60.4 Outlook Webアプリケーション(OWA)に対する偽装の設定

分散Exchange/OWAシングル・サインオン環境では、各サーバーで、Access Managerに現在のユーザーを偽装させる必要があります。偽装を有効にするには、偽装アプリケーション・ドメインの認可ポリシーの「レスポンス」タブにHTTPヘッダーを追加する必要があります。

スタンドアロンOWA環境および分散OWA環境の両方でテスト済のソリューションを次に示します。

Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイドの説明に従って、Access Manager 11gをインストールします。
『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の説明に従って、すべてのOWAクライアント・サーバー上に11g Webゲートをインストールします。
Webゲート登録ページで、アクセス・ゲートを使用するバックエンド・サーバーのWebゲートのIPチェックを無効にします(リクエストがユーザーのブラウザではなくフロントエンド・サーバーから転送されるため)。
「Outlook Webアプリケーションに対して偽装を設定するための前提条件」の説明に従って、OWAが統合Windows認証を使用していなことを確認します。
「Outlook Webアプリケーションに対する信頼できるユーザー・アカウントの作成」の説明に従って、Active Directoryでの偽装に対してのみ信頼できるユーザー・アカウントを作成します。
「Outlook Webアプリケーションの信頼できるユーザーへの権限の割当て」の説明に従って、オペレーティング・システムの一部として機能する特別な権限を信頼できるユーザーに付与します。
「信頼できるOutlook Webアプリケーション・ユーザーのWebゲートへのバインド」の説明に従って、信頼できるユーザーの認証資格証明を提供して、信頼できるユーザーをWebゲートにバインドします。
「Outlook Webアプリケーションに対するアプリケーション・ドメインへの偽装アクションの追加」の説明に従って、(偽装アプリケーション・ドメインで)認証ポリシーの「レスポンス」タブにimpersonateという名前のヘッダー変数を追加します。
「偽装dllのIISへの追加」の説明に従って、IISImpersonationModule.dllをIIS構成に追加して、IISを構成します。
「Outlook Webアプリケーションに対する偽装のテスト」の説明に従って、偽装をテストします。

60.4.1 Outlook Webアプリケーションに対して偽装を設定するための前提条件

Outlook Webアプリケーションに対して偽装設定を続行する前に、OWAが統合Windows(または他の)認証を使用していないことを確認します。

そうでない場合は、次のステップを使用して、Windows認証によるOWAを設定できます。

Exchange管理コンソールを開きます。
「サーバーの構成」に移動し、「クライアントアクセス」をクリックします。
「Outlook Web Access」を選択して、「プロパティ」をクリックします。
「プロパティ」ダイアログ・ボックスで、「認証」タブをクリックします。
すべての認証方法をクリア(選択解除)します。
「適用」をクリックし、「OK」をクリックします。
IISサーバーを再起動します。
「Outlook Webアプリケーションに対する信頼できるユーザー・アカウントの作成」に進みます。

60.4.2 Outlook Webアプリケーションに対する信頼できるユーザー・アカウントの作成

この特別なユーザーは、偽装以外には使用しないでください。信頼できるユーザーには、非常に強力な権限が付与されるため、非常に複雑なパスワードを選択することをお薦めします。

また、「パスワードの有効期限なし」ボックスがマークされていることも確認してください。偽装モジュールは、信頼できるユーザー・アカウントを表示できる唯一のエンティティであるため、外部のエージェンシがパスワードの期限切れを発見することは非常に困難です。

Outlook Webアプリケーションに対する信頼できるユーザー・アカウントを作成するには、次のようにします。

Windows 2008マシンで、「スタート」→「プログラム」→「管理ツール」→「Active Directoryユーザーとコンピュータ」の順に選択します。
「Active Directoryユーザーとコンピュータ」ウィンドウで、左ペインのツリーで「ユーザー」を右クリックし、「新規作成」→「ユーザー」の順に選択します。
「新規オブジェクト - ユーザー」というペインの「名」フィールドに、OWAImpersonatorなどの覚えやすい名前を入力します。
この同じ文字列を「ユーザーログオン名」フィールドにコピーし、「次へ」をクリックします。
次のパネルで、パスワードの選択と確認用の再入力を求められます。
「Outlook Webアプリケーションの信頼できるユーザーへの権限の割当て」に進みます。

60.4.3 Outlook Webアプリケーションの信頼できるユーザーへの権限の割当て

オペレーティング・システムの一部として機能する権限を信頼できるユーザーに与える必要があります。

Outlook Webアプリケーションの信頼できるユーザーに権限を割り当てるには、次のようにします。

「コントロールパネル」から「管理ツール」を選択し、「ドメインコントローラセキュリティポリシー」(コンピュータがドメイン・コントローラである場合)または「ローカルセキュリティポリシー」をクリックします。
左ペインのツリーで、「ローカルポリシー」の横のプラス・アイコン(+)をクリックします。
左ペインのツリーで「ユーザー権利の割り当て」をクリックします。
右ペインで「オペレーティングシステムの一部として機能」をダブルクリックします。
「ユーザーまたはグループの追加」をクリックします。
「ユーザーまたはグループの追加」パネルで、信頼できるユーザーのユーザー・ログオン名(この例ではOWAImpersonator)をユーザー名とグループ名のテキスト・ボックスに入力し、「OK」をクリックして変更を登録します。
「信頼できるOutlook Webアプリケーション・ユーザーのWebゲートへのバインド」に進みます。

60.4.4 信頼できるOutlook Webアプリケーション・ユーザーのWebゲートへのバインド

信頼できるユーザーの認証資格証明を指定して、信頼できるユーザーをWebゲートにバインドする必要があります。

Webゲートと信頼できるユーザーのバインドが作成されると、Webゲートは要求に応じて偽装を提供できるようになります。要求は、偽装用に作成されたアプリケーション・ドメインの認可ポリシーで設定されたレスポンスによって作成されます。

次の手順では、11g Webゲート(ImpersonateAgent)をAccess Managerに登録していることを前提としています。次の手順の値は、例としてのみ提供されます。環境はユーザーによって異なります。

60.4.5 Outlook Webアプリケーションに対するアプリケーション・ドメインへの偽装アクションの追加

OWAリソースを保護するために、アプリケーション・ドメインを作成または構成する必要があります(/owaおよび/ecpのみ)。

IISImpersonation Module.dllは、IIS7.xでowaアプリケーションおよびecpアプリケーションにのみ適用され、サイト・レベルから削除されていることを確認します。認証ポリシーは、複数のHTTPヘッダー変数(認証ポリシー内のヘッダー・タイプのレスポンス)を設定する必要があります。

この手順では、Access Managerに登録された11g WebGate (ImpersonateAgent)用のアプリケーション・ドメインがすでに存在することを前提としています。

60.4.6 偽装dllのIISへの追加

IISは、IISImpersonationModule.dllをIIS構成に追加することで構成できます。

また、ユーザーの偽装に対して必要であるため、「匿名アクセスを有効にする」を設定する必要もあります。

「スタート」→「管理ツール」→「インターネットインフォメーションサービス(IIS)マネージャ」の順に選択します
IIS 7.xの左ペインで、ホスト名をクリックします。
中央ペインで、「IIS」ヘッダーの下の「モジュール」をダブルクリックします。
右ペインで「ネイティブモジュールを構成」をクリックして「登録」をクリックします。
ウィンドウに、モジュール名(たとえば、Oracle偽装モジュール)を入力します。
「パス」フィールドに、IISImpersonationModule.dllへのフルパスを入力します。
デフォルトでは、パスは次のとおりです。
```
Webgate_install_dir\webgate\iis\lib\IISImpersonationModule.dll
```
ここで、Webgate_install_dirはWebゲートのインストール・ディレクトリです。

ノート:
パスにスペースが存在する場合(たとえば、C:\Program Files\Oracle\...)文字列全体を二重引用符(" ")で囲みます。
「OK」をクリックして、モジュールを登録します。
新しく作成したモジュールの名前を確認し、「OK」をクリックして、各Webサイトにモジュールを適用します。

60.4.7 IISセキュリティの構成

続行する前にIISセキュリティを構成します。図60-4に例を示します。

図60-4 偽装認証

「図60-4 偽装認証」の説明

「スタート」→「管理ツール」→「インターネットインフォメーションサービス(IIS)マネージャ」の順に選択します
左ペインにあるツリー上のローカル・コンピュータのアイコンの左側のプラス・アイコン(+)をクリックします。
左ペインのツリーで「Webサイト」をクリックします。
中央ペインで、「IIS」の下の「認証」をダブルクリックします。
「匿名アクセス」が有効になっていて、「Windows認証」が無効になっていることを確認します。

60.4.8 Outlook Webアプリケーションに対する偽装のテスト

次の方法で、OWAの偽装構成をテストできます。

60.4.8.1 イベント・ビューアを使用した偽装のテスト

イベントビューアを使用して偽装をテストできます。

テストするには、次のようにします。

「スタート」メニューから「イベントビューア」を選択します。
左ペインで「セキュリティ」を右クリックし、「プロパティ」をクリックします。
「セキュリティ」プロパティ・シートで「フィルタ」タブをクリックします。
すべての「イベントの種類」にチェックが付いていることおよび「イベントソース」と「分類」の各リストが「すべて」に設定されていることを確認し、「OK」をクリックして「プロパティ」シートを閉じます。
イベント・ビューアは、リソース・リクエストに関連付けられたheaderVarに関する情報が表示されるように構成されました。
新規IIS仮想サーバー(仮想サイト)を作成します。
仮想サイト上のツリーのどこかにターゲットWebページを配置します。
ブラウザに、WebページのURLを入力します。
偽装が正しく機能している場合、イベント・ビューアがアクセス試行の成功を報告します。

60.4.8.2 Webページを使用した偽装のテスト

偽装をテストするには、リクエストに関する情報を返し、それを表示できる動的テスト・ページを使用できます。

テストするには、次のようにします。

AUTH_USERおよびIMPERSONATEパラメータが表示される、a.aspページまたはPerlスクリプトを作成します。

このサンプル・ページのようになります:

<TABLE border=1>
<TR>
<TD>Variable</TD>
<TD>&nbsp&nbsp</TD>
<TD>Value</TD></TR>
<%for each servervar in request.servervariables%>
<TR>
<TD><%=servervar%></TD>
<TD>&nbsp&nbsp</TD>
<TD><%=request.servervariables(servervar)%>&nbsp</TD>
</TR>

IIS仮想サイトを作成するかまたは前のタスクで作成したものを使用します。
仮想サイトのツリーの任意の場所に、前記のサンプルのようなa.aspページまたはPerlスクリプトを配置します。
ブラウザで表示するページを指定し、要求を発行するユーザーの名前にAUTH_USERとIMPERSONATEの両方を設定します。

60.4.8.3 偽装のネガティブ・テストの実行

信頼できるユーザーをWebゲートからアンバインドすると、偽装のネガティブ・テストを実行できます。

実行するには、次のようにします。

Oracle Access Managementコンソールで、ウィンドウの上部にある「アプリケーション・セキュリティ」をクリックします。
「起動パッド」タブで、「エージェント」をクリックします。
目的のWebゲートを検索し、編集のために開きます。
Webゲート登録ページで、信頼できるユーザーの資格証明を削除します。
「適用」をクリックして変更を保存します。
ブラウザ・ウィンドウでIISサーバーを再起動し、保護されているコード・ページ(信頼できるユーザーが以前アクセスできたページ)に移動します。
メッセージ・ページが表示されることを確認します。AUTH_USERとIMPERSONATEの値は、偽装資格証明をWebgateにバインドするために必要です。
信頼できるユーザーをWebGate登録ページにリストアします。