60.3 ヘッダー変数による偽装の有効化

ヘッダー変数を使用して偽装を有効にするには、次の項の手順を完了します。

60.3.1 ヘッダー変数による偽装要件

OAMサーバーでWindows偽装を実装する前に、環境を準備して動作を確認します。

表60-1に、ヘッダー変数による偽装を有効化する場合のAccess Managerプラットフォーム要件を示します。

表60-1 ヘッダー変数による偽装要件

項目	プラットフォーム
11g WebGate (および偽装dll)	Microsoft IIS 7.xおよびWindows Server 2008と2013
偽装dll	Webgate_install_dir\webgate\iis\lib\IISImpersonationModule.dll IISモジュールとしてインストールする必要があります。 Webサイト・ツリーの任意のレベルにインストールできます。
Kerberos Key Distribution Center (KDC)およびActive Directory	Windows Server 2008と2013
クライアントおよびサーバー・マシン	両者は、信頼関係のある同じWindows Server 2008ドメイン内にある必要があります。双方向の信頼パスが必要です。サービスがクライアントの代理として動作し、クライアントのドメインにあるチケットを要求するためです。
セキュリティ・コンテキスト	オペレーティング・システムとして動作する権限が備わっている必要があります。ノート: IWAM_Machineは推奨されません。
相互認証が必要	相互認証はリモートでサポートされます。

60.3.2 信頼できるユーザーとしての偽装の作成

HeaderVarとユーザー・プロファイル属性のどちらを使用して偽装を有効にするかにかかわらず、戻り値はActive Directoryに含まれる信頼できるユーザーである必要があります。この特別なユーザーは、偽装以外には使用しないでください。

次の手順例では、SPPSImpersonatorを新規オブジェクト - ユーザーとして使用します。SPPSImpersonatorはSharePoint偽装を示すので、OWAImpersonatorも使用できます。環境はユーザーによって異なります。

Microsoft Exchange Server 2013インストールをホストするコンピュータ上の環境に対して次のステップを実行してください。
- Windows 2008または2012: 「スタート」→「プログラム」→「管理ツール」→「Active Directoryユーザーとコンピュータ」の順に選択します。
「Active Directoryユーザーとコンピュータ」ウィンドウで、左ペインのツリーで「ユーザー」を右クリックし、「新規作成」→「ユーザー」の順に選択します。
「新規オブジェクト - ユーザー」というペインの「名」フィールドに、覚えやすい名前としてSPPSImpersonatorなどを入力します。
この同じ文字列を「ユーザーログオン名」フィールドにコピーし、「次へ」をクリックします。
次のパネルで、パスワードの選択と確認用の再入力を求められます。

ノート:

信頼できるユーザーには、非常に強力な権限が付与されるため、非常に複雑なパスワードを選択することをお薦めします。また、「パスワードの有効期限なし」ボックスがマークされていることも確認してください。偽装モジュールは、信頼できるユーザー・アカウントを表示できる唯一のエンティティであるため、外部のエージェンシがパスワードの期限切れを発見することは非常に困難です。

図60-1 Windowsの偽装のための信頼できるユーザー・アカウントの設定

「図60-1 Windowsの偽装のための信頼できるユーザー・アカウントの設定」の説明

60.3.3 信頼できるユーザーへの権限の割当て

オペレーティング・システムの一部として機能する権限を信頼できるユーザーに付与できます。

信頼できるユーザーに権限を割り当てるには、次のようにします。

使用する環境に該当するステップを実行してください。
- Windows 2008: 「スタート」→「プログラム」→「管理ツール」→「ローカルセキュリティポリシー」の順に選択します。
  
  Webgateがインストールされているコンピュータに適用されるグループ・ポリシー・オブジェクトを変更する必要があります。
左ペインのツリーで、「ローカルポリシー」の横のプラス・アイコン(+)をクリックします。
左ペインのツリーで「ユーザー権利の割り当て」をクリックします。
右ペインで「オペレーティングシステムの一部として機能」をダブルクリックします。
「ユーザーまたはグループの追加」をクリックします。
「ユーザーまたはグループの追加」パネルで、「ユーザーとグループ名」テキスト・ボックスに信頼できるユーザーのユーザー・ログオン名(この例ではMicrosoft Exchange Server 2010 Impersonator)を入力し、「OK」をクリックして変更を登録します。

図60-2 Windowsの偽装での信頼できるユーザーの権限の構成

「図60-2 Windowsの偽装での信頼できるユーザーの権限の構成」の説明

60.3.4 信頼できるユーザーのWebGateへのバインド

信頼できるユーザーの認証資格証明を指定して、信頼できるユーザーをWebゲートにバインドする必要があります。

この手順では、11g WebGateがAccess Managerに登録されていることが前提となっています。この手順の値は、例としてのみ提供されます。環境はユーザーによって異なります。

60.3.5 アプリケーション・ドメインへの偽装レスポンスの追加

OWAリソースを保護するために、アプリケーション・ドメインを作成または構成する必要があります。

このためには、この手順で説明しているように、認可ポリシーにレスポンス(ヘッダー・タイプ・レスポンス)を追加する必要があります。

60.3.6 偽装DLLのIISへの追加

IISは、IISImpersonationModule.dllをIIS構成に追加することで構成できます。

偽装DLLをIISに追加するには、次のようにします。

「スタート」→「管理ツール」→「インターネットインフォメーションサービス(IIS)マネージャ」の順に選択します。
IIS 7.xの左ペインで、ホスト名をクリックします。
中央ペインのIISヘッダーで、「モジュール」をダブルクリックします。
右ペインで「ネイティブモジュールを構成」をクリックして「登録」をクリックします。
ウィンドウに、モジュール名(たとえば、Oracle偽装モジュール)を入力します。
「パス」フィールドに、IISImpersonationModule.dllへのフルパスを入力します。
デフォルトでは、パスは次のとおりです。
```
Webgate_install_dir\webgate\iis\lib\IISImpersonationModule.dll
```
ここで、Webgate_install_dirはWebゲートのインストール・ディレクトリです。

ノート:
パスにスペースが存在する場合(たとえば、C:\Program Files\Oracle\...)文字列全体を二重引用符(" ")で囲みます。
「OK」をクリックして、モジュールを登録します。
新しく作成したモジュールの名前を確認し、「OK」をクリックして、各Webサイトにモジュールを適用します。
デフォルト・サイト・レベルからこのモジュールを削除します(そうしない場合、マシン・レベルで追加すると継承されます)。
このステップで追加したIISImpersonationModule.dllファイルはowaアプリケーションおよびecpアプリケーションにのみ適用され、サイト・レベルから削除されていることを確認します。
OWAに移動し、「モジュール」をダブルクリックし、「ネイティブモジュールを構成」をクリックし、目的のモジュール(たとえばOracle Impersonation Module)を選択します。

(ecp):に移動: 「モジュール」をダブルクリックし、「ネイティブモジュールを構成」をクリックし、目的のモジュール(たとえばOracle Impersonation Module)を選択します。

60.3.7 偽装のテスト

イベントビューアまたはWebページを使用して、偽装をテストできます。

偽装をテストする方法には次の2つがあります。

60.3.7.1 IIS仮想サイトの作成

Microsoft OWA 2010コンテキスト外の偽装機能をテストしたりシングル・サインオンをテストするには、IIS仮想Webサイト上のターゲットWebページが必要です。

そのような仮想Webサイトを作成するには、次のタスクを実行します。

「スタート」→「管理ツール」→「インターネットインフォメーションサービス(IIS)マネージャ」の順にクリックします。
左ペインにあるツリー上のローカル・コンピュータのアイコンの左側のプラス・アイコン(+)をクリックします。
左ペインにあるツリー上の「Webサイト」を右クリックして、メニューから「新規作成」、「Webサイト」の順に選択します。
「Webサイト作成」ウィザードでプロンプトに応答します。
仮想サイトを作成したら、このガイドで説明しているように、アプリケーション・ドメインでこれを保護する必要があります。

60.3.7.2 イベント・ビューアを使用した偽装のテスト

Windows 2008イベント・ビューアを使用して偽装のテストを実行する場合、実際のテストを実行する前にイベント・ビューアを構成する必要があります。

偽装をテストするには、次のようにします。

「スタート」メニュー→「イベントビューア」の順に選択します。
左ペインで「セキュリティ」を右クリックし、「プロパティ」をクリックします。
「セキュリティ」プロパティ・シートで「フィルタ」タブをクリックします。
すべての「イベントの種類」にチェックが付いていることおよび「イベントソース」と「分類」の各リストが「すべて」に設定されていることを確認し、「OK」をクリックして「プロパティ」シートを閉じます。
イベント・ビューアは、リソース・リクエストに関連付けられたheaderVarに関する情報が表示されるように構成されました。

図60-3 イベント・ビューアの設定の確認

「図60-3 イベント・ビューアの設定の確認」の説明
新規IIS仮想サーバー(仮想サイト)を作成します。
仮想サイト上のツリーのどこかにターゲットWebページを配置します。
Webページでブラウザを指します
偽装が正しく機能している場合、イベント・ビューアがアクセス試行の成功を報告します。

60.3.7.3 Webページを使用した偽装のテスト

リクエストに関する情報を返し、表示できる.aspページやPerlスクリプトなどの動的テスト・ページを使用して偽装をテストすることも可能です。

偽装をテストするには、次のようにします。

パラメータAUTH_USERおよびIMPERSONATEを表示する.aspページまたはPerlスクリプトを作成します。次のサンプル・ページのようなコードになります。

<TABLE border=1>
<TR>
<TD>Variable</TD>
<TD>&nbsp&nbsp</TD>
<TD>Value</TD></TR>
<%for each servervar in request.servervariables%>
<TR>
<TD><%=servervar%></TD>	
<TD>&nbsp&nbsp</TD>
<TD><%=request.servervariables(servervar)%>&nbsp</TD>
</TR>

IIS仮想サイトを作成するかまたは前のタスクで作成したものを使用します。
新規仮想サイトのツリーのどこかに .aspページまたはPerlスクリプト(前のリストのサンプルなど)を配置します。
ブラウザでそのページに移動します。ページに、リクエストしたユーザーの名前に設定されたAUTH_USERとIMPERSONATEの両方が表示されます。