WebLogic Security プログラマーズガイド

Java クライアントでの JAAS 認証の使用

この節では、以下の内容について説明します。

JAAS と WebLogic Server

Java Authentication and Authorization Service (JAAS) は、Java Software Development Kit バージョン 1.4.1 のセキュリティに対する標準拡張です。JAAS では、ユーザの ID に基づいてアクセス制御を実行できます。JAAS は、JNDI 認証メカニズムの代わりとして WebLogic Server で提供されています。

WebLogic Server クライアントは、標準の JAAS の認証部分だけを利用します。JAAS LoginContext は、コンフィグレーションされているすべての認証プロバイダの LoginModule インスタンスを順番どおりに実行し、コンフィグレーションされている各プロバイダの完了ステータスの管理を行います。

Java クライアントに対して JAAS 認証を使用する場合は、次のことに注意してください。

WebLogic Server クライアントは認証に JNDI ログインを使うことも JAAS ログインを使うこともできますが、JAAS ログインのほうが望ましい方法です。
JAAS は認証方法として望ましい選択肢ですが、WebLogic 提供の LoginModule (weblogic.security.auth.login.UsernamePasswordLoginModule) はユーザ名とパスワードの認証しかサポートしていません。したがって、クライアントの証明書認証 (双方向 SSL 認証ともいう) では JNDI を使用します。クライアントの証明書認証に JAAS を使用するには、証明書の認証を行うカスタム LoginModule を記述する必要があります。

注意 : WebLogic Server クライアントで使用する LoginModule を自分で作成する場合は、weblogic.security.auth.Authenticate.authenticate() を呼び出してログインを実行するように記述する必要があります。

リモートの Java クライアントから JAAS ログインを実行する (つまり、Java クライアントが WebLogic Server クライアントではない) 場合には、WebLogic 提供の LoginModule をログインの実行に使用できます。ただし、WebLogic 提供の LoginModule を使用せずに自分で作成することを選択した場合は、weblogic.security.auth.Authenticate.authenticate() メソッドを呼び出してログインを実行するように記述する必要があります。
Security Assertion Markup Language (SAML) などリモートまたは境界のログインシステムを使用する場合は、weblogic.security.auth.Authenticate.authenticate() を呼び出す必要はありません。WebLogic Server を使用してログインを実行する場合は、authenticate() メソッドを呼び出すだけで済みます。

注意 : WebLogic Server は、JAAS 認証に対して完全なコンテナサポートを提供し、アプリケーションコードにおける JAAS の認証と認可の完全な使用をサポートしています。

WebLogic Server では、ログインの実行に JAAS が呼び出されます。LoginModule は各認証プロバイダに含まれています。これは、JNDI または JAAS を介しての Java クライアントのログインだけでなく、サーブレットのログインについても当てはまります。WebLogic Server が JAAS ログオンを実行するために内部で呼び出すメソッドは、weblogic.security.services.Authentication.authenticate() です。認証クラスを使用する場合、ヘルパークラスとしては weblogic.security.SimpleCallbackHandler が有用であると考えられます。
WebLogic Server は、認証と認可に関して JAAS 1.0 参照実装を完全にサポートしています。WebLogic Server は JAAS 認可を使用してリソースを保護することはしませんが (WebLogic セキュリティを使用)、アプリケーションコードで JAAS 認可を使用してアプリケーションの独自のリソースを保護することはできます。

JAAS の詳細については、Web 上の http://java.sun.com/security/jaas/doc/api.html にある『Java Authentication and Authorization Service Developer's Guide』を参照してください。

JAAS 認証の開発環境

クライアントがアプリケーション、アプレット、エンタープライズ JavaBean (EJB)、または認証が必要なサーブレットのどれであるかに関係なく、WebLogic Server は Java Authentication and Authorization Service (JAAS) のクラスを使用して安全かつ確実にそのサーバに対して認証を行います。JAAS は、プラグイン可能な認証モジュール (PAM) フレームワークの Java バージョンを実装します。このフレームワークにより、アプリケーションは基の認証技術から独立することができます。このため、PAM フレームワークを利用することで、Java アプリケーションに修正を加えることなく新しいまたは最新版の認証技術を使用することができます。

WebLogic Server は、リモートの Java クライアントの認証および内部の認証で JAAS を使用します。したがって、JAAS に直に関与する必要があるのは、カスタム認証プロバイダの開発者と Java クライアントアプリケーションの開発者だけです。Web ブラウザクライアントのユーザまたはコンテナ内の Java クライアントアプリケーション (サーブレットからエンタープライズ JavaBean を呼び出すものなど) の開発者は、JAAS を直接使用したり、その知識を身につけたりする必要はありません。

注意 : Java Authentication and Authorization Service (JAAS) および Java Naming And Directory Interface (JNDI) は、いずれもセキュリティが確保された状態で WebLogic Server のインスタンスへログインするために、WebLogic Server 上で実行される Java クライアントで使用できますが、JAAS のほうが望ましい方法です。

注意 : WebLogic クライアントでセキュリティを実装するためには、Java クライアントで WebLogic Server ソフトウェア配布キットをインストールする必要があります。

この節では、以下の内容について説明します。

JAAS 認証 API

WebLogic Server で JAAS 認証を使用する Java クライアントを実装するには、Java SDK 1.4.1 アプリケーションプログラミングインタフェース (API) と WebLogic API を組み合わせて使用します。

表 3-1 では、JAAS 認証の実装に使用される Java SDK API パッケージについて説明します。表 3-1 の情報は Java SDK API のマニュアルから取られており、WebLogic Server 固有の情報がコメントで追加されています。Java SDK API の詳細については、「http://java.sun.com/j2se/1.4.1/docs/api/index.html」および「http://java.sun.com/j2ee/1.4/docs/api/index.html」の Javadoc を参照してください。

表 3-2 では、JAAS 認証の実装に使用される WebLogic API について説明します。詳細については、「WebLogic クラスの Javadoc」を参照してください。

表 3-1 Java SDK JAAS API

Java SDK JAAS API	説明
javax.security.auth.Subject	`Subject` クラスは、リクエストのソースを表し、個々のユーザでもグループでも使用できる。`Subject` オブジェクトは、ユーザのログインが正常に完了した後でのみ作成される。
javax.security.auth.login. LoginContext	`LoginContext` クラスは、`Subject` の認証に使用される基本メソッドを記述し、基礎となる認証テクノロジから独立したアプリケーションを開発する方法を提供する。`Configuration` では、特定のアプリケーションで使用する認証テクノロジまたは LoginModule を指定する。したがって、アプリケーション自体を変更せずに、異なる LoginModule をアプリケーションに組み込むことができる。呼び出し側は、`LoginContext` をインスタンス化すると、`login` メソッドを呼び出して `Subject` を認証する。この `login` メソッドは、呼び出し側で指定した名前についてコンフィグレーションされた LoginModule の各々からの `login` メソッドを呼び出す。 `login` メソッドが例外を送出することなく返れば、認証は総合的に成功したことになる。呼び出し側はその後、`getSubject` メソッドを呼び出すことによって、新しく認証された `Subject` を取得できる。`Subject` と関連付けられたプリンシパルおよび資格は、`Subject` の `getPrincipals`、`getPublicCredentials`、および `getPrivateCredentials` メソッドをそれぞれ呼び出すことで取得できる。 `Subject` からログアウトするには、呼び出し側は `logout` メソッドを呼び出すだけでよい。`login` メソッドの場合と同じく、この `logout` メソッドはこの `LoginContext` についてコンフィグレーションされた各 LoginModule に対し `logout` メソッドを呼び出す。このクラスの実装サンプルについては、コードリスト 3-4 を参照。
javax.security.auth.login. Configuration	これは、アプリケーションにおける LoginModule のコンフィグレーションを表す抽象クラスである。`Configuration` では、特定のアプリケーションについて、使用する LoginModule、および LoginModule を呼び出す順番を指定する。この抽象クラスは、実際のコンフィグレーションを読み取ってロードする実装を提供するようサブクラス化する必要がある。 WebLogic Server では、このクラスの代わりにログインコンフィグレーションファイルを使用する。サンプルのコンフィグレーションファイルについては、コードリスト 3-3 を参照。デフォルトでは、WebLogic Server はコンフィグレーションファイルから読み取りを行う、Sun Microsystems, Inc. によるコンフィグレーションクラスを使用する。
javax.security.auth.spi. LoginModule	`LoginModule` は、認証テクノロジプロバイダによって実装されるインタフェースを記述する。`LoginModule` は、特定のタイプの認証を提供するためにアプリケーションに組み込まれる。アプリケーション開発者は `LoginContext` API に書き込み、API 認証テクノロジプロバイダは LoginModule インタフェースを実装する。Configuration では、特定のログインアプリケーションで使用する LoginModule を指定する。したがって、アプリケーション自体を変更せずに、異なる LoginModule をアプリケーションに組み込むことができる。注意 : WebLogic Server は、LoginModule の実装 (`weblogic.security.auth.login. UsernamePasswordLoginModule`) を提供する。WebLogic Server の Java クライアントでは、この JAAS 認証の実装の使用が望ましいが、独自の LoginModule を開発することも可能。コードリスト 3-3 は、WebLogic Server の LoginModule を呼び出す方法を示す。
javax.security.auth. callback.Callback	このインタフェースの実装は `CallbackHandler` に渡される。それにより、基礎となるセキュリティサービスは呼び出し側アプリケーションと対話して、ユーザ名やパスワードなど特定の認証データを取得したり、エラーや警告メッセージなど特定の情報を表示できるようになる。 `Callback` 実装では、基礎となるセキュリティサービスによって要求された情報の取得または表示は行わない。`Callback` 実装は、単にそのようなリクエストをアプリケーションに渡す手段と、場合に応じてアプリケーションが要求された情報を基礎となるセキュリティサービスに返す手段を提供する。このクラスの実装サンプルについては、コードリスト 3-2 を参照。
javax.security.auth. callback.CallbackHandler	アプリケーションは、`CallbackHandler` を実装し、それを基礎となるセキュリティサービスに渡すことで、それらのサービスがアプリケーションと対話してユーザ名やパスワードなど特定の認証データを取得したり、エラーや警告メッセージなど特定の情報を表示したりできるようにする。 `CallbackHandler` は、アプリケーションに依存する形で実装される。基礎となるセキュリティサービスは、個々の `Callbacks` を `CallbackHandler` に渡すことによってさまざまなタイプの情報に対するリクエストを行う。`CallbackHandler` 実装は、渡された `Callbacks` に応じて情報を取得したり表示したりする方法を決定する。たとえば、基礎となるサービスがユーザを認証するためにユーザ名とパスワードを必要としていれば、`NameCallback` および `PasswordCallback` を使用する。その後、`CallbackHandler` は逐次的にユーザ名およびパスワードの入力を求めるか、または単一のウィンドウで両方の入力を求めるかを選択できる。このインタフェースの実装サンプルについては、コードリスト 3-2 を参照。

表 3-2 WebLogic JAAS API

WebLogic JAAS API	説明
weblogic.security.auth.Authenticate	ユーザ資格の認証に使用される認証クラス。 LoginModule の WebLogic 実装 (`weblogic.security.auth.login. UsernamePasswordLoginModule`) では、このクラスを使用してユーザを認証し、`Principals` を `Subject` に追加する。ユーザの記述による LoginModule も、同じ目的でこのクラスを使用する必要がある。
weblogic.security.auth. Callback.URLCallback	基礎となるセキュリティサービスでは、このクラスを使用して `URLCallback` をインスタンス化し、`CallbackHandler` の `invokeCallback` メソッドに渡して、URL 情報を取得する。 `LoginModule` の WebLogic Server 実装 (`weblogic.security.auth.login. UsernamePasswordLoginModule`) ではこのクラスを使用する。注意 : アプリケーション開発者は、URL 情報の取得にこのクラスを使用すべきではない。代わりに、weblogic.security.URLCallbackHandler を使用する。
weblogic.security.Security	このクラスは WebLogic Server クライアントの `runAs` メソッドを実装する。クライアントアプリケーションは、実行する `PrivilegedAction` または `PrivilegedExceptionAction` と `Subject` ID を、`runAs` メソッドを使用して関連付ける。サンプルの実装については、コードリスト 3-6 を参照。
weblogic.security. URLCallbackHandler	アプリケーション開発者が `username`、`password`、および `URL` を返すために使用するクラス。アプリケーション開発者は、このクラスを使用して `URLCallback` を処理し、URL 情報を取得する。

JAAS クライアントアプリケーションコンポーネント

JAAS 認証クライアントアプリケーションには、少なくとも以下のコンポーネントが含まれます。

Java クライアント

Java クライアントは LoginContext オブジェクトをインスタンス化し、オブジェクトの login() メソッドを呼び出すことでログインを呼び出します。login() メソッドは LoginModule 内のメソッドを呼び出して、ログインおよび認証を実行します。
LoginContext はまた、新しい空の javax.security.auth.Subject オブジェクト (認証されているユーザまたはサービスを表す) をインスタンス化し、コンフィグレーションされた LoginModule を作成し、それをこの新しい Subject および CallbackHandler で初期化します。
LoginContext は、その後 LoginContext の getSubject メソッドを呼び出すことで、認証されたサブジェクトを取得します。LoginContext は weblogic.security.Security クラス runAs() メソッドを使って、ユーザ ID に代わって実行される PrivilegedAction または PrivilegedExceptionAction と Subject の ID を関連付けます。

LoginModule

LoginModule は CallbackHandler を利用して、ユーザ名およびパスワードを取得し、そのユーザ名とパスワードが予想どおりのものであるかどうかを確認します。
認証に成功すると、LoginModule は、ユーザを表すプリンシパルをサブジェクトに格納します。LoginModule がサブジェクトに格納するプリンシパルは Principal のインスタンスであり、java.security.Principal インタフェースを実装するクラスです。
LoginModule ファイルは、ユーザ名およびパスワードの認証や証明書の認証など、さまざまなタイプの認証を実行するように記述できます。クライアントアプリケーションに含める LoginMdule は、1 つ (最低要件) でも複数でもかまいません。

注意 : WebLogic Server アプリケーションで JAAS javax.security.auth.Subject.doAs メソッドを使用する場合、サブジェクトとクライアントアクションは関連付けられません。doAs メソッドを使用して WebLogic Server アプリケーションに J2SE セキュリティを実装することは可能ですが、この場合でも Security.runAs() メソッドを使用する必要があります。

Callbackhandler

CallbackHandler は、javax.security.auth.callback.CallbackHandler インタフェースを実装します。LoginModule は、CallbackHandler を使って、ユーザと対話し、ユーザ名やパスワードなどの要求された情報を取得します。

コンフィグレーションファイル

このファイルでは、アプリケーションで使用する LoginModule をコンフィグレーションします。LoginModule の場所と、複数の LoginModule がある場合は、実行する順番を指定します。このファイルを使うと、Java アプリケーションは LoginModule を使って定義および実装される認証テクノロジから独立を保つことができます。

アクションファイル

このファイルでは、クライアントアプリケーションが実行する処理を定義します。

ant 構築スクリプト (build.xml)

このスクリプトは、アプリケーションに必要なすべてのファイルをコンパイルし、それらを WebLogic Server のアプリケーションディレクトリにデプロイします。

ここで説明しているコンポーネントを実装する完全な実践的 JAAS 認証クライアントについては、WebLogic Server で提供されている SAMPLES_HOME\server\examples\src\examples\security\jaas ディレクトリの JAAS サンプルアプリケーションを参照してください。

JAAS 認証の基本の詳細については、Sun の『JAAS Authentication Tutorial』(http://java.sun.com/j2se/1.4/docs/guide/security/jaas/tutorials/GeneralAcnOnly.html) を参照してください。

WebLogic LoginModule 実装

LoginModule クラスの WebLogic 実装は、WebLogic Server 配布キットにおいて、WL_HOME\server\lib ディレクトリの weblogic.jar ファイルで提供されています。

注意 : WebLogic Server は、JAAS で定義されているすべてのコールバックのタイプだけではなく、JAAS 仕様を拡張するコールバックのタイプもすべてサポートしています。

WebLogic Server 製品に付属する UsernamePasswordLoginModule は、実行に先立ってシステムユーザの認証定義が存在するかどうかを調べ、すでに定義されている場合は何も行いません。

JASS LoginModule の実装方法の詳細については、『Java Authentication and Authorization Service Developer's Guide』を参照してください。

JVM 全体のデフォルトユーザと runAs() メソッド

WebLogic Server の LoginModule 実装 (weblogic.security.auth.login.UsernamePasswordLoginModule) を初めて使用してログインすると、指定されたユーザが JVM (Java 仮想マシン) に対するマシン全体のデフォルトユーザとなります。weblogic.security.Security.runAs() メソッドを実行すると、このメソッドは指定された Subject と現在のスレッドのアクセスパーミッションを関連付けてから、アクションを実行します。指定された Subject が特権を持たないユーザ (グループに割り当てられていないユーザは特権を持たないと見なされる) を表している場合、JVM 全体のデフォルトユーザが使用されます。したがって、runAs() メソッドでは必要な Subject を指定することが重要です。それには、以下のオプションがあります。

オプション 1 : クライアントが main() の制御を持つ場合は、コードリスト 3-1 で示されているラッパーコードをクライアントコードで実装します。

コードリスト 3-1runAs() メソッドのラッパーコード

import java.security.PrivilegedAction;
import javax.security.auth.Subject;
import weblogic.security.Security;

public class client
{
  public static void main(String[] args)
  {
  Security.runAs(new Subject(),
    new PrivilegedAction() {
     public Object run() {
      //
      //クライアント コードに実装する場合、main() はここに記述する
//
     return null;
     }
   }); 
  }
}

オプション 2 : クライアントが main() の制御を持たない場合、コードリスト 3-1 に示したラッパーコードを各スレッドの run() メソッドに実装します。

JAAS 認証を使用するクライアントアプリケーションの作成

WebLogic Server Java クライアントにおいて JAAS を使ってサブジェクトを認証するには、以下の手順を実行します。

WebLogic Server で使用する認証メカニズム用の LoginModule クラスを実装します。認証メカニズムのタイプごとに LoginModule クラスが必要です。1 つの WebLogic Server デプロイメントに対して複数の LoginModule クラスを割り当てることができます。LoginModule クラスの実装方法については、「http://java.sun.com/security/jaas/doc/api.html」にある『Java Authentication and Authorization Service (JAAS) 1.0 Developer's Guide』を参照してください。

注意 : ユーザ名およびパスワードの認証には、WebLogic Server 提供の LoginModule の実装 (weblogic.security.auth.login.UsernamePasswordLoginModule) を使用することをお勧めします。必要であれば、ユーザ名およびパスワードの認証用に自分で LoginModule を作成することもできます。しかし、WebLogic Server の LoginModule を修正して再利用しようとはしないでください。LoginModule を自分で作成する場合は、ログインを実行するために weblogic.security.auth.Authenticate.authenticate() メソッドを呼び出すように記述します。SAML などリモートのログインシステムを使用している場合は、authenticate() メソッドを呼び出す必要はありません。WebLogic Server を使用してログインを実行する場合は、authenticate() を呼び出すだけで済みます。

weblogic.security.auth.Authenticate クラスは、表 3-3 で説明されているように初期コンテキストとして「JNDI Environment object」を使用します。

LoginModule がユーザと対話し、ユーザ名、パスワード、URL などの要求された情報を取得するために使用する CallbackHandler クラスを実装します。URL には WebLogic クラスタの URL も指定でき、その場合クライアント側でサーバのフェイルオーバによるメリットを得られます。WebLogic Server 配布キットで提供される JAAS クライアントのサンプルで使用される、サンプルの CallbackHandler については、コードリスト 3-2 を参照してください。

注意 : 独自の CallbackHandler クラスを実装する代わりに、2 つの WebLogic 提供による CallbackHandler クラス、すなわち weblogic.security.SimpleCallbackHandler または weblogic.security.URLCallbackHandler のいずれかを使用できます。これらのクラスの詳細については、「WebLogic クラスの Javadoc」を参照してください。

コードリスト 3-2CallbackHandler インタフェースの実装

package examples.security.jaas;

import java.io.*;
import javax.security.auth.callback.Callback;
import javax.security.auth.callback.CallbackHandler;
import javax.security.auth.callback.UnsupportedCallbackException;
import javax.security.auth.callback.TextOutputCallback;
import javax.security.auth.callback.PasswordCallback;
import javax.security.auth.callback.TextInputCallback;
import javax.security.auth.callback.NameCallback;
import weblogic.security.auth.callback.URLCallback;
import examples.utils.common.ExampleUtils;

/**
 * SampleCallbackHandler.java
 * CallbackHandler インタフェースの実装
 *
 * @author Copyright (c) 2000-2002 by BEA Systems, Inc. All Rights
 * Reserved.
*/
class SampleCallbackHandler implements CallbackHandler
{
  private String username = null;
  private String password = null;
  private String url = null;

  public SampleCallbackHandler() { }

  public SampleCallbackHandler(String pUsername, String pPassword,
                                 String pUrl) 
  { 
    username = pUsername;
    password = pPassword;
    url = pUrl;
  }

  public void handle(Callback[] callbacks) throws IOException,
                                       UnsupportedCallbackException
  {
    for(int i = 0; i < callbacks.length; i++)
    {
      if(callbacks[i] instanceof TextOutputCallback)
      {
        // 指定したタイプに従ってメッセージを表示
        TextOutputCallback toc = (TextOutputCallback)callbacks[i];
        switch(toc.getMessageType())
        {
        case TextOutputCallback.INFORMATION:
          ExampleUtils.log(toc.getMessage());
          break;
        case TextOutputCallback.ERROR:
          ExampleUtils.log("ERROR: " + toc.getMessage());
          break;
        case TextOutputCallback.WARNING:
          ExampleUtils.log("WARNING: " + toc.getMessage());
          break;
        default:
          throw new IOException("Unsupported message type: " +
                                   toc.getMessageType());
        }
      }
      else if(callbacks[i] instanceof NameCallback)
      {
        // コマンドラインでユーザ名が未入力の場合は、
        // ユーザにユーザ名の入力を促す
NameCallback nc = (NameCallback)callbacks[i];
        if (ExampleUtils.isEmpty(username)) {
          System.err.print(nc.getPrompt());
          System.err.flush();
          nc.setName((new BufferedReader(new
                          InputStreamReader(System.in))).readLine());
        }
        else {
          ExampleUtils.log("username: "+username);
          nc.setName(username);
        }
      }
      else if(callbacks[i] instanceof URLCallback)
      {
        // コマンドラインで URL が未入力の場合は、ユーザに URL の
        // 入力を促す
// このサンプルでは URL が必要
URLCallback uc = (URLCallback)callbacks[i];
        if (ExampleUtils.isEmpty(url)) {
          System.err.print(uc.getPrompt());\
          System.err.flush();
          uc.setURL((new BufferedReader(new
                         InputStreamReader(System.in))).readLine());\
        }
        else {
          ExampleUtils.log("URL: "+url);
          uc.setURL(url);
        }
      }
      else if(callbacks[i] instanceof PasswordCallback)
      { 
        PasswordCallback pc = (PasswordCallback)callbacks[i];

        // コマンドラインでパスワードが未入力の場合は、
        // ユーザにパスワードの入力を促す
        if (ExampleUtils.isEmpty(password)) {
          System.err.print(pc.getPrompt());
          System.err.flush();

          // 注意 : JAAS の仕様では、パスワードは String ではなく
          // char[] である
String tmpPassword = (new BufferedReader(new
                           InputStreamReader(System.in))).readLine();
          int passLen = tmpPassword.length();
          char[] passwordArray = new char[passLen];
          for(int passIdx = 0; passIdx < passLen; passIdx++)
            passwordArray[passIdx] = tmpPassword.charAt(passIdx);
          pc.setPassword(passwordArray);
        }
        else {
          String tPass = new String();
          for(int p = 0; p < password.length(); p++)
            tPass += "*";
          ExampleUtils.log("password: "+tPass);
          pc.setPassword(password.toCharArray());
        }        
      }
      else if(callbacks[i] instanceof TextInputCallback)
      {
        // ユーザ名の入力を要求する
        TextInputCallback callback =
                              (TextInputCallback)callbacks[i];
        System.err.print(callback.getPrompt());
        System.err.flush();
        callback.setText((new BufferedReader(new
                           InputStreamReader(System.in))).readLine());
      }
      else
      {
        throw new UnsupportedCallbackException(callbacks[i],
                                           "Unrecognized Callback");
      }
    }
  }
}

WebLogic Server で使用する LoginModule クラス、および LoginModule クラスを呼び出す順序を指定するコンフィグレーションファイルを記述します。WebLogic Server 配布キットで提供される JAAS クライアントのサンプルで使用される、サンプルのコンフィグレーションファイルについては、コードリスト 3-3 を参照してください。

コードリスト 3-3sample_jaas.config のコード例

/** JAAS サンプル アプリケーション用のログイン コンフィグレーション **/

Sample {
   weblogic.security.auth.login.UsernamePasswordLoginModule
         required debug=false;
};

Java クライアントにおいて、LoginContext をインスタンス化するコードを記述します。LoginContext は、コンフィグレーションファイル sample_jaas.config を調べて、WebLogic Server 用にコンフィグレーションされているデフォルトの LoginModule をロードします。LoginContext のインスタンス化の例については、コードリスト 3-4 を参照してください。

コードリスト 3-4LoginContext のコードの一部分

...
import javax.security.auth.login.LoginContext;
...

    LoginContext loginContext = null;

    try
    {
      // LoginContext を作成する。ユーザ名/パスワード ログイン モジュールを指定する
      loginContext = new LoginContext("Sample", 
             new SampleCallbackHandler(username, password, url));
    }

注意 : ID アサーションプロバイダや WebLogic Server のリモートインスタンスなどの他の手段を使ってユーザを認証する場合には、デフォルト LoginModule はリモートリソースによって決定されます。

LoginContext の login() メソッドを呼び出します。login() メソッドによって、ロードされた LoginModule がすべて呼び出されます。各 LoginModule でサブジェクトの認証が試みられます。コンフィグレーションされているログイン条件が満たされない場合、LoginContext は LoginException を送出します。login() メソッドの例については、コードリスト 3-5 を参照してください。

コードリスト 3-5login() メソッドのコードの一部分

...
import javax.security.auth.login.LoginContext;
import javax.security.auth.login.LoginException;
import javax.security.auth.login.FailedLoginException;
import javax.security.auth.login.AccountExpiredException;
import javax.security.auth.login.CredentialExpiredException;
...
/**
     * 認証を試みる
     */
    try
    {
      // 例外が発生せずに復帰した場合は、認証に成功
      loginContext.login();

    catch(FailedLoginException fle)

    {
      System.out.println("Authentication Failed, " +
                             fle.getMessage());
      System.exit(-1);
    }
    catch(AccountExpiredException aee)
    {
      System.out.println("Authentication Failed: Account Expired");
      System.exit(-1);
    }
    catch(CredentialExpiredException cee)
    {
      System.out.println("Authentication Failed: Credentials
                              Expired");
      System.exit(-1);
    }
    catch(Exception e)
    {
      System.out.println("Authentication Failed: Unexpected
                            Exception, " + e.getMessage());
      e.printStackTrace();
      System.exit(-1);
    }

Java クライアント内にコードを記述して、javax.security.auth.Subject.getSubject() メソッドを使用する LoginContext インスタンスから認証されたサブジェクトを取得し、アクションをサブジェクトとして呼び出します。サブジェクトの認証に成功したら、weblogic.security.Security.runAs() メソッドを呼び出すことで、そのサブジェクトに対してアクセス制御を設定できます。runAs() メソッドは、指定されたサブジェクトと現在のスレッドのアクセスパーミッションを関連付けた後、アクションを実行します。getSubject() メソッドと runAs() メソッドの実装例については、コードリスト 3-6 を参照してください。

注意 : WebLogic Server アプリケーションで JAAS javax.security.auth.Subject.doAs メソッドを使用する場合、サブジェクトとクライアントアクションは関連付けられません。doAs メソッドを使用して WebLogic Server アプリケーションに J2SE セキュリティを実装することは可能ですが、この場合でも Security.runAs() メソッドを使用する必要があります。



コード リスト 3-6getSubject メソッドと runAs メソッドのコードの一部分
...
/**
 * 認証されたサブジェクトを取得し、サブジェクトとして SampleAction を実行する
 */
   Subject subject = loginContext.getSubject();
   SampleAction sampleAction = new SampleAction(url);
   Security.runAs(subject, sampleAction);
   System.exit(0);
...


サブジェクトが必要な特権を持っている場合にアクションを実行するコードを記述します。株式取引用の EJB を実行する javax.security.PrivilegedAction クラスのサンプル実装については、コード リスト 3-7 を参照してください。


コード リスト 3-7PrivilegedAction の実装例
package examples.security.jaas;

import java.security.PrivilegedAction;
import javax.naming.Context;
import javax.naming.InitialContext;
import java.util.Hashtable;
import javax.ejb.CreateException;
import javax.ejb.EJBException;
import javax.ejb.FinderException;
import javax.ejb.ObjectNotFoundException;
import javax.ejb.RemoveException;
import java.rmi.RemoteException;
import javax.naming.Context;
import javax.naming.InitialContext;
import javax.naming.NamingException;
import examples.ejb20.basic.statelessSession.TraderHome;
import examples.ejb20.basic.statelessSession.Trader;
import examples.utils.common.ExampleUtils;
/**
 * SampleAction.java
 *
 * JAAS サンプル PrivilegedAction の実装
 *
 * @author Copyright (c) 2000-2002 by BEA Systems, Inc. All Rights
 * Reserved.
*/
public class SampleAction implements PrivilegedAction
{
  private static final String JNDI_NAME =
            "ejb20-statelessSession-TraderHome";
  private String url;
  
  public SampleAction(String url)
  {
    this.url = url;
  }
  public Object run()
  {
    Object obj = null;
    try {
      callTraderEJB();
    }
    catch(Exception e) {
      e.printStackTrace();
    }
    return obj;
  }
  /**
   * Trader EJB を呼び出す
   */
  public void callTraderEJB()
    throws NamingException, CreateException, RemoteException,
               RemoveException
  {
    TraderHome home = lookupTraderHome();
    // Trader を作成する
    ExampleUtils.log("Creating a trader");
    Trader trader = (Trader)ExampleUtils.narrow(home.create(),
                       Trader.class);
    String [] stocks = {"BEAS", "MSFT", "AMZN", "HWP" };
      // 購入を実行する
    for (int i=0; i<stocks.length; i++) {
      int shares = (i+1) * 100;
      ExampleUtils.log("Buying "+shares+" shares of
                         "+stocks[i]+".");
      trader.buy(stocks[i], shares);
    }
    // 売却を実行する
    for (int i=0; i<stocks.length; i++) {
      int shares = (i+1) * 100;
      ExampleUtils.log("Selling "+shares+" shares of
                           "+stocks[i]+".");
      trader.sell(stocks[i], shares);
    }
    // Trader を削除する
    ExampleUtils.log("Removing the trader");
    trader.remove();
  }
  /**
   * JNDI を使って Bean のホーム インタフェースをルックアップする
   */
  private TraderHome lookupTraderHome()
    throws NamingException
  {    
    Context ctx = ExampleUtils.getInitialContext(url);
    Object home = (TraderHome)ctx.lookup(JNDI_NAME);
    return (TraderHome)ExampleUtils.narrow(home, TraderHome.class);
  }
}


LoginContext インスタンスの logout() メソッドを呼び出します。logout() メソッドは、ユーザのセッションをクローズし、Subject をクリアします。login() メソッドの例については、コード リスト 3-8 を参照してください。


コード リスト 3-8logout() メソッドのコード例
...
import javax.security.auth.login.LoginContext;
...
try
    {
      System.out.println("logging out...");
      loginContext.logout();
    }

注意 : LoginModule.logout() メソッドは WebLogic 認証プロバイダまたはカスタム認証プロバイダに対して呼び出されることはありません。これは単に、いったん Principals が作成され Subject 内に入れられると、WebLogic Security フレームワークはこの Subject のライフサイクルを制御しなくなるからです。したがって、JAAS LoginContext を作成してログインおよび Subject の取得を行う、開発者によって記述されたユーザ コードでは、ログアウトするためにも LoginContext を呼び出す必要があります。LoginContext.logout() を呼び出すと、Subject から Principals がクリアされます。
 

JNDI 認証の使い方

Java クライアントは、Java Naming and Directory Interface (JNDI) を使用して WebLogic Server に資格を渡します。Java クライアントは、JNDI InitialContext を取得して WebLogic Server との通信を確立します。その後、InitialContext を使用して、WebLogic Server JNDI ツリーで必要なリソースをルックアップします。

注意 : JAAS は認証方法として望ましい選択肢ですが、WebLogic 認証プロバイダの LoginModule はユーザ名とパスワードの認証しかサポートしていません。したがって、クライアントの証明書認証 (双方向 SSL 認証ともいう) では JNDI を使用します。クライアントの証明書認証に JAAS を使用するには、LoginModule で証明書の認証を行うカスタム認証プロバイダを記述する必要があります。LoginModule の記述方法については、http://java.sun.com/j2se/1.4.1/docs/guide/security/jaas/JAASLMDevGuide.html を参照してください。

ユーザとユーザの資格を指定するには、表 3-3 で示されている JNDI プロパティを設定します。


 

表 3-3   認証に使用される JNDI プロパティ 





	
		
			
プロパティ


		 		
			
意味


		
	
	
		
			
INITIAL_CONTEXT_FACTORY


		
		
			
エントリ ポイントを WebLogic Server 環境に提供する。クラス weblogic.jndi.WLInitialContextFactory は WebLogic Server 用の JNDI SPI。


		

	
	
		
			
PROVIDER_URL


		
		
			
ネーム サービスを提供する WebLogic Server のホストとポートを指定する。例 : t3://weblogic:7001


		

	
	
		
			
SECURITY_PRINCIPAL


		
		
			
ユーザがデフォルトの (アクティブな) セキュリティ レルムに対して認証されているときのユーザの ID を指定する。


		

	
	
		
			
SECURITY_CREDENTIALS


		
		
			
ユーザがデフォルトの (アクティブな) セキュリティ レルムに対して認証されているときのユーザの資格を指定する。


		

	






 

これらのプロパティは、InitialContext  コンストラクタに渡されるハッシュ テーブルに格納されます。コード リスト 3-9 に、WebLogic Server で実行される Java クライアントでの JNDI 認証の使い方を示します。.


コード リスト 3-9認証の例
...
Hashtable env = new Hashtable();
     env.put(Context.INITIAL_CONTEXT_FACTORY,
              "weblogic.jndi.WLInitialContextFactory");
     env.put(Context.PROVIDER_URL, "t3://weblogic:7001");
     env.put(Context.SECURITY_PRINCIPAL, "javaclient");
     env.put(Context.SECURITY_CREDENTIALS, "javaclientpassword");
     ctx = new InitialContext(env);
注意 : JNDI コンテキストとスレッドの詳細と、JNDI コンテキストの潜在的な問題を回避する方法については、『WebLogic JNDI プログラマーズ ガイド』の「JNDI コンテキストとスレッド」および「JNDI コンテキストの問題の回避方法」を参照してください。 
 

Java クライアントの JAAS 認証コード例

WebLogic Server ソフトウェアには、完全な実践的 JAAS 認証サンプルが付属しています。そのサンプルは、SAMPLES_HOME\server\examples\src\examples\security\jaas ディレクトリにあります。このサンプルの説明と、構築、コンフィグレーション、および実行の手順については、サンプル ディレクトリの package.html ファイルを参照してください。このコード例は、修正して再利用できます。

プロパティ	意味
`INITIAL_CONTEXT_FACTORY`	エントリポイントを WebLogic Server 環境に提供する。クラス weblogic.jndi.WLInitialContextFactory は WebLogic Server 用の JNDI SPI。
`PROVIDER_URL`	ネームサービスを提供する WebLogic Server のホストとポートを指定する。例 : `t3://weblogic:7001`
`SECURITY_PRINCIPAL`	ユーザがデフォルトの (アクティブな) セキュリティレルムに対して認証されているときのユーザの ID を指定する。
`SECURITY_CREDENTIALS`	ユーザがデフォルトの (アクティブな) セキュリティレルムに対して認証されているときのユーザの資格を指定する。

Java クライアントでの JAAS 認証の使用

JAAS と WebLogic Server

JAAS 認証の開発環境

JAAS 認証 API

JAAS クライアント アプリケーション コンポーネント

WebLogic LoginModule 実装

JVM 全体のデフォルトユーザと runAs() メソッド

JAAS 認証を使用するクライアント アプリケーションの作成

JNDI 認証の使い方

Java クライアントの JAAS 認証コード例

JAAS クライアントアプリケーションコンポーネント

JAAS 認証を使用するクライアントアプリケーションの作成