システム管理操作の保護

各人のスキルを活かすために、多くの Web 開発チームでは、システム管理の責任が複数のロールに明確に割り当てられています。コンポーネントをデプロイするパーミッションは 1 人か 2 人のチームメンバーにしか付与しないが、WebLogic Server コンフィグレーションを参照するパーミッションはチームメンバー全員に付与する、というような設定がプロジェクトごとに行われます。 WebLogic Server では、このようなロールベースの開発がサポートされており、システム管理操作に対するアクセス特権が定義されたグローバルロール (Anonymous、Admin、Deployer、Operator、Monitor) が用意されています。

以下の節では、セキュリティロールおよびシステム管理操作について説明します。

注意: 7.0 より前のリリースで使用されていた、WebLogic Server MBean を保護するためのアクセス制御リスト (ACL) に代わって、現在ではこのようなロールベースのパーミッションが使用されます。

表 3-1 に、システム管理操作のアクセス特権を決定するために使用される 5 種類のグローバルロールと、各ロールに付与されるパーミッションを示します。

表3-1 グローバルロールとパーミッション

グローバルロール	パーミッション
Anonymous	すべてのユーザ (everyone グループ) にこのグローバルロールが付与される。注意: このグローバルロールは利便性のために用意されており、weblogic.xml および weblogic-ejb-jar.xml デプロイメント記述子で指定できる。
Admin	サーバのコンフィグレーションを参照する。暗号化された値や属性も参照できる。サーバのコンフィグレーション全体を変更する。エンタープライズアプリケーション、起動クラスと停止クラス、Web アプリケーション、EJB、J2EE コネクタ、および Web サービスモジュールをデプロイする。デフォルトでは、サーバを起動、再開、および停止する。
Deployer	サーバのコンフィグレーションを参照する。暗号化された属性は参照できない。エンタープライズアプリケーション、起動クラスと停止クラス、Web アプリケーション、EJB、J2EE コネクタ、および Web サービスモジュールをデプロイする。
Operator	サーバコンフィグレーション (暗号化された属性は除く) を表示する。デフォルトでは、サーバを起動、再開、および停止する。
Monitors	サーバのコンフィグレーションを参照する。暗号化された属性は参照できない。注意: このセキュリティロールでは、WebLogic Server Administration Console、weblogic.Admin ユーティリティ、および MBean API への読み込み専用アクセスが可能。

どのロールメンバーシップのユーザも、暗号化される属性を暗号化していない状態で表示することはできません。

注意: WebLogic Server MBean を直接操作している際に、グローバルロールやその特権に関して表 3-1 より詳しい情報が必要になった場合は、『WebLogic リソースのセキュリティ』の「保護されている MBean の属性および操作」を参照してください。

独自のセキュリティロール (グローバルまたはスコープ) を作成し、デフォルトのグローバルロールに追加することもできます。詳細については、『WebLogic リソースのセキュリティ』の「Administration Console でのセキュリティロールの作成方法」を参照してください。

デフォルトでは、WebLogic Server は 4 つのデフォルトグループに 4 つのグローバルロールを付与します。これらのグループのいずれかにユーザを追加すると、そのユーザにはグローバルロールが自動的に付与されます。このデフォルトグループの関連付けを表 3-2 に示します。

表3-2 デフォルトグループの関連付け

グループ	関連付けられたロール
Administrators	Admin
Deployers	Deployer
Operator	Operator
Monitors	Monitors

ユーザの作成とグループへの割り当てについては、『WebLogic リソースのセキュリティ』の「ユーザの作成」および「ユーザのグループへの追加」を参照してください。

WebLogic Server Administration Console、weblogic.Admin コマンド、および MBean API は、表 3-1 と表 3-2 で説明したデフォルトグローバルロールとデフォルトグループに基づくデフォルトセキュリティポリシーを使用して保護されています。したがって、Administration Console を使用するユーザは、いずれかのデフォルトグループに属しているか、いずれかのグローバルロールが付与されている必要があります。また、MBean との対話が必要となる管理操作は、『WebLogic リソースのセキュリティ』の「保護されている MBean の属性および操作」で説明する MBean による保護を使用して保護する必要があります。したがって、以下にあげる保護されたパブリックインタフェースとの対話では、両方のセキュリティ方式を満たしていなければなりません。

以下の節では、サーバリソースの階層化されたセキュリティ方式について説明します。

他のタイプの WebLogic リソースと同様、サーバリソースも WebLogic Server Administration Console を使用してセキュリティポリシーで保護されています。

より具体的にいえば、すべてのサーバリソースは、Admin および Operator デフォルトグローバルセキュリティロールに基づくデフォルトセキュリティポリシーを継承します。各ロールで使用可能な操作で説明したように、Admin および Operator グローバルロールには、管理者が Administration Console や weblogic.Admin などの管理インタフェースと対話するのに必要な特定の特権が付与されています。これらのデフォルトグローバルロールは、デフォルトグループに基づいています (デフォルトグループの関連付けを参照してください)。したがって、サーバリソースにアクセスする必要のある管理者は、Administrators または Operators デフォルトグループのどちらかに属している必要があります。

注意: WebLogic Server では、4 つのデフォルトグループに 4 つのグローバルロールを付与しているため、ユーザをこれらのグループのいずれかに追加するとグローバルロールも自動的に付与されます。

警告: 制限を強化するためにサーバリソースのデフォルトセキュリティポリシーを変更しないでください。既存のセキュリティロールの中には、削除すると WebLogic Server の機能に悪影響を与えるものがあります。ただし、新しいセキュリティポリシーを追加するなどして、デフォルトセキュリティポリシーをより包括的にすることはできます。

それぞれのタイプの WebLogic リソース (サーバリソースを含む) は、weblogic.security.spi.Resource インタフェース (サーバリソースの場合は weblogic.security.service.ServerResource クラス) の独自の実装を使用して操作セットをエクスポーズします。したがって、ServerResource クラスは、サーバリソースのセキュリティポリシーで説明したセキュリティポリシーによって実際に保護されたエンティティです。

WebLogic Server では、サーバリソースのコンフィグレーションを複数の MBean を使用してエクスポーズします。したがって、ServerResource クラスが保護するアクションは、基底となる MBean の属性および操作に対応します。たとえば、Resource インタフェースの start() メソッドは、ServerRuntime MBean の start 操作に直接マップされています。

サーバリソースのコンフィグレーションをエクスポーズする MBean は、4 つのデフォルトグローバルロールのいずれかを使用して保護されます。この保護は、サーバリソースのセキュリティポリシーとは別に行われるもので、現時点では WebLogic Security サービスの変更不能な部分となっています。したがって、サーバリソースを保護するために独自のグローバルロールを作成することはできますが、サーバのコンフィグレーションを表示したり変更したりできるのは、いずれかのデフォルトグローバルロールを付与されたユーザのみです。

管理者がサーバリソースとの対話を試行すると、WebLogic Security サービスは以下を行います。

したがって、要求した処理を正常に実行するには、ユーザが両方のセキュリティ方式の要件を満たしている必要があります。図 3-1 に、サーバリソースのセキュリティポリシーが、基底となる MBean でのセキュリティロールベースの保護とどのように相互作用するかを示します。

MBean による保護によって付与される特権は変更できないため、一貫性のあるセキュリティポリシーを維持する必要があります。詳細については、一貫性のあるセキュリティ方式の維持を参照してください。

この例では、サーバリソースが階層化されたセキュリティ方式によってどのように保護されるかを示します。

ユーザ名 JDoe の管理者が、myserver というサーバを起動したいとします。この管理ユーザ (JDoe) は、デフォルトグループ Administrators のメンバーです。デフォルトでは、Admin グローバルセキュリティロールが付与されています。このユーザ対グループ、グループ対セキュリティロールのコンフィグレーションは、前述したように WebLogic Server Administration Console を使用して設定されています。

サーバを起動するにはさまざまな MBean との対話が必要であり、しかも MBean による保護は WebLogic Security サービスの変更不能な部分であるため、このような操作を行うユーザには Admin または Operator デフォルトグローバルロールが付与されている必要があります。たとえば、Server MBean および ServerRuntime MBean (start 操作を持つ MBean) へのアクセスは、上記のデフォルトセキュリティロールが付与されたユーザにしか許可されていません。管理ユーザ JDoe はデフォルトグループ Administrators のメンバーであり、Admin グローバルセキュリティロールも付与されているため、サーバリソースの階層化されたセキュリティ方式の 1 つ目の要件は満たしています。

図 3-2 の [ポリシー文] リストボックスに示されているように、myserver のデフォルトセキュリティポリシー (表示するには、ナビゲーションツリーの myserver を右クリックして [ポリシーの定義] を選択) に基づいて、サーバリソースと対話するために必要な Admin または Operator グローバルロールをユーザに付与できます。管理ユーザ JDoe はデフォルトグループ Administrators のメンバーであり、Admin グローバルセキュリティロールも付与されているため、サーバリソースの階層化されたセキュリティ方式の 2 つ目の要件も満たしています。

注意: 管理ユーザ JDoe は Operators グループのメンバーでもあり、したがって Operator デフォルトグローバルロールが付与されています。この点からも、階層化されたセキュリティ方式の両方の要件を満たしています。

WebLogic Server のデフォルトのコンフィグレーションでは、グループ、グローバルロール、サーバリソースのセキュリティポリシー、および MBean による保護が、相互に連携して一貫性のあるセキュリティ方式を確立しています。しかし、変更を行うことで、意図しないアクセス制限が発生する場合があります。デフォルトのセキュリティ設定を変更する場合は、MBean による保護およびサーバリソースのサーバポリシーの両方によるユーザの認証を妨げないよう注意してください。

たとえば、WebLogic Server Administration Console を使用してユーザを Operator グローバルロールに追加する際、サーバリソースに対して定義されたセキュリティポリシーの Operator グローバルロールを使用し忘れると、そのユーザは起動および停止シーケンスで使用される MBean を呼び出すことはできても、サーバを起動したり停止したりするサーバリソースの操作はできなくなります。同様に、Administration Console を使用してサーバリソースのセキュリティポリシーから Operator グローバルロールを削除すると、Operator グローバルロールでは MBean 操作を呼び出すことはできてもサーバリソースを呼び出すことができなくなります。これは、デフォルトグローバルロールの MBean による保護が WebLogic Security サービスの一部であり、現時点では変更不能になっているためです。

MBean による保護をセキュリティポリシーと同期させるには、ポリシーの作成時または変更時に以下を考慮してください。

WebLogic Server で WebLogic Server インスタンス (サーバ) を起動および停止するには、weblogic.Server コマンドを使用する方法とノードマネージャを使用する方法があります。 weblogic.Server コマンドとノードマネージャでは基底のコンポーネントが異なるため、これら 2 つのコマンドでは異なる認可方法が使用されます。

以下の節では、サーバを起動および停止するためのパーミッションについて説明します。

weblogic.Server コマンドは WebLogic Server インスタンスを起動するためのコマンドで、サーバリソースのセキュリティポリシーによって保護されたメソッドを呼び出します。このコマンドを使用するには、サーバリソースのセキュリティポリシーの要件を満たす必要があります。

weblogic.Server 引数の中には MBean の属性を設定するものもあります。ただし、これらの引数はサーバが実行中 (RUNNING) 状態になる前に MBean を変更するので、MBean による保護ではなく、サーバリソースのセキュリティポリシーによって認可されます。たとえば、Operator グローバルロールに属するユーザは -Dweblogic.ListenPort 引数を使用してサーバのデフォルトのリスンポートを変更できますが、WebLogic Server インスタンスが実行中状態になると、このユーザはリスンポートの値を変更できません。

ノードマネージャでは、リモートサーバの起動に MBean による保護とサーバリソースのセキュリティポリシーの両方を使用します。

リモート WebLogic Server インスタンスのホストマシン上でノードマネージャがコンフィグレーションされている場合、デフォルトでは Admin または Operator グローバルロールに属するユーザはノードマネージャを使用してリモートサーバを起動できます。

WebLogic Server インスタンスの停止においても、MBean による保護とサーバリソースのセキュリティポリシーの両方が使用されます。ユーザが停止コマンドを発行すると、サーバではまず、MBean による保護に基づいてそのユーザが Admin または Operator グローバルロールのメンバーかどうかが判別されます。続いて、MBean 操作を実行した後、サーバリソースのセキュリティポリシーに基づいてそのユーザがサーバを停止する権限を持っているかどうかが判別されます。