E.34 OAMサーバー・クロックの同期化

セッションの状態は依存側にとっての真のソースです。様々なサーバーのシステム・クロックは同期が必要です。

依存側のシステム・クロックは、SMEクロックの同期の範囲外であることがあります。依存側のクロックが次の場合:

• セッション・クロックよりも進んでいる: 依存側の認証のリクエストが作成されアクティブ・セッションIDが戻されます。

• セッション・クロックよりも遅れている: 依存側ヘルプへのイベント通知によりセッションが無効になります。

たとえば、Webサーバー・クロックがサーバー・クロックよりも進んでいる場合、WebgateからOAMサーバーに送信されるリクエストには、OAMサーバーではまだ発生していない時間が含まれます。これによりログイン・イベントが失敗することがあります。簡易または証明書モードで実行している場合、タイムスタンプは同期の範囲外となるか、またはクライアント証明書が無効のように見えることがあります。

ノート:

イベント通知の問題を防止するには、すべてのOAMサーバーのクロックをNISTインターネット・タイム・サービスのようなタイム・サービスに同期させるようにします。

正常な動作のために、次のようにします。

• すべてのコンピュータ・クロックが同期しているようにします。許容レベルはありません。たとえば、WebgateクロックがわずかでもOAMサーバー・クロックより進んでいる場合、Webgateにより生成されたCookieは未来のものと見なされ、OAMサーバーで問題を引き起こす可能性があります。

• Webgateが実行している各コンピュータのクロックが、関連するOAMサーバーよりも進んでいないことを確認します。OAMサーバーは最大60秒までWebgateのクロックよりも進んでいる必要があります。