12 InfrastructureでのSSLの有効化

この章では、Oracle Application Server InfrastructureインストールでSSLを有効にする方法について説明します。

注意 この章では、次のOracle Application Server製品を参照する情報は、リリース10.1.4、リリース2（10.1.2）またはそれ以前のソフトウェアにのみ該当します。 OracleAS Infrastructure Oracle Single Sign-On Oracle Web Cache OracleAS Certificate Authority Oracle Delegated Administration Services Oracle Identity Management 10gリリース3（10.1.3.1.0）と互換性のある各バージョンの詳細は、Oracle Application Serverのアップグレード・ガイドを参照してください。

この章の項目は次のとおりです。

• InfrastructureでのSSL通信経路

• 推奨されるSSL構成

• 一般的なSSL構成作業

12.1 InfrastructureでのSSL通信経路

この項では、Oracle Application Server Infrastructureで使用されるすべてのSSL通信経路を特定し、Oracle Application Serverドキュメント・ライブラリ内のコンポーネント・ガイドに記載されている構成手順への相互参照を示します。

注意 Oracle Identity Managementをインストールする際に、Oracle Internet Directoryのモードを選択するよう求められます。デフォルトのモードはデュアル・モードです。デュアル・モードでは、一部のコンポーネントは非SSL接続を使用してOracle Internet Directoryにアクセスできます。インストール時にSSLモードを選択した場合、インストールしたすべてのコンポーネントは、ディレクトリへの接続時にSSLを使用する必要があります。 SSLの構成を開始する前に、Oracle Internet Directoryのモードを指定してください。oidadminツールを起動し、Oracle Directory ManagerでSSLモードを表示します。ディレクトリ・サーバーに移動し、「プロパティの表示」→「SSL設定」を選択します。

Oracle Application Server Infrastructureで使用される各通信経路と、それらに関連するSSLの構成手順を次に示します。

• Oracle HTTP ServerからOC4J_SECURITYインスタンス

  SSLを介したAJP通信を構成するには、mod_oc4jとiasptデーモンの通信を構成する必要があります。この通信を構成するには、『Oracle HTTP Server管理者ガイド』のmod_oc4jでのSSL使用の構成に関する項の手順に従ってください。

• Oracle HTTP Serverからiaspt（ポート・トンネリング）を経由し、OC4J_SECURITYインスタンス

  SSL用にこの接続経路を構成するには、『Oracle HTTP Server管理者ガイド』の「ポート・トンネリングの概要」の手順に従ってください。

• OC4J_SECURITYインスタンスからOracle Internet Directory

  SSL用にこの接続経路を構成するには、『Oracle Application Server Single Sign-On管理者ガイド』の「シングル・サインオン中間層でのSSLの有効化」の手順に従ってください。このマニュアルでは、ブラウザとOracle Single Sign-Onサーバー間でのSSL通信の構成方法が説明されています。

  Oracle HTTP ServerにSSLを構成すると、Oracle Delegated Administration ServicesがSSL対応になります。Oracle Delegated Administration ServicesのOracle Internet Directoryへの通信は常にSSL対応です。対応させるために、特別な構成作業を行う必要はありません（Oracle Single Sign-On、Oracle Application Server Certificate AuthorityおよびOracle Delegated Administration Servicesは、デフォルトではSSLモードでOracle Internet Directoryと通信します）。

• Oracle Directory Integration and ProvisioningからOracle Internet Directory、およびOracle Internet Directoryレプリケーション・サーバーからOracle Internet Directory

  図12-1に示すように、様々なコンポーネントおよび通信経路にSSLを構成できます。それぞれの構成手順の参照先は次のとおりです。

  • Oracle Internet Directoryレプリケーション・サーバーとOracle Internet Directoryサーバー間の通信: 『Oracle Internet Directory管理者ガイド』の「Secure Sockets Layer（SSL）とOracle Internet Directoryレプリケーション」

  • Oracle Directory Integration and ProvisioningとOracle Internet Directoryサーバー間の通信: 『Oracle Identity Management統合ガイド』の「Oracle Directory Integration and Provisioning Serverの管理」

• OC4J_SECURITYインスタンスからMetadata Repositoryデータベース、およびOracle Internet DirectoryからMetadata Repositoryデータベース

  Oracle Internet Directoryが指定されたSSLポートでSSL接続を許可するように構成されている場合、アプリケーションをリクエストするJDBC URLでは、次のようにSSLプロトコルとSSLポートのみを指定する必要があります。

  ldaps://host:sslport/...

  セキュアな接続を使用している場合は、プロトコルの名前にsを付ける必要があることに注意してください。たとえば、ldapではなくldapsを使用します。

  Oracle Internet DirectoryがSSLポートでSSL接続を許可するように構成されていない場合は、構成を変更する必要があります。『Oracle Internet Directory管理者ガイド』の「Secure Sockets Layer（SSL）とディレクトリ」を参照してください。

  図12-1    Oracle Identity ManagementコンポーネントとSSL接続経路

  
  

  画像の説明

12.2 推奨されるSSL構成

『Oracle Application Serverセキュリティ・ガイド』では、セキュリティの概念について詳しく説明されており、様々な構成でのセキュリティ構成の推奨事項が示されています。「推奨される配置トポロジ」の章では、アーキテクチャの例が示されています。SSLを有効にする必要のあるコンポーネントを特定したら、この章および第13章「中間層でのSSLの有効化」で説明している方法に従って、コンポーネントを構成します。

Oracle Single Sign-OnおよびOracle Delegated Administration ServicesでのSSLの構成は、通常、推奨の配置トポロジで行います（第12.3.1項「Oracle Single Sign-OnおよびOracle Delegated Administration Servicesに対するSSLの構成」を参照）。すべてのInfrastructure通信経路でのSSLの構成方法は、第12.1項「InfrastructureでのSSL通信経路」で説明しています。

12.3 一般的なSSL構成作業

この項では、個別のコンポーネントでSSLを構成する方法について説明している、Oracle Application Serverドキュメント・ライブラリ内のコンポーネントのマニュアルへの参照を示します。

12.3.1 Oracle Single Sign-OnおよびOracle Delegated Administration Servicesに対するSSLの構成

次のコンポーネント間にSSLを構成するには、『Oracle Application Server Single Sign-On管理者ガイド』の手順に従ってください。

• ブラウザとOracle Single Sign-Onサーバー（「シングル・サインオン中間層でのSSLの有効化」）

• Oracle Single Sign-OnサーバーとOracle Internet Directoryサーバー（Single Sign-OnとOracle Internet Directory間のSSLの構成に関する項）

Oracle HTTP ServerにSSLを構成すると、Oracle Delegated Administration ServicesがSSL対応になります（「シングル・サインオン中間層でのSSLの有効化」で説明されています）。Oracle Delegated Administration ServicesのOracle Internet Directoryへの通信は常にSSL対応です。対応させるために、特別な構成作業を行う必要はありません

12.3.2 Oracle Internet Directoryに対するSSLの構成

Oracle Internet DirectoryでのSSL通信の構成手順は、次のマニュアルに説明されています。

• 『Oracle Internet Directory管理者ガイド』の「Secure Sockets Layer（SSL）とディレクトリ」

• 『Oracle Internet Directory管理者ガイド』の「SSLパラメータの構成」

• 『Oracle Internet Directory管理者ガイド』の「10gリリース2（10.1.2）でのSSLの使用制限事項」

12.3.3 Oracle Internet Directoryレプリケーション・サーバーとOracle Directory Integration and Provisioningに対するSSLの構成

図12-1に示すように、様々なコンポーネントおよび通信経路にSSLを構成できます。それぞれの構成手順の参照先は次のとおりです。

• Oracle Internet Directoryレプリケーション・サーバーとOracle Internet Directoryサーバー間の通信: 『Oracle Internet Directory管理者ガイド』の「Secure Sockets Layer（SSL）とOracle Internet Directoryレプリケーション」

• Oracle Directory Integration and ProvisioningとOracle Internet Directoryサーバー間の通信: 『Oracle Identity Management統合ガイド』の「Oracle Directory Integration and Provisioning Serverの管理」

12.3.4 Identity ManagementデータベースでのSSLの構成

SSL通信をIdentity Managementデータベースに構成するには、『Oracle Application Server Single Sign-On管理者ガイド』の「Identity Managementインフラストラクチャ・データベースの再構成」の手順に従ってください。

12.3.5 OC4J_SECURITYインスタンスでの追加のSSL構成

この項では、mod_oc4jおよびOC4JのSSL構成情報への参照を示します。

12.3.5.1 mod_oc4jからOC4J_SECURITYへのSSLの構成

SSLを介したAJP通信を構成するには、mod_oc4jとiasptデーモンの通信を構成する必要があります。この通信を構成するには、『Oracle HTTP Server管理者ガイド』の「mod_oc4jとOC4J間でのSSLの有効化」の手順に従ってください。

12.3.5.2 mod_oc4jからOC4J_SECURITYインスタンスへのポート・トンネリングの使用

SSL用にこの接続経路を構成するには、『Oracle HTTP Server管理者ガイド』の「ポート・トンネリングの概要」の手順に従ってください。

12.3.5.3 JDBC/SSL（ASOサポート）の構成

Oracle Internet Directoryが指定されたSSLポートでSSL接続を許可するように構成されている場合、アプリケーションをリクエストするJDBC URLでは、次のようにSSLプロトコルとSSLポートのみを指定する必要があります。

ldaps://host:sslport/...

セキュアな接続を使用している場合は、プロトコルの名前にsを付ける必要があることに注意してください（たとえば、ldapではなくldapsを使用します）。

Oracle Internet DirectoryがSSLポートでSSL接続を許可するように構成されていない場合は、構成を変更する必要があります。『Oracle Internet Directory管理者ガイド』の「Secure Sockets Layer（SSL）とディレクトリ」を参照してください。

12.3.6 Oracle Application Server Certificate AuthorityでのSSL

Oracle Application Server Certificate AuthorityのSSLは、デフォルトで有効になっているため、このコンポーネントについての構成作業はありません。

ヒント OracleAS Certificate Authorityは、Oracle Identity Managementのユーザーが証明書をプロビジョニングする作業を単純化します（証明書はSSO認証ユーザーに対して自動的にプロビジョニングされます）。 OCA Oracle Single Sign-Onを使用して証明書ベースの認証を有効にするには、『Oracle Application Server Certificate Authority管理者ガイド』を参照してください。Oracle Single Sign-Onへの証明書ベースの認証を有効にするには、『Oracle Application Server Single Sign-On管理者ガイド』を参照してください。

12.3.7 Oracle Enterprise Manager 10gに対するSSLの構成

Oracle Enterprise Manager 10gは、Grid ControlコンソールとApplication Server Controlコンソールの2つのコンポーネントで構成されています。これらにはそれぞれSSL通信を構成できます。

12.3.7.1 Grid Controlのセキュリティの構成

『Oracle Enterprise Manager構成ガイド』のGrid Controlのセキュリティ（SSLおよびHTTPS）の構成に関する項の手順に従います。

12.3.7.2 Application Server Controlコンソールのセキュリティの構成

Application Server ControlコンソールのSSL構成に関連する通信経路は、図12-2にhttpsとして示されています。

図12-2    Oracle Enterprise Manager 10gのSSL接続経路

画像の説明

WebブラウザとApplication Server Controlコンソール間、およびApplication Server ControlコンソールとOracle Application Serverコンポーネント間の通信を保護するには、第A.3項「Application Server Controlコンソールのセキュリティの構成」を参照してください。