4 セキュリティとログイン・モジュールの構成

この章では、アプリケーションのセキュリティ・プロバイダを設定する方法について説明します。この章の内容は次のとおりです。

• セキュリティの概要

• Subscriber Data Servicesの構成

• ログイン・モジュールを使用するためのアプリケーションの構成

• SIPサーブレットでのセキュリティ

• P-Asserted Identityヘッダーを使用する認証

• Webサービス・コールおよびXCAPトラフィックの認証

• ユーザー・リポジトリとしてのOracle Internet Directoryの構成

セキュリティの概要

RFC 3261および2617で説明されているように、OCMSはBasic（HTTP）認証とDigest認証の両方を実装します。OCMSでは、SIPアプリケーションとHTTPアプリケーションの両方を、RADIUS認証システムまたはOracle Internet Directory（OID）バージョン10.1.4.0.1に対して認証を行うように構成できます。

アプリケーションは、認証と認可のためのインフラストラクチャを提供します。認証を必要とするアプリケーションの親であるこのアプリケーションは、ネイティブなEnterprise JavaBeans（EJB）を使用して、子アプリケーションが認証バックエンド（RADIUSまたはOracle Internet Directory）にアクセスできるようにします。Subscriber Data Servicesが提供するフレームワークは、セキュリティを有効にしますが、セキュリティ制約自体を適用することはありません。セキュリティ制約の適用は、Proxy Registrarなどの子アプリケーションがかわりに行います。そのために、sip.xmlにおいて<security-constraint>要素で認可制約が定義されています。デプロイメント・ディスクリプタ・ファイルでのセキュリティの構成の詳細は、「SIPサーブレットでのセキュリティ」を参照してください。

Subscriber Data Servicesの各子アプリケーションは、JAAS（Java Authentication and Authorization Service）のログイン・モジュールを使用して、構成されているユーザー・リポジトリに対して認証と認可を行うよう、構成する必要があります。

OCMS JAAS準拠のログイン・モジュール

OCMSは、SIPまたはHTTPアプリケーション用のRADIUSユーザー・リポジトリに格納されているユーザー資格証明をチェックするRADIUSログイン・モジュールを提供することで、JAASのプラッガブル・アーキテクチャを利用します。

RADIUSログイン・モジュールは、RFC 4590に記述されているように、SIPアプリケーションに対してはDigest認証を提供し、RADIUSデータベースにプロビジョニングされたユーザーに対してはBasic認証のHTTPアプリケーションを提供します。

RADIUSデータベースはユーザーの認証のみを行います。ユーザーの認可は行いません。したがって、RADIUSログイン・モジュールを使用する場合は、ロールに基づく認可のために、RADIUSデータベースにプロビジョニングされた各ユーザーに対応するユーザーをOracle Databaseに作成し、適切なロールを割り当てる必要があります。RADIUSデータベースからユーザーの認証情報を削除するときは、ユーザーの認可情報（アカウントやロール関連の情報など）をOracle Databaseから手動で削除する必要もあります。このようにすることで、以降に同じユーザー名でRADIUSにプロビジョニングされるユーザーが、以前に削除されたユーザーの認可およびアカウント固有の情報を受け継いでしまうことを防ぐことができます。

注意: ライセンスの制約のため、オープン・ソースであるRADIUSは、インストール時にOCMSとはパッケージ化されません。OCMSでRADIUSログイン・モジュールを構成する前に、JRadiusクライアント・ライブラリを手動でダウンロードしてインストールする必要があります。必要なJRadiusクライアント・ライブラリは、次のSourceforgeプロジェクトからダウンロードできます。 http://jradius-client.sourceforge.net/ JRadiusクライアント・ライブラリのダウンロード後に、Oracle Containers for J2EE（OC4J）のデプロイの$ORACLE_HOME/j2ee/home/lib/extに、jradius-client.jarファイルを手動でコピーしてから、RADIUSログイン・モジュールをデプロイするアプリケーション・サーバーを再起動してください。

これらのプラッガブルJAASログイン・モジュールを使用することで、SIPサーブレット・コンテナは、SIPリクエストを送信しているユーザー・エージェントについて、外部のデータベースで認証と認可を実行できます。このモジュールは、先にJAAS LoginModuleクラスを呼び出した後、以前に認証されていたユーザーが適切なアクセス権限を許可されていたことを確認してユーザーを認可することで、RADIUSユーザー・リポジトリに対するユーザー認証を実装します。

注意: これらのログイン・モジュールは外部のリポジトリに対してユーザーを認証するので、OC4Jではカスタム・セキュリティ・プロバイダとみなされます。J2EEアプリケーションでのカスタム・セキュリティ・プロバイダの構成については、『Oracle Containers for J2EEセキュリティ・ガイド』を参照してください。

アプリケーションの種類と認証モード

認証の種類は、ログイン・モジュールで使用するプロトコルによって異なります。表4-1に示すように、SIP側ではDigest認証が使用され、HTTP側ではBasic認証が使用されます。

注意: Aggregation ProxyはWebアプリケーションですが、内部のセキュリティAPIを使用して明示的に認証を実行するため、Basic認証に限定されません。結果として、Aggregation Proxyのデフォルトのセキュリティ設定（認証方式をDigestに設定）はそれ以上の構成がなくても機能します。

表4-1 プロトコルに基づく認証

プロトコル	認証モード
SIP	Digest
HTTP	Basic

注意: この章では、アプリケーションが使用するログイン・モジュールを指定する方法、およびOCMSログイン・モジュールとRADIUSログイン・モジュール自体を構成する方法について説明します。OCMSデプロイ用のユーザー・プロビジョニング・リポジトリとして、Oracle WebCenter Suiteで使用されるLDAPデータ・ストアであるOracle Internet Directory（OID）を使用する方法は、「ユーザー・リポジトリとしてのOracle Internet Directoryの構成」を参照してください。

Subscriber Data Servicesの構成

Subscriber Data Services（subscriberdataservices）は、OCMSユーザー・リポジトリに対する認証とセキュリティが必要なすべてのSIPアプリケーションの親アプリケーションです。たとえば、Application Router、Aggregation ProxyおよびProxy Registrarには、Subscriber Data Servicesが必要です。Proxy Registrarの場合は、ロケーション・サービスと、Proxy Registrarのレジストラ・コンポーネントが、Subscriber Data Servicesに依存します。Subscriber Data Servicesは、Oracle Internet Directory（OID）へのアクセスも提供します。詳細は、「セキュリティの概要」を参照してください。OCMSデプロイ用のユーザー・プロビジョニング・リポジトリとして、Oracle Internet Directory（OID）を使用する方法は、「ユーザー・リポジトリとしてのOracle Internet Directoryの構成」も参照してください。

アカウント・セキュリティ

Subscriber Data Servicesは、アカウント・ロックアウト・サービスおよびログイン失敗サービスのMBeanグループをとおしてアカウント・セキュリティを提供します。

アカウント・ロックアウト・グループには次のMBeanが含まれます。

• AAサービス

  AAサービスMBeanは、ログイン失敗サービスがアカウントをロックするために使用します。このMBeanは、MathFunctionモデルMBeanに依存します。AAサービスMBeanは、MathFunctionモデルMBeanを利用することで、現在のログイン試行失敗回数に基づいてアカウントの次のロック期間を計算します。

  
  

  注意: アカウントのロックは、OC4Jを再起動しても維持されます。

  
  

  表4-2では、AAサービスMBeanの属性について説明します。

  表4-2 AAサービスMBeanの属性

  属性	値
  MathFunction	現在のログイン試行失敗回数に基づいてアカウントの次のロック期間を計算するために使用する演算関数の種類。演算関数（Linear、ExponentialおよびConstant）は、ModelMBeansとしてパッケージングされています。デフォルト値はhotisp.math:service=MathFunction,name=Linearです。
  DefaultLockDuration	演算関数が使用できない場合に使用するロック期間（秒）。デフォルト値は600です。
  JNDIName	AAサービスのJNDI名。この値は読取り専用です。
  SecurityServiceName	ユーザー・アカウントをロック解除するために使用されるサービス・オブジェクトにバインドされているJNDI名。この値は読取り専用です。

  
  

  表4-3 Subscriber Data Services MBean

  MBean	タスク
  ModelMBeanDeployer	モデルMBeanをデプロイするためにSubscriber Data Servicesアプリケーションが使用するヘルパーMBean。

  
  

• Constant（読取り専用）

  現在のログイン試行失敗回数に基づいてアカウントの次のロック期間を計算するためにMathFunction MBeanが使用する定数関数。

• Exponential

  現在のログイン試行失敗回数に基づいてアカウントの次のロック期間を計算するためにMathFunction MBeanが使用する指数演算関数。

• Linear

  現在のログイン試行失敗回数に基づいてアカウントの次のロック期間を計算するためにMathFunction MBeanが使用する線形演算関数。

Subscriber Data Services MBeanの場合は、AAサービスとコマンド・サービスのみを構成できます。

CommandService

CommandService MBeanの操作を使用すると、Oracle DatabaseにOCMSユーザーをプロビジョニングするために使用されるSashコマンドと同等の機能を実行できます。たとえば、アカウント管理用のコマンドのリストを表示するには、次のようにします。

1. 「操作」タブをクリックします。getコマンドのリストが表示されます。

2. 「returning a help String for a partial command」の「ヘルプ」をクリックします。help操作のパラメータが表示されます。

3. 「値」フィールドにaccountと入力します。

   
   

   ヒント: 「マルチライン・エディタを使用」をクリックして「値」フィールドを拡張すると、長いコマンド名を入力できます。

   
   

4. 「起動操作」をクリックします。アカウント管理に関係するコマンドが表示されます（図4-1）。これらのコマンドは、Sashプロンプトでhelp accountと入力して表示されるものと同じです。詳細は、第11章「Sashでのユーザーのプロビジョニング」の「サブコマンドの表示」を参照してください。

   図4-1 コマンドのヘルプの表示

   
   「図4-1 コマンドのヘルプの表示」の説明
   
   

使用できるすべてのコマンドのリスト（図4-2）を表示するには、「操作」タブで「listAllCommands」を選択し、表示される「listAllCommands」ページで「起動操作」をクリックします。Sashコマンドについては、「使用できるコマンドの表示」を参照してください。Sashを使用したユーザー管理の詳細は、「ユーザーの作成」を参照してください。

図4-2 使用可能なコマンドの表示

「図4-2 使用可能なコマンドの表示」の説明

コマンド・サービスMBeanは、XDMS（XML Document Management Server）にユーザーをプロビジョニングできるようにするために、Presenceアプリケーション内にデプロイされます。「コマンド・サービス（XDMSプロビジョニング）」を参照してください。

ログイン・モジュールを使用するためのアプリケーションの構成

SIPアプリケーションのセキュリティを構成するには、最初に、デプロイメント・ディスクリプタ・ファイルsip.xmlで<security-constraint>要素を定義してアプリケーションが使用する認証ユーザー・リポジトリに適したセキュリティ・プロバイダ（ログイン・モジュール）を設定した後、ログイン・モジュール自体を構成します。sip.xmlでのセキュリティの設定の詳細は、「SIPサーブレットでのセキュリティ」を参照してください。

デプロイするアプリケーションごとにログイン・モジュールを構成できます。デプロイメント・プロセスの間に、Application Server Controlデプロイ・ウィザードの「デプロイ設定」ページの「セキュリティ・プロバイダ」タスクを使用して、SIPまたはHTTPアプリケーションのログイン・モジュールを構成できます。アプリケーションをデプロイした後は、「管理」ページの「セキュリティ・プロバイダ」タスクからアクセスする「ログイン・モジュールの編集」ページで、ログイン・モジュールの構成を確認または編集できます（図4-3）。

図4-3 ログイン・モジュールの変更

「図4-3 ログイン・モジュールの変更」の説明

詳細は、『Oracle Containers for J2EEデプロイメント・ガイド』の「Application Server Controlコンソールによるデプロイ」を参照してください。

system-jazn-data.xmlおよびorion-application.xmlでのログイン・モジュールの構成

また、アプリケーションのEAR（Enterprise Archive）ファイルに含まれるsystem-jazn-data.xmlファイルまたはorion-application.xmlファイルの<jazn-loginconfig>の設定を使用して、ログイン・モジュールを構成することもできます。

system-jazn-data.xmlでのログイン・モジュールの構成

system-jazn-data.xmlファイルは、ログイン・モジュールの構成のリポジトリです。このファイルの設定は、Oracle Application Server Control（図4-3）またはOracleAS JAAS Provider Admintoolを使用してログイン・モジュールを管理すると更新されます。詳細は、『Oracle Containers for J2EEセキュリティ・ガイド』を参照してください。

表4-4は、system-jazn-data.xmlで構成する、OCMSログイン・モジュールおよびRADIUSログイン・モジュールがサポートするオプションです。

表4-4 ログイン・モジュールのオプション

オプション	説明
useUTF8	trueに設定すると、ログイン・モジュールはUTF-8キャラクタ・セットでエンコードされたユーザー名とパスワードをサポートします。
authMethod	SIPアプリケーションの場合は、BasicまたはDigestを選択します。HTTPアプリケーションの場合は、Basicを選択します。
failurePeriod	アカウントがロックされる時間です（秒単位）。orion-application.xmlで指定した値は、AAサービスMBeanのDefaultLockDuration属性で指定されている値より優先されます。SIPサーブレット・コンテナに関する項も参照してください。
maxfailure	アカウントがブロックされるまでに許容される最大のログイン失敗回数。

orion-application.xmlでのOCMSログイン・モジュールの宣言

orion-application.xmlの<jazn-loginconfig>要素では、アプリケーションが使用するログイン・モジュールを定義します。このファイルで設定した構成は、system-jazn-data.xmlに移入されます。例4-1に、RADIUS認証システムに対して認証を行うためのログイン・モジュールの構成を示します。

orion-application.xmlでのRADIUSログイン・モジュールの宣言

例4-1は、Proxy Registrarアプリケーションのログイン・モジュールを定義しています。ただし、このアプリケーションではユーザーはRADIUSデータベースで認証される必要があります。表4-4で説明されているオプションに加えて、RADIUSログイン・モジュールでは、表4-5で説明されているオプションもサポートされています。

表4-5 RADIUSログイン・モジュールのオプション

オプション	説明
hostname	リモートRADIUSサーバーのホスト名またはIPアドレス
authPort	認証リクエストの宛先ポート
acctPort	アカウンティング・サーバーの宛先ポート
sharedSecret	RADIUSサーバーとRADIUSクライアントのみが認識するString

例4-1 orion-application.xmlでのRadiusログイン・モジュールの宣言

   <jazn-loginconfig>
       <application Key="name">
           <name>proxyregistrar</name>
           <login-modules>
               <login-module Key="class control-flag">
                   <class>
                       oracle.sdp.radiusloginmodule.RadiusLoginModule
                   </class>
                   <control-flag>required</control-flag>
                   <options>
                       <option>
                           <name>useUTF8</name>
                           <value>true</value>
                       </option>
                       <option>
                           <name>authMethod</name>
                           <value>Digest</value>
                       </option>
                       <option>
                           <name>failurePeriod</name>
                           <value>600</value>
                       </option>
                       <option>
                           <name>maxFailure</name>
                           <value>5</value>
                       </option>
                       <option>
                           <name>hostName</name>
                           <value>127.0.0.1</value>
                       </option>
                       <option>
                           <name>authPort</name>
                           <value>1812</value>
                       </option>
                       <option>
                           <name>acctPort</name>
                           <value>1813</value>
                       </option>
                       <option>
                           <name>sharedSecret</name>
                           <value>secret</value>
                       </option>
                       <option>
                           <name>radiusClientClass</name>
                           <value>oracle.sdp.radiusloginmodule.JRadiusClient</value>
                       </option>
                   </options>
               </login-module>
           </login-modules>
       </application>
   </jazn-loginconfig>