WebLogic Security プログラマーズ ガイド
![]() |
![]() |
![]() |
![]() |
セキュリティ ロールおよびセキュリティ ポリシーを使うと、WebLogic リソースをドメイン レベル、アプリケーション レベル、およびアプリケーション コンポーネント レベルで保護できますが、接続フィルタを使用すると、ネットワーク レベルでアクセス拒否ができます。したがって、ネットワーク接続フィルタを使用することで、セキュリティのレイヤを追加できます。接続フィルタを使うと、個々のサーバ、サーバのクラスタ、または内部ネットワーク (イントラネット) にあるサーバ リソースを保護できます。
接続フィルタは、管理ポートを使用する場合に特に便利です。ネットワーク ファイアウォール コンフィグレーションによっては、接続フィルタを使用して管理アクセスをさらに制限できる場合もあります。一般的には、管理ポートへのアクセスをドメイン内のサーバやマシンのみに制限するために使用されることが考えられます。たとえ攻撃者がファイアウォール内のマシンにアクセスできた場合でも、許可されたマシンでない限り、管理操作を実行することはできません。
ネットワーク接続フィルタは、プロトコル、IP アドレス、および DNS ノード名に基づいてフィルタ処理するようコンフィグレーションできる点において一種のファイアウォールです。たとえば、ユーザの企業のネットワーク外部からの非 SSL 接続を拒否できます。これにより、インターネット上のシステムからのすべてのアクセスのセキュリティが確保されます。
この節では、weblogic.security.net
パッケージについて説明します。この API は、ネットワーク接続フィルタを開発するためのインタフェースとクラスを提供します。またこれには、ネットワーク接続フィルタのすぐに使える実装である、ConnectionFilterImpl
クラスが含まれます。詳細については、このリリースの WebLogic Server の 「WebLogic クラスの Javadoc」を参照してください。
接続フィルタ処理を実装するには、接続フィルタ インタフェースを実装するクラスを記述します。接続フィルタの実装用に、以下の weblogic.security.net
インタフェースが提供されます。
このインタフェースでは、接続フィルタ処理を実装するために使用する accept()
メソッドが定義されています。接続フィルタ処理を実行するようにサーバをプログラミングするには、このインタフェースを実装するクラスをインスタンス化し、Administration Console でそのクラスをコンフィグレーションする必要があります。このインタフェースは、接続フィルタ処理に関する最低限の実装要件です。
注意 : このインタフェースを実装しただけでは、Administration Console を使ってクライアント接続を制限するフィルタ処理ルールを入力および修正することはできません。他の方法 (Administration Console で定義するフラット ファイルなど) を使ってルールを指定する必要があります。Administration Console を使ってフィルタ処理ルールを入力および修正するには、ConnectionFilterRulesListener
インタフェースも実装する必要があります。ConnectionFilterRulesListener
インタフェースについては、「ConnectionFilterRulesListener インタフェース」を参照してください。
このインタフェースを使用する方法を示すコード例については、「接続フィルタのサンプル」を参照してください。
サーバはこのインタフェースを使って、Administration Console の [ConnectionFilterRules
] フィールドで指定したルールが有効であるかどうかを、setRules()
メソッドおよび checkRules()
メソッドに基づいて起動中および実行時に判断します。
注意 : 必要に応じて、このインタフェースを実装することも、WebLogic Server 製品の一部としてすぐにそのまま使える WebLogic 接続フィルタ実装 weblogic.security.net.ConnectionFilterImpl
のみを使用することもできます。
このインタフェースでは、接続フィルタ処理を実装するために使用する 2 つのメソッド setRules()
と checkRules()
が定義されています。ConnectionFilter
インタフェースと共にこのインタフェースを実装すれば、クライアント接続を制限するフィルタ処理ルールを、Administration Console を使って入力することができます。
注意 : Administration Console で接続フィルタ処理ルールを入力および編集するためには、ConnectionFilterRulesListener
インタフェースを実装する必要があります。このインタフェースを実装しない場合は、フラット ファイルなどの他の方法を使用する必要があります。
このインタフェースを使用する方法を示すコード例については、「接続フィルタのサンプル」を参照してください。
接続フィルタの実装用に、2 つの weblogic.security.net
クラスが提供されます。
このクラスは、WebLogic の接続フィルタ実装です。ConnectionFilter
および ConnectionFilterRulesListener
インタフェースを実装します。いったん Administration Console を使ってコンフィグレーションされると、この接続フィルタはデフォルトですべての着信接続を受け入れ、また、サーバが現在の接続フィルタを取得できるようにする静的なファクトリ メソッドを提供します。この接続でアクセスを拒否するには、Administration Console で接続フィルタ ルールを入力するだけです。
このクラスは、WebLogic Server 製品の一部として提供されます。このクラスをコンフィグレーションして使用するには、「WebLogic 接続フィルタのコンフィグレーション」を参照してください。
これは、すべてのイベント ステート オブジェクトが派生する元のクラスです。すべてのイベントは、そのオブジェクト、つまり特定のイベントが最初に発生したオブジェクトであると論理的に見なされるソースを基準に作成されます。アプリケーションは、このクラスで提供されるメソッド (getLocalAddress()
、getLocalPort()
、getRemoteAddress()
、getRemotePort()
、および hashcode()
) を使用して、新しい ConnectionEvent
インスタンスを作成します。
このクラスを使用したコード例については、コード リスト 6-1 を参照してください。
この節では、接続ルールの記述方法と評価方法について説明します。接続ルールが指定されていない場合は、すべての接続が受け入れられます。
接続フィルタ ルールの指定は、接続フィルタ処理の実装方法により、フラット ファイルで記述したり、Administration Console で直接入力したりすることができます。ネットワーク接続フィルタのコード例では、両方の方法が示されています。ネットワーク接続フィルタのコード例は、BEA dev2dev Web サイトの http://dev2dev.bea.com/code/wls.jsp で入手できます。
以下の節では、接続フィルタ ルールを記述するために必要な情報とガイドラインを説明しています。
#
) はコメント文字。シャープ記号から行末までの記述は無視される。 フィルタ ルールの形式は、フィルタ ルールを入力するフィルタ ファイルを使用するか、Administration Console でフィルタ ルールを入力するかによって異なります。
targetAddress localAddress localPort action protocols
targetAddress action protocols
target
では、フィルタ処理を行うシステムを 1 つ以上指定する。 localAddress
では、WebLogic Server インスタンスのホスト アドレスを定義する。アスタリスク (*
) を指定すると、すべてのローカル IP アドレスが返されます。 localPort
では、WebLogic Server インスタンスがリスンしているポートを定義する。アスタリスクを指定すると、サーバで利用可能なすべてのポートが返されます。 action
では、実行するアクションを指定する。この値は、allow
または deny
でなければなりません。 protocols
は、一致するプロトコル名のリスト。指定できるプロトコルは、http、https
、t3
、t3s
、giop
、giops
、dcom
、ftp
、ldap
です。 プロトコルを定義しないと、すべてのプロトコルがルールに一致します。
dialup-555-1212.pa.example.net 127.0.0.1 7001 deny t3 t3s # http(s) OK
192.168.81.0/255.255.254.0 127.0.0.1 8001 allow # 23-bit netmask
192.168.0.0/16 127.0.0.1 8002 deny # like /255.255.0.0
クライアントが WebLogic Server に接続すると、記述されている順序でルールが評価されます。一致する最初のルールにより、接続の処理方法が決まります。一致するルールがない場合には、接続は許可されます。
サーバの保護をさらに厳しくし、特定のアドレスからの接続だけを許可する場合は、最後のルールを次のように指定します。
0.0.0.0/0 * * deny
最後のルールをこのように指定すると、それまでのルールで許可されている接続だけが認められて、他の接続はすべて拒否されます。たとえば次のルールを指定したとします。
Remote IP Address * * allow https
0.0.0.0/0 * * deny
Remote IP Address を持つマシンだけが、接続フィルタを実行する WebLogic Server のインスタンスへのアクセスを許可されます。その他のシステムはすべて、アクセスを拒否されます。
注意 : デフォルトの接続フィルタの実装では、対象アドレス 0 (0.0.0.0/0) を「ルールはすべての IP アドレスに適用される」という意味であると解釈します。設計上、デフォルトのフィルタはポートを評価せず、アクションのみを評価します。デフォルトのフィルタを使用する場合の制限を明確に指定するには、ルールを変更します。
この他に、カスタム接続フィルタを実装する方法もあります。サンプル フィルタは、http://dev.bea.com/code/security.jsp にあります。FastFilterEntry.java
サンプルには、ルールの処理方法を決定する match()
メソッドが含まれています。
WebLogic Server では、製品の一部としてネットワーク接続フィルタを用意しています。これはすぐにそのまま使えます。使用するには、Administration Console でコンフィグレーションするだけです。セキュリティ レルムの詳細については、『WebLogic Security の管理』を参照してください。
WebLogic 接続フィルタを使用せず、独自に開発する場合は、weblogic.security.net
パッケージで提供されているアプリケーション プログラミング インタフェース (API) を使用できます。この API については、「ネットワーク接続フィルタ API」を参照してください。
WebLogic Server でカスタム接続フィルタを開発するには、次の手順を実行します。
または、Administration Console を使用して接続フィルタ処理ルールを入力したり、既存のフィルタ処理ルールを直に編集したりする場合は、ConnectionFilter
インタフェースおよび ConnectionFilterRulesListener
インタフェースを実装するクラスを記述します。
ConnectionFilter
インタフェースだけを実装して手順 1 の最低要件を満たす場合、接続フィルタ処理ルールをフラット ファイルで入力し、ConnectionFilter
インタフェースを実装するクラスでそのファイルの場所を定義します。その後、Administration Console を使用して WebLogic Server 内のクラスをコンフィグレーションします。Administration Console でクラスをコンフィグレーションする方法については、『WebLogic Security の管理』の「接続フィルタのコンフィグレーション」を参照してください。接続フィルタ処理を実装するためのフラット ファイルの使用例については、ネットワーク接続フィルタのコード例の SimpleConnectionFilter.java
ファイル (BEA dev2dev Web サイトの http://dev2dev.bea.com/code/wls.jsp) を参照してください。ConnectionFilterRulesListener
インタフェースの使用例については、ネットワーク接続フィルタのコード例の SimpleConnectionFilter2.java
ファイル (BEA dev2dev Web サイトの http://dev2dev.bea.com/code/wls.jsp) を参照してください。注意 : Java クライアントまたは Web ブラウザ クライアントが WebLogic Server インスタンスへの接続を試行する際に接続フィルタ処理を実装すると、WebLogic Server インスタンスは ConnectionEvent
オブジェクトを作成して、接続フィルタ クラスの accept()
メソッドに渡します。接続フィルタ クラスは、ConnectionEvent
オブジェクトを調べて、接続を受け付ける場合はオブジェクトを返し、接続を拒否する場合は FilterException
を送出します。
実装されたクラス (ConnectionFilter
インタフェースのみを実装するクラスと、ConnectionFilter
インタフェースおよび ConnectionFilterRulesListener
インタフェースを実装するクラス) は両方とも、クライアント接続に関する情報を収集後に、accept()
メソッドを呼び出す必要があります。ただし、ConnectionFilter
インタフェースだけを実装している場合、収集される情報にはリモート IP アドレスと接続プロトコル (HTTP、HTTPS、T3、T3S、GIOP、GIOPS、DCOM、FTP、または LDAP) が含まれます。どちらのインタフェースも実装している場合、収集される情報には、リモート IP アドレス、リモート ポート番号、ローカル ポート番号、および接続プロトコルが含まれます。
WebLogic Server のソフトウェアには、2 つの接続フィルタ サンプルが付属しています。どちらにも、効率の良い一般的な接続フィルタが含まれています。接続フィルタのサンプルをダウンロードするには、http://dev2dev.bea.com/code/wls.jsp. にアクセスしてください。どちらのサンプルも、ルールを解析し、接続フィルタ処理によって WebLogic Server 接続に付加されるオーバーヘッドが最小限になるようなルール照合アルゴリズムを設定します。必要に応じて、このサンプル コードを変更して再利用できます。たとえば、ローカルまたはリモートのポート番号を、フィルタ、またはフィルタ処理のオーバーヘッドを軽減するサイト固有のアルゴリズムに合わせることができます。サンプルをビルド、コンフィグレーション、および実行する方法については、ネットワーク接続フィルタのコード例と同じ場所にある package.html
ファイルを参照してください。
examples.security.net.SimpleConnectionFilter
サンプルは、BEA dev2dev Web サイトの http://dev2dev.bea.com/code/wls.jsp で入手できます。このサンプルは、ConnectionFilter
インタフェースを実装し、フィルタ ファイルで定義されているルールを使って接続のフィルタ処理を行います。
examples.security.net.SimpleConnectionFilter2
サンプルは、BEA dev2dev Web サイトの http://dev2dev.bea.com/code/wls.jsp で入手できます。このサンプルは、ConnectionFilter
インタフェースと ConnectionFilterRulesListener
インタフェースを実装し、Administration Console で定義されたルールを使って接続のフィルタ処理を行います。
コード リスト 6-1 では、WebLogic Server は、ConnectionEvent
で SimpleConnectionFilter.accept()
メソッドを呼び出しています。SimpleConnectionFilter.accept()
メソッドは、リモート アドレスとプロトコルを取得してプロトコルをビットマスクに変換し、ルール適合時に文字列が比較されることを防ぎます。次に、SimpleConnectionFilter.accept()
メソッドは、ルールごとにリモート アドレスとプロトコルを比較して、一致するものを見つけます。
このコードは、BEA dev2dev Web サイトの http://dev2dev.bea.com/code/wls.jsp で入手可能なネットワーク接続フィルタのコード例の SimpleConnectionFilter.java
ファイルからの抜粋です。
public void accept(ConnectionEvent evt)
throws FilterException
{
InetAddress remoteAddress = evt.getRemoteAddress();
String protocol = evt.getProtocol().toLowerCase();
int bit = protocolToMaskBit(protocol);
// この特殊なビットマスクは、
// 認識されたプロトコルのいずれかが接続で使用されないことを
// 示す
if (bit == 0xdeadbeef)
{
bit = 0;
}
// 記述された順でルールをチェック
for (int i = 0; i < rules.length; i++)
{
switch (rules[i].check(remoteAddress, bit))
{
case FilterEntry.ALLOW:
return;
case FilterEntry.DENY:
throw new FilterException("rule " + (i + 1));
case FilterEntry.IGNORE:
break;
default:
throw new RuntimeException("connection filter internal error!");
}
}
// 一致したルールがない場合でも、接続を成功させることができる
return;
}
![]() ![]() |
![]() |
![]() |