| Oracle HTML DBユーザーズ・ガイド リリース1.6 部品番号: B15713-02 |
|
 戻る |
 次へ |
アプリケーションに対するセキュリティは、認証および認可を介して提供できます。認証は、ユーザーがアプリケーションにアクセスする前に、そのユーザーの本人確認を行うプロセスです。認可は、ユーザー権限に基づいて、特定のコントロールまたはコンポーネントへのユーザーのアクセスを制御します。
この章の内容は次のとおりです。
クロス・サイト・スクリプティング（XSS）は、動的に生成されるWebページを利用したセキュリティ攻撃です。XSS攻撃では、ユーザーのブラウザが読み取るとアクティブになるスクリプトがWebアプリケーションに送信されます。これらのスクリプトがアクティブになると、データまたは場合によってはセッション資格証明が盗まれ、それらの情報が攻撃者に送信される可能性があります。悪意のあるコードがOracle HTML DBアプリケーションに侵入すると、通常のページ・レンダリング時に、そのコードがアプリケーション内のHTMLリージョンや他の場所にレンダリングされる可能性があります。HTML DBエンジンは、セッション・ステートへの悪意のあるコードの侵入を防止するために、次のような特定の場合に文字をエスケープします。
具体的に、Oracle HTML DBは次の置換構文や値の特殊文字をエスケープします。
レンダリングされたHTMLリージョン内で実行される&MY_ITEM.置換。たとえば、小なり記号（<）は、HTMLでは<にレンダリングされます。
この規則は、リージョンやページのヘッダーとフッター、リージョン・タイトル、アイテム・ラベルなどの、多くの静的領域には適用されないことに注意してください。これらの領域では、特殊文字をエスケープせずにアイテムが置換されます。
レポート出力（列ヘッダーを含む）で実行される&MY_ITEM.置換。
その他の状況で実行される&MY_ITEM.置換。次に例を示します。
ダイレクト・ページ・ブランチ（リダイレクトではない）でのブランチ・ターゲット（&LAST_PAGE.など）の置換
アイテム名を使用してブランチ・ターゲットが含まれるブランチ
表示されたフォーム・フィールドの値。
たとえば、小なり記号（<）は、HTMLでは<にレンダリングされます。「テキストとして表示(状態は保存しない)」タイプのアイテムは、レンダリング時にエスケープされません。ただし、このタイプのアイテムの値は、URLのページに渡され、セッション・ステートに格納されるときにエスケープされます。入力動作に対するこのフィルタは、アプリケーション・レベルのアイテム（または、特定のページに関連付けられていないアイテム）にも適用されます。
また、セッション・ステートに保存するために送信されるフォーム・フィールド値は、POSTDATAに渡されます。これによって、値がACCEPTプロシージャに送信され、エスケープされずにセッション・ステートに保存されます。Oracle HTML DBは、ブラウザに送信された出力にフィルタを適用しません。開発者は、PL/SQLリージョンや他の開発者が提供したコードを含む、ブラウザに送信されたすべての動的コンテンツを完全に制御できます。
セキュリティを強化するために、クロス・サイト・スクリプティング攻撃に対して最善の対策を講じる必要があります。たとえば、開発プロセスでは、URLの改ざんまたはその他の方法によって、アイテムに悪意のあるコンテンツが侵入する可能性があるかどうかを検証します。 セキュリティが脆弱化する可能性があるため、ほぼすべてのタイプの静的領域でのレンダリングに、&MY_ITEM.を使用してフォーム・アイテムが参照されないようする必要があります。かわりに、アプリケーション・レベルのアイテムまたは「テキストとして表示(状態は保存しない)」タイプのページ・アイテムを使用します。小なり記号（<）、大なり記号（>）およびアンパサンド（&）をエスケープすることも、簡単なセキュリティ対策になります。
アプリケーションに対するセキュリティは、認証および認可を介して提供できます。認証は、ユーザーがアプリケーションにアクセスする前に、そのユーザーの本人確認を行うプロセスです。認可は、ユーザー権限に基づいて、特定のコントロールまたはコンポーネントへのユーザーのアクセスを制御します。
「認証スキーム」または「認可スキーム」ページのいずれかにアクセスするには、次の手順を実行します。
「作業領域」ホームページにナビゲートします。
「アプリケーション」リストからアプリケーションを選択します。
Application Builderのホームページで、「共有コンポーネント」をクリックします。
「共有コンポーネント」ページが表示されます。
「セキュリティ」で、「認証」または「認可」のいずれかを選択します。
セキュリティ・ナビゲーション・リストが、「認証スキーム」および「認可スキーム」ページの右側に表示されます。このリストでは、関連するセキュリティのホームページおよび使用率レポートにすばやくアクセスできます。
セキュリティ・ナビゲーション・リストにアクセスするには、次の手順を実行します。
「作業領域」ホームページにナビゲートします。
「アプリケーション」リストからアプリケーションを選択します。
Application Builderのホームページで、「共有コンポーネント」をクリックします。
「共有コンポーネント」ページが表示されます。
「セキュリティ」で、「認証」または「認可」のいずれかを選択します。
セキュリティ・ナビゲーション・リストがページの右側に表示されます。このリストには、次のリンクが含まれます。
セキュリティ・ホーム
認証スキーム
認証スキーム・サブスクリプションを管理
認可スキーム
認可スキーム・サブスクリプションを管理
認可スキームの使用率
認証は、ユーザーがアプリケーションにアクセスする前に、そのユーザーの本人確認を行うプロセスです。認証では、ユーザーにユーザー名とパスワードの指定を要求するか、またはデジタル証明書や保護キーを使用する可能性があります。
認証スキームを作成する場合、多くの事前構成済の認証スキームから選択するか、既存のアプリケーションから認証スキームをコピーするか、または独自のカスタム認証スキームを作成できます。
このセクションの内容は次のとおりです。
アプリケーションがユーザーとどのように対話するかを決定します。すべてのユーザーが同じ権限を持つ場合、そのユーザーはパブリック・ユーザーとみなされます。ただし、アプリケーションが各ユーザーを個別に追跡する必要がある場合は、認証方式を指定する必要があります。
認証は、アプリケーションにアクセスする各ユーザーの本人確認を行います。多くの認証プロセスで、ユーザーはなんらかの資格証明（ユーザー名とパスワードなど）を提供する必要があります。これらの資格証明は評価され、合格または不合格のいずれかとなります。資格証明が合格した場合、ユーザーはアプリケーションにアクセスできます。不合格の場合は、アクセスが拒否されます。
ユーザーの本人確認が行われると、HTML DBエンジンが組込み置換文字列の値を設定して、各ユーザーを追跡します。ユーザーがページ間をナビゲートすると、HTML DBエンジンがAPP_USERの値を設定して、本人確認を行います。HTML DBエンジンは、各ユーザーのセッション・ステートを追跡するための重要なコンポーネントとしてAPP_USERを使用します。
プログラミングの観点では、次の構文を使用してAPP_USERにアクセスできます。
PL/SQLを使用する場合
V('APP_USER')
PL/SQLまたはSQLのいずれかのバインド変数として使用する場合
:APP_USER
APP_USERを使用すると、独自のセキュリティ・チェックおよび条件付き処理を実行できます。たとえば、次の表を作成したと想定します。
CREATE TABLE my_security_table ( user_id VARCHAR2(30), privilege VARCHAR2(30));
表を作成したら、この表にユーザー権限情報を移入して、ページ、タブ、ナビゲーション・バー、ボタン、リージョン、または、その他のコントロールやコンポーネントの表示の制御に使用できます。
アプリケーションを作成する場合、認証を含めるかどうかを決定する必要があります。次の選択肢があります。
認証を要求しない。
Oracle HTML DBは、ユーザー資格証明を確認しません。すべてのユーザーが、アプリケーションのすべてのページにアクセスできます。
組込み認証スキームを選択する。
使用可能な事前構成済の認証スキームに基づいて、認証方式を作成します。選択するスキームによっては、Oracle9iAS、Oracle Internet Directoryまたは他の外部サービスの対応するコンポーネントを構成する必要があります。
カスタム認証スキームを作成する。
カスタム認証方式を作成すると、認証インタフェースを完全に制御できます。この方法を実装するには、HTML DBエンジンが各ページ・リクエストを処理する前に実行するPL/SQLファンクションを提供する必要があります。このファンクションのブール戻り値によって、HTML DBエンジンが通常どおりにページを処理するか、または失敗ページを表示するかが決まります。
認証スキームを作成するには、次の手順を実行します。
「作業領域」ホームページにナビゲートします。
「アプリケーション」リストからアプリケーションを選択します。
Application Builderのホームページで、「共有コンポーネント」をクリックします。
「共有コンポーネント」ページが表示されます。
「セキュリティ」で、「認証」を選択します。
「認証スキーム」ページが表示されます。
新しい認証スキームを作成するには、「スキームを作成」をクリックします。
次のいずれかの項目を選択して、スキームの作成方法を指定します。
事前構成済の認証スキームに基づいて
既存の認証スキームのコピーとして
最初から
画面に表示される手順に従います。
認証スキームを作成すると、使用可能な認証スキームが認証スキーム・リポジトリに表示されます。
認証スキーム・リポジトリにナビゲートするには、次の手順を実行します。
「作業領域」ホームページにナビゲートします。
「アプリケーション」リストからアプリケーションを選択します。
Application Builderのホームページで、「共有コンポーネント」をクリックします。
「共有コンポーネント」ページが表示されます。
「セキュリティ」で、「認証」を選択します。
「認証スキーム」ページが表示されます。
認証スキーム・リポジトリでは、次の操作を実行できます。
「カレントにする」リンクを選択して、認証スキームをカレント化します。
「編集」アイコンをクリックして、認証スキームを編集します。
「ビュー」アイコンをクリックして、認証スキームのフロー・チャートの説明を表示します。
「スキームを作成」をクリックして、画面に表示される手順に従い、新しい認証スキームを作成します。
アプリケーションのカレント認証スキームを表示するには、次の手順を実行します。
「作業領域」ホームページにナビゲートします。
「アプリケーション」リストからアプリケーションを選択します。
「属性を編集」アイコンをクリックします。
「アプリケーション属性を編集」ページが表示されます。
「セッション管理」属性までスクロールして「管理」をクリックします。
「認証スキーム」ページが表示されます。使用可能な認証スキームが認証スキーム・リポジトリに表示されます。認証スキームをカレントのスキームとして指定して、アプリケーションにそのスキームを適用します。
認証スキームをカレント・アプリケーションに適用するには、「カレントにする」リンクを選択します。
事前構成済の認証スキームを選択すると、Oracle HTML DBによって、標準動作の認証およびセッション管理を行う認証スキームがアプリケーションに作成されます。次に、使用可能な事前構成済の認証スキームについて説明します。
公開資格証明を使用すると、ユーザー名を取得する組込みログイン・ページを使用して、自分のアプリケーションがすべてのユーザーからアクセス可能になります。これは、アプリケーションの開発中に役立ちます。
HTML DBアカウント資格証明は、Oracle HTML DBユーザー・リポジトリで作成および管理される内部ユーザー（「Cookieユーザー」ともいう）・アカウントを参照します。このSCHEME認証方式を使用すると、アプリケーションをこれらのアカウントに対して簡単に認証できます。
認証なし（DADを使用）では、DAD構成に格納された値、またはアカウント情報がDAD構成に格納されていない場合にBasic認証要求を使用して取得されたユーザー名のいずれかとして、データベース・アクセス記述子（DAD）からユーザー名が取得されます。
Oracle Application Server Single Sign-On（パートナ・アプリケーションとしてのHTML DBエンジン）は、OracleAS Single Sign-On（SSO）Serverに認証を委譲します。認証スキームを使用するには、サイトは、SSO Serverにパートナ・アプリケーションとして登録されている必要があります。詳細は、管理者に連絡してください。
Oracle Application Server Single Sign-On（パートナ・アプリケーションとしてのMy Application）は、SSO Serverに認証を委譲します。SSOには、アプリケーションをパートナ・アプリケーションとして登録する必要があります。
データベース・アクセス記述子（DAD）データベース認証では、Oracleデータベース固有の認証と、Basic認証スキームを使用してユーザーを認証するユーザー・メカニズムを使用します。DAD資格証明の検証を使用するには、次の条件を満たしている必要があります。
各アプリケーション・ユーザーが、Oracleデータベースにユーザー・アカウントを持っている。
Basic認証用のPL/SQL DADを構成している（アカウント情報なし）。
これによって、アプリケーション・ユーザーは、ブラウザ・セッションごとに1回ユーザー名/パスワードを要求されます。その後、ユーザーIDトークンがAPP_USERアイテム内で使用可能になります。
DADデータベース認証は、管理可能な数のユーザーに対して最小限の設定のみが必要な認証方式を実装する場合に役立ちます。これらのユーザーがすでにデータベース内に自己管理されたアカウントを持っており、この認証方式を短期間（たとえば、開発のデモンストレーションまたはプロトタイプ段階の間）のみ使用することが理想です。
この方法の主なデメリットは、特にユーザーが自分のパスワードを管理していないか、またはユーザーのデータベース・アカウントがアプリケーションへの認証を容易化するためのみに存在している場合に、アカウントのメンテナンスが負担となることです。
HTML DBアカウント資格証明は、Oracle HTML DBユーザー・リポジトリで作成および管理される内部ユーザー（「Cookieユーザー」ともいう）・アカウントを使用します。作業領域管理者は、「ユーザーを管理」ページを使用して、ユーザー・アカウントを作成および編集できます。HTML DBアカウント資格証明は、次の場合に優れたソリューションです。
ユーザー・アカウント・リポジトリを制御する場合
ユーザー名およびパスワードに基づいたセキュリティで十分な場合
シングル・サインオン・フレームワークへの統合が不要な場合
この方法は特に、ユーザー・グループを新しいアプリケーションで迅速に起動および実行する必要がある場合に適しています。
ログイン・ページを使用する認証スキームは、Lightweight Directory Access Protocol（LDAP）を使用して、ログイン・ページで送信されるユーザー名およびパスワードを検証するように構成できます。Application Builderには、このオプションの構成方法を示すウィザードと編集ページが含まれています。これらのウィザードでは、この構成のために、ご使用のアプリケーションにアクセス可能なLDAPディレクトリがすでに存在していることと、LDAPディレクトリが資格証明の検証のSIMPLE_BIND_Sコールに応答できることを想定しています。LDAP資格証明の認証スキームを作成する場合、ウィザードによってLDAPホスト名、LDAPポート、DN文字列が要求され保存されます。オプションの事前処理ファンクションを指定して、APIに渡されるユーザー名の書式設定を調整できます。
Oracle HTML DBアプリケーションは、Oracle Application ServerのSingle Sign-On（SSO）インフラストラクチャでパートナ・アプリケーションとして実行できます。実行には、アプリケーション（またはHTML DBエンジン）をパートナ・アプリケーションとして登録する必要があります。アプリケーションまたはHTML DBエンジンをパートナ・アプリケーションとして登録するには、Oracle Application Serverのパートナ・アプリケーションの登録手順に従い、Oracle9iAS SSO Software Developer Kit（SDK）をインストールします。
この方法を選択する場合、ご使用のアプリケーションでは統合されたログイン・ページが使用されません。かわりに、ユーザーが新しいブラウザ・セッションでアプリケーションにアクセスすると、HTML DBエンジンによってSingle Sign-Onログイン・ページにリダイレクトされます。ユーザーがSSOによって認証されると、SSOコンポーネントはアプリケーションにリダイレクトし、HTML DBエンジンにユーザー識別情報およびその他の情報を渡します。その後、ユーザーはログオフするか、ブラウザ・セッションを終了するか、またはその他のセッション終了イベントが発生するまでアプリケーションを使用できます。
認証スキームを最初から作成すると、認証インタフェースを完全に制御できます。これは、次のいずれかに該当する場合に最適な方法です。
データベース認証または他の方式が適切でない。
独自のログイン・フォームおよび関連方式を開発する必要がある。
Oracle9iAS Single Sign-Onなどの外部サービスに対して、ユーザー認証のすべての設定を委譲する必要がある。
HTML DBセッション管理のセキュリティを制御する必要がある。
ユーザー・レベルまたはセッション・レベルでアクティビティを記録または監査する必要がある。
セッションのアクティビティ制限または存続期限を施行する必要がある。
Oracle HTML DBページ・プロセスの前にn方向の条件付きリダイレクト・ロジックをプログラムする必要がある。
一般的なセッション管理フレームワークを使用して、アプリケーションをOracle HTML DBアプリケーション以外のアプリケーションと統合する必要がある。
アプリケーションが、シームレス（たとえば、複数のOracle HTML DBアプリケーションID）に動作する複数のアプリケーションで構成されている。
Oracle HTML DBは、カスタム認証を実行する際に、次の2つの不適切な状況が発生しないようにします。
あるユーザーが、他のユーザーに属するセッション・ステートに故意にアクセスしようとすること。ただし、ユーザーは任意のアプリケーション・セッションIDをURLに入力できます。
失効したセッション・ステート（多くの場合、同じユーザーに属する以前のセッション・ステート）が不注意にアクセスされること。これは一般的に、アプリケーション・ページへのブックマークを使用したために発生します。
Oracle HTML DBは、カスタム認証ファンクションによって設定されたユーザーIDトークンが、アプリケーション・セッションが最初に作成された際に記録されたユーザーIDと一致するかどうかを確認します。ユーザーがまだ認証されておらず、ユーザーIDが認識されていない場合、アクセスをしているセッション・ステートは、他のユーザーに属していません。これらの確認によって、リクエスト内のセッションIDが使用可能かどうかが判断されます。セッションIDが使用不可能な場合、HTML DBエンジンは適切なセッションIDを使用して、同じページにリダイレクトします。
Oracle HTML DBで新しいアプリケーションを作成すると、ログイン・ページが作成されます。ページの別名は、'LOGIN'です。このページは、認証スキームで「無効なセッション」ページとして使用できます。このページは、Oracle HTML DBのログインAPIをコールするプロセスを使用して、資格証明の検証およびセッションの登録を実行するように構築されています。
事前に構築されたモデル・ページを使用して、すべてのユーザー・インタフェースを調整し、要件に対してロジックを加工して、独自のログイン・ページを構築することもできます。
アプリケーションのログイン・ページを作成するには、次の手順を実行します。
「作業領域」ホームページにナビゲートします。
「アプリケーション」リストからアプリケーションを選択します。
「ページを作成」をクリックします。
ページの右側の「タスク」リストから、「ログイン・ページを作成」を選択します。
画面に表示される手順に従います。
認可は、ユーザー権限に基づいてリソースへのアクセスを制御することを示す広義語です。条件は特定のページ・コントロールまたはページ・コンポーネントのレンダリングおよび処理を制御しますが、認可スキームは特定のコントロールまたはコンポーネントへのユーザーのアクセスを制御します。
このセクションの内容は次のとおりです。
認可スキームは、アプリケーションの認証スキームのセキュリティを強化します。認可スキームは、アプリケーション全体、各ページ、またはリージョン、アイテム、ボタンなどの特定のコントロールに対して指定できます。たとえば、認可スキームを使用して、ユーザーに表示するタブ、リージョンまたはナビゲーション・バーを選択的に決定できます。
認可スキームの結果は、成功または失敗のいずれかです。コンポーネントまたはコントロール・レベルの認可スキームに成功すると、そのコンポーネントまたはコントロールがユーザーに表示されます。失敗すると、そのコンポーネントまたはコントロールはユーザーに表示されません。アプリケーション・レベルまたはページ・レベルの認可スキームに失敗すると、Oracle HTML DBは事前定義済のメッセージを表示します。
認可スキームを定義する場合は、一意の名前を指定します。定義した認可スキームは、アプリケーションのコンポーネントまたはコントロールに割り当てることができます。アプリケーションのコンポーネントまたはコントロールに認可スキームを割り当てるには、該当する属性ページにナビゲートして、「認可スキーム」リストから認可スキームを選択するのみです。
認可スキームは、アプリケーションまたはアプリケーション・コンポーネントまたはコントロールに割り当てる前に作成する必要があります。
認可スキームを作成するには、次の手順を実行します。
「作業領域」ホームページにナビゲートします。
「アプリケーション」リストからアプリケーションを選択します。
Application Builderのホームページで、「共有コンポーネント」をクリックします。
「共有コンポーネント」ページが表示されます。
「セキュリティ」で、「認可」を選択します。
「作成」をクリックします。
次のいずれかの項目を選択して、認可スキームの作成方法を指定します。
最初から
既存の認可スキームのコピーとして
画面に表示される手順に従います。
既存の認可スキームの属性を編集するには、次の手順を実行します。
「作業領域」ホームページにナビゲートします。
「アプリケーション」リストからアプリケーションを選択します。
Application Builderのホームページで、「共有コンポーネント」をクリックします。
「共有コンポーネント」ページが表示されます。
「セキュリティ」で、「認可」を選択します。
既存の認可スキームが、ページの下部に表示されます。
既存の認可スキームの属性を編集するには、「編集」アイコンをクリックします。
画面に表示される手順に従います。
「評価ポイント」属性に、認可スキームを検証するタイミングを指定できます。認可スキームをセッションごとに1回検証するか、またはページ・ビューごとに1回検証するかを選択できます。
認可スキームがセッションごとに1回評価されるように指定して、その認可スキームが合格した場合、基礎となるコード、テストまたは問合せは、そのアプリケーション・セッション中に再実行されないことに注意してください。認可スキームが、セッション中の異なる時刻に評価されると結果が異なる可能性があるテストで構成されている場合、評価ポイントをページ・ビューごとに1回に指定する必要があります。
作成した認可スキームは、アプリケーション全体、ページ、コントロールまたはコンポーネントに割り当てることができます。
このセクションの内容は次のとおりです。
認可スキームをアプリケーションに割り当てるには、次の手順を実行します。
「作業領域」ホームページにナビゲートします。
「アプリケーション」リストからアプリケーションを選択します。
「属性を編集」アイコンをクリックします。
「アプリケーション属性を編集」ページが表示されます。
「認可」までスクロールして、「認可スキーム」リストから認可スキームを選択します。
認可スキームをページに割り当てるには、次の手順を実行します。
「作業領域」ホームページにナビゲートします。
「アプリケーション」リストからアプリケーションを選択します。
「ページ」リストからページ名を選択します。
「属性を編集」をクリックします。
「セキュリティ」までスクロールして、「認可スキーム」リストから認可スキームを選択します。
認可スキームの使用率レポートを使用して、アプリケーションに含まれる認可スキームの詳細を表示できます。
認可スキームの使用率レポートを表示するには、次の手順を実行します。
「作業領域」ホームページにナビゲートします。
「アプリケーション」リストからアプリケーションを選択します。
Application Builderのホームページで、「共有コンポーネント」をクリックします。
「共有コンポーネント」ページが表示されます。
「セキュリティ」で、「認可」を選択します。
「ナビゲーション」リストから、「認可スキームの使用率」を選択します。
「認可スキーム」リストから認可スキームを選択して、「実行」をクリックします。
ページの認可スキームの有無を示す詳細レポートを表示するには、「タスク」リストから選択します。
