AquaLogic Service Bus では、通信の整合性とプライバシを保証し、認可されたユーザだけが AquaLogic Service Bus ドメインのリソースにアクセスできるようにするために、オープンな業界標準をサポートしています。また、セキュリティ サービスの構成要素として、基になっている WebLogic セキュリティ フレームワークを使用します。WebLogic セキュリティ フレームワークでは、ドメインを保護するための作業が認証、認可、資格マッピング、監査などの複数のコンポーネント (プロバイダ) に分かれています。特定の AquaLogic Service Bus ドメインに対して、必要なプロバイダのみをコンフィグレーションします。
以下の節では、AquaLogic Service Bus のセキュリティ モデルとその機能について説明します。
着信セキュリティによって、AquaLogic Service Bus プロキシ サービスは認可されたクライアントから出された要求のみを処理できます (デフォルトでは、すべての匿名ユーザまたは認証ユーザがプロキシ サービスに接続できます)。また、クライアントからデータが送信されたときに、認可されていないユーザがそのデータを参照または変更していないことが保証されます。
たとえば、ビジネス サービスでユーザ名とパスワード トークンを要求する場合は、サービス アカウントを作成します。このサービス アカウントは、ユーザ名とパスワードを直接含み、発信要求に含まれていたユーザ名とパスワードを渡すか、または発信要求に含まれていたユーザ名に応じてユーザ名とパスワードを提供します。詳細については、『AquaLogic Service Bus Console の使い方』の「サービス アカウント」を参照してください。
ビジネス サービスでデジタル署名または SSL 認証のために PKI テクノロジを使用する必要がある場合は、証明書とペアのプライベート キーを提供するプロキシ サービス プロバイダを作成します。詳細については、『AquaLogic Service Bus Console の使い方』の「プロキシ サービス プロバイダ」を参照してください。
ID の伝播のオプション
AquaLogic Service Bus のセキュリティの設計時に決定する必要がある主な項目の 1 つは、クライアントが提供する ID の処理 (伝播) 方法です。AquaLogic Service Bus のコンフィグレーションによって、次のことを実行できます。
クライアントが提供する資格を認証する
認可チェックを実行する
クライアント資格を変更せずにビジネス サービスに渡す
ビジネス サービスが認証および認可できる別の資格にクライアント資格をマップする
セキュリティ テクノロジ間を橋渡しする
表 2-1 は、AquaLogic Service Bus がクライアント ID をビジネス サービスに伝播する方法に影響するオプションについての説明です。
表 2-1 ID の伝播のオプション
オプション
説明
クライアントが提供する必要があるのはどのタイプの資格か。
転送レベルのセキュリティの場合、AquaLogic Service Bus は既存のセキュリティ要件に合わせる。AquaLogic Service Bus のクライアントは、ユーザ名とパスワード トークン、SSL 証明書、またはコンフィグレーションした認証プロバイダによってサポートされる他のタイプのトークンを提供できる。
メッセージレベルのセキュリティの場合、AquaLogic Service Bus ではユーザ名トークン、X.509 トークン、および SAML トークン プロファイル (「サポートされる標準とセキュリティ プロバイダ」を参照) をサポートする。
Web サービス セキュリティを使用する新しいビジネス サービス用のセキュリティ要件を確立する場合は、SAML トークンを提供するようクライアントに要求することを推奨する。SAML は、Web サービス内でユーザ ID を伝播するための新しい標準である。「認証での SAML の使用」を参照。
AquaLogic Service Bus でクライアントを認証するように要求するか、またはクライアントが提供する資格をそのまま認証のためにビジネス サービスに渡すか。
AquaLogic Service Bus でクライアントに認証を要求するときは、新たなセキュリティのレイヤを追加する。通常、追加するセキュリティ レイヤが多いほど、ドメインの安全性が高くなる。
AquaLogic Service Bus でユーザを認証できるようにするには、AquaLogic Service Bus Console でユーザ アカウントを作成する必要がある。ユーザの集合が非常に大きい場合は、AquaLogic Service Bus Console でユーザ アカウントの大規模なデータベースを保守するだけの価値があるかどうかを検討する必要がある。
X.509 トークンまたは SAML トークンを提供するクライアントを AquaLogic Service Bus で認証する場合は、どの AquaLogic Service Bus ユーザがトークンにマップされるか。
AquaLogic Service Bus で認証するようにクライアントに要求し、特定の認証されたユーザのみがプロキシ サービスにアクセスできる (認可される) ように、デフォルトのアクセス制御ポリシーを変更することを推奨する。
X.509 証明書、SAML トークン、またはユーザ名とパスワード以外の別のタイプの資格を提供するクライアントの認証と認可を行うには、クライアントの資格を AquaLogic Service Bus ユーザにマップする ID アサーション プロバイダをコンフィグレーションする必要がある。AquaLogic Service Bus はこのユーザ名を使用して、クライアントのセキュリティ コンテキストを確立する。
ユーザ名とパスワード トークンを提供するクライアントを AquaLogic Service Bus で認証する場合は、次の処理を行うかどうか。
クライアントは、認証のために X.509 証明書などの他のタイプのトークンを送信することもできます。クライアントが証明書トークンを送信する場合は、トークンの ID を AquaLogic Service Bus セキュリティ コンテキストにマップするように ID アサーション プロバイダをコンフィグレーションする必要があります。
AquaLogic Service Bus セキュリティの初期コンフィグレーション タスクの多くでは、WebLogic Security フレームワークのコンフィグレーションのために WebLogic Server Administration Console で作業する必要があります。これらの初期タスクの後は、ほとんどのセキュリティ タスクを AquaLogic Service Bus Console から実行できます。
AquaLogic Service Bus に対して WebLogic Security フレームワークをコンフィグレーションするには
転送レベルのセキュリティの一部として SSL の使用を計画している場合は、次の処理を行います。
WebLogic Server Administration Console で、ID と信頼をコンフィグレーションします。『WebLogic Server のセキュリティ』の「ID と信頼のコンフィグレーション」を参照してください。
WebLogic Server Administration Console で、SSL をコンフィグレーションします。『WebLogic Server のセキュリティ』の「SSL のコンフィグレーション」を参照してください。
AquaLogic Service Bus では、すべての HTTPS 通信はデフォルトの WebLogic Server (SSL) セキュリティ ネットワーク チャネルを使用する必要があります。これは、AquaLogic Service Bus でサポートする唯一の SSL ネットワーク チャネルです。
WebLogic Server Administration Console で、AquaLogic Service Bus によって提供される 2 つの Web サービス セキュリティ コンフィグレーションを探し、UsePasswordDigest プロパティの値を true に設定します。
この AquaLogic Service Bus Web サービス セキュリティ コンフィグレーションは次の名前です。 __SERVICE_BUS_INBOUND_WEB_SERVICE_SECURITY_MBEAN__ __SERVICE_BUS_OUTBOUND_WEB_SERVICE_SECURITY_MBEAN__
Web サービス セキュリティ コンフィグレーションの値の設定については、WebLogic Server Administration Console オンライン ヘルプの「SOAP メッセージでのパスワード ダイジェストの使用」を参照してください。
AquaLogic Service Bus はセキュリティ イベントの監査をサポートしますが、コンフィグレーション監査をサポートしません。コンフィグレーション監査では、ユーザがドメイン内のリソースのコンフィグレーションを変更したり、ドメイン内のリソースに対して管理操作を呼び出したりすると、ログ メッセージが出されて監査イベントが生成されます。『WebLogic Server のセキュリティ』の「コンフィグレーション監査」を参照してください。
まだ実行していない場合は、WebLogic Server Administration Console で変更をアクティブ化します。WebLogic Server の再起動が必要になる変更を行った場合は、Administration Console に再起動が必要であることが表示されます。このようなメッセージが表示された場合は、AquaLogic Service Bus をホストするすべての WebLogic Server インスタンスを再起動して、セキュリティ プロバイダに対する変更が残りのコンフィグレーション手順に対して有効になるようにします。
サポートされる標準とセキュリティ プロバイダ
AquaLogic Service Bus の今回のリリースでは、次の標準がサポートされます。
表 2-5 Web サービス セキュリティと関連する標準
標準
バージョン
WS-Security
1.0
WS-Policy
WS-Policy 仕様は完全には標準化されていないため、AquaLogic Service Bus では、2002 年 12 月 18 日バージョンの Web サービス セキュリティ ポリシー言語 (WS-SecurityPolicy) 仕様に記述されているアサーションに基づく WebLogic Server 独自の形式をサポートしている。AquaLogic Service Bus の今回のリリースには、最新版の仕様 (2005 年 7 月 13 日) は組み込まれていない。
WS-Policy Attachment
1.0
WS-Security : Username Token Profile
1.0
WS-Security : X.509 Token Profile
1.0
WS-Security : SAML Token Profile
1.0
SAML
1.1
WebLogic Server でサポートされる標準については、WebLogic Server リリース ノートの WebLogic Server の新機能に関する説明にある「標準のサポート」を参照してください。
WebLogic セキュリティ プロバイダのサポート
AquaLogic Service Bus では、WebLogic 認証プロバイダ、ID アサーション プロバイダ、認可プロバイダ、ロール マッピング プロバイダ、資格マッピング プロバイダ、証明書検索と検証 (CLV) プロバイダなど、WebLogic Server に含まれるセキュリティ プロバイダをサポートします。さらに、AquaLogic Service Bus 2.5 では、WebLogic SAML ID アサーション プロバイダ V2 と WebLogic SAML 資格マッピング プロバイダ V2 をサポートします。
AquaLogic Service Bus のリリース 2.5 では、独自のポリシー言語を使用するデフォルトの WebLogic 認可プロバイダとデフォルトのロール マッピング プロバイダのサポートが廃止されています。これらのプロバイダの代わりに、OASIS 標準の eXtensible Access Control Markup Language (XACML) を用いた WebLogic XACML 認可プロバイダおよび XACML ロール マッピング プロバイダを使用することをお勧めします。デフォルトの WebLogic 認可プロバイダおよびデフォルトのロール マッピング プロバイダを使用していた以前のリリースの AquaLogic Service Bus をアップグレードする場合、WebLogic Server Administration Console を使用して、XACML プロバイダに認可データおよびロール マッピング データをインポートします。AquaLogic Service Bus アップグレード ガイドの AquaLogic Service Bus 環境のアップグレードに関する説明を参照してください。
Netegrity、Oracle-Oblix、RSA などのサードパーティ セキュリティ プロバイダはテストされていないため、AquaLogic Service Bus 2.5 では確認されていません。ただし、AquaLogic Service Bus セキュリティ アーキテクチャでは、サードパーティ認証、認可、およびロールマッピング プロバイダの使用をサポートします。AquaLogic Service Bus 2.5 でのサードパーティ セキュリティ プロバイダのサポートについては、BEA カスタマ サポートにお問い合わせください。
