2 Oracle Adaptive Access Managerのネイティブ統合

Oracle Adaptive Access Managerをアプリケーションとネイティブ統合することで、高パフォーマンスなカスタマイズ性の高いセキュリティを実現できます。ネイティブ統合では、保護されるアプリケーション内に、プロセス内のOAAMが組み込まれます。アプリケーションでは、Oracle Adaptive Access Manager APIを直接起動して、リスクとチャレンジのフローにアクセスします。

この章では、サーバーが公開しているAPIを使用してOracle Adaptive Access Managerをクライアント・アプリケーションに統合する際のガイドラインを示しています。この開発者ガイドの他に、Javadocツールによって生成されるAPIドキュメントが使用可能です。このドキュメントは、HTMLとして提供され、Oracle Fusion Middleware Java API Reference for Oracle Adaptive Access Managerとして、HTML形式でIdentity Managementドキュメンテーション・ライブラリからダウンロードすることもできます。

この章では、次の内容を説明します。

• 第2.1項「OAAMネイティブ統合について」

• 第2.2項「スタート・ガイド」

• 第2.3項「仮想認証デバイス、ナレッジ・ベース認証、およびワンタイム・パスワードの統合」

2.1 OAAMネイティブ統合について

Oracle Adaptive Access Managerによって提供されるAPIで、デバイスのフィンガープリント処理、認証およびトランザクション・ログの収集、セキュリティ・ルールの実行、事前登録済の質問に対する正しい回答をユーザーに求めるチャレンジ、ワンタイム・パスワードの指定をユーザーに求めるチャレンジ、仮想認証デバイス(KeyPad、TextPad、またはQuestionPad)の生成を行えます。

2.1.1 ネイティブ統合について

OAAMネイティブ統合では、ログイン・プロセスの様々な段階でOAAM APIコールを組み込むようにクライアント・アプリケーションをカスタマイズします。ネイティブ統合では、クライアント・アプリケーションからOracle Adaptive Access Managerが直接起動されますが、認証およびチャレンジのフローはアプリケーションによって管理されます。

ネイティブAPIのオプションは、次のとおりです。

• Javaまたは.NETアプリケーションのSOAPサービス・ラッパーAPI

• Javaアプリケーション専用のIn-Proc(静的リンク・ライブラリ)

2.1.2 SOAPサービス・ラッパーAPIの統合

図2-1に、SOAPサービス・ラッパーAPI統合のシナリオを示します。このシナリオでは、アプリケーションはOAAMネイティブ・クライアントAPI (SOAPサービス・ラッパーAPI)を使用してOracle Adaptive Access Managerと通信します。アプリケーションはまた、Webサービスを介してOAAMと通信することもできます。

図2-1 SOAPサービス・ラッパーAPIの統合のシナリオ

SOAPサービス・ラッパーAPIでは、SOAPオブジェクトを作成してSOAPコールを起動したり、SOAPのWeb Service Definition Language (WSDL)やその他のWebサービス詳細をアプリケーション・コードから抽象化できます。このAPIのライブラリは、Java、.NETおよびC++で提供されています。この統合では、クライアント・ライブラリへの軽量クライアント・ライブラリ(JARまたはDLLファイル)の追加が必要になります。

2.1.3 In-Proc統合

図2-2に、In-Proc統合のシナリオを示します。このシナリオで関与するのはローカルAPIコールのみであるため、リモート・サーバーのリスク・エンジン・コール(SOAPコール)はありません。

図2-2 ローカルAPIコールを使用したIn-Proc統合のシナリオ

この統合では、アプリケーションにOracle Adaptive Access Managerの処理エンジンが埋め込まれるため、基礎となるデータベースを処理に直接活用することが可能になります。このシナリオでは、アプリケーションにサーバーのJARファイルと構成されたプロパティを適宜含める必要があります。

注意: In-Proc統合は、OAAMが存在するWebLogicコンテナ上でのみ機能します。

2.1.4 SOAPサービス・ラッパーAPIとIn-Procメソッドの比較

ルール・エンジンと通信する場合、すべてのJARファイルをアプリケーション・サーバーにローカルで静的に組み込むかどうか、配布済ルール・エンジン(通常は、ルールを管理するホスト上にあります)に対してSOAPコールを行うかどうかを決定する必要があります。

SOAPコールを直接行うのではなく、SOAPサーバー・ラッパーAPIを使用することをお薦めします。この理由は、次のとおりです。

• SOAPオブジェクトはクライアント・ライブラリによって構成されているため、SOAPコールに関連する詳細はクライアント・アプリケーションから抽象化されます。

• SOAP APIのシグネチャを変更しても、クライアント・コードへの変更は生じません。

• このAPIでは、HTTPリクエストおよびHTTPセッション・オブジェクトからパラメータを直接抽出するための、より高いレベルのユーティリティ・メソッドが提供されています。

• フィンガープリント・データをエンコードおよびデコードするメソッドが提供されています。

In-Procのパフォーマンスが若干優れているとしても、これがすべてのJavaクライアントに適しているとはかぎりません。Oracle Adaptive Access ManagerがJ2EEまたはアプリケーションに組み込まれた独自のアプリケーションをクライアント側で開発する場合は、In-Procの使用をお薦めします。

In-Proc統合には、次のような利点があります。

• アプリケーションではSOAPコールを行わないため、TCP/IP接続を作成したり削除する必要がなくなります。

• ネットワークの待機時間が生じません。

• ロード・バランサを必要としません。

2.1.5 非ネイティブ統合: SOAPサービス

クライアント・アプリケーションへのOAAMクライアントのJARファイルまたはDLLファイルの組込みを望まない場合、SOAPサービスの直接的な使用をお薦めします。ただし、適応厳密認証機能を使用するには、ネイティブJavaまたは.NET統合を使用する必要があります。

OAAM SOAPサービスは、次の5つの主要モジュールで構成されています。

• VCryptCommonには、共通APIが含まれています。

• VCryptTrackerには、認証ログとトランザクション・ログのフィンガープリント処理および収集に対応するAPIが含まれています。

• VCryptAuthには、オーセンティケータおよびKBAモジュールへのアクセスに対応するAPIが含まれています。

• VCryptRulesEngineには、ルールの実行に対応するAPIが含まれています。

• VCryptCCには、カスタマ・ケア関連のリクエストの起動に対応するAPIが含まれています。

2.2 スタート・ガイド

この項では、OAAMサンプル・アプリケーションの設定方法について説明します。OAAMサンプル・アプリケーションは、ユーザーがOAAM APIに慣れることを目的としたデモンストレーション用アプリケーションです。これは、API使用方法の基本的な要素のみを提供しているため、本番コードとしての使用を対象としていません。ネイティブ統合を実装している場合は、OAAMサンプル・アプリケーションを参照として使用して、アプリケーションを開発できます。これらのデプロイメント用に開発されたカスタム・アプリケーションに対する直接サポートはありませんが、Oracleサポート・サービスでは、製品に関する問題、たとえば提供されているAPIの使用時に発生した問題などの解決を支援できます。

2.2.1 OAAMサンプル・アプリケーションのダウンロード

Java API統合の例を示す最新OAAMサンプル・アプリケーションは、Oracle Technology Networkの次のURLからダウンロードできます。

http://www.oracle.com/technetwork/index.html

注意: このOAAMサンプル・アプリケーションは、タスク・プロセッサ・フレームワーク用のものとは異なります。どちらかのOAAMサンプル・アプリケーションを使用してください。ただし、一緒にはデプロイできません。 タスク・プロセッサの統合の詳細は、第21章「タスク・プロセッサの統合」を参照してください。

2.2.2 ネイティブSOAPベースのOAAMサンプル・アプリケーションの設定

この項では、ネイティブSOAPベースのOAAMサンプル・アプリケーションの設定方法について説明します。

2.2.2.1 前提条件

SOAPベースのOAAMサンプル・アプリケーションを設定する前に、次が必要です:

• Oracle Adaptive Access Managerのインストール、設定および実行

• Oracle Adaptive Access ManagerのSOAPサービスを有効にして、OAAMサンプル・アプリケーションのデプロイ先のホストからアクセス可能にする

• Oracle Adaptive Access Managerが使用するデータベース・ホスト、ユーザー名およびパスワードの詳細

• 次のURLにあるOracle Technology NetworkからダウンロードされたOAAMサンプル・アプリケーションと関連ファイル:

  http://www.oracle.com/technetwork/index.html

• 最新のwebserviceclient+ssl.jarファイル。

  webserviceclient+ssl.jarというランタイムJARファイルには、SSLのランタイム実装が含まれています。サンプル・アプリケーションをWebLogicコンテナにデプロイしない場合は、Oracle WebLogic Serverインストールからこのファイルを取得して、自分のクライアント・アプリケーション開発コンピュータにコピーします。

2.2.2.2 OAAMサンプル・アプリケーションのインストールおよび構成

SOAPベースのOAAMサンプル・アプリケーションを設定するには、次の手順を実行します。

1. oaam_sampleディレクトリを作成します。

2. oaam_sample_soap.zipファイルをoaam_sampleディレクトリに抽出します。

3. customer application deployment/WEB-INF/classesディレクトリで、oaam_custom.propertiesファイルを次のように編集します。

   • vcrypt.tracker.soap.urlプロパティを設定します。

     vcrypt.tracker.soap.url=http://host-name:port/oaam_server/services
     

     この設定によって、アプリケーションが通信するWebサービスの場所が指定されます。このURLへのアクセスは、OAAM Webサービス・グループのユーザーに許可されています。

   • SOAPクラスvcrypt.common.util.vcryptsoap.impl.classnameプロパティを設定します。

     使用可能なオプションは、次のとおりです。

     com.bharosa.vcrypt.common.impl.VCryptSOAPGenericImpl
     

     この設定によって、OAAMサービスと交換するSOAPメッセージを作成するときにアプリケーションがどのライブラリを使用するかが指定されます。

   • bharosa.image.dirlistを、OAAMイメージが格納されている絶対ディレクトリ・パスに設定します。

4. プロパティ・エディタを使用して、次のプロパティを設定します。

   vcrypt.tracker.impl.classname=
     com.bharosa.vcrypt.tracker.impl.VCryptTrackerSOAPImpl
   vcrypt.user.image.dirlist.property.name=bharosa.image.dirlist
   bharosa.config.impl.classname=com.bharosa.common.util.BharosaConfigPropsImpl
   bharosa.config.load.impl.classname=
     com.bharosa.common.util.BharosaConfigLoadPropsImpl
   vcrypt.tracker.soap.useSOAPServer=true
   vcrypt.soap.disable=false
   vcrypt.soap.auth.keystoreFile=system_soap.keystore
   

   SOAP認証が有効になっていない場合は、次のプロパティを設定します。

   vcrypt.soap.auth=false 
   

   SOAP認証が有効になっている場合は、次のプロパティを設定します。

   vcrypt.soap.auth=true 
   vcrypt.soap.auth.keystorePassword=Java-keystore-password
   vcrypt.soap.auth.aliasPassword=Keystore-alias-password
   vcrypt.soap.auth.username=SOAP-User-name
   

   OAAM管理コンソールを使用したプロパティの設定方法は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』を参照してください。

5. OAAMサーバーが実行されているのと同じWebLogic Serverドメイン上にOAAMサンプル・アプリケーションをインストールする場合は、暗号化鍵関連のbharosa.cipher.encryption.algorithm.enumというプロパティをコメント・アウトしてください。

   WebLogic Server以外またはIdentity Access Management WebLogic Server以外のドメインにデプロイする場合は、system_db.keystoreおよびsystem_config.keystoreの各キーストアを作成して、次のプロパティの値を設定する必要があります。

   bharosa.cipher.encryption.algorithm.enum.DESede_config.keystorePassword
   bharosa.cipher.encryption.algorithm.enum.DESede_config.aliasPassword
   

6. oaam_custom.propertiesファイルの変更がピックアップされるようにOAAMサンプル・アプリケーションを更新します。Oracle WebLogic管理コンソールに移動して、「デプロイメント」→「デプロイメントのサマリー」を選択します。「次へ」をクリックしてOAAMサンプル・アプリケーションを表示し、「更新」ボタンをクリックします。「終了」をクリックします。

7. 管理対象サーバーを起動します。

8. OAAM SOAPサービスへのアクセスが許可されるようにOAAM Webサービスのセキュリティを変更します。デフォルトでは、Oracle Web Services Manager (OWSM)によって保護されています。手順は次のとおりです。

   1. Identity ManagementドメインのOracle Enterprise Manager Fusion Middleware Controlに、次のURLを使用してログインします。

      http://weblogic-admin-hostname:port/em
      

   2. 左ペインで「WebLogicドメイン」およびその下にあるOAAMドメインを開いて、oaam_server_server1を見つけます。

   3. oaam_server_server1を右クリックして、「Webサービス」メニュー・オプションを選択します。

   4. 「ポリシーのアタッチ」をクリックします。

   5. 次ページでOAAM Webサービスに関連する行をすべて選択し、「次へ」ボタンをクリックします。

   6. SOAP認証を有効にするには、行oracle/wss_http_token_service_policyを選択して「次へ」ボタンをクリックします。

      SOAP認証を無効にするには、行oracle/no_authentication_service_policyおよびoracle/no_authorization_service_policyを選択して、「次へ」ボタンをクリックします。

   7. 次のページで「アタッチ」ボタンをクリックします。

   8. 必要に応じて、OAAMサーバーを再起動します。

9. Oracle WebLogic管理コンソールに移動します。「ロックして編集」をクリックして「デプロイメント」ノードを選択します。「デプロイメントのサマリー」ページで、OAAMサンプル・アプリケーションを検索して選択します。「起動」→「すべてのリクエストを処理」をクリックします。「はい」をクリックして確認します。

10. OAAM Adminアプリケーションにログインし、Oracle Adaptive Access Manager管理コンソールを使用してOAAMスナップショットoaam_base_snapshot.zipファイルをシステムにインポートします。スナップショットには、Oracle Adaptive Access Managerが必要とするポリシー、チャレンジ質問、依存コンポーネントおよび構成が含まれています。

    OAAMスナップショットのインポートの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』を参照してください。

11. Sample_Transaction_Defs.zipファイルからトランザクション定義をインポートします。

12. Sample_Txn_Models.zipファイルからトランザクション・ポリシーをインポートします。

13. 次のURLに移動します。

    http://host-name:port/oaam_sample
    

    OAAMサンプル・アプリケーションのログイン・ページが表示されます。

14. ユーザー名を入力し、次ページにパスワードを入力します。登録プロセスを経た後で、OAAMサンプル・トランザクションへのリンクが表示されます。

    
    

    注意: 最初のログイン時のパスワードはtestである必要があります。このパスワードはすぐに変更してください。

    
    

2.2.3 ネイティブIn-ProcベースのOAAMサンプル・アプリケーションの設定

この項では、ネイティブIn-ProcベースのOAAMサンプル・アプリケーションの設定方法について説明します。

2.2.3.1 前提条件

ネイティブIn-ProcベースのOAAMサンプル・アプリケーションを設定するには、事前に次の処理を行っておく必要があります。

• OAAM Adminをインストール、構成および実行する

• Oracle Adaptive Access ManagerのSOAPサービスを有効にして、OAAMサンプル・アプリケーションのデプロイ先のホストからアクセス可能にする

• Oracle Adaptive Access Managerが使用するデータベース・ホスト、ユーザー名およびパスワードの詳細を入手する

• 次のURLにあるOracle Technology NetworkからOAAMサンプル・アプリケーションと関連ファイルをダウンロードする:

  http://www.oracle.com/technetwork/index.html

2.2.3.2 インストールおよび構成

ネイティブIn-ProcベースのOAAMサンプル・アプリケーションを設定するには、次の手順を実行します。

1. oaam_sampleディレクトリを作成します。

2. oaam_sample_inproc.zipファイルをoaam_sampleディレクトリに抽出します。

3. WebLogic Serverを起動します。

4. 次の場所のOracle WebLogic管理コンソールに移動します。

   http://oaam_host:port/console
   

5. OAAM共有ライブラリ$MW_HOME\Oracle_IDM1\oaam\oaam_libs\war\oaam_native_lib.warを共有ライブラリとしてデプロイします。

   1. 「制御」タブの「デプロイメントのサマリー」にある「IAMDomain」(左側のペイン)で、「デプロイメント」をクリックします。

   2. 「インストール」ボタンをクリックします。このパスで$MW_HOME\Oracle_IDM1\oaam\oaam_libs\warを指定し、oaam_native_lib.warを選択します。「次へ」をクリックします。

   3. 「このデプロイメントをライブラリとしてインストールする」オプションを選択します。「次へ」をクリックします。

   4. 「デプロイ・ターゲットの選択」ページで、サーバーのリストから管理対象サーバーを選択し、「次へ」をクリックします。共有ライブラリの名前はoracle.oaam.libsです。

      管理対象サーバーがOAAMサーバーの場合、OAAMデータソースを作成する必要はありません。そうでない場合は、jdbc/OAAM_SERVER_DB_DSというJNDI名でデータソースを作成して、OAAMデータベース・スキーマの接続詳細を指定します。

   5. 「終了」をクリックします。

6. OAAM共有ライブラリのデプロイ先である管理対象サーバーに、OAAMサンプル・アプリケーションをアプリケーションとしてデプロイします。

   1. 「制御」タブの「デプロイメントのサマリー」にある「IAMDomain」(左側のペイン)で、「デプロイメント」をクリックします。

   2. 「インストール」ボタンをクリックします。パスで、OAAMサンプル・アプリケーションの場所を指定します。「次へ」をクリックします。

   3. 「このデプロイメントをアプリケーションとしてインストールする」オプションを選択します。「次へ」をクリックします。

   4. 「デプロイ・ターゲットの選択」ページで、サーバーのリストから管理対象サーバーを選択し、「次へ」をクリックします。

   5. 「終了」をクリックします。

7. 「チェンジ・センター」の「変更のアクティブ化」をクリックします。

8. デプロイメント・ディスクリプタ・ファイルで、OAAM共有ライブラリoracle.oaam.libsへの参照を設定します。

   Oracle Adaptive Access Managerの共有ライブラリをWebアプリケーションで使用するには、WebLogicデプロイメント記述子ファイルweblogic.xmlに次のエントリを追加して、その共有ライブラリを参照する必要があります。

   <library-ref>
          <library-name>oracle.oaam.libs</library-name>
   </library-ref>
   

   Oracle Adaptive Access Managerの共有ライブラリをエンタープライズ・アプリケーションで使用するには、WebLogicデプロイメント記述子ファイルweblogic-application.xmlに次のエントリを追加して、その共有ライブラリを参照する必要があります。

   <library-ref>
          <library-name>oracle.oaam.libs</library-name>
   </library-ref>
   

9. 管理対象サーバーを起動します。

10. Oracle WebLogic管理コンソールに移動します。「ロックして編集」をクリックして「デプロイメント」ノードを選択します。「デプロイメントのサマリー」ページで、OAAMサンプル・アプリケーションを検索して選択します。「起動」→「すべてのリクエストを処理」をクリックします。「はい」をクリックして確認します。

11. OAAM Adminアプリケーションにログインし、Oracle Adaptive Access Manager管理コンソールを使用してOAAMスナップショットoaam_base_snapshot.zipファイルをシステムにインポートします。スナップショットには、Oracle Adaptive Access Managerが必要とするポリシー、チャレンジ質問、依存コンポーネントおよび構成が含まれています。

    OAAMスナップショットのインポートの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』を参照してください。

12. 次のURLに移動します。

    http://managed_server:port/oaam_sample
    

    OAAMサンプル・アプリケーションのログイン・ページが表示されます。

13. 次のページで、ユーザー名とパスワードを入力します。登録プロセスを経た後で、OAAMサンプル・トランザクションへのリンクが表示されます。

    
    

    注意: 最初のログイン時のパスワードはtestである必要があります。このパスワードはすぐに変更してください。

    
    

2.3 仮想認証デバイス、ナレッジ・ベース認証、およびワンタイム・パスワードの統合

認証フローは、セキュリティ制約に従ってリソースへのアクセスを要求する個人または他のエンティティのIDを検証するために使用されるプロセスです。マルチファクタ認証とは、様々なファクタを同時に使用して個人または他のエンティティを認証するシステムです。

次の統合フローの例では、仮想認証デバイス、ナレッジ・ベース認証およびワンタイム・パスワードが統合されています。

仮想認証デバイスは、認証資格証明の入力と送信のプロセスにおいて、エンド・ユーザー情報の保護に使用されるオーセンティケータ・インタフェースで、エンド・ユーザーは、有効なアプリケーションに対して認証していることを確認できます。OAAMには、非常にセキュアな仮想認証デバイス一式が、ユーザーの選択に応じてデプロイできるサンプルとして組み込まれています。これらのサンプルの変更は、カスタム開発と見なされます。デプロイメントでローカライゼーションがサポートされている場合は、デプロイメント・チームが、グローバル化された仮想認証デバイスのイメージ・ファイルを登録フローを含めて開発する必要があります。

ナレッジベース認証(KBA)は、登録済チャレンジ質問に基づいてインフラストラクチャを提供するセカンダリ認証方式です。これにより、エンドユーザーは、質問を選択して、必要に応じてシステムが後でチャレンジするきに必要な回答を提供できます。セキュリティ管理には、次のものがあります。

• チャレンジ質問および回答の登録を管理する登録ロジック

• チャレンジのレスポンス・プロセスで適切な回答をインテリジェントに検出する回答ロジック

• 登録時にユーザーから提供された回答の検証

Oracle Adaptive Access Managerでのプロパティの設定方法については、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のナレッジ・ベース認証の管理に関する項を参照してください。

ワンタイム・パスワードはリスク・ベースのチャレンジ・ソリューションであり、構成済のアウト・オブ・バンド・チャネルを経由してエンドユーザーに送信されるサーバー生成のワンタイム・パスワードから構成されます。　サポートされるOTP配信チャネルには、ショート・メッセージ・サービス(SMS)、電子メール、インスタント・メッセージング(IM)などがあります。OTPは、KBAチャレンジを補完するために使用することも、KBAのかわりに使用することもできます。

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOTP Anywhereの設定に関する項を参照してください。

図2-3では、3つのソリューション(仮想認証デバイス、KBAおよびOTP)を使用した認証フローの例を説明しています。ここに示すフローは例であり、他の認証フローも考えられます。

チェックポイントとルーの詳細は、以降の各項で説明します。

• ユーザー名のページ(c1)

• デバイスのフィンガープリントのフロー(r2)

• 認証前ルールの実行(r1)

• 仮想認証デバイスのルールの実行(r3)

• 仮想認証デバイスの入力のデコード(p3)

• ユーザーとパスワードの検証(c2)

• 認証後ルールの実行(r4)

• ユーザーの登録のチェック(p5)

• 登録必須ルールの実行(r5)

• 登録フローの入力(p6)

• チャレンジのルールの実行(r6)

• 認証ルールの実行(r7)

• ユーザーへのチャレンジ(p7)

• チャレンジに対する回答のチェック(c4)

• ロックアウト・ページ(c6)

• ランディングまたはスプラッシュ・ページ(c5)

図2-3 仮想認証デバイス、ナレッジ・ベース認証およびOTPのシナリオ

2.3.1 ユーザー名ページ(c1)

アプリケーションでカスタム・ログイン・ページを使用する場合は、ログイン・ページを2つのページに分割する必要があります。ユーザー名の送信を要求するページが表示されます。ユーザーがこの最初のページにログインID(ユーザー名)を入力すると、このユーザー名がHTTPセッションに格納されます。ユーザー名ページに続いて、フラッシュCookieとセキュアCookieを取得し、ユーザー・デバイスのフィンガープリントを処理するための一時ページが表示されます。図2-4に、ユーザー名ページの例を示します。

図2-4 ユーザー名ページ

シングル・ログイン・ページを使用するようにOAAMが構成されている場合、仮想認証デバイスはフローで使用されません。チャレンジSMS、登録済のイメージおよびキャプション、チャレンジ電子メール、およびチャレンジ質問の各ルールでOAAM HTMLパッドを使用するようにOAAM AuthenticationPadポリシーが構成されているか、OAAM拡張共有ライブラリを使用してOAAM HTML Padを使用するようにOAAMサーバーが構成されています。シングル・ログイン・ページの詳細は、第8.5項「シングル・ログイン・ページの有効化」を参照してください。

2.3.2 デバイスのフィンガープリントのフロー(r2)

デバイスのフィンガープリント処理では、ブラウザ・タイプ、ブラウザ・ヘッダー、オペレーティング・システム・タイプ、ロケールなどのデバイスに関する情報が収集されます。フィンガープリント・データは、デバイスについてログイン・プロセス中に収集されるデータを表します。このデータは、ユーザーがシステムへのログインに使用するデバイスの識別に必要です。フィンガープリント処理プロセスでは、ユーザー固有のフィンガープリントが生成されます。フィンガープリント詳細は、デバイスの識別、それがセキュアであるかどうかの確認および認証またはトランザクションのリスク・レベルの特定に役立ちます。表2-1に、デバイスのフィンガープリント処理に使われるAPIを示します。

表2-1 デバイスのフィンガープリント処理API

モジュール	API	説明
サーバー	VCryptTracker::updateLog() フィンガープリントを作成するAPIは、次のとおりです。 VCryptServletUtil.getBrowserFingerPrint(userAgent, language, country, variant); VCryptServletUtil.getFlashFingerPrint(client, fpStr);	updateLog()の詳細は、第4.5.32項「updateLog」を参照してください。
Oracle Adaptive Access Managerのサンプル	handleJump.jsp	handleJump.jsp: クライアントのタイムゾーンを設定します。 セキュアCookieを設定します。 ブラウザのフィンガープリントを設定します。 ステータスを保留中に設定します。 認証前ルールをコールします。処理続行をユーザーに許可する場合はALLOWが、ユーザーの処理続行を停止する場合はBLOCKまたはERRORが返されます。 セッション・データbharosaSessionを格納します。 パスワード・ページpassword.jpsを表示します。
Oracle Adaptive Access Managerのサンプル	handleFlash.jsp	handleFlash.jsp sets the Flash cookie if the browser is Flash-enabled.

デバイス識別のCookie

Oracle Adaptive Access Managerでは、2つのタイプのCookieを使用してデバイス識別を実行します。

1つはブラウザCookie(セキュアなCookieとも呼ばれます)であり、もう1つはFlash Cookie(デジタルCookieとも呼ばれます)です。

ブラウザCookie値は、ブラウザのユーザー・エージェント文字列を使用して作成されます。Flash Cookie値は、OAAMのFlash動画データを使用して作成されます。

次のサンプル・コードは、ブラウザCookieとフラッシュCookieを使用したデバイスのフィンガープリント処理方法を示しています。詳細は、handleFlash.jspのコードを参照してください。

//Get Browse/Secure cookie
String secureCookie = getCookie(request, "bharosa");
Locale locale = request.getLocale();
String browserFp = VCryptServletUtil.getBrowserFingerPrint(request.getHeader("user-agent"),
locale.getLanguage(),
locale.getCountry(), locale.getVariant());
 
 
 
String client = request.getParameter("client");
String fpStr = request.getParameter("fp");
String flashFp = bharosaHelper.constructFlashFingerPrint( client, fpStr );
 
//Get the flash cookie
String flashCookie = request.getParameter("v");
CookieSet cookieSet = bharosaHelper.fingerPrintFlash(bharosaSession, bharosaSession.getRemoteIPAddr(), request.getRemoteHost(),
BharosaEnumAuthStatus.PENDING, secureCookie, browserFp, flashCookie, flashFp);

2.3.3 認証前ルールの実行(r1)

また、認証前ルールはユーザーが認証される前に実行されます。認証前チェックポイントによって返される共通の値は、次のとおりです。

• ALLOW: ユーザーに続行を許可します。

• BLOCK: ユーザーを続行からブロックします。

表2-2に、認証前に使用するAPIを示します。

表2-2 認証前ルールの参照API

モジュール	API	説明
サーバー	VCryptRulesEngine::processRules()	メソッドの詳細は、第4.5.24項「processRules」を参照してください。
Oracle Adaptive Access Managerのサンプル	handleJump.jsp	handleJump.jsp: 認証前ルールを起動します。 パスワード・ページpassword.jspに進む場合はALLOWを返し、エラーを通知する場合はBLOCKまたはERRORを返します。 Stores bharosaSession
BharosaHelper	BharosaHelper::runPreAuthRules()

2.3.4 仮想認証デバイスのルールの実行(r3)

Authentipadチェックポイントによって、使用する仮想認証デバイスが判別されます。ユーザーがイメージまたはフレーズを登録していない場合は、汎用TextPadがルールによって割り当てられます。ユーザーが登録している場合は、パーソナライズされたTextPadまたはKeyPadのいずれかがルールによって割り当てられます。仮想認証デバイスによって返される共通の値は、次のとおりです。

• 汎用TextPad: デフォルトの汎用TextPadを使用します。

• TextPad: パーソナライズされたTextPadを使用します。

• KeyPad: パーソナライズされたKeyPadを使用します。

パーソナライズされたTextpadは、キーボードを使用してパスワードまたはPINを入力するためのデバイスです。このデータ入力方法は、フィッシングからの防御に役立ちます。TextPadは、大規模デプロイメントのすべてのユーザーに対してデフォルトとしてデプロイできます。その後、各ユーザーは必要に応じて別のデバイスにアップグレードできます。ユーザーが登録した個人イメージおよびフレーズは、ユーザーが有効なWebサイトにログインするたびに表示され、ユーザーとサーバーとの間の共有シークレットとして機能します。

Keypadは、入力用のキーボードを使用してパスワード、クレジットカード番号などを入力するためのデバイスです。KeyPadによって、トロイの木馬やキーロギングからの保護が提供されます。

表2-3に、仮想認証デバイスのルールを実行するAPIを示します。

表2-3 仮想認証デバイスのルールのAPI

モジュール	API	説明
サーバー	VCryptRulesEngine::processRules()	メソッドの詳細は、第4.5.24項「processRules」を参照してください。
Oracle Adaptive Access Managerのサンプル	password.jsp	password.jsp: ユーザーの仮想認証デバイスのタイプを識別するルールを起動します。 仮想認証デバイスを作成し、それに名前を付けて、初期のすべての背景フレームを設定します。 構成済のkbimage.jspを起動します。 ページhandlePassword.jspに進みます。
BharosaHelper	BharosaHelper::getAuthentiPad()

2.3.5 汎用TextPadの生成(p1)

ユーザーがイメージおよびフレームをまだOAAMに登録していない場合は、図2-5に示すように、一般的な、パーソナライズされていないTextPadが表示されます。

このデバイスには特定のイメージまたはフレーズはありませんが、ログイン・プロンプトの正当性の証明に役立つタイムスタンプが表示されます。

図2-5 一般的な、パーソナライズされていないTextPad

表2-4に、汎用TextPadの生成に使用するAPIを示します。

表2-4 汎用TextPad APIの生成

モジュール	API	説明
サーバー	VCryptAuth::getUserByLoginId() VCryptAuthのインスタンスを取得するには、VCryptAuthUtil.getVCryptAuthInstance()をコールします。	メソッドの詳細は、第4.5.18項「getUserByLoginId」を参照してください。
Oracle Adaptive Access Managerのサンプル	Password.jsp	Password.jsp 使用する仮想認証デバイスのタイプを識別するルールを起動します。デフォルトはKeyPadです。 仮想認証デバイスを作成し、それに名前を付けて、初期のすべての背景フレームを設定します。 構成済のkbimage.jspを起動します。 ページhandlePassword.jspに進みます。
BharosaHelper	BharosaHelper:: createPersonalizedAuthentiPad () BharosaHelper::createAuthentiPad()
クライアント	AuthentiPad::getHTML()

2.3.6 パーソナライズされたTextPadまたはKeyPadの生成(p2)

ユーザーがフレーズとイメージをOAAMに登録している場合は、ユーザーに対してパーソナライズされたTextPadが使用されます。図2-6と図2-7に、パーソナライズされたテキストおよび生成される重要な仮想認証デバイスを示します。

表2-5に、パーソナライズされたTextPadまたはKeyPadの生成に使用するAPIを示します。

表2-5 パーソナライズされたTextPadまたはKeyPadのAPIの生成

モジュール	API	説明
サーバー	VCryptAuth::getUserByLoginId()	メソッドの詳細は、第4.5.18項「getUserByLoginId」を参照してください。
Oracle Adaptive Access Managerのサンプル	password.jsp	password.jsp 使用する仮想認証デバイスのタイプを識別するルールを起動します。デフォルトはKeyPadです。 仮想認証デバイスを作成し、それに名前を付けて、初期のすべての背景フレームを設定します。 ページhandlePassword.jspに進みます。 構成済のkbimage.jspを起動します。
BharosaHelper	BharosaHelper:: createPersonalizedAuthentiPad () BharosaHelper::createAuthentiPad()
クライアント	AuthentiPad::getHTML()

2.3.7 TextPadおよびKeyPadの表示(s2およびs3)

TextPadおよびKeyPadを表示するHTMLコードの例を、パスワード・ページに埋め込む必要があります。このHTMLではJavaScriptを使用してTextPadまたはKeyPadがレンダリングされます。また、TextPadまたはKeyPadイメージを取得するための、サーバーへのHTTPリクエストを実行する<img>タグが含まれています。

表2-6に、TextPadおよびKeyPadの表示に使用するAPIを示します。

表2-6 TextPadおよびKeyPad APIの表示

モジュール	API	説明
サーバー	VCryptAuth::getUserByLoginId()
Oracle Adaptive Access Managerのサンプル	password.jsp	password.jsp 使用する仮想認証デバイスのタイプを識別するルールを起動します。デフォルトはKeyPadです。 仮想認証デバイスを作成し、それに名前を付けて、初期のすべての背景フレームを設定します。 構成済のkbimage.jspを起動します。 ページhandlePassword.jspに進みます。
Oracle Adaptive Access Managerのサンプル	kbimage.jsp	仮想認証デバイスを出力します。
BharosaHelper	BharosaHelper:: createPersonalizedAuthentiPad () BharosaHelper::createAuthentiPad() BharosaHelper::imageToStream()
クライアント	AuthentiPad::getHTML() KeyPadUtil::encryptImageToStream()

図2-6に、パーソナライズされたTextPadを示します。

図2-6 パーソナライズされたTextPad

図2-7に、パーソナライズされたKeyPadを示します。

図2-7 パーソナライズされたKeyPad

イメージとフレーズが、ユーザーのローカル・タイムゾーンにおける現在のタイムスタンプとともにデバイスに埋め込まれています。

2.3.8 仮想認証デバイスの入力のデコード(p3)

この段階では、ユーザーが指定したデータが、選択した仮想認証デバイスによってデコードされます。デコードされた値はRAWテキスト・フォーマットで出力されます。デコードされた値は、HTTPセッションに保存しておくことをお薦めします。仮想認証デバイスのオブジェクトはシリアライズされ、データベースまたはファイルシステムに格納されます。仮想認証デバイスは、システムが入力のデコードに使用するため、セッション中に格納されます。これは、PinPadやKeyPadのように、ユーザー入力がクリアテキストではない仮想認証デバイスで必要とされます。整合性を確保するために、この処理はすべての仮想認証デバイスで実行されます。仮想認証デバイスは、相互に交換できるように設計されているからです。

表2-7に、ユーザー入力のデコードに使用するAPIを示します。

表2-7 仮想認証デバイスの入力APIのデコード

モジュール	API	説明
Oracle Adaptive Access Managerのサンプル	handlePassword.jsp	handlePassword.jsp パスワードを取得します。 パスワードをデコードします。 ユーザーを検証します。
BharosaHelper	BharosaHelper::decodePadInput()	仮想認証デバイスのオブジェクトをHTTPセッションから削除します。
クライアント	KeyPadUtil::decodeKeyPadCode

2.3.9 ユーザーとパスワードの検証(c2)

この段階は、クライアントがローカルAPIを起動してユーザーを認証し、認証結果がOAAMサーバーに渡されるという、クライアントの既存のプロセスを表しています。使用するAPIについては、表2-8で詳述します。

表2-8 ユーザーとパスワード検証のAPI

モジュール	API	説明
Oracle Adaptive Access Managerのサンプル	handlePassword.jsp	handlePassword.jsp パスワードを取得します。 パスワードをデコードします。 ステータスをSUCCESSに更新します(ユーザーが有効な場合)。または、INVALID、ERRORまたはBAD PASSWORDに更新します(ユーザーが無効な場合)。 認証後ルールを実行して、次の値のいずれかを返します。 REGISTER_USER_OPTIONAL REGISTER_QUESTIONS REGISTER_USER CHALLENGE

2.3.10 認証ステータスの更新(p4)

ユーザーのパスワード検証後に、表2-9に説明するAPIを使用してステータスが更新されます。

表2-9 認証ステータス更新のAPI

モジュール	API	説明
サーバー	VCryptTracker::updateAuthStatus()	メソッドの詳細は、第4.5.31項「updateAuthStatus」を参照してください。
Oracle Adaptive Access Managerのサンプル	handlePassword.jsp	handlePassword.jsp パスワードを取得します。 パスワードをデコードします。 ユーザーを検証します。 registerImageandPhraseが表示されるか、登録ユーザーにチャレンジします。
BharosaHelper	BharosaHelper::updateStatus()

2.3.11 パスワードのステータス(c3)

パスワード認証ステータスに応じて、再試行ページが表示されるか、認証後のページに進みます。

2.3.12 認証後ルールの実行(r4)

これらのルールは、ユーザー・パスワードの認証後に実行されます。認証後によって返される共通のアクションは、次のとおりです。

• ALLOW

• BLOCK

• CHALLENGE

認証後の結果がALLOWの場合、ユーザーを登録する必要があるかどうかが判別され、ユーザーが登録フローに送られます。認証後の結果がBLOCKの場合、ユーザーはブロックされ、アクセスを試みたWebアプリケーションにアクセスできなくなります。認証後の結果がCHALLENGEであり、ユーザーが1つ以上のチャレンジ・メカニズムにすでに登録されている場合、ユーザーはチャレンジ・フローに送られます。

認証後に使用されるAPIを表2-10に示します。

表2-10 認証後ルールの参照API

モジュール	API	説明
サーバー	VCryptRulesEngine::processRules()	メソッドの詳細は、第4.5.24項「processRules」を参照してください。
Oracle Adaptive Access Managerのサンプル	handlePassword.jsp	次の値を返すBharosaHelper::runPostAuthRulesをコールします。 ALLOW BLOCK CHALLENGE ALLOWの場合、BharosaHelper::runRegistrationRulesは次の値を返します。 ALLOW REGISTER_QUESTIONS REGISTER_USER_INFO REGISTER_USER SYSTEM_ERROR CHALLENGEの場合: forward_challengePage
BharosaHelper	BharosaHelper::runPostAuthRules()

2.3.13 ユーザーの登録の確認(p5)

登録確認ルールが実行されます。ユーザーが未登録の場合は、登録するよう指示されます。

2.3.14 登録必須ルールの実行(r5)

ビジネスおよびセキュリティ要件によって、登録が必須か、または任意であるかが指定されます。登録ルールによって返される値は、次のとおりです。

• Register: ユーザー登録を必要とします。

• Registration Optional: ユーザー登録は任意です。

• Skip Registration: このセッションの登録をスキップします。

表2-11に、登録ルールの実行に使用されるAPIを示します。

表2-11 登録必須ルールの参照API

モジュール	API	説明
サーバー	VCryptRulesEngine::processRules()	メソッドの詳細は、第4.5.24項「processRules」を参照してください。
Oracle Adaptive Access Managerのサンプル	password.jsp	password.jsp 使用する仮想認証デバイスのタイプを識別するルールを起動します。デフォルトはKeyPadです。 仮想認証デバイスを作成し、それに名前を付けて、初期のすべての背景フレームを設定します。 構成済のkbimage.jspを起動します。 ページhandlePassword.jspに進みます。
BharosaHelper	BharosaHelper::getAuthentiPad()

2.3.15 登録フローに入る(p6)

登録とは、アカウントを新規に開く場合など、ユーザーに情報を求めるイベントからなる登録プロセスのことです。登録フローにより、ユーザーは質問、イメージ、フレーズおよびOTP(電子メール、電話など)の登録を許可されます。登録が成功すると、KBAとOTPをセカンダリ認証ファクタとして使用してユーザーにチャレンジできます。

表2-12では、登録フローのモジュールとAPIについて説明しています。

表2-12 登録フロー

モジュール	API	説明
サーバー	VCryptRulesEngine::processRules()	メソッドの詳細は、第4.5.24項「processRules」を参照してください。
Oracle Adaptive Access Managerのサンプル	registerImagePhrase.jsp	registerImagePhrase.jsp 新規イメージとキャプションをユーザーに割り当てます。 新規イメージとキャプションをユーザーに割り当てます。 ページhandleRegisterImagePhrase.jspに進みます。
	registerQuestions.jsp	registerQuestions.jsp ユーザーの質問選択セットを取得します。 質問選択のユーザー・インタフェースと回答用の入力を表示します。 ページhandleRegisterQuestions.jspに進みます。
	registerContactInfo.jsp	registerContactInfo.jsp OTP登録情報用の入力をユーザーに提示します。 ページhandleRegisterContactInfo.jspに進みます。
BharosaHelper	BharosaHelper::getAuthentiPad() BharosaHelper::createSampleAuthentiPad BharosaHelper::assignRandomImageAndCaption BharosaHelper::saveNewImageAndOrCaption BharosaHelper::getQuestions BharosaHelper::isDeviceRegistered BharosaHelper::setContactInfo

2.3.16 チャレンジ・ルールの実行(r6)

チャレンジ・ルールは、ユーザーに表示するチャレンジのタイプを判別するために起動されます。チャレンジ・ルールによって返される値は、次のとおりです。

• ChallengeQuestion: ユーザーに質問でチャレンジします。

• ChallengeSMS: ユーザーにSMSを通してOTPでチャレンジします。

• ChallengeEmail: ユーザーに電子メールを通してOTPでチャレンジします。

• BLOCK: ユーザーをブロックします。

表2-13に、チャレンジ・ルールの実行に使用されるAPIを示します。

表2-13 チャレンジ・ルール実行のAPI

モジュール	API	説明
サーバー	VCryptRulesEngine::processRules()	メソッドの詳細は、第4.5.24項「processRules」を参照してください。
Oracle Adaptive Access Managerのサンプル	handleChallenge.jsp	handleChallenge.jspはBharosaHelper::validateAnswerをコールします。 このメソッドがBharosaEnumChallengeResult.SUCCESSを返した場合、ステータスはSUCCESSに更新され、ユーザーは続行できるようになります。BharosaEnumChallengeResult.WRONG_ANSWERが返された場合は、次のステップを判別するためにチャレンジ・ルールが再実行されます。
BharosaHelper	BharosaHelper::validateAnswer()

2.3.17 認証ルールの実行(r7)

BharosaHelper::getAuthentiPadは、認証デバイスの作成に使用します。このメソッドは認証デバイスのルールをコールして、使用するデバイスを判別します。

ユーザーが質問でチャレンジされる場合、このルールはQuestionPadを割り当てます。ユーザーがOTPでチャレンジされる場合、このルールはTextPadを割り当てます。

2.3.18 ユーザーにチャレンジする(p7)

ユーザーは、必要に応じて、ナレッジ・ベース認証(KBA)またはOTP(ワンタイム・パスワード)のいずれかでチャレンジされます。

KBAは既存のユーザーID/パスワード認証の拡張であり、ユーザーが質問でチャレンジされるチャレンジ/レスポンス・プロセスを使用してアプリケーションのセキュリティを保証します。ユーザーは、リクエストしたサインオン、トランザクション、サービスなどの処理を続行するためには、質問に正しく回答する必要があります。

OTPも既存のユーザーID/パスワード認証の拡張であり、特別のセキュリティ・レイヤーを追加してアプリケーションを保護します。OTPはユーザーIDとパスワードの検証後に生成され、アプリケーションで必要と見なされた場合に電子メールまたは携帯電話を通してユーザーに配布されます。その後、ユーザーはこのOTPを使用してアプリケーションにサインインします。

表2-14に、登録済の質問でユーザーにチャレンジするAPIを示します。

表2-14 ユーザーにチャレンジするAPI

モジュール	API	説明
サーバー	VCryptAuth::getSecretQuestion() VCryptTracker::generateOTP()
Oracle Adaptive Access Managerのサンプル	Challenge.jsp	使用するチャレンジのタイプを判別します。BharosaHelper::runChallengeRules 返されたチャレンジ・タイプがKBA (ChallengeQuestion)である場合は、VCryptAuth:getUserQuestionでユーザーの質問を取得してください。 チャレンジ・タイプがOTP (ChallengeSMS、ChallengeEmailなど)の場合は、OTPコードの生成、格納、送信を行ってください。 BharosaHelper::generateOTP BharosaHelper::sendCode 認証パッド・ルールを使用して、ユーザーに表示するauthentipadを判別します。第2.3.4項「仮想認証デバイスのルールの実行(r3)」を参照してください。 回答をhandleChallenge.jpsに送信します。 handleChallenge.jspはユーザー入力を収集し、チャレンジに対するにユーザー回答の検証に使用されるBharosaHelper::validateAnswerをコールします(質問チャレンジと同様)。
BharosaHelper	BharosaHelper:: createPersonalizedAuthentiPad () BharosaHelper::createAuthentiPad() BharosaHelper::generateOTP BharosaHelper::sendCode BharosaHelper::getUserQuestion
クライアント	AuthentiPad::getHTML()

2.3.19 チャレンジに対する回答の確認(c4)

この段階では、チャレンジに対するユーザーの入力を検証します。

• KBAの場合、Oracle Adaptive Access Managerサーバーがコールされて、ユーザーが指定した回答が登録済の返答と一致するかどうかを判別します。

• OTPの場合、ユーザーの入力値と、生成されてユーザーに送信されたOTPの入力値が比較されます。

表2-15に、チャレンジの検証に使用されるAPIを示します。

表2-15 チャレンジに対する回答の検証

モジュール	API	説明
サーバー	VCryptAuth::authenticateQuestion() VCryptRulesEngine::processRules() VCryptTracker::updateAuthStatus()	メソッドの詳細は、第4.5.24項「processRules」および第4.5.31項「updateAuthStatus」を参照してください。
Oracle Adaptive Access Managerのサンプル	handleChallenge.jsp	BharosaHelper::validateAnswerを呼び出します。 このメソッドがBharosaEnumChallengeResult.SUCCESSを返した場合、ステータスはSUCCESSに更新され、ユーザーは続行できるようになります。BharosaEnumChallengeResult.WRONG_ANSWERが返された場合は、次のステップを判別するためにチャレンジ・ルールが再実行されます。
BharosaHelper	BharosaHelper:: validateAnswer()	検証中のチャレンジのタイプがKBA (ChallengeQuestion)の場合、VCryptAuth::authenticateQuestionがコールされ、ユーザーの入力が、提示された質問の登録済回答と照合して検証されます。 検証中のチャレンジのタイプがOTP (ChallengeSMS、ChallengeEmailなど)の場合、ユーザーの入力が、OTPコードの生成時に格納された値と比較されます。回答が正しい場合は、BharosaHelper::resetOTPCounterがコールされて、OTPチャレンジのカウンタがリセットされます。回答が正しくない場合は、OTPチャレンジのカウンタが増分されます(BharosaHelper::incrementOTPCounter)。 メソッドによって、BharosaEnumAuthStatus.SUCCESSまたはBharosaEnumAuthStatus.WRONG_ANSWERのいずれかのBharosaEnumAuthStatusが返されます。

2.3.20 ロックアウト・ページ(c6)

ロックアウト・ページは、認証後ルールでBLOCKが返されたときにユーザーがリダイレクトされるページです。

2.3.21 ランディングまたはスプラッシュ・ページ(c5)

このページはログインの成功後、つまり、認証後ルールでALLOWが返されたときにユーザーがリダイレクトされるページです。