本文是以 IBM WebSphere: Deployment and Advanced Configuration 一书的安全性章节为基础编写的。本文内容已针对 WebSphere Application Server V6 进行了大幅度更新，并经过编辑，只讨论安全性加强方面的内容。该文本已进行过编辑和排版以作为独立的文章发表。虽然本文基于 WebSphere Application Server V6，但这里的大多数问题也同样适用于 V5 和 V5.1。其中有一个问题是 V6 特有的，我们会特别指出。除此之外，几乎所有其他内容都适合这三个主要版本，不过屏幕截图和示例均来自 V6。
接第 1 部分
本文是 WebSphere Application Server V6 高级安全性加强，第 1 部分：安全性加强概述和方法的续篇。
高级注意事项
现在，我们将继续讨论一些与安全性加强相关的高级问题。我们将讨论以下内容：
跨计算单元的信任
应用程序隔离
标识传播
WebSphere Application Server 安全性中的局限
在很多情况下，我们都不会提出具体的建议，而是提供一些重要的信息，以帮助您维护和管理安全的基础设施。
计算单元信任和隔离
WebSphere Application Server 计算单元不应越过信任边界。如果不能完全信任别人，则不要让他们管理您的计算单元或管理您的计算单元内的计算机。WebSphere Application Server 管理基础设施在计算单元范围内使用了一个粗粒度共享信任模型。每个应用服务器都将其包含在管理基础设施中，包括内部 API。就正面而言，这样就消除了控制的公共点，使得应用服务器具有很高的独立性和稳定性。不过，它也会对隔离有负面影响。采用此方法则隐式地包含以下内容：
WebSphere Application Server 计算单元中的每个应用服务器都对整个计算单元具有完全的管理权限。如果任何应用服务器被破坏，则所有应用服务器都会被破坏。
物理计算机边界（独立的计算机、LPAR、节点等等）几乎对计算单元安全性没有任何影响。计算单元中的信任单位是所有节点上的所有应用服务器。
进程边界对计算单元安全性几乎没有影响。将应用程序放置在独立的应用服务器 JVM 中对增强其计算单元内的安全角度的隔离性并没有太大用处。
独立的操作系统标识对计算单元的安全性几乎没有影响。由于应用服务器使用各种协议与计算单元的其他部分进行通信，而这些协议却不是由操作系统进行管理的，因此正常的操作系统投影的效果甚乎其微。
每个管理员对于整个计算单元都具有相同的管理权限（在其分配的管理角色内：管理员、配置人员、操作员或监视人员）。
这就提出了两个关键主题：管理隔离和应用程序隔离。
管理隔离
对于 WebSphere Application Server，所有管理员都对整个计算单元具有管理权限。不可能将不同应用程序、不同应用服务器或不同节点的各个不同权限单独进行分配。
如果您关心管理隔离，则可以马上就采取一些措施来满足这方面的需要。首先，可以利用 WebSphere Application Server 中不同的管理角色。
其次，可以为最常见的管理操作（应用程序更新、服务器重新启动等等）创建自定义管理工具。您可以根据管理员和应用程序限制这些常见工具的使用。有两个处理这方面的可行方法。第一个方法是编写自定义 wsadmin 脚本，并使用操作系统权限对其进行保护，以确保每个管理员只能为其所属的服务器运行这些脚本。第二个方法是编写小型 Web 应用程序来使用 J2EE 安全性对管理员进行身份验证，然后允许管理员根据其访问权限执行特定的受限操作。应用程序本身可以使用 JMX API 来管理计算单元。这两种方法均得到了 IBM 客户的成功应用。
应用程序隔离
现在我们将注意力转向或许是本文中最难的一部分。在此上下文中的应用程序隔离基本上是关于如何防止一个应用程序的非法操作对另一个应用程序造成伤害。此类攻击很难避免。事实是，基础设施软件产品（如 J2EE 应用服务器）尚未达到多用户操作系统的成熟水平。它们不能提供操作系统通常在多用户间提供的可靠隔离。