IBM Distributed Computing Environment Versione 3.2 per Solaris. Guida operativa

Transcript

1 IBM Distributed Computing Environment Versione 3.2 per Solaris Guida operativa

2

3 IBM Distributed Computing Environment Versione 3.2 per Solaris Guida operativa

4 Nota Prima di utilizzare questo documento, consultare le informazioni contenute nella sezione Appendice C. Informazioni particolari a pagina 107. Prima edizione (luglio 2001) Questa edizione si applica alla Versione 3.2 di IBM Distributed Computing Environment per Solaris e a tutte le modifiche e release successivi a meno che non diversamente indicato nelle nuove edizioni o nelle lettere informative tecniche. Richieste di ulteriori copie di questo prodotto vanno indirizzate a un rivenditore autorizzato o ao a un rappresentante commerciale IBM. Le pubblicazioni non sono disponibili all indirizzo di seguito riportato. Come ultima pagina del manuale è stato predisposto un foglio riservato ai commenti del lettore. Se il foglio è stato rimosso, eventuali commenti possono essere inviati al seguente indirizzo: Selfin S.p.A. Translation Assurance Via F. Giordani, NAPOLI Tutti i commenti eisuggerimenti inviati potranno essere utilizzati liberamente dall IBM e dalla Selfin e diventeranno esclusiva delle stesse. Copyright International Business Machines Corporation Tutti i diritti riservati.

5 Indice Tabelle v Benvenuti in DCE 3.2 per Solaris.... vii Convenzioni tipografiche e per l uso dei tasti vii Parte 1. Informazioni su DCE 3.2 per Solaris Capitolo 1. Panoramica di DCE 3.2 per Solaris Cosa è il DCE? Confronto tra Legacy DCE Security Registry e LDAP Integrated DCE Security Registry... 5 Funzioni del prodotto Pacchetti del DCE DCE Versione 3.2 Base Services per Solaris 5 DCE Versione 3.2 per Solaris Miglioramenti IBM su DCE Conformazione agli standard Compatibilità con Solaris Funzione DCE OSF non supportata Limitazioni dei servizi supportati per i resoconti configurati per autenticazione con chiave pubblica Limitazioni dei servizi supportati per i servizi di sicurezza LDAP Capitolo 2. Avvisi per la coesistenza tra DCE e Kerberos SEAM e IBM KRB toolkit Nomi di strumenti in conflitto Parte 2. Pianificazione, installazione disinstallazione e migrazione su DCE 3.2 per Solaris 21 Capitolo 3. Pianificazione Requisiti di sistema Requisiti di spazio su disco Considerazioni generiche e sulla cella Considerazioni sulla pianificazione Definizione di un nome cella Namespace della cella Pianificazione per il controllo dell accesso 34 Considerazioni sulla denominazione DCE per l impostazione internazionale Considerazioni su client e server Determinazione dei requisiti per le macchine client DCE Determinazione dei requisiti per le macchine server DCE Requisiti per la migrazione di DCE Legacy ad un LDAP Security Server Programmi di utilità di gestione DCE.. 44 Ambiente di sviluppo dell applicazione Ubicazione dei file DCE installati L albero secondario /opt/dcelocal Directory UNIX convenzionali Ubicazioni file Capitolo 4. Installazione DCE 3.2 per Solaris Server e client Pacchetti installabili Software richiesto Installazione del DCE Migrazione di una cella DCE Solaris in DCE 3.2 per Solaris disinstallazione del DCE Letture consigliate Parte 3. Configurazione, avvio e arresto di DCE 3.2 per Solaris.. 65 Capitolo 5. Configurazione di client e server DCE 3.2 per Solaris Configurazione di DCE Panoramica sulla configurazione Comandi forniti dall utente Variabili di ambiente Nuovi comandi del DCE Configurazione iniziale della cella Configurazione dei server Configurazione dei client Configurazione successiva della cella Configurazione dei server DTS Configurazione di un client DTS Configurazione dei server CDS secondari 80 Copyright IBM Corp iii

6 Configurazione dei security replica server 81 Configurazione di GDA (Global Directory Agent) Configurazione dei server EMS Configurazione dei server SNMP Configurazione dell integrazione della sicurezza DCE 3.2 per Solaris Configurazione dei server Audit Configurazione dei server Password Strength Configurazione di NSID (Name Service Interface Daemon) Configurazione di un Identity Mapping Server Configurazione di DCE Web Secure per Solaris Verifica della configurazione di DCE Web Secure Annullamento della configurazione dei componenti DCE Elementi da considerare prima dell annullamento della configurazione.. 87 Annullamento della configurazione a sezioni Annullamento della configurazione del DCE Annullamento della configurazione del DCE Web Secure Capitolo 6. Avvio ed arresto del DCE 3.2 per Solaris Avvio dei daemon DCE Avvio daemon dalla riga comandi Avvio di DCE adesso e al riavvio del sistema Modifica degli argomenti trasmessi al DCE al riavvio Arresto dei daemon DCE Capitolo 7. Come ottenere di ulteriori informazioni Pubblicazioni Informazioni in linea Pubblicazioni online Stampa ed ordine delle pubblicazione Pubblicazioni IBM DCE Altra pubblicazioni Utilizzo della documentazione DCE 3.2 per Solaris Il programma start_dcedoc Visualizzazione dei file di testo semplici. 97 Visualizzazione della documentazione HTML mediante un browser Web Stampa delle pubblicazioni PDF Parte 4. Appendici Appendice A. Documentazione in linea 101 Appendice B. Configurazione avanzata di DCE Web Secure per Solaris Configurazione percorsi autenticati configurazione file di chiavi Sintassi della configurazione avanzata - Riepilogo Esempi di configurazione avanzata Appendice C. Informazioni particolari Marchi Indice analitico iv IBM DCE Versione 3.2 per Solaris: Guida operativa

7 Tabelle 1. Pacchetti di installazione e software richiesto Copyright IBM Corp v

8 vi IBM DCE Versione 3.2 per Solaris: Guida operativa

9 Benvenuti in DCE 3.2 per Solaris In questo manuale sono contenute informazioni relative al prodotto IBM Distributed Computing Environment Versione 3.2 per Solaris (DCE 3.2 per Solaris). Vengono descritti i componenti server e client. Parte 1. Informazioni su DCE 3.2 per Solaris a pagina 1 contiene una panoramica di DCE 3.2 per Solaris. Parte 2. Pianificazione, installazione disinstallazione e migrazione su DCE 3.2 per Solaris a pagina 21 descrive come installare disinstallare e migrare in DCE 3.2 per Solaris. Parte 3. Configurazione, avvio e arresto di DCE 3.2 per Solaris a pagina 65 descrive come configurare ed utilizzare DCE 3.2 per Solaris. Convenzioni tipografiche e per l uso dei tasti Questo manuale utilizza le seguenti convenzioni tipografiche: Grassetto Le parole o i caratteri in Grassetto rappresentano elementi di sistema da utilizzare in modo letterale, come comandi, opzioni e nomi di percorsi. Corsivo Le parole o i caratteri in Corsivo rappresentano valori variabili che è necessario fornire. Il Corsivo può anche introdurre un nuovo termine DCE. Spaziatura fissa Gli esempi e le informazioni che il sistema visualizza appaiono in font a spaziatura fissa. [] Le parentesi quadre racchiudono voci facoltative nel formato e nelle descrizioni della sintassi. {} Le graffe racchiudono un elenco da cui è necessario scegliere una voce nel formato e nelle descrizioni della sintassi. Una barra verticale separa le voci in un elenco di scelte. <> I segni di maggiore e minore racchiudono il nome di un tasto sulla tastiera.... I punti sospensivi indicano che è possibile ripetere la voce precedente una o più volte. Copyright IBM Corp vii

10 Questo manuale utilizza le seguenti convenzioni per i tasti: <Ctrl- x> o x La combinazione <Ctrl- x> o x seguita dal nome di un tasto indica una sequenza di caratteri di controllo. Ad esempio, <Ctrl-C> indica di tenere premuto il tasto control mentre si preme <C>. <Ritorno> <Ritorno> si riferisce al tasto sul terminale o workstation, etichettato con la parola Ritorno o Invio o con una freccia a sinistra. viii IBM DCE Versione 3.2 per Solaris: Guida operativa

11 Parte 1. Informazioni su DCE 3.2 per Solaris Copyright IBM Corp

12 2 IBM DCE Versione 3.2 per Solaris: Guida operativa

13 Capitolo 1. Panoramica di DCE 3.2 per Solaris IBM Distributed Computing Environment Versione 3.2 per Solaris (DCE 3.2 per Solaris) appartiene alla famiglia di prodotti IBM Server Series. DCE 3.2 per Solaris si basa sulla tecnologia OSF (Open Software Foundation) DCE (Release 1.2.2). Cosa è il DCE? Il DCE fornisce un ambiente standard per il supporto di applicazioni distribuite. Rappresenta le tecnologie selezionate dall OSF e si distingue come principale standard industriale per i servizi distribuiti. Un applicazione scritta per l utilizzo del DCE può essere eseguita in qualsiasi ambiente che supporti lo standard DCE OSF. Grazie al DCE, gli sviluppatori di programmi applicativi possono fornire agli utenti l accesso alla vasta gamma di informazioni e servizi disponibili nella rete. Il DCE, rende possibile tali operazioni, nascondendo la complessità dell ambiente di rete. I servizi di elaborazione distribuiti, così come implementati nel DCE, forniscono un importante tecnologia software per lo sviluppo dei programmi applicativi distribuiti. La possibilità, tramite il DCE, di rendere trasparente agli sviluppatori di programmi applicativi la sottostante architettura di rete. Il DCE si compone di un livello di software posto tra il sistema operativo, l interfaccia di rete ed il programma applicativo distribuito. Fornisce una varietà di servizi comuni necessari all utente per lo sviluppo dei programmi applicativi distribuiti. Tali programmi applicativi includono i servizi relativi al nome ed al tempo ed un interfaccia per la chiamata alla procedura standard in remoto (RPC). Un metodo per la progettazione, lo sviluppo e la gestione dei programmi applicativi distribuiti. Un gruppo di macchine DCE che lavorano insieme e vengono gestite come un unità, viene denominato cella. Immaginarsi, ad esempio, un organizzazione composta da più dipartimenti, ognuno collocato in un edificio diverso e che opera con un budget proprio. Ogni dipartimento in tale organizzazione può disporre di una propria cella DCE. Un ambiente DCE è una cella o un gruppo di celle DCE che possono comunicare tra loro. Una cella diventa parte di un ambiente DCE quando ottiene l accesso a uno o più servizi globali della directory in cui sono registrate le altre celle dell ambiente. Copyright IBM Corp

14 Se due celle di due diversi dipartimenti fanno parte di un ambiente DCE, un utente nella cella di un dipartimento può accedere alle risorse nella cella dell altro dipartimento. Generalmente, questo accesso è meno frequente e più limitato dell accesso alle risorse all interno della cella dell utente. Un Responsabile potrà configurare una cella DCE in diversi modi, a seconda dei requisiti dell utente. Una cella consiste di una rete che collega due tipi di nodi: v Le macchine dell utente (client) DCE sono macchine DCE con funzioni generiche. Contengono software che consente loro di operare come client per tutti i servizi DCE. v Le macchine server DCE dispongono di un software speciale che consente loro di fornire uno o più servizi DCE. È necessario che ogni cella disponga di almeno uno di ciascuno dei seguenti server per funzionare: Cell Directory Server Security server Per fornire ulteriore funzionalità, in una data cella DCE possono essere presenti altri server DCE. Ad esempio, un Global Directory Agent può abilitare il directory server della cella a comunicare con i directory server di altre celle. DCE 3.2 per Solaris è un livello tra il sistema operativo Solaris, i servizi di rete e un programma applicativo distribuito. DCE 3.2 per Solaris fornisce i servizi che consentono a un programma applicativo distribuito di interagire con un eventuale gruppo di computer, sistemi operativi e reti eterogenei, come se fossero un unico sistema. DCE 3.2 per Solaris comprende una serie di servizi standard, interfacce software e strumenti per la creazione, l utilizzo e la gestione di programmi applicativi distribuiti in un ambiente di elaborazione diversificato. DCE 3.2 per Solaris ha la stessa organizzazione di DCE OSF. La prima parte di questo manuale introduce il concetto di cella DCE e fornisce un breve riepilogo del modo in cui vengono organizzate diverse macchine che collaborano in un DCE. DCE 3.2 per Solaris si basa sul code base DCE OSF Rilascio ed è supportato per le versioni supportate del sistema operativo Solaris. Consultare IBM DCE Version 3.2 for Solaris: Release Notes per un elenco delle versioni supportate del sistema operativo Solaris. 4 IBM DCE Versione 3.2 per Solaris: Guida operativa

15 Confronto tra Legacy DCE Security Registry e LDAP Integrated DCE Security Registry Una nuova funzione introdotta con il DCE 3.2 per Solaris consente agli utenti di integrare i registri di riservatezza (security registry) utilizzati con LDAP in modo che tutti i dati di registro possano essere memorizzati in una directory LDAP. In questa pubblicazione, la dicitura legacy DCE si riferisce a tutte le versioni del DCE che non utilizzano tale funzione, incluso DCE 3.2. Funzioni del prodotto DCE 3.2 per Solaris è disponibile nei seguenti pacchetti: v DCE Versione 3.2 Base Services per Solaris, che comprende i seguenti pacchetti: DCE Client Services, Versione 3.2 DCE System Management, Versione 3.2 DCE X.500 API Library, Versione 3.2 DCE Tools for Application Developers, Versione 3.2 DCE Messages, Versione 3.2 DCE Online Documentation, Versione 3.2 DCE Privacy Level Protection (già noto come DCE Data Encryption Standard (DES) Library), Versione 3.2 v DCE Versione 3.2 per Solaris, che, in aggiunta ai seguenti pacchetti, include tutti quelli compresi nel DCE Versione 3.2 Base Services per Solaris: DCE Cell Directory Server, Versione 3.2 DCE Security Server, Versione 3.2 Pacchetti del DCE 3.2 In questa sezione vengono descritti i pacchetti del DCE 3.2. DCE Versione 3.2 Base Services per Solaris DCE Version 3.2 Base Services per Solaris fornisce il supporto per le rpc, la funzionalità del client per la sicurezza e il servizio directory della cella, tempo, messaggistica e affidabilità. Questo pacchetto fornisce anche il supporto per l integrazione dei security service DCE con la sicurezza di base del sistema operativo Solaris. DCE comprende strumenti di gestione per funzioni come la configurazione di una cella, l aggiunta o la cancellazione di utenti della cella e l aggiunta di server e client alla cella stessa. Capitolo 1. Panoramica di DCE 3.2 per Solaris 5

16 Servizi client Come parte del DCE Versione 3.2 Base Services per Solaris, vengono forniti i seguenti servizi client: v La RPC (Remote Procedure Call) abilita alla creazione e all esecuzione delle applicazioni client e server. Il servizio RPC in fase di esecuzione implementa i protocolli di rete tramite i quali il server e il client di un applicazione comunicano. v DCE Threads Compatibility Library per Solaris fornisce un modello di programmazione per la creazione di applicazioni concorrenti che eseguono più operazioni simultaneamente. Fornisce il supporto per applicazioni multi-thread (basate su POSIX a Draft 4) che utilizzano il modello del sottoprocesso DCE. Il pacchetto Solaris include la DCE Threads Compatibility Library per Solaris. v Ambiente di programmazione multi-thread consente a più sottoprocessi di chiamare funzioni standard della libreria C senza che si verifichino interferenze. v DTS (Distributed Time Service) fornisce tempi sincronizzati nell ambiente di rete distribuita sui computer che fanno parte di un DCE. DTS sincronizza l orario dell host di un DCE con il CUT (Coordinated Universal Time), un orario standard internazionale. v Il client CDS (Cell Directory Service) fornisce l interfaccia, cdsclerk, tra le applicazioni del client CDS e i server CDS. Il client parziale fornisce anche l interfaccia cdsclerk e gran parte della funzionalità del client regolare, ma poiché dced non è eseguibile su una macchina client parziale, non può verificarsi l elaborazione del punto terminale. Preferenze CDS abilita i responsabili a specificare il clearinghouse CDS di preferenza da cui un client otterrà le informazioni CDS. Questa caratteristica viene fornita per migliorare le prestazioni dei client CDS consentendo i responsabili della cella la possibilità di specificare il clearinghouse CDS di preferenza da cui un client otterrà le informazioni CDS. Ciò risulta utile, ad esempio, in situazioni in cui una WAN a basse prestazioni si collega a più LAN ad alte prestazioni e ogni LAN contiene un clearinghouse CDS replica. Grazie a questa funzione, i responsabili possono preferire clearinghouse locali rispetto a quelli remoti e i client utilizzeranno i clearinghouse remoti solo quando quelli locali non saranno in grado di soddisfare le richieste. v Il Security client fornisce i seguenti servizi: Integrazione della sicurezza Solaris coordina i security service del sistema operativo di base Solaris con quelli DCE. Ciò comprende il PAM (Pluggable Authentication Module) e l NSS (Name Service Switch). L Integrazione della sicurezza Solaris consente a un utente di collegarsi a Solaris e di ottenere, allo stesso tempo, credenziali DCE. Per ulteriori 6 IBM DCE Versione 3.2 per Solaris: Guida operativa

17 informazioni sull Integrazione della sicurezza Solaris, consultare IBM DCE Version 3.2 for AIX and Solaris: Administration Guide Core Components. GSSAPI Extensions sono un insieme di API (application program interface) che consentono alle applicazioni senza RPC di utilizzare il protocollo di autenticazione della sicurezza DCE. Il responsabile di sistema può utilizzare le GSSAPI Extensions per definire credenziali o ottenere degli EPAC (Extended Privilege Attribute Certificates) per un applicazione senza RPC. Extended Registry Attributes (extended registry attribute) amplia gli attributi statici di registro del principale, del gruppo e del resoconto con una serie dinamica di attributi di registro che è possibile personalizzare per una cella. Audit service effettua le registrazioni basate su criteri specificati. L Audit service ha tre componenti di base: - API (Application Programming Interface) forniscono le funzioni utilizzate per rilevare e registrare gli eventi critici quando il server serve un client. Vengono anche utilizzate per creare strumenti che esaminano e analizzano le registrazioni dell evento. - L Audit Daemon gestisce i filtri e i log di controllo. - Le Audit Management Interfaces consentono di specificare come l Audit Daemon filtra la registrazione degli Eventi di controllo. Tali interfacce sono disponibili dal programma di controllo DCE (dcecp). Il Password Strength Server potenziato amplia le capacità del password strength server rispetto ai rilasci DCE precedenti. Il server potenziato consente di controllare le seguenti caratteristiche delle password dell utente: - Composizione della password - Durata della password - Registrazione cronologia e riutilizzo della password - Dizionari e regole definite dall utente della password v DCE Web Secure fornisce credenziali DCE ai programmi CGI. È necessario installare e configurare DCE Web Secure su una stazione di lavoro che dispone di un client DCE e di un Web server iplanet FastTrack 4.1, iplanet Enterprise 4.0, o iplanet Enterprise 4.1. DCE Web Secure inoltre supporta i server Web supportati da DCE 3.1. DCE System Management DCE System Management fornisce due strumenti di gestione: DCE EMS (Event Management Service) e DCE SNMP (Simple Network Management Protocol) SubAgent. v EMS fornisce il supporto per gli eventi asincroni per le applicazioni basare su DCE. EMS di DCE gestisce servizi per gli eventi in una cella DCE. EMS è composto da due parti il server emsd (EMS daemon) e le API per Capitolo 1. Panoramica di DCE 3.2 per Solaris 7

18 permettere l accesso, tramite un interfaccia, a fornitori e clienti e l amministrazione del servizio eventi da utilizzare tramite i client EMS. Per ulteriori informazioni sull EMS, consultare IBM DCE Version 3.2 for AIX and Solaris: Administration Guide Core Components. v SNMP Subagent fornisce il supporto per la gestione di rete in ambiente TCP/IP per il controllo dei servizi e delle risorse DCE. I responsabili di sistema ed i programmatori di applicazioni per la gestione del sistema possono utilizzare SNMP per monitorare l ambiente DCE. In tal modo sarà possibile semplificare la gestione delle risorse e dei servizi. Per ulteriori informazioni sull SNMP, consultare IBM DCE Version 3.2 for AIX and Solaris: Application Development Guide Core Components. DCE X.500 API Library Il DCE X.500 API Library fornisce API al namespace CDS. È disponibile una libreria di funzioni con cui accedere ai Directory services. DCE Tools for Application Developers DCE Tools for Application Developers (dce.tools) comprende i seguenti strumenti di supporto alla gestione del DCE e allo sviluppo delle applicazioni. v Lo strumento Interface Definition Language consiste in un linguaggio (ed il relativo compilatore) che supporta lo sviluppo di applicazioni distribuite che seguono il modello del client e del server. Ciò crea automaticamente il codice che trasforma le chiamate di procedura in messaggi di rete. v Il compilatore sams crea file che possono essere utilizzati per aggiungere un supporto di servizi e messaggistica alle applicazioni DCE. DCE Messages Il pacchetto Messages contiene le versioni dei menu e i messaggi di errore tradotti in diverse lingue. Documentazione in linea La documentazione in linea per DCE 3.2 per Solaris contiene la documentazione IBM nei seguenti formati: v HTML v PDF v Formato testo Per ulteriori informazioni relative alla documentazione, fare riferimento a Capitolo 7. Come ottenere di ulteriori informazioni a pagina 95. DCE Privacy Level Protection DCE Privacy Level Protection (IDCEpriv), già noto come Data Encryption Standard (DES) Library, fornisce un interfaccia di programmazione che consente la crittografia dei dati nell applicazione RPC (remote procedure call). La funzione IDCEpriv utilizza gli algoritmi Data Encryption Standard (DES) 8 IBM DCE Versione 3.2 per Solaris: Guida operativa

19 che fanno parte di DCE Base Services per Solaris. Questa funzione comprende il supporto per l UDME (User Data Masking Encryption), che in passato veniva impacchettato separatamente. DCE Versione 3.2 per Solaris DCE Versione 3.2 per Solaris, in aggiunta ai seguenti pacchetti, include tutti i pacchetti compresi nel DCE Versione 3.2 Base Services per for Solaris: DCE Cell Directory Server Il DCE Cell Directory Server è un deposito centrale di informazioni relative alle risorse nel sistema distribuito. Le risorse tipiche sono gli utenti, le macchine e i servizi basati su RPC. Le informazioni consistono nel nome della risorsa e negli attributi ad essa associati. Gli attributi tipici sono la directory principale di un utente o l ubicazione di un server basato su RPC. v Il Directory Service consiste in un CDS (Cell Directory Service) e di un GDA (Global Directory Agent). Il CDS gestisce un database di informazioni relative alle risorse in un gruppo di macchine denominato cella DCE. Il CDS inoltre fornisce una funzione di denominazione indipendente dall ubicazione per i server. Il GDA consente le comunicazioni tra celle individuando quelle che sono state registrate nell ambiente di denominazione globale. v Integrazione di GDA con LDAP è un estensione su GDA che consente la risoluzione di nomi di cella di stile sconosciuto non DNS. Grazie alle directory X.500 e a tutte le directory che supportano il protocollo LDAP, il responsabile può stabilire la comunicazione tra celle. Per ulteriori informazioni su LDAP, consultare IBM DCE Version 3.2 for AIX and Solaris: Administration Guide Core Components. DCE Security Server per Solaris DCE Security Server per Solaris consente comunicazioni protette e l accesso controllato alle risorse. Fornisce le seguenti funzioni relative alla sicurezza: v Il Servizio di autenticazione consente a due processi su macchine differenti di verificare la reciproca identità. v Secure Communication integra il DCE RPC (Remote Procedure Call) e il Security Service per proteggere le comunicazioni. v L Autorizzazione controlla gli accessi alle risorse tramite il confronto delle credenziali conferite a un utente dal Privilege service con i diritti alla risorsa. L ACL (Access Control List) della risorsa indica i diritti alla risorsa stessa. v Il Privilege Server una volta definita l identità, effettua i seguenti controlli: L utente è autorizzato ad accedere alla risorsa? Quali permessi sono necessari? L utente dispone di tali permessi? Generalmente, l utilizzo di un RPC autenticato richiama l autenticazione e l autorizzazione per l utente. v La funzione ACL (Access Control List) elenca gli utenti autorizzati ad accedere a una data risorsa. Una ACL API contente ai programmatori di Capitolo 1. Panoramica di DCE 3.2 per Solaris 9

20 manipolare le ACL. I comandi dcecp acl o il comando acl_edit consentono agli utenti di modificare gli ACL associati alle risorse che possiedono. Utilizzando tali comandi gli utenti possono, inoltre, modificare le autorizzazioni di accesso per utenti o gruppi. v La funzione Login inizializza l ambiente di sicurezza DCE di un utente autenticando quest ultimo al Security Service per mezzo della password. La funzione Login quindi restituisce le credenziali di sicurezza che autorizzeranno l utente ai servizi distribuiti richiesti. v Login con certificato basato su chiave pubblica consente all utente di ottenere credenziali DCE iniziali utilizzando un certificato digitale X.509v3 e la coppia di chiavi pubbliche ad esso associata per provare l identità dell utente. Questa funzione è un estensione del protocollo di login con chiave pubblica di DCE OSF basato su OSF RFC 68.4 (bozza 7). Questa implementazione richiede il PKI (public key infrastructure) Entrust v Replica della sicurezza consente al Database di registro principale di essere replicato su uno o più Database di registro subordinati. I comandi dcecp registry o il comando sec_admin, sono le interfacce utilizzate per visualizzare e manipolare lo stato delle repliche del principale e del subordinato. v L Identity Mapping Service viene utilizzato dal servizio di autenticazione per determinare l identità di un utente DCE quando effettua il login con il protocollo di autenticazione con certificato basato su chiave pubblica. L Identity Mapping Service mette in corrispondenza il nome di un utente in un certificato basato su chiave pubblica con un nome principale DCE. v Registro di riservatezza (Security Registry) e integrazione LDAP sposta il registro di riservatezza legacy in una directory LDAP. In tal modo gli utenti che dispongono di LDAP nell ambiente utilizzato, potranno utilizzarlo ulteriormente spostando gli utenti DCE nella directory LDAP. Sono supportati tutti i tipi di interfacce. Miglioramenti IBM su DCE I comandi e i servizi che seguono, contenuti nei pacchetti DCE 3.2 precedentemente elencati, sono estensioni e miglioramenti IBM per l implementazione Solaris di DCE: v Servizi aggiunti: Funzione UDME (User Data Masking Encryption) Password Strength Server potenziato Preferenze CDS DCE Web Secure SNMP (Simple Network Management Protocol) EMS (Event Management Service) Integrazione della sicurezza Solaris 10 IBM DCE Versione 3.2 per Solaris: Guida operativa

21 Login con certificato basato su chiave pubblica Integrazione di GDA con LDAP IDMS (Identity Mapping Server) Client parziale DCE Security Registry e integrazione LDAP Miglioramenti GSSAPI Entrust 5.0 Recertification v Comandi aggiuntivi: Configurazione comandi: Note: 1. Tali comandi utilizzano un nuovo formato del comando, anche se il formato precedente è ancora supportato. 2. Questi comandi non sono compatibili con i comandi dcecp host configure e host unconfigure. chpesite Aggiorna il file pe_site, che contiene gli indirizzi dei security server che vengono utilizzati. clean_up.dce Ripulisce file di database ricreabili, file cache e file di credenziali. Viene utilizzato questo comando se si verificano problemi durante il tentativo di avvio di DCE. config.dce Configura e avvia i componenti DCE. Questo comando fornisce una configurazione separata dei client. È possibile eseguire separatamente la configurazione di gestione e quella locale. Consultare Configurazione successiva della cella a pagina 80 per ulteriori informazioni. kerberos.dce Crea i principali dell host, di FTP e le voci della tabella delle chiavi utilizzati per supportare l interoperabilità di kerberos con DCE. migrate.dce Migra i dati di configurazione DCE da rilasci precedenti per utilizzarli con il rilascio corrente. Non è necessario riconfigurare quando si installa un nuovo rilascio di DCE. Consultare Migrazione di una cella DCE Solaris in DCE 3.2 per Solaris a pagina 55 per ulteriori informazioni. Capitolo 1. Panoramica di DCE 3.2 per Solaris 11

22 mkdceweb Configura DCE Web Secure in un server Web Netscape FastTrack o Netscape Enterprise oppure in un server Web iplanet FastTrack o iplanet Enterprise. mkreg.dce Aggiunge informazioni relative a una cella DCE nel namespace DOMAIN. rmdceweb Annulla la configurazione di DCE Web Secure da un server Web Netscape FastTrack o Netscape Enterprise oppure da un server Web iplanet FastTrack o iplanet Enterprise. rmreg.dce Elimina informazioni relative a una cella DCE dal namespace DOMAIN. show.cfg Visualizza la configurazione del DFS o del DCE dell host locale, oppure entrambe. Le opzioni dce e dfs consentono di visualizzare informazioni relative solo al DCE o al DFS. start.dce Avvia i componenti DCE configurati. Questo comando assicura che tutti i componenti vengano avviati nell ordine corretto. stop.dce Arresta i componenti DCE configurati. Questo comando assicura che tutti i componenti vengano arrestati nell ordine corretto. unconfig.dce Elimina la configurazione dei componenti DCE. Questo comando fornisce la possibilità di eseguire separatamente l annullamento della configurazione di gestione e di quella locale. Consultare Configurazione successiva della cella a pagina 80 per ulteriori informazioni. Comandi CDS: cdsdel Cancella ciclicamente il namespace d una cella. cdsli Elenca ciclicamente il namespace d una cella. Comandi RPC: rpcprotseqs Determina il protocollo supportato su un dato host. rpcresolve Risolve in modo ricorrente gli elementi di una voce namespace. Comandi sicurezza: 12 IBM DCE Versione 3.2 per Solaris: Guida operativa

23 rmxcred Elimina i ticket scaduti dalla directory delle credenziali. Conformazione agli standard DCE 3.2 per Solaris supporta gli standard di seguito elencati, ma non si conforma a questi standard perché alcuni non sono nella versione finale o perché non esistono controlli di conformità. Sottoprocessi v POSIX a, bozza 4 v AES/Distributed Computing - Sottoprocessi RPC AES/Distributed Computing - RPC (Remote Procedure Call) Sicurezza v Autenticazione Kerberos Versione 5, bozza 4 v Autorizzazione POSIX , bozza 12 (acl) v AES/Distributed Computing - Sicurezza v GSSAPI, compreso RFC Internet 1964 Directory v AES/Distributed Computing - Directory Services v X/OPEN-X.400 API Association XDS API Draft 6 Transport Glue v RFC 1006, TPO-verso-TCP Ora v RFC 1129, NTP v AES/Distributed Computing - Directory Services Compatibilità con Solaris Questa sezione descrive la compatibilità di DCE per Solaris con le versioni supportate di Solaris. v Il comando Solaris man non è supportato per la visualizzazione della documentazione di riferimento DCE corrente. Tuttavia, viene fornito dceman, che mostra una singola pagina di manuale per i comandi DCE e per le routine secondarie, e che emula il comando man di Solaris. Una volta installato il pacchetto relativo alla documentazione, dceman viene collegato alla directory /usr/bin, insieme a asciiview e start_dcedoc. Per richiamare il comando dceman, immettere: dceman -lang locale dce_command Capitolo 1. Panoramica di DCE 3.2 per Solaris 13

24 dove dce_command potrà essere qualsiasi comando o routine secondaria documentato in IBM DCE Version 3.2 for AIX and Solaris: Administration Commands Reference o IBM DCE Version 3.2 for AIX and Solaris: Application Development Reference. Il parametro lang consente all utente di visualizzare i comandi DCE o le routine secondarie in qualsiasi lingua. locale può essere sostituito con uno dei seguenti nomi di locale: Note: 1. Non tutte le pubblicazioni sono tradotte in ogni lingua. I comandi e le routine secondarie documentate nelle pubblicazioni non tradotte saranno visualizzate in inglese. 2. Se per l opzione lang viene specificato un valore che non corrisponde a una locale valida, per impostazione predefinita il comando dce_command visualizzerà la documentazione in lingua inglese. en_us Locale inglese it Locale italiano it.utf-8 Locale italiano (UTF-8) ja Locale giapponese (EUC) ja_jp.pck Locale giapponese (PC Kanji) ja_jp.utf-8 Locale giapponese (UTF-8) ko Locale coreano ko.utf-8 Locale coreano (UTF-8) pt_br Locale brasiliano portoghese zh Locale cinese semplificato (EUC) zh.gbk Locale cinese semplificato (GBK) zh.utf-8 Locale cinese semplificato (UTF-8) v Compatibilità DCE e C++: Quanto segue analizza la compatibilità di DCE con C++. Compilazione e collegamento: Prima di utilizzare C++ con DCE, è necessario fare alcune considerazioni che sono, in generale, le stesse che riguardano l utilizzo di una libreria basata su C con C++. Eccezioni DCE: Le eccezioni DCE sono diverse da quelle che fornisce la specifica del linguaggio C++. La principale restrizione nell utilizzo delle 14 IBM DCE Versione 3.2 per Solaris: Guida operativa

25 eccezioni DCE all interno di programmi C++ è che, quando si rileva un eccezione, i distruttori non vengono chiamati quando lo stack viene svolto. È necessario che il programmatore si assicuri che gli oggetti siano stati esplicitamente rilasciati quando vengono gestite le eccezioni DCE. Ciò può evitare l utilizzo di oggetti assegnati automaticamente all interno di segmenti del codice di applicazione. Interazione C/C++: Così come per tutte le funzioni C chiamate da C++, è necessario includere file di intestazione DCE nelle dichiarazioni C esterne. Ciò assicura che il collegamento C++ ricerchi i nomi C non corrotti (non-mangled) e non i nomi C++. In C, la memoria viene assegnata, generalmente, utilizzando malloc. In C++, la memoria viene assegnata utilizzando un nuovo tipo_oggetto. DCE aggiunge rpc_ss_allocate per i dati temporanei che devono essere rilasciati dal sistema dopo la restituzione di una rpc. È necessario assicurarsi che la memoria assegnata da un metodo venga sempre liberata utilizzando la routine corrispondente. Così come per tutte le librerie C utilizzate in C++, può essere difficile mantenere un architettura orientata agli oggetti pura. In molti casi, i componenti in DCE sono, in origine, orientati agli oggetti, ma, poiché gran parte degli elementi di DCE sono progettati per lavorare insieme, spesso passano le strutture di dati tra funzioni non correlate. Ad esempio, un handle di login è un tipo di dati opaco che ha un nucleo di varie funzioni strettamente correlate per gestire il contesto di login. Mentre questa operazione consente di raggruppare facilmente dati e funzioni come un oggetto, è necessario passare l handle, implicitamente o esplicitamente, agli altri oggetti che possono essere creati. Per evitare di esporre un valore dati all interno di un oggetto, è necessario considerare un progetto più sofisticato (possibilmente un handle o un oggetto surrogato). Funzione DCE OSF non supportata Le differenze vengono raggruppate in sezioni per tipo. Ogni sezione è ulteriormente suddivisa in categorie funzionali, che corrispondono a servizi DCE specifici (come configurazione, sicurezza e CDS). Servizi non supportati: v Sicurezza: Trust transitivo in una gerarchia di celle. API di gestione del certificato basato su chiave pubblica. Server per la memorizzazione della chiave privata. Il login con chiave pubblica tramite il protocollo DCE OSF è stato sostituito dal protocollo di login con certificato basato su chiave Capitolo 1. Panoramica di DCE 3.2 per Solaris 15

26 pubblica. Tuttavia, il security server può ancora elaborare le richieste di login da parte di altri client DCE che supportano il protocollo di login con chiave pubblica DCE OSF v Directory: Celle gerarchiche. cdsalias create, cdsalias connect. Non sono forniti GDS (Global Directory Services) in questo rilascio. Tuttavia, i servizi GDS possono essere presenti nella medesima cella e possono essere utilizzati per le comunicazioni tra le celle, se vengono forniti da un altro prodotto o fornitore. v dcecp: host configure Configura un host nella cella come client o server. host unconfigure Elimina l host dai database dei nomi e della sicurezza. host start Avvia il DCE sull host specificato. host stop Arresta il DCE sull host specificato. Comandi non supportati: v CDS: catraverse cds_dbdump cdsd_diag cdsbrowser v Configurazione: Il dce_config lo script è stato sostituito da altri comandi di configurazione. v Sicurezza: sec_salvage_db, rlogin, rlogind, rsh e rshd comandi forniti da OSF. v Distributed Time Service: dtss-graph il comando che converte la traccia synch in PostScript. Limitazioni dei servizi supportati per i resoconti configurati per autenticazione con chiave pubblica Vi sono diverse limitazioni per i resoconti configurati per l autenticazione con chiave pubblica. Esse includono: v I resoconti di chiave pubblica non possono utilizzare Password Strength Server. v L API di gestione delle chiavi va utilizzata solo da applicazioni che utilizzano il protocollo di autenticazione per la chiave shared-secret. Le applicazioni che utilizzano i resoconti per la chiave pubblica devono utilizzare il protocollo utente-utente. 16 IBM DCE Versione 3.2 per Solaris: Guida operativa

27 v Utilizzando GSSAPI, il responsabile DCE deve impostare un resoconto nel database di registro DCE per iniziatore ed accettante. Le seguenti restrizioni sono valide per il resoconto per l accettante: Il resoconto per l accettante deve essere impostato per utilizzare una chiave in un file keytab come parola d ordine del resoconto. Il resoconto per l accettante non può essere impostato per utilizzare il protocollo utente-utente. Il resoconto per l accettante non può essere impostato per utilizzare il protocollo di autenticazione con chiave pubblica. Non è presente alcuna restrizione per il il resoconto per l iniziatore. Limitazioni dei servizi supportati per i servizi di sicurezza LDAP I security server LDAP funzionano in modo simile ai security server legacy ad eccezione della memorizzazione cdei registro si sicurezza che nel caso di un security server LDAP viene effettuata in una directory LDAP. In tal modo, per gestire i security server LDAP, viene utilizzata la maggior parte degli stessi comandi. Alcune funzioni security legacy non sono supportate dai security server LDAP. Il seguente elenco contiene le funzioni non supportate e le limitazioni: v Quando si esegue il comando sec_admin - su un security server legacy, è possibile fornire il nome della replica visualizzato nell elenco delle repliche. I security server LDAP non supportano tale funzione. Tuttavia è possibile specificare il nome della cella, il nome globale o l indirizzo di rete dell host. Per ulteriori informazioni sul comando sec_admin command, fare riferimento a IBM DCE Version 3.2 for AIX and Solaris: Administration Commands Reference. v A differenza dei security server legacy, i security server LDAP non supportano gli ACL contenitori a meno che l oggetto contenitore non sia stato creato dal DCE. Gli ACL contenitori sono utili solo se il DCE crea delle directory. Se gli attributi DCE vengono assegnati ad oggetti LDAP esistenti, gli dei principali vengono ignorati. Per ulteriori informazioni sugli ACL contenitori relativi ai security server legacy DCE, fare riferimento a IBM DCE Version 3.2 for AIX and Solaris: Administration Guide Core Components. v LDAP non supporta gli alias DCE. Un alias è un nome alternativo per un nome primario. v DCE legacy consente di ridenominare principali, gruppi ed org utilizzando i comandi dcecp, rgy_edit o l API sec_rgy_pgo_rename. Questa funzione non è supportata dopo la migrazione dei dati a LDAP. Se sul security server principale è in esecuzione DCE 3.2 e nella cella viene rilevata la configurazione di un server di migrazione LDAP, tali comandi saranno rifiutati. Capitolo 1. Panoramica di DCE 3.2 per Solaris 17

28 Se, invece, sul security server principale non è in esecuzione DCE 3.2, se viene eseguito un comando per ridenominare un principale, un gruppo o org, le repliche LDAP indicheranno che sono state eseguite delle funzioni anche se tali funzioni non sono state eseguite. In tal modo il security server principale non cercherà di eseguire regolarmente l aggiornamento. In ogni caso, il database legacy database ed il database LDAP avranno dati inconsistenti. v Se gli oggetti DCE sono ubicati in più sottostrutture, i comandi di catalogo dcecp ricercano la sottostruttura DCE solo nell area autenticazione. Se, invece, gli oggetti DCE si trovano in sottostrutture diverse, per le funzioni di catalogo utilizzare le ricerche LDAP. v Si consiglia di utilizzare solo nomi non sensibili al maiuscolo/minuscolo per le aree autenticazione DCE, i principali, i gruppi e le autenticazioni, poiché alcuni server LDAP (ad esempio SecureWay LDAP) eseguono la conversioni dei nomi al minuscolo durante l elaborazione del nome in un DN o in una ACL. La conversione dei nomi al minuscolo potrebbe causare risultati non corretti per alcune operazioni LDAP. Ad esempio, non è possibile avere un nome primario memorizzato come mario_programmatore ed un altro come MARIO_PROGRAMMATORE in quanto LDAP legge entrambi i nomi come mario_programmatore e li considera come lo stesso nome primario. 18 IBM DCE Versione 3.2 per Solaris: Guida operativa

29 Capitolo 2. Avvisi per la coesistenza tra DCE e Kerberos SEAM e IBM KRB toolkit Per configurare correttamente il DCE, il SEAM (Sun Enterprise Authentication Mechanism), fornito con Solaris 7 e 8, e il IBM KRB toolkit non possono coesistere sulla stessa macchina. Questi due servizi Kerberos dispongono si file binari comuni che causano degli errori durante la configurazione del DCE. Se i due servizi Kerberos sono installati su una macchina Solaris in cui si desidera configurare il DCE, rimuoverli prima di procedere con la configurazione. Nomi di strumenti in conflitto Se dcesetup viene utilizzato per installare il DCE su una macchina Solaris, si sovrapporrà automaticamente ai seguenti strumenti nativi Kerberos: v kdestroy v kinit v klist Se per installare il DCE si utilizza pkgadd, viene richiesto all utente se si desidera che tali strumenti nativi Kerberos vengano sovrapposti. È possibile che le versioni native degli strumenti kerberos degli utenti del Solaris Kerberos nativo possano essere sovrapposte dalle versioni del DCE degli stessi strumenti. Si consiglia agli utenti di Kerberos di prendere alcune precauzioni affinché gli strumenti nativi Kerberos non vengano rimossi dalla macchina su sui si desidera installare il DCE. Copyright IBM Corp

30 20 IBM DCE Versione 3.2 per Solaris: Guida operativa

31 Parte 2. Pianificazione, installazione disinstallazione e migrazione su DCE 3.2 per Solaris Copyright IBM Corp

32 22 IBM DCE Versione 3.2 per Solaris: Guida operativa

33 Capitolo 3. Pianificazione Requisiti di sistema Tutte le funzioni nel prodotto DCE 3.2 per Solaris richiedono il rilascio di Sun Solaris 7 o solaris 8. Consultare README per aggiornamenti all elenco delle versioni supportate di Solaris. Oltre ai requisiti del sistema operativo di base, potrebbero essere richiesti aggiornamenti del software di Solaris. Di seguito vengono descritti i pacchetti DCE/DFS e gli aggiornamenti del software di Solaris richiesti: v IDCEclnt richiede minimo SunOS 5.7 o SunOS 5.8 Nota: Se si utilizza una locale non inglese e non si desidera visualizzare messaggi in inglese durante l installazione, è necessario applicare la seguente patch a SunOS 5.7: SUNWsu patch livello v In ambiente SunOS 5.7, IDCEsmgmt richiede SUNWsasnm patch livello o superiore Nota: Se la patch SUN è o superiore, la patch DCE IDCE31 01 dovrà essere installata dopo l installazione del pacchetto IDCEmsgmt. Dopo aver installato qualsiasi aggiornamento, sarà necessario riavviare il sistema. È necessario che tale riavvio si verifichi prima di effettuare la configurazione o il riavvio di DFS. Requisiti di spazio su disco Per i requisisti di spazio su disco dell ultimo pacchetto, fare riferimento al file README. Le dimensioni elencate sono approssimative. Considerazioni generiche e sulla cella L obiettivo di questa sezione è quello di assistere l utente nella pianificazione dell installazione e configurazione di DCE. DCE fornisce programmi di utilità per la configurazione che assistono l utente. Capitolo 4. Installazione DCE 3.2 per Solaris Server e client a pagina 51 e Configurazione di DCE a pagina 67 descrivono il processo di configurazione, compresa l installazione dei file eseguibili, l impostazione di una cella DCE e la configurazione di server e client. Copyright IBM Corp

34 Questa sezione analizza i seguenti argomenti: v Considerazioni sulla pianificazione v Definizione di un nome cella a pagina 27 v Namespace della cella a pagina 29 v Pianificazione per il controllo dell accesso a pagina 34 Considerazioni sulla pianificazione Nota: Le informazioni contenute in questa sezione sono relative ad un DCE legacy o ad un ambiente in cui sono presenti le funzioni DCE Security Registry e LDAP Integration. Per informazioni sulla pianificazione più approfondite relative alle funzioni DCE Security Registry e LDAP Integration, fare riferimento a IBM DCE Version 3.2 for AIX and Solaris: DCE Security Registry and LDAP Integration Guide. È necessario analizzare alcune considerazioni quando si pianifica un sistema distribuito. Quando si pianifica il DCE, è consigliabile tenere conto delle considerazioni che seguono: v Quanto si prevede che crescerà l ambiente negli anni successivi? Si prospetta un espansione lenta o rapida della rete? Se si pensa che l ambiente crescerà rapidamente, è consigliabile impostare diverse celle che rappresentino unità minime dell organizzazione. In questo modo è possibile gestire le unità man mano che la rete si espande. Come precedentemente illustrato, i membri di ogni cella condividono un obiettivo comune e la cella è un unità di amministrazione e sicurezza. Se si prevede un espansione lenta della rete, è preferibile definire una o più celle basate sull organizzazione al momento esistente. Considerare anche il numero di responsabili necessari per gestire la cella DCE, in base alla prospettiva di crescita futura. v Quale frequenza di aggiornamento delle informazioni è necessaria? Gli utenti della rete consultano frequentemente le informazioni o le creano e le modificano sulle proprie workstation? Se le informazioni subiscono frequenti modifiche e gli utenti della rete puntano sull esattezza di tali informazioni, è necessario considerare quanto si può contare sulla replicazione. Si consiglia di fare riferimento a una fonte centrale di informazioni per i dati che vengono frequentemente modificati. Se gli utenti consultano le informazioni, ma non hanno la necessità di modificare le informazioni che condividono con altri utenti, è possibile fare affidamento sui dati replicati. v I dati più rilevanti sono quelli maggiormente disponibili? È stata prevista la replicazione di questi dati? Il CDS e il Security Service conservano le copie principali dei rispettivi database. È possibile replicare separatamente ogni directory CDS. Il security 24 IBM DCE Versione 3.2 per Solaris: Guida operativa

35 service supporta la replicazione dell intero database del registro. Poiché altri componenti dipendono dalle informazioni gestite dal Security Service e parti del namespace CDS, è necessario che tali dati siano disponibili in ogni momento. Ad esempio, la stringa di caratteri speciali /.: (root della cella) viene memorizzata in CDS ed è necessario che sia sempre disponibile. Tenere presente che, se la replicazione dei dati è utile ai fini della loro disponibilità, questa operazione implica un costo in termini di prestazioni e di attività di gestione. v Nel caso in cui la rete disponga di un gateway, i server sono collocati sullo stesso lato del gateway rispetto ai client che fanno riferimento a tali server? I server CDS distribuiscono messaggi a intervalli regolari per annunciare la propria esistenza ai client CDS nella rete. I client si accorgono della presenza dei server tramite questi annunci. Collocando il server e i client sullo stesso lato del gateway si realizzano più facilmente gli aggiornamenti delle informazioni e si risponde più rapidamente alle richieste del client. È necessario un maggiore impegno gestionale per far riferimento a server che non sono disponibili tramite il protocollo di annuncio che è attivo solo in una rete ad area locale. Su una LAN che non dispone di server CDS, gli indirizzi di tali server vengono diffusi dai proxy di annuncio. Ciò significa che i client non hanno bisogno di conoscere l indirizzo di un server CDS al momento della configurazione. Il proxy di annuncio riferirà l indirizzo del server CDS con il quale è stato configurato. È possibile aggiungere altri indirizzi del server CDS utilizzando il comando cdscp define server o dcecp cdscache create. Considerare anche il costo e la velocità dei collegamenti nel caso in cui si amministra una cella che comprende utenti in ubicazioni geografiche differenti. È possibile scegliere di ottenere più informazioni localmente per ridurre la dipendenza dalla trasmissione di informazioni tramite collegamenti. v Le comunicazioni sono limitate alla propria cella o è necessario comunicare con altre celle? Perché la propria cella comunichi con altre celle, è necessario: Stabilire un nome globale Domain Naming Service univoco per la cella Definire la cella in DNS Disporre di almeno un GDA nella cella o aver eseguito un comando cdscp define server o dcecp cdscache create. Nota: Il GDS (Global Directory Service) non viene fornito con questo rilascio di DCE 3.2 per Solaris. Tuttavia, questo rilascio può utilizzare il GDS se viene fornito da un altro prodotto per ubicare altre celle. È possibile impostare un resoconto speciale nel registro di sicurezza della cella per una cella estranea, che indica che la propria cella convalida il Servizio di autenticazione dell altra cella, e un resoconto speciale nel Capitolo 3. Pianificazione 25