15.11 フォームおよびレポートに対する中間レベル・セキュリティ

Oracle Reports 12cリリース(12.2.1.1)には、非セキュア・モードでOracle Forms Servicesから実行されるレポートに対して新しいセキュリティ対策が用意されています。

• Oracle Reportsでは連番ではなくランダムなジョブIDを生成できるため、特定のジョブのジョブIDを予測するのは不可能です。詳細は、第18.9.2項「ランダムで連続していないジョブIDの生成」を参照してください。

  12cリリース(12.2.1.1)より以前のOracle Reportsでは、連番のジョブIDが生成されていました。これによって、ジョブIDが簡単に予測できました。つまり、認可されていないユーザーや悪意のあるユーザーが、rwservletを介してGETJOBIDを使用することでジョブ出力を表示し、別のユーザーに属しているジョブ出力を取得することが可能でした。

• 今回のリリースでは、Webコマンド(rwservletキーワード)は次に示すように追加セキュリティにカテゴリ分けされています。

  • エンド・ユーザー用Webコマンド: GETJOBID、KILLJOBID、SHOWAUTH、SHOWJOBID

  • 管理者用Webコマンド: DELAUTH、GETSERVERINFO、KILLENGINE、PARSEQUERY、SHOWENV、SHOWJOBS、SHOWMAP、SHOWMYJOBS。管理者用コマンドを実行するにはAUTHIDが必要です。

  • L0: Webコマンドは許可されません。

  • L1: エンド・ユーザー用Webコマンド(GETJOBID、KILLJOBID、SHOWAUTH、SHOWJOBID)のみ許可されます。

  • L2: 管理者用Webコマンド(DELAUTH、GETSERVERINFO、KILLENGINE、PARSEQUERY、SHOWENV、SHOWJOBS、SHOWMAP、SHOWMYJOBS)も許可されます。管理者コマンドを実行するにはAUTHIDが必要です。

  • NO (10gのrwservlet.propertiesのDIAGNOSTIC=NOとの下位互換性を維持するための設定)。Webコマンドは許可されません。

  • YES (10gのrwservlet.propertiesのDIAGNOSTIC=YESとの下位互換性を維持するための設定)。管理者用Webコマンド(DELAUTH、GETSERVERINFO、KILLENGINE、PARSEQUERY、SHOWENV、SHOWJOBS、SHOWMAP、SHOWMYJOBS)も許可されます。管理者コマンドを実行するにはAUTHIDが必要です。

    
    

    注意: L2 Webコマンド・アクセスの場合は、authidを渡す必要はありません。authidパラメータは、webcommandaccessの値に関係なくSTOPSERVERコマンドにのみ必要です。

    
    

  管理者は、エンド・ユーザー用Webコマンドと管理者用Webコマンドの両方を実行できます。セキュアでないReports Serverの場合、管理者のユーザーIDとパスワードを、Reports Server構成ファイルのidentifier要素に設定できます。

  Oracle Reports Servlet (rwservlet)構成ファイル(rwservlet.properties)の新しいwebcommandaccessパラメータには、既存のrwservletキーワード(Webコマンド)に対するアクセス・レベルが定義されています。第6.3.4項「Webコマンドのセキュリティ・ポリシーの定義」で説明されているように、Oracle Enterprise Managerを使用してこれらの値を設定できます。