セキュリティ

ドキュメントのダウンロード

サイトマップ

Glossary

検索

e-docs > WebLogic Server > WebLogic J2EE コネクタアーキテクチャ > セキュリティ

WebLogic J2EE コネクタアーキテクチャ

セキュリティ

以下の節では、WebLogic J2EE コネクタアーキテクチャのセキュリティについて説明します。

コンテナ管理およびアプリケーション管理によるサインオン

「J2EE コネクタ仕様、バージョン 1.0、最終リリース」で指定されているように、WebLogic J2EE コネクタアーキテクチャ実装はコンテナ管理とアプリケーション管理の両方のサインオンをサポートしています。

実行時、WebLogic J2EE コネクタアーキテクチャ実装は、呼び出し側クライアントコンポーネントの「デプロイメント」記述子に基づいて、指定されたサインオンメカニズムを判別します。WebLogic Server J2EE コネクタアーキテクチャ実装が、リソースアダプタの接続ファクトリの JNDI ルックアップを正しく実行できないなどの理由で、クライアントコンポーネントがどのサインオンメカニズムを要求しているか判別できない場合、コネクタアーキテクチャはコンテナ管理によるサインオンを試行します。

注意: ただし、この場合でも、クライアントコンポーネントが明示的なセキュリティ情報を指定していれば、その情報も接続を取得するための呼び出し時に提示されます。

詳細については、クライアントに関する考慮事項のConnectionFactory (クライアントと JNDI 間の対話) の取得を参照してください。

アプリケーション管理によるサインオン

アプリケーション管理によるサインオンの場合、クライアントコンポーネントは、エンタープライズ情報システム (EIS) に接続するための呼び出しを実行するときに、必要なセキュリティ情報 (通常はユーザ名とパスワード) を提示します。この場合、アプリケーションサーバは、接続要求と一緒にこの情報を渡す以外にセキュリティ関連の処理を行いません。提供されるリソースアダプタは、セキュリティ情報を提示したクライアントコンポーネントを使用して、リソースアダプタ実装固有の方法で EIS サインオンを実行します。

コンテナ管理によるサインオン

コンテナ管理によるサインオンの場合、クライアントコンポーネントはセキュリティ情報を提示しないので、コンテナが必要なサインオン情報を判別し、接続を要求するための呼び出し時にその情報をリソースアダプタに提供しなければなりません。コンテナ管理によるサインオンでは、コンテナが適切なリソースプリンシパルを判別し、そのリソースプリンシパルの情報をリソースアダプタに Java Authentication and Authorization Service (JAAS) の Subject 形式で提供する必要があります。

パスワード資格マップメカニズム

「J2EE コネクタ仕様、バージョン 1.0、最終リリース」では、リソースアダプタがサポートできるパスワード資格と汎用資格という 2 種類の資格が定義されます。WebLogic Server の以前のリリースでは、weblogic-ra.xml のデプロイメント記述子ファイルの security-principal-map 要素でパスワード資格を指定しました。security-principal-map 要素は開始プリンシパルとリソースプリンシパルとの間でマッピングするために用意されました。BEA では security-principal-map 要素に格納されたパスワードを暗号化するためのパスワード変換ツールも用意しました。

weblogic-ra.xml でのユーザ名とパスワードのプリンシパルマップのストレージは、ストレージメカニズムとしては特に緻密でもセキュアなものではありません。そのため、security-principal-map 要素とパスワード変換ツールは WebLogic Server の今回のリリースで非推奨になりました。プリンシパルマップは security-principal-map から WebLogic Server 内部ストレージメカニズム (ディレクトリサーバ) に移されました。

「J2EE コネクタ仕様、バージョン 1.0、最終リリース」では、javax.security.auth.Subject での資格のストレージが要求されています。資格は ManagedConnectionFactory オブジェクトの createManagedConnection() または matchManagedConnection() メソッドのいずれかに渡されます。

この規則に準拠するため、WebLogic Server J2EE コネクタアーキテクチャは Subject を構築し、以下の手順を実行して資格を格納します。

weblogic.security.Service.EISResource オブジェクトを次のようにインスタンス化する。

EISResource(java.lang.String applicationName, java.lang.String moduleName, java.lang.String eisName)
接続要求の開始プリンシパルを取得する。
その開始プリンシパルの資格を次のように取得する。

weblogic.security.Service.PrincipalAuthenticator(String initiatingPrincipal, weblogic.security.Service.Resource eisResource)
javax.security.auth.Subject をインスタンス化する。
資格を次のように Subject 内のプライベートセットに追加する。

Subject.getPrivateCredentials().add(Credential)

認証メカニズム

WebLogic Server ユーザが、保護されている WebLogic Server リソースへのアクセスを要求する場合、必ず認証を受けなければなりません。このため、各ユーザは資格 (ユーザ名/パスワードの組み合わせまたはデジタル証明書) を WebLogic Server に提示する必要があります。WebLogic Server では、以下のタイプの認証メカニズムがサポートされています。

パスワード認証－ユーザ ID とパスワードをユーザに要求し、クリアテキストで WebLogic Server に送ります。WebLogic Server は受け取った情報をチェックして、信頼性を確認できれば、保護されているリソースへのアクセスを許可します。

SSL (または HTTPS) プロトコルを使用すると、パスワード認証にさらに高度なレベルのセキュリティを提供できます。SSL プロトコルは、クライアントと WebLogic Server との間で転送されるデータを暗号化するので、ユーザ ID とパスワードはクリアテキストでは転送されません。したがって、WebLogic Server は、ユーザの ID およびパスワードの機密性を損なうことなくユーザを認証できます。
証明書認証－ SSL または HTTPS クライアントの要求が開始されると、WebLogic Server はそれに対する応答としてデジタル証明書をクライアントに提示します。クライアントによってそのデジタル証明書が確認されると、SSL 接続が確立されます。続いて CertAuthenticator クラスはクライアントのデジタル証明書からデータを抽出し、そのデジタル証明書を所有する WebLogic Server ユーザを判別して、WebLogic Server セキュリティレルムからその認証されたユーザを取り出します。

相互認証を用いることもできます。この場合、WebLogic Server は自身を認証するだけでなく、要求側のクライアントに対しても認証を要求します。クライアントは、信頼された認証局が発行したデジタル証明書を提出するよう要求されます。相互認証は、アクセスを許可する対象を信頼されたクライアントに制限する場合に便利です。たとえば、管理者が提供したデジタル証明書を持つクライアントだけにアクセスを制限すると便利な場合があります。

詳細については、『WebLogic Security の管理』の以下の節を参照してください。

「SSL プロトコルのコンフィグレーション」
「相互認証のコンフィグレーション」

セキュリティプリンシパルマップのアップグレード

定義された security-principal-map 要素を含んだweblogic-ra.xml デプロイメント記述子ファイルを持つリソースアダプタをデプロイすると、そのファイルのデータはあたかも Admin Console を介してコンフィグレーションされたかのように WebLogic Server Embedded LDAP Server にインポートされます (Embedded LDAP Server は資格とマップが永続的に格納される場所)。

しかし、元々のリソースアダプタは変更されません。したがって、元々のリソースアダプタを再デプロイする場合は、データを weblogic-ra.xml ファイルからもう一度インポートする必要があります。

したがって、非推奨の security-principal-map 要素の入ったリソースアダプタをデプロイし、その上で Admin Console 資格マップインタフェースを使ってエントリを追加または変更する場合、security-principal-map 要素をそのままにしてリソースアダプタをもう一度デプロイすると、これらの変更が消失することが重要です。

この問題を回避するには、リソースアダプタをデプロイし、その上で weblogic-ra.xml ファイルを修正して security-principal-map 要素を削除する必要があります。このように、従来 weblogic-ra.xml ファイルに格納されていた security-principal-map 情報はすべて Embedded LDAP Server に格納されます。security-principal-map 要素の含まれないリソースアダプタを再デプロイする場合、情報は消去されません。

weblogic-ra.xml ファイルの要素編集の詳細については、weblogic-ra.xml デプロイメント記述子の要素.を参照してください。

ユーザとグループの定義

以下の節ではユーザとグループの定義について説明します。ユーザとグループを作成する方法の詳細については、『WebLogic Security の管理』を参照してください。

ユーザ

ユーザとは、WebLogic Server セキュリティレルムで認証されるエンティティのことです。ユーザは、個人または Java クライアントなどのソフトウェアエンティティでもかまいません。各ユーザには、WebLogic Server セキュリティレルムでユニークな ID が与えられます。システム管理者は、同じセキュリティレルム内で同一ユーザが重複しないようにする必要があります。

セキュリティレルムのユーザの定義では、WebLogic Server セキュリティレルム内のリソースにアクセスするユーザごとにユニークな名前とパスワードを、Administration Console の [ユーザ] ウィンドウで指定します。

リソースアダプタが使用する特別ユーザが 3 つ用意されています。特別ユーザは以下のとおりです。

wls_ra_initial －このユーザのマップを定義すると、そのリソースアダプタの接続プールを起動するときに作成される初期接続に指定された資格が使用されます。プールの InitialCapacity パラメータが初期接続の数を指定します。このユーザのマップを定義しないと、デフォルトのマップ wls_ra_default (提供されている場合) が使用されます。定義しない場合は、初期接続の資格がありません。
wls_ra_anonymous －このユーザのマップを定義すると、リソースアダプタへの接続要求にユーザが認証されていない場合、指定された資格が使用されます。
wls_ra_default －このユーザマップを定義しないと、他のマップが現在のユーザに適用されない場合、または認証ユーザが依存せず匿名マップが指定されない場合、指定された資格が使用されます。

グループ

グループは、通常、企業の同じ部門に所属しているなどの共通点を持つユーザの集合を表します。グループは、多数のユーザを効率的に管理する手段です。ACL でグループにパーミッションが付与された場合、そのグループのすべてのメンバがそのパーミッションを持つことになります。パーミッションは、個々のユーザに対してではなく、グループに対して割り当てることをお勧めします。

非推奨のセキュリティプリンシパルマップメカニズム

このリリースでは、リソースアダプタデプロイヤがセキュアパスワード資格ストレージを介して指定された許可/認証メカニズムのプラグインとして機能するための標準的なメソッドが提供されます。この WebLogic Server のストレージメカニズムは、リソースアダプタアーカイブ内の weblogic-ra.xml デプロイメント記述子に付属のセキュリティプリンシパルマップメカニズムに代わるものです。

その結果、weblogic-ra.xml <security-principal-map> 要素は非推奨になりました。しかし、セキュリティプリンシパルマップメカニズムを使用する手順はそのまま残します。

「J2EE コネクタ仕様、バージョン 1.0、最終リリース」(http://java.sun.com/j2ee/download.html#connectorspec) の「EIS Sign-on」セクションでは、サインオンの実行を委任するリソースプリンシパルを定義するためのさまざまなオプションが示されています。以前の WebLogic Server 実装では、この仕様のセキュリティプリンシパルマップオプションを実装していました。

このオプションの場合、リソースプリンシパルは、呼び出すコンポーネントの開始側/呼び出し側プリンシパル ID のマップによって判別されます。判別されたリソースプリンシパルはマップ元プリンシパルの ID またはセキュリティ属性を継承しませんが、定義されたマッピングに基づいて ID とセキュリティ属性 (パスワード) を取得します。

したがって、コンテナ管理によるサインオンを有効にして使用するには、WebLogic Server が initiating-principal と resource-principal の関連付けを指定するメカニズムを用意する必要があります。このために WebLogic Server では、デプロイされるリソースアダプタごとに定義可能なセキュリティプリンシパルマップを使用します。

コンテナ管理によるサインオンがクライアントコンポーネントに要求され、セキュリティプリンシパルマップがデプロイされるリソースアダプタに合わせてコンフィグレーションされていない場合、接続の取得は試行されますが、提供される JAAS Subject は NULL となります。このシナリオが有効となるかどうかは、リソースアダプタの実装によって決まります。

セキュリティプリンシパルマップをコンフィグレーションしていない状況でも、有効と見なされる場合があります。リソースアダプタが、すべての EIS 接続を、ハードコード化して事前にコンフィグレーションされているセキュリティ情報を使用して内部的に取得するため、新しい接続の要求時に渡されるセキュリティ情報に依存しない場合がそれに該当します (ある意味で、これはアプリケーション管理サインオンでもコンテナ管理サインオンでもない異なる第 3 のシナリオと考えられる)。

WebLogic Server と指定のリソースアダプタとの間でセキュリティ情報をやり取りする方法が定義済みの接続管理システム規約に定義されている場合、コンテナ管理によるサインオンとアプリケーション管理によるサインオンのどちらを使用するかは、接続を要求するクライアントアプリケーションに定義されているデプロイメント情報に基づいて決められます。接続管理システム規約の指定方法の詳細については、クライアントに関する考慮事項を参照してください。

クライアントコンポーネントがサインオンメカニズムを指定する方法の詳細については、「J2EE コネクタ仕様、バージョン 1.0、最終リリース」(http://java.sun.com/j2ee/download.html#connectorspec) の「Connection Management」章の「Application Programming Model」節を参照してください。

J2EE コネクタアーキテクチャアプリケーションのセキュリティモデルの詳細については、同「Application Security Model」を参照してください。

コンテナ管理によるサインオンの使い方

コンテナ管理によるサインオンを使用するには、WebLogic Server がリソースプリンシパルを識別してから、リソースプリンシパルに代わって接続を要求しなければなりません。WebLogic Server は、weblogic-ra.xml デプロイメント記述子ファイルの security-principal-map 要素で指定されているセキュリティプリンシパルマッピングを探してリソースプリンシパルを識別します。

security-principal-map 要素は、initiating-principal と resource-principal の関係を定義します。

各 security-principal-map 要素は、リソースアダプタおよび EIS サインオン処理に合わせて適切なリソースプリンシパル値を定義するメカニズムを提供します。security-principal-map 要素では、管理対象の接続と接続ハンドルを割り当てる場合に使用する定義済みの開始プリンシパルと対応するリソースプリンシパルのユーザ名およびパスワードを指定します。

デフォルトリソースプリンシパル

デフォルトリソースプリンシパルは、security-principal-map 要素の接続ファクトリに合わせて定義できます。initiating-principal 値に「*」を指定し、対応する resource-principal 値を指定した場合、マップ内で現在の ID と一致するものがないときには必ず定義した resource-principal が利用されます。

ただし、この要素は省略できます。コンテナ管理によるサインオンがリソースアダプタにサポートされており、いずれかのクライアントに使用される場合は、何らかの形式で指定する必要があります。

また、デプロイ時に管理対象の接続を接続プールに取得する試みは、定義されている「デフォルト」リソースプリンシパル (指定されている場合) を使用して行われます。

J2EE コネクタアーキテクチャの security-principal-map のコンフィグレーションとデプロイ済みのRAR (リソースアダプタ) との関連付けについては、コンフィグレーションの非推奨のセキュリティプリンシパルマップメカニズムのコンフィグレーションを参照してください。

非推奨のパスワード変換ツール

リソースアダプタアーカイブ内に weblogic-ra.xml デプロイメント記述子を持つセキュリティプリンシパルマップメカニズムが新しい WebLogic Server ストレージメカニズムに変更されたため、パスワード変換ツールは非推奨になりました。

しかし、パスワード変換ツールを使用する手順はそのまま残します。詳細については、コンフィグレーションの非推奨のセキュリティプリンシパルマップメカニズムのコンフィグレーション,を参照してください。

セキュリティポリシー処理

「J2EE コネクタ仕様、バージョン 1.0、最終リリース」は、アプリケーションサーバ上で動作するリソースアダプタに関するデフォルトセキュリティポリシーを定義しています。また、リソースアダプタがオーバライドしてセキュリティポリシーを指定する方法も定義しています。

この仕様に準拠するため、WebLogic Server はリソースアダプタの実行時環境を動的に変更します。リソースアダプタで特定のセキュリティポリシーが定義されない場合、WebLogic Server はリソースアダプタの実行時環境を J2EE コネクタアーキテクチャ仕様で指定されたデフォルトセキュリティポリシーでオーバライドします。リソースアダプタで特定のセキュリティポリシーが定義されている場合は、WebLogic Server がリソースアダプタの実行時環境をリソースアダプタのデフォルトセキュリティポリシーとリソースアダプタに定義された特定のポリシーの組み合わせでオーバライドします。リソースアダプタは ra.xml デプロイメント記述子ファイルの security-permission-spec 要素を使用して固有のセキュリティポリシーを定義します。

セキュリティポリシーの処理に関する要件の詳細については、「J2EE コネクタ仕様、バージョン 1.0、最終リリース」(http://java.sun.com/j2ee/download.html#connectorspec) の「Runtime Environment」章の「Security Permissions」節を参照してください。