互換性セキュリティの使い方

次の節では、互換性セキュリティをコンフィグレーションする方法について説明します。

注意: 互換性セキュリティは、このリリースの WebLogic Server では非推奨になっています。互換性セキュリティは、WebLogic Server デプロイメントをこのリリースの WebLogic Server のセキュリティ機能にアップグレードするときにのみ使用してください。

互換性セキュリティを設定するには、次の手順に従います。

互換性セキュリティを適切に実行しているかどうかを検証するには、次の手順に従います。

また、[CompatibilitySecurity] ノードが WebLogic Server Administration Console に表示されます。

CompatibilityRealm のデフォルトセキュリティコンフィグレーション

デフォルトでは、CompatibilityRealm は、レルムアダプタ裁決プロバイダ、レルムアダプタ認証プロバイダ、WebLogic 認可プロバイダ、レルムアダプタ認可プロバイダ、WebLogic 資格マッピングプロバイダ、および WebLogic ロールマッピングプロバイダでコンフィグレーションされています。

レルムアダプタ認証プロバイダでの ID アサーションプロバイダのコンフィグレーション

レルムアダプタ認証プロバイダには、ID アサーションプロバイダが含まれています。ID アサーションプロバイダは、weblogic.security.acl.CertAuthenticator クラスの実装に下位互換性を提供します。ID アサーションは X.509 トークンに関して実行されます。デフォルトでは、ID アサーションプロバイダはレルムアダプタ認証プロバイダで有効になっていません。

レルムアダプタ認証プロバイダで ID アサーションを有効にするには、次の手順に従います。

レルムアダプタ監査プロバイダを利用すれば、互換性セキュリティを使用する場合に weblogic.security.audit.AuditProvider クラスの実装を使用できるようになります。レルムアダプタ監査プロバイダが正しく動作するためには、weblogic.security.audit.AuditProvider クラスの実装が、[ドメイン｜セキュリティ｜一般] タブの [監査プロバイダクラス] 属性に定義されている必要があります。

レルムアダプタ監査プロバイダをコンフィグレーションするには、次の手順に従います。

WebLogic Server には、ユーザアカウントを侵入者から保護するための属性セットが用意されています。デフォルトでは、これらの属性は最高の保護レベルに設定されています。システム管理者は、すべての属性を無効にしたり、アカウントがロックされるまでの無効なログイン試行回数を増やしたり、ユーザアカウントがロックされるまでの無効なログイン試行期間を延ばしたり、ユーザアカウントのロック時間を変更したりできます。これらの属性を変更すると、セキュリティレベルが低下して攻撃を受けやすくなることに注意してください。

WebLogic Server ドメインのユーザアカウントを保護するには、次の手順に従います。

次の表では、[パスワード] タブの各属性について説明します。

表9-1 パスワード保護の属性

属性	説明
[最小パスワード文字数]	パスワードに必要な文字数。パスワードは 8 文字以上でなければならない。デフォルトでは 8。
[ロックアウト有効化]	ユーザアカウントへの無効なログインが指定された [ロックアウトしきい値] を超えたときにそのユーザアカウントのロックを要求する。デフォルトで、この属性は有効。
[ロックアウトしきい値]	アカウントにログインしようとする場合に、アカウントがロックアウトされるまでにユーザが間違ったパスワードを入力してもよい回数。この回数を超えてログインを試みると、(ユーザ名/パスワードの組み合わせが正しい場合でも) セキュリティ例外が発生して、アカウントがロックアウトされる。システム管理者が明示的にロックを解除するか、またはロックアウト遅延時間が終了するまで、アカウントはロックアウトされたままとなる。ただし、無効なログインが [ロックアウトリセット遅延] 属性で定義された時間内に繰り返された場合。デフォルトでは 5。
[ロックアウト遅延]	[ロックアウトリセット遅延] 属性で定義された時間内に無効なログインが一定回数以上繰り返されたためにユーザアカウントがロックされた後、ユーザアカウントにアクセスできるようになるまでの時間 (分単位)。ユーザアカウントをロック解除するには、weblogic.passwordpolicy の unlockuser パーミッションが必要。デフォルトでは 30 分。
[ロックアウトリセット遅延]	ここで指定した分単位の時間内に一定回数以上の無効なログインが試みられた場合に、ユーザのアカウントをロックする。 [ロックアウトしきい値] 属性で定義された無効なログインの試行回数が、この属性に定義された時間内に行われた場合、アカウントはロックアウトされる。たとえば、この属性の値が 5 分で、6 分間に 3 回ログインが失敗した場合、アカウントはロックされない。しかし、5 分以内に 5 回の無効なログインが繰り返された場合、アカウントはロックされる。デフォルトでは 5 分。
[ロックアウトキャッシュサイズ]	試行しなかったログインと試行した無効なログインのキャッシュサイズを指定する。デフォルトでは 5。

ユーザアカウントを保護するための属性セットには、ドメインで設定するものとセキュリティレルムで設定するものがあります。いずれかの属性セット (たとえばセキュリティレルムの属性) を設定し、一方の値が他方の値を超えた場合、ユーザアカウントはロックされないことに注意してください。これは、ドメインで設定するユーザアカウントの属性がセキュリティレルムで設定するユーザアカウントの属性をオーバライドするからです。こうした状況を避けるには、セキュリティレルムで設定するユーザアカウントの属性を無効にします。

セキュリティレルムで設定するユーザアカウントの属性を無効にするには、次の手順に従います。

警告: セキュリティレルムのユーザアカウントの属性を無効にする場合は、ドメインでユーザアカウントの属性を設定しないと、ユーザアカウントが保護されません。

互換性セキュリティを使用しているときには、ユーザおよびグループを定義するセキュリティレルムと、WebLogic Server ドメイン内のリソースを保護する ACL を備えた、既存の config.xml ファイルがあることが前提となっています。セキュリティレルムのコンフィグレーションや ACL の定義などの 6.x セキュリティ管理タスクは必要とされないため、この章では説明しません。ただし、既存の 6.x セキュリティレルムが破損し、それを復元する以外に方法がない場合に備えて、WebLogic Server Administration Console のオンラインヘルプにおける互換性セキュリティの節で、以下の 6.x セキュリティ管理タスクが説明されています。

注意: 互換性セキュリティは下位互換性を提供するだけなので、長期にわたるセキュリティ対策と考えないでください。