次の各項で、Fusion Middleware Control、OPSSスクリプトまたはOracle Entitlements Serverを使用して管理者がポリシーを管理する方法について説明します。
Oracle Entitlements Serverを使用したアプリケーション・ポリシーの管理
代表的な操作は次のとおりです。
既存のアプリケーション・ロールの権限の変更
プリンシパルのパーミッションの取消し
アプリケーション・ロールの作成と削除
すべてのアプリケーション・ロール、およびアプリケーション・ロールのすべてのメンバーのリスト
この章では、次の項目についても説明します。
ポリシー・ストアのデータにアクセスできるのは、ドメイン管理者など、適切なパーミッションを持つユーザーに限られます。
次の各項で、Fusion Middleware Control、OPSSスクリプトまたはOracle Entitlements Serverを使用して管理者がポリシーを管理する方法について説明します。代表的な操作は次のとおりです。
予期しない認可の失敗を防ぎ、効果的にポリシーを管理するには、次の重要ポイントに注意してください。
重要ポイント1: ユーザーを削除する前に、ユーザーに付与されているすべてのパーミッション、アプリケーション・ロールおよびエンタープライズ・グループを取り消します。削除対象のユーザーを参照するセキュリティ・アーティファクトが残っていると、これらは中途半端に孤立した状態になり、同じ名前またはuidを持つ別のユーザーを後で作成したときに誤って継承される可能性があります。 ユーザー名またはuidを変更する場合にも、同様の考え方が当てはまります。古いデータを参照するすべてのポリシー(権限付与、パーミッション、グループ)を更新して、変更後のデータでも予期したとおりに機能するようにする必要があります。 第L.11項「ユーザーによる予期しないパーミッションの取得」を参照してください。 |
重要ポイント2: ポリシーの適用時には、名前の大文字と小文字が区別されます。ユーザー名またはグループ名の大文字と小文字の違いによる認可エラーを防ぐ最善の方法は、アイデンティティ・ストアで指定されているとおりの文字構成による名前を使用することです。 そのため、次のことをお薦めします。
第L.4項「パーミッションの付与または取消しの失敗 - 大文字と小文字の不一致」を参照してください。 |
重要ポイント3: リソース・タイプの名前、リソース、または権限には印刷可能文字のみを使用でき、先頭または末尾に空白を使用することはできません。 ロール名をはじめとしたポリシーにおける文字使用に関する考慮事項は、第L.17項「ポリシーに使用する文字」を参照してください。 |
Fusion Middleware Controlでは、次の項の説明のように、ドメインで使用しているポリシー・ストア・プロバイダのタイプに関係なく、WebLogicドメインでシステム・ポリシーおよびアプリケーション・ポリシーを管理できます。
その他のサービス・プロバイダを管理する手順は、第8.7項「Fusion Middleware Controlを使用したサービス・プロバイダの構成」を参照してください。
この項では、Fusion Middleware Controlを使用してアプリケーション・ポリシーを管理する方法について説明します。
Fusion Middleware Controlにログインし、「ドメイン」→「セキュリティ」→「アプリケーション・ポリシー」(アプリケーションがOracle WebLogic Serverにデプロイされている場合)、または「セル」→「セキュリティ」→「アプリケーション・ポリシー」(WebSphere Application Serverにデプロイされている場合)と移動して、「アプリケーション・ポリシー」ページを表示します(次の図にページの一部を示します)。
「ポリシー・ストア・プロバイダ」領域は読取り専用です。それを開くと、ドメインまたはセルで現在使用しているポリシー・ストア・プロバイダが表示されます。
指定したプリンシパルまたはパーミッションに一致するアプリケーションのポリシーを表示するには、「検索」領域を開き、検索対象のアプリケーション・ストライプを選択し、基準にする文字列(プリンシパル名、プリンシパル・グループまたはアプリケーション・ロール)を入力して、青いボタンをクリックします。検索の結果がページの下部の表に表示されます。
選択したアプリケーション・ストライプのアプリケーション・ポリシーを作成するには、「作成」をクリックして、「アプリケーション権限の作成」ページを表示します。ここで、作成する権限に対するプリンシパルおよびパーミッションを追加します。
パーミッションを追加するには、「権限」領域の「追加」をクリックして、「権限の追加」ダイアログ・ボックスを表示します。
そのダイアログ・ボックスの「検索」領域で、まず「権限」または「リソース・タイプ」を選択します。「権限」を選択した場合は、クラスまたはリソース名に一致するパーミッションを指定し、「権限クラス」および「リソース名」を指定します。「リソース・タイプ」を選択した場合は、タイプ名に一致するリソース・タイプを指定し、タイプを指定します。「OK」をクリックして「アプリケーション権限の作成」ページに戻ります。選択したパーミッションが、「権限」領域の表に表示されます。
プリンシパルを追加するには、「権限受領者」領域の「追加」ボタンをクリックして、「プリンシパルの追加」ダイアログ・ボックスを表示します。
そのダイアログ・ボックスの「検索」領域で、「タイプ」を選択し、プリンシパル名または表示名に一致させる文字列を入力して、青いボタンをクリックします。問合せの結果が「検索済プリンシパル」表に表示されます。その表から1つ以上の行を選択し、「OK」をクリックして「アプリケーション権限の作成」ページに戻ります。選択したプリンシパルが、「権限受領者」領域の表に表示されます。
「権限受領者」領域の表にある項目はいつでも削除できます。削除するには、項目を選択して「削除」ボタンをクリックします。同様に、この表の項目を選択して「編集」ボタンをクリックすると、その項目の内容を変更できます。
完了したら、「OK」をクリックして、「アプリケーション・ポリシー」ページに戻ります。作成したポリシーのプリンシパルとパーミッションがページの下部の表に表示されます。
既存のアプリケーション・ポリシーに基づいてアプリケーション・ポリシーを作成する手順は、次のとおりです。
表から既存のポリシーを選択します。
「類似作成」をクリックし、「アプリケーション権限の類似作成」ページを表示します。このページでは、選択したポリシーから抽出されたデータがパーミッションの表に自動的に入力されます。
前述の手順3の下位手順の説明に従い、必要に応じてこれらの値を変更し、「OK」をクリックします。
この項では、Fusion Middleware Controlを使用してアプリケーション・ロールを管理する方法について説明します。
Fusion Middleware Controlにログインし、「ドメイン」→「セキュリティ」→「アプリケーション・ロール」(アプリケーションがOracle WebLogic Serverにデプロイされている場合)、または「セル」→「セキュリティ」→「アプリケーション・ロール」(WebSphere Application Serverにデプロイされている場合)と移動して、「アプリケーション・ロール」ページを表示します(次の図にページの一部を示します)。
「ポリシー・ストア・プロバイダ」領域は読取り専用です。それを開くと、ドメインまたはセルで現在使用しているポリシー・ストア・プロバイダが表示されます。
アプリケーションのロールを表示するには、「検索」領域を開き、検索対象のアプリケーション・ストライプを選択し、ロール名に一致させるデータを入力して、青いボタンをクリックします。検索の結果がページの下部の表に表示されます。
アプリケーション・ロールを作成するには、「作成」をクリックして、「アプリケーション・ロールの作成」ページを表示します。すべての領域に一度にデータを入力する必要はないことに注意してください。たとえば、ロール名と表示名を入力してロールを作成し、データを保存しておき、そのロールに属するメンバーを後から指定できます。同様に、ロール・マッピングに対するデータを後で入力することもできます。
領域「一般」で、作成するロールの次の属性を指定します。
「ロール名」テキスト・ボックスにロールの名前を入力します。
必要に応じて、ロールに表示する名前を「表示名」テキスト・ボックスに入力します。
オプションで、「説明」テキスト・ボックスに、ロールの説明を入力します。
「メンバー」領域で、作成するロールのマップ先とするユーザーまたはグループを指定します。マップ先とする他のアプリケーション・ロールがある場合は、それを指定します。
作成するアプリケーション・ロールにアプリケーション・ロールを追加する手順は、次のとおりです。
「追加」をクリックして、「プリンシパルの追加」ダイアログを表示します。
このダイアログで、「タイプ」(アプリケーション・ロール、グループまたはユーザー)を選択し、プリンシパル名に一致させる文字列を入力して、青いボタンをクリックします。検索結果が「検索済プリンシパル」表に表示されます。その表から1つ以上のプリンシパルを選択します。
完了したら、「OK」をクリックして、「アプリケーション・ロールの作成」ページに戻ります。選択したアプリケーション・ロールが「メンバー」表に表示されます。
「メンバー」表にある項目はいつでも削除できます。削除するには、項目を選択して「削除」ボタンをクリックします。同様に、この表の項目を選択して「編集」ボタンをクリックすると、その項目の内容を変更できます。
「OK」をクリックし、ロールの作成(または更新)を完了し、「アプリケーション・ロール」ページに戻ります。作成したロールがそのページの下部の表に表示されます。
既存のアプリケーション・ロールに基づいてアプリケーション・ロールを作成する手順は、次のとおりです。
表から既存のロールを選択します。
「類似作成」をクリックし、「アプリケーション・ロールの類似作成」ページを表示します。このページでは、選択したロールから抽出されたデータが一部のデータに自動的に入力されます。
ロールおよびユーザーのリストを必要に応じて変更し、「OK」をクリックします。
ロール階層でパーミッションがどのように継承されるかを理解するには、第2.2.1項「パーミッションの継承とロールの階層」を参照してください。
この項では、Fusion Middleware Controlを使用して、Oracle WebLogic ServerドメインまたはWebSphere Application Serverセルのシステム・ポリシーを管理する方法について説明します。
次の手順では、プリンシパルのポリシーとコードベースのポリシーという2種類のシステム・ポリシーを作成できます。プリンシパルのポリシーでは、ユーザーまたはグループのリストにパーミッションを付与します。コードベースのポリシーでは、コード(通常はURLまたはJARファイル)にパーミッションを付与します。たとえば、資格証明ストア・フレームワークを使用するアプリケーションには、適切なコードベースのポリシーが必要です。コードベースURLでは、ワイルドカードやパターンはサポートされていません。
Fusion Middleware Controlにログインし、状況に応じて「ドメイン」→「セキュリティ」→「システム・ポリシー」、またはセル→「セキュリティ」→「システム・ポリシー」とナビゲートして、「システム・ポリシー」ページを表示します(次の図にページの一部を示します)。
「ポリシー・ストア・プロバイダ」領域は読取り専用です。それを開くと、ドメインまたはセルで現在使用しているポリシー・ストア・プロバイダが表示されます。
指定したタイプ、名前およびパーミッションと一致するシステム・ポリシーを表示するには、「検索」領域を開き、一致対象のデータを入力して、青いボタンをクリックします。検索の結果がページの下部の表に表示されます。
「編集」ボタンをクリックすると、選択したポリシーの特性をいつでも編集できます。リストからポリシーを削除するには、「削除」ボタンをクリックします。
システム・ポリシーを作成する手順は、次のとおりです。
「作成」をクリックして、「システム権限の作成」ページを表示します。
作成するポリシーのタイプとして、「プリンシパル」または「コードベース」を選択します。選択したタイプによってUIが多少異なります。次の手順は、「プリンシパル」を選択した場合に対するものです。
パーミッションを追加するには、「権限」領域の「追加」ボタンをクリックして、「権限の追加」ダイアログ・ボックスを表示し、作成しているポリシーに追加するパーミッションを選択します。
「検索」領域を使用して、タイプ、プリンシパル名またはパーミッション名が一致するパーミッションを問い合せます。検索結果が「検索」領域の表に表示されます。
追加するパーミッションを選択するには、表からパーミッションを選択します。パーミッションを選択すると、その詳細が読取り専用の「カスタマイズ」領域に表示されます。
「OK」をクリックして、「システム権限の作成」ページに戻ります。選択したパーミッションが、「権限」の表に追加されます。
「パーミッション」表からパーミッションを選択し、「編集」ボタンを使用すると、パーミッションの特性をいつでも変更できます。リストからパーミッションを削除するには、「削除」ボタンを使用します。
「OK」をクリックして、「システム・ポリシー」ページに戻ります。
「コードベースに関する権限」領域の表は読取り専用であり、コードベース・システム・ポリシーに関連付けられているリソース名、アクションおよびパーミッション・クラスを示します。
OPSSスクリプトは、Oracle WebLogic ServerのコンテキストではOPSSスクリプトであり、WebSphere Application ServerのコンテキストではWASAdminスクリプトです。この項に記載されたスクリプトは、WebLogic Application ServerとWebSphere Application Serverの両プラットフォームに適用されます。
オンライン・スクリプトとは、実行中のサーバーとの接続が必要なスクリプトです。特に指定がないかぎり、この項に記載されたスクリプトはオンライン・スクリプトで、ベースがファイル、LDAP、DBのいずれであるかにかかわりなくポリシー・ストアで動作します。動作にサーバーの実行を必要としないオフラインのスクリプトもいくつか存在します。
読取り専用スクリプトは、モニター、オペレータ、コンフィギュレータまたはAdminというWebLogicグループに属するユーザーのみが実行できます。読取り-書込みスクリプトは、AdminまたはコンフィギュレータのWebLogicグループに属するユーザーのみが実行できます。OPSSスクリプトはすべて、Oracle WebLogic Serverをインストールすれば、追加設定なしで使用できます。
OPSSスクリプトは、インタラクティブ・モードでもスクリプト・モードでも実行できます。インタラクティブ・モードの場合は、コマンドライン・プロンプトにスクリプトを入力します。スクリプト・モードの場合は、スクリプトをテキスト・ファイル(ファイル名拡張子は.py)に記述して、シェル・スクリプトのディレクティブのように入力なしで実行できます。
WASAdminスクリプトは、インタラクティブ・モードでのみ実行できます。
注意: OPSSスクリプトを呼び出す前は、次のスクリプトのいずれか(使用するプラットフォームによって決まります)を実行して、必要なJARがクラス・パスに追加されていることを確認する必要があります。 WebLogicの場合: >sh $ORACLE_HOME/common/bin/wlst.sh オンライン・スクリプトを実行するには、次のようにWebLogicサーバーに接続しておく必要があります。 >java weblogic.WLST >connect(' |
構成ファイルおよびJVMについては、第5.6項「OPSSスクリプトを使用した一般的なセキュリティ操作」を参照してください。
WebSphereでOPSSスクリプトを実行する方法の詳細は、Oracle Fusion Middlewareサード・パーティ・アプリケーション・サーバー・ガイドを参照してください。
OPSSはサポートされているすべてのプラットフォームでアプリケーション・ポリシーの管理に使用できる次のスクリプトが用意されています(特に指定がないかぎりこのスクリプトはすべてオンラインです)。
前述のスクリプトで指定するクラス名はすべて、完全修飾パス名にする必要があります。引数appStripe
は、アプリケーション・ストライプ(通常はアプリケーション名)を参照し、特定のアプリケーションに関するドメイン・ポリシーのサブセットを特定します。
認証ロール、匿名ロールおよびOPSSスクリプトに関する重要な情報は、第9.5項「OPSSスクリプトを使用した匿名ロールおよび認証ロールへのポリシーの付与」を参照してください。
バージョン付きアプリケーションにおけるアプリケーション・ストライプの正しい使用方法については、第9.6項「OPSSスクリプトのバージョン付きアプリケーションのアプリケーション・ストライプ」を参照してください。
オフライン・スクリプトlistSecurityStoreInfo
は、OPSSセキュリティ・ストアのタイプ、その場所およびそれにアクセスできるユーザー(通常はセキュリティ管理者)をリストします。このスクリプトは、jps-config.xml
ファイル、jps-config-jse.xml
ファイルおよびブートストラップ資格証明をインスペクトし、そこから関連情報を抽出します。
スクリプト・モード構文
listSecurityStoreInfo.py -domainConfig configFilePath
インタラクティブ・モード構文
listSecurityStoreInfo(domainConfig="configFilePath")
引数の意味は、次のとおりです。
domainConfig
は、OPSS構成ファイルjps-config.xml
およびjps-config-jse.xml
が配置されているディレクトリへの絶対フルパスを指定します。
使用例
次のインタラクティブ・モードでの呼出しによって、ドメインOPSSセキュリティ・ストアに構成されているデータが返されます。
listSecurityStoreInfo(domainConfig="/home/myConfigPathDirectory/config/fmwconfig")
出力にリストされるタイプは、File、OID、DBのいずれかです。
スクリプトlistAppStripes
は、アプリケーション・ストライプをリストします。このスクリプトは、オフライン・モードでもオンライン・モードでも実行できます。オフライン・モードで実行する場合は構成ファイルが渡される必要があり、渡された構成ファイルのデフォルト・コンテキストの構成で参照されるポリシー・ストア内のアプリケーション・ストライプをリストします。オンライン・モードで実行する場合は、構成ファイルを渡すことはできず、接続先のドメインのポリシー・ストアのストライプをリストします。いずれのモードでも、正規表現が渡された場合はその正規表現と一致する名前のアプリケーション・ストライプがリストされ、これ以外の場合はすべてのアプリケーション・ストライプがリストされます。
スクリプト・モード構文
listAppStripes.py [-configFile configFileName] [-regularExpression aRegExp]
インタラクティブ・モード構文
listAppStripes([configFile="configFileName"] [, regularExpression="aRegExp"])
引数の意味は、次のとおりです。
configFile
は、OPSS構成ファイルへのパスを指定します。オプション。指定した場合はスクリプトがオフラインで実行されます。指定された構成ファイルのデフォルト・コンテキストにアイデンティティ・ストアに対するサービス・インスタンスの参照を含めることはできません。指定しない場合はスクリプトがオンラインで実行され、ポリシー・ストア内のアプリケーション・ストライプがリストされます。
regularExpression
は、正規表現を指定しこれに一致するストライプ名が返されます。オプション。指定しない場合はすべての名前が一致することになります。サブストリングの一致を返す場合は文字*(アスタリスク)を使用します。
使用例
次の(オンラインの)呼出しでは、ポリシー・ストア内のアプリケーション・ストライプのリストが返されます。
listAppStripes.py
次の(オフラインの)呼出しでは、指定された構成ファイルのデフォルト・コンテキストで参照されるポリシー・ストア内のアプリケーション・ストライプのリストが返されます。
listAppStripes.py -configFile /home/myFiles/jps-config.xml
次の(オンラインの)呼出しでは、接頭辞Appが含まれるアプリケーション・ストライプのリストが返されます。
listAppStripes.py -regularExpression App*
オンライン・スクリプトlistCodeSourcePermissions
は、グローバル・ポリシーでソース・コードに割り当てられているパーミッションをリストします。
スクリプト・モード構文
listCodeSourcePermissions.py -codeBaseURL codeUrl
インタラクティブ・モード構文
listCodeSourcePermissions(codeBaseURL="codeUrl")
引数の意味は、次のとおりです。
codeBaseURL
は、権限受領者のコードベースURLの名前を指定します。
使用例
次の呼出しでは、グローバル・ポリシーでコード・ソースに割り当てられているパーミッションのリストが返されます。
listCodeSourcePermissions(codeBaseURL="file:/tmp/bea/user_projects/domains/jpsdomain/lib/jps-internal.jar")
スクリプトcreateAppRole
では、指定したアプリケーション・ストライプおよびロール名を持つアプリケーション・ロールがポリシー・ストア内に作成されます。
スクリプト・モード構文
createAppRole.py -appStripe appName -appRoleName roleName
インタラクティブ・モード構文
createAppRole(appStripe="appName", appRoleName="roleName")
引数(すべて必須)の意味は、次のとおりです。
appStripe
は、アプリケーション・ストライプを指定します。
appRoleName
では、ロール名を指定します。
使用例
次の呼出しでは、アプリケーション・ストライプmyApp
およびロール名myRole
を持つアプリケーション・ロールが作成されます。
createAppRole.py -appStripe myApp -appRoleName myRole
スクリプトdeleteAppRole
では、渡されたストライプからアプリケーション・ロールが削除されます。具体的に言うと、このスクリプトでは次のものを削除することによってカスケード削除を実施します。
ロールが存在するすべての権限
他のロールに属しているロール
特定のロールに属しているすべてのロール
スクリプト・モード構文
deleteAppRole.py -appStripe appName -appRoleName roleName
インタラクティブ・モード構文
deleteAppRole(appStripe="appName", appRoleName="roleName")
引数(すべて必須)の意味は、次のとおりです。
appStripe
は、アプリケーション・ストライプを指定します。
appRoleName
では、ロール名を指定します。
使用例
次の呼出しでは、アプリケーション・ストライプmyApp
および名前myRole
を持つロールが削除されます。
deleteAppRole.py -appStripe myApp -appRoleName myRole
スクリプトgrantAppRole
では、指定したアプリケーション・ストライプおよび名前を持つロールにプリンシパル(クラスと名前)が追加されます。このスクリプトは、アプリケーション・ロール階層の構築や変更に使用できます。
grantAppRole.py -appStripe appName -appRoleName roleName -principalClass className -principalName prName
インタラクティブ・モード構文
grantAppRole(appStripe="appName", appRoleName="roleName", principalClass="className", principalName="prName")
引数(すべて必須)の意味は、次のとおりです。
appStripe
は、アプリケーション・ストライプを指定します。
appRoleName
では、ロール名を指定します。
principalClass
では、クラスの完全修飾名を指定します。このクラスは、実行時に使用できるようにクラスパスで指定しておく必要があります。通常、プリンシパルがユーザーの場合、このクラスはweblogic.security.principal.WLSUserImpl
であり、プリンシパルがグループの場合、このクラスはweblogic.security.principal.WLSGroupImpl
です。
principalName
では、プリンシパル名を指定します。
使用例
次の呼出しでは、デフォルトのプリンシパル実装クラスWLSGroupImpl
で定義したプリンシパルmyPrincipal
が、アプリケーション・ストライプmyApp
のロールmyRole
に追加されます。
grantAppRole.py -appStripe myApp -appRoleName myRole -principalClass weblogic.security.principal.WLSGroupImpl -principalName myPrincipal
スクリプトrevokeAppRole
では、指定したアプリケーション・ストライプおよび名前を持つロールからプリンシパル(クラスと名前)が削除されます。このスクリプトは、アプリケーション・ロール階層の構築や変更に使用できます。
スクリプト・モード構文
revokeAppRole.py -appStripe appName -appRoleName roleName -principalClass className -principalName prName
インタラクティブ・モード構文
revokeAppRole(appStripe="appName", appRoleName="roleName", principalClass="className", principalName="prName")
引数(すべて必須)の意味は、次のとおりです。
appStripe
は、アプリケーション・ストライプを指定します。
appRoleName
では、ロール名を指定します。
principalClass
では、完全修飾プリンシパル・クラス名を指定します。
principalName
では、プリンシパル名を指定します。
使用例
次の呼出しでは、デフォルトのプリンシパル実装クラスWLSGroupImpl
で定義したプリンシパルmyPrincipal
が、アプリケーション・ストライプmyApp
のロールmyRole
から削除されます。
revokeAppRole.py -appStripe myApp -appRoleName myRole -principalClass weblogic.security.principal.WLSGroupImpl -principalName myPrincipal
スクリプトlistAppRoles
では、指定したアプリケーション・ストライプを持つすべてのロールがリストされます。
スクリプト・モード構文
listAppRoles.py -appStripe appName
インタラクティブ・モード構文
listAppRoles(appStripe="appName")
引数(必須)の意味は、次のとおりです。
appStripe
は、アプリケーション・ストライプを指定します。
使用例
次の呼出しでは、アプリケーション・ストライプmyApp
を持つすべてのロールが返されます。
listAppRoles.py -appStripe myApp
スクリプトlistAppRoleMembers
では、指定したアプリケーション・ストライプおよびロール名を持つロール内のすべてのメンバーがリストされます。
スクリプト・モード構文
listAppRoleMembers.py -appStripe appName -appRoleName roleName
インタラクティブ・モード構文
listAppRoleMembers(appStripe="appName", appRoleName="roleName")
引数(すべて必須)の意味は、次のとおりです。
appStripe
は、アプリケーション・ストライプを指定します。
appRoleName
では、ロール名を指定します。
使用例
次の呼出しでは、アプリケーション・ストライプmyApp
および名前myRole
を持つロール内のすべてのメンバーが返されます。
listAppRoleMembers.py -appStripe myApp -appRoleName myRole
スクリプトgrantPermission
は、アプリケーション・ポリシーまたはグローバル(システム)ポリシーでプリンシパル、URLまたはコード・ソースに、指定されたパーミッションを付与する新規権限を作成します。
スクリプト・モード構文
grantPermission [-appStripe appName] [-codeBaseURL url] [-principalClass prClassName] [-principalName prName] -permClass permissionClassName [-permTarget permName] [-permActions comma_separated_list_of_actions]
インタラクティブ・モード構文
grantPermission([appStripe="appName",] [codeBaseURL="url",] [principalClass="prClassName",] [principalName="prName",] permClass="permissionClassName", [permTarget="permName",] [permActions="comma_separated_list_of_actions"])
引数(オプションの引数は、大カッコで囲んであります)の意味は、次のとおりです。
appStripe
は、アプリケーション・ストライプを指定します。この指定がない場合はスクリプトがシステム・ポリシーに対して機能します。プリンシパルに権限を指定する場合にのみ使用します。
codeBaseURL
では、パーミッションが付与されたコードのURLを指定します。ソース・コードに権限を指定する場合にのみ使用します。
principalClass
では、完全修飾クラス名を指定します(権限受領者)。
principalName
では、権限受領者プリンシパルの名前を指定します。プリンシパルに権限を指定する場合にのみ使用します。
permClass
では、パーミッション・クラスの完全修飾名を指定します
permTarget
は、パーミッションの名前を指定します(使用可能な場合)。パーミッションによってはこの属性は含まれないものがあります。
permActions
は、パーミッションが付与されるアクションのリストを指定します。パーミッションによってはこの属性が含まれないものがあり、使用できるアクションはパーミッション・クラスによって異なります。
使用例
次の呼出しでは、指定したデータを持つアプリケーション権限が(アプリケーション・ストライプmyApp
を持つアプリケーションに対して)作成されます。
grantPermission.py -appStripe myApp -principalClass my.custom.Principal -principalName manager -permClass java.security.AllPermission
次の呼出しによって、システム権限が作成されます。
grantPermission( codeBaseURL="file:my.domain/servers/myServer/-", permClass=" oracle.security.jps.service.policystore.PolicyStoreAccessPermission", permTarget="myAppName", permActions="*")
次の構成のサンプル(jazn-data.xml
ファイル内)は、前述のgrantPermission
の実行で作成されたシステム権限を示しています。コード・ソースの指定が、アプリケーションの有効範囲外になっていることに注意してください。
<jazn-policy> <grant> <grantee> <codesource> <url>file:my.domain/servers/myServer/-</url> </codesource> </grantee> <permissions> <permission> <class>oracle.security.jps.service.policystore.PolicyStoreAccessPermission</class> <name>myAppName</name> <actions>*</actions> </permission> </permissions> </grant> ... </jazn-policy>
パーミッション・クラスのリストは、第21.5.6項「サポートされているパーミッション・クラス」を参照してください。
スクリプトrevokePermission
は、プリンシパルまたはコード・ベースに付与されている権限を削除します。
スクリプト・モード構文
revokePermission [-appStripe appName] [-codeBaseURL url] [-principalClass prClassName] [-principalName prName] -permClass permissionClassName [-permTarget permName] [-permActions comma_separated_list_of_actions]
インタラクティブ・モード構文
revokePermission([appStripe="appName",][codeBaseURL="url",] [principalClass="prClassName",] [principalName="prName",] permClass="permissionClassName", [permTarget="permName",] [permActions="comma_separated_list_of_actions"])
引数(オプションの引数は、大カッコで囲んであります)の意味は、スクリプトgrantPermission
の場合と同じで、次のとおりです。
appStripe
は、アプリケーション・ストライプを指定します。この指定がない場合はスクリプトがシステム・ポリシーに対して機能します。プリンシパルに付与されている権限を削除する場合にのみ使用します。
codeBaseURL
では、パーミッションが付与されたコードのURLを指定します。ソース・コードに付与されている権限を削除する場合にのみ使用します。
principalClass
では、完全修飾クラス名を指定します(権限受領者)。
principalName
では、権限受領者プリンシパルの名前を指定します。プリンシパルに付与されている権限を削除する場合にのみ使用します。
permClass
では、パーミッション・クラスの完全修飾名を指定します
permTarget
は、パーミッションの名前を指定します(使用可能な場合)。パーミッションによってはこの属性は含まれないものがあります。
permActions
は、パーミッションが付与されるアクションのリストを指定します。パーミッションによってはこの属性が含まれないものがあり、使用できるアクションはパーミッション・クラスによって異なります。
使用例
次の呼出しでは、指定したデータを持つアプリケーション・パーミッションが(アプリケーション・ストライプmyApp
を持つアプリケーションに対して)削除されます。
revokePermission.py -appStripe myApp -principalClass my.custom.Principal -principalName manager -permClass java.security.AllPermission
次の呼出しによって、システム権限が削除されます。
revokePermission( codeBaseURL="file:my.domain/servers/myServer/-", permClass=" oracle.security.jps.service.policystore.PolicyStoreAccessPermission", permTarget="myAppName", permActions="*")
スクリプトlistPermissions
では、指定したプリンシパルに付与されたすべてのパーミッションがリストされます。
スクリプト・モード構文
listPermissions [-appStripe appName] -principalClass className -principalName prName
インタラクティブ・モード構文
listPermissions([appStripe="appName",] principalClass="className", principalName="prName")
引数(オプションの引数は、大カッコで囲んであります)の意味は、次のとおりです。
appStripe
は、アプリケーション・ストライプを指定します。この指定がない場合はスクリプトがシステム・ポリシーに対して機能します。
principalClass
では、完全修飾クラス名を指定します(権限受領者)。
principalName
では、権限受領者プリンシパルの名前を指定します。
使用例
次の呼出しでは、アプリケーションmyApp
のポリシーによってプリンシパルに付与されたすべてのパーミッションがリストされます。
listPermissions.py -appStripe myApp -principalClass my.custom.Principal -principalName manager
次の呼出しでは、システム・ポリシーによってプリンシパルに付与されたすべてのパーミッションがリストされます。
listPermissions.py -principalClass my.custom.Principal -principalName manager
スクリプトdeleteAppPolicies
では、指定したアプリケーション・ストライプを持つすべてのポリシーが削除されます。
スクリプト・モード構文
deleteAppPolicies -appStripe appName
インタラクティブ・モード構文
deleteAppPolicies(appStripe="appName")
引数(必須)の意味は、次のとおりです。
appStripe
は、アプリケーション・ストライプを指定します。この指定がない場合はスクリプトがシステム・ポリシーのみに対して機能します。
使用例
deleteAppPolicies -appStripe myApp
スクリプトcreateResourceType
では、特定のアプリケーション・ストライプにあるポリシー・ストアに、指定した名前、表示名、説明およびアクションが設定された新規<resource-type>エントリが挿入されます。オプションの引数は角カッコで囲まれています。それ以外のすべての引数は必須です。
スクリプト・モード構文
createResourceType -appStripe appStripeName -resourceTypeName resTypeName -displayName displName -description descripString [-provider resTypeProvider] [-matcher resTypeClass] -actions resTypeActions [-delimiter delimChar]
インタラクティブ・モード構文
createResourceType(appStripe="appStripeName", resourceTypeName="resTypeName", displayName="displName", description="descripString" [, provider="resTypeProvider", matcher="resTypeClass"], actions="resTypeActions"[, delimiter="delimChar"])
引数の意味は、次のとおりです。
appStripe
では、リソース・タイプの挿入先のアプリケーション・ストライプを指定します。
resourceTypeName
では、挿入するリソース・タイプの名前を指定します。
displayName
では、UIガジェットで使用するリソース・タイプの名前を指定します。
description
では、リソース・タイプの簡単な説明を指定します。
provider
では、リソース・タイプのプロバイダを指定します。
matcher
では、リソース・タイプのクラスを指定します。指定しなかった場合は、デフォルトのoracle.security.jps.ResourcePermission
が使用されます。
actions
では、リソース・タイプのインスタンスに許可されたアクションを指定します。
delimiter
では、アクションのリストを区切る際に使用する文字を指定します。指定しなかった場合は、デフォルトのカンマ','に設定されます。
使用例
次の呼出しでは、セミコロンで区切って指定したアクションBWPrintおよびアクションColorPrintを設定したリソース・タイプがストライプmyApplicationに作成されます。
createResourceType -appStripe myApplication -resourceTypeName Printer -displayName PRINTER -description A resource type representing a Printer -provider Printer -matcher com.printer.Printer -allowedActions BWPrint;ColorPrint -delimiter ;
スクリプトgetResourceType
では、特定のアプリケーション・ストライプにあるポリシー・ストアから、指定した名前の<resource-type>エントリの関連パラメータが返されます。
スクリプト・モード構文
getResourceType -appStripe appStripeName -resourceTypeName resTypeName
インタラクティブ・モード構文
getResourceType(appStripe="stripeName", resourceTypeName="resTypeName")
引数の意味は、次のとおりです。
appStripe
では、リソース・タイプのフェッチ元のアプリケーション・ストライプを指定します。
resourceTypeName
では、フェッチするリソース・タイプの名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationからリソース・タイプmyResTypeがフェッチされます。
getResourceType -appStripe myApplication -resourceTypeName myResType
スクリプトdeleteResourceType
では、渡されたアプリケーション・ストライプから、指定した名前のリソース・タイプが削除されます。このスクリプトは、指定のリソース・タイプのリソース・インスタンスを使用するすべての権限および付与権限から、そのリソース・タイプのすべてのリソース・インスタンスを削除することによってカスケード削除を実施します。
スクリプト・モード構文
deleteResourceType -appStripe appStripeName -resourceTypeName resTypeName
インタラクティブ・モード構文
deleteResourceType(appStripe="stripeName", resourceTypeName="resTypeName")
引数の意味は、次のとおりです。
appStripe
では、リソース・タイプの削除元のアプリケーション・ストライプを指定します。
resourceTypeName
では、削除するリソース・タイプの名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationからリソース・タイプmyResTypeが削除されます。
deleteResourceType -appStripe myApplication -resourceTypeName myResType
スクリプトcreateResource
では、指定したアプリケーション・ストライプに指定したタイプの新しいリソースが作成されます。渡されるリソース・タイプは、渡されたアプリケーション・ストライプに存在している必要があります。
スクリプト・モード構文
createResource -appStripe appStripeName -name resName -type resTypeName [-displayName dispName] [-description descript]
インタラクティブ・モード構文
createResource(appStripe="appStripeName", name="resName", type="resTypeName" [,-displayName="dispName"] [,-description="descript"])
引数の意味は、次のとおりです。
appStripe
は、リソースを作成するアプリケーション・ストライプを指定します。
name
は、作成するリソースの名前を指定します。
type
は、作成するリソースのタイプを指定します。スクリプトの呼出し時に渡されるリソース・タイプがアプリケーション・ストライプ内に存在している必要があります。
diplayName
は、作成するリソースの表示名を指定します。オプション。
description
は、作成するリソースの説明を指定します。オプション。
使用例
次の呼出しでは、ストライプmyApplicationにリソースmyResourceが作成されます。
createResource -appStripe myApplication -name myResource -type myResType -displayName myNewResource
スクリプトdeleteResource
では、特定のアプリケーション・ストライプの権限から特定のリソースとそのすべての参照が削除されます。このスクリプトはカスケード削除を実行します。権限が参照するリソースが1つのみの場合はその権限が削除され、それ以外の場合は、権限から渡されたタイプのリソース・アクションが削除されます。
スクリプト・モード構文
deleteResource -appStripe appStripeName -name resName -type resTypeName
インタラクティブ・モード構文
deleteResource(appStripe="appStripeName", name="resName", type="resTypeName")
引数の意味は、次のとおりです。
appStripe
は、リソースの削除が実行されるアプリケーション・ストライプを指定します。
name
は、削除対象のリソース名を指定します。
type
は、削除されるリソースのタイプを指定します。スクリプトの呼出し時に渡されるリソース・タイプがアプリケーション・ストライプ内に存在している必要があります。
使用例
次の呼出しでは、ストライプmyApplicationのリソースmyResourceが削除されます。
deleteResource -appStripe myApplication -name myResource -type myResType
スクリプトlistResources
は、指定したアプリケーション・ストライプ内のリソースをリストします。リソース・タイプを指定した場合は、指定したリソース・タイプのすべてのリソースがリストされ、この指定がない場合はすべてのタイプのすべてのリソースがリストされます。
スクリプト・モード構文
listResources -appStripe appStripeName [-type resTypeName]
インタラクティブ・モード構文
listResources(appStripe="appStripeName" [,type="resTypeName"])
引数の意味は、次のとおりです。
appStripe
は、リソースがリストされるアプリケーション・ストライプを指定します。
type
は、リストされるリソースのタイプを指定します。スクリプトの呼出し時に渡されるリソース・タイプがアプリケーション・ストライプ内に存在している必要があります。
使用例
次の呼出しでは、ストライプmyApplicationのタイプmyResTypeのすべてのリソースがリストされます。
listResources -appStripe myApplication -type myResType
次の呼出しでは、ストライプmyApplicationのすべてのリソースがリストされます。
listResources -appStripe myApplication
スクリプトlistResourceActions
は、特定のアプリケーション・ストライプ内の権限のリソースおよびアクションをリストします。
スクリプト・モード構文
listResourceActions -appStripe appStripeName -permSetName entitlementName
インタラクティブ・モード構文
listResourceActions(appStripe="appStripeName", permSetName="entitlementName")
引数の意味は、次のとおりです。
appStripe
は、権限の場所であるアプリケーション・ストライプを指定します。
permSetName
は、リソースとアクションがリストされる権限の名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationの権限myEntitlementのリソースとアクションがリストされます。
listResourceActions -appStripe myApplication -permSetName myEntitlement
スクリプトcreateEntitlement
では、リソース1つのみの新しい権限と指定したアプリケーション・ストライプのアクションのリストが作成されます。addResourceToEntitlement
は、既存の権限へのリソースの追加に使用されます。既存の権限からリソースを削除するには、revokeResourceFromEntitlement
を使用します。
スクリプト・モード構文
createEntitlement -appStripe appStripeName -name entitlementName -resourceName resName -actions actionList [-displayName dispName] [-description descript]
インタラクティブ・モード構文
createEntitlement(appStripe="appStripeName", name="entitlementName", resourceName="resName", actions="actionList" [,-displayName="dispName"] [,-description="descript"])
引数の意味は、次のとおりです。
appStripe
は、権限を作成するアプリケーション・ストライプを指定します。
name
は、作成する権限の名前を指定します。
resourceName
は、作成される権限の特定のリソース・メンバーの名前を指定します。
actions
は、リソースresourceNameのアクションのカンマ区切りリストを指定します。
diplayName
は、作成するリソースの表示名を指定します。オプション。
description
は、作成する権限の説明を指定します。オプション。
使用例
次の呼出しでは、ストライプmyApplicationにリソースmyResourceのみの権限myEntitlementが作成されます。
createEntitlement -appStripe myApplication -name myEntitlement -resourceName myResource -actions read,write
スクリプトgetEntitlement
では、特定のアプリケーション・ストライプの権限の名前、表示名、すべてのリソース(およびそのアクション)が返されます。
スクリプト・モード構文
getEntitlement -appStripe appStripeName -name entName
インタラクティブ・モード構文
getEntitlement(appStripe="appStripeName", name="entName")
引数の意味は、次のとおりです。
appStripe
は、権限が配置されるアプリケーション・ストライプを指定します。
name
は、アクセスする権限の名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationの権限myEntitlementの情報が返されます。
getEntitlement -appStripe myApplication -name myEntitlement
スクリプトdeleteEntitlement
では、指定したアプリケーション・ストライプの権限が1つ削除されます。このスクリプトは、アプリケーション・ストライプ内で指定した権限のすべての参照を削除することによってカスケード削除を実行します。
スクリプト・モード構文
deleteEntitlement -appStripe appStripeName -name entName
インタラクティブ・モード構文
deleteEntitlement(appStripe="appStripeName", name="entName")
引数の意味は、次のとおりです。
appStripe
は、権限が削除されるアプリケーション・ストライプを指定します。
name
は、削除対象の権限の名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationの権限myEntitlementが削除されます。
deleteEntitlement -appStripe myApplication -name myEntitlement
スクリプトaddResourceToEntitlement
では、指定したアクションのリソースが指定したアプリケーション・ストライプの特定の権限に追加されます。渡されるリソース・タイプは、渡されたアプリケーション・ストライプに存在している必要があります。
スクリプト・モード構文
addResourceToEntitlement -appStripe appStripeName -name entName -resourceName resName -resourceType resType -actions actionList
インタラクティブ・モード構文
addResourceToEntitlement(appStripe="appStripeName", name="entName", resourceName="resName",actions="actionList")
引数の意味は、次のとおりです。
appStripe
は、権限が配置されるアプリケーション・ストライプを指定します。
name
は、変更対象の権限の名前を指定します。
resourceName
は、追加するリソースを指定します。
resourceType
は、追加するリソースのタイプを指定します。スクリプトの呼出し時に渡されるリソース・タイプがアプリケーション・ストライプ内に存在している必要があります。
actions
は、追加されるリソースのアクションのカンマ区切りリストを指定します。
使用例
次の呼出しでは、ストライプmyApplicationの権限myEntitlementにリソースmyResourceが追加されます。
addResourceToEntitlement -appStripe myApplication -name myEntitlement -resourceName myResource -resourceType myResType -actions view,edit
スクリプトrevokeResourceFromEntitlement
では、指定したアプリケーション・ストライプの権限から特定のリソースが削除されます。
スクリプト・モード構文
revokeResourceFromEntitlement -appStripe appStripeName -name entName -resourceName resName -resourceType resTypeName -actions actionList
インタラクティブ・モード構文
revokeResourceFromEntitlement(appStripe="appStripeName", name="entName", resourceName="resName" ,-resourceType="resTypeName", actions="actionList")
引数の意味は、次のとおりです。
appStripe
は、権限が配置されるアプリケーション・ストライプを指定します。
name
は、変更対象の権限の名前を指定します。
resourceName
は、削除対象のリソースのタイプを指定します。
resourceType
は、削除対象のリソースのタイプを指定します。
actions
は、削除対象のアクションのカンマ区切りリストを指定します。
使用例
次の呼出しでは、ストライプmyApplicationの権限myEntitlementからリソースmyResourceが削除されます。
revokeResourceFromEntitlement -appStripe myApplication -name myEntitlement -resourceName myResource -resourceType myResType -actions view,edit
スクリプトlistEntitlements
では、特定のアプリケーション・ストライプ内のすべての権限がリストされます。リソース名とリソース・タイプが指定されている場合は、指定したタイプで指定したリソース名と一致するリソースを持つ権限がリストされます。このような指定がない場合はアプリケーション・ストライプ内のすべての権限がリストされます。
スクリプト・モード構文
listEntitlements -appStripe appStripeName [-resourceTypeName resTypeName] [-resourceName resName]
インタラクティブ・モード構文
listEntitlements(appStripe="appStripeName" [,resourceTypeName="resTypeName", resourceName="resName"])
引数の意味は、次のとおりです。
appStripe
では、リストされる権限が含まれるアプリケーション・ストライプを指定します。
resourceTypeName
は、リスト対象のリソースのタイプ名を指定します。オプション。
resourceName
は、一致が求められるリソースの名前を指定します。オプション。
使用例
次の呼出しでは、ストライプmyApplicationのすべての権限がリストされます。
listEntitlements -appStripe myApplication
次の呼び出しでは、ストライプmyApplicationから、リソース・タイプがmyResTypeでリソース名がmyResNameと一致するすべての権限がリストされます。
listEntitlements -appStripe myApplication -resourceTypeName myResType -resourceName myResName
スクリプトgrantEntitlement
では、指定したアプリケーション・ストライプに指定したプリンシパルの権限が作成されます。
スクリプト・モード構文
grantEntitlement -appStripe appStripeName -principalClass principalClass -principalName principalName -permSetName entName
インタラクティブ・モード構文
grantEntitlement(appStripe="appStripeName", principalClass="principalClass", principalName="principalName" ,-permSetName="entName")
引数の意味は、次のとおりです。
appStripe
は、権限を作成するアプリケーション・ストライプを指定します。
principalClass
では、プリンシパルに関連付けられるクラスを指定します。
name
は、権限が付与されるプリンシパルの名前を指定します。
permSetName
は、作成する権限の名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationで権限myEntitlementが作成されます。
grantEntitlement -appStripe myApplication -principalClass oracle.security.jps.service.policystore.ApplicationRole -principalName myPrincipalName -permSetName myEntitlement
スクリプトrevokeEntitlement
では、指定したアプリケーション・ストライプで権限が削除され、プリンシパルの権限が取り消されます。
スクリプト・モード構文
revokeEntitlement -appStripe appStripeName -principalClass principalClass -principalName principalName -permSetName entName
インタラクティブ・モード構文
revokeEntitlement(appStripe="appStripeName", principalClass="principalClass", principalName="principalName" ,-permSetName="entName")
引数の意味は、次のとおりです。
appStripe
は、権限が削除されるアプリケーション・ストライプを指定します。
principalClass
では、プリンシパルに関連付けられるクラスを指定します。
principalName
は、権限が取り消されるプリンシパルの名前を指定します。
permSetName
は、削除される権限の名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationの権限myEntitlementが削除されます。
revokeEntitlement -appStripe myApplication -principalClass oracle.security.jps.service.policystore.ApplicationRole -principalName myPrincipalName -permSetName myEntitlement
スクリプトlistResourceTypes
では、指定したアプリケーション・ストライプのすべてのリソース・タイプがリストされます。
スクリプト・モード構文
listResourceTypes -appStripe appStripeName
インタラクティブ・モード構文
listResourceTypes(appStripe="appStripeName")
引数の意味は、次のとおりです。
appStripe
は、リソース・タイプが配置されているアプリケーション・ストライプを指定します。
使用例
次の呼出しでは、ストライプmyApplicationのすべてのリソース・タイプがリストされます。
listResourceTypes -appStripe myApplication
スクリプトreassociateSecurityStore
では、OPSSセキュリティ・ストアがソースからターゲットのLDAPベース・ストアまたはDBベース・ストアに移行され、jps-config.xml
ファイルおよびjps-config-jse.xml
ファイル内のサービスがターゲット・リポジトリにリセットされます。また、OPSSセキュリティ・ストアを別のドメインのものと共有する指定もできます(後述のオプション引数join
を参照)。OPSSバイナリとターゲットのポリシー・ストアには、互換性のあるバージョンを使用する必要があります。詳細は、第L.22項「バイナリとポリシー・ストアのバージョンの非互換性」を参照してください。
ソースは、ファイルベース、LDAPベース、またはDBベースのストアのいずれでもかまいません。サポート対象のLDAPターゲットのタイプは、Oracle Internet Directoryのみ、DBターゲットの場合はDB_ORACLEのみです。このスクリプトは、インタラクティブ・モードでのみサポートされます。
このスクリプトにより、該当するパラメータ(次の引数admin
およびpassword
を参照)が渡されて、ブートストラップ資格証明がリセットされます。ブートストラップ資格証明は、ターゲット・ストアへのアクセスに使用される資格証明です。ブートストラップ資格証明をリセットする別の方法については、第10.5.4項「modifyBootStrapCredential」および第10.5.5項「addBootStrapCredential」の各スクリプトを参照してください。
再関連付けに関連する推奨事項は、「重要ポイント」を参照してください。
インタラクティブ・モード構文
スクリプト構文は、ターゲット・ストアのタイプに応じて若干異なります。
ターゲットがLDAPベース・ストアの場合は、次の構文を使用します(見やすくするために各引数をそれぞれ別の行に記述しています)。
reassociateSecurityStore(domain="domainName", servertype="OID", ldapurl="hostAndPort", jpsroot="cnSpecification", admin="cnSpecification", password="passWord" [,join="trueOrfalse"] [,keyFilePath="dirLoc", keyFilePassword="password"])
ターゲットがDBベース・ストアの場合は、次の構文を使用します(見やすくするために各引数をそれぞれ別の行に記述しています)。
reeassociateSecurityStore(domain="domainName", servertype="DB_ORACLE", datasourcename="datasourceName", jpsroot="jpsRoot" [,admin="adminAccnt"] [,password="passWord"] [,join="trueOrfalse"] [,jdbcurl="jdbcURL", jdbcdriver="jdbcDriverClass", dbUser="dbUserName", dbPassword="dbPassword"] [,odbcdsn="odbcDsnSting"])
引数の意味は、次のとおりです。
domain
: WebLogicでは、再関連付けが行われるドメイン名を指定し、WebSphereではWebSphereセル名を指定します。
admin
では、LDAPターゲットの場合、ターゲット・サーバーに対する管理者のユーザー名を指定します。形式はcn=usrName
です。
DBターゲットの場合は、DBに、(ユーザー/パスワードで保護される)保護データ・ソースがある場合にのみ必要です。この場合、データ・ソースが作成されたときにデータ・ソースを保護するために設定されたユーザー名を指定します。そのユーザーとパスワードは、ブートストラップ資格証明ストアに存在する必要があります。
password
では、引数admin
に関連付けられているパスワードを指定します。LDAPターゲットの場合にのみ必要です。
DBターゲットの場合は、DBに保護データ・ソースがある場合にのみ必要で、当該の場合は引数admin
で指定されたユーザーに関連付けられたパスワードを指定します。
ldapurl
では、LDAPサーバーのURIを指定します。デフォルトのポートを使用する場合の形式は、ldap//:host:port
です。匿名SSLまたは一方向SSL伝送を使用する場合の形式は、ldaps://host:port
です。目的のSSL接続モードを扱うことができるようにセキュア・ポートを構成する必要があります。また、このセキュア・ポートは、デフォルトの(セキュアではない)ポートとは別のポートとする必要があります。
servertype
では、ターゲットLDAPサーバーまたはDBサーバーの種類を指定します。有効なタイプは、OID
またはDB_ORACLE
のみです。
jpsroot
では、ターゲットLDAPリポジトリのルート・ノードを指定します。すべてのデータがその下に移行されます。形式は、cn=nodeName
です。
join
では、ドメインがOPSSセキュリティ・ストアを別のドメインと共有するかどうかを指定します。オプション。trueに設定すると既存のストアを別のドメインと共有します。falseに設定すると共有しません。指定しなかった場合は、デフォルトでfalseに設定されます。この引数を使用することにより、複数のWebLogicドメインから同一の論理OPSSセキュリティ・ストアを指定できるようになります。
重要: join=trueを指定して、OPSSセキュリティ・ストアを別のドメインに再度関連付ける場合、OPSS暗号化鍵を一方のドメインからエクスポートして、他方のドメインにインポートする必要があります。 具体的には、Domain1にセキュリティ・ストアがあり、join=trueを使用して、Domain2をDomain1のセキュリティ・ストアに再度関連付けした場合、次のように実行します。
キーをインポートまたはエクスポートするためのスクリプトの詳細は、第10.5.6項「exportEncryptionKey」および第10.5.7項「importEncryptionKey」を参照してください。 |
datasourcename
では、JDBCデータ・ソースのJNDI名が指定されます。これはデータ・ソース作成時に入力されたJNDI名データ・ソースの値と同じでなければなりません。第8.3.1.3項「データソース・インスタンスの作成」を参照してください。
keyFilePath
では、ewallet.p12
ファイルが作成されるディレクトリを指定します。このファイルの内容は暗号化され、keyFilePassword
に渡される値により保護されます。オプション。引数keyFilePassword
とともに使用する必要があります。
keyFilePassword
では、ewallet.p12
ファイルを保護するためのパスワードを指定します。オプション。引数keyFilePath
とともに使用する必要があります。
jdbcurl
では、Java SEアプリケーションでデータベースへの接続に使用するJDBC URLを指定します。Java SEアプリケーションにのみ適用されます。オプション。指定した場合、引数jdbcdriver
、dbUser
およびdbPassword
も指定する必要があります。
jdbcdriver
では、データベースへの接続に使用するJDBCドライバのクラスを指定します。オプション。指定した場合、jdbcurl
を指定する必要があります。
dbUser
では、ブートストラップ資格証明に追加する資格証明ストア内のデータベース・ユーザーを指定します。オプション。指定した場合、jdbcurl
を指定する必要があります。
dbPassword
では、dbUser
を使用して指定したユーザーのパスワードを指定します。オプション。指定した場合、jdbcurl
を指定する必要があります。
odbcdsn
では、C CSF APIで使用するODBC DSN名を指定します。Cプログラムにのみ適用されます。
使用例
reassociateSecurityStore(domain="myDomain", admin="cn=adminName", password="myPass", ldapurl="ldaps://myhost.example.com:3060", servertype="OID", jpsroot="cn=testNode")
myDomain
でポリシー・ストアを共有する場合、次のサンプルのようにこのスクリプトを呼び出します。
reassociateSecurityStore(domain="myDomain", admin="cn=adminName", password="myPass", ldapurl="ldaps://myhost.example.com:3060", servertype="OID", jpsroot="cn=testNode", join="true")
このトピックは、LDAPベースおよびDBベースのOPSSセキュリティ・ストアにのみ適用されます。ファイルベースのストアの場合、キャッシュは数秒後に更新されます(ファイルベースのストアは本番環境システムではお薦めしません)。
OPSSは、キャッシュ・セキュリティ・アーティファクトによって認可プロセスを最適化します。アプリケーション・ポリシー(またはその他のセキュリティ・アーティファクト)を変更した場合、アプリケーションおよびアーティファクトの変更に使用されたツールが実行されている場所によって変更が有効になるタイミングが異なります。
アプリケーションとツールの両方が同じホスト上および同一ドメインで実行されている場合、変更は即座に有効化されます。
同じではなく、アプリケーションとツールが別のホストまたは別のドメインで実行されている場合は、ポリシー・ストア・キャッシュのリフレッシュ後に変更が有効になります。キャッシュのリフレッシュの頻度は、プロパティoracle.security.jps.ldap.policystore.refresh.interval
の値によって決まります。デフォルト値は10分です。
ドメイン内で、OPSSスクリプトまたはFusion Middleware Controlを使用して有効になった変更はすべて、最初は管理サーバーのみで考慮されます。これらの変更は、サーバーの再起動時のみにドメイン内のすべての管理対象サーバーにプッシュされます。
次の使用例は、セキュリティ・アーティファクトの変更に(別のドメインまたはホストの)Oracle Entitlements Serverを使用し、oracle.security.jps.policystore.refresh.interval
プロパティを10分に設定した場合の4つのシナリオにおける認可の動作を示しています。
この使用例では次のように想定しています。
ユーザーはエンタープライズ・ロールのメンバー
このエンタープライズ・ロールは、アプリケーション・ロールのメンバーに含まれている
このアプリケーション・ロールにはアプリケーション機能の一部を制御するパーミッションが付与されている
前述の想定に従って、次の4つのシナリオにおける認可の結果を調べます。
シナリオA
ユーザーがアプリケーションにログインします。
ユーザーがアプリケーション・ロールによって保護された機能にアクセスします。
別のホスト(またはドメイン)から、Oracle Entitlements Serverを使用してアプリケーション・ロールからエンタープライズ・ロールを削除します。
ユーザーはアプリケーションからログアウトして、ただちにログインしなおします。
ユーザーは、この時点でもアプリケーション・ロールによって保護された機能にアクセスできます。
この結果の理由は、ポリシー・キャッシュで、まだ前述のステップ3で実施された変更を反映するリフレッシュが行われていないためです。
シナリオB
ユーザーがアプリケーションにログインします。
ユーザーがアプリケーション・ロールによって保護された機能にアクセスします。
別のホスト(またはドメイン)から、Oracle Entitlements Serverを使用してアプリケーション・ロールからエンタープライズ・ロールを削除します。
ユーザーはアプリケーションからログアウトして、10分後にログインしなおします。
ユーザーは、アプリケーション・ロールによって保護された機能にアクセスできなくなっています。
この結果の理由は、ポリシー・キャッシュで、前述のステップ3で実施された変更を反映するリフレッシュが行われているためです。
シナリオC
ユーザーがアプリケーションにログインします。
ユーザーがアプリケーション・ロールによって保護された機能にアクセスします。
別のホスト(またはドメイン)から、Oracle Entitlements Serverを使用してアプリケーション・ロールからエンタープライズ・ロールを削除します。
ユーザーがログアウトしない場合、10分以内はアプリケーション・ロールによって保護された機能へのアクセスが可能な状態に保持されます。
この結果の理由は、ポリシー・キャッシュで、まだ前述のステップ3で実施された変更を反映するリフレッシュが行われていないためです。
シナリオD
ユーザーがアプリケーションにログインします。
ユーザーがアプリケーション・ロールによって保護された機能にアクセスします。
別のホスト(またはドメイン)から、Oracle Entitlements Serverを使用してアプリケーション・ロールからエンタープライズ・ロールを削除します。
ユーザーがログアウトせずに、10分より長く待ってからアプリケーション・ロールによって保護された機能へのアクセスを試行します。アクセスは拒否されます。
この結果の理由は、ポリシー・キャッシュで、前述のステップ3で実施された変更を反映するリフレッシュが行われているためです。
OPSSスクリプトの中には、処理に関与するロールについてプリンシパル名とプリンシパル・クラスの指定を必要とするものがあります。
たとえば、次の呼出しでは、アプリケーション・ストライプがmyApp
で名前がmyAppRole
であるロールにプリンシパルが追加されます。
grantAppRole.py -appStripe myApp -appRoleName myAppRole -principalClass myPrincipalClass -principalName myPrincipal
このようなスクリプトでプリンシパルが認証ロールまたは匿名ロールを参照する場合、プリンシパル名とプリンシパル・クラスは固定されており、次のペアのいずれかである必要があります。
認証ロール
名前: authenticated-role
クラス: oracle.security.jps.internal.core.principals.JpsAuthenticatedRoleImpl
匿名ロール
名前: anonymous-role
クラス: oracle.security.jps.internal.core.principals.JpsAnonymousRoleImpl
前述のプリンシパル名とプリンシパル・クラスの指定が必要なOPSSスクリプトは次のとおりです。
grantAppRole
revokeAppRole
grantPermission
revokePermission
listPermissions
OPSSスクリプトの中には、アプリケーション・ストライプの指定を必要とするものがあります。アプリケーションがバージョン付きではない場合は、アプリケーション・ストライプがデフォルトのアプリケーション名として使用されます。アプリケーションがバージョン付きの場合は、アプリケーション名とアプリケーション・ストライプが同じではなくなります。
たとえば、myApp
というバージョン付きアプリケーションのバージョン1の名前は、「Fusion Middleware Control」ページでmyApp(v1.0)
と表示されますが、このアプリケーションのアプリケーション・ストライプはmyApp#v1.0
です。
一般に、表示名がappName(vers)
のアプリケーションでは、アプリケーション・ストライプがappName#vers
になります。次の呼出しのように、OPSSスクリプトでアプリケーション・ストライプとして渡されるのは、このうちの後者の文字列です。
>listAppRoles myApp#v1.0
ストライプを指定できるOPSSスクリプトは次のとおりです。
createAppRole
deleteAppRole
grantAppRole
revokeAppRole
listAppRoles
listAppRoleMembers
grantPermission
revokePermission
listPermissions
deleteAppPolicies
Oracle Entitlements Serverを使用すると、Oracle Internet Directory LDAPポリシー・ストアを使用するWebLogicドメインでアプリケーション・ポリシーおよびその他のセキュリティ・アーティファクトの管理および検索を実行できます。
詳細は、Oracle Fusion Middleware Oracle Entitlements Server管理者ガイドの次のトピックを参照してください。
セキュリティ・アーティファクトの問合せ
ポリシーおよびロールの管理
OPSSプロパティの調整方法の詳細は、『Oracle Fusion Middlewareパフォーマンスおよびチューニング・ガイド』のOracle Platform Security Servicesの調整に関する項を参照してください。