20 セキュリティ・タスクの概要

この章では、Oracle CEP Visualizerで実行できるセキュリティ・タスクを紹介します。これには、ユーザー、グループおよびロールの管理や、HTTPパブリッシュ/サブスクライブ・サーバー・チャネルのセキュリティとSSLの管理があります。

20.1項「ユーザー、グループ、およびロールの管理」
20.2項「HTTPパブリッシュ/サブスクライブ・サーバー・チャネル・セキュリティの管理」
20.3項「SSLの管理」

詳細は、『Oracle Fusion Middleware Oracle Complex Event Processing管理者ガイド』のOracle CEPのセキュリティの構成に関する項を参照してください。

20.1 ユーザー、グループ、およびロールの管理

Oracle CEPは、ロール・ベースの認可制御を使用し、Oracle CEP Visualizerおよびwlevs.Adminコマンドライン・ユーティリティを保護します。すぐに使用できる各種デフォルトのセキュリティ・グループがあります。ユーザーを異なるグループに追加し、異なるロールを付与できます。

Oracle CEP Visualizer、wlevs.Admin,またはJMXを使用してOracle CEPインスタンスに接続する任意のカスタム管理アプリケーションを使用する管理者は、ロール・ベースの認可を使用してアクセス権を取得します。

また、ロール・ベースの認可を使用して、HTTPパブリッシュ/サブスクライブ・サーバーへのアクセス権を制御できます。

次の2種類のロールがあります。

アプリケーション・ロール: アプリケーション・ロールは、ユーザーにOracle CEPサーバーへデプロイされた各種Oracle CQLアプリケーションへアクセスするための権限を付与します。アプリケーション・ロールを作成し、それをOracle CEPが提供するタスク・ロールに関連付けることが可能です。

デフォルトでは、管理者ユーザーは任意のアプリケーションへアクセスできますが、非管理者ユーザーはすべてのアプリケーションへはアクセスできません。非管理者ユーザーがアプリケーションへアクセスする前に、管理者ユーザーはユーザーに関連するアプリケーション・ロールを付与する必要があります。
タスク・ロール: タスク・ロールは、自身のアプリケーション・ロールによってアクセスが認可されたアプリケーションで様々なタスクを実行する権限を、ユーザーに付与します。Oracle CEPには、表20-1で説明するデフォルトのタスク・ロールが用意されています。

Oracle CEP Visualizerまたはwlevs.Adminを使用するとき、自身を正常に承認するユーザーは、グループ・メンバーショップに基づいたロールが割り当てられ、後続の管理機能へのアクセスはユーザーが持つロールによって制限されます。匿名ユーザー(認証されていないユーザー)は、Oracle CEP Visualizerまたはwlevs.Adminへのアクセス権を持ちません。

管理者が「構成ウィザード」を使用して新規ドメインを作成するとき、wlevsAdministratorsグループの一部となる管理者ユーザーを入力します。デフォルトでは、この情報はファイル・ベースのプロバイダ・ファイルストアに保存されます。パスワードはSHA-256アルゴリズムを使用してハッシュされます。デフォルトの管理者ユーザーは、wlevsという名前で、パスワードはwlevsです。

表20-1では、新しいドメインの作成直後に使用可能となるデフォルトのOracle CEPタスク・ロールと、それらのロールに割り当てられるグループの名前について説明します。

表20-1 デフォルトのOracle CEPタスク・ロールおよびグループ

タスク・ロール	グループ	権限
`Admin`	wlevsAdministrators	上記のロールが持つすべての権限に加えて、以下の権限があります。ユーザーおよびグループの作成 HTTPパブリッシュ/サブスクライブ・セキュリティの構成 Jettyやワーク・マネージャなどのシステム構成の変更
`ApplicationAdmin`	wlevsApplicationAdmins	すべてのOperator権限に加えて、デプロイされたアプリケーションの構成を更新する権限があります。
`BusinessUser`	wlevsBusinessUsers	すべてのOperator権限に加えて、デプロイ済アプリケーションのプロセッサに関連付けられたOracle CQL/EPLルールを更新するための権限を持ちます。
`Deployer`	wlevsDeployers	すべてのOperator権限に加えて、デプロイされたアプリケーションをデプロイ、アンデプロイ、更新、一時停止、および再開する権限があります。
`Monitor`	wlevsMonitors	すべてのOperator権限に加えて、診断プロファイルの作成やイベントの記録(および再生)などの診断機能を有効または無効にする権限があります。
`Operator`	wlevsOperators	すべてのサーバー・リソース、サービス、およびデプロイされたアプリケーションへの読取り専用アクセスがあります。

ドメインが作成されると、管理者はOracle CEP Visualizerを使用してグループを作成し、それを1つ以上のロールに関連付けることが可能です。各ロールによってアプリケーションへのアクセス権が付与されます。ユーザーをグループに割り当てるとき、グループに関連付けるロールによって、ユーザーにはアプリケーションへアクセスする権限が付与されます。

Oracle CEP Visualizerを使用すると、次のことを行えます:

20.2 HTTPパブリッシュ/サブスクライブ・サーバー・チャネル・セキュリティの管理

Oracle CEPは、HTTPパブリッシュ/サブスクライブ・サーバー(HTTP pub-sub server)を提供します。これは、Webクライアントがチャネルをサブスクライブし(JMSの内容と類似)、HTTP経由で非同期メッセージを使用してメッセージをチャネルへパブリッシュして、使用可能な状態になるとメッセージを受信するためにチャネルをサブスクライブするメカニズムです。

Oracle CEP Visualizerを使用すると、どのユーザーがHTTPパブリッシュ/サブスクライブ・サーバー・チャネルへアクセスできるかを指定できます。

詳細については、次を参照してください。

第24章「HTTPパブリッシュ/サブスクライブ・サーバー・セキュリティの管理」
『Oracle Fusion Middleware Oracle Complex Event Processing管理者ガイド』のOracle CEPのHTTPパブリッシュ/サブスクライブの構成に関する項

20.3 SSLの管理

Oracle CEPは、一方向のSecure Sockets Layer (SSL)を提供し、Oracle CEP VisualizerとOracle CEPサーバー・インスタンス間、マルチ・サーバー・ドメインのOracle CEPサーバー・インスタンス間、およびwlevs.Adminコマンドライン・ユーティリティとOracle CEPサーバー・インスタンス間のネットワーク・トラフィックを保護します。

Oracle CEPサーバーのconfig.xmlファイルでSSLを構成します。デフォルトでは、構成ウィザードがORACLE_CEP_HOME/user_projects/domains/DOMAIN_DIR/servername/configディレクトリでconfig.xmlファイルを作成します。ここで、ORACLE_CEP_HOMEはOracle CEPインストール・ディレクトリ(d:/oracle_cepなど)を示し、DOMAIN_DIRはドメイン・ディレクトリ(my_domainなど)を示し、servernameはサーバー・インスタンス・ディレクトリ(server1など)を示します。

詳細については、次を参照してください。

第25章「SSLの管理」
『Oracle Fusion Middleware Oracle Complex Event Processing管理者ガイド』のSSLに関する項