test

Sun Java System Application Server 9.1 管理指南

管理密碼安全性

在 Application Server 中，包含特定網域規格的 domain.xml 檔案最初包含純文字形式的 Sun Java System Message Queue 代理程式密碼。domain.xml 檔案中包含此密碼的元素為 jms-host 元素的 admin-password 屬性。由於在安裝期間不能變更此密碼，因此它不會對安全性產生很大的影響。

但是，您可以使用管理主控台增加使用者和資源，並為這些使用者和資源指定密碼。部分密碼將以純文字形式寫入 domain.xml 檔案，例如用於存取資料庫的密碼。將這些純文字形式的密碼保存在 domain.xml 檔案中可能會破壞安全性。您可以對 domain.xml 中的任何密碼進行加密，包括 admin-password 屬性或資料庫密碼。下列主題中包含有關安全性密碼的管理說明：

對 domain.xml 檔案中的密碼進行加密

若要對 domain.xml 檔案中的密碼進行加密，請依照下列步驟執行：

  1. 在 domain.xml 檔案常駐的目錄 (依預設，此目錄為 domain-dir/config) 中，執行以下 asadmin 指令：


    asadmin create-password-alias --user admin alias-name

    例如，


    asadmin create-password-alias --user admin jms-password

    螢幕將顯示輸入密碼提示 (在本範例中為 admin)。請參閱 create-password-alias、list-password-aliases 和 delete-password-alias 指令的線上手冊，以取得更多資訊。

  2. 移除並替代 domain.xml 中的密碼。使用 asadmin set 指令可以完成此作業。使用 set 指令實現此目的的範例如下：


    asadmin set --user admin server.jms-service.jms-host.
default_JMS_host.admin-password='${ALIAS=jms-password}'
    備註 –

    將別名密碼以單引號括住，如範例所示。

  3. 重新啟動相關網域的 Application Server。

保護具有編碼密碼的檔案

某些檔案包含需要使用檔案系統許可權進行保護的編碼密碼。這些檔案包括：

變更主密碼

主密碼 (MP) 是全局性的共用密碼。它從不用於認證，也從不會在網路上傳輸。此密碼是整體安全性的重點；使用者可以選擇在需要時手動輸入此密碼，也可以將其隱藏在檔案中。它是系統中最敏感的資料。使用者可以移除此檔案，以強制系統提示您輸入主密碼。主密碼變更時，會重新儲存在主密碼金鑰庫中，也就是 Java JCEKS 類型金鑰庫。

若要變更主密碼，請執行下列步驟：

  1. 停止網域的 Application Server。使用 asadmin change-master-password 指令會提示輸入舊密碼和新密碼，然後重新加密所有附屬項目。例如︰


    asadmin change-master-password>
Please enter the master password>
Please enter the new master password>
Please enter the the new master password again>

  2. 重新啟動 Application Server。

    注意 – 注意 –

    此時，不能啟動正在執行的伺服器實例並且不能重新啟動正在執行的伺服器實例，除非已變更這些實例所對映的節點代理程式上的 SMP。如果在變更伺服器實例的 SMP 之前重新啟動了該伺服器實例，它將無法啟動。

  3. 一次停止一個節點代理程式及其相關伺服器。再次執行 asadmin change-master-password 指令，然後重新啟動節點代理程式及其相關伺服器。

  4. 繼續對下一個節點代理程式執行這些步驟，直到對所有節點代理程式均已執行這些步驟。這樣可以完成輪替變更。

使用主密碼和金鑰庫

主密碼是安全金鑰庫的密碼。建立新的應用程式伺服器網域之後，即會產生新的自我簽署憑證，並將其儲存在使用主密碼鎖定的相關金鑰庫中。如果主密碼並非預設，start-domain 指令會提示您輸入主密碼。輸入正確的主密碼之後，網域就會啟動。

建立與網域相關聯的節點代理程式之後，節點代理程式就會將資料與網域進行同步化。執行此項作業的同時，還會將金鑰庫同步化。任何由此節點代理程式控制的伺服器實例都必須開啟金鑰庫。由於此金鑰庫基本上和網域建立程序所建立的金鑰庫相同，因此只能由相同的主密碼開啟。但是主密碼本身永遠都不會同步化；意即在同步化期間，並不會將主密碼傳送到節點代理程式，但它必須可供節點代理程式在本機使用。這就是在建立和/或啟動節點代理程式時會提示您輸入主密碼的原因，而您所輸入的密碼，必須和您在建立/啟動網域時所輸入的密碼相同。若網域的主密碼有所變更，則必須執行相同的步驟，在每個和此網域相關聯的節點代理程式上變更主密碼。

變更管理員密碼

管理密碼安全性中論述了如何加密管理員密碼。強烈建議您加密管理員密碼。若要在加密管理員密碼之前變更管理員密碼，請使用 asadmin set 指令。使用 set 指令實現此目的的範例如下：


asadmin set --user admin server.jms-service.jms-host.default_JMS_host.admin-password=new_pwd

請參閱管理主控台線上說明，取得使用管理主控台變更管理密碼的說明。