ヘッダーをスキップ
Oracle Application Server Adapter for MySAP ERPユーザーズ・ガイド
10g リリース3（10.1.3.4.0）
B53279-01
  目次
目次		 索引
索引
戻る
戻る 		 次へ
次へ		  

8 高度なユーザー・ツール

この章の項目は次のとおりです。

Webサービスのポリシーベース・セキュリティ

Application Explorerには、Webサービスのポリシーベース・セキュリティと呼ばれるセキュリティ・モデルが用意されています。ここでは、この機能の内容と構成方法について説明します。

Webサービスは、バックエンドのビジネス・ロジックとWebサービスを実行するユーザーまたはアプリケーションとの間に抽象化レイヤーを提供し、アプリケーションの統合を容易にします。 ただし、Webサービスとして実行されるクリティカルで機密性の高いビジネス・ロジックの使用と実装を制御するという課題が発生します。

Application Explorerは、ポリシーベース・セキュリティという機能により、アダプタを使用するWebサービスの使用を制御します。この機能により、管理者はビジネス・サービス（Webサービス）にポリシーを適用して、その実行を拒否または許可できます。

ポリシーとは、既存または新規のビジネス・サービスに適用可能な、ビジネス・サービスの実行を取り扱う権限の集合です。ポリシー内に特定の権利または権限を設定すると、他のビジネス・サービスと共通のセキュリティ問題を持つビジネス・サービスごとに権限を再作成する必要がなくなります。かわりに、複数のビジネス・サービスにポリシーを再利用します。

この機能の目標は、トランスポートおよび送信されるSOAPリクエスト・レベルの両方におけるリクエストの保護です。 一部のポリシーはセキュリティの問題を直接取り扱いませんが、適用対象となるWebサービスの実行時動作に影響を与えます。

ビジネス・サービス管理者はポリシー・タイプのインスタンスを作成し、名前を付け、個々のユーザーまたはグループ（ユーザーの集合）を関連付けて、そのポリシーを1つ以上のビジネス・サービスに適用します。

ポリシーは、ビジネス・サービスまたはビジネス・サービス内のメソッドに割り当てることができます。ポリシーが特定のメソッドにのみ適用される場合、そのビジネス・サービス内の他のメソッドがそのポリシーにより制御されません。ただし、ポリシーがビジネス・サービスに適用される場合は、すべてのメソッドが制御されます。 実行時には、SOAPリクエスト・メッセージでBSEに送信されるユーザーIDとパスワードが、そのビジネス・サービスに適用される全ポリシーのユーザー・リストと比較して確認されます。 サポートされているポリシー・タイプは「リソース実行」で、ビジネス・サービスを実行できるユーザーと実行できないユーザーを示します。

ポリシーが適用されない場合、ビジネス・サービスのデフォルト値は「すべて付与」です。たとえば、「リソース実行」ポリシーをビジネス・サービスに関連付けるまでは、誰でもビジネス・サービスを実行できます。ポリシーを関連付けた時点で、ビジネス・サービスにアクセスできるのは実行権限が付与されているユーザー、つまり実行権限を拒否されているグループに属していないユーザーのみとなります。

Webサービスのポリシーベース・セキュリティの構成

次の手順では、Webサービスのポリシーベース・セキュリティの構成方法について説明します。

ユーザーの作成とポリシーへの関連付け

ポリシーのインスタンスを作成する前に、インスタンスに関連付ける1人以上のユーザーまたは1つ以上のグループが存在する必要があります。ユーザーとグループはApplication Explorerで作成できます。

  1. Application Explorerを開きます。

  2. SampleConfigなど、接続先の構成を右クリックします。 新規構成の作成方法は、第3章「OracleAS Adapter for MySAP ERPの構成」を参照してください。

  3. 「接続」を選択します。

    「アダプタ」、「イベント」および「ビジネス・サービス」（Webサービスとも呼びます）の各ノードが表示されます。

    「アダプタ」、「イベント」および「ビジネス・サービス」の各ノード
    図new_config.gifの説明

    次の手順を実行します。

    1. 「ビジネス・サービス」ノードを開きます。

    2. 「構成」ノードを開きます。

    3. 「セキュリティ」ノードを開きます。

    4. 「ユーザーとグループ」ノードを開きます。

      「新規ユーザー」オプション
      図new_usr.gifの説明

  1. 「ユーザー」を右クリックし、「新規ユーザー」をクリックします。

    「新規ユーザー」ダイアログ・ボックスが表示されます。

    「新規ユーザー」ダイアログ・ボックス
    図new_usr_dialog.gifの説明

    次の情報を入力します。

    1. 「名前」フィールドにユーザーIDを入力します。

    2. 「パスワード」フィールドに、ユーザーIDに関連したパスワードを入力します。

    3. 「説明」フィールドにユーザーの説明を入力します（オプション）。

  1. 「OK」をクリックします。

    新規ユーザーが追加された状態
    図new_usr.gifの説明

新規ユーザーが「ユーザー」ノードの下に追加されます。

ポリシーで使用するグループの作成

ポリシーで使用するグループを作成する手順は、次のとおりです。

  1. Application Explorerを開きます。

  2. SampleConfigなど、接続先の構成を右クリックします。 新規構成の作成方法は、第3章「OracleAS Adapter for MySAP ERPの構成」を参照してください。

  3. 「接続」を選択します。

    「アダプタ」、「イベント」および「ビジネス・サービス」（Webサービスとも呼びます）の各ノードが表示されます。

    「アダプタ」、「イベント」および「ビジネス・サービス」の各ノード
    図new_config.gifの説明

    次の手順を実行します。

    1. 「ビジネス・サービス」ノードを開きます。

    2. 「構成」ノードを開きます。

    3. 「セキュリティ」ノードを開きます。

    4. 「ユーザーとグループ」ノードを開きます。

  1. 「グループ」を右クリックして「新規グループ」を選択します。

    「新規グループ」の選択
    図groups.gifの説明

    「新規グループ」ダイアログ・ボックスが表示されます。

    「新規グループ」ダイアログ・ボックス
    図addnewgrp.gifの説明

    次の情報を入力します。

    1. 「名前」フィールドにグループ名を入力します。

    2. 「説明」フィールドにグループの説明を入力します（オプション）。

    3. 左ペインの「使用可能」リストから1人以上のユーザーを選択し、二重の右矢印をクリックして「選択済」リストに追加します。

  1. 1人以上のユーザーを選択した後、「OK」をクリックします。

新規グループが「グループ」ノードの下に追加されます。

実行ポリシーの作成

実行ポリシーは、適用対象のビジネス・サービスを実行できるユーザーを制御します。

実行ポリシーを作成する手順は、次のとおりです。

  1. Application Explorerを開きます。

  2. SampleConfigなど、接続先の構成を右クリックします。 新規構成の作成方法は、第3章「OracleAS Adapter for MySAP ERPの構成」を参照してください。

  3. 「接続」を選択します。

    「アダプタ」、「イベント」および「ビジネス・サービス」（Webサービスとも呼びます）の各ノードが表示されます。

    「アダプタ」、「イベント」および「ビジネス・サービス」の各ノード
    図new_config.gifの説明

    次の手順を実行します。

    1. 「ビジネス・サービス」ノードを開きます。

    2. 「構成」ノードを開きます。

    3. 「セキュリティ」ノードを開きます。

    4. 「ポリシー」ノードを開きます。

  1. 「ポリシー」を右クリックして「新規ポリシー」を選択します。

    「新規ポリシー」の選択
    図policies.gifの説明

    「新規ポリシー」ダイアログ・ボックスが表示されます。

    「新規ポリシー」ダイアログ・ボックス
    図addpolicy.gifの説明

    次の情報を入力します。

    1. 「名前」フィールドにポリシー名を入力します。

    2. 「タイプ」リストから「実行」を選択します。

    3. 「説明」フィールドにポリシーの説明を入力します（オプション）。

    4. 左ペインの「使用可能」リストから1人以上のユーザーを選択し、二重の右矢印をクリックして「選択済」リストに追加します。


      注意:


      このユーザーIDは、SOAPリクエストでBSEに送信されたSOAPヘッダーのユーザーID要素の値と比較して確認されます。

  1. 1人以上のユーザー選択を完了してから「OK」をクリックします。

  2. 「次へ」をクリックします。

    「新規ポリシー」権限ダイアログ・ボックスが表示されます。

    「新規ポリシー」ダイアログ・ボックス
    図permissions.gifの説明

    • ユーザーまたはグループにビジネス・サービスの実行権限を付与するには、そのユーザーまたはグループを選択し、二重の左矢印を選択して「付与されている実行権限」リストに移動します。

    • ユーザーまたはグループに対してビジネス・サービスの実行権限を拒否するには、そのユーザーまたはグループを選択し、二重の右矢印を選択して「拒否された実行権限」リストに移動します。

  3. 「OK」をクリックします。

    次に構成のサマリーを示します。

    ポリシーのサマリー
    図summary.gifの説明

IPおよびドメイン制限ポリシー・タイプの使用

IPおよびドメイン制限ポリシー・タイプの構成方法は、他のポリシー・タイプとは少し異なります。IPおよびドメイン制限ポリシー・タイプではBSEへの接続アクセスを制御するため、Webサービスに個別に適用する必要はありません。ポリシーの作成は不要ですが、Application Explorerで「セキュリティ・ポリシー」オプションを有効にする必要があります。

  1. Application Explorerを開きます。

  2. SampleConfigなど、接続先の構成を右クリックします。 新規構成の作成方法は、第3章「OracleAS Adapter for MySAP ERPの構成」を参照してください。

  3. 「接続」を選択します。

    「アダプタ」、「イベント」および「ビジネス・サービス」（Webサービスとも呼びます）の各ノードが表示されます。

    1. 「ビジネス・サービス」ノードを開きます。

    2. 「構成」ノードを開きます。

    3. 「セキュリティ」ノードを開きます。

  1. 「IPとドメイン」を右クリックして「新規IPとドメインの制限」を選択します。

    「IPとドメイン」を選択した状態
    図domain.gifの説明

    「新規IPとドメインの制限」ダイアログ・ボックスが表示されます。

    「新規IPとドメインの制限」ダイアログ・ボックス
    図add_dom.gifの説明

    次の情報を入力します。

    1. 「IP(マスク)/ドメイン」フィールドに、次のガイドラインに従ってIPまたはドメイン名を入力します。

      「タイプ」リストから「単一」（コンピュータ）を選択した場合は、そのコンピュータのIPアドレスを指定する必要があります。コンピュータのDNS名しかわからない場合は、「DNS参照」をクリックしてDNS名に基づくIPアドレスを取得します。

      （コンピュータの）「グループ」を選択した場合は、そのコンピュータ・グループのIPアドレスとサブネット・マスクを指定する必要があります。

      「ドメイン」を選択した場合は、ドメイン名を指定する必要があります。

    2. 「タイプ」リストから制限のタイプを選択します。

    3. 「説明」フィールドに説明を入力します（オプション）。

    4. アクセス権を付与するには「アクセス権限の付与」チェック・ボックスを選択します。

  1. 「OK」をクリックします。

    「IPとドメイン」ノードの下に新規ドメインが追加されます。

    次に構成のサマリーを示します。

    IPとドメインの制限のサマリー
    図ipconfig.gifの説明

リポジトリの移行

設計時には、Application Explorerを使用してアダプタ接続の構成、EISオブジェクトの参照、サービスの構成およびEISイベントをリスニングするリスナーの構成を行うときに作成されたメタデータがOracleリポジトリに格納されます。 リポジトリ内の情報は、実行時にも参照されます。管理のため、既存の構成に影響を与えずに、Oracle用に構成されたBSEリポジトリとJ2CAリポジトリを新規の宛先に移行できます。たとえば、リポジトリをテスト環境から本番環境に移行できます。

BSEリポジトリの移行

BSEリポジトリを移行する手順は、次のとおりです。

  1. BSE制御サービスのURLをコピーします。次に例を示します。

    http://localhost:7777/ibse/IBSEServlet/admin/iwcontrol.ibs

  2. サード・パーティのXMLエディタ（XMLSPYなど）を開きます。

  3. メニュー・バーで「SOAP」をクリックします。

    オプション・リストが表示されます。

    新規SOAPリクエストの作成
    図xmlspy2.gifの説明

  4. 「Create new SOAP request」を選択します。

    WSDLファイルの場所に関するダイアログ・ボックスが表示されます。

    WSDLファイルの場所に関するダイアログ・ボックス
    図xmlspy3.gifの説明

    次の手順を実行します。

    1. 「Choose a file」フィールドに、BSE制御サービスのURLを貼り付けます。

    2. URLに?wsdlを追加します。次に例を示します。

      http://localhost:7777/ibse/IBSEServlet/admin/iwcontrol.ibs?wsdl

  5. 「OK」をクリックします。

    SOAP操作名のダイアログ・ボックスに、使用可能な制御メソッドが表示されます。

    SOAP操作名のダイアログ・ボックス
    図xmlspy4.gifの説明

  6. MIGRATEREPO(MIGRATEREPO parameters)制御メソッドを選択して「OK」をクリックします。


    注意:


    MIGRATEREPO(MIGRATEREPO parameters)制御メソッドは、BSE管理コンソールから使用できます。この制御メソッドは、すべてのWebサービスを新しい（空の）リポジトリに移行します。移行するWebサービスのみを選択できます。

    次のウィンドウに、SOAPエンベロープの構造が表示されます。

    SOAPエンベロープ（構造ビュー）
    図xmlspy5.gifの説明

  7. ツールバーの「Text view」アイコンを探します。

    「Text view」アイコン
    図xmlspy6.gifの説明

  8. SOAPエンベロープの構造をテキストとして表示するには、「Text view」アイコンをクリックします。

    <SOAP-ENV:Header>タグは不要なため、SOAPエンベロープから削除できます。

  9. 次のセクションを検索します。

    <m:MIGRATEREPO xmlns:m="urn:schemas-iwaysoftware-com:jul2003:ibse:config" version="">
  <m:repositorysetting>
    <m:rname>oracle</m:rname>
    <m:rconn>String</m:rconn>
    <m:rdriver>String</m:rdriver>
    <m:ruser>String</m:ruser>
    <m:rpwd>String</m:rpwd>
  </m:repositorysetting>
  <m:servicename>String</m:servicename>
</m:MIGRATEREPO>

    次の手順を実行します。

    1. <m:rconn>タグでは、Stringプレースホルダを既存のBSEリポジトリを移行するリポジトリURLで置き換えます。

      OracleリポジトリURLの書式は次のとおりです。

      jdbc:oracle:thin:@[host]:[port]:[sid]

    2. <m:rdriver>タグでは、StringプレースホルダをOracleドライバの場所で置き換えます。

    3. <m:ruser>タグでは、StringプレースホルダをOracleリポジトリにアクセスする有効なユーザー名で置き換えます。

    4. <m:rpwd>タグでは、StringプレースホルダをOracleリポジトリにアクセスする有効なパスワードで置き換えます。

  10. 次の移行オプションを1つ実行します。

    • 現行のBSEリポジトリからWebサービスを1つ移行する場合は、次のように<m:servicename>タグにWebサービス名を入力します。

      <m:servicename>SAPService1</m:servicename>

    • 現行のBSEリポジトリから複数のWebサービスを移行する場合は、次のようにWebサービスごとに<m:servicename>タグを複製します。

      <m:servicename>SAPService1</m:servicename>
<m:servicename>SAPService2</m:servicename>

    • 現行のBSEリポジトリからWebサービスをすべて移行する場合は、<m:servicename>タグを削除します。

  11. メニュー・バーで「SOAP」をクリックして「Send request to server」を選択します。

    サーバーへのリクエストの送信
    図xmlspy8.gifの説明

    BSEリポジトリと指定したWebサービスが、指定した新規OracleリポジトリのURLに移行します。

J2CAリポジトリの移行

J2CAリポジトリを移行する手順は、次のとおりです。

  1. リポジトリ・スキーマとその他の情報が格納されているJ2CA構成ディレクトリの場所にナビゲートします。次に例を示します。

    OracleAS_home\adapters\application\config\JCA_CONFIG

    JCA_CONFIGには、J2CA構成の名前が入ります。

  2. repository.xmlファイルを検出してコピーします。

  3. このファイルを、既存のリポジトリの移行先となる新規J2CA構成ディレクトリに置きます。

    J2CAリポジトリが新規J2CA構成ディレクトリに移行します。

  戻る
戻る 		 次へ
次へ
  目次
目次		 索引
索引