Notas de la versión de Sun Java System Application Server 9.1

Application Server no admite el complemento auth-passthrough de Web Server 6.1 (6188932)

Descripción

Sun Java System Application Server 9.1 es compatible con la funcionalidad proporcionada por la función del plugin auth-passthrough disponible con Sun Java System Application Server Enterprise Edition 7.1. Sin embargo, en Application Server 9.1, la función plugin de auth-passthrough se configura de forma distinta.

La función plugin de auth-passthrough en Application Server Enterprise Edition 7.1 ha sido útil en escenarios de dos niveles, cuando:

En arquitecturas de red de este tipo, un cliente se conecta a un servidor web de principal (front-end) que se haya configurado con la función del complemento service-passthrough y reenvía solicitudes HTTP a la instancia de Application Server que actúa de proxy para que las procese. La instancia de Application Server sólo puede recibir solicitudes desde el proxy del servidor web, pero nunca directamente de los hosts clientes. En consecuencia, ninguna aplicación implementada en la instancia de Application Server que actúa de proxy que solicite información del cliente (como pueda ser la dirección IP del cliente) recibirá la IP de host del proxy, puesto que éste es el host que origina la solicitud remitida.

Solución

En Application Server Enterprise Edition 7.1, la función plugin de auth-passthrough podría configurarse en la instancia de Application Server con proxy para hacer que la información del cliente remoto esté disponible directamente con cualquier aplicación implementada en ella, como si la instancia de Application Server con proxy hubiera recibido la solicitud directamente, en lugar de a través del servidor web que ejecuta el plugin service-passthrough.

En Application Server 9.1, la función auth-passthrough puede activarse estableciendo la propiedad authPassthroughEnabled del elemento <http-service> en domain.xml a TRUE, de la siguiente manera:


<property name="authPassthroughEnabled" value="true"/>

Las mismas consideraciones de seguridad de la función plugin de auth-passthrough de Application Server Enterprise Edition 7.1 se aplican a la propiedad authPassthroughEnabled de Application Server 9.1. Dado que authPassthroughEnabled hace posible anular la información que puede utilizarse para fines de autenticación (como la dirección IP de la que se origina la solicitud, o el certificado del cliente SSL), es fundamental que sólo los clientes y servidores de confianza puedan conectarse a una instancia Application Server 9.1 con authPassthroughEnabled establecida en TRUE. Como medida de precaución, se recomienda que sólo los servidores que estén detrás de un servidor de seguridad corporativo se configuren con authPassthroughEnabled establecido en TRUE. Un servidor que esté accesible a través de Internet nunca debe configurarse con authPassthroughEnabled definido en TRUE.

Tenga en cuenta que en una situación en la que el servidor web proxy se haya configurado con el plugin service-passthrough y éste reenvíe solicitudes a una instancia de Application Server 8.1 Update 2 con authPassthroughEnabled definida como TRUE, la autenticación SSL de cliente puede habilitarse en el servidor web proxy y deshabilitarse en la instancia de Application Server 8.1 Update 2 que actúe de proxy. En este caso, la instancia de Application Server 8.1 Update 2 seguirá considerando la solicitud como si estuviera autenticada a través de SSL y proporcionará el certificado SSL de cliente a cualquier aplicación implementada que lo solicite.