如何通过 JAVA Security API 来定性 IBM FileNet P8 内容查询和存储的安全

核心提示： Content Engine EJBs：这些 J2EE 会话存在于应用程序服务器端的 EJB 层，并且实现了想 CE web service 同样的接口，如何通过 JAVA Security API 来定性 IBM FileNet P8 内容查询和存储的安全(3)，他们通过 Enterprise

Content Engine EJBs：这些 J2EE 会话存在于应用程序服务器端的 EJB 层，并且实现了想 CE web service 同样的接口，他们通过 Enterprise Java Bean 接口对外部暴露。所有使用 EJB 方式连接的客户端都需要 JAAS 认证。

图 1. FileNet P8 API 层次架构图

FileNet Content Engine Domain Security

FileNet P8 domain 代表了逻辑上的一组物理资源（如 object store 数据库，full text index areas, file storage areas, 和 content cache areas）。Content Engine 服务器提供了对这些资源的访问。

只有明确被授权的了的用户、组，机器帐户（或者服务等），应用程序，进程，脚本等才能访问 FileNet P8 domain 的资源（如 object， document， workflows，等）。

在 Domain Security Model 中，重要的有以下几个部分：

User 和 Group

在 FileNet P8 domain 中，访问的用户可以属于不同的组，这些分租通常是在 LDAP 服务器上完成的。区分用户和组的目的是为了更方便的进行安全控制，例如同一个组的用户可以有共同的权限。

在用户获得了认证，但是被允许在 objectstore 中进行操作之前，为这个用户将产生一个安全令牌作为一种内部护照。像一般的护照一样，在需要访问某个对象时将出示这个护照，然后这个对象根据护照来决定该用户是否授权访问。安全令牌中包含了用户的 security identifier（SID）和用户所属于的所有组的 (SID), 这些 SID 都是基于用户和组的在数据库中的认证信息。

ACL(Access Control List) 和 ACE (Access Control Entries)

在 FileNet P8 中，所有的 Object 分为两种：Securable 和 Non securable objects。大多数 Content Engine 对象类是独立的可安全的，意味着它们通过自己的 ACL 来保证安全。一些非独立的对象是可安全的，意味着它们的安全取决于它们相关的对象的安全。