|
|
|
|
|
HELIOS WebShare UB Benutzerhandbuch |
||||
Der WebShare WebObjects Server (,webshare.woa") ist ein Java-Programm, welches auf einem Server mit Internetanbindung läuft, und kann auf demselben Host wie der WebShare File Server installiert werden. In diesem Fall spricht man von einer "Ein-Server-Lösung". In Bezug auf die Datensicherheit sollte der WebShare WebObjects Server jedoch auf einer separaten Maschine, als zweistufiger Serveraufbau, installiert werden.
Im Idealfall laufen auf dem WebShare WebObjects Server keinen weiteren Anwendungen oder Dienste. Der Vorteil dieser eigenständigen Lösung ist, dass alle Ports und Dienste, die nicht von WebShare benötigt werden, abgeschaltet werden können (z. B. durch Soft- oder Hardware Firewalls).
Da keine Dateien auf dem WebShare WebObjects Server gespeichert oder temporär abgelegt werden, ist ein Höchstmaß an Datensicherheit auf dem WebShare File Server gewährleistet. Der WebShare WebObjects Server benutzt für alle Webclients einen TCP/IP Port (standardmäßig 2009).
Während der WebShare Installation wird die gepackte Datei "websharewoa.tar" in das Verzeichnis "HELIOSDIR/etc/webshare" installiert. Das Kommando "start-helios" entpackt die Datei dann in das Verzeichnis "HELIOSDIR/var/run" in das Paket "webshare.woa".
WebShare als Produkt beinhaltet zwei Serverkomponenten: den WebShare File Server, der auf einem bestehenden HELIOS Server mit dessen Maschinen-ID (machID) lizensiert wird sowie den WebShare WebObjects Server, der auf einem separaten Server installiert werden kann. Der WebShare WebObjects Server benötigt als Komponente des WebShare Serverprodukts keinen separaten WebShare Aktivierungsschlüssel.
Sie müssen während der Installation die HELIOS Software-Lizenzbestimmungen akzeptieren. Diese finden Sie auf unserer Produkt CD-ROM.
Im Ordner "HELIOSDIR/var/run/webshare.woa" befinden sich im Paket "Contents/Resources" folgende Dateien:
Jedes einzelne "*.wo"-Verzeichnis enthält die Dateien "*.html", "*.wod" und "*.woo". Das GUI (Graphical User Interface) kann in die gewünschte Sprache übersetzt werden. Kapitel 6.4 "Benutzerspezifische Anpassung/Lokalisierung" beschreibt Anpassungen des WebShare GUI.
Das Skript "sbin/start-websharewoa" startet den WebShare WebObjects Server. Normalerweise wird dieser jedoch mit dem Kommando "srvutil start websharewoa" während des Aufrufs "start-helios" gestartet. Für den Fall, dass es beim Start des Dienstes zu Problemen kommen sollte, kann dieser auch manuell aufgerufen werden. Etwaige Fehlermeldungen werden dann im Terminalfenster angezeigt:
Ergänzende Meldungen werden in die WebObjects-Logdateien geschrieben. Diese befinden sich im Verzeichnis "HELIOSDIR/var/adm/" und haben den Dateinamen "websharewoa.log". Sie bekommen ".0" (gestern) bis ".6" (vor sieben Tagen) an den Dateinamen angehängt. Alle internen WebObjects-Meldungen werden in die Datei "websharewoa.log", die von HELIOS erzeugten WebShare WebObjects Server-Meldungen in die Systemmeldungen geschrieben.
Hinweis: Dieser Abschnitt behandelt die benutzerspezifische Anpassung des Pakets "webshare.woa". Wollen Sie keine Lokalisierung oder sonstige Anpassung dieser Dateien vornehmen, so können Sie diesen Abschnitt überspringen.
Um den WebShare WebObjects Server zu lokalisieren, kopieren Sie bitte das Paket "webshare.woa" von "HELIOSDIR/var/run" nach "HELIOSDIR/var/webshare".
Nach jedem Start sucht WebShare im Verzeichnis "HELIOSDIR/var/webshare" nach "webshare.woa". Falls "webshare.woa" dort nicht gefunden werden kann, wird die Kopie aus "HELIOSDIR/var/run" verwendet.
Die Idee dabei ist, "webshare.woa" als Gesamtpaket in "HELIOSDIR/var/run" zu ersetzen, z. B. bei einer Softwareaktualisierung. Liegen lokalisierte Dateien nämlich in "var/webshare", so werden diese sowie andere Anpassungen beim Entpacken der Datei "websharewoa.tar" durch "start-helios" nach "HELIOSDIR/var/run" übernommen.
Hinweis: Halten Sie bitte die Ctrl-Taste gedrückt während Sie auf das Ordnersymbol klicken. Wählen Sie dann aus dem sich öffnenden Menü den Punkt Paketinhalt zeigen aus. Verfahren Sie mit den ".wo"-Dateien im Ordner "Contents" > "Resources" genauso, um die Dateien ".wod", ".html" und ".woo" sichtbar zu machen.
Benutzen Sie beim Lokalisieren aller "*.html"-Dateien UTF-8 Zeichen. Sie können beispielsweise das Programm "WebObjects Builder", welches auch das korrekte Layout anzeigt, verwenden. Sie können dafür aber auch jeden anderen HTML Editor benutzen. Damit Änderungen an den "*.html" Dateien wirksam werden, muss der Dienst "websharewoa" gestoppt und wieder neu gestartet werden.
Benutzen Sie beim Lokalisieren aller "*.wod"-Dateien UTF-8 Zeichen. Sie können dies aber auch mit jedem anderen UTF-8 kompatiblen Texteditor tun. Damit Änderungen an den "*.wod" Dateien wirksam werden muss der Dienst "websharewoa" gestoppt und wieder neu gestartet werden.
Die Farbetiketten können Sie direkt im Fenster "WebShare Color Label Preferences" bearbeiten; die Änderungen werden bei der nächsten Anmeldung aktiv.
Die eingebauten Vorgaben None, Create Dir, Rename, Permissions und Mail Message können in der Datei "Main.wod" unter Verwendung des UTF-8 Zeichensatzes lokalisiert werden.
Benutzerdefinierte Aktionsskripte werden dadurch lokalisiert, dass Sie den Ausdruck #Title=UTFname innerhalb der ersten 5 Zeilen in das Skript kopieren. Detaillierte Informationen darüber, wie benutzerdefinierte oder Aktionsskripte angelegt oder verändert werden finden Sie in Kapitel 7.4 "WebShare Skripte".
Dieser Abschnitt umreißt kurz die Konfiguration Ihrer SSL Installation. Die HELIOS WebShare SSL Unterstützung wird durch standardmäßiges Java SSL realisiert. Java bietet eine hohe Flexibilität bei der Konfiguration der Sicherheitseinstellungen. Andererseits bedeutet Flexibilität aber auch, dass es keinen eindeutigen Mechanismus bei der Konfiguration von SSL auf allen Plattformen gibt. In dieser Dokumentation beschreiben wir die Benutzung der Standard JDK 1.4 Sicherheitswerkzeuge zur Einrichtung von SSL.
SSL (Secure Sockets Layer) ist ein Protokoll, welches von der Netscape Communications Corporation für die verschlüsselte Übertragung von Daten über das Internet entwickelt wurde. SSL liegt unter Anwendungsprotokollen wie HTTP, SMTP, FTP, Telnet, Gopher und NNTP, und setzt auf dem Verbindungsprotokoll TCP/IP auf. Es wird via HTTPS benutzt. SSL benutzt zur Verschlüsselung der via SSL zu übertragenden Daten einen "privaten Schlüssel". Sowohl Netscape Navigator als auch Internet Explorer unterstützen SSL. Viele Webseiten verwenden das SSL Protokoll beim Transfer persönlicher oder geheimer Daten, wie z. B. Kreditkartennummern. Die Konvention besagt, dass die URLs von Webseiten, auf denen die Verbindung per SSL aufgebaut wird, statt mit http: mit https: beginnen.
Eine SSL Serververbindung verwendet zwei Zertifikatsätze zur Verbindungssicherung: Der erste - genannt "Keystore" - enthält die Schlüssel und Zertifikate für den Server. Diese Sicherheitszertifikate dienen dem Client als Beweis, dass der Server tatsächlich zu einer bestimmten Domain gehört. Falls Ihr Server allein eine Domain darstellt, benötigen Sie lediglich einen Schlüssel sowie ein Zertifikat im Keystore. Schlüssel werden in Keystore als Alias gespeichert. Jedes Alias entspricht einem Domainnamen, z. B.:
webshare.meinserver.com.
Zertifikate sollen ein Beleg dafür sein, dass eine bestimmte Domain auch die ist, für die sie sich ausgibt. Ob ein Zertifikat beglaubigt ist wird davon bestimmt, wer das Zertifikat signiert hat. Bei nur geringem Sicherheitsbedarf, z. B. innerhalb des Intranets, können Sie Eigenzertifikate (self-signed certificates) verwenden. Eigenzertifikate verschlüsseln den Kommunikationskanal zwischen Client und Server. Der Client muss jedoch die Legitimität der Eigenzertifikate auf demselben Kanal überprüfen. Die gebräuchlichste Reaktion eines Clients auf ein Eigenzertifikat ist die Frage, ob dem Zertifikat zu trauen ist oder ihm gleich stillschweigend zu vertrauen. Leider macht das blinde Vertrauen gegenüber Eigenzertifikaten das System anfällig für "Man-in-the-middle"-Angriffe.
Der Vorteil der Eigenzertifizierung liegt darin, dass sie gebührenfrei ist, was sich besonders für Testzwecke lohnt, oder wenn die jährlichen Kosten für die Signatur von Zertifikaten einen beachtlichen finanziellen Posten darstellen. Außerdem kann man einem Eigenzertifikat vertrauen, wenn das eigene Zertifikat seriös ist. Wenn also ein Systemadministrator ein Eigenzertifikat erstellt, es persönlich in einem so genannten "Truststore" des Clients installiert (so dass es ein beglaubigtes Zertifikat darstellt) können Sie sicher sein, dass die SSL-Verbindung nur zwischen dem Client und dem richtigen Server funktioniert.
Für höhere Sicherheitsanforderungen sollten Sie Ihr Zertifikat von einer CA (Certificate Authority=Berechtigte Stelle zur Bestätigung digitaler Schlüssel) signieren lassen. Normalerweise beinhalten Client-Truststores Zertifikate der größeren CAs und können so prüfen, ob ein Zertifikat von einer CA signiert wurde. Durch diese Sicherheitskette können Clients auch Zertifikaten von Servern, mit denen sie bisher noch nicht verbunden waren, vertrauen. Das Signieren von Zertifikaten gleicht dem Gang zum Notar (Identitätsprüfung, Einträge und Kosten).
Schnelles Einrichten mittels "Standard" Zertifikat
Auf dem WebShare WebObjects Server ist es erforderlich den HTTPS/SSL Port konfigurieren. Eine geeignete Portnummer ist 443 (standardmäßig HTTPS). Zuerst muss der WebShare WebObjects Server gestoppt und dann wiedergestartet werden um sicher zu stellen, dass auch die neueste Version nach "var/run/webshare.woa" entpackt wird. Die Kommandos sind:
Hinweis: Die Präferenz SSLPort wird in beschrieben in 6.6 "Präferenzen".
Der WebShare WebObjects Server ist nun normal über HTTP wie auch über HTTPS erreichbar. Die HTTPS-Verbindungen können wie folgt aufgebaut werden:
Hinweis: Wenn der standardmäßige Port für SSL nicht 443 ist, muss die URL die richtige Portnummer enthalten, z. B. wäre https://webshare.meinedomain.com:3009 die URL für den Port 3009.
Das Sun JDK (Java Development Kit), Version 1.4.x, beinhaltet alle Sicherheitswerkzeuge, die Sie benötigen, um SSL auf dem WebShare WebObjects Server zu konfigurieren. Das wichtigste ist das "keytool", welches im Verzeichnis "JAVA_HOME/bin" des Java Runtime Moduls liegt. JVMs (Java Virtual Machine) von Sun lassen Keystores und Truststores im Dateisystem als verschlüsselte Dateien bestehen. "keytool" wird benutzt um Einträge in diesen Dateien zu generieren, zu lesen, zu aktualisieren und zu löschen. HELIOS WebShare WebObjects wird mit einem eigensignierten "Dummy" Zertifikat ausgeliefert, welches dazu dient, Anfangstests durchzuführen.
2. Erstellen Sie ein SSL Eigenzertifikat für Ihre Serverdomain. Hinweis: Sie könnten bereits eines haben, falls Ihre HELIOS WebShare WebObjects Serverdomain einer bereits existierenden SSL-Webdomain entspricht. Wenn dem so ist, können sie Schritt 3. überspringen.
4. Importieren Sie das Serverzertifikat in die Keystore-Datei. Hinweis: Falls Sie das Eigenzertifikat aus Schritt 2. verwenden, ist das Zertifikat bereits importiert und Sie können diesen Schritt überspringen.
1 Legen Sie eine Serverdomain fest
Die WebShare WebObjects Serverdomain sollte dem Hostnamen des Servers entsprechen, beispielsweise
webshare.meinedomain.com.
2 Erstellen sie ein Eigenzertifikat
Um ein eigenzertifikat zu erstellen gehen Sie in die Kommandozeile auf dem WebShare WebObjects Server und ersetzen Sie "HELIOSDIR" durch das HELIOS Installationsverzeichnis, z. B. "/usr/local/helios" für der Standardinstallation:
Erstellen Sie mithilfe des Java "keytool", welches im Java "/bin"-Verzeichnis liegt, einen Schlüssel.
Bestätigen Sie die Richtigkeit Ihrer Angaben oder brechen Sie über "CRTL-C" ab und beginnen Sie von vorn.
Als nächstes geben Sie das Keystore-Passwort in eine Konfigurationsdatei ein, welche vom WebShare WebObjects Server benutzt wird um den Zugang zum Inhalt der Datei "adaptorssl.key" zu erhalten.
Um Ihr Keystore-Passwort zu sichern kann die Datei "adaptorssl.pass" dahingehend geändert werden, dass kein Benutzer Zugriff auf diese Datei hat, mit Ausnahme des WebShare WebObjects Benutzers "root", z. B.:
Wenn Sie ohne Zertifikate von der CA planen, dann reichen auch eigensignierte HTTPS-Zertifikate. Die folgenden Schritte sind dann nicht mehr erforderlich. Starten Sie den Server neu (siehe 6.5.4 "Fertigstellung").
3 Obtain a CA signed certificate
Falls Sie ein Zertifikat von der CA benutzen möchten, müssen Sie das Zertifikat zuerst in das Standardformat CSR exportieren. Dies können Sie mittels "keytool" tun:
# keytool -certreq -keystore adaptorssl.key -alias webshare.yourdomain.com -file cert.webshare.yourdomain.com
Setzen Sie anstelle von "webshare.meinedomain.com" Ihren Servernamen ein und den Namen der Zertifizierungsdatei, den Sie für "cert.yourdomain.yourdomain.com" generieren möchten. Senden Sie die CSR zur CA und folgen Sie den weiteren Anweisungen bis zur Signatur.
4 Import server certificates
Wenn Sie ein von der CA signiertes Serverzertifikat verwenden oder wenn Sie ein vorhandenes SSL-Zertifikat haben, müssen Sie es mittels Java "keytool" importieren:
keytool -import -keystore adaptorssl.key -alias
webshare.yourdomain.com -file signed_certificate_file
Es ist wichtig, dass das Alias noch nicht mit einem Schlüssel verknüpft ist. Sollte dies der Fall sein, erhalten sie eine Fehlermeldung.
-----BEGIN NEW CERTIFICATE REQUEST-----
MIIBxzCCATACAQAwgYYxCzAJBgNVBAYTAkRFMRAwDgYDVQQIEwdHZXJtYW55MRAwDgYDVQQHEwdHYXJic2VuMR0wGwYDVQQKExRIRUxJT1MgU29mdHdhcmUgR21iSDEXMBUGA1UECxMOSEVMSU9TIFN1...
-----END NEW CERTIFICATE REQUEST-----
Normalerweise muss dies mit den Zeilen "----BEGIN-" und "----END-" zu Ihrem CA (z. B. verisign.com) gesandt werden.
- Die URL Ihrer Serverdomain stimmt nicht mit der im Zertifikat überein.
- Ihr Zertifikat wurde nicht von einer CA signiert.
- Ihr Zertifikat ist abgelaufen.
- Der von Ihnen verwendete Browser kennt die CA nicht, z. B. VeriSign ist bei führenden Browsern installiert.
Nach unserer erfahrung bieten Browser von Netscape mehr Detailinformationen über Zertifikate als. Sollte ein Problem auftauchen, kann der Netscape Browser benutzt werden um zu sehen, wie das CA-Zertifikat aussehen würde.
-----BEGIN CERTIFICATE-----
MIIDRzCCAvGgAwIBAgIQX6oiydIYfaEABAZyXsUOlDANBgkqhkiG9w0BAQUFADCBqTEWMBQGA1UEChMNVmVyaVNpZ24sIEluYzFHMEUGA1UECxM+d3d3LnZlcmlzaWdu...
-----END CERTIFICATE-----
websharewoa: [2004-04-30 15:54:30 MEST] <main> Unable to establish an SSL connection to port 443 on this host
und sich dann beendet, stellen Sie sicher, dass der SSL Port nicht von einer anderen Anwendung benutzt wird. Beispielsweise sollte
websharewoa: [2004-04-30 15:54:30 MEST] <main> com.webobjects.foundation.NSForwardException for com.webobjects.foundation.NSForwardException for java.security.NoSuchAlgorithmException: Algorithm SunX509 not available "Algorithm SunX509 not available"
Diese zeigt an, dass die verwendete JVM SSL nicht unterstützt. Versuchen Sie diese JVM zu aktualisieren, oder installieren Sie die Sun JVM.
Microsoft Internet Explorer 6 kann für eine sichere "websharewoa" HTTPS Verbindung ausschließlich Port 443 benutzen.
Hinweis: Dieses Kapitel wurde nicht übersetzt, um die Eindeutigkeit der Beschreibung zu bewahren.
This section lists all the preference keys that are pertinent to the WebShare WebObjects Server. Find a description of how to set, view, change or delete preferences, with the HELIOS "prefdump", "prefvalue", and "prefrestore" utility programs in the HELIOS Base manual, chapter 6, "HELIOS utility programs".
Important: Make sure that preference keys DO NOT start or end with a slash ("/") character, and note that they are case-sensitive! Also, if any preference key or preference value includes spaces, that key or value must be enclosed in quotes.
Specifies the host name or IP address of the WebShare WebObjects Server. This is useful on machines with multiple IP addresses/host names. If this preference is not set, the WebShare WebObjects Server can be reached via any IP address/host name on the machine.
Specifies the WebShare File Server default host name prompt for the login dialog. It corresponds to the WebShare File Server entry in the WebShare login menu.
List of WebShare File Server host names or IP addresses which are allowed to be used on the WebShare WebObjects Server. The string must be comma-separated if more than one "allowed" host name or IP address is specified. If not set, all host names are allowed.
Specifies the WebShare File Server port number. If more than one WebShare File Server is used, they all have to use the same port.
Important: The value of this preference needs to be identical with the WebShare File Server preference TcpPort (7.8 "Präferenzen"). If there should be the need to change a value, then make sure that both preference keys are assigned the same value!
Specifies the WebShare color used for the alternating lines in a table listing, e.g. the "Sharepoint" window. The color is defined by the HTML hexadecimal values of red, green and blue, e.g. #FFFF00 is yellow, #FF000 is red, #00FF00 is green. See Abb. 16 in 5.1 "An WebShare anmelden".
Specifies the WebShare toolbar color. The color is defined by the HTML hexadecimal values of red, green and blue, e.g. #FFFF00 is yellow, #FF000 is red, #00FF00 is green. See Abb. 17 in 5.2 "In einem Sharepoint arbeiten".
This preference allows specifying a password for a protected HTML page, which allows monitoring the WebShare WebObjects Server and the events it is processing. By default, the page is unavailable until a password is set. For security reasons, this preference should not be used unless you are an WebObjects deployment specialist and you know how the WebShare WebObjects Server and WebObjects work internally.
The default time-out value for uploads and downloads of the WebShare WebObjects Server is 24 h (=86400 s). If more time is needed, e.g. due to a slow Internet connection, this preference may be set to a higher value.
Specifies that, after a user has been idle for a time, i.e. no web activity has occurred, the session will automatically be closed after one hour (=3600 s).
Modern browsers, e.g. Safari, FireFox, Internet Explorer support "gzip" compressed HTML pages. If supported by the browser, the WebShare WebObjects Server generates "gzip" compressed HTML pages. For slow connections, e.g. via modem or ISDN lines this will increase the browsing performance by factor 2-5, depending on the content. In case of problems with compressed pages this feature can be turned off by setting this preference to FALSE.
Note: The initial WebShare 1.0 product had no support for compressed pages.
| © 2005 HELIOS Software GmbH |
|
|
|
|
|