| Oracle® Fusion Middleware Oracle ADFデスクトップ統合によるアプリケーションの開発 12c (12.1.2) E48098-01 |
|
 前 |
 次 |
この章では、ADFデスクトップ統合のセキュリティ関連機能について説明します。
この章の内容は次のとおりです。
認証が必須のFusion Webアプリケーションを使用している場合、統合Excelワークブックは、データをダウンロードする前に、Fusion Webアプリケーションに接続するときに、有効なユーザー・セッションを確認および作成します。確立されたセッションは、統合ExcelワークブックとFusion Webアプリケーションの間でデータが転送されるたびに使用されます。また、このセッションは、統合Excelワークブックから表示されるWebページに対しても使用されます。
認証が必須のFusion Webアプリケーションでは、統合ExcelワークブックはWebアプリケーションとの間でデータを転送する前に有効で認証済のユーザー・セッションが確立されているかどうかを確認します。
認証済および認証されていないFusion Webアプリケーションの両方について、ADFデスクトップ統合はCookieベースのセッションの確立に依存します。認証のメカニズムを持たないため、 Fusion Webアプリケーションは完全に安全というわけではありません。したがって、統合ExcelワークブックとともにWebアプリケーションをデプロイする前に、Fusion WebアプリケーションでADFセキュリティを有効化する必要があります。ADFセキュリティの詳細は、Oracleアプリケーション開発フレームワークによるFusion Webアプリケーションの開発の「Fusion WebアプリケーションでのADFセキュリティの有効化」の章を参照してください。
統合Excelワークブックを開いたときに、ワークブックの実行対象であるFusion WebアプリケーションがセキュアなアプリケーションかどうかがADFデスクトップ統合で検出され、自動的に認証が施行されます。認証済Webアプリケーションの場合、ワークブックが認証済Webブラウザからダウンロードされるとしても、エンド・ユーザーには必ず資格証明が求められます。WbブラウザとExcelは別のオペレーティング・システム・プロセスなので、資格証明を共有できません(Windowsのネイティブ認証を使用している場合を除く)。
セキュアなFusion Webアプリケーションの統合Excelワークブックを開くと、図11-1のように「ログイン」ダイアログが開き、Fusion Webアプリケーションへの接続を求めるプロンプトが表示されます。この「ログイン」ダイアログは、Fusion Webアプリケーションがセキュアでない場合も表示されます。
「はい」をクリックすると、図11-2の例ように、資格証明の入力を求める別のダイアログが表示されます。
図11-2に示したダイアログは、認証の施行に関するFusion Webアプリケーションの構成方法によって異なります。たとえば、Webアプリケーションでフォームベース認証が使用されている場合は、エンド・ユーザーに対して、ブラウザ・ダイアログ、およびユーザー名とパスワードのフィールドを含むWebページが表示されます。
統合Excelワークブックを保護した後、必要に応じてワークブックの機能をさらに追加できます。使用可能な他の機能へのリンクは次のとおりです。
統合Excelワークブックの検証: Fusion Webアプリケーションおよび統合Excelワークブックに対して、サーバー・サイドおよびクライアント・サイドの検証を構成できます。詳細は、第12章「統合Excelワークブックへの検証の追加」を参照してください。
統合Excelワークブックのテスト: 統合Excelワークブックを公開してデプロイする前に、テストする必要があります。詳細は、第13章「統合Excelワークブックのテスト」を参照してください。
統合Excelワークブックの公開およびデプロイ: 統合Excelワークブックの設計と検証に続く最終ステップは、公開およびデプロイです。詳細は、第14章「統合Excelワークブックのデプロイ」を参照してください。
Excelワークブックと安全なFusion Webアプリケーションの統合には、統合ExcelワークブックとFusion Webアプリケーションをホストするサーバー間で確立された認証済のWebセッションが必要です。ADFセキュリティは、ユーザーの認証に使用するメカニズムを決定します。
エンド・ユーザーが有効な認証済セッションなしにExcelワークブックを開く場合、エンド・ユーザーを認証するためにログインのメカニズムが起動されます。
loginメソッドが起動された後、統合ExcelワークブックとFusion Webアプリケーションの間に新しいセッションが確立され、Webブラウザのコントロールを含むモーダルのダイアログが表示されます。このWebブラウザ・コントロールには、Fusion Webアプリケーションが使用するログイン・メカニズムが表示されます。たとえば、Fusion WebアプリケーションがHTTP Basic認証を使用する場合、Webブラウザ・コントロールには、図11-3に示すような単純なダイアログが表示されます。
エンド・ユーザーがユーザー資格証明を入力し、これらが有効である場合、認証済セッションが作成され、クライアント(ExcelワークブックがホストするWebブラウザ・コントロール)に割り当てられます。
|
注意: セッションがすでに確立されているときに |
logoutメソッドが起動された後、ダイアログが表示されて、現在のセッションからログアウトしたことがユーザーに通知されます。ワークブックを閉じたり、Excelリボンの実行時カスタム・タブから「全データのクリア」オプションを選択すると、ユーザーは自動的にログアウトします。
ログアウトした後、データをアップロードまたはダウンロードするにはユーザーはもう一度ログインする必要があります。
2つ以上のワークブックが(テスト・モードまたは実行時モードで)開いていて、同じFusion Webアプリケーションに対して実行している場合、1つのワークブックを閉じてもログアウトのメカニズムは起動しません。ユーザーはログインしたままになり、残りの開いたワークブックで引き続き作業できます。閉じているワークブックは、資格証明をもう一度求められずに開くことができます。ユーザーは同じFusion Webアプリケーションに対して実行しているすべてのワークブックが閉じるとログアウトされます。
ADFデスクトップ統合には、ExcelワークブックとFusion Webアプリケーションの統合に使用するメタデータが、エンド・ユーザー用にExcelワークブックを公開した後に不正に変更されていないか検証するメカニズムがあります。これは、ハッシュ・コードの値を生成して、値をADFデスクトップ統合のクライアント・レジストリ・ファイル(adfdi-client-registry.xml)に挿入します。このファイルは14.3項「統合Excelワークブックの公開」にあるように、統合Excelワークブックを公開するときに作成されます。ADFデスクトップ統合は、adfdi-client-registry.xmlファイルをFusion WebアプリケーションのWEB-INFディレクトリに格納します。
統合Excelワークブックを再度公開する場合、ADFデスクトップ統合は新しいハッシュ・コードの値を生成して、adfdi-client-registry.xmlファイルの値を置換します。存在しない場合、ADFデスクトップ統合はadfdi-client-registry.xmlファイルを作成します。
ApplicationHomeFolderおよびWebPagesFolderワークブック・プロパティを使用すると、統合ExcelワークブックはFusion WebアプリケーションのWEB-INFディレクトリの場所を識別できます。統合Excelワークブックを公開してADFデスクトップ統合によりハッシュ・コード値が生成されるようにするには、これらのプロパティに有効な値を設定しておく必要があります。
ADFデスクトップ統合は、ワークブックのメタデータにあるほとんどの要素とWorkbookIDワークブック・プロパティの値を使用して、ハッシュ・コードの値を生成します。WorkbookIDワークブック・プロパティは読取り専用であり、統合Excelワークブックを一意に識別します。既存の統合Excelワークブックをコピーして新規の統合Excelワークブックを作成する場合、WorkbookIDワークブック・プロパティをリセットする必要があります。WebAppRootプロパティの値は実行時に変わることが予測されるため、ADFデスクトップ統合はハッシュ・コードの計算からこれを除外します。
この項のワークブック・プロパティの詳細は、表A-18を参照してください。
WorkbookIDワークブック・プロパティの値は、それぞれのワークブックに固有であり、開発者による変更はできません。ただし、WorkbookIDワークブック・プロパティをリセットすることはできます。既存の統合Excelワークブックをコピーして新しい統合Excelワークブックを作成する場合、これを行う必要があります。
始める前に:
統合Excelワークブックのメタデータの整合性を検証する方法を理解しておくと役立ちます。詳細は、11.3項「統合Excelワークブックのメタデータの整合性チェック」を参照してください。
他のADFデスクトップ統合の機能を使用して追加できる機能についても理解しておくと役立ちます。詳細は、11.1.2項「セキュアなFusion Webアプリケーションの統合Excelワークブックの追加の機能」を参照してください。
ワークブックIDをリセットするには:
統合Excelワークブックを開きます。
「Oracle ADF」タブの「ワークブック」グループで、「ワークブック・プロパティ」をクリックします。
「ワークブック・プロパティの編集」ダイアログで、ワークブックIDのリセットリンクをクリックします。
表示される確認用ダイアログ(図11-5を参照)で「はい」をクリックし、WorkbookIDワークブック・プロパティをリセットします。
「OK」をクリックします。
Fusion Webアプリケーションによる統合Excelワークブックの保護について、次の点に注意してください。
データ・セキュリティ
Fusion Webアプリケーションからダウンロードしたデータを含むExcelワークブックを、他のユーザーがそのExcelワークブックにアクセスできるネットワーク・ディレクトリなどの場所に保存する場合、他のユーザーはExcelワークブックに保存されているデータにアクセスできます。
Microsoft Excelのセキュリティ
ワークブックにパスワードを設定するExcelの機能を使用して、統合Excelワークブックのセキュリティを強化できます。これにより、許可されていないユーザーは、ワークブックを開いたり変更することができなくなります。Excelのセキュリティ機能の詳細は、Excelのドキュメントを参照してください。
15.2項「セッション間のサーバー・データ・コンテキストのリストア」の説明に従って、データをキャッシュするように統合Excelワークブックを構成できます。統合Excelワークブックに機密データをキャッシュしないように注意してください。
Fusion Webアプリケーションがhttpsプロトコル上で実行されている場合、統合Excelワークブックから接続中に証明書エラーを受信する可能性があります。Microsoft Internet Explorerを使用して必要な証明書をインストールするか、またはログインを継続してWebアプリケーションに接続することを選択できます。
Microsoft Internet Explorerを使用して統合Excelワークブックをダウンロードするエンド・ユーザーは、Excelアプリケーションが参照可能になる前に、予期せず資格証明の入力を要求され、ワークブックが開いた後にもう一度入力を要求されることがあります。これは、WebアプリケーションがBasicやDigestなどの特定の認証メソッドを使用するように設定されている場合に発生する可能性があります。余分に入力を要求されるのは、Excelがワークブックを含むWebディレクトリでOPTIONSリクエストを行うためです。
余分なログイン・プロンプトを回避するには、エンド・ユーザーはワークブックをブラウザから直接開くのではなく、ローカルで保存します。
認証されていないFusion Webアプリケーションの場合は、エンド・ユーザーはログインを要求されません。ただし、アプリケーションでhttpsプロトコルが使用されている場合は、Webアプリケーションとの最初の接続が確立されたときに、ログイン・ダイアログがエンド・ユーザーに短時間表示される可能性があります。ワークブック開発者は、Workbook.Login.WindowSizeプロパティでダイアログのサイズを制御できます。
管理者の場合は、『Oracle ADFアプリケーションの管理』のFusion Webアプリケーションでのセキュリティの構成についての留意事項に関する項も参照する必要があります。
ADFデスクトップ統合は、ページ定義の認可を使用して、統合Excelワークシートに表示権限を適用します。実行時、ページ定義(バインディング・コンテナ)に対する適切な権限のないエンド・ユーザーは、関連する統合Excelワークシートとの対話が禁止されます。許可されていないバインディング・コンテナとの対話(データのダウンロードや送信など)の試みは中止になり、エンド・ユーザーは認可の失敗を知らされ、ワークシート上のすべてのADFデスクトップ統合アクティビティは無効になります。新しいユーザー・セッションが確立されるまで、ADFデスクトップ統合が無効になっているワークシートとこれ以上の対話を行うことはできません。エンド・ユーザーが統合Excelワークシートと対話できるようにするには、ページ定義へのアクセスを許可されたロールをエンド・ユーザーに割り当てます。
ADFデスクトップ統合を旧バージョンからアップグレードした場合は、統合Excelワークシートで使用されるすべてのページ定義に対するリソース権限を確認する必要があります。たとえば、Fusion Webアプリケーションが認可をサポートしており、リソース権限を持たず1つ(または複数)の統合Excelワークシートによって使用されるページ定義myWorksheetPageDef.xmlがある場合は、そのページ定義に対するアクセスを付与されたロールをエンド・ユーザーに割り当てる必要があります。ADFデスクトップ統合の新規バージョンに移行する際、認証されたロールまたは他のいくつかの一般的なロールに付与されるワークシート・ページ定義のリソース権限を一時的に作成すると便利な場合があります。これにより、ロールとリソースの関連付けを微調整しているときに、これらのワークシートを従来通りに実行できます。
認可、ロール、リソース権限の詳細は、Oracleアプリケーション開発フレームワークによるFusion Webアプリケーションの開発のFusion WebアプリケーションでのADFセキュリティの有効化に関する項を参照してください。
|
注意: ADFデスクトップ統合は、エンティティ・オブジェクト・レベル、エンティティ属性レベル、ADFメソッド、新規作成時の挿入、パネル・タブ、タスク・フローの認可など、他のリソース・タイプの認可は強制しません。 |
jazn-data.xmlファイルの概要エディタの「リソース権限」ページで、リソースと権限を構成できます。詳細は、Oracleアプリケーション開発フレームワークによるFusion Webアプリケーションの開発のADFセキュリティ・ポリシーの定義に関する項を参照してください。
認可に失敗すると、エンド・ユーザーは次のようなエラー・メッセージを受信し、ワークシート内のADFデスクトップ統合は無効になります。
ADFDI-05589 Fusion Webアプリケーションとの対話にこのワークシートを使用する権限がありません。
次の制限事項は、ADFデスクトップ統合が無効になったワークシートに適用されます。
ADFボタン、ワークシート・レベルのリボン・コマンド、ワークシート・レベルのイベントはすべて無効になります。
ワークシートの初期化中に認可が失敗すると、フォーム・ラベル、表の列ヘッダー、ボタンはワークシートに描画されません。
初期化されたワークシートで認可が失敗すると、すべてのADFボタンは無効になりますが、他のワークシート・コンポーネント(ADF入力テキスト、ADF表など)は影響を受けず、視覚的には変更されません。
エンド・ユーザーは、無効になったワークシート上で標準的なExcelの対話を実行できます。ユーザーはワークシート内のADF表コンポーネントのデータを変更できますが、変更された列は更新されません。
ワークシート・レベルのコマンドに影響はありません。エンド・ユーザーは、ログイン、ログアウト、情報、編集オプションおよび全データのクリアなどのコマンドを引き続き使用できます。
エンド・ユーザーが統合Excelワークブックを再度開き、新しいセッションが確立されて認可されると、ADFデスクトップ統合が無効になっているワークシートが自動的に有効になります。ログアウトし再度ログインすると、無効な統合Excelワークシート内のADFデスクトップ統合が再び有効になります。
