WebSphere Federation Server V9.5 中的端到端聯合可信上下文

考慮是否需要在聯合服務器上設置用戶映射。

如果 APP_USER 在 WebSphere Federation Server 上的用戶 ID 和密碼與遠程用戶源上使用的相同，則不需要用戶映射。

注意：如果 APP_USER 在 WebSphere Federation Server 和數據源上的用戶 ID 和密碼不同，則需要用戶映射。

所有有效的數據庫用戶都可以重用 APP_USER 建立的可信連接，無需重新驗證。因此，在 WebSphere Federation Server 和遠程數據源上擁有相同 ID 的用戶（比如 MARY 和 ALICE 等）不需要任何用戶映射。

WebSphere Federation Server 上的用戶 JOE 映射到遠程數據源上的用戶 JOESMITH。那麼，安全管理員必須使用 清單 5 中的語句為 JOE 創建一個可信用戶映射。選項 USE_TRUSTED_CONTEXT 設置為 ‘Y’ 的映射被視為可信用戶映射。只有具有 SECADM 權限的用戶才能創建可信用戶映射，以防止用戶將自己映射到遠程數據源上具有更多權限的用戶。JOE 的用戶映射僅需要在入站和出站授權 ID 之間進行映射。不需要指定 REMOTE_PASSWord 選項，因為 JOE 可以重用 APP_USER 建立的可信連接，無需重新驗證。

清單 5. 創建可信用戶映射
CREATE　USER　MAPPING　FOR　JOE　SERVER　udb1　
OPTIONS　(　REMOTE_AUTHID　'JOESMITH',　USE_TRUSTED_CONTEXT　'Y');　

注意：由於指定該用戶映射時沒有使用 REMOTE_PASSWord 子句，因為不需要進行痛苦的密碼維護管理。

WebSphere Federation Server 和數據源上使用不同用戶 ID 和密碼的用戶定義可信映射時必須定義 REMOTE_AUTHID 和 REMOTE_PASSWord 選項。

用戶應用程序

完成初始設置後，應用程序用戶就可以使用聯合可信上下文了：

建立端到端聯合可信連接

啟用應用程序後，應用程序用戶 APP_USER 需要可信入站連接。第一個訪問遠程 DB2 數據源的聯合請求將為 APP_USER 建立可信出站連接。如 圖 3 中的步驟 4d 所示，APP_USER 可以使用此顯式的端到端聯合可信連接執行數據源上的一些日常任務，並為企業最終用戶的使用做好准備。

切換端到端的聯合可信連接上的用戶

最終用戶（比如 Bob）開始使用應用程序時，入站用戶 ID 將從 APP_USER 切換為 BOB。BOB 發出第一個聯合請求（即訪問遠程 DB2 數據源）時，出站可信連接用戶 ID 也切換為 BOB。從 圖 3 中的步驟 5d 可以看到，BOB 的身份現在一直斷言到 DB2 數據源，他的身份將用於准確地授權、審計等。

清單 6. 建立和使用端到端聯合可信連接

int　main(int　argc,　char　*argv[])　
{　
　SQLHANDLE　henv;　　　　　　　　/*　environment　handle　*/　
　SQLHANDLE　hdbc1;　　　　　　　　/*　connection　handle　*/　
　SQLHANDLE　hstmt;　　　　　　　　/*　statement　handle　*/　
　char　origUserid[10]　=　"APP_USER";　
　char　origPassWord[10]　=　"secret";　
　char　reuseUserid[10]　=　"BOB";　
　char　dbName[10]　=　"testdb";　
　
　/*　Allocate　the　handles　*/　
　SQLAllocHandle(　SQL_HANDLE_ENV,　SQL_NULL_HANDLE,　&henv　);　
　SQLAllocHandle(　SQL_HANDLE_DBC,　henv,　&hdbc1　);　
　
　/*　Set　the　trusted　connection　attribute　*/　
　SQLSetConnectAttr(　hdbc1,　SQL_ATTR_USE_TRUSTED_CONTEXT,　(SQLPOINTER)SQL_TRUE,　
　　　SQL_IS_INTEGER　);　
　
　/*　Establish　a　trusted　inbound　connection　for　user　APP_USER　from　WAS　
　　　to　WFS.　This　requires　a　passWord　to　be　specifIEd.　*/　
　SQLConnect(　hdbc1,　(SQLCHAR　*)dbName,　SQL_NTS,　origUserid,　SQL_NTS,　
　　　origPassWord,　SQL_NTS　);　
　
　/*　Allocate　statement　handle　*/　
　SQLAllocHandle(SQL_HANDLE_STMT,　hdbc1,　&hstmt);　
　
　/*　The　first　call　to　remote　DB2　data　source　will　setup　trusted　outbound　
　　　connection　for　user　APP_USER　from　WFS　to　remote　DB2　data　source.　*/　
　SQLExecDirect　(hstmt,　(SQLCHAR　*)　"SELECT　*　FROM　patents_nn",　SQL_NTS);　
　
　/*　Perform　some　work　under　user　ID　"APP_USER"　*/　
　.　.　.　.　.　.　.　.　.　.　.　
　
　/*　Commit　the　work.　End　the　transaction.　*/　
　SQLEndTran(SQL_HANDLE_DBC,　hdbc1,　SQL_COMMIT);　
　
　/*　Free　statement　handle　*/　
　SQLFreeHandle(SQL_HANDLE_DBC,　hstmt);　
　
　/*　At　the　transaction　boundary,　switch　the　inbound　user　ID　on　the　trusted　
　　　connection　from　APP_USER　to　BOB.　Note:　PassWord　is　not　required　
　　　since　PUBLIC　appears　in　the　"with　use　for"　clause　"without　authentication"　
　　　in　the　MY_WFS_TCX　trusted　context　object.　*/　
　SQLSetConnectAttr　(hdbc1,　SQL_ATTR_TRUSTED_CONTEXT_USERID,　
　　　reuseUserid,　SQL_IS_POINTER　);　
　
　/*　Allocate　statement　handle　*/　
　SQLAllocHandle(SQL_HANDLE_STMT,　hdbc1,　&hstmt);　
　
　/*　The　first　call　to　the　remote　data　source　after　switching　inbound　user　will　
　　　switch　the　outbound　user　ID　as　well　(from　APP_USER　to　BOB).　
　　　Since　no　user　mapping　was　specifIEd　for　user　BOB,　the　same　user　ID　
　　　will　be　passed　on　to　the　outbound　connection.　
　　　PassWord　is　not　required　since　PUBLIC　appears　in　the　"with　use　for"　clause　
　　　"without　authentication"　in　the　MY_DB2_TCX　trusted　context　object.　*/　
　SQLExecDirect　(hstmt,　(SQLCHAR　*)　"SELECT　*　FROM　patents_nn",　SQL_NTS);　
　
　/*　Perform　new　work　using　user　ID　"BOB"　*/　
　.　.　.　.　.　.　.　.　.　
　
　/*　Commit　the　work.　End　the　transaction.　*/　
　SQLEndTran(SQL_HANDLE_DBC,　hdbc1,　SQL_COMMIT);　
　
　.　.　.　.　.　.　.　.　.　
　
　/*　Disconnect　from　the　database　*/　
　SQLDisconnect(　hdbc1　);　
　
　/*　Cleanup,　free　handles,　etc　*/　
　.　.　.　.　.　.　.　.　.　
　
　return　0;　
}　/*　end　of　main　*/