WAS7管理組角色說明

1、1.1.1 WAS7管理組角色說明:Java Platform, Enterprise Edition（Java EE）基于角色的授權(quán)概念已擴展為能夠保護(hù) WebSphere® Application Server 管理子系統(tǒng)。為了提供從基于 Web 的管理控制臺或系統(tǒng)管理腳本編制接口執(zhí)行某些管理功能所需的權(quán)限等級，定義了許多管理角色。僅當(dāng)啟用了administrative security時才會實現(xiàn)授權(quán)策略。下表對管理角色作了描述：角色描述Monitor（監(jiān)視員）使用監(jiān)視員角色的個人或組擁有最少的特權(quán)。監(jiān)視員可以完成下列任務(wù)： · 查看 WebSphere Applica

2、tion Server 配置。· 查看應(yīng)用程序服務(wù)器的當(dāng)前狀態(tài)。Configurator（配置員）使用配置員角色的個人或組擁有監(jiān)視員特權(quán)以及更改 WebSphere Application Server 配置的能力。配置員可以執(zhí)行所有日常配置任務(wù)。例如，配置員可以完成下列任務(wù)： · 創(chuàng)建資源。· 映射應(yīng)用程序服務(wù)器。· 安裝和卸載應(yīng)用程序。· 部署應(yīng)用程序。· 為應(yīng)用程序指定從用戶和組到角色的映射。· 為應(yīng)用程序設(shè)置 Java 2 安全許可權(quán)。· 定制公共安全互操作性 V2 (CSIv2)、安全認(rèn)證服務(wù) (SAS)

3、 和安全套接字層 (SSL) 配置。 重要： SAS is supported only between Version 6.0.x and previous version servers that have been federated in a Version 6.1 cell.Operator（操作員）使用操作員角色的個人或組擁有監(jiān)視員特權(quán)以及更改運行時狀態(tài)的能力。例如，操作員可以完成下列任務(wù)： · 停止和啟動服務(wù)器。· 在管理控制臺中監(jiān)視服務(wù)器狀態(tài)。Administrator（管理員）使用管理員角色的個人或組擁有操作員和配置員特權(quán)以及單獨授予管理員角色的特權(quán)。例如

4、，管理員可以完成下列任務(wù)： · 修改服務(wù)器用戶標(biāo)識和密碼。· 配置認(rèn)證和授權(quán)機制。· 啟用或禁用administrative security。· 啟用或禁用 Java 2 安全性。· 更改輕量級第三方認(rèn)證 (LTPA) 密碼并生成密鑰。· 在聯(lián)合存儲庫配置中創(chuàng)建、更新或刪除用戶。· 在聯(lián)合存儲庫配置中創(chuàng)建、更新或刪除組。重要： 管理員不能將用戶和組映射至不具備 Admin 安全性管理器角色的管理員角色。Iscadmins（ICS管理員）此角色僅適用于管理控制臺用戶，而不適用于 wsadmin 用戶。被授予此角色的用戶擁有管

5、理員特權(quán)，能夠管理聯(lián)合存儲庫中的用戶和組。例如，iscadmins 角色的用戶可以完成下列任務(wù)： · 在聯(lián)合存儲庫配置中創(chuàng)建、更新或刪除用戶。· 在聯(lián)合存儲庫配置中創(chuàng)建、更新或刪除組。Deployer（部署員）被授予此角色的用戶可以在應(yīng)用程序上完成配置操作和運行時操作。請參閱部署者角色一節(jié)以了解更多詳細(xì)信息。Admin 安全管理員可通過 wsadmin 腳本和管理控制臺在單元級別將用戶和組指定到 Admin 安全管理員角色。通過使用 Admin 安全管理員角色，可以為用戶和組指定管理用戶角色和管理組角色。但是，管理員不能為用戶和組指定管理用戶角色和管理組角色（包括 Admi

6、n 安全管理員角色）。請參閱Admin 安全管理員角色一節(jié)以了解更多詳細(xì)信息。審計員 被授予此角色的用戶可以查看和修改安全性審計子系統(tǒng)的配置設(shè)置。例如，具有審計員角色的用戶可以完成下列任務(wù)： · 啟用及禁用安全性審計子系統(tǒng)。· 選擇要與事件工廠插件點配合使用的事件工廠實現(xiàn)。· 選擇和配置服務(wù)提供者和/或發(fā)射器，將與服務(wù)提供者插件點配合使用。· 設(shè)置審計策略，該策略描述在安全性審計子系統(tǒng)出錯的情況下應(yīng)用程序服務(wù)器的行為。· 定義要審計哪些安全性事件。審計員角色包含監(jiān)視員角色。這允許審計員查看安全性配置的其余部分，但無法進(jìn)行更改。請參閱審計員角色一

7、節(jié)以了解更多詳細(xì)信息。在啟用administrative security時，指定的服務(wù)器標(biāo)識以及管理標(biāo)識（如果指定了此標(biāo)識的話）將自動映射至管理員角色。 可以由具有相應(yīng)權(quán)限的用戶通過 WebSphere Application Server 管理控制臺來將用戶和組添加到管理角色或者從中除去用戶和組。必須使用主要管理用戶名登錄至管理控制臺，才能更改審計員角色以外的管理用戶和管理組角色。只有具有審計員角色的用戶才能更改審計員用戶和組角色。最初啟用安全性審計時，主要管理用戶也同時具有審計員角色，并可以管理所有管理用戶和組角色，包括審計員角色中的那些角色。最好的做法是將一個或多個組（而非特定用戶）映

8、射至管理角色，這樣更靈活并且更易于管理。除了映射用戶或組以外，還可以將特殊主體集映射至管理角色。特殊主體集是特定用戶類的一般化。AllAuthenticated 特殊主體集表示對管理角色的訪問檢查確保發(fā)出請求的用戶至少已經(jīng)過認(rèn)證。Everyone 特殊主體集表示任何人（無論是否經(jīng)過認(rèn)證）都可以執(zhí)行操作，就象是未啟用安全性一樣。1.1.1.1 Deployer（部署員）被授予部署者角色的用戶可以在應(yīng)用程序上完成所有配置和運行時操作。部署者角色可以是配置員和操作員角色的子集。但是，被授予部署者角色的用戶不能配置或操作任何其他資源，如服務(wù)器和節(jié)點。在使用細(xì)顆粒度的管理安全性時，只有被授予應(yīng)用程序部署

9、者角色的用戶才能配置和操作該應(yīng)用程序。單元級的配置員可以配置應(yīng)用程序。單元級操作員還可以操作（啟動和停止）應(yīng)用程序。但是，在單元級別被授予部署者角色的用戶還可以對所有應(yīng)用程序完成配置和操作。下表列示了使用細(xì)顆粒度的管理安全性時部署者角色的能力，如下表“部署者角色能力”： 操作必需的角色（任何人）安裝應(yīng)用程序單元配置員、應(yīng)用程序部署者和目標(biāo)部署者卸載應(yīng)用程序單元配置員、應(yīng)用程序部署者和目標(biāo)部署者列示應(yīng)用程序單元監(jiān)視員和應(yīng)用程序監(jiān)視員編輯、更新和部署應(yīng)用程序單元配置員和應(yīng)用程序部署者導(dǎo)出應(yīng)用程序單元監(jiān)視員和應(yīng)用程序監(jiān)視員啟用或停止應(yīng)用程序單元操作員和應(yīng)用程序部署者其中： n 單元配置員 指定單元級

10、的配置員角色。n 應(yīng)用程序部署者 指定所管理的應(yīng)用程序的部署者角色。n 目標(biāo)部署者 指定應(yīng)用程序所面向的所有服務(wù)器或集群的部署者角色。如果您具有目標(biāo)部署者角色，那么可以在目標(biāo)上安裝新應(yīng)用程序。但是，要編輯或更新已安裝的應(yīng)用程序，您就必須屬于已安裝應(yīng)用程序部署者的授權(quán)組。 目標(biāo)部署者不能顯式地啟動或停止新應(yīng)用程序。但是，當(dāng)目標(biāo)部署者在目標(biāo)上啟動服務(wù)器時，所有將自動啟動屬性設(shè)置為是的應(yīng)用程序都會隨該服務(wù)器一起啟動。如果應(yīng)用程序部署者不想讓目標(biāo)部署者啟動該應(yīng)用程序，那么建議應(yīng)用程序部署者將此屬性設(shè)置為 true。1.1.1.2 Admin Security Manager（管理安全管理員）Admin

11、 安全管理員角色將管理安全性與其他應(yīng)用程序分開管理。缺省情況下，如果指定了 serverId 和 adminID，在單元級授權(quán)表中就會對此角色指定它們。此角色包含監(jiān)視員角色。但是，管理員角色并不意味 Admin 安全管理員角色。當(dāng)使用細(xì)顆粒度的管理安全性時，只有在單元級被授予此角色的用戶才能管理管理授權(quán)組。但是，在每個管理授權(quán)組中被授予此角色的用戶可以將用戶映射至那些組的管理角色。以下列表總結(jié)了不同級別的 Admin 安全管理員角色的能力，如單元和管理授權(quán)組級別。 如下表“Admin 安全管理員角色能力”。操作角色將用戶映射至單元級的管理角色僅該單元的 Admin 安全管理員將用戶映射至授權(quán)組的管理角色僅該授權(quán)組的 Admin 安全管理員，或該單元的 Admin 安全管理員管理授權(quán)組，創(chuàng)建、刪除授權(quán)組、對授權(quán)組添加資源，或從授權(quán)組或列表中除去資源僅該單元的 Admin 安全管理員1.1.1.3 Auditor（審計員）只有“安全性審計”功能和“性能查看功能”，其余功能只能看，不能操作。審計員角色將安全審計管理與管理安全性和其他應(yīng)用程序管理區(qū)分開。所添加的審計員角色是為了允許將審計員的權(quán)限與管理員的權(quán)限明確分開。可以為管理員授予審計員角色，以便合并它們的權(quán)限。首次啟用