IBM @server i Serie Manual De Instrucciones página 95

Nota: Encontrará esta documentación en el CD del paquete de ampliación y Bonus Pack de
|
| AIX 5L.
| | z/OS Security Server Network Authentication Service para z/OS es el programa IBM z/OS basado en
Kerberos Versión 5. Network Authentication Service para z/OS proporciona servicios de
|
seguridad Kerberos sin que haga falta adquirir o utilizar un programa de middleware.Estos
|
| servicios soportan un servidor Kerberos nativo. En z/OS Security Server Network Authentication
Service Administration
|
Kerberos de z/OS.
|
Sea cual sea el sistema operativo que proporcione el servidor Kerberos, tendrá que determinar los puertos
|
del servidor Kerberos, asegurar el acceso al servidor Kerberos y asegurarse de que la hora de los clientes
|
| está sincronizada con la hora del servidor Kerberos.
| Determinar los puertos del servidor
El servicio de autenticación de red utiliza por omisión el puerto 88 para el servidor Kerberos. Sin
|
embargo, puede haber otros puertos especificados en los archivos de configuración del servidor
|
| Kerberos. Debe verificar el número de puerto de los archivos de configuración Kerberos situados
en el servidor Kerberos.
|
Asegurar el acceso al servidor Kerberos
|
| El servidor Kerberos debe estar situado en un sistema dedicado y seguro para que la seguridad
| de la base de datos de sujetos principales y contraseñas no se vea comprometida. Los usuarios
deben tener un acceso limitado al servidor Kerberos. Si el sistema en el que reside el servidor
|
| Kerberos también se utiliza para alguna otra finalidad (por ejemplo, para un servidor Web o un
servidor FTP), alguna persona podría aprovecharse de las grietas de seguridad de tales
|
aplicaciones y obtener acceso a la base de datos almacenada en el servidor Kerberos. En el caso
|
| de un servidor Kerberos de Microsoft Windows Active Directory, puede configurar opcionalmente
un servidor de contraseñas que permita a los sujetos principales gestionar y actualizar sus
|
propias contraseñas almacenadas en el servidor Kerberos. Si ha configurado un servidor Kerberos
|
| en i5/OS PASE y le resulta imposible dedicar el iSeries a la autenticación Kerberos, debe
asegurarse de que solo el administrador tenga acceso a la configuración de Kerberos.
|
Sincronizar las horas de los sistemas
|
La autenticación Kerberos exige que la hora de los sistemas esté sincronizada. Kerberos rechazará
|
| las peticiones de autenticación procedentes de un sistema o un cliente cuya hora no esté dentro
del desvío horario máximo especificado del servidor Kerberos. Dado que en cada ticket se
|
intercala la hora de su envío al sujeto principal, los piratas no pueden reenviar el mismo ticket en
|
| un momento posterior para autenticarse ante la red. El sistema iSeries también rechazará los
tickets procedentes de un servidor Kerberos si su hora no está dentro del desvío horario máximo
|
fijado durante la configuración del servicio de autenticación de red.El valor por omisión del
|
| desvío horario máximo es de 300 segundos (cinco minutos). Durante la configuración del servicio
de autenticación de red, el desvío horario máximo se fija en este valor por omisión; pero es
|
| posible cambiar este valor en caso necesario. Le recomendamos que no fije un valor superior a los
| 300 segundos. En el tema Sincronizar las horas de los sistemas encontrará los detalles sobre cómo
trabajar con las horas de los sistemas.
|
encontrará detalles sobre cómo configurar y gestionar un servidor
Servicio de autenticación de red
89