18 Parlay X Web Services のアーキテクチャ

この章では、OWLCS Parlay X Web Services のアーキテクチャ、セキュリティ、およびインストールについて説明します。この章の内容は以下のとおりです。

節 18.1「Web サービスクライアントアプリケーションのアーキテクチャ」
節 18.2「Web サービスのセキュリティ」
節 18.3「Web サービスのインストール」

18.1 Web サービスクライアントアプリケーションのアーキテクチャ

クライアントアプリケーションのアーキテクチャでは、Web サービスの 1 つのクライアントが、システムの多数のエンドユーザに代わって機能します。

複数のユーザが同じ Web サービスクライアントに同時に接続でき、クライアントはこれらのユーザの代わりに Web サービスを起動します。次の使用時のガイドラインに注意してください。

セキュリティ – Web サービスを実行している OWLCS Web サーバは、エンドユーザではなくクライアントを認証します。クライアントは信頼できるエンティティであり、クライアントがいったん認証されると、クライアントのすべてのエンドユーザは認証済みであると見なされます。このため、エンドユーザを認証するタスクは Web サービスクライアントが行います。クライアントが正しく認証されるためには、エンドユーザが事前に決定された認証資格を使用して接続する必要があります。
Web クライアントはすべての Web サービスを起動する必要はない – つまり、Web クライアントは、SendMessage Web サービスに対してのみメソッドを起動できるため、その他の Web サービスを気にする必要はありません。ただし、クライアントアプリケーションのニーズに応じてその目的を達成するために、異なる Web サービスに対し、特定のメソッドを特定の順序で起動する場合があります。たとえば、メッセージを送信するクライアントアプリケーションが、送信されたすべてのメッセージのメッセージ通知を受け取る必要もある場合は、送信されたメッセージの通知を受け取る前に、MessageNotificationManager インタフェースの startMessageNotification メソッドを最初に呼び出す必要があります。

18.2 Web サービスのセキュリティ

デフォルトでは、すべてのデプロイされた OWLCS Web サービスは保護されていません。プロダクション環境にデプロイされるサービスでは、Web サービスセキュリティを有効にする必要があります。

OWLCS では、OWLCS Web サービスを保護する Oracle Web Services Manager の WS-Security ポリシーの使用がサポートされています。Oracle Web Services Manager の詳細については、『Oracle Fusion Middleware Oracle WebLogic Server Web サービスのセキュリティ』の「Using Oracle Web Service Security Policies」を参照してください。

OWLCS Web サービスで推奨されるセキュリティコンフィグレーションでは、Security Assertion Markup Language (SAML) トークンを使用して、Web サービスクライアントと OWLCS の間で ID の受け渡しを行います。SAML トークンを使用すると、Web サービスクライアントがユーザ名とパスワードを OWLCS に渡す代わりに、証明書の交換を通じてクライアントと OWLCS の間の信頼関係が確立されます。このようなキーストアコンフィグレーションが作成されると、Web サービスクライアントはユーザ ID のみを渡して、ユーザが適切に認証されていることを保証します。

OWLCS Web サービスで使用が推奨されるポリシーは、以下のとおりです。

oracle/wss11_saml_token_with_message_protection_service_policy (サーバ側)
oracle/wss11_saml_token_with_message_protection_client_policy (クライアント側)

18.2.1 通知時の Web サービスセキュリティ

各種の Web サービスには、クライアント側で実行される、対応する通知 Web サービス (MessageNotification、PresenceNotification) が含まれており、これらは該当するイベントが発生すると通知 (メッセージ配信ステータス、メッセージの受信、プレゼンスステータスの変更) を受け取ります。この実装では、クライアントへの通知時に、デフォルトで Web サービスセキュリティ (WS-Security) が使用されません。つまり、サーバでは、クライアント側で実行される通知 Web サービスで WS-Security が使用されないことを想定し、通知を送信する際に自身の認証を試行しません。クライアント側で WS-Security を有効にすると、通知 SOAP リクエストに必要なヘッダが含まれていないため、サーバからの通知は失敗します。

18.2.2 OWLCS サービスセキュリティの有効化

OWLCS Web サービスのポリシーを有効にするには、『Oracle Fusion Middleware Oracle WebLogic Server Web サービスのセキュリティ』の「Configuring Oracle WSM Security Policies in Administration Console」の手順に従って、ポリシー oracle/wss11_saml_token_with_message_protection_service_policy を選択します。保護する必要のあるサービスごとに、このコンフィグレーションを繰り返す必要があります。

18.2.3 クライアントのセキュリティの有効化

Web サービスクライアントのセキュリティはプログラムで有効にする必要があります。『Oracle WebLogic Communication Services 開発者ガイド』に記述されたクライアントライブラリを使用する場合は、クライアントオブジェクトの作成時に WS-Security ポリシーコンフィグレーションが提供されます。クライアントのコンストラクタは型 Map<String, Object> の引数を取ります。 SAML 認証を使用する場合は、通常、エンドポイントアドレスなどの他の必須プロパティのほかに、キーと値の組み合わせ (表 18-1) をコンフィグレーションマップに追加する必要があります。

表 18-1 クライアントのセキュリティキー

キー	型	通常の値
`oracle.sdp.parlayx.ParlayXConstants.POLICIES`	String[]	`oracle/wss11_saml_token_with_message_protection_client_policy`
`javax.xml.ws.BindingProvider.USERNAME_PROPERTY`	String	`<有効なユーザ名>`
`oracle.wsm.security.util.SecurityConstants.Config.KEYSTORE_RECIPIENT_ALIAS_PROPERTY`	String	(省略可能) 対象となるサービスのキーストアエリアス。「クライアントのエリアス」を参照してください。

例 18-1 Web サービスクライアントのセキュリティ

import oracle.sdp.parlayx.presence.consumer.PresenceConsumerClient;
 
...
 
Map<String, Object> config = new HashMap<String, Object>();
config.put(javax.xml.ws.BindingProvider.ENDPOINT_ADDRESS_PROPERTY, owlcs_url);
config.put(oracle.sdp.parlayx.ParlayXConstants.POLICIES, new String[] {"oracle/wss11_saml_token_with_message_protection_client_policy"});
config.put(javax.xml.ws.BindingProvider.USERNAME_PROPERTY, "test.user1");
 
PresenceConsumerClient presenceClient = new PresenceConsumerClient(config);

18.2.4 キーストアのコンフィグレーション

推奨される WS-Security ポリシーを使用するには、OWSM に必要なパブリックキーおよびプライベートキー情報が含まれているキーストアをコンフィグレーションする必要があります。キーストアおよび該当する資格ストアエントリをコンフィグレーションする方法については、『Oracle Fusion Middleware Oracle WebLogic Server Web サービスのセキュリティ』の「Configuring the Credential Store Using WLST」を参照してください。

Web サービスクライアントと OWLCS サーバが同じドメイン内にある場合は、キーストアと資格ストアが共有されます。
Web サービスクライアントと OWLCS サーバが異なるドメイン内にある場合は、OWLCS のパブリックキーをクライアントドメインのキーストアにインポートし、クライアントドメインのパブリックキーを OWLCS のキーストアにインポートする必要があります。

18.2.5 クライアントのエリアス

ここで推奨される SAML ポリシーなどの特定の WS-Security ポリシーを使用する場合、クライアントではサーバのパブリックキーを使用して Web サービスリクエストを暗号化する必要があります。ただし、1 つのドメインにつきコンフィグレーションされているキーストアは通常 1 つのみです。このため、あるドメインの Web サービスクライアントが他の複数のドメイン内の Web サービスと通信するようなときは、OWSM で使用されるデフォルトのキーストアエントリをオーバーライドする必要がある場合があります。

たとえば、あるドメインに、SOA Web サービスに対する Web サービスクライアントであるアプリケーション「A」と、OWLCS Web サービスに対する Web サービスクライアントであるアプリケーション「B」があるとします。この場合、A のリクエストは SOA ドメインのパブリックキーを使用して暗号化し、B のリクエストは OWLCS ドメインのパブリックキーを使用して暗号化する必要があります。これを行うには、OWSM で使用されるキーストアエリアスを各リクエストでオーバーライドします。

2 つのサーバドメインのパブリックキーを、それぞれ異なるキーストアエリアスを使用してクライアントドメインのキーストアにインポートします。たとえば、OWLCS パブリックキーにエリアス「owlcs_public_key」、SOA パブリックキーにエリアス「soa_public_key」を使用してインポートします。

OWLCS Web サービスクライアントを作成する場合に、受信者のキーストアエリアスパラメータを指定します。キーを oracle.wsm.security.util.SecurityConstants.Config.KEYSTORE_RECIPIENT_ALIAS_PROPERTY に設定し、値を「owlcs_public_key」に設定します (例 18-2 を参照)。

例 18-2 クライアントのエリアス

import oracle.sdp.parlayx.presence.consumer.PresenceConsumerClient;
 
...
 
Map<String, Object> config = new HashMap<String, Object>();
config.put(javax.xml.ws.BindingProvider.ENDPOINT_ADDRESS_PROPERTY, owlcs_url);
config.put(oracle.sdp.parlayx.ParlayXConstants.POLICIES, new String[] {"oracle/wss11_saml_token_with_message_protection_client_policy"});
config.put(javax.xml.ws.BindingProvider.USERNAME_PROPERTY, "test.user1");
config.put(oracle.wsm.security.util.SecurityConstants.Config.KEYSTORE_RECIPIENT_ALIAS_PROPERTY, "owlcs_public_key")
PresenceConsumerClient presenceClient = new PresenceConsumerClient(config);

SOA などの Web サービスクライアントでも同様にキーストアエリアスをオーバーライドする必要がありますが、厳密なメカニズムは異なる場合があります。たとえば、JAX-WS クライアントスタブディレクトリを使用している場合は、オーバーライドプロパティを JAX-WS リクエストコンテキストに追加できます。詳細については、『Oracle Fusion Middleware Oracle WebLogic Server Web サービスのセキュリティ』の「Policy Configuration Overrides for the Web Service Client」を参照してください。

18.3 Web サービスのインストール

Web サービスは標準の .ear ファイルとしてパッケージ化されており、Enterprise Manager から任意の他の Web サービスと同様にデプロイできます。.ear ファイルには、2 つのインタフェースを実装する 2 つの .war ファイルが含まれています。Web サービスは、oracle.sdp.client、oracle.sdp.platform、oracle.sdp.presencecommons という共有ライブラリに依存しています。

クライアントアプリケーションでは、OWLCS で提供される oracle.sdp.client 共有ライブラリをインポート (およびコンパイル) する必要があります。この場合、プロジェクトに parlayx.jar をインポートします。

oracle.sdp.client 共有ライブラリは、これに対してコンパイルするだけでなく、対象のランタイム環境で使用可能にする必要があります (つまり、oracle.sdp.client は対象の Weblogic Server に共有ライブラリとしてデプロイされます)。

これらの共有ライブラリ以外に、OWLCS のインストールには通知 Web サービス用の war ファイルが含まれています。これらの war ファイルには、開発者がさまざまな Web サービスの通知を有効にするためにインポートする必要のあるすべての jar ファイルが含まれています。

messagingwsnotification-<version>.war – メッセージ配信ステータスおよびメッセージ受信の通知を受け取るクライアントを作成する場合にインポートする必要のある jar を含む、デプロイ可能な war ファイル。OWLCS サーバがメッセージング通知 Web サービスを起動できるように、クライアントアプリケーションと共にこの war もデプロイする必要があります。
presencewsnotification-<version>.war – プレゼンスステータス変更の通知を受け取るクライアントを作成する場合にインポートする必要のある jar を含む、デプロイ可能な war ファイル。OWLCS サーバがプレゼンス通知 Web サービスを起動できるように、クライアントアプリケーションと共にこの war もデプロイする必要があります。