8

Creación de un Modelo Seguro

Copyright © 2004, Oracle. Todos los derechos reservados.

 Objetivos

Al finalizar esta lección, debería estar capacitado para:

• Definir JAAS (Java Authentication and Authorization
Services)
• Definir problemas de seguridad con respecto a
aplicaciones Web
• Utilizar funciones de tiempo de diseño de seguridad
de modelos ADF
• Utilizar el explorador de ADF Business Components
para probar su modelo de seguridad

Copyright © 2004, Oracle. Todos los derechos reservados.

Objetivos de la Arquitectura de Seguridad de J2EE

• Desvincular la lógica de seguridad de la lógica de

la aplicación
• Mantener la independencia de la plataforma y el
proveedor
• Garantizar un control de acceso detallado a los
recursos
• Posibilitar aplicaciones Web seguras y portátiles

Copyright © 2004, Oracle. Todos los derechos reservados.

 Visión General de la Arquitectura de
Seguridad de J2EE

Utilice las API de JAAS para:

Usuario
• Autenticar un cliente para que
acceda al sistema
– Determinar quién es el usuario.
Autenticación
– ¿Lo pueden demostrar?
• Autorizar clientes para acceder a
los recursos
– Determinar el rol del usuario Autorización
autenticado.
– ¿Qué acciones puede realizar
un usuario? Lectura/Escritura
Aplicación

Copyright © 2004, Oracle. Todos los derechos reservados.

 JAAS (Java Authentication and
Authorization Services)

• JAAS es un marco que:

– Proporciona un paquete API de Java que posibilita que
las aplicaciones puedan autenticar y aplicar la
seguridad
– Permite la definición de nombres de seguridad lógicos
(principales) que se asignan a usuarios o roles
definidos en el entorno de tiempo de ejecución
– Permite que la autorización detallada gestione la forma
en que los clientes tienen acceso a los recursos
• Un proveedor de JAAS implementa el marco de JAAS
y aplica el modelo de seguridad de Java2.

Copyright © 2004, Oracle. Todos los derechos reservados.

 JAAS (Java Authentication and
Authorization Services)

• JAAS soporta las siguientes funciones de

autorización, autenticación y comunidad de
usuarios (dominio):
– Principales
– Asuntos
– Autenticación del módulo de conexión
– Roles
– Dominios
– Políticas y permisos
• JDeveloper proporciona asistentes y cuadros de
diálogo que ayudan a gestionar estos objetos.

Copyright © 2004, Oracle. Todos los derechos reservados.

Copyright © 2004, Oracle. Todos los derechos reservados.
JDeveloper, JAAS y Seguridad del Modelo ADF

• JDeveloper proporciona seguridad de aplicación

mediante JAAS.
• ADF Business Components utiliza las definiciones
de seguridad de JAAS para aplicar la seguridad en
el modelo.
• Se pueden definir roles de acceso en entidades y
atributos.
• El explorador de ADF Business Components utiliza
esta propiedad para controlar la seguridad del
modelo durante el desarrollo y la prueba.
• El despliegue de JDeveloper utiliza estos roles de
acceso para crear descriptores de despliegue.

Copyright © 2004, Oracle. Todos los derechos reservados.

Activación de Autenticación de JAAS para
ADF Business Components

• Defina la propiedad de aplicación

jbo.security.enforce para activar la autenticación
y la autorización.
• Seleccione
– None: sin autenticación
– Test: prueba el esquema de conexión pero no autentica
los usuarios
– Must: autenticación completa
– Auth: autenticación y autorización completas
• Modifique java.security para utilizar el proveedor
de conexión de Oracle.

Copyright © 2004, Oracle. Todos los derechos reservados.

 Propiedad de Aplicación
jbo.security.enforce

1. Seleccione el editor Application Module

Configuration.
2. Haga clic en el separador Properties.
3. Defina la propiedad jbo.security.enforce.

Copyright © 2004, Oracle. Todos los derechos reservados.

Definición de Permisos de Entidad

Copyright © 2004, Oracle. Todos los derechos reservados.

 Privilegios de Entidad

• El rol users puede

actualizar filas nuevas.
• El rol administrators
puede actualizar
cualquier fila.
• El rol guests sólo puede
leer cualquier fila.

Copyright © 2004, Oracle. Todos los derechos reservados.

 Permisos de Atributo

• Los atributos heredan los permisos de entidad.

• Los permisos se pueden sustituir en el nivel de
atributo.
• Se aplican los permisos más restrictivos, por
ejemplo:
– Si define read-only en el nivel de entidad, no puede
definir update en el nivel de atributo.
– Update, en el nivel de entidad, puede tener read-only
en el nivel de atributo.

Copyright © 2004, Oracle. Todos los derechos reservados.

Uso del Explorador de Business Components

• Seleccione Test en el menú contextual Application

Module.
• Seleccione AppModuleLocal para configurar la prueba.

Copyright © 2004, Oracle. Todos los derechos reservados.

Prueba de Autorización de Entidad y Atributo

Copyright © 2004, Oracle. Todos los derechos reservados.

 Resumen

En esta lección ha aprendido a:

• Definir el configurador de conexión para aplicaciones
ADF BC
• Activar la autenticación de JAAS para ADF BC
• Agregar usuarios y roles
• Agregar permisos específicos de rol a entidades y
atributos
• Probar un esquema de seguridad de aplicación ADF BC

Copyright © 2004, Oracle. Todos los derechos reservados.

 Práctica 8-1: Visión General

Esta práctica cubre los siguientes temas:

• Definición de autenticación SSO
• Creación de usuarios y roles
• Adición de autorizaciones
• Prueba de autorizaciones

Copyright © 2004, Oracle. Todos los derechos reservados.

 Práctica 8-1

Copyright © 2004, Oracle. Todos los derechos reservados.