ชุดกฎการปรับใช้ Oracle JRE - การควบคุม JRE

ด้วยตัวอย่างนี้ เราอยากจะแสดงให้คุณเห็นถึงการใช้งาน ScriptRunner ในบริษัทอย่างเป็นรูปธรรม:

ความท้าทาย

ในสภาพแวดล้อมแอปพลิเคชันที่ซับซ้อน มีความท้าทายที่แอปพลิเคชัน Java ที่แตกต่างกันควรทำงานพร้อมกัน และต้องใช้เวอร์ชัน Java บางเวอร์ชันในแต่ละกรณี ด้วยเหตุนี้จึงต้องติดตั้ง Java Runtime Environments (JRE) หลายรายการติดกันบนอุปกรณ์ที่ได้รับผลกระทบทั้งหมด เพื่อให้มั่นใจว่าแอปพลิเคชันเข้ากันได้ นอกจากนี้ JRE เหล่านี้ยังต้องได้รับการควบคุมด้านผู้ดูแลระบบ เพื่อให้สามารถใช้กับแอปพลิเคชันเฉพาะที่ได้รับอนุญาตเท่านั้น

สำหรับสิ่งนี้ จึงมีโซลูชันเชิงพาณิชย์จาก Oracle “Oracle WebLogic Server” ตรรกะที่ใช้โดย WebLogic Server มีอยู่แล้วในการติดตั้ง JRE ทุกครั้ง แต่ไม่ได้ใช้ ด้วยสิ่งนี้ เราจำเป็นต้องกำหนดค่าตรรกะการควบคุมเท่านั้น และเราก็สามารถใช้ฟังก์ชันนี้ได้โดยไม่มีค่าใช้จ่ายเพิ่มเติม

เพื่อแก้ไขปัญหานี้ มีการเสนอวิธีแก้ปัญหาที่แตกต่างกันสี่แบบ มีการพิจารณาการแจกจ่ายและการบำรุงรักษาไฟล์การกำหนดค่าอย่างชัดเจน

จากนั้นจึงประเมินแนวทางต่างๆ สำหรับการแก้ปัญหา และทำการตัดสินใจเพื่อสนับสนุนตัวแปรแต่ละตัว เพื่อให้เป็นไปตามข้อกำหนด จึงได้มีการระบุประเด็นปัญหาต่อไปนี้

1. แพ็คเกจ JRE ทั้งหมดจะต้องถูกบรรจุใหม่
2. ควรมีการสร้างแนวทางโดยอัตโนมัติ
3. ต้องมีการพัฒนาตรรกะการซิงโครไนซ์นโยบาย
4. การลงทะเบียน JRE Directive โดยอัตโนมัติจะเกิดขึ้น

1. AppSense Environment Manager เป็นโซลูชันโปรไฟล์ที่ทำงานร่วมกับ Active Directory
2. AppSense Environment Manager จะจัดเก็บการกำหนดค่าด้วยลิงก์แบบลอจิคัล ดังนั้นการกำหนดค่า JRE พิเศษจะถูกนำมาใช้ก็ต่อเมื่อมีการติดตั้ง JRE สองเวอร์ชันด้วยกันบนไคลเอ็นต์เท่านั้น
3. การกำหนดค่านี้ใช้กับไคลเอ็นต์
4. จากนั้นการกำหนดค่า AppSense จะคัดลอกใบรับรองและกฎการใช้งานที่ตั้งไว้จากส่วนแบ่ง APSource ใบรับรองจะถูกคัดลอกไปยัง Global Java Certificate Store ด้วย
5. ใบรับรองจะประกาศว่ากฎการปรับใช้งานที่ตั้งค่าไว้มีความน่าเชื่อถือและนำไปใช้กับแอปพลิเคชัน Java แต่ละรายการ

ชุดกฎการปรับใช้ Oracle Java

“ชุดกฎการปรับใช้” มีวัตถุประสงค์เพื่อให้ผู้ดูแลระบบในบริษัทที่ถูกบังคับให้ใช้ Java เวอร์ชันเก่าด้วยเครื่องมือเพื่อปกป้องไคลเอนต์จากภัยคุกคามโดยใช้กฎ อย่างไรก็ตาม สิ่งนี้ใช้ได้เฉพาะในสภาพแวดล้อมที่ไคลเอนต์ได้รับการควบคุมจากส่วนกลางเท่านั้น ข้อจำกัดอีกประการหนึ่งเกี่ยวข้องกับอายุของการติดตั้ง: พีซีไคลเอนต์ทั้งหมดต้องมีเวอร์ชันของปลั๊กอิน Java ที่ได้รับการอัปเดตในปัจจุบันจาก Java SE 6, อัปเดต 10 หรือใหม่กว่า

หากเป็นไปตามข้อกำหนดเหล่านี้ ผู้ดูแลระบบสามารถใช้ชุดกฎเพื่อกำหนดว่าแอปเพล็ต Java หรือ Java Web App ใดที่ Oracle สรุปว่าเป็น Rich Internet Applications (RIA) ที่อาจทำงานบนไคลเอ็นต์พีซี ตัวอย่างเช่น โดยทั่วไปแล้ว บุคคลที่รับผิดชอบสามารถห้าม RIA ทั้งหมดได้ จากนั้นจึงกำหนดข้อยกเว้นเฉพาะในรายการสีขาว กฎสามารถแบ่งออกเป็นส่วนต่างๆ ของ URL แอปพลิเคชัน เช่น หมายเลขพอร์ต นอกจากนี้ยังอาจมีคำแนะนำที่จำกัดกฎไว้เฉพาะเวอร์ชัน Java บางเวอร์ชันเท่านั้น

นอกจากนี้ การอัปเดตเป็น Java Development Kit (JDK) เวอร์ชัน 7u40 ยังช่วยเพิ่มการแจ้งเตือนด้านความปลอดภัยสำหรับแอปพลิเคชันที่ไม่ได้ลงนามหรือลงนามด้วยตนเอง ตลอดจนเครื่องมือตรวจสอบและวินิจฉัยขั้นสูงสำหรับนักพัฒนา จากนี้ไป ข้อจำกัดจะมีผลกับใบรับรองที่มีความยาวคีย์สั้นกว่า 1,024 บิต ผู้ใช้คีย์ดังกล่าวจะได้รับคำเตือนให้เลือกคีย์ที่ยาวกว่า นอกจากนี้ ผู้ใช้ยังสามารถปิดใช้งานการตรวจสอบความยาวของคีย์ได้อีกด้วย

สุดท้ายแต่ไม่ท้ายสุด JDK เวอร์ชัน 7u40 และสูงกว่าช่วยให้ผู้ดูแลระบบของไคลเอ็นต์ที่ควบคุมจากส่วนกลางสามารถปิดใช้งานคำเตือนเกี่ยวกับเวอร์ชันที่ล้าสมัย เพื่อให้ผู้ใช้ไคลเอ็นต์ไม่พยายามอัปเดตตัวเอง

การลงนามไฟล์ชุดกฎการปรับใช้

หากต้องการลงนามไฟล์ RuleSet จำเป็นต้องมีใบรับรอง CodeSigning ที่ถูกต้อง

มีอายุสองปีและต้องต่ออายุ จะต้องโหลดลงในที่เก็บใบรับรอง JVM เพื่อให้ JVM สามารถจัดประเภทและใช้ DeploymentRuleSet ได้อย่างน่าเชื่อถือ นอกจากนี้ เว็บไซต์จะต้องอยู่ในรายการข้อยกเว้นไซต์เนื่องจากกฎความปลอดภัยของ JVM ที่เพิ่มขึ้น

สามารถรับใบรับรอง CodeSigning ได้ตามปกติจากหน่วยรับรองอย่างเป็นทางการ

การสร้างชุดกฎการปรับใช้

Fileแสดงกระบวนการสร้างและติดตั้งไฟล์ Deployment RuleSet

จำเป็นต้องใช้ไฟล์ต่อไปนี้เพื่อทำตามขั้นตอนเหล่านี้ ไฟล์เหล่านี้เป็นส่วนหนึ่งของ JDK และสามารถใช้ได้ในเวอร์ชันต่างๆ

|- bin
|- msvcr100.dll
|- keytool.exe
|- jli.dll
|- jarsigner.exe
|- jar.exe
|- lib< br>|- tools.jar

สคริปต์ CMD ได้รับการพัฒนาสำหรับกระบวนการนี้เพื่อทำให้ง่ายขึ้น

• CreateCertificate.cmd - ใช้เพื่อสร้าง SelfSignedCertificate
• CreateDeploymentRuleSetJAR.cmd - ใช้เพื่อแปลง XML-RuleSet เป็น JAR-RuleSet ที่ลงนาม
• DeployRuleSet.cmd - ใช้เพื่อคัดลอก JAR-RuleSet ที่ลงนามแล้วลงในไดเร็กทอรี JRE และนำเข้า SeldSignedCertificate ที่สร้างขึ้นลงใน JRE-CertificateStore

การใช้งาน ScriptRunner

เพื่อให้กระบวนการนี้เป็นไปโดยอัตโนมัติ จึงมีการใช้ ScriptRunner ซอฟต์แวร์นี้มีฟังก์ชั่นหลายอย่างที่นี่:

• สร้างไฟล์ข้อยกเว้น.ไซต์
• การสร้างไฟล์ Ruleset.xml
• แปลง Ruleset.xml เป็น DeploymentRuleset.jar

บทสรุป

ด้วยระบบอัตโนมัติใน ScriptRunner การสร้างไฟล์เหล่านี้จึงง่ายขึ้นมาก เนื่องจากไฟล์เหล่านี้มักจะยุ่งยากหรือไวยากรณ์ของเครื่องมือแต่ละตัวไม่โปร่งใสจริงๆ นอกจากนี้ เป้าหมายคือการนำโซลูชันนี้ไปใช้งานโดยไม่ต้องจ้างที่ปรึกษาที่มีความรู้ด้านการกำหนดค่า Java ขั้นสูง นอกจากนี้ยังรับประกันความสามารถในการทำซ้ำสูง ดังนั้น DeploymentRuleset.jar จึงถูกสร้างขึ้นด้วยวิธีการเดียวกันเสมอ และไม่มีข้อผิดพลาดในการกำหนดค่าอีกต่อไป