Show Menu
ARGOMENTI×

Indurimento dei AEM Forms in ambiente JEE

Scopri una serie di impostazioni di protezione per migliorare la sicurezza degli AEM Forms su JEE in esecuzione in una Intranet aziendale.
L'articolo descrive raccomandazioni e procedure ottimali per la protezione dei server che eseguono AEM Forms su JEE. Non si tratta di un documento completo per l'applicazione di protezione host per il sistema operativo e i server applicazioni in uso. Questo articolo descrive invece una serie di impostazioni di protezione che è necessario implementare per migliorare la sicurezza dei AEM Forms su JEE in esecuzione all'interno di una Intranet aziendale. Per garantire che i AEM Forms sui server delle applicazioni JEE restino protetti, è tuttavia necessario implementare anche le procedure di monitoraggio, rilevamento e risposta di sicurezza.
L'articolo descrive le tecniche di indurimento che dovrebbero essere applicate nelle seguenti fasi durante il ciclo di vita dell'installazione e della configurazione:
  • Pre-installazione: Utilizzate queste tecniche prima di installare AEM Forms su JEE.
  • Installazione: Utilizzate queste tecniche durante il processo di installazione dei AEM Forms su JEE.
  • Post-installazione: Utilizzate queste tecniche dopo l'installazione e periodicamente in seguito.
I AEM Forms su JEE sono altamente personalizzabili e possono funzionare in molti ambienti diversi. Alcune delle raccomandazioni potrebbero non essere adatte alle esigenze della vostra organizzazione.

Preinstallazione

Prima di installare AEM Forms su JEE, potete applicare soluzioni di sicurezza al livello di rete e al sistema operativo. Questa sezione descrive alcuni problemi e formula raccomandazioni per ridurre le vulnerabilità di sicurezza in queste aree.
Installazione e configurazione su UNIX e Linux
Non installare o configurare AEM Forms su JEE utilizzando una shell principale. Per impostazione predefinita, i file sono installati nella directory /opt, e l'utente che esegue l'installazione ha bisogno di tutte le autorizzazioni per i file in /opt. In alternativa, un'installazione può essere eseguita nella directory /utente di un singolo utente, in cui dispongono già di tutte le autorizzazioni per i file.
Installazione e configurazione in Windows
È necessario eseguire l'installazione in Windows come amministratore se si installano AEM Forms in JEE su JBoss utilizzando il metodo chiavi in mano o se si sta installando PDF Generator. Inoltre, quando si installa PDF Generator in Windows con supporto dell'applicazione nativa, è necessario eseguire l'installazione come lo stesso utente Windows che ha installato Microsoft Office. Per ulteriori informazioni sui privilegi di installazione, consultare il documento* Installazione e distribuzione di AEM Forms su JEE* per il server delle applicazioni.

Protezione dei livelli di rete

Le vulnerabilità di sicurezza della rete sono tra le prime minacce a qualsiasi server applicazioni rivolto a Internet o Intranet. Questa sezione descrive il processo di indurimento degli host sulla rete rispetto a tali vulnerabilità. Si occupa della segmentazione della rete, del protocollo di controllo della trasmissione/del protocollo Internet (TCP/IP) e dell'uso di firewall per la protezione dell'host.
Nella tabella seguente sono descritti i processi comuni che riducono le vulnerabilità di sicurezza della rete.
Problema
Descrizione
Zone demilitarizzate (DMZ)
Implementare i server dei moduli all'interno di una zona demilitarizzata (DMZ). La segmentazione deve esistere in almeno due livelli con il server applicazione utilizzato per eseguire AEM Forms su JEE posizionato dietro il firewall interno. Separare la rete esterna dalla rete perimetrale che contiene i server Web, che a sua volta deve essere separata dalla rete interna. Usate i firewall per implementare i livelli di separazione. Categorizzare e controllare il traffico che passa attraverso ciascun livello di rete per garantire che sia consentito solo il minimo assoluto di dati richiesti.
Indirizzi IP privati
Utilizzate Network Address Translation (NAT) con indirizzi IP privati RFC 1918 sul server dell'applicazione AEM Forms. Assegnate indirizzi IP privati (10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16) per rendere più difficile per un utente malintenzionato indirizzare il traffico da e verso un host interno del NAT attraverso Internet.
Firewall
Utilizzate i seguenti criteri per selezionare una soluzione firewall:
  • Implementate firewall che supportano server proxy e/o ispezione statica invece di semplici soluzioni di filtraggio dei pacchetti.
  • Utilizzare un firewall che supporta un rifiuto di tutti i servizi, ad eccezione dei paradigmi di protezione consentiti in modo esplicito.
  • Implementate una soluzione firewall che sia a doppia casa o con più indirizzi. Questa architettura fornisce il massimo livello di protezione e aiuta a impedire che utenti non autorizzati scavalchino la protezione del firewall.
Porte database
Non utilizzare porte di ascolto predefinite per i database (MySQL - 3306, Oracle - 1521, MS SQL - 1433). Per informazioni sulla modifica delle porte del database, consultate la documentazione del database.
L'utilizzo di una porta di database diversa influisce sui AEM Forms complessivi nella configurazione JEE. Se si modificano le porte predefinite, è necessario apportare le modifiche corrispondenti in altre aree di configurazione, ad esempio le origini dati per i AEM Forms su JEE.
Per informazioni sulla configurazione delle origini dati in AEM Forms su JEE, consultate Installare e aggiornare AEM Forms su JEE o Aggiornare a AEM Forms su JEE per il server applicazione in uso nella guida utente AEM Forms.

Sicurezza del sistema operativo

Nella tabella seguente sono descritti alcuni approcci potenziali per ridurre al minimo le vulnerabilità di sicurezza riscontrate nel sistema operativo.
Problema
Descrizione
Patch di sicurezza
Esiste un rischio maggiore che un utente non autorizzato possa accedere al server applicazione se le patch e gli aggiornamenti di sicurezza del fornitore non vengono applicati in modo tempestivo. Verificate le patch di protezione prima di applicarle ai server di produzione.
Inoltre, potete creare criteri e procedure per verificare e installare le patch su base regolare.
Software antivirus
Gli scanner antivirus possono identificare i file infetti digitalizzando una firma o guardando per un comportamento insolito. Gli scanner conservano le firme antivirus in un file, solitamente memorizzato sul disco rigido locale. Poiché i nuovi virus vengono spesso scoperti, è necessario aggiornare frequentemente questo file per lo scanner virus per identificare tutti i virus correnti.
Network Time Protocol (NTP)
Per l'analisi forense, tenere accurato il tempo sui server dei moduli. Utilizzate NTP per sincronizzare l'ora su tutti i sistemi che sono connessi direttamente a Internet.
Per ulteriori informazioni sulla sicurezza del sistema operativo in uso, vedere "Informazioni sulla sicurezza del sistema operativo" .

Installazione

Questa sezione descrive le tecniche che potete utilizzare durante il processo di installazione dei AEM Forms per ridurre le vulnerabilità di sicurezza. In alcuni casi, queste tecniche utilizzano opzioni che fanno parte del processo di installazione. Nella tabella seguente sono descritte queste tecniche.
Problema
Descrizione
Privilegi
Utilizzate il numero minimo di privilegi necessari per installare il software. Effettuate l'accesso al computer utilizzando un account non appartenente al gruppo Amministratori. In Windows, potete utilizzare il comando Esegui come per eseguire gli AEM Forms nel programma di installazione JEE come utente amministrativo. Sui sistemi UNIX e Linux, utilizzare un comando come sudo per installare il software.
Origine software
Non scaricare o eseguire AEM Forms su JEE da fonti non attendibili.
I programmi dannosi possono contenere codice per violare la sicurezza in diversi modi, tra cui furto, modifica ed eliminazione di dati e negazione del servizio. Installate AEM Forms su JEE dal DVD Adobe o solo da una fonte affidabile.
Partizioni disco
Inserire AEM Forms su JEE su una partizione dedicata del disco. La segmentazione del disco è un processo che mantiene dati specifici sul server su dischi fisici separati per una maggiore sicurezza. Disporre i dati in questo modo riduce il rischio di attacchi di traversata di directory. Pianificare la creazione di una partizione separata dalla partizione di sistema in cui installare i AEM Forms nella directory di contenuto JEE. (In Windows, la partizione di sistema contiene la directory system32, o partizione di avvio.)
Componenti
Valutare i servizi esistenti e disabilitare o disinstallare quelli non richiesti. Non installate componenti e servizi non necessari.
L'installazione predefinita di un server applicazioni potrebbe includere servizi non necessari all'uso da parte dell'utente. Devi disattivare tutti i servizi non necessari prima della distribuzione per ridurre al minimo i punti di ingresso per un attacco. Ad esempio, in JBoss, potete inserire commenti sui servizi non necessari nel file descrittore META-INF/jboss-service.xml.
File dei criteri tra domini
La presenza di un crossdomain.xml file sul server potrebbe indebolire immediatamente tale server. È consigliabile rendere l'elenco dei domini il più restrittivo possibile. Non inserite in produzione il crossdomain.xml file utilizzato durante lo sviluppo utilizzando Guide (obsoleto) . Per una guida che utilizza i servizi Web, se il servizio si trova sullo stesso server che ha fornito la guida, non è necessario alcun crossdomain.xml file. Ma se il servizio si trova su un altro server, o se sono coinvolti cluster, sarebbe necessaria la presenza di un crossdomain.xml file. Per ulteriori informazioni sul file crossdomain.xml, consultate https://kb2.adobe.com/cps/142/tn_14213.html .
Impostazioni di protezione del sistema operativo
Se è necessario utilizzare la cifratura XML a 192 bit o 256 bit sulle piattaforme Solaris, assicurarsi di eseguire l'installazione pkcs11_softtoken_extra.so anziché pkcs11_softtoken.so .

Passaggi successivi all’installazione

Dopo aver installato correttamente i AEM Forms su JEE, è importante mantenere periodicamente l'ambiente dal punto di vista della sicurezza.
La sezione seguente descrive in dettaglio le diverse attività consigliate per proteggere il server dei moduli distribuito.

Protezione AEM Forms

Le seguenti impostazioni consigliate si applicano ai AEM Forms sul server JEE al di fuori dell'applicazione Web amministrativa. Per ridurre i rischi di protezione per il server, applicate queste impostazioni subito dopo l'installazione dei AEM Forms su JEE.
Patch di sicurezza
Esiste un rischio maggiore che un utente non autorizzato possa accedere al server dell'applicazione se le patch e gli aggiornamenti di sicurezza del fornitore non vengono applicati in modo tempestivo. Verificate le patch di sicurezza prima di applicarle ai server di produzione per garantire la compatibilità e la disponibilità delle applicazioni. Inoltre, potete creare criteri e procedure per verificare e installare le patch su base regolare. Gli AEM Forms sugli aggiornamenti JEE si trovano nel sito di download dei prodotti Enterprise.
Account di servizio (chiavi in mano JBoss solo in Windows)
Per impostazione predefinita, i AEM Forms in JEE installano un servizio utilizzando l'account LocalSystem. L'account utente LocalSystem integrato ha un livello elevato di accessibilità; fa parte del gruppo Amministratori. Se l'identità di processo di lavoro viene eseguita come account utente LocalSystem, il processo di lavoro dispone dell'accesso completo all'intero sistema.
Per eseguire il server applicazione in cui sono distribuiti AEM Forms su JEE, utilizzando un account non amministrativo specifico, attenersi alle istruzioni riportate di seguito:
  1. In Microsoft Management Console (MMC), creare un utente locale che consenta al servizio server moduli di accedere come segue:
    • Seleziona Utente non può cambiare la password .
    • Nella scheda Membro di , assicurarsi che sia elencato il gruppo Utenti .
    Non è possibile modificare questa impostazione per PDF Generator.
  2. Selezionate Start > Impostazioni > Strumenti di amministrazione > Servizi .
  3. Fate doppio clic sul JBoss per i AEM Forms su JEE e arrestate il servizio.
  4. Nella scheda Accesso , selezionate Account , individuate l'account utente che avete creato e immettete la password per l'account.
  5. In MMC, aprite Impostazioni protezione locale e selezionate Criteri ​locali > Assegnazione diritti utente.
  6. Assegnare i seguenti diritti all'account utente in cui è in esecuzione il server moduli:
    • Rifiuta accesso tramite Servizi terminal
    • Rifiuta accesso localmente
    • Accedi come servizio (dovrebbe essere già impostato)
  7. Assegnare al nuovo account utente le autorizzazioni di lettura ed esecuzione, scrittura, modifica, elenco dei contenuti delle cartelle e lettura per completare i AEM Forms nella directory di installazione JEE e nella directory Global Document Storage (GDS). La posizione della directory GDS viene configurata manualmente durante il processo di installazione dei AEM Forms. Se l'impostazione della posizione rimane vuota durante l'installazione, per impostazione predefinita la posizione corrisponde a una directory nell'installazione del server applicazione nella directory principale # tipo # JBoss.
  8. Avviate il server applicazione.
Disattivazione del servlet di avvio di Configuration Manager
Configuration Manager ha utilizzato un servlet distribuito sul server applicazione per eseguire l'avvio degli AEM Forms nel database JEE. Poiché Configuration Manager accede a questo servlet prima del completamento della configurazione, l'accesso a esso non è stato protetto per gli utenti autorizzati e deve essere disabilitato dopo che Configuration Manager ha utilizzato con successo per configurare AEM Forms su JEE.
  1. Decomprimete il file adobe-livecycle- # .ear.
  2. Aprite il file META-INF/application.xml.
  3. Cerca la sezione adobe-bootstrapper.war:
    <!-- bootstrapper start --> 
    <module id="WebApp_adobe_bootstrapper"> 
        <web> 
            <web-uri>adobe-bootstrapper.war</web-uri> 
            <context-root>/adobe-bootstrapper</context-root> 
        </web> 
    </module> 
    <module id="WebApp_adobe_lcm_bootstrapper_redirector"> 
        <web> 
            <web-uri>adobe-lcm-bootstrapper-redirector.war</web-uri> 
            <context-root>/adobe-lcm-bootstrapper</context-root> 
        </web> 
    </module> 
    <!-- bootstrapper end-->
    
    
  4. Arrestate il server AEM Forms.
  5. Aggiungete un commento alla directory adobe-bootstrapper.war e adobe-lcm-bootstrapper-redirectory. moduli di guerra come segue:
    <!-- bootstrapper start --> 
    <!-- 
    <module id="WebApp_adobe_bootstrapper"> 
        <web> 
            <web-uri>adobe-bootstrapper.war</web-uri> 
            <context-root>/adobe-bootstrapper</context-root> 
        </web> 
    </module> 
    <module id="WebApp_adobe_lcm_bootstrapper_redirector"> 
        <web> 
            <web-uri>adobe-lcm-bootstrapper-redirector.war</web-uri> 
            <context-root>/adobe-lcm-bootstrapper</context-root> 
        </web> 
    </module> 
    --> 
    <!-- bootstrapper end-->
    
    
  6. Salvate e chiudete il file META-INF/application.xml.
  7. Zip il file EAR e ridistribuirlo nel server applicazione.
  8. Avviate il server AEM Forms.
  9. Digitate l'URL seguente in un browser per verificare che la modifica non funzioni più.
    https://<localhost>:<porta>/adobe-bootstrapper/bootstrap
Blocco dell'accesso remoto all'archivio attendibili
Configuration Manager consente di caricare le credenziali di estensione di Acrobat Reader DC nei AEM Forms dell'archivio delle estensioni JEE. Ciò significa che l'accesso al servizio Credenziali archivio attendibili tramite protocolli remoti (SOAP ed EJB) è stato abilitato per impostazione predefinita. Questo accesso non è più necessario dopo aver caricato le credenziali dei diritti tramite Configuration Manager o se decidete di utilizzare la console di amministrazione in un secondo momento per gestire le credenziali.
È possibile disattivare l'accesso remoto a tutti i servizi dell'archivio attendibili seguendo i passaggi descritti nella sezione Disattivazione dell'accesso remoto non essenziale ai servizi .
Disattiva tutti gli accessi anonimi non essenziali
Alcuni servizi server dei moduli dispongono di operazioni che possono essere richiamate da un chiamante anonimo. Se l'accesso anonimo a questi servizi non è richiesto, disattivatelo seguendo la procedura descritta in Disattivazione dell'accesso anonimo non essenziale ai servizi .

Modificare la password amministratore predefinita

Quando si installano AEM Forms su JEE, viene configurato un unico account utente predefinito per l'utente Amministratore/Amministratore di login-id con una password predefinita di password . È necessario modificare immediatamente la password utilizzando Gestione configurazione.
  1. Digitate il seguente URL in un browser Web:
    https://[host name]:[port]/adminui
    
    
    Il numero di porta predefinito è uno dei seguenti:
    JBoss: 8080
    Server WebLogic: 7001
    WebSphere: 9080.
  2. Nel campo Nome ​utente digitare administrator e digitare nel campo Password password .
  3. Fate clic su Impostazioni > Gestione ​utente > Utenti e gruppi .
  4. Digitare administrator il campo Trova e fare clic su Trova .
  5. Fate clic su Super Administrator dall’elenco degli utenti.
  6. Fate clic su Cambia password nella pagina Modifica utente.
  7. Specificate la nuova password e fate clic su Salva .
Inoltre, si consiglia di modificare la password predefinita per l'amministratore CRX eseguendo i seguenti passaggi:
  1. Effettuate l'accesso https://[server]:[port]/lc/libs/granite/security/content/useradmin.html utilizzando il nome utente/password predefinito.
  2. Digitare Amministratore nel campo di ricerca e fare clic su Vai .
  3. Selezionate Amministratore dal risultato della ricerca e fate clic sull’icona Modifica in basso a destra dell’interfaccia utente.
  4. Specificate la nuova password nel campo Nuova password e la vecchia password nel campo Password .
  5. Fate clic sull'icona Salva in basso a destra dell'interfaccia utente.

Disabilita generazione WSDL

La generazione del linguaggio WSDL (Web Service Definition Language) deve essere abilitata solo per gli ambienti di sviluppo, dove la generazione WSDL viene utilizzata dagli sviluppatori per creare le applicazioni client. Potete scegliere di disabilitare la generazione WSDL in un ambiente di produzione per evitare di esporre i dettagli interni di un servizio.
  1. Digitate il seguente URL in un browser Web:
    https://[host name]:[port]/adminui
    
    
  2. Fate clic su Impostazioni > Impostazioni di sistema di base > Configurazioni .
  3. Deselezionate Abilita WSDL e fate clic su OK .

Protezione del server applicazioni

Nella tabella seguente sono illustrate alcune tecniche per proteggere il server applicazione dopo l'installazione degli AEM Forms nell'applicazione JEE.
Problema
Descrizione
console di amministrazione del server applicazioni
Dopo aver installato, configurato e distribuito AEM Forms su JEE nel server dell’applicazione, è necessario disattivare l’accesso alle console di amministrazione del server dell’applicazione. Per ulteriori informazioni, consultate la documentazione del server applicazione.
Impostazioni cookie del server applicazioni
I cookie dell'applicazione sono controllati dal server dell'applicazione. Quando distribuite l’applicazione, l’amministratore del server applicazione può specificare le preferenze relative ai cookie a livello di server o di applicazione. Per impostazione predefinita, le impostazioni del server hanno la preferenza.
Tutti i cookie di sessione generati dal server applicazione devono includere l' HttpOnly attributo. Ad esempio, quando utilizzate il server applicazioni JBoss, potete modificare l'elemento SessionCookie in httpOnly="true" nel WEB-INF/web.xml file.
È possibile limitare l'invio dei cookie solo tramite HTTPS. Di conseguenza, non vengono inviati non crittografati via HTTP. Gli amministratori del server applicazioni devono abilitare i cookie protetti per il server su base globale. Ad esempio, quando si utilizza il server applicazioni JBoss, è possibile modificare l'elemento connettore secure=true nel server.xml file.
Per ulteriori informazioni sulle impostazioni dei cookie, consultate la documentazione del server applicazione.
Esplorazione directory
Quando un utente richiede una pagina che non esiste o richiede il nome di un direttore (la stringa di richiesta termina con una barra (/))), il server applicazione non deve restituire il contenuto di tale directory. Per evitare questo problema, è possibile disattivare la navigazione nelle directory sul server dell'applicazione. È consigliabile eseguire questa operazione per l'applicazione della console di amministrazione e per altre applicazioni in esecuzione sul server.
Per JBoss, impostare il valore del parametro di inizializzazione delle voci della DefaultServlet proprietà su false nel file web.xml, come illustrato nell'esempio seguente:
<servlet>
<servlet-name>default</servlet-name>
<servlet-class>
org.apache.catalina.servlets.DefaultServlet
</servlet-class>
<init-param>
<param-name>list</param-name>
<param-value>false</param-value>
</init-param>
<caricamento all'avvio>1</caricamento all'avvio>
</servlet>
Per WebSphere, impostare la directoryBrowsingEnabled proprietà nel file ibm-web-ext.xmi su false .
Per WebLogic, impostare le proprietà delle directory indice nel file weblogic.xml su false , come illustrato nell'esempio seguente:
<container-descriptor>
<index-directory-enabled>false
</index-directory-enabled>
</container-descriptor>

Protezione del database

Durante la protezione del database, è necessario implementare le misure descritte dal fornitore del database. È necessario allocare un utente di database con le autorizzazioni minime richieste per il database concesse per l'utilizzo da parte di AEM Forms in JEE. Ad esempio, non utilizzate un account con privilegi di amministratore del database.
In Oracle, l'account del database utilizzato richiede solo i privilegi CONNECT, RESOURCE e CREATE VIEW. Per requisiti simili su altri database, vedere Preparazione all'installazione di AEM Forms su JEE (Single Server) .

Configurazione della protezione integrata per SQL Server in Windows per JBoss

  1. Modificate # \\standalone\configuration\lc_ per aggiungere integratedSecurity=true all'URL di connessione, come illustrato in questo esempio:
     jdbc:sqlserver://<serverhost>:<port>;databaseName=<dbname>;integratedSecurity=true
    
    
  2. Aggiungete il file sqljdbc_auth.dll al percorso del sistema Windows sul computer su cui è in esecuzione il server dell'applicazione. Il file sqljdbc_auth.dll si trova con l'installazione del driver Microsoft SQL JDBC 6.2.1.0.
  3. Modificate la proprietà del servizio Windows JBoss (JBoss per AEM Forms su JEE) per Accesso come da sistema locale a un account di accesso con database AEM Forms e un insieme minimo di privilegi. Se si esegue JBoss dalla riga di comando invece che come servizio Windows, non è necessario eseguire questo passaggio.
  4. Impostare la protezione per SQL Server dalla modalità mista solo a Autenticazione Windows.

Configurazione della protezione integrata per SQL Server in Windows per WebLogic

  1. Avviate la console di amministrazione del server WebLogic digitando il seguente URL nella riga URL di un browser Web:
    https://[host name]:7001/console
    
    
  2. In Centro modifiche, fate clic su Blocca e modifica .
  3. In Struttura dominio, fare clic su # > Servizi > JDBC > Origini dati e, nel riquadro a destra, fare clic su IDP_DS .
  4. Nella schermata successiva, nella scheda Configurazione , fare clic sulla scheda Pool di connessioni e, nella casella Proprietà , digitare integratedSecurity=true .
  5. In Struttura dominio, fare clic su # > Servizi > JDBC > Origini dati e, nel riquadro a destra, fare clic su RM_DS .
  6. Nella schermata successiva, nella scheda Configurazione , fare clic sulla scheda Pool di connessioni e, nella casella Proprietà , digitare integratedSecurity=true .
  7. Aggiungete il file sqljdbc_auth.dll al percorso del sistema Windows sul computer su cui è in esecuzione il server dell'applicazione. Il file sqljdbc_auth.dll si trova con l'installazione del driver Microsoft SQL JDBC 6.2.1.0.
  8. Impostare la protezione per SQL Server dalla modalità mista solo a Autenticazione Windows.

Configurazione della protezione integrata per SQL Server in Windows per WebSphere

In WebSphere è possibile configurare la protezione integrata solo quando si utilizza un driver JDBC SQL Server esterno, non il driver JDBC di SQL Server incorporato con WebSphere.
  1. Accedete alla console di amministrazione di WebSphere.
  2. Nella struttura di navigazione, fare clic su Risorse > JDBC > Origini ​dati e, nel riquadro a destra, fare clic su IDP_DS .
  3. Nel riquadro a destra, in Proprietà aggiuntive, fare clic su Proprietà ​personalizzate, quindi su Nuovo .
  4. Nella casella Nome digitare integratedSecurity e digitare nella casella Valore true .
  5. Nella struttura di navigazione, fare clic su Risorse > JDBC > Origini ​dati e, nel riquadro a destra, fare clic su RM_DS .
  6. Nel riquadro a destra, in Proprietà aggiuntive, fare clic su Proprietà ​personalizzate, quindi su Nuovo .
  7. Nella casella Nome digitare integratedSecurity e digitare nella casella Valore true .
  8. Nel computer in cui è installato WebSphere, aggiungere il file sqljdbc_auth.dll al percorso dei sistemi Windows (C:\Windows). Il file sqljdbc_auth.dll si trova nello stesso percorso dell'installazione del driver Microsoft SQL JDBC 1.2 (il valore predefinito è # /sqljdbc_1.2/enu/auth/x86).
  9. Selezionare Start > Pannello di controllo > Servizi , fare clic con il pulsante destro del mouse sul servizio Windows per WebSphere (IBM WebSphere Application Server <versione> - <nodo>) e selezionare Proprietà .
  10. Nella finestra di dialogo Proprietà, fare clic sulla scheda Accesso .
  11. Selezionate Questo account e fornite le informazioni necessarie per impostare l’account di accesso che desiderate utilizzare.
  12. Impostare la protezione su SQL Server dalla modalità mista solo a Autenticazione Windows.

Protezione dell'accesso a contenuti sensibili nel database

Lo schema del database dei AEM Forms contiene informazioni riservate sulla configurazione del sistema e sui processi aziendali e deve essere nascosto dietro il firewall. Il database deve essere considerato all'interno dello stesso limite di attendibilità del server dei moduli. Per evitare la divulgazione di informazioni e il furto di dati aziendali, il database deve essere configurato dall'amministratore del database (DBA) per consentire l'accesso solo agli amministratori autorizzati.
Come precauzione aggiuntiva, è consigliabile utilizzare gli strumenti specifici del fornitore del database per cifrare le colonne nelle tabelle contenenti i dati seguenti:
  • Chiavi documento di Rights Management
  • Chiave di crittografia PIN HSM Store Trust
  • Hash password utente locale
Per informazioni sugli strumenti specifici del fornitore, vedere "Informazioni sulla protezione del database" .

Protezione LDAP

Una directory LDAP (Lightweight Directory Access Protocol) viene in genere utilizzata dai AEM Forms in JEE come origine per le informazioni utente e gruppo aziendali e come mezzo per eseguire l'autenticazione tramite password. Accertatevi che la directory LDAP sia configurata per l’utilizzo di Secure Socket Layer (SSL) e che i AEM Forms JEE siano configurati per accedere alla directory LDAP utilizzando la porta SSL corrispondente.

Negazione del servizio LDAP

Un attacco comune che utilizza LDAP coinvolge un aggressore che intenzionalmente non riesce ad autenticarsi più volte. In questo modo il server di directory LDAP blocca un utente da tutti i servizi basati su LDAP.
È possibile impostare il numero di tentativi di errore e il successivo tempo di blocco che i AEM Forms implementano quando un utente non riesce ripetutamente ad autenticarsi ai AEM Forms. In Admin Console, scegli valori bassi. Quando si seleziona il numero di tentativi di errore, è importante comprendere che dopo tutti i tentativi, gli AEM Forms bloccano l’utente prima che il server di directory LDAP lo faccia.

Impostazione del blocco automatico dell'account

  1. Accedi alla console di amministrazione.
  2. Fate clic su Impostazioni > Gestione ​utente > Gestione ​dominio.
  3. In Impostazioni di blocco account automatico, impostate Massimo errori di autenticazione consecutivi su un numero basso, ad esempio 3.
  4. Fai clic su Salva .

Controllo e registrazione

L'utilizzo corretto e sicuro del controllo e della registrazione delle applicazioni può contribuire a garantire che la sicurezza e altri eventi anomali siano tracciati e rilevati il più rapidamente possibile. L'utilizzo efficace del controllo e della registrazione all'interno di un'applicazione include elementi quali il monitoraggio degli accessi riusciti e non riusciti, nonché eventi applicativi chiave come la creazione o l'eliminazione di record chiave.
Potete utilizzare il controllo per rilevare molti tipi di attacchi, tra cui:
  • Attacchi di password di forza bruta
  • Negazione degli attacchi di servizio
  • Iniezione di input ostili e classi correlate di attacchi di script
Nella tabella seguente sono descritte le tecniche di auditing e registrazione utilizzabili per ridurre le vulnerabilità del server.
Problema
Descrizione
ACL del file di registro
Impostare AEM Forms appropriati sugli elenchi di controllo di accesso ai file di registro JEE (ACL).
L'impostazione delle credenziali appropriate consente di impedire agli aggressori di eliminare i file.
Le autorizzazioni di protezione nella directory del file di registro devono essere Controllo completo per gli amministratori e i gruppi SYSTEM. L'account utente AEM Forms deve avere autorizzazioni di sola lettura e scrittura.
ridondanza dei file di registro
Se le risorse lo consentono, inviate i file di registro a un altro server in tempo reale non accessibile dall’utente malintenzionato (solo in scrittura) utilizzando Syslog, Tivoli, Microsoft Operations Manager (MOM) Server o un altro meccanismo.
La protezione dei file di registro in questo modo consente di evitare manomissioni. Inoltre, l'archiviazione dei registri in un archivio centrale facilita la correlazione e il monitoraggio (ad esempio, se sono in uso più server di moduli e si verifica un attacco per l'identificazione della password in più computer, dove ogni computer viene interrogato per ottenere una password).

Configurazione di AEM Forms su JEE per l'accesso oltre l'azienda

Dopo aver installato correttamente i AEM Forms su JEE, è importante mantenere periodicamente la sicurezza dell'ambiente. In questa sezione vengono descritte le attività consigliate per mantenere la sicurezza degli AEM Forms sul server di produzione JEE.

Configurazione di un proxy inverso per l'accesso Web

È possibile utilizzare un proxy ** inverso per garantire che un set di URL per i AEM Forms nelle applicazioni Web JEE sia disponibile per gli utenti interni ed esterni. Questa configurazione è più sicura che consentire agli utenti di connettersi direttamente al server applicazione su cui sono in esecuzione AEM Forms su JEE. Il proxy inverso esegue tutte le richieste HTTP per il server applicazione che esegue AEM Forms su JEE. Gli utenti dispongono solo dell'accesso di rete al proxy inverso e possono tentare solo connessioni URL supportate dal proxy inverso.
AEM Forms sugli URL radice JEE da utilizzare con il server proxy inverso
I seguenti URL radice dell'applicazione per ogni AEM Forms nell'applicazione Web JEE. Configurate il proxy inverso solo per esporre gli URL per la funzionalità dell'applicazione Web che desiderate fornire agli utenti finali.
Alcuni URL vengono evidenziati come applicazioni Web rivolte all’utente finale. Evitare di esporre altri URL per Configuration Manager per l'accesso agli utenti esterni tramite il proxy inverso.
URL principale
Finalità e/o applicazione Web associata
Interfaccia basata sul Web
Accesso dell'utente finale
/ReaderExtensions/*
Acrobat Reader DC estende l’applicazione Web per l’utente finale per l’applicazione dei diritti di utilizzo ai documenti PDF
/edc/*
Applicazione Web per l'utente finale Rights Management
/edcws/*
URL del servizio Web per Rights Management
No
/pdfgui/*
applicazione Web di amministrazione PDF Generator
/Workspace/*
Applicazione Web per l’utente finale di Workspace
/workspace-server/*
Servlet e servizi dati di Workspace richiesti dall’applicazione client Workspace
/adobe-bootstrapper/*
Servlet per avviare i AEM Forms nell'archivio JEE
No
No
/soap/*
Pagina delle informazioni per i servizi Web del server dei moduli
No
No
/soap/services/*
URL del servizio Web per tutti i servizi server per moduli
No
No
/edc/admin/*
Applicazione Web di amministrazione Rights Management
No
/adminui/*
Pagina principale della console di amministrazione
No
/TruststoreComponent/
secure/*
Pagine di amministrazione di Trust Store
No
/FormsIVS/*
Applicazione Forms IVS per la verifica e il debug del rendering del modulo
No
/OutputIVS/*
Applicazione IVS di output per il test e il debug del servizio di output
No
/rmws/*
URL REST per Rights Management
No
/OutputAdmin/*
Pagine di amministrazione di output
No
/FormServer/*
File delle applicazioni Web Forms
No
/FormServer/GetImage
Servlet
Utilizzato per recuperare JavaScript durante la trasformazione HTML
No
No
/FormServerAdmin/*
Pagine di amministrazione dei moduli
No
/repository/*
URL per accesso WebDAV (debug)
No
/AACComponent/*
Interfaccia utente Applicazioni e servizi
No
/WorkspaceAdmin/*
Pagine di amministrazione Workspace
No
/rest/*
Pagine di supporto rimanenti
No
/CoreSystemConfig/*
AEM Forms nella pagina delle impostazioni di configurazione JEE Core
No
/um/
Autenticazione Gestione utenti
No
/um/*
Interfaccia di amministrazione di Gestione utenti
No
/DoumentManager/*
Caricamento e scaricamento di documenti da elaborare per l'accesso agli endpoint remoti, agli endpoint WSDL SOAP e all'SDK Java attraverso il trasporto SOAP o il trasporto EJB con documenti HTTP abilitati.

Protezione dagli attacchi di contraffazione delle richieste cross-site

Un attacco CSRF (Cross-Site Request Forgery) sfrutta l'affidabilità di un sito Web per l'utente, per trasmettere comandi non autorizzati e non voluti dall'utente. L'attacco è configurato includendo un collegamento o uno script in una pagina Web, o un URL in un messaggio e-mail, per accedere a un altro sito al quale l'utente è già stato autenticato.
Ad esempio, puoi aver effettuato l’accesso ad Admin Console mentre sfoglii contemporaneamente un altro sito Web. Una delle pagine Web può includere un tag immagine HTML con un src attributo che esegue il targeting di uno script sul lato server del sito Web della vittima. Sfruttando il meccanismo di autenticazione della sessione basato su cookie fornito dai browser Web, il sito web attaccante può inviare richieste dannose a questo script lato server vittima, mascherato come utente legittimo. Per ulteriori esempi, vedere https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)#Examples .
Le seguenti caratteristiche sono comuni al CSRF:
  • Coinvolgere i siti che si basano sull'identità di un utente.
  • Sfruttate la fiducia del sito in tale identità.
  • Personalizzate il browser dell'utente per inviare richieste HTTP a un sito di destinazione.
  • Richiedi richieste HTTP con effetti collaterali.
AEM Forms su JEE utilizza la funzione Filtro referente per bloccare gli attacchi CSRF. In questa sezione vengono utilizzati i termini seguenti per descrivere il meccanismo di filtro dei referenti:
  • Referente Consentito: Un Referente è l'indirizzo della pagina di origine che invia una richiesta al server. Per le pagine o i moduli JSP, i Referenti sono in genere la pagina precedente della cronologia di navigazione. Per riferimento per le immagini si intendono in genere le pagine sulle quali vengono visualizzate le immagini. È possibile identificare il Referente a cui è consentito l'accesso alle risorse del server aggiungendoli all'elenco Referente autorizzato.
  • Eccezioni referente consentite: Potresti voler limitare l'ambito di accesso per un particolare Referente nell'elenco di Referente autorizzato. Per applicare questa limitazione è possibile aggiungere singoli percorsi di tale referente all'elenco Eccezioni referente consentite. Le richieste provenienti dai percorsi nell'elenco Eccezioni referente consentite non possono richiamare alcuna risorsa sul server dei moduli. È possibile definire le eccezioni consentite per un'applicazione specifica e utilizzare un elenco globale di eccezioni valide per tutte le applicazioni.
  • URI consentiti: Si tratta di un elenco di risorse da distribuire senza controllare l'intestazione del referente. È possibile aggiungere a questo elenco risorse, ad esempio, pagine della guida che non comportano modifiche allo stato del server. Le risorse nell'elenco URI consentiti non vengono mai bloccate dal filtro di riferimento, a prescindere da chi sia il referente.
  • Referente Null: Una richiesta server che non è associata o non proviene da una pagina Web padre è considerata una richiesta da un Referente Null. Ad esempio, quando si apre una nuova finestra del browser, digitare un indirizzo e premere Invio, il Referente inviato al server è nullo. Un'applicazione desktop (.NET o SWING) che effettua una richiesta HTTP a un server Web, invia anche un Referente Null al server.

Filtro referente

Il processo di filtro referente può essere descritto come segue:
  1. Il server dei moduli verifica il metodo HTTP utilizzato per la chiamata:
    1. Se è POST, il server dei moduli esegue il controllo dell'intestazione del referente.
    2. Se si tratta di GET, il server dei moduli bypassa il controllo Referrer, a meno che CSRF_CHECK_GETS non sia impostato su true, nel qual caso esegue il controllo dell'intestazione Referrer. CSRF_CHECK_GETS è specificato nel file web.xml dell’applicazione.
  2. Il server dei moduli verifica se l'URI richiesto esiste nell'elenco dei moduli:
    1. Se l’URI è consentito, il server accetta la richiesta.
    2. Se l’URI richiesto non è elencato, il server recupera il Referente della richiesta.
  3. Se nella richiesta è presente un Referente, il server verifica se si tratta di un Referente Consentito. Se consentita, il server verifica la presenza di un'eccezione di riferimento:
    1. Se si tratta di un'eccezione, la richiesta viene bloccata.
    2. Se non si tratta di un'eccezione, la richiesta viene passata.
  4. Se nella richiesta non è presente alcun referente, il server verifica se è consentito un Referente Null:
    1. Se è consentito un Referente Null, la richiesta viene passata.
    2. Se non è consentito un Referente Null, il server verifica se l'URI richiesto è un'eccezione per il Referente Null e gestisce la richiesta di conseguenza.

Gestione del filtro del referente

I AEM Forms in JEE forniscono un filtro referente per specificare il referente che può accedere alle risorse del server. Per impostazione predefinita, il filtro Referente non filtra le richieste che utilizzano un metodo HTTP sicuro, ad esempio GET, a meno che CSRF_CHECK_GETS non sia impostato su true. Se il numero di porta per una voce Referente consentito è impostato su 0, i AEM Forms su JEE consentiranno tutte le richieste con Referente da tale host, indipendentemente dal numero di porta. Se non viene specificato alcun numero di porta, sono consentite solo le richieste dalla porta predefinita 80 (HTTP) o dalla porta 443 (HTTPS). Il filtro del referente è disabilitato se tutte le voci nell'elenco Referente consentito vengono eliminate.
La prima volta che si installa Document Services, l'elenco Referente consentito viene aggiornato con l'indirizzo del server in cui è installato Document Services. Le voci per il server includono il nome del server, l'indirizzo IPv4, l'indirizzo IPv6 se IPv6 è abilitato, l'indirizzo di loopback e una voce localhost. I nomi aggiunti all'elenco Referente consentito vengono restituiti dal sistema operativo host. Ad esempio, un server con indirizzo IP pari a 10.40.54.187 includerà le seguenti voci: https://server-name:0, https://10.40.54.187:0, https://127.0.0.1:0, http://localhost:0 . Per qualsiasi nome non qualificato restituito dal sistema operativo host (nomi che non hanno indirizzo IPv4, indirizzo IPv6 o nome di dominio qualificato), l'elenco di nomi consentiti non viene aggiornato. Modificare l'elenco Referente consentito in base all'ambiente aziendale. Non distribuire il server moduli nell'ambiente di produzione con l'elenco Referente consentito predefinito. Dopo aver modificato uno qualsiasi degli URI, delle eccezioni di riferimento o di riferimento consentiti, assicurarsi di riavviare il server affinché le modifiche abbiano effetto.
Gestione dell'elenco di riferimenti consentiti
Puoi gestire l’elenco Referente consentito dall’interfaccia di gestione utente della console di amministrazione. L'interfaccia di gestione utente fornisce le funzionalità per creare, modificare o eliminare l'elenco. Fare riferimento alla sezione * Prevenzione attacchi CSRF* della Guida di amministrazione per ulteriori informazioni sull'utilizzo dell'elenco Referente consentito.
Gestione delle eccezioni di riferimento consentite e degli elenchi URI consentiti
I AEM Forms su JEE forniscono le API per gestire l'elenco Eccezione referente consentita e l'elenco URI consentito. Potete utilizzare queste API per recuperare, creare, modificare o eliminare l'elenco. Segue un elenco di API disponibili:
  • createAllowedURIsList
  • getAllowedURIsList
  • updateAllowedURIsList
  • deleteAllowedURIsList
  • addAllowedRefererExceptions
  • getAllowedRefererExceptions
  • updateAllowedRefererExceptions
  • deleteAllowedRefererExceptions
Per ulteriori informazioni sulle API, consultate gli AEM Forms* in JEE API Reference*.
Utilizzare l'elenco LC_GLOBAL_ALLOWED_REFERER_EXCEPTION per Eccezioni referente consentite a livello globale, ad esempio per definire le eccezioni applicabili a tutte le applicazioni. Questo elenco contiene solo URI con percorso assoluto (ad es. /index.html ) o un percorso relativo (ad esempio /sample/ ). Potete anche aggiungere un'espressione regolare alla fine di un URI relativo, ad esempio /sample/(.)* .
L'ID elenco LC_GLOBAL_ALLOWED_REFERER_EXCEPTION è definito come una costante nella UMConstants classe dello com.adobe.idp.um.api spazio dei nomi, trovata in adobe-usermanager-client.jar . Potete utilizzare le API AEM Forms per creare, modificare o modificare questo elenco. Ad esempio, per creare l'elenco Eccezioni referente Global Allowed utilizzare:
addAllowedRefererExceptions(UMConstants.LC_GLOBAL_ALLOWED_REFERER_EXCEPTION, Arrays.asList("/index.html", "/sample/(.)*"))

Utilizzare l'elenco CSRF_ALLOWED_REFERER_EXCEPTIONS per le eccezioni specifiche dell'applicazione.
Disattivazione del filtro di riferimento
Se il filtro di riferimento blocca completamente l'accesso al server dei moduli e non è possibile modificare l'elenco di riferimento consentiti, è possibile aggiornare lo script di avvio del server e disabilitare il filtro di riferimento.
Includete l'argomento -Dlc.um.csrffilter.disabled=true JAVA nello script di avvio e riavviate il server. Assicurarsi di eliminare l'argomento JAVA dopo aver riconfigurato l'elenco Referente consentito.
Applicazione di filtri per file WAR personalizzati
Potreste aver creato file WAR personalizzati da utilizzare con AEM Forms su JEE per soddisfare i vostri requisiti aziendali. Per abilitare il filtro referente per i file WAR personalizzati, includi adobe-usermanager-client.jar nel percorso di classe per WAR e includi una voce di filtro nel file* web.xml* con i seguenti parametri:
CSRF_CHECK_GETS controlla il controllo Referente sulle richieste GET. Se questo parametro non è definito, il valore predefinito è false. Includete questo parametro solo se desiderate filtrare le richieste GET.
CSRF_ALLOWED_REFERER_EXCEPTIONS è l'ID dell'elenco Eccezioni referente consentite. Il filtro Referente impedisce alle richieste provenienti da Referenti nell'elenco identificato dall'ID elenco di richiamare risorse sul server dei moduli.
CSRF_ALLOWED_URIS_LIST_NAME è l'ID dell'elenco URI consentiti. Il filtro referente non blocca le richieste per nessuna delle risorse nell'elenco identificato dall'ID elenco, indipendentemente dal valore dell'intestazione Referente nella richiesta.
CSRF_ALLOW_NULL_REFERER controlla il comportamento del filtro referente quando il referente è nullo o non è presente. Se questo parametro non è definito, il valore predefinito è false. Includete questo parametro solo se desiderate consentire Referenti Null. Consentendo ai referenti nulli è possibile che alcuni tipi di attacchi Cross Site Request Forgery.
CSRF_NULL_REFERER_EXCEPTIONS è un elenco degli URI per i quali non viene eseguito un controllo Referrer quando il Referente è nullo. Questo parametro è attivato solo quando CSRF_ALLOW_NULL_REFERER è impostato su false. Separate più URI nell'elenco con una virgola.
Di seguito è riportato un esempio della voce del filtro nel file web.xml per un file WAR SAMPLE :
<filter> 
       <filter-name> filter-name </filter-name> 
       <filter-class> com.adobe.idp.um.auth.filter.RemoteCSRFFilter </filter-class> 
     <!-- default is false --> 
     <init-param> 
      <param-name> CSRF_ALLOW_NULL_REFERER </param-name> 
      <param-value> false </param-value> 
     </init-param> 
     <!-- default is false --> 
     <init-param> 
      <param-name> CSRF_CHECK_GETS </param-name> 
      <param-value> true </param-value> 
     </init-param> 
     <!-- Optional --> 
     <init-param> 
       <param-name> CSRF_NULL_REFERER_EXCEPTIONS </param-name> 
       <param-value> /SAMPLE/login, /SAMPLE/logout  </param-value> 
     </init-param> 
     <!-- Optional --> 
     <init-param> 
      <param-name> CSRF_ALLOWED_REFERER_EXCEPTIONS </param-name> 
      <param-value> SAMPLE_ALLOWED_REF_EXP_ID </param-value> 
     </init-param> 
     <!-- Optional --> 
     <init-param> 
      <param-name> CSRF_ALLOWED_URIS_LIST_NAME </param-name> 
      <param-value> SAMPLE_ALLOWED_URI_LIST_ID     </param-value> 
     </init-param> 
</filter> 
    ........ 
    <filter-mapping> 
      <filter-name> filter-name </filter-name> 
      <url-pattern>/*</url-pattern> 
    </filter-mapping>

Risoluzione dei problemi
Se le richieste server legittime vengono bloccate dal filtro CSRF, provate una delle seguenti operazioni:
  • Se la richiesta rifiutata dispone di un'intestazione Referente, è consigliabile aggiungerla all'elenco Referente consentito. Aggiungi solo referente affidabile.
  • Se la richiesta rifiutata non dispone di un'intestazione Referente, modificate l'applicazione client per includere un'intestazione Referente.
  • Se il client può funzionare in un browser, provate a utilizzare tale modello di distribuzione.
  • Come ultima risorsa è possibile aggiungere la risorsa all'elenco URI consentiti. Questa impostazione non è consigliata.

Proteggere la configurazione di rete

Questa sezione descrive i protocolli e le porte richiesti dai AEM Forms su JEE e fornisce raccomandazioni per la distribuzione di AEM Forms su JEE in una configurazione di rete protetta.

Protocolli di rete utilizzati dai AEM Forms su JEE

Quando si configura un'architettura di rete protetta come descritto nella sezione precedente, i seguenti protocolli di rete sono necessari per l'interazione tra AEM Forms su JEE e altri sistemi nella rete aziendale.
Protocollo
Utilizzo
HTTP
  • Nel browser vengono visualizzate le applicazioni Web di Configuration Manager e dell'utente finale
  • Tutte le connessioni SOAP
SOAP
  • Applicazioni client di servizi Web, ad esempio applicazioni .NET
  • Adobe Reader® utilizza SOAP per i AEM Forms sui servizi Web del server JEE
  • Le applicazioni Adobe Flash® utilizzano SOAP per i servizi Web del server dei moduli
  • AEM Forms sulle chiamate SDK JEE quando utilizzate in modalità SOAP
  • Ambiente di progettazione di Workbench
RMI
AEM Forms sulle chiamate SDK JEE quando utilizzate in modalità Enterprise JavaBeans (EJB)
IMAP/POP3
  • Ingresso basato su e-mail a un servizio (endpoint e-mail)
  • Notifiche attività utente tramite e-mail
IO file UNC
AEM Forms sul monitoraggio JEE delle cartelle esaminate per l'input a un servizio (endpoint cartella controllato)
LDAP
  • Sincronizzazione delle informazioni dell’utente e del gruppo organizzativo in una directory
  • Autenticazione LDAP per utenti interattivi
JDBC
  • Richieste di query e procedure effettuate a un database esterno durante l'esecuzione di un processo utilizzando il servizio JDBC
  • AEM Forms di accesso interno nell'archivio JEE
WebDAV
Consente la navigazione remota dei AEM Forms nell'archivio di progettazione JEE (moduli, frammenti e così via) da parte di qualsiasi client WebDAV
AMF
Applicazioni Adobe Flash, dove i AEM Forms sui servizi server JEE sono configurati con un endpoint remoto
JMX
AEM Forms su JEE espone MBeans per il monitoraggio utilizzando JMX

Porte per i server applicazioni

Questa sezione descrive le porte predefinite (e gli intervalli di configurazione alternativi) per ciascun tipo di server applicazioni supportato. Queste porte devono essere abilitate o disattivate sul firewall interno, a seconda della funzionalità di rete che si desidera consentire ai client che si connettono al server applicazione che esegue AEM Forms su JEE.
Per impostazione predefinita, il server espone diversi MBeans JMX nello spazio dei nomi adobe.com. Vengono esposte solo le informazioni utili per il monitoraggio dello stato del server. Tuttavia, per impedire la divulgazione delle informazioni, è necessario impedire ai chiamanti in una rete non affidabile di ricercare MBeans JMX e di accedere alle metriche di integrità.
Porte JBoss
Scopo
Porta
Accesso alle applicazioni Web
[JBOSS_Root]/standalone/configuration/lc_[database].xml
Porta del connettore HTTP/1.1 8080
Porta connettore AJP 1.3 8009
Porta connettore SSL/TLS 8443
Supporto CORBA
[Radice JBoss]/server/all/conf/jacorb.properties
OAPort 3528
OASSLPort 3529
Porte WebLogic
Scopo
Porta
Accesso alle applicazioni Web
  • Porta di ascolto di Admin Server: il valore predefinito è 7001
  • Porta di ascolto SSL di Admin Server: il valore predefinito è 7002
  • Porta configurata per il server gestito, ad esempio 8001
Porte di amministrazione WebLogic non necessarie per l'accesso ai AEM Forms in JEE
  • Porta di ascolto del server gestito: Configurabile da 1 a 65534
  • Porta di ascolto SSL del server gestito: Configurabile da 1 a 65534
  • Porta di ascolto di Node Manager: il valore predefinito è 5556
Porte WebSphere
Per informazioni sulle porte WebSphere richieste dai AEM Forms in JEE, passare all'impostazione Numero porta nell'interfaccia utente del server applicazioni WebSphere.

Configurazione di SSL

Facendo riferimento all'architettura fisica descritta nei AEM Forms di sezione sull'architettura fisica JEE, è necessario configurare SSL per tutte le connessioni che si intende utilizzare. Nello specifico, tutte le connessioni SOAP devono essere eseguite su SSL per impedire l'esposizione delle credenziali utente in una rete.
Per istruzioni su come configurare SSL su JBoss, WebLogic e WebSphere, consultate "Configuring SSL" (Configurazione di SSL) nella guida di amministrazione.

Configurazione del reindirizzamento SSL

Dopo aver configurato il server applicazione per supportare SSL, è necessario assicurarsi che tutto il traffico HTTP verso le applicazioni e i servizi venga imposto per utilizzare la porta SSL.
Per configurare il reindirizzamento SSL per WebSphere o WebLogic, consulta la documentazione del server applicazione.
  1. Aprite il prompt dei comandi, accedete alla directory /JBOSS_HOME/standalone/configuration ed eseguite il comando seguente:
    keytool -genkey -alias jboss7 -keyalg RSA -keystore server.keystore -validity 10950
  2. Aprite il file JBOSS_HOME/standalone/configuration/standalone.xml per la modifica.
    Dopo l’elemento <sottosistema xmlns="urn:jboss:domain:web:1.1" native="false" default-virtual-server="default-host">, aggiungete i seguenti dettagli:
    <nome connettore="https" protocol="HTTP/1.1" Scheme="https" socket-binding="https" enabled="true" secure="true"/>
  3. Aggiungete il codice seguente nell'elemento https Connector:
    <connector name="https" protocol="HTTP/1.1" scheme="https" socket-binding="https" secure="true" enabled="true"> 
     <ssl name="jboss7_ssl" key-alias="jboss71" password="Tibco321" certificate-key-file="../standalone/configuration/server.keystore" protocol="TLSv1"/> 
     </connector>
    
    
    Salvate e chiudete il file standalone.xml.

Raccomandazioni di protezione specifiche per Windows

Questa sezione contiene raccomandazioni di protezione specifiche per Windows quando utilizzate per eseguire AEM Forms su JEE.

Account di servizio JBoss

Per impostazione predefinita, i AEM Forms sull'installazione chiavi in mano JEE configurano un account di servizio utilizzando l'account Sistema locale. L'account utente del sistema locale integrato dispone di un elevato livello di accessibilità; fa parte del gruppo Amministratori. Se l'identità di un processo di lavoro viene eseguita come account utente del sistema locale, tale processo di lavoro dispone dell'accesso completo all'intero sistema.

Eseguire il server applicazione utilizzando un account non amministrativo

  1. In Microsoft Management Console (MMC), creare un utente locale che consenta al servizio server moduli di accedere come segue:
    • Seleziona Utente non può cambiare la password .
    • Nella scheda Membro di , assicurarsi che il gruppo Utenti sia elencato.
  2. Selezionare Impostazioni > Strumenti di amministrazione > Servizi .
  3. Fare doppio clic sul servizio del server applicazioni e arrestare il servizio.
  4. Nella scheda Accesso , selezionate Account , individuate l'account utente che avete creato e immettete la password per l'account.
  5. Nella finestra Impostazioni protezione locale, in Assegnazione diritti utente, assegnare i seguenti diritti all'account utente in cui è in esecuzione il server moduli:
    • Rifiuta accesso tramite Servizi terminal
    • Rifiuta accesso in locale
    • Accedi come servizio (dovrebbe essere già impostato)
  6. Assegnare al nuovo account utente le autorizzazioni di lettura ed esecuzione, scrittura, modifica, elenco dei contenuti delle cartelle e lettura per completare i AEM Forms nella directory di installazione JEE e nella directory Global Document Storage (GDS). La posizione della directory GDS viene configurata manualmente durante il processo di installazione dei AEM Forms. Se l'impostazione della posizione rimane vuota durante l'installazione, per impostazione predefinita la posizione corrisponde a una directory nell'installazione del server applicazione nella directory principale # tipo # JBoss.
  7. Avviate il servizio server applicazione.

Protezione del file system

I AEM Forms su JEE utilizzano il file system nei seguenti modi:
  • Memorizza i file temporanei utilizzati durante l'elaborazione dell'input e dell'output del documento
  • Memorizza i file nell'archivio globale utilizzati per supportare i componenti della soluzione installati
  • Le cartelle esaminate archiviano i file rilasciati che vengono utilizzati come input per un servizio da un percorso di cartella del file system
Quando si utilizzano le cartelle esaminate per inviare e ricevere documenti con un servizio server moduli, prendere ulteriori precauzioni con la protezione del file system. Quando un utente rilascia del contenuto nella cartella esaminata, tale contenuto viene esposto attraverso la cartella esaminata. In questo caso, il servizio non autentica l'utente finale effettivo. Al contrario, si basa sulla protezione di livello ACL e Condivisione per essere impostata a livello di cartella per determinare chi può richiamare efficacemente il servizio.

Suggerimenti per la protezione specifici per JBoss

Questa sezione contiene raccomandazioni di configurazione del server applicazione specifiche per JBoss 7.0.6, se utilizzate per eseguire AEM Forms su JEE.

Disabilita console di gestione JBoss e console JMX

L’accesso alla console di gestione JBoss e alla console JMX è già configurato (il monitoraggio JMX è disabilitato) quando si installano AEM Forms su JEE su JBoss utilizzando il metodo di installazione chiavi in mano. Se utilizzate un server applicazioni JBoss personalizzato, accertatevi che l’accesso alla console di gestione JBoss e alla console di monitoraggio JMX sia protetto. L'accesso alla console di monitoraggio JMX è impostato nel file di configurazione JBoss denominato jmx-invoker-service.xml.

Disabilita esplorazione directory

Dopo aver effettuato l’accesso alla console di amministrazione, è possibile sfogliare l’elenco di directory della console modificando l’URL. Ad esempio, se modificate l’URL in uno dei seguenti URL, potrebbe comparire un elenco di directory:
https://<servername>:8080/adminui/secured/ 
https://<servername>:8080/um/

Raccomandazioni specifiche per la protezione WebLogic

Questa sezione contiene le raccomandazioni di configurazione del server applicazione per proteggere WebLogic 9.1 quando si eseguono AEM Forms su JEE.

Disabilita esplorazione directory

Impostate le proprietà index-directory nel file weblogic.xml su false , come illustrato nell'esempio seguente:
<container-descriptor> 
    <index-directory-enabled>false 
    </index-directory-enabled> 
</container-descriptor>

Abilita porta SSL WebLogic

Per impostazione predefinita, WebLogic non abilita la porta di ascolto SSL predefinita, 7002. Abilita questa porta nella console di amministrazione del server WebLogic prima di configurare SSL.

Raccomandazioni di protezione specifiche per WebSphere

Questa sezione contiene le raccomandazioni di configurazione del server applicazione per proteggere i AEM Forms in esecuzione WebSphere su JEE.

Disabilita esplorazione directory

Impostate la directoryBrowsingEnabled proprietà nel file ibm-web-ext.xml su false .

Abilita protezione amministrativa WebSphere

  1. Accedete alla console di amministrazione di WebSphere.
  2. Nella struttura di navigazione, andate a Security > Global Security
  3. Selezionate Abilita protezione amministrativa.
  4. Deselezionate Abilita protezione applicazione e Usa protezione Java 2.
  5. Fate clic su OK o Applica .
  6. Nella casella Messaggi , fate clic su Salva direttamente nella configurazione principale.