Oracle® Fusion Middleware

Oracle Web Services ManagerによるWebサービスの保護とポリシーの管理

12c (12.2.1.2)

E82680-02(原本部品番号:E78140-02)

2016年12月

開発者および管理者を対象としており、Oracle Web Services Manager (OWSM)ポリシー・フレームワークの各機能および基本的なセキュリティの概念について紹介します。

Oracle Fusion Middleware Oracle Web Services ManagerによるWebサービスの保護とポリシーの管理, 12c (12.2.1.2)

E82680-02

Copyright © 2013, 2016, Oracle and/or its affiliates. All rights reserved.

原本著者: Showvik Roychowdhuri

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。適用されるお客様とOracle Corporationとの間の契約に別段の定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。適用されるお客様とOracle Corporationとの間の契約に定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

目次

図一覧

表一覧

タイトルおよび著作権情報

はじめに

- 対象読者

- このマニュアルの使用方法

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

このガイドで説明する新機能

- リリース12c (12.2.1.2)の新機能と変更された機能

- リリース12c (12.2.1.1)の新機能と変更された機能

- リリース12c (12.2.1)の新機能と変更された機能

- リリース12c (12.1.3)の新機能と変更された機能

- リリース12c (12.1.3)でのこのドキュメントにおけるその他の重要な変更

- リリース12c (12.1.2)の新機能と変更された機能

- リリース12c (12.1.2)でのこのドキュメントにおけるその他の重要な変更

第I部 Oracle Web Servicesの概要

1Oracle Web Servicesのセキュリティおよびポリシーの管理の概要

- 1.1 Webサービス・セキュリティとポリシー管理

- 1.2 OWSMを使用して保護できるOracle Webサービスのカテゴリ

2 Oracle WebLogic ServerでのOracle Web Services Managerの使用

- 2.1 WebLogic ServerへのOracle Web Services Managerのインストール

- 2.2 ドメイン全体の管理ポートでのOWSMの構成

- 2.2.1 WebLogic管理コンソールを使用して管理サーバーをポリシー・マネージャのターゲットとして設定する

- 2.2.2 Fusion Middleware Controlを使用した管理サーバー上のポリシー・マネージャのポリシー・アクセッサURLの指定

- 2.3 ポリシー・マネージャの自動検出のためのクロス・コンポーネント・ワイヤリング

- 2.4 サービス表エントリとエージェント・バインディングの確認について

- 2.4.1 Fusion Middleware Controlを使用したサービス表エントリとコンポーネントの確認

- 2.4.2 Fusion Middleware Controlを使用したエージェント・バインディングの確認

- 2.5 デフォルト・ユーザーの変更について

- 2.5.1 認証プロバイダの構成

- 2.5.2 資格証明ストア・プロバイダの構成

- 2.5.3 ドメインのポリシー・マネージャCSFキーの構成

- 2.5.4 ユーザーのグループまたはロールの変更

- 2.5.5 ユーザーに必要なロールがあるかどうかの判別

- 2.5.6 OPSSスクリプトを使用してアプリケーション・ロールを管理する例

3 Webサービスに使用する事前定義済ポリシーの決定

- 3.1 Webサービスのセキュリティ・ポリシーに関する質問

- 3.1.1 Webサービスの適切な認証ポリシーの選択

- 3.1.2 Webサービスの適切な機密保護および整合性ポリシーの選択

- 3.2 Webサービスの事前定義済セキュリティ・ポリシーのサマリー

- 3.2.1 認証のみのポリシー

- 3.2.2 メッセージ保護のみのポリシー

- 3.2.3 メッセージ保護および認証ポリシー

- 3.2.4 認可ポリシー

- 3.2.5 WS-Trustポリシー

- 3.2.6 MTOMアタッチメント・ポリシー

- 3.2.7 信頼できるメッセージング・ポリシー

- 3.2.8 動作無効ポリシー

- 3.3 Java EE WebサービスおよびクライアントでサポートされるOWSMポリシー

- 3.4 RESTful WebサービスおよびクライアントでサポートされるOWSMポリシー

- 3.5 SOAP Over JMSトランスポートを使用するWebサービスおよびクライアントでサポートされるOWSMポリシー

- 3.6 SOAコンポジット・サービスおよびクライアントでサポートされるOWSMポリシー

- 3.7 SSLの構成が必要なOWSMポリシー

- 3.7.1 SSLの構成が必要なポリシーのリスト

- 3.7.2 SSLを必要とするポリシーを作成するためのテンプレートのリスト

- 3.7.3 双方向SSLの構成が必要なポリシーのリスト

- 3.7.4 双方向SSLを必要とするポリシーを作成するためのテンプレートのリスト

- 3.8 アイデンティティ・コンテキストでサポートされるOWSMポリシー

- 3.9 WS-SecureConversationでサポートされるOWSMポリシー

- 3.10 JCAアダプタでサポートされるOWSMポリシー

- 3.11 OES統合でサポートされるOWSMポリシー

- 3.12 PIIでサポートされるOWSMポリシー

- 3.13 Oracle Service BusでサポートされるOWSMポリシー

第II部 ポリシーのアタッチと管理

4 Webサービスを管理および保護するためのポリシーのアタッチ

- 4.1 ポリシー・アタッチメントの概要

- 4.2 設計時におけるWebサービスおよびクライアントへのポリシーのアタッチの理解

- 4.2.1 設計時におけるJava EE Webサービスおよびクライアントへのポリシーのアタッチについて

- 4.2.1.1 注釈を使用したJava EE Webサービスおよびクライアントへのポリシーのアタッチ

- 4.2.1.2 機能クラスを使用したJava EE Webサービス・クライアントへのポリシーのアタッチ

- 4.2.1.3 JDeveloperを使用したJava EE Webサービスおよびクライアントへのポリシーのアタッチ

- 4.2.2 設計時におけるRESTful Webサービスおよびクライアントへのポリシーのアタッチについて

- 4.2.2.1 注釈を使用したRESTful Webサービスへのポリシーのアタッチ

- 4.2.2.2 機能クラスを使用したRESTful Webサービス・クライアントへのポリシーのアタッチ

- 4.2.2.3 JDeveloperを使用したRESTful Webサービスおよびクライアントへのポリシーのアタッチ

- 4.2.3 設計時におけるOracle Infrastructure Webサービスおよびクライアントへのポリシーのアタッチについて

- 4.2.3.1 注釈を使用したOracle Infrastructure Webサービスへのポリシーのアタッチ

- 4.2.3.2 機能クラスを使用したOracle Infrastructure Webサービス・クライアントへのポリシーのアタッチ

- 4.2.3.3 Oracle JDeveloperを使用したOracle Infrastructure Webサービスへのポリシーのアタッチ

- 4.3 Fusion Middleware Controlを使用したWebサービスおよびクライアントへのポリシーのアタッチについて

- 4.3.1 Fusion Middleware Controlを使用したポリシーを直接アタッチする

- 4.3.1.1 Fusion Middleware Controlを使用した単一サブジェクトへのポリシーを直接アタッチする

- 4.3.1.2 Fusion Middleware Controlを使用したWebサービス・クライアントへのポリシーを直接アタッチする

- 4.3.1.2.1 Fusion Middleware Controlを使用したSOA参照へのポリシーのアタッチ

- 4.3.1.2.2 Fusion Middleware Controlを使用した接続ベースのWebサービス・クライアントへのポリシーのアタッチ

- 4.3.1.2.3 Fusion Middleware Controlを使用した非同期Webサービス・コールバック・クライアントへのポリシーのアタッチ

- 4.3.1.2.4 Fusion Middleware Controlを使用したJava EE Webサービス・クライアントへのポリシーのアタッチ

- 4.3.1.3 Fusion Middleware Controlを使用した直接アタッチされたポリシーの有効化または無効化

- 4.3.1.4 Fusion Middleware Controlを使用した直接アタッチされたポリシーのデタッチ

- 4.3.2 Fusion Middleware Controlを使用したポリシーのグローバルなアタッチについて

- 4.3.2.1 Fusion Middleware Controlを使用した「WSMポリシー・セット・サマリー」ページへの移動

- 4.3.2.2 Fusion Middleware Controlを使用したポリシー・セットの構成の表示

- 4.3.2.3 Fusion Middleware Controlを使用したポリシー・セットの作成

- 4.3.2.4 Fusion Middleware Controlを使用したポリシー・セットのクローニング

- 4.3.2.5 Fusion Middleware Controlを使用したポリシー・セットの編集

- 4.3.2.6 Fusion Middleware Controlを使用したポリシー・セットでの実行時制約の指定

- 4.3.2.7 Fusion Middleware Controlを使用したポリシー・セットの有効化および無効化

- 4.3.2.8 Fusion Middleware Controlを使用したポリシー・セットの削除

- 4.3.3 Fusion Middleware Controlを使用したWebサービスにアタッチされたポリシーの表示

- 4.3.4 ポリシー・アタッチメントの検証

- 4.3.5 ポリシー・セットの検証について

- 4.4 WLSTを使用したWebサービスおよびクライアントへのポリシーのアタッチについて

- 4.4.1 WLSTを使用した使用可能なポリシーの表示

- 4.4.2 WLSTを使用したJava EE Webサービスおよびクライアントへのポリシーの直接アタッチについて

- 4.4.2.1 Java EE Webサービスにアタッチされたポリシーの表示

- 4.4.2.2 Java EE Webサービス・クライアントにアタッチされたポリシーの表示

- 4.4.2.3 WLSTを使用したJava EE Webサービスへのポリシーを直接アタッチする

- 4.4.2.4 WLSTを使用したJava EE Webサービス・クライアントへのポリシーを直接アタッチする

- 4.4.2.5 WLSTを使用したJava EE Webサービスおよびクライアントから直接アタッチされたポリシーのデタッチ

- 4.4.2.5.1 WLSTを使用したJava EE Webサービスから直接アタッチされたポリシーのデタッチ

- 4.4.2.5.2 WLSTを使用したJava EE Webサービス・クライアントから直接アタッチされたポリシーのデタッチ

- 4.4.2.6 WLSTを使用したWebサービス・クライアント・ポリシーの有効化と無効化

- 4.4.3 WLSTを使用してRESTfulおよびOracle Infrastructure Webサービスおよびクライアントにポリシーを直接アタッチする

- 4.4.3.1 WLSTを使用したポリシー・サブジェクトの識別と選択

- 4.4.3.2 WLSTを使用したポリシーを直接アタッチする

- 4.4.3.3 WLSTを使用した直接アタッチされたポリシーの有効化と無効化

- 4.4.3.4 WLSTを使用した直接アタッチされたポリシーのデタッチについて

- 4.4.3.4.1 サービス・エンドポイントからのポリシーのデタッチ

- 4.4.3.4.2 クライアント・エンドポイントからのポリシーのデタッチ

- 4.4.4 WLSTを使用したポリシーのグローバルなアタッチについて

- 4.4.4.1 ポリシー・セットのリストの表示

- 4.4.4.2 ポリシー・セットの構成の表示

- 4.4.4.3 WLSTを使用したセッションの管理

- 4.4.4.4 WLSTを使用した新しいポリシー・セットの作成

- 4.4.4.5 WLSTを使用したポリシー・セットのクローニング

- 4.4.4.6 ポリシー・セットの編集

- 4.4.4.7 ポリシー・セットの検証

- 4.4.4.8 ポリシー・セットの有効化および無効化

- 4.4.4.9 WLSTを使用したポリシー・セットの削除

- 4.4.4.10 WLSTを使用したポリシー・セットの実行時制約の指定

- 4.4.5 WLSTを使用したWebサービスにアタッチされたポリシーの表示

- 4.4.6 WLSTを使用した有効なポリシー・セットの表示

- 4.5 サーブレット・アプリケーションへのポリシーのアタッチについて

- 4.5.1 サーブレット・アプリケーションへのポリシーを直接アタッチする

- 4.5.2 サーブレット・アプリケーションへのポリシーをグローバルにアタッチする

- 4.6 ポリシー・セットの実行時制約

- 4.7 グローバルにアタッチされたポリシーのリソースのタイプとスコープの定義について

- 4.7.1 リソース・タイプの定義

- 4.7.2 リソース・タイプの定義

- 4.7.3 Webサービスのネームスペースの決定

- 4.7.4 各種のリソース・タイプおよびスコープを使用したポリシー・セットの作成の例

- 4.8 グローバル・ポリシー・アタッチメントへのダイレクト・ポリシー・アタッチメントの移行

- 4.9 グローバルにアタッチされたポリシーの無効化

- 4.10 ポリシー・アタッチメントの優先度の指定

- 4.11 Fusion Middleware Controlを使用したエンドポイント構成プロパティの管理

- 4.12 エンドポイントのセキュア・ステータスの決定

- 4.13 ポリシーの有効セットの計算方法

- 4.14 ポリシー・アタッチメントのソースの決定

5 ポリシー構成プロパティのオーバーライド

- 5.1 ポリシー構成のオーバーライドの概要

- 5.2 事前定義済構成プロパティのスコープ

- 5.3 設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて

- 5.3.1 Java EE Webサービス

- 5.3.2 RESTful Webサービス

- 5.3.3 Oracle Infrastructure Web Servicesの理解

- 5.3.3.1 設計時にオーバーライド可能なクライアント・ポリシー構成プロパティ

- 5.3.3.2 RequestContextを使用してクライアント・ポリシー構成プロパティのキーストア、ユーザー名およびパスワードをオーバーライドする例

- 5.3.3.3 RESTful Webサービスのクライアント・ポリシー構成プロパティのユーザー名およびパスワードをオーバーライドする例

- 5.4 Fusion Middleware Controlを使用したポリシー構成プロパティのオーバーライドについて

- 5.4.1 ドメイン・レベルでの構成プロパティのオーバーライド(デフォルト値の定義)

- 5.4.2 Fusion Middleware Controlを使用した直接アタッチされたサービス・ポリシーの構成プロパティのオーバーライド

- 5.4.3 Fusion Middleware Controlを使用したWebサービス・クライアント・アプリケーション・レベルでの構成プロパティのオーバーライド

- 5.4.4 Fusion Middleware Controlを使用したグローバルにアタッチされたポリシーの構成プロパティのオーバーライド

- 5.5 WLSTを使用したポリシー構成プロパティのオーバーライドについて

- 5.5.1 WLSTを使用した直接アタッチされたサービス・ポリシーの構成プロパティのオーバーライド

- 5.5.2 WLSTを使用したWebサービス・クライアント・アプリケーションでの構成プロパティのオーバーライド

- 5.5.3 WLSTを使用したグローバルにアタッチされたポリシーの構成プロパティのオーバーライド

- 5.6 Fusion Middleware Controlを使用したWebサービスおよびクライアントのポリシーのユーザー定義プロパティの構成について

- 5.6.1 ユーザー定義の構成プロパティのスコープ

- 5.6.2 ユーザー定義の構成プロパティの追加

- 5.6.3 ユーザー定義の構成プロパティの編集

- 5.6.4 ユーザー定義の構成プロパティの削除

- 5.6.5 ユーザー定義の構成プロパティのオーバーライド

6 Fusion Middleware ControlによるWebサービス・ポリシーの管理

- 6.1 Webサービス・ポリシー管理の概要

- 6.2 Webサービス・ポリシーの管理

- 6.2.1 「WSMポリシー」ページへの移動

- 6.2.2 「WSMポリシー」ページでのポリシーの検索

- 6.2.2.1 拡張検索の使用

- 6.2.2.2 例による問合せフィルタの使用

- 6.2.3 Webサービス・ポリシーの詳細の表示

- 6.2.4 Webサービス・ポリシーの作成および編集

- 6.2.4.1 新しいWebサービス・ポリシーの作成

- 6.2.4.2 Webサービス・ポリシーのクローンの作成

- 6.2.4.3 カスタム・ポリシーの作成

- 6.2.4.4 Webサービス・ポリシーの編集

- 6.2.5 OWSMポリシーでのローカルの最適化の使用(SOAコンポジット)

- 6.2.5.1 OWSMポリシーでのデフォルトのローカル最適化設定の表示

- 6.2.5.2 ローカルの最適化を使用する場合のコントロール

- 6.2.6 WSDLからのクライアント・ポリシーの生成

- 6.2.7 ポリシーへのアサーションの追加

- 6.2.8 ポリシーへのORグループの追加

- 6.2.9 Webサービス・ポリシーのインポート

- 6.2.10 Webサービス・ポリシーのエクスポート

- 6.2.11 Webサービス・ポリシーのバージョニング

- 6.2.11.1 Webサービス・ポリシーのバージョン履歴の表示

- 6.2.11.2 ポリシーの現行バージョンの変更

- 6.2.11.3 Webサービス・ポリシーのバージョンの削除

- 6.2.11.4 ポリシーのバージョンのエクスポート

- 6.2.12 Webサービス・ポリシーの削除

- 6.3 Webサービス・ポリシーの検証

- 6.4 ポリシー・アサーション・テンプレートの管理

- 6.4.1 「アサーション・テンプレート」ページへの移動について

- 6.4.2 「アサーション・テンプレート」ページの検索オプションの理解

- 6.4.2.1 拡張検索を使用したアサーション・テンプレートの検索

- 6.4.2.2 例による問合せフィルタを使用したアサーション・テンプレートの検索

- 6.4.3 アサーション・テンプレートの詳細の表示

- 6.4.4 アサーション・テンプレートの命名規則

- 6.4.5 アサーション・テンプレートのクローンの作成

- 6.4.6 アサーション・テンプレートの編集

- 6.4.7 アサーション・テンプレートの構成プロパティの編集

- 6.4.8 アサーション・テンプレートのエクスポート

- 6.4.9 アサーション・テンプレートのインポート

- 6.4.10 アサーション・テンプレートの削除

- 6.5 ポリシーとアサーションの管理

- 6.5.1 全ポリシー・サブジェクトのポリシーの有効化または無効化

- 6.5.2 ポリシー内のアサーションの有効化または無効化

- 6.6 ポリシーの使用状況分析

- 6.7 ポリシー・アサーションの通知について

- 6.8 WS-PolicyおよびWS-SecurityPolicyのバージョンの通知について

第III部 Webサービスの保護

7 Webサービスのメッセージ保護の構成

- 7.1 Webサービスのメッセージ保護の構成の概要

- 7.2 メッセージ保護に関するキーストアの構成の概要

- 7.2.1 メッセージ保護に関するOPSSキーストア・サービスの理解

- 7.2.1.1 OPSSキーストア・サービスを使用したメッセージ保護の構成

- 7.2.1.2 JKSキーストアからKSSキーストアへの移行

- 7.2.1.3 証明書のKSSキーストアへのインポート

- 7.2.1.4 keystore.sig.csf.keyおよびkeystore.enc.csf.key属性のオーバーライド

- 7.2.1.5 期限切れになった証明書または鍵の更新または再生成

- 7.2.2 メッセージ保護に関するJavaキーストアの理解

- 7.2.2.1 秘密鍵の生成およびJavaキーストアの作成

- 7.2.2.2 信頼できる証明書の入手と、キーストアへのインポート

- 7.2.2.3 OWSMキーストアの構成

- 7.2.3 資格証明ストアを構成するための鍵およびユーザー資格証明の追加

- 7.2.3.1 Fusion Middleware Controlを使用した資格証明ストアへの鍵およびユーザー資格証明の追加

- 7.2.3.2 WLSTを使用した資格証明ストアへの鍵およびユーザー資格証明の追加

- 7.3 アプリケーション・レベルの資格証明マップの作成について

- 7.3.1 アプリケーション・レベルの資格証明マップからCSFキーを取得する方法

- 7.3.2 アプリケーション・レベルの資格証明マップにアクセスする権限について

- 7.3.2.1 csf.mapプロパティのオーバーライドの構成

- 7.3.2.2 wsm-agent-core.jarへのCredentialAccessPermissionの付与について

- 7.3.2.2.1 Oracle Enterprise Managerを使用したCredentialAccessPermissionの付与

- 7.3.2.2.2 WLSTを使用したCredentialAccessPermissionの付与

- 7.3.2.3 wsm-agent-core.jarへのWSIdentityPermissionの付与について

- 7.3.2.3.1 Oracle Enterprise Managerを使用したWSIdentityPermissionの付与

- 7.3.2.3.2 WLSTを使用したWSIdentityPermissionの付与

- 7.3.2.4 system-jazn-data.xmlでのアプリケーション・レベルの権限の付与の例

- 7.3.3 アプリケーション・レベルのCSFマップへのアクセスに使用できるポリシー

- 7.4 サービス・アイデンティティ証明拡張の理解

- 7.4.1 クライアントからのサービス・アイデンティティ証明拡張の無視

- 7.4.2 クライアントからのホスト名検証の無視

- 7.5 Oracle CoherenceでのNonceのキャッシュ

- 7.5.1 管理対象Coherenceサーバーがない場合のNonceのキャッシュ

- 7.5.1.1 管理対象Coherenceサーバーがない場合のCoherenceクラスタ・トポロジの理解

- 7.5.1.2 Fusion Middleware構成ウィザードを使用した標準トポロジの構成

- 7.5.2 記憶域無効WebLogic Serverおよび記憶域有効管理対象CoherenceサーバーのNonceのキャッシュ

- 7.5.2.1 ストレージ無効WebLogicサーバーおよびストレージ有効管理対象CoherenceサーバーのCoherenceクラスタ・トポロジの理解

- 7.5.2.2 Fusion Middlewareの構成ウィザードを使用したクラスタ・トポロジの構成

- 7.6 Fusion Middleware Controlを使用した部分的な暗号化の構成について

- 7.6.1 Fusion Middleware Controlを使用した部分的な暗号化の構成

- 7.6.2 SwAアタッチメントの保護

8 個人情報の保護

- 8.1 PII情報の保護の主な手順

- 8.1.1 保護するPIIデータを決定するために従うアプローチ

- 8.1.2 PIIデータを保護するためのXPath式の作成

- 8.1.3 PII暗号化鍵の構成

- 8.1.4 pii_security_policyポリシーのアタッチ

- 8.1.5 SOAコンポジットへのpii_security_policyのアタッチ

- 8.1.6 Oracle Service Busへのpii_security_policyのアタッチ

- 8.1.7 JCAバインディングへのpii_security_policyのアタッチ

- 8.2 WLSTを使用したpii_security_policy属性のオーバーライド

- 8.3 APIを使用したPIIの復号化

9 トランスポート・レベル・セキュリティの構成(SSL)

- 9.1 SSLに関するキーストアの構成について

- 9.1.1 WebLogic ServerでのKSSキーストアの構成の理解

- 9.1.1.1 デモ・アイデンティティとデモ信頼に関するOPSSキーストア・サービスの構成

- 9.1.1.2 デモ・アイデンティティとデモ信頼に関するOPSSキーストア・サービスの再作成

- 9.1.1.3 カスタム・アイデンティティおよび信頼に関するOPSSキーストア・サービスの構成

- 9.1.2 WebLogic ServerへのJKSキーストアの構成

- 9.1.3 クラスタ上のJKSキーストア・ファイルの同期の構成

- 9.2 WebLogic Serverへの一方向SSLの構成

- 9.3 WebLogic Serverへの双方向SSLの構成

- 9.4 Webサービス・クライアントへの一方向SSLの構成

- 9.5 Webサービス・クライアントに関する双方向SSLの構成

- 9.6 Oracle HTTP ServerでのSSL構成の理解

- 9.6.1 Oracle HTTP Serverの一方向SSLの構成

- 9.6.2 Oracle HTTP Serverの双方向SSLの構成

10 Oracle Web Services Managerを使用した認可の構成

- 10.1 認可の概要

- 10.2 保護するリソースの決定

- 10.3 認可権限の決定

- 10.4 OPSSリソース名の決定

- 10.5 Oracle Entitlements Serverを使用したファイングレイン認可の構成について

- 10.5.1 OES統合構成の前提条件

- 10.5.2 責任の属性の理解

- 10.5.3 ファイングレイン認可のためのOESポリシーの構成について

- 10.5.3.1 マスキングのためのOESリソースの構成

- 10.5.3.2 責任を返す認可ポリシーの作成

- 10.5.3.3 大まかな認可のための実際のOES認可ポリシーの作成

- 10.5.4 大まかな認可のためのOESポリシーの構成について

- 10.5.4.1 大まかな認可のためのOESリソースの構成

- 10.5.4.2 ファイングレイン認可のための実際のOES認可ポリシーの作成

- 10.5.5 マスキングのためのOESポリシーの構成について

- 10.5.5.1 OESリソースの構成

- 10.5.5.2 責任を返すマスキング・ポリシーの作成

- 10.5.5.3 実際のOESマスキング・ポリシーの作成

- 10.5.6 OWSM OESポリシーをアタッチする方法の理解

- 10.5.6.1 OWSM OESポリシーのアタッチ

- 10.5.6.2 構成のプロパティおよびオーバーライド

- 10.6 リクエスト元を指定するためのOracle HTTP Serverの構成

- 10.7 Oracle Web Services ManagerでのOAuth2の使用

- 10.7.1 Oracle Web Services ManagerでのOAuth2について

- 10.7.1.1 2-legged OAuth2の理解

- 10.7.1.2 2-Legged認可でサポートされる認可付与タイプ

- 10.7.1.3 2-Legged認可でのクライアント資格証明の決定方法

- 10.7.1.4 2-Legged認可でのユーザー資格証明、クライアント資格証明およびサブジェクトの関係

- 10.7.2 Oracle Web Services Managerのポリシーと使用するためのOAuth2の構成

11 Oracle Web Services Managerを使用した認証の構成

- 11.1 認証の構成の概要

- 11.2 WebLogic Serverでサポートされる認証プロバイダ

- 11.3 ダイジェスト認証の構成について

- 11.3.1 ダイジェスト認証の構成の前提条件

- 11.3.2 デフォルト・オーセンティケータおよびアイデンティティ・アサータの構成

- 11.3.3 ポリシーのアタッチとダイジェスト認証の有効化

- 11.4 SAMLの構成について

- 11.4.1 SAMLトークン検証のフローの概要

- 11.4.1.1 SAMLアサーションの検証

- 11.4.1.2 SAMLトークン検証のユースケース

- 11.4.2 設計時のSAML Webサービス・クライアントの構成

- 11.4.3 アサーションへのユーザー属性の組込み

- 11.4.4 アサーションへのユーザー・ロールの組込み

- 11.4.5 SAMLポリシーに関するOracle Platform Security Services (OPSS)の構成の理解

- 11.4.6 別のSAMLアサーション発行者名の追加

- 11.4.7 アイデンティティ切替えのためのSAML Webサービス・クライアントの構成について

- 11.4.7.1 アイデンティティ切替えのユースケース・シナリオの理解

- 11.4.7.2 javax.xml.ws.security.auth.usernameプロパティの設定

- 11.4.7.3 WSIdentityPermissionを使用した権限の設定

- 11.4.8 SAML署名証明書の信頼できる発行者および信頼できる識別名リストの理解

- 11.4.9 SAMLポリシーによる匿名ユーザーの使用方法の理解

- 11.5 OWSMによるアイデンティティ・コンテキストの伝播について

- 11.5.1 アイデンティティ・コンテキストの概要

- 11.5.2 SAMLポリシーを使用したアイデンティティ・コンテキストの伝播

- 11.5.3 アイデンティティ・コンテキストの伝播の構成: メイン手順

- 11.6 Kerberosトークンの構成の理解

- 11.6.1 MIT Kerberosについて

- 11.6.1.1 MIT Kerberos KDCの初期化および起動

- 11.6.1.2 プリンシパルの作成

- 11.6.1.3 正しいKDCを使用するためのWebサービス・クライアントの構成

- 11.6.2 Microsoft Active Directoryとキー配布センターの併用について

- 11.6.2.1 Webサービス・クライアントのセットアップ・タスク

- 11.6.2.1.1 ユーザー・アカウントの作成

- 11.6.2.1.2 サービス・プリンシパル名の設定

- 11.6.2.1.3 Keytabファイルの作成

- 11.6.2.2 Webサービスの設定

- 11.6.3 Webサービス・クライアントでのサービス・プリンシパル名の設定

- 11.6.4 正しいKDCを使用するためのWebサービスの構成

- 11.6.5 Enterprise Managerでの正しいkeytabファイルの使用について

- 11.6.5.1 Keytabファイルの抽出

- 11.6.5.2 keytabファイルのエクスポート

- 11.6.5.3 keytabファイルを使用するためのkrb5ログイン・モジュールの変更

- 11.6.6 サービス・プリンシパルに対応するユーザーの認証

- 11.6.7 Webサービス・クライアントのチケット・キャッシュの作成

- 11.6.8 SSLを介したKerberosの構成

- 11.6.9 SPNEGOネゴシエーションによるKerberos構成

- 11.6.10 資格証明委任の構成について

- 11.6.10.1 Kerberosの資格証明委任の構成

- 11.6.10.2 OWSMへの委任権限の構成

- 11.6.10.3 クライアント・ポリシーおよびサービス・ポリシーでの資格証明委任の有効化

- 11.6.10.4 Active Directoryのサービス用の資格証明委任の構成

- 11.6.10.5 資格証明委任の構成の例

- 11.7 WS-Trustの構成について

- 11.7.1 WebサービスWS-Trustの概要

- 11.7.1.1STS構成を取得するためのメカニズムの理解

- 11.7.1.2 交換されるトークン・タイプの理解

- 11.7.2 サポートされるSTSサーバー

- 11.7.3 トークンの存続期間およびトークンのキャッシュの理解

- 11.7.4 STSの自動ポリシー構成の設定

- 11.7.4.1 自動ポリシー構成の要件の理解

- 11.7.4.2 自動ポリシー構成の設定の主な手順

- 11.7.4.2.1 自動ポリシー構成のためのポリシーの構成

- 11.7.4.2.2 自動ポリシー構成のためのWebサービス・クライアントの構成

- 11.7.4.2.3 自動ポリシー構成のためのWebサービスの構成

- 11.7.4.3 Webサービス・クライアントからのSTS構成ポリシーの手動による構成: メイン手順

- 11.7.5 Web Services Federationの構成について

- 11.7.5.1 Web Services FederationのWebサービスの構成

- 11.7.5.2 Web Services FederationのWebクライアントの構成について

- 11.7.5.2.1 発行者がサービスWSDL内に存在し、RP-STS WSDL内に存在しない場合のWebクライアントの構成

- 11.7.5.2.2 発行者がサービスWSDL内に存在せず、RP-STS WSDL内にも存在しない場合のWebクライアントの構成

- 11.7.5.2.3 発行者がサービスWSDL内に存在し、RP-STS WSDL内にも存在する場合のWebクライアントの構成

- 11.7.5.2.4 発行者がサービスWSDL内に存在せず、RP-STS WSDL内に存在する場合のWebクライアントの構成

- 11.7.5.3 Web Services FederationのSTSの構成

- 11.7.6 発行済トークンとしてのSAML鍵所有者およびSAMLベアラーの概要

- 11.7.6.1 SAML HOKのみの証明鍵の決定

- 11.7.6.1.1 対称証明鍵について

- 11.7.6.1.2 非対称証明鍵について

- 11.7.7 発行済トークンとしてのSAML送信者保証の理解

- 11.7.8 On Behalf Ofユースケースの概要

- 11.7.9 WS-Trustクライアント・ポリシーのプログラムによるポリシー構成オーバーライド

12 Oracle Web Services Managerを使用したセキュア通信の構成

- 12.1 Webサービス・セキュア通信の言語仕様の概要

- 12.2 セキュア通信の構成について

- 12.2.1 Fusion Middleware Controlを使用したセキュア通信の構成

- 12.2.2 WLSTを使用したセキュア通信の構成

- 12.3 設計時のセキュア通信ポリシーのアタッチ

- 12.4 永続性の構成について

- 12.4.1 永続性の概要

- 12.4.2 Webサービスの永続性の構成

- 12.4.3 クライアントの永続性の構成

- 12.5 セキュア通信セッションの理解

13 ハードウェアとOracle Web Services Managerの統合

- 13.1 OWSMでのハードウェア・セキュリティ・モジュールの使用

- 13.1.1 鍵保存のためのSafeNet Luna SAおよびOWSMの理解

- 13.1.2 Luna SA HSMクライアントのインストールおよび構成について

- 13.1.3 OWSMが使用するJREの構成

- 13.1.4 Luna SAへのログオン

- 13.1.5 Luna SAへの鍵および証明書のコピー

- 13.1.6 Luna SAを使用するためのOWSMの構成について

- 13.2 Oracle SPARC T5およびOracle SPARC T4暗号化アクセラレーションのためのOWSMの構成について

- 13.2.1 理解しておく必要がある用語

- 13.2.2 Oracle SPARC T5およびSPARC T4ハードウェア支援暗号化アクセラレーションの概要

- 13.2.3 暗号化アクセラレーションのためのトランスポート・レベル・セキュリティの構成

- 13.2.4 暗号化アクセラレーションのためのメッセージ・レベル・セキュリティの構成

- 13.2.5 暗号化アクセラレーションのための追加資料

第IV部 Oracle Web Services Managerの管理およびトラブルシューティング

14 Oracle Web Services Managerのドメイン構成の管理

- 14.1 OWSMのドメイン構成の概要

- 14.2 「WSMドメイン構成」ページへの移動

- 14.3 Fusion Middleware Controlを使用した一般的なOWSMドメイン構成の表示

- 14.4 Fusion Middleware Controlを使用したドメイン・レベルの認証の構成

- 14.4.1 Fusion Middleware Controlを使用した信頼できるSAML発行者およびDNリスト

- 14.4.1.1 信頼できるSAML発行者およびDNリストの概要

- 14.4.1.2 Fusion Middleware Controlを使用したSAML発行者の追加および信頼できるDNリストの定義

- 14.4.1.3 Fusion Middleware Controlを使用した信頼できる発行者、DNまたはDNリストの削除

- 14.4.2 Fusion Middleware Controlを使用した信頼できるJWT発行者およびDNリストの構成

- 14.4.2.1 信頼できるJWT発行者およびDNリストについて

- 14.4.2.2 Fusion Middleware Controlを使用したJWT発行者の追加および信頼できるDNリストの定義

- 14.4.3 Fusion Middleware Controlを使用した信頼できる発行者のトークン属性ルールの構成

- 14.4.4 Fusion Middleware Controlを使用した発行済トークンの存続期間の構成

- 14.4.5 Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成

- 14.4.6 Kerberosログイン・モジュールの構成

- 14.4.7 Fusion Middleware Controlを使用したサブジェクト・プロパティの構成

- 14.4.8 Fusion Middleware Controlを使用したX509ログイン・モジュールの構成

- 14.4.9 カスタム・ログイン・モジュールの作成

- 14.5 Fusion Middleware Controlを使用したドメイン・レベルのメッセージ・セキュリティの構成

- 14.5.1 Fusion Middleware Controlを使用したOWSMキーストアの構成

- 14.5.1.1 KSSキーストアを使用するためのOWSMの構成

- 14.5.1.2 JKSキーストアを使用するためのOWSMの構成

- 14.5.1.3 HSMキーストアを使用するためのOWSMの構成

- 14.5.1.4 PKCS11キーストアを使用するためのOWSMの構成

- 14.5.2 Fusion Middleware Controlを使用したセキュリティ・ポリシー強制の構成

- 14.5.3 Fusion Middleware Controlを使用したアイデンティティ拡張プロパティの構成

- 14.5.4 Fusion Middleware Controlを使用したドメインのセキュア通信の構成

- 14.5.4.1 セキュア通信について

- 14.5.4.2 Fusion Middleware Controlを使用したセキュア通信の構成

- 14.6 Fusion Middleware Controlを使用したOWSMポリシー・アクセスの構成

- 14.6.1 Fusion Middleware Controlを使用したポリシー・マネージャ接続の構成の理解

- 14.6.1.1 自動検出およびポリシー・マネージャへの接続について

- 14.6.1.2 Fusion Middleware Controlを使用したポリシー・マネージャへの接続の構成

- 14.6.2 Fusion Middleware Controlを使用したOWSMの構成キャッシュの手動によるリフレッシュについて

- 14.6.2.1 Fusion Middleware Controlを使用したOWSMの自動リフレッシュ・オプションの無効化

- 14.6.2.2 Fusion Middleware Controlを使用したOWSMの自動リフレッシュのステータスの確認

- 14.6.2.3 Fusion Middleware Controlを使用したOWSMキャッシュの手動によるリフレッシュ

- 14.6.3 Fusion Middleware Controlを使用したポリシー・マネージャ接続のSSLの構成

- 14.6.4 Fusion Middleware Controlを使用した高可用性の構成およびキャッシュの管理

- 14.6.4.1 高可用性とキャッシュ管理について

- 14.6.4.2 Fusion Middleware Controlを使用した高可用性の構成およびキャッシュの管理

- 14.7 WLSTを使用したOWSMドメインの構成プロパティの管理について

- 14.7.1 WLSTを使用したOWSMドメイン構成の表示

- 14.7.2 setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定

- 14.8 WLSTを使用したドメイン・レベルの認証の構成

- 14.8.1 WLSTを使用した信頼できるSAML発行者とJWT発行者、DNリストおよびトークン属性ルールの構成

- 14.8.2 WLSTを使用したトークン発行者信頼ドキュメントの削除

- 14.8.3 WLSTを使用した発行済トークンの存続期間の構成

- 14.8.4 WLSTを使用したサブジェクト・プロパティの構成

- 14.8.5 WLSTを使用したSAMLおよびSAML2ログイン・モジュールの構成

- 14.8.6 WLSTを使用したKerberosログイン・モジュールの構成

- 14.8.7 WLSTを使用したX509ログイン・モジュールの構成

- 14.8.8 WLSTを使用したカスタム・ログイン・モジュールの構成

- 14.9 WLSTを使用したドメイン・レベルのメッセージ・セキュリティの構成について

- 14.9.1 WLSTを使用したOWSMキーストアの構成

- 14.9.2 WLSTを使用したセキュリティ・ポリシー強制の構成

- 14.9.3 WLSTを使用したアイデンティティ拡張プロパティの構成

- 14.9.4 WLSTを使用したドメインのセキュア通信の構成

- 14.10 WLSTを使用したポリシー・アクセスの構成について

- 14.10.1 WLSTを使用したポリシー・マネージャ接続の構成

- 14.10.2 setWSMBootstrapConfigコマンドを使用したブートストラップ構成プロパティの更新

- 14.10.3 WLSTを使用したOWSMの構成キャッシュの手動によるリフレッシュについて

- 14.10.3.1 WLSTを使用したOWSMの自動リフレッシュ・オプションの無効化

- 14.10.3.2 WLSTを使用したOWSMの自動リフレッシュのステータスの確認

- 14.10.3.3 WLSTを使用したOWSMキャッシュの手動によるリフレッシュ

- 14.10.4 WLSTを使用した高可用性およびキャッシュ管理の構成

15 Oracle Web Services Managerリポジトリの管理

- 15.1 OWSMリポジトリの概要

- 15.2 OWSMリポジトリの登録

- 15.3 ポリシーのインポートとエクスポートの異なるメカニズムの理解

- 15.4 WLSTを使用したリポジトリへのドキュメントのインポートおよびエクスポートについて

- 15.4.1 WLSTを使用したリポジトリからのドキュメントのエクスポート

- 15.4.2 WLSTを使用したリポジトリからのアプリケーション・メタデータのエクスポート

- 15.4.3 WLSTを使用したリポジトリへのドキュメントのインポート

- 15.5 JDeveloperで使用するためにポリシーをOWSMリポジトリからエクスポート

- 15.6 リポジトリ内のポリシーへのパッチ適用について

- 15.7 OWSMリポジトリのバックアップの作成とリストア

- 15.8 OWSMリポジトリのアップグレード

- 15.9 OWSMリポジトリの再構築

16 Oracle Web Services Managerでの問題の診断

- 16.1 OWSMポリシー・マネージャのページを使用したポリシー・マネージャの問題の診断

- 16.2 Oracle Web Services Managerでの一般的な問題の概要

- 16.2.1 ポリシー・マネージャの一般的な接続の問題の概要

- 16.2.1.1 ポリシー・マネージャの一般的な接続の問題の理解

- 16.2.1.2 ポリシー・マネージャの接続の問題の解決

- 16.2.2 アプリケーションがWebサービスを呼び出した後のキーストアまたは資格証明ストアのエラーの概要

- 16.2.2.1 キーストアまたは資格証明ストアの一般的なエラーの理解

- 16.2.2.2 キーストアおよび資格証明ストアの問題の解決

- 16.2.3 アプリケーションがWebサービスを呼び出した後の信頼証明書エラーの概要

- 16.2.3.1 信頼証明書エラーの理解

- 16.2.3.2 信頼証明書の問題の解決

- 16.2.4 アイデンティティ伝搬時のSAMLアサーション・エラーのトラブルシューティングについて

- 16.2.4.1 SAMLアサーションの一般的な問題の理解

- 16.2.4.2 SAMLアサーションの問題のトラブルシューティング

- 16.2.5 アプリケーションがWebサービスを呼び出した後のポリシー・アクセスの問題の概要

- 16.2.5.1 ポリシー・アクセスの一般的な問題の理解

- 16.2.5.2 ポリシー・アクセスの一般的な問題の解決

- 16.2.6 資格証明ストアのユーザーへのアクセスに関する問題の概要

- 16.2.6.1 ユーザー・アクセスの一般的な問題の理解

- 16.2.6.2 ユーザー・アクセスの問題の解決

- 16.2.7 アプリケーションがWebサービスを呼び出した後のユーザー認可の一般的な問題の概要

- 16.2.7.1 ユーザー認可の一般的な問題の理解

- 16.2.7.2 ユーザー認可の問題の解決

- 16.2.8 アプリケーションがWebサービスを呼び出した後のタイムスタンプ・エラーの概要

- 16.2.8.1 タイムスタンプ・エラーまたはclockSkewエラーの原因の理解

- 16.2.8.2 タイムスタンプ・エラーまたはclockSkewエラーの解決

- 16.2.9 アプリケーションがWebサービスを呼び出した後の複数認証セキュリティ・ポリシー・エラーの概要

- 16.2.9.1 一般的な複数認証セキュリティ・ポリシー・エラーの理解

- 16.2.9.2 複数認証セキュリティ・ポリシー・エラーの解決

- 16.3 WLSTを使用したポリシー・アタッチメントに関する問題の概要

- 16.3.1 listWSMPolicySubjectsコマンドを使用したポリシー・アタッチメントの問題の特定の理解

- 16.3.2 グローバル添付ポリシーおよび直接添付ポリシーが含まれる、構成のサンプル出力の表示

- 16.3.3 直接添付ポリシーのみが含まれる、有効な構成のサンプル出力の表示

- 16.4 WLSTを使用したドメイン構成に関する問題の診断について

- 16.4.1 checkWSMStatusコマンドを使用したドメイン構成の問題の特定の理解

- 16.4.2 ステータスを表示するcheckWSMStatusの出力の表示

- 16.4.3 資格証明ストアの失敗を表示するcheckWSMStatusの出力の表示

- 16.4.4 OAuth2グローバル・ポリシー・セットが構成されている場合のcheckWSMStatus出力の表示

- 16.4.5 OAuth2グローバル・ポリシー・セットが構成されていない場合のcheckWSMStatus出力の表示

- 16.5 WS-TrustユースケースでのOracle Web Services Managerの一般的な例外

第V部 Oracle Web Services Managerの事前定義済ポリシーおよびアサーション・テンプレート

17 Oracle Web Services Managerの事前定義済ポリシー

- 17.1 アドレス・ポリシー

- 17.2 アトミック・トランザクション・ポリシー

- 17.3 構成ポリシー

- 17.4 管理ポリシー

- 17.5 MTOMポリシー

- 17.6 信頼できるメッセージング・ポリシー

- 17.7 セキュリティ・ポリシー - 認証のみ

- 17.8 セキュリティ・ポリシー - 認可のみ

- 17.9 セキュリティ・ポリシー - メッセージ保護のみ

- 17.10 セキュリティ・ポリシー - メッセージ保護および認証

- 17.11 セキュリティ・ポリシー - Sha256のみ

- 17.12 セキュリティ・ポリシー - Oracle Entitlements Server

- 17.13 SOAP Over JMSトランスポート・ポリシー

- 17.14 oracle/wsaddr_policy

- 17.15 oracle/no_addressing_policy

- 17.16 oracle/atomic_transaction_policy

- 17.17 oracle/no_atomic_transaction_policy

- 17.18 oracle/async_web_service_policy

- 17.19 oracle/cache_binary_content_policy

- 17.20 oracle/fast_infoset_client_policy

- 17.21 oracle/fast_infoset_service_policy

- 17.22 oracle/max_request_size_policy

- 17.23 oracle/mex_request_processing_service_policy

- 17.24 oracle/mtom_encode_fault_service_policy

- 17.25 oracle/no_async_web_service_policy

- 17.26 oracle/no_cache_binary_content_policy

- 17.27 oracle/no_fast_infoset_client_policy

- 17.28 oracle/no_fast_infoset_service_policy

- 17.29 oracle/no_max_request_size_policy

- 17.30 oracle/no_mex_request_processing_service_policy

- 17.31 oracle/no_mtom_encode_fault_service_policy

- 17.32 oracle/no_persistence_policy

- 17.33 oracle/no_pox_http_binding_service_policy

- 17.34 oracle/no_request_processing_service_policy

- 17.35 oracle/no_schema_validation_policy

- 17.36 oracle/no_soap_request_processing_service_policy

- 17.37 oracle/no_test_page_processing_service_policy

- 17.38 oracle/no_ws_logging_level_policy

- 17.39 oracle/no_wsdl_request_processing_service_policy

- 17.40 oracle/persistence_policy

- 17.41 oracle/pox_http_binding_service_policy

- 17.42 oracle/request_processing_service_policy

- 17.43 oracle/schema_validation_policy

- 17.44 oracle/soap_request_processing_service_policy

- 17.45 oracle/test_page_processing_policy

- 17.46 oracle/ws_logging_level_policy

- 17.47 oracle/wsdl_request_processing_service_policy

- 17.48 oracle/log_policy

- 17.49 oracle/no_mtom_policy

- 17.50 oracle/wsmtom_policy

- 17.51 oracle/no_reliable_messaging_policy

- 17.52 oracle/no_wsrm_policy

- 17.53 oracle/reliable_messaging_policy

- 17.54 oracle/wsrm10_policy

- 17.55 oracle/wsrm11_policy

- 17.56 oracle/http_basic_auth_over_ssl_client_policy

- 17.57 oracle/http_basic_auth_over_ssl_service_policy

- 17.58 oracle/http_oam_token_service_policy

- 17.59 oracle/http_saml20_token_bearer_client_policy

- 17.60 oracle/http_saml20_token_bearer_service_policy

- 17.61 oracle/http_saml20_token_bearer_over_ssl_client_policy

- 17.62 oracle/http_saml20_bearer_token_over_ssl_service_policy

- 17.63 oracle/multi_token_rest_service_policy

- 17.64 oracle/multi_token_over_ssl_rest_service_policy

- 17.65 oracle/no_authentication_client_policy

- 17.66 oracle/no_authentication_service_policy

- 17.67 oracle/wss_http_token_client_policy

- 17.68 oracle/wss_http_token_service_policy

- 17.69 oracle/wss_username_token_client_policy

- 17.70 oracle/wss_username_token_service_policy

- 17.71 oracle/wss10_saml_token_client_policy

- 17.72 oracle/wss10_saml_token_service_policy

- 17.73 oracle/wss10_saml20_token_client_policy

- 17.74 oracle/wss10_saml20_token_service_policy

- 17.75 oracle/wss11_kerberos_token_client_policy

- 17.76 oracle/wss11_kerberos_token_service_policy

- 17.77 oracle/http_oauth2_token_client_policy

- 17.78 oracle/http_jwt_token_service_policy

- 17.79 oracle/http_oauth2_token_identity_switch_over_ssl_client_policy

- 17.80 oracle/http_jwt_token_over_ssl_service_policy

- 17.81 oracle/http_oauth2_token_opc_oauth2_client_policy

- 17.82 oracle/http_oauth2_token_over_ssl_client_policy

- 17.83 oracle/http_jwt_token_over_ssl_service_policy

- 17.84 oracle/oauth2_config_client_policy

- 17.85 oracle/http_jwt_token_client_policy

- 17.86 oracle/http_jwt_token_over_ssl_client_policy

- 17.87 oracle/http_oauth2_token_identity_switch_opc_oauth2_over_ssl_client_policy

- 17.88 oracle/http_oauth2_token_opc_oauth2_over_ssl_client_policy

- 17.89 oracle/http_jwt_token_identity_switch_client_policy

- 17.90 oracle/binding_authorization_denyall_policy

- 17.91 oracle/binding_authorization_permitall_policy

- 17.92 oracle/binding_permission_authorization_policy

- 17.93 oracle/component_authorization_denyall_policy

- 17.94 oracle/component_authorization_permitall_policy

- 17.95 oracle/component_permission_authorization_policy

- 17.96 oracle/no_authorization_component_policy

- 17.97 oracle/no_authorization_service_policy

- 17.98 oracle/whitelist_authorization_policy

- 17.99 oracle/no_messageprotection_client_policy

- 17.100 oracle/no_messageprotection_service_policy

- 17.101 oracle/wss10_message_protection_client_policy

- 17.102 oracle/wss10_message_protection_service_policy

- 17.103 oracle/wss11_message_protection_client_policy

- 17.104 oracle/wss11_message_protection_service_policy

- 17.105 oracle/pii_security_policy

- 17.106 oracle/sts_trust_config_client_policy

- 17.107 oracle/sts_trust_config_service_policy

- 17.108 oracle/wss_saml_bearer_or_username_token_service_policy

- 17.109 oracle/wss_saml_or_username_token_service_policy

- 17.110 oracle/wss_saml_or_username_token_over_ssl_service_policy

- 17.111 oracle/wss_saml_token_bearer_client_policy

- 17.112 oracle/wss_saml_token_bearer_over_ssl_client_policy

- 17.113 oracle/wss_saml_token_bearer_over_ssl_service_policy

- 17.114 oracle/wss_http_token_over_ssl_client_policy

- 17.115 oracle/wss_http_token_over_ssl_service_policy

- 17.116 oracle/wss_saml_token_over_ssl_client_policy

- 17.117 oracle/wss_saml_token_over_ssl_service_policy

- 17.118 oracle/wss_saml20_token_bearer_over_ssl_client_policy

- 17.119 oracle/wss_saml20_token_bearer_over_ssl_service_policy

- 17.120 oracle/wss_saml20_token_over_ssl_client_policy

- 17.121 oracle/wss_saml20_token_over_ssl_service_policy

- 17.122 oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_policy

- 17.123 oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_policy

- 17.124 oracle/wss_username_token_over_ssl_client_policy

- 17.125 oracle/wss_username_token_over_ssl_service_policy

- 17.126 oracle/wss_username_token_over_ssl_wssc_client_policy

- 17.127 oracle/wss_username_token_over_ssl_wssc_service_policy

- 17.128 oracle/wss_username_token_over_ssl_notimestamp_client_policy

- 17.129 oracle/wss_username_token_over_ssl_notimestamp_service_policy

- 17.130 oracle/wss10_saml_hok_token_with_message_protection_client_policy

- 17.131 oracle/wss10_saml_hok_token_with_message_protection_service_policy

- 17.132 oracle/wss10_saml_token_with_message_integrity_client_policy

- 17.133 oracle/wss10_saml_token_with_message_integrity_service_policy

- 17.134 oracle/wss10_saml_token_with_message_protection_client_policy

- 17.135 oracle/wss10_saml_token_with_message_protection_service_policy

- 17.136 oracle/wss10_saml_token_with_message_protection_ski_basic256_client_policy

- 17.137 oracle/wss10_saml_token_with_message_protection_ski_basic256_service_policy

- 17.138 oracle/wss10_saml20_token_with_message_protection_client_policy

- 17.139 oracle/wss10_saml20_token_with_message_protection_service_policy

- 17.140 oracle/wss10_username_id_propagation_with_msg_protection_client_policy

- 17.141 oracle/wss10_username_id_propagation_with_msg_protection_service_policy

- 17.142 oracle/wss10_username_token_with_message_protection_client_policy

- 17.143 oracle/wss10_username_token_with_message_protection_service_policy

- 17.144 oracle/wss10_username_token_with_message_protection_ski_basic256_client_policy

- 17.145 oracle/wss10_username_token_with_message_protection_ski_basic256_service_policy

- 17.146 oracle/wss10_x509_token_with_message_protection_client_policy

- 17.147 oracle/wss10_x509_token_with_message_protection_service_policy

- 17.148 oracle/wss11_kerberos_token_with_message_protection_client_policy

- 17.149 oracle/wss11_kerberos_token_with_message_protection_service_policy

- 17.150 oracle/wss11_kerberos_token_with_message_protection_basic128_client_policy

- 17.151 oracle/wss11_kerberos_token_with_message_protection_basic128_service_policy

- 17.152 oracle/wss11_saml_or_username_token_with_message_protection_service_policy

- 17.153 oracle/wss11_saml_or_username_token_with_message_protection_sha256_service_policy

- 17.154 oracle/wss11_saml_token_identity_switch_with_message_protection_client_policy

- 17.155 oracle/wss11_saml_token_identity_switch_with_message_protection_sha256_client_policy

- 17.156 oracle/wss11_saml_token_with_message_protection_client_policy

- 17.157 oracle/wss11_saml_token_with_message_protection_service_policy

- 17.158 oracle/wss11_saml_token_with_message_protection_sha256_client_policy

- 17.159 oracle/wss11_saml_token_with_message_protection_sha256_service_policy

- 17.160 oracle/wss11_saml_token_with_message_protection_wssc_client_policy

- 17.161 oracle/wss11_saml_token_with_message_protection_wssc_service_policy

- 17.162 oracle/wss11_saml_token_with_message_protection_wssc_reauthn_client_policy

- 17.163 oracle/wss11_saml_token_with_message_protection_wssc_reauthn_service_policy

- 17.164 oracle/wss11_saml20_token_with_message_protection_client_policy

- 17.165 oracle/wss11_saml20_token_with_message_protection_service_policy

- 17.166 oracle/wss11_sts_issued_saml_hok_with_message_protection_client_policy

- 17.167 oracle/wss11_sts_issued_saml_hok_with_message_protection_service_policy

- 17.168 oracle/wss11_sts_issued_saml_hok_with_message_protection_client_policy

- 17.169 oracle/wss11_sts_issued_saml_hok_with_message_protection_service_policy

- 17.170 oracle/wss11_sts_issued_saml_with_message_protection_client_policy

- 17.171 oracle/wss11_username_token_with_message_protection_client_policy

- 17.172 oracle/wss11_username_token_with_message_protection_service_policy

- 17.173 oracle/wss11_username_token_with_message_protection_sha256_client_policy

- 17.174 oracle/wss11_username_token_with_message_protection_sha256_service_policy

- 17.175 oracle/wss11_username_token_with_message_protection_wssc_client_policy

- 17.176 oracle/wss11_username_token_with_message_protection_wssc_service_policy

- 17.177 oracle/wss11_x509_token_with_message_protection_client_policy

- 17.178 oracle/wss11_x509_token_with_message_protection_service_policy

- 17.179 oracle/wss11_x509_token_with_message_protection_wssc_client_policy

- 17.180 oracle/wss11_x509_token_with_message_protection_wssc_service_policy

- 17.181 oracle/wss_saml_bearer_or_username_token_sha256_service_policy

- 17.182 oracle/wss_saml_token_bearer_identity_switch_client_policy

- 17.183 oracle/wss_saml_token_bearer_identity_switch_sha256_client_policy

- 17.184 oracle/wss_saml_token_bearer_over_ssl_sha256_client_policy

- 17.185 oracle/wss_saml_token_bearer_over_ssl_sha256_service_policy

- 17.186 oracle/wss_saml_token_bearer_service_policy

- 17.187 oracle/wss_saml_token_bearer_sha256_client_policy

- 17.188 oracle/wss_saml_token_bearer_sha256_service_policy

- 17.189 oracle/binding_oes_authorization_policy

- 17.190 oracle/binding_oes_masking_policy

- 17.191 oracle/component_oes_authorization_policy

- 17.192 oracle/jms_transport_client_policy

- 17.193 oracle/jms_transport_service_policy

- 17.194 oracle/no_jms_transport_client_policy

- 17.195 oracle/no_jms_transport_service_policy

- 17.196 oracle/http_oauth2_token_over_ssl_salesforce_jwt_client_policy

18 Oracle Web Services Managerの事前定義済アサーション・テンプレート

- 18.1 認証のみのアサーション・テンプレート

- 18.2 メッセージ保護のみのアサーション・テンプレート

- 18.3 メッセージ保護および認証のアサーション・テンプレート

- 18.4 Oracle Entitlements Server (OES)統合用のテンプレート

- 18.5 PIIアサーション・テンプレート

- 18.6 WS-Trustアサーション・テンプレート

- 18.7 認可アサーション・テンプレート

- 18.8 管理アサーション・テンプレート

- 18.9 oracle/http_oam_token_service_template

- 18.10 oracle/http_saml20_token_bearer_client_template

- 18.11 oracle/http_saml20_token_bearer_service_template

- 18.12 oracle/http_spnego_token_client_template

- 18.13 oracle/http_spnego_token_service_template

- 18.14 oracle/wss_http_token_client_template

- 18.15 oracle/wss_http_token_service_template

- 18.16 oracle/wss_username_token_client_template

- 18.17 oracle/wss_username_token_service_template

- 18.18 oracle/wss10_saml_token_client_template

- 18.19 oracle/wss10_saml_token_service_template

- 18.20 oracle/wss10_saml20_token_client_template

- 18.21 oracle/wss10_saml20_token_service_template

- 18.22 oracle/wss11_kerberos_token_client_template

- 18.23 oracle/wss11_kerberos_token_service_template

- 18.24 oracle/http_oauth2_token_client_template

- 18.25 oracle/http_jwt_token_service_template。

- 18.26 oracle/http_oauth2_token_over_ssl_client_template

- 18.27 oracle/http_jwt_token_over_ssl_service_template。

- 18.28 oracle/oauth2_config_client_template

- 18.29 oracle/http_jwt_token_client_template

- 18.30 oracle/http_jwt_token_over_ssl_client_template

- 18.31 oracle/wss10_message_protection_client_template

- 18.32 oracle/wss10_message_protection_service_template

- 18.33 oracle/wss11_message_protection_client_template

- 18.34 oracle/wss11_message_protection_service_template

- 18.35 oracle/wss_http_token_over_ssl_client_template

- 18.36 oracle/wss_http_token_over_ssl_service_template

- 18.37 oracle/wss_saml_token_bearer_client_template

- 18.38 oracle/wss_saml_token_bearer_service_template

- 18.39 oracle/wss_saml_token_bearer_over_ssl_client_template

- 18.40 oracle/wss_saml_token_bearer_over_ssl_service_template

- 18.41 oracle/wss_saml20_token_bearer_over_ssl_client_template

- 18.42 oracle/wss_saml20_token_bearer_over_ssl_service_template

- 18.43 oracle/wss_saml_token_over_ssl_client_template

- 18.44 oracle/wss_saml_token_over_ssl_service_template

- 18.45 oracle/wss_saml20_token_over_ssl_client_template

- 18.46 oracle/wss_saml20_token_over_ssl_service_template

- 18.47 oracle/wss_username_token_over_ssl_client_template

- 18.48 oracle/wss_username_token_over_ssl_service_template

- 18.49 oracle/wss10_saml_hok_token_with_message_protection_client_template

- 18.50 oracle/wss10_saml_hok_token_with_message_protection_service_template

- 18.51 oracle/wss10_saml_token_with_message_protection_client_template

- 18.52 oracle/wss10_saml_token_with_message_protection_service_template

- 18.53 oracle/wss10_saml20_token_with_message_protection_client_template

- 18.54 oracle/wss10_saml20_token_with_message_protection_service_template

- 18.55 oracle/wss10_username_token_with_message_protection_client_template

- 18.56 oracle/wss10_username_token_with_message_protection_service_template

- 18.57 oracle/wss10_x509_token_with_message_protection_client_template

- 18.58 oracle/wss10_x509_token_with_message_protection_service_template

- 18.59 oracle/wss11_kerberos_token_over_ssl_client_template

- 18.60 oracle/wss11_kerberos_token_over_ssl_service_template

- 18.61 oracle/wss11_kerberos_token_with_message_protection_client_template

- 18.62 oracle/wss11_kerberos_token_with_message_protection_service_template

- 18.63 oracle/wss11_saml_token_with_message_protection_client_template

- 18.64 oracle/wss11_saml_token_with_message_protection_service_template

- 18.65 oracle/wss11_saml20_token_with_message_protection_client_template

- 18.66 oracle/wss11_saml20_token_with_message_protection_service_template

- 18.67 oracle/wss11_username_token_with_message_protection_client_template

- 18.68 oracle/wss11_username_token_with_message_protection_service_template

- 18.69 oracle/wss11_x509_token_with_message_protection_client_template

- 18.70 oracle/wss11_x509_token_with_message_protection_service_template

- 18.71 oracle/binding_oes_authorization_template

- 18.72 oracle/binding_oes_masking_template

- 18.73 oracle/component_oes_authorization_template

- 18.74 oracle/pii_security_template

- 18.75 oracle/sts_trust_config_client_template

- 18.76 oracle/sts_trust_config_service_template

- 18.77 oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_template

- 18.78 oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_template

- 18.79 oracle/wss11_sts_issued_saml_hok_with_message_protection_client_template

- 18.80 oracle/wss11_sts_issued_saml_hok_with_message_protection_service_template

- 18.81 oracle/wss11_sts_issued_saml_with_message_protection_client_template

- 18.82 oracle/binding_authorization_template

- 18.83 oracle/binding_permission_authorization_template

- 18.84 oracle/component_authorization_template

- 18.85 サポートされているアルゴリズム・スイート

- 18.86 oracle/component_permission_authorization_template

- 18.87 サポートされているアルゴリズム・スイート

- 18.88 リクエスト、レスポンスおよびフォルト・メッセージへの署名と暗号化の設定

- 18.89 oracle/security_log_template

第VI部 Oracle Web Servicesのセキュリティおよびポリシーのリファレンス

A Oracle Web Servicesのセキュリティおよびポリシー注釈

- A.1 Webサービスのセキュリティおよびポリシー注釈について

- A.2 Webサービスのセキュリティおよびポリシー注釈のサマリー

- A.3 Webサービスのセキュリティおよびポリシー注釈のリスト

- A.3.1 @Addressing

- A.3.1.1 @Addressingの属性

- A.3.1.2 @Addressingの例

- A.3.2 @AtomicTransaction

- A.3.2.1 @AtomicTransactionの属性

- A.3.2.2 @AtomicTransactionの例

- A.3.3 @Buffering

- A.3.4 @CacheBinaryContent

- A.3.4.1 @CacheBinaryContentの属性

- A.3.4.2 @CacheBinaryContentの例

- A.3.5 @CallbackManagementPolicy

- A.3.5.1 @CallbackManagementPolicyの属性

- A.3.5.2 @CallbackManagementPolicyの例

- A.3.6 @CallbackMtomPolicy

- A.3.6.1 @CallbackMtomPolicyの属性

- A.3.6.2 @CallbackMtomPolicyの例

- A.3.7 @CallbackPolicySet

- A.3.7.1 @CallbackPolicySetの属性

- A.3.7.2 @CallbackPolicySetの例

- A.3.8 @CallbackSecurityPolicy

- A.3.8.1 @CallbackSecurityPolicyの属性

- A.3.8.2 @CallbackSecurityPolicyの例

- A.3.9 @FastInfosetCallbackClient

- A.3.9.1 @FastInfosetCallbackClientの属性

- A.3.9.2 @FastInfosetCallbackClientの例

- A.3.10 @FastInfosetClient

- A.3.11 @FastInfosetService

- A.3.11.1 @FastInfosetServiceの属性

- A.3.11.2 @FastInfosetServiceの例

- A.3.12 @JMSTransportClient

- A.3.12.1 @JMSTransportClientの属性

- A.3.12.2 @JMSTransportClientの例

- A.3.13 @JMSTransportService

- A.3.13.1 @JMSTransportServiceの属性

- A.3.13.2 @JMSTransportServiceの例

- A.3.14 @ManagementPolicy

- A.3.14.1 @ManagementPolicyの属性

- A.3.14.2 @ManagementPolicyの例

- A.3.15 @MaxRequestSize

- A.3.15.1 @MaxRequestSizeの属性

- A.3.15.2 @MaxRequestSizeの例

- A.3.16 @MEXRequestProcessingService

- A.3.16.1 @MEXRequestProcessingServiceの属性

- A.3.16.2 @MEXRequestProcessingServiceの例

- A.3.17 @MTOM

- A.3.17.1 @MTOMの属性

- A.3.17.2 @MTOMの例

- A.3.18 @MTOMEncodeFaultService

- A.3.18.1 @MTOMEncodeFaultServiceの属性

- A.3.18.2 @MTOMEncodeFaultServiceの例

- A.3.19 @MtomPolicy

- A.3.19.1 @MtomPolicyの属性

- A.3.19.2 @MtomPolicyの例

- A.3.20 @Persistence

- A.3.20.1 @Persistenceの属性

- A.3.20.2 @Persistenceの例

- A.3.21 @PolicyReference

- A.3.21.1 @PolicyReferenceの属性

- A.3.21.2 @PolicyReferenceの例

- A.3.22 @PolicySet

- A.3.22.1 @PolicySetの属性

- A.3.22.2 @PolicySetの例

- A.3.23 @POXHttpBindingService

- A.3.23.1 @POXHttpBindingServiceの属性

- A.3.23.2 @POXHttpBindingServiceの例

- A.3.24 @Property

- A.3.24.1 @Propertyの属性

- A.3.24.2 @Propertyの例

- A.3.25 @ReliabilityPolicy

- A.3.25.1 @ReliabilityPolicyの属性

- A.3.25.2 @ReliabilityPolicyの例

- A.3.26 @ReliableMessaging

- A.3.26.1 @ReliableMessagingの属性

- A.3.26.2 @ReliableMessagingの例

- A.3.27 @RequestProcessingService

- A.3.27.1 @RequestProcessingServiceの属性

- A.3.27.2 @RequestProcessingServiceの例

- A.3.28 @SchemaValidation

- A.3.28.1 @SchemaValidationの属性

- A.3.28.2 @SchemaValidationの例

- A.3.29 @SecurityPolicies (Oracle Infrastructure Webサービス)

- A.3.30 @SecurityPolicies (Java EE Webサービス)

- A.3.30.1 @SecurityPoliciesの例

- A.3.31 @SecurityPolicy (Oracle Infrastructure Webサービス)

- A.3.31.1 @SecurityPolicyの属性

- A.3.31.2 @SecurityPolicyの例

- A.3.32 @SecurityPolicy (Java EE Webサービス)

- A.3.32.1 @SecurityPolicyの属性

- A.3.32.2 @SecurityPolicyの例

- A.3.33 @SOAPRequestProcessingService

- A.3.33.1 @SOAPRequestProcessingServiceの属性

- A.3.33.2 @SOAPRequestProcessingServiceの例

- A.3.34 @TestPageProcessingService

- A.3.34.1 @TestPageProcessingServiceの属性

- A.3.34.2 @TestPageProcessingServiceの例

- A.3.35 @WSDLRequestProcessingService

- A.3.35.1 @WSDLRequestProcessingServiceの属性

- A.3.35.2 @WSDLRequestProcessingServiceの例

- A.3.36 @WSLoggingLevel

- A.3.36.1 @WSLoggingLevelの属性

- A.3.36.2 @WSLoggingLevelの例

B Oracle Web Servicesの事前定義済アサーション・テンプレート

- B.1 Oracle Web Servicesのアサーション・テンプレートの設定

- B.1.1 アクション一致

- B.1.2 アルゴリズム・スイート

- B.1.3 認証ヘッダー - ヘッダー名

- B.1.4 認証ヘッダー - メカニズム

- B.1.5 本体要素

- B.1.6 ブートストラップ・メッセージ・セキュリティ

- B.1.7 クライアント・エントロピ

- B.1.8 クライアント・ポリシーURI

- B.1.9 署名の確認

- B.1.10 確認タイプ

- B.1.11 制約の一致

- B.1.12 必要な作成時間

- B.1.13 導出キー

- B.1.14 有効

- B.1.15 署名の暗号化

- B.1.16 暗号化鍵参照メカニズム

- B.1.17 フォルト

- B.1.18 「フォルト・メッセージ」設定

- B.1.19 ヘッダー要素

- B.1.20 本体全体を含める

- B.1.21 MIMEヘッダーを含める

- B.1.22 SwAアタッチメントを含める

- B.1.23 タイムスタンプを含める

- B.1.24 暗号化済

- B.1.25 署名済

- B.1.26 Kerberosトークン・タイプ

- B.1.27 キー・タイプ

- B.1.28 キーストア受信者の別名

- B.1.29 相互認証が必要

- B.1.30 名前識別子フォーマット

- B.1.31 必要なNonce

- B.1.32 パスワード・タイプ

- B.1.33 権限

- B.1.34 権限クラス

- B.1.35 ポート・エンドポイント

- B.1.36 ポートURI

- B.1.37 再認証

- B.1.38 受信者暗号化鍵参照メカニズム

- B.1.39 受信者署名鍵参照メカニズム

- B.1.40 リクエスト

- B.1.41 「リクエスト・メッセージ」設定

- B.1.42 リクエストXPath

- B.1.43 リクエスト・ネームスペース

- B.1.44 適用先が必要

- B.1.45 クライアント・エントロピが必要

- B.1.46 外部参照が必要

- B.1.47 内部参照が必要

- B.1.48 サーバー・エントロピが必要

- B.1.49 リソース一致

- B.1.50 レスポンス

- B.1.51 「レスポンス・メッセージ」設定

- B.1.52 レスポンス・ネームスペース

- B.1.53 レスポンスXPath

- B.1.54 ロール

- B.1.55 サーバー・エントロピ

- B.1.56 署名鍵参照メカニズム

- B.1.57 署名して暗号化

- B.1.58 トークン・タイプ

- B.1.59 Transport Layer Security

- B.1.60 Transport Layer Security - タイムスタンプを含める

- B.1.61 Transport Layer Security - 相互認証が必要

- B.1.62 バージョン

- B.1.63 トラスト・バージョン

- B.1.64 導出キーの使用

- B.1.65 PKIパスの使用

- B.1.66 WSDLは存在しますか。

- B.1.67 WSDL

- B.2 Oracle Web Servicesのアサーション・テンプレートの構成プロパティ

- B.2.1 algorithm

- B.2.2 application.name

- B.2.3 attesting.mapping.attribute

- B.2.4 caller.principal.name

- B.2.5 credential.delegation

- B.2.6 csf.map

- B.2.7 csf-key

- B.2.8 encryption-algorithm

- B.2.9 execute.action

- B.2.10 ignore.timestamp.in.response

- B.2.11 issued.token.caching

- B.2.12 issued.token.lifetime

- B.2.13 iteration

- B.2.14 keysize

- B.2.15 keytab.location

- B.2.16 keystore.enc.csf.key

- B.2.17 keystore.recipient.alias

- B.2.18 keystore.sig.csf.key

- B.2.19 lookup.action

- B.2.20 on.behalf.of

- B.2.21 policy.reference.uri

- B.2.22 port.endpoint

- B.2.23 port.uri

- B.2.24 propagate.identity.context

- B.2.25 realm

- B.2.26 reference.priority

- B.2.27 resource.mapping.model

- B.2.28 resource.name

- B.2.29 resource.type

- B.2.30 rm.encrypt.body

- B.2.31 role

- B.2.32 salt

- B.2.33 saml.assertion.filename

- B.2.34 saml.audience.uri

- B.2.35 saml.envelope.signature.required

- B.2.36 saml.issuer.name

- B.2.37 saml.trusted.issuers

- B.2.38 sc.token.lifetime

- B.2.39 service.principal.name

- B.2.40 subject.precedence

- B.2.41 sts.auth.caller.principal.name

- B.2.42 sts.auth.keytab.location

- B.2.43 sts.auth.on.behalf.of.csf.key

- B.2.44 sts.auth.on.behalf.of.username.only

- B.2.45 sts.auth.service.principal.name

- B.2.46 sts.auth.user.csf.key

- B.2.47 sts.auth.x509.csf.key

- B.2.48 sts.in.order

- B.2.49 sts.keystore.recipient.alias

- B.2.50 use.single.step

- B.2.51 user.attributes

- B.2.52 user.roles.include

- B.2.53 user.tenant.name

- B.2.54 wsdl.uri

C Oracle Web Servicesの事前定義済アサーションのスキーマ参照

- C.1 wsp:Policy要素

- C.1.1 WS-Policyの属性

- C.1.2 WS-Policyの例

- C.2 wsp:ExactlyOne要素

- C.2.1 wsp:ExactlyOne要素の属性

- C.2.2 wsp:ExactlyOne要素の例

- C.3 orasp:Assertion要素

- C.3.1 orasp:Assertion要素の属性

- C.3.2 orasp:Assertion要素の例

- C.4 orawsp:bindings要素

- C.4.1 orawsp:bindings要素の例

- C.5 orawsp:Config要素

- C.5.1 orawsp:Config要素の属性

- C.5.2 orawsp:Config要素の例

- C.6 orawsp:PropertySet要素

- C.6.1 orawsp:PropertySet要素の属性

- C.6.2 orawsp:PropertySet要素の例

- C.7 orawsp:Property要素

- C.7.1 orawsp:Property要素の属性

- C.7.2 orawsp:Property要素の例

- C.8 orawsp:Description要素

- C.8.1 orawsp:Description要素の例

- C.9 orawsp:Value要素

- C.9.1 orawsp:Value要素の例

- C.10 orawsp:guard要素

- C.10.1 Examples of orawsp:guard要素の例

- C.11 orawsp:resource-match要素

- C.11.1 orawsp:resource-matchの例

- C.12 orawsp:action-match要素

- C.12.1 Examples of orawsp:action-match要素の例

- C.13 orawsp:constraint-match要素

- C.13.1 orawsp:constraint-match要素の例

- C.14 oralgp:Logging要素

- C.14.1 oralgp:Logging要素の例

- C.15 orasp:binding-authorization要素

- C.15.1 orasp:binding-authorization要素の例

- C.16 orasp:binding-permission-authorization要素

- C.16.1 orasp:binding-permission-authorization要素の例

- C.17 orasp:coreid-security要素

- C.17.1 orasp:coreid-security要素の例

- C.18 orasp:http-security要素

- C.18.1 orasp:http-security要素の例

- C.19 orasp:kerberos-security要素

- C.19.1 orasp:kerberos-security要素の例

- C.20 orasp:sca-component-authorization要素

- C.20.1 orasp:sca-component-authorization要素の例

- C.21 orasp:sca-component-permission-authorization要素

- C.21.1 orasp:sca-component-permission-authorization要素の例

- C.22 orasp:sts-trust-config要素

- C.22.1 orasp:sts-trust-config要素の属性

- C.22.2 orasp:sts-trust-config要素の例

- C.23 orasp:wss10-anonymous-with-certificates要素

- C.23.1 orasp:wss10-anonymous-with-certificates要素の例

- C.24 orasp:wss10-mutual-auth-with-certificates要素

- C.24.1 orasp:wss10-mutual-auth-with-certificates要素の例

- C.25 orasp:wss10-saml-hok-with-certificates要素

- C.25.1 orasp:wss10-saml-hok-with-certificates要素の例

- C.26 orasp:wss10-saml-token要素

- C.26.1 orasp:wss10-saml-token要素の例

- C.27 orasp:wss10-saml-with-certificates要素

- C.27.1 orasp:wss10-saml-with-certificates要素の例

- C.28 orasp:wss10-username-with-certificates要素

- C.28.1 orasp:wss10-username-with-certificates要素の例

- C.29 orasp:wss11-anonymous-with-certificates要素

- C.29.1 orasp:wss11-anonymous-with-certificates要素の例

- C.30 orasp:wss11-mutual-auth-with-certificates要素

- C.30.1 orasp:wss11-mutual-auth-with-certificates要素の例

- C.31 orasp:wss11-saml-with-certificates要素

- C.31.1 orasp:wss11-saml-with-certificates要素の例

- C.32 orasp:wss11-sts-issued-token-with-certificates要素

- C.32.1 orasp:wss11-sts-issued-token-with-certificates要素の属性

- C.32.2 orasp:wss11-sts-issued-token-with-certificates要素の例

- C.33 orasp:wss11-username-with-certificates要素

- C.33.1 orasp:wss11-username-with-certificates要素の例

- C.34 orasp:wss-saml-token-bearer-over-ssl要素

- C.34.1 orasp:wss-saml-token-bearer-over-ssl要素の例

- C.35 orasp:wss-saml-token-over-ssl要素

- C.35.1 orasp:wss-saml-token-over-ssl要素の例

- C.36 orasp:wss-sts-issued-token-over-ssl要素

- C.36.1 orasp:wss-sts-issued-token-over-ssl要素の属性

- C.36.2 orasp:wss-sts-issued-token-over-ssl要素の例

- C.37 orasp:wss-username-token要素

- C.37.1 orasp:wss-username-token要素の例

- C.38 orasp:wss-username-token-over-ssl要素

- C.38.1 orasp:wss-username-token-over-ssl要素の例

- C.39 rm:RMAssertion要素

- C.39.1 rm:RMAssertion要素の例

- C.40 wsaw:UsingAddressing要素

- C.40.1 wsaw:UsingAddressing要素の例

- C.41 wsoma:OptimizedMimeSerialization要素

- C.41.1 wsoma:OptimizedMimeSerialization要素の例

- C.42 oralgp:fault要素

- C.42.1 oralgp:fault要素の例

- C.43 oralgp:request要素

- C.43.1 oralgp:request要素の例

- C.44 oralgp:response要素

- C.44.1 oralgp:response要素の例

- C.45 oralgp:msg-log要素

- C.45.1 oralgp:msg-log要素の例

- C.46 orasp:attachment要素

- C.46.1 orasp:attachment要素の属性

- C.46.2 orasp:attachment要素の例

- C.47 orasp:auth-header要素

- C.47.1 orasp:auth-header要素の属性

- C.47.2 rasp:auth-header要素の例

- C.48 orasp:body要素

- C.48.1 orasp:body要素の例

- C.49 orasp:check-permission要素

- C.49.1 orasp:check-permission要素の例

- C.50 orasp:coreid-token要素

- C.50.1 orasp:coreid-token要素の属性

- C.50.2 orasp:coreid-token要素の例

- C.51 orasp:denyAll要素

- C.51.1 orasp:denyAll要素の例

- C.52 orasp:element要素

- C.52.1 orasp:element要素の属性

- C.52.2 orasp:element要素の例

- C.53 orasp:encrypted-elements要素

- C.53.1 orasp:encrypted-elements要素の例

- C.54 orasp:encrypted-parts要素

- C.54.1 orasp:encrypted-parts要素の例

- C.55 orasp:fault要素

- C.55.1 orasp:fault要素の例

- C.56 orasp:header要素

- C.56.1 orasp:header要素の属性

- C.56.2 orasp:header要素の例

- C.57 orasp:issued-token要素

- C.57.1 orasp:issued-token要素の属性

- C.57.2 orasp:issued-token要素の例

- C.58 orasp:kerberos-token要素

- C.58.1 orasp:kerberos-token要素の属性

- C.58.2 orasp:kerberos-token要素の例

- C.59 orasp:msg-security要素

- C.59.1 orasp:msg-security要素の属性

- C.59.2 orasp:msg-security要素の例

- C.60 orasp:permitAll要素

- C.60.1 orasp:permitAll要素の例

- C.61 orasp:request要素

- C.61.1 orasp:request要素の例

- C.62 orasp:require-tls要素

- C.62.1 orasp:require-tls要素の属性

- C.62.2 orasp:require-tls要素の例

- C.63 orasp:response要素

- C.63.1 orasp:response要素の例

- C.64 orasp:role要素

- C.64.1 orasp:role要素の属性

- C.64.2 orasp:role要素の例

- C.65 orasp:saml-token要素

- C.65.1 orasp:saml-token要素の属性

- C.65.2 orasp:saml-token要素の例

- C.66 orasp:signed-elements要素

- C.66.1 orasp:signed-elements要素の例

- C.67 orasp:signed-parts要素

- C.67.1 orasp:signed-parts要素の例

- C.68 orasp:username-token要素

- C.68.1 orasp:username-token要素の属性

- C.68.2 orasp:username-token要素の例

- C.69 orasp:x509-token要素

- C.69.1 orasp:x509-token要素の属性

- C.69.2 orasp:x509-token要素の例

- C.70 orawsp:Description要素

- C.70.1 orawsp:Description要素の例

D Webサービスのポリシー・セットのスキーマ参照

- D.1 policySet要素

- D.2 wsp:policyReference要素

- D.3 orawsp:OverrideProperty要素

E Oracle Virtual Assembly Builder用のOracle Web Services Managerイントロスペクション・プラグイン

- E.1 Oracle Virtual Assembly Builder用のOWSMイントロスペクション・プラグインについて

- E.2 OWSMイントロスペクション・プラグインの理解

- E.2.1 OWSMイントロスペクション・プラグインのパラメータ

- E.2.2 OWSMイントロスペクション・プラグイン参照システムの前提条件

- E.2.3 OWSMイントロスペクション・プラグインの使用要件

- E.2.4 OWSMイントロスペクション・プラグインの結果のアーティファクト・タイプ

- E.2.5 OWSMイントロスペクション・プラグインのワイヤリング

- E.2.6 OWSMイントロスペクション・プラグインのワイヤリング・プロパティ

- E.2.7 OWSMイントロスペクション・プラグインのアプライアンス・プロパティ

- E.2.8 OWSMイントロスペクション・プラグインでサポートされるテンプレート・タイプ

図一覧

- 4-1 直接アタッチされたポリシーが表示されている「WSMポリシー・サブジェクト構成」ページ

- 4-2 Webサービスへのポリシーのアタッチ

- 4-3 ポリシーの詳細の表示

- 4-4 Java EE Webサービス・クライアント

- 4-5 WebLogic Java EE Webサービス・クライアント・ポートへのポリシーのアタッチ

- 4-6 「WSMポリシー・セット・サマリー」ページ

- 4-7 ポリシー・セットの表示

- 4-8 「一般情報の入力」ページ

- 4-9 「ポリシー参照の追加」ページ

- 4-10 「ポリシー・セットの作成」ウィザードの「サマリー」ページ

- 4-11 ポリシー・セット・ウィザードでの制約ページの入力

- 4-12 Oracle Infrastructure Webサービス・エンドポイントにアタッチされたポリシー

- 4-13 WebLogic Java EE Webサービス・エンドポイントにアタッチされたポリシー

- 4-14 実行時制約を含むポリシー・セットに対して有効なポリシー計算

- 4-15 有効でセキュアなエンドポイント構成を含む「Webサービス・エンドポイント」ページ

- 5-1 ポリシー構成プロパティのオーバーライド

- 5-2 ポリシー・セットの「ポリシー構成のオーバーライド」ページ

- 6-1 WSMポリシー・ページ

- 6-2 「一般」タブが選択された状態の「ポリシーの詳細」ページ

- 6-3 「アサーション」タブが選択された状態の「ポリシーの詳細」ページ

- 6-4 WSDLからのクライアント・ポリシーの生成

- 6-5 ポリシー・バージョンの履歴ページ

- 6-6 2つのサブカテゴリを持つセキュリティ・アサーション

- 6-7 アサーション・テンプレートの詳細ページ

- 6-8 ポリシー・アサーションの通知の有効化

- 7-1 ストライプの作成

- 7-2 キーストアの作成

- 7-3 証明書の管理

- 7-4 鍵ペアの生成

- 7-5 「資格証明ストア・プロバイダの構成」ページ

- 7-6 OWSM資格証明マップで構成された鍵

- 7-7 「キーの作成」ダイアログ・ボックス

- 7-8 「構成プロパティの編集」ダイアログ・ボックス

- 7-9 ストレージ有効およびストレージ無効WebLogic Serverでのクラスタ・トポロジ

- 7-10 Coherenceクラスタ内のストレージ有効管理対象Coherenceサーバーでのクラスタ・トポロジ

- 7-11 メッセージ保護ポリシーの部分的な暗号化の例

- 8-1 SOAコンポジットでのpii_security_policyのアタッチ先

- 8-2 SOAコンポジット・アプリケーションのダッシュボード・ページ

- 8-3 request.xpaths属性のオーバーライド

- 9-1 キーストアの作成

- 9-2 証明書の管理

- 9-3 鍵ペアの生成

- 9-4 キーストアの作成

- 9-5 証明書の管理

- 9-6 鍵ペアの生成

- 10-1 ポリシーの権限設定

- 10-2 OPSS作成アプリケーション付与ページでの権限の追加

- 10-3 OESアプリケーションの作成

- 10-4 責任の認可ポリシーの追加

- 10-5 認可ポリシーの責任のサンプル

- 10-6 新しい属性の作成

- 10-7 実際の認可ポリシーの追加

- 10-8 条件の作成

- 10-9 OESアプリケーションの作成

- 10-10 条件で必要な暗黙属性の追加

- 10-11 実際の認可ポリシーの追加

- 10-12 OESアプリケーションの作成

- 11-1 アクティブ・タイプとしてのwsee:PasswordDigest

- 11-2 「パスワード・タイプ」ドロップダウン・メニューからの「ダイジェスト」の選択

- 11-3 「アイデンティティ・ストア構成」ページ

- 11-4 virtualizeプロパティの追加

- 11-5 WSIdentityPermissionの編集

- 11-6 propagate.identity.contextプロパティのTrueとしての設定

- 13-1 サンプル・アルゴリズム・スイート

- 14-1 「認証」タブの「SAML信頼」セクション

- 14-2 「認証」タブの「JWT信頼」セクション

- 14-3 「カスタム・ログイン・モジュール」ページ

- 14-4 「メッセージ・セキュリティ」ページのKSSキーストアに関するセクション

- 14-5 「メッセージ・セキュリティ」ページのJKSキーストアに関するセクション

- 14-6 OWSMキーストア構成のHSM設定

- 14-7 「メッセージ・セキュリティ」ページのPKCS11キーストアに関するセクション

- 14-8 OWSMの構成キャッシュを手動でリフレッシュするために、自動リフレッシュ・オプションを無効にする

- 14-9 自動リフレッシュのステータスが表示されている「WSMドメイン構成」ページの「ポリシー・アクセス」タブ

- 14-10 「WSMドメイン構成」ページの「ポリシー・アクセス」タブ

- 14-11 サーバーのリフレッシュ・ステータス

- 15-1 ナビゲーション・ペインの「メタデータ・リポジトリ」

- 15-2 OWSMリポジトリの登録

- 16-1 OWSMポリシー・マネージャのページ

- 16-2 OWSMポリシー・マネージャの停止(「ファーム」ページ)

- C-1 アサーションの要素階層

- D-1 ポリシー・セットの要素階層

表一覧

- 1-1 OWSMを使用して保護できるOracle Webサービスのカテゴリ

- 2-1 デフォルトのOWSM論理ロール

- 3-1 適切な認証ポリシーの選択

- 3-2 認証のみのポリシー: SOAPおよびRESTful Webサービス

- 3-3 認証のみのポリシー: SOAP Webサービスの場合のみ

- 3-4 認証のみのポリシー: OAuth2およびJWT Webサービス

- 3-5 メッセージ保護のみのポリシー

- 3-6 メッセージ保護および認証ポリシー

- 3-7 認可のみのポリシー

- 3-8 WS-Trustポリシー

- 3-9 RESTful WebサービスおよびクライアントでサポートされるOWSMセキュリティ・ポリシー

- 3-10 Oracle Service Busでサポートされないポリシーおよびアサーション

- 4-1 RESTfulクライアントへのポリシーのアタッチに使用される機能クラス

- 4-2 リソース・スコープについてサポートされる式

- 4-3 local.policy.reference.source構成プロパティの有効な値

- 5-1 設計時にオーバーライド可能なクライアント・ポリシー構成プロパティ

- 6-1 ポリシー通知

- 10-1 OWSM OES構成プロパティ

- 10-2 ユーザー資格証明、サブジェクトおよびアクセス・トークン

- 11-1 SAMLトークンの検証

- 14-1 サブジェクト・ドメイン構成プロパティ

- 14-2 SAMLおよびSAML2ログイン・モジュールのドメイン構成プロパティ

- 14-3 Kerberosログイン・モジュールのドメイン構成プロパティ

- 14-4 X509ログイン・モジュールのドメイン・レベル構成プロパティ

- 14-5 他のログイン・モジュールのドメイン構成プロパティ

- 14-6 セキュリティ・ポリシー強制のドメイン・レベル構成プロパティ

- 14-7 アイデンティティのドメイン・レベル構成プロパティ

- 14-8 セキュア通信のドメイン・レベル構成プロパティ

- 14-9 ポリシー・マネージャ接続のドメイン・レベル構成プロパティ

- 14-10 高可用性およびキャッシュ管理のドメイン構成プロパティ

- 16-1 WS-Trustユースケースの一般的なOWSM例外およびエラー

- 17-1 oracle/wsaddr_policyの構成プロパティ

- 17-2 oracle/no_addressing_policyの構成プロパティ

- 17-3 oracle/atomic_transaction_policyの構成プロパティ

- 17-4 oracle/no_atomic_transaction_policyの構成プロパティ

- 17-5 oracle/async_web_service_policyの構成プロパティ

- 17-6 oracle/cache_binary_content_policyの構成プロパティ

- 17-7 oracle/fastinfoset_client_policyの構成プロパティ

- 17-8 oracle/fastinfoset_service_policyの構成プロパティ

- 17-9 oracle/max_request_size_policyの構成プロパティ

- 17-10 oracle/mex_request_processing_service_policyの構成プロパティ

- 17-11 oracle/mtom_encode_fault_service_policyの構成プロパティ

- 17-12 oracle/no_async_web_service_policyの構成プロパティ

- 17-13 oracle/no_cache_binary_content_policyの構成プロパティ

- 17-14 oracle/no_fast_infoset_client_policyの構成プロパティ

- 17-15 oracle/no_fast_infoset_service_policyの構成プロパティ

- 17-16 oracle/no_max_request_size_policyの構成プロパティ

- 17-17 oracle/no_mex_request_processing_service_policyの構成プロパティ

- 17-18 oracle/no_mtom_encode_fault_service_policyの構成プロパティ

- 17-19 oracle/no_persistence_policyの構成プロパティ

- 17-20 oracle/no_pox_http_binding_service_policyの構成プロパティ

- 17-21 oracle/no_request_processing_service_policyの構成プロパティ

- 17-22 oracle/no_schema_validation_policyの構成プロパティ

- 17-23 oracle/no_soap_request_processing_service_policyの構成プロパティ

- 17-24 oracle/no_test_page_processing_service_policyの構成プロパティ

- 17-25 oracle/no_ws_logging_level_policyの構成プロパティ

- 17-26 oracle/no_wsdl_request_processing_service_policyの構成プロパティ

- 17-27 oracle/persistence_policyの構成プロパティ

- 17-28 oracle/pox_http_binding_service_policyの構成プロパティ

- 17-29 oracle/request_processing_service_policyの構成プロパティ

- 17-30 oracle/schema_validation_policyの構成プロパティ

- 17-31 oracle/soap_request_processing_service_policyの構成プロパティ

- 17-32 oracle/test_page_processing_policyの構成プロパティ

- 17-33 oracle/ws_logging_level_policyの構成プロパティ

- 17-34 oracle/ws_logging_level_policyの構成プロパティ

- 17-35 oracle/log_policyの構成プロパティ

- 17-36 oracle/no_mtom_policyの構成プロパティ

- 17-37 oracle/wsmtom_policyの構成プロパティ

- 17-38 oracle/no_reliable_messaging_policyの構成プロパティ

- 17-39 oracle/no_wsrm_policyの構成プロパティ

- 17-40 oracle/reliable_messaging_policyの構成プロパティ

- 17-41 the wsrm10_policyの構成プロパティ

- 17-42 oracle/no_authentication_client_policyの構成プロパティ

- 17-43 oracle/no_authentication_service_policyの構成プロパティ

- 17-44 oracle/no_authorization_component_policyの構成プロパティ

- 17-45 oracle/no_authorization_service_policyの構成プロパティ

- 17-46 oracle/no_messageprotection_client_policyの構成プロパティ

- 17-47 oracle/no_messageprotection_service_policyの構成プロパティ

- 17-48 oracle/jms_transport_client_policyの構成プロパティ

- 17-49 oracle/jms_transport_service_policyの構成プロパティ

- 17-50 oracle/no_jms_transport_client_policyの構成プロパティ

- 17-51 oracle/no_jms_transport_service_policyの構成プロパティ

- 18-1 認証のみのアサーション・テンプレート

- 18-2 メッセージ保護のみのアサーション・テンプレート

- 18-3 メッセージ保護および認証のアサーション・テンプレート

- 18-4 http_oam_token_service_templateの設定

- 18-5 http_oam_token_service_templateの構成プロパティ

- 18-6 http_saml20_token_bearer_client_templateの設定

- 18-7 http_saml20_token_bearer_client_templateの構成プロパティ

- 18-8 http_saml20_token_bearer_service_templateの構成プロパティ

- 18-9 http_spnego_token_client_templateの設定

- 18-10 http_spnego_token_client_templateの構成プロパティ

- 18-11 http_spnego_token_service_templateの構成プロパティ

- 18-12 wss_http_token_client_templateの設定

- 18-13 wss_http_token_client_templateの構成プロパティ

- 18-14 wss_http_token_service_templateの構成プロパティ

- 18-15 wss_username_token_client_templateの設定

- 18-16 wss_username_token_client_templateの構成プロパティ

- 18-17 wss_username_token_service_templateの構成プロパティ

- 18-18 wss10_saml_token_client_templateの設定

- 18-19 wss10_saml_token_client_templateの構成プロパティ

- 18-20 wss10_saml_token_service_templateの構成プロパティ

- 18-21 wss10_saml20_token_client_templateの設定

- 18-22 wss10_saml20_token_client_templateの構成プロパティ

- 18-23 wss10_saml20_token_service_templateの構成プロパティ

- 18-24 wss11_kerberos_token_client_templateの設定

- 18-25 wss11_kerberos_token_client_templateの構成プロパティ

- 18-26 wss11_kerberos_token_service_templateの構成プロパティ

- 18-27 http_oauth2_token_client_templateの設定

- 18-28 http_oauth2_token_client_templateの構成プロパティ

- 18-29 http_jwt_token_service_templateの構成プロパティ

- 18-30 http_oauth2_token_over_ssl_client_templateの設定

- 18-31 http_jwt_token_over_ssl_service_templateの構成プロパティ

- 18-32 oauth2_config_client_templateの設定

- 18-33 oauth2_config_client_templateの構成プロパティ

- 18-34 http_jwt_token_client_templateの設定

- 18-35 http_jwt_token_client_templateの構成プロパティ

- 18-36 http_jwt_token_over_ssl_client_templateの設定

- 18-37 http_jwt_token_over_ssl_client_templateの構成プロパティ

- 18-38 wss10_message_protection_client_templateの設定

- 18-39 wss10_message_protection_client_templateの構成プロパティ

- 18-40 wss10_message_protection_service_templateの構成プロパティ

- 18-41 wss11_message_protection_client_templateの設定

- 18-42 wss11_message_protection_client_templateの構成プロパティ

- 18-43 wss11_message_protection_service_templateの構成プロパティ

- 18-44 wss_http_token_over_ssl_client_templateの設定

- 18-45 wss_http_token_over_ssl_client_templateの構成プロパティ

- 18-46 wss_http_token_over_ssl_service_templateの構成プロパティ

- 18-47 wss_saml_token_bearer_client_templateの設定

- 18-48 wss_saml_token_bearer_client_templateの構成プロパティ

- 18-49 wss_saml_token_bearer_service_templateの設定

- 18-50 wss_saml_token_bearer_service_templateの構成プロパティ

- 18-51 wss_saml_token_bearer_over_ssl_client_templateの設定

- 18-52 wss_saml_token_bearer_over_ssl_client_templateの構成プロパティ

- 18-53 wss_saml_token_bearer_over_ssl_service_templateの構成プロパティ

- 18-54 wss_saml20_token_bearer_over_ssl_client_templateの設定

- 18-55 wss_saml20_token_bearer_over_ssl_client_templateの構成プロパティ

- 18-56 wss_saml20_token_bearer_over_ssl_service_templateの構成プロパティ

- 18-57 wss_saml_token_over_ssl_client_templateの設定

- 18-58 wss_saml_token_over_ssl_client_templateの構成プロパティ

- 18-59 wss_saml_token_over_ssl_service_templateの構成プロパティ

- 18-60 wss_saml20_token_over_ssl_client_templateの設定

- 18-61 wss_saml20_token_over_ssl_client_templateの構成プロパティ

- 18-62 wss_saml20_token_over_ssl_service_templateの構成プロパティ

- 18-63 wss_username_token_over_ssl_client_templateの設定

- 18-64 wss_username_token_over_ssl_client_templateの構成プロパティ

- 18-65 wss_username_token_over_ssl_service_templateの構成プロパティ

- 18-66 wss10_saml_hok_token_with_message_protection_client_templateの設定

- 18-67 wss10_saml_hok_token_with_message_protection_client_templateの構成プロパティ

- 18-68 wss10_saml_hok_token_with_message_protection_service_templateの構成プロパティ

- 18-69 wss10_saml_token_with_message_protection_client_templateの設定

- 18-70 wss10_saml_token_with_message_protection_client_templateの構成プロパティ

- 18-71 wss10_saml_token_with_message_protection_service_templateの構成プロパティ

- 18-72 wss10_saml20_token_with_message_protection_client_templateの設定

- 18-73 wss10_saml20_token_with_message_protection_client_templateの構成プロパティ

- 18-74 wss10_saml20_token_with_message_protection_service_templateの構成プロパティ

- 18-75 wss10_username_token_with_message_protection_client_templateの設定

- 18-76 wss10_username_token_with_message_protection_client_templateの構成プロパティ

- 18-77 wss10_username_token_with_message_protection_service_templateの構成プロパティ

- 18-78 wss10_x509_token_with_message_protection_client_templateの設定

- 18-79 wss10_x509_token_with_message_protection_client_templateの構成プロパティ

- 18-80 wss10_x509_token_with_message_protection_service_templateの構成プロパティ

- 18-81 wss11_kerberos_token_over_ssl_client_templateの設定

- 18-82 wss11_kerberos_token_over_ssl_client_templateの構成プロパティ

- 18-83 wss11_kerberos_token_over_ssl_service_templateの構成プロパティ

- 18-84 wss11_kerberos_token_with_message_protection_client_templateの設定

- 18-85 wss11_kerberos_token_with_message_protection_client_templateの構成プロパティ

- 18-86 wss11_kerberos_token_with_message_protection_service_templateの構成プロパティ

- 18-87 wss11_saml_token_with_message_protection_client_templateの設定

- 18-88 wss11_saml_token_with_message_protection_client_templateの構成プロパティ

- 18-89 wss11_saml_token_with_message_protection_service_templateの構成プロパティ

- 18-90 wss11_saml20_token_with_message_protection_client_templateの設定

- 18-91 wss11_saml20_token_with_message_protection_client_templateの構成プロパティ

- 18-92 wss11_saml20_token_with_message_protection_service_templateの構成プロパティ

- 18-93 wss11_username_token_with_message_protection_client_templateの設定

- 18-94 wss11_username_token_with_message_protection_client_templateの構成プロパティ

- 18-95 wss11_username_token_with_message_protection_service_templateの構成プロパティ

- 18-96 wss11_x509_token_with_message_protection_client_templateの設定

- 18-97 wss11_x509_token_with_message_protection_client_templateの構成プロパティ

- 18-98 wss11_x509_token_with_message_protection_service_templateの構成プロパティ

- 18-99 binding_oes_authorization_templateの設定

- 18-100 binding_oes_authorization_templateの構成プロパティ

- 18-101 pii_security_templateの設定

- 18-102 pii_security_templateの構成プロパティ

- 18-103 oracle/sts_trust_config_client_templateの設定

- 18-104 oracle/sts_trust_config_client_templateのプロパティ

- 18-105 oracle/sts_trust_config_service_templateの設定

- 18-106 oracle/sts_trust_config_service_templateのプロパティ

- 18-107 oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_templateの設定

- 18-108 oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_templateのプロパティ

- 18-109 oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_templateのプロパティ

- 18-110 oracle/wss11_sts_issued_saml_hok_with_message_protection_client_templateの設定

- 18-111 oracle/wss11_sts_issued_saml_hok_with_message_protection_client_templateのプロパティ

- 18-112 oracle/wss11_sts_issued_saml_hok_with_message_protection_service_templateのプロパティ

- 18-113 wss11_sts_issued_saml_with_message_protection_client_templateの設定

- 18-114 oracle/wss11_sts_issued_saml_with_message_protection_client_templateのプロパティ

- 18-115 binding_authorization_templateの設定

- 18-116 binding_authorization_templateのプロパティ

- 18-117 binding_permission_authorization_templateの設定

- 18-118 binding_permission_authorization_templateのプロパティ

- 18-119 component_authorization_templateの設定

- 18-120 component_authorization_templateのプロパティ

- 18-121 サポートされているアルゴリズム・スイート

- 18-122 component_permission_authorization_templateの設定

- 18-123 component_permission_authorization_templateのプロパティ

- 18-124 サポートされているアルゴリズム・スイート

- 18-125 リクエスト、レスポンスおよびフォルト・メッセージへの署名と暗号化の設定

- 18-126 security_log_templateの設定

- 18-127 security_log_templateのプロパティ

- A-1 Oracle Web Servicesのセキュリティおよびポリシー注釈

- A-2 javax.xml.ws.soap.Addressing注釈の属性

- A-3 com.oracle.webservices.api.tx.at.AtomicTransaction注釈の属性

- A-4 com.oracle.webservices.api.Buffering注釈の属性

- A-5 com.oracle.webservices.api.CacheBinaryContent注釈の属性

- A-6 oracle.webservices.annotations.async.CallbackManagementPolicy注釈の属性

- A-7 oracle.webservices.annotations.async.CallbackMtomPolicy注釈の属性

- A-8 oracle.wsm.metadata.annotation.CallbackPolicySet注釈の属性

- A-9 oracle.webservices.annotations.async.CallbackSecurityPolicy注釈の属性

- A-10 com.oracle.webservices.api.FastInfosetCallbackClient注釈の属性

- A-11 com.oracle.webservices.api.FastInfosetService注釈の属性

- A-12 oracle.webservices.annotations.ManagementPolicy注釈の属性

- A-13 com.oracle.webservices.api.MaxRequestSize注釈の属性

- A-14 com.oracle.webservices.api.MEXRequestProcessingService注釈の属性

- A-15 javax.xml.ws.soap.MTOM注釈の属性

- A-16 com.oracle.webservcies.api.MTOMEncodeFaultService注釈の属性

- A-17 oracle.webservices.annotations.MtomPolicy注釈の属性

- A-18 oracle.webservices.annotations.Persistence注釈の属性

- A-19 oracle.wsm.metadata.annotation.PolicyReference注釈の属性

- A-20 oracle.wsm.metadata.annotation.PolicySet注釈の属性

- A-21 com.oracle.webservcies.api.POXHttpBindingService注釈の属性

- A-22 oracle.wsm.metadata.annotation.Property注釈の属性

- A-23 oracle.webservices.annotations.ReliabilityPolicy注釈の属性

- A-24 oracle.webservices.annotations.ReliableMessaging注釈の属性

- A-25 oracle.webservices.annotations.RequestProcessingService注釈の属性

- A-26 oracle.webservices.annotations.SchemaValidation注釈の属性

- A-27 oracle.webservices.annotations.SecurityPolicy注釈の属性

- A-28 weblogic.wsee.jws.jaxws.owsm.SecurityPolicy注釈の属性

- A-29 oracle.webservices.annotations.SOAPRequestProcessingService注釈の属性

- A-30 oracle.webservices.annotations.TestPageProcessingService注釈の属性

- A-31 oracle.webservices.annotations.WSDLRequestProcessingService注釈の属性

- A-32 oracle.webservices.annotations.WSLoggingLevel注釈の属性

- C-1 WS-PolicyのOracle拡張機能属性

- C-2 <wsp:ExactlyOne>要素の属性

- C-3 <orasp:Assertion>要素の属性

- C-4 <orawsp:Config>要素の属性

- C-5 <orawsp:PropertySet>要素の属性

- C-6 <orawsp:Property>要素の属性

- C-7 事前定義済アサーションで使用するプロパティ

- C-8 <orasp:sts-trust-config>要素の属性

- C-9 <orasp:wss11-sts-issued-token-with-certificates>要素の属性

- C-10 <orasp:wss-sts-issued-token-over-ssl>要素の属性

- C-11 <orasp:attachment>要素の属性

- C-12 <orasp:auth-header>要素の属性

- C-13 <orasp:coreid-token>要素の属性

- C-14 <orasp:element>要素の属性

- C-15 <orasp:header>要素の属性

- C-16 <orasp:issued-token>要素の属性

- C-17 <orasp:kerberos-token>要素の属性

- C-18 <orasp:msg-security>要素の属性

- C-19 <orawsp:require-tls>要素の属性

- C-20 <orasp:role>要素の属性

- C-21 <orasp:saml-token>要素の属性

- C-22 <orasp:username-token>要素の属性

- C-23 <orasp:x509-token>要素の属性

- D-1 ポリシー・セット要素の属性

- D-2 <wsp:policyReference>要素の属性

- E-1 OWSMイントロスペクション・プラグインのパラメータ

- E-2 OWSMイントロスペクション・プラグインでサポートされているトポロジ

- E-3 OWSMシステム・プロパティ

- E-4 OWSMアプライアンスのユーザー・プロパティ - STS信頼

- E-5 OWSMユーザー・プロパティ - KerberosおよびSPNEGO

- E-6 OWSMユーザー・プロパティ - wss11-sts-issued-token-with-certificates

- E-7 OWSMアプライアンスのユーザー・プロパティ - ブートストラップ構成

はじめに

この項では、対象読者、このガイドの使用方法を説明し、ドキュメントのアクセシビリティについての情報を提供します。

対象読者

このガイドの対象読者は次のとおりです。

- Webサービスおよびセキュリティを管理するシステムおよびセキュリティ管理者

- Webサービスを開発し、Webサービスをデプロイする前にセキュリティのテストを行うアプリケーション開発者

- セキュリティ・ポリシーを作成するセキュリティ・アーキテクト

このマニュアルの使用方法

Webサービスの理解を参照して、Oracle Fusion Middleware 12cでサポートされている2つのWebサービス・スタックを適切に理解することをお薦めします。

このドキュメントは次のように編成されています。

- Oracle Web Servicesの概要では、Webサービスを保護および管理するために必要な概念およびタスクを紹介します。Webサービス・ポリシーの概要を提供し、Webサービスに最適なセキュリティ・ポリシーの決定に役立てることができます。また、WebLogic ServerでOracle Web Services Managerをインストールおよび構成する方法についても説明します。

- ポリシーのアタッチと管理では、Fusion Middleware ControlおよびWLSTを使用して、ポリシーやポリシー・セットを操作する方法について説明します。ポリシーおよびポリシー・セットの表示、アタッチ、デタッチ、編集およびオーバーライドなどのトピックが含まれています。

- Webサービスの保護では、メッセージ保護、SSL、認証および認可に向けてWebサービスを構成する方法について説明します。SAMLおよびWS-Trustユースケースが例として記載されています。ハードウェアをOracle Web Services Managerと統合することも可能です。

- Oracle Web Services Managerの管理とトラブルシューティングでは、問題を診断し、Oracle Web Services Managerのパフォーマンスを調整する方法について説明します。Oracle Web Services Managerリポジトリの操作方法についても説明します。

- Oracle Web Services Managerの事前定義済ポリシーおよびアサーション・テンプレートでは、OWSM付属の事前定義済ポリシーとアサーション・テンプレートについて説明している参照情報を提供します。

- Oracle Web Servicesのセキュリティおよびポリシーのリファレンスでは、Webサービス・セキュリティおよびポリシー注釈、アサーションとポリシー・セット・スキーマ、およびOracle Virtual Assembly Builder用のOWSMプラグインについて説明している参照情報を提供します。

ドキュメントのアクセシビリティについて

Oracleのアクセシビリティへの取り組みについては、Oracle Accessibility ProgramのWebサイト(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc)にアクセスしてください。

Oracleサポートへのアクセス

サポートを購入したオラクル社のお客様は、My Oracle Supportを介して電子的なサポートにアクセスできます。詳細は、http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info、聴覚に障害があるお客様はhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trsを参照してください。

関連ドキュメント

詳細は、次のOracle Web Services Managerドキュメントを参照してください。

- Webサービスの管理

- Oracle Web Services Manager拡張可能アプリケーションの開発

- Oracle Application Development FrameworkによるFusion Webアプリケーションの開発

- Oracle WebLogic ServerのJAX-RPC Webサービスの開発

- Oracle WebLogic ServerのJAX-WS Webサービスの開発

- Oracle Infrastructure Webサービスの開発

- Oracle JDeveloperによるアプリケーションの開発

- 『Oracle SOA Suiteを使用したSOAアプリケーションの開発』

- Oracle Web Services Manager相互運用性ソリュー ション・ガイド

- Oracle JDeveloperによる、WebCenter Portalアセットおよびカスタム・コンポーネントの開発

- Oracle WebLogic ServerのWebLogic Webサービスの保護

- Oracle Web Services Managerの理解

- Oracle WebLogic ServerのWebLogic Webサービスの理解

- Webサービスの理解

- Oracle Web Services Managerを使用したWebサービスの保護のユース・ケース

- Oracle WebLogic ServerのWebLogic Webサービス・リファレンス

Oracle Web Services Managerテクノロジのサイトhttp://www.oracle.com/technology/products/webservices_manager/index.htmlも参照してください。

表記規則

このマニュアルでは次の表記規則を使用します。

表記規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

このガイドで説明する新機能

Oracle Web Services Manager (OWSM)の新機能と変更された機能およびこのガイドで説明する主な変更について説明します。

トピック

- リリース12c (12.2.1.2)の新機能と変更された機能

- リリース12c (12.2.1.1)の新機能と変更された機能

- リリース12c (12.2.1)の新機能と変更された機能

- リリース12c (12.1.3)の新機能と変更された機能

- リリース12c (12.1.3)でのこのドキュメントにおけるその他の重要な変更

- リリース12c (12.1.2)の新機能と変更された機能

- リリース12c (12.1.2)でのこのドキュメントにおけるその他の重要な変更

リリース12c (12.2.1.2)の新機能と変更された機能

このドキュメントに記載されているOracle Fusion Middleware 12c (12.2.1.2)の新機能と変更された機能は次のとおりです。

- Oracleヘルス・チェッカ・ユーティリティがアップグレードされ、追加コンポーネントのサポートが追加されました。詳細は、checkWSMStatusコマンドを使用したドメイン構成の問題の特定の理解を参照してください。

- ブートストラップ構成プロパティを更新するためのsetWSMBootstrapConfig WLSTコマンド。詳細は、setWSMBootstrapConfigコマンドを使用したブートストラップ構成プロパティの更新を参照してください。

リリース12c (12.2.1.1)の新機能と変更された機能

このドキュメントに記載されているOracle Fusion Middleware 12c (12.2.1.1)の新機能と変更された機能は次のとおりです。

- 新しいsha256事前定義済ポリシー。詳細は、セキュリティ・ポリシー - Sha256のみを参照してください。

- 新しい事前定義済ポリシーであるHttp OAuth2 Token Over SSL Salesforce JWTクライアント・ポリシー。詳細は、oracle/http_oauth2_token_over_ssl_salesforce_jwt_client_policyを参照してください。

- 信頼できるJWT発行者の構成のサポート。詳細は、Fusion Middleware Controlを使用した信頼できるJWT発行者およびDNリストの構成を参照してください。

- Fusion Middleware ControlまたはWLSTを使用したOWSMの構成キャッシュの手動によるリフレッシュのサポート。詳細は、Fusion Middleware Controlを使用したOWSMの構成キャッシュの手動によるリフレッシュについておよびWLSTを使用したOWSMの構成キャッシュの手動によるリフレッシュについてを参照してください。

リリース12c (12.2.1)の新機能と変更された機能

このドキュメントに記載されているOracle Fusion Middleware 12c (12.2.1)の新機能と変更された機能は次のとおりです。

- csf.map構成プロパティにより、特定の事前定義されたポリシーにアプリケーション・レベルの資格証明マップ名を構成できます(このプロパティを使用してドメイン・レベルの資格証明マップをアタッチメントごとにオーバーライドできます)。アプリケーション・レベルの資格証明マップの作成についてを参照してください。

- 新しいjndi.connection.timeoutプロパティ構成プロパティ。WLSTを使用した高可用性およびキャッシュ管理の構成を参照してください。

- Oracle Web Services Managerでは、Webサービス・クライアントがMobile and Social OAuth 2.0サーバーが実装するSOAPおよびRESTのWebサービスと対話し、2-legged認可を行うことができます。Oracle Web Services ManagerでのOAuth2の使用を参照してください。

- Jersey 2.xリリースを使用して構築されたRESTful Webサービスおよびクライアントに、OWSMポリシーをアタッチできるようになりました。(Jersey 1.xリリースを使用してポリシーをアタッチすることは引き続き可能ですが、Jersey 2.xリリースを使用することをお薦めします。)Webサービスを管理および保護するためのポリシーのアタッチを参照してください。

- 次のAPIは12c (12.1.3)リリースで非推奨となり、このリリースで削除されました: weblogic.jaxrs.api.client、com.sun.jersey.api.client、com.sun.jersey.api.client.async、com.sun.jersey.api.client.configおよびcom.sun.jersey.api.client.filter。

リリース12c (12.1.3)の新機能と変更された機能

このドキュメントに記載されているOracle Fusion Middleware 12c (12.1.3)の新機能と変更された機能は次のとおりです。

- Oracle Service BusとOracle SOA Suite (SOAP/RESTful WebサービスとJCAアダプタ)、およびOracle Enterprise Schedulerのサポート。これらのコンポーネントについては、必要に応じてこのドキュメント全体を通して言及しています。具体的には次のようなセクションです。
Webサービス・セキュリティとポリシー管理

Webサービスに使用する事前定義済ポリシーの決定

グローバルにアタッチされたポリシーのリソースのタイプとスコープの定義について

- Java EE (WebLogic) Webサービスでのグローバル・ポリシー・アタッチメントのサポート。詳細は、次を参照してください。
Fusion Middleware Controlを使用したポリシーのグローバルなアタッチについて

WLSTを使用したポリシーのグローバルなアタッチについて

- 直接ポリシー・アタッチメントのソース決定のサポート。詳細は、「ポリシー・アタッチメントのソースの決定」を参照してください。

- 次のようなセキュリティ拡張。
Oracle Entitlements Server (OES)とOWSMの統合。詳細は、「Oracle Entitlements Serverを使用したファイングレイン認可の構成について」を参照してください。

SOAコンポジットの個人の身元を特定する情報(PII)、およびSOAアダプタとOracle Service Bus JCAアダプタを保護する機能。詳細は、「個人情報の保護」を参照してください。

WLSTコマンドを使用したセキュア通信セッションの管理機能。詳細は、「セキュア通信セッションの理解」を参照してください。

「Kerberosログイン・モジュールの構成」で説明されているように、Fusion Middleware ControlにおけるKerberosログイン・モジュールで構成できる構成プロパティが追加されました。

ignore.timestamp.in.response構成プロパティがトランスポート・レベル(_over_ssl_)クライアント・ポリシーおよびアサーション・テンプレートに追加されました。詳細は、Oracle Web Services Managerの事前定義済ポリシーおよびOracle Web Services Managerの事前定義済アサーション・テンプレートを参照してください。

ORグループを追加した後に、ユーザー定義ポリシーにアサーションを追加する機能。詳細は、「ポリシーへのORグループの追加」を参照してください。

アルゴリズム・スイートの構成設定は、すべての事前定義済SSLテンプレートおよびポリシーでBASIC_128がデフォルトになっています。詳細は、「Oracle Web Services Managerの事前定義済アサーション・テンプレート」を参照してください。

- 自動検出ロジックの変更。デフォルトで非セキュア・プロトコルを使用してローカル・ドメインのポリシー・マネージャに接続する、自動検出機能。ただし、非セキュア・ポートが無効であるために非セキュア・プロトコルを使用してポリシー・マネージャに接続できない場合、自動検出ロジックはセキュア・プロトコルを使用してポリシー・マネージャに接続しようとします。詳細は、「Fusion Middleware Controlを使用したポリシー・マネージャ接続の構成の理解」を参照してください。

- 次の新規クライアント・ポリシーの構成プロパティのサポート。これらはRESTful Webサービス・クライアントがユーザー名とパスワードを構成するように設計時にオーバーライドできます。
oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_USERNAME_PROPERTY

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_PASSWORD_PROPERTY

詳細は、「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」を参照してください。

リリース12c (12.1.3)でのこのドキュメントにおけるその他の重要な変更

12c (12.1.3)でこのガイドは何箇所か更新されています。次の表に、追加、削除または変更された項を示します。

- WS-Trust構成のトラブルシューティングに対応するための新しいセクションが追加されました。詳細は、WS-TrustユースケースでのOracle Web Services Managerの一般的な例外を参照してください。

- SAMLメッセージ保護ユースケースおよびWS-Trustユースケースに関する章がこのマニュアルから削除され、『Oracle Web Services ManagerによるWebサービスの保護のユース・ケース』という新しいドキュメントに追加されました

- アサーション・テンプレートの設定および構成プロパティの参照情報が、Oracle Web Servicesの事前定義済アサーション・テンプレートという単一の付録に統合されました。

- このリリースではリモート・ドメインのポリシー・マネージャへの構成がサポートされていないため、次の各項が更新されました。
Fusion Middleware Controlを使用したポリシー・マネージャ接続の構成の理解

WLSTを使用したポリシー・マネージャ接続の構成

リモートのポリシー・マネージャへの接続の構成に関する項が削除されました。

リリース12c (12.1.2)の新機能と変更された機能

Oracle JDeveloper 12c (12.1.2)には、このドキュメントで説明する次の新機能と変更された機能が含まれています。

- OWSMポリシーを使用したRESTful Webサービス・セキュリティ。詳細は、次を参照してください。
設計時におけるRESTful Webサービスおよびクライアントへのポリシーのアタッチについて

Fusion Middleware Controlを使用したポリシーを直接アタッチする

WLSTを使用したRESTfulおよびOracle Infrastructure Webサービスおよびクライアントへのポリシーの直接アタッチについて

- 次のようなセキュリティ拡張。
Webサービスとそのクライアント間のセキュアな通信を提供するWeb Services Trust (WS-Trust 1.3)およびWeb Services Secure Conversation (WS-SecureConversation 1.3)の仕様。WS-SecureConversationを使用すると、Webサービスのパフォーマンスとセキュリティを向上できます。詳細は、Oracle Web Services Managerを使用したセキュア通信の構成を参照してください。

デフォルトのメッセージ保護OWSMキーストアとしてのKSSのサポート。詳細は、「メッセージ保護に関するOPSSキーストア・サービスの理解」を参照してください。

フェデレーテッドSTS信頼およびトークン・キャッシュ・サポート(「WebサービスWS-Trustの概要」を参照)

Kerberosセキュリティ拡張。Kerberosトークンの構成の理解で説明されているSPNEGOを使用した資格証明委任およびシングル・サインオン、導出キーで説明されている導出キーの構成、およびOracle Web Services Managerの事前定義済ポリシーで説明されている新しい事前定義済ポリシーを参照してください。

Oracle Coherenceでのnonceのキャッシュ(「Oracle CoherenceでのNonceのキャッシュ」を参照)。

暗号化ヘッダーのサポート。

SHA 256 (SHA-2)アルゴリズム・サポート(「サポートされているアルゴリズム・スイート」を参照)。

次のようなX509セキュリティ拡張。

「PKIパスの使用」で説明するように、すべてのX509アサーション・テンプレートでPKIパスの設定が可能です。

Oracle Web Servicesの事前定義済アサーションのスキーマ参照で説明するように、すべてのX509アサーション・テンプレートはデフォルトで署名されています。

ダイジェスト認証(「ダイジェスト認証の構成について」を参照)。

- 次のような接続プロトコルとしてのSOAP over JMSトランスポート。
新しい事前定義済ポリシーとアサーション・テンプレート(「SOAP Over JMSトランスポート・ポリシー」を参照)。

新しい注釈。Oracle Web Servicesのセキュリティおよびポリシー注釈を参照してください。

- テキスト・ベースのXML形式よりも効率的なシリアライズを行う圧縮済のバイナリ・エンコーディング形式を提供する、次のようなFast Infosetサポート。
新しい事前定義済ポリシーとアサーション・テンプレート(「構成ポリシー」を参照)。

新しい注釈。Oracle Web Servicesのセキュリティおよびポリシー注釈を参照してください。

- Fusion Middlewareコンポーネントをワイヤリングするための、簡素化された方法を提供するクロス・コンポーネント・ワイヤリング・サポート。OWSMはクロス・コンポーネント・ワイヤリングを使用して、ドメイン内のポリシー・マネージャを自動検出します。ワイヤリング・プロセスを自動化し、ワイヤリングの確立後に診断を行うことができます。詳細は、「ポリシー・マネージャの自動検出のためのクロス・コンポーネント・ワイヤリング」を参照してください。

- 現在はデフォルトで非セキュア・プロトコルを使用してローカル・ドメインのポリシー・マネージャに接続する、自動検出機能。必要に応じて、SSLを使用した自動検出を構成するオプションが使用可能です。詳細は、「Fusion Middleware Controlを使用したポリシー・マネージャ接続の構成の理解」を参照してください。

- OWSMドメイン構成は、OWSMリポジトリに統合されました。以前のリリースでは、OWSM構成はjps-config.xmlやpolicy-accessor-config.xmlなどの様々なファイルや場所に格納されていました。この変更には、ドメインの認証、メッセージ保護およびポリシー・アクセスのためのOWSM環境を構成する、強化されたインタフェースが含まれます。詳細は、Oracle Web Services Managerのドメイン構成の管理を参照してください。

- 強化されたトークン発行者信頼構成。SAMLの信頼できる発行者およびDNは、OWSMリポジトリの信頼構成ドキュメントに格納されるようになりました。詳細は、「Fusion Middleware Controlを使用したドメイン・レベルの認証の構成」を参照してください。

- 再設計されたポリシー・オーサリングと管理ページ。詳細は、「Fusion Middleware ControlによるWebサービス・ポリシーの管理」を参照してください。

- Oracle SPARC T5およびSPARC M5サーバーを使用した高パフォーマンスのセキュリティ(「Oracle SPARC T5およびOracle SPARC T4暗号化アクセラレーションのためのOWSMの構成について」を参照)。

- Oracle Virtual Assembly Builder用のOWSMイントロスペクション・プラグイン。Oracle Virtual Assembly Builder用のOracle Web Services Managerイントロスペクション・プラグインを参照してください。

- 次の各項で説明する、ポリシーおよび注釈を使用したWebサービス機能の構成。
構成ポリシー

Oracle Web Servicesのセキュリティおよびポリシー注釈

- OWSMセキュリティ・ポリシーをWebLogic Webサービスおよびクライアントにアタッチするための次のような注釈サポート。
OWSMポリシーをアタッチするときに構成プロパティをオーバーライドするweblogic.wsee.jws.jaxws.owsm.Propertyアノテーション。

OWSMポリシーの配列をアタッチするweblogic.wsee.jws.jaxws.owsm.SecurityPoliciesアノテーション。

OWSMポリシーをアタッチするweblogic.wsee.jws.jaxws.owsm.SecurityPolicyアノテーション。

詳細は、「注釈を使用したJava EE Webサービスおよびクライアントへのポリシーのアタッチ」を参照してください。

- 一般的な事前定義済ポリシーおよびアサーション・テンプレートの、次のような更新。
構成やSOAP over JMSトランスポートなどの新しいポリシー・カテゴリ。新しいカテゴリは、関連するセクションで更新されます。

OWSMで配信された事前定義済ポリシーおよびアサーション・テンプレートは読取り専用です。詳細は、「Webサービス・ポリシー管理の概要」を参照してください。

ポリシー・アタッチメント後のサーバーの再起動は不要になりました。

- 次のようなWLST拡張。
Webサービス・スタック全体の整合性を保持する、再設計されたWebサービスWLSTフレームワーク。結果的に、新しい、または非推奨になった多数のOracle Infrastructure WebサービスのWLSTコマンドが存在します。新しいコマンドは、このドキュメント全体の例で使用されています。非推奨のコマンドおよび相当する12cのコマンドの完全なリストは、Oracle Fusion Middleware Infrastructureのリリース・ノートの非推奨となったOracle Infrastructure Webサービスのコマンドに関する項を参照してください。

ポリシー・サブジェクトを識別するコマンド構文が変更されました。すべてのWLSTの例は、このドキュメント全体で新しい構文を使用するよう更新されています。詳細は、「WLSTを使用したポリシー・サブジェクトの識別と選択」を参照してください。

アプリケーション・メタデータをエクスポートし、ポリシー・アタッチメントとロールを移行するための新しいOWSMリポジトリWLSTコマンドが提供されます。詳細は、Oracle Web Services Managerリポジトリの管理を参照してください。

Webサービス・トークン発行者信頼ドキュメントを管理するための新しいWLSTコマンド(「Oracle Web Services Managerのドメイン構成の管理」を参照)。

リリース12c (12.1.2)でのこのドキュメントにおけるその他の重要な変更

12c (12.1.2)でこのガイドは何箇所か更新されています。次の表に、追加または変更された項を示します。

- Oracle Fusion Middleware 11gで提供されている『Webサービスのためのセキュリティおよび管理者ガイド』は、このリリースでは次の3つのドキュメントに分割されました。
Oracle Web Services Managerの理解

Oracle Web Services ManagerによるWebサービスの保護とポリシーの管理(このマニュアル)

Webサービスの管理

- 事前定義済ポリシー参照および構成情報は、1つの章に統合されました。詳細は、Oracle Web Services Managerの事前定義済ポリシーを参照してください。

- OWSM論理ロールのサマリー・リストは、「ユーザーのグループまたはロールの変更」に含まれています。

- 事前定義済アサーション・テンプレート・プロパティのデフォルト値は、一貫して「デフォルト値」列に表示されます。11gでは、デフォルト値が「値」フィールドに表示される場合がありました。

- 「Oracle Web Servicesのアサーション・テンプレートの設定」および「Oracle Web Servicesのアサーション・テンプレートの構成プロパティ」の項が、「Oracle Web Services Managerの事前定義済アサーション・テンプレート」から新しい章「Oracle Web Servicesの事前定義済アサーション・テンプレート」に移動しました。

第I部 Oracle Web Servicesの概要

Webサービスの保護と管理に必要な概念とタスクについて説明します。

第I部では、Webサービス・ポリシーの概要を示し、Webサービスに最適なセキュリティ・ポリシーを決定するのに役立つ情報を提供します。また、WebLogic ServerでOracle Web Services Managerをインストールおよび構成する方法についても説明します。

この部は、次の章で構成されています。

- Oracle Web Servicesのセキュリティおよびポリシーの管理の概要では、Oracle Web Services Managerを使用したOracle Web Servicesのセキュリティおよびポリシーの管理の概要を示します。

- Oracle WebLogic ServerでのOracle Web Services Managerの使用では、WebLogic ServerでOracle Web Services Managerをインストールおよび構成する方法について説明します。

- Webサービスに使用する事前定義済ポリシーの決定では、要件に適したセキュリティ・ポリシーの決定に役立つ質問と、現行のリリースに含まれる事前定義済ポリシーのサマリーを提供します。

1 Oracle Web Servicesのセキュリティおよびポリシーの管理の概要

Oracle Web Services Manager (OWSM)を使用したOracle Web Servicesのセキュリティおよびポリシーの管理について説明します。

次のトピックが含まれています:

- Webサービス・セキュリティとポリシー管理

- OWSMを使用して保護できるOracle Webサービスのカテゴリ

1.1 Webサービス・セキュリティとポリシー管理

Oracle Web Services Manager (OWSM)には、組織全体で一貫してWebサービスを管理および保護するためのポリシー・フレームワークが備わっています。

OWSMの詳細は、『Oracle Web Services Managerの理解』を参照してください

OWSMは、開発者が設計時に使用することも、システム管理者が本番環境で使用することも可能です。

- アプリケーション開発者は、Oracle JDeveloperを使用して、OWSMポリシー・フレームワークのセキュリティと管理機能を活用します。詳細は、『Oracle JDeveloperによるアプリケーションの開発』のWebサービスの開発と保護に関する項を参照してください。

- システム管理者は、Oracle Enterprise Manager Fusion Middleware Controlまたはコマンド行インタフェースのWebLogic Scripting Tool (WLST)を使用して、デプロイ後のOWSMを活用できます。

使用環境のWeb環境を保護するためのOWSMの詳細な使用方法は、事前定義済ポリシーおよびアサーションを含め、このドキュメント全体を通して説明されています。

このマニュアルおよびこの他のマニュアルに、なじみのない用語が出てきた場合は、用語集で定義を確認してください。

1.2 OWSMを使用して保護できるOracle Webサービスのカテゴリ

OWSMフレームワークを使用して保護できるOracle Web Servicesのタイプとカテゴリの詳細を説明します。

Oracle Web Servicesのタイプとカテゴリを表1-1に示します。WebサービスのカテゴリおよびWebサービスとクライアントのタイプの詳細は、Webサービスの理解のOracle Fusion Middleware 12cのWebサービスの概要に関する項を参照してください。

表1-1 OWSMを使用して保護できるOracle Webサービスのカテゴリ

Webサービスのカテゴリ

Webサービスとクライアントのタイプ

Oracle Infrastructure Webサービス

Oracle ADFサービス

- ADFビジネス・コンポーネント・サービス(SOAPおよびRESTful)

- ADF Webアプリケーション(SOAPおよびRESTful)

- ADFデータ・コントロール(SOAPのみ)

Oracle Infrastructure Webサービス

Oracle Enterprise Scheduler

- Webサービス・ジョブおよびコントロール・サービス(SOAPのみ)

Oracle Infrastructure Webサービス

Oracle Service Bus

- ビジネスおよびプロキシ・サービス(SOAP、RESTful)

- JCAアダプタ

注意: OWSMポリシーのサブセットを非SOAP HTTPエンドポイントにアタッチすることも可能です。詳細は、『Oracle Service Busでのサービスの開発』のHTTPトランスポートを使用するWSDL (非SOAP)、XMLおよびメッセージ・サービス・タイプでサポートされるOracle WSMシード・ポリシーを参照してください。

Oracle Infrastructure Webサービス

Oracle SOA Webサービス

- サービス・コンポーネント(SOAPおよびRESTful)

- サービスおよび参照バインディング・コンポーネント(SOAPおよびRESTful)

- JCAアダプタ

Java EE (WebLogic) Webサービス

- JAX-WS (SOAP) Webサービス

- JAX-RS (RESTful) Webサービス

2 Oracle WebLogic ServerでのOracle Web Services Managerの使用

Oracle WebLogic ServerでOracle Web Services Managerをインストールして構成することにより、ドメイン全体の管理ポートの使用、デフォルト・ユーザーの変更およびWebLogic Serverドメイン間のOWSMポリシー・マネージャの共有を行うことができます。

次のトピックが含まれています:

- WebLogic ServerへのOracle Web Services Managerのインストール

- ドメイン全体の管理ポートでのOWSMの構成

- ポリシー・マネージャの自動検出のためのクロス・コンポーネント・ワイヤリング

- サービス表エントリとエージェント・バインディングの確認について

- デフォルト・ユーザーの変更について

2.1 WebLogic ServerへのOracle Web Services Managerのインストール

OWSMは、Oracle Fusion Middleware Infrastructureのインストール時にデフォルトでインストールされます。ただし、JAX-WS WebサービスとクライアントがデプロイされているスタンドアロンのWebLogic Server環境がある場合、OWSMをインストールしてWebサービスとクライアントを保護するために使用できます。

注意:

OWSMは、SOA Suiteを通じてのみライセンス付与できます。スタンドアロン・ライセンスは利用できません。ライセンスの詳細は、追加機能のライセンスに関する考慮事項を参照してください。

WebLogic ServerとともにOWSMを使用するには、Java Required Files (JRF)とOracle Enterprise Manager Fusion Middleware Controlが必要です。JRFは、Oracleビジネス・アプリケーションやアプリケーション・フレームワークに一般的な機能を提供するコンポーネントで構成されています。Oracle Enterprise Manager Fusion Middleware Controlは、Java EE (WebLogic) Webサービスを保護および管理するために使用できます。

Oracle Fusion Middleware Infrastructureの標準インストール・トポロジには、OWSM、JRFおよびEnterprise Managerが含まれています。このトポロジの詳細および詳細なインストール手順は、インフラストラクチャ・ソフトウェアのインストールに関する項を参照してください。WebLogic ServerとともにOWSMを使用するには、そのマニュアルの手順に従ってOracle Fusion Middleware Infrastructureの標準インストール・トポロジをインストールして構成してください。

インストールとドメインの構成が完了したら、このマニュアルの説明に従って、OWSMを使用してJava EE (WebLogic) JAX-WS Webサービスを保護できます。OWSMポリシーは、JAX-RPC Webサービスにアタッチできません。

Java EE (WebLogic) Webサービスの管理手順は、『Webサービスの管理』を参照してください。

2.2 ドメイン全体の管理ポートでのOWSMの構成

管理ポートを使用するようドメインが構成されている場合、管理者が実行するすべてのタスクはこのポートを経由する必要があります。デフォルトでは、OWSMポリシー・マネージャのターゲットは管理対象サーバーです。管理ポートでポリシー・マネージャを使用するには、ポリシー・マネージャのターゲットを管理対象サーバーおよび管理サーバーにする必要があります。

管理ポートの詳細は、次のトピックを参照してください。

- 『Oracle WebLogic Serverサーバー環境の管理』のネットワーク・チャネルの理解に関する項

- Oracle WebLogic Server管理コンソール・オンライン・ヘルプのドメイン全体の管理ポートの構成に関する項

ドメイン全体の管理ポートでOWSMを構成する手順は、次の2つに大きく分けられます。

1. WebLogic管理コンソールを使用して管理サーバーをポリシー・マネージャのターゲットとして設定する

2. Fusion Middleware Controlを使用した管理サーバー上のポリシー・マネージャのポリシー・アクセッサURLの指定

2.2.1 WebLogic管理コンソールを使用して管理サーバーをポリシー・マネージャのターゲットとして設定する

OWSMを構成するために、ポリシー・マネージャ・アプリケーションのターゲットとして管理サーバーを設定します。WebLogic管理コンソールを使用して、ポリシー・マネージャのターゲットとして管理サーバーを設定できます。

『Oracle Fusion Middlewareを使用したWebサービスの管理』のOracle WebLogic管理コンソールへのアクセスでの説明に従って、WebLogic管理コンソールにアクセスします。

1. または、Fusion Middleware Controlで、WebLogicドメインのホーム・ページからWebLogic管理コンソールにアクセスすることもできます。その手順は、次のとおりです。

a. 『Oracle Fusion Middlewareを使用したWebサービスの管理』のOracle Enterprise Manager Fusion Middleware Controlへのアクセスでの説明に従って、Fusion Middleware Controlにログインします。

b. ナビゲータ・ペインで「WebLogicドメイン」を開き、管理コンソールにアクセスする対象のドメインを選択します。
WebLogicドメインのホーム・ページが表示されます。

c. 「WebLogicドメイン」メニューから、「WebLogic Server管理コンソール」を選択します。または、ページの「サマリー」セクションにある「Oracle WebLogic Server管理コンソール」リンクをクリックします。

d. 「ようこそ」ページで、有効なユーザー名とパスワードを使用してログインします。

2. 管理コンソールの左ペインで、「デプロイメント」をクリックします。すべてのデプロイ済のエンタープライズ・アプリケーションとアプリケーション・モジュールを示す表が右ペインに表示されます。

3. この表で、ターゲットの再指定を行うwsm-pmアプリケーションを見つけて、その名前をクリックします。アプリケーションを見つけるには、「次」を数回クリックする必要がある場合があります。
アプリケーションの「設定」ページが表示されます。

4. 「ターゲット」タブをクリックします。
表の「現在のターゲット」列に、ポリシー・マネージャ・アプリケーションのターゲットであるサーバーが表示されます。

5. wsm-pmアプリケーションのターゲットをAdminServerにするには、「ターゲットの変更」をクリックします。

6. 「サーバー」ボックスで、「AdminServer」がまだ選択されていない場合はこれを選択し、「はい」をクリックします。
変更は自動的にアクティブ化されます。

2.2.2 Fusion Middleware Controlを使用した管理サーバー上のポリシー・マネージャのポリシー・アクセッサURLの指定

OWSMを構成するために、管理サーバー上のポリシー・マネージャのポリシー・アクセッサURLを指定します。Fusion Middleware Controlを使用して、管理サーバー上のポリシー・マネージャのポリシー・アクセッサURLを指定できます。

管理サーバー上のポリシー・マネージャのポリシー・アクセッサURLを指定するには:

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページにアクセスします。

2. 「ポリシー・アクセス」タブを選択します。

3. このページの「ポリシー・マネージャ」セクションで、自動検出チェック・ボックスの選択を解除します。ポリシー・マネージャのURLの「編集」ボタンが有効になります。

4. ポリシー・マネージャのURLの「編集」ボタンをクリックします。

5. 「ポリシー・マネージャのURL値の編集」ページで+記号をクリックして、t3s://host:admin_port/wsm-pmなどの管理サーバーのURLを入力ます。

たとえば、t3s://localhost:9002/wsm-pmと入力します。

管理サーバーのオーバーライド・ポートが構成されている場合は、次を使用します。

t3s://admin_server:admin_server_override_port

これは、管理サーバーで実行しているポリシー・マネージャの場所を指定します。

注意: オーバーライド・ポートを使用する場合、ポリシー・マネージャのバリデータ・ページは、オーバーライド・ポートではなく、https://admin_server_host:normal_https_port/wsm-pmに配置されます。詳細は、OWSMポリシー・マネージャのページを使用したポリシー・マネージャの問題の診断を参照してください。

6. 「OK」をクリックするとウィンドウが閉じます。

7. ポリシーへのアクセス・ページで、「適用」をクリックします。

2.3 ポリシー・マネージャの自動検出のためのクロス・コンポーネント・ワイヤリング

クロス・コンポーネント・ワイヤリングは、Fusion Middlewareコンポーネントをワイヤリングするための簡素化された方法を提供します。ワイヤリング・プロセスを自動化し、ワイヤリングの確立後に診断を行うことができます。

ワイヤリングは別のコンポーネントを指す1つのコンポーネントの構成の一部分で、コンポーネントの管理インタフェースを指すURLなどがあります。クロス・コンポーネント・ワイヤリングを使用すると、次のようになります。

- サービス・プロバイダは、サービス表にエンドポイントを公開します。これらのエンドポイントは、構成ウィザードを使用してドメインの作成や拡張を行ったときなどに自動的に公開することも、管理者が手動で公開することもできます。

- クライアントにはサービスを指す構成を含みます(サービスURLなど)。サービス表に公開されたサービス情報を含むこの構成を更新することで、クライアントはサービスにバインドされます。バインドは、構成ウィザードを使用してドメインの作成や拡張を行ったときなどに自動的に実行することも、管理者が手動で実行することもできます。

WebLogic ServerにFusion Middlewareをインストールして構成すると、ローカル・サービス表が作成されます。これにより、サービス・プロバイダはサービスのエンドポイント情報を公開し、これらのサービスのクライアントはそのサービスへの問合せとバインドを行います。ローカル・サービス表のスコープはドメインで、そのドメインが提供するサービスも含まれます。サービス表およびクロス・コンポーネント・ワイヤリングの詳細は、『Oracle Fusion Middlewareの管理』のクロス・コンポーネント・ワイヤリングに関する項を参照してください。

OWSMはクロス・コンポーネント・ワイヤリングを使用して、ドメイン内のポリシー・マネージャを自動検出します。構成ウィザードを使用してOWSMを含むドメインを作成または更新するとき、ローカル・サービス表にポリシー・マネージャURLが公開されます。ローカル・サービス表に公開されたエンドポイント・エントリを使用して、OWSMエージェントが自動的にOWSMポリシー・マネージャに接続されます。

ただし、構成ウィザード以外のツール(WebLogic管理コンソール、Fusion Middleware ControlまたはWLSTなど)を使用してドメインを変更した場合、ポリシー・マネージャURLへの変更は自動的にローカル・サービス表に公開されますが、OWSMエージェントのクライアントは自動的に新しいURLにバインドされません。この場合、ポリシー・マネージャURLにOWSMエージェントを手動でバインドする必要があります。詳細は、「Fusion Middleware Controlを使用したエージェント・バインディングの確認」を参照してください。

自動検出の設定の変更や無効化が行えます。この手順について次の各項で説明します。

- Fusion Middleware Controlを使用したポリシー・マネージャ接続の構成の理解

- WLSTを使用したポリシー・マネージャ接続の構成

2.4 サービス表エントリとエージェント・バインディングの確認について

Fusion Middleware Controlを使用してサービス表エントリおよびエージェント・バインディングを確認します。

このトピックでは、Fusion Middleware Controlを使用してサービス表エントリおよびエージェント・バインディングを確認する方法について説明します。

- Fusion Middleware Controlを使用したサービス表エントリとコンポーネントの確認

- Fusion Middleware Controlを使用したエージェント・バインディングの確認

2.4.1 Fusion Middleware Controlを使用したサービス表エントリとコンポーネントの確認

Fusion Middleware Controlの「サービス表」ページと「コンポーネント」ページを使用して、サービス表エントリとコンポーネントを確認できます。

サービス表エントリにポリシー・マネージャの正しいURLが含まれていることを確認するには、次の手順を実行します。

- 「サービス表」ページの使用

1. 「WebLogicドメイン」メニューから、「クロス・コンポーネント・ワイヤリング」→「サービス表」を選択します。

2. 「サービス表」で、「接続」列のURLと「最終公開日」の日付に、「サービスID」がurn:oracle:fmw.owsm-pm:t3のOWSMポリシー・マネージャの正しい情報が反映されていることを確認します。

- 「コンポーネント」ページの使用

1. 「WebLogicドメイン」メニューから、「クロス・コンポーネント・ワイヤリング」→「コンポーネント」を選択します。

2. 「コンポーネント・タイプ」表で、OWSMポリシー・マネージャを選択します。

3. 「サービス・エンド・ポイント」表で、「接続」列に正しいURLが表示されており、「サービスID」がurn:oracle:fmw.owsm-pm:t3のOWSMポリシー・マネージャのステータスがPublishedになっていることを確認します。ステータスがPublishedではない場合(たとえばOut of Sync)、このページを使用してポリシー・マネージャ接続を公開することもできます。これを行うには、表からそのポリシー・マネージャを選択し、「公開」をクリックします。

2.4.2 Fusion Middleware Controlを使用したエージェント・バインディングの確認

Fusion Middleware Controlを使用して、OWSMエージェントが正しく接続されていることを確認できます。

OWSMエージェントが適切なポリシー・マネージャURLに正しく接続されていることを確認する手順は次のとおりです。

1. 「WebLogicドメイン」メニューから、「クロス・コンポーネント・ワイヤリング」→「コンポーネント」を選択します。

2. 「コンポーネント表」表で、OWSMエージェントを選択します。

3. 「クライアント構成」表で、「クライアントID」owsm-pm-connection-t3の「接続」列に正しいポリシー・マネージャURLが反映されており、「ステータス」列のステータスがWiredとして表示されていることを確認します。
「ステータス」列にOut of Syncが表示されている場合、エージェントをポリシー・マネージャにバインドする必要があります。これを行うには、次の手順を実行します。

a. 「クライアント構成」表からowsm-pm-connection-t3を選択し、「バインド」をクリックします。

b. 「クライアント構成のバインド」ページで、「サービス・エンド・ポイント」に正しいポリシー・マネージャURLが含まれていることを確認し、「はい」をクリックします。
「コンポーネント」ページに確認メッセージが表示され、エージェントのステータスがWiredに変更されます。

2.5 デフォルト・ユーザーの変更について

OWSMエージェント・ランタイムは、デフォルトではOracleSystemUserアカウントとOracleSystemGroupを使用して、サーバーとの通信を行います。

デフォルト・ユーザーを変更するには、次の項で説明する手順を実行します。

- 認証プロバイダの構成

- 資格証明ストア・プロバイダの構成

- ドメインのポリシー・マネージャCSFキーの構成

- ユーザーのグループまたはロールの変更

- ユーザーに必要なロールがあるかどうかの判別

- OPSSスクリプトを使用してアプリケーション・ロールを管理する例

2.5.1 認証プロバイダの構成

このトピックでは、Oracle WebLogic Server管理コンソールを使用して認証プロバイダを構成する方法について説明します。

認証プロバイダを構成するには、次の手順を実行します。

1. Oracle WebLogic Server管理コンソール・オンライン・ヘルプの認証プロバイダとアイデンティティ・アサーション・プロバイダの構成に関する項の説明に従って、認証プロバイダを構成します。

- 構成しているレルムの名前を選択します(たとえばmyrealm)。

- 「新しい認証プロバイダの作成」ページで、認証プロバイダの名前を入力し(たとえば、OID)、タイプとしてOracle Internet Directoryオーセンティケータを選択します。

- 「設定」セクションで、「制御フラグ」を「オプション」に設定します。

「プロバイダ固有」タブで、次の情報を入力します。

- ホスト: LDAPプロバイダURL

- ポート: ポート番号

- プリンシパル: 管理ユーザーの詳細(新しいデフォルト・ユーザー)
例: CN=orcladmin,CN=Users,DC=us,DC=oracle,DC=com

- 資格証明: LDAPのパスワード

- 資格証明の確認: LDAPのパスワード

- ユーザー・ベースDN
例: CN=Users,DC=us,DC=oracle,DC=com

- グループ・ベースDN
例: CN=Groups,DC=us,DC=oracle,DC=com

2. WebLogic Serverを再起動します。

2.5.2 資格証明ストア・プロバイダの構成

このトピックでは、資格証明ストア・プロバイダを構成する方法について説明します。

「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」の説明に従って、次のパラメータを使用して、資格証明ストア・プロバイダを構成します。

- マップがまだない場合は、「マップの作成」を選択し、マップ名oracle.wsm.securityを入力します。

- 「資格証明ストア・プロバイダ」表で、oracle.wsm.securityを選択します。

- 「キーの作成」ダイアログで、適切なキーを入力します(たとえば、OID)。新しいデフォルト・ユーザーのユーザー名とパスワードを入力します(たとえば、orcladminおよびpassword)。

2.5.3 ドメインのポリシー・マネージャCSFキーの構成

このトピックでは、Fusion Middleware Controlを使用してポリシー・マネージャCSFキーを構成する方法について説明します。

ドメインのポリシー・マネージャCSFキーを構成するには:

1. 新しいデフォルト・ユーザーのアカウントでFusion Middleware Controlにログインします。

2. ナビゲーション・ペインで、「WebLogicドメイン」を開き、構成するドメインを選択します。

3. 「WebLogicドメイン」メニューから、「Webサービス」→「WSMドメイン構成」を選択します。

4. 「ポリシー・アクセッサ」タブを選択します。

5. 「Fusion Middleware Controlを使用したポリシー・マネージャ接続の構成」の手順3に従って、ポリシー・マネージャCSFキーを構成します。

この手順で指定するCSFキーは、資格証明ストア内でポリシー・マネージャの管理ユーザー用に指定されているCSFキーに一致する必要があります。詳細は、「資格証明ストア・プロバイダの構成」を参照してください。

その項の例を使用して、PM Csf Keyドロップダウン・メニューからOIDキーを選択し、資格証明とパスワードの組合せとしてoracladminとpasswordを入力します。

6. 「適用」をクリックして、WebLogic Serverを再起動します。

2.5.4 ユーザーのグループまたはロールの変更

OWSMエージェント・ランタイムは、OracleSystemUserアイデンティティを使用してwsm-pmにアクセスします。新しいデフォルト・ユーザーを定義する場合、AdministratorまたはOracleSystemGroupグループに含めるか(グループが存在する場合)、デフォルトのOWSM論理ロールにマップする必要があります。

新しいデフォルト・ユーザーを表2-1で定義されているデフォルトのOWSM論理ロールにマップします(グループが存在しない場合)。

表2-1 デフォルトのOWSM論理ロール

ロール

デフォルト・ユーザー

権限

policy.Updater

管理者

ポリシーの作成、編集、削除および更新

policy.User

すべての認証ユーザー

読取り専用権限(たとえば、ドキュメント情報の問合せ/表示)

policy.Accessor

- 管理者

- OracleSystemGroup

OWSMポリシー・マネージャの使用によるポリシーのアタッチのためにOWSMエージェント・ランタイムがアクセスするEJBの保護

2.5.5 ユーザーに必要なロールがあるかどうかの判別

OWSMエージェント・ランタイムは、デフォルトではOracleSystemUserアカウントとOracleSystemGroupを使用して、サーバーとの通信を行います。デフォルト・ユーザーを変更すると、各ユーザーに必要なロールが割り当てられます。

ユーザーに必要なロールがあるかどうかを確認するには:

- AdministratorまたはOracleSystemGroupグループがLDAPまたはアイデンティティ・ストアに存在する場合は、次の手順を実行します。

1. LDAPで、デフォルトの管理ユーザーとして使用するユーザーを追加します。

2. WebLogic Server管理コンソールで、ユーザーがAdministratorグループに存在することを確認します。詳細は、Oracle WebLogic Server管理コンソール・オンライン・ヘルプのユーザーとグループの管理に関する項を参照してください。

- AdministratorまたはOracleSystemGroupグループがLDAPまたはアイデンティティ・ストアに存在しない場合は、次のOPSSスクリプトのいずれかを使用してアプリケーション・ロールを管理できます。

- grantAppRole: プリンシパル(クラスおよび名前)を指定したアプリケーション・ストライプおよび名前を持つロールに追加します。

- revokeAppRole: プリンシパル(クラスおよび名前)を指定したアプリケーション・ストライプおよび名前を持つロールから削除します。

- listAppRoleMembers: 指定したアプリケーション・ストライプおよびロール名を持つロール内のすべてのメンバーがリストされます。

これらのOPSSスクリプトおよびその他のOPSSスクリプトの詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』のポリシー・ストアの管理に関する項を参照してください。

2.5.6 OPSSスクリプトを使用してアプリケーション・ロールを管理する例

OPSSスクリプトの使用方法の例を次に示します。

OPSSスクリプトを発行する前に、『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WLSTを起動してWebLogic Serverの実行中のインスタンスに接続する必要があります。

次のコマンドは、policy.AccessorロールをPAPUserという名前のプリンシパルに追加します。

grantAppRole(appStripe="wsm-pm", appRoleName="policy.Accessor",principalClass="weblogic.security.principal.WLSUserImpl", principalName="PAPUser")

次のコマンドは、policy.AccessorロールをOracleSystemGroupから削除します。

revokeAppRole(appStripe="wsm-pm", appRoleName="policy.Accessor",principalClass="weblogic.security.principal.WLSGroupImpl", principalName="OracleSystemGroup")

次のコマンドは、policy.Accessorロールに関連付けられたメンバーをリストします。

listAppRoleMembers(appStripe="wsm-pm", appRoleName="policy.Accessor")

3 Webサービスに使用する事前定義済ポリシーの決定

使用するWebサービスに最適なセキュリティ・ポリシーを決定するための質問に回答してください。現行のリリースに付属する事前定義済セキュリティ・ポリシーのサマリーも提供します。

次のトピックが含まれています:

- Webサービスのセキュリティ・ポリシーに関する質問

- Webサービスの事前定義済セキュリティ・ポリシーのサマリー

- Java EE WebサービスおよびクライアントでサポートされるOWSMポリシー

- RESTful WebサービスおよびクライアントでサポートされるOWSMポリシー

- SOAP Over JMSトランスポートを使用するWebサービスおよびクライアントでサポートされるOWSMポリシー

- SOAコンポジット・サービスおよびクライアントでサポートされるOWSMポリシー

- SSLの構成が必要なOWSMポリシー

- アイデンティティ・コンテキストでサポートされるOWSMポリシー

- WS-SecureConversationでサポートされるOWSMポリシー

- JCAアダプタでサポートされるOWSMポリシー

- OES統合でサポートされるOWSMポリシー

- PIIでサポートされるOWSMポリシー

- Oracle Service BusでサポートされるOWSMポリシー

3.1 Webサービスのセキュリティ・ポリシーに関する質問

要件に最適に適合するセキュリティ・ポリシーは、基本的な要件、認証の要件、認証と認可の要件、および認証とメッセージ保護の要件によって判別されます。

次に示す一連の質問で、要件に最適なセキュリティ・ポリシーを確認できます。

1. セキュリティ・ポリシーの基本的な要件は何ですか。ユーザーのみを認証する必要があるのか、メッセージ保護のみが必要なのか、両方が必要なのかを決定してください。

a. 認証のみが必要ですか。その場合は、手順2に進みます。

b. 認可のみが必要ですか。「はい」の場合は、Oracle Web Services Managerを使用した認可の構成を参照してください。

c. 認証および認可が必要ですか。その場合は、手順3に進みます。

d. メッセージ保護のみが必要ですか。その場合は、「セキュリティ・ポリシー - メッセージ保護のみ」を参照してください。

e. 認証およびメッセージ保護の両方が必要ですか。その場合は、手順4に進みます。

2. 認証のみが必要な場合は、考慮する必要のある基本的な質問が2つあります。

a. トークンをどこに組み込みますか。トランスポート・レイヤーとSOAPヘッダーのどちらにトークンを組み込みますか。

b. 特定タイプのトークンを使用する必要がありますか。認証のみのポリシーでサポートされている資格証明は、ユーザー名/パスワード・トークン、SAMLトークンおよびKerberosトークンです。認証のみのポリシーの詳細は、「認証のみのポリシー」を参照してください。

3. 認証および認可が必要な場合は、次の内容を考慮する必要があります。

a. 手順2で、認証に関して決定した内容を確認してください。

b. 認可ポリシーの詳細は、Oracle Web Services Managerを使用した認可の構成を参照してください。

4. 認証とメッセージ保護の両方が必要な場合は、次の内容を考慮する必要があります。

a. メッセージ保護をトランスポート・レイヤーで処理しますか。その場合は、Username over SSL、SAML over SSL (Sender-Vouches)、SAML over SSL (Token Bearer)、HTTP token over SSLの4つのポリシー・セットから選択します。Kerberos over SSLもカスタム・ポリシーにより使用可能です。
1つのポリシー・セット(wss_http_token_over_ssl_client_policyおよびwss_http_token_over_ssl_service_policy)では、認証もトランスポート・レイヤーで処理されます。その他3つのポリシーでは、認証はSOAPヘッダーで行われます。

WS-Security V1.0またはv1.1標準を使用している場合は、認証とメッセージ保護の両方がSOAPヘッダーで行われます。5組のポリシーで、ユーザー名/パスワード、SAML、X.509証明書およびKerberosのトークンがサポートされています。

詳細は、「セキュリティ・ポリシー - メッセージ保護および認証」を参照してください。

3.1.1 Webサービスの適切な認証ポリシーの選択

OWSMには様々な認証ポリシーが含まれており、どれが最適なものか明確でない場合があります。このトピックでは、選択された認証ポリシーとそれを使用すべき場面について説明します。

表3-1では、選択された認証ポリシーとそれを使用すべき場面について説明します。表3-1では、ポリシー名はワイルドカードを使用して表示されています(たとえば、*username_token*は、名前にusername_tokenが含まれるすべてのポリシーを示します。)

表3-1 適切な認証ポリシーの選択

ポリシー・タイプ

説明

*username_token*

これらのポリシーでは、クライアントはユーザー名とパスワードをWebサービスに送信する必要があります。クライアントは、資格証明ストアでパスワードを使用可能である必要があります。このタイプのポリシーは、クライアントが実際のエンド・ユーザー名とは異なるアプリケーション識別子を使用してWebサービスに接続する必要があるアイデンティティ切替えで便利です。これは、最も簡単な認可ポリシーであるため、多種多様なサード・パーティ・クライアントと互換性があります。

*saml*

これらのポリシーでは、クライアントはユーザー名を含むSAMLアサーションを送信する必要があります。SAMLには、次に示すバリアントがあります。

- 送信者保証。この場合、クライアントがSAMLアサーションを作成します。サーバーはクライアントを信頼するよう設定される必要があります。このポリシーは、特定のエンド・ユーザーがクライアントで認証済で、クライアントがこのユーザーのパスワードを知ることなくWebサービスに伝播する必要がある場合のアイデンティティ伝播で役立ちます。
送信者保証は、同一ドメインまたは同一の資格証明ストアを共有する異なるドメインの一部のミドルウェア・サーバー間の通信において最適に動作します。それらはすべて同一の資格証明ストアおよびキーを共有しているので、相互に信頼することが容易なためです。

ドメインの外部にあるクライアントに対して送信者保証を使用するときは、注意が必要です。送信者保証では、信頼はクライアントのキーに基づいており、攻撃者はこのキーを使用して任意のユーザーになりすますことができます。たとえば、エンド・ユーザーのデスクトップに存在するクライアントからの送信者保証は使用しないことをお薦めします。悪質なエンド・ユーザーは容易にクライアント・キーを取得し、他のエンド・ユーザーになりすますことができるからです。

- STSからのキー所有者SAMLキー所有者は、仲介された信頼を可能にするSecure Token Service (STS)と組み合せて使用されます。多数のクライアントと多数のWebサービスが関連性のない異なるセキュリティ・ドメイン内に存在する場合、すべてを相互に信頼することは困難です。かわりに、中央エンティティのSTSを信頼できます。
すべてのWebサービスがSTSのみを信頼する必要があります。また、クライアントはユーザー名、パスワード、Kerberosトークンなどのエンド・ユーザーの資格証明を送信して、自身をSTSに証明する必要があります。

SAML送信者保証は、最も使用されるポリシーに含まれるユーザー名トークンであるため、OWSMはoracle/wss_saml_or_username_token_service_policyなど、これら2つを組み合せるORグループ・ポリシーを提供します。多くの場合、Webサービスはこのポリシーを使用します。このポリシーは、グローバル・ポリシー・アタッチメントの候補でもあります。

3.1.2 Webサービスの適切な機密保護および整合性ポリシーの選択

OWSMは、3つのレベルの機密性と整合性を提供します。

3つのレベルの機密性と整合性は次のとおりです。

- 機密性と整合性なし: 機密性と整合性には暗号化が必要です。これには、コンピュータ・リソースを消費します。ファイアウォール化されたプライベート・ネットワーク内のミドルウェア・サーバー間で交換されるメッセージでは、機密性および整合性に対する負担はありません。機密性と整合性を持たないOWSMポリシーは、ユーザー名トークンまたはSAMLを介した認証を提供します。

- SSLベースの機密性と整合性: SSLはトランスポート・レベルの機密性と整合性を提供します。SSLによりHTTPSを使用するようエンドポイントを変更して、クライアントがHTTPSエンドポイントと対話できるようにする必要があります。

- メッセージ・セキュリティ・ベースの機密性と整合性: メッセージ・セキュリティは、SSLよりパフォーマンスは低下しますが、次のいくつかの点でSSLよりも利点があります。

- SSLとは異なり、メッセージがSSLの終了地点(ロード・バランサ、Oracle HTTP ServerまたはJ2EEコンテナなど)で保護されなくなっても、メッセージはメッセージ・セキュリティによりアプリケーションに到達するまでセキュアなままです。

- SSLのセキュリティはコンテナ・レベルです。つまり、コンテナで実行されているすべてのWebサービスは、同一のキーを共有する必要があります。メッセージ・セキュリティでは、デフォルトではドメインで同一のキーを共有しますが、Webサービスごとにキーをオーバーライドできます。

OWSMでは、wss10とwss11の2つのリリースのメッセージ・セキュリティを提供しています。wss11はwss10を改善したもので、wss10ではすべてのクライアントがクライアント・キーを持つ必要がありましたが、wss11では必要ありません。(SAML送信者保証などの特定のポリシーでは、wss11でもクライアント・キーが必要です。)

また、wss11は必要とする非対称鍵の操作が少ないため、高速です。ただし、wss10は互換性の幅がより広く、一部のクライアントはwss10でのみ動作します。

wss10のみを使用できるクライアントをサポートする必要がある場合以外は、wss11のポリシーを使用してください。

3.2 Webサービスの事前定義済セキュリティ・ポリシーのサマリー

事前定義済セキュリティ・ポリシーはWebサービスにセキュリティを提供します。これらのポリシーはトランスポート・レイヤーまたはSOAPヘッダーで施行されます。

次の項では、事前定義済セキュリティ・ポリシーを、提供するセキュリティのタイプと、ポリシーがトランスポート・レイヤーまたはSOAPヘッダーで実行されるかどうかに基づいてまとめています。事前定義済ポリシー・カテゴリの詳細は、『Oracle Web Services Managerの理解』のポリシー・カテゴリに関する項を参照してください。ポリシーの詳細は、Oracle Web Services Managerの事前定義済ポリシーを参照してください。

- 認証のみのポリシー

- メッセージ保護のみのポリシー

- メッセージ保護および認証ポリシー

- 認可ポリシー

- WS-Trustポリシー

- MTOMアタッチメント・ポリシー

- 信頼できるメッセージング・ポリシー

- 動作無効ポリシー

3.2.1 認証のみのポリシー

このトピックでは、SOAPおよびRESTful Webサービス用に提供されている認証のみのポリシーの一覧を示します。

表3-3に、SOAPおよびRESTful Webサービスに対して認証のみを実行するセキュリティ・ポリシーをまとめます。

表3-2 認証のみのポリシー: SOAPおよびRESTful Webサービス

クライアント・ポリシー

サービス・ポリシー

認証(トランスポート)

oracle/http_basic_auth_over_ssl_client_policy

oracle/http_basic_auth_over_ssl_service_policy

あり

該当なし

oracle/http_oam_token_service_policy

あり

oracle/http_saml20_token_bearer_client_policy

oracle/http_saml20_token_bearer_service_policy

あり

oracle/http_saml20_token_bearer_over_ssl_client_policy

oracle/http_saml20_bearer_token_over_ssl_service_policy

あり

次のいずれかをアタッチします。

- oracle/wss_http_token_client_policy

- oracle/http_saml20_token_bearer_client_policy

- oracle/http_jwt_token_client_policy

- oracle/http_oauth2_token_client_policy

HTTP OAMセキュリティをサポートするには、OAM Webgateを構成してリクエストをインターセプトする必要があります。詳細は、「oracle/multi_token_rest_service_policy」を参照してください。

oracle/multi_token_rest_service_policy

あり

次のいずれかをアタッチします。

- oracle/http_basic_auth_over_ssl_client_policy

- oracle/http_saml20_token_bearer_over_ssl_client_policy

- oracle/http_jwt_token_over_ssl_client_policy

- oracle/http_oauth2_token_identity_switch_over_ssl_client_policy

- oracle/http_oauth2_token_over_ssl_client_policy

HTTP OAMセキュリティをサポートするには、OAM Webgateを構成してリクエストをインターセプトする必要があります。詳細は、「oracle/multi_token_over_ssl_rest_service_policy」を参照してください。

oracle/multi_token_over_ssl_rest_service_policy

あり

表3-3に、SOAP Webサービスに対して認証のみを実行するセキュリティ・ポリシーをまとめ、トークンがトランスポート・レイヤーまたはSOAPヘッダーに組み込まれるかどうかを示します。

表3-3 認証のみのポリシー: SOAP Webサービスの場合のみ

クライアント・ポリシー

サービス・ポリシー

認証(トランスポート)

認証(SOAP)

oracle/wss_http_token_client_policy

oracle/wss_http_token_service_policy

あり

なし

oracle/wss_username_token_client_policy

oracle/wss_username_token_service_policy

なし

あり

oracle/wss10_saml_token_client_policy

oracle/wss10_saml_token_service_policy

なし

あり

oracle/wss10_saml_token_client_policy

oracle/wss10_saml20_token_service_policy

なし

あり

oracle/wss11_kerberos_token_client_policy

oracle/wss11_kerberos_token_service_policy

なし

あり

表3-4に、AOuth2およびJWT Webサービスに対して認証のみを実行するセキュリティ・ポリシーをまとめます。

表3-4 認証のみのポリシー: OAuth2およびJWT Webサービス

クライアント・ポリシー

サービス・ポリシー

認証(トランスポート)

oracle/http_oauth2_token_client_policy

oracle/http_jwt_token_service_policy

あり

oracle/http_oauth2_token_identity_switch_opc_oauth2_over_ssl_client_policy

oracle/http_oauth2_token_identity_switch_over_ssl_client_policy

oracle/http_jwt_token_over_ssl_service_policy

あり

oracle/http_oauth2_token_opc_oauth2_client_policy

Oracle Cloud用に予約済。

oracle/http_oauth2_token_opc_oauth2_over_ssl_client_policy

oracle/http_oauth2_token_over_ssl_client_policy

oracle/http_jwt_token_over_ssl_service_policy

あり

oracle/oauth2_config_client_policy

該当なし

oracle/http_jwt_token_client_policy

oracle/http_jwt_token_service_policy

あり

oracle/http_jwt_token_identity_switch_client_policy

oracle/http_jwt_token_over_ssl_client_policy

oracle/http_jwt_token_over_ssl_service_policy

あり

3.2.2 メッセージ保護のみのポリシー

このトピックでは、メッセージ保護のみを実行するポリシーの概要と、ポリシーがトランスポート・レイヤーまたはSOAPヘッダーで実行されるかどうかを示します。

表3-5 メッセージ保護のみのポリシー

クライアント・ポリシー

サービス・ポリシー

認証(トランスポート)

認証(SOAP)

メッセージ保護(トランスポート)

メッセージ保護(SOAP)

oracle/wss10_message_protection_client_policy

oracle/wss10_message_protection_service_policy

なし

なし

なし

あり

oracle/wss11_message_protection_client_policy

oracle/wss11_message_protection_service_policy

なし

なし

なし

あり

3.2.3 メッセージ保護および認証ポリシー

このトピックでは、メッセージ保護と認証の両方を実行し、WS-Security 1.0または1.1標準に準拠しないポリシーの概要を示します。表には、ポリシーがトランスポート・レイヤーまたはSOAPヘッダーで実行されるかどうかが示されます。

表3-6 メッセージ保護および認証のポリシー

クライアント・ポリシー

サービス・ポリシー

認証(トランスポート)

認証(SOAP)

メッセージ保護(トランスポート)

メッセージ保護(SOAP)

oracle/wss_http_token_over_ssl_client_policy

oracle/wss_http_token_over_ssl_service_policy

あり

なし

あり

なし

次のいずれかをアタッチします。

- oracle/wss_saml_token_over_ssl_client_policy

- oracle/wss_username_token_over_ssl_client_policy

oracle/wss_saml_or_username_token_service_policy

なし

あり

あり

なし

oracle/wss_saml_token_bearer_over_ssl_client_policy

oracle/wss_saml_token_bearer_over_ssl_service_policy

なし

あり

あり

なし

oracle/wss_saml_token_over_ssl_client_policy

oracle/wss_saml_token_over_ssl_service_policy

なし

あり

あり

なし

oracle/wss_saml20_token_over_ssl_client_policy

oracle/wss_saml20_token_over_ssl_service_policy

なし

あり

あり

なし

oracle/wss_username_token_over_ssl_client_policy

oracle/wss_username_token_over_ssl_service_policy

なし

あり

あり

なし

oracle/wss10_saml_hok_token_with_message_protection_client_policy

oracle/wss10_saml_hok_token_with_message_protection_service_policy

なし

あり

なし

あり

oracle/wss10_saml_token_with_message_integrity_client_policy

oracle/wss10_saml_token_with_message_integrity_service_policy

なし

あり

なし

あり

oracle/wss10_saml_token_with_message_protection_client_policy

oracle/wss10_saml_token_with_message_protection_service_policy

なし

あり

なし

あり

oracle/wss10_saml20_token_with_message_protection_client_policy

oracle/wss10_saml20_token_with_message_protection_service_policy

なし

あり

なし

あり

oracle/wss10_saml_token_with_message_protection_ski_basic256_client_policy

oracle/wss10_saml_token_with_message_protection_ski_basic256_service_policy

なし

あり

なし

あり

oracle/wss10_username_id_propagation_with_msg_protection_client_policy

oracle/wss10_username_id_propagation_with_msg_protection_service_policy

なし

あり

なし

あり

oracle/wss10_username_token_with_message_protection_client_policy

oracle/wss10_username_token_with_message_protection_service_policy

なし

あり

なし

あり

oracle/wss10_username_token_with_message_protection_ski_basic256_client_policy

oracle/wss10_username_token_with_message_protection_ski_basic256_service_policy

なし

あり

なし

あり

oracle/wss10_x509_token_with_message_protection_client_policy

oracle/wss10_x509_token_with_message_protection_service_policy

なし

あり

なし

あり

oracle/wss11_kerberos_token_with_message_protection_client_policy

oracle/wss11_kerberos_token_with_message_protection_service_policy

なし

あり

なし

あり

oracle/wss11_kerberos_token_with_message_protection_basic128_client_policy

oracle/wss11_kerberos_token_with_message_protection_basic128_service_policy

なし

あり

なし

あり

次のいずれかをアタッチします。

- oracle/wss11_saml_token_with_message_protection_client_policy

- oracle/wss11_username_token_with_message_protection_client_policy

oracle/wss11_saml_or_username_token_with_message_protection_service_policy

なし

あり

なし

あり

oracle/wss11_saml_token_with_message_protection_client_policy

oracle/wss11_saml_token_with_message_protection_service_policy

なし

あり

なし

あり

oracle/wss11_saml20_token_with_message_protection_client_policy

oracle/wss11_saml20_token_with_message_protection_service_policy

なし

あり

なし

あり

oracle/wss11_saml_token_identity_switch_with_message_protection_client_policy

oracle/wss11_saml_token_with_message_protection_service_policy

なし

あり

なし

あり

oracle/wss11_username_token_with_message_protection_client_policy

oracle/wss11_username_token_with_message_protection_service_policy

なし

あり

なし

あり

oracle/wss11_x509_token_with_message_protection_client_policy

oracle/wss11_x509_token_with_message_protection_service_policy

なし

あり

なし

あり

oracle/wss_saml20_token_bearer_over_ssl_client_policy

oracle/wss_saml20_token_bearer_over_ssl_service_policy

なし

あり

なし

あり

oracle/wss_saml_token_bearer_client_policy

oracle/wss_saml_token_bearer_service_policy

なし

あり

なし

あり

oracle/wss_saml_token_bearer_identity_switch_client_policy

-

なし

あり

なし

あり

-

oracle/wss_saml_bearer_or_username_token_service_policy

なし

あり

なし

あり

3.2.4 認可ポリシー

このトピックでは、認可を実行するセキュリティ・ポリシーの概要と、ポリシーがトランスポート・レイヤーまたはSOAPヘッダーで実行されるかどうかを示します。

表3-7 認可のみのポリシー

クライアント・ポリシー

認証(トランスポート)

認証(SOAP)

メッセージ保護(トランスポート)

メッセージ保護(SOAP)

oracle/binding_authorization_denyall_policy

なし

あり

なし

なし

oracle/binding_authorization_permitall_policy

なし

あり

なし

なし

oracle/binding_permission_authorization_policy

なし

あり

なし

なし

oracle/component_authorization_denyall_policy

なし

あり

なし

なし

oracle/component_authorization_permitall_policy

なし

あり

なし

なし

oracle/component_permission_authorization_policy

なし

あり

なし

なし

oracle/whitelist_authorization_policy

なし

あり

なし

なし

3.2.5 WS-Trustポリシー

このトピックでは、WS-Trustポリシーの概要を示します。

表3-8 WS-Trustポリシー

クライアント・ポリシー

サービス・ポリシー

認証(トランスポート)

認証(SOAP)

メッセージ保護(トランスポート)

メッセージ保護(SOAP)

oracle/sts_trust_config_client_policy

oracle/sts_trust_config_service_policy

なし

なし

なし

なし

oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_policy

oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_policy

あり

なし

あり

なし

oracle/wss11_sts_issued_saml_hok_with_message_protection_client_policy

oracle/wss11_sts_issued_saml_hok_with_message_protection_service_policy

なし

あり

なし

あり

oracle/wss11_sts_issued_saml_with_message_protection_client_policy

なし

あり

なし

あり

3.2.6 MTOMアタッチメント・ポリシー

このトピックでは、現在のリリースでサポートされているMTOMアタッチメント・ポリシーの一覧を示します。

- oracle/wsmtom_policy

以下の点に注意する必要があります。

- (直接またはグローバル・ポリシー・アタッチメントを介して)oracle/wsmtom_policyポリシーをアタッチすることによって、Fusion Middleware ControlからMTOMを構成する場合、リクエストがMTOMエンコードされていないと、エンドポイントはフォルトをスローします。MTOMポリシーは、MTOM形式ではないインバウンド・メッセージを拒否し、アウトバウンド・メッセージがMTOM形式であるかどうかを検証します。この使用方法の場合、リクエストはMTOM対応である必要があります。

- oracle-webservices.xml内のMTOM対応スイッチを編集したり、@MTOM注釈をWebサービスに直接追加するなどして、Fusion Middleware Controlの外部でADF BC Webサービスに対してMTOMを構成する場合、エンドポイントはMTOMリクエストを受信できますが、リクエストがMTOMエンコードされていない場合にフォルトを返しません。この使用方法の場合、リクエストはMTOM対応の可能性がありますが、MTOM対応である必要はありません。

3.2.7 信頼できるメッセージング・ポリシー

このトピックでは、現在のリリースでサポートされている信頼できるメッセージング・ポリシーの一覧を示します。

- oracle/no_reliable_messaging_policy

- oracle/wsrm10_policy

- oracle/wsrm11_policy

3.2.8 動作無効ポリシー

動作無効ポリシーを使用すると、ポリシー・セット内のグローバルにアタッチされたポリシーを事実上無効化できます。このポリシーには、構成プロパティはありません。これらのポリシーは、いずれも同じ動作無効アサーションを使用します。

クライアント・ポリシー:

- oracle/no_authentication_client_policy

- oracle/no_fast_infoset_client_policy

- oracle/no_jms_transport_client_policy

- oracle/no_messageprotection_client_policy

サービス・ポリシー:

- oracle/no_addressing_policy

- oracle/no_atomic_transaction_policy

- oracle/no_async_web_service_policy

- oracle/no_authentication_service_policy

- oracle/no_authorization_component_policy

- oracle/no_authorization_service_policy

- oracle/no_cache_binary_content_policy

- oracle/no_fast_infoset_service_policy

- oracle/no_jms_transport_service_policy

- oracle/no_max_request_size_policy

- oracle/no_messageprotection_service_policy

- oracle/no_mex_request_processing_service_policy

- oracle/no_mtom_policy

- oracle/no_mtom_encode_fault_service_policy

- oracle/no_persistence_policy

- oracle/no_pox_http_binding_service_policy

- oracle/no_reliable_messaging_policy

- oracle/no_request_processing_service_policy

- oracle/no_schema_validation_policy

- oracle/no_soap_request_processing_service_policy

- oracle/no_test_page_processing_service_policy

- oracle/no_ws_logging_level_policy

- oracle/no_wsdl_request_processing_service_policy

3.3 Java EE WebサービスおよびクライアントでサポートされるOWSMポリシー

すべてのOWSMポリシーが、Java EE Webサービスおよびクライアントでサポートされるわけではありません。OWSMポリシーのサブセットのみがJava EE Webサービスおよびクライアントでサポートされます。

WebLogic JAX-WS Webサービスおよびクライアントに次のカテゴリのOWSMセキュリティ・ポリシーをアタッチできます。

- 認証のみ

- メッセージ保護のみ

- メッセージ保護および認証

- 認可

- WS-Trust

- WS-SecureConversation

次のカテゴリのOWSMポリシーは、現在WebLogic JAX-WS Webサービスおよびクライアントでサポートされていません。

- アトミック・トランザクション

- 構成

- 管理

- MTOMアタッチメント

- 動作無効

- 信頼できるメッセージング

- SOAP Over JMSトランスポート

- WS-Addressingポリシー

注意:

WebLogic Serverによって提供されるWebLogic Webサービス・ポリシーを使用して、Java EE (WebLogic) Webサービスを保護することもできます。WebLogic Webサービス・ポリシーは、WebLogic管理コンソールから管理します。サービス・ポリシーの詳細は、Oracle Web Service Managerセキュリティ・ポリシーの使用を参照してください

WebLogic Webサービス・ポリシーのサブセットは、OWSMポリシーと相互運用できます。詳細は、『Oracle Web Services Manager相互運用性ソリューション・ガイド』のOracle WebLogic Server 12c Webサービス・セキュリティ環境との相互運用性に関する項を参照してください。

OWSMポリシーは、JAX-RPC Webサービスにアタッチできません。

3.4 RESTful WebサービスおよびクライアントでサポートされるOWSMポリシー

すべてのOWSMポリシーが、RESTful Webサービスおよびクライアントでサポートされるわけではありません。OWSMセキュリティ・ポリシーのサブセットのみが、RESTful Webサービスおよびクライアントでサポートされます。

これらのポリシーの概要を表3-9に示します。

注意:

この項は、Java EE、SOAおよびOracle Service Bus RESTful Webサービスとクライアントに適用されます。

OWSMポリシーは、Jersey 1.x JAX-RS RIを使用して構築されたRESTful Webサービスおよびクライアントにのみアタッチできます。Jersey 2.5 JAX-RS RIを使用して構築されたRESTful Webサービスおよびクライアントは、このリリースではOWSMポリシーを使用して保護できません。Jersey 2.5 JAX-RS RIを使用して作成されたRESTful Webサービスとクライアントを保護する場合の詳細は、『Oracle WebLogic Server RESTful Webサービスの開発と保護』の「RESTful Webサービスおよびクライアントの保護」を参照してください。

表3-9 RESTful WebサービスおよびクライアントでサポートされるOWSMセキュリティ・ポリシー

セキュリティ

サポートされているポリシー

認証ポリシー

表3-2で定義された認証ポリシー

認可

- oracle/binding_authorization_denyall_policy

- oracle/binding_authorization_permitall_policy

- oracle/binding_permission_authorization_policy

注意: oracle/binding_permission_authorization_policy権限ベース・ポリシーは、RESTful Oracle Service Bus Webサービスおよびクライアントでサポートされていません。

注意:

oracle/http_spnego_token_service_templateアサーション・テンプレートを使用して作成する、SPNEGOトークン・ポリシーをアタッチすることもできます。詳細は、「SPNEGOネゴシエーションによるKerberosの構成」を参照してください。

3.5 SOAP Over JMSトランスポートを使用するWebサービスおよびクライアントでサポートされるOWSMポリシー

すべてのOWSMポリシーが、SOAP Over JMSトランスポートを使用するWebサービスおよびクライアントでサポートされるわけではありません。SOAP Over JMSトランスポートを使用するWebサービスおよびクライアントでは、OWSMセキュリティ・ポリシーのサブセットのみがサポートされています。

これらのサポートされているポリシーには次のものが含まれます。

- wsmtom_policy

- wss_saml_token_bearer_client_policy

- wss_username_token_client_policyおよびwss_username_token_service_policy

- wss10_message_protection_client_policyおよびwss10_message_protection_service_policy

- wss10_saml_token_client_policyおよびwss10_saml_token_service_policy

- wss10_saml_hok_token_with_message_protection_client_policyおよびwss10_saml_hok_token_with_message_protection_service_policy

- wss10_saml_token_with_message_integrity_client_policyおよびwss10_saml_hok_token_with_message_integrity_service_policy

- wss10_saml_token_with_message_protection_client_policyおよびwss10_saml_token_with_message_protection_service_policy

- wss10_saml_token_with_message_protection_ski_basic256_client_policyおよびwss10_saml_token_with_message_protection_ski_basic256_service_policy

- wss10_username_token_with_message_protection_client_policyおよびwss10_username_token_with_message_protection_service_policy

- wss10_x509_token_with_message_protection_client_policyおよびwss10_x509_token_with_message_protection_service_policy

- wss11_kerberos_token_client_policyおよびwss11_kerberos_token_service_policy

- wss11_kerberos_token_with_message_protection_client_policyおよびwss11_kerberos_token_with_message_protection_service_policy

- wss11_kerberos_token_with_message_protection_basic128_client_policyおよびwss11_kerberos_token_with_message_protection_basic128_service_policy

- wss11_message_protection_client_policyおよびwss11_message_protection_service_policy

- wss11_saml_token_identity_switch_with_message_protection_client_policy

- wss11_saml_token_with_message_protection_client_policyおよびwss11_saml_token_with_message_protection_service_policy

- wss11_x509_token_with_message_protection_client_policyおよびwss11_x509_token_with_message_protection_service_policy

- wss11_x509_token_with_message_protection_wssc_client_policyおよびwss11_x509_token_with_message_protection_wssc_service_policy

- wss11_x509_token_with_message_protection_wssc_reauthn_client_policyおよびwss11_x509_token_with_message_protection_wssc_reauthn_service_policy

- wss11_sts_issued_saml_hok_with_message_protection_client_policyおよびwss11_sts_issued_saml_hok_with_message_protection_service_policy

- wss11_username_token_with_message_protection_client_policyおよびwss11_username_token_with_message_protection_service_policy

- wss11_username_token_with_message_protection_wssc_client_policyおよびwss11_username_token_with_message_protection_wssc_service_policy

3.6 SOAコンポジット・サービスおよびクライアントでサポートされるOWSMポリシー

SOAP SOAコンポジット・サービスおよびクライアントには様々なOWSMポリシーをアタッチできますが、RESTful Webサービスおよびクライアントでサポートされるのは、OWSMセキュリティ・ポリシーの1つのサブセットのみです。

SOAP SOAコンポジット・サービスおよびクライアントについては、構成ポリシーで説明されているように構成ポリシーを除いて、Oracle Web Services Managerの事前定義済ポリシーで説明されているすべてのポリシーが適用されます。

RESTful SOAコンポジット・サービスおよびクライアントの詳細は、RESTful WebサービスおよびクライアントでサポートされるOWSMポリシーを参照してください。

3.7 SSLの構成が必要なOWSMポリシー

このトピックでは、SSLを構成する必要があるOWSMポリシー、およびそれらのポリシーを作成するために使用できるテンプレートの一覧を示します。

詳細は、次の項を参照してください。

- SSLの構成が必要なポリシーのリスト

- SSLを必要とするポリシーを作成するためのテンプレートのリスト

- 双方向SSLの構成が必要なポリシーのリスト

- 双方向SSLを必要とするポリシーを作成するためのテンプレートのリスト

3.7.1 SSLの構成が必要なポリシーのリスト

SSLの構成が必要なOWSMポリシーは次のとおりです。

- oracle/wss_http_token_over_ssl_service_policy

- oracle/wss_http_token_over_ssl_client_policy

- oracle/wss_saml_token_bearer_over_ssl_server_policy

- oracle/wss_saml_token_bearer_over_ssl_client_policy

- oracle/wss_saml_token_over_ssl_service_policy

- oracle/wss_saml_token_over_ssl_client_policy

- oracle/wss_username_token_over_ssl_service_policy

- oracle/wss_username_token_over_ssl_client_policy

- http_basic_auth_over_ssl_client_policy

- http_basic_auth_over_ssl_service_policy

- http_jwt_token_over_ssl_client_policy

- http_jwt_token_over_ssl_service_policy

- http_oauth2_token_identity_switch_opc_oauth2_over_ssl_client_policy

- http_oauth2_token_identity_switch_over_ssl_client_policy

- http_oauth2_token_opc_oauth2_over_ssl_client_policy

- http_oauth2_token_over_ssl_client_policy

- http_saml20_token_bearer_over_ssl_client_policy

- http_saml20_token_bearer_over_ssl_service_policy

- multi_token_over_ssl_rest_service_policy

- wss_http_token_over_ssl_client_policy

- wss_http_token_over_ssl_service_policy

- wss_saml20_token_bearer_over_ssl_client_policy

- wss_saml20_token_bearer_over_ssl_service_policy

- wss_saml20_token_over_ssl_client_policy

- wss_saml20_token_over_ssl_service_policy

- wss_saml_or_username_token_over_ssl_service_policy

- wss_saml_token_bearer_over_ssl_client_policy

- wss_saml_token_bearer_over_ssl_service_policy

- wss_saml_token_over_ssl_client_policy

- wss_saml_token_over_ssl_service_policy

- wss_sts_issued_saml_bearer_token_over_ssl_client_policy

- wss_sts_issued_saml_bearer_token_over_ssl_service_policy

- wss_username_token_over_ssl_client_policy

- wss_username_token_over_ssl_service_policy

- wss_username_token_over_ssl_wssc_client_policy

- wss_username_token_over_ssl_wssc_service_policy

3.7.2 SSLを必要とするポリシーを作成するためのテンプレートのリスト

次のテンプレートを使用して、SSLを必要とする新しいポリシーを作成できます。

- oracle/wss_http_token_over_ssl_service_template。

- oracle/wss_http_token_over_ssl_client_template

- oracle/wss_saml_token_bearer_over_ssl_service_template。

- oracle/wss_saml_token_bearer_over_ssl_client_template

- oracle/wss_saml_token_over_ssl_service_template。

- oracle/wss_saml_token_over_ssl_client_template

- oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_template

- oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_template

- oracle/wss_username_token_over_ssl_service_template。

- oracle/wss_username_token_over_ssl_client_template

- http_jwt_token_over_ssl_client_template

- http_jwt_token_over_ssl_service_template

- http_oauth2_token_over_ssl_client_template

- wss11_kerberos_token_over_ssl_client_template

- wss11_kerberos_token_over_ssl_service_template

- wss_http_token_over_ssl_client_ template

- wss_http_token_over_ssl_service_ template

- wss_saml20_token_bearer_over_ssl_client_template

- wss_saml20_token_bearer_over_ssl_service_template

- wss_saml20_token_over_ssl_client_template

- wss_saml20_token_over_ssl_service_template

- wss_saml_token_bearer_over_ssl_client_template

- wss_saml_token_bearer_over_ssl_service_template

- wss_saml_token_over_ssl_client_template

- wss_saml_token_over_ssl_service_template

- wss_sts_issued_saml_bearer_token_over_ssl_client_template

- wss_sts_issued_saml_bearer_token_over_ssl_service_template

- wss_username_token_over_ssl_ client_template

- wss_username_token_over_ssl_ service_template

これらのアサーションおよびポリシーの詳細は、「Oracle Web Services Managerの事前定義済アサーション・テンプレート」および「Oracle Web Services Managerの事前定義済ポリシー」を参照してください。

3.7.3 双方向SSLの構成が必要なポリシーのリスト

このトピックでは、双方向SSLの構成が必要なOWSMポリシーの一覧を示します。

- oracle/wss_saml_token_over_ssl_client_policy

- oracle/wss_saml_token_over_ssl_service_policy

- oracle/wss_username_token_over_ssl_client_policy(相互認証を選択した場合)

- oracle/wss_username_token_over_ssl_service_policy(相互認証を選択した場合)

- oracle/wss_http_token_over_ssl_client_policy(相互認証を選択した場合)

- oracle/wss_http_token_over_ssl_service_policy(相互認証を選択した場合)

3.7.4 双方向SSLを必要とするポリシーを作成するためのテンプレートのリスト

このトピックでは、双方向SSLを必要とする新しいOWSMポリシーを作成するためのテンプレートの一覧を示します。

- oracle/wss_saml_token_over_ssl_client_template

- oracle/wss_saml_token_over_ssl_service_template。

3.8 アイデンティティ・コンテキストでサポートされるOWSMポリシー

すべてのOWSMポリシーでアイデンティティ・コンテキスト機能がサポートされるわけではありません。OWSMセキュリティ・ポリシーのサブセットのみがアイデンティティ・コンテキスト機能でサポートされます。

アイデンティティ・コンテキスト機能の詳細は、「OWSMによるアイデンティティ・コンテキストの伝播について」を参照してください。

次のSAMLポリシーは、propagate.identity.context構成プロパティをサポートしています。

- oracle/http_saml20_token_bearer_service_policyおよびoracle/http_saml20_token_bearer_client_policy

- oracle/http_saml20_token_bearer_over_ssl_service_policyおよびoracle/http_saml20_token_bearer_over_ssl_client_policy

- oracle/wss_saml_or_username_token_service_policy

- oracle/wss_saml_or_username_token_over_ssl_service_policy

- oracle/wss_saml_token_bearer_over_ssl_service_policyおよびoracle/wss_saml_token_bearer_over_ssl_client_policy

- oracle/wss_saml_token_over_ssl_service_policyおよびoracle/wss_saml_token_over_ssl_client_policy

- oracle/wss_saml20_token_bearer_over_ssl_service_policyおよびoracle/wss_saml20_token_bearer_over_ssl_client_policy

- oracle/wss_saml20_token_over_ssl_service_policyおよびoracle/wss_saml20_token_over_ssl_client_policy

- oracle/wss10_saml_token_service_policyおよびoracle/wss10_saml_token_client_policy

- oracle/wss10_saml_token_with_message_integrity_service_policyおよびoracle/wss10_saml_token_with_message_integrity_client_policy

- oracle/wss10_saml_token_with_message_protection_service_policyおよびoracle/wss10_saml_token_with_message_protection_client_policy

- oracle/wss10_saml_token_with_message_protection_ski_basic256_service_policyおよびoracle/wss10_saml_token_with_message_protection_ski_basic256_client_policy

- oracle/wss10_saml20_token_service_policyおよびoracle/wss10_saml20_token_client_policy

- oracle/wss10_saml20_token_with_message_protection_service_policyおよびoracle/wss10_saml20_token_with_message_protection_client_policy

- oracle/wss11_saml_token_with_message_protection_service_policyおよびoracle/wss11_saml_token_with_message_protection_client_policy

- oracle/wss11_saml_or_username_token_with_message_protection_service_policy

- oracle/wss11_saml20_token_with_message_protection_service_policyおよびoracle/wss11_saml20_token_with_message_protection_client_policy

3.9 WS-SecureConversationでサポートされるOWSMポリシー

デフォルトでWS-SecureConversationが有効化されているOWSMポリシーの詳細を示します。

デフォルトでWS-SecureConversationが有効になるOWSMポリシーを次に示します。

- oracle/wss11_saml_token_with_message_protection_wssc_client_policy

- oracle/wss11_saml_token_with_message_protection_wssc_service_policy

- oracle/wss11_saml_token_with_message_protection_wssc_reauthn_client_policy

- oracle/wss11_saml_token_with_message_protection_wssc_reauthn_service_policy

- oracle/wss11_username_token_with_message_protection_wssc_client_policy

- oracle/wss11_username_token_with_message_protection_wssc_service_policy

- oracle/wss11_x509_token_with_message_protection_wssc_client_policy

- oracle/wss11_x509_token_with_message_protection_wssc_service_policy

- oracle/wss_username_token_over_ssl_wssc_client_policy

- oracle/wss_username_token_over_ssl_wssc_service_policy

これらのポリシーに加え、多くの事前定義済アサーション・テンプレートに基づくポリシーがWS-SecureConversationをサポートしています。詳細は、「Oracle Web Services Managerの事前定義済アサーション・テンプレート」を参照してください。

注意:

WS-SecureConversationポリシーではSOAP over JMSはサポートされません。

3.10 JCAアダプタでサポートされるOWSMポリシー

すべてのOWSMポリシーでJCAアダプタがサポートされるわけではありません。OWSMセキュリティ・ポリシーのサブセットのみがJCAアダプタでサポートされます。

OWSMでは、JCAアダプタに対して次の事前定義済ポリシーがサポートされています。

- oracle/pii_security_policy

さらに、pii_security_policyをクローニングして作成したカスタム・ポリシーやoracle/pii_security_templateに基づいたカスタム・ポリシーも使用できます。このポリシーの使用方法の詳細は、「個人情報の保護」を参照してください。

注意:

このポリシーは、SOAおよびOracle Service Bus環境のみでサポートされています。

3.11 OES統合でサポートされるOWSMポリシー

すべてのOWSMポリシーでOES統合がサポートされるわけではありません。OWSMセキュリティ・ポリシーのサブセットのみがOES統合でサポートされます。

OWSMでは、OES統合に対して次の事前定義済ポリシーがサポートされています。

- oracle/binding_oes_authorization_policy

- oracle/binding_oes_masking_policy

- oracle/component_oes_authorization_policy

さらに、OESポリシーをクローニングして作成したカスタム・ポリシーやOESテンプレートに基づいたカスタム・ポリシーも使用できます。これらのポリシーの使用方法の詳細は、「Oracle Entitlements Serverを使用したファイングレイン認可の構成について」を参照してください。

3.12 PIIでサポートされるOWSMポリシー

すべてのOWSMポリシーで個人の身元を特定する情報(PII)がサポートされるわけではありません。OWSMセキュリティ・ポリシーのサブセットのみがPIIでサポートされます。

OWSMでは、PIIを保護するために次の事前定義済ポリシーがサポートされています。

- oracle/pii_security_policy

さらに、pii_security_policyをクローニングして作成したカスタム・ポリシーやoracle/pii_security_templateに基づいたカスタム・ポリシーも使用できます。このポリシーの使用方法の詳細は、「個人情報の保護」を参照してください。

注意:

このポリシーは、SOAおよびOracle Service Bus環境のみでサポートされています。

3.13 Oracle Service BusでサポートされるOWSMポリシー

Oracle Service BusでサポートされるOWSMポリシーの詳細を説明します。

Oracle Service Busについては、表3-10で示されているものを除き、Oracle Web Services Managerの事前定義済ポリシーで説明されているすべてのポリシーが適用されます。この表は、SOAPおよび非SOAPサービス両方でのサポートされないOWSMアサーションの一覧であり、アサーションを含むポリシーを示し、影響を受ける機能とその機能を実現するための代替方法について説明しています。記述されていないアサーションは、ユーザー定義アサーションも含めてサポートされます。

表3-10 Oracle Service Busでサポートされないポリシーおよびアサーション

サポートされないアサーション

アサーションを含むOWSMポリシー

影響を受ける機能と代替方法

binding-permission-authorization

oracle/binding_permission_authorization_policy

サービスに対する許可ベースのアクセス制御。

代替方法: XACML認可ポリシーを使用します。

sca-component-auhorization

oracle/component_authorization_denyall_policy

oracle/component_authorization_permitall_policy

コンポーネントにアクセスするすべてを拒否または許可するロール・ベースのアクセス制御。

代替方法: 使用できません。

sca-component-pemission-authorization

oracle/component_permission_authorization_policy

コンポーネントに対する許可ベースのアクセス制御

代替方法: 使用できません。

OptimizedMimeSerialization

oracle/wsmtom_policy

MTOM (メッセージ転送最適化メカニズム)

代替方法: プロキシ・サービスまたはビジネス・サービスで直接MTOM構成を使用します。

RMアサーション

oracle/reliable_messaging_policy

oracle/wsrm10_policy

oracle/wsrm11_policy

WS-RM 1.0/1.1

代替方法: WS-RM 1.0用のService Busで直接WSトランスポートを使用します。

UsingAddressing

oracle/wsaddr_policy

WS-Addressingが要件

代替方法: SOA-DIRECTトランスポートを使用するビジネス・サービスでWS-Addressingを構成するか、Service BusパイプラインのメッセージにWS-Addressingを追加します。

第II部 ポリシーのアタッチと管理

Fusion Middleware ControlおよびWLSTを使用してポリシーおよびポリシー・セットを操作する方法について説明します。ポリシーおよびポリシー・セットの表示、アタッチ、デタッチ、編集およびオーバーライドなどのトピックが含まれています。

第II部は、次の章で構成されます。

- Webサービスを管理および保護するためのポリシーのアタッチでは、Fusion Middleware Controlを使用してWebサービスにセキュリティ・ポリシーをアタッチする方法について説明します。

- ポリシー構成プロパティのオーバーライドでは、Fusion Middleware ControlおよびWLSTを使用してセキュリティ・ポリシー構成プロパティをオーバーライドする方法について説明します。

- Fusion Middleware ControlによるWebサービス・ポリシーの管理では、Webサービス・セキュリティ・ポリシーの使用方法について説明します。ポリシーの作成、生成、編集、インポートおよびエクスポートなどのトピックが含まれています。また、アサーション・テンプレートの使用方法についても説明します。

4 Webサービスを管理および保護するためのポリシーのアタッチ

セキュリティ・ポリシーにより、組織全体で一貫性のあるWebサービスの管理と保護のためのフレームワークが提供されます。

セキュリティ・ポリシーは、Webサービスやクライアントなどのポリシー・サブジェクトに直接アタッチできます。ポリシー・セットを使用すると、ある範囲に含まれる同じタイプのエンドポイントに対して、ポリシーをグローバルにアタッチできます。このトピックでは、設計時にポリシーをアタッチする方法や、デプロイ後にOracle Enterprise Manager Fusion Middleware ControlやWebLogic Scripting Tool (WLST)のコマンドライン・インタフェースを使用してポリシーおよびポリシー・セットをアタッチおよび管理する方法についても説明します。

次のトピックが含まれています:

- ポリシー・アタッチメントの概要

- 設計時におけるWebサービスおよびクライアントへのポリシーのアタッチの理解

- Fusion Middleware Controlを使用したWebサービスおよびクライアントへのポリシーのアタッチについて

- WLSTを使用したWebサービスおよびクライアントへのポリシーのアタッチについて

- サーブレット・アプリケーションへのポリシーのアタッチについて

- ポリシー・セットの実行時制約

- グローバルにアタッチされたポリシーのリソースのタイプとスコープの定義について

- グローバル・ポリシー・アタッチメントへのダイレクト・ポリシー・アタッチメントの移行

- グローバルにアタッチされたポリシーの無効化

- ポリシー・アタッチメントの優先度の指定

- Fusion Middleware Controlを使用したエンドポイント構成プロパティの管理

- エンドポイントのセキュア・ステータスの決定

- ポリシーの有効セットの計算方法

- ポリシー・アタッチメントのソースの決定

4.1 ポリシー・アタッチメントの概要

ポリシー・サブジェクトは、OWSMポリシーをアタッチするターゲット・リソースです。異なるリソースのタイプ(Webサービス、クライアント、SOAコンポーネントなど)には異なるポリシーがあります。

ポリシーの関連付けが可能なポリシー・サブジェクトの詳細は、『Oracle Web Services Managerの理解』のポリシー・サブジェクトへのポリシーのアタッチに関する項を参照してください。

Webサービス・クライアントとWebサービスにポリシーをアタッチする方法には、クライアントおよびサービスの設計時に行う方法と、デプロイ後に行う方法の2つがあります。

- 設計時には、プログラムによってOWSMセキュリティおよび管理ポリシーをアプリケーションにアタッチすることもできます。これを行うには、通常、Oracle JDeveloperなどの任意のIDEを使用します。Oracle JDeveloperはADFとSOAのクライアント・ポリシー・アタッチメントを自動化します。

- デプロイ後には、Oracle Enterprise Manager Fusion Middleware ControlやWLSTを使用してセキュリティおよび管理ポリシーをOracle Infrastructure WebサービスおよびWebLogic Webサービスにアタッチします。この場合、Webサービスのセキュリティがセキュリティ管理者の制御下に移るため、この方法は最も強力で柔軟性があります。ポリシーはエンドポイントに直接アタッチできます。また、ポリシー・セットを使用してエンドポイントの範囲に対してグローバルにアタッチできます。

注意:

(ポリシー・セットを使用して)グローバルにアタッチされたポリシーは、RESTful Webサービスとクライアント、Oracle Infrastructure Webサービスとクライアント、およびJava EE Webサービスとクライアントでサポートされています。ただし、ポリシー・セットに非セキュリティ・ポリシーが含まれている場合、非セキュリティ・ポリシーは無視され、Java EE Webサービスおよびクライアント用に計算された有効なポリシー・セットに含まれません。

グローバルにアタッチされたポリシーは、スタンドアロンのJava EEクライアントではサポートされていません。

OWSMポリシーは、Jersey 2.x JAX-RS RIを使用して構築されたRESTful Webサービスおよびクライアントにのみアタッチできます。Jersey 2.x JAX-RS RIを使用して作成されたRESTful Webサービスとクライアントを保護する場合の詳細は、『Oracle WebLogic Server RESTful Webサービスの開発と保護』の「RESTful Webサービスおよびクライアントの保護」を参照してください。

ポリシーを設計時にアタッチする場合でもデプロイ後にアタッチする場合でも、クライアント側ポリシーは、Webサービスに関連付けられたポリシーと同等のものである必要があります。2つのファイルが異なり、各ファイルに含まれるアサーションの競合が発生している場合、Webサービスの操作を起動すると、エラーが返されます。

たとえば、oracle/wss_http_token_over_ssl_service_policyポリシーで一方向認証が必要になる場合、クライアント・ポリシーも一方向認証用に設定する必要があります。

事前定義済ポリシーの場合、クライアントとWebサービス・ポリシーの両方が含まれます。新しいポリシーを作成する場合、「Webサービス・ポリシーの作成および編集」の説明に従ってポリシーを生成すると、クライアント・ポリシーがサービス・ポリシーと連携する可能性が高くなります。

注意:

OWSMポリシー・マネージャが使用できない場合、ADFおよびWebCenterのサービスとクライアントのポリシー・アタッチメントに加えた変更はOWSMリポジトリに保存されません。OWSMポリシー・マネージャへの接続に関するトラブルシューティングの詳細は、OWSMポリシー・マネージャのページを使用したポリシー・マネージャの問題の診断を参照してください。

4.2 設計時におけるWebサービスおよびクライアントへのポリシーのアタッチの理解

OWSMセキュリティおよび管理ポリシーは、Oracle Infrastructure Webサービスを作成しているか、Java EE (WebLogic) Webサービスまたはクライアントを作成しているかに基づいた注釈を使用して、Webサービスおよびクライアントにアタッチされます。

ポリシー・アタッチメントの詳細は次の項で説明しています。

- 設計時におけるJava EE Webサービスおよびクライアントへのポリシーのアタッチについて

- 設計時におけるRESTful Webサービスおよびクライアントへのポリシーのアタッチについて

- 設計時におけるOracle Infrastructure Webサービスおよびクライアントへのポリシーのアタッチについて

4.2.1 設計時におけるJava EE Webサービスおよびクライアントへのポリシーのアタッチについて

次の各トピックで説明するように、設計時にJava EE Webサービスおよびクライアントにポリシーをアタッチできます。

- 注釈を使用したJava EE Webサービスおよびクライアントへのポリシーのアタッチ

- 機能クラスを使用したJava EE Webサービス・クライアントへのポリシーのアタッチ

- JDeveloperを使用したJava EE Webサービスおよびクライアントへのポリシーのアタッチ

4.2.1.1 注釈を使用したJava EE Webサービスおよびクライアントへのポリシーのアタッチ

Java EE Webサービスおよびクライアントにセキュリティ・ポリシーをアタッチするには、次の注釈のいずれかを使用します。

- weblogic.wsee.jws.jaxws.owsm.SecurityPolicy (単一ポリシー)

- weblogic.wsee.jws.jaxws.owsm.SecurityPolicies (複数ポリシー)

Java EE WebサービスでサポートされているのはOWSMポリシーの一部のみです。詳細は、「Java EE WebサービスおよびクライアントでサポートされるOWSMポリシー」を参照してください。

Java EE Webサービスの場合、OWSMセキュリティ・ポリシーをクラス・レベルでのみアタッチできます。Java EE Webサービス・クライアントの場合、java.xml.ws.WebServiceRef注釈を使用して定義したWebサービス・インジェクション・ターゲットにOWSMポリシーをアタッチできます。

Webサービス・クライアントにセキュリティ・ポリシーをアタッチする場合、例4-*に示すように、weblogic.wsee.jws.jaxws.owsm.Property注釈を@SecurityPolicy注釈とともに使用してポリシー構成プロパティをオーバーライドできます。また、「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明するように、JAX-WSのRequestContextを使用してポリシー構成プロパティをオーバーライドできます。

注意:

機能クラスを使用したJava EE Webサービス・クライアントへのOWSMセキュリティ・ポリシーのアタッチは、注釈よりも優先されます。詳細は、「機能クラスを使用したJava EE Webサービス・クライアントへのポリシーのアタッチ」を参照してください。

詳細は、次を参照してください。

- @SecurityPolicy、@SecurityPoliciesおよび@Property注釈は、『Oracle WebLogic Server WebLogic Webサービス・リファレンス』のWebLogic固有の注釈に関する項を参照してください。

- Java EE Webサービスの開発は、『Oracle WebLogic Server JAX-WS Webサービスの開発』のJAX-WS Webサービスの開発に関する項を参照してください。

- Java EE Webサービス・クライアントの開発と@WebServiceRefを使用したWebサービス・インジェクション・ターゲットの定義は、『Oracle WebLogic Server JAX-WS Webサービスの開発』のJava EE Webサービス・クライアントの開発に関する項を参照してください。

次の例では、注釈を使用してJava EE Webサービスに複数のOWSMセキュリティ・ポリシーをアタッチする方法を説明します。

import javax.ws.WebService;
import weblogic.wsee.jws.jaxws.owsm.SecurityPolicy;
import weblogic.wsee.jws.jaxws.owsm.SecurityPolicies;
...
@SecurityPolicies({
@SecurityPolicy(uri=
"policy:oracle/wss10_username_token_with_message_protection_server_policy"),
@SecurityPolicy(uri="policy:oracle/authorization_policy")
})
@WebService
public class HelloWorldImpl { ... }

次の例では、注釈を使用してJava EE Webサービス・クライアントにポリシーをアタッチする方法を説明します。この例では、@Property注釈は、クライアント・ポリシーをアタッチする際のキーストア受信者の別名の構成プロパティのオーバーライドに使用されます。

??

package wsrm_jaxws.example;
import java.xml.ws.WebService;
import java.xml.ws.WebServiceRef;
import weblogic.wsee.jws.jaxws.owsm.SecurityPolicy;
import weblogic.wsee.jws.jaxws.owsm.SecurityPolicies;
import oracle.wsm.security.util.SecurityConstants.ClientConstants;
...
@WebServiceRef(name="MyServiceRef")
@SecurityPolicies({
@SecurityPolicy(uri="policy:oracle/wss10_message_protection_client_policy",
properties = {
@Property(name="ClientConstants.WSS_KEYSTORE_LOCATION",
value="c:/mykeystore.jks")
}
),
@SecurityPolicy(uri="policy:oracle/authorization_policy")
})
Service service;
...

4.2.1.2 機能クラスを使用したJava EE Webサービス・クライアントへのポリシーのアタッチ

次の機能クラスのいずれかを使用して、Java EE Webサービス・クライアントにOWSMセキュリティ・ポリシーをアタッチします。

注意:

設計時に機能クラスを使用してOWSMポリシーをアタッチした場合、クライアント・アプリケーションのデプロイ後に、Fusion Middleware Controlを使用してポリシーを追加または変更できません。デプロイ後にポリシーを追加または修正する場合は、次のいずれかのポリシー・アタッチメントの方法を使用することをお薦めします。

- 注釈を使用したJava EE Webサービスおよびクライアントへのポリシーのアタッチで説明されているように、設計時に注釈を使用して、OWSMポリシーをWebサービス・クライアントにアタッチします。

- Fusion Middleware Controlを使用したWebサービス・クライアントへのポリシーを直接アタッチするで説明されているように、デプロイ後にFusion Middleware Controlを使用して、OWSMポリシーをWebサービス・クライアントにアタッチします。

- weblogic.wsee.jws.jaxws.owsm.SecurityPolicyFeatureクラス(単一ポリシー)

- weblogic.wsee.jws.jaxws.owsm.SecurityPoliciesFeatureクラス(複数ポリシー)

Java EE WebサービスでサポートされているのはOWSMポリシーの一部のみです。詳細は、「Java EE WebサービスおよびクライアントでサポートされるOWSMポリシー」を参照してください。

注意:

機能クラスを使用したOWSMポリシーのアタッチは、注釈(「注釈を使用したJava EE Webサービスおよびクライアントへのポリシーのアタッチ」で説明)よりも優先されます。

次の例は、SecurityPolicyFeatureクラスを使用してWebサービス・クライアントに1つのOWSMポリシーをアタッチする方法を示しています。

注意:

この例で示されているoracle/wss_username_token_clientポリシーはセキュアではなく、パスワードはクリアテキストで送信されます。セキュリティが低い場合や、他のメカニズムを使用してトランスポートが保護されることを認識している場合にのみ、このポリシーを使用してください。または、このポリシー(oracle/wss_username_token_over_ssl_client_policy)のSSLバージョンを使用することを検討してください。

...
JAXWSService jaxWsService = new JAXWSService ();
weblogic.wsee.jws.jaxws.owsm.SecurityPolicyFeature securityFeature = new
weblogic.wsee.jws.jaxws.owsm.SecurityPolicyFeature {
new weblogic.wsee.jws.jaxws.owsm.SecurityPolicyFeature("policy:oracle/wss_username_token_client_policy") };

JAXWSServicePort  port =  jaxWsService.getJaxWsServicePort(securityFeature);
...

次の例は、SecurityPoliciesFeatureクラスを使用してWebサービス・クライアントに複数のOWSMポリシーをアタッチする方法を示しています。

...
weblogic.wsee.jws.jaxws.owsm.SecurityPoliciesFeature
securityFeature = new weblogic.wsee.jws.jaxws.owsm.SecurityPoliciesFeature
{
new weblogic.wsee.jws.jaxws.owsm.SecurityPolicyFeature(
new String[] {"policy:oracle/wss_username_token_client_policy",
"policy:oracle/authorization_policy"});
...

4.2.1.3 JDeveloperを使用したJava EE Webサービスおよびクライアントへのポリシーのアタッチ

JDeveloperを使用したJava EE Webサービスおよびクライアントへのポリシーのアタッチの詳細は、『Oracle JDeveloperによるアプリケーションの開発』のJAX-WS Webサービスおよびクライアントへのポリシーのアタッチ方法に関する項を参照してください。

4.2.2 設計時におけるRESTful Webサービスおよびクライアントへのポリシーのアタッチについて

次の各トピックで説明するように、設計時にRESTful Webサービスおよびクライアントにポリシーをアタッチできます。

- 注釈を使用したRESTful Webサービスへのポリシーのアタッチ

- 機能クラスを使用したRESTful Webサービス・クライアントへのポリシーのアタッチ

- JDeveloperを使用したRESTful Webサービスおよびクライアントへのポリシーのアタッチ

注意:

OWSMポリシーは、Jersey 2.x JAX-RS RIを使用して構築されたRESTful Webサービスおよびクライアントにのみアタッチできます。Jersey 2.x JAX-RS RIを使用して作成されたRESTful Webサービスとクライアントを保護する場合の詳細は、『Oracle WebLogic Server RESTful Webサービスの開発と保護』の「RESTful Webサービスおよびクライアントの保護」を参照してください。

サーブレット・アプリケーションにポリシーをアタッチするために「サーブレット・アプリケーションへのポリシーのアタッチ」の説明に従ってweb.xmlデプロイメント・ディスクリプタ・ファイルを変更し、OWSMサーブレット・フィルタを定義した場合、デプロイメント・ディスクリプタの定義は、この項で説明するポリシー・アタッチメント手順よりも優先されます。

4.2.2.1 注釈を使用したRESTful Webサービスへのポリシーのアタッチ

RESTful Webサービスにセキュリティ・ポリシーをアタッチするには、oracle.wsm.metadata.annotationパッケージに含まれる次の注釈のいずれかを使用します。

注意:

Jersey 2.x JAX-RS RIを使用して構築されるRESTful WebサービスおよびクライアントにOWSMポリシーをアタッチできます。12.1.3からはJersey1.xクライアントもサポートされます。

Jersey 2.x JAX-RS RIを使用して作成されたRESTful Webサービスとクライアントを保護する場合の詳細は、『Oracle WebLogic Server RESTful Webサービスの開発と保護』の「RESTful Webサービスおよびクライアントの保護」を参照してください。

- @PolicySet

- @PolicyReference

- @Property

OWSMポリシーのサブセットのみがRESTful Webサービスでサポートされます。詳細は、RESTful WebサービスおよびクライアントでサポートされるOWSMポリシーを参照してください。

JAX-RSアプリケーション・クラスにのみ、ポリシーをプログラムによってアタッチできます。

RESTful Webサービスにセキュリティ・ポリシーをアタッチする場合、次の例に示すように、@Property注釈を@PolicyReference注釈とともに使用してポリシー構成プロパティをオーバーライドできます。

注釈の詳細は、Oracle Web Servicesのセキュリティおよびポリシー注釈を参照してください。事前定義済ポリシーの詳細は、Oracle Web Services Managerの事前定義済ポリシーを参照してください。

次の例は、@PolicySet、@PolicyReferenceおよび@Property注釈を使用した、JAX-RSアプリケーション・クラスの保護を示しています。

...
import javax.ws.rs.core.Application;
import javax.ws.rs.ApplicationPath;
import oracle.wsm.metadata.annotation.PolicySet;
import oracle.wsm.metadata.annotation.PolicyReference;
import oracle.wsm.metadata.annotation.Property;
...
@PolicySet(references = {
@PolicyReference("oracle/wss_http_token_service_policy"),
@PolicyReference(value = "oracle/binding_permission_authorization_policy",
properties = {
@Property(name="resource",value="com.sun.jersey.samples.helloworld.resources.MyApplication"),
@Property(name="action",value="")})
})
@ApplicationPath("resources")
public class MyApplication extends Application {
public Set<Class<?>> getClasses() {
Set<Class<?>> s = new HashSet<Class<?>>();
s.add(HelloWorldResource.class);
return s;
}
}

4.2.2.2 機能クラスを使用したRESTful Webサービス・クライアントへのポリシーのアタッチ

注意:

Jersey 2.x JAX-RS RIを使用して構築されるRESTful WebサービスおよびクライアントにOWSMポリシーをアタッチできます。Jersey 2.x JAX-RS RIを使用して作成されたRESTful Webサービスとクライアントを保護する場合の詳細は、『Oracle WebLogic Server RESTful Webサービスの開発と保護』の「RESTful Webサービスおよびクライアントの保護」を参照してください。

クライアントを構築する場合はjersey2.xを使用することをお薦めしますが、12.1.3で使用可能なjersey 1.xクライアントもサポートされています。Jersey1.x/2.xを使用して作成されたプレーンJEEクライアントは管理対象クライアントではないため、それらにポリシーをアタッチするためにOracle Enterprise Managerを使用することはできません。これらは機能クラスを使用してプログラムで作成する必要があります。

設計時に機能クラスを使用してOWSMポリシーをアタッチした場合、クライアント・アプリケーションのデプロイ後に、Fusion Middleware Controlを使用してポリシーを追加または変更できません。デプロイ後にポリシーの追加または変更を行うには、「Fusion Middleware Controlを使用したWebサービス・クライアントへのポリシーを直接アタッチする」の説明に従って、デプロイ後にFusion Middleware Controlを使用してWebサービス・クライアントにOWSMポリシーをアタッチすることをお薦めします。

表4-1で定義している機能クラスを使用して、プログラムによってRESTful Webサービス・クライアントにOWSMセキュリティ・ポリシーをアタッチできます。クラスはoracle.wsm.metadata.featureパッケージで提供されます。機能クラスの詳細は、表A-1を参照してください。

表4-1 RESTfulクライアントへのポリシーのアタッチに使用される機能クラス

機能クラス

説明

AbstractPolicyFeature

ポリシー・サブジェクトの機能クラスのためのベース抽象クラス。

PolicySetFeature

ポリシー・サブジェクトにアタッチするためのポリシー参照と構成オーバーライド・プロパティのセット。

PolicyReferenceFeature

ポリシー・サブジェクトにアタッチするための単一のポリシー参照。

PropertyFeature

1つ以上のポリシーの構成のオーバーライドに使用できるオプションのプロパティ。

RESTfulクライアント・インスタンスを作成するときにorg.glassfish.jersey.client.ClientConfigを定義してjavax.ws.rs.client.Clientクラスのcreateメソッドに情報を渡すことにより、必要に応じてクライアント構成プロパティを渡すことができます。ClientConfigを使用すると、OWSMポリシー(oracle/http_jwt_token_client_policyなど)をアタッチして、構成プロパティをオーバーライドできます。

jersey 2.x APIを使用したサンプル・クライアントを次に示します。

package samples.helloworld.client;

import org.glassfish.jersey.client.ClientConfig;
import javax.ws.rs.client.Client;
import javax.ws.rs.client.ClientBuilder;
import javax.ws.rs.client.Invocation.Builder;
import javax.ws.rs.client.WebTarget;
import javax.ws.rs.core.Response;

import oracle.wsm.metadata.feature.PolicyReferenceFeature;
import oracle.wsm.metadata.feature.AbstractPolicyFeature;
import oracle.wsm.metadata.feature.PolicySetFeature;
import oracle.wsm.metadata.feature.PropertyFeature;
...
public static void main(String[] args) {
ClientConfig cc = new ClientConfig();
cc.property(AbstractPolicyFeature.ABSTRACT_POLICY_FEATURE,
new PolicySetFeature(
new PolicyReferenceFeature((
"oracle/wss_http_token_client_policy"), new
PropertyFeature(SecurityConstants.ConfigOverride.CO_CSF_KEY,
"weblogic-csf-key"))));
Client client = ClientBuilder.newClient(cc);

WebTarget webTarget = client.target("http://<host>:<port>/<context>/<resource>")
Builder request = webTarget.request("text/plain");

String response = request.get(String.class);
...
client.close();
}

4.2.2.3 JDeveloperを使用したRESTful Webサービスおよびクライアントへのポリシーのアタッチ

JDeveloperを使用したJava EE Webサービスおよびクライアントへのポリシーのアタッチの詳細は、Oracle JDeveloperによるアプリケーションの開発のRESTful Webサービスおよびクライアントへのポリシーのアタッチ方法に関する項を参照してください。

4.2.3 設計時におけるOracle Infrastructure Webサービスおよびクライアントへのポリシーのアタッチについて

次の項で説明するように、設計時にOracle Infrastructure Webサービスおよびクライアントにポリシーをアタッチできます。

- 注釈を使用したOracle Infrastructure Webサービスへのポリシーのアタッチ

- 機能クラスを使用したOracle Infrastructure Webサービス・クライアントへのポリシーのアタッチ

- Oracle JDeveloperを使用したOracle Infrastructure Webサービスへのポリシーのアタッチ

4.2.3.1 注釈を使用したOracle Infrastructure Webサービスへのポリシーのアタッチ

Oracle Infrastructure Webサービスにポリシーをアタッチするには、Oracle Web Servicesのセキュリティおよびポリシー注釈で定義している注釈のいずれかを使用できます。

セキュリティおよびポリシーの注釈を使用してアタッチできる事前定義済ポリシーの詳細は、Oracle Web Services Managerの事前定義済ポリシーを参照してください。

次の例では、コールバック・サービスに接続する非同期Webサービスとそのコールバック・クライアントにポリシーをアタッチする方法を示します。

...
import oracle.wsm.metadata.annotation.CallbackPolicySet;
import oracle.wsm.metadata.annotation.PolicySet;
import oracle.wsm.metadata.annotation.PolicyReference;
import oracle.wsm.metadata.annotation.Property;
...
@PortableWebService(serviceName = "EchoService", portName = "EchoPort")
@PolicySet(references = @PolicyReference(
"oracle/wss_username_token_service_policy"))
@CallbackPolicySet(properties = @Property("reference.priority", "1"),
references = {
@PolicyReference("oracle/wss10_saml_token_client_policy"),
@PolicyReference("oracle/log_policy") })
public class EchoService {
public EchoService() {
super();
}

public String echo(String message) {
return message + " echoed";
}
}

4.2.3.2 機能クラスを使用したOracle Infrastructure Webサービス・クライアントへのポリシーのアタッチ

表A-1で定義している機能クラスを使用して、プログラムによってOracle Infrastructure Webサービス・クライアントにOWSMポリシーをアタッチできます。

RequestContextを使用して、OWSMポリシーをアタッチして構成プロパティをオーバーライドできます。たとえば、次のコードはoracle.wms.metadata.featureパッケージの機能クラスを使用してoracle/wss_http_token_client_policyポリシーをクライアントにアタッチし、CO_CSF_KEY構成プロパティを値weblogic-csf-keyでオーバーライドする方法を示しています。

...
import oracle.wsm.metadata.feature.PolicyReferenceFeature;
import oracle.wsm.metadata.feature.AbstractPolicyFeature;
import oracle.wsm.metadata.feature.PolicySetFeature;
import oracle.wsm.metadata.feature.PropertyFeature;
...
void configureBasicAuth(Dispatch<SOAPMessage> dispatch) {
Map<String, Object> reqContext = dispatch.getRequestContext();
reqContext.put(AbstractPolicyFeature.ABSTRACT_POLICY_FEATURE,
new PolicySetFeature(
new PolicyReferenceFeature(
"oracle/wss_http_token_client_policy"), new
PropertyFeature(SecurityConstants.ConfigOverride.CO_CSF_KEY,
"weblogic-csf-key")));
}
...

4.2.3.3 Oracle JDeveloperを使用したOracle Infrastructure Webサービスへのポリシーのアタッチ

JDeveloperを使用してアプリケーションを開発している場合、Oracle Infrastructure Webサービスおよびクライアントにポリシーをアタッチするウィザードを利用できます。詳細は、次を参照してください。

- Oracle SOA Suiteを使用したSOAアプリケーションの開発のポリシーの管理に関する項とバインディング・コンポーネントとサービス・コンポーネントへのポリシーのアタッチに関する項

- 『Application Development Framework開発者ガイド』のWebサービス・データ・コントロールの保護に関する項

- 『Oracle JDeveloperによるアプリケーションの開発』のWebサービスの開発および保護に関する項

4.3 Fusion Middleware Controlを使用したWebサービスおよびクライアントへのポリシーのアタッチについて

OWSMポリシーは、Fusion Middleware Controlを使用して、単一のポリシー・サブジェクトまたは複数のサブジェクト(グローバル・アタッチメント)にアタッチできます。

次の項では、単一のポリシー・サブジェクトへのポリシーのアタッチ方法、複数サブジェクトへのアタッチ方法(グローバル・アタッチメント)、およびポリシーがアタッチされた後にサブジェクトを検証する方法について説明します。

- Fusion Middleware Controlを使用したポリシーを直接アタッチする

- Fusion Middleware Controlを使用したポリシーのグローバルなアタッチについて

- Fusion Middleware Controlを使用したWebサービスにアタッチされたポリシーの表示

- ポリシー・アタッチメントの検証

- ポリシー・セットの検証について

4.3.1 Fusion Middleware Controlを使用したポリシーを直接アタッチする

単一サブジェクトのポリシーをアタッチおよびデタッチする方法と、ポリシーがアタッチされた後でサブジェクトを検証する方法の詳細を説明します。

- Fusion Middleware Controlを使用した単一サブジェクトへのポリシーを直接アタッチする

- Fusion Middleware Controlを使用したWebサービス・クライアントへのポリシーを直接アタッチする

- Fusion Middleware Controlを使用した直接アタッチされたポリシーの有効化または無効化

- Fusion Middleware Controlを使用した直接アタッチされたポリシーのデタッチ

次のことに注意してください。

- WebLogic Java EE Webサービス:

- OWSMセキュリティ・ポリシーのサブセットのみアタッチできます。詳細は、「Java EE WebサービスおよびクライアントでサポートされるOWSMポリシー」を参照してください。

- OWSMポリシーとWebLogic Webサービス・ポリシーは、同じエンドポイントにはアタッチできません。Java EEエンドポイントにWebLogicポリシーがアタッチされている場合、「WSMポリシー」タブは表示されず、OWSMセキュリティ・ポリシーをアタッチすることはできません。かわりに「WebLogicポリシー違反」タブが表示され、エンドポイントにアタッチされているWebLogic Webサービス・ポリシーの違反の詳細が示されます。
WebLogicポリシーは、WebLogic Server管理コンソールを使用してアタッチできることに注意してください。Fusion Middleware Controlを使用してWebLogicポリシーをアタッチすることはできません。

- RESTful Webサービス:

- OWSMポリシーは、Jersey 2.x JAX-RS RIを使用して構築されたRESTful Webサービスおよびクライアントにのみアタッチできます。Jersey 2.x JAX-RS RIを使用して作成されたRESTful Webサービスとクライアントを保護する場合の詳細は、『Oracle WebLogic Server RESTful Webサービスの開発と保護』の「RESTful Webサービスおよびクライアントの保護」を参照してください。

- OWSMセキュリティ・ポリシーのサブセットのみアタッチできます。詳細は、RESTful WebサービスおよびクライアントでサポートされるOWSMポリシーを参照してください。

- サーブレット・アプリケーションにポリシーをアタッチするために「サーブレット・アプリケーションへのポリシーのアタッチ」の説明に従ってweb.xmlデプロイメント・ディスクリプタ・ファイルを変更し、OWSMサーブレット・フィルタを定義した場合、デプロイメント・ディスクリプタの定義は、この項で説明するポリシー・アタッチメント手順よりも優先されます。

- SOAコンポジット・サービスの場合、OWSMポリシーのサブセットのみが適用されます。詳細は、「SOAコンポジット・サービスおよびクライアントでサポートされるOWSMポリシー」を参照してください。

4.3.1.1 Fusion Middleware Controlを使用した単一サブジェクトへのポリシーを直接アタッチする

サブジェクトは、ポリシーを関連付けられるエンティティです。サブジェクトには、1つ以上のポリシーをアタッチできます。

注意:

クラスタ化されたサーバー環境内のサブジェクトに直接ポリシーをアタッチすると、少し遅れてポリシー・アタッチメントの詳細がクラスタ内の他のサーバーに伝播されます。情報を迅速に伝播させるには、次の手順のいずれかを実行します。

- クラスタ内の他のサーバーを再起動します。

- キャッシュ・リフレッシュ・プロパティを構成して遅延を最小化します。詳細は、Fusion Middleware Controlを使用した高可用性の構成およびキャッシュの管理を参照してください。

ポリシーが実行される順序は、サブジェクトにポリシーがアタッチされる順序や、アタッチされたポリシーのリストの順序では決定されません。クライアントとWebサービス間でメッセージが受け渡される際に、ポリシー・インターセプタ・チェーン内のインターセプタの順序でポリシーが実行される順序が決定されます。

詳細は、『Oracle Web Services Managerの理解』のポリシーの実行方法に関する項を参照してください。

単一のサブジェクトにポリシーを直接アタッチするには:

1. 『Webサービスの管理』のFusion Middleware Controlを使用したWebサービス・エンドポイントの詳細の表示に関する項の説明に従って、Webサービス・エンドポイントの詳細を表示します。

注意:

『Webサービスの管理』のRESTfulサービス・アプリケーションの詳細の表示に関する項で説明するように、RESTful Webサービスにポリシーをアタッチする場合は、RESTfulアプリケーションにのみポリシーをアタッチできます。RESTfulリソースにはポリシーをアタッチできません。

2. ページの上部にある「ポリシーのアタッチ/デタッチ」リンクをクリックします。

「WSMポリシー・サブジェクト構成」ページが表示され、エンドポイントにすでにグローバルにアタッチされているポリシーおよび直接アタッチされているポリシーのみが表示されます。図4-1に示す例を参照してください。

図4-1 直接アタッチされたポリシーが表示されている「WSMポリシー・サブジェクト構成」ページ

3. 「制約」メニューから式を選択し、必要に応じて、ポリシー・セットが関連するコンテキストを決定するためにポリシー・セットに適用される制約を適用します。

制約の指定の詳細は、「ポリシー・セットの実行時制約」を参照してください。

4. 「カテゴリ/ポリシー名」表の上にある「アタッチ/デタッチ」オプションをクリックします。

図4-2に示すように、ポリシー・アタッチメント・ダイアログが表示されます。

図4-2 Webサービスへのポリシーのアタッチ

5. ポリシーの詳細を表示するには、ポリシーを選択して、「詳細の表示」アイコンをクリックします。図4-3に示すように、ポップアップ・ウィンドウに、ポリシーの読取り専用の詳細説明とそのポリシーに含まれるアサーションのリストが表示されます。ポリシーの詳細を確認し終わったら、「OK」をクリックします。

図4-3 ポリシーの詳細の表示

6. 「使用可能なポリシー」リストからポリシーを選択し、「添付」をクリックします。

選択したポリシーが「直接アタッチされたポリシー」表に移動されます。

注意:

使用可能なポリシーのリストは、ポリシーのアタッチ先がSOAPなのかRESTful Webサービスまたはクライアントなのかに基づいてフィルタリングされます。

7. 必要に応じてポリシーの選択とアタッチを続行します。完了したら、「検証」をクリックして、選択されたポリシーの組合せが有効であることを確認します。

「検証に成功しました。」というメッセージを示す「情報」ポップアップが表示されます。「OK」をクリックして、ポップアップを閉じます。

8. ポリシー・アタッチメント・ページの上部にある「OK」をクリックします。

9. 「WSMポリシー・サブジェクト構成」ページの「直接アタッチされたポリシー」表に、新しくアタッチされたポリシーがカテゴリに基づいて表示されます。

注意:

出力には、エンドポイントで有効であるグローバルにアタッチされたポリシー、すべての直接アタッチされたポリシー、およびエンドポイントに有効な構成があり、セキュアであるかどうかが示されます。「ポリシー・アタッチメントの優先度の指定」の説明に従って、グローバルにまたは直接アタッチされたポリシーの優先度を指定できるので、直接アタッチされたポリシーの「有効」フィールドはエンドポイントに対してそのポリシーが有効であるかどうかを示します。エンドポイントの管理を簡単にするため、直接アタッチされているポリシーは、それが有効化どうかに関係なくすべて出力に表示されます。対照的に、グローバルにアタッチされているポリシーは、そのエンドポイントに対して有効なもののみが表示されます。エンドポイントで有効なポリシーの詳細は、「ポリシーの有効セットの計算方法」を参照してください。

4.3.1.2 Fusion Middleware Controlを使用したWebサービス・クライアントへのポリシーを直接アタッチする

この項では、Java EE Webサービス・クライアント、SOA参照、ADF Data Control (DC)および非同期のWebサービス・コールバック・クライアントなどのOracle Infrastructure Webサービス・クライアントに、ポリシーをアタッチする方法について説明します。

注意:

RESTful Webサービス・クライアントには設計時にのみポリシーをアタッチできます。詳細は、「機能クラスを使用したRESTful Webサービス・クライアントへのポリシーのアタッチ」を参照してください。

4.3.1.2.1 Fusion Middleware Controlを使用したSOA参照へのポリシーのアタッチ

次の手順では、SOA参照にポリシーを添付する方法について説明します。

SOA参照にポリシーを添付する手順

1. 『Webサービスの管理』のSOA参照の表示での説明に従って、Webサービス・エンドポイント・ページに移動してSOA参照を表示します。

2. ページの上部にある「ポリシーのアタッチ/デタッチ」リンクをクリックします。

WSLポリシー・サブジェクト構成ページが表示され、エンドポイントにすでにグローバルにアタッチされているポリシーおよび直接アタッチされているポリシーのみが表示されます。

3. 制約を選択します(複数選択が可能です)。このページに表示される動的に計算された有効なポリシーは、選択した制約によって異なる場合があります。

4. 「アタッチ/デタッチ」をクリックします。ポリシー・アタッチメント・ダイアログ・ボックスが表示されます。

5. 「使用可能なポリシー」リストからポリシーを選択し、「添付」をクリックします。

選択したポリシーが「直接アタッチされたポリシー」表に移動されます。

注意:

使用可能なポリシーのリストは、ポリシーのアタッチ先がSOAPなのかRESTful Webサービスまたはクライアントなのかに基づいてフィルタリングされます。

6. ページの「使用可能なポリシー」セクションで、添付するポリシーを1つ以上選択します。ポリシーを検証するには「検証」をクリックし、クライアント・ポリシーとサービス・ポリシーの互換性を確認するには「サービスの互換性をチェックします」をクリックします。

7. ポリシーをアタッチするには、「アタッチ」をクリックします。

8. 「WSMポリシー・サブジェクト構成」ページの「直接アタッチされたポリシー」表に、新しくアタッチされたポリシーがカテゴリに基づいて表示されます。

9. 「OK」をクリックします。

10. Webサービス・モニタリング・ページに戻るには、ポリシーをアタッチした後にページの右上隅にある「戻る」をクリックします。

4.3.1.2.2 Fusion Middleware Controlを使用した接続ベースのWebサービス・クライアントへのポリシーのアタッチ

次の手順は、ADF DC Webサービス・クライアント、ADF JAX-WS Indirection ProxyまたはWebCenterクライアントなどの接続ベースのWebサービス・クライアントにポリシーを添付する方法を示しています。

ADF DC Webサービス・クライアントの開発の詳細は、『Oracle Application Development FrameworkによるFusion Webアプリケーションの開発』のFusion WebアプリケーションでのADFモデルの使用に関する項を参照してください。

接続ベースのWebサービス・クライアントへのポリシーをアタッチするには:

1. ナビゲーション・ペインで「アプリケーションのデプロイ」を開きます。

2. ナビゲーション・ペインで対象のアプリケーション・デプロイメントを開き、そのアプリケーションを選択します。

3. コンテンツ・ペインで、「アプリケーションのデプロイ」→「ADF」→「ADF接続の構成」を選択します。

4. 「ADF接続構成」ページで、「Webサービス接続」リストから1行を選択します。

5. 「詳細な接続構成」をクリックして、リストからWebサービス・クライアントを選択します。

6. 「Webサービス・クライアント」ページで、「WSMポリシー」タブを選択します。

7. ページの上部にある「ポリシーのアタッチ/デタッチ」リンクをクリックします。

「WSMポリシー・サブジェクト構成」ページが表示され、エンドポイントにすでにグローバルにアタッチされているポリシーおよび直接アタッチされているポリシーのみが表示されます。

8. 「カテゴリ/ポリシー名」表の上にある「アタッチ/デタッチ」オプションをクリックして、ポリシー・アタッチメント・ダイアログを開きます。

9. ページの「使用可能なポリシー」セクションで、アタッチするポリシーを1つ以上選択します。ポリシーを検証するには「検証」をクリックし、クライアント・ポリシーとサービス・ポリシーの互換性を確認するには「サービスの互換性をチェックします」をクリックします。

10. ポリシーをアタッチするには、「アタッチ」をクリックします。

11. 「OK」をクリックします。

4.3.1.2.3 Fusion Middleware Controlを使用した非同期Webサービス・コールバック・クライアントへのポリシーのアタッチ

次の手順では、非同期のWebサービス・コールバック・クライアントにポリシーをアタッチする方法について説明します。非同期Webサービスおよび非同期コールバック・クライアントの開発の詳細は、『Oracle Infrastructure Webサービスの開発』の非同期Webサービスの開発に関する項を参照してください。

非同期コールバック・クライアントにポリシーをアタッチする手順

1. Webサービスの管理の「Fusion Middleware Controlを使用したWebサービス・エンドポイントの詳細の表示」で説明されているように、「Webサービス・エンドポイント」ページに移動します。

2. 「ポリシーのアタッチ/デタッチ」ドロップダウンから「コールバック・クライアント」を選択します。

「WSMポリシー・サブジェクト構成」ページが表示され、エンドポイントにすでにグローバルにアタッチされているポリシーおよび直接アタッチされているポリシーのみが表示されます。

3. ページの上部にある「ポリシーのアタッチ/デタッチ」リンクをクリックします。

4. ページの「直接アタッチされたポリシー」セクションで、「アタッチ/デタッチ」をクリックします。

5. ページの「使用可能なポリシー」セクションで、アタッチするポリシーを1つ以上選択し、「アタッチ」をクリックします。

6. 「検証」をクリックして、選択されたポリシーの組合せが有効であることを確認します。

7. 「OK」をクリックします。

8. ポリシー・サブジェクト・モニタリング・ページに戻るには、「戻る」をクリックします。

4.3.1.2.4 Fusion Middleware Controlを使用したJava EE Webサービス・クライアントへのポリシーのアタッチ

Fusion Middleware controlを使用して、OWSMポリシーをWebLogic Java EE Webサービス・クライアントにアタッチします。

注意:

WebLogic Java EE Webサービス・クライアント・ポリシー・アタッチメント:

- OWSMセキュリティ・ポリシーのみアタッチできます。

- OWSMポリシーとWebLogic Webサービス・ポリシーは、同じクライアントにはアタッチできません。Java EEクライアントにWebLogicポリシーがアタッチされている場合、「WSMポリシー」タブは表示されず、OWSMセキュリティ・ポリシーをアタッチすることはできません。かわりに「WebLogicポリシー違反」タブが表示され、クライアントにアタッチされているWebLogic Webサービス・ポリシーの違反の詳細が示されます。
WebLogicポリシーは、WebLogic Server管理コンソールを使用してアタッチできることに注意してください。Fusion Middleware Controlを使用してWebLogicポリシーをアタッチすることはできません。

- Webサービス・クライアントのデプロイメント後にOWSMポリシーをアタッチすることをお薦めします。開発時にプログラムによってOWSMポリシーをアタッチする場合、クライアント・アプリケーションがデプロイされた後には、ポリシーを変更または削除できません。

Java EE Webサービス・クライアントへポリシーをアタッチするには:

1. a.『Webサービスの管理』のアプリケーションの「Webサービスのサマリー」ページの表示に関する項の説明に従って、「Java EE Webサービス・クライアント」ページに移動します。

2. 「Java EE Webサービス・クライアント」リンクを選択し、ポリシーを直接アタッチするために「WSMポリシー・サブジェクト構成」ページに移動します。

3. 図4-4に示すように、「構成」タブを選択して、ポリシーをアタッチできる利用可能なクライアント・ポートを表示します。

注意:

ポートがランタイム・クライアント・インスタンスに関連付けられている場合は、ポート名を開いて関連付けられているインスタンスを表示します。また、ポートがクライアント・アプリケーションで定義されているが、ランタイム・クライアント・インスタンスに正しく関連付けられていない場合に、そのポートにポリシーをアタッチできます。

最新のポリシーが常に強制されるように、WebLogic Java EE Webサービス・クライアントの開発時には、推奨ベスト・プラクティスに従うことが重要です。つまり、処理が完了したらクライアント・インスタンスを明示的に閉じる必要があります。クライアント・インスタンスが閉じられていないと、リポジトリ内のポリシーに対するすべての変更がクライアント上で強制されません。ベスト・プラクティスの詳細は、『Oracle WebLogic Server JAX-WS Webサービスの開発』のJAX-WS Webサービス・クライアントを開発するためのロードマップに関する項を参照してください。

図4-4 Java EE Webサービス・クライアント

4. クライアント・ポートの名前をクリックして、「Java EE Webサービス・クライアント・ポート」ページへ移動します。

5. 「アタッチ/デタッチ」をクリックします。

6. ページの「使用可能なポリシー」セクションで、アタッチするポリシーを1つ以上選択します。「検証」をクリックして、選択されたポリシーの組合せが有効であることを確認し、「OK」をクリックします。
図4-5に示すように、アタッチされたポリシーは、「Java EE Webサービス・クライアント・ポート」ページに表示されます

図4-5 Java EE Webサービス・クライアント・ポートへのポリシーのアタッチ

7. オプションで、アタッチされたポリシーの構成オーバーライドを指定します。これを行うには、次の手順を実行します。

a. ページの「WSMポリシー」セクションでオーバーライドを構成する必要があるポリシーを選択します。
オーバーライドできるプロパティは、ページの「セキュリティ構成の詳細」セクションに表示されます。

b. 「現在値」フィールドにオーバーライド値を入力し、「適用」をクリックします。

オーバーライドの構成の詳細は、「Fusion Middleware Controlを使用したWebサービス・クライアント・アプリケーション・レベルでの構成プロパティのオーバーライド」を参照してください。

8. ポリシー・サブジェクト・モニタリング・ページに戻るには、「戻る」をクリックします。

4.3.1.3 Fusion Middleware Controlを使用した直接アタッチされたポリシーの有効化または無効化

Webサービスにポリシーをアタッチすると、デフォルトで有効化されます。Webサービスからポリシーの関連付けを解除せずに、1つのエンドポイントに対してポリシーを一時的に無効化できます。ポリシーがエンドポイントに対して無効化されると、そのエンドポイントに対して施行されません。

エンドポイント(ポート)にアタッチされているポリシーを有効化または無効化するには:

1. 『Webサービスの管理』のアプリケーションの「Webサービスのサマリー」ページへの移動に関する項の説明に従って、Webサービスのホームページに移動します。

2. ページの「Webサービスの詳細」セクションで、「Webサービス・エンドポイント」タブを選択してアプリケーション内のWebサービス・エンドポイントのリストを表示します。

3. 特定のWebサービスについては、エンドポイントの名前をクリックして「Webサービス・エンドポイント」ページに移動します。

4. ページの上部近くにある「ポリシーのアタッチ/デタッチ」リンクをクリックします。エンドポイントにグローバルにアタッチされたポリシーおよび直接アタッチされたポリシーのみが表示されます。

5. 「直接アタッチされたポリシー」リストからポリシーを選択し、「有効化」または「無効化」をクリックしてポリシーを有効化または無効化します。

4.3.1.4 Fusion Middleware Controlを使用した直接アタッチされたポリシーのデタッチ

Webサービスからポリシーをデタッチするには:

1. 『Webサービスの管理』のアプリケーションの「Webサービスのサマリー」ページの表示に関する項の説明に従って、Webサービスのホームページに移動します。

2. 「Webサービス・エンドポイント」タブを選択してアプリケーション内のエンドポイントを表示し、ポリシーをデタッチするエンドポイントを選択します。

3. 「Webサービス・エンドポイント」ページで、ページの上部近くにある「ポリシーのアタッチ/デタッチ」リンクをクリックします。エンドポイントにグローバルにアタッチされたポリシーおよび直接アタッチされたポリシーのみが表示されます。

4. ページの「直接アタッチされたポリシー」セクションで、「アタッチ/デタッチ」をクリックします。

5. 「直接アタッチされたポリシー」表でデタッチするポリシーを選択し、「デタッチ」をクリックします。

6. 「OK」をクリックして「Webサービス・エンドポイント」ページに戻ります。

4.3.2 Fusion Middleware Controlを使用したポリシーのグローバルなアタッチについて

Fusion Middleware Controlを使用してポリシー・セットを管理および作成する方法の詳細を説明します。

注意:

グローバル・ポリシー・アタッチメントは、RESTful Webサービスとクライアント、Oracle Infrastructure Webサービスとクライアント、およびJava EE Webサービスとクライアントでサポートされています。

WebLogic Java EE Webサービス:

- OWSMポリシーのサブセットのみアタッチできます。詳細は、「Java EE WebサービスおよびクライアントでサポートされるOWSMポリシー」を参照してください。

- OWSMポリシーとWebLogic Webサービス・ポリシーは、同じエンドポイントにはアタッチできません。WebLogicポリシーがアタッチされているJava EEエンドポイントに適用されるポリシー・セットを作成すると、そのエンドポイントで有効なポリシーが計算される際に、OWSMポリシーは無視されます。
WebLogicポリシーは、WebLogic Server管理コンソールを使用してアタッチできることに注意してください。Fusion Middleware Controlを使用してWebLogicポリシーをアタッチすることはできません。

RESTful Webサービス:

- OWSMポリシーは、Jersey 2.x JAX-RS RIを使用して構築されたRESTful Webサービスおよびクライアントにのみアタッチできます。Jersey 2.x JAX-RS RIを使用して作成されたRESTful Webサービスとクライアントを保護する場合の詳細は、『Oracle WebLogic Server RESTful Webサービスの開発と保護』の「RESTful Webサービスおよびクライアントの保護」を参照してください。

- OWSMセキュリティ・ポリシーのサブセットのみアタッチできます。詳細は、RESTful WebサービスおよびクライアントでサポートされるOWSMポリシーを参照してください。

SOAコンポジット・サービスの場合、OWSMポリシーのサブセットのみが適用されます。詳細は、「SOAコンポジット・サービスおよびクライアントでサポートされるOWSMポリシー」を参照してください。

ポリシー・セットを使用すると、ある範囲に含まれる同じタイプのエンドポイントに対して、ポリシーをグローバルにアタッチできます。グローバル・ポリシー・アタッチメントの詳細は、『Oracle Web Services Managerの理解』のポリシー・セットを使用したグローバル・ポリシー・アタッチメントの概要に関する項を参照してください。

次のトピックが含まれています:

- Fusion Middleware Controlを使用した「WSMポリシー・セット・サマリー」ページへの移動

- Fusion Middleware Controlを使用したポリシー・セットの構成の表示

- Fusion Middleware Controlを使用したポリシー・セットの作成

- Fusion Middleware Controlを使用したポリシー・セットのクローニング

- Fusion Middleware Controlを使用したポリシー・セットの編集

- Fusion Middleware Controlを使用したポリシー・セットでの実行時制約の指定

- Fusion Middleware Controlを使用したポリシー・セットの有効化および無効化

- Fusion Middleware Controlを使用したポリシー・セットの削除

4.3.2.1 Fusion Middleware Controlを使用した「WSMポリシー・セット・サマリー」ページへの移動

「WSMポリシー・セット・サマリー」ページに移動するには:

ポリシー・セットは、「WSMポリシー・セット・サマリー」ページからドメイン・レベルで管理できます。このページから、すべての既存のポリシー・セットのリストや個別のポリシー・セットの詳細を表示したり、新しいポリシーを作成したり、既存のポリシー・セットをコピー、編集または削除できます。また、ポリシー・セット内のポリシー参照のオーバーライドの構成もできます。

1. ナビゲータ・ペインで「WebLogicドメイン」を開きます。

2. ポリシー・セットを管理するドメインを選択します。

3. 「WebLogicドメイン」メニューから、「Webサービス」→「WSMポリシー・セット」を選択します。

図4-6に示すように、「WSMポリシー・セット・サマリー」ページが表示されます。

図4-6 「WSMポリシー・セット・サマリー」ページ

4.3.2.2 Fusion Middleware Controlを使用したポリシー・セットの構成の表示

次の項では、Fusion Middleware Controlを使用してポリシー・セットを表示する方法について説明します。

ポリシー・セットを表示するには:

1. 「Fusion Middleware Controlを使用した「WSMポリシー・セット・サマリー」ページへの移動」の説明に従って、「WSMポリシー・セット・サマリー」ページに移動します。

2. 「WSMポリシー・セット・サマリー」ページで、表からポリシー・セットを選択し、「表示」をクリックします。

このページから、ポリシー・セットに関する一般情報、適用先のリソースのスコープ、構成済の任意の制約およびポリシー・セットに含まれるポリシー参照を表示できます。

3. ポリシー・セットを参照し終わったら、「ポリシー・セットに戻る」をクリックします。

図4-7 ポリシー・セットの表示

4.3.2.3 Fusion Middleware Controlを使用したポリシー・セットの作成

次の項では、Fusion Middleware Controlを使用してポリシー・セットを作成する方法について説明します。

ポリシー・セットを作成するには、次のコマンドを実行します。

1. 「Fusion Middleware Controlを使用した「WSMポリシー・セット・サマリー」ページへの移動」の説明に従って、「WSMポリシー・セット・サマリー」ページに移動します。

2. 「WSMポリシー・セット・サマリー」ページで、「作成」をクリックします。

ポリシー・セットを作成するウィザードの最初のページが表示されます。

3. 図4-8に示すように、「一般情報の入力」ページで、「名前」フィールドにポリシー・セットの名前を入力します。

図4-8 「一般情報の入力」ページ

4. ポリシー・セットを有効にする場合は、「有効」チェック・ボックスを選択します。

5. 「リソース・タイプ」フィールドで、ポリシーをアタッチするポリシー・サブジェクトのタイプを選択します。次のページで、ポリシー・セットを適用するリソース・スコープを定義します。選択可能なポリシー・サブジェクトのタイプは、『Oracle Web Services Managerの理解』のポリシー・サブジェクトの概要に関する項で定義されています。

注意:

ポリシー・セットを作成する場合、SOAP WebサービスおよびSOAP Webサービス・クライアントのサブジェクト・タイプが、Oracle InfrastructureのWebサービスとクライアントおよびJava EEのWebサービスとクライアントを両方とも参照します。Java EEエンドポイントで有効なポリシー・セットが計算される際、非セキュリティ・ポリシーは無視されます。

6. 必要に応じて、「説明」フィールドにポリシー・セットの説明を追加し、「次へ」をクリックします。

7. 「リソース・スコープの入力」ページで、前の手順で選択したリソース・タイプのスコープを定義する少なくとも1つのパターン文字列を入力します。有効なスコープは、『Oracle Web Services Managerの理解』のリソースのサブジェクト・タイプとスコープに関する項で定義されています。

注意:

リソース・スコープを指定するには、このページで少なくとも1つの「パターン」フィールドにパターン文字列を入力する必要があります。

使用可能なリソース・スコープのリストは、前のページで選択したリソース・タイプによって決定します。たとえば、SOAP Webサービスを選択した場合に使用可能なリソース・スコープは、ドメイン、アプリケーション、アプリケーション・モジュールまたは接続、RESTfulアプリケーション、サービス、Webサービス・エンドポイントまたはポートです。

たとえば、ドメイン内のすべてのWebサービス・エンドポイントにポリシーをアタッチするには、そのドメインの名前のみを示すパターン文字列を入力します。他のフィールドに記入する必要はありません。より詳細なスコープ、たとえばアプリケーション・レベルまたはアプリケーション・モジュール・レベルでポリシーをアタッチするには、「パターン」フィールドにアプリケーションまたはモジュールの名前を示すパターン文字列を入力します。該当位置で任意の数の文字に一致するワイルドカード文字としてアスタリスク(*)を文字列内の任意の場所で使用できます。また、文字列内で複数のワイルドカードを指定できます。ドメインに対してアスタリスクのワイルドカードのみを使用した場合、そのスコープ・レベルによりエンタープライズ内のすべてのドメインが影響を受けることに注意してください。

「ドメイン名」と「サーバー・インスタンス名」など、複数のリソース・スコープに対してパターン文字列を入力する場合、Domain("myDomain*") AND Server ("*SOA*")のようにANDのフィルタ条件で結合されます。リソース・タイプとスコープの指定の詳細および複数のリソース・スコープを指定する例は、グローバルにアタッチされたポリシーのリソースのタイプとスコープの定義についてを参照してください。

8. 「次へ」をクリックします。

9. 「制約の入力」ページで、必要に応じて、ポリシー・セットが関連するコンテキストを決定するためにポリシー・セットに適用される制約を入力します。たとえば、セキュリティ保護されていない公衆回線でメッセージが送信される可能性があるため、外部クライアントと通信する場合に、サービスでメッセージ保護を使用するように指定できます。ただし、信頼できるネットワークで内部クライアントと通信するときは、メッセージ保護を要求しない場合もあります。

制約を指定するには、このページの「制約式詳細」セクションで「有効」チェック・ボックスを選択し、「HTTPヘッダー名」フィールドおよび「HTTPヘッダー値」フィールドでヘッダーの名前および値を指定したうえで、必要に応じて制約を反転する「!(NOT)」演算子を選択し、「制約の更新」をクリックします。次に、「次へ」をクリックします。

制約の指定の詳細は、「ポリシー・セットの実行時制約」を参照してください。

10. 「ポリシー参照の追加」ページで、「使用可能なポリシー」リストからポリシーを選択し、「アタッチ」をクリックします。

注意:

「使用可能なポリシー」表の上にある例による問合せのフィールドを使用して、表示されるポリシーのリストをフィルタリングできます。たとえば、セキュリティ・ポリシーのみを表示するには、「カテゴリ」列の上のドロップダウン・メニューから「セキュリティ」を選択します。メッセージ保護ポリシーのみを表示するには、「名前」列の上にあるフィールドにmessageと入力し、[Enter]キーを押します。

ポリシーの詳細を表示するには、ポリシーを選択して、「詳細の表示」アイコンをクリックします。ポップアップ・ウィンドウに、ポリシーの読取り専用の詳細説明とそのポリシーに含まれるアサーションのリストが表示されます。ポリシーの詳細を確認し終わったら、「OK」をクリックします。

11. ポリシーの選択とアタッチを続行します。完了したら、「検証」をクリックして、選択されたポリシーの組合せが有効であることを確認します。

図4-9 「ポリシー参照の追加」ページ

12. 「次へ」をクリックし、「サマリー」ページを表示します。

13. ポリシー・セット・サマリー情報を確認します。満足のいくポリシー・セットが得られた場合は「保存」をクリックします。

検証が失敗した場合でも、ポリシー・セットは依然として保存されていますが、無効モードになることに注意してください。

図4-10 「ポリシー・セットの作成」ウィザードの「サマリー」ページ

4.3.2.4 Fusion Middleware Controlを使用したポリシー・セットのクローニング

新しいポリシー・セットのベースとして既存のポリシー・セットを使用できます。次の項では、Fusion Middleware Controlを使用して既存のポリシー・セットから新しいポリシー・セットのクローンを作成する方法について説明します。

既存のポリシー・セットから新しいポリシー・セットのクローンを作成すると、すべての値とアタッチメントが新規のポリシー・セットにコピーされることに注意してください。新規のポリシー・セットのリソース・スコープとポリシー・アタッチメントは変更できますが、適用されるリソースのタイプは変更できません。

既存のポリシー・セットを使用して新しいポリシー・セットのクローンを作成するには:

1. 「Fusion Middleware Controlを使用した「WSMポリシー・セット・サマリー」ページへの移動」の説明に従って、「WSMポリシー・セット・サマリー」ページに移動します。

2. 「WSMポリシー・セット・サマリー」ページで、コピーするポリシー・セットを選択し、「類似作成」をクリックします。

3. 「一般情報の入力」ページで、ポリシー・セットの新しい名前および説明を入力します。

次の点に注意してください。

- ベース・ポリシー・セット名に「_Copy」を追加したデフォルトの新しいポリシー・セット名が作成されます。たとえば、ベース・ポリシー・セットがgpa_ws_endpointという名前の場合、コピーの表示名はgpa_ws_endpoint_Copyです。

- 「リソース・タイプ」フィールドは読取り専用です。ポリシー・セットのクローンを作成する場合、スコープを変更することはできますが、ポリシー・セットをアタッチするリソースのタイプは変更できません。

4. 「有効」チェック・ボックスを選択するか、その選択を解除して、ポリシー・セットを有効または無効にします。

5. 「次へ」をクリックします。

6. 「リソース・スコープの入力」ページで、必要に応じてスコープを変更し、「次へ」をクリックします。

注意:

リソース・スコープを指定するには、このページで少なくとも1つの「パターン」フィールドにパターン文字列を指定する必要があります。

7. 「制約の入力」ページで、必要に応じて制約を指定するか、または既存の制約を変更します。「制約の更新」をクリックし、「次へ」をクリックします。

詳細は、「ポリシー・セットの実行時制約」を参照してください。

8. 「ポリシー参照の追加」ページで、必要に応じてポリシー・アタッチメントを変更します。完了したら、「検証」をクリックして、選択されたポリシーの組合せが有効であることを確認します。

9. 「次へ」をクリックし、「サマリー」ページを表示します。

10. ポリシー・セット・サマリー情報を確認します。満足のいくポリシー・セットが得られた場合は「保存」をクリックします。

4.3.2.5 Fusion Middleware Controlを使用したポリシー・セットの編集

Fusion Middleware Controlを使用して既存のポリシー・セットを編集するには、次の手順を実行します。

1. 「Fusion Middleware Controlを使用した「WSMポリシー・セット・サマリー」ページへの移動」の説明に従って、「WSMポリシー・セット・サマリー」ページに移動します。

2. 「WSMポリシー・セット・サマリー」ページで、編集するポリシー・セットを選択し、「編集」をクリックします。

3. 「一般情報の入力」ページで、「有効」チェック・ボックスを選択するか、その選択を解除して、ポリシー・セットを有効または無効にします。また、ポリシー・セットの説明を編集できます。

「名前」フィールドおよび「リソース・タイプ」フィールドが読取り専用であることに注意してください。

4. 「次へ」をクリックします。

5. 「リソース・スコープの入力」ページで、必要に応じてスコープを変更し、「次へ」をクリックします。

6. 「制約の入力」ページで、必要に応じて制約を指定するか、または既存の制約を変更します。「制約の更新」をクリックし、「次へ」をクリックします。

制約の指定の詳細は、「ポリシー・セットの実行時制約」を参照してください。

7. 「ポリシー参照の追加」ページで、必要に応じてポリシー・アタッチメントを変更します。完了したら、「検証」をクリックして、選択されたポリシーの組合せが有効であることを確認します。

8. 「次へ」をクリックし、「サマリー」ページを表示します。

9. ポリシー・セット・サマリー情報を確認します。満足のいくポリシー・セットが得られた場合は「保存」をクリックします。

4.3.2.6 Fusion Middleware Controlを使用したポリシー・セットでの実行時制約の指定

ポリシー・セット・ウィザードを使用してポリシー・セットの作成、編集またはクローンの作成を行う場合に、実行時制約を指定できます。実行時制約の詳細は、「ポリシー・セットの実行時制約」を参照してください。

ポリシー・セットについての一般情報を入力し、リソース・スコープを指定すると、「制約の入力」ページが表示されます。指定の制約を含むポリシー・セットを編集しているか、またはそのクローンを作成している場合、 図4-11に示すように、ポリシー・セットで現在構成されている制約が表示されます。新しいポリシー・セットを作成している場合は、これらのフィールドは空白になります。

図4-11 ポリシー・セット・ウィザードでの制約ページの入力

制約を指定するには:

1. ページ上の「制約式詳細」セクションで、「有効」チェック・ボックスを選択して制約を有効にします。

2. 必要に応じて、制約を反転するために「! (NOT)演算子」を選択します。

3. 「HTTPヘッダー名」フィールドおよび「HTTPヘッダー値」フィールドにそれぞれ、HTTPHeader制約関数のヘッダー名およびヘッダー値を入力します。制約が有効である場合、「HTTPヘッダー名」フィールドが必要です。

たとえば、図4-11に示すように、外部クライアントにのみ適用される制約を指定するには、「HTTPヘッダー名」フィールドに「VIRTUAL_HOST_TYPE」と入力し、「HTTPヘッダー値」フィールドに「External」と入力します。

4. 「制約の更新」をクリックします。

制約式が「制約」フィールドに表示されます(例: HTTPHeader('VIRTUAL_HOST_TYPE','External')など)。

4.3.2.7 Fusion Middleware Controlを使用したポリシー・セットの有効化および無効化

次の項では、Fusion Middleware Controlを使用してポリシー・セットを有効化または無効化する方法について説明します。

Fusion Middleware Controlを使用してポリシー・セットを有効または無効にするには、「Fusion Middleware Controlを使用したポリシー・セットの編集」の説明に従ってポリシー・セットを編集します。ポリシー・セットが無効な場合にそれを有効にするには、「有効」チェック・ボックスを選択します。ポリシー・セットを無効にするには、「有効」チェック・ボックスの選択を解除します。

残る手順では「次へ」をクリックし、「保存」をクリックして更新されたポリシー・セットを保存します。

4.3.2.8 Fusion Middleware Controlを使用したポリシー・セットの削除

Fusion Middleware Controlを使用してポリシー・セットを削除するには:

1. 「Fusion Middleware Controlを使用した「WSMポリシー・セット・サマリー」ページへの移動」の説明に従って、「WSMポリシー・セット・サマリー」ページに移動します。

2. 「WSMポリシー・セット・サマリー」ページで、表からポリシー・セットを選択し、「削除」をクリックします。

3. 削除の確認を要求するダイアログ・ボックスが表示されます。「OK」をクリックします。

4.3.3 Fusion Middleware Controlを使用したWebサービスにアタッチされたポリシーの表示

Fusion Middleware Controlを使用してWebサービスにアタッチされたOWSMポリシーを表示する方法の詳細を説明します。

Webサービスにアタッチされたポリシーを表示するには:

1. 『Webサービスの管理』のアプリケーションの「Webサービスのサマリー」ページの表示に関する項の説明に従って、Webサービスのホームページに移動します。

2. ページの「Webサービスの詳細」セクションで、まだ表示されていない場合は、Webサービス・エンドポイントを表示するWebサービスのプラス記号(+)をクリックします。

3. 特定のWebサービスについては、エンドポイントの名前をクリックして「Webサービス・エンドポイント」ページに移動します。

4. 「OWSMポリシー」タブをクリックします。

図4-12は、グローバルかつ直接ポリシーがアタッチされている、Oracle Infrastructure Webサービス・エンドポイントの画面を示しています。出力には、エンドポイントで有効であるグローバルにアタッチされたポリシー、すべての直接アタッチされたポリシー、およびエンドポイントに有効な構成があり、セキュアであるかどうかが示されます。ポリシー・セット名の上にマウスを重ねるか、ポリシー・セット名の前にある赤色のドットをクリックすると、実行時制約が表示されます(構成されている場合)。実行時制約の詳細は、「WLSTを使用したポリシー・セットの実行時制約の指定」を参照してください。

「ポリシー・アタッチメントの優先度の指定」の説明に従って、グローバルにまたは直接アタッチされたポリシーの優先度を指定できるので、直接アタッチされたポリシーの「有効」フィールドはエンドポイントに対してそのポリシーが有効であるかどうかを示します。エンドポイントの管理を簡単にするため、直接アタッチされているポリシーは、それが有効化どうかに関係なくすべて出力に表示されます。対照的に、グローバルにアタッチされているポリシーは、そのエンドポイントに対して有効なもののみが表示されます。エンドポイントで有効なポリシーの詳細は、「ポリシーの有効セットの計算方法」を参照してください。

図4-12 Oracle Infrastructure Webサービス・エンドポイントにアタッチされたポリシー

図4-13は、WebLogic Java EEエンドポイントの画面を示しています。エンドポイントに直接アタッチされたポリシーのみが表示されます。グローバルにアタッチされたポリシーは利用できません。

図4-13 WebLogic Java EE Webサービス・エンドポイントにアタッチされたポリシー

の説明

4.3.4 ポリシー・アタッチメントの検証

ポリシー内のアサーションのタイプおよび数が有効であれば、ポリシーは内部的に一貫性があり有効です。ただし、ポリシー・サブジェクトに複数のポリシーがアタッチされている場合は、ポリシーの組合せも有効であることが必要です。

具体的には、次の内容を満たしている必要があります。

注意:

ポリシーを表示するとき、セキュリティなどの主要なカテゴリのみが表示されます。サブタイプ(認可など)を表示するには、ポリシーが基づいているアサーション・テンプレートの「アサーション詳細」セクションを参照してください。

- 1つのポリシー・サブジェクトにアタッチされているMTOMポリシーが1つのみであること。

- 1つのポリシー・サブジェクトにアタッチされている信頼できるメッセージング・ポリシーが1つのみであること。

- 1つのポリシー・サブジェクトにアタッチされているWS-Addressingポリシーが1つのみであること。

- サブジェクトには、サブタイプの認証を行うセキュリティ・ポリシーを1つのみアタッチできます。

- サブタイプがsts-configである1つのセキュリティ・ポリシーのみをサブジェクトにアタッチできます。

- 認証ポリシーと認可ポリシーを両方ともポリシー・サブジェクトにアタッチする場合は、認証ポリシーを認可ポリシーより前に置く必要があります。

- ポリシー・サブジェクトにアタッチされるセキュリティ・ポリシーは1つ以上です。たとえば、セキュリティ・ポリシーに含めることができるのは、認証またはメッセージ保護のサブタイプ・カテゴリに属するアサーションか、両方のサブタイプ・カテゴリに属するアサーションです。2つ目のセキュリティ・ポリシーには、認可サブタイプに属するアサーションが含まれています。

- サブジェクトにアタッチされるポリシーが、構成のオーバーライドを含む互いの正確な複製である場合、ポリシー・アタッチメントは複製として見なされ、構成は有効です。

- ポリシーに特定のトランスポート・プロトコル(HTTPまたはHTTPSなど)が必要な場合は、Webサービスで指定のトランスポート・プロトコルが使用されていることを確認すること。(チェックは実行時に行われます。)

実行時には、自動的にSTS-Trust構成ポリシーがまず実行され、認可ポリシーが最後に実行されます。

この機能を使用してサブジェクトにポリシーをアタッチした後に、各サブジェクトを個別に検証する必要があります。

注意:

ポリシー・サブジェクト検証では、ポリシーのXMLスキーマは検証されません。そのため、ポリシー・ファイルを手動で編集する場合は、別のツールを使用してXMLが有効であることを確認する必要があります。

ポリシー・サブジェクト検証を確認する手順

1. ナビゲータ・ペインで、「アプリケーションのデプロイ」フォルダのプラス記号(+)をクリックしてファーム内のアプリケーションを表示し、アプリケーションを選択します。

「アプリケーションのデプロイ」ホームページが表示されます。

2. Fusion Middleware Controlを使用して、「アプリケーションのデプロイ」→「Webサービス」をクリックします。

これにより、アプリケーションの「Webサービスのサマリー」ページが表示されます。

3. ページの「Webサービスの詳細」セクションで、まだ表示されていない場合は、Webサービス・ポートを表示するWebサービスのプラス記号(+)をクリックします。

4. ポート名をクリックして「Webサービス・エンドポイント」ページに移動します。

5. 「ポリシー」タブをクリックします。

6. 「アタッチ/デタッチ」をクリックします。

7. 「検証」をクリックします。

検証エラーがある場合は、エラーを説明するダイアログ・ボックスが表示されます。エラーを修正して、ポリシー・サブジェクト検証を再度実行します。

4.3.5 ポリシー・セットの検証について

単一のポリシー・サブジェクトまたは複数サブジェクト(グローバル・アタッチメント)にアタッチされたすべてのOWSMポリシーは、特定のセット・ルールに準拠しています。

ポリシー・セットの検証では、ポリシー・セットが「ポリシー・アタッチメントの検証」に記載されたルールに準拠するかどうかの検証に加えて、次のチェックも実行されます。

- 定義されたリソース・タイプおよびスコープがポリシー・セットに対して有効であること。

- リソース・スコープに対して入力された値に、サポートされる形式でサポートされる式が含まれていること。

- 参照されたすべてのポリシーが使用可能であり、相互に互換性があること。たとえば、ポリシーのカテゴリが相互に競合しない場合、ポリシーには互換性があります。

注意:

ポリシー・アタッチメント間に競合が存在しないことを確認するために、Fusion Middleware ControlおよびWLSTコマンドを使用して、Webサービス・エンドポイントに有効でセキュアな構成が含まれるかどうかを判断できます。詳細は、「エンドポイントのセキュア・ステータスの決定」を参照してください。

トラブルシューティングの詳細は、「WLSTを使用したポリシー・アタッチメントに関する問題の概要」を参照してください。

4.4 WLSTを使用したWebサービスおよびクライアントへのポリシーのアタッチについて

WLSTを使用してWebサービスおよびクライアントにOWSMポリシーをアタッチできます。

次のトピックでは、WLSTを使用してWebサービスまたはクライアントのタイプに基づいてポリシーをアタッチする方法について説明します。

- WLSTを使用した使用可能なポリシーの表示

- WLSTを使用したJava EE Webサービスおよびクライアントへのポリシーの直接アタッチについて

- WLSTを使用したRESTfulおよびOracle Infrastructure Webサービスおよびクライアントへのポリシーの直接アタッチについて

- WLSTを使用したポリシーのグローバルなアタッチについて

- WLSTを使用したWebサービスにアタッチされたポリシーの表示

- WLSTを使用した有効なポリシー・セットの表示

4.4.1 WLSTを使用した使用可能なポリシーの表示

使用可能なポリシーを表示するには、WLSTコマンドを使用します。

WLSTを使用して使用可能なポリシーのリストを表示する手順

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. WLSTコマンドlistAvailableWebServicePolicies()を使用して、Webサービスのリストを表示します。

listAvailableWebServicePolicies([category],[subject])

次に例を示します。

wls:/base_domain/domainRuntime> listAvailableWebServicePolicies()

List of available OWSM policy - total : 115
security : oracle/http_basic_auth_over_ssl_service_policy
wsrm : oracle/wsrm10_policy
security : oracle/wss_username_token_client_policy
security : oracle/binding_authorization_denyall_policy
security : oracle/wss11_username_token_with_message_protection_service_policy
security : oracle/no_messageprotection_client_policy
security : oracle/wss_saml_token_over_ssl_service_policy
...

3. オプションの引数categoryおよびsubjectを使用して、セキュリティや管理などのポリシー・カテゴリおよびサーバーやクライアントなどのポリシー・サブジェクト・タイプを指定します。

次に例を示します。

wls:/base_domain/domainRuntime> listAvailableWebServicePolicies("security","server")
List of available OWSM policy - total : 55
security : oracle/http_basic_auth_over_ssl_service_policy
security : oracle/binding_authorization_denyall_policy
security : oracle/wss11_username_token_with_message_protection_service_policy
security : oracle/wss_saml_token_over_ssl_service_policy
security : oracle/wss10_saml_token_service_policy
security : oracle/binding_permission_authorization_policy
security : oracle/no_messageprotection_service_policy
security : oracle/wss10_x509_token_with_message_protection_service_policy
security : oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_policy
security : oracle/wss_saml_token_bearer_over_ssl_service_policy
security : oracle/wss_saml20_token_bearer_over_ssl_service_policy
security : oracle/wss_saml_bearer_or_username_token_service_policy
security : oracle/wss10_message_protection_service_policy
...

4.4.2 WLSTを使用したJava EE Webサービスおよびクライアントへのポリシーの直接アタッチについて

WLSTを使用してJava EE Webサービスおよびクライアントにポリシーを直接アタッチできます。

注意:

Webサービスには、WebLogic Webサービス・ポリシーおよびOWSM Webサービス・ポリシーの両方を含めることはできません。WebサービスにWebLogic Webサービス・ポリシーが含まれている場合、それをデタッチしてからOWSM Webサービス・ポリシーをアタッチする必要があります。

トピック

- Java EE Webサービスにアタッチされたポリシーの表示

- Java EE Webサービス・クライアントにアタッチされたポリシーの表示

- WLSTを使用したJava EE Webサービスへのポリシーを直接アタッチする

- WLSTを使用したJava EE Webサービス・クライアントへのポリシーを直接アタッチする

- WLSTを使用したJava EE Webサービス・クライアントから直接アタッチされたポリシーのデタッチ

- WLSTを使用したWebサービス・クライアント・ポリシーの有効化と無効化

4.4.2.1 Java EE Webサービスにアタッチされたポリシーの表示

Webサービス・クライアントにアタッチされたポリシーを表示するには、次の手順に従ってください。

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. 『Webサービスの管理』のWLSTを使用したアプリケーション内のWebサービスの表示に関する項の説明に従って、listWebServices WLSTコマンドを使用してアプリケーション内のWebサービスのリストを表示します。

3. listWebServicePortsコマンドを使用してWebサービスのポート名を表示します。

listWebServicePorts(application,moduleOrCompName,moduleType,serviceName)

たとえば、SimpleImpleService Webサービスのポートを表示するには、次のようにします。

wls:/wls-domain/serverConfig> listWebServicePorts('/base_domain/AdminServer/SimpleJAXWS','SimpleJAXWS#1!SimpleImplService',
'wls','SimpleImplService')

SimplePort

4. listWebServicePoliciesコマンドを使用して、Webサービス・ポートに添付されたポリシーを表示します。

listWebServicePolicies(application,moduleOrCompName,moduleType,serviceName,subjectName)

たとえば、SimplePortポートにアタッチされたポリシーとポリシーのオーバーライド設定を表示するには、次のようにします。

wls:/wls-domain/serverConfig> listWebServicePolicies('/base_domain/AdminServer/SimpleJAXWS','SimpleJAXWS#1!SimpleImplService','wls',
'SimpleImplService','SimplePort')

SimplePort :
URI="oracle/wss_username_token_service_policy", category=security, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true

The policy subject is secure in this context.

4.4.2.2 Java EE Webサービス・クライアントにアタッチされたポリシーの表示

Webサービス・クライアントにアタッチされたポリシーを表示するには、次の手順に従ってください。

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. 『Webサービスの管理』のWLSTを使用したWebサービス・クライアントの表示に関する項の説明に従って、listWebServicesClients WLSTコマンドを使用してアプリケーション内のWebサービス・クライアントのリストを表示します。

3. listWebServiceClientPortsコマンドを使用してWebサービスのポート名を表示します。

listWebServiceClientPorts(application,moduleOrCompName,moduleType,serviceRefName)

たとえば、service2クライアントのポートを表示するには、次のようにします。

wls:/wls-domain/serverConfig> listWebServiceClientPorts('/base_domain/AdminServer/ClientEJB','owsm_mbean.resource_pattern.ejb.ClientEJB/service2',
'wls','owsm_mbean.resource_pattern.ejb.ClientEJB/service2')

UpperCaseImplPort

4. listWebServiceClientPoliciesコマンドを使用して、Webサービス・ポートにアタッチされたポリシーを表示します。

listWebServicePolicies(application,moduleOrCompName,moduleType,serviceRefName,portInfoName)

たとえば、UpperCaseImplPortポートにアタッチされたポリシーとポリシーのオーバーライド設定を表示するには、次のようにします。

wls:/wls-domain/serverConfig> listWebServiceClientPolicies('/base_domain/AdminServer/ClientEJB','owsm_mbean.resouce_pattern.ejb.ClientEJB/service2',
'wls','owsm_mbean.resouce_pattern.ejb.ClientEJB/service2','UpperCaseImplPort')

UpperCaseImplPort :
URI="oracle/wss_username_token_client_policy", category=security, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true

The policy subject is secure in this context.

4.4.2.3 WLSTを使用したJava EE Webサービスへのポリシーを直接アタッチする

WLSTを使用して単一のWebサービスに単一のポリシーまたは複数のポリシーをアタッチ(またはデタッチ)するには、次の手順に従ってください。

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. 「Java EE Webサービスにアタッチされたポリシーの表示」の説明に従って、現在ポートにアタッチされているポリシーのリストを表示します。

3. 「WLSTを使用した使用可能なポリシーの表示」の説明に従って、使用可能なポリシーのリストを表示します。

4. ポリシーをアタッチするには、次のいずれかを実行します。

- attachWebServicePolicyコマンドを使用して、Webサービス・ポートに単一のポリシーをアタッチします。policyURI引数を使用して、アタッチするポリシーを指定します。指定したポリシーがすでに添付されているかすでに存在する場合は、このコマンドでそのポリシーが有効になります(無効な場合)。

attachWebServicePolicy(application, moduleOrCompName, moduleType, serviceName,
subjectName, policyURI, [subjectType=None]

たとえば、SimpleImplService WebサービスのSimplePortにポリシーwss10_message_protection_service_policyをアタッチするには、次のコマンドを使用します。

wls:wls-domain/serverConfig> attachWebServicePolicy('/base_domain/AdminServer/SimpleJAXWS','SimpleJAXWS#1!SimpleImplService','wls','SimpleImplService','SimplePort','oracle/wss10_message_protection_service_policy')

- attachWebServicePoliciesコマンドを使用して、Webサービス・ポートに複数のポリシーをアタッチします。policyURIs引数を使用して、アタッチするポリシーを指定します。このコマンドで指定したポリシーのいずれかがすでに添付されている場合は、このコマンドでその添付済ポリシーが有効になり(無効な場合)、その他のポリシーは添付されます。

attachWebServicePolicies(application, moduleOrCompName, moduleType,
serviceName, subjectName, policyURIs, [subjectType=None]

たとえば、ポリシーoracle/wss_username_token_service_policyとoracle/binding_authorization_denyall_policyをSimpleImplServiceのSimplePortにアタッチするには、次のコマンドを使用します。

wls:wls-domain/ServerConfig>attachWebServicePolicies ('/base_domain/AdminServer/SimpleJAXWS','SimpleJAXWS#1!SimpleImplService','wls','SimpleImplService','SimplePort', ["oracle/binding_authorization_denyall_policy","oracle/wss_username_token_service_policy"])

注意:

wsm-pmアプリケーションがWebLogic Serverにインストールされており、使用可能は場合は、policyURIはOWSM Policy Manager APIにより検証されます。ポリシーの検証が失敗した場合、メッセージが表示されてコマンドは実行されません。

wsm-pmアプリケーションがインストールされていないか使用可能でない場合は、これらのコマンドは実行されません。

ポリシーの検証の詳細は、「ポリシー・アタッチメントの検証」を参照してください。

このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

4.4.2.4 WLSTを使用したJava EE Webサービス・クライアントへのポリシーを直接アタッチする

次の手順では、SOA参照、Java EE Webサービス・クライアントにポリシーをアタッチする方法について説明します。

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. 『Webサービスの管理』のWLSTを使用したWebサービス・クライアントの表示に関する項の説明に従って、Webサービス・クライアントを表示します。

3. listWebServiceClientPortsコマンドを使用して、Webサービス・クライアントのポート名を表示します。

listWebServiceClientPorts(application,moduleOrCompName,moduleType,serviceRefName)

たとえば、クライアントservice2のポートを表示するには、次のようにします。

wls:/wls-domain/serverConfig> listWebServiceClientPorts('/base_domain/AdminServer/ClientEJB','owsm_mbean.resource_pattern.ejb.ClientEJB/service2',
'wls','owsm_mbean.resource_pattern.ejb.ClientEJB/service2')

UpperCaseImplPort

4. 「WLSTを使用した使用可能なポリシーの表示」の説明に従って、使用可能なポリシーのリストを表示します。

使用可能なクライアント・ポリシーのみを表示するには、subject引数にclientを設定します。次に例を示します。

listAvailableWebServicePolicies("","client")

5. ポリシーをアタッチするには、次のいずれかを実行します。

- attachWebServiceClientPolicyコマンドを使用して、Java EE Webサービス・クライアント・ポートに単一のポリシーをアタッチします。

attachWebServiceClientPolicy(application, moduleOrCompName, moduleType,
serviceRefName, portInfoName, policyURI, [subjectType=None]

次のように引数を設定します。

- application引数を使用して、クライアント・アプリケーションの名前を指定します。

- moduleOrCompName引数のWebモジュール名を指定します。

- moduleType引数のwlsを指定します。

- portInfoName引数を使用して、エンドポイントの名前を指定します。

- policyURI引数を使用して、アタッチするポリシーを指定します。指定したポリシーがすでに添付されているかすでに存在する場合は、このコマンドでそのポリシーが有効になります(無効な場合)。

たとえば、クライアント・ポリシーoracle/wss_username_token_client_policyをservice2クライアントのUpperCaseImplPortにアタッチするには、次のコマンドを使用します。

wls:/wls_domain/serverConfig>attachWebServiceClientPolicy('/base_domain/AdminServer/ClientEJB','owsm_mbean.resource_pattern.ejb.ClientEJB/service2',
'wls','owsm_mbean.resource_pattern.ejb.ClientEJB/service2','UpperCaseImplPort','oracle/wss_username_token_client_policy')

- attachWebServiceClientPoliciesコマンドを使用して、Webサービス・クライアント・ポートに複数のポリシーをアタッチします。上記の単一クライアント・ポリシーのアタッチの手順に従って引数を設定しますが、アタッチする複数のポリシーを指定するには、policyURIs引数を使用します。このコマンドで指定したポリシーのいずれかがすでに添付されている場合は、このコマンドでその添付済ポリシーが有効になり(無効な場合)、その他のポリシーは添付されます。

attachWebServiceClientPolicies(application, moduleOrCompName,
moduleType, serviceRefName, portInfoName, policyURIs, [subjectType=None]

たとえば、ポリシーoracle/wss_username_token_client_policyとoracle/wss10_message_protection_client_policyをservice2サービスのUpperCaseImplPortにアタッチするには、次のコマンドを使用します。

wls:/wls_domain/serverConfig> attachWebServiceClientPolicies('/base_domain/AdminServer/ClientEJB','owsm_mbean.resource_pattern.ejb.ClientEJB/service2',
'wls','owsm_mbean.resource_pattern.ejb.ClientEJB/service2','UpperCaseImplPort',
['oracle/wss_username_token_client_policy','oracle/wss10_message_protection_client_policy'])

注意:

wsm-pmアプリケーションがWebLogic Serverにインストールされており、使用可能は場合は、policyURIはOWSM Policy Manager APIにより検証されます。ポリシーの検証が失敗した場合、メッセージが表示されてコマンドは実行されません。

wsm-pmアプリケーションがインストールされていないか使用可能でない場合は、これらのコマンドは実行されません。

ポリシーの検証の詳細は、「ポリシー・アタッチメントの検証」を参照してください。

このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

4.4.2.5 WLSTを使用したJava EE Webサービスおよびクライアントから直接アタッチされたポリシーのデタッチ

次の手順では、Java EE Webサービスまたはクライアントからポリシーをデタッチする方法について説明します。

- WLSTを使用したJava EE Webサービスから直接アタッチされたポリシーのデタッチ

- WLSTを使用したJava EE Webサービス・クライアントから直接アタッチされたポリシーのデタッチ

4.4.2.5.1 WLSTを使用したJava EE Webサービスから直接アタッチされたポリシーのデタッチ

Java EE Webサービスから直接アタッチされたポリシーをデタッチするには:

1. 「WLSTを使用したWebサービスにアタッチされたポリシーの表示」の説明に従って、Webサービスにアタッチされているポリシーを表示します。

2. Java EE Webサービス・エンドポイントからポリシーをデタッチする手順は次のとおりです。

- detachWebServicePolicyコマンドを使用して、Webサービス・エンドポイントから単一のポリシーをデタッチします。

detachWebServicePolicy(application, moduleOrCompName, moduleType,
serviceName, subjectName, policyURI, [subjectType=None]

次のように引数を設定します。

- application引数を使用して、アプリケーションの名前を指定します。

- moduleOrCompName引数のWebモジュール名を指定します。

- moduleType引数のwlsを指定します。

- subjectName引数を使用して、エンドポイントの名前を指定します。

- policyURI引数を使用して、解除するポリシーを指定します。指定したポリシーがすでに添付されているかすでに存在する場合は、このコマンドでそのポリシーが有効になります(無効な場合)。

たとえば、SimpleImplService WebサービスのSimplePortからポリシーwss10_message_protection_service_policyをデタッチするには、次のコマンドを使用します。

wls:/wls_domain/serverConfig>detachWebServicePolicy('/base_domain/AdminServer/SimpleJAXWS','SimpleJAXWS#1!SimpleImplService','wls','SimpleImplService','SimplePort','oracle/wss10_message_protection_service_policy')

- detachWebServicePoliciesコマンドを使用して、Java EE Webサービス・エンドポイントから複数のポリシーをデタッチします。policyURIs引数を使用して、解除する複数のポリシーを指定します。

detachWebServicePolicies(application, moduleOrCompName,
moduleType, serviceName, subjectName, policyURIs, [subjectType=None]]

たとえば、ポリシーoracle/wss_username_token_service_policyとoracle/binding_authorization_denyall_policyをSimpleImplServiceのSimplePortからデタッチするには、次のコマンドを使用します。

wls:/wls_domain/serverConfig> detachWebServicePolicies('/base_domain/AdminServer/SimpleJAXWS','SimpleJAXWS#1!SimpleImplService',
'wls','SimpleImplService','SimplePort',['oracle/binding_authorization_denyall_policy','oracle/wss_username_token_service_policy'])

4.4.2.5.2 WLSTを使用したJava EE Webサービス・クライアントから直接アタッチされたポリシーのデタッチ

Java EE Webサービス・クライアントからポリシーをデタッチする手順は次のとおりです。

1. 「Java EE Webサービスにアタッチされたポリシーの表示」の説明に従って、Webサービス・クライアントにアタッチされているポリシーを表示します。

2. 次のいずれかを行います:

- detachWebServiceClientPolicyコマンドを使用して、Java EE Webサービス・クライアント・ポートから単一のポリシーをデタッチします。policyURI引数を使用して、解除するポリシーを指定します。

detachWebServiceClientPolicy(application, moduleOrCompName, moduleType,
serviceRefName, portInfoName, policyURI, [subjectType=None]

たとえば、クライアント・ポリシーoracle/wss_username_token_client_policyをservice2サービスのUpperCaseImplPortからデタッチするには、次のコマンドを使用します。

wls:/wls_domain/serverConfig> detachWebServiceClientPolicy('/base_domain/AdminServer/ClientEJB','owsm_mbean.resource_pattern.ejb.ClientEJB/service2',
'wls','owsm_mbean.resource_pattern.ejb.ClientEJB/service2','UpperCaseImplPort','oracle/wss_username_token_client_policy')

- detachWebServicePoliciesコマンドを使用して、Webサービス・ポートから複数のポリシーをデタッチします。policyURIs引数を使用して、解除するポリシーを指定します。

detachWebServicePolicies(application, moduleOrCompName, moduleType,
serviceName, subjectName, policyURIs, [subjectType=None]

たとえば、ポリシーoracle/wss_username_token_client_policyとoracle/wss10_message_protection_client_policyをservice2サービスのUpperCaseImplPortからデタッチするには、次のコマンドを使用します。

wls:/wls_domain/serverConfig> detachWebServiceClientPolicies('/base_domain/AdminServer/ClientEJB','owsm_mbean.resouce_pattern.ejb.ClientEJB/service2',
'wls','owsm_mbean.resouce_pattern.ejb.ClientEJB/service2','UpperCaseImplPort',
['oracle/wss_username_token_client_policy','oracle/wss10_message_protection_client_policy'])

4.4.2.6 WLSTを使用したWebサービス・クライアント・ポリシーの有効化と無効化

Webサービス・クライアントに対してポリシーを有効化または無効化するには、次の手順を実行します。

1. 『Webサービスの管理』のWLSTを使用したWebサービス・クライアントの表示に関する項の説明に従って、Webサービス・クライアントを表示します。

2. 「WLSTを使用したJava EE Webサービス・クライアントへのポリシーを直接アタッチする」の説明に従って、listWebServiceClientPortsコマンドを使用して、Webサービス・クライアントのポート名とエンドポイントURLを表示します。

3. enableWebServiceClientPolicyコマンドを使用して、Webサービス・クライアントにすでに添付されているポリシーを有効化または無効化します。コマンドをtrueに設定すると、ポリシーが有効になります。falseに設定すると、ポリシーが無効になります。

enableWebServiceClientPolicy(application,moduleOrCompName,moduleType,
serviceRefName,portInfoName,policyURI,[enable],[subjectType=None] )

次の例は、モジュールWssUsernameClientのポートUpperCaseImplPortのクライアント・ポリシーoracle/wss_username_token_client_policyを有効化します。

wls:/wls-domain/serverConfig>enableWebServiceClientPolicy('/base_domain/AdminServer/ClientEJB','owsm_mbean.resouce_pattern.ejb.ClientEJB/service2',
'wls','owsm_mbean.resouce_pattern.ejb.ClientEJB/service2','UpperCaseImplPort','oracle/wss_username_token_client_policy',true)

4.4.3 WLSTを使用したRESTfulおよびOracle Infrastructure Webサービスおよびクライアントへのポリシーの直接アタッチについて

WLSTを使用して、Webサービス・ポリシーとポリシー・セットをアタッチおよび管理できます。

次の項で説明するように、WLSTを使用してRESTfulおよびOracle Infrastructure Webサービスにポリシーを直接またはグローバルにアタッチできます。

- WLSTを使用したポリシー・サブジェクトの識別と選択

- WLSTを使用したポリシーを直接アタッチする

- WLSTを使用した直接アタッチされたポリシーの有効化と無効化

- WLSTを使用した直接アタッチされたポリシーのデタッチについて

注意:

OWSMポリシーは、Jersey 2.x JAX-RS RIを使用して構築されたRESTful Webサービスおよびクライアントにのみアタッチできます。Jersey 2.x JAX-RS RIを使用して作成されたRESTful Webサービスとクライアントを保護する場合の詳細は、『Oracle WebLogic Server RESTful Webサービスの開発と保護』の「RESTful Webサービスおよびクライアントの保護」を参照してください。

4.4.3.1 WLSTを使用したポリシー・サブジェクトの識別と選択

listWSMPolicySubjects()コマンドを使用して、WebサービスまたはSOA Webサービスのポリシー・サブジェクトを直接表示できます。listWSMPolicySubjects()コマンドは、Webサービスのアプリケーション、アセンブリおよびサブジェクト・パターンなどのエンドポイント情報を表示します。

selectWSMPolicySubjectコマンドを使用して、ポリシー・サブジェクトに移動できます。ポリシー管理の編集を実行する前に、beginWSMSessionを使用してセッションを開始する必要があります。

ポリシー・サブジェクトの識別の例:

特定のサブジェクトの検索を簡易化するために、application、assemblyまたはsubject引数にワイルドカード文字(*)を含むパターンを指定できます。この場合、そのパターンに一致するすべてのサブジェクトがリストされます。たとえば、('jax*')を引数としてlistWSMPolicySubjectsコマンドを起動すると、jaxrs_pack1およびjaxwsejb30wsアプリケーションに属するすべてのサブジェクトが返されます。

wls:/base_domain/serverConfig> listWSMPolicySubjects('jax*')

Application: /weblogic/base_domain/jaxrs_pack1

Assembly: #jaxrs_pack1.war

Subject: REST-Resource(Jersey)

Application: /weblogic/base_domain/jaxwsejb30ws
Assembly: #jaxwsejb
Subject: WS-Service({http://ejb.oracle.com/targetNamespace}EchoEJBService#EchoEJBServicePort)

Subject: WS-Service({http://www.oracle.com/jaxws/tests/concrete}WsdlConcreteService#WsdlConcretePort)

Subject: WS-Service({http://www.oracle.com/jaxws/tests}CalculatorService#CalculatorPort)

ポリシー・サブジェクトの選択の例:

提供される情報を使用して、selectWSMPolicySubjectコマンドを作成できます。

wls:/base_domain/serverConfig> selectWSMPolicySubject ('jaxwsejb30ws','#jaxwsejb','WS-SERVICE({http://ejb.oracle.com/targetNamespace}EchoEJBService#EchoEJBServicePort)')

The policy subject is selected for modification.

また、selectWSMPolicySubjectコマンドを使用してポリシー・サブジェクトに移動できます。次の例では、アプリケーション名の一部がわかっていることを前提にしています。

wls:/base_domain/serverConfig> selectWSMPolicySubject ('*ejb30ws') jaxwsejb30wsSelect any of the application name to proceed.wls:/base_domain/serverConfig> selectWSMPolicySubject('jaxwsejb30ws')

#jaxwsejb

Select any of the assembly name to proceed.

wls:/base_domain/serverConfig> selectWSMPolicySubject(assembly='#jaxwsejb')

WS-Service({http://mycompany.com/jaxws/tests/concrete}WsdlConcreteService#WsdlConcretePort)
WS-Service({http://mycompany.com/}JaxwsWithHandlerChainBeanService#JaxwsWithHandlerChainBeanPort)
WS-Service({http://soapinterop.org/DoclitWrapperWTJ}DoclitWrapperWTJService#DoclitWrapperWTJPort)
WS-Service({http://mycompany.com/jaxws/tests}CalculatorService#CalculatorPort)
WS-Service({http://ejb.mycompany.com/targetNamespace}EchoEJBService#EchoEJBServicePort)

Select any of the subject name to proceed.

wls:/base_domain/serverConfig> selectWSMPolicySubject (subject='WS-Service({http://www.oracle.com/jaxws/tests/concrete}WsdlConcreteService#WsdlConcretePort)')

The policy subject is selected for modification.

4.4.3.2 WLSTを使用したポリシーを直接アタッチする

注意:

OWSMポリシーは、Jersey 2.x JAX-RS RIを使用して構築されたRESTful Webサービスおよびクライアントにのみアタッチできます。Jersey 2.x JAX-RS RIを使用して作成されたRESTful Webサービスとクライアントを保護する場合の詳細は、『Oracle WebLogic Server RESTful Webサービスの開発と保護』の「RESTful Webサービスおよびクライアントの保護」を参照してください。

SOAコンポジット・サービスおよびクライアントの場合、OWSMポリシーのサブセットのみが適用されます。詳細は、「SOAコンポジット・サービスおよびクライアントでサポートされるOWSMポリシー」を参照してください。

クラスタ化されたサーバー環境内のサブジェクトに直接ポリシーをアタッチすると、少し遅れてポリシー・アタッチメントの詳細がクラスタ内の他のサーバーに伝播されます。情報を迅速に伝播させるには、次の手順のいずれかを実行します。

- クラスタ内の他のサーバーを再起動します。

- キャッシュ・リフレッシュ・プロパティを構成して遅延を最小化します。詳細は、Fusion Middleware Controlを使用した高可用性の構成およびキャッシュの管理を参照してください。

ポリシーは、WebサービスやWebサービス・クライアントなどのポリシー・サブジェクトにアタッチできます。次の項では、単一のWebサービス・ポートおよび複数のWebサービス・クライアントにポリシーをアタッチする方法について説明します。

WLSTを使用して単一のWebサービスまたはクライアント・エンドポイントに単一のポリシーまたは複数のポリシーをアタッチするには、次の手順に従ってください。

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. 「WLSTを使用したWebサービスにアタッチされたポリシーの表示」の説明に従って、現在ポートにアタッチされているポリシーのリストを表示します。

3. 「WLSTを使用した使用可能なポリシーの表示」の説明に従って、使用可能なポリシーのリストを表示します。

4. beginWSMSessionコマンドを使用してセッションを開始します。次に例を示します。

wls:/wls_domain/serverConfig> beginWSMSession()

Session started for modification.

5. 操作するポリシー・サブジェクトを識別および選択します。「WLSTを使用したポリシー・サブジェクトの識別と選択」を参照してください。

6. ポリシーをアタッチするには、次のいずれかを実行します。

- attachWSMPolicyコマンドを使用して、Webサービス・ポートに単一のポリシーをアタッチします。uri引数を使用して、アタッチするポリシーを指定します。指定したポリシーがすでに添付されているかすでに存在する場合は、このコマンドでそのポリシーが有効になります(無効な場合)。

attachWSMPolicy(uri])

たとえば、ポリシーoracle/wss_username_token_service_policyをWsdlConcreteServiceのWsdlConcretePortにアタッチするには、次のコマンドを使用します。

wls:/wls_domain/serverConfig> attachWSMPolicy("oracle/wss_username_token_service_policy")

Policy reference "oracle/wss_username_token_service_policy" added.

- attachWSMPoliciesコマンドを使用して、Webサービス・ポートに複数のポリシーをアタッチします。policyURIs引数を使用して、アタッチするポリシーを指定します。このコマンドで指定したポリシーのいずれかがすでに添付されている場合は、このコマンドでその添付済ポリシーが有効になり(無効な場合)、その他のポリシーは添付されます。

attachWSMPolicies(policyURIs, [subjectType=None])

たとえば、ポリシーoracle/wss_username_token_service_policyとoracle/wsrm10_policyをWsdlConcreteServiceのWsdlConcretePortにアタッチするには、次のコマンドを使用します。

wls:/wls_domain/serverConfig> attachWSMPolicies(["oracle/wss_username_token_service_policy","oracle/wsrm10_policy"])

Policy reference "oracle/wss_username_token_service_policy" added.Policy reference "oracle/wsrm10_policy" added.

注意:

wsm-pmアプリケーションがWebLogic Serverにインストールされており、使用可能は場合は、ポリシーのURIはOWSM Policy Manager APIにより検証されます。ポリシーの検証が失敗した場合、メッセージが表示されてコマンドは実行されません。

wsm-pmアプリケーションがインストールされていないか使用可能でない場合は、これらのコマンドは実行されません。

ポリシーの検証の詳細は、「ポリシー・アタッチメントの検証」を参照してください。

7. 必要に応じて、setWSMPolicyOverrideコマンドを使用してポリシーの構成オーバーライド・プロパティを指定します。次に例を示します。

wls:/wls_domain/serverConfig> setWSMPolicyOverride("oracle/wss_username_token_service_policy", "reference.priority", "10")

The configuration override property "reference.priority" having value "10" has been added to the reference to policy with URI "oracle/wss_username_token_service_policy".

8. 次の例のように、commitWSMSessionコマンドを使用してセッションをコミットします。

wls:/wls_domain/serverConfig> commitWSMSession()

The policy set for subject "/weblogic/base_domain/jaxwsejb30ws|#jaxwsejb|WS-Service({http://ejb.oracle.com/targetNamespace}EchoEJBService#EchoEJBServicePort)" was saved successfully.

このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

4.4.3.3 WLSTを使用した直接アタッチされたポリシーの有効化と無効化

Webサービスにポリシーをアタッチすると、デフォルトで有効化されます。Webサービスからポリシーの関連付けを解除せずに、1つのエンドポイントに対してポリシーを一時的に無効化できます。ポリシーがエンドポイントに対して無効化されると、そのエンドポイントに対して施行されません。

エンドポイント(ポート)にアタッチされている1つまたは複数のポリシーを有効化または無効化するには:

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. WLSTコマンドlistWebServicePoliciesを使用して、目的のポートにアタッチされたWebサービス・ポリシーのリストを表示します。

listWebServicePolicies(application,moduleOrCompName,moduleType,serviceName,
subjectName)

たとえば、WsdlConcreteServicePortにアタッチされたポリシーのリストを表示するには、次のコマンドを使用します。結果には、現在ポートにアタッチされているポリシーがないことが示されています。

wls:/base_domain/serverConfig> listWebServicePolicies('/base_domain/AdminServer/jaxwsejb30ws','jaxwsejb','web','WsdlConcreteService','WsdlConcretePort')

WsdlConcretePort :
URI="oracle/mex_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set;
reference-status=enabled; effective=true
URI="oracle/mtom_encode_fault_service_policy", category=wsconfig, policy-status=enabled; source=local policy set;
reference-status=enabled; effective=true
URI="oracle/max_request_size_policy", category=wsconfig, policy-status=enabled; source=local policy set;
reference-status=enabled; effective=true
Property name="max.request.size", value="-1"
URI="oracle/request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set;
reference-status=enabled; effective=true
URI="oracle/soap_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set;
reference-status=enabled; effective=true
URI="oracle/ws_logging_level_policy", category=wsconfig, policy-status=enabled; source=local policy set;
reference-status=enabled; effective=true
Property name="logging.level", value=""
URI="oracle/test_page_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set;
reference-status=enabled; effective=true
URI="oracle/wsdl_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set;
reference-status=enabled; effective=true
URI="oracle/wss10_saml20_token_with_message_protection_service_policy", category=security, policy-status=enabled; source=local policy set;
reference-status=enabled; effective=true
URI="oracle/binding_authorization_denyall_policy", category=security, policy-status=enabled; source=local policy set;
reference-status=enabled; effective=true

The policy subject is secure in this context.

3. beginWSMSessionコマンドを使用してセッションを開始します。次に例を示します。

wls:/wls_domain/serverConfig> beginWSMSession()

Session started for modification.

4. 操作するポリシー・サブジェクトを選択します。「WLSTを使用したポリシー・サブジェクトの識別と選択」を参照してください。

5. 1つのポリシーを有効化または無効化するには、enableWSMPolicyコマンドを使用して、enable引数をtrueまたはfalseにそれぞれ設定します。

enableWSMPolicy(policyURI,[enable], [subjectType=None] ))

たとえば、oracle/wss10_saml20_token_with_message_protection_service_policyを無効化するには、次のコマンドを入力します。

wls:/base_domain/domainRuntime> enableWSMPolicy('oracle/wss10_saml20_token_with_message_protection_service_policy',false)

6. ポートにアタッチされた複数のポリシーを有効化または無効化するには、enableWSMPoliciesコマンドを使用して、enable引数をtrueまたはfalseにそれぞれ設定します。

enableWSMPolicies(policyURIs,[enable],[subjectType=None] ))

次に例を示します。

wls:/base_domain/domainRuntime> enableWSMPolicies(['oracle/binding_authorization_denyall_policy', 'oracle/wss10_saml20_token_with_message_protection_service_policy'],true)

7. 次の例のように、commitWSMSessionコマンドを使用してセッションをコミットします。

wls:/wls_domain/serverConfig> commitWSMSession()

このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

4.4.3.4 WLSTを使用した直接アタッチされたポリシーのデタッチについて

次の項で説明するように、WLSTを使用してWebサービス・エンドポイントやクライアント・エンドポイントなどのポリシー・サブジェクトからポリシーをデタッチできます。

ポリシーのデタッチの詳細は次の項で説明しています。

- サービス・エンドポイントからのポリシーのデタッチ

- クライアント・エンドポイントからのポリシーのデタッチ

4.4.3.4.1 サービス・エンドポイントからのポリシーのデタッチ

ポリシーをデタッチするには、最初にセッション(beginWSMSession)を開始してから、ポリシーをデタッチするエンドポイントを選択します。「WLSTを使用したポリシー・サブジェクトの識別と選択」を参照してください。

続いて、次のいずれかを実行します。

- detachWSMPolicyコマンドを使用して、Webサービス・エンドポイントから単一のポリシーをデタッチします。policyURI引数を使用して、解除するポリシーを指定します。

detachWSMPolicy(policyURI, [subjectType=None])

たとえば、ポリシーoracle/binding_authorization_denyall_policyを選択したサブジェクトからデタッチするには、次のようにします。

wls:/wls_domain/serverConfig> detachWSMPolicy("oracle/binding_authorization_denyall_policy")

- detachWSMPoliciesコマンドを使用して、Webサービス・エンドポイントから複数のポリシーをデタッチします。policyURIs引数を使用して、解除するポリシーを指定します。

detachWSMPolicies(policyURIs, [subjectType=None])

たとえば、ポリシーoracle/wss_username_token_service_policyとoracle/wss10_message_protection_service_policyを選択したサブジェクトからデタッチするには、次のコマンドを使用します。

wls:/wls_domain/serverConfig> detachWSMPolicies(["oracle/wss_username_token_service_policy","oracle/wss10_message_protection_service_policy"])

4.4.3.4.2 クライアント・エンドポイントからのポリシーのデタッチ

ポリシーをデタッチするには、最初にセッション(beginWSMSession)を開始してから、ポリシーをデタッチするエンドポイントを選択します。「WLSTを使用したポリシー・サブジェクトの識別と選択」を参照してください。

続いて、次のいずれかを実行します。

- detachWSMPolicyコマンドを使用して、Webサービス・クライアント・ポートから単一のポリシーをデタッチします。

detachWSMPolicy(policyURI, [subjectType=None])

たとえば、クライアント・ポリシーoracle/wss_username_token_client_policyを選択したサブジェクトからデタッチするには、次のコマンドを使用します。

wls:/wls_domain/serverConfig> detachWSMPolicy("oracle/wss_username_token_client_policy")

Policy reference "oracle/wss_username_token_client_policy" removed.

- detachWSMPoliciesコマンドを使用して、Webサービス・クライアント・ポートから複数のポリシーをデタッチします。policyURIs引数を使用して、デタッチする複数のポリシーを指定します。

detachWSMPolicies(policyURIs, [subjectType=None])

たとえば、ポリシーoracle/wss_username_token_client_policyとoracle/wss11_message_protection_client_policyを選択したサブジェクトからデタッチするには、次のコマンドを使用します。

wls:/wls_domain/serverConfig> detachWSMPolicies(["oracle/wss_username_token_client_policy","oracle/wss11_message_protection_client_policy"])

Policy reference "oracle/wss_username_token_client_policy" removed.
Policy reference "oracle/wss11_message_protection_client_policy" removed.

注意:

クライアント側のセキュリティ・ポリシーを解除する場合、クライアント構成オーバーライドはポート・レベルで適用されるため、手動ですべての構成オーバーライドを削除する必要があります。そうしない場合オーバーライドは、このポートへのすべての将来のポリシー・アタッチメント(グローバルと直接の両方)に対して有効であり続けます。

4.4.4 WLSTを使用したポリシーのグローバルなアタッチについて

WLSTコマンドを使用して、ポリシー・セットを作成し、グローバル・ポリシー・アタッチメントを管理できます。

注意:

ポリシー・セットを使用するグローバル・ポリシー・アタッチメントは、Oracle Infrastructure Webサービスとクライアント、Java EE Webサービスとクライアント、およびRESTful Webサービスとクライアントでサポートされています。ただし、ポリシー・セットに非セキュリティ・ポリシーが含まれている場合、非セキュリティ・ポリシーは無視され、Java EE Webサービスおよびクライアント用に計算された有効なポリシー・セットに含まれません。

グローバルにアタッチされたポリシーは、スタンドアロンのJava EEクライアントではサポートされていません。

OWSMポリシーは、Jersey 2.x JAX-RS RIを使用して構築されたRESTful Webサービスおよびクライアントにのみアタッチできます。Jersey 2.x JAX-RS RIを使用して作成されたRESTful Webサービスとクライアントを保護する場合の詳細は、『Oracle WebLogic Server RESTful Webサービスの開発と保護』の「RESTful Webサービスおよびクライアントの保護」を参照してください。

SOAコンポジット・サービスおよびクライアントの場合、OWSMポリシーのサブセットのみが適用されます。詳細は、「SOAコンポジット・サービスおよびクライアントでサポートされるOWSMポリシー」を参照してください。

Java EE Webサービスおよびクライアントでは、OWSMポリシーのサブセットのみがサポートされています。詳細は、「Java EE WebサービスおよびクライアントでサポートされるOWSMポリシー」を参照してください。

これらのタスクについては、次の各項で説明します。

- ポリシー・セットのリストの表示

- ポリシー・セットの構成の表示

- WLSTを使用したセッションの管理

- WLSTを使用した新しいポリシー・セットの作成

- WLSTを使用したポリシー・セットのクローニング

- ポリシー・セットの編集

- ポリシー・セットの検証

- ポリシー・セットの有効化および無効化

- グローバルにアタッチされたポリシーの無効化

- WLSTを使用したポリシー・セットの削除

- WLSTを使用したポリシー・セットの実行時制約の指定

注意:

この項で説明するWLSTコマンドのヘルプを表示するには、実行中のサーバー・インスタンスに接続し、help('wsmManage')と入力します。

4.4.4.1 ポリシー・セットのリストの表示

リポジトリ内のポリシー・セットのリストを表示するには:

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. listWSMPolicySetsコマンドを使用して、リポジトリ内のポリシー・セットのリストを表示します。

listWSMPolicySets ([type=None])

特定のタイプのポリシー・サブジェクトに適用されるポリシー・セットのみを含めるように表示を制限できます。サブジェクトのタイプを指定するには、『Oracle Web Services Managerの理解』のポリシー・サブジェクトの概要に関する項で指定されている略語を使用する必要があります。

たとえば、SOAP Webサービス・エンドポイントに適用されるポリシー・セットのリストを表示するには、次のコマンドを使用します。

wls:/jrfserver_domain/serverConfig>listWSMPolicySets('ws-service')
Global Policy Sets in Repository:

default-domain-ws-domain
GPAset1

このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

4.4.4.2 ポリシー・セットの構成の表示

リポジトリ内の特定のポリシー・セットの構成を表示するには:

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. displayWSMPolicySetコマンドを使用して、指定したポリシー・セットの構成を表示します。

displayWSMPolicySet ([name=None])

セッションの外側でこのコマンドを実行した場合、name引数を使用してポリシー・セットの構成を表示できます。ポリシー・セットが存在しない場合、エラー・メッセージが表示されます。

セッションでポリシー・セットを作成または変更している場合は、name引数を指定する必要はありません。現在のポリシー・セットがデフォルトで使用されます。ポリシー・セットを変更した場合は、変更後のバージョンが表示されます。それ以外の場合は、リポジトリの最新バージョンが表示されます。

次に例を示します。

wls:/jrfserver_domain/serverConfig>displayWSMPolicySet('default-domain-ws-domain')

Policy Set Details:
-------------------
Display Name : default-domain-ws-domain
Type of Resources:   SOAP Web Service
Scope of Resources:  DOMAIN('*')
Description:         Global policy attachments for Web Service Endpoint resources.
Enabled:             true
Policy Reference:    URI=oracle/wss_saml_or_username_token_service_policy, category=security, enabled=true
reference.priority=10

このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

4.4.4.3 WLSTを使用したセッションの管理

ポリシー・セットの作成、変更および削除を行うためにWLSTを使用する場合、セッションのコンテキストでコマンドを実行する必要があります。各セッションは、ポリシー・セットやFusion Middleware Webサービス・エンドポイントなどの単一のポリシー・サブジェクトに適用されます。

セッションを作成するには、beginWSMSessionコマンドを使用します。必要なコマンドを入力した後、commitWSMSessionコマンドを使用してリポジトリへのセッション・コンテンツの書込みを行います。

現在のセッションのコンテンツを示すには、describeWSMSessionコマンドを使用します。

リポジトリへのコンテンツの書込みを行わないでリポジトリ・セッションを終了するには、abortWSMSessionコマンドを使用します。

これらのコマンドの例は、以降の項で示します。このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

4.4.4.4 WLSTを使用した新しいポリシー・セットの作成

WLSTを使用してポリシー・セットを作成するには、次の手順に従います。

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. beginWSMSessionコマンドを使用して、セッションを開始します。

リポジトリを変更するセッションを作成するために、beginWSMSessionコマンドを使用します。すべての作成、変更または削除のコマンドは、セッションのコンテキストで実行する必要があります。セッションは、単一のポリシー・サブジェクトにのみ作用できます。

次に例を示します。

wls:/jrfserver_domain/serverConfig> beginWSMSession()

Session started for modification.

3. createWSMPolicySetコマンドを使用して、新しい空のポリシー・セットを作成します。name、typeおよびattachTo引数が必要です。

createWSMPolicySet(name, type, attachTo, [description=None], [enable='true'])

ここで:

- nameは、新しい空のポリシー・セットの名前を表します。

- typeは、新しいポリシー・セットが適用されるポリシー・サブジェクトのタイプを表します。

- attachToは、ポリシー・セットをアタッチするリソースのスコープを表します。この引数では、サポートされた形式で有効なリソース・スコープを定義するサポートされた式を使用する必要があります。詳細は、グローバルにアタッチされたポリシーのリソースのタイプとスコープの定義についてを参照してください。

注意:

ポリシー・セットを作成する場合、SOAP Webサービス(ws-service)およびSOAP Webサービス・クライアント(ws-client)のサブジェクト・タイプが、Oracle InfrastructureのWebサービスとクライアントおよびJava EEのWebサービスとクライアントを両方とも参照します。

リソース・スコープに正確なドメイン名を入力する必要はありません。次の例に示すように、ワイルドカードを使用できます。詳細は、グローバルにアタッチされたポリシーのリソースのタイプとスコープの定義についてを参照してください。

- descriptionは、ポリシー・セットの説明を提供するオプションの引数を表します。

- enableは、ポリシー・セットが有効か無効かを指定します。この引数はオプションです。

たとえば、必要な引数のみを使用して、ドメイン内のすべてのサービスに対するポリシー・セットを作成できます。

wls:/jrfserver_domain/serverConfig> createWSMPolicySet ('all-domains-default-web-service-policies', 'ws-service', 'Domain("*")')

Description defaulted to "Global policy attachments for SOAP Web Service resources."The policy set was created successfully in the session.

コマンド行で説明が指定されなかったのでデフォルトの説明が提示されたことに注意してください。

4. setWSMPolicySetDescriptionコマンドを使用して説明を指定します。

setWSMPolicySetDescription(description)

たとえば、「Default policies for web services in any domain」という説明を設定するには、次のコマンドを使用します。

wls:/jrfserver_domain/serverConfig> setWSMPolicySetDescription('Default policies for web services in any domain')

Description updated.

5. 現在のポリシー・セットにポリシーをアタッチするには、最初にselectWSMPolicySetを使用してポリシー・セットを選択し、その後attachWSMPolicyコマンドを使用します。uri引数を使用して指定したURIによって識別されるポリシーは、ポリシー・セット内の指定したエンドポイントにアタッチされます。必要なすべてのポリシーをポリシー・セットにアタッチするために、必要に応じてこのコマンドを繰り返すことができます。

selectWSMPolicySet(policy set)
attachWSMPolicy(uri)

たとえば、ポリシー・セット内の指定したサブジェクトにポリシーoracle/wss11_saml_or_username_token_with_message_protection_service_policyをアタッチするには、次のコマンドを入力します。

wls:/jrfserver_domain/serverConfig>selectWSMPolicySet('all-domains-default-web-service-policies')

The policy set is ready for modification in the session.

wls:/jrfserver_domain/serverConfig>attachWSMPolicy('oracle/wss11_saml_or_username_token_with_message_protection_service_policy')

Policy reference "oracle/wss11_saml_or_username_token_with_message_protection_service_policy" added.

6. 必要に応じて、構成のオーバーライドまたは実行時制約を指定します。詳細は、次のトピックを参照してください。

- WLSTを使用したグローバルにアタッチされたポリシーの構成プロパティのオーバーライド

- WLSTを使用したポリシー・セットの実行時制約の指定

7. 必要に応じて、displayWSMPolicySetコマンドを使用して現在のセッション中のポリシー・セットの構成を表示します。

displayWSMPolicySet(name=None)

セッション内でこのコマンドを実行する場合、name引数を指定する必要はありません。現在のポリシー・セットがデフォルトで使用されます。ポリシー・セットを変更した場合は、変更後のバージョンが表示されます。それ以外の場合は、リポジトリの最新バージョンが表示されます。

次に例を示します。

wls:/jrfserver_domain/serverConfig>displayWSMPolicySet()

Policy Set Details:
-------------------
Display Name:      all-domains-default-web-service-policies
Type of Resources:   SOAP Web Service
Scope of Resources:  Domain("*")
Description:         Default policies for web services in any domain
Enabled:             true
Policy Reference:    URI=oracle/wss11_saml_or_username_token_with_message_protection_service_policy, category=security, enabled=true, index=1

8. validateWSMPolicySetコマンドを使用して、ポリシー・セットを検証します。

validateWSMPolicySet(name=None)

このコマンドは、名前を指定しない場合、現在のセッション中に作成または変更されるポリシー・セットを検証します。セッションの外側でこのコマンドを実行できることに注意してください。この場合、name引数が必要です。

次に例を示します。

wls:/jrfserver_domain/serverConfig> validateWSMPolicySet()

The global policy set all-domains-default-web-service-policies is valid.

9. commitWSMSessionコマンドを使用して、リポジトリに対して現在のセッションのコンテンツを書き込みます。

wls:/jrfserver_domain/serverConfig> commitWSMSession()

The policy set all-domains-default-web-service-policies is valid.
Creating policy set all-domains-default-web-service-policies in repository.

Session committed successfully.

また、セッション中にリポジトリに加えたすべての変更を破棄するabortWSMSessionコマンドを使用することにより、すべての変更を取り消すことができます。

このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

4.4.4.5 WLSTを使用したポリシー・セットのクローニング

既存のポリシー・セットからポリシー・セットを作成するには:

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. beginWSMSessionコマンドを使用して、セッションを開始します。

次に例を示します。

wls:/jrfserver_domain/serverConfig> beginWSMSession()

Session started for modification.

3. cloneWSMPolicySetコマンドにより、既存のポリシー・セットを使用してポリシー・セットを作成します。

cloneWSMPolicySet(name, source, [attachTo=None,] [description=None], [enable='true'])

ここで:

- nameは、新しいクローンのポリシー・セットの名前を表します。

- sourceは、クローンを作成するポリシー・セットの名前を指定します。

- attachToは、ポリシー・セットをアタッチするリソースのスコープを表します。この引数を指定する場合、サポートされた形式で有効なリソース・スコープを定義するサポートされた式を使用する必要があります。リソース・スコープに正確な名前を入力する必要はありません。次の例に示すように、ワイルドカードを使用できます。詳細は、グローバルにアタッチされたポリシーのリソースのタイプとスコープの定義についてを参照してください。
この引数を指定しない場合、リソース・スコープの識別のためにソース・ポリシー・セットで使用されている式が保持されます。また、setWSMPolicySetScopeコマンドを使用して、リソース・スコープを変更することもできます。

- descriptionは、クローンのポリシー・セットの説明を提供するオプションの引数を表します。

- enableは、ポリシー・セットが有効か無効かを指定します。この引数はオプションです。

たとえば、ポリシー・セットのクローンを作成するには、次のようにします。

wls:/jrfServer_domain/serverConfig>cloneWSMPolicySet ('app-only-web-service-policies','all-domains-default-web-service-policies', None, 'Default policies for application jaxwsejb30ws')

The policy set was cloned successfully in the session.

この例では、attachTo引数が指定されていないことに注意してください。

4. 必要に応じて、displayWSMPolicySetコマンドを使用してポリシー・セットの構成を表示します。

次に例を示します。

wls:/jrfServer_domain/serverConfig> displayWSMPolicySet()

Policy Set Details:
-------------------
Display Name:     app-only-web-service-policies
Type of Resources:   SOAP Web Service
Scope of Resources:  Domain("*")
Description:         Default policies for application jaxws-sut
Enabled:             true
Policy Reference:    URI=oracle/wss11_saml_or_username_token_with_message_protection_service_policy, category=security, enabled=true, index=1

5. アタッチメントのリソース・スコープを変更するには、setWSMPolicySetScopeコマンドを使用します。

setWSMPolicySetScope(expression)

ここで:

- expressionは、ポリシー・セットで定義されたリソース・タイプに有効であるリソース・スコープをサポートされた形式で定義するサポートされた式です。詳細は、グローバルにアタッチされたポリシーのリソースのタイプとスコープの定義についてを参照してください。

たとえば、jaxws-sutという名前のアプリケーションにのみポリシー・セット内のポリシーをアタッチするには、次のコマンドを入力します。

wls:/jrfServer_domain/serverConfig> setWSMPolicySetScope ('Application("jaxwsejb30ws")')

Scope of resources updated.

6. 必要に応じて、構成のオーバーライドまたは実行時制約を指定します。詳細は、次のトピックを参照してください。

- WLSTを使用したグローバルにアタッチされたポリシーの構成プロパティのオーバーライド

- WLSTを使用したポリシー・セットの実行時制約の指定

7. 必要に応じて、displayWSMPolicySetコマンドを使用してクローンのポリシー・セットの構成を表示します。

次に例を示します。

wls:/jrfserver_domain/serverConfig>displayWSMPolicySet()

Policy Set Details:
-------------------
Display Name:     app-only-web-service-policies
Type of Resources:   SOAP Web Service
Scope of Resources:  Application("jaxwsejb30ws")
Description:         Default policies for application jaxwsejb30ws
Enabled:             true
Policy Reference:    URI=oracle/wss11_saml_or_username_token_with_message_protection_service_policy, category=security, enabled=true, index=1

8. commitWSMSessionコマンドを使用して、リポジトリに対して、現在のセッションのコンテンツの書込みを行います。

次に例を示します。

wls:/jrfserver_domain/serverConfig>commitWSMSession()
The policy set app-only-web-service-policies is valid.
Creating policy set app-only-web-service-policies in repository.

Session committed successfully.

また、セッション中にリポジトリに加えたすべての変更を破棄するabortWSMSessionコマンドを使用することにより、すべての変更を取り消すことができます。

このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

4.4.4.6 ポリシー・セットの編集

WLSTを使用してポリシー・セットを編集できます。

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. beginWSMSessionコマンドを使用して、セッションを開始します。

次に例を示します。

wls:/jrfserver_domain/serverConfig> beginWSMSession()

Session started for modification.

3. selectWSMPolicySetコマンドを使用して、編集する既存のポリシー・セットを選択します。

selectWSMPolicySet(name)

指定したポリシー・セットの最新バージョンが現在のセッションにロードされます。たとえば、ポリシーを追加するためにポリシー・セットを編集するには、次のコマンドを使用します。

wls:/jrfServer_domain/serverConfig> selectWSMPolicySet ('all-domains-default-web-service-policies')

The policy set is ready for modification in the session.

4. 必要応じて、ポリシー・セットを編集します。次に例を示します。

- ポリシー・セットにポリシーを追加するには、attachWSMPolicyコマンドを使用して、uri引数で指定するURIによりポリシーを識別します。

attachWSMPolicy(uri)

たとえば、oracle/wss_saml_or_username_token_service_policyポリシーおよびoracle/log_policyポリシーをポリシー・セットに追加するには、次のコマンドを入力します。

wls:/jrfServer_domain/serverConfig> attachWSMPolicy('oracle/wss_saml_or_username_token_service_policy')

Policy reference oracle/wss_saml_or_username_token_service_policy added.

wls:/jrfServer_domain/serverConfig>attachWSMPolicy('oracle/log_policy')

Policy reference "oracle/log_policy" added.

- ポリシー・セットからポリシーを削除するには、detachWSMPolicyコマンドを使用して、uri引数で指定するURIによりポリシーを識別します。
たとえば、ポリシー・セットからoracle/wss11_saml_or_username_token_with_message_protection_service_policyを削除するには、次のように入力します。

wls:/jrfServer_domain/serverConfig> detachWSMPolicy('oracle/wss11_saml_or_username_token_with_message_protection_service_policy')

Policy reference "oracle/wss11_saml_or_username_token_with_message_protection_service_policy" removed.

- ポリシー・セット内でポリシー・アタッチメントを有効または無効にするには、enableWSMPolicyコマンドを使用して、uri引数で指定するURIによりポリシーを識別します。

enableWSMPolicy(uri,[enable=true])

デフォルトはtrueです。

oracle/log_policyを無効にするには、次のように入力します。

wls:/jrfServer_domain/serverConfig> enableWSMPolicy('oracle/log_policy',false)

Policy reference "oracle/log_policy" disabled.

5. 必要に応じて、構成のオーバーライドまたは実行時制約を指定します。詳細は、次のトピックを参照してください。

- WLSTを使用したグローバルにアタッチされたポリシーの構成プロパティのオーバーライド

- WLSTを使用したポリシー・セットの実行時制約の指定

6. validateWSMPolicySetコマンドを使用して、ポリシー・セットを検証します。

次に例を示します。

wls:/jrfServer_domain/serverConfig> validateWSMPolicySet()

The global policy set all-domains-default-web-service-policies is valid.

7. 必要に応じて、displayWSMPolicySetコマンドを使用して変更後のポリシー・セットを表示します。

wls:/jrfServer_domain/serverConfig>displayWSMPolicySet()

Policy Set Details:
-------------------
Display Name:      ll-domains-default-web-service-policies
Type of Resources:   SOAP Web Service
Scope of Resources:  Domain("*")
Description:         Default policies for web services in any domain
Enabled:             true
Policy Reference:    URI=oracle/wss_saml_or_username_token_service_policy,
category=security, enabled=true, index=1
URI=oracle/log_policy, category=management, enabled=false, index=2

8. リポジトリに対して現在のセッションのコンテンツの書込みを行うために、commitWSMSessionコマンドを使用します。

wls:/jrfServer_domain/serverConfig> commitWSMSession()

The policy set all-domains-default-web-service-policies is valid.

Updating policy set all-domains-default-web-service-policies in repository.
Session committed successfully.

また、セッション中にリポジトリに加えたすべての変更を破棄するabortWSMSessionコマンドを使用することにより、すべての変更を取り消すことができます。

このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

4.4.4.7 ポリシー・セットの検証

ポリシー・セットの検証では、ポリシー・セットが「ポリシー・アタッチメントの検証」に記載されたルールに準拠するかどうかの検証に加えて、次のチェックも実行されます。

- 定義されたリソース・タイプおよびスコープがポリシー・セットに対して有効であること。

- リソース・スコープに対して入力された値に、サポートされる形式でサポートされる式が含まれていること。

- 参照されたすべてのポリシーが使用可能であり、相互に互換性があること。たとえば、ポリシーのカテゴリが相互に競合しない場合、ポリシーには互換性があります。

注意:

ポリシー・アタッチメント間に競合が存在しないことを確認するために、Fusion Middleware ControlおよびWLSTコマンドを使用して、Webサービス・エンドポイントに有効でセキュアな構成が含まれるかどうかを判断できます。詳細は、「エンドポイントのセキュア・ステータスの決定」を参照してください。

トラブルシューティングの詳細は、「WLSTを使用したポリシー・アタッチメントに関する問題の概要」を参照してください。

4.4.4.8 ポリシー・セットの有効化および無効化

ポリシー・セットを有効または無効にするには:

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. beginWSMSessionコマンドを使用して、セッションを開始します。

次に例を示します。

wls:/jrfserver_domain/serverConfig> beginWSMSession()

Session started for modification.

3. selectWSMPolicySetコマンドを使用して、変更するポリシー・セットを指定します。

次に例を示します。

wls:/jrfServer_domain/serverConfig> selectWSMPolicySet ('all-domains-default-web-service-policies')

The policy set is ready for modification in the session.

4. enableWSMPolicySetコマンドを使用して、ポリシー・セットを有効または無効にします。

enableWSMPolicySet([enable=true])

ポリシー・セットが無効な場合に、ポリシー・セットを有効にするために、enable引数をtrueに設定します。デフォルトはtrueです。ポリシー・セットを無効にするには、enable引数をfalseに設定します。

たとえば、ポリシー・セットを無効にするには、次のようにします。

wls:/jrfServer_domain/serverConfig> enableWSMPolicySet(false)

Policy set disabled.

5. validateWSMPolicySetコマンドを使用して、ポリシー・セットを検証します。

次に例を示します。

wls:/jrfServer_domain/serverConfig> validateWSMPolicySet()

The global policy set all-domains-default-web-service-policies is valid.

6. リポジトリに対して現在のセッションのコンテンツの書込みを行うために、commitWSMSessionコマンドを使用します。

wls:/jrfServer_domain/serverConfig> commitWSMSession()

The policy set all-domains-default-web-service-policies is valid.
Updating policy set all-domains-default-web-service-policies in repository.

Session committed successfully.

また、セッション中にリポジトリに加えたすべての変更を破棄するabortWSMSessionコマンドを使用することにより、すべての変更を取り消すことができます。

このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

4.4.4.9 WLSTを使用したポリシー・セットの削除

リポジトリ内のポリシー・セットを削除するために、次のコマンドを使用できます。

- deleteWSMPolicySet: セッションのコンテキスト内で個別のポリシー・セットを削除します。

- deleteWSMAllPolicySets: リポジトリ内で選択したポリシー・セットまたはすべてのポリシー・セットを削除します。このコマンドは、セッションの内部または外部で使用できます。

セッション内で個別のポリシー・セットを削除するには:

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. beginWSMSessionコマンドを使用して、セッションを開始します。
次に例を示します。

wls:/jrfserver_domain/serverConfig> beginWSMSession()

Session started for modification.

3. 必要に応じて、listWSMPolicySetsコマンドを使用して、リポジトリ内のポリシー・セットをリストします。

wls:/jrfServer_domain/serverConfig> listWSMPolicySets()

Global Policy Sets in Repository:
app-only-web-service-policies
all-domains-default-web-service-policies

4. deleteWSMPolicySetコマンドを使用して、目的のポリシー・セットを削除します。

deleteWSMPolicySet (name)

次に例を示します。

wls:/jrfServer_domain/serverConfig> deleteWSMPolicySet('app-only-web-service-policies')

The policy set was deleted successfully in the session.

5. 必要に応じて、listWSMPolicySetsコマンドを使用して、リポジトリ内のポリシー・セットをリストします。ポリシー・セットにdelete pendingとしてフラグが設定されることに注意してください。

wls:/jrfServer_domain/serverConfig> listWSMPolicySets()

Global Policy Sets in Repository:
app-only-web-service-policies [delete pending]
all-domains-default-web-service-policies

6. リポジトリに対して現在のセッションのコンテンツの書込みを行うために、commitWSMSessionコマンドを使用します。

wls:/jrfServer_domain/serverConfig> commitWSMSession()

Deleting policy set app-only-web-service-policies from repository.

Session committed successfully.

また、セッション中にリポジトリに加えたすべての変更を破棄するabortWSMSessionコマンドを使用することにより、すべての変更を取り消すことができます。

リポジトリ内のすべてのポリシー・セットまたは選択したポリシー・セットを削除するには:

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. 必要に応じて、listWSMPolicySetsコマンドを使用して、リポジトリ内のポリシー・セットをリストします。

wls:/jrfServer_domain/serverConfig> listWSMPolicySets()

Global Policy Sets in Repository:
all-domains-default-web-service-policies
ws-1
ws-2

3. deleteWSMAllPolicySets()コマンドを使用して、目的のポリシー・セットを削除します。(force引数を使用して)すべてのポリシー・セットの削除を強制するか、削除する個別のポリシー・セットを選択するプロンプトを表示するかを指定できます。このコマンドのデフォルトはpromptモードです。

deleteWSMAllPolicySets(mode)

たとえば、削除するポリシー・セットを指定するには、次のようにします。

wls:/jrfServer_domain/serverConfig> deleteWSMAllPolicySets()

Starting Operation deleteWSMAllPolicySets ...
Policy Set Name: ws-2
Select "ws-2" for deletion (yes/no/cancel)? yes
Policy Set Name: all-domains-default-web-service-policies
Select "all-domains-default-web-service-policies" for deletion (yes/no/cancel)? no
Policy Set Name: ws-1
Select "ws-1" for deletion (yes/no/cancel)? yes

All the selected policy sets were deleted successfully from repository.

deleteWSMAllPolicySets Operation Completed.

すべてのポリシー・セットの削除を強制するには:

wls:/jrfServer_domain/serverConfig> deleteWSMAllPolicySets('force')

Starting Operation deleteWSMAllPolicySets ...

All policy sets were deleted successfully from repository.

deleteWSMAllPolicySets Operation Completed.

このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

4.4.4.10 WLSTを使用したポリシー・セットの実行時制約の指定

setWSMPolicySetConstraintコマンドを使用して、ポリシー・セット内の制約を指定できます。このコマンドは、セッションのコンテキストでポリシー・セットの作成または変更中にのみ使用できます。

次の手順は、新しいポリシー・セットの作成中に実行時制約を指定する方法ですが、既存のポリシー・セットを編集するか、既存のポリシー・セットから新しいポリシー・セットを作成するときにセッションでsetWSMPolicySetConstraintコマンドを使用することもできます。

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. beginWSMSessionコマンドを使用して、セッションを開始します。

次に例を示します。

wls:/jrfServer_domain/serverConfig> beginWSMSession()

Session started for modification.

3. createWSMPolicySetコマンドを使用して、新しいポリシー・セットを作成します。

たとえばこのために、ドメイン・スコープで外部クライアントに認証およびメッセージ保護を提供するポリシー・セットを作成するには、次のようにします。

wls:/jrfServer_domain/serverConfig>createWSMPolicySet('domainExternal','ws-service','Domain("*")','Authentication and message protection at domain scope for external clients')

The policy set was created successfully in the session.

WLSTを使用したポリシー・セットの作成の詳細は、「WLSTを使用した新しいポリシー・セットの作成」を参照してください。

4. 現在のポリシー・セットにポリシーをアタッチします。最初にselectWSMPolicySetを使用してポリシー・セットを選択してからattachWSMPolicyコマンドを使用して、uri引数で指定するURIによりポリシーを識別します。

たとえば、ポリシー・セットで指定されたサブジェクトにポリシーoracle/wss10_message_protection_service_policyをアタッチするには、次のコマンドを入力します。

wls:/jrfserver_domain/serverConfig>selectWSMPolicySet('domainExternal')
wls:/jrfServer_domain/serverConfig>attachWSMPolicy('oracle/wss11_saml_or_username_token_with_message_protection_service_policy')

Policy reference "oracle/wss11_saml_or_username_token_with_message_protection_service_policy" added.

5. setWSMPolicySetConstraint(constraint)コマンドを使用して、実行時制約を指定します。constraint引数では、サポートされた形式で有効な実行時制約を定義するサポートされた式を使用する必要があります。このリリースでは、次の式が動作することが確認されています。

- HTTPHeader("VIRTUAL_HOST_TYPE","External")

- !HTTPHeader("VIRTUAL_HOST_TYPE","External")

たとえば、外部クライアントにのみ適用される制約を指定するには、次のコマンドを入力します。

wls:/jrfServer_domain/serverConfig>setWSMPolicySetConstraint('HTTPHeader("VIRTUAL_HOST_TYPE","External")')

Constraint updated.

6. 必要に応じて、displayWSMPolicySetコマンドを使用して現在のセッション中のポリシー・セットの構成を表示します。

次に例を示します。

wls:/jrfServer_domain/serverConfig>displayWSMPolicySet()

Policy Set Details:
-------------------
Display Name:        domainExternal
Type of Resources:   SOAP Web Service
Scope of Resources:  Domain("*")
Constraint:          HTTPHeader("VIRTUAL_HOST_TYPE","External")
Description:         Authentication and message protection at domain scope for external clients
Enabled:             true
Policy Reference:    URI=oracle/wss11_saml_or_username_token_with_message_protection_service_policy, category=security, enabled=true, index=1

7. commitWSMSessionコマンドを使用して、リポジトリに対して、現在のセッションのコンテンツの書込みを行います。

wls:/jrfServer_domain/serverConfig> commitWSMSession()

The policy set domainExternal is valid.
Creating policy set domainExternal in repository.
Session committed successfully.

4.4.5 WLSTを使用したWebサービスにアタッチされたポリシーの表示

WLSTコマンドを使用して、Webサービスにアタッチされたポリシーを表示できます。

これを行うには、次の手順を完了します。

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. Webサービスの管理のFusion Middleware Controlを使用したアプリケーション・デプロイメント内のWebサービスの表示に関する項の説明に従って、listWSMPolicySubjects WLSTコマンドを使用してアプリケーション内のWebサービスのリストを表示します。

3. listWebServicePortsコマンドを使用して、Webサービスのポート名とエンドポイントURLを表示します。

listWebServicePorts(application,moduleOrCompName,moduleType,serviceName)

たとえば、WsdlConcreteServiceのポートを表示するには、次のようにします。

wls:/wls-domain/serverConfig> listWebServicePorts ("/base-domain/AdminServer/jaxwsejb30ws", "jaxwsejb","web","WsdlConcreteService")

WsdlConcretePort   http://host.example.com:7001/jaxwsejb/WsdlAbstract

4. listWebServicePoliciesコマンドを使用して、Webサービス・ポートに添付されたポリシーを表示します。

listWebServicePolicies(application,moduleOrCompName,moduleType,serviceName,subjectName)

たとえば、WsdlConcretePortポートにアタッチされたポリシーとポリシーのオーバーライド設定を表示するには、次のようにします。

wls:/wls_domain/serverConfig> listWebServicePolicies("/jaxwsejb30ws", "jaxwsejb","web","WsdlConcreteService","WsdlConcretePort")

WsdlConcretePort :
URI="oracle/mex_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/mtom_encode_fault_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/max_request_size_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="max.request.size", value="-1"
URI="oracle/request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/soap_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/ws_logging_level_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="logging.level", value=""
URI="oracle/test_page_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/wsdl_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/wss11_saml_or_username_token_with_message_protection_service_policy", category=security, policy-status=enabled; source=global policy set "domainExternal", scope="Domain("*")"; reference-status=enabled; effective=true

The web service is secure in this context.

4.4.6 WLSTを使用した有効なポリシー・セットの表示

displayWSMEffectivePolicySet()コマンドを使用して、ポリシー・サブジェクトに対応する有効なポリシー・セットの構成を表示できます。ポリシー強制時に使用される実際のランタイム・ポリシー・セットの構成が表示されます。

displayWSMEffectivePolicySet()コマンドも、グローバル・ポリシー・アタッチメント情報を表示します。このポリシー・セットとグローバル・ポリシー・アタッチメント情報は、ポリシー・サブジェクト内に格納されます。

このコマンドを、選択されたグローバル・ポリシー・セットまたは選択された直接ポリシー・セットのみを表示するdisplayWSMPolicySetコマンドや、現在のセッション内の実際のランタイム・ポリシー・セットへの変更を含む、有効なポリシー・セットを表示するpreviewWSMEffectivePolicySetを比較します。

セッション中に加えた変更は、そのセッションをコミットするまでdisplayWSMEffectivePolicySet()コマンドに対するレスポンスには表示されません。

次の例では、jaxwsejb30wsアプリケーションに属するWsdlConcreteService#WsdlConcretePortエンドポイントが選択されています。displayWSMEffectivePolicySet()コマンドは、エンドポイントで有効なセキュリティ・ポリシーとそのステータスを表示します。

wls:/jrfServer_domain/serverConfig> selectWSMPolicySubject('jaxwsejb30ws',
'#jaxwsejb','WS-Service({http://www.oracle.com/jaxws/tests/concrete}WsdlConcreteService#WsdlConcretePort)')

The policy subject is selected for modification.

wls:/jrfServer_domain/serverConfig> displayWSMEffectivePolicySet()

Context : Constraint="HTTPHeader('VIRTUAL_HOST_TYPE','External')"
URI="oracle/mex_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/mtom_encode_fault_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/max_request_size_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="max.request.size", value="-1"
URI="oracle/request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/soap_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/ws_logging_level_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="logging.level", value=""
URI="oracle/test_page_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/wsdl_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/wss11_saml_or_username_token_with_message_protection_service_policy", category=security, policy-status=enabled; source=global policy set "domainExternal", scope="Domain("*")"; reference-status=enabled; effective=true

The web service is secure in this context.

oracle/mex_request_processing_service_policyおよびoracle/mtom_encode_fault_service_policyポリシーは、サービスからデタッチされます。

wls:/base_domain/serverConfig> detachWSMPolicies(['oracle/mex_request_processing_service_policy', 'oracle/mtom_encode_fault_service_policy'])

Policy reference "oracle/mex_request_processing_service_policy" removed.
Policy reference "oracle/mtom_encode_fault_service_policy" removed.

ここで、previewWSMEffectivePolicySet()コマンドを実行すると、2つのポリシーがWsdlConcreteService#WsdlConcretePortエンドポイントのポリシー・セットから削除されていることが確認できます。

wls:/base_domain/serverConfig> previewWSMEffectivePolicySet()

Context : Constraint="HTTPHeader('VIRTUAL_HOST_TYPE','External')"
URI="oracle/wss11_saml_or_username_token_with_message_protection_service_policy", category=security, policy-status=enabled; source=global policy set "domainExternal", scope="Domain("*")"; reference-status=enabled; effective=true
URI="oracle/max_request_size_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="max.request.size", value="-1"
URI="oracle/request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/soap_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/ws_logging_level_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="logging.level", value=""
URI="oracle/test_page_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
URI="oracle/wsdl_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true

The web service is secure in this context.

displayWSMEffectivePolicySet()コマンドを再度実行すると、oracle/mex_request_processing_service_policyおよびoracle/mtom_encode_fault_service_policyポリシーがレスポンスに表示されます。これらのポリシーは、commitWSMSession()コマンドを発行するまで、レスポンスから削除されません。

4.5 サーブレット・アプリケーションへのポリシーのアタッチについて

RESTfulサーブレットとして公開されているADFビジネス・コンポーネントなどのサーブレット・アプリケーションを保護するために、1つ以上の事前定義済セキュリティ・ポリシーを添付できます。

サーブレット・アプリケーション(RESTfulサーブレットとして公開されるADFビジネス・コンポーネントなど)を保護するために必要な事前定義済ポリシーは、RESTful WebサービスおよびクライアントでサポートされるOWSMポリシーに定義されています。これらのポリシーの詳細と、それらを手動で構成する方法については、Oracle Web Services Managerの事前定義済ポリシーを参照してください。

サーブレット・アプリケーションの場合、着信リクエストをインターセプトおよび処理するためにOWSMサーブレット・フィルタが使用されます。

個々のポリシーを直接サブジェクトにアタッチする、または次の項で説明するように、ポリシー・セットを使用してタイプ別にサブジェクトのセットにポリシーをグローバルにアタッチすることにより、ポリシー・サブジェクト(この場合、サーブレット)にポリシーをアタッチできます。

- サーブレット・アプリケーションへのポリシーの直接添付

- サーブレット・アプリケーションへのポリシーのグローバル添付

4.5.1 サーブレット・アプリケーションへのポリシーを直接アタッチする

サーブレット・アプリケーションにポリシーを直接アタッチするには、web.xmlデプロイメント・ディスクリプタ・ファイルを変更して、OWSMサーブレット・フィルタを定義し、保護するためにサーブレットに関連付け、さらにポリシー・アタッチメント・メタデータを定義する必要があります。

OWSMサーブレット・フィルタは、1つのサーブレットにのみマップできます。複数のサーブレットを保護する必要がある場合、1対1の対応を維持しながら、複数のサーブレット・フィルタを定義する必要があります。

web.xmlデプロイメント記述子の詳細は、Oracle WebLogic ServerのためのWebアプリケーション、サーブレットおよびJSPの開発のweb.xmlデプロイメント記述子の要素に関する項を参照してください。

サーブレット・アプリケーションへのポリシーを直接アタッチするには:

1. <filter>要素を追加することで、OWSMセキュリティ・フィルタを定義し、次のサブ要素を定義します。

a. <filter-name>要素を使用して、OWSMサーブレット・フィルタに意味ある名前を指定します。
次に例を示します。

<filter-name>OWSM Security Filter</filter-name>

b. <filter-class>要素を使用して、OWSMサーブレット・フィルタ・クラスを定義します。
この要素は、次のように定義する必要があります。

<filter-class>
oracle.wsm.agent.handler.servlet.SecurityFilter
</filter-class>

c. サーブレット名をパラメータとして、OWSMサーブレット・フィルタ・クラスのinit()メソッドに渡すには、<filter>定義に<init-param>要素を追加します。
次に例を示します。

<init-param>
<param-name>servlet-name</param-name>
<param-value>TestServlet</param-value>
</init-param>

注意: このパラメータを省略すると、次の手順で<policySet>要素を定義した場合でも、サーブレット・アプリケーションは保護されません。

d. 1つ以上の<PolicyReference>または<OverrideProperty>要素とともに、<policySet>要素を定義する<init-param>を追加することにより、セキュリティ・ポリシー・アタッチメントを定義します。<policySet>要素の詳細は、「Webサービスのポリシー・セットのスキーマ参照」を参照してください。
注意: このコンテキストでは、<policySet>要素はconstraintまたはstatus属性をサポートしません。これらの属性は、グローバル・ポリシー・アタッチメントのみでサポートされます。

たとえば、次の抜粋コードでは、<policySet>はCDATAの形式で構成されています。

<init-param>
<param-name>oracle.wsm.metadata.policySet</param-name>
<param-value><![CDATA[<sca11:policySet name="policySet"
appliesTo="REST-Resource()"
attachTo="Service('*')"
xmlns:sca11="http://docs.oasis-open.org/ns/opencsa/sca/200903"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
xmlns:wsp15="http://www.w3.org/ns/ws-policy">
<wsp15:PolicyReference
URI="oracle/multi_token_rest_service_policy"
orawsp:category="security" orawsp:status="enabled">
</wsp15:PolicyReference>
<wsp15:PolicyReference
URI="oracle/binding_authorization_permitall_policy"
orawsp:category="security" orawsp:status="enabled">
</wsp15:PolicyReference>
</sca11:policySet>]]>
</param-value>
</init-param>

2. <filter-mapping>要素を使用して、OWSMセキュリティ・フィルタをサーブレットに関連付けます。
次に例を示します。

<filter-mapping>
<filter-name>OWSM Security Filter</filter-name>
<servlet-name>TestServlet</servlet-name>
</filter-mapping>

3. <servlet>および<servlet-mapping>要素を使用して、サーブレットとサーブレットのマッピングを定義します。
次に例を示します。

<servlet>
<servlet-name>TestServlet</servlet-name>
<servlet-class>webproj.TestServlet</servlet-class>
</servlet>
<servlet-mapping>
<servlet-name>TestServlet</servlet-name>
<url-pattern>/testservlet</url-pattern>
</servlet-mapping>

4. 保護する必要があるサーブレットごとに、手順1から3を繰り返します。

次の例は、サーブレット・アプリケーションにポリシーを添付するために、web.xmlファイルを更新する方法を示しています。

<?xml version = '1.0' encoding = 'windows-1252'?>
<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://java.sun.com/xml/ns/javaee
http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"
version="2.5" xmlns="http://java.sun.com/xml/ns/javaee">
<filter>
<filter-name>OWSM Security Filter</filter-name>
<filter-class>oracle.wsm.agent.handler.servlet.SecurityFilter</filter-class>
<init-param>
<param-name>servlet-name</param-name>
<param-value>TestServlet</param-value>
</init-param>
<init-param>
<param-name>oracle.wsm.metadata.policySet</param-name>
<param-value><![CDATA[<sca11:policySet name="policySet"
appliesTo="REST-Resource()"
attachTo="Service('*')"
xmlns:sca11="http://docs.oasis-open.org/ns/opencsa/sca/200903"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
xmlns:wsp15="http://www.w3.org/ns/ws-policy">
<wsp15:PolicyReference
URI="oracle/multi_token_rest_service_policy"
orawsp:category="security" orawsp:status="enabled">
</wsp15:PolicyReference>
<wsp15:PolicyReference
URI="oracle/binding_authorization_permitall_policy"
orawsp:category="security" orawsp:status="enabled">
</wsp15:PolicyReference>
</sca11:policySet>]]>
</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>OWSM Security Filter</filter-name>
<servlet-name>TestServlet</servlet-name>
</filter-mapping>
<servlet>
<servlet-name>TestServlet</servlet-name>
<servlet-class>webproj.TestServlet</servlet-class>
</servlet>
<servlet-mapping>
<servlet-name>TestServlet</servlet-name>
<url-pattern>/testservlet</url-pattern>
</servlet-mapping>
</web-app>

4.5.2 サーブレット・アプリケーションへのポリシーをグローバルにアタッチする

サーブレット・アプリケーションにグローバルにポリシーをアタッチするには、WLSTを使用してポリシー・セットを作成してアタッチします。

詳細は、「WLSTを使用したポリシーのグローバルなアタッチについて」を参照してください。

ポリシー・セットの作成時には、引数型がREST-resourceに設定されていることを確認します。グローバル・ポリシーがドメイン内のすべてのRESTfulサービスに適用されるように、Domain式として リソース・スコープを定義することをお薦めします。

次の例は、WLSTを使用してサーブレット・アプリケーションにポリシーをグローバルにアタッチしています。

C:\Oracle\Middleware\oracle_common\common\bin> wlst.cmd
...
wls:/offline> connect("weblogic","password","t3://myAdminServer.example.com:7001")
Connecting to t3://myAdminServer.example.com:7001" with userid weblogic ...
Successfully connected to Admin Server "AdminServer" that belongs to domain "my_domain".

Warning: An insecure protocol was used to connect to the
server. To ensure on-the-wire security, the SSL port or
Admin port should be used instead.

wls:/my_domain/serverConfig> beginWSMSession()
Location changed to domainRuntime tree. This is a read-only tree with DomainMBean as the root.
For more help, use help('domainRuntime')

Session started for modification.
wls:/my_domain/serverConfig> createWSMPolicySet('all-domains-default-REST','REST-Resource', 'Domain("*")')

Description defaulted to "Global policy attachments for Java EE RESTful Resource resources."
The policy set was created successfully in the session.

wls:/my_domain/serverConfig>selectWSMPolicySet('all-domains-default-REST')

The policy set is ready for modification in the session.

wls:/my_domain/serverConfig> attachWSMPolicy('oracle/http_basic_auth_over_ssl_service_policy')

Policy reference "oracle/http_basic_auth_over_ssl_service_policy" added.

wls:/my_domain/serverConfig> commitWSMSession()

The policy set all-domains-default-REST is valid.
Creating policy set all domains-default-REST in repository.

Session committed successfully.

wls:/my_domain/serverConfig> displayWSMPolicySet('all-domains-default-REST')

Policy Set Details:
-------------------
Display Name : all-domains-default-REST
Type of Resources:   RESTful Resource
Scope of Resources:  Domain("*")
Description:         Global policy attachments for Java EE RESTful Resource resources.
Enabled:             true
Policy Reference:    URI=oracle/wss_http_token_service_policy, category=security, enabled=true

wls:/my_domain/serverConfig>

4.6 ポリシー・セットの実行時制約

アプリケーションは、外部および内部の両方のクライアントに同じサービスを公開する環境にデプロイできます。こうした環境では多くの場合、クライアントの場所に基づいて様々なセキュリティ動作を強制することが適切です。

たとえば、Webサービスをホストする単一のFusion Middlewareサーバー(WebLogic Server)から構成される環境では、2つの別個のネットワークからのHTTPリクエストをリスニングするために、フロント・エンドでOracle HTTP Serverが構成されます。この一方のネットワークはすべてのプライベート内部リクエストを転送するために使用され、他方のネットワークはすべての外部リクエストを転送するために使用されます。外部ネットワークによるアクセスは、ファイアウォールを経由します。内部ネットワークに対する物理アクセスは高度に制限されるので、このネットワークからのリクエストはすでに保護されています。したがって、認証および認可を強制することのみが必要です。メッセージ保護を強制しないことによって、サーバー上の負荷が軽減され、パフォーマンスが向上します。しかし、外部ネットワークからのすべてのリクエストは、誰でもアクセスできる可能性があるので、保護されていないものとみなされます。この場合、認証と認可に加えて、メッセージ保護(機密保護と整合性)を強制する必要があります。こうしたリクエストのパフォーマンスは低下しますが、それに代わる結果(データ・リーク、リプレイ攻撃など)はさらに悪いために、容認できるものとみなされます。

管理者は、外部ネットワークに対してポリシー・セットの適切な適用を確実に行うために、ポリシー・セットが評価される制約式を指定する必要があります。この式の値は、ポリシー・セットが関連する実行時のコンテキストを示します。

制約式では、有効なヘッダー名および値を指定する必要があります。このリリースでは、次の式が動作することが確認されています。

- HTTPHeader("VIRTUAL_HOST_TYPE","External")—外部としての制約を設定し、Oracle HTTP Serverを通じて受信するすべての外部リクエストにポリシー・セットを適用すべきであることを示します。

- !HTTPHeader("VIRTUAL_HOST_TYPE","External")—非外部としての制約を設定し、内部ネットワークからのリクエストなど、Oracle HTTP Serverを経由していないすべての受信リクエストにポリシー・セットを適用すべきであることを示します。

注意:

実行時制約関数HTTPHeaderは、Oracle HTTP Serverがフロント・エンドで構成されており、なおかつOracle HTTP Server管理者がリクエストにカスタムVIRTUAL_HOST_TYPEヘッダーを追加している場合にのみ、その使用が動作保証されています。リクエストへのヘッダーの追加の詳細は、「リクエスト元を指定するためのOracle HTTP Serverの構成」を参照してください。

制約を指定する場合は、次のルールが適用されます。

- 複数のポリシー・セットで同じ制約を指定している場合、標準の有効なポリシー計算ルールが適用されます。標準の有効なポリシー・ルールの詳細は、「有効なポリシー・セットの計算方法」を参照してください。

- 複数のポリシー・セットで様々な制約を指定する場合、各タイプの制約に対して有効なポリシー・セットが独立して計算されます。つまり、すべての外部リクエストについて有効なポリシー・セットが評価され、すべての非外部リクエストについて別個の有効なポリシー・セットが評価されます。

- ポリシー・セットで実行時制約を指定しない場合、すべてのリクエスト、つまり外部および非外部のリクエストに適用されます。

図4-14は、3つの異なるポリシー・セットで制約を使用して決定された外部および非外部のリクエストに対して有効なポリシーを示しています。

図4-14 実行時制約を含むポリシー・セットに対して有効なポリシー計算

ポリシー・セットの実行時制約を指定する方法の詳細は、次の項を参照してください。

- Fusion Middleware Controlを使用したポリシー・セットでの実行時制約の指定

- WLSTを使用したポリシー・セットの実行時制約の指定

4.7 グローバルにアタッチされたポリシーのリソースのタイプとスコープの定義について

リソース・セット全体でグローバルにポリシーをアタッチするには、ポリシー・セットが適用されるポリシー・サブジェクトのタイプ、およびエンタープライズのトポロジ内のリソース・スコープを指定する必要があります。

リソース・タイプ(つまり、サブジェクト・タイプ)は、ポリシー・セットが適用されるエンドポイントのタイプを識別します。これは、ポリシー・セットのappliesTo属性にマッピングされます。リソース・スコープは、ポリシーを含むポリシー・セットが適用されるリソース内のロケーションを識別します。これは、ポリシー・セットのattachTo属性にマッピングされ、複数のポリシー・セットが存在する場合に競合の解決に使用されます。

- リソース・タイプの定義

- リソース・スコープの定義

- Webサービスのネームスペースの決定

- 各種のリソース・タイプおよびスコープを使用したポリシー・セットの作成の例

4.7.1 リソース・タイプの定義

Fusion Middleware Controlで、ポリシー・セットを作成しているときに、メニューからリソース・タイプを選択します。WLSTを使用してポリシー・セットを作成する場合、こうしたリソース・タイプに対応する特定の略語を使用する必要があります。

有効なリソース・タイプと対応するWLSTのリストの詳細は、『Oracle Web Services Managerの理解』のポリシー・サブジェクトの概要に関する項を参照してください。

注意:

ポリシー・セットを作成する場合、SOAP WebサービスおよびSOAP Webサービス・クライアントのサブジェクト・タイプが、Oracle InfrastructureのWebサービスとクライアントおよびJava EEのWebサービスとクライアントを両方とも参照します。

4.7.2 リソース・タイプの定義

Fusion Middleware Controlで、リソース・スコープに関連付けられている名前を表すパターン文字列を入力することにより、スコープを指定します。

たとえば、ドメイン内のすべてのWebサービス・エンドポイントにポリシー・セットをアタッチするには、「ドメイン名」フィールドにドメイン名を表すパターンを入力します。

各ポリシー・サブジェクト・タイプで有効なリソース・スコープのリストの詳細は、『Oracle Web Services Managerの理解』のポリシー・サブジェクトの概要に関する項を参照してください。

WLSTでリソース・スコープを指定する際には、各スコープでサポートされる式を使用する必要があります。こうした式は、次の引数で必要になります。

- createWSMPolicySetコマンドおよびcloneWSMPolicySetコマンドのattachTo引数

- setWSMPolicySetScopeコマンドのexpression引数

Fusion Middleware ControlおよびWLSTの両方について、名前全体またはワイルドカードを使用した部分値を入力できます。該当位置で任意の数の文字に一致するワイルドカード文字としてアスタリスク(*)を文字列内の任意の場所で使用できます。また、文字列内の任意の位置で複数のワイルドカードを指定できます。たとえば、ドメイン名jrf_domainに対しては、jrf*、*rf*domain、または任意の個数の組合せを入力できます。1つのスコープについて1つのパターンのみを提供する必要があります。リソース・スコープについてパターン文字列を指定しない場合、アスタリスク(*)が想定されます。一重引用符または二重引用符を使用できます。複数の値を指定した場合、ポリシー・サブジェクトにアタッチすることが考慮されているポリシー・セットにすべての式が一致する必要があります。

表4-2は、WLSTでサポートされる式と、Fusion Middleware Controlで指定されているリソース・スコープ名を示しています。

表4-2 リソース・スコープについてサポートされる式

Fusion Middleware Controlリソース・スコープ名

WLSTでサポートされる式

説明

ドメイン名

Domain("expression")

この値は、デプロイされた管理ドメインに基づくポリシー・サブジェクトに一致します。

アプリケーション名

Application("expression")

この値は、配置されたアプリケーションの名前に基づくポリシー・サブジェクトに一致します。

パーティション名

Partition('expression")

この値は、配置されたSOAパーティションの名前に基づくポリシー・サブジェクトに一致します。

アプリケーション・モジュール名または接続名

Module("expression")

この値は、配置されたアプリケーション・モジュールまたは接続の名前に基づくポリシー・サブジェクトに一致します。

SOAコンポジット名

Composite("expression")

この値は、配置されたSOAコンポジットの名前に基づくポリシー・サブジェクトに一致します。

注意: コンポジットの場合、式ではコンポジットの名前のみを使用すべきです。次に例を示します。

Composite("*Basic_SOA_Client*")

式には、SOAパーティションまたはコンポジット・リビジョン番号を含めないでください。

ESSジョブ名

Jobname("expression")

この値は、配置されたOracle Enterprise Scheduler Webサービス・ジョブの名前に基づくポリシー・サブジェクトに一致します。

リソース・パス

Path("expression")

この値は、配置されたリソース・パスの名前に基づくポリシー・サブジェクトに一致します。

参照またはWebサービス・クライアント名

Reference("expression")

この値は、配置された参照またはWebサービス・クライアントの名前に基づくポリシー・サブジェクトに一致します。

RESTfulアプリケーション、サービスまたはWebサービス・エンドポイント名

Service("expression")

この値は、配置されたサービス、RESTfulアプリケーションまたはWebサービス・エンドポイントの名前に基づくポリシー・サブジェクトに一致します。

注意: サービスでは、式にネームスペースおよびサービス名を含める必要があります。次に例を示します。

Service("{http://mynamespace/}myService")

PS5の前にアセンブルされたアプリケーションでは、listWSMPolicySubjects出力またはサービス名が表示されるFusion Middleware Controlにネームスペースが表示されません。この場合、「Webサービスのネームスペースの決定」の説明に従ってネームスペースを決定できます。

SOAコンポーネント名

Component("expression")

この値は、配置されたSOAコンポーネントの名前に基づくポリシー・サブジェクトに一致します。

ポート名

Port("expression")

この値は、配置されたポートの名前に基づくポリシー・サブジェクトに一致します。

Java EE Webサービス・クライアントのEJB名

EJBName("expression")

この値は、配置されたJava EE Webサービス・クライアントEJBの名前に基づくポリシー・サブジェクトに一致します。

コールバック・インタフェース名

PortType("expression")

この値は、配置されたコールバック・インタフェースの名前に基づくポリシー・サブジェクトに一致します。

4.7.3 Webサービスのネームスペースの決定

PS5の前にアセンブルされたアプリケーションでは、WLSTコマンドの出力またはサービス名が表示されるFusion Middleware Controlにネームスペースが表示されません。サービスをリソース・スコープとして指定するには、ネームスペースとサービス名を含める必要があります。

WebサービスのWSDLドキュメントからサービスのネームスペースを決定できます。これを行うには、次の手順を実行します。

1. 『Webサービスの管理』.のWebサービスのWSDLドキュメントの表示に関する項の説明に従って、Webサービス・エンドポイントのWSDLドキュメントを表示します

2. WSDLドキュメントで、サービスのターゲット・ネームスペースを含むwsdl:definitions要素を特定します。

たとえば、TestService WSDLで、次のようにします:

http://host:7001/jaxws-service/TestService?WSDL

次のwsdl:definitions要素が含まれます。

<wsdl:definitions name="TestService"targetNamespace="http://service.jaxws.wsm.oracle/">

完全なサービス名を指定するには、ネームスペースとサービス名を組み合せます。前記の例では、完全なサービス名は次のようになります。

{http://service.jaxws.wsm.oracle/}TestService

4.7.4 各種のリソース・タイプおよびスコープを使用したポリシー・セットの作成の例

次の例では、様々なリソース・タイプおよびスコープを使用してポリシー・セットを作成する方法を示しています。

次の例では、非同期コールバック・クライアント(ws-callback)リソース・タイプのポリシー・セットを作成します。この例では、ポリシー・セットが特定のアプリケーション・スコープにアタッチされ、フィルタ条件(Domain AND Application)を満たすすべてのサービスに適用されます。

beginWSMSession()
createWSMPolicySet('Async callback client', 'ws-callback', 'Domain("FinancialDomain") and Application("Expense*")',
'Global policy for asynchronous callback client', true)
selectWSMPolicySet('Async callback client')
attachWSMPolicy('oracle/wss10_saml_token_client_policy')
validateWSMPolicySet()
commitWSMSession()
displayWSMPolicySet('Async callback client')

次の例では、ADF SOAP Webサービス接続(ws-connection)リソース・タイプのweb_connection_cost_serviceという名前のポリシー・セットを作成します。この例では、ポリシー・セットが特定のアプリケーション・モジュール・スコープにアタッチされ、フィルタ条件(Domain AND Application AND Module)を満たすすべてのサービスに適用されます。

beginWSMSession()
createWSMPolicySet('web_connection_cost_service', 'ws-connection', 'Domain("SCMDomain") and Application("ScmCst*") and Module("*Costs")', enable=true)
selectWSMPolicySet('web_connection_cost_service')
attachWSMPolicy('oracle/wss10_saml_token_client_policy')
validateWSMPolicySet()
commitWSMSession()
displayWSMPolicySet('web_connection_cost_service')

4.8 グローバル・ポリシー・アタッチメントへのダイレクト・ポリシー・アタッチメントの移行

ダイレクト(ローカル)ポリシー・アタッチメントを外部グローバル・ポリシー・アタッチメントに移行するために(両者が同じである場合)、migrateAttachments WLSTコマンドを使用できます。同じポリシー・アタッチメントを移行することにより、メンテナンスする必要のある物理的なアタッチメントの数が減少し、管理性が向上します。

ダイレクト・ポリシー・アタッチメントとグローバル・ポリシー・アタッチメントは、ダイレクト・ポリシー・アタッチメントのURIがグローバル・ポリシー・アタッチメントで提供されたURIと同じであり、次の条件を満たしている場合に同一です。

- 構成のオーバーライドがない。
または

- 有効範囲の指定された構成のオーバーライドがあり、ダイレクト・ポリシー・アタッチメントの有効範囲付構成オーバーライドのプロパティおよび値がグローバル・ポリシー・アタッチメントのものと同一である。

次の移行はできません。

- プログラム的なポリシー・アタッチメント

- SOAコンポーネントに対するダイレクトまたはグローバルなポリシー・アタッチメント

注意:

migrateAttachments WLSTコマンドは、ダイレクト・ポリシー・アタッチメントへのスコープなしオーバーライドを識別できません。したがって、スコープなしオーバーライドを持つダイレクト・ポリシー・アタッチメントは、構成オーバーライドなしとして処理されるため、これと同等の構成オーバーライドのないグローバル・ポリシー・アタッチメントがmigrateAttachmentsによって検出された場合に移行されます。

ポリシー・アタッチメントを移行するには:

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. migrateWSMAttachmentsコマンドを使用して、アタッチメントを移行します。移行を強制するか(force)、各移行の前に確認のためのプロンプトを表示するか(prompt)、または実行される移行を単純にリストするか(preview)を指定できます。モードが指定されていない場合、デフォルトはpromptです。

migrateWSMAttachments(mode='prompt')

たとえば、考えられる各アタッチメントの移行について確認のためのプロンプトをデフォルトで表示するには、次のコマンドを入力します。出力には、jaxws-sutアプリケーションについて移行可能な同じグローバル・ポリシー・アタッチメントと直接ポリシー・アタッチメントがあることに注意してください。

wls:/jrfServer_domain/serverConfig> migrateWSMPolicyAttachments()

-----------------------------------------------------------------------------
Application:         /WLS/base_domain/jaxwsejb30ws
Assembly:            #jaxwsejb
Subject:             WS-Service({http://www.oracle.com/jaxws/tests/concrete}WsdlConcreteService#WsdlConcretePort)
Policy Reference:    URI=oracle/wss_saml_or_username_token_service_policy, source=global policy set "default-domain-ws-domain", reference-status=enabled
reference.priority=10
URI=oracle/mex_request_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/mtom_encode_fault_service_policy, source=local policy set, reference-status=enabled
URI=oracle/max_request_size_policy, source=local policy set, reference-status=enabled
max.request.size=-1
URI=oracle/request_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/soap_request_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/ws_logging_level_policy, source=local policy set, reference-status=enabled
logging.level=
URI=oracle/test_page_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/wsdl_request_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/wss10_saml20_token_with_message_protection_service_policy, source=local policy set, reference-status=disabled
-----------------------------------------------------------------------------
Application:         /WLS/base_domain/jaxwsejb30ws
Assembly:            #jaxwsejb
Subject:             WS-Service({http://soapinterop.org/DoclitWrapperWTJ}DoclitWrapperWTJService#DoclitWrapperWTJPort)
Policy Reference:    URI=oracle/wss_saml_or_username_token_service_policy, source=global policy set "default-domain-ws-domain", reference-status=enabled
reference.priority=10
URI=oracle/mex_request_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/mtom_encode_fault_service_policy, source=local policy set, reference-status=enabled
URI=oracle/max_request_size_policy, source=local policy set, reference-status=enabled
max.request.size=-1
URI=oracle/request_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/soap_request_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/ws_logging_level_policy, source=local policy set, reference-status=enabled
logging.level=
URI=oracle/test_page_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/wsdl_request_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/wss10_username_token_with_message_protection_service_policy, source=local policy set, reference-status=enabled
--------------------------------------------------------------------------------
Application:         /WLS/base_domain/jaxwsejb30ws
Assembly:            #jaxwsejb
Subject:             WS-Service({http://www.oracle.com/jaxws/tests}CalculatorService#CalculatorPort)
Policy Reference:    URI=oracle/wss_saml_or_username_token_service_policy, source=global policy set "default-domain-ws-domain", reference-status=enabled
reference.priority=10
URI=oracle/mex_request_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/mtom_encode_fault_service_policy, source=local policy set, reference-status=enabled
URI=oracle/max_request_size_policy, source=local policy set, reference-status=enabled
max.request.size=-1
URI=oracle/request_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/soap_request_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/ws_logging_level_policy, source=local policy set, reference-status=enabled
logging.level=
URI=oracle/test_page_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/wsdl_request_processing_service_policy, source=local policy set, reference-status=enabled
URI=oracle/wss_saml_or_username_token_service_policy, source=local policy set, reference-status=enabled

Migrate "oracle/wss_saml_or_username_token_service_policy" (yes/no/cancel)? yes
--------------------------------------------------------------------------------
"oracle/wss_saml_or_username_token_service_policy" was migrated successfully.--------------------------------------------------------------------------------

このコマンドの引数の詳細は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービスのカスタムWLSTコマンドに関する項を参照してください。

4.9 グローバルにアタッチされたポリシーの無効化

特定のエンドポイントに対してグローバルにアタッチされたポリシーを無効にする場合のために、いかなる動作も強制しない事前定義済ポリシーがFusion Middlewareインストールに含まれています。無効にするポリシーと同じカテゴリのアサーションを含むこうした事前定義済ポリシーのいずれかをアタッチすることによって、グローバルにまたは外部からアタッチされたポリシーを無効にできます。

エンドポイントに直接、またはグローバルに、アプリケーションやモジュール・レベルなどの下位のスコープで、動作無効ポリシーをアタッチできます。デフォルトでは、直接アタッチされたポリシーは、グローバルにアタッチされたポリシーよりも優先され、下位のスコープでグローバルにアタッチされたポリシーは、上位のスコープでグローバルにアタッチされたポリシーよりも優先されます。詳細は、「ポリシーの有効セットの計算方法」を参照してください。

たとえば、ドメイン内のすべてのサービス・エンドポイントに認証ポリシーがグローバルにアタッチされている場合、エンドポイントに直接oracle/no_authentication_service_policyをアタッチすることにより、特定のWebサービス・エンドポイントについて認証ポリシーを無効にできます。また、ドメイン内のアプリケーションについてのみ認証ポリシーを無効にするために、アプリケーション内のサービス・エンドポイントにのみoracle/no_authentication_service_policyをアタッチするポリシー・セットを作成できます。

注意:

無効にしているグローバルにアタッチされたポリシーに他のアサーションが含まれる場合、それらのアサーションもまた無効になります。たとえば、無効にするグローバル・ポリシーがoracle/wss10_saml_token_with_message_protection_client_policyであり、下位スコープで(または直接)エンドポイントに動作無効のoracle/no_authentication_service_policyをアタッチした場合、グローバルにアタッチされたポリシーの認証およびメッセージ保護のアサーションがともに無効になります。

エンドポイントへのポリシーの直接アタッチの詳細は、次の項を参照してください。

- Fusion Middleware Controlを使用したポリシーを直接アタッチする

- WLSTを使用したポリシーを直接アタッチする

動作無効ポリシーの詳細は、「動作無効ポリシー」を参照してください。

注意:

こうした動作無効ポリシーは削除しないでください。これらのポリシーは、いずれも同じno_behaviorアサーションを使用します。アサーション・テンプレートは提供されていないので、これらのポリシーを削除した場合、手動で再作成する方法はありません。誤って削除した場合、リストアする唯一の方法はリポジトリを再構築することです。詳細は、「OWSMリポジトリの再構築」を参照してください。

4.10 ポリシー・アタッチメントの優先度の指定

インストールで提供されている事前定義済ポリシーには構成のオーバーライド(reference.priority)が含まれており、これによって管理者はポリシー・アタッチメントを使用するプリファレンスを指示できます。デフォルトでは、他の値が指定されていない場合、アタッチされたポリシーは0のreference.priorityを持ちます。

たとえば管理者は、ドメインのスコープでグローバルにポリシーをアタッチし、1以上のリファレンス優先度を指定することによって、ダイレクト・アタッチメントを変更する必要なく、直接アタッチされたポリシーよりも優先させることができます。管理者が特定のダイレクト・アタッチメントを例外にする場合は、そのアタッチメントのリファレンス優先度を指定し、グローバル・ポリシー・アタッチメント以上の優先度に昇格させることができます。reference.priorityについて最大の整数値を持つポリシー・アタッチメントは、それが直接または外部からアタッチされたかどうか、またはそのスコープにかかわりなく、有効なポリシー計算で優先されます。

reference.priorityには、次の値を指定できます。

- 文字列値"true"、"yes"および"on"
これらの文字列値は、整数値1と等価です。その他の文字列値は、整数値0として扱われます。

- 次の範囲の整数値

- MAX_VALUE = 2147483647または(2^31 - 1)

- MIN_VALUE = -2147483648または(-2^31)

詳細は、以下のトピックを参照してください。

- Fusion Middleware Controlを使用したグローバルにアタッチされたポリシーの構成プロパティのオーバーライドおよびWLSTを使用したグローバルにアタッチされたポリシーの構成プロパティのオーバーライド

- ポリシー構成のオーバーライドの概要

- ポリシーの有効セットの計算方法

4.11 Fusion Middleware Controlを使用したエンドポイント構成プロパティの管理

ポリシーをエンドポイントにアタッチしたら、そのエンドポイントの一般構成プロパティを表示および管理できます。エンドポイント構成機能を使用すると、ポリシー・アタッチメントの構成情報をグローバルに設定するかわりに、またはそれに加えて、特定の構成情報を指定し、アタッチメントごとにオーバーライドできます。

注意:

wsconfigカテゴリのポリシーの場合、「Webサービス・エンドポイント」ページの「構成」リンクによって提供される機能は、直接アタッチされたポリシーの「WSMポリシー・サブジェクト構成」ページにある「ポリシー構成のオーバーライド」オプションによって提供される機能と同じです。

これらのエンドポイントの構成プロパティを表示および管理するには:

1. 『Webサービスの管理』のアプリケーションの「Webサービスのサマリー」ページの表示に関する項の説明に従って、Webサービスのホームページに移動します。

2. 「Webサービス・エンドポイント」タブからエンドポイントを選択して、エンドポイント情報ページを開きます。

3. ページの上部近くにある「構成」リンクをクリックします。

「Webサービス・エンドポイントの構成」ページが表示されます。このページを起点として以下のことができます。

- エンドポイント、Restfulサービス、WSDL、メタデータ交換、およびWebサービスのエンドポイント・テスト機能の有効化または無効化

- ロギング・レベルの設定

- ペイロード・スキーマ検証を有効化または無効化します。

- アトミック・トランザクション・フロー・サポートの構成

- アトミック・トランザクションのバージョンを指定します。

- 数値を入力して単位を選択することによって、最大のリクエスト・サイズを指定します。

4. これらのプロパティのいずれかを変更した場合は、「適用」をクリックします。

5. 「戻る」をクリックして、「Webサービスのサマリー」ページに戻ります。

4.12 エンドポイントのセキュア・ステータスの決定

グローバル・ポリシー・アタッチメントでは、開発者、アセンブラまたはデプロイヤがアタッチするポリシーを明示的に指定しなくても、すべてのサブジェクトが保護される「デフォルトでセキュア」の方針に準拠する機能を提供しています。つまり、管理者はポリシー・セットを使用することによって、ポリシーが明示的にアタッチされていない場合でも、1つ以上のポリシーが自動的に適用されることを確認できます。

管理者は、WLSTおよびFusion Middleware Controlの両方を使用して、ドメイン内のすべてのサブジェクトが保護されているかどうか、およびエンドポイント構成が有効であるかどうかを判断できます。

次の点に注意してください。

- エンドポイントは、(直接またはグローバルに)アタッチされたポリシーで認証、認可またはメッセージ保護操作が強制される場合にセキュアであると判断されます。無効なポリシーまたはポリシー内の無効なアサーションでは何も強制されません。

- 有効なポリシー計算セットに従って、アタッチされたポリシーの組合せに競合がない場合に、エンドポイントは有効な構成を持ちます。詳細は、「ポリシーの有効セットの計算方法」を参照してください。

「ポリシー・アタッチメントの優先度の指定」の説明に従って、グローバルにまたは直接アタッチされたポリシーの優先度を指定できるので、直接アタッチされたポリシーの「有効」フィールドはエンドポイントに対してそのポリシーが有効であるかどうかを示します。エンドポイントの管理を簡単にするため、直接アタッチされているポリシーは、それが有効化どうかに関係なくすべて出力に表示されます。対照的に、グローバルにアタッチされているポリシーは、そのエンドポイントに対して有効なもののみが表示されます。

Fusion Middleware Controlを使用することにより、構成が有効であるかどうか、「Webサービス・エンドポイント」ページでエンドポイントが保護されているかどうかを確認できます。図4-15に、セキュアなエンドポイントを含む有効な構成を示します。

図4-15 有効でセキュアなエンドポイント構成を含む「Webサービス・エンドポイント」ページ

WLSTを使用することで、listWSMPolicySubjects WLSTコマンドにより、エンドポイントとそのセキュア・ステータスのリストを生成できます。次の例に示すように、detail引数をtrueに設定した場合、こうしたコマンドからの出力には、ドメイン内のすべてのアプリケーションおよびコンポジットに対するエンドポイントおよびポリシーの詳細、エンドポイントのセキュア・ステータス、構成のオーバーライドおよび制約が含まれます(エンドポイントに有効な構成がある場合)。

wls:/jrfServer_domain/serverConfig> listWSMPolicySubjects(detail='true')
Application: /weblogic/base_domain/jaxwsejb30ws  Assembly: WEB#jaxwsejb    Subject: WS-SERVICE({http://www.oracle.com/jaxws/tests/concrete}WsdlConcreteService#WsdlConcretePort)

URI="oracle/mex_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/mtom_encode_fault_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/max_request_size_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
Property name="max.request.size", value="-1"
URI="oracle/request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/soap_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/ws_logging_level_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="logging.level", value=""
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/test_page_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/wsdl_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/wss11_saml_or_username_token_with_message_protection_service_policy", category=security, policy-status=enabled; source=global policy set "domainExternal", scope="Domain("*")"; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"

The web service is secure in this context.

これらのWLSTコマンドの使用の詳細は、『Webサービスの管理』のWLSTを使用したドメインでのWebサービスの表示に関する項を参照してください。

4.13 ポリシーの有効セットの計算方法

OWSMでは、ポリシーに含まれるアサーションのカテゴリに基づいてサブジェクトにアタッチできるポリシーの数が制限されます。

ほとんどの場合、同じアサーション・カテゴリを含む複数のポリシーをアタッチすることは禁止されます。たとえば、認証アサーションを含む2つのポリシーを1つのポリシー・サブジェクトにアタッチすることはできませんが、認証アサーションを含む1つのポリシーと認可アサーションを含む1つのポリシーを同じサブジェクトにアタッチすることはできます。同じアサーション・カテゴリを含む複数のポリシーがサブジェクトにアタッチされており、アサーションが競合する場合、構成は無効であると判断されます。サブジェクトにアタッチできるポリシーの数および組合せの詳細は、「ポリシー・アタッチメントの検証」を参照してください。

OWSMポリシーとWebLogic Webサービス・ポリシーは、同じエンドポイントにはアタッチできません。WebLogicポリシーがアタッチされているJava EEエンドポイントに適用されるポリシー・セットを作成すると、そのエンドポイントで有効なポリシーが計算される際に、OWSMポリシーは無視されます。

ポリシーのアタッチメントを直接および外部(グローバル)の両方でサポートするために、サブジェクトに対して有効なポリシー・セットの決定で、各ポリシー内のアサーションのカテゴリが考慮されます。直接アタッチされたポリシーは、ポート・コンポーネントのスコープでアタッチされることに注意してください。デフォルトでは、指定のカテゴリのアサーションを含むポート・コンポーネントのスコープ(直接アタッチされたポリシーなど)でアタッチされたポリシーがサブジェクトにある場合、次のようにreference.priority構成オーバーライドが設定されていなければ、上位のスコープか同じスコープで外部ポリシー・セットによって参照されている同じカテゴリの競合アサーションを含むポリシーは、サブジェクトに対して有効なポリシー・セットから除外されます。このプロセスは、各サブジェクト・スコープで繰り返されます。狭い/下位のスコープが広い/上位のスコープよりも優先されます。

たとえば、次のリソース・スコープはSOAP Webサービス・ポリシー・サブジェクトに対して有効で、後になるほど優先度が高くなります。

- ドメイン

- アプリケーション

- アプリケーション・モジュールまたは接続

- RESTfulアプリケーション、サービスまたはWebサービス・エンドポイント

- ポート

つまり、ポート・スコープ(より狭いスコープ)でのポリシー・アタッチメントは、ドメイン・スコープ(より広いスコープ)でのアタッチメントよりも優先されます。この例で言えば、モジュール・スコープでアタッチされたかまたは(ポート・スコープで)直接アタッチされたポリシーと同じカテゴリの競合アサーションがアプリケーション・スコープでのポリシー・アタッチメントに含まれる場合、そのポリシー・アタッチメントはサブジェクトに対して有効なポリシー・セットから除外されます。

各ポリシー・サブジェクトで有効なリソース・スコープは、優先度の昇順で、『Oracle Web Services Managerの理解』のポリシー・サブジェクトの概要に関する項で説明されています。リソース・スコープの詳細は、「グローバルにアタッチされたポリシーのリソースのタイプとスコープの定義について」を参照してください。

管理者は、reference.priority構成オーバーライドを使用することによって、スコープによって決定されたデフォルトの優先度をオーバーライドし、使用されるポリシー・アタッチメントのプリファレンスを指定できます。最も高い優先度を持つポリシー・アタッチメントがそのスコープにかかわらず優先されます。

reference.priorityオーバーライドを使用する場合は、次のルールが適用されます。

- 最も高い優先度(最高の整数値)を持つポリシー・アタッチメントがスコープにかかわらず優先されます。

- アタッチメントに同じカテゴリの競合アサーションが含まれており、同じ優先度が指定されている場合は、より固有のスコープが優先されます。

- アタッチメントに同じカテゴリ、優先度およびスコープの競合アサーションが含まれる場合、構成は無効です。

ポリシー・セットに実行時制約が適用される場合、次のルールが該当します。

- それぞれの一意の制約により、独立したポリシー・セットが作成されます。有効なポリシー計算は、同じ制約を含むポリシー・セット上でのみ実行されます。

- ポリシー・セットで制約が指定されていない場合(デフォルト)、このポリシー・セット内のポリシー参照は別個の各制約からのポリシー・セットとマージされます。次に、各制約について有効なポリシー・セットを決定するために、各ポリシー・セット上で有効なポリシー計算が実行されます。

実行時制約の詳細は、「ポリシー・セットの実行時制約」を参照してください。

ポリシー計算の有効セットでは、各ポリシー・アタッチメントのステータスが考慮されます。ポリシー、ポリシー・セット内のポリシー参照またはポリシー・セットが無効である場合、サブジェクトに対する有効なポリシー・セットから削除されます。

no reference.priorityオーバーライドを指定した場合、グローバルにアタッチされたポリシーは、下位のスコープ(たとえば、直接アタッチメントによるポートのスコープ)で同じカテゴリのアサーションを含むポリシーをアタッチすることによりオーバーライドできます。この特別な例として、特定のサブジェクトに対して、どのような動作も強制しない同じカテゴリのアサーションを含むポリシーをアタッチすることにより、グローバルにアタッチされたポリシーを実質的に無効にできます。どのような動作も強制しないポリシーの詳細は、「動作無効ポリシー」を参照してください。

次の例では、有効なポリシー計算の結果を示しています。

- ダイレクト・アタッチメント:oracle/wss_username_token_service_policy
外部アタッチメント:oracle/wss_saml_or_username_token_service_policy @ Domain('*')

結果: 下位スコープによるダイレクト・アタッチメント: oracle/wss_username_token_service_policy

- ダイレクト・アタッチメント:oracle/wss_username_token_service_policy
外部アタッチメント: oracle/wss_saml_or_username_token_service_policy @ Domain('*')、reference.priority=1

結果: 高優先度による外部アタッチメント: oracle/wss_saml_or_username_token_service_policy @ Domain('*')

- 外部アタッチメント:oracle/wss_username_token_service_policy @ Application('*')
外部アタッチメント:oracle/wss_saml_or_username_token_service_policy @ Domain('*')

結果: 下位スコープによる外部アタッチメント: oracle/wss_username_token_service_policy @ Application('*')

- 外部アタッチメント:oracle/wss_username_token_service_policy @ Application('*')
外部アタッチメント:oracle/wss10_message_protection_service_policy @ Domain('*')

結果: アサーション・カテゴリが競合しないために、両アタッチメントが有効: oracle/wss_username_token_service_policy @ Application('*') and oracle/wss10_message_protection_service_policy @ Domain('*')

- 外部アタッチメント:oracle/wss_username_token_service_policy @ Domain('*')
外部アタッチメント:oracle/wss_saml_or_username_token_service_policy @ Domain('*')

結果: 無効。同じスコープで指定された競合アサーション・カテゴリを含むポリシー。

- ダイレクト・アタッチメント:oracle/wss11_saml_token_with_message_protection_service_policy
外部アタッチメント:oracle/wss11_username_token_with_message_protection_service_policy @ Port('TestPort')

結果: 直接のアタッチメント。競合するアサーション・カテゴリのポリシーが同じスコープで指定されると、直接アタッチされたポリシーがポリシー・セット内の外部ポリシー・アタッチメントよりも優先されます。

- ダイレクト・アタッチメント:oracle/wss11_saml_token_with_message_protection_service_policy
外部アタッチメント: oracle/wss11_username_token_with_message_protection_service_policy @ Port('TestPort')、reference.priority="true"

結果: 高優先度のスコープによる外部アタッチメント: oracle/wss11_username_token_with_message_protection_service_policy @ Port('TestPort')

注意:

グローバル・ポリシー・アタッチメントが有効になるまでにかかる時間は、OWSMポリシー・アクセッサのキャッシュ管理設定によって決定されます。デフォルトでは、この遅延は最大で11分です。この遅延量を削減するために、次のキャッシュ・プロパティ設定をチューニングできます。

- ポリシー・アクセッサ
「初期キャッシュ・リフレッシュ」、デフォルトは600000ミリ秒(10分)

「キャッシュ・リフレッシュ時間」、デフォルトは600000ミリ秒(10分)

これらのプロパティのチューニングの詳細は、Fusion Middleware Controlを使用した高可用性の構成およびキャッシュの管理を参照してください。

4.14 ポリシー・アタッチメントのソースの決定

WLSTコマンドを使用して、ポリシー・アタッチメントのソースを決定します。

直接アタッチされたポリシーのソースを決定するには、detail引数をtrueに設定して次のWLSTコマンドの中の1つを使用します。

- listWebServices(detail=true)。『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のlistWebServices()に関する項を参照してください。

- listWebServiceClients(detail=true)。『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のlistWebServiceClients()に関する項を参照してください。

- listWSMPolicySubject(detail=true)。『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のlistWSMPolicySubjectsに関する項を参照してください。

detail=true引数を指定すると、出力には、直接アタッチメントのソースを識別するlocal.policy.reference.sourceプロパティを含めた、サービスまたはクライアントあるいはその両方のポリシーの詳細が含まれます。

グローバルにアタッチされたポリシーとこの情報を合せて使用することにより、サービスまたはクライアントの有効なポリシーのソースを判断できます。

local.policy.reference.sourceの有効な値は、表4-3の定義を参照してください。

表4-3 local.policy.reference.source構成プロパティの有効な値

ソース

説明

ANNOTATION

Webサービス・エンドポイントで指定されたポリシー注釈。Oracle Web Servicesのセキュリティおよびポリシー注釈を参照してください。

IMPLIED_FEATURE

Webサービスまたはクライアント・エンドポイントで暗黙的にアタッチされたポリシー参照。

注意: この値はOracle Infrastructure Webサービスのみに適用されます。

明示的にアタッチされていない場合、次のポリシーが必要に応じて暗黙的にエンドポイントにアタッチされます。

- ユーザーによって明示的にアタッチされたのではなく、デフォルトでエンドポイントにアタッチされた構成ポリシー。構成ポリシーとデフォルト値の詳細は、「構成ポリシー」を参照してください。

- 「信頼できるメッセージング・ポリシー」で説明されているように信頼できるメッセージングが有効な場合、またはWSDLでアドレス指定が必須と通知されている場合はアドレス・ポリシー(oracle/wsaddr_policy)。

- WSDLで通知されている場合、Fast Infosetポリシー(oracle/fastinfoset_service_policy)

- MTOMがデプロイメント・ディスクリプタによってサポートされている場合、MTOMポリシー(oracle/wsmtom_policy)。

LEGACY_CONFIG

oracle-webservices.xmlデプロイメント・ディスクリプタで定義されたレガシー構成(非推奨)。

LEGACY_POLICYREFERENCE_PDD

oracle-webservices.xmlデプロイメント・ディスクリプタで定義されたレガシー・ポリシー・アタッチメント(非推奨)。

LOCAL_ATTACHMENT

次のいずれかの方法を使用したポリシー・アタッチメント:

- Fusion Middleware Control (「Fusion Middleware Controlを使用したWebサービスおよびクライアントへのポリシーのアタッチ」を参照)

- WLST (「WLSTを使用したWebサービスおよびクライアントへのポリシーのアタッチについて」を参照)

PROGRAMMATIC

プログラムによるポリシー・アタッチメント(「設計時におけるWebサービスおよびクライアントへのポリシーのアタッチの理解」を参照)

次に、listWebServices(detail=true) WLSTコマンドの出力例を示します。直接アタッチされたポリシーごとに、アタッチメントのソースを識別するlocal.policy.reference.source構成プロパティが提供されています(太字表示)。

wls:/base_domain/serverConfig> listWebServices(detail='true')

/base_domain/AdminServer/jaxwsejb30ws :
moduleName=jaxwsejb, moduleType=web, serviceName=CalculatorService
CalculatorPort  http://host.example.com:1234/jaxwsejb/Calculator
URI="oracle/wss10_saml20_token_with_message_protection_service_policy",
category=security, policy-status=enabled; source=global policy set "
MyPolicySet1", scope="DOMAIN('*')"; reference-status=enabled; effective=true
Property name="reference.priority", value="10"
URI="oracle/mex_request_processing_service_policy",
category=wsconfig, policy-status=enabled; source=local policy set;
reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/mtom_encode_fault_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/max_request_size_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
Property name="max.request.size", value="-1"
URI="oracle/request_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/soap_request_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/ws_logging_level_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="logging.level", value=""
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/test_page_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/wsdl_request_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/http_saml20_token_bearer_service_policy", category=security,
policy-status=enabled; source=local policy set; reference-status=enabled;  reference-status=enabled; effective=false
Property name="local.policy.reference.source", value="LOCAL ATTACHMENT"

The policy subject is secure in this context.

5 ポリシー構成プロパティのオーバーライド

このトピックでは、ポリシー構成のオーバーライド機能について説明します。この機能を使用すると、ポリシー・アタッチメントのWebサービス構成情報をグローバルに設定するかわりに、またはそれに加えて、ポリシー内の特定のWebサービスの構成情報を指定し、アタッチメントごとにオーバーライドできます。構成情報のターゲット指定により、管理する個別ポリシーの数を制限できます。

次のトピックが含まれています:

- ポリシー構成のオーバーライドの概要

- 事前定義済構成プロパティのスコープ

- 設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて

- Fusion Middleware Controlを使用したポリシー構成プロパティのオーバーライドについて

- WLSTを使用したポリシー構成プロパティのオーバーライドについて

- Fusion Middleware Controlを使用したWebサービスおよびクライアントのポリシーのユーザー定義プロパティの構成について

5.1 ポリシー構成のオーバーライドの概要

事前定義済またはカスタムのWebサービス・ポリシー内のサーバー側構成プロパティの値は、Webサービスにポリシーをアタッチするたびに使用できます。また、アタッチメントごとにオーバーライドできます。Webサービス・クライアントでは、クライアントごとに構成をオーバーライドできます。オーバーライドの用途の1つに、維持するポリシー数の制限があります。構成がほとんど変わらない複数のポリシーを作成するのではなく、同じ一般ポリシーを使用し、要件に一致するように特定の値をオーバーライドできます。

注意:

指定されている場合を除き、この章の手順はOracle Infrastructure WebサービスおよびRESTful Webサービスのみに適用されます。

オーバーライドできる構成プロパティには、次の2つのタイプがあります。

- 事前定義済ポリシー構成プロパティ: 事前定義済サービス・ポリシーに含まれる構成プロパティにより、たとえば署名キー・パスワードを格納するために使用されるCSFキーなど、特定のドメイン単位の構成設定をオーバーライドできます。事前定義済クライアント・ポリシーでは、構成プロパティをクライアントごとにオーバーライドするか、ポリシー・アタッチメントをグローバルに設定できます。
事前定義済ポリシーでオーバーライド可能な構成プロパティは、ポリシーに含まれるアサーション・テンプレートから継承されます。各ポリシーに関連付けられている構成プロパティを判別するには、Oracle Web Services Managerの事前定義済ポリシーを参照してください。オーバーライド可能なプロパティのアルファベット順のリストについては、"Oracle Web Servicesのアサーション・テンプレートの構成プロパティを参照してください。定数タイプのプロパティはオーバーライドできないことに注意が必要です。

- ユーザー定義ポリシー構成プロパティ: ユーザー定義のプロパティでは、使用環境で意味を持つプロパティを追加できます。ユーザー定義のプロパティを、クローンの事前定義済ポリシーまたはカスタム・ポリシーに追加できます。ユーザー定義ポリシー構成プロパティの作成および構成の詳細は、「Fusion Middleware Controlを使用したWebサービスおよびクライアントのポリシーのユーザー定義プロパティの構成について」を参照してください。

注意:

事前定義済ポリシーは読取り専用であり、編集できません。ただし、ベースとして事前定義済ポリシーを使用して新しいポリシーを作成できます。新しいポリシーの作成の詳細は、「Webサービス・ポリシーの作成および編集」を参照してください。新しいポリシーを作成した後は、必要に応じてポリシーを編集し、構成プロパティを設定できます。

OWSM 12c事前定義済ポリシーのアタッチ時に「値」フィールドに空白の値(" ")を指定した場合、デフォルトの値が適用されます。11gポリシーまたは任意のカスタム・ポリシーをインポート済の場合、そのポリシーの「デフォルト」フィールドに同じ効果をもたらす有効な値が設定されていることを確認してください。それ以外の場合は、指定した値が取得されます。

5.2 事前定義済構成プロパティのスコープ

サーバー側の構成プロパティ値のスコープは、指定されたポリシー・アタッチメントに限定されます。つまり、サーバー側の構成プロパティの名前が同じ(たとえばP1) 2つのポリシーを、同じWebサービス・エンドポイントに添付し、その2つのP1プロパティに異なる値を指定することができます。

クライアント側の構成プロパティ値のスコープは、そのクライアントです。同一クライアントにアタッチされる複数のポリシーが同じプロパティを使用できます。たとえば、oracle/wss_http_token_client_policyポリシーには、csf-keyプロパティがあり、デフォルト値はbasic.credentialsです。この値は、ユーザー名/パスワードにマッピングされているキーを表しています。任意の数のWebサービス・クライアントにこのポリシーをアタッチするときに、いつも同じキーの値を使用することになる可能性があります。この場合、oracle/wss_http_token_client_policyのクローンを作成し、そのクローンの構成プロパティの値を設定できます。新しい値はすべてのインスタンスに適用できます。また、ポリシーのアタッチ時に、必要に応じて構成プロパティをクライアントごとにオーバーライドできます。

注意:

オーバーライドした構成プロパティを消去するには、空の文字列を設定します。クリアする前に、他のポリシーで同じプロパティを使用している可能性がないかを確認します。プロパティはクライアント固有ですが、同じプロパティを使用する同一クライアントに複数のポリシーがアタッチされている場合があります。

クライアント側のセキュリティ・ポリシーを解除する場合、クライアント構成オーバーライドはポート・レベルで適用されるため、手動ですべての構成オーバーライドを削除する必要があります。そうしない場合オーバーライドは、このポートへのすべての将来のポリシー・アタッチメント(グローバルと直接の両方)に対して有効であり続けます。

5.3 設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて

設計時に、OWSMセキュリティ・ポリシーのクライアント・ポリシー構成プロパティをプログラムによってオーバーライドできます。

注意:

この項の手順は、Java EE、RESTfulおよびOracle Infrastructure Webサービスに適用されます。

クライアントのポリシー構成をオーバーライドするには、次の方法を使用します。

- Java EE Webサービス

- RESTful Webサービス

- Oracle Infrastructure Web Servicesの理解

5.3.1 Java EE Webサービス

クライアントのポリシー構成は、Java EE Webサービスを使用してオーバーライドできます。

- xREFTBDに示されているJAX-WS RequestContext。

- 「注釈を使用したJava EE Webサービスおよびクライアントへのポリシーのアタッチ」で説明する、Java EE WebサービスおよびクライアントにOWSMセキュリティ・ポリシーをアタッチする際のweblogic.wsee.jws.jaxws.owsm.Property注釈。

- 『Oracle JDeveloperによるアプリケーションの開発』のポリシーのアタッチに関する項で説明する、JDeveloperの使用。

5.3.2 RESTful Webサービス

設計時に、OWSMセキュリティ・ポリシーのクライアント・ポリシー構成プロパティをRESTful Webサービスのメソッドを使用してオーバーライドできます。

- 「注釈を使用したRESTful Webサービスへのポリシーのアタッチ」で説明する、RESTful WebサービスにOWSMセキュリティ・ポリシーをアタッチする際のoracle.wsm.metadata.annotation.Property注釈。

- 「機能クラスを使用したRESTful Webサービス・クライアントへのポリシーのアタッチ」で説明する、RESTful Webサービス・クライアントにOWSMセキュリティ・ポリシーをアタッチする際のoracle.wsm.metadata.feature.PropertyFeature注釈。例5-*も参照してください。

- 『Oracle JDeveloperによるアプリケーションの開発』のポリシーのアタッチに関する項で説明する、JDeveloperの使用。

5.3.3 Oracle Infrastructure Web Servicesの理解

OWSMセキュリティ・ポリシーは、注釈またはJDeveloperを使用してOracle Infrastructure Webサービスにアタッチできます。

- 「注釈を使用したOracle Infrastructure Webサービスへのポリシーのアタッチ」で説明する、Oracle Infrastructure WebサービスにOWSMセキュリティ・ポリシーをアタッチする際のoracle.wsm.metadata.annotation.Property注釈

- 「機能クラスを使用したOracle Infrastructure Webサービス・クライアントへのポリシーのアタッチ」で説明する、Oracle Infrastructure Webサービス・クライアントにOWSMセキュリティ・ポリシーをアタッチする際のoracle.wsm.metadata.feature.PropertyFeature注釈

- 『Oracle JDeveloperによるアプリケーションの開発』のポリシーのアタッチに関する項で説明する、JDeveloperの使用。

クライアント・ポリシー構成プロパティを消去するには、空の文字列を設定します。クリアの前に、同じプロパティを使用している可能性のある他のポリシーを確認してください。Webサービス・クライアントの場合、構成プロパティはクライアント固有ですが、同じプロパティを使用する同一クライアントに複数のポリシーがアタッチされている場合があります。

詳細は、次の項を参照してください。

- 設計時にオーバーライド可能なクライアント・ポリシー構成プロパティ

- RequestContextを使用してクライアント・ポリシー構成プロパティのキーストア、ユーザー名およびパスワードをオーバーライドする例

- RESTful Webサービスのクライアント・ポリシー構成プロパティのユーザー名およびパスワードをオーバーライドする例

5.3.3.1 設計時にオーバーライド可能なクライアント・ポリシー構成プロパティ

設計時にクライアント・ポリシー構成プロパティをオーバーライドできます。

表5-1に、プログラムによってオーバーライドできるクライアント側の構成プロパティと、各プロパティが適用されるポリシーをリストします。

注意:

JSEクライアントでは、CSFキーにアクセスできるようOPSSにjps-config-jse.xmlを構成する必要があります。jps-config-jse.xmlファイルの構成の詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』のJava SEアプリケーションでのOPSSの使用に関する項を参照してください。

表5-1 設計時にオーバーライド可能なクライアント・ポリシー構成プロパティ

プロパティ

説明

BindingProvider.USERNAME_PROPERTY(javax.xml.ws.security.auth.username)

認証のユーザー名

BindingProvider.PASSWORD_PROPERTY(javax.xml.ws.security.auth.password)

認証のパスワード。

oracle.wsm.security.util.SecurityConstants.ClientConstants.ATTESTING_MAPPING_ATTRIBUTE

アテスト・エンティティの表現で使用されるマッピング属性。現在サポートされているのはDNのみです。この属性は、送信者保証メッセージ保護ユースケースにのみ適用されます。SAML over SSLポリシーには適用されません。

oracle.wsm.security.util.SecurityConstants.ClientConstants.CALLER_PRINCIPAL_NAME

ktpassコマンドを使用して生成されたクライアントのプリンシパル名で、Kerberosトークンの生成先のユーザー名にマップされます。<username>@<REALM NAME>の形式を使用します。

注意: keytab.locationとcaller.principal.nameは、Java EEアプリケーションのクライアント・アイデンティティの伝播で必要です。

oracle.wsm.security.util.SecurityConstants.ClientConstants.ON_BEHALF_OF

リクエストが別のエンティティの代理かどうかを指定するフラグ。true(デフォルト)に設定され、sts.auth.on.behalf.of.csf.keyが構成されている場合、これが優先されて、CSFキーを使用して確立されたアイデンティティがonBehalfOfトークンとして送信されます。

それ以外の場合、サブジェクトがすでに確立されていれば、サブジェクトのユーザー名がonBehalfOfトークンとして送信されます。

sts.auth.on.behalf.of.csf.keyが設定されておらず、サブジェクトも存在しない場合、on.behalf.ofは、他のエンティティではなくリクエスタのトークン交換として処理されます。リクエスト内のonBehalfOf要素には含まれません。

oracle.wsm.security.util.SecurityConstants.ClientConstants.SAML_AUDIENCE_URI

カンマ区切りのURIで表されたリライイング・パーティ。このプロパティではワイルドカードを使用できます。詳細は、「saml.audience.uri」を参照してください。

oracle.wsm.security.util.SecurityConstants.ClientConstants.STS_KEYSTORE_RECIPIENT_ALIAS

STSの公開鍵の別名。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_INCLUDE_USER_ROLES

SAMLアサーションのユーザー・ロール。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_ISSUED_TOKEN_LIFETIME

セキュリティ・トークン・サービス(STS)から発行済トークンを取得するときにOWSMがトークンの存続時間としてリクエストする時間(ミリ秒)。詳細は、issued.token.lifetimeを参照してください。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_PASSWORD_PROPERTY

RESTful Webサービス・クライアントのパスワード。

注意: このプロパティは、RESTful Webサービス・クライアントのみで有効です。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_SAML_ASSERTION_FILE_NAME

SAML HOKポリシーのアサーションを格納するファイル。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_STS_AUTH_ON_BEHALF_OF_CSF_KEY

代理エンティティ。存在する場合、サブジェクト(存在する場合)より優先されます。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_STS_AUTH_USER_CSF_KEY

STSに対する認証用のユーザー名/パスワード。

STS構成ポリシー内のpolicy-reference-uriがユーザー名ベースのポリシーを指している場合は、sts.auth.user.csf.keyプロパティを構成して、STSに対する認証用のユーザー名/パスワードを指定します。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_STS_AUTH_X509_CSF_KEY

STSに対する認証用のX509証明書。

STS構成ポリシー内のpolicy-reference-uriがx509ベースのポリシーを指している場合は、sts.auth.x509.csf.keyプロパティを構成して、STSに対する認証用のX509証明書を指定します。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_SUBJECT_PRECEDENCE

OWSMサブジェクトを使用するどうかを指定するフラグ。クライアント指定のユーザー名を使用するには、falseに設定します。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_USERNAME_PROPERTY

RESTful Webサービス・クライアントのユーザー名。

注意: このプロパティは、RESTful Webサービス・クライアントのみで有効です。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_CSF_KEY

クライアントで資格証明ストアが使用可能な場合に、資格証明ストアで指定されたcsf-keyに対応するユーザー名とパスワード。

または、ユーザー名とパスワードを明示的に設定できます。この後の例を参照してください。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_ENC_KEY_ALIAS

サービスからのレスポンスの復号化に使用されるキーストア内のキーの別名。このプロパティは、静的に構成された値をオーバーライドします。

このプロパティはWSS11ポリシーでは使用されません。

タイプ: java.lang.String

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_ENC_KEY_PASSWORD

復号化に使用されるキーストア内のキーのパスワード。このプロパティは、静的に構成された値をオーバーライドします。

このプロパティはWSS11ポリシーでは使用されません。

タイプ: java.lang.String

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_KERBEROS_SERVICE_PRINCIPAL

Kerberosメカニズムを使用して保護されているサービスにアクセスしようとする場合に使用するサービス・プリンシパル。このプロパティは、静的構成値をオーバーライドします。

タイプ: java.lang.String

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_KEYSTORE_LOCATION

キーストア・ファイルの場所。KSSの場合、KSS URIです。このプロパティは、静的に構成された値をオーバーライドします。

タイプ: java.lang.String

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_KEYSTORE_PASSWORD

キーストア・ファイルのパスワード。このプロパティは、静的に構成された値をオーバーライドします。

タイプ: java.lang.String

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_KEYSTORE_TYPE

キーストア・ファイルのタイプ。このプロパティは、静的に構成された値をオーバーライドします。有効な値はJKSおよびKSS(デフォルト)です。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_RECIPIENT_KEY_ALIAS

アウトバウンド・メッセージ・タイプの暗号化に使用される受信者の公開鍵の別名です。このプロパティは、静的構成値をオーバーライドします。

タイプ: java.lang.String

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_SAML_ISSUER_NAME

SAMLメカニズムを使用して保護されているサービスにアクセスしようとする場合に使用するSAML発行者名。このプロパティは、静的構成値をオーバーライドします。

タイプ: java.lang.String

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_SIG_KEY_ALIAS

デジタル署名に使用されるキーストア内のキーの別名。このプロパティは、静的に構成された値をオーバーライドします。

WSS11ポリシーの場合、このプロパティは相互認証にのみ使用されます。

タイプ: java.lang.String

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_SIG_KEY_PASSWORD

デジタル署名に使用されるキーストア内のキーの別名のパスワード。このプロパティは、静的に構成された値をオーバーライドします。

WSS11ポリシーの場合、このプロパティは相互認証にのみ使用されます。

タイプ: java.lang.String

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_WSDL_URI

STS WSDLのエンドポイントURIで、STS情報の取得およびトークン交換用のSTSの呼出しに使用されます。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_PORT_URI

STSポートの実際のエンドポイントURI。たとえば、http://host:port/context-root/service1と指定します。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_PORT_ENDPOINT

STS Webサービスのエンドポイント。WSDL 2.0 STSの場合、target-namespace#wsdl.endpoint(service-name/port-name)という形式で指定します。

oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_POLICY_REFERENCE_URI

クライアントがSTSと通信する際に使用するクライアント・ポリシーURI。WSDLでの識別に従い、選択するポリシーはSTSの認証要件に応じて異なります。

5.3.3.2 RequestContextを使用してクライアント・ポリシー構成プロパティのキーストア、ユーザー名およびパスワードをオーバーライドする例

RequestContextコマンドは、クライアント・ポリシー構成プロパティのキーストア、ユーザー名およびパスワードをオーバーライドします。

package example;
import oracle.wsm.security.utils.SecurityConstants;
...
public class MyClientJaxWs {
public static void main(String[] args) {
try {
URL serviceWsdl = new URL("http://localhost/myApp/myPort?WSDL");
QName serviceName = new QName("MyNamespace", "MyService");
Service service = Service.create(serviceWsdl, serviceName);
MyInterface proxy = service.getPort(MyInterface.class);
RequestContext context = (
(BindingProvider)proxy).getRequestContext();
context.put(oracle.webservices.ClientConstants.CLIENT_CONFIG,
new File( "c:/dat/client-pdd.xml" ) );
context.put(BindingProvider.USERNAME_PROPERTY,
getCurrentUsername() );
context.put(BindingProvider.PASSWORD_PROPERTY,
getCurrentPassword() );
context.put(SecurityConstants.ClientConstants.WSS_KEYSTORE_LOCATION,
"c:/mykeystore.jks");
context.put(SecurityConstants.ClientConstants.WSS_KEYSTORE_PASSWORD,
"keystorepassword" );
context.put(SecurityConstants.ClientConstants.WSS_KEYSTORE_TYPE,
"JKS" );
context.put(SecurityConstants.ClientConstants.WSS_SIG_KEY_ALIAS,
"your signature alias" );
context.put(SecurityConstants.ClientConstants.WSS_SIG_KEY_PASSWORD,
"your signature password" );
context.put(SecurityConstants.ClientConstants.WSS_ENC_KEY_ALIAS,
"your encryption alias" );
context.put(SecurityConstants.ClientConstants.WSS_ENC_KEY_PASSWORD,
"your encryption password" );
System.out.println(proxy.myOperation("MyInput"));
} catch (Exception e) {
e.printStackTrace();
}
}
}

WIP

次の例は、前述の例で参照されているc:/dat/client-pdd.xmlを示しています。

! -- The contents of c:/dat/client-pdd.xml file mentioned above -- >
<oracle-webservice-clients>
<webservice-client>
<port-info>
<policy-references>
<policy-reference uri="management/Log_Msg_Policy" category="management"/>
<policy-reference uri="oracle/wss10_username_token_with_message_protection_client_policy" category="security"/>
</policy-references>
</port-info>
</webservice-client>
</oracle-webservice-clients>

5.3.3.3 RESTful Webサービスのクライアント・ポリシー構成プロパティのユーザー名およびパスワードをオーバーライドする例

次の例に、RESTful Webサービス・クライアント・ポリシー構成プロパティのユーザー名およびパスワードをオーバーライドする方法の例を示します。

package example;
import oracle.wsm.security.utils.SecurityConstants;
import com.sun.jersey.api.client.config.ClientConfig;
import com.sun.jersey.api.client.config.DefaultClientConfig;
import oracle.wsm.metadata.feature.PolicyReferenceFeature;
import oracle.wsm.metadata.feature.AbstractPolicyFeature;
import oracle.wsm.metadata.feature.PolicySetFeature;
import oracle.wsm.metadata.feature.PropertyFeature;
...
public class MyRESTfulClient {
public static void main(String[] args) {
...
PropertyFeature uname = new
PropertyFeature(SecurityConstants.ClientConstants.WSM_USERNAME_PROPERTY,"yourusername");
PropertyFeature pwd = new
PropertyFeature(SecurityConstants.ClientConstants.WSM_PASSWORD_PROPERTY,"yourpassword");
PropertyFeature[] propFeatures = new PropertyFeature[] { uname, pwd };
PolicyReferenceFeature clientPRF = new
PolicyReferenceFeature("oracle/wss_http_token_client_policy");
ClientConfig cc = new DefaultClientConfig();
Map<String, Object> properties = cc.getProperties();
properties.put(AbstractPolicyFeature.ABSTRACT_POLICY_FEATURE,new
PolicySetFeature(clientPRF, propFeatures));
...
}
}

5.4 Fusion Middleware Controlを使用したポリシー構成プロパティのオーバーライドについて

Webサービス構成はドメイン・レベル、Webサービス・アプリケーション・ポート・レベル(直接アタッチ)およびクライアント・アプリケーション・レベルでオーバーライドできます。

トピック:

- ドメイン・レベルでの構成プロパティのオーバーライド(デフォルト値の定義)

- Fusion Middleware Controlを使用した直接アタッチされたサービス・ポリシーの構成プロパティのオーバーライド

- Fusion Middleware Controlを使用したWebサービス・クライアント・アプリケーション・レベルでの構成プロパティのオーバーライド

- Fusion Middleware Controlを使用したグローバルにアタッチされたポリシーの構成プロパティのオーバーライド

5.4.1 ドメイン・レベルでの構成プロパティのオーバーライド(デフォルト値の定義)

ドメイン・レベルで構成プロパティをオーバーライドするために、ポリシー内の構成オーバーライド・プロパティのデフォルト値を変更できます。Webサービスまたはクライアントにポリシーをアタッチするときに、ポリシーがアタッチされている任意のWebサービスでそれらの値を使用したり、その値をオーバーライドしたりできます。

たとえば、キーストア構成および認可設定にドメイン・レベルでの構成オーバライドを使用できます。

- 事前定義済OWSMメッセージ保護ポリシーは、keystore.sig.csf.keyやkeystore.enc.csf.keyなどのサーバー側のオーバーライド・プロパティのセットを定義します。デフォルトでは、これらのプロパティ値は空白です。「メッセージ保護に関するキーストアの構成の概要」で説明するように、サーバー側の構成プロパティの一部を設定(またはオーバーライド)すると、メッセージ保護に関するキーストアの設定の一部として構成されたキーストア・パスワードのかわりに、アタッチされたWebサービスで新しい値が使用されます。
これらのプロパティを設定せずにデフォルト値のままにすると、「メッセージ保護に関するキーストアの構成の概要」で説明するように、メッセージ保護に関するキーストアの設定の一部として構成された値が使用されます。

- 事前定義済oracle/binding_permission_authorization_policyは、サーバー側のオーバーライド・プロパティのセット、actionおよびresourceを定義します。これらのプロパティを設定(またはオーバーライド)すると、「認可権限の決定」で説明するように、構成されたアクションとリソースの一致パターンのかわりにアタッチされたWebサービスで新しい値が使用されます。

注意:

事前定義済ポリシーは読取り専用であり、編集できません。ただし、ベースとして事前定義済ポリシーを使用して新しいポリシーを作成できます。新しいポリシーの作成の詳細は、「Webサービス・ポリシーの作成および編集」を参照してください。新しいポリシーを作成した後は、必要に応じてポリシーを編集し、構成プロパティを設定できます。

ポリシーの構成プロパティの値を設定するには、次の手順を実行します。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「Webサービス・ポリシー」ページに移動します。

2. 「WSMポリシー」ページから、デフォルト値を設定するクローンのポリシーを選択し、「開く」をクリックします。

3. 「アサーション」タブを選択し、「構成」をクリックします。

4. 「構成」ページで、プロパティの「値」フィールドに目的の値を入力します。

5. 「OK」をクリックします。

6. 「検証」をクリックして、ポリシーを検証します。

7. 「保存」をクリックします。

5.4.2 Fusion Middleware Controlを使用した直接アタッチされたサービス・ポリシーの構成プロパティのオーバーライド

直接アタッチされたポリシーの構成プロパティをオーバーライドするには、アプリケーションのエンドポイントにポリシーをアタッチし、アタッチされたポリシーの目的のプロパティの値をオーバーライドします。ポリシーを変更しているのではないので、事前定義済ポリシーのクローンを作成してアプリケーション・レベルでポリシー・オーバーライドを構成する必要はありません。

Fusion Middleware Controlを使用して直接アタッチされたポリシーの構成プロパティをオーバーライドするには、次の手順を実行します。

1. 「Fusion Middleware Controlを使用したポリシーを直接アタッチする」の説明に従って、エンドポイントにポリシーをアタッチします。

2. 「直接アタッチされたポリシー」表で上書きするプロパティを含むポリシーを選択し、「ポリシー構成のオーバーライド」をクリックします。

3. 「ポリシー構成のオーバーライド」を選択します。

図5-1に示すように、「セキュリティ構成の詳細」ウィンドウが表示されます。この図は、oracle/wss10_message_protection_service_policyのオーバーライド可能なプロパティを示します。

図5-1 ポリシー構成プロパティのオーバーライド

4. プロパティの「値」フィールドにオーバーライド値を入力し、「適用」をクリックします。

プロパティはアタッチメント単位でオーバーライドされます。

たとえば、oracle/wss10_message_protection_service_policyのkeystore.sig.csf.keyプロパティの値を変更しておらず、まだ空白のままであると仮定します。WebサービスAにoracle/wss10_message_protection_service_policyをアタッチし、keystore.sig.csf.keyプロパティに「sigkey」をオーバーライドした場合、keystore.sig.csf.keyプロパティが値「sigkey」を持つのは、WebサービスAにアタッチされたoracle/wss10_message_protection_service_policyのみです。

他のすべてのポリシーでは、「メッセージ保護に関するキーストアの構成の概要」で説明するように、keystore.sig.csf.keyは、メッセージ保護に関するキーストアの設定の一部として構成された値を使用します。

5.4.3 Fusion Middleware Controlを使用したWebサービス・クライアント・アプリケーション・レベルでの構成プロパティのオーバーライド

Java EEおよびOracle Infrastructure Webサービスの構成プロパティは、Webサービス・クライアントのアプリケーション・レベルでオーバーライドできます。

注意:

この項の手順は、Java EEおよびOracle Infrastructure Webサービス・クライアントにのみ適用されます。

Fusion Middleware Controlを使用してクライアント構成プロパティをオーバーライドするには、次の手順を実行します。

1. 「Fusion Middleware Controlを使用したWebサービス・クライアントへのポリシーを直接アタッチする」の説明に従って、Webサービス・クライアントにポリシーをアタッチします。

2. クライアント・エンドポイントのページにある「直接アタッチされたポリシー」表でポリシーを選択し、「ポリシー構成のオーバーライド」をクリックします。

3. プロパティの「値」フィールドにオーバーライド値を入力し、「適用」をクリックします。

プロパティはアタッチメント単位でオーバーライドされます。

5.4.4 Fusion Middleware Controlを使用したグローバルにアタッチされたポリシーの構成プロパティのオーバーライド

ポリシー・セットで参照されたポリシーにオーバーライド可能プロパティが含まれる場合、Fusion Middleware Controlを使用して、該当ポリシー・セットのプロパティの既存値をオーバーライドできます。グローバル・ポリシー・アタッチメントはアプリケーション・レベルやドメイン・レベルなど、ダイレクト・ポリシー・アタッチメントより上位レベルへのスコープ設定が可能なため、ポリシー・セットで構成された構成オーバーライドも、より高いスコープに適用されます。

注意:

この項の手順は、Java EE、RESTfulおよびOracle Infrastructure Webサービスに適用されます。

ポリシー・セットで参照されているポリシーの構成プロパティをオーバーライドするには、次の手順を実行します。

1. 「Fusion Middleware Controlを使用した「WSMポリシー・セット・サマリー」ページへの移動」の説明に従って、「WSMポリシー・セット・サマリー」ページに移動します。

2. 「WSMポリシー・セット・サマリー」ページから、オーバーライドを構成するポリシーを含むポリシー・セットを選択します。

3. 「ポリシー構成のオーバーライド」を選択します。

図5-2に示すように、「ポリシー構成のオーバーライド」ページが表示されます。

図5-2 ポリシー・セットの「ポリシー構成のオーバーライド」ページ

4. 「ポリシー参照」表で、構成プロパティをオーバーライドするポリシーを選択します。ポリシーにオーバーライド可能プロパティが含まれる場合、「ポリシー構成のオーバーライド」ボタンが表示されます。

5. 「ポリシー構成のオーバーライド」を選択します。「セキュリティ構成の詳細」ページに、選択したポリシーでオーバーライドできる構成プロパティのリストが表示されます。

6. プロパティの「値」フィールドにオーバーライド値を入力し、「適用」をクリックします。

ポリシー・セットが適用されるすべてのエンドポイントで、プロパティがオーバーライドされます。

5.5 WLSTを使用したポリシー構成プロパティのオーバーライドについて

Webサービス構成は、Webサービス・アプリケーション・レベル、クライアント・アプリケーション・レベルおよびグローバルにアタッチされたポリシーにオーバーライドできます。

トピック:

- WLSTを使用した直接アタッチされたサービス・ポリシーの構成プロパティのオーバーライド

- WLSTを使用したWebサービス・クライアント・アプリケーションでの構成プロパティのオーバーライド

- WLSTを使用したグローバルにアタッチされたポリシーの構成プロパティのオーバーライド

5.5.1 WLSTを使用した直接アタッチされたサービス・ポリシーの構成プロパティのオーバーライド

オーバーライド可能なプロパティを持つポリシーをアタッチする場合は、setWSMPolicyOverrideコマンドを使用して既存の値をオーバーライドできます。

注意:

この項の手順は、Oracle InfrastructureおよびRESTful Webサービスにのみ適用されます。

WLSTを使用して、直接アタッチされたサービス・ポリシーの構成プロパティをオーバーライドするには、次の手順を実行します。

1. 「WLSTを使用したポリシーを直接アタッチする」の説明に従って、ポリシーをサービスまたはクライアントにアタッチします。

2. セッション内で、setWSMPolicyOverrideコマンドを使用してポリシー・プロパティをオーバーライドします。

setWSMPolicyOverride(policyURI,property, value)

たとえば、oracle/wss10_message_protection_service_policyポリシーのkeystore.sig.csf.keyプロパティをオーバーライドするには、次のコマンドを使用します。

wls:/wls-domain/serverConfig>setWSMPolicyOverride("oracle/wss10_message_protection_service_policy","keystore.sig.csf.key","sigkey")

The configuration override property "keystore.sig.csf.key" having value "sigkey" has been added to the reference to policy with URI "oracle/wss10_message_protection_service_policy".

注意:

指定したポリシーがポートにアタッチされていない場合は、エラーメッセージが表示されるか例外が返されます。

properties引数をNoneに設定した場合は、ポリシーのすべてのオーバーライドが削除されます。

local.policy.reference.sourceプロパティは直接ポリシー・アタッチメントのソースを識別するための情報提供のみを目的としており、オーバーライドできません。詳細は、「ポリシー・アタッチメントのソースの決定」を参照してください。

WLSTコマンドとその引数の詳細は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービスのカスタムWLSTコマンドに関する項を参照してください。

5.5.2 WLSTを使用したWebサービス・クライアント・アプリケーションでの構成プロパティのオーバーライド

オーバーライド可能なプロパティを持つクライアント・ポリシーをアタッチする場合は、setWebServiceClientStubPropertyコマンドまたはsetWebServiceClientStubPropertiesコマンドを使用して既存の値をオーバーライドできます。

注意:

この手順は、Oracle Infrastructure Webサービス・クライアントにのみ適用されます。

WLSTを使用してクライアント構成プロパティをオーバーライドするには、次の手順を実行します。

1. 「WLSTを使用したRESTfulおよびOracle Infrastructure Webサービスおよびクライアントへのポリシーの直接アタッチについて」の説明に従って、ポリシーをWebサービス・クライアントにアタッチします。

2. setWebServiceClientStubPropertyまたはsetWebServiceClientStubPropertiesコマンドを使用して、ポリシー・プロパティをオーバーライドします。

setWebServiceClientStubProperty(application, moduleOrCompName, moduleType, serviceRefName,portInfoName,propName,[propValue])

setWebServiceClientStubProperties(application, moduleOrCompName,
moduleType, serviceRefName, portInfoName, properties)

たとえば、複数のプロパティを設定またはオーバーライドする手順は次のとおりです。

wls:soainfra/serverConfig>
setWebServiceClientStubProperties('/base_domain/soa_server1/adf_dc_to_bc',
'ADF_BC', 'wsconn', 'AppModuleService', 'AppModuleServiceSoapHttpPort',
[("csf-key","HCM_APPID"),('keystore.recipient.alias','orakey')])

注意:

local.policy.reference.sourceプロパティはオーバーライドしないでください。このプロパティは、直接ポリシー・アタッチメントのソースを識別するための情報のみを目的としています。詳細は、「ポリシー・アタッチメントのソースの決定」を参照してください。

WLSTコマンドとその引数の詳細は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービスのカスタムWLSTコマンドに関する項を参照してください。

5.5.3 WLSTを使用したグローバルにアタッチされたポリシーの構成プロパティのオーバーライド

setWSMPolicyOverrideコマンドを使用して、ポリシー・セットで参照されているポリシー内の構成オーバーライドを指定できます。このコマンドは、セッションのコンテキストでポリシー・セットの作成または変更中にのみ使用できます。

注意:

- この項の手順は、Java EE、RESTfulおよびOracle Infrastructure Webサービスに適用されます。

- setWSMPolicySetOverrideコマンドを使用して、ポリシー・セットでスコープ設定されている構成オーバーライドを指定することもできます。詳細は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のsetWSMPolicySetOverrideに関する項を参照してください。

次の手順は、既存のポリシー・セットの編集中に構成のオーバーライドを指定する方法ですが、新しいポリシー・セットを作成するか、既存のポリシー・セットからポリシー・セットを作成するときにセッションでこのコマンドを使用することもできます。

1. beginWSMSessionコマンドを使用して、セッションを開始します。

次に例を示します。

wls:/jrfserver_domain/serverConfig> beginWSMSession()

Session started for modification.

2. selectWSMPolicySetコマンドを使用して、編集する既存のポリシー・セットを選択します。

selectWSMPolicySet(name)

指定したポリシー・セットの最新バージョンが現在のセッションにロードされます。たとえば、次のコマンドを入力します。

wls:/jrfServer_domain/serverConfig> selectWSMPolicySet ('default-domain-ws-domain_gpa')

The policy set is ready for modification in the session.

3. 必要に応じて、displayWSMPolicySetコマンドを使用してポリシー・セットの構成を表示します。

次に例を示します。

wls:/jrfserver_domain/serverConfig>displayWSMPolicySet()

Policy Set Details:
-------------------
Display Name : default-domain-ws-domain_gpa
Type of Resources:   SOAP Web Service
Scope of Resources:  DOMAIN('base_domain')
Description:         Global policy attachments for Web Service Endpoint resources.
Enabled:             true
Policy Reference:    URI=oracle/wss11_saml_or_username_token_with_message_protection_service_policy, category=security, enabled=true, index=1
URI=oracle/log_policy, category=management, enabled=false, index=2

4. setWSMPolicyOverrideコマンドを使用して、ポリシー参照の構成オーバーライド・プロパティを指定します。

たとえば、oracle/wss11_saml_or_username_token_with_message_protection_service_policyのreference.priorityプロパティの構成オーバーライドを指定するには、次のコマンドを入力します。

wls:/jrfserver_domain/serverConfig>setWSMPolicyOverride('oracle/wss11_saml_or_username_token_with_message_protection_service_policy', 'reference.priority','1')

The configuration override property "reference.priority" having value "1" has
been added to the reference to policy with URI "oracle/wss11_saml_or_username_token_with_message_protection_service_policy".

5. 必要に応じて、ポリシー・セットの構成を表示します。

次に例を示します。

wls:/jrfserver_domain/serverConfig>displayWSMPolicySet()

Policy Set Details:
-------------------
Display Name : default-domain-ws-domain_gpa
Type of Resources:   SOAP Web Service
Scope of Resources:  DOMAIN('base_domain')
Description:         Global policy attachments for Web Service Endpoint resources.
Enabled:             true
Policy Reference:    URI=oracle/wss11_saml_or_username_token_with_message_protection_service_policy, category=security, enabled=true, index=1
reference.priority=1

reference.priority構成オーバーライドが出力に表示されるようになったことに注意してください(前記の例の太字の部分。)

6. validateWSMPolicySetコマンドを使用して、ポリシー・セットを検証します。

次に例を示します。

wls:/jrfServer_domain/serverConfig> validateWSMPolicySet()

The global policy set default-domain-ws-domain_gpa is valid.

7. リポジトリに対して現在のセッションのコンテンツの書込みを行うために、commitWSMSessionコマンドを使用します。

wls:/jrfServer_domain/serverConfig> commitWSMSession()

The policy set default-domain-ws-domain_gpa is valid.
Updating policy set default-domain-ws-domain_gpa in repository.

Session committed successfully.

5.6 Fusion Middleware Controlを使用したWebサービスおよびクライアントのポリシーのユーザー定義プロパティの構成について

使用環境で意味を持つ1つ以上のユーザー定義のサーバー側またはクライアント側プロパティを、事前定義済ポリシーまたはカスタム・ポリシーのクローン・コピーに追加できます。それから、ユーザー定義のプロパティをそのまま使用するか、ポリシーにアタッチするときにそれをオーバーライドできます。

注意:

この項で説明する手順は、Oracle InfrastructureおよびRestful Webサービスにのみ適用されます。

ユーザー定義のプロパティを使用する場合、またはポリシーをアタッチするときにそれをオーバーライドする場合は、ポリシーをWebサービスまたはクライアントにアタッチするときに、プロパティをオーバーライドする前にそのプロパティがポリシーに存在している必要があります。つまり、ポリシーにすでに存在するプロパティのみオーバーライドできます。

そのため、通常はユーザーが提供するプロパティをデフォルト値を含めてクローン・バージョンの事前定義済またはカスタムのポリシーに追加し、それからアタッチメントごとにそれをオーバーライドします。

required、optional、またはconstantタイプのユーザー定義のプロパティを追加できますが、constantタイプのプロパティはオーバーライドできません。次の項では、ユーザー定義のオーバーライド・プロパティを構成する方法について説明します。

- ユーザー定義の構成プロパティのスコープ

- ユーザー定義の構成プロパティの追加

- ユーザー定義の構成プロパティの編集

- ユーザー定義の構成プロパティの削除

- ユーザー定義の構成プロパティのオーバーライド

5.6.1 ユーザー定義の構成プロパティのスコープ

事前定義済の構成プロパティと同様に、ポリシーのユーザー定義の構成プロパティのスコープは、クライアントとWebサービスで異なります。

次の点を考慮してください。

- クライアント側の構成プロパティ値のスコープは、そのクライアントです。同一クライアントにアタッチされる複数のポリシーが同じプロパティを使用できます。

- サーバー側の構成プロパティ値のスコープは、指定されたポリシーに限定されます。つまり、サーバー側の構成プロパティの名前が同じ(たとえばP1) 2つのポリシーを、同じWebサービス・エンドポイントにアタッチし、その2つのP1プロパティに異なる値を指定できます。

5.6.2 ユーザー定義の構成プロパティの追加

事前定義済ポリシーまたはカスタム・ポリシーのクローン・コピーを編集して、ユーザー定義の構成プロパティを追加できます。

ユーザー定義の構成プロパティを追加するには、次の手順を実行します。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「WSMポリシー」ページに移動します。

2. 「WSMポリシー」ページから、プロパティを追加するポリシーを選択し、「開く」をクリックします。

3. 「アサーション」タブを選択し、「構成」をクリックします。

4. 「構成」ページで「追加」をクリックして、新しいプロパティを追加します。

5. 表で、新しいプロパティの名前と値を指定します。「名前」フィールドは必須です。また、ポリシーに対して一意である必要があります。

6. 「タイプ」メニューから、「定数」、「オプション」または「必須」を選択します。タイプが「オプション」と「必須」のプロパティのみオーバーライドできます。

7. 「OK」をクリックします。

8. 「検証」をクリックして、ポリシーを検証します。

9. 「保存」をクリックします。

5.6.3 ユーザー定義の構成プロパティの編集

ユーザー定義の構成プロパティは編集および検証できます。

ユーザー定義の構成プロパティを編集するには、次の手順を実行します。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「WSMポリシー」ページに移動します。

2. 「WSMポリシー」ページから、プロパティを編集するポリシーを選択し、「開く」をクリックします。

3. 「アサーション」タブを選択し、「構成」をクリックします。

4. 「構成」ページで、必要に応じてプロパティを編集し、「OK」をクリックします。

5. 「検証」をクリックして、ポリシーを検証します。

6. 「保存」をクリックします。

5.6.4 ユーザー定義の構成プロパティの削除

ユーザー定義の構成プロパティが必要なくなった場合は、これを削除できます。

ユーザー定義の構成プロパティを削除するには、次の手順を実行します。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「WSMポリシー」ページに移動します。

2. 「WSMポリシー」ページから、プロパティを編集するポリシーを選択し、「開く」をクリックします。

3. 「アサーション」タブを選択し、「構成」をクリックします。

4. 「構成」ページで、削除するユーザー定義のプロパティを選択し、「削除」をクリックします。

5. 「OK」をクリックします。

6. 「検証」をクリックして、ポリシーを検証します。

7. 「保存」をクリックします。

5.6.5 ユーザー定義の構成プロパティのオーバーライド

事前定義済ポリシーやカスタム・ポリシーと同じ方法を使用して、ユーザー定義の構成プロパティをオーバーライドできます。

詳細は、以下のトピックを参照してください。

- Fusion Middleware Controlを使用したポリシー構成プロパティのオーバーライドについて

- WLSTを使用したポリシー構成プロパティのオーバーライドについて

6 Fusion Middleware ControlによるWebサービス・ポリシーの管理

Webサービス・ポリシーおよびWebサービスのサービス品質(QoS)を管理するためにOracle Web Services Manager (OWSM)でポリシーがどのように使用されるかの詳細は、『Oracle Web Services Managerの理解』のOWSMポリシー・フレームワークの概要を参照してください。次の項では、Fusion Middleware Controlを使用したWebサービス・ポリシーの管理について説明します。

- Webサービス・ポリシー管理の概要

- Webサービス・ポリシーの管理

- Webサービス・ポリシーの検証

- ポリシー・アサーション・テンプレートの管理

- ポリシーとアサーションの管理

- ポリシー・アサーションの通知について

- WS-PolicyおよびWS-SecurityPolicyのバージョンの通知について

6.1 Webサービス・ポリシー管理の概要

12cリリースでは、OWSMで配信された事前定義済ドキュメントは、ポリシーおよびアサーション・テンプレートを含め、読取り専用です。これが新規インストールの場合、OWSMとともにインストールされるすべてのドキュメントが読取り専用です。事前定義済のポリシーまたはアサーション・テンプレートを変更するには、そのクローンを作成し、クローン・バージョンを必要に応じて変更します。

既存のOWSM環境にインストールする場合、または以前のリリースからアップグレードする場合、環境に合せてカスタマイズしていない事前定義済ドキュメントは読取り専用のバージョンに置換され、新規の事前定義済読取り専用ドキュメントが追加されます。ただし、カスタマイズされた既存の事前定義済ドキュメント、およびリポジトリのユーザー作成のカスタム・ポリシーは上書きされません。

注意:

最新のポリシーを常にすべて取得できるように、変更した事前定義ドキュメントはクローニングし、ポリシー・アタッチメントは移行することをお薦めします。詳細は、「OWSMリポジトリのアップグレード」を参照してください。

6.2 Webサービス・ポリシーの管理

Webサービス・ポリシーの管理ページから、特定のポリシーまたはポリシーのタイプの検索、ポリシーの表示、新規ポリシーの作成、カスタム・ポリシーの編集、カスタム・ポリシーの削除、カスタム・ポリシーからOWSMリポジトリへのインポートおよびエクスポートまたはOWSMリポジトリからカスタム・ポリシーへのインポートおよびエクスポートを実行できます。

トピック:

- 「WSMポリシー」ページへの移動

- 「WSMポリシー」ページでのポリシーの検索

- Webサービス・ポリシーの詳細の表示

- Webサービス・ポリシーの作成および編集

- OWSMポリシーでのローカルの最適化の使用(SOAコンポジット)

- WSDLからのクライアント・ポリシーの生成

- ポリシーへのアサーションの追加

- ポリシーへのORグループの追加

- Webサービス・ポリシーのインポート

- Webサービス・ポリシーのエクスポート

- Webサービス・ポリシーのバージョニング

- Webサービス・ポリシーの削除

6.2.1 「WSMポリシー」ページへの移動

Webサービス・ポリシーを管理するには、「WSMポリシー」ページを使用します。このページから、特定のポリシーまたはポリシーのタイプの検索、ポリシーの表示、新規ポリシーの作成、カスタム・ポリシーの編集、カスタム・ポリシーの削除、ポリシーからOWSMリポジトリへのインポートおよびエクスポートまたはOWSMリポジトリからポリシーへのインポートおよびエクスポートを実行できます。

図6-1 「WSMポリシー」ページ

6.2.2 「WSMポリシー」ページでのポリシーの検索

ポリシーの検索は、「WSMポリシー」ページで拡張検索機能、例による問合せフィルタ、または検索の精度を上げるためにその2つの組合せを使用して実行できます。

ポリシーの検索の詳細は、次の項を参照してください。

- 拡張検索の使用

- 例による問合せフィルタの使用

6.2.2.1 拡張検索の使用

「WSMポリシー」ページで、適切な検索条件を指定することによって、戻されるポリシー数を削減できます。そのためには、次の手順を実行します。

1. 「検索」ペインで、検索で使用する条件を指定します。

- 「名前」フィールドに、ポリシー名またはポリシー名の一部を入力して、検索の絞込みに使用する演算子を選択します。使用可能な演算子は、「次で始まる」、「次で終わる」、「次と等しい」および「次を含む」です。たとえば、メッセージ保護ポリシーのみを検索するには、「次を含む」演算子を選択して、「名前」フィールドにmessageを入力します。
パーセント(%)をワイルドカードとして、名前内の任意の場所で使用できます。アスタリスク(*)はワイルドカードとして認識されず、プレーン・テキストとして処理されます。検索では、大文字と小文字は区別されません。

- 「カテゴリ」フィールドで、必要なカテゴリを選択します。

または、「保存済検索」ドロップダウン・メニューから以前に保存した検索のいずれかを選択できます。検索パラメータは、検索フィールドに自動的に移入します。保存済の検索に「自動的に実行」オプションが指定されている場合は、その検索が自動的に実行されて、結果がポリシー表に表示されます。

2. オプションで、「例による問合せフィルタの使用」の説明に従って、例による問合せフィルタを使用して検索を絞り込みます。2つの検索タイプを結合する場合、「例による問合せ」フィールドに入力されたデータは、「検索」フィールドで指定したデータにAND演算子を使用して追加されます。

3. 「検索」をクリックします。

「ポリシー」表は、指定された検索条件に一致するポリシーのみ含むように更新されます。たとえば、メッセージ保護ポリシーに対して前述の例を使用し、例による問合せを使用して検索の精度を上げなかった場合は、すべてのメッセージ保護ポリシーがリストに表示されます。例による問合せを使用してクライアント・ポリシーのみの検索の精度を上げた場合は、表示されたリストにはメッセージ保護クライアント・ポリシーのみが含まれます。

4. オプションで、保存...をクリックして、リポジトリに検索条件を保存します。保存済検索には、「拡張検索」フィールドで指定した値のみが保存され、「例による問合せ」フィールドで指定した値は含まれないことに注意してください。

「保存済の検索の作成」ウィンドウで、「名前」フィールドに検索の名前を入力します。この保存済の検索を今後の検索のデフォルトの選択肢として使用するには、「デフォルトとして設定」を選択します。検索を選択したときに、その検索を自動的に実行するには、「自動的に実行」を選択します。「OK」をクリックします。

以前に保存した検索を変更するには、保存済の検索ドロップダウン・メニューからパーソナライズ...をクリックします。「保存済の検索のパーソナライズ」ウィンドウで、ドロップダウン・メニューから保存済の検索を選択し、「適用」をクリックします。保存済の検索を削除するには、「削除」をクリックします。検索を複製するには、「複製」をクリックします。必要に応じて、複製を変更し、「適用」をクリックします。すべての検索の編集が終了したら、「OK」をクリックします。

6.2.2.2 例による問合せフィルタの使用

「WSMポリシー」の例による問合せフィルタにより、特定のフィールドを問い合せ、表に表示された結果をすばやく簡単にフィルタできます。

1. 検索フィールドが「ポリシー」表の上部に表示されない場合は、「例による問合せ」アイコンをクリックします。検索フィールドが、「名前」列、「カテゴリ」列および「ステータス」列の上に表示されます。

2. 検索する列の上のフィールドに検索条件を入力します。入力した値はcontains式として解釈されます。つまり、値は%value%でラップされ、その列に対して指定される値を含むすべての結果がフェッチされます。たとえば、クライアント・ポリシーのみを検索するには、「名前」列の上の検索フィールドにclientを入力します。

3. 例による問合せフィルタを別々に使用している場合は(拡張検索フィールドと組み合せて使用するのではない)、[Enter]を押します。

表内に表示されるポリシーのリストは、検索条件に一致する結果のみ表示するようにフィルタされます。前の手順で指定した例を使用すると、クライアント・ポリシーのみが表示されます。

注意:

「例による問合せ」検索フィールドは、「拡張検索の使用」で説明されるように、さらに検索結果の精度を上げるために拡張検索フィールドと組み合せて使用できます。一緒に使用する場合、「例による問合せ」フィールドに入力されたデータは、「検索」フィールドで指定したデータにAND演算子を使用して追加されます。結合された結果を取得するには、「検索」ボタンを使用する必要があります。

検索が完了したら、例による問合せ検索を手動で消去する必要があります。

6.2.3 Webサービス・ポリシーの詳細の表示

Webサービス・ポリシーの詳細を表示するには、「WSMポリシー」ページを使用します。

Oracleからの事前定義済ポリシーは読取り専用であり、変更できません。これらのポリシーは読取り専用モードで表示されます。ユーザーが作成したポリシーは読取り専用ではなく、「Webサービス・ポリシーの編集」の説明に従って編集できます。

Webサービス・ポリシーの詳細を表示するには、次の手順を実行します。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「WSMポリシー」ページに移動します。

オプションで、「「WSMポリシー」ページでのポリシーの検索」の説明に従って、検索を使用して表示されるポリシーのリストを絞り込みます。

2. ポリシーのリストから表示されるポリシーを選択して、「開く」をクリックします。または、「アクション」→「開く」を選択します。

図6-2にoracle/wss10_saml20_token_with_message_protection_service_policyの「ポリシーの詳細」ページを示します。

図6-2 「一般」タブが選択された状態の「ポリシーの詳細」ページ

「ポリシーの詳細」ページには、次の2つのタブがあります。

- 「一般」タブ(図6-2)には、ポリシー名、表示名、ポリシー・カテゴリ、説明、ポリシーが有効であるかどうか、ローカルの最適化設定などの情報が表示されます。「アタッチメント属性」セクションには、ポリシーをアタッチできるエンドポイントのタイプと、ポリシー・アタッチメント数に関する詳細が表示されます。「バージョン情報」セクションには、ポリシーのバージョン番号や、ポリシーが最後に更新された日付、更新者がリストされます。ユーザーが作成したポリシーの場合、「ポリシー・バージョンの履歴」ページに移動することもできます。ポリシー・バージョンの詳細は、「Webサービス・ポリシーのバージョニング」を参照してください。

- 「アサーション」タブには、ポリシーに含まれているアサーションのすべてをリストする表が含まれています。アサーションの詳細を表示するには、表でアサーション名を選択します。表示されるコンテンツは選択したアサーションに応じて異なります。図6-3にメッセージ保護サービス・ポリシー付きWss10 SAML V2.0トークンの「アサーション」タブを示します。

図6-3 「アサーション」タブが選択された状態の「ポリシーの詳細」ページ

6.2.4 Webサービス・ポリシーの作成および編集

Webサービス・ポリシーを作成および編集するには、WSMポリシーの詳細ページを使用します。

トピック:

- 新しいWebサービス・ポリシーの作成

- Webサービス・ポリシーのクローンの作成

- カスタム・ポリシーの作成

- Webサービス・ポリシーの編集

6.2.4.1 新しいWebサービス・ポリシーの作成

1つ以上のアサーション・テンプレートを使用して新しいポリシーを作成するには、次の手順に従ってください。

次の手順を実行して、新しいWebサービス・ポリシーを作成します。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「WSMポリシー」ページに移動し、「作成」をクリックします。または、「アクション」→「作成」を選択します。

「ポリシーの詳細」ページには、「一般」および「アサーション」の2つのタブが含まれます。デフォルトで「一般」lタブが表示されます。

2. 「一般」タブでは、オプションでポリシーを参照するコンソールで使用する「表示名」フィールドに一意の名前を指定します。表示名を指定しない場合は、ポリシー名がポリシーの参照に使用されます。

3. 「名前」フィールドにポリシー名を入力します。

ポリシー名にはポリシーが存在するディレクトリが含まれている必要があります。たとえば、Oracleで提供される事前定義済のすべてのポリシーは、oracle/wss_http_token_service_policyなどのoracle/ディレクトリに含まれています。

注意:

『Oracle Web Services Managerの理解』のポリシーの推奨ネーミング規則に関する説明に記載されているポリシーのネーミング規則に従うことをお薦めします。

ポリシーの作成後は、ポリシーの名前を編集できません。ポリシー名を変更するには、ポリシーのクローンを作成して、それに別の名前を割り当てる必要があります。

4. 「カテゴリ」ドロップダウン・メニューから、ポリシーが属するカテゴリを選択します。

注意:

ポリシーを作成できるのは、「セキュリティ」および「管理」カテゴリにおいてのみです。

5. オプションで、ポリシーの簡単な説明を入力します。

6. 必要に応じて、「有効」オプションを選択して、ポリシーを有効にします。有効化されていないポリシーは、実行時に施行されないことに注意してください。

7. ドロップダウン・メニューから、ポリシーで使用する「ローカルの最適化」のタイプを選択します。選択可能なオプションは「off」、「on」および「check-identity」です。ローカルの最適化機能の詳細は、「OWSMポリシーでのローカルの最適化の使用(SOAコンポジット)」を参照してください。

8. ページの「アタッチメント属性」セクションで、ポリシーがアタッチ可能なポリシー・サブジェクトのタイプを指定します。「適用先」メニューで、次のオプションの中から1つを選択します。

- すべて: ポリシーが、サービス・エンドポイント、クライアント・エンドポイントおよびSOAコンポーネントを含めたすべてのタイプのポリシー・サブジェクトにアタッチ可能であると指定します。

- SOAコンポーネント: ポリシーがSOAコンポーネントにアタッチ可能であると指定します。

- サービス・バインディング: ポリシーがWebサービスおよびクライアント・エンドポイントにアタッチ可能と指定します。このオプションを選択した場合は、「サービス・カテゴリ」フィールドで、ポリシーがWebサービス・エンドポイント、Webサービス・クライアント、またはその両方にアタッチ可能かを選択します。

9. ポリシーにアサーションを追加するには、「アサーション」タブを選択して、「追加」をクリックします。詳細は、「ポリシーへのアサーションの追加」を参照してください。

10. オプションで、ポリシーにORグループを追加します。「追加」メニューを選択し、「ORグループ」を選択します。ORグループに必要なアサーションを追加するには、「追加」をクリックします。

ORグループにより、複数のセキュリティ・サブカテゴリ・オプションを定義できますが、実行できるのはそのうちの1つのみです。たとえば、サブセットにSAMLトークンとユーザー名トークン・セキュリティ/認証サブカテゴリ・アサーションの両方を含めることができるため、Webサービス・アプリケーションでいずれか(両方ではない)のオプションを使用できます。

詳細は、「ポリシーへのORグループの追加」を参照してください。

11. 設定および構成プロパティを変更することによって、必要に応じてアサーションを構成します。

- アサーション設定を編集するには、アサーションを選択して、ページの「詳細」セクションの設定を編集します。

- 構成プロパティを編集するには、「構成」をクリックします。
アサーションに定義された構成プロパティのリストが表示されます。

「アサーション・テンプレートの構成プロパティの編集」の説明に従って、構成プロパティを編集し、「OK」をクリックします。

- アサーションを有効化または通知するには、それぞれ「強制」または「通知済」オプションを選択します。

各アサーション・テンプレートの設定および構成プロパティの詳細は、Oracle Web Services Managerの事前定義済アサーション・テンプレートを参照してください。

12. ポリシーにアサーションを追加し終えたら、表内のアサーションを選択して、「上に移動」および「下に移動」ボタンを使用して、ポリシーの順序を設定します。アサーションは、リストに表示される順序で起動されます。

13. 「保存」をクリックしてポリシーを検証して保存します。

ポリシーが無効な場合は、予防措置として無効化されます。検証の問題を解決したら、ポリシーを有効化する必要があります。ポリシーの検証の詳細は、「Webサービス・ポリシーの検証」を参照してください。

6.2.4.2 Webサービス・ポリシーのクローンの作成

既存のWebサービス・ポリシーをクローニングして新規のポリシーを作成できます。たとえば、読取り専用の事前定義済ポリシーのいずれかのコピーを作成し、それを必要に応じて編集できます。作成したポリシーのコピーを作成することもできます。ポリシーを作成すると、アサーションの追加や削除、既存のアサーションの変更など、その他のユーザーが作成したポリシーと同じように扱うことができます。

Webサービス・ポリシーのクローンを作成するには、次の手順を実行します。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「WSMポリシー」ページに移動します。

2. オプションで、「拡張検索の使用」の説明に従って、検索を使用して表示されるポリシーのリストを絞り込みます。

3. ポリシーのリストからクローンを作成するポリシーを選択して、「類似作成」をクリックします。または、「アクション」→「類似作成」を選択します。

この新しいポリシーの名前を、環境でよりわかりやすい名前に変更することをお薦めします。

注意:

『Oracle Web Services Managerの理解』のポリシーの推奨ネーミング規則に関する説明に記載されているポリシーのネーミング規則に従うことをお薦めします。

ポリシーの作成後は、ポリシーの名前を編集できません。ポリシー名を変更するには、ポリシーのクローンを作成して、それに別の名前を割り当てる必要があります。

4. アサーションを含め、必要に応じてポリシーを変更します。

ポリシーへのアサーションの追加の詳細は、「ポリシーへのアサーションの追加」を参照してください。

ポリシーへのORグループの追加の詳細は、「ポリシーへのORグループの追加」を参照してください。

5. 「保存」をクリックしてポリシーを検証して保存します。

ポリシーが無効な場合は、予防措置として無効化されます。検証の問題を解決したら、ポリシーを有効化する必要があります。ポリシーの検証の詳細は、「Webサービス・ポリシーの検証」を参照してください。

6.2.4.3 カスタム・ポリシーの作成

カスタム・アサーションを使用してカスタム・ポリシーを作成できます。

カスタム・アサーションとポリシーの両方を作成する方法の手順と詳細は、『Oracle Web Services Manager拡張可能アプリケーションの開発』のカスタム・アサーションの作成に関する項を参照してください。

6.2.4.4 Webサービス・ポリシーの編集

ユーザーが作成したポリシーは、このトピックの説明に従って編集できます。

注意:

OWSMで提供される事前定義済のポリシーは読取り専用であり、編集できません。事前定義済ポリシーを編集するには、そのクローンを作成し、クローン・バージョンを編集できます。

ポリシーに対する変更内容は、ポリシー変更の次の調査間隔で反映されます。

データベースに基づくメタデータ・リポジトリを使用している場合は、ポリシーへの変更を保存するたびに新しいバージョンが作成され、古いバージョンが保持されます。ポリシーのバージョニングの詳細は、「Webサービス・ポリシーのバージョニング」を参照してください。

Webサービス・ポリシーを編集するには、次の手順を実行します。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「WSMポリシー」ページに移動します。

オプションで、「拡張検索の使用」の説明に従って、検索を使用して表示されるポリシーのリストを絞り込みます。

2. ポリシーのリストから編集するポリシーを選択して、「開く」をクリックします。または、「アクション」→「開く」を選択します。

「ポリシーの詳細」ページが表示されます。事前定義済のポリシーの場合、このページは読取り専用です。ただし、ユーザーが作成したポリシーの場合、このページからポリシーを編集できます。「ポリシーの詳細」ページの詳細は、「Webサービス・ポリシーの詳細の表示」を参照してください。

3. 「一般」タブを選択して、次のように編集します。

- 必要に応じて、表示名および説明を編集します。ポリシー名は編集できません。ポリシー名を変更するには、ポリシーのクローンを作成して、それに別の名前を割り当てる必要があります。

- 必要に応じて、タブの残りのフィールド(ポリシーの有効化または無効化、ローカルの最適化指定、ポリシーをアタッチ可能なポリシー・サブジェクトのタイプの変更など)を編集します。

4. 「アサーション」タブを選択して、次のように編集します。

- 必要に応じて、アサーション設定および構成プロパティを変更します。アサーション設定を変更するには、表でアサーションを選択して、ページの「詳細」セクションで必要に応じて設定を編集します。構成プロパティを編集するには、「構成」をクリックして、構成表で必要に応じてプロパティを編集します。アサーションを有効化または通知するには、それぞれ「強制」または「通知済」オプションを選択します。

- 「ポリシーへのアサーションの追加」および「ポリシーへのORグループの追加」のそれぞれの説明に従って、必要に応じてアサーションまたはORグループを追加します。

- 必要に応じて、アサーションまたはORグループを削除します。これを行うには、表でアサーションまたはORグループを選択して、「削除」をクリックします。

各事前定義済ポリシーのアサーションの詳細は、「Oracle Web Services Managerの事前定義済ポリシー」を参照してください。

5. 「検証」をクリックして、ポリシーを検証します。

6. 「保存」をクリックして、変更を保存します。

6.2.5 OWSMポリシーでのローカルの最適化の使用(SOAコンポジット)

OWSMでは、コンポジットからコンポジットを起動できるようにするOracle SOA Suiteのローカルの最適化機能がサポートされています。この機能では、一方のコンポジットの参照で同じコンテナで実行しているもう一方のコンポジットにバインディングするWebサービスを指定します。ローカルの最適化により、実行時のHTTPスタックおよびSOAPと正規化されたメッセージの変換を回避できるようになります。ポリシーがWebサービス・バインディングにアタッチされている場合は、ローカルの最適化が使用されているとポリシーを呼び出すことができません。

トピック:

- OWSMポリシーでのデフォルトのローカル最適化設定の表示

- ローカルの最適化を使用する場合のコントロール

SOAのローカルの最適化機能の詳細は、Oracle SOA SuiteおよびOracle Business Process Management Suiteの管理のローカルの最適化の構成に関する項を参照してください。

6.2.5.1 OWSMポリシーでのデフォルトのローカル最適化設定の表示

デフォルトで、OWSMの各事前定義済ポリシーにはローカルの最適化プロパティが含まれています。ローカルの最適化プロパティのデフォルト設定は、各ポリシーの「一般」タブに表示されます。Fusion Middleware Controlを使用した、ローカルの最適化プロパティ設定を含めたポリシーの詳細の表示手順は、「Webサービス・ポリシーの詳細の表示」を参照してください。

ローカルの最適化プロパティには3つの設定があります。

- on: アタッチされたポリシーでローカルの最適化が有効で、ポリシーは実行時に適用されません。

- off: ローカルの最適化は無効で、ポリシーは実行時に適用されます。リクエストは通常のWS/SOAP/HTTPプロセスに従って処理されます。

- check-identity: JAASサブジェクトが現在のスレッドにすでに存在し、認証がすでに成功したことを示している場合にのみローカルの最適化が使用されます。JAASサブジェクトがスレッドに存在しない場合、リクエストは通常のWS/SOAP/HTTPプロセスを使用します。

6.2.5.2 ローカルの最適化を使用する場合のコントロール

ローカルの最適化機能をコントロールするには次の2通りの方法があり、それぞれが異なるスコープを持ちます。

- コンポジット・レベルで、composite.xmlファイルのバインディング・セクションにoracle.webservices.local.optimizationプロパティを追加する方法。サポートされている値は次のとおりです。

- true: (デフォルト値)。ローカルの最適化は、アタッチされたポリシーで使用するよう構成されている場合に使用されます。ローカルの最適化プロパティ設定の詳細は、「OWSMポリシーでのデフォルトのローカル最適化設定の表示」を参照してください。最適化が使用される場合、ポリシーは適用されません。

- false: ポリシーにおけるローカルの最適化プロパティの構成に関係なく、ローカルの最適化は使用されません。この設定ではポリシーが強制的に適用されます。

コンポジット・レベルのプロパティは、ポリシー・レベルの構成とは無関係です。つまり、ポリシーが添付されているかどうかに関係なく最適化を無効にする場合は、コンポジット・レベルのプロパティをfalseに設定します。

詳細は、Oracle SOA SuiteおよびOracle Business Process Management Suiteの管理のコンポジット間呼出しでのポリシー・アタッチメントおよびローカルの最適化に関する項を参照してください。

- ポリシー・レベルで、ポリシーに対してローカルの最適化プロパティを構成する方法。ローカルの最適化プロパティの選択可能な設定は、「OWSMポリシーでのデフォルトのローカル最適化設定の表示」を参照してください。ポリシー・レベルのプロパティは、コンポジット・レベルのプロパティによってオーバーライドされる場合を除いて、ポリシーが使用されるときには必ず最適化をコントロールします。

注意:

Oracleからの事前定義済ポリシーは読取り専用であり、変更できません。事前定義済のポリシーのクローンを作成する場合、ローカルの最適化設定は変更しないことをお薦めします。そうした場合、ポリシーが起動されず、予期せぬ動作が発生する恐れがあります。ただし、新しいポリシーを作成する場合は、使用環境に合せてこのプロパティを設定できます。

ポリシーがWebサービスにアタッチされている場合は、ローカルの最適化が使用されているとポリシーが起動されないことがあります。したがって、新規ポリシーを作成するたびに、ローカルの最適化を使用するかどうかを決定する必要があります。

6.2.6 WSDLからのクライアント・ポリシーの生成

Webサービスを構成したら、WebサービスWSDLを使用して、そのサービスのコールに必要なパラメータと互換性のあるクライアント・ポリシーを生成できます。ポリシーで通知されるアサーションのみを使用して、クライアント・ポリシーと等価のクライアント・アサーションを生成できます。

注意:

クライアント・ポリシーの生成には、標準WSDLではなく、Oracle WSDLを使用する必要があります。WebサービスのURLは、?wsdlではなく?orawsdlで追加する必要があります。ポリシーを生成すると、クライアント・ポリシーがサービス・ポリシーと連携する可能性が高くなります。

クライアント・ポリシーを生成すると、そのポリシーには、通知されたサービス・アサーションに一致するペアであるクライアント・アサーションが移入されます。たとえば、WSDLのサービス・ポリシーにoracle/ wss_http_token_service_templateが含まれている場合、生成されたクライアント・ポリシーには対応するoracle/wss_http_token_client_templateが移入されます。

ポリシーを編集する前に、最初にそれを保存する必要があります。ポリシーに必要な変更を行った後で、「WSMポリシー」ページからアクセスできます。

また、生成された不要なポリシーは削除できます。たとえば、すでに存在するMTOMや信頼できるメッセージング・ポリシーの複製の削除が必要な場合があります。

Webサービス・クライアントのポリシーを作成するには、次の手順を実行します。

1. Webサービス・クライアント・ポリシーを生成するWebサービスのWSDLを特定します。

2. Oracle WSDL URLフィールドで、次の形式Web_service_endpoint?orawsdlを使用してWebサービスWSDLにURLを入力します。ここで、Web_service_endpointはWebサービスへのURLです(たとえば、http://my-host:port/jaxwsejb/Calculator?wsdl)。

注意:

対応するクライアント・ポリシーの生成に使用するWSDLを取得するには、?wsdlではなく?orawsdlを使用する必要があります。

Webサービスに公開されたOracle WSDLのサービス・ポリシー情報は、初期クライアント・ポリシー生成の基礎として使用されます。

3. HTTP認証が必要な場合は、「認証」を選択し、適切なフィールドにユーザー名とパスワードを入力します。

4. 「フェッチ」をクリックします。

5. ドロップダウン・リストからサービスとポートを選択します。

サービスとポートの組合せにより、ポリシーをorawsdlでアタッチ可能なエンドポイントが定義されます。

6. 「ポリシーの生成」をクリックします。

サービスとポートのwsdlで指定されるサービス・ポリシーに対応するクライアント・ポリシーは、図6-4に示すように生成されたポリシーの結果表にリストされます。

図6-4 WSDLからのクライアント・ポリシーの生成

7. オプションで、生成されたポリシーの結果表でポリシーと表示名を選択し、必要に応じて編集します。

8. 「ポリシーの追加」をクリックします。

「クライアント・ポリシーの生成」ページが表示されます。

生成されたポリシーが表内にリストされ、そのステータスが未保存として示されます。

9. 「すべて保存」をクリックしてすべてのポリシーを保存するか、個々のポリシーを選択して、「保存」をクリックします。

注意:

ポリシーを編集するには、その前に保存する必要があります。

10. ポリシーを編集するには、表でポリシーを選択して「開く」をクリックします。

11. 「ポリシーの詳細」ページで、必要に応じてポリシーを編集します。

12. ポリシーの保存を変更するには、「適用」をクリックします。

13. 「生成されたクライアント・ポリシー」ページに戻ります。必要に応じてその他のポリシーを編集して保存します。

ポリシーを保存すると、「WSMポリシー」ページに移動して、ポリシーのリストでポリシーを検索できます。

6.2.7 ポリシーへのアサーションの追加

ポリシーの作成または編集中にユーザーが作成したポリシーにアサーションを追加できます。OWSMで提供される事前定義済ポリシーにアサーションを追加することはできません。事前定義済のポリシーは読取り専用であり、編集できません。

各ポリシーに含めることができるアサーションは、MTOMアタッチメントおよび信頼できるメッセージングの各カテゴリから1つのみです。ポリシーには、セキュリティ・カテゴリに属するアサーションをいくつでも含めることができますが、アサーションの組合せが有効であることが必要です。有効なアサーションの詳細は、「Webサービス・ポリシーの検証」を参照してください。

ポリシーにアサーションを追加するには、次の手順を実行します。

1. アサーションを追加するポリシーの「ポリシーの詳細」ページに移動します。

2. 「アサーション」タブを選択します。

3. 「追加」をクリックするか、「追加」メニューから「アサーション」を選択します。

「アサーションの追加」ページが表示されます。そのポリシーに使用可能なアサーションが「検索結果」表に表示され、「テンプレート名」で編成されています。オプションで、「表示名」列を表示したり、列の順序を変更するには、「表示」メニューを使用します。

4. 表からアサーションを選択するか、「名前」および「カテゴリ」フィールドに検索パラメータを指定して、「検索」をクリックします。検索条件と一致する結果が「検索結果」表に表示されます。「検索結果」表で、ポリシーに追加するアサーション(複数可)を選択して、「選択済の追加」をクリックします。リストされているすべてのアサーションをポリシーに追加するには、すべて追加をクリックします。

選択したアサーションが、「選択したアサーション・テンプレート。」表に表示されます。アサーションはテンプレート名を使用して表示されます。オプションで、「テンプレートの表示名」列を表示したり、列の順序を変更するには、「表示」メニューを使用します。

5. 「選択したアサーション・テンプレート。」表で、オプションで「アサーション名」フィールドで追加されたアサーションの名前を編集します。

6. 「選択したアサーション・テンプレート。」表で、選択内容を確認します。この表から1つまたは複数のアサーションを削除するには、「選択項目の削除」または「すべて削除」をクリックします。アサーションの選択を確認してから、「アサーションの追加」をクリックします。

追加したアサーションが、「アサーション」タブにリストされます。

OWSMアサーション・テンプレートの詳細は、「Oracle Web Services Managerの事前定義済アサーション・テンプレート」を参照してください。

7. アサーションを構成するには、アサーションを選択して、ページの「詳細」セクションで必要に応じて設定を編集します。

8. アサーションを有効化または通知するには、それぞれ「強制」または「通知済」オプションを選択します。

9. 構成プロパティを編集するには、「構成」をクリックします。

アサーションに定義された構成プロパティのリストが表示されます。

10. 構成プロパティを編集し、「OK」をクリックします。

各アサーション・テンプレートの構成プロパティの詳細は、Oracle Web Services Managerの事前定義済アサーション・テンプレートを参照してください。

「値」および「説明」フィールドのみ編集できることに注意してください。アサーション・テンプレートで定義されている「名前」、「タイプ」および「デフォルト値」プロパティ設定は変更できず、読取り専用として表示されます。これらのプロパティの詳細は、「アサーション・テンプレートの構成プロパティの編集」を参照してください。

11. ポリシーにアサーションを追加し終えたら、表内のアサーションを選択して、「上に移動」および「下に移動」ボタンを使用して、ポリシーの順序を設定します。アサーションは、リストに表示される順序で起動されます。

12. 確認した後、「保存」をクリックしてポリシーを保存します。

6.2.8 ポリシーへのORグループの追加

1つ以上のアサーションを含むORグループを作成して、1つのポリシーで複数のタイプのセキュリティ・トークンを使用するようにできます。クライアントは、ORグループに定義されている任意のポリシーを実行できます。

詳細は、『Oracle Web Services Managerの理解』の複数のポリシー代替(ORグループ)の定義に関する項を参照してください。

ポリシーに追加できるORグループは1つのみです。ORグループを追加したら「ORグループ」オプションは灰色表示されます。

ORグループは、「ポリシーの詳細」ページから追加します。

ポリシーにORグループを追加するには、次の手順を実行します。

1. ORグループを追加するポリシーの「ポリシーの詳細」ページに移動します。

2. 「アサーション」タブを選択します。

3. 「追加」メニューから「ORグループ」を選択します。

「ORグループ」行が「アサーション」表に追加されます。

4. 「追加」メニューから「アサーション」、「ORグループ」を選択します。「ORグループ」はメニューでグレー表示されているため、これ以外のORグループを追加できません。

注意:

「追加」をクリックするか、「追加」メニューから「アサーション」を選択すると、アサーションはORグループの外に追加されます。

「アサーションの追加」検索ページが表示されます。

5. 「検索結果」表から1つ以上のアサーションを選択するか、「名前」および「カテゴリ」フィールドに検索パラメータを指定して、「検索」をクリックします。検索基準に一致する結果が「検索結果」表に表示されます。

OWSMアサーション・テンプレートの詳細は、「Oracle Web Services Managerの事前定義済アサーション・テンプレート」を参照してください。

6. 「検索結果」表で、ORグループに追加するアサーション(複数可)を選択し、「選択済の追加」をクリックします。選択したアサーションが、「選択したアサーション・テンプレート。」表に表示されます。

7. 「選択したアサーション・テンプレート。」表で、オプションで「アサーション名」フィールドに追加したアサーションの表示名を入力します。

8. 「選択したアサーション・テンプレート。」表で、選択内容を確認します。この表から1つまたは複数のアサーションを削除するには、「選択項目の削除」または「すべて削除」をクリックします。アサーションの選択を確認してから、「アサーションの追加」をクリックします。

追加したアサーションが、「アサーション」タブのアサーションのリストの「ORグループ」の下に表示されます。

注意:

WS-Policy属性attachToおよびcategoryの値は、現在のポリシー内で有効なアサーションを制限します。ORグループ内のすべてのアサーションが考慮されるようにするには、attachToおよびcategory属性の値と互換性がある必要があります。WS-Policy属性の詳細は、「wsp:Policy要素」を参照してください。

9. アサーションをORグループに追加するには、手順4から8を繰り返します。

10. 設定および構成プロパティを変更することによって、必要に応じてアサーションを構成します。

- アサーション設定を編集するには、アサーションを選択して、ページの「詳細」セクションの設定を編集します。

- 構成プロパティを編集するには、「構成」をクリックします。
アサーションに定義された構成プロパティのリストが表示されます。

「アサーション・テンプレートの構成プロパティの編集」の説明に従って、構成プロパティを編集し、「OK」をクリックします。

- アサーションを有効化または通知するには、それぞれ「強制」または「通知済」オプションを選択します。

各アサーション・テンプレートの設定および構成プロパティの詳細は、Oracle Web Services Managerの事前定義済アサーション・テンプレートを参照してください。

11. ORグループにアサーションを追加し終わったら、アサーションを選択して、「上に移動」および「下に移動」を使用し、必要に応じて並べ替えます。アサーションは、リストに表示される順序で起動するよう考慮されます。

12. ORグループからアサーションを削除するには、アサーションを選択して「削除」をクリックします。ORグループ全体を削除するには、ORグループを選択して「削除」をクリックします。

13. 確認した後、「保存」をクリックしてポリシーを保存します。

6.2.9 Webサービス・ポリシーのインポート

ユーザーが作成した1つ以上のポリシーをOWSMリポジトリにインポートするには、この項の手順に従ってください。ポリシーをインポートすると、Webサービスへのアタッチや変更を行うことができます。

Webサービス・ポリシーのインポートの詳細は、「ポリシーのインポートとエクスポートの異なるメカニズムの理解」を参照してください。

注意:

インポートするポリシー名は、リポジトリに存在しないものであることが必要です。

ポリシー名とファイル名は異なることに注意してください。ポリシー名はポリシー・コンテンツの名前属性によって指定されますが、ファイル名はポリシー・ファイルの名前です。2つの名前を一致させると便利ですが、必須ではありません。

ポリシーの名前に接頭辞「oracle_」を付けることはできません。そうしないと、そのポリシーを使用しようとしたときに例外が返されます。

1つ以上のWebサービス・ポリシーをインポートするには、次の手順を実行します。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「WSMポリシー」ページに移動します。

2. 「インポート」をクリックします。

インポートするポリシーを含むzipアーカイブ・ファイルの名前を提供するよう要求されます。

注意:

インポートするポリシーは、zipアーカイブで次のディレクトリ構造を使用している必要があります。

META-INF/policies/policyname

このディレクトリ構造の中で、policynameには、ポリシーが存在するディレクトリが含まれています。

11gでは、ポリシーはXMLファイルとしてエクスポートされました。11gドメインからエクスポートしたポリシーをインポートする場合は、前述の指定されたディレクトリ構造を使用して、ファイルをzipアーカイブに追加する必要があります。

3. 「インポート」ウィンドウで、「ファイルのアップロード」フィールドのzipアーカイブ・ファイルにファイルのパスおよびファイル名を入力するか、「参照」をクリックして、ポリシー・アーカイブ・ファイルがあるディレクトリに移動して、インポートするzipアーカイブ・ファイルを選択します。

4. 「インポート」をクリックします。

いずれかのポリシーでエラーが発生した場合、インポート・プロセスが停止します。たとえば、インポートするポリシーが5つあり、3つ目でエラーが発生した場合、最初の2つはインポートされますが、残りのポリシーはインポートされません。

情報ウィンドウが表示され、インポートされたポリシーがリストされます。「OK」をクリックするとウィンドウが閉じます。

インポートされたポリシーは、「WSMポリシー」ページのポリシーのリストに追加されます。

6.2.10 Webサービス・ポリシーのエクスポート

ポリシーをエクスポートし、開発環境から本番環境にポリシーをコピーしたり、単にポリシーを別のツールやアプリケーションで表示したりできます。

「Webサービス・ポリシーの作成および編集」の手順に従って作成したWebサービス・ポリシーをエクスポートできます。事前定義済のポリシーはエクスポートできません。これは同じ読取り専用バージョンのポリシーがターゲット環境に存在するからです。ポリシーをエクスポートすると、別のリポジトリへのインポート、Webサービスへのアタッチ、変更などを行えます。

Webサービス・ポリシーのエクスポートの詳細は、「ポリシーのインポートとエクスポートの異なるメカニズムの理解」を参照してください。

OWSMリポジトリからポリシーをエクスポートするには、次の手順に従います。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「WSMポリシー」ページに移動します。

2. オプションで、「「WSMポリシー」ページでのポリシーの検索」の説明に従って、検索を使用して表示されるポリシーのリストを絞り込みます。

3. ポリシーのリストからエクスポートするポリシー(複数可)を選択して、「エクスポート」をクリックします。

ポリシーはデフォルトで、policyexport.zipという名前のzipアーカイブ・ファイルに追加されます。

4. 必要に応じてアーカイブ・ファイルのファイル名を指定して、zipファイルの保存先のローカル・ディレクトリの場所を選択し、「保存」をクリックします。

各ポリシーのディレクトリ構造は、次の構造を使用してアーカイブ・ファイルに保持されます。

META-INF/policies/policyname

このディレクトリ構造の中で、policynameには、ポリシーが存在するディレクトリが含まれています。

6.2.11 Webサービス・ポリシーのバージョニング

ユーザーが作成したポリシーへの変更を保存するたびに、ポリシーの新しいバージョンが自動的に作成され、バージョン番号が増加されます。これらの変更履歴はポリシー・マネージャにより維持され、以前のバージョンに戻すことができます。

注意:

Oracleの事前定義済のポリシーは読取り専用であり変更できないため、バージョン制御は適用されません。

ポリシーのバージョニングでは、データベース・ベースのOWSMリポジトリを使用する必要があります。ファイルベースのリポジトリを使用している場合、バージョン情報は維持されず表示されません。

リポジトリにすでに存在する名前でドキュメントを再作成(既存のドキュメントのインポート、または新しいドキュメントの作成による)すると、バージョン番号が増分されます。

たとえば、ロギングを含むバージョンと含まないバージョンなど、2つの異なるバージョンのポリシーを作成し、交互に切り替えると便利です。別の例として、oracle/binding_authorization_denyall_policyポリシーなどのポリシーを、選択したロールと組み合せて使用して、Webサービスへのアクセスを一時的に禁止することが必要になる場合があります。

バージョニング機能を使用すると、複数のバージョンのポリシーを必要になるたびに再作成することなく再利用できます。

また、「ポリシー・バージョンの履歴」表からポリシーを選択し、「削除」をクリックすると、アクティブなポリシーを除く、任意のバージョンのポリシーを削除できます。

「ポリシー・バージョンの履歴」ページから、ポリシーを編集することはできません。ポリシーの編集は、「ポリシーの詳細」ページで行う必要があります。

次の項では、バージョニングについてより詳細に説明します。

- Webサービス・ポリシーのバージョン履歴の表示

- ポリシーの現行バージョンの変更

- Webサービス・ポリシーのバージョンの削除

- ポリシーのバージョンのエクスポート

6.2.11.1 Webサービス・ポリシーのバージョン履歴の表示

「ポリシー・バージョンの履歴」ページからWebサービス・ポリシーのバージョン履歴を表示できます。このページには「ポリシーの詳細」ページからアクセスできます。

ポリシーのバージョン履歴を表示するには、次の手順を実行します。

1. 「Webサービス・ポリシーの詳細の表示」の説明に従って、ポリシーの「ポリシーの詳細」ページに移動します。

2. まだ選択されていない場合は、ポリシーの「一般」タブを選択します。

3. ページの「バージョン情報」セクションでバージョン履歴をクリックします。

図6-5に示すように、ページの「ポリシーのバージョン」履歴が表示されます。ページの上部のバージョン履歴表にポリシー・バージョンが表示されます。現在アクティブなポリシーのバージョン番号が一番大きく、これがポリシー・サブジェクトにアタッチできる唯一のポリシーです。ただし、以前のバージョンのポリシーをアクティブなバージョンにすることもできます。

図6-5「ポリシー・バージョンの履歴」ページ

6.2.11.2 ポリシーの現行バージョンの変更

ポリシーの現行バージョンを変更するには、この手順に従います。

1. 「ポリシーの詳細」ページの「バージョン情報」セクションで、バージョン履歴をクリックして、「ポリシー・バージョンの履歴」ページを表示します。

2. ポリシー・バージョン表で現行にするバージョンを選択して、現在に設定をクリックします。

選択したポリシー・バージョンが現在のアクティブなポリシーになり、現在のバージョン番号が1つ大きくなります。ポリシーの旧バージョンは保持されます。

6.2.11.3 Webサービス・ポリシーのバージョンの削除

以前のバージョンのポリシーを削除するには、次の手順に従います。アクティブなポリシー・バージョンを除く、すべてのバージョンを削除することができます。アクティブなバージョンを含むすべてのバージョンのポリシーを削除するには、「Webサービス・ポリシーの削除」を参照してください。

Webサービス・ポリシーのバージョンを削除するには、次の手順を実行します。

1. 「ポリシーの詳細」ページの「バージョン情報」セクションで、バージョン履歴をクリックして、「ポリシー・バージョンの履歴」ページを表示します。

2. ポリシー・バージョン表で削除するバージョン(複数可)を選択して、「削除」をクリックします。

3. ポリシー・バージョンの削除の確認ボックスで、「OK」をクリックします。

選択したポリシー・バージョンが、OWSMリポジトリおよびポリシー履歴表から削除されます。

6.2.11.4 ポリシーのバージョンのエクスポート

ポリシーのバージョンをエクスポートするには、次の手順に従います。

1. 「ポリシーの詳細」ページの「バージョン情報」セクションで、バージョン履歴をクリックして、「ポリシー・バージョンの履歴」ページを表示します。

2. ポリシー・バージョン表でエクスポートするバージョンを選択して、「エクスポート」をクリックします。

ファイルを開くか保存するよう要求されます。

3. 「ファイルを保存」を選択して、「OK」をクリックします。

4. ファイルの保存先のローカル・ディレクトリに移動し、必要に応じてファイル名を更新します。

5. 「保存」をクリックします。

6.2.12 Webサービス・ポリシーの削除

ポリシーを削除する前に、ポリシーがポリシー・サブジェクトにアタッチされていないことを確認することをお薦めします。サブジェクトにアタッチされたポリシーの削除を試行すると、警告が表示されます。アタッチされたポリシーは削除できます。ただし、ポリシーが添付されているサブジェクトが次に起動されたときに、Webサービス・リクエストが失敗します。

注意:

ユーザーが作成したポリシーのみ削除できます。OWSMで配信された事前定義済のポリシーは読取り専用であり、編集または削除できません。

ポリシーを削除すると、アクティブなポリシーおよび以前のバージョンのすべてのポリシーが削除されます。アクティブなポリシー・バージョンを保持し、以前のバージョンのポリシーのみを削除するには、「Webサービス・ポリシーのバージョンの削除」を参照してください。

ユーザーが作成したWebサービス・ポリシーを削除するには、次の手順を実行します。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「WSMポリシー」ページに移動します。

オプションで、「拡張検索の使用」の説明に従って、検索を使用して表示されるポリシーのリストを絞り込みます。

2. 「WSMポリシー」ページから、ポリシーのリストから削除するポリシーを選択して、「削除」をクリックします。または、「アクション」→「削除」を選択します。

3. 削除の確認を要求するダイアログ・ボックスが表示されます。「削除」をクリックします。

6.3 Webサービス・ポリシーの検証

Webサービス・ポリシーで許可されているポリシー・アサーションのタイプと数には制限があります。ポリシーに含めることができるのは、単一のカテゴリに属するアサーションのみです。そのため、同じポリシー内で、セキュリティ・アサーションとMTOMアサーションを結合することはできません。ポリシー・タイプはアサーションのカテゴリで決定されます。したがって、セキュリティ・アサーションを含むポリシーはセキュリティ・ポリシーであり、管理アサーションを含むポリシーは管理ポリシーです。セキュリティ・アサーションは、さらにサブカテゴリ(認証、ロギング、メッセージ保護(msg-protection)および認可)に分類されます。

ポリシーに含めることのできるアサーションの数とタイプには制限があります。制限事項は次のとおりです。

- MTOMおよび信頼できるメッセージング・ポリシーに含めることができるのは1つのアサーションのみです。

- セキュリティ・ポリシーには複数のセキュリティ・アサーションを含めることができますが、ポリシー、暗号化、署名、および認証で許可されるのは次のサブカテゴリから1つのアサーションのみです。

- 認証とメッセージ保護の両方が含まれるアサーションもあります。たとえば、oracle/wss11_username_token_with_message_protection_service_policyを表示すると、図6-6で示すように、2つ目のアサーションはsecurity/authenticationとsecurity/msg-protectionの2つのカテゴリに分類されていることがわかります。

図6-6 2つのサブカテゴリを持つセキュリティ・アサーション

- セキュリティ・ポリシーには、security_log_templateアサーションをいくつでも含めることができます。たとえば、事前定義済のセキュリティ・ポリシーを表示すると、2つのロギング・アサーションが含まれています。

認証およびメッセージ保護に1つ目のポリシーを、認可に2つ目のポリシーを作成することをお薦めします。認証と認可の両方のアサーションを含むポリシーを作成する場合は、認証アサーションを認可アサーションより先に指定する必要があります。

新規ポリシーを作成するか、ユーザーが作成したポリシーを編集する場合は、検証プロセスによって、ポリシーがこれらの要件に一致することを確認します。ポリシーの作成中に検証が失敗すると、ポリシーは作成されますが無効とマークされます。

ポリシーを検証する手順は次のとおりです。

1. 表示または編集するポリシーの「ポリシーの詳細」ページで、「検証」をクリックします。

検証に成功した場合は、Policy is Validメッセージが表示されます。

検証が失敗すると、結果のエラー・メッセージにより問題が説明されます。必要な修正を行い、ポリシーを再度検証します。

2. ポリシーが正常に検証されたら、「保存」をクリックしてポリシーを保存します。

6.4 ポリシー・アサーション・テンプレートの管理

OWSMには、ポリシーの作成に使用することが可能な一連の事前定義済アサーション・テンプレートがあります。事前定義済アサーション・テンプレートは読取り専用で、変更できませんが、必要に応じて特定の要件を満たすために、それらのクローンを作成して、新規アサーション・テンプレートを作成できます。

詳細は、『Oracle Web Services Managerの理解』のポリシー・アサーションを使用したポリシーの作成に関する項を参照してください。

非標準のセキュリティ・トークンのサポートなど、必要な機能がそのまま使用できる状態で提供されない場合、OWSMでは、カスタム・ポリシー・アサーションを定義できます。詳細は、カスタム・アサーションの作成を参照してください。

「ポリシーへのアサーションの追加」の説明に従って、ユーザーが作成したポリシーに1つ以上のアサーションを追加できます。OWSMで提供される事前定義済のポリシーにアサーションを追加することはできません。これらのポリシーは読取り専用であり、変更できないためです。アサーションはポリシーに表示されている順序で実行されます。

事前定義済アサーション・テンプレートの詳細は、「Oracle Web Services Managerの事前定義済アサーション・テンプレート」を参照してください。

次の項では、ポリシー・アサーション・テンプレートの管理の詳細を説明しています。

- 「アサーション・テンプレート」ページへの移動について

- 「アサーション・テンプレート」ページの検索オプションの理解

- アサーション・テンプレートの詳細の表示

- アサーション・テンプレートのクローンの作成

- アサーション・テンプレートの編集

- アサーション・テンプレートの構成プロパティの編集

- アサーション・テンプレートのエクスポート

- アサーション・テンプレートのインポート

- アサーション・テンプレートの削除

6.4.1 「アサーション・テンプレート」ページへの移動について

アサーション・テンプレートは、「アサーション・テンプレート」ページからドメイン・レベルで管理できます。このページから、アサーション・テンプレートのコピー、編集、削除、インポートおよびエクスポートを実行できます。

6.4.2 「アサーション・テンプレート」ページの検索オプションの理解

アサーション・テンプレートの検索は、拡張検索機能、例による問合せフィルタを使用して、または検索の精度を上げるためにその2つの組合せを使用して、「アサーション・テンプレート」ページで実行できます。

詳細は次の項を参照してください。

- 拡張検索を使用したアサーション・テンプレートの検索

- 例による問合せフィルタを使用したアサーション・テンプレートの検索

6.4.2.1 拡張検索を使用したアサーション・テンプレートの検索

「アサーション・テンプレート」ページで、適切な検索条件を指定することによって、戻されるアサーション・テンプレート数を削減できます。これを行うには、次の手順を実行します。

1. 「「アサーション・テンプレート」ページへの移動について」で説明されているように、「アサーション・テンプレート」ページに移動します。

2. 「検索」ペインで、検索で使用する条件を指定します。

- 「アサーション名」フィールドで、アサーション・テンプレート名または名前の一部を入力して、検索の絞込みに使用する演算子を選択します。使用可能な演算子は、「次で始まる」、「次で終わる」、「次と等しい」および「次を含む」です。たとえば、メッセージ保護アサーション・テンプレートのみを検索するには、「次を含む」演算子を選択して、「アサーション名」フィールドにmessageを入力します。
パーセント(%)をワイルドカードとして、名前内の任意の場所で使用できます。アスタリスク(*)はワイルドカードとして認識されず、プレーン・テキストとして処理されます。検索では、大文字と小文字は区別されません。

- 「カテゴリ」フィールドで、アサーション・テンプレートが属するカテゴリを選択します。オプションは、「すべて」、「管理」、「セキュリティ」、「信頼できるメッセージング」、「MTOMアタッチメント」、「WSアドレス」、「接続」、「アトミック・トランザクション」、「構成」および「SOAP over JMSトランスポート」です。

または、「保存済検索」ドロップダウン・メニューから以前に保存した検索のいずれかを選択できます。検索パラメータは、検索フィールドに自動的に移入します。保存済の検索に「自動的に実行」オプションが指定されている場合は、その検索が自動的に実行されて、結果が、「アサーション・テンプレート」表に表示されます。

3. オプションで、例による問合せフィルタを使用したアサーション・テンプレートの検索の説明に従って、例による問合せフィルタを使用して検索を絞り込みます。2つの検索タイプを結合する場合、「例による問合せ」フィールドに入力されたデータは、「検索」フィールドで指定したデータにAND演算子を使用して追加されます。

4. 「検索」をクリックします。

「アサーション・テンプレート」表は、指定された検索条件に一致するアサーション・テンプレートのみ含むように更新されます。例による問合せを使用して検索の精度を上げなかった場合は、すべてのメッセージ保護アサーション・テンプレートがリストに表示されます。例による問合せを使用してクライアント・アサーション・テンプレートのみの検索の精度を上げた場合は、表示されるリストにはクライアント・メッセージ保護アサーション・テンプレートのみが含まれます。

5. オプションで、保存...をクリックして、リポジトリに検索条件を保存します。保存済検索には、「拡張検索」フィールドで指定した値のみが保存され、「例による問合せ」フィールドで指定した値は含まれないことに注意してください。

「保存済の検索の作成」ウィンドウで、「名前」フィールドに検索の名前を入力します。この保存済の検索を今後の検索のデフォルトの選択肢として使用するには、「デフォルトとして設定」を選択します。検索を選択したときに、その検索を自動的に実行するには、「自動的に実行」を選択します。

以前に保存した検索を変更するには、保存済の検索ドロップダウン・メニューからパーソナライズ...をクリックします。保存済の検索のパーソナライズ・ウィンドウで、ドロップダウン・メニューから保存済の検索を選択し、必要に応じて編集します。「適用」をクリックします。すべての検索の編集が終了したら、「OK」をクリックします。

6.4.2.2 例による問合せフィルタを使用したアサーション・テンプレートの検索

例による問合せフィルタにより、特定のフィールドを問い合せ、表に表示された結果をすばやく簡単にフィルタできます。

1. 検索フィールドが「アサーション・テンプレート」表の上部に表示されない場合は、「例による問合せ」アイコンをクリックします。検索フィールドが、「表示名」列、「カテゴリ」列および「名前」列の上に表示されます。

2. 検索する列の上のフィールドに検索条件を入力します。入力した値はcontains式として解釈されます。つまり、値は%value%でラップされ、その列に対して指定される値を含むすべての結果がフェッチされます。たとえば、クライアント・アサーション・テンプレートのみを検索するには、「名前」列の上の検索フィールドにclientを入力します。

3. 例による問合せフィルタを別々に使用している場合は(拡張検索フィールドと組み合せて使用するのではない)、[Enter]を押します。

表内に表示されるアサーション・テンプレートのリストは、検索条件に一致する結果のみ表示するようにフィルタされます。手順2で指定した例を使用して、クライアント・アサーション・テンプレートのみが表示されます。

注意:

「例による問合せ」検索フィールドは、拡張検索を使用したアサーション・テンプレートの検索で説明されるように、さらに検索結果の精度を上げるために拡張検索フィールドと組み合せて使用できます。一緒に使用する場合、「例による問合せ」フィールドに入力されたデータは、「検索」フィールドで指定したデータにAND演算子を使用して追加されます。結合された結果を取得するには、「検索」ボタンを使用する必要があります。

検索が完了したら、例による問合せ検索を手動で消去する必要があります。

6.4.3 アサーション・テンプレートの詳細の表示

アサーション・テンプレートの詳細を表示するには、次の手順に従います。Oracleからの事前定義済のアサーション・テンプレートは読取り専用であり、変更できません。これらのアサーション・テンプレートは読取り専用モードで表示されます。ユーザーが作成したアサーション・テンプレートは読取り専用ではなく、編集できます。

アサーション・テンプレートの詳細を表示するには、次の手順を実行します。

1. 「「アサーション・テンプレート」ページへの移動について」で説明されているように、「アサーション・テンプレート」ページに移動します。

オプションで、拡張検索を使用したアサーション・テンプレートの検索の説明に従って、検索を使用して表示されるアサーション・テンプレートのリストを絞り込みます。

2. アサーション・テンプレートのリストから表示するアサーション・テンプレートを選択して、「開く」をクリックします。または、「アクション」→「開く」を選択します。

図6-7にメッセージ保護サービス・アサーション・テンプレート付きWss10 SAML V2.0トークンの「アサーション・テンプレートの詳細」ページを示します。

図6-7 「アサーション・テンプレートの詳細」ページ

3. アサーション・テンプレートの詳細を確認します。

アサーション・テンプレートに関する一般的な情報がページの上部に表示されます。「構成」クリックすると、テンプレートの構成プロパティが表示されます。ページの「設定」セクションに、そのテンプレートに固有の設定が表示されます。各事前定義済アサーション・テンプレートの設定および構成プロパティの詳細は、「Oracle Web Services Managerの事前定義済アサーション・テンプレート」を参照してください。

6.4.4 アサーション・テンプレートの命名規則

アサーション・テンプレートに名前を付ける際には、事前定義済ポリシーに名前を付ける時に使用するのと同じ命名規則が使用されます。

事前定義済アサーション・テンプレートは、oracle/wss10_message_protection_service_templateなど、oracle/というディレクトリ名で始まり、最後の接尾辞_templateで識別されます。

推奨されている命名規則に従うことと、作成したアサーション・テンプレートは、事前定義済のアサーション・テンプレートが存在するoracleディレクトリと別のディレクトリに保存することをお薦めします。ルート・レベルのアサーション・テンプレートは、ディレクトリ(oracle以外)またはサブディレクトリに構成できます。

事前定義済ポリシーの命名規則の詳細は、『Oracle Web Services Managerの理解』のポリシーの推奨命名規則に関する項を参照してください。

6.4.5 アサーション・テンプレートのクローンの作成

ベースとして既存のテンプレートを使用して、新しいアサーション・テンプレートを作成できます。必要な動作に最も一致するアサーション・テンプレートを選択し、「類似作成」機能を使用して、そのコピーを作成し、新しい動作を取得するために必要な変更を行います。

Webサービス・ポリシーのクローンを作成するには、次の手順を実行します。

1. 「「アサーション・テンプレート」ページへの移動について」で説明されているように、「アサーション・テンプレート」ページに移動します。

2. オプションで、「アサーション・テンプレート」ページの検索オプションの理解の説明に従って、検索を使用して表示されるアサーション・テンプレートのリストを絞り込みます。

3. アサーション・テンプレートのリストからクローンを作成するアサーション・テンプレートを選択して、「類似作成」をクリックします。または、「アクション」→「類似作成」を選択します。

「アサーション・テンプレートの詳細」ページが表示されます。

4. アサーション・テンプレートの名前と表示名を編集し、オプションで短い説明を入力します。

クローンを作成したアサーション・テンプレートの名前および表示名にCopyという語が追加されます。これは、新しいアサーション・テンプレートに割り当てられるデフォルトの名前です。

この新しいアサーション・テンプレートの名前は、使用している環境で意味のある名前に変更することをお薦めします。詳細は、「アサーション・テンプレートの命名規則」を参照してください。

注意:

作成後にアサーション・テンプレート名は編集できません。アサーション・テンプレート名を変更するには、アサーション・テンプレートのクローンを作成して、それに異なる名前を割り当てる必要があります。

5. 必要に応じて、アサーション・テンプレート設定および構成プロパティを変更します。各事前定義済アサーション・テンプレートの設定および構成プロパティの詳細は、「Oracle Web Services Managerの事前定義済アサーション・テンプレート」を参照してください。構成プロパティの変更の詳細は、「アサーション・テンプレートの構成プロパティの編集」を参照してください。

6. 「保存」をクリックして新規アサーション・テンプレートを保存します。

6.4.6 アサーション・テンプレートの編集

次の手順に記載のとおり、ユーザーが作成したアサーション・テンプレートは編集できます。

注意:

OWSMで提供される事前定義済のアサーション・テンプレートは読取り専用であり、編集できません。事前定義済テンプレートを編集するには、そのクローンを作成し、クローン・バージョンを編集できます。

アサーション・テンプレートを編集するには、次の手順を実行します。

1. 「「アサーション・テンプレート」ページへの移動について」で説明されているように、「アサーション・テンプレート」ページに移動します。

オプションで、拡張検索を使用したアサーション・テンプレートの検索の説明に従って、検索を使用して表示されるアサーション・テンプレートのリストを絞り込みます。

2. アサーション・テンプレートのリストから編集するアサーション・テンプレートを選択して、「開く」をクリックします。または、「アクション」→「開く」を選択します。

3. 必要に応じて、表示名および説明を編集します。アサーション・テンプレート名は編集できません。アサーション・テンプレート名を変更するには、そのクローンを作成して、それに別の名前、および必要に応じてアサーション・テンプレートを割り当てて、「保存」をクリックします。

4. 必要に応じて設定を編集します。

各事前定義済アサーション・テンプレートの設定および構成プロパティの詳細は、「Oracle Web Services Managerの事前定義済アサーション・テンプレート」を参照してください。

5. 「構成」をクリックして、構成プロパティを編集します。

プロパティを削除するには、表内のプロパティを選択して、「削除」をクリックします。

6. 「OK」をクリックして、構成プロパティの変更を受け入れます。

7. 「保存」をクリックして、アサーション・テンプレートを保存します。

6.4.7 アサーション・テンプレートの構成プロパティの編集

事前定義済アサーション・テンプレートのいずれかのクローンを作成している場合は、環境に一致するように構成プロパティを変更できます。たとえば、アサーション・テンプレート内で構成できるプロパティには、csf-key、saml.issuer.name、keystore.recipient.alias、roleなどが含まれます。

注意:

事前定義済アサーション・テンプレートの構成プロパティは変更できません。これらは読取り専用で、変更できないためです。

アサーション・テンプレートのクローンの作成時、またはクローンを作成したアサーション・テンプレートの編集時には、各プロパティの次の設定を構成できます。

- 説明: プロパティの説明。

- 値: 現在の値。

- デフォルト: デフォルト値。この値は、「値」フィールドが設定されていない場合に使用されます。

- 「タイプ」は次のいずれかです。

- 定数: プロパティはオーバーライドできません。

- 必須: プロパティは必須であり、オーバーライドできます。この値は、「値」プロパティに値が設定されている必要があるか、または空白のままにすることができるかを決定します。

- オプション: プロパティはオプションであり、オーバーライドできます。

次の手順を実行して、プロパティを構成します。

1. クローンを作成するか、編集を行うアサーション・テンプレートで、「構成」をクリックします。

「構成」ウィンドウには、テンプレートのプロパティのリストが表示されます。

2. リストからプロパティを選択し、必要に応じてフィールドを変更します。既存のプロパティの名前は変更できないことに注意してください。

3. 必要に応じて構成のプロパティを追加または削除します。

構成プロパティを追加するには、「追加」をクリックします。表示される空白行に、プロパティの名前を入力します。残りのフィールドはオプションです。ただし、「必須」タイプを選択する場合は、プロパティの値を入力する必要があります。

構成プロパティを削除するには、表内のプロパティを選択して、「削除」をクリックします。

4. 構成プロパティを変更し終えたら、「OK」をクリックします。

5. 「保存」をクリックしてテンプレートへの変更内容を保存します。

注意:

「ポリシーへのアサーションの追加」で説明するように、ポリシーにアサーションを追加するときに、「値」、「デフォルト」および「説明」構成プロパティを環境に一致するように変更できます。アサーション・テンプレートで定義される「名前」および「タイプ」構成プロパティは変更できません。また表内の編集可能なフィールドではありません。

6.4.8 アサーション・テンプレートのエクスポート

作成した1つ以上のアサーション・テンプレートをエクスポートできます。事前定義済のアサーション・テンプレートはエクスポートできません。これは同じ読取り専用バージョンのテンプレートがターゲット環境に存在するからです。アサーション・テンプレートをエクスポートした後で、必要に応じてこれらのテンプレートを新規ディレクトリにコピーしたり、別のリポジトリにインポートしたりできます。

1つ以上のアサーション・テンプレートのエクスポートについては、アサーション・テンプレートのクローンの作成で説明されています。

1つ以上のアサーション・テンプレートをエクスポートするには、次の手順を実行します。

1. 「「アサーション・テンプレート」ページへの移動について」で説明されているように、「アサーション・テンプレート」ページに移動します。

2. オプションで、「アサーション・テンプレート」ページの検索オプションの理解の説明に従って、検索を使用して表示されるアサーション・テンプレートのリストを絞り込みます。

3. 「アサーション・テンプレート」のリストからエクスポートするテンプレート(複数可)を選択して、「エクスポート」をクリックします。

アサーション・テンプレートは、デフォルトで、assertiontemplatesexport.zipという名前のzipアーカイブ・ファイルに追加されます。

4. 必要に応じてアーカイブ・ファイルのファイル名を指定して、zipファイルの保存先のローカル・ディレクトリの場所を選択し、「保存」をクリックします。

各アサーション・テンプレートのディレクトリ構造は、次の構造を使用してアーカイブ・ファイルに保持されます。

META-INF/assertiontemplates/assertiontemplatename

このディレクトリ構造の中で、assertiontemplatenameには、テンプレートが存在するディレクトリが含まれており、テンプレート作成時に指定した値が表されます。

6.4.9 アサーション・テンプレートのインポート

ユーザーが作成した1つ以上のアサーション・テンプレートを含むzipアーカイブをインポートするには、この項の手順に従ってください。この機能と「エクスポート」を組み合せて使用することで、異なるリポジトリ間で1つ以上のアサーション・テンプレートを移動できます。アサーション・テンプレートがインポートされたら、それをWebサービス・ポリシーに追加し、変更できます。

アサーション・テンプレートをインポートするには、次の手順を実行します。

1. 「「アサーション・テンプレート」ページへの移動について」で説明されているように、「アサーション・テンプレート」ページに移動します。

2. 「インポート」をクリックします。

インポートするアサーション・テンプレートを含むzipファイルの名前を提供するよう要求されます。

注意:

インポートするアサーション・テンプレートは、zipアーカイブで次のディレクトリ構造を使用している必要があります。

META-INF/assertiontemplates/assertiontemplatename

このディレクトリ構造の中で、assertiontemplatenameには、テンプレートが存在するディレクトリが含まれています。

11gでは、アサーション・テンプレートはXMLファイルとしてエクスポートされました。11gドメインからエクスポートしたアサーション・テンプレートをインポートする場合は、前述の指定されたディレクトリ構造を使用して、ファイルをzipアーカイブに追加する必要があります。

3. 「インポート」ウィンドウで、「ファイルのアップロード」フィールドにzipファイルのパスおよびファイル名を入力します。または「参照」をクリックして、アサーション・テンプレートzipファイルが存在するディレクトリに移動して、インポートするzipファイルを選択します。

4. 「インポート」をクリックします。

いずれかのアサーション・テンプレートでエラーが発生した場合、インポート・プロセスが停止します。たとえば、インポートするアサーション・テンプレートが5つあり、3つ目でエラーが発生した場合、最初の2つはインポートされますが、残りのアサーション・テンプレートはインポートされません。

情報ウィンドウが表示され、インポートされたアサーション・テンプレートがリストされます。「OK」をクリックするとウィンドウが閉じます。

インポートされたアサーション・テンプレートは、「アサーション・テンプレート」ページのアサーション・テンプレートのリストに追加されます。

6.4.10 アサーション・テンプレートの削除

この項の手順に従って、作成またはインポートしたアサーション・テンプレートを削除します。OWSMで配信された事前定義済のアサーション・テンプレートは読取り専用であり、削除できません。

1. 「「アサーション・テンプレート」ページへの移動について」で説明されているように、「アサーション・テンプレート」ページに移動します。

2. オプションで、「アサーション・テンプレート」ページの検索オプションの理解の説明に従って、検索を使用して表示されるアサーション・テンプレートのリストを絞り込みます。

3. アサーション・テンプレートのリストから削除するアサーション・テンプレートを選択して、「削除」をクリックします。

アサーション・テンプレートの削除を確認するよう要求されます。

4. 選択内容を確認して、「削除」をクリックします。

選択したアサーション・テンプレートは、「アサーション・テンプレート」ページのアサーション・テンプレートのリストから削除されます。

6.5 ポリシーとアサーションの管理

ポリシーまたはポリシー内のアサーションを有効または無効にできます。

次の項では、ポリシーまたはポリシー内のアサーションを有効化または無効化するための異なる方法について説明します。

- 全ポリシー・サブジェクトのポリシーの有効化または無効化

- ポリシー内のアサーションの有効化または無効化

6.5.1 全ポリシー・サブジェクトのポリシーの有効化または無効化

ポリシーを作成すると、検証エラーが発生した場合を除き、デフォルトで有効化されます。ユーザーが作成したポリシーは、「ポリシーの詳細」ページからグローバルに有効化または無効化できます。ポリシーは中央の1つの場所から有効化または無効化でき、アタッチされているすべてのポリシー・サブジェクトに対して有効化または無効化されます。

注意:

すべてのポリシー・サブジェクトに対してOracleからの事前定義済ポリシーを無効化することはできません。これらのポリシーは、読取り専用であり、変更できません。ただし、個々のサブジェクトへのポリシー参照は無効化できます。詳細は、「Fusion Middleware Controlを使用した直接アタッチされたポリシーの有効化または無効化」を参照してください。

「ポリシーの詳細」ページからポリシーを無効化すると、ポリシーはポリシー・サブジェクトにアタッチされたままになりますが、無効化されます。ポリシーに、Webサービスへのすべてのリクエストが失敗する原因となる問題があることが検出された場合は、一時的にポリシーを無効化する必要があります。問題を修正すると、ポリシーをグローバルに有効化できます。

また、すべてのポリシー・サブジェクトではなく、特定のポリシー・サブジェクトのポリシーを選択的に有効化または無効化することもできます。詳細は、「Fusion Middleware Controlを使用した直接アタッチされたポリシーの有効化または無効化」を参照してください。

すべてのポリシー・サブジェクトに対してユーザーが作成したWebサービス・ポリシーを有効化または無効化するには、次の手順を実行します。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「WSMポリシー」ページに移動します。

オプションで、「拡張検索の使用」の説明に従って、検索を使用して表示されるポリシーのリストを絞り込みます。

2. ポリシーのリストから編集するポリシーを選択して、「開く」をクリックします。または、「アクション」→「開く」を選択します。

「ポリシーの詳細」ページが表示されます。事前定義済のポリシーの場合、このページは読取り専用です。ただし、ユーザーが作成したポリシーの場合、このページからポリシーを編集できます。「ポリシーの詳細」ページの詳細は、「Webサービス・ポリシーの詳細の表示」を参照してください。

3. まだ選択されていない場合は、「一般」タブを選択します。

4. 「有効」ボックスを選択するか、選択を解除して、ポリシーをそれぞれ有効または無効にします。

5. 「保存」をクリックします。

6.5.2 ポリシー内のアサーションの有効化または無効化

ポリシー内に含まれている1つ以上のアサーションを有効または無効にできます。これにより、実行されるアサーションに対してより詳細のレベルの制御が提供されます。

注意:

Oracleからの事前定義済ポリシーのアサーションを無効化することはできません。これらのポリシーは、読取り専用であり、変更できません。事前定義済ポリシーのアサーションを無効化するには、そのクローンを作成してからクローン・バージョンを編集する必要があります。

たとえば、読取り専用の事前定義済Webサービス・セキュリティ・ポリシーのいずれかに基づいたポリシーを作成した場合、プライマリ・セキュリティ・アサーションが実行される前後にSOAPメッセージ全体を取得するために、セキュリティ・ログ・アサーション・テンプレート(oracle/security_log_template)のインスタンスが含まれます。デフォルトでは、ロギング・アサーションは実行されません。SOAPメッセージがメッセージ・ログに記録されるようにするには、有効にする必要があります。ロギング・アサーションは、デバッグおよび監査にのみ有効化することをお薦めします。ロギングの詳細は、『Webサービスの管理』のログを使用した問題の診断に関する項を参照してください。

ポリシー内の1つ以上のアサーションを有効または無効にするには、次の手順を実行します。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「WSMポリシー」ページに移動します。

オプションで、「拡張検索の使用」の説明に従って、検索を使用して表示されるポリシーのリストを絞り込みます。

2. ポリシーのリストから編集するポリシーを選択して、「開く」をクリックします。または、「アクション」→「開く」を選択します。

「ポリシーの詳細」ページが表示されます。事前定義済のポリシーの場合、このページは読取り専用です。ただし、ユーザーが作成したポリシーの場合、このページからポリシーを編集できます。「ポリシーの詳細」ページの詳細は、「Webサービス・ポリシーの詳細の表示」を参照してください。

3. 「アサーション」タブを選択します。

4. 表内のアサーションを選択し、「強制」ボックスを選択または選択解除して、ポリシー内でアサーションをそれぞれ有効化または無効化します。

5. 「保存」をクリックします。

6.6 ポリシー使用状況の分析

この項で説明されているポリシーの使用状況機能では、データベース・ベースのOWSMリポジトリを使用する必要があります。データベース・ベースのリポジトリを使用していない場合は、ポリシーの使用状況に関する情報は利用できません。

ポリシーはドメイン・レベルで作成および管理されます。ポリシーを一元管理することにより、ポリシーを再利用し、複数のポリシー・サブジェクトに添付できるようになります。ポリシーの変更(ポリシーの編集または削除など)は、ポリシーが添付されているすべてのポリシー・サブジェクトに影響します。そのため、ポリシーを変更する前に使用状況分析を行い、どのサブジェクトで特定のポリシーが使用されているかを確認することをお薦めします。

注意:

使用状況分析では、どのポリシー・サブジェクトに影響があるかが識別されるのみで、変更の影響は明確になりません。各ポリシー・サブジェクトで変更内容を評価し、続行するかどうかを決定する必要があります。

使用状況分析を実行するには、次の手順を実行します。

1. 「「WSMポリシー」ページへの移動」の説明に従って、「WSMポリシー」ページに移動します。

オプションで、「拡張検索の使用」の説明に従って、検索を使用して表示されるポリシーのリストを絞り込みます。

「ポリシー」表の「アタッチメント数」列に、ポリシーが添付されているサブジェクトの数が表示されます。

2. 選択されたポリシーの「アタッチメント」列内の数をクリックして、「使用状況分析」ページを表示します。

「ポリシー・サブジェクト・リスト」は、サブジェクト・タイプ別にフィルタリングされます。表には、ポリシーが添付されている、選択されたタイプのポリシー・サブジェクトのリストが表示されます。有効なポリシー・サブジェクトには、OWSMリポジトリ・ドキュメントおよび『Oracle Web Services Managerの理解』のポリシー・サブジェクトの理解に関する項にリストされているサブジェクト・タイプが含まれます。「ポリシー・サブジェクト・リスト」サマリー表には、選択したポリシー・サブジェクト・タイプのみに関連するフィールドが表示されることに注意してください。

ポリシーが添付されているポリシー・サブジェクトの合計数は、ページの下方にある「アタッチメント数」フィールドに表示されます。

3. ポリシーが添付されているポリシー・サブジェクトを表示するには、「サブジェクト・タイプ」メニューからサブジェクト・タイプを選択します。

「サブジェクト・タイプ」メニューは、ポリシーが添付されている各サブジェクト・タイプのアタッチメント数を提供します。

4. OWSMメタデータを保存するために、複数のドメインが同じOWSMリポジトリを共有する場合、ローカル・ドメインまたは企業内のすべてのドメインでポリシー・サブジェクトを表示するかどうかを指定できます。企業内のすべてのドメインのポリシー・サブジェクトを表示するには、「オプションの表示」フィールドを選択します。

次のことに注意してください。

- ポリシーの使用状況数には、有効化されたポリシー参照と無効化されたポリシー参照の両方が含まれます。ポリシー参照の無効化の詳細は、「Fusion Middleware Controlを使用した直接アタッチされたポリシーの有効化または無効化」および「すべてのポリシー・サブジェクトに対するポリシーの有効化または無効化」を参照してください。

- 正確なポリシー使用状況数を表示するには、ADF DCクライアントを起動する必要があります。

6.7 ポリシー・アサーションの通知について

WSDLファイル内のポリシー・アサーションの通知を有効にできます。

次のいずれかのタスクを実行する際、WSDLファイル内でポリシー・アサーションの通知を有効にするには、図6-8に示すように、「アサーション」タブの「通知済」オプションを選択します。

- アサーション・テンプレートの作成または編集。「Webサービス・ポリシーの作成および編集」を参照してください。

- ポリシーへのアサーションまたはORグループの追加。次を参照してください:

- Webサービス・ポリシーの作成および編集

- ポリシーへのアサーションの追加

- ポリシーへのORグループの追加

注意:

WADLファイルでのポリシー・アサーションの通知はサポートされていません。関連づけられたポリシーがRESTful Webサービスにアタッチされている場合は、「通知済」オプションは効果がありません。

図6-8 ポリシー・アサーションの通知の有効化

6.8 WS-PolicyおよびWS-SecurityPolicyのバージョンの通知について

標準WSDL(?wsdl)ファイルの場合、WS-PolicyおよびWS-SecurityPolicyで異なるバージョンの組合せをパブリッシュできます。

たとえば、http://localhost:8080/abc?wsdl&wsp=1.5&wssp=1.2は、次のポリシー・バージョンがパブリッシュされたWSDLが返されます: WS-Policy 1.5およびWS-SecurityPolicy 1.2。

注意:

Oracle WSDL(?orawsdl)の場合、WS-PolicyおよびWS-SecurityPolicyで異なるバージョンの組合せを通知できません。?orawsdlの場合、ポリシーは次のバージョンのみでアドバタイズされます: WS-Policy 1.2およびWS-SecurityPolicy 1.1 (Oracle拡張機能付き)。

表6-1は、有効なバージョンの組合せをリストしています。

表6-1 ポリシー通知

バージョンの組合せ

説明

?wsdl

WS-Policy 1.2およびWS-SecurityPolicy 1.1

?wsdl&wsp=1.5

WS-Policyバージョン1.5およびWS-SecurityPolicy 1.3

?wsdl&wssp=1.2

WS-Policyバージョン1.5およびWS-SecurityPolicy 1.2

?wsdl&wssp=1.3

WS-Policyバージョン1.5およびWS-SecurityPolicy 1.3

?wsdl&wsp=1.5&wssp=1.2

WS-Policy 1.5およびWS-SecurityPolicy 1.2

?wsdl&wsp=1.5&wssp=1.3

WS-Policy 1.5およびWS-SecurityPolicy 1.3

?wsdl&wsp=1.2&wssp=1.2

WS-Policy 1.2およびWS-SecurityPolicy 1.2

第III部 Webサービスの保護

ここでは、メッセージ保護、SSL、認証および認可に対してWebサービスを構成する方法について説明します。様々なハードウェア・モジュールをOracle Web Services Manager (OWSM)と統合することもできます。

トピック:

- 「Webサービスのメッセージ保護の構成」では、キーストアおよび資格証明ストアの使用方法について説明します。また、アイデンティティ拡張の使用方法と、Oracle Coherenceを使用してNonceをキャッシュする方法も説明します。

- 「個人情報の保護」では、PIIセキュリティ・ポリシーを使用して個人を識別できる情報(PII)を保護する方法を説明します。

- 「トランスポート・レベル・セキュリティの構成(SSL)」では、SSL形式でトランスポート・レベルのセキュリティを使用する方法について説明します。WebLogic ServerおよびWebサービス・クライアントの一方向および双方向SSLの構成方法について説明します。また、Oracle HTTP ServerのSSLの構成方法についても説明します。

- 「Oracle Web Services Managerを使用した認可の構成」では、保護するリソースの決定、認可権限およびOPSSリソース名の設定など、OWSMで認可を構成する方法について説明します。また、OESを使用したファイングレイン認可の構成方法も説明します。

- 「Oracle Web Services Managerを使用した認証の構成」では、認証プロバイダ、ダイジェスト認証、SAML、Kerberos、ActiveDirectory、WS-Trust、アイデンティティ拡張など、OWSMで認証を構成する方法について説明します。

- 「Oracle Web Services Managerを使用したセキュア通信の構成」では、WS-SecureConversationの構成方法について説明します。

- 「ハードウェアとOracle Web Services Managerの統合」では、Web Services Managerと様々なハードウェア・セキュリティ・モジュールとのOracle SPARC T4およびSPARC T5暗号化アクセラレーションのための統合について説明します。

7 Webサービスのメッセージ保護の構成

このトピックでは、メッセージ保護の構成を紹介し、説明します。この章では、セキュリティ・ポリシーを使用するために、Fusion Middleware ControlおよびWebLogic Server環境を構成する必要があります。SSLセキュリティ・ポリシーによるメッセージ保護および認証、またはメッセージ保護セキュリティ・ポリシーを使用するには、キーストアおよびトラストストアを設定する必要があります。(認証のみのセキュリティ・ポリシーでは鍵は不要です。)

トピック:

- Webサービスのメッセージ保護の構成の概要

- メッセージ保護に関するキーストアの構成の概要

- アプリケーション・レベルの資格証明マップの作成について

- サービス・アイデンティティ証明拡張の理解

- Oracle CoherenceでのNonceのキャッシュ

- Fusion Middleware Controlを使用した部分的な暗号化の構成について

7.1 Webサービスのメッセージ保護の構成の概要

メッセージを保護するには、メッセージの機密保持の場合はメッセージを暗号化し、メッセージ整合性の場合はメッセージに署名する必要があります。OWSM事前定義済ポリシー、およびいずれかのメッセージ保護アサーション・テンプレートを使用して作成したポリシーにより、メッセージの機密保持またはメッセージ整合性(あるいはその両方)のオプションが提供されます。

次の手順は、メッセージが保護されるよう、クライアントおよびサービスを構成するために実行が必要な操作をまとめたものです。

- 適切なメッセージ保護ポリシーをクライアントおよびサービスのそれぞれにアタッチします。
注意: メッセージ保護のみのポリシーは、リクエスタの認証または認可を行いません。

- メッセージ整合性が必要な場合には、メッセージに署名します。

- メッセージ機密保護が必要な場合には、メッセージを暗号化します。

- 必要な公開鍵と秘密鍵を、クライアントおよびサービスのキーストアに追加します。この手順を実行するには、「メッセージ保護に関するキーストアの構成の概要」の説明に従って、キーストアを構成しておく必要があります。

SOAPメッセージの署名および暗号化のために、WebLogicドメインのOWSMキーストアに格納する公開/秘密の署名/暗号化鍵を使用します。キーストア構成はドメイン全体に適用されるため、ドメイン内のすべてのWebサービスおよびWebサービス・クライアントがこのキーストアを使用します。

現在のリリースで使用可能なメッセージ保護ポリシーのサマリーは、「Webサービスに使用する事前定義済ポリシーの決定」の「メッセージ保護のみのポリシー」および「メッセージ保護および認証のポリシー」を参照してください。

注意:

OWSMランタイムでは、WebLogic Server管理コンソールにより構成され、「SSLに関するキーストアの構成について」の記載に従ってSSL用に使用されるWebLogic Serverキーストアは使用しません。

7.2 メッセージ保護に関するキーストアの構成の概要

鍵とキーストアにより、メッセージ保護を構成するための基本が提供されます。SSLセキュリティ・ポリシーによるメッセージ保護および認証、またはメッセージ保護セキュリティ・ポリシーを使用するには、キーストアおよびトラストストアを設定する必要があります。(認証のみセキュリティ・ポリシーには鍵は必要ありません)。キーストアには、エンティティ秘密鍵およびその秘密鍵に関連付けられた証明書が含まれます。トラストストアには、認証局(CA)からの証明書、またはこのエンティティが信頼する他のエンティティからの証明書が含まれます。キーストアおよびトラストストアは共通ストアに保持できます。

OWSMは、次のキーストアのサポートを提供します。

- キーストア・サービス(KSS)。詳細は、「メッセージ保護に関するOPSSキーストア・サービスの理解」を参照してください。

- Javaキーストア(JKS)。詳細は、「メッセージ保護に関するJavaキーストアの理解」を参照してください。

- ハードウェア・セキュリティ・モジュール(HSM)。キーストアとしてのHSMの使用方法の詳細は、「OWSMでのハードウェア・セキュリティ・モジュールの使用」を参照してください。

- PKCS11.PKCS11キーストアの使用方法の詳細は、「Oracle SPARC T5およびSPARC T4暗号化アクセラレーションのためのOWSMの構成について」を参照してください。

この項では、JKSおよびKSSキーストアの作成方法、およびこれらのキーストアに鍵および証明書を移入する方法について説明します。

これらのキーストアを作成した後で、ドメイン・レベルでOWSMキーストアを構成する必要があります。詳細は、以下のトピックを参照してください。

- Fusion Middleware Controlを使用したOWSMキーストアの構成

- WLSTを使用したOWSMキーストアの構成

この項では、次の項目について説明します。

- メッセージ保護に関するOPSSキーストア・サービスの理解

- メッセージ保護に関するJavaキーストアの理解

- 資格証明ストアを構成するための鍵およびユーザー資格証明の追加

7.2.1 メッセージ保護に関するOPSSキーストア・サービスの理解

OPSSキーストア・サービスでは、メッセージ・セキュリティを確保するためにキーおよび証明書を管理する方式が提供されています。これはメッセージ・セキュリティのためにキーと証明書を管理するためのデフォルトの方法です。

詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』のキーストア・サービスによる鍵および証明書の管理に関する項を参照してください。

この項では、次の項目について説明します。

- OPSSキーストア・サービスを使用したメッセージ保護の構成

- JKSキーストアからKSSキーストアへの移行

- 証明書のKSSキーストアへのインポート

- keystore.sig.csf.keyおよびkeystore.enc.csf.key属性のオーバーライド

- 期限切れになった証明書または鍵の更新または再生成

7.2.1.1 OPSSキーストア・サービスを使用したメッセージ保護の構成

このトピックでは、メッセージ保護に関するOPSSキーストア・サービスの使用方法について説明します。

注意:

OWSMの旧リリースでは、JKSキーストアがデフォルトで使用されていました。バージョン12.1.2では、OPSSキーストア・サービスは元のインストール用にデフォルトで使用されます。前のリリースからアップグレードする場合は、既存のJKSキーストアが使用されます。Fusion Middleware ControlおよびWLSTの両方を使用して、OPSSキーストア・サービス操作を実行できます。ここでは、Fusion Middleware Controlの手順に焦点を当てますが、「キーストア・サービスを使用したキーと証明書の管理」では、両方の方法について説明しています。

メッセージ保護にOPSSキーストア・サービスを使用する手順は、次のとおりです。

1. ストライプを作成し、それにowsmという名前を付けます

a. コンテンツ・ペインで、「WebLogicドメイン」→「セキュリティ」→「キーストア」を選択します。

b. 「ストライプの作成」をクリックします。図7-1に、「ストライプの作成」画面を示します。

c. 「owsm」と入力し、「OK」をクリックします。

図7-1 ストライプの作成

2. owsmストライプ内で、 keystoreという名前のキーストアを作成します(詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』のFusion Middleware Controlでのキーストアの作成に関する項を参照してください。)

a. 作成したowsmストライプを選択し、「キーストアの作成」をクリックします。
図7-2に、「キーストアの作成」ページを示します。

図7-2 キーストアの作成

b. このキーストアにkeystoreという名前を付けます。

c. 保護タイプを「ポリシー」に設定します。(このリリースでは、パスワードで保護されたKSSはサポートされていません。)

d. 「権限の付与」チェック・ボックスの選択を解除します。

e. コード・ベースURLは指定しないでください。

f. 「OK」をクリックします。

3. 作成したキーストアを選択し、「管理」をクリックします。
図7-3に、「証明書の管理」画面を示します。

図7-3 証明書の管理

4. 「鍵ペアの生成」をクリックし、公開鍵と秘密鍵のペアを生成します。
一般的に、署名および暗号化の両方のリクエストに対してこの鍵ペアを使用します。ただし、必要に応じて、署名および暗号化で別個の鍵ペアを作成できます。

図7-4に、「鍵ペアの生成」画面を示します。

図7-4 「鍵ペアの生成」

a. 鍵ペアにorakeyなどの別名を指定します。

b. 必要に応じて、他のサイト固有の情報を指定します。

c. 環境に適合する場合、デフォルトのRSAキー・サイズを受け入れます。キーの長さは1024ビット以上にする必要があります。

d. 「OK」をクリックします。

5. 「KSSキーストアを使用するためのOWSMの構成」の説明に従って、このキーストアと別名を使用するようにOWSMを構成します。

6. 必要に応じて、『Oracle Platform Security Servicesによるアプリケーションの保護』のFusion Middleware Controlを使用した証明書または信頼できる証明書のインポートに関する項の説明に従って、オプションで信頼できる証明書を取得します。

7.2.1.2 JKSキーストアからKSSキーストアへの移行

既存のJKSキーストアがある場合は、JKSキーストアからKSSキーストアに1つ以上の別名を移行できます。これを行うには、次の手順を実行します:

1. インポートする別名がJKSキーストア内にあることを確認します。これを実行するには、keytool(または自分で選択したツール)を使用できます。

C:\keytool -list  -keystore default-keystore.jks
Enter keystore password:

Keystore type: JKS
Keystore provider: SUN

Your keystore contains 1 entry

orakey, May 16, 2013, PrivateKeyEntry,
Certificate fingerprint (SHA1): DE:0C:37:D5:34:92:00:2E:30:D7:10:EF:93:A5:C0:04:
52:02:26:B7

2. 「コマンド行でのキーストアのインポート」の説明に従って、WLSTを使用し、コマンド行でimportKeyStoreスクリプトを使用してキーストアから1つ以上の別名をインポートできます。

次に例を示します。

connect("<wls adminuser>","<wls admin password>","t3://<host>:<port>")
svc = getOpssService(name='KeyStoreService')
:
:
svc.importKeyStore(appStripe='owsm',name='keystore',password='password', aliases='orakey', keypasswords='password', type='JKS', permission=true, filepath=<'JKS keystore location'>);
Location changed to domainRuntime tree. This is a read-only tree with DomainMBean as the root.
For more help, use help('domainRuntime')
Keystore imported. Check the logs if any entry was skipped.
:
:
wls:/rc6_domain/serverConfig> svc.listKeyStoreAliases(appStripe="owsm",name="key
store", password='',type="*")
Already in Domain Runtime Tree

democa
orakey
wls:/rc6_domain/serverConfig>

このコマンドを使用して複数のキーをインポートするには、別名とキー・パスワードのカンマ区切りリストを指定します。KSSキーストアは、権限を使用して保護されているため、パスワードを使用しません。

3. OWSMドメイン構成メッセージ・セキュリティ画面を変更して、署名の別名に使用する別名をKSSキーストアから反映させて、必要に応じてその別名を暗号化します。

たとえば、JKSキーストアから別名orakeyおよびoratestをインポートしている場合は、署名の別名としてorakeyを選択し、暗号化の別名としてoratestを選択できます。

次の手順は、「KSSキーストアを使用するためのOWSMの構成」を参照してください。

7.2.1.3 証明書のKSSキーストアへのインポート

『Oracle Platform Security Servicesによるアプリケーションの保護』のキーストア・サービスを使用したキーと証明書の管理に関する項で説明するように、キーストアをエクスポートおよびインポートできます。KSSはJKSおよびJCEKSの証明書形式の移行をサポートしています。

OWSMの旧リリースでは、JKSキーストアがデフォルトで使用されていました。バージョン12.1.2では、KSSキーストア・サービスは元のインストール用にデフォルトで使用されます。前のリリースからアップグレードする場合は、既存のJKSキーストアが使用されます。

既存のJKSキーストア証明書をKSSキーストアにインポートする場合は、『Oracle Platform Security Servicesによるアプリケーションの保護』のFusion Middleware Controlを使用した証明書または信頼できる証明書のインポートに関する項を参照してください。

7.2.1.4 keystore.sig.csf.keyおよびkeystore.enc.csf.key属性のオーバーライド

「ポリシー構成のオーバーライドの概要」の説明に従ってkeystore.sig.csf.keyおよびkeystore.enc.csf.keyをオーバーライドする場合は、csf-keyのかわりに、選択したキーストア別名を直接ポイントするように属性値を変更する必要があります。

KSSキーストア・サービスは、パスワードを使用しません。また、資格証明ストアを構成する必要はありません。署名鍵と暗号化鍵の別名は、鍵の格納と取得に使用されます。

keystore.sig.csf.keyおよびkeystore.enc.csf.keyをオーバーライドしない場合は、ユーザーの側でアクションは必要ありません。

7.2.1.5 期限切れになった証明書または鍵の更新または再生成

OPSSキーストアのCAが更新されたか、新しいCAが使用される場合、それらのすべての鍵(以前のCAを使用して発行された署名/暗号化鍵など)を再生成する必要があります。期限切れになった証明書を更新するには:

- WLSTコマンドlistExpiringCertificatesを使用します。

構文:

svc.listExpiringCertificates(days='days', autorenew=true|false)
ここで:

- svc: getOpssService()へのコールによって取得したサービス・コマンド・オブジェクト。

- days: 期限までの日数がこの日数以下の証明書のみをリストします。すべての証明書が更新されるまでに多くの日数が必要となります。

- autorenew: 期限が切れる証明書を自動的に更新する場合はtrue、表示するだけの場合はfalse。

例:

svc.listExpiringCertificates(days='9999', autorenew=true)

Fusion Middleware ControlおよびWLSTを使用して、鍵ペアを再生成できます。詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』の鍵と証明書の管理に関する項を参照してください。

7.2.2 メッセージ保護に関するJavaキーストアの理解

デフォルトのKSSのかわりにJavaキーストアを使用するオプションがあります。Javaキーストアには、エンティティ秘密鍵およびその秘密鍵に関連付けられた証明書が含まれます。

ドメインごとに単一のOWSMキーストアが存在し、ドメイン内で実行するすべてのWebサービスおよびクライアントによってそのキーストアが共有されます。したがって、この項の説明に従ってJKSキーストアを構成した場合、OWSMではそのJKSキーストアのみが使用され、すでに定義されているKSSキーストアは無視されます。

この項では、次の項目について説明します。

- 秘密鍵の生成およびJavaキーストアの作成

- 信頼できる証明書の入手と、キーストアへのインポート

- OWSMキーストアの構成

7.2.2.1 秘密鍵の生成およびJavaキーストアの作成

次の項では、keytoolユーティリィティを使用して秘密鍵ペアおよびJavaキーストア(JKS)を作成する方法について概要を示します。keytoolユーティリティのコマンドと引数のより詳細な情報は、このWebアドレスで見つけられます。

http://docs.oracle.com/javase/6/docs/technotes/tools/windows/keytool.html

1. domain_home/config/fmwconfigディレクトリに移動します。domain_homeは、キーストアが使用されるドメインの名前および位置です。

2. 鍵ペアを生成し、キーストアを作成するために(まだ作成していない場合)、次のようなkeytoolコマンドを入力します。

keytool -genkeypair -keyalg RSA -alias orakey -keypass password -keystore default-keystore.jks -storepass password -validity 3600

注意:

keytoolコマンドを起動するために、PATH変数の定義にjdk/binディレクトリを追加することが必要になる場合があります。

コマンドの説明は次のとおりです。

- genkeypairは、aliasパラメータによって指定されたエントリに格納される新しい公開鍵/秘密鍵ペアを作成します。

- keyalgは、鍵のペアを生成するために使用するアルゴリズムを指定します(この例ではRSA)。

注意:

デフォルトの鍵ペア生成アルゴリズムはDigital Signature Algorithm(DSA)です。DSA鍵は署名でのみ使用できるのに対して、RSA鍵は署名および暗号化の両方で使用できます。したがって、暗号化および署名で同じ鍵を使用する場合(一般的なシナリオ)、-keyalg RSAを明示的に指定します。そうしない場合、keytoolではDSAがデフォルトになります。

- aliasは、鍵ペアを参照する場合に使用する別名orakeyを指定します。

- keypassは、生成された鍵ペアの秘密鍵を保護するために、パスワードpasswordを使用するように指示します。

- keystoreは、default-keystore.jksという名前のキーストアを作成します。キーストアがすでに存在する場合は、鍵ペアがキーストアに追加されます。

- storepassは、キーストアの整合性を保護するために使用されるパスワードとしてpasswordを指定します。

- validityは、keypairが3600日間有効であることを示します。

keytoolユーティリィティは、鍵の作成のために使用される名前、組織単位および組織、局所性(市区町村、都道府県、国)を尋ねるプロンプトを表示します。

What is your first and last name?
[Unknown]:  orcladmin
What is the name of your organizational unit?
[Unknown]:  Doc
What is the name of your organization?
[Unknown]:  Oracle
What is the name of your City or Locality?
[Unknown]:  US
What is the name of your State or Province?
[Unknown]:  US
What is the two-letter country code for this unit?
[Unknown]:  US
Is CN=orcladmin, OU=Doc, O=Oracle, L=US, ST=US, C=US correct?
[no]:  y

3. 必要に応じて、「信頼できる証明書の入手と、キーストアへのインポート」の説明に従って、信頼できる証明書をキーストアにインポートします。

4. 必要に応じて、キーストアのコンテンツを表示するためにkeytool -listコマンドを使用します。

keytool -list -keystore default-keystore.jks

プロンプトが表示されたら、キーストアの作成時に指定したキーストアのパスワードを入力します。

Enter keystore password:

Keystore type: JKS
Keystore provider: SUN

Your keystore contains 1 entry

Alias name: orakey
Creation date: Mar 9, 2011
Entry type: PrivateKeyEntry
Certificate chain length: 1
Certificate[1]:
Owner: CN=orcladmin, OU=Doc, O=Oracle, L=US, ST=US, C=US
Issuer: CN=orcladmin, OU=Doc, O=Oracle, L=US, ST=US, C=US
Serial number: 4d77aff6
Valid from: Wed Mar 09 11:51:02 EST 2011 until: Fri Jan 15 11:51:02 EST 2021
Certificate fingerprints:
MD5:  DF:EC:3C:60:CF:8B:10:A7:73:3A:51:99:4C:A3:D0:2E
SHA1: E0:52:58:EB:34:51:E4:9B:D4:13:C2:CB:F3:CC:08:89:EF:4E:4E:05
Signature algorithm name: SHA1withRSA
Version: 3

*******************************************
*******************************************

7.2.2.2 信頼できる証明書の入手と、キーストアへのインポート

VerisignやEntrust.netのような認証局(CA)から証明書を取得し、キーストアに含めることができます。証明書を取得するには、証明書リクエストを作成してCAに送信する必要があります。CAは、証明書リクエストを認証し、リクエストに基づいてデジタル証明書を作成します。

信頼できる証明書を取得し、その証明書をキーストアにインポートするには、次の手順を実行します。

1. 秘密鍵と自己署名証明書を生成します。自己署名証明書は、信頼できる証明書に置き換えられます。

注意:

「秘密鍵の生成およびJavaキーストアの作成」の説明に従って以前に作成した自己署名証明書がキーストアにすでに含まれる場合は、この手順を無視して手順2に進むことができます。

keytool -genkeypairコマンドを使用して、指定の別名に対する鍵ペアを生成します(この例ではorakey)。存在しない場合は、キーストアが作成されます。

keytool -genkeypair -keyalg RSA -alias orakey -keypass password -keystore
default-keystore.jks -storepass password -validity 3600

2. 証明書リクエストを生成します。

リクエストの生成には、keytool -certreqコマンドを使用します。次のコマンドでは、orakey別名の証明書リクエストおよびcertreq_fileという名前の証明書署名リクエスト(CSR: Certificate Signing Request)が生成されます。

keytool -certreq -alias orakey -sigalg "SHA1withRSA" -file certreq_file -storetype jks -keystore default-keystore.jks

3. たとえばVeriSignなどのCAにCSRファイルを送信します。CAによりリクエストが認証され、証明書または証明書チェーンが返されます。

4. CAの公開鍵を認証するCAルート証明書をインポートします。

keytool -importcertコマンドにより、別名verisigncaを使用して、信頼できるCAルート証明書(この例ではVerisignCAcert.cerという名前)をdefault-keystore.jksキーストアにインポートします。keytoolユーティリティから必要なパスワードを要求するプロンプトが表示されます。

keytool -importcert -alias verisignca -trustcacerts -file VerisignCAcert.cer -keystore default-keystore.jks

5. 証明書リクエストに対応してCAによって発行された自己署名証明書を信頼できるCA証明書で置き換えます。

keytool -importcertコマンドを使用します。次のコマンドは、この例ではMyCertIssuedByVerisign.cerという名前の信頼できるCA証明書で、別名orakeyの自己署名証明書を置換します。keytoolユーティリティから必要なパスワードを要求するプロンプトが表示されます。

keytool -importcert -trustcacerts -alias orakey -file MyCertIssuedByVerisign.cer -keystore default-keystore.jks

7.2.2.3 OWSMキーストアの構成

キーストアを作成した後で、JKSキーストアを使用するようにドメイン・レベルでOWSMを構成する必要があります。これはFusion Middleware ControlまたはWLSTコマンドを使用して行うことができます。詳細については、次のセクションを参照してください。

詳細については、次のセクションを参照してください。

- JKSキーストアを使用するためのOWSMの構成

- WLSTを使用したOWSMキーストアの構成

7.2.3 資格証明ストアを構成するための鍵およびユーザー資格証明の追加

OWSMは、保護された形式で資格証明を管理するために資格証明ストア・フレームワーク(CSF: Credential Store Framework)を使用します。CSFは、Webサービスやその他のアプリケーションの資格証明を格納、取得および削除する手段を提供します

OWSMは、次の検索のために資格証明ストアを使用します。

- Javaキーストア内の鍵の別名およびパスワード。
OWSMがJavaキーストアから別名およびパスワードを検索するために資格証明ストアを使用する方法の詳細は、Webサービス・セキュリティの概念の理解を参照してください。

- 認証に使用されるユーザー名およびパスワード。
たとえば、認証のためにユーザー名トークンを受け入れるWebサービスがあるとします。このWebサービスと対話するWebサービス・クライアントを作成した場合、Webサービスに送信できるユーザー名およびパスワードでWebサービス・クライアントを構成する必要があります。(Fusion Middleware ControlまたはWLSTのいずれかを使用して)資格証明ストアにこのユーザー名とパスワードを格納し、それにCSFキーを割り当てます。

たとえば、oracle/wss_username_token_client_policyポリシーにはcsf-keyプロパティが含まれており、そのデフォルト値はbasic.credentialsです。wss_username_token_client_policyを使用するには、資格証明名basic.credentialsと、クライアントが接続時に使用する必要があるユーザー名およびパスワードを使用して、CSF内に新しいパスワード資格証明を作成します。この同じクライアント・ポリシーを使用する2つのWebサービス・クライアントが存在する場合、これらのクライアントで同じパスワード資格証明(デフォルト値はbasic.credentials)を共有することもできますし、それぞれが独自の資格証明を持つこともできます。後者の場合は、クライアント1およびクライアント2についてそれぞれ、CSF内に2つのパスワード資格証明(たとえばApp1.credentials、App2.credentials)を作成する必要があります。クライアント1ではcsf-key構成オーバーライドにApp1.credentialsを設定し、クライアント2ではcsf-keyプロパティにApp2.credentialsを設定します。詳細は、「ポリシー構成のオーバーライドの概要」を参照してください。いずれの場合も、ユーザー名およびパスワードがOPSSアイデンティティ・ストア内の有効なユーザーを表す必要があることに注意してください。

パスワード資格証明はユーザー名とパスワードを保存できます。汎用的な資格証明はどのような資格証明オブジェクトも保存できます。

CSF構成は、 domain-home/config/fmwconfigディレクトリのjps-config.xmllファイル内で維持されます。

注意:

「OWSMキーストアの構成」の説明に従ってKSSキーストアを構成した場合、資格証明ストアoracle.wsm.securityマップは作成されません。資格証明ストアを使用してユーザー資格証明を格納するには、その前に資格証明ストアを作成する必要があります。

資格証明ストアは、KSSキーストアが使用されるときに、キーストア別名を格納するために使用されません。

「OWSMキーストアの構成」の説明に従ってJKSキーストアを構成した場合、指定した別名およびパスワードは資格証明ストアに安全に格納されています。ただし、キーストアに他の別名を追加するか、クライアントの認証資格証明を追加する必要がある場合、次の項の説明に従って、資格証明ストアでもそれらが構成および格納されていることを確認する必要があります。

Fusion Middleware ControlまたはWLSTコマンドを使用して、資格証明ストアに鍵およびユーザー資格証明を追加できます。次の手順では、両方の方法について説明します。

注意:

この項で例としてと取りあげている手順では、前述のbasic.credentialsキーにユーザー資格証明を追加する方法、および『Oracle Web Services Managerの理解』のメッセージ保護ポリシーに関する秘密鍵と証明書の設定に関する項で説明されるServiceAおよびServiceB別名の例を示しています。

それぞれの環境では、構成に対して適切な別名およびパスワードを使用する必要があります。

資格証明ストアに鍵の資格証明を追加する前に、秘密鍵と別名がJavaキーストアに存在することを確認します。これは、次のようなコマンドを使用して作成できます。

keytool -genkeypair -keyalg RSA -alias ServiceA -keypass password -keystore default-keystore.jks -storepass password -validity 3600

keytool -genkeypair -keyalg RSA -alias ServiceB -keypass welcome3 -keystore default-keystore.jks -storepass password -validity 3600

キーストアの詳細は、「秘密鍵の生成およびJavaキーストアの作成」を参照してください。

この項では、次の項目について説明します。

- Fusion Middleware Controlを使用した資格証明ストアへの鍵およびユーザー資格証明の追加

- WLSTを使用した資格証明ストアへの鍵およびユーザー資格証明の追加

7.2.3.1 Fusion Middleware Controlを使用した資格証明ストアへの鍵およびユーザー資格証明の追加

Fusion Middleware Controlで次の手順に従って資格証明ストアに鍵と証明書を追加します。

1. 「WebLogicドメイン」メニューで、「セキュリティ」→「資格証明」を選択します。
図7-5に示すように、「資格証明」ページが表示されます。

図7-5 「資格証明ストア・プロバイダの構成」ページ

この構成では、資格証明ストアにoracle.wsm.security資格証明マップがすでに存在することに注意してください。この資格証明マップは、「OWSMキーストアの構成」の説明に従ってOWSMキーストアを構成したときに作成されたものです。

この資格証明マップが構成に表示されない場合は、「マップの作成」ボタンをクリックし、「マップ名」フィールドに「oracle.wsm.security」と入力することにより作成できます。

2. 必要に応じて、マップで構成された鍵を表示するために、「資格証明」表でoracle.wsm.securityマップを開きます。図7-6に、サンプルのOWSM資格証明ストアの構成を示します。

図7-6 OWSM資格証明マップで構成された鍵

鍵を選択し、「編集」をクリックすることにより、資格証明マップで鍵を編集できます。資格証明ストアで加えるすべての変更がOWSM Javaキーストア内の鍵の定義に準拠することに注意してください。

3. oracle.wsm.security資格証明マップ内で、たとえばServiceA およびServiceBの別名に対応する新しいエントリを作成するために、「キーの作成」をクリックします。図7-7に示すように、「キーの作成」ダイアログ・ボックスが表示されます。

図7-7 「キーの作成」ダイアログ・ボックス

a. 「マップの選択」メニューから、まだ選択されていない場合は、マップ名「oracle.wsm.security」を選択します。

b. キーストアにアクセスするための鍵と値のペアを作成するために、「キー」フィールドに「csfServiceA」と入力します。

c. 「タイプ」メニューから、「パスワード」を選択します。

d. 「ユーザー名」フィールドで、キーストアで秘密鍵に指定した別名(たとえばServiceA)を入力します。

e. 「パスワード」フィールドおよび「パスワードの確認」フィールドで、キーストアで別名のために指定したパスワード(たとえばpassword)を入力します。

f. 「説明」フィールドで、エントリの説明を入力します(たとえば、「Key for ServiceA」など)。

g. 「OK」をクリックします。

h. もう一度「キーの作成」をクリックし、ServiceBの別名に対するcsfServiceBなど、追加キーストアの別名の値を入力します。

4. 必要に応じて、「キーの作成」をクリックして、次のようにしてoracle.wsm.security資格証明マップでcsf-keyユーザー資格証明のエントリを作成します(たとえばbasic.credentialsなど)。

a. 「マップの選択」メニューから、まだ選択されていない場合は、マップ名「oracle.wsm.security」を選択します。

b. 「キー」フィールドで、「basic.credentials」と入力します。この例では、basic.credentialsを使用しますが、鍵に選択した任意の名前を指定できます。

c. 「タイプ」メニューから、「パスワード」を選択します。

d. 「ユーザー名」フィールドで、OPSSアイデンティティ・ストアに存在する有効なユーザー名を入力します(たとえばAppIDなど)。

e. 「パスワード」フィールドおよび「パスワードの確認」フィールドで、ユーザーの有効なパスワードを入力します(たとえばAppPWord%など)。

f. 「説明」フィールドで、エントリの説明を入力します(たとえば、Username and Password for basic.credential keyなど)。

g. 「OK」をクリックします。

5. サーバーを再起動します。

7.2.3.2 WLSTを使用した資格証明ストアへの鍵およびユーザー資格証明の追加

WLSTコマンドを使用して、次の手順に従って、資格証明ストアに鍵およびユーザー資格証明を追加します。

1. Oracle Fusion Middlewareを使用したWebサービスの管理のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. connect()コマンドを使用して、実行中のWebLogic Serverインスタンスに接続します。たとえば、次のコマンドは、ユーザー名/パスワードの資格証明weblogic/passwordを使用して、URL myAdminServer.example.com:7001でWLSTを管理サーバーに接続します。

connect("weblogic","password","t3://myAdminServer.example.com:7001")

3. oracle.wsm.security資格証明マップ内で、たとえばServiceAおよびServiceBの別名に対応する新しいエントリを作成するために、createCredコマンドを使用しますたとえば、次のようなコマンドを使用して、ServiceAの別名のエントリcsfServiceAを作成します。

wls:/DefaultDomain/serverConfig> createCred(map="oracle.wsm.security", key="csfServiceA", user="ServiceA", password="password", desc="Key for ServiceA")

4. 手順3を繰り返して、追加の別名のエントリ、たとえばServiceBの別名のcsfServiceBを作成します。

5. createCredコマンドを使用して、oracle.wsm.security資格証明マップでcsf-keyユーザー資格証明のエントリを作成します(たとえばbasic.credentialsなど)。

wls:/DefaultDomain/serverConfig> createCred(map="oracle.wsm.security", key="basic.credentials", user="AppID", password="AppPWord%", desc="Key for ServiceA")

7.3 アプリケーション・レベルの資格証明マップの作成について

csf.map構成プロパティにより、特定の事前定義されたポリシーにアプリケーション・レベルの資格証明マップ名を設定できます(このプロパティを使用してドメイン・レベルの資格証明マップをアタッチメントごとにオーバーライドできます)。csf.map構成オーバーライドは、csf-keyまたはキーストア関連のcsfキーのいずれかを持つすべてのポリシーおよびアサーション・テンプレートで使用できます。

次のトピックは、アプリケーション・レベルの資格証明マップの作成について詳細に説明しています。

- アプリケーション・レベルの資格証明マップからCSFキーを取得する方法

- アプリケーション・レベルの資格証明マップにアクセスする権限について

- アプリケーション・レベルのCSFマップへのアクセスに使用できるポリシー

オーバーライドの構成の詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

7.3.1 アプリケーション・レベルの資格証明マップからCSFキーを取得する方法

ドメインレベルのoracle.wsm.security資格証明マップは、Oracle WSMキーストアを構成するときに、資格証明ストアに作成されます。

Oracle WSMキーストアの構成の詳細は、OWSMキーストアの構成で説明されています。

アプリケーション・レベルの資格証明マップを構成すると、クライアントのcsfキー(csf-keyおよびユーザー・キーsts.auth.user.csf.key)は、次に示すように、ドメイン・レベルのマップではなく、そのマップからのみ取得されます。

- アプリケーション・レベルのcsfマップを構成すると、そこからcsfキーが取得されます。csfキーが見つからない場合は、例外がスローされます。

- アプリケーション・レベルのcsfマップが構成されていない場合は、ドメイン・レベルのcsfマップからcsfキーが取得されます。csfキーが見つからない場合は、例外がスローされます。

共有cfsキーの場合は、次のように動作が異なります。

- keystore-csf-key: このcsfキーは、常にドメイン・レベルの資格証明マップ(oracle.wsm.security)から取得されます。

- enc-csf-key: アプリケーション・レベルのマップが構成されている場合、このcsfキーは、最初にそこから取得されます。見つからなかった場合は、ドメイン・レベルのcsfマップから取得されます。

- sign-csf-key: アプリケーション・レベルのマップが構成されている場合、このcsfキーは、最初にそこから取得されます。見つからなかった場合は、ドメイン・レベルのcsfマップから取得されます。

7.3.2 アプリケーション・レベルの資格証明マップにアクセスする権限について

アプリケーションレベルの資格証明マップにアクセスするには、次の設定を行う必要があります。

次の項では、アプリケーションレベルの資格証明マップにアクセスする手順について説明しています。

- csf.mapプロパティのオーバーライドの構成

- wsm-agent-core.jarへのCredentialAccessPermissionの付与について

- wsm-agent-core.jarへのWSIdentityPermissionの付与について
詳細は、system-jazn-data.xmlでのアプリケーション・レベルの権限の付与の例も参照してください。

7.3.2.1 csf.mapプロパティのオーバーライドの構成

アプリケーションが独自の資格証明マップにアクセスするには、アプリケーションに割り当てるポリシーのcsf.map構成のオーバーライドを設定する必要があります。

csf.mapプロパティのオーバーライドを構成するには、次の手順を実行します。

アプリケーションが独自の資格証明マップにアクセスするには、アプリケーションに割り当てるポリシーのcsf.map構成のオーバーライドを設定する必要があります。

1. 「Fusion Middleware Controlを使用した「WSMポリシー・セット・サマリー」ページへの移動」の説明に従って、「Webサービス・ポリシー」ページに移動します。

2. 「Webサービス・ポリシー」ページで、「ポリシー」表からプロパティを編集するポリシーを選択して「編集」をクリックします。

3. 「ポリシーの編集」ページで、「構成」タブをクリックします。

4. csf.map構成プロパティを選択し、「編集」をクリックします。図7-8に示された「構成プロパティの編集」ダイアログ・ボックスが表示されます。

図7-8 「構成プロパティの編集」ダイアログ・ボックス

5. 「値」フィールドに、使用するポリシーのアプリケーション・レベルのマップ名を入力し、「OK」をクリックします。

6. ポリシーを検証します。

7. 「保存」をクリックします。

7.3.2.2 wsm-agent-core.jarへのCredentialAccessPermissionの付与について

wsm-agent-core.jarへのCredentialAccessPermissionを付与します。この権限は、Oracle Platform Security Services (OPSS)でCSFストア内の資格証明マップへのアクセスを許可するために必要です。

資格証明アクセス権限の付与は、次のいずれかの方法で行うことができます。

- Oracle Enterprise Managerを使用したCredentialAccessPermissionの付与

- WLSTを使用したCredentialAccessPermissionの付与

7.3.2.2.1 Oracle Enterprise Managerを使用したCredentialAccessPermissionの付与

ドメインの「システム・ポリシー」ページから、アプリケーション・レベルの資格証明マップへのCredentialAccessPermissionを付与します。

1. 「ナビゲータ」ペインで「WebLogicドメイン」を展開し、新しいシステム・ポリシーを構成するドメインを選択します。

2. 「WebLogicドメイン」メニューから、「セキュリティ」、「システム・ポリシー」の順に選択します。

3. 「作成」をクリックして、「システム権限の作成」ページを開きます。

4. 必要に応じて、「権限付与先」ドロップ・ボックスの「コードベース」をポリシー・タイプとして選択します。

5. 「コードベース」フィールドに、次の文字列を入力します。

file:${common.components.home}/modules/oracle.wsm.agent.common_${jrf.version}/wsm-agent-core.jar

6. 「権限」表の上の「追加」をクリックします。

7. 「権限の追加」ダイアログで、「新しい権限の詳細を入力するにはここを選択します」チェック・ボックスをクリックし、次の情報を入力します。

権限クラス: oracle.security.jps.service.credstore.CredentialAccessPermission

リソース名: context=SYSTEM,mapName=application.csf.map.name,keyName=*

ここで、mapNameは、構成する必要があるアプリケーション・レベルの資格証明マップの名前です。

権限アクション: *

8. 「OK」をクリックして、「システム権限の作成」ページに戻ります。選択した権限が、「権限」の表に追加されます。

9. 「OK」をクリックして、「システム・ポリシー」ページに戻ります。ページの上部に表示されるメッセージは、操作の結果を示します。操作が正常に完了すると、ページの下部の表にポリシーが追加されます。

システム・ポリシーの構成の詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』のシステム・ポリシーの管理に関する項を参照してください。

7.3.2.2.2 WLSTを使用したCredentialAccessPermissionの付与

grantPermission WLSTコマンドを使用して、アプリケーション・レベルの資格証明マップへのCredentialAccessPermissionを付与できます。

grantPermission WLSTコマンドを使用して、アプリケーション・レベルの資格証明マップへのCredentialAccessPermissionを付与できます。

1. WLSTを起動し、実行中のWebLogic Serverインスタンスに接続します(WLSTを使用したCredentialAccessPermissionの付与を参照)。

2. grantPermissionコマンドを使用して、コードベース・システム・ポリシーを作成します。

grantPermission(appStripe=None, codeBaseURL='file:${common.components.home}/modules/oracle.wsm.agent.common_${jrf.version}/wsm-agent-core.jar',principalClass=None,principalName=None,permClass='oracle.security.jps.service.credstore.CredentialAccessPermission',permTarget='context=SYSTEM,mapName=application.csf.map.name,keyName=*',permActions='*')

このWLSTコマンドの詳細は、WebLogic Server WLSTコマンド・リファレンスのインフラストラクチャ・セキュリティ・カスタムWLSTコマンドに関する項を参照してください。

7.3.2.3 wsm-agent-core.jarへのWSIdentityPermissionの付与について

mapName用語およびgetKeyアクションを使用して、wsm-agent-core.jarへのWSIdentityPermissionを付与します。特定のアプリケーションにこの権限を付与しない場合、アプリケーション・レベルの資格証明マップにアクセスできません。これは次のいずれかの方法で行うことができます。

- Oracle Enterprise Managerを使用したWSIdentityPermissionの付与

- WLSTを使用したWSIdentityPermissionの付与

7.3.2.3.1 Oracle Enterprise Managerを使用したWSIdentityPermissionの付与

ドメインの「システム・ポリシー」ページから、アプリケーション・レベルの資格証明マップへのCredentialAccessPermissionを付与します。

1. 「ナビゲータ」ペインで「WebLogicドメイン」を展開し、新しいシステム・ポリシーを構成するドメインを選択します。

2. 「WebLogicドメイン」メニューから、「セキュリティ」、「システム・ポリシー」の順に選択します。

3. 「wsm-agent-core.jarへのCredentialAccessPermissionの付与について」の手順がすでに完了している場合は、「検索」セクションで、「コードベース」タイプを選択し、「名前」フィールドで次の文字列を検索します。

file:${common.components.home}/modules/oracle.wsm.agent.common_${jrf.version}/wsm-agent-core.jar

4. 「検索」表のコードベース権限を選択し、「編集」をクリックします。

5. 「システム権限の編集」ページで、「権限」表の上の「追加」をクリックします。

6. 「権限の追加」ダイアログで、「新しい権限の詳細を入力するにはここを選択します」チェック・ボックスをクリックし、次の情報を入力します。

権限クラス: oracle.wsm.security.WSIdentityPermission

リソース名: resource=usermessagingserver,mapName=application.specific.map

ここで、resourceは権限が必要なアプリケーションの名前、mapNameは構成する必要があるアプリケーション・レベルの資格証明マップの名前です。

権限アクション: getKey

7. 「OK」をクリックして、「システム権限の作成」ページに戻ります。選択した権限が、「権限」の表に追加されます。

8. 「OK」をクリックして、「システム・ポリシー」ページに戻ります。ページの上部に表示されるメッセージは、操作の結果およびコードベース権限の新しい権限の追加を示します。

システム・ポリシーの構成の詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』のシステム・ポリシーの管理に関する項を参照してください。

7.3.2.3.2 WLSTを使用したWSIdentityPermissionの付与

grantPermission WLSTコマンドを使用して、アプリケーション・レベルの資格証明マップへのCredentialAccessPermissionを付与できます。

1. WLSTを起動し、実行中のWebLogic Serverインスタンスに接続します(WLSTを使用したCredentialAccessPermissionの付与を参照)。

2. grantPermissionコマンドを使用して、コードベース・システム・ポリシーを作成します。

grantPermission(appStripe=None, codeBaseURL='file:${common.components.home}/modules/oracle.wsm.agent.common_${jrf.version}/wsm-agent-core.jar',principalClass=None,principalName=None,permClass='oracle.wsm.security.WSIdentityPermission',permTarget='resource=usermessagingserver,mapName=application.specific.map',permActions='getKey')

このWLSTコマンドの詳細は、WebLogic Server WLSTコマンド・リファレンスのインフラストラクチャ・セキュリティ・カスタムWLSTコマンドに関する項を参照してください。

7.3.2.4 system-jazn-data.xmlでのアプリケーション・レベルの権限の付与の例

ここでは、アプリケーション・レベルの資格証明マップへのアクセスおよび特定のアプリケーションにアクセスを制限するためのsystem-jazn-data.xmlでの権限付与の例を示します。resourceは、アプリケーションの資格証明マップの構成が必要なアプリケーション名、 mapNameは、構成する必要があるアプリケーション・レベルの資格証明マップ名です。

<grant>
<grantee>
<codesource>
<url>
file:${common.components.home}/modules/oracle.wsm.agent.common_${jrf.version}/wsm-agent-core.jar
</url>
</codesource>
</grantee>
<permissions>
<permission>
<class>oracle.wsm.security.WSIdentityPermission</class>
<name>resource=usermessagingserver,mapName=application.specific.map</name>
<actions>getKey</actions>
</permission>
</permissions>
</grant>

resource用語およびmapName用語では、アスタリスク(*)のワイルドカードもサポートされます。アクションがgetKeyである場合の適正な権限名の例を次に示します。

- resource=usermessagingserver,mapName=application.specific.map
usermessagingserverアプリケーションのみが資格証明マップapplication.specific.mapにアクセスできます。

- resource=*,mapName=application.specific.map
すべてのアプリケーションが資格証明マップapplication.specific.mapにアクセスできます。

- resource=usermessagingserver,mapName=*
アプリケーションusermessagingserverは、すべての資格証明マップにアクセスできます。

- resource=usermessagingserver,mapName=intel-*
アプリケーションusermessagingserverは、intel-で始まるすべての資格証明マップにアクセスできます。

- resource=intel-*,mapName=application.specific.map
名前がintel-*で始まるすべてのアプリケーションが資格証明マップapplication.specific.mapにアクセスできます。

注意:

WSMIdentityPermissionを使用してアプリケーション・レベルの資格証明マップにアクセスする場合:

- 権限は、管理対象アプリケーションでのみチェックされます。Java SEアプリケーションの場合、権限はチェックされません。

- Oracle WSM JARへのjava.security.AllPermissionが付与されているOracle Java Cloud Service環境では、権限は機能しません。

- ドメイン・レベルの資格証明マップにアクセスする場合、権限は必要ではありません。資格証明ストアを構成するための鍵およびユーザー資格証明の追加を参照してください。

7.3.3 アプリケーション・レベルのCSFマップへのアクセスに使用できるポリシー

csf.map構成オーバーライド・プロパティにより、次の事前定義されたポリシーにアプリケーション・レベルの資格証明マップ名を設定できます(このプロパティを使用してドメイン・レベルの資格証明マップをアタッチメントごとにオーバーライドできます)。

csf.map構成プロパティを含む事前定義済セキュリティ・アサーション・テンプレートの詳細は、Oracle Web Servicesの事前定義済アサーション・テンプレートを参照してください。

- http_basic_auth_over_ssl_client_policy

- http_jwt_token_client_policy

- http_jwt_token_identity_switch_client_policy

- http_jwt_token_over_ssl_client_policy

- http_jwt_token_over_ssl_service_policy

- http_jwt_token_service_policy

- http_oauth2_token_client_policy

- http_oauth2_token_identity_switch_opc_oauth2_over_ssl_client_policy

- http_oauth2_token_identity_switch_over_ssl_client_policy

- http_oauth2_token_opc_oauth2_client_policy

- http_oauth2_token_opc_oauth2_over_ssl_client_policy

- http_oauth2_token_over_ssl_client_policy

- oauth2_config_client_policy

- http_saml20_token_bearer_client_policy

- http_saml20_token_bearer_over_ssl_client_policy

- multi_token_over_ssl_rest_service_policy

- multi_token_rest_service_policy

- wss10_message_protection_client_policy

- wss10_message_protection_service_policy

- wss10_saml20_token_client_policy

- wss10_saml20_token_with_message_protection_client_policy

- wss10_saml20_token_with_message_protection_service_policy

- wss10_saml_hok_token_with_message_protection_client_policy

- wss10_saml_hok_token_with_message_protection_service_policy

- wss10_saml_token_client_policy

- wss10_saml_token_with_message_integrity_client_policy

- wss10_saml_token_with_message_integrity_service_policy

- wss10_saml_token_with_message_protection_client_policy

- wss10_saml_token_with_message_protection_service_policy

- wss10_saml_token_with_message_protection_ski_basic256_client_policy

- wss10_saml_token_with_message_protection_ski_basic256_service_policy

- wss10_username_id_propagation_with_msg_protection_client_policy

- wss10_username_id_propagation_with_msg_protection_service_policy

- wss10_username_token_with_message_protection_client_policy

- wss10_username_token_with_message_protection_service_policy

- wss10_username_token_with_message_protection_ski_basic256_client_policy

- wss10_username_token_with_message_protection_ski_basic256_service_policy

- wss10_x509_token_with_message_protection_client_policy

- wss10_x509_token_with_message_protection_service_policy

- wss11_message_protection_client_policy

- wss11_message_protection_service_policy

- wss11_saml20_token_with_message_protection_client_policy

- wss11_saml20_token_with_message_protection_service_policy

- wss11_saml_or_username_token_with_message_protection_service_policy

- wss11_saml_token_identity_switch_with_message_protection_client_policy

- wss11_saml_token_with_message_protection_client_policy

- wss11_saml_token_with_message_protection_service_policy

- wss11_sts_issued_saml_hok_with_message_protection_client_policy

- wss11_sts_issued_saml_hok_with_message_protection_service_policy

- wss11_sts_issued_saml_with_message_protection_client_policy

- wss11_username_token_with_message_protection_client_policy

- wss11_username_token_with_message_protection_service_policy

- wss11_x509_token_with_message_protection_client_policy

- wss11_x509_token_with_message_protection_service_policy

- wss_http_token_client_policy

- wss_http_token_over_ssl_client_policy

- wss_saml20_token_bearer_over_ssl_client_policy

- wss_saml20_token_over_ssl_client_policy

- wss_saml_token_bearer_client_policy

- wss_saml_token_bearer_over_ssl_client_policy

- wss_saml_token_bearer_identity_switch_client_policy

- wss_saml_token_over_ssl_client_policy

- wss_sts_issued_saml_bearer_token_over_ssl_client_policy

- wss_username_token_client_policy

- wss_username_token_over_ssl_client_policy

7.4 サービス・アイデンティティ証明拡張の理解

メッセージ保護ポリシーを実装したWebサービスの場合、Webサービスのbase64エンコードされた公開証明書はWSDLで公開されます。証明書は、ポリシーによってデータが暗号化されるか復号化されるかに関係なく、メッセージ保護ポリシーに対して内包されます。

WSDLでパブリッシュされた証明書は、デフォルトではサービスの公開鍵です。これは、「メッセージ保護に関するキーストアの構成の概要」の説明に従ってキーストアで構成した暗号化鍵によって指定されたものです。

注意:

前のリリースのOWSMでは、メッセージ保護ポリシーを実装したWebサービスの場合、Webサービス・クライアントはWebサービスの公開証明書をそのドメイン・レベルのキーストアに格納する必要がありました。その後、クライアントはkeystore.recipient.aliasプロパティを使用して、キーストア内の証明書を識別します。このためには、「構成」ページでkeystore.recipient.aliasプロパティを特定するか、ポリシーをアタッチするときにクライアントごとに(またはプログラムにより)プロパティの構成オーバーライドを指定していました。

WSDLで公開鍵証明書が見つからない場合は、かわりにkeystore.recipient.aliasプロパティが使用され、以前と同様に証明書をクライアントのドメイン・レベルのキーストアに格納する必要があります。

注意:

自己署名証明書を信頼できるものにするには、クライアント側のキーストアで使用可能にする必要があります。

ホスト名検証機能によって、WSDLから取得した証明書が置換攻撃や中間者攻撃の対象になることなく、本当に予期したとおりの証明書であることが保証されます。

ホスト名を検証するため、OWSMは、証明書の共通名(CN)またはサブジェクト・グループ・ベース識別名(DN)がサービスのホスト名と一致することを確認します。この機能は、証明書のサブジェクトDNに依存します。デフォルトでは、ホスト名検証は無効です。

OWMはWSDLでX509証明書を公開してWebサービス・ポリシーを強制するかどうか、およびホスト名検証機能を使用するかどうかを指定できるドメイン構成プロパティを提供します。これらのプロパティの設定の詳細は、「Fusion Middleware Controlを使用したアイデンティティ拡張プロパティの構成」を参照してください。

この項では、次の項目について説明します。

- クライアントからサービス・アイデンティティ証明拡張を無視

- クライアントからホスト名検証を無視

7.4.1 クライアントからサービス・アイデンティティ証明拡張を無視

「アイデンティティWSDLの無視」プロパティの値を設定する方法について説明します。

注意:

デフォルトでは、WSDLで証明書が公開されている場合、keystore.recipient.aliasのクライアント・オーバーライド・プロパティ値は無視されます。

Java EEクライアントの場合は、「アイデンティティWSDLの無視」プロパティの値が自動的に読み取られ、その他の構成は必要ありません。アイデンティティ検証をオンまたはオフにするには、「Fusion Middleware Controlを使用したアイデンティティ拡張プロパティの構成」の説明に従ってこのプロパティを設定します。

JSEクライアントの場合は、Webサービス・クライアントはWSDLの証明書を無視するための明示的なアクションを行う必要があり、無視するかどうかは設定されたkeystore.recipient.aliasプロパティのみに依存します。

これを行うには、wsm.ignore.identity.wsdlの値をtrueに設定します。

BindingProvider.getRequestContext().put(SecurityConstants.ClientConstants.WSM_IGNORE_IDENTITY_WSDL, "true");

7.4.2 クライアントからホスト名検証を無視

Java EEクライアントの場合は、「ホスト名検証の無視」プロパティの値が自動的に読み取られ、その他の構成は必要ありません。

ホスト名検証をオンまたはオフにするには、「Fusion Middleware Controlを使用したアイデンティティ拡張プロパティの構成」の説明に従ってこのプロパティを設定します。

JSEクライアントの場合は、Webサービス・クライアントはホスト名検証を無視するための明示的なアクションを行う必要があります。

これを行うには、wsm.ignore.hostname.verificationの値をtrueに設定します。

BindingProvider.getRequestContext().put(SecurityConstants.ClientConstants.WSM_IGNORE_HOSTNAME_VERIFICATION,"false");

7.5 Oracle CoherenceでのNonceのキャッシュ

リプレイ攻撃から保護するため、いくつかのポリシーには、ユーザー名トークンにNonceを必要とするオプションが用意されています。Nonceは、SOAPリクエストで1回のみ使用できる一意の番号で、リプレイ攻撃を防止するために使用されます。

たとえば、oracle/wss10_username_token_with_message_protection_client_policyを参照してください。

Nonceは再使用を防ぐためにキャッシュされます。ただし、クラスタ環境では、このキャッシュを管理対象サーバー間で同期化する手順が必要になります。そうしないと、Webサービスに送信されて1つのサーバーで実行中のリクエストが、リプレイされて別の管理対象サーバーに送信され、そこで処理される可能性があります。OWSMは、Oracle Coherenceキャッシュを使用してNonceをキャッシュします。

アプリケーション・サーバー(OWSMを使用)はCoherenceクラスタの一部である必要があります。デフォルトで、構成ウィザードを実行する場合は、すべての管理対象サーバーまたはクラスタはCoherenceクラスタの一部になっています。クラスタ内で、2つの記憶域有効サーバーがNonceのキャッシュには十分であり、フェイルオーバー保護を提供します。2つのサーバーにはアプリケーション・サーバーを使用できますが、アプリケーション・サーバーで記憶域が無効の場合は、2つの記憶域有効キャッシュ・サーバーも使用できます。

注意:

これらの競合を回避するために、Coherenceクラスタ設定を構成する必要がある場合があります。詳細は、『Oracle WebLogic Serverクラスタの管理』のCoherenceクラスタの構成と管理に関する項を参照してください。

環境のトポロジによって、次のいずれかの手順に従ってOracle CoherenceでNonceのキャッシュを有効にします。

- 管理対象Coherenceサーバーがない場合のNonceのキャッシュ

- ストレージ無効WebLogicサーバーおよびストレージ有効管理対象CoherenceサーバーへのNonceのキャッシュ

Nonceのキャッシュにおける存続期間の設定方法は、『Oracle Web Services ManagerによるWebサービスの保護とポリシーの管理』の「Fusion Middleware Controlを使用したセキュリティ・ポリシー強制の構成」を参照してください。

7.5.1 管理対象Coherenceサーバーがない場合のNonceのキャッシュ

Coherenceクラスタ・トポロジをキャッシュする方法について説明します。

トピック:

- 管理対象Coherenceサーバーがない場合のCoherenceクラスタ・トポロジの理解

- Fusion Middleware構成ウィザードを使用した標準トポロジの構成

7.5.1.1 管理対象Coherenceサーバーがない場合のCoherenceクラスタ・トポロジの理解

Coherenceクラスタ・トポロジは、1つ以上のWebLogic Serverクラスタまたはサーバーによって形成されます。サーバーの一部は1つ以上の記憶域無効(WebLogic Server Coherenceクライアント層)および1つ以上の記憶域有効サーバー(WebLogic Server Coherenceサーバー層)です。このトポロジには管理対象Coherenceコンテナがありません。このトポロジは通常、データ記憶域要件が低い場合(通常100 MB未満)に使用されます。

図7-9に、WebLogic Serverクラスタ内で記憶域有効および記憶域無効サーバーから構成されるトポロジを示します。2つのサーバーが記憶域有効であり、フェイルオーバーした場合は、1つのサーバーが他方のバックアップとして使用できることに注意してください。構成ウィザードを実行する場合は、すべての管理対象サーバーまたはクラスタがデフォルトでCoherenceクラスタのサーバーの一部になっています。

図7-9 ストレージ有効およびストレージ無効WebLogic Serverでのクラスタ・トポロジ

7.5.1.2 Fusion Middleware構成ウィザードを使用した標準トポロジの構成

インフラストラクチャ・ソフトウェアのインストールに関する項の手順に従って、WebLogic Serverをインストールし、標準のインストール・トポロジを構成します。その標準トポロジにより、これらの要件を満たすデフォルトのCoherenceクラスタが用意されます。

構成ウィザードのドメインの作成ページで、新規拡張ドメインの作成を選択できることに注意してください。

他の構成は必要ありません。wss_username_token_client_policyおよびwss_username_token_service_policyポリシーを使用する場合は、NonceがCoherenceキャッシュに格納されます。

7.5.2 記憶域無効WebLogic Serverおよび記憶域有効管理対象CoherenceサーバーのNonceのキャッシュ

Coherenceクラスタ・トポロジをキャッシュする方法について説明します。

トピック:

- ストレージ無効WebLogicサーバーおよびストレージ有効管理対象CoherenceサーバーのCoherenceクラスタ・トポロジの理解

- Fusion Middlewareの構成ウィザードを使用したクラスタ・トポロジの構成

7.5.2.1 ストレージ無効WebLogicサーバーおよびストレージ有効管理対象CoherenceサーバーのCoherenceクラスタ・トポロジの理解

このCoherenceクラスタ・トポロジは、1つ以上の記憶域無効WebLogic Serverクラスタまたはサーバー、および2つ以上の管理対象記憶域有効Coherenceサーバー(フェイルオーバー保護用)によって形成されます。図7-10は、通常、キャッシュ要件が高い場合(100 MBを超える)、およびWebLogic Serverがデータ・キャッシュに使用されていない場合に、このトポロジが使用されることを示しています。このトポロジでは、キャッシュへのすべてのアクセスにはキャッシュ・サーバーへのネットワーク・ラウンドトリップが必要であることに注意してください。

注意:

データ記憶域要件は、キャッシュの観点からみたOracle Coherenceからの一般的な推奨事項です。OWSMの場合、この要件は、キャッシュの観点からみると、非常に低いです。少なくとも2つのアプリケーション・サーバーでキャッシュを有効にしている場合(フェイルオーバー保護用)、サーバー・グループWSM-CACHE-SVRへより多くのCoherenceコンテナを追加するのはオプションです。

たとえば、アプリケーション・サーバーのすべてがダウンしたら、Nonceが失われると考える場合は、バックアップとしてCoherenceコンテナを追加する可能性があります。

図7-10 Coherenceクラスタ内のストレージ有効管理対象Coherenceサーバーでのクラスタ・トポロジ

7.5.2.2 Fusion Middlewareの構成ウィザードを使用したクラスタ・トポロジの構成

Fusion Middleware構成ウィザードを使用して、Nonceをキャッシュするために管理対象Coherenceサーバーをサーバー・グループに追加できます。WebLogic Server管理コンソールを使用して、ローカル記憶域が管理対象Coherenceサーバーに対して有効になっていて、記憶域がWebLogic Serverに対して無効になっていることを確認します。

注意:

アプリケーション・サーバーでCoherence記憶域を有効にしている場合、次の手順はオプションです。管理対象CoherenceコンテナでNonceをバックアップする場合にのみ必要です。

1. インフラストラクチャ・ソフトウェアのインストールに関する項の手順に従って、WebLogic Serverをインストールし、標準のインストール・トポロジを構成します。次の項を参照してください。

- Oracle Fusion Middlewareインフラストラクチャ・インストールの計画に関する項

- Oracle Fusion Middlewareインフラストラクチャ・ソフトウェアのインストールに関する項

- Oracle Fusion Middlewareインフラストラクチャ・ドメインの構成に関する項

構成ウィザードのドメインの作成ページで、新規拡張ドメインの作成を選択できることに注意してください。

2. 構成ウィザードの「管理対象サーバー」ページで、Coherence管理対象サーバーを特定します。Coherence管理対象サーバーの「サーバー・グループ」ドロップダウン・リストを開いて、「WSM-CACHE_SVR」を選択します。

3. ドメインを作成したら、WebLogic Server管理コンソールを使用して、ローカル記憶域が管理対象Coherenceサーバーに対して有効になっていて、記憶域がWebLogic Serverに対して無効になっていることを確認します。

WebLogic Server管理コンソールで、サーバー(またはクラスタ)の「構成」タブの「Coherence」サブタブの「ローカル記憶域有効」オプションを選択して、サーバー(またはクラスタ)の記憶域を有効または無効にします。

CoherenceクラスタのメンバーであるWebLogicクラスタが記憶域無効として構成されている場合、記憶域有効としてサーバーをマークする必要はないことに注意してください。(記憶域有効設定は、WebLogicクラスタおよびWebLogic Serverの「Coherence」サブタブにあります)。

wss_username_token_client_policyおよびwss_username_token_service_policyポリシーを使用する場合は、NonceがCoherenceキャッシュに格納されます。

7.6 Fusion Middleware Controlを使用した部分的な暗号化の構成について

アサーション・テンプレートでは、メッセージ本文の完全な署名および暗号化だけでなく、部分的な署名および暗号化もサポートされています。SOAPメッセージ保護が可能なアサーション・テンプレートまたは事前定義済ポリシーの場合、デフォルトの動作はSOAPメッセージ本文全体を署名および暗号化して保護することです。必要な場合には、選択した要素を保護するように、アサーションおよびポリシーを構成できます。

トピック:

- Fusion Middleware Controlを使用した部分的な暗号化の構成

- SwAアタッチメントの保護

7.6.1 Fusion Middleware Controlを使用した部分的な暗号化の構成

事前定義済メッセージ保護ポリシー用のFusion Middleware Controlユーザー・インタフェースでは、署名、暗号化またはその両方を行うメッセージ部分を簡単に指定できます。本文全体、アイデンティティ固有のヘッダー要素や本文要素に対して署名、暗号化またはその両方を行うことができます。次に、部分的な暗号化の例を示します。

この例では、Fusion Middleware Controlを使用して、SOAPメッセージの一部が暗号化されます。

1. クレジット・カード番号(cardNr)を承認する簡単なWebサービスを作成します。次の例はサンプルのペイロードを示しています。

<soapenv:Body wsu:Id="Body-2grW1pYwjwsoskbLuMJZzg22"
xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-ws
security-utility-1.0.xsd">

<aaav:validateTheCard xmlns:aaav="http://aaavalidatecred/">
<aaav:cardNr>string</aaav:cardNr>
<aaav:firstName>string</aaav:firstName>
<aaav:lastName>string</aaav:lastName>
<aaav:validUntilDate>string</aaav:validUntilDate>
</aaav:validateTheCard>

</soapenv:Body>

2. Fusion Middleware Controlで、メッセージ保護ポリシーを選択し、「編集」をクリックします。

3. 「設定」タブで、「リクエスト」タブを選択します。

4. 「メッセージの暗号化設定」セクションで、「本体全体を含める」の選択を解除します(図7-11)。

5. 「本体要素」を開き、「追加」をクリックします。

6. ネームスペースと要素名を入力します。この例では、カード番号のみが次のように暗号化されます。

ネームスペース = http://aaavalidatecred/

要素名 = cardNr

「ポリシーの編集」ページの他のフィールドの詳細は、「リクエスト、レスポンスおよびフォルト・メッセージへの署名と暗号化の設定」を参照してください。

次の例は、部分的な暗号化を使用したサンプルのポリシーを示しています。

<orasp:encrypted-elements>
<orasp:element orasp:namespace="http://aaavalidatecred/"
orasp:name="cardNr">n/a</orasp:element>
</orasp:encrypted-elements>

7. 「はい」をクリックして本体要素を追加し、「保存」をクリックして変更後のポリシーを保存します。

図7-11 メッセージ保護ポリシーの部分的な暗号化の例

7.6.2 SwAアタッチメントの保護

SOAPエンベロープ内に配置できないデータをアタッチメント(SwA)とともにSOAPメッセージをパッケージングすることは、標準的なことになってきています。プライマリSOAPメッセージでは、アタッチメントまたはMIMEヘッダー付きのアタッチメントとして追加のエンティティを参照できます。

各SwAアタッチメントはMIME部分であり、MIMEヘッダーを含みます。SwAアタッチメントを含めるでは、アタッチメントは署名されますが、そのアタッチメントに対応するMIMEヘッダーは署名されません。MIMEヘッダーを含めるでは、アタッチメントに加えて対応するMIMEヘッダーも署名されます。

8 個人情報の保護

セキュリティ・ポリシーの制御外にある個人の身元を特定する情報(PII)を保護する方法の詳細を説明します。PIIとは、社会保障番号、住所、銀行の口座番号、およびその他の類似情報を指します(通常は1人の特定のユーザーに関連付けられており、保護する必要がある情報です)。

トピック:

- PII情報の保護の主な手順

- WLSTを使用したpii_security_policy属性のオーバーライド

- APIを使用したPIIの復号化

8.1 PII情報の保護の主な手順

このトピックでは、oracle/pii_security_policyポリシーを使用してPIIを保護する方法について説明します。

トピック:

- 保護するPIIデータを決定するために従うアプローチ

- PIIデータを保護するためのXPath式の作成

- PII暗号化鍵の構成

- pii_security_policyポリシーのアタッチ

- SOAコンポジットへのpii_security_policyのアタッチ

- JCAバインディングへのpii_security_policyのアタッチ

注意:

PII暗号化鍵を構成し、次に使用環境に応じてoracle/pii_security_policyポリシーのアタッチ先を選択します。

8.1.1 保護するPIIデータを決定するために従うアプローチ

SOAPリクエストおよびレスポンス・メッセージ、またはWSDLを検証し、保護するPIIデータを決定します。

2つの方法があります。

- SOAアプリケーションをデプロイし、JDeveloper (または別のメカニズム)を使用してSOAPメッセージを確認して保護する必要のあるものを決定します。
「PIIポリシーのXPath式」のSOAPメッセージの例を参照してください。

- SOAアプリケーションをデプロイし、デプロイしたアプリケーションのWSDLを確認して保護する必要のあるものを決定します。
Oracle Fusion Middlewareを使用したWebサービスの管理のWebサービスのWSDLドキュメントの表示に関する項の説明に従って、Webサービス・エンドポイントのWSDLドキュメントを表示します。

リクエスト・フェーズおよびレスポンス・フェーズの両方で、どのようなデータが渡されているかを確認する必要があります。つまり、リクエストとレスポンスでは異なるデータを保護する必要がある可能性があります。

8.1.2 PIIデータを保護するためのXPath式の作成

リクエストおよびレスポンス・メッセージの両方でPIIデータを保護するためのXPath式を作成します。

詳細は、『Oracle Web Services Managerの理解』のPIIポリシーのXPath式に関する項のSOAPメッセージの例を参照してください。

これらのXPath式は、後ほど、request.xpathおよびresponse.xpath属性のoracle/pii_security_policyで指定します。

8.1.3 PII暗号化鍵の構成

PII暗号化鍵を生成するために使用するパスワードCSFキーを構成します。

詳細は、資格証明ストアを構成するための鍵およびユーザー資格証明の追加を参照してください。PII暗号化鍵は、このパスワード資格証明から導出されます。

デフォルトで、oracle/pii_security_policyはキーの値にpii-csf-keyを要求しますが、これは変更可能です。

Webサービス・クライアントとWebサービスが同じ資格証明ストアを共有していない場合は、PII暗号化鍵がそれぞれの資格証明ストアに存在し、同一である必要があります。

8.1.4 pii_security_policyポリシーのアタッチ

事前定義済のoracle/pii_security_policyのコピーを作成し、そのコピーをWebサービスとクライアントにアタッチします。

次の手順を実行します。

1. ナビゲータ・ペインで「WebLogicドメイン」を開き、PIIの構成が必要なドメインを表示します。ドメインを選択します。

2. コンテンツ・ペインで、「WebLogicドメイン」→「Webサービス」→「ポリシー」の順にクリックします。

3. oracle/pii_security_policyポリシーを選択し、コピーを作成します。

4. SALT、反復およびキー・サイズの設定でデフォルトを使用するかを確認し、必要に応じて変更します。これらの設定の説明は、表18-101を参照してください。

5. コピーのrequest.xpaths、response.xpathsおよびその他のoracle/pii_security_policy構成プロパティを編集します。XPath、ネームスペース、csf.keyなどの指定方法は、『Oracle Web Services Managerの理解』のPIIセキュリティ・ポリシーの理解に関する項を参照してください。

リクエストとレスポンスでは異なるデータを保護する必要がある可能性がある点に注意してください。

この手順をスキップして、かわりに手順7で説明するように属性をオーバーライドすることも可能です。

6. 「Webサービスを管理および保護するためのポリシーのアタッチ」で説明しているように、設計時またはデプロイ後にポリシーをアタッチします。

Webサービスを管理および保護するためのポリシーのアタッチで説明されている手順に加え、次の各項には状況に固有の情報が含まれます。

- SOAコンポジットへのpii_security_policyのアタッチ

- JCAバインディングへのpii_security_policyのアタッチ

7. オプションで、Fusion Middleware Control、WLSTまたはJDeveloper (もしくはその他のメカニズム)を使用して、request.xpathsおよびその他のoracle/pii_security_policy属性をオーバーライドします。

XPath、ネームスペース、csf.keyなどの指定方法は、「PIIセキュリティ・ポリシーの理解」を参照してください。

構成プロパティのオーバーライドの詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

8.1.5 SOAコンポジットへのpii_security_policyのアタッチ

ポリシーはサービス/参照レベルのみでアタッチする必要があり、クライアントおよびWebサービスの両方にアタッチします。

図8-1のJDeveloperに示されているSOAコンポジットを参照してください。このコンポジットの場合、ポリシーをbpelprocess_1client_epクライアントおよびPartnerLink1参照の両方にアタッチします。ポリシーはコンポーネントにアタッチできません。

図8-1 SOAコンポジットでのpii_security_policyのアタッチ先

次の手順を実行してSOAコンポジットを表示し、oracle/pii_security_policyポリシーをアタッチします。

1. ナビゲータで、SOAデプロイメントを開きます。

2. soa-infraを選択し、SOAパーティション(たとえば、defaultパーティション)を開き、目的のSOAコンポジット・アプリケーションを選択します。

SOAコンポジットのホームページが表示されます。

3. 選択されていない場合は、「ダッシュボード」タブを選択します。

このタブの「コンポーネント」セクションには、コンポジット・アプリケーションで使用されているSOAコンポーネントが表示され、「サービスと参照」セクションには、図8-2に示すように、Webサービスと参照バインディングが表示されます。

図8-2 SOAコンポジット・アプリケーションの「ダッシュボード」ページ

SOA固有の追加情報は、『Webサービスの管理』のSOAコンポジットでのWebサービスおよび参照の表示に関する項を参照してください。

4. oracle/pii_security_policyポリシーのコピーをWebサービス・クライアントおよび参照バインディングの両方にアタッチします。

注意:

PIIデータでは、コンポジットにエントリ・ポイントと終了ポイントの両方が必要です。PIIデータはエントリ前に暗号化され、終了前に復号化されます。

たとえば、図8-2の場合、コピーをroutePOサービスおよびWriteApprovalresults参照の両方にアタッチします。

ポリシーの添付の詳細は、Webサービスを管理および保護するためのポリシーのアタッチを参照してください。また、SOA固有の追加情報は、『Oracle SOA SuiteでのSOAアプリケーションの開発』のバインディング・コンポーネントおよびサービス・コンポーネントへのポリシーのアタッチを参照してください。

5. SALT、反復およびキー・サイズの設定でデフォルトを使用するかを確認し、必要に応じて変更します。これらの設定の説明は、表18-101を参照してください。

6. Fusion Middleware Control、WLSTまたはJDeveloper (もしくはその他のメカニズム)を使用して、request.xpaths、response.xpathsおよびその他の属性をオーバーライドします。

リクエストとレスポンス用のPIIデータは異なる場合があります。

図8-3は、サンプルのJDeveloper画面を示しています。

図8-3 request.xpaths属性のオーバーライド

これをWebサービスとクライアントの両方で実行し、一致していることを確認します。

XPath、ネームスペース、csf.keyなどの指定方法は、『Oracle Web Services Managerの理解』のPIIセキュリティ・ポリシーの理解に関する項を参照してください。

構成ポリシーのオーバーライドの詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

8.1.6 Oracle Service Busへのpii_security_policyのアタッチ

PIIポリシーは、SOAとOracle Service Busの両方のJCAアダプタにアタッチできます。

PIIポリシーをJCAバインディングにアタッチする方法の詳細は、Oracle SOA SuiteおよびOracle Business Process Management Suiteの管理のサービス・バインディング・コンポーネントおよび参照バインディング・コンポーネントの管理に関する項を参照してください。

Oracle Service Busへのoracle/pii_security_policyのアタッチ方法については、Oracle Service Busでのサービスの開発のメッセージ内の個人の身元を特定する情報の非表示に関する項を参照してください。

8.1.7 JCAバインディングへのpii_security_policyのアタッチ

PIIポリシーは、SOAとOracle Service Busの両方のJCAアダプタにアタッチできます。

PIIポリシーをJCAバインディングにアタッチする方法の詳細は、Oracle SOA SuiteおよびOracle Business Process Management Suiteの管理のサービス・バインディング・コンポーネントおよび参照バインディング・コンポーネントの管理に関する項を参照してください。

Oracle Service Busへのoracle/pii_security_policyのアタッチ方法については、Oracle Service Busでのサービスの開発のメッセージ内の個人の身元を特定する情報の非表示に関する項を参照してください。

8.2 WLSTを使用したpii_security_policy属性のオーバーライド

WLSTを使用してoracle/pii_security_policyの属性をオーバーライドできます。

WLSTを使用してoracle/pii_security_policy属性をオーバーライドするには、次の手順を実行します。

1. Oracle Fusion Middlewareを使用したWebサービスの管理のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。「WLSTを使用したポリシーを直接アタッチする」で説明するように、beginWSMSessionコマンドを使用してセッションを開始します。次に例を示します。

wls:/wls_domain/serverConfig> beginWSMSession()

Session started for modification.

2. 使用するポリシー・サブジェクトを選択します。「WLSTを使用したポリシー・サブジェクトの識別と選択」を参照してください。

『Oracle Web Services Managerの理解』のPIIポリシーを使用できる場合に関する項で説明されているように、oracle/pii_security_policyは特定の場合のみアタッチできます。サポートされていない場所にポリシーをアタッチすると、WLSTで検証エラーが発生します。

3. 「WLSTを使用したポリシーを直接アタッチする」で説明されているように、attachWSMPolicyコマンドを使用して、Webサービス・ポートにoracle/pii_security_policyのコピーをアタッチします。次に例を示します。

wls:/base_domain/serverConfig> attachWSMPolicy('oracle/pii_security_policy')

Policy reference "oracle/pii_security_policy" added.

4. oracle/pii_security_policyポリシーの属性をオーバーライドします。たとえば、次のコマンドによってrequest.xpaths属性が設定されます。

setWSMPolicyOverride('oracle/pii_security_policy','request.xpaths','//ns1:SSN' )

同様に、次のコマンドによってrequest.xpaths属性の設定が解除されます。

setWSMPolicyOverride('oracle/pii_security_policy','request.xpaths' )

5. commitWSMSession()コマンドを使用して、リポジトリに対して、現在のセッションのコンテンツの書込みを行います。

WLSTコマンドおよびその引数の詳細は、『WebLogic Server WLSTコマンド・リファレンス』のWebサービスのカスタムWLSTコマンドに関する項を参照してください。

8.3 APIを使用したPIIの復号化

暗号化されたPIIが、なんらかの決定に必要になる場合があります。この場合、使用する前に付属のAPIによってPIIを明示的に復号化する必要があります。

たとえば、クレジット・カードの番号がPIIとしてマーク付けされており、SOAサービス・バインディング(エントリ・ポイント)で暗号化されている場合を想定します。BPELプロセス内でクレジット・カードの種類を判別するためにクレジット・カードの番号が必要な場合、APIを使用してクレジット・カードの番号を復号化する必要があります。

この目的で、oracle.security.xmlsec.pii.PIISecurity.javaクラスが用意されています。このクラスには、次のメソッドがあります。

Class: oracle.security.xmlsec.pii.PIISecurity.java

/**
* Converts cipher text string to plain text using password based key
* derivation algorithm (PBKDF2).
*
* @param ciphertext text to decrypt
* @param password password for key derivation
* @param pbkdfAlgo key derivation algorithm which should be PBKDF2
* @param pbkdfSalt non-null and non-empty salt for key derivation
* @param pbkdfIteration iteration count for key derivation
* @param keySize size of key for key derivation
* @param encAlg data encryption algorithm. it should be in the form:
*                   "algorithm/mode/padding" for ex. AES/CBC/PKCS5Padding
* @return plain text
*/
public static String decrypt(String ciphertext, char password[], String
pbkdfAlgo, String pbkdfSalt, int bkdfIteration, int keySize, String encAlg);

decryptメソッドは暗号化されたPIIの復号化された値を返しますが、実際の値は更新せず、これは暗号化されたままになります。

SOAの場合、 『Oracle SOA SuiteでのSOAアプリケーションの開発』のOracle JDeveloperにおけるBPELプロセスでのJavaの埋込みの使用に関する項で説明されているように、Javaの埋込み機能を使用してこのAPIを起動できます。

注意:

PIIの復号化した値は、セキュリティ面で派生する問題を完全に理解している場合を除き、ログに記録しないでください。

9 トランスポート・レベル・セキュリティの構成(SSL)

トランスポートレベルのセキュリティ・プロトコルであるSecure Socket Layer (SSL)を構成できます。SSLは一方向または双方向のいずれかが可能です。一方向SSLでは、サーバーはクライアントに証明書を提示する必要がありますが、クライアントがサーバーに証明書を提示する必要はありません。双方向SSLでは、サーバーはクライアントに、またクライアントはサーバーに証明書を提示します。SSLを使用するには、ご使用の環境でキーストアおよびトラストストアを設定する必要があります。

SSLの詳細は、『Oracle Web Services Managerの理解』のトランスポート・レベルおよびアプリケーション・レベルのセキュリティの理解を参照してください。

トピック:

- SSLに関するキーストアの構成について

- WebLogic Serverへの一方向SSLの構成

- WebLogic Serverへの双方向SSLの構成

- Webサービス・クライアントへの一方向SSLの構成

- Webサービス・クライアントに関する双方向SSLの構成

- Oracle HTTP ServerでのSSL構成の理解

9.1 SSLに関するキーストアの構成について

キーストアを構成することによって、OWSMポリシー・マネージャでSSLを使用できます。

ポリシーは、SSLの構成が必要なOWSMポリシーまたは双方向SSLの構成が必要なポリシーのリストに一覧表示されています。

SSLでは、ネットワーク接続している2つのアプリケーションが互いのアイデンティティを認証できるようにするとともに、アプリケーション間でやりとりされるデータを暗号化することでセキュアな接続が実現します。

認証によって、クライアントおよび必要に応じてサーバーが、ネットワーク接続の反対側にあるアプリケーションのアイデンティティを検証できます。暗号化によって、データは意図した受信者以外には解読できない形式でネットワーク上を転送されます。クライアント証明書(双方向SSL)を使用してユーザーを認証できます。

この節では、以下のトピックについて説明します。

- WebLogic ServerでのKSSキーストアの構成の理解

- WebLogic ServerへのJKSキーストアの構成

- クラスタ上のJKSキーストア・ファイルの同期の構成

9.1.1 WebLogic ServerでのKSSキーストアの構成の理解

OPSSキーストア・サービスでは、メッセージ・セキュリティを確保するためにキーおよび証明書を管理する代替の方式が提供されています。この項では、WebLogic ServerにOPSSキーストア・サービスを構成するために必要な手順の概要を説明します。

『Oracle Platform Security Servicesによるアプリケーションの保護』のキーストア・サービスを使用した鍵と証明書の管理に関する項で説明するように、OPSSキーストア・サービスを使用して、KSSタイプのキーストアを作成および管理します。

詳細は、次の2つの資料を参照してください。

- Oracle WebLogic Server管理コンソール・オンライン・ヘルプの「サーバー: 構成: キーストア」。

- 『Oracle WebLogic Serverセキュリティの管理 12c (12.2.1)』のキーストアの構成。

この節では、以下のトピックについて説明します。

- デモ・アイデンティティとデモ信頼に関するOPSSキーストア・サービスの構成

- デモ・アイデンティティとデモ信頼に関するOPSSキーストア・サービスの再作成

- カスタムIDとデモ信頼に関するOPSSキーストア・サービスの構成

9.1.1.1 デモ・アイデンティティとデモ信頼に関するOPSSキーストア・サービスの構成

KSSのデモIDキーストアとデモ信頼キーストアは、ドメインの作成時にすでに構成されています。これらのキーストアをさらに構成する必要はありません。

デモ・アイデンティティとデモ信頼のためのOPSSキーストア・サービスを構成するには次の手順を実行します。

1. WebLogic Server管理コンソールで、「ドメイン」→「セキュリティ」→「詳細」ページに移動し、「デモへのKSSの使用」チェック・ボックスが有効になっていることを確認します。

2. キーストアの構成に関する項で説明しているように、デモIDおよびデモ信頼を使用するようにWebLogic Serverインスタンスを構成します。

3. 「WebLogic Serverへの一方向SSLの構成」および「WebLogic Serverへの双方向SSLの構成」の説明に従ってWebLogic ServerインスタンスのSSLを構成します。

WebLogic Server DefaultHostnameVerifierが、非標準のDemoCertFor_<WLS Domain Name>ホスト名形式を受け入れるように変更されていることに注意してください。他のホスト名検証では、この形式がサポートされていない場合があります。

4. WebLogic Serverを再起動します。

9.1.1.2 デモ・アイデンティティとデモ信頼に関するOPSSキーストア・サービスの再作成

KSSデモ・アイデンティティ・キーストアはドメインの作成時に事前構成されます。このキーストアの追加の構成は必要ありません。

ただし、その後KSSデモ・アイデンティティ・キーストアを変更または削除した場合は、この項の説明に従ってキーストアを再作成してください。

Fusion Middleware Controlまたはキーストア・サービス・コマンドのいずれかとWLSTを使用して、OPSSキーストア・サービス操作を実行できます。ここでは、Fusion Middleware Controlの手順について説明していますが、「キーストア・サービスを使用したキーと証明書の管理」では、両方の方法について説明しています。

デモIDおよびデモ信頼に対してOPSSキーストア・サービスを構成するには、次の手順を実行します。

1. Fusion Middleware Controlを起動します。

2. 「WebLogicドメイン」メニューから、「セキュリティ」→「キーストア」を選択します。

3. systemストライプにdemoidentityという名前のキーストアを作成します。(詳細は、Fusion Middleware Controlでのキーストアの作成に関する項を参照してください。)

a. systemストライプを選択し、「キーストアの作成」をクリックします。
図9-1に、「キーストアの作成」ページを示します。

図9-1 キーストアの作成

b. このキーストアにdemoidentityという名前を付けます。

c. 保護タイプを「パスワード」に設定します。

d. パスワードをDemoIdentityKeyStorePassPhraseに設定し、確認します。

e. 「権限の付与」チェック・ボックスの選択を解除します。

f. コード・ベースURLは指定しないでください。

4. 作成したdemoidentityキーストアを選択し、「管理」をクリックします。
DemoIdentityKeyStorePassPhraseパスワードを入力します。

図9-2に、「証明書の管理」画面を示します。

図9-2 証明書の管理

5. 「鍵ペアの生成」をクリックし、公開鍵と秘密鍵のペアを生成します。
図9-3に、「鍵ペアの生成」画面を示します。

図9-3 「鍵ペアの生成」

a. 鍵ペアの別名としてDemoIdentityを指定します。

b. DemoCertFor_<WLS Domain Name>として共通名を指定します。ここで、DemoCertFor_は必須定数で、<WLS Domain Name>はWebLogic Serverドメイン名です。たとえば、DemoCertFor_base_domainのように指定します。

注意:

WebLogic Server DefaultHostnameVerifierは、Weblogic Serverドメインのセキュリティ構成で「デモへのKSSの使用」フラグが設定された場合に、この非標準のホスト名形式を受け入れるように変更されています。他のホスト名検証では、この形式がサポートされていない場合があります。

c. 必要に応じて、他のサイト固有の情報を指定します。

d. ご使用の環境に適している場合は、デフォルトのRSAキー・サイズを受け入れます。キーの長さは1024ビット以上にする必要があります。

e. パスワードをDemoIdentityPassPhraseに指定します。

f. 「OK」をクリックします。

6. WebLogic Server管理コンソールから、「ドメイン」→「セキュリティ」→「詳細」ページに移動し、「デモへのKSSの使用」チェック・ボックスを選択します。

7. キーストアの構成に関する項で説明しているように、デモIDおよびデモ信頼を使用するようにWebLogic Serverインスタンスを構成します。

8. 「WebLogic Serverへの一方向SSLの構成」および「WebLogic Serverへの双方向SSLの構成」の説明に従ってWebLogic ServerインスタンスのSSLを構成します。
WebLogic Server DefaultHostnameVerifierが、非標準のDemoCertFor_<WLS Domain Name>ホスト名形式を受け入れるように変更されていることに注意してください。他のホスト名検証では、この形式がサポートされていない場合があります。

9. WebLogic Serverを再起動します。

9.1.1.3 カスタム・アイデンティティおよび信頼に関するOPSSキーストア・サービスの構成

WebLogic Serverでカスタム・アイデンティティおよび信頼にOPSSキーストア・サービスを使用するには、その前にこのサービスを構成する必要があります。

Fusion Middleware Controlまたはキーストア・サービス・コマンドのいずれかとWLSTを使用して、OPSSキーストア・サービス操作を実行できます。ここでは、Fusion Middleware Controlの手順について説明していますが、「キーストア・サービスを使用したキーと証明書の管理」では、両方の方法について説明しています。

カスタム・アイデンティティおよび信頼のためにOPSSキーストア・サービスを構成するには、次の手順を実行します。

1. Fusion Middleware Controlを起動します。

2. 「WebLogicドメイン」メニューから、「セキュリティ」→「キーストア」を選択します。

3. systemストライプにキーストアを作成します。(詳細は、Fusion Middleware Controlでのキーストアの作成に関する項を参照してください。)

a. systemストライプを選択し、「キーストアの作成」をクリックします。
図9-4に、「キーストアの作成」ページを示します。

図9-4 キーストアの作成

b. このキーストアに名前を付けます。

c. 保護タイプを「パスワード」に設定します。

d. パスワードを設定します。

e. 「権限の付与」チェック・ボックスの選択を解除します。

f. コード・ベースURLは指定しないでください。

4. 作成したキーストアを選択し、「管理」をクリックします。
パスワードを入力します。

図9-5に、「証明書の管理」画面を示します。

図9-5 証明書の管理

5. 「鍵ペアの生成」をクリックし、公開鍵と秘密鍵のペアを生成します。
図9-6に、「鍵ペアの生成」画面を示します。

図9-6 「鍵ペアの生成」

a. 鍵ペアの別名を指定します。

b. 必要に応じて、サイト固有の情報を指定します。

c. ご使用の環境に適している場合は、デフォルトのRSAキー・サイズを受け入れます。キーの長さは1024ビット以上にする必要があります。

d. パスワードを指定します。

e. 「OK」をクリックします。

6. このKSSデモCA署名の鍵ペアをそのまま使用することも、Entrust、Verisignなどの信頼できるベンダーから署名証明書を取得することもできます。
信頼できるベンダーから署名証明書を取得するには、鍵ペアの別名を選択し、「CSRの生成」をクリックします。CSRの作成後、それをCAに送信します。CAは証明書リクエストを認証し、リクエストに基づいてデジタル証明書を作成します。

CA署名付き証明書のインポート方法の詳細は、Fusion Middleware Controlを使用した証明書のインポートの「Fusion Middleware Controlを使用した証明書のインポート」を参照してください。

7. 事前構成されたOPSSキーストア・サービスの信頼ストアkss://system/trustを使用しない場合は、独自の信頼ストアを作成する必要があります。

注意:

OPSSキーストア・サービス信頼ストアは信頼構成を簡素化するため、これを使用することをお薦めします。

独自の信頼ストアを作成するには、別のOPSSキーストア・サービスのキーストアを作成し、信頼できる証明書をインポートします。信頼できる証明書のインポート方法の詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』のFusion Middleware Controlを使用した証明書のインポートを参照してください。

8. キーストアの構成に関する項で説明しているように、カスタムIDおよびカスタム信頼に対してKSSを使用するようにWebLogic Serverインスタンスを構成します。kss://system/keystore-nameという形式のURIとしてキーストアに完全修飾パスを指定します。キーストア・タイプはKSSです。

9. 「WebLogic Serverへの一方向SSLの構成」および「WebLogic Serverへの双方向SSLの構成」の説明に従ってWebLogic ServerインスタンスのSSLを構成します。

サーバーのSSL属性はすべて動的です。コンソールから属性を変更すると、対応するSSLサーバーまたはチャネルSSLサーバーが再起動され、新しい接続に対して新しい設定が使用されます。古い接続は引き続き古い構成で実行されます。すべてのSSL接続が、指定された構成に従って動作するようにするには、WebLogic Serverを再起動する必要があります。

9.1.2 WebLogic ServerへのJKSキーストアの構成

WebLogic ServerでJKSキーストアを構成できます。

このトピックでは、WebLogic ServerでJKSキーストアを構成するために必要な手順の概要を説明します。

「WebLogic ServerでのKSSキーストアの構成の理解」の説明に従ってKSSキーストア・サービスを使用することが、キーストアを構成する最も便利な方法である場合もあります。ただし、WebLogicデフォルトのアイデンティティ・キーストアDemoIdentity.jksとデフォルトの信頼キーストアDemoTrust.jksを含むJKSキーストアを使用するオプションもあります。

詳細は、次を参照してください。

- Oracle WebLogic Server管理コンソール・オンライン・ヘルプの「サーバー: 構成: キーストア」。

- 『Oracle WebLogic Serverセキュリティの管理 12c (12.2.1)』のキーストアの構成。

WebLogic Serverには、デフォルトのアイデンティティ・キーストアDemoIdentity.jksとデフォルトの信頼キーストアDemoTrust.jksが構成されています。さらに、WebLogic Serverでは、JDKのcacertsファイル内の認証局を信頼しています。このデフォルトのキーストア構成は、テストや開発を目的とする場合に適しています。ただし、これらのキーストアは本番環境では使用しないでください。

サーバーのアイデンティティと信頼を構成する手順は次のとおりです。

1. keytoolユーティリティまたはEntrust社やVerisign社のような信頼できるベンダーから信頼できる証明書を取得し、キーストアに含めます。

証明書を取得するには、証明書リクエストを作成してCAに送信する必要があります。CAは、証明書リクエストを認証し、リクエストに基づいてデジタル証明書を作成します。

PEM (Privacy Enhanced Mail)フォーマットは、秘密鍵、デジタル証明書、および信頼性のある認証局(CA)向けの推奨フォーマットです。

keytoolユーティリティを使用する場合、デフォルトの鍵のペア生成アルゴリズムはDigital Signature Algorithm(DSA)です。WebLogic ServerではDSAはサポートされていません。WebLogic Serverを使用する場合は、RSAなど、別の鍵のペア生成および署名アルゴリズムを指定してください。keytoolユーティリティの詳細は、keytool - キーおよび証明書管理ツール(http://docs.oracle.com/javase/6/docs/technotes/tools/windows/keytool.html)を参照してください。

WebLogic Serverのキットに用意されているデジタル証明書、秘密鍵、および信頼性のあるCA証明書を使用することもできます。デモ用のデジタル証明書、秘密鍵および信頼できるCA証明書は、開発環境でのみ使用してください。

2. アイデンティティ用に1つと信頼用に1つ、キーストアを作成します。推奨されるキーストアのフォーマットはJKS (Javaキーストア)です。

3. 秘密鍵と信頼できるCAをキーストアにロードします。

4. 管理コンソールの左側のペインで、「環境」を展開し、「サーバー」を選択します。

5. IDキーストアおよび信頼キーストアを構成するサーバーの名前をクリックします。

6. 「構成」を選択して、「キーストア」を選択します。

7. 「キーストア」フィールドで、秘密鍵/デジタル証明書のペアおよび信頼できるCA証明書を格納および管理する方法を選択します。次のオプションがあります。

- カスタム・アイデンティティとカスタム信頼: ユーザーが作成するアイデンティティと信頼キーストア。

- デモ・アイデンティティとデモ信頼: デモ・アイデンティティとデモ信頼のキーストア(それぞれDOMAIN_HOME\securityおよびWL_HOME\server\libディレクトリにあります)、およびJDK cacertsキーストアがデフォルトで構成されます。開発目的にのみ使用してください。

- カスタム・アイデンティティとJava標準信頼: ユーザーが作成するキーストアと、JAVA_HOME\jre\lib\securityディレクトリのcacertsファイルに定義されている信頼できるCA。

- カスタム・アイデンティティとコマンド行信頼: ユーザーが作成するアイデンティティ・キーストアと、信頼キーストアの場所を指定するコマンド行引数。

8. 「ID」セクションで、アイデンティティ・キーストアの属性を定義します。

- カスタム・アイデンティティ・キーストア: アイデンティティ・キーストアへの完全修飾パス。

- カスタム・アイデンティティ・キーストアのタイプ: キーストアのタイプ。一般に、この属性にはJavaキーストア(JKS)を指定します。空白のままにすると、デフォルトでJKSに設定されます。

- カスタム・アイデンティティ・キーストアのパスフレーズ: キーストアの読取りまたは書込み時に入力するパスワード。この属性は、キーストアのタイプに応じてオプションまたは必須になります。すべてのキーストアでは、キーストアへの書込みにパスフレーズが必要です。ただし、一部のキーストアでは、キーストアからの読取りにパスフレーズは不要です。WebLogic Serverはキーストアからのみ読取りを行うため、このプロパティを定義するかどうかは、キーストアの要件によって異なります。

注意:

デモ・アイデンティティ・キーストアのパスフレーズは、DemoIdentityKeyStorePassPhraseです。

9. 「信頼」セクションで、信頼キーストアのプロパティを定義します。

キーストアとして「Java標準信頼キーストア」を選択する場合、キーストアの作成時に定義したパスワードを指定します。確認のためにパスワードを再入力します。

カスタム信頼を選択した場合、次の属性を定義します。

- カスタム信頼キーストア: 信頼キーストアへの完全修飾パス。

- カスタム信頼キーストアのタイプ: キーストアのタイプ。一般に、この属性にはJKSを指定します。空白のままにすると、デフォルトでJKSに設定されます。

- カスタム信頼キーストアのパスフレーズ: キーストアの読取りまたは書込み時に入力するパスワード。この属性は、キーストアのタイプに応じてオプションまたは必須になります。すべてのキーストアでは、キーストアへの書込みにパスフレーズが必要です。ただし、一部のキーストアでは、キーストアからの読取りにパスフレーズは不要です。WebLogic Serverはキーストアから読み込むだけなので、このプロパティを定義するかどうかはキーストアの要件によります。

10. 変更内容は自動的にアクティブ化されます。

9.1.3 クラスタ上のJKSキーストア・ファイルの同期の構成

12.2.1のフレッシュ・インストールでJKSキーストアを構成するか、アップグレード・シナリオでJKSを使用できます。

JKSキーストア・ファイルの同期をクラスタ上でサーバーを再起動せずに行うには、次の手順を実行します。

1. wsm-client-mbeans.xmlファイルをテキスト・エディタで開きます。

2. 次のプロパティをwsm-client-mbeans.xmlに手動で追加します。

<config-file path="../default-keystore.jks"/>

注意:

default-keystore.jksは他の名前である場合があります。このため、ファイル・パスを指定する必要があります。

wsm-client-mbeans.xmlファイル内のJKS MBeanは次のような内容です。

<?xml version = '1.0' encoding = 'UTF-8' standalone='yes'?>
<application-mbeans xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:noNamespaceSchemaLocation="http://xmlns.oracle.com/oracleas/schema/11/application-mbeans-11_1.xsd" schema-major-version="11" schema-minor-version="1">
<config-mbeans>
<jmx-config-mbean
objectname="oracle.wsm:type=security,name=JKSKeystoreMBean"
class="oracle.wsm.security.store.jks.mgmt.KeystoreMBeanImpl"

management-interface="oracle.wsm.security.store.jks.mgmt.KeystoreMBean">
<description>MBean to access and manage JKS
Keystore</description>
<config-file path="../default-keystore.jks"/>
</jmx-config-mbean>
</config-mbeans>
</application-mbeans>

3. wsm-client-mbeans.xmlファイルを保存します。

4. 構成ファイルのパスを追加したら、サーバーを再起動します。

9.2 WebLogic Serverへの一方向SSLの構成

一方向SSLでは、サーバーはクライアントに証明書を提示する必要がありますが、クライアントがサーバーに証明書を提示する必要はありません。

「SSLに関するキーストアの構成について」の説明に従ってWebLogic Serverインスタンスのアイデンティティと信頼キーストアを構成したら、そのSSL属性を構成します。これらの属性では、「構成: キーストア」ページで指定したキーストア内のアイデンティティ鍵と証明書の場所を示します。この情報を指定するには、「構成: SSL」ページを使用します。

この項では、WebLogic ServerにSSLを構成するために必要な手順の概要を説明します。詳細は、SSLの構成を参照してください。

SSLを構成するには、次のようにします。

1. WebLogic Server管理コンソールの左ペインで、「環境」を展開して「サーバー」を選択します。

2. SSLを構成するサーバーの名前をクリックします。

3. 「構成」→「SSL」ページを選択し、WebLogic Serverのアイデンティティ(証明書と秘密鍵)と信頼(信頼できるCA)の場所を選択します。

4. 秘密鍵の別名とパスワードのSSL属性を設定します。

5. ページの下部で、「詳細」をクリックします。

6. 「ホスト名の検証」を「なし」に設定します。

7. WebLogic Serverが内部サーバーとエクスポート可能クライアントとの間で何回エクスポート可能鍵を使用したら新しい鍵を生成する必要があるか、使用できる回数を指定します。新しい鍵を生成するまでに鍵を使用する回数が少ないほど、WebLogic Serverのセキュリティが強化されます。

8. 「相互クライアント証明書の動作」コントロールを「クライアント証明書を要求しない」に設定します。

9. 受信または送信するSSL証明書の検証方法を指定します。次のオプションがあります。

- 組込みSSLの検証のみ: 組込みの信頼できるCAベースの検証を使用します。これはデフォルトです。

- 組込みSSLの検証および証明書パス検証プロバイダ: 組込みの信頼できるCAベースの検証を使用し、追加の検証を実行するために構成済のCertPathValidatorプロバイダを使用します。

9.3 WebLogic Serverへの双方向SSLの構成

双方向SSLでは、サーバーはクライアントに、またクライアントはサーバーに証明書を提示します。SSLハンドシェイクを完了する前に、クライアントに有効で信頼できる証明の送信を要求するようにWebLogic Serverを構成できます。

「SSLに関するキーストアの構成について」の説明に従って、WebLogic Serverインスタンスのアイデンティティと信頼キーストアを構成した後、使用するポリシーまたはテンプレートで必要な場合は、「双方向SSLの構成が必要なポリシーのリスト」の説明に従って双方向SSL属性を構成できます。

この項では、WebLogic ServerにSSLを構成するために必要な手順の概要を説明します。詳細は、SSLの構成を参照してください。

双方向SSLを構成するには、次の手順に従ってください。

1. WebLogic Server管理コンソールの左ペインで、「環境」を展開して「サーバー」を選択します。

2. SSLを構成するサーバーの名前をクリックします。

3. 「構成」→「SSL」ページを選択し、WebLogic Serverのアイデンティティ(証明書と秘密鍵)と信頼(信頼できるCA)の場所を選択します。

4. 秘密鍵の別名とパスワードのSSL属性を設定します。

5. ページの下部で、「詳細」をクリックします。

6. 「ホスト名の検証」を「なし」に設定します。

7. WebLogic Serverが内部サーバーとエクスポート可能クライアントとの間で何回エクスポート可能鍵を使用したら新しい鍵を生成する必要があるか、使用できる回数を指定します。新しい鍵を生成するまでに鍵を使用する回数が少ないほど、WebLogic Serverのセキュリティが強化されます。

8. 「相互クライアント証明書の動作」コントロールを「クライアント証明書を要求(強制する)」に設定します。

9. 受信または送信するSSL証明書の検証方法を指定します。次のオプションがあります。

- 組込みSSLの検証のみ: 組込みの信頼できるCAベースの検証を使用します。これはデフォルトです。

- 組込みSSLの検証および証明書パス検証プロバイダ: 組込みの信頼できるCAベースの検証を使用し、追加の検証を実行するために構成済のCertPathValidatorプロバイダを使用します。

9.4 Webサービス・クライアントへの一方向SSLの構成

中核となるWebLogic Serverのセキュリティ・サブシステムでは、デフォルトのキーストアに格納されている秘密鍵とX.509証明書のペアをSSLに使用します。

WebLogic Serverでリクエストのデジタル署名に使用されるX.509証明書を、Webサービス・クライアントが信頼できるようにする必要があります。次のいずれかの操作を行います。

- WebLogic Serverが、信頼できる認証局から発行された、クライアントが自動的に信頼するデジタル証明書を取得するようにします。

- WebLogic Serverが信頼する個々の証明書をすべてリストした証明書レジストリを作成し、クライアントが登録されたこれらの証明書を信頼するようにします。

- クライアントおよびWebLogic Serverが同じシステムに存在する場合は、同じ信頼ストアを使用します。

Webサービス・クライアントに関する一方向SSLを構成するには、クライアントのJVMで次のプロパティを設定します。

- javax.net.ssl.trustStore -- 信頼ストアの場所を指定するシステム・プロパティ。JKSの場合、信頼ストアが含まれるファイルの名前です。KSSの場合、KSS URIです。
既存のJKSまたはKSS信頼ストアを使用するか、新規の信頼ストアを作成できます。たとえば、javax.net.ssl.trustStoreがデフォルトのkss://system/trust信頼ストアを指し示すことができます。

新規JKS信頼ストアを作成するには、keytoolユーティリティを使用できます。新規KSSキーストアを作成するには、Fusion Middleware Controlを使用できます。

- javax.net.ssl.trustStoreType -- デフォルトのTrustManagerでJKSまたはKSSのいずれかを使用する信頼ストア・オブジェクトのタイプ。

- javax.net.ssl.trustStorePassword -- JKSのみ。信頼ストアのパスワードを指定します。

Oracle Infrastructure Webサービス・クライアントの場合、ディスクリプタ・ファイルに個々のプロパティを設定することもできます。個々のディスクリプタ・ファイルのプロパティ・セットは、システム・プロパティを使用して、プロパティ・セットをオーバーライドします。

- SOAコンポジットの場合、composite.xmlにプロパティを設定します。

- ADF Webサービス・データ・コントロール(ADFDC)の場合、connections.xmlにプロパティを設定します。

- ADFビジネス・コンポーネントおよびWebCenterクライアントの場合、oracle-webservices-client.xmlにプロパティを設定します。

9.5 Webサービス・クライアントに関する双方向SSLの構成

Webサービス・クライアントに双方向SSLを構成するには、クライアントでリクエストのデジタル署名に使用されるX.509証明書をWebLogic Serverが検証でき、WebLogic Serverがその証明書をクライアントへの応答の暗号化に使用できるようにする必要があります。

注意:

SOAアプリケーションが双方向SSLでのWebサービス・クライアントである場合の特定の構成手順については、Oracle SOA SuiteおよびOracle Business Process Management Suiteの管理の双方向SSL通信のSOAコンポジット・アプリケーションの構成に関する項を参照してください。

Webサービス・クライアントに双方向SSLを構成するには、次のいずれかを行います。

- 信頼性のある認証局で発行されているためにWebLogic Serverが自動的に信頼するデジタル証明書をクライアント・アプリケーションが取得することを確認します。

- WebLogic Serverによって信頼される個々の証明書をすべて登録する証明書レジストリを作成し、登録された証明書のいずれかをクライアントが使用することを確認します。

- クライアントおよびWebLogic Serverが同じシステムに存在する場合は、同じキー・ストアおよび信頼ストアを使用します。

Webサービス・クライアントに関するSSLを構成するには、次のプロパティがクライアントのJVMで設定されていることを確認します。

- javax.net.ssl.keyStore -- キーストアの場所を指定するシステム・プロパティ。JKSの場合、キーストアが含まれるファイルの名前です。KSSの場合、KSS URIです。
既存のJKSまたはKSSキーストアを使用するか、新規のキーストアを作成できます。たとえば、javax.net.ssl.keyStoreがデフォルトのkss://system/castoreキーストアを指し示し、WebLogic Serverが使用するX.509証明書をWebサービス・クライアントが使用できるようにします。

新規JKSキーストアを作成するには、keytoolユーティリティを使用できます。新規KSSキーストアを作成するには、Fusion Middleware Controlを使用できます。

- javax.net.ssl.keyStoreType -- デフォルトのTrustManagerでJKSまたはKSSのいずれかを使用するKeyStoreオブジェクトのタイプ。

- javax.net.ssl.trustStore -- 信頼ストアの場所を指定するシステム・プロパティ。JKSの場合、信頼ストアが含まれるファイルの名前です。KSSの場合、KSS URIです。
既存のJKSまたはKSS信頼ストアを使用するか、新規の信頼ストアを作成できます。たとえば、WebLogic Serverが信頼するX.509証明書をWebサービス・クライアントが信頼するように、javax.net.ssl.trustStoreがデフォルトのkss://system/trust信頼ストアを指し示すようにできます。

新規JKS信頼ストアを作成するには、keytoolユーティリティを使用できます。新規KSSキーストアを作成するには、Fusion Middleware Controlを使用できます。

- javax.net.ssl.trustStoreType -- デフォルトのTrustManagerでJKSまたはKSSのいずれかを使用するTrustStoreオブジェクトのタイプ。

- javax.net.ssl.trustStorePassword -- JKSのみ。信頼ストアのパスワードを指定します。

- HTTPClient.ssl.identityAlias -- アイデンティティに使用する証明書の別名。別名がnullの場合、JSSEプロバイダはキーストア内の別名のいずれかを選択します。

Oracle Infrastructure Webサービス・クライアントの場合、ディスクリプタ・ファイルに個々のプロパティを設定することもできます。個々のディスクリプタ・ファイルのプロパティ・セットは、システム・プロパティを使用して、プロパティ・セットをオーバーライドします。

- SOAコンポジットの場合、composite.xmlにプロパティを設定します。

- ADF Webサービス・データ・コントロール(ADFDC)の場合、connections.xmlにプロパティを設定します。

- ADFビジネス・コンポーネントおよびWebCenterクライアントの場合、oracle-webservices-client.xmlにプロパティを設定します。

9.6 Oracle HTTP ServerでのSSL構成の理解

HTTPSプロトコルは、クライアントとサーバー間で保護された接続を確立するためにSecure Sockets Layer (SSL)と呼ばれる業界標準のプロトコルを使用します。クライアントとWebサービス間で通信するための通信プロトコルの1つとして、Oracle HTTP Serverによって提供されるHTTPS/SSLサポートを使用することもできます。この項では、OWSMポリシーを使用して、SSL経由でリクエストを送信するようにWebサービス・クライアントおよびWebサービスを設定する方法を説明します。

Oracle HTTP Serverは、クライアントとOracle WebLogic Server間を仲介するWebプロキシとして構成されます。Oracle HTTP ServerでSSLが有効であり、またクライアントとOracle HTTP Server間でSSLトランスポートが有効です。Oracle HTTP ServerとWebLogic Server間の通信は非SSLのままです。

詳細は、次を参照してください。

- 『Oracle Fusion Middlewareの管理』のOracle Fusion MiddlewareでのSSL構成に関する項。

- 『Oracle WebLogic Serverセキュリティの管理12c (12.2.1)』のSSLの構成に関する項

- Oracle WebLogic Server管理コンソール・オンライン・ヘルプのSSLの構成に関する項

- 『Oracle HTTP Server管理者ガイド』のSecure Sockets Layerの構成に関する項

ここでは、一方向SSLおよび双方向SSLを必要とするポリシーを構成する方法について説明します。次のトピックが含まれています:

- Oracle HTTP Serverの一方向SSLの構成

- Oracle HTTP Serverの双方向SSLの構成

9.6.1 Oracle HTTP Serverの一方向SSLの構成

この項では、Oracle HTTP Serverでの一方向SSLの構成方法について説明します。

一方向SSL構成を必要とするOWSMポリシーの詳細は、「SSLの構成が必要なOWSMポリシー」を参照してください。

一方向SSLを使用するには、次の手順に従ってください。

1. 次の手順に従って、Oracle HTTP Serverを構成します。

a. 次の例に示すように、ファイルORACLE_INSTANCE/config/OHS/<ohs_name>/ssl.confで、Oracle HTTP ServerをWebプロキシとして構成し、アクセスするURLのリストを指定します。

# added properties for configuring OHS as webproxy
<IfModule weblogic_module>
WebLogicHost <host>
WebLogicPort <port>
SecureProxy Off
WlProxySSL On
Debug ALL
WlLogFile /tmp/weblogic.log
#the location attributes list the urls you want to access via OHS
<Location
/myWlsService>
SetHandler weblogic-handler
WebLogicHost <host>
WeblogicPort <port>
</Location>

b. 同じファイルで、クライアント証明書情報がWebLogic Serverに送信されるように、仮想ホスト構成で次のプロパティを設定します。
SSLVerifyClient optional

c. デフォルトでは、Oracle HTTP ServerでSSLは有効です。デフォルトのhttpsポートは4443です。このポートの構成の詳細は、『Oracle Fusion Middlewareの管理』のOracle Fusion MiddlewareでのSSLの構成に関する項を参照してください。

d. Oracle HTTP Serverを再起動します。
詳細は、『Oracle Fusion Middlewareの管理』のOracle Fusion MiddlewareでのSSLの構成に関する項を参照してください。

2. 『Oracle Fusion Middlewareの管理』のキーストア、ウォレットおよび証明書の管理に関する項の説明に従ってウォレットを作成し、デフォルトのウォレットを置換します。デフォルトのウォレットは、ORACLE_INSTANCE/config/OHS/<ohs_name/keystores/defaultディレクトリ内にあります。次の例は、一方向SSLのウォレットを作成するサンプルのコマンドを示しています。

./orapki wallet create -wallet <wallet_location> -pwd password -auto_login
./orapki wallet display -wallet <wallet_location> -pwd password
./orapki cert display -cert <wallet_location>/ohs.crt

./orapki wallet add -wallet <wallet_location> -keysize 512 -dn "CN=<host_name>,OU=st,O=owsm,L=N,ST=delhi,C=IN"
-self_signed -validity 700 -serial_num 20 -cert <wallet_location>/ohs.crt -user_cert -pwd password

./orapki wallet display -wallet <wallet_location> -pwd password

JAVA_HOME/bin/keytool -import -trustcacerts -file ohs.crt -alias sslcert -keystore client_keystore.jks -storepass password

3. Oracle WebLogic管理コンソールで、次の手順を実行します。

a. 「環境」タブの「サーバー」ページに移動します。

b. 「AdminServer」をクリックし、「構成」で「一般」を選択します。

c. 「詳細」セクションで、「WebLogicプラグインの有効化」および「クライアント証明書プロキシの有効化」を選択していることを確認します。

d. 変更内容を保存します。

e. SOAサーバーに同じパラメータを設定します。
詳細は、Oracle WebLogic Server管理コンソール・オンライン・ヘルプのサーバー: 構成: 要約に関する項を参照してください。

一方向モード(サーバー認証モード)を使用するようにクライアントを変更するために、JDeveloperを使用してWebサービスからJSEクライアントを作成します。次の例に示されているように、パラメータおよびプロパティを変更します。

public static void main(String [] args)
{
class1Service = new Class1Service();
SecurityPolicyFeature[] securityFeatures =
new SecurityPolicyFeature[] { new SecurityPolicyFeature("oracle/wss_
saml_token_over_ssl_client_policy") };
Class1 class1 = class1Service.getClass1Port(securityFeatures);
((BindingProvider) class1).getRequestContext().put(BindingProvider.ENDPOINT_
ADDRESS_PROPERTY,
"https://<host>:4443/myWlsService/Class1Port");

((BindingProvider) class1).getRequestContext().put(BindingProvider.USERNAME_
PROPERTY, "weblogic");
System.setProperty("javax.net.ssl.trustStore","D:\\OWSM_
QA\\11g\\PS2\\OHS\\wallet\\client_keystore.jks");
System.setProperty("javax.net.ssl.trustStorePassword","password");
System.setProperty("javax.net.ssl.trustStoreType","JKS");

System.setProperty("weblogic.security.SSL.ignoreHostnameVerification" ,
"true");
System.setProperty("java.protocol.handler.pkgs",
"com.sun.net.ssl.internal.www.protocol");
System.setProperty("javax.net.debug","all");

System.out.println("Call to the SSL service...");
String response1 = class1.sayHello("test");
System.out.println("Response = " + response1);
}

9.6.2 Oracle HTTP Serverの双方向SSLの構成

この項では、Oracle HTTP Serverでの双方向SSLの構成方法について説明します。

双方向SSL構成を必要とするOWSMポリシーの詳細は、「双方向SSLの構成が必要なポリシーのリスト」を参照してください。

双方向SSLを使用するには、次の手順を実行します。

1. 次の手順に従って、Oracle HTTP Serverを構成します。

a. 次の例に示すように、ファイルORACLE_INSTANCE/config/OHS/<ohs_name>/ssl.confで、Oracle HTTP ServerをWebプロキシとして構成し、アクセスするURLのリストを指定します。

# added properties for configuring OHS as webproxy
<IfModule weblogic_module>
WebLogicHost <host>
WebLogicPort <port>
SecureProxy Off
WlProxySSL On
Debug ALL
WlLogFile /tmp/weblogic.log
#the location attributes list the urls you want to access via OHS
<Location /myWlsService>
SetHandler weblogic-handler
WebLogicHost <host>
WeblogicPort <port>
</Location>

b. 同じファイルで、クライアント証明書情報がWebLogic Serverに送信されるように、仮想ホスト構成で次のプロパティを設定します。
SSLVerifyClient optional

SSLOptions +StdEnvVars +ExportCertData

SSLOptions +ExportCertDataは、証明書に関連する情報をWebLogic Serverに送信するようにするmod_sslディレクティブです。SSLOptions +StdEnvVars +ExportCertDataは、SSLに関連する情報を送信するようにします。

c. デフォルトでは、Oracle HTTP ServerでSSLは有効です。デフォルトのhttpsポートは4443です。このポートの構成の詳細は、『Oracle Fusion Middlewareの管理』のOracle Fusion MiddlewareでのSSLの構成に関する項を参照してください。

d. Oracle HTTP Serverを再起動します。
詳細は、『Oracle Fusion Middlewareの管理』のOracle Fusion MiddlewareでのSSLの構成に関する項を参照してください。

2. 『Oracle Fusion Middlewareの管理』のキーストア、ウォレットおよび証明書の管理に関する項の説明に従ってウォレットを作成し、デフォルトのウォレットを置換します。デフォルトのウォレットは、ORACLE_INSTANCE/config/OHS/<ohs_name/keystores/defaultディレクトリ内にあります。双方向SSLのウォレットを作成するサンプルのコマンドについては、次の例を参照してください。

JAVA_HOME/bin/keytool -genkey -alias twowayssl -keyalg RSA
-keystore twowaykeystore.jks -storepass password -validity 700
./orapki wallet add -wallet <wallet_location> -cert
<wallet_location>/twowayssl.crt -trusted_cert -pwd password

3. Oracle WebLogic管理コンソールで、次の手順を実行します。

a. 「環境」タブの「サーバー」ページに移動します。

b. 「AdminServer」をクリックし、「構成」で「一般」を選択します。

c. 「詳細」セクションで、「WebLogicプラグインの有効化」および「クライアント証明書プロキシの有効化」を選択していることを確認します。

d. 変更内容を保存します。

e. SOAサーバーに同じパラメータを設定します。
詳細は、Oracle WebLogic Server管理コンソール・オンライン・ヘルプのサーバー: 構成: 要約に関する項を参照してください。

双方向(相互認証モード) SSLを使用するようにクライアントを変更するために、JDeveloperを使用してWebサービスからJSEクライアントを作成します。次の例に従って、パラメータおよびプロパティを変更します。

public static void main(String [] args)
{
class1Service = new Class1Service();
SecurityPolicyFeature[] securityFeatures =
new SecurityPolicyFeature[] { new SecurityPolicyFeature("oracle/wss_saml_token_over_ssl_client_policy") };
Class1 class1 = class1Service.getClass1Port(securityFeatures);
((BindingProvider) class1).getRequestContext().put(BindingProvider.ENDPOINT_
ADDRESS_PROPERTY,
"https://<host>:4443/myWlsService/Class1Port");

((BindingProvider) class1).getRequestContext().put(BindingProvider.USERNAME_
PROPERTY, "weblogic");
((BindingProvider) class1).getRequestContext().put(BindingProvider.PASSWORD_
PROPERTY, "password");
System.setProperty("javax.net.ssl.trustStore","D:\\OWSM_
QA\\11g\\PS2\\OHS\\wallet\\twowaykeystore.jks");
System.setProperty("javax.net.ssl.trustStorePassword","password");
System.setProperty("javax.net.ssl.trustStoreType","JKS");
System.setProperty("javax.net.ssl.keyStore","D:\\OWSM_QA\\11g\\PS2\\OHS\\wallet\\twowaykeystore.jks");
System.setProperty("javax.net.ssl.keyStorePassword","password");
System.setProperty("javax.net.ssl.keyStoreType","JKS");

System.setProperty("weblogic.security.SSL.ignoreHostnameVerification" ,
"true");
System.setProperty("java.protocol.handler.pkgs",
"com.sun.net.ssl.internal.www.protocol");
System.setProperty("javax.net.debug","all");

System.out.println("Call to the SSL service...");
String response1 = class1.sayHello("test");
System.out.println("Response = " + response1);
}

10 Oracle Web Services Managerを使用した認可の構成

OWSMを使用して認可を構成できます。認可(アクセス制御とも呼ばれる)により、認証されたクライアントがどの操作にアクセスできるかを決定できます。

トピック:

- 認可の概要

- 保護するリソースの決定

- 認可権限の決定

- OPSSリソース名の決定

- Oracle Entitlements Serverを使用したファイングレイン認可の構成について

- リクエスト元を指定するためのOracle HTTP Serverの構成

- Oracle Web Services ManagerでのOAuth2の使用

10.1 認可の概要

多くの場合、認証はユーザーにWebサービスへのアクセスを許可するかどうかを決定する最初の手順となります。ユーザーが認証されたら、2番目の手順は、ユーザーがWebサービスへのアクセスを認可されていることを検証することです。これは、認可ポリシーを使用して実行されます

binding_authorization_templateまたはcomponent_authorization_templateアサーション・テンプレートを使用して、認可ポリシーを作成できます。

これらのテンプレートを使用して作成されたポリシーでは、ロール・ベースまたは権限ベースのアクセス制御(RBAC)が実行され、認証されたユーザーにWebサービスへのアクセスが許可されたいずれかのロールまたは権限が付与されていることが確認されます。

現在のリリースで使用可能な認証ポリシーのサマリーは、Webサービスに使用する事前定義済ポリシーの決定の認可ポリシーを参照してください。Oracle Web Services Managerの事前定義済ポリシーに、認可を実行するセキュリティ・ポリシーをまとめ、ポリシーがトランスポート・レイヤーまたはSOAPヘッダーで実行されるかどうかを示します。

認可の詳細は、『Oracle Web Services Managerの理解』の認可の概要に関する項を参照してください。

注意:

認可ポリシーは、サブジェクトが作成されている任意の認証ポリシーの後に続けることができます。

permitallおよびdenyallポリシーの両方を同じWebサービスに添付することはできません。

10.2 保護するリソースの決定

認可ポリシーには、ポリシーで保護するリソースを指定するために使用できる次のプロパティがあります。すべての事前定義済ポリシーにすべてのプロパティを設定できるとはかぎりません。

注意:

事前定義済ポリシーは読取り専用であり、編集できません。ただし、ベースとして事前定義済ポリシーを使用して新しいポリシーを作成できます。新しいポリシーの作成の詳細は、「Webサービス・ポリシーの作成および編集」を参照してください。新しいポリシーを作成したら、必要に応じて、ポリシーの編集や設定の変更、または構成プロパティの設定が行えます。

- 制約一致 -- 認可チェックが実行される制約を表す式。制約式は、次の2つのmessageContextプロパティを使用して指定します。

- messageContext.authenticationMethod: ユーザーの認証に使用する認証方法を決定します。有効な値は、SAML_SVのみです。

- messageContext.requestOrigin: リクエストが内部ネットワークまたは外部ネットワークから発行されたかどうかを決定します。このプロパティは、Oracleを使用しており、Oracle HTTP Server管理者がカスタムのVIRTUAL_HOST_TYPEヘッダーをリクエストに追加した場合のみ有効です。リクエストへのこのヘッダーの追加の詳細は、「リクエスト元を指定するためのOracle HTTP Serverの構成」を参照してください。

次の点に注意してください。

- 制約一致プロパティとその値では、大文字と小文字が区別されます。

- 制約式では、サポートされている標準的な演算子(==、!=、&&、||、!)を使用します。

次の例では、現在のメッセージにSAML_SVトークンが含まれない場合またはリクエスト元が内部でない場合のみ、ロールベースの認可アサーションが実行されます。

${!(messageContext.authenticationMethod =='SAML_SV'|| messageContext.requestOrigin == 'internal')}

注意:

このプロパティは、binding_authorization_templateに基づく認可ポリシーでのみ有効です。他の認可アサーション・テンプレートに基づくポリシーの場合、このプロパティは今後の使用のために予約されています。

- アクション一致 -- 権限ベースの確認が実行されるWebサービス操作。この値は、値のカンマ区切りのリストにすることもできます。このフィールドではワイルドカードを使用できます。*は、すべてのサービス操作を意味します。
「アクション一致」の有効な値は、Webサービス・メソッドで決まります。たとえば、Webサービス・メソッドがvalidate(amountAvailable)の場合は、アクション・パターンをvalidateと入力します。

- リソース一致 -- 権限ベースの確認が実行されるリソースの名前。このフィールドではワイルドカードを使用できます。デフォルトは*で、ポリシーによって保護されるWebサービスのすべてのリソースに対応します。
表記規則により、リソース・パターンを(Webサービスのネームスペース+ Webサービス名)として入力します。

たとえば、Webサービスのネームスペースがhttp://project11で、Webサービス名がCreditValidationの場合、リソース名をhttp://project11/CreditValidationと入力します。

特定のリソース一致を指定した場合、ポリシーは、基準と一致するWebサービスに対してのみ実行されます。つまり、特定のリソース一致フィールドの値を入力すると、認可ポリシーのスコープが制限されます。デフォルトの*により、一括アタッチされたWebサービスのすべてのリソース(Webサービスのネームスペース+ Webサービス名)が保護されます。

- 権限クラス -- デフォルトでは、oracle.wsm.security.WSFunctionPermissionになっています。クラスは、クラスパスに存在する必要があります。

- ロール -- 可能な値は、「すべてを許可」、「すべてを拒否」および「選択したロール」です。「選択したロール」を選択した場合、WebLogic Serverで定義されたエンタープライズ(グローバル)ロールのいずれかを選択する必要があります。このロールには、次のものがあります。

- AdminChannelUser

- Anonymous

- AppTester

- CrossDomainConnector

- Deployer

- Monitor

- Operator

- OracleSystemRole

10.3 認可権限の決定

概念的には、認証されたサブジェクトがWebサービス・ポリシーによって保護された特定のリソースへのアクセスを許可されるかどうかの決定には、連携して機能する2つの部分が関与します。

- 認可ポリシーの「アサーション」詳細ページのリソース一致およびアクション一致パラメータにより、図10-1に示すように、ポリシーで保護するリソースが決定されます。
oracle/binding_permission_authorization_policyには、異なるアクションおよびリソースを設定するために使用可能なresourceおよびaction構成プロパティも含まれています。これらのプロパティを設定するか、オーバーライドする場合、「リソース一致」および「アクション一致」パラメータを使用して構成するアクションおよびリソースのかわりに、新しい値がアタッチされたWebサービスで使用されます。構成オーバーライドの使用方法の詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

そのポリシーの「権限クラス」設定を変更する方法もあります。これはJAAS標準によって権限クラスを識別します。権限クラスは、アプリケーションまたはサーバーのクラスパスに存在する必要があります。

カスタムの権限クラスは、抽象的な権限クラスを拡張し、シリアライズ可能なインタフェースを実装する必要があります。http://docs.oracle.com/javase/7/docs/api/java/security/Permission.htmlにあるJavadocを参照してください。デフォルトは、oracle.wsm.security.WSFunctionPermissionです。

図10-1 ポリシーの権限設定

- OPSSアプリケーション・ポリシー・ページでは、図10-2に示すように、認証されたサブジェクトがそこにリストされている「リソース名」への起動アクセスを持つかどうかを指定します。

図10-2 OPSS作成アプリケーション付与ページでの権限の追加

OPSSは、Webサービスの認可ポリシーの「アサーション」詳細ページを使用して、許可チェックが必要なリソースを決定します。認証されたサブジェクトがそのリソースに対してOPSSを介してWSFunctionPermission(または他の権限)を付与されている場合は、そのリソースへのアクセスが許可されます。

注意:

そのポリシーの構成プロパティ「権限チェック・クラス」を変更する場合は、ここでもカスタム・クラスを使用してください。

図10-1と図10-2に示す例をさらに検討します。

認可ポリシーの「アサーション詳細」ページで、http://project11/CreditValidation Webサービスのvalidateメソッドを保護するために次のものを指定しているとします。

Action Match:        validate
Resource Match:       http://project11/CreditValidation
Permission Class  oracle.wsm.security.WSFunctionPermission

次に、OPSSアプリケーション・ポリシー・ページで、「リソース名」にhttp://project11/CreditValidation#validateを使用して、認証されたサブジェクトがこのリソースを起動する権限を持つように指定します。

Permission Class: oracle.wsm.security.WSFunctionPermission
Resource Name:    http://project11/CreditValidation#validate
Permissions Action:  invoke

WSFunctionPermission権限を、ユーザー、グループまたはアプリケーション・ロールに付与できます。WSFunctionPermissionをユーザーまたはグループに付与した場合、この権限は、ドメインにデプロイされているすべてのアプリケーションに適用されます。

10.4 OPSSリソース名の決定

WSFunctionPermissionのリソース・ターゲットは、実際のWebサービス操作の名前を含めるように機能強化されました。OPSSリソース名にオペレーション名を組み込むことができます。

注意:

OPSSリソース名にオペレーション名を組み込むことができます。

前のリリースのFusion Middleware Controlでは、OPSSアプリケーション・ポリシー・ページの「リソース名」は、name-space-of-webservice/ServiceNameによって決められていました。たとえば、Webサービスのネームスペースがhttp://project1/で、サービス名がCreditValidationの場合、「リソース名」はhttp://project1/CreditValidationでした。アスタリスク(*)ワイルドカードを使用して、すべてのアクションまたはすべてのリソースに権限を与えることもできました。

このリリースでは、WSFunctionPermissionのリソース・ターゲットに実際のWebサービス操作の名前を含めるように機能強化されました。「リソース名」の構文は、name-space-of-webservice/servicename#[オペレーション名]です。

コンポーネントの場合はcompositename/componentname#[オペレーション名]です。

少なくともname-space-of-webservice/service nameを含める必要があります。つまり、アスタリスク(*)ワイルドカードを使用して、すべてのアクションまたはすべてのリソースに権限を与えることはできなくなりました。

そのかわりに、単に操作名を空白のままにしておくだけで、Webサービスのすべての操作を指定できます。たとえば、name-space-of-webservice/servicename#のようにします。

Permission Actionは常にinvokeです。

10.5 Oracle Entitlements Serverを使用したファイングレイン認可の構成について

Oracle Entitlements Server (OES)は、エンドツーエンドでエンタープライズ全体のアプリケーションとサービスを保護するために使用できるファイングレイン認可サービスです。OESはOWSMと統合されており、OESをOWSMとあわせてファイングレイン認可に使用できます。

『Oracle Web Services Managerの理解』のOracle Entitlements Serverの統合の理解に関する項で説明されているように、Oracle Entitlements Server (OES)はファイングレイン認可サービスであり、アプリケーションやサービスをエンドツーエンドで企業全体にわたって保護するために使用できます。OESはOWSMと統合されており、OESをOWSMとあわせてファイングレイン認可に使用できます。

Oracle Entitlements Serverの統合の理解に関する項では、リソースの処理方法の説明を含め、OESの統合の構成に必要な概念的情報が説明されています。また、その項では労働の分離も説明されています。OESポリシーおよび責任はOESコンソールから構成し、OWSM OESポリシーはFusion Middleware Control、WLSTまたはJDeveloperのようなツールから構成します。まだ読んでいない場合は、まずその項を読んでください。

この項では、OES統合の構成方法を説明しており、内容は次のとおりです。

- OES統合構成の前提条件

- 責任の属性の理解

- ファイングレイン認可のためのOESポリシーの構成について

- 大まかな認可のためのOESポリシーの構成について

- マスキングのためのOESポリシーの構成について

- OWSM OESポリシーをアタッチする方法の理解

10.5.1 OES統合構成の前提条件

OWSMインストール以外に、既存のOESコンソールのバージョン11.1.2.2.0以上が構成されている必要があります。OESはOWSMと同じマシンで同じOracle Middlewareホームにインストールされている必要があります。

OESはOracle Identity and Access Management Suiteの一部で、次のドキュメントで説明されています。この項は、これらの内容と、OESの構成および管理を理解していることを前提としています。インストール方法の詳細は、Oracle Identity and Access Managementインストレーション・ガイドのOracle Entitlements Serverのインストールおよび構成を参照してください。

10.5.2 責任の属性の理解

OESを使用すると、責任をOESコンソールで作成できます。また、複数の属性名/値のペアが提供されます。属性は、XPath、HTTPヘッダー、メッセージ・コンテキスト、定数(名前/値)、さらに認可リクエストで常に渡される静的属性のセット(serviceURLなど)から取得できます。

属性の処理方法に関する項で説明されているように、OESではOESコンソールで責任を作成し、複数の属性名と値のペアを設定できます。属性は、XPath、HTTPヘッダー、メッセージ・コンテキスト、定数(名前/値)、さらに認可リクエストで常に渡される静的属性のセット(serviceURLなど)から取得できます。

属性の情報を決定する最も簡単な方法は、アプリケーションをデプロイすることです。その後、SOAPリクエストまたはWSDLを確認し、必要な属性を決定します。2つの方法があります。

- アプリケーションをデプロイし、JDeveloper (または別のメカニズム)を使用してSOAPメッセージを確認して必要なものを決定します。

- アプリケーションをデプロイし、デプロイしたアプリケーションのWSDLを確認して必要なものを決定します。
Oracle Fusion Middlewareを使用したWebサービスの管理のWebサービスのWSDLドキュメントの表示に関する項の説明に従って、Webサービス・エンドポイントのWSDLドキュメントを表示します。

10.5.3 ファイングレイン認可のためのOESポリシーの構成について

OESに対して認可の決定を問い合せるには、2段階の方法(ファイングレイン)と1段階の方法(大まか)の2通りがあります。この項では、ファイングレイン認可用にOESポリシーを構成する方法を説明します

『Oracle Web Services Managerの理解』のOESの統合: 概観に関する項で説明されているように、認可決定のためにOESにアクセスするには、2段階方式(ファイングレイン)および1段階方式(大まか)の2種類の方法があります。この項では、ファイングレイン認可用にOESポリシーを構成する方法を説明します。

「OWSM OESポリシーのアタッチ方法の理解」で説明されているように、後にOWSMポリシーをアタッチする際に、oracle/binding_oes_authorization_policyおよびoracle/component_oes_authorization_policyポリシーのuse.single.step属性で、どの方法を使用するかを指定します。ただし、OES認可ポリシーを適切に構成できるよう、使用する方法を決定する必要があります。

2段階方式の方がよく使用されるシナリオのため、通常、責任定義用の認可ポリシーと実際の認可決定用の認可ポリシーという、2つのOES認可ポリシーを構成することになります。

OESコンソールを使用して、基本的なアーティファクト(アプリケーション、リソース・タイプなど)を作成し、リソース・タイプにアクションを追加し、リソースを定義します。

この節では、以下のトピックについて説明します。

- マスキングのためのOESリソースの構成

- 責任を返す認可ポリシーの作成

- 大まかな認可のための実際のOES認可ポリシーの作成

10.5.3.1 マスキングのためのOESリソースの構成

OESリソース名は、OWSMリソース名にマップする必要があります。OWSMから認可コールを実行すると、リソース名がOESに渡されます。この名前はOESポリシーで定義されている名前と正確に一致する必要があります。

「リソースのマッピングと命名」で説明されているように、OESリソース名をOWSMリソース名にマッピングする必要があります。OWSMから認可コールを実行すると、リソース名がOESに渡されます。この名前はOESポリシーで定義されている名前と正確に一致する必要があります。

例として、次の特性を持つSOAP Webサービスをデプロイしたと仮定します。

- デプロイしたアプリケーションの名前はHelloWorldServiceEarです。

- リソース・タイプはWS_SERVICEです。

- Webサービス名はHelloWorldServiceです。

- Webサービスのポート名はSayHelloPortです。

- Webサービス内の操作はsayHelloおよびsayHelloBytesです。

OESリソースを構成するには、次の手順を実行します。

1. OESアプリケーション名を作成します。アプリケーション名は、デプロイしたアプリケーション名と一致する必要があります。たとえば、HelloWorldServiceEarです。

図10-3 OESアプリケーションの作成

2. OESリソース・タイプを作成します。リソース・タイプはWS_SERVICEである必要があります。

3. WS_SERVICEリソース・タイプにアクションを追加します。アクションはrequest.lookupおよびauthorizeである必要があります。

4. 「リソース階層のサポート」コントロールを設定します。

階層を使用することにより、ポリシーをリソース・レベルまたはサブリソース(操作)レベルで定義できます。

OWSMリソース名には、サービス名、ポート名または操作名が含まれます。ただし、OESコンソールでリソースをこれだけ細かいレベルまで定義する必要はありません。たとえば、サービス名を持つポリシーを定義すると、そのサービスで始まるすべてのリソースに適用されます。または、サービス名とポート名が含まれるリソース名のポリシーを定義すると、このポリシーはそのサービスのすべての操作に適用されます。

「リソース階層のサポート」コントロールの設定方法は、『Oracle Entitlements Server管理者ガイド』のリソース・タイプの作成に関する項で説明されています。

5. リソースを作成します。リソース名には、サービス名、ポート名または操作名を含めることができます。

10.5.3.2 責任を返す認可ポリシーの作成

この手順を使用すると、責任を返す認可ポリシーを作成できます。

責任を返す認可ポリシーを作成するには、次の手順に従います。

1. 「マスキングのためのOESリソースの構成」で作成したアプリケーション用に、新規のOES認可ポリシーを作成します。

リソースにアクセスを許可するプリンシパル(ロールおよびユーザー)を追加します。

このポリシーによって保護するターゲット(アクションを含む)を追加します。

図10-4に、画面の例を示します。

図10-4 責任の認可ポリシーの追加

2. 「責任」タブで、責任を追加します。

属性の処理方法に関する項で説明されているように、OESではOESコンソールで責任を作成し、複数の属性名と値のペアを設定できます。

属性は、XPath、HTTPヘッダー、メッセージ・コンテキスト、定数(名前/値)、さらに認可リクエストで常に渡される静的属性のセット(serviceURLなど)から取得できます。『Oracle Web Services Managerの理解』のOESポリシーでサポートされる属性タイプに関する項で説明されているように、これらの属性は特定の命名規則に従う必要があります。

例として、この項の次の表に示されているサンプルの責任がどのように抽出されて、図10-5に反映されているかを考えてみてください。

これらの特定の責任名を使用する必要があり、大/小文字の区別がある点に注意してください。属性名は自分で選択できます。属性の値はリクエストの値と一致する必要があります。

注意:

OESコンソールでは、責任名はアプリケーション全体で一意である必要があります。同じアプリケーションで同じタイプの責任を返すOESポリシーを複数定義する場合、同じ名前を使用できません。たとえば、xpath責任をpolicy1に追加した場合、同じアプリケーション内のpolicy2には追加できません。

責任名を一意にするために、次の命名規則を使用してください。

<attribute_type>:<obligation_name>

attribute_typeは、XPath、HTTPHeaderまたはMessageContextなどのサポートされているタイプのいずれかです。obligation_nameは一意になる任意の名前を使用できます。

アプリケーション内に、責任を返すOESポリシーが1つしか存在せず、競合の可能性がない場合は、属性タイプをそのまま責任名として使用できます。

責任名

属性名

属性値

xpath

input

//env:Envelope//env:Body/ns3:sayHello/arg0/text()

xpath

namespace

saml=urn:oasis:names:tc:SAML:1.0:assertion

env=http://schemas.xmlsoap.org/soap/envelope/

ns3=http://helloworldservice.jaxws.wsmtest/

各属性名をカンマ(,)で区切ります。例: saml=...,env=..,ns3=

xpath

saml_issuer

//saml:Assertion/@Issuer

Httpheader

proxy_auth

Proxy-Authorization

Httpheader

authHeader

認可

messageContext

authMethod

oracle.wsm.internal.authentication.method

messageContext

endpoint

oracle.j2ee.ws.runtime.endpoint-url

MyStaticOb

org

oracle

MyStaticOb

country

US

図10-5 認可ポリシーの責任のサンプル

10.5.3.3 大まかな認可のための実際のOES認可ポリシーの作成

実際の認可を実行するOES認可ポリシーを作成します。

このポリシーは、OWSMによって提供された責任を使用して、実際の認可決定を行います。

さらにOWSMからOESに、認証されたサブジェクト、ターゲット・リソースおよびリクエストされたアクション、さらに認可リクエストで常に渡される暗黙属性のセット(詳細はOESポリシーでサポートされる属性タイプに関する項を参照)が渡されます。認可ポリシーでは、認可決定にこれらの値を使用できます。時間、日付などのOESの定義済属性も使用できます。

実際の認可用のOES認可ポリシーを作成するには、次の手順を実行します。

1. 認可条件で使用する属性を追加します。これらは、「責任を返す認可ポリシーの作成」で作成した責任に一致する必要があります。

たとえば、「責任を返す認可ポリシーの作成」で作成した責任に一致させるには、次の属性を追加する必要があります。

- saml_issuer

- input

- authHeader

- endpoint

- country

注意:

暗黙属性(OESポリシーでサポートされる属性タイプに関する項を参照)を使用する場合は、それらも追加する必要があります。

すべての属性と関数(カスタムおよび事前定義済の両方)は、アプリケーションの「拡張」ノードの下で、作成、収集、およびさらに管理されます。詳細は、『Oracle Entitlements Server管理者ガイド』の属性および関数の拡張としての管理に関する項を参照してください。

OESのナビゲーション・ペインで、認可ポリシーを作成しているアプリケーションを開きます。「拡張」を開き、「属性」を選択してアイコンをクリックし、新規属性を作成します。

ドロップダウン・コントロールから「保存して次を作成」を選択すると、1つのページから複数の属性を作成できます。

図10-6 新規属性の作成

2. すべての新規属性をリソース・タイプに追加します。

3. 「マスキングのためのOESリソースの構成」で作成したアプリケーション用に、新規のOES認可ポリシーを作成します。

リソースにアクセスを許可するプリンシパル(ロールおよびユーザー)を追加します。

このポリシーによって保護するターゲット(アクションを含む)を追加します。

図10-7に、画面の例を示します。このポリシーは、ユーザーweblogicがHelloWorldServiceのsayHelloおよびsayHelloBytesリソースにアクセスする際に、認可を評価するように設定されています。

図10-7 実際の認可ポリシーの追加

4. このポリシーの「条件」タブで、「編集」をクリックして新規条件を作成します。

図10-8で示されているように、手順1で追加した属性に基づいて条件を完成させます。

図10-8 条件の作成

この例では、次の場合、ポリシーはPERMITを返します。

- ユーザーがweblogicである。

- リソースがHelloWorldServiceEar/ HelloWorldService/SayHelloPortである。

- SAML発行者がwww.oracle.comである。

- リクエストSOAPメッセージに、//env:Body/ns3:sayHello/arg0で「OWSM」がある。

- 他の条件が満たされている。

5. OWSM OESポリシーをアタッチする方法の理解で説明されているように、OWSM OESポリシーをアタッチします。

10.5.4 大まかな認可のためのOESポリシーの構成について

大まかな認可のためのOESポリシーを構成できます。

『Oracle Web Services Managerの理解』のOESの統合: 概観に関する項で説明されているように、認可決定のためにOESにアクセスするには、2段階方式(ファイングレイン)および1段階方式(大まか)の2種類の方法があります。この項では、大まかな認可用にOESポリシーを構成する方法を説明します。

「OWSM OESポリシーのアタッチ方法の理解」で説明されているように、後にOWSMポリシーをアタッチする際に、oracle/binding_oes_authorization_policyおよびoracle/component_oes_authorization_policyポリシーのuse.single.step属性で、どの方法を使用するかを指定します。ただし、OES認可ポリシーを適切に構成できるよう、使用する方法を決定する必要があります。

トピック:

- 大まかな認可のためのOESリソースの構成

- ファイングレイン認可のための実際のOES認可ポリシーの作成

10.5.4.1 大まかな認可のためのOESリソースの構成

「リソースのマッピングと命名」で説明されているように、OESリソース名をOWSMリソース名にマッピングする必要があります。OWSMから認可コールを実行すると、リソース名がOESに渡されます。この名前はOESポリシーで定義されている名前と正確に一致する必要があります。

例として、次の特性を持つSOAP Webサービスをデプロイしたと仮定します。

- デプロイしたアプリケーションの名前はHelloWorldServiceEarです。

- リソース・タイプは常にWS_SERVICEです。

- Webサービス名はHelloWorldServiceです。

- Webサービスのポート名はSayHelloPortです。

- Webサービス内の操作はsayHelloおよびsayHelloBytesです。

OESリソースを構成するには、次の手順を実行します。

1. OESアプリケーション名を作成します。アプリケーション名は、デプロイしたアプリケーション名と一致する必要があります。たとえば、HelloWorldServiceEarです。

図10-9 OESアプリケーションの作成

2. OESリソース・タイプを作成します。リソース・タイプはWS_SERVICEである必要があります。

3. リソース・タイプにアクションを追加します。アクションはauthorizeである必要があります。

4. 「リソース階層のサポート」コントロールを設定します。

階層を使用することにより、ポリシーをリソース・レベルまたはサブリソース(操作)レベルで定義できます。

OWSMリソース名には、サービス名、ポート名または操作名が含まれます。ただし、OESコンソールでリソースをこれだけ細かいレベルまで定義する必要はありません。たとえば、サービス名を持つポリシーを定義すると、そのサービスで始まるすべてのリソースに適用されます。または、サービス名とポート名が含まれるリソース名のポリシーを定義すると、このポリシーはそのサービスのすべての操作に適用されます。

「リソース階層のサポート」コントロールの設定方法は、『Oracle Entitlements Server管理者ガイド』のリソース・タイプの作成に関する項で説明されています。

5. リソースを作成します。リソース名は、リソース階層をどのように活用するかに合せ、service name/port name/operation nameの形式である必要があります。

10.5.4.2 ファイングレイン認可のための実際のOES認可ポリシーの作成

実際の認可を実行するOES認可ポリシーを作成します。

OWSMからOESに、認証されたサブジェクト、ターゲット・リソースおよびリクエストされたアクション、さらに認可リクエストで常に渡される暗黙属性のセット(詳細はOESポリシーでサポートされる属性タイプに関する項を参照)が渡されます。

認可ポリシーでは、認可決定にこれらの値を使用できます。時間、日付などのOESの定義済属性も使用できます。

実際の認可用のOES認可ポリシーを作成するには、次の手順を実行します。

1. 暗黙属性(OESポリシーでサポートされる属性タイプに関する項を参照)を使用する場合は、それらを追加する必要があります。

注意:

すべての属性と関数(カスタムおよび事前定義済の両方)は、アプリケーションの「拡張」ノードの下で、作成、収集、およびさらに管理されます。詳細は、『Oracle Entitlements Server管理者ガイド』の属性および関数の拡張としての管理に関する項を参照してください。

OESのナビゲーション・ペインで、認可ポリシーを作成しているアプリケーションを開きます。「拡張」を開き、「属性」を選択してアイコンをクリックし、新規属性を作成します。

ドロップダウン・コントロールから「保存して次を作成」を選択すると、1つのページから複数の属性を作成できます。

2. 図10-10で示されているように、リソース・タイプで使用するすべての暗黙属性を追加します。

図10-10 条件で必要な暗黙属性の追加

3. 「大まかな認証のためのOESリソースの構成」で作成したアプリケーション用に、新規のOES認可ポリシーを作成します。

リソースにアクセスを許可するプリンシパル(ロールおよびユーザー)を追加します。

このポリシーによって保護するターゲット(アクションを含む)を追加します。

図10-11に、画面の例を示します。

図10-11 実際の認可ポリシーの追加

4. OWSM OESポリシーをアタッチする方法の理解で説明されているように、OWSM OESポリシーをアタッチします。

10.5.5 マスキングのためのOESポリシーの構成について

マスキングのためのOESポリシーを構成できます。

トピック:

- OESリソースの構成

- 責任を返すマスキング・ポリシーの作成

- 実際のOESマスキング・ポリシーの作成

10.5.5.1 OESリソースの構成

「リソースのマッピングと命名」で説明されているように、OESリソース名をOWSMリソース名にマッピングする必要があります。OWSMからマスキング・コールを実行すると、リソース名がOESに渡されます。この名前はOESポリシーで定義されている名前と正確に一致する必要があります。

例として、次の特性を持つSOAP Webサービスをデプロイしたと仮定します。

- デプロイしたアプリケーションの名前はHelloWorldServiceEarです。

- リソース・タイプは常にWS_SERVICEです。

- Webサービス名はHelloWorldServiceです。

- Webサービスのポート名はSayHelloPortです。

- Webサービス内の操作はsayHelloおよびsayHelloBytesです。

OESリソースを構成するには、次の手順を実行します。

1. まだOESアプリケーション名を作成していない場合は、ここで作成します。アプリケーション名は、デプロイしたアプリケーション名と一致する必要があります。たとえば、HelloWorldServiceEarです。

図10-12 OESアプリケーションの作成

2. まだOESリソース・タイプを作成していない場合は、ここで作成します。リソース・タイプはWS_SERVICEである必要があります。

3. まだリソース・タイプにアクションを追加していない場合は、ここで追加します。アクションはresponse.lookupおよびmaskである必要があります。

4. まだ「リソース階層のサポート」コントロールを設定していない場合は、ここで設定します。

「リソース階層のサポート」コントロールの設定方法は、『Oracle Entitlements Server管理者ガイド』のリソース・タイプの作成に関する項で説明されています。

5. まだリソースを作成していない場合は、ここで作成します。リソース名は、リソース階層をどのように活用するかに合せ、service name/port name/operation nameの形式である必要があります。

10.5.5.2 責任を返すマスキング・ポリシーの作成

責任を返すマスキング・ポリシーを作成するには、次の手順を実行します。

1. 「OESリソースの構成」で作成したアプリケーション用に、新規のOESポリシーを作成します。

リソースにアクセスを許可するプリンシパル(ロールおよびユーザー)を追加します。

このポリシーによって保護するターゲット(アクションresponse.lookupを含む)を追加します。

2. 「責任」タブで、責任を追加します。

属性の処理方法に関する項で説明されているように、OESではOESコンソールで責任を作成し、複数の属性名と値のペアを設定できます。

このマスキングのユースケースの場合は、マスキングする属性を取得するXPath問合せのセットを作成します。

これらの責任の結果、OWSMはすべての定義済属性およびXpath問合せを取得し、それらを現在のレスポンスSOAPメッセージで実行します。(このコールで何も返されなかった場合は、実行が停止され、マスキングは実行されません。)OWSMではこの問合せの結果を使用して、「実際のOESマスキング・ポリシーの作成」で説明されている実際のマスキング・ポリシーを呼び出します。

実際のマスキング・ポリシーの責任を作成する際には、この責任の属性名を使用します。

10.5.5.3 実際のOESマスキング・ポリシーの作成

実際のマスキングを実行するOES認可ポリシーを作成します。

このポリシーは、OWSMによって提供された責任を使用して、実際のマスキング決定を行います。

実際のマスキング用のOESポリシーを作成するには、次の手順を実行します。

1. 条件で使用する属性を追加します。

暗黙属性(OESポリシーでサポートされる属性タイプに関する項を参照)を使用する場合は、それらも追加する必要があります。

注意:

すべての属性と関数(カスタムおよび事前定義済の両方)は、アプリケーションの「拡張」ノードの下で、作成、収集、およびさらに管理されます。詳細は、『Oracle Entitlements Server管理者ガイド』の属性および関数の拡張としての管理に関する項を参照してください。

OESのナビゲーション・ペインで、認可ポリシーを作成しているアプリケーションを開きます。「拡張」を開き、「属性」を選択してアイコンをクリックし、新規属性を作成します。

ドロップダウン・コントロールから「保存して次を作成」を選択すると、1つのページから複数の属性を作成できます。

2. すべての新規属性をリソース・タイプに追加します。

3. 「OESリソースの構成」で作成したアプリケーション用に、新規のOES認可ポリシーを作成します。

リソースにアクセスを許可するプリンシパル(ロールおよびユーザー)を追加します。

このポリシーによって保護するターゲット(アクションmaskを含む)を追加します。

4. 「責任」タブで、責任を追加します。

これらの責任により、属性がそのまま渡されるかマスキングされるかが指定されます。OWSMは、OESが返す責任を受け付け、OESによって機密データとマークされている属性はマスキングします。

属性と置換する値を返します。

たとえば、責任ポリシーでXPathをname=//env:Envelope//env:Body/ns3:sayHelloResponse/return/text()として追加した場合、マスキング・ポリシーではXPathの責任をname=xxxxxまたはname=****として追加します。ここで、nameは両方のポリシーで一致しています。

5. OWSM OESポリシーをアタッチする方法の理解で説明されているように、OWSM OESポリシーをアタッチします。

10.5.6 OWSM OESポリシーをアタッチする方法の理解

OWSM OESポリシーをアタッチできます。

トピック:

- OWSM OESポリシーのアタッチ

- 構成のプロパティおよびオーバーライド

10.5.6.1 OWSM OESポリシーのアタッチ

事前定義済のoracle/binding_oes_authorization_policy、oracle/component_oes_authorization_policyまたはoracle/binding_oes_masking_policyのコピーを作成し、そのコピーをWebサービスにアタッチします。次の手順を実行します。

1. ナビゲータ・ペインで「WebLogicドメイン」を開き、OES統合の構成が必要なドメインを表示します。ドメインを選択します。

2. コンテンツ・ペインで、「WebLogicドメイン」→「Webサービス」→「ポリシー」の順にクリックします。

3. oracle/binding_oes_authorization_policy、oracle/component_oes_authorization_policyまたはoracle/binding_oes_masking_policyポリシーを選択してコピーを作成します。

4. コピーの属性を編集します。(かわりに、後の手順で説明するように属性をオーバーライドすることも可能です。)

use.single.step属性により、認可決定のためにOESにアクセスする方法が制御されます。2段階(ファイングレイン)方式または1段階(大まかな)方式です。デフォルトはfalseで、2段階(ファイングレイン)方式を使用します。一段階方式では責任を使用しませんが、条件で暗黙属性を使用できます。

この属性は、oracle/binding_oes_authorization_policyおよびoracle/component_oes_authorization_policyポリシーで設定できます。oracle/binding_oes_masking_policyは常に2段階方式です。

OESに基づいた認可設定では、リソース、アクションおよび制約のmatch値を定義するためにguard要素(orawsp:guardを参照)が使用されます。これらの値によって、guardの結果がtrueの場合にのみ、アサーション実行が許可されるようになります。つまり、アクセスしたリソース名およびアクションが一致した場合にのみ、アサーションの実行が許可されます。デフォルトで、リソース名およびアクションでは、ワイルドカードのアスタリスク(*)が使用され、すべてが許可されます。

OESポリシーの作成時にリソースの命名規則に従った場合は、リソース名を明示的に設定する必要はありません。

5. 「Webサービスを管理および保護するためのポリシーのアタッチ」で説明しているように、設計時またはデプロイ後にポリシーをアタッチします。

OWSM oracle/binding_oes_authorization_policyポリシーまたはoracle/component_oes_authorization_policyポリシーを単体で、またはoracle/binding_oes_masking_policyポリシーと組み合せてアタッチします。

6. オプションで、Fusion Middleware Control、WLSTまたはJDeveloper (または他のメカニズム)を使用して属性をオーバーライドします。OESポリシーの作成時にリソースの命名規則に従った場合、リソース・プロパティのオーバーライドは必須ではありません。

オーバーライド可能な属性の説明は、「構成プロパティおよびオーバーライド」を参照してください。

構成ポリシーのオーバーライドの詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

7. 「Webサービスを管理および保護するためのポリシーのアタッチ」で説明しているように、設計時またはデプロイ後に認証ポリシーもアタッチします。

10.5.6.2 構成のプロパティおよびオーバーライド

表10-1に示されているポリシーの構成プロパティは、ポリシーをアタッチする際に設定するか、オーバーライドできます。

OESポリシーの作成時にリソースの命名規則に従った場合、リソース名は導出され、プロパティのオーバーライドは必須ではありません。

一部の値のみオーバーライドし、残りはしなかった場合、残りは導出されます。

表10-1 OWSM OES構成プロパティ

名前

説明

application.name

OESに定義されたデプロイされたアプリケーション名。(SOAの場合、コンポジット名がアプリケーション名として使用されます。)

${}表記法を使用した値は、静的にも動的にもできます。

resource.type

OESに定義されたリソース・タイプ。${}表記法を使用した値は、静的にも動的にもできます。

- SOAPアプリケーションの場合、WS_SERVICEである必要があります。

- SOAコンポーネントの場合、COMPONENTである必要があります。

resource.name

OESに定義されたリソース名。${}表記法を使用した値は、静的にも動的にもできます。

- SOAPおよびSOA参照の場合、web-service-name/port/web service operationの形式である必要があります。

- SOAコンポーネントの場合、SOA component name/web service operationの形式である必要があります。

lookup.action

属性の参照時に使用されるアクションです。request.lookupまたはresponse.lookupを使用できます。

${}表記法を使用した値は、静的にも動的にもできます。

execute.action

実際の認可またはマスキングで使用されるアクションです。デフォルト値は、認可ユースケースではauthorize、マスキング・ユースケースではmaskです。

${}表記法を使用した値は、静的にも動的にもできます。

use.single.step

参照フェーズを省略するには、値をtrueに設定します。マスキング・ポリシーには適用されません。

reference.prioroty

ポリシー添付の優先順位を指定するオプションのプロパティ。

これらのプロパティでは、静的および動的値の両方を使用できます。動的値は1つ以上の${}演算子を使用し、ピリオドまたはスラッシュなどのセパレータ文字を使用できます。たとえば、resource.nameの値を${PORT}/${OPERATION}と指定した場合、それはmyPort/operationと解決されます。別の例として、${MODULE}.${SERVICE}はmyModule.myServiceと解決されます。

指定可能な動的値は次のとおりです。

- APPLICATION

- MODULE

- SERVICE (SOAPおよびSOA参照の場合はWSDL Webサービス名です。

- PORT (WSDLサービスのポート名)

- OPERATION (SOAPのWebサービス操作。)

- COMPOSITE (SOAコンポジット名)

- COMPONENT (SOAコンポーネント名)

- NAMESPACE

10.6 リクエスト元を指定するためのOracle HTTP Serverの構成

リクエスト元を指定するようにOracle HTTP Serverを構成できます。

制約一致プロパティ設定には、リクエストが内部ネットワークまたは外部ネットワークから発行されたかどうかを指定するrequestOriginフィールドが含まれています。このプロパティは、Oracle HTTP Serverを使用しており、Oracle HTTP Server管理者がカスタムのVIRTUAL_HOST_TYPEヘッダーをリクエストに追加した場合のみ有効です。

リクエスト元を指定するためにOracle HTTP Serverを構成するには、管理者が次のようにhttpd.confファイルを変更する必要があります。

1. mod_headersモジュールがロードされていることを確認します。

2. RequestHeader内でVIRTUAL_HOST_TYPEヘッダー名を設定します。有効な値は、internalおよびexternalです。次のコマンド構文を使用します。

RequestHeader set|append|add|unset header [value [env=[!]variable]]

たとえば、内部リクエストの仮想ホストを構成するには、次のように指定します。

<VirtualHost *:7777>
RequestHeader set VIRTUAL_HOST_TYPE  "internal"
</VirtualHost>

外部リクエストの仮想ホストを構成するには、次のように指定します。

<VirtualHost *:8888>
RequestHeader set VIRTUAL_HOST_TYPE "external"
</VirtualHost>

これらの例で、プライベート・ネットワークの外部からのすべてのリクエストは、virtual host:8888を経由してルーティングされ、内部プライベート・ネットワークからのすべてのリクエストは、virtual host:7777を経由してルーティングされます。

アプリケーションを外部のポートでも使用できるように、これらのポートをリスニング・ポートとしてhttpd.confファイルに追加する必要もあります。

3. Oracle HTTP Serverを再起動します

10.7 Oracle Web Services ManagerでのOAuth2の使用

Oracle Web Services ManagerでOracle Mobile and Social OAuth2の認可フレームワークを使用できます。

トピック:

- Oracle Web Services ManagerでのOAuth2について

- Oracle Web Services Managerのポリシーと使用するためのOAuth2の構成

注意:

この項では、Oracle Access Manager with Oracle Security Token Service管理者ガイドの次の項に記載された用語、概念および構成情報をよく理解していることを前提としています。

- 「OAuthサービスの理解」

- 「OAuthサービスの構成」

10.7.1 Oracle Web Services ManagerでのOAuth2について

Oracle Web Services ManagerでのOAuth2のサポートは、OAuth 2.0 Authorization Frameworkの仕様に基づいています。

これは、http://tools.ietf.org/html/rfc6749で参照できます。

Oracle Web Services Managerでは、OAuth2.0プロトコル操作にOracle Mobile and Social OAuth2サービスを認可サーバーとして使用します。詳細は、Oracle Fusion Middleware Oracle Access Management管理者ガイドのMobile and Socialの理解に関する項を参照してください。

Oracle Web Services Managerでは、Webサービス・クライアントがMobile and Social OAuth2サーバーが実装するSOAPおよびRESTのWebサービスと対話し、2-legged認可を行うことができます。

- 2-legged OAuth2の理解

- 2-Legged認可でサポートされる認可付与タイプ

- 2-Legged認可でのクライアント資格証明の決定方法

- 2-Legged認可でのユーザー資格証明、クライアント資格証明およびサブジェクトの関係

10.7.1.1 2-legged OAuth2の理解

2-legged OAuth2では、アプリケーション間で対話が行われ、ユーザーによる承認は必要ではありません。

クライアントは、リソース所有者からの承認を要求します。応答で、クライアントはリソース所有者の認可を示す資格証明、認可付与を受け取ります。その後、次の手順を実行します。

1. クライアントは、認可サーバーで認証し、認可付与を提示して、アクセス・トークン(AT)を要求します。

2. 認可サーバーはクライアントを認証し、認可付与を検証して、有効であればATを発行します。

3. クライアントは、リソース・サーバーの保護されたリソースを要求し、ATを提示して認証します。

4. Oracle Web Services Managerサーバー側エージェントは、ATを検証し、有効な場合は要求を受け入れ、無効な場合は要求を拒否します。

クライアント・アプリケーションに、OAuth2クライアント・ポリシー(oracle/http_oauth2_token_client_policy、oracle/oauth2_config_client_policyなど)を割り当てます。oracle/oauth2_config_client_policyポリシーの必須プロパティtoken.uriは、OAuth2サーバーのトークン・エンドポイントを指定します。

次の任意のOracle Web Services Manager JWTサービス・ポリシーもWebサービスに割り当てます。Oracle Web Services Managerのサーバー側エージェントがアクセス・トークンを検証します。

- oracle/http_jwt_token_service_policy

- oracle/http_jwt_token_over_ssl_service_policy

- oracle/multi_token_rest_service_policy

- oracle/multi_token_over_ssl_rest_service_policy

- oracle/wss11_saml_or_username_token_with_message_protection_service_policy

- oracle/http_oauth2_token_client_policy

- oracle/http_oauth2_token_opc_oauth2_client_policy

- oracle/http_oauth2_token_identity_switch_opc_oauth2_over_ssl_client_policy

- oracle/http_oauth2_token_opc_oauth2_over_ssl_client_policy

- oracle/http_oauth2_token_identity_switch_over_ssl_client_policy

- oracle/http_oauth2_token_over_ssl_client_policy

- oracle/http_oauth2_config_client_policy

10.7.1.2 2-Legged認可でサポートされる認可付与タイプ

前述のとおり、認可付与は、リソース所有者の認可を示す資格証明です。Oracle Web Services Managerでは、2-legged認可で次の認可付与タイプをサポートします。使用するタイプは、OAuth2 OWSMクライアント・プロファイルの構成時に指定します(Oracle Web Services Managerのポリシーと使用するためのOAuth2の構成を参照)。

- クライアント資格証明付与: この場合、クライアント資格証明は「Authorization: Basic」HTTPヘッダーで送信されます(クライアント資格証明付与 - OAuth2.0認可フレームワークを参照)。
アタッチされたoauth2クライアント・ポリシーのfederated.client.tokenプロパティを設定して、使用するユーザー名とパスワードを指定します。

- クライアント資格証明JWT (フェデレーション・ユースケース): この場合、クライアント資格証明はJWTアサーションとして送信されます(クライアント認証のためのJWTの使用を参照)。
Oracle Web Services Managerは、Oracle Web Services Manager資格証明ストアに保存されたクライアント資格証明に基づいてJWTトークンをローカルに生成します。クライアント・トークン・ポリシーのfederated.client.tokenプロパティを設定して、oauth2.client.csf.keyおよびkeystore.sig.csf.keyプロパティの値を使用してクライアントのJWTトークンを生成するかどうかを指定します。

oauth2.client.csf.keyプロパティおよびkeystore.sig.csf.keyプロパティの値を使用して、クライアントのJWTトークンが生成されます。federated.client.tokenプロパティがTrueに設定されていることを確認します。

- クライアント資格証明がBasic認証ヘッダーで送信され、これに加えて、ユーザー資格証明がJWTアサーションで送信されます(クライアント資格証明付与 - OAuth2.0認可フレームワークおよびクライアント認証のためのJWTの使用を参照)。
アタッチされたoauth2クライアント・ポリシーのoauth2.client.csf.keyプロパティを設定して、Basic認証ヘッダーに使用するユーザー名とパスワードを指定します。

- クライアント資格証明がJWTアサーションで送信され、これに加えて、ユーザー資格証明がJWTアサーションで送信されます(クライアント認証のためのJWTの使用を参照)。

10.7.1.3 2-Legged認可でのクライアント資格証明の決定方法

クライアント資格証明は、OAuth2サーバーへのリクエストに常に含まれます。federated.client.tokenプロパティにより、クライアント資格証明のクライアントIDにJWTを使用するか、またはクライアント資格証明のクライアントIDとパスワードを使用するかどうかが決まります。

- federated.client.tokenがtrue (デフォルト)の場合は、JWTがクライアント資格証明のクライアントIDに使用されます。

- federated.client.tokenがfalseの場合は、クライアント資格証明にクライアントIDとパスワードが使用されます。

10.7.1.4 2-Legged認可でのユーザー資格証明、クライアント資格証明およびサブジェクトの関係

subject.precedenceプロパティは、JWTトークンの作成のために使用するサブジェクトの取得場所を指定します。

表10-2に示すように、subject.precedenceをtrueに設定した場合、JWTトークンを作成するためのユーザー名は認証済サブジェクトからのみ取得されます。

subject.precedenceをfalseに設定した場合、JWTトークンを作成するためのユーザー名はcsf-keyプロパティからのみ取得されます。

表10-2 ユーザー資格証明、サブジェクトおよびアクセス・トークン

subject.precedence

csf-key

認証済ユーザー・サブジェクト

クライアント資格証明

ユーザー資格証明

アクセス・トークン・プリンシパル/サブジェクト

True(デフォルト)

該当なし

使用可能

2-Legged認可でのクライアント資格証明の決定方法を参照。

認証済エンド・ユーザーのJWT。

エンドユーザー名。

True(デフォルト)

該当なし

該当なし

2-Legged認可でのクライアント資格証明の決定方法を参照。

対象外

クライアントID

False

未構成(デフォルト)

該当なし

2-Legged認可でのクライアント資格証明の決定方法を参照。

対象外

該当なし

False

構成済

該当なし

2-Legged認可でのクライアント資格証明の決定方法を参照。

csf-keyエントリからのアイデンティティのJWT。

csf-key/user nameからユーザー名が構成されます。

10.7.2 Oracle Web Services Managerのポリシーとともに使用するためのOAuth2の構成

Oracle Web Services Managerとともに使用するためにMobile and Social OAuth2を構成する前提条件として、構成情報を理解している必要があります。

詳細は、Oracle Access Manager with Oracle Security Token Service管理者ガイドを参照してください。

Oracle Web Services Managerとともに使用するためのOAuth2の構成の詳細は、Oracle Fusion Middleware Oracle Access Management管理者ガイドのOAuthサービスの構成に関する項を参照してください。

11 Oracle Web Services Managerを使用した認証の構成

OWSMでは、認証のみ、およびメッセージ保護付き認証を提供するセキュリティ・ポリシーを提供します。

現在のリリースで使用可能な認証ポリシーのサマリーは、「Webサービスに使用する事前定義済ポリシーの決定」の「認証のみのポリシー」および「メッセージ保護および認証のポリシー」を参照してください。認証の詳細は、『Oracle Web Services Managerの理解』の認証の概要に関する項を参照してください。

この章の内容は次のとおりです。

- 認証の構成の概要

- WebLogic Serverでサポートされる認証プロバイダ

- ダイジェスト認証の構成について

- SAMLの構成について

- OWSMによるアイデンティティ・コンテキストの伝播について

- Kerberosトークンの構成の理解

- WS-Trustの構成について

11.1 認証の構成の概要

認証とは、ユーザーが表明しているとおりのユーザーであることを検証することを意味します。ユーザーのアイデンティティは、ユーザー名/パスワード、デジタル証明書、標準のSecurity Assertion Markup Language (SAML)トークンまたはKerberosトークンなど、ユーザーによって提示された資格証明に基づいて検証されます。

SAMLおよびKerberosポリシーの両方が、サービス側とクライアント側の両方においていくつかの構成を行う必要があります。ポリシーの加えて、SAMLおよびKerberosには、ログイン・モジュールが関連付けられています。これらのモジュールは、通常、Fusion Middleware Controlを使用して構成され、Webサービスへのアクセスを制御します。

SAMLトークンでは、ポリシーに対して検証するため、ユーザー属性、ユーザー・ロールおよび発行者名を追加できます。これらの属性は、Oracle Platform Security Services (OPSS)によって検証されます。詳細は、「SAMLの構成について」を参照してください。

Kerberosでは、キー配布センター(KDC)をWebサービス・クライアントとWebサービスで使用できるように初期化および構成します。KDCユーザー・レジストリでプリンシパルを作成し、適切なKDCを使用するようにサービスとクライアントを構成します。Kerberosトークンの構成の理解を参照してください。

認証に関連するポリシーのすべてのリストは、「認証のみのポリシー」、「メッセージ保護および認証のポリシー」および「WS-Trustポリシー」を参照してください。

11.2 WebLogic Serverでサポートされる認証プロバイダ

ユーザー名、X.509、Kerberos、SAML、HTTP BASICなど、サポートされるトークン・タイプを使用するポリシーでは、WebLogic ServerにWebLogicデフォルト認証プロバイダなどの認証プロバイダを構成する必要があります。

WebLogic Serverの構成の詳細は、『Oracle WebLogic Serverセキュリティの管理12c (12.2.1)』の認証プロバイダの構成に関する項を参照してください。

現在のリリースで使用可能な認証ポリシーのリストは、「Webサービスに使用する事前定義済ポリシーの決定」の「認証のみのポリシー」および「メッセージ保護および認証のポリシー」を参照してください。

WebLogic Serverセキュリティの詳細は、次のマニュアルを参照してください。

- Oracle WebLogic Serverセキュリティの管理 12c (12.2.1)

- Oracle WebLogic Server管理コンソール・オンライン・ヘルプ

OWSMポリシーで使用されるトークン・タイプにかかわらず、OWSMで使用するように次のいずれかのWebLogic Server認証プロバイダを構成できます。

- WebLogic認証プロバイダ(DefaultAuthenticatorとも呼ばれています)。

- Oracle Internet DirectoryオーセンティケータまたはOracle Virtual Directoryオーセンティケータ。

- LDAPオーセンティケータまたはOpen LDAPオーセンティケータ。

- RDBMS認証プロバイダ

注意:

RDBMS認証プロバイダまたは他の非LDAPベースのプロバイダを使用する場合、OWSMにより生成されるSAMLアサーションに追加されるカスタム属性を指定できないという制限があります。この制限は、LDAPベースのプロバイダには存在しません。

OWSMを使用する場合、SAML、Kerberos、X.509トークンなどの特定のトークン・タイプを処理するためにWebLogic Serverプロバイダを構成する必要はありません。特に、OWSMランタイムでは、次のような他のWebLogic Serverプロバイダを使用しません(下記を含みますが、下記に限定されるわけではありません)。

- X509プロバイダ: X509トークン・ベースのOWSMポリシーは、WebLogic Server X509アイデンティティ・アサーション・プロバイダを使用しません。

- SAMLプロバイダ: SAMLトークン・ベースのOWSMポリシーは、WebLogic Server SAMLプロバイダを使用しません。

- 資格証明マッパー・プロバイダ

- 認可プロバイダ

- ロール・マッパー・プロバイダ

- 証明書パス・プロバイダ

- 監査プロバイダ

11.3 ダイジェスト認証の構成について

Digest認証は、WebアプリケーションがサーバーにDigest(パスワード、nonceおよびタイムスタンプの暗号ハッシュ)を送ることによって、Webサービスに対して自身を認証する認証メカニズムです。

OWSMでは、username-token認証ポリシーのすべてに対してダイジェスト・ベース認証がサポートされています。

この項には次のトピックが含まれます:

- ダイジェスト認証の構成の前提条件

- デフォルト・オーセンティケータおよびアイデンティティ・アサータの構成

- ポリシーのアタッチとダイジェスト認証の有効化

11.3.1 ダイジェスト認証の構成の前提条件

ダイジェスト認証を構成するには、一定の前提条件を満たす必要があります。

Webサービスがデプロイされているホスト・システムは、組込みLDAP認証プロバイダ(デフォルト・オーセンティケータ)で構成されている必要があります。これは、Webサービス・クライアントがダイジェストの形式でパスワードを送信するためです。また、サービス側で認証するため、認証プロバイダはクリアテキスト・パスワード、Nonceおよびタイムスタンプを使用してダイジェストを再作成する必要があります。デフォルト・オーセンティケータは必要なクリア・テキストでパスワードを取得できます。

ダイジェストベースのクライアント・ポリシーには制限がありません。アタッチされるWebサービス・クライアントはすべてのサポートされているプラットフォームから実行できます。

11.3.2 デフォルト・オーセンティケータおよびアイデンティティ・アサータの構成

WebLogic Server管理コンソールで、デフォルトのオーセンティケータおよびデフォルトのアイデンティティ・アサータを構成できます。

WebLogic Server管理コンソールから次の手順を実行して、セキュリティ・レルムにデフォルト・オーセンティケータとデフォルトのアイデンティティ・アサータを構成します。

1. デフォルト・オーセンティケータのプロバイダ固有のページで「パスワード・ダイジェストの有効化」チェック・ボックスを設定します。詳細は、認証およびアイデンティティ・アサーション・プロバイダの構成を参照してください。

2. 図11-1に示されているように、DefaultIdentityAsserterの共通ページでアクティブ・タイプとしてwsse:PasswordDigestを設定します。詳細は、認証およびアイデンティティ・アサーション・プロバイダの構成を参照してください。

図11-1 アクティブ・タイプとしてのwsee:PasswordDigest

3. WebLogic Serverを再起動します。

4. ダイジェスト認証を構成した後に作成されたユーザーは、ダイジェスト・ベースのメカニズムを使用して認証できます。

ただし、ダイジェスト認証を構成する前に作成されたユーザーは、ダイジェスト・ベースのメカニズムを使用して認証できません。これはWebLogic Serverセキュリティ・ランタイムがすでに作成されたユーザー用にパスワード・ダイジェスト(クリアテキスト・パスワードではない)をすでに格納しているためです。

ダイジェストではなく、クリアテキスト・パスワードがパスワード・データベースに格納されるように、これらのユーザーを再作成する必要があります。

11.3.3 ポリシーのアタッチとダイジェスト認証の有効化

この項では、ポリシーをアタッチしてダイジェスト認証を有効にする方法について説明します。

ポリシーをアタッチしてダイジェスト認証を有効化するには、次の手順を実行します。

1. まだ実行していない場合は、ダイジェスト認証をサポートするWebサービス・ポリシーのいずれかのコピーをアタッチします。ポリシーをコピーおよびアタッチする方法の詳細は、Webサービスを管理および保護するためのポリシーのアタッチを参照してください。

2. ポリシーを開いて、図11-2に示すように、「パスワード・タイプ」ドロップダウン・メニューを「ダイジェスト」に変更します。

図11-2 「パスワード・タイプ」ドロップダウン・メニューからの「ダイジェスト」の選択

3. 「必要な作成時間」コントロールを設定します。

4. 「必要なNonce」コントロールを設定します。

5. ポリシーのクライアント・バージョンに対して手順1から4を繰り返します。

注意:

パスワード・タイプとして「ダイジェスト」を選択し、ポリシーを有効にするために「必要な作成時間」および「必要なNonce」コントロールの両方を設定する必要があります。

11.4 SAMLの構成について

SAML標準は、Web上のソフトウェア・エンティティの間でセキュリティ・アサーションを作成、リクエスト、交換するための共通XMLフレームワークを定義します。

SAMLトークン・プロファイルは、WS-Security標準のコア・セットの一部であり、WebサービスのセキュリティのためにSAMLアサーションを使用する方法が指定されています。SAMLでは、ビジネス・プロセスまたはトランザクションの複数のステップ間で、ブラウザからポータル、Webサービスのネットワークへと渡すことのできるセキュリティ・トークンを表す標準的な方法も提供されます。

事前定義済SAMLポリシーは、名前にsamlが含まれていて、Oracle Web Services Managerの事前定義済ポリシーに一覧表示されています。

注意:

事前定義済SAMLポリシーを編集することはできません。設定または構成プロパティを変更するには、編集するポリシーのクローンを作成するか、ポリシーのアタッチ後に構成オーバーライドを使用して構成プロパティを設定する必要があります。

次のセクションで、SAML構成の詳細を説明しています。

- SAMLトークン検証のフローの概要

- 設計時のSAML Webサービス・クライアントの構成

- アサーションへのユーザー属性の組込み

- アサーションへのユーザー・ロールの組込み

- SAMLポリシーに関するOracle Platform Security Services (OPSS)の構成の理解

- 別のSAMLアサーション発行者名の追加

- アイデンティティ切替えのためのSAML Webサービス・クライアントの構成について

- SAML署名証明書の信頼できる発行者および信頼できる識別名リストの理解

- SAMLポリシーによる匿名ユーザーの使用方法の理解

11.4.1 SAMLトークン検証のフローの概要

SAMLログイン・モジュールは、WebサービスにかわってSAMLトークンを検証します。次に、SAMLログイン・モジュールは認証を完了するために、検証されたトークンからユーザー名を抽出し、Oracle Platform Security Services (OPSS)に(間接的に)渡します。

「WebLogic Serverでサポートされる認証プロバイダ」の説明に従って、任意の構成済認証プロバイダを起動できます。

詳細は、次の項を参照してください。

- SAMLアサーションの検証

- SAMLトークン検証のユースケース

11.4.1.1 SAMLアサーションの検証

この項では、SAMLアサーションの検証方法について説明します。

メッセージを保護するために使用されるSAMLアサーションおよびメカニズムのタイプによって、次の手順の1つ以上を使用してSAMLアサーションを検証します。

1. SAMLアサーションの署名を検証します。

a. SAMLアサーションの署名に含まれるか参照される署名証明書を取得します。

b. 証明書が、キー・ストアにある証明書チェーンによって信頼されていることを検証します。

c. 署名証明書の公開鍵でSAMLアサーション署名を検証します。

2. SAMLアサーション条件を検証します。

- Not beforeおよびnot after。

- SAML対象ユーザー制限。

3. SAMLアサーション発行者の信頼を検証します。

a. 発行者が信頼できるかどうかを検証します。

b. 署名証明書のDNが信頼できるものであるかどうかを検証します。

c. トークン属性ルール。

4. SAMLアサーションでユーザーを認証します。

注意:

通常、メッセージ全体が署名され、暗号化されます。たとえば、oracle/wss10_saml_token_with_message_protection_client_policyを考えてみます。デフォルトで、このポリシーを使用する場合は、メッセージ全体が署名され、暗号化されます。ただし、「Fusion Middleware Controlを使用した部分的な暗号化の構成について」で説明しているように、アサーション・テンプレートでは、メッセージ本文の完全な署名および暗号化のみでなく、部分的な署名および暗号化もサポートされています。

メッセージ本文の一部を署名または暗号化しない場合は、SAMLトークンのみが署名されます。

oracle/wss10_saml_token_with_message_protection_client_policyポリシーの前の例では、SAML送信者保証の場合は、SAMLトークンがクライアントのプライベート証明書によって署名されます。

11.4.1.2 SAMLトークン検証のユースケース

この項は、SAMLトークンが様々な用例で検証される方法を説明します。

表11-1は、様々なSAMLタイプとセキュリティ・メカニズムの異なる組合せと、それぞれの場合にSAMLアサーションがどのように検証されるかを示しています。

表11-1 SAMLトークンの検証

ユースケース

説明

検証方法

SAML送信者保証とメッセージ保護。

メッセージ保護のSAML送信者保証は署名されていますが、この場合は、メッセージ本文とSAMLトークンが、クライアントのプライベート証明書の1つの署名によって一緒に署名されています。

手順: 1-4

SAML送信者保証と双方向SSL。

例: oracle/wss_saml20_token_over_ssl_service_policy

メッセージはSSLのみによって保護されます。

SAMLトークンはクライアントのプライベート証明書によって署名されます。

手順: 1b。クライアントのSSL証明書が信頼されていることを検証します。

2, 3, 4

SAML送信者保証と保護なし。

例: oracle/wss10_saml20_token_service_policy

このポリシーはセキュアではなく、デモの目的でのみ提供されています。SAML発行者の名前は存在しますが、SAMLトークンは署名されません。

SAML 2.0トークンの資格証明は、SAML 2.0ログイン・モジュールに対して認証されます。

手順: 2、3a、4

SAML Bearerトークンと一方向SSL。

例: oracle/wss_saml20_token_bearer_over_ssl_service_policy

SAMLベアラーの場合、SAMLトークンが署名され、署名はSAMLトークン内に存在します。

これは本文が署名されているかどうかとは無関係です。

手順: 1、2、3、4

SAML未署名トークン・ベアラーと一方向SSL。(デフォルトでは無効ですが、下位互換性のために有効にできます。)

SAMLトークンは署名されません。

手順: 2、3、4

SAML鍵所有者とメッセージ保護。本体全体がHOKによって署名されています。

SAMLトークンが署名され、署名はSAMLトークン内に存在します。

本体もHOKによって署名されます。

手順: 1、2、3、4

追加手順5。署名を鍵で検証することにより、送信者が秘密鍵を所有していることを検証します。

SAML鍵所有者とタイムスタンプの署名のみ。メッセージ本文は署名されていません。

SAMLトークンが署名され、署名はSAMLトークン内に存在します。

タイムスタンプもHOKによって署名されます。

手順: 1、2、3、4

追加手順5。署名を鍵で検証することにより、送信者が秘密鍵を所有していることを検証します。

11.4.2 設計時のSAML Webサービス・クライアントの構成

SAMLアサーションのユーザー名を構成する必要があります。

設計時にSAML Webサービス・クライアントを構成するには、この項で説明する手順を実行します。(デプロイ時にWebサービス・クライアントにSAMLポリシーをアタッチする場合、これらのプロパティは構成が不要で、Fusion Middleware Controlに表示されることもありません。)

これ以降の項で説明するように、ユーザー・ロールをアサーションに含め、SAMLアサーション発行者名を変更することもできます。

SAMLアサーションのユーザー名を構成するには:

JSEクライアント・アプリケーションの場合、次のようにユーザー名をBindingProviderプロパティとして構成します。

Map<String,Object>  reqContext = ((BindingProvider) proxy).getRequestContext()   reqContext.put( BindingProvider.USERNAME_PROPERTY, "jdoe")

ここで、proxyは、実際のWebサービスの起動に使用されるWebサービス・プロキシを示します。

Java EEクライアントの場合は、ユーザーが認証済で、サブジェクトがコンテナ内で確立されていれば、ユーザー名はサブジェクトから自動的に取得されるため、追加の構成は必要ありません。

たとえば、ユーザーjdoeがすでにJava EEアプリケーションに対して認証され、Java EEアプリケーションからWebサービス・コールを行う場合、ユーザー名jdoeは自動的に伝播されます。

ただし、ユーザーが認証されていない場合、JSEと同様にBindingProviderにユーザー名を構成する必要があります。

11.4.3 アサーションへのユーザー属性の組込み

構成プロパティを使用してSAMLアサーションにユーザー属性を追加できます。

SAMLクライアント・ポリシーには、SAMLアサーションにユーザー属性を追加するために使用できるuser.attributes構成プロパティが含まれます。

このために、含める属性をカンマ区切りリストとして指定します。たとえば、attrib1,attrib2のようにします。指定する属性名は、構成済アイデンティティ・ストア内の有効な属性に正確に一致する必要があります。

user.attributesは、サブジェクトが有効であり、subject.precedence構成プロパティがtrueに設定されている必要があります。(subject.precedenceがtrueである場合、SAMLアサーションを作成するためのユーザー名はサブジェクトのみから取得されます。)

OWSMランタイムは、構成済アイデンティティ・ストアからこうした属性の値を読み取り、属性とその値をSAMLアサーションに含めます。

user.attributes構成プロパティは、1つのアイデンティティ・ストアに対してサポートされ、デフォルトではリスト内の最初のアイデンティティ・ストアのみが使用されます。そのため、ユーザーは、構成済WebLogic Serverの認証プロバイダで使用されるアイデンティティ・ストアに存在し、有効になっている必要があります。認証プロバイダは、「WebLogic Serverでサポートされる認証プロバイダ」で説明されています。

複数のアイデンティティ・ストアを構成しており、すべてのアイデンティティ・ストアでユーザーを検索する場合は、すべての構成済アイデンティティ・ストアで検索を有効にするために、次の手順に従います。

1. 「ターゲット・ナビゲーション」ペインで、「WebLogicドメイン」を開いて、アイデンティティ・ストア・プロバイダを構成するために必要なドメインを表示します。ドメインを選択します。

2. 「WebLogicドメイン」メニューから「セキュリティ」→「セキュリティ・プロバイダ構成」を選択します。

3. ページの「アイデンティティ・ストア・プロバイダ」セクションで、「構成」をクリックしてアイデンティティ・ストアを操作するパラメータを構成します。

図11-3に示すように、「アイデンティティ・ストア構成」ページが表示されます。

図11-3 「アイデンティティ・ストア構成」ページ

4. 「追加」をクリックしてカスタム・プロパティを追加します。

「新規プロパティの追加」ウィンドウが表示されます。

5. 図11-4に示すように、値「true」のプロパティ「virtualize」を追加します。

図11-4 virtualizeプロパティの追加

6. 「OK」をクリックして変更内容を送信します。

7. 「アイデンティティ・ストア構成」ページで「OK」をクリックします。

8. サーバーを再起動します。

11.4.4 アサーションへのユーザー・ロールの組込み

ユーザーのロールをSAMLアサーションの属性文として渡すことができます

SAMLアサーションの属性文としてユーザーのロールを渡すには、デプロイ後にuser.role.includeプロパティにtrueを構成します。このポリシーのデフォルト値は「false」です。

設計時にユーザーのロールを構成するには、BindingProviderのuser.role.includeプロパティをtrueに設定します。

11.4.5 SAMLポリシーに関するOracle Platform Security Services (OPSS)の構成の理解

事前定義済SAMLポリシーに関してOPSSを構成する必要があります。

事前定義済SAMLポリシーに関してOPSSを構成するには、次の手順に従います。

1. 「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」の説明に従って、SAMLログイン・モジュールを構成します。
デフォルトでは、SAMLアサーション発行者名はwww.oracle.comです。Webサービス・クライアント側とWebサービス側の両方で事前定義済SAMLポリシー(またはアサーション)が使用されている場合は、saml.issuer.nameクライアント・プロパティはwww.oracle.comであることが必要です。このため、通常はデフォルト値を使用でき、発行者の構成は不要です。

発行者の追加の詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

2. WebLogic Server管理コンソールで認証プロバイダを構成します。

3. SAML鍵所有者ポリシーなど、SAMLアサーションに関連する署名が含まれるポリシー(アサーションから参照される鍵がメッセージの署名に使用される)、または送信者保証ポリシー(送信者の鍵がメッセージの署名に使用される)を使用する場合、「メッセージ保護に関するキーストアの構成の概要」の説明に従って、署名と検証のための鍵と証明書を構成する必要があります。

4. SSLが必要なポリシーを使用する場合、「SSLに関するキーストアの構成について」の説明に従ってSSLを構成する必要があります。

11.4.6 別のSAMLアサーション発行者名の追加

信頼できる発行者のリストに発行者を追加する必要がある3つのシナリオがあります。

Webサービス・クライアント側とWebサービス側の両方で事前定義済SAMLポリシー(またはアサーション)が使用されている場合は、SAML発行者名はwww.oracle.comとして指定されます。このため、通常はデフォルト値を使用でき、発行者の構成は不要です。

- SAML事前定義済Webサービス・ポリシーまたはアサーションのsaml.trusted.issuers構成オーバーライド・プロパティを使用して信頼できる発行者を指定した場合。ここで定義される信頼できる発行者は、アプリケーション・レベルに適用され、ドメイン・レベルで定義される信頼できる発行者をオーバーライドします。

- SAML事前定義済Webサービス・クライアント・ポリシーまたはアサーションのsaml.issuer.name構成プロパティを使用してSAML発行者を指定した場合。

- 別のクライアント、たとえば.NET/STSが事前定義済SAMLポリシーによって保護されたWebサービスと通信する場合。

SAML発行者を追加する方法として、次の項の説明に従って、ドメイン・レベルの構成を使用することをお薦めします。

- Fusion Middleware Controlを使用した信頼できるSAML発行者およびDNリスト

- WLSTセクションへのリンク

前述の説明に従って発行者を追加する場合は、ドメイン内のすべてのサービスに適用されることと、サーバーの再起動が必要ではないことに注意してください。

後方互換性のために、セキュリティ・プロバイダのSAMLまたはSAML2ログイン・モジュールを構成することによって、Fusion Middleware Controlで発行者を追加することもできますが、望ましい方法はドメイン・レベルの構成を使用することです。SAMLログイン・モジュールでSAML発行者を定義しない場合、発行者はjps-config.xml内で永続化されます。また、変更を有効化するにはドメインのサーバーを再起動する必要があります。

注意:

OWSMでは、次の階層を使用して、実行時に使用される信頼できる発行者を決定します。

- 最初に、ポリシーに対して構成された信頼できる発行者のリストがチェックおよび使用されます。これにより、ドメイン・レベルで信頼できる発行者がオーバーライドされます。

- 信頼できる発行者がポリシー・レベルで定義されていない場合は、ドメイン・レベルの構成がチェックおよび使用されます。

- 最後に、信頼できる発行者がポリシー・レベルかドメイン・レベルで定義されていない場合、SAMLログイン・モジュールで定義される発行者リストがチェックおよび使用されます。

別のSAMLアサーション発行者をSAMLログイン・モジュール内の「発行者」リストに追加するには:

1. ターゲット・ナビゲーション・ペインで「WebLogicドメイン」を開き、発行者の追加が必要なドメインを表示します。ドメインを選択します。

2. コンテンツ・ペインで、「WebLogicドメイン」→「セキュリティ」→「セキュリティ・プロバイダ構成」を選択します。

3. 「ログイン・モジュール」セクションで、必要に応じてSAMLまたはSAML2ログイン・モジュールを選択して、「編集」をクリックします。

「ログイン・モジュールの編集」ページが表示されます。

4. ページの「SAML固有の属性」セクションで「追加」をクリックします。

5. 「発行者の追加」ウィンドウの「発行者」フィールドに発行者名を入力して、「OK」をクリックします。

6. サーバーを再起動します。

7. クライアント・ポリシーの発行者を次のように構成します。

- デプロイ後、アタッチされたSAMLクライアント・ポリシーのsaml.issuer.nameプロパティの構成オーバーライド値を指定します。事前定義済Oracle SAMLクライアント・ポリシーのクローンを作成した場合、ポリシーをアタッチする前に、saml.issuer.name構成プロパティの値を設定できます。

- 設計時に、BindingProviderのsaml.issuer.nameプロパティを設定します。

11.4.7 アイデンティティ切替えのためのSAML Webサービス・クライアントの構成について

アイデンティティ切替えとは、ポリシーが、認証されたサブジェクトに基づいたアイデンティティとは異なるアイデンティティを伝播することを意味します。

OWSMには、アイデンティティ切替えを有効にするwss11_saml_token_identity_switch_with_message_protection_client_policyポリシーが含まれます。アイデンティティ切替えとは、ポリシーが、認証されたサブジェクトに基づいたアイデンティティとは異なるアイデンティティを伝播することを意味します。アイデンティティ切替えの詳細は、次のトピックを参照してください。

- アイデンティティ切替えのユースケース・シナリオの理解

- javax.xml.ws.security.auth.usernameプロパティの設定

- WSIdentityPermissionを使用した権限の設定

11.4.7.1 アイデンティティ切替えのユースケース・シナリオの理解

SOAアプリケーションではクライアント側のWebサービス・ポリシーで使用されるユーザー・アイデンティティを指定する必要があり、アウトバウンドWebサービス・リクエストでSAMLトークンに関連するユーザーに動的に切り替えるシナリオが考えられます。このポリシーにより、サブジェクトから取得したユーザー名を使用するかわりに、SAML Webサービス・リクエストの送信時に新しいユーザー名を設定できます。

wss11_saml_token_identity_switch_with_message_protection_client_policyポリシーは、プロパティjavax.xml.ws.security.auth.usernameを介してユーザーIDセットに基づいてSAMLトークンを作成します。

Webサービス・クライアントがSOAアプリケーションを呼び出し、SOAアプリケーションがWebサービスのクライアントとなる次のようなユースケースについて検討します。

client -> SOA -> web service

このユースケースでは、次のようになります。

- クライアントは、wss11_username_with_message_protection_client_policy policyポリシーにより保護されます。そして、ユーザーend_user1としてSOAエントリ・ポイントと通信します。

- SOAエントリ・ポイントは、wss11_username_with_message_protection_service_policyによって保護されます。SOAアプリケーションはエンド・ユーザーを認証し、end_user1に基づいてサブジェクトを確立します。ただし、外部Webサービスには別のアイデンティティを伝播することが求められます。
そのため、アイデンティティ切替えを行うために、wss11_saml_identity_switch_message_protection_client_policyポリシーをSOA参照のバインディング・コンポーネントにアタッチします。

- 伝播されるユーザー名は、SOAアプリケーションのコンポーネントであるBPELプロセスによって動的に決定されます。ユーザー名は、動的に決定されたユーザー名の値を含むBPELプロパティjavax.xml.ws.security.auth.usernameとして設定されます。外部Webサービスは、wss11_saml_with_message_protection_service_policyによって保護できます。この場合は、end_user1ではなく切り替えられたユーザーを受信します。

- エンド・ユーザーに基づいてサブジェクトを確立するが、別のアイデンティティを伝播する必要があるJava EEアプリケーションにも、同様のシナリオが適用できます(このシナリオのSOAをJava EEアプリケーションに置き換えます)。Java EEの場合は、次のようにユーザー名をプログラムによって設定できます。

((BindingProvider) port).getRequestContext().put(BindingProvider.USERNAME_PROPERTY, config.get(USERNAME));

- Fusion Middleware Controlを使用して、WSIdentityPermission権限をSOA参照バインディング・コンポーネントに追加します。
wss11_saml_token_identity_switch_with_message_protection_client_policyポリシーでは、このポリシーをアタッチするアプリケーションがWSIdentityPermission権限を持つことが要求されます。つまり、OWSMが外部から提供されるアイデンティティをアプリケーションから受け入れるには、そのアプリケーションがWSIdentityPermission権限を持つ必要があります。

これにより、OWSMが潜在的に悪質なアプリケーションからアイデンティティを提供されるのを回避します。

注意:

wss11_saml_token_identity_switch_with_message_protection_client_policyポリシーは、ローカルの最適化を無効にします(同じサーバー上でのSOA間のやり取りについては、「OWSMポリシーでのローカルの最適化の使用(SOAコンポジット)」を参照してください)。

このポリシーは、Webサービスのwss11_saml_token_with_message_protection_service_policyポリシーと互換性があります。

11.4.7.2 javax.xml.ws.security.auth.usernameプロパティの設定

この項では、ユーザー名プロパティを設定するためのSOAおよびBPELプロセスに関する情報を提供します。

SOAの場合:

SOAコンポジットは、1つのSOAサービス・コンポーネントとしてBPELプロセスを持ちます。BPELプロセスは、同期および非同期プロセスのプロセス編成と格納を行います。

BPELプロパティは、正確な名前javax.xml.ws.security.auth.usernameを使用して定義できます。このプロパティの値を、SOAアプリケーションが伝播するアイデンティティにすることができます。これは潜在的にBPELプロセスによって動的に決定できます。

Java EEの場合:

BindingProvider.USERNAME_PROPERTYプロパティを設定します。

11.4.7.3 WSIdentityPermissionを使用した権限の設定

この手順では、SOA参照バインディング・コンポーネントにシステム権限として権限を設定する方法を示しています。

wss11_saml_token_identity_switch_with_message_protection_client_policyポリシーをアタッチするWebサービス・クライアント(たとえば、SOA参照バインディング・コンポーネント)は、oracle.wsm.security.WSIdentityPermission権限を持つ必要があります。

Fusion Middleware Controlを使用して、oracle.wsm.security.WSIdentityPermission権限をSOA参照バインディング・コンポーネントにシステム権限として追加するには、次の手順に従います。

1. ターゲット・ナビゲーション・ペインで「WebLogicドメイン」を開き、アプリケーションの構成が必要なドメインを表示します。ドメインを選択します。

2. Fusion Middleware Controlを使用して、「WebLogicドメイン」→「セキュリティ」→「システム・ポリシー」をクリックします。システム・ポリシーは、現在のWebLogicドメインにデプロイされるすべてのアプリケーションに適用されるシステム全体のポリシーです。

3. 「システム・ポリシー」ページで、「権限」フィールドの矢印アイコンを選択し、システム・セキュリティ権限を検索します。

4. コードベース権限のいずれかを選択して開始点として使用し、「類似作成」をクリックします。

5. ページの「権限の詳細」セクションで、「コードベース」フィールドにfile:${common.components.home}/modules/oracle.wsm.common_${jrf.version}/wsm-agent-core.jarと入力します。

注意:

権限付与の詳細を定義する場合、ディレクトリまたはJARの名前で製品バージョン番号の使用は避けることをお薦めします。これによって、将来の新しいリリースへのアップグレード時に影響を最小限に抑えることができます。

6. ページの「権限」セクションで、開始点の権限クラスを選択して「編集」をクリックします。

7. 「権限クラス」フィールドにoracle.wsm.security.WSIdentityPermissionと入力します。リソース名はSOAのコンポジット名で、Java EEクライアントのアプリケーション名です。図11-5に示すように、アクションは常にassertです。

図11-5 WSIdentityPermissionの編集

WLSTを使用してoracle.wsm.security.WSIdentityPermission権限を追加するには、次のコマンドを実行します。

grantPermission(codeBaseURL="file:${common.components.home}/modules/
oracle.wsm.common_${jrf.version}/wsm-agent-core.jar",
permClass="oracle.wsm.security.WSIdentityPermission",
permTarget="resource=yourAppName",
permActions="assert")

コマンドの説明は次のとおりです。

- codeBaseURLでは、wsm-agent-core.jarを参照する必要があります。

- permTargetの構文は、"resource=yourAppName/compositeName"です。リソース名はSOAのコンポジット名で、Java EEクライアントのアプリケーション名です。

- permActionsは常に"assert"です。

11.4.8 SAML署名証明書の信頼できる発行者および信頼できる識別名リストの理解

セキュリティを高めるために、SAML署名証明書の信頼できる識別名(DN)のリストを定義できます。

デフォルトの場合、OWSMでは、受信した発行者名を構成済の発行者のリストと照合してチェックし、SAML署名をOWSMキーストアにある構成済の証明書と照合してチェックします。また、信頼できるDNリストを定義する場合は、SAML署名がその発行者に関連付けられている特定の証明書に基づいて署名されているかどうかが検証されます。

信頼できるDNリストの構成はオプションです。詳細な制御を必要とするユーザーは、これにより各発行者を1つ以上の署名証明書のリストに関連付けることができます。信頼できる発行者のDNリストが定義されていない場合、証明書がOWSMキーストアに存在する証明書によって信頼されているかぎり、その証明書に基づいて署名できます。

SAML署名証明書の信頼できるDNリストの定義の詳細は、「Fusion Middleware Controlを使用した信頼できるSAML発行者およびDNリスト」を参照してください。

11.4.9 SAMLポリシーによる匿名ユーザーの使用方法の理解

1つのポリシーで認証ユーザーおよび匿名ユーザーの両方をサポートできる利便性のために、SAML経由での匿名ユーザーが許可されています。

すべてのSAMLポリシーで、匿名ユーザーの伝播が許可されます。たとえば、認証ユーザーまたは匿名ユーザーのいずれかが操作できるADFアプリケーションが存在し、このADFアプリケーションでWebサービスへのコールを行い、現在のユーザーを伝播する必要がある場合、いずれかのSAMLポリシーを使用して認証ユーザーおよび匿名ユーザーの両方を伝播できます。セキュリティの観点からは、SAML経由での匿名ユーザーの伝播は、サービスに認証トークンを送信しないクライアントと等価です。

1つのポリシーで認証ユーザーおよび匿名ユーザーの両方をサポートできる利便性のために、SAML経由での匿名ユーザーが許可されています。ただし、SAML経由での匿名の伝播は非標準であり、他のベンダーとは相互運用できないことに注意してください。これは、クライアントおよびWebサービスの両方でOWSMを使用している場合にのみ使用してください。

11.5 OWSMによるアイデンティティ・コンテキストの伝播について

アイデンティティ・コンテキストにより、組織は、Oracle Access Managementプラットフォームに組み込まれているコンテキストを意識したポリシー管理および認可機能を使用することで、増大するセキュリティの脅威に対応できます。

この項では、次の項目について説明します。

- アイデンティティ・コンテキストの概要

- SAMLポリシーを使用したアイデンティティ・コンテキストの伝播

- アイデンティティ・コンテキストの伝播の構成: メイン手順

11.5.1 アイデンティティ・コンテキストの概要

アイデンティティ・コンテキストでは、従来のセキュリティ制御(ロールやグループなど)とともに、認証および認可中に確立される動的データ(認証強度、リスク・レベル、デバイス・トラストなど)を使用することで、リソースへのアクセスのセキュリティが確保されます。

たとえば、アプリケーションでは、次のためにアイデンティティ・コンテキストを使用できます。

- ユーザーがスマート・カードなど強力な資格証明を使用して認証されていない場合、特定のビジネス機能を無効化します。

- 組織が(Identity Federationを使用して)取引しているビジネス・パートナによって提供されたアイデンティティ・データに基づいてトランザクションへのアクセスのセキュリティを確保します。

- 不正行為で知られる場所からアクセスされていることが検出された場合、追加の認証資格証明を要求します。

- 管理者の(サードパーティで管理されている)業界認定証が有効期限切れになっている場合、管理権限の範囲を制限します。

- 不明なデバイスからアクセスされていることが検出された場合、特定のビジネス機能を無効化します。

OWSMは、Webサービス・クライアントからWebサービスにアイデンティティ・コンテキストを伝播した後、認証および認可の目的のために、他のコンポーネントに対して使用可能に(公開)できます。

アイデンティティ・コンテキストは、Webサービス・クライアントおよびWebサービスに対して不透過であり、ポリシーのアイデンティティ・コンテキストの伝播を有効にした後、アイデンティティ・コンテキストのサポートのためにWebサービス・クライアントまたはWebサービスで追加コーディングまたは追加処理を実行する必要はありません。

注意:

アイデンティティ・コンテキストの伝播は、SOA WebCenterおよびJava EE (WebLogic) Webサービス・アプリケーションではサポートされません。

アイデンティティ・コンテキスト、アイデンティティ・コンテキスト・サービスの構成、アイデンティティ・コンテキストAPIの使用に関する詳細は、『Oracle Access Management管理者ガイド』のアイデンティティ・コンテキストの使用tに関する項を参照してください。

11.5.2 SAMLポリシーを使用したアイデンティティ・コンテキストの伝播

OWSMは、SAML 1.1またはSAML 2.0アサーションを使用することにより、Webサービス・クライアントからWebサービスにアイデンティティ・コンテキストを伝播します。

この機能を使用するには、Webサービス・クライアント・ポリシーおよびWebサービス・ポリシーの両方について、propagate.identity.context構成プロパティを使用することにより、アイデンティティ・コンテキストの伝播を明確に有効にする必要があります。つまり、Webサービス・クライアント・ポリシーおよびWebサービス・ポリシーの両方で明確に許可する場合にのみ、OWSMでアイデンティティ・コンテキストを伝播できます。

OWSMは、SAML 1.1またはSAML 2.0アサーションを使用することにより、Webサービス・クライアントからWebサービスにアイデンティティ・コンテキストを伝播します。したがって、SAMLポリシーにのみpropagate.identity.context構成プロパティが含まれます。

アイデンティティ・コンテキストをサポートするOWSMポリシーは、「アイデンティティ・コンテキストでサポートされるOWSMポリシー」にリストされています。

11.5.3 アイデンティティ・コンテキストの伝播の構成: メイン手順

ポリシーの「構成」ページで値を指定するか、ポリシーをアタッチするときにオーバーライドできます。

ここでの説明に従ってポリシーの「構成」ページで propagate.identity.contextに値を指定するか、ポリシーのアタッチ時にこの値をオーバーライドできます。

注意:

ポリシーにこのプロパティを設定する場合は、「アイデンティティ・コンテキストでサポートされるOWSMポリシー」にリストされている必要な事前定義済SAMLポリシーのコピー(クライアントとサーバーの両方)を作成する必要があります。事前定義済ポリシーからの新規ポリシーの作成の詳細は、「Webサービス・ポリシーのクローンの作成」を参照してください。ポリシーを作成したら、それらのポリシーを編集し、この項の説明に従ってpropagate.identity.contextプロパティを設定します。

ポリシーをアタッチするときにpropagate.identity.contextプロパティをオーバーライドする方法の詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

デフォルトでは、propagate.identity.context構成プロパティは未設定であり、これはfalseと等価です。アイデンティティ・コンテキストの伝播を使用するには、propagate.identity.contextを明確にtrueに設定する必要があります。

クローンのポリシーを使用してアイデンティティ伝播を構成するには:

1. 「ターゲット・ナビゲーション」ペインで「WebLogicドメイン」を開き、アイデンティティ・コンテキストの伝播の構成が必要なドメインを選択します。

2. 「WebLogicドメイン」メニューから、「Webサービス」→「WSMポリシー」を選択します。

3. アイデンティティ・コンテキストの伝播を有効にするクローンのSAMLポリシーを選択し、「開く」をクリックします。

Webサービス・クライアントおよびWebサービス・ポリシーの両方についてアイデンティティ・コンテキストの伝播を有効にする必要があることに注意してください。

4. 「アサーション」タブを選択します。

5. 「構成」をクリックします。

「構成」ページには、ポリシーの構成プロパティのリストが表示されます。

6. propagate.identity.contextプロパティの「値」フィールドにtrueを入力します。

7. 「OK」をクリックします。

図11-6 propagate.identity.contextプロパティをTrueに設定する

8. 「保存」をクリックして変更を送信します。

9. 対応するクライアント・ポリシーまたはサービス・ポリシーについて、必要に応じて手順3および8を繰り返します。

10. Webサービスを管理および保護するためのポリシーのアタッチで説明しているように、ポリシーを目的のエンドポイントにアタッチします。

11.6 Kerberosトークンの構成の理解

この項では、Kerberosトークン構成の概要を説明します。

Kerberos認証プロトコルの詳細は、『Oracle Web Services Managerの理解』のKerberosプロトコルの概要に関する項を参照してください。

事前定義済Kerberosポリシーは、名前にkerberosが含まれていて、Oracle Web Services Managerの事前定義済ポリシーに一覧表示されています。事前定義済Kerberosアサーション・テンプレートは、名前にkerberosが含まれていて、Oracle Web Services Managerの事前定義済アサーション・テンプレートに一覧表示されています。

次の項に記載されている手順に従って、KerberosをWebサービス・クライアントとWebサービスで使用できるように構成します。

- MIT Kerberosについて

- Microsoft Active Directoryとキー配布センターの併用について

- Webサービス・クライアントでのサービス・プリンシパル名の設定

- 正しいKDCを使用するためのWebサービスの構成

- Enterprise Managerでの正しいkeytabファイルの使用について

- サービス・プリンシパルに対応するユーザーの認証

- Webサービス・クライアントのチケット・キャッシュの作成

- SSLを介したKerberosの構成

- SPNEGOネゴシエーションによるKerberos構成

- 資格証明委任の構成について

11.6.1 MIT Kerberosについて

KDCとしてMIT Kerberosを使用できます。

この項では、KDCとしてMIT Kerberosを使用する場合の次のタスクについて説明します。

- MIT Kerberos KDCの初期化および起動

- プリンシパルの作成

- 正しいKDCを使用するためのWebサービス・クライアントの構成

11.6.1.1 MIT Kerberos KDCの初期化および起動

この項では、MIT Kerberos KDCを初期化および起動する方法について説明します。

KDCデータベースを初期化します。たとえば、UNIXでは次のコマンドをルートとして実行する場合があります。ここで、example.comはデフォルトのレルムです。

root# /usr/kerberos/sbin/krb5_util -r example.com -s

kerberosサービス・プロセスを起動します。たとえば、UNIXでは次のコマンドをルートとして実行します。

root# /usr/kerberos/sbin/krb5kdc &
root# /usr/kerberos/sbin/kadmind &

11.6.1.2 プリンシパルの作成

KDCユーザー・レジストリに2つのアカウントを作成します。最初のアカウントは、エンド・ユーザー用のもの、つまりWebサービス・クライアント・プリンシパルです。2つ目のアカウントは、Webサービス・プリンシパル用のものです。

KDCユーザー・レジストリに2つのアカウントを作成します。これらのアカウントを作成する方法には、kadmin.localツールを使用する方法があります。このツールは通常、MIT KDCの配布に含まれています。次に例を示します。

>sudo su - # become root
>cd /usr/kerberos/sbin/kadmin.local
>kadmin.local>addprinc fmwadmin -pw password
>kadmin.local> addprinc SOAP/myhost.example.com -randkey
>kadmin.local>listprincs # to see the added principals

この例のWebサービス・プリンシパル名(SOAP/myhost.example.com)は、ランダム・パスワードを使用して作成されています。Webサービス・プリンシパルは、キー表(サービス・プリンシパル名とキーを格納するファイル)を使用して、Kerberosシステムにログインします。ランダム・パスワードを使用することにより、セキュリティが強化されます。

11.6.1.3 正しいKDCを使用するためのWebサービス・クライアントの構成

正しいKDCに対してWebサービス・クライアントを認証するように構成する必要があります。

KDCの構成は、UNIXホストの場合は/etc/krb5.confに存在し、Windowsホストの場合はC:\windows\krb5.iniに存在します。

この項の例には、サンプルのkrb5.confが示されています。次の点に注意してください。

- ファイルは、Kerberosランタイムに対して、操作のレルムと接続先のKDCエンドポイントを通知します。

- Kerberosトークン・ポリシーが動作するためには、このファイルのlibdefaultsセクションで、次の3つの追加プロパティが指定されている必要があります。

- default_tkt_enctypes

- default_tgs_enctypes

- permitted_enctypes

暗号スイートの順序は重要であり、クライアント側Kerberosポリシーで使用されているアルゴリズム・スイートに従う必要があります。たとえば、KDC-supported enc-typesがdes3-cbc-sha1、des-cbc-md5、des-cbc-crc、arcfour-hmacである場合、次のポリシーについてクライアントのkrb5.confで次の順序でenc-typesエントリを使用する必要があります。

- wss11_kerberos_with_message_protection_client_policy:

- default_tkt_enctypes = des3-cbc-sha1 des-cbc-md5 des-cbc-crc arcfour-hmac

- default_tgs_enctypes = des3-cbc-sha1 des-cbc-md5 des-cbc-crc arcfour-hmac

- permitted_enctypes = des3-cbc-sha1 des-cbc-md5 des-cbc-crc arcfour-hmac

- wss11_kerberos_with_message_protection_basic128_client_policy:

- default_tkt_enctypes = arcfour-hmac des3-cbc-sha1 des-cbc-md5 des-cbc-crc

- default_tgs_enctypes = arcfour-hmac des3-cbc-sha1 des-cbc-md5 des-cbc-crc

- permitted_enctypes = arcfour-hmac des3-cbc-sha1 des-cbc-md5 des-cbc-crc

次の例は、krb5.confファイルのサンプルを示しています。

[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log

[libdefaults]
default_realm = EXAMPLE.COM
dns_lookup_realm = false
dns_lookup_kdc = false
default_tkt_enctypes = des3-cbc-sha1 des-cbc-md5 des-cbc-crc arcfour-hmac
default_tgs_enctypes = des3-cbc-sha1 des-cbc-md5 des-cbc-crc arcfour-hmac
permitted_enctypes = des3-cbc-sha1 des-cbc-md5 des-cbc-crc arcfour-hmac

[realms]
example.com =
{kdc = someadminserver.com:88  admin_server = someadminserver.com:749

default_domain = us.example.com  }
[domain_realm]
us.example.com = example.com

[kdc]
profile = /var/kerberos/krb5kdc/kdc.conf

[appdefaults]
pam =
{   debug = false    ticket_lifetime = 36000   renew_lifetime = 36000

forwardable = true    krb4_convert = false  }

11.6.2 Microsoft Active Directoryとキー配布センターの併用について

Microsoft Active Directoryをキー配布センター(KDC)とともに使用することもできます。

この項では、Active DirectoryをKerberosとメッセージ保護とともに使用する場合のKDCの構成方法について説明します。

この項では、Active Directoryに習熟していることを前提として説明します。詳細については、Active Directoryのドキュメントを参照してください。

注意:

メッセージ保護のシナリオでKDCとして2008より前のバージョンのMicrosoft Active Directoryを使用する場合、次のポリシーを使用しないでください。

- oracle/wss11_kerberos_token_with_message_protection_client_policy

- oracle/wss11_kerberos_token_with_message_protection_service_policy

これらのポリシーはTriple DES暗号化を使用しており、これは前のバージョンのMicrosoft Active Directoryではサポートされていません。

かわりに、ポリシー名にbasic128を含むKerberosメッセージ保護ポリシーを使用してください。具体的には次のようになります。

- oracle/wss11_kerberos_token_with_message_protection_basic128_client_policy

- oracle/wss11_kerberos_token_with_message_protection_basic128_service_policy

これらの2つのポリシーは、Microsoft Active Directoryのサポートされているすべてのバージョンと互換性があります。

この節では、以下のトピックについて説明します。

- Webサービス・クライアントのセットアップ・タスク

- Webサービスの設定

11.6.2.1 Webサービス・クライアントのセットアップ・タスク

この項では、Webサービス・クライアントをセットアップする方法について説明します。この項で説明するタスクは、次のとおりです。

- ユーザー・アカウントの作成

- サービス・プリンシパル名の設定

- Keytabファイルの作成

11.6.2.1.1 ユーザー・アカウントの作成

この項では、ユーザー・アカウントを作成する方法について説明します。

Active Directoryを使用してユーザー・アカウントを新規作成します。DES暗号化は使用しないでください。デフォルトでは、ユーザー・アカウントはRC4-HMACを使用して作成されます。

たとえば、ユーザーtestpolをユーザー・ログオン名test/testpolで作成できます。

ユーザー・ログオン名はgroup/nameの形式にする必要があります。

11.6.2.1.2 サービス・プリンシパル名の設定

この項では、サービス・プリンシパル名を設定する方法について説明します。

setSpnを使用して、サービス・プリンシパル名をユーザーにマッピングします。

setSpn -A test/testpol testpol
setSpn -L testpol (this should display the availabel mapping)

ユーザーにマッピングするサービス・プリンシパル名は1つのみにする必要があります。ユーザーにマッピングされたサービス・プリンシパル名が複数ある場合は、setSpn -D <spname> <username>を使用して削除します。

11.6.2.1.3 Keytabファイルの作成

この項では、キータブ・ファイルの作成方法を説明します。

ktpassを使用してkeytabファイルを作成します。

ktpass -princ test/testpol@{domain} -pass {...}  -mapuser testpol -out
testpol.keytab -ptype KRB5_NT_PRINCIPAL  -target {domain}

ここで、test/testpolはサービス・プリンシパル名で、ユーザーtestpolにマッピングされています。/desonlyを指定したり、cryptoにdes-cbc-crcは指定しないでください。

11.6.2.2 Webサービスの設定

この項では、Webサービスをセットアップする方法について説明します。

次の手順を実行して、Webサービスを設定します。

1. KerberosポリシーをWebサービスにアタッチします。

2. 正しいKDCに対してWebサービス・クライアントを認証するように構成します。

KDCの構成は、UNIXホストの場合は/etc/krb5.confに存在し、Windowsホストの場合はC:\windows\krb5.iniに存在します。

デフォルトのドメインとレルムをkrb5.confまたはkrb5.iniファイルで構成します。RC4-HMAC暗号化タイプを有効にします(JDK6で使用可能)。

[libdefaults]

default_tkt_enctypes = rc4-hmac
default_tgs_enctypes = rc4-hmac
permitted_enctypes = rc4-hmac

3. 「Keytabファイルの作成」で作成したkeytabファイルを、Webサービスのホストとなるシステムにエクスポートします。キー・タブはバイナリ・ファイルです。これをFTPで転送する場合は、バイナリ・モードを使用してください。

4. 次のように、kinitを使用してkeytabファイルを検証します。

kinit -k -t <absolute path the the keytab file> <Service Principal Name>

5. 「Kerberosログイン・モジュールの構成」の説明に従って、krb5ログイン・モジュールを変更し、keytabの場所とサービス・プリンシパル名を指定します。

keytabファイルへの絶対パスを使用してください。また、サービス・プリンシパル名には必ず@realmnameを追加してください。次に例を示します。

principal value=test/testpol@example.com

11.6.3 Webサービス・クライアントでのサービス・プリンシパル名の設定

Kerberosクライアント側ポリシーを実行するWebサービス・クライアントは、アクセスを試行するサービスのサービス・プリンシパル名を認識している必要があります。

この項では、サービス・プリンシパル名を設定する手順について説明します。

「構成」ページでservice.principal.nameの値を指定できます。または、ポリシーをアタッチするときに「セキュリティ構成の詳細」コントロールを使用して、クライアントごとにこの値をオーバーライドできます。デフォルト(プレースホルダ)値は、HOST/localhost@EXAMPLE.COMです。

または、構成のオーバーライドを使用して設計時に次のようにサービス・プリンシパル名を指定できます。

JAX-WS Clients:
((BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSS_KERBEROS_SERVICE_PRINCIPAL,
SOAP/myhost.example.com@example.com);

11.6.4 正しいKDCを使用するためのWebサービスの構成

適切なKDCに対してWebサービスを認証するように構成します。

KDCの構成は、UNIXホストの場合は/etc/krb5.confに存在し、Windowsホストの場合はC:\windows\krb5.iniに存在します。

Webサービス・クライアント用のサンプルのKDC構成は、正しいKDCを使用するためのWebサービス・クライアントの構成の例に示されています。この例は、WebサービスのKDC構成にも適用されます。

11.6.5 Enterprise Managerでの正しいkeytabファイルの使用について

Enterprise Managerで正しいkeytabファイルを使用する必要があります。

正しいkeytabファイルを使用するには、次の作業を行います。

- keytabファイルの抽出とインストール

- keytabファイルのエクスポート

- krb5ログイン・モジュールの変更

これらのタスクについては、次の各項で説明します。

- Keytabファイルの抽出

- keytabファイルのエクスポート

- keytabファイルを使用するためのkrb5ログイン・モジュールの変更

11.6.5.1 Keytabファイルの抽出

この項では、キータブ・ファイルの抽出手順を説明します。

KDCからサービス・プリンシパル・アカウントのキー表ファイル(キー・タブとも呼ばれる)を抽出し、Webサービス実装のホストとなるマシンにインストールする必要があります。

たとえば、kadmin.localなどのツールを使用し、次のようにサービス・プリンシパル名のキー・タブを抽出できます。

>kadmin.local>ktadd -k /tmp/krb5.keytab SOAP/myhost.example.com

11.6.5.2 keytabファイルのエクスポート

この項では、キータブ・ファイルのエクスポート手順を説明します。

keytabファイルを、Webサービスのホストとなるマシンにエクスポートする必要があります。キー・タブはバイナリ・ファイルです。これをFTPで転送する場合は、バイナリ・モードを使用してください。

11.6.5.3 keytabファイルを使用するためのkrb5ログイン・モジュールの変更

この項では、keytabファイルを使用するためにkrb5モジュールを変更する手順について説明します。

「Kerberosログイン・モジュールの構成」の説明に従って、WebサービスのKDCファイルの場所を識別するようにkrb5ログイン・モジュールを変更します。

たとえば、keytabファイルが/scratch/myhome/krb5.keytabにインストールされているとします。キー・タブとプリンシパルのプロパティを次のように変更します。

- principal値=SOAP/myhost.example.com@example.com

- useKeyTab値=true

- storeKey値=true

- keyTab値=/scratch/myhome/krb5.keytab

- doNotPrompt値=true

11.6.6 サービス・プリンシパルに対応するユーザーの認証

Webサービス・ランタイムでは、Kerberosトークンの妥当性を確認できる必要があります。

トークンが有効の場合、Oracle Platform Security Services (OPSS)は、サービス・プリンシパルに対応するユーザーを、構成済のWebLogic Server認証プロバイダのいずれかに対して認証できる必要があります。認証プロバイダの詳細は、「WebLogic Serverでサポートされる認証プロバイダ」を参照してください。

そのため、ユーザーは、認証プロバイダで使用されるアイデンティティ・ストアに存在し、有効になっている必要があります。

たとえば、SOAP/myhost.example.com@example.comなどのサービス・プリンシパルについて考えます。この例では、SOAP/myhost.example.comという名前のユーザーがアイデンティティ・ストアに存在する必要があります。@domainは、ユーザー・エンティティに含めないでください。

11.6.7 Webサービス・クライアントのチケット・キャッシュの作成

Webサービス・クライアントのチケット・キャッシュを作成できます。

Webサービス・クライアントのチケット・キャッシュを作成するには、次の手順を実行します。

1. クライアント用に作成したユーザー・プリンシパルを使用して、Kerberosシステムにログインします。

>kinit fmwadmin password

2. これにより、チケット認可チケットを含むファイルシステムにチケット・キャッシュが作成されます。このことを確認するには、次のコマンドを入力します。

>klist -e

次のような情報が表示されます。

Credentials cache: /tmp/krb5cc_36687
Default principal: fmwadmin@example.com, 1 entry found.
[1]  Service Principal:  krbtgt/example.com@example.com
Valid starting:  Sep 28, 2007 17:20
Expires:         Sep 29, 2007 17:20
Encryption type: DES3 CBC mode with SHA1-KD

暗号化タイプが前述の情報を反映していることを確認します。

3. Webサービス・クライアントを実行します。

また、最初にKerberosにログインすることなく、Webサービス・クライアントを実行できます。Kerberosユーザー名およびパスワードに対するプロンプトが表示されます。この場合、チケット・キャッシュはファイルシステムに作成されず、メモリーに保持されます。

11.6.8 SSLを介したKerberosの構成

Kerberosの2つの基本的なアサーション・テンプレート、oracle/wss11_kerberos_token_client_templateおよびoracle/wss11_kerberos_token_service_templateは、Kerberosトークンを使用した認証を提供しますが、メッセージ保護のフォームは提供しません。

OWSMでは、Kerberosトークンを使用したBasic認証にSSLトランスポート・レベルのセキュリティを使用してメッセージ保護を追加する次のアサーション・テンプレートを提供します。

- oracle/wss11_kerberos_token_over_ssl_client_template

- oracle/wss11_kerberos_token_over_ssl_service_template

これらのアサーション・テンプレートを使用するには、「SSLに関するキーストアの構成について」の説明に従ってSSLを構成する必要があります。

これらのアサーションは、認証とタイムスタンプの署名にKerberosトークンを使用し、基礎となる一方向SSLトランスポートを使用してメッセージを保護します。また、EndorsingSupportingTokenとしてKerberosトークンを通知します。

11.6.9 SPNEGOネゴシエーションによるKerberos構成

SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism)は、クライアントおよびサービスが認証に使用する方法をネゴシエートすることを可能にする標準です。SPNEGOではネゴシエーションを実行するためにHTTPヘッダーを使用するので、Webなどのクロス・プラットフォームのコンテキストで特に役立ちます。

SPNEGOとKerberosの使用方法の詳細は、『Oracle Web Services Managerの理解』のKerberosとSPNEGOに関する項を参照してください。

OWSMは、SPNEGOネゴシエーションを使用して、クライアントおよびサービスで認証用にKerberosを使用できるようにするために、次のアサーション・テンプレートを提供します。

- oracle/http_spnego_token_client_template

- oracle/http_spnego_token_service_template。

これらのアサーション・テンプレートは、SOAPまたはRESTのエンドポイントにアタッチされたポリシーによって使用できます。

これらのアサーション・テンプレートを使用して、新規ポリシーを作成したり、SPNEGOアサーションを既存のマルチトークン・ポリシーに追加できます。ポリシーの作成またはポリシーへのアサーションの追加の詳細は、次の項を参照してください。

- 新しいWebサービス・ポリシーの作成

- ポリシーへのアサーションの追加

11.6.10 資格証明委任の構成について

Kerberosには、クライアント・リクエストで(クライアントにかわって)あるサービスが別のサービスを使用してリクエストを満たすように要求するシナリオをサポートする資格証明委任と呼ばれる機能が含まれています。このようなシナリオを満たすために、クライアントは、最初のサービスに転送されたTGT(チケット認可チケット)を提供します。最初のサービスはこれを使用して、KDCから2番目のサービスのためのサービス・チケットを取得します。

資格証明委任の詳細は、『Oracle Web Services Managerの理解』のKerberosの資格証明委任に関する項を参照してください。

資格証明委任を構成するには、次のタスクを実行する必要があります。

- 資格証明委任を許可するようにKerberosを構成します。

- OWSMがクライアントにかわってサービスにKerberosチケットを転送できるように、クライアントがデプロイされるドメインを構成します。

- クライアント・ポリシーおよびサービス・ポリシーで資格証明委任を有効にします。

Active Directoryのサービスとともに資格証明委任を使用する場合、委任が信頼されるようにサービスのSPNアカウントを構成する必要もあります。

次の各項では、これらのタスクについて説明します。

- Kerberosの資格証明委任の構成

- OWSMへの委任権限の構成

- クライアント・ポリシーおよびサービス・ポリシーでの資格証明委任の有効化

- Active Directoryのサービス用の資格証明委任の構成

- 資格証明委任の構成の例

11.6.10.1 Kerberosの資格証明委任の構成

この手順は、kerberosに資格証明委任を構成する方法について説明しています。

資格証明委任をサポートするようにKerberosを構成するには、krb5.confファイルのlibdefaultsセクションにあるforwardableオプションをtrueに設定する必要があります。たとえば次のようになります。

[libdefaults]
forwardable = true

11.6.10.2 OWSMへの委任権限の構成

資格証明を委任するには、OWSMにクライアントにかわってサービスにKerberosチケットを転送する権限が必要です。

この権限を提供するには、このフォームのgrantPermission WLSTコマンドを使用します。

grantPermission(
codeBaseURL="file:${common.components.home}/modules/oracle.wsm.common_12.1.2/wsm-agent-core.jar",
permClass="javax.security.auth.kerberos.DelegationPermission",
permTarget="\"service_principal@REALM_NAME\" \"krbtgt/REALM_NAME@REALM_NAME\"")

このコマンドで、service_principalはサービス・プリンシパルで、REALM_NAMEはセキュリティ・レルムです。

grantPermissionはオンライン・コマンドであるため、WebLogic Serverインスタンスへの接続に、最初にconnect WLSTコマンドを使用する必要があります。grantPermissionコマンドの詳細は、『インフラストラクチャ・セキュリティWLSTコマンド・リファレンス』のgrantPermissionに関する項を参照してください。

11.6.10.3 クライアント・ポリシーおよびサービス・ポリシーでの資格証明委任の有効化

この手順は、クライアント・ポリシーおよびサービス・ポリシーで資格証明委任を有効にする方法を示しています。

資格証明委任は、クライアント・ポリシーおよびサービス・ポリシーのKerberosアサーションで、credential.delegation構成プロパティの値をtrueに設定することにより有効にします。このプロパティは、Kerberosアサーション・テンプレートのすべてで使用可能です。デフォルトで、この値はfalseであり、資格証明委任が無効であることを示しています。

11.6.10.4 Active Directoryのサービス用の資格証明委任の構成

Active DirectoryのサービスとともにKerberos資格証明委任を使用する場合、委任が信頼されるようにサービスのSPNドメイン・アカウントを構成する必要があります。

1. ドメイン・コントローラで、「Active Directoryユーザーとコンピューター」を起動します。

2. 左側のペインで、「ユーザー」をクリックします。

3. 右側のペインで、サービスのSPNを作成するときに使用したドメイン・アカウント名を右クリックして、「プロパティ」をクリックします。

4. 「委任」タブで、「アカウントは委任に対して信頼されている」オプションを選択して、「OK」をクリックします。

5. 「Active Directoryユーザーとコンピューター」を終了します。

注意:

Kerberos用の標準のJDKライブラリを使用するJavaクライアントは、JDKの制限により、Active Directoryでのこの設定は無視します。

11.6.10.5 資格証明委任の構成の例

この手順は、資格証明委任を構成する方法について説明しています。

次の例は、次のシナリオを使用して、資格証明委任を構成する方法を示しています。

ある銀行がその顧客に対して、口座保持者がその口座に関する情報を表示できる、MyBankerというクライアント・アプリケーションを提供しています。口座の取引情報を取得するため、MyBankerクライアントはTransactionsサービスをコールします。このサービスは、前回の口座明細以降の口座取引に直接アクセスできます。より古い取引に関する情報を取得するには、OldTransactionsサービスをコールします。OldTransactionsからの情報を取得するために、TransactionsはMyBankerクライアントの資格証明を認証する必要があります。

前提条件

この例では、MyBankerクライアントと、TransactionsおよびOldTransactionサービスすべてが同じKerberos KDCを使用して認証する必要があります。

手順

次の手順で、手順2、3および4は、OWSMを使用してクライアントとサービスを接続する際に通常実行する手順と非常に似ています。手順1および5は資格証明委任に特有です。

1. 「OWSMへの委任権限の構成」の説明に従って、<grant>要素をsystem-jazn-data.xmlファイルに追加して、OWSMがMyBankerにかわってTransactionにチケットを転送できるようにMyBankerがデプロイされるドメインを構成します。

2. 適切なKerberosまたはSPNEGOサービス・ポリシーをTransactionsサービスにアタッチします。通常の場合と同様にポリシーを構成します。さらに

- credential.delegationプロパティをtrueに設定します。

3. 対応するKerberosまたはSPNEGOクライアント・ポリシーをMyBankerクライアントにアタッチします。通常の場合と同様にポリシーを構成します。さらに

- service.principal.nameプロパティをTransactionsサービスのプリンシパル名に設定します。

- caller.principal.nameとkeytab.locationプロパティが設定されていることを確認します。

- credential.delegationプロパティをtrueに設定します。

4. 適切な事前定義済KerberosまたはSPNEGOサービス・ポリシーをOldTransactionsサービスにアタッチします。通常の場合と同様にポリシーを構成します。

5. 対応する事前定義済KerberosまたはSPNEGOクライアント・ポリシーをTransactionsサービスにアタッチします。このポリシーを次のように構成します。

- service.principal.nameプロパティをOldTransactionsサービスのプリンシパル名に設定します。

- caller.principal.nameとkeytab.locationプロパティが設定されていないことを確認します。

MyBankerの資格証明の追加の委任に対応できるようにこの例を拡張するには、追加の委任ごとにこれらのタスクを実行する必要があります。

- 「OWSMへの委任権限の構成」の説明に従って、委任資格証明を受信するサービスにチケットを転送する権限をOWSMに付与します。

- 委任資格証明を転送するサービスのサービス・ポリシーのcredential.delegationプロパティをtrueに設定します。

- 委任資格証明を受信するサービスにサービス・ポリシーを追加します。

- 委任資格証明を転送するサービスに対応するクライアント・ポリシーを追加し、それを手順例の手順5で説明するように構成します。

11.7 WS-Trustの構成について

セキュリティ・トークン・サービス(STS)を使用して、WS-TrustのOWSMポリシーを構成および使用できます。

最初の項であるWebサービスWS-Trustの概要では、WS-Trustの概要、およびSTSを使用してWebサービス・クライアントとWebサービスの間で信頼を仲介する方法について説明します。残りの項では、WS-Trustに関連する特定の構成トピックについて説明します。

- WebサービスWS-Trustの概要

- サポートされるSTSサーバー

- トークンの存続期間およびトークンのキャッシュの理解

- STSの自動ポリシー構成の設定

- Web Services Federationの構成について

- 発行済トークンとしてのSAML鍵所有者およびSAMLベアラーの概要

- 発行済トークンとしてのSAML送信者保証の理解

- On Behalf Ofユースケースの概要

- WS-Trustクライアント・ポリシーのプログラムによるポリシー構成オーバーライド

11.7.1 WebサービスWS-Trustの概要

WS-Trust 1.3仕様は、セキュリティ・トークンのリクエストおよび発行を行う際の枠組みを提供するWS-Securityへの拡張機能と、ブローカ・トラスト関係への拡張機能を定義します。WS-Trust拡張機能は、セキュリティ・トークンの発行、更新および検証を行う方法を提供しています。

Webサービス・クライアントとWebサービスとの間の通信を保護するには、両者がセキュリティ資格証明を交換する必要があります。WS-Trust仕様で定義されているように、これらの資格証明は、信頼ブローカとして機能する信頼できるセキュリティ・トークン・サービス(STS)から取得できます。つまり、Webサービス・クライアントおよびWebサービスは、明示的に相互に信頼し合っていませんが、両方がSTSを信頼しているため、暗黙的に相互に信頼し合っています。

信頼ブローカとしてSTSを使用する場合、認証は次のように進みます。

1. Webサービス・クライアントはSTSに対して自身を認証し、セキュリティ・トークンを発行するように要求します。これはRequestSecurityToken (RST)メッセージと呼ばれます。

2. STSはWebサービス・クライアントの資格証明を確認し、セキュリティ・トークン・リクエストに応答します。これはRequestSecurityTokenResponse (RSTR)メッセージと呼ばれます。

3. Webサービス・クライアントは、STSが発行したセキュリティ・トークンをWebサービスに提示します。

4. Webサービスは、発行されたセキュリティ・トークンの有効性を確認します。

このプロセスが正常に完了すると、Webサービス・クライアントはWebサービスをリクエストできます。

OWSMを使用して認証を管理する場合は、前述の一般的なプロセスを取得する実際のプロセスは次のようになります。

1. Webサービス・クライアントでWebサービスを起動する必要があります。OWSMエージェントは、WebサービスのWSDLをフェッチし、発行済トークン・サービス・ポリシーの抽出を試みます。OWSMエージェントは、WSDLで識別されたSTSと対話するために、(必要に応じてオーバーライドされた)ローカル・クライアント・ポリシーを使用します。
Webサービス・ポリシーでは、特定のSTSから発行されるトークンを求めることができます。

2. OWSMエージェントはRSTをSTSに発行します。

3. STSはRSTRを使用して応答します。

4. OWSMエージェントは、STSによって送信されたRSTRを処理し、発行済トークンをWebサービスに伝播します。

5. Webサービスを処理するOWSMは、発行済トークンを処理および検証し、レスポンスを生成します。

Web Services Federation

信頼ブローカとして機能するすることで、STSは次の2つの主要なサービスを提供します。

- トークンを認証済Webサービス・クライアントに発行します。

- トークンをWebサービスによる要求に応じて検証します。

また、STSは別のSTSによって発行されたトークンを受信し、受信したトークンの内容に基づいて独自のトークンを発行できます(他のSTSを信頼している場合)。相互に信頼し合い、発行済トークンを変換するこのSTSの機能により、Web Service Federationと呼ばれる、セキュリティ・ドメイン間のフェデレーテッド信頼を可能にします。

一例として、あるセキュリティ・ドメイン内のWebサービス・クライアントが別のセキュリティ・ドメイン内に存在するWebサービスを起動する必要があるとします。各ドメインにSTSがあり、互いに信頼し合っている場合、Webサービス・クライアントは次のようにWebサービスを起動できます。

1. Webサービス・クライアントはセキュリティ・ドメイン内のSTSに対して自身を認証し、セキュリティ・トークンを発行するように要求します。このSTSは、IDプロバイダSTSまたはIP-STSと呼ばれます。

2. IP-STSはWebサービス・クライアントの資格証明を確認し、セキュリティ・トークン・リクエストに応答し、発行済トークンを提供します。

3. Webサービス・クライアントはIP-STSから発行されたトークンをWebサービスのセキュリティ・ドメイン内のSTSに提示し、セキュリティ・トークンを発行するように要求します。この2番目のSTSは、リライイング・パーティSTSまたはRP-STSと呼ばれます。

4. RP-STSはIP-STSから発行されたトークンの有効性を確認します。IP-STSのトークンからのデータを使用して、独自のトークンを作成し、それをWebサービス・クライアントに提供します。

5. Webサービス・クライアントは、RP-STSから発行されたトークンをWebサービスに提示します。

6. Webサービスは、信頼するSTS (自身のセキュリティ・ドメイン内のRP-STS)から発行されたトークンの有効性を確認します。

前述のプロセスは、Webサービス・クライアントが、異なるセキュリティ・ドメイン内にあるWebサービスと、2つのドメインのSTS間で共有される信頼によって通信する方法を示しています。ただし、このSTS間で共有される信頼はさらに拡張可能です。IP-STSとRP-STSが直接的には互い信頼し合っていないが、同一の中間STSとの信頼を共有している場合、信頼のチェーンをIP-STSから中間STSへ、中間STSからRP-STSに形成できます。さらに、信頼のチェーンをIP-STSからRP-STSまで形成できる場合には、追加の中間STSをIP-STSとRP-STSの間に配置できます。

OWSMを使用してWeb Services Federationを構成する方法の詳細は、「Web Services Federationの構成について」を参照してください。

11.7.1.1 STS構成を取得するためのメカニズムの理解

このSTSもまた、Webサービスです。クライアント・アプリケーションは、STSと通信するために、port-uri、port-endpoint、wsdl-uri、さらに認証しようとするクライアントから受け入れることができるセキュリティ・トークンなど、STSの詳細を認識する必要があります。

2つのメカニズムにより、STS情報はクライアントで使用可能になります。

- 自動(クライアントSTS)ポリシー構成(「STSの自動ポリシー構成の設定」を参照してください)を使用する場合。自動ポリシー構成では、STS WSDLドキュメントを解析することにより、STSに関する情報を動的に生成します。
自動ポリシー構成は、STS構成ポリシーがクライアントではなくWebサービスにアタッチされたときにトリガーします。また、STS構成ポリシーで提供される情報は、ターゲットSTSのport-uriのみです。

このポリシーが発行済トークン・サービス・ポリシーとともにWebサービスにアタッチされた場合、STSのport-uriがWebサービスWSDLのIssuedTokenアサーションに発行者アドレスとして示されます。その結果として、STS WSDLにアクセスすることによって他のすべてのSTS情報(ターゲット・ネームスペース、サービス名、エンドポイントなど)が取得され、STS構成としてメモリー内に保存されます。この情報はメモリー内にのみ格納され、OWSMリポジトリ内で永続化されません。リポジトリの詳細は、Oracle Web Services Managerリポジトリの管理を参照してください。

WebサービスSTS構成ポリシーでSTS URIを指定し、それをWebサービスにアタッチした場合、クライアントでそのSTSの使用が強制されます。オーバーライドはできません。

- 自動ポリシー構成を使用せず、かわりにWebサービスを起動する前に、クライアントにSTS構成ポリシーをアタッチし、STSに関連する情報(port-endpoint、port-uri、公開鍵別名、STSへの認証に使用されるOWSMクライアント・ポリシーへの参照)をすべて指定します。この場合、STS構成ポリシーからのすべての情報が実行時にすでに使用可能です。

11.7.1.2 交換されるトークン・タイプの理解

STSは、理論的にはクライアントから任意のトークンを受信でき、それを他の任意のトークンに交換できますが、実際には一般に次のいずれかのトークンを受け入れ、SAMLアサーションを返します。

- ユーザー名トークン。このトークン・タイプの場合:

1. Webサービス・クライアントは、ユーザー名とパスワードをSTSに送信します。

2. STSはパスワードを検証し、SAMLアサーションを返します。

3. クライアントは、WebサービスにSAMLアサーションを送信します。

このシナリオは、Webサービスにはパスワードを検証する機能がなく、したがってパスワードの検証をSTSに依存する場合に役立ちます。

- Kerberosトークン。このトークン・タイプの場合:

1. クライアントはユーザー名とパスワードをKDCに送信し、Kerberosトークンを取得します。

2. クライアントはKerberosトークンをSTSに送信し、SAMLアサーションを取得します。

3. クライアントは、WebサービスにSAMLアサーションを送信します。

このシナリオは、Windows環境で役立ちます。Windowsマシン上で実行するクライアントはログオン済ユーザー・コンテキストを持ち、このコンテキストを使用して該当ユーザーのSTSからSAMLアサーションを取得できます。

このシナリオでは、クライアントはパスワードを持たず、したがってユーザー名トークンは使用できません。Kerberosのみを使用できます。

- X509トークン。このトークン・タイプでは、クライアントは自身をSTSに対して認証するために秘密鍵を使用します。

これを受けてSTSは、一般に次のいずれかのトークンを返します。

- SAML対称鍵所有者

- SAML非対称鍵所有者

- SAMLベアラー

これらのトークンの詳細は、「発行済トークンとしてのSAML鍵所有者およびSAMLベアラーの概要」を参照してください。

STSはSAML送信者保証トークンを返す場合もあります。詳細は、「発行済トークンとしてのSAML送信者保証の理解」を参照してください。

11.7.2 サポートされるSTSサーバー

OWSMでは、標準WS-Trustクライアントを提供しています。このクライアントは、次のセキュリティ・トークン・サービスとの相互運用が動作保証されています。

- Oracle Security Token Service (OSTS)

- Oracle OpenSSO STS

- Microsoft ADFS 2.0 Security Token Service (STS)

11.7.3 トークンの存続期間およびトークンのキャッシュの理解

この項では、トークンの存続期間およびトークンのキャッシュについて説明します。

STSからのRSTRレスポンス・メッセージには、返されたトークンの妥当性を示す存続期間要素(<trust:Lifetime>)が含まれる場合があります。存続期間要素が存在する場合、OWSMはタイムスタンプを検証し、レスポンスが期限切れであればメッセージを拒否します。

また、OWSMでは返されたトークンのキャッシュをサポートします。発行済トークン・クライアント・ポリシーの構成プロパティissued.token.lifetimeが、返されたトークンのキャッシュを制御します。

STSにリクエストする場合、OWSMはSTSへのRSTリクエスト・メッセージでissued.token.lifetimeによって指定された期間に返されたトークンの存続期間をリクエストします。

STSがリクエストされたissued.token.lifetime値とは異なるトークン存続期間の値を返す場合、OWSMは返されたトークンをキャッシュするための期間として戻り値を使用します。STSが空のトークン期限切れ値を返した場合、OWSMは返されたトークンをキャッシュしません。

したがって、issued.token.lifetimeプロパティは、返されたトークンの特定の存続期間をリクエストするためにのみ使用されます。STSは値を受け取る義務はなく、OWSMはSTSによって返された実際の存続期間の値に基づいてトークン・キャッシュを実行します。

issued.token.lifetimeの値を指定しない場合、OWSMは28800000ミリ秒(8時間)のデフォルト・ドメイン値を使用します。このデフォルトのドメイン値を変更するには、「Fusion Middleware Controlを使用した発行済トークンの存続期間の構成」を参照してください。

11.7.4 STSの自動ポリシー構成の設定

自動ポリシー構成では、STS WSDLドキュメントを解析することにより、STSに関する情報を動的に生成します。

STS構成ポリシーが(クライアントではなく) Webサービスにアタッチされている場合、クライアントからサーバーへの最初の接続で実行時に自動ポリシー構成が行われます。

STS構成ポリシー(oracle/sts_trust_config_service_policy)で提供する情報は、ターゲットSTSのポートURIのみです。このポリシーが(発行済トークン・サービス・ポリシーとともに) Webサービスにアタッチされた場合、STSのport-uriがWebサービスWSDLのIssuedTokenアサーションに発行者アドレスとして示されます。

その結果としてOWSMは、STS WSDLにアクセスすることによって他のSTS情報(ターゲット・ネームスペース、サービス名、エンドポイントなど)を取得し、STS構成としてメモリー内に保存します。この情報はメモリー内に保存されますが、MDS内で永続化されません。

この節では、以下のトピックについて説明します。

- 自動ポリシー構成の要件の理解

- 自動ポリシー構成の設定の主な手順

- Webサービス・クライアントからのSTS構成ポリシーの手動による構成: メイン手順

11.7.4.1 自動ポリシー構成の要件の理解

自動ポリシー構成を使用してSTSと正常に通信するには、次の要件があります。

- 自動ポリシー構成は、JSEクライアントでは動作しません。WS-TRUSTのシナリオでJSEクライアントを使用する場合は、sts_trust_config_client_policyポリシーおよび発行済トークン・クライアント・ポリシーの両方をアタッチすることにより、クライアントにすべてのSTS構成情報を提供する必要があります。

- oracle/sts_trust_config_service_policyポリシーは、Webサービスにアタッチする必要があります。そうしない場合は、自動ポリシー構成を使用できず、そのかわりに「Webサービス・クライアントからのSTS構成ポリシーの手動による構成: メイン手順」の説明に従って、クライアントのoracle/sts_trust_config_client_policyポリシーを手動で構成する必要があります。

- 信頼はWebサービスとクライアント間に存在するために、SAML送信者保証確認に自動ポリシー構成は使用できません。WebサービスのWSDLには、STSに関する情報は含まれません。

- STSの証明書および公開鍵の別名がキーストアに存在する必要があります。デフォルトの別名はsts-csf-keyです。この方法の詳細は、「メッセージ保護に関するキーストアの構成の概要」を参照してください。

- STSキーストアでクライアントの公開鍵が使用可能であることが必要です。

11.7.4.2 自動ポリシー構成の設定の主な手順

この項では、自動ポリシー構成を設定するために実行する必要があるタスクについて説明します。

この項には次のトピックが含まれます:

- 自動ポリシー構成のためのポリシーの構成

- 自動ポリシー構成のためのWebサービス・クライアントの構成

- 自動ポリシー構成のためのWebサービスの構成

11.7.4.2.1 自動ポリシー構成のためのポリシーの構成

この項では、自動ポリシー構成のポリシーを構成する方法について説明します。

自動ポリシー構成のポリシーを構成するには、次の手順を実行します。

1. Webサービスが信頼するSTSを決定し、そのSTSの公開証明書をOWSMキーストアにインポートします。

2. 必要に応じて、「SAML署名証明書の信頼できる発行者および信頼できる識別名リストの理解」の説明に従って、信頼できるSTSリストにSTSの識別名を追加します。

3. SAML HOK対称を使用する場合は、WebサービスおよびWebサービスの証明書のエントリをSTS構成に追加する必要があります。STSは、この証明書を使用して対称鍵を暗号化します。

4. sts_trust_config_service_policyポリシーのコピーを作成します。

5. 「ポートURI」設定を編集し、STSのポートURIを追加します。

STSは通常、様々な入出力トークン・タイプの複数のURIポイントを公開しているので、必要なトークンに対応するURIを使用します。

11.7.4.2.2 自動ポリシー構成のためのWebサービス・クライアントの構成

この項では、自動ポリシー構成のWebサービス・クライアントを構成する方法について説明します。

自動ポリシー構成のWebサービス・クライアントを構成するには、次の手順を実行します。

1. Webサービスが必要とするタイプのトークンに応じて、Webサービス・クライアントに発行トークン・ポリシーをアタッチします。

事前定義された次の発行済トークン・ポリシーが提供されています。

- SAML HOKではoracle/wss11_sts_issued_saml_hok_with_message_protection_client_policy。

- SAMLベアラーではoracle/wss_sts_issued_saml_bearer_token_over_ssl_client_policy。

2. ユースケースに応じて、発行済トークン・ポリシーの次のプロパティを設定またはオーバーライドします。これらのプロパティの詳細は、Oracle Web Servicesの事前定義済アサーション・テンプレートを参照してください。

- sts.auth.user.csf.key

- sts.auth.x509.csf.key

- sts.keystore.recipient.alias

- sts.auth.keytab.location

- sts.auth.caller.principal.name

- sts.auth.service.principal.name

- sts.auth.on.behalf.of.csf.key

- on.behalf.of

sts.keystore.recipient.aliasは、メッセージ保護のためにSTS通信のクライアントにより使用されます。STS通信のクライアントがwss11メッセージ保護を使用している場合には、十分なものです。

ただし、wss10メッセージ保護を使用している場合、クライアントの署名鍵および暗号化鍵を追加設定した後、これらの鍵に対する信頼をSTS構成にインポートする必要があります。

3. STSの公開証明書および資格証明がキーストア内にあり、クライアントの公開鍵がSTSキーストア内で使用可能であることを確認します。この方法の詳細は、「メッセージ保護に関するキーストアの構成の概要」を参照してください。

11.7.4.2.3 自動ポリシー構成のためのWebサービスの構成

この項では、自動ポリシー構成のWebサービスを構成する方法について説明します。

自動ポリシー構成のWebサービスを構成するには、次の手順を実行します。

1. 編集したsts_trust_config_service_policyをWebサービスにアタッチします。

注意:

sts_trust_config_service_policyポリシーおよびSTS発行済トークン・サービス・ポリシーの両方をアタッチする必要があります。ポリシーはペアとして動作します。

2. (クライアントにアタッチされたポリシーに対応する)発行済トークンのサービス・ポリシーをアタッチします。事前定義された2つの発行済トークン・ポリシーがあります。

- oracle/wss11_sts_issued_saml_hok_with_message_protection_service_policy - サービスで非対称または対称のSAML HOKを受け入れる場合に使用します。このポリシーに対してSSLを使用しないでください。
その他すべてのwss11メッセージ保護ポリシーの場合と同様に、暗号化鍵を設定する必要があります。

このポリシーでは、いくつかのオプションを変更できます。たとえば、SAML 1.1または2.0のいずれを要求するか、非対称鍵または対称鍵のいずれを要求するかなどです。

- oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_policy - SAMLベアラーが必要な場合に使用します。ただし、SSLでこのポリシーを使用するためにWebサービスを設定する必要があります。
SAML 1.1または2.0のいずれを要求するかを指定できます。

3. 必要に応じて、発行済トークン・サービス・ポリシーでkeystore.enc.csf.keyをオーバーライドします。

4. OWSMキーストアでクライアントの公開鍵が使用可能であることを確認します。

11.7.4.3 Webサービス・クライアントからのSTS構成ポリシーの手動による構成: メイン手順

STSの自動ポリシー構成を設定することにより、WebサービスからSTS構成ポリシーを構成する必要があります。ただし、状況によっては自動ポリシー構成が機能しないため、Webサービス・クライアントから手動で構成する必要があります。

次の状況が該当します。

- WebサービスからSTS構成ポリシーを構成しなかった場合

- SAML送信者保証確認の方法を使用している場合

- JSEクライアントを使用している場合。自動ポリシー構成は、JSEクライアントでは動作しません。

Fusion Middleware Controlを使用してWebサービス・クライアントからSTS構成ポリシーを構成するには、次の手順を実行します。

1. Webサービス・クライアントに両方のWebサービス・クライアントおよび構成ポリシーをアタッチします。ポリシーは次の順序でアタッチする必要があります。

- STS信頼構成ポリシー(oracle/sts_trust_config_client_policy)

- 発行済トークン・クライアント・ポリシー

注意:
sts_trust_config_client_policyの複数のインスタンスをアタッチした場合に、エラーは生成されません。しかし、実行されるのは1つのインスタンスのみであり、それをどのインスタンスにするかを制御できません。

2. ユース・ケースに応じて、次のプロパティをオーバーライドします。これらのプロパティの詳細は、Oracle Web Servicesの事前定義済アサーション・テンプレートを参照してください。

- BindingProvider.USERNAME_PROPERTY(javax.xml.ws.security.auth.username)

- BindingProvider.PASSWORD_PROPERTY(javax.xml.ws.security.auth.password)

- oracle.wsm.security.util.SecurityConstants.ClientConstants.ATTESTING_MAPPING_ATTRIBUTE

- oracle.wsm.security.util.SecurityConstants.ClientConstants.CALLER_PRINCIPAL_NAME

- oracle.wsm.security.util.SecurityConstants.ClientConstants.ON_BEHALF_OF

- oracle.wsm.security.util.SecurityConstants.ClientConstants.SAML_AUDIENCE_URI

- oracle.wsm.security.util.SecurityConstants.ClientConstants.STS_KEYSTORE_RECIPIENT_ALIAS

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_INCLUDE_USER_ROLES

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_ISSUED_TOKEN_LIFETIME

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_PASSWORD_PROPERTY

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_SAML_ASSERTION_FILE_NAME

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_STS_AUTH_ON_BEHALF_OF_CSF_KEY

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_STS_AUTH_USER_CSF_KEY

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_STS_AUTH_X509_CSF_KEY

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_SUBJECT_PRECEDENCE

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_USERNAME_PROPERTY

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_CSF_KEY

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_ENC_KEY_ALIAS

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_ENC_KEY_PASSWORD

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_KERBEROS_SERVICE_PRINCIPAL

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_KEYSTORE_LOCATION

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_KEYSTORE_PASSWORD

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_KEYSTORE_TYPE

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_RECIPIENT_KEY_ALIAS

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_SAML_ISSUER_NAME

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_SIG_KEY_ALIAS

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSS_SIG_KEY_PASSWORD

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_WSDL_URI

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_PORT_URI

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_PORT_ENDPOINT

- oracle.wsm.security.util.SecurityConstants.ClientConstants.WSM_POLICY_REFERENCE_URI

3. 変更を保存します。

11.7.5 Web Services Federationの構成について

Web Services FederationのWebサービス、Webサービス・クライアントおよびSTSを構成する必要があります。

次の各項では、Web Services FederationのWebサービス、Webサービス・クライアントおよびSTSの構成方法について説明します。

- Web Services FederationのWebサービスの構成

- Web Services FederationのWebクライアントの構成について

- Web Services FederationのSTSの構成

11.7.5.1 Web Services FederationのWebサービスの構成

この項では、Web Services FederationのWebサービスを構成する方法について説明します。

次の手順を実行します。

1. 必要な発行済トークン・サービス・ポリシーをサービスにアタッチします。OWSMは次の事前定義済ポリシーを提供します。

- oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_policy

- oracle/wss11_sts_issued_saml_hok_with_message_protection_service_policy

2. オプションで、oracle/sts_trust_config_service_policyポリシーをアタッチして、それをRP-STSを参照するように構成します。このポリシーをアタッチおよび構成することにより、RP-STSの自動ポリシー構成が可能になり、Webサービス・クライアントがRP-STSに対してoracle/sts_trust_config_client_policyポリシーをアタッチする必要性を回避するためのサービスを使用できるようになります。詳細は、「STSの自動ポリシー構成の設定」を参照してください。

3. RP-STSの署名証明書をOWSMキーストアにインポートします。

4. 必要に応じて、「SAML署名証明書の信頼できる発行者および信頼できる識別名リストの理解」の説明に従って、信頼できる発行者および信頼できるDNとしてRP-STSを定義します。

11.7.5.2 Web Services FederationのWebクライアントの構成について

Web Services FederationのWebクライアントの構成方法は、発行者情報がWebサービス用のWSDLかRP-STS用のWSDLで提供されるかどうかによって異なります。

次のシナリオで構成されています。

- 発行者がサービスWSDL内に存在し、RP-STS WSDL内に存在しない場合のWebクライアントの構成

- 発行者がサービスWSDL内に存在せず、RP-STS WSDL内に存在しない場合のWebクライアントの構成

- 発行者がサービスWSDL内に存在し、RP-STS WSDL内にも存在する場合のWebクライアントの構成

- 発行者がサービスWSDL内に存在せず、RP-STS WSDL内に存在する場合のWebクライアントの構成

11.7.5.2.1 発行者がサービスWSDL内に存在し、RP-STS WSDL内に存在しない場合のWebクライアントの構成

これは最も一般的なユースケースで、WebサービスがRP-STSの自動ポリシー構成用に構成される場合のユースケースです。

このユースケースでは、次の手順を実行して、Webクライアントを構成します。

1. Webポリシーにアタッチする発行済トークン・サービス・ポリシーに対応する発行済トークン・クライアント・ポリシーをアタッチして、それをWebサービスを参照するように構成します。また、メッセージ保護ポリシーを使用している場合は、sts.keystore.recipient.alias構成プロパティをRP-STSの証明書別別名に設定します。SSLポリシーを使用している場合は、このプロパティを設定しないでください。

2. oracle/sts_trust_config_client_policyポリシーをアタッチして、それをIP-STSを参照するように構成します。

11.7.5.2.2 発行者がサービスWSDL内に存在せず、RP-STS WSDL内にも存在しない場合のWebクライアントの構成

これは、RP-STSの自動ポリシー構成に対してWebサービスが構成されていない場合のあまり一般的ではないユースケースです。

このユースケースでは、次の手順を実行して、Webクライアントを構成します。

1. Webポリシーにアタッチする発行済トークン・サービス・ポリシーに対応する発行済トークン・クライアント・ポリシーをアタッチして、それをWebサービスを参照するように構成します。また、sts.in.order構成プロパティをRP-STSのエンドポイントURIとそれに続くIP-STSのエンドポイントURIに設定します。2つのURIはセミコロン(;)で区切ります。次に例を示します。

http://m2.example.com:14100/sts/wssbearer;
http://http://m1.example.com/adfs/services/trust/13/usernamemixed

2. oracle/sts_trust_config_client_policyポリシーをアタッチして、それをIP-STSを参照するように構成します。

3. oracle/sts_trust_config_client_policyポリシーをアタッチして、それをRP-STSを参照するように構成します。

11.7.5.2.3 発行者がサービスWSDL内に存在し、RP-STS WSDL内にも存在する場合のWebクライアントの構成

これはまれなユースケースで、WebサービスがRP-STSの自動ポリシー構成用に構成される場合のユースケースです。

このユースケースでは、次の手順を実行して、Webクライアントを構成します。

1. Webポリシーにアタッチする発行済トークン・サービス・ポリシーに対応する発行済トークン・クライアント・ポリシーをアタッチして、それをWebサービスを参照するように構成します。また、メッセージ保護ポリシーを使用している場合は、sts.keystore.recipient.alias構成プロパティをRP-STSの証明書別別名に設定します。SSLポリシーを使用している場合は、このプロパティを設定しないでください。

2. oracle/sts_trust_config_client_policyポリシーをアタッチして、それをIP-STSを参照するように構成します。

11.7.5.2.4 発行者がサービスWSDL内に存在せず、RP-STS WSDL内に存在する場合のWebクライアントの構成

これはまれなユースケースです。

このユースケースでは、次の手順を実行して、Webクライアントを構成します。

1. Webポリシーにアタッチする発行済トークン・サービス・ポリシーに対応する発行済トークン・クライアント・ポリシーをアタッチして、それをWebサービスを参照するように構成します。また、メッセージ保護ポリシーを使用している場合は、sts.in.order構成プロパティをRP-STSのエンドポイントURIとそれに続くIP-STSのエンドポイントURIに設定します。SSLポリシーを使用している場合は、このプロパティを設定しないでください。

2. メッセージ保護ポリシーを使用している場合は、oracle/sts_trust_config_client_policyポリシーをアタッチして、それをIP-STSを参照するように構成します。SSLポリシーを使用している場合は、この手順を実行しないでください。

3. oracle/sts_trust_config_client_policyポリシーをアタッチして、それをRP-STSを参照するように構成します。

11.7.5.3 Web Services FederationのSTSの構成

この項では、Web Services FederationのSTSを構成する方法について説明します。

RP-STSまたはIP-STSとしてSTSを構成する次の手順は、一般的で大まかな手順です。詳細は、特定のSTSのマニュアルを参照してください。Oracle STSについては、http://www.oracle.com/technetwork/middleware/id-mgmt/overview/oraclests-166231.htmlを参照してください。

Microsoft ADFS 2.0 STSについては、http://technet.microsoft.com/en-us/library/adfs2(v=ws.10).aspxを参照してください。

Web Services Federation用にRP-STSを構成するには、これらの手順を実行するためにRP-STSの管理インタフェースを使用します。

1. Webサービスをリライイング・パーティとして追加します。

2. 信頼できるIDプロバイダとしてIP-STSを追加します。

Oracle STSでは、信頼できるIDプロバイダは発行局と呼ばれます。

Microsoft ADFS 2.0 STSは、信頼できるIDプロバイダはクレーム・プロバイダと呼ばれます。

Web Services FederationのIP-STSを構成するには、これらの手順を実行するためのIP-STSの管理インタフェースを使用します。

- RP-STSをリライイング・パーティとして追加します。

11.7.6 発行済トークンとしてのSAML鍵所有者およびSAMLベアラーの概要

一般に、STSはSAMLアサーションのトークンを返します。

STSは、一般にSAMLアサーションの次のいずれかのトークンを返します。

- SAML対称鍵所有者。STSによって返されるSAMLアサーションは、自身のクライアント・トークン(ユーザー名トークン、Kerberos、X509など)をSTSに送信した特定のクライアントのみが対象になります。
ローグ・クライアントがこのSAMLアサーションを盗難し、使用することを許すべきではありません。このために、対称または非対称のいずれかの「証明鍵」を使用できます。

対称証明鍵は、SAML HOKのみの証明鍵の決定で説明されているように、STS側、クライアント側またはその両側の入力から生成されます。

STSは、Webサービスのみが復号化できる暗号化された形式でSAML HOKアサーションにこの対称証明鍵を格納します。次に、(暗号化された証明鍵を含む)SAMLアサーション全体に署名し、それをクライアントに送信します。

また、クライアントがサーバーにこのSAMLアサーションを送信する場合は、この証明鍵による署名も必要になります。Webサービスは、まずSAMLアサーションのSTS署名を検証し、SAMLアサーションから証明鍵を抽出した後に復号化し、クライアントの署名を検証します。このクライアントの署名は、クライアントが証明鍵を持つことをサーバーに「証明」します。

この証明鍵はクリア・テキストで送信されないので、ローグ・クライアントがネットワーク・スニッフィングによって取得することはできません。ローグ・クライアントがネットワーク・スニッフィングによってSAMLアサーションを取得しても、証明鍵を持たず、証明鍵で署名できないので、利用することはできません。したがって、ローグ・クライアントはSAMLアサーションの使用が許可されていることをサーバーに証明できません。

- SAML非対称鍵所有者。非対称証明鍵は、次のように動作します。

1. クライアントは公開鍵/秘密鍵ペアを生成します。

2. クライアントは秘密鍵を保存し、そのトークン(ユーザー名トークン、Kerberos、X509など)とともに公開鍵を安全にSTSに送信します。

3. STSはクライアントのトークンを検証し、公開鍵を含むSAMLアサーションを返します。(公開鍵を含む)SAMLアサーション全体がSTSによって署名され、クライアントに返されます。

4. 次に、クライアントはSAML HOK非対称アサーションをWebサービスに送信し、その公開鍵/秘密鍵ペアの秘密鍵により署名します。

5. Webサービスは、SAMLアサーションのSTSの署名を検証した後、SAMLアサーションから公開鍵を抽出し、その公開鍵を使用してクライアントの署名を検証します。
このクライアントの署名は、SAMLアサーションが正しく使用されており、盗難およびリプレイされていないことをWebサービスに証明します。

注意:

SAML HOK対称鍵の場合とは異なり、SAML HOK内のこの公開鍵は暗号化されません。これによって、STS側で必要な構成が軽減されます。

SAML HOK対称の場合、Webサービスの対称鍵を暗号化できるように、各Webサービスの証明書によりSTSを構成する必要があります。これは、非対称SAML HOKでは必要ありません。

また、特定のWebサービスの鍵により暗号化されないので、同じSAML HOK非対称トークンを任意のWebサービスに送信できます。

注意:

公開鍵/秘密鍵ペアが存在しても、関連する証明書はありません。つまり、証明書のリクエストのために公開鍵が認証局に送信されることはありません。

その代りに、STSはCAと同様に動作します。CAは公開鍵を取得し、証明書を返します。この場合、STSは公開鍵を取得し、SAMLアサーションを返します。

ただし、存続期間が通常は数年にわたる証明書とは異なり、STSによって発行されるSAMLアサーションの存続期間は通常は数時間であり、その後クライアントは新しい鍵ペアを生成し、新しいSAMLアサーションをリクエストする必要があります。

この短い存続期間のために、証明書で必要になる失効チェックは不要です。これは、クライアントの鍵を管理する必要がないので、クライアント側で魅力的になります。

- SAMLベアラー。SAMLベアラー鍵には、関連付けられた証明鍵はありません。したがって、ローグ・クライアントによる盗難およびリプレイを防止するために、SSL経由で使用する必要があります。

11.7.6.1 SAML HOKのみの証明鍵の決定

SAML鍵所有者(HOK)にとっては、クライアントとWebサービス間の通信を保護するために証明鍵が必要です。証明鍵は、リクエストされたセキュリティ・トークンに関連付けられたトークンを所有していることを証明します。

<sp:IssuedToken>ポリシー・アサーションの<key-type>エントリのoracle/wss11_sts_issued_saml_hok_with_message_protection_service_policyポリシーで、証明鍵タイプの要件を指定します。次に例を示します。

<orasp:request-security-token-templateorasp:key-type = "Symmetric"

または

orasp:key-type = "Public"

対称鍵および非対称鍵がサポートされます。また、証明鍵がなくてもかまいません(非定義)。

こうした<key-type>の可能な値は、WS-Trust 1.3仕様に含まれています。

- http://docs.oasis-open.org/ws-sx/ws-trust/200512/PublicKey

- http://docs.oasis-open.org/ws-sx/ws-trust/200512/SymmetricKey

この項では、次の項目について説明します。

- 対称証明鍵について

- 非対称証明鍵について

11.7.6.1.1 対称証明鍵について

Webサービスのセキュリティ・ポリシーによって対称証明鍵が求められる場合、要求者は証明鍵の計算に含めることができる鍵の内容の一部(エントロピ)を渡すことができます。Webサービス・ポリシーでは、クライアント・エントロピ、STSエントロピ、またはその両方が必要であるかどうかを示すことができます。

ただし、証明鍵として何を使用するかはSTSが判断します。STSは、トークン・リクエストの処理時に次のことを実行できます。

- 証明鍵の単独鍵の内容としてクライアント・エントロピを受け入れます。この場合、RSTR内に<wst:RequestedProofToken>要素は存在しません。証明鍵は暗黙に示されます。
OWSMエージェントは、署名および暗号化のための鍵の内容としてクライアント・エントロピを使用します。

- 鍵の部分的内容としてクライアント・エントロピを受け入れ、両鍵の部分的内容の関数として証明鍵を計算するために、鍵の部分的内容として追加STSサーバー側エントロピを提示します。
STSにより提供されたエントロピを含む<wst:Entropy>要素がRSTR内に存在します。また、RSTRには<wst:RequestedProofToken>要素があり、この要素には計算鍵のメカニズムが含まれます。アルゴリズムのデフォルト値は、http://docs.oasis-open.org/ws-sx/ws-trust/200512/CK/PSHA1です。

OWSMエージェントおよびSTSは、指定された計算鍵メカニズムを使用して両方のエントロピを組み合せることにより、証明鍵を計算します。

- クライアント側エントロピを拒否し、単独鍵の内容としてSTSサーバー側エントロピを証明鍵に使用します。
証明鍵を含む<wst:RequestedProofToken>要素がRSTR内に存在します。OWSMエージェントは、署名および暗号化のための鍵の内容としてSTSエントロピを使用します。

11.7.6.1.2 非対称証明鍵について

非対称証明鍵は秘密鍵/公開鍵ペアを使用し、公開鍵と秘密鍵が異なるために「非対称」と呼ばれています。

非対称鍵のトークンをリクエストする場合、URIとしてhttp://docs.oasis-open.org/ws-sx/ws-trust/200512/PublicKeyを含むwst:KeyType要素がRSTに存在します。

11.7.7 発行済トークンとしてのSAML送信者保証の理解

STSは一般に、SAML HOKまたはSAMLベアラー・トークンを返します。ただし、STSはSAML送信者保証トークンを返す場合もあります。

SAML送信者保証の信頼モデルは完全に異なります。HOKおよびベアラー内で、SAMLアサーションがSTSによって発行され、STSによって署名されます。この場合、Webサービスはクライアントを直接信頼せず、STSを信頼します。WebサービスがHOKまたはベアラーのトークンを受信した場合、信頼できるSTSに対して署名を検証します。

この間接的な信頼モデルにより、トラスト・ストアの管理が大幅に単純化されます。つまり、5つのクライアントがメッセージ保護を使用して5つのWebサービスと通信する場合、各Webサービスは5つのクライアントの公開鍵を認識する必要があります。ただし、中間にSTSが存在する場合、WebサービスはSTSの公開鍵のみを認識するだけで済みます。

SAML送信者保証では、Webサービスはクライアントを直接信頼します。SAML送信者保証トークンは一般的に、クライアントによって直接生成され、クライアントの秘密鍵によって署名されます。ただしクライアントは、トークンを生成するようにSTSに要求できます。この場合、STSはSAMLアサーションに署名せず、そのままクライアントに返します。クライアントは、前述と同様にSAML送信者保証トークンに署名し、それをWebサービスに送信します。Webサービスは、クライアントがSTSからSAML送信者保証トークンを取得したことを認識しておらず、クライアントの署名をチェックします。

WS-TrustでSAML送信者保証を設定するには、発行済トークン・ポリシーを含めないでWebサービスを構成します。つまり、oracle/wss11_saml_token_with_message_protection_service_policyポリシーを使用します。

発行済トークン・ポリシーを使用してクライアントを構成します。SAML送信者保証用に想定されているoracle/wss11_sts_issued_saml_with_message_protection_client_policyに加えて、STS構成ポリシーも使用します。

WebサービスWSDLにはSTSに関する情報が含まれないので、SAML送信者保証に自動ポリシー構成機能は使用できません(「STSの自動ポリシー構成の設定」を参照してください)。

11.7.8 On Behalf Ofユースケースの概要

「On Behalf Of」は、Webサービス・クライアントが別のエンティティにかわってSTSトークンをリクエストするアイデンティティ伝播ユースケースです。

次の使用例を考えてみます。

1. Webサービス・クライアントは、別のエンティティのトークンを取得するためにSTSを起動します。このエンティティは、エンド・ユーザーまたはその他の外部エンティティでもかまいません。エンティティの資格証明は、onBehalfOf要素のRSTに含まれます。

2. STSは、Webサービス・クライアントによって提示された資格証明を検証し、onBehalfOf要素内で識別済エンティティのセキュリティ・トークンを発行します。

3. Webサービス・クライアントはRSTRを検証し、トークンを抽出し、Webサービスに渡します。

4. Webサービスは、エンド・ユーザーのSAMLアサーションを受信し、トークンが信頼できるSTSによって発行されたことを確認します。

「On Behalf Of」ユースケースは、Oracle Web Services Managerの事前定義済アサーション・テンプレートに記載されているsts.auth.on.behalf.of.csf.keyプロパティおよびon.behalf.ofプロパティに依存します。サブジェクトから「On Behalf Of」ユーザー名が取得された場合、パスワードを持たないユーザー名です。

sts.auth.on.behalf.of.csf.keyで「On Behalf Of」ユーザー・エンティティのCSF鍵が識別された場合、CSF鍵を使用して確立されたアイデンティティが他のエンティティに代わって送信されます。この場合は、パスワードを持つユーザー名またはパスワードを持たないユーザー名です。

11.7.9 WS-Trustクライアント・ポリシーのプログラムによるポリシー構成オーバーライド

プログラムによる構成のオーバーライドを利用して特定のポリシーのプロパティを設定できます。

表5-1に、プログラムによる構成のオーバーライドを利用して特定のポリシーに設定できるプロパティを示します。

次のリストは、STSプロパティをプログラムによってオーバーライドする方法を示す一連のサンプル・ユースケースを示しています。

トークン交換ユーザー名トークン - 対称証明鍵によるSAML

(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_USER_CSF_KEY, "my-user-csf-key");
(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_X509_CSF_KEY, "my-x509-csf-key");

トークン交換x509トークン - 対称証明鍵によるSAML

(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_X509_CSF_KEY, "my-x509-csf-key");

トークン交換ユーザー名トークン - 非対称証明鍵によるSAML

(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_USER_CSF_KEY, "my-user-csf-key");
(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_X509_CSF_KEY, "my-x509-csf-key");

トークン交換x509トークン - 非対称証明鍵によるSAML

(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_X509_CSF_KEY, "my-x509-csf-key");

サブジェクトからのOn Behalf Ofユーザー名と要求者トークン・ユーザー名のOn Behalf Ofトークンの交換 - 対称証明鍵によるSAML

(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_USER_CSF_KEY, "my-user-csf-key");

on.behalf.ofをtrueに設定する必要があります。

On Behalf Ofユーザー名と要求者トークン・ユーザー名のOn Behalf Ofトークンの交換 - 対称証明鍵によるSAML

(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_ON_BEHALF_OF_CSF_KEY, "my-on-behalf-of-csf-key");
(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_X509_CSF_KEY, "my-x509-csf-key");

on.behalf.ofをtrueに設定する必要があります。

On Behalf Ofユーザー名と要求者トークンx509のOn Behalf Ofトークンの交換 - 対称証明鍵によるSAML

(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_ON_BEHALF_OF_CSF_KEY, "my-on-behalf-of-csf-key");
(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_X509_CSF_KEY, "my-x509-csf-key");

on.behalf.ofをtrueに設定する必要があります。

サブジェクトからのOn Behalf Ofユーザー名と要求者トークン・ユーザー名のOn Behalf Ofトークンの交換 - 非対称証明鍵によるSAML

(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_USER_CSF_KEY, "my-user-csf-key");

on.behalf.ofをtrueに設定する必要があります。

On Behalf Ofユーザー名と要求者トークン・ユーザー名のOn Behalf Ofトークンの交換 - 非対称証明鍵によるSAML

(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_ON_BEHALF_OF_CSF_KEY, "my-on-behalf-of-csf-key");
(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_USER_CSF_KEY, "my-user-csf-key");

on.behalf.ofをtrueに設定する必要があります。

On Behalf Ofユーザー名と要求者トークンx509のOn Behalf Ofトークンの交換 - 非対称証明鍵によるSAML

(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_ON_BEHALF_OF_CSF_KEY, "my-on-behalf-of-csf-key");
(BindingProvider)port).getRequestContext().put(SecurityConstants.ClientConstants.WSM_STS_AUTH_X509_CSF_KEY, "my-x509-csf-key");

on.behalf.ofをtrueに設定する必要があります。

12 Oracle Web Services Managerを使用したセキュア通信の構成

この章では、OWSMによるWeb Services Trust (WS-Trust 1.3)およびWeb Services Secure Conversation (WS-SecureConversation 1.3)仕様の実装について説明します。これらはともにWebサービスとそのクライアント間のセキュアな通信を提供します。WS-SecureConversationを使用すると、Webサービスのパフォーマンスとセキュリティを向上できます。

この章の内容は次のとおりです。

- Webサービス・セキュア通信の言語仕様の概要

- セキュア通信の構成について

- 設計時のセキュア通信ポリシーのアタッチ

- 永続性の構成について

- セキュア通信セッションの理解

12.1 Webサービス・セキュア通信の言語仕様の概要

Web Services Secure Conversation Language (WS-SecureConversation)仕様では、Web Services Security (WS-Security) 1.1、1.0およびWeb Services Trust Language (WS-Trust)に基づく拡張が定義されています。これらの拡張により、1つ以上のメッセージにまたがる通信を保護できます。この仕様では、セキュリティ・コンテキストを確立および共有し、そのセキュリティ・コンテキスト(または共有秘密)からキーを派生させるためのメカニズムが定義されています。

仕様ドキュメントへのリンク: http://docs.oasis-open.org/ws-sx/ws-secureconversation/v1.4/os/ws-secureconversation-1.4-spec-os.doc

WS-SecureConversationの特に重要な用途は、『Oracle Web Services Managerの理解』のWS-ReliableMessagingとWS-SecureConversationの使用に関する項で説明するように、WS-ReliableMessaging (WS-RM)ポリシーのセキュリティを提供することです。WS-SecureConversationポリシーとWS-RMポリシーの両方をアタッチすると、WS-RMポリシーはセキュア通信の使用による利点を得て、シーケンス攻撃を回避できます。

WS-RMポリシーを使用して、または使用しないで、非同期WebサービスにWS-SecureConversationポリシーをアタッチすることもできます。次の組合せが可能です。

- WS-RMポリシーおよびWS-SecureConversationポリシー

- 非同期Webサービス、WS-RMポリシーおよびWS-SecureConversationポリシー

セキュア通信およびそれを使用する必要がある場合の詳細は、『Oracle Web Services Managerの理解』のセキュア通信の概要に関する項を参照してください。

12.2 セキュア通信の構成について

多くの場合、ポリシーの作成とセキュア通信の有効化以外にWS-SecureConversation固有の構成を実行する必要はありません。

「WS-SecureConversationをサポートするOWSMポリシー」で説明される事前定義済WS-SecureConversationポリシーを使用する場合は、WS-SecureConversationがすでに有効になっています。必要とされる他の構成のすべてがWS-SecureConversationを使用しないポリシーと同じです。

WS-SecureConversationを構成する場合、Webサービスおよびクライアント・ポリシーの両方に対して構成する必要があります。これは、OWSMクライアントおよびサーバー・エージェントがハンドシェイク・プロセスに参加し、通信を保護するために使用されるSecurity Context Token (SCT)を確立するためです。OWSMクライアントはRST (リクエスト・セキュリティ・トークン)をサービスに送信し、その後そのサービスがSCTを含むRSTR (リクエスト・セキュリティ・トークン・レスポンス)を返します。

「WS-SecureConversationをサポートするOWSMポリシー」で説明されるOWSMセキュリティ・ポリシーには、そのポリシーのWS-SecureConversationを有効化および構成することが可能な構成設定が含まれています。これらの事前定義済ポリシーを使用するとセキュリティ・タスクを簡単に表示および管理できるようになることがわかります。

また、多数の事前定義済アサーション・テンプレートに基づいたポリシーはWS-SecureConversationもサポートしています。詳細は、Oracle Web Services Managerの事前定義済アサーション・テンプレートを参照してください。

この項では、次の項目について説明します。

- Fusion Middleware Controlを使用したセキュア通信の構成

- WLSTを使用したセキュア通信の構成

12.2.1 Fusion Middleware Controlを使用したセキュア通信の構成

このトピックでは、Fusion Middleware Controlを使用してWS-SecureConversationを構成するために実行する必要がある手順について説明します。

WS-SecureConversationを構成するには:

1. 「Fusion Middleware Controlを使用したドメインのセキュア通信の構成」の説明に従って、必要に応じて、ドメイン・レベルでWS-Secure通信を構成します。デフォルトでニーズが満たさない場合のみこれを実行する必要があります。

2. コンテンツ・ペインで、「WebLogicドメイン」→「Webサービス」→「ポリシー」の順にクリックします。

3. 「WS-SecureConversationをサポートするOWSMポリシー」のリストから事前構成済WS-SecureConversationポリシーのいずれか、またはWS-SecureConversationを有効にする別のセキュリティ・ポリシーを選択して、コピーを作成します。

4. ポリシーのクローンを編集します。

5. 「アサーション」タブを選択します。

6. ページの「セキュア通信」セクションにスクロールします。

事前定義済WS-SecureConversationポリシーの場合、セキュアな通信がデフォルトで有効になっています。その他すべてのポリシーで、セキュア通信はデフォルトで無効になります。

7. デフォルト設定を変更せずにこのポリシーのセキュア通信を単純に有効化する場合は、「有効」→「保存」の順にクリックして変更を完了します。

8. 次の追加コントロールも使用できます。デフォルト設定は、ポリシーのタイプによって異なります。

- バージョン。OWSMでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

- 再認証

- クライアント・エントロピ

- 導出キー

- サーバー・エントロピ

9. 次の「ブートストラップ・メッセージ・セキュリティ」オプションを使用できます。

- アプリケーション設定から継承。これがデフォルトで、内部ポリシーのメッセージ・セキュリティ設定は、外部ポリシーから導出されます。

- 独立した設定を使用。
選択された場合、「アルゴリズム・スイート」、「署名の暗号化」、「署名の確認」および「タイムスタンプを含める」のオプションが使用できます。

10. 「構成」をクリックします。

「構成」ページには、ポリシーの構成プロパティのリストが表示されます。

sc.token.lifetimeプロパティにより、セキュア通信セッションが無効になるまでのデフォルト時間をミリ秒で指定します。通信セッションの存続期間中は、このセキュリティ・コンテキストがクライアントとWebサービスによって共有されます。この時間が経過すると、SCTは時間切れとなります。

この値を明示的に設定しなかった場合、「Fusion Middleware Controlを使用したドメインのセキュア通信の構成」で説明されているように、ドメイン全体の設定が適用されます。

11. このポリシーがまだWebサービスにアタッチされていない場合は、Webサービスを管理および保護するためのポリシーのアタッチの説明に従ってアタッチしてください。

12.2.2 WLSTを使用したセキュア通信の構成

WSLTを使用してWS-SecureConversationを構成できます。

WS-SecureConversationを構成するには:

1. 『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項の説明に従って、WebLogic Serverの実行中のインスタンスに接続します。

2. 「WLSTを使用したポリシーを直接アタッチする」で説明するように、beginWSMSessionコマンドを使用してセッションを開始します。次に例を示します。

wls:/wls_domain/serverConfig> beginWSMSession()

Session started for modification.

3. 使用するポリシー・サブジェクトを選択します。「WLSTを使用したポリシー・サブジェクトの識別と選択」を参照してください。

4. 「WLSTを使用したポリシーを直接アタッチする」で説明するように、attachWSMPolicyコマンドを使用して、Webサービス・ポートにセキュア通信ポリシーをアタッチします。次に例を示します。

wls:/wls_domain/serverConfig> attachWSMPolicy('oracle/wss_username_token_over_ssl_wssc_client_policy')

Policy reference "oracle/wss_username_token_over_ssl_wssc_client_policy" added.

5. 「WLSTを使用した直接アタッチされたサービス・ポリシーの構成プロパティのオーバーライド」で説明されているように、setWSMPolicyOverrideコマンドを使用して、ポリシー・プロパティをオーバーライドします。

setWSMPolicyOverride(policyURI, property, value)

6. commitWSMSession()コマンドを使用して、リポジトリに対して、現在のセッションのコンテンツの書込みを行います。

WLSTコマンドおよびその引数の詳細は、『WebLogic Server WLSTコマンド・リファレンス』のWebサービスのカスタムWLSTコマンドに関する項を参照してください。

12.3 設計時のセキュア通信ポリシーのアタッチ

設計時に、注釈APIを使用してWS-SecureConversationポリシーをアタッチできます。

このAPIについては、設計時におけるWebサービスおよびクライアントへのポリシーのアタッチの理解で説明されています。

次の例は、oracle/wss11_username_token_with_message_protection_wssc_service_policyポリシーのみをポリシー・セットにアタッチしています。

@PortableWebService
@oracle.webservices.annotations.SecurityPolicy(
"oracle/wss11_username_token_with_message_protection_wssc_service_policy")

public class TestService {

...... }

@PortableWebService
@PolicySet(references=
{@PolicyReference(value="oracle/wss11_username_token_with_message_protection_wssc_service_policy"),
@PolicyReference(value="oracle/wsrm11_policy")
})

public class TestService {

...... }

12.4 永続性の構成について

各クライアントおよびWebサービスでは、1つ以上(ポートごとに1つ)の永続性プロバイダを指定できます。Coherenceプロバイダまたはメモリー内プロバイダのいずれかの指定が可能です。

詳細は、Oracle Web Services Managerの理解の永続性に関する項を参照してください。

この項では、次の項目について説明します。

- 永続性の概要

- Webサービスの永続性の構成

- クライアントの永続性の構成

12.4.1 永続性の概要

Coherence永続性プロバイダがWebLogic Serverで実行されている場合は、このプロバイダが、Webサービス・クライアントとWebサービスの両方に対してデフォルトになります。それ以外の場合は、メモリー内プロバイダがデフォルトになります。

注意:

Oracle Infrastructure Webサービスおよびクライアントに対してのみ、この項で説明されているように永続性を構成できます。

WebLogic (Java EE) Webサービスの場合は、『Oracle WebLogic Server JAX-WS Webサービスの高度な機能のプログラミング』のWebサービス永続性の構成に関する項に従って、永続性を構成します。

次の構成ルールが適用されます。

- デフォルトで、クライアントがWebLogic Serverで実行している場合はCoherenceプロバイダを使用し、それ以外の場合は、メモリー内プロバイダを使用します。WebLogic Serverにデプロイされる場合、WebサービスはCoherenceプロバイダを使用します。それ以外の場合は、メモリー内プロバイダを使用します。

- サービス品質要件で示すように、Webサービスに対してある永続性メカニズム(ポートごと)を指定し、クライアントに対しては別のメカニズムを指定できます。構成が同じではない場合があるため、クライアントとWebサービスが同じproviderNameタイプを使用する必要はありません。

- 選択したメカニズムにかかわらず、providerNameが空の場合、使用可能な場合はoracle:jrf:Coherenceが使用され、それ以外の場合はoracle:jrf:Memoryが使用されます。

- oracle:jrf:Coherenceを明示的に設定していて、使用できない場合、エラーが戻されます。

永続性を構成するには、次のメカニズムのいずれかを使用できます。それぞれの場合において、providerNameのみを指定します。これは、oracle:jrf:Memoryまたはoracle:jrf:Coherenceのみ指定できます。

12.4.2 Webサービスの永続性の構成

このトピックでは、Webサービスの永続性の構成方法について説明します。

- 「@Persistence」で説明され、次の例に示すように、設計時にWebサービスに@Persistenceポリシー注釈を使用します。

@PortableWebService
@SecurityPolicy("oracle/wss11_username_token_with_message_protection_wssc_service_policy")
@Persistence(providerName="oracle:jrf:Coherence")

public class TestService {
......
}

- 設計時におけるWebサービスおよびクライアントへのポリシーのアタッチの理解で説明され、次の例に示すように、設計時にWebサービスに@PolicyReferenceポリシー注釈を使用します。

@PortableWebService
@SecurityPolicy("oracle/wss11_username_token_with_message_protection_wssc_service_policy")
@PolicySet(references={
@PolicyReference(value="oracle/wss11_username_token_with_message_protection_wssc_service_policy"),
@PolicyReference(value="oracle/persistence_policy")
})

public class TestService {
......
}

- 「Fusion Middleware Controlを使用したWebサービスおよびクライアントへのポリシーのアタッチについて」および「WLSTを使用したWebサービスおよびクライアントへのポリシーのアタッチについて」で説明されているように、デプロイ後にFusion Middleware ControlまたはWLSTを使用してoracle/persistence_policyをアタッチし、providerName属性を設定します。

12.4.3 クライアントの永続性の構成

このトピックでは、クライアントの永続性の構成方法について説明します。

- 次の例に示すように、設計時にクライアントにpolicy-reference要素を使用し、provider.nameプロパティを設定します。

String configString =
"<port-info>\n" +
" <policy-references>\n" +
" <policy-reference uri=\"oracle/wss11_username_token_with_message_protection_wssc_client_policy\" category=\"security\"/>\n" +
" <policy-reference uri=\"oracle/persistence_policy\" category=\"wsconfig\">" +
" <property name=\"provider.name\" value=\"oracle:jrf:Memory\"/>" +
" </policy-reference>" + " </policy-references>\n" + "</port-info>";
// convert configString to Element

((BindingProvider) port).getRequestContext().put(
ClientConstants.CLIENT_CONFIG, configElement);

- 次の例に示すように、設計時にPersistenceFeatureを設定します。

PersistenceFeature persistenceFeature =
PersistenceFeature.builder().providerName("oracle:jrf:Memory").build();

port = service.getPort(new WebServiceFeature[] {persistenceFeature});

- 「Fusion Middleware Controlを使用したWebサービスおよびクライアントへのポリシーのアタッチについて」および「WLSTを使用したWebサービスおよびクライアントへのポリシーのアタッチについて」で説明されているように、デプロイ後にFusion Middleware ControlまたはWLSTを使用してoracle/persistence_policyをアタッチし、providerName属性を設定します。

12.5 セキュア通信セッションの理解

OWSMは、計算されたセッションIDに基づいて、クライアントとサーバーのセキュア通信セッション情報を保持します。OWSM (内部セッション・メカニズムを介して)は実行時にメッセージごとにセッションIDを計算し、1つのセッションに1つ以上のリクエストを関連付けます。

これについては、WS-SecureConversationのアーキテクチャで説明されています。

次の場合、一般的にセッションIDは再利用されます。

- 同じクライアントから後続のリクエストを受信し、セッションIDがまだ解放されていない場合。(セッションIDがすでに解放されている場合は、新規セッションIDが作成されます。)

- sc.token.lifetimeプロパティが期限切れになっていない場合。

セキュア通信セッションIDは一度作成されると、WebLogic Serverインスタンスの起動に使用された規定のJava仮想マシンが停止されるまで、自動的に削除されません。

セッション管理WLSTコマンドでは、次の状況でサーバー上のセッションIDを解放する手段が用意されています。

- サーバーのパフォーマンスに問題が検出され、サーバー上のリソースを解放する場合。

- SCTトークンが期限切れになった場合。getWebServiceSessionInfo()コマンドで表示される有効期限があります。SCTトークンが期限切れになった後は、セッションIDを削除できます。

注意:

セッションのスコープは、現在の永続性プロバイダです。つまり、現在の永続性プロバイダに格納されているセッションIDのみをリスト表示し、削除できます。

OWSMでは、セキュア通信セッションの管理に使用できる次のWLSTコマンドがあります。

注意:

WLSTコマンドが成功するには、ドメイン内のすべてのWebLogic Serverインスタンスが実行されている必要があります。

- listWebServiceSessionNames() - 稼働中のサーバーのインスタンス内で表示可能なすべてのセッションの名前をリストします。返された名前は、getWebServiceSessionInfo(String)およびremoveWebServiceSession(String)コマンドへの以降の呼び出しで名前パラメータとして使用するのに適しています。
次に例を示します。

wls:/base_domain/serverConfig> listWebServiceSessionNames()
215d0d4a5ebbc3fec662f46adedc5bc74ecbc87b

- getWebServiceSessionInfo() - セッション名を渡すと、そのセッションの現在の情報を表すデータ・オブジェクトを取得します。返される情報は次のとおりです。

- 名前

- 作成時間

- 最終更新時間

- 有効期限

- KeyInfo[] ユーザー定義のキーで、KeyInfoはkeyNameおよびkeyValueです。
次に例を示します。

wls:/base_domain/serverConfig>
getWebServiceSessionInfo('215d0d4a5ebbc3fec662f46adedc5bc74ecbc87b')
Name: 215d0d4a5ebbc3fec662f46adedc5bc74ecbc87b
Creation time: Mon Nov 04 17:47:39 PST 2013
Last update time: Mon Nov 04 17:47:42 PST 2013
Expiration time: Mon Nov 04 18:17:41 PST 2013
Key info: [oracle.wsm.security.secconv.util.property.SCT, 0x0000014225F1A1260AE4F30351FD1544DC10ED14201988C8CFEDFDBE8E0E4B09
]

- listWebServiceSessionNamesForKey() - keyNameおよびkeyValueによって識別されるすべてのセッションの名前がリスト表示されます。
返された名前は、getWebServiceSessionInfo(String)およびremoveWebServiceSession(String)コマンドへの以降の呼び出しで名前パラメータとして使用するのに適しています。

次に例を示します。

wls:/base_domain/serverConfig>
listWebServiceSessionNamesForKey('oracle.wsm.security.secconv.util.property.SCT',
'0x0000014225F1A1260AE4F30351FD1544DC10ED14201988C8CFEDFDBE8E0E4B09')
215d0d4a5ebbc3fec662f46adedc5bc74ecbc87b

- removeWebServiceSession() — セッション名を渡すと、そのセッション名に関連づけられたセッション・オブジェクトを削除します。
次に例を示します。

wls:/base_domain/serverConfig>
removeWebServiceSession('215d0d4a5ebbc3fec662f46adedc5bc74ecbc87b')

WLSTコマンドおよびその引数の詳細は、『WebLogic Server WLSTコマンド・リファレンス』のセッション管理WLSTコマンドに関する項を参照してください。

13 ハードウェアとOracle Web Services Managerの統合

SafeNet Luna SAなどのハードウェアをOWSMと統合することで、鍵を安全に格納し、暗号処理の負荷を軽減できます。OWSMとOracle SPARC T5およびSPARC T4暗号化アクセラレーションとの統合によって、T5およびT4プロセッサ・ベースの暗号化機能を使用できるようになります。

OWSMを必要なハードウェアと統合することにより、トランスポート・レイヤーおよびメッセージ・レイヤーの保護ポリシーによって強制された場合など、計算集中型の暗号化操作に依存するシナリオで高パフォーマンスのセキュリティが提供されます。

この章の内容は次のとおりです。

- OWSMでのハードウェア・セキュリティ・モジュールの使用

- Oracle SPARC T5およびOracle SPARC T4暗号化アクセラレーションのためのOWSMの構成について

13.1 OWSMでのハードウェア・セキュリティ・モジュールの使用

ハードウェア・セキュリティ・モジュール(HSM)は、Oracle Advanced Securityで動作することが保証されています。これらのモジュールでは、鍵を安全に格納し、暗号処理の負荷を軽減できます。OWSMはSafeNet Luna SA HSMをサポートしており、それをインストールして構成できます。

次の各項では、これについてさらに詳しく説明しています。

- 鍵保存のためのSafeNet Luna SAおよびOWSMの理解

- Luna SA HSMクライアントのインストールおよび構成について

- OWSMが使用するJREの構成

- Luna SAへのログオン

- Luna SAへの鍵および証明書のコピー

- Luna SAを使用するためのOWSMの構成について

13.1.1 鍵保存のためのSafeNet Luna SAおよびOWSMの理解

SafeNet Luna SAは、アプリケーションのための暗号化処理およびハードウェア鍵管理機能を備える、ネットワーク接続されたHSMです。Luna SAは、様々なセキュリティ・アプリケーションで、非常に重要な暗号化鍵を保護するように設計されています。

OWSMとともにLuna SAを使用する場合、鍵について次のような利点があります。

- ネットワークの共有性

- ハードウェアにより、鍵の最も高い安全性が常に維持されます

- FIPSの検証

注意:

Oracle Advanced Securityで使用する動作保証済のハードウェアおよびソフトウェアを入手するには、SafeNetの代理店にお問い合せください。

デフォルトでは、OWSMはキー保存にキーストア・サービス(KSS)を使用します。暗号化操作のためにOWSMによって必要とされる鍵および証明書は、キーストア・ファイルからフェッチされます。ネットワーク内でLuna SAが使用可能である場合、鍵の保存目的および暗号化操作のためにOWSMではLuna SAを活用できます。

13.1.2 Luna SA HSMクライアントのインストールおよび構成について

Luna SA HSMクライアントは、使用可能なLuna SA HSMネットワークと通信できるように、OWSMの実行中のインスタンスが存在するホストにインストールする必要があります。

ただし、Luna SAクライアントのインストール、Luna SAネットワークのインストールおよび設定については、このドキュメントの範囲外であり、ここでは取り上げません。こうした手順は、Luna SAドキュメント(http://www.safenet-inc.com/Products/Detail.aspx?id=2147483853&terms=search)を参照してください。

Luna SA HSMクライアントをインストールする前に、次のチェックリストを確認してください。

- ネットワークにはすでにLuna SAがインストールされており、使用可能です。

- そして、ルートまたはインストール権限を持つユーザーとしてログインしています。

- Luna SAクライアント・インストールCDまたはソフトウェア・イメージが利用可能です。

- 管理者パスワードおよびパーティション・パスワードを含めて、Luna SAに必要なすべてのパスワードが手元にあります。

注意:

ハードウェア・セキュリティ・モジュールおよび必要なライブラリを入手するには、SafeNetの代理店にお問い合せください。

これらの作業は、OWSMでLuna SAハードウェア・セキュリティ・モジュールを使用する前に実施する必要があります。

13.1.3 OWSMが使用するJREの構成

Luna SAクライアントをインストールした後、OWSM設定によって使用されるJREを構成する必要があります。

次の手順を実行する必要があります。

1. /usr/lunasa/jsp/libディレクトリから$JAVA_HOME/jre/lib/extディレクトリに次のJARファイルをコピーします。

- LunaJCASP.jar

- LunaJCESP.jar

2. libLunaAPI.soファイルをjava.library.pathにコピーします。

3. $JAVA_HOME/jre/lib/security/java.securityファイルを編集して、2つのLunaプロバイダを含めます。

これを行うには、security.providersリストの最後に、次の2つのLunaプロバイダを追加します。

security.provider.n=com.chrysalisits.crypto.LunaJCAProvider
security.provider.n+1=com.chrysalisits.cryptox.LunaJCEProvider

ここで:

nは、特定のプロバイダをリクエストしない場合に、リクエストしたアルゴリズムについてプロバイダを検索する順序を決定するプリファレンス順序を指定します。順序は1が基準になり、1が最も優先されます。その後、2、3、...と続きます。

13.1.4 Luna SAへのログオン

OWSMでLuna SAを使用するには、Luna SAサーバーにログオンする必要があります。これはクライアント・マシンでLunaログイン・セッションを作成する1回かぎりのプロセスであり、クライアント・マシンまたはサーバー・マシンが再起動されるか、またはユーザーがLunaセッションを明示的にログアウトするまで、このセッションはアクティブなままです。

ログインするにはsaloginユーティリィティを使用する必要があります。saloginユーティリィティは、特定のアプリケーションのためにクライアントとHSMパーティション間の接続を確立します。引数としてアプリケーションIDを取得します。このアプリケーションIDは、上位IDおよび下位IDの2つの部分から構成されます:。

saloginユーティリィティを起動する前に、アプリケーションIDを登録するエントリをChrystoki.confファイルに追加する必要があります。Chrystoki.confファイルは通常、/etc/ディレクトリにあります。これも1回かぎりのプロセスです。

1. /etc/Chrystoki.confファイルを編集し、ファイルの末尾にアプリケーションIDを追加します。次に例を示します。

Misc = { AppIdMajor=<major id>; AppIdMinor=<minor id>;  }

2. 次のように入力してLuna SAサーバーにログインします。

/salogin -o -s <partition number> -i <AppIdMajor>:<AppIdMinor> -v -p <partition_password>

これによって、指定したアプリケーションIDのセッションが開きます。saloginは、/usr/lunasa/binディレクトリにあります。

3. Luna SAサーバーからログアウトするには、次のように入力します。

salogin -c -s <slot number> -i <AppIdMajor>:<AppIdMinor>

13.1.5 Luna SAへの鍵および証明書のコピー

鍵および証明書が現在はKSSまたはJKSキーストアにある場合、すべての鍵および証明書をLuna SAに移動する必要があります。LunaSAで提供されているcmuスクリプトを使用して鍵および証明書をインポートできます。

- cmu importKeyコマンドは、ファイルからRSA|DSA秘密鍵をHSMにインポートします(PKCS12(RSA)、PKCS8(RSA/DSA)またはPKCS1(RSA)をサポートします)。

- cmu importコマンドは、ファイルからX.509証明書をHSMにインポートします。

注意:

cmuスクリプトはファイルからインポートします。したがって、鍵および証明書をLuna SAにインポートするには、最初にそれらをKSSまたはJKSキーストアからファイルにエクスポートする必要があります。

13.1.6 Luna SAを使用するためのOWSMの構成について

Luna SAを使用するようにOWSMを構成する一環として、デフォルトのKSSキーストアではなくLuna HSMを使用するようにOWSMドメインを構成する必要があります。

詳細は、以下のトピックを参照してください。

- HSMキーストアを使用するためのOWSMの構成

- WLSTを使用したOWSMキーストアの構成

13.2 Oracle SPARC T5およびOracle SPARC T4暗号化アクセラレーションのためのOWSMの構成について

Oracle SPARC T5およびSPARC T4プロセッサ・ベースのサーバーの暗号化アクセラレーション機能を活用するようにOWSMを構成できます。

OWSMでは、Oracle SPARC T5およびSPARC T4プロセッサ・ベースのサーバーを使用できます。これによって、計算、セキュリティおよびI/Oが単一チップ上に統合され、サード・パーティ製のセキュリティ・ハードウェアが不要になります。Oracle SPARC T5およびSPARC T4ベースのサーバーにOWSMをデプロイすることで、SPARC T5およびT4プロセッサ・ベースの暗号化機能が透過的に活用されます。これは、トランスポート・レイヤーおよびメッセージ・レイヤーの保護ポリシーによって強制された場合など、計算集中型の暗号化操作に依存するシナリオで高パフォーマンスのセキュリティを提供します。この項は、Oracle Solaris 10 8/11以降を実行するOracle SPARC T5およびT4プロセッサ・ベースのサーバーにのみ該当します。

次の項目について説明します。

- 理解しておく必要がある用語

- Oracle SPARC T5およびSPARC T4ハードウェア支援暗号化アクセラレーションの概要

- 暗号化アクセラレーションのためのトランスポート・レベル・セキュリティの構成

- 暗号化アクセラレーションのためのメッセージ・レベル・セキュリティの構成

- 暗号化アクセラレーションのための追加資料

13.2.1 理解しておく必要がある用語

暗号化アクセラレーション用にOWSMを構成するには、いくつかの用語を理解する必要があります。

これらの用語の詳細は、「暗号化アクセラレーションのための追加資料」に記載されているホワイトペーパーを参照してください。

- PKCS#11トークン — PKCS#11 APIを実装するすべてのハードウェアおよびソフトウェアのトークンを一般的に示すトークン。PKCS#11 APIは、ハードウェア暗号化アクセラレータ、暗号化トークン(たとえばSCA-6000など)およびスマートカードを統合するためのRSA標準です。
ソフトウェア・ベースのPKCS#11トークンは、完全にソフトウェアで実装されたPKCS#11トークンです(たとえばSolaris PKCS11 Softtokenなど。)

- Solaris暗号化フレームワーク — Solaris暗号化フレームワーク(SCF)ライブラリは、 Oracle Sun Crypto Accelerator 6000 PCIeカード(SCA-6000)およびサード・パーティ製HSMを含めて、Oracle T-seriesプロセッサおよびハードウェア・セキュリティ・モジュール(HSM)によって提供されるハードウェア支援暗号化アクセラレーションに対するアプリケーション・アクセスを提供するうえで重要な役割を果たします。SCFは、PKCS#11標準インタフェースに基づいており、暗号化操作を実行するためにカーネル・レベルおよびユーザー・レベルのコンシューマに一連の暗号化サービスを提供します。

13.2.2 Oracle SPARC T5およびSPARC T4ハードウェア支援暗号化アクセラレーションの概要

Oracle SPARC T5およびSPARC T4プロセッサは、Oracle SPARC T-seriesプロセッサ・ファミリに属し、Chip Level Multi-Threading (CMT)を可能にするために、プロセッサ・コア・レベルのマルチプロセッシングと、効率的な命令パイプラインを備える各コア内部でのハードウェア・マルチスレッディングを組み合せています。

これらのプロセッサは、オンチップ/オンコア暗号化アクセラレーション、10ギガビット・イーサネット・ネットワーク、ハードウェア対応仮想化機能などの専用機能を組み込むユニークな「システム・オン・チップ」設計原理を示すものです。Oracle SPARC T5およびSPARC T4プロセッサの各コアには、コアと同クロック速度で暗号化操作処理を実行するStream Processing Unit (SPU)が搭載されています。このSPUは、プロセッサの10 GbEポート上でワイヤ速度の暗号化および復号化を実現するように設計されています。

Oracle SPARC T5およびSPARC T4ベースのサーバーでOWSMを構成およびデプロイすることにより、SSLおよびWS-Securityメカニズムを使用して、Webサービスのセキュリティ・トランザクションの一環として、オンコア暗号化命令を活用して計算集中型の暗号化操作を実行することにより、高いパフォーマンスが得られます。たとえば、すべてのメッセージ保護ポリシーは計算集中型です。

OWSMは、次のシナリオでSPARC T5およびSPARC T4プロセッサ・ベースの暗号化アクセラレーションを使用します。

- トランスポート・レベルのセキュリティ(「暗号化アクセラレーションのためのトランスポート・レベル・セキュリティの構成」を参照してください)
SPARC T5およびSPARC T4プロセッサのオンコア暗号化アクセラレーション機能は、適用されるセキュリティ・シナリオとその要件に応じて、OWSMデプロイメントで様々な方法で使用できます。Oracle Ucryptoプロバイダ機能およびJava Cryptography Extension (JCE)フレームワーク内のSun PKCS#11インタフェースにより、OWSMおよびWebLogic Serverは、SSLv3/TLSv1およびWS-Securityベースの暗号化ワークロードの、ハードウェア支援暗号化アクセラレーションを利用できます。

JDK7 Update 4リリースで導入されたOracle Ucryptoプロバイダでは、PKCS#11をバイパスして、OracleのSPARC T4およびSPARC T5 (または最新の)プロセッサのハードウェア支援暗号化アクセラレーションを自動的に利用する、専用のインタフェースが提供されます。Oracle Solaris 11 (SPARC)における一般的なJDK7インストール(JDK7u4以降)では、デフォルトでOracle Ucryptoプロバイダを使用するように、Java Runtime Environmentが事前構成されています。これにより、JavaとOracle WebLogic ServerがホストするアプリケーションおよびXML Webサービスでは、Oracle SPARC T5およびSPARC T4ベースのオンコア暗号化命令を使用して、Oracle Solaris暗号化フレームワークを通じて処理される暗号化集中型の操作を自動的に委任できます。

JDK6のJava PKCS#11インタフェースは、SPARC T5およびSPARC T4プロセッサのオンコア暗号化命令を使用することにより、SSL/TLSプロトコルの計算集中型の暗号化ワークロードを軽減し、高速化します。

- メッセージ・レベルのセキュリティ(「暗号化アクセラレーションのためのメッセージ・レベル・セキュリティの構成」を参照してください)
メッセージ・レベル・セキュリティは、WS-Security、WS-SecurityPolicy、WS-TrustなどのWebサービス・セキュリティ標準をサポートする暗号化操作を基盤として構築されます。

特に、Webサービス・セキュリティは、XML暗号化、XMLデジタル署名および関連する暗号化操作をサポートするために、公開鍵暗号化、デジタル署名(RSA、DSA、ECCなど)、バルク暗号化(AES、3DES、DESなど)およびメッセージ・ダイジェスト(SHA-1、SHA-2、MD5など)の機能を利用します。

OWSMでは、SPARC T4プロセッサのオンコア暗号化命令に(SCFを通じて)暗号化操作を委任するための専用PKCS#11インタフェースを実装しています。

13.2.3 暗号化アクセラレーションのためのトランスポート・レベル・セキュリティの構成

トランスポート・レベルのセキュリティのために暗号化アクセラレーションを構成できます。

トランスポート・レベルのセキュリティのために暗号化アクセラレーションを構成するには、次のタスクを実行します。

1. Oracle WebLogic Server管理コンソール・オンライン・ヘルプのキーストアの構成に関する項の説明に従って、WebLogic Serverキーストアを構成します。

「カスタム・アイデンティティとJava標準信頼」および「Javaキーストア(JKS)」を選択します。

2. WebLogic Serverに対してJSSE SSLを有効にします。

JSSEベースのSSLを使用することによって、Solaris SPARC上でJavaランタイム環境により事前構成済のSunPKCS11プロバイダ実装が自動的に活用されます。

実行する手順については、『Oracle WebLogic Serverセキュティの管理 12c (12.2.1)』のJSSEベースのSSL実装の使用に関する項を参照してください。

3. SPARC Solaris上の一般的なWebLogic Serverインストールでは、Oracle Ucryptoプロバイダ(JDK7)またはSunPKCS11プロバイダを利用するためのJavaランタイム環境が構成済です。

Oracle Ucryptoプロバイダを利用するには、Oracle Solaris 11上のJava Runtime EnvironmentとしてJDK7 Update 4 (以上)を使用する必要があります。$JAVA_HOME/jre/lib/security/ディレクトリにあるJavaセキュリティ・プロパティ・ファイルjava.security内で、Oracle Ucryptoプロバイダがデフォルトのプロバイダとして認識されていることを確認します。

security.provider.1=com.oracle.security.ucrypto.UcryptoProvider
${java.home}/lib/security/ucrypto-solaris.cfg

4. JDK6を使用している場合は、SunPKCS11プロバイダの使用を確認します。

SunPKCS11プロバイダは、SCFおよびその公開暗号化プロバイダによって提供される基盤PKCS#11実装と統合するJavaベースのPKCS#11実装です。

Solaris上の一般的なWebLogic Serverインストールでは、SunPKCS11プロバイダを利用するためのJavaランタイム環境が構成済です。

したがって、$JAVA_HOME/jre/lib/security/java.security propertiesプロパティ・ファイルで最初のプロバイダとしてSunPKCS11プロバイダがリストに含まれることを確認してください。

security.provider.1=sun.security.pkcs11.SunPKCS11 ${java.home}/lib/security/sunpkcs11-solaris.cfg

次の部分的なjava.securityファイルの例に、Solarisのデフォルトの$JAVA_HOME/jre/lib/security/java.securityファイルの関連する部分を示します。

#
# List of providers and their preference orders (see above):
#
security.provider.1=sun.security.pkcs11.SunPKCS11 ${java.home}/lib/security/sunpkcs11-solaris.cfg
security.provider.2=sun.security.provider.Sun
security.provider.3=sun.security.rsa.SunRsaSign
security.provider.4=com.sun.net.ssl.internal.ssl.Provider
security.provider.5=com.sun.crypto.provider.SunJCE
security.provider.6=sun.security.jgss.SunProvider
security.provider.7=com.sun.security.sasl.Provider
security.provider.8=org.jcp.xml.dsig.internal.dom.XMLDSigRI
security.provider.9=sun.security.smartcardio.SunPCSC

5. WebLogic Serverを再起動します。

6. SSL構成が動作していることを確認します。

13.2.4 暗号化アクセラレーションのためのメッセージ・レベル・セキュリティの構成

メッセージ・レベルのセキュリティのために暗号化アクセラレーションを構成できます。

メッセージ・レベルのセキュリティのために暗号化アクセラレーションを構成するには:

1. Solarisコマンド行から、PKCS11キーストアを作成します。

PKCS11キーストアを作成および初期化するには、pktool setpinコマンドを使用します。

keystore=pkcs11を指定した場合、キーストアはデフォルトの「Sun Software PKCS#11 softtoken」になります。

softokenキーストアが初期化されていない場合は、元のパスフレーズとして「changeme」を使用します。

# pktool setpin keystore=pkcs11
Enter token passphrase:
Create new passphrase:
Re-enter new passphrase:
Passphrase changed.

2. キーストアの秘密鍵を生成します。

# pktool genkeypair keystore=pkcs11 keytype=rsa keylen=1024 hash=sha1

3. また、次のコマンドを使用することにより、JavaキーストアからSolaris Softtokenキーストアに鍵をインポートできます。

# keytool –importkeystore
-srckeystore /opt/Oracle/Middleware/default-keystore.jks
-destkeystore NONE -srcstoretype JKS
-deststoretype PKCS11
-srcstorepass changeme -deststorepass your-scfpassword

4. Solarisコマンド行から、Solaris Softtokenキーストア内に鍵があることを確認します。

keytool -list -storetype pkcs11 -keystore NONE

5. 使用するポリシーのアルゴリズム・スイートが$JAVA_HOME/jre/lib/security/sunpkcs11-solaris.cfgsunpkcs11-solaris.cfg構成ファイル内のdisabledMechanismsリストに含まれていないことを確認します。

たとえば、図13-1に示すように、ポリシーに対して指定されたアルゴリズム・スイートがBasic256Rsa15である場合、鍵のラップのためにAes256暗号化およびKwAes256/kwRsA15が使用されます。この場合、構成ファイル内のdisabledMechanismsリストにCKM_AESが含まれないことを確認します。

図13-1 サンプル・アルゴリズム・スイート

サポートされるアルゴリズムのリストは、Java PKCS#11リファレンス・ガイドの付録A、Sun PKCS#11プロバイダのサポートされるアルゴリズムに関する項を参照してください。

6. 次の項の手順に従って、PKCS11キーストアを使用するようにOWSMキーストアを構成します。

- PKCS11キーストアを使用するためのOWSMの構成

- WLSTを使用したOWSMキーストアの構成

7. 構成を確認します。

ハードウェア支援暗号化アクセラレーションが正しく構成され、動作していることを確認するために、次のSolaris DTraceスクリプトを使用します。

#!/usr/sbin/dtrace -s
pid$1:libsoftcrypto:yf*:entry,
pid$1:libmd:yf*:entry
{
@[probefunc] = count();
}
tick-10sec
{
printa(@);
clear(@);
trunc(@,0);
}
tick-100sec
{exit(0);}

このスクリプトをcryptoverify.dという名前のファイルとして保存します。次のようにして、コマンドライン引数としてWebLogic ServerのJavaプロセスIDを指定してこのスクリプトを実行します。

# dtrace -s cryptoverify.d  <WeblogicServer Process ID>

たとえば、AESアルゴリズムを使用する暗号化のシナリオでは、AESジョブの値が正で増大する場合、暗号化アクセラレーションがターゲットAESバルク暗号化ペイロードに対して動作していることを示します。

13.2.5 暗号化アクセラレーションのための追加資料

いくつかのホワイトペーパーは、Oracle SPARC T-seriesプロセッサ・ベースのサーバーを使用するための暗号化アクセラレーションに関する最も信頼性の高い資料です。これらのホワイトペーパーでは、Solaris暗号化フレームワーク・コンポーネント、Solaris Kernel SSL (KSSL)の使用、Apache Webサーバー、Oracle Databaseの透過的データ暗号化、パフォーマンス特性など、多くの追加関連トピックについて取り上げています。

詳細は、次のホワイトペーパーを参照してください。

- SPARC T5およびSPARC M5サーバーにおける高パフォーマンス・セキュリティの使用の詳細は、OracleのSPARC T5およびSPARC M5サーバーを使用したOracle WebLogic Serverアプリケーションのための高パフォーマンス・セキュリティを参照してください。このホワイトペーパーは、http://www.oracle.com/technetwork/articles/systems-hardware-architecture/security-weblogic-t-series-168447.pdfから入手できます。

- Oracle SPARC T-seriesプロセッサ・ベースのサーバーにおけるOWSMデプロイメントの詳細は、SPARC T4を使用したOracle DatabaseおよびFusion Middlewareアプリケーションのための高パフォーマンス・セキュリティを参照してください。このホワイトペーパーは、http://www.oracle.com/technetwork/server-storage/sun-sparc-enterprise/documentation/o12-021-t4security-1577047.pdfから入手できます。

第IV部 Oracle Web Services Managerの管理およびトラブルシューティング

第IV部では、ドメイン・レベルでのOracle Web Services Manager (OWSM)構成の管理方法、OWSMリポジトリの管理方法およびOWSMでの問題のトラブルシューティング方法について説明します。

この部は、次の章で構成されています。

- Oracle Web Services Managerのドメイン構成の管理では、認証、メッセージ保護およびポリシー・アクセスを目的にOWSMの構成をドメイン・レベルで管理する方法について説明します。

- Oracle Web Services Managerリポジトリの管理では、OWSMリポジトリの操作方法について説明します。リポジトリを登録、バックアップ、リストアおよび再構築できます。また、リポジトリでのポリシーのインポート、エクスポートおよびアップグレードに加えて、ドキュメントのインポート、エクスポートおよびアップグレードも行えます。

- Oracle Web Services Managerでの問題の診断では、Fusion Middleware ControlおよびWLSTを使用した、Oracleポリシー・マネージャおよびポリシー・アタッチメントに関する問題のトラブルシューティング方法について説明します。

14 Oracle Web Services Managerのドメイン構成の管理

この章では、ドメインの認証、メッセージ保護およびポリシー・アクセスを目的にOWSM環境を構成する方法について説明します。この構成は、Fusion Middleware ControlまたはWLSTを使用して行えます。ここでは両方の方法を説明します。

この章の内容は次のとおりです。

- OWSMのドメイン構成の概要

- 「WSMドメイン構成」ページへの移動

- Fusion Middleware Controlを使用した一般的なOWSMドメイン構成の表示

- Fusion Middleware Controlを使用したドメイン・レベルの認証の構成

- Fusion Middleware Controlを使用したドメイン・レベルのメッセージ・セキュリティの構成

- Fusion Middleware Controlを使用したOWSMポリシー・アクセスの構成

- WLSTを使用したOWSMドメインの構成プロパティの管理について

- WLSTを使用したドメイン・レベルの認証の構成

- WLSTを使用したドメイン・レベルのメッセージ・セキュリティの構成について

- WLSTを使用したポリシー・アクセスの構成について

14.1 OWSMのドメイン構成の概要

OWSMでは、管理者は、Fusion Middleware Controlの「WSMドメイン構成」ページを使用して、OWSM環境を集中的に構成および管理できます。このページから、ポリシー・マネージャの接続情報、キャッシュ・リフレッシュ間隔、nonceタイムアウト、クロック・スキュー、OWSMキーストア構成、ログイン・モジュール、信頼できるSAML発行者および他の類似の構成パラメータを指定できます。

WLSTコマンドでも、コマンド行またはスクリプトを使用してOWSMを構成できます。WLSTコマンドの詳細は、「WLSTを使用したOWSMドメインの構成プロパティの管理について」を参照してください。

OWSM構成は、OWSMリポジトリ内にドキュメントとして格納されます。Fusion Middlewareをインストールし、OWSMが含まれるドメインを作成すると、デフォルトで次の構成ドキュメントが作成されます。

- ブートストラップ構成ドキュメント: ポリシー・マネージャへの接続で使用するブートストラップ情報が含まれています。ブートストラップ構成ドキュメントにも指定されているプロパティのドメイン構成を変更すると(Fusion Middleware ControlまたはWLSTを使用)、ブートストラップ構成に指定されている値はポリシー・マネージャの初期接続でのみ使用されます。以降のアクセスでは、ドメイン構成ドキュメント内の値が使用されます。
ブートストラップ構成ドキュメントは、domain_home/config/fmwconfig/wsm-config.xmlファイルに格納されます。ここで、domain_homeは、ドメインのインストール先のディレクトリです。デフォルトでは、このディレクトリはOracle_Home/user_projects/domains/base_domainです。

- トークン発行者信頼ドキュメント: デフォルトの信頼できるSAML発行者(www.oracle.com)が含まれています。このドキュメントは読取り専用です。信頼できる発行者を追加し、DNリストを定義するたびに、追加の信頼ドキュメントが作成され、リポジトリに格納されます。

- デフォルト構成ドキュメント: コンテキストで有効なすべてのプロパティとそのデフォルト値が含まれています。デフォルト構成を変更すると、ドメインの構成ドキュメントが作成され、リポジトリに保存されます。

「WSMドメイン構成」ページまたはカスタム構成WLSTコマンドを使用して行う構成は、アプリケーション・レベルではなくドメイン・レベルでのみ適用されます。

ほとんどの場合、OWSM構成を変更してもサーバーの再起動は必要ありません。ただし、キーストア構成やキーストア・タイプの変更など、状況によっては、構成の変更によってサーバーの再起動が必要です。また、キャッシュ・プロパティ(cache.refreshなど)を変更し、変更を即時に反映する場合は、サーバーを再起動する必要があります。

14.2 「WSMドメイン構成」ページへの移動

OWSMの構成は、「WSMドメイン構成」ページを使用して行います。このページから、ドメインに関する一般情報の表示と、認証、メッセージ・セキュリティおよびポリシー・アクセス・プロパティの構成を行えます。このトピックでは、「WSMドメイン構成」ページに移動する手順について説明します。

「WSMドメイン構成」ページに移動するには:

1. ナビゲーション・ペインで、「WebLogicドメイン」を開き、構成するドメインを選択します。

2. 「WebLogicドメイン」メニューから、「Webサービス」→「WSMドメイン構成」を選択します。

14.3 Fusion Middleware Controlを使用した一般的なOWSMドメイン構成の表示

「WSMドメイン構成」ページの「一般」タブには、ドメイン名やプラットフォーム・タイプなど、ドメインに関する基本的な情報が表示され、ドメインの表示名および説明を指定できます。この項では、この一般情報を表示する手順について説明します。

ドメインに関するバージョン情報も表示されます。これには、構成のバージョン番号、構成に対して最後に行われた更新のタイムスタンプ、およびドメインを最後に更新したユーザー名が含まれます。

注意:

バージョン情報はデータベース・ベースのOWSMリポジトリを使用している場合のみ更新されます。

ドメインに関する一般情報を表示するには:

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「一般」タブを選択します。

3. ドメインに関する基本情報(「名前」、「プラットフォーム・タイプ」、「バージョン情報」など)を表示します。

4. 必要に応じて、構成の「表示名」および「説明」を指定します。

5. 「適用」をクリックします。

14.4 Fusion Middleware Controlを使用したドメイン・レベルの認証の構成

「WSMドメイン構成」ページの「認証」タブでは、SAML信頼、発行済トークンに対して使用する存続期間、およびOWSM認証後に作成されるJAASサブジェクトのサブジェクト・プロパティを構成できます。SAML、SAML2、Kerberos、X509およびカスタムのログイン・モジュールを構成することもできます。

次の各項では、構成の詳細を説明します。

- Fusion Middleware Controlを使用した信頼できるSAML発行者およびDNリスト

- Fusion Middleware Controlを使用した信頼できるJWT発行者およびDNリストの構成

- Fusion Middleware Controlを使用した信頼できる発行者のトークン属性ルールの構成

- Fusion Middleware Controlを使用した発行済トークンの存続期間の構成

- Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成

- Kerberosログイン・モジュールの構成

- Fusion Middleware Controlを使用したサブジェクト・プロパティの構成

- Fusion Middleware Controlを使用したX509ログイン・モジュールの構成

- カスタム認証モジュールの作成

14.4.1 Fusion Middleware Controlを使用した信頼できるSAML発行者およびDNリスト

「認証」タブの「SAML信頼」セクションで、SAML署名証明書の、信頼できるSAML発行者および信頼できる識別名(DN)のリストを定義できます。

次のトピックでは、信頼できるSAML発行者およびDNリストを構成するために役立つ情報を提供します。

- 信頼できるSAML発行者およびDNリストの概要

- Fusion Middleware Controlを使用した信頼できるSAML発行者の追加および信頼できるDNリストの定義

- Fusion Middleware Controlを使用した信頼できる発行者、DNまたはDNリストの削除

WLSTを使用してこのタスクを実行するには、WLSTを使用した信頼できるSAML発行者とJWT発行者、DNリストおよびトークン属性ルールの構成を参照してください。

14.4.1.1 信頼できるSAML発行者およびDNリストの概要

「認証」ページを使用して定義したSAML発行者のリストは、このドメイン内のすべてのWebサービスに適用できるデフォルトのリストとなります。また、この方法で発行者を追加する場合、ドメインの再起動は必要ありません。

デフォルトの場合、OWSMでは、受信した発行者名を構成済の発行者のリストと照合してチェックし、SAML署名をOWSMキーストアにある構成済の証明書と照合してチェックします。信頼できる発行者の信頼できるDNリストを定義した場合は、そのDNが信頼できるDNリストに属する特定の証明書に基づいてSAML署名が署名されているかどうかも検証されます。

信頼できるDNリストの構成はオプションです。詳細な制御を必要とするユーザーは、これにより各発行者を1つ以上の署名証明書のリストに関連付けることができます。信頼できる発行者のDNリストが定義されていない場合、署名証明書の証明書チェーン内のすべての中間証明書およびCA証明書がOWSMキーストアに存在するかぎり、その証明書に基づいて署名できます。署名証明書が自己署名の場合、これがキーストア自体にある必要があります。

重要な注意事項:

- 「SAML信頼」セクションの「信頼できるSTS」表および「信頼できるクライアント」表を使用して、証明書自体ではなく、署名証明書のDNを定義します。

- 署名証明書のCA証明書および中間証明書は、署名証明書がキーストアにあるか、メッセージで渡されるかにかかわらず、OWSMキーストアにある必要があります。

- 双方向SSLの場合は、次のようにします。

- Java EEコンテナのトラスト・ストアに証明書をインポートする必要があります。

- 検証にはクライアントSSL証明書のDNを使用します。このDNは信頼できるDNリストに存在している必要があります。

- どのような場合も、署名証明書はOWSMキーストアに存在する証明書によって信頼されている必要があります。

14.4.1.2 Fusion Middleware Controlを使用したSAML発行者の追加および信頼できるDNリストの定義

SAML発行者の追加、SAML署名証明書の信頼できるDNリストの定義、または発行者のDNリストへのDNの追加を行うには、次の手順を使用します。

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページにアクセスします。

2. 「認証」タブを選択します。

3. ページの「SAML信頼」セクション(図14-1)で、次のいずれかを実行します。

- 信頼できるSTSサーバーの信頼できる発行者を追加し、信頼できるDNリストを定義するには、「信頼できるSTS」表の「追加」をクリックします。SAML HOKおよびSAML Bearerには、このリストを使用します。

- 信頼できるクライアントの信頼できる発行者を追加し、信頼できるDNリストを定義するには、「信頼できるクライアント」表の「追加」をクリックします。SAML送信者保証には、このリストを使用します。

4. 「発行者名」列に、信頼できる発行者名(たとえば、www.yourcompany.com)を入力します。事前定義のSAMLクライアント・ポリシーのデフォルト値はwww.oracle.comです。

5. 「発行者DN」列に、信頼できる発行者のDNリストを入力します。RFC 2253に準拠する文字列を使用してください。たとえば、信頼する発行者www.oracle.comの信頼するDNは、CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=USのようになります。発行者のDNを複数追加する場合は、各DNをセミコロン(;)で区切ります(図14-1を参照)。

RFC 2253の詳細は、http://www.ietf.org/rfc/rfc2253.txtを参照してください。

図14-1 「認証」タブの「SAML信頼」セクション

6. 必要に応じて、「Fusion Middleware Controlを使用した信頼できる発行者のトークン属性ルールの構成」の説明に従って、信頼できるDNのトークン属性ルールを構成します。

7. 必要に応じて、別の信頼できる発行者およびDNリストを追加します。これを行うには、手順3から6を繰り返します。

8. 信頼できる発行者のDNリストにDNを追加するには、表内の信頼できる発行者を選択し、「発行者DN」列のDNリストにDNを追加します。各DNはセミコロン(;)で区切ってください。

9. 必要な発行者およびDNリストの構成が終了したら、「適用」をクリックします。

14.4.1.3 Fusion Middleware Controlを使用した信頼できる発行者、DNまたはDNリストの削除

次のいずれかのアクションを実行することによって、発行者、DNまたはDNリストを削除できます。

- 信頼できる発行者およびDNリストを削除するには、削除する発行者が含まれている行を選択し、「削除」をクリックします。

- DNリストからDNを削除するには、信頼できる発行者の行を選択し、リストからDNを削除します。

- DNリストを削除するには、削除するDNの「発行者DN」フィールドを消去します。構成されているトークン・ルールも削除されます。

14.4.2 Fusion Middleware Controlを使用した信頼できるJWT発行者およびDNリストの構成

「認証」タブの「JWT信頼」セクションで、JWT署名証明書の、信頼できるJWT発行者および信頼できる識別名(DN)のリストを定義できます。

次のトピックでは、信頼できるJWT発行者およびDNリストを構成するために役立つ情報を提供します。

- 信頼できるJWT発行者およびDNリストについて

- Fusion Middleware Controlを使用したJWT発行者の追加および信頼できるDNリストの定義

発行者、DNまたはDNリストを削除するには、Fusion Middleware Controlを使用した信頼できる発行者、DNまたはDNリストの削除を参照してください。

WLSTを使用してこのタスクを実行するには、WLSTを使用した信頼できるSAML発行者とJWT発行者、DNリストおよびトークン属性ルールの構成を参照してください。

14.4.2.1 信頼できるJWT発行者およびDNリストについて

「認証」ページを使用して定義したJWT発行者のリストは、このドメイン内のすべてのWebサービスに適用できるデフォルトのリストとなります。また、この方法で発行者を追加する場合、ドメインの再起動は必要ありません。

デフォルトの場合、OWSMでは、受信した発行者名を構成済の発行者のリストと照合してチェックし、JWT署名をOWSMキーストアにある構成済の証明書と照合してチェックします。信頼できる発行者の信頼できるDNリストを定義した場合は、そのDNが信頼できるDNリストに属する特定の証明書に基づいてJWT署名が署名されているかどうかも検証されます。

信頼できるDNリストの構成はオプションです。詳細な制御を必要とするユーザーは、これにより各発行者を1つ以上の署名証明書のリストに関連付けることができます。信頼できる発行者のDNリストが定義されていない場合、署名証明書の証明書チェーン内のすべての中間証明書およびCA証明書がOWSMキーストアに存在するかぎり、その証明書に基づいて署名できます。署名証明書が自己署名の場合、これがキーストア自体にある必要があります。

14.4.2.2 Fusion Middleware Controlを使用したJWT発行者の追加および信頼できるDNリストの定義

この項では、JWT発行者の追加、JWT署名証明書の信頼できるDNリストの定義、または発行者のDNリストへのDNの追加を行う手順を説明します。

JWT発行者を追加するには、信頼できるDNリストを定義します。

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページにアクセスします。

2. 「認証」タブを選択します。

3. 図14-1に示されているように、ページの「JWT信頼」セクションの「信頼できる発行者」表で「追加」をクリックし、信頼できる発行者を追加して信頼できるDNリストを定義します。

4. 「発行者名」列に、信頼できる発行者名(たとえば、www.yourcompany.com)を入力します。事前定義のJWTクライアント・ポリシーのデフォルト値はwww.oracle.comです。

5. 「発行者DN」列に、信頼できる発行者のDNリストを入力します。RFC 2253に準拠する文字列を使用してください。たとえば、信頼する発行者www.oracle.comの信頼するDNは、CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=USのようになります。発行者のDNを複数追加する場合は、各DNをセミコロン(;)で区切ります(図14-1を参照)。

RFC 2253の詳細は、http://www.ietf.org/rfc/rfc2253.txtを参照してください。

図14-2 「認証」タブの「JWT信頼」セクション

6. 必要に応じて、「Fusion Middleware Controlを使用した信頼できる発行者のトークン属性ルールの構成」の説明に従って、信頼できるDNのトークン属性ルールを構成します。

7. 必要に応じて、別の信頼できる発行者およびDNリストを追加します。これを行うには、手順3から6を繰り返します。

8. 信頼できる発行者のDNリストにDNを追加するには、表内の信頼できる発行者を選択し、「発行者DN」列のDNリストにDNを追加します。各DNはセミコロン(;)で区切ってください。

9. 必要な発行者およびDNリストの構成が終了したら、「適用」をクリックします。

14.4.3 Fusion Middleware Controlを使用した信頼できる発行者のトークン属性ルールの構成

特定の信頼できるSAMLまたはJWTトークン発行者で、どのユーザーおよびユーザー属性を許容したり処理するかを制御したいという要求が増え続けています。トークン属性ルールを使用すると、信頼できるSTSサーバーおよび信頼できるSAMLクライアントの追加のセキュリティ制約を定義できます。Tトークン属性ルールは、信頼できるDNの上に定義できます。発行者に対して構成されている各信頼できるDNに対して、トークン属性ルールを構成して適用できます。

各ルールには2つの部分があります。それは、名前IDと、信頼できる発行者のDNがアサートできるユーザー属性の属性部分です。名前IDおよび属性部分内の各属性には、複数の値または値パターンを使用するフィルタを含めることで、名前IDまたはDNがアサートできる属性の値に対して制約を適用できます。

Fusion Middleware Controlを使用してトークン属性ルールを定義するには:

1. 「Fusion Middleware Controlを使用した信頼できるSAML発行者およびDNリスト」の説明に従って、信頼できる発行者のDNリストを定義します。

2. 表で発行者DNを選択し、「トークン・ルールの構成」をクリックします。

3. 「トークン・ルール」ページで、「追加」をクリックしてDNの属性およびフィルタを追加します。

「属性」フィールドには、値name-idが事前移入されます。

注意:

先頭行のみ、「属性」フィールドに値name-idが事前移入されます。以降の行で「追加」をクリックした場合は、「属性」フィールドに値を入力する必要があります。

4. 「フィルタ」フィールドに、トークン属性ルールを作成する属性フィルタ値を入力します。

「フィルタ」フィールドに追加する値は、yourTrustedUserなど、完全な名前を入力できます。また、yourTrusted*のように、ワイルドカード文字(*)を使用した名前パターンを入力することもできます。複数の属性フィルタを指定する場合は、各フィルタをセミコロン(;)で区切る必要があります。

5. 既存の属性またはフィルタを編集するには、表内の該当のフィールドを選択し、必要な変更を行います。

6. 属性ルールを削除するには、削除するルールが含まれている行を選択し、「削除」をクリックします。

7. 「OK」をクリックして変更を保存し、「WSMドメイン構成」ページに戻ります。

8. 必要な変更の構成が完了したら、「適用」をクリックします。

14.4.4 Fusion Middleware Controlを使用した発行済トークンの存続期間の構成

リクエスト・メッセージがセキュリティ・トークン・サービス(STS)に送信されるときに発行済トークンが使用する存続期間を指定できます。

STSから有効時間の異なるトークンが送信された場合、ランタイムはトークンの実際の有効時間を確認し、その時間内のみトークンをキャッシュします。詳細は、「トークンの存続期間およびトークンのキャッシュの理解」を参照してください。

このプロパティのデフォルトは28800000ミリ秒(8時間)です。デフォルト値を変更するには、次のいずれかの操作を行います。

- 「発行済トークン存続時間」フィールドに、目的の値を直接入力します。

- 上向き矢印または下向き矢印を使用して、デフォルト値を増減します。

14.4.5 Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成

OWSMドメイン構成ページから、SAMLおよびSAML2ログイン・モジュールを構成できます。

SAMLポリシーには、ログイン・モジュールが関連付けられています。このモジュールは、ポリシーを構成するアサーションによって決まります。SAMLポリシーをWebサービスにアタッチする場合、ログイン・モジュールを編集して必要な変更を加えることができます。

OWSMドメイン構成ページから、次のSAMLログイン・モジュールを構成できます。

- saml.loginmodule—このSAMLログイン・モジュールは、Java Authentication and Authorization Service (JAAS)ログイン・モジュールであり、ログインのためにSAMLアサーションを受け入れます。また、SAMLアサーションから作成されたプリンシパルのログイン・コンテキストを使用して、Webサービスを実行できるようにします。

- saml2.loginmodule—このSAML2ログイン・モジュールは、JAASログイン・モジュールであり、ログインのためにSAML2アサーションを受け入れます。また、SAML2アサーションから作成されたプリンシパルのログイン・コンテキストを使用して、Webサービスを実行できるようにします。

注意:

このページで行われる構成は、OPSSログイン・モジュール・ページで行われる構成より優先されます。

OWSMでSAMLログイン・モジュールを構成するには:

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「認証」タブを選択します。

3. ページの「SAMLログイン・モジュール」または「SAML2ログイン・モジュール」セクションで、次のプロパティを環境に合せて設定します。

- 仮想ユーザーの許可: SAMLサブジェクトを仮想ユーザーとして扱うことを許可する場合は、このプロパティを選択します。有効の場合、ユーザーは、アイデンティティ・ストア内の実際のユーザーにマッピングされません。サブジェクトには、SAMLサブジェクトからのユーザー名のみが移入されます。サブジェクトは仮想ユーザーとして扱われるので、アイデンティティ・ストア構成は必要ありません。また、このログイン・モジュールを使用するドメイン内のすべてのSAMLポリシーについて、認証プロバイダは起動されません。
このプロパティが有効でない場合(デフォルト)、SAMLサブジェクト内のユーザー名が、アイデンティティ・ストア内の実際のユーザーにマップされます。アイデンティティ・ストアで指定されたユーザー名およびロールにより、ユーザー・ロールおよびサブジェクトが作成されます。

- ドメイン名マッピング属性: SAMLクライアント・ポリシーで名前識別子フォーマットがX509SubjectNameに設定されている場合、ユーザーをアイデンティティ・ストアに対してアサートする際に使用する証明書DNの部分を指定できます。このプロパティのデフォルトはCNです。

- サブジェクトにアサーションを追加: 認証対象のサブジェクトにSAMLアサーションをプライベート資格証明として追加するかどうかを指定します。デフォルトは、trueです。このプロパティをfalseに設定した場合(チェック・ボックスの選択解除)、アサーションは認証対象のサブジェクトに追加されません。

4. 「適用」をクリックします。

WLSTを使用してこれらのプロパティを設定する方法の詳細は、「WLSTを使用したSAMLおよびSAML2ログイン・モジュールの構成」を参照してください。

14.4.6 Kerberosログイン・モジュールの構成

Kerberosポリシーは、Kerberosプロトコルを使用してユーザーを認証するJAASログイン・モジュールに関連付けられています。Kerberosログイン・モジュールには、OWSMで構成できるオプションのプロパティがあります。OWSM構成で指定した構成は、OPSSのKerberosログイン・モジュール構成よりも優先されます。

OWSMでKerberosログイン・モジュールを構成するには:

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「認証」タブを選択します。

3. ページの「Kerberos」セクションで、次のプロパティを環境に合せて設定します。

- Keytabファイルの場所: プリンシパルの秘密鍵を取得するには、keytabのファイル名を指定します。デフォルト値は./krb5.keytabです。

- プリンシパル: 使用するプリンシパル名を指定します。プリンシパルは、資格証明一式の割当先となる特定のエンティティのことです。testuserなどの単純なユーザー名またはHOST/localhostなどのサービス名を使用できます。keytabに複数のプリンシパルの資格証明がある場合、または特定のチケット・キャッシュのみが必要な場合に、プリンシパルを設定するためにprincipalオプションを使用できます。デフォルト値はHOST/localhost@EXAMPLE.COMです。

- クラス名: OWSMによって使用するログイン・モジュールを指定します。値が指定されていない場合、実行中のプラットフォームにより、実行時にKerberosログイン・モジュールのクラス名に次のデフォルト値の1つが使用されます。

- com.sun.security.auth.module.Krb5LoginModule (Oracle)

- com.ibm.security.auth.module.Krb5LoginModule (IBM)

- キータブの使用: モジュールがkeytabからプリンシパルの鍵を取得するかどうかを指定します。keytabが設定されていない場合は、モジュールはKerberos構成ファイルでkeytabを検索します。Kerberos構成ファイルに指定されていない場合は、ファイル<user.home><file.separator>krb5.keytabを検索します。
trueに設定、つまりキータブからプリンシパルのキーを取得するには、このチェック・ボックスを選択します。

- ストア・キー: プリンシパルの鍵をサブジェクトの秘密資格証明に格納するかどうかを指定します。
trueに設定、つまりプリンシパルのキーをサブジェクトのプライベート資格証明に格納するには、このチェック・ボックスを選択します。

- 資格証明を要求しない: 資格証明をキャッシュまたはkeytabから取得できないときに、パスワードを要求するプロンプトを表示するかどうかを指定します。このプロパティを選択すると、資格証明をキャッシュまたはキータブから取得できない場合、認証が失敗します。
trueに設定、つまり資格証明をキャッシュまたはキータブから取得できない場合にパスワードの入力を要求するには、このチェック・ボックスを選択します。

4. 「適用」をクリックします。

WLSTを使用してこれらおよび他のKerberosログイン・モジュール・プロパティを設定する方法の詳細は、「WLSTを使用したKerberosログイン・モジュールの構成」を参照してください。

14.4.7 Fusion Middleware Controlを使用したサブジェクト・プロパティの構成

OWSM認証後に作成されるJAASサブジェクトには、ユーザー名およびロール(認証ロール、匿名ロール、アプリケーション・ロールなど)が移入されます。

これらのロールの詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』のユーザーおよびロールの理解に関する項を参照してください。

OPSSでサポートするこれらのロールのサブジェクト・プロパティは、OWSMで構成し、各起動でOPSSに渡すことができます。OWSMで定義された構成は、OWSMでのみ作成されたすべてのサブジェクトに適用されます。OPSSログイン・モジュールを使用して作成されたサブジェクトには影響しません。

OWSMでサブジェクト・プロパティを構成するには:

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「認証」タブを選択します。

3. ページの「サブジェクト・プロパティ」セクションで、次のプロパティを環境に合せて設定します。

- サブジェクトからの匿名ロールの削除: OWSMで作成されたサブジェクトから匿名ロールを削除するかどうかを指定します。デフォルトでは、このプロパティは無効で(falseに設定)、認証後、サブジェクトに匿名ロールが保持されます。
認証後、サブジェクトから匿名ロールを削除するには、チェック・ボックスを選択(trueに設定)します。

- サブジェクトへの認証ロール: OWSMで作成されたサブジェクトに認証ロールを追加するかどうかを指定します。デフォルトでは、このプロパティは有効で(trueに設定)、サブジェクトに認証ロールが保持されます。
認証ロールをサブジェクトに含めない場合は、チェック・ボックスの選択を解除(falseに設定)します。

- サブジェクトへのアプリケーション・ロール: OWSMで作成されたサブジェクトにアプリケーション・ロールを追加するかどうかを指定します。デフォルトでは、このプロパティは有効で(trueに設定)、サブジェクトにアプリケーション・ロールが追加されます。
アプリケーション・ロールをサブジェクトに追加しない場合は、チェック・ボックスの選択を解除(falseに設定)します。

4. 「適用」をクリックします。

WLSTを使用してこれらのプロパティを設定する方法の詳細は、「WLSTを使用したサブジェクト・プロパティの構成」を参照してください。

14.4.8 Fusion Middleware Controlを使用したX509ログイン・モジュールの構成

X509ログイン・モジュールには、OWSMで構成できるオプションのプロパティがあります。OWSM構成で指定した構成は、OPSSのX509ログイン・モジュール構成よりも優先されます。

X509ログイン・モジュールを構成するには:

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「認証」タブを選択します。

3. ページのX509セクションで、次のプロパティを環境に合せて設定します。

- ドメイン名マッピング属性: DNを使用してログインの必要なマッピング属性を入力します。このプロパティのデフォルトはCNですが、ユーザーをアイデンティティ・ストアに対してアサートする際に使用する証明書DNの部分を指定できます。指定する値は、ログイン・モジュールの各起動時にOPSSに渡されます。DN文字列はRFC 2253に準拠する必要があります。
RFC 2253の詳細は、http://www.ietf.org/rfc/rfc2253.txtを参照してください。

4. 「適用」をクリックします。

14.4.9 カスタム・ログイン・モジュールの作成

Fusion Middleware Controlを使用して、カスタム・ログイン・モジュールをOWSM構成システムに作成できます。

ログイン・モジュールの作成の詳細は、http://docs.oracle.com/javase/6/docs/technotes/guides/security/jaas/JAASLMDevGuide.htmlからJava Authentication and Authorization Service (JAAS) LoginModule開発者ガイドを参照してください。

カスタム・ログイン・モジュールを作成するには:

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「認証」タブを選択します。

3. ページの「カスタム・ログイン・モジュール」セクションで、「作成」をクリックします。

4. 「ログイン・モジュールの作成」ページで、ログイン・モジュールの名前とクラス名を、「名前」フィールドと「クラス」フィールドにそれぞれ入力します。必要に応じて、「説明」フィールドにログイン・モジュールの説明を入力します。

たとえば、キーストア・ログイン・モジュールを構成するには、Keystore Login Moduleを「名前」フィールドに入力し、com.sun.security.auth.module.KeyStoreLoginModuleを「クラス」フィールドに入力します。

5. カスタム・プロパティを追加するには、「追加」をクリックし、プロパティの名前と値を入力します。この手順を繰り返し、必要とするすべてのプロパティを追加します。プロパティを削除するには、行を選択して、「削除」をクリックします。

たとえば、キーストア・ログイン・モジュールを構成するには、keyStoreAliasプロパティを追加します(図14-3を参照)。

図14-3 「カスタム・ログイン・モジュール」ページ

6. 「OK」をクリックして、ログイン・モジュールを作成します。

7. 「適用」をクリックします。

14.5 Fusion Middleware Controlを使用したドメイン・レベルのメッセージ・セキュリティの構成

「WSMドメイン構成」ページの「メッセージ・セキュリティ」タブでは、OWSMキーストアの構成、セキュリティ・ポリシー強制の調整、公開証明書をWSDLで公開するかどうかの指定、およびホスト名検証とセキュア通信の構成を行えます。

次の各項では、構成の詳細を説明します。

- Fusion Middleware Controlを使用したOWSMキーストアの構成

- Fusion Middleware Controlを使用したセキュリティ・ポリシー強制の構成

- Fusion Middleware Controlを使用したアイデンティティ拡張プロパティの構成

- Fusion Middleware Controlを使用したドメインのセキュア通信の構成

14.5.1 Fusion Middleware Controlを使用したOWSMキーストアの構成

OWSMでは、KSS、JKS、HSMおよびPKCS11キーストアがサポートされます。キーストアを作成した後、OWSMを構成してキーストアにアクセスおよび使用できるようにする必要があります。

注意:

ドメインごとに単一のOWSMキーストアが存在し、ドメイン内で実行するすべてのWebサービスおよびクライアントによってそのキーストアが共有されます。

ドメインごとに単一のOWSMキーストアが存在し、ドメイン内で実行するすべてのWebサービスおよびクライアントによってそのキーストアが共有されることに注意してください。

次の各項では、OWSMの構成方法をキーストア・タイプごとに説明します。

- KSSキーストアを使用するためのOWSMの構成

- JKSキーストアを使用するためのOWSMの構成

- HSMキーストアを使用するためのOWSMの構成

- PKCS11キーストアを使用するためのOWSMの構成

14.5.1.1 KSSキーストアを使用するためのOWSMの構成

Fusion Middleware Controlを使用して、KSSキーストアを使用するようにOWSMを構成できます。

KSSキーストアを使用するようにOWSMを構成するには、次の手順を実行します。

1. 「メッセージ保護に関するOPSSキーストア・サービスの理解」の説明に従って、キーストアを作成します。

2. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

3. 「メッセージ・セキュリティ」タブを選択します。

4. ページの「キー・ストア」セクションで、「キーストア・タイプ」としてKSSを選択します。

図14-4に示すように、KSSキーストアの設定が表示されます。

図14-4 「メッセージ・セキュリティ」ページのKSSキーストアに関するセクション

5. キーストアへのパスをkss://stripeName/keystoreNameの形式で入力します。たとえば、kss://owsm/keystoreと入力します。

注意:

このフィールドには大/小文字区別があります。

6. 署名および暗号化の別名を次のように指定します。

- 「署名の別名」で、メニューから別名を選択します。ここで選択する値は、キーストアの値に一致する必要があります。たとえば、orakeyです。

- 「暗号化の別名」で、メニューから別名を選択します。ここで選択する値は、キーストアの値に一致する必要があります。たとえば、orakeyです。

注意:

メニューで別名を使用できるのは、「パス」フィールドで指定したキーストアに別名が存在する場合のみです。キーストアに別名が存在しない場合、メニューは空白です。

7. 「適用」をクリックして変更を受け入れます。

8. キーストアの構成が初めての場合、サーバーの再起動は必要ありません。しかし、キーストアまたはキーストア構成を変更している場合は、サーバーを再起動する必要があります。

注意:

KSSキーストアのデフォルトのキーストア名(kss://owsm/keystore)を使用しない場合は、OPSSでwsm-agent-core.jarへの権限を付与する必要があります。権限の付与の詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』のJavaセキュリティ・ポリシー権限の設定に関する項を参照してください。

14.5.1.2 JKSキーストアを使用するためのOWSMの構成

Fusion Middleware Controlを使用して、JKSキーストアを使用するようにOWSMを構成できます。

JKSキーストアを使用するようにOWSMを構成すると、資格証明マップoracle.wsm.securityおよび定義するすべてのキーについて、資格証明ストア内にエントリが作成されます。(資格証明ストアの構成の詳細は、資格証明ストアを構成するための鍵およびユーザー資格証明の追加を参照してください。)

JKSキーストアを使用するためにOWSMを構成するには:

1. 「メッセージ保護に関するJavaキーストアの理解」の説明に従って、キーストアを作成します。

2. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

3. 「メッセージ・セキュリティ」タブを選択します。

4. ページの「キー・ストア」セクションで、「キーストア・タイプ」としてJKSを選択します。

図14-5に示すように、JKSキーストアの設定が表示されます。

図14-5 「メッセージ・セキュリティ」ページのJKSキーストアに関するセクション

5. 左の列で、キーストアのパス、キーストア・キーおよびキーストア・パスワードを次のように入力します。

- 「パス」フィールドで、「秘密鍵の生成およびJavaキーストアの作成」の説明に従って作成したキーストアのパスと名前を入力します。たとえば、default-keystore.jksというキーストア名を指定した場合は、./default-keystore.jksと入力します。この例の場所は、domain_name/config/fmwconfigディレクトリを基準とした相対パスです。または、キーストアの絶対パスを指定できます。キーストアで異なる名前または位置を使用した場合は、かわりにその値を入力します。

- 次のいずれかの操作を行います。

- キーストア・パスワードが資格証明ストアに存在する場合は、「キー」メニューから選択します。メニューからキーを選択すると、「パスワード」フィールドが無効となり、選択したキーに関連する資格証明が使用されます。

- キーストア・パスワード・キーが「キー」メニューに表示されない場合は、「キー」フィールドにキーストア・パスワード・キーを入力します。場合によっては、「キー」フィールドに新しい値を入力する前に、フィールドを消去する必要があります。「パスワード」フィールドおよび「確認」フィールドで、キーストアのパスワードを入力します。ここで指定するキーは資格証明ストア・キーとして資格証明ストアに格納され、入力するパスワードは資格証明ストア内のそのキーに関連付けられます。このパスワードは、「秘密鍵の生成およびJavaキーストアの作成」の説明に従って、keytoolユーティリティを使用してキーストアを作成したときに使用したパスワードに一致する必要があります(例: password)。詳細は、『Oracle Web Services Managerの理解』のOWSMにおいてJKSおよびPKCS11キーストアのキーストアおよびキー・パスワードを特定する方法に関する項を参照してください。

6. 署名鍵を次のように構成します。

- 署名鍵が資格証明ストアに存在する場合は、「キー」メニューから選択します。メニューからキーを選択すると、「署名の別名」フィールドおよび「パスワード」フィールドが無効となり、選択したキーに関連する資格証明が使用されます。

- 署名鍵が「キー」メニューに表示されない場合は、「キー」フィールドに署名鍵を入力します。場合によっては、「キー」フィールドに新しい値を入力する前に、フィールドを消去する必要があります。「署名の別名」フィールドに別名、「パスワード」フィールドおよび「確認」フィールドに別名のパスワードを入力します。ここで指定する値は、キーストアの値に一致する必要があります。たとえば、orakeyおよびpasswordです。

7. 暗号化鍵を次のように構成します。

- 暗号化鍵が資格証明ストアに存在する場合は、「キー」メニューから選択します。メニューからキーを選択すると、「暗号化の別名」フィールドおよび「パスワード」フィールドが無効となり、選択したキーに関連する資格証明が使用されます。

- 暗号化鍵が「キー」メニューに表示されない場合は、「キー」フィールドに暗号化鍵を入力します。場合によっては、「キー」フィールドに新しい値を入力する前に、フィールドを消去する必要があります。「暗号化の別名」フィールドに別名、「パスワード」フィールドおよび「確認」フィールドに別名のパスワードを入力します。ここで指定する値は、キーストアの値に一致する必要があります。たとえば、orakeyおよびpasswordです。

注意:

署名鍵および暗号化鍵の別名とパスワードによって、資格証明ストア内のキーの格納と取得に使用される文字列の別名とパスワードが定義されます。詳細は、『Oracle Web Services Managerの理解』のOWSMにおいて資格証明を使用する方法に関する項を参照してください。

8. 「適用」をクリックして変更を送信します。

9. キーストアの構成が初めての場合、サーバーの再起動は必要ありません。しかし、キーストアまたはキーストア構成を変更している場合は、サーバーを再起動する必要があります。

14.5.1.3 HSMキーストアを使用するためのOWSMの構成

SafeNet Luna SAなどのハードウェア・セキュリティ・モジュール(HSM)をOWSMと統合することで、キーを安全に格納し、暗号処理の負荷を軽減できます。Fusion Middleware Controlを使用して、HSMキーストアを使用するようにOWSMを構成できます。

HSMキーストアを使用するためにOWSMを構成するには:

1. 「OWSMでのハードウェア・セキュリティ・モジュールの使用」の説明に従って、SafeNet Lunaをインストールして構成します。

2. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

3. 「メッセージ・セキュリティ」タブを選択します。

4. ページの「キー・ストア」セクションで、「キーストア・タイプ」としてHSMを選択します。

図14-6に示すように、HSMキーストアの設定が表示されます。

図14-6 OWSMキーストア構成のHSM設定

5. 「プロバイダ・タイプ」フィールドで、lunaと入力します。

6. 「署名の別名」フィールドおよび「暗号化の別名」フィールドに、署名鍵および暗号化鍵の別名を入力します。(Luna SAではキーストアおよび秘密鍵にアクセスするためにパスワードを必要としないことに注意してください。)

注意:

HSMでは、署名鍵の別名のみが必要であるため、すべての*csf.key (keystore.sig.csf.keyおよびkeystore.enc.csf.key)プロパティには資格証明ストア・キーではなく別名を直接指定する必要があります。これは、*csf.keyプロパティの構成オーバーライドにも該当します。

7. 「適用」をクリックして変更を受け入れます。

8. キーストアの構成が初めての場合、サーバーの再起動は必要ありません。しかし、キーストアまたはキーストア構成を変更している場合は、サーバーを再起動する必要があります。

14.5.1.4 PKCS11キーストアを使用するためのOWSMの構成

Fusion Middleware Controlを使用して、PKCS11キーストアを使用するようにOWSMを構成できます。

PKCS11キーストアを使用するためにOWSMを構成するには:

1. 「Oracle SPARC T5およびOracle SPARC T4暗号化アクセラレーションのためのOWSMの構成について」の説明に従って、キーストアを作成します。

2. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

3. 「メッセージ・セキュリティ」タブを選択します。

4. ページの「キー・ストア」セクションで、「キーストア・タイプ」としてPKCS11を選択します。

図14-7に示すように、PKCS11キーストアの設定が表示されます。

図14-7 「メッセージ・セキュリティ」ページのPKCS11キーストアに関するセクション

5. 次のいずれかを行います:

- キーストア・パスワードが資格証明ストアに存在する場合は、「キー」メニューから選択します。メニューからキーを選択すると、「パスワード」フィールドが無効となり、選択したキーに関連する資格証明が使用されます。

- キーストア・パスワード・キーが「キー」メニューに表示されない場合は、「キー」フィールドにキーストア・パスワード・キーを入力します。場合によっては、「キー」フィールドに新しい値を入力する前に、フィールドを消去する必要があります。「パスワード」フィールドおよび「確認」フィールドで、キーストアのパスワードを入力します。ここで指定するキーは資格証明ストア・キーとして資格証明ストアに格納され、入力するパスワードは資格証明ストア内のそのキーに関連付けられます。このパスワードは、キーストアを作成したときに使用したパスワード(たとえば、password)に一致する必要があります。詳細は、『Oracle Web Services Managerの理解』のOWSMにおいてJKSおよびPKCS11キーストアのキーストアおよびキー・パスワードを特定する方法に関する項を参照してください。

6. 署名鍵を次のように構成します。

- 署名鍵が資格証明ストアに存在する場合は、「キー」メニューから選択します。メニューからキーを選択すると、「署名の別名」フィールドおよび「パスワード」フィールドが無効となり、選択したキーに関連する資格証明が使用されます。

- 署名鍵が「キー」メニューに表示されない場合は、「キー」フィールドに署名鍵を入力します。場合によっては、「キー」フィールドに新しい値を入力する前に、フィールドを消去する必要があります。「署名の別名」フィールドに別名、「パスワード」フィールドおよび「確認」フィールドに別名のパスワードを入力します。ここで指定する値は、キーストアの値に一致する必要があります。たとえば、orakeyおよびpasswordです。

7. 暗号化鍵を次のように構成します。

- 暗号化鍵が資格証明ストアに存在する場合は、「キー」メニューから選択します。メニューからキーを選択すると、「暗号化の別名」フィールドおよび「パスワード」フィールドが無効となり、選択したキーに関連する資格証明が使用されます。

- 暗号化鍵が「キー」メニューに表示されない場合は、「キー」フィールドに暗号化鍵を入力します。場合によっては、「キー」フィールドに新しい値を入力する前に、フィールドを消去する必要があります。「暗号化の別名」フィールドに別名、「パスワード」フィールドおよび「確認」フィールドに別名のパスワードを入力します。ここで指定する値は、キーストアの値に一致する必要があります。たとえば、orakeyおよびpasswordです。

注意:

署名鍵および暗号化鍵の別名とパスワードによって、資格証明ストア内のキーの格納と取得に使用される文字列の別名とパスワードが定義されます。詳細は、『Oracle Web Services Managerの理解』のOWSMにおいて資格証明を使用する方法に関する項を参照してください。

8. 「適用」をクリックして変更を送信します。

9. キーストアの構成が初めての場合、サーバーの再起動は必要ありません。しかし、キーストアまたはキーストア構成を変更している場合は、サーバーを再起動する必要があります。

14.5.2 Fusion Middleware Controlを使用したセキュリティ・ポリシー強制の構成

「メッセージ・セキュリティ」タブの「セキュリティ設定」セクションでは、システム・クロック間のデフォルト・メッセージ・タイムスタンプの時間差、ポリシー・キャッシュ内のnonceメッセージの存続時間、およびメッセージの有効期限を調整することにより、セキュリティ・ポリシー強制の構成をチューニングできます。

セキュリティ・ポリシー強制を構成するには:

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「メッセージ・セキュリティ」タブを選択します。

3. ページの「セキュリティ設定」セクションで、次のプロパティを環境に合せて設定します。

- XPath変換の許可: OWSMですべてのタイプのXPath変換を受け入れるかどうかを指定します。デフォルトのOWSMでは、署名(着信SOAPメッセージ内)のancestor-or-self::*[namespace-uri()='<namespace>' and local-name()='<name>']のXPath変換のみが許可されます。
すべてのタイプのXPath変換を許可および許容するには、このプロパティを有効にします。デフォルトでは無効になります。このプロパティを有効にすると、XPathベースのサービス拒否攻撃を受けたり、類似のXPathベースの攻撃に対してセキュリティの脆弱性を露呈する恐れがあります。

- Nonce有効時間: Nonceがメッセージで送信されるときの、キャッシュ内でのNonceの合計存続時間を指定します。このプロパティにより、Nonceはキャッシュされ、この時間を超えるとキャッシュから削除されます。デフォルト値は28800000ミリ秒(8時間)です。
次の場合にこのプロパティを構成する必要があります。

- 短い期間でNonceを削除することでサーバーでのメモリー消費を減らす場合は、存続時間を小さくします。

- Nonceをサーバーにキャッシュする時間を長くすることで、メッセージの一意性/新しさを長期間保証する場合は、存続時間を大きくします。

このプロパティを設定するには、フィールドに新しい値を入力するか、上下方向の矢印をクリックしてデフォルト値を増減します。

注意:

ポリシー内のユーザー名トークンの設定では、リプレイ攻撃を避けるために、「必要な作成時間」および「必要なNonce」の両方のプロパティを有効にする必要があります。「必要なNonce」のみが有効な場合、Nonceはリプレイ攻撃を避けるために永久にキャッシュされます。また、「Nonce有効時間」には、「メッセージ期限切れ時間」の設定値以上の値を設定する必要があります。

- クロック・スキュー: クライアント・マシンとサーバー・マシンの間での時間差の許容範囲(秒単位)を指定します。たとえば、メッセージのタイムスタンプがタイムゾーンの異なるサービスに送信された場合に、このプロパティで指定された許容時間が許容されます。デフォルト値は360000ミリ秒(6分)。

注意:

このプロパティの値は、1秒以上である必要があります。値が1秒未満の場合、このプロパティは予期したとおりに動作しません。

クロック・スキューを調整するには、フィールドに新しい値を入力するか、上下方向の矢印をクリックしてデフォルト値を増減します。

このプロパティは次のように構成する必要があります。

- クライアントとWebサービスが異なるシステムで実行していて、システムのクロックが同期していない場合、クロック・スキューを大きくします。このような場合は、タイムスタンプ検証失敗のエラーで、サービスがクライアントからのメッセージを拒否する可能性があります。クロック・スキューを大きくすると、クライアントとWebサービスの間のクロックの差に対応できます。たとえば、Webサービスのクロックとクライアントのクロックの差が10分の場合、Webサービスをホストしているシステムでクロック・スキューを10分(600000ミリ秒)に増やします。

- リプレイ攻撃を避けるためにWebサービスがクライアントからのメッセージを受け付ける時間枠を狭くする場合は、クロック・スキューを小さくします。

- メッセージ期限切れ時間: メッセージが作成されてから期限切れになるまでの時間(秒)を指定します。このプロパティは、タイムスタンプがSOAPヘッダーで送信される場合に、タイプスタンプが期限切れかどうかを検証するために使用されます。また、メッセージの作成時に、クライアント側でタイムスタンプ期限切れ時間を制御するためにも使用されます。ここで指定した値は、すべてのメッセージ保護およびSAMLアサーション・テンプレート要素に適用されます。デフォルト値は300000ミリ秒(5分)。
クライアントとサービスのクロックの間に時間差がない場合でも、サービスが受信したときにメッセージが期限切れの場合は、メッセージの有効期限を増加する必要があります。メッセージの有効期限は、メッセージ期限切れ時間の値および受信メッセージ内の有効期限から求められ、2つのうち短い方の値となります。

たとえば、サーバーのメッセージ期限切れ時間が5分に設定されていて、受信メッセージの有効期限が6分の場合、有効なタイムスタンプ検証時間は5分のみであり、受信メッセージはその5分間のみ有効です。この場合は、サービス側でメッセージ期限切れ時間を増やす必要があります。(受信メッセージ内のタイムスタンプ有効期限を増加しても、メッセージ期限切れ時間は2つの値のうち短い方の値となるため、問題は解決しません。)

一方、サーバーのメッセージ期限切れ時間が5分で、受信メッセージの有効期限が3分の場合は、受信メッセージ(つまり、クライアント側)の有効期限を増加する必要があります。

注意:

メッセージ期限切れ時間の値が大きくなるほど、セキュリティの脆弱性が露呈する可能性があります。

4. 「適用」をクリックしてプロパティの更新を適用します。

14.5.3 Fusion Middleware Controlを使用したアイデンティティ拡張プロパティの構成

「メッセージ・セキュリティ」タブの「アイデンティティ」セクションのプロパティにより、WSDLのX509証明書を公開してWebサービス・ポリシーを強制するかどうかを指定できます。X509証明書を公開する必要がない場合は(たとえばSSLの場合など)、デフォルトの設定をオーバーライドして証明書を公開しないようにすることができます。さらに、X509をパブリッシュする場合は、hostname検証機能を無視するかどうかも指定できます。

サービス・アイデンティティ証明拡張およびホスト名検証の詳細は、「サービス・アイデンティティ証明拡張の理解」を参照してください。

注意:

サービス・アイデンティティ証明拡張は、公開鍵の元となる暗号化鍵を設定しません。最初に、「メッセージ保護に関するキーストアの構成の概要」の説明に従って、この鍵を指定する必要があります。

サービス・アイデンティティ証明拡張およびホスト名検証を有効化または無効化する手順

1. 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、公開鍵の元となる暗号化キーを設定します。

サービス側のオーバーライドを使用して暗号化鍵やWebサービスのキーストアをオーバーライドする場合は、オーバーライドされるキーに対応する証明書が使用されます。

2. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

3. 「メッセージ・セキュリティ」タブを選択します。

4. ページの「アイデンティティ」セクションで、次のプロパティを環境に合せて設定します。

- ホスト名検証の無視: ホスト名検証機能を無効にするかどうかをドメインごとに指定します。デフォルトでは、このプロパティは無効(true)です。ただし、プロパティをfalseに設定すると、ホスト名検証を有効化できます。

- アイデンティティWSDLの無視: クライアント側のWSDLから取得したX509証明書の使用を有効にするかどうかをドメインごとに指定します。デフォルトではこのプロパティは有効(false)で、クライアントのランタイムはWSDLからの証明書を暗号化に使用します。デフォルト設定をtrueに変更すると、X509証明書の使用を無効化できます。

5. 「適用」をクリックしてプロパティの更新を適用します。

14.5.4 Fusion Middleware Controlを使用したドメインのセキュア通信の構成

「WSMドメイン構成」ページの「メッセージ・セキュリティ」タブを使用して、ドメインのセキュア通信を構成できます。

次のトピックでは、セキュア通信を構成するために役立つ情報を提供しています。

- セキュア通信について

- Fusion Middleware Controlを使用したセキュア通信の構成

14.5.4.1 セキュア通信について

OWSMではWeb Services Trust仕様とWeb Services Secure Conversation仕様を実装しており、これによってWebサービスとクライアントの間でセキュアな通信が行われます。WS-SecureConversationを使用すると、Webサービスのパフォーマンスとセキュリティを向上できます。

セキュア通信の詳細は、『Oracle Web Services Managerの理解』のセキュア通信の理解に関する項を参照してください。

WS-SecureConversationは、ドメイン・レベルおよびポリシー・レベルで構成できます。OWSMで提供される事前定義済のWS-SecureConversationポリシーを使用する場合、WS-SecureConversationはすでに有効です。しかし、事前定義済アサーション・テンプレートの多くにはセキュア通信機能が用意されており、このようなアサーション・テンプレートに基づくポリシーを構成して、セキュア通信を使用できます。ポリシー・レベルでのセキュア通信の構成の詳細は、「セキュア通信の構成について」を参照してください。

14.5.4.2 Fusion Middleware Controlを使用したセキュア通信の構成

ドメイン・レベルでセキュア通信を構成するには、この項の手順に従います。

ドメイン・レベルでセキュア通信を構成するには:

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「メッセージ・セキュリティ」タブを選択します。

3. ページの「WSセキュア通信」セクションで、必要に応じて、次のプロパティを環境に合せて構成します。

- セキュア通信トークンの存続時間: セキュア通信セッションが期限切れになるまでのデフォルトの時間をミリ秒で指定します。通信セッションの存続期間中は、このセキュリティ・コンテキストがクライアントとWebサービスによって共有されます。この時間が経過すると、SCTは時間切れとなります。デフォルトは1800000ミリ秒(30分)です。

- 再認証のためのセキュア通信トークンの存続時間: 再認証ユースケースのセキュア通信が期限切れになるまでのデフォルトの時間をミリ秒で指定します。セッションは複数のユーザーで共有されるため、通常、再認証存続時間セッションには大きめの値を設定します。再認証が有効でセッションが複数のユーザーで共有される場合、これを大きな値に設定できます。デフォルトは28800000ミリ秒(8時間)です。

- RMプロトコル・メッセージ本文の暗号化: (Webサービス・クライアントのみに適用。)WS-RMプロトコル・メッセージを暗号化するかどうかを指定します。デフォルトでは、このプロパティは無効です。有効の場合、createSequence()やterminateSequence()などのプロトコル・リクエスト・メッセージの本文が暗号化されます。
プロトコル・メッセージのレスポンス・メッセージ本文は、リクエスト・メッセージ本文に依存します。クライアントからのリクエスト・メッセージがプロトコル・メッセージに対して暗号化されている場合、Webサービスは暗号化されたレスポンスを送信します。逆についても同様です。

4. 「適用」をクリックしてプロパティの更新を適用します。

14.6 Fusion Middleware Controlを使用したOWSMポリシー・アクセスの構成

WSMドメイン構成ページの「ポリシー・アクセス」タブでは、ポリシー・マネージャの接続の自動検出や、接続にSSLを使用するかどうかの構成が可能です。また、ポリシー・キャッシュの管理および再試行ロジックのチューニングによる高可用性の構成も行えます。

次の各項では、構成の詳細を説明します。

- Fusion Middleware Controlを使用したポリシー・マネージャ接続の構成の理解

- Fusion Middleware Controlを使用したOWSMの構成キャッシュの手動によるリフレッシュについて

- Fusion Middleware Controlを使用したポリシー・マネージャ接続のSSLの構成

- Fusion Middleware Controlを使用した高可用性の構成およびキャッシュの管理

14.6.1 Fusion Middleware Controlを使用したポリシー・マネージャ接続の構成の理解

「ポリシー・アクセス」タブの「ポリシー・マネージャ」セクションでは、ポリシー・マネージャの自動検出の構成、代替のポリシー・マネージャURLと資格証明ストア・キーおよびポリシー・マネージャにアクセスするための資格証明の指定、およびリフレッシュ構成とインベントリ遅延設定の変更を行えます。

次のトピックでは、ポリシー・マネージャ接続を構成するために役立つ情報を提供します。

- 自動検出およびポリシー・マネージャへの接続について

- Fusion Middleware Controlを使用したポリシー・マネージャへの接続の構成

14.6.1.1 自動検出およびポリシー・マネージャへの接続について

OWSMは自動検出機能を使用してOWSMポリシー・マネージャを検索し、接続します。デフォルトでは、自動検出ロジックは、常に非セキュア・プロトコルを使用してローカル・ドメイン内のポリシー・マネージャに接続します。非セキュア・ポートが無効であるために非セキュア・プロトコルを使用してポリシー・マネージャに接続できない場合、自動検出ロジックはセキュア・プロトコルを使用してポリシー・マネージャに接続しようとします。ただし、自動検出を使用する場合は、SSLを使用して接続を保護するかどうかを指定できます。指定すると、自動検出ロジックはセキュア・プロトコルのみを使用してポリシー・マネージャに接続し、SSL対応サーバーがダウンしている場合でも、非SSLサーバーにデプロイされたポリシー・マネージャへの接続を試みません。

自動検出は、OWSMポリシー・マネージャ・インスタンスをホストするWebLogicドメインでのみサポートされます。自動検出の詳細は、「ポリシー・マネージャの自動検出のためのクロス・コンポーネント・ワイヤリング」を参照してください。

次の場合には、自動検出機能を無効にできます。

- ドメインのネットワークが2つ以上に分割されている場合(特に、ファイアウォールがネットワーク間に存在する場合)。

- WebSphere Application Serverなど、自動検出機能をサポートしないWebLogic以外のアプリケーション・サーバーで実行中の場合。

- デフォルト設定をオーバーライドする場合。

14.6.1.2 Fusion Middleware Controlを使用したポリシー・マネージャへの接続の構成

ポリシー・マネージャ接続を構成するには:

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「ポリシー・アクセス」タブを選択し、ページの「ポリシー・マネージャ」セクションで次の変更を行います。

3. OWSMポリシー・マネージャ・インスタンスへのアクセスを許可されたプリンシパル(および資格証明)を取得するための資格証明ストア・キーを指定します。次の場合には、このプロパティを構成する必要があります。

- OWSMポリシー・マネージャに接続するために、デフォルトでOWSMが使用するシステム・アカウントOracleSystemUserではなく、明示的にアカウントを指定する場合。

- 構成される認証プロバイダおよびLDAPディレクトリは、Oracle WebLogicで使用されるシステム・アカウントをサポートしませんが、OWSMはデフォルトでこれを使用します。そのために、LDAPディレクトリ内の別のアカウントを使用する必要がある場合。

- 特定のアプリケーション・サーバーにデフォルトのシステム・アカウントの概念がなく、システムがシステム・アカウントに依存できない場合。

デフォルト・ユーザーの変更の詳細は、「デフォルト・ユーザーの変更について」を参照してください。

資格証明ストアCSFキーを指定するには、次のいずれかの操作を行います。

- 必要なCSFキーが資格証明ストアに存在する場合は、「PM CSFキー」メニューから選択します。メニューからキーを選択すると、「資格証明」フィールドおよび「パスワード」フィールドが無効となり、選択したキーに関連する資格証明が使用されます。

- CSFキーが「PM CSFキー」メニューに表示されない場合は、「PM CSFキー」フィールドにCSFキーを入力します。場合によっては、「PM CSFキー」フィールドに新しい値を入力する前に、フィールドを消去する必要があります。「資格証明」フィールドに、ポリシー・マネージャ・インスタンスにアクセスするときに使用するユーザー名を入力します。「パスワード」フィールドおよび「確認」フィールドで、資格証明フィールドに入力したユーザー名のパスワードを入力します。

「PM CSFキー」を指定しなかった場合、OracleSystemUserプリンシパル(WebLogic Server環境の標準)が使用されます。

4. ポリシー・マネージャの自動検出機能を使用するかどうかを指定し、使用する場合は、SSLが必要かどうかを指定します。「自動検出」が有効の場合は、SSLを使用する必要があるかを指定するチェックボックスがアクティブになります。
デフォルトでは、自動検出は有効で、SSLは無効です。この場合、自動検出ロジックは常に非セキュア・プロトコルを使用してポリシー・マネージャに接続を試みます。非セキュア・ポートが無効であるために接続できない場合、セキュア・プロトコルを使用してポリシー・マネージャに接続しようとします。

自動検出とSSLを使用するには、「自動検出」が選択されていることを確認し、「SSLのみを使用」を選択します。SSLが有効な場合、自動検出ロジックはセキュア・プロトコルのみを使用してポリシー・マネージャに接続し、SSL対応サーバーがダウンしている場合でも、非SSLサーバーにデプロイされたポリシー・マネージャへの接続を試みません。

自動検出は、OWSMポリシー・マネージャ・インスタンスをホストするWebLogicドメインでのみサポートされます。

自動検出機能を無効にするには、「自動検出」チェック・ボックスの選択を解除します。無効な場合、「編集」アイコンが有効になり、次の手順の説明に従って、URLを手動で入力してポリシー・マネージャ・インスタンスにアクセスできます。

5. 自動検出が無効な場合は、ポリシー・マネージャの場所を示すURLを指定します。これを行うには、次の手順を実行します。

a. 「自動検出」チェック・ボックスの選択を解除します(まだの場合)。

b. 「PM URL」フィールド内の「編集」をクリックします。

c. 「PM URLの編集」ウィンドウで、+記号をクリックします。

d. 空白のフィールドに、ポリシー・マネージャのURLを入力します。
次のプロトコルが有効です。

file://location_of_mds_home: リポジトリがMDSインスタンスとして直接アクセスされます(Java SEでのみサポート)。

classpath://JAR_location: 事前定義済のポリシーおよびアサーション・テンプレートを含むJARファイルが、クラスパスの場所を使用してアクセスされます。

注意:

クラスパス・モードは読取り専用のポリシー・マネージャ・モードのため、設計時のポリシー・アタッチメントのみが有効です。このモードでは、デプロイ後のポリシー・アタッチメントまたはグローバル・ポリシー・セットは有効ではありません。

URLフィールドに値を入力しない場合、非セキュア・プロトコルを使用して、同じドメイン内で自動検出が行われます。

6. 必要に応じて、「リフレッシュ・レート」および「インベントリ・レコード遅延」を調整します。

- リフレッシュ・レートは、次の構成リフレッシュまでに待機するミリ秒数を指定します。デフォルトは600,000ミリ秒(10分)です。

- インベントリ・レコード遅延は、インベントリ・データを送信するまでに待機するミリ秒数を指定します。デフォルトは60,000ミリ秒(1分)です。

フィールドに新しい値を入力するか上下方向の矢印をクリックしてデフォルト値を増減します。

7. 「適用」をクリックしてプロパティの更新を適用します。

14.6.2 Fusion Middleware Controlを使用したOWSMの構成キャッシュの手動によるリフレッシュについて

OWSMには、構成およびドキュメントのキャッシュを定期的な間隔で自動的にリフレッシュするためのバックグラウンド・スレッドがあります。この間隔はrefresh.repeatプロパティおよびcache.refresh.repeatプロパティで指定します。この自動リフレッシュを無効にするには、auto.refresh構成プロパティの値に無効を設定します。その後は、必要なときに構成およびドキュメントのキャッシュを手動でリフレッシュできます。

次の各項では、これについてさらに詳しく説明しています。

- Fusion Middleware Controlを使用したOWSMの自動リフレッシュ・オプションの無効化

- Fusion Middleware Controlを使用したOWSMの自動リフレッシュのステータスの確認

- Fusion Middleware Controlを使用したOWSMキャッシュの手動によるリフレッシュ

14.6.2.1 Fusion Middleware Controlを使用したOWSMの自動リフレッシュ・オプションの無効化

OWSMの自動リフレッシュ・オプションを無効にするには、「自動リフレッシュ」構成プロパティの値に「無効」を設定します。自動リフレッシュ・オプションを無効にするには:

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「ポリシー・アクセス」タブを選択し、そのページの「ポリシー・マネージャ」セクションで、「自動リフレッシュ」の値に「無効」を設定します。

図14-8 OWSMの構成キャッシュを手動でリフレッシュするために、自動リフレッシュ・オプションを無効にする

3. 変更を適用するには、「適用」をクリックします。

14.6.2.2 Fusion Middleware Controlを使用したOWSMの自動リフレッシュのステータスの確認

自動リフレッシュのステータスを確認するには:

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「ポリシー・アクセス」タブを選択します。

「ポリシー・マネージャ」セクションの「自動リフレッシュ」オプションには、OWSMの自動リフレッシュのステータスが表示されます。

図14-9 自動リフレッシュのステータスが表示されている「WSMドメイン構成」ページの「ポリシー・アクセス」タブ

14.6.2.3 Fusion Middleware Controlを使用したOWSMキャッシュの手動によるリフレッシュ

構成およびドキュメントのキャッシュを手動でリフレッシュする手順は、次のとおりです。

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「ポリシー・アクセス」タブを選択します。

図14-10 「WSMドメイン構成」ページの「ポリシー・アクセス」タブ

3. 「ポリシー・マネージャ」セクションで、「リフレッシュ」をクリックして、すべてのサーバーの構成キャッシュをリフレッシュします。

注意:
手動によるリフレッシュは、OWSMの構成およびドキュメント(ポリシー、ポリシー・セットなど)にのみ影響します。

「情報」ダイアログ・ボックスが表示され、サーバーのリフレッシュ・ステータスが示されます。

図14-11 サーバーのリフレッシュ・ステータス

14.6.3 Fusion Middleware Controlを使用したポリシー・マネージャ接続のSSLの構成

「ポリシー・アクセス」タブの「SSL設定」セクションのプロパティを使用して、OWSMランタイムおよびポリシー・マネージャ間の通信で使用されるSSL (ある場合)のタイプを構成できます。

SSLを構成するには、次のようにします。

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「ポリシー・アクセス」タブを選択します。

3. ページの「SSL設定」セクションで、使用するSSL (ある場合)のタイプを指定します。次のいずれかのオプションを選択します。

- 一方向: 一方向SSLでは、サーバーはクライアントに証明書を提示する必要がありますが、クライアントがサーバーに証明書を提示する必要はありません。一方向SSLが有効になっている場合は、信頼キーストアへのアクセスに必要な次の資格証明を指定する必要があります。

- トラストストア・パス: 信頼キーストアへの完全修飾パスを入力します。

- キー: トラストストアの資格証明を取得するために使用するCSFキーを選択します。必要なキーがメニューに表示されない場合は、このフィールドにキーを入力できます。場合によっては、フィールドに新しい値を入力する前に、フィールドを消去する必要があります。

- パスワード/確認: トラストストアにアクセスするためのパスワードを入力/再入力します。「キー」メニューから既存のCSFキーを選択した場合、これらのフィールドは使用できません。その場合は、選択したキーに関連付けられている資格証明が使用されます。

- 双方向: 双方向SSLでは、サーバーはクライアントに、またクライアントはサーバーに証明書を提示します。双方向SSLが有効になっている場合は、トラストストアおよびキーストアに関する次の資格証明を指定する必要があります。

- トラストストア・パス: 信頼キーストアへの完全修飾パスを入力します。

- キー: トラストストアの資格証明を取得するために使用するCSFキーを選択します。必要なキーがメニューに表示されない場合は、このフィールドにキーを入力できます。場合によっては、フィールドに新しい値を入力する前に、フィールドを消去する必要があります。

- パスワード/確認: トラストストアにアクセスするためのパスワードを入力/再入力します。「キー」メニューから既存のCSFキーを選択した場合、これらのフィールドは使用できません。その場合は、選択したキーに関連付けられている資格証明が使用されます。

- キーストア・パス: Javaキーストアへの完全修飾パスを入力します。

- キー: キーストアの資格証明を取得するために使用するキーストア・キーを選択します。必要なキーがメニューに表示されない場合は、このフィールドにキーを入力できます。場合によっては、フィールドに新しい値を入力する前に、フィールドを消去する必要があります。

- パスワード/確認: キーストアにアクセスするためのパスワードを入力/再入力します。「キー」メニューから既存のCSFキーを選択すると、これらのフィールドは無効となり、選択したキーに関連する資格証明が使用されます。

- SSL別名: キーストアの別名を入力します。

- なし: SSLを使用しません。

4. 「適用」をクリックしてプロパティの更新を適用します。

14.6.4 Fusion Middleware Controlを使用した高可用性の構成およびキャッシュの管理

「ポリシー・アクセス」タブの「キャッシュ管理」セクションのプロパティを使用すると、ポリシー・キャッシュを管理し、再試行ロジックのチューニングによる高可用性を構成できます。

次のトピックでは、高可用性の構成およびポリシー・キャッシュの管理に役立つ情報を提供します。

- 高可用性とキャッシュ管理について

- Fusion Middleware Controlを使用した高可用性の構成およびキャッシュの管理

14.6.4.1 高可用性とキャッシュ管理について

構成管理システムは、ポリシー・マネージャに定期的に接続します(たとえば、接続情報が変化する状況に対処するため)。ランタイムが再接続を試みたときにポリシー・マネージャが停止している場合は、connect.retry.delayプロパティの値を使用して、再試行のタイミングが決まります。このプロパティは、「WLSTを使用したポリシー・マネージャ接続の構成」の説明に従って設定できます。

初期接続が行われてもOWSMリポジトリが正常に動作していない場合、サービスは非操作状態で開始します。「失敗再試行回数」プロパティおよび「失敗再試行遅延」プロパティの値を調整して、エージェントが、リポジトリにアクセスするポリシー・マネージャとの通信を試みる回数と、再試行の間隔を決定できます。リポジトリが使用可能になると、サービスは操作可能になります。

「初期キャッシュ・リフレッシュ」プロパティおよび「キャッシュ・リフレッシュ時間」プロパティを調整して、キャッシュ済のドキュメントをリフレッシュするためにエージェントがポリシー・マネージャへのアクセスを試みる頻度を変更できます。「欠落ドキュメント再試行遅延」プロパティは、取得できなかったドキュメントを取得するためにポリシー・マネージャへの接続をエージェントが試みる頻度を指定します。ポリシー・マネージャとの通信が失敗したために(たとえば、ポリシー・マネージャの停止が原因)、ドキュメントまたは関連ドキュメントのグループ(ポリシー・セットなど)を取得できなかった場合、「欠落ドキュメント再試行遅延」プロパティは、ポリシー・マネージャが修正されるまで、ポリシー・マネージャとの通信を試みる頻度に引き続き影響します。

14.6.4.2 Fusion Middleware Controlを使用した高可用性の構成およびキャッシュの管理

高可用性を構成し、ポリシー・キャッシュを管理するには:

1. 「「WSMドメイン構成」ページへの移動」の説明に従って、「WSMドメイン構成」ページに移動します。

2. 「ポリシー・アクセス」タブを選択します。

3. ページの「キャッシュ管理」セクションで、次のプロパティを環境に合せて構成します。

- 失敗再試行遅延: 次の再試行までの待機時間(ミリ秒数)を指定します。デフォルトは5000ミリ秒です。

- 「ユーザー・レコード遅延」: 使用状況データを送信するまでの待機時間(ミリ秒数)を指定します。デフォルトは30000ミリ秒です。

- 失敗再試行回数: 通信の失敗後に再試行する回数を指定します。デフォルトは2回の再試行です。

- 欠落ドキュメント再試行遅延: 不足ドキュメントの取得を試行するまでの待機時間(ミリ秒数)を指定します。デフォルトは15000ミリ秒です。

- 初期キャッシュ・リフレッシュ: 最初のキャッシュ・リフレッシュまでの待機時間(ミリ秒数)を指定します。デフォルトは600000ミリ秒(10分)です。

- キャッシュ・リフレッシュ時間: 次のキャッシュ・リフレッシュまでの待機時間(ミリ秒数)を指定します。デフォルトは600000ミリ秒(10分)です。

これらのプロパティを設定するには、フィールドに新しい値を入力するか、上下方向の矢印をクリックしてデフォルト値を増減します。

4. 「適用」をクリックしてプロパティの更新を適用します。

14.7 WLSTを使用したOWSMドメインの構成プロパティの管理について

WLSTを使用して、認証、メッセージ・セキュリティ、ポリシー・アクセスなど、OWSMのドメイン・レベルの構成プロパティを表示および設定できます。これらの構成プロパティのほとんどは、setWSMConfigurationコマンドを使用して設定できます。

この項の内容は、次のとおりです。

- WLSTを使用したOWSMドメイン構成の表示

- setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定

信頼できる発行者およびメッセージ保護キーストアを構成するための追加のコマンドが用意されています。これらのコマンドを使用する手順は、次の各項を参照してください。

- WLSTを使用した信頼できるSAML発行者とJWT発行者、DNリストおよびトークン属性ルールの構成

- WLSTを使用したトークン発行者信頼ドキュメントの削除

- WLSTを使用したOWSMキーストアの構成

これらのWLSTコマンドの詳細は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

14.7.1 WLSTを使用したOWSMドメイン構成の表示

リポジトリ内の現在の構成ドキュメントに指定されている構成プロパティは、その値およびグループと合せてすべて表示できます。構成ドキュメント内でプロパティが定義されていない場合は、製品に対して定義されているデフォルト値が表示されます。

OWSMドメイン構成を表示するには:

1. 構成の表示元である、ドメイン内のサーバーの実行中のインスタンスに接続します。詳細は、『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項を参照してください。

2. displayWSMConfiguration()コマンドを使用して、OWSMドメイン構成を表示します。

displayWSMConfiguration([context=None])

たとえば、コンテキストwls/base_domainで指定されるドメインの構成を表示するには、次のコマンドを入力します。

wls:/new_domain/serverConfig> displayWSMConfiguration('/wls/base_domain')

NAME: "allow.all.xpaths" CATEGORY: "Agent" SOURCE: "default"Value: false

NAME: "use.unified.fault.code" CATEGORY: "Agent" SOURCE: "default"Value: true

NAME: "client.clock.skew" CATEGORY: "Agent" SOURCE: "default"Value: 0

NAME: "compliance.check" CATEGORY: "Agent" SOURCE: "default"Value: true

NAME: "clock.skew" CATEGORY: "Agent" SOURCE: "default"Value: 360000

NAME: "expire.time" CATEGORY: "Agent" SOURCE: "default"Value: 300000

.
.
.

前述の出力では、構成プロパティ設定のソースがdefaultとして示されています。つまり、設定は、製品のデフォルト構成ドキュメントに基づきます。設定が変更されている場合、その設定はドメインの構成ドキュメントに保存され、SOURCEフィールドに反映されます。次に例を示します。

NAME: "remove.anonymous.role" CATEGORY: "SubjectProperties" SOURCE: "/WLS/base_domain"
Value: true

14.7.2 setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定

ドメインレベルの構成プロパティは、setWSMConfigurationコマンドを使用して設定できます。

セッションのコンテキストでsetWSMConfigurationコマンドを使用する必要はありません。

setWSMConfigurationコマンドを使用してOWSMドメインの構成プロパティを変更するには:

1. 構成するドメイン内のサーバーの実行中のインスタンスに接続します。詳細は、『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項を参照してください。

2. 必要に応じて、displayWSMConfiguration()コマンドを使用して、ドメインの現在の構成を表示します。詳細は、「WLSTを使用したOWSMドメイン構成の表示」を参照してください。

3. setWSMConfiguration()コマンドを使用して、必要な構成プロパティを設定します。

setWSMConfiguration (context,category,name,[group=None],[values=None])

コマンドの説明は次のとおりです。

- context: 変更される構成ドキュメントのコンテキストを指定します。コンテキストが指定されなかった場合またはNoneに設定された場合、現在接続しているドメインに関連する構成ドキュメントが使用されます。

- category: プロパティのカテゴリ。デフォルトのプロパティ・セットに対してカテゴリが検証され、コンテキストに適しているかどうかが確認されます。このフィールドは必須です。

- name: プロパティの名前。デフォルトのプロパティ・セットに対して名前が検証され、コンテキストに適しているかどうかが確認されます。このフィールドは必須です。

- group: 構成ドキュメントに追加する値のセットが含まれているグループ。グループが存在し、この値がNoneに設定される場合、グループは削除されます。このフィールドはオプションです。

- values: 構成ドキュメント内のプロパティまたはグループに対して設定する値の配列。このフィールドはオプションです。

たとえば、デフォルトのSAML2ログイン・モジュール・プロパティを変更するには、次のコマンドを指定できます。

wls:/base_domain/serverConfig> setWSMConfiguration(None,'SAML2LoginModule','add.assertion.to.subject',None,['false'])

A new property "add.assertion.to.subject" within category "SAML2LoginModule" has been added.
The values "[false]" have been added to property "add.assertion.to.subject" within category "SAML2LoginModule".
Configuration properties associated with the context "/wls/base_domain" has been created.

wls:/base_domain/serverConfig> setWSMConfiguration(None,'SAML2LoginModule','allow.virtual.user',None,['false'])

A new property "allow.virtual.user" within category "SAML2LoginModule" has been added.
The values "[false]" have been added to property "allow.virtual.user" within category "SAML2LoginModule".
Configuration properties associated with the context "/WLS/base_domain" has been updated.

各構成タイプの構成プロパティのリストについては、次の各項を参照してください。

14.8 WLSTを使用したドメイン・レベルの認証の構成

WLSTを使用して、SAML信頼、JWT信頼、発行済トークンに対して使用する存続期間、OWSM認証後に作成されるJAASサブジェクトのサブジェクト・プロパティなど、OWSMのドメイン・レベルの認証プロパティを構成できます。SAML、SAML2、Kerberos、X509およびカスタムのログイン・モジュールを構成することもできます。

次の各項では、構成の詳細を説明します。

- WLSTを使用した信頼できるSAML発行者とJWT発行者、DNリストおよびトークン属性ルールの構成

- WLSTを使用したトークン発行者信頼ドキュメントの削除

- WLSTを使用した発行済トークンの存続期間の構成

- WLSTを使用したSAMLおよびSAML2ログイン・モジュールの構成

- WLSTを使用したKerberosログイン・モジュールの構成

- WLSTを使用したサブジェクト・プロパティの構成

- WLSTを使用したX509ログイン・モジュールの構成

- WLSTを使用したカスタム・ログイン・モジュールの構成

14.8.1 WLSTを使用した信頼できるSAML発行者とJWT発行者、DNリストおよびトークン属性ルールの構成

信頼できるSAMLおよびJWT発行者とDNリストは、OWSMリポジトリ内の信頼構成ドキュメントに格納されます。信頼できる発行者およびDNリストを構成するには、リポジトリ内に新しいドキュメントを作成するか、リポジトリ内の既存のドキュメントを編集する必要があります。

WLSTを使用してトークン発行者信頼ドキュメントを作成、変更および削除する場合、セッションのコンテキストでコマンドを実行する必要があります。各セッションは、単一の信頼ドキュメントにのみ適用されます。

信頼できる発行者、DNリストおよびトークン属性ルールの詳細は、次の各項を参照してください。

- Fusion Middleware Controlを使用した信頼できるSAML発行者およびDNリスト

- Fusion Middleware Controlを使用した信頼できる発行者のトークン属性ルールの構成

- Fusion Middleware Controlを使用した信頼できるJWT発行者およびDNリストの構成

WLSTを使用して信頼できるSAML発行者とJWT発行者、DNリストおよびトークン属性ルールを構成するには:

1. 構成の表示元である、ドメイン内のサーバーの実行中のインスタンスに接続します。詳細は、『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項を参照してください。

2. beginWSMSessionコマンドを使用してリポジトリ・セッションを開始します。

リポジトリを変更するセッションを作成するために、beginWSMSessionコマンドを使用します。すべての作成、変更または削除のコマンドは、セッションのコンテキストで実行する必要があります。セッションは、単一のドキュメントにのみ作用できます。

次に例を示します。

wls:/base_domain/serverConfig> beginWSMSession()

Session started for modification.

3. listWSMTokenIssuerTrustDocumentsコマンドを使用して、リポジトリ内のトークン発行者信頼ドキュメントをリストします。

listWSMTokenIssuerTrustDocuments(name=None, detail='false')

引数を指定せずに使用すると、リポジトリ内のすべてのトークン発行者信頼ドキュメントがリストされます。detail引数をtrueに設定すると、ドキュメントの表示名およびステータスも表示されます。

次に例を示します。

wls:/base_domain/serverConfig> listWSMTokenIssuerTrustDocuments(detail='true')

List of Token Issuer Trust Documents in the Repository:

Name         : oracle-default
Display Name : i18n:oracle.wsm.resources.resdesc.ResourceDescriptionBundle_property-TokenIssuerTrust_displayName
Status       : DOCUMENT_STATUS_COMMITTED

4. 次のいずれかを行います:

- ドメインのトークン発行者信頼ドキュメントが存在しない場合は、createWSMTokenIssuerTrustDocumentコマンドで作成します。name引数は必須です。通常、ドキュメントの名前は、tokenissuertrust<ServerType><domainName>の形式に従う必要があります(たとえば、tokenissuertrustWLSbase_domain)。

createWSMTokenIssuerTrustDocument(name, displayName)

次に例を示します。

wls:/base_domain/serverConfig> createWSMTokenIssuerTrustDocument('tokenissuertrustWLSbase_domain')

New Token Issuer Trust document named "tokenissuertrustWLSbase_domain" created.
Run the setWSMConfiguration command where category = "TokenIssuerTrust",
property name = "name" and value = "tokenissuertrustWLSbase_domain", for the new
document to be used in the domain configuration.

wls:/base_domain/serverConfig> setWSMConfiguration (None,'TokenIssuerTrust','name',None,['tokenissuertrustWLSbase_domain'])

The values "[tokenissuertrustWLSbase_domain]" have been added to property "name" within category "TokenIssuerTrust".
Configuration properties associated with the context "/WLS/base_domain" has been updated.

- ドメインのトークン発行者信頼ドキュメントが存在する場合は、変更するドキュメントをselectWSMTokenIssuerTrustDocumentコマンドで選択します。name引数は必須です。

selectWSMTokenIssuerTrustDocument(name)

次に例を示します。

wls:/base_domain/serverConfig> selectWSMTokenIssuerTrustDocument('tokenissuertrustWLSbase_domain')

Token Issuer Trust document named "tokenissuertrustWLSbase_domain" selected in the session.

5. 必要に応じて、ドキュメントの表示名をsetWSMTokenIssuerTrustDisplayNameコマンドで指定します。表示名はオプションですが、ドキュメントの説明に役立ちます。ドキュメントの作成時に表示名を指定した場合、必要に応じて、このコマンドで表示名を変更できます。

setWSMTokenIssuerTrustDisplayName(displayName)

次に例を示します。

wls:/base_domain/serverConfig> setWSMTokenIssuerTrustDisplayName('base_domain Trust Document')

Display Name of the document changed from null to base_domain Trust Document.

6. setWSMTokenIssuerTrustコマンドを使用して、信頼できる発行者を追加し、信頼できるキーまたは信頼できるDNリストを定義します。

setWSMTokenIssuerTrust(type, issuer, [trustedKeys=None])

コマンドの説明は次のとおりです。

- typeは、発行者が発行したトークンのタイプと、発行者署名証明書がtrustedKeysで識別される方法を示します。サポートされるタイプ値を次の表に示します。

このタイプ値の場合...

このトークン・タイプの場合...

このキー・タイプの場合...

キー識別タイプ

dns.sv

SAML SV

X509証明書

DN

dns.hok

SAML HOKまたはベアラー

X509証明書

DN

dns.alias.sv

SAML SV

X509証明書

別名

dns.alias.hok

SAML HOKまたはベアラー

X509証明書

別名

dns.jwt

JWT

X509証明書

DN

- issuerは、信頼できる発行者の名前です(www.oracle.comなど)。

- trustedKeysはオプションの引数で、信頼できるキー識別子、つまり発行者のDNリストまたは別名を指定するときに使用します。

このコマンドは次のように動作します。

- 指定されたタイプに対して信頼できる発行者がすでに存在する場合、trustedKeys引数にDNリストまたは別名を指定すると、以前のリストが新しいリストに置換されます。trustedDNs引数に空集合([])を入力すると、発行者からDN値のリストが削除されます。

- 指定されたタイプに対して信頼できる発行者が存在しない場合、trustedKeys引数に値を指定すると、関連するDNリストで発行者が作成されます。trustedKeys引数を設定しない場合は、空のDNリストで新しい発行者が作成されます。

次の例では、www.yourcompany.comが信頼できる発行者として設定されます。DNリストは指定されていません。

wls:/base_domain/serverConfig> setWSMTokenIssuerTrust("dns.sv","www.yourcompany.com",[])

New issuer - "www.yourcompany.com" added to the document.
The issuer and trusted DN values have been updated successfully.

次の例では、CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=US'およびCN=orcladmin, OU=Doc, O=Oracle, C=US'が、信頼できるSAML発行者www.oracle.comのDNリストdns.svにDNとして設定されます。

wls:/base_domain/serverConfig> setWSMTokenIssuerTrust('dns.sv','www.oracle.com',
['CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle',
'CN=orcladmin, OU=Doc, O=Oracle, C=US'])

New issuer - "www.oracle.com" added to the document.
Issuer set with the given trusted keys.
The issuer and trusted DN values have been updated successfully.

7. displayWSMTokenIssuerTrustコマンドを使用して、信頼できる発行者およびDNリストを表示します。

displayWSMTokenIssuerTrust(type, issuer=None)

type引数とissuer引数の値を指定すると、発行者のDNリストが表示されます。発行者名を指定しないと、指定されたタイプのすべての信頼できる発行者がリストされます。

たとえば、信頼できる発行者www.oracle.comのDNリストを表示する手順は、次のとおりです。

wls:/base_domain/serverConfig> displayWSMTokenIssuerTrust('dns.sv', 'www.oracle.com')

List of trusted key(s) for this issuer:

Key Identifier : CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=US
Key Type       : x509certificate
Value Type     : dn

Key Identifier : CN=orcladmin, OU=Doc, O=Oracle, C=US
Key Type       : x509certificate
Value Type     : dn

タイプdns.svのすべての信頼できる発行者を表示する手順は、次のとおりです。

wls:/base_domain/serverConfig> displayWSMTokenIssuerTrust('dns.sv')

List of trusted issuers for this type:

www.yourcompany.com
www.oracle.com
List of trusted key(s) for this issuer:

Key Identifier : CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=US
Key Type       : x509certificate
Value Type     : dn

Key Identifier : CN=orcladmin, OU=Doc, O=Oracle, C=US
Key Type       : x509certificate
Value Type     : dn

8. 必要に応じて、setWSMTokenIssuerTrustAttributeFilterコマンドを使用して信頼できるDNのトークン属性ルールを定義することにより、追加のセキュリティ制約を指定できます。属性ルールは、サブジェクト名IDに適用できます。

setWSMTokenIssuerTrustAttributeFilter(dn, attr-name, [filters])

コマンドの説明は次のとおりです。

- dnは、トークン署名証明書のDNを表します。

- attr-nameは、サブジェクト名IDのname-id形式を使用して、アサートする属性名の名前を表します。

- filtersは、['value1,'value2','value3'...]形式で、属性のフィルタのリストを表します。各値には、正確な名前またはワイルドカードの"*"文字を含む名前パターンを指定できます。attr-name引数に対してname-idが指定された場合、受信SAMLアサーション内のサブジェクト名IDの値は、指定値のいずれかと一致する必要があります。値が指定されていない場合、サブジェクト名IDの任意の値が使用されます。

このコマンドは次のように動作します。

- attr-name引数で指定される属性がフィルタ値のリストとともにすでに存在する場合、filters引数で新しい値のリストを指定すると、以前のリストが新しいリストに置換されます。filters引数に空集合([])を入力すると、既存のフィルタ値のリストが削除されます。

- attr-name引数で指定される属性が存在しない場合、filters引数で値のリストを指定すると、指定されたフィルタ値で属性が作成され、ドキュメントに追加されます。filters引数の値を指定しない場合は、エラーがスローされます。

次の例では、名前ID yourTrustedUserおよびjdoeが、信頼できるDN weblogicの信頼できるユーザーとして設定されます。

wls:/base_domain/serverConfig> setWSMTokenIssuerTrustAttributeFilter('CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=US',
'name-id', ['yourTrustedUser','jdoe'])

New TokenAttributeRule added for DN: CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=US.

9. 必要に応じて、deleteWSMTokenIssuerTrustAttributeRuleコマンドを使用して、トークン属性ルールを削除します。

deleteWSMTokenIssuerTrustAttributeRule(dn)

たとえば、信頼できるDN weblogicに関連するトークン属性ルールを削除する手順は、次のとおりです。

wls:/base_domain/serverConfig> deleteWSMTokenIssuerTrustAttributeRule('CN=weblogic, OU=Orakey Test Encryption Purposes Only,
O=Oracle, C=US')

Token Attribute Rule(s) for DN: CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=US, deleted successfully.

注意:

このコマンドは属性ルールを削除します。属性ルール内の属性のフィルタ値リストのみを削除するには、setWSMTokenIssuerTrustAttributeFilterコマンドを使用し、filters属性に空集合([])を入力します。

10. commitWSMSessionコマンドを使用して、OWSMリポジトリに対して、このセッションのコンテンツの書込みを行います。

次に例を示します。

wls:/base_domain/serverConfig> commitWSMSession()
The tokenissuertrust tokenissuertrustWLSbase_domain is valid.
Creating tokenissuertrust tokenissuertrustWLSbase_domain in repository.
Session committed successfully.

また、セッション中にリポジトリに加えたすべての変更を破棄するabortWSMSessionコマンドを使用することにより、すべての変更を取り消すことができます。

これらのコマンドの詳細は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のトークン発行者信頼構成コマンドに関する項を参照してください。

14.8.2 WLSTを使用したトークン発行者信頼ドキュメントの削除

リポジトリからトークン発行者信頼ドキュメントを削除するには、この項の手順に従います。

トークン発行者信頼ドキュメントをリポジトリから削除するには:

1. 構成の表示元である、ドメイン内のサーバーの実行中のインスタンスに接続します。詳細は、『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項を参照してください。

2. beginWSMSessionコマンドを使用してリポジトリ・セッションを開始します。

次に例を示します。

wls:/base_domain/serverConfig> beginWSMSession()

Session started for modification.

3. listWSMTokenIssuerTrustDocumentsコマンドを使用して、リポジトリ内のトークン発行者信頼ドキュメントをリストします。

listWSMTokenIssuerTrustDocuments(name=None, detail='false')

引数を指定せずに使用すると、リポジトリ内のすべてのトークン発行者信頼ドキュメントがリストされます。detail引数をtrueに設定すると、ドキュメントの表示名およびステータスも表示されます。

次に例を示します。

wls:/base_domain/serverConfig> listWSMTokenIssuerTrustDocuments(detail='true')

List of Token Issuer Trust Documents in the Repository:
Name         : oracle-default
Display Name : i18n:oracle.wsm.resources.resdesc.ResourceDescriptionBundle_property-TokenIssuerTrust_displayName
Status       : DOCUMENT_STATUS_COMMITED

Name         : tokenissuertrustWLSbase_domain
Display Name : base_domain Trust Document
Status       : DOCUMENT_STATUS_COMMITED
List of Token Issuer Trust Documents in the Repository:

4. deleteWSMTokenIssuerTrustDocumentコマンドを使用して、目的のトークン発行者信頼ドキュメントを削除します。name引数は必須です。

deleteWSMTokenIssuerTrustDocument(name)

次に例を示します。

wls:/base_domain/serverConfig> deleteWSMTokenIssuerTrustDocument('tokenissuertrustWLSbase_domain')
Token Issuer Trust document named "tokenissuertrustWLSbase_domain" deleted from the repository.

5. commitWSMSessionコマンドを使用して、リポジトリに対して、現在のセッションのコンテンツの書込みを行います。

wls:/base_domain/serverConfig> commitWSMSession()

Deleting tokenissuertrust tokenissuertrustWLSbase_domain from repository.

Session committed successfully.

また、セッション中にリポジトリに加えたすべての変更を破棄するabortWSMSessionコマンドを使用することにより、すべての変更を取り消すことができます。

14.8.3 WLSTを使用した発行済トークンの存続期間の構成

リクエスト・メッセージがセキュリティ・トークン・サービス(STS)に送信されるときに発行済トークンが使用する存続期間を指定できます。

STSから有効時間の異なるトークンが送信された場合、ランタイムはトークンの実際の有効時間を確認し、その時間内のみトークンをキャッシュします。詳細は、「トークンの存続期間およびトークンのキャッシュの理解」を参照してください。

WLSTを使用して発行済トークンの存続期間を構成するには、「setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定」の説明に従って、setWSMConfigurationコマンドを使用します。

この構成プロパティでは次の設定を使用します。

- カテゴリ: IssuedToken

- 名前: lifetime

- デフォルト: 28800000ミリ秒(8時間)

たとえば、デフォルト値を25200000ミリ秒(7時間)に変更するには、次のコマンドを使用します。

wls:/base_domain/serverConfig> setWSMConfiguration (None,'IssuedToken','lifetime',None,['25200000'])

A new property "lifetime" within category "IssuedToken" has been added.
The values "[25200000]" have been added to property "lifetime" within category "IssuedToken".
Configuration properties associated with the context "/WLS/base_domain" has been updated.

14.8.4 WLSTを使用したサブジェクト・プロパティの構成

このトピックでは、サブジェクト・プロパティに対して設定できるOWSMのドメイン・レベル構成プロパティについて説明します。ドメインのサブジェクト・プロパティを構成するには、setWSMConfigurationコマンドを使用します。

このコマンドについては、setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定で説明されています。

サブジェクト・プロパティの詳細は、「Fusion Middleware Controlを使用したサブジェクト・プロパティの構成」を参照してください。

表14-1は、サブジェクト・プロパティに対して設定できるOWSMのドメイン・レベル構成プロパティを示しています。

表14-1 サブジェクト・ドメイン構成プロパティ

カテゴリ

プロパティ名

デフォルト

説明

SubjectProperties

add.application.roles

true

OWSMで作成されたサブジェクトにアプリケーション・ロールを追加するかどうかを指定するフラグ。trueの場合、サブジェクトにアプリケーション・ロールが追加されます。

falseに設定した場合、サブジェクトにアプリケーション・ロールは追加されません。

SubjectProperties

add.authenticated.role

true

OWSMで作成されたサブジェクトに認証ロールを追加するかどうかを指定するフラグ。trueの場合、サブジェクトに認証ロールが追加されます。

falseに設定した場合、サブジェクトに認証ロールは追加されません。

SubjectProperties

remove.anonymous.role

false

OWSMで作成されたサブジェクトから匿名ロールを削除するかどうかを指定するフラグ。falseの場合、サブジェクトに匿名ロールが追加されます。

trueに設定した場合、サブジェクトから匿名ロールが削除されます。

14.8.5 WLSTを使用したSAMLおよびSAML2ログイン・モジュールの構成

WLSTを使用してSAMLおよびSAML2のログイン・モジュールを構成するには、setWSMConfigurationコマンドを使用できます。

このコマンドについては、setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定で説明されています。

これらのログイン・モジュールの詳細は、「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」を参照してください。

表14-2は、SAMLおよびSAML2ログイン・モジュールに対して設定できるOWSMドメイン・レベルの構成プロパティを示しています。

表14-2 SAMLおよびSAML2ログイン・モジュールのドメイン構成プロパティ

カテゴリ

プロパティ名

デフォルト値

説明

SAML2LoginModule

SAMLLoginModule

add.assertion.to.subject

true

認証対象のサブジェクトにSAMLアサーションをプライベート資格証明として追加するかどうかを指定するフラグ。

このプロパティをfalseに設定した場合、アサーションは認証対象のサブジェクトに追加されません。

SAML2LoginModule

SAMLLoginModule

allow.virtual.user

false

SAMLサブジェクトを仮想ユーザーとして扱うことを許可するかどうか指定するフラグ。trueに設定した場合、ユーザーは、アイデンティティ・ストア内の実際のユーザーにマップされません。サブジェクトには、SAMLサブジェクトからのユーザー名のみが移入されます。サブジェクトは仮想ユーザーとして扱われるので、アイデンティティ・ストア構成は必要ありません。また、このログイン・モジュールを使用するドメイン内のすべてのSAMLポリシーについて、認証プロバイダは起動されません。

このプロパティがfalseに設定されていると、SAMLサブジェクト内のユーザー名が、アイデンティティ・ストア内の実際のユーザーにマップされます。アイデンティティ・ストアで指定されたユーザー名およびロールにより、ユーザー・ロールおよびサブジェクトが作成されます。

SAML2LoginModule

SAMLLoginModule

dn.mapping.attribute

CN

SAMLクライアント・ポリシーで名前識別子フォーマットがX509SubjectNameに設定されている場合に、ユーザーをアイデンティティ・ストアに対してアサートするために使用する証明書DNの部分。

SAML2LoginModule

SAMLLoginModule

カスタム

該当なし

カスタム・プロパティをOPSSログイン・モジュールに設定するには、このプロパティを使用します。

SAMLLoginModule

dns.hok

www.oracle.com

dns.hokトークンの信頼できる発行者のリストを定義します。SAMLトークンの承認者のDNは、SAML発行者リストでチェックされます。このプロパティはSAML HOKおよびSAMLベアラーで使用します。

SAMLLoginModule

dns.sv

www.oracle.com

dns.svトークンの信頼できる発行者のリストを定義します。SAMLトークンの承認者のDNは、SAML発行者リストでチェックされます。このプロパティは、SAML送信者保証で使用します。

14.8.6 WLSTを使用したKerberosログイン・モジュールの構成

WLSTを使用してKerberosログイン・モジュールを構成するには、setWSMConfigurationコマンドを使用できます。

このコマンドについては、setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定で説明されています。

表14-3は、Kerberosログイン・モジュールに対して設定できるOWSMのドメイン・レベル構成プロパティを示しています。

表14-3 Kerberosログイン・モジュールのドメイン構成プロパティ

カテゴリ

プロパティ名

デフォルト

説明

KerberosLoginModule

class name

該当なし

OWSMが使用するログイン・モジュール。値が指定されていない場合、実行中のプラットフォームにより、実行時にKerberosログイン・モジュールのクラス名に次のデフォルト値の1つが使用されます。

- com.sun.security.auth.module.Krb5LoginModule (Oracle)

- com.ibm.security.auth.module.Krb5LoginModule (IBM)

KerberosLoginModule

do.not.prompt

true

資格証明をキャッシュまたはkeytabから取得できないときに、パスワードを要求するプロンプトを表示するかどうかを指定します。trueに設定すると、資格証明をキャッシュまたはkeytabから取得できない場合、認証は失敗します。

KerberosLoginModule

key.tab

./krb5.keytab

プリンシパルの秘密鍵を取得するkeytabのファイル名。

KerberosLoginModule

principal

HOST/localhost@EXAMPLE.COM

使用するプリンシパルの名前。プリンシパルは、資格証明一式の割当先となる特定のエンティティのことです。testuserなどの単純なユーザー名またはHOST/localhostなどのサービス名を使用できます。keytabに複数のプリンシパルの資格証明がある場合、または特定のチケット・キャッシュのみが必要な場合に、プリンシパルを設定するためにprincipalオプションを使用できます。

KerberosLoginModule

store.key

true

プリンシパルの鍵をサブジェクトの秘密資格証明に格納するかどうかを指定します。

KerberosLoginModule

use.key.tab

true

モジュールがkeytabからプリンシパルの鍵を取得するかどうかを指定します。keytabが設定されていない場合は、モジュールはKerberos構成ファイルでkeytabを検索します。Kerberos構成ファイルに指定されていない場合は、ファイル<user.home><file.separator>krb5.keytabを検索します。

KerberosLoginModule

カスタム

該当なし

カスタム・プロパティをOPSSログイン・モジュールに設定する際に使用します。このプロパティ内には様々なグループを設定でき、これらのグループは単一の値を持ちます。

14.8.7 WLSTを使用したX509ログイン・モジュールの構成

X509ログイン・モジュールを構成するには、setWSMConfigurationコマンドを使用できます。

このコマンドについては、setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定で説明されています。

表14-4は、X509ログイン・モジュールに対して設定できるドメイン・レベルの構成プロパティを示しています。

表14-4 X509ログイン・モジュールのドメイン・レベル構成プロパティ

カテゴリ

プロパティ名

デフォルト

説明

X509LoginModule

dn.mapping.attribute

CN

ユーザーをアイデンティティ・ストアに対してアサートする際に使用する証明書DNの部分を指定します。指定する値は、ログイン・モジュールの各起動時にOPSSに渡されます。

x509LoginModule

カスタム

該当なし

カスタム・プロパティをOPSSログイン・モジュールに設定する際に使用します。このプロパティ内には様々なグループを設定でき、これらのグループは単一の値を持ちます。

14.8.8 WLSTを使用したカスタム・ログイン・モジュールの構成

他のログイン・モジュールの構成、およびOWSM構成システムでのカスタム・ログイン・モジュールの作成には、setWSMConfigurationコマンドを使用します。

このコマンドについては、setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定で説明されています。

ログイン・モジュールの作成の詳細は、http://docs.oracle.com/javase/6/docs/technotes/guides/security/jaas/JAASLMDevGuide.htmlからJava Authentication and Authorization Service (JAAS) LoginModule開発者ガイドを参照してください。

表14-5は、デフォルトで提供されている他のログイン・モジュールの構成プロパティを示しています。

表14-5 他のログイン・モジュールのドメイン構成プロパティ

カテゴリ

プロパティ名

デフォルト

説明

DigestLoginModule

カスタム

該当なし

カスタム・プロパティをOPSSログイン・モジュールに設定する際に使用します。このプロパティ内には様々なグループを設定でき、これらのグループは単一の値を持ちます。

UsernameAssertionLoginModule

カスタム

該当なし

カスタム・プロパティをOPSSログイン・モジュールに設定する際に使用します。このプロパティ内には様々なグループを設定でき、これらのグループは単一の値を持ちます。

UsernameAuthLoginModule

カスタム

該当なし

カスタム・プロパティをOPSSログイン・モジュールに設定する際に使用します。このプロパティ内には様々なグループを設定でき、これらのグループは単一の値を持ちます。

WSSDigestLoginModule

カスタム

該当なし

カスタム・プロパティをOPSSログイン・モジュールに設定する際に使用します。このプロパティ内には様々なグループを設定でき、これらのグループは単一の値を持ちます。

14.9 WLSTを使用したドメイン・レベルのメッセージ・セキュリティの構成について

WLSTを使用して、OWSMキーストアの構成、セキュリティ・ポリシー強制の調整、公開証明書をWSDLで公開するかどうかの指定、およびホスト名検証とセキュア通信の構成など、OWSMのドメイン・レベルのメッセージ・セキュリティ・プロパティを設定できます。

次の各項では、構成の詳細を説明します。

- WLSTを使用したOWSMキーストアの構成

- WLSTを使用したセキュリティ・ポリシー強制の構成

- WLSTを使用したアイデンティティ拡張プロパティの構成

- WLSTを使用したドメインのセキュア通信の構成

14.9.1 WLSTを使用したOWSMキーストアの構成

OWSMでは、KSS、JKS、HSMおよびPKCS11キーストアがサポートされます。キーストアを作成した後、OWSMを構成してキーストアにアクセスおよび使用できるようにする必要があります。configureWSMKeystoreコマンドを使用して、OWSMキーストアを構成できます。

ドメインごとに単一のOWSMキーストアが存在し、ドメイン内で実行するすべてのWebサービスおよびクライアントによってそのキーストアが共有されることに注意してください。

OWSMキーストアを構成するには:

1. 次の項の説明に従って、必要なキーストアを作成します。

- KSS: メッセージ保護に関するOPSSキーストア・サービスの理解

- JKS: メッセージ保護に関するJavaキーストアの理解

- HSM: OWSMでのハードウェア・セキュリティ・モジュールの使用

- PKCS11: Oracle SPARC T5およびOracle SPARC T4暗号化アクセラレーションのためのOWSMの構成について

2. 構成するドメイン内のサーバーの実行中のインスタンスに接続します。詳細は、『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項を参照してください。

3. 必要に応じて、displayWSMConfiguration()コマンドを使用して、ドメインの現在の構成を表示します。詳細は、「WLSTを使用したOWSMドメイン構成の表示」を参照してください。

キーストア構成プロパティは、KeystoreConfigカテゴリに含まれます。

4. configureWSMKeystoreコマンドを使用して、OWSMキーストア・プロパティを構成します。

configureWSMKeystore(context, keystoreType,location, keystorePassword, signAlias, signAliasPassword, cryptAlias, cryptAliasPassword)

コマンドの説明は次のとおりです。

- contextは、変更される構成ドキュメントのコンテキストを表します。コンテキストに関連付けられている構成ドキュメントが存在しない場合は、ドキュメントが自動的に作成されます。

- keystoreTypeは、プロパティのキーストア・タイプ・カテゴリを表します。有効なキーストア・タイプは、JKS、KSS、PKCS11およびLUNAです。デフォルトはKSSです。

- locationは、キーストアの場所を表します。JKSの場合、これはキーストアの絶対パスまたはfmwconfigディレクトリを基準とした相対パスです。KSSの場合は、kss://stripeName/keystoreNameの形式で場所を指定する必要があります。デフォルトはkss://owsm/keystoreです。LUNAキーストアおよびPKCS11キーストアの場合、この引数は必要ありません。

- keystorePasswordは、構成されるキーストアのキーストア・パスワードを表します。これは、JKSキーストアおよびPKCS11キーストアで必要です。

- signAliasは、署名鍵の別名を表します。ここで指定する値は、キーストアの値に一致する必要があります。たとえば、orakeyです。

- signAliasPasswordは、署名鍵の別名のパスワードを表します。これは、JKSキーストアおよびPKCS11キーストアで必要です。

- cryptAliasは、暗号化鍵の別名を表します。ここで指定する値は、キーストアの値に一致する必要があります。たとえば、orakeyです。

- cryptAliasPasswordは、暗号化鍵の別名のパスワードを表します。これは、JKSキーストアおよびPKCS11キーストアで必要です。

注意:

このコマンドによって、CSFキーが、デフォルトのマップ名oracle.wsm.securityで資格証明ストア内に設定されます。資格証明ストア内の複数のCSFエントリを区別するために、sign-csf-keyおよびenc-csf-keyにドメイン名が追加されます。

次の例では、様々なキーストア・タイプを構成するサンプル・コマンドを示しています。

- KSSキーストア

wls:/base_domain/serverConfig> configureWSMKeystore('/wls/new_domain',keystoreType='KSS',
location='kss://owsm/keystore', signAlias='orakey', cryptAlias='orakey')

Successfully configured property "keystore.type".
Successfully configured property "location".
Successfully configured property "keystore.pass.csf.key".
Successfully configured property "keystore.sig.csf.key".
Successfully configured property "keystore.enc.csf.key".

- JKSキーストア

wls:/base_domain/serverConfig> configureWSMKeystore('/wls/new_domain',keystoreType='JKS',
location='./default-keystore.jks', keystorePassword='password',signAlias='orakey',
signAliasPassword='password',cryptAlias='orakey',cryptAliasPassword='password')

Successfully configured property "keystore.type".
Successfully configured property "location".
Successfully configured property "keystore.pass.csf.key".
Successfully configured property "keystore.sig.csf.key".
Successfully configured property "keystore.enc.csf.key".

- PKCS11キーストア

wls:/base_domain/serverConfig> configureWSMKeystore('/wls/new_domain',keystoreType='PKCS11',
keystorePassword='password',signAlias='orakey', signAliasPassword='password',
cryptAlias='orakey',cryptAliasPassword='password')

Successfully configured property "keystore.type".
Successfully configured property "location".
Successfully configured property "keystore.pass.csf.key".
Successfully configured property "keystore.sig.csf.key".
Successfully configured property "keystore.enc.csf.key".

- HSM Luna SAキーストア

wls:/base_domain/serverConfig> configureWSMKeystore('/wls/new_domain',keystoreType='LUNA',signAlias='orakey', cryptAlias='orakey')

Successfully configured property "keystore.type".
Successfully configured property "location".
Successfully configured property "keystore.pass.csf.key".
Successfully configured property "keystore.sig.csf.key".
Successfully configured property "keystore.enc.csf.key".

5. キーストアの構成が初めての場合、サーバーの再起動は必要ありません。しかし、キーストアまたはキーストア構成を変更している場合は、サーバーを再起動する必要があります。

14.9.2 WLSTを使用したセキュリティ・ポリシー強制の構成

セキュリティ・ポリシーの施行を構成するには、setWSMConfigurationコマンドを使用できます。

このコマンドについては、setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定で説明されています。

表14-6は、セキュリティ・ポリシー強制に対して設定できるOWSMのドメイン・レベル構成プロパティを示しています。

表14-6 セキュリティ・ポリシー強制のドメイン・レベル構成プロパティ

カテゴリ

プロパティ名

デフォルト

説明

エージェント

allow.all.xpaths

false

OWSMですべてのタイプのXPath変換を受け入れるかどうかを指定します。デフォルトのOWSMでは、署名(着信SOAPメッセージ内)のancestor-or-self::*[namespace-uri()='<namespace>' and local-name()='<name>']のXPath変換のみが許可されます。

すべてのタイプのXPath変換を許可および許容するには、このプロパティをtrueに設定します。このプロパティを有効にすると、XPathベースのサービス拒否攻撃を受けたり、類似のXPathベースの攻撃に対してセキュリティの脆弱性を露呈する恐れがあります。

エージェント

use.unified.fault.code

true

OWSMですべてのタイプのエラーに対してInvalidSecurityフォルト・コードが送信されるかどうかを指定します。Webサービスで異なるタイプのエラーごとに異なるフォルト・コードを送信する場合(FailedAuthentication、InvalidSecurityToken、FailedCheckなど)、XML暗号化への攻撃の可能性があります。

注意: これは、OWSMに基づくセキュリティ関連のフォルトにのみ適用されます。Webサービスからのビジネス・フォルトには適用されません。

このようなタイプの攻撃を回避するために、このプロパティがtrue(デフォルト)に設定されると、OWSMではInvalidSecurityフォルト・コードのみを送信します。

異なるシナリオで異なるフォルト・コードを送信する必要がある場合は、このプロパティをfalseに設定します。XML暗号化への攻撃が発生する可能性があるため、この設定をfalseに変更することはお薦めできません。

エージェント

client.clock.skew

0

SAMLトークンの生成におけるNotBefore条件およびNotOnOrAfter条件の計算で使用される許容時間(秒単位)。まとめて、これらの条件は、トークンの有効性を制限するために下限および上限を定義します。

エージェント

compliance.check

true

このプロパティは、様々なセキュリティ関連の構成/チェックに対して準拠チェックを有効化し、受信メッセージが受信パーティのセキュリティ条件に準拠することを強制します。この設定は、サービスに着信するリクエスト・メッセージおよびクライアントに着信するレスポンス・メッセージに適用されます。暗号化および署名のアルゴリズム、暗号化および署名された要素と部分、アタッチメントの準拠、タイムスタンプの準拠などが確認されます。このプロパティをfalseに設定すると、これらのすべての準拠チェックをスキップできますが、この設定はお薦めできません。

エージェント

clock.skew

360000

クライアント・マシンとサーバー・マシンの間での時間差の許容範囲。たとえば、メッセージのタイムスタンプがタイムゾーンの異なるサービスに送信された場合に、このプロパティで指定された許容時間が許容されます。

注意: このプロパティの値は、1秒以上である必要があります。値が1秒未満の場合、このプロパティは予期したとおりに動作しません。

このプロパティの詳細は、「Fusion Middleware Controlを使用したセキュリティ・ポリシー強制の構成」の「クロック・スキュー」プロパティに関する説明を参照してください。

エージェント

expire.time

300000

メッセージが作成されてから期限切れになるまでの時間。このプロパティは、タイムスタンプがSOAPヘッダーで送信される場合に、タイプスタンプが期限切れかどうかを検証するために使用されます。

このプロパティの詳細は、「Fusion Middleware Controlを使用したセキュリティ・ポリシー強制の構成」の「メッセージ期限切れ時間」プロパティに関する説明を参照してください。

エージェント

nonce.ttl

28800000

Nonceがメッセージで送信されるときの、キャッシュ内でのNonceの合計存続時間。このプロパティにより、Nonceはキャッシュされ、この時間を超えるとキャッシュから削除されます。

このプロパティの詳細は、「Fusion Middleware Controlを使用したセキュリティ・ポリシー強制の構成」の「nonce存続期間」プロパティに関する説明を参照してください。

14.9.3 WLSTを使用したアイデンティティ拡張プロパティの構成

アイデンティティ設定を構成するには、setWSMConfigurationコマンドを使用できます。

このコマンドについては、setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定で説明されています。

サービス・アイデンティティ証明拡張およびホスト名検証の詳細は、「サービス・アイデンティティ証明拡張の理解」を参照してください。

注意:

サービス・アイデンティティ証明拡張は、公開鍵の元となる暗号化鍵を設定しません。最初に、「メッセージ保護に関するキーストアの構成の概要」の説明に従って、この鍵を指定する必要があります。

表14-7は、サービス拡張に対して設定できるOWSMのドメイン・レベル構成プロパティを示しています。

表14-7 アイデンティティのドメイン・レベル構成プロパティ

カテゴリ

プロパティ名

デフォルト

説明

ID

ignore.hostname.verification

true

ドメインごとのhostname検証機能を無視するかどうかを指定します。デフォルトでは、このプロパティは無効(true)です。ただし、プロパティをfalseに設定することで、ホスト名の検証を有効にできます。

ID

ignore.identity.wsdl

false

クライアント側WSDLでX509証明書の使用を有効にするか無効にするかを、ドメインごとに指定します。デフォルトでは、このプロパティは有効(false)で、つまりWSDLから取得した証明書がクライアントのラインタイムで暗号化に使用されます。デフォルト設定をtrueに変更すると、X509証明書の使用を無効化できます。

14.9.4 WLSTを使用したドメインのセキュア通信の構成

ドメインレベルのセキュア通信を構成するには、setWSMConfigurationコマンドを使用できます。

このコマンドについては、setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定で説明されています。

ドメイン・レベルのセキュア通信の詳細は、「Fusion Middleware Controlを使用したドメインのセキュア通信の構成」を参照してください。

表14-8は、セキュア通信に対して設定できるOWSMのドメイン・レベル構成プロパティを示しています。

表14-8 セキュア通信のドメイン・レベル構成プロパティ

カテゴリ

プロパティ名

デフォルト

説明

SecureConversation

token.lifetime

1800000

セキュア通信セッションが期限切れになるまでのデフォルトの時間(秒数)。

SecureConversation

token.lifetime.reauth

28800000

再認証ユースケースのセキュア通信セッションが期限切れになるまでのデフォルトの時間(秒数)。セッションは複数のユーザーで共有されるため、通常、再認証存続時間セッションには大きめの値を設定します。再認証が有効でセッションが複数のユーザーで共有される場合、これを大きな値に設定できます。

SecureConversation

rm.encrypt.body

false

(Webサービス・クライアントにのみ適用。)WS-RMプロトコル・メッセージを暗号化するかどうかを指定します。trueに設定すると、createSequence()やterminateSequence()などのプロトコル・リクエスト・メッセージの本文が暗号化されます。

プロトコル・メッセージのレスポンス・メッセージ本文は、リクエスト・メッセージ本文に依存します。クライアントからのリクエスト・メッセージがプロトコル・メッセージに対して暗号化されている場合、Webサービスは暗号化されたレスポンスを送信します。逆についても同様です。

14.10 WLSTを使用したポリシー・アクセスの構成について

WLSTを使用して、ポリシー・マネージャ接続における自動検出に加えて、接続にSSLを使用するかどうかの構成など、OWSMのドメイン・レベルのメッセージ・ポリシー・アクセスを設定できます。また、ポリシー・キャッシュの管理および再試行ロジックのチューニングによる高可用性の構成も行えます。

次の各項では、構成の詳細を説明します。

- WLSTを使用したポリシー・マネージャ接続の構成

- setWSMBootstrapConfigコマンドを使用したブートストラップ構成プロパティの更新

- WLSTを使用したOWSMの構成キャッシュの手動によるリフレッシュについて

- WLSTを使用した高可用性およびキャッシュ管理の構成

14.10.1 WLSTを使用したポリシー・マネージャ接続の構成

ポリシー・マネージャの接続を構成するには、setWSMConfigurationコマンドを使用できます。

このコマンドについては、setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定で説明されています。

ポリシー・マネージャ接続の詳細は、「Fusion Middleware Controlを使用したポリシー・マネージャ接続の構成の理解」を参照してください。

表14-9は、ポリシー・マネージャ接続に対して設定できるOWSMのドメイン・レベル構成プロパティを示しています。

表14-9 ポリシー・マネージャ接続のドメイン・レベル構成プロパティ

カテゴリ

プロパティ名

デフォルト

説明

ConfigManager

connect.retry.delay

60000

ポリシー・マネージャへの接続が失敗した後に接続を再試行するまでの待機時間(ミリ秒数)。

ConfigManager

keystore.csf.key

keystore-csf-key

キーストアの資格証明を取得するために使用するCSFキー。双方向SSLの場合は必須です。

ConfigManager

keystore.path

kss://owsm/keystore

ドメイン構成ディレクトリを基準としたキーストアの相対パス。

キーストア・パスがkss://owsm/keystoreと指定された場合、キーストアの絶対パスはkss://<stripe>/<keystore>と計算されます。

キーストア・パスがtmp/my.keystore.jksと指定された場合、キーストアの絶対パスは/domain_config_directory/fmwconfig//tmp/my.keystore.jksと計算されます。

双方向SSLの場合は必須です。

ConfigManager

keystore.ssl.alias

mykey

キーストア別名。双方向SSLの場合は必須です。

ConfigManager

keystore.type

KSS

キーストアのタイプ。デフォルト値はKSSです。双方向SSLの場合は必須です。

ConfigManager

pm.csf.key

OWSMポリシー・マネージャ・インスタンスへのアクセスを許可されたプリンシパル(および資格証明)を取得するためのCSFキー。指定しなかった場合、OracleSystemUserプリンシパル(WebLogic Server環境の標準)が使用されます。

ConfigManager

pm.url

ポリシー・アクセッサの場所を指定するURL。次のエントリが有効です。

- file://location_of_mds_home: リポジトリがMDSインスタンスとして直接アクセスされます(Java SEでのみサポート)。

- classpath://JAR_location: 事前定義済のポリシーおよびアサーション・テンプレートを含むJARファイルが、クラスパスの場所を使用してアクセスされます。
注意: クラスパス・モードは読取り専用のポリシー・マネージャ・モードのため、設計時のポリシー・アタッチメントのみが有効です。このモードでは、デプロイ後のポリシー・アタッチメントまたはグローバル・ポリシー・セットは有効ではありません。

- auto: 非セキュア・プロトコルを使用したポリシー・マネージャ—の自動検出を有効にします。非セキュア・ポートが無効であるために非セキュア・プロトコルを使用してポリシー・マネージャに接続できない場合、自動検出ロジックはセキュア・プロトコルを使用してポリシー・マネージャに接続しようとします。

- auto-ssl: セキュア・プロトコルを使用したポリシー・マネージャ—の自動検出を有効にします。SSLが有効な場合、自動検出ロジックはセキュア・プロトコルのみを使用してポリシー・マネージャに接続し、SSL対応サーバーがダウンしている場合でも、非SSLサーバーにデプロイされたポリシー・マネージャへの接続を試みません。

注意: pm.urlに値を入力しない場合、非セキュア・プロトコルを使用して、同じドメイン内で自動検出が行われます。非セキュア・ポートが無効であるために非セキュア・プロトコルを使用してポリシー・マネージャに接続できない場合、自動検出ロジックはセキュア・プロトコルを使用してポリシー・マネージャに接続しようとします。

ConfigManager

refresh.repeat

600000

次の構成リフレッシュまでに待機するミリ秒数。

ConfigManager

ssl.twoway

false

SSL接続が一方向であるか、双方向であるかを指定します。双方向SSLの場合はtrueに設定します。

ConfigManager

truststore.csf.key

keystore-csf-key

キーストアの資格証明を取得するために使用するCSFキー。一方向および双方向SSLの場合は必須です。

ConfigManager

truststore.path

kss://owsm/keystore

ドメイン構成ディレクトリを基準としたトラストストアの相対パス。

トラストストア・パスがkss://owsm/keystoreと指定された場合、トラストストアの絶対パスはkss://<stripe>/<keystore>と計算されます。

トラストストア・パスがtmp/my.truststore.jksと指定された場合、トラストストアの絶対パスは/domain_config_directory/fmwconfig//tmp/my.truststore.jksと計算されます。

一方向および双方向SSLの場合は必須です。

14.10.2 setWSMBootstrapConfigコマンドを使用したブートストラップ構成プロパティの更新

setWSMBootstrapConfigコマンドを使用してブートストラップ構成ドキュメント(domain_home/config/fmwconfig/wsm-config.xml)を更新できます。

これを行うには、次の手順を完了します。

1. 構成するドメイン内のサーバーの実行中のインスタンスに接続します。詳細は、『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項を参照してください。

2. setWSMBootstrapConfigコマンドを実行して必要な構成プロパティを更新します。

setWSMBootstrapConfig (domainName, domainHome, propertyCategory, propertyName, propertyValue)

コマンドの説明は次のとおりです。

- domainName: ドメイン名を指定します。

- domainHome: ドメインのルート・ディレクトリを指定します。

- propertycategory: プロパティのカテゴリ。

- propertyname: プロパティの名前。サポートされている次のプロパティのいずれかを指定します。

- pm.url: OWSMポリシー・マネージャインスタンスの場所を指定するURL。サポートされているpm.urlプロトコルは次のとおりです。
File: これはJava SEでのみサポートされます。OWSMリポジトリは、Plain Old Java Object (POJO)またはOWSMポリシー・マネージャから直接アクセスされます。

http/https: URLプロトコルがhttpまたはhttpsの場合、リポジトリはOWSMポリシー・マネージャのRESTful APIを介してアクセスされます。

注意:

URLプロトコルがhttpsの場合は、次のプロパティを構成する必要があります。

- truststore.path

- truststore.csf.key

- ssl.twoway

- keystore.path

- keystore.ssl.alias

- keystore.type

- keystore.ssl.alias

t3/t3s: URLプロトコルがt3またはt3sの場合、リポジトリはOWSMポリシー・マネージャのEJB APIを介してアクセスされます。

注意:
pm.urlが明示的に構成されていない場合、OWSMリポジトリはデフォルトでOWSMポリシー・マネージャのEJB APIを介してアクセスされます。これは、WebLogicドメインで推奨される方法です。

- pm.csf-key: OWSMポリシー・マネージャ・インスタンスへのアクセスを許可されたプリンシパル(および資格証明)を取得するためのCSFキー。

- propertyvalues: 構成ドキュメント内のプロパティに対して設定する値。

例:

setWSMBootstrapConfig ('base_domain', '/ORACLE_HOME/domains/base_domain', 'ConfigManager', 'pm.url', ['t3://localhost:7001'])

14.10.3 WLSTを使用したOWSMの構成キャッシュの手動によるリフレッシュについて

OWSMには、構成およびドキュメントのキャッシュを定期的な間隔で自動的にリフレッシュするためのバックグラウンド・スレッドがあります。この間隔はrefresh.repeatプロパティおよびcache.refresh.repeatプロパティで指定します。この自動リフレッシュを無効にするには、auto.refresh構成プロパティの値に無効を設定します。その後は、WLSTコマンドのrefreshWSMCache()を呼び出して、必要なときにこのキャッシュを手動でリフレッシュできます。

次の各トピックでは、これについてさらに詳しく説明しています。

- WLSTを使用したOWSMの自動リフレッシュ・オプションの無効化

- WLSTを使用したOWSMの自動リフレッシュのステータスの確認

- WLSTを使用したOWSMキャッシュの手動によるリフレッシュ

14.10.3.1 WLSTを使用したOWSMの自動リフレッシュ・オプションの無効化

OWSMキャッシュの自動リフレッシュを無効にするには、auto.refresh構成プロパティの値にdisabledを設定します。

OWSMキャッシュの自動リフレッシュを無効にするには:

1. 構成するドメイン内のサーバーの実行中のインスタンスに接続します。詳細は、『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項を参照してください。

2. 次のコマンドを実行して、OWSMの自動リフレッシュ・スレッドを無効にします。

WLST>  setWSMConfiguration('<context>','ConfigManager','auto.refresh',None,['disabled'])

Example:
WLST>  setWSMConfiguration(None,'ConfigManager','auto.refresh',None,['disabled'])
WLST>  setWSMConfiguration('/WLS/myDomain','ConfigManager','auto.refresh',None,['disabled'])

14.10.3.2 WLSTを使用したOWSMの自動リフレッシュのステータスの確認

OWSMキャッシュの自動リフレッシュ設定のステータスを確認するには、WLSTコマンドのdisplayWSMConfiguration()を使用できます。

自動リフレッシュのステータスを確認するには:

1. 構成するドメイン内のサーバーの実行中のインスタンスに接続します。詳細は、『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項を参照してください。

2. 次のコマンドを実行します。

WLST>  displayWSMConfiguration()

Example:
WLST>  displayWSMConfiguration()
WLST>  displayWSMConfiguration('/WLS/myDomain')

次の構文の出力で、auto.refreshの値がdisabledであることを確認します。

NAME: "auto.refresh" CATEGORY: "ConfigManager" SOURCE: "<context>" Value: <value>

14.10.3.3 WLSTを使用したOWSMキャッシュの手動によるリフレッシュ

WLSTコマンドのrefreshWSMCache()を呼び出して、必要なときにこのキャッシュを手動でリフレッシュできます。

OWSMキャッシュを手動でリフレッシュするには:

1. 構成するドメイン内のサーバーの実行中のインスタンスに接続します。詳細は、『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項を参照してください。

2. refreshWSMCache()コマンドを実行します。

このWLSTは、OWSMによってキャッシュされたドキュメントおよび構成を更新します。

14.10.4 WLSTを使用した高可用性およびキャッシュ管理の構成

高可用性およびキャッシュ管理を構成するには、setWSMConfigurationコマンドを使用できます。

このコマンドについては、setWSMConfigurationコマンドを使用したOWSMドメインの構成プロパティの設定で説明されています。

これらのプロパティを使用して接続を調整する方法の詳細は、Fusion Middleware Controlを使用した高可用性の構成およびキャッシュの管理を参照してください。

表14-10は、高可用性およびキャッシュ管理に対して設定できるOWSMのドメイン・レベル構成プロパティを示しています。

表14-10 高可用性およびキャッシュ管理のドメイン構成プロパティ

カテゴリ

プロパティ名

デフォルト

説明

BeanAccessor

cache.refresh.initial

600000

最初のキャッシュ・リフレッシュまでの待機時間(ミリ秒数)。

注意: このプロパティの値は、5秒以上である必要があります。値が5秒未満の場合、このプロパティは予期したとおりに動作しません。

BeanAccessor

cache.refresh.repeat

600000

次のキャッシュ・リフレッシュまでの待機時間(ミリ秒数)。

注意: このプロパティの値は、5秒以上である必要があります。値が5秒未満の場合、このプロパティは予期したとおりに動作しません。低い値を設定すると、システムが過負荷になります。

BeanAccessor

failure.retry.count

2

通信の失敗後に再試行する回数。

BeanAccessor

failure.retry.delay

5000

次の再試行までの待機時間(ミリ秒数)。

BeanAccessor

jndi.connection.timeout

30000

java.naming.provider.urlを使用した構成済のポリシー・マネージャへの接続の待機がタイムアウトされるまでに待機する時間(ミリ秒)。

BeanAccessor

missing.retry.delay

15000

欠落ドキュメントの取得を試行するまでの待機時間(ミリ秒数)。

BeanAccessor

usage.record.delay

30000

使用状況データを送信するまでの待機時間(ミリ秒数)。

15 Oracle Web Services Managerリポジトリの管理

OWSMリポジトリを使用すると、ポリシー、アサーション・テンプレート、ポリシーの使用状況データなどのOracle Web Services Managerメタデータを、インポート、エクスポート、バックアップおよびリストアできます。リポジトリ内のポリシーは、パッチを適用したり、アップグレードすることもできます。

トピック:

- OWSMリポジトリの概要

- OWSMリポジトリの登録

- ポリシーのインポートとエクスポートの異なるメカニズムの理解

- WLSTを使用したリポジトリへのドキュメントのインポートおよびエクスポートについて

- JDeveloperで使用するためにポリシーをOWSMリポジトリからエクスポート

- リポジトリ内のポリシーへのパッチ適用について

- OWSMリポジトリのバックアップの作成とリストア

- OWSMリポジトリのアップグレード

- OWSMリポジトリの再構築

15.1 OWSMリポジトリの概要

Oracle Web Services Manager (WSM)は、MDSリポジトリを使用してポリシー、アサーション・テンプレート、ポリシーの使用状況データなどの、OWSMメタデータを格納します。OWSMリポジトリは、データベースとして(本番用)またはファイル・システム内のファイルとして(JDeveloperでの開発用)利用できます。

このリリースでサポートされているデータベースのリストは、Oracle Fusion Middlewarのサポートされるシステム構成を参照してください。

OWSMリポジトリ内では、各ポリシーがURIを持ち、それを評価してパスが形成され、そのパスにポリシーを含む特定のXMLドキュメントが置かれます。OWSMはMDSカスタマイズ機能を使用しません。そのためすべてのポリシーは完全なドキュメントとして格納されます。MDSには指定されたドキュメントの複数のバージョンを格納する機能がありますが、OWSMはポリシー強制時に最新バージョンのみにアクセスします。

MDSリポジトリの管理の詳細は、『Oracle Fusion Middlewareの管理』のMDSリポジトリの管理に関する項を参照してください。

15.2 OWSMリポジトリの登録

アプリケーションをOWSMリポジトリなどのMDSリポジトリにデプロイする前に、リポジトリをOracle WebLogicドメインに登録する必要があります。

OWSMリポジトリを登録する手順は、次のとおりです。

1. 図15-1に示すように、ナビゲータ・ペインで「メタデータ・リポジトリ」を開き、「mds-owsm」を選択します。

図15-1 ナビゲーション・ペインの「メタデータ・リポジトリ」

2. 「メタデータ・リポジトリ」→「管理」→「登録/登録解除」を選択します。

図15-2に示す「メタデータ・リポジトリ」ページが表示されます。

図15-2 OWSMリポジトリの登録

3. 「登録」をクリックし、必要なデータベース接続とリポジトリ情報を入力して、リポジトリを登録します。

メタデータ・リポジトリの登録および管理の詳細は、『Oracle Fusion Middlewareの管理』のメタデータ・リポジトリの管理に関する項を参照してください。

15.3 ポリシーのインポートとエクスポートの異なるメカニズムの理解

ポリシーのOWSMリポジトリへのインポートやリポジトリからのエクスポートは、Enterprise Manager Fusion Middleware ControlとWebLogic Scripting Tool (WLST)コマンドのどちらでも行えます。

Fusion Middleware Controlでは、ユーザーが作成した1つ以上のポリシーまたはアサーション・テンプレートを、zipアーカイブ・ファイルに選択的にインポートしたりエクスポートしたりできます。事前定義済のポリシーやアサーション・テンプレートなど、読取り専用ドキュメントは、ターゲット環境に同じドキュメントがあるため、インポートまたはエクスポートできません。Fusion Middleware Controlを使用したポリシーとアサーション・テンプレートのインポートおよびエクスポートの手順は、次の項で説明されています。

- Webサービス・ポリシーのインポート

- Webサービス・ポリシーのエクスポート

- アサーション・テンプレートのインポート

- アサーション・テンプレートのエクスポート

WLSTコマンドのimportWSMArchiveおよびexportWSMRepositoryを使用すると、複数のOWSMドキュメントをOWSMリポジトリに簡単に直接インポートまたはエクスポートできます。これらのコマンドの使用の詳細は、「WLSTを使用したリポジトリへのドキュメントのインポートおよびエクスポートについて」を参照してください。

いずれかのメカニズムを使用してポリシーをインポートまたはエクスポートする場合、操作はOWSMポリシー・マネージャ・アプリケーションのインスタンスを介してルーティングされます。実行時にポリシーのリクエストが行われたときには、常に最新のポリシーが提供されることがポリシー・マネージャによって保証されます。そのため、常に最新のポリシーが強制されます。

15.4 WLSTを使用したリポジトリへのドキュメントのインポートおよびエクスポートについて

OWSMドキュメントおよびアプリケーション・メタデータをOWSMリポジトリにインポートまたはエクスポートするには、importWSMArchive、exportWSMRepositoryおよびexportWSMAppMetadataコマンドを使用します。

次の項で、これについて説明します。

- WLSTを使用したリポジトリからのドキュメントのエクスポート

- WLSTを使用したリポジトリからのアプリケーション・メタデータのエクスポート

- WLSTを使用したリポジトリへのドキュメントのインポート

このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

15.4.1 WLSTを使用したリポジトリからのドキュメントのエクスポート

サポートされているZIPアーカイブ・ファイルにリポジトリからドキュメントをエクスポートするには、exportWSMRepositoryコマンドを使用します。

exportWSMRepository(archive,[documents=None],[includeShared='false'])

次の点に注意してください。

- 事前定義済のポリシーやアサーション・テンプレートなど、読取り専用ドキュメントは、ターゲット環境に同じドキュメントがすでにあるため、エクスポートできません。

- archive引数で指定したアーカイブがすでに存在する場合、既存のアーカイブにドキュメントをマージするか、既存のアーカイブを上書きするか、操作を取り消すかを選択できます。

- アーカイブにエクスポートされるドキュメントを指定するには、オプションのdocuments引数を使用します。ドキュメントを指定しない場合、ポリシーおよびポリシー・セットが含まれる共有ドキュメントのみがエクスポートされます。読取り専用ドキュメントはエクスポートできないため、エクスポートには、カスタムまたはクローニングされた共有ポリシーのみが含まれます。この引数を空の文字列['']として指定すると、ポリシーおよびポリシー・セットが含まれるすべての共有ドキュメント、アプリケーション・メタデータおよび構成ドキュメントがエクスポートされます。エクスポートするドキュメントのリストを指定したり、検索式を使用してリポジトリ内の特定のドキュメントを検索したりできます。
たとえば、URIがtest/wss_またはtest/wss11_で始まる、ユーザーが作成したポリシーのリストをエクスポートするには、次のように入力します。

wls:/jrfServer_domain/serverConfig>exportWSMRepository('/tmp/test2.zip',['policies:test/wss_%','policies:test/wss11_%'])

Exporting "/policies/test/wss11_x509_token_with_message_protection_service_policy_test"
Exporting "/policies/test/wss_username_token_over_ssl_service_policy_Test"
Successfully exported "2" documents.

- エクスポート時に同じアーカイブの一部として共有ドキュメント(ポリシー・セットおよびwsm-assemblyドキュメント内でポリシー参照として指定されるドキュメント)を含めるには、オプションのincludeShared引数を使用します。読取り専用ドキュメントはエクスポートできないため、エクスポートにはカスタムまたはクローンの共有ポリシーのみが含まれます。デフォルトは、falseです。
たとえば、アクティブ・ポリシー・セット・ドキュメントおよびそれらが使用するポリシーをエクスポートする手順は、次のとおりです。

wls:/jrfServer_domain/serverConfig>exportWSMRepository('/tmp/repository-active.jar', ['policysets:global/%'], true)

Exporting "/policies/test/wss_username_token_over_ssl_service_policy_Test"
Exporting "/policysets/global/all-domains-default-web-service-policies"
Exporting "/policysets/global/app-only-web-service-policies"
Exporting "/policysets/global/migrate_example"
Successfully exported "4" documents.

- リポジトリ内のドキュメントを変更した場合、アーカイブ・ファイル内でそのドキュメントを更新できます。たとえば、module-web-service-policiesという名前のポリシー・セットを変更した場合、次のコマンドでアーカイブ内のポリシー・セットを更新できます。

wls:/jrfServer_domain/serverConfig>exportWSMRepository('/tmp/repository-backup.jar', ['/policysets/global/module-web-service-policies'])

15.4.2 WLSTを使用したリポジトリからのアプリケーション・メタデータのエクスポート

サポートされているZIPアーカイブ・ファイルにリポジトリからアプリケーション・メタデータをエクスポートするには、exportWSMAppMetadataコマンドを使用します。

exportWSMAppMetadata(archive,[applications=None],[includeShared='false'])

次の点に注意してください。

- このコマンドは、Oracle Infrastructure WebサービスおよびRESTful Webサービスでのみサポートされます。このコマンドは、ADF DC Webサービス・クライアントおよびJava EE Webサービスではサポートされません。

- archive引数で指定したアーカイブがすでに存在する場合、既存のアーカイブにドキュメントをマージするか、既存のアーカイブを上書きするか、操作を取り消すかを選択できます。上書きオプションを選択すると、元のアーカイブはバックアップされ、バックアップ・アーカイブの場所を示すメッセージが表示されます。

- メタデータがアーカイブにエクスポートされるアプリケーションを指定するには、オプションのapplications引数を使用します。アプリケーション名を指定しない場合、ドメイン内のすべてのアプリケーションのメタデータがエクスポートされます。検索式のリストを指定して、リポジトリ内の特定のアプリケーションのメタデータを検索できます。これを行うには、/{PLATFORM_NAME}/{DOMAIN_NAME}/{APPLICATION_NAME}という構文を使用します。

- 共有ドキュメント(wsm-assemblyドキュメント内でポリシー参照として指定されるドキュメント)をエクスポートに含めるかどうかを指定するには、オプションのincludeShared引数を使用します。デフォルトは、falseです。読取り専用ドキュメントはエクスポートできないため、エクスポートにはカスタムまたはクローンの共有ポリシーのみが含まれます。

たとえば、次のコマンドでは、名前がjaxwsで始まるアプリケーションのアプリケーション・メタデータを、tmpディレクトリ内のapplications.zipファイルにエクスポートします。

wls:/jrfServer_domain/serverConfig>exportWSMRepository('/tmp/applications.zip',['/WLS/base_domain/jaxws%'])

Exporting "\assembly\WLS\base_domain\jaxwsejb30ws\jaxwsejb\wsm-assembly.xml"Successfully exported "1" documents.

15.4.3 WLSTを使用したリポジトリへのドキュメントのインポート

リポジトリにドキュメントをインポートするには、importWSMArchiveコマンドを使用します。

importWSMArchive(archive,[map=none],[generateMapFile='false'])

次の点に注意してください。

- 事前定義済のポリシーやアサーション・テンプレートなど、読取り専用ドキュメントは、ターゲット環境に同じドキュメントがすでにあるため、インポートできません。

- archive引数は必須であり、インポートされるドキュメントのリストが格納されるアーカイブ・ファイルへのパスを指定します。

- オプションで、map引数を使用して、ポリシー・セット内の物理情報をソース環境からターゲット環境へマップする方法が記載されている、ファイルの場所を指定できます。たとえば、マップ・ファイルを使用して、ポリシー・セット内のリソース・スコープ式を更新してターゲット環境に一致させることができます(たとえば、Domain("foo")=Domain("bar"))。マップ・ファイルを指定し、それが存在しない場合、操作は失敗し、エラーが表示されます。

- オプションのgenerateMapFile引数をtrueに設定して、map引数で指定される場所にサンプルのマップ・ファイルを作成できます。この引数をtrueに設定すると、どのドキュメントもインポートされません。デフォルトは、falseです。
ファイルが作成された後に、任意のテキスト・エディタを使用して編集できます。マップ・ファイルには、アーカイブ・ファイルに指定されているドキュメント名および対応するattachTo値が含まれます。attachTo値は、新しい環境に対応するように更新できます。ドキュメント名に対してマッピングの更新が不要な場合は、そのエントリを削除するか、文字#を使用してコメント化することができます。

注意:

リポジトリへのドキュメントのインポート時、OWSMはattachTo値のみを検証します。値が無効な場合、ポリシー・セットは無効化されます。マップ・ファイル内の他のテキストは検証されません。

たとえば、/tmp/repository-active.jarのマップ・ファイル/tmp/mapfile.txtを生成するには、次のコマンドを入力します。

wls:/jrfServer_domain/serverConfig>importWSMArchive('/tmp/repository-active.jar', '/tmp/mapfile.txt', true)

Successfully generated "Documents Mappings" file at "/tmp/mapfile.txt"

マップ・ファイル/tmp/mapfile.txtを使用してアクティブ・ポリシー・セット・アーカイブ/tmp/repository-active.jarをインポートするには、次のコマンドを入力します。

wls:/jrfServer_domain/serverConfig>importWSMArchive('/tmp/repository-active.jar', '/tmp/mapfile.txt')

Importing "META-INF/policysets/global/all-domains-default-web-service-policies"
Importing "META-INF/policysets/global/app-only-web-service-policies"
Importing "META-INF/policysets/global/migrate_example"
Successfully imported "3" documents

15.5 JDeveloperで使用するためにポリシーをOWSMリポジトリからエクスポート

ポリシーは、アプリケーションの開発およびデプロイのサイクルにおいて様々なステージ間(開発から本番へなど)で移行できます。ポリシーの移行には、importWSMArchiveコマンドおよびexportWSMRepositoryコマンドを使用することをお薦めします。

これについては、Webサービスの管理のポリシーの移行に関する項で説明されています。

JDeveloperでは、カスタム・ポリシーを次のデフォルトのポリシー格納場所に追加できます。

JDEV_USER_HOME\system12.1.2.0.x.x.x\DefaultDomain\store\gmds\owsm

設定されていない場合、JDEV_USER_HOMEのデフォルトはC:\Users\user-dir\AppData\Roaming\JDeveloperになります。

このデフォルトのポリシーの格納場所では、OWSMポリシーはpolicies/policynameというディレクトリ構造で格納する必要があります。

注意:

このディレクトリ構造の中で、policynameには、ポリシーが存在するディレクトリが含まれています。たとえば、Oracleで提供される事前定義済のすべてのポリシーは、oracle/wss_http_token_service_policyなどのoracle/ディレクトリに含まれています。

カスタム・ポリシーは、事前定義済ポリシーが含まれている/oracleディレクトリとは別のディレクトリ(たとえばmycompany/mypolicy)に格納することをお薦めします。

ポリシー・ファイルをOWSMリポジトリからWLSTまたはFusion Middleware Controlを使用してエクスポートすると、次のディレクトリ構造を使用したZipアーカイブにエクスポートされます。

META-INF/policies/policyname

JDeveloper環境でポリシーを使用するには、ZipアーカイブのMETA-INFディレクトリの中身を、前述のデフォルトのJDeveloperのポリシー格納場所に抽出する必要があります。このようにすると、policies/policynameという構造が維持され、JDeveloper環境でポリシーが使用できるようになります。このディレクトリ構造が維持されないと、ポリシーをJDeveloper環境で使用できません。

15.6 リポジトリ内のポリシーへのパッチ適用について

OWSMリポジトリにパッチ適用するには、Fusion Middleware ControlまたはWLSTコマンドを使用できます。

これについては、ポリシーのインポートとエクスポートの異なるメカニズムの理解で説明されています。

ポリシーを作成または更新する場合、リポジトリをパッチするときに使用可能なシナリオとして次の2つが考えられます。

注意:

事前定義済のポリシーは読取り専用であり、更新または上書きできません。

- 新しいポリシーを作成するか、新しいポリシーURIを使用する既存のユーザー定義ポリシーを更新します。このシナリオでは、リポジトリのパッチは、新しいファイルがインストールに追加されたかのように機能します。結果として、新しいポリシーを使用する予定のコンポーネントのみが影響を受けます。ロードすると、ポリシーはすべてのアプリケーションで使用できるようになります。一般的には、新しいポリシーURIを使用する方が望ましいモデルといえます。というのは、ポリシーは通常それが行う動作を示すように名前が付けられてるためです。

- 新しいポリシーを作成するか、既存のポリシーURIを使用する既存のユーザー定義ポリシーを更新します。このシナリオでは、リポジトリのパッチは、既存のファイルが新しいバージョンで上書きされたかのように機能します。そのため、既存のポリシーを使用しているすべてのコンポーネントに影響します。ロードすると、すべてのアプリケーションで新しいバージョンのポリシーが使用されます。既存のURIの再使用は、通常はポリシーの動作の変更箇所が少ない場合にのみ行われます。WLSTコマンドを使用してリポジトリをパッチする場合は、サーバーを再起動して必ず最新バージョンのポリシーが強制されるようにする必要があることに注意してください。Fusion Middleware Controlを使用する場合は、再起動する必要はありません。

15.7 OWSMリポジトリのバックアップの作成とリストア

OWSMリポジトリをバックアップおよびリストアするには、WLSTコマンドのexportWSMRepositoryおよびimportWSMArchiveを使用します。

これらのコマンドの詳細は、「WLSTを使用したリポジトリへのドキュメントのインポートおよびエクスポートについて」を参照してください。

たとえば、リポジトリ内のすべてのOWSMアーティファクトをバックアップするには、次のコマンドを入力します。

wls:/jrfServer_domain/serverConfig>exportWSMRepository ('/tmp/repository-backup.jar')

Exporting "/assertiontemplates/oracle/binding_authorization_template"
Exporting "/assertiontemplates/oracle/binding_permission_authorization_template"
.
.
.
Exporting "/policies/oracle/binding_authorization_denyall_policy"
Exporting "/policies/oracle/binding_authorization_permitall_policy"
.
.
.
Exporting "/policysets/global/all-domains-default-web-service-policies"Exporting "/policysets/global/app-only-web-service-policies"
Successfully exported "170" documents.

バックアップからリポジトリをリストアするには、importWSMArchiveコマンドを使用してすべてのOWSMリポジトリ・アーティファクトをインポートします。

たとえば、前述の例で作成したバックアップ・ファイルを使用してリポジトリをリストアするには、次のコマンドを入力します。

wls:/jrfServer_domain/serverConfig>importWSMArchive ('/tmp/repository-backup.jar')

Importing "META-INF/assertiontemplates/oracle/binding_authorization_template"Importing "META-INF/assertiontemplates/oracle/binding_permission_authorization_template"
.
.
.
Importing "META-INF/policies/oracle/binding_authorization_denyall_policy"
Importing "META-INF/policies/oracle/binding_authorization_permitall_policy"
.
.
.
Importing "META-INF/policysets/global/all-domains-default-web-service-policies"Importing "META-INF/policysets/global/app-only-web-service-policies"
Successfully imported "170" documents.

このWLSTコマンドおよびその議論に関する情報は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のWebサービス・カスタムWLSTコマンドに関する項を参照してください。

15.8 OWSMリポジトリのアップグレード

OWSMリポジトリを11gから12cにアップグレードできます。

事前定義済のポリシーやアサーション・テンプレートなど、12cリリースで配布される事前定義済OWSMドキュメントは、すべて読取り専用です。11gから12cにアップグレードする際、次のことが行われます。

- 変更されていない既存の事前定義済ドキュメントは、12cの読取り専用バージョンに置換されます。

- 12cで導入された新規の事前定義済ドキュメントが追加されます。

- 変更された既存の事前定義済ドキュメントおよびユーザーが作成したドキュメントは、上書きされず、変更もされません。

常にOracle事前定義済ドキュメントの最新バージョンを使用できるようにするために、次のことをお薦めします。

1. 次のトピックで説明されているように、変更済ドキュメントのクローンを作成します。

- Webサービス・ポリシーのクローンの作成

- アサーション・テンプレートのクローンの作成

2. 変更済ドキュメントへのポリシー参照がある場合は、クローンしたバージョンへのポリシー参照に置換します。

3. resetWSMRepository(clearStore='false')コマンドを使用してOWSMリポジトリをアップグレードします。clearStore='false'オプションを使用すると、Oracleの提供する事前定義済ドキュメントのみが削除および置換されます。カスタム・ドキュメントや、クローンを作成した事前定義済ドキュメントは削除されません。これがこのコマンドのデフォルト設定です。

注意:
resetWSMRepositoryコマンドも、事前定義済ポリシーおよびアサーション・テンプレートのバージョン番号を更新します。

カスタム・ドキュメントを含めたリポジトリ内のすべてのドキュメントを削除する方法は、「OWSMリポジトリの再構築」を参照してください。

15.9 OWSMリポジトリの再構築

状況によっては、OWSMリポジトリ内のすべてのドキュメントを削除し、Fusion Middlewareインストール付属の最新のセットと置換した方がよい場合もあります。たとえば、新しいプロジェクトをテスト環境で開始する場合、リポジトリの中身を元の状態にリセットできると便利なことがあります。

注意:

この項で説明されている手順では、クローンを作成したドキュメントおよびユーザー作成によるドキュメントを含め、OWSMリポジトリ内のすべてのドキュメントが削除されます。Oracle提供の事前定義済ドキュメントのみを削除および置換する手順は、「OWSMリポジトリのアップグレード」を参照してください。

OWSMリポジトリを再構築するには、次の手順を実行します。

1. リポジトリが登録されているWebLogic Serverドメインの管理サーバー・インスタンスに接続します。手順の詳細は、『Webサービスの管理』のWebサービスのカスタムWLSTコマンドへのアクセスに関する項を参照してください。

注意:

ポリシーの削除またはリポジトリの再構築の前に、既存のポリシーを安全な場所にバックアップする必要があります。新しいポリシーで問題が発生した場合に、バックアップから既存のポリシーをインポートできます。

2. resetWSMRepository(clearStore='true')コマンドを使用して、OWSMリポジトリからカスタム・ユーザー・ドキュメントを含めたすべてのドキュメントを削除し、Oracle提供の事前定義済読取り専用ドキュメントの完全なセットを再移入します。

WLSTコマンドのresetWSMRepositoryの詳細は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のOWSMリポジトリ管理コマンドに関する項を参照してください。

注意:

ポリシーを削除する前に、ポリシーがポリシー・サブジェクトにアタッチされていないことを確認することをお薦めします。

16 Oracle Web Services Managerでの問題の診断

Oracle Web Services Manager (OWSM)を使用して、一般的な問題(鍵と資格証明、証明書、ポリシー・アクセス、アサーション、その他のセキュリティの問題など)を診断および修正できます。WLSTを使用して問題を診断することもできます。

トピック:

- OWSMポリシー・マネージャのページを使用したポリシー・マネージャの問題の診断

- Oracle Web Services Managerでの一般的な問題の概要

- WLSTを使用したポリシー・アタッチメントに関する問題の概要

- WLSTを使用したドメイン構成に関する問題の診断について

- WS-TrustユースケースでのOracle Web Services Managerの一般的な例外

16.1 OWSMポリシー・マネージャのページを使用したポリシー・マネージャの問題の診断

OWSMポリシー・マネージャはすべてのOWSMポリシーを管理しており、OWSMポリシー・フレームワークを使用するためには、稼働している必要があります。Oracle Enterprise Manager Fusion Middleware ControlのOWSMポリシー・マネージャのページで、ポリシー・マネージャの現在の状態を確認し、そのレスポンス時間、負荷およびその他のデータを確認できます。

OWSMポリシー・マネージャが使用できない場合、ADFおよびWebCenterのサービスとクライアントのポリシー・アタッチメントに加えた変更はOWSMリポジトリに保存されません。

OWSMポリシー・マネージャのページを表示するには:

1. ターゲット・ナビゲーション・ペインで、「アプリケーションのデプロイ」を開きます。

2. 「アプリケーションのデプロイ」の下にある「内部アプリケーション」を開きます。

3. 「wsm-pm」を開き、「wsm-pm」アプリケーションを選択します。

OWSMポリシー・マネージャのホームページが表示されます。

図16-1 OWSMポリシー・マネージャのページ

ポリシー・マネージャのページでは、次のタスクを1つ以上実行できます。

- ページの「一般」領域で、ポリシー・マネージャの現在の状態を確認し、デプロイ先のサーバーを識別します。

- ページの「レスポンスと負荷」セクションで、レスポンス時間と現在の負荷を表示します。この情報を表形式で表示するには、「表ビュー」をクリックします。

- ページの「エントリ・ポイント」セクションで、ポリシー・マネージャへの接続を検証します。これを行うには、「Webモジュール」表内で、wsm-pmに対応する「テスト・ポイント」のURLをクリックします。ポリシー・マネージャの検証ページで、ポリシー・マネージャの検証をクリックします。

注意:

Webブラウザで次のURLを使用してバリデータ・ページにアクセスすることもできます。

http://host:port/wsm-pm/validator

このURLで、hostおよびportは、ポリシー・マネージャが実行されているホストおよびポート番号を表します。

ポリシー・マネージャへの接続に失敗すると、エラー・メッセージが表示されます。ポリシー・マネージャへの接続が成功すると、ポリシー・マネージャのバリデータ・ページには次の情報が表示されます。

- ポリシー・マネージャのステータス。

- OWSMリポジトリ内のOWSMポリシーの合計数。

- OWSMリポジトリ内のすべてのOWSMポリシーの名前、最新バージョンおよび説明。

- リポジトリ内のOWSMアサーション・テンプレートの合計数。

- OWSMリポジトリ内のすべてのOWSMアサーション・テンプレートの名前、最新バージョンおよび説明。

- リポジトリの作成日およびビルド・ラベル。

OWSMリポジトリの詳細は、Oracle Web Services Managerリポジトリの管理を参照してください。

16.2 Oracle Web Services Managerでの一般的な問題の概要

OWSMを使用しているときに一般的な問題が発生することがあります。この項では、それらの問題および考えられる解決策について説明します。

次のトピックが含まれています:

- ポリシー・マネージャの一般的な接続の問題の概要

- アプリケーションがWebサービスを呼び出した後のキーストアまたは資格証明ストアのエラーの概要

- アプリケーションがWebサービスを呼び出した後の信頼証明書エラーの概要

- アイデンティティ伝搬時のSAMLアサーション・エラーのトラブルシューティングについて

- アプリケーションがWebサービスを呼び出した後のポリシー・アクセスの問題の概要

- 資格証明ストアのユーザーへのアクセスに関する問題の概要

- アプリケーションがWebサービスを呼び出した後のユーザー認可の一般的な問題の概要

- アプリケーションがWebサービスを呼び出した後のタイムスタンプ・エラーの概要

- アプリケーションがWebサービスを呼び出した後の複数認証セキュリティ・ポリシー・エラーの概要

16.2.1 ポリシー・マネージャの一般的な接続の問題の概要

ポリシー・マネージャの一般的な接続の問題が発生することがあります。この項は、それらの問題を診断および解決するために役立ちます。

次のトピックが含まれています:

- ポリシー・マネージャの一般的な接続の問題の理解

- ポリシー・マネージャの接続の問題の解決

16.2.1.1 ポリシー・マネージャの一般的な接続の問題の理解

この項では、ポリシー・マネージャの一般的な接続の問題について説明します。

ポリシー・マネージャへの接続が失敗すると、次の1つ以上のエラー・メッセージが表示されます。

- WSM-06157: リポジトリ・データベースが正しく構成されていないか稼働していません。

- WSM-06160: ポリシー・マネージャ・アプリケーションがデプロイされていないか稼働していません。

- WSM-06161: ポリシー・マネージャ・アプリケーションがデプロイされていません。

- WSM-06162: ポリシー・マネージャが稼働していないか正しく構成されていません。

- WSM-06159: 資格証明の問題が原因でポリシー・マネージャに接続できません。

- WSM-02120 : ポリシー・アクセス・サービスに接続できません。

ポリシー・マネージャへの接続の問題は、一般的に次の原因によって発生します。

- ポリシー・マネージャが停止しています。
ポリシー・マネージャが停止しているかどうかは、次のようにして判断できます。

- OWSMポリシー・マネージャのページを使用したポリシー・マネージャの問題の診断に示されている、OWSMポリシー・マネージャのホーム・ページの「一般」領域で、ポリシー・マネージャの状態がShutdownとして表示されます。

- 図16-2に示されているように、Fusion Middleware Controlのドメインのホームページ上のwsm-pm内部アプリケーションの状態が「停止中」です。ドメインのホーム・ページにアクセスするには、ページの左隅にある「WebLogicドメイン」メニューから「ホーム」を選択します。

図16-2 OWSMポリシー・マネージャの停止(「ファーム」ページ)

- Fusion Middleware ControlでOWSMのポリシー管理ページへのアクセスを試みると、エラー・ダイアログ・ボックスが表示されます。このエラー情報は、『Webサービスの管理』のサンプル・ログの確認に関する項に記載されているように、診断ログ・ファイルにも書き込まれます。

- ドメインがSSLを使用した自動検出を使用するように構成されています。
OWSMは自動検出機能をサポートしており、この機能を使用してOWSMポリシー・マネージャを検索し、接続します。ドメインがSSLを使用した自動検出を使用するように構成されている場合、自動検出ロジックでは、SSL対応サーバーへの検出を常に試みます。安全な接続を保持するために、自動検出ロジックは、SSL対応サーバーが停止中であっても、非SSLサーバー上のポリシー・マネージャへの接続は試みません。したがって、稼働中のポリシー・マネージャがあっても、それがSSLに対応していないサーバーで稼働している場合は無視され、エラー・メッセージが表示されます。

- ポリシー・マネージャへのアクセスで必要な資格証明が無効または認可されません。

- リポジトリが正しく構成されていない可能性があります。

- ポリシー・マネージャおよびエージェントのクロスコンポーネント・ワイヤリングが最新でない可能性があります。

16.2.1.2 ポリシー・マネージャの接続の問題の解決

この項の情報を使用すると、ポリシー・マネージャの最も一般的な接続の問題を修正できます。

次の情報を使用して問題を修正します。

- ポリシー・マネージャが停止している場合は、『Oracle Fusion Middlewareの管理』のアプリケーションの起動と停止に関する項で説明されているように、wsm-pmアプリケーションを再起動します。

- ドメインがSSLを使用した自動検出を使用するように構成されている場合:

- wsm-pmポリシー・マネージャ・アプリケーションのターゲットがSSLサーバーであることを確認します。Oracle WebLogic Server管理コンソール・オンライン・ヘルプのエンタープライズ・アプリケーションのサーバーに対するターゲット指定に関する項に従って、WebLogic Server管理コンソールを使用します。

- SSLが適切に構成されており、SSL証明書の問題がないことを確認します。。詳細は、「SSLに関するキーストアの構成について」を参照してください。

- SSL対応サーバーが停止している場合は、Oracle Fusion Middlewareの管理のOracle Fusion Middlewareの開始と停止に関する項に従って、このサーバーとポリシー・マネージャ・アプリケーションを再起動します。

- サービス表およびコンポーネント構成がSSL用に正しく構成されていることを確認します。詳細は、「ポリシー・マネージャの自動検出のためのクロス・コンポーネント・ワイヤリング」を参照してください。

- ポリシー・マネージャを非SSLサーバーで使用するには、自動検出構成を変更します。詳細は、Fusion Middleware Controlを使用したポリシー・マネージャ接続の構成の理解およびWLSTを使用したポリシー・マネージャ接続の構成を参照してください。

- ポリシー・マネージャへのアクセスを試みると資格証明の問題が発生する場合は、ユーザー・アカウントを確認します。デフォルトでは、OWSMランタイムはOracleSystemUserアカウントを使用します。デフォルトのユーザー・アカウントを使用していない場合は、「デフォルト・ユーザーの変更について」の説明に従って、構成を変更する必要があります。

- リポジトリ構成に関する問題がある場合:

- データベースとMDSスキーマが正しくセットアップされていることを確認します。この構成は、インストール・プロセスの一環として行われます。詳細は、『Oracle Fusion Middleware Infrastructureのインストールと構成』のデータベース・スキーマの作成に関する項を参照してください。

- JDBC構成が正しいことを確認します。JDBC構成は、Fusion Middleware構成ウィザードを使用してドメインを作成するときに定義されます。詳細は、『Oracle Fusion Middleware Infrastructureのインストールと構成』のWebLogicドメインの構成に関する項を参照してください。

- クロスコンポーネント・ワイヤリングに関する問題がある場合:

- OWSMポリシー・マネージャに対応するサービス表エントリに正しいURLが含まれていることを確認します。

- OWSMエージェント・フックとOWSMポリシー・マネージャの間のワイヤリングがwired状態であることを確認します。

詳細は、以下のトピックを参照してください。

- Fusion Middleware Controlを使用したサービス表エントリとコンポーネントの確認

- Fusion Middleware Controlを使用したエージェント・バインディングの確認

16.2.2 アプリケーションがWebサービスを呼び出した後のキーストアまたは資格証明ストアのエラーの概要

アプリケーションがWebサービスを呼び出した後にキーストアまたは資格証明ストアのエラーを引き起こす一般的な問題を診断および解決するための情報が必要な場合があります。

この項では、次の項目について説明します。

- キーストアまたは資格証明ストアの一般的なエラーの理解

- キーストアおよび資格証明ストアの問題の解決

16.2.2.1 キーストアまたは資格証明ストアの一般的なエラーの理解

この項では、キーストアまたは資格証明ストアの一般的な問題について説明します。

アプリケーションがWebサービスを呼び出した後に、キーストアまたは資格証明ストアの問題が発生した場合は、次のようなエラー・メッセージが表示されます。

- WSM-00056: キー<alias_name>は取得されません

- WSM-00256: プロパティ"Keystore Sign Alias"は設定されていません

- WSM-0024: KSSキーストアからキーを読み取れません

- WSM-00340: KSSキーストアにキーが存在しません

キーストアおよび資格証明ストアのエラーは、一般的に次の問題によって発生します。

- JKSキーストアの場合:

- OWSMキーストア構成内の署名鍵または暗号化鍵の別名が、OWSMキーストアに存在しません。

- 署名鍵、暗号化鍵またはOWSMキーストア・パスワードが、OWSMのキーストア・ファイルとキーストア構成の間で同期していません。つまり、少なくとも1つのパスワードの値が両方の場所で一致していません。

- 署名鍵が設定されていません。

- 資格証明ストアに欠落しているキーがあります。

- KSSキーストアの場合:

- キーストアが初期化されていないか、必要な権限が付与されていません。

- キーストアにキーが存在しません。ドメイン構成の「メッセージ・セキュリティ」画面に入力したキーが、キーストア内で見つかりません。

16.2.2.2 キーストアおよび資格証明ストアの問題の解決

OWSMキーストア構成内の署名鍵および暗号化鍵の別名が、OWSMキーストアに存在することを確認できます。パスワードが同期されていることを確認することもできます。

次の情報を使用して、キーストアおよび資格証明ストアの問題を修正できます。

- OWSMキーストア構成内の署名鍵および暗号化鍵の別名が、OWSMキーストア・ファイルに存在することを次のように確認します。

1. Fusion Middleware Controlを使用して、「OWSMキーストアの構成」の手順を実行して、OWSMキーストア構成内の署名鍵および暗号化鍵の別名を識別します

2. 手順1で識別した別名がOWSMキーストア・ファイルに存在することを確認します。
JKSキーストアの場合:

「秘密鍵の生成およびJavaキーストアの作成」の手順4に従って、OWSMキーストア・ファイルでkeytool -listコマンドを使用します。keytoolユーティリティの使用方法の詳細は、次のURLにあるドキュメントkeytool - 鍵および証明書の管理ツールを参照してください。

http://download.oracle.com/javase/6/docs/technotes/tools/windows/keytool.html

注意:

前述のURLでドキュメントが見つからない場合は、Java SEテクニカル・ドキュメントの検索Webページで検索してアクセスできます。

http://download.oracle.com/javase/search.html

- 各別名が、資格証明ストア内のキーストア・ファイルとOWSMキーストア構成で同期していることを確認します。同期していない場合は、「OWSMキーストアの構成」の手順に従って、OWSMキーストア構成内の別名を編集できます。OWSMキーストア・ファイル内の別名は、keytool -changealiasコマンドを使用して編集できます。

注意:

別名を編集する前に、この操作が他のWebサービスに影響を及ぼさないことを確認します。

- 署名鍵または暗号化鍵の別名がOWSMキーストア・ファイルに存在しない場合は、「秘密鍵の生成およびJavaキーストアの作成」の説明に従って追加します。

KSSキーストアの場合:

Fusion Middleware Controlを使用して、キーストアの内容を管理し、別名が一致することを確認します。詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』のキーストア・サービスを使用したキーと証明書の管理に関する項を参照してください。

- パスワードが同期されていることを次のように確認します。
JKSキーストアの場合、署名鍵、暗号化鍵およびOWSMキーストア・ファイルのパスワードが、OWSMのキーストア・ファイルとキーストア構成の間でそれぞれ同期していることを確認するには、次の手順に従います。

1. keytoolを使用して、OWSMキーストア・ファイル内のパスワードを再設定します。パスワードは表示されないため、両方の場所でそれぞれ同じパスワード値を設定するには、パスワードの再設定が唯一の方法です。

- keytool -storepasswdコマンドを使用して、OWSMキーストア・ファイルのパスワードを再設定します。

- keytool -keypasswdコマンドを使用して、署名鍵パスワードおよび暗号化鍵パスワードを再設定します。

2. Fusion Middleware Controlを使用して、「OWSMキーストアの構成」の説明に従って、OWSMキーストア構成内のパスワードを手順1で設定した値にそれぞれ再設定します

16.2.3 アプリケーションがWebサービスを呼び出した後の信頼証明書エラーの概要

アプリケーションがWebサービスを呼び出した後に発生する信頼証明書エラーを診断および解決するために役立つ情報が必要な場合があります。

この項では、次の項目について説明します。

- 信頼証明書エラーの理解

- 信頼証明書の問題の解決

16.2.3.1 信頼証明書エラーの理解

通常、信頼証明書エラーは、Webサービスがその証明書をWeb Services Description Language (WSDL)で通知し、クライアントがその証明書または発行者を信頼するよう適切に構成されていない可能性がある場合に発生します。

アプリケーションがWebサービスを呼び出した後に、信頼証明書の問題が発生した場合は、次のエラー・メッセージが表示されます。

WSM-00138: 証明書へのパスは例外のため無効です

16.2.3.2 信頼証明書の問題の解決

クライアントの信頼証明書の構成およびkeystore.recipient.aliasプロパティの値を確認することによって、信頼証明書の問題を解決できます。

WSDLで通知されるWebサービスの証明書または発行者を信頼するようクライアントが構成されていることを確認するには:

1. クライアント・キーストアに、Webサービスの証明書またはその発行者の証明書があることを確認します。

KSSキーストアの場合は、Fusion Middleware Controlを使用して、クライアント・キーストア内の証明書を識別します。詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』のキーストア・サービスを使用したキーと証明書の管理に関する項を参照してください。

JKSキーストアの場合は、keytool –listコマンドを使用して、クライアント・キーストア内の証明書を識別します。いずれかの証明書がクライアント・キーストアに不足している場合は、keytool –importcertコマンドを使用してそれを追加します。keytoolの使用の詳細は、Java SEテクニカル・ドキュメントWebサイトにあるkeytool - キーおよび証明書管理ツールのドキュメントを参照してください。このドキュメントには次のURLでアクセスできます。

http://download.oracle.com/javase/6/docs/technotes/tools/windows/keytool.html

2. 証明書がサービスのWSDLでパブリッシュされていない場合は、クライアント・ポリシーのオーバーライド・プロパティkeystore.recipient.aliasの値が、OWSMキーストア・ファイル内の証明書の別名に一致することを確認します。

詳細は、「ポリシー構成のオーバーライドの概要」を参照してください。

16.2.4 アイデンティティ伝搬時のSAMLアサーション・エラーのトラブルシューティングについて

アイデンティティ伝搬時に発生したSAMLアサーションの問題をトラブルシューティングするために役立つ情報が必要な場合があります。

この項では、次の項目について説明します。

- SAMLアサーションの一般的な問題の理解

- SAMLアサーションの問題のトラブルシューティング

16.2.4.1 SAMLアサーションの一般的な問題の理解

異なるアプリケーションを呼び出すことによって、アプリケーションがユーザーのアイデンティティを伝搬しようとしたときに問題が発生した場合は、InvalidSecurityToken、FailedAuthenticationおよびSAML assertion issuer関連のエラーが表示されます。

SAMLアサーションのエラーは、一般的に次の問題によって発生します。

- SAMLトークンのSAML発行者名が構成されていないか、構成が正しくありません。

- subject.precedence構成オーバーライドの設定が正しくありません。

16.2.4.2 SAMLアサーションの問題のトラブルシューティング

SAML発行者名の構成およびsubject.precedence構成のオーバーライドに関する問題をトラブルシューティングできます。

次の情報を使用すると、最も一般的なポリシー・マネージャの接続の問題をトラブルシューティングできます。

- SAML発行者名の構成のトラブルシューティングを行うには:
クライアントが使用しているSAML発行者名が、Oracle WebLogic Serverドメイン内で構成されている発行者に含まれていることを確認します。これを行うには、「Fusion Middleware Controlを使用した信頼できるSAML発行者およびDNリスト」に記載されている手順を実行します。

クライアントが使用しているSAML発行者名が、Oracle WebLogic Serverドメイン内の発行者として構成されていない場合、saml.issuer.nameオーバーライドを、ドメイン内で構成されている発行者の1つに更新することによって、クライアントの発行者名を変更することをお薦めします。

クライアントの発行者名を変更できない場合は、「Fusion Middleware Controlを使用した信頼できるSAML発行者およびDNリスト」の手順を実行することによって、発行者名をOracle WebLogic Serverドメインに追加できます。

- subject.precedence構成オーバーライドのトラブルシューティングを行うには:

1. 現在のクライアント・ポリシー内のsubject.precedenceオーバーライド値をfalseに設定して、アイデンティティを異なるユーザーに変更します。デフォルトでは、subject.precedenceオーバーライドはtrueに設定されます。

2. サービスに送信するユーザーのユーザー名およびパスワードが含まれるクライアント・ポリシーで、資格証明ストア・フレームワークの適切なキー・オーバーライドを設定します。このユーザーのエントリが資格証明ストア・フレームワークに存在しない場合は、それを追加する必要があります。詳細は、資格証明ストアを構成するための鍵およびユーザー資格証明の追加を参照してください。

3. 「アイデンティティ切替えのためのSAML Webサービス・クライアントの構成について」の手順を実行することによって、クライアント・アプリケーションに対して適切なWebサービス・アイデンティティ権限が設定されていることを確認します。

16.2.5 アプリケーションがWebサービスを呼び出した後のポリシー・アクセスの問題の概要

アプリケーションがWebサービスを呼び出した後に発生したポリシー・アクセス・エラーの原因である問題を診断および解決するために役立つ情報が必要な場合があります。

この項では、次の項目について説明します。

- ポリシー・アクセスの一般的な問題の理解

- ポリシー・アクセスの一般的な問題の解決

16.2.5.1 ポリシー・アクセスの一般的な問題の理解

アプリケーションがWebサービスを呼び出した後に発生するポリシー・アクセスの問題は、通常、ポリシー・マネージャが停止している、ポリシーがリポジトリに存在しないなどの問題によって発生します。

アプリケーションがWebサービスを呼び出そうとした後にポリシー・アクセスの問題が発生した場合は、次のようなエラー・メッセージが表示されます。

- WSM-06156: ポリシーURIが欠落しているか、空か、無効な文字が含まれています。

- WSM-06158: 参照されたポリシーがリポジトリ内にありません。

- WSM-02017: ドキュメントはリポジトリに見つかりませんでした。

アプリケーションがWebサービスを呼び出した後に発生するポリシー・アクセスの問題は、通常、次の問題によって発生します。

- ポリシー・マネージャが停止しています。

- ポリシーURIが欠落しているか、ポリシー名のスペルミスです。

- ポリシーがリポジトリ内にありません。

- キャッシュの遅延が原因で、ポリシー・アタッチメントが有効ではありません。

16.2.5.2 ポリシー・アクセスの一般的な問題の解決

この項の手順を使用すると、ポリシー・アクセスの一般的な問題を解決できます。

次の情報を使用すると、ポリシー・アクセスの最も一般的な問題を修正できます。

1. OWSMポリシー・マネージャのページを使用したポリシー・マネージャの問題の診断およびポリシー・マネージャの一般的な接続の問題の概要の説明に従って、ポリシー・マネージャが稼働していることを確認します。

2. mds-owsmデータソース接続がアクセス可能で、使用可能であることを確認します。詳細は、『Oracle Fusion Middlewareの管理』のデータ・ソースの理解と管理に関する項を参照してください。

3. ポリシー・マネージャのバリデータ・ページを使用してリポジトリのコンテンツを表示することによって、OWSMリポジトリにポリシーがあることを確認します。バリデータ・ページへのアクセスおよびリポジトリ・コンテンツの表示の詳細は、OWSMポリシー・マネージャのページを使用したポリシー・マネージャの問題の診断を参照してください。

4. リポジトリにポリシーがある場合、ポリシーURIがリポジトリ内のポリシーURIと一致することを確認します。

5. ポリシーがOWSMリポジトリにない場合、次のいずれかの操作を行います。

- 事前定義済ポリシーの場合:

- upgradeWSMRepository()コマンドを使用して、リポジトリが最新のすべての事前定義済ポリシーでアップグレードされていることを確認します。詳細は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のupgradeWSMRepositoryに関する項を参照してください。

- 「OWSMリポジトリの再構築」の説明に従って、resetWSMRepositoryコマンドを使用してリポジトリのコンテンツをリセットします。

- カスタム・ポリシーの場合:

- Webサービス・ポリシーのインポートで説明されているようにそれをリポジトリにインポートします。カスタム・ポリシーの作成の詳細は、「新規Webサービス・ポリシーの作成」を参照してください。

6. ユーザーが、適切な権限が付与されたロールに属することを確認します。ロールまたは権限を変更するには、「ユーザーのグループまたはロールの変更」を参照してください。

7. ポリシー・アクセッサおよびキャッシュ遅延を確認します。

ポリシー・アタッチメントが有効になるまでにかかる時間は、OWSMポリシー・アクセッサおよびポリシー・キャッシュのプロパティ設定で決まります。デフォルトでは、この遅延は最大で11分です。遅延を縮小するには、必要に応じて、次のキャッシュ・プロパティ設定を調整できます。

- 「初期キャッシュ・リフレッシュ」、デフォルトは600000ミリ秒(10分)

- 「キャッシュ・リフレッシュ時間」、デフォルトは600000ミリ秒(10分)

これらのプロパティの調整の詳細は、次の各項を参照してください。

- Fusion Middleware Controlを使用した高可用性の構成およびキャッシュの管理

- WLSTを使用した高可用性およびキャッシュ管理の構成

16.2.6 資格証明ストアのユーザーへのアクセスに関する問題の概要

OWSMが資格証明ストアでユーザーを見つけることを妨げている問題を診断および解決するために役立つ情報が必要な場合があります。

この項では、次の項目について説明します。

- ユーザー・アクセスの一般的な問題の理解

- ユーザー・アクセスの問題の解決

16.2.6.1 ユーザー・アクセスの一般的な問題の理解

通常、ユーザー・アクセスの問題は、OWSMによって使用されるマップにユーザーがリストされていない、エントリのCSFキーが資格証明ストアに存在しない、資格証明マップoracle.wsm.securityが資格証明ストアに存在しないなどの問題によって発生します。

OWSMが資格証明ストアのユーザーにアクセスできない場合は、次のようなエラーが表示されます。

WSM-00015: The user name is missing

ユーザー・アクセスの問題は、一般的に次の問題によって発生します。

- 資格証明マップoracle.wsm.securityが資格証明ストアに存在しません。

- OWSMが使用するマップにユーザーがリストされていません。

- エントリのCSFキーが資格証明ストアに存在しません。

16.2.6.2 ユーザー・アクセスの問題の解決

資格証明マップoracle.wsm.securityが資格証明ストアに存在することを確認できます。アプリケーションが他の資格証明マップを使用している場合は、ユーザーがこのマップに複製されていることを確認します。

次の情報を使用すると、ユーザー・アクセスの一般的な問題を修正できます。

資格証明マップoracle.wsm.securityが資格証明ストアに存在することを確認します。OWSMは、この資格証明ストア・マップからのみ読み取ります。

資格証明マップoracle.wsm.securityが資格証明ストアに存在することを確認するには、資格証明ストアを構成するための鍵およびユーザー資格証明の追加の手順を参照してください。

アプリケーションがoracle.wsm.security以外の資格証明マップを使用する場合は、OWSMがアクセスする必要があるユーザーがoracle.wsm.security資格証明マップに複製されていることを確認します。

16.2.7 アプリケーションがWebサービスを呼び出した後のユーザー認可の一般的な問題の概要

アプリケーションがWebサービスを呼び出した後に発生したユーザー認可の問題の原因である問題を診断および解決するために役立つ情報が必要な場合があります。

この項では、次の項目について説明します。

- ユーザー認可の一般的な問題の理解

- ユーザー認可の問題の解決

16.2.7.1 ユーザー認可の一般的な問題の理解

システムがユーザーの認可に失敗すると、アクセス拒否エラーが表示されます。

エラー・メッセージは次のようになります。

java.security.AccessControlException: access denied (oracle.wsm.security.WSFunctionPermission

一般に、ユーザーの認可に失敗しても実際には問題ではなく、むしろ意図的な動作です。つまり、システムは、ユーザーが試みたアクションについて、ユーザーを認可できませんでした。

16.2.7.2 ユーザー認可の問題の解決

コール元サーバーの診断ログで認可エラーを確認して、それを解決できます。

次の手順を使用すると、このユーザー認可の問題をデバッグできます。

1. コール元サーバーの診断ログで認証エラーを確認します。次のようなエラーが表示されます。

2011-01-06T22:15:43.691-08:00] [SalesServer_2] [ERROR] [] [oracle.jbo.server.svc.ServicePermissionCheckInterceptor_w2f8f5_Impl]
[tid: [ACTIVE].ExecuteThread: '7' for queue: 'weblogic.kernel.Default (self-tuning)']
[userId: FMW_APPS_CRM_SELFSERVICE_ADF_APPID]
[ecid: 004aIPwzJDGE8TQRyaI7T00001WJ00EJ8f,0:1:3:1:11:0x5f5e189:6:1]
[WEBSERVICE_PORT.name: PartnerServiceSoapHttpPort] [APP: SalesApp#V2.0]
[J2EE_MODULE.name: partnerCenterCorePublicModel]
[WEBSERVICE.name: PartnerService] [J2EE_APP.name: SalesApp_V2.0]
[URI: /partnerCenterCorePublicModel/PartnerService] [[
java.security.AccessControlException: access denied (oracle.wsm.security.WSFunctionPermission
http://xmlns.oracle.com/apps/partnerMgmt/partnerCenter/PartnerService#updatePartner invoke)
at java.security.AccessControlContext.checkPermission(AccessControlContext.java:323)
at java.security.AccessController.checkPermission(AccessController.java:546)
at oracle.jbo.server.svc.ServicePermissionCheckInterceptor.checkPermission(ServicePermissionCheckInterceptor.java:103)
at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)

2. ログ内の次の情報に注意を払います。これらは、前述の例では太字で示されています。これが、アプリケーション用に構成したものと一致していることを確認します。ストライプ名の構成方法の詳細は、『Oracle Platform Security Servicesによるアプリケーションの保護』のサーブレット・フィルタおよびEJBインターセプタの構成に関する項を参照してください。

- アプリケーション・ストライプ名。前述のログではSalesApp#V2.0です。

- リソース名(このログでは、http://xmlns.oracle.com/apps/partnerMgmt/partnerCenter/PartnerService#updatePartner)およびアクション(このログではinvoke)で構成される権限付与。

どちらの情報も、権限付与の中で正しく指定されている必要があります。詳細は、「認可権限の決定」を参照してください。

3. アプリケーションがLDAPベースのオーセンティケータを使用しており、すべてのロールをLDAPに格納している場合は、「デフォルト・ユーザーの変更について」の説明に従って、OWSMがユーザーおよびロールにアクセスできることを確認します。

16.2.8 アプリケーションがWebサービスを呼び出した後のタイムスタンプ・エラーの概要

アプリケーションがWebサービスを呼び出した後のタイムスタンプ・エラーの原因である可能性がある問題を診断および解決するために役立つ情報が必要な場合があります。

この項では、次の項目について説明します。

- タイムスタンプ・エラーまたはclockSkewエラーの原因の理解

- タイムスタンプ・エラーまたはclockSkewエラーの解決

16.2.8.1 タイムスタンプ・エラーまたはclockSkewエラーの原因の理解

通常、タイムスタンプの検証またはclockSkewエラーは、サーバーとクライアントのクロックが同じタイムゾーンに変更された後に、時間の差が5分を超えた場合に発生します。

アプリケーションがWebサービスを呼び出した後にタイムスタンプの問題が発生した場合は、次のようなエラーが表示されます。

WSM-00060: Error validating timestamp

この問題は、次のようなタイムスタンプ検証または時間差エラーとして出現します。

Caused By: FAULT CODE: InvalidSecurityToken FAULT MESSAGE: Found invalid condition "on or after" in SAML assertion.
Current Time:Fri Feb 11 22:16:42 IST 2011, clockSkew:300000 milli seconds, NotOnOrAfter Time:Fri Feb 11 14:21:42 IST 2011.

16.2.8.2 タイムスタンプ・エラーまたはclockSkewエラーの解決

クライアントまたはサーバーのクロックを変更して、両方を正しい時間に設定し、その差が5分以内になるようにできます。

次のいずれかの方法でクライアントまたはサーバーのクロックを変更します。

- 「Fusion Middleware Controlを使用したセキュリティ・ポリシー強制の構成」の説明に従って、「クロック・スキュー」を調整します。

- システム・クロックを設定します。

- ntpサーバーを使用して時間を維持します。

16.2.9 アプリケーションがWebサービスを呼び出した後の複数認証セキュリティ・ポリシー・エラーの概要

アプリケーションがWebサービスを呼び出した後に、複数認証セキュリティ・ポリシー・エラーが発生することがあります。この項の情報は、このエラーを診断および解決するために役立ちます。

この項では、次の項目について説明します。

- 一般的な複数認証セキュリティ・ポリシー・エラーの理解

- 複数認証セキュリティ・ポリシー・エラーの解決

16.2.9.1 一般的な複数認証セキュリティ・ポリシー・エラーの理解

通常、複数認証ポリシー・エラーは、1つ以上の認証ポリシーがサブジェクトにアタッチされている場合に発生します。2つのポリシー・セットがあり、それぞれが、Webサービスなど、同じリソース・タイプに認証ポリシーをアタッチする場合に、この状況が発生します。

たとえば、ドメインのOWSMリポジトリに2つのポリシー・セットが定義されており、一方はポリシー・スコープをDomain("domain_name")として定義し、他方はDomain ("*")として定義しているものとします。

アプリケーションがWebサービスを呼び出した後に、複数認証セキュリティ・ポリシーの問題が発生した場合は、複数ポリシー・エラー(WSM-01823)がログに表示されます。たとえば、このエラーは複数の認証ポリシーがサブジェクトに添付されている場合に発生します。

次のリストは、このシナリオの例を示しています。

wls:/base_domain/serverConfig> displayWSMPolicySet('default-domain-ws-domain_gpa')

Policy Set Details:
-------------------
Display Name:                default-domain-ws-domain_gpa
Type of Resources:   SOAP Web Service
Scope of Resources:  DOMAIN("base_domain")
Description:         Global policy attachments for Web Service Endpoint resources.
Enabled:             true
Policy Reference:    URI=oracle/wss11_saml_or_username_token_with_message_protection_service_policy, category=security, enabled=true

wls:/base_domain/serverConfig> displayWSMPolicySet('default-domain-ws-domain')

Policy Set Details:
-------------------
Display Name:                default-domain-ws-domain
Type of Resources:   SOAP Web Service
Scope of Resources:  DOMAIN("*")
Description:         Global policy attachments for Web Service Endpoint resources.
Enabled:             true
Policy Reference:    URI=oracle/wss_saml_or_username_token_service_policy, category=security, enabled=true

この例では、異なる名前の2つのポリシー・セットがあり、そこに含まれる異なる認証ポリシーがドメイン上の同じリソース・タイプを指しています。

注意:

サブジェクトにアタッチされている認証ポリシーが、構成オーバーライドを含めて、お互いの完全な複製の場合、ポリシー・アタッチメントは複製として表示され、構成は有効です。

16.2.9.2 複数認証セキュリティ・ポリシー・エラーの解決

認証ポリシーのアタッチを試みている複数のポリシー・セットがあるかどうかを確認し、それらのいずれかを削除するか、無効にすることによって、競合を解決できます。

認証ポリシーのアタッチを試みている複数のポリシー・セットがあるかどうかを確認するには、次の手順を使用します。

1. listWSMPolicySets()コマンドを使用して、ドメイン内のポリシー・セットのリストを表示します。このコマンドの詳細は、「ポリシー・セットのリストの表示」を参照してください。

2. detail引数をtrueに設定した状態でlistWSMPolicySubjectsコマンドを使用して、ドメイン内のすべてのアプリケーションおよびコンポジットに関するエンドポイント(ポート)とポリシーの詳細、エンドポイントのセキュア・ステータス、構成オーバーライドと制約、およびエンドポイントに有効な構成があるかどうかを表示します。

例のシナリオで定義されているポリシー・セットを使用すると、listWSMPolicySubjects(detail=true)コマンドからの出力は、次のようになります。2つのポリシーは重複しており、それらが関連するポリシー・セットは太字のテキストで示されます。

wls:/base_domain/serverConfig> listWSMPolicySubjects(detail=true)

Application: /WLS/base_domain/jaxwsejb30ws

Assembly: #jaxwsejb

Subject: WS-Service({http://www.oracle.com/jaxws/tests/concrete}WsdlConcreteService#WsdlConcretePort)

URI="oracle/mex_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/mtom_encode_fault_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/max_request_size_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
Property name="max.request.size", value="-1"
URI="oracle/request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/soap_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/ws_logging_level_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
Property name="logging.level", value=""
URI="oracle/test_page_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/wsdl_request_processing_service_policy", category=wsconfig, policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/wss11_saml_or_username_token_with_message_protection_service_policy",
category=security, policy-status=enabled; source=global policy set "default-domain-ws-domain_gpa", scope="DOMAIN('base_domain')"; reference-status=enabled; effective=true
URI="oracle/wss_saml_or_username_token_service_policy",
category=security, policy-status=enabled; source=global policy set "default-domain-ws-domain", scope="DOMAIN('*')";
reference-status=enabled; effective=true

The policy subject is invalid in this context because of the following error:
WSM-01827 : Attaching multiple policies of category "security/authentication" is not supported.
Policies in list [ "oracle/wss11_saml_or_username_token_with_message_protection_service_policy" ]
already have the category, current policy "oracle/wss_saml_or_username_token_service_policy" also has that category.

3. 競合が見つかった場合は、次のいずれかを行います。

- 「WLSTを使用したポリシー・セットの削除」の説明に従って、いずれかのポリシー・セットを削除します。

- 「ポリシー・セットの有効化および無効化」の説明に従って、いずれかのポリシー・セットを無効にします。

詳細は、「エンドポイントのセキュア・ステータスの決定」を参照してください。

16.3 WLSTを使用したポリシー・アタッチメントに関する問題の概要

WLSTコマンドを使用して、ポリシー・アタッチメントの問題を診断します。

この項では、次の項目について説明します。

- listWSMPolicySubjectsコマンドを使用したポリシー・アタッチメントの問題の特定の理解

- グローバル添付ポリシーおよび直接添付ポリシーが含まれる、構成のサンプル出力の表示

- 直接添付ポリシーのみが含まれる、有効な構成のサンプル出力の表示

16.3.1 listWSMPolicySubjectsコマンドを使用したポリシー・アタッチメントの問題の特定の理解

直接アタッチされたポリシーと、ポリシー・セットを使用してグローバルにアタッチされたポリシーが競合しないことを確認するには、WLSTコマンドのlistWSMPolicySubjects (detail="true")を使用します。

このコマンドは、エンドポイントの構成、各エンドポイントにアタッチされた有効なポリシー・セット、エンドポイントのセキュア・ステータス、構成オーバーライドと制約、およびエンドポイントに有効な構成があるかどうかを含めて、ドメイン内のWebサービスまたはWebサービス・クライアントのリストを表示します。このコマンドの使用の詳細は、『Webサービスの管理』のWLSTを使用したドメイン内のWebサービスの表示に関する項を参照してください。

注意:

エンドポイントは、(直接またはポリシー・セットを使用して外部で)アタッチされたポリシーで認証、認可またはメッセージ保護の操作が強制される場合にセキュアであると判断されます。

ポリシー・セットを使用してグローバルにアタッチされたポリシーが構成に含まれる場合、次のコマンドを使用してポリシー・セットに関する情報を表示できます。

- listWSMPolicySets(): リポジトリ内のポリシー・セットのリストを表示します。このコマンドの使用の詳細は、「ポリシー・セットのリストの表示」を参照してください。

- displayWSMPolicySet(): 特定のポリシー・セットの構成を表示します。このコマンドの使用の詳細は、「ポリシー・セットの構成の表示」を参照してください。

Fusion Middleware Controlを使用してエンドポイントで有効なポリシーを表示するには、「Fusion Middleware Controlを使用したWebサービスにアタッチされたポリシーの表示」を参照してください。

エンドポイントがセキュアで、構成が有効かどうかについての判断の詳細は、「エンドポイントのセキュア・ステータスの決定」を参照してください。

16.3.2 グローバル添付ポリシーおよび直接添付ポリシーが含まれる、構成のサンプル出力の表示

listWSMPolicySubjects(detail=true)コマンドを使用して、有効な構成を表示します。グローバルにアタッチされたポリシーまたは直接アタッチされたポリシーの優先度を指定できるため(reference.priority構成オーバーライドを使用)、effectiveフィールドには、直接アタッチされたポリシーがエンドポイントで有効かどうかが示されます。

グローバルにアタッチされたポリシーおよび直接アタッチされたポリシーは太字で示されています。

注意:

エンドポイント管理を簡単にするために、エンドポイントで有効かどうかにかかわらず、すべての直接アタッチされたポリシーが出力に表示されます。対照的に、グローバルにアタッチされているポリシーは、そのエンドポイントに対して有効なもののみが表示されます。

Application: /WLS/base_domain/jaxwsejb30ws

Assembly: #jaxwsejb

Subject: WS-Service({http://www.oracle.com/jaxws/tests/concrete}WsdlConcreteService#WsdlConcretePort)

URI="oracle/wss_saml_or_username_token_service_policy", category=security, policy-status=enabled;
source=global policy set "default-domain-ws-domain", scope="DOMAIN('*')";
reference-status=enabled; effective=true
Property name="reference.priority", value="10"
URI="oracle/mex_request_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/mtom_encode_fault_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/max_request_size_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
Property name="max.request.size", value="-1"
URI="oracle/request_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/soap_request_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/ws_logging_level_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
Property name="logging.level", value=""
URI="oracle/test_page_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/wsdl_request_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/wss10_saml20_token_with_message_protection_service_policy", category=security, policy-status=enabled; source=local policy set; reference-status=enabled; effective=false
Property name="local.policy.reference.source", value="LOCAL_ATTACHMENT"

The policy subject is secure in this context.

16.3.3 直接添付ポリシーのみが含まれる、有効な構成のサンプル出力の表示

listWSMPolicySubjects(detail=true)コマンドを使用して、有効な構成を表示します。

次の例は、このコマンドからのサンプル出力を示しており、直接アタッチされたポリシーが太字で表示されています。

Application: /WLS/base_domain/jaxwsejb30ws

Assembly: #jaxwsejb

Subject: WS-Service({http://www.oracle.com/jaxws/tests/concrete}WsdlConcreteService#WsdlConcretePort)

URI="oracle/mex_request_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/mtom_encode_fault_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/max_request_size_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
Property name="max.request.size", value="-1"
URI="oracle/request_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/soap_request_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/ws_logging_level_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
Property name="logging.level", value=""
URI="oracle/test_page_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/wsdl_request_processing_service_policy", category=wsconfig,
policy-status=enabled; source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="IMPLIED_FEATURE"
URI="oracle/wss10_saml20_token_with_message_protection_service_policy", category=security, policy-status=enabled;
source=local policy set; reference-status=enabled; effective=true
Property name="local.policy.reference.source", value="ANNOTATION"

The policy subject is secure in this context.

16.4 WLSTを使用したドメイン構成に関する問題の診断について

WLSTコマンドを使用して、ドメインの構成の問題を診断します。

この項では、次の項目について説明します。

- checkWSMStatusコマンドを使用したドメイン構成の問題の特定の理解

- ステータスを表示するcheckWSMStatusの出力の表示

- 資格証明ストアの失敗を表示するcheckWSMStatusの出力の表示

- OAuth2グローバル・ポリシー・セットが構成されている場合のcheckWSMStatus出力の表示

- OAuth2グローバル・ポリシー・セットが構成されていない場合のcheckWSMStatus出力の表示

16.4.1 checkWSMStatusコマンドを使用したドメイン構成の問題の特定の理解

ドメインの構成に関して問題がないことを確認するには、checkWSMStatus WLSTコマンドを使用します。checkWSMStatusコマンドは、ポリシー・マネージャ(wsm-pm)、エージェント(agent)、資格証明ストアとキーストアの構成(credstore)、OAuth2の構成(oauth2)およびポリシー・マネージャの履歴(pmHistory)のステータスを戻します。コンポーネントのステータスは、まとめて確認することも、個別に確認することもできます。

このコマンドは、WSMで保護されているWebサービスのプロビジョニングの後に実行できます。最初の呼出しの後まで待機する必要はありません。

注意:

checkWSMStatusコマンドが正しく機能するためには、ポリシー・マネージャ(wsm-pm)アプリケーションがデプロイされ、実行されている必要があります。

このコマンドの引数の詳細は、インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンスのcheckWSMStatusコマンドに関する項を参照してください。

16.4.2 ステータスを表示するcheckWSMStatusの出力の表示

checkWSMStatusコマンドは、ドメインの資格証明ストアとキー、ポリシー・マネージャおよび強制エージェントのステータスを戻します。

次の例は、ドメインbase_domainの場合でこれを示しています。

wls:/base_domain/serverConfig> checkWSMStatus(verbose='true')
Health check for server "EXAMPLESERVER":

Credential Store Configuration:

PASSED.
Message(s):
keystore.pass.csf.key : Property is configured and its value is "keystore-csf-key".
Description: The "keystore.pass.csf.key" property points to the CSF alias that is mapped to the username and password of the keystore. Only the password is used; username is redundant in the case of the keystore.
keystore-csf-key : Credentials configured.
keystore.sig.csf.key : Property is configured and its value is "sign-csf-key".
Description: The "keystore.sig.csf.key" property points to the CSF alias that is mapped to the username and password of the private key that is used for signing.
sign-csf-key : Credentials configured.
Sign Key : Key configured.
Alias - orakey
Sign Certificate : Certificate configured.
Alias - CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=US
Expiry - June 28, 2020 11:17:12 AM PDT
keystore.enc.csf.key : Property is configured and its value is "enc-csf-key".
Description: The "keystore.enc.csf.key" property points to the CSF alias that is mapped to the username and password of the private key that is used for decryption.
enc-csf-key : Credentials configured.
Encrypt Key : Key configured.
Alias - orakey
Encrypt Certificate : Certificate configured.
Alias - CN=weblogic, OU=Orakey Test Encryption Purposes Only, O=Oracle, C=US
Expiry - June 28, 2020 11:17:12 AM PDT

Policy Manager:

PASSED.
Message(s):
OWSM Policy Manager connection state is OK.
OWSM Policy Manager connection URL is "host.example.com:1234".

Enforcement Agent:

PASSED.
Message(s):
Enforcement is successful.
Service URL: http://host:port/Diagnostic/DiagnosticService?wsdl

Health check status on server EXAMPLESERVER is PASSED.

Health check status for system is PASSED.

16.4.3 資格証明ストアの失敗を表示するcheckWSMStatusの出力の表示

checkWSMStatusコマンドを使用して、資格証明ストアの失敗を表示できます。

次の例では、checkWSMStatusコマンドは、キーkeystore-csf-keyが欠如しているため、資格証明ストアの失敗を戻します。

wls:/base_domain/serverConfig> checkWSMStatus('credstore',target='EXAMPLESERVER')

Health check for server "EXAMPLESERVER":

Credential Store Configuration:

FAILED.
Message(s):
keystore.pass.csf.key : Property is configured and its value is "keystore-csf-key".
Description: The "keystore.pass.csf.key" property points to the CSF alias that is mapped to the username and password of the keystore. Only the password is used; username is redundant in the case of the keystore.
keystore-csf-key : Credentials configured.
keystore.sig.csf.key : Property is configured and its value is "sign-csf-key".
Description: The "keystore.sig.csf.key" property points to the CSF alias that is mapped to the username and password of the private key that is used for signing.
sign-csf-key : Credentials configured.
Sign Key : Key not configured.
oracle.wsm.security.SecurityException: WSM-00111 : Keystore is not properly configured. Check your keystore configurations.
Credential Store Diagnostic Messages:
Message(s):
The alias orakey is either not present in the keystore or is configured incorrectly. Check the contents of the keystore and the password for the alias "orakey". The password of the alias "orakey" should be the same as the password stored in the csf key=sign-csf-key

NOTE:- All the above commands are based on the Domain level configurations. The actual alias may have been  overridden at runtime due to configuration override.

Health check status on server EXAMPLESERVER is FAILED.

Health check status for system is FAILED.

16.4.4 OAuth2グローバル・ポリシー・セットが構成されている場合のcheckWSMStatus出力の表示

次の例では、ws-client (SOAPクライアント)サブジェクト・タイプに対してOAuth2グローバル・ポリシー・セットが構成されています。このコマンドはドメインレベルでアタッチされたGPAのOAuth2関連の構成を確認するため、GPAを作成する手順も示します。

beginWSMSession();
createWSMPolicySet('oauthTestPolicySet','ws-client','Domain("jrfServer_domain")');
attachWSMPolicy('oracle/http_oauth2_token_client_policy');
attachWSMPolicy('oracle/oauth2_config_client_policy');
setWSMPolicyOverride('oracle/oauth2_config_client_policy','token.uri','http://slc07ehc.us.oracle.com:14100/ms_oauth/oauth2/endpoints/oauthservice/tokens');
setWSMPolicyOverride('oracle/http_oauth2_token_client_policy','oauth2.client.csf.key','basic.client.credentials');
validateWSMPolicySet();
commitWSMSession()

wls:/test_domain1/serverConfig>checkWSMStatus('oauth2')

OAuth2 Client Configuration Status:

Message(s):
OAuth2 Client Configuration Checks for type SOAP Client: PASSED
Successful OAuth Configurations for Client Type(s): WS_CLIENT
Health check status on server jrfServer_admin is PASSED.
Health check status for system is PASSED.

16.4.5 OAuth2グローバル・ポリシー・セットが構成されていない場合のcheckWSMStatus出力の表示

次の例では、OAuth2グローバル・ポリシー・セットが構成されていません。

wls:/test_domain1/serverConfig>checkWSMStatus('oauth2')

OAuth2 Client Configuration Status:

Message(s):

No OAuth2 client policy (oauth2_config_client_policy or oauth token policy) attached in the domain for client type(s): REST_CLIENT, WS_CLIENT, SCA_REST_REFERENCE, SCA_REFERENCE
Health check for server "jrfServer_admin":

Health check status on server jrfServer_admin is FAILED.

Health check status for system is FAILED.

16.5 WS-TrustユースケースでのOracle Web Services Managerの一般的な例外

この項は、エンドツーエンドのWS-Trustユースケース・シナリオで発生する可能性のあるOWSMの一般的な例外およびエラーを示しています。考えられる原因と推奨される解決策を確認できます。これを使用して、WS-TrustユースケースでのOWSMの一般的な例外を診断および解決できます。

表16-1 は、エンドツーエンドのWS-Trustユースケース・シナリオで発生する可能性のある一般的なOWSM例外およびエラーを示しています。考えられる原因と推奨される解決策も記載されています。サポートされているWS-Trustユースケースの構成方法の詳細は、『Oracle Web Services ManagerによるWebサービスの保護のユース・ケース』の次の章を参照してください。

- 「Microsoft ADFS 2.0 STSがIP-STS、Oracle STSがRP-STSのFederationの構成」

- 「Oracle STSがIP-STS、Microsoft ADFS 2.0 STSがRP-STSのFederationの構成」

- 「WS-TrustとOpenSSO STSを使用したSAML HOKの構成」

- 「WS-TrustとOpenSSO STSを使用したSAML送信者保証の構成」

- 「WS-TrustとOpenSSO STSを使用したSAMLベアラーの構成」

表16-1 WS-Trustユースケースの一般的なOWSM例外およびエラー

例外/エラー

考えられる原因

解決策

WSM-00015: ユーザー名が見つかりません

1. STS発行トークンのクライアント・ポリシーでsts.auth.user.csf.key構成プロパティがオーバーライドされていない可能性があります。

2. このプロパティがオーバーライドされている場合、資格証明ストア内でCSFキーが使用可能でないか、オーバーライドで正しい値が指定されていない可能性があります。

STS発行トークンのクライアント・ポリシーのsts.auth.user.csf.keyプロパティを、資格証明ストアの正しい値でオーバーライドしてください。

javax.net.ssl.SSLHandshakeException: PKIXパスの検証に失敗しました: java.security.cert.CertPathValidatorException: 署名チェックが失敗しました

SSLチャネルを介してサービスと通信する場合、そのサービスの有効なSSL証明書が、環境で使用されているJREディストリビューションの信用できるキーストア内で使用可能になっている必要があります。ほとんどの場合、SSL証明書は次のディレクトリ内にあります。

JAVA_HOME/jre/lib/security/cacerts

この例外の原因として、次のいずれかが考えられます。

- サービスのSSL証明書が信頼できるキーストア内に見つかりませんでした。

- 信頼できるキーストアに存在するSSL証明書の有効期限が切れています。

サービスの有効なSSL証明書がJAVA_HOME/jre/lib/security/cacertsの信頼されたキーストアにインポート済であることを確認してください。詳細は、「SSLに関するキーストアの構成について」を参照してください。

WSM-00323: WSDLから取得したSTS ISSUER_ADDRESSがNULLです。ローカルSTS構成も使用できません。

この例外は、クライアントとサービスのどちらにもSTS信頼構成ポリシーが添付されていないことが原因で発生します。単純なWS-Trustユースケースでは、STS信頼構成ポリシーをクライアント・アプリケーションかサービス・アプリケーションのどちらかに添付する必要があります。ポリシーが添付されていないため、クライアントは、SAMLトークンを取得するためにどのSTSと通信するかを判断できません。

構成に応じて、STS信頼構成ポリシーをクライアント・アプリケーションまたはサービス・アプリケーションに添付します。詳細は、「WS-Trustの構成について」を参照してください。

FailedAuthentication: セキュリティ・トークンを認証できません: リクエスト取得時エラー: oracle.wsm.security.SecurityException: WSM-00062: 署名に使用された証明書のパスが無効です。

Webサービス・プロバイダまたはリライイング・パーティが、受信SAMLトークンの発行者の署名を検証できません。

発行者の公開鍵または証明書を、サービスが使用しているJKS/KSSキーストアにインポートしたことを確認してください。

手順の詳細は、「メッセージ保護に関するキーストアの構成の概要」を参照してください。

InvalidSecurityToken: セキュリティ・トークンが有効ではありません。SAMLアサーション発行者名が無効です。

WSM-00376: SAMLトークンの認証が発行者"<発行者名>"について失敗しました。

リライイング・パーティ・サービスがデプロイされているドメイン内の信頼できる発行者リストでSAMLアサーション発行者名が構成されていません。

サービスが実行されているドメイン内の信頼できる発行者のリストに発行者を追加します。

詳細な手順は、次を参照してください。

- Fusion Middleware Controlを使用した信頼できるSAML発行者およびDNリスト

- WLSTを使用した信頼できるSAML発行者とJWT発行者、DNリストおよびトークン属性ルールの構成

WSM-00231: STS <STS WSDL URI>、ポート名<STSポート名>のクライアント準拠ポリシーが見つかりません

サード・パーティ製のSTSサーバーを保護しているポリシーと互換性のあるクライアント・ポリシーがOWSMに存在しない場合、この例外が発生する可能性があります。

クライアントが通信を試みているSTSエンドポイントがセキュリティ・ポリシーで保護されています。Oracle STSでは、互換性のあるクライアントおよびサービス・ポリシーを備えたOWSMを使用しています。この場合、クライアントは対応するクライアント・ポリシーを問題なく検出できます。

OWSM信頼クライアントは、ほとんどの一般的なSTSサーバーとテストされているため、この例外が発生する可能性は低いです。

この例外がスローされた場合の回避策として、oracle/sts_trust_config_client_policyの新規バージョンまたはクローニング済バージョンをクライアント側に添付して、STSとの通信に使用されるクライアント・ポリシーを使用してこれを構成する方法があります。詳細は、「Webサービス・クライアントからのSTS構成ポリシーの手動による構成: メイン手順」を参照してください。

第V部 Oracle Web Services Managerの事前定義済ポリシーおよびアサーション・テンプレート

第V部では、Oracle Web Services Manager (OWSM)付属の事前定義済ポリシーおよびアサーション・テンプレートについて説明している参照情報を提供します。

- 「Oracle Web Services Managerの事前定義済ポリシー」では、現行リリースのOracle Web Services Managerに含まれる事前定義済ポリシーすべてをアルファベット順のリストで提示し、それらのポリシーを使用する方法を説明します。

- 「Oracle Web Services Managerの事前定義済アサーション・テンプレート」では、ポリシーの作成に使用したり、新規ポリシー作成のためにコピーできる事前定義済アサーション・テンプレートについて説明します。

17 Oracle Web Services Managerの事前定義済ポリシー

この章では、Oracle Web Services Manager (OWSM)の事前定義済ポリシーについて、カテゴリ別に説明します。事前定義済ポリシー・カテゴリの詳細は、『Oracle Web Services Managerの理解』のポリシー・カテゴリに関する項を参照してください。ポリシーのアタッチの詳細は、Webサービスを管理および保護するためのポリシーのアタッチを参照してください。

この章の内容は次のとおりです。

注意:

- 現行リリースとともに配布される事前定義済のポリシーおよびアサーション・テンプレートは、読取り専用です。ポリシーまたはアサーション・テンプレートを変更するには、それらをコピーしておく必要があります。セキュリティ・カテゴリおよび管理カテゴリのポリシーのみをコピーできます。アサーション内の属性をポリシーに追加してから構成することもできます。アサーション・テンプレートの管理およびポリシーへの追加の詳細は、「ポリシー・アサーション・テンプレートの管理」を参照してください。

- OWSM 12c事前定義済ポリシーのアタッチ時に「値」フィールドに空白の値(" ")を指定した場合、デフォルトの値が適用されます。11gポリシーまたは任意のカスタム・ポリシーをインポート済の場合、そのポリシーの「デフォルト」フィールドに同じ効果をもたらす有効な値が設定されていることを確認してください。それ以外の場合は、指定した値が取得されます。

- アドレス・ポリシー

- アトミック・トランザクション・ポリシー

- 構成ポリシー

- 管理ポリシー

- MTOMポリシー

- 信頼できるメッセージング・ポリシー

- セキュリティ・ポリシー - 認証のみ

- セキュリティ・ポリシー - 認可のみ

- セキュリティ・ポリシー - メッセージ保護のみ

- セキュリティ・ポリシー - メッセージ保護および認証

- セキュリティ・ポリシー - Sha256のみ

- セキュリティ・ポリシー - Oracle Entitlements Server

- SOAP Over JMSトランスポート・ポリシー

17.1 アドレス・ポリシー

OWSMには事前定義済のアドレス・ポリシーがあります。

この項では、事前定義済のOWSMアドレス・ポリシーについて次の各トピックで説明します。

- oracle/wsaddr_policyは、W3C 2005 Final WS-Addressing Policy標準に準拠したWS-Addressingヘッダーがインバウンド・メッセージに存在するかどうかを確認します。

- oracle/no_addressing_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたWS Addressingポリシーを上位スコープで効率よく無効化します。

Webサービスのアドレス・ポリシーのアタッチの詳細は、次を参照してください。

- 『Webサービスの管理』のFusion Middleware Controlを使用したアドレッシングの構成に関する項

- 『Webサービスの管理』のWLSTを使用したアドレッシングの構成に関する項

17.2 アトミック・トランザクション・ポリシー

事前定義済OWSMアトミック・トランザクション・ポリシーは、oracle/atomic_transaction_policyおよびoracle/no_atomic_transaction_policyです。

次のトピックはこれらのポリシーの概要を示しています。

- oracle/atomic_transaction_policyは、アトミック・トランザクションのサポートを有効にして、構成します。

- oracle/no_atomic_transaction_policyは、エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたアトミック・トランザクションWebサービス・ポリシーを上位スコープで効率よく無効化します。

Webサービスのアトミック・トランザクション・ポリシーのアタッチの詳細は、次を参照してください。

- 『Webサービスの管理』のFusion Middleware Controlを使用したアトミック・トランザクションの構成に関する項

- 『Webサービスの管理』のWLSTを使用したアトミック・トランザクションの構成に関する説明

17.3 構成ポリシー

OWSMには事前定義済の構成ポリシーがあります。

この項では、事前定義済のOWSM構成ポリシーについて次の各トピックで説明します。

注意:

以下の点に注意する必要があります。

- 構成ポリシーを複製することはできません。

- 構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- 構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

- oracle/async_web_service_policyは、非同期Webサービスを有効にして、構成します。

- oracle/cache_binary_content_policyは、コンテンツのバイナリ・キャッシュのサポートを有効にして、構成します。

- oracle/fast_infoset_client_policyは、Webサービス・クライアント上のFast Infosetを有効にして、構成します。

- oracle/fast_infoset_service_policyは、Webサービス上のFast Infosetを有効にします。

- oracle/max_request_size_policyは、Webサービスに送信可能なリクエスト・メッセージの最大サイズをバイト単位で構成します。

- oracle/mex_request_processing_service_policyは、Webサービス・メタデータの交換を有効にします。

- oracle/mtom_encode_fault_service_policyは、MTOMが有効になっている場合の、MTOM対応SOAPフォルト・メッセージの作成を有効にします。

- oracle/no_async_web_service_policyは、エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされた非同期Webサービス・ポリシーを上位スコープで効率よく無効化します。

- oracle/no_cache_binary_content_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたバイナリ・キャッシング・ポリシーを上位スコープで効率よく無効化します。

- oracle/no_fast_infoset_client_policyは、エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたFast Infosetクライアント・ポリシーを上位スコープで効率よく無効化します。

- oracle/no_fast_infoset_service_policyは、エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたFast Infosetサービス・ポリシーを上位スコープで効率よく無効化します。

- oracle/no_max_request_size_policyは、エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされた最大リクエスト・サイズ・ポリシーを上位スコープで効率よく無効化します。

- oracle/no_mex_request_processing_service_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたWebサービス・メタデータ交換ポリシーを上位スコープで効率よく無効化します。

- oracle/no_mtom_encode_fault_service_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたSOAPフォルトMTOMエンコーディング・ポリシーを上位スコープで効率よく無効化します。

- oracle/no_persistence_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付された永続性ポリシーを上位スコープで効率よく無効化します。

- oracle/no_pox_http_binding_service_policyは、エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたPlain Old XML (POX)ポリシーを上位スコープで効率よく無効化します。

- oracle/no_request_processing_service_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたリクエスト処理ポリシーを上位スコープで効率よく無効化します。

- oracle/no_schema_validation_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたスキーマ検証ポリシーを上位スコープで効率よく無効化します。

- oracle/no_soap_request_processing_service_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたSOAPリクエスト処理ポリシーを上位スコープで効率よく無効化します。

- oracle/no_test_page_processing_service_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたテスト・ページ処理ポリシーを上位スコープで効率よく無効化します。

- oracle/no_ws_logging_level_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたロギング・ポリシーを上位スコープで効率よく無効化します。

- oracle/no_wsdl_request_processing_service_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたWSDLリクエスト処理ポリシーを上位スコープで効率よく無効化します。

- oracle/persistence_policyは、Webサービスのセキュア通信永続性メカニズムを構成します。

- oracle/pox_http_binding_service_policyは、ユーザー定義のjavax.xml.ws.Provider<T>.invokeメソッドによって処理される非SOAP XMLメッセージをエンドポイントで受信できるようにします。

- oracle/request_processing_service_policyは、Webサービス・エンドポイントで着信リクエストを処理できるようにします。

- oracle/schema_validation_policyは、スキーマに対するリクエスト・メッセージの検証を有効にします。

- oracle/soap_request_processing_service_policyは、Webサービス・エンドポイントでのSOAPリクエストの処理を有効にします。

- oracle/test_page_processing_policyは、『Webサービスの管理』のWebサービス・テスト・クライアントの使用に関する項で説明されているように、Webサービス・テスト・クライアントを有効にします。

- oracle/ws_logging_level_policyは、Webサービス・エンドポイントの診断ログのログ・レベルを設定します。

- oracle/wsdl_request_processing_service_policyは、WebサービスがWSDLにアクセスできるようにします。

構成ポリシーのアタッチの詳細は、次を参照してください。

- Webサービスの管理のFusion Middleware Controlを使用したWebサービスの構成

- Webサービスの管理のWLSTを使用したWebサービスの構成に関する項

17.4 管理ポリシー

OWSMには事前定義済の管理ポリシーがあります。

この項では、事前定義済のOWSM管理ポリシーについて次の各トピックで説明します。

- oracle/log_policyを使用すると、メッセージ・ログにリクエスト、レスポンスおよびフォルト・メッセージが送信されます。

17.5 MTOMポリシー

OWSMには、事前定義済のメッセージ転送最適化メカニズム(MTOM)ポリシーがあります。

この項では、これらのポリシーについて次の各トピックで説明します。

- oracle/no_mtom_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたWS MTOMポリシーを上位スコープで効率よく無効化します。

- oracle/wsmtom_policyは、MTOM形式ではないインバウンド・メッセージを拒否し、アウトバウンド・メッセージがMTOM形式であるかどうかを検証します。

MTOMポリシーのアタッチの詳細は、次を参照してください。

- 『Webサービスの管理』のFusion Middleware Controlを使用したMTOMの構成に関する項

- 『Webサービスの管理』のWLSTを使用したMTOMの構成に関する項

17.6 信頼できるメッセージング・ポリシー

OWSMには、事前定義済の信頼性のあるメッセージング・ポリシーがあります。

次のトピックはこれらのポリシーの概要を示しています。

- oracle/no_reliable_messaging_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたWeb Services信頼できるメッセージング・ポリシーを上位スコープで効率よく無効化します。

- oracle/no_wsrm_policyは、エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたWeb Services信頼できるメッセージング・ポリシーを上位スコープで効率よく無効化します。

- oracle/reliable_messaging_policyは、Webサービスおよびクライアントで、Webサービスの信頼性のあるメッセージングを構成します。

- oracle/wsrm10_policyは、Web Services Reliable Messagingプロトコルのバージョン1.0を構成します。

- oracle/wsrm11_policyは、Web Services Reliable Messagingプロトコルのバージョン1.1を構成します。

信頼できるメッセーング・ポリシーのアタッチの詳細は、次を参照してください。

- 『Webサービスの管理』のFusion Middleware Controlを使用した信頼できるメッセージングの構成に関する項

- 『Webサービスの管理』のWLSTを使用した信頼できるメッセージングの構成に関する項

17.7 セキュリティ・ポリシー - 認証のみ

OWSMには、認証のみシナリオ用の事前定義済セキュリティ・ポリシーがあります。

この項では、これらのポリシーについて次の各トピックで説明します。

注意:

Kerberos over SSLおよびSPNEGOの2つの認証のみシナリオには、事前定義済のポリシーはありません。これらのシナリオを使用するには、Oracle Web Services Managerの事前定義済アサーション・テンプレートで説明されているKerberos over SSLおよびSPNEGOアサーション・テンプレートを使用する独自のポリシーを作成します。

- oracle/wss_saml_bearer_or_username_token_service_policyは、クライアントがSAMLまたはユーザー名トークンのいずれを使用するかに基づいて、次の認証ポリシーのいずれかを強制します。

- Bearer確認タイプを使用するWS-Security SOAPヘッダー内のSAMLトークン。

- 構成済のアイデンティティ・ストアに対してユーザーを認証するWS-Security UsernameToken SOAPヘッダー。

- oracle/wss_saml_or_username_token_service_policyは、クライアントがSAMLまたはユーザー名トークンのいずれを使用するかに基づいて、次の認証ポリシーのいずれかを強制します。

- sender-vouchesの確認タイプを使用したWS-Security SOAPヘッダー内のSAMLトークン。

- 構成済のアイデンティティ・ストアに対してユーザーを認証するWS-Security UsernameToken SOAPヘッダー。

- oracle/wss_saml_token_bearer_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンを含めます。

- oracle/http_oam_token_service_policyは、OAMエージェントがユーザーを認証し、アイデンティティを確立したことを検証します。

- oracle/http_saml20_token_bearer_client_policyは、HTTPヘッダーにSAML Bearer V2.0トークンを含めます。

- oracle/http_saml20_token_bearer_service_policyは、HTTPヘッダー内の確認方法がBearerのSAML v2.0トークンに含まれる資格証明を使用してユーザーを認証します。

- oracle/multi_token_rest_service_policyは、クライアントにより送信されたトークンに基づいて次のいずれかの認証ポリシーを強制します。

- HTTP Basic: ユーザー名とパスワード資格証明をHTTPヘッダーから抽出します。

- HTTPヘッダーのSAML v2.0 Bearerトークン: HTTPヘッダーのSAML 2.0 Bearerアサーションを抽出します。

- HTTP OAMセキュリティ: OAMエージェントがユーザーを認証し、アイデンティティを確立したことを検証します。

- SPNEGO over HTTPセキュリティ: Simple and Protected GSSAPI Negotiation Mechanism (SPNEGO)トークンをHTTPヘッダーから抽出します。

- oracle/no_authentication_client_policyは、クライアント・エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付された認証ポリシーを上位スコープで効率よく無効化します。

- oracle/no_authentication_service_policyは、サービス・エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付された認証ポリシーを上位スコープで効率よく無効化します。

- oracle/wss_http_token_client_policyは、アウトバウンド・クライアント・リクエストのHTTPヘッダーに資格証明を含めます。

- oracle/wss_http_token_service_policyは、HTTPヘッダーの資格証明を使用して、OPSSアイデンティティ・ストアに対してユーザーを認証します。

- oracle/wss_username_token_client_policyは、すべてのアウトバウンドSOAPリクエスト・メッセージにWS-Security UsernameTokenヘッダーの資格証明を含めます。

- oracle/wss_username_token_service_policyは、UsernameToken WS-Security SOAPヘッダーの資格証明を使用してユーザーを認証します。

- oracle/wss10_saml_token_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンを含めます。

- oracle/wss10_saml_token_service_policyは、WS-Security SOAPヘッダー内のSAMLトークンに含まれる資格証明を使用してユーザーを認証します。

- oracle/wss10_saml20_token_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンを含めます。

- oracle/wss10_saml20_token_service_policyは、WS-Security SOAPヘッダー内のSAMLトークンに含まれる資格証明を使用してユーザーを認証します。

- oracle/wss11_kerberos_token_client_policyは、WS-Security Kerberos Token Profile v1.1標準に従い、WS-SecurityヘッダーにKerberosトークンを含めます。

- oracle/wss11_kerberos_token_service_policyは、SOAPヘッダーからKerberosトークンを抽出し、ユーザーを認証します。

17.8 セキュリティ・ポリシー - 認可のみ

OWSMには、認可のみシナリオ用の事前定義済セキュリティ・ポリシーがあります。

この項では、事前定義済のOWSM認可のみセキュリティ・ポリシーについて次の各トピックで説明します。

- oracle/binding_authorization_denyall_policyは、SOAPバインディング・レベルの認証されたサブジェクトに基づき、簡単なロール・ベースの認可ポリシーを提供します。

- oracle/binding_authorization_permitall_policyは、SOAPバインディング・レベルの認証されたサブジェクトに基づき、リクエストに対して簡単なロール・ベースの認可を行います。

- oracle/binding_permission_authorization_policyは、認証済のサブジェクトに基づく権限ベースの認可ポリシーを提供します。

- oracle/component_authorization_denyall_policyは、認証されたサブジェクトに基づき、簡単なロールベースの認可ポリシーを提供します。

- oracle/component_authorization_permitall_policyは、認証されたサブジェクトに基づき、簡単なロールベースの認可ポリシーを提供します。

- oracle/component_permission_authorization_policyは、認証済のサブジェクトに基づく権限ベースの認可ポリシーを提供します。

- oracle/no_authorization_component_policyは、SOAコンポーネントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付された認可ポリシーを上位スコープで効率よく無効化します。

- oracle/no_authorization_service_policyは、サービス・エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付された認可ポリシーを上位スコープで効率よく無効化します。グローバルにアタッチされたポリシーに、認可アサーションに加えて他のアサーションが含まれる場合、そのアサーションも無効になります。この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

- oracle/whitelist_authorization_policyは、次のいずれかの条件が真である場合にのみリクエストを受け入れます。

- 認証されたトークンがSAML送信者保証の場合。

- ユーザーが特定のロールの場合(デフォルトはtrustedEnterpriseRoleであり、ユーザーを信頼できるエンティティとして確立します

- リクエストがプライベート・ネットワークから届いている場合。

17.9 セキュリティ・ポリシー - メッセージ保護のみ

OWSMには、メッセージ保護のみシナリオ用の事前定義済セキュリティ・ポリシーがあります。

この項では、事前定義済のOWSMメッセージ保護のみセキュリティ・ポリシーについて次の各トピックで説明します。

- oracle/no_messageprotection_client_policyは、クライアント・エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたメッセージ保護ポリシーを上位スコープで効率よく無効化します。

- oracle/no_messageprotection_service_policyは、サービス・エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたメッセージ保護ポリシーを上位スコープで効率よく無効化します。

- oracle/wss10_message_protection_client_policyは、WS-Security 1.0標準に従って、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)を実行します。

- oracle/wss10_message_protection_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)を実行します。

- oracle/wss11_message_protection_client_policyは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストにメッセージの整合性および機密保護を提供します。

- oracle/wss11_message_protection_service_policyは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストにメッセージの整合性および機密保護を提供します。

17.10 セキュリティ・ポリシー - メッセージ保護および認証

OWSMには、メッセージ保護および認証用の事前定義済セキュリティ・ポリシーがあります。

この項では、これらのポリシーについて次の各トピックで説明します。

- oracle/http_basic_auth_over_ssl_client_policyでは、アウトバウンド・クライアント・リクエストのHTTPヘッダーに資格証明を組み込んで、トランスポート・プロトコルがHTTPSであることを検証します。

- oracle/http_basic_auth_over_ssl_service_policyは、HTTPヘッダー内の資格証明を使用して、OPSSアイデンティティ・ストアに対してユーザーを認証し、トランスポート・プロトコルがHTTPSであることを検証します。

- oracle/http_saml20_token_bearer_over_ssl_client_policyは、HTTPヘッダーにSAML Bearer v2.0トークンを含めます。確認方式がBearerとなっているSAMLトークンが自動的に作成され、トランスポート・プロトコルがSSLメッセージ保護を提供していることが検証されます。

- oracle/http_saml20_bearer_token_over_ssl_service_policyは、HTTPヘッダー内の確認方式がBearerとなっているSAML v2.0トークンに指定されている資格証明を使用してユーザーを認証し、トランスポート・プロトコルがSSLメッセージ保護を提供していることを検証します。

- oracle/multi_token_over_ssl_rest_service_policyは、クライアントにより送信されたトークンに基づいて次のいずれかの認証ポリシーを強制します。

- HTTP Basic over SSL: ユーザー名とパスワード資格証明をHTTPヘッダーから抽出します。

- HTTPヘッダーのSAML 2.0 Bearerトークン(SSL経由): HTTPヘッダーのSAML 2.0 Bearerアサーションを抽出します。

- HTTP OAMセキュリティ(SSL以外): OAMエージェントがユーザーを認証し、アイデンティティを確立したことを検証します。

- SPNEGO over HTTPセキュリティ(非SSL): SPNEGOトークン情報をHTTPヘッダーから抽出します。

- oracle/pii_security_policyは保護するPIIデータを暗号化します。

- oracle/sts_trust_config_client_policyは、トークン交換用のSTS呼出しに使用されるSTSクライアント構成情報を指定します。

- oracle/sts_trust_config_service_policyは、トークン交換用のSTS呼出しに使用されるSTS構成情報を指定します。

- oracle/wss_saml_or_username_token_over_ssl_service_policyは、メッセージ保護(整合性と機密保護)を実行し、クライアントがSAMLまたはユーザー名トークンを使用するかどうかに基づいて、それぞれ次のいずれかの認証ポリシーを実行します。

- sender-vouchesの確認タイプを使用したWS-Security SOAPヘッダー内のSAMLトークン。

- 構成済のアイデンティティ・ストアに対してユーザーを認証するWS-Security UsernameToken SOAPヘッダー。

- oracle/wss_saml_token_bearer_over_ssl_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンを含めます。

- oracle/wss_saml_token_bearer_over_ssl_service_policyは、WS-Security SOAPヘッダー内の確認方法がBearerのSAMLトークンに含まれる資格証明を使用してユーザーを認証します。

- oracle/wss_http_token_over_ssl_client_policyは、アウトバウンド・クライアント・リクエストのHTTPヘッダーに資格証明を組み込み、OPSSアイデンティティ・ストアに対してユーザーを認証し、トランスポート・プロトコルがHTTPSであることを検証します。

- oracle/wss_http_token_over_ssl_service_policyは、HTTPヘッダー内の資格証明を抽出して、OPSSアイデンティティ・ストアに対してユーザーを認証し、トランスポート・プロトコルがHTTPSであることを検証します。

- oracle/wss_saml_token_over_ssl_client_policyは、確認タイプsender-vouchesを使用して、アウトバウンドWS-Security SOAPヘッダーに、SAMLトークンを組み込みます。

- oracle/wss_saml_token_over_ssl_service_policyは、確認タイプsender-vouchesを使用した、WS-Security SOAPヘッダー内のSAMLトークンに指定されている資格証明の認証を実行し、トランスポート・プロトコルがSSLメッセージ保護を提供していることを検証します。

- oracle/wss_saml20_token_bearer_over_ssl_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンを組み込み、トランスポート・プロトコルでSSLメッセージ保護が提供されていることを検証します。

- oracle/wss_saml20_token_bearer_over_ssl_service_policyは、WS-Security SOAPヘッダー内の確認方式がBearerとなっているSAMLトークンに指定されている資格証明を使用してユーザーを認証し、トランスポート・プロトコルがSSLメッセージ保護を提供していることを検証します。

- oracle/wss_saml20_token_over_ssl_client_policyは、確認タイプsender-vouchesを使用して、アウトバウンドWS-Security SOAPヘッダーにSAMLトークンを組み込み、トランスポート・プロトコルでSSLメッセージ保護が提供されていることを検証します。

- oracle/wss_saml20_token_over_ssl_service_policyは、確認タイプsender-vouchesを使用した、WS-Security SOAPヘッダー内のSAMLトークンに指定されている資格証明の認証を実行し、トランスポート・プロトコルがSSLメッセージ保護を提供していることを検証します。

- oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_policyは、信頼できるSTSが発行したSAML Bearerアサーションを挿入します。

- oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_policyは、信頼できるSTSが発行したSAML Bearerアサーションを認証します。

- oracle/wss_username_token_over_ssl_client_policyは、アウトバウンドSOAPリクエスト・メッセージのWS-Security UsernameTokenヘッダーに資格証明を組み込み、トランスポート・プロトコルでSSLメッセージ保護が提供されていることを検証します。

- oracle/wss_username_token_over_ssl_service_policyは、WS-Security UsernameToken SOAPヘッダー内の資格証明を使用して、OPSS構成済アイデンティティ・ストアに対してユーザーを認証し、トランスポート・プロトコルでSSLメッセージ保護が提供されていることを検証します。

- oracle/wss_username_token_over_ssl_wssc_client_policyは、アウトバウンドSOAPリクエスト・メッセージのWS-Security UsernameTokenヘッダーに資格証明を組み込み、トランスポート・プロトコルでSSLメッセージ保護が提供されていることを検証します。

- oracle/wss_username_token_over_ssl_wssc_service_policyは、WS-Security UsernameToken SOAPヘッダー内の資格証明を使用して、OPSS構成済アイデンティティ・ストアに対してユーザーを認証し、トランスポート・プロトコルでSSLメッセージ保護が提供されていることを検証します。

- oracle/wss10_saml_hok_token_with_message_protection_client_policyは、アウトバウンドSOAPメッセージに対してWS-Security 1.0標準に従ったメッセージ保護(整合性と機密保護)およびSAML Holder of Keyベースの認証を行います。

- oracle/wss10_saml_hok_token_with_message_protection_service_policyは、インバウンドSOAPリクエストに対してWS-Security 1.0標準に従ったメッセージ保護(整合性と機密保護)およびSAML Holder of Keyベースの認証を行います。

- oracle/wss10_saml_token_with_message_integrity_client_policyは、WS-Security 1.0標準に準拠して、アウトバウンドSOAPメッセージに対してメッセージレベルの整合性およびSAMLベースの認証を提供します。

- oracle/wss10_saml_token_with_message_integrity_service_policyは、インバウンドSOAPリクエストに対してWS-Security 1.0標準に従ったメッセージ・レベルの整合性の保護およびSAMLベースの認証を行います。

- oracle/wss10_saml_token_with_message_protection_client_policyは、WS-Security 1.0標準に準拠して、アウトバウンドSOAPメッセージに対してメッセージレベルの保護およびSAMLベースの認証を提供します。

- oracle/wss10_saml_token_with_message_protection_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、SAMLベースの認証を行います。

- oracle/wss10_saml_token_with_message_protection_ski_basic256_client_policyは、WS-Security 1.0標準に準拠して、アウトバウンドSOAPメッセージに対してメッセージレベルの保護およびSAMLベースの認証を提供します。

- oracle/wss10_saml_token_with_message_protection_ski_basic256_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、SAMLベースの認証を行います。

- oracle/wss10_saml20_token_with_message_protection_client_policyは、WS-Security 1.0標準に準拠して、アウトバウンドSOAPメッセージに対してメッセージレベルの保護およびSAMLベースの認証を提供します。

- oracle/wss10_saml20_token_with_message_protection_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、SAMLベースの認証を行います。

- oracle/wss10_username_id_propagation_with_msg_protection_client_policyは、WS-Security 1.0標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)およびアイデンティティの伝播を提供します。

- oracle/wss10_username_id_propagation_with_msg_protection_service_policyは、WS-Security 1.0に記述されたメカニズムを使用して、インバウンドSOAPリクエストに対するメッセージ・レベルの保護(整合性および機密保護)およびアイデンティティ伝播を実施します。

- oracle/wss10_username_token_with_message_protection_client_policyは、WS-Security 1.0標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および認証を提供します。

- oracle/wss10_username_token_with_message_protection_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(メッセージの整合性および機密保護)と、認証を行います。

- oracle/wss10_username_token_with_message_protection_ski_basic256_client_policyは、WS-Security 1.0標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および認証を提供します。

- oracle/wss10_username_token_with_message_protection_ski_basic256_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(メッセージの整合性および機密保護)と、認証を行います。

- oracle/wss10_x509_token_with_message_protection_client_policyは、アウトバウンドSOAPリクエストに対してWS-Security 1.0標準に従ったメッセージ保護(整合性と機密保護)および証明書資格証明の移入を行います。

- oracle/wss10_x509_token_with_message_protection_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、証明書ベースの認証を行います。

- oracle/wss11_kerberos_token_with_message_protection_client_policyは、WS-SecurityヘッダーにKerberosトークンを組み込み、WS-Security Kerberos Token Profile v1.1標準に従い、Kerberosキーを使用してメッセージの整合性と機密保護を保証します。

- oracle/wss11_kerberos_token_with_message_protection_service_policyは、WS-Security Kerberos Token Profile v1.1標準に従って実行されます。

- oracle/wss11_kerberos_token_with_message_protection_basic128_client_policyは、WS-SecurityヘッダーにKerberosトークンを組み込み、WS-Security Kerberos Token Profile v1.1標準に従い、Kerberosキーを使用してメッセージの整合性と機密保護を保証します。

- oracle/wss11_kerberos_token_with_message_protection_basic128_service_policyは、WS-Security Kerberos Token Profile v1.1標準に従って実行されます。

- oracle/wss11_saml_or_username_token_with_message_protection_service_policyは、メッセージ保護(整合性と機密保護)を実行し、クライアントがSAML、ユーザー名またはHTTPトークンを使用するかどうかに基づいて、それぞれ次のいずれかの認証ポリシーを実行します。

- WS-Security 1.1標準に従ったインバウンドSOAPリクエストのSAMLベースの認証。

- WS-Security 1.1標準に従ったインバウンドSOAPリクエストのユーザー名トークン認証。

- WS-Security SOAPヘッダーの、確認方法がBearerのSAMLトークンに含まれる資格証明を使用する、SAMLベースの認証。トランスポート・プロトコルによりSSLメッセージ保護が提供されることを検証します。

- UsernameToken WS-Security SOAPヘッダーの資格証明を使用して、構成済のアイデンティティ・ストアに対してユーザーを認証する、ユーザー名トークン認証。トランスポート・プロトコルによりSSLメッセージ保護が提供されることを検証します。

- HTTPヘッダーから抽出した資格証明を使用して、構成済のアイデンティティ・ストアに対してユーザーを認証する、HTTP認証。トランスポート・プロトコルがHTTPSであることを検証します。

- oracle/wss11_saml_token_identity_switch_with_message_protection_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

- oracle/wss11_saml_token_with_message_protection_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

- oracle/wss11_saml_token_with_message_protection_wssc_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

- oracle/wss11_saml_token_with_message_protection_wssc_reauthn_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

- oracle/wss11_saml_token_with_message_protection_wssc_reauthn_service_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

- oracle/wss11_saml20_token_with_message_protection_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

- oracle/wss11_saml20_token_with_message_protection_service_policyは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、SAMLベースの認証を行います。

- oracle/wss11_sts_issued_saml_hok_with_message_protection_client_policyは、信頼できるSTS (セキュリティ・トークン・サービス)が発行したSAML HOKアサーションを挿入します。メッセージは、STSで提供される証明鍵マテリアルを使用して保護されます。

- oracle/wss11_sts_issued_saml_hok_with_message_protection_service_policyは、信頼できるSTS (セキュリティ・トークン・サービス)が発行したSAML HOKアサーションを認証します。

- oracle/wss11_username_token_with_message_protection_service_policyは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および認証を提供します。プレーン・テキストとダイジェストの両方のメカニズムがサポートされます。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

- oracle/wss11_username_token_with_message_protection_client_policyは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、認証を行います。

- oracle/wss11_username_token_with_message_protection_wssc_client_policyは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および認証を提供します。

- oracle/wss11_username_token_with_message_protection_wssc_service_policyは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、認証を行います。

- oracle/wss11_x509_token_with_message_protection_client_policyは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および証明書ベースの認証を提供します。

- oracle/wss11_x509_token_with_message_protection_service_policyは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ・レベルの保護と、証明書ベースの認証を行います。

- oracle/wss11_x509_token_with_message_protection_wssc_client_policyは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および証明書ベースの認証を提供します。

- oracle/wss11_x509_token_with_message_protection_wssc_service_policyは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ・レベルの保護と、証明書ベースの認証を行います。

17.11 セキュリティ・ポリシー - Sha256のみ

OWSMには、事前定義済のSha256ポリシーがあります。

この項では、事前定義済のOWSM Sha256のみセキュリティ・ポリシーについて次の各トピックで説明します。

- oracle/wss11_saml_or_username_token_with_message_protection_sha256_service_policyは、メッセージ保護(整合性と機密保護)を実行し、クライアントがSAML、ユーザー名またはHTTPトークンを使用するかどうかに基づいて、認証ポリシーを強制します。

- oracle/wss11_saml_token_identity_switch_with_message_protection_sha256_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

- oracle/wss11_saml_token_with_message_protection_sha256_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

- oracle/wss11_saml_token_with_message_protection_sha256_service_policyは、WS-Security 1.1に記述されているメカニズムを使用して、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

- oracle/wss11_username_token_with_message_protection_sha256_client_policyは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および認証を提供します。

- oracle/wss11_username_token_with_message_protection_sha256_service_policyは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、認証を行います。

- oracle/wss_saml_bearer_or_username_token_sha256_service_policyは、クライアントがSAML Bearerまたはユーザー名トークンのいずれを使用するかに基づいて、認証ポリシーを強制します。

- oracle/wss_saml_token_bearer_identity_switch_sha256_client_policyは、認証されたサブジェクトに基づいたものとは異なるアイデンティティを伝播することにより、動的なアイデンティティ切替えを実行します。

- oracle/wss_saml_token_bearer_over_ssl_sha256_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンを含めます。

- oracle/wss_saml_token_bearer_over_ssl_sha256_service_policyは、WS-Security SOAPヘッダー内の確認方法がBearerのSAMLトークンに含まれる資格証明を使用してユーザーを認証します。

- oracle/wss_saml_token_bearer_sha256_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAML Bearerトークンを含めます。

- oracle/wss_saml_token_bearer_sha256_service_policyは、WS-Security SOAPヘッダー内のSAML Bearerトークンに含まれる資格証明を使用してユーザーを認証します。

17.12 セキュリティ・ポリシー - Oracle Entitlements Server

OWSMには、Oracle Entitlements Server (OES)用の事前定義済のセキュリティ・ポリシーがあります。

この項では、これらのポリシーについて次の各トピックで説明します。

- oracle/binding_oes_authorization_policyは、Oracle Entitlements Serverで定義されたポリシーに基づき、ユーザー認可を設定します。

- oracle/binding_oes_masking_policyは、Oracle Entitlements Serverで定義されたポリシーに基づいてレスポンス・マスキングを実行します。

- oracle/component_oes_authorization_policyは、Oracle Entitlements Serverで定義されたポリシーに基づき、ユーザー認可を設定します。

17.13 SOAP Over JMSトランスポート・ポリシー

OWSMには、SOAP Over JMSトランスポート用の事前定義済ポリシーがあります。

この項では、事前定義済のOWSM SOAP Over JMSトランスポート・ポリシーについて次の各トピックで説明します。

- oracle/jms_transport_client_policyは、Webサービス・クライアントに対するSOAP over JMSトランスポートのサポートを有効にして、構成します。

- oracle/jms_transport_service_policyは、Webサービスに対するSOAP over JMSトランスポートのサポートを有効にして、構成します。

- oracle/no_jms_transport_client_policyは、エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたSOAP over JMSトランスポート・クライアント・ポリシーを上位スコープで効率よく無効化します。

- oracle/no_jms_transport_service_policyは、エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたSOAP over JMSトランスポート・サービス・ポリシーを上位スコープで効率よく無効化します。

SOAP over JMSトランスポート・ポリシーのアタッチの詳細は、次を参照してください。

- 『Webサービスの管理』のFusion Middleware Controlを使用したSOAP Over JMSトランスポートの構成に関する項

- 『Webサービスの管理』のWLSTを使用したSOAP Over JMSトランスポートの構成に関する項

17.14 oracle/wsaddr_policy

oracle/wsaddr_policyは、W3C 2005 Final WS-Addressing Policy標準に準拠したWS-Addressingヘッダーがインバウンド・メッセージに存在するかどうかを確認します。また、プラットフォームにより、WS-AddressingヘッダーがアウトバウンドSOAPメッセージに組み込まれます。

表示名: WSアドレス・ポリシー

カテゴリ: WSアドレス

説明

Webサービス・クライアントでのWS-Addressingの構成の詳細は、Web Services Addressing 1.0 - SOAP Bindingの仕様(http://www.w3.org/TR/ws-addr-soap/)を参照してください。

注意:

以下の点に注意する必要があります。

- このポリシーを複製することはできません。

- このポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- このポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-1は、このアドレス・ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-1 oracle/wsaddr_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.15 oracle/no_addressing_policy

エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたWSアドレス・ポリシーを上位スコープで効率よく無効化します。

表示名: アドレッシング動作無効ポリシー

カテゴリ: WSアドレス

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-2は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-2 oracle/no_addressing_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.16 oracle/atomic_transaction_policy

アトミック・トランザクション・ポリシーは、アトミック・トランザクションのサポートを有効にして、構成します。

表示名: アトミック・トランザクション・ポリシー

カテゴリ: アトミック・トランザクション

説明

アトミック・トランザクションの詳細は、Oracle Infrastructure Webサービスの開発のWebサービスのアトミック・トランザクションの使用に関する項を参照してください。

注意:

以下の点に注意する必要があります。

- このアトミック・トランザクション・ポリシーを複製することはできません。

- このアトミック・トランザクション・ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- このアトミック・トランザクション・ポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-3は、アトミック・トランザクションの、オーバーライド可能な構成プロパティを示しています。

表17-3 oracle/atomic_transaction_policyの構成プロパティ

名前

説明

デフォルト

必須?

flow.type

Webサービスアトミック・トランザクション調整コンテキストがトランザクション・フローとともに渡されるかどうか。有効な値は次のとおりです。

- MANDATORY

- NEVER

- SUPPORTS

有効な値の詳細は、『Oracle Infrastructure Webサービスの開発』のWebサービスのアトミック・トランザクションの構成に関する項を参照してください。

SUPPORTS

オプション

version

Webサービスのアトミック・トランザクションの調整コンテキストのサポートされているバージョン。Webサービス・クライアントの場合、アウトバウンド・メッセージにのみ使用されるバージョンが指定されます。トランザクション全体で同じ値を指定する必要があります。有効な値は次のとおりです。

- DEFAULT

- WSAT10

- WSAT11

- WSAT12

有効な値の詳細は、『Oracle Infrastructure Webサービスの開発』のWebサービスのアトミック・トランザクションの構成に関する項を参照してください。

DEFAULT

オプション

reference.priority

reference.priorityを参照してください。

なし

オプション

17.17 oracle/no_atomic_transaction_policy

エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたアトミック・トランザクションWebサービス・ポリシーを上位スコープで効率よく無効化します。

表示名: アトミック・トランザクションなしポリシー

カテゴリ: アトミック・トランザクション

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

アトミック・トランザクションの詳細は、Oracle Infrastructure Webサービスの開発のWebサービスのアトミック・トランザクションの使用に関する項を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-4は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-4 oracle/no_atomic_transaction_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.18 oracle/async_web_service_policy

非同期Webサービス・ポリシーは、非同期Webサービスを有効にして、構成します。

表示名: 非同期Webサービス・ポリシー

カテゴリ: 構成

説明

非同期Webサービスを有効にして、構成します。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-5は、非同期Webサービスの、オーバーライド可能な構成プロパティを示しています。

表17-5 oracle/async_web_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

jms.access.user

JMSキューの使用を許可されているユーザー。

注意: 大多数のユーザーでは、OracleSystemUserで十分です。ただし、このユーザーを、セキュリティ・レルム内の別のユーザーに変更する必要がある場合は、『Webサービスの管理』のFusion Middleware Controlを使用した非同期WebサービスのJMSシステム・ユーザーの変更に関する項に示されている手順を使用して、これを実行できます。

OracleSystemUser

オプション

jms.connection.factory

JMSリクエスト・キューのコネクション・ファクトリの名前。

weblogic.jms.XAConnectionFactory (デフォルトのJMSコネクション・ファクトリ)

オプション

jms.queue

リクエスト・キューの名前。

oracle.j2ee.ws.server.async.DefaultRequestQueue

オプション

jms.response.connection.factory

JMSレスポンス・キューのコネクション・ファクトリの名前。

weblogic.jms.XAConnectionFactory (デフォルトのJMSコネクション・ファクトリ)

オプション

jms.response.queue

リクエスト・キューの名前。

oracle.j2ee.ws.server.async.DefaultResponseQueue

オプション

reference.priority

reference.priorityを参照してください。

なし

オプション

17.19 oracle/cache_binary_content_policy

oracle/cache_binary_content_policyは、コンテンツのバイナリ・キャッシュのサポートを有効にして、構成します。

表示名: キャッシュ・バイナリ・コンテンツ・ポリシー

カテゴリ: 構成

説明

コンテンツのバイナリ・キャッシュのサポートを有効にして、構成します。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-6は、バイナリ・キャッシュの、オーバーライド可能な構成プロパティを示しています。

表17-6 oracle/cache_binary_content_policyの構成プロパティ

名前

説明

デフォルト

必須?

mode

OraSAAJのXTIスケーラブルDOMのランタイム要件を指定する値。有効な値は次のとおりです。

- com.oracle.webservices.api.CacheBinaryContentMode.BINARY: 最速ですが、メモリーが最も大量に消費されます。本番環境にはお薦めしません。

- com.oracle.webservices.api.CacheBinaryContentMode.FILE: ドキュメントごとに1つの一時ファイル。推奨される方法です。一時ファイルの格納先のディレクトリをarg1として指定する必要があります。

- com.oracle.webservices.api.CacheBinaryContentMode.BLOB—Slowest.DBMS接続のURLをarg1として指定する必要があります。

BINARY

オプション

arg1

次のいずれかの値を定義するブール値。

- modeをBINARYに設定した場合、この引数は必要ありません。

- modeをFILEに設定した場合は、一時ファイルの格納先のディレクトリをarg1に指定します。

- modeをBLOBに設定した場合は、DBMS接続のURLを指定します。

java.io.tmpdir

オプション

reference.priority

reference.priorityを参照してください。

なし

オプション

17.20 oracle/fast_infoset_client_policy

oracle/fast_infoset_client_policyは、Webサービス・クライアントでFast Infosetを有効にして、構成します。

表示名: Fast Infosetクライアント・ポリシー

カテゴリ: 構成

説明

Webサービス・クライアント上のFast Infosetを有効にして、構成します。

Fast Infosetの詳細は、次を参照してください。

- JAX-WS Webサービス: 『Oracle WebLogic Server JAX-WS Webサービスの開発』のFast Infosetを使用したXML転送の最適化に関する項

- Oracle Infrastructure Webサービス: 『Oracle Infrastructure Webサービスの開発』のFast Infosetを使用したXML転送の最適化に関する項。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-7は、Fast Infosetクライアントの、オーバーライド可能な構成プロパティを示しています。

表17-7 oracle/fastinfoset_client_policyの構成プロパティ

名前

説明

デフォルト

必須?

fast.infoset.content.negotiation

Fast Infosetコンテンツ・ネゴシエーション設定を指定する値。有効な値は次のとおりです。

- OPTIMISTIC: サービスでFast Infosetが有効になっていると見なされます。

- PESSIMISTIC: クライアントからの最初のリクエストが、Fast Infosetが有効になっていない状態で送信されます。Fast Infosetがサービスで有効になっていると判断された場合、後続のリクエストは、Fast Infosetがクライアントで有効になった状態で送信されます。

- NONE: クライアントでFast Infosetがサポートされていません。

NONE

オプション

reference.priority

reference.priorityを参照してください。

なし

オプション

17.21 oracle/fast_infoset_service_policy

oracle/fast_infoset_service_policyは、WebサービスでFast Infosetを有効にします。

表示名: Fast Infosetサービス・ポリシー

カテゴリ: 構成

説明

WebサービスのFast Infosetを有効にします。

Fast Infosetの詳細は、次を参照してください。

- JAX-WS Webサービス: 『Oracle WebLogic Server JAX-WS Webサービスの開発』のFast Infosetを使用したXML転送の最適化に関する項

- Oracle Infrastructure Webサービス: 『Oracle Infrastructure Webサービスの開発』のFast Infosetを使用したXML転送の最適化に関する項。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-8は、Fast Infoset Webサービスの、オーバーライド可能な構成プロパティを示しています。

表17-8 oracle/fastinfoset_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.22 oracle/max_request_size_policy

oracle/max_request_size_policyは、Webサービスに送信可能なリクエスト・メッセージの最大サイズをバイト単位で構成します。

表示名: 最大リクエスト・サイズ・ポリシー

カテゴリ: 構成

説明

Webサービスに送信可能なリクエスト・メッセージの最大サイズをバイト単位で構成します。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-9は、Webサービスで最大リクエスト・サイズを有効にする際にオーバーライドできる構成プロパティを示しています。

表17-9 oracle/max_request_size_policyの構成プロパティ

名前

説明

デフォルト

必須?

max.request.size

リクエスト・メッセージの最大サイズ(バイト単位)。

値-1は最大リクエスト・サイズが設定されていないことを示します。

-1

オプション

reference.priority

reference.priorityを参照してください。

なし

オプション

17.23 oracle/mex_request_processing_service_policy

oracle/mex_request_processing_service_policyは、Webサービス・メタデータの交換を有効にします。

表示名: MEXリクエスト処理サービス・ポリシー

カテゴリ: 構成

説明

Webサービス・メタデータの交換を有効にします。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-10は、Webサービス・メタデータの交換を有効にする際にオーバーライドできる構成プロパティを示しています。

表17-10 oracle/mex_request_processing_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.24 oracle/mtom_encode_fault_service_policy

oracle/mtom_encode_fault_service_policyは、MTOMが有効になっている場合の、MTOM対応SOAPフォルト・メッセージの作成を有効にします。

表示名: MTOMエンコード・フォルト・サービス・ポリシー

カテゴリ: 構成

説明

MTOMが有効になっている場合の、MTOM対応SOAPフォルト・メッセージの作成を有効にします。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-11は、SOAPフォルトのMTOMエンコーディングを有効にする際にオーバーライドできる構成プロパティを示しています。

表17-11 oracle/mtom_encode_fault_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.25 oracle/no_async_web_service_policy

oracle/no_async_web_service_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされた非同期Webサービス・ポリシーを上位スコープで効率よく無効化します。

表示名: 非同期Webサービスなしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-12は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-12 oracle/no_async_web_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.26 oracle/no_cache_binary_content_policy

oracle/no_cache_binary_content_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたバイナリ・キャッシュ・ポリシーを上位スコープで効率よく無効化します。

表示名: キャッシュ・バイナリ・コンテンツなしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-13は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-13 oracle/no_cache_binary_content_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.27 oracle/no_fast_infoset_client_policy

oracle/no_fast_infoset_client_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたFast Infosetクライアント・ポリシーを上位スコープで効率よく無効化します。

表示名: Fast Infosetクライアントなしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-14は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-14 oracle/no_fast_infoset_client_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.28 oracle/no_fast_infoset_service_policy

oracle/no_fast_infoset_service_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたFast Infosetサービス・ポリシーを上位スコープで効率よく無効化します。

表示名: Fast Infosetサービスなしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-15は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-15 oracle/no_fast_infoset_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.29 oracle/no_max_request_size_policy

oracle/no_max_request_size_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされた最大リクエスト・サイズ・ポリシーを上位スコープで効率よく無効化します。

表示名: 最大リクエスト・サイズなしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-16は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-16 oracle/no_max_request_size_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.30 oracle/no_mex_request_processing_service_policy

oracle/no_mex_request_processing_service_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたWebサービス・メタデータ交換ポリシーを上位スコープで効率よく無効化します。

表示名: MEXリクエスト処理サービスなしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-17は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-17 oracle/no_mex_request_processing_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.31 oracle/no_mtom_encode_fault_service_policy

oracle/no_mtom_encode_fault_service_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたSOAPフォルトMTOMエンコーディング・ポリシーを上位スコープで効率よく無効化します。

表示名: MTOMエンコード・フォルト・サービスなしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-18は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-18 oracle/no_mtom_encode_fault_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.32 oracle/no_persistence_policy

oracle/no_persistence_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされた永続性ポリシーを上位スコープで効率よく無効化します。

表示名: 永続性なしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-19は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-19 oracle/no_persistence_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.33 oracle/no_pox_http_binding_service_policy

oracle/no_pox_http_binding_service_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたPlain Old XML (POX)ポリシーを上位スコープで効率よく無効化します。

表示名: Pox HTTPバインディング・サービスなしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-20は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-20 oracle/no_pox_http_binding_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.34 oracle/no_request_processing_service_policy

oracle/no_request_processing_service_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたリクエスト処理ポリシーを上位スコープで効率よく無効化します。

表示名: リクエスト処理サービスなしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-21は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-21 oracle/no_request_processing_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.35 oracle/no_schema_validation_policy

oracle/no_schema_validation_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたスキーマ検証ポリシーを上位スコープで効率よく無効化します。

表示名: スキーマ検証なしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-22は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-22 oracle/no_schema_validation_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.36 oracle/no_soap_request_processing_service_policy

oracle/no_soap_request_processing_service_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたSOAPリクエスト処理ポリシーを上位スコープで効率よく無効化します。

表示名: SOAPリクエスト処理サービスなしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-23は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-23 oracle/no_soap_request_processing_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.37 oracle/no_test_page_processing_service_policy

oracle/no_test_page_processing_service_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたテスト・ページ処理ポリシーを上位スコープで効率よく無効化します。

表示名: テスト・ページ処理サービスなしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-24は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-24 oracle/no_test_page_processing_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.38 oracle/no_ws_logging_level_policy

oracle/no_ws_logging_level_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたロギング・ポリシーを上位スコープで効率よく無効化します。

表示名: WSロギング・レベルなしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-25は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-25 oracle/no_ws_logging_level_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.39 oracle/no_wsdl_request_processing_service_policy

oracle/no_wsdl_request_processing_service_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたWSDLリクエスト処理ポリシーを上位スコープで効率よく無効化します。

表示名: WSDLリクエスト処理サービスなしポリシー

カテゴリ: 構成

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-26は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-26 oracle/no_wsdl_request_processing_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.40 oracle/persistence_policy

oracle/persistence_policyは、Webサービスのセキュア通信永続性メカニズムを構成します。

表示名: 永続性ポリシー

カテゴリ: 構成

説明

Webサービスのセキュア通信永続性メカニズムを構成します。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-27は、このポリシーを有効にする際にオーバーライドできる構成プロパティを示しています。

表17-27 oracle/persistence_policyの構成プロパティ

属性

説明

デフォルト

必須?

providerName

システムに登録されている永続性プロバイダを識別します。次の値を指定できます。

- oracle:jrf:Memoryは、メモリー内ベースの永続性プロバイダです。

- oracle:jrf:Coherenceは、統合Coherenceプロバイダです。

注意: J2SEクライアントの場合、構成できるのはoracle:jrf:Memoryのみです。

oracle:jrf:Coherence (設定可能な場合)。

オプション

reference.priority

reference.priorityを参照してください。

なし

オプション

17.41 oracle/pox_http_binding_service_policy

oracle/pox_http_binding_service_policyは、ユーザー定義によって処理される非SOAP XMLメッセージをエンドポイントで受信できるようにします。

表示名: Pox HTTPバインディング・サービス・ポリシー

カテゴリ: 構成

説明

ユーザー定義のjavax.xml.ws.Provider<T>.invokeメソッドによって処理される非SOAP XMLメッセージをエンドポイントで受信できるようにします。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-28は、このポリシーを有効にする際にオーバーライドできる構成プロパティを示しています。

表17-28 oracle/pox_http_binding_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.42 oracle/request_processing_service_policy

oracle/request_processing_service_policyは、Webサービス・エンドポイントで着信リクエストを処理できるようにします。

表示名: リクエスト処理サービス・ポリシー

カテゴリ: 構成

説明

Webサービス・エンドポイントで着信リクエストを処理できるようにします。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-29は、このポリシーを有効にする際にオーバーライドできる構成プロパティを示しています。

表17-29 oracle/request_processing_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.43 oracle/schema_validation_policy

oracle/schema_validation_policyは、スキーマに対するリクエスト・メッセージの検証を有効にします。

表示名: スキーマ検証ポリシー

カテゴリ: 構成

説明

スキーマに対するリクエスト・メッセージの検証を有効にします。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-30は、このポリシーを有効にする際にオーバーライドできる構成プロパティを示しています。

表17-30 oracle/schema_validation_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.44 oracle/soap_request_processing_service_policy

oracle/soap_request_processing_service_policyは、Webサービス・エンドポイントでのSOAPリクエストの処理を有効にします。

表示名: SOAPリクエスト処理サービス・ポリシー

カテゴリ: 構成

説明

Webサービス・エンドポイントでのSOAPリクエストの処理を有効にします。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-31は、このポリシーを有効にする際にオーバーライドできる構成プロパティを示しています。

表17-31 oracle/soap_request_processing_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.45 oracle/test_page_processing_policy

oracle/test_page_processing_policyはWebサービス・テスト・クライアントを有効にします。構成プロパティとしてreference.priorityが含まれています。

表示名: テスト・ページ処理サービス・ポリシー

カテゴリ: 構成

説明

『Webサービスの管理』のWebサービス・テスト・クライアントの使用に関する項で説明されているように、Webサービス・テスト・クライアントを有効にします。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-32は、このポリシーを有効にする際にオーバーライドできる構成プロパティを示しています。

表17-32 oracle/test_page_processing_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.46 oracle/ws_logging_level_policy

oracle/ws_logging_level_policyは、Webサービス・エンドポイントの診断ログのログ・レベルを設定します。構成プロパティとしてlogging.levelおよびreference.priorityが含まれています。

表示名: WSロギング・レベル・ポリシー

カテゴリ: 構成

説明

Webサービス・エンドポイントの診断ログのログ・レベルを設定します。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-33は、このポリシーを有効にする際にオーバーライドできる構成プロパティを示しています。

表17-33 oracle/ws_logging_level_policyの構成プロパティ

名前

説明

デフォルト

必須?

logging.level

ロギング・レベルを定義します。有効な値は、SEVERE、WARNING、INFO、CONFIG、FINE、FINER、FINESTまたはNULLです。

なし

オプション

reference.priority

reference.priorityを参照してください。

なし

オプション

17.47 oracle/wsdl_request_processing_service_policy

oracle/wsdl_request_processing_service_policyは、WebサービスがWSDLにアクセスできるようにします。構成プロパティとしてreference.priorityが含まれています。

表示名: WSDLリクエスト処理サービス

カテゴリ: 構成

説明

WebサービスのWSDLへのアクセスを有効にします。

注意:

以下の点に注意する必要があります。

- この構成ポリシーを複製することはできません。

- この構成ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この構成ポリシーは、SOAコンポジットまたはJava EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-34は、このポリシーを有効にする際にオーバーライドできる構成プロパティを示しています。

表17-34 oracle/ws_logging_level_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.48 oracle/log_policy

oracle/log_policyを使用すると、メッセージ・ログにリクエスト、レスポンスおよびフォルト・メッセージが送信されます。デフォルトで、このポリシーでは、リクエストのSOAPメッセージ全体およびレスポンスのSOAP本体情報のみがログに記録されます。

表示名: ログ・ポリシー

カテゴリ: 管理

説明

メッセージは、ドメインのメッセージ・ログに記録されます。メッセージ・ログの表示およびフィルタリングについては、『Webサービスの管理』のWebサービスのメッセージ・ログの使用に関する項を参照してください。

注意:

このポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/security_log_template

アサーションはWSDLで通知されていません。

構成

表17-35は、ログ・ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-35 oracle/log_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.49 oracle/no_mtom_policy

oracle/no_mtom_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたMTOMポリシーを上位スコープで効率よく無効化します。

表示名: MTOM動作無効ポリシー

カテゴリ: MTOMアタッチメント

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-36は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-36 oracle/no_mtom_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.50 oracle/wsmtom_policy

oracle/wsmtom_policyは、MTOM形式ではないインバウンド・メッセージを拒否し、アウトバウンド・メッセージがMTOM形式であるかどうかを検証します。MTOMは、SOAPメッセージ内のxs:base64Binaryまたはxs:hexBinaryタイプのXMLデータの転送を最適化するためのメソッドを定義します。

表示名: WS MTOMポリシー

カテゴリ: MTOMアタッチメント

説明

MTOMについては、SOAP 1.2および1.1それぞれの次の仕様を参照してください。http://www.w3.org/TR/2005/REC-soap12-mtom-20050125およびhttp://www.w3.org/Submission/2006/SUBM-soap11mtom10-20060405。

WebサービスのクライアントでMTOMを有効にするには、次のサンプルのように、Webサービスのプロキシまたはディスパッチの作成時にパラメータとしてjavax.xml.ws.soap.MTOMFeatureを渡します。

package examples.webservices.mtom.client;
import javax.xml.ws.soap.MTOMFeature;
public class Main {
public static void main(String[] args) {
String FOO = "FOO";
MtomService service = new MtomService()
MtomPortType port = service.getMtomPortTypePort(new MTOMFeature());
String result = null;
result = port.echoBinaryAsString(FOO.getBytes());
System.out.println( "Got result: " + result );
}
}

注意:

以下の点に注意する必要があります。

- このMTOMポリシーを複製することはできません。

- このポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- このポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-37は、MTOMポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-37 oracle/wsmtom_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.51 oracle/no_reliable_messaging_policy

oracle/no_reliable_messaging_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたWeb Services Reliable Messagingポリシーを上位スコープで効率よく無効化します。

表示名: 信頼できるメッセージングなしポリシー

カテゴリ: 信頼できるメッセージング

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

信頼できるメッセージングの詳細は、『Oracle Infrastructure Webサービスの開発』のWebサービスのアトミック・トランザクションの使用に関する項を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-38は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-38 oracle/no_reliable_messaging_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.52 oracle/no_wsrm_policy

oracle/no_wsrm_policyは動作無効ポリシーです。エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたWeb Services Reliable Messagingポリシーを上位スコープで効率よく無効化します。

表示名: RM動作無効ポリシー

カテゴリ: 信頼できるメッセージング

注意:

このポリシーは非推奨になりました。「oracle/no_reliable_messaging_policy」で説明しているように、oracle/no_reliable_messagingポリシーの使用をお薦めします。

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-39は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-39 oracle/no_wsrm_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.53 oracle/reliable_messaging_policy

oracle/reliable_messaging_policyは、Webサービスおよびクライアントで、Webサービスの信頼性のあるメッセージングを構成します。このポリシーは、SOAPベースのあらゆるWebサービスおよびクライアントにアタッチできます。

表示名: 信頼できるメッセージング・ポリシー

カテゴリ: 信頼できるメッセージング

説明

Webサービス・クライアントは、実行時にWSDLポリシー・アサーションを自動的に検出して使用し、クライアントで通知済バージョンの信頼できるメッセージングを有効にします。複数のバージョンが有効な場合、生成されたWSDLには、指定されたバージョンについてポリシーの選択肢があるため、クライアントではいずれのバージョンでも選択できます。クライアントでは、指定されたシーケンスでのすべての相互作用に対して、選択したバージョンのプロトコルを一貫して使用する必要があります。

マルチメッセージ・シーケンスの場合、クライアント・コードには、シーケンス境界を区切るメソッドの明示的な呼び出しが含まれている必要があります。そうしない場合、各メッセージは独自のシーケンスでラップされます。クライアントを編集して、サービスに送信されるメッセージの信頼できるメッセージング・セッションを有効にします。oracle.webservices.rm.client.RMSessionLifecycleインタフェースは、信頼できるメッセージング・シーケンス境界を区切るメカニズムをクライアントに提供します。

次の例は、サーブレット・クライアントのWebサービスの信頼できるメッセージングのサンプル・クライアント・コードを示しています。この例では、新規TestServiceが作成されます。クライアントがサービスと通信するときに使用されるTestPortが取得されます。ポート・オブジェクトがRMSessionLifecycleオブジェクトにキャストされ、信頼できるメッセージング・セッションがそのオブジェクト上で開かれます(openSession)。メッセージがサービスに送信されると、セッションは終了します(closeSession)。

public class ClientServlet extends HttpServlet {

public void doGet(HttpServletRequest request,
HttpServletResponse response) throws ServletException,
IOException {

int num1 =  Integer.parseInt(request.getParameter("num1"));
int num2 =  Integer.parseInt(request.getParameter("num2"));
String outputStr = null;

TestService service = new TestService();
Test port = service.getTestPort();

try {
((RMSessionLifecycle) port).openSession();
outputStr = port.hello(inputStr);
} catch (Exception e) {
e.printStackTrace();
outputStr = e.getMessage();
} finally {
((RMSessionLifecycle) port).closeSession();
response.getOutputStream().write(outputStr.getBytes());
}
}
}

注意:

以下の点に注意する必要があります。

- この信頼できるメッセージング・トランザクション・ポリシーを複製することはできません。

- このポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- このポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-40は、このポリシーを有効にする際にオーバーライドできる構成プロパティを示しています。

表17-40 oracle/reliable_messaging_policyの構成プロパティ

名前

説明

デフォルト

必須?

acknowledgement.interval

宛先エンドポイントがスタンドアロンの確認応答を送信する必要のある最大間隔(ミリ秒単位)。

指定する値はXMLスキーマの期間を表す字句形式(PnYnMnDTnHnMnS)に従った正の値でなければなりません。ここで、nYは年数、nMは月数、nDは日数を表し、Tは日付/時刻のセパレータ、nHは時間数、nMは分数、nSは秒数を表します。

この値はシーケンスの作成時に設定され、リセットすることはできません。

P0DT0.2S (200ミリ秒)

オプション

destination.allowed.versions

サポートされている信頼できるメッセージングのバージョン(複数可)。

複数のバージョンが有効な場合、生成されたWSDLでは、指定されたバージョンについてポリシーの選択肢がリストされ、クライアントで特定のバージョンを選択できるようになります。クライアントでは、指定されたシーケンスでのすべての相互作用に対して、選択したバージョンを一貫して使用する必要があります。

有効な値は次のとおりです。

- DEFAULT (すべてのバージョンをサポート)

- WS_RM_1_0

- WS_RM_1_1

- WS_RM_1_2

DEFAULT

オプション

destination.non.buffered

メッセージの非バッファ受信がリクエストされていることを示すフラグ。

この値はシーケンスの作成時に設定され、リセットすることはできません。

false

オプション

inactivity.timeout

非アクティブの間隔を定義するミリ秒数。この時間が経過した時点で、宛先エンドポイントがソース・エンドポイントからのメッセージを受け取っていなければ、宛先エンドポイントは、処理が行われずシーケンスは終了したものと見なす場合があります。これは、ソース・エンドポイントについても同様のことが言えます。デフォルトでは、シーケンスがタイムアウトすることはありません。

RM送信元とRM宛先の実装では、シーケンスに関連付けられたリソースを任意に管理できますが、非アクティブ・タイムアウトの経過後に送信元および宛先がそのシーケンスを使用できるという保証はありません。

指定する値はXMLスキーマの期間を表す字句形式(PnYnMnDTnHnMnS)に従った正の値でなければなりません。ここで、nYは年数、nMは月数、nDは日数を表し、Tは日付/時刻のセパレータ、nHは時間数、nMは分数、nSは秒数を表します。

値は順序の作成時に設定され、リセットできません。

P0DT600S (600秒)

オプション

max.retry.count

呼び出されたWebLogic ServerインスタンスのJMSキューが、操作が正常に呼び出されるまでWebサービスの実装にメッセージの配信を試みる回数。

-1

オプション

optional

信頼できるメッセージングが必要かどうかを指定するフラグ。

このフラグによって、サービス・エンドポイントでは、様々なクライアントとの信頼できる通信と信頼性の低い通信をサポートできるようになります。

optionalをfalseに設定した場合、サービスに送信されるすべてのメッセージを信頼できるものにする必要があります。optionalをtrueに設定すると、クライアントでリクエストの送信にWS-RMプロトコルを使用するかどうかを選択できます。この場合、サービスで両方とも処理できる必要があります。

操作レベルで必要なWS-RMポリシーと組み合せて使用した場合、明示的なWS-RMポリシーを指定していない操作は、WS-RMプロトコルを使用して呼び出す必要はありませんが、明示的なWS-RMポリシーを指定した操作は、WS-RMプロトコルを使用して呼び出す必要があります。

false

オプション

reference.priority

reference.priorityを参照してください。

なし

オプション

sequence.q.o.s

信頼できるメッセージングの配信保証。

有効な値は次のとおりです。

- EXACTLY_ONCE: すべてのメッセージが、必ず1回重複なしに配信されます。

- AT_MOST_ONCE: メッセージは最大1回、重複なしに配信されます。メッセージによっては、一度も配信されない可能性もあります。

- AT_LEAST_ONCE: すべてのメッセージが、少なくとも1回配信されます。メッセージによっては、2回以上配信されることもあります。

- UNSPECIFIED

EXACTLY_ONCE

オプション

sequence.in.order

メッセージが送信された順序で配信されることを指定するフラグ。

false

オプション

sequence.expiration

信頼性のあるWebサービスの有効期限が切れ、これ以上の新しいシーケンス・メッセージを受け付けなくなるまでの時間の長さ。

順序が完了する前にこの期限に達すると、強制終了されます。

指定する値はXMLスキーマの期間を表す字句形式(PnYnMnDTnHnMnS)に従った正の値でなければなりません。ここで、nYは年数、nMは月数、nDは日数を表し、Tは日付/時刻のセパレータ、nHは時間数、nMは分数、nSは秒数を表します。

この値はシーケンスの作成時に設定され、リセットすることはできません。

P1D (1日)

オプション

sequence.s.t.r

信頼性のある順序内のメッセージを保護するために、CreateSequenceメッセージ内で参照されるwsse:SecurityTokenReferenceをランタイムで使用することを指定するフラグ。

false

オプション

sequence.transport.security

信頼性のある順序内のメッセージを保護するために、CreateSequenceおよびCreateSequenceResponseメッセージの送信に使用される基本となるトランスポート・レベルのプロトコルのセッションにRM順序をバインドする必要があることを指定するフラグ。

存在する場合、このアサーションは、sp:TransportBindingアサーションとともに使用する必要があります。

false

オプション

source.backoff.algorithm

バックオフ・アルゴリズム。

宛先エンドポイントが、基本の再送信間隔(source.base.retransmission.interval)で指定した時間内でメッセージの順序を確認応答しなかった場合、メッセージが引き続き確認されなければ、連続再送信のタイミングに対して、ソース・エンドポイントは構成されているバックオフ・アルゴリズムを使用します。

有効な値は次のとおりです。

- EXPONENTIAL: 連続再送信の間隔が、基本の再送信間隔を基に指数的に増えます。たとえば、基本の再送信間隔が2秒で、指数関数的なバックオフ要素が設定されている場合、連続再送信の間隔は、メッセージが確認されなければ、2、4、8、16、32秒というように増えていきます。

- CONSTANT: 連続再試行で、同じ再送信間隔が使用されます。

- NONE

この値はシーケンスの作成時に設定され、リセットすることはできません。

NONE

オプション

source.base.retransmission.interval

前の送信が失敗した場合に、RM宛先にメッセージを再送信するまでに経過する必要がある時間間隔。

この間隔をバックオフ・アルゴリズム(source.backoff.algorithm)と組み合せて使用すると、再送信間隔の調整に使用されるアルゴリズムを指定できます。

指定する値はXMLスキーマの期間を表す字句形式(PnYnMnDTnHnMnS)に従った正の値でなければなりません。ここで、nYは年数、nMは月数、nDは日数を表し、Tは日付/時刻のセパレータ、nHは時間数、nMは分数、nSは秒数を表します。

この値はシーケンスの作成時に設定され、リセットすることはできません。

P0DT3S

オプション

source.version

RM送信元でサポートされている信頼できるメッセージングのバージョン(複数可)。

サービスのWSDLに、複数のRMバージョンについてのポリシー選択肢が含まれる場合は、クライアントではこの属性を使用して特定のバージョンを選択できます。WSDLに複数のRMバージョンが含まれ、この属性が明示的には設定されていない場合、RM 1.2が使用されるか、WSDLにRM 1.2が含まれない場合は、WSDL内でバージョン番号が一番大きいバージョンが使用されます。

有効な値は次のとおりです。

- DEFAULT (すべてのバージョンをサポート)

- WS_RM_1_0

- WS_RM_1_1

- WS_RM_1_2

WSDLにRMバージョンが1つしか含まれない場合、この属性は無視され、WSDL内のそのバージョンが使用されます。

その他の可能な値は、DEFAULT、WS_RM_1_0およびWS_RM_1_1です。

WS_RM_1_2

オプション

reference.priority

reference.priorityを参照してください。

なし

オプション

17.54 oracle/wsrm10_policy

oracle/wsrm10_policyは、Web Services Reliable Messagingプロトコルのバージョン1.0を構成します。このポリシーは、SOAPベースのすべてのクライアントまたはエンドポイントにアタッチできます。

表示名: WS RM10ポリシー

カテゴリ: 信頼できるメッセージング

注意:

このポリシーは非推奨になりました。「oracle/reliable_messaging_policy」で説明しているように、oracle/reliable_messagingポリシーの使用をお薦めします。

説明

Webサービス・クライアントは、実行時にWSDLポリシー・アサーションを自動的に検出して使用し、クライアントで通知済バージョンの信頼できるメッセージングを有効にします。

マルチメッセージ・シーケンスの場合、クライアント・コードには、シーケンス境界を区切るメソッドの明示的な呼び出しが含まれている必要があります。そうしない場合、各メッセージは独自のシーケンスでラップされます。クライアントを編集して、サービスに送信されるメッセージの信頼できるメッセージング・セッションを有効にします。oracle.webservices.rm.client.RMSessionLifecycleインタフェースは、信頼できるメッセージング・シーケンス境界を区切るメカニズムをクライアントに提供します。

oracle/wsmtom_policyの例は、サーブレット・クライアントを示しています。この例では、新規TestServiceが作成されます。クライアントがサービスと通信するときに使用されるTestPortが取得されます。ポート・オブジェクトがRMSessionLifecycleオブジェクトにキャストされ、信頼できるメッセージング・セッションがそのオブジェクト上で開かれます(openSession)。メッセージがサービスに送信されると、セッションは終了します(closeSession)。

注意:

以下の点に注意する必要があります。

- この信頼できるメッセージング・トランザクション・ポリシーを複製することはできません。

- このポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- このポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-41は、信頼できるメッセージング・ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-41 wsrm10_policyの構成プロパティ

名前

説明

デフォルト

必須

DeliveryAssurance

配信の保証。次のように配信の保証タイプを定義します。

- At Most Once: メッセージが最大1回配信されます。メッセージが重複することはありません。

- At Least Once: すべてのメッセージが、少なくとも1回配信されます。メッセージによっては、2回以上配信されることもあります。

- Exactly Once: すべてのメッセージが1回のみ配信されます。メッセージが重複することはありません。

- メッセージは、送信された順序で配信されます。この配信保証は、上記の3種類と組み合せて指定できます。

また、メッセージが送信された順序で配信されるかどうかを構成できます。

有効な値は次のとおりです。

- AtLeastOnce

- AtLeastOnceInOrder

- AtMostOnce

- AtMostOnceInOrder

- ExactlyOnce

- ExactlyOnceInOrder

- InOrder

InOrder

オプション

StoreType

メッセージ・ストアのタイプ。

有効な値は次のとおりです。

- FileSystem (完全にはサポートされていません)

- InMemory

- JDBC

InMemory

オプション

StoreName

メッセージ・ストアの名前。

oracle

オプション

jdbc-connection-name

JDBCデータ・ソースへのJNDI参照。このフィールドは、StoreTypeがJDBCに設定されている場合のみ有効です。この値は、jdbc-connection-urlより優先されます。ユーザー名とパスワードは、両方存在する場合に使用されます。

jdbc/MessagesStore

オプション

InactivityTimeout

非アクティブの間隔を定義するミリ秒数。この時間が経過した時点で、宛先エンドポイントがソース・エンドポイントからのメッセージを受け取っていなければ、宛先エンドポイントは、処理が行われずシーケンスは終了したものと見なす場合があります。これは、ソース・エンドポイントについても同様のことが言えます。デフォルトでは、シーケンスがタイムアウトすることはありません。

RM送信元とRM宛先の実装では、シーケンスに関連付けられたリソースを任意に管理できますが、非アクティブ・タイムアウトの経過後に送信元および宛先がそのシーケンスを使用できるという保証はありません。

600000

オプション

BaseRetransmissionInterval

前の送信が失敗した場合に、RM宛先にメッセージを再送信するまでに経過する必要がある時間間隔。

3000

オプション

17.55 oracle/wsrm11_policy

oracle/wsrm11_policyは、Web Services Reliable Messagingプロトコルのバージョン1.1を構成します。このポリシーは、SOAPベースのすべてのクライアントまたはエンドポイントにアタッチできます。

表示名: WS RM11ポリシー

カテゴリ: 信頼できるメッセージング

注意:

このポリシーは非推奨になりました。「oracle/reliable_messaging_policy」で説明しているように、oracle/reliable_messagingポリシーの使用をお薦めします。

説明

Webサービス・クライアントは、実行時にWSDLポリシー・アサーションを自動的に検出して使用し、クライアントで通知済バージョンの信頼できるメッセージングを有効にします。

マルチメッセージ・シーケンスの場合、クライアント・コードには、シーケンス境界を区切るメソッドの明示的な呼び出しが含まれている必要があります。そうでない場合、各メッセージは独自のシーケンスでラップされます。サービスに送信されるメッセージに対して信頼できるメッセージング・セッションを有効にするようクライアントを編集してください。oracle.webservices.rm.client.RMSessionLifecycleインタフェースは、信頼できるメッセージング・シーケンス境界を区切るメカニズムをクライアントに提供します。

例17-の例は、サーブレット・クライアントを示しています。この例では、新規TestServiceが作成されます。クライアントがサービスと通信するときに使用されるTestPortが取得されます。ポート・オブジェクトがRMSessionLifecycleオブジェクトにキャストされ、信頼できるメッセージング・セッションがそのオブジェクト上で開かれます(openSession)。メッセージがサービスに送信されると、セッションは終了します(closeSession)。

注意:

以下の点に注意する必要があります。

- この信頼できるメッセージング・トランザクション・ポリシーを複製することはできません。

- このポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- このポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

このポリシーの作成用のアサーション・テンプレートは提供されていません。このため、このポリシーを削除しないことが重要です。このポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-41は、このポリシーの、オーバーライド可能な構成プロパティを示しています。

17.56 oracle/http_basic_auth_over_ssl_client_policy

oracle/http_basic_auth_over_ssl_client_policyでは、アウトバウンド・クライアント・リクエストのHTTPヘッダーに資格証明を組み込んで、トランスポート・プロトコルがHTTPSであることを検証します。HTTPS以外のトランスポート・プロトコルを介するリクエストは拒否されます。

表示名: HTTP Basic Auth Over SSLクライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、HTTPベースのクライアント・エンドポイントで実行できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_http_token_over_ssl_client_template

アサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-45に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」で説明されているように、一方向を構成します。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、管理コンソールを使用して、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

17.57 oracle/http_basic_auth_over_ssl_service_policy

oracle/http_basic_auth_over_ssl_service_policyは、HTTPヘッダー内の資格証明を使用して、OPSSアイデンティティ・ストアに対してユーザーを認証し、トランスポート・プロトコルがHTTPSであることを検証します。

表示名: HTTP Basic Auth Over SSLサービス・ポリシー

カテゴリ: セキュリティ

説明

HTTPS以外のトランスポート・プロトコルを介するリクエストは拒否されます。このポリシーは、HTTPベースのエンドポイントで実行できます。

注意:

このポリシーの機能は、oracle/wss_http_token_over_ssl_service_policyに似ています。相違点は、oracle/wss_http_token_over_ssl_service_policyでは、require-tls要素内のinclude-timestamp属性を有効化して、リプレイ攻撃を防止できることです。この機能は、RESTfulサービスには適用されません。require-tls要素の詳細は、「orasp:require-tls要素」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_http_token_over_ssl_service_template。

アサーションはWSDLで通知されています。

注意:

WADLファイルでのポリシー・アサーションの通知はサポートされていません。関連づけられたポリシーがRESTful Webサービスにアタッチされている場合は、「通知済」オプションは効果がありません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-46に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」で説明されているように、一方向SSLを構成します。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、管理コンソールを使用して、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

17.58 oracle/http_oam_token_service_policy

oracle/http_oam_token_service_policyは、OAMエージェントがユーザーを認証し、アイデンティティを確立したことを検証します。

表示名: HTTP OAMサービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、HTTPベースのエンドポイントで実行できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/http_oam_token_service_template。

アサーションはWSDLで通知されていません。

注意:

WADLファイルでのポリシー・アサーションの通知はサポートされていません。関連づけられたポリシーがRESTful Webサービスにアタッチされている場合は、「通知済」オプションは効果がありません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-5に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- HTTP OAMセキュリティを実行するには、OAM WebGateを構成して、リクエストのインターセプト、ユーザーの認証およびOAM_REMOTE_USER HTTPヘッダーの設定を行います。OWSMは、リクエストを許可する前に、OAM_REMOTE_USER_HTTPヘッダーの有無を確認します。

詳細は、WebGate for Oracle Access ManagerのインストールのOAM用のOracle HTTP Server 11g WebGateのインストールと構成を参照してください。

17.59 oracle/http_saml20_token_bearer_client_policy

oracle/http_saml20_token_bearer_client_policyは、HTTPヘッダーにSAML Bearer V2.0トークンを含めます。確認方法がBearerのSAMLトークンが自動的に作成されます。

表示名: HTTP Saml Bearer V2.0トークン・クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、HTTPベースのクライアント・エンドポイントで実行できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/http_saml20_token_bearer_client_template

アサーションは通知されています。

構成

ポリシーを構成するには、表18-7に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

設計時の考慮事項

「設計時のSAML Webサービス・クライアントの構成」で説明されているように、設計時にWebサービス・クライアントにSAMLを構成します。

17.60 oracle/http_saml20_token_bearer_service_policy

oracle/http_saml20_token_bearer_service_policyは、HTTPヘッダー内の確認方法がBearerのSAML v2.0トークンに含まれる資格証明を使用してユーザーを認証します。SAMLトークンの資格証明は、SAML v2.0ログイン・モジュールに対して認証されます。

表示名: HTTP Saml Bearer V2.0トークン・サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、HTTPベースのエンドポイントで実行できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/http_saml20_token_bearer_service_template

アサーションはWSDLで通知されています。

注意:

WADLファイルでのポリシー・アサーションの通知はサポートされていません。このポリシーがRESTful Webサービスにアタッチされている場合は、「通知済」オプションは効果がありません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-8に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「SAMLの構成について」で説明されているように、SAMLを構成してOPSSを設定します。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- 「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」で説明しているように、saml2.loginmoduleログイン・モジュールを構成します。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

17.61 oracle/http_saml20_token_bearer_over_ssl_client_policy

oracle/http_saml20_token_bearer_over_ssl_client_policyは、HTTPヘッダーにSAML Bearer v2.0トークンを含めます。確認方式がBearerとなっているSAMLトークンが自動的に作成され、トランスポート・プロトコルがSSLメッセージ保護を提供していることが検証されます。

表示名: HTTP Saml Bearer V2.0 Token Over SSLクライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、HTTPベースのクライアント・エンドポイントにアタッチできます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/http_saml20_token_bearer_client_template

アサーションは通知されています。

注意:

WADLファイルでのポリシー・アサーションの通知はサポートされていません。このポリシーがRESTful Webサービスにアタッチされている場合は、「通知済」オプションは効果がありません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-7に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「Webサービス・クライアントへの一方向SSLの構成」で説明されているように、一方向SSLを構成します。

設計時の考慮事項

「設計時のSAML Webサービス・クライアントの構成」で説明されているように、設計時にWebサービス・クライアントにSAMLを構成します。

17.62 oracle/http_saml20_bearer_token_over_ssl_service_policy

oracle/http_saml20_bearer_token_over_ssl_service_policyは、HTTPヘッダー内の確認方式がBearerとなっているSAML v2.0トークンに指定されている資格証明を使用してユーザーを認証し、トランスポート・プロトコルがSSLメッセージ保護を提供していることを検証します。

表示名: HTTP Saml Bearer V2.0トークン・サービス・ポリシー

カテゴリ: セキュリティ

説明

SAMLトークンの資格証明は、SAML v2.0ログイン・モジュールに対して認証されます。このポリシーは、HTTPベースのエンドポイントで実行できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/http_saml20_token_bearer_service_template

アサーションはWSDLで通知されています。

注意:

WADLファイルでのポリシー・アサーションの通知はサポートされていません。このポリシーがRESTful Webサービスにアタッチされている場合は、「通知済」オプションは効果がありません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-8に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「SAMLの構成について」で説明されているように、SAMLを構成してOPSSを設定します。

- 「WebLogic Serverへの一方向SSLの構成」で説明されているように、一方向SSLを構成します。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- 「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」で説明しているように、saml2.loginmoduleログイン・モジュールを構成します。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

17.63 oracle/multi_token_rest_service_policy

oracle/multi_token_rest_service_policy: クライアントにより送信されたトークンに基づいて認証ポリシーを強制します。

表示名: 複数トークンRESTfulサービス・ポリシー

カテゴリ: セキュリティ

説明

クライアントが送信するトークンに基づいて、次の認証ポリシーのいずれかを実行します。

- HTTP Basic: ユーザー名とパスワード資格証明をHTTPヘッダーから抽出します。

- HTTPヘッダーのSAML v2.0 Bearerトークン: HTTPヘッダーのSAML 2.0 Bearerアサーションを抽出します。

- HTTP OAMセキュリティ: OAMエージェントがユーザーを認証し、アイデンティティを確立したことを検証します。

- SPNEGO over HTTPセキュリティ: Simple and Protected GSSAPI Negotiation Mechanism (SPNEGO)トークンをHTTPヘッダーから抽出します。

アサーション(ORグループ)

このポリシーには、次のアサーション・テンプレートに基づくアサーションがORグループとして含まれます。つまり、クライアントはいずれかのトークンを送信できます。

- oracle/wss_http_token_client_template

- oracle/http_saml20_token_bearer_client_template

- oracle/http_oam_token_service_template(サーバー側でのみOAM保護を提供します。)

- oracle/http_spnego_token_service_template

oracle/http_saml20_token_bearer_client_templateおよびoracle/http_spengo_token_service_templateポリシー・アサーションは通知されています。

wss_http_token_client_templateおよびoracle/http_oam_token_service_templateアサーションはWSDLで通知されていません。

注意:

WADLファイルでのポリシー・アサーションの通知はサポートされていません。このポリシーがRESTful Webサービスにアタッチされている場合は、「通知済」オプションは効果がありません。

構成

このポリシーを構成する手順は次のとおりです。

- クライアントから送信されたトークンに基づいて、次の各項のいずれかで定義された構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 表18-46

- 表18-8

- 表18-5

- 表18-11

- HTTP OAMセキュリティを構成する手順は次のとおりです。

- OAMコンソールを使用して、OAMサービス・エンドポイントをanonymousとして構成します。

- クライアント・リクエストをインターセプトし、ユーザーを認証し、OAM_REMOTE_USER HTTPヘッダーを設定するように、OAM WebGateを構成します。OWSMは、リクエストを許可する前に、OAM_REMOTE_USER_HTTPヘッダーの有無を確認します。

詳細は、WebGate for Oracle Access ManagerのインストールのOAM用のOracle HTTP Server 11g WebGateのインストールと構成を参照してください。

17.64 oracle/multi_token_over_ssl_rest_service_policy

oracle/multi_token_over_ssl_rest_service_policyは、クライアントにより送信されたトークンに基づいて認証ポリシーを強制します。

表示名: Multi Token Over SSL RESTfulサービス・ポリシー

カテゴリ: 構成

説明

クライアントが送信するトークンに基づいて、次の認証ポリシーのいずれかを実行します。

- HTTP Basic over SSL: ユーザー名とパスワード資格証明をHTTPヘッダーから抽出します。

- HTTPヘッダーのSAML 2.0 Bearerトークン(SSL経由): HTTPヘッダーのSAML 2.0 Bearerアサーションを抽出します。

- HTTP OAMセキュリティ(SSL以外): OAMエージェントがユーザーを認証し、アイデンティティを確立したことを検証します。

- SPNEGO over HTTPセキュリティ(非SSL): SPNEGOトークン情報をHTTPヘッダーから抽出します。

アサーション(ORグループ)

このポリシーには、次のアサーション・テンプレートに基づくアサーションがORグループとして含まれます。つまり、クライアントはいずれかのトークンを送信できます。

- oracle/wss_http_token_over_ssl_client_template

- oracle/http_saml20_token_bearer_service_template

- oracle/http_oam_token_service_template。

- oracle/http_spnego_token_service_template。

oracle/wss_http_token_over_ssl_client_template、oracle/http_samle20_token_bearer_service_template、およびoracle/http_spengo_token_service_templateアサーションはWSDLで通知されています。

oracle/http_oam_token_service_templateアサーションはWSDLで通知されていません。

注意:

WADLファイルでのポリシー・アサーションの通知はサポートされていません。このポリシーがRESTful Webサービスにアタッチされている場合は、「通知済」オプションは効果がありません。

構成

このポリシーを構成する手順は次のとおりです。

- クライアントから送信されたトークンに基づいて、次の各項のいずれかで定義された構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 表18-46

- 表18-8

- 表18-5

- 表18-11

- HTTP OAMセキュリティを構成する手順は次のとおりです。

- OAMコンソールを使用して、OAMサービス・エンドポイントをanonymousとして構成します。

- リクエストをインターセプトし、ユーザーを認証し、OAM_REMOTE_USER HTTPヘッダーを設定するように、OAM WebGateを構成します。OWSMは、リクエストを許可する前に、OAM_REMOTE_USER_HTTPヘッダーの有無を確認します。

詳細は、WebGate for Oracle Access ManagerのインストールのOAM用のOracle HTTP Server 11g WebGateのインストールと構成を参照してください。

17.65 oracle/no_authentication_client_policy

oracle/no_authentication_client_policyは動作無効ポリシーです。クライアント・エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされた認証ポリシーを上位スコープで効率よく無効化します。

表示名: 認証クライアント動作無効ポリシー

カテゴリ: セキュリティ

説明

グローバルにアタッチされたポリシーに、認証アサーションに加えて他のアサーションが含まれる場合、そのアサーションも無効化されます。この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-42は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-42 oracle/no_authentication_client_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.66 oracle/no_authentication_service_policy

oracle/no_authentication_service_policyは動作無効ポリシーです。サービス・エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされた認証ポリシーを上位スコープで効率よく無効化します。

表示名: 認証サービス動作無効ポリシー

カテゴリ: セキュリティ

説明

グローバルにアタッチされたポリシーに、認証アサーションに加えて他のアサーションが含まれる場合、そのアサーションも無効化されます。この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-43は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-43 oracle/no_authentication_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.67 oracle/wss_http_token_client_policy

oracle/wss_http_token_client_policyは、アウトバウンド・クライアント・リクエストのHTTPヘッダーに資格証明を含めます。クライアントは、HTTPヘッダーに資格証明を渡す必要があります。

表示名: Wss HTTPトークン・クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、HTTPベースのクライアントで実行できます。

注意:

現在サポートされているのはHTTP Basic認証のみです。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_http_token_client_template

このアサーションは通知されていません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-13に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、csf-keyの値を指定します。この値は、ユーザー名/パスワードにマッピングされているキーを表しています。資格証明ストアに鍵を追加する方法の詳細は、「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- クライアントは、HTTPヘッダーに資格証明を渡す必要があります。

17.68 oracle/wss_http_token_service_policy

oracle/wss_http_token_service_policyでは、HTTPヘッダーの資格証明を使用して、OPSSアイデンティティ・ストアに対してユーザーを認証します。このポリシーは、HTTPベースのエンドポイントで実行できます。

説明

Webサービスは、提供されたユーザー名とパスワードの資格証明を、構成済の認証ソースに対して認証する必要があります。

注意:

現在サポートされているのはHTTP Basic認証のみです。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_http_token_service_template。

このアサーションはWSDLで通知されていません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-14に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

- Webサービスは、提供されたユーザー名とパスワードの資格証明を、構成済の認証ソースに対して認証する必要があります。「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

17.69 oracle/wss_username_token_client_policy

oracle/wss_username_token_client_policyは、すべてのアウトバウンドSOAPリクエスト・メッセージにWS-Security UsernameTokenヘッダーの資格証明を含めます。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

表示名: Wssユーザー名トークン・クライアント・ポリシー

カテゴリ: セキュリティ

説明

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

このポリシーでは、プレーン・テキスト・パスワードがサポートされます。このクライアント・ポリシーは、oracle/wss_username_token_service_policyサービス・エンドポイント・ポリシーに類似しています。

注意:

このポリシーでは、パスワードがクリア・テキストで送信されます。セキュリティが低い場合や、他のメカニズムを使用してトランスポートが保護されることを認識している場合にのみ、このポリシーを使用してください。

または、次のことを検討してください。

- 「Webサービス・ポリシーの作成および編集」で説明しているように、ポリシーをコピーして、パスワード・タイプをダイジェストに設定すること。

- このポリシーのSSLバージョンである「oracle/wss_username_token_over_ssl_client_policy」の使用。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_username_token_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-16に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、csf-keyの値を指定します。この値は、ユーザー名/パスワードにマッピングされているキーを表しています。資格証明ストアに鍵を追加する方法の詳細は、「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」を参照してください。

- 「設定」ページでパスワード・タイプを「なし」に指定した場合、キーにパスワードを含める必要はありません。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- SOAPリクエスト・メッセージにWS-Security UsernameToken要素(<wsse:UsernameToken/>)を組み込みます。また、クライアントは、認証用にユーザー名とパスワードを提供します。

17.70 oracle/wss_username_token_service_policy

oracle/wss_username_token_service_policyは、UsernameToken WS-Security SOAPヘッダーの資格証明を使用してユーザーを認証します。

表示名: Wssユーザー名トークン・サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーでは、プレーン・テキスト・パスワードがサポートされます。

注意:

このポリシーでは、パスワードがクリア・テキストで送信されます。セキュリティが低い場合や、他のメカニズムを使用してトランスポートが保護されることを認識している場合にのみ、このポリシーを使用してください。

または、次のことを検討してください。

- 「Webサービス・ポリシーの作成および編集」で説明しているように、ポリシーをコピーして、パスワード・タイプをダイジェストに設定すること。

- このポリシーのSSLバージョンである「oracle/wss_username_token_over_ssl_client_policy」の使用。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_username_token_service_template。

このアサーションはWSDLで通知されていません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-17に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

17.71 oracle/wss10_saml_token_client_policy

oracle/wss10_saml_token_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンを含めます。

表示名: Wss10 SAMLトークン・クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、SOAPベースのクライアントで実行できます。

注意:

このポリシーはセキュアではなく、デモの目的でのみ提供されています。SAML発行者名は存在しますが、SAMLトークンが承認されていません。したがって、メッセージの偽装が可能です。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml_token_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-19に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「SAMLの構成について」で説明されているように、SAMLを構成してOPSSを設定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.nameの値を指定します。saml.issuer.nameプロパティのデフォルトは、www.oracle.comという値です。詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、設計時にWebサービス・クライアントにSAMLを構成します。

- アウトバウンドSOAPメッセージに、SAMLトークンを挿入するWS-Securityヘッダー要素(<saml:Assertion>)を組み込みます。確認タイプは、常にsender-vouchesです。

17.72 oracle/wss10_saml_token_service_policy

oracle/wss10_saml_token_service_policyは、WS-Security SOAPヘッダー内のSAMLトークンに含まれる資格証明を使用してユーザーを認証します。SAMLトークンに含まれる資格証明は、SAMLログイン・モジュールに対して認証されます。

表示名: Wss10 SAMLトークン・サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、SOAPベースのエンドポイントで実行できます。

注意:

このポリシーはセキュアではなく、デモの目的でのみ提供されています。SAML発行者名は存在しますが、SAMLトークンが承認されていません。したがって、メッセージの偽装が可能です。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml_token_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-20に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「SAMLの構成について」で説明されているように、SAMLを構成してOPSSを設定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- 「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」で説明しているように、saml.loginmoduleログイン・モジュールを構成します。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それをプロバイダに渡します。

17.73 oracle/wss10_saml20_token_client_policy

oracle/wss10_saml20_token_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンを含めます。

表示名: Wss10 SAML V2.0トークン・クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、SOAPベースのクライアントで実行できます。

注意:

このポリシーはセキュアではなく、デモの目的でのみ提供されています。SAML発行者名は存在しますが、SAMLトークンが承認されていません。したがって、メッセージの偽装が可能です。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml20_token_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-22に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「SAMLの構成について」で説明されているように、SAMLを構成してOPSSを設定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.nameの値を指定します。saml.issuer.nameプロパティのデフォルトは、www.oracle.comという値です。詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、設計時にWebサービス・クライアントにSAMLを構成します。

- アウトバウンドSOAPメッセージに、SAMLトークンを挿入するWS-Securityヘッダー要素(<saml:Assertion>)を組み込みます。確認タイプは、常にsender-vouchesです。

17.74 oracle/wss10_saml20_token_service_policy

oracle/wss10_saml20_token_service_policyは、WS-Security SOAPヘッダー内のSAMLトークンに含まれる資格証明を使用してユーザーを認証します。SAMLトークンに含まれる資格証明は、SAMLログイン・モジュールに対して認証されます。

表示名: Wss10 SAML V2.0トークン・サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、SOAPベースのエンドポイントで実行できます。

注意:

このポリシーはセキュアではなく、デモの目的でのみ提供されています。SAML発行者名は存在しますが、SAMLトークンが承認されていません。したがって、メッセージの偽装が可能です。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml20_token_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-23に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「SAMLの構成について」で説明されているように、SAMLを構成してOPSSを設定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- 「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」で説明しているように、saml2.loginmoduleログイン・モジュールを構成します。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それをプロバイダに渡します。

17.75 oracle/wss11_kerberos_token_client_policy

oracle/wss11_kerberos_token_client_policyは、WS-Security Kerberos Token Profile v1.1標準に従い、WS-SecurityヘッダーにKerberosトークンを含めます。このポリシーはMITとActive Directory KDCと互換性があります。このポリシーは、SOAPベースのクライアントで実行できます。

表示名: Wss11 Kerberosトークン・クライアント・ポリシー

カテゴリ: セキュリティ

説明

サービス・プリンシパル名(SPN)は、Kerberos認証のキー・コンポーネントです。SPNは、サーバー上で動作しているサービスに対する一意のIDです。Kerberos認証を使用するすべてのサービスは各自のSPNのセットを保持する必要があり、それによってクライアント側でのネットワーク上のサービスの識別が可能になります。サービスにSPNが設定されていない場合、クライアントではそのサービスを特定できないため、Kerberos認証を使用できなくなります。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_kerberos_token_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-25に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「Kerberosトークンの構成の理解」で説明されているように、Kerberosを構成します。

- Kerberosクライアント側ポリシーを実行するWebサービス・クライアントは、アクセスを試行するサービスのサービス・プリンシパル名を認識している必要があります。「ポリシー構成プロパティのオーバーライド」で説明されているように、service.principal.nameの値を指定できます。デフォルト値(プレースホルダ)は、HOST/localhost@oracle.comです。

設計時の考慮事項

設計時に次の手順を実行します。

- 「Kerberosトークンの構成の理解」で説明されているように、Kerberosを構成します。

- サービス・プリンシパル名(service.principal.name)を設定します。サービス・プリンシパル名は、クライアントがKDCにリクエストするチケットに対応するサービス・プリンシパルの名前を指定します。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- Kerberos認証が成功した場合、取得されたKerberosチケットとオーセンティケータを、SOAPセキュリティ・ヘッダーのBinarySecurityToken要素で囲まれたWebサービスに送信します。

17.76 oracle/wss11_kerberos_token_service_policy

oracle/wss11_kerberos_token_service_policyは、SOAPヘッダーからKerberosトークンを抽出し、ユーザーを認証します。このポリシーは、WS-Security Kerberos Token Profile v1.1標準に従って適用されます。コンテナには、OPSSを介して構成されたKerberosインフラストラクチャが含まれている必要があります。

表示名: Wss11 Kerberosトークン・サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーはMITとActive Directory KDCと互換性があります。このポリシーは、SOAPベースのすべてのエンドポイントにアタッチできます。

サービス・プリンシパル名(SPN)は、Kerberos認証のキー・コンポーネントです。SPNは、サーバー上で動作しているサービスに対する一意のIDです。Kerberos認証を使用するすべてのサービスは各自のSPNのセットを保持する必要があり、それによってクライアント側でのネットワーク上のサービスの識別が可能になります。サービスにSPNが設定されていない場合、クライアントではそのサービスを特定できないため、Kerberos認証を使用できなくなります。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_kerberos_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-26に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「Kerberosログイン・モジュールの構成」で説明しているように、krb5.loginmoduleログイン・モジュールを構成します。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

17.77 oracle/http_oauth2_token_client_policy

oracle/http_oauth2_token_client_policyは、HTTPヘッダーにOAuth2アクセス・トークンを含めます。アクセス・トークン(AT)は、Mobile & Social OAuth2サーバーから取得します。

表示名: HTTP OAuth2トークン・クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、任意のHTTPベースのクライアントに割り当てることができます。

アサーション

このポリシーには、ポリシー・アサーションの設定および構成プロパティを定義する次のアサーション・テンプレートが含まれています:

oracle/http_oauth2_token_client_template

このアサーションの詳細は、「oracle/http_oauth2_token_client_template」を参照してください。

構成

このポリシーは、HTTPヘッダーにOAuth2アクセス・トークンを含めます。アクセス・トークン(AT)は、Mobile & Social OAuth2サーバーから取得します。このポリシーは、HTTPベースのSOAPまたはRESTクライアントに割り当てることができます。

ポリシーを割り当てる場合、次のプロパティをオーバーライドできます。

- OAuth2トークン・リクエストの場合:

- scope

- authz.code (このリリースでは使用されません。)

- redirect.uri (このリリースでは使用されません。)

- ローカルにトークンを作成する場合:

- subject.precedence

- csf.map

- csf-key

- oauth2.client.csf.key

- federated.client.token

- user.attributes

- issuer.name

- oracle.oauth2.service

- user.roles.include

- keystore.sig.csf.key

- propagate.identity.context

- user.tenant.name

- include.certificate

- 一般:

- audience.uri

- reference.priority

- time.in.millis

ポリシー・ファイルは、WLSTを使用するか、手動で編集する必要があります。Fusion Middleware Controlを使用してポリシーを編集することはできません。構成できるアサーション属性の詳細は、「oracle/http_oauth2_token_client_template」を参照してください。

このポリシーとoracle/oauth2_config_client_policyをクライアント・アプリケーションに割り当てます。

oracle/oauth2_config_client_policyポリシーの必須プロパティtoken.uriは、OAuth2サーバーのトークン・エンドポイントを指定します。

次の任意のOracle WSM JWTサービス・ポリシーもWebサービスに割り当てます。Oracle WSMのサーバー側エージェントがアクセス・トークンを検証します。

- oracle/http_jwt_token_service_policy

- oracle/multi_token_rest_service_policy (REST)

- oracle/wss11_saml_or_username_token_with_message_protection_service_policy (SOAP)

デフォルトでは、oracle/http_oauth2_token_client_policyアサーション・コンテンツは、次のように定義されています。

<orasp:http-oauth2-security
xmlns:orasp="http://schemas.oracle.com/ws/2006/01/securitypolicy"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication" orawsp:name="Http OAuth2">
<orasp:auth-header orasp:is-encrypted="false" orasp:is-signed="false"
orasp:mechanism="oauth2"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="HttpOAuth2Config">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="subject.precedence">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="csf.map"/>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="csf-key">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="oauth2.client.csf.key">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="federated.client.token">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="scope">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string"
orawsp:contentType="optional"
orawsp:name="authz.code">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string"
orawsp:contentType="optional" orawsp:name="redirect.uri">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="user.attributes">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="issuer.name">
<orawsp:Value/>
<orawsp:DefaultValue>www.oracle.com</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="oracle.oauth2.service">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="user.roles.include">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="keystore.sig.csf.key">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="reference.priority">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:name="propagate.identity.context" orawsp:type="string" orawsp:contentType="optional">
<orawsp:Value></orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="user.tenant.name">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string"
orawsp:contentType="optional" orawsp:name="audience.uri">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="include.certificate">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="time.in.millis">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:http-oauth2-security>

設定

表18-27を参照してください。

構成プロパティ

表18-28を参照してください。

17.78 oracle/http_jwt_token_service_policy

oracle/http_jwt_token_service_policyは、HTTPヘッダー内のJWTトークンに指定されているユーザー名を使用してユーザーを認証します。

表示名: HTTP JWTトークン・サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、HTTPベースのすべてのエンドポイントに適用できます。

アサーション

このポリシーには次のポリシー・アサーションが含まれています。

oracle/http_jwt_token_service_template。

このアサーションの詳細は、「oracle/http_jwt_token_service_template」を参照してください。

構成

http_jwt_token_service_policyは、HTTPヘッダー内のJWTトークンに指定されているユーザー名を使用してユーザーを認証します。デフォルトのポリシー構成では、非対称署名を使用してJWTトークンが署名されます(algorithm-suite属性がBasic128Sha256Rsa15に設定されています)。

このポリシーはどのHTTPベース・エンドポイントにも添付できます。

ポリシー・ファイルは手動で編集する必要があります。Fusion Middleware Controlを使用してポリシーを編集することはできません。構成できるアサーション属性の詳細は、「oracle/http_jwt_token_service_template」を参照してください。

デフォルトでは、oracle/http_jwt_token_service_policyアサーション・コンテンツは、次のように定義されています。

<orasp:http-jwt-security orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication" orawsp:name="Http JWT Security">
<orasp:auth-header orasp:algorithm-suite="Basic128Sha256Rsa15"
orasp:is-encrypted="false" orasp:is-signed="true" orasp:mechanism="jwt"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="HttpJwtConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="optional" orawsp:name="trusted.issuers" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="csf.map" orawsp:type="string"/>
<orawsp:Property orawsp:contentType="optional" orawsp:name="keystore.sig.csf.key" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="propagate.identity.context" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="reference.priority" orawsp:type="string"/>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:http-jwt-security>

設定

表18-34を参照してください。

構成プロパティ

表18-29を参照してください。

17.79 oracle/http_oauth2_token_identity_switch_over_ssl_client_policy

oracle/http_oauth2_token_identity_switch_over_ssl_client_policyは、HTTPヘッダーにOAuth2アクセス・トークンを含めます。アクセス・トークンは、Mobile and Social OAuth2サーバーから取得します。また、アウトバウンド・トランスポート・プロトコルがHTTPSであることも検証します。HTTPS以外のトランスポート・プロトコルを使用した場合、リクエストは拒否されます。

表示名: Http OAuth2 Token Over SSLアイデンティティ切替えクライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、oracle/http_oauth2_token_over_ssl_client_policyポリシーに類似しており、subject.precedenceプロパティがデフォルトでfalseに設定されています。

このポリシーは、認証されたサブジェクトに基づいたものとは異なるアイデンティティを伝播することにより、動的なアイデンティティ切替えを実行します。このポリシーは、任意のHTTPベース、SOAPまたはRESTクライアントに割り当てることができます。

アサーション

このポリシーには、ポリシー・アサーションの設定および構成プロパティを定義する次のアサーション・テンプレートが含まれています:

oracle/http_oauth2_token_over_ssl_client_template

このアサーションの詳細は、「oracle/http_oauth2_token_over_ssl_client_template」を参照してください。

構成

このポリシーは、oracle/ http_oauth2_token_over_ssl_client_policyポリシーに類似しており、subject.precedenceプロパティがデフォルトでfalseに設定されています。

このポリシーは、HTTPヘッダーにOAuth2アクセス・トークンを含めます。)アクセス・トークンは、Mobile and Social OAuth2サーバーから取得します。)また、アウトバウンド・トランスポート・プロトコルがHTTPSであることも検証します。HTTPS以外のトランスポート・プロトコルを使用した場合、リクエストは拒否されます。

このポリシーは、認証されたサブジェクトに基づいたものとは異なるアイデンティティを伝播することにより、動的なアイデンティティ切替えを実行します。このポリシーは、任意のHTTPベース、SOAPまたはRESTクライアントに割り当てることができます。

ポリシーを割り当てる場合、次のプロパティをオーバーライドできます。

- OAuth2トークン・リクエストの場合:

- scope

- authz.code (このリリースでは使用されません。)

- redirect.uri (このリリースでは使用されません。)

- ローカルにトークンを作成する場合:

- subject.precedence

- csf.map

- csf-key

- oauth2.client.csf.key

- federated.client.token

- user.attributes

- issuer.name

- oracle.oauth2.service

- user.roles.include

- keystore.sig.csf.key

- propagate.identity.context

- user.tenant.name

- include.certificate

- 一般:

- audience.uri

- reference.priority

- time.in.millis

ポリシー・ファイルは、WLSTを使用するか、手動で編集する必要があります。Fusion Middleware Controlを使用してポリシーを編集することはできません。構成できるアサーション属性の詳細は、「oracle/http_oauth2_token_over_ssl_client_template」を参照してください。

このポリシーとoracle/oauth2_config_client_policyをクライアント・アプリケーションに割り当てます。必要なoracle/oauth2_config_client_policyポリシーのtoken.uriプロパティは、OAuth2サーバーを指定します。

次の任意のOracle WSM JWTサービス・ポリシーもWebサービスに割り当てます。Oracle WSMのサーバー側エージェントがATを検証します。

- oracle/http_jwt_token_over_ssl_service_policy

- oracle/multi_token_over_ssl_rest_service_policy (REST)

- oracle/wss11_saml_or_username_token_with_message_protection_service_policy (SOAP)

認証されたサブジェクトのかわりにクライアント固有のユーザー名を使用できるようにするには、subject.precedenceをfalseに設定します。ユーザー名は、csf-keyのユーザー名プロパティからのみ取得されます。

subject.precedenceがfalseに設定され、csf-keyとユーザー名が構成されている場合、Webサービス・クライアント・アプリケーションにはoracle.wsm.security.WSIdentityPermission権限が必要です。つまり、Oracle WSMが外部から提供されるアイデンティティをアプリケーションから受け入れるには、そのアプリケーションがWSIdentityPermission権限を持つ必要があります。これにより、Oracle WSMが潜在的に悪質なアプリケーションからアイデンティティを提供されるのを回避します。

デフォルトでは、oracle/http_oauth2_token_identity_switch_over_ssl_client_policyアサーション・コンテンツは、次のように定義されています。

<orasp:http-oauth2-security
xmlns:orasp="http://schemas.oracle.com/ws/2006/01/securitypolicy"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication, security/msg-protection"
orawsp:name="Http OAuth2 Over SSL ">
<orasp:auth-header orasp:is-encrypted="false" orasp:is-signed="false"
orasp:mechanism="oauth2"/>
<orasp:require-tls orasp:algorithm-suite="Basic128"
orasp:include-timestamp="false" orasp:mutual-auth="false"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="HttpOAuth2OverSSLConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="subject.precedence">
<orawsp:Value>false</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="csf.map"/>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="csf-key">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="oauth2.client.csf.key">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="federated.client.token">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="scope">
<orawsp:Value/>
</orawsp:Property>
orawsp:Property orawsp:type="string" orawsp:contentType="optional"
orawsp:name="authz.code">
<orawsp:Value/>
</orawsp:Property>
orawsp:Property orawsp:type="string" orawsp:contentType="optional"
orawsp:name="redirect.uri">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="user.attributes">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="issuer.name">
<orawsp:Value/>
<orawsp:DefaultValue>www.oracle.com</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="oracle.oauth2.service">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="user.roles.include">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="keystore.sig.csf.key">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="reference.priority">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:name="propagate.identity.context" orawsp:type="string" orawsp:contentType="optional">
<orawsp:Value></orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="user.tenant.name">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional"
orawsp:name="audience.uri">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="include.certificate">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="time.in.millis">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:http-oauth2-security>

設定

表18-30を参照してください。

構成プロパティ

表18-27を参照してください。

17.80 oracle/http_jwt_token_over_ssl_service_policy

oracle/http_jwt_token_over_ssl_service_policyは、HTTPヘッダー内のJWTトークンに指定されているユーザー名を使用してユーザーを認証します。また、このポリシーは、トランスポート・プロトコルがHTTPSであることを検証します。HTTPS以外のトランスポート・プロトコルを介するリクエストは拒否されます。

表示名: Http JWT Token Over SSLサービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、HTTPベースのすべてのエンドポイントに適用できます。

アサーション

このポリシーには次のポリシー・アサーションが含まれています。

oracle/http_jwt_token_over_ssl_service_template。

このアサーションの詳細は、「oracle/http_jwt_token_over_ssl_service_template」を参照してください。

構成

http_jwt_token_service_policyは、HTTPヘッダー内のJWTトークンに指定されているユーザー名を使用してユーザーを認証します。デフォルトのポリシー構成では、非対称署名を使用してJWTトークンが署名されます(algorithm-suite属性がBasic128Sha256Rsa15に設定されています)。

また、このポリシーは、トランスポート・プロトコルがHTTPSであることを検証します。HTTPS以外のトランスポート・プロトコルを介するリクエストは拒否されます。このポリシーは、HTTPベースのすべてのエンドポイントに適用できます。

ポリシー・ファイルは手動で編集する必要があります。Fusion Middleware Controlを使用してポリシーを編集することはできません。構成できるアサーション属性の詳細は、「oracle/http_jwt_token_over_ssl_service_template」を参照してください。

デフォルトでは、oracle/http_jwt_token_over_ssl_service_policyアサーション・コンテンツは、次のように定義されています。

<orasp:http-jwt-security orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication" orawsp:name="Http JWT Security">
<orasp:auth-header orasp:algorithm-suite="Basic128Sha256Rsa15"
orasp:is-encrypted="false" orasp:is-signed="true" orasp:mechanism="jwt"/>
<orasp:require-tls orasp:include-timestamp="false" orasp:mutual-auth="false"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="HttpJwtConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="optional" orawsp:name="trusted.issuers" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="csf.map" orawsp:type="string"/>
<orawsp:Property orawsp:contentType="optional" orawsp:name="keystore.sig.csf.key" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="propagate.identity.context" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="reference.priority" orawsp:type="string"/>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:http-jwt-security>

設定

表18-36を参照してください。

構成プロパティ

表18-31を参照してください。

17.81 oracle/http_oauth2_token_opc_oauth2_client_policy

oracle/http_oauth2_token_opc_oauth2_client_policyは、HTTPヘッダーにOAuth2アクセス・トークンを含めます。アクセス・トークンは、Mobile & Social OAuth2サーバーから取得します。

表示名: HTTP OAuth2トークンOpc OAuth2クライアント・ポリシー

カテゴリ: セキュリティ

説明

oracle.oauth2.serviceプロパティはデフォルトでtrueに設定されているため、OAuth2サーバーのユーザーおよびJWTトークンの発行者としてクライアントIDが使用されます。scopeの値がない場合(デフォルト)、プロトコル、ホストおよびポート(使用可能な場合)をサービスURLから取得して使用します。このポリシーは、任意のHTTPベース、SOAPまたはRESTクライアントに割り当てることができます。

アサーション

このポリシーには、ポリシー・アサーションの設定および構成プロパティを定義する次のアサーション・テンプレートが含まれています:

oracle/http_oauth2_token_client_template

このアサーションの詳細は、「oracle/http_oauth2_token_client_template」を参照してください。

構成

このポリシーは、HTTPヘッダーにOAuth2アクセス・トークンを含めます。アクセス・トークンは、OracleクラウドのOAuthサーバーから取得します。

oracle.oauth2.serviceプロパティはデフォルトでtrueに設定されているため、OAuth2サーバーのユーザーおよびJWTトークンの発行者としてクライアントIDが使用されます。scopeが空(デフォルト)の場合、Oracle WSMがサービスURLを自動的に取得し、address:port部分をスコープとして使用します。

このポリシーは、任意のHTTPベース、SOAPまたはRESTクライアントに割り当てることができます。

ポリシーを割り当てる場合、次のプロパティをオーバーライドできます。

- OAuth2トークン・リクエストの場合:

- scope

- authz.code (このリリースでは使用されません。)

- redirect.uri (このリリースでは使用されません。)

- ローカルにトークンを作成する場合:

- subject.precedence

- csf.map

- csf-key

- oauth2.client.csf.key

- federated.client.token

- user.attributes

- issuer.name

- oracle.oauth2.service

- user.roles.include

- keystore.sig.csf.key

- propagate.identity.context

- user.tenant.name

- include.certificate

- 一般:

- audience.uri

- reference.priority

- time.in.millis

ポリシー・ファイルは、WLSTを使用するか、手動で編集する必要があります。Fusion Middleware Controlを使用してポリシーを編集することはできません。構成できるアサーション属性の詳細は、「oracle/http_oauth2_token_client_template」を参照してください。

オーバーライド可能な構成設定については、ポリシー構成プロパティのオーバーライドを参照してください。

このポリシーとoracle/oauth2_config_client_policyをクライアント・アプリケーションに割り当てます。oracle/oauth2_config_client_policyポリシーの必須プロパティtoken.uriは、OAuth2サーバーを指定します。

次の任意のOracle WSM JWTサービス・ポリシーもWebサービスに割り当てます。Oracle WSMのサーバー側エージェントがアクセス・トークンを検証します。

- oracle/http_jwt_token_service_policy

- oracle/multi_token_rest_service_policy (REST)

- oracle/wss11_saml_or_username_token_with_message_protection_service_policy (SOAP)

デフォルトでは、oracle/http_oauth2_token_opc_oauth2_client_policyアサーション・コンテンツは、次のように定義されています。

<orasp:http-oauth2-security
xmlns:orasp="http://schemas.oracle.com/ws/2006/01/securitypolicy"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication" orawsp:name="Http OAuth2">
<orasp:auth-header orasp:is-encrypted="false" orasp:is-signed="false"
orasp:mechanism="oauth2"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="HttpOAuth2Config">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="subject.precedence">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="csf.map"/>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="csf-key">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="oauth2.client.csf.key">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="federated.client.token">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="scope">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string"
orawsp:contentType="optional" orawsp:name="authz.code">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string"
orawsp:contentType="optional" orawsp:name="redirect.uri">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="user.attributes">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="issuer.name">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="oracle.oauth2.service">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="user.roles.include">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="keystore.sig.csf.key">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="reference.priority">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:name="propagate.identity.context" orawsp:type="string" orawsp:contentType="optional">
<orawsp:Value></orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="user.tenant.name">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string"
orawsp:contentType="optional" orawsp:name="audience.uri">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="include.certificate">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="time.in.millis">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:http-oauth2-security>

設定

表18-27を参照してください。

構成プロパティ

表18-28を参照してください。

17.82 oracle/http_oauth2_token_over_ssl_client_policy

oracle/http_oauth2_token_over_ssl_client_policyは、HTTPヘッダーにOAuth2アクセス・トークンを含めます。アクセス・トークン(AT)は、Mobile & Social OAuth2サーバーから取得します。このポリシーは、任意のHTTPベースのクライアントに割り当てることができます。

表示名: Http OAuth2 Token Over SSLクライアント・ポリシー

カテゴリ: セキュリティ

説明

ポリシーは、アウトバウンド・トランスポート・プロトコルがHTTPSであることを検証します。HTTPS以外のトランスポート・プロトコルを使用した場合、リクエストは拒否されます。

アサーション

このポリシーには、ポリシー・アサーションの設定および構成プロパティを定義する次のアサーション・テンプレートが含まれています:

oracle/http_oauth2_token_over_ssl_client_template

このアサーションの詳細は、「oracle/http_oauth2_token_over_ssl_client_template」を参照してください。

構成

このポリシーは、ATが一方向SSLでリソースに伝播される以外は、http_oauth2_token_client_policyと同じです。このポリシーは、HTTPヘッダーにOAuth2アクセス・トークンを含めます。ATは、Mobile and Social OAuth2サーバーから取得します。

ポリシーは、アウトバウンド・トランスポート・プロトコルがHTTPSであることを検証します。HTTPS以外のトランスポート・プロトコルを使用した場合、リクエストは拒否されます。このポリシーは、任意のHTTPベースのクライアントに割り当てることができます。

ポリシーを割り当てる場合、次のプロパティをオーバーライドできます。

- OAuth2トークン・リクエストの場合:

- scope

- authz.code (このリリースでは使用されません。)

- redirect.uri (このリリースでは使用されません。)

- ローカルにトークンを作成する場合:

- subject.precedence

- csf.map

- csf-key

- oauth2.client.csf.key

- federated.client.token

- user.attributes

- issuer.name

- oracle.oauth2.service

- user.roles.include

- keystore.sig.csf.key

- propagate.identity.context

- user.tenant.name

- include.certificate

- 一般:

- audience.uri

- reference.priority

- time.in.millis

ポリシー・ファイルは、WLSTを使用するか、手動で編集する必要があります。Fusion Middleware Controlを使用してポリシーを編集することはできません。構成できるアサーション属性の詳細は、「oracle/http_oauth2_token_over_ssl_client_template」を参照してください。

オーバーライド可能な構成設定については、ポリシー構成プロパティのオーバーライドを参照してください。

このポリシーとoracle/oauth2_config_client_policyをクライアント・アプリケーションに割り当てます。oracle/oauth2_config_client_policyポリシーの必須プロパティtoken.uriは、OAuth2サーバーを指定します。

次の任意のOracle WSM JWTサービス・ポリシーもWebサービスに割り当てます。Oracle WSMのサーバー側エージェントがATを検証します。

- oracle/http_jwt_token_over_ssl_service_policy

- oracle/multi_token_over_ssl_rest_service_policy (REST)

- oracle/wss11_saml_or_username_token_with_message_protection_service_policy (SOAP)

デフォルトでは、oracle/http_oauth2_token_over_ssl_client_policyアサーション・コンテンツは、次のように定義されています。

<orasp:http-oauth2-security xmlns:orasp="http://schemas.oracle.com/ws/2006/01/securitypolicy"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication, security/msg-protection"
orawsp:name="Http OAuth2 Over SSL ">
<orasp:auth-header orasp:is-encrypted="false" orasp:is-signed="false" orasp:mechanism="oauth2"/>
<orasp:require-tls orasp:algorithm-suite="Basic128" orasp:include-timestamp="false" orasp:mutual-auth="false"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="HttpOAuth2OverSSLConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="subject.precedence">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="csf.map"/>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="csf-key">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="oauth2.client.csf.key">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="federated.client.token">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="scope">
<orawsp:Value/>
</orawsp:Property>
orawsp:Property orawsp:type="string" orawsp:contentType="optional"
orawsp:name="authz.code">
<orawsp:Value/>
</orawsp:Property>
orawsp:Property orawsp:type="string" orawsp:contentType="optional"
orawsp:name="redirect.uri">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="user.attributes">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="issuer.name">
<orawsp:Value/>
<orawsp:DefaultValue>www.oracle.com</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="oracle.oauth2.service">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="user.roles.include">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="keystore.sig.csf.key">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="reference.priority">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:name="propagate.identity.context" orawsp:type="string" orawsp:contentType="optional">
<orawsp:Value></orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="user.tenant.name">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional"
orawsp:name="audience.uri">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="include.certificate">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="time.in.millis">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:http-oauth2-security>
<oralgp:Logging orawsp:Silent="true" orawsp:name="Log Message2" orawsp:Enforced="false" orawsp:category="security/logging">
<oralgp:msg-log>
<oralgp:request>all</oralgp:request>
<oralgp:response>all</oralgp:response>
<oralgp:fault>all</oralgp:fault>
</oralgp:msg-log>
<orawsp:bindings>
<orawsp:Config orawsp:name="Log Message2_properties">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="reference.priority"/>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:http-oauth2-security>

設定

表18-30を参照してください。

構成プロパティ

表18-27を参照してください。

17.83 oracle/http_jwt_token_over_ssl_service_policy

oracle/http_jwt_token_over_ssl_service_policyは、HTTPヘッダー内のJWTトークンに指定されているユーザー名を使用してユーザーを認証します。また、このポリシーは、トランスポート・プロトコルがHTTPSであることを検証します。HTTPS以外のトランスポート・プロトコルを介するリクエストは拒否されます。

表示名: Http JWT Token Over SSLサービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、HTTPベースのすべてのエンドポイントに適用できます。

アサーション

このポリシーには、oracle/http_jwt_token_over_ssl_service_templateポリシー・アサーションが含まれています。このアサーションの詳細は、「oracle/http_jwt_token_over_ssl_service_template」を参照してください。

構成

ポリシーの構成の詳細は、「oracle/http_jwt_token_client_policy」を参照してください。

17.84 oracle/oauth2_config_client_policy

oracle/oauth2_config_client_policyは、クライアント側のOAuth2情報を提供します。

表示名: OAuth2構成クライアント・ポリシー

カテゴリ: セキュリティ

説明

OAuth2の情報は、トークン交換でMobile and Social OAuth2サーバーを起動するために使用されます。

アサーション

このポリシーには、ポリシー・アサーションの設定および構成プロパティを定義する次のアサーション・テンプレートが含まれています:

oracle/oauth2_config_client_template

このアサーションの詳細は、「oracle/oauth2_config_client_template」を参照してください。

構成

このポリシーは、クライアント側のOAuth2情報を提供します。この情報は、トークン交換でMobile and Social OAuth2サーバーを起動するために使用されます。

このポリシーは、OAuth2トークン・クライアント・ポリシーも割り当てる場合にのみ実行されます。それ以外の場合、このパラメータは無視されます。通常、このポリシーはグローバルに、OAuth2トークン・クライアント・ポリシーはローカルに割り当てられます。

ポリシー・ファイルは、WLSTを使用するか、手動で編集する必要があります。Fusion Middleware Controlを使用してポリシーを編集することはできません。構成できるアサーション属性の詳細は、「oracle/oauth2_config_client_template」を参照してください。

token.uriプロパティを設定またはオーバーライドする必要があります。オーバーライド可能な構成設定については、ポリシー構成プロパティのオーバーライドを参照してください。

デフォルトでは、oracle/oauth2_config_client_policyアサーション・コンテンツは、次のように定義されています。

<orasp:oauth2-config
xmlns:orasp="http://schemas.oracle.com/ws/2006/01/securitypolicy"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
orasp:token-uri="http://host:port/tokens" orawsp:Enforced="true"
orawsp:Silent="true" orawsp:category="security/oauth2-config"
orawsp:name="OAuth2 Configuration">
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="OAuth2Config">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:name="role" orawsp:type="string" orawsp:contentType="constant">
<orawsp:Value/>
<orawsp:DefaultValue>ultimateReceiver</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:name="token.uri" orawsp:type="string" orawsp:contentType="optional">
<orawsp:Value/>
<orawsp:DefaultValue>http://host:port/tokens</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="required" orawsp:name="oauth2.client.csf.key">
<orawsp:Value/>
<orawsp:DefaultValue>basic.client.credentials</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="reference.priority"/>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:oauth2-config>

設定

表18-32を参照してください。

構成プロパティ

表18-33を参照してください。

17.85 oracle/http_jwt_token_client_policy

oracle/http_jwt_token_client_policyは、HTTPヘッダーにJWTトークンを含めます。JWTトークンは自動的に作成されます。発行者名とサブジェクト名は、プログラムによって、またはポリシーを介して宣言的に提供されます。

表示名: HTTP JWTトークン・クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーにはオーディエンス制限条件を指定できます。

このポリシーは、HTTPベースのクライアント・エンドポイントで実行できます。

アサーション

このポリシーには次のポリシー・アサーションが含まれています。

oracle/http_jwt_token_client_template

このアサーションの詳細は、「oracle/http_jwt_token_client_template」を参照してください。

構成

http_jwt_token_client_policyは、HTTPヘッダーにJWTトークンを含めます。JWTトークンは自動的に作成されます。発行者名とサブジェクト名は、プログラムによって、またはポリシーを介して宣言的に提供されます。このポリシーにはオーディエンス制限条件を指定できます。

このポリシーは、HTTPベースのどのクライアント・エンドポイントにも適用できます。

ポリシー・ファイルは手動で編集する必要があります。Fusion Middleware Controlを使用してポリシーを編集することはできません。構成できるアサーション属性の詳細は、「oracle/http_jwt_token_client_template」を参照してください。

デフォルトでは、oracle/http_jwt_token_client_policyアサーション・コンテンツは、次のように定義されています。

<orasp:http-jwt-security orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication"
orawsp:name="Http JWT Security">
<orasp:auth-header orasp:algorithm-suite="Basic128Sha256Rsa15"
orasp:is-encrypted="false" orasp:is-signed="true" orasp:mechanism="jwt"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="HttpJwtTokenConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="optional" orawsp:name="user.attributes" orawsp:type="string"/>
<orawsp:Property orawsp:contentType="optional" orawsp:name="issuer.name" orawsp:type="string">
<orawsp:Value>www.oracle.com</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="user.roles.include" orawsp:type="string">
<orawsp:Value>false</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="csf.map" orawsp:type="string"/>
<orawsp:Property orawsp:contentType="optional" orawsp:name="csf-key" orawsp:type="string">
<orawsp:Value>basic.credentials</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="subject.precedence" orawsp:type="string">
<orawsp:Value>true</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="audience.uri" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="keystore.sig.csf.key" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="propagate.identity.context" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="user.tenant.name" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="reference.priority" orawsp:type="string"/>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:http-jwt-security>

設定

表18-34を参照してください。

構成プロパティ

表18-35を参照してください。

17.86 oracle/http_jwt_token_over_ssl_client_policy

oracle/http_jwt_token_over_ssl_client_policyは、HTTPヘッダーにJWTトークンを含めます。JWTトークンは自動的に作成されます。発行者名とサブジェクト名は、プログラムによって、またはポリシーを介して宣言的に提供されます。

表示名: Http JWT Token Over SSLクライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーにはオーディエンス制限条件を指定できます。

また、このポリシーは、トランスポート・プロトコルがHTTPSであることを検証します。HTTPS以外のトランスポート・プロトコルを介するリクエストは拒否されます。

このポリシーは、HTTPベースのクライアント・エンドポイントで実行できます。

アサーション

このポリシーには、oracle/http_jwt_token_over_ssl_client_templateポリシー・アサーションが含まれています。このアサーションの詳細は、「oracle/http_jwt_token_over_ssl_client_template」を参照してください。

構成

ポリシーの構成の詳細は、「oracle/http_jwt_token_client_policy」を参照してください。

17.87 oracle/http_oauth2_token_identity_switch_opc_oauth2_over_ssl_client_policy

oracle/http_oauth2_token_identity_switch_opc_oauth2_over_ssl_client_policyは、HTTPヘッダーにOAuth2アクセス・トークンを含めます。アクセス・トークンは、OAuthサーバーから取得します。また、アウトバウンド・トランスポート・プロトコルがHTTPSであることも検証します。HTTPS以外のトランスポート・プロトコルを使用した場合、リクエストは拒否されます。このポリシーは、SSLを通じてサービスを呼び出す任意のHTTPベース、SOAPまたはRESTクライアントに割り当てることができます。

表示名: HTTP OAuth2トークン・アイデンティティ切替えOpc OAuth2 Over SSLクライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、認証されたサブジェクトに基づいたものとは異なるアイデンティティを伝播することにより、動的なアイデンティティ切替えも実行します。

subject.precedenceプロパティは、デフォルトでfalseに設定されています。oracle.oauth2.serviceプロパティはデフォルトでtrueに設定されているため、OAuth2サーバーのユーザーおよびクライアントJWTトークンの発行者としてクライアントIDが使用されます。

アサーション

このポリシーには、ポリシー・アサーションの設定および構成プロパティを定義する次のアサーション・テンプレートが含まれています:

oracle/http_oauth2_token_over_ssl_client_template

このアサーションの詳細は、「oracle/http_oauth2_token_over_ssl_client_template」を参照してください。

構成

このポリシーは、HTTPヘッダーにOAuth2アクセス・トークンを含めます。アクセス・トークンは、OracleクラウドのOAuthサーバーから取得します。

oracle.oauth2.serviceプロパティはデフォルトでtrueに設定されているため、OAuth2サーバーのユーザーおよびJWTトークンの発行者としてクライアントIDが使用されます。scopeが空(デフォルト)の場合、Oracle WSMがサービスURLを自動的に取得し、address:port部分をスコープとして使用します。

また、アウトバウンド・トランスポート・プロトコルがHTTPSであることも検証します。HTTPS以外のトランスポート・プロトコルを使用した場合、リクエストは拒否されます。このポリシーは、SSLを通じてサービスを呼び出す任意のHTTPベース、SOAPまたはRESTクライアントに割り当てることができます。

このポリシーは、認証されたサブジェクトに基づいたものとは異なるアイデンティティを伝播することにより、動的なアイデンティティ切替えも実行します。

ポリシーを割り当てる場合、次のプロパティをオーバーライドできます。

- OAuth2トークン・リクエストの場合:

- scope

- authz.code (このリリースでは使用されません。)

- redirect.uri (このリリースでは使用されません。)

- ローカルにトークンを作成する場合:

- subject.precedence

- csf.map

- csf-key

- oauth2.client.csf.key

- federated.client.token

- user.attributes

- issuer.name

- oracle.oauth2.service

- user.roles.include

- keystore.sig.csf.key

- propagate.identity.context

- user.tenant.name

- include.certificate

- 一般:

- audience.uri

- reference.priority

- time.in.millis

ポリシー・ファイルは、WLSTを使用するか、手動で編集する必要があります。Fusion Middleware Controlを使用してポリシーを編集することはできません。構成できるアサーション属性の詳細は、「oracle/http_oauth2_token_over_ssl_client_template」を参照してください。

このポリシーとoracle/oauth2_config_client_policyをクライアント・アプリケーションに割り当てます。必要なoracle/oauth2_config_client_policyポリシーのtoken.uriプロパティは、OAuth2サーバーを指定します。

次の任意のOracle WSM JWTサービス・ポリシーもWebサービスに割り当てます。Oracle WSMのサーバー側エージェントがATを検証します。

- oracle/http_jwt_token_over_ssl_service_policy

- oracle/multi_token_over_ssl_rest_service_policy (REST)

- oracle/wss11_saml_or_username_token_with_message_protection_service_policy (SOAP)

認証されたサブジェクトのかわりにクライアント固有のユーザー名を使用できるようにするには、subject.precedenceをfalseに設定します。ユーザー名は、csf-keyのユーザー名プロパティからのみ取得されます。

subject.precedenceがfalseに設定され、csf-keyとユーザー名が構成されている場合、Webサービス・クライアント・アプリケーションにはoracle.wsm.security.WSIdentityPermission権限が必要です。つまり、Oracle WSMが外部から提供されるアイデンティティをアプリケーションから受け入れるには、そのアプリケーションがWSIdentityPermission権限を持つ必要があります。これにより、Oracle WSMが潜在的に悪質なアプリケーションからアイデンティティを提供されるのを回避します。WSIdentityPermissionを使用した権限の設定のWSIdentityPermission権限の付与の説明を参照してください。

デフォルトでは、oracle/http_oauth2_token_identity_switch_opc_oauth2_over_ssl_client_policyアサーション・コンテンツは、次のように定義されています。

<orasp:http-oauth2-security
xmlns:orasp="http://schemas.oracle.com/ws/2006/01/securitypolicy"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication, security/msg-protection"
orawsp:name="Http OAuth2 Over SSL ">
<orasp:auth-header orasp:is-encrypted="false" orasp:is-signed="false"
orasp:mechanism="oauth2"/>
<orasp:require-tls orasp:algorithm-suite="Basic128"
orasp:include-timestamp="false" orasp:mutual-auth="false"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="HttpOAuth2OverSSLConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="subject.precedence">
<orawsp:Value>false</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="csf.map"/>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="csf-key">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="oauth2.client.csf.key">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="federated.client.token">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="scope">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional"
orawsp:name="authz.code">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string"
orawsp:contentType="optional" orawsp:name="redirect.uri">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="user.attributes">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="issuer.name">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="oracle.oauth2.service">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="user.roles.include">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="keystore.sig.csf.key">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="reference.priority">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:name="propagate.identity.context" orawsp:type="string" orawsp:contentType="optional">
<orawsp:Value></orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="user.tenant.name">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional"
orawsp:name="audience.uri">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="include.certificate">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="time.in.millis">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:http-oauth2-security>

設定

表18-30を参照してください。

構成プロパティ

表18-27を参照してください。

17.88 oracle/http_oauth2_token_opc_oauth2_over_ssl_client_policy

oracle/http_oauth2_token_opc_oauth2_over_ssl_client_policyは、HTTPヘッダーにOAuth2アクセス・トークンを含めます。アクセス・トークンは、Mobile & Social OAuth2サーバーから取得します。oracle.oauth2.serviceプロパティはデフォルトでtrueに設定されているため、OAuth2サーバーのユーザーおよびJWTトークンの発行者としてクライアントIDが使用されます。

表示名: HTTP OAuth2トークンOpc OAuth2 Over SSLクライアント・ポリシー

カテゴリ: セキュリティ

説明

scopeの値がない場合(デフォルト)、プロトコル、ホストおよびポート(使用可能な場合)をサービスURLから取得して使用します。

ポリシーは、アウトバウンド・トランスポート・プロトコルがHTTPSであることを検証します。HTTPS以外のトランスポート・プロトコルを使用した場合、リクエストは拒否されます。このポリシーは、任意のHTTPベースのクライアントに割り当てることができます。

アサーション

このポリシーには、ポリシー・アサーションの設定および構成プロパティを定義する次のアサーション・テンプレートが含まれています:

oracle/http_oauth2_token_over_ssl_client_template

このアサーションの詳細は、「oracle/http_oauth2_token_over_ssl_client_template」を参照してください。

構成

このポリシーは、HTTPヘッダーにOAuth2アクセス・トークンを含めます。アクセス・トークンは、OracleクラウドのOAuth2サーバーから取得します。

oracle.oauth2.serviceプロパティはデフォルトでtrueに設定されているため、OAuth2サーバーのユーザーおよびJWTトークンの発行者としてクライアントIDが使用されます。scopeが空(デフォルト)の場合、Oracle WSMがサービスURLを自動的に取得し、address:port部分をスコープとして使用します。

ポリシーは、アウトバウンド・トランスポート・プロトコルがHTTPSであることを検証します。HTTPS以外のトランスポート・プロトコルを使用した場合、リクエストは拒否されます。このポリシーは、HTTPベースのSOAPまたはRESTクライアントに割り当てることができます。

ポリシーを割り当てる場合、次のプロパティをオーバーライドできます。

- OAuth2トークン・リクエストの場合:

- scope

- authz.code (このリリースでは使用されません。)

- redirect.uri (このリリースでは使用されません。)

- ローカルにトークンを作成する場合:

- subject.precedence

- csf.map

- csf-key

- oauth2.client.csf.key

- federated.client.token

- user.attributes

- issuer.name

- oracle.oauth2.service

- user.roles.include

- keystore.sig.csf.key

- propagate.identity.context

- user.tenant.name

- include.certificate

- 一般:

- audience.uri

- reference.priority

- time.in.millis

ポリシー・ファイルは、WLSTを使用するか、手動で編集する必要があります。Fusion Middleware Controlを使用してポリシーを編集することはできません。構成できるアサーション属性の詳細は、「oracle/http_oauth2_token_over_ssl_client_template」を参照してください。

オーバーライド可能な構成設定については、ポリシー構成プロパティのオーバーライドを参照してください。

このポリシーとoracle/oauth2_config_client_policyをクライアント・アプリケーションに割り当てます。oracle/oauth2_config_client_policyポリシーの必須プロパティtoken.uriは、OAuth2サーバーを指定します。

次の任意のOracle WSM JWTサービス・ポリシーもWebサービスに割り当てます。Oracle WSMのサーバー側エージェントがATを検証します。

- oracle/http_jwt_token_over_ssl_service_policy

- oracle/multi_token_over_ssl_rest_service_policy (REST)

- oracle/wss11_saml_or_username_token_with_message_protection_service_policy (SOAP)

デフォルトでは、oracle/http_oauth2_token_opc_oauth2_over_ssl_client_policyアサーション・コンテンツは、次のように定義されています。

<orasp:http-oauth2-security
xmlns:orasp="http://schemas.oracle.com/ws/2006/01/securitypolicy"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication, security/msg-protection"
orawsp:name="Http OAuth2 Over SSL ">
<orasp:auth-header orasp:is-encrypted="false" orasp:is-signed="false"
orasp:mechanism="oauth2"/>
<orasp:require-tls orasp:algorithm-suite="Basic128"
orasp:include-timestamp="false" orasp:mutual-auth="false"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="HttpOAuth2OverSSLConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="subject.precedence">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="csf.map"/>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="csf-key">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="oauth2.client.csf.key">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="federated.client.token">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="scope">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional"
orawsp:name="authz.code">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional"
orawsp:name="redirect.uri">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="user.attributes">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="issuer.name">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="oracle.oauth2.service">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="user.roles.include">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="keystore.sig.csf.key">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="reference.priority">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:name="propagate.identity.context" orawsp:type="string" orawsp:contentType="optional">
<orawsp:Value></orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional" orawsp:name="user.tenant.name">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:type="string" orawsp:contentType="optional"
orawsp:name="audience.uri">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="include.certificate">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:type="boolean" orawsp:contentType="optional" orawsp:name="time.in.millis">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:http-oauth2-security>

設定

表18-30を参照してください。

構成プロパティ

表18-27を参照してください。

17.89 oracle/http_jwt_token_identity_switch_client_policy

oracle/http_jwt_token_identity_switch_client_policyは、認証されたサブジェクトに基づいたものとは異なるアイデンティティを伝播することにより、動的なアイデンティティ切替えを実行します。このポリシーは、HTTPヘッダーにJSON Webトークン(JWT)を含めます。JWTトークンは自動的に作成されます。発行者名とサブジェクト名は、プログラムによって、またはポリシーを介して宣言的に提供されます。このポリシーにはオーディエンス制限条件を指定できます。

表示名: HTTP JWTトークン・アイデンティティ切替えクライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、HTTPベース、SOAPまたはRESTクライアント・エンドポイントで実行できます。

アサーション

このポリシーには次のポリシー・アサーションが含まれています。

oracle/http_jwt_token_client_template

このアサーションの詳細は、「oracle/http_jwt_token_client_template」を参照してください。

構成

認証済サブジェクトに基づいたアイデンティティではなく、別のアイデンティティを伝播して、動的なアイデンティティ切替えを実行します。このポリシーは、HTTPヘッダーにJWTトークンを含めます。ポリシーがクライアントにより使用される場合、Oracle WSMによってJWTトークンが自動的に作成されます。発行者名とサブジェクト名は、プログラムによって、またはポリシーを介して宣言的に提供されます。このポリシーにはオーディエンス制限条件を指定できます。

このポリシーは、HTTPベース、SOAPまたはRESTクライアント・エンドポイントで実行できます。

ポリシー・ファイルは手動で編集する必要があります。Fusion Middleware Controlを使用してポリシーを編集することはできません。構成できるアサーション属性の詳細は、「oracle/http_jwt_token_client_template」を参照してください。

デフォルトでは、subject.precedenceプロパティがfalseに設定されていること以外は、oracle/http_jwt_token_identity_switch_client_policyアサーション・コンテンツとoracle/http_jwt_token_client_templateは同じです。

<orawsp:Property orawsp:contentType="optional" orawsp:name="subject.precedence" orawsp:type="string">
<orawsp:Value>true</orawsp:Value>
</orawsp:Property>

設定

表18-34を参照してください。

構成プロパティ

表18-35を参照してください。

17.90 oracle/binding_authorization_denyall_policy

oracle/binding_authorization_denyall_policyは、SOAPバインディング・レベルの認証されたサブジェクトに基づき、簡単なロール・ベースの認可ポリシーを提供します。

表示名: バインディング認可DenyAllポリシー

カテゴリ: セキュリティ

説明

このポリシーは、任意のロールを持つすべてのユーザーを拒否します。サブジェクトが作成されている認証ポリシーの後に続ける必要があり、SOAPベースの任意のエンドポイントに添付できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/binding_authorization_template

このアサーションはWSDLで通知されていません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-116に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- OPSSを設定する手順は次のとおりです。

- 1つ以上のWebLogic Serverエンタープライズ・ロールを指定する場合、認証されたサブジェクトにそのロールがすでに付与されている必要があります。ユーザーとグループの管理での説明に従って、WebLogic Server管理コンソールを使用してロールをユーザーまたはグループに付与します。

- Oracle WebLogic Server管理コンソール・オンライン・ヘルプの認証プロバイダとアイデンティティ・アサーション・プロバイダの構成に関する項で説明されているように、WebLogic認証プロバイダを構成します。

17.91 oracle/binding_authorization_permitall_policy

oracle/binding_authorization_permitall_policyは、SOAPバインディング・レベルの認証されたサブジェクトに基づき、リクエストに対して簡単なロール・ベースの認可を行います。このポリシーは、任意のロールを持つすべてのユーザーを許可します。

表示名: バインディング認可PermitAllポリシー

カテゴリ: セキュリティ

説明

サブジェクトが作成されている認証ポリシーの後に続ける必要があり、SOAPベースの任意のエンドポイントに添付できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/binding_authorization_template

このアサーションはWSDLで通知されていません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-116に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- OPSSを設定する手順は次のとおりです。

- 1つ以上のWebLogic Serverエンタープライズ・ロールを指定する場合、認証されたサブジェクトにそのロールがすでに付与されている必要があります。ユーザーとグループの管理での説明に従って、WebLogic Server管理コンソールを使用してロールをユーザーまたはグループに付与します。

- Oracle WebLogic Server管理コンソール・オンライン・ヘルプの認証プロバイダとアイデンティティ・アサーション・プロバイダの構成に関する項で説明されているように、WebLogic認証プロバイダを構成します。

17.92 oracle/binding_permission_authorization_policy

oracle/binding_permission_authorization_policyは、認証済のサブジェクトに基づく権限ベースの認可ポリシーを提供します。このポリシーは、サブジェクトが作成されている認証ポリシーの後に続ける必要があり、SOAPベースの任意のエンドポイントに添付できます。

表示名: バインディング権限ベース認可ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、サブジェクトに操作を実行する権限があることを保証します。これを行うため、認可ポリシー・エグゼキュータはOPSSを利用し、認証されたサブジェクトに、パラメータとして「リソース・パターン」と「アクション・パターン」を使用してoracle.wsm.security.WSFunctionPermission(または「権限チェック・クラス」で指定された任意の権限クラス)が付与されているかどうかを確認します。詳細は、「認可権限の決定」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/binding_permission_authorization_template

このアサーションはWSDLで通知されていません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-118に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- OPSSを設定する手順は次のとおりです。

- Fusion Middleware Controlを使用して、Webサービスに対する認証を試行するユーザー、グループまたはアプリケーションにWSFunctionPermission権限を付与します。

- オプションで、このポリシーのpermission_class構成プロパティを変更します。これは、JAAS標準に従って権限クラスを識別します。クラスは、サーバー・クラスパスに存在する必要があります。カスタムの権限クラスは、抽象的な権限クラスを拡張し、シリアライズ可能なインタフェースを実装する必要があります。http://docs.oracle.com/javase/7/docs/api/java/security/Permission.htmlにあるJavadocを参照してください。デフォルトは、oracle.wsm.security.WSFunctionPermissionです。

- Oracle WebLogic Server管理コンソール・オンライン・ヘルプの認証プロバイダとアイデンティティ・アサーション・プロバイダの構成に関する項で説明されているように、WebLogic認証プロバイダを構成します。

17.93 oracle/component_authorization_denyall_policy

oracle/component_authorization_denyall_policyは、認証されたサブジェクトに基づき、簡単なロールベースの認可ポリシーを提供します。

表示名: コンポーネント認可DenyAllポリシー

カテゴリ: セキュリティ

説明

このポリシーは、任意のロールを持つすべてのユーザーを拒否します。サブジェクトが作成されている認証ポリシーの後に続ける必要があり、SCAベースの任意のエンドポイントにアタッチできます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/component_authorization_template

このアサーションはWSDLで通知されていません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-120に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- OPSSを設定する手順は次のとおりです。

- 1つ以上のWebLogic Serverエンタープライズ・ロールを指定する場合、認証されたサブジェクトにそのロールがすでに付与されている必要があります。ユーザーとグループの管理での説明に従って、WebLogic Server管理コンソールを使用してロールをユーザーまたはグループに付与します。

- Oracle WebLogic Server管理コンソール・オンライン・ヘルプの認証プロバイダとアイデンティティ・アサーション・プロバイダの構成に関する項で説明されているように、WebLogic認証プロバイダを構成します。

17.94 oracle/component_authorization_permitall_policy

oracle/component_authorization_permitall_policyは、認証されたサブジェクトに基づき、簡単なロールベースの認可ポリシーを提供します。

表示名: コンポーネント認可PermitAllポリシー

カテゴリ: セキュリティ

説明

このポリシーは、任意のロールを持つすべてのユーザーを許可します。サブジェクトが作成されている認証ポリシーの後に続ける必要があり、SCAベースの任意のエンドポイントにアタッチできます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/component_authorization_template

このアサーションはWSDLで通知されていません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-120に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- OPSSを設定する手順は次のとおりです。

- 1つ以上のWebLogic Serverエンタープライズ・ロールを指定する場合、認証されたサブジェクトにそのロールがすでに付与されている必要があります。ユーザーとグループの管理での説明に従って、WebLogic Server管理コンソールを使用してロールをユーザーまたはグループに付与します。

- Oracle WebLogic Server管理コンソール・オンライン・ヘルプの認証プロバイダとアイデンティティ・アサーション・プロバイダの構成に関する項で説明されているように、WebLogic認証プロバイダを構成します。

17.95 oracle/component_permission_authorization_policy

oracle/component_permission_authorization_policyは、認証済のサブジェクトに基づく権限ベースの認可ポリシーを提供します。このポリシーは、サブジェクトが作成されている認証ポリシーの後に続ける必要があり、SCAベースの任意のエンドポイントにアタッチできます。

表示名: コンポーネント権限ベース認可ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、サブジェクトに操作を実行する権限があることを保証します。これを行うため、認可ポリシー・エグゼキュータはOPSSを利用し、認証されたサブジェクトに、パラメータとして「リソース・パターン」と「アクション・パターン」を使用してoracle.wsm.security.WSFunctionPermission(または「権限チェック・クラス」で指定された任意の権限クラス)が付与されているかどうかを確認します。「リソース・パターン」と「アクション・パターン」は、認可アサーションがこの特定のリクエストに対して実行されるかどうかを識別するために使用されます。認証されたサブジェクトにWSFunctionPermissionが付与されている場合、アクセスは許可されます。詳細は、「認可権限の決定」を参照してください。

WSFunctionPermission権限を、ユーザー、グループまたはアプリケーション・ロールに付与できます。WSFunctionPermissionをユーザーまたはグループに付与した場合、この権限は、ドメインにデプロイされているすべてのアプリケーションに適用されます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/component_permission_authorization_template

このアサーションはWSDLで通知されていません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-123に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- OPSSを設定する手順は次のとおりです。

- Fusion Middleware Controlを使用して、Webサービスに対する認証を試行するユーザー、グループまたはアプリケーションにWSFunctionPermission権限を付与します。

- Oracle WebLogic Server管理コンソール・オンライン・ヘルプの認証プロバイダとアイデンティティ・アサーション・プロバイダの構成に関する項で説明されているように、WebLogic認証プロバイダを構成します。

17.96 oracle/no_authorization_component_policy

oracle/no_authorization_component_policyは動作無効ポリシーです。SOAコンポーネントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされた認可ポリシーを上位スコープで効率よく無効化します。

表示名: 認可コンポーネント動作無効ポリシー

カテゴリ: セキュリティ

説明

グローバルにアタッチされたポリシーに、認可アサーションに加えて他のアサーションが含まれる場合、そのアサーションも無効化されます。この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-44は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-44 oracle/no_authorization_component_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.97 oracle/no_authorization_service_policy

oracle/no_authorization_service_policyは動作無効ポリシーです。サービス・エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされた認可ポリシーを上位スコープで効率よく無効化します。

表示名: 認可サービス動作無効ポリシー

カテゴリ: セキュリティ

説明

グローバルにアタッチされたポリシーに、認可アサーションに加えて他のアサーションが含まれる場合、そのアサーションも無効になります。この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-45は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-45 oracle/no_authorization_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.98 oracle/whitelist_authorization_policy

oracle/whitelist_authorization_policyは、ロール・ベースの認可ポリシーの特殊なケースであり、指定された条件が真である場合にのみリクエストを受け入れます。

表示名: 制約ベース認可ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、ロールベースの認可ポリシーの特殊なケースです。このポリシーは、SOAPベースのすべてのエンドポイントにアタッチできます。

次のいずれかの条件が該当する場合のみ、リクエストを受け取ります。

- 認証されたトークンがSAML送信者保証の場合。

- ユーザーが特定のロールの場合(デフォルトはtrustedEnterpriseRoleであり、ユーザーを信頼できるエンティティとして確立します

- リクエストがプライベート・ネットワークから届いている場合。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/binding_authorization_template

このアサーションはWSDLで通知されていません。

構成

このポリシーを構成する手順は次のとおりです。

- whitelist_authorization_policyがアタッチされたサービスを正常に起動するには、次のいずれかの操作を実行する必要があります。

- サービスが認証でSAML送信者保証を受け入れる場合(たとえば、SAMLトークン・サービス・ポリシーがサービスにアタッチされている場合)、対応するSAMLトークン・クライアント・ポリシーをクライアントにアタッチする必要があります。

- サービスが認証でユーザー名/パスワードを受け入れる場合(たとえば、ユーザー名トークン・サービス・ポリシーがサービスに添付されている場合)、対応するユーザー名トークン・クライアント・ポリシーをクライアントに添付し、クライアントが、ポリシーで定義される信頼できるロールであることを確認する必要があります。(デフォルトでは、事前定義済ポリシーで定義されるロールはtrustedEnterpriseRoleです。事前定義済ポリシー内のこのロールを変更する必要があります。)

- サービスが、Oracle HTTP Serverを使用して起動され、プライベート内部ネットワークからのリクエストであることを示すよう構成されている場合(「リクエスト元を指定するためのOracle HTTP Serverの構成」を参照)、内部ネットワーク上のクライアントのみが、対応するユーザー名トークン・クライアント・ポリシーをクライアント側でアタッチする必要があります。

- OPSSを設定する手順は次のとおりです。

- 1つ以上のWebLogic Serverエンタープライズ・ロールを指定する場合、認証されたサブジェクトにそのロールがすでに付与されている必要があります。ユーザーとグループの管理での説明に従って、WebLogic Server管理コンソールを使用してロールをユーザーまたはグループに付与します。

- Oracle WebLogic Server管理コンソール・オンライン・ヘルプの認証プロバイダとアイデンティティ・アサーション・プロバイダの構成に関する項で説明されているように、WebLogic認証プロバイダを構成する必要があります。

- 「制約パターン」プロパティ設定には、リクエストが内部ネットワークまたは外部ネットワークから発行されたかどうかを指定するrequestOriginフィールドが含まれています。このプロパティは、Oracle HTTP Serverを使用しており、Oracle HTTP Server管理者がカスタムのVIRTUAL_HOST_TYPEヘッダーをリクエストに追加した場合のみ有効です。Oracle HTTP Serverを構成するには、「リクエスト元を指定するためのOracle HTTP Serverの構成」を参照してください。

17.99 oracle/no_messageprotection_client_policy

oracle/no_messageprotection_client_policyは動作無効ポリシーです。クライアント・エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたメッセージ保護ポリシーを上位スコープで効率よく無効化します。

表示名: メッセージ保護クライアント動作無効ポリシー

カテゴリ: セキュリティ

説明

グローバルにアタッチされたポリシーに、メッセージ保護アサーションに加えて他のアサーションが含まれる場合、そのアサーションも無効化されます。この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-46は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-46 oracle/no_messageprotection_client_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.100 oracle/no_messageprotection_service_policy

oracle/no_messageprotection_service_policyは、動作無効ポリシーであり、サービス・エンドポイントに直接添付されている場合、または下位スコープでグローバルに添付されている場合、グローバルに添付されたメッセージ保護ポリシーを上位スコープで効率よく無効化します。

表示名: メッセージ保護サービス動作無効ポリシー

カテゴリ: セキュリティ

説明

グローバルにアタッチされたポリシーに、メッセージ保護アサーションに加えて他のアサーションが含まれる場合、そのアサーションも無効化されます。この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

このポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-47は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-47 oracle/no_messageprotection_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.101 oracle/wss10_message_protection_client_policy

oracle/wss10_message_protection_client_policyは、WS-Security 1.0標準に従って、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)を実行します。

表示名: Wss10メッセージ保護クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-39に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- OPSSを構成するには、「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアおよびWebサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- WS-Security 1.0標準に準拠して、セキュリティ・ヘッダーに署名要素および暗号化要素を組み込むことができます。

次の例(SOAPメッセージのWS-Security 1.0メッセージ整合性)は、セキュリティ・ヘッダーに含まれる署名の一般的な構造を示しています。この例では、SOAPメッセージの本体要素が署名されています。

<dsig:Signature xmlns:dsig="http://www.w3.org/2000/09/xmldsig#">
<dsig:SignedInfo>
<dsig:CanonicalizationMethod    Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
<dsig:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>
<dsig:Reference URI="#Timestamp-...">
<dsig:Transforms>
<dsig:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
</dsig:Transforms>
<dsig:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
<dsig:DigestValue>...</dsig:DigestValue>
</dsig:Reference>
<dsig:Reference URI="#Body-...">
<dsig:Transforms>
<dsig:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/>
</dsig:Transforms>
<dsig:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
<dsig:DigestValue>...</dsig:DigestValue>
</dsig:Reference>
<dsig:Reference URI="#KeyInfo-...">
<dsig:Transforms>
<dsig:Transform
Algorithm="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#STR-Transform">
<TransformationParameters xmlns="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd">
<CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#" xmlns="http://www.w3.org/2000/09/xmldsig#"/>
</TransformationParameters>
</dsig:Transform>
</dsig:Transforms>
<dsig:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/>
<dsig:DigestValue>...</dsig:DigestValue>
</dsig:Reference>
</dsig:SignedInfo>
<dsig:SignatureValue>....</dsig:SignatureValue>
<dsig:KeyInfo Id="KeyInfo-...">
<wsse:SecurityTokenReference xmlns="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd">
<wsse:KeyIdentifier ValueType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-x509-token-profile-1.0#X509SubjectKeyIdentifier"
EncodingType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#Base64Binary">
...</wsse:KeyIdentifier>
</wsse:SecurityTokenReference>
</dsig:KeyInfo>
</dsig:Signature>

次の例(SOAPメッセージのWS-Security 1.0メッセージ機密保護)に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

<env:Body xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd" wsu:Id="Body-JA9fsCRnqbFJ0ocBAMKb7g22">
<xenc:EncryptedData xmlns:xenc="http://www.w3.org/2001/04/xmlenc#" Type="http://www.w3.org/2001/04/xmlenc#Content" Id="...">
<xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#aes256-cbc"/>
<xenc:CipherData>
<xenc:CipherValue>...</xenc:CipherValue>
</xenc:CipherData>
</xenc:EncryptedData>
</env:Body>

17.102 oracle/wss10_message_protection_service_policy

oracle/wss10_message_protection_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)を実行します。

表示名: Wss10メッセージ保護サービス・ポリシー

カテゴリ: セキュリティ

説明

メッセージは、WS-Securityの非対称鍵テクノロジのBasic 128スイートを使用して保護されます。具体的には、RSA鍵メカニズム(メッセージの機密性)、SHA-1ハッシュ・アルゴリズム(メッセージの整合性)、およびAES-128ビットの暗号化が使用されます。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-40に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。また、メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、さらにCAルート証明書も格納する必要があります。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

17.103 oracle/wss11_message_protection_client_policy

oracle/wss11_message_protection_client_policyは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストにメッセージの整合性および機密保護を提供します。

表示名: Wss11メッセージ保護クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

対称鍵テクノロジは、データの暗号化と復号化に同じ共有鍵を使用する暗号化メソッドです。対称鍵は、メッセージへの署名に使用されます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-42に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアおよびWebサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.enc.csf.keyの値を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- このポリシーは対称鍵テクノロジを使用します。このテクノロジは、データの暗号化と復号化に同じ共有鍵を使用する暗号化メソッドです。対称鍵は、メッセージへの署名に使用されます。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

次の例(SOAPメッセージのWS-Security 1.1メッセージ機密保護)に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

<xenc:EncryptedKey xmlns:xenc="http://www.w3.org/2001/04/xmlenc#" Id="EK-...">
<xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-oaep-mgf1p">
<dsig:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1" xmlns:dsig="http://www.w3.org/2000/09/xmldsig#" />
</xenc:EncryptionMethod>
<dsig:KeyInfo xmlns:dsig="http://www.w3.org/2000/09/xmldsig#">
<wsse:SecurityTokenReference xmlns="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd">
<wsse:KeyIdentifier ValueType="http://docs.oasis-open.org/wss/oasis-wss-soap-message-security-1.1#ThumbprintSHA1"
EncodingType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#Base64Binary">...</wsse:KeyIdentifier>
</wsse:SecurityTokenReference>
</dsig:KeyInfo>
<xenc:CipherData>
<xenc:CipherValue>...</xenc:CipherValue>
</xenc:CipherData>
<xenc:ReferenceList>
<xenc:DataReference URI="#_..." />
</xenc:ReferenceList>
</xenc:EncryptedKey>
<env:Body xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd" wsu:Id="Body-...">
<xenc:EncryptedData xmlns:xenc="http://www.w3.org/2001/04/xmlenc#" Type="http://www.w3.org/2001/04/xmlenc#Content" Id="...">
<xenc:EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#aes256-cbc" />
<dsig:KeyInfo xmlns:dsig="http://www.w3.org/2000/09/xmldsig#">
<wsse:SecurityTokenReference xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd"
xmlns="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd">
<wsse:Reference URI="#EK-..." ValueType="http://docs.oasis-open.org/wss/oasis-wss-soap-message-security-1.1#EncryptedKey" />
</wsse:SecurityTokenReference>
</dsig:KeyInfo>
<xenc:CipherData>
<xenc:CipherValue>...</xenc:CipherValue>
</xenc:CipherData>
</xenc:EncryptedData>
</env:Body>

17.104 oracle/wss11_message_protection_service_policy

oracle/wss11_message_protection_service_policyは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストにメッセージの整合性および機密保護を実行します。

表示名: Wss11メッセージ保護サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-43に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- OPSSを設定する手順は次のとおりです。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。
(メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。また、メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、さらにCAルート証明書も格納する必要があります。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.enc.csf.keyの値を指定します。

17.105 oracle/pii_security_policy

oracle/pii_security_policyは保護するPII (Personally Identifiable Information)データを暗号化します。

表示名: PIIセキュリティ・ポリシー

カテゴリ: セキュリティ

説明

保護する個人を特定できる情報(PII)データを暗号化します。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/pii_security_template

このアサーションはWSDLで通知されていません。

構成

表18-102に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

17.106 oracle/sts_trust_config_client_policy

oracle/sts_trust_config_client_policyは、トークン交換用のSTS呼出しに使用されるSTSクライアント構成情報を指定します。

表示名: STS信頼構成クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーを使用するのは、「STSの自動ポリシー構成の設定」で説明されている自動(クライアントSTS)ポリシー構成を使用していない場合のみです。

oracle/sts_trust_config_client_policyの複数のインスタンスをアタッチした場合に、エラーは生成されません。しかし、実行されるのは1つのインスタンスのみであり、それをどのインスタンスにするかを制御できません。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/sts_trust_config_client_template

このアサーションは通知されていません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-104に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「STSの自動ポリシー構成の設定」で説明されているように、WebサービスからSTS構成ポリシーを構成します。

- ただし、WebサービスからSTS構成ポリシーを構成しなかった場合、またはSAML送信者保証による確認方法を使用している場合は、Webサービス・クライアントからSTS構成ポリシーを構成する必要があります。詳細は、「Webサービス・クライアントからのSTS構成ポリシーの手動による構成: メイン手順」を参照してください。

設計時の考慮事項

次の例に示すように、設計時に、oracle/sts_trust_config_client_policyポリシーをプログラムによって設定し、アタッチできます。

URL endpointUrl = new URL(getWebConnectionString() + "/jaxws-test-service/jaxws-test-port");

ServiceDelegateImpl client = new ServiceDelegateImpl(
new  URL(endpointUrl.toString() + "?WSDL"),
new QName("http://jaxws.example.com/targetNamespace/JaxwsService", "JaxwsService"),
OracleService.class);

JaxwsService port = client.getPort(
new  QName("http://jaxws.example.com/targetNamespace/JaxwsService", "JaxwsServicePort"),
test.jaxws.client.JaxwsService.class);

((BindingProvider)port).getRequestContext().put(BindingProvider.ENDPOINT_ADDRESS_PROPERTY,endpointUrl.toExternalForm());
((BindingProvider)port).getRequestContext().put(ClientConstants.CLIENT_CONFIG,
fileToElement(new File("./jaxws/client/dat/oracle-webservice-client.xml")));

次の例は、STS構成ポリシーおよびSTS発行ポリシーに関連するoracle-webservice-client.xmlファイルを示しています。

<?xml version="1.0" encoding="UTF-8"?>
<oracle-webservice-clients>
<webservice-client>
<port-info>
<policy-references>
<policy-reference uri="oracle/sts_trust_config_client_policy" category="security"/>
<policy-reference uri="oracle/wss11_sts_issue_saml_hok_with_message_protection_client_policy " category="security"/>
</policy-references>
</port-info>
</webservice-client>
</oracle-webservice-clients>

17.107 oracle/sts_trust_config_service_policy

oracle/sts_trust_config_service_policyは、トークン交換用のSTS呼出しに使用されるSTS構成情報を指定します。

表示名: STS信頼構成サービス・ポリシー

カテゴリ: セキュリティ

説明

トークン交換用のSTSの呼出しに使用されるSTS構成情報を指定します。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/sts_trust_config_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-106に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「STSの自動ポリシー構成の設定」で説明されているように、Webサービスを設定します。

17.108 oracle/wss_saml_bearer_or_username_token_service_policy

oracle/wss_saml_bearer_or_username_token_service_policyは、クライアントがSAMLまたはユーザー名トークンのいずれを使用するかに基づいて、認証ポリシーを強制します。

表示名: WSSecurity SAMLトークンBearer/WSSecurityユーザー名トークン

カテゴリ: セキュリティ

説明

クライアントがSAMLトークンとユーザー名トークンのどちらを使用するかに基づいて、それぞれ次の認証ポリシーのいずれかを実行します。

- Bearer確認タイプを使用するWS-Security SOAPヘッダー内のSAMLトークン。

- 構成済のアイデンティティ・ストアに対してユーザーを認証するWS-Security UsernameToken SOAPヘッダー。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

アサーション(ORグループ)

このポリシーには、次のアサーションがORグループとして含まれます。つまり、クライアントはどちらのタイプのポリシーでも実行できます。

- oracle/wss_saml_token_bearer_service_template

- oracle/wss_username_token_service_template。

アサーションはWSDLで通知されています。

17.109 oracle/wss_saml_or_username_token_service_policy

oracle/wss_saml_or_username_token_service_policyは、クライアントがSAMLまたはユーザー名トークンのいずれを使用するかに基づいて、認証ポリシーを強制します。

表示名: Wss SAMLトークン/Wssユーザー名トークン・サービス・ポリシー

カテゴリ: セキュリティ

説明

クライアントがSAMLトークンとユーザー名トークンのどちらを使用するかに基づいて、それぞれ次の認証ポリシーのいずれかを実行します。

- sender-vouchesの確認タイプを使用したWS-Security SOAPヘッダー内のSAMLトークン。

- 構成済のアイデンティティ・ストアに対してユーザーを認証するWS-Security UsernameToken SOAPヘッダー。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

アサーション(ORグループ)

このポリシーには、次のアサーション・テンプレートに基づくアサーションがORグループとして含まれます。つまり、クライアントはいずれかのトークンを送信できます。

- oracle/wss10_saml_token_service_template

- oracle/wss_username_token_service_template。

アサーションはWSDLで通知されています。

構成

このポリシーの構成については、次のポリシーの説明を参照してください。

- oracle/wss10_saml_token_service_policy

- oracle/wss_username_token_service_policy.

17.110 oracle/wss_saml_or_username_token_over_ssl_service_policy

oracle/wss_saml_or_username_token_over_ssl_service_policyは、メッセージ保護(整合性と機密保護)を実行し、クライアントがSAMLまたはユーザー名トークンを使用するかどうかに基づいて、認証ポリシーを強制します。

表示名: Wss SAML Token/Wss Username Token Over SSLサービス・ポリシー

カテゴリ: セキュリティ

説明

メッセージ保護(整合性と機密保護)を実行し、クライアントがSAMLトークンとユーザー名トークンのどちらを使用するかに基づいて、それぞれ次の認証ポリシーのいずれかを実行します。

- sender-vouchesの確認タイプを使用したWS-Security SOAPヘッダー内のSAMLトークン。

- 構成済のアイデンティティ・ストアに対してユーザーを認証するWS-Security UsernameToken SOAPヘッダー。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

アサーション(ORグループ)

このポリシーには、次のアサーション・テンプレートに基づくアサーションがORグループとして含まれます。つまり、クライアントはいずれかのトークンを送信できます。

- oracle/wss_saml_token_over_ssl_service_template。

- oracle/wss_username_token_over_ssl_client_template

アサーションはWSDLで通知されています。

構成

このポリシーの構成については、次のポリシーの説明を参照してください。

- oracle/wss_saml_token_over_ssl_service_policy

- oracle/wss_username_token_over_ssl_service_policy

17.111 oracle/wss_saml_token_bearer_client_policy

oracle/wss_saml_token_bearer_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンを含めます。

Display Name: Wss SAMLトークン(Bearer確認方式)クライアント・ポリシー

カテゴリ: セキュリティ

説明

確認方法がBearerのSAMLトークンが自動的に作成されます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml_token_bearer_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-52に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、クライアント側でSAMLを構成します。

17.112 oracle/wss_saml_token_bearer_over_ssl_client_policy

oracle/wss_saml_token_bearer_over_ssl_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンを含めます。また、このポリシーは、トランスポート・プロトコルによりSSLメッセージ保護が提供されることも検証します。

表示名: Wss SAML Token Over SSL (Bearer確認方式)クライアント・ポリシー

カテゴリ: セキュリティ

説明

確認方法がBearerのSAMLトークンが自動的に作成されます。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml_token_bearer_over_ssl_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-52に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、クライアント側でSAMLを構成します。

17.113 oracle/wss_saml_token_bearer_over_ssl_service_policy

oracle/wss_saml_token_bearer_over_ssl_service_policyは、WS-Security SOAPヘッダー内の確認方法がBearerのSAMLトークンに含まれる資格証明を使用してユーザーを認証します。

表示名: Wss SAML Token Over SSL (Bearer確認方式)サービス・ポリシー

カテゴリ: セキュリティ

説明

SAMLトークンに含まれる資格証明は、SAMLログイン・モジュールに対して認証されます。このポリシーは、トランスポート・プロトコルでSSLメッセージの保護が提供されていることを検証します。このポリシーは、SOAPベースのエンドポイントで実行できます。

SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml_token_bearer_over_ssl_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-53に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- saml.loginmoduleログイン・モジュールを構成します。詳細は、「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」を参照してください。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

- 「SAMLの構成について」で説明されているように、SAMLを構成してOPSSを設定します。

17.114 oracle/wss_http_token_over_ssl_client_policy

oracle/wss_http_token_over_ssl_client_policyは、アウトバウンド・クライアント・リクエストのHTTPヘッダーに資格証明を組み込み、OPSSアイデンティティ・ストアに対してユーザーを認証し、トランスポート・プロトコルがHTTPSであることを検証します。クライアントは、HTTPヘッダーに資格証明を渡す必要があります。

表示名: Wss HTTP Token Over SSLクライアント・ポリシー

カテゴリ: セキュリティ

説明

HTTPS以外のトランスポート・プロトコルを介するリクエストは拒否されます。このポリシーは、HTTPベースのクライアントで実行できます。

注意:

現在サポートされているのはHTTP Basic認証のみです。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_http_token_over_ssl_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-45に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「Webサービス・クライアントへの一方向SSLの構成」で説明されているように、一方向SSLを構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、csf-keyの値を指定します。この値は、ユーザー名/パスワードにマッピングされているキーを表しています。資格証明ストアに鍵を追加する方法の詳細は、「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- クライアントは、HTTPヘッダーに資格証明を渡す必要があります。

17.115 oracle/wss_http_token_over_ssl_service_policy

oracle/wss_http_token_over_ssl_service_policyは、HTTPヘッダー内の資格証明を抽出して、OPSSアイデンティティ・ストアに対してユーザーを認証し、トランスポート・プロトコルがHTTPSであることを検証します。

表示名: Wss HTTP Token Over SSLサービス・ポリシー

カテゴリ: セキュリティ

説明

HTTPS以外のトランスポート・プロトコルを介するリクエストは拒否されます。このポリシーは、HTTPベースのエンドポイントで実行できます。

注意:

このポリシーの機能は、oracle/http_basic_auth_over_ssl_service_policyに似ています。唯一の相違は、oracle/wss_http_token_over_ssl_service_policyでは、require-tls要素内のinclude-timestamp属性を有効化して、リプレイ攻撃を防止できることです。これは、RESTfulサービスには適用されません。require-tls要素の詳細は、「orasp:require-tls要素」を参照してください。

現在サポートされているのはHTTP Basic認証のみです。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_http_token_over_ssl_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-46に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「Webサービス・クライアントへの一方向SSLの構成」で説明されているように、一方向SSLを構成します。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

17.116 oracle/wss_saml_token_over_ssl_client_policy

oracle/wss_saml_token_over_ssl_client_policyは、確認タイプsender-vouchesを使用して、アウトバウンドWS-Security SOAPヘッダーに、SAMLトークンを組み込みます。このポリシーは、トランスポート・プロトコルでSSLメッセージの保護が提供されていることを検証します。

表示名: Wss SAML Token Over SSLクライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、SOAPベースのクライアントで実行できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml_token_over_ssl_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-58に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、クライアント側でSAMLを構成します。

17.117 oracle/wss_saml_token_over_ssl_service_policy

oracle/wss_saml_token_over_ssl_service_policyは、確認タイプsender-vouchesを使用した、WS-Security SOAPヘッダー内のSAMLトークンに指定されている資格証明の認証を実行し、トランスポート・プロトコルがSSLメッセージ保護を提供していることを検証します。

表示名: Wss SAML Token Over SSLサービス・ポリシー

カテゴリ: セキュリティ

説明

SAMLトークンは、構成済のアイデンティティ・ストアのユーザーにマッピングされます。このポリシーは、SOAPベースのエンドポイントで実行できます。

SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml_token_over_ssl_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-59に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- 「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」で説明しているように、saml.loginmoduleログイン・モジュールを構成します。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それをプロバイダに渡します。

- 「SAMLの構成について」で説明されているように、SAMLを構成してOPSSを設定します。

17.118 oracle/wss_saml20_token_bearer_over_ssl_client_policy

oracle/wss_saml20_token_bearer_over_ssl_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンを組み込み、トランスポート・プロトコルでSSLメッセージ保護が提供されていることを検証します。

表示名: Wss SAML V2.0 Token Over SSL (Bearer確認方式)クライアント・ポリシー

カテゴリ: セキュリティ

説明

確認方法がBearerのSAMLトークンが自動的に作成されます。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml20_token_bearer_over_ssl_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-55に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

- 「構成」ページでpropagate.identity.contextの値を指定するか、ポリシーをアタッチするときに「セキュリティ構成の詳細」コントロールを使用して、クライアントごとにこの値をオーバーライドします。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、クライアント側でSAMLを構成します。

17.119 oracle/wss_saml20_token_bearer_over_ssl_service_policy

oracle/wss_saml20_token_bearer_over_ssl_service_policyは、WS-Security SOAPヘッダー内の確認方式がBearerとなっているSAMLトークンに指定されている資格証明を使用してユーザーを認証し、トランスポート・プロトコルがSSLメッセージ保護を提供していることを検証します。

表示名: Wss SAML V2.0 Token Over SSL (Bearer確認方式)サービス・ポリシー

カテゴリ: セキュリティ

説明

SAMLトークンに含まれる資格証明は、SAMLログイン・モジュールに対して認証されます。このポリシーは、SOAPベースのエンドポイントで実行できます。

SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml20_token_bearer_over_ssl_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-56に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- 「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」で説明しているように、saml2.loginmoduleログイン・モジュールを構成します。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それをプロバイダに渡します。

- 「SAMLの構成について」で説明されているように、SAMLを構成してOPSSを設定します。

17.120 oracle/wss_saml20_token_over_ssl_client_policy

oracle/wss_saml20_token_over_ssl_client_policyは、確認タイプsender-vouchesを使用して、アウトバウンドWS-Security SOAPヘッダーにSAMLトークンを組み込み、トランスポート・プロトコルでSSLメッセージ保護が提供されていることを検証します。

表示名: Wss SAML V2.0 Token Over SSLクライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、SOAPベースのクライアントで実行できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml20_token_over_ssl_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-61に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、クライアント側でSAMLを構成します。

17.121 oracle/wss_saml20_token_over_ssl_service_policy

oracle/wss_saml20_token_over_ssl_service_policyは、確認タイプsender-vouchesを使用した、WS-Security SOAPヘッダー内のSAMLトークンに指定されている資格証明の認証を実行し、トランスポート・プロトコルがSSLメッセージ保護を提供していることを検証します。

表示名: Wss SAML V2.0 Token Over SSLサービス・ポリシー

カテゴリ: セキュリティ

説明

SAMLトークンは、構成済のアイデンティティ・ストアのユーザーにマッピングされます。このポリシーは、SOAPベースのエンドポイントで実行できます。

SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml20_token_over_ssl_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-56に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- 「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」で説明しているように、saml2.loginmoduleログイン・モジュールを構成します。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それをプロバイダに渡します。

- 「SAMLの構成について」で説明されているように、SAMLを構成してOPSSを設定します。

17.122 oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_policy

oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_policyは、信頼できるSTSが発行したSAML Bearerアサーションを挿入します。メッセージは、SSLを使用して保護されます。

表示名: Wss Issued Token Over SSL (Saml Bearer方式)クライアント・ポリシー

カテゴリ: セキュリティ

説明

信頼できるSTSが発行したSAMLベアラー・アサーションを挿入します。メッセージは、SSLを使用して保護されます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-108に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。STS構成設定のオーバーライドの例は、「WS-Trustクライアント・ポリシーのプログラムによるポリシー構成オーバーライド」を参照してください。

- 自動ポリシー構成の設定の主な手順で説明されているように、Webサービス・クライアントを設定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定して、STSに対する認証用の鍵(ユーザー名/パスワードまたはX.509)を指定します。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、クライアント側でSAMLを構成します。

17.123 oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_policy

oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_policyは、信頼できるSTSが発行したSAML Bearerアサーションを認証します。

表示名: Wss Issued Token Over SSL (Saml Bearer方式)サービス・ポリシー

カテゴリ: セキュリティ

説明

信頼できるSTSが発行したSAMLベアラー・アサーションを認証します。メッセージは、SSLを使用して保護されます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_template

このアサーションはWSDLで通知されています。

このアサーションの詳細は、「WS-Trustアサーション・テンプレート」も参照してください。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-109に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。STS構成設定のオーバーライドの例は、「WS-Trustクライアント・ポリシーのプログラムによるポリシー構成オーバーライド」を参照してください。

- 「自動ポリシー構成の設定の主な手順」で説明されているように、Webサービス・サービスを設定します。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

17.124 oracle/wss_username_token_over_ssl_client_policy

oracle/wss_username_token_over_ssl_client_policyは、アウトバウンドSOAPリクエスト・メッセージのWS-Security UsernameTokenヘッダーに資格証明を組み込み、トランスポート・プロトコルでSSLメッセージ保護が提供されていることを検証します。プレーン・テキストとダイジェストの両方のメカニズムがサポートされます。

表示名: Wss Username Token Over SSLクライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、SOAPベースのすべてのクライアントに添付できます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_username_token_over_ssl_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-64に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「設定」ページでパスワード・タイプを「なし」に指定した場合、キーにパスワードを含める必要はありません。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、csf-keyの値を指定します。この値は、ユーザー名/パスワードにマッピングされているキーを表しています。資格証明ストアに鍵を追加する方法の詳細は、「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- SOAPリクエスト・メッセージにWS-Security UsernameToken要素(<wsse:UsernameToken/>)を組み込みます。また、クライアントは、認証用にユーザー名とパスワードを提供します。

17.125 oracle/wss_username_token_over_ssl_service_policy

oracle/wss_username_token_over_ssl_service_policyは、WS-Security UsernameToken SOAPヘッダー内の資格証明を使用して、OPSS構成済アイデンティティ・ストアに対してユーザーを認証し、トランスポート・プロトコルでSSLメッセージ保護が提供されていることを検証します。

表示名: Wss Username Token Over SSLサービス・ポリシー

カテゴリ: セキュリティ

説明

プレーン・テキストとダイジェストの両方のメカニズムがサポートされます。このポリシーは、SOAPベースのすべてのエンドポイントにアタッチできます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_username_token_over_ssl_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-65に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- ユーザー名とパスワードが存在し、有効になっている必要があります。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

17.126 oracle/wss_username_token_over_ssl_wssc_client_policy

oracle/wss_username_token_over_ssl_wssc_client_policyは、アウトバウンドSOAPリクエスト・メッセージのWS-Security UsernameTokenヘッダーに資格証明を組み込み、トランスポート・プロトコルでSSLメッセージ保護が提供されていることを検証します。

表示名: Wss Username Token Over SSL (セキュア通信有効)クライアント・ポリシー

カテゴリ: セキュリティ

説明

プレーン・テキストとダイジェストの両方のメカニズムがサポートされます。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

このポリシーでは、セキュア通信が有効になります。詳細は、Oracle Web Services Managerを使用したセキュア通信の構成を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_username_token_over_ssl_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-64に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- Oracle Web Services Managerを使用したセキュア通信の構成で説明されているように、セキュア通信を構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、csf-keyの値を指定します。この値は、ユーザー名/パスワードにマッピングされているキーを表しています。資格証明ストアに鍵を追加する方法の詳細は、「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」を参照してください。

- 「設定」ページでパスワード・タイプを「なし」に指定した場合、キーにパスワードを含める必要はありません。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- SOAPリクエスト・メッセージにWS-Security UsernameToken要素(<wsse:UsernameToken/>)を組み込みます。また、クライアントは、認証用にユーザー名とパスワードを提供します。

17.127 oracle/wss_username_token_over_ssl_wssc_service_policy

oracle/wss_username_token_over_ssl_wssc_service_policyは、WS-Security UsernameToken SOAPヘッダー内の資格証明を使用して、OPSS構成済アイデンティティ・ストアに対してユーザーを認証し、トランスポート・プロトコルでSSLメッセージ保護が提供されていることを検証します。

表示名: Wss Username Token Over SSL (セキュア通信有効)サービス・ポリシー

カテゴリ: セキュリティ

説明

プレーン・テキストとダイジェストの両方のメカニズムがサポートされます。このポリシーは、SOAPベースのすべてのエンドポイントにアタッチできます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

このポリシーでは、セキュア通信が有効になります。詳細は、Oracle Web Services Managerを使用したセキュア通信の構成を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_username_token_over_ssl_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-65に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- ユーザー名とパスワードが存在し、有効になっている必要があります。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

17.128 oracle/wss_username_token_over_ssl_notimestamp_client_policy

表示名: Wss Username Token Over SSL(タイムスタンプなし)クライアント・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss_username_token_over_ssl_notimestamp_client_policyは、アウトバウンドSOAPリクエスト・メッセージのWS-Security UsernameTokenヘッダーに資格証明を含めます。プレーン・テキスト・メカニズムのみがサポートされています。資格証明は、Java Authentication and Authorization Service (JAAS)サブジェクトを介してプログラムによって提供するか、構成済の資格証明ストアをポリシーで参照することによって提供できます。また、このポリシーは、トランスポート・プロトコルによりSSLメッセージ保護が提供されることも検証します。このポリシーは、SOAPベースのすべてのクライアントに添付できます。タイムスタンプはメッセージに追加されません。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_username_token_over_ssl_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-64に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「設定」ページでパスワード・タイプを「なし」に指定した場合、キーにパスワードを含める必要はありません。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、csf-keyの値を指定します。この値は、ユーザー名/パスワードにマッピングされているキーを表しています。資格証明ストアに鍵を追加する方法の詳細は、「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- SOAPリクエスト・メッセージにWS-Security UsernameToken要素(<wsse:UsernameToken/>)を組み込みます。また、クライアントは、認証用にユーザー名とパスワードを提供します。

17.129 oracle/wss_username_token_over_ssl_notimestamp_service_policy

表示名: Wss Username Token Over SSL(タイムスタンプなし)サービス・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss_username_token_over_ssl_notimestamp_service_policyは、UsernameToken WS-Security SOAPヘッダーの資格証明を使用して、構成済のアイデンティティ・ストアに対してユーザーを認証します。プレーン・テキスト・メカニズムのみがサポートされています。このポリシーは、トランスポート・プロトコルでSSLメッセージの保護が提供されていることを検証します。このポリシーは、SOAPベースのすべてのエンドポイントにアタッチできます。受信メッセージにタイムスタンプが含まれていない必要があります。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_username_token_over_ssl_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-65に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- ユーザー名とパスワードが存在し、有効になっている必要があります。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

17.130 oracle/wss10_saml_hok_token_with_message_protection_client_policy

oracle/wss10_saml_hok_token_with_message_protection_client_policyは、アウトバウンドSOAPメッセージに対してWS-Security 1.0標準に従ったメッセージ保護(整合性と機密保護)およびSAML Holder of Keyベースの認証を行います。

表示名: Wss10 SAML Holder-Of-Keyトークン(メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

SOAPメッセージに含まれているSAMLトークンは、鍵所有者確認を使用したSAMLベースの認証で使用されます。

ポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml_hok_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-67に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.nameの値を指定します。saml.issuer.nameプロパティのデフォルトは、www.oracle.comという値です。詳細は、「SAMLアサーション発行者名の追加」を参照してください。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、鍵所有者アサーションが含まれるファイルを指すようにsaml.assertion.filenameプロパティをオーバーライドします。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- 鍵所有者アサーションを含むファイルを指し示すように、saml.assertion.filenameプロパティをオーバーライドします。詳細は、「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、設計時にWebサービス・クライアントにSAMLを構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている署名の一般的な構造を示します。この例では、SOAPメッセージの本体要素が署名されています。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.131 oracle/wss10_saml_hok_token_with_message_protection_service_policy

oracle/wss10_saml_hok_token_with_message_protection_service_policyは、インバウンドSOAPリクエストに対してWS-Security 1.0標準に従ったメッセージ保護(整合性と機密保護)およびSAML Holder of Keyベースの認証を行います。

表示名: Wss10 SAML Holder-Of-Keyトークン(メッセージ保護付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml_hok_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-68に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- saml.loginmoduleログイン・モジュールを構成します。詳細は、「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」を参照してください。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

注意:

キーストアに期限切れの証明書が存在する場合は、この証明書が参照されているかどうかに関係なく、CertificateExpiredExceptionが返されます。この例外を解決するには、期限切れの証明書をキーストアから削除します。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

- OPSSを設定する手順は次のとおりです。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- SAML認証局の信頼できる証明書をキーストアに格納します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

17.132 oracle/wss10_saml_token_with_message_integrity_client_policy

oracle/wss10_saml_token_with_message_integrity_client_policyは、WS-Security 1.0標準に準拠して、アウトバウンドSOAPメッセージに対してメッセージレベルの整合性およびSAMLベースの認証を提供します。SOAPメッセージに組み込まれているSAMLトークンは、送信者保証確認付きSAMLベース認証で使用されます。

表示名: Wss10 SAMLトークン(メッセージ整合性付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、WS-Securityの非対称鍵テクノロジのBasic 128スイートおよびメッセージの整合性のためにはSHA-1ハッシュ・アルゴリズムを使用します。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-70に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.nameの値を指定します。saml.issuer.nameプロパティのデフォルトは、www.oracle.comという値です。詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、user.roles.includeの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、設計時にクライアントをSAML用に構成します。

- アウトバウンドSOAPメッセージに、SAMLトークンを挿入するWS-Securityヘッダー要素(<saml:Assertion>)を組み込みます。確認タイプは、常にsender-vouchesです。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている署名の一般的な構造を示します。この例では、SOAPメッセージの本体要素が署名されています。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.133 oracle/wss10_saml_token_with_message_integrity_service_policy

oracle/wss10_saml_token_with_message_integrity_service_policyは、インバウンドSOAPリクエストに対してWS-Security 1.0標準に従ったメッセージ・レベルの整合性の保護およびSAMLベースの認証を行います。

表示名: Wss10 SAMLトークン(メッセージ整合性付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

WS-Securityバイナリ・セキュリティ・トークンまたは現在のJava Authentication and Authorization Service (JAAS)サブジェクトからSAMLトークンを抽出し、その資格証明を使用して、Oracle Platform Security Servicesアイデンティティ・ストアに対してユーザーを検証します。

このポリシーは、WS-Securityの非対称鍵テクノロジのBasic 128スイートおよびメッセージの整合性のためにはSHA-1ハッシュ・アルゴリズムを使用します。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-71に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.sig.csf.keyおよびkeystore.enc.csf.keyをオーバーライドします。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- saml.loginmoduleログイン・モジュールを構成します。詳細は、「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」を参照してください。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

17.134 oracle/wss10_saml_token_with_message_protection_client_policy

oracle/wss10_saml_token_with_message_protection_client_policyは、WS-Security 1.0標準に準拠して、アウトバウンドSOAPメッセージに対してメッセージレベルの保護およびSAMLベースの認証を提供します。Webサービス・コンシューマによって、SOAPヘッダーにSAMLトークンが組み込まれ、確認タイプはsender-vouchesです。

表示名: Wss10 SAMLトークン(メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

リプレイ攻撃から保護するため、アサーションには、タイム・スタンプ、SAMLトークンの制限、およびWebサービス・プロバイダによる検証を含めるオプションが用意されています。

このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-70に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.nameの値を指定します。saml.issuer.nameプロパティのデフォルトは、www.oracle.comという値です。詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、user.roles.includeの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、設計時にクライアントをSAML用に構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている署名の一般的な構造を示します。この例では、SOAPメッセージの本体要素が署名されています。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.135 oracle/wss10_saml_token_with_message_protection_service_policy

oracle/wss10_saml_token_with_message_protection_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、SAMLベースの認証を行います。

表示名:Wss10 SAMLトークン(メッセージ保護付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

Webサービス・コンシューマによって、SOAPヘッダーにSAMLトークンが組み込まれ、確認タイプはsender-vouchesです。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。WS-Securityバイナリ・セキュリティ・トークンからSAMLトークンを抽出し、その資格証明をOracle Platform Security Servicesアイデンティティ・ストアに対するユーザーの検証に使用します。

リプレイ攻撃から保護するため、アサーションには、タイム・スタンプ、SAMLトークンの制限、およびWebサービス・プロバイダによる検証を含めるオプションが用意されています。

このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-71に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- saml.loginmoduleログイン・モジュールを構成します。詳細は、「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」を参照してください。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- OPSSを設定する手順は次のとおりです。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- SAML認証局の信頼できる証明書をキーストアに格納します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

17.136 oracle/wss10_saml_token_with_message_protection_ski_basic256_client_policy

oracle/wss10_saml_token_with_message_protection_ski_basic256_client_policyは、WS-Security 1.0標準に準拠して、アウトバウンドSOAPメッセージに対してメッセージレベルの保護およびSAMLベースの認証を提供します。

表示名: Wss10 SAMLトークン(メッセージ保護SKI Basic 256付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

Webサービス・コンシューマによって、SOAPヘッダーにSAMLトークンが組み込まれ、確認タイプはsender-vouchesです。

リプレイ攻撃から保護するため、アサーションには、タイム・スタンプ、SAMLトークンの制限、およびWebサービス・プロバイダによる検証を含めるオプションが用意されています。

ポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 256スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-256ビット暗号化も使用されます。このポリシーは、リクエストの暗号化鍵、およびレスポンスの署名と暗号化鍵の両方に、サブジェクト・キー識別子(SKI)の参照メカニズムを使用します。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml_token_with_message_protection_client_template

このアサーションは通知されています。

注意:

一部の国の輸入制限により、JDK 5.0ソフトウェアとともに配布されるJurisdiction Policy Filesには、使用可能な暗号化強度において制限が組み込まれています。

デフォルトでは、Basic192以上のアルゴリズムを使用するポリシーは、バンドルされたJRE/JDKでは動作しません。これらのアルゴリズムを使用するには、http://www.oracle.com/technetwork/java/javase/downloads/index-jdk5-jsp-142662.htmlからJCE Extension jar (Java Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policy Files 5.0)をダウンロードする必要があります。

これらのポリシー・ファイルを使用するには、$JAVA_HOME/jre/lib/security内の次のJARファイルを、対応するJCE ExtensionのJARに置き換える必要があります。

- US_export_policy.jar

- local_policy.jar

JARファイルを置き換える前に、既存のJARファイルをバックアップする必要があります。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-70に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.nameの値を指定します。saml.issuer.nameプロパティのデフォルトは、www.oracle.comという値です。詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、user.roles.includeの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、SAMLを構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている署名の一般的な構造を示します。この例では、SOAPメッセージの本体要素が署名されています。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.137 oracle/wss10_saml_token_with_message_protection_ski_basic256_service_policy

oracle/wss10_saml_token_with_message_protection_ski_basic256_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、SAMLベースの認証を行います。ポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 256スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-256ビット暗号化も使用されます。

表示名: Wss10 SAMLトークン(メッセージ保護SKI Basic 256付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

Webサービス・コンシューマによって、SOAPヘッダーにSAMLトークンが組み込まれ、確認タイプはsender-vouchesです。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。WS-Securityバイナリ・セキュリティ・トークンからSAMLトークンを抽出し、その資格証明をOracle Platform Security Servicesアイデンティティ・ストアに対するユーザーの検証に使用します。

リプレイ攻撃から保護するため、アサーションには、タイム・スタンプ、SAMLトークンの制限、およびWebサービス・プロバイダによる検証を含めるオプションが用意されています。

このポリシーは、リクエストの暗号化鍵、およびレスポンスの署名と暗号化鍵の両方に、サブジェクト・キー識別子(SKI)の参照メカニズムを使用します。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

注意:

一部の国の輸入制限により、JDK 5.0ソフトウェアとともに配布されるJurisdiction Policy Filesには、使用可能な暗号化強度において制限が組み込まれています。

デフォルトでは、Basic192以上のアルゴリズムを使用するポリシーは、バンドルされたJRE/JDKでは動作しません。これらのアルゴリズムを使用するには、http://www.oracle.com/technetwork/java/javase/downloads/index-jdk5-jsp-142662.htmlからJCE Extension jar (Java Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policy Files 5.0)をダウンロードする必要があります。

これらのポリシー・ファイルを使用するには、$JAVA_HOME/jre/lib/security内の次のJARファイルを、対応するJCE ExtensionのJARに置き換える必要があります。

- US_export_policy.jar

- local_policy.jar

JARファイルを置き換える前に、既存のJARファイルをバックアップする必要があります。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-71に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- saml.loginmoduleログイン・モジュールを構成します。詳細は、「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」を参照してください。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.sig.csf.keyおよびkeystore.enc.csf.keyをオーバーライドします。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

- OPSSを設定する手順は次のとおりです。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- このポリシーでは、キーストアを設定する必要があります。ski参照メカニズムを使用するときは、OpenSSLなどのユーティリティを使用して証明書を作成します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

17.138 oracle/wss10_saml20_token_with_message_protection_client_policy

oracle/wss10_saml20_token_with_message_protection_client_policyは、WS-Security 1.0標準に準拠して、アウトバウンドSOAPメッセージに対してメッセージレベルの保護およびSAMLベースの認証を提供します。このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。

表示名: Wss10 SAML V2.0トークン(メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

Webサービス・コンシューマによって、SOAPヘッダーにSAMLトークンが組み込まれ、確認タイプはsender-vouchesです。

リプレイ攻撃から保護するため、アサーションには、タイム・スタンプ、SAMLトークンの制限、およびWebサービス・プロバイダによる検証を含めるオプションが用意されています。

メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml20_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-73に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、user.roles.includeの値を指定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、SAMLを構成します。

- Webサービス・セキュリティの概念の理解の説明に従って、Webサービス・クライアントのキーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている署名の一般的な構造を示します。この例では、SOAPメッセージの本体要素が署名されています。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.139 oracle/wss10_saml20_token_with_message_protection_service_policy

oracle/wss10_saml20_token_with_message_protection_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、SAMLベースの認証を行います。このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。

表示名: Wss10 SAML V2.0トークン(メッセージ保護付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

Webサービス・コンシューマによって、SOAPヘッダーにSAMLトークンが組み込まれ、確認タイプはsender-vouchesです。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。WS-Securityバイナリ・セキュリティ・トークンからSAMLトークンを抽出し、その資格証明をOracle Platform Security Servicesアイデンティティ・ストアに対するユーザーの検証に使用します。

リプレイ攻撃から保護するため、アサーションには、タイム・スタンプ、SAMLトークンの制限、およびWebサービス・プロバイダによる検証を含めるオプションが用意されています。

メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_saml20_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-74に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- saml2.loginmoduleログイン・モジュールを構成します。詳細は、「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」を参照してください。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.sig.csf.keyおよびkeystore.enc.csf.keyをオーバーライドします。

- OPSSを設定する手順は次のとおりです。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- このポリシーでは、キーストアを設定する必要があります。ski参照メカニズムを使用するときは、OpenSSLなどのユーティリティを使用して証明書を作成します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

17.140 oracle/wss10_username_id_propagation_with_msg_protection_client_policy

oracle/wss10_username_id_propagation_with_msg_protection_client_policyは、WS-Security 1.0標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)およびアイデンティティの伝播を提供します。メッセージ保護は、WS-Securityの非対称鍵テクノロジのBasic128スイートを使用して行われます。具体的には、機密性のためにRSA主要なメカニズム、整合性のためにSHA-1ハッシュ・アルゴリズムおよびAES-128ビットの暗号化。

表示名: Wss10ユーザー名ID伝播(メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

注意:

このリリースでは、oracle/wss10_username_id_propagation_with_msg_protection_client_policyポリシーは非推奨になりました。

説明

資格証明(ユーザー名のみ)は、WS-Security UsernameTokenヘッダーを介して、アウトバウンドSOAPリクエスト・メッセージに含まれます。パスワードは含まれません。このポリシーは、SOAPベースのクライアントで実行できます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_username_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-76に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- SOAPリクエスト・メッセージにWS-Security UsernameToken要素(<wsse:UsernameToken/>)を組み込みます。また、クライアントは、認証用にユーザー名とパスワードを提供します。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている署名の一般的な構造を示します。この例では、SOAPメッセージの本体要素が署名されています。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.141 oracle/wss10_username_id_propagation_with_msg_protection_service_policy

oracle/wss10_username_id_propagation_with_msg_protection_service_policyは、WS-Security 1.0に記述されたメカニズムを使用して、インバウンドSOAPリクエストに対するメッセージ・レベルの保護(整合性および機密保護)およびアイデンティティ伝播を実施します。非対称の主要技術のWS-Security 1.0 Basic128スイートを使用することでメッセージ保護を提供します。具体的には、機密性のためにRSA主要なメカニズム、整合性のためにSHA-1ハッシュ・アルゴリズムおよびAES-128ビットの暗号化。

表示名: Wss10ユーザー名ID伝播(メッセージ保護付き)サービス・ポリシー

カテゴリ: セキュリティ

注意:

このリリースでは、oracle/wss10_username_id_propagation_with_msg_protection_service_policyポリシーは非推奨になりました。

説明

このポリシーは、SOAPベースのエンドポイントで実行できます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_username_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-77に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.sig.csf.keyおよびkeystore.enc.csf.keyをオーバーライドします。

17.142 oracle/wss10_username_token_with_message_protection_client_policy

oracle/wss10_username_token_with_message_protection_client_policyは、WS-Security 1.0標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および認証を提供します。このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。

表示名: Wss10ユーザー名トークン(メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

プレーン・テキストとダイジェストの両方のメカニズムがサポートされます。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_username_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-76に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、csf-keyの値を指定します。この値は、ユーザー名/パスワードにマッピングされているキーを表しています。資格証明ストアに鍵を追加する方法の詳細は、「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」を参照してください。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.sig.csf.keyおよびkeystore.enc.csf.keyをオーバーライドします。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- Webサービス・セキュリティの概念の理解の説明に従って、Webサービス・クライアントのキーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている署名の一般的な構造を示します。この例では、SOAPメッセージの本体要素が署名されています。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.143 oracle/wss10_username_token_with_message_protection_service_policy

oracle/wss10_username_token_with_message_protection_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(メッセージの整合性および機密保護)と、認証を行います。このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。

表示名: Wss10ユーザー名トークン(メッセージ保護付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

プレーン・テキストとダイジェストの両方のメカニズムがサポートされます。このポリシーは、SOAPベースのすべてのエンドポイントにアタッチできます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_username_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-77に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.sig.csf.keyおよびkeystore.enc.csf.keyをオーバーライドします。

17.144 oracle/wss10_username_token_with_message_protection_ski_basic256_client_policy

oracle/wss10_username_token_with_message_protection_ski_basic256_client_policyは、WS-Security 1.0標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および認証を提供します。このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 256スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-256ビット暗号化も使用されます。

表示名: Wss10ユーザー名トークン(メッセージ保護SKI Basic 256付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

プレーン・テキストとダイジェストの両方のメカニズムがサポートされます。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

このポリシーは、リクエストの暗号化鍵、およびレスポンスの署名と暗号化鍵の両方に、サブジェクト・キー識別子(SKI)の参照メカニズムを使用します。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_username_token_with_message_protection_client_template

このアサーションは通知されています。

注意:

一部の国の輸入制限により、JDK 5.0ソフトウェアとともに配布されるJurisdiction Policy Filesには、使用可能な暗号化強度において制限が組み込まれています。

デフォルトでは、Basic192以上のアルゴリズムを使用するポリシーは、バンドルされたJRE/JDKでは動作しません。これらのアルゴリズムを使用するには、http://www.oracle.com/technetwork/java/javase/downloads/index-jdk5-jsp-142662.htmlからJCE Extension jar (Java Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policy Files 5.0)をダウンロードする必要があります。

これらのポリシー・ファイルを使用するには、$JAVA_HOME/jre/lib/security内の次のJARファイルを、対応するJCE ExtensionのJARに置き換える必要があります。

- US_export_policy.jar

- local_policy.jar

JARファイルを置き換える前に、既存のJARファイルをバックアップする必要があります。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-76に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、csf-keyの値を指定します。この値は、ユーザー名/パスワードにマッピングされているキーを表しています。資格証明ストアに鍵を追加する方法の詳細は、「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている署名の一般的な構造を示します。この例では、SOAPメッセージの本体要素が署名されています。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造の例を示します。この例では、本体要素が暗号化されています。

17.145 oracle/wss10_username_token_with_message_protection_ski_basic256_service_policy

oracle/wss10_username_token_with_message_protection_ski_basic256_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(メッセージの整合性および機密保護)と、認証を行います。このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 256スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-256ビット暗号化も使用されます。

表示名: Wss10ユーザー名トークン(メッセージ保護SKI Basic 256付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

プレーン・テキストとダイジェストの両方のメカニズムがサポートされます。このポリシーは、SOAPベースのすべてのエンドポイントにアタッチできます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

このポリシーは、リクエストの暗号化鍵、およびレスポンスの署名と暗号化鍵の両方に、サブジェクト・キー識別子(SKI)の参照メカニズムを使用します。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_username_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

注意:

一部の国の輸入制限により、JDK 5.0ソフトウェアとともに配布されるJurisdiction Policy Filesには、使用可能な暗号化強度において制限が組み込まれています。

デフォルトでは、Basic192以上のアルゴリズムを使用するポリシーは、バンドルされたJRE/JDKでは動作しません。これらのアルゴリズムを使用するには、http://www.oracle.com/technetwork/java/javase/downloads/index-jdk5-jsp-142662.htmlからJCE Extension jar (Java Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policy Files 5.0)をダウンロードする必要があります。

これらのポリシー・ファイルを使用するには、$JAVA_HOME/jre/lib/security内の次のJARファイルを、対応するJCE ExtensionのJARに置き換える必要があります。

- US_export_policy.jar

- local_policy.jar

JARファイルを置き換える前に、既存のJARファイルをバックアップする必要があります。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-77に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- キーストアを設定します。ski参照メカニズムを使用するときは、OpenSSLなどのユーティリティを使用して証明書を作成します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.sig.csf.keyおよびkeystore.enc.csf.keyをオーバーライドします。

17.146 oracle/wss10_x509_token_with_message_protection_client_policy

oracle/wss10_x509_token_with_message_protection_client_policyは、アウトバウンドSOAPリクエストに対してWS-Security 1.0標準に従ったメッセージ保護(整合性と機密保護)および証明書資格証明の移入を行います。

表示名: Wss10 X509トークン(メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_x509_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-79に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- WS-Securityバイナリ・セキュリティ・トークンを介してSOAPメッセージに有効なX.509認証資格証明を提供します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている署名の一般的な構造を示します。この例では、SOAPメッセージの本体要素が署名されています。

例17-*に、WS-Security 1.0標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.147 oracle/wss10_x509_token_with_message_protection_service_policy

oracle/wss10_x509_token_with_message_protection_service_policyは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、証明書ベースの認証を行います。

表示名: Wss10 X509トークン(メッセージ保護付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss10_x509_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-80に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを構成します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.sig.csf.keyおよびkeystore.enc.csf.keyをオーバーライドします。

17.148 oracle/wss11_kerberos_token_with_message_protection_client_policy

oracle/wss11_kerberos_token_with_message_protection_client_policyは、WS-SecurityヘッダーにKerberosトークンを組み込み、WS-Security Kerberos Token Profile v1.1標準に従い、Kerberosキーを使用してメッセージの整合性と機密保護を保証します。

表示名: Wss11 Kerberosトークン(メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、SOAPベースのクライアントで実行できます。

このポリシーは、MIT Kerberos KDCおよび新しいバージョンのActive Directory KDCと互換性があります。このポリシーは、2008より前のバージョンのActive Directoryとは互換性がありません。これらのActive Directoryでは、トリプルDES暗号化が使用されるためです。このような前のバージョンの場合は、「oracle/wss11_kerberos_token_with_message_protection_basic128_client_policy」を使用してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_kerberos_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-82に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- 「Kerberosトークンの構成の理解」で説明されているように、Kerberosトークンを構成します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.149 oracle/wss11_kerberos_token_with_message_protection_service_policy

oracle/wss11_kerberos_token_with_message_protection_service_policyは、WS-Security Kerberos Token Profile v1.1標準に従って実行されます。SOAPヘッダーからKerberosトークンを抽出してユーザーを認証し、Kerberosの鍵を使用してメッセージの整合性と秘密性が適用されます。コンテナには、Oracle Platform Security Servicesを介して構成されたKerberosインフラストラクチャが含まれている必要があります。

表示名: Wss11 Kerberosトークン(メッセージ保護付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、SOAPベースのエンドポイントで実行できます。

このポリシーは、MIT Kerberos KDCおよび新しいバージョンのActive Directory KDCと互換性があります。このポリシーは、2008より前のバージョンのActive Directoryとは互換性がありません。これらのActive Directoryでは、トリプルDES暗号化が使用されるためです。このような前のバージョンの場合は、「oracle/wss11_kerberos_token_with_message_protection_basic128_service_policy」を使用してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_kerberos_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-82に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- krb5.loginmoduleログイン・モジュールを構成します。「Kerberosログイン・モジュールの構成」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.enc.csf.keyをオーバーライドします。

- 「Kerberosトークンの構成の理解」で説明されているように、Kerberosを構成します。

17.150 oracle/wss11_kerberos_token_with_message_protection_basic128_client_policy

oracle/wss11_kerberos_token_with_message_protection_basic128_client_policyは、WS-SecurityヘッダーにKerberosトークンを組み込み、WS-Security Kerberos Token Profile v1.1標準に従い、Kerberosキーを使用してメッセージの整合性と機密保護を保証します。

表示名: Wss11 Kerberosトークン(メッセージ保護Basic 128付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、Active Directory KDCと互換性があります。このポリシーは、SOAPベースのクライアントで実行できます。

このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_kerberos_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-85に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- 「Kerberosトークンの構成の理解」で説明されているように、Kerberosトークンを構成します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.151 oracle/wss11_kerberos_token_with_message_protection_basic128_service_policy

oracle/wss11_kerberos_token_with_message_protection_basic128_service_policyは、WS-Security Kerberos Token Profile v1.1標準に従って実行されます。このポリシーでは、WS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。具体的には、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。

表示名: Wss11 Kerberosトークン(メッセージ保護Basic 128付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、Active Directory KDCと互換性があります。このポリシーは、SOAPベースのすべてのエンドポイントにアタッチできます。

メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

このポリシーは、SOAPヘッダーからKerberosトークンを抽出してユーザーを認証し、Kerberosキーを使用してメッセージの整合性と機密保護を保証します。コンテナには、Oracle Platform Security Servicesを介して構成されたKerberosインフラストラクチャが含まれている必要があります。

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_kerberos_token_with_message_protection_service_template

構成

このポリシーを構成する手順は次のとおりです。

- 表18-86に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- krb5.loginmoduleログイン・モジュールを構成します。「Kerberosログイン・モジュールの構成」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「Kerberosトークンの構成の理解」で説明されているように、Kerberosを構成します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.enc.csf.keyをオーバーライドします。

17.152 oracle/wss11_saml_or_username_token_with_message_protection_service_policy

表示名: Wss11 SAMLトークン、Wss11ユーザー名トークン(メッセージ保護付き)、Wss SAML Token Over SSL (Bearer確認方式)、Wss Username Token Over SSL、Http Basic Auth Over SSL、またはHTTP JWT Token Over SSLサービス・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss11_saml_or_username_token_with_message_protection_service_policyは、メッセージ保護(整合性と機密保護)を実行し、クライアントがSAML、ユーザー名またはHTTPトークンを使用するかどうかに基づいて、認証ポリシーを強制します。

メッセージ保護(整合性と機密保護)を実行し、クライアントがSAML、ユーザー名またはHTTPトークンを使用するかどうかに基づいて、それぞれ次のいずれかの認証ポリシーを実行します。

- WS-Security 1.1標準に従ったインバウンドSOAPリクエストのSAMLベースの認証。

- WS-Security 1.1標準に従ったインバウンドSOAPリクエストのユーザー名トークン認証。

- WS-Security SOAPヘッダーの、確認方法がBearerのSAMLトークンに含まれる資格証明を使用する、SAMLベースの認証。トランスポート・プロトコルによりSSLメッセージ保護が提供されることを検証します。

- UsernameToken WS-Security SOAPヘッダーの資格証明を使用して、構成済のアイデンティティ・ストアに対してユーザーを認証する、ユーザー名トークン認証。トランスポート・プロトコルによりSSLメッセージ保護が提供されることを検証します。

- HTTPヘッダーから抽出した資格証明を使用して、構成済のアイデンティティ・ストアに対してユーザーを認証する、HTTP認証。トランスポート・プロトコルがHTTPSであることを検証します。

- HTTPヘッダー内のJWTトークンに指定されているユーザー名を使用してユーザーを認証するHTTP認証。また、このポリシーは、トランスポート・プロトコルがHTTPSであることを検証します。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、署名の承認にはWS-Securityの非対称鍵テクノロジのBasic 128スイート、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-1またはSHA-2ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション(ORグループ)

このポリシーには、次のアサーションがORグループとして含まれます。つまり、クライアントはいずれのトークンでも送信できます。

- oracle/wss11_saml_token_with_message_protection_service_template。

- oracle/wss11_username_token_with_message_protection_service_template。

- oracle/wss_saml_token_bearer_over_ssl_service_template。

- oracle/wss_username_token_over_ssl_service_template。

- oracle/wss_http_token_over_ssl_service_template。

- oracle/http_jwt_token_over_ssl_service_template。

アサーションはWSDLで通知されています。

17.153 oracle/wss11_saml_or_username_token_with_message_protection_sha256_service_policy

表示名: Wss11 SAMLトークン、Wss11ユーザー名トークン(メッセージ保護付き)、Wss SAML Token Over SSL (Bearer確認方式)、Wss Username Token Over SSL、Http Basic Auth Over SSL Sha256、またはHTTP JWT Token Over SSLサービス・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss11_saml_or_username_token_with_message_protection_sha256_service_policyは、メッセージ保護(整合性と機密保護)を実行し、クライアントがSAML、ユーザー名またはHTTPトークンを使用するかどうかに基づいて、認証ポリシーを強制します。

メッセージ保護(整合性と機密保護)を実行し、クライアントがSAML、ユーザー名またはHTTPトークンを使用するかどうかに基づいて、それぞれ次のいずれかの認証ポリシーを実行します。

- WS-Security 1.1標準に従ったインバウンドSOAPリクエストのSAMLベースの認証。

- WS-Security 1.1標準に従ったインバウンドSOAPリクエストのユーザー名トークン認証。

- WS-Security SOAPヘッダーの、確認方法がBearerのSAMLトークンに含まれる資格証明を使用する、SAMLベースの認証。トランスポート・プロトコルによりSSLメッセージ保護が提供されることを検証します。

- UsernameToken WS-Security SOAPヘッダーの資格証明を使用して、構成済のアイデンティティ・ストアに対してユーザーを認証する、ユーザー名トークン認証。トランスポート・プロトコルによりSSLメッセージ保護が提供されることを検証します。

- HTTPヘッダーから抽出した資格証明を使用して、構成済のアイデンティティ・ストアに対してユーザーを認証する、HTTP認証。トランスポート・プロトコルがHTTPSであることを検証します。

- HTTPヘッダー内のJWTトークンに指定されているユーザー名を使用してユーザーを認証するHTTP認証。また、このポリシーは、トランスポート・プロトコルがHTTPSであることを検証します。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、署名の承認にはWS-Securityの非対称鍵テクノロジのBasic 128スイート、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-2ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できるアルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション(ORグループ)

このポリシーには、次のアサーションがORグループとして含まれます。つまり、クライアントはいずれのトークンでも送信できます。

- oracle/wss11_saml_token_with_message_protection_service_template。

- oracle/wss11_username_token_with_message_protection_service_template。

- oracle/wss_saml_token_bearer_over_ssl_service_template。

- oracle/wss_username_token_over_ssl_service_template。

- oracle/wss_http_token_over_ssl_service_template。

- oracle/http_jwt_token_over_ssl_service_template。

アサーションはWSDLで通知されています。

17.154 oracle/wss11_saml_token_identity_switch_with_message_protection_client_policy

oracle/wss11_saml_token_identity_switch_with_message_protection_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

表示名: Wss11 SAMLトークン・アイデンティティ切替え(メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

SOAPメッセージに含まれているSAMLトークンは、送信者保証確認を使用したSAMLベースの認証で使用します。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_saml_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-88に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 認証されたサブジェクトのかわりにクライアント固有のユーザー名を使用できるようにするには、subject.precedenceをfalseに設定します。(subject.precedenceがfalseの場合、SAMLアサーションを作成するユーザー名は、csf-keyユーザー名プロパティからのみ取得されます。)wss11_saml_token_identity_switch_with_message_protection_client_policyポリシーでは、このポリシーのアタッチ先のアプリケーションにWSIdentityPermission権限が必要です。つまり、OWSMが外部から提供されるアイデンティティをアプリケーションから受け入れるには、そのアプリケーションがWSIdentityPermission権限を持つ必要があります。これにより、OWSMが潜在的に悪質なアプリケーションからアイデンティティを提供されるのを回避します。

- このポリシーの構成については、「アイデンティティ切替えのためのSAML Webサービス・クライアントの構成について」を参照してください。特に、「javax.xml.ws.security.auth.usernameプロパティの設定」で説明されているようにjavax.xml.ws.security.auth.usernameプロパティを設定し、WSIdentityPermissionを使用した権限の設定で説明されているようにWSIdentityPermission権限を設定する必要があります。

- SAMLの詳細は、「設計時のSAML Webサービス・クライアントの構成」を参照してください。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.nameの値を指定します。saml.issuer.nameプロパティのデフォルトは、www.oracle.comという値です。詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.uriの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、user.roles.includeの値を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、SAMLを構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.155 oracle/wss11_saml_token_identity_switch_with_message_protection_sha256_client_policy

表示名: Wss11 SAMLトークン・アイデンティティ切替え(メッセージ保護付き) SHA256クライアント・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss11_saml_token_identity_switch_with_message_protection_sha256_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、署名の承認にはWS-Securityの非対称鍵テクノロジのBasic 128スイート、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-2ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。クライアントのキーストアは、リクエストごとに構成されるか、セキュリティ構成を介して構成されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

SOAPメッセージに含まれているSAMLトークンは、送信者保証確認を使用したSAMLベースの認証で使用します。これらの資格証明は、プログラムによって提供されるか、セキュリティ構成を介して提供されます。このポリシーは、認証されたサブジェクトに基づいたものとは異なるアイデンティティを伝播することにより、動的なアイデンティティ切替えを実行します。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_saml_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-88に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 認証されたサブジェクトのかわりにクライアント固有のユーザー名を使用できるようにするには、subject.precedenceをfalseに設定します。(subject.precedenceがfalseの場合、SAMLアサーションを作成するユーザー名は、csf-keyユーザー名プロパティからのみ取得されます。)wss11_saml_token_identity_switch_with_message_protection_client_policyポリシーでは、このポリシーのアタッチ先のアプリケーションにWSIdentityPermission権限が必要です。つまり、OWSMが外部から提供されるアイデンティティをアプリケーションから受け入れるには、そのアプリケーションがWSIdentityPermission権限を持つ必要があります。これにより、OWSMが潜在的に悪質なアプリケーションからアイデンティティを提供されるのを回避します。

- このポリシーの構成については、「アイデンティティ切替えのためのSAML Webサービス・クライアントの構成について」を参照してください。特に、「javax.xml.ws.security.auth.usernameプロパティの設定」で説明されているようにjavax.xml.ws.security.auth.usernameプロパティを設定し、WSIdentityPermissionを使用した権限の設定で説明されているようにWSIdentityPermission権限を設定する必要があります。

- SAMLの詳細は、「設計時のSAML Webサービス・クライアントの構成」を参照してください。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.nameの値を指定します。saml.issuer.nameプロパティのデフォルトは、www.oracle.comという値です。詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.uriの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、user.roles.includeの値を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、SAMLを構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.156 oracle/wss11_saml_token_with_message_protection_client_policy

oracle/wss11_saml_token_with_message_protection_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

表示名: Wss11 SAMLトークン(メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

SOAPメッセージに含まれているSAMLトークンは、送信者保証確認を使用したSAMLベースの認証で使用します。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_saml_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-88に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.nameの値を指定します。saml.issuer.nameプロパティのデフォルトは、www.oracle.comという値です。詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、user.roles.includeの値を指定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、SAMLを構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.157 oracle/wss11_saml_token_with_message_protection_service_policy

oracle/wss11_saml_token_with_message_protection_service_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

表示名: Wss11 SAMLトークン(メッセージ保護付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

SOAPメッセージに含まれているSAMLトークンは、送信者保証確認を使用したSAMLベースの認証で使用します。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_saml_token_with_message_protection_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-89に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- 「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」で説明しているように、saml.loginmoduleログイン・モジュールを構成します。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.enc.csf.keyをオーバーライドします。

17.158 oracle/wss11_saml_token_with_message_protection_sha256_client_policy

表示名: Wss11 SAMLトークン(メッセージ保護付き) SHA256クライアント・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss11_saml_token_with_message_protection_sha256_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、署名の承認にはWS-Securityの対称鍵テクノロジのBasic 128スイート、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-2ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

クライアントのキーストアは、リクエストごとに構成されるか、セキュリティ構成を介して構成されます。SOAPメッセージに含まれているSAMLトークンは、送信者保証確認を使用したSAMLベースの認証で使用します。これらの資格証明は、プログラムによって提供されるか、セキュリティ構成を介して提供されます。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_saml_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-88に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.nameの値を指定します。saml.issuer.nameプロパティのデフォルトは、www.oracle.comという値です。詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、user.roles.includeの値を指定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、SAMLを構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.159 oracle/wss11_saml_token_with_message_protection_sha256_service_policy

表示名: Wss11 SAMLトークン(メッセージ保護付き) SHA256サービス・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss11_saml_token_with_message_protection_sha256_service_policyは、WS-Security 1.1に記述されているメカニズムを使用して、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、署名の承認にはWS-Securityの対称鍵テクノロジのBasic 128スイート、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-2ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

キーストアはセキュリティ構成を通して構成されます。WS-Securityのバイナリ・セキュリティ・トークンからSAMLトークンを抽出し、それらの資格証明を使用して、構成済のアイデンティティ・ストアに対してユーザーが検証されます。このポリシーは、SOAPベースのすべてのエンドポイントにアタッチできます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_saml_token_with_message_protection_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-89に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- 「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」で説明しているように、saml.loginmoduleログイン・モジュールを構成します。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.enc.csf.keyをオーバーライドします。

17.160 oracle/wss11_saml_token_with_message_protection_wssc_client_policy

oracle/wss11_saml_token_with_message_protection_wssc_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

表示名: Wss11 SAMLトークン(メッセージ保護付き)(セキュア通信有効)クライアント・ポリシー

カテゴリ: セキュリティ

説明

SOAPメッセージに含まれているSAMLトークンは、送信者保証確認を使用したSAMLベースの認証で使用します。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

このポリシーでは、セキュア通信が有効になります。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_saml_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-88に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- Oracle Web Services Managerを使用したセキュア通信の構成で説明されているように、セキュア通信を構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.nameの値を指定します。saml.issuer.nameプロパティのデフォルトは、www.oracle.comという値です。詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、user.roles.includeの値を指定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、SAMLを構成します。

- Oracle Web Services Managerを使用したセキュア通信の構成で説明されているように、セキュア通信を構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.161 oracle/wss11_saml_token_with_message_protection_wssc_service_policy

oracle/wss11_saml_token_with_message_protection_wssc_service_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

表示名: Wss11 SAMLトークン(メッセージ保護付き)(セキュア通信有効)サービス・ポリシー

カテゴリ: セキュリティ

説明

SOAPメッセージに含まれているSAMLトークンは、送信者保証確認を使用したSAMLベースの認証で使用します。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

このポリシーでは、セキュア通信が有効になります。Oracle Web Services Managerを使用したセキュア通信の構成を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_saml_token_with_message_protection_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-89に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- 「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」で説明しているように、saml.loginmoduleログイン・モジュールを構成します。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.enc.csf.keyをオーバーライドします。

17.162 oracle/wss11_saml_token_with_message_protection_wssc_reauthn_client_policy

oracle/wss11_saml_token_with_message_protection_wssc_reauthn_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

表示名: Wss11 SAMLトークン(メッセージ保護付き)(セキュア通信および再認証モード有効)クライアント・ポリシー

カテゴリ: セキュリティ

説明

SOAPメッセージに含まれているSAMLトークンは、送信者保証確認を使用したSAMLベースの認証で使用します。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

このポリシーでは、セキュア通信が有効になります。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_saml_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-88に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- Oracle Web Services Managerを使用したセキュア通信の構成で説明されているように、セキュア通信を構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.nameの値を指定します。saml.issuer.nameプロパティのデフォルトは、www.oracle.comという値です。詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、user.roles.includeの値を指定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、SAMLを構成します。

- Oracle Web Services Managerを使用したセキュア通信の構成で説明されているように、セキュア通信を構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造の例を示します。この例では、本体要素が暗号化されています。

17.163 oracle/wss11_saml_token_with_message_protection_wssc_reauthn_service_policy

oracle/wss11_saml_token_with_message_protection_wssc_reauthn_service_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

表示名: Wss11 SAMLトークン(メッセージ保護付き)(セキュア通信および再認証モード有効)サービス・ポリシー

カテゴリ: セキュリティ

説明

SOAPメッセージに含まれているSAMLトークンは、送信者保証確認を使用したSAMLベースの認証で使用します。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

このポリシーでは、セキュア通信が有効になります。Oracle Web Services Managerを使用したセキュア通信の構成を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_saml_token_with_message_protection_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-89に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- 「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」で説明しているように、saml.loginmoduleログイン・モジュールを構成します。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.enc.csf.keyをオーバーライドします。

17.164 oracle/wss11_saml20_token_with_message_protection_client_policy

oracle/wss11_saml20_token_with_message_protection_client_policyは、WS-Security 1.1に記述されているメカニズムを使用して、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)およびSAMLトークンの移入を可能にします。

表示名: Wss11 SAML V2.0トークン(メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

SOAPメッセージに含まれているSAMLトークンは、送信者保証確認を使用したSAMLベースの認証で使用します。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_saml20_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-91に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、saml.issuer.nameの値を指定します。saml.issuer.nameプロパティのデフォルトは、www.oracle.comという値です。詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、user.roles.includeの値を指定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 『Oracle Web Services Managerの理解』の鍵と証明書の理解に関する項で説明されているように、Webサービス・クライアント・キーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、SAMLを構成します。

- Oracle Web Services Managerを使用したセキュア通信の構成で説明されているように、セキュア通信を構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.165 oracle/wss11_saml20_token_with_message_protection_service_policy

oracle/wss11_saml20_token_with_message_protection_service_policyは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、SAMLベースの認証を行います。

表示名: Wss11 SAML V2.0トークン(メッセージ保護付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

WS-Securityバイナリ・セキュリティ・トークンからSAMLトークンを抽出し、その資格証明をOracle Platform Security Servicesアイデンティティ・ストアに対するユーザーの検証に使用します。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_saml20_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-92に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「SAMLの構成について」で説明されているように、SAMLを構成します。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- 「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」で説明しているように、saml.loginmoduleログイン・モジュールを構成します。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.enc.csf.keyをオーバーライドします。

17.166 oracle/wss11_sts_issued_saml_hok_with_message_protection_client_policy

Wss11発行トークン(SAML Holder of Key方式/メッセージ保護付き)クライアント・ポリシー。は、信頼できるSTS (セキュリティ・トークン・サービス)が発行したSAML HOKアサーションを挿入します。

表示名: Wss11発行トークン(SAML Holder of Key方式/メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

信頼できるSTS (セキュリティ・トークン・サービス)が発行したSAML HOKアサーションを挿入します。メッセージは、STSで提供される証明鍵マテリアルを使用して保護されます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_sts_issued_saml_hok_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-111に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

注意:

Oracle STSを使用しているとき、非対称証明鍵(HoK)ユースケースは、クライアントの証明書CSFキーがsts.auth.x509.csf.key構成オーバーライドを使用してポリシーに構成されている場合のみ動作します。

この値は、STSに送信されたWS-Trustリクエストを署名するため、または証明鍵としてOracle STSによって使用されます。SAMLアサーションの公開鍵も、この鍵ペアに対応します。

- 自動ポリシー構成の設定の主な手順で説明されているように、Webサービス・クライアントを設定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定して、STSに対する認証用の鍵(ユーザー名/パスワードまたはX.509)を指定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。STS構成設定のオーバーライドの例は、「WS-Trustクライアント・ポリシーのプログラムによるポリシー構成オーバーライド」を参照してください。

- 自動ポリシー構成の設定の主な手順で説明されているように、Webサービス・クライアントを設定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定して、STSに対する認証用の鍵(ユーザー名/パスワードまたはX.509)を指定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

17.167 oracle/wss11_sts_issued_saml_hok_with_message_protection_service_policy

oracle/wss11_sts_issued_saml_hok_with_message_protection_service_policyは、信頼できるSTS (セキュリティ・トークン・サービス)が発行したSAML HOKアサーションを認証します。メッセージは、対称鍵テクノロジのWS-SecurityのBasic 128スイートを使用して保護されます。

表示名: Wss11発行トークン(SAML Holder of Key方式/メッセージ保護付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.enc.csf.keyをオーバーライドするオプションもあります。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_sts_issued_saml_hok_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-112に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「自動ポリシー構成の設定の主な手順」で説明されているように、Webサービス・サービスを設定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.enc.csf.keyの値を指定します。

17.168 oracle/wss11_sts_issued_saml_hok_with_message_protection_client_policy

Wss11発行トークン(SAML Holder of Key方式/メッセージ保護付き)クライアント・ポリシー。は、信頼できるSTS (セキュリティ・トークン・サービス)が発行したSAML HOKアサーションを挿入します。

表示名: Wss11発行トークン(SAML Holder of Key方式/メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、信頼できるSTS (セキュリティ・トークン・サービス)が発行したSAML HOKアサーションを挿入します。メッセージは、STSで提供される証明鍵マテリアルを使用して保護されます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_sts_issued_saml_hok_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-111に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 自動ポリシー構成の設定の主な手順で説明されているように、Webサービス・クライアントを設定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定して、STSに対する認証用の鍵(ユーザー名/パスワードまたはX.509)を指定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。STS構成設定のオーバーライドの例は、「WS-Trustクライアント・ポリシーのプログラムによるポリシー構成オーバーライド」を参照してください。

- 自動ポリシー構成の設定の主な手順で説明されているように、Webサービス・クライアントを設定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定して、STSに対する認証用の鍵(ユーザー名/パスワードまたはX.509)を指定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

17.169 oracle/wss11_sts_issued_saml_hok_with_message_protection_service_policy

oracle/wss11_sts_issued_saml_hok_with_message_protection_service_policyは、信頼できるSTS (セキュリティ・トークン・サービス)が発行したSAML HOKアサーションを認証します。

表示名: Wss11発行トークン(SAML Holder of Key方式/メッセージ保護付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、信頼できるSTS (セキュリティ・トークン・サービス)が発行したSAML HOKアサーションを認証します。メッセージは、対称鍵テクノロジのWS-SecurityのBasic 128スイートを使用して保護されます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_sts_issued_saml_hok_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-112に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「自動ポリシー構成の設定の主な手順」で説明されているように、Webサービス・サービスを設定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.enc.csf.keyの値を指定します。

17.170 oracle/wss11_sts_issued_saml_with_message_protection_client_policy

Wss11発行トークン(SAML送信者保証方式/メッセージ保護付き)クライアント・ポリシー。は、信頼できるSTS (セキュリティ・トークン・サービス)が発行したSAML送信者保証アサーションを挿入します。

表示名: Wss11発行トークン(SAML送信者保証方式/メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーは、信頼できるSTS (セキュリティ・トークン・サービス)が発行したSAML送信者保証アサーションを挿入します。メッセージは、クライアントの秘密鍵を使用して保護されます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_sts_issued_saml_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-114に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 自動ポリシー構成の設定の主な手順で説明されているように、Webサービス・クライアントを設定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定して、STSに対する認証用の鍵(ユーザー名/パスワードまたはX.509)を指定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。STS構成設定のオーバーライドの例は、「WS-Trustクライアント・ポリシーのプログラムによるポリシー構成オーバーライド」を参照してください。

- 自動ポリシー構成の設定の主な手順で説明されているように、Webサービス・クライアントを設定します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定して、STSに対する認証用の鍵(ユーザー名/パスワードまたはX.509)を指定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

17.171 oracle/wss11_username_token_with_message_protection_client_policy

oracle/wss11_username_token_with_message_protection_client_policyは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および認証を提供します。プレーン・テキストとダイジェストの両方のメカニズムがサポートされます。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

表示名: Wss11ユーザー名トークン(メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

Webサービス・コンシューマは、ユーザー名とパスワード資格証明を挿入し、送信するSOAPメッセージに署名して暗号化します。Webサービス・プロバイダは、メッセージと署名の復号化および検証を行います。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

リプレイ攻撃を防止するため、アサーションには、タイムスタンプおよびWebサービス・プロバイダによる検証を含めるオプションが用意されています。異なる強度の暗号を使用してメッセージを保護できます。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_username_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-94に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定して、STSに対する認証用の鍵(ユーザー名/パスワードまたはX.509)を指定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- このポリシーは対称鍵テクノロジを使用します。このテクノロジは、データの暗号化と復号化に同じ共有鍵を使用する暗号化メソッドです。対称鍵は、メッセージへの署名に使用されます。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.172 oracle/wss11_username_token_with_message_protection_service_policy

oracle/wss11_username_token_with_message_protection_service_policyは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、認証を行います。プレーン・テキストとダイジェストの両方のメカニズムがサポートされます。

表示名: Wss11ユーザー名トークン(メッセージ保護付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

Webサービス・コンシューマは、ユーザー名とパスワード資格証明を挿入し、送信するSOAPメッセージに署名して暗号化します。Webサービス・プロバイダは、メッセージと署名の復号化および検証を行います。このポリシーは、SOAPベースのすべてのエンドポイントにアタッチできます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

リプレイ攻撃を防止するため、アサーションには、タイムスタンプおよびWebサービス・プロバイダによる検証を含めるオプションが用意されています。異なる強度の暗号を使用してメッセージを保護できます。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_username_token_with_message_protection_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-95に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.enc.csf.keyをオーバーライドします。

17.173 oracle/wss11_username_token_with_message_protection_sha256_client_policy

表示名: Wss11ユーザー名トークン(メッセージ保護付き) SHA256クライアント・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss11_username_token_with_message_protection_sha256_client_policyは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および認証を提供します。プレーン・テキスト・メカニズムのみがサポートされています。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

Webサービス・コンシューマは、ユーザー名とパスワード資格証明を挿入し、送信するSOAPメッセージに署名して暗号化します。Webサービス・プロバイダは、メッセージと署名の復号化および検証を行います。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

リプレイ攻撃を防止するため、アサーションには、タイムスタンプおよびWebサービス・プロバイダによる検証を含めるオプションが用意されています。異なる強度の暗号を使用してメッセージを保護できます。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、署名の承認にはWS-Securityの非対称鍵テクノロジのBasic 128スイート、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-2ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

クライアント側のキーストアは、リクエストごとに構成されるか、セキュリティ構成を介して構成されます。資格証明は、アウトバウンドSOAPリクエスト・メッセージのWS-Security UsernameTokenヘッダーに含まれます。資格証明は、現在のJava Authentication and Authorization Service (JAAS)サブジェクトを介してプログラムによって提供するか、構成済の資格証明ストアをポリシーで参照することによって提供します。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_username_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-94に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定して、STSに対する認証用の鍵(ユーザー名/パスワードまたはX.509)を指定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.sig.csf.keyおよびkeystore.enc.csf.keyの値を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- このポリシーは対称鍵テクノロジを使用します。このテクノロジは、データの暗号化と復号化に同じ共有鍵を使用する暗号化メソッドです。対称鍵は、メッセージへの署名に使用されます。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.174 oracle/wss11_username_token_with_message_protection_sha256_service_policy

表示名: Wss11ユーザー名トークン(メッセージ保護付き) SHA256サービス・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss11_username_token_with_message_protection_sha256_service_policyは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、認証を行います。プレーン・テキスト・メカニズムのみがサポートされています。

Webサービス・コンシューマは、ユーザー名とパスワード資格証明を挿入し、送信するSOAPメッセージに署名して暗号化します。Webサービス・プロバイダは、メッセージと署名の復号化および検証を行います。このポリシーは、SOAPベースのすべてのエンドポイントにアタッチできます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

リプレイ攻撃を防止するため、アサーションには、タイムスタンプおよびWebサービス・プロバイダによる検証を含めるオプションが用意されています。異なる強度の暗号を使用してメッセージを保護できます。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、署名の承認にはWS-Securityの非対称鍵テクノロジのBasic 128スイート、メッセージ機密保護にはRSA鍵メカニズム、メッセージ整合性にはSHA-2ハッシュ・アルゴリズムが使用され、AES-128ビット暗号化も使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

キーストアはセキュリティ構成を通して構成されます。資格証明は、UsernameToken WS-Security SOAPヘッダーを介して提供されます。資格証明は、構成済のアイデンティティ・ストアに対して認証されます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_username_token_with_message_protection_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-95に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.enc.csf.keyをオーバーライドします。

17.175 oracle/wss11_username_token_with_message_protection_wssc_client_policy

oracle/wss11_username_token_with_message_protection_wssc_client_policyは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および認証を提供します。プレーン・テキストとダイジェストの両方のメカニズムがサポートされます。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

表示名: Wss11ユーザー名トークン(メッセージ保護付き)(セキュア通信有効)クライアント・ポリシー

カテゴリ: セキュリティ

説明

Webサービス・コンシューマは、ユーザー名とパスワード資格証明を挿入し、送信するSOAPメッセージに署名して暗号化します。Webサービス・プロバイダは、メッセージと署名の復号化および検証を行います。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

リプレイ攻撃を防止するため、アサーションには、タイムスタンプおよびWebサービス・プロバイダによる検証を含めるオプションが用意されています。異なる強度の暗号を使用してメッセージを保護できます。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

このポリシーでは、セキュア通信が有効になります。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_username_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-94に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定して、STSに対する認証用の鍵(ユーザー名/パスワードまたはX.509)を指定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- Oracle Web Services Managerを使用したセキュア通信の構成で説明されているように、セキュア通信を構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.enc.csf.keyの値を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- このポリシーは対称鍵テクノロジを使用します。このテクノロジは、データの暗号化と復号化に同じ共有鍵を使用する暗号化メソッドです。対称鍵は、メッセージへの署名に使用されます。

- Oracle Web Services Managerを使用したセキュア通信の構成で説明されているように、セキュア通信を構成します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.176 oracle/wss11_username_token_with_message_protection_wssc_service_policy

oracle/wss11_username_token_with_message_protection_wssc_service_policyは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、認証を行います。プレーン・テキストとダイジェストの両方のメカニズムがサポートされます。

表示名: Wss11ユーザー名トークン(メッセージ保護付き)(セキュア通信有効)サービス・ポリシー

カテゴリ: セキュリティ

説明

Webサービス・コンシューマは、ユーザー名とパスワード資格証明を挿入し、送信するSOAPメッセージに署名して暗号化します。Webサービス・プロバイダは、メッセージと署名の復号化および検証を行います。このポリシーは、SOAPベースのすべてのエンドポイントにアタッチできます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

リプレイ攻撃を防止するため、アサーションには、タイムスタンプおよびWebサービス・プロバイダによる検証を含めるオプションが用意されています。異なる強度の暗号を使用してメッセージを保護できます。

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

このポリシーでは、セキュア通信が有効になります。Oracle Web Services Managerを使用したセキュア通信の構成を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_username_token_with_message_protection_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-95に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.enc.csf.keyをオーバーライドします。

17.177 oracle/wss11_x509_token_with_message_protection_client_policy

oracle/wss11_x509_token_with_message_protection_client_policyは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および証明書ベースの認証を提供します。

表示名: Wss11 X509トークン(メッセージ保護付き)クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_x509_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-97に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定して、STSに対する認証用の鍵(ユーザー名/パスワードまたはX.509)を指定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.enc.csf.keyの値を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- Webサービス・セキュリティの概念の理解の説明に従って、Webサービス・クライアントのキーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- Webサービス・クライアントは、WS-Securityバイナリ・セキュリティ・トークンを介してSOAPメッセージに有効なX.509認証資格証明を提供する必要があります。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.178 oracle/wss11_x509_token_with_message_protection_service_policy

Wss11 X509トークン(メッセージ保護付き)サービス・ポリシーは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ・レベルの保護と、証明書ベースの認証を行います。

表示名: Wss11 X509トークン(メッセージ保護付き)サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_x509_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-98に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを構成します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.enc.csf.keyをオーバーライドします。

17.179 oracle/wss11_x509_token_with_message_protection_wssc_client_policy

Wss11 X509トークン(メッセージ保護付き)(セキュア通信有効)クライアント・ポリシーは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密性)および証明書ベースの認証を提供します。

表示名: Wss11 X509トークン(メッセージ保護付き)(セキュア通信有効)クライアント・ポリシー

カテゴリ: セキュリティ

説明

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

このポリシーでは、セキュア通信が有効になります。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_x509_token_with_message_protection_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-97に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定して、STSに対する認証用の鍵(ユーザー名/パスワードまたはX.509)を指定します。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- Oracle Web Services Managerを使用したセキュア通信の構成で説明されているように、セキュア通信を構成します。

- 「サービス・アイデンティティ証明拡張の理解」で説明されているように、Webサービスのbase64エンコードされた公開証明書は、Webサービス・クライアントが使用するためにWSDLでパブリッシュされます。代替方法として、「ポリシー構成プロパティのオーバーライド」で説明されているように、keystore.recipient.aliasの値を指定できます。keystore.recipient.aliasは、アウトバウンドSOAPメッセージの暗号化用のキーを取得するときにキーストア内の公開鍵を検索するために使用される別名を指定します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- Oracle Web Services Managerを使用したセキュア通信の構成で説明されているように、セキュア通信を構成します。

- Webサービス・クライアントは、WS-Securityバイナリ・セキュリティ・トークンを介してSOAPメッセージに有効なX.509認証資格証明を提供する必要があります。

- Webサービス・セキュリティの概念の理解の説明に従って、Webサービス・クライアントのキーストアを設定します。このポリシーでは特に、クライアントとWebサービスそれぞれのキーストアに、お互いの公開鍵を含むデジタル証明書がすでに含まれている必要があります。

- Webサービス・クライアントは、WS-Securityバイナリ・セキュリティ・トークンを介してSOAPメッセージに有効なX.509認証資格証明を提供する必要があります。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

例17-*に、WS-Security 1.1標準に準拠し、セキュリティ・ヘッダーに含まれている暗号化要素の一般的な構造を示します。この例では、本体要素が暗号化されています。

17.180 oracle/wss11_x509_token_with_message_protection_wssc_service_policy

Wss11 X509トークン(メッセージ保護付き)(セキュア通信有効)サービス・ポリシーは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ・レベルの保護と、証明書ベースの認証を行います。

表示名: Wss11 X509トークン(メッセージ保護付き)(セキュア通信有効)サービス・ポリシー

カテゴリ: セキュリティ

説明

このポリシーでは、署名と暗号化には対称鍵テクノロジ、保証される署名にはWS-Securityの非対称鍵テクノロジのBasic 128スイートが使用されます。メッセージ保護に使用できる非対称アルゴリズムの詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

このポリシーでは、セキュア通信が有効になります。Oracle Web Services Managerを使用したセキュア通信の構成を参照してください。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss11_x509_token_with_message_protection_service_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-98に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを構成します。

- OPSSを設定する手順は次のとおりです。

- ポリシー・アサーションを、メッセージの署名、メッセージの暗号化またはその両方用に構成します。

- 「メッセージ保護に関するキーストアの構成の概要」で説明されているように、OWSMキーストアを設定します。

- (メッセージへの署名に使用される)クライアントの秘密鍵に対応する信頼できる証明書をキーストアに格納します。メッセージを復号化するためにキーストアにサービスの秘密鍵を格納し、CAルート証明書も格納します。

- 「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」で説明されているように、復号化キーのパスワードを資格証明ストアに格納します。キー名としてkeystore.enc.csf.keyを使用します。

- 「ポリシー構成のオーバーライドの概要」で説明されているように、サーバー側構成プロパティのkeystore.enc.csf.keyをオーバーライドします。

17.181 oracle/wss_saml_bearer_or_username_token_sha256_service_policy

表示名: WSSecurity SAMLトークンBearer/WSSecurityユーザー名トークンSha256サービス・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss_saml_bearer_or_username_token_sha256_service_policyは、クライアントがSAML Bearerまたはユーザー名トークンのいずれを使用するかに基づいて、認証ポリシーを強制します。

クライアントがSAMLトークンとユーザー名トークンのどちらを使用するかに基づいて、それぞれ次の認証ポリシーのいずれかを実行します。

- Bearer確認タイプを使用するWS-Security SOAPヘッダー内のSAMLトークン。

- 構成済のアイデンティティ・ストアに対してユーザーを認証するWS-Security UsernameToken SOAPヘッダー。

デフォルトでは、SAML BearerトークンはRSA-SHA256署名メソッドを使用したエンベロープ化された署名で署名されることが予期されています。このポリシーは、どのようなSOAPベースのエンドポイントにも適用できます。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceおよび作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

アサーション(ORグループ)

このポリシーには、次のアサーションがORグループとして含まれます。つまり、クライアントはどちらのタイプのポリシーでも実行できます。

- oracle/wss_saml_token_bearer_service_template

- oracle/wss_username_token_service_template。

アサーションはWSDLで通知されています。

17.182 oracle/wss_saml_token_bearer_identity_switch_client_policy

oracle/wss_saml_token_bearer_identity_switch_client_policyは、認証されたサブジェクトに基づいたものとは異なるアイデンティティを伝播することにより、動的なアイデンティティ切替えを実行します。このポリシーには、アウトバウンドSOAPリクエスト・メッセージのSAMLトークンが含まれます。

表示名: Wss SAML Token Bearerアイデンティティ切替えクライアント・ポリシー

カテゴリ: セキュリティ

説明

確認方法がBearerのSAMLトークンが自動的に作成されます。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

アサーション

このポリシーには次のアサーションが含まれています。

oracle/wss_saml_token_bearer_client_template

このアサーションの詳細は、「oracle/wss_saml_token_bearer_client_template」を参照してください。

構成

このポリシーには、アウトバウンドSOAPリクエスト・メッセージのSAMLトークンが含まれます。確認方法がBearerのSAMLトークンが自動的に作成されます。また、このポリシーは、トランスポート・プロトコルによりSSLメッセージ保護が提供されることも検証します。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

このポリシーには、oracle/wss_saml_token_bearer_over_ssl_client_templateポリシー・アサーションが含まれています。このアサーションの詳細は、「oracle/wss_saml_token_bearer_client_template」を参照してください。

設定

表18-47を参照してください。

構成プロパティ

表18-48を参照してください。

17.183 oracle/wss_saml_token_bearer_identity_switch_sha256_client_policy

表示名: Wss SAML Token Bearerアイデンティティ切替えSha256クライアント・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss_saml_token_bearer_identity_switch_sha256_client_policyは、認証されたサブジェクトに基づいたものとは異なるアイデンティティを伝播することにより、動的なアイデンティティ切替えを実行します。このポリシーには、アウトバウンドSOAPリクエスト・メッセージのSAMLトークンが含まれます。

確認方法BearerのSAMLトークンは、RSA-SHA256署名メソッドを使用したエンベロープ化された署名でデフォルトで署名されます。また、このポリシーは、トランスポート・プロトコルによりSSLメッセージ保護が提供されることも検証します。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

アサーション

このポリシーには次のアサーションが含まれています。

oracle/wss_saml_token_bearer_client_template

このアサーションの詳細は、「oracle/wss_saml_token_bearer_client_template」を参照してください。

構成

このポリシーには、アウトバウンドSOAPリクエスト・メッセージのSAMLトークンが含まれます。確認方法がBearerのSAMLトークンが自動的に作成されます。また、このポリシーは、トランスポート・プロトコルによりSSLメッセージ保護が提供されることも検証します。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

このポリシーには、oracle/wss_saml_token_bearer_over_ssl_client_templateポリシー・アサーションが含まれています。このアサーションの詳細は、「oracle/wss_saml_token_bearer_client_template」を参照してください。

設定

表18-47を参照してください。

構成プロパティ

表18-48を参照してください。

17.184 oracle/wss_saml_token_bearer_over_ssl_sha256_client_policy

表示名: Wss SAML Token Over SSL (Bearer確認方式) SHA256クライアント・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss_saml_token_bearer_over_ssl_sha256_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンを含めます。確認方法がBearerのSAMLトークンが自動的に作成されます。

SAMLトークンはRSA-SHA256署名メソッドを使用して署名されます。発行者名とサブジェクト名は、プログラムによって、または現在のJava Authentication and Authorization Service (JAAS)サブジェクトを介して提供されます。また、このポリシーは、トランスポート・プロトコルによりSSLメッセージ保護が提供されることも検証します。このポリシーは、SOAPベースのすべてのクライアントに添付できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml_token_bearer_over_ssl_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-52に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、クライアント側でSAMLを構成します。

17.185 oracle/wss_saml_token_bearer_over_ssl_sha256_service_policy

表示名: Wss SAML Token Over SSL (Bearer確認方式) SHA256サービス・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss_saml_token_bearer_over_ssl_sha256_service_policyは、WS-Security SOAPヘッダー内の確認方法がBearerのSAMLトークンに含まれる資格証明を使用してユーザーを認証します。RSA-SHA256署名メソッドを使用して署名されたSAMLトークンを受け入れます。

SAMLトークンに含まれる資格証明は、SAMLログイン・モジュールに対して認証されます。このポリシーは、トランスポート・プロトコルでSSLメッセージの保護が提供されていることを検証します。このポリシーは、SOAPベースのエンドポイントで実行できます。

SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml_token_bearer_over_ssl_service_template。

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-53に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

- 「ポリシー構成プロパティのオーバーライド」で説明されているように、propagate.identity.contextの値を指定します。propagate.identity.contextプロパティのデフォルトは、空白値です。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

- 「WebLogic Serverでサポートされる認証プロバイダ」で説明されているように、認証プロバイダを、WebサービスがデプロイされているWebLogicドメインのアクティブなセキュリティ・レルムに追加します。

- saml.loginmoduleログイン・モジュールを構成します。詳細は、「Fusion Middleware Controlを使用したSAMLおよびSAML2ログイン・モジュールの構成」を参照してください。SAMLログイン・モジュールは、検証されたトークンからユーザー名を抽出し、それを認証プロバイダに渡します。

- 「SAMLの構成について」で説明されているように、SAMLを構成してOPSSを設定します。

17.186 oracle/wss_saml_token_bearer_service_policy

表示名: WSSecurity SAML Token Bearerサービス・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss_saml_token_bearer_service_policyは、WS-Security SOAPヘッダー内のSAML Bearerトークンに含まれる資格証明を使用してユーザーを認証します。デフォルトでは、SAML Bearerトークンはエンベロープ化された署名で署名されることが予期されています。このポリシーは、どのようなSOAPベースのエンドポイントにも適用できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml_token_bearer_service_template

このアサーションはWSDLで通知されています。

17.187 oracle/wss_saml_token_bearer_sha256_client_policy

表示名: Wss SAMLトークン(Bearer確認方式) Sha256クライアント・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss_saml_token_bearer_sha256_client_policyは、アウトバウンドSOAPリクエスト・メッセージにSAML Bearerトークンを含めます。確認方法BearerのSAMLトークンは、RSA-SHA256署名メソッドを使用したエンベロープ化された署名でデフォルトで署名されます。

発行者名とサブジェクト名は、プログラムによって、または現在のJava Authentication and Authorization Service (JAAS)サブジェクトを介して提供されます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml_token_bearer_client_template

このアサーションは通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-52に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

- 「WebLogic Serverへの一方向SSLの構成」または「Webサービス・クライアントに関する双方向SSLの構成」で説明されているように、一方向SSLまたは双方向SSLを構成します。

設計時の考慮事項

設計時に次の手順を実行します。

- 「設計時におけるクライアント・ポリシー構成プロパティのオーバーライドについて」で説明されているように、構成設定をオーバーライドします。

- 「設計時のSAML Webサービス・クライアントの構成」で説明されているように、クライアント側でSAMLを構成します。

17.188 oracle/wss_saml_token_bearer_sha256_service_policy

表示名: WSSecurity SAML Token Bearer Sha256サービス・ポリシー

カテゴリ: セキュリティ

説明

oracle/wss_saml_token_bearer_sha256_service_policyは、WS-Security SOAPヘッダー内のSAML Bearerトークンに含まれる資格証明を使用してユーザーを認証します。SAML BearerトークンはRSA-SHA256署名メソッドを使用したエンベロープ化された署名で署名されることが予期されています。このポリシーは、どのようなSOAPベースのエンドポイントにも適用できます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/wss_saml_token_bearer_service_template

このアサーションはWSDLで通知されています。

17.189 oracle/binding_oes_authorization_policy

oracle/binding_oes_authorization_policyは、Oracle Entitlements Server (OES)で定義されたポリシーに基づき、認可を設定します。認可は、属性、現在の認証されたサブジェクト、およびクライアントが起動したWebサービスのアクションに基づいています。このポリシーは、Webサービスの任意の操作におけるファイングレイン認可に使用されます。

表示名: Oracle Entitlements Serverを使用したファイングレイン認可

カテゴリ: セキュリティ

説明

このポリシーは、サブジェクトが確立される認証ポリシーに従う必要があります。このポリシーは任意のSOAPエンドポイントにアタッチできます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/binding_oes_authorization_template

このアサーションはWSDLで通知されていません。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-100に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

17.190 oracle/binding_oes_masking_policy

oracle/binding_oes_masking_policyは、OESで定義されているポリシーに基づいてレスポンスのマスキングを実行します。マスキングは、属性、現在の認証されたサブジェクト、およびクライアントが起動したWebサービスのアクションに基づいています。このテンプレートは、Webサービスの任意の操作におけるファイングレイン・マスキングに使用されます。

表示名: Oracle Entitlements Serverを使用したレスポンスのマスキング

カテゴリ: セキュリティ

説明

このポリシーは、サブジェクトが確立される認証ポリシーに従う必要があります。このポリシーは任意のSOAPエンドポイントにアタッチできます。

アサーション

このポリシーには、ポリシーの設定および構成プロパティを定義する次のアサーション・テンプレートに基づくアサーションが含まれています。

- oracle/binding_oes_masking_template

このアサーションはWSDLで通知されています。

構成

このポリシーを構成する手順は次のとおりです。

- 表18-100に定義されている構成プロパティをオーバーライドします。詳細は、「ポリシー構成プロパティのオーバーライド」を参照してください。

17.191 oracle/component_oes_authorization_policy

oracle/component_oes_authorization_policyは、Oracle Entitlements Server (OES)で定義されたポリシーに基づき、ユーザー認可を実行します。

表示名: Oracle Entitlements Serverを使用したSCAコンポーネントのファイングレイン認可

カテゴリ: セキュリティ

説明

このポリシーは、Oracle Entitlements Server (OES)で定義されたポリシーに基づき、ユーザーの認可を実行します。

17.192 oracle/jms_transport_client_policy

JMS転送クライアント・ポリシーは、Webサービス・クライアントに対するSOAP over JMSトランスポートのサポートを有効にして、構成します。

表示名: JMS転送クライアント・ポリシー

カテゴリ: SOAP over JMSトランスポート

説明

Webサービス・クライアントに対するSOAP over JMSトランスポートのサポートを有効にして、構成します。

注意:

このポリシーを複製することはできません。また、このテンプレートに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

このポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

構成

表17-48は、SOAP over JMSクライアントの、オーバーライド可能な構成プロパティを示しています。

表17-48 oracle/jms_transport_client_policyの構成プロパティ

名前

説明

デフォルト

必須?

destination.name

宛先キューまたはトピックのJNDI名。

com.oracle.webservices.api.jms.RequestQueue

必須

destination.type

宛先タイプ。有効な値は、com.oracle.webservices.api.jms.JMSDestinationType.QUEUEまたはcom.oracle.webservices.api.jms.JMSDestinationType.TOPICです。この値のデフォルトはQUEUEです。

QUEUE

必須

jms.header.property

JMSヘッダー・プロパティ。各プロパティは、名前と値のペアを使用してセミコロン(;)で区切って指定します。例: name1=value1&...&nameN=valueN.

なし

オプション

jms.message.property

JMSメッセージ・プロパティ。各プロパティは、名前と値のペアを使用してセミコロン(;)で区切って指定します。例: name1=value1&...&nameN=valueN.

なし

オプション

jndi.connection.factory.name

JMS接続を確立するために使用されるコネクション・ファクトリのJNDI名。

com.oracle.webservices.jms.ConnectionFactory

必須

jndi.context.parameters

JNDIプロパティ。各プロパティは、名前と値のペアを使用してセミコロン(;)で区切って指定します。例: name1=value1&...&nameN=valueN.

JNDIプロバイダのInitialContextコンストラクタに送信されるjava.util.Hashtableにプロパティが追加されます。

なし

オプション

jndi.initial.context.factory

JNDIルックアップに使用される初期コンテキスト・ファクトリ・クラスの名前。この値は、java.naming.factory.initialプロパティにマップされます。

weblogic.jndi.WLInitialContextFactory

必須

jndiurl

JNDIプロバイダのURL。この値は、java.naming.provider.urlプロパティにマップされます。

t3://localhost:7001

必須

message.type

リクエスト・メッセージとともに使用するメッセージ・タイプ。有効な値は、com.oracle.webservices.api.jms.JMSMessageType.BYTESおよびcom.oracle.webservices.api.jms.JMSMessageType.TEXTです。この値のデフォルトはBYTESです。

詳細は、『Oracle WebLogic Server JAX-WS Webサービスの開発』のJMSメッセージ・タイプの構成に関する項を参照してください。

BYTES

必須

priority

リクエストとレスポンスのメッセージに関連付けられるJMS優先度。この値は、0(優先度最低)から9(優先度最高)までの正の整数として指定します。デフォルト値は0です。

0

必須

reply.to.name

レスポンス・メッセージが送信されるJMS宛先のJNDI名。

双方向動作の場合、デフォルトで一時レスポンス・キューが生成されます。デフォルトの一時レスポンス・キューを使用することで、必要となる構成が最小限に抑えられます。ただし、サーバーの障害時には、レスポンス・メッセージが失われる可能性があります。

このプロパティにより、クライアントは、応答の受取りにデフォルトの一時キューまたはトピックを使用するのではなく、事前に定義された永続キューまたはトピックを使用できます。JMSレスポンス・キューの構成の詳細は、『Oracle WebLogic Server JAX-WS Webサービスの開発』のレスポンス・キューの構成に関する項を参照してください。

この値は、リクエスト・メッセージのJMSReplyTo JMSヘッダーにマップされます。

なし

オプション

target.service

Webサービスのポート・コンポーネント名。この値は、サービス・リクエストをディスパッチするためにサービス実装によって使用されます。指定しない場合は、WSDLまたは@javax.jws.WebServiceアノテーションのサービス名が使用されます。

この値は、SOAPJMS_targetService JMSメッセージ・プロパティにマップされます。

なし

オプション

time.to.live

リクエスト・メッセージの存続期間(ミリ秒)。値が0の場合は、存続期間に制限がないことを示します。

サービス側では、timeToLiveでも各MDBトランザクションの期限が指定されます。

180000

必須

reference.priority

reference.priorityを参照してください。

なし

オプション

17.193 oracle/jms_transport_service_policy

JMS転送サービス・ポリシーは、WebサービスのSOAP over JMSトランスポートの構成プロパティをオーバーライドします。

表示名: JMS転送サービス・ポリシー

カテゴリ: SOAP over JMSトランスポート

説明

注意:

このポリシーを複製することはできません。また、このテンプレートに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

このポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

構成

表17-49は、WebサービスのSOAP over JMSトランスポートの、オーバーライド可能な構成プロパティを示しています。

表17-49 oracle/jms_transport_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

binding.version

SOAP JMSバインディングのバージョン。このリリースでは、この値をSOAP_JMS_1.0に設定する必要があります。これは、com.oracle.webservices.api.jms.JMSBindingVersion.SOAP_JMS_1_0と同じです。

この値は、SOAPJMS_bindingVersion JMSメッセージ・プロパティにマップされます。

SOAP_JMS_1.0

必須

delivery.mode

リクエスト・メッセージが永続的であるかどうかを示す配信モード。有効な値は、com.oracle.webservices.api.jms.DeliveryMode.PERSISTENTおよびcom.oracle.webservices.api.jms.DeliveryMode.NON_PERSISTENTです。

PERSISTENT

必須

enable.http.wsdl.access

HTTPを介してWSDLを公開するかどうかを指定するブール・フラグです。

true

オプション

run.as.principal

リスニングMDBの実行に使用されるプリンシパル。

なし

オプション

run.as.role

リスニングMDBの実行に使用されるロール。

なし

オプション

mdb.per.destination

リクエストされた宛先ごとに1つのリスニング・メッセージドリブンBean (MDB)を作成するかどうかを指定するブール・フラグ。

falseに設定すると、Webサービス・ポートごとに1つのリスニングMDBが作成され、そのMDBは他のポートによって共有できません。

true

オプション

activation.config

JMSプロバイダに渡されるアクティブ化構成プロパティ。各プロパティは、名前と値のペアを使用してセミコロン(;)で区切って指定します。例: name1=value1&...&nameN=valueN.

このプロパティでサポートされるアクティブ化構成プロパティのリストは、『Oracle WebLogic Server JAX-WS Webサービスの開発』のJMSトランスポート構成プロパティのサマリーに関する項を参照してください。

なし

オプション

destination.name

宛先キューまたはトピックのJNDI名。

com.oracle.webservices.api.jms.RequestQueue

必須

destination.type

宛先タイプ。有効な値は、com.oracle.webservices.api.jms.JMSDestinationType.QUEUEまたはcom.oracle.webservices.api.jms.JMSDestinationType.TOPICです。この値のデフォルトはQUEUEです。

QUEUE

必須

jms.header.property

JMSヘッダー・プロパティ。各プロパティは、名前と値のペアを使用してセミコロン(;)で区切って指定します。例: name1=value1&...&nameN=valueN.

なし

オプション

jms.message.property

JMSメッセージ・プロパティ。各プロパティは、名前と値のペアを使用してセミコロン(;)で区切って指定します。例: name1=value1&...&nameN=valueN.

なし

オプション

jndi.connection.factory.name

JMS接続を確立するために使用されるコネクション・ファクトリのJNDI名。

com.oracle.webservices.jms.ConnectionFactory

必須

jndi.context.parameters

JNDIプロパティ。各プロパティは、名前と値のペアを使用してセミコロン(;)で区切って指定します。例: name1=value1&...&nameN=valueN.

JNDIプロバイダのInitialContextコンストラクタに送信されるjava.util.Hashtableにプロパティが追加されます。

なし

オプション

jndi.initial.context.factory

JNDIルックアップに使用される初期コンテキスト・ファクトリ・クラスの名前。この値は、java.naming.factory.initialプロパティにマップされます。

weblogic.jndi.WLInitialContextFactory

必須

jndiurl

JNDIプロバイダのURL。この値は、java.naming.provider.urlプロパティにマップされます。

t3://localhost:7001

必須

17.194 oracle/no_jms_transport_client_policy

oracle/no_jms_transport_client_policyは、動作無効ポリシーであり、エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたSOAP over JMSトランスポート・クライアント・ポリシーを上位スコープで効率よく無効化します。

表示名: JMS転送クライアントなしポリシー

カテゴリ: SOAP over JMSトランスポート

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-50は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-50 oracle/no_jms_transport_client_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.195 oracle/no_jms_transport_service_policy

oracle/no_jms_transport_service_policyは、動作無効ポリシーであり、エンドポイントに直接アタッチされている場合、または下位スコープでグローバルにアタッチされている場合、グローバルにアタッチされたSOAP over JMSトランスポート・サービス・ポリシーを上位スコープで効率よく無効化します。

表示名: JMS転送クライアントなしポリシー

カテゴリ: SOAP over JMSトランスポート

説明

この動作無効ポリシーの使用の詳細は、「グローバルにアタッチされたポリシーの無効化」を参照してください。

注意:

以下の点に注意する必要があります。

- この動作無効ポリシーを複製することはできません。

- この動作無効ポリシーに関連付けられているアサーション・テンプレートを新規ポリシーの生成に使用することはできません。

- この動作無効ポリシーは、Java EE (WebLogic) Webサービスではサポートされていません。

アサーション

すべての動作無効ポリシーで、同一の動作無効アサーションが使用されます。動作無効アサーション用のアサーション・テンプレートは提供されていません。そのため、動作無効ポリシーは削除しないことが重要です。これらのポリシーを再作成するには、元のポリシーが含まれるOWSMリポジトリをリストアする必要があります。このリポジトリのリストアについては、「OWSMリポジトリの再構築」を参照してください。

構成

表17-51は、この動作無効ポリシーの、オーバーライド可能な構成プロパティを示しています。

表17-51 oracle/no_jms_transport_service_policyの構成プロパティ

名前

説明

デフォルト

必須?

reference.priority

reference.priorityを参照してください。

なし

オプション

17.196 oracle/http_oauth2_token_over_ssl_salesforce_jwt_client_policy

表示名: Http OAuth2 Token Over SSL Salesforce JWTクライアント・ポリシー

カテゴリ: セキュリティ

説明

oracle/http_oauth2_token_over_ssl_salesforce_jwt_client_policyは、特定のリソースにアクセスするためにSalesforce OAuth2サーバーからアクセス・トークンを取得する必要があるクライアント・アプリケーションにアタッチできます。Salesforce OAuth2サーバーがアクセス・トークンを発行するために受け入れることができるJWTトークンを生成するためにOWSMで必要となる特定のプロパティでカスタマイズされています。

ポリシーは、アウトバウンド・トランスポート・プロトコルがHTTPSであることを検証します。HTTPS以外のトランスポート・プロトコルを使用した場合、リクエストは拒否されます。このポリシーは、HTTPベースのクライアントにアタッチできます。

アサーション

このポリシーには、ポリシー・アサーションの設定および構成プロパティを定義する次のアサーション・テンプレートが含まれています:

oracle/http_oauth2_token_over_ssl_client_template

このアサーションの詳細は、「oracle/http_oauth2_token_over_ssl_client_template」を参照してください。

構成

oracle/http_oauth2_token_over_ssl_salesforce_jwt_client_policyは、ATが一方向SSLでリソースに伝播される以外は、http_oauth2_token_client_policyと同じです。このポリシーは、HTTPヘッダーにOAuth2アクセス・トークンを含めます。ATはSalesforce OAuth2サーバーから取得します。

ポリシーを割り当てる場合、次のプロパティをオーバーライドできます。

- csf-key

- oauth2.client.csf.key

- audience.uri

ポリシー・ファイルは、WLSTを使用するか、手動で編集する必要があります。Fusion Middleware Controlを使用してポリシーを編集することはできません。構成できるアサーション属性の詳細は、「oracle/http_oauth2_token_over_ssl_client_template」を参照してください。

オーバーライド可能な構成設定については、ポリシー構成プロパティのオーバーライドを参照してください。

このポリシーとoracle/oauth2_config_client_policyをクライアント・アプリケーションに割り当てます。oracle/oauth2_config_client_policyポリシーの必須プロパティtoken.uriは、OAuth2サーバーを指定します。

設定

表18-30を参照してください。

構成プロパティ

表18-27を参照してください。

18 Oracle Web Services Managerの事前定義済アサーション・テンプレート

このトピックでは、現在のリリース用に定義されている事前定義済アサーション・テンプレートについて説明します。事前定義済アサーション・テンプレートは、独自のポリシーの作成または新規ポリシー作成のためのクローニングに使用します。

注意:

現行リリースとともに配布される事前定義済のポリシーおよびアサーション・テンプレートは、読取り専用です。これらのポリシーまたはアサーション・テンプレートを変更するには、前もってそれらをコピーする必要があります。アサーション内の属性をポリシーに追加してから構成することもできます。アサーション・テンプレートの管理およびポリシーへの追加の詳細は、「ポリシー・アサーション・テンプレートの管理」を参照してください。

各表内の構成設定の詳細な説明については、Oracle Web Servicesのアサーション・テンプレートの設定を参照してください。

表に一覧されている構成プロパティの詳細は、Oracle Web Servicesのアサーション・テンプレートの構成プロパティを参照してください。構成プロパティの編集方法の詳細は、アサーション・テンプレートの構成プロパティの編集を参照してください。ポリシーのオーバーライドの詳細は、「ポリシー構成のオーバーライドの概要」を参照してください。

- 認証のみのアサーション・テンプレート

- メッセージ保護のみのアサーション・テンプレート

- メッセージ保護および認証のアサーション・テンプレート

- Oracle Entitlements Server (OES)統合用のテンプレート

- PIIアサーション・テンプレート

- WS-Trustアサーション・テンプレート

- 認可アサーション・テンプレート

- 管理アサーション・テンプレート

18.1 認証のみのアサーション・テンプレート

この表には、認証のみを実行するアサーション・テンプレートがまとめられ、トークンがトランスポート・レイヤーまたはSOAPヘッダーに組み込まれるかどうかが示されています。

表18-1 認証のみのアサーション・テンプレート

クライアント・テンプレート

サービス・テンプレート

認証(トランスポート)

認証(SOAP)

認証(REST)

メッセージ保護(トランスポート)

メッセージ保護(SOAP)

該当なし

oracle/http_oam_token_service_template。

なし

なし

あり

なし

なし

oracle/http_saml20_token_bearer_client_template

oracle/http_saml20_token_bearer_service_template

なし

なし

あり

あり

なし

oracle/http_spnego_token_client_template

oracle/http_spnego_token_service_template。

なし

なし

あり

あり

なし

oracle/wss_http_token_client_template

oracle/wss_http_token_service_template。

あり

なし

なし

なし

なし

oracle/wss_username_token_client_template

oracle/wss_username_token_service_template。

なし

あり

なし

なし

なし

oracle/wss10_saml_token_client_template

oracle/wss10_saml_token_service_template

なし

あり

なし

なし

なし

oracle/wss10_saml20_token_client_template

oracle/wss10_saml20_token_service_template

なし

あり

なし

なし

なし

oracle/wss11_kerberos_token_client_template

oracle/wss11_kerberos_token_service_template

なし

あり

なし

なし

なし

oracle/http_oauth2_token_client_template

なし

あり

なし

なし

なし

oracle/http_oauth2_token_over_ssl_client_template

-

なし

あり

なし

なし

なし

oracle/oauth2_config_client_template

-

なし

あり

なし

なし

なし

oracle/http_jwt_token_client_template

oracle/http_jwt_token_service_template。

なし

あり

なし

なし

なし

oracle/http_jwt_token_over_ssl_client_template

oracle/http_jwt_token_over_ssl_service_template。

なし

あり

なし

なし

なし

18.2 メッセージ保護のみのアサーション・テンプレート

表18-2は、メッセージ保護のみを実行するアサーション・テンプレートの概要、およびトークンがトランスポート・レイヤーまたはSOAPヘッダーに組み込まれるかどうかを示しています。

表18-2 メッセージ保護のみのアサーション・テンプレート

クライアント・テンプレート

サービス・テンプレート

認証(トランスポート)

認証(SOAP)

メッセージ保護(トランスポート)

メッセージ保護(SOAP)

oracle/wss10_message_protection_client_template

oracle/wss10_message_protection_service_template

なし

なし

なし

あり

oracle/wss11_message_protection_client_template

oracle/wss11_message_protection_service_template

なし

なし

なし

あり

18.3 メッセージ保護および認証のアサーション・テンプレート

表18-3は、メッセージ保護および認証の両方を実行するアサーション・テンプレートの概要、およびトークンがトランスポート・レイヤーまたはSOAPヘッダーに組み込まれるかどうかを示しています。

表18-3 メッセージ保護および認証のアサーション・テンプレート

クライアント・テンプレート

サービス・テンプレート

認証(トランスポート)

認証(SOAP)

メッセージ保護(トランスポート)

メッセージ保護(SOAP)

oracle/wss_http_token_over_ssl_client_template

oracle/wss_http_token_over_ssl_service_template。

あり

なし

あり

なし

oracle/wss_saml_token_bearer_over_ssl_client_template

oracle/wss_saml_token_bearer_over_ssl_service_template。

なし

あり

あり

なし

oracle/wss_saml20_token_bearer_over_ssl_client_template

oracle/wss_saml20_token_bearer_over_ssl_service_template

なし

あり

あり

なし

oracle/wss_saml_token_over_ssl_client_template

oracle/wss_saml_token_over_ssl_service_template。

なし

あり

あり

なし

oracle/wss_saml20_token_over_ssl_client_template

oracle/wss_saml20_token_over_ssl_service_template

なし

あり

あり

なし

oracle/wss_username_token_over_ssl_client_template

oracle/wss_username_token_over_ssl_service_template。

なし

あり

あり

なし

oracle/wss10_saml_hok_token_with_message_protection_client_template

oracle/wss10_saml_hok_token_with_message_protection_service_template

なし

あり

なし

あり

oracle/wss10_saml_token_with_message_protection_client_template

oracle/wss10_saml_token_with_message_protection_service_template

なし

あり

なし

あり

oracle/wss10_saml20_token_with_message_protection_client_template

oracle/wss10_saml20_token_with_message_protection_service_template

なし

あり

なし

あり

oracle/wss10_username_token_with_message_protection_client_template

oracle/wss10_username_token_with_message_protection_service_template

なし

あり

なし

あり

oracle/wss10_x509_token_with_message_protection_client_template

oracle/wss10_x509_token_with_message_protection_service_template

なし

あり

なし

あり

oracle/wss11_kerberos_token_with_message_protection_client_template

oracle/wss11_kerberos_token_with_message_protection_service_template

なし

あり

なし

あり

oracle/wss11_saml_token_with_message_protection_client_template

oracle/wss11_saml_token_with_message_protection_service_template。

なし

あり

なし

あり

oracle/wss11_saml20_token_with_message_protection_client_template

oracle/wss11_saml20_token_with_message_protection_service_template

なし

あり

なし

あり

oracle/wss11_username_token_with_message_protection_client_template

oracle/wss11_username_token_with_message_protection_service_template。

なし

あり

なし

あり

oracle/wss11_x509_token_with_message_protection_client_template

oracle/wss11_x509_token_with_message_protection_service_template

なし

あり

なし

あり

18.4 Oracle Entitlements Server (OES)統合用のテンプレート

このトピックは、OES統合に使用されるアサーション・テンプレートの概要を示しています。

次のトピックが含まれています:

- oracle/binding_oes_authorization_templateは、Oracle Entitlements Server (OES)で定義されたポリシーに基づき、認可を設定します。

- oracle/binding_oes_masking_templateは、Oracle Entitlements Server (OES)で定義されたポリシーに基づいてレスポンス・マスキングを実行します。

- oracle/component_oes_authorization_templateは、Oracle Entitlements Server (OES)で定義されたポリシーに基づき、認可を設定します。このテンプレートは、SCAコンポーネントのファイングレイン認可に使用されます。

18.5 PIIアサーション・テンプレート

この項は、PIIセキュリティに使用されるアサーション・テンプレートの概要を示しています。

oracle/pii_security_templateは、SOAPバインディング・レベルの認証されたサブジェクトに基づき、リクエストに対して簡単なロール・ベースの認可を行います。

18.6 WS-Trustアサーション・テンプレート

この項には、WS-Trustアサーション・テンプレートがまとめられています。

注意:
このリリースでは、Fusion Middleware Controlを使用してアサーション・テンプレートのテキストを直接編集できますが、「設定」ページおよび「構成」ページは使用できません。

- oracle/sts_trust_config_client_template

- oracle/sts_trust_config_service_template

- oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_template

- oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_template

- oracle/wss11_sts_issued_saml_hok_with_message_protection_client_template

- oracle/wss11_sts_issued_saml_hok_with_message_protection_service_template

- oracle/wss11_sts_issued_saml_with_message_protection_client_template

18.7 認可アサーション・テンプレート

このトピックに、認可に使用されるアサーション・テンプレートをまとめます。それぞれの認可アサーション・テンプレートは、認証アサーション・テンプレートの後に続ける必要があります。

- oracle/binding_authorization_templateは、SOAPバインディング・レベルの認証されたサブジェクトに基づき、リクエストに対して簡単なロール・ベースの認可を行います。

- oracle/binding_permission_authorization_templateは、SOAPバインディング・レベルの認証されたサブジェクトに基づき、リクエストに対して簡単な権限ベースの認可を行います。

- oracle/component_authorization_templateは、SOAコンポーネント・レベルの認証されたサブジェクトに基づき、リクエストに対して簡単なロールベースの認可を行います。

- oracle/component_permission_authorization_templateは、SOAコンポーネント・レベルの認証されたサブジェクトに基づき、リクエストに対して簡単な権限ベースの認可を行います。

18.8 管理アサーション・テンプレート

このトピックには、管理アサーション・テンプレートがまとめられています。

oracle/security_log_templateは、すべてのバインディングまたはコンポーネントに添付可能な、ロギング・アサーション・テンプレートを提供します。

18.9 oracle/http_oam_token_service_template。

このトピックでは、http_oam_token_service_templateアサーション・テンプレートについて説明します。

表示名: HTTP OAMサービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: http-oam-security

説明

http_oam_token_service_templateアサーション・テンプレートによって、OAMエージェントがユーザーを認証し、アイデンティティを確立したことが検証されます。このポリシーは、HTTPベースのすべてのエンドポイントに適用できます。

設定

表18-4は、http_oam_token_service_templateアサーション・テンプレートの設定を示しています。

表18-4 http_oam_token_service_templateの設定

名前

デフォルト値

認証ヘッダー

認証ヘッダー - メカニズム

oam

認証ヘッダー - ヘッダー名

なし

構成

表18-5は、http_oam_token_service_templateアサーション・テンプレートのデフォルト構成プロパティとデフォルト設定を示しています。

表18-5 http_oam_token_service_templateの構成プロパティ

名前

デフォルト値

タイプ

reference.priority

なし

オプション

18.10 oracle/http_saml20_token_bearer_client_template

このトピックでは、http_saml20_token_bearer_client_templateアサーション・テンプレートについて説明します。

表示名: HTTP Saml Bearer V2.0トークン・クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: http-saml20-bearer-security

説明

http_saml20_token_bearer_client_templateアサーション・テンプレートによって、アウトバウンドSOAPリクエスト・メッセージにSAML 2.0トークンが組み込まれます。確認方法がBearerのSAMLトークンが自動的に作成されます。

設定

表18-6は、http_saml20_token_bearer_client_templateアサーション・テンプレートの設定を示しています。

表18-6 http_saml20_token_bearer_client_templateの設定

名前

デフォルト値

認証ヘッダー

認証ヘッダー - メカニズム

saml20-bearer

認証ヘッダー - ヘッダー名

なし

構成

表18-7は、http_saml20_token_bearer_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-7 http_saml20_token_bearer_client_templateの構成プロパティ

名前

デフォルト値

タイプ

user.attributes

なし

オプション

saml.issuer.name

www.oracle.com

オプション

user.roles.include

false

オプション

csf-key

basic.credentials

オプション

subject.precedence

true

オプション

saml.audience.uri

なし

オプション

keystore.sig.csf.key

なし

オプション

saml.envelope.signature.required

true

オプション

reference.priority

なし

オプション

propagate.identity.context

なし

オプション

18.11 oracle/http_saml20_token_bearer_service_template

このトピックでは、http_saml20_token_bearer_service_templateアサーション・テンプレートについて説明します。

表示名: HTTP Saml Bearer V2.0トークン・サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: http-saml20-bearer-security

説明

http_saml20_token_bearer_service_templateアサーション・テンプレートでは、WS-Security SOAPヘッダー内の、確認方式がBearerとなっているSAMLトークンに指定されている資格証明を使用して、ユーザーが認証されます。

設定

http_saml20_token_bearer_service_templateアサーション・テンプレートの設定は、クライアント・バージョンのアサーション・テンプレートの設定と同じです。設定の詳細は、表18-6を参照してください。

構成

表18-56は、http_saml20_token_bearer_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-8 http_saml20_token_bearer_service_templateの構成プロパティ

名前

デフォルト値

タイプ

saml.trusted.issuers

なし

オプション

saml.envelope.signature.required

true

オプション

reference.priority

なし

オプション

propagate.identity.context

なし

オプション

18.12 oracle/http_spnego_token_client_template

このトピックでは、http_spnego_token_client_templateアサーション・テンプレートについて説明します。

表示名: SPNEGOトークン・クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: http-spnego-security

説明

http_spnego_token_client_templateアサーション・テンプレートは、KerberosトークンとSimple and Protected GSSAPI Negotiation Mechanism (SPNEGO)プロトコルを使用した認証を提供します。

設定

表18-9は、http_spnego_token_client_templateアサーション・テンプレートの設定を示しています。

表18-9 http_spnego_token_client_templateの設定

名前

デフォルト値

認証ヘッダー

認証ヘッダー - メカニズム

spnego

認証ヘッダー - ヘッダー名

なし

構成

表18-10は、http_spnego_token_client_templateアサーション・テンプレートの設定の構成プロパティおよびデフォルト設定を示しています。

表18-10 http_spnego_token_client_templateの構成プロパティ

名前

デフォルト値

タイプ

service.principal.name

HOST/localhost@EXAMPLE.COM

必須

keytab.location

なし

オプション

caller.principal.name

なし

オプション

credential.delegation

false

必須

role

ultimateReceiver

定数

reference.priority

なし

オプション

18.13 oracle/http_spnego_token_service_template。

このトピックでは、http_spnego_token_service_templateアサーション・テンプレートについて説明します。

表示名: SPNEGOトークン・サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: http-spnego-security

説明

http_spnego_token_service_templateアサーション・テンプレートは、KerberosトークンとSPNEGOプロトコルを使用した認証を提供します。

設定

http_spnego_token_service_templateアサーション・テンプレートの設定は、クライアント・バージョンのアサーション・テンプレートの設定と同じです。設定の詳細は、表18-9を参照してください。

構成

表18-11は、http_spnego_token_service_templateアサーション・テンプレートの設定の構成プロパティおよびデフォルト設定を示しています。

表18-11 http_spnego_token_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

credential.delegation

false

必須

reference.priority

なし

オプション

18.14 oracle/wss_http_token_client_template

このトピックでは、wss_http_token_client_templateアサーション・テンプレートについて説明します。

表示名: Wss HTTPトークン・クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: http-security

説明

wss_http_token_client_templateアサーション・テンプレートでは、HTTPヘッダー内にユーザー名およびパスワード資格証明が組み込まれます。一方向認証または双方向認証が必要かどうかを制御できます。

設定

表18-12は、wss_http_token_client_templateアサーション・テンプレートの設定を示しています。

表18-12 wss_http_token_client_templateの設定

名前

デフォルト値

認証ヘッダー

認証ヘッダー - メカニズム

basic

認証ヘッダー - ヘッダー名

なし

Transport Layer Security

Transport Layer Security

無効

Transport Layer Security - 相互認証が必要

無効

Transport Layer Security - タイムスタンプを含める

無効

構成

表18-13は、wss_http_token_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-13 wss_http_token_client_templateの構成プロパティ

名前

デフォルト値

タイプ

csf-key

basic.credentials

必須

role

ultimateReceiver

定数

reference.priority

なし

オプション

18.15 oracle/wss_http_token_service_template。

このトピックでは、wss_http_token_service_templateアサーション・テンプレートについて説明します。

表示名: Wss HTTPトークン・サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: http-security

説明

wss_http_token_service_templateアサーション・テンプレートでは、HTTPヘッダーの資格証明を使用して、Oracle Platform Security Servicesアイデンティティ・ストアに対してユーザーが認証されます。一方向認証または双方向認証が必要かどうかを制御できます。

設定

wss_http_token_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートの設定と同じです。設定の詳細は、表18-12を参照してください。

構成

表18-14は、wss_http_token_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-14 wss_http_token_service_templateの構成プロパティ

名前

デフォルト値

タイプ

realm

owsm

定数

role

ultimateReceiver

定数

reference.priority

なし

オプション

18.16 oracle/wss_username_token_client_template

このトピックでは、wss_username_token_client_templateアサーション・テンプレートについて説明します。

表示名: Wssユーザー名トークン・クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-username-token

説明

wss_username_token_client_templateアサーション・テンプレートでは、WS-Security UsernameTokenヘッダー内にユーザー名およびパスワード資格証明を使用した認証が組み込まれます。アサーションでは、3つのタイプのパスワード資格証明(プレーン・テキスト、ダイジェストおよびパスワードなし)がサポートされています。

注意:

ダイジェスト・パスワードを使用しないと、このテンプレートを使用して作成されたポリシーはセキュアではなくなります。このアサーションは、セキュリティが低くても問題にならない場合にのみプレーン・テキストでまたはパスワードなしで、または他のメカニズムでトランスポートが保護されていることがはっきりしている場合に使用してください。または、このアサーションのSSLバージョンであるoracle/wss_username_token_over_ssl_client_templateの使用を検討します。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceまたは作成時間を必要とするオプションが用意されています。

設定

表18-15は、wss_username_token_client_templateアサーション・テンプレートの設定を示しています。

表18-15 wss_username_token_client_templateの設定

名前

デフォルト値

ユーザー名トークン

パスワード・タイプ

plaintext

必要な作成時間

無効

必要なNonce

無効

構成

表18-16は、wss_username_token_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-16 wss_username_token_client_templateの構成プロパティ

名前

デフォルト値

タイプ

csf-key

basic.credentials

必須

role

ultimateReceiver

定数

csf.map

なし

オプション

user.tenant.name

なし

オプション

reference.priority

なし

オプション

18.17 oracle/wss_username_token_service_template。

このトピックでは、wss_username_token_service_templateアサーション・テンプレートについて説明します。

表示名: Wssユーザー名トークン・サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-username-token

説明

wss_username_token_service_templateアサーション・テンプレートでは、WS-Security UsernameToken SOAPヘッダー内のユーザー名およびパスワード資格証明を使用した認証が実行されます。アサーションでは、3つのタイプのパスワード資格証明(プレーン・テキスト、ダイジェストおよびパスワードなし)がサポートされています。

注意:

ダイジェスト・パスワードを使用しないと、このテンプレートを使用して作成されたポリシーはセキュアではなくなります。このアサーションは、セキュリティが低くても問題にならない場合にのみプレーン・テキストでまたはパスワードなしで、または他のメカニズムでトランスポートが保護されていることがはっきりしている場合に使用してください。または、このアサーションのSSLバージョンであるoracle/wss_username_token_over_ssl_service_templateの使用を検討します。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceまたは作成時間を必要とするオプションが用意されています。

設定

wss_username_token_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートの設定と同じです。設定の詳細は、表18-15を参照してください。

構成

表18-17は、wss_username_token_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-17 wss_username_token_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

reference.priority

なし

オプション

18.18 oracle/wss10_saml_token_client_template

このトピックでは、wss10_saml_token_client_templateアサーション・テンプレートについて説明します。

表示名: Wss10 SAMLトークン・クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-saml-token

説明

wss10_saml_token_client_templateアサーション・テンプレートでは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンが組み込まれます。SAMLトークンは自動的に作成されます。

設定

表18-18は、wss10_saml_token_client_templateアサーション・テンプレートの設定を示しています。

表18-18 wss10_saml_token_client_templateの設定

名前

デフォルト値

SAMLトークン・タイプ

バージョン

1.1

確認タイプ

sender-vouches

名前識別子フォーマット

未指定

構成

表18-19は、wss10_saml_token_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-19 wss10_saml_token_client_templateの構成プロパティ

名前

デフォルト値

タイプ

user.attributes

なし

オプション

user.roles.include

false

オプション

saml.issuer.name

www.oracle.com

オプション

csf-key

basic.credentials

オプション

subject.precedence

true

オプション

saml.audience.uri

なし

オプション

propagate.identity.context

なし

オプション

reference.priority

なし

オプション

18.19 oracle/wss10_saml_token_service_template

このトピックでは、wss10_saml_token_service_templateアサーション・テンプレートについて説明します。

表示名: Wss10 SAMLトークン・サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-saml-token

説明

wss10_saml_token_service_templateアサーション・テンプレートでは、WS-Security SOAPヘッダー内のSAMLトークンに指定されている資格証明を使用してユーザーが認証されます。

設定

wss10_saml_token_service_templateの設定は、クライアント・バージョンのアサーションの設定と同じです。設定の詳細は、表18-18を参照してください。

構成

表18-20は、wss10_saml_token_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-20 wss10_saml_token_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

saml.trusted.issuers

なし

オプション

propagate.identity.context

なし

オプション

reference.priority

なし

オプション

18.20 oracle/wss10_saml20_token_client_template

このトピックでは、wss10_saml20_token_client_templateアサーション・テンプレートについて説明します。

表示名: Wss10 SAML V2.0トークン・クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-saml-token

説明

wss10_saml20_token_client_templateアサーション・テンプレートでは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンが組み込まれます。SAMLトークンは自動的に作成されます。

設定

表18-21は、wss10_saml20_token_client_templateアサーション・テンプレートの設定を示しています。

表18-21 wss10_saml20_token_client_templateの設定

名前

デフォルト値

SAMLトークン・タイプ

バージョン

2.0

確認タイプ

sender-vouches

名前識別子フォーマット

未指定

構成

表18-22は、wss10_saml20_token_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。構成プロパティの設定の詳細は、「アサーション・テンプレートの構成プロパティの編集」を参照してください。

ポリシーのオーバーライドの詳細は、「ポリシー構成のオーバーライドの概要」を参照してください。

表18-22 wss10_saml20_token_client_templateの構成プロパティ

名前

デフォルト値

タイプ

user.attributes

なし

オプション

user.roles.include

false

オプション

saml.issuer.name

www.oracle.com

オプション

csf-key

basic.credentials

オプション

subject.precedence

true

オプション

saml.audience.uri

なし

オプション

propagate.identity.context

なし

オプション

reference.priority

なし

オプション

18.21 oracle/wss10_saml20_token_service_template

このトピックでは、wss10_saml20_token_service_templateアサーション・テンプレートについて説明します。

表示名: Wss10 SAML V2.0トークン・サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-saml-token

説明

wss10_saml20_token_service_templateアサーション・テンプレートでは、WS-Security SOAPヘッダー内のSAMLトークンに指定されている資格証明を使用してユーザーが認証されます。

設定

wss10_saml20_token_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートの設定と同様です。設定の詳細は、表18-21を参照してください。

構成

表18-23は、wss10_saml20_token_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。構成プロパティの設定の詳細は、「アサーション・テンプレートの構成プロパティの編集」を参照してください。

ポリシーのオーバーライドの詳細は、「ポリシー構成のオーバーライドの概要」を参照してください。

表18-23 wss10_saml20_token_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

saml.trusted.issuers

なし

オプション

propagate.identity.context

なし

オプション

reference.priority

なし

オプション

18.22 oracle/wss11_kerberos_token_client_template

このトピックでは、wss11_kerberos_token_client_templateアサーション・テンプレートについて説明します。

表示名: Wss11 Kerberosトークン・クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: kerberos-security

説明

wss11_kerberos_token_client_templateアサーション・テンプレートでは、WS-Security Kerberos Token Profile v1.1標準に従って、WS-SecurityヘッダーにKerberosトークンが組み込まれます。

設定

表18-24は、wss11_kerberos_token_client_templateアサーション・テンプレートの設定を示しています。

表18-24 wss11_kerberos_token_client_templateの設定

名前

デフォルト値

Kerberosトークン・タイプ

Kerberosトークン・タイプ

gss-apreq-v5

導出キー

無効

構成

表18-25は、wss11_kerberos_token_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-25 wss11_kerberos_token_client_templateの構成プロパティ

名前

デフォルト値

タイプ

service.principal.name

HOST/localhost@EXAMPLE.COM

必須

keytab.location

なし

オプション

caller.principal.name

なし

オプション

credential.delegation

false

必須

reference.priority

なし

オプション

18.23 oracle/wss11_kerberos_token_service_template

このトピックでは、wss11_kerberos_token_service_templateアサーション・テンプレートについて説明します。

表示名: Wss11 Kerberosトークン・サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: kerberos-security

説明

wss11_kerberos_token_service_templateアサーション・テンプレートは、WS-Security Kerberos Token Profile v1.1標準に従って実行されます。このテンプレートは、SOAPヘッダーからKerberosトークンを抽出し、ユーザーを認証します。コンテナには、Oracle Platform Security Servicesを介して構成されたKerberosインフラストラクチャが含まれている必要があります。

設定

wss11_keberos_token_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートの設定と同じです。設定の詳細は、表18-24を参照してください。

構成

表18-26は、wss11_kerberos_token_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-26 wss11_kerberos_token_service_templateの構成プロパティ

名前

デフォルト値

タイプ

credential.delegation

false

必須

role

ultimateReceiver

定数

reference.priority

なし

オプション

18.24 oracle/http_oauth2_token_client_template

http_oauth2_token_client_templateアサーション・テンプレートは、OAuth2トークンの認証のためのHTTPバインディング・レベル・テンプレートです。

設定

表18-27は、http_oauth2_token_client_templateアサーション・テンプレートの設定を示しています。

表18-27 http_oauth2_token_client_templateの設定

名前

説明

デフォルト値

認証ヘッダー - メカニズム

認証のメカニズム。

有効な値は次のとおりです。

- basic: ユーザー名およびパスワードを送信することで、クライアントが自身を認証します。
注意: Basic認証を使用する場合はSSLを構成することをお薦めします。

- cert: このリリースではサポートされていません。証明書を送信することで、クライアントが自身を認証します。

- custom: このリリースではサポートされていません。カスタムの認証メカニズム。

- digest: このリリースではサポートされていません。暗号化されたパスワードをMD5ダイジェストを使用して送信することで、クライアントが自身を認証します。

- jwt: クライアントはJWTトークンを使用して自身を認証します。

- oam: クライアントはOAMエージェントを使用して自身を認証します。

- oauth2: クライアントはOAuth2フレームワークを使用して認証します。

- saml20-bearer: クライアントはSAML 2.0 Bearerトークンを使用して自身を認証します。

- spnego: クライアントはKerberos SPNEGOを使用して自身を認証します。

<orasp:auth-header
orasp:mechanism="oauth2"/>

認証ヘッダー - ヘッダー名

認証ヘッダーの名前。

なし

認証ヘッダー - 署名済

トークンに署名するかどうかを指定するフラグ。

<orasp:auth-header
orasp:is-signed="false"/>

認証ヘッダー - 暗号化済

トークンを暗号化するかどうかを指定するフラグ。

<orasp:auth-header
orasp:is-encrypted="false"/>

構成

表18-28は、http_oauth2_token_client_templateアサーション・テンプレートのデフォルト構成プロパティを示しています。

表18-28 http_oauth2_token_client_templateの構成プロパティ

名前

説明

audience.uri

オーディエンス制限。次の条件がサポートされています。

- このプロパティを設定しない場合、サービスURLがオーディエンスURIとして使用されます。

- このプロパティをNONE (大/小文字の区別なし)に設定した場合、オーディエンスURIはnullに設定されます。

- このプロパティをNONE以外の値に設定した場合、オーディエンスURIはこの値に設定されます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="audience.uri"
orawsp:type="string">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>

authz.code

3-legged OAuth2ユースケースの認可コードを渡すためのオプションのプロパティ。(このリリースではサポートされていません。)

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="authz.code"
orawsp:type="string">
<orawsp:Value/>

csf-key

Oracle Platform Security Services(OPSS)アイデンティティ・ストアのユーザー名およびパスワードにマップする資格証明ストア・キー。

デフォルト設定:

<orawsp:Property orawsp:type="string"
orawsp:contentType="optional" orawsp:name="csf-key">
<orawsp:Value/>

csf.map

CSF別名を含む資格証明ストア内のOracle WSMマップ。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="csf.map" orawsp:type="string"/>

このプロパティのValueにアプリケーション・レベルのマップ名を指定すると、デフォルトのドメイン・レベルのOracle WSMマップをオーバーライドできます。次に例を示します。

<orawsp:Property orawsp:contentType="optional"
orawsp:name="csf.map" orawsp:type="string"/>
<orawsp:Value>app-level-mapname.map</orawsp:Value>
</orawsp:Property>

アプリケーション・レベルのマップへのアクセスでは、wsm-agent-core.jarへの資格証明アクセス権限およびアイデンティティ権限も付与する必要があります。

federated.client.token

オプションのプロパティです。デフォルトでは、oauth2.client.csf.keyおよびkeystore.sig.csf.keyプロパティを使用してクライアントのJWTトークンが生成されます。

falseに設定すると、oauth2.client.csf.keyを使用してOAuthサーバーへのクライアント・リクエストで送信する認可ヘッダーが生成されます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="federated.client.token"
orawsp:type="boolean">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>

include.certificate

trueの場合、署名証明書と信頼できる証明書チェーン(CAにより発行された証明書の場合)をJWTトークン要求に含めます。JWTトークンのサイズが大きくなりますが、サービス側キーストアに証明書および証明書チェーンをインポートする必要はありません。

falseの場合、証明書の拇印および別名のみをJWTトークンに含めます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="include.certificate"
orawsp:type="string">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>
</orawsp:Property>

issuer.name

ローカルに生成されるJWTトークン(iss:claim)で使用される発行者名を指定するオプションのプロパティ。デフォルトは、www.oracle.comです。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="issuer.name"
orawsp:type="string">
<orawsp:Value/>
<orawsp:DefaultValue>www.oracle.com</orawsp:DefaultValue>

keystore.sig.csf.key

ローカルに作成されるJWTトークンの署名のためのOracle WSMキーストアからのテナント・キーを指定するオプションのプロパティ。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="keystore.sig.csf.key"
orawsp:type="string">
<orawsp:Value/>

oauth2.client.csf.key

クライアントのユーザー名とパスワードを取得するために使用するキーを指定する必須プロパティ。

oauth2.client.csf.keyの値は、クライアント・プロファイルで必要とされるクライアントIDおよびシークレットと一致する必要があります(『Oracle Access Manager with Oracle Security Token Service管理者ガイド』のOAuthクライアント・プロファイル構成の理解に関する項を参照)。

federated.client.tokenをfalseに設定した場合は、oauth2.client.csf.keyを使用してOAuthサーバーへのクライアント・リクエストで送信される認可ヘッダーが生成されます。

oauth2.client.csf.keyをオーバーライドした場合は、その値が使用されます。そうでない場合は、oauth2_config_client_policyのoauth2.client.csf.keyの値が使用されます。

デフォルト設定:

<orawsp:Property orawsp:type="string"
orawsp:contentType="required"
orawsp:name="oauth2.client.csf.key">
<orawsp:Value/>
<orawsp:DefaultValue>NONE</orawsp:DefaultValue>
</orawsp:Property>

oracle.oauth2.service

トークン発行者のデフォルト動作およびスコープの決定方法を指定するオプションのプロパティ。trueの場合は、クライアントIDがOAuth2サーバーのユーザーおよびクライアントJWTトークンの発行者として使用されます。この場合、issuer.nameの値は無視されます。

falseの場合、発行者はwww.oracle.comのデフォルト値を持つissuer.nameによって決定します。

propagate.identity.context

アイデンティティ・コンテキスト情報をJWTトークンで要求として伝播するかどうかを指定するオプションのプロパティ。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="propagate.identity.context"
orawsp:type="string">
<orawsp:Value/>

redirect.uri

アクセス権が付与または拒否された後、ユーザー・エージェントをクライアントにリダイレクトするためにOAuthサーバーが使用するリダイレクトURIを指定するオプションのプロパティ。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="redirect.uri"
orawsp:type="string">
<orawsp:Value/>

reference.priority

ポリシー添付の優先順位を指定するオプションのプロパティ。添付ポリシーに対して指定されると、有効なポリシー・セット・アルゴリズムでは、最高の整数値の優先順位を持つポリシーを、そのスコープにかかわらず、競合するポリシー添付より優先します。

reference.priorityには、(-2^31)から(2^31 - 1)の範囲の任意の値を指定できます。値が高いほど、有効なポリシー計算で割り当てられる優先順位が高くなります。値を持たないポリシーまたは数値以外の値を持つポリシーは、値0を持つものとして扱われます。値にyes、true、onのいずれかの単語が設定されている場合、値は1に設定されます。

詳細は、「ポリシー・アタッチメントの優先度の指定」を参照してください。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="reference.priority"
orawsp:type="string"/>

scope

OAuth2リクエストのスコープ(現状のまま)を指定するオプションのプロパティ。存在する場合、OAuth2トークン・リクエストにスコープと値を含めます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="scope" orawsp:type="string">
<orawsp:Value/>

スコープは、oracle.oauth2.serviceプロパティの値に依存します。

- oracle.oauth2.serviceがfalse (デフォルト)の場合は、scopeプロパティによってスコープが決まります。

- oracle.oauth2.serviceがtrueで、scopeの値がない場合(デフォルト)、プロトコル、ホストおよびポート(使用可能な場合)をサービスURLから取得して使用します。

subject.precedence

JWTトークンの作成に使用されるサブジェクトを取得する場所を指定するプロパティ。

表10-2で説明されているように:

- subject.precedenceをtrueに設定した場合、JWTトークンを作成するためのユーザー名は認証済サブジェクトから取得されます。

- subject.precedenceをfalseに設定した場合、JWTトークンを作成するためのユーザー名はcsf-keyプロパティからのみ取得されます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="subject.precedence" orawsp:type="string">
<orawsp:Value>true</orawsp:Value>
</orawsp:Property>

time.in.millis

標準のNumericDate (JWTトークン内のexp (Expiry)クレームおよびiat (Issued AT)クレームの値に対する単位としての秒/Epoch後)をサポートします。

trueの場合は、ミリ秒/Epoch後が使用されます。それ以外の場合は、秒/Epoch後が使用されます。

デフォルト設定:

<orawsp:Property orawsp:type="boolean"
orawsp:contentType="optional"
orawsp:name="time.in.millis">
<orawsp:Value/>
<orawsp:DefaultValue>true</orawsp:DefaultValue>
</orawsp:Property>

user.attributes

ユーザー属性を要求としてJWTトークンに挿入するかどうかを指定するオプションのプロパティ。

含まれる属性をカンマ区切りのリストで指定します。たとえば、attrib1,attrib2と指定します。指定する属性名は、構成済アイデンティティ・ストア内の有効な属性に正確に一致する必要があります。Oracle WSMランタイムは、構成済のアイデンティティ・ストアからこれらの属性の値を読み取り、属性とその値をJWTトークンに含めます。

サブジェクトが有効であり、subject.precedenceがtrueに設定されている必要があります。

クライアント・ポリシーは、user.attributesを使用して指定された属性の値を、構成済のアイデンティティ・ストアから読み取ります。JWTクレームの作成には、有効な属性の名前および値がすべて使用されます。

user.attributesプロパティは1つのアイデンティティ・ストアに対してサポートされるものであり、リスト内の先頭のアイデンティティ・ストアのみが使用されます。そのため、ユーザーは、構成済WebLogic Serverの認証プロバイダで使用されるアイデンティティ・ストアに存在し、有効になっている必要があります。認証プロバイダは、認証プロバイダの構成で説明されています。

必要なアイデンティティ・ストアが先頭のアイデンティティ・ストアでない場合、検索する追加のアイデンティティ・ストアを指定できます。詳細は、「アサーションへのユーザー属性の組込み」を参照してください。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="user.attributes"
orawsp:type="string">
<orawsp:Value/>

user.roles.include

サブジェクトからのユーザー・ロールを要求としてJWTトークンに含めるかどうかを指定するオプションのプロパティ。trueに設定した場合、認証済ユーザー・ロールがプライベート・クレームとしてJWTトークンに含められます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="user.roles.include"
orawsp:type="boolean">
<orawsp:Value/>
<orawsp:DefaultValue>false</orawsp:DefaultValue>

user.tenant.name

内部使用に予約されています。

18.25 oracle/http_jwt_token_service_template。

oracle/http_jwt_token_service_templateは、HTTPヘッダー内のJWTトークンに指定されている資格証明を使用してユーザーを認証します。

設定

http_jwt_token_service_templateアサーション・テンプレートの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-34を参照してください。

構成

表18-29は、http_jwt_token_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-29 http_jwt_token_service_templateの構成プロパティ

名前

デフォルト値

trusted.issuers

ドメイン・レベルで定義された信頼できる発行者をオーバーライドする、アプリケーションの信頼できる発行者のカンマ区切りリスト。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="saml.trusted.issuers" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>

csf.map

CSF別名を含む資格証明ストア内のOracle WSMマップ。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="csf.map" orawsp:type="string"/>

keystore.sig.csf.key

署名キー・パスワードをキーストアに格納するために使用する別名とパスワード。指定した場合、このcsf-keyに対応するキーがキーストアからフェッチされ、署名に使用されます。このプロパティにより、ドメイン・レベルのかわりに添付レベルで署名キーを指定できます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="keystore.sig.csf.key" orawsp:type="string"/>

reference.priority

ポリシー添付の優先順位を指定するオプションのプロパティ。添付ポリシーに対して指定されると、有効なポリシー・セット・アルゴリズムでは、最高の整数値の優先順位を持つポリシーを、そのスコープにかかわらず、競合するポリシー添付より優先します。

reference.priorityには、(-2^31)から(2^31 - 1)の範囲の任意の値を指定できます。値が高いほど、有効なポリシー計算で割り当てられる優先順位が高くなります。値を持たないポリシーまたは数値以外の値を持つポリシーは、値0を持つものとして扱われます。値にyes、true、onのいずれかの単語が設定されている場合、値は1に設定されます。

詳細は、「ポリシー・アタッチメントの優先度の指定」を参照してください。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="reference.priority" orawsp:type="string"/>

propagate.identity.context

アイデンティティ・コンテキストをWebサービス・クライアントからWebサービスへ伝搬し、他のコンポーネントが認証および認可の目的でこれを使用できるようにします(発行します)。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="propagate.identity.context" orawsp:type="string"><orawsp:Value/>

18.26 oracle/http_oauth2_token_over_ssl_client_template

http_oauth2_token_over_ssl_client_templateアサーション・テンプレートは、OAuth2トークンの認証のためのHTTPバインディング・レベル・テンプレートです。このテンプレートは、ATが一方向SSLでリソースに伝播される以外は、http_oauth2_token_client_templateと同じです。

設定

表18-30は、http_oauth2_token_over_ssl_client_templateアサーション・テンプレートの設定を示しています。

表18-30 http_oauth2_token_over_ssl_client_templateの設定

名前

説明

デフォルト値

認証ヘッダー - メカニズム

認証のメカニズム。

有効な値は次のとおりです。

- basic: ユーザー名およびパスワードを送信することで、クライアントが自身を認証します。
注意: Basic認証を使用する場合はSSLを構成することをお薦めします。

- cert: このリリースではサポートされていません。証明書を送信することで、クライアントが自身を認証します。

- custom: このリリースではサポートされていません。カスタムの認証メカニズム。

- digest: このリリースではサポートされていません。暗号化されたパスワードをMD5ダイジェストを使用して送信することで、クライアントが自身を認証します。

- jwt: クライアントはJWTトークンを使用して自身を認証します。

- oam: クライアントはOAMエージェントを使用して自身を認証します。

- oauth2: クライアントはOAuth2フレームワークを使用して認証します。

- saml20-bearer: クライアントはSAML 2.0 Bearerトークンを使用して自身を認証します。

- spnego: クライアントはKerberos SPNEGOを使用して自身を認証します。

<orasp:auth-header
orasp:mechanism="oauth2"/>

認証ヘッダー - ヘッダー名

認証ヘッダーの名前。

なし

認証ヘッダー - 署名済

トークンに署名するかどうかを指定するフラグ。

<orasp:auth-header
orasp:is-signed="false"/>

認証ヘッダー - 暗号化済

トークンを暗号化するかどうかを指定するフラグ。

<orasp:auth-header
orasp:is-encrypted="false"/>

トランスポート・セキュリティ

SSLを有効にするかどうかを指定するフラグ。

<orasp:auth-header
orasp:require-tls/>

トランスポート・セキュリティ - 相互認証が必要

双方向認証が必要かどうかを指定するフラグ。

有効な値は次のとおりです。

- Enabled: サービスをクライアントに対して認証し、クライアントをサービスに対して認証する必要があります。

- Disabled: 一方向認証が必要です。サービスをクライアントに対して認証する必要がありますが、クライアントをサービスに対して認証する必要はありません。

<orasp:auth-header
orasp:mutual-auth="false"/>

トランスポート・セキュリティ - タイムスタンプを含める

タイムスタンプを含めるかどうかを指定するフラグ。タイムスタンプを使用して、メッセージが無効になる有効期限を識別することで、リプレイ攻撃を防止できます。

<orasp:auth-header
orasp:include-timestamp="false"/>

構成

http_oauth2_token_over_ssl_client_templateアサーション・テンプレートの設定は、アサーション・テンプレートの非SSLバージョンと同じです。設定の詳細は、表18-27を参照してください。

18.27 oracle/http_jwt_token_over_ssl_service_template。

oracle/http_jwt_token_over_ssl_service_templateは、HTTPヘッダー内のJWTトークンに指定されているユーザー名を使用してユーザーを認証します。

設定

http_jwt_token_over_ssl_service_templateアサーション・テンプレートの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-36を参照してください。

構成

表18-31は、http_jwt_token_over_ssl_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-31 http_jwt_token_over_ssl_service_templateの構成プロパティ

名前

デフォルト値

csf.map

CSF別名を含む資格証明ストア内のOracle WSMマップ。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="csf.map" orawsp:type="string"/>

keystore.sig.csf.key

署名キー・パスワードをキーストアに格納するために使用する別名とパスワード。指定した場合、このcsf-keyに対応するキーがキーストアからフェッチされ、署名に使用されます。このプロパティにより、ドメイン・レベルのかわりに添付レベルで署名キーを指定できます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="keystore.sig.csf.key" orawsp:type="string"/>

propagate.identity.context

アイデンティティ・コンテキストをWebサービス・クライアントからWebサービスへ伝搬し、他のコンポーネントが認証および認可の目的でこれを使用できるようにします(発行します)。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="propagate.identity.context" orawsp:type="string"><orawsp:Value/>

reference.priority

ポリシー添付の優先順位を指定するオプションのプロパティ。添付ポリシーに対して指定されると、有効なポリシー・セット・アルゴリズムでは、最高の整数値の優先順位を持つポリシーを、そのスコープにかかわらず、競合するポリシー添付より優先します。

reference.priorityには、(-2^31)から(2^31 - 1)の範囲の任意の値を指定できます。値が高いほど、有効なポリシー計算で割り当てられる優先順位が高くなります。値を持たないポリシーまたは数値以外の値を持つポリシーは、値0を持つものとして扱われます。値にyes、true、onのいずれかの単語が設定されている場合、値は1に設定されます。

詳細は、「ポリシー・アタッチメントの優先度の指定」を参照してください。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="reference.priority" orawsp:type="string"/>

trusted.issuers

ドメイン・レベルで定義された信頼できる発行者をオーバーライドする、アプリケーションの信頼できる発行者のカンマ区切りリスト。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="saml.trusted.issuers" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>

18.28 oracle/oauth2_config_client_template

oauth2_config_client_templateアサーション・テンプレートは、アクセス・トークンを取得するためにOAuth2サーバーを呼び出すときに使用するOAuth2情報を提供します。

設定

表18-32は、oauth2_config_client_templateアサーション・テンプレートの設定を示しています。

表18-32 oauth2_config_client_templateの設定

名前

説明

デフォルト値

token-uri

OAuth2サーバーのトークン・エンドポイントを指定する必須プロパティ。

orasp:token-uri="http://host:port/tokens"

構成

表18-33は、oauth2_config_client_templateアサーション・テンプレートのデフォルトの構成プロパティを示しています。

表18-33 oauth2_config_client_templateの構成プロパティ

名前

説明

oauth2.client.csf.key

クライアントのユーザー名とパスワードを取得するために使用するキーを指定する必須プロパティ。

oauth2.client.csf.keyの値は、クライアント・プロファイルで必要とされるクライアントIDおよびシークレットと一致する必要があります(『Oracle Access Manager with Oracle Security Token Service管理者ガイド』のOAuthクライアント・プロファイル構成の理解に関する項を参照)。

デフォルト設定:

<orawsp:Property orawsp:type="string"
orawsp:contentType="required"\
orawsp:name="oauth2.client.csf.key">
<orawsp:Value/>
<orawsp:DefaultValue>basic.client.credentials</orawsp:DefaultValue>
</orawsp:Property>

role

SOAPロール。

デフォルト設定:

<orawsp:Property orawsp:contentType="constant"
orawsp:name="role" orawsp:type="string">
<orawsp:DefaultValue>
ultimateReceiver
</orawsp:DefaultValue>
</orawsp:Property>

reference.priority

ポリシー添付の優先順位を指定するオプションのプロパティ。添付ポリシーに対して指定されると、有効なポリシー・セット・アルゴリズムでは、最高の整数値の優先順位を持つポリシーを、そのスコープにかかわらず、競合するポリシー添付より優先します。

reference.priorityには、(-2^31)から(2^31 - 1)の範囲の任意の値を指定できます。値が高いほど、有効なポリシー計算で割り当てられる優先順位が高くなります。値を持たないポリシーまたは数値以外の値を持つポリシーは、値0を持つものとして扱われます。値にyes、true、onのいずれかの単語が設定されている場合、値は1に設定されます。

詳細は、「ポリシー・アタッチメントの優先度の指定」を参照してください。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="reference.priority" orawsp:type="string"/>

token.uri

トークンURIの値をオーバーライドするオプションのプロパティ。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional" orawsp:name="token.uri" orawsp:type="string"><orawsp:Value/><orawsp:DefaultValue>http://host:port/tokens
</orawsp:DefaultValue></orawsp:Property>

18.29 oracle/http_jwt_token_client_template

http_jwt_token_client_templateアサーション・テンプレートは、HTTPヘッダーにJWTトークンを含めます。JWTトークンは自動的に作成されます。発行者名とサブジェクト名は、プログラムによって、またはポリシーを介して宣言的に提供されます。このテンプレートを使用して作成したポリシーは、任意のHTTPベース・クライアントに添付できます。構成オーバーライド・プロパティを使用して、オーディエンス制限条件を指定できます。

設定

表18-34は、http_jwt_token_client_templateアサーション・テンプレートの設定を示しています。

表18-34 http_jwt_token_client_templateの設定

名前

説明

デフォルト値

認証ヘッダー - メカニズム

認証のメカニズム。

有効な値は次のとおりです。

- basic: ユーザー名およびパスワードを送信することで、クライアントが自身を認証します。
注意: Basic認証を使用する場合はSSLを構成することをお薦めします。

- cert: このリリースではサポートされていません。証明書を送信することで、クライアントが自身を認証します。

- custom: このリリースではサポートされていません。カスタムの認証メカニズム。

- digest: このリリースではサポートされていません。暗号化されたパスワードをMD5ダイジェストを使用して送信することで、クライアントが自身を認証します。

- jwt: クライアントはJWTトークンを使用して自身を認証します。

- oam: クライアントはOAMエージェントを使用して自身を認証します。

- saml20-bearer: クライアントはSAML 2.0 Bearerトークンを使用して自身を認証します。

- spnego: クライアントはKerberos SPNEGOを使用して自身を認証します。

<orasp:auth-header
orasp:mechanism="jwt"/>

認証ヘッダー - ヘッダー名

認証ヘッダーの名前。

なし

認証ヘッダー - アルゴリズム・スイート

JWTトークンの署名に使用されるアルゴリズム・スイート。

<orasp:auth-header
orasp:algorithm-suite="Basic256Sha256"/"

認証ヘッダー - 署名済

JWTトークンを署名するかどうかを指定するフラグ。JWTポリシーの場合、有効な値はtrueのみです。

<orasp:auth-header
orasp:is-signed="true"/>

認証ヘッダー - 暗号化済

JWTトークンを暗号化するかどうかを指定するフラグ。

<orasp:auth-header
orasp:is-encrypted="false"/>

構成

表18-35は、http_jwt_token_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-35 http_jwt_token_client_templateの構成プロパティ

名前

デフォルト値

audience.uri

オーディエンス制限。次の条件がサポートされています。

- このプロパティを設定しない場合、サービスURLがオーディエンスURIとして使用されます。

- このプロパティをNONE (大/小文字の区別なし)に設定した場合、オーディエンスURIはnullに設定されます。

- このプロパティをNONE以外の値に設定した場合、オーディエンスURIはこの値に設定されます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="audience.uri" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>

csf-key

Oracle Platform Security Services(OPSS)アイデンティティ・ストアのユーザー名およびパスワードにマップする資格証明ストア・キー。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="csf-key" orawsp:type="string">
<orawsp:Value>basic.credentials</orawsp:Value>
</orawsp:Property>

csf.map

CSF別名を含む資格証明ストア内のOracle WSMマップ。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="csf.map" orawsp:type="string"/>

issuer.name

JWT発行者の名前。デフォルト値はwww.oracle.comです。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="issuer.name" orawsp:type="string">
<orawsp:Value>www.oracle.com</orawsp:Value>
</orawsp:Property>

keystore.sig.csf.key

署名キー・パスワードをキーストアに格納するために使用する別名とパスワード。指定した場合、このcsf-keyに対応するキーがキーストアからフェッチされ、署名に使用されます。このプロパティにより、ドメイン・レベルのかわりに添付レベルで署名キーを指定できます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="keystore.sig.csf.key" orawsp:type="string"/>

propagate.identity.context

アイデンティティ・コンテキストをWebサービス・クライアントからWebサービスへ伝搬し、他のコンポーネントが認証および認可の目的でこれを使用できるようにします(発行します)。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="propagate.identity.context" orawsp:type="string"><orawsp:Value/>

reference.priority

ポリシー添付の優先順位を指定するオプションのプロパティ。添付ポリシーに対して指定されると、有効なポリシー・セット・アルゴリズムでは、最高の整数値の優先順位を持つポリシーを、そのスコープにかかわらず、競合するポリシー添付より優先します。

reference.priorityには、(-2^31)から(2^31 - 1)の範囲の任意の値を指定できます。値が高いほど、有効なポリシー計算で割り当てられる優先順位が高くなります。値を持たないポリシーまたは数値以外の値を持つポリシーは、値0を持つものとして扱われます。値にyes、true、onのいずれかの単語が設定されている場合、値は1に設定されます。

詳細は、「ポリシー・アタッチメントの優先度の指定」を参照してください。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="reference.priority" orawsp:type="string"/>

subject.precedence

JWTトークンの作成に使用されるサブジェクトを取得する場所を指定するプロパティ。

subject.precedenceをtrueに設定した場合、JWTトークンを作成するためのユーザー名は認証済サブジェクトから取得されます。subject.precedenceをfalseに設定した場合、JWTトークンを作成するためのユーザー名はcsf-keyユーザー名プロパティからのみ取得されます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="subject.precedence" orawsp:type="string">
<orawsp:Value>true</orawsp:Value>
</orawsp:Property>

user.attributes

JWTトークンに含める認証済ユーザーのユーザー属性のリスト。

含まれる属性をカンマ区切りのリストで指定します。たとえば、attrib1,attrib2と指定します。指定する属性名は、構成済アイデンティティ・ストア内の有効な属性に正確に一致する必要があります。Oracle WSMランタイムは、構成済のアイデンティティ・ストアからこれらの属性の値を読み取り、属性とその値をJWTトークンに含めます。

サブジェクトが有効であり、subject.precedenceがtrueに設定されている必要があります。

クライアント・ポリシーは、user.attributesを使用して指定された属性の値を、構成済のアイデンティティ・ストアから読み取ります。JWTクレームの作成には、有効な属性の名前および値がすべて使用されます。

user.attributesプロパティは1つのアイデンティティ・ストアに対してサポートされるものであり、リスト内の先頭のアイデンティティ・ストアのみが使用されます。そのため、ユーザーは、構成済WebLogic Serverの認証プロバイダで使用されるアイデンティティ・ストアに存在し、有効になっている必要があります。認証プロバイダは、認証プロバイダの構成で説明されています。

必要なアイデンティティ・ストアが先頭のアイデンティティ・ストアでない場合、検索する追加のアイデンティティ・ストアを指定できます。詳細は、「アサーションへのユーザー属性の組込み」を参照してください。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="user.attributes" orawsp:type="string"/>

user.roles.include

JWTトークンに含めるユーザー・ロール。trueに設定した場合、認証済ユーザー・ロールがプライベート・クレームとしてJWTトークンに含められます。デフォルトは、falseです。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="user.roles.include" orawsp:type="string">
<orawsp:Value>false</orawsp:Value>
</orawsp:Property>

user.tenant.name

内部使用に予約されています。

18.30 oracle/http_jwt_token_over_ssl_client_template

http_jwt_token_over_ssl_client_templateアサーション・テンプレートは、HTTPヘッダーにJWTトークンを含めます。JWTトークンは自動的に作成されます。発行者名とサブジェクト名は、プログラムによって、またはポリシーを介して宣言的に提供されます。

このテンプレートを使用して作成したポリシーは、任意のHTTPベース・クライアントに添付できます。構成オーバーライド・プロパティを使用して、オーディエンス制限条件を指定できます。

設定

表18-36は、http_jwt_token_over_ssl_client_templateアサーション・テンプレートの設定を示しています。

表18-36 http_jwt_token_over_ssl_client_templateの設定

名前

説明

デフォルト値

認証ヘッダー - メカニズム

認証のメカニズム。

有効な値は次のとおりです。

- basic: ユーザー名およびパスワードを送信することで、クライアントが自身を認証します。
注意: Basic認証を使用する場合はSSLを構成することをお薦めします。

- cert: このリリースではサポートされていません。証明書を送信することで、クライアントが自身を認証します。

- custom: このリリースではサポートされていません。カスタムの認証メカニズム。

- digest: このリリースではサポートされていません。暗号化されたパスワードをMD5ダイジェストを使用して送信することで、クライアントが自身を認証します。

- jwt: クライアントはJWTトークンを使用して自身を認証します。

- oam: クライアントはOAMエージェントを使用して自身を認証します。

- saml20-bearer: クライアントはSAML 2.0 Bearerトークンを使用して自身を認証します。

- spnego: クライアントはKerberos SPNEGOを使用して自身を認証します。

<orasp:auth-header
orasp:mechanism="jwt"/>

認証ヘッダー - ヘッダー名

認証ヘッダーの名前。

なし

認証ヘッダー - アルゴリズム・スイート

JWTトークンの署名に使用されるアルゴリズム・スイートを指定するフラグ。

<orasp:auth-header
orasp:algorithm-suite="Basic256Sha256"/"

認証ヘッダー - 署名済

JWTトークンを署名するかどうかを指定するフラグ。JWTポリシーの場合、有効な値はtrueのみです。

<orasp:auth-header
orasp:is-signed="true"/>

認証ヘッダー - 暗号化済

JWTトークンを暗号化するかどうかを指定するフラグ。

<orasp:auth-header
orasp:is-encrypted="false"/>

トランスポート・セキュリティ

SSLを有効にするかどうかを指定するフラグ。

<orasp:auth-header
orasp:require-tls/>

トランスポート・セキュリティ - 相互認証が必要

双方向認証が必要かどうかを指定するフラグ。

有効な値は次のとおりです。

- Enabled: サービスをクライアントに対して認証し、クライアントをサービスに対して認証する必要があります。

- Disabled: 一方向認証が必要です。サービスをクライアントに対して認証する必要がありますが、クライアントをサービスに対して認証する必要はありません。

<orasp:auth-header
orasp:mutual-auth="false"/>

トランスポート・セキュリティ - タイムスタンプを含める

タイムスタンプを含めるかどうかを指定するフラグ。タイムスタンプを使用して、メッセージが無効になる有効期限を識別することで、リプレイ攻撃を防止できます。

<orasp:auth-header
orasp:include-timestamp="false"/>

構成

表18-37は、http_jwt_token_over_ssl_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-37 http_jwt_token_over_ssl_client_templateの構成プロパティ

名前

デフォルト値

audience.uri

オーディエンス制限。次の条件がサポートされています。

- このプロパティを設定しない場合、サービスURLがオーディエンスURIとして使用されます。

- このプロパティをNONE (大/小文字の区別なし)に設定した場合、オーディエンスURIはnullに設定されます。

- このプロパティをNONE以外の値に設定した場合、オーディエンスURIはこの値に設定されます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="audience.uri" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>

csf.map

CSF別名を含む資格証明ストア内のOracle WSMマップ。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="csf.map" orawsp:type="string"/>

csf-key

Oracle Platform Security Services(OPSS)アイデンティティ・ストアのユーザー名およびパスワードにマップする資格証明ストア・キー。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="csf-key" orawsp:type="string">
<orawsp:Value>basic.credentials</orawsp:Value>
</orawsp:Property>

issuer.name

JWT発行者の名前。デフォルト値はwww.oracle.comです。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="issuer.name" orawsp:type="string">
<orawsp:Value>www.oracle.com</orawsp:Value>
</orawsp:Property>

keystore.sig.csf.key

署名キー・パスワードをキーストアに格納するために使用する別名とパスワード。指定した場合、このcsf-keyに対応するキーがキーストアからフェッチされ、署名に使用されます。このプロパティにより、ドメイン・レベルのかわりに添付レベルで署名キーを指定できます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="keystore.sig.csf.key" orawsp:type="string"/>

propagate.identity.context

アイデンティティ・コンテキストをWebサービス・クライアントからWebサービスへ伝搬し、他のコンポーネントが認証および認可の目的でこれを使用できるようにします(発行します)。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="propagate.identity.context" orawsp:type="string"><orawsp:Value/>

reference.priority

ポリシー添付の優先順位を指定するオプションのプロパティ。添付ポリシーに対して指定されると、有効なポリシー・セット・アルゴリズムでは、最高の整数値の優先順位を持つポリシーを、そのスコープにかかわらず、競合するポリシー添付より優先します。

reference.priorityには、(-2^31)から(2^31 - 1)の範囲の任意の値を指定できます。値が高いほど、有効なポリシー計算で割り当てられる優先順位が高くなります。値を持たないポリシーまたは数値以外の値を持つポリシーは、値0を持つものとして扱われます。値にyes、true、onのいずれかの単語が設定されている場合、値は1に設定されます。

詳細は、「ポリシー・アタッチメントの優先度の指定」を参照してください。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="reference.priority" orawsp:type="string"/>

subject.precedence

JWTトークンの作成に使用されるサブジェクトを取得する場所を指定するプロパティ。

subject.precedenceをtrueに設定した場合、JWTトークンを作成するためのユーザー名は認証済サブジェクトから取得されます。subject.precedenceをfalseに設定した場合、JWTトークンを作成するためのユーザー名はcsf-keyユーザー名プロパティからのみ取得されます。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="subject.precedence" orawsp:type="string">
<orawsp:Value>true</orawsp:Value>
</orawsp:Property>

user.attributes

JWTトークンに含める認証済ユーザーのユーザー属性のリスト。

含まれる属性をカンマ区切りのリストで指定します。たとえば、attrib1,attrib2と指定します。指定する属性名は、構成済アイデンティティ・ストア内の有効な属性に正確に一致する必要があります。Oracle WSMランタイムは、構成済のアイデンティティ・ストアからこれらの属性の値を読み取り、属性とその値をJWTトークンに含めます。

サブジェクトが有効であり、subject.precedenceがtrueに設定されている必要があります。

クライアント・ポリシーは、user.attributesを使用して指定された属性の値を、構成済のアイデンティティ・ストアから読み取ります。JWTクレームの作成には、有効な属性の名前および値がすべて使用されます。

user.attributesプロパティは1つのアイデンティティ・ストアに対してサポートされるものであり、リスト内の先頭のアイデンティティ・ストアのみが使用されます。そのため、ユーザーは、構成済WebLogic Serverの認証プロバイダで使用されるアイデンティティ・ストアに存在し、有効になっている必要があります。認証プロバイダは、認証プロバイダの構成で説明されています。

必要なアイデンティティ・ストアが先頭のアイデンティティ・ストアでない場合、検索する追加のアイデンティティ・ストアを指定できます。詳細は、「アサーションへのユーザー属性の組込み」を参照してください。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="user.attributes" orawsp:type="string"/>

user.roles.include

JWTトークンに含めるユーザー・ロール。trueに設定した場合、認証済ユーザー・ロールがプライベート・クレームとしてJWTトークンに含められます。デフォルトは、falseです。

デフォルト設定:

<orawsp:Property orawsp:contentType="optional"
orawsp:name="user.roles.include" orawsp:type="string">
<orawsp:Value>false</orawsp:Value>
</orawsp:Property>

user.tenant.name

内部で使用するために予約されています。

18.31 oracle/wss10_message_protection_client_template

このトピックでは、wss10_message_protection_client_templateアサーション・テンプレートについて説明します。

表示名: Wss10メッセージ保護クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-anonymous-with-certificates

説明

wss10_message_protection_client_templateアサーション・テンプレートでは、WS-Security 1.0標準に従って、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)が実行されます。

設定

表18-38は、wss10_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-38 wss10_message_protection_client_templateの設定

名前

デフォルト値

X509トークン

署名鍵参照メカニズム

direct

暗号化鍵参照メカニズム

direct

受信者署名鍵参照メカニズム

direct

受信者暗号化鍵参照メカニズム

direct

署名済

無効

PKIパスの使用

無効

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

有効

サーバー・エントロピ

有効

ブートストラップ・メッセージ・セキュリティ

アプリケーション設定から継承

メッセージ・セキュリティ

アルゴリズム・スイート

BASIC_128

タイムスタンプを含める

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成

表18-39は、wss10_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-39 wss10_message_protection_client_templateの構成プロパティ

名前

デフォルト値

タイプ

keystore.recipient.alias

orakey

必須

role

ultimateReceiver

定数

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.32 oracle/wss10_message_protection_service_template

このトピックでは、wss10_message_protection_service_templateアサーション・テンプレートについて説明します。

表示名: Wss10メッセージ保護サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-anonymous-with-certificates

説明

wss10_message_protection_service_templateアサーション・テンプレートでは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)が実行されます。

設定

wss10_message_protection_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートの設定と同じです。設定の詳細は、表18-38を参照してください。

構成

表18-40は、wss10_message_protection_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-40 wss10_message_protection_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.33 oracle/wss11_message_protection_client_template

このトピックでは、wss11_message_protection_client_templateアサーション・テンプレートについて説明します。

表示名: Wss11メッセージ保護クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-anonymous-with-certificates

説明

wss11_message_protection_client_templateアサーション・テンプレートでは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)が実行されます。

設定

表18-41は、wss11_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-41 wss11_message_protection_client_templateの設定

名前

デフォルト値

X509トークン

暗号化鍵参照メカニズム

thumbprint

署名済

有効

PKIパスの使用

無効

導出キー

無効

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

有効

サーバー・エントロピ

有効

ブートストラップ・メッセージ・セキュリティ

アプリケーション設定から継承

メッセージ・セキュリティ

アルゴリズム・スイート

BASIC_128

タイムスタンプを含める

有効

署名の確認

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成

表18-42は、wss11_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-42 wss11_message_protection_client_templateの構成プロパティ

名前

デフォルト値

タイプ

keystore.recipient.alias

orakey

必須

role

ultimateReceiver

定数

keystore.enc.csf.key

なし

オプション

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.34 oracle/wss11_message_protection_service_template

このトピックでは、wss11_message_protection_service_templateアサーション・テンプレートについて説明します。

表示名: Wss11メッセージ保護サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-anonymous-with-certificates

説明

wss11_message_protection_service_templateアサーション・テンプレートでは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)が実行されます。

設定

wss11_message_protection_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートの設定と同じです。設定の詳細は、表18-41を参照してください。

構成

表18-43は、wss11_message_protection_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-43 wss11_message_protection_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

keystore.enc.csf.key

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.35 oracle/wss_http_token_over_ssl_client_template

このトピックでは、wss_http_token_over_ssl_client_templateアサーション・テンプレートについて説明します。

表示名: Wss HTTP Token Over SSLクライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: http-security

説明

wss_http_token_over_ssl_client_templateアサーション・テンプレートでは、アウトバウンド・クライアント・リクエストのHTTPヘッダーに資格証明が組み込まれ、Oracle Platform Security Servicesアイデンティティ・ストアに対してユーザーが認証されます。このポリシーは、トランスポート・プロトコルがHTTPSであることを検証します。HTTPS以外のトランスポート・プロトコルを介するリクエストは拒否されます。このポリシーは、HTTPベースのあらゆるクライアントに適用できます。

設定

表18-44は、wss_http_token_over_ssl_client_templateアサーション・テンプレートの設定を示しています。

表18-44 wss_http_token_over_ssl_client_templateの設定

名前

デフォルト値

認証ヘッダー

認証ヘッダー - メカニズム

basic

認証ヘッダー - ヘッダー名

なし

Transport Layer Security

Transport Layer Security

有効

Transport Layer Security - 相互認証が必要

無効

Transport Layer Security - タイムスタンプを含める

無効

アルゴリズム・スイート

BASIC_128

構成

表18-45は、wss_http_token_over_ssl_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-45 wss_http_token_over_ssl_client_templateの構成プロパティ

名前

デフォルト値

タイプ

csf-key

basic.credentials

必須

role

ultimateReceiver

定数

reference.priority

なし

オプション

18.36 oracle/wss_http_token_over_ssl_service_template。

表示名: Wss HTTP Token Over SSLサービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: http-security

説明

wss_http_token_over_ssl_service_templateアサーション・テンプレートでは、HTTPヘッダーの資格証明が抽出され、Oracle Platform Security Servicesアイデンティティ・ストアに対してユーザーが認証されます。

設定

wss_http_token_over_ssl_service_templateアサーション・テンプレートの設定は、クライアント・バージョンのアサーション・テンプレートの設定と同じです。設定の詳細は、表18-44を参照してください。

構成

表18-46は、wss_http_token_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-46 wss_http_token_over_ssl_service_templateの構成プロパティ

名前

デフォルト値

タイプ

realm

owsm

定数

role

ultimateReceiver

定数

reference.priority

なし

オプション

18.37 oracle/wss_saml_token_bearer_client_template

このトピックでは、wss_saml_token_bearer_client_templateアサーション・テンプレートについて説明します。

表示名: Wss SAML Bearerトークン・クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-saml-token

説明

wss_saml_token_bearer_client_templateアサーション・テンプレートでは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンが組み込まれます。確認方法がBearerのSAMLトークンが自動的に作成されます。

設定

表18-47は、wss_saml_token_bearer_client_templateアサーション・テンプレートの設定を示しています。

表18-47 wss_saml_token_bearer_client_templateの設定

名前

デフォルト値

SAMLトークン・タイプ

バージョン

1.1

確認タイプ

bearer

名前識別子フォーマット

未指定

構成

表18-48は、wss_saml_token_bearer_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-48 wss_saml_token_bearer_client_templateの構成プロパティ

名前

デフォルト値

タイプ

user.attributes

なし

オプション

user.roles.include

false

オプション

saml.issuer.name

www.oracle.com

オプション

csf-key

basic.credentials

オプション

csf.map

なし

オプション

subject.precedence

true

オプション

saml.audience.uri

なし

オプション

keystore.sig.csf.key

なし

オプション

saml.envelope.signature.required

true

オプション

propagate.identity.context

なし

オプション

user.tenant.name

なし

オプション

reference.priority

なし

オプション

18.38 oracle/wss_saml_token_bearer_service_template

このトピックでは、wss_saml_token_bearer_service_templateアサーション・テンプレートについて説明します。

表示名: Wss SAML Bearerトークン・サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-saml-token

説明

wss_saml_token_bearer_service_templateアサーション・テンプレートでは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンが組み込まれます。確認方法がBearerのSAMLトークンが自動的に作成されます。

設定

表18-47は、wss_saml_token_bearer_service_templateアサーション・テンプレートの設定を示しています。

表18-49 wss_saml_token_bearer_service_templateの設定

名前

デフォルト値

SAMLトークン・タイプ

バージョン

1.1

確認タイプ

bearer

名前識別子フォーマット

未指定

構成

表18-52は、wss_saml_token_bearer_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-50 wss_saml_token_bearer_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

saml.trusted.issuers

なし

オプション

saml.envelope.signature.required

true

オプション

propagate.identity.context

なし

オプション

reference.priority

なし

オプション

18.39 oracle/wss_saml_token_bearer_over_ssl_client_template

このトピックでは、wss_saml_token_bearer_over_ssl_clientアサーション・テンプレートについて説明します。

表示名: Wss SAML Token Over SSL (Bearer確認方式)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-saml-token-bearer-over-ssl

説明

wss_saml_token_bearer_over_ssl_clientアサーション・テンプレートでは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンが組み込まれます。確認方法がBearerのSAMLトークンが自動的に作成されます。

設定

表18-51は、wss_saml_token_bearer_over_ssl_client_templateアサーション・テンプレートの設定を示しています。

表18-51 wss_saml_token_bearer_over_ssl_client_templateの設定

名前

デフォルト値

SAMLトークン・タイプ

バージョン

1.1

確認タイプ

bearer

署名済

無効

暗号化済

無効

名前識別子フォーマット

未指定

Transport Layer Security

Transport Layer Security

有効

Transport Layer Security - 相互認証が必要

無効

Transport Layer Security - タイムスタンプを含める

有効

アルゴリズム・スイート

なし

アルゴリズム・スイート

BASIC_128

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

無効

サーバー・エントロピ

有効

構成

表18-52は、wss_saml_token_bearer_over_ssl_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-52 wss_saml_token_bearer_over_ssl_client_templateの構成プロパティ

名前

デフォルト値

タイプ

user.attributes

なし

オプション

user.roles.include

false

オプション

saml.issuer.name

www.oracle.com

オプション

csf-key

basic.credentials

オプション

subject.precedence

true

オプション

saml.audience.uri

なし

オプション

keystore.sig.csf.key

なし

オプション

propagate.identity.context

なし

オプション

user.tenant.name

なし

オプション

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.40 oracle/wss_saml_token_bearer_over_ssl_service_template。

このトピックでは、wss_saml_token_bearer_over_ssl_service_templateアサーション・テンプレートについて説明します。

表示名: Wss SAML Token Over SSL (Bearer確認方式)サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-saml-token-bearer-over-ssl

説明

wss_saml_token_bearer_over_ssl_service_templateアサーション・テンプレートでは、WS-Security SOAPヘッダー内の、確認方式がBearerとなっているSAMLトークンに指定されている資格証明を使用して、ユーザーが認証されます。

設定

wss_saml_token_bearer_over_ssl_service_templateアサーション・テンプレートの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-51を参照してください。

構成

表18-53は、wss_saml_token_bearer_over_ssl_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-53 wss_saml_token_bearer_over_ssl_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

saml.trusted.issuers

なし

オプション

propagate.identity.context

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.41 oracle/wss_saml20_token_bearer_over_ssl_client_template

このトピックでは、wss_saml20_token_bearer_over_ssl_clientアサーション・テンプレートについて説明します。

表示名: Wss SAML V2.0 Token Over SSL (Bearer確認方式)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-saml-token-bearer-over-ssl

説明

wss_saml20_token_bearer_over_ssl_client_templateアサーション・テンプレートでは、アウトバウンドSOAPリクエスト・メッセージにSAMLトークンが組み込まれます。確認方法がBearerのSAMLトークンが自動的に作成されます。

設定

表18-54は、wss_saml20_token_bearer_over_ssl_client_templateアサーション・テンプレートの設定を示しています。

表18-54 wss_saml20_token_bearer_over_ssl_client_templateの設定

名前

デフォルト値

SAMLトークン・タイプ

バージョン

2.0

確認タイプ

bearer

署名済

無効

暗号化済

無効

名前識別子フォーマット

未指定

Transport Layer Security

Transport Layer Security

有効

Transport Layer Security - 相互認証が必要

無効

Transport Layer Security - タイムスタンプを含める

有効

アルゴリズム・スイート

なし

アルゴリズム・スイート

BASIC_128

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

無効

サーバー・エントロピ

有効

構成

表18-55は、wss_saml20_token_bearer_over_ssl_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-55 wss_saml20_token_bearer_over_ssl_client_templateの構成プロパティ

名前

デフォルト値

タイプ

user.attributes

なし

オプション

user.roles.include

false

オプション

saml.issuer.name

www.oracle.com

オプション

csf-key

basic.credentials

オプション

subject.precedence

true

オプション

saml.audience.uri

なし

オプション

keystore.sig.csf.key

なし

オプション

propagate.identity.context

なし

オプション

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.42 oracle/wss_saml20_token_bearer_over_ssl_service_template

表示名: Wss SAML V2.0 Token Over SSL (Bearer確認方式)サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-saml-token-bearer-over-ssl

説明

wss_saml20_token_bearer_over_ssl_service_templateアサーション・テンプレートでは、WS-Security SOAPヘッダー内の、確認方式がBearerとなっているSAMLトークンに指定された資格証明を使用して、ユーザーが認証されます。

設定

wss_saml20_token_bearer_over_ssl_service_templateアサーション・テンプレートの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-54を参照してください。

構成

表18-56は、wss_saml20_token_bearer_over_ssl_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-56 wss_saml20_token_bearer_over_ssl_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

saml.trusted.issuers

なし

オプション

propagate.identity.context

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.43 oracle/wss_saml_token_over_ssl_client_template

このトピックでは、wss_saml_token_over_ssl_client_templateアサーション・テンプレートについて説明します。

表示名: Wss SAML Token Over SSLクライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-saml-token-over-ssl

説明

wss_saml_token_over_ssl_client_templateアサーション・テンプレートは、sender-vouches確認タイプを使用した、WS-Security SOAPヘッダー内のSAMLトークンに指定されている資格証明の認証を可能にします。

設定

表18-57は、wss_saml_token_over_ssl_client_templateアサーション・テンプレートの設定を示しています。

表18-57 wss_saml_token_over_ssl_client_templateの設定

名前

デフォルト値

SAMLトークン・タイプ

バージョン

1.1

確認タイプ

sender-vouches

署名済

有効

暗号化済

無効

名前識別子フォーマット

unspecified

Transport Layer Security

Transport Layer Security

有効

Transport Layer Security - 相互認証が必要

有効

Transport Layer Security - タイムスタンプを含める

有効

アルゴリズム・スイート

なし

アルゴリズム・スイート

BASIC_128

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

無効

サーバー・エントロピ

有効

構成

表18-58は、wss_saml_token_over_ssl_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-58 wss_saml_token_over_ssl_client_templateの構成プロパティ

名前

デフォルト値

タイプ

user.attributes

なし

オプション

user.roles.include

false

オプション

saml.issuer.name

www.oracle.com

オプション

csf-key

basic.credentials

オプション

subject.precedence

true

オプション

saml.audience.uri

なし

オプション

propagate.identity.context

なし

オプション

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.44 oracle/wss_saml_token_over_ssl_service_template。

このトピックでは、wss_saml_token_over_ssl_service_templateアサーション・テンプレートについて説明します。

表示名: Wss SAML Token Over SSLサービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-saml-token-over-ssl

説明

wss_saml_token_over_ssl_service_templateでは、sender-vouches確認タイプを使用して、WS-Security SOAPヘッダー内のSAMLトークンに指定されている資格証明の認証が実行されます。

設定

wss_saml_token_over_ssl_service_templateアサーション・テンプレートの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-57を参照してください。

構成

表18-59は、wss_saml_token_over_ssl_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-59 wss_saml_token_over_ssl_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

saml.trusted.issuers

なし

オプション

propagate.identity.context

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.45 oracle/wss_saml20_token_over_ssl_client_template

このトピックでは、wss_saml20_token_over_ssl_client_templateアサーション・テンプレートについて説明します。

表示名: Wss SAML V2.0 Token Over SSLクライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-saml-token-over-ssl

説明

wss_saml20_token_over_ssl_client_templateアサーション・テンプレートは、sender-vouches確認タイプを使用した、WS-Security SOAPヘッダー内のSAMLトークンに指定されている資格証明の認証を可能にします。

設定

表18-60は、wss_saml20_token_over_ssl_client_templateアサーション・テンプレートの設定を示しています。

表18-60 wss_saml20_token_over_ssl_client_templateの設定

名前

デフォルト値

SAMLトークン・タイプ

バージョン

2.0

確認タイプ

sender-vouches

署名済

有効

暗号化済

無効

名前識別子フォーマット

未指定

Transport Layer Security

Transport Layer Security

有効

Transport Layer Security - 相互認証が必要

有効

Transport Layer Security - タイムスタンプを含める

有効

アルゴリズム・スイート

なし

アルゴリズム・スイート

BASIC_128

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

無効

サーバー・エントロピ

有効

構成

表18-61は、wss_saml20_token_over_ssl_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-61 wss_saml20_token_over_ssl_client_templateの構成プロパティ

名前

デフォルト値

タイプ

user.attributes

なし

オプション

user.roles.include

false

オプション

saml.issuer.name

www.oracle.com

オプション

csf-key

basic.credentials

オプション

subject.precedence

true

オプション

saml.audience.uri

なし

オプション

propagate.identity.context

なし

オプション

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.46 oracle/wss_saml20_token_over_ssl_service_template

このトピックでは、wss_saml20_token_over_ssl_service_templateアサーション・テンプレートについて説明します。

表示名: Wss SAML V2.0 Token Over SSLサービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-saml-token-over-ssl

説明

wss_saml20_token_over_ssl_service_templateでは、sender-vouches確認タイプを使用して、WS-Security SOAPヘッダー内のSAMLトークンに指定されている資格証明の認証が実行されます。

設定

wss_saml20_token_over_ssl_service_templateアサーション・テンプレートの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-60を参照してください。

構成

表18-62は、wss_saml20_token_over_ssl_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-62 wss_saml20_token_over_ssl_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

saml.trusted.issuers

なし

オプション

propagate.identity.context

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.47 oracle/wss_username_token_over_ssl_client_template

このトピックでは、wss_username_token_over_ssl_client_templateアサーション・テンプレートについて説明します。

表示名: Wss Username Token Over SSLクライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-username-token-over-ssl

説明

wss_username_token_over_ssl_client_templateアサーション・テンプレートでは、アウトバウンドSOAPリクエスト・メッセージのWS-Security UsernameTokenヘッダーに資格証明が組み込まれます。アサーションでは、3つのタイプのパスワード資格証明(プレーン・テキスト、ダイジェストおよびパスワードなし)がサポートされています。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceまたは作成時間を必要とするオプションが用意されています。

設定

表18-63は、wss_username_token_over_ssl_client_templateアサーション・テンプレートの設定を示しています。

表18-63 wss_username_token_over_ssl_client_templateの設定

名前

デフォルト値

ユーザー名トークン

パスワード・タイプ

plaintext

必要な作成時間

無効

必要なNonce

無効

Transport Layer Security

Transport Layer Security

有効

Transport Layer Security - 相互認証が必要

無効

Transport Layer Security - タイムスタンプを含める

有効

アルゴリズム・スイート

なし

アルゴリズム・スイート

BASIC_128

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

無効

サーバー・エントロピ

有効

構成

表18-64は、wss_username_token_over_ssl_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-64 wss_username_token_over_ssl_client_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

csf-key

basic.credentials

必須

csf.map

なし

オプション

user.tenant.name

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

ignore.timestamp.in.response

false

オプション

18.48 oracle/wss_username_token_over_ssl_service_template。

このトピックでは、wss_username_token_over_ssl_service_templateアサーション・テンプレートについて説明します。

表示名: Wss Username Token Over SSLサービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-username-token-over-ssl

説明

wss_username_token_over_ssl_service_templateアサーション・テンプレートでは、UsernameToken WS-Security SOAPヘッダーの資格証明を使用して、Oracle Platform Security Servicesの構成済のアイデンティティ・ストアに対してユーザーが認証されます。アサーションでは、3つのタイプのパスワード資格証明(プレーン・テキスト、ダイジェストおよびパスワードなし)がサポートされています。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceまたは作成時間を必要とするオプションが用意されています。

設定

wss_username_token_over_ssl_service_templateアサーション・テンプレートの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-63を参照してください。

構成

表18-65は、wss_username_token_over_ssl_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-65 wss_username_token_over_ssl_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.49 oracle/wss10_saml_hok_token_with_message_protection_client_template

このトピックでは、wss10_saml_hok_token_with_message_protection_client_templateアサーション・テンプレートについて説明します。

表示名: Wss10 SAML Holder-Of-Keyトークン(メッセージ保護付き)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-saml-hok-with-certificates

説明

wss10_saml_hok_token_with_message_protection_client_templateアサーション・テンプレートでは、WS-Security 1.0標準に従って、アウトバウンドSOAPメッセージに対して、メッセージ保護(整合性と機密保護)およびSAML鍵所有者ベースの認証が実行されます。

設定

表18-66は、wss10_saml_hok_token_with_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-66 wss10_saml_hok_token_with_message_protection_client_templateの設定

名前

デフォルト値

SAMLトークン・タイプ

バージョン

1.1

確認タイプ

holder-of-key

署名済

有効

暗号化済

無効

名前識別子フォーマット

未指定

X509トークン

署名鍵参照メカニズム

ski

暗号化鍵参照メカニズム

direct

受信者署名鍵参照メカニズム

direct

受信者暗号化鍵参照メカニズム

direct

署名済

無効

PKIパスの使用

無効

メッセージ・セキュリティ

アルゴリズム・スイート

BASIC_128

タイムスタンプを含める

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成

表18-67は、wss10_saml_hok_token_with_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-67 wss10_saml_hok_token_with_message_protection_client_templateの構成プロパティ

名前

デフォルト値

タイプ

user.attributes

なし

オプション

keystore.recipient.alias

orakey

必須

saml.issuer.name

www.oracle.com

オプション

user.roles.include

false

オプション

saml.assertion.filename

temp

オプション

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

ignore.timestamp.in.response

false

オプション

reference.priority

なし

オプション

18.50 oracle/wss10_saml_hok_token_with_message_protection_service_template

このトピックでは、wss10_saml_hok_token_with_message_protection_service_templateアサーション・テンプレートについて説明します。

表示名: Wss10 SAML Holder-Of-Keyトークン(メッセージ保護付き)サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-saml-hok-with-certificates

説明

wss10_saml_hok_token_with_message_protection_service_templateアサーション・テンプレートでは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストに対して、メッセージ保護およびSAML鍵所有者ベースの認証が実行されます。

設定

wss10_saml_hok_token_with_message_protection_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートの設定と同じです。設定の詳細は、表18-66を参照してください。

構成

表18-68は、wss10_saml_hok_token_with_message_protection_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-68 wss10_saml_hok_token_with_message_protection_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

saml.trusted.issuers

なし

オプション

reference.priority

なし

オプション

18.51 oracle/wss10_saml_token_with_message_protection_client_template

このトピックでは、wss10_saml_token_with_message_protection_client_templateアサーション・テンプレートについて説明します。

表示名: Wss10 SAMLトークン(メッセージ保護付き)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-saml-with-certificates

説明

wss10_saml_token_with_message_protection_client_templateアサーション・テンプレートでは、WS-Security 1.0標準に従って、アウトバウンドSOAPメッセージのメッセージ・レベルの保護と、SAMLベースの認証が実行されます。

Webサービス・コンシューマにはSOAPヘッダーのSAMLトークンが含まれ、確認タイプはsender-vouchesです。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

リプレイ攻撃から保護するため、アサーションには、タイム・スタンプ、SAMLトークンの制限、およびWebサービス・プロバイダによる検証を含めるオプションが用意されています。

設定

表18-69は、wss10_saml_token_with_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-69 wss10_saml_token_with_message_protection_client_templateの設定

名前

デフォルト値

SAMLトークン・タイプ

バージョン

1.1

確認タイプ

sender-vouches

署名済

有効

暗号化済

無効

名前識別子フォーマット

未指定

X509トークン

署名鍵参照メカニズム

direct

暗号化鍵参照メカニズム

direct

受信者署名鍵参照メカニズム

direct

受信者暗号化鍵参照メカニズム

direct

署名済

無効

PKIパスの使用

無効

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

有効

サーバー・エントロピ

有効

ブートストラップ・メッセージ・セキュリティ

アプリケーション設定から継承

メッセージ・セキュリティ

アルゴリズム・スイート

BASIC_128

タイムスタンプを含める

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成

表18-70は、wss10_saml_token_with_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-70 wss10_saml_token_with_message_protection_client_templateの構成プロパティ

名前

デフォルト値

タイプ

user.attributes

なし

オプション

keystore.recipient.alias

orakey

必須

user.roles.include

false

オプション

saml.issuer.name

www.oracle.com

オプション

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

csf-key

basic.credentials

オプション

subject.precedence

true

オプション

saml.audience.uri

なし

オプション

propagate.identity.context

なし

オプション

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.52 oracle/wss10_saml_token_with_message_protection_service_template

このトピックでは、wss10_saml_token_with_message_protection_service_templateアサーション・テンプレートについて説明します。

表示名: Wss10 SAMLトークン(メッセージ保護付き)サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-saml-with-certificates

説明

wss10_saml_token_with_message_protection_service_templateアサーション・テンプレートでは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストに対して、メッセージ保護(整合性と機密保護)およびSAMLベースの認証が実行されます。

Webサービス・コンシューマにはSOAPヘッダーのSAMLトークンが含まれ、確認タイプはsender-vouchesです。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

リプレイ攻撃から保護するため、アサーションには、タイム・スタンプ、SAMLトークンの制限、およびWebサービス・プロバイダによる検証を含めるオプションが用意されています。

設定

wss10_saml_token_with_message_protection_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートの設定と同じです。設定の詳細は、表18-69を参照してください。

構成

表18-71は、wss10_saml_token_with_message_protection_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-71 wss10_saml_token_with_message_protection_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

saml.trusted.issuers

なし

オプション

propagate.identity.context

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.53 oracle/wss10_saml20_token_with_message_protection_client_template

表示名: Wss10 SAML V2.0トークン(メッセージ保護付き)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-saml-with-certificates

説明

wss10_saml20_token_with_message_protection_client_templateアサーション・テンプレートでは、WS-Security 1.0標準に従って、アウトバウンドSOAPメッセージに対して、メッセージ・レベルの保護およびSAMLベースの認証が実行されます。

Webサービス・コンシューマにはSOAPヘッダーのSAMLトークンが含まれ、確認タイプはsender-vouchesです。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

リプレイ攻撃から保護するため、アサーションには、タイム・スタンプ、SAMLトークンの制限、およびWebサービス・プロバイダによる検証を含めるオプションが用意されています。

設定

表18-72は、wss10_saml20_token_with_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-72 wss10_saml20_token_with_message_protection_client_templateの設定

名前

デフォルト値

SAMLトークン・タイプ

バージョン

2.0

確認タイプ

sender-vouches

署名済

有効

暗号化済

無効

名前識別子フォーマット

未指定

X509トークン

署名鍵参照メカニズム

direct

暗号化鍵参照メカニズム

direct

受信者署名鍵参照メカニズム

direct

受信者暗号化鍵参照メカニズム

direct

署名済

無効

PKIパスの使用

無効

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

有効

サーバー・エントロピ

有効

ブートストラップ・メッセージ・セキュリティ

アプリケーション設定から継承

メッセージ・セキュリティ

アルゴリズム・スイート

BASIC_128

タイムスタンプを含める

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成

表18-73は、wss10_saml20_token_with_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-73 wss10_saml20_token_with_message_protection_client_templateの構成プロパティ

名前

デフォルト値

タイプ

user.attributes

なし

オプション

keystore.recipient.alias

orakey

必須

user.roles.include

false

オプション

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

saml.issuer.name

www.oracle.com

オプション

csf-key

basic.credentials

オプション

subject.precedence

true

オプション

attesting.mapping.attribute

DN

オプション

saml.audience.uri

なし

オプション

propagate.identity.context

なし

オプション

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.54 oracle/wss10_saml20_token_with_message_protection_service_template

このトピックでは、wss10_saml20_token_with_message_protection_service_templateアサーション・テンプレートについて説明します。

表示名: Wss10 SAML V2.0トークン(メッセージ保護付き)サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-saml-with-certificates

説明

wss10_saml20_token_with_message_protection_service_templateアサーション・テンプレートでは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストに対して、メッセージ保護(整合性と機密保護)およびSAMLベースの認証が実行されます。

Webサービス・コンシューマにはSOAPヘッダーのSAMLトークンが含まれ、確認タイプはsender-vouchesです。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

リプレイ攻撃から保護するため、アサーションには、タイム・スタンプ、SAMLトークンの制限、およびWebサービス・プロバイダによる検証を含めるオプションが用意されています。

設定

wss10_saml20_token_with_message_protection_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートの設定と同じです。設定の詳細は、表18-72を参照してください。

構成

表18-74は、wss10_saml20_token_with_message_protection_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-74 wss10_saml20_token_with_message_protection_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

saml.trusted.issuers

なし

オプション

propagate.identity.context

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.55 oracle/wss10_username_token_with_message_protection_client_template

このトピックでは、wss10_username_token_with_message_protection_client_templateアサーション・テンプレートについて説明します。

表示名: Wss10ユーザー名トークン(メッセージ保護付き)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-username-with-certificates

説明

wss10_username_token_with_message_protection_client_templateアサーション・テンプレートでは、WS-Security 1.0標準に従って、アウトバウンドSOAPリクエストに対して、メッセージ保護(整合性と機密保護)および認証が実行されます。資格証明は、アウトバウンドSOAPメッセージのWS-Security UsernameTokenヘッダーに含まれます。

アサーションでは、3つのタイプのパスワード資格証明(プレーン・テキスト、ダイジェストおよびパスワードなし)がサポートされています。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceまたは作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

設定

表18-75は、wss10_username_token_with_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-75 wss10_username_token_with_message_protection_client_templateの設定

名前

デフォルト値

ユーザー名トークン

パスワード・タイプ

plaintext

必要な作成時間

無効

必要なNonce

無効

署名済

有効

暗号化済

有効

X509トークン

署名鍵参照メカニズム

direct

暗号化鍵参照メカニズム

direct

受信者署名鍵参照メカニズム

direct

受信者暗号化鍵参照メカニズム

direct

署名済

無効

PKIパスの使用

無効

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

有効

サーバー・エントロピ

有効

ブートストラップ・メッセージ・セキュリティ

アプリケーション設定から継承

メッセージ・セキュリティ

アルゴリズム・スイート

BASIC_128

タイムスタンプを含める

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成

表18-76は、wss10_username_token_with_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-76 wss10_username_token_with_message_protection_client_templateの構成プロパティ

名前

デフォルト値

タイプ

csf-key

basic.credentials

必須

csf.map

なし

オプション

role

ultimateReceiver

定数

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

keystore.recipient.alias

orakey

必須

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.56 oracle/wss10_username_token_with_message_protection_service_template

表示名: Wss10ユーザー名トークン(メッセージ保護付き)サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-username-with-certificates

説明

wss10_username_token_with_message_protection_service_templateアサーション・テンプレートでは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストに対して、メッセージ保護(整合性と機密保護)および認証が実行されます。

アサーションでは、3つのタイプのパスワード資格証明(プレーン・テキスト、ダイジェストおよびパスワードなし)がサポートされています。

リプレイ攻撃から保護するため、アサーションには、ユーザー名トークンにNonceまたは作成時間を必要とするオプションが用意されています。SOAPメッセージは署名されて暗号化されています。Webサービス・プロバイダはメッセージを復号化し、署名の検証と認証を行います。

設定

wss10_username_token_with_message_protection_service_templateアサーション・テンプレートの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-75を参照してください。

構成

表18-77は、wss10_username_token_with_message_protection_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-77 wss10_username_token_with_message_protection_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

csf.map

なし

オプション

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.57 oracle/wss10_x509_token_with_message_protection_client_template

このトピックでは、wss10_x509_token_with_message_protection_clientアサーション・テンプレートについて説明します。

表示名: Wss10 X509トークン(メッセージ保護付き)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-mutual-auth-with-certificates

説明

wss10_x509_token_with_message_protection_client_templateアサーション・テンプレートでは、WS-Security 1.0標準に従って、アウトバウンドSOAPリクエストに対して、メッセージ保護(整合性と機密保護)および証明書資格証明の移入が実行されます。

設定

表18-78は、wss10_x509_token_with_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-78 wss10_x509_token_with_message_protection_client_templateの設定

名前

デフォルト値

X509トークン

署名鍵参照メカニズム

direct

暗号化鍵参照メカニズム

direct

受信者署名鍵参照メカニズム

direct

受信者暗号化鍵参照メカニズム

direct

署名済

無効

PKIパスの使用

無効

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

有効

サーバー・エントロピ

有効

ブートストラップ・メッセージ・セキュリティ

アプリケーション設定から継承

メッセージ・セキュリティ

アルゴリズム・スイート

BASIC_128

タイムスタンプを含める

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成

表18-79は、wss10_x509_token_with_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-79 wss10_x509_token_with_message_protection_client_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

csf.map

なし

オプション

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

keystore.recipient.alias

orakey

必須

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.58 oracle/wss10_x509_token_with_message_protection_service_template

このトピックでは、wss10_x509_token_with_message_protection_service_templateアサーション・テンプレートについて説明します。

表示名: Wss10 X509トークン(メッセージ保護付き)サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss10-mutual-auth-with-certificates

説明

wss10_x509_token_with_message_protection_service_templateアサーション・テンプレートでは、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性と機密保護)および証明書ベースの認証が実行されます。

設定

wss10_x509_token_with_message_protection_service_templateアサーション・テンプレートの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-78を参照してください。

構成

表18-80は、wss10_x509_token_with_message_protection_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-80 wss10_x509_token_with_message_protection_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

csf.map

なし

オプション

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.59 oracle/wss11_kerberos_token_over_ssl_client_template

このトピックでは、wss11_kerberos_token_over_ssl_client_templateアサーション・テンプレートについて説明します。

表示名: Wss11 Kerberos Token Over SSLクライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-kerberos-over-ssl-security

説明

wss11_kerberos_token_over_ssl_client_templateアサーション・テンプレートでは、WS-Security Kerberos Token Profile v1.1標準に従って、WS-Security SOAPヘッダーにKerberosトークンが組み込まれます。Kerberosトークンは、EndorsingSupportingTokenとして通知され、認証およびタイムスタンプの署名にのみ使用されます。メッセージの保護は、SSLによって提供されます。

設定

表18-81は、wss11_kerberos_token_over_ssl_client_templateアサーション・テンプレートの設定を示しています。

表18-81 wss11_kerberos_token_over_ssl_client_templateの設定

名前

デフォルト値

Kerberosトークン・タイプ

Kerberosトークン・タイプ

gss-apreq-v5

Transport Layer Security

Transport Layer Security

有効

Transport Layer Security - 相互認証が必要

無効

Transport Layer Security - タイムスタンプを含める

有効

アルゴリズム・スイート

BASIC_128

構成

表18-82は、wss11_kerberos_token_over_ssl_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-82 wss11_kerberos_token_over_ssl_client_templateの構成プロパティ

名前

デフォルト値

タイプ

service.principal.name

HOST/localhost@EXAMPLE.COM

必須

keytab.location

なし

オプション

caller.principal.name

なし

オプション

credential.delegation

false

必須

reference.priority

なし

オプション

18.60 oracle/wss11_kerberos_token_over_ssl_service_template

このトピックでは、wss11_kerberos_token_service_templateアサーション・テンプレートについて説明します。

表示名: Wss11 Kerberos Token Over SSLサービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-kerberos-over-ssl-security

説明

wss11_kerberos_token_service_templateアサーション・テンプレートは、WS-Security Kerberos Token Profile v1.1標準に従って実行されます。このテンプレートは、SOAPヘッダーからKerberosトークンを抽出し、ユーザーを認証します。コンテナには、Oracle Platform Security Servicesを介して構成されたKerberosインフラストラクチャが含まれている必要があります。Kerberosトークンは、EndorsingSupportingTokenとして通知され、認証およびタイムスタンプの署名にのみ使用されます。メッセージの保護は、SSLによって提供されます。

設定

wss11_kerberos_token_over_ssl_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-81を参照してください。

構成

表18-83は、wss11_kerberos_token_over_ssl_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-83 wss11_kerberos_token_over_ssl_service_templateの構成プロパティ

名前

デフォルト値

タイプ

credential.delegation

false

必須

reference.priority

なし

オプション

18.61 oracle/wss11_kerberos_token_with_message_protection_client_template

このトピックでは、wss11_kerberos_token_with_message_protection_client_templateアサーション・テンプレートについて説明します。

表示名: Wss11 Kerberosトークン(メッセージ保護付き)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: kerberos-security

説明

wss11_kerberos_token_with_message_protection_client_templateアサーション・テンプレートでは、WS-Security Kerberos Token Profile v1.1標準に従って、WS-SecurityヘッダーにKerberosトークンが組み込まれます。

設定

表18-84は、wss11_kerberos_token_with_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-84 wss11_kerberos_token_with_message_protection_client_templateの設定

名前

デフォルト値

Kerberosトークン・タイプ

Kerberosトークン・タイプ

gss-apreq-v5

導出キー

無効

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

有効

サーバー・エントロピ

有効

ブートストラップ・メッセージ・セキュリティ

アプリケーション設定から継承

メッセージ・セキュリティ

アルゴリズム・スイート

TRIPLE_DES

タイムスタンプを含める

有効

署名の確認

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成

表18-85は、wss11_kerberos_token_with_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-85 wss11_kerberos_token_with_message_protection_client_templateの構成プロパティ

名前

デフォルト値

タイプ

service.principal.name

HOST/localhost@EXAMPLE.COM

必須

keytab.location

なし

オプション

caller.principal.name

なし

オプション

credential.delegation

false

必須

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.62 oracle/wss11_kerberos_token_with_message_protection_service_template

このトピックでは、wss11_kerberos_token_with_message_protection_service_templateアサーション・テンプレートについて説明します。

表示名: Wss11 Kerberosトークン・サービス(メッセージ保護付き)アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: kerberos-security

説明

wss11_kerberos_token_with_message_protection_service_templateアサーション・テンプレートは、WS-Security Kerberos Token Profile v1.1標準に従って実行されます。このテンプレートは、SOAPヘッダーからKerberosトークンを抽出し、ユーザーを認証します。コンテナには、Oracle Platform Security Servicesを介して構成されたKerberosインフラストラクチャが含まれている必要があります。

設定

wss11_keberos_token_with_message_protection_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-84を参照してください。

構成

表18-86は、wss11_kerberos_token_with_message_protection_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-86 wss11_kerberos_token_with_message_protection_service_templateの構成プロパティ

名前

デフォルト値

タイプ

credential.delegation

false

必須

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.63 oracle/wss11_saml_token_with_message_protection_client_template

このトピックでは、wss11_saml_token_with_message_protection_client_templateアサーション・テンプレートについて説明します。

表示名: Wss11 SAMLトークン(メッセージ保護付き)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-saml-with-certificates

説明

wss11_saml_token_with_message_protection_client_templateアサーション・テンプレートは、WS-Security 1.1に従った、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密保護)およびSAMLトークンの移入を可能にします。SOAPメッセージに含まれているSAMLトークンは、送信者保証確認を使用したSAMLベースの認証で使用します。

設定

表18-87は、wss11_saml_token_with_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-87 wss11_saml_token_with_message_protection_client_templateの設定

名前

デフォルト値

SAMLトークン・タイプ

バージョン

1.1

確認タイプ

sender-vouches

署名済

有効

暗号化済

無効

名前識別子フォーマット

未指定

X509トークン

署名鍵参照メカニズム

direct

暗号化鍵参照メカニズム

thumbprint

署名済

有効

PKIパスの使用

無効

導出キー

無効

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

有効

サーバー・エントロピ

有効

ブートストラップ・メッセージ・セキュリティ

アプリケーション設定から継承

メッセージ・セキュリティ

アルゴリズム・スイート

BASIC_128

タイムスタンプを含める

有効

署名の確認

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成プロパティ

表18-88は、wss11_saml_token_with_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-88 wss11_saml_token_with_message_protection_client_templateの構成プロパティ

名前

デフォルト値

タイプ

user.attributes

なし

オプション

saml.issuer.name

www.oracle.com

オプション

role

ultimateReceiver

定数

keystore.recipient.alias

orakey

必須

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

csf.map

なし

オプション

csf-key

basic.credentials

オプション

subject.precedence

true

オプション

saml.audience.uri

なし

オプション

propagate.identity.context

なし

オプション

user.tenant.name

なし

オプション

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.64 oracle/wss11_saml_token_with_message_protection_service_template。

このトピックでは、wss11_saml_token_with_message_protection_service_templateアサーション・テンプレートについて説明します。

表示名: Wss11 SAMLトークン(メッセージ保護付き)サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-saml-with-certificates

説明

wss11_saml_token_with_message_protection_service_templateアサーション・テンプレートでは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストに対して、メッセージ・レベルの整合性の保護およびSAMLベースの認証が実行されます。WS-Securityバイナリ・セキュリティ・トークンからSAMLトークンを抽出し、その資格証明をOracle Platform Security Servicesアイデンティティ・ストアに対するユーザーの検証に使用します。

設定

wss11_saml_token_with_message_protection_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-87を参照してください。

構成

表18-89は、wss11_saml_token__with_message_protection_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-89 wss11_saml_token_with_message_protection_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

keystore.enc.csf.key

なし

オプション

saml.trusted.issuers

なし

オプション

propagate.identity.context

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.65 oracle/wss11_saml20_token_with_message_protection_client_template

このトピックでは、wss11_saml20_token_with_message_protection_client_templateアサーション・テンプレートについて説明します。

表示名: Wss11 SAML V2.0トークン(メッセージ保護付き)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-saml-with-certificates

説明

wss11_saml20_token_with_message_protection_client_templateアサーション・テンプレートは、WS-Security 1.1に従った、アウトバウンドSOAPリクエストに対するメッセージ保護(整合性と機密保護)およびSAMLトークンの移入を可能にします。SOAPメッセージに含まれているSAMLトークンは、送信者保証確認を使用したSAMLベースの認証で使用します。

設定

表18-90は、wss11_saml20_token_with_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-90 wss11_saml20_token_with_message_protection_client_templateの設定

名前

デフォルト値

SAMLトークン・タイプ

バージョン

2.0

確認タイプ

sender-vouches

署名済

有効

暗号化済

無効

名前識別子フォーマット

未指定

X509トークン

署名鍵参照メカニズム

direct

暗号化鍵参照メカニズム

thumbprint

署名済

有効

PKIパスの使用

無効

導出キー

無効

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

有効

サーバー・エントロピ

有効

ブートストラップ・メッセージ・セキュリティ

アプリケーション設定から継承

メッセージ・セキュリティ

アルゴリズム・スイート

BASIC_128

タイムスタンプを含める

有効

署名の確認

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成

表18-91は、wss11_saml20_token_with_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-91 wss11_saml20_token_with_message_protection_client_templateの構成プロパティ

名前

デフォルト値

タイプ

user.attributes

なし

オプション

saml.issuer.name

www.oracle.com

オプション

role

ultimateReceiver

定数

keystore.recipient.alias

orakey

必須

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

csf-key

basic.credentials

オプション

subject.precedence

true

オプション

attesting.mapping.attribute

なし

オプション

saml.audience.uri

なし

オプション

propagate.identity.context

なし

オプション

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.66 oracle/wss11_saml20_token_with_message_protection_service_template

このトピックでは、wss11_saml20_token_with_message_protection_service_templateアサーション・テンプレートについて説明します。

表示名: Wss11 SAML V2.0トークン(メッセージ保護付き)サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-saml-with-certificates

説明

wss11_saml20_token_with_message_protection_service_templateアサーション・テンプレートでは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストに対して、メッセージ・レベルの整合性の保護およびSAMLベースの認証が実行されます。WS-Securityバイナリ・セキュリティ・トークンからSAMLトークンを抽出し、その資格証明をOracle Platform Security Servicesアイデンティティ・ストアに対するユーザーの検証に使用します。

設定

wss11_saml_token_with_message_protection_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-90を参照してください。

構成

表18-92は、wss11_saml20_token__with_message_protection_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-92 wss11_saml20_token_with_message_protection_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

keystore.enc.csf.key

なし

オプション

saml.trusted.issuers

なし

オプション

propagate.identity.context

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.67 oracle/wss11_username_token_with_message_protection_client_template

このトピックでは、ws11_username_token_with_message_protection_client_templateアサーション・テンプレートについて説明します。

表示名: Wss11ユーザー名トークン(メッセージ保護付き)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-username-with-certificates

説明

ws11_username_token_with_message_protection_client_templateアサーション・テンプレートでは、WS-Security v1.1標準に従って、認証およびメッセージ保護が実行されます。

Webサービス・コンシューマは、ユーザー名とパスワード資格証明を挿入し、送信するSOAPメッセージに署名して暗号化します。Webサービス・プロバイダは、メッセージと署名の復号化および検証を行います。

リプレイ攻撃を防止するため、アサーションには、タイムスタンプおよびWebサービス・プロバイダによる検証を含めるオプションが用意されています。異なる強度の暗号を使用してメッセージを保護できます。

設定

表18-93は、wss11_username_token_with_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-93 wss11_username_token_with_message_protection_client_templateの設定

名前

デフォルト値

ユーザー名トークン

パスワード・タイプ

plaintext

必要な作成時間

無効

必要なNonce

無効

暗号化済

有効

署名済

有効

X509トークン

暗号化鍵参照メカニズム

thumbprint

署名済

有効

PKIパスの使用

無効

導出キー

無効

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

有効

サーバー・エントロピ

有効

ブートストラップ・メッセージ・セキュリティ

アプリケーション設定から継承

メッセージ・セキュリティ

アルゴリズム・スイート

BASIC_128

タイムスタンプを含める

有効

署名の確認

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成

表18-94は、wss11_username_token_with_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-94 wss11_username_token_with_message_protection_client_templateの構成プロパティ

名前

デフォルト値

タイプ

csf-key

basic.credentials

必須

role

ultimateReceiver

定数

keystore.recipient.alias

orakey

必須

keystore.enc.csf.key

なし

オプション

user.tenant.name

なし

オプション

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.68 oracle/wss11_username_token_with_message_protection_service_template。

このトピックでは、ws11_username_token_with_message_protection_service_templateアサーション・テンプレートについて説明します。

表示名: Wss11ユーザー名トークン(メッセージ保護付き)サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-username-with-certificates

説明

ws11_username_token_with_message_protection_service_templateアサーション・テンプレートでは、WS-Security v1.1標準に従って、認証およびメッセージ保護が実行されます。

Webサービス・コンシューマは、ユーザー名とパスワード資格証明を挿入し、送信するSOAPメッセージに署名して暗号化します。Webサービス・プロバイダは、メッセージと署名の復号化および検証を行います。リプレイ攻撃を防止するため、アサーションには、タイムスタンプおよびWebサービス・プロバイダによる検証を含めるオプションが用意されています。異なる強度の暗号を使用してメッセージを保護できます。

設定

wss11_username_token_with_message_protection_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-93を参照してください。

構成

表18-95は、wss11_username_token_with_message_protection_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-95 wss11_username_token_with_message_protection_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

keystore.enc.csf.key

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.69 oracle/wss11_x509_token_with_message_protection_client_template

このトピックでは、wss11_x509_token_with_message_protection_client_templateアサーション・テンプレートについて説明します。

表示名: Wss11 X509トークン(メッセージ保護付き)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-mutual-auth-with-certificates

説明

wss11_x509_token_with_message_protection_client_templateアサーション・テンプレートでは、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストに対して、メッセージ保護(整合性と機密保護)および証明書ベースの認証が実行されます。資格証明は、SOAPメッセージのWS-Securityバイナリ・セキュリティ・トークンに組み込まれます。

設定

表18-96は、wss11_x509_token_with_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-96 wss11_x509_token_with_message_protection_client_templateの設定

名前

デフォルト値

X509トークン

署名鍵参照メカニズム

direct

暗号化鍵参照メカニズム

thumbprint

署名済

有効

PKIパスの使用

無効

導出キー

無効

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

有効

サーバー・エントロピ

有効

ブートストラップ・メッセージ・セキュリティ

アプリケーション設定から継承

メッセージ・セキュリティ

アルゴリズム・スイート

BASIC_128

タイムスタンプを含める

有効

署名の確認

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成

表18-97は、wss11_x509_token_with_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-97 wss11_x509_token_with_message_protection_client_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

keystore.recipient.alias

orakey

必須

keystore.sig.csf.key

なし

オプション

keystore.enc.csf.key

なし

オプション

ignore.timestamp.in.response

false

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.70 oracle/wss11_x509_token_with_message_protection_service_template

このトピックでは、wss11_x509_token_with_message_protection_service_templateアサーション・テンプレートについて説明します。

表示名: Wss11 X509トークン(メッセージ保護付き)サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-mutual-auth-with-certificates

説明

wss11_x509_token_with_message_protection_service_templateアサーション・テンプレートでは、WS-Security 1.1標準に従って、インバウンドSOAPリクエストに対して、メッセージ・レベルの保護および証明書ベースの認証が実行されます。証明書は、WS-Securityバイナリ・セキュリティ・トークン・ヘッダーから抽出され、証明書内の資格証明はOracle Platform Security Servicesアイデンティティ・ストアに対して検証されます。

設定

wss11_x509_token_with_message_protection_service_templateの設定は、クライアント・バージョンのアサーション・テンプレートと同じです。設定の詳細は、表18-96を参照してください。

構成

表18-98は、wss11_x509_token_with_message_protection_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-98 wss11_x509_token_with_message_protection_service_templateの構成プロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

keystore.enc.csf.key

なし

オプション

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.71 oracle/binding_oes_authorization_template

このトピックでは、binding_oes_authorization_templateアサーション・テンプレートについて説明します。

表示名: バインディングOES認可アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: oes-authorization

説明

binding_oes_authorization_templateアサーション・テンプレートは、Oracle Entitlements Server (OES)で定義されたポリシーに基づき、認可を設定します。認可は、属性、現在の認証されたサブジェクト、およびクライアントが起動したWebサービスのアクションに基づいています。このテンプレートは、Webサービスの任意の操作におけるファイングレイン認可に使用されます。このテンプレートに基づいたポリシーは、サブジェクトが確立される認証ポリシーに従う必要があります。このテンプレートに基づくポリシーは、任意のSOAPエンドポイントにアタッチできます。

設定

表18-99は、binding_oes_authorization_templateアサーション・テンプレートの設定を示しています。

表18-99 binding_oes_authorization_templateの設定

名前

デフォルト値

OESベースの認可

ガード(「権限」を参照)

アクションの一致

*

制約の一致

なし

リソースの一致

*

構成

表18-100は、binding_oes_authorization_templateアサーション・テンプレートの構成プロパティおよびデフォルト設定を示しています。

表18-100 binding_oes_authorization_templateの構成プロパティ

名前

デフォルト値

タイプ

application.name

なし

オプション

resource.type

なし

オプション

resource.name

なし

オプション

lookup.action

なし

オプション

execute.action

なし

オプション

use.single.step

falseマスキング・テンプレートには適用されません。

オプション

reference.priority

なし

オプション

18.72 oracle/binding_oes_masking_template

このトピックでは、binding_oes_masking_templateアサーション・テンプレートについて説明します。

表示名: Oracle Entitlements Serverを使用したレスポンスのマスキング。

カテゴリ: セキュリティ

タイプ: oes-masking

説明

binding_oes_masking_templateアサーション・テンプレートは、OESで定義されているポリシーに基づいてレスポンスのマスキングを実行します。マスキングは、属性、現在の認証されたサブジェクト、およびクライアントが起動したWebサービスのアクションに基づいています。このテンプレートは、Webサービスの任意の操作におけるファイングレイン・マスキングに使用されます。

設定

表18-99は、binding_oes_masking_templateアサーション・テンプレートの設定を示しています。

構成

表18-100は、binding_oes_masking_templateアサーション・テンプレートの構成プロパティおよびデフォルト設定を示しています。

18.73 oracle/component_oes_authorization_template

このトピックでは、component_oes_authorization_templateアサーション・テンプレートについて説明します。

表示名: コンポーネントOES認可アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: oes-authorization

説明

component_oes_authorization_templateアサーション・テンプレートは、Oracle Entitlements Server (OES)で定義されたポリシーに基づき、ユーザー認可を実行します。認可は、属性、現在の認証されたサブジェクト、およびクライアントが起動したWebサービスのアクションに基づいています。このテンプレートは、SCAコンポーネントのファイングレイン認可に使用されます。

設定

表18-99は、component_oes_authorization_templateアサーション・テンプレートの設定を示しています。

構成

表18-100は、component_oes_authorization_templateアサーション・テンプレートの構成プロパティおよびデフォルト設定を示しています。

18.74 oracle/pii_security_template

このトピックでは、pii_security_templateアサーション・テンプレートについて説明します。

表示名: PIIセキュリティ・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: pii-security

説明

pii_security_templateアサーション・テンプレートは、暗号化を使用して個人情報(PII)を保護します。PIIはXPath構成によって識別されます。

注意:

このアサーション・テンプレートは、SOAおよびJCAアダプタのみに適用されます。

設定

表18-101は、pii_security_templateアサーション・テンプレートの設定を示しています。

表18-101 pii_security_templateの設定

名前

デフォルト値

PIIセキュリティ

algorithm

PBKDF2。この設定は変更できません。

salt

pii-security

iteration

1000

keysize

128

encryption-algorithm

AES/CBC/PKCS5Padding。この設定は変更できません。

構成

表18-102は、pii_security_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-102 pii_security_templateの構成プロパティ

名前

デフォルト値

タイプ

リクエストXPath

なし

オプション

リクエスト・ネームスペース

なし

オプション

レスポンスXPath

なし

オプション

レスポンス・ネームスペース

なし

オプション

csf-key

pii-csf-key

必須

reference.priority

0

オプション

18.75 oracle/sts_trust_config_client_template

このトピックでは、oracle/sts_trust_config_client_templateアサーション・テンプレートについて説明します。

表示名: 信頼構成クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: sts-trust-config

説明

STS構成情報。クライアント側で提供され、トークン交換用のSTSの呼出しに使用されます。

設定

表18-103は、oracle/sts_trust_config_client_templateアサーション・テンプレートの設定を示しています。

表18-103 oracle/sts_trust_config_client_templateの設定

名前

デフォルト値

STS構成

WSDLは存在しますか。

あり

WSDL

http://host:port/sts?wsdl

ポートURI

なし

サービス

なし

ポート

なし

ポート・エンドポイント

target-namespace#wsdl.endpoint(service-name/port-name)

クライアント・ポリシーURI

なし

キーストア受信者の別名

sts-csf-key

構成

表18-104は、oracle/sts_trust_config_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-104 oracle/sts_trust_config_client_templateのプロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

reference.priority

なし

オプション

wsdl.uri

http://host:port/sts?wsdl

オプション

port.uri

http://host:port/sts-service

オプション

port.endpoint

target-namespace#wsdl.endpoint(service-name/port-name)

オプション

policy.reference.uri

oracle/policy-name

オプション

sts.keystore.recipient.alias

sts-csf-key

オプション

18.76 oracle/sts_trust_config_service_template

このトピックでは、oracle/sts_trust_config_service_templateアサーション・テンプレートについて説明します。

表示名: 信頼構成サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: sts-trust-config

説明

最小のSTS構成情報。サービス側で提供され、その他すべてのSTS情報の取得およびトークン交換用のSTSの呼出しに使用されます。

設定

表18-105は、oracle/sts_trust_config_service_templateアサーション・テンプレートの設定を示しています。

表18-105 oracle/sts_trust_config_service_templateの設定

名前

デフォルト値

STS構成

WSDLは存在しますか。

あり

WSDL

http://host:port/sts?wsdl

ポートURI

http://host:port/sts-service

構成

表18-106は、oracle/sts_trust_config_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-106 oracle/sts_trust_config_service_templateのプロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

reference.priority

なし

オプション

wsdl.uri

http://host:port/sts?wsdl

オプション

port.uri

http://host:port/sts-service

オプション

18.77 oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_template

このトピックでは、oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_templateアサーション・テンプレートについて説明します。

表示名: Wss発行SAML Bearerトークン(メッセージ保護付き)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-sts-issued-token-over-ssl

説明

SSLメッセージ保護付き発行トークンSAML認証(Bearer確認方式)のSOAPバインディング・レベル・ポリシー。

設定

表18-107は、oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_templateアサーション・テンプレートの設定を示しています。

表18-107 oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_templateの設定

名前

デフォルト値

発行済トークン

トークン・タイプ

SAML11

キー・タイプ

Bearer

アルゴリズム・スイート

なし

導出キー

無効

Transport Layer Security

Transport Layer Security

有効

相互認証が必要

無効

タイムスタンプを含める

有効

アルゴリズム・スイート

なし

アルゴリズム・スイート

BASIC_128

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

無効

サーバー・エントロピ

有効

構成

表18-108は、oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-108 oracle/wss_sts_issued_saml_bearer_token_over_ssl_client_templateのプロパティ

名前

デフォルト値

タイプ

sts.auth.user.csf.key

なし

オプション

sts.auth.x509.csf.key

なし

オプション

on.behalf.of

false

必須

sts.auth.on.behalf.of.csf.key

なし

オプション

sts.auth.on.behalf.of.username.only

true

オプション

sts.keystore.recipient.alias

なし

オプション

sts.auth.service.principal.name

HOST/localhost@EXAMPLE.COM

オプション

sts.auth.keytab.location

なし

オプション

sts.auth.caller.principal.name

なし

オプション

ignore.timestamp.in.response

false

オプション

sts.in.order

なし

オプション

sc.token.lifetime

なし

オプション

issued.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.78 oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_template

このトピックでは、oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_templateアサーション・テンプレートについて説明します。

表示名: Wss発行SAML Bearerトークン(メッセージ保護付き)サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss-sts-issued-token-over-ssl

説明

SSLメッセージ保護付き発行トークンSAML認証(Bearer確認方式)のSOAPバインディング・レベル・ポリシー。

設定

oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_templateの設定は、アサーション・テンプレートのクライアント・バージョンと同じです。設定の詳細は、表18-107を参照してください。

構成

表18-109は、oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-109 oracle/wss_sts_issued_saml_bearer_token_over_ssl_service_templateのプロパティ

名前

デフォルト値

タイプ

role

ultimateReceiver

定数

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.79 oracle/wss11_sts_issued_saml_hok_with_message_protection_client_template

このトピックでは、wss11_sts_issued_saml_hok_with_message_protection_client_templateアサーション・テンプレートについて説明します。

表示名: Wss11発行トークン(SAML Holder of Key方式/メッセージ保護付き)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-sts-issued-token-with-certificates

説明

証明書付きWS-Security 1.1発行トークンSAML HOK。Basic128を使用した認証およびメッセージ保護を提供します。

設定

表18-110は、wss11_sts_issued_saml_hok_with_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-110 oracle/wss11_sts_issued_saml_hok_with_message_protection_client_templateの設定

名前

デフォルト値

発行済トークン

トークン・タイプ

SAML11

キー・タイプ

Symmetric

アルゴリズム・スイート

Basic128

導出キー

無効

X509トークン

署名鍵参照メカニズム

thumbprint

暗号化鍵参照メカニズム

thumbprint

署名済

有効

PKIパスの使用

無効

導出キー

無効

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

有効

サーバー・エントロピ

有効

ブートストラップ・メッセージ・セキュリティ

アプリケーション設定から継承

メッセージ・セキュリティ

アルゴリズム・スイート

BASIC_128

タイムスタンプを含める

有効

署名の確認

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成

表18-111は、wss11_sts_issued_saml_hok_with_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-111 oracle/wss11_sts_issued_saml_hok_with_message_protection_client_templateのプロパティ

名前

デフォルト値

タイプ

sts.auth.user.csf.key

なし

オプション

sts.auth.x509.csf.key

enc-csf-key

オプション

on.behalf.of

false

必須

sts.auth.on.behalf.of.csf.key

なし

オプション

sts.auth.on.behalf.of.username.only

true

オプション

sts.keystore.recipient.alias

なし

オプション

keystore.recipient.alias

orakey

必須

keystore.enc.csf.key

なし

オプション

sts.auth.service.principal.name

HOST/localhost@EXAMPLE.COM

オプション

sts.auth.keytab.location

なし

オプション

sts.auth.caller.principal.name

なし

オプション

ignore.timestamp.in.response

false

オプション

sts.in.order

なし

オプション

sc.token.lifetime

なし

オプション

issued.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.80 oracle/wss11_sts_issued_saml_hok_with_message_protection_service_template

このトピックでは、wss11_sts_issued_saml_hok_with_message_protection_service_templateアサーション・テンプレートについて説明します。

表示名: Wss11発行トークン(SAML Holder of Key方式/メッセージ保護付き)サービス・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-sts-issued-token-with-certificates

説明

証明書付きWS-Security 1.1発行トークンSAML HOK。Basic128を使用した認証およびメッセージ保護を提供します。

設定

表18-110は、wss11_sts_issued_saml_hok_with_message_protection_service_templateアサーション・テンプレートの設定を示しています。

構成

表18-112は、wss11_sts_issued_saml_hok_with_message_protection_service_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-112 oracle/wss11_sts_issued_saml_hok_with_message_protection_service_templateのプロパティ

名前

デフォルト値

タイプ

keystore.enc.csf.key

なし

オプション

role

ultimateReceiver

定数

sc.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.81 oracle/wss11_sts_issued_saml_with_message_protection_client_template

このトピックでは、wss11_sts_issued_saml_with_message_protection_client_templateアサーション・テンプレートについて説明します。

表示名: Wss11発行トークン(SAML送信者保証方式/メッセージ保護付き)クライアント・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: wss11-sts-issued-token-with-certificates

説明

証明書付きWS-Security 1.1発行トークンSAML送信者保証。Basic128を使用した認証およびメッセージ保護を提供します。

設定

表18-113は、wss11_sts_issued_saml_with_message_protection_client_templateアサーション・テンプレートの設定を示しています。

表18-113 wss11_sts_issued_saml_with_message_protection_client_templateの設定

名前

デフォルト値

発行済トークン

トークン・タイプ

SAML11

キー・タイプ

なし

アルゴリズム・スイート

Basic128

導出キー

無効

X509トークン

署名鍵参照メカニズム

direct

暗号化鍵参照メカニズム

thumbprint

署名済

有効

PKIパスの使用

無効

導出キー

無効

セキュア通信

有効

無効

バージョン

1.3または1.4。OWSM WS-SCでは、バージョン1.3と1.4の両方のセキュア通信がサポートされます。ポリシーにはバージョン番号1.3が表示されますが、このポリシーを1.4にも使用できます。

再認証

無効

クライアント・エントロピ

有効

導出キー

有効

サーバー・エントロピ

有効

ブートストラップ・メッセージ・セキュリティ

アプリケーション設定から継承

メッセージ・セキュリティ

アルゴリズム・スイート

BASIC_128

タイムスタンプを含める

有効

署名の確認

有効

署名の暗号化

無効

「リクエスト・メッセージ」設定

表18-125を参照してください

「レスポンス・メッセージ」設定

表18-125を参照してください

「フォルト・メッセージ」設定

表18-125を参照してください

構成

表18-114は、wss11_sts_issued_saml_with_message_protection_client_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-114 oracle/wss11_sts_issued_saml_with_message_protection_client_templateのプロパティ

名前

デフォルト値

タイプ

sts.auth.user.csf.key

なし

オプション

sts.auth.x509.csf.key

なし

オプション

on.behalf.of

true

必須

sts.auth.on.behalf.of.csf.key

なし

オプション

sts.auth.on.behalf.of.username.only

true

オプション

sts.keystore.recipient.alias

なし

オプション

keystore.recipient.alias

orakey

オプション

keystore.enc.csf.key

なし

オプション

sts.in.order

なし

オプション

sc.token.lifetime

なし

オプション

ignore.timestamp.in.response

false

オプション

issued.token.lifetime

なし

オプション

reference.priority

なし

オプション

18.82 oracle/binding_authorization_template

このトピックでは、binding_authorization_templateアサーション・テンプレートについて説明します。

表示名: バインディング認可アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: binding-authorization

説明

binding_authorization_templateアサーション・テンプレートでは、SOAPバインディング・レベルで認証されたサブジェクトに基づいて、リクエストに対して簡単なロールベースの認可が実行されます。認証アサーション・テンプレートの後に続ける必要があります。

設定

表18-115は、binding_authorization_templateアサーション・テンプレートの設定を示しています。

表18-115 binding_authorization_templateの設定

名前

デフォルト値

認可権限

権限 - アクションの一致

なし

権限 - 制約の一致

なし

認可権限

ガード(「権限」を参照)

アクションの一致

なし

制約の一致

なし

リソースの一致

なし

ロール

未設定

構成

表18-116は、binding_authorization_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-116 binding_authorization_templateのプロパティ

名前

デフォルト値

タイプ

reference.priority

なし

オプション

18.83 oracle/binding_permission_authorization_template

このトピックでは、binding_permission_authorization_templateアサーション・テンプレートについて説明します。

表示名: バインディング権限ベース認可アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: binding-permission-authorization

説明

binding_permission_authorization_templateアサーションでは、SOAPバインディング・レベルで認証されたサブジェクトに基づいて、リクエストに対して簡単な権限ベースの認可が実行されます。認証アサーションの後に続く必要があります。

設定

表18-117は、binding_permission_authorization_templateアサーション・テンプレートの設定を示しています。

表18-117 binding_permission_authorization_templateの設定

名前

デフォルト値

認可権限

ガード(「権限」を参照)

アクションの一致

*

制約の一致

なし

リソースの一致

*

権限の確認

権限クラス

なし

構成

表18-118は、binding_permission_authorization_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-118 binding_permission_authorization_templateのプロパティ

名前

デフォルト値

タイプ

reference.priority

なし

オプション

18.84 oracle/component_authorization_template

このトピックでは、component_authorization_templateアサーション・テンプレートについて説明します。

表示名: コンポーネント認可アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: sca-component-authorization

説明

component_authorization_templateアサーションでは、SOAコンポーネント・レベルで認証されたサブジェクトに基づいて、リクエストに対して簡単なロールベースの認可が実行されます。認証アサーションの後に続く必要があります。

設定

表18-119は、component_authorization_templateアサーション・テンプレートの設定を示しています。

表18-119 component_authorization_templateの設定

名前

デフォルト値

認可権限

ガード(「権限」を参照)

アクションの一致

なし

制約の一致

なし

リソースの一致

なし

ロール

未設定

構成

表18-120は、component_authorization_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-120 component_authorization_templateのプロパティ

名前

デフォルト値

タイプ

reference.priority

なし

オプション

18.85 サポートされているアルゴリズム・スイート

表18-124は、メッセージ保護でサポートされているアルゴリズム・スイートを示しています。アルゴリズム・スイートを使用すると、メッセージ保護に使用されるアルゴリズムの暗号文字を制御できます。

標準アルゴリズム・スイートのグループは、次のURLから参照できるWS-SecurityPolicy 1.2で定義されています。

http://docs.oasis-open.org/ws-sx/ws-securitypolicy/v1.3/errata01/os/ws-securitypolicy-1.3-errata01-os-complete.html#_Toc325573605

各スイートの対称署名(Sym Sig)および非対称署名(Asym Sig)は、次のようにHmacSha1およびRsaSha1にそれぞれデフォルト設定されます。

プロパティのアルゴリズム

値

[Sym Sig]

HmacSha1

[Asym Sig]

RsaSha1

OWSMは、次の表に一覧されている拡張アルゴリズム・スイートも提供しています。

プロパティのアルゴリズム

値

[Sym Sig]

HmacSha256

[Asym Sig]

RsaSha256

XML署名のRSA-SHA256およびHMAC-SHA256は、次のURLから参照できるW3CのXMLセキュリティ・アルゴリズム・クロスリファレンス仕様で定義されています。

http://www.w3.org/TR/xmlsec-algorithms/

注意:

FIPSに準拠したアルゴリズム・スイートにはアスタリスク(*)の印が付いています。FIPSの詳細は、『Oracle WebLogic Serverセキュリティの管理12c (12.2.1)』のFIPSモードの有効化に関する項を参照してください。

表18-121 サポートされているアルゴリズム・スイート

アルゴリズム・スイート

ダイジェスト

暗号化

対称鍵のラップ

非対称鍵のラップ

暗号化鍵の導出

署名キーの導出

署名キーの最小長

対称署名

非対称署名

Basic256

Sha1

Aes256

KwAes256

KwRsaOaep

PSha1L256

PSha1L192

256

HmacSha1

RsaSha1

Basic192

Sha1

Aes192

KwAes192

KwRsaOaep

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic128

Sha1

Aes128

KwAes128

KwRsaOaep

PSha1L128

PSha1L128

128

HmacSha1

RsaSha1

TripleDes

Sha1

TripleDes

KwTripleDes

KwRsaOaep

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic256Rsa15

Sha1

Aes256

KwAes256

KwRsa15

PSha1L256

PSha1L192

256

HmacSha1

RsaSha1

Basic192Rsa15

Sha1

Aes192

KwAes192

KwRsa15

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic128Rsa15

Sha1

Aes128

KwAes128

KwRsa15

PSha1L128

PSha1L128

128

HmacSha1

RsaSha1

TripleDesRsa15

Sha1

TripleDes

KwTripleDes

KwRsa15

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic256Sha256

Sha256

Aes256

KwAes256

KwRsaOaep

PSha1L256

PSha1L192

256

HmacSha1

RsaSha1

Basic192Sha256

Sha256

Aes192

KwAes192

KwRsaOaep

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic128Sha256

Sha256

Aes128

KwAes128

KwRsaOaep

PSha1L128

PSha1L128

128

HmacSha1

RsaSha1

TripleDesSha256

Sha256

TripleDes

KwTripleDes

KwRsaOaep

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic256Sha256Rsa15

Sha256

Aes256

KwAes256

KwRsa15

PSha1L256

PSha1L192

256

HmacSha1

RsaSha1

Basic192Sha256Rsa15

Sha256

Aes192

KwAes192

KwRsa15

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic128Sha256Rsa15

Sha256

Aes128

KwAes128

KwRsa15

PSha1L128

PSha1L128

128

HmacSha1

RsaSha1

TripleDesSha256Rsa15

Sha256

TripleDes

KwTripleDes

KwRsa15

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic256Exn256

Sha256

Aes256

KwAes256

KwRsaOaep

PSha1L256

PSha1L192

256

HmacSha256

RsaSha256

Basic192Exn256

Sha256

Aes192

KwAes192

KwRsaOaep

PSha1L192

PSha1L192

192

HmacSha256

RsaSha256

Basic128Exn256

Sha256

Aes128

KwAes128

KwRsaOaep

PSha1L128

PSha1L128

128

HmacSha256

RsaSha256

TripleDesExn256

Sha256

TripleDes

KwTripleDes

KwRsaOaep

PSha1L192

PSha1L192

192

HmacSha256

RsaSha256

Basic256Exn256Rsa15*

Sha256

Aes256

KwAes256

KwRsa15

PSha1L256

PSha1L192

256

HmacSha256

RsaSha256

Basic192Exn256Rsa15*

Sha256

Aes192

KwAes192

KwRsa15

PSha1L192

PSha1L192

192

HmacSha256

RsaSha256

Basic128Exn256Rsa15*

Sha256

Aes128

KwAes128

KwRsa15

PSha1L128

PSha1L128

128

HmacSha256

RsaSha256

TripleDesExn256Rsa15*

Sha256

TripleDes

KwTripleDes

KwRsa15

PSha1L192

PSha1L192

192

HmacSha256

RsaSha256

注意:

対称署名HmacSha256および非対称署名RsaSha256に拡張アルゴリズム・スイートを使用するには、アルゴリズム・スイートに拡張アルゴリズム・スイート・タイプを設定したカスタムOWSMポリシーを作成する必要があります。たとえば、アルゴリズム・スイート・タイプがBasic256Exn256の場合は、次のように設定します。

orasp:algorithm-suite="Basic256Exn256

事前定義済ポリシーから新しいポリシーを作成するための手順を実行してから、Oracle Enterprise Manager Fusion Middleware Controlを使用してアルゴリズム・スイートを変更できます。詳細は、次を参照してください。

- Oracle® Fusion Middleware Oracle Web Services ManagerによるWebサービスの保護とポリシーの管理のカスタム・ポリシーの作成に関する項を参照してください。

- 『Oracle® Fusion Middleware Oracle Web Services ManagerによるWebサービスの保護とポリシーの管理』のWebサービス・ポリシーの編集に関する項

18.86 oracle/component_permission_authorization_template

このトピックでは、component_permission_authorization_templateアサーション・テンプレートについて説明します。

表示名: コンポーネント権限ベース認可アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: sca-component-permission-authorization

説明

component_permission_authorization_templateアサーション・テンプレートでは、SOAコンポーネント・レベルで認証されたサブジェクトに基づき、リクエストに対して簡単な権限ベースの認可が実行されます。認証アサーションの後に続く必要があります。

注意:

system-jazn-data.xmlで指定したセキュリティ権限の緩和は、複数のサービス操作の実施に適用されるため、権限ベースのポリシーをEJBで使用する場合は注意が必要です。

設定

表18-122は、component_permission_authorization_templateアサーション・テンプレートの設定を示しています。

表18-122 component_permission_authorization_templateの設定

名前

デフォルト値

認可権限

ガード(「権限」を参照)

アクションの一致

*

制約の一致

なし

リソースの一致

なし

権限クラス

なし

構成

表18-123は、component_permission_authorization_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-123 component_permission_authorization_templateのプロパティ

名前

デフォルト値

タイプ

reference.priority

なし

オプション

18.87 サポートされているアルゴリズム・スイート

表18-124は、メッセージ保護でサポートされているアルゴリズム・スイートを示しています。アルゴリズム・スイートを使用すると、メッセージ保護に使用されるアルゴリズムの暗号文字を制御できます。

標準アルゴリズム・スイートのグループは、次のURLから参照できるWS-SecurityPolicy 1.2で定義されています。

http://docs.oasis-open.org/ws-sx/ws-securitypolicy/v1.3/errata01/os/ws-securitypolicy-1.3-errata01-os-complete.html#_Toc325573605

各スイートの対称署名(Sym Sig)および非対称署名(Asym Sig)は、次のようにHmacSha1およびRsaSha1にそれぞれデフォルト設定されます。

プロパティのアルゴリズム

値

[Sym Sig]

HmacSha1

[Asym Sig]

RsaSha1

OWSMは、次の表に一覧されている拡張アルゴリズム・スイートも提供しています。

プロパティのアルゴリズム

値

[Sym Sig]

HmacSha256

[Asym Sig]

RsaSha256

XML署名のRSA-SHA256およびHMAC-SHA256は、次のURLから参照できるW3CのXMLセキュリティ・アルゴリズム・クロスリファレンス仕様で定義されています。

http://www.w3.org/TR/xmlsec-algorithms/

注意:

FIPSに準拠したアルゴリズム・スイートにはアスタリスク(*)の印が付いています。FIPSの詳細は、『Oracle WebLogic Serverセキュリティの管理12c (12.2.1)』のFIPSモードの有効化に関する項を参照してください。

表18-124 サポートされているアルゴリズム・スイート

アルゴリズム・スイート

ダイジェスト

暗号化

対称鍵のラップ

非対称鍵のラップ

暗号化鍵の導出

署名キーの導出

署名キーの最小長

対称署名

非対称署名

Basic256

Sha1

Aes256

KwAes256

KwRsaOaep

PSha1L256

PSha1L192

256

HmacSha1

RsaSha1

Basic192

Sha1

Aes192

KwAes192

KwRsaOaep

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic128

Sha1

Aes128

KwAes128

KwRsaOaep

PSha1L128

PSha1L128

128

HmacSha1

RsaSha1

TripleDes

Sha1

TripleDes

KwTripleDes

KwRsaOaep

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic256Rsa15

Sha1

Aes256

KwAes256

KwRsa15

PSha1L256

PSha1L192

256

HmacSha1

RsaSha1

Basic192Rsa15

Sha1

Aes192

KwAes192

KwRsa15

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic128Rsa15

Sha1

Aes128

KwAes128

KwRsa15

PSha1L128

PSha1L128

128

HmacSha1

RsaSha1

TripleDesRsa15

Sha1

TripleDes

KwTripleDes

KwRsa15

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic256Sha256

Sha256

Aes256

KwAes256

KwRsaOaep

PSha1L256

PSha1L192

256

HmacSha1

RsaSha1

Basic192Sha256

Sha256

Aes192

KwAes192

KwRsaOaep

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic128Sha256

Sha256

Aes128

KwAes128

KwRsaOaep

PSha1L128

PSha1L128

128

HmacSha1

RsaSha1

TripleDesSha256

Sha256

TripleDes

KwTripleDes

KwRsaOaep

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic256Sha256Rsa15

Sha256

Aes256

KwAes256

KwRsa15

PSha1L256

PSha1L192

256

HmacSha1

RsaSha1

Basic192Sha256Rsa15

Sha256

Aes192

KwAes192

KwRsa15

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic128Sha256Rsa15

Sha256

Aes128

KwAes128

KwRsa15

PSha1L128

PSha1L128

128

HmacSha1

RsaSha1

TripleDesSha256Rsa15

Sha256

TripleDes

KwTripleDes

KwRsa15

PSha1L192

PSha1L192

192

HmacSha1

RsaSha1

Basic256Exn256

Sha256

Aes256

KwAes256

KwRsaOaep

PSha1L256

PSha1L192

256

HmacSha256

RsaSha256

Basic192Exn256

Sha256

Aes192

KwAes192

KwRsaOaep

PSha1L192

PSha1L192

192

HmacSha256

RsaSha256

Basic128Exn256

Sha256

Aes128

KwAes128

KwRsaOaep

PSha1L128

PSha1L128

128

HmacSha256

RsaSha256

TripleDesExn256

Sha256

TripleDes

KwTripleDes

KwRsaOaep

PSha1L192

PSha1L192

192

HmacSha256

RsaSha256

Basic256Exn256Rsa15*

Sha256

Aes256

KwAes256

KwRsa15

PSha1L256

PSha1L192

256

HmacSha256

RsaSha256

Basic192Exn256Rsa15*

Sha256

Aes192

KwAes192

KwRsa15

PSha1L192

PSha1L192

192

HmacSha256

RsaSha256

Basic128Exn256Rsa15*

Sha256

Aes128

KwAes128

KwRsa15

PSha1L128

PSha1L128

128

HmacSha256

RsaSha256

TripleDesExn256Rsa15*

Sha256

TripleDes

KwTripleDes

KwRsa15

PSha1L192

PSha1L192

192

HmacSha256

RsaSha256

注意:

対称署名HmacSha256および非対称署名RsaSha256に拡張アルゴリズム・スイートを使用するには、アルゴリズム・スイートに拡張アルゴリズム・スイート・タイプを設定したカスタムOWSMポリシーを作成する必要があります。たとえば、アルゴリズム・スイート・タイプがBasic256Exn256の場合は、次のように設定します。

orasp:algorithm-suite="Basic256Exn256

事前定義済ポリシーから新しいポリシーを作成するための手順を実行してから、Oracle Enterprise Manager Fusion Middleware Controlを使用してアルゴリズム・スイートを変更できます。詳細は、次を参照してください。

- Oracle® Fusion Middleware Oracle Web Services ManagerによるWebサービスの保護とポリシーの管理のカスタム・ポリシーの作成に関する項を参照してください。

- 『Oracle® Fusion Middleware Oracle Web Services ManagerによるWebサービスの保護とポリシーの管理』のWebサービス・ポリシーの編集に関する項

18.88 リクエスト、レスポンスおよびフォルト・メッセージへの署名と暗号化の設定

表18-125は、リクエスト、レスポンスおよびフォルト・メッセージの設定を示しています。これらの設定は、メッセージの署名および暗号化用に構成します。

表18-125 リクエスト、レスポンスおよびフォルト・メッセージへの署名と暗号化の設定

名前

デフォルト値

本体全体を含める

リクエストおよびレスポンス・メッセージの場合はTrue

フォルト・メッセージの場合はFalse

SwAアタッチメントを含める

False

MIMEヘッダーを含める

False

ヘッダー要素

なし

本体要素

なし

18.89 oracle/security_log_template

表示名: セキュリティ・ログ・アサーション・テンプレート

カテゴリ: セキュリティ

タイプ: Logging

説明

security_log_templateアサーション・テンプレートは、すべてのバインディングまたはコンポーネントにアタッチ可能な、ロギング・アサーション・テンプレートを提供します。

注意:

ロギング・アサーションは、デバッグおよび監査にのみ使用することをお薦めします。

設定

表18-126は、security_log_templateアサーション・テンプレートの設定を示しています。

表18-126 security_log_templateの設定

名前

デフォルト値

ロギング

リクエスト

すべて

レスポンス

soap_body

フォルト

未設定

構成

表18-127は、security_log_templateアサーション・テンプレートの構成プロパティとデフォルト設定を示しています。

表18-127 security_log_templateのプロパティ

名前

デフォルト値

タイプ

reference.priority

なし

オプション

第VI部 Oracle Web Servicesのセキュリティおよびポリシーのリファレンス

Webサービス・セキュリティとポリシー注釈、アサーションとポリシー・セット・スキーマ、およびOracle Virtual Assembly Builder用のOWSMプラグインについて説明します。

第VI部では、Webサービス・セキュリティおよびポリシー注釈、アサーションとポリシー・セット・スキーマ、およびOracle Virtual Assembly Builder用のOWSMプラグインについて説明している参照情報を提供します。

次の付録で構成されます。

- Oracle Web Servicesのセキュリティおよびポリシー注釈では、Oracle Infrastructure Webサービスによって使用される非対称Webサービスおよびポリシー注釈について説明します。

- Oracle Web Servicesの事前定義済アサーション・テンプレートは、すべてのアサーション・テンプレートの設定および構成プロパティの詳細を説明します。

- Oracle Web Servicesの事前定義済アサーションのスキーマ参照では、Webサービス・アサーションが含まれるWS-Policyファイルを作成するときに参照するXMLスキーマについて説明します。

- Webサービスのポリシー・セットのスキーマ参照では、ポリシー・セット・ファイルを作成するときに参照するXMLスキーマについて説明します。

- Oracle Virtual Assembly Builder用のOracle Web Services Managerントロスペクション・プラグインでは、Oracle Virtual Assembly Builder用のOWSMイントロスペクション・プラグインの使用方法を説明します。

A Oracle Web Servicesのセキュリティおよびポリシー注釈

Webサービスのセキュリティおよびポリシー注釈は、Oracle Webサービスで高度な機能を保護し、有効にする際に使用できます。

この付録では、Webサービス・セキュリティおよびポリシー注釈について説明しており、次の項があります。

- Webサービスのセキュリティおよびポリシー注釈について

- Webサービスのセキュリティおよびポリシー注釈のサマリー

- Webサービスのセキュリティおよびポリシー注釈のリスト

A.1 Webサービスのセキュリティおよびポリシー注釈について

Oracle Webサービスのプログラミング・モデルでは、JDKメタデータ注釈が使用されます。

JDKメタデータ注釈については、次のテクニカル・ノートで説明されています。

http://docs.oracle.com/javase/7/docs/technotes/guides/language/annotations.html

詳細は、次の場所にあるJSR 175を参照してください。

http://www.jcp.org/en/jsr/detail?id=175

このプログラミング・モデルでは、注釈付きのJavaファイルを使用してWebサービスの形状や特性を作成します。

使用可能な注釈の詳細は、Oracle Infrastructure Web ServicesのためのJava APIリファレンスを参照してください。OWSMの事前定義済ポリシーの詳細は、Oracle Web Services Managerの事前定義済ポリシーを参照してください。

A.2 Webサービスのセキュリティおよびポリシー注釈のサマリー

Webサービスのセキュリティおよびポリシー注釈は、Oracle Webサービスで高度な機能を保護し、有効にします。

表A-1は、この付録で説明しているWebサービスのセキュリティおよびポリシー注釈の概要を示しています。「設計時におけるWebサービスおよびクライアントへのポリシーのアタッチの理解」で説明しているように、この表は、Webサービス・クライアントのサブセットにポリシーをアタッチする際に使用可能な、対応するWebサービス機能クラスも示しています。

表A-1 Oracle Web Servicesのセキュリティおよびポリシー注釈

注釈

説明

@Addressing

SOAP 1.1/HTTPバインディングとSOAP 1.2/HTTPバインディングのいずれかでWS-Addressingを使用することを指定します。

@AtomicTransaction

Webサービスのアトミック・トランザクションを有効にします。

@buffering

Webサービスのバッファリングを有効にします。

@CacheBinaryContent

コンテンツのバイナリ・キャッシュを有効にして、構成します。

@CallbackManagementPolicy

クライアント・コールバック・サービスに非同期レスポンスを送信するときに管理ポリシーをアタッチします。

@CallbackMtomPolicy

クライアント・コールバック・サービスに非同期レスポンスを送信するときにMTOMポリシーをアタッチします。

@CallbackPolicySet

コールバック・サービスに接続される非同期Webサービスのコールバック・クライアントに、1つ以上のポリシー・セットをアタッチします。

@CallbackSecurityPolicy

クライアント・コールバック・サービスに非同期レスポンスを送信するときにセキュリティ・ポリシーをアタッチします。

@FastInfosetCallbackClient

コールバック・サービスに接続される非同期Webサービスのコールバック・クライアントで、Fast Infosetを有効にして、構成します。

@FastInfosetClient

Webサービス・クライアント上のFast Infosetを有効にして、構成します。

@FastInfosetService

WebサービスのFast Infosetを有効にします。

@JMSTransportClient

JAX-WS Webサービス・クライアントについて、SOAP over JMSトランスポートを有効化および構成します。

@JMSTransportService

JAX-WS Webサービスについて、SOAP over JMSトランスポートを有効化および構成します。

@ManagementPolicy

管理ポリシーをWebサービスにアタッチします。

@MaxRequestSize

Webサービスに送信可能なリクエスト・メッセージの最大サイズをバイト単位で構成します。

@MEXRequestProcessingService

メタデータの交換を有効にします。

@MTOM

Webサービスでのメッセージ転送最適化メカニズム(MTOM)の使用を有効にします。

@MTOMEncodeFaultService

MTOMが有効になっている場合の、MTOM対応SOAPフォルト・メッセージの作成を有効にします。

@MtomPolicy

MTOMポリシーをWebサービスにアタッチします。

@Persistence

Webサービスに、セキュア通信セッション永続性メカニズムを構成します。

@PolicyReference

サブジェクトに単一ポリシーをアタッチし、オプションで構成プロパティ値をオーバーライドします。

@PolicySet

一連のポリシー参照を定義し、オプションでスコープのない構成プロパティ値をオーバーライドします。

@POXHttpBindingService

ユーザー定義のjavax.xml.ws.Provider<T>.invokeメソッドによって処理される非SOAP XMLメッセージをエンドポイントで受信できるようにします。

@Property

1つ以上のポリシーの構成のオーバーライドに使用できる単一プロパティを指定します。

@ReliabilityPolicy

信頼できるメッセージング・ポリシーoracle/wsrm10_policyまたはoracle/wsrm10_policyをWebサービスにアタッチします。

@ReliableMessaging

oracle/reliable_messaging_policyポリシーをWebサービスにアタッチします。

@RequestProcessingService

Webサービス・エンドポイントを有効にします。

@SchemaValidation

スキーマに対するリクエスト・メッセージの検証を有効にします。

@SecurityPolicies (Oracle Infrastructure Web Services)

oracle.webservices.annotations.SecurityPolicy注釈の配列を指定します。

@SecurityPolicies (Java EE Webサービス)

weblogic.wsee.jws.jaxws.owsm.SecurityPolicy注釈の配列を指定します。

@SecurityPolicy (Oracle Infrastructure Web Services)

リクエストまたはレスポンスSOAPメッセージにセキュリティ・ポリシーをアタッチします。

@SecurityPolicy (Java EE Webサービス)

リクエストまたはレスポンスSOAPメッセージにセキュリティ・ポリシーをアタッチします。

@SOAPRequestProcessingService

Webサービス・エンドポイントでのSOAPリクエストの処理を有効にします。

@TestPageProcessingService

Webサービス・テスト・クライアントを有効にします。

@WSDLRequestProcessingService

WebサービスのWSDLを有効にします。

@WSLoggingLevel

Webサービス・エンドポイントの診断ログのログ・レベルを設定します。

A.3 Webサービスのセキュリティおよびポリシー注釈のリスト

Oracle Webサービスには、次のセキュリティおよびポリシー注釈が含まれています。

- @Addressing

- @AtomicTransaction

- @CacheBinaryContent

- @CallbackManagementPolicy

- @CallbackMtomPolicy

- @CallbackPolicySet

- @CallbackSecurityPolicy

- @FastInfosetCallbackClient

- @FastInfosetService

- @JMSTransportClient

- @JMSTransportService

- @ManagementPolicy

- @MaxRequestSize

- @MEXRequestProcessingService

- @MTOM

- @MTOMEncodeFaultService

- @MtomPolicy

- @Persistence

- @PolicyReference

- @PolicySet

- @POXHttpBindingService

- @Property

- @ReliabilityPolicy

- @ReliableMessaging

- @RequestProcessingService

- @SchemaValidation

- @SecurityPolicies (Oracle Infrastructure Web Services)

- @SecurityPolicies (Java EE Webサービス)

- @SOAPRequestProcessingService

- @TestPageProcessingService

- @WSDLRequestProcessingService

- @WSLoggingLevel

A.3.1 @Addressing

javax.xml.ws.soap.Addressing注釈は、SOAP 1.1/HTTPバインディングとSOAP 1.2/HTTPバインディングのいずれかでWS-Addressingを使用することを指定します。

A.3.1.1 @Addressingの属性

次の表は、javax.xml.ws.soap.Addressing注釈に渡すことができる属性を定義しています。

表A-2 javax.xml.ws.soap.Addressing注釈の属性

属性

説明

デフォルト

enabled

エンドポイントでWS-Addressingをサポートするかどうかを指定するブール値。

true

required

WS-Addressingヘッダーが受信メッセージに存在する必要があるかどうかを指定するブール値。

false

responses

エンドポイントで、匿名、非匿名、すべてのタイプのレスポンスのいずれを使用する必要があるかを指定する値。有効な値は、javax.xml.ws.soap.AddressingFeature.Responsesによって定義され、次のものがあります。

- ALL

- ANONYMOUS

- NON_ANONYMOUS

ALL

A.3.1.2 @Addressingの例

@Addressing(
enabled = true,
required = true,
responses = AddressingFeature.Responses.ALL
)

A.3.2 @AtomicTransaction

com.oracle.webservices.api.tx.at.AtomicTransaction注釈は、Webサービスのアトミック・トランザクションを有効にします。

詳細は、『Oracle Infrastructure Webサービスの開発』のWebサービスのアトミック・トランザクションの使用に関する項を参照してください。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.2.1 @AtomicTransactionの属性

次の表は、com.oracle.webservices.api.tx.at.AtomicTransaction注釈に渡すことができる属性を定義しています。

表A-3 com.oracle.webservices.api.tx.at.AtomicTransaction注釈の属性

属性

説明

デフォルト

enabled

機能を有効にするかどうかを指定するブール値。

true

flowType

Webサービスアトミック・トランザクション調整コンテキストがトランザクション・フローとともに渡されるかどうか。

有効な値は、com.oracle.webservices.api.tx.at.AtomicTransactionFlowTypeによって定義され、次のものがあります。

- MANDATORY

- NEVER

- SUPPORTS

有効な値の詳細は、『Oracle Infrastructure Webサービスの開発』のWebサービスのアトミック・トランザクションの構成に関する項を参照してください。

SUPPORTS

version

SOAサービスまたはSOA参照に対してサポートされているWebサービス・アトミック・トランザクション調整コンテキストのバージョン。SOA参照の場合、アウトバウンド・メッセージに使用されるバージョンのみを指定します。トランザクション全体で同じ値を指定する必要があります。

有効な値は、com.oracle.webservices.api.tx.at.AtomicTransactionVersionによって定義され、次のものがあります。

- DEFAULT

- WSAT10

- WSAT11

- WSAT12

有効な値の詳細は、『Oracle Infrastructure Webサービスの開発』のWebサービスのアトミック・トランザクションの構成に関する項を参照してください。

DEFAULT

A.3.2.2 @AtomicTransactionの例

@AtomicTransaction(
enabled=true,
flowType = AtomicTransactionFlowType.MANDATORY,
version= AtomicTransactionVersion.DEFAULT)

A.3.3 @Buffering

com.oracle.webservices.api.Buffering注釈は、Oracle Infrastructure Webサービスのバッファリングを有効にします。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

バッファリングされたWebサービス上の操作が呼び出されると、その呼出しを表すメッセージがJMSキューに格納されます。WebLogic Serverは、このバッファリングされたメッセージを非同期に処理します。メッセージがまだキュー内にある間にWebLogic Serverがダウンした場合、WebLogic Serverが再起動するとすぐに処理されます。

次に例を示します。

@Buffering(
enabled=true,
requestQueueEnabled=true)

次の表に、com.oracle.webservices.api.Buffering注釈に渡すことができる属性を定義します。

表A-4 com.oracle.webservices.api.Buffering注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

requestQueueConnectionFactoryJNDIName

リクエスト・メッセージ・バッファリングに使用する接続ファクトリのJNDI名。この値のデフォルトは、サーバーで定義されているデフォルトのJMS接続ファクトリです。

サーバーによって定義されたデフォルトのJMS接続ファクトリ

requestQueueEnabled

リクエスト・キューが有効かどうかを指定するフラグ。

false

responseQueueName

リクエスト・バッファリング・キューのJNDI名。

""

requestQueueTransactionEnabled

リクエスト・バッファリング・キューのメッセージを格納および取得するときにトランザクションを使用するかどうかを指定するフラグ。

false

responseQueueConnectionFactoryJNDIName

レスポンス・メッセージ・バッファリングに使用する接続ファクトリのJNDI名。

サーバーによって定義されたデフォルトのJMS接続ファクトリ

responseQueueEnabled

レスポンス・キューが有効かどうかを指定するフラグ。

false

responseQueueName

レスポンス・バッファリング・キューのJNDI名。

""

responseQueueTransactionEnabled

レスポンス・バッファリング・キューのメッセージを格納および取得するときにトランザクションを使用するかどうかを指定するフラグ。

false

retryCount

JMSキューが、操作が正常に呼び出されるまでWebサービスの実装にメッセージの配信を試みる回数。

3L

retryDelay

バッファリングされたリクエストとレスポンスの再試行の間隔。この値は、retryCountが0より大きいときにのみ適用されます。

指定する値はXMLスキーマの期間を表す字句形式(PnYnMnDTnHnMnS)に従った正の値でなければなりません。ここで、nYは年数、nMは月数、nDは日数を表し、Tは日付/時刻のセパレータ、nHは時間数、nMは分数、nSは秒数を表します。

P0DT30S (30秒)

A.3.4 @CacheBinaryContent

com.oracle.webservices.api.CacheBinaryContent注釈は、コンテンツのバイナリ・キャッシュを有効にして、構成します。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.4.1 @CacheBinaryContentの属性

次の表は、com.oracle.webservices.api.CacheBinaryContent注釈に渡すことができる属性を定義しています。

表A-5 com.oracle.webservices.api.CacheBinaryContent注釈の属性

属性

説明

デフォルト

arg1

次のいずれかの値を定義するブール値。

- modeをBINARYに設定した場合、この引数は必要ありません。

- modeをFILEに設定した場合は、一時ファイルの格納先のディレクトリをarg1に指定します。

- modeをBLOBに設定した場合は、DBMS接続のURLを指定します。

"java.io.tmpdir"

enabled

機能を有効にするかどうかを指定するブール値。

true

mode

OraSAAJのXTIスケーラブルDOMのランタイム要件を指定する値。有効な値は、com.oracle.webservcies.api.CacheBinaryContentModeによって定義され、次のものがあります。

- BINARY: 最速の方法ですが、メモリーが最も大量に消費されます。本番環境にはお薦めしません。

- FILE: 推奨される方法です。ドキュメントごとに1つの一時ファイルを指定します。一時ファイルの格納先のディレクトリをarg1として指定する必要があります。

- BLOB: 最も遅い方法です。DBMS接続のURLをarg1として指定する必要があります。

BINARY

A.3.4.2 @CacheBinaryContentの例

@CacheBinaryContent(
enabled=true,
mode= CacheBinaryContentMode.FILE,
arg1="/mytempdir")

A.3.5 @CallbackManagementPolicy

oracle.webservices.annotations.CallbackManagementPolicy注釈は、クライアント・コールバック・サービスに非同期レスポンスを送信するときに管理ポリシーをアタッチできるようにします。

『Oracle Infrastructure Webサービスの開発』の非同期Webサービスの開発に関する項で説明しているように、この注釈は、oracle.webservices.annotations.async.AsyncWebService注釈が注釈付けされる非同期Webサービス実装クラスに適用されます。

注意:

この注釈は非推奨になりました。@CallbackPolicySetで説明しているように、oracle.wsm.metadata.annotation.CallbackPolicySet注釈を使用することをお薦めします。

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.5.1 @CallbackManagementPolicyの属性

次の表に、oracle.webservices.annotations.async.CallbackManagementPolicy注釈に渡すことができる属性を定義します。

表A-6 oracle.webservices.annotations.async.CallbackManagementPolicy注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

value

WS-Policyファイルの取得元の場所。Web上のWS-PolicyファイルのURLを指定するには、http:接頭辞を使用します。WS-Policyファイルをポリシー・リポジトリ内にパッケージすることを指定するには、policy:接頭辞を使用します。

""

A.3.5.2 @CallbackManagementPolicyの例

@CallbackManagementPolicy(
value="oracle/log_policy",
enabled = true
)

A.3.6 @CallbackMtomPolicy

oracle.webservices.annotations.async.CallbackMtomPolicy注釈は、クライアント・コールバック・サービスに非同期レスポンスを送信するときにMTOMポリシーをアタッチします。

注意:

この注釈は非推奨になりました。@CallbackPolicySetで説明しているように、oracle.wsm.metadata.annotation.CallbackPolicySet注釈を使用することをお薦めします。

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

『Oracle Infrastructure Webサービスの開発』の非同期Webサービスの開発に関する項で説明しているように、この注釈は、oracle.webservices.annotations.async.AsyncWebService注釈が注釈付けされる非同期Webサービス実装クラスに適用されます。

A.3.6.1 @CallbackMtomPolicyの属性

次の表に、oracle.webservices.annotations.async.CallbackMtomPolicy注釈に渡すことができる属性を定義します。

表A-7 oracle.webservices.annotations.async.CallbackMtomPolicy注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

value

MTOMポリシー・ファイルの取得元の場所。Web上のMTOMポリシー・ファイルのURLを指定するには、http:接頭辞を使用します。MTOMポリシー・ファイルをポリシー・リポジトリ内にパッケージすることを指定するには、policy:接頭辞を使用します。

""

A.3.6.2 @CallbackMtomPolicyの例

@CallbackMtomPolicy(
value="oracle/wsmtom_policy",
enabled = true
)

A.3.7 @CallbackPolicySet

oracle.wsm.metadata.annotation.CallbackPolicySet注釈は、コールバック・サービス用の一連のポリシー参照を定義し、オプションでスコープのない構成プロパティ値をオーバーライドします。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.7.1 @CallbackPolicySetの属性

次の表は、oracle.wsm.metadata.annotation.CallbackPolicySet注釈に渡すことができる属性を定義しています。

表A-8 oracle.wsm.metadata.annotation.CallbackPolicySet注釈の属性

属性

説明

デフォルト

properties

構成オーバーライドのプロパティ値を定義するoracle.wsm.metadata.annotation.Property注釈のリスト。

""

references

サブジェクトにアタッチするポリシーを定義するoracle.wsm.metadata.annotation.PolicyReference注釈のリスト。

""

A.3.7.2 @CallbackPolicySetの例

@CallbackPolicySet(references = {
@PolicyReference("oracle/wss_http_token_service_policy")
}

A.3.8 @CallbackSecurityPolicy

oracle.webservices.annotations.async.CallbackSecurityPolicy注釈は、クライアント・コールバック・サービスに非同期レスポンスを送信するときにセキュリティ・ポリシーをアタッチします。

注意:

この注釈は非推奨になりました。@CallbackPolicySetで説明しているように、oracle.wsm.metadata.annotation.CallbackPolicySet注釈を使用することをお薦めします。

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

『Oracle Infrastructure Webサービスの開発』の非同期Webサービスの開発に関する項で説明しているように、この注釈は、oracle.webservices.annotations.async.AsyncWebService注釈が注釈付けされる非同期Webサービス実装クラスに適用されます。

A.3.8.1 @CallbackSecurityPolicyの属性

次の表は、oracle.webservices.annotations.async.CallbackSecurityPolicy注釈に渡すことができる属性の概要を示しています。

表A-9 oracle.webservices.annotations.async.CallbackSecurityPolicy注釈の属性

属性

説明

デフォルト

enabled

オプション。ポリシーが有効かどうかを指定するブール値です。

true

Properties

オプション。プロパティの値と名前の組合せの配列です。

""

value

WS-Policyファイルの取得元の場所。Web上のWS-PolicyファイルのURLを指定するには、http:接頭辞を使用します。WS-Policyファイルをポリシー・リポジトリ内にパッケージすることを指定するには、policy:接頭辞を使用します。

""

A.3.8.2 @CallbackSecurityPolicyの例

@CallbackSecurityPolicy(value=
"policy:oracle/wss10_username_token_with_message_protection_server_policy"),

A.3.9 @FastInfosetCallbackClient

com.oracle.webservices.api.FastInfosetCallbackClient注釈は、コールバック・サービスに接続される非同期Webサービスのコールバック・クライアントで、Fast Infosetを有効にして、構成します。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

非同期Webサービスおよび非同期コールバック・クライアントの開発の詳細は、『Oracle Infrastructure Webサービスの開発』の非同期Webサービスの開発に関する項を参照してください。Fast Infosetの詳細は、『Oracle Infrastructure Webサービスの開発』のFast Infosetを使用したXML転送の最適化に関する項を参照してください。

A.3.9.1 @FastInfosetCallbackClientの属性

次の表は、com.oracle.webservices.api.FastInfosetCallbackClient注釈に渡すことができる属性を定義しています。

表A-10 com.oracle.webservices.api.FastInfosetCallbackClient注釈の属性

属性

説明

デフォルト

fastInfosetContentNegotiation

コンテンツ・ネゴシエーション戦略。有効な値は、com.oracle.webservices.api.FastInfosetContentNegotiationStrategyによって定義され、次のものがあります。

- OPTIMISTIC: サービスでFast Infosetが有効になっていると見なされます。すべてのリクエストが、Fast Infosetを使用して送信されます。

- PESSIMISTIC - Fast Infosetを有効にせずにクライアントから送信された最初のリクエスト。ただし、このリクエストには、クライアントでFast Infoset機能がサポートされることを示すHTTP受け入れヘッダーが指定されています。サービス・レスポンスがFast Infoset形式の場合、サービスでFast Infosetが有効になっていることが確認された後、クライアントからの後続リクエストはFast Infoset形式で送信されます。

- NONE - クライアント・リクエストではFast Infosetは使用されません。

詳細は、次を参照してください。

- JAX-WS Webサービス: 『Oracle WebLogic Server JAX-WS Webサービスの開発』のコンテンツ・ネゴシエーション戦略の構成に関する項

- Oracle Infrastructure Web Services: 『Oracle Infrastructure Webサービスの開発』のコンテンツ・ネゴシエーション戦略の構成に関する項。

NONE

enabled

機能を有効にするかどうかを指定するブール値。

true

A.3.9.2 @FastInfosetCallbackClientの例

@FastInfosetCallbackClient(
enable=true,
fastInfosetContentNegotiation=FastInfosetContentNegotiationType.OPTIMISTIC
)

A.3.10 @FastInfosetClient

com.oracle.webservices.api.FastInfosetClient注釈は、Webサービス・クライアントでFast Infosetを有効にして構成します。

Fast Infosetの詳細は、次を参照してください。

- JAX-WS Webサービス: 『Oracle WebLogic Server JAX-WS Webサービスの開発』のFast Infosetを使用したXML転送の最適化に関する項

- Oracle Infrastructure Webサービス: 『Oracle Infrastructure Webサービスの開発』のFast Infosetを使用したXML転送の最適化に関する項。

A.3.11 @FastInfosetService

com.oracle.webservices.api.FastInfosetService注釈は、Webサービス上のFast Infosetを有効にします。

Fast Infosetの詳細は、次を参照してください。

- JAX-WS Webサービス: 『Oracle WebLogic Server JAX-WS Webサービスの開発』のFast Infosetを使用したXML転送の最適化に関する項

- Oracle Infrastructure Webサービス: 『Oracle Infrastructure Webサービスの開発』のFast Infosetを使用したXML転送の最適化に関する項。

A.3.11.1 @FastInfosetServiceの属性

次の表は、com.oracle.webservices.api.FastInfosetService注釈に渡すことができる属性を定義しています。

表A-11 com.oracle.webservices.api.FastInfosetService注釈の属性

属性

説明

デフォルト

enabled

機能を有効にするかどうかを指定するブール値。

true

A.3.11.2 @FastInfosetServiceの例

@FastInfosetService(
enable=true
)

A.3.12 @JMSTransportClient

com.oracle.webservices.api.jms.JMSTransportClient注釈は、Oracle InfrastructureおよびJAX-WS (Java EE) Webサービス・クライアントに対してSOAP over JMSトランスポートを有効にして、構成します。

SOAP over JMSトランスポートを使用すると、WebサービスとクライアントがHTTP接続ではなくJMS宛先を使用して通信するようになるため、次のような利点があります。

- 信頼性

- スケーラビリティ

- サービス品質

SOAP over JMSトランスポートの使用の詳細は、『Oracle WebLogic Server JAX-WS Webサービスの開発』のSOAP Over JMSトランスポートの使用に関する項を参照してください。

注意:

SOAP over JMSトランスポートは、Webサービス機能のうち、信頼性のあるメッセージングおよびHTTPトランスポート固有のセキュリティとは互換性がありません。

Oracle Infrastructure Web Servicesの場合、SOAP over JMSトランスポートは、非同期Webサービスと互換性がありません。

A.3.12.1 @JMSTransportClientの属性

@JMSTransportClient注釈を使用して構成できる属性については、『Oracle WebLogic Server JAX-WS Webサービスの開発』のJMSトランスポートのプロパティの構成に関する項を参照してください。

A.3.12.2 @JMSTransportClientの例

@JMSTransportClient (
destinationName="myQueue",
replyToName="myReplyToQueue",
jndiURL="t3://localhost:7001",
jndiInitialContextFactory="weblogic.jndi.WLInitialContextFactory",
jndiConnectionFactoryName="weblogic.jms.ConnectionFactory",
timeToLive=1000, priority=1,
messageType=com.oracle.webservices.api.jms.JMSMessageType.TEXT
)

A.3.13 @JMSTransportService

com.oracle.webservices.api.jms.JMSTransportService注釈は、Oracle InfrastructureおよびJAX-WS (Java EE) Webサービス・クライアントに対してSOAP over JMSトランスポートを有効にして、構成します。

SOAP over JMSトランスポートを使用すると、WebサービスとクライアントがHTTP接続ではなくJMS宛先を使用して通信するようになるため、次のような利点があります。

- 信頼性

- スケーラビリティ

- サービス品質

SOAP over JMSトランスポートの使用の詳細は、『Oracle WebLogic Server JAX-WS Webサービスの開発』のSOAP Over JMSトランスポートの使用に関する項を参照してください。

注意:

SOAP over JMSトランスポートは、Webサービス機能のうち、信頼性のあるメッセージングおよびHTTPトランスポート固有のセキュリティとは互換性がありません。

Oracle Infrastructure Web Servicesの場合、SOAP over JMSトランスポートは、非同期Webサービスと互換性がありません。

A.3.13.1 @JMSTransportServiceの属性

@JMSTransportService注釈を使用して構成できる属性については、『Oracle WebLogic Server JAX-WS Webサービスの開発』のJMSトランスポートのプロパティの構成に関する項を参照してください。

A.3.13.2 @JMSTransportServiceの例

@JMSTransportService(destinationName="myQueue",
activationConfig = {
@ActivationConfigProperty(
propertyName  = "destinationType",
propertyValue = "TOPIC"),
@ActivationConfigProperty(
propertyName  = "subscriptionDurability",
propertyValue = "Durable"),
@ActivationConfigProperty(propertyName  = "topicMessagesDistributionMode",
propertyValue = "One-Copy-Per-Application")})

A.3.14 @ManagementPolicy

oracle.webservices.annotations.ManagementPolicy注釈は、管理ポリシーをWebサービスにアタッチします。

注意:

この注釈は非推奨になりました。@PolicyReferenceで説明しているように、oracle.wsm.metadata.annotation.PolicyReference注釈を使用することをお薦めします。

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.14.1 @ManagementPolicyの属性

次の表に、oracle.webservices.annotations.ManagementPolicy注釈に渡すことができる属性を定義します。

表A-12 oracle.webservices.annotations.ManagementPolicy注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

value

WS-Policyファイルの取得元の場所。Web上のWS-PolicyファイルのURLを指定するには、http:接頭辞を使用します。WS-Policyファイルをポリシー・リポジトリ内にパッケージすることを指定するには、policy:接頭辞を使用します。

""

A.3.14.2 @ManagementPolicyの例

@ManagementPolicy(
value="oracle/log_policy",
enabled = true
)

A.3.15 @MaxRequestSize

com.oracle.webservices.api.MaxRequestSize注釈は、Webサービスに送信可能なリクエスト・メッセージの最大サイズをバイト単位で構成できるようにします。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.15.1 @MaxRequestSizeの属性

次の表に、com.oracle.webservices.api.MaxRequestSize注釈に渡すことができる属性を定義します。

表A-13 com.oracle.webservices.api.MaxRequestSize注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

maxRequestSize

リクエスト・メッセージの最大サイズ(バイト単位)。-1は、メッセージのサイズに制限がないことを示します。

-1

A.3.15.2 @MaxRequestSizeの例

@MaxRequestSize(
maxRequestSize=-1,
enabled = true
)

A.3.16 @MEXRequestProcessingService

com.oracle.webservices.api.MEXRequestProcessingService注釈は、Webサービス・メタデータの交換を有効にします。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.16.1 @MEXRequestProcessingServiceの属性

次の表は、com.oracle.webservices.api.MEXRequestProcessingService注釈に渡すことができる属性を定義しています。

表A-14 com.oracle.webservices.api.MEXRequestProcessingService注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

A.3.16.2 @MEXRequestProcessingServiceの例

@MEXRequestProcessingService(
enabled = true
)

A.3.17 @MTOM

javax.xml.ws.soap.MTOM注釈は、Webサービスでのメッセージ転送最適化メカニズム(MTOM)の使用を有効にします。MTOMは、SOAPメッセージ内のxs:base64Binaryまたはxs:hexBinaryタイプのXMLデータの転送を最適化するためのメソッドを定義します。

詳細は、次を参照してください。

- 『Oracle WebLogic Server JAX-WS Webサービスの開発』のバイナリ・データ送信の最適化に関する項

- @MTOM Javadoc (http://docs.oracle.com/javase/7/docs/api/javax/xml/ws/soap/MTOM.html)

A.3.17.1 @MTOMの属性

次の表は、javax.xml.ws.soap.MTOM注釈に渡すことができる属性を定義しています。

表A-15 javax.xml.ws.soap.MTOM注釈の属性

属性

説明

デフォルト

enabled

MTOMを有効にするかどうかを指定するブール値。

true

A.3.17.2 @MTOMの例

@MTOM(
enabled = true
)

A.3.18 @MTOMEncodeFaultService

com.oracle.webservices.api.MTOMEncodeFaultService注釈は、MTOMが有効になっている場合の、MTOM対応SOAPフォルト・メッセージの作成を有効にします。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.18.1 @MTOMEncodeFaultServiceの属性

次の表は、com.oracle.webservices.api.MTOMEncodeFaultService注釈に渡すことができる属性を定義しています。

表A-16 com.oracle.webservcies.api.MTOMEncodeFaultService注釈の属性

属性

説明

デフォルト

enabled

MTOMを有効にするかどうかを指定するブール値。

true

A.3.18.2 @MTOMEncodeFaultServiceの例

@MTOMEncodeFaultService(
enabled = true
)

A.3.19 @MtomPolicy

oracle.webservices.annotations.MtomPolicy注釈は、MTOMポリシーをWebサービスにアタッチします。

注意:

この注釈は非推奨になりました。@PolicyReferenceで説明しているように、oracle.wsm.metadata.annotation.PolicyReference注釈を使用することをお薦めします。

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.19.1 @MtomPolicyの属性

次の表に、oracle.webservices.annotations.MtomPolicy注釈に渡すことができる属性を定義します。

表A-17 oracle.webservices.annotations.MtomPolicy注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

value

MTOMポリシー・ファイルの取得元の場所。Web上のMTOMポリシー・ファイルのURLを指定するには、http:接頭辞を使用します。MTOMポリシー・ファイルをポリシー・リポジトリ内にパッケージすることを指定するには、policy:接頭辞を使用します。

""

A.3.19.2 @MtomPolicyの例

@MtomPolicy(
value="oracle/wsmtom_policy",
enabled = true
)

A.3.20 @Persistence

oracle.webservices.annotations.Persistence注釈は、Webサービスに、セキュア通信セッション永続性メカニズムを構成します。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.20.1 @Persistenceの属性

次の表は、oracle.webservices.annotations.Persistence注釈に渡すことができる属性を定義しています。

表A-18 oracle.webservices.annotations.Persistence注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

providerName

システムに登録されている永続性プロバイダを識別します。次の値を指定できます。

- oracle:jrf:Memoryは、メモリー内ベースの永続性プロバイダです。

- oracle:jrf:Coherenceは、統合Coherenceプロバイダです。

oracle:jrf:Coherence (ポリシーのコンシューマ(Webサービスまたはクライアント)がWebLogic Server環境で稼働している場合)

oracle:jrf:Memory (ポリシーのコンシューマがスタンドアロンJVM環境で稼働している場合)

A.3.20.2 @Persistenceの例

@PortableWebService
@SecurityPolicy("oracle/wss11_username_token_with_message_protection_wssc_service_policy")
@Persistence(providerName="oracle:jrf:Coherence")

public class TestService {
......
}

A.3.21 @PolicyReference

oracle.wsm.metadata.annotation.PolicyReference注釈は、サブジェクトに単一ポリシーをアタッチし、オプションで構成プロパティ値をオーバーライドします。

注意:

この注釈は、Oracle Infrastructure WebサービスおよびRESTful Webサービスに適用されます。

A.3.21.1 @PolicyReferenceの属性

次の表は、oracle.wsm.metadata.annotation.PolicyReference注釈に渡すことができる属性を定義しています。

表A-19 oracle.wsm.metadata.annotation.PolicyReference注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

properties

構成オーバーライドのプロパティ値を定義するoracle.wsm.metadata.annotation.Property注釈のリスト。

""

value

MTOMポリシー・ファイルの取得元の場所。Web上のMTOMポリシー・ファイルのURLを指定するには、http:接頭辞を使用します。MTOMポリシー・ファイルをポリシー・リポジトリ内にパッケージすることを指定するには、policy:接頭辞を使用します。

""

A.3.21.2 @PolicyReferenceの例

@PolicyReference(
value = "oracle/binding_permission_authorization_policy",
properties = {
@Property(
name="resource",
value="com.sun.jersey.samples.helloworld.resources.MyApplication"),
@Property(
name="action",
value="")
}
)

A.3.22 @PolicySet

oracle.wsm.metadata.annotation.PolicySet注釈は、Webサービス用の一連のポリシー参照を定義し、オプションでスコープのない構成プロパティ値をオーバーライドします。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.22.1 @PolicySetの属性

次の表は、oracle.wsm.metadata.annotation.PolicySet注釈に渡すことができる属性を定義しています。

表A-20 oracle.wsm.metadata.annotation.PolicySet注釈の属性

属性

説明

デフォルト

properties

構成オーバーライドのプロパティ値を定義するoracle.wsm.metadata.annotation.Property注釈のリスト。

""

references

サブジェクトにアタッチするポリシーを定義するoracle.wsm.metadata.annotation.PolicyReference注釈のリスト。

""

A.3.22.2 @PolicySetの例

@PolicySet(references = {
@PolicyReference("oracle/wss_http_token_service_policy")
}

A.3.23 @POXHttpBindingService

com.oracle.webservices.api.POXHttpBindingService注釈は、ユーザー定義のjavax.xml.ws.Provider<T>.invokeメソッドによって処理される非SOAP XMLメッセージをエンドポイントで受信できるようにします。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.23.1 @POXHttpBindingServiceの属性

次の表は、com.oracle.webservices.api.POXHttpBindingService注釈に渡すことができる属性を定義しています。

表A-21 com.oracle.webservcies.api.POXHttpBindingService注釈の属性

属性

説明

デフォルト

enabled

MTOMを有効にするかどうかを指定するブール値。

true

A.3.23.2 @POXHttpBindingServiceの例

@POXHttpBindingService(
enabled = true
)

A.3.24 @Property

oracle.wsm.metadata.annotation.Property注釈は、1つ以上のポリシーの構成のオーバーライドに使用できる単一プロパティを指定します。

注意:

この注釈は、Oracle Infrastructure WebサービスおよびRESTful Webサービスに適用されます。

A.3.24.1 @Propertyの属性

次の表は、oracle.wsm.metadata.annotation.Property注釈に渡すことができる属性を定義しています。

表A-22 oracle.wsm.metadata.annotation.Property注釈の属性

属性

説明

デフォルト

properties

スコープのない構成オーバーライドのプロパティ値を定義するoracle.wsm.metadata.annotation.Property注釈のリスト。

""

references

サブジェクトにアタッチするポリシーを定義するoracle.wsm.metadata.annotation.PolicyReference注釈のリスト。

""

A.3.24.2 @Propertyの例

@PolicyReference(
value = "oracle/binding_permission_authorization_policy",
properties = {
@Property(
name="resource",
value="com.sun.jersey.samples.helloworld.resources.MyApplication"),
@Property(
name="action",
value="")
}
)

A.3.25 @ReliabilityPolicy

oracle.webservices.annotations.ReliabilityPolicy注釈は、信頼できるメッセージング・ポリシーoracle/wsrm10_policyまたはoracle/wsrm10_policyをWebサービスにアタッチします。

注意:

この注釈は非推奨になりました。@ReliableMessagingで説明しているように、com.oracle.webservices.api.rm.ReliableMessaging注釈を使用することをお薦めします。

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.25.1 @ReliabilityPolicyの属性

次の表は、oracle.webservices.annotations.ReliabilityPolicy注釈に渡すことができる属性を定義しています。

表A-23 oracle.webservices.annotations.ReliabilityPolicy注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

value

信頼できるメッセージング・ポリシー・ファイルの取得元の場所。Web上の信頼できるメッセージング・ポリシー・ファイルのURLを指定するには、http:接頭辞を使用します。信頼できるメッセージング・ポリシー・ファイルをポリシー・リポジトリ内にパッケージすることを指定するには、policy:接頭辞を使用します。

""

A.3.25.2 @ReliabilityPolicyの例

@ReliabilityPolicy(
value="oracle/wsrm11_policy",
enabled = true)

A.3.26 @ReliableMessaging

com.oracle.webservices.api.rm.ReliableMessaging注釈は、oracle/reliable_messaging_policyポリシーをWebサービスにアタッチします。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.26.1 @ReliableMessagingの属性

次の表は、oracle.webservices.annotations.ReliableMessaging注釈に渡すことができる属性を定義しています。

表A-24 oracle.webservices.annotations.ReliableMessaging注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

value

信頼できるメッセージング・ポリシー・ファイルの取得元の場所。Web上の信頼できるメッセージング・ポリシー・ファイルのURLを指定するには、http:接頭辞を使用します。信頼できるメッセージング・ポリシー・ファイルをポリシー・リポジトリ内にパッケージすることを指定するには、policy:接頭辞を使用します。

""

A.3.26.2 @ReliableMessagingの例

@ReliableMessaging(
value="oracle/reliable_messaging_policy",
enabled = true)

A.3.27 @RequestProcessingService

com.oracle.webservices.api.RequestProcessingService注釈は、Webサービス・エンドポイントで着信リクエストを処理できるようにします。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.27.1 @RequestProcessingServiceの属性

次の表は、oracle.webservices.annotations.RequestProcessingService注釈に渡すことができる属性を定義しています。

表A-25 oracle.webservices.annotations.RequestProcessingService注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

A.3.27.2 @RequestProcessingServiceの例

@RequestProcessingService(
enabled = true)

A.3.28 @SchemaValidation

com.oracle.webservices.api.SchemaValidation注釈は、スキーマに対するリクエスト・メッセージの検証を有効にします。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.28.1 @SchemaValidationの属性

次の表は、oracle.webservices.annotations.SchemaValidation注釈に渡すことができる属性を定義しています。

表A-26 oracle.webservices.annotations.SchemaValidation注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

A.3.28.2 @SchemaValidationの例

@SchemaValidation(
enabled = true)

A.3.29 @SecurityPolicies (Oracle Infrastructure Webサービス)

oracle.webservices.annotations.SecurityPolicies注釈は、oracle.webservices.annotations.SecurityPolicy注釈の配列を指定します。複数のWS-Policyファイルをクラスにアタッチする場合は、この注釈を使用します。

注意:

この注釈は非推奨になりました。@PolicySetで説明しているように、oracle.wsm.metadata.annotation.PolicySet注釈を使用することをお薦めします。

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

次に例を示します。

@SecurityPolicies({
@SecurityPolicy(uri=
"policy:oracle/wss10_username_token_with_message_protection_server_policy"),
@SecurityPolicy(uri="policy:oracle/authorization_policy")

A.3.30 @SecurityPolicies (Java EE Webサービス)

weblogic.wsee.jws.jaxws.owsm.SecurityPolicies注釈は、weblogic.wsee.jws.jaxws.owsm.SecurityPolicy注釈の配列を指定します。複数のWS-Policyファイルをクラスにアタッチする場合は、この注釈を使用します。

注意:

この注釈は、Java EE Webサービスにのみ適用されます。

A.3.30.1 @SecurityPoliciesの例

@SecurityPolicies({
@SecurityPolicy(uri=
"policy:oracle/wss10_username_token_with_message_protection_server_policy"),
@SecurityPolicy(uri="policy:oracle/authorization_policy")

A.3.31 @SecurityPolicy (Oracle Infrastructure Webサービス)

oracle.webservices.annotations.SecurityPolicy注釈は、セキュリティ・ポリシーをリクエストSOAPメッセージまたはレスポンスSOAPメッセージにアタッチします。この注釈を単独で使用して、単一のWS-Policyファイルをクラスに適用できます。複数のWS-Policyファイルをクラスに適用する場合は、@SecurityPolicies注釈を使用してそれらのファイルを1つにまとめます。

注意:

この注釈は非推奨になりました。@PolicyReferenceで説明しているように、oracle.wsm.metadata.annotation.PolicyReference注釈を使用することをお薦めします。

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.31.1 @SecurityPolicyの属性

次の表は、oracle.webservices.annotations.SecurityPolicy注釈に渡すことができる属性をまとめたものです。

表A-27 oracle.webservices.annotations.SecurityPolicy注釈の属性

属性

説明

デフォルト

enabled

オプション。ポリシーが有効かどうかを指定するブール値です。

true

Properties

オプション。プロパティの値と名前の組合せの配列です。

""

value

WS-Policyファイルの取得元の場所。Web上のWS-PolicyファイルのURLを指定するには、http:接頭辞を使用します。WS-Policyファイルをポリシー・リポジトリ内にパッケージすることを指定するには、policy:接頭辞を使用します。

""

A.3.31.2 @SecurityPolicyの例

@SecurityPolicy(value=
"policy:oracle/wss10_username_token_with_message_protection_server_policy"),

A.3.32 @SecurityPolicy (Java EE Webサービス)

weblogic.wsee.jws.jaxws.owsm.SecurityPolicy注釈は、リクエストまたはレスポンスSOAPメッセージにセキュリティ・ポリシーをアタッチします。この注釈を単独で使用して、単一のWS-Policyファイルをクラスに適用できます。複数のWS-Policyファイルをクラスに適用する場合は、@SecurityPolicies注釈を使用してそれらのファイルを1つにまとめます。

注意:

この注釈は、Java EE Webサービスにのみ適用されます。

A.3.32.1 @SecurityPolicyの属性

次の表は、weblogic.wsee.jws.jaxws.owsm.SecurityPolicy注釈に渡すことができる属性の概要を示しています。

表A-28 weblogic.wsee.jws.jaxws.owsm.SecurityPolicy注釈の属性

属性

説明

デフォルト

enabled

オプション。ポリシーが有効かどうかを指定するブール値です。

true

uri

WS-Policyファイルの取得元の場所。Web上のWS-PolicyファイルのURLを指定するには、http:接頭辞を使用します。WS-Policyファイルをポリシー・リポジトリ内にパッケージすることを指定するには、policy:接頭辞を使用します。

""

A.3.32.2 @SecurityPolicyの例

@SecurityPolicy(value=
"policy:oracle/wss10_username_token_with_message_protection_server_policy")

A.3.33 @SOAPRequestProcessingService

このcom.oracle.webservices.api.SOAPRequestProcessingService注釈は、Webサービス・エンドポイントでのSOAPリクエストの処理を有効にします。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.33.1 @SOAPRequestProcessingServiceの属性

次の表は、oracle.webservices.annotations.SOAPRequestProcessingService注釈に渡すことができる属性を定義しています。

表A-29 oracle.webservices.annotations.SOAPRequestProcessingService注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

A.3.33.2 @SOAPRequestProcessingServiceの例

@SOAPRequestProcessingService(
enabled = true)

A.3.34 @TestPageProcessingService

com.oracle.webservices.api.TestPageProcessingService注釈は、Webサービス・テスト・クライアントを有効にします。この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

詳細は、Webサービスの管理のWebサービス・テスト・クライアントの使用に関する項を参照してください。

注意:

この項で説明している手順が、Fusion Middleware Controlの「Webサービスのテスト」ページにアクセスできるようにする「Webサービス・エンドポイント」ページ上の「Webサービスのテスト」リンクの可用性に影響を与えることはありません。詳細は、『Webサービスの管理』のFusion Middleware Controlの「Webサービスのテスト」ページの使用に関する項を参照してください。

A.3.34.1 @TestPageProcessingServiceの属性

次の表は、oracle.webservices.annotations.TestPageProcessingService注釈に渡すことができる属性を定義しています。

表A-30 oracle.webservices.annotations.TestPageProcessingService注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

A.3.34.2 @TestPageProcessingServiceの例

@TestPageProcessingService(
enabled = true)

A.3.35 @WSDLRequestProcessingService

このcom.oracle.webservices.api.WSDLRequestProcessingService注釈は、WebサービスのWSDLへのアクセスを有効にします。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.35.1 @WSDLRequestProcessingServiceの属性

次の表は、oracle.webservices.annotations.WSDLRequestProcessingService注釈に渡すことができる属性を定義しています。

表A-31 oracle.webservices.annotations.WSDLRequestProcessingService注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

A.3.35.2 @WSDLRequestProcessingServiceの例

@WSDLRequestProcessingService(
enabled = true)

A.3.36 @WSLoggingLevel

このcom.oracle.webservices.api.WSLoggingLevel注釈は、Webサービス・エンドポイントの診断ログのログ・レベルを設定します。

注意:

この注釈は、Oracle Infrastructure Web Servicesにのみ適用されます。

A.3.36.1 @WSLoggingLevelの属性

次の表は、oracle.webservices.annotations.WSLoggingLevel注釈に渡すことができる属性を定義しています。

表A-32 oracle.webservices.annotations.WSLoggingLevel注釈の属性

属性

説明

デフォルト

enabled

ポリシーが有効かどうかを指定するブール値。

true

loggingLevel

ロギング・レベルを定義します。有効な値は、SEVERE、WARNING、INFO、CONFIG、FINE、FINER、FINESTまたはNULLです。

""

A.3.36.2 @WSLoggingLevelの例

@WSLoggingLevel(
enabled = true,
loggingLevel=INFO
)

B Oracle Web Servicesの事前定義済アサーション・テンプレート

アサーション・テンプレートをカスタマイズするには、Oracle Web Servicesのアサーション・テンプレートの設定および構成プロパティを使用します。

トピック:

- Oracle Web Servicesのアサーション・テンプレートの設定

- Oracle Web Servicesのアサーション・テンプレートの構成プロパティ

B.1 Oracle Web Servicesのアサーション・テンプレートの設定

事前定義済アサーション・テンプレートを設定するには、アサーション・テンプレート設定を使用します。

設定は、アルファベット順にリストされています。

注意:

すべての設定がすべてのアサーション・テンプレートに適用されるわけではありません。

- アクションの一致

- アルゴリズム・スイート

- 認証ヘッダー - ヘッダー名

- 認証ヘッダー - メカニズム

- 本体要素

- ブートストラップ・メッセージ・セキュリティ

- クライアント・エントロピ

- クライアント・ポリシーURI

- 署名の確認

- 確認タイプ

- 制約の一致

- 必要な作成時間

- 導出キー

- 有効

- 署名の暗号化

- 暗号化鍵参照メカニズム

- フォルト

- 「フォルト・メッセージ」設定

- ヘッダー要素

- 本体全体を含める

- MIMEヘッダーを含める

- SwAアタッチメントを含める

- タイムスタンプを含める

- 暗号化済

- 署名済

- Kerberosトークン・タイプ

- キー・タイプ

- キーストア受信者の別名

- 相互認証が必要

- 名前識別子フォーマット

- 必要なNonce

- パスワード・タイプ

- 権限

- 権限クラス

- ポート・エンドポイント

- ポートURI

- 再認証

- 受信者暗号化鍵参照メカニズム

- 受信者署名鍵参照メカニズム

- リクエスト

- 「リクエスト・メッセージ」設定

- リクエストXPath

- リクエスト・ネームスペース

- 適用先が必要

- クライアント・エントロピが必要

- 外部参照が必要

- 内部参照が必要

- サーバー・エントロピが必要

- リソースの一致

- レスポンス

- 「レスポンス・メッセージ」設定

- レスポンス・ネームスペース

- レスポンスXPath

- ロール

- サーバー・エントロピ

- 署名鍵参照メカニズム

- 署名して暗号化

- トークン・タイプ

- Transport Layer Security

- Transport Layer Security - タイムスタンプを含める

- Transport Layer Security - 相互認証が必要

- バージョン

- トラスト・バージョン

- 導出キーの使用

- PKIパスの使用

- WSDLは存在しますか。

- WSDL

B.1.1 アクション一致

「アクションの一致」は、Webサービス操作の認可チェックを実行します。

この値は、値のカンマ区切りのリストにすることもできます。このフィールドでは、ワイルドカードを使用できます。例: validate、amountAvailable

B.1.2 アルゴリズム・スイート

アルゴリズム・スイートは、メッセージ保護に使用されます。

詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

B.1.3 認証ヘッダー - ヘッダー名

認証ヘッダーの名前を指定します。

B.1.4 認証ヘッダー - メカニズム

この設定は、アサーション・テンプレートの認証メカニズムを指定するために使用されます。

有効な値は次のとおりです。

- basic: ユーザー名およびパスワードを送信することで、クライアントが自身を認証します。
注意: Basic認証を使用する場合はSSLを構成することをお薦めします。詳細は、「SSLに関するキーストアの構成について」を参照してください。

- cert: このリリースではサポートされていません。証明書を送信することで、クライアントが自身を認証します。

- custom: このリリースではサポートされていません。カスタムの認証メカニズム。

- digest: このリリースではサポートされていません。暗号化されたパスワードをMD5ダイジェストを使用して送信することで、クライアントが自身を認証します。

- jwt - 今後の使用のために予約されています。

- oam: クライアントはOAMエージェントを使用して自身を認証します。

- saml20-bearer: クライアントはSAML 2.0 Bearerトークンを使用して自身を認証します。

- spnego: クライアントはKerberos SPNEGOを使用して自身を認証します。

B.1.5 本体要素

この設定は、アサーション・テンプレートの本体要素を定義するために使用します。

注意: このフィールドは、「本体全体を含める」が無効化されている場合に使用できます。

指定された本体要素に署名するか暗号化します。このフィールドは、「ボディを含める」が無効化されている場合に使用できます。

本体要素を追加するには、次のようにします。

1. 「追加」をクリックします。

2. ネームスペースURIを入力します。

3. ヘッダー要素のローカル名を入力します。

4. 「OK」をクリックします。

本体要素を編集するには、次のようにします。

1. 「本体要素」リストで、編集するbpdu要素を選択します。

2. 「編集」をクリックします。

3. 必要に応じて値を変更します。

4. 「OK」をクリックします。

本体要素を削除するには、次のようにします。

1. 「本体要素」リストで、削除する本体要素を選択します。

2. 「削除」をクリックします。

3. 確認を要求されたら、「OK」をクリックします。

B.1.6 ブートストラップ・メッセージ・セキュリティ

セキュア通信ポリシーには、内部と外部の2つのポリシーがあります。「ブートストラップ・メッセージ・セキュリティ」コントロールによって、内部ポリシーおよび外部ポリシーが公開されます。

ブートストラップ(内部)ポリシーは、トークンの取得と、クライアントとWebサービス間のハンドシェイクの確立に使用されます。外部ポリシーは、トークンを使用したリクエストの実行時にアプリケーション・メッセージに対して使用されます。

B.1.7 クライアント・エントロピ

これは、セキュア通信でリクエストされた証明トークンの鍵マテリアルとして使用されます。

B.1.8 クライアント・ポリシーURI

クライアントがSTSと通信する際に使用するクライアント・ポリシーURI。

WSDLでの識別に従い、選択するポリシーはSTSの認証要件に応じて異なります。場合によっては、「すべてのクライアント・ポリシーを表示」または「互換性のあるクライアント・ポリシーを表示」を選択して、ポリシーのリストをフィルタリングできます。「互換性のあるクライアント・ポリシーを表示」を選択した場合、「ポートURI」で指定したポートと互換性のあるポリシーのみが表示されます。

B.1.9 署名の確認

このフラグは、クライアントにシグネチャの確認を送信するかどうかを指定します。

B.1.10 確認タイプ

この設定は、認証用のSAML送信者保証トークンを指定します。

次の値のみ有効です。

- sender-vouches: 認証に送信者保証のSAMLトークンが使用されます。

B.1.11 制約の一致

認可チェックが実行される制約を表す式。

制約式は、次の2つのmessageContextプロパティを使用して指定します。

- messageContext.authenticationMethod: ユーザーの認証に使用する認証方法を決定します。有効な値はSAML_SVです。

- messageContext.requestOrigin: リクエストが内部ネットワークまたは外部ネットワークから発行されたかどうかを決定します。このプロパティは、Oracle HTTP Serverを使用しており、Oracle HTTP Server管理者がカスタムのVIRTUAL_HOST_TYPEヘッダーをリクエストに追加した場合のみ有効です。

制約パターン・プロパティとその値では、大文字と小文字が区別されます。

制約式では、サポートされている標準的な演算子(==、!=、&&、||、!)を使用します。

B.1.12 必要な作成時間

このフラグは、ユーザー名トークンの作成にタイム・スタンプが必要かどうかを指定します。

注意: 「パスワード・タイプ」がdigestに設定されている場合は、この属性をtrueに設定する必要があります。設定しない場合、添付先のポリシーは検証されません。

B.1.13 導出キー

このフラグは、導出キーを使用するどうかを指定します。

B.1.14 有効

事前構成済のWS-SCポリシーの場合、「セキュア通信」はデフォルトで有効になります。その他すべてのポリシーで、「セキュア通信」はデフォルトで無効になります。

B.1.15 署名の暗号化

このフラグは、署名を暗号化するかどうかを指定します。

B.1.16 暗号化鍵参照メカニズム

リクエストの暗号化に使用されるメカニズム。

wss10_message_protection_client_templateおよびwss10_saml_token_with_message_protection_client_templateの場合の有効な値は、次のとおりです。

- direct: リクエストに含まれるX.509トークン。

- ski: 証明書の参照に使用されるX.509証明書のサブジェクト・キー識別子(SKI)の拡張子の値。(一部の証明書にはこの拡張子がありません。)メッセージの受信者は、SKIに対応する証明書のキーストアを調査し、それに対して署名を検証します。

- issuerserial: 発行者名およびX.509証明書の参照に使用されるシリアル番号属性のコンポジット・キー。メッセージの受信者は、発行者名およびシリアル番号に対応する証明書のキーストアを調査し、それに対して署名を検証します。

wss11_message_protection_client_template、wss11_saml_token_with_message_protection_client_template、wss11_saml20_token_with_message_protection_client_template、wss11_username_token_with_message_protection_client_template、wss11_x509_token_with_message_protection_client_templateおよびwss11_username_token_with_message_protection_client_templateの場合の有効な値は、次のとおりです。

- direct: リクエストに含まれるX.509トークン。

- ski: 証明書の参照に使用されるX.509証明書のサブジェクト・キー識別子(SKI)の拡張子の値。(一部の証明書にはこの拡張子がありません。)メッセージの受信者は、SKIに対応する証明書のキーストアを調査し、それに対して署名を検証します。

- issuerserial: 発行者名およびX.509証明書の参照に使用されるシリアル番号属性のコンポジット・キー。メッセージの受信者は、発行者名およびシリアル番号に対応する証明書のキーストアを調査し、それに対して署名を検証します。

- thumbprint: 証明書のコンテンツのメッセージ・ダイジェスト(SHA1ハッシュ)。証明書を格納する、オーバーヘッドの少ない方法を提供します。

B.1.17フォルト

この設定は、フォルト・メッセージのロギングのために使用します。

有効な値は、次のとおりです。

- all: SOAPメッセージ全体が記録されます。

- header: SOAPヘッダー情報のみが記録されます。

- soap_body: SOAP本文の情報のみが記録されます。

- soap_envelope: SOAPエンベロープの情報のみが記録されます。

B.1.18 「フォルト・メッセージ」設定

これらの設定は、メッセージの署名と暗号化のために使用します。

表18-125を参照してください。

B.1.19 ヘッダー要素

この設定は、指定されたSOAPヘッダー要素に署名するか暗号化するために使用します。

ヘッダー要素を追加するには、次のようにします。

1. 「追加」をクリックします。

2. ネームスペースURIを入力します。

3. ヘッダー要素のローカル名を入力します。

4. 「OK」をクリックします。

ヘッダー要素を編集するには、次のようにします。

1. 「ヘッダー要素」リストで、編集するヘッダー要素を選択します。

2. 「編集」をクリックします。

3. 必要に応じて値を変更します。

4. 「OK」をクリックします。

ヘッダー要素を削除するには、次のようにします。

1. 「ヘッダー要素」リストで、削除するヘッダー要素を選択します。

2. 「削除」をクリックします。

3. 確認を要求されたら、「OK」をクリックします。

B.1.20 本体全体を含める

この設定は、SOAPメッセージの本文全体に署名するか暗号化するために使用します。

falseの場合は、「本体要素」セクションを使用して特定の本体要素を追加できます。

B.1.21 MIMEヘッダーを含める

MIMEヘッダー付きのSOAPアタッチメントに署名するか暗号化します。

注意: このフィールドは、「SwAアタッチメントを含める」が有効な場合に有効であり、適用されます。MTOMアタッチメントには適用されません。

B.1.22 SwAアタッチメントを含める

「SwAアタッチメントを含める」は、アタッチメント付きのSOAPメッセージに署名するか暗号化します。

注意: このフィールドは、MTOMアタッチメントには適用されません。

B.1.23 タイムスタンプを含める

このフラグは、タイムスタンプを含めるかどうかを指定します。

タイムスタンプを使用して、メッセージが無効になる有効期限を識別することで、リプレイ攻撃を防止できます。

B.1.24 暗号化済

このフラグは、SAMLトークンを暗号化するかどうかを指定します。

B.1.25 署名済

このフラグは、SAMLトークンを署名するかどうかを指定します。

B.1.26 Kerberosトークン・タイプ

これは、Kerberosトークンのタイプを指定します。

有効な値は、gss-apreq-v5 (Kerberosバージョン5 GSS-API)のみです。

B.1.27 キー・タイプ

これは、キー・タイプを指定します。

有効な値はbearerのみです。

B.1.28 キーストア受信者の別名

キーストアに追加したSTS証明書の別名。

デフォルトの別名はsts-csf-keyです。

B.1.29 相互認証が必要

このフラグは、双方向認証が必要かどうかを指定します。

有効な値は次のとおりです。

- Enabled: サービスをクライアントに対して認証し、クライアントをサービスに対して認証する必要があります。

- Disabled: 一方向認証が必要です。サービスをクライアントに対して認証する必要がありますが、クライアントをサービスに対して認証する必要はありません。

B.1.30 名前識別子フォーマット

これは、名前識別子で使用するフォーマットのタイプを指定します。

次のいずれかの値を指定します。

- 未指定

- emailAddress

- X509SubjectName

- WindowsDomainQualifiedName

次のアサーション・テンプレートには、さらに値kerberosが指定されます。

wss10_saml20_token_client_template、wss_saml20_token_bearer_over_ssl_client_template、wss10_saml20_token_with_message_protection_client_template、wss11_saml20_token_with_message_protection_client_template

「名前識別子フォーマット」は、subject.precedenceがfalseに設定されている場合のみ適用されます。subject.precedenceがfalseの場合、SAMLアサーションを作成するユーザー名は、csf-keyプロパティまたはusernameプロパティ(設計時のSAML Webサービス・クライアントの構成を参照)から取得されます。ユーザー名のフォーマットは、「名前識別子フォーマット」に設定されたフォーマットと同じである必要があります。

subject.precedenceがtrueの場合、SAMLアサーションを作成するユーザー名はサブジェクトから取得されます。この場合、「名前識別子フォーマット」は常に「未指定」であり、「名前識別子フォーマット」を設定してこれを変更することはできません。

B.1.31 必要なNonce

このフラグは、リプレイ攻撃を防止するためユーザー名にNonceを含める必要があるかどうかを指定します。

注意: 「パスワード・タイプ」がdigestに設定されている場合は、この属性をtrueに設定する必要があります。設定しない場合、添付先のポリシーは検証されません。

B.1.32 パスワード・タイプ

これは、必要なパスワードのタイプを指定します。

有効な値は次のとおりです。

- none: パスワードは使用されません。

- plaintext: クリア・テキストのパスワード。

- digest: 暗号化されたパスワードをMD5ダイジェストを使用して送信することで、クライアントが自身を認証します。

パスワード・タイプを「なし」に指定した場合、キーにパスワードを含める必要はありません。

注意:

ダイジェスト・パスワードを使用しないと、このテンプレートを使用して作成されたポリシーはセキュアではなくなります。plaintextによって、パスワードはクリア・テキストで送信されます。このアサーションは、セキュリティが低くても問題にならない場合にのみダイジェスト・パスワードなしに、または他のメカニズムでトランスポートが保護されていることがはっきりしている場合に使用してください。または、このアサーションのSSLバージョンであるoracle/wss_username_token_over_ssl_client_templateの使用を検討します。

B.1.33 権限

ロールベースおよび権限ベースのポリシーでは、guard要素を使用してリソース、アクションおよび制約一致の値が定義されます。これらの値によって、guardの結果がtrueの場合にのみ、アサーション実行が許可されるようになります。アクセスしたリソース名およびアクションが一致した場合にのみ、アサーションの実行が許可されます。

guard要素の詳細は、「orawsp:guard要素」を参照してください。

デフォルトで、リソース名およびアクションでは、ワイルドカードのアスタリスク(*)が使用され、すべてが許可されます。

B.1.34 権限クラス

権限ベースの確認に使用されるクラス。

oracle.wsm.security.WSFuncPermissionなどが該当します。

そのポリシーの構成プロパティpermission_classを変更する方法もあります。これはJAAS標準によって権限クラスを識別します。権限クラスは、アプリケーションまたはサーバーのクラスパスに存在する必要があります。

カスタムの権限クラスは、抽象的な権限クラスを拡張し、シリアライズ可能なインタフェースを実装する必要があります。http://docs.oracle.com/javase/7/docs/api/java/security/Permission.htmlにあるJavadocを参照してください。

デフォルトはoracle.wsm.security.WSFunctionPermissionです。

B.1.35 ポート・エンドポイント

STS Webサービスのエンドポイント。WSDL 2.0 STSの場合、target-namespace#wsdl.endpoint(service-name/port-name)の形式で指定されます。

たとえば、http://samples.otn.com.LoanFlow#wsdl.endpoint(LoanFlowService/LoanFlowPort)と指定します。WSDL 1.1 STSの場合、targetnamespace#wsdl11.endpoint(servicename/portname)という形式で指定します。たとえば、http://samples.otn.com.LoanFlow#wsdl11.endpoint(LoanFlowService/LoanFlowPort)と指定します。

B.1.36 ポートURI

STSポートの実際のエンドポイントURI。

たとえば、http://host:port/context-root/service1と指定します。

B.1.37 再認証

propagate.identity.context構成属性をTrueに設定するときは、SAML送信者保証ポリシーに対してのみ再認証制御を有効化できます。

詳細は、Oracle Web Services Managerの理解の再認証を使用する状況に関する項を参照してください。

B.1.38 受信者暗号化鍵参照メカニズム

受信の暗号化に使用されるメカニズム。

有効な値は、前述の「署名鍵参照メカニズム」と同じです。

B.1.39 受信者署名鍵参照メカニズム

受信の署名に使用できるメカニズム。

有効な値は、「署名鍵参照メカニズム」と同じです。

B.1.40 リクエスト

ロギング・リクエスト・メッセージの要件。

有効な値は、次のとおりです。

- all: SOAPメッセージ全体が記録されます。

- header: SOAPヘッダー情報のみが記録されます。

- soap_body: SOAP本文の情報のみが記録されます。

- soap_envelope: SOAPエンベロープの情報のみが記録されます。

B.1.41 「リクエスト・メッセージ」設定

リクエスト・メッセージ設定を指定します。

表18-125を参照してください。

B.1.42 リクエストXPath

これは、XPathをリクエストするかどうかを指定します。

オプション要素です。リクエストのXPathのカンマ区切りのリストです。デフォルト値は空白です。

B.1.43 リクエスト・ネームスペース

オプション要素です。リクエストのネームスペースのカンマ区切りのリストです。各ネームスペースの接頭辞とURIは、等号で区切られます。デフォルト値は空白です。

B.1.44 適用先が必要

RSTのオプション要素。存在する場合、OWSMによって、トークンがリクエストされているWebサービスのエンドポイント・アドレスが送信されます。デフォルト動作では、クライアントからSTSへのメッセージでappliesTo要素が常に送信されます。

B.1.45 クライアント・エントロピが必要

Webサービスのセキュリティ・ポリシーによって対称証明鍵が求められる場合、要求者は証明鍵の計算に含めることができる鍵の内容の一部(エントロピ)を渡すことができます。Webサービス・ポリシーでは、クライアント・エントロピ、STSエントロピ、またはその両方が必要であるかどうかを示すことができます。

B.1.46 外部参照が必要

トークンの外部参照が必要かどうかを指定します。

B.1.47 内部参照が必要

トークンの内部参照が必要かどうかを指定します。

B.1.48 サーバー・エントロピが必要

Webサービスのセキュリティ・ポリシーによって対称証明鍵が求められる場合、要求者は証明鍵の計算に含めることができる鍵の内容の一部(エントロピ)を渡すことができます。Webサービス・ポリシーでは、クライアント・エントロピ、STSエントロピ、またはその両方が必要であるかどうかを示すことができます。

B.1.49 リソース一致

認可チェックが実行されるリソースの名前。このフィールドには、ワイルドカードを使用できます。たとえば、Webサービスのネームスペースがhttp://project11で、サービス名がCreditValidationの場合、リソース名はhttp://project11/CreditValidationになります。

B.1.50 レスポンス

ロギング・レスポンス・メッセージの要件。有効な値は、前述のRequestと同じです。

B.1.51 「レスポンス・メッセージ」設定

表18-125を参照してください。

B.1.52 レスポンス・ネームスペース

オプション要素です。ネームスペースのカンマ区切りのリストです。各ネームスペースの接頭辞とURIは、等号で区切られます。デフォルト値は空白です。

B.1.53 レスポンスXPath

オプション要素です。レスポンスのXPathのカンマ区切りのリストです。デフォルト値は空白です。

B.1.54 ロール

認可されたロールを指定します。

有効な値は、次のとおりです。

- すべてを許可: すべてのロールのユーザーを許可します。

- すべてを拒否: ロールを持つすべてのユーザーを拒否します。

- 選択したロール: 選択したロールを許可します。

ロールを追加するには、次のようにします。

1. 「追加」をクリックします。

2. ロールを追加するには、「使用可能なロール」列の追加する各ロールの隣にあるチェック・ボックスをクリックし、「移動」をクリックします。すべてのロールを追加するには、「すべて移動」をクリックします。
ロールを削除するには、「追加対象として選択したロール」列の削除する各ロールの隣にあるチェック・ボックスをクリックし、「削除」をクリックします。すべてのロールを削除するには、「すべて削除」をクリックします。

ロールを検索するには、「ロール名」検索ボックスに検索文字列を入力して、実行の矢印をクリックします。検索文字列に一致するロールのみが含まれるように、「使用可能なロール」列が更新されます。

3. 「OK」をクリックします。

ロールを削除するには、次のようにします。

1. 「選択したロール」リストで削除するロールを選択します。

2. 「削除」をクリックします。

B.1.55 サーバー・エントロピ

これは、セキュア通信でリクエストされた証明トークンの鍵マテリアルとして使用されます。

B.1.56 署名鍵参照メカニズム

リクエストの署名に使用できるメカニズム。

有効な値は次のとおりです。

- direct: リクエストに含まれるX.509トークン。

- ski: 証明書の参照に使用されるX.509証明書のサブジェクト・キー識別子(SKI)の拡張子の値。(一部の証明書にはこの拡張子がありません。)メッセージの受信者は、SKIに対応する証明書のキーストアを調査し、それに対して署名を検証します。

- issuerserial: 発行者名およびX.509証明書の参照に使用されるシリアル番号属性のコンポジット・キー。メッセージの受信者は、発行者名およびシリアル番号に対応する証明書のキーストアを調査し、それに対して署名を検証します。

- thumbprint: 証明書のコンテンツのメッセージ・ダイジェスト(SHA1ハッシュ)。証明書を格納する、オーバーヘッドの少ない方法を提供します。このプロパティは、次のテンプレートの場合にのみ有効です。wss11_saml_token_with_message_protection_client_template、wss11_saml20_token_with_message_protection_client_template、wss11_x509_token_with_message_protection_client_template、wss11_sts_issued_saml_with_message_protection_client_template、oracle/wss11_sts_issued_saml_hok_with_message_protection_client_template。

B.1.57 署名して暗号化

このフラグは、リクエストが署名され、暗号化されるかどうかを指定します。

B.1.58 トークン・タイプ

SAMLトークン・タイプ。有効な値は1.1のみです。

B.1.59 Transport Layer Security

このフラグは、Secure Socket Layer (SSL)(別名Transport Layer Security (TLS))を有効にするかどうかを指定します。

B.1.60 Transport Layer Security - タイムスタンプを含める

このフラグは、タイムスタンプを含めるかどうかを指定します。

タイムスタンプを使用して、メッセージが無効になる有効期限を識別することで、リプレイ攻撃を防止できます。

B.1.61 Transport Layer Security - 相互認証が必要

このフラグは、双方向認証が必要かどうかを指定します。

有効な値は次のとおりです。

- Enabled: サービスをクライアントに対して認証し、クライアントをサービスに対して認証する必要があります。

- Disabled: 一方向認証が必要です。サービスをクライアントに対して認証する必要がありますが、クライアントをサービスに対して認証する必要はありません。

B.1.62 バージョン

これは、SAMLまたはセキュア通信のバージョンを指定します。

B.1.63 トラスト・バージョン

これは、WS-Trustのバージョンを指定します。

B.1.64 導出キーの使用

このフラグは、導出キーを使用するどうかを指定します。

B.1.65 PKIパスの使用

このフラグは、X509PKIPathV1トークンを処理して伝播する必要があるかどうかを指定します。

B.1.66 WSDLは存在しますか。

セキュリティ・トークン・サービス(STS)に対してWSDLが存在するかどうかを示します。

WSDLが存在する場合は、テンプレートのクローンを作成する際、WSDLのエンドポイントURIの入力、認証が必要かどうかの指定、およびユーザー名とパスワードの入力を求められる可能性があります。その後、「WSDL解析」を選択し、WSDLを解析してWSDLから取得した値を後続のフィールドに入力できます。

B.1.67 WSDL

STS WSDLのエンドポイントURIで、STS情報の取得およびトークン交換用のSTSの呼出しに使用されます。

B.2 Oracle Web Servicesのアサーション・テンプレートの構成プロパティ

次の各項では、事前定義済のアサーション・テンプレートに設定可能な構成プロパティの概要を示しています(アルファベット順)。

注意:

すべての構成プロパティがすべてのアサーション・テンプレートに適用されるわけではありません。

- algorithm

- application.name

- attesting.mapping.attribute

- caller.principal.name

- credential.delegation

- csf.map

- csf-key

- encryption-algorithm

- execute.action

- ignore.timestamp.in.response

- issued.token.caching

- issued.token.lifetime

- iteration

- keysize

- keytab.location

- keystore.enc.csf.key

- keystore.recipient.alias

- keystore.sig.csf.key

- lookup.action

- on.behalf.of

- policy.reference.uri

- port.endpoint

- port.uri

- propagate.identity.context

- realm

- reference.priority

- resource.mapping.model

- resource.name

- resource.type

- rm.encrypt.body

- role

- salt

- saml.assertion.filename

- saml.audience.uri

- saml.envelope.signature.required

- saml.issuer.name

- saml.trusted.issuers

- sc.token.lifetime

- service.principal.name

- subject.precedence

- sts.auth.caller.principal.name

- sts.auth.keytab.location

- sts.auth.on.behalf.of.csf.key

- sts.auth.on.behalf.of.username.only

- sts.auth.service.principal.name

- sts.auth.user.csf.key

- sts.auth.x509.csf.key

- sts.in.order

- sts.keystore.recipient.alias

- use.single.step

- user.attributes

- user.roles.include

- user.tenant.name

- wsdl.uri

B.2.1 algorithm

鍵導出アルゴリズム。PBKDF2である必要があります。

B.2.2 application.name

OESに定義されたアプリケーション名。${}表記法を使用した値は、静的にも動的にもできます。

B.2.3 attesting.mapping.attribute

アテスト・エンティティの表現で使用されるマッピング属性。現在サポートされているのはDNのみです。この属性は、送信者保証およびメッセージ保護ユースケースにのみ適用されます。SAML over SSLポリシーには適用されません。

B.2.4 caller.principal.name

ktpassコマンドを使用して生成されたクライアントのプリンシパル名で、kerberosトークンの生成先のユーザー名にマップされます。<username>@<REALM NAME>の形式を使用します。

注意: keytab.locationとcaller.principal.nameは、Java EEアプリケーションのクライアント・アイデンティティの伝播で必要です。

B.2.5 credential.delegation

転送されたTGTによる資格証明委任がサポートされるかどうかを指定するフラグ。詳細は、「資格証明委任の構成について」を参照してください。デフォルトで、この値はfalseです。

B.2.6 csf.map

CSF別名を含む資格証明ストア内のOracle WSMマップ。

このプロパティのValueにアプリケーション・レベルのマップ名を指定すると、デフォルトのドメイン・レベルのOracle WSMマップをオーバーライドできます。

例: Value=app-level-mapname.map。

アプリケーション・レベルのマップへのアクセスでは、wsm-agent-core.jarへの資格証明アクセス権限およびアイデンティティ権限も付与する必要があります(「アプリケーション・レベルの資格証明マップの作成について」を参照)。

B.2.7 csf-key

OPSSアイデンティティ・ストアのユーザー名およびパスワードにマップする資格証明ストア・キー。資格証明ストアに鍵を追加する方法の詳細は、「資格証明ストアを構成するための鍵およびユーザー資格証明の追加」を参照してください。

B.2.8 encryption-algorithm

データ暗号化アルゴリズム。AES/CBC/PKCS5Paddingである必要があります。

B.2.9 execute.action

オプションのプロパティ。実際の認可で使用されるアクションです。${}表記法を使用した値は、静的にも動的にもできます。

B.2.10 ignore.timestamp.in.response

サービスからレスポンスを受信したときにSOAPセキュリティ・ヘッダー内のタイムスタンプを無視するために、クライアントが使用するプロパティ。デフォルト動作では、タイムスタンプは無視されません(このプロパティのデフォルト値はfalse)。trueに設定されている場合、レスポンス・メッセージ内にタイムスタンプは必要ありません。タイムスタンプがある場合は、無視されます。

タイムスタンプは、リプレイ攻撃を防止するために必要です。そのため、相互運用性の問題を解決する場合を除いて、通常は、このプロパティをtrueに設定することはお薦めできません。

B.2.11 issued.token.caching

発行されたトークンはOWSMによってキャッシュされます。STSにリクエストすると、OWSMはissued.token.lifetimeに指定されている期間に返されたトークンのトークン存続時間をリクエストします。

STSがリクエストされたissued.token.lifetime値とは異なるトークン存続期間の値を返す場合、OWSMは返されたトークンをキャッシュするための期間として戻り値を使用します。STSが空のトークン存続時間値を返した場合、OWSMは返されたトークンをキャッシュしません。

B.2.12 issued.token.lifetime

セキュリティ・トークン・サービス(STS)から発行済トークンを取得するときにOWSMがトークンの存続時間としてリクエストする時間(ミリ秒)。この値のドメイン・デフォルト値は28800000ミリ秒(8時間)です。このデフォルト値を変更する方法については、「Fusion Middleware Controlを使用した発行済トークンの存続期間の構成」を参照してください。

B.2.13 iteration

鍵導出の反復回数。

B.2.14 keysize

鍵導出で使用する鍵のサイズ。

B.2.15 keytab.location

クライアントのkeytabファイルの場所。

B.2.16 keystore.enc.csf.key

復号化鍵パスワードをキーストアに格納するために使用する別名とパスワード。

「ポリシー構成のオーバーライドの概要」で説明されているように、この値を設定すると、keystore.enc.csf.keyをオーバーライドできます。

この値をオーバーライドする場合は、新しい値のキーがキーストアにあることが必要です。つまり、値をオーバーライドしても、キーをキーストアに構成する必要がなくなるわけではありません。

B.2.17 keystore.recipient.alias

ピア証明書に関連付けられているキーストア別名。実行時セキュリティは、この別名を使用して構成済のキーストアからピア証明書を抽出し、ピアへのメッセージを暗号化します。ポリシーのオーバーライドの詳細は、「ポリシー構成のオーバーライドの概要」を参照してください。

B.2.18 keystore.sig.csf.key

署名キー・パスワードをキーストアに格納するために使用する別名とパスワード。このプロパティにより、ドメイン・レベルのかわりに添付レベルで署名キーを指定できます。このキーは、saml.envelope.signature.requiredフラグを使用して指定されるエンベロープ署名の生成時に使用されます。

B.2.19 lookup.action

オプションのプロパティ。属性の参照時に使用されるアクションです。${}表記法を使用した値は、静的にも動的にもできます。

B.2.20 on.behalf.of

オプションのプロパティ。リクエストが別のエンティティの代理かどうかを指定するには、このプロパティをオーバーライドします。このフラグのデフォルト値はfalseです。

trueに設定され、sts.auth.on.behalf.of.csf.keyが構成されている場合、これが優先されて、CSFキーを使用して確立されたアイデンティティがonBehalfOfトークンで送信されます。sts.auth.on.behalf.of.username.onlyプロパティもtrueに設定すると、CSFキー内のアイデンティティのパスワード部分は、onBehalfOfトークンで送信されることはなくなります。

それ以外の場合、サブジェクトがすでに確立されていれば、サブジェクトのユーザー名がonBehalfOfトークンとして送信されます。

sts.auth.on.behalf.of.csf.keyが設定されておらず、サブジェクトも存在しない場合、on.behalf.ofは、他のエンティティではなくリクエスタのトークン交換として処理されます。リクエスト内のonBehalfOf要素には含まれません。

B.2.21 policy.reference.uri

クライアントがSTSと通信する際に使用するクライアント・ポリシーURI。WSDLでの識別に従い、選択するポリシーはSTSの認証要件に応じて異なります。

場合によっては、「すべてのクライアント・ポリシーを表示」または「互換性のあるクライアント・ポリシーを表示」を選択して、ポリシーのリストをフィルタリングできます。「互換性のあるクライアント・ポリシーを表示」を選択した場合、「ポートURI」で指定したポートと互換性のあるポリシーのみが表示されます。

B.2.22 port.endpoint

STS Webサービスのエンドポイント。WSDL 2.0 STSの場合、target-namespace#wsdl.endpoint(service-name/port-name)の形式で指定されます。たとえば、http://samples.otn.com.LoanFlow#wsdl.endpoint(LoanFlowService/LoanFlowPort)と指定します。WSDL 1.1 STSの場合、targetnamespace#wsdl11.endpoint(servicename/portname)という形式で指定します。たとえば、http://samples.otn.com.LoanFlow#wsdl11.endpoint(LoanFlowService/LoanFlowPort)と指定します。

B.2.23 port.uri

STSポートの実際のエンドポイントURI。たとえば、http://host:port/context-root/service1と指定します。

B.2.24 propagate.identity.context

アイデンティティ・コンテキストをWebサービス・クライアントからWebサービスへ伝播し、他のコンポーネントが認証および認可の目的でこれを使用できるようにします(発行します)。詳細は、SAMLポリシーを使用したアイデンティティ・コンテキストの伝播を参照してください。

B.2.25 realm

HTTPレルム。

B.2.26 reference.priority

注意:

setWSMPolicySetOverrideコマンドを使用してスコープのないオーバーライドとして定義されている場合、このプロパティは有効ではありません。詳細は、『インフラストラクチャ・コンポーネントのためのWLSTコマンド・リファレンス』のsetWMSPolicySetOverrideに関する項を参照してください。

ポリシー添付の優先順位を指定するオプションのプロパティ。添付ポリシーに対して指定されると、有効なポリシー・セット・アルゴリズムでは、最高の整数値の優先順位を持つポリシーを、そのスコープにかかわらず、競合するポリシー添付より優先します。

reference.priorityには、(-2^31)から(2^31 - 1)の範囲の任意の値を指定できます。値が高いほど、有効なポリシー計算で割り当てられる優先順位が高くなります。値を持たないポリシーまたは数値以外の値を持つポリシーは、値0を持つものとして扱われます。値にyes、true、onのいずれかの単語が設定されている場合、値は1に設定されます。

詳細は、「ポリシー・アタッチメントの優先度の指定」を参照してください。

B.2.27 resource.mapping.model

そのまま使用できる様々なマッピング・モデルを切り替えるオプションのプロパティ。デフォルト値は、operation_as_actionです。指定可能なその他の値として、operation_as_resource_hierarchyおよびlookup_action_fixed_execute_action_as_operationがあります。

B.2.28 resource.name

オプションのプロパティ。OESに定義されたリソース名。${}表記法を使用した値は、静的にも動的にもできます。

B.2.29 resource.type

オプションのプロパティ。OESに定義されたリソース・タイプ。${}表記法を使用した値は、静的にも動的にもできます。

B.2.30 rm.encrypt.body

Webサービス・クライアントにのみ適用。これを設定すると、createSequence()やterminateSequence()などのプロトコル・リクエストの本体が暗号化されます。デフォルトで、WS-RMプロトコル・メッセージは暗号化されません。

プロトコル・メッセージのレスポンス・メッセージ本文は、リクエスト・メッセージ本文に依存します。クライアントからのリクエスト・メッセージがプロトコル・メッセージに対して暗号化されている場合、Webサービスは暗号化されたレスポンスを送信します。逆についても同様です。

B.2.31 role

SOAPロール。

B.2.32 salt

鍵導出で使用されるNULL以外の空でないsalt。

B.2.33 saml.assertion.filename

SAMLトークン・ファイルの名前。

B.2.34 saml.audience.uri

saml.audience.uri構成プロパティは、リライイング・パーティをカンマ区切りのURIで表します。

このフィールドでは次のワイルドカードを使用できます。

- 任意の場所の*。

- URI末尾の/*。

- URI末尾の.*。

B.2.35 saml.envelope.signature.required

Bearerトークンがドメインの署名鍵を使用して署名されるかどうかを指定するフラグ。ドメインの署名鍵は、keystore.sig.csf.keyを使用して構成されるプライベートの署名鍵でオーバーライドできます。

Bearerトークンを未署名にするには、(クライアントおよびサービス・ポリシーの両方で)このフラグをfalseに設定します。

B.2.36 saml.issuer.name

SAML発行者URI。詳細は、「別のSAMLアサーション発行者名の追加」を参照してください。

B.2.37 saml.trusted.issuers

SAMLトークンの信頼できる発行者のカンマ区切りのリスト。信頼できる発行者をドメイン・レベルでオーバーライドするアプリケーション用です。

B.2.38 sc.token.lifetime

ミリ秒単位でのセキュア通信トークンの存続時間。通信セッションの存続期間中は、このセキュリティ・コンテキストがクライアントとWebサービスによって共有されます。この時間が経過すると、SCTは時間切れとなります。

B.2.39 service.principal.name

サービスを識別するKerberosプリンシパルの名前。

B.2.40 subject.precedence

認証されたサブジェクトではなくクライアント指定のユーザー名を使用できるようにするには、subject.precedenceをfalseに設定します。

subject.precedenceがtrueの場合、SAMLアサーションを作成するユーザー名はサブジェクトからのみ取得されます。同様に、subject.precedenceがfalseの場合、SAMLアサーションを作成するユーザー名は、csf-keyユーザー名プロパティからのみ取得されます。

B.2.41 sts.auth.caller.principal.name

ktpassコマンドを使用して生成されたクライアントのプリンシパル名であり、kerberosトークンの生成先のユーザー名にマップされます。<username>@<REALM NAME>の形式で指定します。

B.2.42 sts.auth.keytab.location

クライアントのkeytabファイルの場所。

B.2.43 sts.auth.on.behalf.of.csf.key

オプションのプロパティ。代理エンティティの構成で使用します。存在する場合、サブジェクト(存在する場合)より優先されます。代理エンティティについては、「on.behalf.of」を参照してください。

B.2.44 sts.auth.on.behalf.of.username.only

オプションのプロパティ。sts.auth.on.behalf.of.csf.keyが指定されている場合の代理エンティティの構成に使用します。代理エンティティについては、「on.behalf.of」を参照してください。

B.2.45 sts.auth.service.principal.name

保護する必要があるWebサービスのプリンシパル名。<host>/<machine name>@<REALM NAME>の形式で指定します。たとえば、HTTP/mymachine@MYREALM.COMと指定します。

B.2.46 sts.auth.user.csf.key

STSに対する認証用のユーザー名/パスワードを構成する場合に使用します。

oracle/sts_trust_config_templateクライアント・アサーション・テンプレート内のpolicy-reference-uriが、ユーザー名ベースのポリシーを指している場合は、sts.auth.user.csf.keyプロパティを構成して、STSに対する認証用のユーザー名/パスワードを指定します。

B.2.47 sts.auth.x509.csf.key

STSに対する認証用のX509証明書を構成する場合に使用します。

oracle/sts_trust_config_templateクライアント・アサーション・テンプレート内のpolicy-reference-uriが、x509ベースのポリシーを指している場合は、sts.auth.x509.csf.keyプロパティを構成して、STSに対する認証用のX509証明書を指定します。

B.2.48 sts.in.order

Webサービスが信頼するRP-STSから、Webクライアントが認証に使用するIP-STSまでのトラスト・チェーンにSTSを指定するために、Web Services Federationのケースで使用します。

接続先のSTS URIのカンマ区切りのリストに、sts.in.orderの値を設定します。このとき、RP-STSで開始して、IP-STSで終わるようにします。

このプロパティの使用の詳細は、「Web Services Federationの構成について」を参照してください。

B.2.49 sts.keystore.recipient.alias

キーストアに追加したSTS証明書の別名。デフォルトの別名はsts-csf-keyです。

B.2.50 use.single.step

これはオプションの構成プロパティです。参照フェーズを省略するには、値をtrueに設定します。

マスキング・ポリシーには適用されません。

B.2.51 user.attributes

SAMLトークンのプリンシパルに関連するユーザー属性。

含まれる属性をカンマ区切りのリストで指定します。たとえば、attrib1,attrib2のようにします。指定する属性名は、構成済アイデンティティ・ストア内の有効な属性に正確に一致する必要があります。OWSMランタイムは、構成済のアイデンティティ・ストアからこれらの属性の値を読み取り、属性とその値をSAMLアサーションに含めます。

サブジェクトが有効であり、subject.precedenceがtrueに設定されている必要があります。

クライアント・ポリシーは、user.attributesを使用して指定された属性の値を、構成済のアイデンティティ・ストアから読み取ります。すべての有効な属性名と値を使用して、SAML属性文が作成されます。

user.attributesプロパティは1つのアイデンティティ・ストアに対してサポートされるものであり、リスト内の先頭のアイデンティティ・ストアのみが使用されます。このため、ユーザーは、構成済WebLogic Serverの認証プロバイダで使用されるアイデンティティ・ストアに存在し、有効になっている必要があります。認証プロバイダは、「WebLogic Serverでサポートされる認証プロバイダ」で説明されています。

必要なアイデンティティ・ストアが先頭のアイデンティティ・ストアでない場合、検索する追加のアイデンティティ・ストアを指定できます。詳細は、「アサーションへのユーザー属性の組込み」を参照してください。

B.2.52 user.roles.include

この構成プロパティは、ユーザー・ロールを指定します。

trueに設定すると、OWSMでは、ユーザー・リポジトリ(LDAP)からユーザーのロールが読み取られ、それらのロールがSAML属性として伝播されます。

B.2.53 user.tenant.name

この構成プロパティは、Oracle Cloudで使用するために予約されています。

B.2.54 wsdl.uri

STS WSDLのエンドポイントURIで、STS情報の取得およびトークン交換用のSTSの呼出しに使用されます。

C Oracle Web Servicesの事前定義済アサーションのスキーマ参照

この付録では、Webサービス・アサーションを含むWS-Policyファイルを作成するときに参照するXMLスキーマについて説明します。

次の図は、WS-Policyファイルのアサーションの要素階層を表しています。

図C-1 アサーションの要素階層

この項では、次のアサーションの要素および下位要素について説明します。

- wsp:Policy要素

- wsp:ExactlyOne要素

- orasp:Assertion要素

- orawsp:bindings要素

- orawsp:Config要素

- orawsp:PropertySet要素

- orawsp:Property要素

- orawsp:Description要素

- orawsp:Value要素

- orawsp:guard要素

- orawsp:resource-match要素

- orawsp:action-match要素

- orawsp:constraint-match要素

- oralgp:Logging要素

- orasp:binding-authorization要素

- orasp:binding-permission-authorization要素

- orasp:coreid-security要素

- orasp:http-security要素

- orasp:kerberos-security要素

- orasp:sca-component-authorization要素

- orasp:sca-component-permission-authorization要素

- orasp:sts-trust-config要素

- orasp:wss10-anonymous-with-certificates要素

- orasp:wss10-mutual-auth-with-certificates要素

- orasp:wss10-saml-hok-with-certificates要素

- orasp:wss10-saml-token要素

- orasp:wss10-saml-with-certificates要素

- orasp:wss10-username-with-certificates要素

- orasp:wss11-anonymous-with-certificates要素

- orasp:wss11-mutual-auth-with-certificates要素

- orasp:wss11-saml-with-certificates要素

- orasp:wss11-sts-issued-token-with-certificates要素

- orasp:wss11-username-with-certificates要素

- orasp:wss-saml-token-bearer-over-ssl要素

- orasp:wss-saml-token-over-ssl要素

- orasp:wss-sts-issued-token-over-ssl要素

- orasp:wss-username-token要素

- orasp:wss-username-token-over-ssl要素

- rm:RMAssertion要素

- wsaw:UsingAddressing要素

- wsoma:OptimizedMimeSerialization要素

- oralgp:fault要素

- oralgp:request要素

- oralgp:response要素

- oralgp:msg-log要素

- orasp:attachment要素

- orasp:auth-header要素

- orasp:body要素

- orasp:check-permission要素

- orasp:coreid-token要素

- orasp:denyAll要素

- orasp:element要素

- orasp:encrypted-elements要素

- orasp:encrypted-parts要素

- orasp:fault要素

- orasp:header要素

- orasp:issued-token要素

- orasp:kerberos-token要素

- orasp:msg-security要素

- orasp:permitAll要素

- orasp:request要素

- orasp:require-tls要素

- orasp:response要素

- orasp:role要素

- orasp:saml-token要素

- orasp:signed-elements要素

- orasp:signed-parts要素

- orasp:username-token要素

- orasp:x509-token要素

- orawsp:Description要素

C.1 wsp:Policy要素

ネストされたポリシー・アサーションをグループ化します。

C.1.1 WS-Policyの属性

次の表には、Oracle拡張機能を含めたWS-Policy属性がまとめられています。

表C-1 WS-Policy属性に対するOracle拡張機能

属性

説明

名前

ポリシーの名前。

attachTo

ポリシーをアタッチできるポリシー・サブジェクト。有効な値は、binding.client、binding.server、binding.anyです。

category

ポリシーのカテゴリ。有効な値は、security、mtom、wsrm、addressing、managementです。

description

ポリシーの説明。

displayName

ユーザー・インタフェースに表示される名前。

localOptimization

ローカルの最適化を有効にするかどうかを指定するフラグ。OWSMでは、コンポジットからコンポジットを起動できるようにするSOAのローカルの最適化機能がサポートされています。この機能では、一方のコンポジットの参照でもう一方のコンポジットにバインディングするWebサービスを指定します。有効な値は次のとおりです。

- On: ローカルの最適化が有効です。

- Off: ローカルの最適化が無効です。リクエストの実行は、通常のWS/SOAP/HTTPプロセスと同じです。

- check-identity: JAASサブジェクトが現在のスレッドにすでに存在し、認証がすでに成功したことを示している場合にのみ最適化します。そうでない場合は、通常のWS/SOAP/HTTPプロセスが実行されます。

status

ポリシー参照のステータス。有効な値は、enabledおよびdisabledです。

smartDigest

スマート・ダイジェスト。

oraSmartDigest

スマート・ダイジェスト。

readOnly

クライアントでこのポリシーを変更できないようにする必要があるかどうかを指定します。

subjectCount

現在ポリシーがアタッチされているサブジェクトの数。

versionCreator

現在のバージョンの作成者。

versionNumber

現在のバージョンの数。

versionTime

現在のバージョンが作成された時間。

id

ポリシーのID。

C.1.2 WS-Policyの例

<wsp:Policy
xmlns:wsp="http://schemas.xmlsoap.org/ws/2004/09/policy"
xmlns="http://schemas.xmlsoap.org/ws/2004/09/policy"
xmlns:oralgp="http://schemas.oracle.com/ws/2006/01/loggingpolicy"
xmlns:orasp="http://schemas.oracle.com/ws/2006/01/securitypolicy"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd"
Name="oracle/wss11_x509_token_with_message_protection_client_policy"
orawsp:attachTo="binding.client"
orawsp:category="security"
orawsp:description="i18n:oracle.wsm.resources.policydescription.PolicyDescription
Bundle_oracle/wss11_x509_token_with_message_protection_client_policy_PolyDescKey"
orawsp:displayName="i18n:oracle.wsm.resources.policydescription.PolicyDescription
Bundle_oracle/wss11_x509_token_with_message_protection_client_policy_PolyDispNameKey"
orawsp:local-optimization="check-identity"
orawsp:oraSmartDigest="935231872"
orawsp:readOnly="true"
orawsp:smartDigest="201244603"
orawsp:status="enabled"
orawsp:versionCreator="mdsInternal"
orawsp:versionNumber="1"
orawsp:versionTime="1238006529607"
wsu:Id="wss11_x509_token_with_message_protection_client_policy">
...
</wsp:Policy>

C.2 wsp:ExactlyOne要素

ORグループを定義するオプション要素。

ORグループの詳細は、複数のポリシー選択肢(ORグループ)の定義についての「複数のポリシー選択肢(ORグループ)の定義」を参照してください。

C.2.1 wsp:ExactlyOne要素の属性

次の表には、<wsp:ExactlyOne>要素の属性がまとめられています。

表C-2 <wsp:ExactlyOne>要素の属性

要素の属性" width="100%">

属性

説明

名前

これがORグループであることを示すためにORに設定します。

C.2.2 wsp:ExactlyOne要素の例

この例は、wsp:ExactlyOne要素のコード・スニペットを示しています。

<wsp:ExactlyOne orawsp:name="Or">
<orasp:wss11-saml-with-certificates orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/msg-protection, security/authentication"
orawsp:name="WS-Security 1.1 Saml  with certificates">
<orasp:saml-token orasp:confirmation-type="sender-vouches"
orasp:is-encrypted="false" orasp:is-signed="true" orasp:version="1.1"/>
<orasp:x509-token orasp:enc-key-ref-mech="thumbprint" orasp:is-encrypted="false"
orasp:is-signed="true" orasp:sign-key-ref-mech="direct"/>
<orasp:msg-security orasp:algorithm-suite="Basic128"
orasp:confirm-signature="true" orasp:encrypt-signature="false"
orasp:include-timestamp="true" orasp:sign-then-encrypt="true"
orasp:use-derived-keys="false">
...
<orasp:wss11-username-with-certificates orawsp:Enforced="true"
orawsp:Silent="false" orawsp:category="security/authentication,
security/msg-protection"
orawsp:name="WS-Security 1.1 username with certificates">
<orasp:username-token orasp:add-created="false" orasp:add-nonce="false"
orasp:is-encrypted="true" orasp:is-signed="true"
orasp:password-type="plaintext"/>
<orasp:x509-token orasp:enc-key-ref-mech="thumbprint"
orasp:is-encrypted="false" orasp:is-signed="true"
orasp:sign-key-ref-mech="thumbprint"/>
<orasp:msg-security orasp:algorithm-suite="Basic128"
orasp:confirm-signature="true" orasp:encrypt-signature="false"
orasp:include-timestamp="true" orasp:sign-then-encrypt="true"
orasp:use-derived-keys="false">
...
</wsp:ExactlyOne>

C.3 orasp:Assertion要素

orasp:Assertion要素は、アサーションのメイン要素です。

有効なアサーションの要素は次のとおりです。

- oralgp:Logging要素

- orasp:binding-authorization要素

- orasp:binding-permission-authorization要素

- orasp:coreid-security要素

- orasp:http-security要素

- orasp:kerberos-security要素

- orasp:sca-component-authorization要素

- orasp:sca-component-permission-authorization要素

- orasp:sts-trust-config要素

- orasp:wss10-anonymous-with-certificates要素

- orasp:wss10-mutual-auth-with-certificates要素

- orasp:wss10-saml-hok-with-certificates要素

- orasp:wss10-saml-token要素

- orasp:wss10-saml-with-certificates要素

- orasp:wss10-username-with-certificates要素

- orasp:wss11-anonymous-with-certificates要素

- orasp:wss11-mutual-auth-with-certificates要素

- orasp:wss11-saml-with-certificates要素

- orasp:wss11-sts-issued-token-with-certificates要素

- orasp:wss11-username-with-certificates要素

- orasp:wss-saml-token-bearer-over-ssl要素

- orasp:wss-saml-token-over-ssl要素

- orasp:wss-sts-issued-token-over-ssl要素

- orasp:wss-username-token要素

- orasp:wss-username-token-over-ssl要素

- rm:RMAssertion要素

- wsaw:UsingAddressing要素

- wsoma:OptimizedMimeSerialization要素

C.3.1 orasp:Assertion要素の属性

次の表に、<orasp:Assertion>要素の属性の概要を示します。

表C-3 <orasp:Assertion>要素の属性

要素の属性" width="100%">

属性

説明

オプション

アサーションがオプションなのか、必須なのかを指定するフラグ。

Silent

アサーションを通知するかどうかを指定するフラグ。trueに設定すると、アサーションは通知されません。

Enforced

現時点でアサーションを有効にするかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

名前

アサーションの名前。

description

アサーションの説明。

category

アサーションを適用するカテゴリ。有効な値は、security/authentication、security/msg-protection、security/authorization、security/logging、mtom、wsrm、addressing、managementです。

C.3.2 orasp:Assertion要素の例

<orasp:wss11-mutual-auth-with-certificates orawsp:Enforced="true"
orawsp:Silent="false" orawsp:category="security/authentication,
security/msg-protection"
orawsp:name="WS-Security 1.1 Mutual Auth with certificates">
...
</orasp:wss11-mutual-auth-with-certificates>

C.4 orawsp:bindings要素

<oraswsp:bindings>要素は、アサーションのバインディングを定義します。この要素には、次のサブ要素が含まれます。

- orawsp:Config要素

C.4.1 orawsp:bindings要素の例

<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="Wss11SamlWithCertsConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>

C.5 orawsp:Config要素

<oraswsp:Config>要素は、アサーションの構成を定義します。この要素には、次のサブ要素を含めることができます。

- orawsp:PropertySet要素

C.5.1 orawsp:Config要素の属性

次の表には、<orawsp:Config>要素の属性がまとめられています。

表C-4 <orawsp:Config>要素の属性

要素の属性" width="100%">

属性

説明

名前

構成の名前。

type

構成を適用するカテゴリ。

configType

構成の種類。有効な値は、declarativeおよびprogrammaticです。

- declarative: デプロイメント・ディスクリプタおよび構成ファイルを使用して、認証と認可の要件を表します。

- programmatic: アプリケーション内にセキュリティ強制を埋め込みます。

C.5.2 orawsp:Config要素の例

<orawsp:Config orawsp:configType="declarative"
orawsp:name="Wss11SamlWithCertsConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>

C.6 orawsp:PropertySet要素

<oraswsp:PropertySet>要素は、ネストされたプロパティをグループ化します。この要素には、次のサブ要素が含まれます。

- orawsp:Property要素

C.6.1 orawsp:PropertySet要素の属性

次の表には、<orawsp:PropertySet>要素の属性がまとめられています。

表C-5 <orawsp:PropertySet>要素の属性

要素の属性" width="100%">

属性

説明

名前

プロパティ・セットの名前。

C.6.2 orawsp:PropertySet要素の例

<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>

C.7 orawsp:Property要素

<oraswsp:Property>要素は、1つのプロパティを定義します。事前定義済アサーションで使用する有効なプロパティを次にまとめています。

<orawsp:Property>要素には、次のサブ要素を含めることができます。

- orawsp:Value要素

C.7.1 orawsp:Property要素の属性

次の表には、<orawsp:Property>要素の属性がまとめられています。

表C-6 <orawsp:Property>要素の属性

要素の属性" width="100%">

属性

説明

名前

プロパティの名前を指定します。事前定義済アサーションで使用するプロパティ値のリストは、表C-7を参照してください。

type

プロパティのタイプ。stringなどが該当します。

contentType

プロパティが必須かどうかおよびオーバーライド可能かどうかを指定します。有効な値は次のとおりです。

- constant: プロパティは定数値で、オーバーライドできません。

- required: プロパティは必須で、オーバーライドできます。

- optional: プロパティはオプションで、オーバーライドできます。

ポリシーのオーバーライドの詳細は、「ポリシー構成のオーバーライドの概要」を参照してください。

次の表には、事前定義済アサーションで使用するプロパティがまとめられています。

表C-7 事前定義済アサーションで使用するプロパティ

プロパティ

説明

action

認可チェックが実行されるアクションまたはWebサービス操作。この値は、値のカンマ区切りのリストにすることもできます。このフィールドではワイルドカードを使用できます。たとえば、validate,amountAvailableのようになります。

attesting.mapping.attribute

アテスト・エンティティの表現で使用されるマッピング属性。現在サポートされているのはDNのみです。この属性は、送信者保証およびメッセージ保護ユースケースにのみ適用されます。SAML over SSLポリシーには適用されません。

BaseRetransmissionInterval

メッセージを送信してからメッセージを再送するまでのソース・エンドポイントの待機時間(ミリ秒)。

ソース・エンドポイントが、この要素で指定した間隔内で所定のメッセージの確認応答を受信しなかった場合、ソース・エンドポイントはメッセージを再送信します。ソース・エンドポイントは、メッセージのシーケンスの存続期間内の任意の時点で、この再送信間隔を変更することがあります。このアサーションは、メッセージまたは確認応答の形式を送信時の状態から変更せず、その送信のタイミングのみを変更します。

この値のデフォルトは3000です。

credential.delegation

転送されたTGTによる資格証明委任がサポートされるかどうかを指定するフラグ。詳細は、「資格証明委任の構成について」を参照してください。

この値のデフォルトはfalseです。

csf-key

Oracle Platform Security Servicesアイデンティティ・ストアのユーザー名およびパスワードにマップする資格証明ストア・キー。デフォルト値はbasic.credentialsです。

DeliveryAssurance

配信の保証。有効な値は次のとおりです。

- InOrder: メッセージが送信時の順序で配信されます。これはデフォルトです。

- AtLeastOnce: すべてのメッセージが少なくとも1回配信されます。メッセージによっては、2回以上配信されることもあります。

- AtLeastOnceInOrder: すべてのメッセージが送信時の順序で少なくとも1回配信されます。メッセージによっては、2回以上配信されることもあります。

- ExactlyOnce: すべてのメッセージが1回のみ配信されます。メッセージが重複することはありません。

- ExactlyOnceInOrder: すべてのメッセージが送信時の順序で1回のみ配信されます。メッセージが重複することはありません。

- AtMostOnce: メッセージが最大1回配信されます。メッセージが重複することはありません。メッセージによっては、一度も配信されない可能性もあります。

- AtMostOnceInOrder: メッセージが受信時の順序で最大1回配信されます。メッセージが重複することはありません。メッセージによっては、一度も配信されない可能性もあります。

jdbc-connection-name

JDBCデータ・ストアへのJNDI参照。StoreTypeがJDBCに設定されている場合に有効になります。この値のデフォルトはjdbc/MessagesStoreです。

InactivityTimeout

メッセージ・シーケンスの非アクティブな期間(ミリ秒)メッセージのシーケンスは、一意のシーケンス番号で識別されるメッセージのセットとして定義され、これに対して特定の配信保証が適用されます。通常、シーケンスは単一のソース・エンドポイントから生じます。この要素で指定した期間中に、宛先エンドポイントがソース・エンドポイントからのメッセージを受け取っていない場合、宛先エンドポイントは、処理が行われずシーケンスは終了したものと見なす可能性があります。これは、ソース・エンドポイントについても同様です。

この値のデフォルトは600000です。

keystore.enc.csf.key

「ポリシー構成のオーバーライドの概要」で説明されているように、この値を設定すると、keystore.enc.csf.keyをオーバーライドできます。

keystore.recipient.alias

ピア証明書に関連付けられているキーストア別名。実行時セキュリティは、この別名を使用して構成済のキーストアからピア証明書を抽出し、ピアへのメッセージを暗号化します。サービス・アイデンティティ証明拡張の理解を優先させることができます。

on.behalf.of

リクエストが別のエンティティの代理かどうかを指定するには、このプロパティをオーバーライドします。このフラグのデフォルト値はfalseです。

permission-class

権限ベースの確認に使用されるクラス。oracle.wsm.security.WSFuncPermissionなどが該当します。

realm

HTTPレルム。この値のデフォルトはowsmです。

resource

認可チェックが実行されるリソースの名前。このフィールドではワイルドカードを使用できます。たとえば、Webサービスのネームスペースがhttp://project11で、サービス名がCreditValidationの場合、リソース名はhttp://project11/CreditValidationになります。

role

SOAPロール。この値のデフォルトはultimateReceiverです。

saml.assertion.filename

SAMLアサーションを格納するファイル。この値のデフォルトはtempです。

saml.audience.uri

リライイング・パーティをカンマ区切りのURIで表します。このフィールドでは次のワイルドカードを使用できます。

- 任意の場所の*。

- URI末尾の/*。

- URI末尾の.*。

saml.issuer.name

SAMLトークンの発行者の名前。この値のデフォルトはwww.oracle.comです。

saml.trusted.issuers

SAMLトークンの信頼できる発行者のカンマ区切りのリスト。信頼できる発行者をドメイン・レベルでオーバーライドするアプリケーション用です。

service.principal.name

サービスを識別するKerberosプリンシパルの名前。

StoreName

メッセージ・ストアの名前。この値のデフォルトはoracleです。

StoreType

メッセージ・ストアのタイプ。有効な値は次のとおりです。

- InMemory: メッセージはメモリーに格納されます。これはデフォルトです。

- JDBC: メッセージはJDBCを使用して格納されます。

sts.auth.caller.principal.name

ktpassコマンドを使用して生成されたクライアントのプリンシパル名で、kerberosトークンの生成先のユーザー名にマップされます。<username>@<REALM NAME>の形式で指定します。

sts.auth.keytab.location

クライアントのkeytabファイルの場所。

sts.auth.on.behalf.of.csf.key

代理エンティティの構成で使用します。存在する場合、サブジェクト(存在する場合)より優先されます。

sts.auth.service.principal.name

保護する必要があるWebサービスのプリンシパル名。<host>/<machine name>@<REALM NAME>の形式で指定します。たとえば、HTTP/mymachine@MYREALM.COMと指定します。

sts.auth.user.csf.key

STSに対する認証用のユーザー名/パスワードを構成する場合に使用します。

クライアントのoracle/sts_trust_config_client_template内のpolicy-reference-uriがユーザー名ベースのポリシーを指している場合は、sts.auth.user.csf.keyプロパティを構成して、STSに対する認証用のユーザー名/パスワードを指定します。

sts.auth.x509.csf.key

STSに対する認証用のX509証明書を構成する場合に使用します。

クライアントのoracle/sts_trust_config_client_template内のpolicy-reference-uriがx509ベースのポリシーを指している場合は、sts.auth.x509.csf.keyプロパティを構成して、STSに対する認証用のX509証明書を指定します。

sts.keystore.recipient.alias

キーストアに追加したSTS証明書の別名。デフォルトの別名はsts-csf-keyです。

subject.precedence

認証されたサブジェクトではなくクライアント指定のユーザー名を使用できるようにするには、subject.precedenceをfalseに設定します。

subject.precedenceがtrueの場合、SAMLアサーションを作成するユーザー名はサブジェクトからのみ取得されます。同様に、subject.precedenceがfalseの場合、SAMLアサーションを作成するユーザー名は、csf-keyユーザー名プロパティからのみ取得されます。

user.attributes

含まれる属性をカンマ区切りのリストで指定します。たとえば、attrib1,attrib2と指定します。指定する属性名は、構成済アイデンティティ・ストア内の有効な属性に正確に一致する必要があります。OWSMランタイムは、構成済のアイデンティティ・ストアからこれらの属性の値を読み取り、属性とその値をSAMLアサーションに含めます。

user.roles.include

指定するSOAPロール。この値のデフォルトはfalseです。

C.7.2 orawsp:Property要素の例

<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>

C.8 orawsp:Description要素

<oraswsp:Description>要素は、プロパティの説明を定義します。

C.8.1 orawsp:Description要素の例

<orawsp:Description>My description.</orawsp:Description>

C.9 orawsp:Value要素

<oraswsp:Value>要素は、プロパティの有効な値をリストします。

C.9.1 orawsp:Value要素の例

<orawsp:Value>ultimateReceiver</orawsp:Value>

C.10 orawsp:guard要素

<orawsp:guard>要素は、リソース、アクションおよび制約が一致する値を定義します。

C.10.1 Examples of orawsp:guard要素の例

<orawsp:guard>
<orawsp:resource-match>
http://project11/CreditValidation
</orawsp:resource-match>
<orawsp:action-match>validate,amountAvailable</orawsp:action-match>
</orawsp:guard>

<orawsp:guard>
<orawsp:resource-match>*</orawsp:resource-match>
<orawsp:action-match>validate,amountAvailable</orawsp:action-match>
</orawsp:guard>

<orawsp:guard>
<orawsp:constraint-match>${!(messageContext.authenticationMethod =='SAML_SV'
|| messageContext.requestOrigin == 'internal')}
</orawsp:constraint-match>
</orawsp:guard>

C.11 orawsp:resource-match要素

<orawsp:resource-match>要素は、実行する認可チェックのリソース名を指定します。このフィールドではワイルドカードを使用できます。

たとえば、Webサービスのネームスペースがhttp://project11で、サービス名がCreditValidationの場合、リソース名はhttp://project11/CreditValidationになります。

C.11.1 orawsp:resource-matchの例

<orawsp:guard>
<orawsp:resource-match>
http://project11/CreditValidation
</orawsp:resource-match>
<orawsp:action-match>validate,amountAvailable</orawsp:action-match>
</orawsp:guard>

<orawsp:guard>
<orawsp:resource-match>*</orawsp:resource-match>
<orawsp:action-match>validate,amountAvailable</orawsp:action-match>
</orawsp:guard>

C.12 orawsp:action-match要素

<orawsp:resource-match>要素は、認可チェックが実行されるアクションまたはWebサービス操作を指定します。この値は、値のカンマ区切りのリストにすることもできます。このフィールドではワイルドカードを使用できます。

C.12.1 Examples of orawsp:action-match要素の例

<orawsp:guard>
<orawsp:resource-match>
http://project11/CreditValidation
</orawsp:resource-match>
<orawsp:action-match>validate,amountAvailable</orawsp:action-match>
</orawsp:guard>

<orawsp:guard>
<orawsp:resource-match>*</orawsp:resource-match>
<orawsp:action-match>validate,amountAvailable</orawsp:action-match>
</orawsp:guard>

C.13 orawsp:constraint-match要素

<orawsp:constraint-match>要素は、認可チェックが実行される制約を指定します。値は、次の2つのmessageContextプロパティを使用して指定します。

- messageContext.authenticationMethod: ユーザーの認証に使用する認証方法を決定します。有効な値はSAML_SVです。

- messageContext.requestOrigin: リクエストが内部ネットワークまたは外部ネットワークから発行されたかどうかを決定します。このプロパティは、Oracle HTTP Serverを使用しており、Oracle HTTP Server管理者がカスタムのVIRTUAL_HOST_TYPEヘッダーをリクエストに追加した場合のみ有効です。
プロパティとその値では、大文字と小文字が区別されます。制約式では、サポートされている標準的な演算子(==、!=、&&、||、!)を使用します。

注意:

この要素は、binding-authorization要素でのみサポートされています。他の認可アサーション要素については、このフィールドは今後の使用に備えて予約されています。

C.13.1 orawsp:constraint-match要素の例

<orawsp:guard>
<orawsp:constraint-match>${!(messageContext.authenticationMethod =='SAML_SV' ||
messageContext.requestOrigin == 'internal')}
</orawsp:constraint-match>
</orawsp:guard>

C.14 oralgp:Logging要素

<orasp:Logging>要素は、ロギング・ポリシーを定義します。

<orasp:Logging>要素には、次のサブ要素が含まれます。

- oralgp:msg-log要素

- orawsp:bindings要素

C.14.1 oralgp:Logging要素の例

次の例は、oralgp:Logging要素を示しています。

<oralgp:Logging orawsp:Enforced="false" orawsp:Silent="true"
orawsp:category="security/logging" orawsp:name="Log Message1">
<oralgp:msg-log>
<oralgp:request>all</oralgp:request>
<oralgp:response>all</oralgp:response>
<oralgp:fault>all</oralgp:fault>
</oralgp:msg-log>
<orawsp:bindings>
<orawsp:Config orawsp:name="added-from-em"/>
</orawsp:bindings>
</oralgp:Logging>

C.15 orasp:binding-authorization要素

<orasp:binding-authorization>要素は、SOAPバインディング・レベルの認証されたサブジェクトに基づき、リクエストに対して簡単なロールベースの認可を定義します。

<orasp:binding-authorization>要素には、次のサブ要素が含まれます。

- orawsp:bindings要素

- orawsp:guard要素

また、次のいずれかのサブ要素も含まれます。

- orasp:denyAll要素

- orasp:permitAll要素

- orasp:role要素

C.15.1 orasp:binding-authorization要素の例

<orasp:binding-authorization orawsp:Enforced="true" orawsp:Silent="true"
orawsp:category="security/authorization"
orawsp:name="J2EE services Authorization">
<orasp:denyAll/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="AuthzConfig"/>
</orawsp:bindings>
<orawsp:guard/>
</orasp:binding-authorization>

C.16 orasp:binding-permission-authorization要素

<orasp:binding-permission-authorization>要素は、SOAPバインディング・レベルの認証されたサブジェクトに基づき、リクエストに対して簡単な権限ベースの認可を定義します。

<orasp:binding-permission-authorization>要素には、次のサブ要素が含まれます。

- orasp:check-permission要素

- orawsp:bindings要素

- orawsp:guard要素

C.16.1 orasp:binding-permission-authorization要素の例

<orasp:binding-permission-authorization orawsp:Enforced="true"
orawsp:Silent="true" orawsp:category="security/authorization"
orawsp:name="J2EE Permission Based Authorization">
<orasp:check-permission/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="BindingPermissionAuthzConfig">
<orawsp:PropertySet orawsp:name="perms-authz-properties">
<orawsp:Property orawsp:contentType="optional" orawsp:name="resource"
orawsp:type="string">
<orawsp:DefaultValue>*</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="action"
orawsp:type="string">
<orawsp:DefaultValue>*</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional"
orawsp:name="permission-class" orawsp:type="string">
<orawsp:DefaultValue>oracle.wsm.security.WSFunctionPermission
</orawsp:DefaultValue>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
<orawsp:guard>
<orawsp:resource-match>*</orawsp:resource-match>
<orawsp:action-match>*</orawsp:action-match>
</orawsp:guard>
</orasp:binding-permission-authorization>

C.17 orasp:coreid-security要素

<orasp:coreid-security>要素は、WS-Securityヘッダーのバイナリ・セキュリティ・トークンの資格証明を使用して、Oracle Access Managerアイデンティティ・ストアに対してユーザーを認証します。

この要素には、次のサブ要素が含まれます。

- orasp:coreid-token要素

- orawsp:bindings要素

C.17.1 orasp:coreid-security要素の例

<orasp:coreid-security orawsp:Enforced="true" orawsp:Silent="true"
orawsp:category="security/authentication, security/authorization"
orawsp:name="OAM Security">
<orasp:coreid-token orasp:is-encrypted="false" orasp:is-signed="false"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="CoreIdConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:coreid-security>

C.18 orasp:http-security要素

<orasp:http-security>要素では、HTTPヘッダーの資格証明を使用して、Oracle Platform Security Servicesアイデンティティ・ストアに対してユーザーを認証します。

この要素には、次のサブ要素が含まれます。

- orasp:auth-header要素

- orasp:require-tls要素

- orawsp:bindings要素

C.18.1 orasp:http-security要素の例

<orasp:http-security orawsp:Enforced="true" orawsp:Silent="true"
orawsp:category="security/authentication, security/msg-protection"
orawsp:name="Http over SSL Security">
<orasp:auth-header orasp:mechanism="basic"/>
<orasp:require-tls orasp:include-timestamp="true" orasp:mutual-auth="false"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="HttpConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="realm"
orawsp:type="string">
<orawsp:Value>owsm</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:http-security>

C.19 orasp:kerberos-security要素

<orasp:kerberos-security>要素は、WS-Security Kerberos Token Profile v1.1標準に従って実行されます。

この要素には、次のサブ要素が含まれます。

- orasp:kerberos-token要素

- orawsp:bindings要素

- orasp:msg-security要素

C.19.1 orasp:kerberos-security要素の例

<orasp:kerberos-security orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication" orawsp:name="WSS Kerberos Token">
<orasp:kerberos-token orasp:is-encrypted="false" orasp:is-signed="false"
orasp:type="gss-apreq-v5"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="KerberosSecurityConfig"/>
</orawsp:bindings>
</orasp:kerberos-security>

C.20 orasp:sca-component-authorization要素

<orasp:sca-component-authorization>要素は、SOAコンポーネント・レベルの認証されたサブジェクトに基づき、リクエストに対して簡単なロールベースの認可を定義します。

<orasp:sca-component-authorization>要素には、次のサブ要素が含まれます。

- orawsp:bindings要素

また、次のいずれかのサブ要素も含まれます。

- orasp:denyAll要素

- orasp:permitAll要素

- orasp:role要素

C.20.1 orasp:sca-component-authorization要素の例

<orasp:sca-component-authorization orawsp:Enforced="true" orawsp:Silent="true"
orawsp:category="security/authorization" orawsp:name="Fabric Component
Authorization">
<orasp:denyAll/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="FabricAuthzConfig"/>
</orawsp:bindings>
</orasp:sca-component-authorization>

C.21 orasp:sca-component-permission-authorization要素

<orasp:sca-component-permission-authorization>要素は、SOAコンポーネント・レベルの認証されたサブジェクトに基づき、リクエストに対して簡単な権限ベースの認可を行います。

<orasp:binding-permission-authorization>要素には、次のサブ要素が含まれます。

- orasp:check-permission要素

- orawsp:bindings要素

- orawsp:guard要素

C.21.1 orasp:sca-component-permission-authorization要素の例

<orasp:sca-component-permission-authorization orawsp:Enforced="true"
orawsp:Silent="true" orawsp:category="security/authorization"
orawsp:name="Fabric Component Authorization">
<orasp:check-permission/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="FabricAuthzConfig">
<orawsp:PropertySet orawsp:name="perms-authz-properties">
<orawsp:Property orawsp:contentType="optional" orawsp:name="resource"
orawsp:type="string">
<orawsp:DefaultValue>*</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="action"
orawsp:type="string">
<orawsp:DefaultValue>*</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional"
orawsp:name="permission-class" orawsp:type="string">
<orawsp:DefaultValue>
oracle.wsm.security.WSFunctionPermission</orawsp:DefaultValue>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
<orawsp:guard>
<orawsp:resource-match>*</orawsp:resource-match>
<orawsp:action-match>*</orawsp:action-match>
</orawsp:guard>
</orasp:sca-component-permission-authorization>

C.22 orasp:sts-trust-config要素

<orasp:sts-trust-config>要素は、トークン交換用のSTSを呼び出すメカニズムを提供します。

この要素には、次のサブ要素が含まれます。

- orawsp:bindings要素

C.22.1 orasp:sts-trust-config要素の属性

次の表には、<orasp:sts-trust-config>要素の属性がまとめられています。

表C-8 <orasp:sts-trust-config>要素の属性

要素の属性" width="100%">

属性

説明

wsdl-uri

WSDLの実際のエンドポイントURI。

port-uri

STSポートの実際のエンドポイントURI。たとえば、http://host:port/context-root/service1と指定します。

port-endpoint

STS Webサービスのエンドポイント。

WSDL 2.0 STSの場合、target-namespace#wsdl.endpoint(service-name/port-name)という形式で指定します。たとえば、http://samples.otn.com.LoanFlow#wsdl.endpoint(LoanFlowService/LoanFlowPort)と指定します。

WSDL 1.1 STSの場合、targetnamespace#wsdl11.endpoint(servicename/portname)という形式で指定します。たとえば、http://samples.otn.com.LoanFlow#wsdl11.endpoint(LoanFlowService/LoanFlowPort)と指定します。

policy-reference-uri

クライアントがSTSと通信する際に使用するクライアント・ポリシーURI。WSDLでの識別に従い、選択するポリシーはSTSの認証要件に応じて異なります。

soap-version

SOAPのバージョン。

sts-keystore-recipient-alias

キーストアに追加したSTS証明書の別名。デフォルトの別名はsts-csf-keyです。

C.22.2 orasp:sts-trust-config要素の例

<orasp:sts-trust-config
xmlns:orasp="http://schemas.oracle.com/ws/2006/01/securitypolicy"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
orasp:policy-reference-uri="oracle/wss10_username_token_with_message_protection_
client_policy"
orasp:port-endpoint="target-namespace#wsdl.endpoint(service-name/port-name)"
orasp:port-uri="http://host:port/sts-service" orasp:soap-version="12"
orasp:sts-keystore-recipient-alias="sts-csf-key"
orasp:wsdl-uri="http://host:port/sts?wsdl" orawsp:Enforced="true"
orawsp:Silent="true" orawsp:category="security/sts-config" orawsp:name="STS
Trust Configuration">
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="StsTrustConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role" orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:sts-trust-config>

C.23 orasp:wss10-anonymous-with-certificates要素

<orasp:wss10-anonymous-with-certificates>要素は、WS-Security 1.0標準に従って、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)を実行します。

この要素には、次のサブ要素が含まれます。

- orasp:x509-token要素

- orasp:msg-security要素

- orawsp:bindings要素

C.23.1 orasp:wss10-anonymous-with-certificates要素の例

<orasp:wss10-anonymous-with-certificates orawsp:Enforced="true"
orawsp:Silent="false" orawsp:category="security/msg-protection"
orawsp:name="WS-Security 1.0 Anonymous with certificates">
<orasp:x509-token orasp:enc-key-ref-mech="direct" orasp:is-encrypted="false"
orasp:is-signed="true" orasp:rcpt-enc-key-ref-mech="direct"
orasp:rcpt-sign-key-ref-mech="direct" orasp:sign-key-ref-mech="direct"/>
<orasp:msg-security orasp:algorithm-suite="Basic128"
orasp:encrypt-signature="false" orasp:include-timestamp="true"
orasp:sign-then-encrypt="true">
<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>
<orasp:response>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:response>
<orasp:fault/>
</orasp:msg-security>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="Wss10AnonWithCertsConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss10-anonymous-with-certificates>

C.24 orasp:wss10-mutual-auth-with-certificates要素

<orasp:wss10-mutual-auth-with-certificates>要素は、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ・レベルの保護と、証明書ベースの認証を行います。

この要素には、次のサブ要素が含まれます。

- orasp:x509-token要素

- orasp:msg-security要素

- orawsp:bindings要素

C.24.1 orasp:wss10-mutual-auth-with-certificates要素の例

<orasp:wss10-mutual-auth-with-certificates orawsp:Enforced="true"
orawsp:Silent="false" orawsp:category="security/authentication,
security/msg-protection" orawsp:name="WS-Security 1.0 Mutual Auth with
certificates">
<orasp:x509-token orasp:enc-key-ref-mech="direct" orasp:is-encrypted="false"
orasp:is-signed="true" orasp:rcpt-enc-key-ref-mech="direct"
orasp:rcpt-sign-key-ref-mech="direct" orasp:sign-key-ref-mech="direct"/>
<orasp:msg-security orasp:algorithm-suite="Basic128"
orasp:encrypt-signature="false" orasp:include-timestamp="true"
orasp:sign-then-encrypt="true">
<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>
<orasp:response>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:response>
<orasp:fault/>
</orasp:msg-security>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="Wss10AnonWithCertsConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss10-mutual-auth-with-certificates>

C.25 orasp:wss10-saml-hok-with-certificates要素

<orasp:wss1-saml-hok-with-certificates>要素は、WS-Security 1.0標準に従って、アウトバウンドSOAPメッセージのメッセージ保護(整合性および機密保護)と、SAML鍵所有者ベースの認証を行います。

この要素には、次のサブ要素が含まれます。

- orasp:saml-token要素

- orasp:x509-token要素

- orasp:msg-security要素

- orawsp:bindings要素

C.25.1 orasp:wss10-saml-hok-with-certificates要素の例

<orasp:wss10-saml-hok-with-certificates orawsp:Enforced="true"
orawsp:Silent="false" orawsp:category="security/authentication,
security/msg-protection" orawsp:name="WS-Security 1.0 SAML Holder Of Key
with certificates">
<orasp:saml-token orasp:confirmation-type="holder-of-key"
orasp:is-encrypted="false" orasp:is-signed="true" orasp:version="1.1"/>
<orasp:x509-token orasp:enc-key-ref-mech="direct"
orasp:is-encrypted="false" orasp:is-signed="true"
orasp:rcpt-enc-key-ref-mech="direct" orasp:rcpt-sign-key-ref-mech="direct"
orasp:sign-key-ref-mech="ski"/>
<orasp:msg-security orasp:algorithm-suite="Basic128"
orasp:encrypt-signature="false" orasp:include-timestamp="true"
orasp:sign-then-encrypt="true">
<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>
<orasp:response>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:response>
<orasp:fault/>
</orasp:msg-security>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="Wss10SamlHOKWithCertsConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:name="keystore.recipient.alias"
orawsp:type="string">
<orawsp:Value>orakey</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional"
orawsp:name="saml.issuer.name" orawsp:type="string">
<orawsp:Value>www.oracle.com</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional"
orawsp:name="user.roles.include" orawsp:type="string">
<orawsp:Value>false</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional"
orawsp:name="saml.assertion.filename" orawsp:type="string">
<orawsp:Value>temp</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss10-saml-hok-with-certificates>

C.26 orasp:wss10-saml-token要素

<orasp:wss10-saml-token>要素は、WS-Security SOAPヘッダー内のSAMLトークンに含まれる資格証明を使用してユーザーを認証します。

この要素には、次のサブ要素が含まれます。

- orasp:saml-token要素

- orawsp:bindings要素

C.26.1 orasp:wss10-saml-token要素の例

<orasp:wss10-saml-token orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication" orawsp:name="WSSecurity SAML Token">
<orasp:saml-token orasp:confirmation-type="sender-vouches"
orasp:is-encrypted="false" orasp:is-signed="false" orasp:version="1.1"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="WssSamlTokenConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss10-saml-token>

C.27 orasp:wss10-saml-with-certificates要素

<orasp:wss10-saml-with-certificates>要素は、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、SAMLベースの認証を行います。

この要素には、次のサブ要素が含まれます。

- orasp:saml-token要素

- orasp:x509-token要素

- orasp:msg-security要素

- orawsp:bindings要素

C.27.1 orasp:wss10-saml-with-certificates要素の例

<orasp:wss10-saml-with-certificates orawsp:Enforced="true"
orawsp:Silent="false" orawsp:category="security/authentication,
security/msg-protection" orawsp:name="WS-Security 1.0 SAML with certificates">
<orasp:saml-token orasp:confirmation-type="sender-vouches"
orasp:is-encrypted="false" orasp:is-signed="true" orasp:version="1.1"/>
<orasp:x509-token orasp:enc-key-ref-mech="direct" orasp:is-encrypted="false"
orasp:is-signed="true" orasp:rcpt-enc-key-ref-mech="direct"
orasp:rcpt-sign-key-ref-mech="direct" orasp:sign-key-ref-mech="direct"/>
<orasp:msg-security orasp:algorithm-suite="Basic128"
orasp:encrypt-signature="false" orasp:include-timestamp="true"
orasp:sign-then-encrypt="true">
<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>
<orasp:response>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:response>
<orasp:fault/>
</orasp:msg-security>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="Wss10SamlWithCertsConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss10-saml-with-certificates>

C.28 orasp:wss10-username-with-certificates要素

<orasp:wss10-username-with-certificates>要素は、WS-Security 1.0標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と認証を行います。

この要素には、次のサブ要素が含まれます。

- orasp:username-token要素

- orasp:x509-token要素

- orasp:msg-security要素

- orawsp:bindings要素

C.28.1 orasp:wss10-username-with-certificates要素の例

<orasp:wss10-username-with-certificates orawsp:Enforced="true"
orawsp:Silent="false"
orawsp:category="security/authentication, security/msg-protection"
orawsp:name="WS-Security 1.0 username with certificates">
<orasp:username-token orasp:add-created="false" orasp:add-nonce="false"
orasp:is-encrypted="true" orasp:is-signed="true"
orasp:password-type="plaintext"/>
<orasp:x509-token orasp:enc-key-ref-mech="direct" orasp:is-encrypted="false"
orasp:is-signed="true" orasp:rcpt-enc-key-ref-mech="direct"
orasp:rcpt-sign-key-ref-mech="direct" orasp:sign-key-ref-mech="direct"/>
<orasp:msg-security orasp:algorithm-suite="Basic128"
orasp:encrypt-signature="false" orasp:include-timestamp="true"
orasp:sign-then-encrypt="true">
<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>
<orasp:response>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:response>
<orasp:fault/>
</orasp:msg-security>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="Wss10UsernameWithCertsConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss10-username-with-certificates>

C.29 orasp:wss11-anonymous-with-certificates要素

<orasp:wss11-anonymous-with-certificates>要素は、WS-Security 1.1標準に従って、アウトバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)を実行します。

この要素には、次のサブ要素が含まれます。

- orasp:x509-token要素

- orasp:msg-security要素

- orawsp:bindings要素

C.29.1 orasp:wss11-anonymous-with-certificates要素の例

<orasp:wss11-anonymous-with-certificates orawsp:Enforced="true"
orawsp:Silent="false" orawsp:category="security/msg-protection"
orawsp:name="WS-Security 1.0 Anonymous with certificates">
<orasp:x509-token orasp:enc-key-ref-mech="direct" orasp:is-encrypted="false"
orasp:is-signed="true" orasp:rcpt-enc-key-ref-mech="direct"
orasp:rcpt-sign-key-ref-mech="direct" orasp:sign-key-ref-mech="direct"/>
<orasp:msg-security orasp:algorithm-suite="Basic128"
orasp:encrypt-signature="false" orasp:include-timestamp="true"
orasp:sign-then-encrypt="true">
<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>
<orasp:response>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:response>
<orasp:fault/>
</orasp:msg-security>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="Wss11AnonWithCertsConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss11-anonymous-with-certificates>

C.30 orasp:wss11-mutual-auth-with-certificates要素

<orasp:wss11-mutual-auth-with-certificates>要素は、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ・レベルの保護と、証明書ベースの認証を行います。

この要素には、次のサブ要素が含まれます。

- orasp:x509-token要素

- orasp:msg-security要素

- orawsp:bindings要素

C.30.1 orasp:wss11-mutual-auth-with-certificates要素の例

<orasp:wss11-mutual-auth-with-certificates orawsp:Enforced="true"
orawsp:Silent="false" orawsp:category="security/authentication,
security/msg-protection"
orawsp:name="WS-Security 1.1 Mutual Auth with certificates">
<orasp:x509-token orasp:enc-key-ref-mech="thumbprint"
orasp:is-encrypted="false" orasp:is-signed="true"
orasp:sign-key-ref-mech="direct"/>
<orasp:msg-security orasp:algorithm-suite="Basic128"
orasp:confirm-signature="false" orasp:encrypt-signature="false"
orasp:include-timestamp="true" orasp:sign-then-encrypt="true"
orasp:use-derived-keys="false">
<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>
<orasp:response>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:response>
<orasp:fault/>
</orasp:msg-security>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="Wss10AnonWithCertsConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:name="keystore.recipient.alias"
orawsp:type="string">
<orawsp:Value>orakey</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss11-mutual-auth-with-certificates>

C.31 orasp:wss11-saml-with-certificates要素

<orasp:wss11-saml-with-certificates>要素は、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と、SAMLベースの認証を行います。

この要素には、次のサブ要素が含まれます。

- orasp:saml-token要素

- orasp:x509-token要素

- orasp:msg-security要素

- orawsp:bindings要素

C.31.1 orasp:wss11-saml-with-certificates要素の例

<orasp:wss11-saml-with-certificates orawsp:Enforced="true"
orawsp:Silent="false" orawsp:category="security/authentication,
security/msg-protection" orawsp:name="WS-Security 1.1 SAML with certificates">
<orasp:saml-token orasp:confirmation-type="sender-vouches"
orasp:is-encrypted="false" orasp:is-signed="true" orasp:version="1.1"/>
<orasp:x509-token orasp:enc-key-ref-mech="direct" orasp:is-encrypted="false"
orasp:is-signed="true" orasp:rcpt-enc-key-ref-mech="direct"
orasp:rcpt-sign-key-ref-mech="direct" orasp:sign-key-ref-mech="direct"/>
<orasp:msg-security orasp:algorithm-suite="Basic128"
orasp:encrypt-signature="false" orasp:include-timestamp="true"
orasp:sign-then-encrypt="true">
<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>
<orasp:response>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:response>
<orasp:fault/>
</orasp:msg-security>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="Wss11SamlWithCertsConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss11-saml-with-certificates>

C.32 orasp:wss11-sts-issued-token-with-certificates要素

<orasp:wss11-sts-issued-token-with-certificates>要素は、信頼できるSTSが発行したアサーションを挿入します。メッセージは、STS、クライアントまたは両方で提供される証明鍵マテリアルを使用して保護されます。

この要素には、次のサブ要素が含まれます。

- orasp:issued-token要素

- orasp:x509-token要素

- orasp:msg-security要素

- orawsp:bindings要素

C.32.1 orasp:wss11-sts-issued-token-with-certificates要素の属性

次の表には、<orasp:wss11-sts-issued-token-with-certificates>要素の属性がまとめられています。

表C-9 <orasp:wss11-sts-issued-token-with-certificates>要素の属性

要素の属性" width="100%">

属性

説明

trust-version

WS-Trustのバージョン。

require-client-entropy

Webサービスのセキュリティ・ポリシーによって対称証明鍵が要求される場合、このフラグは、リクエスタが証明鍵の計算に含めることができる鍵マテリアル(エントロピ)を渡すことができるかどうかを指定します。Webサービス・ポリシーでは、クライアント・エントロピ、STSエントロピ、またはその両方が必要であるかどうかを示すことができます。

require-server-entropy

Webサービスのセキュリティ・ポリシーによって対称証明鍵が要求される場合、このフラグは、リクエスタが証明鍵の計算に含めることができる鍵マテリアル(エントロピ)を渡すことができるかどうかを指定します。Webサービス・ポリシーでは、クライアント・エントロピ、STSエントロピ、またはその両方が必要であるかどうかを示すことができます。

require-applies-to

RSTのオプション要素。トークンがリクエストされているWebサービスのエンドポイント・アドレスを、OWSMが送信するかどうかを指定するフラグ。デフォルト動作では、クライアントからSTSへのメッセージでappliesTo要素が常に送信されます。

C.32.2 orasp:wss11-sts-issued-token-with-certificates要素の例

<orasp:wss11-sts-issued-token-with-certificates
xmlns:orasp="http://schemas.oracle.com/ws/2006/01/securitypolicy"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
orasp:require-applies-to="true" orasp:require-client-entropy="true"
orasp:require-server-entropy="true" orasp:trust-version="13"
orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication, security/msg-protection"
orawsp:name="WS-Security 1.1, issued token">
<orasp:issued-token orasp:require-external-reference="true"
orasp:require-internal-reference="true" orasp:use-derived-keys="false">
<orasp:request-security-token-template orasp:algorithm-suite="Basic128"
orasp:key-type="Symmetric" orasp:token-type="SAML11"/>
</orasp:issued-token>
<orasp:x509-token orasp:enc-key-ref-mech="thumbprint" orasp:is-encrypted="false"
orasp:is-signed="true" orasp:sign-key-ref-mech="thumbprint"/>
<orasp:msg-security orasp:algorithm-suite="Basic128"
orasp:confirm-signature="true" orasp:encrypt-signature="false"
orasp:include-timestamp="true" orasp:sign-then-encrypt="true"
orasp:use-derived-keys="false">
<orasp:request>
<orasp:signed-parts>
<orasp:body/>
<orasp:header orasp:namespace="http://www.w3.org/2005/08/addressing"/>
<orasp:header orasp:namespace="http://schemas.xmlsoap.org/ws/2004/08/addressing"/>
<orasp:header orasp:name="fmw-context" orasp:namespace="http://xmlns.oracle.com/fmw/context/1.0"/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
<orasp:header orasp:name="fmw-context" orasp:namespace="http://xmlns.oracle.com/fmw/context/1.0"/>
</orasp:encrypted-parts>
</orasp:request>
<orasp:response>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:response>
<orasp:fault/>
</orasp:msg-security>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="Wss11StsIssuedTokenWithCertsConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="optional"
orawsp:name="sts.auth.user.csf.key" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional"
orawsp:name="sts.auth.x509.csf.key" orawsp:type="string">
<orawsp:Value>enc-csf-key</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:name="on.behalf.of" orawsp:type="boolean">
<orawsp:Value>false</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional"
orawsp:name="sts.auth.on.behalf.of.csf.key" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:name="keystore.recipient.alias" orawsp:type="string">
<orawsp:Value>orakey</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="keystore.enc.csf.key"
orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional"
orawsp:name="sts.auth.service.principal.name" orawsp:type="string">
<orawsp:Value>HOST/localhost@EXAMPLE.COM</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional"
orawsp:name="sts.auth.keytab.location" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional" orawsp:name="sts.auth.caller.principal.name" orawsp:type="string">
<orawsp:Value/>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss11-sts-issued-token-with-certificates>

C.33 orasp:wss11-username-with-certificates要素

<orasp:wss11-username-with-certificates>要素は、WS-Security 1.1標準に従って、インバウンドSOAPリクエストのメッセージ保護(整合性および機密保護)と認証を行います。

この要素には、次のサブ要素が含まれます。

- orasp:username-token要素

- orasp:x509-token要素

- orasp:msg-security要素

- orawsp:bindings要素

C.33.1 orasp:wss11-username-with-certificates要素の例

<orasp:wss11-username-with-certificates orawsp:Enforced="true"
orawsp:Silent="false"
orawsp:category="security/authentication, security/msg-protection"
orawsp:name="WS-Security 1.1 username with certificates">
<orasp:username-token orasp:add-created="false" orasp:add-nonce="false"
orasp:is-encrypted="true" orasp:is-signed="true"
orasp:password-type="plaintext"/>
<orasp:x509-token orasp:enc-key-ref-mech="direct" orasp:is-encrypted="false"
orasp:is-signed="true" orasp:rcpt-enc-key-ref-mech="direct"
orasp:rcpt-sign-key-ref-mech="direct" orasp:sign-key-ref-mech="direct"/>
<orasp:msg-security orasp:algorithm-suite="Basic128"
orasp:encrypt-signature="false" orasp:include-timestamp="true"
orasp:sign-then-encrypt="true">
<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>
<orasp:response>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:response>
<orasp:fault/>
</orasp:msg-security>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="Wss11UsernameWithCertsConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss11-username-with-certificates>

C.34 orasp:wss-saml-token-bearer-over-ssl要素

<orasp:wss-saml-token-bearer-over-ssl>要素は、WS-Security SOAPヘッダー内の確認方法がBearerのSAMLトークンに含まれる資格証明を使用してユーザーを認証します。

この要素には、次のサブ要素が含まれます。

- orasp:saml-token要素

- orasp:require-tls要素

- orawsp:bindings要素

C.34.1 orasp:wss-saml-token-bearer-over-ssl要素の例

<orasp:wss-saml-token-bearer-over-ssl orawsp:Enforced="true"
orawsp:Silent="false"
orawsp:category="security/authentication, security/msg-protection"
orawsp:name="WSSecurity Saml Token With Confirmation method Bearer Over SSL ">
<orasp:saml-token orasp:confirmation-type="bearer" orasp:is-encrypted="false"
orasp:is-signed="false" orasp:version="1.1"/>
<orasp:require-tls orasp:include-timestamp="true" orasp:mutual-auth="false"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="WssSamlTokenBearerOverSSLConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="optional"
orawsp:name="saml.issuer.name" orawsp:type="string">
<orawsp:Value>www.oracle.com</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional"
orawsp:name="user.roles.include" orawsp:type="string">
<orawsp:Value>false</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss-saml-token-bearer-over-ssl>

C.35 orasp:wss-saml-token-over-ssl要素

<orasp:wss-saml-token-over-ssl>要素は、sender-vouches確認タイプを使用して、WS-Security SOAPヘッダーのSAMLトークンに含まれる資格証明の認証を実行します。

この要素には、次のサブ要素が含まれます。

- orasp:saml-token要素

- orasp:require-tls要素

- orawsp:bindings要素

C.35.1 orasp:wss-saml-token-over-ssl要素の例

<orasp:wss-saml-token-over-ssl orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication, security/msg-protection"
orawsp:name="WSSecurity SAML Token Over SSL">
<orasp:saml-token orasp:confirmation-type="sender-vouches"
orasp:is-encrypted="false" orasp:is-signed="true" orasp:version="1.1"/>
<orasp:require-tls orasp:include-timestamp="true" orasp:mutual-auth="true"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="WssSamlTokenOverSSLConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="optional"
orawsp:name="saml.issuer.name" orawsp:type="string">
<orawsp:Value>www.oracle.com</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional"
orawsp:name="user.roles.include" orawsp:type="string">
<orawsp:Value>false</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss-saml-token-over-ssl>

C.36 orasp:wss-sts-issued-token-over-ssl要素

<orasp:wss-sts-issued-token-over-ssl>要素は、信頼できるSTSが発行したSAMLアサーションを認証します。メッセージは、SSLを使用して保護されます。

この要素には、次のサブ要素が含まれます。

- orasp:issued-token要素

- orasp:require-tls要素

- orawsp:bindings要素

C.36.1 orasp:wss-sts-issued-token-over-ssl要素の属性

次の表には、<orasp:wss-sts-issued-token-over-ssl>要素の属性がまとめられています。

表C-10 <orasp:wss-sts-issued-token-over-ssl>要素の属性

要素の属性" width="100%">

属性

説明

trust-version

WS-Trustのバージョン。

require-client-entropy

Webサービスのセキュリティ・ポリシーによって対称証明鍵が要求される場合、このフラグは、リクエスタが証明鍵の計算に含めることができる鍵マテリアル(エントロピ)を渡すことができるかどうかを指定します。Webサービス・ポリシーでは、クライアント・エントロピ、STSエントロピ、またはその両方が必要であるかどうかを示すことができます。

require-server-entropy

Webサービスのセキュリティ・ポリシーによって対称証明鍵が要求される場合、このフラグは、リクエスタが証明鍵の計算に含めることができる鍵マテリアル(エントロピ)を渡すことができるかどうかを指定します。Webサービス・ポリシーでは、クライアント・エントロピ、STSエントロピ、またはその両方が必要であるかどうかを示すことができます。

require-applies-to

RSTのオプション要素。トークンがリクエストされているWebサービスのエンドポイント・アドレスを、OWSMが送信するかどうかを指定するフラグ。デフォルト動作では、クライアントからSTSへのメッセージでappliesTo要素が常に送信されます。

C.36.2 orasp:wss-sts-issued-token-over-ssl要素の例

<orasp:wss-sts-issued-token-over-ssl
xmlns:orasp="http://schemas.oracle.com/ws/2006/01/securitypolicy"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
orasp:require-applies-to="true" orasp:require-client-entropy="true"
orasp:require-server-entropy="true" orasp:trust-version="13"
orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication, security/msg-protection"
orawsp:name="WS-Security 1.1, issued token over ssl">
<orasp:issued-token orasp:require-external-reference="true"
orasp:require-internal-reference="true" orasp:use-derived-keys="false">
<orasp:request-security-token-template orasp:key-type="Bearer" orasp:token-type="SAML11"/>
</orasp:issued-token>
<orasp:require-tls orasp:include-timestamp="true" orasp:mutual-auth="false"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="WssStsIssuedTokenOverSSLConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss-sts-issued-token-over-ssl>

C.37 orasp:wss-username-token要素

<orasp:wss-username-token>要素は、WS-Security UsernameToken SOAPヘッダー内のユーザー名およびパスワード資格証明を使用した認証を実行します。

この要素には、次のサブ要素が含まれます。

- orasp:username-token要素

- orawsp:bindings要素

C.37.1 orasp:wss-username-token要素の例

<orasp:wss-username-token orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication"
orawsp:name="WSSecurity UserName Token">
<orasp:username-token orasp:add-created="false" orasp:add-nonce="false"
orasp:is-encrypted="true" orasp:is-signed="true"
orasp:password-type="plaintext"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="WssUsernameTokenConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss-username-token>

C.38 orasp:wss-username-token-over-ssl要素

<orasp:wss-username-token-over-ssl>要素は、UsernameToken WS-Security SOAPヘッダーの資格証明を使用して、Oracle Platform Security Servicesの構成済のアイデンティティ・ストアに対してユーザーを認証します。

この要素には、次のサブ要素が含まれます。

- orasp:username-token要素

- orasp:require-tls要素

- orawsp:bindings要素

C.38.1 orasp:wss-username-token-over-ssl要素の例

<orasp:wss-username-token-over-ssl orawsp:Enforced="true" orawsp:Silent="false"
orawsp:category="security/authentication, security/msg-protection"
orawsp:name="WSSecurity UserName Token Over SSL">
<orasp:username-token orasp:add-created="true" orasp:add-nonce="true"
orasp:is-encrypted="true" orasp:is-signed="true"
orasp:password-type="plaintext"/>
<orasp:require-tls orasp:include-timestamp="true" orasp:mutual-auth="false"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative"
orawsp:name="WssUsernameTokenOverSSLConfig">
<orawsp:PropertySet orawsp:name="standard-security-properties">
<orawsp:Property orawsp:contentType="constant" orawsp:name="role"
orawsp:type="string">
<orawsp:Value>ultimateReceiver</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</orasp:wss-username-token-over-ssl>

C.39 rm:RMAssertion要素

<rm:RMAssertion>要素は、Web Services Reliable Messagingプロトコルのバージョン1.0および1.1のサポートを提供します。サポートされるバージョンは、使用するXMLスキーマ・ネームスペース値によって異なります。

- WS-ReliableMessaging 1.1: http://docs.oasis-open.org/ws-rx/wsrmp/200702

- WS-ReliableMessaging 1.0: http://schemas.xmlsoap.org/ws/2005/02/rm/policy

このポリシーは、SOAPベースのすべてのクライアントまたはエンドポイントにアタッチできます。この機能を完全にサポートするには、追加のプログラミングが必要です。

<rm:RMAssertion>要素には、次のサブ要素が含まれます。

- orawsp:bindings要素

C.39.1 rm:RMAssertion要素の例

<rm:RMAssertion xmlns:rm="http://schemas.xmlsoap.org/ws/2005/02/rm/policy"
orawsp:Enforced="true" orawsp:Silent="false" orawsp:category="wsrm"
orawsp:description="i18n:oracle.wsm.resources.policydescription.PolicyDescriptionBundle_oracle/wsrm10_policy_RMAssertion_AssertionDescKey"
orawsp:name="RM 1.0">
<wsp:Policy/>
<orawsp:bindings>
<orawsp:Config orawsp:name="RMConfig">
<orawsp:PropertySet orawsp:name="standard-wsrm-properties">
<orawsp:Property orawsp:name="DeliveryAssurance" orawsp:type="string">
<orawsp:Description>Delivery Assurance. Possible values
(case-insensitive) are InOrder,  AtLeastOnce, AtLeastOnceInOrder,
ExactlyOnce, ExactlyOnceInOrder, AtMostOnce,
AtMostOnceInOrder.</orawsp:Description>
<orawsp:Value>inorder</orawsp:Value>
<orawsp:DefaultValue>inorder</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:name="StoreType" orawsp:type="string">
<orawsp:Description>The type of message store used. Possible values
(case-insensitive) areInMemory, JDBC.</orawsp:Description>
<orawsp:Value>inmemory</orawsp:Value>
<orawsp:DefaultValue>inmemory</orawsp:DefaultValue>
</orawsp:Property>
<orawsp:Property orawsp:name="StoreName" orawsp:type="string">
<orawsp:Description>The name of the message store.
</orawsp:Description>
<orawsp:Value>oracle</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:contentType="optional"
orawsp:name="jdbc-connection-name" orawsp:type="string">
<orawsp:Description>The JNDI reference to a JDBC data source, when
the store type is JDBC.</orawsp:Description>
<orawsp:Value>jdbc/MessagesStore</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:name="InactivityTimeout" orawsp:type="int">
<orawsp:Description>The inactivity timeout duration, specified in
milliseconds.</orawsp:Description>
<orawsp:Value>600000</orawsp:Value>
</orawsp:Property>
<orawsp:Property orawsp:name="BaseRetransmissionInterval"
orawsp:type="int">
<orawsp:Description>The base retransmission interval, specified in
milliseconds.</orawsp:Description>
<orawsp:Value>3000</orawsp:Value>
</orawsp:Property>
</orawsp:PropertySet>
</orawsp:Config>
</orawsp:bindings>
</rm:RMAssertion>

C.40 wsaw:UsingAddressing要素

<wsaw:UsingAddressing>要素を使用すると、プラットフォームにより、W3C 2005の最終版のWS-Addressingポリシー標準に準拠したWS-Addressingヘッダーがインバウンド・メッセージに存在するかどうかが確認されます。また、プラットフォームにより、WS-AddressingヘッダーがアウトバウンドSOAPメッセージに組み込まれます。

<wsaw:UsingAddressing>要素には、次のサブ要素が含まれます。

- orawsp:bindings要素

C.40.1 wsaw:UsingAddressing要素の例

<wsaw:UsingAddressing xmlns:wsaw="http://www.w3.org/2006/05/addressing/wsdl"
orawsp:Enforced="true" orawsp:Silent="false" orawsp:category="addressing"
orawsp:name="WS-Addressing 2005">
<orawsp:bindings>
<orawsp:Config orawsp:name="added-from-em"/>
</orawsp:bindings>
</wsaw:UsingAddressing>

C.41 wsoma:OptimizedMimeSerialization要素

<wsoma:OptimizedMimeSerialization>要素は、MTOM形式ではないインバウンド・メッセージを拒否し、アウトバウンド・メッセージがMTOM形式であるかどうかを検証します。

MTOMはhttp://www.w3.org/TR/2005/REC-soap12-mtom-20050125の仕様書と、SOAP 1.2およびSOAP1.1バインディングに関してはhttp://www.w3.org/Submission/2006/SUBM-soap11mtom10-20060405を参照します。

<wsoma:OptimizedMimeSerialization>要素には、次のサブ要素が含まれます。

- orawsp:bindings要素

C.41.1 wsoma:OptimizedMimeSerialization要素の例

<wsoma:OptimizedMimeSerialization
xmlns:wsoma=
"http://schemas.xmlsoap.org/ws/2004/09/policy/optimizedmimeserialization"
orawsp:Enforced="true" orawsp:Silent="false" orawsp:category="mtom"
orawsp:name="MTOM">
<orawsp:bindings>
<orawsp:Config orawsp:name="added-from-em"/>
</orawsp:bindings>
</wsoma:OptimizedMimeSerialization>

C.42 oralgp:fault要素

<oralgp:fault>要素は、フォルト・メッセージのロギングを構成します。有効な値は次のとおりです。

- all: SOAPメッセージ全体が記録されます。

- header: SOAPヘッダー情報のみが記録されます。

- soap_body: SOAP本文の情報のみが記録されます。

- soap_envelope: SOAPエンベロープの情報のみが記録されます。

C.42.1 oralgp:fault要素の例

次に、oralgp:fault要素の例を示します。

<oralgp:msg-log>
<oralgp:request>all</oralgp:request>
<oralgp:response>all</oralgp:response>
<oralgp:fault>all</oralgp:fault>
</oralgp:msg-log>

C.43 oralgp:request要素

<oralgp:request>要素は、リクエスト・メッセージのロギングを構成します。有効な値は次のとおりです。

- all: SOAPメッセージ全体が記録されます。

- header: SOAPヘッダー情報のみが記録されます。

- soap_body: SOAP本文の情報のみが記録されます。

- soap_envelope: SOAPエンベロープの情報のみが記録されます。

C.43.1 oralgp:request要素の例

<oralgp:msg-log>
<oralgp:request>all</oralgp:request>
<oralgp:response>all</oralgp:response>
<oralgp:fault>all</oralgp:fault>
</oralgp:msg-log>

C.44 oralgp:response要素

<oralgp:response>要素は、レスポンス・メッセージのロギングを構成します。有効な値は次のとおりです。

- all: SOAPメッセージ全体が記録されます。

- header: SOAPヘッダー情報のみが記録されます。

- soap_body: SOAP本文の情報のみが記録されます。

- soap_envelope: SOAPエンベロープの情報のみが記録されます。

C.44.1 oralgp:response要素の例

<oralgp:msg-log>
<oralgp:request>all</oralgp:request>
<oralgp:response>all</oralgp:response>
<oralgp:fault>all</oralgp:fault>
</oralgp:msg-log>

C.45 oralgp:msg-log要素

<oralgp:request>要素は、リクエスト、レスポンスおよびフォルト・メッセージのロギングを構成します。<oralgp:msg-log>要素には、次のサブ要素が含まれます。

- orasp:request要素

- oralgp:response要素

- oralgp:fault要素

C.45.1 oralgp:msg-log要素の例

<oralgp:msg-log>
<oralgp:request>all</oralgp:request>
<oralgp:response>all</oralgp:response>
<oralgp:fault>all</oralgp:fault>
</oralgp:msg-log>

C.46 orasp:attachment要素

<orasp:attachment>要素は、アタッチメント情報を定義します。

C.46.1 orasp:attachment要素の属性

次の表には、<orasp:attachment>要素の属性がまとめられています。

表C-11 <orasp:attachment>要素の属性

要素の属性" width="100%">

属性

説明

include-mime-headers

MIMEヘッダーを含めるかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

C.46.2 orasp:attachment要素の例

<orasp:signed-parts>
<orasp:header orasp:name="From"
orasp:namespace="http://www.w3.org/2005/08/addressing"/>
<orasp:attachment orasp:include-mime-headers="false"/>
</orasp:signed-parts>

C.47 orasp:auth-header要素

<orasp:auth-header>要素は、認証ヘッダーの名前を指定します。

C.47.1 orasp:auth-header要素の属性

次の表には、<orasp:auth-header>要素の属性がまとめられています。

表C-12 <orasp:auth-header>要素の属性

要素の属性" width="100%">

属性

説明

mechanism

認証のメカニズム。

有効な値は次のとおりです。

- basic: ユーザー名およびパスワードを送信することで、クライアントが自身を認証します。

- digest: このリリースではサポートされていません。暗号化されたパスワードをMD5ダイジェストを使用して送信することで、クライアントが自身を認証します。

- cert: 証明書を送信することで、クライアントが自身を認証します。

- custom: カスタムの認証メカニズム。

- spnego: SPNEGOネゴシエーションによって決定されるクライアント認証メカニズム。

C.47.2 rasp:auth-header要素の例

<orasp:auth-header orasp:mechanism="basic"/>

C.48 orasp:body要素

<orasp:body>要素は、署名および暗号化されるメッセージの本体要素を定義します。本体全体を含めるには、<orasp:body/>のように本体要素を指定します。

C.48.1 orasp:body要素の例

<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>

C.49 orasp:check-permission要素

<orasp:check-permission>要素は、権限を確認するように指定します。

C.49.1 orasp:check-permission要素の例

<orasp:binding-permission-authorization orawsp:Enforced="true"
orawsp:Silent="true" orawsp:category="security/authorization"
orawsp:name="J2EE Permission Based Authorization">
<orasp:check-permission/>
...
</orasp:binding-permission-authorization>

C.50 orasp:coreid-token要素

<orasp:coreid-token>要素は、OAMトークンを定義します。

C.50.1 orasp:coreid-token要素の属性

次の表には、<orasp:coreid-token>要素の属性がまとめられています。

表C-13 <orasp:coreid-token>要素の属性

要素の属性" width="100%">

属性

説明

is-encrypted

アサーションを暗号化するかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

is-signed

アサーションを署名するかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

C.50.2 orasp:coreid-token要素の例

<orasp:coreid-token orasp:is-encrypted="false" orasp:is-signed="false"/>

C.51 orasp:denyAll要素

<orasp:denyAll>要素は、ロールを持つすべてのユーザーを拒否します。

C.51.1 orasp:denyAll要素の例

<orasp:binding-authorization orawsp:Enforced="true" orawsp:Silent="true"
orawsp:category="security/authorization"
orawsp:name="J2EE services Authorization">
<orasp:denyAll/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="AuthzConfig"/>
</orawsp:bindings>
<orawsp:guard/>
</orasp:binding-authorization>

C.52 orasp:element要素

<orasp:element>要素は、署名または暗号化されるヘッダーや本体の要素を定義します。

C.52.1 orasp:element要素の属性

次の表には、<orasp:element>要素の属性がまとめられています。

表C-14 <orasp:element>要素の属性

要素の属性" width="100%">

属性

説明

名前

ヘッダーまたは本体の要素の名前。

namespace

ネームスペース

C.52.2 orasp:element要素の例

<orasp:signed-elements>
<orasp:element orasp:name="BodyElement"
orasp:namespace="http://www.w3.org/2005/08/addressing">n/a</orasp:element>
</orasp:signed-elements>

C.53 orasp:encrypted-elements要素

<orassp:encrypted-elements>要素は、署名されるメッセージの本体要素を定義します。この要素は、<orasp:encrypted-parts>が<orasp:body/>に設定されていない場合にのみ有効になります。

<orassp:encrypted-parts>要素には、次のサブ要素が含まれます。

- orasp:element要素

C.53.1 orasp:encrypted-elements要素の例

<orasp:encrypted-elements>
<orasp:element orasp:name="Myhead"
orasp:namespace="http://www.w3.org/2005/08/addressing">n/a</orasp:element>
</orasp:encrypted-elements>

C.54 orasp:encrypted-parts要素

<orasp:encrypted-parts>要素は、暗号化されるメッセージの部分を定義します。

<orasp:encrypted-parts>要素には、次のサブ要素が1つ以上含まれます。

- orasp:body要素

- orasp:header要素

- orasp:attachment要素

C.54.1 orasp:encrypted-parts要素の例

<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>

C.55 orasp:fault要素

<orasp:fault>要素は、署名および暗号化されるフォルト・メッセージの本体要素を定義します。<orasp:fault>要素には、次のサブ要素が含まれます。

- orasp:signed-parts要素

- orasp:encrypted-parts要素

C.55.1 orasp:fault要素の例

<orasp:response>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:response>

C.56 orasp:header要素

<orasp:header>要素は、ヘッダー要素を定義します。

C.56.1 orasp:header要素の属性

次の表には、<orasp:header>要素の属性がまとめられています。

表C-15 <orasp:header>要素の属性

要素の属性" width="100%">

属性

説明

名前

ヘッダー要素の名前。事前定義済ネームスペースのデフォルトのヘッダー要素は、To、From、FaultTo、ReplyTo、MessageID、RelatesTo、Actionです。

namespace

ネームスペース事前定義済ネームスペースは、http://www.w3.org/2005/08/addressingです。

C.56.2 orasp:header要素の例

<orasp:signed-parts>
<orasp:header orasp:name="From"
orasp:namespace="http://www.w3.org/2005/08/addressing"/>
<orasp:attachment orasp:include-mime-headers="false"/>
</orasp:signed-parts>

C.57 orasp:issued-token要素

<orasp:issued-token>要素は、トークンの特性を実行します。

C.57.1 orasp:issued-token要素の属性

次の表には、<orasp:issued-token>要素の属性がまとめられています。

表C-16 Attributes of <orasp:issued-token>要素の属性

要素の属性" width="100%">

属性

説明

use-derived-keys

導出キーが必要かどうかを指定するフラグ。可能な値は「True」と「False」です。

require-internal-reference

トークンの内部参照が必要かどうかを指定するフラグ。可能な値は「True」と「False」です。

require-external-reference

トークンの外部参照が必要かどうかを指定するフラグ。可能な値は「True」と「False」です。

C.57.2 orasp:issued-token要素の例

<orasp:issued-token orasp:require-external-reference="true"
orasp:require-internal-reference="true" orasp:use-derived-keys="false">

C.58 orasp:kerberos-token要素

<orasp:kerberos-token>要素は、Kerberosトークンを定義します。

C.58.1 orasp:kerberos-token要素の属性

次の表には、<orasp:kerberos-token>要素の属性がまとめられています。

表C-17 <orasp:kerberos-token>要素の属性

要素の属性" width="100%">

属性

説明

is-encrypted

アサーションを暗号化するかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

is-signed

アサーションを署名するかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

type

Kerberosトークンのタイプ。有効な値は、gss-apreq-v5 (Kerberosバージョン5 GSS-API)のみです。

use-derived-keys

導出キーが必要かどうかを指定するフラグ。有効な値はtrueまたはfalseです。

C.58.2 orasp:kerberos-token要素の例

<orasp:kerberos-token orasp:is-encrypted="false" orasp:is-signed="false"
orasp:type="gss-apreq-v5" orasp:use-derived-keys="false"/>

C.59 orasp:msg-security要素

<orassp:msg-security>要素は、ポリシーのメッセージ・セキュリティを定義します。署名および暗号化された本体要素(リクエスト、レスポンスおよびフォルト)を定義します。

<orasp:msg-security>要素には、次のサブ要素が含まれます。

- orasp:request要素

- orasp:response要素

- orasp:fault要素

C.59.1 orasp:msg-security要素の属性

次の表には、<orasp:msg-security>要素の属性がまとめられています。

表C-18 <orasp:msg-security>要素の属性

要素の属性" width="100%">

属性

説明

algorithm-suite

メッセージ保護に使用されるアルゴリズム・スイートを定義します。Basic128などが該当します。詳細は、「サポートされているアルゴリズム・スイート」を参照してください。

confirm-signature

クライアントにシグネチャの確認を送信するかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

encrypt-signature

クライアントに暗号化の確認を送信するかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

include-timestamp

タイムスタンプを含めるかどうかを指定するフラグ。タイムスタンプを使用して、メッセージが無効になる有効期限を識別することで、リプレイ攻撃を防止できます。

sign-then-encyrpt

メッセージを暗号化する前に署名するかどうかを指定するフラグ。

use-derived-keys

導出される鍵を使用するどうかを指定するフラグ。

C.59.2 orasp:msg-security要素の例

<orasp:msg-security orasp:algorithm-suite="Basic128"
orasp:confirm-signature="false" orasp:encrypt-signature="false"
orasp:include-timestamp="true" orasp:sign-then-encrypt="true"
orasp:use-derived-keys="false">
<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>
<orasp:response>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:response>
<orasp:fault/>
</orasp:msg-security>

C.60 orasp:permitAll要素

<orasp:permitAll>要素は、ロールを持つすべてのユーザーを許可します。

C.60.1 orasp:permitAll要素の例

<orasp:binding-authorization orawsp:Enforced="true" orawsp:Silent="true"
orawsp:category="security/authorization"
orawsp:name="J2EE services Authorization">
<orasp:permitAll/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="AuthzConfig"/>
</orawsp:bindings>
</orasp:binding-authorization>

C.61 orasp:request要素

<orasp:request>要素は、署名および暗号化されるリクエスト・メッセージの本体要素を定義します。<orasp:request>要素には、次のサブ要素が含まれます。

- orasp:signed-parts要素

- orasp:encrypted-parts要素

C.61.1 orasp:request要素の例

<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>

C.62 orasp:require-tls要素

<orasp:require-tls>要素は、双方向認証が必要かどうかを指定します。

C.62.1 orasp:require-tls要素の属性

次の表には、<orasp:require-tls>要素の属性がまとめられています。

表C-19 <orawsp:require-tls>要素の属性

要素の属性" width="100%">

属性

説明

include-timestamp

タイムスタンプを含めるかどうかを指定するフラグ。タイムスタンプを使用して、メッセージが無効になる有効期限を識別することで、リプレイ攻撃を防止できます。

注意: このフラグは、RESTful Webサービスおよびクライアント・エンドポイントに対しては有効ではありません。

mutual-auth

双方向認証が必要かどうかを指定するフラグ。有効な値はtrueまたはfalseです。

C.62.2 orasp:require-tls要素の例

<orasp:require-tls orasp:include-timestamp="true" orasp:mutual-auth="false"/>

C.63 orasp:response要素

<orassp:response>要素は、レスポンス・メッセージ内で署名および暗号化されるメッセージの本体要素を定義します。<oraswsp:response>要素には、次のサブ要素が含まれます。

- orasp:signed-parts要素

- orasp:encrypted-parts要素

C.63.1 orasp:response要素の例

<orasp:response>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:response>

C.64 orasp:role要素

<orasp:role>要素は、アクセスが許可されるロールを定義します。

C.64.1 orasp:role要素の属性

次の表には、<orasp:role>要素の属性がまとめられています。

表C-20 <orasp:role>要素の属性

要素の属性" width="100%">

属性

説明

名前

ロールの名前。有効なロールは次のとおりです。

- Monitor

- AdminChannelUsers

- 管理者

- OracleSystemGroup

- Operators

- CrossDomainConnectors

- Deployers

- AppTesters

C.64.2 orasp:role要素の例

<orasp:binding-authorization orawsp:Enforced="true" orawsp:Silent="true"
orawsp:category="security/authorization" orawsp:description=""
orawsp:name="J2EE services Authorization">
<orasp:role orasp:name="Monitors"/>
<orasp:role orasp:name="AdminChannelUsers"/>
<orawsp:bindings>
<orawsp:Config orawsp:configType="declarative" orawsp:name="AuthzConfig"/>
</orawsp:bindings>
</orasp:binding-authorization>

C.65 orasp:saml-token要素

<orasp:saml-token>要素は、SAMLトークンを構成します。

C.65.1 orasp:saml-token要素の属性

次の表には、<orasp:saml-token>要素の属性がまとめられています。

表C-21 <orasp:saml-token>要素の属性

要素の属性" width="100%">

属性

説明

confirmation-type

確認タイプ。有効な値はsender-vouchesおよびholder-of-keyです。

- sender-vouches

- holder-of-key

- bearer

is-encrypted

アサーションを暗号化するかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

is-signed

アサーションを署名するかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

version

SAMLバージョン。有効な値は1.1および2.0です。

C.65.2 orasp:saml-token要素の例

<orasp:saml-token orasp:confirmation-type="holder-of-key"
orasp:is-encrypted="false" orasp:is-signed="true" orasp:version="1.1"/>

C.66 orasp:signed-elements要素

<orassp:signed-elements>要素は、署名されるメッセージの本体要素を定義します。この要素は、<orasp:signed-parts>が<orasp:body/>に設定されていない場合にのみ有効になります。

<orassp:signed-elements>要素には、次のサブ要素が含まれます。

- orasp:element要素

C.66.1 orasp:signed-elements要素の例

<orasp:signed-elements>
<orasp:element orasp:name="Myhead"
orasp:namespace="http://www.w3.org/2005/08/addressing">n/a</orasp:element>
</orasp:signed-elements>

C.67 orasp:signed-parts要素

<orasp:signed-parts>要素は、署名されるメッセージの部分を定義します。

<orasp:signed-parts>要素には、次のサブ要素が1つ以上含まれます。

- orasp:body要素

- orasp:header要素

- orasp:attachment要素

C.67.1 orasp:signed-parts要素の例

<orasp:request>
<orasp:signed-parts>
<orasp:body/>
</orasp:signed-parts>
<orasp:encrypted-parts>
<orasp:body/>
</orasp:encrypted-parts>
</orasp:request>

C.68 orasp:username-token要素

<orasp:username-token>要素は、SAMLトークンを構成します。

C.68.1 orasp:username-token要素の属性

次の表には、<orasp:username-token>要素の属性がまとめられています。

表C-22 <orasp:username-token>要素の属性

要素の属性" width="100%">

属性

説明

add-created

ユーザー名トークンの作成にタイム・スタンプが必要かどうかを指定するフラグ。

注意: 「パスワード・タイプ」がdigestに設定されている場合は、この属性をtrueに設定する必要があります。設定しない場合、添付先のポリシーは検証されません。

add-nonce

リプレイ攻撃を防止するためユーザー名にNonceを含める必要があるかどうかを指定するフラグ。

注意: 「パスワード・タイプ」がdigestに設定されている場合は、この属性をtrueに設定する必要があります。設定しない場合、添付先のポリシーは検証されません。

is-encrypted

ユーザー名を暗号化するかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

is-signed

ユーザー名を署名するかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

password-type

必要なパスワードのタイプ。

有効な値は次のとおりです。

- none: パスワードは使用されません。

- plaintext: 暗号化されていない、クリアテキストのパスワード。

- digest: 暗号化されたパスワードをMD5ダイジェストを使用して送信することで、クライアントが自身を認証します。

C.68.2 orasp:username-token要素の例

<orasp:username-token
orasp:add-created="false"
orasp:add-nonce="false"
orasp:is-encrypted="true"
orasp:is-signed="true"
orasp:password-type="plaintext"/>

C.69 orasp:x509-token要素

<orasp:x509-token>要素は、X.509デジタル証明書を定義します。

C.69.1 orasp:x509-token要素の属性

次の表には、<orasp:x509-token>要素の属性がまとめられています。

表C-23 <orasp:x509-token>要素の属性

要素の属性" width="100%">

属性

説明

sign-key-ref-mech

リクエストの署名に使用できるメカニズム。

有効な値は次のとおりです。

- direct: リクエストに含まれるX.509トークン。

- ski: 証明書の参照に使用されるX.509証明書のサブジェクト・キー識別子(SKI)の拡張子の値。(一部の証明書にはこの拡張子がありません。)メッセージの受信者は、SKIに対応する証明書のキーストアを調査し、それに対して署名を検証します。

- issuerserial: 発行者名およびX.509証明書の参照に使用されるシリアル番号属性のコンポジット・キー。メッセージの受信者は、発行者名およびシリアル番号に対応する証明書のキーストアを調査し、それに対して署名を検証します。

- thumbprint: 証明書のコンテンツのメッセージ・ダイジェスト(SHA1ハッシュ)。証明書を格納する、オーバーヘッドの少ない方法を提供します。この値は、「暗号化鍵参照メカニズム」(後述)に対してのみ有効です。

enc-key-ref-mech

リクエストの暗号化に使用されるメカニズム。有効な値は、前述の「署名鍵参照メカニズム」と同じです。

rcpt-sign-key-ref-mech

受信の署名に使用できるメカニズム。有効な値は、前述の「署名鍵参照メカニズム」と同じです。

rcpt-enc-key-ref-mech

受信の暗号化に使用されるメカニズム。有効な値は、前述の「署名鍵参照メカニズム」と同じです。

is-encrypted

アサーションを暗号化するかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

is-signed

アサーションを署名するかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

use-pkipath

X509PKIPathV1トークンを処理して伝播する必要があるかどうかを指定するフラグ。有効な値はtrueまたはfalseです。

C.69.2 orasp:x509-token要素の例

<orasp:x509-token orasp:enc-key-ref-mech="thumbprint"
orasp:is-encrypted="false" orasp:is-signed="true"
orasp:sign-key-ref-mech="direct" orasp:use-pkipath="false"/>

C.70 orawsp:Description要素

<oraswsp:Description>要素は、プロパティの説明を定義します。

C.70.1 orawsp:Description要素の例

<orawsp:Description>Valid IP Values</orawsp:Description>

D Webサービスのポリシー・セットのスキーマ参照

この付録では、ポリシー・セット・ファイルを作成するときに参照するXMLスキーマについて説明します。

次の図は、ポリシー・セット・ドキュメントの要素階層を示しています。

図D-1 ポリシー・セットの要素階層

この付録の内容は次のとおりです。

- policySet要素

- wsp:policyReference要素

- orawsp:OverrideProperty要素

D.1 policySet要素

ポリシー・セットは、バインディング・タイプまたは実装タイプに適用する具体的なポリシーのセットを定義する際に使用されます。

物理的には、ポリシー・セットは、図D-1に示されている疑似スキーマを使用するXML要素として表されます。

policySet要素の属性

次の項には、Oracle拡張機能を含むポリシー・セット属性がまとめられています。

表D-1 ポリシー・セット要素の属性

属性

説明

名前

ポリシー・セットの名前。

appliesTo

ポリシー・セットの適用先である要素を識別する、サポートされている表現。この属性には、有効とみなされる値を指定する必要があります。

attachTo

ポリシー・セットのアタッチ先である要素を識別する、サポートされている表現。この属性には、有効とみなされる値を指定する必要があります。

description

ポリシー・セットの説明。ユーザー・インタフェースにポリシー・セットが表示される場合、この名前が使用されます。

status

ポリシー・セットが使用できるかどうかを示します。enabled (デフォルト)に設定されている場合、ポリシー・セットは正常に処理されます。disabledに設定されている場合、ポリシー・セットは処理の際に無視されます。

ポリシー・セットをリポジトリに書き込んでいるときに検証に失敗すると、この属性は自動的にdisabledに設定されます。

constraint

ポリシー・セットの適用先であるランタイム・コンテキストを識別する、サポートされている表現。この属性が指定されていない場合、ポリシー・セットはすべてのランタイム・コンテキストに適用されます。

D.2 wsp:policyReference要素

ポリシー・セットを1つ以上のポリシーに関連付けるには、wsp:policyReference要素を使用します。

この要素はorawsp:OverrideProperty要素に含まれています。

wsp:policyReference要素の属性

次の表に、<wsp:policyReference>要素の属性の概要を示します。

表D-2 <wsp:policyReference>要素の属性

要素の属性" width="100%">

属性

説明

URI

ポリシー・セットに関連付けられるOWSMポリシーURI。

category

ポリシーのカテゴリ。有効な値は、security、mtom、wsrm、addressing、managementです。

status

ポリシー参照のステータス。有効な値は、enabledおよびdisabledです。

policySet Elementの例

次の例は、base_domainという名前のドメインで、CRMという文字列で始まる名前を持つアプリケーションの、SCA以外のすべてのWebサービスにユーザー名トークン・ポリシーをアタッチする、サンプルのポリシー・セットを示しています。

<policySet name="non_sca_web_service_policyset"
appliesTo="WS_Service()"
attachTo="Domain('base_domain') and Application('CRM*')"
orawsp:description="Default policy for a non-SCA web service"
orawsp:status="enabled"
xmlns="http://docs.oasis-open.org/ns/opensca/sca/200903"
xmlns:orawsp="http://schemas.oracle.com/ws/2006/01/policy"
xmlns:wsp="http://www.w3.org/ns/ws-policy">
<wsp:PolicyReference
wsp:URI="oracle/wss_username_token_service_policy"
orawsp:category="security"
orawsp:status="enabled" />
</policySet>

D.3 orawsp:OverrideProperty要素

ポリシー・セット内のポリシー・アタッチメントに関連する構成オーバーライドを指定するには、<orawsp:OverrideProperty>要素を使用します。

orawsp:OverrideProperty要素の例

<orawsp:OverrideProperty name="csf-key" value="orakey" />

E Oracle Virtual Assembly Builder用のOracle Web Services Managerイントロスペクション・プラグイン

この付録では、Oracle Virtual Assembly Builder用のOracle Web Services Manager (OWSM)イントロスペクション・プラグインについて説明します。

次のトピックが含まれています:

- Oracle Virtual Assembly Builder用のOWSMイントロスペクション・プラグインについて

- OWSMイントロスペクション・プラグインの理解

E.1 Oracle Virtual Assembly Builder用のOWSMイントロスペクション・プラグインについて

Oracle Virtual Assembly Builderは、インストールされたOracleコンポーネントを仮想化して変更した後、Oracle VM環境にデプロイするためのツールです。

Oracle Virtual Assembly Builderを使用すると、ソフトウェア・アプライアンスと呼ばれるアーティファクト内の既存のソフトウェア・コンポーネントの構成を取得できます。その後、アプライアンスをグループ化して、その関係をソフトウェア・アセンブリ,と呼ばれるアーティファクトに定義できます。アセンブリは、完全な複数層アプリケーション・トポロジを記述するブループリントを提供します。

『Oracle WebLogic Serverサーバー環境の管理』のOracle Virtual Assembly Builder用のプラグインの使用に関する項で説明されているように、Oracle Virtual Assembly Builder用のOWSMイントロスペクション拡張機能では、Oracle WebLogic Serverイントロスペクタの機能が拡張されます。このプラグインでは、WebLogicドメインの一部として構成されているOWSM固有のアーティファクトの構成が検査されます。

OWSMイントロスペクション・プラグイン拡張機能は、Oracle WebLogic Server 12cバージョン12.1.2.0と連携して機能します。

E.2 OWSMイントロスペクション・プラグインの理解

OWSMイントロスペクション・プラグインの使用方法について説明します。

次のトピックが含まれています:

- OWSMイントロスペクション・プラグインのパラメータ

- OWSMイントロスペクション・プラグイン参照システムの前提条件

- OWSMイントロスペクション・プラグインの使用要件

- OWSMイントロスペクション・プラグインの結果のアーティファクト・タイプ

- OWSMイントロスペクション・プラグインのワイヤリング

- OWSMイントロスペクション・プラグインのワイヤリング・プロパティ

- OWSMイントロスペクション・プラグインのアプライアンス・プロパティ

- OWSMイントロスペクション・プラグインでサポートされるテンプレート・タイプ

E.2.1 OWSMイントロスペクション・プラグインのパラメータ

Oracle Virtual Assembly Builderでは、OWSMイントロスペクション・プラグインのパラメータを使用して、イントロスペクションの前に更新が確認されます。

表E-1は、OWSMイントロスペクション・プラグインのパラメータを示しています。WebLogic Serverに必要なパラメータの詳細は、『Oracle WebLogic Serverサーバー環境の管理』のイントロスペクション・プラグインのパラメータに関する項を参照してください。

表E-1 OWSMイントロスペクション・プラグインのパラメータ

パラメータ

説明

oracleCommonHome

Oracle共通ホーム・ディレクトリの場所。

このパラメータは省略可能です。指定した場合、イントロスペクションの前に、Oracle Virtual Assembly Builderによって、OWSMプラグインに対する更新がないかどうか確認されます。指定しないと、イントロスペクションの前にOracle Virtual Assembly Builderで更新が確認されることはありません。

E.2.2 OWSMイントロスペクション・プラグイン参照システムの前提条件

Oracle WebLogic Serverで定義するもの以外に追加の前提条件はありません。

Oracle WebLogic Serverに必要な前提条件については、Oracle WebLogic Serverサーバー環境の管理の参照システムの前提条件に関する項を参照してください。

E.2.3 OWSMイントロスペクション・プラグインの使用要件

Oracle WebLogic Serverで定義されている以外に、OWSMの追加使用要件はありません。

Oracle WebLogic Serverの要件については、Oracle WebLogic Serverサーバー環境の管理のプラグイン使用要件に関する項を参照してください。表E-2では、OWSMイントロスペクション・プラグインの使用でサポートされているトポロジを示し、説明しています。

注意:

キーストアや資格証明ストアなどの、有効なデータに必要なセキュリティ・アーティファクトは、すでに存在しているか、またはリハイドレーション後手順として手動で作成する必要があります。

表E-2 OWSMイントロスペクション・プラグインでサポートされているトポロジ

トポロジ

説明

単一ドメイン・トポロジ

イントロスペクション・プラグインは、ドキュメント・リポジトリ(MDS)およびドメイン構成ディレクトリ(wsm-config.xml)に格納されているアーティファクトを取得します。ソース環境でアーティファクトが変更された場合、それに対応するユーザー・プロパティが、イントロスペクション・プラグインで生成されるアセンブリに追加されます。

複数ドメイン・トポロジ

同じポリシー・リポジトリ(MDS)に複数のドメインがデータを格納できます。OWSMポリシー・マネージャ・アプリケーションが各ドメインにインストールされており、同一のMDSを共有します。複数ドメイン・トポロジをサポートするには、いずれかのドメインがイントロスペクトまたはリハイドレートされる際にすべてのドメインのMDSデータを移動します。

異種サービスのセキュリティ・トポロジ

OWSMポリシー・マネージャ・アプリケーションは、異種ドメイン間で使用されます。OWSMポリシー・マネージャ・アプリケーションは、WebLogic Serverドメインおよびそれに接続する他のドメインにデプロイされます。OWSMポリシー・マネージャ・アプリケーションがインストールされているドメインがイントロスペクトされた場合、すべてのドメイン構成およびブートストラップ構成のMDSに格納されているアーティファクトが取得されます。他の異種ドメインの場合は、ブートストラップ構成を手動で更新できます。

E.2.4 OWSMイントロスペクション・プラグインの結果のアーティファクト・タイプ

OWSMプラグインで、結果のアーティファクトまたはアセンブリが作成されることはありません。

アセンブリはOracle WebLogic Serverプラグインで作成され、OWSMプラグインはルート・アセンブリにプロパティを追加するのみです。詳細は、『Oracle WebLogic Serverサーバー環境の管理』の結果のアーティファクト・タイプに関する項を参照してください。

E.2.5 OWSMイントロスペクション・プラグインのワイヤリング

Oracle WebLogic Serverプラグインで提供されるもの以外の接続はサポートされていません。

詳細は、『Oracle WebLogic Serverサーバー環境の管理』のワイヤリングに関する項を参照してください。

E.2.6 OWSMイントロスペクション・プラグインのワイヤリング・プロパティ

Oracle WebLogic Serverプラグインで提供されるもの以外の接続プロパティはサポートされていません。

E.2.7 OWSMイントロスペクション・プラグインのアプライアンス・プロパティ

OWSMアプライアンスのシステムおよびユーザー・プロパティの詳細を説明します。

次の表に、OWSMアプライアンスのプロパティを示します。

注意:

イントロスペクトされたドメインについて変更されていないユーザー・プロパティは、アセンブリに追加されません。

表E-3は、OWSMシステム・プロパティを示しています。

注意:

システム・プロパティは編集不可です。

表E-3 OWSMシステム・プロパティ

名前

タイプ

必須

デフォルト

説明

oracle.common.home

文字列

false

なし

再構成時のOracle共通ホームの場所。

表E-4は、次のsts-trust-configポリシー・アサーションのOWSMユーザー・プロパティを示しています。

- oracle/sts_trust_config_client_template

- oracle/sts_trust_config_service_template

表E-4 OWSMアプライアンスのユーザー・プロパティ - STS信頼

名前

タイプ

必須

デフォルト

Assembly Builderでの表示名

説明

port-uri

文字列

false

なし

policyname.port-uri

サービス・ポートURL。

wsdl-uri

文字列

false

なし

policyname.wsdl-uri

サービスWSDL URL。

表E-5は、次のような、kerberos-security、wss11-kerberos-over-ssl-securityまたはspnego-http-securityポリシー・アサーションのOWSMユーザー・プロパティを示しています。

- oracle/wss11_kerberos_token_client_template

- oracle/wss11_kerberos_token_service_template

- oracle/wss11_kerberos_token_with_message_protection_client_template

- oracle/wss11_kerberos_token_with_message_protection_service_template

- oracle/http_spnego_token_client_template

- oracle/wss11_kerberos_token_over_ssl_client_template

表E-5 OWSMユーザー・プロパティ - KerberosおよびSPNEGO

名前

タイプ

必須

デフォルト

Assembly Builderでの表示名

説明

caller.principal.name

文字列

false

なし

policyname.caller.principal.name

caller.principal.nameを参照してください。

keytab.location

文字列

false

なし

policyname.keytab.location

keytab.locationを参照してください。

service.principal.name

文字列

false

なし

policyname.service.principal.name

service.principal.nameを参照してください。

表E-6は、次のwss11-sts-issued-token-with-certificatesポリシー・アサーションのOWSMアプライアンス・ユーザー・プロパティを示しています。

- oracle/wss11_sts_issued_saml_hok_with_message_protection_client_template

- oracle/wss11_sts_issued_saml_hok_with_message_protection_service_template

表E-6 OWSMユーザー・プロパティ - wss11-sts-issued-token-with-certificates

名前

タイプ

必須

デフォルト

Assembly Builderでの表示名

説明

sts.auth.caller.principal.name

文字列

false

なし

policyname.sts.auth.caller.principal.name

sts.auth.caller.principal.nameを参照してください。

sts.auth.keytab.location

文字列

false

なし

policyname.sts.auth.keytab.location

sts.auth.keytab.locationを参照してください。

sts.auth.service.principal.name

文字列

false

なし

policyname.sts.auth.service.principal.name

sts.auth.service.principal.nameを参照してください。

OWSMでは、ドメインの構成をオーバーライドするために、そのドメインに構成ドキュメントを作成できます。これらのドキュメントには、ターゲット環境で変わる可能性のあるプロパティが含まれます。詳細は、Oracle Web Services Managerのドメイン構成の管理を参照してください。

OWSMのインストール時にブートストラップ・プロパティを指定した場合、OWSMエージェント・インスタンスは、そのブートストラップ接続情報(fmwconfigディレクトリのwsm-config.xmlファイルにある)を使用して、OWSMポリシー・マネージャに接続します。詳細は、Oracle Web Services Managerのドメイン構成の管理を参照してください。

表E-7は、ブートストラップ構成のOWSMユーザー・プロパティを示しています。

表E-7 OWSMアプライアンスのユーザー・プロパティ - ブートストラップ構成

名前

タイプ

必須

デフォルト

Assembly Builderでの表示名

説明

keystore.path

文字列

false

なし

bootstrap.ssl.keystore

Configuration Managerのキーストアの場所。詳細は、Oracle Web Services Managerのドメイン構成の管理を参照してください。

pm.url

文字列

false

なし

bootstrap.pm.url

Configuration ManagerのPM URL。形式はhttp://hostname:portです。詳細は、「Oracle Web Services Managerのドメイン構成の管理」を参照してください。

truststore.path

文字列

false

なし

booostrap.ssl.truststore

Configuration Managerのトラスト・ストアの場所。詳細は、Oracle Web Services Managerのドメイン構成の管理を参照してください。

E.2.8 OWSMイントロスペクション・プラグインでサポートされるテンプレート・タイプ

OWSMイントロスペクション・プラグインでサポートされるテンプレート・タイプは、Oracle Enterprise Linux (OEL)です。

Oracleの法律上の注意点

コピーライト

Copyright © 1994-2017, Oracle and/or its affiliates. All rights reserved.

ライセンス制約の保証と結果的に生じる損害の免責

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

保証免責

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクルまでご連絡ください。

制限付権利について

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

危険な用途への使用について

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、Oracle Corporationおよびその関連会社は一切の責任を負いかねます。

商標と登録商標について

OracleおよびJavaはオラクルおよびその関連会社の登録商標です。その他の社名、商品名等は各社の商標または登録商標である場合があります。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

第三者のコンテンツ、製品、サービスに対する免責事項

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。適用されるお客様とOracle Corporationとの間の契約に別段の定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。適用されるお客様とOracle Corporationとの間の契約に定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

Pre-General Availability (一般提供前)版のドキュメントについて

このドキュメントがPre-General Availability (一般提供前)版の場合:

このドキュメントはPre-General Availability (一般提供前)版であり、デモおよび暫定使用のみを目的としたものです。このソフトウェアを使用するハードウェアに限定するものではありません。Oracle Corporationおよびその関連会社は、このドキュメントに関して一切の責任を負わず、いかなる保証もいたしません。また、このドキュメントを使用したことによって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

非公開のPre-General Availability (一般提供前)版のドキュメントについて

このドキュメントが非公開のPre-General Availability (一般提供前)版の場合:

このドキュメントに含まれる情報は、情報の共有のみを目的としたものであって、顧客諮問委員会(Customer Advisory Board)のメンバーとしてのお客様の立場でのみ、またはお客様のPre-General Availability Trial Agreement (Pre-GAトライアル契約)のみに従って検討されるべきものとします。マテリアル、コード、または機能の提供をお約束するものではなく、購入決定を行う際の判断材料とすべきではありません。このドキュメントに記載されている特徴または機能の開発、リリースおよび時期については、オラクルの裁量により決定されます。

このドキュメントには、ソフトウェアまたは印刷物などの形式を問わず、オラクルが独占的な権利を有する財産的情報が含まれています。この機密資料へのアクセスと使用は、お客様とオラクルとの間で締結され、お客様が遵守に同意した、Oracle Master Agreement、Oracle License and Oracle Services Agreement (オラクル・ライセンスおよびサービスに関する契約書)、Oracle Partner Network Agreement、Oracle Distribution Agreementまたはその他のライセンス契約の条件に従うものとします。このドキュメントとその内容の開示、コピー、複製および配布には、オラクルによる事前の承諾を必要とします。このドキュメントはライセンス契約の一部となるものではなく、オラクルおよびその子会社や関連会社との契約を構成するものではありません。

ドキュメントのアクセシビリティ

オラクルのアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWebサイト(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc)を参照してください。

Oracle Supportへのアクセス

サポートをご契約のお客様には、My Oracle Supportを通して電子支援サービスを提供しています。詳細情報は(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info)か、聴覚に障害のあるお客様は(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs)を参照してください。