第 2 章 ファイアウォール、ロードバランサ、またはプロキシサーバー使用時

この章では、Identity Manager が URL (Uniform Resource Locator) を使用する仕組みを説明するほか、ファイアウォール、ロードバランサ、またはプロキシサーバーを設置した場合に正しい URL データを取得できるように Identity Manager を設定する方法について説明します。

Servlet API

Web を使用する Identity Manager のユーザーインタフェースは、Web クライアントの検索対象となるページの位置を指定する際に URL (Uniform Resource Locator) を基にしています。

Identity Manager は、生成された HTML と HTTP 応答に有効な URL を配備できるように、アプリケーションサーバー (Glassfish, Apache Tomcat, IBM WebSphere, or BEA WebLogic など) に搭載されている Servlet API に基づいて、HTTP 要求にある URL が省略されていないかどうかを判断します。

設定によっては、Web クライアントが HTTP 要求に使用する URL をアプリケーションサーバーが特定できないものもあります。この例には次のものがあります。

• Web クライアントと Web サーバーの間、または Web サーバーとアプリケーションサーバーの間に配備されたポート転送またはネットワークアドレス変換 (NAT) ファイアウォール

• Web クライアントと Web サーバーの間、または Web サーバーとアプリケーションサーバーの間に配備されたプロキシサーバー (Tivoli Policy Director WebSEAL など)

例えば HTTP 要求からの正確な URL データを提供しない Servlet API の場合、正確なデータを Waveset.properties ファイル (Identity Manager のインストール先の config ディレクトリ内にあります) に設定することができます。

次の属性によって、Identity Manager の Web ベースドキュメントのルートと、Identity Manager が HTML BASE HREF タグを使用するかどうかが決まります。

• ui.web.useBaseHref (デフォルト値: true )— この値には、次のいずれかの値を設定します。

  • true— Identity Manager は HTML BASE HREF タグを使用して、関連する URL パスのルートを表します。

  • false— HTML に記載されるすべての URL には、スキーム、ホスト、ポートなどを含めて省略されていないパスが記載されます。

• ui.web.baseHrefURL— 生成済み HTML に使用される BASE HREF を明示するには、この属性に空白以外の値を設定します。この値は、servlet API で算出された値よりも優先されます。

この計算された値の上書きは、これらの API から返される値が必ずしも正確でない場合に有効です。 この状況は、次の場合に発生します。

• アプリケーションサーバーが、ポート転送または NAT を使用するファイアウォールの背後に位置している

• アプリケーションサーバーと Web サーバーの間のコネクタから正確な情報が提供されない

• アプリケーションサーバーが、プロキシサーバーによって前処理されている

ロードバランサ使用時のログの設定

x-Forwarded-For HTTP 要求ヘッダーに記載されているクライアント IP アドレスを、自動的にログに記録するように Identity Manager を設定することができます。これは、ロードバランサや HTTP プロキシを経由しても Web サーバーの接続先クライアントの発信 IP アドレスを特定できる標準ヘッダーです。必要に応じて、カスタム HTTP ヘッダーを使用するように Identity Manager を設定することも可能です。

カスタム HTTP 要求ヘッダーに記載されている IP アドレスを Identity Manager でログに記録するには、次の項目を実行します。

1. テキストエディタで Waveset.properties を開きます。

2. client.headerIPVariable= を検索し、この行のコメントを解除します。

3. 代わりに Identity Manager で使用する HTTP 要求ヘッダー名を入力します。

   または、プロパティに =0 を設定すれば、この機能を無効にすることができます。

4. Waveset.properties を保存します。

5. Identity Manager を再起動します。

この設定は、監査ログとシステムログの両方に適用することができます。

Identity Manager で自動的にクライアント IP アドレスをログに記録しない場合は、Waveset.properties ファイル内の client.headerIPVariable のコメントを解除すれば、この機能を無効にできます。