3.7 Windows-spezifische Sicherheitsempfehlungen

Dieser Abschnitt enthält Sicherheitsempfehlungen, die für Windows spezifisch sind, wenn LiveCycle unter Windows ausgeführt wird.

    3.7.1 JBoss-Dienstkonten

    Bei der LiveCycle-Turnkey-Installation wird standardmäßig unter Verwendung des Kontos „Lokales System“ ein Dienstkonto eingerichtet. Das integrierte Benutzerkonto „Lokales System“ hat hohe Zugriffsrechte; es gehört zur Gruppe „Administratoren“. Wenn eine Worker Process-ID als Benutzerkonto „Lokales System“ ausgeführt wird, hat dieser Worker Process vollen Zugriff auf das gesamte System.

    3.7.1.1 Anwendungsserver unter Verwendung eines Kontos ohne Administratorrechte ausführen

    1. Erstellen Sie in der Microsoft Management Console (MMC) einen lokalen Benutzer für den LiveCycle-Serverdienst, der für die Anmeldung verwendet werden soll:

      • Wählen Sie Benutzer kann Kennwort nicht ändern aus.

      • Stellen Sie sicher, dass auf der Registerkarte Mitglied von die Gruppe „Benutzer“ aufgeführt ist.

    2. Klicken Sie auf Einstellungen > Verwaltung > Dienste.

    3. Doppelklicken Sie auf den Dienst „ Application Server“ und halten Sie diesen an.

    4. Wählen Sie auf der Registerkarte Anmelden die Option Dieses Konto aus, suchen Sie das Benutzerkonto, das Sie erstellt haben, und geben Sie das Kennwort für das Konto ein.

    5. Weisen Sie im Fenster „Lokale Sicherheitseinstellungen“ unter „Zuweisen von Benutzerrechten“ dem Benutzerkonto, unter dem der LiveCycle-Server ausgeführt wird, die folgenden Rechte zu:

      • Anmeldung über Terminaldienste verweigern

      • Lokale Anmeldung verweigern

      • Als Dienst anmelden (sollte bereits festgelegt sein)

    6. Weisen Sie dem neuen Benutzerkonto die Berechtigungen „Lesen und Ausführen“, „Ordnerinhalt auflisten“ und „Lesen“ für LiveCycle-Ordner mit Webinhalten zu.

    7. Starten Sie den Application Server-Dienst.

    3.7.2 Dateisystemsicherheit

    LiveCycle verwendet das Dateisystem wie folgt:

    • Speichern temporärer Dateien, die bei der Verarbeitung von Dokumentein- und -ausgaben verwendet werden

    • Speichern von Dateien im globalen Archiv, die zur Unterstützung der installierten Lösungskomponenten verwendet werden

    • Speichern von Dateien in überwachten Ordnern, die als Eingabe für einen Dienst verwendet werden und von einem Ordnerspeicherort im Dateisystem aus abgelegt werden

    Wenn Sie überwachte Ordner verwenden, um Dokumente mit einem LiveCycle-Dienst zu senden und zu empfangen, müssen Sie besondere Sicherheitsmaßnahmen für das Dateisystem ergreifen. Wenn ein Benutzer Inhalte in einem überwachten Ordner ablegt, werden diese Inhalte durch den überwachten Ordner offengelegt. In diesem Fall wird der tatsächliche Endbenutzer nicht vom Dienst authentifiziert. Stattdessen ist der Dienst darauf angewiesen, dass durch Zugriffssteuerungslisten und Freigabesicherheitseinstellungen auf Ordnerebene bestimmt wird, von wem der Dienst tatsächlich aufgerufen werden darf.