WebLogic Security の管理
|
|
|
|
|
config.xml ファイルに保存する。外部 LDAP ブラウザと組み込み LDAP の管理者アカウント (cn=Admin) を使用して組み込み LDAP サーバに接続する場合は、この属性を生成した値から変更する。
|
|
|
ldap/backup ディレクトリの zip ファイルにバックアップしてから、書き込みを再開する。デフォルトでは 23。
|
|
|
|
|
|
ldap/backup ディレクトリ内の zip ファイルの数を制限する。デフォルトでは 7。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
http:/www.iit.edu/~gawojar/ldap/
lbe.sh
localhost に設定します。
7001 (SSL を使用する場合は 7002) に設定します。
dc=mydomain に設定します。mydomain は使用する WebLogic Server ドメインの名前です。
cn=Admin に設定します。
|
|
|
|
|
ou=people,ou=myrealm,dc=mydomain
|
|
|
ou=groups,ou=myrealm,dc=mydomain
|
|
|
ou=ERole,ou=myrealm,dc=mydomain
|
|
|
ou=EResource,ou=myrealm,dc=mydomain
|
lbe.sh
ou=people,ou=myrealm,dc=mydomain と指定します)。
lbe.sh
ou=people,ou=myrealm,dc=mydomain と指定します)。
acls.prop) を編集してコンフィグレーションおよび管理することもできます。
acls.prop ファイルを編集する必要はありません。この節の手順は必ずしも行う必要はありません。
acls.prop) には、LDAP ディレクトリ全体のアクセス制御リスト (ACL) の完全なリストが含まれています。アクセス制御ファイルの各行には、アクセス制御ルールが 1 つずつ含まれています。アクセス制御ルールは以下の要素で構成されています。
[root]|entry#grant:r,b,t#[all]#public
ou=Employees,dc=octetstring,dc=com|subtree#grant:r,c#[all]#public:
ou=Employees,dc=octetstring,dc=com|subtree#grant:b,t#[entry]#public:
ou=Employees,dc=octetstring,dc=com|subtree#deny:r,c#userpassword#public:
ou=Employees,dc=octetstring,dc=com|subtree#grant:r#userpassword#this:
ou=Employees,dc=octetstring,dc=com|subtree#grant:w,o#userpassword,title,
description,
postaladdress,telephonenumber#this:
cn=schema|entry#grant:r#[all]#public:
acls.prop ファイルで特定の場所の [root] を指定することができます。
grant または deny のアクションを使用できます。
|
|
|
|
r Read
|
|
|
w Write
|
|
|
o Obliterate
|
|
|
s Search
|
|
|
c Compare
|
|
|
m Make
|
|
m パーミッションは、オブジェクトを作成するときにオブジェクトに配置されるすべての属性に対して必要です。変更操作で w および o パーミッションが使用されるのと同様に、m パーミッションは追加操作で使用されます。w および o パーミッションは追加操作と関係がなく、m パーミッションは変更操作と関係がありません。新しいオブジェクトはまだ存在していないため、オブジェクトの作成に必要な a および m パーミッションは、新しいオブジェクトの親に付与されている必要があります。この要件は、変更対象のオブジェクトに付与する必要のある w および o パーミッションとは異なります。エントリに新しい子を追加する際に必要なパーミッションと、同じエントリの既存の子を変更する際に必要なパーミッションが衝突しないように、m パーミッションは w および o パーミッションとは別個で分離したものになっています。変更操作で値を置き換えるには、ユーザは w パーミッションと o パーミッションの両方を持つ必要があります。
|
|
|
|
a Add
|
|
|
d Delete
|
|
|
e Export
|
Rename パーミッションも必要になる。
|
|
i Import
|
|
|
n RenameDN
|
Rename パーミッションを付与する必要がある。上位のエントリの名前を変更しない場合、付与は十分である。
|
|
b BrowseDN
|
|
|
t ReturnDN
|
|
[entry] - パーミッションがオブジェクト全体に適用されることを示します。オブジェクトの削除や子オブジェクトの追加などのアクションを意味します。 [all] - パーミッションがエントリのすべての属性に適用されることを示します。
[all] と別の属性の両方が指定されている場合、属性に対する限定性の高いパーミッションが、[all] キーワードで指定される限定性の低いパーミッションをオーバーライドします。
authzID - サブジェクト定義の一部として指定できる単一のユーザに適用されます。ユーザの ID は、通常 LDAP ディレクトリ内で DN として定義されます。Group - 以下のいずれかのオブジェクト クラスで指定されるユーザのグループに適用されます。 groupOfUniqueNames groupOfNamesgroupOfUniqueURLs
Subtree - LDAP ディレクトリ ツリー内のサブジェクトとすべての下位エントリの一部として指定される DN に適用されます。IP Address - 特定のインターネット アドレスに適用されます。このサブジェクト タイプは、すべてのアクセスがプロキシ サーバまたは他のサーバを経由しなければならない場合に便利です。特定のホストにのみ適用され、範囲やサブネットには適用されません。Public - 認証されるかどうかにかかわらず、ディレクトリに接続するすべての対象に適用されます。This - アクセスされるエントリの DN に一致する DN を持つユーザに適用されます。
IP Address サブジェクトに基づくルールが最優先され、その次は、特定の AuthzID または This サブジェクトに適用されるルールが続く。次に優先されるのは、Group サブジェクトに適用されるルール。優先順位が最も低いのは、Subtree および Public サブジェクトに適用されるルールである。
