SSO mit Forms direkt gegen ein Active Directory. Wolf G. Beckmann TEAM GmbH Paderborn

Transkript

1 SSO mit Forms direkt gegen ein Active Directory Wolf G. Beckmann TEAM GmbH Paderborn

2 Zahlen und Fakten Unternehmensgruppe Materna: Mitarbeiter 160 Mio. Euro Umsatz in 2013 Geschäftsführung: Michael Baranowski - Heike Käferle Mitarbeiterzahl: 65

3

4 OracleBusiness: Passgenaue Oracle - Dienstleistungen Lizenzierung Consulting Schulungen Business Intelligence Individualentwicklung Migration von Oracle-Systemen Oracle Administration Services TEAM - Ihr Partner für IT 5

5 Oracle Administration Services TEAM-Hotline 24x7 Proaktive automatische Überwachung Trend-Analyse Oracle DBA-Dienstleistungen TEAM Hotline (mit garantierter Reaktionszeit) TEAM Administration Dienstleistungen TEAM - Ihr Partner für IT 6

6 Oracle Consulting Coaching- und Mentoring in Technologieprojekten Beratungen, Installationen und Releasewechsel Oracle Datenbanken und Oracle Fusion Middleware System-Installation und -Upgrade für Oracle-Produkte Aufbau von Business Intelligence-Lösungen Oracle Performance Analyse und -Tuning TEAM - Ihr Partner für IT 8

7 Individuelle Software-Entwicklung mit Oracle ADF Passgenaue Softwarelösungen für Webapplikationen Mobile Anwendungen für variable Devices Migration von Forms nach ADF Integration von Webservices, SOA-Konzepten und Portale Effizienter Methodeneinsatz und Entwicklungsstrategien J2EE-Technologien TEAM - Ihr Partner für IT 9

8 Schulungen und Workshops festterminierte Standardschulungen individuell zugeschnittene Workshops aufeinander aufbauende Schulungswege praxiserfahrene Trainer TEAM - Ihr Partner für IT 11

9 Die TEAM Migration Services Iteraktive Migrationsunterstützung Modelgetriebene Toolgestützte Migration vom Forms Applikationen zu ADF Oracle Reports zu JasperReports Bibliotheken für die Zielarchitektur Schulungen in der Zielarchitektur Mentoring bei der Migration TEAM - Ihr Partner für IT 12

10 Agenda Aufgabenstellung Die Lösung von Oracle Der alternative Lösungsweg Sichere Kommunikation Kerberos Authentifizierung Hinweise zu Java und Windows Authentifizierungssystem TEAM - Ihr Partner für IT 14

11 Aufgabenstellung TEAM - Ihr Partner für IT 15

12 Die Lösung von Oracle Oracle Access Manager Oracle Internet Directory Synchronisation mit Microsoft Active Directory TEAM - Ihr Partner für IT 16

13 Alternativen X Anmelden TEAM - Ihr Partner für IT 17

14 Alternativen Kerberos TEAM - Ihr Partner für IT 18

15 Kerberos TEAM - Ihr Partner für IT 19

16

17 Kerberos und die Datenbank Wie hilft uns Kerberos bei der Anmeldung an die Datenbank? Erst einmal gar nicht! Wir brauchen ein Konzept TEAM - Ihr Partner für IT 21

18 Konzept: Der Benutzer hat kein Passwort Authentifizierung Passwort zurückgeben Anmelde- Service Zufallspasswort für den Nutzer erstellen Client An DB anmelden und Passwort löschen DB TEAM - Ihr Partner für IT 22

19 Sicherheit TEAM - Ihr Partner für IT 23

20 Konzept der Sicherheit Vertraulichkeit Integrität Authentizität TEAM - Ihr Partner für IT 24

21 Vertraulichkeit und Integrität Verschlüsselung für Hin und Rückweg (Vertraulichkeit) Asymmetrische Verschlüsslung für den Hinweg (RSA) Symmetrische Verschlüsselung für den Rückweg (AES) (Schlüssel wir vom Sender generiert und auf dem Hinweg übertragen) Checksummen in beiden Richtungen (Integrität) Berechnung von Hash-Werten TEAM - Ihr Partner für IT 25

22 Authentizität Zum Glück haben wir uns mit Kerberos beschäftigt TEAM - Ihr Partner für IT 26

23 Sichere Übertragung der Daten Daten an den Service Verschlüsselt mit dem öffentlichen Schlüssel des Services Client Zufalls-Schlüssel vom Client Kerberos Service Ticket (Authentifizierung) Daten an den Client Hash Verschlüsselt mit dem Zufalls-Schlüssel vom Client Anmelde- Service Zufalls-Passwort Hash TEAM - Ihr Partner für IT 27

24 Konfiguration des Active Directory Anlegen eines Techn. Benutzers im Active Directory für den Service Anlegen eines Service Principal Names (SPN) für diesen Benutzer (als DomainAdmin auf einem AD Mitgliedsrechner ausführen, nicht dem DomainController): SetSPN -U -S HTTP/<Servername FQDN>:<Port> <User> TEAM - Ihr Partner für IT 28

25 Aufbau des Client Integration in Forms Einbinden in den Trigger: ON-LOGON Erweiterung durch Javabean FSSOCLIENT TEAM - Ihr Partner für IT 29

26 Aufbau des Client Aufbau der FSSOCLIENT-Bean TEAM - Ihr Partner für IT 30

27 Aufbau des Client Aufbau der FSSOCLIENT-Bean DB-Parameter vom Service ermitteln Parameter als Property Forms bereitstellen Server Konfigurieren (jar s signieren nicht vergessen) TEAM - Ihr Partner für IT 31

28 Aufbau des Client Einbindung in Forms TEAM - Ihr Partner für IT 32

29 Aufbau des Client Ermittlung des Service-Tickets (ST) Der Benutzer hat sich unter Windows angemeldet Service Ticket ermitteln Ticket ist leer???? TEAM - Ihr Partner für IT 33

30 Windows und JAAS Windows verbietet, dass auf den Session Key unter Java zugegriffen wird Lösung Registry-Eintrag? TEAM - Ihr Partner für IT 34

31 Kerberos unter Windows Waffle ( TEAM - Ihr Partner für IT 35

32 Ermitteln des Session Tickets mit Waffle TEAM - Ihr Partner für IT 36

33 Aufbau des Servers Tomcat als Servlet-Container SPNEGO für die Kerberos-Autentifizerung ( Einrichten der Kerberos-Umgebung spnego.jar auf Tomcat unter /lib bereitstellen krb5.conf, login.conf und web.xml anpassen TEAM - Ihr Partner für IT 38

34 Server als Servlet realisiert Übertragung der Daten als HTTP-Request Das Servlet implementiert die doget / dopost Methoden TEAM - Ihr Partner für IT 39

35 Initialisierung des Servlets TEAM - Ihr Partner für IT 40

36 Authentizität prüfen / ermitteln TEAM - Ihr Partner für IT 41

37 Sichere Übertragung der Daten Daten an den Service Verschlüsselt mit dem öffentlichen Schlüssel des Services Client Zufalls-Schlüssel vom Client Kerberos Service Ticket (Authentifizierung) Daten an den Client Hash Verschlüsselt mit dem Zufalls-Schlüssel vom Client Anmelde- Service Zufalls-Passwort Hash TEAM - Ihr Partner für IT 42

38 Verschlüsselung Ver- und Endschlüsseln von Daten Generierung von AES-Keys ( TEAM - Ihr Partner für IT 43

39 Verschlüsselung der Daten Über die Cipher Klasse werden einfache Funktionen zur Ver- und Endschlüsselung angeboten TEAM - Ihr Partner für IT 44

40 Schlüsselgenerierung TEAM - Ihr Partner für IT 45

41 Benutzer in der Datenbank Zufallspasswortgenerator zum Setzen und Löschen von Passworten Löschen des Passwortes direkt nach der Anmeldung Löschen des Passwortes per Timer Tabelle mit Zeitpunkt der Passwortgenerierung Zyklischen Job TEAM - Ihr Partner für IT 46

42 Das Puzzel wird zusammengesetzt Client (Anfrage) Ermittlung des Service-Tickets für den Server Erstellung eines AES-Schlüssels Erstellen eines Containers, mit Benutzerdaten, Schlüssel und einer Checksumme (Hash) Verschlüsseln des Containers mit dem öffentlichen RSA-Schlüssel des Servers Absetzen des Rest-Requests an den Server TEAM - Ihr Partner für IT 47

43 Das Puzzel wird zusammengesetzt Server Entschlüsseln des Requests mit privatem RSA-Schlüssel Überprüfen des Containers mit dem Hash Authentizität des Clients über das Service-Tickets ermitteln Passwort in der Datenbank generieren Container mit Passwort und Hash erstellen (Es werden auch DB-Benutzer und DB-Connect-String mit gegeben) Container mit dem AES-Schlüssel verschlüsseln Verschlüsselten Container zurück geben TEAM - Ihr Partner für IT 48

44 Das Puzzel wird zusammengesetzt Client (Anmelden) Entschlüsseln der Antwort mit dem AES-Schlüssel Überprüfen des Containers mit dem Hash Anmelden an der Datenbank mit dem Zufallspasswort Löschen des Passwortes Erstellen eines neuen Zufallspasswortes TEAM - Ihr Partner für IT 49

45 Zum Abschluss nochmal das Bild Daten an den Service Verschlüsselt mit dem öffentlichen Schlüssel des Services Client Zufalls-Schlüssel vom Client Kerberos Service Ticket (Authentifizierung) Hash Haben Sie noch Fragen? Daten an den Client Verschlüsselt mit dem Zufalls-Schlüssel vom Client Anmelde- Service Zufalls-Passwort Hash TEAM - Ihr Partner für IT 50

46 TEAM auf der DOAG Migration nach 12c - Erste Erfahrungen Andreas Kother Donnerstag, den Zeit: 16:00-16:45 Uhr - Raum: Singapur Oracle Data Guard (Standby Datenbank) Andreas Kother Freitag, am DOAG Schulungstag TEAM - Ihr Partner für IT 51

47 Treffen der Deutschen ADF Community Wann Mittwoch, 19. Nov., Uhr Wo Raum Kopenhagen Warum Neuigkeiten zu Oracle ADF erfahren Mit Product Managern und Experten sprechen Networking, Austausch und Mitgestalten

48 Vielen Dank für Ihre Aufmerksamkeit! TEAM GmbH Hermann-Löns-Str Paderborn Fon Fax Mail Web