Guide d administration WebSEAL

Transcription

1 IBM Tioli Access Manager Guide d administration WebSEAL Version 3.9 GC

2

3 IBM Tioli Access Manager Guide d administration WebSEAL Version 3.9 GC

4 Remarque Aant d utiliser le présent document et le produit associé, prenez connaissance des informations figurant à l Annexe C, «Remarques» à la page 261. Première édition juillet 2002 LE PRESENT DOCUMENT EST LIVRE EN L ETAT. IBM DECLINE TOUTE RESPONSABILITE, EXPRESSE OU IMPLICITE, RELATIVE AUX INFORMATIONS QUI Y SONT CONTENUES, Y COMPRIS EN CE QUI CONCERNE LES GARANTIES DE QUALITE MARCHANDE OU D ADAPTATION A VOS BESOINS. Certaines juridictions n autorisent pas l exclusion des garanties implicites, auquel cas l exclusion ci-dessus ne ous sera pas applicable. Ce document est mis à jour périodiquement. Chaque nouelle édition inclut les mises à jour. Les informations qui y sont fournies sont susceptibles d être modifiées aant que les produits décrits ne deiennent eux-mêmes disponibles. En outre, il peut contenir des informations ou des références concernant certains produits, logiciels ou serices non annoncés dans ce pays. Cela ne signifie cependant pas qu ils y seront annoncés. Pour plus de détails, pour toute demande d ordre technique, ou pour obtenir des exemplaires de documents IBM, référez-ous aux documents d annonce disponibles dans otre pays, ou adressez-ous à otre partenaire commercial. Vous pouez également consulter les sereurs Internet suiants : (sereur IBM en France) (sereur IBM au Canada) (sereur IBM aux Etats-Unis) Compagnie IBM France Direction Qualité Tour Descartes Paris-La Défense Cedex 50 Copyright IBM France Tous droits réserés. Copyright International Business Machines Corporation 1999, All rights resered.

5 Table des matières Aant-propos ix A qui s adresse ce guide ix Contenu de ce guide ix Publications x IBM Tioli Access Manager x Documents connexes xiii Accès aux publications en ligne x Commande de publications x Commentaires sur les publications xi Accessibilité xi Comment contacter le serice d assistance xi Conentions utilisées dans ce document xi Conentions utilisées dans ce guide xi Ais aux lecteurs canadiens xii Chapitre 1. Généralités sur IBM Tioli Access Manager WebSEAL Introduction à IBM Tioli Access Manager et à WebSEAL Présentation du modèle de sécurité d Access Manager Espace objets protégé Définition et application de règles de LCA et POP Gestion des règles : Web Portal Manager Protection de l espace Web grâce à WebSEAL Planification et mise en oeure des règles de sécurité Identification des types de contenu et des nieaux de protection Explication de l authentification WebSEAL Objectifs de l authentification Accès authentifié et non authentifié aux ressources Structure de la mémoire cache des sessions/des droits d accès WebSEAL Explication des jonctions WebSEAL Jonctions WebSEAL et éolutiité de site Web Chapitre 2. Configuration de base du sereur Informations générales sur le sereur Répertoire racine de l installation WebSEAL Démarrage et arrêt de WebSEAL WebSEAL représenté dans l espace objets protégé WebSEAL renoie HTTP/ Fichier journal WebSEAL Utilisation du fichier de configuration WebSEAL Présentation du fichier de configuration webseald.conf Répertoire racine du sereur WebSEAL Configuration des paramètres de communication Configuration de WebSEAL pour les requêtes HTTP Configuration de WebSEAL pour les requêtes HTTPS Restriction des connexions à partir de ersions SSL spécifiques Paramètres de délai d expiration pour les communications HTTP/HTTPS Autres paramètres de délai d expiration du sereur WebSEAL Gestion de l espace Web Répertoire racine de l arborescence des documents Web Configuration de l indexation de répertoires Windows : conentions de dénomination de fichiers pour les programmes CGI Configuration de la mémoire cache d un document Web Spécification de types de documents à filtrer Gestion des pages personnalisées de messages d erreur HTTP Copyright IBM Corp. 1999, 2002 iii

6 Prise en charge de macro pour les pages de messages d erreur HTTP Gestion des pages personnalisées de gestion de comptes Valeurs et paramètres de page personnalisée Descriptions de pages HTML personnalisées Gestion des certificats côté client et côté sereur Présentation des types de fichier de la base de données de clés Configuration de paramètres de base de données de clés Utilisation de l utilitaire de gestion de certificat ikeyman Configuration du contrôle CRL Configuration du cache CRL Configuration de la journalisation HTTP par défaut Actiation et désactiation de la journalisation HTTP Spécification du type d horodatage Spécification du seuil de renouellement des fichiers journaux Spécification de la fréquence de idage des mémoires tampon de fichier journal Format de journal HTTP courant (pour request.log) Affichage du fichier request.log Affichage du fichier agent.log Affichage du fichier referer.log Configuration de la journalisation HTTP par défaut Consignation des messages de mise en serice WebSEAL Chapitre 3. Configuration aancée du sereur Configuration d un nieau de protection par défaut Configuration du nieau de protection pour les réseaux et les hôtes indiiduels Configuration des mises à jour et de l interrogation de la base de données d autorisation Configuration de l écoute des notifications de mise à jour Configuration de l interrogation de la base de données d autorisation Gestion des affectations des unités d exécution d agents Configuration des unités d exécution d agents WebSEAL Affectation des unités d exécution d agents pour les jonctions (limite maximale) Réplication de sereurs frontaux WebSEAL Configuration de plusieurs instances de sereur WebSEAL Généralités sur la configuration Configuration de plusieurs instances WebSEAL sous UNIX Configuration de plusieurs instances WebSEAL sous Win NT/ Déconfiguration de plusieurs instances WebSEAL Commandes de sereur start, stop, restart et status Configuration du changement d utilisateur pour les administrateurs Explication du processus de changement d utilisateur Actiation du changement d utilisateur : récapitulatif Configuration du formulaire HTML de changement d utilisateur Actiation et exclusion d utilisateurs pour le changement d utilisateur Configuration de la méthode d authentification par changement d utilisateur Configuration d une méthode de changement d utilisateur CDAS Impact sur les autres fonctionnalités WebSEAL Configuration de la mise en mémoire cache des requêtes WebSEAL côté sereur Principes de base Flux du processus de mise en mémoire cache côté sereur Configuration des paramètres de mise en mémoire cache côté sereur Notes et limites Gestion des caractères codés UTF Préention de la ulnérabilité causée par les scripts inter-sites Principes de base Configuration du filtrage des chaînes d adresses URL Suppression de l identité de sereurs Utilisation des statistiques WebSEAL Syntaxe de la commande pdadmin stats Composants statistiques et types d actiités Actiation statique des statistiques à l aide de la journalisation d éénements Utilisation de l utilitaire de trace pour regrouper les actions de WebSEAL i IBM Tioli Access Manager - Guide d administration WebSEAL

7 Syntaxe applicable aux commandes de base de l utilitaire de trace Composants de trace de WebSEAL Chapitre 4. Règles de sécurité WebSEAL Règles de LCA spécifiques de WebSEAL /WebSEAL/<hôte> /WebSEAL/<hôte>/<fichier> Droits d accès LCA WebSEAL Règles de LCA WebSEAL par défaut Caractères alides pour les noms de LCA Limitation des tentaties de connexion Syntaxe de commande Règle de renforcement de mot de passe Règle de renforcement de mot de passe définie par l utilitaire pdadmin Syntaxe de commande Exemples de mots de passe alides et inalides Valeurs globales et spécifiques d un utilisateur Règles POP de renforcement d authentification (authentification aancée) Configuration des nieaux pour une augmentation du nieau d authentification Actiation de l authentification aancée Formulaire de connexion d authentification aancée Algorithme d autentification aancée Notes et limites de l authentification aancée Différence entre authentification aancée et authentification à facteurs multiples Règles POP d authentification basée sur réseau Configuration des nieaux d authentification Spécification des adresses IP et des plages Désactiation du renforcement d authentification par adresse IP Algorithme d authentification basée sur réseau Notes et limites de l authentification aancée Nieau de protection des règles POP Gestion des utilisateurs non authentifiés (HTTP/HTTPS) Traitement d une requête émanant d un client anonyme Forçage de la connexion utilisateur Applications de l accès HTTPS non authentifié Contrôle d utilisateurs non authentifiés aec des règles de LCA/POP Chapitre 5. Authentification WebSEAL Explication du processus d authentification Types de données de session pris en charge Méthodes d authentification prises en charge Gestion de l état de session Généralités sur l état de session Généralités sur la mémoire cache de session GSKit et WebSEAL Configuration de la mémoire cache d ID de session GSKit SSL Configuration de la mémoire cache des droits d accès WebSEAL Gestion de l état aec des cookies de session Détermination des types de données d ID de session alides Configuration de cookies de secours Généralités sur la configuration de l authentification Paramètres locaux d authentification Paramètres externes personnalisés d authentification CDAS Configuration par défaut pour l authentification WebSEAL Configuration de plusieurs méthodes d authentification Inite de connexion Commandes de déconnexion et de modification de mot de passe Configuration de l authentification de base Actiation et désactiation de l authentification de base Définition du nom de domaine Configuration de la méthode d authentification de base Table des matières

8 Conditions de configuration Configuration de l authentification à base de formulaires Actiation et désactiation de l authentification par formulaires Configuration de la méthode d authentification par formulaires Conditions de configuration Personnalisation des formulaires de réponse HTML Configuration de l authentification par certificat côté client Contexte : Authentification réciproque ia des certificats Certificat de test WebSEAL Actiation et désactiation de l authentification par certificat Configuration de la méthode d authentification par certificat Conditions de configuration Configuration de l authentification par en-tête HTTP Actiation et désactiation de l authentification par en-tête HTTP Spécification de types d en-têtes Configuration de la méthode d authentification par en-tête HTTP Conditions de configuration Configuration de l authentification par adresse IP Actiation et désactiation de l authentification par adresse IP Configuration de la méthode d authentification par adresse IP Configuration de l authentification par jeton Actiation et désactiation de l authentification par jeton Configuration de la méthode d authentification par jeton Prise en charge du multiplexage d agents proxy Types de données de session alides et méthodes d authentification Flux de processus d authentification pour les agents MPA et des clients multiples Actiation et désactiation de l authentification MPA Création d un compte utilisateur pour l agent MPA Ajout du compte MPA au groupe webseal-mpa-serers Limites de l authentification MPA Configuration de la nouelle authentification sur la base de la stratégie de sécurité Conditions affectant la nouelle authentification POP Création et application de règles POP de nouelle authentification Configuration de la réinitialisation et de l allongement de la durée de ie du cache de session Configuration de la nouelle authentification sur la base de la règle d inactiité de session Conditions affectant la nouelle authentification pour inactiité Actiation de la nouelle authentification pour inactiité Configuration de la réinitialisation et de l allongement de la durée de ie du cache de session Chapitre 6. Solutions de connexion unique interdomaine (CDSSO) Configuration de l authentification CDSSO Intégration d une bibliothèque partagée CDMF Flux du processus d authentification pour CDSSO aec CDMF Actiation et désactiation de l authentification CDSSO Configuration de la méthode d authentification CDSSO Chiffrement des données d authentification du jeton Configuration de l horodate du jeton Expression des liens HTML CDSSO Protection du jeton d authentification Configuration de la connexion unique de communauté électronique Fonctions de la communauté électronique et conditions requises Flux du processus de communauté électronique Explication du cookie de communauté électronique Explication de la requête et de la réponse d attestation Explication du jeton d attestation Chiffrement du jeton d attestation Configuration de la communauté électronique Chapitre 7. Jonctions WebSEAL Présentation des jonctions WebSEAL i IBM Tioli Access Manager - Guide d administration WebSEAL

9 Emplacement et format de la base de données des jonctions Application du contrôle d accès allégé : récapitulatif Application du contrôle d accès allégé : récapitulatif Directies en matière de création de jonctions WebSEAL junctions Références supplémentaires pour les jonctions WebSEAL Utilisation de pdadmin pour créer des jonctions Configuration d une jonction WebSEAL de base Création de jonctions de type TCP Création de jonctions de type SSL Ajout de sereurs d arrière-plan à une jonction Jonctions SSL authentifiées de façon réciproque WebSEAL alide le certificat du sereur d arrière-plan Mise en correspondance des noms distinctifs (DN) WebSEAL s authentifie aec le certificat client WebSEAL s authentifie aec l en-tête BA Gestion des informations d identité du client sur les différentes jonctions Création de jonctions proxy TCP et SSL Jonctions WebSEAL/WebSEAL ia SSL Modification des adresses URL des ressources d arrière-plan Présentation des types de chemins d accès utilisés dans les adresses URL Filtrage des adresses URL dans les réponses Traitement des adresses URL dans les requêtes Autres options de jonction Nouelle fonction forcée ( f) Spécification de l identité du client dans les en-têtes HTTP ( c) Spécification des adresses IP client dans les en-têtes HTTP ( r) Limitation de la taille des en-têtes HTTP générés par WebSEAL Transmission de cookies de session à des sereurs de portail reliés par jonction ( k) Prise en charge d adresses URL sans distinction de casse ( i) Prise en charge d une jonction aec état ( s, u) Spécification d UUID de sereur d arrière-plan pour des jonctions aec état ( u) Etablissement de jonctions aec des systèmes de fichiers Windows ( w) Remarques techniques sur l utilisation des jonctions WebSEAL Montage de plusieurs sereurs sur la même jonction Exceptions à la mise en oeure des droits d accès sur les jonctions Authentification par certificat sur les jonctions Utilisation de query_contents aec des sereurs tiers Installation des composants query_contents Installation de query_contents sur des sereurs UNIX tiers Installation de query_contents sur des sereurs Win32 tiers Personnalisation de query_contents Sécurisation de query_contents Chapitre 8. Solutions de connexion unique Web Configuration d en-têtes BA pour des solutions SSO Concepts de connexion unique (Single sign-on - SSO) Spécification de l identité client dans les en-têtes BA Spécification de l identité client et du mot de passe générique Transmission des informations d en-tête BA du client Suppression des informations d en-tête BA client Spécification de noms d utilisateur et de mots de passe à partir de GSO Utilisation d une connexion globale (GSO) Mappage des informations d authentification Configuration d une jonction WebSEAL actiée GSO Configuration du cache GSO Configuration d une connexion unique à IBM WebSphere (LTPA) Configuration d une jonction LTPA Configuration du cache LTPA Remarques techniques sur les connexions uniques Configuration d une authentification à base de formulaires (connexion unique) Présentation et objectifs Table des matières ii

10 Processus de la connexion unique à base de formulaires Conditions requises pour le support d applications Création du fichier de configuration pour les connexions uniques à base de formulaires Actiation de la connexion unique à base de formulaires Exemple de fichier de configuration pour IBM HelpNow Chapitre 9. Intégration d application Prise en charge de la programmation CGI Windows : prise en charge des ariables d enironnement WIN Prise en charge des applications sereur d arrière-plan Meilleures pratiques de jonction applicables à l intégration d applications Fourniture d informations d en-tête HOST complètes aec Prise en charge du filtrage des adresses URL absolues standard Création d un serice d indiidualisation personnalisé Configuration de WebSEAL pour un serice d indiidualisation Exemple de serice d indiidualisation Actiation dynamique des droits d accès (code/aleur) Création de droits d accès à partir de données LDAP Mise à jour des données sur l état de la session entre le client et les applications d arrière-plan Contexte de la gestion des sessions utilisateurs Actiation de la gestion des ID de sessions utilisateurs Insertion des données d autorisation dans l en-tête HTTP Fin des sessions utilisateurs Ajout d un contrôle d accès à des adresses URL dynamiques Composants d adresses URL dynamiques Mappage d objets de LCA et POP à des adresses URL dynamiques Mise à jour de WebSEAL pour les adresses URL dynamiques Conersion des adresses URL dynamiques dans l espace objet Configuration de limites sur les requêtes POST Résumé et remarques techniques Exemple d adresse URL dynamique : Trael Kingdom Présentation de l application Présentation de l interface Présentation des règles de sécurité Protection des clients Contrôle d accès Conclusion Annexe A. Références du fichier webseald.conf Annexe B. Référence des jonctions WebSEAL Utilisation de pdadmin pour créer des jonctions Commandes de jonction Création d une nouelle jonction pour un sereur existant Ajout d un sereur supplémentaire à une jonction existante Annexe C. Remarques Marques Index iii IBM Tioli Access Manager - Guide d administration WebSEAL

11 Aant-propos A qui s adresse ce guide Contenu de ce guide Bienenue dans IBMTioliAccess Manager - Guide d administration WebSEAL. IBM Tioli Access Manager WebSEAL est le gestionnaire de sécurité de ressources pour les ressources basées sur le Web. WebSEAL est un sereur Web à hautes performances et à plusieurs unités d exécution, appliquant des règles de sécurité renforcées à l espace objet Web sous sa protection. Il peut fournir des solutions à connexion unique et intégrer des ressources du sereur d applications Web d arrière-plan dans ses règles de sécurité. Ce guide d administration contient un ensemble complet de procédures et d informations de référence qui peuent ous aider à gérer les ressources de otre domaine Web sécurisé. Il ous apporte également des informations intéressantes en matière de contexte et de concepts, sur la grande gamme des fonctionnalités WebSEAL. Remarque : Certains graphiques de cette brochure ne sont pas disponibles en français à la date d impression. Ce guide s adresse aux administrateurs système chargés de la configuration et de la maintenance d un enironnement Access Manager WebSEAL. Vous deez posséder des connaissances dans les domaines suiants : Systèmes d exploitation PC et UNIX Architecture et concepts de bases de données Gestion de la sécurité Protocoles Internet (HTTP, TCP/IP, FTP (File Transfer Protocol) et Telnet) Protocole LDAP (Lightweight Directory Access Protocol) et serices de répertoires Registres d utilisateurs pris en charge Authentification et autorisation Si ous actiez les communications SSL (Secure Sockets Layer), ous deez également bien connaître le protocole SSL, l échange de clés (publiques et priées), les signatures numériques, les algorithmes de cryptographie et les autorités d accréditation. Chapitre 1 : Généralités sur IBM Tioli Access Manager WebSEAL Ce chapitre présente les concepts et fonctionnalités importants de WebSEAL : organisation et protection de otre espace objet, authentification, acquisition des données d identification et jonctions WebSEAL. Chapitre 2 : Configuration de base du sereur Ce chapitre sert de référence technique pour les grandes tâches de configuration de WebSEAL : utilisation du fichier de configuration WebSEAL, gestion de l espace Web, gestion des certificats et configuration des connexions. Chapitre 3 : Configuration aancée du sereur Copyright IBM Corp. 1999, 2002 ix

12 Ce chapitre sert de référence technique pour les grandes tâches de configuration aancée de WebSEAL : configuration de plusieurs instances WebSEAL, configuration de la fonctionnalité de changement d utilisateur, gestion de l allocation des unités d agent et configuration des mises à jour et des interrogations de la base de données d autorisations. Chapitre 4 : Règles de sécurité WebSEAL Ce chapitre contient des procédures techniques détaillées pour la personnalisation des règles de sécurité sur WebSEAL : règles POP et LCA, qualité de la protection, renforcement des règles d authentification, règles d authentification basées sur le réseau, règles de tentaties limitées de connexion et règles de renforcement du mot de passe. Chapitre 5 : Authentification WebSEAL Ce chapitre contient des procédures techniques détaillées sur la configuration de WebSEAL pour gérer toute une série de méthodes d authentification : nom d utilisateur et mot de passe, certificats côté client, passcode de jeton SecurID, données d en-tête HTTP spéciales et fonctionnalité de nouelle authentification. Chapitre 6 : Solutions de connexion interdomaine Ce chapitre traite des solutions de connexion interdomaine pour le côté externe d une configuration proxy WebSEAL (entre le client et le sereur WebSEAL). Chapitre 7 : Jonctions WebSEAL Ce chapitre sert de référence technique exhaustie à l installation et à l utilisation des jonctions WebSEAL. Chapitre 8 : Solutions de connexion unique Web Ce chapitre traite des solutions de connexion unique (SSO) pour le côté interne d une configuration proxy WebSEAL (entre le sereur WebSEAL et le sereur d applications d arrière-plan relié par jonction). Chapitre 9 : Intégration d application Ce chapitre explore dierses capacités de WebSEAL permettant d intégrer les fonctionnalités d une application de tiers. Annexe A : Référence du fichier webseald.conf Annexe B : Référence des jonctions WebSEAL Publications Cette section répertorie les publications incluses dans la bibliothèque d Access Manager ainsi que d autres documents connexes. Elle décrit également la méthode d accès en ligne aux publications Tioli, de commande de ces dernières ou d enoi de commentaires. IBM Tioli Access Manager La bibliothèque d Access Manager est organisée autour des catégories suiantes : Informations sur les ersions Informations sur la base Informations relaties à WebSEAL Informations relaties à la sécurité sur le Web Informations de référence pour déeloppeurs Informations techniques supplémentaires Vous trouerez les publications de la bibliothèque produits au format PDF (Portable Document Format) sur le CD du produit. Pour accéder à ces publications x IBM Tioli Access Manager - Guide d administration WebSEAL

13 à l aide d un naigateur Web, ourez le fichier infocenter.html, que ous trouerez dans le répertoire /doc sur le CD du produit. Pour obtenir d autres sources d informations sur Access Manager et sur des thèmes connexes, isitez les sites Web suiants : Informations sur les ersions IBM Tioli Access Manager for e-business Read Me First GI (am39_readme.pdf ) Fournit des informations relaties à l installation et aux premières utilisations d Access Manager. IBM Tioli Access Manager for e-business Release Notes GI (am39_relnotes.pdf ) Fournit les informations les plus récentes (telles que les limitations logicielles, les solutions et les mises à jour de documentation). Informations relaties à la base IBM Tioli Access Manager Base Installation Guide GC (am39_install.pdf ) Fournit les procédures d installation, de configuration et de mise à nieau du logiciel Access Manager (y compris de l interface Web Portal Manager). IBM Tioli Access Manager - Guide d administration GC (am39_admin.pdf ) Décrit les concepts et les procédures d utilisation des serices d Access Manager. Fournit les instructions d exécution des tâches à partir de l interface Web Portal Manager ou de la commande pdadmin. IBM Tioli Access Manager Base for Linux on zseries Installation Guide GC (am39_zinstall.pdf ) Fournit les procédures d installation et de configuration de la base Access Manager pour Linux sur plate-forme zseries. Informations relaties à WebSEAL IBM Tioli Access Manager WebSEAL Installation Guide GC (amweb39_install.pdf) Fournit les instructions d installation, de configuration et de désinstallation du sereur WebSEAL et du kit de déeloppement d applications WebSEAL. IBM Tioli Access Manager - Guide d administration WebSEAL GC (amweb39_admin.pdf ) Fournit les données de base, les procédures administraties et les informations techniques permettant d utiliser WebSEAL afin de gérer les ressources de otre domaine Web sécurisé. IBM Tioli Access Manager WebSEAL Deeloper s Reference GC (amweb39_deref.pdf) Fournit des informations de programmation et d administration applicables aux modules CDAS (Cross-domain Authentication Serice), CDMF (Cross-domain Mapping Framework) et à la alidation de mot de passe. IBM Tioli Access Manager WebSEAL for Linux on zseries Installation Guide Aant-propos xi

14 GC (amweb39_zinstall.pdf) Fournit les instructions d installation, de configuration et de désinstallation du sereur WebSEAL et du kit de déeloppement d applications WebSEAL pour Linux sur plate-forme zseries. Informations relaties à la sécurité sur le Web IBM Tioli Access Manager for WebSphere Application Serer - Guide de l utilisateur GC (amwas39_user.pdf ) Fournit les instructions d installation, de désinstallation et d administration d IBM Websphere Application Serer. IBM Tioli Access Manager for WebLogic Serer User s Guide GC (amwls39_user.pdf) Fournit les instructions d installation, de désinstallation et d administration d Access Manager for BEA WebLogic Serer. IBM Tioli Access Manager Plug-in for Edge Serer User s Guide GC (amedge39_user.pdf) Fournit les instructions d installation, de configuration et d administration du plug-in adapté à IBM WebSphere Edge Serer. IBM Tioli Access Manager Plug-in for Web Serers User s Guide GC (amws39_user.pdf) Fournit les instructions d installation, les procédures d administration et les informations techniques permettant de sécuriser otre domaine Web à l aide du plug-in pour applications de sereurs Web. Guides de référence pour déeloppeurs IBM Tioli Access Manager Authorization C API Deeloper s Reference GC (am39_authc_deref.pdf) Fournit des informations de référence qui décrient les méthodes d utilisation de l API C d autorisations d Access Manager et de l interface Access Manager Serice Plug-in pour ajouter la sécurité Access Manager aux applications. IBM Tioli Access Manager Authorization Jaa Classes Deeloper s Reference GC (am39_authj_deref.pdf) Fournit des informations de référence pour l utilisation du langage Jaa au sein de l API d autorisation afin de permettre à une application d utiliser la sécurité Access Manager. IBM Tioli Access Manager Administration C API Deeloper s Reference GC (am39_adminc_deref.pdf) Fournit des informations de référence sur l utilisation de l API d administration afin de permettre à une application d exécuter des tâches d administration Access Manager. Ce document décrit la mise en oeure C de l API d administration. IBM Tioli Access Manager Administration Jaa Classes Deeloper s Reference SC (am39_adminj_deref.pdf) Fournit des informations de référence pour l utilisation du langage Jaa au sein de l API d autorisation, afin de permettre à une application d utiliser la sécurité Access Manager. IBM Tioli Access Manager WebSEAL Deeloper s Reference GC (amweb39_deref.pdf) xii IBM Tioli Access Manager - Guide d administration WebSEAL

15 Fournit des informations de programmation et d administration applicables aux modules CDAS (Cross-domain Authentication Serice), CDMF (Cross-domain Mapping Framework) et à la alidation de mot de passe. Documents techniques supplémentaires IBM Tioli Access Manager Performance Tuning Guide GC (am39_perftune.pdf) Fournit des informations d optimisation des performances adaptées à un enironnement composé d Access Manager aec IBM SecureWay Directory défini comme registre utilisateur. IBM Tioli Access Manager Capacity Planning Guide GC (am39_capplan.pdf) Aide les responsables du planning à déterminer le nombre de sereurs Web requis (sereurs WebSEAL, LDAP et d arrière-plan) pour l exécution d une charge de traail en particulier. IBM Tioli Access Manager Error Message Reference SC (am39_error_ref.pdf) Fournit des explications et indique des actions recommandées pour les messages émis par Access Manager. Le glossaire Tioli contient la définition d un grand nombre de termes techniques relatifs au logiciel Tioli. Le glossaire Tioli est disponible (en anglais uniquement) sur le site Web suiant : Documents connexes Cette section répertorie les documents relatifs à la bibliothèque Access Manager. Base de données unierselle IBM DB2 La base de données unierselle IBM DB2 est requise lors de l installation des sereurs IBM SecureWay Directory, LDAP SecureWay z/os et OS/390. Vous trouerez des informations relaties à DB2 sur le site Web suiant : IBM Global Security Toolkit Access Manager permet d effectuer un chiffrement de données ia l utilisation d IBM Global Security Toolkit (GSKit). Vous trouerez GSKit sur le CD d IBM Tioli Access Manager Base pour otre plate-forme spécifique. GSKit installe l utilitaire de gestion ikeyman (gsk5ikm). Ce dernier ous permet de créer des bases de données de clés, des paires de clés publiques-priées et des requêtes de certificats. Le document suiant est disponible dans le répertoire /doc/gskit : Secure Sockets Layer Introduction and ikeyman User s Guide gskikm5c.pdf Ce document fournit des informations à l attention des responsables de la sécurité du système ou des administrateurs réseau chargés d actier les communications SSL dans leur domaine sécurisé Access Manager. Aant-propos xiii

16 IBM SecureWay Directory Vous trouerez IBM SecureWay Directory (ersion 3.2.2) sur le CD d IBM Tioli Access Manager Base pour otre plate-forme spécifique. Si ous souhaitez installer le sereur IBM SecureWay Directory en tant que registre d utilisateurs, ous trouerez les documents suiants dans le répertoire /doc/directory sur le CD IBM Tioli Access Manager Base pour otre plate-forme spécifique : IBM SecureWay Directory Installation and Configuration Guide (aparent.pdf, lparent.pdf, sparent.pdf, wparent.pdf) Fournit des informations d installation, de configuration et de migration pour les composants IBM SecureWay Directory sous AIX, Linux, Solaris et Microsoft Windows. IBM SecureWay Directory Release Notes (relnote.pdf) Complète la documentation produit d IBM SecureWay Directory (ersion 3.2.2) et décrit les nouelles fonctions de cette ersion. IBM SecureWay Directory Readme Addendum (addendum322.pdf) Fournit des informations sur les modifications et les corrections apportées après la traduction de la documentation relatie à IBM SecureWay Directory. Ce fichier existe en anglais uniquement. IBM SecureWay Directory Serer Readme (serer.pdf) Fournit une description d IBM SecureWay Directory Serer (ersion 3.2.2). IBM SecureWay Directory Client Readme (client.pdf) Fournit une description d IBM SecureWay Directory Client SDK (ersion 3.2.2).Ce kit de déeloppement logiciel (SDK) constitue un support de déeloppement d applications LDAP. SSL Introduction and ikeyman User s Guide (gskikm5c.pdf) Ce document fournit des informations à l attention des responsables de la sécurité du système ou des administrateurs réseau chargés d actier les communications SSL dans leur domaine sécurisé Access Manager. IBM SecureWay Directory Configuration Schema (scparent.pdf) Décrit l arborescence des renseignements répertoire (DIT) et les attributs utilisés pour configurer le fichier slapd32.conf. Dans IBM SecureWay Directory (ersion 3.2), les paramètres du répertoire sont stockés au format LDIF (LDAP Directory Interchange Format) dans le fichier slapd32.conf. IBM SecureWay Directory Tuning Guide (tuning.pdf) Fournit des informations de réglage des performances pour IBM SecureWay Directory. Lorsqu elles sont disponibles, des informations sont fournies sur le réglage des tailles de répertoires (de quelques milliers d entrées à plusieurs millions d entrées). Pour plus d informations sur IBM SecureWay Directory, isitez le site Web suiant : xi IBM Tioli Access Manager - Guide d administration WebSEAL

17 IBM WebSphere Application Serer IBM WebSphere Application Serer, Adanced Single Serer Edition (ersion 4.0.2) est installé en même temps que l interface Web Portal Manager. Pour plus d informations sur IBM WebSphere Application Serer, isitez le site Web suiant : Accès aux publications en ligne Vous trouerez les publications des bibliothèques produit sur le CD produit, au format PDF (Portable Document Format). Pour accéder à ces publications à l aide d un naigateur Web, ourez le fichier infocenter.html (que ous trouerez dans le répertoire /doc du CD produit. Lorsqu IBM publie une nouelle ersion de certaines publications (en ligne ou sous forme de documents), celle-ci figure dans le centre de documentation Tioli. Le centre de documentation Tioli contient la ersion la plus récente des publications de la bibliothèque produit, au format PDF ou HTML (ou encore aux deux). Des documents traduits sont également disponibles pour certains produits. Vous pouez accéder au centre de documentation Tioli et à d autres sources d informations techniques à partir du site Web suiant : Les informations sont organisées par produit et comprennent des notes d édition, des guides d installation, des guides de l utilisateur, des guides d administration et des documents de référence pour déeloppeurs. Remarque : Si ous imprimez des documents sur un autre papier que le papier lettre, cochez la case Fit to page dans la boîte de dialogue d impression d Adobe Acrobat (qui s affiche lorsque ous cliquez sur File Print) pour garantir que les dimensions totales d une page au format lettre sont prises en compte pour l impression sur le papier utilisé. Commande de publications Vous pouez commander de nombreuses publications Tioli en ligne à partir du site Web suiant publications/cgibin/pbi.cgi Vous pouez également passer otre commande par téléphone, en appelant l un des numéros suiants : Aux Etats-Unis, composez le Au Canada, composez le Pour les autres pays, ous trouerez la liste des numéros de téléphone sur le site Web suiant : Aant-propos x

18 Accessibilité Commentaires sur les publications Vos commentaires sur les produits et la documentation Tioli nous sont très utiles, car ils permettent d améliorer la qualité de nos produits. Vous pouez nous faire parenir os commentaires et suggestions sur ce guide en procédant de l une des manières suiantes : Enoyez un courrier électronique à pubs@tioli.com. Répondez à notre enquête de satisfaction clients sur le site Web suiant : Les fonctions d accessibilité permettent aux utilisateurs handicapés (à mobilité réduite ou ayant des problèmes de ue) d utiliser des produits logiciels. Grâce à ce produit, ous pouez utiliser des techniques qui ous aident à entendre et à naiguer dans l interface. Vous pouez également ous serir du claier plutôt que de la souris pour utiliser toutes les fonctions de l interface graphique utilisateur. Comment contacter le serice d assistance En cas d incident lors de l utilisation de l un des produits Tioli, ous pouez faire appel au serice d assistance Tioli. Reportez-ous au document Tioli Customer Support Handbook, disponible sur le site Web suiant : Ce document indique comment contacter le serice clientèle de Tioli en fonction de la graité du problème rencontré et contient les informations suiantes Enregistrement et éligibilité Numéros de téléphone et adresses électroniques en fonction du pays Informations à préparer aant de prendre contact aec le support Conentions utilisées dans ce document Le présent guide applique plusieurs conentions de présentation pour les actions et les termes spéciaux, pour les commandes et chemins propres à chaque système d exploitation et pour les graphiques. Conentions utilisées dans ce guide Les conentions suiantes sont utilisées dans ce guide : Gras Italique Monospace Les commandes, mots clés, noms de fichiers, rôles d autorisation, adresses URL ou autres informations à utiliser littéralement apparaissent en caractères gras. Les ariables, les options et les aleurs que ous deez indiquer apparaissent en caractères italiques. Les titres des publications, ainsi que les termes et phrases que l auteur a oulu mettre en éidence apparaissent également en caractères italiques. Les exemples de code, les lignes de commande, les sorties d écran, les noms de fichier et de répertoire ainsi que les messages système apparaissent dans la police de caractères monospace. xi IBM Tioli Access Manager - Guide d administration WebSEAL

19 Ais aux lecteurs canadiens Le présent document a été traduit en France. Voici les principales différences et particularités dont ous deez tenir compte. Illustrations Les illustrations sont fournies à titre d exemple. Certaines peuent contenir des données propres à la France. Terminologie La terminologie des titres IBM peut différer d un pays à l autre. Reportez-ous au tableau ci-dessous, au besoin. IBM France ingénieur commercial agence commerciale ingénieur technico-commercial inspecteur IBM Canada représentant succursale informaticien technicien du matériel Claiers Les lettres sont disposées différemment : le claier français est de type AZERTY, et le claier français-canadien de type QWERTY. OS/2 et Windows - Paramètres canadiens Au Canada, on utilise : les pages de codes 850 (multilingue) et 863 (français-canadien), le code pays 002, le code claier CF. Copyright IBM Corp. 1999, 2002 xii

20 Nomenclature Les touches présentées dans le tableau d équialence suiant sont libellées différemment selon qu il s agit du claier de la France, du claier du Canada ou du claier des États-Unis. Reportez-ous à ce tableau pour faire correspondre les touches françaises figurant dans le présent document aux touches de otre claier. Breets Il est possible qu IBM détienne des breets ou qu elle ait déposé des demandes de breets portant sur certains sujets abordés dans ce document. Le fait qu IBM ous fournisse le présent document ne signifie pas qu elle ous accorde un permis d utilisation de ces breets. Vous pouez enoyer, par écrit, os demandes de renseignements relaties aux permis d utilisation au directeur général des relations commerciales d IBM, 3600 Steeles Aenue East, Markham, Ontario, L3R 9Z7. Assistance téléphonique Si ous aez besoin d assistance ou si ous oulez commander du matériel, des logiciels et des publications IBM, contactez IBM direct au xiii IBM Tioli Access Manager - Guide d administration WebSEAL

21 Chapitre 1. Généralités sur IBM Tioli Access Manager WebSEAL IBMTioliAccess Manager for e-business (Access Manager) constitue une solution robuste et sécurisée de gestion centralisée des règles applicables au commerce électronique et aux applications distribuées. IBM Tioli Access Manager WebSEAL est un sereur Web à hautes performances et à plusieurs unités d exécution, appliquant des règles de sécurité renforcées à l espace objet Web Access Manager sous sa protection. WebSEAL peut fournir des solutions à connexion unique et intégrer des ressources du sereur d application Web d arrière-plan dans ses règles de sécurité. Le présent chapitre ous présente les principales fonctionnalités du sereur WebSEAL. Index des rubriques : «Introduction à IBM Tioli Access Manager et à WebSEAL» à la page 1 «Présentation du modèle de sécurité d Access Manager» à la page 3 «Protection de l espace Web grâce à WebSEAL» à la page 7 «Planification et mise en oeure des règles de sécurité» à la page 8 «Explication de l authentification WebSEAL» à la page 10 «Explication des jonctions WebSEAL» à la page 14 Introduction à IBM Tioli Access Manager et à WebSEAL IBM Tioli Access Manager : IBM Tioli Access Manager constitue une solution complète de gestion des règles de sécurité réseau et d autorisation, qui fournit une protection inégalée des ressources sur des intranets et des extranets géographiquement dispersés. Outre ses fonctions aancées de gestion des règles de sécurité, Access Manager contient des fonctions d authentification, d autorisation, de sécurité des données et de gestion centralisée des ressources. Vous pouez utiliser Access Manager en association aec des applications Internet standard afin de créer des intranets présentant un très bon nieau de sécurité et de gestion. En tant qu élément central, Access Manager offre les capacités suiantes : Structure d authentification Access Manager fournit une large gamme d outils intégrés d authentification et prend en charge des outils externes d authentification. Structure d autorisation Le serice d autorisation d Access Manager (auquel ous pouez accéder ia l API d autorisation d Access Manager) ous permet de prendre des décisions d autorisation ou de refus de requêtes relaties à des ressources protégées situées dans le domaine sécurisé. Copyright IBM Corp. 1999,