セキュリティ

リソースアダプタは外部システムとの接続を確立する必要があるため、認証および接続の確立に必要なその他の情報をコンフィグレーションする必要があります。以下の節では、発信通信における WebLogic Server リソースアダプタのセキュリティについて説明します。

コンテナ管理およびアプリケーション管理によるサインオン

リソースアダプタはエンタープライズ情報システム (EIS) への発信接続を行うときに、有効なセキュリティ資格を使用してサインオンする必要があります。J2CA 1.5 仕様に従って、WebLogic Server では、発信接続に関するコンテナ管理およびアプリケーション管理によるサインオンをサポートしています。実行時に WebLogic Server は、呼び出し側クライアントコンポーネントのデプロイメント記述子、またはリソースアダプタデプロイメント記述子の res-auth 要素で指定された情報に基づいて、選択されたサインオンメカニズムを判断します。リソースアダプタのデプロイメント記述子で指定されたサインオンメカニズムは、呼び出し側クライアントコンポーネントのデプロイメント記述子で指定されたメカニズムに優先します。コンテナ管理によるサインオンを使用する場合でも、クライアントコンポーネントで明示的に指定されたセキュリティ情報があれば、接続を取得する呼び出しの際に提示されます。

WebLogic Server J2EE 1.5 コネクタアーキテクチャの実装で、クライアントコンポーネントが要求しているサインオンメカニズムを判断できない場合、コネクタコンテナはコンテナ管理によるサインオンを試行します。

アプリケーション管理によるサインオン

アプリケーション管理によるサインオンの場合、クライアントコンポーネントは、EIS に接続するための呼び出しを実行するときに、必要なセキュリティ資格 (通常はユーザ名とパスワード) を提示します。この場合、アプリケーションサーバは、接続要求でこの情報を渡す以外にセキュリティ関連の処理を行いません。

コンテナ管理によるサインオン

WebLogic Server と EIS はそれぞれ独立したセキュリティレルムを保持しています。コンテナ管理によるサインオンの目的は、ユーザに WebLogic Server へのサインオンを許可することと、EIS に別にサインオンしなくても、リソースアダプタを介して EIS にアクセスするアプリケーションを使用できるようにすることです。WebLogic Server のコンテナ管理によるサインオンでは、資格マッピングを使用します。資格マッピングとは、WebLogic セキュリティプリンシパル (認証を受ける個々のユーザまたはクライアントアプリケーション) の資格 (ユーザ名とパスワードのペアまたはセキュリティトークン) を、EIS へのアクセスに必要な、対応する資格にマップしたものです。デプロイ済みのリソースアダプタに対して、適切なセキュリティプリンシパルの資格マッピングをコンフィグレーションできます。関連情報については、「資格マッピング」を参照してください。

パスワード資格マッピング

J2CA 1.5 仕様では、javax.security.auth.Subject で資格を格納することを求めています。資格は ManagedConnectionFactory オブジェクトの createManagedConnection() または matchManagedConnection() メソッドに渡されます。資格マッピング情報は WebLogic Server の組み込み LDAP ストレージに格納されます。資格マッピングは発信リソースアダプタに固有のものです。

認証メカニズム

WebLogic Server ユーザは、保護されている WebLogic Server リソースへのアクセスを要求する場合、必ず認証を受けなければなりません。このため、各ユーザは資格 (ユーザ名/パスワードの組み合わせまたはデジタル証明書) を WebLogic Server に提示する必要があります。

パスワード認証は、WebLogic Server がデフォルトでサポートしている唯一の認証メカニズムです。パスワード認証は、ユーザ ID とパスワードから成ります。コンフィグレーション済みのマッピングに基づいて、ユーザがリソースアダプタへの接続を要求すると、そのユーザの適切な資格がリソースアダプタに提供されます。

SSL (または HTTPS) プロトコルを使用すると、パスワード認証にさらに高度なレベルのセキュリティを提供できます。SSL プロトコルは、クライアントと WebLogic Server との間で転送されるデータを暗号化するので、ユーザ ID とパスワードはクリアテキストでは転送されません。SSL を使用すると、WebLogic Server は、ユーザの ID とパスワードの機密性を保持しながらユーザを認証することができます。詳細については、『WebLogic Server のセキュリティ』の「SSL のコンフィグレーション」を参照してください。

資格マッピング

資格マッピングは発信リソースアダプタに固有のものです。資格マッピングをコンフィグレーションするには、WebLogic Server Administration Console を使用します。資格マッピングをコンフィグレーションする前に、リソースアダプタを正常にデプロイしておく必要があります。リソースアダプタを最初にデプロイしたとき、資格マッピングはコンフィグレーションされていません。資格マッピングがコンフィグレーションされるまで、初期接続は失敗します。

このため、リソースアダプタが資格を要求し、デプロイ時に接続を作成するようコンフィグレーションされている (つまり weblogic-ra.xml 内の initial-capacity 要素が 0 より大きな値に設定されている) 場合、初期接続が失敗することがあります。したがって、このリソースアダプタの初期インストールおよびデプロイメント時には、接続プールの initial-capacity 要素を 0 に設定することをお勧めします。適切な資格をコンフィグレーションし、リソースアダプタの初期デプロイメントが終わったら、initial-capacity 要素の値を変更できます。「initial-capacity: ManagedConnection の初期数の設定」を参照してください。

資格マッピングは、個々の発信接続プールに対して、またはリソースアダプタのすべての接続プールに対してコンフィグレーションできます。リソースアダプタが接続要求を受信すると、WebLogic Server は、特定の接続プールに対してコンフィグレーションされている資格マッピングを検索してから、リソースアダプタに対してグローバルにコンフィグレーションされているマッピングをチェックします。サーバは以下の順序でマッピングを検索します。

接続ファクトリレベルの特定のマッピング。
グローバルレベルの特定のマッピング。
接続ファクトリレベルのデフォルトのマッピング。
グローバルレベルのデフォルトのマッピング。

たとえば、次のような 2 つの接続プールと資格マッピングがあるとします。

コードリスト 8-1 の例の場合に、あるアプリケーションが system として認証を受け、poolA に対して接続要求を行うとします。poolA では system に対する特定の資格マッピングが定義されているので、リソースアダプタはこのマッピング (admin/adminpw) を使用します。

アプリケーションが system として、同じ要求を poolB に対して行うと、system に対する特定の資格マッピングがないので、サーバはグローバルレベルで資格マッピングを検索して、マッピング (sysman/sysmanpw) を見つけます。

別のアプリケーションが wlsjoe として認証を受け、poolA に対して要求を行った場合、poolA には wlsjoe に対して定義されたマッピングがないことがわかります。そこで、グローバルレベルで検索して、wlsjoe に対するマッピング (scott/tiger) を見つけます。poolB に対して要求を行った場合、このアプリケーションは poolB に対して定義されたマッピング (harry/harrypw) を見つけます。

アプリケーションが user1 として認証を受け、poolA に対して要求を行った場合、poolA には user1 に対して定義されたマッピングがないことがわかります。次のシーケンスが発生します。

アプリケーションはグローバルレベルで検索します。グローバルレベルでも user1 に対するマッピングはありません。
アプリケーションは poolA でデフォルトマッピングがないか検索し、デフォルトマッピングを見つけます。

コンソールを使用した資格マッピングの作成

WebLogic Server Administration Console を使用して資格マップを作成できます。WebLogic 資格マッピングプロバイダを使用する場合、資格マップは組み込み LDAP サーバに格納されます。資格マップの作成方法については、Administration Console オンラインヘルプの「資格マッピングの作成」を参照してください。

セキュリティポリシーの処理

セキュリティポリシーは、権限のないアクセスから WebLogic リソースを保護するための、WebLogic リソースと 1 つまたは複数のユーザ、グループ、セキュリティロールとの関連付けです。J2CA 1.5 仕様では、アプリケーションサーバで実行されるリソースアダプタのデフォルトセキュリティポリシーを定義しています。リソースアダプタが、デフォルトをオーバーライドする独自のセキュリティポリシーを提供する方法も定義されています。WebLogic Server に同梱されている weblogic.policy ファイルでは、J2CA 1.5 仕様に従ってデフォルトセキュリティポリシーを規定しています。

リソースアダプタで固有のセキュリティポリシーを定義していない場合、WebLogic Server は、weblogic.policy ファイルで指定されたデフォルトセキュリティポリシーを使用して、リソースアダプタの実行時環境を確立します。weblogic.policy ファイルは J2CA 1.5 仕様で規定されたデフォルトに準拠しています。リソースアダプタで固有のセキュリティポリシーが定義されている場合、Weblogic Server は、リソースアダプタのデフォルトセキュリティポリシーとリソースアダプタに定義された固有のポリシーを併用して、リソースアダプタの実行時環境を確立します。リソースアダプタの固有のセキュリティポリシーを定義するには、ra.xml デプロイメント記述子ファイルの security-permission-spec 要素を使用します。

リソースアダプタのセキュリティ ID のコンフィグレーション

この節では、weblogic-ra.xml デプロイメント記述子で WebLogic Server リソースアダプタのさまざまなセキュリティ ID をコンフィグレーションする方法について説明します。セキュリティ ID によって、リソースアダプタの特定の機能を実行できるセキュリティプリンシパルが決まります。WebLogic リソースアダプタでは、1 つのセキュリティ ID ですべての機能を実行することも、機能の個々のクラスごとに別々の ID を使用することもできます。次の 4 種類のセキュリティ ID を weblogic-ra.xml デプロイメント記述子に定義できます。

デフォルトプリンシパル - リソースアダプタのすべてのタスクを実行できるセキュリティプリンシパル。
run-as プリンシパル - 接続要求時にコネクタコンテナからリソースアダプタコードへの呼び出しで使用されるセキュリティプリンシパル。
run-work-as プリンシパル - リソースアダプタによって起動された Work インスタンスで使用されるセキュリティプリンシパル。
manage-as プリンシパル - 起動、停止、テスト、トランザクション管理などのリソースアダプタの管理タスクに使用されるセキュリティプリンシパル。

コードリスト 8-2 は、weblogic-ra.xml デプロイメント記述子の抜粋です。さまざまなリソースアダプタのタスクを実行するためにこれらの 4 つのセキュリティ ID をすべてコンフィグレーションする方法を示しています。

<weblogic-connector xmlns="http://www.bea.com/ns/weblogic/90">

   <jndi-name>900blackbox-notx</jndi-name>

         <principal-name>system</principal-name>

         <principal-name>raruser</principal-name>

         <principal-name>workuser</principal-name>

         <principal-name>raruser</principal-name>

コードリスト 8-3 は、<default-principal-name> 要素を使用して、リソースアダプタのすべてのタスクを実行する 1 つのデフォルトプリンシパルのセキュリティ ID をコンフィグレーションする方法を示しています。

<weblogic-connector xmlns="http://www.bea.com/ns/weblogic/90">

   <jndi-name>900blackbox-notx</jndi-name>

         <principal-name>system</principal-name>

セキュリティ ID のプロパティの設定の詳細については、「security」を参照してください。

default-principal-name: デフォルト ID

default-principal-name 要素を使用して、リソースアダプタのすべての目的に使用できる 1 つのセキュリティ ID を定義できます。run-as-principal-name、manage-as-principal-name、および run-work-as-principal-name に値が指定されていない場合、default-principal-name に設定した値がデフォルトになります。

default-principal-name の値は、system などの定義済みの WebLogic Server ユーザ名を設定することも、匿名の ID を使用するように設定することもできます (匿名 ID の場合は、セキュリティ ID がないのと同じことになります)。

たとえば、次のように、デフォルトの system ID を使用して、WebLogic Server からリソースアダプタへのすべての呼び出しを行い、リソースアダプタのすべての管理タスクを行う、1 つのセキュリティ ID を作成することができます。

      <principal-name>system</principal-name>

次のように、default-principal-name 要素を anonymous に設定できます。

      <use-anonymous-identity>true</use-anonymous-identity>

manage-as-principal-name: 管理タスク実行用の ID

manage-as-principal-name 要素を使用して、起動、停止、テスト、縮小、トランザクション管理などの、リソースアダプタのさまざまな管理タスクの実行に使用される管理 ID を定義できます。

default-principal-name と同様に、manage-as-principal-name の値は、system などの定義済みの WebLogic Server ユーザ名を設定することも、匿名の ID を使用するように設定することもできます (匿名 ID の場合は、セキュリティ ID がないのと同じことになります)。manage-as-principal-name 要素の値を設定しない場合、default-principal-name で設定された値がデフォルトになります。default-principal-name に値が設定されていない場合、匿名 ID がデフォルトになります。

コードリスト 8-6 は、リソースアダプタが、WebLogic Server で定義されたユーザ名 system を使用して管理呼び出しを実行するようにコンフィグレーションする方法を示しています。

      <principal-name>system</principal-name>

コードリスト 8-7 は、リソースアダプタが匿名の ID を使用して管理呼び出しを実行するようにコンフィグレーションする方法を示しています。

      <use-anonymous-identity>true</use-anonymous-identity>

run-as-principal-name: コネクタコンテナからリソースアダプタへの接続呼び出しに使用される ID

run-as-principal-name 要素では、接続要求時にコネクタコンテナからリソースアダプタコードへのすべての呼び出しで使用されるプリンシパル名を定義できます。このプリンシパル名は、たとえば、ManagedConnectionFactory などのリソースアダプタオブジェクトがインスタンス化されるときに使用されます。つまり、WebLogic Server コネクタコンテナがリソースアダプタに呼び出しを行うときに、run-as-principal-name 要素で定義された ID が使用されます。この呼び出しには、着信または発信の要求や設定に含まれる呼び出しや、着信または発信リソースアダプタの初期化に含まれる呼び出し (ResourceAdapter.start() など) があります。

run-as-principal-name 要素の値は、次の 3 通りのいずれかで設定できます。

定義済みの WebLogic Server 名を設定する
匿名の ID を使用する
呼び出し側コードのセキュリティ ID を使用する

run-as-principal-name 要素の値が定義されていない場合は、default-principal-name 要素の値がデフォルトになります。default-principal-name 要素が定義されていない場合は、要求の呼び出し側の ID がデフォルトになります。

run-work-as-principal-name: リソースアダプタの管理タスクを実行するための ID

着信リソースアダプタの場合は、Work インスタンスを使用して着信要求を実行することをお勧めします。リソースアダプタによって起動される Work インスタンスのセキュリティ ID を設定するには、run-work-as-principal-name 要素を使用して値を指定します。ただし、Work インスタンスは、発信要求を実行するために、発信リソースアダプタの一部として作成されることもあります。アダプタで着信要求を処理するために Work インスタンスを使用しない場合、着信要求は、セキュリティコンテキストを確立せずに (匿名で) 実行されます。または、リソースアダプタが WebLogic Server 固有の呼び出しを行って、WebLogic Server ユーザとして認証を受けることもできます。その場合は、WebLogic Server ユーザのセキュリティコンテキストが使用されます。

run-work-as-principal-name 要素の値は、次の 3 通りのいずれかで設定できます。

定義済みの WebLogic Server 名を設定する
匿名の ID を使用する
呼び出し側コードのセキュリティ ID を使用する

run-work-as-principal-name 要素の値が定義されていない場合は、default-principal-name 要素の値がデフォルトになります。default-principal-name 要素が定義されていない場合は、要求の呼び出し側の ID がデフォルトになります。

要求の呼び出し側の ID を使用して作業を実行するには、run-work-as-principal-name 要素を次のように指定します。

      <use-caller-identity>true</use-caller-identity>

接続ファクトリに固有の認証および再認証メカニズムのコンフィグレーション

J2EE 標準リソースアダプタのデプロイメント記述子 ra.xml で、リソースアダプタの認証および再認証メカニズムを指定できます。この設定はすべての発信接続ファクトリに適用されます。

authentication-mechanism 要素では、すべての発信接続ファクトリで使用される認証メカニズムを指定する。
reauthentication-support 要素では、発信接続ファクトリが既存の ManagedConnection インスタンスの再認証をサポートするかどうかを指定する。これは、リソースアダプタのすべての接続ファクトリのデフォルト値となります。

ra.xml デプロイメント記述子の authentication-mechanism と reauthentication-support の値は、weblogic-ra.xml デプロイメント記述子で値を指定するとオーバーライドできます。それにより、これらの設定を、すべての接続ファクトリではなく、特定の接続ファクトリに適用することができます。「authentication-mechanism」および「reauthentication-support」を参照してください。

WebLogic リソース アダプタ プログラマーズ ガイド