Application Serverb bietet keine Unterstützung für Web Server 6.1 Add-On auth-passthrough (6188932)

Beschreibung

Sun Java System Application Server 9.1 fügt Unterstützung für die über das auth-passthrough-Plug-In bereitgestellte Funktionalität hinzu, das mit Sun Java System Application Server Enterprise Edition 7.1 verfügbar ist. In Application Server 9.1 ist die auth-passthrough-Plug-In-Funktion jedoch nicht identisch konfiguriert.

Die auth-passthrough-Plug-In-Funktion in Application Server Enterprise Edition 7.1 war in zweistufigen Bereitstellungsszenarien nützlich, in denen Folgendes zutrifft:

• Die Instanz von Application Server wird durch eine zweite Firewall hinter der firmeneigenen Firewall geschützt.

• Es sind keine direkten Client-Verbindungen mit der Instanz von Application Server zulässig.

In derartigen Netzwerkarchitekturen stellen Clients eine Verbindung mit einem Front-End-Webserver her, der mit der Plugin-Funktion service-passthrough konfiguriert wurde, und leiten HTTP-Anforderungen zum Verarbeiten an die Proxy-Instanz von Application Server weiter. Die Instanz von Application Server kann lediglich Anforderungen vom Proxy-Webserver erhalten. Direkte Anforderungen von Client-Hosts sind nicht möglich. Folglich erhalten alle auf der Proxy-Instanz von Application Server bereitgestellten Anwendungen, die Client-Informationen, wie z. B. die IP-Adresse des Clients, abfragen, die IP des Proxy-Hosts, da dies der tatsächliche Ursprungs-Host der weitergeleiteten Anforderung ist.

Lösung

In Application Server Enterprise Edition 7.1 konnte die auth-passthrough-Plug-In-Funktion in der Application Server-Proxy-Instanz konfiguriert werden, um die Informationen des Remote-Cients direkt für die auf dem Client bereitgestellten Anwendungen verfügbar zu machen (als hätte die Application Server-Proxy-Instanz die Anforderung direkt empfangen, und nicht über einen Webserver, auf dem das service-passthrough-Plug-In ausgeführt wird.

In Application Server 9.1 kann die auth-passthrough-Funktion aktiviert werden, indem Sie die Eigenschaft authPassthroughEnabled des <http-service>-Elements in domain.xml wie folgt auf TRUE setzen:

<property name="authPassthroughEnabled" value="true"/>

Die zu berücksichtigenden Sicherheitsaspekte der auth-passthrough-Plug-In-Funktion in Application Server Enterprise Edition 7.1 gelten gleichermaßen für die authPassthroughEnabled-Eigenschaft in Application Server 9.1. Da über authPassthroughEnabled Informationen außer Kraft gesetzt werden können, die möglicherweise für Authentifizierungszwecke verwendet werden (z. B. die IP-Adresse, von der die Anforderung stammt, oder das SSL-Clientzertifikat), ist es äußerst wichtig, dass sich nur vertrauenswürdige Clients oder Server mit einer Application Server 9.1-Instanz verbinden können, deren authPassthroughEnabled-Eigenschaft auf TRUE gesetzt ist. Als Vorsichtsmaßnahme wird empfohlen, dass nur Server hinter der firmeneigenen Firewall mit dem auf TRUE gesetzten Befehl authPassthroughEnabled konfiguriert werden. Ein Server, der über das Internet aufgerufen werden kann, darf niemals mit dem auf TRUE gesetzten Befehl authPassthroughEnabled konfiguriert werden.

Beachten Sie, dass in dem Fall, wenn ein Proxy-Webserver mit dem Plug-In service-passthrough konfiguriert wurde und Anforderungen an eine Instanz von Application Server 8.1 Update 2 mit der auf TRUE gesetzten Eigenschaft authPassthroughEnabled weiterleitet, die SSL-Clientauthentifizierung auf dem Webserver-Proxy aktiviert und auf der Proxy-Instanz von Application Server 8.1 Update 2 deaktiviert sein kann. In diesem Fall behandelt die Proxy-Instanz von Application Server 8.1, Update 2 die Anforderung immer noch so, als wäre diese per SSL authentifiziert worden und stellt das SSL-Zertifikat des Clients allen bereitgestellten Anwendungen zur Verfügung, wenn diese es anfordern.