Erfahren Sie mehr über die verschiedenen Sicherheitshärtungseinstellungen, um die Sicherheit von AEM Forms on JEE in einem Unternehmens-Intranet zu verbessern.
In diesem Abschnitt werden empfohlene Vorgehensweisen und Richtlinien für das Sichern von Servern beschrieben, auf denen AEM Forms on JEE ausgeführt wird. Dieses Dokument stellt keine umfassende Anleitung zum Härten (Absichern) des Hosts für das Betriebssystem und die Anwendungsserver dar. Stattdessen werden in diesem Artikel eine Vielzahl von Einstellungen für die Sicherheitshärtung beschrieben, die Sie implementieren sollten, um die Sicherheit von AEM Forms on JEE zu verbessern, die in einem Unternehmens-Intranet ausgeführt wird. Um sicherzustellen, dass die AEM Forms on JEE-Anwendungsserver sicher bleiben, sollten Sie jedoch auch Verfahren für die Sicherheitsüberwachung, Problemerkennung und -behandlung implementieren.
In diesem Artikel werden Härtungsverfahren beschrieben, die in den folgenden Phasen des Installations- und Konfigurationszyklus durchgeführt werden sollten:
AEM Forms on JEE kann in hohem Maß angepasst und in vielen verschiedenen Umgebungen eingesetzt werden. Einige der Empfehlungen entsprechen eventuell nicht den Anforderungen Ihrer Organisation.
Vor der Installation von AEM Forms on JEE können Sie Sicherheitslösungen auf die Netzwerkschicht und das Betriebssystem anwenden. In diesem Abschnitt finden Sie Beschreibungen zu einigen Sicherheitslücken sowie Empfehlungen dazu, wie Sie die Lücken in diesen Bereichen schließen können.
Installation und Konfiguration unter UNIX und Linux
Sie sollten AEM Forms on JEE nicht unter Verwendung einer Root Shell installieren oder konfigurieren. Standardmäßig werden alle Dateien im Ordner „/opt“ installiert. Der Benutzer, der die Installation durchführt, benötigt daher sämtliche Dateiberechtigungen für den Ordner „/opt“. Alternativ kann die Installation auch im Ordner „/user“ eines Einzelbenutzers durchgeführt werden, für das der Benutzer bereits über sämtliche Dateiberechtigungen verfügt.
Installation und Konfiguration unter Windows
Sie müssen die Installation unter Windows als Administrator durchführen, wenn Sie AEM Forms on JEE mit der Turnkey-Methode oder PDF Generator installieren. Wenn Sie PDF Generator unter Windows mit der Unterstützung nativer Anwendungen installieren, müssen Sie die Installation außerdem als der Windows-Benutzer durchführen, der Microsoft Office installiert hat. Weitere Informationen zu Installationsberechtigungen finden Sie im Dokument "Installieren und Bereitstellen von AEM Forms on JEE"für Ihren Anwendungsserver.
Sicherheitslücken der Netzwerkschicht gehören zu den Hauptbedrohungen für Internet- oder Intranet-orientierte Anwendungsserver. In diesem Abschnitt wird der Prozess zum Absichern von Hostrechnern im Netzwerk gegen diese Schwachstellen beschrieben. Zu den behandelten Themen gehören die Netzwerksegmentierung, das Absichern des TCP/IP-Stacks (Transmission Control Protocol/Internet Protocol) und die Verwendung von Firewalls für den Hostschutz.
In der folgenden Tabelle werden gängige Prozesse beschrieben, die Schwachstellen der Netzwerksicherheit reduzieren.
Problem |
Beschreibung |
---|---|
Demilitarisierte Zonen (DMZs) |
Stellen Sie Formularserver innerhalb einer demilitarisierten Zone (DMZ) bereit. Die Segmentierung sollte in mindestens zwei Schichten bestehen, wobei sich der Anwendungsserver, auf dem AEM Forms on JEE ausgeführt wird, hinter der inneren Firewall befindet. Schirmen Sie das externe Netzwerk von der DMZ ab, die die Webserver enthält, und schirmen Sie die DMZ wiederum vom internen Netzwerk ab. Verwenden Sie Firewalls für die Implementierung der Abschirmungsebenen. Kategorisieren und Überwachen Sie den Netzwerkverkehr innerhalb der einzelnen Netzwerkschichten, um sicherzustellen, dass nur das absolute Minimum an erforderlichen Daten zulässig ist. |
Private IP-Adressen |
Verwenden Sie die NAT (Network Address Translation) mit privaten RFC 1918-IP-Adressen auf dem AEM Forms-Anwendungsserver. Weisen Sie private IP-Adressen (10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16) zu, um es einem Angreifer zu erschweren, Traffic über das Internet zu und von einem internen Host des NAT'd zu leiten. |
Firewalls |
Nutzen Sie die folgenden Kriterien für die Auswahl einer Firewall-Lösung:
|
Datenbankanschlüsse |
Verwenden Sie keine standardmäßigen Listening-Anschlüsse für Datenbanken (MySQL - 3306, Oracle - 1521, MS SQL - 1433). Informationen zum Ändern von Datenbankanschlüssen finden Sie in der Datenbankdokumentation. Die Verwendung eines anderen Datenbankports wirkt sich auf die AEM Forms on JEE-Gesamtkonfiguration aus. Wenn Sie die Standardports ändern, müssen Sie auch in anderen Bereichen der Konfiguration entsprechende Änderungen durchführen, z. B. bei den Datenquellen für AEM Forms on JEE. Informationen zum Konfigurieren von Datenquellen in AEM Forms on JEE finden Sie unter Installieren und Aktualisieren von AEM Forms on JEE oder Aktualisieren auf AEM Forms on JEE für Ihren Anwendungsserver unter AEM Forms-Benutzerhandbuch. |
In der folgenden Tabelle werden mögliche Ansätze zum Verringern von Sicherheitslücken im Betriebssystem beschrieben.
Problem |
Beschreibung |
---|---|
Sicherheits-Patches |
Wenn vom Hersteller bereitgestellte Sicherheits-Patches und -Aktualisierungen nicht zeitnah installiert werden, besteht ein erhöhtes Risiko, dass nicht autorisierte Benutzer Zugriff auf den Anwendungsserver erlangen. Testen Sie Sicherheits-Patches, bevor Sie sie auf Produktionsserver anwenden. Erstellen Sie zudem Richtlinien und Prozeduren, damit Patches regelmäßig gesucht und installiert werden. |
Virenschutzsoftware |
Virenscanner können infizierte Dateien erkennen, indem sie nach einer Signatur suchen oder ungewöhnliches Verhalten ermitteln. Virenscanner speichern die Virussignaturen in einer Datei, die in der Regel auf der lokalen Festplatte abgelegt wird. Da häufig neue Viren entdeckt werden, sollten Sie diese Datei häufig aktualisieren, damit der Virenscanner alle aktuellen Viren erkennt. |
NTP (Network Time Protocol) |
Für die forensische Analyse ist erforderlich, dass die Uhrzeit auf den Formularservern exakt ist. Verwenden Sie NTP, um die Uhrzeit auf allen Systemen zu synchronisieren, die direkt mit dem Internet verbunden sind. |
Weitere Sicherheitsinformationen für Ihr Betriebssystem finden Sie unter "Informationen zur Betriebssystemsicherheit".
In diesem Abschnitt werden Verfahren beschrieben, die Sie während des AEM Forms-Installationsprozesses verwenden können, um Sicherheitslücken zu schließen. In einigen Fällen nutzen diese Verfahren Optionen, die Teil des Installationsprozesses sind. Diese Verfahren werden in der folgenden Tabelle beschrieben.
Problem |
Beschreibung |
---|---|
Berechtigungen |
Verwenden Sie die geringste Anzahl von Berechtigungen, die für die Installation der Software erforderlich sind. Melden Sie sich über ein Benutzerkonto, das nicht zur Gruppe „Administratoren“ gehört, bei Ihrem Computer an. Unter Windows können Sie den Befehl „Run As“ verwenden, um das AEM Forms on JEE-Installationsprogramm als Benutzer mit Administratorrechten auszuführen. Auf UNIX- und Linux-Systemen verwenden Sie einen Befehl wie |
Ursprung der Software |
Verwenden Sie zum Herunterladen oder Ausführen von AEM Forms on JEE nur vertrauenswürdige Quellen. Bösartige Programme können Code enthalten, der die Sicherheit auf verschiedene Weise verletzt, etwa durch Diebstahl, Ändern und Löschen von Daten sowie Dienstblockade (Denial of Service = DoS). Installieren Sie AEM Forms on JEE ausschließlich von der Adobe-DVD oder einer vertrauenswürdigen Quelle. |
Festplattenpartitionen |
Platzieren Sie AEM Forms on JEE auf einer dedizierten Festplattenpartition. Die Festplattenaufteilung ist ein Prozess, bei dem bestimmte Daten auf dem Server auf separaten physischen Festplatten verwaltet werden, um die Sicherheit zu erhöhen. Durch eine solche Datenanordnung lässt sich das Risiko von Directory Traversal-Angriffen verringern. Planen Sie die Erstellung einer von der Systempartition getrennten Partition, auf der Sie das AEM Forms on JEE-Inhaltsverzeichnis installieren können. (Unter Windows enthält die Systempartition den Ordner „system32“, das auch als Boot-Partition bezeichnet wird.) |
Komponenten |
Prüfen Sie die vorhandenen Dienste und deaktivieren oder deinstallieren Sie nicht erforderliche Dienste. Installieren Sie keine unnötigen Komponenten und Dienste. Die Standardinstallation eines Anwendungsservers kann Dienste beinhalten, die Sie nicht benötigen. Sie sollten alle unnötigen Dienste vor der Bereitstellung deaktivieren, um die Einstiegspunkte für Angriffe zu minimieren. Unter JBoss können Sie beispielsweise nicht benötigte Dienste in der Deskriptordatei „META-INF/jboss-service.xml“ durch das Einfügen von Kommentarzeichen deaktivieren. |
Domänenübergreifende Richtliniendatei |
Das Vorhandensein einer Datei |
Sicherheitseinstellungen des Betriebssystems |
Wenn Sie die 192-Bit- oder 256-Bit-XML-Verschlüsselung auf Solaris-Plattformen verwenden müssen, stellen Sie sicher, dass Sie die Installation |
Nachdem Sie AEM Forms on JEE erfolgreich installiert haben, sollten Sie die Sicherheitseinrichtungen der Umgebung unbedingt in regelmäßigen Abständen warten.
Im folgenden Abschnitt werden die verschiedenen Aufgaben, die zum Schützen des bereitgestellten Formularservers empfohlen werden, detailliert beschrieben.
Die folgenden empfohlenen Einstellungen gelten für den AEM Forms on JEE-Server außerhalb der Verwaltungs-Webanwendung. Um die Sicherheitsrisiken für den Server zu verringern, wenden Sie diese Einstellungen unmittelbar nach der AEM Forms on JEE an.
Sicherheits-Patches
Wenn vom Hersteller bereitgestellte Sicherheits-Patches und -Aktualisierungen nicht zeitnah installiert werden, besteht ein erhöhtes Risiko, dass nicht autorisierte Benutzer Zugriff auf den Anwendungsserver erlangen. Testen Sie Sicherheits-Patches, bevor Sie sie auf Produktionsserver anwenden, um die Kompatibilität und Verfügbarkeit von -Anwendungen sicherzustellen. Erstellen Sie zudem Richtlinien und Prozeduren, damit Patches regelmäßig gesucht und installiert werden. AEM Forms on JEE-Updates sind auf der Downloadsite für Enterprise-Produkte verfügbar.
Dienstkonten (nur JBoss-Turnkey unter Windows)
AEM Forms on JEE installiert einen Dienst standardmäßig unter Verwendung des LocalSystem-Kontos. Das integrierte Benutzerkonto „Lokales System“ hat hohe Zugriffsrechte; es gehört zur Gruppe „Administratoren“. Wenn eine Worker Process-ID als das Benutzerkonto „Lokales System“ ausgeführt wird, hat dieser Worker Process vollen Zugriff auf das gesamte System.
Um den Anwendungsserver, auf dem AEM Forms on JEE bereitgestellt wird, mit einem bestimmten Konto ohne Administratorrechte auszuführen, führen Sie die folgenden Anweisungen aus:
Erstellen Sie in der Microsoft Management Console (MMC) einen lokalen Benutzer für den Formularserverdienst, der für die Anmeldung verwendet werden soll:
Sie können diesen Wert für PDF Generator nicht ändern.
Wählen Sie Start > Einstellungen > Verwaltung > Dienste aus.
Doppelklicken Sie auf „JBoss für AEM Forms on JEE und beenden Sie den Dienst.
Wählen Sie auf der Registerkarte Anmelden die Option Dieses Konto aus, suchen Sie das Benutzerkonto, das Sie erstellt haben, und geben Sie das Kennwort für das Konto ein.
Öffnen Sie in MMC die Lokale Sicherheitseinstellungen und wählen Sie Lokale Richtlinien > Zuweisen von Benutzerrechten aus.
Weisen Sie dem Benutzerkonto, unter dem der Formularserver ausgeführt wird, die folgenden Rechte zu:
Weisen Sie dem neuen Benutzerkonto die Berechtigungen „Lesen und Ausführen“, „Ordnerinhalt auflisten“ und „Lesen“ für das Element mit AEM Forms on JEE-Webinhaltverzeichnissen zu.
Starten Sie den Anwendungsserver.
Bootstrap-Servlet von Configuration Manager deaktivieren
Configuration Manager verwendete ein auf Ihrem Anwendungsserver bereitgestelltes Servlet, um das Bootstrapping der AEM Forms on JEE-Datenbank durchzuführen. Da Configuration Manager vor Abschluss der Konfiguration auf dieses Servlet zugreift, wurde der Zugriff darauf für autorisierte Benutzer noch nicht gesichert, weshalb das Servlet deaktiviert werden sollte, nachdem Sie Configuration Manager erfolgreich für die Konfiguration von AEM Forms on JEE verwendet haben.
Dekomprimieren Sie die adobe-livecycle-[appserver].ear-Datei.
Öffnen Sie die Datei „META-INF/application.xml“.
Suchen Sie den Abschnitt „adobe-bootstrapper.war“:
<!-- bootstrapper start -->
<module id="WebApp_adobe_bootstrapper">
<web>
<web-uri>adobe-bootstrapper.war</web-uri>
<context-root>/adobe-bootstrapper</context-root>
</web>
</module>
<module id="WebApp_adobe_lcm_bootstrapper_redirector">
<web>
<web-uri>adobe-lcm-bootstrapper-redirector.war</web-uri>
<context-root>/adobe-lcm-bootstrapper</context-root>
</web>
</module>
<!-- bootstrapper end-->
Beenden Sie den AEM-Server.
Deaktivieren Sie die Module „adobe-bootstrapper.war“ und „adobe-lcm-bootstrapper-redirector.war“ wie folgt durch Kommentarzeichen:
<!-- bootstrapper start -->
<!--
<module id="WebApp_adobe_bootstrapper">
<web>
<web-uri>adobe-bootstrapper.war</web-uri>
<context-root>/adobe-bootstrapper</context-root>
</web>
</module>
<module id="WebApp_adobe_lcm_bootstrapper_redirector">
<web>
<web-uri>adobe-lcm-bootstrapper-redirector.war</web-uri>
<context-root>/adobe-lcm-bootstrapper</context-root>
</web>
</module>
-->
<!-- bootstrapper end-->
Speichern und schließen Sie die Datei „META-INF/application.xml“.
Komprimieren Sie die EAR-Datei und stellen Sie sie erneut auf dem Anwendungsserver bereit.
Starten Sie den AEM Forms-Server.
Geben Sie die folgende URL in einen Browser ein, um die Änderung zu testen und sicherzustellen, dass sie nicht mehr funktioniert.
https://<localhost>:<port>/adobe-bootstrapper/bootstrap
Remote-Zugriff auf den Trust Store sperren
Configuration Manager ermöglicht Ihnen, eine Berechtigung für Acrobat Reader DC Extensions in den Trust Store von AEM Forms on JEE hochzuladen. Das bedeutet, dass der Zugriff auf den Trust Store-Berechtigungsdienst über Remote-Protokolle (SOAP und EJB) standardmäßig aktiviert wurde. Dieser Zugriff ist nicht mehr erforderlich, nachdem Sie die Berechtigung für Rechte mit Configuration Manager hochgeladen haben oder wenn Sie sich entscheiden, die Administration Console später zur Verwaltung von Berechtigungen zu verwenden.
Sie können den Remote-Zugriff auf sämtliche Trust Store-Dienste deaktivieren, indem Sie die im Abschnitt Deaktivieren von nicht erforderlichem Remote-Zugriff auf Dienste beschriebenen Schritte durchführen.
Den gesamten, nicht erforderlichen anonymen Zugriff deaktivieren
Bei einigen Formularserverdiensten gibt es Vorgänge, die von einem anonymen Aufrufer aufgerufen werden können. Ist der anonyme Zugriff auf diese Dienste nicht erforderlich, deaktivieren Sie ihn gemäß den Schritten in Deaktivieren von nicht erforderlichem anonymem Zugriff auf Dienste.
Beim Installieren von AEM Forms on JEE wird ein Standardbenutzerkonto für den Benutzer „Superadministrator“ mit der Anmelde-ID „Administrator“ und dem Standardkennwort password erstellt. Sie sollten dieses Kennwort umgehend mithilfe von Configuration Manager ändern.
Geben Sie in einem Webbrowser die folgende URL ein:
https://[host name]:[port]/adminui
Der Standardanschluss lautet wie folgt:
JBoss: 8080
WebLogic Server: 7001
WebSphere: 9080.
Geben Sie in das Feld Benutzername den Wert administrator
und in das Feld Kennwort den Wert password
ein.
Klicken Sie auf Einstellungen > User Management > Benutzer und Gruppen.
Geben Sie den Begriff administrator
in das Feld Suchen ein und klicken Sie auf Suchen.
Klicken Sie in der Liste der Benutzer auf Super Administrator.
Klicken Sie auf der Seite „Benutzer bearbeiten“ auf Kennwort ändern.
Geben Sie das neue Kennwort an und klicken Sie auf Speichern.
Außerdem wird empfohlen, das Standardkennwort für den CRX-Administrator zu ändern, indem Sie folgende Schritte durchführen:
https://[server]:[port]/lc/libs/granite/security/content/useradmin.html
unter Verwendung des Standardbenutzernamens/-kennworts.Die WSDL-Generierung (Web Service Definition Language) sollte nur in Entwicklungsumgebungen aktiviert sein, in denen Entwickler mithilfe der WSDL-Generierung Clientanwendungen erstellen. In einer Produktionsumgebung können Sie die WSDL-Generierung deaktivieren, um zu verhindern, dass interne Details eines Dienstes preisgegeben werden.
Geben Sie in einem Webbrowser die folgende URL ein:
https://[host name]:[port]/adminui
Klicken Sie auf Einstellungen > Core-Systemeinstellungen > Konfigurationen.
Auswahl aufheben WSDL aktivieren und klicken Sie auf OK.
In der folgenden Tabelle werden einige Verfahren zum Schützen des Anwendungsservers nach der Installation der AEM Forms on JEE-Anwendung beschrieben.
Problem |
Beschreibung |
---|---|
Verwaltungskonsole des Anwendungsservers |
Nach der Installation, Konfiguration und Bereitstellung von AEM Forms on JEE auf dem Anwendungsserver müssen Sie den Zugriff auf die Verwaltungskonsolen des Anwendungsservers deaktivieren. Detaillierte Informationen hierzu finden Sie in der Dokumentation zu Ihrem jeweiligen Anwendungsserver. |
Cookie-Einstellungen des Anwendungsservers |
Anwendungs-Cookies werden vom Anwendungsserver gesteuert. Beim Bereitstellen der Anwendung kann der Administrator des Anwendungsservers Cookie-Voreinstellungen serverweit oder anwendungsspezifisch festlegen. Standardmäßig haben die Servereinstellungen Vorrang. Alle vom Anwendungsserver erstellten Sitzungs-Cookies müssen das Sie können festlegen, dass Cookies ausschließlich unter Verwendung von HTTPS gesendet werden. Dadurch wird verhindert, dass Cookies unverschlüsselt über HTTP gesendet werden. Anwendungsserveradministratoren sollten sichere Cookies für den Server global aktivieren. Bei Verwendung des JBoss-Anwendungsservers können Sie beispielsweise das Element „connector“ in der Datei Ausführlichere Informationen zu Cookie-Einstellungen finden Sie in der Dokumentation zum Anwendungsserver. |
Directory Browsing |
Wenn eine Person eine nicht vorhandene Seite oder den Namen eines Ordners anfordert (die Anforderungszeichenfolge endet in diesem Fall mit einem Schrägstrich (/)), sollte der Anwendungsserver den Inhalt dieses Ordners nicht zurückgeben. Damit dies nicht geschieht, können Sie das Directory Browsing auf Ihrem Anwendungsserver deaktivieren. Sie sollten dies für die Administration Console-Anwendung und andere auf dem Server laufende Anwendungen tun. Für JBoss stellen Sie in der Datei „web.xml“ den Wert des Auflistungsinitialisierungsparameters der Eigenschaft <servlet> <servlet-name>default</servlet-name> <servlet-class> org.apache.catalina.servlets.DefaultServlet </servlet-class> <init-param> <param-name>listings</param-name> <param-value>false</param-value> </init-param> <load-on-startup>1</load-on-startup> </servlet> Für WebSphere stellen Sie in der Datei „ibm-web-ext.xml“ die Eigenschaft Für WebLogic stellen Sie in der Datei „weblogic.xml“ die Eigenschaften zu „index-directories“ auf <container-descriptor> <index-directory-enabled>false </index-directory-enabled> </container-descriptor> |
Beim Schützen der Datenbank sollten Sie die vom Datenbankhersteller beschriebenen Sicherheitsmaßnahmen implementieren. Sie sollten einem Datenbankbenutzer die minimal für die Verwendung von AEM Forms on JEE erforderlichen Datenbankberechtigungen zuweisen. Verwenden Sie z. B. kein Konto mit Datenbankadministrator-Berechtigungen.
Unter Oracle benötigt das verwendete Datenbankkonto nur die Berechtigungen CONNECT, RESOURCE und CREATE VIEW. Informationen zu ähnlichen Anforderungen für andere Datenbanken erhalten Sie unter Vorbereiten der Installation von AEM Forms on JEE (Einzelserver).
Ändern [JBOSS_HOME]\standalone\configuration\lc_{datasource.xml} zum Hinzufügen integratedSecurity=true
zur Verbindungs-URL hinzu, wie in diesem Beispiel gezeigt:
jdbc:sqlserver://<serverhost>:<port>;databaseName=<dbname>;integratedSecurity=true
Fügen Sie die Datei „sqljdbc_auth.dll“ zum Windows-Systempfad (C:\Windows) auf dem Computer hinzu, auf dem der Anwendungsserver ausgeführt wird. Die Datei „sqljdbc_auth.dll“ wird zusammen mit dem Microsoft SQL JDBC 6.2.1.0-Treiber installiert.
Ändern Sie die Eigenschaft des JBoss Windows-Dienstes (JBoss for AEM Forms on JEE) für „Anmelden als“ von „Lokales System“ in ein Anmeldekonto mit einer AEM Forms-Datenbank und einem Mindestsatz von Berechtigungen. Wenn Sie JBoss von der Befehlszeile und nicht als Windows-Dienst ausführen, ist dieser Schritt nicht erforderlich.
Ändern Sie die Sicherheitseinstellung von SQL Server von Gemischt in Nur Windows-Authentifizierung.
Starten Sie WebLogic Server Administration Console, indem Sie die folgende URL in die Adresszeile eines Webbrowsers eingeben:
https://[host name]:7001/console
Klicken Sie unter „Change Center“ auf Lock & Edit.
Klicken Sie unter "Domain Structure"auf [base_domain] > Dienste > JDBC > Data Sources und klicken Sie im rechten Bereich auf IDP_DS.
Klicken Sie im nächsten Bildschirm auf die Registerkarte Configuration und dann auf die Registerkarte Connection Pool. Geben Sie in das Feld Properties den Eintrag integratedSecurity=true
ein.
Klicken Sie unter "Domain Structure"auf [base_domain] > Dienste > JDBC > Data Sources und klicken Sie im rechten Bereich auf RM_DS.
Klicken Sie im nächsten Bildschirm auf die Registerkarte Configuration und dann auf die Registerkarte Connection Pool. Geben Sie in das Feld Properties den Eintrag integratedSecurity=true
ein.
Fügen Sie die Datei „sqljdbc_auth.dll“ zum Windows-Systempfad (C:\Windows) auf dem Computer hinzu, auf dem der Anwendungsserver ausgeführt wird. Die Datei „sqljdbc_auth.dll“ wird zusammen mit dem Microsoft SQL JDBC 6.2.1.0-Treiber installiert.
Ändern Sie die Sicherheitseinstellung von SQL Server von Gemischt in Nur Windows-Authentifizierung.
Unter WebSphere können Sie die integrierte Sicherheit nur konfigurieren, wenn Sie einen externen JDBC-Treiber für SQL Server und nicht den in WebSphere eingebetteten JDBC-Treiber für SQL Server verwenden.
integratedSecurity
und im Wert Feld, Typ true
.integratedSecurity
und im Wert Feld, Typ true
.Das AEM Forms-Datenbankschema enthält sensible Informationen über die Systemkonfiguration und Geschäftsprozesse und sollte hinter der Firewall geschützt sein. Für die Datenbank sollte dieselbe Sicherheitsstufe wie für den Formularserver gelten. Um die Offenlegung von Informationen und den Diebstahl von Geschäftsdaten zu verhindern, muss die Datenbank vom DBA (Datenbankadministrator) so konfiguriert werden, dass nur autorisierte Administratoren Zugriff haben.
Als zusätzliche Sicherheitsmaßnahme sollten Sie überlegen, spezifische Werkzeuge des Datenbankherstellers für die Verschlüsselung von Spalten in Tabellen zu verwenden, die folgende Daten enthalten:
Informationen zu herstellerspezifischen Tools finden Sie unter "Informationen zur Datenbanksicherheit".
AEM Forms on JEE nutzt meist einen LDAP-Ordner (Lightweight Directory Access Protocol) als Quelle für Informationen über Unternehmensbenutzer und Gruppen sowie zur Durchführung der Kennwortauthentifizierung. Sie sollten sicherstellen, dass Ihr LDAP-Ordner für die Verwendung von Secure Socket Layer (SSL) konfiguriert ist und AEM Forms on JEE für den Zugriff auf den LDAP-Ordner über dessen SSL-Anschluss konfiguriert ist.
Angriffe mittels LDAP bestehen häufig darin, dass ein Angreifer die Authentifizierung bewusst mehrmals fehlschlagen lässt. Dies zwingt den LDAP-Ordnerserver dazu, einen Benutzer für alle auf LDAP basierenden Dienste zu sperren.
Sie können die Anzahl fehlgeschlagener Versuche sowie die nachfolgende Sperrdauer festlegen, die AEM Forms implementiert, wenn die AEM Forms-Authentifizierung eines Benutzers wiederholt fehlschlägt. Wählen Sie in Administration Console niedrige Werte aus. Bei der Auswahl der Anzahl von Fehlversuchen ist wichtig, dass Sie sich bewusst sind, dass der Benutzer nach Durchführung aller Versuche von AEM Forms gesperrt wird, bevor dies durch den LDAP-Ordnerserver erfolgt.
Der richtige und sichere Einsatz der Anwendungsprüfung und -protokollierung kann dazu beitragen, dass sicherheitsrelevante und andere, unnormale Ereignisse schnellstmöglich verfolgt und erkannt werden. Die effektive Verwendung der Prüfung und Protokollierung innerhalb einer Anwendung beinhaltet Aspekte wie das Verfolgen erfolgreicher und fehlgeschlagener Anmeldungen sowie Schlüsselereignisse der Anwendung wie das Erstellen oder Löschen von Schlüsseldatensätzen.
Mithilfe der Prüfung lassen sich viele Arten von Angriffen feststellen wie z. B.:
In der folgenden Tabelle werden Prüfungs- und Protokollierungsverfahren beschrieben, mit denen Sie die Anfälligkeit des Servers verringern können.
Problem |
Beschreibung |
---|---|
Zugriffssteuerungslisten für Protokolldateien |
Legen Sie geeignete Zugriffssteuerungslisten für AEM Forms on JEE-Protokolldateien fest. Das Festlegen entsprechender Berechtigungen verhindert, dass Angreifer die Dateien löschen. Als Sicherheitsberechtigung für das Protokolldateiordner sollte „Alle Berechtigungen“ für Administratoren und SYSTEM-Gruppen festgelegt werden. Das AEM Forms-Benutzerkonto sollte nur lese- und schreibberechtigt sein. |
Redundanz der Protokolldateien |
Falls es die Ressourcen erlauben, senden Sie Protokolle mit Syslog, Tivoli, Microsoft Operations Manager (MOM) Server oder einem anderen Mechanismus in Echtzeit an einen anderen Server, auf den Angreifer nicht zugreifen können (schreibgeschützt). Wenn Sie Protokolle auf diese Weise schützen, erschweren Sie damit mögliche Manipulationen. Das Speichern von Protokollen in einem zentralen Repository erleichtert zudem die Korrelation und Überwachung (wenn beispielsweise mehrere Formularserver verwendet werden und ein Password Guessing-Angriff auf mehrere Computer erfolgt, bei dem von jedem Computer ein Kennwort abgefragt wird). |
Nachdem Sie AEM Forms on JEE erfolgreich installiert haben, müssen Sie die Sicherheitseinrichtungen der Umgebung unbedingt in regelmäßigen Abständen warten. In diesem Abschnitt werden die empfohlenen Aufgaben für die Sicherheitswartung des LiveCycle AEM Forms on JEE-Produktionsservers beschrieben.
Sie können einen Reverse-Proxy verwenden, um sicherzustellen, dass eine Gruppe von URLs für AEM Forms on JEE-Webanwendungen sowohl für externe als auch interne Benutzer verfügbar ist. Diese Konfiguration bietet mehr Sicherheit als die Erlaubnis für Benutzer, eine direkte Verbindung zu dem Anwendungsserver herzustellen, auf dem AEM Forms on JEE ausgeführt wird. Der Reverse-Proxy führt alle HTTP-Anfragen für den Anwendungsserver durch, auf dem AEM Forms on JEE läuft. Benutzer haben nur Netzwerkzugriff auf den Reverse-Proxy und können nur URL-Verbindungen aufbauen, die der Reverse-Proxy unterstützt.
Stammordner-URLs von AEM Forms on JEE für die Verwendung mit Reverse-Proxy-Server
Die folgende Tabelle enthält Anwendungsstammordner-URLs für jede AEM Forms on JEE-Webanwendung. Sie sollten den Reverse-Proxy so konfigurieren, dass er nur URLs für Webanwendungsfunktionalität offenlegt, die Endbenutzern zur Verfügung gestellt werden soll.
Einige URLs sind als Endbenutzer-orientierte Webanwendungen gekennzeichnet. Sie sollten vermeiden, andere URLs für Configuration Manager für den externen Benutzerzugriff über den Reverse-Proxy offenzulegen.
Stammordner-URL |
Zweck und/oder zugeordnete Webanwendung |
Webbasierte Oberfläche |
Endbenutzerzugriff |
---|---|---|---|
/ReaderExtensions/* |
Acrobat Reader DC Extensions-Webanwendung für Endbenutzer zum Anwenden von Verwendungsrechten auf PDF-Dokumente |
Ja |
Ja |
/edc/* |
Rights Management-Webanwendung für Endbenutzer |
Ja |
Ja |
/edcws/* |
Webdienst-URL für Rights Management |
Nein |
Ja |
/pdfgui/* |
PDF Generator-Webanwendung für Administratoren |
Ja |
Ja |
/Arbeitsbereich/* |
Workspace-Webanwendung für Endbenutzer |
Ja |
Ja |
/workspace-server/* |
Workspace-Servlets und -Datendienste, die die Workspace-Client-Anwendung benötigt |
Ja |
Ja |
/adobe-bootstrapper/* |
Servlet für das Bootstrapping des AEM Forms on JEE-Repository |
Nein |
Nein |
/soap/* |
Informationsseite für Formularserver-Webdienste |
Nein |
Nein |
/soap/services/* |
Webdienst-URL für alle Formularserverdienste |
Nein |
Nein |
/edc/admin/* |
Rights Management-Webanwendung für Administratoren |
Ja |
Nein |
/adminui/* |
Homepage der Administrationskonsole |
Ja |
Nein |
/TruststoreComponent/ secured/* |
Verwaltungsseiten für die Trust Store-Verwaltung |
Ja |
Nein |
/FormsIVS/* |
Forms IVS-Anwendung zum Testen und Debuggen der Formularwiedergabe |
Ja |
Nein |
/OutputIVS/* |
Output IVS, Anwendung zum Testen und Debuggen des Output-Diensts |
Ja |
Nein |
/rmws/* |
REST-URL für Rights Management |
Nein |
Ja |
/OutputAdmin/* |
Output-Verwaltungsseite |
Ja |
Nein |
/FormServer/* |
Dateien für die Forms-Webanwendung |
Ja |
Nein |
/FormServer/GetImage Servlet |
Dient zum Abrufen von JavaScript während der HTML-Transformation |
Nein |
Nein |
/FormServerAdmin/* |
Forms-Verwaltungsseiten |
Ja |
Nein |
/repository/* |
URL für den WebDAV-Zugriff (Debugging) |
Ja |
Nein |
/AACComponent/* |
Benutzeroberfläche von „Anwendungen und Dienste“ |
Ja |
Nein |
/WorkspaceAdmin/* |
Workspace-Verwaltungsseiten |
Ja |
Nein |
/rest/* |
Rest-Supportseiten |
Ja |
Nein |
/CoreSystemConfig/* |
Seite mit AEM Forms on JEE-Core-Konfigurationseinstellungen |
Ja |
Nein |
/um/ |
User Management-Authentifizierung |
Nein |
Ja |
/um/* |
User Management-Verwaltungsoberfläche |
Ja |
Nein |
/DoumentManager/* |
Hoch- und Herunterladen von zu verarbeitenden Dokumenten beim Zugriff auf Remoting-Endpunkte, SOAP WSDL-Endpunkte und das Java-SDK mittels SOAP-Transport oder EJB-Transport bei aktivierten HTTP-Dokumenten. |
Ja |
Ja |
Ein Cross-Site Request Forgery-Angriff (CSRF) nutzt das Vertrauen einer Website für den Benutzer, um Befehle zu übertragen, die vom Benutzer nicht autorisiert und unbeabsichtigt sind. Der Angriff wird eingerichtet, indem ein Link, ein Skript oder eine URL in eine E-Mail-Nachricht eingefügt werden, um auf eine andere Website zuzugreifen, für die der Benutzer bereits authentifiziert wurde.
Beispielsweise können Sie bei Administration Console angemeldet sein, während Sie gleichzeitig eine andere Website durchsuchen. Eine der Webseiten kann ein HTML-Bild-Tag mit einem src
-Attribut enthalten, dessen Ziel ein serverseitiges Skript auf einer Opfer-Website ist. Webbrowser verwenden einen auf Cookies basierenden Mechanismus zur Sitzungsauthentifizierung. Dies wird von der angreifenden Website ausgenutzt. Sie sendet bösartige Anforderungen an das serverseitige Opferskipt und gibt vor, der rechtmäßige Benutzer zu sein.
Die folgenden Merkmale sind für CSRF-Angriffe charakteristisch:
AEM Forms on JEE verwendet die Funktion "Referrer-Filter", um CSRF-Angriffe zu verhindern. In diesem Abschnitt werden die folgenden Begriffe zum Beschreiben des Referrer-Filtermechanismus verwendet:
Der Referrer-Filterprozess kann wie folgt beschrieben werden:
Der Formularserver prüft die für den Aufruf verwendete HTTP-Methode:
Der Formularserver prüft, ob der angeforderte URI auf die Zulassungsliste gesetzt ist:
Wenn die Anforderung einen Referrer enthält, prüft der Server, ob es sich um einen zulässigen Referrer handelt. Wenn dies zulässig ist, sucht der Server nach einer Referrer-Ausnahme:
Wenn in der Anfrage kein Referrer enthalten ist, prüft der Server, ob ein Null-Referrer zulässig ist:
AEM Forms on JEE bietet einen Referrer-Filter, um Referrer anzugeben, denen der Zugriff auf Serverressourcen erlaubt ist. Standardmäßig filtert der Filter "Referrer"keine Anforderungen, die eine sichere HTTP-Methode verwenden, z. B. GET, es sei denn, CSRF_CHECK_GETS auf "true"gesetzt ist. Wenn die Anschlussnummer für einen Eintrag des zulässigen Referrers auf 0 festgelegt ist, lässt AEM Forms on JEE alle Anfragen mit dem Referrer von diesem Host unabhängig von der Anschlussnummer zu. Wenn keine Anschlussnummer angegeben wird, werden nur Anforderungen vom Standardanschluss 80 (HTTP) oder von Anschluss 443(HTTPS) zugelassen. Referrer-Filterung ist deaktiviert, wenn alle Einträge in der Liste "Zulässige Referrer"gelöscht werden.
Bei der ersten Installation von Document Services wird die Liste der zulässigen Referrer mit der Adresse des Servers aktualisiert, auf dem Document Services installiert ist. Die Einträge für den Server enthalten den vollständig Servernamen, die IPv4-Adresse, die IPv6-Adresse, wenn IPv6 aktiviert ist, die Loopback-Adresse und einen „localhost“-Eintrag. Die Namen, die der Liste "Zulässige Referrer"hinzugefügt wurden, werden vom Host-Betriebssystem zurückgegeben. Beispielsweise enthält ein Server mit einer IP-Adresse von 10.40.54.187 die folgenden Einträge: https://server-name:0, https://10.40.54.187:0, https://127.0.0.1:0, http://localhost:0
. Für alle nicht qualifizierten Namen, die vom Host-Betriebssystem zurückgegeben werden (Namen, die keine IPv4-Adresse, IPv6-Adresse oder qualifizierten Domänennamen haben), wird die Zulassungsliste "URL"nicht aktualisiert. Ändern Sie die Liste der zulässigen Referrer entsprechend Ihrer Geschäftsumgebung. Stellen Sie den Formularserver nicht in der Produktionsumgebung mit der standardmäßigen Liste für zulässige Referrer bereit. Nachdem Sie einen der zulässigen Referrer, Referrer-Ausnahmen oder URIs geändert haben, müssen Sie den Server neu starten, damit die Änderungen wirksam werden.
Liste "Zulässige verweisende Stelle"verwalten
Sie können die Liste "Zulässige Referrer"über die User Management-Oberfläche von Administration Console verwalten. Die User Management-Oberfläche stellt Funktionen zum Erstellen, Bearbeiten oder Löschen der Liste bereit. Siehe * CSRF-Angriffe verhindern* Abschnitt des Administration-Hilfe Weitere Informationen zum Arbeiten mit der Liste "Zulässige verweisende Stelle".
Listen "Zulässige Referrer - Ausnahmen"und "Zulässige URIs"verwalten
AEM Forms on JEE stellt APIs zum Verwalten der Liste "Zulässige Referrer - Ausnahmen"und der Liste "Zulässige URIs"bereit. Mithilfe dieser APIs können Sie die Listen abrufen, erstellen, bearbeiten oder löschen. Im Folgenden Finden Sie eine Liste mit verfügbaren APIs:
Weitere Informationen zu den APIs finden Sie in der * AEM Forms on JEE API-Referenz* .
Verwenden Sie die LC_GLOBAL_ALLOWED_REFERER_EXCEPTION Liste zulässiger Referrer - Ausnahmen auf globaler Ebene, d. h. zur Definition von Ausnahmen, die für alle Anwendungen gelten. Diese Liste enthält nur URIs mit einem absoluten Pfad (z. B. /index.html
) oder einen relativen Pfad (z. B. /sample/
). Sie können auch einen regulären Ausdruck an das Ende eines relativen URI anhängen. Beispiel: /sample/(.)*
.
Die Listen-ID LC_GLOBAL_ALLOWED_REFERER_EXCEPTIONS wird als Konstante in der Klasse UMConstants
des Namespace com.adobe.idp.um.api
definiert, der in adobe-usermanager-client.jar
zu finden ist. Sie können die AEM Forms-APIs zum Erstellen, Ändern oder Bearbeiten dieser Liste verwenden. Verwenden Sie beispielsweise zum Erstellen der Liste "Globale zulässige Referrer - Ausnahmen"Folgendes:
addAllowedRefererExceptions(UMConstants.LC_GLOBAL_ALLOWED_REFERER_EXCEPTION, Arrays.asList("/index.html", "/sample/(.)*"))
Verwenden Sie die Liste CSRF_ALLOWED_REFERER_EXCEPTIONS für anwendungsspezifische Ausnahmen.
Deaktivieren des Referrer-Filters
Falls der Referrer-Filter den Zugriff auf den Formularserver vollständig blockiert und Sie die Liste "Zulässige Referrer"nicht bearbeiten können, können Sie das Startskript des Servers aktualisieren und die Referrer-Filterung deaktivieren.
Fügen Sie die -Dlc.um.csrffilter.disabled=true
JAVA-Argument im Startskript und starten Sie den Server neu. Stellen Sie sicher, dass Sie das JAVA-Argument löschen, nachdem Sie die Liste "Zulässige Referrer"entsprechend neu konfiguriert haben.
Referrer-Filter für benutzerdefinierte WAR-Dateien
Möglicherweise haben Sie benutzerdefinierte WAR-Dateien für die Verwendung mit AEM Forms on JEE speziell für Ihre Geschäftsanforderungen erstellt. Um den Referrer-Filter für Ihre benutzerdefinierten WAR-Dateien zu aktivieren, schließen Sie adobe-usermanager-client.jar in den Klassenpfad für die WAR und fügen Sie einen Filtereintrag in die Datei "web.xml*"mit den folgenden Parametern ein:
CSRF_CHECK_GETS steuert die Prüfung der verweisenden Stelle bei GET-Anforderungen. Wenn dieser Parameter nicht definiert wird, wird für den Standardwert „false“ festgelegt. Fügen Sie diesen Parameter nur ein, wenn Sie Ihre GET-Anforderungen filtern möchten.
CSRF_ALLOWED_REFERER_EXCEPTIONS ist die ID der Liste "Zulässige Referrer - Ausnahmen". Der Referrer-Filter verhindert, dass Anforderungen, die von Referrern in der durch die Listen-ID identifizierten Liste stammen, Ressourcen auf dem Formularserver aufrufen.
CSRF_ALLOWED_URIS_LIST_NAME ist die ID der Liste „Zulässige URIs“. Der Referrer-Filter blockiert keine Anforderungen für eine der Ressourcen in der Liste, die durch die Listen-ID identifiziert werden, unabhängig vom Wert des Referrer-Headers in der Anfrage.
CSRF_ALLOW_NULL_REFERER steuert das Verhalten des Referrer-Filters, wenn der Referrer null oder nicht vorhanden ist. Wenn dieser Parameter nicht definiert wird, wird für den Standardwert „false“ festgelegt. Schließen Sie diesen Parameter nur ein, wenn Sie Null-Referrer zulassen möchten. Das Zulassen von Null-Referrern kann einige Arten von Cross Site Request Forgery-Angriffen zulassen.
CSRF_NULL_REFERER_EXCEPTIONS ist eine Liste der URIs, für die keine Referrer-Prüfung durchgeführt wird, wenn der Referrer null ist. Dieser Parameter wird nur aktiviert, wenn für CSRF_ALLOW_NULL_REFERER „false“ festgelegt wird. Trennen Sie mehrere URIs in der Liste mit einem Komma.
Im Folgenden finden Sie ein Beispiel für den Filtereintrag in der Datei web.xml für die WAR-Datei SAMPLE:
<filter>
<filter-name> filter-name </filter-name>
<filter-class> com.adobe.idp.um.auth.filter.RemoteCSRFFilter </filter-class>
<!-- default is false -->
<init-param>
<param-name> CSRF_ALLOW_NULL_REFERER </param-name>
<param-value> false </param-value>
</init-param>
<!-- default is false -->
<init-param>
<param-name> CSRF_CHECK_GETS </param-name>
<param-value> true </param-value>
</init-param>
<!-- Optional -->
<init-param>
<param-name> CSRF_NULL_REFERER_EXCEPTIONS </param-name>
<param-value> /SAMPLE/login, /SAMPLE/logout </param-value>
</init-param>
<!-- Optional -->
<init-param>
<param-name> CSRF_ALLOWED_REFERER_EXCEPTIONS </param-name>
<param-value> SAMPLE_ALLOWED_REF_EXP_ID </param-value>
</init-param>
<!-- Optional -->
<init-param>
<param-name> CSRF_ALLOWED_URIS_LIST_NAME </param-name>
<param-value> SAMPLE_ALLOWED_URI_LIST_ID </param-value>
</init-param>
</filter>
........
<filter-mapping>
<filter-name> filter-name </filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
Fehlerbehebung
Wenn rechtmäßige Serveranforderungen vom CSRF-Filter blockiert werden, haben Sie folgende Möglichkeiten:
In diesem Abschnitt finden Sie Beschreibungen der für AEM Forms on JEE erforderlichen Protokolle und Anschlüsse sowie Empfehlungen für die Bereitstellung von AEM Forms on JEE in einer sicheren Netzwerkkonfiguration.
Wenn Sie, wie im vorherigen Abschnitt beschrieben, eine sichere Netzwerkarchitektur konfigurieren, sind die folgenden Netzwerkprotokolle für die Interaktion zwischen AEM Forms on JEE und anderen Systemen in Ihrem Unternehmensnetzwerk erforderlich.
Protokoll |
Verwenden Sie |
---|---|
HTTP |
|
SOAP |
|
RMI |
AEM Forms on JEE SDK-Aufrufe bei der Verwendung im Enterprise JavaBeans-Modus (EJB) |
IMAP/POP3 |
|
UNC-Dateieingabe/ausgabe |
AEM Forms on JEE-Überwachung von überwachten Ordnern auf Eingabe in einen Dienst (Überwachter Ordner-Endpunkt) |
LDAP |
|
JDBC |
|
WebDAV |
Ermöglicht das Remote-Durchsuchen der Entwurfsversion des AEM Forms on JEE-Repositorys (Formulare, Fragmente usw.) durch einen beliebigen WebDAV-Client |
AMF |
Adobe Flash-Anwendungen, in denen AEM Forms on JEE-Serverdienste mit einem Remoting-Endpunkt konfiguriert sind |
JMX |
AEM Forms on JEE legt MBeans für die Überwachung mit JMX offen |
In diesem Abschnitt werden die Standardanschlüsse (und alternativen Konfigurationsbereiche) für jeden unterstützten Anwendungsservertyp beschrieben. Abhängig davon, welche Netzwerkfunktionalität Sie für Clients bereitstellen möchten, die eine Verbindung zu dem Anwendungsserver herstellen, auf dem AEM Forms on JEE ausgeführt wird, müssen diese Anschlüsse in der inneren Firewall aktiviert bzw. deaktiviert werden.
Standardmäßig legt der Server mehrere JMX MBeans unter dem Namespace adobe.com offen. Dabei werden nur für die Überwachung des Serverzustands nützliche Informationen offengelegt. Um die Offenlegung von Informationen zu verhindern, sollten Sie jedoch Aufrufe von einem nicht vertrauenswürdigen Netzwerk davon abhalten, JMX MBeans zu suchen und auf Serverzustandsmetriken zuzugreifen.
JBoss-Anschlüsse
Zweck |
Port |
---|---|
Zugriff auf Webanwendungen |
[JBOSS_Root]/standalone/configuration/lc_[database].xml HTTP/1.1 Connector-Anschluss 8080 AJP 1.3 Connector-Anschluss 8009 SSL/TLS Connector-Anschluss 8443 |
CORBA-Unterstützung |
[JBoss-Stammordner]/server/all/conf/jacorb.properties OAPort 3528 OASSLPort 3529 |
WebLogic-Anschlüsse
Zweck |
Port |
---|---|
Zugriff auf Webanwendungen |
|
WebLogic-Administrationsports sind nicht für den Zugriff auf AEM Forms on JEE erforderlich |
|
WebSphere -Anschlüsse
Informationen zu WebSphere-Anschlüssen, die für AEM Forms on JEE erforderlich sind, finden Sie unter Port number settings in WebSphere Application Server UI.
Bezug auf die physische Architektur, die im Abschnitt beschrieben wird Physische Architektur von AEM Forms on JEEsollten Sie SSL für alle Verbindungen konfigurieren, die Sie verwenden möchten. Besonders alle SOAP-Verbindungen müssen über SSL erfolgen, um die Offenlegung von Benutzerberechtigungen im Netzwerk zu verhindern.
Anleitungen für die Konfiguration von SSL unter JBoss, WebLogic und WebSphere finden Sie unter „Konfigurieren von SSL“ in der Administration-Hilfe.
Nachdem Sie den Anwendungsserver auf die Unterstützung von SSL konfiguriert haben, müssen Sie sicherstellen, dass der gesamte HTTP-Verkehr zu -Anwendungen und -Diensten gezwungen wird, den SSL-Anschluss zu verwenden.
Informationen zum Konfigurieren der SSL-Umleitung für WebSphere oder WebLogic finden Sie in der Dokumentation zu Ihrem jeweiligen Anwendungsserver.
Öffnen Sie die Eingabeaufforderung, navigieren Sie zum Ordner /JBOSS_HOME/standalone/configuration und führen Sie den folgenden Befehl aus:
keytool -genkey -alias jboss7 -keyalg RSA -keystore server.keystore -validity 10950
Öffnen Sie die Datei JBOSS_HOME/standalone/configuration/standalone.xml zur Bearbeitung.
Nach dem <subsystem xmlns="urn<span id=" translate="no" />domain:web:1.1" native="false" default-virtual-server="default-host"> element, fügen Sie die folgenden Details hinzu::jboss:
<connector name="https" protocol="HTTP/1.1" scheme="https" socket-binding="https" enabled="true" secure="true"/>
Fügen Sie den folgenden Code im Connector-Element https hinzu:
<connector name="https" protocol="HTTP/1.1" scheme="https" socket-binding="https" secure="true" enabled="true">
<ssl name="jboss7_ssl" key-alias="jboss71" password="Tibco321" certificate-key-file="../standalone/configuration/server.keystore" protocol="TLSv1"/>
</connector>
Speichern und schließen Sie die Datei "standalone.xml".
Dieser Abschnitt enthält Sicherheitsempfehlungen, die für Windows spezifisch sind, wenn AEM Forms on JEE unter Windows ausgeführt wird.
Bei der AEM Forms on JEE-Turnkey-Installation wird standardmäßig unter Verwendung des Kontos „Lokales System“ ein Dienstkonto eingerichtet. Das integrierte Benutzerkonto „Lokales System“ hat hohe Zugriffsrechte; es gehört zur Gruppe „Administratoren“. Wenn eine Worker Process-ID als Benutzerkonto „Lokales System“ ausgeführt wird, hat dieser Worker Process vollen Zugriff auf das gesamte System.
Erstellen Sie in der Microsoft Management Console (MMC) einen lokalen Benutzer für den Formularserverdienst, der für die Anmeldung verwendet werden soll:
Klicken Sie auf Einstellungen > Verwaltung > Dienste.
Doppelklicken Sie auf den Dienst „ Application Server“ und halten Sie diesen an.
Wählen Sie auf der Registerkarte Anmelden die Option Dieses Konto aus, suchen Sie das Benutzerkonto, das Sie erstellt haben, und geben Sie das Kennwort für das Konto ein.
Weisen Sie im Fenster „Lokale Sicherheitseinstellungen“ unter „Zuweisen von Benutzerrechten“ dem Benutzerkonto, unter dem der Formularserver ausgeführt wird, die folgenden Rechte zu:
Weisen Sie dem neuen Benutzerkonto die Berechtigungen „Lesen und Ausführen“, „Ordnerinhalt auflisten“ und „Lesen“ für AEM Forms on JEE-Ordner mit Webinhalten zu.
Starten Sie den Application Server-Dienst.
AEM Forms on JEE verwendet das Dateisystem wie folgt:
Wenn Sie überwachte Ordner verwenden, um Dokumente mit einem Formularserverdienst zu senden und zu empfangen, müssen Sie besondere Sicherheitsmaßnahmen für das Dateisystem ergreifen. Wenn ein Benutzer Inhalte in einem überwachten Ordner ablegt, werden diese Inhalte durch den überwachten Ordner offengelegt. In diesem Fall wird der tatsächliche Endbenutzer nicht vom Dienst authentifiziert. Stattdessen ist der Dienst darauf angewiesen, dass durch Zugriffssteuerungslisten und Freigabesicherheitseinstellungen auf Ordnerebene bestimmt wird, von wem der Dienst tatsächlich aufgerufen werden darf.
Dieser Abschnitt enthält Empfehlungen für die Konfiguration des Anwendungsservers, die für JBoss 7.0.6 spezifisch sind, wenn es zum Ausführen von AEM Forms on JEE verwendet wird.
Wenn Sie AEM Forms mit der Turnkey-Installationsmethode unter JBoss installieren, ist der Zugriff auf JBoss Management Console und die JMX-Konsole bereits konfiguriert (die JMX-Überwachung ist deaktiviert). Wenn Sie einen eigenen JBoss-Anwendungsserver verwenden, stellen Sie sicher, dass JBoss Management Console und die JMX-Überwachungskonsole geschützt sind. Der Zugriff auf die JMX-Überwachungskonsole wird in der JBoss-Konfigurationsdatei „jmx-invoker-service.xml“ festgelegt.
Nach der Anmeldung bei Administration Console können Sie die Ordnerliste der Konsole durchsuchen, indem Sie die URL ändern. Wenn Sie beispielsweise die URL in eine der folgenden URLs ändern, wird eine Liste angezeigt:
https://<servername>:8080/adminui/secured/
https://<servername>:8080/um/
Dieser Abschnitt enthält Empfehlungen für die Anwendungsserverkonfiguration zum Schützen von WebLogic 9.1 beim Ausführen von AEM Forms on JEE.
Stellen Sie in der Datei „weblogic.xml“ die Eigenschaften zu „index-directories“ auf false
ein, wie im folgenden Beispiel gezeigt:
<container-descriptor>
<index-directory-enabled>false
</index-directory-enabled>
</container-descriptor>
WebLogic aktiviert den SSL-Standardüberwachungsanschluss 7002 standardmäßig nicht. Aktivieren Sie diesen Anschluss in der WebLogic Server Administration Console, bevor Sie SSL konfigurieren.
Dieser Abschnitt enthält Empfehlungen für die Anwendungsserverkonfiguration zum Schützen von WebSphere beim Ausführen von AEM Forms.
Legen Sie die directoryBrowsingEnabled
-Eigenschaft in der Datei "ibm-web-ext.xml"in false
.