ナビゲーションをスキップ

eDocs ホーム > BEA WebLogic Platform 8.1 ドキュメント > WebLogic Platform 8.1 のセキュリティ > ユーザ情報のための外部データ ストアの使用

WebLogic Platform 8.1 のセキュリティ

  前 次 前と次、目次/インデックス/pdf を分けるコロン 目次  

ユーザ情報のための外部データ ストアの使用

管理者の基本的な仕事の 1 つは、デプロイメント環境のユーザに関する情報を作成および管理することです。この章では、以下のトピックについて概要を説明します。

この章では、以下のトピックについて説明します。

注意 : ユーザ情報の定義には、ユーザ、グループ、ロール、およびセキュリティ ポリシーが含まれます。ただし、この章では、ユーザ、グループ、およびロールに焦点を当てて説明します。セキュリティ ポリシーの詳細については、『WebLogic リソースのセキュリティ』の「セキュリティ ポリシー」を参照してください。

 

ユーザ情報の保存場所

ユーザ情報は、以下の情報で構成されています。

デフォルトでは、ドメインを作成するたびに、ユーザ情報が組み込み WebLogic LDAP サーバに保存されます。ただし、1 つ例外があります。

注意 : 例外はユーザ プロファイルです。詳細については、「ユーザ プロファイル情報の管理」を参照してください。

組み込み LDAP サーバに保存されているユーザ情報は、WebLogic Platform のすべてのコンポーネントから常に使用できます。ユーザ情報は、最初に作成するときにどの管理コンソールが使用されたかに関係なく、どのコンポーネントからでも管理、修正、および削除できます。

1 つのコンポーネントの管理コンソールでユーザ情報を修正した後、別の管理コンソールの表示を更新すると、更新された情報を別のコンポーネントの管理コンソールで表示できます。

図 3-1 は、すべてのコンポーネント管理コンソールによって共有される組み込み LDAP サーバを示しています。

図 3-1 WebLogic Platform セキュリティ情報が集中的に保存される組み込み LDAP サーバ

WebLogic Platform セキュリティ情報が集中的に保存される組み込み LDAP サーバ


 

表 3-1 は、WebLogic Platform で使用可能な各管理コンソールで作成、修正、および削除できるユーザ情報の要約です。また、デフォルトでユーザ情報の各カテゴリと関連付けられているセキュリティ プロバイダおよびストレージ リポジトリも示しています。

表 3-1 には、ユーザ情報の各項目に関連付けられているデフォルトのセキュリティ プロバイダおよびデータ ストアの一覧も含まれています。後で、ユーザ情報に使用されるストアをカスタマイズする場合は、関連付けられたセキュリティ プロバイダをカスタマイズする必要があります (データ ストアのカスタマイズについては、「外部 LDAP サーバの使用」を参照してください)。

表 3-1 WebLogic Platform で入力、修正、および削除できるユーザ情報

ユーザ情報

情報の作成および管理に使用するコンソール

関連付けられたセキュリティ プロバイダ

デフォルトのストレージ リポジトリ

ユーザ名とパスワード

任意の WebLogic Platform コンポーネントの管理コンソール

WebLogic 認証プロバイダ

組み込み LDAP

グループ

任意の WebLogic Platform コンポーネントの管理コンソール

WebLogic 認証プロバイダ

組み込み LDAP

セキュリティ ロール

任意の WebLogic Platform コンポーネントの管理コンソール

WebLogic ロール マッピング プロバイダ

組み込み LDAP

ポータル ユーザ プロファイル

WebLogic Administration Portal コンソール

なし

RDBMS

トレーディング パートナ プロファイル

WebLogic Integration Administration Console

なし

RDBMS

これ以降の節では、表 3-1 に示した 2 つのセキュリティ プロバイダとデフォルトのストレージ リポジトリについて補足します。

ユーザ情報に関連付けられたセキュリティ プロバイダ

表 3-1 には、ユーザ、パスワード、グループ、およびロールに関連付けられたセキュリティ機能を調整する、以下のセキュリティ プロバイダが挙げられています。

WebLogic セキュリティ サービスも、ユーザ情報を処理する追加のセキュリティ プロバイダを提供しますが、これらの 2 つのプロバイダは、ユーザ情報をバックアップまたは移行するときや、ユーザ情報の保存方法をカスタマイズするときに特に重要です。

ユーザ情報のデフォルトのリポジトリ

表 3-1 に示すように、デフォルトでは以下のユーザ情報が組み込み LDAP サーバで保持されます。

ユーザ プロファイルは、特定のドメイン内で WebLogic Platform データの保存に使用される RDBMS で作成されます。デフォルトでは、WebLogic Platform ドメインでは PointBase RDBMS が使用されます。ユーザ プロファイルの詳細については、「ユーザ プロファイル情報の管理」を参照してください。

ユーザ情報データ ストアのカスタマイズ

表 3-2 は、ユーザおよびグループ情報の保存に Netscape iPlanet 4.1.3 LDAP サーバを、WebLogic Platform および WebLogic Portal で使用する RDBMS として Oracle 8.1.7 を使用するサンプル コンフィグレーションを示しています。

表 3-2 ユーザ情報のための外部データ ストアの使用

ユーザ情報

情報の作成および管理に使用するコンソール

関連付けられたセキュリティ プロバイダ

外部ストレージ リポジトリ

ユーザ名とパスワード

Netscape iPlanet 管理サーバ

Netscape iPlanet 認証プロバイダ1

Netscape iPlanet 4.1.3 LDAP サーバ

グループ

Netscape iPlanet 管理サーバ

Netscape iPlanet 認証プロバイダ1

Netscape iPlanet 4.1.3 LDAP サーバ

セキュリティ ロール

任意の WebLogic Platform コンポーネントの管理コンソール

WebLogic ロール マッピング プロバイダ

組み込み LDAP

ポータル ユーザ プロファイル

WebLogic Administration Portal コンソール

なし

Oracle 8.1.7

トレーディング パートナ プロファイル

WebLogic Integration Administration Console

なし

Oracle 8.1.7

1. WebLogic Platform 配布キットには、Netscape iPlanet LDAP サーバとともに使用できる、追加設定の必要がない製品付属の認証プロバイダが含まれています。


 

 

外部 LDAP サーバの使用

WebLogic Platform には、外部 LDAP サーバに保存されているユーザ情報を操作するための、認証プロバイダおよびロール マッピング プロバイダを簡単にコンフィグレーションできるツールが用意されています。この節には、外部 LDAP サーバの使用に関する高度な注意事項と、WebLogic Server ドキュメントの該当するトピックへのリンクが含まれています。WebLogic Server ドキュメントには、ツールの説明および外部 LDAP サーバへのユーザ情報の移行方法とサーバの使用方法の手順が記載されています。

注意 : 外部 LDAP サーバを使用する場合、そのサーバを使用してユーザおよびグループ情報を保存できます。その LDAP サーバのコンソールを使用してそこに保存されているユーザ情報を管理できます。ただし、ロール、ポリシー、および追加のセキュリティ情報は、組み込み LDAP サーバに保存されたままで、WebLogic 管理コンソールから管理します。

WebLogic Platform で使用できる LDAP サーバ

WebLogic Platform では、WebLogic Server と連動する LDAP サーバであれば任意のものを使用することができます。以下の外部 LDAP サーバは WebLogic Server でテスト済みです。

外部 LDAP サーバを使用する場合は、以下の点に注意します。

外部 LDAP サーバのサポートの詳細については、『WebLogic Security の管理』の以下のトピックを参照してください。

カスタムまたはサードパーティの認証プロバイダの使用

外部 LDAP サーバにユーザ情報を保存する場合は、そのサーバで稼動する認証プロバイダをコンフィグレーションする必要があります。WebLogic Platform には、前の節に示した LDAP サーバでテスト済みの追加設定の必要がない製品付属の認証プロバイダが含まれています。

カスタム認証プロバイダを作成することもできます。WebLogic Server Security SPI と互換性のある認証プロバイダは、WebLogic Platform でコンフィグレーションされているユーザ、グループ、ロール、資格、およびリソースとの相互作用が可能です。さらに、そのような認証プロバイダでは、コンフィグレーションできるグループとユーザの数に制限はありません。

注意 : 現在、WebLogic Platform では、RDBMS に保存されているユーザ情報を操作できる認証プロバイダは提供していません。

WebLogic Portal または WebLogic Integration でカスタムまたはサードパーティの認証プロバイダを使用する

WebLogic Portal または WebLogic Integration でカスタムまたはサードパーティの認証プロバイダを使用する場合は、以下の点に注意してください。

カスタム認証プロバイダの詳細情報

WebLogic Server でカスタムまたはサードパーティの認証プロバイダを使用する場合は、『WebLogic セキュリティ サービスの開発』の以下のトピックを参照してください。

外部 LDAP サーバに対して追加設定の必要がない製品付属の認証プロバイダをコンフィグレーションする場合は、『WebLogic Security の管理』の「セキュリティ プロバイダのコンフィグレーション」にある「LDAP 認証プロバイダのコンフィグレーション」を参照してください。

カスタム ロール マッピング プロバイダの使用

WebLogic Platform に組み込まれているロール マッピング プロバイダでは、システム内のセキュリティ ロールのデプロイメントとアンデプロイメントがサポートされています。このプロバイダでは、WebLogic 認可プロバイダと同じセキュリティ ポリシー エンジンが使用されます。ただし、組織内の既存のロール マッピング メカニズムを使用する場合は、そのシステムに対応したカスタム ロール マッピング プロバイダを作成できます。

ロール情報の判断に必要な情報が格納されている大規模なプロジェクト データベースを使用する環境を想定してみましょう。WebLogic ロール マッピング プロバイダは、組み込み LDAP サーバに保存されたロール情報しか操作できないため、この外部に保存されたロール情報を操作できるカスタム ロール マッピング プロバイダを作成する必要があります。

WebLogic Platform 8.1 (Service Pack 3) では、WebLogic Portal 管理ツールで、カスタムまたはサードパーティのロール マッピング プロバイダのロールの関連付けをサポートしています。これにより、WebLogic ロール マッピング プロバイダ以外にコンフィグレーションされているロール マッピング プロバイダについても、それが管理するロールに基づいて訪問者資格を作成できます。

カスタム ロール マッピング プロバイダの作成方法の詳細については、『WebLogic Security サービスの開発』の「ロール マッピング プロバイダ」にある「カスタム ロール マッピング プロバイダの開発方法」を参照してください。

 

ユーザ プロファイル情報の管理

WebLogic Integration および WebLogic Portal では、ユーザと関連付けることができるプロファイルの追加も可能です。デフォルトでは、ユーザ プロファイルはそれらの作成に使用した管理コンソールからのみ表示できます。プロファイルは、WebLogic Integration では WebLogic Integration リポジトリに、WebLogic Portal では WebLogic Portal リポジトリに保存されます。これらは、WebLogic Platform ドメインに対してコンフィグレーションされた RDBMS に存在します (デフォルトでは、この RDBMS は PointBase です)。

たとえば、WebLogic Integration では、トレーディング パートナ プロファイルを作成できます。トレーディング パートナ プロファイルは、ユーザ名、パスワード、および B2B アプリケーションに固有のその他のデータ (トレーディング パートナの住所、業務内容、その他の関連データなど) で構成されます。トレーディング パートナ プロファイルに関連付けられたユーザ名は、コンフィグレーションされた認証プロバイダの通常の WebLogic ユーザとして保存および管理されます。ただし、追加のトレーディング パートナ プロファイル データは、WebLogic Integration リポジトリに保存されます。WebLogic Integration には、そのリポジトリ内の各トレーディング パートナ プロファイルを対応するユーザ名とマップする内部メカニズムがあります。

WebLogic Portal にもユーザ プロファイルの概念があります。トレーディング パートナ プロファイルと同様に WebLogic Portal ユーザ プロファイルは以下の特徴があります。

デフォルトでは、トレーディング パートナ プロファイル情報は、WebLogic Integration Administration Console からのみ表示でき、Portal ユーザ プロファイルは WebLogic Administration Portal からのみ表示できます。ただし、トレーディング パートナ プロファイルおよび Portal ユーザ プロファイルと関連付けられたユーザは、どの WebLogic 管理コンソールでも表示できます。

注意 : WebLogic Integration および WebLogic Portal 管理コンソールで作成されたユーザのプロファイルは、RDBMS に保存されます。ただし、ユーザ名およびパスワードは、アプリケーション ドメインに対してコンフィグレーションされた認証プロバイダによって管理されます。それらは、そのプロバイダでコンフィグレーションされた LDAP サーバに保存されます。

ユーザ プロファイルの削除

ユーザ プロファイルの削除については、以下の事項に注意してください。

 

Platform ドメインに事前にコンフィグレーションされているユーザ、グループ、およびロール

この節では、コンフィグレーション ウィザードを使用して Platform ドメインを作成するときに事前にコンフィグレーションされるユーザ、グループ、およびロールについて説明します。この節に示すユーザ情報は、情報目的としてのみ提供されます。これは、使用するソフトウェア環境および事前にコンフィグレーションされたユーザ情報によっては、保護、バックアップ、削除、または移行が必要なユーザ、グループ、およびセキュリティ ロールを追跡するために便利です。

Platform ドメインで作成されたデフォルト ユーザ

表 3-3 は、Platform ドメインでデフォルトで作成されるユーザを示しています。

表 3-3 デフォルトの WebLogic Platform ユーザ

ユーザ名

説明

weblogic

ドメインの管理者のデフォルト ユーザ名。このユーザは、システム管理者特権を持つ。

weblogic は、サンプル アプリケーション ドメインでの、このユーザ名に対するデフォルト パスワード。サンプル アプリケーション ドメインは、すべての WebLogic Platform コンポーネントにおいて、そのまま使用できる状態で提供される。

portaladmin

ポータル管理者のデフォルト ユーザ名。このユーザは、Administrators および PortalSystemAdministrators グループに属する。デフォルトでは、このユーザのパスワードは portaladmin である。Administration Portal を使用していない場合は、このユーザをすべての WebLogic Platform 管理コンソールから削除すると安全である。

注意 : ドメインを作成した後に、このパスワードを変更することを強く推奨。特に、プロダクション環境で使用するドメインの場合は必ず変更すること。

yahooadmin

My Yahoo! Enterprise Edition ポートレットの管理者のデフォルト ユーザ名。このユーザは Administrators グループに属する。yahooadmin 名によって、My Yahoo! Enterprise Edition ポートレットの匿名ユーザに対するサポートがアクティブになる。デフォルトでは、このユーザのパスワードは yahooadmin である。Administration Portal を使用していない場合は、このユーザをすべての WebLogic Platform 管理コンソールから削除すると安全である。

注意 : ドメインを作成した後に、このパスワードを変更することを強く推奨。特に、プロダクション環境で使用するドメインの場合は必ず変更すること。


 

WebLogic Server のデフォルトのロールとグループ

表 3-4 および 表 3-5 は、Platform ドメインで作成されるデフォルト WebLogic Server ロールとグループを示しています。

表 3-4 WebLogic Server でのデフォルト ロール

ロール

説明

Anonymous

このグローバル ロールはすべてのユーザ (グループ everyone) に与えられる。

Admin

以下の特権を持つ。

  • 暗号化された属性の暗号化値を含む、サーバ コンフィグレーションを表示する。

  • サーバ コンフィグレーション全体を修正する。

  • エンタープライズ アプリケーション、起動クラスと停止クラス、および Web アプリケーション、EJB、J2EE Connector、および Web サービス モジュールをデプロイする。

  • サーバを起動、再起動、および停止する。

Deployer

以下の特権を持つ。

  • 暗号化された属性以外のサーバ コンフィグレーションを表示する。

  • エンタープライズ アプリケーション、起動クラスと停止クラス、および Web アプリケーション、EJB、J2EE Connector、および Web サービス モジュールをデプロイする。

Operator

以下の特権を持つ。

  • 暗号化された属性以外のサーバ コンフィグレーションを表示する。

  • サーバを起動、再起動、および停止する。

Monitor

暗号化された属性以外のサーバ コンフィグレーションを表示する特権を持つ。


 

表 3-5 WebLogic Server でのデフォルト グループ

グループ

説明

users

ログインしたときのユーザ (たとえば、Web ページから)。

everyone

すべてのユーザは、このグループのメンバーである。

Administrators

デフォルトでは、このグループには以下が含まれる。

  • インストール プロセスの一部として入力されたユーザ情報 (コンフィグレーション ウィザードを使用して入力された情報)。

  • WebLogic Server インスタンスが互換性セキュリティを実行している場合はシステム ユーザ。

Administrators グループに割り当てられたユーザは、デフォルトでは Administrator セキュリティ ロールを与えられ、WebLogic Integration および WebLogic Portal を含むすべての WebLogic Platform コンポーネントに対する完全な管理者特権を持つ。

Deployers

デフォルトでは、このグループには空になっている。Deployers グループに割り当てられたユーザは、デフォルトでは Deployer セキュリティ ロールを与えられる。

Operators

デフォルトでは、このグループには空になっている。Operators グループに割り当てられたユーザは、デフォルトでは Operator セキュリティ ロールを与えられる。

Monitors

デフォルトでは、このグループには空になっている。Monitors グループに割り当てられたユーザは、デフォルトでは Monitor セキュリティ ロールを与えられる。


 

WebLogic Integration のデフォルトのセキュリティ ロールとグループ

表 3-6 および 表 3-7 は、Platform ドメインで作成されるデフォルト WebLogic Integration ロールとグループを示しています。

表 3-6 デフォルトの WebLogic Integration セキュリティ ロール

ロール

説明

IntegrationAdmin

WebLogic Integration 管理者ロール。このロールは、クラスタ内のすべてのサーバに対する完全な特権を持つ。このロールは、管理コンソールを使用して追加のロールを作成できる。

IntegrationDeployer

WebLogic Integration デプロイヤ ロール。このロールは、クラスタ内のすべてのサーバに対する完全な特権を持つ。このロールは、管理コンソールを使用して追加のロールを作成できる。

IntegrationOperator

WebLogic Integration オペレータ ロール。このロールは、IntegrationAdministrator ロールのほとんどすべての特権を持つ。たとえば、IntegrationOperator ロールのユーザは、特定のセキュリティ プロパティをコンフィグレーションできないが、リソースを修正できる。

IntegrationMonitor

WebLogic Integration モニタ ロール。このロールは、WebLogic Integration Administration Console に対する読み込み専用アクセスを持つ。

IntegrationUser

デフォルトの WebLogic Integration ユーザ ロール。すべてのユーザは、最初に作成されたときに IntegrationUser ロールに割り当てられる。

TaskCreationRole

ワークリスト タスクの作成を認可できるオプションのロール。『WebLogic Integration ソリューションの管理』の「システム コンフィグレーション」にある「ワークリスト タスク作成ロールのコンフィグレーション」を参照。

ワークリスト タスクの作成を認可するようにこのロールをコンフィグレーションした場合、TaskCreationGroup に割り当てられたすべてのユーザがこの特権を持つようになる。ただし、明示的にそれらを持つようにコンフィグレーションしない限り、デフォルトでは TaskCreationRole に特別な権利はない。


 

表 3-7 WebLogic Integration でのデフォルト グループ

グループ

説明

IntegrationAdministrators

WebLogic Integration 管理者グループ。このグループは、ロール IntegrationAdmin に割り当てられ、すべてのメンバーがそのロールを継承する。

IntegrationDeployers

WebLogic Integration デプロイヤ グループ。このグループは、ロール IntegrationDeployer に割り当てられ、すべてのメンバーがそのロールを継承する。

IntegrationUsers

WebLogic Integration ユーザ グループ。このグループは、ロール IntegrationUser に割り当てられ、すべてのメンバーがそのロールを継承する。

IntegrationMonitors

WebLogic Integration モニタ グループ。このグループは、ロール IntegrationMonitor に割り当てられ、すべてのメンバーがそのロールを継承する。

IntegrationOperators

WebLogic Integration オペレータ グループ。このグループは、ロール IntegrationOperator に割り当てられ、すべてのメンバーがそのロールを継承する。

TaskCreationGroup

Integration 管理者のほかに新しいワークリスト タスクの作成を認可されたユーザを含む WebLogic Integration グループ。このグループには、ロール TaskCreationRole に割り当てられる。


 

WebLogic Portal のデフォルトのセキュリティ ロールとグループ

表 3-8 および表 3-9 は、Platform ドメインで作成されるデフォルト WebLogic Portal ロールとグループを示しています。

表 3-8 WebLogic Portal でのデフォルト セキュリティ ロール

ロール

説明

CustomerRole

コマース サービスで使用される、wlcs_customer グループに関連付けられたロール。ポータル アプリケーションでコマース サービスを使用しない場合は、このロールを安全に削除できる。

PortalSystemAdministrator

デフォルトの WebLogic Portal システム管理者ロール。このロールは、クラスタ内のすべてのサーバに対する完全な特権を持つ。このロールは、管理コンソールを使用して追加のロールを作成できる。

PortalSystemDelegator

委託管理を確立するための最上位のロール。Administrators グループのすべてのユーザは、デフォルトではこのロールに割り当てられる。


 

表 3-9 WebLogic Portal でのデフォルト グループ

グループ

説明

PortalSystemAdministrators

WebLogic Portal 管理者グループ。このグループは、ロール PortalSystemAdministrator に割り当てられ、すべてのメンバーがそのロールを継承する。

wlcs_customer

ポータルの顧客をポータル ユーザと区別するためにコマース サービスで使用されるグループ。このグループは、WebLogic Portal 7.0 との互換性のために存在している。ポータル アプリケーションでコマース サービスを使用しない場合は、このグループを安全に削除できる。


 

 

ナビゲーション バーのスキップ  ページの先頭 前 次