ヘッダーをスキップ
Oracle Application Server Adapter for J.D. Edwards OneWorldユーザーズ・ガイド
10g （10.1.3.1.0）
B31891-01
  目次へ
目次		 索引へ
索引
前へ
前へ 		 次へ
次へ		  

8 高度なユーザー・ツール

この章の項目は次のとおりです。

Webサービスのポリシーベース・セキュリティ

OracleAS Adapter Application Explorer（Application Explorer）には、Webサービスのポリシーベース・セキュリティと呼ばれるセキュリティ・モデルが用意されています。ここでは、この機能の内容と構成方法について説明します。

Webサービスは、バックエンドのビジネス論理とWebサービスを実行するユーザーまたはアプリケーションとの間に抽象化レイヤーを提供します。 このため、アプリケーションの統合は容易ですが、Webサービスとして実行されるクリティカルで機密性の高いビジネス・ロジックの使用と実装を制御するという課題が発生します。

Application Explorerは、ポリシーベース・セキュリティという機能により、アダプタを使用するWebサービスの使用を制御します。この機能により、管理者はビジネス・サービス（Webサービス）にポリシーを適用し、その実行を拒否または許可できます。

ポリシーとは、既存または新規のビジネス・サービス（BS）に適用可能なBSの実行を取り扱う権限の集合です。ポリシー内で特定の権利または権限を設定すると、他のビジネス・サービスと共通のセキュリティ問題を持つBSごとに、権限を再作成する必要がなくなります。かわりに、1つのポリシーを複数のビジネス・サービスに対して再利用します。

この機能の目標は、トランスポートおよび送信されるSOAPリクエスト・レベルの両方におけるリクエストの保護です。 一部のポリシーはセキュリティの問題を直接取り扱いませんが、適用対象となるWebサービスの実行時動作に影響を与えます。

ビジネス・サービス管理者はポリシー・タイプのインスタンスを作成して名前を付け、個々のユーザーまたはグループ（ユーザーの集合）を関連付けて、そのポリシーを1つ以上のビジネス・サービスに適用します。

ポリシーは、ビジネス・サービスまたはビジネス・サービス内のメソッドに割り当てることができます。ポリシーが特定のメソッドにのみ適用される場合、そのビジネス・サービス内の他のメソッドは制御されません。ただし、ポリシーがビジネス・サービスに適用される場合は、すべてのメソッドが制御されます。実行時には、SOAPリクエスト・メッセージでOracleAS Adapter Business Services Engine（BSE）に送信されるユーザーIDおよびパスワードが、そのビジネス・サービスに適用される全ポリシーのユーザー・リストと比較して検証されます。サポートされているポリシー・タイプは「リソース実行」で、ビジネス・サービスを実行できるユーザーと実行できないユーザーを示します。

ポリシーが適用されない場合、ビジネス・サービスのデフォルト値は「すべて付与」です。たとえば、「リソース実行」ポリシーをビジネス・サービスに関連付けるまでは、誰でもビジネス・サービスを実行できます。ポリシーを関連付けた時点で、ビジネス・サービスにアクセスできるのは実行権限が付与されているユーザー、つまり実行権限を拒否されているグループに属していないユーザーのみとなります。

Webサービスのポリシーベース・セキュリティの構成

次の手順では、Webサービスのポリシーベース・セキュリティの構成方法について説明します。

ユーザーの作成とポリシーへの関連付け

ポリシーのインスタンスを作成する前に、インスタンスに関連付ける1人以上のユーザーまたは1つ以上のグループが存在する必要があります。ユーザーとグループはApplication Explorerで作成できます。

  1. Application Explorerを起動します。

  2. newtestなど、接続先の構成を右クリックします。新規構成の作成方法は、第2章「OracleAS Adapter for J.D. Edwards One Worldの構成」を参照してください。

  3. 「接続」を選択します。

    「アダプタ」、「イベント」および「ビジネス・サービス」（Webサービスとも呼びます）の各ノードが表示されます。

    「アダプタ」、「イベント」および「ビジネス・サービス」の各ノード
    図new_config.gifの説明

    次の手順を実行します。

    1. 「ビジネス・サービス」ノードを開きます。

    2. 「構成」ノードを開きます。

    3. 「セキュリティ」ノードを開きます。

    4. 「ユーザーとグループ」ノードを開きます。

      新規ユーザーの作成
      図new_usr.gifの説明

  1. 「ユーザー」を右クリックし、「新規ユーザー」をクリックします。

    「新規ユーザー」ダイアログ・ボックスが表示されます。

    「新規ユーザー」ダイアログ・ボックス
    図new_usr_dialog.gifの説明

    次の手順を実行します。

    1. 「名前」フィールドにユーザーIDを入力します。

    2. 「パスワード」フィールドに、ユーザーIDに関連付けられているパスワードを入力します。

    3. 「説明」フィールドにユーザーの説明を入力します（オプション）。

  1. 「OK」をクリックします。

新規ユーザーが「ユーザー」ノードの下に追加されます。

ポリシーで使用するグループの作成

ポリシーで使用するグループを作成する手順は、次のとおりです。

  1. Application Explorerを起動します。

  2. newtestなど、接続先の構成を右クリックします。新規構成の作成方法は、第2章「OracleAS Adapter for J.D. Edwards One Worldの構成」を参照してください。

  3. 「接続」を選択します。

    「アダプタ」、「イベント」および「ビジネス・サービス」（Webサービスとも呼びます）の各ノードが表示されます。

    「アダプタ」、「イベント」および「ビジネス・サービス」の各ノード
    図new_config.gifの説明

    次の手順を実行します。

    1. 「ビジネス・サービス」ノードを開きます。

    2. 「構成」ノードを開きます。

    3. 「セキュリティ」ノードを開きます。

    4. 「ユーザーとグループ」ノードを開きます。

    選択された「新規グループ」
    図groups.gifの説明

  1. 「グループ」を右クリックして「新規グループ」を選択します。

    「新規グループ」ダイアログ・ボックスが表示されます。

    「新規グループ」ダイアログ・ボックス
    図addnewgrp.gifの説明

    次の手順を実行します。

    1. 「名前」フィールドにグループ名を入力します。

    2. 「説明」フィールドにグループの説明を入力します（オプション）。

    3. 左ペインの「使用可能」リストから1人以上のユーザーを選択し、二重の右矢印をクリックして「選択済」リストに追加します。

  1. 1人以上のユーザーを選択した後、「OK」をクリックします。

新規グループが「グループ」ノードの下に追加されます。

実行ポリシーの作成

実行ポリシーは、適用対象のビジネス・サービスを実行できるユーザーを決定します。

実行ポリシーを作成する手順は、次のとおりです。

  1. Application Explorerを起動します。

  2. SampleConfigなど、接続先の構成を右クリックします。新規構成の作成方法は、第2章「OracleAS Adapter for J.D. Edwards One Worldの構成」を参照してください。

  3. 「接続」を選択します。

    「アダプタ」、「イベント」および「ビジネス・サービス」（Webサービスとも呼びます）の各ノードが表示されます。

    「アダプタ」、「イベント」および「ビジネス・サービス」の各ノード
    図new_config.gifの説明

    次の手順を実行します。

    1. 「ビジネス・サービス」ノードを開きます。

    2. 「構成」ノードを開きます。

    3. 「セキュリティ」ノードを開きます。

    4. 「ポリシー」ノードを開きます。

      選択された「新規ポリシー」
      図policies.gifの説明

  1. 「ポリシー」を右クリックして「新規ポリシー」を選択します。

    「新規ポリシー」ダイアログ・ボックスが表示されます。

    「新規ポリシー」ダイアログ・ボックス
    図addpolicy.gifの説明

    次の手順を実行します。

    1. 「名前」フィールドにポリシー名を入力します。

    2. 「タイプ」リストから「実行」を選択します。

    3. 「説明」フィールドにポリシーの説明を入力します（オプション）。

    4. 左ペインの「使用可能」リストから1人以上のユーザーを選択し、二重の右矢印をクリックして「選択済」リストに追加します。


      注意:

      このユーザーIDは、SOAPリクエストでBSEに送信されたSOAPヘッダーのユーザーID要素の値と比較して検証されます。

  1. 1人以上のユーザーを選択した後、「OK」をクリックします。

  2. 「次へ」をクリックします。

「新規ポリシー」権限ダイアログ・ボックスが表示されます。

「新規ポリシー」ダイアログ・ボックス
図permissions.gifの説明

  1. ユーザーまたはグループにビジネス・サービスの実行権限を付与するには、そのユーザーまたはグループを選択して二重の左矢印をクリックし、「付与されている実行権限」リストに移動します。

  2. ユーザーまたはグループに対するビジネス・サービスの実行権限を拒否するには、そのユーザーまたはグループを選択して二重の右矢印をクリックし、「拒否された実行権限」リストに移動します。

  3. 「OK」をクリックします。

    次に構成のサマリーを示します。

ポリシーのサマリー
図summary.gifの説明

IPおよびドメイン制限ポリシー・タイプの使用

IPおよびドメイン制限ポリシー・タイプの構成方法は、他のポリシー・タイプとは少し異なります。IPおよびドメイン制限ポリシー・タイプではBSEへの接続アクセスを制御するため、Webサービスに個別に適用する必要はありません。ポリシーの作成は不要ですが、Application Explorerで「セキュリティ・ポリシー」オプションを有効にする必要があります。

  1. Application Explorerを起動します。

  2. SampleConfigなど、接続先の構成を右クリックします。新規構成の作成方法は、第2章「OracleAS Adapter for J.D. Edwards One Worldの構成」を参照してください。

  3. 「接続」を選択します。

    「アダプタ」、「イベント」および「ビジネス・サービス」（Webサービスとも呼びます）の各ノードが表示されます。

    次の手順を実行します。

    1. 「ビジネス・サービス」ノードを開きます。

    2. 「構成」ノードを開きます。

    3. 「セキュリティ」ノードを開きます。

  1. 「IPとドメイン」を右クリックして「新規IPとドメインの制限」を選択します。

    選択された「IPとドメイン」
    図domain.gifの説明

    「新規IPとドメインの制限」ダイアログ・ボックスが表示されます。

    「新規IPとドメインの制限」ダイアログ・ボックス
    図add_dom.gifの説明

    次の手順を実行します。

    1. 「IP(マスク)/ドメイン」フィールドに、次のガイドラインに従ってIPまたはドメイン名を入力します。

      「タイプ」リストから「単一」（コンピュータ）を選択した場合は、そのコンピュータのIPアドレスを指定する必要があります。 コンピュータのDNS名しかわからない場合は、DNS参照をクリックしてDNS名に基づくIPアドレスを取得します。

      （コンピュータの）「グループ」を選択した場合は、そのコンピュータ・グループのIPアドレスとサブネット・マスクを指定する必要があります。

      「ドメイン」を選択した場合は、ドメイン名を指定する必要があります。

    2. 「タイプ」リストから制限のタイプを選択します。

    3. 「説明」フィールドに説明を入力します（オプション）。

    4. アクセス権を付与するには「アクセス権限の付与」チェック・ボックスを選択します。

  1. 「OK」をクリックします。

「IPとドメイン」ノードの下に新規ドメインが追加されます。

次に構成のサマリーを示します。

IPとドメインの制限のサマリー
図ipconfig.gifの説明

リポジトリの移行

設計時には、Application Explorerを使用してアダプタ接続の構成、EISオブジェクトの参照、サービスの構成およびEISイベントをリスニングするリスナーの構成を行うときに作成されたメタデータがOracleリポジトリに格納されます。リポジトリ内の情報は、実行時にも参照されます。管理のため、既存の構成に影響を与えずに、Oracle用に構成されたBSEリポジトリとJ2CAリポジトリを新規の宛先に移行できます。たとえば、リポジトリをテスト環境から本番環境に移行できます。

BSEリポジトリの移行

BSEリポジトリを移行する手順は、次のとおりです。

  1. BSE制御サービスのURLをコピーします。次に例を示します。

    http://localhost:7777/ibse/IBSEServlet/admin/iwcontrol.ibs

  2. サード・パーティのXMLエディタ（XMLSPYなど）を開きます。

  3. メニュー・バーで「SOAP」をクリックします。

    オプション・リストが表示されます。

    新規SOAPリクエストの作成
    図xmlspy2.gifの説明

  4. 「Create new SOAP request」を選択します。

    WSDLファイルの場所に関するダイアログ・ボックスが表示されます。

    WSDLファイルの場所に関するダイアログ・ボックス
    図xmlspy3.gifの説明

    次の手順を実行します。

    1. 「Choose a file」フィールドに、BSE制御サービスのURLを貼り付けます。

    2. URLに?wsdlを追加します。次に例を示します。

      http://localhost:7777/ibse/IBSEServlet/admin/iwcontrol.ibs?wsdl

  5. 「OK」をクリックします。

    SOAP操作名のダイアログ・ボックスが表示され、使用可能な制御メソッドがリストに表示されます。

    SOAP操作名のダイアログ・ボックス
    図xmlspy4.gifの説明

  6. MIGRATEREPO（MIGRATEREPO parameters）制御メソッドを選択して「OK」をクリックします。


    注意:

    MIGRATEREPO（MIGRATEREPO parameters）制御メソッドは、BSE管理コンソールから使用できます。この制御メソッドは、すべてのWebサービスを新しい（空の）リポジトリに移行します。移行するWebサービスのみを選択できます。

    次のウィンドウに、SOAPエンベロープの構造が表示されます。

    SOAPエンベロープ（構造ビュー）
    図xmlspy5.gifの説明

  7. ツールバーの「Text view」アイコンを探します。

    「Text view」アイコン
    図xmlspy6.gifの説明

  8. SOAPエンベロープの構造をテキストとして表示するには、「Text view」アイコンをクリックします。

    <SOAP-ENV:Header>タグは不要なため、SOAPエンベロープから削除できます。

  9. 次のセクションを検索します。

    <m:MIGRATEREPO xmlns:m="urn:schemas-iwaysoftware-com:jul2003:ibse:config" version="">
<m:repositorysetting>
<m:rname>oracle</m:rname>
<m:rconn>String</m:rconn>
<m:rdriver>String</m:rdriver>
<m:ruser>String</m:ruser>
<m:rpwd>String</m:rpwd>
</m:repositorysetting>
<m:servicename>String</m:servicename>
</m:MIGRATEREPO>

    次の手順を実行します。

    1. <m:rconn>タグでは、Stringプレースホルダを既存のBSEリポジトリを移行するリポジトリURLで置き換えます。

      OracleリポジトリURLの書式は次のとおりです。

      jdbc:oracle:thin:@[host]:[port]:[sid]

    2. <m:rdriver>タグでは、StringプレースホルダをOracleドライバの場所で置き換えます。

    3. <m:ruser>タグでは、StringプレースホルダをOracleリポジトリにアクセスする有効なユーザー名で置き換えます。

    4. <m:rpwd>タグでは、StringプレースホルダをOracleリポジトリにアクセスする有効なパスワードで置き換えます。

  10. 次の移行オプションを1つ実行します。

    • 現行のBSEリポジトリからWebサービスを1つ移行する場合は、次のように<m:servicename>タグにWebサービス名を入力します。

      <m:servicename>JDEService1</m:servicename>

    • 現行のBSEリポジトリから複数のWebサービスを移行する場合は、次のようにWebサービスごとに<m:servicename>タグを複製します。

      <m:servicename>JDEService1</m:servicename>
<m:servicename>JDEService2</m:servicename>

    • 現行のBSEリポジトリからWebサービスをすべて移行する場合は、<m:servicename>タグを削除します。

  11. メニュー・バーで「SOAP」をクリックして「Send request to server」を選択します。

    サーバーへのリクエストの送信
    図xmlspy8.gifの説明

    BSEリポジトリと指定したWebサービスが、指定した新規OracleリポジトリのURLに移行します。

J2CAリポジトリの移行

J2CAリポジトリを移行する手順は、次のとおりです。

  1. リポジトリ・スキーマとその他の情報が格納されているJ2CA構成ディレクトリの場所にナビゲートします。次に例を示します。

    OracleAS_home\adapters\application\config\JCA_CONFIG

    JCA_CONFIGには、J2CA構成の名前が入ります。

  2. repository.xmlファイルを検出してコピーします。

  3. このファイルを、既存のリポジトリの移行先となる新規J2CA構成ディレクトリに置きます。

    J2CAリポジトリが新規J2CA構成ディレクトリに移行します。

  前へ
前へ 		 次へ
次へ
  目次へ
目次		 索引へ
索引