| Oracle® Fusion Middlewareアプリケーション・セキュリティ・ガイド 11gリリース1(11.1.1) B56235-07 |
|
 前 |
 次 |
次の各項で、Fusion Middleware Control、OPSSスクリプトまたはOracle Entitlements Serverを使用して管理者がポリシーを管理する方法について説明します。
Oracle Entitlements Serverを使用したアプリケーション・ポリシーの管理
代表的な操作は次のとおりです。
既存のアプリケーション・ロールの権限の変更
プリンシパルのパーミッションの取消し
アプリケーション・ロールの作成と削除
すべてのアプリケーション・ロール、およびアプリケーション・ロールのすべてのメンバーのリスト
この章では、次の項目についても説明します。
ポリシー・ストアのデータにアクセスできるのは、ドメイン管理者など、適切なパーミッションを持つユーザーに限られます。
次の各項で、Fusion Middleware Control、OPSSスクリプトまたはOracle Entitlements Serverを使用して管理者がポリシーを管理する方法について説明します。代表的な操作は次のとおりです。
予期しない認可の失敗を防ぎ、効果的にポリシーを管理するには、次の重要ポイントに注意してください。
|
重要ポイント1: ユーザーを削除する前に、ユーザーに付与されているすべてのパーミッション、アプリケーション・ロールおよびエンタープライズ・グループを取り消します。削除対象のユーザーを参照するセキュリティ・アーティファクトが残っていると、これらは中途半端に孤立した状態になり、同じ名前またはuidを持つ別のユーザーを後で作成したときに誤って継承される可能性があります。 ユーザー名またはuidを変更する場合にも、同様の考え方が当てはまります。古いデータを参照するすべてのポリシー(権限付与、パーミッション、グループ)を更新して、変更後のデータでも予期したとおりに機能するようにする必要があります。 第L.11項「ユーザーによる予期しないパーミッションの取得」を参照してください。 |
|
重要ポイント2: ポリシーの適用時には、名前の大文字と小文字が区別されます。ユーザー名またはグループ名の大文字と小文字の違いによる認可エラーを防ぐ最善の方法は、アイデンティティ・ストアで指定されているとおりの文字構成による名前を使用することです。 そのため、次のことをお薦めします。
第L.4項「パーミッションの付与または取消しの失敗 - 大文字と小文字の不一致」を参照してください。 |
|
重要ポイント3: リソース・タイプの名前、リソース、または権限には印刷可能文字のみを使用でき、先頭または末尾に空白を使用することはできません。 ロール名をはじめとしたポリシーにおける文字使用に関する考慮事項は、第L.17項「ポリシーに使用する文字」を参照してください。 |
Fusion Middleware Controlでは、次の項の説明のように、ドメインで使用しているポリシー・ストア・プロバイダのタイプに関係なく、WebLogicドメインでシステム・ポリシーおよびアプリケーション・ポリシーを管理できます。
その他のサービス・プロバイダを管理する手順は、第8.7項「Fusion Middleware Controlを使用したサービス・プロバイダの構成」を参照してください。
この項では、Fusion Middleware Controlを使用してアプリケーション・ポリシーを管理する方法について説明します。
Fusion Middleware Controlにログインし、「ドメイン」→「セキュリティ」→「アプリケーション・ポリシー」(アプリケーションがOracle WebLogic Serverにデプロイされている場合)、または「セル」→「セキュリティ」→「アプリケーション・ポリシー」(WebSphere Application Serverにデプロイされている場合)と移動して、「アプリケーション・ポリシー」ページを表示します(次の図にページの一部を示します)。
「ポリシー・ストア・プロバイダ」領域は読取り専用です。それを開くと、ドメインまたはセルで現在使用しているポリシー・ストア・プロバイダが表示されます。
指定したプリンシパルまたはパーミッションに一致するアプリケーションのポリシーを表示するには、「検索」領域を開き、検索対象のアプリケーション・ストライプを選択し、基準にする文字列(プリンシパル名、プリンシパル・グループまたはアプリケーション・ロール)を入力して、青いボタンをクリックします。検索の結果がページの下部の表に表示されます。
選択したアプリケーション・ストライプのアプリケーション・ポリシーを作成するには、「作成」をクリックして、「アプリケーション権限の作成」ページを表示します。ここで、作成する権限に対するプリンシパルおよびパーミッションを追加します。
パーミッションを追加するには、「権限」領域の「追加」をクリックして、「権限の追加」ダイアログ・ボックスを表示します。
そのダイアログ・ボックスの「検索」領域で、まず「権限」または「リソース・タイプ」を選択します。「権限」を選択した場合は、クラスまたはリソース名に一致するパーミッションを指定し、「権限クラス」および「リソース名」を指定します。「リソース・タイプ」を選択した場合は、タイプ名に一致するリソース・タイプを指定し、タイプを指定します。「OK」をクリックして「アプリケーション権限の作成」ページに戻ります。選択したパーミッションが、「権限」領域の表に表示されます。
プリンシパルを追加するには、「権限受領者」領域の「追加」ボタンをクリックして、「プリンシパルの追加」ダイアログ・ボックスを表示します。
そのダイアログ・ボックスの「検索」領域で、「タイプ」を選択し、プリンシパル名または表示名に一致させる文字列を入力して、青いボタンをクリックします。問合せの結果が「検索済プリンシパル」表に表示されます。その表から1つ以上の行を選択し、「OK」をクリックして「アプリケーション権限の作成」ページに戻ります。選択したプリンシパルが、「権限受領者」領域の表に表示されます。
「権限受領者」領域の表にある項目はいつでも削除できます。削除するには、項目を選択して「削除」ボタンをクリックします。同様に、この表の項目を選択して「編集」ボタンをクリックすると、その項目の内容を変更できます。
完了したら、「OK」をクリックして、「アプリケーション・ポリシー」ページに戻ります。作成したポリシーのプリンシパルとパーミッションがページの下部の表に表示されます。
既存のアプリケーション・ポリシーに基づいてアプリケーション・ポリシーを作成する手順は、次のとおりです。
表から既存のポリシーを選択します。
「類似作成」をクリックし、「アプリケーション権限の類似作成」ページを表示します。このページでは、選択したポリシーから抽出されたデータがパーミッションの表に自動的に入力されます。
前述の手順3の下位手順の説明に従い、必要に応じてこれらの値を変更し、「OK」をクリックします。
この項では、Fusion Middleware Controlを使用してアプリケーション・ロールを管理する方法について説明します。
Fusion Middleware Controlにログインし、「ドメイン」→「セキュリティ」→「アプリケーション・ロール」(アプリケーションがOracle WebLogic Serverにデプロイされている場合)、または「セル」→「セキュリティ」→「アプリケーション・ロール」(WebSphere Application Serverにデプロイされている場合)と移動して、「アプリケーション・ロール」ページを表示します(次の図にページの一部を示します)。
「ポリシー・ストア・プロバイダ」領域は読取り専用です。それを開くと、ドメインまたはセルで現在使用しているポリシー・ストア・プロバイダが表示されます。
アプリケーションのロールを表示するには、「検索」領域を開き、検索対象のアプリケーション・ストライプを選択し、ロール名に一致させるデータを入力して、青いボタンをクリックします。検索の結果がページの下部の表に表示されます。
アプリケーション・ロールを作成するには、「作成」をクリックして、「アプリケーション・ロールの作成」ページを表示します。すべての領域に一度にデータを入力する必要はないことに注意してください。たとえば、ロール名と表示名を入力してロールを作成し、データを保存しておき、そのロールに属するメンバーを後から指定できます。同様に、ロール・マッピングに対するデータを後で入力することもできます。
領域「一般」で、作成するロールの次の属性を指定します。
「ロール名」テキスト・ボックスにロールの名前を入力します。
必要に応じて、ロールに表示する名前を「表示名」テキスト・ボックスに入力します。
オプションで、「説明」テキスト・ボックスに、ロールの説明を入力します。
「メンバー」領域で、作成するロールのマップ先とするユーザーまたはグループを指定します。マップ先とする他のアプリケーション・ロールがある場合は、それを指定します。
作成するアプリケーション・ロールにアプリケーション・ロールを追加する手順は、次のとおりです。
「追加」をクリックして、「プリンシパルの追加」ダイアログを表示します。
このダイアログで、「タイプ」(アプリケーション・ロール、グループまたはユーザー)を選択し、プリンシパル名に一致させる文字列を入力して、青いボタンをクリックします。検索結果が「検索済プリンシパル」表に表示されます。その表から1つ以上のプリンシパルを選択します。
完了したら、「OK」をクリックして、「アプリケーション・ロールの作成」ページに戻ります。選択したアプリケーション・ロールが「メンバー」表に表示されます。
「メンバー」表にある項目はいつでも削除できます。削除するには、項目を選択して「削除」ボタンをクリックします。同様に、この表の項目を選択して「編集」ボタンをクリックすると、その項目の内容を変更できます。
「OK」をクリックし、ロールの作成(または更新)を完了し、「アプリケーション・ロール」ページに戻ります。作成したロールがそのページの下部の表に表示されます。
既存のアプリケーション・ロールに基づいてアプリケーション・ロールを作成する手順は、次のとおりです。
表から既存のロールを選択します。
「類似作成」をクリックし、「アプリケーション・ロールの類似作成」ページを表示します。このページでは、選択したロールから抽出されたデータが一部のデータに自動的に入力されます。
ロールおよびユーザーのリストを必要に応じて変更し、「OK」をクリックします。
ロール階層でパーミッションがどのように継承されるかを理解するには、第2.2.1項「パーミッションの継承とロールの階層」を参照してください。
この項では、Fusion Middleware Controlを使用して、Oracle WebLogic ServerドメインまたはWebSphere Application Serverセルのシステム・ポリシーを管理する方法について説明します。
次の手順では、プリンシパルのポリシーとコードベースのポリシーという2種類のシステム・ポリシーを作成できます。プリンシパルのポリシーでは、ユーザーまたはグループのリストにパーミッションを付与します。コードベースのポリシーでは、コード(通常はURLまたはJARファイル)にパーミッションを付与します。たとえば、資格証明ストア・フレームワークを使用するアプリケーションには、適切なコードベースのポリシーが必要です。コードベースURLでは、ワイルドカードやパターンはサポートされていません。
Fusion Middleware Controlにログインし、状況に応じて「ドメイン」→「セキュリティ」→「システム・ポリシー」、またはセル→「セキュリティ」→「システム・ポリシー」とナビゲートして、「システム・ポリシー」ページを表示します(次の図にページの一部を示します)。
「ポリシー・ストア・プロバイダ」領域は読取り専用です。それを開くと、ドメインまたはセルで現在使用しているポリシー・ストア・プロバイダが表示されます。
指定したタイプ、名前およびパーミッションと一致するシステム・ポリシーを表示するには、「検索」領域を開き、一致対象のデータを入力して、青いボタンをクリックします。検索の結果がページの下部の表に表示されます。
「編集」ボタンをクリックすると、選択したポリシーの特性をいつでも編集できます。リストからポリシーを削除するには、「削除」ボタンをクリックします。
システム・ポリシーを作成する手順は、次のとおりです。
「作成」をクリックして、「システム権限の作成」ページを表示します。
作成するポリシーのタイプとして、「プリンシパル」または「コードベース」を選択します。選択したタイプによってUIが多少異なります。次の手順は、「プリンシパル」を選択した場合に対するものです。
パーミッションを追加するには、「権限」領域の「追加」ボタンをクリックして、「権限の追加」ダイアログ・ボックスを表示し、作成しているポリシーに追加するパーミッションを選択します。
「検索」領域を使用して、タイプ、プリンシパル名またはパーミッション名が一致するパーミッションを問い合せます。検索結果が「検索」領域の表に表示されます。
追加するパーミッションを選択するには、表からパーミッションを選択します。パーミッションを選択すると、その詳細が読取り専用の「カスタマイズ」領域に表示されます。
「OK」をクリックして、「システム権限の作成」ページに戻ります。選択したパーミッションが、「権限」の表に追加されます。
「パーミッション」表からパーミッションを選択し、「編集」ボタンを使用すると、パーミッションの特性をいつでも変更できます。リストからパーミッションを削除するには、「削除」ボタンを使用します。
「OK」をクリックして、「システム・ポリシー」ページに戻ります。
「コードベースに関する権限」領域の表は読取り専用であり、コードベース・システム・ポリシーに関連付けられているリソース名、アクションおよびパーミッション・クラスを示します。
OPSSスクリプトは、Oracle WebLogic ServerのコンテキストではOPSSスクリプトであり、WebSphere Application ServerのコンテキストではWASAdminスクリプトです。この項に記載されたスクリプトは、WebLogic Application ServerとWebSphere Application Serverの両プラットフォームに適用されます。
オンライン・スクリプトとは、実行中のサーバーとの接続が必要なスクリプトです。特に指定がないかぎり、この項に記載されたスクリプトはオンライン・スクリプトで、ベースがファイル、LDAP、DBのいずれであるかにかかわりなくポリシー・ストアで動作します。動作にサーバーの実行を必要としないオフラインのスクリプトもいくつか存在します。
読取り専用スクリプトは、モニター、オペレータ、コンフィギュレータまたはAdminというWebLogicグループに属するユーザーのみが実行できます。読取り-書込みスクリプトは、AdminまたはコンフィギュレータのWebLogicグループに属するユーザーのみが実行できます。OPSSスクリプトはすべて、Oracle WebLogic Serverをインストールすれば、追加設定なしで使用できます。
OPSSスクリプトは、インタラクティブ・モードでもスクリプト・モードでも実行できます。インタラクティブ・モードの場合は、コマンドライン・プロンプトにスクリプトを入力します。スクリプト・モードの場合は、スクリプトをテキスト・ファイル(ファイル名拡張子は.py)に記述して、シェル・スクリプトのディレクティブのように入力なしで実行できます。
WASAdminスクリプトは、インタラクティブ・モードでのみ実行できます。
|
注意: OPSSスクリプトを呼び出す前は、次のスクリプトのいずれか(使用するプラットフォームによって決まります)を実行して、必要なJARがクラス・パスに追加されていることを確認する必要があります。 WebLogicの場合: >sh $ORACLE_HOME/common/bin/wlst.sh オンライン・スクリプトを実行するには、次のようにWebLogicサーバーに接続しておく必要があります。
>java weblogic.WLST
>connect(' |
構成ファイルおよびJVMについては、第5.6項「OPSSスクリプトを使用した一般的なセキュリティ操作」を参照してください。
WebSphereでOPSSスクリプトを実行する方法の詳細は、Oracle Fusion Middlewareサード・パーティ・アプリケーション・サーバー・ガイドを参照してください。
OPSSはサポートされているすべてのプラットフォームでアプリケーション・ポリシーの管理に使用できる次のスクリプトが用意されています(特に指定がないかぎりこのスクリプトはすべてオンラインです)。
前述のスクリプトで指定するクラス名はすべて、完全修飾パス名にする必要があります。引数appStripeは、アプリケーション・ストライプ(通常はアプリケーション名)を参照し、特定のアプリケーションに関するドメイン・ポリシーのサブセットを特定します。
認証ロール、匿名ロールおよびOPSSスクリプトに関する重要な情報は、第9.5項「OPSSスクリプトを使用した匿名ロールおよび認証ロールへのポリシーの付与」を参照してください。
バージョン付きアプリケーションにおけるアプリケーション・ストライプの正しい使用方法については、第9.6項「OPSSスクリプトのバージョン付きアプリケーションのアプリケーション・ストライプ」を参照してください。
オフライン・スクリプトlistSecurityStoreInfoは、OPSSセキュリティ・ストアのタイプ、その場所およびそれにアクセスできるユーザー(通常はセキュリティ管理者)をリストします。このスクリプトは、jps-config.xmlファイル、jps-config-jse.xmlファイルおよびブートストラップ資格証明をインスペクトし、そこから関連情報を抽出します。
スクリプト・モード構文
listSecurityStoreInfo.py -domainConfig configFilePath
インタラクティブ・モード構文
listSecurityStoreInfo(domainConfig="configFilePath")
引数の意味は、次のとおりです。
domainConfigは、OPSS構成ファイルjps-config.xmlおよびjps-config-jse.xmlが配置されているディレクトリへの絶対フルパスを指定します。
使用例
次のインタラクティブ・モードでの呼出しによって、ドメインOPSSセキュリティ・ストアに構成されているデータが返されます。
listSecurityStoreInfo(domainConfig="/home/myConfigPathDirectory/config/fmwconfig")
出力にリストされるタイプは、File、OID、DBのいずれかです。
スクリプトlistAppStripesは、アプリケーション・ストライプをリストします。このスクリプトは、オフライン・モードでもオンライン・モードでも実行できます。オフライン・モードで実行する場合は構成ファイルが渡される必要があり、渡された構成ファイルのデフォルト・コンテキストの構成で参照されるポリシー・ストア内のアプリケーション・ストライプをリストします。オンライン・モードで実行する場合は、構成ファイルを渡すことはできず、接続先のドメインのポリシー・ストアのストライプをリストします。いずれのモードでも、正規表現が渡された場合はその正規表現と一致する名前のアプリケーション・ストライプがリストされ、これ以外の場合はすべてのアプリケーション・ストライプがリストされます。
スクリプト・モード構文
listAppStripes.py [-configFile configFileName] [-regularExpression aRegExp]
インタラクティブ・モード構文
listAppStripes([configFile="configFileName"] [, regularExpression="aRegExp"])
引数の意味は、次のとおりです。
configFileは、OPSS構成ファイルへのパスを指定します。オプション。指定した場合はスクリプトがオフラインで実行されます。指定された構成ファイルのデフォルト・コンテキストにアイデンティティ・ストアに対するサービス・インスタンスの参照を含めることはできません。指定しない場合はスクリプトがオンラインで実行され、ポリシー・ストア内のアプリケーション・ストライプがリストされます。
regularExpressionは、正規表現を指定しこれに一致するストライプ名が返されます。オプション。指定しない場合はすべての名前が一致することになります。サブストリングの一致を返す場合は文字*(アスタリスク)を使用します。
使用例
次の(オンラインの)呼出しでは、ポリシー・ストア内のアプリケーション・ストライプのリストが返されます。
listAppStripes.py
次の(オフラインの)呼出しでは、指定された構成ファイルのデフォルト・コンテキストで参照されるポリシー・ストア内のアプリケーション・ストライプのリストが返されます。
listAppStripes.py -configFile /home/myFiles/jps-config.xml
次の(オンラインの)呼出しでは、接頭辞Appが含まれるアプリケーション・ストライプのリストが返されます。
listAppStripes.py -regularExpression App*
オンライン・スクリプトlistCodeSourcePermissionsは、グローバル・ポリシーでソース・コードに割り当てられているパーミッションをリストします。
スクリプト・モード構文
listCodeSourcePermissions.py -codeBaseURL codeUrl
インタラクティブ・モード構文
listCodeSourcePermissions(codeBaseURL="codeUrl")
引数の意味は、次のとおりです。
codeBaseURLは、権限受領者のコードベースURLの名前を指定します。
使用例
次の呼出しでは、グローバル・ポリシーでコード・ソースに割り当てられているパーミッションのリストが返されます。
listCodeSourcePermissions(codeBaseURL="file:/tmp/bea/user_projects/domains/jpsdomain/lib/jps-internal.jar")
スクリプトcreateAppRoleでは、指定したアプリケーション・ストライプおよびロール名を持つアプリケーション・ロールがポリシー・ストア内に作成されます。
スクリプト・モード構文
createAppRole.py -appStripe appName -appRoleName roleName
インタラクティブ・モード構文
createAppRole(appStripe="appName", appRoleName="roleName")
引数(すべて必須)の意味は、次のとおりです。
appStripeは、アプリケーション・ストライプを指定します。
appRoleNameでは、ロール名を指定します。
使用例
次の呼出しでは、アプリケーション・ストライプmyAppおよびロール名myRoleを持つアプリケーション・ロールが作成されます。
createAppRole.py -appStripe myApp -appRoleName myRole
スクリプトdeleteAppRoleでは、渡されたストライプからアプリケーション・ロールが削除されます。具体的に言うと、このスクリプトでは次のものを削除することによってカスケード削除を実施します。
ロールが存在するすべての権限
他のロールに属しているロール
特定のロールに属しているすべてのロール
スクリプト・モード構文
deleteAppRole.py -appStripe appName -appRoleName roleName
インタラクティブ・モード構文
deleteAppRole(appStripe="appName", appRoleName="roleName")
引数(すべて必須)の意味は、次のとおりです。
appStripeは、アプリケーション・ストライプを指定します。
appRoleNameでは、ロール名を指定します。
使用例
次の呼出しでは、アプリケーション・ストライプmyAppおよび名前myRoleを持つロールが削除されます。
deleteAppRole.py -appStripe myApp -appRoleName myRole
スクリプトgrantAppRoleでは、指定したアプリケーション・ストライプおよび名前を持つロールにプリンシパル(クラスと名前)が追加されます。このスクリプトは、アプリケーション・ロール階層の構築や変更に使用できます。
grantAppRole.py -appStripe appName -appRoleName roleName -principalClass className -principalName prName
インタラクティブ・モード構文
grantAppRole(appStripe="appName", appRoleName="roleName", principalClass="className", principalName="prName")
引数(すべて必須)の意味は、次のとおりです。
appStripeは、アプリケーション・ストライプを指定します。
appRoleNameでは、ロール名を指定します。
principalClassでは、クラスの完全修飾名を指定します。このクラスは、実行時に使用できるようにクラスパスで指定しておく必要があります。通常、プリンシパルがユーザーの場合、このクラスはweblogic.security.principal.WLSUserImplであり、プリンシパルがグループの場合、このクラスはweblogic.security.principal.WLSGroupImplです。
principalNameでは、プリンシパル名を指定します。
使用例
次の呼出しでは、デフォルトのプリンシパル実装クラスWLSGroupImplで定義したプリンシパルmyPrincipalが、アプリケーション・ストライプmyAppのロールmyRoleに追加されます。
grantAppRole.py -appStripe myApp
-appRoleName myRole
-principalClass weblogic.security.principal.WLSGroupImpl
-principalName myPrincipal
スクリプトrevokeAppRoleでは、指定したアプリケーション・ストライプおよび名前を持つロールからプリンシパル(クラスと名前)が削除されます。このスクリプトは、アプリケーション・ロール階層の構築や変更に使用できます。
スクリプト・モード構文
revokeAppRole.py -appStripe appName -appRoleName roleName -principalClass className -principalName prName
インタラクティブ・モード構文
revokeAppRole(appStripe="appName", appRoleName="roleName", principalClass="className", principalName="prName")
引数(すべて必須)の意味は、次のとおりです。
appStripeは、アプリケーション・ストライプを指定します。
appRoleNameでは、ロール名を指定します。
principalClassでは、完全修飾プリンシパル・クラス名を指定します。
principalNameでは、プリンシパル名を指定します。
使用例
次の呼出しでは、デフォルトのプリンシパル実装クラスWLSGroupImplで定義したプリンシパルmyPrincipalが、アプリケーション・ストライプmyAppのロールmyRoleから削除されます。
revokeAppRole.py -appStripe myApp
-appRoleName myRole
-principalClass weblogic.security.principal.WLSGroupImpl
-principalName myPrincipal
スクリプトlistAppRolesでは、指定したアプリケーション・ストライプを持つすべてのロールがリストされます。
スクリプト・モード構文
listAppRoles.py -appStripe appName
インタラクティブ・モード構文
listAppRoles(appStripe="appName")
引数(必須)の意味は、次のとおりです。
appStripeは、アプリケーション・ストライプを指定します。
使用例
次の呼出しでは、アプリケーション・ストライプmyAppを持つすべてのロールが返されます。
listAppRoles.py -appStripe myApp
スクリプトlistAppRoleMembersでは、指定したアプリケーション・ストライプおよびロール名を持つロール内のすべてのメンバーがリストされます。
スクリプト・モード構文
listAppRoleMembers.py -appStripe appName -appRoleName roleName
インタラクティブ・モード構文
listAppRoleMembers(appStripe="appName", appRoleName="roleName")
引数(すべて必須)の意味は、次のとおりです。
appStripeは、アプリケーション・ストライプを指定します。
appRoleNameでは、ロール名を指定します。
使用例
次の呼出しでは、アプリケーション・ストライプmyAppおよび名前myRoleを持つロール内のすべてのメンバーが返されます。
listAppRoleMembers.py -appStripe myApp
-appRoleName myRole
スクリプトgrantPermissionは、アプリケーション・ポリシーまたはグローバル(システム)ポリシーでプリンシパル、URLまたはコード・ソースに、指定されたパーミッションを付与する新規権限を作成します。
スクリプト・モード構文
grantPermission [-appStripe appName] [-codeBaseURL url] [-principalClass prClassName] [-principalName prName] -permClass permissionClassName [-permTarget permName] [-permActions comma_separated_list_of_actions]
インタラクティブ・モード構文
grantPermission([appStripe="appName",] [codeBaseURL="url",] [principalClass="prClassName",] [principalName="prName",] permClass="permissionClassName", [permTarget="permName",] [permActions="comma_separated_list_of_actions"])
引数(オプションの引数は、大カッコで囲んであります)の意味は、次のとおりです。
appStripeは、アプリケーション・ストライプを指定します。この指定がない場合はスクリプトがシステム・ポリシーに対して機能します。プリンシパルに権限を指定する場合にのみ使用します。
codeBaseURLでは、パーミッションが付与されたコードのURLを指定します。ソース・コードに権限を指定する場合にのみ使用します。
principalClassでは、完全修飾クラス名を指定します(権限受領者)。
principalNameでは、権限受領者プリンシパルの名前を指定します。プリンシパルに権限を指定する場合にのみ使用します。
permClassでは、パーミッション・クラスの完全修飾名を指定します
permTargetは、パーミッションの名前を指定します(使用可能な場合)。パーミッションによってはこの属性は含まれないものがあります。
permActionsは、パーミッションが付与されるアクションのリストを指定します。パーミッションによってはこの属性が含まれないものがあり、使用できるアクションはパーミッション・クラスによって異なります。
使用例
次の呼出しでは、指定したデータを持つアプリケーション権限が(アプリケーション・ストライプmyAppを持つアプリケーションに対して)作成されます。
grantPermission.py -appStripe myApp
-principalClass my.custom.Principal
-principalName manager
-permClass java.security.AllPermission
次の呼出しによって、システム権限が作成されます。
grantPermission( codeBaseURL="file:my.domain/servers/myServer/-",
permClass="
oracle.security.jps.service.policystore.PolicyStoreAccessPermission",
permTarget="myAppName",
permActions="*")
次の構成のサンプル(jazn-data.xmlファイル内)は、前述のgrantPermissionの実行で作成されたシステム権限を示しています。コード・ソースの指定が、アプリケーションの有効範囲外になっていることに注意してください。
<jazn-policy>
<grant>
<grantee>
<codesource>
<url>file:my.domain/servers/myServer/-</url>
</codesource>
</grantee>
<permissions>
<permission>
<class>oracle.security.jps.service.policystore.PolicyStoreAccessPermission</class>
<name>myAppName</name>
<actions>*</actions>
</permission>
</permissions>
</grant>
...
</jazn-policy>
パーミッション・クラスのリストは、第21.5.6項「サポートされているパーミッション・クラス」を参照してください。
スクリプトrevokePermissionは、プリンシパルまたはコード・ベースに付与されている権限を削除します。
スクリプト・モード構文
revokePermission [-appStripe appName] [-codeBaseURL url] [-principalClass prClassName] [-principalName prName] -permClass permissionClassName [-permTarget permName] [-permActions comma_separated_list_of_actions]
インタラクティブ・モード構文
revokePermission([appStripe="appName",][codeBaseURL="url",] [principalClass="prClassName",] [principalName="prName",] permClass="permissionClassName", [permTarget="permName",] [permActions="comma_separated_list_of_actions"])
引数(オプションの引数は、大カッコで囲んであります)の意味は、スクリプトgrantPermissionの場合と同じで、次のとおりです。
appStripeは、アプリケーション・ストライプを指定します。この指定がない場合はスクリプトがシステム・ポリシーに対して機能します。プリンシパルに付与されている権限を削除する場合にのみ使用します。
codeBaseURLでは、パーミッションが付与されたコードのURLを指定します。ソース・コードに付与されている権限を削除する場合にのみ使用します。
principalClassでは、完全修飾クラス名を指定します(権限受領者)。
principalNameでは、権限受領者プリンシパルの名前を指定します。プリンシパルに付与されている権限を削除する場合にのみ使用します。
permClassでは、パーミッション・クラスの完全修飾名を指定します
permTargetは、パーミッションの名前を指定します(使用可能な場合)。パーミッションによってはこの属性は含まれないものがあります。
permActionsは、パーミッションが付与されるアクションのリストを指定します。パーミッションによってはこの属性が含まれないものがあり、使用できるアクションはパーミッション・クラスによって異なります。
使用例
次の呼出しでは、指定したデータを持つアプリケーション・パーミッションが(アプリケーション・ストライプmyAppを持つアプリケーションに対して)削除されます。
revokePermission.py -appStripe myApp
-principalClass my.custom.Principal
-principalName manager
-permClass java.security.AllPermission
次の呼出しによって、システム権限が削除されます。
revokePermission( codeBaseURL="file:my.domain/servers/myServer/-",
permClass="
oracle.security.jps.service.policystore.PolicyStoreAccessPermission",
permTarget="myAppName",
permActions="*")
スクリプトlistPermissionsでは、指定したプリンシパルに付与されたすべてのパーミッションがリストされます。
スクリプト・モード構文
listPermissions [-appStripe appName] -principalClass className -principalName prName
インタラクティブ・モード構文
listPermissions([appStripe="appName",] principalClass="className", principalName="prName")
引数(オプションの引数は、大カッコで囲んであります)の意味は、次のとおりです。
appStripeは、アプリケーション・ストライプを指定します。この指定がない場合はスクリプトがシステム・ポリシーに対して機能します。
principalClassでは、完全修飾クラス名を指定します(権限受領者)。
principalNameでは、権限受領者プリンシパルの名前を指定します。
使用例
次の呼出しでは、アプリケーションmyAppのポリシーによってプリンシパルに付与されたすべてのパーミッションがリストされます。
listPermissions.py -appStripe myApp
-principalClass my.custom.Principal
-principalName manager
次の呼出しでは、システム・ポリシーによってプリンシパルに付与されたすべてのパーミッションがリストされます。
listPermissions.py -principalClass my.custom.Principal
-principalName manager
スクリプトdeleteAppPoliciesでは、指定したアプリケーション・ストライプを持つすべてのポリシーが削除されます。
スクリプト・モード構文
deleteAppPolicies -appStripe appName
インタラクティブ・モード構文
deleteAppPolicies(appStripe="appName")
引数(必須)の意味は、次のとおりです。
appStripeは、アプリケーション・ストライプを指定します。この指定がない場合はスクリプトがシステム・ポリシーのみに対して機能します。
使用例
deleteAppPolicies -appStripe myApp
スクリプトcreateResourceTypeでは、特定のアプリケーション・ストライプにあるポリシー・ストアに、指定した名前、表示名、説明およびアクションが設定された新規<resource-type>エントリが挿入されます。オプションの引数は角カッコで囲まれています。それ以外のすべての引数は必須です。
スクリプト・モード構文
createResourceType -appStripe appStripeName -resourceTypeName resTypeName -displayName displName -description descripString [-provider resTypeProvider] [-matcher resTypeClass] -actions resTypeActions [-delimiter delimChar]
インタラクティブ・モード構文
createResourceType(appStripe="appStripeName", resourceTypeName="resTypeName", displayName="displName", description="descripString" [, provider="resTypeProvider", matcher="resTypeClass"], actions="resTypeActions"[, delimiter="delimChar"])
引数の意味は、次のとおりです。
appStripeでは、リソース・タイプの挿入先のアプリケーション・ストライプを指定します。
resourceTypeNameでは、挿入するリソース・タイプの名前を指定します。
displayNameでは、UIガジェットで使用するリソース・タイプの名前を指定します。
descriptionでは、リソース・タイプの簡単な説明を指定します。
providerでは、リソース・タイプのプロバイダを指定します。
matcherでは、リソース・タイプのクラスを指定します。指定しなかった場合は、デフォルトのoracle.security.jps.ResourcePermissionが使用されます。
actionsでは、リソース・タイプのインスタンスに許可されたアクションを指定します。
delimiterでは、アクションのリストを区切る際に使用する文字を指定します。指定しなかった場合は、デフォルトのカンマ','に設定されます。
使用例
次の呼出しでは、セミコロンで区切って指定したアクションBWPrintおよびアクションColorPrintを設定したリソース・タイプがストライプmyApplicationに作成されます。
createResourceType -appStripe myApplication
-resourceTypeName Printer
-displayName PRINTER
-description A resource type representing a Printer
-provider Printer
-matcher com.printer.Printer
-allowedActions BWPrint;ColorPrint
-delimiter ;
スクリプトgetResourceTypeでは、特定のアプリケーション・ストライプにあるポリシー・ストアから、指定した名前の<resource-type>エントリの関連パラメータが返されます。
スクリプト・モード構文
getResourceType -appStripe appStripeName -resourceTypeName resTypeName
インタラクティブ・モード構文
getResourceType(appStripe="stripeName", resourceTypeName="resTypeName")
引数の意味は、次のとおりです。
appStripeでは、リソース・タイプのフェッチ元のアプリケーション・ストライプを指定します。
resourceTypeNameでは、フェッチするリソース・タイプの名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationからリソース・タイプmyResTypeがフェッチされます。
getResourceType -appStripe myApplication
-resourceTypeName myResType
スクリプトdeleteResourceTypeでは、渡されたアプリケーション・ストライプから、指定した名前のリソース・タイプが削除されます。このスクリプトは、指定のリソース・タイプのリソース・インスタンスを使用するすべての権限および付与権限から、そのリソース・タイプのすべてのリソース・インスタンスを削除することによってカスケード削除を実施します。
スクリプト・モード構文
deleteResourceType -appStripe appStripeName -resourceTypeName resTypeName
インタラクティブ・モード構文
deleteResourceType(appStripe="stripeName", resourceTypeName="resTypeName")
引数の意味は、次のとおりです。
appStripeでは、リソース・タイプの削除元のアプリケーション・ストライプを指定します。
resourceTypeNameでは、削除するリソース・タイプの名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationからリソース・タイプmyResTypeが削除されます。
deleteResourceType -appStripe myApplication
-resourceTypeName myResType
スクリプトcreateResourceでは、指定したアプリケーション・ストライプに指定したタイプの新しいリソースが作成されます。渡されるリソース・タイプは、渡されたアプリケーション・ストライプに存在している必要があります。
スクリプト・モード構文
createResource -appStripe appStripeName -name resName -type resTypeName [-displayName dispName] [-description descript]
インタラクティブ・モード構文
createResource(appStripe="appStripeName", name="resName", type="resTypeName" [,-displayName="dispName"] [,-description="descript"])
引数の意味は、次のとおりです。
appStripeは、リソースを作成するアプリケーション・ストライプを指定します。
nameは、作成するリソースの名前を指定します。
typeは、作成するリソースのタイプを指定します。スクリプトの呼出し時に渡されるリソース・タイプがアプリケーション・ストライプ内に存在している必要があります。
diplayNameは、作成するリソースの表示名を指定します。オプション。
descriptionは、作成するリソースの説明を指定します。オプション。
使用例
次の呼出しでは、ストライプmyApplicationにリソースmyResourceが作成されます。
createResource -appStripe myApplication -name myResource -type myResType -displayName myNewResource
スクリプトdeleteResourceでは、特定のアプリケーション・ストライプの権限から特定のリソースとそのすべての参照が削除されます。このスクリプトはカスケード削除を実行します。権限が参照するリソースが1つのみの場合はその権限が削除され、それ以外の場合は、権限から渡されたタイプのリソース・アクションが削除されます。
スクリプト・モード構文
deleteResource -appStripe appStripeName -name resName -type resTypeName
インタラクティブ・モード構文
deleteResource(appStripe="appStripeName", name="resName", type="resTypeName")
引数の意味は、次のとおりです。
appStripeは、リソースの削除が実行されるアプリケーション・ストライプを指定します。
nameは、削除対象のリソース名を指定します。
typeは、削除されるリソースのタイプを指定します。スクリプトの呼出し時に渡されるリソース・タイプがアプリケーション・ストライプ内に存在している必要があります。
使用例
次の呼出しでは、ストライプmyApplicationのリソースmyResourceが削除されます。
deleteResource -appStripe myApplication -name myResource -type myResType
スクリプトlistResourcesは、指定したアプリケーション・ストライプ内のリソースをリストします。リソース・タイプを指定した場合は、指定したリソース・タイプのすべてのリソースがリストされ、この指定がない場合はすべてのタイプのすべてのリソースがリストされます。
スクリプト・モード構文
listResources -appStripe appStripeName [-type resTypeName]
インタラクティブ・モード構文
listResources(appStripe="appStripeName" [,type="resTypeName"])
引数の意味は、次のとおりです。
appStripeは、リソースがリストされるアプリケーション・ストライプを指定します。
typeは、リストされるリソースのタイプを指定します。スクリプトの呼出し時に渡されるリソース・タイプがアプリケーション・ストライプ内に存在している必要があります。
使用例
次の呼出しでは、ストライプmyApplicationのタイプmyResTypeのすべてのリソースがリストされます。
listResources -appStripe myApplication -type myResType
次の呼出しでは、ストライプmyApplicationのすべてのリソースがリストされます。
listResources -appStripe myApplication
スクリプトlistResourceActionsは、特定のアプリケーション・ストライプ内の権限のリソースおよびアクションをリストします。
スクリプト・モード構文
listResourceActions -appStripe appStripeName -permSetName entitlementName
インタラクティブ・モード構文
listResourceActions(appStripe="appStripeName", permSetName="entitlementName")
引数の意味は、次のとおりです。
appStripeは、権限の場所であるアプリケーション・ストライプを指定します。
permSetNameは、リソースとアクションがリストされる権限の名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationの権限myEntitlementのリソースとアクションがリストされます。
listResourceActions -appStripe myApplication -permSetName myEntitlement
スクリプトcreateEntitlementでは、リソース1つのみの新しい権限と指定したアプリケーション・ストライプのアクションのリストが作成されます。addResourceToEntitlementは、既存の権限へのリソースの追加に使用されます。既存の権限からリソースを削除するには、revokeResourceFromEntitlementを使用します。
スクリプト・モード構文
createEntitlement -appStripe appStripeName -name entitlementName -resourceName resName -actions actionList [-displayName dispName] [-description descript]
インタラクティブ・モード構文
createEntitlement(appStripe="appStripeName", name="entitlementName", resourceName="resName", actions="actionList" [,-displayName="dispName"] [,-description="descript"])
引数の意味は、次のとおりです。
appStripeは、権限を作成するアプリケーション・ストライプを指定します。
nameは、作成する権限の名前を指定します。
resourceNameは、作成される権限の特定のリソース・メンバーの名前を指定します。
actionsは、リソースresourceNameのアクションのカンマ区切りリストを指定します。
diplayNameは、作成するリソースの表示名を指定します。オプション。
descriptionは、作成する権限の説明を指定します。オプション。
使用例
次の呼出しでは、ストライプmyApplicationにリソースmyResourceのみの権限myEntitlementが作成されます。
createEntitlement -appStripe myApplication -name myEntitlement -resourceName myResource -actions read,write
スクリプトgetEntitlementでは、特定のアプリケーション・ストライプの権限の名前、表示名、すべてのリソース(およびそのアクション)が返されます。
スクリプト・モード構文
getEntitlement -appStripe appStripeName -name entName
インタラクティブ・モード構文
getEntitlement(appStripe="appStripeName", name="entName")
引数の意味は、次のとおりです。
appStripeは、権限が配置されるアプリケーション・ストライプを指定します。
nameは、アクセスする権限の名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationの権限myEntitlementの情報が返されます。
getEntitlement -appStripe myApplication -name myEntitlement
スクリプトdeleteEntitlementでは、指定したアプリケーション・ストライプの権限が1つ削除されます。このスクリプトは、アプリケーション・ストライプ内で指定した権限のすべての参照を削除することによってカスケード削除を実行します。
スクリプト・モード構文
deleteEntitlement -appStripe appStripeName -name entName
インタラクティブ・モード構文
deleteEntitlement(appStripe="appStripeName", name="entName")
引数の意味は、次のとおりです。
appStripeは、権限が削除されるアプリケーション・ストライプを指定します。
nameは、削除対象の権限の名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationの権限myEntitlementが削除されます。
deleteEntitlement -appStripe myApplication -name myEntitlement
スクリプトaddResourceToEntitlementでは、指定したアクションのリソースが指定したアプリケーション・ストライプの特定の権限に追加されます。渡されるリソース・タイプは、渡されたアプリケーション・ストライプに存在している必要があります。
スクリプト・モード構文
addResourceToEntitlement -appStripe appStripeName -name entName -resourceName resName -resourceType resType -actions actionList
インタラクティブ・モード構文
addResourceToEntitlement(appStripe="appStripeName", name="entName", resourceName="resName",actions="actionList")
引数の意味は、次のとおりです。
appStripeは、権限が配置されるアプリケーション・ストライプを指定します。
nameは、変更対象の権限の名前を指定します。
resourceNameは、追加するリソースを指定します。
resourceTypeは、追加するリソースのタイプを指定します。スクリプトの呼出し時に渡されるリソース・タイプがアプリケーション・ストライプ内に存在している必要があります。
actionsは、追加されるリソースのアクションのカンマ区切りリストを指定します。
使用例
次の呼出しでは、ストライプmyApplicationの権限myEntitlementにリソースmyResourceが追加されます。
addResourceToEntitlement -appStripe myApplication -name myEntitlement -resourceName myResource -resourceType myResType -actions view,edit
スクリプトrevokeResourceFromEntitlementでは、指定したアプリケーション・ストライプの権限から特定のリソースが削除されます。
スクリプト・モード構文
revokeResourceFromEntitlement -appStripe appStripeName -name entName -resourceName resName -resourceType resTypeName -actions actionList
インタラクティブ・モード構文
revokeResourceFromEntitlement(appStripe="appStripeName", name="entName", resourceName="resName" ,-resourceType="resTypeName", actions="actionList")
引数の意味は、次のとおりです。
appStripeは、権限が配置されるアプリケーション・ストライプを指定します。
nameは、変更対象の権限の名前を指定します。
resourceNameは、削除対象のリソースのタイプを指定します。
resourceTypeは、削除対象のリソースのタイプを指定します。
actionsは、削除対象のアクションのカンマ区切りリストを指定します。
使用例
次の呼出しでは、ストライプmyApplicationの権限myEntitlementからリソースmyResourceが削除されます。
revokeResourceFromEntitlement -appStripe myApplication -name myEntitlement -resourceName myResource -resourceType myResType -actions view,edit
スクリプトlistEntitlementsでは、特定のアプリケーション・ストライプ内のすべての権限がリストされます。リソース名とリソース・タイプが指定されている場合は、指定したタイプで指定したリソース名と一致するリソースを持つ権限がリストされます。このような指定がない場合はアプリケーション・ストライプ内のすべての権限がリストされます。
スクリプト・モード構文
listEntitlements -appStripe appStripeName [-resourceTypeName resTypeName] [-resourceName resName]
インタラクティブ・モード構文
listEntitlements(appStripe="appStripeName" [,resourceTypeName="resTypeName", resourceName="resName"])
引数の意味は、次のとおりです。
appStripeでは、リストされる権限が含まれるアプリケーション・ストライプを指定します。
resourceTypeNameは、リスト対象のリソースのタイプ名を指定します。オプション。
resourceNameは、一致が求められるリソースの名前を指定します。オプション。
使用例
次の呼出しでは、ストライプmyApplicationのすべての権限がリストされます。
listEntitlements -appStripe myApplication
次の呼び出しでは、ストライプmyApplicationから、リソース・タイプがmyResTypeでリソース名がmyResNameと一致するすべての権限がリストされます。
listEntitlements -appStripe myApplication -resourceTypeName myResType -resourceName myResName
スクリプトgrantEntitlementでは、指定したアプリケーション・ストライプに指定したプリンシパルの権限が作成されます。
スクリプト・モード構文
grantEntitlement -appStripe appStripeName -principalClass principalClass -principalName principalName -permSetName entName
インタラクティブ・モード構文
grantEntitlement(appStripe="appStripeName", principalClass="principalClass", principalName="principalName" ,-permSetName="entName")
引数の意味は、次のとおりです。
appStripeは、権限を作成するアプリケーション・ストライプを指定します。
principalClassでは、プリンシパルに関連付けられるクラスを指定します。
nameは、権限が付与されるプリンシパルの名前を指定します。
permSetNameは、作成する権限の名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationで権限myEntitlementが作成されます。
grantEntitlement -appStripe myApplication -principalClass oracle.security.jps.service.policystore.ApplicationRole -principalName myPrincipalName -permSetName myEntitlement
スクリプトrevokeEntitlementでは、指定したアプリケーション・ストライプで権限が削除され、プリンシパルの権限が取り消されます。
スクリプト・モード構文
revokeEntitlement -appStripe appStripeName -principalClass principalClass -principalName principalName -permSetName entName
インタラクティブ・モード構文
revokeEntitlement(appStripe="appStripeName", principalClass="principalClass", principalName="principalName" ,-permSetName="entName")
引数の意味は、次のとおりです。
appStripeは、権限が削除されるアプリケーション・ストライプを指定します。
principalClassでは、プリンシパルに関連付けられるクラスを指定します。
principalNameは、権限が取り消されるプリンシパルの名前を指定します。
permSetNameは、削除される権限の名前を指定します。
使用例
次の呼出しでは、ストライプmyApplicationの権限myEntitlementが削除されます。
revokeEntitlement -appStripe myApplication -principalClass oracle.security.jps.service.policystore.ApplicationRole -principalName myPrincipalName -permSetName myEntitlement
スクリプトlistResourceTypesでは、指定したアプリケーション・ストライプのすべてのリソース・タイプがリストされます。
スクリプト・モード構文
listResourceTypes -appStripe appStripeName
インタラクティブ・モード構文
listResourceTypes(appStripe="appStripeName")
引数の意味は、次のとおりです。
appStripeは、リソース・タイプが配置されているアプリケーション・ストライプを指定します。
使用例
次の呼出しでは、ストライプmyApplicationのすべてのリソース・タイプがリストされます。
listResourceTypes -appStripe myApplication
スクリプトreassociateSecurityStoreでは、OPSSセキュリティ・ストアがソースからターゲットのLDAPベース・ストアまたはDBベース・ストアに移行され、jps-config.xmlファイルおよびjps-config-jse.xmlファイル内のサービスがターゲット・リポジトリにリセットされます。また、OPSSセキュリティ・ストアを別のドメインのものと共有する指定もできます(後述のオプション引数joinを参照)。OPSSバイナリとターゲットのポリシー・ストアには、互換性のあるバージョンを使用する必要があります。詳細は、第L.22項「バイナリとポリシー・ストアのバージョンの非互換性」を参照してください。
ソースは、ファイルベース、LDAPベース、またはDBベースのストアのいずれでもかまいません。サポート対象のLDAPターゲットのタイプは、Oracle Internet Directoryのみ、DBターゲットの場合はDB_ORACLEのみです。このスクリプトは、インタラクティブ・モードでのみサポートされます。
このスクリプトにより、該当するパラメータ(次の引数adminおよびpasswordを参照)が渡されて、ブートストラップ資格証明がリセットされます。ブートストラップ資格証明は、ターゲット・ストアへのアクセスに使用される資格証明です。ブートストラップ資格証明をリセットする別の方法については、第10.5.4項「modifyBootStrapCredential」および第10.5.5項「addBootStrapCredential」の各スクリプトを参照してください。
再関連付けに関連する推奨事項は、「重要ポイント」を参照してください。
インタラクティブ・モード構文
スクリプト構文は、ターゲット・ストアのタイプに応じて若干異なります。
ターゲットがLDAPベース・ストアの場合は、次の構文を使用します(見やすくするために各引数をそれぞれ別の行に記述しています)。
reassociateSecurityStore(domain="domainName",
servertype="OID",
ldapurl="hostAndPort",
jpsroot="cnSpecification",
admin="cnSpecification",
password="passWord"
[,join="trueOrfalse"]
[,keyFilePath="dirLoc", keyFilePassword="password"])
ターゲットがDBベース・ストアの場合は、次の構文を使用します(見やすくするために各引数をそれぞれ別の行に記述しています)。
reeassociateSecurityStore(domain="domainName",
servertype="DB_ORACLE",
datasourcename="datasourceName",
jpsroot="jpsRoot"
[,admin="adminAccnt"]
[,password="passWord"]
[,join="trueOrfalse"]
[,jdbcurl="jdbcURL", jdbcdriver="jdbcDriverClass", dbUser="dbUserName", dbPassword="dbPassword"] [,odbcdsn="odbcDsnSting"])
引数の意味は、次のとおりです。
domain: WebLogicでは、再関連付けが行われるドメイン名を指定し、WebSphereではWebSphereセル名を指定します。
adminでは、LDAPターゲットの場合、ターゲット・サーバーに対する管理者のユーザー名を指定します。形式はcn=usrNameです。
DBターゲットの場合は、DBに、(ユーザー/パスワードで保護される)保護データ・ソースがある場合にのみ必要です。この場合、データ・ソースが作成されたときにデータ・ソースを保護するために設定されたユーザー名を指定します。そのユーザーとパスワードは、ブートストラップ資格証明ストアに存在する必要があります。
passwordでは、引数adminに関連付けられているパスワードを指定します。LDAPターゲットの場合にのみ必要です。
DBターゲットの場合は、DBに保護データ・ソースがある場合にのみ必要で、当該の場合は引数adminで指定されたユーザーに関連付けられたパスワードを指定します。
ldapurlでは、LDAPサーバーのURIを指定します。デフォルトのポートを使用する場合の形式は、ldap//:host:portです。匿名SSLまたは一方向SSL伝送を使用する場合の形式は、ldaps://host:portです。目的のSSL接続モードを扱うことができるようにセキュア・ポートを構成する必要があります。また、このセキュア・ポートは、デフォルトの(セキュアではない)ポートとは別のポートとする必要があります。
servertypeでは、ターゲットLDAPサーバーまたはDBサーバーの種類を指定します。有効なタイプは、OIDまたはDB_ORACLEのみです。
jpsrootでは、ターゲットLDAPリポジトリのルート・ノードを指定します。すべてのデータがその下に移行されます。形式は、cn=nodeNameです。
joinでは、ドメインがOPSSセキュリティ・ストアを別のドメインと共有するかどうかを指定します。オプション。trueに設定すると既存のストアを別のドメインと共有します。falseに設定すると共有しません。指定しなかった場合は、デフォルトでfalseに設定されます。この引数を使用することにより、複数のWebLogicドメインから同一の論理OPSSセキュリティ・ストアを指定できるようになります。
|
重要: join=trueを指定して、OPSSセキュリティ・ストアを別のドメインに再度関連付ける場合、OPSS暗号化鍵を一方のドメインからエクスポートして、他方のドメインにインポートする必要があります。 具体的には、Domain1にセキュリティ・ストアがあり、join=trueを使用して、Domain2をDomain1のセキュリティ・ストアに再度関連付けした場合、次のように実行します。
キーをインポートまたはエクスポートするためのスクリプトの詳細は、第10.5.6項「exportEncryptionKey」および第10.5.7項「importEncryptionKey」を参照してください。 |
datasourcenameでは、JDBCデータ・ソースのJNDI名が指定されます。これはデータ・ソース作成時に入力されたJNDI名データ・ソースの値と同じでなければなりません。第8.3.1.3項「データソース・インスタンスの作成」を参照してください。
keyFilePathでは、ewallet.p12ファイルが作成されるディレクトリを指定します。このファイルの内容は暗号化され、keyFilePasswordに渡される値により保護されます。オプション。引数keyFilePasswordとともに使用する必要があります。
keyFilePasswordでは、ewallet.p12ファイルを保護するためのパスワードを指定します。オプション。引数keyFilePathとともに使用する必要があります。
jdbcurlでは、Java SEアプリケーションでデータベースへの接続に使用するJDBC URLを指定します。Java SEアプリケーションにのみ適用されます。オプション。指定した場合、引数jdbcdriver、dbUserおよびdbPasswordも指定する必要があります。
jdbcdriverでは、データベースへの接続に使用するJDBCドライバのクラスを指定します。オプション。指定した場合、jdbcurlを指定する必要があります。
dbUserでは、ブートストラップ資格証明に追加する資格証明ストア内のデータベース・ユーザーを指定します。オプション。指定した場合、jdbcurlを指定する必要があります。
dbPasswordでは、dbUserを使用して指定したユーザーのパスワードを指定します。オプション。指定した場合、jdbcurlを指定する必要があります。
odbcdsnでは、C CSF APIで使用するODBC DSN名を指定します。Cプログラムにのみ適用されます。
使用例
reassociateSecurityStore(domain="myDomain", admin="cn=adminName", password="myPass", ldapurl="ldaps://myhost.example.com:3060", servertype="OID", jpsroot="cn=testNode")
myDomainでポリシー・ストアを共有する場合、次のサンプルのようにこのスクリプトを呼び出します。
reassociateSecurityStore(domain="myDomain", admin="cn=adminName", password="myPass", ldapurl="ldaps://myhost.example.com:3060", servertype="OID", jpsroot="cn=testNode", join="true")
このトピックは、LDAPベースおよびDBベースのOPSSセキュリティ・ストアにのみ適用されます。ファイルベースのストアの場合、キャッシュは数秒後に更新されます(ファイルベースのストアは本番環境システムではお薦めしません)。
OPSSは、キャッシュ・セキュリティ・アーティファクトによって認可プロセスを最適化します。アプリケーション・ポリシー(またはその他のセキュリティ・アーティファクト)を変更した場合、アプリケーションおよびアーティファクトの変更に使用されたツールが実行されている場所によって変更が有効になるタイミングが異なります。
アプリケーションとツールの両方が同じホスト上および同一ドメインで実行されている場合、変更は即座に有効化されます。
同じではなく、アプリケーションとツールが別のホストまたは別のドメインで実行されている場合は、ポリシー・ストア・キャッシュのリフレッシュ後に変更が有効になります。キャッシュのリフレッシュの頻度は、プロパティoracle.security.jps.ldap.policystore.refresh.intervalの値によって決まります。デフォルト値は10分です。
ドメイン内で、OPSSスクリプトまたはFusion Middleware Controlを使用して有効になった変更はすべて、最初は管理サーバーのみで考慮されます。これらの変更は、サーバーの再起動時のみにドメイン内のすべての管理対象サーバーにプッシュされます。
次の使用例は、セキュリティ・アーティファクトの変更に(別のドメインまたはホストの)Oracle Entitlements Serverを使用し、oracle.security.jps.policystore.refresh.intervalプロパティを10分に設定した場合の4つのシナリオにおける認可の動作を示しています。
この使用例では次のように想定しています。
ユーザーはエンタープライズ・ロールのメンバー
このエンタープライズ・ロールは、アプリケーション・ロールのメンバーに含まれている
このアプリケーション・ロールにはアプリケーション機能の一部を制御するパーミッションが付与されている
前述の想定に従って、次の4つのシナリオにおける認可の結果を調べます。
シナリオA
ユーザーがアプリケーションにログインします。
ユーザーがアプリケーション・ロールによって保護された機能にアクセスします。
別のホスト(またはドメイン)から、Oracle Entitlements Serverを使用してアプリケーション・ロールからエンタープライズ・ロールを削除します。
ユーザーはアプリケーションからログアウトして、ただちにログインしなおします。
ユーザーは、この時点でもアプリケーション・ロールによって保護された機能にアクセスできます。
この結果の理由は、ポリシー・キャッシュで、まだ前述のステップ3で実施された変更を反映するリフレッシュが行われていないためです。
シナリオB
ユーザーがアプリケーションにログインします。
ユーザーがアプリケーション・ロールによって保護された機能にアクセスします。
別のホスト(またはドメイン)から、Oracle Entitlements Serverを使用してアプリケーション・ロールからエンタープライズ・ロールを削除します。
ユーザーはアプリケーションからログアウトして、10分後にログインしなおします。
ユーザーは、アプリケーション・ロールによって保護された機能にアクセスできなくなっています。
この結果の理由は、ポリシー・キャッシュで、前述のステップ3で実施された変更を反映するリフレッシュが行われているためです。
シナリオC
ユーザーがアプリケーションにログインします。
ユーザーがアプリケーション・ロールによって保護された機能にアクセスします。
別のホスト(またはドメイン)から、Oracle Entitlements Serverを使用してアプリケーション・ロールからエンタープライズ・ロールを削除します。
ユーザーがログアウトしない場合、10分以内はアプリケーション・ロールによって保護された機能へのアクセスが可能な状態に保持されます。
この結果の理由は、ポリシー・キャッシュで、まだ前述のステップ3で実施された変更を反映するリフレッシュが行われていないためです。
シナリオD
ユーザーがアプリケーションにログインします。
ユーザーがアプリケーション・ロールによって保護された機能にアクセスします。
別のホスト(またはドメイン)から、Oracle Entitlements Serverを使用してアプリケーション・ロールからエンタープライズ・ロールを削除します。
ユーザーがログアウトせずに、10分より長く待ってからアプリケーション・ロールによって保護された機能へのアクセスを試行します。アクセスは拒否されます。
この結果の理由は、ポリシー・キャッシュで、前述のステップ3で実施された変更を反映するリフレッシュが行われているためです。
OPSSスクリプトの中には、処理に関与するロールについてプリンシパル名とプリンシパル・クラスの指定を必要とするものがあります。
たとえば、次の呼出しでは、アプリケーション・ストライプがmyAppで名前がmyAppRoleであるロールにプリンシパルが追加されます。
grantAppRole.py -appStripe myApp -appRoleName myAppRole
-principalClass myPrincipalClass -principalName myPrincipal
このようなスクリプトでプリンシパルが認証ロールまたは匿名ロールを参照する場合、プリンシパル名とプリンシパル・クラスは固定されており、次のペアのいずれかである必要があります。
認証ロール
名前: authenticated-role
クラス: oracle.security.jps.internal.core.principals.JpsAuthenticatedRoleImpl
匿名ロール
名前: anonymous-role
クラス: oracle.security.jps.internal.core.principals.JpsAnonymousRoleImpl
前述のプリンシパル名とプリンシパル・クラスの指定が必要なOPSSスクリプトは次のとおりです。
grantAppRole
revokeAppRole
grantPermission
revokePermission
listPermissions
OPSSスクリプトの中には、アプリケーション・ストライプの指定を必要とするものがあります。アプリケーションがバージョン付きではない場合は、アプリケーション・ストライプがデフォルトのアプリケーション名として使用されます。アプリケーションがバージョン付きの場合は、アプリケーション名とアプリケーション・ストライプが同じではなくなります。
たとえば、myAppというバージョン付きアプリケーションのバージョン1の名前は、「Fusion Middleware Control」ページでmyApp(v1.0)と表示されますが、このアプリケーションのアプリケーション・ストライプはmyApp#v1.0です。
一般に、表示名がappName(vers)のアプリケーションでは、アプリケーション・ストライプがappName#versになります。次の呼出しのように、OPSSスクリプトでアプリケーション・ストライプとして渡されるのは、このうちの後者の文字列です。
>listAppRoles myApp#v1.0
ストライプを指定できるOPSSスクリプトは次のとおりです。
createAppRole
deleteAppRole
grantAppRole
revokeAppRole
listAppRoles
listAppRoleMembers
grantPermission
revokePermission
listPermissions
deleteAppPolicies
Oracle Entitlements Serverを使用すると、Oracle Internet Directory LDAPポリシー・ストアを使用するWebLogicドメインでアプリケーション・ポリシーおよびその他のセキュリティ・アーティファクトの管理および検索を実行できます。
詳細は、Oracle Fusion Middleware Oracle Entitlements Server管理者ガイドの次のトピックを参照してください。
セキュリティ・アーティファクトの問合せ
ポリシーおよびロールの管理
OPSSプロパティの調整方法の詳細は、『Oracle Fusion Middlewareパフォーマンスおよびチューニング・ガイド』のOracle Platform Security Servicesの調整に関する項を参照してください。
