3.10 トークン発行者信頼構成のコマンド

表3-12にリストされているWLSTコマンドを使用して、信頼できる発行者、信頼できる識別名(DN)リストおよび信頼できるDNのトークン属性ルールを表示および定義します。

WLSTを使用してトークン発行者信頼ドキュメントを作成、変更および削除する場合、セッションのコンテキストでコマンドを実行する必要があります。各セッションは、単一の信頼ドキュメントにのみ適用されます。

これらのコマンドの使用方法の詳細は、『Oracle Web Services ManagerによるWebサービスの保護とポリシーの管理』のWLSTを使用したSAML信頼発行者、DNリストおよびトークン属性ルールの構成に関する項を参照してください。

注意:

この項のコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

この項で説明するWLSTコマンドのヘルプを表示するには、実行中のサーバー・インスタンスに接続し、help('wsmManage')と入力します。

help('wsmManage')を使用すると、サポートされているトークン・タイプとしてJWT信頼発行者が表示されます。

表3-12 Webサービスのトークン発行者信頼コマンド

使用するコマンド	用途	使用するWLST
createWSMTokenIssuerTrustDocument	指定された名前を使用して新しいトークン発行者信頼ドキュメントを作成します。	オンライン
deleteWSMTokenIssuerTrust	発行者に対するエントリを、そこに含まれるDNリストも含めて削除します。	オンライン
deleteWSMTokenIssuerTrustAttributeRule	信頼できるDNに関連付けられているトークン属性ルールを削除します。	オンライン
deleteWSMTokenIssuerTrustDocument	name引数で指定されたトークン発行者信頼ドキュメントをリポジトリから削除します。	オンライン
displayWSMTokenIssuerTrust	指定された発行者に関連付けられているDNリストの名前を表示します。	オンライン
exportWSMTokenIssuerTrustMetadata	信頼できる発行者、関連付けられているDNおよびトークン属性ルールをエクスポートします。	オンライン
importWSMTokenIssuerTrustMetadata	信頼できる発行者、関連付けられているDNおよびトークン属性ルールをインポートします。	オンライン
listWSMTokenIssuerTrustDocuments	リポジトリ内のトークン発行者信頼ドキュメントをリストします。	オンライン
revokeWSMTokenIssuerTrust	信頼できる発行者、関連付けられているDNおよびトークン属性ルールを削除します。	オンライン
selectWSMTokenIssuerTrustDocument	セッション内で変更する、name引数で特定されるトークン発行者信頼ドキュメントを選択します。	オンライン
setWSMTokenIssuerTrust	DNリストを持つ信頼できるトークン発行者を指定します。	オンライン
setWSMTokenIssuerTrustAttributeFilter	指定されたトークン署名証明書DNのトークン属性ルールを、追加、削除または更新します。	オンライン
setWSMTokenIssuerTrustAttributeMapping	マッピングを設定して、信頼できるDNの属性値をローカル・ユーザー属性値およびマップされたユーザー属性にマップします。	オンライン
setWSMTokenIssuerTrustDisplayName	セッションで現在選択されているトークン発行者信頼ドキュメントの表示名を設定またはリセットします。	オンライン

3.10.1 createWSMTokenIssuerTrustDocument

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

セッション内で、指定された名前を使用して新しいトークン発行者信頼ドキュメントを作成します。

トークン発行者信頼ドキュメントを作成または変更する前に、セッションを開始(beginWSMSession)する必要があります。現在のセッションがないか、既存の変更プロセスがすでに存在する場合は、エラーが表示されます。

このコマンドの使用方法の詳細は、『Oracle Web Services ManagerによるWebサービスの保護とポリシーの管理』のWLSTを使用したSAML信頼発行者、DNリストおよびトークン属性ルールの構成に関する項を参照してください。

構文

createWSMTokenIssuerTrustDocument(name, displayName)

引数	説明
`name`	作成するドキュメントの名前。名前が指定されない場合は、エラーがスローされます。
`displayName`	オプション。ドキュメントの表示名。

例

次の例では、tokenissuertrustWLSbase_domainという名前の信頼ドキュメントを、wls_domain Trust Documentという表示名で作成します。2番目の例では、表示名は指定されていません。

wls:/wls-domain/serverConfig> createWSMTokenIssuerTrustDocument("tokenissuertrustWLSbase_domain","wls_domain Trust Document")
wls:/wls-domain/serverConfig> createWSMTokenIssuerTrustDocument("tokenissuertrustWLSbase_domain")

3.10.2 deleteWSMTokenIssuerTrust

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

セッション内で、指定された発行者のタイプ(dns.hok、dns.svまたはdns.jwtなど)と一致する信頼できるすべてのキー識別子のリストが削除されます。この発行者は、変更するためにセッションで選択されたトークン発行者信頼ドキュメントに存在している必要があります。信頼できるキー識別子が存在しない場合は、発行者自体が削除されます。

発行者の信頼できるキー識別子の指定されたリストを削除するには、selectWSMTokenIssuerTrustDocumentを使用します。

このコマンドを実行する前に、セッションを開始(beginWSMSession)して、変更を行うためにトークン発行者信頼ドキュメントを選択する必要があります。現在のセッションがないか、既存の変更プロセスがすでに存在する場合は、エラーが表示されます。

デフォルトのトークン発行者信頼ドキュメントは変更できません。

構文

deleteWSMTokenIssuerTrust(type, issuer)

引数	説明
`type`	削除する発行者のタイプ(`dns.hok`、`dns.sv`または`dns.jwt`など)。
`issuer`	信頼できるDNリストを削除する発行者の名前。

例

次の例では、発行者www.yourCompany.comおよび、その発行者の信頼できるSAML送信者保証クライアント・リストdns.sv内のDNリストを削除します。

wls:/wls-domain/serverConfig> deleteWSMTokenIssuerTrust('dns.sv', 'www.yourCompany.com')

3.10.3 deleteWSMTokenIssuerTrustAttributeRule

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

信頼できるDNに関連付けられているトークン属性ルールをトークン発行者信頼ドキュメントから削除します。

属性のフィルタ値のリストのみを削除するには、setWSMTokenIssuerTrustAttributeFilterコマンドを使用します。

構文

deleteWSMTokenIssuerTrustAttributeRule(dn)

引数	説明
`dn`	削除するルールを特定するトークン署名証明書のDN。

例

次の例では、信頼できるDN 'CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=USに関連付けられているトークン属性ルールが削除されます。

wls:/wls-domain/serverConfig> deleteWSMTokenIssuerTrustAttributeRule('CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=US')

3.10.4 deleteWSMTokenIssuerTrustDocument

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

name引数で指定されたトークン発行者信頼ドキュメントをリポジトリから削除します。デフォルトのトークン発行者信頼ドキュメントは削除できません。

構文

deleteWSMTokenIssuerTrustDocument (name)

引数	説明
`name`	作成するトークン発行者信頼ドキュメントの名前。

例

次の例では、トークン発行者信頼ドキュメントtokenissuertrustWLSbase_domainを削除します。

wls:/wls-domain/serverConfig> deleteWSMTokenIssuerTrustDocument('tokenissuertrustWLSbase_domain')

3.10.5 displayWSMTokenIssuerTrust

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

指定されたタイプ(dns.hok、dns.svまたはdns.jwtなど)、およびissuer名と一致する信頼できるすべてのキー識別子のリストが表示されます。

構文

displayWSMTokenIssuerTrust(type, issuer=None)

引数	説明
`type`	発行者の表示される信頼できるキー識別子のタイプ。たとえば、`dns.hok`、`dns.sv`または`dns.jwt`などです。
`issuer`	オプション。信頼できるキー識別子のリストを表示する信頼できる発行者の名前。発行者名を指定しないと、指定されたタイプのすべての信頼できる発行者がリストされます。

例

次の例では、信頼できる発行者www.example.comのDNリストを表示します。

wls:/wls-domain/serverConfig> displayWSMTokenIssuerTrust('dns.sv', 'www.example.com')

3.10.6 exportWSMTokenIssuerTrustMetadata

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

すべての信頼できる発行者の信頼構成(発行者、DNおよびトークン属性ルール)をエクスポートします。構成は、指定された場所で識別されるXMLファイルにエクスポートされます。除外リストに指定された発行者の構成はエクスポートされません。引数を渡さない場合、すべての信頼できる発行者の信頼構成がエクスポートされます。

構文

exportWSMTokenIssuerTrustMetadata(trustFile,excludeIssuers=None)

引数	説明
`trustFile`	エクスポートされたメタデータが格納されるファイルの場所。
`excludeIssuers`	オプション。信頼メタデータがエクスポートされない発行者のリスト。

例

次の例に、exportWSMTokenIssuerTrustMetadataコマンドを示します。

exportWSMTokenIssuerTrustMetadata(trustFile='/tmp/trustData.xml',
  excludeIssuers=['www.example.com','www.myissuer.com'])

exportWSMTokenIssuerTrustMetadata('/tmp/trustData.xml',['www.example.com'])

exportWSMTokenIssuerTrustMetadata(trustFile='/tmp/trustData.xml')

3.10.7 importWSMTokenIssuerTrustMetadata

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

すべての信頼できる発行者の信頼構成(発行者、DNおよびトークン属性ルール)をインポートします。構成は、指定されたXMLファイルからインポートされます。

構文

importWSMTokenIssuerTrustMetadata(trustFile)

引数	説明
`trustFile`	構成がインポートされるファイルの場所。

例

次の例に、importWSMTokenIssuerTrustMetadataコマンドを示します。

importWSMTokenIssuerTrustMetadata(trustFile='/tmp/trustData.xml')

importWSMTokenIssuerTrustMetadata('/tmp/trustData.xml')

3.10.8 listWSMTokenIssuerTrustDocuments

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

引数を指定しないで使用すると、リポジトリ内のすべてのトークン発行者信頼ドキュメントがコマンドによってリストされます。detail引数をtrueに設定すると、ドキュメントの表示名およびステータスも表示されます。

ワイルドカード文字(*)を他の文字と組み合せて使用できます。name引数にワイルドカード文字が指定されない場合、name引数と正確に一致するドキュメントが表示されます。detail引数をtrueに設定すると、ドキュメントの内容がリストされます。

このコマンドは、セッションの内および外で実行できます。

構文

listWSMTokenIssuerTrustDocuments(name=None, detail='false')

引数	説明
`name`	オプション。トークン発行者信頼ドキュメントの名前。この引数にワイルドカードを使用できます。
`detail`	オプション。リクエストしたドキュメントの詳細をリストします。デフォルトは、`false`です。

例

次の例では、トークン発行者信頼ドキュメントtokenissuertrustWLSbase_domainを削除します。

wls:/wls-domain/serverConfig> listWSMTokenIssuerTrustDocuments(detail='true')

3.10.9 revokeWSMTokenIssuerTrust

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

信頼できる発行者、関連付けられているDNおよびトークン属性ルールを削除します。除外リストで指定された発行者は削除されません。引数が渡されない場合、すべての信頼できる発行者と、関連付けられている構成が削除されます。

構文

revokeWSMTokenIssuerTrust(excludeIssuers=None)

引数	説明
`excludeIssuers`	信頼構成が削除されない発行者のオプション・リスト。

例

次の例に、revokeWSMTokenIssuerTrustコマンドを示します。

revokeWSMTokenIssuerTrust(excludeIssuers=['www.example.com','www.issuer.com'])

revokeWSMTokenIssuerTrust(['www.example.com','www.issuer.com'])

revokeWSMTokenIssuerTrust()

3.10.10 selectWSMTokenIssuerTrustDocument

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

セッション内で変更する、name引数で特定されるトークン発行者信頼ドキュメントを選択します。この名前は、ドキュメント内のname属性の値と一致する必要があります。

このコマンドを実行する前に、セッションを開始(beginWSMSession)する必要があります。現在のセッションがないか、既存の変更プロセスがすでに存在する場合は、エラーが表示されます。

デフォルトのトークン発行者信頼ドキュメントは変更できません。

構文

selectWSMTokenIssuerTrustDocument(name)

引数	説明
`name`	セッション内で変更するドキュメントの名前。名前が指定されない場合は、エラーがスローされます。

例

次の例では、tokenissuertrustWLSbase_domainドキュメントを変更のために選択します。

wls:/wls-domain/serverConfig> selectWSMTokenIssuerTrustDocument('tokenissuertrustWLSbase_domain')

3.10.11 setWSMTokenIssuerTrust

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

DNリストを持つ信頼できるトークン発行者を指定します。このコマンドは次のように動作します。

指定されたタイプに対して信頼できる発行者がすでに存在する場合、trustedKeys引数にDNリストまたは別名を指定すると、以前のリストが新しいリストに置換されます。trustedDNs引数に空集合([])を入力すると、発行者からDN値のリストが削除されます。
指定されたタイプに対して信頼できる発行者が存在しない場合、trustedKeys引数に値を指定すると、関連するDNリストで発行者が作成されます。trustedKeys引数を設定しない場合は、空のDNリストで新しい発行者が作成されます。

デフォルトのトークン発行者信頼ドキュメントは変更できません。

構文

setWSMTokenIssuerTrust(type, issuer, [trustedKeys]=None)

引数説明

引数	説明
`type`	発行者によって発行されたトークンのタイプおよび発行者による証明書の署名方法は、信頼できるキーで識別されます。次のタイプがサポートされています。 `dns.sv`—発行者のトークン・タイプはSAML SVで、信頼できるキー識別子のタイプはX509証明書DNです。 `dns.hok`—発行者のトークン・タイプはSAML HOKまたはBearerで、信頼できるキー識別子のタイプはX509証明書DNです。 `dns.jwt`—発行者のトークン・タイプはJWTで、信頼できるキー識別子のタイプはX509証明書DNです。 `dns.alias.sv`—発行者のトークン・タイプはSAML SVで、キー・ストア内の発行者署名証明書のX509証明書の別名は信頼できるキー識別子のタイプに使用されます。 `dns.alias.hok`—発行者のトークン・タイプはSAML HOKまたはBearerで、キー・ストア内の発行者署名証明書のX509証明書の別名は信頼できるキー識別子のタイプに使用されます。
`issuer`	信頼できる発行者の名前、たとえば、`www.example.com`です。
`trustedKeys`	オプション。指定された発行者に設定する信頼できるキー識別子値のリスト。

type

発行者によって発行されたトークンのタイプおよび発行者による証明書の署名方法は、信頼できるキーで識別されます。次のタイプがサポートされています。

dns.sv—発行者のトークン・タイプはSAML SVで、信頼できるキー識別子のタイプはX509証明書DNです。
dns.hok—発行者のトークン・タイプはSAML HOKまたはBearerで、信頼できるキー識別子のタイプはX509証明書DNです。
dns.jwt—発行者のトークン・タイプはJWTで、信頼できるキー識別子のタイプはX509証明書DNです。
dns.alias.sv—発行者のトークン・タイプはSAML SVで、キー・ストア内の発行者署名証明書のX509証明書の別名は信頼できるキー識別子のタイプに使用されます。
dns.alias.hok—発行者のトークン・タイプはSAML HOKまたはBearerで、キー・ストア内の発行者署名証明書のX509証明書の別名は信頼できるキー識別子のタイプに使用されます。

issuer

信頼できる発行者の名前、たとえば、www.example.comです。

trustedKeys

オプション。指定された発行者に設定する信頼できるキー識別子値のリスト。

例

次の例では、www.yourcompany.comを信頼できる発行者として設定し、DNリストは指定しません。

wls:/wls-domain/serverConfig> setWSMTokenIssuerTrust('dns.sv', 'www,yourcompany.com', [])

次の例では、名前'CN=orcladmin, OU=Doc, O=Oracle, C=US'を、信頼できる発行者www.example.comのDNリストdns.svに追加します。

wls:/wls-domain/serverConfig> setWSMTokenIssuerTrust('dns.sv', 'www.example.com', [['CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=US',  'CN=orcladmin, OU=Doc, O=Oracle, C=US'])

次の例では、DNリストdns.sv内のDN値のリストを、信頼できる発行者www.example.comから削除します。

wls:/wls-domain/serverConfig> setWSMTokenIssuerTrust('dns.sv', 'www.example.com', [])

次の例では、別名orakeyを、信頼できる発行者www.example.comのSAML SVトークン・タイプのX509証明書の別名として指定します。

wls:/wls-domain/serverConfig> setWSMTokenIssuerTrust('dn.alias.sv', 'www.example.com', ['orakey'])

3.10.12 setWSMTokenIssuerTrustAttributeFilter

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

指定されたトークン署名証明書DNのトークン属性ルールを、追加、削除または更新します。

ルールは2部構成で、名前IDと、署名証明書のDNがアサートできるユーザー属性の属性部分で構成されます。名前IDおよび属性には、複数の値パターンを持つフィルタを含めることができます。

このコマンドは次のように動作します。

attr-name引数で指定される属性がフィルタ値のリストとともにすでに存在する場合、filters引数で新しい値のリストを指定すると、以前のリストが新しいリストに置換されます。filters引数に空集合([])を入力すると、既存のフィルタ値のリストが削除されます。
attr-name引数で指定される属性が存在しない場合、filters引数で値のリストを指定すると、指定されたフィルタ値で属性が作成され、ドキュメントに追加されます。filters引数の値を指定しない場合は、エラーがスローされます。

注意:

まずsetWSMTokenIssuerTrustコマンドを使用して、発行者に対して信頼できるDN名のリストを構成する必要があります。

構文

setWSMTokenIssuerTrustAttributeFilter(dn, attr-name, filters)

引数説明

引数	説明
`dn`	トークン署名証明書のDN。
`attr-name`	アサートする属性の名前。次のように値を指定できます。 `name-id`: サブジェクト名IDをアサートします。
`filters`	オプション。属性のフィルタのリスト。リストは、['`value1`', '`value2`', '`value3`, `...`という書式です。各値には、厳密な名前またはワイルドカード文字「`*`」を使用した名前パターンを指定できます。 `attr-name`引数に対して`name-id`が選択されている場合、通過するためには、受信SAMLアサーションのサブジェクト名IDの値が指定されたいずれかの値と一致する必要があります。値が指定されていない場合、サブジェクト名IDの任意の値が使用されます。 `attr-name`引数に`user.tenent.name`を選択した場合、リクエスト・メッセージ内またはシステム環境のユーザー・テナント名の値が、アサートされた値に対して検証されます。

dn

トークン署名証明書のDN。

attr-name

アサートする属性の名前。次のように値を指定できます。

name-id: サブジェクト名IDをアサートします。

filters

オプション。属性のフィルタのリスト。リストは、['value1', 'value2', 'value3, ...という書式です。各値には、厳密な名前またはワイルドカード文字「*」を使用した名前パターンを指定できます。

attr-name引数に対してname-idが選択されている場合、通過するためには、受信SAMLアサーションのサブジェクト名IDの値が指定されたいずれかの値と一致する必要があります。値が指定されていない場合、サブジェクト名IDの任意の値が使用されます。

attr-name引数にuser.tenent.nameを選択した場合、リクエスト・メッセージ内またはシステム環境のユーザー・テナント名の値が、アサートされた値に対して検証されます。

例

次の例では、信頼できるDNweblogicに対する信頼できるユーザーとして、名前IDyourTrustedUserが設定されています。

wls:/wls-domain/serverConfig> setWSMTokenIssuerTrustAttributeFilter('CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=US','name-id', ['yourTrustedUser'])

次の例では、信頼できるDNweblogicに対する信頼できるユーザーのリストに、名前IDjdoeが追加されています。

wls:/wls-domain/serverConfig> setWSMTokenIssuerTrustAttributeFilter('CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=US','name-id', ['yourTrustedUser', 'jdoe'])

次の例では、信頼できるDNweblogicに対する信頼できるユーザーのリストが削除されています。

wls:/wls-domain/serverConfig> setWSMTokenIssuerTrustAttributeFilter('CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=US', 'name-id', [])

3.10.13 setWSMTokenIssuerTrustAttributeMapping

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

信頼できるトークン発行者の信頼できるDNリストのDNに対して、このコマンドは、attrName引数で指定された属性(たとえば、name-idなど)のマッピングを設定します。ユーザー属性引数はオプションで、対応するローカル・ユーザー属性を示します。ユーザー・マッピング属性もオプションで、ユーザーを認証するためにシステムで使用されるユーザー属性を示します。

構文

setWSMTokenIssuerTrustAttributeMapping(dn,attrName,userAttribute=None, userMappingAttribute=None)

引数	説明
`dn`	変更が行われるトークン属性ルールの識別子としてのDN。
`attrName`	マッピングが適用されるユーザー属性の名前。
`userAttribute`	属性の値に対応するローカル・ユーザー属性のオプションの名前。
`userMappingAttribute`	マップ先のローカル・ユーザー属性のオプションの名前。

例

次の例に、setWSMTokenIssuerTrustAttributeMappingコマンドを示します。

setWSMTokenIssuerTrustAttributeMapping('CN=weblogic, OU=Orakey, O=Oracle, C=US', 'name-id', 'mail', 'uid')

setWSMTokenIssuerTrustAttributeMapping('CN=weblogic, OU=Orakey, O=Oracle, C=US','name-id')

3.10.14 setWSMTokenIssuerTrustDisplayName

注意:

このコマンドは、Oracle Infrastructure Webサービスにのみ適用されます。

コマンド・カテゴリ: トークン発行者信頼構成

WLSTでの使用: オンライン

説明

セッションで現在選択されているトークン発行者信頼ドキュメントの表示名を設定またはリセットします。

構文

setWSMTokenIssuerTrustDisplayName("displayName")

引数	説明
`displayName`	セッション内で、変更のために現在選択されているドキュメントの表示名として設定される名前。

例

次の例では、変更される信頼ドキュメントの表示名をTest Documentに設定します。

wls:/wls-domain/serverConfig> setWSMTokenIssuerTrustDisplayName("Test Document")