WebLogic セキュリティ プロバイダの開発

概要とロードマップ

ドキュメントの内容

対象読者

このドキュメントの手引き

関連ドキュメント

このリリースでの新機能と変更点

WebLogic Server で使用するセキュリティ プロバイダの開発について

前提条件

開発プロセスの概要

カスタム セキュリティ プロバイダの設計

SSPI の実装によるカスタム セキュリティ プロバイダ用の実行時クラスの作成

カスタム セキュリティ プロバイダをコンフィグレーションおよび管理する MBean タイプの生成

コンソール拡張機能の記述

カスタム セキュリティ プロバイダのコンフィグレーション

セキュリティ ポリシー、セキュリティ ロール、および資格マップを管理するメカニズムの提供

設計上の考慮事項

セキュリティ プロバイダの一般的なアーキテクチャ

セキュリティ サービス プロバイダ インタフェース (SSPI)

2 つの重要な制限について

「Provider」SSPI の目的について

バルク アクセス プロバイダの目的について

実装する「Provider」インタフェースの決定

DeployableAuthorizationProviderV2 SSPI

DeployableRoleProviderV2 SSPI

DeployableCredentialProvider SSPI

SSPI 階層を理解し、実行時クラスを 1 つ作成するのか 2 つ作成するのかを決定する

SSPI クイック リファレンス

セキュリティ サービス プロバイダ インタフェース (SSPI) MBean

MBean タイプが必要な理由について

拡張および実装する SSPI MBean の決定

MBean 定義ファイル (MDF) の基本的な要素について

カスタム プロバイダとクラスパス

MBean オペレーションから例外を送出する

MBean 属性に対して非クリアテキスト値を指定する

SSPI MBean の階層と Administration Console に対する影響について

WebLogic MBeanMaker によって提供されるものについて

MBean 情報ファイルについて

SSPI MBean クイック リファレンス

セキュリティ データの移行

移行の概念

フォーマット

制約

移行ファイル

カスタム セキュリティ プロバイダへの移行サポートの追加

セキュリティ データの移行に関する Administration Console のサポート

セキュリティ プロバイダの開発者向け管理ユーティリティ

セキュリティ プロバイダと WebLogic リソース

WebLogic リソースのアーキテクチャ

WebLogic リソースのタイプ

WebLogic リソース識別子

toString() メソッド

リソース ID と getID() メソッド

WebLogic リソースのデフォルト グループの作成

WebLogic リソースのデフォルト セキュリティ ロールの作成

WebLogic リソースのデフォルト セキュリティ ポリシーの作成

セキュリティ プロバイダの実行時クラスでの WebLogic リソースのルックアップ

単一親リソース階層

URL リソースのパターン マッチング

例 1

例 2

ContextHandler と WebLogic リソース

コンテキスト ハンドラをサポートするプロバイダとインタフェース

セキュリティ プロバイダ データベースの初期化

ベスト プラクティス : データベースがない場合のシンプルなデータベースの作成

ベスト プラクティス : 既存のデータベースのコンフィグレーション

ベスト プラクティス : データベース初期化の委託

属性バリデータの相違点

カスタム バリデータの場合の属性バリデータの相違点

認証プロバイダ

認証の概念

ユーザ/グループ、プリンシパル、サブジェクト

初期ユーザおよびグループを指定する

LoginModule

LoginModule インタフェース

LoginModule とさまざまな要素から成る認証

JAAS (Java Authentication and Authorization Service)

JAAS が WebLogic Security フレームワークとどう連携するか

例 : スタンドアロンの T3 アプリケーション

認証プロセス

カスタム認証プロバイダを開発する必要があるか

カスタム認証プロバイダの開発方法

適切な SSPI による実行時クラスの作成

AuthenticationProviderV2 SSPI を実装する

JAAS LoginModule インタフェースを実装する

LoginModule からカスタム例外を送出する

方法 1 : システム クラスパスおよびコンパイラ クラスパスを介してカスタム例外を使えるようにする

方法 2 : アプリケーション クラスパスを介してカスタム例外を使えるようにする

例 : サンプル認証プロバイダの実行時クラスを作成する

WebLogic MBeanMaker による MBean タイプの生成

MBean 定義ファイル (MDF) を作成する

WebLogic MBeanMaker を使用して MBean タイプを生成する

任意 SSPI MBean とカスタム操作を追加しない場合

任意 SSPI MBean またはカスタム操作を追加する場合

生成される MBean インタフェース ファイルについて

WebLogic MBeanMaker を使用して MBean JAR ファイル (MJF) を作成する

WebLogic Server 環境に MBean タイプをインストールする

Administration Console によるカスタム認証プロバイダのコンフィグレーション

ユーザ ロックアウトを管理する

レルムワイドのユーザ ロックアウト マネージャの使用

独自のユーザ ロックアウト マネージャの実装

認証プロバイダの順序を指定する

ID アサーション プロバイダ

ID アサーションの概念

ID アサーション プロバイダと LoginModule

ID アサーションとトークン

新しいトークン タイプの作成方法

新しいトークン タイプを ID アサーション プロバイダのコンフィグレーションで利用可能にする方法

境界認証用のトークンを渡す

CSIv2 (Common Secure Interoperability Version 2)

ID アサーション プロセス

カスタム ID アサーション プロバイダを開発する必要があるか

カスタム ID アサーション プロバイダの開発方法

適切な SSPI による実行時クラスの作成

AuthenticationProviderV2 SSPI を実装する

IdentityAsserterV2 SSPI を実装する

例 : サンプル ID アサーション プロバイダの実行時クラスを作成する

WebLogic MBeanMaker による MBean タイプの生成

MBean 定義ファイル (MDF) を作成する

WebLogic MBeanMaker を使用して MBean タイプを生成する

任意 SSPI MBean とカスタム操作を追加しない場合

任意 SSPI MBean またはカスタム操作を追加する場合

生成される MBean インタフェース ファイルについて

WebLogic MBeanMaker を使用して MBean JAR ファイル (MJF) を作成する

WebLogic Server 環境に MBean タイプをインストールする

Administration Console によるカスタム ID アサーション プロバイダのコンフィグレーション

チャレンジ ID アサーション

Java サーブレット API 2.3 環境におけるチャレンジ/応答の制限

weblogic.security.services.Authentication クラスのフィルタと役割

チャレンジ ID アサーション プロバイダの開発方法

ChallengeIdentityAsserterV2 インタフェースを実装する

ProviderChallengeContext インタフェースを実装する

weblogic.security.services のチャレンジ ID メソッドを呼び出す

weblogic.security.services の AppChallengeContext メソッドを呼び出す

フィルタからチャレンジ ID アサーションを実装する

プリンシパル検証プロバイダ

プリンシパル検証の概念

プリンシパル検証とプリンシパル タイプ

プリンシパル検証プロバイダと他のタイプのセキュリティ プロバイダの違い

無効なプリンシパルが原因のセキュリティ例外

プリンシパル検証プロセス

カスタム プリンシパル検証プロバイダを開発する必要があるか

WebLogic プリンシパル検証プロバイダの使い方

カスタム プリンシパル検証プロバイダの開発方法

PrincipalValidator SSPI の実装

認可プロバイダ

認可の概念

アクセス決定

Java Authorization Contract for Containers の使用

認可プロセス

カスタム認可プロバイダを開発する必要があるか

カスタム認可プロバイダでアプリケーションのバージョン管理をサポートする必要があるか

カスタム認可プロバイダの開発方法

適切な SSPI による実行時クラスの作成

AuthorizationProvider SSPI を実装する

DeployableAuthorizationProviderV2 SSPI を実装する

ApplicationInfo インタフェース

AccessDecision SSPI を実装する

レルム アダプタ認証プロバイダと互換性のあるカスタム認可プロバイダを開発する

例 : サンプル認可プロバイダの実行時クラスを作成する

ポリシー コンシューマ SSPI

必要な SSPI インタフェース

PolicyConsumerFactory SSPI インタフェースを実装する

PolicyConsumer SSPI インタフェースを実装する

PolicyCollectionHandler SSPI インタフェースを実装する

更新後のポリシー コレクションをサポートする

PolicyConsumerMBean

PolicyStoreMBean

XACML Policy ファイルの形式を調べる

WLST を使用して PolicyStoreMBean にポリシーを追加する

WLST を使用して PolicySet を String として読み込む

バルク認可プロバイダ

WebLogic MBeanMaker による MBean タイプの生成

MBean 定義ファイル (MDF) を作成する

WebLogic MBeanMaker を使用して MBean タイプを生成する

任意 SSPI MBean とカスタム操作を追加しない場合

任意 SSPI MBean またはカスタム操作を追加する場合

生成される MBean インタフェース ファイルについて

WebLogic MBeanMaker を使用して MBean JAR ファイル (MJF) を作成する

WebLogic Server 環境に MBean タイプをインストールする

Administration Console によるカスタム認可プロバイダのコンフィグレーション

認可プロバイダとデプロイメント記述子を管理する

セキュリティ ポリシー デプロイメントを有効にする

セキュリティ ポリシーを管理するためのメカニズムの提供

オプション 1 : セキュリティ ポリシー管理用のスタンドアロン ツールを開発する

オプション 2 : 既存のセキュリティ ポリシー管理ツールを Administration Console に統合する

裁決プロバイダ

裁決プロセス

カスタム裁決プロバイダを開発する必要があるか

カスタム裁決プロバイダの開発方法

適切な SSPI による実行時クラスの作成

AdjudicationProviderV2 SSPI を実装する

AdjudicatorV2 SSPI を実装する

バルク裁決プロバイダ

WebLogic MBeanMaker による MBean タイプの生成

MBean 定義ファイル (MDF) を作成する

WebLogic MBeanMaker を使用して MBean タイプを生成する

カスタム操作を追加しない場合

カスタム操作を追加する場合

生成される MBean インタフェース ファイルについて

WebLogic MBeanMaker を使用して MBean JAR ファイル (MJF) を作成する

WebLogic Server 環境に MBean タイプをインストールする

Administration Console によるカスタム裁決プロバイダのコンフィグレーション

ロール マッピング プロバイダ

ロール マッピングの概念

セキュリティ ロール

動的セキュリティ ロール計算

ロール マッピング プロセス

カスタム ロール マッピング プロバイダを開発する必要があるか

カスタム ロール マッピング プロバイダでアプリケーションのバージョン管理をサポートする必要があるか

カスタム ロール マッピング プロバイダの開発方法

適切な SSPI による実行時クラスの作成

RoleProvider SSPI を実装する

DeployableRoleProviderV2 SSPI を実装する

ApplicationInfo インタフェース

RoleMapper SSPI を実装する

レルム アダプタ認証プロバイダと互換性のあるカスタム ロール マッピング プロバイダを開発する

SecurityRole インタフェースを実装する

例 : サンプル ロール マッピング プロバイダの実行時クラスを作成する

ロール コンシューマ SSPI

必要な SSPI インタフェース

RoleConsumerFactory SSPI インタフェースを実装する

RoleConsumer SSPI インタフェースを実装する

RoleCollectionHandler SSPI インタフェースを実装する

更新後のロール コレクションをサポートする

RoleConsumerMBean

PolicyStoreMBean

XACML Policy ファイルの形式を調べる

WLST を使用して PolicyStoreMBean にポリシーを追加する

WLST を使用して PolicySet を String として読み込む

バルク ロール マッピング プロバイダ

WebLogic MBeanMaker による MBean タイプの生成

MBean 定義ファイル (MDF) を作成する

WebLogic MBeanMaker を使用して MBean タイプを生成する

カスタム操作を追加しない場合

カスタム操作を追加する場合

生成される MBean インタフェース ファイルについて

WebLogic MBeanMaker を使用して MBean JAR ファイル (MJF) を作成する

WebLogic Server 環境に MBean タイプをインストールする

Administration Console によるカスタム ロール マッピング プロバイダのコンフィグレーション

ロール マッピング プロバイダとデプロイメント記述子を管理する

セキュリティ ロール デプロイメントを有効にする

セキュリティ ロールを管理するためのメカニズムの提供

オプション 1 : セキュリティ ロール管理用のスタンドアロン ツールを開発する

オプション 2 : 既存のセキュリティ ロール管理ツールを Administration Console に統合する

監査プロバイダ

監査の概念

監査チャネル

カスタム セキュリティ プロバイダからのイベントの監査

監査プロセス

ContextHandler MBean の実装

ContextHandlerMBean のメソッド

例 : ContextHandlerMBean の実装

weblogic.management.security.audit.ContextHandlerImpl の拡張

カスタム監査プロバイダを開発する必要があるか

カスタム監査プロバイダの開発方法

適切な SSPI による実行時クラスの作成

AuditProvider SSPI を実装する

AuditChannel SSPI を実装する

例 : サンプル監査プロバイダの実行時クラスを作成する

WebLogic MBeanMaker による MBean タイプの生成

MBean 定義ファイル (MDF) を作成する

WebLogic MBeanMaker を使用して MBean タイプを生成する

カスタム操作を追加しない場合

カスタム操作を追加する場合

生成される MBean インタフェース ファイルについて

WebLogic MBeanMaker を使用して MBean JAR ファイル (MJF) を作成する

WebLogic Server 環境に MBean タイプをインストールする

Administration Console によるカスタム監査プロバイダのコンフィグレーション

監査重大度をコンフィグレーションする

Security フレームワークの監査イベント

付加的な監査情報を渡す

監査イベント インタフェースと監査イベント

AuditApplicationVersionEvent

AuditAtnEventV2

AuditAtzEvent

AuditCerPathBuilderEvent、AuditCertPathValidatorEvent

AuditConfigurationEvent

AuditCredentialMappingEvent

AuditLifecycleEvent

AuditMgmtEvent

AuditPolicyEvent

AuditRoleDeploymentEvent

AuditRoleEvent

資格マッピング プロバイダ

資格マッピングの概念

資格マッピング プロセス

カスタム資格マッピング プロバイダを開発する必要があるか

カスタム資格マッピング プロバイダでアプリケーションのバージョン管理をサポートする必要があるか

カスタム資格マッピング プロバイダの開発方法

適切な SSPI による実行時クラスの作成

CredentialProviderV2 SSPI を実装する

DeployableCredentialProvider SSPI を実装する

CredentialMapperV2 SSPI を実装する

レルム アダプタ認証プロバイダと互換性のあるカスタム資格マッピング プロバイダを開発する

WebLogic MBeanMaker による MBean タイプの生成

MBean 定義ファイル (MDF) を作成する

WebLogic MBeanMaker を使用して MBean タイプを生成する

任意 SSPI MBean とカスタム操作を追加しない場合

任意 SSPI MBean またはカスタム操作を追加する場合

生成される MBean インタフェース ファイルについて

WebLogic MBeanMaker を使用して MBean JAR ファイル (MJF) を作成する

WebLogic Server 環境に MBean タイプをインストールする

資格マップを管理するためのメカニズムの提供

オプション 1 : 資格マップ管理用のスタンドアロン ツールを開発する

オプション 2 : 既存の資格マップ管理ツールを Administration Console に統合する

カスタム セキュリティ プロバイダからのイベントの監査

セキュリティ サービスと監査サービス

カスタム セキュリティ プロバイダからの監査方法

監査イベントの作成

AuditEvent SSPI を実装する

監査イベント コンビニエンス インタフェースを実装する

AuditAtnEventV2 インタフェース

AuditAtzEvent および AuditPolicyEvent インタフェース

AuditMgmtEvent インタフェース

AuditRoleEvent および AuditRoleDeploymentEvent インタフェース

監査重大度

監査コンテキスト

例 : AuditRoleEvent インタフェースの実装

監査サービスの取得、および取得した監査サービスによる監査イベントの書き込み

例 : 監査サービスを取得および使用してロール監査イベントを書き込む

プロバイダの MBean から管理オペレーションを監査する

例 : プロバイダの MBean から管理オペレーションを監査する

ベスト プラクティス : プロバイダの MBean からの監査イベントのポスト

サーブレット認証フィルタ

認証フィルタの概念

フィルタが必要な理由

サーブレット認証フィルタ設計上の考慮事項

フィルタが呼び出されるしくみ

認証プロバイダからサーブレット認証フィルタを呼び出さない

フィルタを実装するプロバイダの例

カスタム サーブレット認証フィルタの開発方法

適切な SSPI による実行時クラスの作成

サーブレット認証フィルタ SSPI の実装

フィルタ インタフェース メソッドの実装

フィルタからのチャレンジ ID アサーションの実装

WebLogic MBeanMaker による MBean タイプの生成

WebLogic MBeanMaker を使用して MBean JAR ファイル (MJF) を作成する

Administration Console による認証プロバイダのコンフィグレーション

バージョン管理可能なアプリケーションのプロバイダ

バージョン管理可能なアプリケーションの概念

バージョン管理可能なアプリケーションのプロセス

バージョン管理可能なアプリケーションのカスタム プロバイダを開発する必要があるか

カスタム VersionableApplication プロバイダの開発方法

適切な SSPI による実行時クラスの作成

VersionableApplication SSPI を実装する

例 : サンプル VersionableApplication プロバイダの実行時クラスを作成する

WebLogic MBeanMaker による MBean タイプの生成

WebLogic MBeanMaker を使用して MBean JAR ファイル (MJF) を作成する

Administration Console によるバージョン管理可能なアプリケーションのカスタム プロバイダのコンフィグレーション

証明書パス プロバイダ

証明書の検索と検証の概念

証明書の検索と検証のプロセス

証明書パス検証プロバイダと証明書パス ビルダを実装する必要があるか

証明書パス プロバイダ SPI MBean

WebLogic 証明書パス検証プロバイダ SSPI

WebLogic 証明書パス ビルダ SSPI

WebLogic Server 証明書パス SSPI と JDK SPI との関係

カスタム証明書パス プロバイダを開発する必要があるか

カスタム証明書パス プロバイダの開発方法

適切な SSPI による実行時クラスの作成

JDK CertPathBuilderSpi インタフェース、CertPathValidatorSpi インタフェースのいずれか、または両方を実装する

証明書パス プロバイダ SSPI を実装する

JDK セキュリティ プロバイダ SPI を実装する

CertPathBuilderSpi 実装で CertPathBuilderParametersSpi SSPI を使用する

CertPathValidatorSpi 実装で CertPathValidatorParametersSpi SSPI を使用する

ビルダまたは検証プロバイダの結果を返す

例 : サンプル証明書パス プロバイダを作成する

WebLogic MBeanMaker による MBean タイプの生成

MBean 定義ファイル (MDF) を作成する

WebLogic MBeanMaker を使用して MBean タイプを生成する

任意 SSPI MBean とカスタム操作を追加しない場合

任意 SSPI MBean またはカスタム操作を追加する場合

生成される MBean インタフェース ファイルについて

WebLogic MBeanMaker を使用して MBean JAR ファイル (MJF) を作成する

WebLogic Server 環境に MBean タイプをインストールする

Administration Console によるカスタム証明書パス プロバイダのコンフィグレーション

MBean 定義ファイル (MDF) 要素の構文

MBeanType (ルート) 要素

MBeanAttribute 下位要素

MBeanConstructor 下位要素

MBeanOperation 下位要素

MBean オペレーションの例外

例 : 有効な整形式 MBean 定義ファイル (MDF)