1. Oracle Advanced AuthenticationおよびOracle Adaptive Risk Managementの管理
  2. Oracle Advanced Authenticationの管理
  3. Oracle Advanced Authenticationの構成
  4. OAAの構成プロパティ

11.9 OAAの構成プロパティ

OAAには、チャレンジ・ファクタおよびその他の設定のプロパティを構成するためのREST APIが用意されています。

OAAの構成プロパティ

<PolicyUrl>/policy/config/property/v1 REST APIを使用して、プロパティを構成します。

ノート:

この場合は、<PolicyUrl>から/oaa-policyを削除します。たとえば、https://<host>:<port>/oaa-policy/policy/config/property/v1ではなくhttps://<host>:<port>/policy/config/property/v1を使用します

PolicyUrlの検索および認証の詳細は、「OAA管理API」を参照してください。

構成プロパティRESTエンドポイントの詳細は、「構成プロパティRESTエンドポイント」を参照してください。

表11-2 OAAの構成プロパティ

プロパティ名 デフォルト値 説明
bharosa.uio.default.all.factor.challengecounter.expiryTime 1800000 ファクタのチャレンジ・カウンタ・ロックの有効期限。これは、最大再試行失敗数が原因でチャレンジがロックされた後、ユーザーがチャレンジを使用できない状態のままになる期間です。
bharosa.uio.default.all.factor.retry.count 10 ファクタのチャレンジの最大失敗再試行回数。この数を超えると、チャレンジはロックされます。
bharosa.uio.default.challenge.type.enum.ChallengeEmail.appName OAA アプリケーションの名前。
bharosa.uio.default.challenge.type.enum.ChallengeEmail.challengeText {0}に送信されたOTPを入力します。 エンドユーザーのチャレンジ・ページにワンタイムPIN (OTP)の入力を求めるメッセージ。
bharosa.uio.default.challenge.type.enum.ChallengeEmail.fromAddress oaa@oracle.com 電子メール送信エンティティの電子メール・アドレス。
bharosa.uio.default.challenge.type.enum.ChallengeEmail.fromName OAA 送信元電子メール送信エンティティの名前。
bharosa.uio.default.challenge.type.enum.ChallengeEmail.msgIPTemplate IPアドレス: メッセージIPアドレスを表示する電子メール・テンプレートの一部
bharosa.uio.default.challenge.type.enum.ChallengeEmail.msgPinTemplate 次のワンタイムPINを使用して、保護されたリソースにログインしてください: ワンタイムPIN (OTP)を表示する電子メール・テンプレートの一部。
bharosa.uio.default.challenge.type.enum.ChallengeEmail.msgResourceURLTemplate リソースURLアクセス: メッセージ・リソースURLを表示する電子メール・テンプレートの一部。
bharosa.uio.default.challenge.type.enum.ChallengeEmail.msgSubject ワンタイムPIN: OAA 電子メール・テンプレートの件名タイトル
bharosa.uio.default.challenge.type.enum.ChallengeEmail.challengeCounterExpiryTime 1800000 チャレンジ・カウンタ・ロックの有効期限。これは、最大再試行失敗数が原因でチャレンジがロックされた後、ユーザーがチャレンジを使用できない状態のままになる期間です。

値を指定しない場合、bharosa.uio.default.all.factor.challengecounter.expiryTimeの値が使用されます(デフォルトは1800000ミリ秒)

。
bharosa.uio.default.challenge.type.enum.ChallengeEmail.retrycount チャレンジの最大失敗再試行回数。この数を超えると、チャレンジはロックされます。

値を指定しない場合、bharosa.uio.default.all.factor.retry.countの値が使用されます(デフォルトは10)。

bharosa.uio.default.challenge.type.enum.ChallengeEmail.msgTimeTemplate アクセス時間: メッセージ時間を表示する電子メール・テンプレートの一部。
bharosa.uio.default.challenge.type.enum.ChallengeEmail.promptmessage {0}にOTPを送信します エンドユーザーのチャレンジ・ページで使用される電子メールを介してワンタイムPIN (OTP)の送信を求めるメッセージ。
bharosa.uio.default.challenge.type.enum.ChallengeEmail.promptselectmessage OTPを受信するアドレスを次の中から1つ選択してください。 エンドユーザーのチャレンジ・ページでワンタイムPIN (OTP)をユーザーに送信するアドレスの選択を求めるメッセージ。
bharosa.uio.default.challenge.type.enum.ChallengeOMATOTP.challengeText デバイス{1}で受信したOTPを入力します エンドユーザーのチャレンジ・ページに時間ベースのワンタイムPIN (OTP)を入力するよう求めるメッセージ。
bharosa.uio.default.challenge.type.enum.ChallengeOMATOTP.promptselectmessage 次のチャネルのいずれかを選択してください エンドユーザーのチャレンジ・ページでユーザーに時間ベースのワンタイムPIN (OTP)を送信するチャネルの選択を求めるメッセージ。
bharosa.uio.default.challenge.type.enum.ChallengeOMATOTP.challengeCounterExpiryTime 1800000 チャレンジ・カウンタ・ロックの有効期限。これは、最大再試行失敗数が原因でチャレンジがロックされた後、ユーザーがチャレンジを使用できない状態のままになる期間です。

値を指定しない場合、bharosa.uio.default.all.factor.challengecounter.expiryTimeの値が使用されます(デフォルトは1800000ミリ秒)

bharosa.uio.default.challenge.type.enum.ChallengeOMATOTP.retrycount チャレンジの最大失敗再試行回数。この数を超えると、チャレンジはロックされます。

値を指定しない場合、bharosa.uio.default.all.factor.retry.countに指定された値が使用されます(デフォルトは10)。

bharosa.uio.default.challenge.type.enum.ChallengeOMATOTP.registration.showSecretKeyText true Oracle Mobile Authenticator、Google AuthenticatorまたはMicrosoft Authenticatorで使用するために、秘密キーをセルフサービス・ポータルに表示します。値がfalseに設定されている場合、秘密キーは表示されません。
bharosa.uio.default.challenge.type.enum.ChallengeOMATOTP.registration.showQrcode true Oracle Mobile Authenticator、Google AuthenticatorまたはMicrosoft Authenticatorで使用するために、セルフサービス・ポータルにQRコードを表示します。値がfalseに設定されている場合、QRコードは表示されません。
bharosa.uio.default.challenge.type.enum.ChallengeOMATOTP.keyExpiryEnabled false 秘密キーの有効期限が有効であるかどうかを示すブール値。有効にすると、チャレンジ・フロー中に時間ベースのワンタイム・パスコード(TOTP)秘密キーの有効期限がチェックされます。キーの期限が切れている場合、チャレンジ・フローは失敗し、キーは削除されます。キーの期限が切れていない場合、チャレンジ・フローは通常どおり続行されます。
bharosa.uio.default.challenge.type.enum.ChallengeOMATOTP.keyExpiryTimeMinutes 60 キーの有効期限(分)を指定します。これは正の整数にする必要があります。
bharosa.uio.default.challenge.type.enum.ChallengeOMATOTP.registration.otpexpirytimeMs 300000 時間ベースのワンタイム・パスコード(TOTP)で生成された登録URLのタイムアウトをミリ秒単位で指定します。
bharosa.uio.default.challenge.type.enum.ChallengeOMATOTP.registration.oma.config oraclemobileauthenticator://settings?ServiceName::=%deviceName%&ServiceType::=SharedSecret&SharedSecretAuthServerType::=HTTPBasicAuthentication&LoginURL::=%totpRegistrationEndpoint%/oaa/rui/totpPreferences/v1

ノート: totpRegistrationEndpointの値が指定されていない場合、その値はkubernetesクラスタ/ポッド設定に基づいて計算されます。

 
database.cache.type.enum.factor.expiryTime 値はbharosa.uio.default.challenge.type.enum.ChallengeOMATOTP.registration.otpexpirytimeMs以上である必要があります。

指定しない場合、デフォルト値は600秒です。

キャッシュ・タイムアウトを秒単位で指定します。
bharosa.uio.default.challenge.type.enum.ChallengeSMS.challengeCounterExpiryTime 1800000 チャレンジ・カウンタ・ロックの有効期限。これは、最大再試行失敗数が原因でチャレンジがロックされた後、ユーザーがチャレンジを使用できない状態のままになる期間です。

値を指定しない場合、bharosa.uio.default.all.factor.challengecounter.expiryTimeの値が使用されます(デフォルトは1800000ミリ秒)

bharosa.uio.default.challenge.type.enum.ChallengeSMS.retrycount チャレンジの最大失敗再試行回数。この数を超えると、チャレンジはロックされます。

値を指定しない場合、bharosa.uio.default.all.factor.retry.countに指定された値が使用されます(デフォルトは10)。

bharosa.uio.default.challenge.type.enum.ChallengeSMS.appName OAA アプリケーションの名前。
bharosa.uio.default.challenge.type.enum.ChallengeSMS.challengeText {0}に送信されたOTPを入力します。 エンドユーザーのチャレンジ・ページにワンタイムPIN (OTP)の入力を求めるメッセージ。
bharosa.uio.default.challenge.type.enum.ChallengeSMS.fromAddress oaa@oracle.com SMS送信エンティティの携帯電話番号。
bharosa.uio.default.challenge.type.enum.ChallengeSMS.fromName OAA 送信元SMS送信エンティティの名前。
bharosa.uio.default.challenge.type.enum.ChallengeSMS.msgIPTemplate IPアドレス: メッセージIPアドレスを表示するSMSテンプレートの一部。
bharosa.uio.default.challenge.type.enum.ChallengeSMS.msgPinTemplate 次のワンタイムPINを使用して、保護されたリソースにログインしてください: ワンタイムPIN (OTP)を表示するSMSテンプレートの一部。
bharosa.uio.default.challenge.type.enum.ChallengeSMS.msgResourceURLTemplate リソースURLアクセス: メッセージ・リソースURLを表示するSMSテンプレートの一部。
bharosa.uio.default.challenge.type.enum.ChallengeSMS.msgSubject ワンタイムPIN: OAA SMSテンプレートの件名タイトル
bharosa.uio.default.challenge.type.enum.ChallengeSMS.msgTimeTemplate アクセス時間: メッセージ時間を表示するSMSテンプレートの一部。
bharosa.uio.default.challenge.type.enum.ChallengeSMS.promptmessage 電話{0}にOTPを送信します エンドユーザーのチャレンジ・ページで使用されるSMSを介したワンタイムPIN (OTP)の送信を求めるメッセージ。
bharosa.uio.default.challenge.type.enum.ChallengeSMS.promptselectmessage OTPを受信する番号を次の中から1つ選択してください。 エンドユーザーのチャレンジ・ページでワンタイムPIN (OTP)をユーザーに送信するアドレスの選択を求めるメッセージ。
bharosa.uio.default.challenge.type.enum.ChallengeTOTP.promptmessage 登録済の電話で受信したOTPを入力します エンドユーザーのチャレンジ・ページで使用される時間ベースのワンタイムPIN (OTP)の送信を求めるメッセージ。
bharosa.uio.default.challenge.type.enum.ChallengeYubicoOTP.challengeCounterExpiryTime 1800000 チャレンジ・カウンタ・ロックの有効期限。これは、最大再試行失敗数が原因でチャレンジがロックされた後、ユーザーがチャレンジを使用できない状態のままになる期間です。

値を指定しない場合、bharosa.uio.default.all.factor.challengecounter.expiryTimeの値が使用されます(デフォルトは1800000ミリ秒)

bharosa.uio.default.challenge.type.enum.ChallengeYubicoOTP.retrycount   チャレンジの最大失敗再試行回数。この数を超えると、チャレンジはロックされます。

値を指定しない場合、bharosa.uio.default.all.factor.retry.countに指定された値が使用されます(デフォルトは10)。

bharosa.uio.default.challenge.type.enum.ChallengeFIDO2.challengeCounterExpiryTime 1800000 チャレンジ・カウンタ・ロックの有効期限。これは、最大再試行失敗数が原因でチャレンジがロックされた後、ユーザーがチャレンジを使用できない状態のままになる期間です。

値を指定しない場合、bharosa.uio.default.all.factor.challengecounter.expiryTimeの値が使用されます(デフォルトは1800000ミリ秒)

bharosa.uio.default.challenge.type.enum.ChallengeFIDO2.retrycount   チャレンジの最大失敗再試行回数。この数を超えると、チャレンジはロックされます。

値を指定しない場合、bharosa.uio.default.all.factor.retry.countに指定された値が使用されます(デフォルトは10)。

oracle.security.oaa.kba.challenge.number 1

チャレンジ・フロー中にユーザーが回答を求められるセキュリティ質問の数。これは、セキュリティ質問の登録時にユーザーが回答したアクティブな質問の最大数以下の値に設定する必要があります。

ノート: このプロパティは、次の行で説明されているoracle.security.oaa.kba.challenge.separatorプロパティとともに使用する必要があります。

oracle.security.oaa.kba.challenge.separator | oracle.security.oaa.kba.challenge.numberが1より大きい値に設定されている場合、生成されたチャレンジには、oracle.security.oaa.kba.challenge.separatorの値で区切られた複数のチャレンジが1つの文字列として含まれます。例: What is your name?|What is your age?|What is your birthplace?。

チャレンジへの回答がOAAサーバーに提示されると、レスポンスも同じセパレータで区切られることが予想されます。

デフォルトの値は"|"です。

いずれかの質問または回答に値"|"が含まれる可能性がある場合は、質問または回答に含まれないセパレータを使用するようにこのパラメータを変更する必要があります。

この値をオーバーライドするには、oracle.security.oaa.kba.challenge.separatorを任意の文字または文字の組合せに設定します。

ノート: セパレータを変更すると、処理中のKBA認証に影響を与える可能性があるため、この構成の更新はKBAサービスがオフラインのときに実行してください。

oaa.user.auth.question.authn.counter.enabled true このプロパティがtrueの場合、リスク・カウンタが増分されます。
oaa.user.auth.question.next.seq false このプロパティがfalseで、oaam.kba.questions.randomorderがtrue、かつoracle.security.oaa.kba.challenge.numberが1の場合、ピックリストから選択された質問はランダムになります。それ以外の場合は、ピックリストからの質問が順番にチャレンジされます。
oaam.kba.questions.randomorder false このプロパティがtrueで、oaa.user.auth.question.next.seqがfalse、かつoracle.security.oaa.kba.challenge.numberが1の場合、ピックリストから選択された質問はランダムになります。それ以外の場合は、ピックリストからの質問が順番にチャレンジされます。
bharosa.kba.questions.trim.answers.for.matching true このプロパティをtrueに設定すると、照合前に回答および一致した値が切り捨てられます。
oaa.browser.cookie.domain   OAA-OARMインストールの場合、デバイスCookieを正しく収集するには、これがOAAホスト・ドメインに設定されている必要があります。たとえば、https://oaa.example.comでOAAにアクセスできる場合は、値をoaa.example.comに設定します。
oaa.risk.integration.postauth.cp postauth

OAA保証レベルのデフォルトのリスク保証レベルを定義します。デフォルト値はpostauthで、変更することはできません。

ノート: このプロパティは、OAA-OARM統合に関連しています。

oaa.policy.assurance.level.default.action Challenge

OAA保証レベルに関連付けるデフォルト・アクションを定義します。

ノート: このプロパティは、OAA-OARM統合に関連しています。

profile.type.enum.<AssuranceLevelKey>.riskcheckpoint  

既存の保証レベルに関連付けられたチェックポイント。

ノート: このプロパティは、OAA-OARM統合に関連しています。

profile.type.enum.<AssuranceLevelKey>.defaultaction  

既存の保証レベルに関連付けられたデフォルト・アクション。使用可能な値は、Allow、BlockおよびChallengeです。例: 

[
{
        "name": "profile.type.enum.ChallengeMFA.defaultaction",
        "value": "<Allow/Block/Challenge>",
        "source": "database"
 }
]

ノート: このプロパティは、OAA-OARM統合に関連しています。

rule.action.enum.<actionName>.priority  

アクションの優先度を定義します。整数値または最も高い優先度を示す文字列"max"を指定できます。例: 

[
    {
        "name": "rule.action.enum.Block.priority",
        "value": "max",
        "source": "database"
    }
]

ノート: このプロパティは、OAA-OARM統合に関連しています。

default.all.factor.bypassChallenge.durationInMinutes   ログインが成功した後、ユーザーがチャレンジされなくなる期間を指定します。

ノート: プロパティを負の値に設定すると、この機能を無効にできます。

OUAの構成プロパティ

bharosa.uio.default.challenge.type.enum.ChallengeOMAPUSH.retrycount (<PolicyUrl>エンドポイントを使用する)以外のすべてのプロパティは、<DRSS>/oaa-drss/oua/property/v1 REST APIエンドポイントを使用して設定する必要があります。

ノート:

<DRSS>エンドポイントおよびユーザー名とパスワードの詳細は、「デプロイメントの詳細の出力」を参照してください。

表11-3 OUAの構成プロパティ

プロパティ名 デフォルト値 説明
echo.elapsed.time 2 このプロパティは、到達不可能なデバイスの数を決定するために必要です。デフォルト値'2'は、デバイスがエコー/ハートビートを2時間送信しない場合、到達不可能なデバイスとして認識されることを意味します。
oua.drss.lcm.heartbeatFrequency 1800000 デバイス・ハートビート・コール間の間隔をミリ秒単位で指定します。
oua.drss.lcm.pollingFrequency 43200000 新しいOracle Universal Authenticatorクライアント・ソフトウェア・バージョンをチェックする間隔をミリ秒単位で指定します。
oua.drss.lcm.monitoringFrequency 10000 モニタリング・エージェントがOUADesktopHelperおよびOUAUpgradeAgentプロセスのチェックおよび再起動(必要な場合)に使用する時間頻度をミリ秒単位で指定します。
oua.drss.ssoLoginUrl   OAMエンドポイントの値を指定します。デフォルトでは、この値は設定されず、OAMログインURLがinstallOAA.propertiesのoua.oamRuntimeEndpointに指定された値と異なる場合にのみ設定する必要があります。「Oracle Universal Authenticatorの構成」を参照してください。

サンプル値は<http(s)>://<loginurl_host>:<Port>です。

bharosa.uio.default.challenge.type.enum.ChallengeOMAPUSH.retrycount 10 チャレンジの最大再試行失敗数を指定します。この数を超えると、チャレンジはロックされます。Oracle Universal AuthenticatorでOMAプッシュ通知チャレンジを使用する場合は、この値を50に設定する必要があります。

ユーザー・インタフェースをカスタマイズするための構成プロパティ

OAA管理コンソール、セルフサービス・ポータルおよびランタイムUIのユーザー・インタフェース(UI)をカスタマイズするプロパティを構成するには、「OAAユーザー・インタフェースのカスタマイズ」を参照してください。

ファクタ検証の構成プロパティ

ファクタ検証のプロパティを構成するには、「ファクタ検証の構成」を参照してください。