RunAs-Identität des Verbindungsmanagers und Systemsicherheit

WebSphere® Application Server enthält Connector-Konfigurationen, die die Thread-Sicherheit des Betriebssystems verwenden. Durch die Aktivierung der Connection Manager Sync to OS Thread-Unterstützung wird der Java™ EE Identität (die RunAs Identität beispielsweise) kann verwendet werden, um die EIS-Verbindung für Connector-Konfigurationen herzustellen, die die Thread-Sicherheit des Betriebssystems verwenden.

Threadsicherheit des Betriebssystems: Unter bestimmten Konfigurationen von Java EE Connector Architecture (JCA), Java Message Service (JMS) oder Java-Datenbankkonnektivität ( JDBC) Anschlüsse an WebSphere Application Server for z/OS®, die OS-Thread-Identität ist die Identität, die zum Erstellen der Enterprise-Informationssystem-Verbindung (EIS) verwendet wird. Weitere Informationen zu den Konfigurationen, die die Betriebssystemthreadsicherheit unterstützen, finden Sie im Artikel über Verbindungsthreads.

Die Unterstützung für die Synchronisierung mit dem OS-Thread des Verbindungsmanagers wird aktiviert, indem Sie die Aktivieren des Verbindungs-Managers RunAs Thread-Identität Diese Option ist verfügbar, wenn Sie auf Sicherheit > Globale Sicherheit > z/OS Sicherheitsoptionen. Wenn das Aktivieren WebSphere Application Server Und z/OS Thread-Identitätssynchronisierung Wenn die Option im selben Bereich der Administrationskonsole nicht aktiviert ist, wird die Verbindung zu einem Ressourcenmanager unter einer Connector-Konfiguration, die die Thread-Sicherheit des Betriebssystems verwendet, unter Verwendung der Serveridentität hergestellt (die in diesem Fall als Standard dient). Weitere Informationen finden Sie im Artikel zu den Optionen für die z/OS-Sicherheit.

Der WebSphere Der Verbindungs-Manager führt die mit der Threadsicherheit des Betriebssystems verbundenen Funktionen aus. Der Connection Manager synchronisiert die OS-Thread-Identität mit der Java-Thread-Identität (diese Java-Thread-Identität entspricht der Java EE Identität), bevor die EIS-Verbindung hergestellt wird. Weitere Informationen finden Sie im Artikel zur Java-Threadidentität und zur Betriebssystemthreadidentität. Nachdem der Verbindungsmanager die Synchronisierung durchgeführt hat, wird die OS-Thread-Identität vorübergehend durch die Java-Thread-Identität ersetzt und die Java-Thread-Identität ist die Identität, die zum Abrufen der EIS-Verbindung verwendet wird. Dies bedeutet, dass die Synchronisierung mit OS-Threads durch den Connection Manager eine Möglichkeit bietet, eine EIS-Verbindung unter Verwendung der Java-Thread-Identität (der RunAs Identität zum Beispiel). Sobald die Verbindung aufgebaut ist, stellt der Verbindungsmanager die Betriebssystemthreadidentität wieder her.

Hinweis:

Mit der Einstellung der Option für zulässige Synchronisation mit dem Betriebssystemthread (SyncToOSThread) der Anwendung kann nicht bestimmt werden, welche Identität in einer Connector-Konfiguration, die die Betriebssystemthreadsicherheit unterstützt, verwendet wird, um eine Verbindung herzustellen. Der Artikel "Unterstützung für Threadidentität verwenden" beschreibt, welche Identität zum Herstellen einer Verbindung verwendet wird, in der die Konfiguration von der Unterstützung der Anwendung für die Synchronisation mit dem Betriebssystemthread unberührt bleibt. Für Connector-Konfigurationen, die die Sicherheit für den Betriebssystemthread verwenden (aber in denen die Verbindungsmanagerunterstützung für die Synchronisation mit dem Betriebssystem-OS inaktiviert ist), wird unabhängig von der Einstellung der Option für zulässige Synchronisation mit Betriebssystemthread (SyncToOSThread) oder der aktuellen RunAs-Identität der Anwendung die Serveridentität verwendet, um die Verbindung herzustellen.
Die Unterstützung von Connection Manager Sync to OS Thread ist nur für den Erhalt von EIS-Verbindungen relevant, die verwaltet werden von WebSphere Verbindungsverwaltung. Beispielsweise könnte die Unterstützung der Synchronisierung des Connection Managers mit OS-Threads für die Java-Datenbankkonnektivität relevant sein ( JDBC) Verbindungen aus Anwendungsanfragen auf DataSource Objekte konfiguriert über WebSphere Application Server Verwaltungskonsole und suchte dann im Java Naming and Directory Interface (JNDI) nach. (Dies wäre davon abhängig, ob eine bestimmte DataSource-Instanz unter einem bestimmten JDBC-Provider die Sicherheit für den Betriebssystemthread verwendet oder nicht.) Die Unterstützung von Connection Manager Sync to OS Thread wäre jedoch nicht relevant für JDBC Verbindungen, die mit dem nicht verwalteten DriverManager.getConnection(...) API. Die Einstellung der Anwendung für "Synchronisation mit dem Betriebssystemthread zulässig" kann sich jedoch auf den Zugriff auf solche nicht verwalteten Ressourcen auswirken, für die die Berechtigung anhand der Betriebssystemthreadidentität durchgeführt wird.
Connection Manager Sync to OS Thread-Unterstützung wird für Verbindungsanfragen verwendet (oder nicht verwendet), die von benutzerdefiniertem Code (wie JMS oder JDBC Aufrufe von einem Stateless Session Bean), Verbindungsanfragen von bestimmten Komponenten des WebSphere Application Server (wie etwa der Message Driven Beans (MDB) Listener) oder Verbindungsanforderungen, die durch durch Tools generierten Code gestellt werden (wie etwa Container-Managed Persistence (CMP) Beans).
Einige (aber nicht alle) Connector-Konfigurationen, die den Java EE Identität verwendet auch OS Thread Security. Connector-Konfigurationen wie das Customer Information Control System ( CICS®) CTG Connector im lokalen Modus ermöglicht die Nutzung der Java EE Identität, die einen anderen Connection Manager-Mechanismus verwendet, um die EIS-Verbindung herzustellen. Diese Konfiguration verwendet keine Sicherheit für den Betriebssystemthread.

Nähere Einzelheiten zu Connector-Konfigurationen, die die Sicherheit für Betriebssystemthreads verwenden, finden Sie im Artikel "Identität des Verbindungsthreads". Sie können auch den Artikel "Unterstützung für Threadidentität verwenden" lesen.

Im Artikel "Java-EE-Identität und Betriebssystemthreadidentität" finden Sie weitere Informationen zu den Identitäten.