Ключевые термины NSSO

Серверные компоненты

SSSI.NLM --- расширяет схему NDS, инсталлирует сервис Novell SecretStore, а также инициализирует и/или проверяет инфраструктуру защищенного домена (SDI --- Security Domain Infrastructure).

Для загрузки SSSI.NLM (Novell SecretStore Installation NetWare^® Loadable Module) используется NWCONFIG.NLM. SSSI.NLM выполняет следующие задачи:

расширяет схему NDS eDirectory^TM;

инсталлирует серверные компоненты SecretStore (SSS.NLM);

настраивает LDAP-сервер eDirectory для включения расширений SecretStore;

изменяет сценарий запуска для загрузки сервисов SecretStore.

SSS.NLM --- сервис Single Sign-on, также известный под названием Novell SecretStore.

Эквивалентным файлом для серверов Windows* NT*/2000 является SSS.DLM.

SecretStore предоставляет защищенную инфраструктуру для хранения и извлечения полномочий приложений из NDS. Программа SecretStore использует NICI и SDI и для обеспечения надежности и безопасности хранения паролей пользователей Single Sign-on.

При успешной аутентификации пользователя приложением сервис SecretStore сохраняет (в объекте Пользователь NDS этого пользователя) сведения для регистрации в соответствующем приложении. В дальнейшем, когда этот пользователь регистрируется в NDS и запускает приложение, клиент NSSO извлекает пароль нужного приложения из SecretStore и в фоновом режиме передает его в приложение или на Web-узел, обеспечивая аутентификацию пользователя.

LSSS.NLM --- позволяет приложениям использовать протокол LDAP для хранения и извлечения секретов для NSSO.

LSSS.NLM представляет собой подключаемый модуль SecretStore для LDAP. Эквивалентным файлом для серверов Windows NT/2000 является LSSS.DLL.

ConsoleOne --- позволяет администратору настраивать и администрировать объекты NSSO.

NDS eDirectory автоматически устанавливает ConsoleOne^TM на сервер. Однако для использования ConsoleOne необходимо инсталлировать подключаемый модуль NSSO для ConsoleOne на клиентской рабочей станции (или в каталог на сервере) и запустить ConsoleOne с рабочей станции. NSSO 2.1 не поддерживает выполнение данного подключаемого модуля с консоли сервера.

Для получения дополнительных сведений о SecretStore см. издания Novell Developer Notes за следующие месяцы:

ноябрь 1999 г. ;

апрель 2000 г. .

Компоненты рабочей станции

Программа инсталляции (NSSOINSTALL.EXE) инсталлирует на рабочую станцию Windows администратора следующие компоненты. На рабочие станции UNIX* эти компоненты не инсталлируются.

Клиент NICI --- позволяет NSSO осуществлять весь обмен зашифрованными данными между SecretStore, клиентом v-GO, клиентом корпоративного выпуска сервиса Novell Modular Authentication Services (NMAS^TM) и коннекторами приложений.

Novell Single Sign-on --- обеспечивает обмен данными между приложениями и SecretStore.

Клиент Novell Single Sign-on (NWSSO.DLL) содержит API для доступа к сервису SecretStore.

Клиент NMAS --- обеспечивает аутентификацию пользователей NSSO в NDS (в подключенном или отключенном режиме).

Клиент NMAS может подтверждать аутентификацию в следующих ситуациях:

Вы не зарегистрированы в NDS;

Вы зарегистрированы в дереве NDS, отличном от того, с которым синхронизируется v-GO;

истекло заданное по умолчанию время ожидания (наступил тайм-аут).

Клиент v-GO --- клиент интеллектуальной регистрации.

v-GO собирает имена пользователей и пароли, распознает в приложениях поля параметров регистрации или паролей и обеспечивает аутентификацию пользователей, передавая в приложения параметры регистрации.

Клиент v-GO позволяет любому пользователю работать с приложениями, не вводя пароли для каждого из них. Пользователь при этом может быть зарегистрирован в сети или работать в отключенном режиме.

ConsoleOne --- обеспечивает возможность администрирования секретов в SecretStore с рабочей станции.

Подключаемый модуль ConsoleOne --- обеспечивает возможность создания, настройки и администрирования объектов NSSO в NDS.

Подключаемый модуль ConsoleOne можно запускать на рабочей станции при условии, что на ней также установлены компоненты NICI и клиент Novell Single Sign-on.

SecretStore Manager --- позволяет конечным пользователям выполнять основные задачи обслуживания хранилища SecretStore.

С помощью SecretStore Manager пользователи могут выполнять следующие задачи:

задавать или изменять главный пароль и подсказку;

разблокировать SecretStore с помощью главного пароля или предыдущего пароля NDS;

удалять SecretStore;

просматривать, добавлять, удалять или изменять секреты;

отображать состояние секретов;

переключаться на другие деревья NDS и целевые характерные имена пользователей;

регистрироваться в NDS;

определять версии компонентов NSSO, выполняемых на рабочей станции или сервере;

определять стойкость шифрования установленных компонентов NICI;

выполнять основные тесты для выявления неполадок в хранилище SecretStore и задачи его обслуживания.

Для защиты секретов SecretStore Manager требует аутентификации пользователя в NMAS перед просмотром секретов.

Хотя утилита SecretStore Manager не является основным интерфейсом SecretStore, она помогает пользователям управлять хранилищем SecretStore вне интерфейсов приложений, работающих с Single Sign-on.

Окно SecretStore Manager показано на следующем рисунке.

SecretStore Status --- позволяет пользователям задавать главный пароль, разблокировать SecretStore, переключаться между деревьями NDS или именами пользователей DNS.

SecretStore Status представляет собой сокращенную версию SecretStore Manager. Окно SecretStore Status показано на следующем рисунке.

Объекты NSSO в NDS

nssoSingleSignon --- объект-контейнер, содержащий необязательные объекты приложений, объекты политик и настройки конфигурации сервиса.

Объект nssoSingleSignon является объектом конфигурации для Novell Single Sign-on. Он используется для настройки сервиса SecretStore и v-GO для Novell Single Sign-on.

На следующем рисунке показан объект nssoSingleSignon в ConsoleOne.

Объект nssoApplication --- настраивает систему NSSO для обеспечения поддержки приложения.

Объект nssoApplication используется для настройки системы Novell Single Sign-on таким образом, чтобы приложение поддерживалось должным образом. Эти объекты предназначены для использования в первую очередь приложением v-GO для Novell Single Sign. Их также можно использовать для разработки коннекторов приложений на базе API NSSO.

Кроме того, данный объект предусматривает назначение ярлыков Graded Access. Сервис NSSO использует эти ярлыки с NMAS на сервере для регулирования доступа к приложениям.

На следующем рисунке показан объект nssoApplication в ConsoleOne.

Объект nssoPasswordPolicy --- определяет обязательные характеристики для автоматически создаваемых паролей и паролей, создаваемых пользователями.

К этому объекту можно обращаться из объекта nssoSingleSignon (по умолчанию) или из отдельных объектов nssoApplication.

Можно задать следующие параметры:

общая длина;

обязательное число букв, цифр и специальных символов;

допустимое число повторяющихся символов.
v-GO для Novell Single Sign-on использует эти параметры. Коннекторы приложений на базе API, написанные для поддержки политик паролей, также используют эти параметры.

На следующем рисунке показан объект nssoPasswordPolicy в ConsoleOne.

Объект nssoPasswordExclude --- список слов, которые пользователи не могут использовать в качестве паролей.

К данному классу объектов могут обращаться объекты nssoPasswordPolicy. С помощью объекта nssoPasswordExclude можно запретить пользователям вводить определенные слова, отвечающие политике паролей по другим параметрам.

Рассмотрим следующий сценарий. В компании "Компьютерные авиалинии" создана политика, требующая использования паролей не менее чем из семи символов. Среди символов должно быть от одной до четырех цифр. Пользователь вводит пароль digital2000, являющийся допустимым. Для повышения безопасности Вы создаете связь со списком исключенных паролей, содержащим слово digital*. При вводе пользователем пароля digital2000 NSSO отклоняет этот пароль.

ПРИМЕЧАНИЕ: В v-GO для Novell Single Sign-on поддержка списка исключенных паролей пока что не реализована. Однако коннекторы приложений могут использовать это средство.

На следующем рисунке показан объект nssoPasswordExclude в ConsoleOne.