目次

タイトルおよび著作権情報

はじめに

• ドキュメントのアクセシビリティについて
• 表記規則

1 概要とロードマップ

• ドキュメントの内容
• このドキュメントの対象読者
• このドキュメントの手引き
• 関連情報
• セキュリティのサンプルとチュートリアル
  • WebLogic Server 配布キットのセキュリティ サンプル
• このリリースでのセキュリティの新機能と変更点

2 WebLogic Security プログラミングの概要

• セキュリティとは
• Administration Console とセキュリティ
• WebLogic Server でサポートされているセキュリティのタイプ
  • 認証
  • 認可
  • Java EE セキュリティ
• セキュリティ API
  • JAAS クライアント アプリケーション API
    • Java JAAS クライアント アプリケーション API
    • WebLogic JAAS クライアント アプリケーション API
  • SSL クライアント アプリケーション API
    • Java SSL クライアント アプリケーション API
    • WebLogic SSL クライアント アプリケーション API
  • その他の API

3 Web アプリケーションのセキュリティ対策

• Web ブラウザでの認証
  • ユーザ名およびパスワードの認証
  • デジタル証明書の認証
• 複数の Web アプリケーション、クッキー、および認証
  • セキュアなクッキーを使用したセッション盗難の防止
• セキュアな Web アプリケーションの開発
  • BASIC 認証 Web アプリケーションの開発
    • HttpSessionListener を使用したブラウザによる資格のキャッシングの報告
  • リソースが非セキュアな場合の BASIC 認証について
    • enforce-valid-basic-auth-credentials フラグの設定
    • WLST を使用して enforce-valid-basic-auth-credentials の値の確認
  • FORM 認証 Web アプリケーションの開発
  • Web アプリケーションの認証に ID アサーションの使用
  • Web アプリケーションの認証に双方向 SSL の使用
  • 認証方式に対するフォールバック メカニズムの提供
    • コンフィグレーション
  • Swing ベース認証 Web アプリケーションの開発
  • Web アプリケーションのデプロイメント
• Web アプリケーションでの宣言によるセキュリティの使用
• Web アプリケーションのセキュリティ関連のデプロイメント記述子
  • web.xml デプロイメント記述子
    • auth-constraint
    • security-constraint
    • security-role
    • security-role-ref
    • user-data-constraint
    • web-resource-collection
  • weblogic.xml デプロイメント記述子
    • externally-defined
    • run-as-principal-name
    • run-as-role-assignment
    • security-permission
    • security-permission-spec
    • security-role-assignment
• Web アプリケーションでのプログラムによるセキュリティの使用
  • getUserPrincipal
  • isUserInRole
• プログラムによる認証 API の使用

4 Java クライアントでの JAAS 認証の使用

• JAAS と WebLogic Server
• JAAS 認証の開発環境
  • JAAS 認証 API
  • JAAS クライアント アプリケーション コンポーネント
  • WebLogic LoginModule 実装
  • JVM 全体のデフォルトユーザと runAs() メソッド
• JAAS 認証を使用するクライアント アプリケーションの作成
• JNDI 認証の使い方
• Java クライアントの JAAS 認証サンプル コード

5 Java クライアントでの SSL 認証の使用

• JSSE と WebLogic Server
• JNDI 認証の使い方
• SSL 証明書認証の開発環境
  • SSL 認証 API
  • SSL クライアント アプリケーション コンポーネント
• SSL を使用するアプリケーションの記述
  • WebLogic Server 間の安全な通信
  • SSL クライアントの作成
    • SSLClient サンプル
    • SSLSocketClient サンプル
  • 双方向 SSL 認証の使用
    • JNDI を使用した双方向 SSL 認証
    • ユーザ名マッパーの作成
    • WebLogic Server インスタンス間で双方向 SSL 認証の使用
    • サーブレットで双方向 SSL 認証の使用
  • カスタム ホスト名検証の使い方
  • トラスト マネージャの使い方
  • 証明書パス トラスト マネージャの使い方
  • ハンドシェーク完了リスナの使い方
  • SSLContext の使い方
  • URL を使用した発信 SSL 接続
• SSL クライアントのサンプル コード

6 エンタープライズ JavaBean (EJB) のセキュリティ対策

• Java EE アーキテクチャ セキュリティ モデル
  • 宣言による認可
  • プログラムによる認可
  • 宣言による認可とプログラムによる認可
• EJB での宣言によるセキュリティの使用
• EJB のセキュリティ関連のデプロイメント記述子
  • ejb-jar.xml デプロイメント記述子
    • method
    • method-permission
    • role-name
    • run-as
    • security-identity
    • security-role
    • security-role-ref
    • unchecked
    • use-caller-identity
  • weblogic-ejb-jar.xml デプロイメント記述子
    • client-authentication
    • client-cert-authentication
    • confidentiality
    • externally-defined
    • identity-assertion
    • iiop-security-descriptor
    • integrity
    • principal-name
    • role-name
    • run-as-identity-principal
    • run-as-principal-name
    • run-as-role-assignment
    • security-permission
    • security-permission-spec
    • security-role-assignment
    • transport-requirements
• EJB でのプログラムによるセキュリティの使用
  • getCallerPrincipal
  • isCallerInRole

7 ネットワーク接続フィルタの使い方

• ネットワーク接続フィルタを使用する利点
• ネットワーク接続フィルタ API
  • 接続フィルタのインタフェース
    • ConnectionFilter インタフェース
    • ConnectionFilterRulesListener インタフェース
  • 接続フィルタのクラス
    • ConnectionFilterImpl クラス
    • ConnectionEvent クラス
• 接続フィルタ ルールの作成ガイドライン
  • 接続フィルタ ルールの構文
  • 接続フィルタ ルールの種類
  • 接続フィルタ ルールの評価方法
• WebLogic 接続フィルタのコンフィグレーション
• カスタム接続フィルタの開発

8 Java セキュリティを使用しての WebLogic リソースの保護

• Java EE セキュリティを使用しての WebLogic リソースの保護
• Java セキュリティ マネージャを使用しての WebLogic リソースの保護
  • Java セキュリティ マネージャの設定
    • 全体的に使用する weblogic.policy ファイルの修正
    • アプリケーション型のセキュリティ ポリシーの設定
    • アプリケーション固有のセキュリティ ポリシーの設定
  • セキュリティ マネージャの印刷の使用
    • セキュリティ マネージャの印刷の起動引数
    • セキュリティ マ ネージャの印刷を使用する WebLogic Server の起動
    • 出力ファイルの書き込み
  • Java Authorization Contract for Containers の使用
    • WebLogic JACC プロバイダと WebLogic 認可プロバイダの比較
    • WebLogic JACC プロバイダの有効化

9 SAML API

• SAML API の説明
• カスタム POST フォーム パラメータ名

10 証明書パスの作成と検証

• 証明書パスの作成
  • CertPathSelector のインスタンス化
  • CertPathBuilderParameters のインスタンス化
  • JDK CertPathBuilder インタフェースの使用
  • 証明書チェーンの検索のコード フロー例
• 証明書パスの検証
  • CertPathValidatorParameters のインスタンス化
  • JDK CertPathValidator インタフェースの使用
  • 証明書チェーンの検証のコード フロー例

A 非推奨のセキュリティ API