第 1 章 Sun ONE Portal Server, Secure Remote Access 簡介

本章會介紹 Sun™ ONE Portal Server, Secure Remote Access 產品以及 Sun™ ONE Portal Server 產品與 Secure Remote Access 元件之間的關係。本章同時也提供有關管理和配置 Secure Remote Access 的資訊。

Secure Remote Access 概述

Secure Remote Access 讓遠端使用者可以透過網際網路安全地存取他們組織的網路及服務。此外，還能為您的組織提供安全的網際網路入口網站，並供任何目標族群 -員工、事業夥伴或一般大眾存取內容、應用程式及資料等。

Secure Remote Access 提供以瀏覽器為基礎的安全遠端存取，使用者可從任何遠端裝置存取入口網站內容與服務。這是一個有成本效益的安全存取解決方案。使用者可以從任何裝有啟用 Java 技術瀏覽器的裝置進行遠端存取，消除了對用戶端軟體的需求。與 Sun™ ONE Portal Server 軟體的整合能確保使用者可安全加密的存取他們有權存取的內容與服務。

Secure Remote Access 的用戶群體為部署高度安全遠端存取入口網站的企業。這些入口網站重視企業內部網路資源的安全性、保護與隱私權。 Secure Remote Access 結構恰恰適用於這些類型的入口網站。 Secure Remote Access 的閘道、NetFile 與 Netlet 元件能讓使用者安全的經由網際網路存取企業內部網路資源，而無需在網際網路上顯露這些資源。

閘道，位於非軍事區 (DMZ)，提供至所有企業內部網路 URL、檔案系統與應用程式的單一安全存取點。所有其他非 Secure Remote Access 服務例如階段作業、認證與入口網站桌面皆位於 DMZ 之後的安全的內部網路中。用戶端瀏覽器至閘道的通訊將使用 HTTPS 加密。閘道至伺服器與內部網路資源的通訊可使用 HTTP 或 HTTPS 加密。

Netlet 與 NetFile applet 將下載至用戶端機器，支援檔案可能位於閘道或 Portal Server 主機。

開放模式

安全模式

開放模式

在開放模式中， Portal Server 安裝時未安裝 Secure Remote Access。雖然這個模式下可以使用 HTTPS 通訊，但卻不可以使用安全遠端存取。這表示使用者無法存取安全遠端檔案系統與應用程式。

開放入口網站與安全入口網站的主要不同為，由開放入口網站提供的服務通常會位於非軍事區 (DMZ) 而不會位於安全內部網路中。 DMZ 是一個位於公用網際網路與私人內部網路之間的小型受保護網路，通常由兩端的防火牆劃分界線。

若入口網站沒有包含敏感的資訊 (部署了公用資訊與允許存取任意應用程式)，則對於多數使用者存取請求的回應將會快於使用安全模式。

圖 1-1 示意了開放模式中的 Portal Server。此處，Portal Server 為安裝於防火牆後的單一伺服器。多個用戶端透過網際網路經由單一防火牆存取 Portal Server。

安全模式

安全模式可讓使用者安全遠端存取需要的企業內部網路檔案系統與應用程式。

閘道位於非軍事區域 (DMZ)。閘道提供至所有內部網路 URL 與應用程式的單一安全存取點，如此會減少將在防火牆中被開放的連接埠數。所有其他 Portal Server 服務例如階段作業、認證與入口網站桌面皆位於 DMZ 之後的安全的企業內部網路中。用戶端瀏覽器至閘道的通訊將使用 HTTPS 透過安全套接層 (SSL) 加密。閘道至伺服器與內部網路資源的通訊可使用 HTTP 或 HTTPS 加密。

圖 1-2 顯示了包含 Secure Remote Access 的 Portal Server。 SSL 將用於加密網際網路上用戶端與 Portal Server 閘道之間的連線。 SSL 也可以用於加密閘道與伺服器之間的連線。企業內部網路與網際網路之間的閘道將延伸用戶端與 Portal Server 之間的安全路徑。

可以新增其他伺服器與閘道以擴大站台。 Secure Remote Access 元件可以基於業務需求用不同方式配置。

Secure Remote Access 元件

閘道

Secure Remote Access 閘道在源自網際網路的遠端使用者階段作業與您的企業內部網路之間提供了介面與安全的屏障。透過單一介面給遠端使用者，閘道可經由內部網路伺服器和應用程式伺服器安全地顯示內容。

網路伺服器使用以網路為基礎的資源例如 HTML、JavaScript 與 XML 以在用戶端與閘道之間進行通訊。 Rewriter 是用於使網路內容可用的閘道元件。

應用程式伺服器會使用二進制通訊協定例如 telnet 與 FTP 以在用戶端與閘道之間進行通訊。位於「閘道」的 Netlet 就是基於這個目的而使用。有關詳細資訊，請參閱第 2章「閘道」。

Rewriter

Rewriter 會讓一般使用者可以瀏覽企業內部網路並使得那些頁面的連結與其他 URL 參照正確作業。 Rewriter 會在網路瀏覽器位置欄位中前置閘道 URL，藉此經由閘道重新導向內容請求。有關詳細資料，請參閱第 3 章「Rewriter」。

NetFile

NetFile 是一個檔案管理員應用程式，其允許遠端存取與操作檔案系統與目錄。 NetFile 包括 NetFile JavaTM,以 Java 為基礎的使用者介面。此適用 Java 1 與 Java 2。有關詳細資訊，請參閱第 4 章「NetFile」。

Netlet

Netlet 方便了以安全方式在遠端桌面執行熱門應用程式與公司特定應用程式的功能。在站台實施 Netlet 之後，使用者可以安全執行共用的 TCP/IP 服務，例如 Telnet 與 SMTP，和以 HTTP 為基礎的應用程式例如 pcANYWHERE 或 Lotus Notes。有關詳細資料，請參閱第 5 章「Netlet」。

管理 Secure Remote Access

Sun™ ONE Identity Server 管理主控台

指令行

大部分管理作業會經由以網路為基礎的 Sun™ ONE Identity Server 管理主控台執行。管理主控台可以本機存取或從網路瀏覽器遠端存取。然而，例如修改檔案的作業必須經由 UNIX 指令行介面管理。

配置 Secure Remote Access 屬性

您可以在組織、角色與使用者層級中，配置與 Secure Remote Access 相關的屬性，以下屬性除外：

在使用者層級中無法設定「衝突解析層級」。在「服務配置」標籤中也無法設定。請參閱「設定衝突解析」。

MIME 類型配置檔案位置屬性只可以在組織層級中設定。請參閱「指定 MIME 類型配置檔案位置」。

組織下所有的角色與使用者會繼承在組織層級設定的值。在使用者層級設定的值會覆寫在組織或角色層級設定的值。

大多數屬性可以在 Identity Server 標籤或 Identity Server 上的「服務配置」標籤上設定。「服務配置」層級設定的屬性可用作範本。任何新建立的組織或使用者會依預設繼承這些值。

您可以在「服務配置」層級變更屬性值。這些新值僅會在新增新組織時有所體現。變更「服務配置」標籤屬性值不會影響現有組織或使用者。有關詳細資訊，請參閱 Sun ONE Identity Server 管理員指南。

您可在 Identity Server 管理主控台的「SRA 配置」下使用下列服務配置 Secure Remote Access 屬性：

存取清單

這個服務可讓您允許或拒絕存取特定的 URL 並管理單次登入功能。有關詳細資訊，請參閱第 8章「配置 URL 存取控制」。

閘道

這個服務可讓您配置所有與閘道相關的屬性，例如代理伺服器管理、cookie 管理、記錄、Rewriter 管理與密碼。有關詳細資訊，請參閱第 9 章「配置閘道」。

NetFile

這個服務可讓您配置所有與 NetFile 相關的屬性，例如共用主機、MIME 類型並存取不同類型的主機。有關詳細資訊，請參閱第 10 章「配置 NetFile」。

Netlet

這個服務可讓您配置所有與 Netlet 相關的屬性，例如 Netlet 規則、存取需要的規則、組織與主機以及預設演算法。有關詳細資訊，請參閱第 11 章「配置 Netlet」。



注意	閘道在執行時不會接收屬性變更的通知。重新啟動閘道以確保閘道使用的是更新的設定檔屬性 (屬於閘道或其他任何服務)。請參閱「使用認證鏈接」。

設定衝突解析

若要設定衝突解析層級

以管理員的身份登入 Identity Server 管理主控台。

選取「識別管理」標籤。

從「檢視」下拉式清單中選取「組織」。

按一下需要的組織名稱。選取的組織名稱會反映在管理主控台左上角的位置。

從「檢視」下拉式清單中選取「服務」。

按一下「SRA 配置」之下適當服務 (存取清單、NetFile 或 Netlet) 旁的箭頭。

在「衝突解析層級」欄位下拉式清單中選取需要的層級。

按一下 NetFile 頁面頂端或底部的「儲存」記錄變更。