Oracle Access Management 12c
Průvodce společnými kritérii
Verze 1.6
září 2023
Dokument připravil
www.lightshipsec.com
O tomto průvodci
1.1 Konecview
- Tato příručka poskytuje doplňkové pokyny k dosažení konfigurace Oracle Access Management 12c vyhodnocené podle Common Criteria a souvisejících informací
1.2 Publikum
- Tato příručka je určena pro systémové administrátory a různé zúčastněné strany zapojené do hodnocení Common Criteria. Předpokládá se, že čtenáři budou tuto příručku používat ve spojení se souvisejícími dokumenty uvedenými v tabulce 3.
1.3 O společném hodnocení kritérií - Common Criteria for Information Technology Security Evaluation (ISO/IEC 15408) je mezinárodní standard pro bezpečnostní certifikaci IT produktů a systémů. Více informací je k dispozici na https://www.commoncriteriaportal.org/
1.3.1 Protection Profile Shoda - Hodnocení Common Criteria bylo provedeno s ohledem na požadavky následující Protection Profiles k dispozici na https://www.niap-ccevs.org/Profile/PP.cfm:
a) Standardní ochrana Profile pro Enterprise Security Management Policy Management, v2.1
b) Standardní ochrana Profile pro Enterprise Security Management Řízení přístupu, v2.1
1.3.2 Vyhodnocený software - Cílem hodnocení (TOE) je Oracle Access Management 12c.
- Vyhodnocovací testování bylo provedeno pomocí následujících komponent v prostředí.
Tabulka 1: Součásti mimo TOE
Komponent Podrobnosti OAM Server & Console – Požadavky na platformu • Oracle Linux 7.6 UEK 5
• Oracle WebLogický server 12c
• Oracle JRE 8OAM WebBrána – Požadavky na platformu • Oracle HTTP Server 12c
• Oracle Linux 7.6 UEK 5Audit Store Oracle Database 19c Obchod zásad Oracle Database 19c Obchod s identitami Oracle Unified Directory / Oracle Internet Directory 12c OAM Console Identity Store Adresářový server LDAPv3 Administrátorský systém Web Prohlížeč Uživatelský systém Web Prohlížeč 1.3.3 Vyhodnocené funkce
- Následující funkce byly vyhodnoceny podle Common Criteria:
a) Správa podnikové bezpečnosti. TOE poskytuje podnikovou správu zabezpečení prostřednictvím své schopnosti definovat a vynucovat zásady řízení přístupu, které jsou přenášeny z centralizovaného serveru do distribuovaných komponent odpovědných za jejich prosazování. TSF poskytuje možnost definovat tyto zásady prostřednictvím svých rozhraní pro správu. Zásady lze definovat pro řízení přístupu web zdroje (URLs).
Když je vytvořena nebo upravena zásada, TSF použije tuto zásadu na úložiště zásad. WebKdyž se uživatel pokusí získat přístup k chráněnému zdroji, Gates požádá server OAM o relevantní data zásad. Veškerá vzdálená komunikace tohoto typu je zabezpečena pomocí TLS.
TOE se spoléhá na environmentální úložiště Identity Store k identifikaci subjektů pro prosazování zásad řízení přístupu. Data předmětu mohou být rozšířena o atributy, které jsou definovány a uloženy v OUD. Správci TOE jsou také definováni pomocí úložiště identity systému. Administrátoři TOE jsou autentizováni pomocí System Identity Store pomocí LDAP s uživatelským jménem/heslem.
b) Bezpečnostní Audit. TOE generuje záznamy auditovatelných událostí, které jsou protokolovány do úložiště environmentálních auditů a také uloženy v místním prostředí filesystému komponenty, která událost vygenerovala. Jakákoli data auditu, která jsou vzdáleně přenášena z TOE do provozního prostředí, jsou zabezpečena pomocí TLS. Administrátor může nakonfigurovat typy událostí, pro které se generují protokoly pro aktivity správce i koncového uživatele pro server OAM a WebAktivity brány. Po vygenerování jsou auditní data uložena způsobem, který zabraňuje neoprávněné úpravě nebo vymazání.
c) Komunikace. TOE poskytuje zpětnou vazbu správcům, když jsou aplikovány změny pravidel zásad. Každý jednotlivec WebBrána je identifikována jedinečným názvem. Zásady jsou také jednoznačně identifikovány jménem. Změny zásad implementované správcem jsou zaznamenány v úložišti zásad a jsou načteny ze serveru a aplikovány WebBrány, pro které jsou určeny. Kromě poskytování upozornění, když jsou načtena data zásad, je správce schopen dotazovat se na a WebBrána k určení konkrétní politiky, kterou zavedla.
d) Kryptografická podpora. Šifrovací schopnosti TOE jsou poskytovány kryptografickými moduly RSA BSAFE v operačním prostředí TOE.
e) Ochrana uživatelských dat. TOE funguje web-založená kontrola přístupu proti web servers and web aplikace, které na nich běží. Zásady řízení přístupu mohou vynutit, zda má uživatel přístup k a URL. Environmentální Identity Store se používá k identifikaci koncových uživatelů. Protože se TOE připojuje ke stejnému úložišti identit, aby definoval zásady, subjekty definované zásadami řízení přístupu používají stejná identifikační data, která prezentují při pokusu o přístup ke zdrojům v operačním prostředí. Když se subjekt pokusí o přístup ke chráněnému prostředku, TOE prozkoumá požadavek HTTP a určí, zda se na něj vztahují nějaká pravidla politiky řízení přístupu. Na základě výsledku vyhodnocení pravidla TOE buď povolí požadavek, odmítne požadavek, nebo bude vyžadovat autentizaci před povolením požadavku. TOE definuje hierarchii zpracování pravidel pro URL přístup, který umožňuje buď nejlepší shodu, nebo přísně vynucené řazení pravidel v závislosti na preferencích správce.
f) Identification and Authentication. Údaje o identitě uživatele jsou definovány v environmentálním Identity Store. TOE je schopen těmto uživatelům přiřadit administrátorská oprávnění. Když se administrátoři přihlásí do web rozhraní TOE ke správě TOE, jsou spojeni s jejich administrátorskými oprávněními prostřednictvím přiřazení cookie relace. Každý následující požadavek HTTP odeslaný na web rozhraní jsou kontrolována na příslušná oprávnění web aplikace, takže se má za to, že jakákoli změna administrátorských práv nabude okamžité účinnosti.
g) Správa zabezpečení. Administrátorská oprávnění na TOE jsou založena na aplikacích a doménách. Administrátorovi lze přiřadit konkrétní domény a aplikace a mít oprávnění spravovat zásady řízení přístupu pro tyto aplikace a domény. TOE také poskytuje role superadministrátora s globální autoritou nad všemi aplikacemi a všemi doménami. Ve výchozím nastavení TOE vynucuje restriktivní politiku deny-by-default u všech prostředků, které jsou definovány jako chráněné. TOE definuje hierarchický stroj pro to, jak by měla být pravidla politiky aplikována na daný požadavek. Administrátor může přepsat tento motor pro pravidla, na která se vztahují URLs a dát pokyn TOE ke zpracování pravidel v administrativně definovaném pořadí.
h) Ochrana TSF. TOE neukládá data pověření správce lokálně; toto je uloženo v environmentálním Identity Store. TOE také neposkytuje rozhraní pro přístup k chráněným kryptografickým datům. WebBrány mají schopnost do určité míry pokračovat v prosazování zásad, pokud dojde ke ztrátě připojení mezi nimi a serverem. WebBrány neukládají data zásad lokálně, ale ukládají rozhodnutí o zásadách do mezipaměti, takže poslední rozhodnutí bude i nadále vynucovat toto rozhodnutí, pokud nebudou k dispozici nové informace. Pokud nelze navázat spojení se serverem pro požadavek, pro který neexistuje žádné rozhodnutí uložené v mezipaměti, WebGate žádost zamítne. WebGates bude pravidelně žádat server o nové informace o zásadách, takže v případě obnovení komunikace budou načtena nejnovější data zásad bez zásahu správce. Vzhledem k tomu, že data zásad jsou přenášena důvěryhodným kanálem, neexistuje žádný mechanismus pro provedení opakovaného útoku ve snaze přimět TOE k vynucení nesprávné zásady.
i) Využití zdrojů. Pokud je spojení mezi a WebBrána a server OAM jsou ztraceny WebGate bude moci pokračovat ve vymáhání rozhodnutí o vynucení uložených v mezipaměti. The WebGates bude pravidelně žádat server o nové informace o zásadách, takže v případě obnovení komunikace budou načtena nejnovější data zásad bez zásahu správce.
j) Přístup k TOE. TOE je schopen vrátit rozhodnutí o řízení přístupu, které vyžaduje, aby subjekt poskytl ověřovací pověření předtím, než bude moci přistupovat k danému web stránku nebo file. Pravidla zásad mohou být napsána tak, aby odepřela subjektu přístup k těmto objektům na základě dne a/nebo času. Pokud je v těchto případech pokus o přístup mimo povolené dny a/nebo časy, bude tento pokus zamítnut, i když subjekt poskytne řádné přihlašovací údaje.
k) Důvěryhodná cesta/kanály. Komunikace vzdálené správy s OAM Console je zabezpečena pomocí HTTPS. Veškeré interakce mezi OAM Serverem a ostatními komponentami jsou zabezpečeny pomocí TLS. - POZNÁMKA: Nejsou vzneseny žádné nároky týkající se jakékoli jiné funkce zabezpečení.
1.3.4 Předpoklady hodnocení - Při provádění hodnocení společných kritérií byly učiněny následující předpoklady. Pro zachování těchto předpokladů v provozním prostředí by se měly dodržovat pokyny uvedené v tabulce níže.
Tabulka 2: Předpoklady hodnocení
Předpoklad Vedení K dispozici bude jeden nebo více správců operačního prostředí
být odpovědný za správu TOE.Přiřaďte jednoho nebo více administrátorů, kteří budou odpovědní za správu OAM. Operační prostředí bude poskytovat kryptografická primitiva, která může TOE použít k poskytování služeb, jako je zajištění důvěrnosti a integrity komunikace. RSA BSAFE poskytuje kryptografická primitiva. Viz kroky konfigurace v části 4.1 níže. Osoby odpovědné za TOE zajistí, že TOE bude dodáno, nainstalováno, spravováno a provozováno bezpečným způsobem. Postupujte podle ověřovacích postupů v 2.2 níže. Hardware serveru by měl být fyzicky zabezpečen před neoprávněným přístupem. Nakonfigurujte a provozujte OAM v souladu s tímto dokumentem a odkazovanými pokyny. Personál pracující jako správci TOE musí být pečlivě vybrán a proškolen
správné fungování TOE.Implementujte procesy, které zajistí, že správci OAM budou důvěryhodní (např. prověrky / prověrky) a vyškoleni k obsluze OAM. Jeden nebo více produktů ESM Access Control bude nasazeno v operačním prostředí k ochraně majetku organizace. Servery OAM a OAM WebTuto funkci provádějí brány – nejsou potřeba žádné další akce. Operační prostředí poskytne mechanismy pro snížení schopnosti
aby se útočník během ověřování vydával za legitimního uživatele.Služby identity pro OAM poskytuje Oracle
Unified Directory nebo Oracle Internet Directory.
Předpokládá se, že služby identity jsou důvěryhodné.Operační prostředí bude poskytovat spolehlivé časové údaje TOE. Mělo by být nakonfigurováno více zdrojů NTP. Provozní prostředí musí být schopno identifikovat uživatele požadujícího přístup
k TOE.Služby identity pro OAM poskytuje Oracle
Unified Directory nebo Oracle Internet Directory.
Předpokládá se, že služby identity jsou důvěryhodné.Operační prostředí poskytne politiku, kterou bude TOE vynucovat. Policy Store poskytuje Oracle Database 12c. Provozní prostředí bude chránit TOE před neoprávněnými úpravami a přístupem k jeho funkcím a datům. Všechny komponenty uvedené v tabulce 1 by měly být spravovány a nasazovány v souladu se zásadami zabezpečení organizace. 1.4 Konvence
- V této příručce jsou použity následující konvence:
a) Příkaz CLI – Tento styl vám naznačuje, že můžete zadat slovo nebo frázi na příkazovém řádku a stisknutím [Enter] vyvolat příkaz. Text v <> je nahraditelný. Napřample: Použijte kočkufilejméno> příkaz k view obsah a file
b) [klávesa] nebo [kombinace kláves] – klávesa nebo kombinace kláves na klávesnici je zobrazena tímto stylem. Napřample: Kombinace kláves [Ctrl]-[Alt]-[Backspace] ukončí vaši grafickou relaci a vrátí vás na grafickou přihlašovací obrazovku nebo konzolu.
c) GUI > Reference – označuje posloupnost interakcí na obrazovce GUI. Napřample: Vyberte File > Uložit zachránit file.
d) [REFERENCE] Oddíl – označuje dokument a odkaz na oddíl z tabulky 3. Napřample: Postupujte podle [ADMIN] Konfigurace uživatelů a přidejte nového uživatele.
1.5 Související zdroje - Tato příručka doplňuje níže uvedené zdroje pokynů Oracle.
Tabulka 3: Související zdroje
Odkaz Zdroj [ADMIN] https://docs.oracle.com/en/middleware/idm/access-
manager/12.2.1.4/aiaag/introducing-oracle-access-management.html - POZNÁMKA: Informace v této příručce nahrazují související informace v jiných zdrojích.
Bezpečné přijetí
2.1 Získání TOE
- TOE si uživatelé stahují z Oracle Identity & Access Management
Stránka ke stažení na https://www.oracle.com/middleware/technologies/identitymanagement/downloads.html - Chcete-li získat TOE:
a) Stáhněte si následující:
• Oracle Identity and Access Management 12cPS4 (verze 12.2.1.4.0)
• Infrastruktura Oracle Identity and Access Management 12cPS4 (verze 12.2.1.4.0)
• Oracle Unified Directory 12cPS4 (verze 12.2.1.4.0)
b) OAM WebBrána je funkce/zásuvný modul nainstalovaný s Oracle HTTP Server
Stáhněte si Oracle HTTP Server 12.2.1.4 na adrese https://www.oracle.com/caen/middleware/technologies/webtier-downloads.html.
Vyhledejte na stránce sekci ke stažení „Oracle HTTP Server 12.2.1.4“ a klikněte na odkaz pro stažení Linux 64-bit.
c) Stáhněte si opravy 35371374 (OAM Server) a 33974688 (OAM WebGate) z My Oracle Support at https://support.oracle.com. - Poznámka: Oracle Unified Directory není součástí TOE, ale používá se ve vyhodnocované konfiguraci.
2.2 Ověření TOE - Pro ověření, zda je nainstalována správná verze TOE, musí správci spustit příkaz opatch lsinventory na serveru OAM i na OAM. WebBrána.
Konfigurační průvodce
3.1 Instalace a konfigurace
- TOE je instalován a konfigurován na místě zákazníka pracovníky podpory Oracle. Chcete-li nainstalovat TOE ve vyhodnocené konfiguraci, doporučujeme zákazníkům kontaktovat společnost Oracle.
- Rovněž se doporučuje, aby zákazníci nakonfigurovali základní operační systém v souladu s pokyny uvedenými v dokumentu Oracle Linux v7.6 Common Criteria Guidance Document (https://www.oracle.com/a/ocom/docs/oracle-linux-v7.6-common-criteriaguidance-v1.7.pdf). Zvláštní pozornost by měla být věnována konfiguraci SSH a systémové brány firewall. Pomocí systémové brány firewall (iptables) musí zákazníci zablokovat veškeré nepotřebné porty před externím přístupem. TOE standardně používá porty 5575, 7002, 14101 a 14151.
- Poznámka: Po instalaci jakéhokoli balíčku (počátečního, patche, aktualizace atd.) musí administrátoři provést příkaz $ORACLE_HOME/OPatch/opatch util cleanup, aby zajistili běh TOE ve vyhodnocené konfiguraci.
- Následující možnost by měla být přidána pod JAVA_OPTIONS v $DOMAIN_HOME/bin/setDomainEnv.sh: -Doracle.oam.handshake.check=true.
3.2 Přihlášení - Správci TOE mají přístup ke všem funkcím správy prostřednictvím Web GUI. Jakmile je TOE nakonfigurováno, chrání komunikaci mezi vzdálenými správci a TOE pomocí TLSv1.2.
- Pro přístup k web GUI, správci musí bod a web prohlížeče na URL definované při instalaci.
3.3 Zdroj dat / úložiště - OAM podporuje širší škálu zdrojů dat, jak je popsáno v Správa dat Zdroje. Vyhodnocená konfigurace používá následující zdroje dat:
a) Databáze (úložiště zásad a úložiště auditů). Oracle Database 19c.
b) Úložiště identity uživatele. Oracle Unified Directory 12c (nebo jakýkoli adresářový server LDAPv3 včetně Oracle Internet Directory 12c).
c) Úložiště klíčů. Úložiště klíčů Java umístěné na místním file systém zajišťující bezpečné uložení certifikátů a klíčů.
3.4 Audit Logging - TOE standardně generuje protokoly auditu, jak je popsáno na Protokolování, auditování, hlášení a monitorování výkonu. Záznamy auditu, které generuje TSF, jsou současně přenášeny do základního místního file systémů v Provozním prostředí a nejsou uloženy v TSF. TOE umožňuje přihlašování na více místech následovně:
Protokoly auditu konzoly OAM
• /u01/app/oracle/admin/domains/oam_domain/servers/oam_pol icy_mgr1/logs/oam_policy_mgr1.log
• /u01/app/oracle/admin/domains/oam_domain/servers/oam_pol icy_mgr1/logs/oam_policy_mgr1-diagnostic.log
• /u01/app/oracle/admin/domains/oam_domain/servers/oam_pol icy_mgr1/logs/auditlogs/OAM/audit.log
• /u01/app/oracle/admin/domains/oam_domain/servers/AdminSe rver/logs/AdminServer.log
• /u01/app/oracle/admin/domains/oam_domain/servers/AdminSe rver/logs/auditlogs/OAM/audit.log
• /home/oracle/oam_policy.out
• /home/oracle/wls.out
• /home/oracle/nm.out
Protokoly auditu serveru AM
• /u01/app/oracle/admin/domains/oam_domain/servers/oam_ser ver1/logs/auditlogs/OAM/audit.log
• /u01/app/oracle/admin/domains/oam_domain/servers/oam_ser ver1/logs/oam_server1.log
• /u01/app/oracle/admin/domains/oam_domain/servers/oam_ser ver1/logs/oam_server1-diagnostic.log
• /home/oracle/oam_server.out
WebProtokoly auditu brány
• /u01/app/oracle/admin/domains/ohs_domain/servers/ohs1/logs/weblogika.log
• /u01/app/oracle/admin/domains/ohs_domain/servers/ohs1/logs/ohs1.log
• /u01/app/oracle/admin/domains/ohs_domain/servers/ohs1/logs/admin_log - Poznámka: Protokoly auditu konzoly OAM splňují požadavky na část TOE pro správu zásad. Protokoly auditu serveru OAM a WebAudit brány
Protokoly poskytují události auditu pro část Řízení přístupu v TOE. - Níže je uveden odkaz na typy a formát událostí auditu.
3.4.1 Odstraňování problémů s připojením TLS - Při odstraňování problémů s připojením TLS lze generovat další události auditu pomocí možnosti java „-Djavax.net.debug=ssl,handshake“ na začátkuWebSpouštěcí skript Logic.sh. Další informace o ladění připojení SSL/TLS mohou být
naleznete zde: https://docs.oracle.com/javase/8/docs/technotes/guides/security/jsse/ReadDebug.html. - Poznámka: Při používání ladicích rozhraní je třeba dbát opatrnosti a na výstupu by mělo být minimum informací o ladění.
3.4.2 Audit datového úložiště - Během instalace a konfigurace, jak je popsáno v části 3.1, je TOE také nakonfigurováno tak, aby standardně využívalo externí databázi jako úložiště auditu. To zahrnuje konfiguraci úložiště auditu pomocí důvěryhodného kanálu, jak je popsáno v části 1.3.3. Další přizpůsobení chování auditu je popsáno v části Zabezpečení aplikací pomocí služeb Oracle Platform Security – https://docs.oracle.com/en/middleware/fusion-middleware/platformsecurity/12.2.1.4/jisec/audpolicy.html#GUID-B042E456-BC36-482D-B7A3A4425267B960.
- Během databáze outagV případě jiné události, která brání konektivitě mezi TOE a úložištěm dat auditu, budou záznamy auditu nadále zapisovány do místního úložiště auditu, jak je uvedeno výše, a budou odeslány do externí databáze, když bude znovu online.
3.5 Definování zásad řízení přístupu - TOE poskytuje funkce pro správu zásad a řízení přístupu, jak je popsáno v části Správa zásad pro ochranu zdrojů a povolení jednotného přihlašování.
- Stručně řečeno, proces definování politiky řízení přístupu pomocí OAM sestává z následujících činností prováděných v konzole OAM:
• Zaregistrujte se a nastavte OAM Webbrána
• Definujte jednu nebo více aplikačních domén
• Definujte zdroje, které mají být chráněny v rámci aplikační domény
• Definujte zásady ověřování a zásady autorizace pro přístup k těmto zdrojům - Následující diagramy znázorňují, jak TOE implementuje definici zásad mezi objekty a atributy objektů, distribuci zásad a komunikaci se zdroji dat:
Obrázek 1: Definice zásad OAM
Obrázek 2: Distribuce zásad OAM
Obrázek 3: Komunikace zdroje dat OAM
-
Je možné definovat více domén aplikací, protože na stejném logickém serveru může běžet více různých aplikací. V rámci aplikační domény, jednotlivé zdroje (files nebo URLs) lze definovat jako chráněné OAM. Když uživatel požádá o přístup k jednomu z těchto zdrojů, Webbrána zachytí požadavek a určí, na základě uživatele požadujícího přístup, jak reagovat na základě zásad autentizace a zásad autorizace definovaných pro tento zdroj.
- Zásady autorizace spoléhají na podmínky, které musí požadavek na přístup splnit. Při psaní podmínek může být specifikována identita uživatele, IP adresa (nebo rozsah) nebo atributy uživatele. Dostupné uživatelské atributy budou určeny připojeným úložištěm identit a lze je libovolně definovat. Součástí jsou také časové podmínky, které stanoví dny a/nebo časy, kdy bude podmínka platit. Lze kombinovat více podmínek, takže napřampUživateli, který se pokusí o přístup ke zdroji, může být povolen přístup v daný čas nebo z daného umístění, ale je mu zakázáno provést stejný pokus v jiném čase nebo na jiném místě.
-
V rámci dané aplikační domény jsou zásady autorizace jednoznačně identifikovány pomocí ID zásady, které je protokolováno konzolou OAM. ID zásady je přidruženo k zásadě při vytváření a úpravě zásad v protokolech TOE. Zásada je zapsána do úložiště zásad a server OAM načte zásadu z úložiště zásad. Server OAM vloží seznam všech aktivních ID zásad do sdílené databáze zásad při každé změně zásad. Data zásad se zapisují do úložiště zásad v proprietárním formátu Oracle. Jakékoli dodatky nebo změny autorizační politiky vstoupí v platnost okamžitě bez administrativního zásahu.
3.5.1 Zpracování protichůdných pravidel v OAM -
Protichůdná pravidla řeší OAM Console následujícím způsobem/Webbrány:
a) Když administrátor definuje politiku autorizace, přítomnost explicitně protichůdných pravidel zabrání jejímu uložení. Protichůdná pravidla nastanou, když stejná kombinace operace předmět-objekt na stejné úrovni detailů má za následek jak povolení, tak zamítnutí
b) Pokud autorizační politika obsahuje implicitně protichůdná pravidla na stejné úrovni podrobností (např. subjekt patří do jedné skupiny, která má povolen přístup k objektu, ale zároveň patří do druhé skupiny, která nemá povolen přístup ke stejnému objektu), autorizační politika bude vyhodnocena jako „neprůkazná“, což je považováno za odmítnutí.
c) Pokud autorizační politika obsahuje implicitně protichůdná pravidla na různých úrovních podrobnosti (např. subjektu je povolen přístup k objektu jednotlivě, ale také patří do skupiny, která nemá povolen přístup ke stejnému objektu), bude mít přednost specifičtější pravidlo. .
d) Pokud je OAM nakonfigurován tak, aby zpracovával pravidla autorizační politiky v pořádku, pak není možné, aby existovala protichůdná pravidla, protože vyšší pravidlo bude mít vždy přednost.3.5.2 Výchozí hodnoty
- Ve výchozím nastavení implementuje TOE politiku restriktivního řízení přístupu proti objektům, které jsou definovány jako chráněné. Pokud pro objekt neexistuje žádná politika, je mimo rozsah TOE, protože TSF si není vědom, že objekt existuje. Správci se mohou rozhodnout definovat pravidla řízení přístupu pro tyto objekty, která jsou svou povahou tolerantnější, buď explicitním povolením přístupu k určitým subjektům na základě určitých podmínek, nebo vyloučením některých operací z vynucování.
3.6 Selhání komunikace - Jakékoli narušení komunikace mezi WebBrány a server OAM nebo mezi serverem OAM a úložištěm zásad budou mít za následek zamítnutí požadavků na přístup běhemtagE. Server OAM (Policy Decision Point) načte nejnovější zásady z úložiště zásad po obnovení komunikace v případětagE. Akce provedená při selhání komunikace a následné obnovení nelze konfigurovat.
3.7 Typy a formát protokolů - Protokoly, které generuje TOE, mají typ a formát uvedený v následujícím odkazu: https://docs.oracle.com/en/middleware/idm/accessmanager/12.2.1.4/aiaag/auditing-administrative-and-run-time-events.html#GUIDC5488480-D15F-4CFC-9A12-59205F9CDBCB.
- Kromě výše uvedeného jsou pro navázání a zrušení komunikace s auditním serverem generovány následující protokoly auditu:ample.com> <[ACTIVE] ExecuteThread: '1' pro frontu: weblogic.kernel.Default (samoladící)'>weblogika> <> <14> <[hodnota-závažnosti: 1] [rid: 39] [id-oddílu: 44] [název-oddílu: DOMÉNA] >ample.com> <[ACTIVE] ExecuteThread: '1' pro frontu: 'weblogic.kernel.Default (samoladící)'>weblogika> <> <14> <[hodnota-závažnosti: 1] [rid: 39] [id-oddílu: 44] [název-oddílu: DOMÉNA] >
Konfigurace zabezpečené komunikace
4.1 Nastavení a konfigurace FIPS & TLS
- Postupujte podle pokynů v Příloze B – Zabezpečení komunikace [ADMINA] pro konfiguraci FIPS a TLS (https://docs.oracle.com/en/middleware/idm/accessmanager/12.2.1.4/aiaag/securing-communication.html#GUID-2E7AAA62-28204D9F-B3BA-C37FFDD55D6E).
- TLS je podporován pro komunikaci s následujícími entitami:
• Audit Server
• Autentizační server
• Server OAM
• Konzole OAM
• OAM WebBrány
• Policy Store
• Uživatelské koncové body - Poznámka: Toto nastavení a konfiguraci je třeba provést s přímou pomocí zástupce podpory Oracle.
4.2 Zakázání portů prostého textu - Ve vyhodnocené konfiguraci musí správci TOE zakázat porty pro prostý text, jakmile budou změny rozhraní WLST CLI dokončeny.
- Chcete-li zakázat porty prostého textu:
- z WebLogic Console, přejděte na Prostředí > Servery > „Název služby“ > Konfigurace > Obecné. Vyberte Uzamknout a upravit a poté zrušte zaškrtnutí políčka Port prostého textu. Klepnutím na tlačítko Uložit uložíte konfiguraci a ukončíte program.
Dokumenty / zdroje
 |
Lightship Security 12c Oracle Access Management [pdfUživatelská příručka 12c Oracle Access Management, Oracle Access Management, Access Management, Management |