WebLogic リソースの保護の概要
以下の節では、WebLogic リソースの保護についての概要を示します。
このガイドの対象読者
このマニュアルは、主にサーバ管理者を対象としています。サーバ管理者は、アプリケーション設計者と密接に連携しながら、サーバおよびサーバ上で動作するアプリケーションのセキュリティ方式の設計、潜在的なセキュリティ リスクの特定、およびセキュリティ上の問題を防止するセキュリティ コンフィグレーションの提案を行います。関連する責務として、重要なプロダクション システムの保守、セキュリティ レルムのコンフィグレーションと管理、サーバ リソースとアプリケーション リソースへの認証および認可方式の実装、セキュリティ機能のアップグレード、およびセキュリティ プロバイダのデータベースの保守などが含まれる場合もあります。サーバ管理者は、Web アプリケーションと EJB のセキュリティ、公開鍵セキュリティ、および SSL を含む、Java セキュリティ アーキテクチャについて深い知識を備えています。
このマニュアルは、WebLogic Server Administration Console を使用するサーバ管理者を対象としており、『WebLogic Security の管理』と合わせて、WebLogic Server デプロイメントのセキュリティを正しくコンフィグレーションするためのものです。
用語と概念
WebLogic Server のセキュリティには、理解しておく必要のある固有の用語や概念が多数あります。これらの用語と概念は WebLogic Server のセキュリティに関するマニュアルに登場しますが、用語については『WebLogic Security の紹介』の「用語」の節で、概念については「セキュリティの基礎概念」の節で定義されています。
WebLogic リソースの保護の概要
図 1-1 に、WebLogic リソースを保護するための全体的なプロセスを示し、その後簡単に説明します。
図1-1 WebLogic リソースの保護
- 管理者は、組織的な境界を表すグループにユーザを静的に割り当てます。 同じユーザは複数のグループのメンバーになることができます。 図 1-1 に、それぞれ 2 人のユーザで構成される 3 つのグループを示します。ユーザ 1 とユーザ 3 は複数のグループのメンバーです。
注意: ユーザをグループに割り当てると、多数のユーザを扱う管理者の作業を効率化できます。
- 管理者は、自社の確立されたビジネス手順に基づいてロール文を作成します。ロール文には、特定のグループに付与されるセキュリティ ロールを指定するロール条件が定義されます。
- 実行時に、WebLogic Security サービスはロール条件とグループを比較して、そのグループにセキュリティ ロールを動的に付与するかどうかを決定します。このプロセスを、ロール マッピングと呼びます。図 1-1 では、グループ 2 だけにセキュリティ ロールを付与されています。
注意: 個々のユーザにセキュリティ ロールを付与することもできますが、これは一般的ではありません。
- 管理者は、自社の確立されたビジネス手順に基づいてポリシー文を作成します。ポリシー文には、特定のセキュリティ ロールに付与される保護対象 WebLogic リソースへのアクセス権を指定するポリシー条件が定義されます。
- 実行時に、WebLogic Security サービスはセキュリティ ポリシーと WebLogic リソースを使用して、保護されているリソースへのアクセスを許可するかどうかを決定します。セキュリティ ロールを付与されたグループのメンバーであるユーザだけが、WebLogic リソースにアクセスできます。したがって、図 1-1 では、ユーザ 3 とユーザ 6 はグループ 2 のメンバーなので保護対象 WebLogic リソースにアクセスできます。
WebLogic リソースの保護 : 主な手順
WebLogic リソースを保護する主な手順は以下のとおりです。
- 保護する WebLogic リソースを決定します。 詳細については、WebLogic リソースのタイプを参照してください。
- URL (Web) またはエンタープライズ JavaBean (EJB) リソースを保護する場合は、次の手順に従います。
- 使用する方法を決定します。 詳細については、URL リソースおよび EJB リソースを保護する方法を参照してください。
- セキュリティ コンフィグレーションのオーバライドを避けるため、URL および EJB リソースの保護に関する重要事項に目を通しておきます。 詳細については、URL リソースおよび EJB リソースを保護するための前提条件を参照してください。
- WebLogic Server Administration Console を使用して URL または EJB リソースを保護する場合は、手順 3 の指示に従います。
- デプロイメント記述子を使用して URL または EJB リソースを保護する場合は、『WebLogic Security プログラマーズ ガイド』の「Web アプリケーションでの宣言によるセキュリティの使用」と「EJB での宣言によるセキュリティの使用」をそれぞれ参照してください。
- URL または EJB リソースの初回のデプロイ時に、既存のデプロイメント記述子からセキュリティ コンフィグレーションをコピーする場合や、URL または EJB リソースのセキュリティ コンフィグレーションを、デプロイメント記述子で指定された元の状態に再初期化する場合は、組み合わせた方法による URL および EJB リソースの保護の指示に従います。
- Administration Console を使用して WebLogic リソースを保護します。次の手順に従います。
- セキュリティ ロールの付与の対象となるユーザおよびグループ (個人または個人の集合の表現) を作成します。手順については、ユーザの作成とグループの作成を参照してください。
- セキュリティ ロールを作成します。セキュリティ ロールは動的に計算される特権で、特定の条件に基づいてユーザまたはグループに付与され、WebLogic リソースへのアクセスを制限するために使用されます。 手順については、セキュリティ ロールを参照してください。
注意: WebLogic リソースを保護するためには、多くのユーザを抱える管理者の作業を効率化できるので、(ユーザまたはグループよりも) セキュリティ ロールを作成および使用することをお勧めします。
- セキュリティ ポリシー (WebLogic リソースとユーザ、グループ、またはセキュリティ ロールとの関連付け) を作成します。セキュリティ ポリシーは、だれが WebLogic リソースへのアクセスを許可されるのかを指定するものです。 手順については、セキュリティ ポリシーを参照してください。
