Web-Richtlinien-Agent

Über diese Schnittstelle kann eine Webagenteninstanz konfiguriert werden. Die beschriebenen Attribute gelten nur, wenn während der Agentenerstellung die Konfiguration "Zentralisiert" ausgewählt wurde. Wenn die Konfiguration "Lokal" ausgewählt wurde, können die zu diesem Agenten gehörenden Attribute nur über eine Datei im Agenten bearbeitet werden.

Die verfügbaren Konfigurationstypen untergliedern sich in folgende Kategorien:

Global

Die globalen Attribute gelten für alle Webagenten.

Gruppe

Wählen Sie gegebenenfalls eine Gruppe in der Dropdown-Liste aus. Diese Liste besteht aus zuvor konfigurierten Gruppen.

Password

Das Passwort wurde bei der Erstellung des Agentenprofils festgelegt. Sie können das Passwort jedoch jederzeit später ändern.

Passwortbestätigung

Die Bestätigung des Passworts wurde bei der Erstellung des Agentenprofils durchgeführt. Wenn Sie das Passwort ändern, müssen Sie die Änderung bestätigen.

Status

Die Option "Aktiv" wird bei der Erstellung des Agenten ausgewählt. Wählen Sie "Inaktiv" nur aus, wenn Sie den Schutz, den der Agent bietet, aufheben möchten.

Speicherort des Repository für die Agentenkonfiguration

Ändern Sie bei Bedarf den Konfigurationsspeicherort auf die andere der beiden Optionen: "centralized" (zentralisiert) bzw. "local" (lokal). Der zentralisierte Speicherort ermöglicht die zentralisierte Steuerung der Konfiguration, beispielsweise über die Konsole. Die lokale Option wurde bereitgestellt, um Abwärtskompatibilität zu ermöglichen.

FAM-Anmelde-URL

Eine Liste von URLs zur Federated Access Manager-Authentifizierung Wenn Authentifizierung erforderlich ist, leitet der Agent die eingehenden Benutzer an den entsprechenden Authentifizierungsdienst weiter, der in der URL angegeben ist..

URI-Präfix für Agentenbereitstellung

Der Wert des Universal Resource Identifier (URI). Der Standardwert ist /amagent.

Agenten-Gebietsschema

Der Wert für das Gebietsschema.

Dateirotation bei lokaler Agenten-Protokolldatei

Aktivierung der Protokollrotation. Wenn dieses Attribut aktiviert ist, wird die Protokolldatei rotiert, wenn die im folgenden Attribut festgelegte Protokolldateigröße erreicht ist: Größe der lokalen Agenten-Protokolldatei.

Größe der lokalen Agenten-Protokolldatei

Die Größe in Megabyte, bei der die Protokolldatei in eine neue Datei rotiert wird.

Name der entfernten Agenten-Protokolldatei

Name der Federated Access Manager -Protokolldatei, in der jeder URL-Zugriff auf Federated Access Manager aufgezeichnet wird.

Typ der entfernten Protokollierung bei URL-Zugriff

Die Einstellung für die Protokollierungsebene beim URL-Zugriff. Diese Einstellung bezieht sich auf den URL-Zugriff, der in der Federated Access Manager -Protokolldatei gespeichert wurde, deren Namen durch das Attribut "Name der entfernten Agenten-Protokolldatei" angegeben wird.

Fehlersuchebene für Agenten

Der Typ der protokollierten Fehlermeldungen. Diese Einstellung legt die Protokollierungsebene des lokal auf dem Agentenhost gespeicherten Fehlersuchprotokolls fest.

FQDN-Prüfung

Wenn dieses Attribut aktiviert ist, werden der FQDN-Standardwert und die FQDN-Zuordnungswerte überprüft.

FQDN-Standard

Der vollständige Hostname für Benutzer zum Zugriff auf Ressourcen. Dieser Hostname wird während der Agenteninstallation festgelegt. Ändern Sie diese Einstellung nur, wenn es zwingend erforderlich ist.

FQDN-Zuordnung zu virtuellem Host

Eine Zuordnung zu einem tatsächlichen oder gültigen Hostnamen. Hierbei wird einem nicht erkannten Hostnamen ein erkannter Hostname zugeordnet. Diese Zuordnung ist in folgenden Situationen nützlich: Wenn eine IP-Adresse oder eine falsche URL vom Benutzer eingegeben wurde oder wenn für geschützte Ressourcen ein virtueller Host verwendet wird.

Serverprüfung ignorieren

Wenn dieses Attribut aktiviert ist, wenn also "ignore" (ignorieren) aktiviert ist, überprüft der Agent vor der Durchführung einer 302-Umleitung nicht, ob Federated Access Manager ausgeführt wird.

Bevorzugte Namens-URL bei Namensanforderung ignorieren

Wenn dieses Attribut aktiviert ist, wenn also "ignore" (ignorieren) aktiviert ist, sendet der Agent bei der Namensanforderung NICHT die bevorzugte Namens-URL als Attribut.

Ressourcenzugriff bei fehlgeschlagener entfernter Protokollierung verweigern

Wenn dieses Attribut aktiviert ist und die entfernte Protokollierung fehlschlägt, wird der Ressourcenzugriff verweigert.

URL für Ressourcenzugriffsverweigerung

Die URL der benutzerspezifisch angepassten Seite für die Zugriffsverweigerung. Wenn kein Wert angegeben wird, gibt der Agent den HTTP-Status 403 (Verboten) zurück.

Systemeigene Kodierung der Profilattribute

Wenn dieses Attribut aktiviert ist, kodiert der Agent die LDAP-Header-Werte mit der Standardkodierung des für das Betriebssystem geltenden Gebietsschemas. Wenn es nicht aktiviert ist, werden die LDAP-Header-Werte in UTF-8 kodiert.

Liste der nicht erzwungenen URLs

Eine URL-Liste, für die keine Authentifizierung durchgeführt wird. Für jede URL in dieser Liste gilt, dass für die Authentifizierung keine Berechtigungsnachweise angefordert werden.

Markierung für Liste der nicht erzwungenen URLs umkehren

Wenn dieses Attribut aktiviert ist, wird die nicht erzwungene Liste zur erzwungenen Liste. Somit werden alle URLs, die als Werte für das Attribut "Liste der nicht erzwungenen URLs" aufgeführt sind, ab diesem Zeitpunkt erzwungen, während alle anderen URLs nicht erzwungen werden.

Liste der nicht erzwungenen Client-IPs

Die Liste der Client-IP-Adressen, deren Anforderungen keiner Authentifizierung oder Autorisierung unterzogen werden. Daher wird der Zugriff für jede IP-Adresse gewährt, die als Wert für dieses Attribut aufgeführt ist. Für Authentifizierung bzw. Autorisierung werden keine Berechtigungsnachweise angefordert.

Attribute für nicht erzwungene URLs abrufen

Wenn dieses Attribut aktiviert ist, ruft der Agent Profilattribute für URLs auf der Liste der nicht erzwungenen URLs ab, indem er eine Richtlinienauswertung durchführt.

Anwendung

Die Anwendungsattribute sind in der Regel anwendungsspezifisch.

Zeitüberschreitung bei Agentenverbindung:

Die Zeit in Sekunden bis zur Zeitüberschreitung für eine Agentenverbindung mit dem Federated Access Manager -Authentifizierungsserver. Der Standardwert ist 2 Sekunden. Die zugehörige Fehlermeldung für diese Einstellung lautet: unable to find active Access Manager Auth server.

Abrufintervall für Richtlinien-Cache

Das Abrufintervall in Minuten zur Aktualisierung des Richtlinien-Cache des Agenten. Der Standardwert ist 3 Minuten.

Abrufintervall für SSO-Cache

Das Abrufintervall in Minuten zur Aktualisierung des SSO-Cache des Agenten. Der Standardwert ist 3 Minuten.

Benutzer-ID-Parameter

Der Wert der Benutzer-ID wird vom Agenten verwendet, um den Wert der Servervariablen REMOTE_USER festzulegen. Standardmäßig ist dieser Parameter auf UserToken gesetzt.

Parametertyp der Benutzer-ID

In Verbindung mit dem Attribut "Benutzer-ID-Parameter" legt diese Einstellung fest, von welchem Attributtyp die Benutzer-ID abgerufen wird. Die möglichen Werte sind session und ldap.

Richtlinien aus Stammressource abrufen

Wenn dieses Attribut (die Standardeinstellung) aktiviert ist, speichert der Agent die Richtlinienentscheidung der Ressource und aller Ressourcen vom Stamm der Ressource abwärts im Cache. Wenn der Agent nur die Richtlinienentscheidung für die Ressource im Cache speichern soll, was die Reaktionszeit verbessern kann, müssen Sie sicherstellen, dass die Einstellung nicht aktiviert ist.

Zeitabweichung bei Richtlinie

Die Anzahl an Sekunden zur Festlegung der Zeitdifferenz zwischen Agentencomputer und Federated Access Manager . Die Zeitabweichung in Sekunden berechnet sich wie folgt: Agentenzeit minus Federated Access Manager -Zeit.

Cookie-Präfix für Profilattribute

Das in Profilattribut-Headern verwendete Cookie-Präfix.

Max. Cookie-Alter für Profilattribute

Das maximale Alter der Cookie-Header von Profilattributen in Sekunden.

Benachrichtigungen aktivieren

Wenn dieses Attribut aktiviert ist, wird die Pflege folgender Agenten-Caches durch Benachrichtigungen unterstützt: "sso", "policy" und "configuration".

URL für Agentenbenachrichtigung

Wenn das Attribut "Benachrichtigungen aktivieren" auf "Aktiviert" gesetzt ist, wird die URL, die als Wert für dieses Attribut zugewiesen wurde, vom Agenten zur Registrierung von Benachrichtigungs-Listenern verwendet.

Abrufintervall für primären Server

Das Intervall in Minuten, in dem der Agent primären Server abruft, um sicherzustellen, dass dieser ausgeführt wird. Der Vorgabewert ist 5.

Abrufzeitraum für Agentenkonfiguration

Das Intervall in Minuten, in dem der Agent die Agentenkonfiguration aus Federated Access Manager abruft. Der Standardwert ist 60.

Abrufzeitraum für Agentenkonfigurationsbereinigung

Das Intervall in Sekunden für die Aktualisierung alter Agentenkonfigurationseinträge, solange diese Einträge nicht aktuell von Anforderungen referenziert werden. Dies ist Teil des Hotswapping-Frameworks.

Client-IP-Validierung

Wenn dieses Attribut aktiviert ist, werden Browser-Anforderungen validiert, um sicherzustellen, dass sie von derselben IP-Adresse stammen, für die das SSO-Token ursprünglich ausgegeben wurde.

Client-Hostnamen abrufen

Wenn dieses Attribut aktiviert ist, wird der Client-Hostname über eine umgekehrte DNS-Suche zur Verwendung bei der Richtlinienauswertung ermittelt.

Setup des Lastenausgleichssystems

Wenn dieses Attribut aktiviert ist, wird ein Lastenausgleichssystem für Federated Access Manager -Dienste verwendet.

Anforderungs-URL-Protokoll außer Kraft setzen

Setzen Sie dieses Attribut (sowie die folgenden Attribute: Anforderungs-URL-Host außer Kraft setzen,Anforderungs-URL-Anschluss außer Kraft setzen, Benachrichtigungs-URL außer Kraft setzen) auf "true" (wahr), wenn der Agent sich hinter einem SSL Off-Loader, einem Lastenausgleichssystem oder einem Proxy befindet.

Anforderungs-URL-Host außer Kraft setzen

Setzen Sie dieses Attribut (sowie die folgenden Attribute: Anforderungs-URL-Protokoll außer Kraft setzen, Anforderungs-URL-Anschluss außer Kraft setzen, Benachrichtigungs-URL außer Kraft setzen) auf "true" (wahr), wenn der Agent sich hinter einem SSL Off-Loader, einem Lastenausgleichssystem oder einem Proxy befindet.

Anforderungs-URL-Anschluss außer Kraft setzen

Setzen Sie dieses Attribut (sowie die folgenden Attribute: Anforderungs-URL-Protokoll außer Kraft setzen, Anforderungs-URL-Host außer Kraft setzen, Benachrichtigungs-URL außer Kraft setzen) auf "true" (wahr), wenn der Agent sich hinter einem SSL Off-Loader, einem Lastenausgleichssystem oder einem Proxy befindet.

Benachrichtigungs-URL außer Kraft setzen

Setzen Sie dieses Attribut (sowie die folgenden Attribute: Anforderungs-URL-Protokoll außer Kraft setzen, Anforderungs-URL-Host außer Kraft setzen, Anforderungs-URL-Anschluss außer Kraft setzen) auf "true" (wahr), wenn der Agent sich hinter einem SSL Off-Loader, einem Lastenausgleichssystem oder einem Proxy befindet.

Berücksichtigung der Groß-/Kleinschreibung bei URL-Vergleich

Wenn dieses Attribut aktiviert ist, wird die Berücksichtigung der Groß-/Kleinschreibung sowohl während der Richtlinienauswertung als auch während der Auswertung nicht erzwungener URLs erzwungen.

Sonderzeichen der URL kodieren

Wenn dieses Attribut aktiviert ist, werden URLs mit Sonderzeichen vor der Richtlinienauswertung kodiert.

Pfadinformationen in der Anforderungs-URL ignorieren

Wenn dieses Attribut aktiviert ist, werden die Pfadinformationen nicht aus der Anforderungs-URL gelöscht, selbst wenn in der Liste der nicht erzwungenen URLs oder in den Richtlinien-URLs ein Platzhalterzeichen vorkommt.


Achtung – Um zu vermeiden, dass bei Aktivierung dieses Attributs eine Sicherheitsschleife auftritt, müssen Sie sicherstellen, dass weder in der Liste der nicht erzwungenen URLs noch in den Richtlinien-URLs etwas nach dem Platzhalterzeichen „*” steht.


Liste der Abmelde-URLs

Die Liste der Abmelde-URLs für Anwendungen.

Liste der zurückzusetzenden Abmelde-Cookies

Die Liste der bei der Abmeldung zurückzusetzenden Cookies. Das Format für diese Liste entspricht dem der Liste der zurückzusetzenden Cookies.

Beibehalten der POST-Daten

Wenn dieses Attribut aktiviert ist, werden Einträge im POST-Datencache so lange beibehalten, wie im Attribut "Cache-Zeitraum für POST-Dateneinträge" angegeben. Dieses Attribut ist nicht auf alle Agenten anwendbar.

Cache-Zeitraum für POST-Dateneinträge

Die Zeitdauer in Minuten, die ein POST-Cache-Eintrag existiert, bevor er verworfen wird.

Abrufmodus für Profilattribute

Die verfügbaren Modi zum Abrufen zusätzlicher Benutzerprofilattribute zur Aufnahme in eine Anforderung.

Zuordnung der Profilattribute

Eine Liste der Zuordnungen von Profilattributnamen zu HTTP-Header-Namen, die mit bestimmten Namen für den aktuell authentifizierten Benutzer ausgefüllt wird. Format: [profil-attribut-name]=http-header-name.

Abrufmodus für Sitzungsattribute

Die verfügbaren Modi zum Abrufen zusätzlicher Benutzersitzungsattribute zur Aufnahme in eine Anforderung.

Zuordnung der Sitzungsattribute

Eine Liste der Zuordnungen von Sitzungsattributnamen zu HTTP-Header-Namen, die mit bestimmten Namen für den aktuell authentifizierten Benutzer ausgefüllt wird. Format: [sitzungs-attribut-name]=http-header-name.

Abrufmodus für Antwortattribute

Die verfügbaren Modi zum Abrufen zusätzlicher Benutzerantwortattribute zur Aufnahme in eine Anforderung.

Zuordnung der Antwortattribute

Eine Liste der Zuordnungen von Antwortattributnamen zu HTTP-Header-Namen, die mit bestimmten Namen für den aktuell authentifizierten Benutzer ausgefüllt wird. Format: [antwort-attribut-name]=http-header-name.

SSO

Mit den SSO-Attributen können Sie Funktionen des Agenten konfigurieren, die sich auf Single Sign-On (SSO) beziehen. Die meisten SSO-bezogenen Attribute sind in der Kategorie "SSO" zusammengefasst. Attribute, die SSO-Standardfunktionen bereitstellen, sind jedoch möglicherweise nicht enthalten.

Nur SSO

Wenn dieses Attribut aktiviert ist, erzwingt der Agent lediglich die Authentifizierung (SSO), ohne die Autorisierung für Richtlinien zu erzwingen.

Standardwert für anonyme Benutzer

Die für nicht authentifizierte Benutzer zu verwendende Benutzer-ID.

Anonymer Benutzer

Wenn diese Option aktiviert ist, wird für anonyme Benutzer die REMOTE_USER-Verarbeitung durchgeführt. Dieses Attribut gehört zu dem Attribut "Standardwert für anonyme Benutzer".

Cookie-Name

Der Name des SSO-Cookie-Tokens, das zwischen Federated Access Manager und dem Agenten verwendet wird.


Achtung – Durch Ändern dieses Attributs im Agenten ohne entsprechende Änderung von Federated Access Manager wird das SDK deaktiviert.


Cookie-Sicherheit

Wenn diese Option aktiviert ist, sendet der Agent sichere Cookies, sofern die Kommunikation sicher ist.

Cookies zurücksetzen

Wenn dieses Attribut aktiviert ist, setzt der Agent Cookies in der Antwort zurück, bevor die Umleitung an Federated Access Manager zum Zwecke der Authentifizierung erfolgt. Dieses Attribut ist standardmäßig deaktiviert.

Liste der zurückzusetzenden Cookies

Liste der in die Umleitungsantwort an Federated Access Manager aufzunehmenden Cookies, in folgendem Format: name[=value][;Domain=value]. Diese Liste wird nur verwendet, wenn das Attribut "Cookies zurücksetzen" aktiviert ist.

Domänenliste für Cookies

Wenn CDSSO aktiviert ist, gibt diese Liste mit Domänen an, welche Cookies festgelegt werden müssen.

CDSSO

Wenn dieses Attribut aktiviert ist, ist domänenübergreifendes Single Sign-On (Cross-Domain Single Sign On) möglich. Dieses Attribut ist standardmäßig deaktiviert.

URL-Liste für CDSSO-Servlet

Wenn dieses Attribut aktiviert ist, gibt diese Liste an, welche URLs in den verfügbaren CDSSO-Controllern vom Agenten für die CDSSO-Verarbeitung verwendet werden können.

Erweitert

Bei Webagenten sind die erweiterten Attribute (Eigenschaften) entweder benutzerdefiniert erstellte Attribute oder bereitstellungscontainerspezifische Attribute.

Benutzerdefinierte Eigenschaften

Eine Liste der vom Agenten unterstützten benutzerdefinierten Attribute. Diese Attribute werden von Ihrer Site erstellt.

Host und Port des Proxy-Servers außer Kraft setzen

Containerspezifisch: Sun Java System Proxy Server

Wenn dieses Attribut aktiviert ist, werden Hostname und Anschlussnummer des Sun Java System Proxy Server überschrieben.

Authentifizierungstyp

Containerspezifisch: Microsoft IIS-Server

Schlüssel für Passwortwiedergabe

Containerspezifisch: Microsoft IIS-Server

Der DES-Schlüssel zur Entschlüsselung des Basisauthentifizierungspassworts in der Sitzung.

Filterpriorität

Containerspezifisch: Microsoft IIS-Server

Die für die Ladepriorität des Agentenfilters zur Verfügung stehenden Optionen.

Filter mit OWA konfiguriert

Containerspezifisch: Microsoft IIS-Server

Wenn dieses Attribut aktiviert wurde und wenn der Microsoft IIS-Agentenfilter für Outlook Web Access (OWA) konfiguriert ist, kann der Agent erwartungsgemäß arbeiten.

URL-Protokoll in https ändern

Containerspezifisch: Microsoft IIS-Server

Wenn dieses Attribut aktiviert wurde und wenn der Microsoft IIS-Agentenfilter für Outlook Web Access (OWA) konfiguriert ist, werden Popup-Meldungen, wie sie bei Benutzung des Browsers Internet Explorer 6 auftreten können, verhindert.

Seiten-URL für Zeitüberschreitung bei Sitzung im Leerlauf

Containerspezifisch: Microsoft IIS-Server

Dieses Attribut gilt nur, wenn der Microsoft II-Agentenfilter für Outlook Web Access (OWA) konfiguriert ist. Der Wert für dieses Attribut ist die URL der lokalen Seite für Zeitüberschreitung wegen einer im Leerlauf befindlichen Sitzung.

Benutzer in Domino-Datenbank prüfen

Containerspezifisch: IBM Lotus Domino-Server

Wenn dieses Attribut aktiviert ist, überprüft der Agent, ob der Benutzer in der IBM Lotus Domino-Namensdatenbank vorhanden ist.

LTPA-Token verwenden

Containerspezifisch: IBM Lotus Domino-Server

Wenn dieses Attribut aktiviert ist, verwendet der Agent das LTPA-Token. Daher sollten Sie dieses Attribut nur aktivieren, wenn die Verwendung des LTPA-Tokens für den Agenten erforderlich ist.

Name des LTPA-Token-Cookies

Containerspezifisch: IBM Lotus Domino-Server

Der Name des Cookies, das das LTPA-Token enthält.

Konfigurationsname für LTPA-Token

Containerspezifisch: IBM Lotus Domino-Server

Der Konfigurationsname, den der Agent zur Nutzung des LTPA-Tokenmechanismus verwendet.

Konfigurationsname für LTPA-Token

Containerspezifisch: IBM Lotus Domino-Server

Der Name der Organisation, zu der das LTPA-Token gehört.