Übersicht
Oracle Enterprise Performance Management System-Produkte unterstützen Kerberos-SSO, wenn der Anwendungsserver, der Host der EPM System-Produkte ist, für die Kerberos-Authentifizierung eingerichtet ist.
Kerberos ist ein vertrauenswürdiger Authentifizierungsservice, in dem jeder Kerberos-Client den Identitäten anderer Kerberos-Clients vertraut (Benutzer, Netzwerkservices usw.).
Wenn ein Benutzer auf ein EPM System-Produkt zugreift, passiert Folgendes:
Einschränkungen in der Unterstützung
Kerberos SSO wird von allen EPM System-Produkten unterstützt, mit folgenden Ausnahmen:
Annahmen
In diesem Dokument, das Kerberos-Konfigurationsschritte auf Anwendungsebene enthält, werden Kenntnisse über die Kerberos-Konfiguration auf Systemebene vorausgesetzt. Stellen Sie sicher, dass die Voraussetzungen für diese Aufgaben erfüllt sind, bevor Sie mit diesen Schritten beginnen.
In diesem Dokument wird angenommen, dass Sie in einer voll funktionsfähigen Kerberos-fähigen Netzwerkumgebung arbeiten, in der Windows-Clientcomputer für die Kerberos-Authentifizierung konfiguriert sind.
Kerberos-SSO mit WebLogic Server
Kerberos-SSO für Oracle WebLogic Server verwendet den Negotiate Identity Asserter zum Aushandeln und Decodieren von SPNEGO-Token, um SSO mit Microsoft-Clients zu ermöglichen. WebLogic Server decodiert SPNEGO-Token, um ein Kerberos-Ticket zu erhalten. Das Ticket wird validiert und einem WebLogic Server-Benutzer zugewiesen. Sie können den Active Directory-Authentikator von WebLogic Server mit dem Negotiate Identity Asserter verwenden, um Active Directory als Benutzerverzeichnis für WebLogic Server-Benutzer zu konfigurieren.
Wenn der Browser Zugriff auf ein EPM System-Produkt fordert, gibt KDC ein Kerberos-Ticket an den Browser aus. So wird ein SPNEGO-Token mit den unterstützten GSS-Tokentypen erstellt. Der Negotiate Identity Asserter decodiert das SPNEGO-Token und verwendet GSSAPIs, um den Sicherheitskontext zu akzeptieren. Die Identität des Benutzers, der die Anforderung ausgelöst hat, wird einem Benutzernamen zugewiesen und an WebLogic Server zurückgegeben. Zusätzlich bestimmt WebLogic Server die Gruppen, denen der Benutzer angehört. Dann wird das EPM System-Produkt dem Benutzer zur Verfügung gestellt.
Hinweis:
Benutzer müssen einen Browser verwenden, der SPNEGO unterstützt (z.B. Internet Explorer oder Firefox), um auf die EPM System-Produkte zugreifen zu können, die auf WebLogic Server ausgeführt werden.
Unter Verwendung der Benutzer-ID aus dem Authentifizierungsprozess sucht der Autorisierungsprozess desEPM Systems nach Zugriffsberechtigungsdaten. Der Zugriff auf das EPM System-Produkt wird basierend auf Provisioning-Daten eingeschränkt.
WebLogic Server-Verfahren zur Unterstützung der Kerberos-Authentifizierung
Ein Administrator muss die folgenden Aufgaben ausführen, um die Kerberos-Authentifizierung zu unterstützen:
WebLogic-Domain für EPM System erstellen
EPM System-Komponenten werden in der Regel in der WebLogic-Domain EPMSystem
bereitgestellt (der Standardspeicherort ist MIDDLEWARE_HOME/user_projects/domains/EPMSystem
).
So konfigurieren Sie die WebLogic-Domain für EPM System für die Kerberos-Authentifizierung:
Beim Foundation Services-Deployment wird die WebLogic-Standarddomain für EPM System erstellt.
LDAP-Authentifizierungsprovider in WebLogic Server erstellen
Ein WebLogic Server-Administrator erstellt den LDAP-Authentifizierungsprovider, der Benutzer- und Gruppeninformationen auf einem externen LDAP-Server speichert. LDAP v2- oder v3-konforme LDAP-Server arbeiten mit WebLogic Server. Informationen hierzu finden Sie in den folgenden Referenzen:
Negotiate Identity Asserter erstellen
Der Negotiate Identity Assertion-Provider aktiviert SSO mit Microsoft-Clients. Er decodiert SPNEGO-Token, um Kerberos-Token abzurufen, validiert die Kerberos-Token und ordnet die Token WebLogic-Benutzern zu. Der Negotiate Identity Assertion-Provider, eine Implementierung von Security Service Provider Interface (SSPI) gemäß WebLogic-Sicherheits-Framework, stellt die notwendige Logik bereit, um einen Client basierend auf dem SPNEGO-Token des Clients zu authentifizieren.
Setzen Sie beim Erstellen des Negotiate Identity Assertion-Providers das Kennzeichen für die JAAS-Steuerung für alle Authentikatoren auf SUFFICIENT
. Informationen hierzu finden Sie im Abschnitt zum Festlegen des Kennzeichens für die JAAS-Steuerung in der Onlinehilfe Oracle Fusion Middleware Oracle WebLogic Server Administration Console Online Help.
Kerberos-Identifizierung für WebLogic Server erstellen
Erstellen Sie auf dem Active Directory-Domaincontrollercomputer Benutzerobjekte für den WebLogic Server und für den EPM System-Webserver, und ordnen Sie sie den Service Principal Names (SPNs) für Ihren WebLogic Server und Ihren Webserver in der Kerberos-Realm zu. Clients können einen Service ohne SPN nicht finden. Sie speichern SPNs in keytab-Dateien, die in die WebLogic Server-Domain kopiert und beim Anmeldeprozess verwendet werden.
Ausführliche Informationen finden Sie unter Identifizierung für WebLogic Server erstellen in der Dokumentation Oracle Fusion Middleware Securing Oracle WebLogic Server.
So erstellen Sie die Kerberos-Identifizierung für WebLogic Server:
epmHost
, für den Hostcomputer der WebLogic Server-Domain.
Hinweis:
Erstellen Sie die Identifizierung als Benutzerobjekt und nicht als Computer.Verwenden Sie den einfachen Namen des Computers, z.B. epmHost
, wenn der Hostname epmHost.example.com
lautet.
Notieren Sie das Kennwort, das Sie beim Erstellen des Benutzerobjekts verwenden. Sie benötigen das Kennwort zum Erstellen von SPNs.
Wählen Sie keine Kennwortoptionen aus, vor allem nicht die Option User must change password at next logon
.
Do not require Kerberos pre-authentication
) ausgewählt ist.epmHost
) zugeordnet sind, das Sie in Schritt 1 dieses Verfahrens erstellt haben.
setspn -L epmHost
ktpass -princ HTTP/epmHost.example.com@EXAMPLE.COM -pass password -mapuser epmHost -out c:\epmHost.keytab
MIDDLEWARE_HOME/jdk/bin
.ktab -k keytab_filename -a epmHost@example.com
C:\Oracle\Middleware\user_projects\domains\EPMSystem
.kinit -k -t keytab-file account-name
In diesem Befehl gibt account-name
den Kerberos-Principal an, z.B. HTTP/epmHost.example.com@EXAMPLE.COM
. Die Ausgabe dieses Befehls muss der folgenden ähneln:
New ticket is stored in cache file C:\Documents and Settings\Username\krb5cc_MachineB
JVM-Optionen für Kerberos aktualisieren
Informationen hierzu finden Sie unter Startargumente für Kerberos-Authentifizierung mit WebLogic Server verwenden und JAAS-Anmeldedatei erstellen in der Dokumentation Oracle Fusion Middleware Securing Oracle WebLogic Server 11g Release 1 (10.3.1).
Wenn EPM System Managed Server als Windows-Services ausgeführt werden, aktualisieren Sie die Windows-Registry, um die JVM-Startoptionen festzulegen.
So aktualisieren Sie JVM-Startoptionen in der Windows-Registry:
Hinweis:
Die in der folgenden Tabelle aufgelisteten Namen sind Beispiele.
Tabelle 3-3 JVM-Startoptionen für Kerberos-Authentifizierung
Name | Typ | Daten |
---|---|---|
JVMOption44 | REG_SZ | -Djava.security.krb5.realm=Active Directory Realm Name |
JVMOption45 | REG_SZ | -Djava.security.krb5.kdc=Active Directory host name or IP address |
JVMOption46 | REG_SZ | -Djava.security.auth.login.config=location of Kerberos login configuration file |
JVMOption47 | REG_SZ | -Djavax.security.auth.useSubjectCredsOnly=false |
Aktualisieren Sie den Wert von JVMOptionCount DWord, damit die hinzugefügten JVMOptions wiedergegeben werden (4 zum aktuellen Dezimalwert hinzufügen).
Autorisierungs-Policys konfigurieren
Informationen zum Konfigurieren von Autorisierungs-Policys für Active Directory-Benutzer, die auf EPM System zugreifen, finden Sie unter Optionen zum Sichern von Webanwendungen und EJB-Ressourcen in der Dokumentation Oracle Fusion Middleware Securing Resources Using Roles and Policies for Oracle WebLogic Server.
Beispiele für Policy-Konfigurationsschritte finden Sie unter Policys für SSODiag erstellen.
SSODiag zum Testen der Kerberos-Umgebung verwenden
SSODiag ist eine Diagnosewebanwendung, mit der getestet wird, ob WebLogic Server in Ihrer Kerberos-Umgebung für die Unterstützung von EPM System bereit ist.
SSODiag bereitstellen
Verwenden Sie zum Bereitstellen von SSODiag die Administratorzugangsdaten für WebLogic Server (Standardbenutzername ist epm_admin
), die Sie beim Bereitstellen von Foundation Services angegeben haben.
So können Sie SSODiag bereitstellen und konfigurieren:
Wählen Sie im Change Center die Option Sperren und bearbeiten aus.
/products/Foundation/AppServer/InstallableApps/common/SSODiag.war
aus.Oracle HTTP Server für SSODiag konfigurieren
Aktualisieren Sie mod_wl_ohs.conf
, um Oracle HTTP Server so zu konfigurieren, dass SSODiag-URL-Anforderungen an WebLogic Server weitergeleitet werden.
So konfigurieren Sie die URL-Weiterleitung in Oracle HTTP Server:
/httpConfig/ohs/config/fmwconfig/components/OHS/ohs_component/mod_wl_ohs.conf
mit einem Texteditor.LocationMatch
für SSODiag hinzu:
<LocationMatch /SSODiag/> SetHandler weblogic-handler WeblogicCluster myServer:28080 </LocationMatch>
Im vorherigen Beispiel gibt myServer
den Foundation Services-Hostcomputer und 28080
den Port an, den Oracle Hyperion Shared Services auf Anforderungen abhört.
mod_wl_ohs.conf
.Policys für SSODiag erstellen
Erstellen Sie eine Policy in der WebLogic Server-Administrationskonsole, um die folgende SSODiag-URL zu schützen.
http://OHS_HOST_NAME:PORT/SSODiag/krbssodiag
In diesem Beispiel gibt OHS_HOST_NAME
den Namen des Hostservers von Oracle HTTP Server und PORT
den Port an, den Oracle HTTP Server auf Anforderungen abhört.
So erstellen Sie Policys, um SSODiag zu schützen:
/
/index.jsp
krbuser1
, dessen Account für den Zugriff auf einen für die Kerberos-Authentifizierung konfigurierten Clientdesktop verwendet wird, und wählen Sie Hinzufügen aus. Bei krbuser1
handelt es sich um einen Active Directory- oder Windows-Desktopbenutzer.Klicken Sie auf Speichern.
SSODiag zum Testen der WebLogic Server-Konfiguration für die Kerberos-Authentifizierung verwenden
Wenn die WebLogic Server-Konfiguration für die Kerberos-Authentifizierung richtig funktioniert, wird auf der Seite Oracle Hyperion Kerberos SSO diagnostic Utility V 1.0 folgende Meldung angezeigt:
Retrieving Kerberos User principal name... Success.
Kerberos principal name retrieved... SOME_USER_NAME
Achtung:
Konfigurieren Sie keine EPM System-Komponenten für die Kerberos-Authentifizierung, wenn SSODiag den Kerberos-Principal-Namen nicht abrufen kann.
So testen Sie WebLogic Server-Konfigurationen für die Kerberos-Authentifizierung:
http://OHS_HOST_NAME:PORT/SSODiag/krbssodiag
In diesem Beispiel gibt OHS_HOST_NAME
den Namen des Hostservers von Oracle HTTP Server und PORT
den Port an, den Oracle HTTP Server auf Anforderungen abhört.
Wenn die Kerberos-Authentifizierung richtig funktioniert, zeigt SSODiag die folgenden Informationen an:
Retrieving Kerberos User principal name... Success.
Kerberos principal name retrieved... SOME_USER_NAME
Wenn die Kerberos-Authentifizierung nicht richtig funktioniert, zeigt SSODiag die folgenden Informationen an:
Retrieving Kerberos User principal name... failed.
Sicherheitsmodelle ändern
Das Standardsicherheitsmodell für Webanwendungen, die durch die Sicherheits-Realm geschützt sind, lautet DDonly
. Sie müssen das Sicherheitsmodell in CustomRolesAndPolicies
ändern.
So ändern Sie Sicherheitsmodelle:
MIDDLEWARE_HOME/user_projects/domains/EPMSystem/config/config.xml
mit einem Texteditor.<security-dd-model>DDOnly</security-dd-model>
<security-dd-model>CustomRolesAndPolicies</security-dd-model>
config.xml
.EPM System-Sicherheitskonfiguration aktualisieren
Ändern Sie die EPM System-Sicherheitskonfiguration, um Kerberos-SSO zu aktivieren.
So konfigurieren Sie EPM System für die Kerberos-Authentifizierung:
Wählen Sie unter Sicherheitsoptionen die Einstellungen in der folgenden Tabelle aus, um Kerberos SSO zu aktivieren.
Tabelle 3-4 Einstellungen zum Aktivieren von Kerberos-SSO
Feld | Erforderliche Einstellung |
---|---|
SSO aktivieren | Ausgewählt |
SSO-Provider oder -Agent | Sonstige |
SSO-Mechanismus | Remote-Benutzer aus HTTP-Anforderung abrufen |
Kerberos-SSO testen
Melden Sie sich bei Foundation Services an, um zu überprüfen, ob Kerberos-SSO richtig funktioniert.
So testen Sie Kerberos-SSO:
EPM System-Komponenten konfigurieren
Konfigurieren Sie mit EPM System Configurator sonstige EPM System-Komponenten, und stellen Sie diese in der WebLogic-Domain bereit, in der Foundation Services bereitgestellt ist.
EPM System Managed Server für die Kerberos-Authentifizierung konfigurieren
In Microsoft Windows-Umgebungen werden EPM System Managed Server als Windows-Services ausgeführt. Sie müssen die JVM-Startoptionen für jeden WebLogic Managed Server ändern. Im Folgenden finden Sie eine umfassende Liste von Managed Servern im nicht komprimierten Deployment-Modus:
Wenn EPM System-Webanwendungen im komprimierten Deployment-Modus bereitgestellt werden, müssen Sie die JVM-Startoptionen nur von Managed Server EPMSystem0
aktualisieren. Wenn Sie über mehrere komprimierte Managed Server verfügen, müssen Sie die JVM-Startoptionen für alle Managed Server aktualisieren.
Informationen hierzu finden Sie unter Startargumente für Kerberos-Authentifizierung mit WebLogic Server verwenden in der Dokumentation Oracle Fusion Middleware Securing Oracle WebLogic Server.
Hinweis:
Im Folgenden wird beschrieben, wie die JVM-Startoptionen für den FoundationServices Managed Server festgelegt werden. Sie müssen diese Aufgabe für jeden WebLogic Managed Server im Deployment ausführen.Eine ausführliche Beschreibung der Schritte zum Konfigurieren von JVM-Optionen in WebLogic Server-Startskripten finden Sie unter JVM-Optionen für Kerberos aktualisieren.
So konfigurieren Sie JVM-Optionen in WebLogic Server-Startskripten:
Autorisierungs-Policys konfigurieren
Konfigurieren Sie Autorisierungs-Policys für Active Directory-Benutzer, die auf andere EPM System-Komponenten alsFoundation Services zugreifen. Informationen zum Konfigurieren von Sicherheits-Policys über die WebLogic-Administrationskonsole finden Sie unter Autorisierungs-Policys konfigurieren.
Standardsicherheitsmodell von EPM System-Komponenten ändern
Sie bearbeiten die EPM System-Konfigurationsdatei, um das Standardsicherheitsmodell zu ändern. Bei nicht komprimierten EPM System-Deployments müssen Sie das Standardsicherheitsmodell jeder EPM System-Webanwendung ändern, die in der Datei config.xml
erfasst ist. Im Folgenden finden Sie eine Liste der EPM System-Webanwendungen:
So ändern Sie Sicherheitsmodelle:
MIDDLEWARE_HOME/user_projects/domains/EPMSystem/config/config.xml
mit einem Texteditor.<security-dd-model>
auf CustomRolesAndPolicies
, wie im folgenden Beispiel gezeigt:
<app-deployment> <name>SHAREDSERVICES#11.1.2.0</name> <target>EPMServer</target> <module-type>ear</module-type> <source-path>C:\Oracle\Middleware\EPMSystem11R1/products/Foundation/AppServer/InstallableApps/common/interop.ear</source-path> <security-dd-model>CustomRolesAndPolicies</security-dd-model> <staging-mode>nostage</staging-mode> </app-deployment>
config.xml
.URL-Schutz-Policys für EPM System-Komponenten erstellen
Erstellen Sie eine URL-Schutz-Policy in der WebLogic Server-Administrationskonsole, um die einzelnen EPM System-Komponenten-URLs zu schützen. Ausführliche Informationen finden Sie unter Optionen zum Sichern von Webanwendungen und EJB-Ressourcen in der Dokumentation Oracle Fusion Middleware Securing Resources Using Roles and Policies for Oracle WebLogic Server.
So erstellen Sie URL-Schutz-Policys:
PLANNING
) in Ihrem Deployment ein, und klicken Sie auf die entsprechende Webanwendung (z.B. HyperionPlanning
). Eine Liste der EPM System-Komponenten finden Sie unter Standardsicherheitsmodell von EPM System-Komponenten ändern.
Hinweis:
Einige Unternehmensanwendungen, wie z.B. Oracle Essbase Administration Services, umfassen mehrere Webanwendungen, für die URL-Muster definiert werden müssen.Oracle empfiehlt die Verwendung der Bedingung Group
, mit der diese Sicherheits-Policy allen Elementen einer bestimmten Gruppe gewährt wird.
Group
ausgewählt haben, müssen Sie die folgenden Schritte ausführen:WebLogic Server zeigt eine Fehlermeldung an, wenn die Gruppe in Active Directory nicht gefunden werden kann. Sie müssen diesen Fehler beheben, bevor Sie fortfahren.
Clientzertifikatbasierte Authentifizierung in Webanwendungen aktivieren
Fügen Sie die Definitionlogin-config
in die Konfigurationsdatei der folgenden Anwendungsarchive unter EPM_ORACLE_HOME/products/
ein.
Essbase/eas/server/AppServer/InstallableApps/Common/eas.ear
FinancialDataQuality/AppServer/InstallableApps/aif.ear
financialreporting/InstallableApps/HReports.ear
Profitability/AppServer/InstallableApps/common/profitability.ear
So aktivieren Sie die clientzertifikatbasierte Authentifizierung:
EPM_ORACLE_HOME/products/Essbase/eas/server/AppServer/InstallableApps/Common/eas.ear/eas.war
.WEB-INF
.web.xml
, indem Sie die folgende Definition für login_config
direkt vor dem Element </webapp>
hinzufügen:
<login-config> <auth-method>CLIENT-CERT</auth-method> </login-config>
web.xml
.EPM System-Sicherheitskonfiguration aktualisieren
Konfigurieren Sie die EPM System-Sicherheit, um SSO zu berücksichtigen. Weitere Informationen finden Sie unter EPM System für SSO konfigurieren.