WebLogic リソースのセキュリティ

WebLogic リソースのセキュリティについて

この章では、リソースのセキュリティのしくみについて説明し、WebLogic Server リソースを保護するための主要なタスクについて簡単に示します。

WebLogic リソースの保護の概要

WebLogic Server のセキュリティには、ユニークな用語や概念が多数使用されています。WebLogic Server のセキュリティ関連マニュアルに登場するこうした用語と概念については、『WebLogic Security について』の「Security Fundamentals」および「Terminology」節で定義されています。

WebLogic リソースとは、セキュリティロールとセキュリティポリシーを使用して、認可されていないアクセスから保護できる基底の WebLogic Server エンティティのことです。WebLogic リソースの例には、エンタープライズアプリケーション (EAR)、EJB (JAR)、Web アプリケーション (WAR) などがあります。さまざまなタイプの WebLogic リソースの詳細については、「WebLogic リソースのタイプ」を参照してください。

リソースの保護のプロセス

図 2-1 に、WebLogic リソースを保護するための全体的なプロセスを示し、続いて簡単に説明します。

図 2-1 WebLogic リソースの保護

WebLogic リソースの保護

管理者は、ユーザを静的にグループに割り当てます。グループを使用すると組織的な境界を表現できます。同じユーザが複数のグループのメンバーになれます。図 2-1 には、それぞれ 2 ユーザが割り当てられた 3 つのグループが示されています。ユーザ 1 とユーザ 3 は複数のグループのメンバーです。

多数のユーザを抱えている場合に管理者の作業効率を向上できるので、ユーザはグループに割り当てることをお勧めします。

管理者は、自社の確立されたビジネス手順に基づいてセキュリティロールを作成します。セキュリティロールは 1 つまたは複数のロール文で構成され、各ロール文にはロール条件が含まれます。ロール条件には、特定のグループにセキュリティロールを付与する状況が指定されます。

実行時に、WebLogic Security サービスにより 1 つまたは複数のロール条件とグループが比較され、そのグループのユーザに動的にセキュリティロールを付与するかどうかが決定されます。このプロセスをロールマッピングと呼びます。図 2-1 では、グループ 2 のみにセキュリティロールが付与されています。

個々のユーザにセキュリティロールを付与することもできますが、これは一般的ではありません。

管理者は、自社の確立されたビジネス手順に基づいてセキュリティポリシーを作成します。セキュリティポリシーは 1 つまたは複数のポリシー文で構成され、各ポリシー文にはポリシー条件が含まれます。ポリシー条件には、特定のセキュリティロールに保護対象 WebLogic リソースへのアクセス権を付与する状況が指定されます。

実行時に、WebLogic Security サービスにより、セキュリティポリシーおよび WebLogic リソース自体を使用して、保護対象 WebLogic リソースへのアクセス権を付与するかどうかが決定されます。セキュリティロールを付与されたグループのメンバーであるユーザのみが、WebLogic リソースにアクセスできます。図 2-1 のユーザ 3 およびユーザ 6 はグループ 2 のメンバーで、必要なセキュリティロールがグループ 2 に付与されているので、保護対象 WebLogic リソースにアクセスできます。

WebLogic リソースの保護 : 主な手順

以下に、WebLogic リソースを保護する主な手順を示します。

保護する WebLogic リソースを決定します。詳細については、「WebLogic リソースのタイプ」を参照してください。

Web アプリケーションまたは EJB 以外の WebLogic リソースを保護する場合、手順 4 に進みます。

Web アプリケーションまたは EJB リソースを保護する場合、セキュリティ方法およびモデルを選択できます。「EJB および Web アプリケーションリソースの保護のオプション」を参照してください。

使用するセキュリティ方法を決定します。「セキュリティ方法の選択」を参照してください。

アプリケーションをデプロイする場合、セキュリティモデルを 1 つ選択します。「セキュリティモデルの選択」を参照してください。

(WebLogic Server バージョン 8.x と互換性のある) 詳細セキュリティモデルを選択した場合は、一部のレルムコンフィグレーションについてリセットが必要な場合があります。「詳細セキュリティモデルの使い方」を参照してください。

WebLogic Server Administration Console を使用して Web アプリケーションまたは EJB リソースを保護する場合は、手順 4 を参照してください。

デプロイメント記述子を使用して Web アプリケーションまたは EJB リソースを保護する場合は、『WebLogic Security プログラミングの概要』の「Using Declarative Security With Web Applications」または「Using Declarative Security With EJBs」を参照してください。

Administration Console を使用して WebLogic リソースを保護するには以下の手順を行います。

セキュリティロールの付与の対象となるユーザおよびグループ (個人または個人の集合の表現) を作成します。詳細については、Administration Console オンラインヘルプの「ユーザとグループの管理」を参照してください。

セキュリティロールを作成します。セキュリティロールは動的に計算される特権で、特定の条件に基づいてユーザまたはグループに付与され、WebLogic リソースへのアクセスを制限するために使用されます。詳細については、Administration Console オンラインヘルプの「セキュリティロールの管理」を参照してください。

セキュリティロールの定義に使用できる式の詳細については、「セキュリティロールの構成要素 : 条件、式、文」を参照してください。

セキュリティポリシー (WebLogic リソースとユーザ、グループ、またはセキュリティロールとの関連付け) を作成します。セキュリティポリシーは、誰が WebLogic リソースにアクセスできるのかを指定するものです。詳細については、Administration Console オンラインヘルプの「セキュリティポリシーの管理」を参照してください。

セキュリティポリシーの定義に使用できる式の詳細については、「セキュリティポリシーの構成要素 : 条件、式、文」を参照してください。