Rafforzamento dell’ambiente AEM Forms su JEE hardening-your-aem-forms-on-jee-environment

Scopri diverse impostazioni per rafforzare la sicurezza di AEM Forms su JEE in esecuzione in una Intranet aziendale.

L’articolo descrive raccomandazioni e best practice per la protezione dei server che eseguono AEM Forms su JEE. Non si tratta di un documento completo di protezione avanzata dell'host per il sistema operativo e i server delle applicazioni. In questo articolo vengono invece descritte diverse impostazioni che è necessario implementare per migliorare la sicurezza di AEM Forms su JEE in esecuzione in una Intranet aziendale. Tuttavia, per garantire la sicurezza dell’AEM Forms sui server applicazioni JEE, è necessario implementare anche procedure di monitoraggio, rilevamento e risposta di sicurezza.

L'articolo descrive le tecniche di tempra da applicare durante le seguenti fasi del ciclo di vita dell'installazione e della configurazione:

AEM Forms su JEE è altamente personalizzabile e può funzionare in molti ambienti diversi. Alcuni consigli potrebbero non soddisfare le esigenze della tua organizzazione.

Preinstallazione preinstallation

Prima di installare AEM Forms su JEE , è possibile applicare soluzioni di sicurezza al livello di rete e al sistema operativo. Questa sezione descrive alcuni problemi e formula raccomandazioni per ridurre le vulnerabilità di sicurezza in queste aree.

Installazione e configurazione su UNIX e Linux

Non installare o configurare AEM Forms su JEE utilizzando una shell radice. Per impostazione predefinita, i file vengono installati nella directory /opt e l'utente che esegue l'installazione deve disporre di tutte le autorizzazioni per i file in /opt. In alternativa, è possibile eseguire un'installazione nella directory /user di un singolo utente in cui sono già disponibili tutte le autorizzazioni per i file.

Installazione e configurazione in Windows

Se stai installando AEM Forms su JEE su JBoss utilizzando il metodo turnkey o se stai installando PDF Generator, è necessario eseguire l’installazione su Windows come amministratore. Inoltre, quando si installa PDF Generator su Windows con il supporto nativo dell'applicazione, è necessario eseguire l'installazione come lo stesso utente di Windows che ha installato Microsoft Office. Per ulteriori informazioni sui privilegi di installazione, consulta il documento Installazione e distribuzione di AEM Forms su JEE* per il server applicazioni.

Protezione a livello di rete network-layer-security

Le vulnerabilità relative alla sicurezza di rete sono tra le prime minacce per qualsiasi server applicazioni che si affaccia su Internet o su Intranet. Questa sezione descrive il processo di protezione degli host della rete da queste vulnerabilità. Affronta la segmentazione della rete, l'irrigidimento dello stack TCP/IP (Transmission Control Protocol/Internet Protocol) e l'uso di firewall per la protezione dell'host.

Nella tabella seguente vengono descritti i processi comuni che riducono le vulnerabilità relative alla sicurezza della rete.

Sicurezza del sistema operativo operating-system-security

Nella tabella seguente vengono descritti alcuni approcci potenziali per ridurre al minimo le vulnerabilità di sicurezza rilevate nel sistema operativo.

Per ulteriori informazioni sulla sicurezza del sistema operativo in uso, vedere "Informazioni sulla sicurezza del sistema operativo".

Installazione installation

Questa sezione descrive le tecniche che puoi utilizzare durante il processo di installazione di AEM Forms per ridurre le vulnerabilità relative alla sicurezza. In alcuni casi, queste tecniche utilizzano le opzioni che fanno parte del processo di installazione. Nella tabella seguente vengono descritte queste tecniche.

Passaggi successivi all’installazione post-installation-steps

Dopo aver installato correttamente AEM Forms su JEE, è importante mantenere periodicamente l’ambiente dal punto di vista della sicurezza.

Nella sezione seguente vengono descritte in dettaglio le diverse attività consigliate per proteggere il server Forms distribuito.

Sicurezza di AEM Forms aem-forms-security

Le seguenti impostazioni consigliate si applicano al server AEM Forms su JEE all’esterno dell’applicazione web amministrativa. Per ridurre i rischi per la sicurezza del server, applica queste impostazioni immediatamente dopo l’installazione di AEM Forms su JEE.

Patch di sicurezza

Esiste un rischio maggiore che un utente non autorizzato possa accedere all'Application Server se le patch e gli aggiornamenti di sicurezza del fornitore non vengono applicati in modo tempestivo. Verificare le patch di sicurezza prima di applicarle ai server di produzione per garantire la compatibilità e la disponibilità delle applicazioni. È inoltre possibile creare criteri e procedure per verificare e installare regolarmente le patch. Gli aggiornamenti di AEM Forms su JEE sono disponibili sul sito di download dei prodotti Enterprise.

Account di servizio (JBoss turnkey solo su Windows)

Per impostazione predefinita, AEM Forms su JEE installa un servizio utilizzando l’account LocalSystem. L'account utente LocalSystem incorporato dispone di un livello elevato di accessibilità e fa parte del gruppo Administrators. Se un'identità del processo di lavoro viene eseguita come account utente LocalSystem, tale processo di lavoro dispone dell'accesso completo all'intero sistema.

Per eseguire l’application server in cui viene distribuito AEM Forms su JEE, utilizzando un account non amministrativo specifico, segui queste istruzioni:

Disabilitazione del servlet di avvio di Configuration Manager

Configuration Manager ha utilizzato un servlet distribuito sul server applicazioni per eseguire l’avvio automatico del database AEM Forms su JEE. Poiché Configuration Manager accede a questo servlet prima del completamento della configurazione, l’accesso non è stato protetto per gli utenti autorizzati e dovrebbe essere disattivato dopo che l’utente ha utilizzato Configuration Manager per configurare AEM Forms su JEE.

Blocca accesso remoto all'archivio fonti attendibili

Configuration Manager consente di caricare una credenziale di estensioni Acrobat Reader DC nell’archivio fonti attendibili di AEM Forms su JEE. L'accesso al servizio credenziali dell'archivio fonti attendibili tramite protocolli remoti (SOAP ed EJB) è stato abilitato per impostazione predefinita. Questo accesso non è più necessario dopo che hai caricato le credenziali dei diritti tramite Configuration Manager o se decidi di utilizzare la console di amministrazione in un secondo momento per gestire le credenziali.

Per disabilitare l'accesso remoto a tutti i servizi dell'archivio fonti attendibili, seguire la procedura descritta nella sezione Disattivazione dell'accesso remoto non essenziale ai servizi.

Disattiva tutti gli accessi anonimi non essenziali

Alcuni servizi di Forms Server dispongono di operazioni che possono essere richiamate da un chiamante anonimo. Se non è necessario l’accesso anonimo a questi servizi, disattivalo seguendo i passaggi descritti in Disabilitazione dell’accesso anonimo non essenziale ai servizi.

Modificare la password predefinita dell'amministratore change-the-default-administrator-password

Quando si installa AEM Forms su JEE, per l’utente amministratore privilegiato/login-id viene configurato un singolo account utente predefinito con una password predefinita di password. È necessario modificare immediatamente la password utilizzando Configuration Manager.

Inoltre, si consiglia di modificare la password predefinita per l’amministratore CRX eseguendo i seguenti passaggi:

Disattiva generazione WSDL disable-wsdl-generation

La generazione WSDL (Web Service Definition Language) deve essere abilitata solo per gli ambienti di sviluppo in cui la generazione WSDL viene utilizzata dagli sviluppatori per creare le applicazioni client. Puoi scegliere di disabilitare la generazione WSDL in un ambiente di produzione per evitare di esporre i dettagli interni di un servizio.

Protezione del server applicazioni application-server-security

Nella tabella seguente vengono descritte alcune tecniche per proteggere il server applicazioni dopo l’installazione dell’applicazione AEM Forms su JEE.

Sicurezza del database database-security

Quando si protegge il database, è necessario implementare le misure descritte dal fornitore del database. È necessario allocare un utente del database con le autorizzazioni minime richieste concesse per l’utilizzo da parte di AEM Forms su JEE. Ad esempio, non utilizzare un account con privilegi di amministratore del database.

Ad Oracle, l'account di database utilizzato richiede solo i privilegi CONNECT, RESOURCE e CREATE VIEW. Per requisiti simili per altri database, vedere Preparazione all’installazione di AEM Forms su JEE (server singolo).

Configurazione della sicurezza integrata per SQL Server su Windows per JBoss configuring-integrated-security-for-sql-server-on-windows-for-jboss

Configurazione della sicurezza integrata per SQL Server su Windows per WebLogic configuring-integrated-security-for-sql-server-on-windows-for-weblogic

Configurazione della sicurezza integrata per SQL Server su Windows per WebSphere configuring-integrated-security-for-sql-server-on-windows-for-websphere

In WebSphere è possibile configurare la protezione integrata solo quando si utilizza un driver JDBC esterno di SQL Server e non il driver JDBC di SQL Server incorporato con WebSphere.

Protezione dell'accesso a contenuto riservato nel database protecting-access-to-sensitive-content-in-the-database

Lo schema del database AEM Forms contiene informazioni riservate sulla configurazione del sistema e sui processi aziendali e deve essere nascosto dietro il firewall. Il database deve essere considerato all'interno dello stesso limite di attendibilità del server Forms. Per evitare la divulgazione delle informazioni e il furto dei dati aziendali, il database deve essere configurato dall'amministratore del database (DBA) in modo da consentire l'accesso solo agli amministratori autorizzati.

Come ulteriore precauzione, è consigliabile utilizzare strumenti specifici del fornitore del database per crittografare le colonne nelle tabelle che contengono i dati seguenti:

Per informazioni sugli strumenti specifici del fornitore, consulta "Informazioni sulla sicurezza del database".

Protezione LDAP ldap-security

Una directory LDAP (Lightweight Directory Access Protocol) viene in genere utilizzata da AEM Forms su JEE come origine per le informazioni di utenti e gruppi aziendali e come mezzo per eseguire l’autenticazione tramite password. È necessario verificare che la directory LDAP sia configurata per l’utilizzo di Secure Socket Layer (SSL) e che AEM Forms su JEE sia configurato per l’accesso alla directory LDAP tramite la relativa porta SSL.

Denial of Service LDAP ldap-denial-of-service

Un attacco comune che utilizza LDAP implica che un utente malintenzionato non riesca deliberatamente ad autenticarsi più volte. In questo modo il server di elenchi in linea LDAP blocca un utente da tutti i servizi basati su LDAP.

Puoi impostare il numero di tentativi di errore e il successivo tempo di blocco implementato da AEM Forms quando un utente non riesce a eseguire ripetutamente l’autenticazione in AEM Forms. Nella console di amministrazione, scegli valori bassi. Quando si seleziona il numero di tentativi non riusciti, è importante comprendere che dopo tutti i tentativi, AEM Forms blocca l’utente prima che il server di elenchi in linea LDAP lo faccia.

Imposta blocco automatico account set-automatic-account-locking

Controllo e registrazione auditing-and-logging

L'utilizzo corretto e sicuro del controllo e della registrazione delle applicazioni può contribuire a garantire che la sicurezza e altri eventi anomali vengano monitorati e rilevati il più rapidamente possibile. L'utilizzo efficace del controllo e della registrazione all'interno di un'applicazione include elementi quali il tracciamento degli accessi riusciti e non riusciti e gli eventi chiave dell'applicazione, ad esempio la creazione o l'eliminazione di record chiave.

Puoi utilizzare il controllo per rilevare molti tipi di attacchi, tra cui:

Questa tabella descrive le tecniche di controllo e registrazione che è possibile utilizzare per ridurre le vulnerabilità del server.

Consenti a un utente non amministratore di eseguire PDF Generator

È possibile abilitare un utente non amministratore all'utilizzo di PDF Generator. Normalmente, solo gli utenti con privilegi amministrativi possono utilizzare PDF Generator. Per consentire a un utente non amministratore di eseguire PDF Generator, effettuare le seguenti operazioni:

Configurazione di AEM Forms su JEE per l’accesso oltre i confini dell’azienda configuring-aem-forms-on-jee-for-access-beyond-the-enterprise

Dopo aver installato correttamente AEM Forms su JEE, è importante mantenere periodicamente la sicurezza dell’ambiente. Questa sezione descrive le attività consigliate per mantenere la sicurezza dell’AEM Forms sul server di produzione JEE.

Impostazione di un proxy inverso per l'accesso Web setting-up-a-reverse-proxy-for-web-access

A proxy inverso può essere utilizzato per garantire che un set di URL per le applicazioni web AEM Forms su JEE sia disponibile per gli utenti interni ed esterni. Questa configurazione è più sicura di quella che consente agli utenti di connettersi direttamente al server applicazioni su cui è in esecuzione AEM Forms on JEE. Il proxy inverso esegue tutte le richieste HTTP per il server applicazioni che esegue AEM Forms su JEE. Gli utenti dispongono solo dell'accesso di rete al proxy inverso e possono solo tentare connessioni URL supportate dal proxy inverso.

AEM Forms sugli URL principali di JEE da utilizzare con il server proxy inverso

I seguenti URL principali dell’applicazione per ogni applicazione web AEM Forms su JEE. È consigliabile configurare il proxy inverso solo per esporre gli URL per la funzionalità dell'applicazione Web che si desidera fornire agli utenti finali.

Alcuni URL sono evidenziati come applicazioni web rivolte all’utente finale. È consigliabile evitare di esporre altri URL per Configuration Manager per l’accesso agli utenti esterni tramite il proxy inverso.

Protezione da attacchi di tipo Cross-Site Request Forgery protecting-from-cross-site-request-forgery-attacks

Un attacco Cross-Site Request Forgery (CSRF) sfrutta l’affidabilità di un sito web per l’utente, per trasmettere comandi non autorizzati e non voluti dall’utente. L’attacco viene configurato includendo un collegamento o uno script in una pagina web, o un URL in un messaggio e-mail, per accedere a un altro sito a cui l’utente è già stato autenticato.

Ad esempio, potresti aver effettuato l’accesso ad Administration Console mentre navighi simultaneamente in un altro sito web. Una delle pagine web può includere un tag immagine HTML con src attributo che esegue il targeting di uno script lato server sul sito web delle vittime. Utilizzando il meccanismo di autenticazione delle sessioni basato su cookie fornito dai browser web, il sito web attaccante può inviare richieste dannose a questo script lato server vittima, mascherato come l'utente legittimo. Per ulteriori esempi, consulta https://owasp.org/www-community/attacks/csrf#Examples.

Le seguenti caratteristiche sono comuni al CSRF:

AEM Forms su JEE utilizza la funzione Referrer Filter per bloccare gli attacchi CSRF. In questa sezione vengono utilizzati i seguenti termini per descrivere il meccanismo di filtro del referente:

Filtro referrer referer-filtering

Il processo di filtro Referrer può essere descritto come segue:

Gestione del filtro del referente managing-referer-filtering

AEM Forms su JEE fornisce un filtro Referrer per specificare il Referrer che può accedere alle risorse del server. Per impostazione predefinita, il filtro Referrer non filtra le richieste che utilizzano un metodo HTTP sicuro, ad esempio GET, a meno che CSRF_CHECK_GETS è impostato su true. Se il numero di porta per una voce Referrer consentito è impostato su 0, AEM Forms su JEE consentirà tutte le richieste con Referrer provenienti da tale host indipendentemente dal numero di porta. Se non viene specificato alcun numero di porta, sono consentite solo le richieste dalla porta predefinita 80 (HTTP) o dalla porta 443 (HTTPS). Il filtro Referrer è disattivato se tutte le voci nell'elenco Referrer consentiti vengono eliminate.

Quando si installa Document Services per la prima volta, l’elenco Referenti consentiti viene aggiornato con l’indirizzo del server in cui è installato Document Services. Le voci per il server includono il nome del server, l'indirizzo IPv4, l'indirizzo IPv6 se IPv6 è abilitato, l'indirizzo di loopback e una voce localhost. I nomi aggiunti all'elenco Referenti consentiti vengono restituiti dal sistema operativo host. Ad esempio, un server con un indirizzo IP di 10.40.54.187 includerà le seguenti voci: https://server-name:0, https://10.40.54.187:0, https://127.0.0.1:0, http://localhost:0. Per tutti i nomi non qualificati restituiti dal sistema operativo host (nomi che non hanno indirizzo IPv4, indirizzo IPv6 o nome di dominio qualificato), il inserisco nell'elenco Consentiti di non viene aggiornato. Modifica l’elenco dei Referenti consentiti in base all’ambiente aziendale. Non distribuire Forms Server nell’ambiente di produzione con l’elenco dei Destinatari autorizzati predefiniti. Dopo aver modificato uno dei Referrer consentiti, le Eccezioni referente o gli URI, assicurati di riavviare il server affinché le modifiche diventino effettive.

Gestione dell’elenco dei referenti consentiti

È possibile gestire l’elenco Referenti consentiti dall’interfaccia di gestione utente di Administration Console. L'interfaccia User Management offre la funzionalità di creazione, modifica o eliminazione dell'elenco. Consulta la sezione * Prevenzione degli attacchi CSRF* sezione del aiuto per l'amministrazione per ulteriori informazioni sull’utilizzo dell’elenco Referenti consentiti.

Gestione degli elenchi delle eccezioni e degli URI consentiti ai referenti

AEM Forms su JEE fornisce API per gestire l’elenco Eccezioni referenti consentite e l’elenco URI consentiti. Puoi utilizzare queste API per recuperare, creare, modificare o eliminare l’elenco. Di seguito è riportato un elenco delle API disponibili:

Per ulteriori informazioni sulle API, consulta la documentazione di riferimento* per AEM Forms su JEE API.

Utilizza il LC_GLOBAL_ALLOWED_REFERER_EXCEPTION elenco delle eccezioni Referente consentite a livello globale, per definire le eccezioni applicabili a tutte le applicazioni. Questo elenco contiene solo URI con un percorso assoluto (ad esempio, /index.html) o un percorso relativo (ad esempio, /sample/). Puoi anche aggiungere un’espressione regolare alla fine di un URI relativo, ad esempio: /sample/(.)*.

Il LC_GLOBAL_ALLOWED_REFERER_EXCEPTION l’ID elenco è definito come costante nella UMConstants classe del com.adobe.idp.um.api spazio dei nomi, trovato in adobe-usermanager-client.jar. Puoi utilizzare le API di AEM Forms per creare, modificare o modificare questo elenco. Ad esempio, per creare l’elenco Eccezioni referente consentite globali, utilizza:

addAllowedRefererExceptions(UMConstants.LC_GLOBAL_ALLOWED_REFERER_EXCEPTION, Arrays.asList("/index.html", "/sample/(.)*"))

Utilizza il CSRF_ALLOWED_REFERER_EXCEPTIONS elenco di eccezioni specifiche per l'applicazione.

Disabilitazione del filtro Referrer

Se il filtro Referrer blocca completamente l'accesso a Forms Server e non è possibile modificare l'elenco Referrer consentiti, è possibile aggiornare lo script di avvio del server e disattivare il filtro Referrer.

Includi -Dlc.um.csrffilter.disabled=true Argomento JAVA nello script di avvio e riavviare il server. Assicurati di eliminare l’argomento JAVA dopo aver riconfigurato in modo appropriato l’elenco dei Referenti consentiti.

Filtro referrer per file WAR personalizzati

È possibile che tu abbia creato file WAR personalizzati da utilizzare con AEM Forms su JEE per soddisfare i tuoi requisiti aziendali. Per abilitare il filtro Referrer per i file WAR personalizzati, includi adobe-usermanager-client.jar nel percorso di classe per WAR e includere una voce di filtro nel file* web.xml* con i seguenti parametri:

CSRF_CHECK_GETS controlla il controllo Referrer sulle richieste GET. Se questo parametro non è definito, il valore predefinito viene impostato su false. Includi questo parametro solo se desideri filtrare le richieste GET.

CSRF_ALLOWED_REFERER_EXCEPTIONS è l’ID dell’elenco Eccezioni referente consentite. Il filtro Referrer impedisce che le richieste provenienti da Referrer nell'elenco identificato dall'ID elenco richiamino qualsiasi risorsa sul server Forms.

CSRF_ALLOWED_URIS_LIST_NAME è l’ID dell’elenco degli URI consentiti. Il filtro Referrer non blocca le richieste per nessuna delle risorse nell’elenco identificate dall’ID elenco, indipendentemente dal valore dell’intestazione Referrer nella richiesta.

CSRF_ALLOW_NULL_REFERER controlla il comportamento del filtro Referrer quando il Referrer è nullo o non presente. Se questo parametro non è definito, il valore predefinito viene impostato su false. Includi questo parametro solo se desideri consentire l’uso di Riferimenti Null. L’autorizzazione di referenti null può consentire alcuni tipi di attacchi di tipo Cross Site Request Forgery.

CSRF_NULL_REFERER_EXCEPTIONS è un elenco degli URI per i quali non viene eseguito il controllo Referrer quando il Referrer è nullo. Questo parametro è abilitato solo quando CSRF_ALLOW_NULL_REFERER è impostato su false. Separa più URI nell’elenco con una virgola.

Di seguito è riportato un esempio della voce di filtro in web.xml file per un ESEMPIO File WAR:

<filter>
       <filter-name> filter-name </filter-name>
       <filter-class> com.adobe.idp.um.auth.filter.RemoteCSRFFilter </filter-class>
     <!-- default is false -->
     <init-param>
      <param-name> CSRF_ALLOW_NULL_REFERER </param-name>
      <param-value> false </param-value>
     </init-param>
     <!-- default is false -->
     <init-param>
      <param-name> CSRF_CHECK_GETS </param-name>
      <param-value> true </param-value>
     </init-param>
     <!-- Optional -->
     <init-param>
       <param-name> CSRF_NULL_REFERER_EXCEPTIONS </param-name>
       <param-value> /SAMPLE/login, /SAMPLE/logout  </param-value>
     </init-param>
     <!-- Optional -->
     <init-param>
      <param-name> CSRF_ALLOWED_REFERER_EXCEPTIONS </param-name>
      <param-value> SAMPLE_ALLOWED_REF_EXP_ID </param-value>
     </init-param>
     <!-- Optional -->
     <init-param>
      <param-name> CSRF_ALLOWED_URIS_LIST_NAME </param-name>
      <param-value> SAMPLE_ALLOWED_URI_LIST_ID     </param-value>
     </init-param>
</filter>
    ........
    <filter-mapping>
      <filter-name> filter-name </filter-name>
      <url-pattern>/*</url-pattern>
    </filter-mapping>

Risoluzione dei problemi

Se le richieste di server legittime vengono bloccate dal filtro CSRF, eseguire una delle operazioni seguenti:

Configurazione di rete sicura secure-network-configuration

Questa sezione descrive i protocolli e le porte richiesti da AEM Forms su JEE e fornisce consigli per la distribuzione di AEM Forms su JEE in una configurazione di rete sicura.

Protocolli di rete utilizzati da AEM Forms su JEE network-protocols-used-by-aem-forms-on-jee

Quando configuri un’architettura di rete sicura come descritto nella sezione precedente, per l’interazione tra AEM Forms su JEE e altri sistemi della rete aziendale sono necessari i seguenti protocolli di rete.

Porte per server applicazioni ports-for-application-servers

In questa sezione vengono descritte le porte predefinite (e gli intervalli di configurazione alternativi) per ogni tipo di server applicazioni supportato. Queste porte devono essere attivate o disattivate sul firewall interno, a seconda della funzionalità di rete che si desidera consentire ai client che si connettono al server applicazioni che esegue AEM Forms su JEE.

Porte JBoss

Porte WebLogic

Porte WebSphere

Per informazioni sulle porte WebSphere richieste da AEM Forms su JEE, passare all'impostazione del numero di porta nell'interfaccia utente di WebSphere Application Server.

Configurazione di SSL configuring-ssl

Con riferimento all’architettura fisica descritta nella sezione Architettura fisica di AEM Forms su JEE, è necessario configurare SSL per tutte le connessioni che si intende utilizzare. In particolare, tutte le connessioni SOAP devono essere eseguite tramite SSL per evitare l'esposizione delle credenziali utente in una rete.

Per istruzioni su come configurare SSL su JBoss, WebLogic e WebSphere, vedi "Configurazione di SSL" in aiuto per l'amministrazione.

Per istruzioni su come importare certificati in JVM (Java Virtual Machine) configurata per un server AEM Forms, vedere la sezione Autenticazione reciproca in Guida di AEM Forms Workbench.

Configurazione del reindirizzamento SSL configuring-ssl-redirect

Dopo aver configurato il server applicazioni per il supporto di SSL, è necessario assicurarsi che tutto il traffico HTTP verso applicazioni e servizi venga imposto per l'utilizzo della porta SSL.

Per configurare il reindirizzamento SSL per WebSphere o WebLogic, consulta la documentazione del server applicazioni.

Consigli di protezione specifici per Windows windows-specific-security-recommendations

Questa sezione contiene raccomandazioni sulla sicurezza specifiche per Windows quando viene utilizzato per eseguire AEM Forms su JEE.

Account del servizio JBoss jboss-service-accounts

Per impostazione predefinita, l’installazione chiavi in mano di AEM Forms su JEE imposta un account di servizio utilizzando l’account Sistema locale. L'account utente del sistema locale incorporato dispone di un livello elevato di accessibilità e fa parte del gruppo Administrators. Se l'identità di un processo di lavoro viene eseguita come account utente del sistema locale, tale processo di lavoro ha accesso completo all'intero sistema.

Eseguire il server applicazioni utilizzando un account non amministrativo run-the-application-server-using-a-non-administrative-account

Protezione del file system file-system-security

AEM Forms su JEE utilizza il file system nei seguenti modi:

Quando si utilizzano le cartelle controllate come metodo per inviare e ricevere documenti con un servizio Forms Server, adottare ulteriori precauzioni per la protezione del file system. Quando un utente rilascia del contenuto nella cartella controllata, tale contenuto viene esposto attraverso la cartella controllata. In questo caso, il servizio non autentica l’utente finale effettivo. Al contrario, si basa sulla sicurezza ACL e a livello di condivisione da impostare a livello di cartella per determinare chi può effettivamente richiamare il servizio.

Raccomandazioni sulla sicurezza specifiche per JBoss jboss-specific-security-recommendations

Questa sezione contiene i consigli di configurazione del server applicazioni specifici per JBoss 7.0.6 quando utilizzato per eseguire AEM Forms su JEE.

Disabilita la console di gestione JBoss e la console JMX disable-jboss-management-console-and-jmx-console

L’accesso a JBoss Management Console e JMX Console è già configurato (il monitoraggio JMX è disabilitato) quando si installa AEM Forms su JEE su JBoss utilizzando il metodo di installazione chiavi in mano. Se utilizzi un server applicazioni JBoss personalizzato, assicurati che l’accesso alla console di gestione JBoss e alla console di monitoraggio JMX sia protetto. L’accesso alla console di monitoraggio JMX è impostato nel file di configurazione JBoss denominato jmx-invoker-service.xml.

Disattiva esplorazione directory disable-directory-browsing

Dopo aver effettuato l’accesso ad Administration Console, è possibile sfogliare l’elenco delle directory della console modificando l’URL. Ad esempio, se modifichi l’URL in uno dei seguenti URL, potrebbe essere visualizzato un elenco di directory:

https://<servername>:8080/adminui/secured/
https://<servername>:8080/um/

Raccomandazioni sulla sicurezza specifiche per WebLogic weblogic-specific-security-recommendations

Questa sezione contiene i suggerimenti per la configurazione del server applicazioni per la protezione di WebLogic 9.1 durante l'esecuzione di AEM Forms su JEE.

Disattiva esplorazione directory disable_directory_browsing-1

Impostare le proprietà delle directory indice nel file weblogic.xml su false, come mostrato in questo esempio:

<container-descriptor>
    <index-directory-enabled>false
    </index-directory-enabled>
</container-descriptor>

Abilita porta SSL WebLogic enable-weblogic-ssl-port

Per impostazione predefinita, WebLogic non abilita la porta di ascolto SSL predefinita, 7002. Abilitare questa porta nella console di amministrazione del server WebLogic prima di configurare SSL.

Consigli sulla sicurezza specifici per WebSphere websphere-specific-security-recommendations

Questa sezione contiene i suggerimenti per la configurazione del server applicazioni per la protezione di WebSphere che esegue AEM Forms su JEE.

Disattiva esplorazione directory disable_directory_browsing-2

Imposta il directoryBrowsingEnabled nel file ibm-web-ext.xml a false.

Abilita protezione amministrativa WebSphere enable-websphere-administrative-security