安裝后任務——以通用訪問卡 (CAC) 進行認證

通用訪問卡是美國的穿制服現役軍人、選定預備人員、DoD 文職員工以及合格承包商人員的標準標識。持卡人可以進入大樓和受控空間，并可訪問 DoD 計算機網絡和系統。CAC 可以用于訪問配備了各種智能卡讀卡器的計算機和網絡。將 CAC 插入讀卡器時，設備將要求用戶輸入 PIN。本任務幫助您設置 AppScan? Enterprise 以允許通過 LDAP 進行 CAC 認證，以便用戶無需提供用戶名和密碼即可登錄到 AppScan Enterprise。

開始之前

在安裝和配置期間，確保在配置向導的“認證機制”屏幕中選擇 LDAP 認證。

注：

1. 如果在應用 AppScan Enterprise v9.0.3.1 iFix1 之前啟用了 CAC，那么在 iFix1 安裝期間運行配置向導之前將其禁用。然后，可重新啟用 CAC 并登錄 AppScan Enterprise 以及完成以下任務。
2. 無需執行任何用戶操作即可啟用利用 Microsoft? Internet Explorer 進行的認證。對于 Mozilla Firefox 用戶，您的組織可能有針對在瀏覽器中啟用 CAC 的特定指示信息。

過程

1. 使用包含 CAC 用戶的 LDAP 服務器來安裝 AppScan Enterprise。

2. 確保 AppScan Enterprise 的產品管理員同時也是 CAC 用戶。

   1. 以管理員身份登錄 AppScan Enterprise。
   2. 轉至管理 > 用戶和組，并從列表選擇缺省用戶。
   3. 在編輯用戶頁面上，從類型列表選擇 Administrator。完成用戶屬性的配置，并單擊保存，然后從 AppScan Enterprise 注銷。

3. 將完整認證中心鏈導入信任庫。

   1. 創建密鑰庫文件或使用現有密鑰庫。

      注： 要生成密鑰庫，您可以使用密鑰工具。AppScan Enterprise 包含密鑰工具，下載位置為 \AppScan Enterprise\Liberty\jre\bin

      使用以下命令： keytool -genkey -alias mydomain.com -keyalg RSA -keystore MyKeystore.jks -keysize 2048 - keypass storePassword

   2. 導入對 CAC 卡上存在的客戶機證書簽名的完整 CA 證書鏈。

      注： 您可以使用 Java? iKeyman 工具來管理您的數字證書。通過 iKeyman，您可以將認證中心 (CA) 根添加到數據庫，將證書從一個數據庫復制到另一個數據庫，從一個 CA 請求并接收數字證書，設置缺省密鑰，以及更改密碼。iKeyman 實用程序包含在 AppScan Enterprise 中，存儲在 \AppScan Enterprise\Liberty\jre\bin\ikeyman.exe 中。

   3. 一次添加一個 CA 證書，并為每個證書創建一個標簽。如果您使用 iKeyman，也可以為每個證書創建一個標簽。在您添加完整鏈的所有證書完成后，請關閉 iKeyman 工具。

4. 修改 web.xml 文件，以將基于表單的認證替換為客戶機證書認證。

   注： 在修改 web.xml 文件之前對其進行備份。

   1. 停止 HCL AppScan Enterprise Server 服務。

   2. 在以下位置找到 AppScan Enterprise 實例的 AppScanServerWeb.war 文件：\AppScan Enterprise\Liberty\usr\servers\ase\apps\AppScanServerWeb.war.

   3. 將 AppScanServerWeb.war 文件重命名為 AppScanServerWeb.zip，然后瀏覽到 WEB-INF 文件夾以檢索 web.xml 文件來進行編輯。

   4. 將該文件的以下部分：

      <login-config> <auth-method>FORM</auth-method> <form-login-config> <form-login-page>/pages/Login.jsp</form-login-page> <form-error-page>/pages/Login.jsp?Retry=True</form-error-page? </form-login-config> </login-config>

      替換為

      <login-config> <auth-method>CLIENT-CERT</auth-method> </login-config>

   5. 保存文件將 AppScanServerWeb.zip 重命名為 AppScanServerWeb.war。

5. 修改 server.xml 文件以強制實施 SSL 協議，設置信任密鑰庫并設置 LDAP 證書映射。

   1. 在 \AppScan Enterprise\Liberty\usr\servers<ase instance name>\server.xml 中找到 server.xml 文件。

   2. 確保 <featureManager> 部分包含 <feature>ssl-1.0</feature>。

   3. 找到文件的<keystore>部分并添加以下行：<keyStore id="cacTrustKeyStoreID" password="store password" location="cacTrustKeyStore.jks" type='jks' />，其中

      • id 是唯一地標識密鑰庫的字符串（使用任何字符串）
      • password 是密鑰庫的密碼（此值可以用明文或加密格式存儲；使用來自 Liberty 的 securityUtility 可對密碼進行加密）
      • location 是密鑰庫文件的絕對或相對路徑（指向 \AppScan Enterprise\Liberty\usr\servers<ase instance name>\resources\security\ 的相對路徑
      • type 是密鑰庫類型。缺省值為 jks。

   4. 找到該文件的 <ssl> 部分，并確保其中包括 <ssl-Protocol="SSL_TLSv2">。

   5. 將這些屬性添加到 <ssl>

      • trustStoreRef="cacTrustKeyStoreID"，其中 cacTrustKeyStoreID 是在文件 <keystore> 部分中配置的密鑰庫標識。
      • clientAuthenticationSupported="true"

      完成編輯后，該部分可能類似于以下示例：<ssl id="defaultSSLConfig" sslProtocol="SSL_TLSv2" keyStoreRef="defaultKeyStore" trustStoreRef="defaultKeyStore" clientAuthenticationSupported="true" />.

   6. 找到文件的<ldapRegistry>部分，然后添加以下屬性：

      • certificateMapMode="CERTIFICATE_FILTER"

      • certificateFilter="uid=${SubjectCN}".

        注： LDAP 目錄中的“uid”必須匹配證書的該屬性。修改過濾器的此示例，以便它映射到您的環境。在此示例中，如果證書的“SubjectCN”是“CN=IBM”，那么 LDAP 目錄中的用戶名 (uid) 也必須是“IBM”。

      此示例顯示使用 IBM? Tivoli? Directory Server 的 LDAP 注冊表配置。LDAP 用戶標識匹配 CAC 卡中存儲的證書內的主體 CN：

      <ldapRegistry ldapType="IBM Tivoli Directory Server" host="<<host name>>" port="<<Port no>>" sslEnabled="false" baseDN="o=IBM,c=US" certificateMapMode="CERTIFICATE_FILTER" certificateFilter="uid=${SubjectCN}"> <activedFilters userFilter="(objectclass=Person)" userIdMap="*:uid"/ > </ldapRegistry>

6. 重新啟動 HCL AppScan Enterprise Server 服務。

7. 以管理員身份通過 CAC 認證登錄回到 AppScan Enterprise。

8. 轉至管理 > 用戶和組，并將缺省用戶的許可權更改回到希望角色具有的任何許可權。（通常，可能希望缺省用戶成為管理員，但也可能是標準用戶）。

9. 在配置 AppScan Enterprise 之后，除了使用數據庫查詢之外，沒有其他方式來為 CAC 用戶創建管理員帳戶。如果未完成步驟 2，遵循以下步驟：

   1. 通過 CAC 卡登錄 AppScan Enterprise，并檢查許可證以查看您是否是管理員。
   2. 如果您不是管理員，對 AppScan Enterprise SQL Server 數據庫運行以下查詢：select *from UserInfo.
   3. 找到查詢結果中的 CAC 用戶而非其 UserId。
   4. 然后運行此查詢：Update UserInfo set UserTypeId=5, LicenseType=3, EffectiveType=32768，其中 UserId 是您的 CAC 管理用戶的標識。
   5. 從 AppScan Enterprise 注銷，然后再次登錄。您現在應是管理員。

結果

使用通用訪問卡的用戶無需提供用戶名和密碼即可登錄到 AppScan Enterprise。