DCOM??? Seite 1

Transkript

1 DCOM??? Seite 1

2 Sie wissen, welche Aspekte das Sicherheitsmodell von DCOM vorsieht was die Konfiguration der einzelnen Aspekte bedeutet Seite 2

3 Wieso wichtig? Vernetzung nimmt zu nicht mehr losgelöste Automationsnetze, sondern integriert in andere Netzwerke Seite 3

4 Begriffe auf Deutsch Englisch Seite 4

5 Aspekte der Sicherheit Access Security Launch Security Identity Connection policy Zugriffsberechtigung Start-/Aktivierungskontrolle Identität Kommunikationssicherheit Seite 5

6 Konfigurationsmöglichkeit DEFAULT-Konfiguration (Warnung: spielen Sie nicht mit der DEFAULT- Konfiguration) Applikationsspezifische Konfiguration Seite 6

7 Launch Security /Startberechtigung Wer darf eine Komponente starten? SCM überprüft HKEY_CLASSES_ROOT\AppID\{...}\Launch Permission oder Default OLE-Konfiguration Seite 7

8 Tips ACCESS denied : Analysieren Sie das Ereignisprotokoll Einfache Konfiguration: Benutzen Sie Domainen oder Worksgroups Seite 8

9 Seite 9

10 Access Security / Zugriffsberechtigungen Wer darf Dienste einer gestarteten Komponente in Anspruch nehmen? Seite 10

11 Sicherheitseinstellungen für die Kommunikation none/keine connect / Verbinden call Packet integrity/ Paketintegrität private/ Paketvertraulichkeit keine Identifikation Identifikation bei der ersten Verbindungsaufnahme des Clients mit dem Server Identifikation bei jedem remote procedure call Identifikation jedes Pakets Wie Packet plus cryptographische Checksume Verschlüsselung der Information( realisiert in Windows 2000 mit Kerberos) Seite 11

12 Identität: Identität und Identitätswechselebene unter welchem Namen oder SID läuft die Komponente Identitätswechselebene: Welche Kompetenzen kann die Komponente vom Client ausleihen? Seite 12

13 Identität 'Interaktive Benutzer', (Interactive user), 'Benutzer, der die Anwendung startet' (the launching user) 'Dieser Benutzer' (this user) Seite 13

14 Window Station Windows: kein multi-user System Sicherheitsumgebung: Arbeitsstation, engl. Window station Arbeitsstation erhält Sicherheitsreferenzen, die mit der Identität verknüpft sind Seite 14

15 Window Station Interaktive Window Station: besitzt Keyboard, Mouse und Bildschirm Anzahl beschränkt der eingeloggte Benutzer hat eine interaktive WS nicht interaktive Window Station: keine Ausgabe auf Bildschirm möglich Seite 15

16 Identität: Interaktiver Benutzer OPC-Server wird unter den SID des eingeloggten Benutzers gestartet weitere Aufrufe erzeugen keinen neuen Serverprozess, wenn der Server Mehrfachnutzung erlaubt und mit COM gestartet wurde Seite 16

17 Identität: Dieser Benutzer OPC-Server wird mit der SID des angegebenen Benutzers gestartet es werden keine neuen Server gestartet, wenn der Server Mehrfachnutzung erlaubt und von COM gestartet wurde Seite 17

18 Benutzer, der die Anwendung startet/launching user Lokaler Client: Server wird mit der SID des aufrufenden Clients gestartet läuft in der gleichen Window Station wie Client Client aus anderer Window Station erzeugt neuen Serverprozess, da Window Station nicht geteilt werden kann Seite 18

19 Benutzer, der die Anwendung startet/launching user Remote Client: Server wird mit der SID des aufrufenden Clients gestartet Server erhält eigene Window Station mehrere Clients mit anderen Window Stations (meist auch auf verschiedenen Rechnern) erzeugen keinen neuen Serverprozess, falls sie die gleiche SID haben Seite 19

20 Fazit für OPC-Server mehrere Operatoren, verschiedene Benutzernahmen nur mit Konfiguration 'Interaktiver Benutzer' möglich, die gleiche Serverinstanz für mehrere Clients zu brauchen Seite 20

21 Identitätswechsel Was darf der Server im Namen des Clients? Seite 21

22 Sicherheitseinstellungen für die Authentizierung Anonym/Anonymous Identifizieren/Identify Client bleibt dem Server anonym - Server kann die Rechte des Clients sehen - kann sie aber nur für Identifikation und Authorisierung verwenden (NT4.0 default) Darstellen/Impersonate Server kann Client identifizieren und seine Identität nur für lokale Aktivitäten 'ausleihen' Delegieren/Delegate Server kann Client identifizieren und seine Identität für lokale und remote Aktivitäten 'ausleihen' (nicht umgesetzt auf NT4.0) Seite 22

23 DCOM-Konfiguration auf der Client-Maschine Die Clientmaschine muss die gleichen Registry- Einträge haben, wie wenn der Server als lokaler out-of-process server laufen müsste. Aber es muss angegeben werden, auf welchem Remote-Rechner der Server gestartet werden soll Seite 23