[filter-url]

[filter-schemes]

[script-filtering]

[gso-cache]

[ltpa-cache]

¶ AUTHENTICATION

[ba]

[forms]

A

229Tivoli SecureWay Policy Director WebSEAL �� ���

A.

web

seald.co

nf

��

[token]

[certificate]

[http-headers]

[auth-headers]

[ipaddr]

[authentication-levels]

[mpa]

[cdsso]

[cdsso-peers]

[failover]

[e-community-sso]

[inter-domain-keys]

[authentication-mechanisms]

[ssl-qop]

[ssl-qop-mgmt-hosts]

[ssl-qop-mgmt-networks]

[ssl-qop-mgmt-default]

¶ SESSION

[session]

¶ CONTENT

[content]

[acnt-mgt]

[cgi]

[cgi-types]

[cgi-environment-variables]

[content-index-icons]

[icons]

[content-cache]

230 �� 3.8

[content-mime-types]

[content-encodings]

¶ LOGGING

[logging]

¶ AUTHORIZATION API

[aznapi-configuration]

[aznapi-entitlement-services]

¶ POLICY DIRECTOR

[policy-director]

[manager]

WEBSEAL GENERAL

��� ��

[server] ���

SYSTEM

unix-user WebSEAL � � UNIX ��� ��

unix-group WebSEAL � � UNIX �� ��

unix-pid-file PID ��� ��

server-root WebSEAL � � �� ����

server-name WebSEAL � ���� �

THREADS AND CONNECTIONS

worker-threads WebSEAL ��� ���� �

client-connect-timeout �� ���� �� ���

persistent-con-timeout HTTP/1.1 ��� �� ���

HTTPS CLIENT

https HTTPS �� �

https-port � HTTPS ��� ��� ��

HTTP CLIENT

http �� HTTP(TCP) �� �

http-port �� HTTP ��� ��� ��

231Tivoli SecureWay Policy Director WebSEAL �� ���

A.

web

seald.co

nf

��

WEBSEAL GENERAL

��� ��

POST REQUESTS

post-max-read POST ��� ���� ���� � ��

��� �

DYNURL

dynurl-map URL � �� �� � �� ��� ��

dynurl-allow-large-posts post-max-read�� ��� ��� � POST

��� �� WebSEAL� �� ��

URI HANDLING

utf8-url-spport-enabled

LDAP

��� ��

[ldap] ���

ldap-server-config ldap.conf �� ��� ��(�� � ��)

cache-enabled �� LDAP �� �� � �� ���

prefer-readwrite-server �� ��� LDAP � � �� �(�� �

�� �)

auth-using-compare LDAP ��� �� �� � ��� ���

� �� �� �� �

default-policy-override-support

�� policy �� ��� �� policy ��

user-and-group-in-same-suffix

�� ��. ��� ��� ��� LDAP �

���� ���� �����.

ssl-enabled WebSEAL � LDAP ��� �� SSL �

� � �� ���

ssl-keyfile SSL ��� ��

ssl-keyfile-dn SSL ��� �� ��� ���(�� �

�)

ssl-keyfile-pwd SSL �� ��

bind-dn WebSEAL �$� �� �(�� � ��)

232 �� 3.8

LDAP

��� ��

bind-pwd WebSEAL �$� ��(�� � ��)

enabled

host

port

SSL

��� ��

[ssl] ���

webseal-cert-keyfile SSL �� ��� WebSEAL� �����

�� � ���� �� �� ��� �

webseal-cert-keyfile-pwd WebSEAL ��� �� ��

webseal-cert-keyfile-stash WebSEAL �� �� � ��� ��

webseal-cert-keyfile-label ��� ��� ��� WebSEAL ���� �

ssl-keyfile �� ��� �� WebSEAL ��� �

�� ��

ssl-keyfile-pwd WebSEAL ��� �� ��(�� ���)

ssl-keyfile-stash WebSEAL �� �� � ��� ��(�

� ���)

ssl-keyfile-label ��� ��� ��� ���� �( �� �

��)

disable-ssl-v2 ����� SSL V2 ��� �� ����

disable-ssl-v3 ����� SSL V3 ��� �� ����

disable-tls-v1 ����� TLS V1 ��� �� ����

ssl-v2-timeout SSL V2 ��� �� GSKit �� �� ID

���

ssl-v3-timeout SSL V3 ��� �� GSKit �� �� ID

���

233Tivoli SecureWay Policy Director WebSEAL �� ���

A.

web

seald.co

nf

��

SSL

��� ��

ssl-max-entries GSKit SSL �� ID ��� �� �� ��

ssl-ldap-server CRL ��� ���� LDAP �

ssl-ldap-server-port � LDAP � � CRL ��� � ����

�� ��

ssl-ldap-user LDAP � � � ���

ssl-ldap-user-password LDAP � � � ��� ��

ssl-auto-refresh

ssl-listening-port

ssl-pwd-life

ssl-authn-type

JUNCTION

��� ��

[junction] ���

junction-db junction ������� ��

jmt-map junction � �� �� ���(JMT)� �

http-timeout TCP � junction�� ���� ����

� � �� ���

https-timeout SSL � junction�� ���� ����

� � �� ���

ping-time WebSEAL junction � ping �� �

� ��

basicauth-dummy-passwd “-b supply” junction� � �� �� �

�� ��� �� ��

worker-thread-hard-limit �� junction� �� �� ��� � ��

� ��� ���

worker-thread-soft-limit �� junction� �� �� ��� � ��

� ��� ���

234 �� 3.8

JUNCTION

��� ��

io-buffer-size junction�� � ��� �� ��

��

DOCUMENT FILTERING

[filter-url] ���

<tag> = <attribute> junction � ���� ���

WebSEAL� ���� URL ��

[filter-schemes] ���

scheme = <scheme-name> junction � ���� ���

WebSEAL� ���� URL �� ��

[script-filtering] ���

script-filter junction � � ������ �� URL

�� � �� � �� ���

GSO CACHE

[gso-cache] ���

gso-cache-enabled GSO �� �� � �� ���

gso-cache-size GSO ��� �� �

gso-cache-entry-lifetime GSO �� ��� �� �� �

gso-cache-entry-idle-timeout ��� GSO �� ��� �� �� �

LTPA CACHE

[ltpa-cache] ���

ltpa-cache-enabled LTPA �� �� � �� ���

ltpa-cache-size LTPA ��� �� �

ltpa-cache-entry-lifetime LTPA �� ��� �� �� �

ltpa-cache-entry-idle-timeout ��� LTAPA �� ��� �� �� �

AUTHENTICATION

��� ��

BASIC AUTHENTICATION

[ba] ���

235Tivoli SecureWay Policy Director WebSEAL �� ���

A.

web

seald.co

nf

��

AUTHENTICATION

��� ��

ba-auth �� �� ��� �� � �� ���

basic-auth-realm ���� BA ��� � ��� ��� �

� �

FORMS

[forms] ���

forms-auth ��� ��� �� �� � �� ���

TOKEN

[token] ���

token-auth �� ��� ��� �� �� � �� �

��

CERTIFICATE

[certificate] ���

accept-client-certs WebSEAL ����� ��� �� ��

HTTP HEADERS

[http-headers] ���

http-headers-auth HTTP �� ��� �� �� � �� �

��

[auth-headers] ���

�� ��� ��� �� HTTP �

IP ADDRESS

[ipaddr] ���

ipaddr-auth IP �� ��� ��� �� �� � �� �

��

STEP UP

[authentication-levels] ���

level = ���� �� level =��

step-up �� �

MULTIPLEXING PROXY AGENTS

[mpa] ���

236 �� 3.8

AUTHENTICATION

��� ��

mpa ����� ��� ����� �� �� ��

�� � �� ���

CDSSO

[cdsso] ���

cdsso-auth CDSSO ��� ��� �� �� � �� �

��

authtoken-lifetime CDSSO �� ��� �� �� � �

[cdsso-peers] ���

<machine-name> = <keyfile-location>

CDSSO� ���� ��� ��

FAILOVER

[failover] ���

failover-auth failover � �� �� � �� ���

failover-cookies-keyfile cdsso_key_gen�� �� � ��� �

��(�� ��)

failover-cookie-lifetime failover � ��� ��� �� ��

enable-failover-cookie-for-domain

failover � ��� � �� ��� �

�� �� �� �

e-COMMUNITY SSO

[e-community-sso] ���

e-community-sso-auth e-community SSO �� � �� ���

e-community-name “vouch for” �� � ��� ����

e-community �

intra-domain-key DNS ����� WebSEAL ����� ��

��� ���� � ���� ��� ��

is-master-authn-server �� ��� ��� WebSEAL �� � �

��

master-authn-server ��� WebSEAL �� � � �(�� �

�� �� ��)

master-http-port ��� �� � � ��� � HTTP �

237Tivoli SecureWay Policy Director WebSEAL �� ���

A.

web

seald.co

nf

��

AUTHENTICATION

��� ��

master-https-port ��� �� � � ��� � HTTPS �

vf-token-lifetime “vouch for” �� � �

vf-url “vouch for” URL

ec-cookie-lifetime e-community � � �

[inter-domain-keys] ���

<domain-name> = <keyfile> e-community� ���� �� ���� ��

��

AUTHENTICATION MECHANISMS AND LIBRARIES

[authentication-mechanisms] ���

passwd-cdas passwd-ldappasswd-uraf token-cdascert-ssl cert-cdas http-requestc d s s o p a s s w d - s t r e n g t hcred-ext-attrs

���� �� ��� � � �� ��

��� ��

SSL QUALITY OF PROTECTION MANAGEMENT

[ssl-qop] ���

ssl-qop-mgmt QOP(quality of protection) � �� � �

� ���

[ssl-qop-mgmt-hosts] ���

<ip-address> �� ���� �� QOP ��� �

[ssl-qop-mgmt-networks] ���

<ip-address/mask> �� ����� �� QOP ��� �

[ssl-qop-mgmt-default] ���

default �� �� ��� IP ��� �� �� QOP

��� �

SESSION

��� ��

[session] ���

238 �� 3.8

SESSION

��� ��

�� �� WebSEAL ��/�� ��� �� �� ��

�� WebSEAL ��/�� ��� ��� �� �

� �

��� �� WebSEAL �� ���� ��� ��� �

SSL CLIENT SESSIONS

ssl-id-sessions SSL ID� ��� HTTPS ��� �� ��

��

SHARING SESSIONS

use-same-session HTTP HTTPS ��� ���� ���

�� � ��� �� ID ��

SENDING SESSION COOKIES

resend-webseal-cookies ����� �� �� � �� ��

�� � failover � ���

CONTENT

��� ��

[content] ���

LOCAL DIRECTORIES AND FILES

doc-root � �� ��� �� ����

directory-index ���� �� ��� �

delete-trash-dir ��� ��� ��� �� �� ��� �

���

LOCAL USER DIRECTORIES

user-dir ����� �� HTML ��� ���� �

� ��� � �����.

ERROR PAGES

error-dir WebSEAL � ��� �� ��

Director

239Tivoli SecureWay Policy Director WebSEAL �� ���

A.

web

seald.co

nf

��

CONTENT

��� ��

ACCOUNT MANAGEMENT PAGES

[acnt-mgt] ���

mgt-pages-root �� � ���� ��

��� ��� �� �

���� ���� �� ��� ��� �

account-locked �� ���� � ��� �� ��

��� ��� �

passwd-expired �� ���� � ��� �� ��

��� ��� �

passwd-change �� � �� �

passwd-change-success �� � ��� ���� �� ��� �

�� �

passwd-change-failure �� � ��� �� �� ��� �

�� �

help ��� � ���� �� �� �� ��

��� �

token-login �� ��� �� �

next-token �� �� �� �

stepup-login step-up �� ��� �� �

LOCAL CGI

[cgi] ���

cgi-timeout �� CGI ���(��) �� � � �� �

�� �

[cgi-types] ���

bat = cmd cmd = cmd pl =perl sh = sh tcl = tclsh76

�� CGI �� ��� ���� ���

� ��(Win32 � �)

[cgi-environment-variables] ���

ENV CGI ������ ��� �� �� �

ICONS

[content-index-icons] ���

240 �� 3.8

CONTENT

��� ��

image/* video/* audio/*

text/html text/* application/x-

tar application/*

���� ��� WebSEAL� � ����

�� ��� ��� ��� ��(index.html�

�� � ���)

[icons] ���

diricon ������� ���� ���

backicon �� ����� ���� ���

unknownicon � �� �� ��� ��� ���

DOCUMENT CACHING

[content-cache] ���

text/html image/* */* WebSEAL� ���� ��� �� ��

MIME ��� �� �� �� ��

MIME TYPES

[content-mime-types] ���

<extension> = <type> �� �� ��� MIME �� ��

deftype �� ��� �� ���� ���� �� �

�� ���� �� MIME ��

CONENT ENCODINGS

[content-encodings] ���

gz Z �� �� ���� ����� �� �

��� � �� ��

LOGGING

��� ��

[logging] ���

server-log � � �� ��� ��

max-size HTTP ��� �� �� ��� �� ��

flush-time HTTP �� �� �� �

�� HTTP �� �� �� � �� ���

requests-file HTTP �� ��� ��

241Tivoli SecureWay Policy Director WebSEAL �� ���

A.

web

seald.co

nf

��

LOGGING

��� ��

referers HTTP �� ��� �� � �� ���

referers-file HTTP �� ��� ��

���� HTTP ���� �� �� � �� ���

agents-file HTTP ���� ��� ��

gmt-time �� ��� �� GMT ���� �� ��

AUTHORIZATION API

��� ��

[aznapi-configuration] ���

db-file �� ����� policy ������ ��

��� ��

cache-refresh-interval ��� �� � � �� ��() �� ��

� �� ��

listen-flags policy �� �� �� ��� �� ��� �

� � �� ���

tcp-port ���� �� TCP ��

udp-port ���� �� UDP ��

AUTHORIZATION API LOGGING

logclientid=webseald

logsize � �� ��� �� �� �� �� �

��

logflush � �� �� �� �� �

logaudit �� �� � �� ���

auditlog �� ��� ��

auditcfg = azn �� �� ��� ��

auditcfg = authn �� ��� ��

auditcfg = wand WebSEAL ��� ��

AZNAPI SERVICE DEFINITIONS

<service-id>

mode

242 �� 3.8

AUTHORIZATION API

��� ��

azn-server-name

pd-user-name

[aznapi-entitlement-services] ���

AZN_ENT_EXT_ATTR

POLICY DIRECTOR

��� ��

[policy-director] ���

config-file pd.conf �� ��� ��

[manager] ���

master-host

master-port

master-dn

243Tivoli SecureWay Policy Director WebSEAL �� ���

A.

web

seald.co

nf

��

244 �� 3.8

WebSEAL Junction ��

pdadmin ����� WebSEAL junction ���� ��� � �� �

�� �� � ��� �����.

�� �� �� ����.

¶ �“pdadmin � ���”� ��� Junction ���

¶ 247 ���� �Junction ��

¶ 248 ���� ��� � � �� �� Junction ���

¶ 251 ���� ��� Junction� �� � ���

“pdadmin �� ���”� ��� Junction ��pdadmin� ���� �� sec_master � ����� � ����

���� ���.

�� ��, �� ����.

UNIX:

# pdadminpdadmin> loginEnter User ID: sec_masterEnter Password:pdadmin>

B

245Tivoli SecureWay Policy Director WebSEAL �� ���

B.

Web

SE

AL

Jun

ction

��

Windows:

MSDOS> pdadminpdadmin> loginEnter User ID: sec_masterEnter Password:pdadmin>

� �� ����, �� ��� ���� �� ���� ��� �

� �� � ����.

# pdadmin -a sec_master -p <password>pdadmin>

WebSEAL junction� ����� pdadmin server task �� ��

����.

pdadmin> server task <server-name> <task>

server-name ��� � �� � � � ��� �� PolicyDirector ����(�: WebSEAL)� �� �����,

<policy-director-component>-<machine-name>

�� ��, �� �� cruz�� Policy Director ����� WebSEAL�� server-name �� ����.

webseald-cruz

server list �� ���� � � ��� ������.

pdadmin> server listwebseald-cruz

�� WebSEAL junction� ����� �� � �� � ���

�����.

¶ ��� ������ � � ��� �(-h ��)

¶ junction �� -- tcp, ssl, tcpproxy, sslproxy, local(-t ��)

¶ junction ���(�� ���)

pdadmin> server task <server-name> create -t <type>-h <host-name> <jct-point>

246 �� 3.8

Junction ��� junction � pdadmin server task �� ��� � ���

�.

�� ��

create �� � � �� �� junction� �����.

add ��� junction ���� �� � � �����.

remove � � junction ����� �����.

��: remove -i <server-id> <junction-point>

show �� ���� �� � � ID� �����.

delete junction ���� �����.

��: delete <junction-point >

list � � � �� junction ���� �����.

��: list

show junction� ����� ����.

��: show < junction-point>

jmt load jmt clear jmt load � WebSEAL� junction �� ���

���(jmt.conf)� ���� ���� �� � �

� URL� �����.

jmt clear � WebSEAL�� junction �� �

�� ���� �����.

help junction �� �����.

��:help

help <command> �� junction �� �� ��� ���� ���

�.

exit pdadmin ����� �����.

��: exit

� � � � �� �� ��� �� ����.

247Tivoli SecureWay Policy Director WebSEAL �� ���

B.

Web

SE

AL

Jun

ction

��

�� ��� �� ��� Junction ����: �� junction ���� ���� �� � � junction���.

��:

create -t <type> -h <host-name> [<options>] <junction-point>

Junction

-t <type> **��**

junction� ��. �� � ��: tcp, ssl,tcpproxy, sslproxy, local.

-t tcp� �� ��� 80���. -t ssl� ��

��� 443���.

��� ��

-h <host-name> **��**

�� ��� � � DNS ��� � �� IP

��

��

SSL� �� �� ��

-K <key-label> WebSEAL ���� ���� ���� �

�� � � �����.

-B WebSEAL BA � ��� ���� ��

� � � �����. -U, -W � -b filter �

�� �����.

-U <“username”> WebSEAL ��� �. BA � ��� �

�� � � ���� -B �� �����.

-W <“password”> WebSEAL ��. BA � ��� ��� �

� ���� -B �� �����.

-D <“DN”> ��� � ���� �� �� �����.

� ��� DN ���� � � ���

������.

��� junction ��(-t tcpproxy �� -t sslproxy� ���)

248 �� 3.8

-H <host-name> ��� � � DNS ��� � �� IP �

�.

-P <port> ��� � � TCP ��

BA �� �� ��

-b <BA-value> WebSEAL � � ��� � � HTTP BA

�� ��� ���� ��� �����. ��

� ��: filter(���), ignore, supply, gso

� TCP � SSL junction ��

-c <id-types> junction� �� HTTP �� Policy Director

���� ��� ����. id-types ��

� Policy Director HTTP � ��(iv-user,

iv-user-l, iv-groups, iv-creds �� ��)� �

� ��� ��� � ����.

-i WebSEAL � � URL� ����� ���

� ����.

-j � �� URL� �� ����� ����

� ��� junction ��� �����.

-k ��� � � � �� �� ����.

-p <port> ��� ��� � � TCP ��. TCP

junction� ��� 80�� SSL junction� �

�� 443���

-q <url> query_contents ����� �� �� URL.

Policy Director� /cgi_bin/��

query_contents� ���. ����� ��

�� query_contents ��� �� �� �

��� ���� WebSEAL� � ��� ��

�� URL� ����.

-r junction� �� HTTP �� ���� IP �

�� ����.

-s junction� stateful ������� �����

�����. ����� junction ��� �

�� ����.

- T < r e s o u r c e /

resource-group>

GSO �� �� �� ��� �. -b gso �

�� ���� � ���� �����.

249Tivoli SecureWay Policy Director WebSEAL �� ���

B.

Web

SE

AL

Jun

ction

��

-u <UUID> stateful junction(-s)� � WebSEAL� �

� ��� � � UUID� �����.

-v <virt-host-name> ��� � � � �� ��� �. � �

� ��� � �� �� ��� �� �

����.

� � � �� ����� junction�� �

� ��� ��� junction � � ��� �

�� ���� �� �� ���� -v�

�����. �������� �� HTTP �

�� ��� � � �� � �� �

� � � ��� ��� �� � ����.

�� ���� � ��� � � �� �

�� �� � ��� ����� WebSEAL

� ��� ���.

-w Win32 �� ��� ��

LTPA junctions

-A LTPA junction �� � �� ���

-F <“keyfile”> LTPA � ���� ����� � ��

��� ��

- Z < “ k e y f i l e -

password”>

��� ��

WebSEAL�� WebSEAL SSL�� junction

-C SSL� �� ���� WebSEAL � �

�� WebSEAL � ��� �� ��. -t ssl�� -t sslproxy ��� �����.

�� junction ��(-t local �� ��)

-d <dir> junction� �� �� ����. **��**

-f �� junction ��� �� ����.

Junction ���

junction� ���� WebSEAL � ��� ��

250 �� 3.8

� Junction� �� �� ����: ��� junction ���� �� � � �����.

��:

add -h <host-name> [<options>] <junction-point>

��� ��

-h <host-name> **��**

�� ��� � � DNS ��� � �� IP

��

��

SSL� �� �� ��

-D <“DN”> ��� � ���� �� �� �����.

� ��� DN ���� � � ���

������.

��� junction ��(-t tcpproxy � -t sslproxy� ���)

-H <host-name> ��� � � DNS ��� � �� IP �

-P <port> ��� � � TCP ��

� TCP � SSL junction ��

-i WebSEAL � � URL� ����� ���

��.

-j � �� URL� �� ����� ����

� ��� junction ��� ��

-p <port> ��� ��� � � TCP ��. TCP

junction� ��� 80�� SSL junction� �

�� 443���.

-q <url> query_contents ����� �� �� URL.

Policy Director� /cgi_bin/��

query_contents� ���. � ����� �

��� query_contents ��� �� ��

� ��� ���� WebSEAL� � ���

�� �� URL� ����.

251Tivoli SecureWay Policy Director WebSEAL �� ���

B.

Web

SE

AL

Jun

ction

��

-u <UUID> stateful junction(-s)� � WebSEAL� �

� ��� � � UUID� �����.

-v <virt-host-name> ��� � � � �� ��� �. � �

� ��� � �� �� ��� �� �

����.

� � � �� ����� junction�� �

� ��� ��� junction � � ��� �

�� ���� �� �� ���� -v�

�����. �������� �� HTTP �

�� ��� � � �� � �� �

� � � ��� ��� �� � ����.

�� ���� � ��� � � �� �

�� �� � ��� ����� WebSEAL

� ��� ���.

-w Win32 �� ��� ��

Junction ���

�� junction ���� � � �����.

252 �� 3.8

iKeyman � ��� ��

iKeyman ����� �� ��� ��� � ��� � �� �

����. iKeyman� ���� �� ������ � �� �

�� �� �� ��, ������� CA �� ��, ��� ���

����� �� ������� �� ��, CA��� �� ��

�� � �, �� � � ��� �� � ����.

iKeyman ����� Policy Director �� ���� GSKit(GlobalSecurity Kit) �� �����.

�� �� �� ����.

¶ 254 ���� �iKeyman ���� ���

¶ 255 ���� ��� WebSEAL ������ ���

¶ 257 ���� ��� ������ ���

¶ 260 ���� ��� �� � �� �� ���

¶ 262 ���� ��� �� CA �� ���

¶ 263 ���� ��� CA �� ���

¶ 264 ���� ������� �� �� ���

¶ 268 ���� �� �� ���

¶ 270 ���� ��� �� ���

¶ 270 ���� ��� �� ���

C

253Tivoli SecureWay Policy Director WebSEAL �� ���

C.

iKeym

an

��

��

��

¶ 271 ���� ��� �� �� ���

¶ 272 ���� ������� �� ��

iKeyman ���� ��� ��� �� � ���� iKeyman ����� ������.

Windows:

MSDOS> /Program Files/IBM/gsk4/bin/gsk4ikm.exe

UNIX:

# /usr/bin/gsk4ikm

IBM � �� �����.

�� 39. IBM � �

254 �� 3.8

�� WebSEAL ������ � �������� ���� � � � �� WebSEAL� �

� �� ��� ���� � ��� �� CA ��� �����.

��, WebSEAL �� �� ������(pdsrv.kdb)� ��

���. � ���� �� WebSEAL ��( ��� = PolicyDirector) � �� �� CA ��� ����� ���� ����.

�� WebSEAL ������� ��� �� ��� �����.

1. IBM � �� ������ �� ���� ��� ����

��.

2. �� ��� ��� �� ����� ������.

UNIX: /opt/PolicyDirector/lib/certs

Windows: C:\Program Files\Tivoli\PolicyDirector\lib\certs

3. ��� ������.

pdsrv.kdb

4. ��� �����.

�� � �� �� ��� �����.

5. �� WebSEAL ��� ������.

pdsrv

6. ��� �����.

������ ��� � �� ����.

�� WebSEAL ��� �� �� �� ����. ��� ��

��� “Policy Director”���. � ��� ��� ��� �

(*)� ����� ���� ��� ����.

256 ���� ��40� ������.

255Tivoli SecureWay Policy Director WebSEAL �� ���

C.

iKeym

an

��

��

��

�� ���� �� ��� �� �� ��� �����. �� �� CA(Certificate Authority) �� ��� �����.

257 ���� ��41� ������.

�� 40. �� WebSEAL pdsrv.kdb ��: WebSEAL ��

256 �� 3.8

��� ������ �� �������� ���� � � � �� WebSEAL� �

� �� �� ���� � ��� �� CA ��� �����.

��, WebSEAL �� �� ������(pdsrv.kdb)� ��

���. � ���� �� WebSEAL ��( ��� = PolicyDirector) � �� �� CA ��� ����� ���� ����.

� �� ������� �� ����� �� ������� �

�� � ����. �� ������� ��� � �� WebSEAL�� ������� �� ������� ��� �� secmgrd.conf ��

�� 41. �� WebSEAL pdsrv.kdb ��: �� ��

257Tivoli SecureWay Policy Director WebSEAL �� ���

C.

iKeym

an

��

��

��

� ssl-keyfile ���� ���� WebSEAL� � ��� ���.41 ���� �WebSEAL� �� ������ ��� ���� �

�����.

�� ������ ��� ����� �� ��� �����.

1. IBM � �� ������ �� ���� ��� ���

���.

�� �� ��� �����.

2. ������ �� ���� “CMS ������ ��”� �

�����.

3. key.kdb � �� �� ������.

4. �� ��� �� �� �� ���� � ��� �� �� �

���� ��� ��� � �� �� ������.

5. ��� �����.

�� � �� �� �����.

6. �� ��� ��� ���� �� �� ��� �� ������.

7. (���) �� �� � ���� ���� ��� �� ����

��.

8. (���) ��� �� ��� ���� ������.

�� ���� sth ��� ����.

�� 42. �� �� ��

258 �� 3.8

secmgrd.conf �� ��� ssl-keyfile-stash ���� ����

WebSEAL� ��� �� �� ��� � ��� ���.

41 ���� �WebSEAL� �� ������ ��� ���

� ������.

9. ��� �����.

�� �� ���� �� ������� ������ ��

���.

10. ��� �����.

�� ������� ����� ��� ���. IBM

� �� �����.

IBM � � �� �� �� � �� ��� �

����.

�� �� �� ��� iKeyman �� �����.

¶ RSA Secure Server CA

¶ Thawte Personal Premium CA

¶ Thawte Personal Freemail CA

¶ Thawte Personal Basic CA

¶ Thawte Premium Server CA

¶ Thawte Server CA

¶ VeriSign Class 1 Public Primary CA

¶ VeriSign Class 2 Public Primary CA

¶ VeriSign Class 3 Public Primary CA

¶ VeriSign Test CA Root Certificate

� �� �� ��� �� CA(Certificate Authority)���� �

� �� ���. WebSEAL � �� ��� ���� ����

� ��� ������.

259Tivoli SecureWay Policy Director WebSEAL �� ���

C.

iKeym

an

��

��

��

� ��� ���� �� �� ��� ��� � ��, CA�� �

� ���� ������� ��� ���.

262 ���� ��� �� CA �� ���� ������.

�: VeriSign Test CA Root Certificate� ������ ���� ��

CA� ���� ����. �� ������� ������

��� ���� �� � ��� ��� ���.

�� ������� WebSEAL� ���� �� �� � � ��

� ��� � ��� CA� �� � ��� ��� ���. ���� � �� �� �� �� ����.

268 ���� �� �� ���� ������.

270 ���� ��� �� ���� ������.

��� �� ��� �� ��� ���� ������� ���� �� � ��� ���� �� ����

� �� ��� ��� ����� �� �� � ����.iKeyman�� �� � �� ��� ���� ������ �

�� � ����. �� � �� ��� ��� CA� ����

���� ���� �� �� �����.

�: �� � �� ��� ���� ������� ���� �

���. �� ���� �� ����� � � ����� �

��� ���� ����.

��, WebSEAL “Policy Director”�� �� � ��� �

����. � ��� ������ ����� �� �� � �

�� ��� �� ����.

�� �� � �� ��� ����� �� ��� ����

�.

260 �� 3.8

1. iKeyman� ���� pdsrv.kdb ���� � ��� ��

��� ����.

IBM � �� �� ���� ��� �� �� ���� �

���, ��� ������ ��� �� ����.

2. �� ���� �� ��� ������.

3. �� �� � ��� �����.

�� �� � �� �� �� ��� �����.

4. “test-cert” � ���� ������.

5. �� � � ��(� � ���)� ���� ��� ������.��� ��� ��� ���� ���� �� �� �� �

� ������.

262 ���� ��43� ������.

6. ��� �����.

IBM � �� �� �� ���� ���� ��� �� �

�� ��� �� ����.

261Tivoli SecureWay Policy Director WebSEAL �� ���

C.

iKeym

an

��

��

��

��� �� CA ��� ���� CA� � �� �� ��� ���� �� CA��� �

� ��� ��� ���. � CA� � ���� � ��� ��

� ��� ����. � ��� ��� ��� CA� ������.

CA��� �� ��� ���� �� �� �������

��� � ����. ���� �� �� ��� *.arm ��(�:cert.arm)� �����.

������� �� CA ��� ����� �� ��� �����.

1. IBM � �� �� ���� �� ��� ������.

2. ��� �����.

����� CA �� �� �� �����.

�� 43. �� �� � �� ��

262 �� 3.8

1. ��� �� �� ���� Base64-encoded ASCII ���� �

�����.

2. �� CA ��� �� �� �� � ��� �����

���� � � ��� ������.

3. ��� �����.

��� �� �� ��� �����.

4. VeriSign Root CA Certificate � �� CA ��� ��

���� ���� ��� �����.

�� �� �� ���� �� ��� �� CA ��� ��

�� �����.

�� CA ��� ���� �� ��� �� �� ��� �� ���� ���� �

�� �� CA ��� ��� ���.

�: �� CA ��� ���� �� ��� �� ��� ���� �

�� � CA �� ��� �� ��� � ��� ����.

�������� �� CA ��� ����� �� ��� ����

�.

1. IBM � �� �� ���� �� ��� ������.

2. ����� �� CA ��� ��(���)����.

3. ��� �����.

�� 44. ����� CA �� �� �� ��

263Tivoli SecureWay Policy Director WebSEAL �� ���

C.

iKeym

an

��

��

��

��� �����.

4. �� �����.

�� �� �� ���� �� ��� �� CA ��� ��

�� �� ���� ����.

������ �� ��� ����� �� ����� ���� ����� �� � ��� �

�� � ��� �������� ��� ���� � �� ����

��� ��� � ��� ����. ������ ���� ��� �

��� ��� � �� ��� ����.

¶ ��� ��� ��. ��� �� ��

¶ �������� �� �� �

¶ ������� �� �� �

���� ��� ��. ��� ��� ����� (��) �������� ���� (��) ������

� ����� �� ��� �����.

1. “��” ������� ����.

2. IBM � �� �� ���� �� �� �� � ���

� ��� ��� ������.

3. �� ������� ����� ��� ������.

4. ��� ��� ��, �� �� ��� �����. ��� ��

� �� �� ��� �����.

��� �� �� �� �����.

5. ��� �� �� ���� Base64-encoded ASCII ���� �

�����.

��� �� �� ��� ��� �� ��� ��� ��

��� ���. iKeyman ��� Base64-encoded ASCII �� �

���� DER �� ��� �����.

264 �� 3.8

6. ��� ���� �� �� �� �� ����� ��

�� � � � ��� ������.

7. ��� �����.

��� �� ��� �����.

���� �� ������� ��� ����� �� ��� ���

��.

1. �� ������� ����.

2. �� �� � ����� ��� ��� ������.

3. �� �� ��� � ��� �����. �� �� ���

��� ��� �����.

4. ��� ��� � ��� �� �� � � ��� �����

�. �� ��� ��� ��� �� ����.

�� 45. ����� �� ��

�� 46. ����� �� ��

265Tivoli SecureWay Policy Director WebSEAL �� ���

C.

iKeym

an

��

��

��

5. ��� �����.

6. �� ���� � ��� �� ��� �� ��� ����. ��� ���� �����.

�� ��� �� ������� ����� �� ��� ��

���.

�������� � ��� ��(��) �������� (��) ������� ��� ��

�� �� ��� �����.

1. “��” ������� ����.

2. IBM � �� �� ���� �� �� �� � ���

� ��� ��� ������.

3. �/� ��� �����.

�/� �� ����.

4. �� �� ���� �� ������.

5. �� �� �� ���� CMS ������ ��� ��

����.

6. ���� ��� ���� �� ������� �� � �

��� ������. �� ��� ��� ��� �� ����.

7. ��� �����.

�� 47. �/�

266 �� 3.8

�� � �� �� �����.

8. ��� ���� ��� �����.

��� ���� �� �� �����.

9. ���� ��� ���� ��� �����.

�� ������� ��� ��� �����.

������� � ��� ��(��) �������� (��) ������� ��� ��

�� �� ��� �����.

1. “��” ������� ����.

2. IBM � �� �� ���� �� �� �� � ��

�� ��� ��� ������.

3. ���� ��� ��(���)����.

4. �/� ��� �����.

�/� �� ����.

5. �� �� ���� �� ������.

6. �� �� �� ���� CMS ������ ��� ��

����.

7. ���� ��� �� �� ������� �� � � �

�� ������. �� ��� ��� ��� �� ����.

�: � ������ ��� ���� ���� �����. “�”� �����. � ��� �� �������� ���

��. �� ��� ��� ����.

267Tivoli SecureWay Policy Director WebSEAL �� ���

C.

iKeym

an

��

��

��

8. ��� �����.

�� � �� �� �����.

9. �� ������� �� ��� ���� ��� �����.

10. �� ������� �� � ��� �� ��� ���

��.

�� ��� ��WebSEAL�� ��� SSL ����� ���� � CA� ��

��� �����. WebSEAL� �� �� ����(junctioncp -K� junction ������ � � �� �)� ����� �� �

�� ��� � ����.

iKeyman ����� ��� CA� �� � �� �� ��� ���

� ��� ���.

�� ��� ����� �� ��� �����.

1. IBM � �� �� ���� �� ��� ������.

2. ��� �����.

� � �� �� �� �� ��� �����.

�� 48. �/�

268 �� 3.8

3. � ��� �� ���� ������.

4. �� � � ��� ���� ��� ������.

��� ��� ��� ���� ���� �� �� �� �

� ������.

5. �� # ���� ��� �� � ��� ������. ��

� ��� ��� � ����.

6. ��� �����.

�� �� ���� �� �� ��� �� ��� ����

� ����� �����.

7. ��� �����.

�� �� �� ���� ���� ��� �� �� �� �

�� ���� ����.

8. � �� ��� ����� ��� ��� CA� ���� ��

� CA� � ���� �� ���� ���� �������.

�� 49. � � �� �� ��

269Tivoli SecureWay Policy Director WebSEAL �� ���

C.

iKeym

an

��

��

��

�� ��� ��CA� � �� �� ��� �� �� ��� ��� �

������ ��� ���.

�� ��� ��� �� ��� �����.

1. IBM � �� �� ���� �� ��� ������.

2. ��� ������.

����� �� �� �� �����.

3. ��� �� �� ���� Base64-encoded ASCII ���� �

�����.

4. �� �� ��� �� �� �� � ��� �����

�. �� ��� ��� ��� �� ����.

�: CA� ��� �� �� ���� ��� ��� � ���

���� ��� ��� ����� ���.

5. ��� �����.

6. ��� �� �� �����.

7. �� ��� �� ���� ���� ��� �����.

�� �� ���� �� �� ��� ���� �����.

�� ��� ���� ��� �� ���� ��� �������� ��� �

�� ���.

�: �� ��� ���� �� ��� �� ���� �� �� �

�� ������.

�� ��� ����� �� ��� �����.

1. IBM � �� �� ���� �� ��� ������.

2. ����� �� ��� ��(���)�� ��� �����.

270 �� 3.8

�� �� �����.

3. �� �����.

�� �� ��� ��� �� �� �� ��� ��

�� ����.

��� �� ��� ��iKeyman ����� ���� ������� � ��� �� �

� ��� ���� �� � ��� WebSEAL� �� �� ���

��� � ����. (��� CA���� �� �� ��� ���

� � �������� (������) �� � �� ���

���� ��� ��, ������� � ��� �� ��� ��

� ����.)

CA�� � �� ��� �� �� � �� ��

� ������� �� �� CA� ��� �� ��� �� �

�� ���� ��� � ����. �� �� ��� �� ���

�� �(*)� ����.

�� ��� �� �� � �� �� ��� ���� �� �

� ��� ����. �� �� ��� �� �� �

�� ��� ��� ��� � �� ��� �� �� ��

� ��� � ����. ��� ���� �� �� ��� ���

� �� �� ����.

�� �� ��� ���� �� ��� �����.

1. IBM � �� �� ���� �� ��� ������.

�� �� ��� �� ��� �� �(*)� ����.

2. �� �� ��� ���� �� �� ��� ���� �

�/��� �����. ��� � � �� ���.

��� �� �� �� �����.

3. �� ��� � ���� ���� ��� �����.

271Tivoli SecureWay Policy Director WebSEAL �� ���

C.

iKeym

an

��

��

��

�� ��� ��� �� �(*)� �� �� �� ���

����.

������ �� �iKeyman ��� ���� ������� �� ��� �� � �

���.

������ ��� ���� �� ��� �����.

1. ������� ����.

2. ������ �� �� � ���� �� �� �����

�.

�� � �� �����.

3. �� ��� � ��� ���� �� �� ��� �� �����

�.

4. ��� ��, �� �� � ���� ������.

5. ��� ��, ��� �� ��� ���� ������.

6. ��� �����.

�� ��� ���� ��� ����� ������ �����.

272 �� 3.8

��

������ ���

�� 213

�� 215

WebSEAL �� 214

�� �� �� 47

�� ������ 48

�� ��

�� 100

�� webseal ACL policy 59

����� ��, request.log 52

���� � �� POP policy 72

����� �� �

�� 190

BA �� �� ���� �� �� 190

CDSSO 119

e-community 125

GSO �� �� 199

GSO(global sign-on) 196

LTPA(WebSphere) 200

-b filter 194

-b gso 195

-b ignore 193

-b supply 191

�� ���� �� �� 209

�� URL

��, dynurl �� 219

�� 219

�� 223

�� � � ���� 222

ACL �� � �� 216

dynurl-allow-large-posts 221

dynurl-map 217

GET � POST ��� 220

POST ��� ���� �� 220

post-max-read 220

���� �� ��� 28

������� 37, 98

��� 37

� �� �� 97

��� � ��

�� 97

��, HTTP 50

�� ����, WebSEAL � 20

�� 50

����� �� ����

�� � 27

�� �� 30

�� �� 32

273Tivoli SecureWay Policy Director WebSEAL �� ���

��

�� �� (��)

�� �� 32

������ ������ �� 208

� policy

�� 4

� �� 4

ACL policy 4

POP(Protected Object Policy) 4

�� � 3

�� �� 3

��� �� ������ �� 47

����� �� junction 153

�� ��� �� 81

�� ��

� 83

�� � 87

�� � �� 88

��� �� ID ��� �� 90

�� ��

GSKit 83

WebSEAL 83

�� � 87

�� 88

�� ID ��� �� 90

��� 85

��� ���

HTTP � HTTPS 24

��

� �� 209

HTTP �� ��� � 210

�� (��)

LDAP ��� � 209

�� �

�� 7

EPAC 8

����� �� policy 61

�� �� 102

������ ��, ��� 208

���� 50

�� 50

��

�� 5

�� �� 94

�� �� 100

�� ��� �� 97

��� � �� 97

� 6

�� 102

�� 104

�� 111

CDSSO 119

e-community 125

HTTP � 108

IP �� 111

MPA 113

�� ���, �� 81

�� �� POP policy 65

���� � ���, �� 76

���

� 38

���� ��� 81

���� �� ��� �� 81

������ �� �� 40

���� � 80

274 �� 3.8

��� (��)

GSKit 39

iKeyman 39

��� �� 104

����� ��, �� ���� 209

��� ��� 23

�� HTML URL ��

� �� URL 179

�� URL 179

����� �� 32

�� �� 32

������ �� �� 40

����� � 209

�� �� 111

��� 47

���� WebSEAL �

�� 48

���� WebSEAL � �� 48

���� 109

�� 12

�� ��� � 15

�� ���� � 12

����3 ����� ��� policy 59

Aaccept-client-certs 107

account-locked 37

acct_locked.html 38

ACL policy, WebSEAL �� 57

acnt-mgt ��� 37

agents-file 50

agent.log 50

�� 54

authentication-levels ��� 66, 72

authtoken-lifetime 124

aznapi-configuration ��� 47

Bbackicon 28

basicauth-dummy-passwd 191

basic-auth-realm 100

ba-auth 100

275Tivoli SecureWay Policy Director WebSEAL �� ���

��

Ccache-refresh-interval 48

CDMF �� ����� 120

cdsso 122

CDSSO �� 119

cdssoauthn 122

cdsso-auth 122

cdsso-peers ��� 123

cdsso_key_gen 93, 123, 138

cert-ssl 107

CGI �����

�� 205

WIN32 �� � �� 207

cgi-environment-variables ��� 207

cgi-timeout 25

cgi-types ��� 29

client-connect-timeout 24

content-caches ��� 30

CRL �� 44

Ddb-file 47

directory-index 28

diricon 28

disable-ssl-v2 23

disable-ssl-v3 23

disable-tls-v1 23

doc-root 26

dynurl �� 219

dynurl-allow-large-posts 221

dynurl-map 217

dynurl.conf 216

Eec-cookie-lifetime 141

entrust-client 109

e-community �� 125

�� 139

�� 128

���� � 129

e-community � 135

″vouch for″ �� � � 136

″vouch for″ �� 137

″vouch for″ �� ��� 138

e-community � 135

e-community-name 140

e-community-sso-auth 139

Ffailover �, �� 91

failover-auth 93

failover-cookies-keyfile 94

failover-cookie-lifetime 94

filter-url ��� 52, 180

flush-time 52

forms-auth 102

GGET ��� 220

gmt-time 51

GSKit 39

�� �� 40

GSKit �� �� 83

�� 86

GSO 196

GSO �� �� 199

GSO ��, �� 199

276 �� 3.8

GSO(global sign-on) 196

gso-cache-enabled 200

gso-cache-entry-idle-timeout 200

gso-cache-lifetime 200

gso-cache-size 200

Hhelp 37

help.html 38

HTML ��� �� ��� 37

��� �� 38

http 22

HTTP �� �� �� 53

HTTP �� 50

HTTP � ��� 33

��� �� 36

HTTP � �� 108

HTTP �� �� LDAP ��� 209

httpauthn 109

https 22

https-port 22

https-timeout (junctions) 25

http-headers-auth 109

http-port 22

http-request 109

HTTP-Tag-Value 212

http-timeout (junctions) 25

HTTP_IV_CREDS 161, 206, 208

HTTP_IV_GROUPS 161, 206, 208

HTTP_IV_REMOTE_ADDRESS 163

HTTP_IV_USER 161, 206, 208

IiKeyman 42

�� 43

�� ������ �� 255

������ �� �� �� 264

������ �� � 272

�� CA �� �� 263

�� �� SSL junction 153

�� �� �� �� 271

�� �� CA �� �� 262

�� �� � �� �� 260

�� ������ �� 257

� �� �� 268

�� 254

�� �� 270

�� �� 270

SSL �� junction 152

WebSEAL ��� ��� 106

inactive-timeout 86

inter-domain-keys ��� 138, 142

intra-domain-key 138, 140

IP �� �� 111

ipaddr-auth 111

is-master-authn-server 140

iv-creds 161, 208

iv-groups 161, 208

iv-remote-address 163

iv-user 161, 208

Jjmt load 170

jmt-map 170

jmt.conf 170

junction

�� 9, 146

�� �� 180

277Tivoli SecureWay Policy Director WebSEAL �� ���

��

junction (��)

�� � �� 178

����� ���� �� URL ��(-i) 165

� ��� 245

��� UUID ��(-u) 173

�� �� junction�� -b ��� ��

156

�� ��(-D, -K, -B, -U, -W) 153

�� junction(-f) �� � 160

�� �� � � � ���(-k) 164

���� �� �� �� URL �� 169

������� URL ��(-j) 165

�� �� 150

�� ��(-t) 150

��� �� 181

��� �� � 147

�� HTML URL �� 179

�� ���� � �� URL �� 167

��� junctions (-H, -P) 157

��� ��(-h) 150

BA �� ��(-B, -U, -W) 155

DN ��(-D) 154

gso ��(-b gso, -T) 198

GSO(global sign-on) 196

HTTP �� �� ���� �� ��

(-c) 161

HTTP �� �� IP �� ��(-r) 163

junction �� ��� 170

junction ��� ���� � �� URL �

� 170

LTPA(-A, -F, -Z) 201

pdadmin � ��� 149

stateful junction ��(-s, -u) 172

WebSEAL ���� ���(-K) 154

WebSEAL�� WebSEAL�� (-C) 158

Windows �� ���(-w) 177

-b filter 194

-b gso 195

-b ignore 193

junction (��)

-b supply 191

junction-db 146

Lldapauthn 101, 102

ldap-ext-cred-tags ��� 210, 212

libcdssoauthn 122

libhttpauthn 109

libldapauthn 101, 102

libsslauthn 107

libtokenauthn 112

listen-flags 47

logging ��� 52

login.html 38, 103

logout.html 38

log-filtered-pages 52

LTPA ��, �� 202

LTPA(WebSphere) 200

junction �� 201

LTPA �� �� 202

ltpa-cache ��� 202

ltpa-cache-enabled 202

ltpa-cache-entry-idle-timeout 202

ltpa-cache-entry-lifetime 202

ltpa-cache-size 202

Mmaster-authn-server 141

master-https-port 140

master-http-port 139

max-entries 85

max-size 51

mgt-pages-root 37

278 �� 3.8

mpa 116

MPA �� 113

Nnexttoken.html 38

next-token 37

Ppasswd-change 37

passwd-change-failure 37

passwd-change-success 37

passwd-expired 37

passwd-ldap 101, 102

passwd.html 38

passwd_exp.html 38

passwd_rep.html 38

pdadmin policy

disable-time-interval 59

max-login-failures 59

max-password-repeated-chars 61

min-password-alphas 61

min-password-length 61

min-password-non-alphas 61

password-spaces 61

pdadmin � ���(junctions) 149

pd.conf 210

PD_PORTAL � 214

pd_start � 21

persistent-con-timeout 24

ping-time (junctions) 25

pkmscdsso 125

pkmslogout 98

pkmspasswd 99

pkmsvouchfor 136, 141

POP policy

���� � �� 72

�� ��(step-up) 65

QOP(Qualtiy of Protection) 75

portal-map ��� 214

POST ��� 220

���� �� 220

post-max-read 220

QQOP(Qualtiy of Protection)

�� � 45

���� 45

��� 45

QOP(Qualtiy of Protection) POP policy 75

query_contents 181

� 186

��� �� 184

� 182

query_contents.c 182

query_contents.cfg 182

query_contents.exe 182

query_contents.html 182

query_contents.sh 182

Rreferers-file 50

referer.log 50

�� 54

REMOTE_USER 206

requests-file 50

request.log 50

���� �� �� �� 52

�� 54

279Tivoli SecureWay Policy Director WebSEAL �� ���

��

resend-webseal-cookies 88

Sscript-filter 169

script-filtering ��� 169

server-name 48

server-root 20

SSL �� ID 88

sslauthn 107

ssl-id-sessions 88

ssl-keyfile 43

ssl-keyfile-label 43

ssl-keyfile-pwd 43

ssl-keyfile-stash 43

ssl-ldap-server 44

ssl-ldap-server-port 44

ssl-ldap-user 44

ssl-ldap-user-password 44

ssl-max-entries 87

ssl-qop-mgmt 45

ssl-qop-mgmt-default ��� 45

ssl-qop-mgmt-hosts ��� 45

ssl-qop-mgmt-networks ��� 45

ssl-v2-timeout 86

ssl-v3-timeout 86

stepuplogin.html 38, 69

stepup-login 37, 69

step-up �� 65

Ttcp-port 47

tokenauthn 112

tokenlogin.html 38

token-auth 111

token-cdas 112

token-login 37

Uudp-port 47

unknownicon 28

use-same-session 88, 89

Vvf-token-lifetime 141

vf-url 141

vouch for �� � � 136

WWebSEAL

�� 1

� �� � �� 21

WebSEAL junction, junction �� 145

WebSEAL �� �� 83

�� 85

webseald.conf

�� 18

�� 18

�� 229

webseal-cert-keyfile 41

webseal-cert-keyfile-label 41, 106, 181

webseal-cert-keyfile-pwd 41

webseal-cert-keyfile-stash 41

webseal-mpa-servers �� 115, 117

WebSphere LTPA 200

WIN32 �� �, �� 207

280 �� 3.8

Printed in Australia

GA30-1321-01