Considérations générales sur la sécurité d’AEM Forms on JEE

Découvrez comment vous préparer au renforcement de votre environnement AEM Forms on JEE.

Cet article fournit des informations d’introduction qui vous aideront à préparer le renforcement de votre environnement AEM Forms. Elle inclut des informations prérequises sur la sécurité d’AEM Forms sur JEE, des systèmes d’exploitation, des serveurs d’applications et des bases de données. Consultez ces informations avant de continuer à verrouiller votre environnement.

Informations de sécurité spécifiques aux revendeurs

Cette section contient des informations sur la sécurité des systèmes d’exploitation, des serveurs d’applications et des bases de données intégrés à votre solution AEM Forms sur JEE.

Utilisez les liens proposés dans cette section pour accéder à des informations de sécurité spécifiques au revendeur de votre système d’exploitation, de votre base de données et de votre serveur d’applications.

Informations sur la sécurité des systèmes d’exploitation

Lorsque vous sécurisez votre système d’exploitation, réfléchissez attentivement à la mise en oeuvre des mesures décrites par le fournisseur de votre système d’exploitation, notamment :

  • définir et contrôler les utilisateurs, les rôles et les droits ;
  • surveiller les journaux et les journaux d’audit ;
  • supprimer les services et les applications inutiles ;
  • sauvegarder les fichiers.

Pour plus d’informations sur la sécurité des systèmes d’exploitation pris en charge par AEM Forms on JEE, voir les ressources du tableau :

Système d’exploitation

Ressource de sécurité

IBM® AIX® 7.2

Avantages de la sécurité IBM AIX

Microsoft Windows Server® 2012

Guide de sécurité de Windows Server 2012

Microsoft Windows Server® 2016

Guide de sécurité de Windows Server 2016

Red Hat® Linux® AP ou ES

Guide de sécurité Linux pour Red Hat Enterprise

Sun Solaris 11

Directives de sécurité et de renforcement

Oracle Linux® 7 Update 3 Guide de sécurité de la version 7
CentOS 7 Documentation de protection

Informations sur la sécurité des serveurs d’applications

Lorsque vous sécurisez votre serveur d’applications, pensez à mettre en oeuvre avec soin les mesures décrites par le fournisseur de votre serveur, notamment :

  • utiliser un nom d’utilisateur administrateur difficilement identifiable ;
  • désactiver les services inutiles ;
  • sécuriser le gestionnaire de console ;
  • autoriser les cookies sûrs ;
  • fermer les ports inutiles ;
  • restreindre les clients par adresses ou domaines IP ;
  • utiliser Java™ Security Manager pour limiter les droits par programme.

Pour plus de détails sur la sécurité des serveurs d’applications pris en charge par AEM Forms sur JEE, reportez-vous aux ressources indiquées dans le tableau ci-dessous.

Serveur d’applications

Ressource de sécurité

Oracle WebLogic®

Recherchez Understanding WebLogic Security à l’adresse https://download.oracle.com/docs/.

IBM WebSphere®

Sécurisation des applications dans leur environnement

Red Hat® JBoss®

Configuration des sous-systèmes de sécurité

Informations sur la sécurité des bases de données

Lorsque vous sécurisez votre base de données, pensez à mettre en oeuvre les mesures décrites par le revendeur de votre base de données, notamment les suivantes :

  • restreindre les opérations avec des listes de contrôle d’accès (ACL) ;
  • utiliser des ports non standard ;
  • masquer la base de données derrière un pare-feu ;
  • chiffrer les données sensibles avant de les écrire dans la base de données (consultez la documentation du fabricant de la base de données).

Pour plus de détails sur la sécurité des bases de données prises en charge par AEM Forms sur JEE, reportez-vous aux ressources indiquées dans le tableau ci-dessous.

Base de données

Ressource de sécurité

IBM DB2® 11.1

Bibliothèque de la famille de produits DB2

Microsoft SQL Server 2016

Recherchez « SQL Server 2016 : sécurité » sur le Web.

MySQL 5

MySQL 5.0 General Security Issues

MySQL 5.1 General Security Issues

Oracle® 12c

Reportez-vous au chapitre Security dans Oracle 12g Documentation

Ce tableau décrit les ports par défaut devant être ouverts pendant le processus de configuration d’AEM Forms sur JEE. Si vous vous connectez via https, reparamétrez les informations de port et les adresses IP en conséquence. Pour plus de détails sur la configuration des ports, reportez-vous au document Installation et déploiement d’AEM Forms sur JEE de votre serveur d’applications.

Produit ou service

le numéro de port ;

JBoss 

8080

WebLo gic

7001

Serveur géré WebLogic

Défini par l’administrateur lors de la configuration

WebSphere

9060 ; si la sécurité globale est activée, la valeur de port SSL par défaut est 9043.

9080

Serveur BAM

7001

SOAP

8880

MySQL

3306

Oracle

1521

DB2

50 000

SQL Server

1433

LDAP

port sur lequel le serveur LDAP fonctionne. Il s’agit généralement du port 389. Toutefois, si vous sélectionnez l’option SSL, le port par défaut est habituellement le port 636. Confirmez auprès de votre administrateur LDAP le port à spécifier.

Configuration de JBoss pour utiliser un port HTTP qui n’est pas un port par défaut

Le serveur d’applications JBoss utilise 8080 en tant que port HTTP par défaut. JBoss possède également des ports 8180, 8280 et 8380 préconfigurés ; ils sont mis en commentaires dans le fichier jboss-service.xml. Si vous possédez sur votre ordinateur une application qui utilise déjà ce port, vous devez modifier celui qui est utilisé par AEM Forms sur JEE comme suit :

  1. Ouvrez le fichier suivant pour le modifier :

    Installation sur un seul serveur : [racine JBoss]/standalone/configuration/standalone.xml

    Installations en grappe : [racine JBoss]/domain/configuration/domain.xml

  2. Remplacez la valeur de l’attribut port dans la balise <socket-binding> par un numéro de port personnalisé. Par exemple, le code suivant utilise le port 8090 :

    <socket-binding name="http" port="8090" />

  3. Enregistrez et fermez le fichier.

  4. Redémarrez le serveur d’applications JBoss.

Considérations sur la sécurité d’AEM Forms on JEE

Cette section décrit certains problèmes de sécurité d’AEM Forms sur JEE que vous devez connaître.

Informations d’identification de courrier électronique non chiffrées dans la base de données

Les informations d’identification stockées par les applications ne sont pas chiffrées avant d’être enregistrées dans la base de données d’AEM Forms sur JEE. Lorsque vous configurez un point de fin de service pour utiliser le courrier électronique, les informations de mot de passe utilisées pour configurer ce point de fin ne sont pas chiffrées lorsqu’elles sont enregistrées dans la base de données.

Contenu sensible pour Rights Management dans la base de données

AEM Forms on JEE utilise la base de données d’AEM Forms on JEE pour stocker des informations clés sur les documents sensibles et d’autres documents cryptographiques utilisés pour les documents de stratégie. Le fait de sécuriser la base de données contre les intrusions contribue à la protection de ces informations sensibles.

Mot de passe sous forme de texte clair

Le serveur d’applications utilisé pour exécuter AEM Forms sur JEE nécessite sa propre configuration pour accéder à votre base de données via une source de données configurée sur le serveur d’applications. Assurez-vous que votre serveur d’applications n’expose pas le mot de passe de votre base de données en texte clair dans son fichier de configuration de source de données.

Le fichier lc_[database].xml ne doit pas contenir de mot de passe au format texte en clair. Consultez le revendeur de votre serveur d’applications pour savoir comment chiffrer ces mots de passe pour votre serveur d’applications.

REMARQUE

Le programme d’installation de la clé en main de Jboss d’AEM Forms sur JEE chiffre le mot de passe de la base de données.

Il est possible que le serveur d’applications IBM WebSphere et qu’Oracle WebLogic Server chiffrent les mots de passe des sources de données par défaut. Vérifiez toutefois avec la documentation de votre serveur d’applications que cela se produit.

Protection de la clé privée stockée dans Trust Store

Les clés privées ou les informations d’identification importées dans Trust Store sont stockées dans la base de données d’AEM Forms sur JEE. Prenez les précautions appropriées pour sécuriser la base de données et restreindre l'accès uniquement aux administrateurs désignés.

Sur cette page