4 Java クライアントでの JAAS 認証の使用

この節では、以下の内容について説明します。

• JAAS と WebLogic Server

• JAAS 認証の開発環境

• JAAS 認証を使用するクライアント アプリケーションの作成

• JNDI 認証の使い方

• Java クライアントの JAAS 認証サンプル コード

これらの節で参照するサンプル コードは、WebLogic Server 配布キットの次の場所から入手できます。

SAMPLES_HOME\server\examples\src\examples\security\jaas

jaas ディレクトリには、instructions.html ファイル、ant ビルド ファイル、sample_jaas.config ファイル、および以下の Java ファイルが含まれています。

• BaseClient.java

• BaseClientConstants.java

• SampleAction.java

• SampleCallbackHandler.java

• SampleClient.java

• TradeResult.java

• TraderBean.java

以降の説明は、実際のサンプルを見ながら読み進めてください。

JAAS と WebLogic Server

Java Authentication and Authorization Service (JAAS) は、Java EE Development Kit 5.0 のセキュリティに対する標準拡張です。JAAS では、ユーザの ID に基づいてアクセス制御を実行できます。JAAS は、JNDI 認証メカニズムの代わりとして WebLogic Server で提供されています。

WebLogic Server クライアントは、標準の JAAS の認証部分だけを利用します。JAAS LoginContext は、コンフィグレーションされているすべての認証プロバイダの LoginModule インスタンスを順番どおりに実行し、コンフィグレーションされている各プロバイダの完了ステータスの管理を行います。

Java クライアントに対して JAAS 認証を使用する場合は、次のことに注意してください。

• WebLogic Server クライアントは認証に JNDI ログインを使うことも JAAS ログインを使うこともできるが、JAAS ログインのほうが望ましい。

• JAAS は認証方式として望ましい選択肢だが、WebLogic 提供の LoginModule (weblogic.security.auth.login.UsernamePasswordLoginModule) はユーザ名とパスワードの認証しかサポートしていない。したがって、クライアントの証明書認証 (双方向 SSL 認証ともいう) では JNDI を使用します。クライアントの証明書認証に JAAS を使用するには、証明書の認証を行うカスタム LoginModule を記述する必要があります。

  
  

  注意 : WebLogic Server クライアントで使用する LoginModule を自分で作成する場合は、weblogic.security.auth.Authenticate.authenticate() を呼び出してログインを実行するように記述します。

  
  

• リモートの Java クライアントから JAAS ログインを実行する (つまり、Java クライアントが WebLogic Server クライアントではない) 場合には、WebLogic 提供の LoginModule をログインの実行に使用できる。ただし、WebLogic 提供の LoginModule を使用せずに自分で作成することを選択した場合は、weblogic.security.auth.Authenticate.authenticate() メソッドを呼び出してログインを実行するように記述する必要があります。

• Security Assertion Markup Language (SAML) などリモートまたは境界のログイン システムを使用する場合は、weblogic.security.auth.Authenticate.authenticate() を呼び出す必要はない。WebLogic Server を使用してログインを実行する場合は、authenticate() メソッドを呼び出すだけで済みます。

  
  

  注意 : WebLogic Server は、JAAS 認証に対して完全なコンテナ サポートを提供し、アプリケーション コードにおける JAAS の認証と認可の完全な使用をサポートしています。

  
  

• WebLogic Server では、ログインの実行に JAAS が呼び出される。LoginModule は各認証プロバイダに含まれています。これは、JNDI または JAAS を介しての Java クライアントのログインだけでなく、サーブレットのログインについても当てはまります。WebLogic Server が JAAS ログオンを実行するために内部で呼び出すメソッドは、weblogic.security.auth.Authentication.authenticate() です。認証クラスを使用する場合、ヘルパー クラスとしては weblogic.security.SimpleCallbackHandler が有用であると考えられます。

• WebLogic Server は JAAS 認可を使用してリソースを保護することはしないが (WebLogic セキュリティを使用)、アプリケーション コードで JAAS 認可を使用してアプリケーションの独自のリソースを保護することはできる。

JAAS の詳細については、JAAS のドキュメント (http://java.sun.com/products/jaas/reference/docs/index.html) を参照してください。

JAAS 認証の開発環境

クライアントがアプリケーション、アプレット、エンタープライズ JavaBean (EJB)、または認証が必要なサーブレットのどれであるかに関係なく、WebLogic Server は JAAS のクラスを使用して安全かつ確実にそのサーバに対して認証を行います。JAAS は、プラグイン可能な認証モジュール (PAM) フレームワークの Java バージョンを実装します。このフレームワークにより、アプリケーションは基底の認証技術から独立することができます。このため、PAM フレームワークを利用することで、Java アプリケーションに修正を加えることなく新しいまたは最新版の認証技術を使用することができます。

WebLogic Server は、リモートの Java クライアントの認証および内部の認証で JAAS を使用します。したがって、JAAS に直に関与する必要があるのは、カスタム認証プロバイダの開発者と Java クライアント アプリケーションの開発者だけです。Web ブラウザ クライアントのユーザまたはコンテナ内の Java クライアント アプリケーション (サーブレットから EJB を呼び出すものなど) の開発者は、JAAS を直接使用したり、その知識を身につけたりする必要はありません。

注意 : WebLogic クライアントでセキュリティを実装するためには、Java クライアントで WebLogic Server ソフトウェア配布キットをインストールする必要があります。

この節では、以下の内容について説明します。

• JAAS 認証 API

• JAAS クライアント アプリケーション コンポーネント

• WebLogic LoginModule 実装

JAAS 認証 API

WebLogic Server で JAAS 認証を使用する Java クライアントを実装するには、Java EE アプリケーション プログラミング インタフェース (API) と WebLogic API を組み合わせて使用します。

表 4-1 では、JAAS 認証の実装に使用される Java API パッケージについて説明します。表 4-1 の情報は Java API のマニュアルから取られており、WebLogic Server 固有の情報がコメントで追加されています。Java API の詳細については、http://java.sun.com/javase/6/docs/api/index.html および http://java.sun.com/javaee/5/docs/api の Javadoc を参照してください。

表 4-1 では、JAAS 認証の実装に使用される WebLogic API について説明します。詳細については、「WebLogic クラスの Javadoc」を参照してください。

表 4-1 Java JAAS API

Java JAAS API	説明
javax.security.auth.Subject (http://java.sun.com/javase/6/docs/api/index.html)	Subject クラスは、リクエストのソースを表し、個々のユーザでもグループでも使用できる。Subject オブジェクトは、サブジェクトのログインが正常に完了した後でのみ作成される。
javax.security.auth.login.LoginContext (http://java.sun.com/javase/6/docs/api/index.html)	LoginContext クラスは、Subject の認証に使用される基本メソッドを記述し、基底の認証テクノロジから独立したアプリケーションを開発する方法を提供する。Configuration では、特定のアプリケーションで使用する認証テクノロジまたは LoginModule を指定する。したがって、アプリケーション自体を変更せずに、異なる LoginModule をアプリケーションに組み込むことができる。 呼び出し側は、LoginContext をインスタンス化した後、login メソッドを呼び出して Subject を認証する。この login メソッドは、呼び出し側で指定した名前についてコンフィグレーションされた LoginModule の各々からの login メソッドを呼び出す。 login メソッドが例外を送出することなく返れば、認証は総合的に成功したことになる。呼び出し側はその後、getSubject メソッドを呼び出すことによって、新しく認証された Subject を取得できる。Subject と関連付けられたプリンシパルおよび資格は、Subject の getPrincipals、getPublicCredentials、および getPrivateCredentials メソッドをそれぞれ呼び出すことで取得できる。 Subject をログアウトさせるには、呼び出し側から logout メソッドを呼び出すだけでよい。login メソッドの場合と同じく、この logout メソッドはこの LoginContext についてコンフィグレーションされた各 LoginModule に対し logout メソッドを呼び出す。 このクラスの実装サンプルについては、コード リスト 4-3 を参照。
javax.security.auth.login.Configuration (http://java.sun.com/javase/6/docs/api/index.html)	これは、アプリケーションにおける LoginModule のコンフィグレーションを表す抽象クラスである。Configuration では、特定のアプリケーションについて、使用する LoginModule、および LoginModule を呼び出す順番を指定する。この抽象クラスは、実際のコンフィグレーションを読み取ってロードする実装を提供するようサブクラス化する必要がある。 WebLogic Server では、このクラスの代わりにログイン コンフィグレーション ファイルを使用する。サンプルのコンフィグレーション ファイルについては、コード リスト 4-2 を参照。デフォルトでは、WebLogic Server はコンフィグレーション ファイルから読み取りを行う、Sun Microsystems, Inc. によるコンフィグレーション クラスを使用する。
javax.security.auth.spi.LoginModule (http://java.sun.com/javase/6/docs/api/index.html)	LoginModule は、認証テクノロジ プロバイダによって実装されるインタフェースを記述する。LoginModule は、特定のタイプの認証を提供するためにアプリケーションに組み込まれる。 アプリケーション開発者は LoginContext API に書き込み、API 認証テクノロジ プロバイダは LoginModule インタフェースを実装する。Configuration では、特定のログイン アプリケーションで使用する LoginModule を指定する。したがって、アプリケーション自体を変更せずに、異なる LoginModule をアプリケーションに組み込むことができる。 注意 : WebLogic Server は、LoginModule の実装 (weblogic.security.auth.login. UsernamePasswordLoginModule) を提供する。WebLogic Server の Java クライアントでは、この JAAS 認証の実装の使用が望ましいが、独自の LoginModule を開発することも可能。
javax.security.auth. callback.Callback (http://java.sun.com/javase/6/docs/api/index.html)	このインタフェースの実装は CallbackHandler に渡される。それにより、基底のセキュリティ サービスは呼び出し側アプリケーションと対話して、ユーザ名やパスワードなど特定の認証データを取得したり、エラーや警告メッセージなど特定の情報を表示できるようになる。 Callback 実装では、基底のセキュリティ サービスによって要求された情報の取得または表示は行わない。Callback 実装は、単にそのようなリクエストをアプリケーションに渡す手段と、アプリケーションが要求された情報を基底のセキュリティ サービスに返す手段を提供する。
javax.security.auth. callback.CallbackHandler (http://java.sun.com/javase/6/docs/api/index.html)	アプリケーションは、CallbackHandler を実装し、それを基底のセキュリティ サービスに渡すことで、それらのサービスがアプリケーションと対話してユーザ名やパスワードなど特定の認証データを取得したり、エラーや警告メッセージなど特定の情報を表示したりできるようにする。 CallbackHandler は、アプリケーションに依存する形で実装される。 基底のセキュリティ サービスは、個々の Callbacks を CallbackHandler に渡すことによってさまざまなタイプの情報に対するリクエストを行う。CallbackHandler 実装は、渡された Callbacks に応じて情報を取得したり表示したりする方法を決定する。たとえば、基底のサービスがユーザを認証するためにユーザ名とパスワードを必要としていれば、NameCallback および PasswordCallback を使用する。その後、CallbackHandler は逐次的にユーザ名およびパスワードの入力を求めるか、または単一のウィンドウで両方の入力を求めるかを選択できる。

表 4-2 WebLogic JAAS API

WebLogic JAAS API	説明
weblogic.security.auth.Authenticate	ユーザ資格の認証に使用される認証クラス。 LoginModule の WebLogic Server 実装 (weblogic.security.auth.login. UsernamePasswordLoginModule) では、このクラスを使用してユーザを認証し、Principals を Subject に追加する。LoginModule を記述した場合は、同じ目的でこのクラスを使用する必要がある。
weblogic.security.auth.Callback.ContextHandlerCallback	基底のセキュリティ サービスでは、このクラスを使用して ContextHandlerCallback をインスタンス化し、CallbackHandler の invokeCallback メソッドに渡して、このセキュリティ操作に関係する ContextHandler を取得する。この操作に ContextHandler が関連付けられていない場合は、javax.security.auth.callback.UnsupportedCallbackexception が送出される。 このコールバックによって、ContextHandler が LoginModule.login() メソッドに渡される。
weblogic.security.auth.Callback.GroupCallback	基底のセキュリティ サービスでは、このクラスを使用して GroupCallback をインスタンス化し、CallbackHandler の invokeCallback メソッドに渡して、グループ情報を取得する。
weblogic.security.auth.Callback.URLCallback	基底のセキュリティ サービスでは、このクラスを使用して URLCallback をインスタンス化し、CallbackHandler の invokeCallback メソッドに渡して、URL 情報を取得する。 Login Module の WebLogic Server 実装 (weblogic.security.auth.login. UsernamePasswordLoginModule) ではこのクラスを使用する。 注意 : アプリケーション開発者は、URL 情報の取得にこのクラスを使用すべきではない。代わりに、weblogic.security.URLCallbackHandler を使用する。
weblogic.security.Security	このクラスは WebLogic Server クライアントの runAs メソッドを実装する。クライアント アプリケーションは、実行する PrivilegedAction または PrivilegedExceptionAction と Subject ID を、runAs メソッドを使用して関連付ける。 サンプルの実装については、コード リスト 4-5 を参照。
weblogic.security.URLCallbackHandler	アプリケーション開発者が username、password、および URL を返すために使用するクラス。アプリケーション開発者は、このクラスを使用して URLCallback を処理し、URL 情報を取得する。

JAAS クライアント アプリケーション コンポーネント

JAAS 認証クライアント アプリケーションには、少なくとも以下のコンポーネントが含まれます。

• Java クライアント

  Java クライアントは LoginContext オブジェクトをインスタンス化し、オブジェクトの login() メソッドを呼び出すことでログインを呼び出します。login() メソッドは LoginModule 内のメソッドを呼び出して、ログインおよび認証を実行します。

  LoginContext はまた、新しい空の javax.security.auth.Subject オブジェクト (認証されているユーザまたはサービスを表す) をインスタンス化し、コンフィグレーションされた LoginModule を作成し、それをこの新しい Subject および CallbackHandler で初期化します。

  LoginContext は、その後 LoginContext の getSubject メソッドを呼び出すことで、認証されたサブジェクトを取得します。LoginContext は weblogic.security.Security.runAs() メソッドを使って、ユーザ ID に代わって実行される PrivilegedAction または PrivilegedExceptionAction と Subject の ID を関連付けます。

• LoginModule

  LoginModule は CallbackHandler を使用して、ユーザ名およびパスワードを取得し、そのユーザ名とパスワードが要求どおりのものであるかどうかを判別します。

  認証に成功すると、LoginModule は、ユーザを表すプリンシパルをサブジェクトに格納します。LoginModule がサブジェクトに格納するプリンシパルは Principal のインスタンスであり、java.security.Principal インタフェースを実装するクラスです。

  LoginModule ファイルは、ユーザ名およびパスワードの認証や証明書の認証など、さまざまなタイプの認証を実行するように記述できます。クライアント アプリケーションに含める LoginMdule は、1 つ (最低要件) でも複数でもかまいません。

  
  

  注意 : WebLogic Server アプリケーションで JAAS javax.security.auth.Subject.doAs メソッドを使用する場合、サブジェクトとクライアント アクションは関連付けられません。doAs メソッドを使用して WebLogic Server アプリケーションに Java EE セキュリティを実装することは可能ですが、この場合でも Security.runAs() メソッドを使用する必要があります。

  
  

• Callbackhandler

  CallbackHandler は、javax.security.auth.callback.CallbackHandler インタフェースを実装します。LoginModule は、CallbackHandler を使って、ユーザと対話し、ユーザ名やパスワードなどの要求された情報を取得します。

• コンフィグレーション ファイル

  このファイルでは、アプリケーションで使用する LoginModule をコンフィグレーションします。LoginModule の場所と、複数の LoginModule がある場合は、実行する順番を指定します。このファイルを使うと、Java アプリケーションは LoginModule を使って定義および実装される認証テクノロジから独立を保つことができます。

• アクション ファイル

  このファイルでは、クライアント アプリケーションが実行する処理を定義します。

• ant 構築スクリプト (build.xml)

  このスクリプトは、アプリケーションに必要なすべてのファイルをコンパイルし、それらを WebLogic Server のアプリケーション ディレクトリにデプロイします。

ここで説明しているコンポーネントを実装する完全な実践的 JAAS 認証クライアントについては、WebLogic Server で提供されている SAMPLES_HOME\server\examples\src\examples\security\jaas ディレクトリの JAAS サンプル アプリケーションを参照してください。

JAAS 認証の基本の詳細については、Sun の『JAAS Authentication Tutoria』(http://java.sun.com/javase/6/docs/technotes/guides/security/jaas/tutorials/GeneralAcnOnly.html) を参照してください。

WebLogic LoginModule 実装

LoginModule クラス (UsernamePasswordLoginModule.class) の WebLogic 実装は、WebLogic Server 配布キットにおいて、WL_HOME\server\lib ディレクトリの weblogic.jar ファイルで提供されています。

注意 : WebLogic Server は、JAAS で定義されているすべてのコールバックのタイプだけではなく、JAAS 仕様を拡張するコールバックのタイプもすべてサポートしています。

WebLogic Server の UsernamePasswordLoginModule は、実行に先立ってシステム ユーザの認証定義が存在するかどうかを調べ、すでに定義されている場合は何も行いません。

JAAS LoginModule の実装の詳細については、『LoginModule Developer's Guide』(http://java.sun.com/javase/6/docs/technotes/guides/security/jaas/JAASLMDevGuide.html) を参照してください。

JVM 全体のデフォルトユーザと runAs() メソッド

LoginModule の WebLogic Server 実装 (weblogic.security.auth.login.UsernamePasswordLoginModule) を初めて使用してログインすると、指定されたユーザが JVM (Java 仮想マシン) に対するマシン全体のデフォルト ユーザとなります。weblogic.security.Security.runAs() メソッドを実行すると、このメソッドは指定された Subject と現在のスレッドのアクセス パーミッションを関連付けてから、アクションを実行します。指定された Subject が特権を持たないユーザ (グループに割り当てられていないユーザは特権を持たないと見なされる) を表している場合、JVM 全体のデフォルト ユーザが使用されます。したがって、runAs() メソッドでは必要な Subject を指定することが重要です。それには、以下のオプションがあります。

• オプション 1 : クライアントが main() の制御を持つ場合は、コード リスト 4-1 で示されているラッパー コードをクライアント コードで実装します。

• オプション 2 : クライアントが main() の制御を持たない場合、コード リスト 4-1 に示したラッパー コードを各スレッドの run() メソッドに実装します。

コード リスト 4-1 runAs() メソッドのラッパー コード

import java.security.PrivilegedAction;
import javax.security.auth.Subject;
import weblogic.security.Security;

public class client
{
  public static void main(String[] args)
  {
  Security.runAs(new Subject(),
    new PrivilegedAction() {
       public Object run() {
       //
       //クライアント コードに実装する場合、main() はここに記述する
       //
       return null;
       }
    });
  }
}

JAAS 認証を使用するクライアント アプリケーションの作成

WebLogic Server Java クライアントにおいて JAAS を使ってサブジェクトを認証するには、以下の手順を実行します。

1. WebLogic Server で使用する認証メカニズム用の LoginModule クラスを実装します。認証メカニズムのタイプごとに LoginModule クラスが必要です。1 つの WebLogic Server デプロイメントに対して複数の LoginModule クラスを割り当てることができます。

   
   

   注意 : ユーザ名およびパスワードの認証には、WebLogic Server 提供の LoginModule の実装 (weblogic.security.auth.login.UsernamePasswordLoginModule) を使用することをお勧めします。ユーザ名およびパスワードの認証用に自分で LoginModule を作成することもできます。しかし、WebLogic Server の LoginModule を修正して再利用しようとはしないでください。LoginModule を自分で作成する場合は、ログインを実行するために weblogic.security.auth.Authenticate.authenticate() メソッドを呼び出すように記述します。SAML などのリモート ログイン メカニズムを使用している場合は、authenticate() メソッドを呼び出す必要はありません。WebLogic Server を使用してログインを実行する場合は、authenticate() を呼び出すだけで済みます。

   
   

   weblogic.security.auth.Authenticate クラスは、表 4-1 で説明されているように初期コンテキストとして JNDI Environment オブジェクトを使用します。

2. LoginModule がユーザと対話し、ユーザ名、パスワード、URL などの要求された情報を取得するために使用する CallbackHandler クラスを実装します。URL には WebLogic クラスタの URL も指定でき、その場合クライアント側でサーバのフェイルオーバによるメリットを得られます。WebLogic Server 配布キットには、JAAS クライアント サンプルで使用する SampleCallbackHandler が含まれています。SampleCallbackHandler.java コードは開発キットとして SAMPLES_HOME\server\examples\src\examples\security\jaas ディレクトリに含まれています。

   
   

   注意 : 独自の CallbackHandler クラスを実装する代わりに、WebLogic 提供による 2 つの CallbackHandler クラス、すなわち weblogic.security.SimpleCallbackHandler または weblogic.security.URLCallbackHandler のいずれかを使用できます。詳細については、「WebLogic クラスの Javadoc」を参照してください。

   
   

3. WebLogic Server で使用する LoginModule クラス、および LoginModule クラスを呼び出す順序を指定するコンフィグレーション ファイルを記述します。WebLogic Server 配布キットで提供される JAAS クライアントのサンプルで使用されるサンプル コンフィグレーション ファイルについては、コード リスト 4-2 を参照してください。

コード リスト 4-2 sample_jaas.config のサンプル コード

/**JAAS サンプル アプリケーション用のログイン コンフィグレーション**/
Sample {
    weblogic.security.auth.login.UsernamePasswordLoginModule
            required debug=false;
};

1. Java クライアントにおいて、LoginContext をインスタンス化するコードを記述します。LoginContext は、コンフィグレーション ファイル sample_jaas.config を調べて、WebLogic Server 用にコンフィグレーションされているデフォルトの LoginModule をロードします。LoginContext のインスタンス化の例については、コード リスト 4-3 を参照してください。

   
   

   注意 : ID アサーション プロバイダや WebLogic Server のリモート インスタンスなどの他の手段を使ってユーザを認証する場合には、デフォルト LoginModule はリモート ソースによって決定されます。

   
   

コード リスト 4-3 LoginContext のコードの一部分

...
import javax.security.auth.login.LoginContext;
...
    LoginContext loginContext = null;
    try
    {
      //LoginContext を作成する。ユーザ名/パスワード ログイン モジュールを指定する
      loginContext = new LoginContext("Sample", 
             new SampleCallbackHandler(username, password, url));
    }

1. LoginContext の login() メソッドを呼び出します。login() メソッドによって、ロードされた LoginModule がすべて呼び出されます。各 LoginModule でサブジェクトの認証が試みられます。コンフィグレーションされているログイン条件が満たされない場合、LoginContext は LoginException を送出します。login() メソッドの例については、コード リスト 4-4 を参照してください。

コード リスト 4-4 login() メソッドのコードの一部分

...
import javax.security.auth.login.LoginContext;
import javax.security.auth.login.LoginException;
import javax.security.auth.login.FailedLoginException;
import javax.security.auth.login.AccountExpiredException;
import javax.security.auth.login.CredentialExpiredException;
...
 /**
     * 認証を試みる
     */
    try
    {
      // 例外が発生せずに復帰した場合は、認証に成功
      loginContext.login();
    }
    catch(FailedLoginException fle)
    {
      System.out.println("Authentication Failed, " +
                               fle.getMessage());
      System.exit(-1);
    }
    catch(AccountExpiredException aee)
    {
      System.out.println("Authentication Failed: Account Expired");
      System.exit(-1);
    }
    catch(CredentialExpiredException cee)
    {
      System.out.println("Authentication Failed: Credentials
                               Expired");
      System.exit(-1);
    }
    catch(Exception e)
    {
      System.out.println("Authentication Failed: Unexpected
                               Exception, " + e.getMessage());
      e.printStackTrace();
      System.exit(-1);
    }

1. Java クライアント内にコードを記述して、javax.security.auth.Subject.getSubject() メソッドを使用する LoginContext インスタンスから認証されたサブジェクトを取得し、アクションをサブジェクトとして呼び出します。サブジェクトの認証に成功したら、weblogic.security.Security.runAs() メソッドを呼び出すことで、そのサブジェクトに対してアクセス制御を設定できます。runAs() メソッドは、指定されたサブジェクトと現在のスレッドのアクセス パーミッションを関連付けた後、アクションを実行します。getSubject() メソッドと runAs() メソッドの実装例については、コード リスト 4-5 を参照してください。

   
   

   注意 : WebLogic Server アプリケーションで JAAS javax.security.auth.Subject.doAs メソッドを使用する場合、サブジェクトとクライアント アクションは関連付けられません。doAs メソッドを使用して WebLogic Server アプリケーションに Java EE セキュリティを実装することは可能ですが、この場合でも Security.runAs() メソッドを使用する必要があります。

   
   

コード リスト 4-5 getSubject() メソッドと runAs() メソッドのコードの一部分

...
/**
 * 認証されたサブジェクトを取得し、サブジェクトとして SampleAction を実行する
 */
   Subject subject = loginContext.getSubject();
   SampleAction sampleAction = new SampleAction(url);
   Security.runAs(subject, sampleAction);
   System.exit(0);
...

1. サブジェクトが必要な特権を持っている場合にアクションを実行するコードを記述します。株式取引用の EJB を実行する javax.security.PrivilegedAction クラスの実装例 SampleAction が用意されています。SampleAction.java コードは開発キットとして SAMPLES_HOME\server\examples\src\examples\security\jaas ディレクトリに含まれています。

2. LoginContext インスタンスの logout() メソッドを呼び出します。logout() メソッドは、ユーザのセッションをクローズし、Subject をクリアします。login() メソッドの例については、コード リスト 4-6 を参照してください。

コード リスト 4-6 logout() メソッドのサンプル コード

...
import javax.security.auth.login.LoginContext;
...
try
    {
      System.out.println("logging out...");
      loginContext.logout();
    }

注意 : LoginModule.logout() メソッドは WebLogic 認証プロバイダまたはカスタム認証プロバイダに対して呼び出されることはありません。これは、いったん Principals が作成され Subject 内に入れられると、WebLogic Security フレームワークはこの Subject のライフサイクルを制御しなくなるからです。したがって、JAAS LoginContext を作成してログインおよび Subject の取得を行うコードでも、ログアウトするために LoginContext を呼び出す必要があります。LoginContext.logout() を呼び出すと、Subject から Principals がクリアされます。

JNDI 認証の使い方

Java クライアントは、Java Naming and Directory Interface (JNDI) を使用して WebLogic Server に資格を渡します。Java クライアントは、JNDI InitialContext を取得して WebLogic Server との通信を確立します。その後、InitialContext を使用して、WebLogic Server JNDI ツリーで必要なリソースをルックアップします。

注意 : JAAS は認証方法として望ましい選択肢ですが、WebLogic 認証プロバイダの LoginModule はユーザ名とパスワードの認証しかサポートしていません。したがって、クライアントの証明書認証 (双方向 SSL 認証ともいう) では JNDI を使用します。クライアントの証明書認証に JAAS を使用するには、LoginModule で証明書の認証を行うカスタム認証プロバイダを記述する必要があります。LoginModule の作成方法については、http://java.sun.com/javase/6/docs/technotes/guides/security/jaas/JAASLMDevGuide.html を参照してください。

ユーザとユーザの資格を指定するには、表 4-1 で示されている JNDI プロパティを設定します。

表 4-3 認証に使用される JNDI プロパティ

プロパティ	意味
INITIAL_CONTEXT_FACTORY	エントリ ポイントを WebLogic Server 環境に提供する。クラス weblogic.jndi.WLInitialContextFactory は WebLogic Server 用の JNDI SPI。
PROVIDER_URL	ネーム サービスを提供する WebLogic Server のホストとポートを指定する。例 : t3://weblogic:7001
SECURITY_PRINCIPAL	ユーザがデフォルトの (アクティブな) セキュリティ レルムに対して認証されているときのユーザの ID を指定する。
SECURITY_CREDENTIALS	ユーザがデフォルトの (アクティブな) セキュリティ レルムに対して認証されているときのユーザの資格を指定する。

これらのプロパティは、InitialContext コンストラクタに渡されるハッシュ テーブルに格納されます。コード リスト 4-7 に、WebLogic Server で実行される Java クライアントでの JNDI 認証の使い方を示します。

コード リスト 4-7 認証の例

...
Hashtable env = new Hashtable();
      env.put(Context.INITIAL_CONTEXT_FACTORY,
              "weblogic.jndi.WLInitialContextFactory");
      env.put(Context.PROVIDER_URL, "t3s://weblogic:7001");
      env.put(Context.SECURITY_PRINCIPAL, "javaclient");
      env.put(Context.SECURITY_CREDENTIALS, "javaclientpassword");
      ctx = new InitialContext(env);

注意 : JNDI コンテキストとスレッドの詳細と、JNDI コンテキストの潜在的な問題を回避する方法については、『Oracle Fusion Middleware Oracle WebLogic Server JNDI プログラマーズ ガイド』の「JNDI コンテキストとスレッド」および「JNDI コンテキストの問題の回避方法」を参照してください。 WebLogic Server 9.0 より前のバージョンでは、JNDI で IIOP 以外のプロトコルを使用する場合、最初のユーザは削除されず、他のユーザが存在しない場合はデフォルト ユーザになります。これは適切な処理ではありません。ユーザ名と資格を指定しない以後のログインに対してデフォルト ユーザの ID が付与されるからです。 バージョン 9.0 以降では、このような動作は発生せず、デフォルト ユーザも存在しません。 以前の動作に戻すには、コマンドラインまたは weblogic.jndi.WLContext.ENABLE_DEFAULT_USER インタフェースでフィールドを設定する必要があります。

Java クライアントの JAAS 認証サンプル コード

WebLogic Server ソフトウェアには、完全な実践的 JAAS 認証サンプルが付属しています。そのサンプルは、SAMPLES_HOME\server\examples\src\examples\security\jaas ディレクトリにあります。このサンプルの説明と、構築、コンフィグレーション、および実行の手順については、サンプル ディレクトリの package.html ファイルを参照してください。このサンプル コードは、修正して再利用できます。