Fusion Middleware セキュリティ概要

11g リリース1(11.1.1)

B56236-03(原本部品番号:E12889-04)

目次

図一覧

表一覧

タイトルと著作権情報

はじめに

- 対象読者

- ドキュメントの編成

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

このマニュアルでの新しい情報

- Oracle Fusion Middleware 11g リリース1(11.1.1.5)の新規内容

- Oracle Fusion Middleware 11g リリース1(11.1.1.4)の新規内容

1 Oracle Fusion Middlewareのセキュリティ

- 1.1 用語集

- 1.2 Oracle Fusion Middlewareのセキュリティ範囲

- 1.2.1 認証およびシングル・サインオンについて

- 1.2.2 Oracle Platform Security Servicesについて

- 1.2.3 Oracle SOA Suiteのセキュリティについて

- 1.2.4 Oracle WebCenterのセキュリティについて

- 1.3 Oracle Fusion Middlewareおよび3層アーキテクチャ

- 1.3.1 Oracle Fusion Middlewareの管理用ツール

2 Oracle Platform Security Servicesについて

- 2.1 Oracle Platform Security Services(OPSS)の概要

- 2.1.1 Oracle Fusion MiddlewareのOracle Platform Security Services

- 2.1.2 アプリケーションでのOracle Platform Security Servicesの使用方法

- 2.2 Oracle Platform Security Servicesのアーキテクチャ

- 2.3 サービスの概要

- 2.3.1 認証

- 2.3.1.1 認証の推奨事項

- 2.3.2 認可

- 2.3.3 資格証明ストア・フレームワーク

- 2.3.4 ユーザーおよびロールAPI

- 2.3.5 ポリシー・ストアとポリシーAPI

- 2.3.6 シングル・サインオン

- 2.3.7 SSLのサポート

- 2.3.8 監査

- 2.3.9 Oracle Security Developer Toolkit

3 セキュアなアプリケーションの開発

- 3.1 ADF Security

- 3.1.1 Oracle ADFについて

- 3.1.2 Oracle ADF Securityについて

- 3.1.3 Oracle ADF Securityの使用

- 3.2 JavaEEセキュリティ

- 3.3 エンドツーエンドのセキュリティ例

4 インフラストラクチャのセキュリティ強化

- 4.1 インフラストラクチャのセキュリティ強化について

- 4.2 キーストア

- 4.3 SSLの有効化

- 4.4 ポートと環境の管理

- 4.5 パスワード管理

- 4.6 ロックダウン

5 一般的なセキュリティ・シナリオおよびタスク

- 5.1 シングル・サインオン

- 5.1.1 シングル・サインオンのオプション

- 5.1.2 デプロイメント・シナリオ

- 5.1.2.1 Oracle SOAまたはOracle WebCenter 11gの初回設定

- 5.1.2.2 既存のOracle Application ServerでのOracle SOAまたはOracle WebCenter 11gの設定

- 5.1.2.3 11g Portal、Forms、ReportsまたはDiscoverの設定

- 5.1.2.4 11g Portal、Forms、ReportsまたはDiscoverと併用するOracle SOAまたはOracle WebCenter 11gの設定

- 5.1.2.5 Oracle E-Business Suiteと併用する11g Oracle Fusion Middlewareの設定

- 5.1.2.6 Oracle Single Sign-OnからOracle Access Managerへの認証の委任

- 5.2 一般的なセキュリティ・タスクの概要

- 5.3 タスクベースの参照

- 5.3.1 開発中のセキュリティ・タスクについての参照事項

- 5.3.2 デプロイメントの際のセキュリティ・タスクについての参照事項

- 5.3.3 認証についての参照事項

- 5.3.4 認可についての参照事項

- 5.3.5 SSLについての参照事項

- 5.3.6 監査についての参照事項

- 5.3.7 ロギングおよび診断についての参照事項

索引

図一覧

- 1-1 Oracle Fusion Middlewareおよび3層モデル

- 1-2 Oracle Fusion Middlewareのセキュリティ

- 2-1 Oracle Platform Security Servicesのアーキテクチャ

表一覧

- 2-1 Oracle Fusion Middlewareのセキュリティ・サービス

- 5-1 一般的なセキュリティ・タスク

Oracle® Fusion Middleware

セキュリティ概要

11g リリース1(11.1.1)

B56236-03(原本部品番号:E12889-04)

2011年4月

Oracle Fusion Middleware 11g リリース1におけるセキュリティ機能とベスト・プラクティスのハイレベルな概要について説明しています。

Oracle Fusion Middlewareセキュリティ概要, 11g リリース1(11.1.1)

B56236-03

Copyright © 2001, 2011, Oracle and/or its affiliates.All rights reserved.

原本著者:  Vinaye Misra

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントが、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供される場合は、次のNoticeが適用されます。

U.S. GOVERNMENT RIGHTS Programs, software, databases, and related documentation and technical data delivered to U.S. Government customers are "commercial computer software" or "commercial technical data" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, the use, duplication, disclosure, modification, and adaptation shall be subject to the restrictions and license terms set forth in the applicable Government contract, and, to the extent applicable by the terms of the Government contract, the additional rights set forth in FAR 52.227-19, Commercial Computer Software License (December 2007).Oracle USA, Inc., 500 Oracle Parkway, Redwood City, CA 94065.

このソフトウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアを危険が伴うアプリケーションで使用する際、このソフトウェアを安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXはThe Open Groupの登録商標です。

このソフトウェアおよびドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

はじめに

このドキュメントでは、Oracle Fusion Middlewareにおけるセキュリティの概要を示します。

この章は、次のトピックで構成されています。

- 対象読者

- ドキュメントの編成

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

対象読者

このドキュメントは、Oracle Fusion Middleware 11g リリース1(11.1.1)におけるセキュリティ構築のための指針が必要なシステム・アーキテクト、セキュリティ管理者および開発者を対象としています。

このドキュメントを読むと次のことができるようになります。

- セキュリティのロールと範囲など、Oracle Fusion Middlewareのセキュリティについての広範な特徴をよく理解するようになり、具体的な情報の入手元に関する基礎知識を得ることができます。

- 管理者および開発者に対して幅広いセキュリティ機能の基盤を提供するOracle Platform Security Servicesについて理解できます。

- 共通のセキュリティ・タスクについて理解し、セキュリティ・タスクの実装に関する情報の参照先がわかります。

このドキュメントは、一般的にOracle Fusion Middleware(特にOracle Platform Security Services)のセキュリティ機能を主に紹介するために作成されています。Oracle WebLogic Serverの標準的なセキュリティ機能の詳細は、このドキュメントでは説明していません。

Oracle WebLogic Serverのセキュリティの詳細、および特定のセキュリティ機能の実装方法については、このドキュメントの「関連ドキュメント」の項、および以降の章で示される参照箇所を参照してください。

ドキュメントの編成

このドキュメントは次のように編成されています。

- 第1章「Oracle Fusion Middlewareのセキュリティ」では、アーキテクチャの図を使用して、Oracle Fusion Middleware内のセキュリティ・テクノロジの範囲を説明します。

- 第2章「Oracle Platform Security Servicesについて」では、Oracle Platform Security Servicesと主なコンポーネントを紹介し、様々なコンポーネントの役割と機能について説明します。

- 第3章「セキュアなアプリケーションの開発」では、Oracle Application Development Frameworkを使用してセキュアなアプリケーションを開発できる方法について説明します。

- 第4章「インフラストラクチャのセキュリティ強化」では、インフラストラクチャのセキュリティに関して主な側面をハイレベルな観点で示します。

- 第5章「一般的なセキュリティ・シナリオおよびタスク」では、最も一般的なセキュリティ・タスクについて説明し、タスクの実行に関して関連情報の参照先を示します。

ドキュメントのアクセシビリティについて

オラクル社は、障害のあるお客様にもオラクル社の製品、サービスおよびサポート・ドキュメントを簡単にご利用いただけることを目標としています。オラクル社のドキュメントには、ユーザーが障害支援技術を使用して情報を利用できる機能が組み込まれています。HTML形式のドキュメントで用意されており、障害のあるお客様が簡単にアクセスできるようにマークアップされています。標準規格は改善されつつあります。オラクル社はドキュメントをすべてのお客様がご利用できるように、市場をリードする他の技術ベンダーと積極的に連携して技術的な問題に対応しています。オラクル社のアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/accessibility/を参照してください。

ドキュメント内のサンプル・コードのアクセシビリティについて

スクリーン・リーダーは、ドキュメント内のサンプル・コードを正確に読めない場合があります。コード表記規則では閉じ括弧のみを行に記述する必要があります。しかし、一部のスクリーン・リーダーは括弧のみの行を読まない場合があります。

外部Webサイトのドキュメントのアクセシビリティについて

このドキュメントにはオラクル社およびその関連会社が所有または管理しないWebサイトへのリンクが含まれている場合があります。オラクル社およびその関連会社は、それらのWebサイトのアクセシビリティに関しての評価や言及は行っておりません。

Oracleサポートへのアクセス

Oracle のお客様は My Oracle Support を通じてオンラインによるサポートを受けることができます。詳細情報はhttp://www.oracle.com/support/contact.htmlか、聴覚に障害のあるお客様はhttp://www.oracle.com/accessibility/support.htmlを参照してください。

関連ドキュメント

詳細は、Oracle 11g リリース1(11.1.1)ドキュメント・セットの次のドキュメントを参照してください。

- 『Oracle Fusion Middleware Oracle WebLogic Serverセキュリティの理解』

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』

- Oracle Fusion Middleware管理者ガイド

- 『Oracle Fusion Middleware Oracle Application Development FrameworkのためのFusion開発者ガイド』

第3章「共通セキュリティ・タスク」では、特定のタスクに対する追加の参照箇所を示しています。

表記規則

このマニュアルでは次の表記規則を使用します。

表記規則

意味

太字

太字は、操作に関連するグラフィカル・ユーザー・インタフェース要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック

イタリックは、特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、パラグラフ内のコマンド、URL、例に記載されているコード、画面に表示されるテキスト、または入力するテキストを示します。

このガイドの最新情報

ここでは、Oracle Fusion Middlewareの新しい管理セキュリティ機能と変更された管理セキュリティ機能について説明し、追加情報の参照先を示します。

注意:
ここでは、このドキュメントで紹介している新機能について説明します。新しいセキュリティ機能と変更されたセキュリティ機能の完全なリストについては、次を参照してください。

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のこのガイドの最新情報に関する項

- Oracle Identity Managementコンポーネント・ガイドの最新情報に関する項

Oracle Fusion Middleware 11g リリース1(11.1.1.5)の新規内容

このドキュメントでは、Oracle Fusion Middleware 11gリリース1(11.1.1.5)のセキュリティおよびアイデンティティ管理における、次の新しい機能および変更された機能について説明しています。

- Oracle Entitlements Server
詳細は、Oracle Fusion Middleware Oracle Entitlements Server管理者ガイドを参照してください。

- Java SEアプリケーションの監査ローダー
詳細は、第2.3.8項「監査」を参照してください。

- Oracle Security Token Service

このドキュメントには次の新規内容と更新内容が含まれます。

- Oracle Identity Managementコンポーネントの監査レポートに関する説明
詳細は、第5.3.6項「監査についての参照事項」を参照してください。

- ファイングレイン・アクセス・コントロールに関連する一般的なタスク
詳細は、第5.3.4項「認可についての参照事項」を参照してください。

Oracle Fusion Middleware 11g リリース1(11.1.1.4)の新規内容

このドキュメントでは、Oracle Fusion Middleware 11gリリース1(11.1.1.4)のセキュリティおよびアイデンティティ管理における、次の新しい機能について説明しています。

- IBM WebSphereアプリケーション・サーバーのサポート。詳細は、Oracle Fusion Middlewareサード・パーティ・アプリケーション・サーバー・ガイドを参照してください。

- データベース・セキュリティ・ストアのサポート。
詳細は、Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイドを参照してください。

- Oracle SSL自動化ツール: 手動で行う手順の代替手段で、SSL構成を簡略化します。『Oracle Fusion Middleware管理者ガイド』を参照してください。

1 Oracle Fusion Middlewareのセキュリティ

この章では、Oracle Fusion Middlewareのセキュリティ機能の概要、およびシステム管理者とアプリケーション開発者向けのロードマップについて説明します。この項の内容は、次のとおりです。

- 用語集

- Oracle Fusion Middlewareのセキュリティ範囲

- Oracle Fusion Middlewareおよび3層アーキテクチャ

1.1 用語集

「はじめに」で記載された関連ドキュメントおよびこのドキュメントで使用される共通の用語を定義することから始めます。

後述の箇所に関連するSAMLなど、業界規格もいくつか含まれています。この一覧は、包括的なものではありません。

アプリケーション・ライフサイクル

アプリケーションは、Oracleやサード・パーティ・ベンダーから提供されたり、社内で開発したりすることが可能です。どの場合のアプリケーションも、アプリケーション・サーバー環境で稼働し、Oracle Fusion Middlewareの機能を利用するように設計されます。

典型的なアプリケーション・ライフサイクルには、次の3つの段階があります。

- 開発

- デプロイメント

- 移行(テストから本番へ)

- アップグレード(リリース10.1.xからリリース11gへなど)

- 本番環境での継続的管理タスク(パッチ適用など)

セキュリティは、その範囲や実装の詳細は様々に異なることがありますが、アプリケーション・ライフサイクルにとって欠かせないものです。

たとえば、開発時にはユーザーの資格証明は単にファイルに格納されますが、デプロイされたアプリケーションは一般的にバックエンドでLDAPディレクトリを使用したアイデンティティ管理ソリューションによって保護されます。

監査

監査は、アカウンタビリティを評価する過程です。アイデンティティ管理およびアクセス管理領域では、どのリソースにいつ誰がアクセスしたかを示すレポートおよびデータを監査によって入手します。

認証

認証では、ユーザーが本人であるか確認します。ユーザーのアイデンティティは、ユーザーが提示する次の資格証明で確認します。

1. 本人が所有するもの: 信頼できる機関から発行された資格証明です。たとえば、パスポート(実社会)やスマート・カード(IT業界)などがあります。

2. 本人が知っていること: たとえば、パスワードなどの共有秘密があります。

3. 本人自身による証明: たとえば、バイオメトリック情報があります。

ATMカード(本人が所有するもの)とPINまたはパスワード(本人が知っていること)を併用するなど、数種類の資格証明を組み合せることを厳密認証といいます。

認可

認可はアクセス制御とも呼ばれ、認証済ユーザーの資格に基づいて特定のリソースへのアクセス権を付与することを目的としています。権限は1つ以上の属性によって定義されます。属性は、ユーザーのプロパティ、特性またはロールです。たとえば、Rajがユーザーである場合、software engineerが属性(ロール)です。

認可は、アクセス・ポリシーの適用に基づいています。たとえば、Rajはsoftware engineerロールに割り当てられると、特定のアプリケーション・コードにアクセスできます。

資格証明ストア

資格証明ストアは、データベースやLDAPディレクトリなどの外部アプリケーションおよびシステムにパスワードを格納するために使用できるサービスです。

Oracle Fusion Middleware 11g リリース1(11.1.1)では、資格証明ストアはファイルベース(Oracle Wallet)のリポジトリか、パスワードなどの資格証明を格納するためのLDAPベースのリポジトリのいずれかになります。

開発フェーズ

開発フェーズは、アプリケーション・ライフサイクルの第1段階です。このフェーズでは、開発者は、アプリケーション・ロジックとプレゼンテーション層をコード化します。

Oracle Application Development Framework(Oracle ADF)を使用して、開発者はOracle ADFの組込みサポートで幅広いセキュリティ機能を利用できます。

詳細は次を参照してください。

- 第3章「セキュアなアプリケーションの開発」

- 『Oracle Fusion Middleware Oracle Application Development FrameworkのためのFusion開発者ガイド』のFusion WebアプリケーションのADFセキュリティの有効化に関する項

デプロイメント・フェーズ

デプロイメント・フェーズは、アプリケーション・ライフサイクルの第2段階です。このフェーズでは、管理者はアプリケーションをパッケージ化し、ターゲット環境(アプリケーション・サーバーなど)にデプロイして、エンド・ユーザーがアクセスできるようにします。

デプロイメント・フェーズでは通常、管理者がアプリケーション・ロールからエンタープライズ・グループへのマッピングを実行します。詳細は、次を参照してください。

- Fusion Middleware Controlを使用したJavaEEアプリケーションおよびOracle ADFアプリケーションのデプロイに関する項

- 第5.2項「一般的なセキュリティ・タスクの概要」

アイデンティティ・ストア

アイデンティティ・ストアは、ユーザーのアイデンティティ(ユーザーおよびグループ)が保存され信頼できるストアです。

Oracle Fusion Middleware 11g リリース1(11.1.1)では、デフォルトのアイデンティティ・ストアは、Oracle WebLogic Serverのプロセスでメンテナンスされる組込みLDAPストアで、テストおよび小規模デプロイメントにのみ適しています。エンタープライズLDAPサーバー(Oracle Internet Directoryおよびサード・パーティLDAPディレクトリ)もサポートされています。

関連情報の詳細は、第2.3.1項「認証」を参照してください。

インフラストラクチャのセキュリティ強化

インフラストラクチャとは、アプリケーションのデプロイに必要なすべてのシステム・ソフトウェアのことです。インフラストラクチャのセキュリティ強化は、インフラストラクチャの各コンポーネント(Webサーバー、アプリケーション・サーバー、アイデンティティ管理およびアクセス管理のソリューションおよびデータベース・システムなど)にセキュリティを適用するプロセスです。インフラストラクチャのセキュリティ強化は、トランザクションに関連する複数のインフラストラクチャ・コンポーネント全体におけるエンドツーエンドのセキュリティ基盤です。

注意:
Oracle WebLogic Serverの保護では、このタスクはロックダウンと呼ばれます。ただし、Oracle Fusion Middlewareではより広義に、インフラストラクチャのセキュリティ強化と呼ばれます。

関連項目:
WebLogic Security Serviceでは、強力で柔軟なソフトウェア・ツールが用意されています。これによって、サーバー・インスタンスで実行されるサブシステムおよびアプリケーションが保護されます。詳細は、『Oracle Fusion Middleware Oracle WebLogic Server Webアプリケーション、サーブレット、JSPの開発』を参照してください。

Java Authentication and Authorization Service(JAAS)

JAASは、次の2つの目的に使用できます。

- ユーザーの認証では、Javaコードがアプリケーション、アプレット、Beanまたはサーブレットのいずれで実行されているかにかかわらず、現在そのコードを実行している人物を、信頼できるセキュアな方法で判別します。

- ユーザーの認可では、その操作の実行に必要なアクセス制御権限をユーザーが持っているかどうかを確認します。

詳細は、次にある『Java Authentication and Authorization Service (JAAS) Reference Guide』を参照してください:

http://java.sun.com/javase/6/docs/technotes/guides/security//jaas/JAASRefGuide.html

Javaコンポーネント

Javaコンポーネントはシステム・コンポーネントのピアで、アプリケーション・サーバー・コンテナが管理します。Oracle SOA SuiteやOracle Identity Federationがその例です。

キーストア

秘密鍵、デジタル証明、信頼できるCA証明書などのSSL通信に必要なオブジェクトは、キーストアに格納されます。

Oracle Fusion Middlewareでは、鍵と証明書用に2種類のキーストアが用意されています。

- JKSベースのキーストアおよびトラストストアは、Sun社によって提供されているJavaキーストアのデフォルトJDK実装です。JKSキーストアは、Oracle Virtual Directoryおよびその他の製品で使用されています。

- Oracle Walletは、PKCS#12ベースの資格証明のコンテナです。Oracle Walletは、Oracle Internet Directoryおよびその他の製品で使用されています。

詳細は、第4.2項「キーストア」を参照してください。

Oracle Application Development Framework(ADF)

Oracle Application Development Framework(Oracle ADF)は革新的で包括的なJava EE開発フレームワークで、Oracle JDeveloper 11g開発環境で直接サポートされ有効化されます。

Oracle ADFにより、アプリケーションのインフラストラクチャを実装するコードが最小限に抑えられ、ユーザーは実際のアプリケーションの機能に集中できるので、Java EE開発が簡素化されます。Oracle ADFでは、これらのインフラストラクチャ実装を、フレームワークの一部として提供します。一連のランタイム・サービスは十分でないと認識されているので、Oracle ADFでは、Oracle JDeveloper 11g開発ツールにより、視覚的で宣言的なJava EE開発方法を実現する開発環境も重視しています。

Oracle ADFは、Oracle Platform Security Servicesをベースにしています。

Oracle Access Manager(OAM)

Oracle Access Managerは、10gと11g両方のリリースを使用できます。

- Oracle Access Manager 10gでは、Webシングル・サインオン、ユーザーのセルフサービスおよび自己登録、高度なワークフロー機能、監査およびアクセス・レポート、ポリシー管理、動的グループ管理および委任管理などのすべてのアイデンティティ管理機能およびセキュリティ機能が用意されています。

- Oracle Access Manager 11gでは、Webシングル・サインオン、認証と認可、IDアサーション、ポリシー管理、監査など、Web境界セキュリティ機能がすべて用意されています。
Oracle Access Manager 11gがOracle Access Manager 10gと異なる点は、ユーザーのセルフサービスおよび自己登録、高度なワークフロー機能、動的グループ管理、委任アイデンティティ管理などのアイデンティティ管理機能がOracle Identity Manager 11gに移行されていることです。同時に、Oracle Access Manager 11gには、Oracle Identity Manager 11gに対するアクセス制御が用意されています。

関連項目:
「Oracle Identity Manager」

Oracle Adaptive Access Manager(OAAM)

オンラインのアプリケーションおよびサービスの急激な成長により、インターネット詐欺はますます巧妙化しています。フィッシング、ファーミング、トロイの木馬、キー・ロガーおよびプロキシ攻撃の脅威と、オンライン・データのプライバシを統制する規制や法令(FFIEC、HIPAA、PCIなど)とが重なって、オンライン・セキュリティは重要になっています。

Oracle Adaptive Access Managerでは、強力でデプロイが容易な認証強化やマルチファクタ認証を行って、プロアクティブでリアルタイムに詐欺を防止することで、ビジネスと顧客を高度に保護します。

Oracle Directory Server Enterprise Edition

Oracle Directory Server Enterprise Edition(旧名: Sun Directory Server Enterprise Edition)は、通信業界などの企業環境で実績のある大規模なデプロイメント機能を持つ非常に有名なディレクトリ・サーバーです。ISVで最もサポートされているディレクトリであり、異機種環境では理想的といえます。ODSEEによって、組込みデータベース、ディレクトリ・プロキシ、Active Directory(AD)の同期化およびWeb管理コンソールが、コア・ディレクトリ・サービスで使用できるようになります。

関連項目:
「Oracle Internet Directory」

Oracle Enterprise Manager Fusion Middleware Control

Fusion Middleware Controlは、Oracle Enterprise Managerの一部として提供されるJMXベースのGUI管理ツールです。

Oracle Entitlements Server

Oracle Entitlements Serverは、きめ細かい資格管理ソリューションです。これによって、企業の資格管理の外部化と一元化、認可ポリシーの簡素化、および分散された異機種アプリケーションにおけるセキュリティの適用を行います。

Oracle Entitlements Serverにより、URL、EJB、JSPなどアプリケーション・リソースやソフトウェア・コンポーネントだけでなく、顧客アカウントや患者レコードなどの任意のビジネス・オブジェクトに対してもアクセスが保護されます。Oracle Entitlements Serverポリシーにより、アプリケーション・リソースにアクセスできるユーザー、グループおよびロールが指定されるため、これらのロールを実行時に動的に解決できます。

Oracle Entitlements Serverでは、セキュリティ・モジュールと呼ばれる一意で柔軟なアーキテクチャを使用して、特殊な属性を評価し、さらにきめ細かくアクセス制御も決定できます。サーバーのスタンドアロン管理サービスでは、複雑な資格ポリシーを管理し、ポリシーの決定および実施ポイントに配布します。セキュリティ・モジュールは、一元化モードで実行するか、アプリケーション内に組み込むことができます。これにより、ビジネス・クリティカル・アプリケーションの柔軟性が最大化し、高いパフォーマンスが実現されます。

Oracle Identity Analytics

Oracle Identity Analytics(旧名Sun Role Manager)を使用すると、企業は、ロールの計画と管理、およびアイデンティティベースの重要な制御の自動化を実現できます。その主な機能には、アイデンティティ、アクセスおよび監査のデータを複雑な分析上の問合せに対応できるように最適化して中央リポジトリに格納する機能、ユーザーのアクセスを360度の視野で確認できる自動認証プロセス、職務の分離(SoD)の施行、ロールのライフサイクル管理、様々なコンプライアンスおよび操作ダッシュボードなどがあります。

Oracle Identity Federation

Oracle Identity Federationは、業界最高レベルのフェデレーション・ソリューションであり、既存のアイデンティティおよびアクセス管理システムとともに迅速にデプロイ可能な、自己完結型の柔軟なマルチプロトコル・フェデレーション・サーバーを提供します。業界標準ベースのプロトコルをサポートしているので、ベンダー、顧客およびビジネス・パートナーとの間でアイデンティティ情報を共有できる相互運用性があり、アイデンティティ情報や資格証明を追加で維持管理、運用するための追加コストも発生しません。

Oracle Identity Manager

Oracle Identity Managerは、ベストインクラスのユーザー・プロビジョニングおよび管理ソリューションです。これによって、アプリケーションやディレクトリに対してユーザー・アカウントの追加、更新および削除を行うプロセスが自動化されます。さらに、ユーザー・アクセスをレポートし証明するようにきめ細かいレポートと証明サポートを提供し、法規制のコンプライアンスが向上します。

Oracle Internet Directory

Oracle Internet DirectoryはLDAP v3準拠のディレクトリで、メタディレクトリ機能があります。業界先進のOracleデータベース上に構築され、Oracle Fusion MiddlewareおよびOracle Applicationsに完全に統合されています。そのため、Oracle環境やOracleデータベースのノウハウを持つ企業に適しています。

Oracle Internet Directoryでは、送信中のデータからストレージやバックアップに至るすべてのレベルでセキュリティが確保されます。また、LDAPセキュリティに加えて、Database Vaultや透過的データ暗号化などのOracleデータベース・セキュリティ機能も活用されます。Database Vaultでは職務の分離(SoD)を実行でき、透過的データ暗号化ではストレージとバックアップ内のデータのセキュリティが確保されます。

関連項目:
「Oracle Directory Server Enterprise Edition」

Oracle Platform Security Services(OPSS)

Oracle Platform Security Services(OPSS)では、企業の製品開発チーム、システム・インテグレータ(SI)および独立系ソフトウェア・ベンダー(ISV)に、Java Standard Edition(Java SE)およびJava Enterprise Edition(Java EE)のアプリケーション向けに標準ベースで移植可能な企業向け統合セキュリティ・フレームワークを提供します。

OPSSは、標準ベースのアプリケーション・プログラミング・インタフェース(API)形式の抽象レイヤーを提供し、これにより開発者はセキュリティおよびID管理を実装する細かな作業から解放されます。社内開発アプリケーション、サード・パーティ製アプリケーションおよび統合アプリケーションのすべてにおいて、企業全体にわたって均一なセキュリティ、ID管理および監査サービスのメリットを享受します。

OPSSを活用すると、開発者は暗号鍵管理の詳細や、ユーザー・リポジトリおよびその他のアイデンティティ管理インフラストラクチャでのインタフェースの詳細を意識する必要はありません。

Oracle Security Token Service

Oracle Security Token Serviceブローカは、Webサービス利用者(WSC)とWebサービス・プロバイダ(WSP)との間において信頼関係があり、セキュリティ・トークンのライフサイクル管理サービスを利用者とプロバイダに提供します。

Oracle Security Token ServiceはOracle Access Managerに準拠し、Oracle Access Managerと共存します(トークンをリクエストするWebクライアントのプライマリ・オーセンティケータとしてOracle Access Managerを使用)。

Oracle Virtual Directory

Oracle Virtual Directoryでは、同期化しなくてもアイデンティティの集約と仮想化が実現されます。これは、LDAPストレージではなく仮想化サービスです。主な機能には、アイデンティティ用の単一インタフェース、データベースやWebサービスなどの非LDAPデータ用のLDAPインタフェース、データ変換機能、アプリケーション固有のデータ・ビューがあります。

ディレクトリ・ストレージも必要なお客様向けに、Oracle Virtual Directoryでは、統合された管理システムがOracle Internet Directoryと共有されています。

Oracle Web Services Manager

Oracle Web Services Managerは、ポリシー駆動型のベスト・プラクティスを既存のWebサービスや新規のWebサービスすべてに追加するための包括的なソリューションです。これによって、複数の部門アプリケーション間においてサービス指向アーキテクチャのデプロイに必要な鍵のセキュリティおよび管理機能を実現します。

Oracle Web Services Managerは、WSポリシーに基づいた、Oracle Fusion Middlewareのポリシー・モデルです。Oracle Web Services Managerによって、Oracle WebCenter、Oracle ADF、OSBなど多くのOracle Fusion Middlewareコンポーネントのセキュリティが確保されます。

Oracle Web Services Managerにより、IT管理ではWebサービス操作(アクセス・ポリシー、ロギング・ポリシー、ロード・バランシングなど)を管理するポリシーを一元的に定義でき、こうしたポリシーをWebサービスにラップできます。その際、Webサービスの変更は不要になります。

Oracle Web Services Managerでは、サービスの品質を確保するために監視した統計データ、稼働時間およびセキュリティ上の脅威を収集し、Webダッシュボードに表示します。

Oracle Wallet

Oracle Walletは、証明書、信頼できる証明書、証明書リクエスト、秘密鍵などの資格証明を格納するコンテナです。Oracle Walletはファイル・システム上に格納できますし、Oracle Internet DirectoryなどのLDAPディレクトリにも格納できます。Oracle Walletは自動ログイン・ウォレットまたはパスワード保護されたウォレットにできます。

Oracle Walletは次のコンポーネントに使用します。

- Oracle HTTP Server

- Oracle Web Cache

- Oracle Internet Directory

パートナ・アプリケーション

パートナ・アプリケーションは、Oracle Application ServerベースのアプリケーションまたはOracleAS SSO(OSSO)サーバーに認証機能を委任しているOracle以外のアプリケーションです。OSSOで認証済のユーザーがアプリケーションの使用を認可されるかどうかは、パートナ・アプリケーションで決定されます。パートナ・アプリケーションには、Oracle Portal、Oracle Discoverer、Oracle Delegated Administration Servicesなどがあります。

注意:
Oracle Access Manager 11gを使用することをお薦めします。詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Access Manager 11g SSOの概要に関する項を参照してください。

Security Assertions Markup Language(SAML)

Security Assertions Markup Language(SAML)は、インターネットでセキュリティ情報を交換する際に利用するXMLベースのフレームワークです。SAMLでは、SAMLを使用しなければ相互運用できない様々なセキュリティ・サービス・システム間で、認証情報および認可情報を交換できるようになります。

シングル・サインオン

シングル・サインオンでは、ユーザーは一度認証されると、再認証を要求されることなく複数のアプリケーションへのアクセス権が付与されます。

システム・コンポーネント

システム・コンポーネントは、Oracle WebLogic Server以外の管理可能なプロセスです。Oracle HTTP ServerやOracle Internet Directoryがその例です。

Webサービス・セキュリティ

Webサービス・セキュリティには、認証と認可(前述で説明済み)、機密保護とプライバシ(情報を秘密にする)、整合性と否認不可(機関がデジタル署名をすることでメッセージが転送中に変更されないようにし、また、デジタル署名で送信者を検証し、送信者か受信者が後でトランザクションを否認できないようにタイムスタンプを提供する)が含まれます。Webサービス・セキュリティの要件は、XMLフレームワーク(たとえばXML暗号化、XML署名、Security Assertion Markup Language(SAML)など)に依存するアプリケーション・レベルおよびトランスポート・レベル(Secure Socket Layer)両方で、業界標準によってサポートされています。

eXtensible Access Control Markup Language(XACML)

XACMLは、アクセス制御ポリシーと、アクセス制御のリクエストやレスポンスの要件の両方を指定する言語の宣言的な標準です。

1.2 Oracle Fusion Middlewareのセキュリティ範囲

Oracle Fusion Middlewareのセキュリティとは、11g リリース1(11.1.1)のアプリケーション・ライフサイクル全体でアプリケーションが使用可能なすべてのセキュリティオプションをいいます。まず、Oracle WebLogic Serverはこのリリースから、Oracle Fusion Middlewareのアプリケーション・サーバーとなっていることに注意することが重要です。既存のユーザーは、今までと同じ構成ツールを使用して、Oracle WebLogic Serverで提供されるセキュリティ機能を継続して使用できます。

Oracle WebLogic Serverのセキュリティは、11g リリース1(11.1.1)では変更されていないので、ベース・コンテナやJavaEEセキュリティの管理に、既存のOracle WebLogic Serverツールを使用できます。

関連項目:
Oracle Fusion Middlewareにおける様々なセキュリティ・オプションの詳細は、第5章「一般的なセキュリティ・シナリオおよびタスク」を参照してください。

1.2.1 認証およびシングル・サインオンについて

Oracle Fusion Middlewareでは、次のように、認証およびシングル・サインオンのオプションを幅広くサポートしています。

- 認証プロバイダ
認証プロバイダにより、Oracle WebLogic Serverでは、ユーザーを検証することにより信頼を確立できます。

- IDアサーション・プロバイダ
IDアサーション・プロバイダは、境界ベースの認証および複数のセキュリティ・プロトコルやトークン・タイプを処理する認証プロバイダの一種です。

- アイデンティティ・ストア
詳細は、「アイデンティティ・ストア」を参照してください。

- 10g Oracle Single Sign-Onおよび10g Oracle Access Managerのサポート

注意:
推奨ソリューションは、Oracle Access Managerです。詳細は、第5.1項「シングル・サインオン」を参照してください。

Oracle WebLogic Serverには、両方の製品の認証プロバイダが含まれています。

1.2.2 Oracle Platform Security Servicesについて

前述のように(第1.1項「用語集」を参照)、Oracle Platform Security Services(OPSS)では、Java Standard Edition(Java SE)およびJava Enterprise Edition(Java EE)のアプリケーション向けに標準ベースで移植可能な企業向け統合セキュリティ・フレームワークを提供します。

OPSSでは、Oracle WebLogic Serverおよび次のようなOracleコンポーネントにセキュリティ・サービスを提供します。

- Oracle SOA Suite

- Oracle WebCenter

- Oracle Entitlement Server

- Oracle Web Services Manager

OPSSには、Oracle WebLogic Serverのセキュリティ・サービス・プロバイダ・インタフェースと、Oracleの10gセキュリティ・フレームワーク(Java Platform Security(JPS)と呼ばれる)が組み込まれます。

詳細は、第2章「Oracle Platform Security Servicesについて」を参照してください。

1.2.3 Oracle SOA Suiteのセキュリティについて

トランスポート・レベルでは、Oracle SOA Suiteは、主としてOracle WebLogic ServerおよびOracle Fusion Middlewareのセキュリティ機能に依存しています。たとえば、Oracle WebLogic Server管理コンソールを使用してリスナーを構成することで、Oracle SOA SuiteでOracle WebLogic Serverに接続する際にSecure Socket Layer(SSL)を有効化します。メッセージ・レベルでは、Oracle SOA SuiteはOracle Web Services Managerに依存しています。

さらに、セキュリティには次のようにスイート固有の側面があります。

- SOAコンポジットの保護

- 双方向SSL

- Oracle SOA SuiteとOracle HTTP Serverとの間におけるSSL

- Security Assertion Markup Language(SAML)のシングル・サインオン環境において1番目のOracle BPM Worklistから2番目のOracle BPM Worklistにアクセスする際における自動認証

- KerberosによるWindowsのネイティブ認証環境におけるのOracle BPM Worklistユーザーの自動認証

- Oracle Business Activity Monitoringの保護

- 資格証明マッピング

- Oracle BAMユーザー権限

- Oracle BAMでのOracle Internet Directory

- Oracle User Messaging Serviceの保護

- 資格証明ストアのパスワードのような機密に関するドライバ・プロパティのセキュア・ストレージ

- SSLを使用した、トランスポートレベルのセキュリティ

詳細は、『Oracle Fusion Middleware Oracle SOA SuiteおよびOracle Business Process Management Suite管理者ガイド』を参照してください。

1.2.4 Oracle WebCenterのセキュリティについて

メッセージ・レベルでは、Oracle WebCenterは、セキュリティに関してOracle Web Services Managerに依存しています。

アプリケーション・レイヤーに加えて、Oracle WebCenterでは、4つのセキュリティ・レイヤーをサポートしています。

- WebCenter Spacesアプリケーションでは、次のものをサポートしています。

- アプリケーション・ロール管理および権限マッピング

- 自動登録

- グループ・スペースのセキュリティ管理

- アカウントおよびパスワードの管理

- WebCenterのセキュリティ・フレームワークでは、次のものをサポートしています。

- サービス・セキュリティ拡張フレームワーク

- 権限マッピング・ベースおよびロール・マッピング・ベースの認可

- 外部アプリケーションおよび資格証明マッピング

- ADF Securityでは、次のものをサポートしています。

- ページおよびタスク・フローの認可

- セキュアな接続管理

- 資格証明マッピングAPI

- Oracle Platform Security Services(OPSS)では、次のものをサポートしています。

- 匿名ロールおよび認証ロールのサポート

- アイデンティティ・ストア、ポリシー・ストアおよび資格証明ストア

- アイデンティティ管理サービス

- Oracle Web Services Managerセキュリティ

詳細は、Oracle Fusion Middleware Oracle WebCenter管理者ガイドのセキュリティの管理に関する項を参照してください。

1.3 Oracle Fusion Middlewareおよび3層アーキテクチャ

セキュリティは、Oracle Fusion Middlewareインフラストラクチャおよびそこで構築された企業向けアプリケーションへの制御されたアクセスとして定義できます。

図1-1は、Oracle Fusion Middlewareによる典型的な3層の企業環境のサポートの概要を示しています。

図1-1 Oracle Fusion Middlewareおよび3層モデル

このモデルの概要は次のとおりです。

- Web層は、WebCacheやOracle HTTP Serverのようなコンポーネントで構成され、リソースを保護し、アプリケーションへのアクセスを制御します。

- 中間層ではOracle WebLogic Serverを実行し、セキュリティ・サービス・プロバイダ・インタフェース(SPI)およびAPIをホストします。Oracle SOA Suite、Oracle WebCenter、Oracle Web Services ManagerなどのOracle Fusion Middlewareコンポーネントは中間層で稼働します。

関連項目:
SPIモデルの詳細は、第2.1.2項「アプリケーションでのOracle Platform Security Servicesの使用方法」を参照してください。

- データ層は、Oracle Internet Directory、Oracle Virtual Directory、Oracle Databaseなど、LDAPディレクトリとデータベースのリポジトリです。

次の図に、Oracle Fusion Middlewareのセキュリティにおける主な要素のハイレベルな概要を示します。

図1-2 Oracle Fusion Middlewareのセキュリティ

この図には、Oracle Fusion Middlewareのセキュリティの要素が示されています。左側のWeb層には、ロード・バランサおよびファイアウォールの外側にあるその他のコンポーネントが含まれています。中間層は、Oracle WebLogic Serverとそのアプリケーションをホストしています。右側のデータ層には、データベースとディレクトリがあります。異なる管理ツールが図の上部に示されています。

このアーキテクチャの主な要素は次のとおりです。

- Fusion Middleware Control: Oracle Fusion MiddlewareのGUIベース管理ツールです。Fusion Middleware Controlを使用して、コンポーネントやアプリケーションの構成、管理および監視を行い、次のコンポーネントに対してセキュリティを実装します。

- Oracle HTTP Server

- Oracle Web Cache

- Oracle Internet Directory

- Oracle Virtual Directory

- Oracle WebLogic Serverは、Oracle Fusion Middlewareコンポーネント(Oracle SOA Suite、Oracle Identity Management、Oracle WebCenterなど)およびアプリケーション(顧客、システム・インテグレータおよびサード・パーティ・ベンダーが開発したもの)用のアプリケーション・サーバーです。

- 縦の破線はファイアウォールを表しています。

- 図中の丸印は、セキュアな通信用にSSLを有効化できるリスナーを表しています。
詳細は、第4章「インフラストラクチャのセキュリティ強化」を参照してください。

1.3.1 Oracle Fusion Middlewareの管理用ツール

Oracle Fusion Middlewareには、次のようなグラフィカル・ランタイム・ツールとコマンドライン・ランタイム・ツールが含まれています。

- Oracle WebLogic Server管理コンソールにより、サーバーで実行されているJavaEEアプリケーションとOracle WebLogic Serverドメインを構成できます。

- Fusion Middleware Controlにより、サーバーで実行されるOracleアプリケーションを構成でき、OPSS APIに依存するセキュリティ機能を利用できます。

- Oracle WebLogic Scripting Tool(WLST)は、コマンドラインのスクリプティング環境で、WebLogic Serverドメインの作成、管理および監視、さらにOracle Fusion Middlewareのセキュリティ機能の管理に使用できます。

- Oracle Business Intelligence Publisherにより、監査レポートを表示できます。

2 Oracle Platform Security Servicesについて

Oracle Platform Security Servicesは、Oracle WebLogic Serverの内部セキュリティ・フレームワークと、Oracleのセキュリティ・フレームワーク(Oracle Platform Securityといいます)で構成されます。OPSSでは、包括的で標準ベースのセキュリティ・フレームワーク内のサービスとしてセキュリティを実現します。

この章は、次のトピックで構成されています。

- Oracle Platform Security Services(OPSS)の概要

- Oracle Platform Security Servicesのアーキテクチャ

- サービスの概要

この章を読むと次のことがわかるようになります。

- Oracle Fusion MiddlewareアーキテクチャにおけるOPSSの役割

- OPSSのコンポーネント

- 様々なOPSS機能を使用する場所

- OPSSに関する詳細の参照場所

詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Platform Security Servicesの概要に関する項を参照してください。

2.1 Oracle Platform Security Services(OPSS)の概要

Oracle Platform Security Services(OPSS)では、企業の製品開発チーム、システム・インテグレータ(SI)および独立系ソフトウェア・ベンダー(ISV)に、Java Standard Edition(Java SE)およびJava Enterprise Edition(Java EE)のアプリケーション向けに標準ベースで移植可能な企業向け統合セキュリティ・フレームワークを提供します。

OPSSは、標準ベースのアプリケーション・プログラミング・インタフェース(API)形式の抽象レイヤーを提供し、これにより開発者はセキュリティおよびID管理を実装する細かな作業から解放されます。OPSSにより、開発者は、暗号鍵管理の詳細や、ユーザー・リポジトリおよびその他のID管理インフラストラクチャでのインタフェースの詳細について理解する必要はなくなります。OPSSを活用することで、社内開発アプリケーション、サード・パーティ製アプリケーションおよび統合アプリケーションでは、企業全体において均一なセキュリティ、ID管理および監査サービスのメリットを享受します。

2.1.1 Oracle Fusion MiddlewareのOracle Platform Security Services

Oracle Platform Security Servicesを使用するOracle Fusion Middlewareコンポーネントは、次のとおりです。

- Oracle WebLogic Server

- Oracle Entitlements Server

- Oracle WebCenter

- Oracle SOA Suite

- Oracle Identity Management(次のものが含まれます)

- Oracle Internet Directory

- Oracle Virtual Directory

- Oracle Identity Federation

- Oracle Web Services Manager

- Oracle Application Development Framework(ADF)

2.1.2 アプリケーションでのOracle Platform Security Servicesの使用方法

Oracle Platform Security Servicesを活用することで、システム・インテグレータ(SI)および独立系ソフトウェア・ベンダー(ISV)は、Oracle製品で使用されるものと同じセキュリティ・ビルディング・ブロックを使用して、アプリケーションおよび製品を構築できます。

OPSSの主な機能は、次のとおりです。

- 次のような広範なセキュリティ・サービス

- 認証

- 認可

- 資格証明ストア・フレームワーク

- ユーザーおよびロールAPI

- ポリシー管理API

- シングル・サインオン

- アイデンティティ・アサーション

- 監査

- Oracle Security Developer Tools(包括的なセキュリティAPIライブラリ)

各サービスの詳細は、第2.3項「サービスの概要」を参照してください。

- サービス・プロバイダ・モデル
OPSSでは、他のアプリケーション・サーバーとは異なり、アプリケーション・サーバーにセキュリティ・サービスを提供するだけでなく、アプリケーションで同様のサービスを使用して、認証、認可およびOracleシステム・コンポーネントで使用できる他のセキュリティ機能をシームレスに実装できるようになります。

- 企業標準のサポート
フレームワークでは、次の主要な標準をサポートしています。

- Java EE

- SAML

- XACML

- JACC

- JAAS

関連項目:
これらの標準の詳細は、第1.1項「用語集」を参照してください。

- Windowsのネイティブ認証のサポート

- SPNEGOのサポート

- 移植性
OPSSは移植性のあるフレームワークです。

- 企業向けJavaEEアプリケーションおよびスタンドアロンJavaSEアプリケーションを一貫性のあるセキュリティ・フレームワークで構築でき、一貫性のあるセキュリティの導入ができます。

- サービス・プロバイダ・インタフェース(SPI)モデルにより、標準ベースのセキュリティ・プラットフォームに依存するカスタム・セキュリティ・プロバイダを実装できます。

- セキュリティ・フレームワークが特定のアプリケーション・サーバーに結びつけられることはありません。

- 開発の容易さ

- JavaEEプラットフォームおよびJavaSEプラットフォームの両方で使用可能

- 様々なバックエンドのデータ・ストア(LDAP、RDBMS、カスタム)と統合

OPSSではアプリケーション保護のためのビルディング・ブロックが提供されるので、開発が簡素化され、アプリケーション開発者は社内全体にわたって移植可能な一貫した方法でセキュリティの実現をOPSSに依存しながら、ビジネスの問題解決に集中できます。

2.2 Oracle Platform Security Servicesのアーキテクチャ

図2-1では、OPSSの環境とビルディング・ブロック、およびセキュリティ・サービスの提供におけるロールを示します。

図2-1 Oracle Platform Security Servicesのアーキテクチャ

この図は、様々なセキュリティ・コンポーネントをレイヤーとして階層的に表しています。最上層はOracle WebLogic Serverとそのコンポーネント、およびサーバーで実行中のJavaアプリケーションで構成されており、その下はAPI層で、認証、認可、CSF、そしてユーザーおよびロールAPIで構成され、さらに、サービス・プロバイダ・インタフェース(SPI)層と、認証、認可およびその他のサービス・プロバイダが続きます。最下層はLDAPおよびデータベース・サーバーを含むリポジトリで構成されています。

Oracle Platform Security Services

Oracle Platform Security Services(OPSS)は、セキュリティ・サービスおよびAPIを公開するセキュリティ・フレームワークであり、セキュリティ・サービスの具体的な実装を提供するプラットフォームでもあります。これには、次の要素が含まれます。

- Common Security Services(CSS): Oracle WebLogic Serverがベースになる内部セキュリティ・フレームワークです。
このフレームワークは、Oracle WebLogic Server、Oracle Entitlements Server、およびこれまでアプリケーション・サーバー上で稼働していたその他の多くの製品にセキュリティを実現します。また、11g リリース1(11.1.1)でも同様にセキュリティを実現します。

- Oracle Platform Services
このフレームワークでは、Oracleアプリケーション(Oracle Application Development Framework(ADF)、Oracle WebCenter、Oracle SOA Suite、Oracle Web Services Manager(OWSM)など)およびこれまでOracle Application Serverで稼働していたその他の製品にセキュリティを実現し、これらの製品を11g リリース1(11.1.1)でも継続してサポートします。

- ユーザーおよびロールAPI

- Oracle Fusion Middleware監査フレームワーク
このフレームワークでは、コンポーネントに監査機能を提供します。

- Oracleセキュリティ開発ツール

- Identity Governance Framework(IGF)
このフレームワークを使用すると、企業のITシステム全体でアイデンティティ関連情報の管理に対処できるようになります。IGFおよびArisID実装の詳細は、次を参照してください。

http://www.oracle.com/technology/tech/standards/idm/igf/index.html

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOPSSアーキテクチャの概要に関する項を参照してください。

Oracle Platform Security Services API

OPSS APIでは、次のすべてのセキュリティ機能を実現します。

- 認証
認可

- きめ細かな認可

- 監査

その他のサービス

詳細は、次を参照してください。

- 第2.3項「サービスの概要」

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Platform Security Servicesでのセキュアなアプリケーションの開発の概要に関する項

サード・パーティ・アプリケーション・サーバー

OPSSではサード・パーティ・アプリケーション・サーバーがサポートされています。詳細は、Oracle Fusion Middlewareサード・パーティ・アプリケーション・サーバー・ガイドを参照してください。

2.3 サービスの概要

表2-1に、このリリースで使用可能な種々のサービスを示します。

表2-1 Oracle Fusion Middlewareのセキュリティ・サービス

サービス

データ・ストア

詳細情報

認証

アイデンティティ・ストア

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアイデンティティ、ポリシーおよび資格証明に関する項

認可

ポリシー・ストア

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアイデンティティ、ポリシーおよび資格証明に関する項

資格証明ストア・フレームワーク

資格証明ストア

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアイデンティティ、ポリシーおよび資格証明に関する項

ユーザーおよびロール

アイデンティティ・ストア

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のユーザーおよびロールの理解に関する項

ポリシー管理

ポリシー・ストア

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のポリシー・ストアの基本に関する項

シングル・サインオン

アイデンティティ・ストア

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Fusion Middlewareでのシングル・サインオンの構成に関する項

アイデンティティ・アサーション

アイデンティティ・ストア

『Oracle Fusion Middleware Oracle WebLogic Serverセキュリティ・プロバイダの開発』のアイデンティティ・アサーション・プロバイダに関する項

SSL

--

『Oracle Fusion Middleware管理者ガイド』のOracle Fusion MiddlewareでのSSL構成に関する項

監査

監査ストア

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』

Security Developer Toolkit

--

『Oracle Fusion Middleware Reference for Oracle Security Developer Tools』

Oracle WebLogic Serverのサービス

--

『Oracle Fusion Middleware Oracle WebLogic Serverの保護』

この項の次の部分で、各サービスについて説明します。

関連項目:
Oracle WebLogic Serverを保護する方法の詳細は、次を参照してください。

- 『Oracle Fusion Middleware Oracle WebLogic Serverの保護』

- 『Oracle Fusion Middleware Oracle WebLogic Serverセキュリティのプログラミング』

2.3.1 認証

Oracle Fusion Middlewareでは、ユーザーはアイデンティティ・ストアに対して認証され、アイデンティティ・ストアは、ユーザー・アイデンティティの信頼できるソースです。認証プロセスでは、ユーザー名とパスワードの組合せ、チケットおよび公開鍵証明書を利用できます。ユーザーが指定した資格証明は、認証時にストアに対して検証され、アプリケーション機能へのアクセス権をユーザーに付与するために使用されます。

アイデンティティ・ストアは、Oracle WebLogic ServerのLDAP認証により実装されます。

そのままの状態で、Oracle WebLogic Serverは、組込みLDAPリポジトリにユーザー・アイデンティティを格納します。デプロイ済の本番環境では、LDAPディレクトリをアイデンティティ・ストアとして使用することをお薦めします。Oracle Fusion Middleware 11gR1では、次のように幅広くLDAPサーバーをアイデンティティ・ストアとしてサポートしています。

- Oracle Internet Directory

- Oracle Virtual Directory

- Sun Java System Directory Server

- Microsoft Active Directory

- Open LDAP

- Novell eDirectory

- 汎用的

OPSSでは、WebLogic認証プロバイダ、ユーザー名とパスワードの組合せを基にユーザー資格情報やシステム・プロセスを検証するコンポーネント、またはデジタル証明書を採用しています。Oracle WebLogic Serverでは、検証の際に複数のストアを使用できるよう、認証プロバイダの集約をサポートしています。

詳細は次を参照してください。

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の認証の基本に関する項

- 『Oracle Fusion Middleware Securing Oracle WebLogic Server』

2.3.1.1 認証の推奨事項

サイトの認証は、アプリケーション・ライフサイクルのフェーズに基づく必要があります。

- 開発フェーズ: アプリケーションが開発される段階

- ステージング・フェーズ: アプリケーションが製品として準備できていることを検証する段階

- 製品フェーズ: アプリケーションが最終的にデプロイされ、エンドユーザーに使用される段階

アプリケーションの開発フェーズにおける認証では通常、ログイン・モジュールが使用され、さらにユーザー・アイデンティティおよびポリシーのネイティブ・テストが行われます。加えて、開発者によっては、アプリケーション・ポリシーをステージング環境と本番環境においてデプロイメントで渡す前に、アプリケーション・アーカイブ(WAR)の一部としてパッケージ化する場合があります。

開発フェーズでの認証

Oracle Fusion MiddlewareのコンポーネントであるOracle JDeveloper 11gR1は、統合されたアプリケーション開発環境を実現します。

JDeveloperで開発されたアプリケーションはすべて、Oracle WebLogic Serverの組込みLDAPサーバーでテストできます。組込みLDAPサーバーは、WebLogic認証、認可、資格証明マッピングおよびロール・マッピング・プロバイダのデフォルト・セキュリティ・プロバイダ・ストアです。

組込みLDAPサーバーを使用して、開発時にアプリケーションの認証をテストすることをお薦めします。

関連項目:
『Oracle Fusion Middleware Securing Oracle WebLogic Server』の組込みLDAPサーバーの管理に関する項

関連項目:
『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のJavaEEアプリケーションの手動パッケージ化に関する項

ステージング・フェーズおよび製品フェーズでのシングル・サインオン・ソリューション

アプリケーションのデプロイ後、認証メカニズムの選択は、ステージング環境や本番環境におけるOracle Weblogic Serverドメインの構成によって決まります。その構成は、次のような形態になる場合があります。

- すべてまたは特定のアプリケーション(複数のドメイン間でデプロイされたもの)にOracle Single Sign-Onを使用する形態

- すべてまたは特定のアプリケーション(複数のドメイン間でデプロイされたもの)にOracle Access Managerを使用する形態

- すべてまたは特定のアプリケーション(複数のドメイン間でデプロイされたもの)にサード・パーティのシングル・サインオン・ソリューションを使用する形態

- WindowsプラットフォームでデプロイされたアプリケーションにWindowsのネイティブ認証を使用する形態

- フェデレーションの方法を使用する形態

関連項目:

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Fusion Middlewareでのシングル・サインオンの構成に関する項

- Oracle Fusion Middleware Oracle Identity Federation管理者ガイド

- 『Oracle Access Manager IDおよび共通管理ガイド』

2.3.2 認可

認可とは、ポリシーを使用することによりアクセスを制御することです。認可プロセスでは、ポリシーが適用され、実行できるアクティビティの種類やアクセスできるサービスの種類が決定されます。Oracle Platform Security Servicesでは、JavaEEおよびADFアプリケーションの2つの認可モデルがサポートされています。

- JavaEEロールベースのアクセス制御

- Oracle ADF Security

JavaEEロールベースのアクセス制御に基づく認可

Java EEアプリケーションの場合、Oracle Fusion Middlewareでは、論理的ロールおよび物理的ロールを有するJava EEのロールベースのアクセス制御(RBAC)モデルがサポートされます。論理的ロールは、アプリケーション・コードで使用されるロール名です。物理的ロールは、アイデンティティ・ストア内に存在します。管理者は、アプリケーションのデプロイメント時に、論理的ロールを物理的ロールにマップします。

Oracle ADFに基づく認可

Oracle Platform Security Servicesでは、きめ細かな権限ベースの認可モデルがサポートされ、JAASベースのcheckPermissionコールを使用してリソースが保護されます。

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のcheckPermissionメソッドの使用に関する項を参照してください。

Oracle Application Development FrameworkおよびOracle WebCenterアプリケーションで利用されるこのモデルでは、きめ細かい認証機能が提供されます。たとえば、アプリケーションの個々のADFリージョンにそれぞれ認可チェックを適用できます。

開発フェーズでの認可

Oracle JDeveloperでは、Java EEとADFの認可モデルのいずれかを選択できます。

ADF認可モデルでは、操作が簡単なウィザードが用意されています。

こうしたテストでは、できるだけ本番環境を代表するデータを使用することをお薦めします。

記載されている手順は、次のJava EE認可トピックに対応しています。

- 組込みLDAPを使用してOracle JdeveloperのJava EEセキュリティ・モデルを構成する方法

- web.xmlファイルとejb-jar.xmlファイルの論理的ロールにリソース(URLまたはEJBメソッド)を付与することでデプロイメント・ディスクリプタのセキュリティを構成する方法

記載されている手順は、次のADF認可トピックに対応しています。

- Oracle JDeveloperでADFセキュリティ・ウィザードを使用してADFセキュリティ・モデルを構成する方法

- ADFページの各リージョンにきめ細かなセキュリティを構成する方法

- 選択したページ要素を付与し、論理的ロールに対応するこうした要素のアクションを定義する方法

詳細は次を参照してください。

- 『Oracle Fusion Middleware Oracle Application Development FrameworkのためのFusion開発者ガイド』

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のポリシー・ストアの基本に関する項

ステージング・フェーズまたはデプロイメント・フェーズでの認可

一般的に開発者は、アイデンティティ・ストアにあるエンタープライズ・ロール(グループ)意識しないため、適用する認可ポリシーも意識していません。認可ポリシーは通常、本番環境へのデプロイ時に実装されます。

記載されている次の手順は、アプリケーションのデプロイメントの際にドメイン管理者の役に立ちます。

- Oracle Fusion Middlewareに同梱されている管理ツールを使用して、アプリケーションで使用される論理的ロールを、アイデンティティ・ストアにあるエンタープライズ・グループにマップする方法

- ドメインのポリシー・ストアに移行する必要があるアプリケーション固有ポリシーを選択する方法

- 時間の経過によるアプリケーションのセキュリティ・ニーズの進化に合せて、Oracle Fusion Middleware ControlやWLSTのような管理ツールを使用し、アプリケーションのポリシーを適切に変更する方法

- Oracle Single Sign-OnとLDAPを併用する環境で、認可と認証の両方で同じユーザー移入を使用して、こうしたシングル・サインオン環境を構成する方法

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の次の各項では、開発後の認可の実装について詳細に説明しています。

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のシングル・サインオンの構成に関する項

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のWebLogicロールへの論理ロールのマッピングに関する項

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のFusion Middleware Controlを使用したアプリケーション・ポリシーの移行に関する項

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のドメイン・ポリシー・ストアの管理に関する項

2.3.3 資格証明ストア・フレームワーク

資格証明ストアは、ユーザー名とパスワード、または一般的な資格証明(証明書)を格納するためのリポジトリです。資格証明ストアを使用するメリットは、アプリケーションにパスワードがクリアテキストで格納されず、パスワード保護に独自のソリューションを考案する必要がないことです。これにより、管理者および開発者は、一貫性のある資格証明リポジトリを使用して作業できる可能性が高くなります。

OPSSでは、資格証明ストアに格納された資格証明に対して、作成、読取り、更新および削除の操作を実行する資格証明ストア・フレームワークを実現します。

OPSSでは、次の種類の資格証明ストアをサポートしています。

- ファイル・ベース

- LDAPディレクトリ

- Oracle Database

ドメインレベルのアイデンティティおよび資格証明ストアは、アプリケーションに対してサポートされます。アプリケーションをデプロイする際にドメインの資格証明ストアに自動的に移行するように資格証明を構成できます。

2.3.4 ユーザーおよびロールAPI

ユーザーおよびロールAPIのフレームワークを使用すると、基礎となる特定のアイデンティティ・リポジトリにかかわらず、アプリケーションからアイデンティティ情報(ユーザーおよびグループ)に一定で移植可能な方法でアクセスできます。サポートされている操作には、アイデンティティの作成、更新または削除や、属性や目的の情報についてのアイデンティティの検索などがあります。アイデンティティ・ストア・サービスにより、フレームワークでも複数のLDAPアイデンティティ・ストアを単一の問合せで検索できます。

このリポジトリとして、Oracle Internet Directory、Microsoft Active Directory、Oracle Directory Server Enterprise EditionなどのLDAPディレクトリ・サーバーや、データベース、フラット・ファイルなどのカスタム・リポジトリを使用できます。

ユーザーおよびロールAPIのフレームワークでは、移植可能な方法でプログラム的にリポジトリにアクセスできる便利な方法が用意されているため、アプリケーション開発者は、特定のアイデンティティ・ソースの複雑さを把握するという潜在的に難しいタスクから解放されます。このフレームワークでは、アプリケーションが様々なリポジトリに対してシームレスに作業を行うことができます。アプリケーションは、様々なアイデンティティ・リポジトリ間を、コードを変更することなく切り替えられます。

詳細は、次のサイトを参照してください。

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアイデンティティ・ストアの管理に関する項

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のユーザーおよびロールAPIを使用した開発に関する項

2.3.5 ポリシー・ストアとポリシーAPI

ポリシー・ストアには、認可の決定基準の評価に使用されるポリシーが格納されます。これは、システムおよびアプリケーションに固有のポリシーとロールを格納するリポジトリです。アプリケーション・ロールには、次のものを含めることができます。

- エンタープライズ・ユーザーおよびグループ

- 管理ロールなどのアプリケーション・ロール

ポリシーでは、これらのロールまたはユーザーをプリンシパルとして使用できます。

ポリシー・ストアは、同一のOracle WebLogic Serverドメイン内にある複数のアプリケーションで共有され、ドメイン・レベルで管理されます。

Oracle Fusion Middleware 11g リリース1(11.1.1)では、ポリシー・ストアは次のいずれかにできます。

- XMLファイル(即時利用可能なポリシー・ストア・プロバイダ)

- LDAPディレクトリ

- Oracle Internet Directory

- Oracle Virtual Directory

- Oracle Database

ポリシー・ストアAPIでは次の項目が定義されます。

- 被付与者に対してパーミッションの付与および取消しを行う管理インタフェース

- パーミッションの種類、アプリケーション名などの構成済み基準に基づいてカスタム・ポリシー・プロバイダに認可の決定基準を委託できる委託アーキテクチャ

- 高度なアプリケーション・ポリシーを移植可能な方法で表すために、アプリケーション固有のきめ細かなポリシーと組み合されたアプリケーション・ベースの論理的ロール(アプリケーション・ロール)

詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアイデンティティ、ポリシーおよび資格証明に関する項を参照してください。

2.3.6 シングル・サインオン

シングル・サインオンでは、ユーザーは一度認証されると、再認証を要求されることなく複数のアプリケーションへのアクセス権が付与されます。

Oracle WebLogic Serverでは、次のシングル・サインオンを選択できます。

- Oracle Single Sign-On

- Oracle Access Manager

Oracle WebLogic Serverには、Oracle WebLogic管理コンソールで構成できる2つのアイデンティティ・アサーション・プロバイダが備わっています(ソリューションごとに1つずつ)。Oracle WebLogic Server上で稼動するアプリケーションでは、いずれか(または両方)のシングル・サインオン・ソリューションを選択できます。

また、Oracle Fusion Middlewareでは任意のサード・パーティのシングル・サインオン・ソリューションを環境に統合できるフレームワークが提供されています。

シングル・サインオンを使用できるようにアプリケーションを構成する方法の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のシングル・サインオンの構成に関する項を参照してください。

2.3.7 SSLのサポート

Oracle Fusion Middlewareでは、次のエンタープライズ・スタック全体でSSL構成を行うためのSSL構成機能を提供しています。

- Web層

- Oracle HTTP Server

- Oracle Web Cache

- 中間層

- Oracle SOA Suite
Oracle WebCenter

Oracle Identity Federation

- データ層

- Oracle Internet Directory

- Oracle Virtual Directory

- Oracle Database

- サード・パーティのLDAPディレクトリおよびデータベース

- Oracle WebLogic Server(Oracle HTTP ServerからOracle WebLogic ServerへのSSLインバウンドを含む)

Oracle Enterprise Manager Fusion Middleware ControlのGUIツールやWLSTコマンドライン・ツールにより、Oracle WalletやJKSキーストアの構成およびSSLの構成のための一貫性のある均一な機能が用意されています。これらのツールには、orapkiなどの既存のツールの主要な機能も備わっています。

SSL対応のその他のエンドポイントにはOracle WebLogic Server管理コンソールなどの適切なツールを使用できます。

詳細は、『Oracle Fusion Middleware管理者ガイド』の次の各章を参照してください。

- 「キーストア、ウォレットおよび証明書の管理」

- 「Oracle Fusion MiddlewareにおけるSSL構成」

- 「Oracle Wallet Managerおよびorapki」

2.3.8 監査

Oracle Fusion Middleware 11g リリース1(11.1.1)の共通監査フレームワーク・サービスは、ミドルウェア製品ファミリの集中監査機能を実現します。監査サービスの説明を次に示します。

- Oracle Web Services Manager、Oracle Internet Directory(OID)、Oracle Virtual Directory、およびOracle Directory Integration and Provisioning(DIP)などのOracle Fusion Middleware 11gのコンポーネントおよびサービス全体で使用できます。

- アプリケーション・サーバー・コンテナの外部で実行するJava SEアプリケーションで使用でます。

- Oracle Enterprise Manager Fusion Middleware Controlと統合してUIベースの構成および管理を行います。

- WLSTと統合して、コマンドラインで、スクリプトベースの構成を行います。

- Oracle Platform Security Servicesと統合されます。

コンプライアンスや分析に関するニーズを適切にサポートするための監査の主な機能には、次のものがあります。

- システム・コンポーネント、JavaEEアプリケーション、およびJavaEE以外のアプリケーション全体で監査の管理を行う均一なシステム

- 認証履歴または認証失敗、認可履歴、ユーザー管理、その他の共通のトランザクション・データの取得

- 不正行為や侵入の検知に関する分析

- 顧客が最もよく使用する監査イベントを取得する、事前設定された監査ポリシーなどの柔軟な監査ポリシー

- Oracle BI Publisherのすぐに利用可能な分析レポート機能を使用して事前構築されたコンプライアンス・レポート機能。複数のコンポーネントにわたって複数のディメンションについてデータを分析できます。また、これらのレポートをプリファレンスに従ってカスタマイズすることもできます。

- 共通監査リポジトリ

- 共通監査記録フォーマット

詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の次のトピックを参照してください。

- 共通監査フレームワークの概要

- 監査の構成と管理

2.3.9 Oracle Security Developer Toolkit

Oracle Security Developer Toolsは、セキュアなメッセージングといった基本的なタスクからサービス指向アーキテクチャのセキュアな導入といったより複雑なプロジェクトにいたる堅牢なセキュリティ・アプリケーションを開発するために必要な暗号化ビルディング・ブロックを提供します。このツールは、暗号化、公開鍵インフラストラクチャ、Webサービス・セキュリティ、および統合されたアイデンティティ管理というコアの基盤の上に構築されており、Oracleの独自セキュリティ製品の構築に広く使用されています。

Oracle Security Developer Toolsを使用するOracle製品

このツールキットを使用する製品には次のものがありますが、これに限定されません。

- Oracle Applications

- Global Mapping、GI (Image Process Management)、Payment、XDO (XML Publisher)、Workflow、BPEL

- Oracle Collaboration Suite(電子メール)

- アプリケーション・サーバー

- WebLogic Server(10.3以降)で使用可能

- プラットフォーム・セキュリティ

- Oracle Platform Security Services

- SSL構成

- Oracle Wallet(Oracle Identity Management製品、Fusion Middleware ControlおよびOracle Database Serverで使用)

- Oracle製品

- Oracle Web Services Manager(OWSM)

- Business Integration(B2B)

- Oracle Portal

- Oracle Identity Federation(OIF)

Oracle Security Developer Toolsの内容

このツールキットには次のものが含まれています。

- Oracle Crypto - 公開鍵暗号化アルゴリズム、デジタル署名アルゴリズム、鍵交換アルゴリズム、対称暗号化アルゴリズム、メッセージ・ダイジェスト・アルゴリズム、MACアルゴリズム、およびASN.1オブジェクトの構築と解析のためのメソッドがサポートされています。

- Oracle Security Engine - Oracle Security Engineツールキットでは、X.509バージョン3証明書、PKCS#12、証明書リクエストに使用するPKCS#10、CRL、Signed Public Key And Challenge(SPKAC)、X.509証明書とCRLのラップに使用するPKCS#7などの機能がサポートされています。

- Oracle CMS - CMSオブジェクトの読取りと書込みに使用する広範囲なツール群、およびセキュア・メッセージ・エンベロープの開発用サポート・キットが提供されています。

- Oracle S/MIME - 証明書の解析と検証などの拡張機能を使用したX.509バージョン3証明書のフル・サポート、PKCS#7およびPKCS#12フォーマットのX.509証明書連鎖のサポート、PKCS#5、PKCS#8、およびPKCS#12を使用した秘密鍵暗号化、およびASN.1 DER/BERフォーマットでのデータの入出力のための統合ASN.1ライブラリを提供しています。

- Oracle PKI - LDAPディレクトリへのアクセス、デジタル・メッセージの日付スタンプ、証明書の検証、および証明書の管理など、デジタル証明書を扱うツール群が含まれています。

- Oracle JCE - Sun社のJCAプロバイダ・フレームワークに適合する暗号化プロバイダです。Oracle JCEは標準のJCE APIを実装します。Oracle JCE Providerパッケージには、暗号化、鍵合意、鍵ファクトリと秘密鍵ファクトリ、鍵のペアの生成など、いくつかの暗号化アルゴリズムおよびサービスが含まれています。
標準APIにより、開発者はあるプロバイダから別のプロバイダに簡単に切り替えることができます。

- Oracle XML Security - XML Digital Signature仕様(JSR105)、Decryption Transform標準案、XML Canonicalization標準、Exclusive XML Canonicalization標準および、JAXP 1.1に準拠する広範囲なXMLパーサとXSLTエンジンとの互換性をサポートしています。

- Oracle SAML - SAML準拠のJavaセキュリティ・サービスの開発者を支援するツールとマニュアルを提供します。Oracle SAMLは、アプレット、アプリケーション、EJB、サーブレット、JSPなどの既存のJavaソリューションに統合できます。このAPIは次のものをサポートしています。

- SAML 1.0/1.1および2.0仕様

- SAMLベースのシングル・サインオン、属性、メタデータ、拡張クライアント・プロキシ、および統合アイデンティティ・プロファイル

- Oracle Web Services Security - OASIS仕様に基づいた認証と認可のフレームワークを提供し、SOAP Message Security標準、Username Token Profile標準、X.509 Certificate Token Profile標準、およびWSS SAML Token Profileをサポートしています。

- Oracle Liberty - これにより、Java開発者は、シングル・サインオンおよび統合アイデンティティ・ソリューションをLiberty Alliance仕様に基づいて設計および開発することができます。

- Oracle XKMS - 開発者がデジタル署名処理用のXMLトランザクションを記述できるようにすることで、公開鍵インフラストラクチャを簡単に扱えるようになります。Oracle XKMSはW3C XKMS標準を実装しています。

詳細は、『Oracle Fusion Middleware Oracle Security Developer Toolsリファレンス』を参照してください。

3 セキュアなアプリケーションの開発

この章では、Oracle Application Development FrameworkおよびJavaEEのセキュリティ機能の概要について説明します。

- ADF Security

- JavaEEセキュリティ

- エンドツーエンドのセキュリティ例

3.1 ADF Security

この項は、次のトピックで構成されています。

- Oracle ADFについて

- Oracle ADF Securityについて

- Oracle ADF Securityの使用

3.1.1 Oracle ADFについて

Oracle Application Development Framework(Oracle ADF)は、JavaプラットフォームEnterprise Edition(Java EE)標準とオープン・ソース・テクノロジを基盤とするエンドツーエンドのアプリケーション・フレームワークであり、サービス指向アプリケーションの実装を簡略化および迅速化するものです。Web、ワイヤレス、デスクトップまたはWebサービスのインタフェースを使用してデータの検索、表示、作成、変更および検証を行うエンタープライズ・ソリューションに対して、Oracle ADFはその開発作業を簡易化することができます。

Oracle JDeveloper 11gとOracle ADFを組み合せて使用すると、設計からデプロイメントに至る開発ライフサイクル全体が対象となる環境が実現され、ドラッグ・アンド・ドロップによるデータ・バインディング、視覚的なUI設計、およびチーム開発などの組込み機能を使用できます。

FusionのWebテクノロジ・スタックを使用して作成するアプリケーションでは、モデル-ビュー-コントローラ・アーキテクチャに準拠することで、ビジネス・ロジック、ページ・ナビゲーションおよびユーザー・インタフェースの明確な分離が実現されます。

フレームワークの中核モジュールは、JSR-227仕様を実装する宣言的なデータ・バインディング機能であるOracle ADF Modelです。Oracle ADFモデル・レイヤーでは、統一されたアプローチを使用して、コードを記述することなく任意のユーザー・インタフェースとビジネス・サービスをバインドすることが可能です。Fusion Webアプリケーション・テクノロジ・スタックを構成するその他のモジュールは、次のとおりです。

- Oracle ADF Business Components: ビジネス・サービスの構築が容易になります。

- Oracle ADF Facesリッチ・クライアント: JavaServer Faces(JSF)で作成されたWebアプリケーションに、AJAX対応UIコンポーネントのリッチ・ライブラリを提供します。

- Oracle ADF Controller: JSFがOracle ADF Modelに統合されます。複数のJSFページ間だけでなく、たとえば、メソッド・コールやその他のタスク・フローなど、他のアクティビティ間でもコントロールを渡すように再利用可能なタスク・フローなどの追加機能を実現することで、ADF Controllerにより標準JSFコントローラを拡張します。

3.1.2 Oracle ADF Securityについて

Oracle ADF Securityフレームワークは、Fusion Webアプリケーションに認証と認可のサービスを提供するための推奨テクノロジです。主な理由は、Oracle ADF Securityが、Oracle Platform Security Services(OPSS)アーキテクチャの上部で構築され、このアーキテクチャにより重要なセキュリティ・フレームワークが実現され、Oracle WebLogic Serverと緊密に統合されていることです。

注意:
OPSS機能などのセキュリティ機能におけるOracle ADFの組込みサポートは、Oracle ADFの外部でこれらの機能を実装するために必要な工数の削減に役立ちます。実際、コンテナ管理のセキュリティのみを使用する場合、いくつかの機能は使用できません。

それ以外にも、ユーザー・ログインおよびリソースの保護を処理できるセキュリティ対応モデルはありますが、ADFバインド・タスク・フロー、ADFバインディングを使用するトップレベルのWebページ(バインド・タスク・フローに含まれないページ)、および最も低いレベルの粒度でADFエンティティ・オブジェクトとその属性によって定義されたデータ列に対して宣言型で許可ベースの保護を実現するのに、Oracle ADF Securityはきわめて適しています。このドキュメントでは、ADF Securityフレームワークが保護するこれらの個々のリソースを、ADFセキュリティ対応リソースと呼びます。

ADFセキュリティの設定ウィザードを実行して、Fusion WebアプリケーションのADF Securityを有効にします。このウィザードにより、Fusion Webアプリケーション全体のADF Securityを構成するので、ADFセキュリティ対応リソースに関連するWebページがデフォルトで保護されます。このため、ADF Securityを有効化すると、アプリケーションがロックダウンされるので、そのページはデフォルトでセキュアであるとみなされます。

ADF Securityを有効にしたら、ユーザーにアクセス権を付与する必要があります。これによってユーザーは、Fusion WebアプリケーションのWebページを表示できるようになります。ユーザーに付与するアクセス権は、ページのADFセキュリティ対応リソース用に指定するセキュリティ・ポリシーとして知られています。タスク・フローの入力やWebページの表示を行うユーザー権限を制御するのは、最終的にはADFリソースにおけるセキュリティ・ポリシーになります。

ADF SecurityはJava Authentication and Authorization Service(JAAS)に基づいているので、セキュリティ・ポリシーによりプリンシパル(ユーザーまたはアプリケーション・ロール)、ADFリソースおよび権限(リソースのADF権限クラスで定義される操作)が識別されます。たとえば、Fusion Order DemoアプリケーションのStoreFrontモジュールでは、チェックアウトタスクフローのタスク・フローにより含まれるWebページを保護し、ログイン済ユーザー(認証済ユーザー)にのみアクセス権を付与します。

実行時、Oracle ADF Securityフレームワークではタスク・フローのセキュリティ・ポリシーに対して権限のチェックを実行して、ユーザーに表示操作を完了する権限があるかどうかを識別します。この場合、ユーザーがチェックアウト・プロセスを完了しようとする場合は、セキュリティ・ポリシーでは表示の権限をユーザーに付与する必要があります。

包含階層

ユーザーとADFリソースに対してセキュリティ・ポリシーを定義するタスクを簡略化するために、ADF SecurityではADFバインド・タスク・フローとそこに含まれるWebページに対して1つのセキュリティ・ポリシーを定義できる包含階層を定義します。つまり、バインド・タスク・フロー・レベルでセキュリティ・ポリシーを定義すると、次のものが保護されます。

- フローのエントリ・ポイント

- フロー内のすべてのページ

ロール・ベースのセキュリティ

個々のユーザーにアクセス権を付与するかわりに、ユーザーをアプリケーション・ロールにグループ化し、そのロールに表示権限を付与します。これにより、構成が簡素化され、セキュリティ管理者のパーミッション管理能力が向上します。

詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のユーザーおよびロールの理解に関する項を参照してください。

ドキュメントに記載されている手順

『Oracle Fusion Middleware Oracle Application Development FrameworkのためのFusion開発者ガイド』に記載されている手順では、次のトピックおよびその他のトピックについて説明しています。

- ADFセキュリティの設定ウィザードを使用してOracle ADF Securityを有効化する方法

- アプリケーション・ロールを作成する方法

- ADFリソースを公開する方法

- テスト・ユーザーを作成してからアプリケーション・ロールに関連付ける方法

- ログイン・ページと「ようこそ」ページを作成する方法

- セキュアなアプリケーションをJDeveloperで構成、デプロイおよび実行する方法

3.1.3 Oracle ADF Securityの使用

この項では、Oracle ADF Securityの使用方法の概要を説明します。

セキュリティ・ウィザードの使用

Oracle ADF SecurityをOPSSに統合できるようにする構成プロセスを単純にするため、JDeveloperではADFセキュリティの設定ウィザードが用意されています。このウィザードは、Oracle ADF Securityを使用してFusion Webアプリケーションを保護する最初の一歩となります。このウィザードはアプリケーションレベルのツールなので、実行すると、アプリケーションに含まれるすべてのユーザー・インタフェース・プロジェクトでADF Securityが有効になります。

ADFセキュリティの設定ウィザードにより、認証と認可を個別に有効化することを選択できます。

- ADF Securityでは認証にJava EEコンテナ管理のセキュリティを利用しますが、認証を有効化すると、ADF認証サーブレットを使用してユーザーのログインとログアウトがサポートされます。ただし、Webページを保護するには、コンテナ管理のセキュリティ制約を定義します。

- 認可を有効化することは、ADFリソースに対してセキュリティ・ポリシーを作成することで、Fusion Webアプリケーションに対するアクセスの制御を意図することを意味します。

このウィザードにより、Fusion Webアプリケーション全体のADF Securityを構成するので、ADFセキュリティ対応リソースに関連付けられたWebページが保護されます。このため、アプリケーションがロックダウンされ、そのページはデフォルトでセキュアであるとみなされます。

アプリケーション・ロールの作成

アプリケーション・ロールは、アプリケーションのポリシー要件を表し、同じアクセス権限を持つユーザーのグループを定義します。アプリケーション・ポリシー・ストアに作成するアプリケーション・ロールは、お使いのアプリケーション固有のものです。

実行時には、ユーザーがメンバーであるアプリケーション・ロールにより、ユーザーにアクセス権限が付与されます。このように、セキュリティ・ポリシー(後述します)を定義する前に、権限の付与先にするアプリケーション・ロールをポリシー・ストアに含める必要があります。

セキュリティ・ポリシーの付与

ADF Securityを有効にしたら、ユーザーにアクセス権を付与する必要があります。これによってユーザーは、Fusion WebアプリケーションのWebページを表示できるようになります。ユーザーに付与するアクセス権は、ページのADFセキュリティ対応リソース用に指定するセキュリティ・ポリシーとして知られています。タスク・フローの入力やWebページの表示を行うユーザー権限を制御するのは、最終的にはADFリソースにおけるセキュリティ・ポリシーになります。

テスト・ユーザーの作成

JDeveloperには、アプリケーション固有のファイル・リポジトリにアイデンティティ・ストアとポリシー・ストアの両方を作成するのに役立つエディタが用意されています。有効なユーザーIDのリストとそのIDに割り当てられたパスワードが、ファイルのアイデンティティ・ストア・セクションに格納されます。

同じエディタを使用して、アプリケーション・ロールを作成し、アプリケーション・ロールのメンバーとしてテスト・ユーザーまたはエンタープライズ・ロールを割り当てることができます。ユーザーがリソースを表示できるようにするには、そうしたロールのメンバーであるユーザーではなく、アプリケーション・ロールに対して権限を付与します。

ログイン・ページの作成

Oracle ADF Securityでは、暗黙的な認証と明示的な認証を使用できます。

- 暗黙的な認証のシナリオでは、ADFセキュリティ対応リソースに関連付けられているが匿名ロールには付与されていないWebページに未認証ユーザーがアクセスしようとすると、認証が動的にトリガー実行されます。ログイン後、リクエストされたページのADFセキュリティ対応リソースにおいて表示アクセス権が認証済ユーザーに付与されているかどうかが別に検証されます。

- 明示的な認証のシナリオでは、ログイン・リンクが表示された公開ページがアプリケーションに用意され、このリンクをクリックすると、そのユーザーのログインにおいて認証チャレンジがトリガー実行されます。このログイン・リンクでは、正常に認証が行われた後に表示されるターゲット・ページ(認証済ユーザーにはアクセス権があることが前提)を別にオプションで指定できます。

JDeveloperにおけるセキュリティのテスト

Oracle JDeveloperの統合WLSにより、アプリケーションを直接JDeveloper内部で実行して、アプリケーションで定義するアプリケーション・ポリシー、ユーザーおよび資格証明などのセキュリティ・オブジェクトを移行するかどうかを判定できます。デフォルトでは、アプリケーションを実行するたびにすべてのセキュリティ・オブジェクトが統合WLSに移行されます。

ドキュメントに記載されている手順

『Oracle Fusion Middleware Oracle Application Development FrameworkのためのFusion開発者ガイド』に記載されている手順では、次のトピックおよびその他のトピックについて説明しています。

- セキュリティ・ウィザードの使用

- アプリケーション・ロールの作成

- ADFセキュリティ・ポリシーの定義

- テスト・ユーザーの作成

- ログイン・ページの作成

- JDeveloperにおけるセキュリティのテスト

3.2 JavaEEセキュリティ

OPSSのセキュリティ機能はOPSS APIにより利用できますが、構成についてはGUIではサポートされていません。機能を実装するには、デプロイメント・ディスクリプタを手動で編集する必要があります。

3.3 エンドツーエンドのセキュリティ例

Oracle Fusion Middlewareにおいて、開発からデプロイメントやテストに至るまで、エンドツーエンドのセキュリティ実装例については、次のOracle Technology Networkページを参照してください。

http://www.oracle.com/technology/products/id_mgmt/opss/index.html

4 インフラストラクチャのセキュリティ強化

この章の項目は次のとおりです。

- インフラストラクチャのセキュリティ強化について

- キーストア

- SSLの有効化

- ポートと環境の管理

- パスワード管理

- ロックダウン

4.1 インフラストラクチャのセキュリティ強化について

インフラストラクチャのセキュリティ強化とは、次のようなインフラストラクチャの各コンポーネントにセキュリティを適用することです。

- Webサーバー

- アプリケーション・サーバー

- アイデンティティ管理およびアクセス管理のソリューション

- データベース・システム

注意:
Oracle WebLogic Serverでは、ロックダウンと呼ばれる固有のタイプのセキュリティ強化が使用され、サーバー・インスタンスで実行されるサブシステムおよびアプリケーションが保護されます。対照的に、インフラストラクチャのセキュリティ強化はより一般的であり、サイトに影響を与える可能性のある脅威モデルを判別するセキュリティ調査を行い、セキュアでない可能性のある環境(Web層のコンポーネントなど)のすべての側面を特定します。

具体的には、Oracle Fusion Middleware管理者はインフラストラクチャのセキュリティに関して次のような点に重点を置きます。

- SSL対応コンポーネントおよびコンポーネントのルート(Oracle Web CacheからOracle HTTP Serverなど)

- SSL対応Webサービス

- ポートの管理および、次のようなサイトのその他の機能

- デフォルトでデプロイされるアプリケーション

- デモ

- サンプル管理

- パスワード管理

4.2 キーストア

秘密鍵、デジタル証明、信頼できるCA証明書などのSSL通信に必要なオブジェクトは、キーストアに格納されます。

Oracle Fusion Middlewareでは、鍵と証明書用に2種類のキーストアが用意されています。

- JKSベースのキーストアおよびトラストストア
JKSキーストアは、Sun Microsystems社によって提供されているJavaキーストアのデフォルトのJDK実装です。11gR1では、すべてのJavaコンポーネントおよびJavaEEアプリケーションでJKSベースのキーストアおよびトラストストアを使用しています。

JKSベースのキーストアは次のものに対して使用します。

- Oracle Virtual Directory

- Oracle WebLogic Serverにデプロイされた次のアプリケーション

- Oracle SOA Suite

- Oracle WebCenter

- Oracle Wallet
Oracle Walletは証明書、証明書リクエスト、秘密鍵などの資格証明用のキーストアです。

Oracle Walletは次のコンポーネントに使用します。

- Oracle HTTP Server

- Oracle Web Cache

- Oracle Internet Directory

詳細は、『Oracle Fusion Middleware管理者ガイド』のキーストア、ウォレットおよび証明書の管理に関する項を参照してください。

4.3 SSLの有効化

11g リリース1(11.1.1)のSSL管理機能は、次のとおりです。

- Oracle WebLogic Serverでは、クライアントとサーバー間の通信のためにSSL機能が用意されています。

- Oracle Fusion Middleware 11gにはSSL構成機能があり、次のOracle Fusion Middlewareシステム・コンポーネントでSSLの有効化がサポートされています。

- Oracle Web Cache

- Oracle HTTP Server

- Oracle Internet Directory

- Oracle Virtual Directory

SSLの構成機能は次のとおりです。

- 他の管理タスクからのSSL構成の手順を取得する。

- すべてのOracle Fusion Middlewareシステム・コンポーネント間で、SSLの構成で一貫性が保たれ、均一であるようにする。

- 構成時にSSLを検証する。

- 様々なSSLパラメータに対しデフォルト値を提供し、構成を簡素化する。

- Oracle SSL自動化ツールを含み、これによってドメイン固有のCA証明書を使用した、1つのドメイン内での複数コンポーネントの構成を可能にする。

Oracle Fusion MiddlewareのSSL構成ツール

タスクに応じて、様々な構成ツールを使用できます。

- Oracle Enterprise Manager Fusion Middleware ControlおよびWLSTコマンドライン・ツール: システム・コンポーネントでは、リスナーでSSLを有効化し、Oracle WalletおよびJKSキーストアのコンポーネントでは、Oracle WalletおよびJKSキーストアを管理します。

- Oracle Wallet Managerとorapkiコマンドライン・ツール: Oracle Wallet用です。

詳細は、次を参照してください。

- 『Oracle Fusion Middleware管理者ガイド』のOracle Fusion MiddlewareでのSSL構成に関する項

- 『Oracle Fusion Middleware管理者ガイド』のキーストア、ウォレットおよび証明書の管理に関する項

Oracle WebLogic ServerのSSL構成ツール

Oracle Weblogic Serverでは、次のツールを使用してキーストアを管理し、サーバーへの接続が行われるとSSLを有効化します。

- JDK keytoolユーティリティ
Oracle WebLogic Serverでは、JDKで提供されているJava KeyStore(JKS)がサポートされています。keytoolユーティリティは、鍵のペアの作成、自己署名された証明書の生成および読取りの他に、キーストアの管理にも使用されます。

- WebLogic Server Administrator Console
このコンソールを使用して、WebLogic ServerリスナーのSSL構成を管理します。たとえば、Oracle WebLogic Serverで実行されているOracle SOA SuiteおよびOracle WebCenterでは、SSLを有効にするためにこのような機能が使用されています。

詳細は、次のドキュメントを参照してください。

- 『Oracle Fusion Middleware管理者ガイド』のOracle WebLogic Server管理コンソールの使用開始に関する項

- Oracle Fusion Middleware WebLogic Scripting Toolコマンド・リファレンス

4.4 ポートと環境の管理

記載されているポート管理のための手順は、次のトピックに対応しています。

- ファイアウォールで保護されたデプロイメント環境で、開いているポートの数を最小化する方法

- このような環境でのポートの管理方法

Oracleでは、製品に付随するデフォルト、デモおよびサンプルの取り扱いには、次のベスト・プラクティスもお薦めします。

- 必要のないデフォルトのアプリケーションの削除

- 管理アプリケーションへのアクセスの制限

- デプロイ済アプリケーションへのアクセスの制限

詳細は、『Oracle Fusion Middleware管理者ガイド』のポートの管理に関する項を参照してください。

4.5 パスワード管理

Oracle Fusion Middleware 11gR1では、connection.xmlファイルやdata-sources.xmlファイルではなく、資格証明ストアにパスワードを格納することをお薦めします。

Oracle Platform Security ServicesのCredential Store Frameworkには、Javaベース(Java SEやJava EE)アプリケーションの資格証明をセキュアに格納して管理するメカニズムが用意されてます。これは、アプリケーションからアクセスする必要があるシステムに接続するためのアカウント情報、ユーザー名およびパスワードを格納するよう設計されています。

4.6 ロックダウン

WebLogic Security Serviceでは、強力で柔軟なソフトウェア・ツールが用意されています。これによって、サーバー・インスタンスで実行されるサブシステムおよびアプリケーションが保護されます。詳細は、『Oracle Fusion Middleware Oracle WebLogic Server本番環境の保護』のアプリケーションの保護に関する項を参照してください。

5 一般的なセキュリティ・シナリオおよびタスク

この章では、セキュリティ管理者と開発者にとって関心のある最も一般的なセキュリティ・シナリオおよびタスクについて説明します。リンクにより、概念を詳細にドリルダウンし、Oracle Fusion Middlewareにおけるセキュリティ機能を実装する方法を調査できます。

この項は、次のトピックで構成されています。

- シングル・サインオン

- 一般的なセキュリティ・タスクの概要

- タスクベースの参照

5.1 シングル・サインオン

この項では、11g リリース1(11.1.1)におけるシングル・サインオンの製品およびデプロイメント・オプションについて説明します。この項は、次のトピックで構成されています。

- シングル・サインオンのオプション

- デプロイメント・シナリオ

5.1.1 シングル・サインオンのオプション

Oracle Fusion Middlewareの11g リリース1(11.1.1)では、多くのシングル・サインオン用オプションをサポートしています。Oracle WebLogic Serverでは、Security Assertion Markup Language(SAML)およびWindowsのネイティブ認証によりシングル・サインオンがサポートされています。さらに、Oracle WebLogic Serverでは、Oracle Identity Managementの企業向け推奨シングル・サインオン・ソリューションであるOracle Access Managerとの統合に、IDアサーション・プロバイダも使用できます。これにより、顧客はニーズに応じて様々な選択肢から選択できます。

関連項目:

- 第1.2.1項「認証およびシングル・サインオンについて」

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Fusion Middlewareでのシングル・サインオンの構成に関する項

5.1.2 デプロイメント・シナリオ

この項では、11g リリース1(11.1.1)での一般的なシングル・サインオン・シナリオについて説明します。

- Oracle SOAまたはOracle WebCenter 11gの初回設定

- 既存のOracle Application ServerでのOracle SOAまたはOracle WebCenter 11gの設定

- 11g Portal、Forms、ReportsまたはDiscoverの設定

- 11g Portal、Forms、ReportsまたはDiscoverと併用するOracle SOAまたはOracle WebCenter 11gの設定

- Oracle E-Business Suiteと併用する11g Oracle Fusion Middlewareの設定

- Oracle Single Sign-OnからOracle Access Managerへの認証の委任

5.1.2.1 Oracle SOAまたはOracle WebCenter 11gの初回設定

このシナリオでは、以前のリリース10g Application Serverのデプロイメントが存在しない場合におけるOracle SOAまたはOracle WebCenter 11g リリース1(11.1.1)の初回設定を行います。

このシナリオで顧客には、以前のOracle Application Serverのデプロイメントが存在していません。推奨するシングル・サインオン・ソリューションはOracle Access Managerです。これにより、顧客はOracle Internet Directoryやその他のLDAPサーバーをユーザーおよびグループのリポジトリとして選択して使用できます。

5.1.2.2 既存のOracle Application ServerでのOracle SOAまたはOracle WebCenter 11gの設定

このシナリオでは、Oracle Internet DirectoryとOracle Single Sign-Onが使用されている既存のOracle Application Serverリリース10gのデプロイメントが存在するOracle SOAまたはOracle WebCenter 11g リリース1(11.1.1)を設定します。

顧客は、Oracle Internet Directoryをユーザーおよびグループ・リポジトリとして、Oracle Single Sign-Onを10gデプロイメントのシングル・サインオン・ソリューションとして現在使用しています。11g リリース1(11.1.1)のOracle SOAまたはOracle WebCenterデプロイメントでは、シングル・サインオンとユーザー・リポジトリについて、このOracle Internet DirectoryおよびOracle Single Sign-Onインフラストラクチャに引き続き依存します。

5.1.2.3 11g Portal、Forms、ReportsまたはDiscoverの設定

顧客に既存の10g Oracle Application Serverデプロイメントがあるかどうかにかかわらず、11g リリース1(11.1.1)Portal、Forms、ReportsおよびDiscoverは、Oracle Internet DirectoryおよびOracle Single Sign-Onのみで動作します。

5.1.2.4 11g Portal、Forms、ReportsまたはDiscoverと併用するOracle SOAまたはOracle WebCenter 11gの設定

第5.1.2.3項「11g Portal、Forms、ReportsまたはDiscoverの設定」の要件により、このシナリオでもデフォルトで、Oracle Internet DirectoryおよびOracle Single Sign-Onが推奨ソリューションとなっています。

5.1.2.5 Oracle E-Business Suiteと併用する11g Oracle Fusion Middlewareの設定

Oracle E-Business Suite 11/12は、Oracle Internet DirectoryおよびOracle Single Sign-Onと統合できます。Oracle Internet DirectoryおよびOracle Single Sign-Onをエンタープライズ・ソリューションとして使用する場合は、11g リリース1(11.1.1)Oracle Fusion Middlewareで引き続き使用できます。

5.1.2.6 Oracle Single Sign-OnからOracle Access Managerへの認証の委任

シナリオの多くがOracle Single Sign-Onをシングル・サインオン・ソリューションに指定していますが、認証をOracle Access Managerインスタンスにも委任できます。このシナリオにおいて、Oracle Single Sign-Onですべての認証リクエストをOracle Access Managerに委任することで、Oracle Access Managerをエンタープライズ・ソリューションに位置付け、Oracle Single Sign-Onと統合のみを行うコンポーネントをサポートします。これは、ブリッジ・ソリューションとも呼ばれ、Oracle Single Sign-Onが必須のすべてのシナリオに適用できます。すべての場合において、Oracle Internet Directoryをユーザーおよびグループ・リポジトリにする必要があることに注意してください。

5.2 一般的なセキュリティ・タスクの概要

表5-1は、Oracle Fusion Middleware管理者にとって最も一般的なセキュリティ・タスクと、各タスクで使用されるツールを示しています。

表5-1 一般的なセキュリティ・タスク

実行頻度

タスクの説明

ツール

注意

1回

Oracle HTTP Server、Oracle WebCache、Oracle Internet Directory、Oracle Virtual DirectoryおよびOracle WebLogic ServerでSSLを有効化します。

次のコンポーネントの場合はFusion Middleware Control

- Oracle HTTP Server

- Oracle WebCache

- Oracle Internet Directory

- Oracle Virtual Directory

Oracle WebLogic Serverの場合はKeytoolおよびWebLogic Server管理コンソール

ポリシー・ストアおよび資格証明ストアをOracle Internet Directoryに変更します。

Fusion Middleware Control、およびOracle Internet Directoryのコマンド

Oracle Access ManagerをOracle Fusion Middlewareのシングル・サインオンとして構成します。

Fusion Middleware Control

認証プロバイダを構成します。

WebLogic Server管理コンソール

Oracle Web Services Managerのキーストアを設定します。

Java keytoolユーティリティ

Oracle Web Services ManagerのOPSSログイン・モジュール(Kerberosなど)を構成します。

Fusion Middleware Control

頻繁に実行

アプリケーションのデプロイの際にアプリケーション・セキュリティを構成します。

Oracle ADFやOPSSベースのアプリケーションをデプロイする際は、Fusion Middleware Controlを使用します。

JavaEEアプリケーションをデプロイする際は、WebLogic Server管理コンソールを使用します。

アプリケーションのデプロイ後に、アプリケーション・ロールからエンタープライズ・グループへのマッピングを管理します。

Fusion Middleware ControlまたはWLST

Oracle ADFやOPSSベースのアプリケーションに適用されます。頻繁に操作する場合は、WLSTを使用してスクリプト化できます。

アプリケーションで使用される資格証明を管理します。

Fusion Middleware ControlまたはWLST

Oracle ADFやOPSSベースのアプリケーションに適用されます。頻繁に操作する場合は、WLSTを使用してスクリプト化できます。

WebサービスおよびクライアントのOracle Web Services Managerポリシーを構成します。

Fusion Middleware Control

Oracle Web Services Managerクライアント・ユーザーの資格証明をOPSS資格証明ストアで構成します。

Fusion Middleware ControlまたはWLST

Oracle Web Services ManagerポリシーをWebサービスおよびクライアントにアタッチまたはデタッチします。

監査ストアを構成します。

監査ポリシーを構成します。

ほとんどのコンポーネントの場合はFusion Middleware ControlまたはWLST

Fusion Middlewareコンポーネントの監査レポートを表示します。

Oracle Business Intelligence Publisher

5.3 タスクベースの参照

この項では、概念、管理および開発に関するトピックなど、Oracle Fusion Middlewareのセキュリティ関連ドキュメントへのリンクを示します。開発、デプロイ、管理のフローに基づいて、次の各項目にまとめています。

- 開発中のセキュリティ・タスクについての参照事項

- デプロイメントの際のセキュリティ・タスクについての参照事項

- 認証についての参照事項

- 認可についての参照事項

- SSLについての参照事項

- 監査についての参照事項

- ロギングおよび診断についての参照事項

5.3.1 開発中のセキュリティ・タスクについての参照事項

Oracle ADFでの開発

Oracle Fusion Middlewareのドキュメント・ライブラリには、ポピュラーなタスクに関する項に次の項目があります。

- ADFタスク

- セキュリティ・タスク

Oracle Platform Security Servicesでの開発

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の認証の開発に関する項

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の認可の開発に関する項

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のユーザーおよびロールAPIを使用した開発に関する項

ポートレットのセキュリティ

Oracle Fusion Middleware Oracle WebCenter開発者ガイドのWebCenterアプリケーションの保護に関する項

Oracle WebLogic Serverセキュリティのプログラミング

- 『Oracle Fusion Middleware Oracle WebLogic Serverセキュリティのプログラミング』のWebアプリケーションの保護に関する項

- 『Oracle Fusion Middleware Oracle WebLogic Serverセキュリティのプログラミング』のEnterprise JavaBeans (EJB)の保護に関する項

Oracle WebLogic Serverのセキュリティ・プロバイダの開発

- 『Oracle Fusion Middleware Oracle WebLogic Serverセキュリティ・プロバイダの開発』のWebLogic Serverのセキュリティ・プロバイダの開発の概要に関する項

- 『Oracle Fusion Middleware Oracle WebLogic Serverセキュリティ・プロバイダの開発』の認証プロバイダに関する項

- 『Oracle Fusion Middleware Oracle WebLogic Serverセキュリティ・プロバイダの開発』の認可プロバイダに関する項

Oracle Internet Directory、Oracle Directory Integration PlatformおよびOracle Single Sign-Onのアプリケーション開発

『Oracle Fusion Middleware Oracle Identity Managementアプリケーション開発者ガイド』のOracle Identity Management用アプリケーションの開発に関する項

5.3.2 デプロイメントの際のセキュリティ・タスクについての参照事項

JavaEEアプリケーションのデプロイ

- 『Oracle Fusion Middleware管理者ガイド』のJavaEEアプリケーションのデプロイ、アンデプロイおよび再デプロイに関する項

- Platform Security Servicesを使用してJavaEEアプリケーションを保護する方法

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOPSSを使用するためのJavaEEアプリケーションの手動構成に関する項

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のセキュリティ管理に関する項

- JavaEEセキュリティを使用してJavaEEアプリケーションを保護する方法

- Oracle WebLogic Server管理コンソール用オンライン・ヘルプのWebアプリケーションとEJBのセキュリティの管理に関する項

- 『Oracle Fusion Middleware Oracle WebLogic Serverセキュリティのプログラミング』のWebアプリケーションでの宣言的セキュリティの使用に関する項

- 『Oracle Fusion Middleware Oracle WebLogic Serverセキュリティのプログラミング』のEJBでの宣言的セキュリティの使用に関する項

Oracle Application Development Frameworkアプリケーションのデプロイ

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のセキュアなアプリケーションのデプロイに関する項

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアプリケーション・ロールの管理に関する項

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアプリケーション・ポリシーの管理に関する項

Oracle WebLogic ServerのWebサービスの保護

- 『Oracle Fusion Middleware Oracle WebLogic Server WebLogic Webサービスの保護』のOracle WebLogic Serverセキュリティ・ポリシーを使用するタイミングに関する項

- 『Oracle Fusion Middleware Oracle WebLogic Server WebLogic Webサービスの保護』のメッセージレベルのセキュリティの構成に関する項

- 『Oracle Fusion Middleware Oracle WebLogic Server WebLogic Webサービスの保護』のトランスポート・レベルのセキュリティの構成に関する項

SOA Webサービスの保護

- 『Oracle Fusion Middleware Web Servicesセキュリティおよび管理者ガイド』のOracle WSMポリシー・フレームワークの理解に関する項

- 『Oracle Fusion Middleware Web Servicesセキュリティおよび管理者ガイド』のWebサービスのポリシーの管理に関する項

- 『『Oracle Fusion Middleware Web Servicesセキュリティおよび管理者ガイド』のWebサービスへのポリシーのアタッチに関する項

- 『Oracle Fusion Middleware Web Servicesセキュリティおよび管理者ガイド』のポリシーの構成に関する項

ディレクトリ管理

- 『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』のOracle Internet Directoryの概要に関する項

- 『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』のOracle Virtual Directoryの管理の概要に関する項

ディレクトリ統合とプロビジョニング

- 『Oracle Fusion Middleware Oracle Directory Integration Platform管理者ガイド』のOracle Directory Integration Platformを使用した同期に関する項

- 『Oracle Fusion Middleware Oracle Directory Integration Platform管理者ガイド』のOracle Directory Integration Platformでのプロビジョニングに関する項

- 『Oracle Fusion Middleware Oracle Directory Integration Platform管理者ガイド』のサード・パーティのディレクトリとの統合に関する項

高可用性

『Oracle Fusion Middleware高可用性ガイド』のIdentity Managementコンポーネントの高可用性の構成に関する項

5.3.3 認証についての参照事項

Javaアプリケーション

- Oracle Single Sign-On: 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Single Sign-Onの構成に関する項

- Oracle Access Manager: 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Single Sign-Onの構成に関する項

Oracle Identity Federation

- Oracle Fusion Middleware Oracle Identity Federation管理者ガイドのOracle Identity Federationのデプロイに関する項

- Oracle Fusion Middleware Oracle Identity Federation管理者ガイドのOracle Identity Federationの構成に関する項

- Oracle Fusion Middleware Oracle Identity Federation管理者ガイドのサーバー管理に関する項

5.3.4 認可についての参照事項

粗密な認可

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOPSS認可とポリシー・ストアに関する項

きめ細かな認可

Oracle Fusion Middleware Oracle Entitlements Server管理者ガイドの資格セットの作成に関する項

Oracle Fusion Middleware Oracle Entitlements Server管理者ガイドのアプリケーション・ロールの作成に関する項

Oracle Fusion Middleware Oracle Entitlements Server管理者ガイドの委任アプリケーションの管理に関する項

Oracle Fusion Middleware Oracle Entitlements Server管理者ガイドの管理者ロールを使用した委任に関する項

Oracle Fusion Middleware Oracle Entitlements Server管理者ガイドのアプリケーション・リソース・タイプの管理に関する項

Oracle Fusion Middleware Oracle Entitlements Server管理者ガイドの標準検索を使用したオブジェクトの検索に関する項

Oracle Fusion Middleware Oracle Entitlements Server管理者ガイドのアプリケーション・ロールへの外部ユーザーのマッピングに関する項

Oracle Fusion Middleware Oracle Entitlements Server管理者ガイドのアプリケーション・ロールへの外部ロールのマッピングに関する項

5.3.5 SSLについての参照事項

SSL通信は、次の各層で、Oracle Fusion Middlewareコンポーネントおよびアプリケーションで使用できます。

- Web層のSSL

- 『Oracle Fusion Middleware管理者ガイド』のOracle Web CacheエンドポイントでのSSLの有効化に関する項

- 『Oracle Fusion Middleware管理者ガイド』のOracle HTTP Server仮想ホストでのSSLの有効化に関する項

- 中間層のSSL

- 『Oracle Fusion Middleware管理者ガイド』のOracle WebLogic ServerでのSSLの構成に関する項

- 『Oracle Fusion Middleware管理者ガイド』のOracle SOA SuiteでのSSLの構成に関する項

- 『Oracle Fusion Middleware管理者ガイド』のOracle WebCenterでのSSLの構成に関する項

- 『Oracle Fusion Middleware管理者ガイド』のOracle Identity and Access ManagementでのSSLの構成に関する項

- 『Oracle Fusion Middleware管理者ガイド』のOracle Reports、Forms、DiscovererおよびPortalでのSSLの有効化に関する項

- 『Oracle Fusion Middleware管理者ガイド』のアプリケーション用のクライアント側SSLに関する項

- データ層のSSL

- 『Oracle Fusion Middleware管理者ガイド』のOracle Internet DirectoryリスナーでのSSLの有効化に関する項

- 『Oracle Fusion Middleware管理者ガイド』のOracle Virtual DirectoryリスナーでのSSLの有効化に関する項

- 『Oracle Fusion Middleware管理者ガイド』のデータベースでのSSLの構成に関する項

5.3.6 監査についての参照事項

概要および管理

- Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイドにおけるOracle Fusion Middlewareの監査フレームワークの概要

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の監査の構成と管理に関する項

監査レポート

エンタープライズ・デプロイメントの場合、特にOracle Identity Managementの広範な監査機能を利用しているデプロイでは、エンタープライズ規模の専用レポート・ソリューションをデプロイすることを強くお薦めします。Oracle Business Intelligence Publisherには、大規模な運用に必要な柔軟性、自動化機能およびパフォーマンスを備えたソリューションが用意されています。

一部のOracle Identity Managementコンポーネントでは、監査イベントの追跡管理が可能なレポートを作成できます。詳細は、次のドキュメントを参照してください。

- Oracle Fusion Middleware Oracle Security Token Serviceを伴うOracle Access Manager管理者ガイドの監査レポートとOracle Business Intelligence Publisherに関する項

- Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイドのOracle Adaptive Access Managerレポート・リファレンスに関する項

- Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイドのレポート機能の使用に関する項

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の監査分析とレポートの使用に関する項

関連項目:
『Oracle Business Intelligence Publisher管理者および開発者ガイド』のOracle Business Intelligence Publisherの使用と管理に関する項

5.3.7 ロギングおよび診断についての参照事項

- 『Oracle Fusion Middleware管理者ガイド』のログ・ファイルと診断データの管理に関する項

- 『Oracle Fusion Middleware Web Servicesセキュリティおよび管理者ガイド』のOracle WSM Policy Managerによる問題の診断に関する項

索引

A  C  D  E  F  I  J  K  L  O  P  R  S  T  U  W  X

A

アクセス・ポリシー, 1.1

ADF Security

有効化, 1.1

管理コンソール, 1.3.1 アプリケーション

ライフサイクル, 1.1

対象読者, はじめに 監査, 2.3.8 監査, 1.1 認証, 1.1, 2.3.1

厳密, 1.1

認証プロバイダ, 1.2.1 認可, 1.1, 2.3.2, 2.3.2

C

一般的なセキュリティ・シナリオ, 5

Common Security Services, 2.2

一般的なセキュリティ・タスク, 5.2

機密保護, 1.1

資格証明ストア, 1.1, 2.3.3

資格証明ストア・フレームワーク, 2.3.3

D

デプロイメント・フェーズ, 1.1

開発フェーズ, 1.1

E

エンタープライズ・ロール, 2.3.2

資格, 1.1

F

フェデレーション, 2.3.1.1

I

IDアサーション・プロバイダ, 1.2.1

Identity Governance Framework, 2.2

アイデンティティ・ストア, 1.1

インフラストラクチャのセキュリティ強化, 1.1, 4.1

整合性, 1.1

J

JAAS, 1.1

Javaコンポーネント, 1.1

JavaEEセキュリティ, 3.2

K

キーストア, 1.1, 4.2

L

ロックダウン, 4.6

O

Oracle Access Manager, 1.1, 2.3.1.1

Oracle Adaptive Access Manager, 1.1

Oracle Application Development Framework, 1.1, 1.1, 3.1.1

Oracle Business Activity Monitoring, 1.2.3

Oracle Business Intelligence Publisher, 1.3.1

Oracle Directory Server Enterprise Edition, 1.1

Oracle Entitlements Server, 1.1

Oracle Fusion Middleware

アーキテクチャ, 1.3

Oracle Fusion Middleware監査フレームワーク, 2.2 Oracle Identity Analytics, 1.1 Oracle Identity Federation, 1.1 Oracle Identity Manager, 1.1 Oracle Internet Directory, 1.1 Oracle Platform Security Services, 1.1, 2, 2.3.2

概要, 1.2.2

API, 2.2

アーキテクチャ, 2.2

主な機能, 2.1.2

Oracle Security Developer Tools, 2.3.9 Oracle Security Token Service, 1.1 Oracle Single Sign-On, 2.3.1.1 Oracle SOA Suite, 1.2.3 Oracle User Messaging Service, 1.2.3 Oracle Virtual Directory, 1.1 Oracle Wallet, 1.1, 4.2 Oracle Web Services Manager, 1.1 Oracle WebCenter, 1.2.4 Oracle WebLogic Scripting Tool, 1.3.1

P

パートナ・アプリケーション, 1.1

パスワード管理, 4.5

ポリシーAPI, 2.3.5

ポリシー・ストア, 2.3.5

ポートと環境の管理, 4.4

プロバイダ, 1.2.1

R

参照事項, 5.3

関連ドキュメント, はじめに

S

セキュリティ

範囲, 1.2

Security Assertions Markup Language, 1.1 セキュリティ・サービス・プロバイダ・インタフェース, 1.2.2 セキュリティ・タスク, 5 シングル・サインオン, 1.1, 2.3.6 シングル・サインオン

オプション, 5.1.1

シナリオ, 5.1.2

SOAコンポジット, 1.2.3 SSL, 2.3.7, 4.3

構成ツール, 4.3

ストア

資格証明, 1.1, 2.3

アイデンティティ, 1.1, 2.3

ポリシー, 2.3

システム・コンポーネント, 1.1

T

用語集, 1.1

サード・パーティ・アプリケーション・サーバー, 2.2

U

ユーザーおよびロールAPI, 2.3.4

W

Webサービス・セキュリティ, 1.1

Windowsのネイティブ認証, 2.3.1.1

X

XACML, 1.1

Copyright © 2001, 2011, Oracle and/or its affiliates. All rights reserved.