Oracle Tuxedo のセキュリティ機能

     前  次    新しいウィンドウで目次を開く     
ここから内容の開始

シングル ポイント セキュリティ管理の実装

以下の節では、Tuxedo と WebLogic Server のシングル ポイント セキュリティ管理を実装する方法について Tuxedo の視点から説明します。

注意 : シングル ポイント セキュリティを設定する前に、Tuxedo のセキュリティのアーキテクチャと要件について理解しておく必要があります。この作業は、WebLogic または LDAP の管理者と協調して行います。

 

シングル ポイント セキュリティ管理とは

Tuxedo と WebLogic Server の両方がデプロイされている環境の場合、2 つのセキュリティ情報セットを管理する必要があります。シングル ポイント セキュリティ管理では、Tuxedo からユーザ情報とグループ情報を削除し、WebLogic Server セキュリティを活用してセキュリティ データベースを管理できます。セキュリティ データベースとして WebLogic Server を使用することで、Tuxedo ユーザを認証できます。

注意 : Tuxedo ACL 情報は引き続き Tuxedo に存在し、現時点では WebLogic Server 7.0 には統合されていません。
注意 : UBBCONFIG ファイルの RESOURCES セクションに SECURITY=ACL または SECURITY=MANDATORY_ACL を指定する場合、Tuxedo に tpgrp および tpacl ファイルを保持し続ける必要があります。

シングル ポイント セキュリティ管理機能は、拡張された WebLogic Server 7.0 セキュリティと LDAP を活用してシングル ポイント セキュリティ管理を実現します。ユーザ セキュリティ情報は WebLogic Server 組み込み LDAP サーバに保持し、WebLogic Server Console を使用して単一のシステムから管理できます。シングル ポイント セキュリティを有効にするには、UBBCONFIG ファイルを変更する必要があります。

シングル ポイント セキュリティ管理のタスク

シングル ポイント セキュリティを設定するには、Tuxedo セキュリティ情報を WebLogic Server 組み込み LDAP サーバに提供する必要があります。この作業では、Tuxedo ユーザ (UID) およびグループ (GID) 情報を WebLogic Server LDAP サーバに移行または設定して、認証を正常に実行できるようにします。Tuxedo の UID および GID 値を WebLogic Server に提供するには、tpmigldap ユーティリティを使用するか、テキスト エディタで tpusr ファイルを手動で変更するか、または WebLogic Administration Console でユーザ情報を入力します。

注意 : セキュリティ データベースの設定後に 1 人または複数のユーザを追加する場合は、WebLogic Administration Console が便利です。効率と時間管理の面では、一般に tpmigldap ユーティリティまたは tpusr ファイルの方が適しています。

シングル ポイント セキュリティ管理には、次のタスクが含まれます。

関連項目

 

LAUTHSVR の認証サーバとしての設定

LAUTHSVR は System /T サーバで、ユーザ セキュリティ情報が WebLogic Server に保持されている場合でも認証サービスを提供します。シングル セキュリティ管理機能を有効にするには、LAUTHSVR を認証サーバとしてコンフィグレーションする必要があります。実行時に、LAUTHSVR は WebLogic Server 組み込み LDAP サーバからユーザ情報を取得してユーザを認証します。認証が成功した場合は appkey がユーザに返されますが、それ以外の場合は失敗となります。

注意 : Tuxedo 10 以降では、より一般的な GAUTHSVR という認証サーバを使用して WebLogic 認証をコンフィグレーションできます。GAUTHSVR は、LAUTHSVR と共存させることも、LAUTHSVR の代わりとして使用することも可能です。
注意 : GAUTHSVR の詳細については、「GAUTHSVR の認証サーバとしての設定」、および『Oracle Tuxedo のファイル形式とデータ記述方法』の「GAUTHSVR(5)」を参照してください。

LAUTHSVR を認証サーバとして定義するには、UBBCONFIG ファイルで次のパラメータを定義する必要があります。

LAUTHSVR コマンドライン インタフェース

LAUTHSVR は Tuxedo 用の LDAP ベースの認証サーバです。このサーバでは、コンフィグレーション ファイルが必要になります (デフォルトでは $TUXDIR/udataobj/tpldap)。独自の LAUTHSVR コンフィグレーション ファイルを作成することも、製品に付属のデフォルトの tpldap ファイルを使用することもできます。

LAUTHSVR のコマンドライン インタフェースの構文は次のとおりです。

-f full_pathname

LAUTHSVR コンフィグレーション ファイルの絶対パス名を指定します。
注意 : -f オプションを省略した場合、デフォルトの LAUTHSVR コンフィグレーション ファイル tpldap が使用されます。

次の例の場合、LAUTHSVR は $TUXDIR/udataobj ディレクトリにあるデフォルトのコンフィグレーション ファイル tpldap を使用します。 

LAUTHSVR SRVGRP=GROUP1 SRVID=2 CLOPT=”-A-”

次の例の場合、LAUTHSVR は /home/tuxedo/bankapp ディレクトリにある myauthsvr.conf コンフィグレーション ファイルを使用します。 

LAUTHSVR SRVGRP=GROUP1 SRVID=2 
	CLOPT=”-A-- -f/home/tuxedo/bankapp/myauthsvr.conf”

LAUTHSVR コンフィグレーション ファイルの設定

LAUTHSVR は、バインド DN やバインド DN 用の非暗号化パスワードなどの情報が記述された入力コンフィグレーション ファイルをサポートしています。このコンフィグレーション ファイルはテキスト ファイルであり、任意のテキスト エディタで編集できるため、ファイル パーミッションを採用するシステムで保護する必要があります。デフォルトのコンフィグレーション ファイル tpldap は $TUXDIR/udataobj ディレクトリに格納されています。このファイルは、LAUTHSVR のコマンドライン インタフェースで上書きできます。LAUTHSVR コンフィグレーション ファイルには、表 4-1 に示すキーワードと値のペアが記述されています。

LAUTHSVR コンフィグレーション ファイルの構文要件

通常、LAUTHSVR コンフィグレーション ファイルの値はデフォルトのままで十分ですが、別名でコンフィグレーションすることもできます。このため、LAUTHSVR コンフィグレーション ファイルに対する次の要件に注意する必要があります。

LAUTHSVR コンフィグレーション ファイルのキーワード

次の表は、LAUTHSVR コンフィグレーション ファイルのキーワードを定義したものです。

注意 : LAUTHSVR コンフィグレーション ファイルの中で唯一の必須キーワードは、バインド DN のパスワードを指定する PASSWORD です。これ以外のキーワードはすべてオプションです。

表 4-1 LAUTHSVR コンフィグレーション ファイルのキーワード
キーワード
値型
説明 
FILE_VERSION
数値
コンフィグレーション ファイルのバージョン。これは常に 1 にする必要があります。デフォルトは 1 です。 
LDAP_VERSION
数値
LDAP プロトコルのバージョン。有効な値は 2 または 3 です。デフォルトは 3 です。 
BINDDN
文字列
LDAP サーバにバインドするための DN (通常は LDAP 管理者の DN)。デフォルトは「cn=admin」です。 
BASE
文字列
LDAP 検索ベースデフォルトは「ou=people, ou=myrealm, dc=mydomain」です。myrealm はセキュリティ レルムの名前で、mydomain は WebLogic Server ドメインの名前です。 
UID
文字列
WebLogic Server と Tuxedo にログオンするためのユーザ ID 属性。デフォルトは uid です。 
PASSWORD
文字列
バインド DN のパスワード。これは必須のキーワードであり、プレーン テキスト形式のパスワードです。 
LDAP_ADDR
文字列
WebLogic のホスト名とポートのカンマ区切りリスト。構文は [//]hostname[:port][,[//]hostname[:port]...] です。ポートのデフォルト値は 7001 です。LDAP_ADDR を指定しない場合、LAUTHSVR は localhost:7001 が LDAP サーバに接続する場所であると見なします。
複数のネットワーク アドレスの指定については、「複数のネットワーク アドレスの使用による可用性の向上」を参照してください。 
EXPIRE
数値
ローカル プロセス メモリ内のキャッシュされたエントリを使用できる秒数を表す数値。0 以外の値を指定すると、キャッシュが有効になります。0 を指定するとキャッシュは行われません。デフォルト値はゼロです。
キャッシュの詳細については、「複数のネットワーク アドレスの使用による可用性の向上」を参照してください。 
SRCH_ORDER
文字列
有効値は LDAP または LOCAL、またはカンマで区切った両方の値です。LOCAL を指定した場合、検索順序では tpusr ファイルが使用されます。デフォルトは LDAP です。
データベース検索順序の詳細については、「データベース検索順序のコンフィグレーション」を参照してください。 
LOCAL_FILE
文字列
LOCAL 検索順序が有効にされている場合に使用される tpusr ファイルの絶対パス名。デフォルト値は $APPDIR/tpusr です。
データベース検索順序の詳細については、「データベース検索順序のコンフィグレーション」を参照してください。

注意 : デフォルトの $APPDIR/tpusr 以外のディレクトリ パスが指定されている場合、Tuxedo MIB または tpusradd コマンドライン ユーティリティでこのファイルを生成する必要があります。このようにしない場合、認証が失敗する場合があります。

 
WLS_DOMAIN
文字列
WebLogic Server ドメイン名。デフォルト値は mydomain です。 
WLS_REALM
文字列
WebLogic Server セキュリティ レルム名。デフォルトは myrealm です。 
ADM_GROUP
文字列
WebLogic Server 管理者グループ名。デフォルトは Administrators です。 
OP_GROUP
文字列
WebLogic Server オペレータ グループ名。デフォルトは Operators です。 
TUX_UID_KW
文字列
Tuxedo ユーザ ID を識別するために使用されるキーワード。デフォルトは TUXEDO_UID です。 
TUX_GID_KW
文字列
Tuxedo グループ ID を識別するために使用されるキーワード。デフォルトは TUXEDO_GID です。

LAUTHSVR コンフィグレーション ファイルのサンプル

コード リスト 4-1 に、LAUTHSVR コンフィグレーション ファイルのサンプルを示します。

コード リスト 4-1 LAUTHSVR コンフィグレーション ファイルのサンプル 
#
# Tuxedo LDAP 認証サーバのコンフィグレーション ファイル。
#
# 作成日: 2002 年 5 月 26 日 15:36:59
#
FILE_VERSION			1
LDAP_VERSION			3
BINDDN			cn=Admin
BASE			ou=people,ou=myrealm,dc=mydomain
UID			uid
PASSWORD			secret
LDAP_ADDR			//PLUTO:7001,//Saturn:7001
EXPIRE			0
SRCH_ORDER			LDAP
WLS_DOMAIN			mydomain
WLS_REALM			myrealm
ADM_GROUP			Administrators
OP_GROUP			Operators
TUX_UID_KW			TUXEDO_UID
TUX_GID_KW			TUXEDO_GID
# ファイルの終わり
警告 : LDAP 管理者の PASSWORD はプレーン テキストであるため、システム管理者はこのファイルを適切なアクセス パーミッションで保護する必要があります。

LAUTHSVR を使用した UBBCONFIG のサンプル

コード リスト 4-2 に、SECURITY が ACL に設定され、LAUTHSVR が定義された UBBCONFIG ファイルのサンプルを示します。

コード リスト 4-2 LAUTHSVR を使用した UBBCONFIG ファイルのサンプル 
*RESOURCES

IPCKEY		51002
MASTER		site1
MAXACCESSERS		50
MAXSERVERS		20
MAXSERVICES		20
MODEL		SHM
LDBAL		N
BLOCKTIME		10
SECURITY		ACL
AUTHSVC		"..AUTHSVC"
*MACHINES
DEFAULT:
	APPDIR="/home/tuxedo/application"
	TUXCONFIG="/home/tuxedo/application/TUXCONFIG"
	TUXDIR="/home/tuxedo/tux81"
Server1		LMID=site1		LMID=site1
			MAXWSCLIENTS=20
*GROUPS
GROUP1		LMID=site1 GRPNO=1
GROUP2		LMID=site1 GRPNO=2
GROUP3		LMID=site1 GRPNO=3
GROUP4		LMID=site1 GRPNO=4
*SERVERS
DEFAULT:
	CLOPT="-A" RESTART=N MAXGEN=5
LAUTHSVR		SRVGRP=GROUP1 SRVID=10
CLOPT="-A -- -F /home/tuxedo/application/lauthsvr.conf "
DMADM		SRVGRP=GROUP2 SRVID=20
GWADM		SRVGRP=GROUP3 SRVID=30
GWTDOMAIN		SRVGRP=GROUP3 SRVID=31
Simpserv		SRVGRP=GROUP4 SRVID=40
*SERVICES
TOUPPER

複数のネットワーク アドレスの使用による可用性の向上

WebLogic Server ドメイン用に複数のネットワーク アドレスをコンフィグレーションすることもできます。このコンフィグレーションは、ユーザ認証の可用性を高めるのに役立ちます。ユーザ セキュリティ情報は、WebLogic Server ドメイン内のすべての WebLogic Server 組み込み LDAP サーバに複製されます。LAUTHSVR は一度に 1 つのサーバにしか接続できませんが、ネットワーク障害が発生したときには、LAUTHSVR は次に使用できるアドレスに接続します。

LAUTHSVR の複数のネットワーク アドレスをコンフィグレーションするには、LAUTHSVR コンフィグレーション ファイルの LDAP_ADDR キーワードを使用します。ホスト名の指定順序が、LAUTHSVR が接続を試行する順序となります。認証中にキャッシュを使用するには、EXPIRE キーワードを指定します。このキーワードの値によって、ローカル プロセス メモリにキャッシュされたエントリを使用できる秒数が指定されます。

注意 : tmboot を使用して Tuxedo を起動したときに WebLogic Server が使用可能になっている必要はありませんが、少なくとも 1 つの WebLogic Server が使用可能でなければ、LAUTHSVR のユーザ認証機能が制限されます。
注意 : WebLogic Server が使用可能でない場合、SRCH_ORDER LOCAL を使用して Tuxedo を起動し、ユーザを認証できます。この場合、ユーザ認証は tpusr ファイルに基づいて検証されます。検索順序の詳細については、「データベース検索順序のコンフィグレーション」を参照してください。

複数ネットワーク アドレスの LAUTHSVR コンフィグレーションの例

次に、LDAP_ADDR キーワードに複数のネットワーク アドレスを指定する例を示します。 

LDAP_ADDR //Pluto:8000,//Saturn,Jupiter

この例では、3 つの WebLogic Server ホスト名が指定されています。最初のサーバは Pluto で稼働し、アドレス 8000 を使用します。2 番目のサーバは Saturn で稼働し、デフォルト アドレス 7001 を使用します。3 番目のサーバは Jupiter で稼働し、同じくデフォルト アドレス 7001 を使用します。

データベース検索順序のコンフィグレーション

デフォルトでは、LAUTHSVR 認証サーバは WebLogic Server 組み込み LDAP サーバからユーザ情報を検索します。データベース検索で tpusr ファイルを使用するには、SRCH_ORDER キーワードに LOCAL を指定する必要があります。LAUTHSVR がユーザ情報を検索する順序は、SRCH_ORDER キーワードに定義したカンマ区切りの値の順序によって指定されます。LAUTHSVR は、LDAP サーバか tpusr ファイル、またはその両方を (指定した値の順序に従って) 検索します。

2 つ以上の SRCH_ORDER エントリが LAUTHSVR コンフィグレーション ファイルに指定されている場合、最後のエントリだけが有効となります。この場合、警告メッセージが USERLOG に記録されます。また、LDAP または LOCAL 以外の値を SRCH_ORDER キーワードに指定した場合も、警告メッセージが出力されます。この場合、無効なエントリは無視され、デフォルト値または前の有効な SRCH_ORDER エントリが使用されます。

データベース検索順序の LAUTHSVR コンフィグレーションの例

次の例では、LAUTHSVR が最初に WebLogic Server 組み込み LDAP サーバからユーザ情報を検索するよう指定しています。この LDAP サーバにユーザ情報が見当たらない場合、LAUTHSVR は tpusr ファイルを検索します。 

SRCH_ORDER LDAP,LOCAL

次の例では、LAUTHSVR が最初に tpusr ファイルからユーザ情報を検索するよう指定しています。tpusr ファイルにユーザ情報が見当たらない場合、LAUTHSVR は WebLogic Server 組み込み LDAP サーバから情報を検索します。 

SRCH_ORDER LOCAL,LDAP

次の例では、LAUTHSVR が tpusr ファイルだけからユーザ情報を検索するよう指定しています。 

SRCH_ORDER LOCAL

関連項目

tpmigldap によるユーザ情報の WebLogic Server への移行

tpmigldap コマンド ユーティリティを使用して、Tuxedo のユーザおよびグループ情報を WebLogic Server に移行する必要があります。

tpusr ファイルの新しいパスワードの割り当て

ユーザおよびグループ情報を移行する前に、管理者は各ユーザに新しいパスワードを割り当てて、移行が正常に行われるようにしておく必要があります。この手順が必要なのは、tpusr ファイル内のパスワードが一方向暗号化で暗号化されているため、このファイルから元のパスワードを取り出すことができないからです。

このようなパスワードを処理する方法は次の 2 とおりです。

tpmigldap コマンドライン オプション

次の表に、tpmigldap ユーティリティのコマンドライン オプションの定義を示します。コマンドライン オプションの順序は関係ありません。

注意 : tpmigldap コマンドでは、ユーザまたはグループを WebLogic Server 組み込み LDAP データベースに追加するには -w または -c を使用する必要があります。

表 4-2 tpmigldap コマンドライン オプション
コマンドライン オプション
オプション引数
デフォルト値
説明 
-h
ホスト名
localhost
WebLogic Server のホスト名 
-p
ポート
7001
WebLogic Server Administration Console のポート番号 
-d
ドメイン
mydomain
WebLogic Server ドメイン名 
-r
レルム
myrealm
WebLogic Server セキュリティ レルム名 
-i
TUXEDO_UID キーワード文字列
TUXEDO_UID
管理者が WebLogic Server ユーザの「記述」属性で使用する Tuxedo UID のキーワード文字列 
-e
TUXEDO_GID キーワード文字列
TUXEDO_GID
管理者が WebLogic Server ユーザの「記述」属性で使用する Tuxedo GID のキーワード文字列 
-f
ユーザ パスワード
なし
tpusr ファイルのすべてのユーザのデフォルト パスワード 
-b
バインド DN
cn=Admin
LDAP 接続バインド DN 
-w
パスワード
なし
バインド DN のパスワード。 
-c
適用外
なし
バインド DN のパスワードを入力するためのプロンプト 
-u
絶対パス名
$APPDIR/tpusr
tpusr ファイルの絶対ディレクトリ パス 
-g
絶対パス名
$APPDIR/tpgrp
tpgrp ファイルの絶対ディレクトリ パス

関連項目

新しい Tuxedo ユーザ情報の追加

新しいユーザおよびグループ情報を単一のセキュリティ LDAP データベースに追加する方法は次の 2 通りです。

新しいユーザ情報の tpusr または tpgrp への追加

新しいユーザ情報をシングル ポイント セキュリティ LDAP データベースに追加するには、次の手順に従います。

  1. 既存の tpusr ファイルと tpgrp ファイルを使用して、新しいユーザおよびグループ情報を追加します。その際、ファイルに定義されているのと同じ形式を使用してください。また、プレーン テキストのパスワードを使用して LDAP データベースに追加します。
  2. -u オプションを使用して更新した tpusr ファイルを指定し、-g オプションを使用して更新した tpgrp ファイルを指定して、tpmigldap ユーティリティを実行します。たとえば、以下のような要因です。
    3. tpmigldap -u $APPDIR/tpusr -g $APPDIR/tpgrp

WebLogic Administration Console による新しいユーザ情報の追加

WebLogic Administration Console を使用して新しいユーザ情報をシングル ポイント セキュリティ LDAP データベースに追加するには、次の手順に従います。

  1. WebLogic Administration Console にアクセスし、[セキュリティ｜レルム｜myrealm] を選択します (myrealm は LDAP セキュリティ レルムを表します)。



  2. [新しい User のコンフィグレーション] をクリックし、[一般] タブにアクセスします。



    3. ユーザ情報を入力します。

    [名前] フィールドにユーザ名を指定します。

    [記述] フィールドに、次の構文に従って Tuxedo UID と GID の値を文字列として指定します。 

    <TUXEDO UID KEYWORD>=<decimal value>
    <TUXEDO GID KEYWORD>=<decimal value>

    デフォルトでは、TUXEDO UID KEYWORD は TUXEDO_UID で、TUXEDO GID KEYWORD は TUXEDO_GID です。次に例を示します。 

    TUXEDO_UID=2504 TUXEDO_GID=601.

    [パスワード] フィールドにユーザのパスワードを指定します。[パスワードの確認] フィールドに、パスワードをもう一度入力します。

  3. [適用] をクリックして、LDAP データベースを新しいユーザ情報で更新します。

 

GAUTHSVR の認証サーバとしての設定

GAUTHSVR は、使い方が LAUTHSVR によく似た System /T サーバです。ただし、以下の点で異なります。

シングル セキュリティ管理機能を有効にするには、GAUTHSVR を認証サーバとしてコンフィグレーションする必要があります。GAUTHSVR では、ユーザ セキュリティ情報が LDAP に対して認証されます。SECURITY が ACL または MANDATORY_ACL に設定されている場合は、認証に成功すると appkey が返されます。

GAUTHSVR を認証サーバとしてコンフィグレーションするには、UBBCONFIG ファイルで次のパラメータを定義する必要があります。

GAUTHSVR コマンドライン インタフェース

GAUTHSVR は Tuxedo 用の LDAP ベースの認証サーバです。このサーバでは、コンフィグレーション ファイルが必要になります (デフォルトでは $TUXDIR/udataobj/tpgauth)。

GAUTHSVR のコマンドライン インタフェースの構文は次のとおりです。

-f config

GAUTHSVR コンフィグレーション ファイルの絶対パス名を指定します。

-o gaconfig.xml

GAUTHSVR の内部コンフィグレーション ファイルの絶対パス名を指定します。このファイルは、-f オプションで指定したユーザ作成のコンフィグレーション ファイルから生成されます。デフォルト値は $APPDIR/gaconfig.xml です。

-k gakey.dat

コンフィグレーション ファイル (-f オプションで指定) から生成された GAUTHSVR 内部コンフィグレーション ファイルの絶対パス名を指定します。デフォルト値は $APPDIR/gakey.dat です。

-v

冗長モード。ULOG に、より詳細なメッセージが記録されます。

次の例の場合、GAUTHSVR は $TUXDIR/udataobj/tpgauth ディレクトリにあるデフォルトのコンフィグレーション ファイル tpgauth を使用します。 

GAUTHSVR SRVGRP=GROUP1 SRVID=2 CLOPT=”-A --”

次の例の場合、GAUTHSVR は /home/tuxedo/bankapp ディレクトリにある myauthsvr.conf コンフィグレーション ファイルを使用します。 

GAUTHSVR SRVGRP=GROUP1 SRVID=2 
	CLOPT=”-A -- -f/home/tuxedo/bankapp/myauthsvr.conf”

tpgauth の方が生成された XML およびキー ファイルよりも新しい場合、生成された XML が GAUTHSVR によって更新されます。生成された XML ファイルで更新されるのは、変更または新しく追加された tpgauth 項目のみです。

注意 : GAUTHSVR が起動したときに XML とキー ファイルが存在しない場合は、GAUTHSVR によって自動的に作成されます。

GAUTHSVR コンフィグレーション ファイルの設定

GAUTHSVR は、バインド DN やバインド DN 用の非暗号化パスワードなどの情報が記述された入力コンフィグレーション ファイルをサポートしています。このコンフィグレーション ファイルはテキスト ファイルであり、任意のテキスト エディタで編集できるため、ファイル パーミッションを採用するシステムで保護する必要があります。デフォルトのコンフィグレーション ファイル tpgauth は $TUXDIR/udataobj/tpgauth ディレクトリに格納されています。このファイルは、GAUTHSVR のコマンドラインで上書きできます。表 4-3 に、GAUTHSVR コンフィグレーション ファイルに含まれているキーワードと値のペアを示します。

GAUTHSVR コンフィグレーション ファイルの構文要件

通常、GAUTHSVR コンフィグレーション ファイルの値はデフォルトのままで十分ですが、別名でコンフィグレーションすることもできます。このため、GAUTHSVR コンフィグレーション ファイルに対する次の要件に注意する必要があります。

GAUTHSVR コンフィグレーション ファイルのキーワード

GAUTHSVR キーワードは 3 種類に分けることができます。以下の表に、GAUTHSVR コンフィグレーション ファイルの基本的なキーワード (表 4-3)、高度なキーワード (表 4-4)、および LDAP スキーマ キーワード (表 4-5) をまとめます。

表 4-3 GAUTHSVR コンフィグレーション ファイルの基本的なキーワード
コンフィグレーション キーワード
値型
説明 
UserCacheExpire
数値
ローカル プロセス メモリ内のキャッシュされたエントリを使用できる秒数を表す数値。0 以外の値を指定すると、キャッシュが有効になります。0 を指定するとキャッシュは行われません。
デフォルト値は 0 です。 
UserCacheSize
数値
ユーザ キャッシュのエントリの最大数。ユーザごとに 1 つのエントリが必要です。0 を指定すると無制限になります。
デフォルト値は 0 (無制限) です。 
SYSADM
文字列
Tuxedo SYSADM のユーザ名。 
SYSOP
文字列
Tuxedo SYSOP のユーザ名。 
Host
文字列
LDAP サーバのホスト名または IP アドレス。
デフォルト値は localhost です。 
Port
数値
LDAP サーバをリスンするポートの番号。
デフォルト値は 389 です。 
Principal
  
LDAP サーバへの接続に使用する LDAP ユーザの識別名 (DN)。 
Credential
  
LDAP ユーザの認証に使用する資格 (通常はパスワード)。Principal 属性で定義します。 
RetrieveUIDAndGID
ブール
UID および GID 情報を LDAP サーバから取得するかどうかを示します。SECURITY が ACL または MANDATORY_ACL に設定されている場合は true に設定する必要があります。
デフォルト値は false です。

表 4-4 GAUTHSVR コンフィグレーション ファイルの高度なキーワード
コンフィグレーション キーワード
値型
説明 
TuxedoUIDKey
文字列
Tuxedo UID の識別に使用します。
デフォルト値は TUXEDO_UID です。 
TuxedoGIDKey
文字列
Tuxedo GID の識別に使用します。
デフォルト値は TUXEDO_GID です。 
ConnectTimeout
数値
LDAP 接続の確立を待機する最長時間 (秒)。0 に設定した場合は、時間制限なしで待機します。
デフォルト値は 0 です。 
ConnectionRetryLimit
数値
LDAP サーバへの初回の接続に失敗した場合に、接続を再試行する回数。
デフォルト値は 1 です。 
ResultsTimeLimit
数値
結果の待機がタイムアウトするまでの最長時間 (ミリ秒)。0 に設定した場合は、時間制限なしで待機します。
デフォルト値は 0 です。 
SSLEnabled
ブール
LDAP サーバへの接続に SSL を使用することを示します。
デフォルト値は false です。 
KeepAliveEnabled
ブール
LDAP 接続をタイムアウトさせるかどうかを示します。
デフォルト値は false です。 
ParallelConnectDelay
数値
複数のサーバへの接続を同時に試行する際の遅延時間 (秒)。
0 に設定した場合は、接続の試行がシリアライズされます。その場合は、まずリスト上の 1 番目のサーバへの接続が試行され、それが失敗した場合にのみリスト上の次のエントリが試行されます。したがって、ホストが停止していると、許容できないほど長い時間アプリケーションがブロックされることがあります。0 より大きい値に設定した場合は、設定した値 (秒単位) だけ遅延させたタイミングで次の接続設定スレッドが開始します。
デフォルト値は 0 です。 
FollowReferrals
ブール
LDAP ディレクトリ内で照会先を自動的に追跡するかどうかを示します。
false に設定した場合、LDAP リクエストの間に照会先が出現すると照会先例外が送出されます。
デフォルト値は true です。 
BindAnonymouslyOnReferrals
ブール
LDAP ディレクトリ内で照会先を追跡する際に、匿名でバインドするかどうかを示します。false に設定した場合は、現在のプリンシパルと資格が使用されます。
デフォルト値は false です。 
UseZOSRACF
ブール
LDAP サーバが z/OS RACF LDAP サーバかどうかを示します。
デフォルト値は false です。 
ControlFlag
文字列
Tuxedo LDAP 認証プロバイダをログイン シーケンスに適合させる方法を示します。
この制御フラグによって、ログイン シーケンスで認証プロバイダをどのように使用するかが識別されます。
値 REQUIRED は、この LoginModule が成功しなければならないことを示します。失敗した場合でも、コンフィグレーションされている認証プロバイダの LoginModule のリストが上から順番に認証されます。これがデフォルトの設定です。
値 REQUISITE は、この LoginModule が成功しなければならないことを示します。他の認証プロバイダがコンフィグレーションされており、この LoginModule が成功した場合は、LoginModule のリストが上から順番に認証されます。それ以外の場合は、制御がアプリケーションに返されます。
値 SUFFICIENT は、この LoginModule が成功する必要はないことを示します。成功しない場合は、制御がアプリケーションに返されます。他の認証プロバイダがコンフィグレーションされている場合に失敗すると、LoginModule のリストが上から順番に認証されます。
値 OPTIONAL は、この LoginModule が成功する必要はないことを示します。成功するか失敗するかに関わらず、LoginModule のリストが上から順番に認証されます。
デフォルト値は REQUIRED です。

表 4-5 コンフィグレーション ファイルの LDAP スキーマ キーワード
コンフィグレーション キーワード
値型
説明 
UserObjectClass
文字列
ユーザを格納する LDAP オブジェクト クラス。
デフォルトは person です。 
UserBaseDN
文字列
ユーザを格納する LDAP ディレクトリ内のツリーの基本識別名 (DN)。
デフォルト値は ou=people, o=example.com です。 
UserFromNameFilter
文字列
ユーザ名でユーザを見つけるための LDAP 検索フィルタ。
デフォルト値は (&(cn=%u)(objectclass=person)) です。 
UserSearchScope
文字列
LDAP ディレクトリ ツリー内でユーザを検索する際の深さを示します。有効な値は「subtree」と「onelevel」です。
デフォルト値は subtree です。 
UserUIDAttrName
文字列
ユーザの UID (または UID と GID) を一定の形式で示す LDAP ユーザ オブジェクトの属性名。
デフォルト値は userid です。 
UIDAttrValueType
文字列
LDAP ユーザ オブジェクトの UID 属性の値型を示します。有効な値は「UID」と「UIDAndGID」です。
デフォルト値は UID です。 
UserGroupAttrNames
文字列
ユーザが属すグループを示す LDAP ユーザ オブジェクトの属性名。この属性には、値型として GID、グループ CN、またはグループ DN を指定できます。指定できる値型は、コンフィグレーションごとに 1 つのみです。名前が複数ある場合はカンマで区切ります。
デフォルト値は usergroups です。 
GroupAttrValueType
文字列
LDAP ユーザ オブジェクトのグループ属性の値型を示します。有効な値は、「GID」、「group CN」、または「group DN」です。
デフォルト値は GID です。 
GroupBaseDN
文字列
グループを格納する LDAP ディレクトリ内のツリーの基本識別名 (DN)。
デフォルト値は ou=groups, o=example.com です。 
GroupFromNameFilter
文字列
グループ名でグループを見つけるための LDAP 検索フィルタ。
デフォルト値は (&(cn=%g)(objectclass=groupofuniquenames)) です。 
StaticGroupObjectClass
文字列
静的グループを格納する LDAP オブジェクト クラスの名前。
デフォルト値は groupofuniquenames です。 
GroupSearchScope
文字列
LDAP ディレクトリ ツリー内でグループを検索する際の深さを示します。有効な値は「subtree」と「onelevel」です。
デフォルト値は subtree です。 
GroupGIDAttrName
文字列
グループの GID を示す LDAP グループ オブジェクトの属性。
デフォルト値は groupid です。

GAUTHSVR コンフィグレーション ファイルのサンプル

表 4-7 に、WebLogic Server 用の GAUTHSVR コンフィグレーション ファイルのサンプルを示します。他の LDAP サーバをコンフィグレーションする際は、このサンプルを参照してください。

コード リスト 4-3 WebLogic GAUTHSVR コンフィグレーション ファイルのサンプル 
#
# Tuxedo LDAP 認証サーバのコンフィグレーション ファイル。
#
# 作成日: 2002 年 5 月 26 日 15:36:59
# ファイルの終わり
# Tuxedo コンフィグレーション
UserCacheExpire = 600
UserCacheSize   = 16384
SYSADM           = sysadm
SYSOP            = sysop

# LDAP サーバのコンフィグレーション
Host = server.bea.com
Port = 7001
Principal = cn=Admin
Credential= weblogic

UserObjectClass = person
UserBaseDN      = ou=people,ou=myrealm,dc=examples
UserFromNameFilter = (&(uid=%u)(objectclass=person))
UserUIDAttrName = description
UserGroupAttrNames=wlsMemberOf
RetrieveUIDAndGID = true
UIDAttrValueType = UIDAndGID
警告 : LDAP 管理者の PASSWORD はプレーン テキストであるため、システム管理者はこのファイルを適切なアクセス パーミッションで保護する必要があります。

GAUTHSVR を使用した UBBCONFIG のサンプル

コード リスト 4-4 に、SECURITY が ACL に設定され、GAUTHSVR が定義された UBBCONFIG ファイルのサンプルを示します。

コード リスト 4-4 GAUTHSVR を使用した UBBCONFIG ファイルのサンプル 
# UBBCONFIG
*SERVER
GAUTHSVR SVRGRP="SYSGRP" SVRID=100
		CLOPT="-A -- -f ${APPDIR}/tpgauth"
		ENVFILE="${APPDIR}/tpgauth.env"

関連項目

tpmigldif を使用したユーザ インタフェースの移行

tpmigldif コマンド ユーティリティを使用すると、Tuxedo のユーザおよびグループ情報を LDAP データ交換形式 (LDIF) で LDAP サーバに移行できます。tpmigldif を使用するには、移行テンプレートを作成する必要があります。

tpmigldif コマンドライン オプションを使用する

表 4-6 に、tpmigldif ユーティリティのコマンドライン オプションを示します。コマンドライン オプションの順序は関係ありません。

表 4-6 tpmigldif コマンドライン オプション
コマンドライン オプション
オプション引数
デフォルト値
説明 
-t
user|group
user
移行タイプを示します。 
-f
テンプレート ファイル名
tpusr-template (タイプがユーザの場合)、または tpgrp-template(タイプがグループの場合)
テンプレート ファイル名を指定します。 
-o
o (出力ファイル名)
console/stdout
出力ファイル名を指定します。 
-u
絶対パス名
tpusr
tpusr ファイルの絶対ディレクトリ パスです。 
-g
絶対パス名
tpgrp
tpgrp ファイルの絶対ディレクトリ パスです。

tpusr および tpgrp ファイル形式

コード リスト 4-5 に、5 つのフィールドがコロンで区切られた tpusr ファイルを示します。

name:password (暗号化されたパスワード):user id:group id:client name::

コード リスト 4-5 tpusr ファイルのサンプル 
user1:EI4xxxjrCc:16668:601:TPCLTNM,client::
user2:EI4xxxjrCc:16669:602:TPCLTNM,client::

コード リスト 4-6 に、3 つのフィールドがコロンで区切られた tpgrp ファイルを示します。

name::group id:

コード リスト 4-6 tpgrp ファイルのサンプル 
group1::601:
group2::602:
tpusr ファイルの新しいパスワードを割り当てる (省略可能)

管理者は、ユーザおよびグループの情報を移行する前に、各ユーザに新しいパスワードを割り当てることができます。これにより、生成される LDIF 出力に、各ユーザの正しいパスワードを含めることができます。この手順が必要なのは、tpusr ファイル内のパスワードが一方向暗号化で暗号化されているため、このファイルから元のパスワードを取り出すことができないからです。

tpusr ファイル パスワードは、テキスト エディタを使用して、以下のいずれかの方法で変更できます。

移行テンプレートを作成する

移行テンプレートは、tpmigldif コマンド ユーティリティで使用するテキスト ファイルです。このテンプレートに基づいて、tpusr または tpgrp ファイルを LDIF 出力ファイルに変換します。

コード リスト 4-7 に、tpusr-template 移行ファイルのサンプルを示します。<%n> は tpusr ファイルのフィールドを表します。n は 1 から始まります。

注意 : <%gn> は、所定のユーザの tpgrp ファイル内のグループ フィールドに使用します。
コード リスト 4-7 tpusr-template 
dn: CN=<%1>,CN=Users,DC=tuxdev,DC=bea,dc=com
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: user
cn: <%1>
description: Tuxedo User, TUXEDO_UID=<%3> TUXEDO_GID=<%4>
password: <%7>

コード リスト 4-8 に、tpusr-template から生成された LDIF 出力を示します。

コード リスト 4-8 LDIF 出力 
dn: CN=user1,CN=Users,DC=tuxdev,DC=bea,dc=com
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: user
cn: user1
description: Tuxedo User, TUXEDO_UID=16668 TUXEDO_GID=601
password: pwd1

dn: CN=user2,CN=Users,DC=tuxdev,DC=bea,dc=com
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: user
cn: user2
description: Tuxedo User, TUXEDO_UID=16669 TUXEDO_GID=602
password: pwd2

サポートされる LDAP サーバのサンプル テンプレート

Tuxedo には、サポートされる LDAP サーバのサンプル テンプレートが用意されています。これらのファイルを 表 4-7 にまとめます。

表 4-7 サポートされる LDAP サーバのサンプル テンプレート1
LDAP サーバ
GAUTHSVR
コンフィグレーション
ユーザ移行テンプレート
グループ移行テンプレート
WebLogic Server
tpgauth
tpusr-template
tpgrp-template
Active Directory2
tpgauth-ad
tpusr-template-ad
tpgrp-template-ad
IPlanet
tpgauth-iplanet
tpusr-template-iplanet
tpgrp-template-iplanet
z/OS LDAP (RACF バックエンド)3
tpgauth-racf
tpusr-template-racf
tpgrp-template-racf

1これらのファイルはすべて、$TUXDIR/udataobj に格納されています。

2作成時に Active Directory ユーザのパスワードを追加することはできません。パスワードを変更またはリセットする方法については、Microsoft のサポート ドキュメント (http://support.microsoft.com/kb/269190、http://support.microsoft.com/kb/263991 など) を参照してください。

3移行後に z/OS RACF アカウントをアクティブにするには、1) z/OS 管理者としてパスワードをリセットし、2) そのパスワードを変更するためのアカウントでログオンする必要があります。

関連項目


  ページの先頭       前  次