A Content Collector for SAP rendszer biztonsági alapelve

A Content Collector for SAP átfogó biztonsági alapelvet biztosít a jelszavak tárolásához, valamint a Collector Server, az IBM® Content Navigator eszköz, az SAP rendszer, a lerakatok és az esetleges külső alkalmazások közötti kommunikációhoz.

Áttekintés

A következő ábra a biztonsági alapelv és a legfontosabb fájlok kölcsönös kapcsolatának áttekintését mutatja be.

Az elsődleges kulcs

A biztonsági alapelv központi része az elsődleges kulcs. Az elsődleges kulccsal a következő elemek kerülnek titkosításra:

A jelszófájl (alapértelmezett neve: archint.cfg), amely a Collector Server példány számára az IBM Content Navigator eszközzel, az SAP rendszerrel, a lerakatokkal és az esetleges külső alkalmazásokkal folytatott kommunikációhoz szükséges valamennyi jelszót tartalmazza.
Az SAP tanúsítványok, amelyekre a Collector Server példánynak az SAP rendszerből érkező HTTP kérések módosítatlanságának biztosításához van szüksége. Az SAP tanúsítványok az SAPCertificates könyvtárban kerülnek tárolásra.

Módosítás kezdete Az elsődleges kulcsot a Collector Server példány első indításakor hozza létre. Az 1. javítócsomaggal indítva az elsődleges kulcs a Collector Server példány IBM Content Navigator alkalmazásból történő indításakor jön létre. Az elsődleges kulcs a Collector Server példány konfigurációjában meghatározott elsődleges kulcsfájlban tárolódik. Módosítás vége

Az elsődleges kulcsfájlt jelszó nem titkosítja vagy védi. Ezért szigorúan korlátozza a hozzáférést az elsődleges kulcsfájlhoz és a fájlt tároló könyvtárhoz.

A jelszófájl

A jelszófájlt az elsődleges kulcs védi és a Collector Server példánykonfigurációban kerül meghatározásra. A tartalmát a Collector Server ellenőrzi. A jelszófájl a következő felhasználók és kulcstárolók jelszavait tartalmazza:

A Collector Server példány által használt CPIC felhasználó az SAP rendszerbe történő bejelentkezéshez
A Collector Server példány által az IBM Content Manager, Content Manager OnDemand, FileNet P8 vagy Tivoli Storage Manager alkalmazásba való bejelentkezéshez igénybe vett felhasználó
A Content Collector for SAP alkalmazásprogramozási felülete és a Collector Server példány közötti kommunikációhoz használt kiszolgáló-kulcstároló
Az IBM Content Navigator alkalmazás és a Collector Server példány közötti kommunikációhoz, valamint az SAP rendszer és a Collector Server példány közötti HTTPS kommunikációhoz használt SSL kulcstároló és SSL tanúsítványtároló
A P8 sorokat olvasni tudó felhasználó
Annak a felhasználónak a jelszavát, aki jogosult az ILM alapú adatarchiválásra (BC-ILM)

A Collector Server példány indításakor adja hozzá a jelszavakat a jelszófájlhoz. A jelszófájlt a Collector Server példány minden egyes indításakor megváltoztathatja.

Kommunikáció az SAP és a Collector Server között

Az SAP rendszer és a Collector Server példány közötti kommunikációhoz HTTP vagy RFC használható. Mivel az SAP rendszertől érkező HTTP kérések általában tartalmazzák a secKey paramétert, a Collector Server alkalmazásnak egy SAP tanúsítványra van szüksége a Collector Server példánykonfigurációban meghatározott, és az SAP által HTTP segítségével elért minden egyes logikai archívumhoz. Az SAP tanúsítványokat az elsődleges kulcs védi.

A HTTP kommunikációt a HTTPS használatával biztonságosabbá lehet tenni. A HTTPS kapcsolatot csak kiszolgálóhitelesítéssel vagy kiszolgáló- és ügyfél-hitelesítéssel együtt lehet beállítani.

Kiszolgálóhitelesítés esetén csak a Collector Server példánynak kell hitelesítenie magát. Ha ezen kívül ügyfél hitelesítést is használ, akkor az SAP rendszernek is hitelesítenie kell magát. A kapcsolatot a teljes Collector Server példányra, vagy csupán adott logikai archívumokra vonatkozóan teheti biztonságossá.

A kiszolgálóhitelesítés egy kulcstárolót (SSL keystore) és egy tanúsítványt igényel minden egyes Collector Server példányhoz. A kiszolgálótanúsítványt az SAP Personal Security Environments (PSE) környezetekbe kell importálni.

Az ügyfél-hitelesítés számára importálnia kell az SAP tanúsítványt a megbízható tanúsítványokhoz használt kulcstárolóba (SSL tanúsítványtárolóba).

Az SSL kulcstárolót és az SSL tanúsítványtárolót is jelszavak védik, amelyek a jelszófájlban vannak tárolva. Az SSL kulcstároló és az SSL tanúsítványtároló a Collector Server példánykonfigurációban kerül megadásra.

Az IBM Content Navigator eszköz és a Collector Server közötti kommunikáció

Az IBM Content Navigator eszköz és a Collector Server példány közötti kommunikáció számára kiszolgáló- és ügyfél-hitelesítéssel kell beállítania egy HTTPS kapcsolatot.

A kiszolgálóhitelesítés egy SSL kulcstárolót és tanúsítványt igényel minden egyes Collector Server példányhoz. A kiszolgálótanúsítványt az IBM Content Navigator eszközt üzemeltető webes alkalmazáskiszolgáló tanúsítványtárolójába kell importálni.

Az ügyfél-hitelesítéshez az IBM Content Navigator eszközt üzemeltető webes alkalmazáskiszolgáló tanúsítványát kell importálni az SSL tanúsítványtárolóba.

Ha a Collector Server példány az SAP rendszerrel is kommunikál, akkor ugyanazt a Collector Server példányt és ugyanazt az SSL tanúsítványtárolót kell igénybe vennie, mint az SAP rendszerrel folytatott HTTPS kommunikáció esetén.

Az alkalmazásprogramozási felület és a Collector Server közötti kommunikáció

Az alkalmazásprogramozási felületet (API) (csclient.dll) kell használnia minden olyan külső alkalmazásnak, amely kommunikálni kíván a Collector Server példánnyal. Az API a kiegészítőcsomag részeként azon a rendszeren kerül telepítésre, ahol a külső alkalmazás fut. A kommunikáció az API és a Collector Server között védett, ezért minden adat mindig titkosításra kerül átvitel előtt. Ezenkívül a hozzáférést kiszolgáló- és ügyfél-hitelesítés vezérli.

A kiszolgálóhitelesítés azt jelenti, hogy az ügyfelek ellenőrzik azon Collector Server példány azonosságát, amelytől titkosított adatokat fogadnak. Az ügyfél-hitelesítés azt jelenti, hogy a Collector Server példány ellenőrzi azoknak az ügyfeleknek az azonosságát, amelyektől a titkosított adatokat fogadja. Az ügyfél az a felhasználó vagy felhasználói csoport, amely fiókkal rendelkezik a külső alkalmazást üzemeltető rendszeren, hozzáfér az alkalmazásprogramozási felülethez, valamint birtokol vagy másokkal megoszt egy ügyféltanúsítványt.

Ezek a hitelesítési metódusok egy-egy kulcstárolót igényelnek minden Collector Server példány (kiszolgáló-kulcstároló), illetve ügyfél esetében (ügyfélkulcstároló). A kulcstároló egy nyilvános és egy privát kulcsot tartalmaz. A privát kulcs szolgál az adatok titkosításra. A nyilvános kulcs az adatok visszafejtéséhez használható. A kulcstároló egy tanúsítványt is tartalmaz, amely összerendeli a nyilvános kulcsot és így azonosítja a Collector Server példányt vagy ügyfelet. A kiszolgáló tanúsítványt az ügyfél kulcstárolókba kell exportálni, az ügyfél tanúsítványokat pedig a kiszolgáló kulcstárolóba kell exportálni. Az importált tanúsítványokat a rendszer megbízható tanúsítványoknak tartja.

A kiszolgáló-kulcstároló jelszóval védett, a jelszó a jelszófájlban kerül tárolásra és a Collector Server példánykonfigurációban van megadva.

Az ügyfélkulcstárolót és a tanúsítványát nem védi jelszó. Szigorúan szabályozza a hozzáférést a tanúsítványhoz, az ügyfélkulcstárolóhoz és az ügyfélkulcstárolót tartalmazó könyvtárhoz. Az ügyfélkulcstároló az ügyfél-konfigurációs profilban (alapértelmezett neve: csclient.ini) van megadva, amelyet minden egyes ügyfélhez be kell állítani.

Ha az ügyfél felhasználói csoportot képvisel, akkor ezek a felhasználók egy tanúsítványon osztoznak. Minél több felhasználó oszt meg egy tanúsítványt, annál nagyobb a kockázata a tanúsítvány veszélyeztetésének.

Az alkalmazásprogramozási felület és több Collector Server példány közötti kommunikáció

Az alkalmazásprogramozási felület (API) a Collector Server több példányával is képes kommunikálni. A Collector Server példányok lehetnek ugyanazon a rendszeren vagy különféle rendszereken is elhelyezkedhetnek. Az egyes kapcsolatok védelme úgy valósul meg, ahogy az egyetlen Collector Server példánnyal kialakított kapcsolaté.