| Oracle Database Gateway for APPCインストレーションおよび構成ガイド 11gリリース1（11.1） for AIX 5L Based Systems（64-Bit）, HP-UX PA-RISC（64-Bit）, Solaris Operating System（SPARC 64-Bit）, and Linux x86 E05711-01 |
|
 戻る |
 次へ |
| Oracle Database Gateway for APPCインストレーションおよび構成ガイド 11gリリース1（11.1） for AIX 5L Based Systems（64-Bit）, HP-UX PA-RISC（64-Bit）, Solaris Operating System（SPARC 64-Bit）, and Linux x86 E05711-01 |
|
戻る |
次へ |
ゲートウェイ・アーキテクチャには、複数のシステム、データベース・サーバーおよび通信機能が関与し、それぞれ別のセキュリティ機能と制約があります。セキュリティ方式を効果的に計画して実行するには、インストールした環境のセキュリティ要件を知るだけでなく、それらの機能と制約も理解する必要があります。
Oracle Database Gateway for APPCの機能と制約を把握するには、この章を熟読してください。この章に含まれる項は、次のとおりです。
セキュリティ方式を実装する前に、ご利用の環境の既存のセキュリティ要件とセキュリティ目標を理解する必要があります。異なったシステム上の異なったデータベースへのアプリケーション・アクセスを可能にするためには、複数のセキュリティ文化をマージする必要があることがあります。いくつかの異なるシステムを接続してすべてを1つのものとして動作させる場合、最も厳しいセキュリティ要件を持つシステムが、他のシステムでできることとできないことを規定するのが通例です。
特定のゲートウェイ・インスタンスやOLTPへのアクセスが許可されているユーザーとアプリケーション
ユーザーとアプリケーションが実行可能なOLTPトランザクション
ゲートウェイ・アーキテクチャではいくつかの箇所でアクセスを制御することができます。いくつかの主要なオプションについて、後述の各項で説明します。リモート・トランザクション・プログラムのアクセスに関する制御は、ユーザーIDに基づくネイティブの認証メカニズムを使用して各OLTPが提供します。これらの機能についてはOLTPの製品マニュアルで説明されています。この章の情報には、特定のOLTP接続で有効なユーザーIDをゲートウェイ機能が決定する方法も含まれます。
ゲートウェイがRPCリクエストに関係している場合、セキュリティ・メカニズムは、ゲートウェイが遭遇する各システム・コンポーネントで有効です。最初に遭遇するシステム・コンポーネントは、アプリケーション・ツールまたは第三世代言語（3GL）プログラムです。最後に遭遇するシステム・コンポーネントはOLTPです。
次の各項では、コンポーネントと、そのコンポーネントで使用可能なセキュリティ処理のタイプを特定します。各項には、鍵機能とパラメータの要点もあります。Oracle製品および非Oracle製品の非ゲートウェイ・コンポーネントに関する詳細情報は、製品ごとの資料を参照します。
アプリケーションは、ゲートウェイを使用する前にOracleデータベースに接続する必要があります。使用するログオン認証のタイプにより、結果としてOracleユーザーIDが決まり、ゲートウェイの動作にも影響します。
Oracle認証の場合、各OracleユーザーIDには関連付けられたパスワードがあり、Oracleはそれを認識できます。アプリケーションは、サーバーに接続すると、ユーザーIDとパスワードを入力します。OracleはそのユーザーIDが存在し、パスワードがデータベースに格納されているものに一致していることを確認します。
オペレーティング・システム認証の場合、基礎となるサーバーのオペレーティング・システムが認証を担当します。オペレーティング・システム認証では、IDENTIFIED EXTERNALLY属性をパスワードのかわりにして作成されたOracleユーザーIDにアクセスが行われます。そのようなユーザーIDでログオンするには、アプリケーションはユーザーIDとしてスラッシュ（/）を入力し、パスワードは入力しません。
オペレーティング・システム認証を実行するには、サーバーがリクエスト元オペレーティング・システムのユーザーIDを決定し、オプションでそれに固定の接頭辞を追加して、その結果をOracleユーザーIDとして使用します。サーバーは、ユーザーIDが存在してIDENTIFIED EXTERNALLYであることを確認しますが、パスワードはチェックしません。基本的想定は、ユーザーはオペレーティング・システムにログオンする際に認証されるということです。
オペレーティング・システム認証はすべてのプラットフォーム上で使用できるわけではなく、一部のOracle Net（クライアント・サーバー）およびマルチスレッド・サーバー構成では使用できません。使用する構成でこの機能が利用できるかどうかについては、プラットフォームごとのOracleデータベースのマニュアルと『Oracle Database Net Services管理者ガイド』を参照してください。
アプリケーション・ログオンの認証に関する詳細は、『Oracle Database管理者ガイド』を参照してください。
次の項では、TCP/IPまたはSNA通信プロトコルを使用しているゲートウェイのユーザーの場合のデータベース・リンクについて説明します。
データベース・リンクの最初の制御点は、単に指定されたユーザーにアクセスできるかどうかです。パブリック・データベース・リンクは、任意のユーザーIDが使用できます。プライベート・データベース・リンクは、作成したユーザーだけが使用できます。データベース・リンクを使用できるかどうかは、ゲートウェイに対するセッションをオープンできるかどうかによって決まります。Oracleデータベースは使用タイプ（読取り専用か、更新または書き込み可能かなど）や、アクセスできるリモート・オブジェクトを区別しません。これらの区別はアクセス先のOLTPが担当します。
CONNECT句は、また別のデータベース・リンクのセキュリティ関連属性です。CONNECT句を使用して、明示的なユーザーIDとパスワード（OracleユーザーIDおよびパスワードとは異なる）を指定することができます。このCONNECTユーザーIDとパスワードの組合せは、データベース・リンク接続が最初にオープンされるときにゲートウェイに送信されます。ゲートウェイ固有のオプションにより異なりますが、ゲートウェイはそのユーザーIDおよびパスワードを、検証対象のOLTPに送信することがあります。
データベース・リンクがOracle認証を使用して、CONNECT句なしで作成された場合、ユーザーのOracleユーザーIDおよびパスワードは、接続がオープンされたときにゲートウェイに送信されます。ユーザーがオペレーティング・システム認証でOracleデータベースにログオンする場合、ゲートウェイはOracleデータベースからユーザーIDやパスワードを受け取りません。オペレーティング・システムによって認証されたOracleユーザーは、CONNECT句なしで定義されたゲートウェイ・データベース・リンクを使用できません。ただし、ユーザーが接続に使用するゲートウェイのLU名に基づいたユーザーIDマッピング機能がOLTPによって提供されている場合は、同一のゲートウェイ・インスタンス上のすべてのユーザーが、同一のOLTPユーザーIDを使用できれば、そのような接続が可能です。
データベース・リンクの詳細は、『Oracle Database管理者ガイド』を参照してください。
14.4項の説明は、SNA通信プロトコルを使用しているゲートウェイ・ユーザーのセキュリティ・ニーズにのみ該当します。ゲートウェイがRPCリクエストを受信してリモート・トランザクション・プログラムを起動する場合、OLTPとのAPPC対話を起動しようと試みます。対話を開始できるのは、プラットフォームの論理ユニット（LU）とOLTP LUの間でセッションが開始されてからです。
使用するプラットフォーム用のAPPCサポートは、SNA通信パッケージ（SNAP-IX for Solarisオペレーティング・システム（SPARC）、SNAPlus2 for HP-UXおよびAIXベースのシステム）によって提供されます。
SNAおよび各種のアクセス・メソッド実装（使用するプラットフォーム用のVTAM、SNA通信パッケージなど）には、セッション開始時セキュリティ検証機能があり、各LUでそのパートナを認証することができます。検証は、ゲートウェイとOLTPのアプリケーション・プログラムが対話を開始し、対話レベルのセキュリティ・データを処理する前に、ネットワーク・ソフトウェアにより完全実行されます。セッション・レベル・セキュリティを使用する場合、使用するプラットフォームのSNAプロファイル、およびアクセスされるOLTP内の類似のパラメータ構造で、正確なパスワード情報が確立される必要があります。詳細情報は、各通信ソフトウェア製品のマニュアルを参照してください。
ゲートウェイ初期化ファイルのPGA_SECURITY_TYPEパラメータを使用すると、OLTPとの間に割り当てられるLU6.2対話のセキュリティ動作を決定する3つのオプションから1つを指定することができます。このオプションはSNA LU6.2アーキテクチャに含まれますが、その正確な動作は個別のOLTPシステムにより異なることがあります。
PGA_SECURITY_TYPE=NONEを指定すると、ゲートウェイはクライアントのユーザーIDとパスワードを処理しません。対話には、SNAオプションSECURITY=NONEが割り当てられます。
PGA_SECURITY_TYPE=PROGRAMを指定すると、ゲートウェイにより対話にSNAオプションSECURITY=PROGRAMが割り当てられ、次の情報がOLTPに送信されます。
TIPユーザーIDおよびパスワードのオーバーライドを使用する場合、指定されたユーザーIDおよびパスワードが、データベース・リンク仕様に関係なく送信されます。
データベース・リンクにCONNECT句がない場合、アプリケーションが明示的なユーザーIDとパスワードを使用してOracleにログオンすると、OracleユーザーIDおよびパスワードが送信されます。
アプリケーションがオペレーティング・システム認証でOracleにログオンする場合で、データベース・リンクに明示的なCONNECT情報がないときは、ユーザーIDとパスワードは送信されません。ユーザーIDとパスワードが送信されない場合で、デフォルト・ユーザーIDを割り当てるようにOLTPが構成されていないときは、接続は失敗します。
一般に、SNAオプションSECURITY=PROGRAMを指定すると、OLTPは、使用できるいずれかの認証メカニズムを使用してユーザーIDとパスワードの組合せを認証します。たとえば、CICS Transaction Server for z/OSがOLTPの場合、RACFを使用できます。しかし、常にそうなるとはかぎりません。各OLTPが、インバウンドのユーザーIDを他の方法で処理するように構成されている可能性があります。
f you specify PGA_SECURITY_TYPE=SAMEを指定すると、ゲートウェイは対話にSNAオプションSECURITY=SAMEを割り当て、パスワードなしでユーザーIDのみをOLTPに送信します。この場合、SNA通信パッケージはゲートウェイ・サーバー実行可能ファイルの所有者ユーザーID、ORACLE_HOME/bin/pg4asrvをユーザーIDとして送信します。送信されるユーザーIDはOracleユーザーIDではありません。正規ユーザーは、このユーザーIDをUNIXのlsコマンドで表示し、chownコマンドで変更することができます。このユーザーIDは指定されたゲートウェイ・インスタンスのすべてのユーザーに対して同一なので、このオプションの用途は限定されています。
SECURITY=SAMEプラットフォーム・オペレーティング・システム認証に類似しています。この場合、OLTPは、ユーザーが対話の開始側ですでに認証されたていると通知されます。SECURITY=SAMEの対話が許可されているかどうかに影響を与えるサーバー側の構成パラメータまたはオプションがある可能性があります。正しく構成されると、OLTPはただユーザーIDが有効であることを確認して接続を受け入れます。SECURITY=PROGRAMの場合と同様に、これは多くのOLTPで変更可能です。
この項のセキュリティ情報は、TCP/IP for IMS Connectを使用しているOracle Database Gateway for APPCのユーザーにのみ該当します。ゲートウェイがRPCリクエストを受信してリモート・トランザクション・プログラムを起動する際、IMS ConnectとのTCP/IP対話を起動しようと試みます。IMS ConnectはOTMAとXCFを介してOLTP（IMS）に接触します。詳細はIBM社の『IMS Connect Guide and Reference』を参照してください。ゲートウェイとIMS Connectの間の対話は、ネットワークがTCP/IPアドレスまたはホスト名とポート番号を使用してゲートウェイからIMS Connectに接続する場合に発生します。
IMS Connectはセッション開始時検証機能を提供し、各接続でそのパートナの認証を可能にします。検証は、ゲートウェイと、IMSのOLTPアプリケーション・プログラムが対話を開始し、対話レベルのセキュリティ・データを処理する前に、ネットワーク・ソフトウェアにより完全実行されます。セッション・レベル・セキュリティを使用する場合、使用するプラットフォーム、およびアクセスされるOLTP内の類似のパラメータ構造で、正確なパスワード情報が確立される必要があります。
ゲートウェイ初期化ファイルのPGA_SECURITY_TYPEパラメータを使用すると、OLTPのゲートウェイによって割り当てられる対話のセキュリティ動作を指定できます。付録B「TCP/IP通信プロトコルでのゲートウェイ初期化パラメータ」を参照してください。
PGA_SECURITY_TYPE=NONEを指定すると、ゲートウェイはクライアントのユーザーIDとパスワードを処理しません。
PGA_SECURITY_TYPE=PROGRAMを指定すると、次の情報がOLTPに送信されます。
TIPユーザーIDおよびパスワードのオーバーライドを使用する場合、指定されたユーザーIDおよびパスワードが、データベース・リンク仕様に関係なく送信されます。
データベース・リンクにCONNECT句がない場合、アプリケーションが明示的なユーザーIDとパスワードを使用してOracleにログオンすると、OracleユーザーIDおよびパスワードが送信されます。
アプリケーションがオペレーティング・システム認証でOracleにログオンする場合で、データベース・リンクに明示的なCONNECT情報がないときは、ユーザーIDとパスワードは送信されません。ユーザーIDとパスワードが送信されない場合で、デフォルト・ユーザーIDを割り当てるようにOLTPが構成されていないときは、接続は失敗します。
TCP/IP for IMS Connectを使用するOracle Database Gateway for APPCがIMS Connectと対話する場合、RACFが、使用できる唯一の認証メカニズムです。
