ヘッダーをスキップ
Oracle® Fusion Middlewareアプリケーション・セキュリティ・ガイド
11
g
リリース1(11.1.1)
B56235-03
索引
次
目次
例一覧
図一覧
表一覧
タイトルおよび著作権情報
はじめに
対象読者
ドキュメントのアクセシビリティについて
関連ドキュメント
表記規則
このガイドで説明する新機能
リリース11gR1 PS3の新機能
Oracle Identity Management 11gR1の新機能
リリース11gR1 PS2の新機能
リリース11gR1 PS1の新機能
リリース11gR1の新機能
10.1.3.xでサポートが終了した機能
アップグレードに関するドキュメントへのリンク
第I部 セキュリティの概念について
1
Oracle Platform Security Servicesの概要
1.1
Oracle Platform Security Servicesとは
1.1.1
OPSSの主な機能
1.1.2
サポートされているサーバー・プラットフォーム
1.2
OPSSのアーキテクチャの概要
1.2.1
OPSSの利点
1.3
Oracle ADFのセキュリティの概要
1.4
管理者向けのOPSS
1.5
開発者向けのOPSS
1.5.1
シナリオ1: JavaEEアプリケーションのセキュリティ強化
1.5.2
シナリオ2: Oracle ADFアプリケーションの保護
1.5.3
シナリオ3: JavaSEアプリケーションの保護
2
ユーザーおよびロールについて
2.1
用語
2.2
ロール・マッピング
2.2.1
パーミッションの継承とロールの階層
2.3
認証ロール
2.4
匿名ユーザーとロール
2.4.1
匿名サポートとサブジェクト
2.5
管理ユーザーとロール
2.6
ユーザー・アカウントの管理
2.7
プリンシパル名の比較ロジック
2.7.1
プリンシパルの比較が認可に及ぼす影響
2.7.2
プリンシパル名の比較を制御するシステム・パラメータ
2.8
ロール・カテゴリ
3
アイデンティティ、ポリシーおよび資格証明について
3.1
認証の基本
3.1.1
サポートされているLDAPアイデンティティ・ストアのタイプ
3.1.2
Oracle WebLogicの認証プロバイダ
3.1.2.1
LDAP認証プロバイダの使用
3.1.2.2
アイデンティティ・ストア・サービスの構成
3.1.2.3
その他の認証方式
3.1.3
WebSphereのアイデンティティ・ストア
3.2
ポリシー・ストアの基本
3.3
資格証明ストアの基本
4
Oracle Platform Security Servicesのシナリオについて
4.1
サポートされているLDAPベース、DBベース、およびファイルベースのサービス
4.2
管理ツール
4.3
パッケージ要件
4.4
シナリオの例
4.5
その他のシナリオ
第II部 OPSSの基本的な管理
5
セキュリティ管理
5.1
テクノロジに応じた管理ツールの選択
5.2
基本的なセキュリティ管理タスク
5.2.1
新しい本番環境の設定
5.3
Fusion Middleware Controlを使用した一般的なセキュリティ操作
5.4
管理コンソールを使用した一般的なセキュリティ操作
5.5
Oracle Authorization Policy Managerを使用した一般的なセキュリティ操作
5.6
OPSSスクリプトを使用した一般的なセキュリティ操作
6
セキュア・アプリケーションのデプロイ
6.1
概要
6.2
デプロイのためのツールの選択
6.2.1
Fusion Middleware Controlを使用したJavaEEアプリケーションとOracle ADFアプリケーションのデプロイ
6.3
テスト環境へのOracle ADFアプリケーションのデプロイ
6.3.1
テスト環境へのデプロイ
6.3.1.1
テスト環境へのデプロイ後の一般的な管理タスク
6.4
標準JavaEEアプリケーションのデプロイ
6.5
テスト環境から本番環境への移行
6.5.1
ポリシー・プロバイダおよび資格証明プロバイダ以外のプロバイダの移行
6.5.1.1
アイデンティティの手動による移行
6.5.2
デプロイ時のポリシーおよび資格証明の移行
6.5.2.1
ポリシーの手動による移行
6.5.2.2
資格証明の手動による移行
6.5.2.3
大量のポリシー・ストアおよび資格証明ストアの移行
6.5.3
監査ポリシーの移行
第III部 OPSSの高度な管理
7
アイデンティティ・ストア・サービスの構成
7.1
アイデンティティ・ストア・サービスの概要
7.1.1
アイデンティティ・ストア・サービスについて
7.1.2
サービス・アーキテクチャ
7.1.3
アプリケーション・サーバーのサポート
7.1.4
JavaSEのサポート
7.2
アイデンティティ・ストア・プロバイダの構成
7.3
アイデンティティ・ストア・サービスの構成
7.3.1
構成内容
7.3.1.1
複数のLDAP検索の構成
7.3.1.2
グローバル/接続パラメータ
7.3.1.3
バックエンド/接続パラメータ
7.3.2
WebLogic Serverにおける構成
7.3.2.1
単一のLDAPを使用する場合のサービスの構成
7.3.2.2
Fusion Middleware Controlによる複数のLDAPを使用する場合のサービスの構成
7.3.2.3
WLSTによる複数のLDAPを使用する場合のサービスの構成
7.3.2.4
その他のパラメータの構成
7.3.2.5
サーバーの再起動
7.3.2.6
構成ファイルの例
7.3.3
分割プロファイルの構成
7.3.4
その他のアプリケーション・サーバーの構成
7.3.4.1
単一のLDAPを使用する場合のサービスの構成
7.3.4.2
複数のLDAPを使用する場合のサービスの構成
7.3.5
JavaSE環境
7.4
プログラムによるアイデンティティ・ストアの問合せ
8
OPSSセキュリティ・ストアの構成
8.1
OPSSセキュリティ・ストアの概要
8.2
LDAPベースのOPSSセキュリティ・ストアの使用
8.2.1
複数ノード・サーバー環境
8.2.2
LDAPベースのセキュリティ・ストアを使用する場合の前提条件
8.3
DBベースのOPSSセキュリティ・ストアの使用
8.3.1
DBベースのセキュリティ・ストアを使用する場合の前提条件
8.3.1.1
OracleデータベースでのOPSSスキーマの作成
8.3.1.2
OracleデータベースでのOPSSスキーマの削除
8.3.1.3
データソース・インスタンスの作成
8.3.2
DBベースのセキュリティ・ストアのメンテナンス
8.3.3
DBへのSSL接続の設定
8.3.3.1
Oracle DBサーバーでのSSLの構成
8.3.3.2
クライアントでのSSLの構成
8.4
OPSSセキュリティ・ストアの構成
8.5
OPSSセキュリティ・ストアの再関連付け
8.5.1
Fusion Middleware Controlを使用した再関連付け
8.5.1.1
一方向SSL接続の設定
8.5.1.2
Oracle Internet Directoryノードへのアクセスの保護
8.5.2
スクリプトreassociateSecurityStoreを使用した再関連付け
8.6
OPSSセキュリティ・ストアの移行
8.6.1
Fusion Middleware Controlを使用した移行
8.6.2
スクリプトmigrateSecurityStoreを使用した移行
8.6.2.1
使用例
8.7
アイデンティティ・プロバイダ、プロパティ・セットおよびSSOの構成
8.7.1
アイデンティティ・ストア・プロバイダの構成
8.7.2
プロパティとプロパティ・セットの構成
8.7.3
シングル・サインオン・ソリューションの指定
8.7.3.1
OPSS SSOフレームワーク
8.7.3.2
Fusion Middleware Controlを使用したSSOソリューションの構成
8.7.3.3
OAM構成の例
8.8
Oracle Internet Directoryの属性のカタログ化
9
ポリシー・ストアの管理
9.1
ポリシー・ストアの管理
9.2
Fusion Middleware Controlを使用したポリシーの管理
9.2.1
アプリケーション・ポリシーの管理
9.2.2
アプリケーション・ロールの管理
9.2.3
システム・ポリシーの管理s
9.3
OPSSスクリプトによるアプリケーション・ポリシーの管理
9.3.1
listAppStripes
9.3.1.1
DBベース・ストアへの再関連付け後のlistAppStripesの実行
9.3.2
createAppRole
9.3.3
deleteAppRole
9.3.4
grantAppRole
9.3.5
revokeAppRole
9.3.6
listAppRoles
9.3.7
listAppRolesMembers
9.3.8
grantPermission
9.3.9
revokePermission
9.3.10
listPermissions
9.3.11
deleteAppPolicies
9.3.12
createResourceType
9.3.13
getResourceType
9.3.14
deleteResourceType
9.3.15
createResource
9.3.16
deleteResource
9.3.17
listResources
9.3.18
listResourceActions
9.3.19
createEntitlement
9.3.20
getEntitlement
9.3.21
deleteEntitlement
9.3.22
addResourceToEntitlement
9.3.23
revokeResourceFromEntitlement
9.3.24
listEntitlements
9.3.25
grantEntitlement
9.3.26
revokeEntitlement
9.3.27
listEntitlement
9.3.28
listResourceTypes
9.3.29
reassociateSecurityStore
9.4
キャッシングとキャッシュのリフレッシュ
9.4.1
例
9.5
WLSTスクリプトを使用した匿名ロールおよび認証ロールへのポリシーの付与
9.6
WLSTスクリプトのバージョン付きアプリケーションのアプリケーション・ストライプ
9.7
Oracle Authorization Policy Managerを使用したアプリケーション・ポリシーの管理
9.8
ポリシー・ストア構成のガイドライン
10
資格証明ストアの管理
10.1
資格証明のタイプ
10.2
資格証明ストアの管理
10.3
Fusion Middleware Controlを使用した資格証明の管理
10.4
OPSSスクリプトによる資格証明の管理
10.4.1
listCred
10.4.2
updateCred
10.4.3
createCred
10.4.4
deleteCred
10.4.5
modifyBootStrapCredential
10.4.6
addBootStrapCredential
11
Oracle Fusion Middleware監査フレームワークの概要
11.1
Oracle Fusion Middleware監査フレームワークの利点と機能
11.1.1
監査の目的
11.1.2
現在の監査の課題
11.1.3
Oracle Fusion Middleware 11
g
の監査フレームワーク
11.2
監査機能の概要
11.3
Oracle Fusion Middleware監査フレームワークの概念
11.3.1
監査アーキテクチャ
11.3.2
重要な技術的概念
11.3.3
監査レコードの格納
11.3.4
分析
12
監査の構成と管理
12.1
監査管理タスク
12.2
監査ストアの管理
12.2.1
RCUによる監査スキーマの作成
12.2.2
監査データソースの設定
122.2.1
複数のデータソース
12.2.3
Javaコンポーネント用のデータベース監査ストアの構成
12.2.3.1
監査ストアの構成の表示
12.2.3.2
監査ストアの構成
12.2.3.3
監査ストアの構成解除
12.2.4
システム・コンポーネント用のデータベース監査ストアの構成
12.2.4.1
監査ストアの構成解除
12.2.5
バスストップ・ファイルのチューニング
12.3
監査ポリシーの管理
12.3.1
Fusion Middleware ControlによるJavaコンポーネントの監査ポリシーの管理
12.3.2
Fusion Middleware Controlによるシステム・コンポーネントの監査ポリシーの管理
12.3.3
WLSTを使用した監査ポリシーの管理
12.3.3.1
WLSTを使用した監査ポリシーの表示
12.3.3.2
WLSTを使用した監査ポリシーの更新
12.3.3.3
例1: WLSTを使用したユーザーに対する監査ポリシーの構成
12.3.3.4
例2: WLSTを使用したイベントに対する監査ポリシーの構成
12.3.3.5
監査レベルを変更する際に保持されるカスタム構成
12.3.4
監査ポリシーの手動による管理
12.3.4.1
Javaコンポーネントの構成ファイルの場所
12.3.4.2
Javaコンポーネントのjps-config.xml内の監査サービス構成プロパティ
12.3.4.3
Javaコンポーネントのデータベースからファイルへの切替え
12.3.4.4
システム・コンポーネント用の監査の手動構成
12.4
監査ログ
12.4.1
監査ログの場所
12.4.2
監査ログのタイムスタンプ
12.5
データベース・ストアの拡張管理
12.5.1
スキーマの概要
12.5.2
表の属性
12.5.3
索引スキーム
12.5.4
バックアップとリカバリ
12.5.5
データのインポートとエクスポート
12.5.6
パーティション化
12.5.6.1
パーティション表
12.5.6.2
パーティション表のバックアップとリカバリ
12.5.6.3
データのインポート、エクスポート、消去
12.5.6.4
階層アーカイブ
13
監査分析と監査レポートの使用
13.1
監査レポート用のOracle Business Intelligence Publisherの設定
13.1.1
Oracle Business Intelligence Publisherについて
13.1.2
Oracle Business Intelligence Publisherのインストール
131.3
Oracle Business Intelligence PublisherでのOracle Reportsの設定
13.1.4
監査レポート・テンプレートの設定
13.1.5
監査レポート・フィルタの設定
13.1.6
Oracle Business Intelligence Publisherのスケジューラの構成
13.2
監査レポートの編成
13.3
監査レポートの表示
13.4
Oracle Business Intelligence Publisherレポートの例
13.5
監査レポートの詳細
13.5.1
Oracle Business Intelligence Publisherの監査レポートのリスト
13.5.2
Oracle Business Intelligence Publisherの監査レポートの属性
13.6
監査レポートのカスタマイズ
13.6.1
ビルトイン・レポートに対する拡張フィルタの使用
13.6.2
カスタム・レポートの作成
第IV部 シングル・サインオンの構成
14
Oracle Fusion Middlewareにおけるシングル・サインオンの概要
14.1
デプロイメントに適したSSOソリューションの選択
14.2
概要: WebLogic ServerのOAM認証プロバイダ
14.2.1
Oracle Access ManagerでのIDアサーション・プロバイダ機能の使用について
14.2.2
Oracle Access Managerでの認証プロバイダ機能の使用について
14.2.3
Oracle Access Manager SSOのシナリオとソリューションに対応するアプリケーションの選択
14.2.3.1
アプリケーションでのOracle Access Managerの初めての使用
14.2.3.2
アプリケーションでのOracle Application ServerからOracle WebLogic Serverへの移行
14.2.3.3
アプリケーションでのWebLogic SSPI用のOAMセキュリティ・プロバイダの使用
14.2.4
実装: プロバイダの使用におけるOAM 11gとOAM 10gの相違点
14.2.5
Oracle Access Managerで使用されるプロバイダの要件
14.3
WebLogic管理コンソールでのデバッグの設定
15
Oracle Access Manager 11gを使用したシングル・サインオンの構成
15.1
Oracle Access Manager 11g SSOの概要
15.1.1
OAM 10gアクセス・ゲートで使用される事前シード済OAM 11gポリシーのプレビュー
15.2
Oracle Access Manager 11g SSOソリューションのデプロイ
15.2.1
Oracle Access Manager 11gでの認証プロバイダのインストール
15.2.2
Oracle Access Manager 11gでのOAMエージェントのプロビジョニング
15.2.2.1
Oracle Access Manager 11gでのWebゲートのプロビジョニング・メソッドについて
15.2.2.2
Oracle Access Manager 11gでのWebゲートのプロビジョニング
15.2.3
Oracle Access Manager 11gでのSSO用のIDアサーションの構成
15.2.3.1
Oracle WebLogic Serverとの間の信頼の確立
15.2.3.2
WebLogicドメインでのプロバイダの構成
15.2.3.3
Oracle Access Manager IDアサーション・プロバイダのログイン・ページの確認
15.2.3.4
シングル・サインオン用のOracle Access Manager IDアサーションのテスト
15.2.4
Oracle Access Manager 11g用の認証プロバイダ機能の構成
15.2.4.1
WebLogicドメインでの認証プロバイダの構成
15.2.4.2
認証プロバイダのアプリケーション認証方式の構成
15.2.4.3
LDAP内のグループへの認証ユーザーのマッピング
15.2.4.4
Oracle Access Manager認証プロバイダの実装のテスト
15.2.5
Oracle Web Services ManagerおよびOAM 11g用のIDアサーションの構成
15.2.5.1
Webサービス用のOracle Web Services Managerポリシーの構成
15.2.5.2
Oracle Web Services ManagerのWebLogicドメインでのプロバイダの構成
15.2.5.3
Oracle Web Services Manager用のIDアサーション・プロバイダのテスト
15.3
Oracle Access Manager 11g用の集中管理ログアウトの構成
15.3.1
11g WebゲートおよびOAM 11gのログアウト
15.3.2
Oracle Access Manager 11gでの10g Webゲートのログアウト
15.4
ユーザーとSSOセッションの同期: SSO同期フィルタ
15.5
トラブルシューティングのヒント
16
Oracle Access Manager 10gを使用したシングル・サインオンの構成
16.1
Oracle Access Manager 10gを使用したSSOソリューションのデプロイ
16.1.1
OAM 10g用の認証プロバイダのインストールおよび設定
16.1.1.1
Oracle Access Manager 10gのインストールと設定について
16.1.1.2
認証プロバイダおよびOAM 10g用のコンポーネントとファイルのインストール
16.1.1.3
Oracle Access Manager 10gでのリソース・タイプの作成
16.1.2
Oracle Access Manager 10gおよび10g Webゲート用のグローバル・ログアウトの構成
16.1.2.1
ログアウトを構成するための推奨プロセス
16.1.2.2
ログアウトを構成するための代替プロセス
16.2
Oracle Access Manager認証プロバイダのパラメータ・リスト
16.3
OAMCfgToolの概要
16.3.1
OAMCfgToolのプロセス概要
16.3.2
OAMCfgToolのパラメータと値
16.3.2.1
CREATEモードのパラメータと値
16.3.2.2
VALIDATEモードのパラメータと値
16.3.2.3
DELETEモードのパラメータと値
16.3.3
OAMCfgToolで作成したポリシー・ドメインとアクセス・ゲート・プロファイルのサンプル
16.3.4
既知の問題: JARファイルとOAMCfgTool
16.4
Oracle Access Manager 10gでのSSO用のOAM IDアサーションの構成
16.4.1
Oracle WebLogic Serverとの間の信頼の確立
16.4.1.1
シングル・サインオン用アプリケーション認証方式の設定
16.4.1.2
Oracle Access Manager IDアサーション・プロバイダ用のmod_weblogicの確認
16.4.1.3
Oracle WebLogic Serverとその他のエンティティ間の信頼の確立
16.4.2
IDアサーション・プロバイダの認証スキームの構成
16.4.2.1
認証スキーム、ポリシー・ドメイン、およびWebゲート・プロファイルの作成
16.4.3
WebLogicドメインでのプロバイダの構成
16.4.3.1
Oracle WebLogic Serverの認証プロバイダとIDアサーション・プロバイダについて
16.4.3.2
Oracle WebLogic Scripting Tool (WLST)について
16.4.3.3
Oracle Access Manager IDアサーションのプロバイダの設定
16.4.4
IDアサーション・プロバイダおよびOAM 10gのログイン・フォームの設定
16.4.5
OAM 10gでのSSO用のIDアサーションのテスト
16.5
Oracle Access Manager 10g用の認証プロバイダの構成
16.5.1
認証プロバイダの認証スキームの作成
16.5.2
Oracle Access Manager認証プロバイダのポリシー・ドメインの構成
16.5.2.1
ポリシー・ドメインの作成について
16.5.2.2
認証プロバイダのポリシー・ドメインとアクセス・ポリシーの作成
16.5.3
WebLogicドメインでの認証プロバイダの構成
16.5.4
認証プロバイダのアプリケーション認証方式の構成
16.5.5
LDAP内のグループへの認証ユーザーのマッピング
16.5.6
Oracle Access Manager認証プロバイダの実装のテスト
16.6
Oracle Web Services ManagerおよびOAM 10g用のIDアサーションの構成
16.6.1
Oracle Web Services Managerで使用されるポリシー・ドメインの作成
16.6.2
Webサービス用のOracle Web Services Managerポリシーの構成
16.6.3
Oracle Web Services ManagerのWebLogicドメインでのプロバイダの構成
16.6.4
Oracle Web Services Manager用のIDアサーション・プロバイダのテスト
16.7
ユーザーとSSOセッションの同期: SSO同期フィルタ
16.8
OAMプロバイダ・デプロイメントのトラブルシューティング・ヒント
16.8.1
IPv6の使用について
16.8.2
Apacheブリッジの失敗: タイムアウト
16.8.3
認証済ユーザーがアクセスを拒否される
16.8.4
ブラウザの「戻る」ボタンを押すとエラーが発生する
16.8.5
OAMおよびOID認証プロバイダを追加した後に再起動できない
16.8.6
ロード・バランシングされるWebゲートを持つクラスタのクライアント
16.8.7
エラー401: アプリケーションにアクセスできません
16.8.8
エラー403: アプリケーションにアクセスできません
16.8.9
エラー404: リクエストURIに合致するものを見つけられませんでした
16.8.10
フォーム・ログイン・ページのアクションURLでエラーが発生する
16.8.11
Oracle WebLogic Serverの起動中にエラーが発生するか、失敗する
16.8.12
JAAS制御フラグ
16.8.13
資格証明の送信時にログイン・フォームが繰り返し表示される(エラーは表示されない)
16.8.14
ログアウトとセッション・タイムアウトの問題
16.8.15
見つかりません: リクエストされたURLまたはリソースが見つかりません
16.8.16
Oracle WebLogic Serverの起動に失敗する
16.8.17
Oracle ADF統合と証明書モード
16.8.18
Protected_JSessionId_Policyについて
17
OracleAS SSO 10gを使用したシングル・サインオンの構成
17.1
OracleAS 10g Single Sign-On (OSSO)ソリューションのデプロイ
17.1.1
OSSO IDアサーション・プロバイダの使用
17.1.1.1
Oracle WebLogicセキュリティ・フレームワーク
17.1.1.2
OSSO IDアサーション・プロバイダの処理
17.1.1.3
OSSO IDアサーション・プロバイダによるヘッダーの使用
17.1.2
OSSO IDアサーション・プロバイダの新規ユーザー
17.1.2.1
mod_weblogicの構成
17.1.2.2
OSSO Server 10.1.4へのOracle HTTP Server mod_ossoの登録
17.1.2.3
Webリソースを保護するためのmod_ossoの構成
17.1.2.4
OSSO用WebLogicドメインへのプロバイダの追加
17.1.2.5
Oracle WebLogic Serverとその他のエンティティ間の信頼の確立
17.1.2.6
OSSO IDアサーション・プロバイダ用のアプリケーションの構成
17.2
ユーザーとSSOセッションの同期: SSO同期フィルタ
17.3
OSSO IDアサーション・プロバイダのデプロイメントのトラブルシューティング
17.3.1
SSO関連の問題
17.3.2
OSSO IDアサーション・プロバイダ関連の問題
17.3.3
URL再書込みとJSESSIONID
17.3.4
mod_osso、OSSO Cookieおよびディレクティブについて
17.3.4.1
mod_ossoの新しいOssoHTTPOnlyディレクティブ
17.3.4.2
mod_ossoのOssoSecureCookiesディレクティブ
17.3.4.3
mod_ossoが戻りURLをエンコードしない
17.3.4.4
mod_osso: デフォルトのインストール後に「ページが見つかりません」と表示される
17.3.5
IPv6の使用について
第V部 Oracle Platform Security ServicesのAPIを使用した開発
18
Oracle Platform Security Servicesを使用したセキュアなアプリケーションの開発
18.1
開発者向けのOPSS
18.1.1
開発サイクル
18.1.2
Javaアプリケーションを保護する際の課題
18.1.3
Oracle Platform Security Servicesによる課題の克服
18.1.4
OPSSのアーキテクチャ
18.2
OPSS API
18.2.1
LoginService API
18.2.2
ユーザーおよびロールAPI
18.2.3
JAAS認可とJpsAuth.checkPermission API
18.2.4
資格証明ストア・フレームワークAPI
18.3
OPSSの一般的な用途
18.3.1
OPSS APIを使用するJavaEEアプリケーション
18.3.2
OPSS APIによる認証
18.3.3
プログラム的な認可
18.3.4
資格証明ストア・フレームワーク
18.3.5
ユーザーおよびロール
18.3.6
Oracle ADFによる認可
18.3.7
OPSS APIを使用するJavaSEアプリケーション
18.4
OPSSとOracle Application Development Frameworkの併用
18.4.1
Oracle ADFについて
18.4.2
Oracle ADFによるOPSSの使用方法
18.4.3
Oracle ADFの開発ライフ・サイクル
18.5
Oracle Security Developer Toolsの使用
18.6
Oracle JDeveloper/Oracle ADFの外部でのOPSSの使用
19
OPSSポリシー・モデル
19.1
セキュリティ・ポリシー・モデル
19.2
認可の概要
19.2.1
認可の概要
19.2.2
JavaEE認可モデル
19.2.2.1
宣言的な認可
19.2.2.2
プログラムによる認可
19.2.2.3
JavaEEのコード例
19.2.3
JAAS認可モデル
19.3
JAAS/OPSS認可モデル
19.3.1
リソース・カタログ
19.3.2
ポリシーの管理
19.3.3
ポリシーの確認
19.3.3.1
メソッドcheckPermissionの使用方法
19.3.3.2
メソッドdoAsおよびdoAsPrivilegedの使用方法
19.3.3.3
メソッドcheckBulkAuthorizationの使用方法
19.3.3.4
メソッドgetGrantedResourcesの使用方法
19.3.4
クラスResourcePermission
20
JavaEEアプリケーション・セキュリティのOPSSとの統合
20.1
概要
20.2
用語
20.3
Oracle Identity and Access Management Suite
20.3.1
OID: IDストアおよびポリシー・ストア
20.3.2
OAMおよびOSSO: ユーザー認証とWeb SSO
20.3.3
OIM: ユーザーとロールのプロビジョニング
20.3.4
OPSS: ユーザーとロールのプロファイリング
20.3.5
OPSS: ユーザー認可
20.3.6
OAPM: アプリケーション・ポリシー管理
20.3.7
OPSS: 暗号
20.4
アプリケーションのセキュリティ・ライフ・サイクル
20.4.1
開発フェーズ
20.4.2
デプロイメント・フェーズ
20.4.3
管理フェーズ
20.4.4
各フェーズの担当者別タスクの概要
20.5
アプリケーション・セキュリティ統合入門
20.5.1
Oracle Platform Security Services
20.5.2
使用例1 - J2EEアプリケーション
20.6
必須のセキュリティ機能
20.6.1
資格証明
20.6.2
認証
20.6.3
認可
20.6.4
ユーザーおよびロールの管理
20.7
認証の統合
20.7.1
コンテナベースの認証
20.7.2
Oracle WebLogic Server認証プロバイダ
20.7.3
プログラムによる認証
20.7.4
OPSSを介したシングル・サインオン
20.8
認可の統合
20.8.1
機能セキュリティ
20.8.1.1
機能セキュリティ・モデル
20.8.1.2
CheckPermissionによるパーミッションのチェック
20.8.2
ADFによる機能セキュリティ
20.9
資格証明ストアの統合
20.9.1
CSF使用のガイドライン
20.9.2
暗号化
21
OPSSを使用するためのJavaEEアプリケーションの手動構成
21.1
サーブレット・フィルタとEJBインターセプタの構成
21.1.1
インターセプタ構成構文
21.1.2
フィルタおよびインターセプタ・パラメータの概要
21.1.3
JMXインターセプタ
21.2
エンタープライズ・グループとエンタープライズ・ユーザーに適したクラスの選択
21.3
JavaEEアプリケーションの手動によるパッケージ化
21.3.1
アプリケーションとポリシーのパッケージ化
21.3.2
アプリケーションと資格証明とのパッケージ化
21.4
OPSSを使用するためのアプリケーションの構成
21.4.1
ポリシーの移行を制御するパラメータ
21.4.2
動作に従ったポリシー・パラメータの構成
21.4.2.1
全ポリシーの移行をスキップするには
21.4.2.2
全ポリシーをマージにより移行するには
21.4.2.3
全ポリシーを上書きにより移行するには
21.4.2.4
アプリケーション・ポリシーを削除する(またはアプリケーション・ポリシーを削除しない)には
21.4.2.5
静的デプロイメントでポリシーを移行するには
21.4.2.6
推奨事項
21.4.3
ウォレットベースの資格証明ストアの使用
21.4.4
資格証明の移行を制御するパラメータ
21.4.5
動作に従った資格証明パラメータの構成
21.4.5.1
資格証明の移行をスキップするには
21.4.5.2
資格証明をマージにより移行するには
21.4.5.3
資格証明を上書きにより移行するには
21.4.6
サポートされているパーミッション・クラス
21.4.6.1
ポリシー・ストアのパーミッション
21.4.6.2
資格証明ストアのパーミッション
21.4.6.3
一般的なパーミッション
21.4.7
ブートストラップ資格証明の手動による指定
21.4.8
migrateSecurityStoreを使用したアイデンティティの移行
21.4.9
構成ファイルjps-config.xmlの例
22
認証の開発
22.1
JavaEEアプリケーションの認証トピックへのリンク
22.2
JavaSEアプリケーション向け認証の開発
22.2.1
アイデンティティ・ストア
22.2.2
JavaSEアプリケーションでのLDAPアイデンティティ・ストアの構成
22.2.3
JavaSEアプリケーション向けにサポートされるログイン・モジュール
22.2.3.1
アイデンティティ・ストアのログイン・モジュール
22.2.3.2
認証のためのアイデンティティ・ストア・ログイン・モジュールの使用
22.2.3.3
アサーションのためのアイデンティティ・ログイン・モジュールの使用
22.2.4
JavaSEアプリケーションでのOPSS API LoginServiceの使用
23
資格証明ストア・フレームワークを使用した開発
23.1
資格証明ストア・フレームワークAPIについて
23.2
CSFを使用したアプリケーション開発の概要
23.3
Javaセキュリティ・ポリシーのパーミッションの設定
23.3.1
パーミッション付与のガイドライン
23.3.2
パーミッション付与例1
23.3.3
パーミッション付与例2
23.4
マップ名のガイドライン
23.5
資格証明ストアの構成
23.6
APIの使用手順
23.6.1
スタンドアロン環境でのCSF APIの使用方法
23.6.2
Oracle WebLogic ServerでのCSF APIの使用方法
23.7
例
23.7.1
CSF操作のコード
23.7.2
例1: ウォレット・ストアを使用するJavaSEアプリケーション
23.7.3
例2: ウォレット・ストアを使用するJavaEEアプリケーション
23.7.4
例3: LDAPストアを使用するJavaEEアプリケーション
23.8
ベスト・プラクティス
24
認可の開発
24.1
JavaSEアプリケーションに対するポリシー・ストアと資格証明ストアの構成
24.1.1
ファイルベースのポリシー・ストアおよび資格証明ストアの構成
24.1.2
LDAPベースのポリシー・ストアおよび資格証明ストアの構成
24.1.3
DBベースのOPSSセキュリティ・ストアの構成
24.2
ファイルベースのポリシー・ストアに対してサポートされていないメソッド
25
ユーザーおよびロールAPIを使用した開発
25.1
ユーザーおよびロールAPIフレームワークの概要
25.1.1
ユーザーおよびロールAPIとOracle WebLogic Serverの認証プロバイダ
25.2
ロールとクラスの要約
25.3
サービス・プロバイダの操作
25.3.1
サービス・プロバイダについて
25.3.2
環境の設定
25.3.3
プロバイダの選択
25.3.4
プロバイダ・インスタンスの作成
25.3.5
プロバイダの構成プロパティ
25.3.5.1
起動時と実行時の構成
25.3.5.2
ECID伝播
25.3.5.2
構成の値を渡すタイミング
25.3.6
ファクトリ・インスタンス作成時のプロバイダの構成
25.3.6.1
Oracle Internet Directoryプロバイダ
25.3.6.2
既存のロガー・オブジェクトの使用
25.3.6.3
定数値の指定
25.3.6.4
接続パラメータの構成
25.3.6.5
カスタム接続プール・クラスの構成
25.3.7
ストア・インスタンス作成時のプロバイダの構成
25.3.8
実行時の構成
25.3.9
プログラミングの考慮事項
25.3.9.1
プロバイダの移植性に関する考慮事項
25.3.9.2
IdentityStoreオブジェクト使用時の考慮事項
25.3.10
プロバイダのライフサイクル
25.4
リポジトリの検索
25.4.1
特定のアイデンティティの検索
25.4.2
複数のアイデンティティの検索
25.4.3
検索パラメータの指定
25.4.4
検索フィルタの使用
25.4.4.1
検索フィルタの演算子
25.4.4.2
検索フィルタ使用時の特殊文字の処理
25.4.4.3
検索フィルタの使用例
25.4.5
GUIDによる検索
25.5
ユーザー認証
25.6
アイデンティティ・ストアのエントリの作成と変更
25.6.1
アイデンティティ作成時の特殊文字の処理
25.6.2
アイデンティティの作成
25.6.3
アイデンティティの変更
25.6.4
アイデンティティの削除
25.7
ユーザーおよびロールAPIの使用例
25.7.1
例1: ユーザーの検索
25.7.2
例2: Oracle Internet Directoryストアにおけるユーザー管理
25.7.3
例3: Microsoft Active Directoryストアにおけるユーザー管理
25.8
LDAPベースのユーザーおよびロールAPIプロバイダのSSL構成
25.8.1
すぐに使用できるSSLのサポート
25.8.1.1
システム・プロパティ
25.8.1.2
SSLの構成
25.8.2
ユーザーおよびロールAPIのSSLサポートのカスタマイズ
25.8.2.1
SSLの構成
25.9
ユーザーおよびロールAPIリファレンス
25.10
カスタムのユーザーおよびロール・プロバイダの開発
25.10.1
SPIの概要
25.10.2
ユーザーおよびロール・プロバイダのタイプ
25.10.3
読取り専用プロバイダの開発
25.10.3.1
拡張が必要なSPIクラス
25.10.3.2
oracle.security.idm.spi.AbstractIdentityStoreFactory
25.10.3.3
oracle.security.idm.spi.AbstractIdentityStore
25.10.3.4
oracle.security.idm.spi.AbstractRoleManager
25.10.3.5
oracle.security.idm.spi.AbstractUserManager
25.10.3.6
oracle.security.idm.spi.AbstractRoleProfile
25.10.3.7
oracle.security.idm.spi.AbstractUserProfile
25.10.3.8
oracle.security.idm.spi.AbstractSimpleSearchFilter
25.10.3.9
oracle.security.idm.spi.AbstractComplexSearchFilter
25.10.3.10
oracle.security.idm.spi.AbstractSearchResponse
25.10.4
フル機能プロバイダの開発
25.10.5
開発のガイドライン
25.10.6
テストと検証
25.10.7
例: アイデンティティ・プロバイダの実装
25.10.7.1
サンプル・プロバイダについて
25.10.7.2
実装の概要
25.10.7.3
サンプル・アイデンティティ・プロバイダの使用に向けたjps-config.xmlの構成
25.10.7.4
Oracle WebLogic Serverの構成
ユーザーおよびロールSPIリファレンス
oracle.security.idm.spi.AbstractUserProfile
oracle.security.idm.spi.AbstractUserManager
oracle.security.idm.spi.AbstractUser
oracle.security.idm.spi.AbstractSubjectParser
oracle.security.idm.spi.AbstractStoreConfiguration
oracle.security.idm.spi. AbstractSimpleSearchFilter
oracle.security.idm.spi.AbstractSearchResponse
oracle.security.idm.spi.AbstractRoleProfile
oracle.security.idm.spi.AbstractRoleManager
oracle.security.idm.spi.AbstractRole
oracle.security.idm.spi.AbstractIdentityStoreFactory
oracle.security.idm.spi.AbstractIdentityStore
oracle.security.idm.spi.AbstractComplexSearchFilter
第VI部 付録
A
OPSS構成ファイル・リファレンス
A.1
トップレベルおよび第2レベルの要素階層
A.2
下位レベルの要素
<description>
<extendedProperty>
<extendedPropertySet>
<extendedPropertySetRef>
<extendedPropertySets>
<jpsConfig>
<jpsContext>
<jpsContexts>
<name>
<property>
<propertySet>
<propertySetRef>
<propertySets>
<serviceInstance>
<serviceInstanceRef>
<serviceInstances>
<serviceProvider>
<serviceProviders>
<value>
<values>
B
ファイルベースのアイデンティティ・ストアとポリシー・ストアのリファレンス
B.1
system-jazn-data.xmlの要素の階層
B.2
system-jazn-data.xmlの要素と属性
<actions>
<actions-delimiter>
<app-role>
<app-roles>
<application>
<applications>
<attribute>
<class>
<codesource>
<credentials>
<description>
<display-name>
<extended-attributes>
<grant>
<grantee>
<guid>
<jazn-data>
<jazn-policy>
<jazn-realm>
<matcher-class>
<member>
<member-resource>
<member-resources>
<members>
<name>
<owner>
<owners>
<permission>
<permissions>
<permission-set>
<permission-sets>
<policy-store>
<principal>
<principals>
<provider-name>
<realm>
<resource>
<resources>
<resource-name>
<resource-type>
<resource-types>
<role>
<role-categories>
<role-category>
<role-name-ref>
<roles>
<type>
<type-name-ref>
<uniquename>
<url>
<user>
<users>
<value>
<values>
C
Oracle Fusion Middleware監査フレームワーク・リファレンス
C.1
監査イベント
C.1.1
監査可能なコンポーネント
C.1.2
監査可能なイベント
C.1.2.1
Oracle Directory Integration Platformのイベントとその属性
C.1.2.2
Oracle Platform Security Servicesのイベントとその属性
C.1.2.3
Oracle HTTP Serverのイベントとその属性
C.1.2.4
Oracle Internet Directoryのイベントとその属性
C.1.2.5
Oracle Identity Federationのイベントとその属性
C.1.2.6
Oracle Virtual Directoryのイベントとその属性
C.1.2.7
OWSM-Agentのイベントとその属性
C.1.2.8
OWSM-PM-EJBのイベントとその属性
C.1.2.9
Reportsサーバーのイベントとその属性
C.1.2.10
WSポリシー・アタッチメントのイベントとその属性
C.1.2.11
Oracle Web Cacheのイベントとその属性
C.1.2.12
Oracle Web Services Managerのイベントとその属性
C.1.3
イベント属性の説明
C.2
ビルトイン監査レポート
C.2.1
共通監査レポート
C.2.2
コンポーネント固有の監査レポート
C.3
監査スキーマ
C.4
監査のためのWLSTコマンド
C.4.1
getNonJavaEEAuditMBeanName
C.4.1.1
説明
C.4.1.2
構文
C.4.1.3
例
C.4.2
getAuditPolicy
C.4.2.1
説明
C.4.2.2
構文
C.4.2.3
例
C.4.3
setAuditPolicy
C.4.3.1
説明
C.4.3.2
構文
C.4.3.3
例
C.4.4
getAuditRepository
C.4.4.1
説明
C.4.4.2
構文
C.4.4.3
例
C.4.5
setAuditRepository
C.4.5.1
説明
C.4.5.2
構文
C.4.5.3
例
C.4.6
listAuditEvents
C.4.6.1
説明
C.4.6.2
構文
C.4.6.3
例
C.4.7
exportAuditConfig
C.4.7.1
説明
C.4.7.2
構文
C.4.7.3
例
C.4.8
importAuditConfig
C.4.8.1
説明
C.4.8.2
構文
C.4.8.3
例
C.5
監査フィルタ式の構文
C.6
監査ファイルの命名およびロギング形式
D
ユーザー/ロールAPIリファレンス
D.1
LDAPディレクトリへのユーザー属性のマッピング
D.2
LDAPディレクトリへのロール属性のマッピング
D.3
デフォルトの構成パラメータ
D.4
Microsoft Active Directoryのためのセキュアな接続
E
WLSTスクリプトおよびMBeanプログラミングを使用した管理
E.1
WLSTスクリプトを使用したOPSSサービス・プロバイダ・インスタンスの構成
E.2
MBeanを使用したOPSSサービスの構成
E.2.1
サポートされるOPSS MBeansのリスト
E.2.2
OPSS MBeanの起動
E.2.3
OPSS MBeansを使用したプログラミング
E.3
アクセス制限
E.3.1
注釈の例
E.3.2
WebLogicロールへの論理ロールのマッピング
E.3.3
特定のアクセス制限
F
OPSSのシステムおよび構成プロパティ
F.1
OPSSシステム・プロパティ
F.2
OPSS構成プロパティ
F.2.1
ポリシー・ストアのプロパティ
F.2.1.1
ポリシー・ストアの構成
F.2.1.2
実行時ポリシー・ストアの構成
F.2.2
資格証明ストアのプロパティ
F.2.3
LDAPアイデンティティ・ストアのプロパティ
F.2.4
LDAPベースのすべてのインスタンスに共通するプロパティ
F.2.5
匿名ロールと認証ロールのプロパティ
G
セキュリティ・データのアップグレード
G.1
upgradeSecurityStoreを使用したセキュリティ・データのアップグレード
G.1.1
使用例
G.1.1.1
例1 - アイデンティティのアップグレード
G.1.1.2
例2 - ファイルベース・ポリシーへのアップグレード
G.1.1.3
例3 - Oracle Internet Directory LDAPベースのポリシーへのアップグレード
G.1.1.4
例4 -リソース・カタログを使用するようファイルベースのポリシーをアップグレード
G.2
upgradeOpssを使用したポリシーのアップグレード
H
リファレンス
H.1
OPSS APIリファレンス
I
OPSSスクリプト
I.1
ポリシー関連のスクリプト
I.2
資格証明関連のスクリプト
I.3
その他のセキュリティ・スクリプト
I.4
監査スクリプト
J
OpenLDAPアイデンティティ・ストアの使用
J.1
OpenLDAPアイデンティティ・ストアの使用
K
ID仮想化のためのアダプタ構成
K.1
分割プロファイルについて
K.2
分割プロファイルの構成
K.3
結合ルールの削除
K.4
結合アダプタの削除
K.5
アダプタの可視性の変更
L
Oracle Fusion Middlewareのセキュリティのトラブルシューティング
L.1
セキュリティ・エラーの診断
L.1.1
ログ・ファイル
L.1.1.1
診断ログ・ファイル
L.1.1.2
一般的なログ・ファイル
L.1.1.3
監査診断のログ・ファイル
L.1.1.4
Fusion Middleware Controlロギングのサポートの使用
L.1.2
システム・プロパティ
L.1.2.1
jps.auth.debug
L.1.2.2
jps.auth.debug.verbose
L.1.2.3
認可プロセスのデバッグ
L.1.3
セキュリティ・エラーの解決
L.1.3.1
サンプル・ログ・エントリの理解
L.1.3.2
Fusion Middleware Controlを使用したログの検索
L.1.3.3
Fusion Middleware Controlを使用したメッセージ・コンテキストの識別
L.1.3.4
Fusion Middleware Controlを使用したエラー・リスト・ファイルの生成
L.2
再関連付けの失敗
L.2.1
再関連付けしたポリシー・ストアのポリシーの欠落
L.3
サーバーの起動の失敗
L.3.1
必須のLDAP認証プロバイダの欠落
L.3.2
管理者アカウントの欠落
L.3.3
パーミッションの欠落
L.3.4
その他の原因
L.4
パーミッションの付与または取消しの失敗 - 大文字と小文字の不一致
L.5
LDAPサーバーへの接続の失敗
L.6
組込みのLDAP認証プロバイダへの接続の失敗
L.7
ユーザーおよびロールAPIの失敗
L.8
ドメイン資格証明ストアのデータへのアクセスの失敗
L.9
匿名SSL接続の確立の失敗
L.10
認可チェックの失敗
L.11
ユーザーによる予期しないパーミッションの取得
L.12
セキュリティ・アクセス制御の例外
L.13
パーミッション・チェックの失敗
L.14
ポリシーの移行の失敗
L.15
ポリシーに使用する文字
L.15.1
Oracle Internet Directory 10.1.4.3での特殊文字の使用
L.15.2
特定の文字が含まれるXMLポリシー・ストア
L.15.3
アプリケーション・ロール名に使用する文字
L.15.4
XMLポリシー・ストアでの改行文字の欠落
L.16
J2SEアプリケーションにおけるパーミッションの付与
L.17
Oracle Business Intelligenceレポート作成のトラブルシューティング
L.17.1
Oracle Business Intelligence Publisherの監査テンプレート
L.17.2
Oracle Business Intelligence Publisherのタイムゾーン
L.18
ポリシー・ストアでの属性照合時の検索の失敗
L.19
不明なホスト例外による検索の失敗
L.20
バイナリとポリシー・ストアのバージョンの非互換性
L.21
追加のヘルプ
索引