5.12.2 セキュリティ属性の構成

セキュリティ・ページを使用して、アプリケーション全体のセキュリティを設定します。

ヒント:

アプリケーション・コンポーネントを直接編集し、より詳細な設定を管理します。セキュリティのベスト・プラクティスの詳細は、「アプリケーション・セキュリティの管理」を参照してください。

• セキュリティ・ページへのアクセス
  「セキュリティ」ページには、アプリケーションのホームページからアクセスします。
• セキュリティ・ページ
  セキュリティ・ページは、「認証」、「認可」、「セッション管理」、「セッション・ステート保護」、「ブラウザ・セキュリティ」、「データベース・セッション」および「詳細」の各セクションに分かれています。

5.12.2.1 セキュリティ・ページへのアクセス

「セキュリティ」ページには、アプリケーションのホームページからアクセスします。

セキュリティ・ページにアクセスするには、次のステップを実行します。

1. ワークスペースのホームページで、「アプリケーション・ビルダー」アイコンをクリックします。
2. アプリケーションを選択します。
   アプリケーションのホームページが表示されます。
3. アプリケーションのホームページから、セキュリティ・ページに、次の2通りの方法でアクセスできます。
   • 「アプリケーション定義の編集」ボタン:

     1. アプリケーション名の右側にある「アプリケーション定義の編集」をクリックします。

     2. 「セキュリティ」タブをクリックします。

   • 「共有コンポーネント」からの場合:

     1. 「共有コンポーネント」をクリックします。

     2. 「セキュリティ」で、「セキュリティ属性」をクリックします。

   セキュリティ属性の編集ページが表示されます。

4. 対象となる属性を編集します。
5. 「変更の適用」をクリックして、変更を保存します。

5.12.2.2 「セキュリティ」ページ

セキュリティ・ページは、「認証」、「認可」、「セッション管理」、「セッション・ステート保護」、「ブラウザ・セキュリティ」、「データベース・セッション」および「詳細」の各セクションに分かれています。

セキュリティ・ページを使用して、アプリケーション全体のセキュリティを設定します。アプリケーション・コンポーネントを直接編集し、より詳細な設定を管理します。

ノート:

必須の値には赤いアスタリスク(*)が付いています。

• 認証
  
• 認可
  
• セッション管理
  
• セッション・ステート保護
  
• ブラウザ・セキュリティ
  
• データベース・セッション
  
• 詳細
  

5.12.2.2.1 認証

認証は、ユーザーがアプリケーションにアクセスする前に、そのユーザーの本人確認を行うプロセスです。アプリケーションに対して複数の認証スキームを定義できますが、一度にカレントに設定できるスキームは1つだけです。

属性	説明	さらに学習するには
パブリック・ユーザー	データベース・アクセス記述子(DAD)を介したデータベースへの接続に使用するOracleスキーマ(またはユーザー)を示します。ユーザーの本人確認が行われると、Oracle APEXエンジンが組込み置換文字列APP_USERの値を設定して、各ユーザーを追跡します。 APP_USERがこの値と等しいと、APEXエンジンはカレント・セッションを"パブリック・ユーザー"セッションと見なします。APEXエンジンは、次の組込み表示条件をサポートしています。 USER_IS_PUBLIC_USER USER_IS_NOT_PUBLIC_USER カレント・アプリケーション・ユーザー(APP_USER)がこの属性の値と等しい場合、ユーザーはパブリック・ユーザーとしてログインされます。一部のアプリケーションには、パブリック・モード(ログインが不要)およびプライベート・モード(ログインが必要)があります。ユーザーがパブリック・ユーザーかどうかを判断して、条件付きで情報の表示と非表示を切り替えることができます。 たとえば、ユーザーがパブリック・ユーザーの場合はログイン・ボタンを表示し、ユーザーがパブリック・ユーザーでない場合にはログアウト・リンクを表示するように設定できます。この値を参照するには、APEX_APPLICATION.G_PUBLIC_USERを使用します。	「HOME_LINK」および「条件付きのレンダリングおよびプロセスの理解」を参照してください
認証スキーム	このアプリケーションが使用する現行の認証方式を識別します。認証の目的は、アプリケーション・ユーザーのアイデンティティを確認することです。認証スキームを作成するには、「認証スキームの定義」をクリックします。	「認証の仕組み」および「認証スキームの作成」を参照してください
構成プロシージャ	実行時に認証を構成するプロシージャの名前を入力します。	例については、プロシージャを使用した実行時の認証の構成を参照してください。

5.12.2.2.2 認可

アプリケーション認可スキームによって、アプリケーション内のすべてのページへのアクセスが制御されます。アプリケーションに不当にアクセスすると、リクエストしたページに関係なく、エラー・ページが表示されます。

属性	説明
認可スキームの定義	「認可スキームの定義」ボタンをクリックして、認可スキームを作成します。
認可スキーム	アプリケーションの認可スキームを指定します。アプリケーションの認可スキームは、アクセス制御のためにアプリケーションに定義されます。ここで必要な認可スキームをアプリケーション・レベルで設定するには、アプリケーションのすべてのページが定義済の認可チェックに合格する必要があります。
パブリック・ページで実行	アプリケーション・レベルの認可スキームをパブリック・ページ(つまり、認可を必要としないページ)でチェックするかどうかを制御します。 オプションは次のとおりです。 オン - 「オン」を選択し、ページがパブリックの場合は、アプリケーション認可がチェックされます。 オフ - 「オフ」を選択し、ページがパブリックの場合は、アプリケーション認可が無視されます。 ノート: この属性は、認可スキームとして「パブリック・ユーザーは不可」を選択した場合は無視されます。
ロールまたはグループ・スキームのソース	「ロールまたはグループ内にある」タイプの認可スキームのソースとして、APEXで使用する対象を定義します。選択可能な値は次のとおりです。 アクセス制御ユーザー・ロールの割当て - (「共有コンポーネント」/「アプリケーション・アクセス制御」で)ユーザーに割り当てられたロールを有効にします。 認証スキーム - アプリケーションの認証スキームが「APEXアカウント」の場合は、ワークスペース・ユーザーに割り当てられているグループを有効にします。アプリケーションの認証スキームが「データベース・アカウント」の場合は、認可スキームが有効化されたときにデータベース・ロールが確認されます。認証スキームでReal Application Securityを使用する場合は、RAS動的ロールを有効にします。 カスタム・コード - 認証後プロセスでプロシージャapex_authentication.enable_dynamic_groupsをコールして、動的グループに値を移入します。

関連項目:

アプリケーションへの認可スキームの割当て

5.12.2.2.3 セッション管理

セッション管理属性を使用して、Webブラウザが開いたまま放置されたコンピュータの露出をアプリケーション・レベルで減らします。

属性	説明
セッションを再結合	このアプリケーション内のURLにセッションIDを含めるかどうかを、アプリケーションレベルで制御します。「セッションを再結合」が有効で、URLにセッションIDが含まれていない場合、APEXはセッションCookieを使用して既存のセッションを結合しようと試みます。 セッションの再結合をアプリケーション・レベルで使用するには、管理者がインスタンス・レベルで「セッションを再結合」を有効化する必要があります。アプリケーションおよびページ設定は、より制限の多いインスタンス・レベルの設定によってオーバーライドされます。 「セッションを再結合」のオプションは次のとおりです。 アプリケーション・デフォルト - アプリケーション・レベルの設定が適用されます。 無効 - URLにセッションIDが含まれていない場合、APEXは新しいセッションを作成します。 パブリック・セッションに対して有効 - URLがパブリック・ページに移動するもので、セッションIDが含まれていない場合、APEXはそのアプリケーションに対して確立された既存のセッションCookieの利用を試みます。APEXは、セッションがまだ認証されていない場合にのみCookieを使用して結合します。 すべてのセッションに対して有効: URLにセッションIDが含まれておらず、次の条件が満たされる場合、APEXはそのアプリケーションに対して確立された既存のセッションCookieの利用を試みます。 セッション・ステート保護がそのアプリケーションに対して有効で、URLに有効なチェックサムが含まれています。パブリック・ブックマークの場合、最も制限的なアイテム・レベルの保護は「制限なし」または「チェックサムが必要 - アプリケーション・レベル」である必要があります。 または、URLにペイロードが含まれていません(リクエスト・パラメータ、クリア・キャッシュまたはデータ値ペア)。 このオプションでは、「フレームへの埋込み」を「同じ起点から許可」または「拒否」に設定する必要があります。これはURLペイロードの条件に関連付けられませんが、セッション・ステート保護されるURLにも適用されます。 警告: セッションの再結合を有効にすると、攻撃者が既存のエンド・ユーザー・セッションを乗っ取ることが可能になるため、アプリケーションのセキュリティが侵害される可能性があります。詳細は、「「セッションを再結合」について」を参照してください。 関連項目: アプリケーションレベルで「セッションを再結合」を構成するには、「セッション管理」を参照してください。 『Oracle APEX管理ガイド』のインスタンスに対するセッションの再結合の構成
ディープ・リンク	アプリケーションのディープ・リンクを有効または無効にします。オプションは次のとおりです。 有効 - 特定のページへのURLは、最終的にそのページにリダイレクトされます(場合によってはユーザーのログイン後)。 無効 - URLに有効なセッションIDが含まれていない場合、APEXは新しいセッションを開始し、アプリケーションのホームページにリダイレクトします。 たとえば、多くの場合、ブラウザは開いたタブのURLを保存し、再起動後にセッションをリストアしようとするため、ディープ・リンクが発生します。この動作は望ましくない場合があります(URLがマルチステップ・ウィザードの途中のページを指す場合など)。「無効」を選択すると、新しいセッションが開始され、アプリケーションのホームページにリダイレクトされます。
セッション・ステート・コミット	Oracle APEXは、は、クイック・アクセスのためのPL/SQLグローバル変数とデータベース表の両方でセッション状態を保持します。この属性を使用して、セッション状態がデータベースに書き込まれてコミットされる時期を構成します。オプションは次のとおりです。 即時 - リクエスト処理中に状態が変化した場合(たとえば、PL/SQLプロセスがバインド変数を変更したため)、すぐにこれらの変更を記述してコミットします。これにより、メイン・トランザクションがコミットされ、アプリケーション表への変更が含まれる可能性があることに注意してください。 リクエストの終わり - Oracle APEXは、リクエスト処理中に発生するセッション・ステート変更のリストを保持し、リクエストの最後にそれらを適用します。この値を使用すると、計画外停止の場合に、トランザクション管理とアプリケーションの継続性が向上します。 このコンテキストでは、セッション状態には、セッション自体の項目値および属性(アイドル・タイムアウトなど)が含まれます。コレクションはセッション状態の一部でもありますが、「セッション・ステート・コミット」属性の影響は受けません。
最大セッションの長さ	セッションが存続してこのアプリケーションで使用できる期間(秒単位)を定義します。 セッションの存続期間を制御する正の整数を入力します。 セッションを無期限に存続させる場合は、0を入力します。 ワークスペースレベルまたはインスタンスレベルで定義されたセッションの存続期間を使用する場合は、値を空のままにします。
セッション・タイムアウトURL	最大セッション存続期間を超えた際にリダイレクトされるオプションのURLを入力します。このURLのターゲット・ページは、APEXで実装された場合、パブリック・ページである必要があります。 このページの一般的な用途は、ユーザーにセッションの有効期間を知らせ、ログイン・リンクや他のオプションを表示することです。URLが入力されていない場合、ユーザーには、メッセージ「セッションがタイムアウトしました。」およびアプリケーションのホームページのリンクが表示されます。#LOGOUT_URL#を入力すると、APEXは、ユーザーがアプリケーションのログアウト・リンクをクリックした場合と同じようにログアウトを実行します。 次の3つの置換アイテムのみがサポートされます。 &APP_SESSION. &SESSION. &APP_ID. このURLは特別な目的を持つため、リンクに&APP_SESSION.および&SESSION.のいずれも含める必要はありません。
最大セッション・アイドル時間	セッション・アイドル時間は、最後のページ・リクエストと次のページ・リクエストの間の時間です。オプションは次のとおりです。 このアプリケーションで使用するセッションのアイドル時間を制御するには、正の整数を入力します。 ワークスペース・レベルまたはインスタンス・レベルで定義されたアイドル期間を使用する場合は、値を空のままにします。
セッション・アイドル・タイムアウトURL	最大セッション・アイドル時間を超えた際にリダイレクトされるオプションのURLを入力します。このURLのターゲット・ページは、APEXで実装された場合、パブリック・ページである必要があります。このページの一般的な用途は、ユーザーにセッションの有効期間を知らせ、ログイン・リンクや他のオプションを表示することです。URLが入力されていない場合、ユーザーには、メッセージ「セッションがタイムアウトしました。」およびアプリケーションのホームページのリンクが表示されます。#LOGOUT_URL#を入力すると、APEXは、ユーザーがアプリケーションのログアウト・リンクをクリックした場合と同じようにログアウトを実行します。 このURLでは次の3つの置換アイテムのみがサポートされます: &APP_SESSION. &SESSION. &APP_ID. このURLは特別な目的を持つため、リンクに&APP_SESSION.および&SESSIONのいずれも含める必要はありません。
セッション・タイムアウト警告(秒)	セッション・タイムアウト警告は、セッションがタイムアウトになるまでの時間(最大セッションの長さ、または最大セッション・アイドル時間のいずれか)を秒単位で定義して、ユーザーに警告します。最大セッション・アイドル時間の警告の場合、ユーザーはセッションを延長する機会が与えられます。最大セッションの長さの警告の場合、セッション最大時間に達したときにデータが失われないよう、ユーザーに作業の保存が求められます。 このアプリケーションで使用するセッション・タイムアウト警告時間を制御するには、正の整数を入力します。 このアプリケーションで使用されるセッションのセッション・タイムアウト警告をオフにするには、0を入力します。 ワークスペース・レベルまたはインスタンス・レベルで定義された警告時間を使用する場合は、値を空のままにします。

関連項目:

• セッション・タイムアウトの使用について
• 『Oracle APEX管理ガイド』のワークスペースのセッション・タイムアウトの構成およびインスタンスのセッション・タイムアウトの構成

5.12.2.2.4 セッション・ステート保護

セッション・ステート保護を有効にすると、ハッカーがアプリケーション内のURLを改ざんするのを防ぐことができます。URL改ざんにより、プログラム・ロジック、セッション・ステートの内容および情報プライバシが悪影響を受ける可能性があります。この表は、「セッション・ステート保護」で使用可能な属性について説明しています。

属性	説明
ブックマークの無効化	「ブックマークの無効化」をクリックすると、この非表示のアプリケーション属性(チェックサム・ソルト)のソルト属性をいつでもリセットできます。このボタンをクリックすると、以前に生成されたチェックサムを含むブックマーク済URLは、その後にアプリケーションへのアクセスに使用されるときに失敗します。 ヒント: 「ブックマークの無効化」をクリックして、ブックマーク・ハッシュ関数を変更し、チェックサムを計算する別のアルゴリズムに切り替えることもできます。
セッション・ステート保護の管理	「セッション・ステート保護の管理」をクリックして、セッション・ステート保護を構成します。
セッション・ステート保護	「セッション・ステート保護」リストから選択して、アプリケーションのセッション・ステート保護を有効化または無効化します。「有効」を選択すると、ページおよびアイテム・レベルで定義されたセッション・ステート保護コントロールがオンになります。さらに学習するには、フィールドレベル・ヘルプを参照してください。
この後に作成されるURLの許可	ブックマーク済リンクにチェックサムが含まれ、セッション・ステート保護がアプリケーションに対して有効な場合、ブックマーク済リンクをこのアプリケーションのページへのアクセスに使用できるようになった日時がリストされます。 この日付および時間より前に作成されたブックマークは、ブックマーク済リンクにチェックサムが含まれ、セッション・ステート保護がアプリケーションに対して有効な場合、このアプリケーションへのアクセスに使用できません。チェックサムを含まないブックマークまたは不要なチェックサムを含むブックマークは、この属性による影響を受けません。これらの有用性は、他の基準を使用して決定されます。非表示のアプリケーション属性(チェックサム・ソルト)は、計算時と、ページのレンダリング時に生成されたf?p= URLに含まれるチェックサムのその後の検証時に使用されます。チェックサムは、「セッション・ステート保護」がアプリケーションに対して有効な場合に含まれます。このチェックサム・ソルト属性は、「ブックマークの無効化」ボタンをクリックすると、いつでもリセットできます。
ブックマーク・ハッシュ関数	ブックマーク可能なURLの、アプリケーション・レベルおよびユーザー・レベルのチェックサムを作成するために使用されます。

関連項目:

URL改ざんの防止

5.12.2.2.5 ブラウザ・セキュリティ

この表は、「ブラウザ・セキュリティ」で使用可能な属性について説明しています。

属性	説明
キャッシュ	「キャッシュ」を使用して、アプリケーションのページ・コンテンツのブラウザによるキャッシュを有効化または無効化します。有効化すると、ブラウザはこのアプリケーションのページ・コンテンツを、メモリー内とディスク上の両方のキャッシュに保存します。キャッシュが有効になっている場合に、ブラウザの「戻る」ボタンがクリックされると、通常、ページはサーバーからではなくキャッシュからロードされます。無効にすると、ブラウザはアプリケーションのページ・コンテンツを保存しないように指示され、URLが変更されるたびにサーバーから最新のページ・コンテンツをリクエストします。 機密データが保存されないようにするために、この属性を無効にすることをお薦めします。そうしない場合、ログアウト後にブラウザ履歴で前に戻り、以前のセッションのキャッシュされたコンテンツを表示できる可能性があります。ブラウザのキャッシュを無効にすると、部分ページ・リフレッシュを使用するページ(対話モード・レポートを含むページなど)での問題も回避できます。 この属性が「無効」に設定されている場合、ページ・コンテンツをディスク上またはメモリー内にキャッシュしないようにブラウザに指示するHTTPヘッダーcache-control: no-storeがAPEXにより送信されます。この機能には、HTTPヘッダー・レスポンス変数cache-controlをサポートする最新のブラウザが必要であることに注意してください。
フレームへの埋込み	ブラウザのフレーム内にアプリケーションのページを表示するかどうかを制御します。使用可能なオプションは次のとおりです。 拒否 - 実行するサイトに関係なく、ページをフレームに表示できません。 同じ起点から許可 - ページ自体と同じ起点のフレームにのみ、ページを表示できます。 許可 - ページを任意のフレームで表示できます。 フレーム内のページの表示は、クリックジャック攻撃で不正に使用される場合があります。クリックジャック攻撃では、攻撃者は複数のレイヤーを使用して、ユーザーがトップ・レベル・ページをクリックしようとしたときに、別のページ上のボタンやリンクをクリックさせます。したがって、意図したページに対するクリック(またはキーストローク)が攻撃者によりハイジャックされ、別のページに移動させられます。 さらに学習するには、フィールドレベル・ヘルプを参照してください。
HTMLエスケープ・モード	APEXで特殊文字をエスケープする方法を定義します。オプションは次のとおりです。 基本: &、"、<および>をエスケープします 拡張: &、"、<、>、'、/およびASCII以外の文字(データベース文字セットがAL32UTF8ではない場合)をエスケープします
HTTPレスポンス・ヘッダー	APEXが各レスポンスで送信する必要があり、別の方法(たとえば、「フレームへの埋込み」属性を使用したX-Frame-Options)でサポートしていないアプリケーション固有の追加のHTTPヘッダーを入力します。 次に例を示します。 X-XSS-Protection: 1; mode=block X-Content-Type-Options: nosniff

ヒント:

「キャッシュ」および「フレームへの埋込み」のいずれにも、HTTPヘッダー・レスポンス変数X-Frame-Optionsをサポートする最新のブラウザが必要です。

5.12.2.2.6 データベース・セッション

この表は、「データベース・セッション」で使用可能な属性について説明しています。

属性	説明
解析対象スキーマ	アプリケーション内のすべてのSQLおよびPL/SQLが解析対象となるスキーマを指定します。#OWNER#を使用すると、SQL問合せおよびPL/SQL (リージョンやプロセスなど)でこの値を参照できます。
初期化PL/SQLコード	この属性を使用して、現在の「ページの表示」または「ページの受入れ」リクエストに関連付けられたデータベース・セッションに対してコンテキストを設定するPL/SQLブロックを入力します。ここに入力したブロックは、ページ・リクエスト時の非常に早い段階(APP_USER値が確立された直後)で実行されます。APP_USERの値(:APP_USERまたはv('APP_USER')を使用)をブロック内で使用できます。セッション・ステート内の他のアイテムの値も参照できますが、これらのアイテムは現在のページ・リクエストが開始する前にセッション・ステートに確立されている必要があります。例を表示するには、フィールドレベル・ヘルプを参照してください。
PL/SQLコードのクリーンアップ	この属性を使用して、ページ・プロセスの最後に実行するPL/SQLブロックを入力します。これは、VPDコンテキストまたはデータベース・リンクなど、使用されたリソースの解放またはクリーンアップに使用できます。例を表示するには、フィールドレベル・ヘルプを参照してください。
ランタイムAPIの使用状況	このアプリケーションによる、アプリケーションとワークスペース・データを変更するAPEX APIへの実行中のアクセス方法を制御します。オプションは次のとおりです。 このアプリケーションを変更: アプリケーションはアプリケーション自体を変更できます。 他のアプリケーションを変更: アプリケーションはワークスペース内の他のアプリケーションを変更できます。 ワークスペース・リポジトリを変更: アプリケーションはワークスペース・ユーザーとグループを変更できます。

関連項目:

認可を介したセキュリティの提供および『Oracle Label Security管理者ガイド』

5.12.2.2.7 詳細

属性	説明
ランタイムAPIの使用状況	このアプリケーションでOracle APEX PL/SQL API (アプリケーションとワークスペース・データをその実行中に変更する)にアクセスできるようにするかどうかを制御します。 使用可能なランタイムAPIの使用オプションは次のとおりです。 このアプリケーションを変更 - アプリケーションはアプリケーション自体を変更できます。たとえば、APEX_APPLICATION_ADMIN APIを使用してビルド・オプションのステータスを変更します。 他のアプリケーションを変更 - アプリケーションはワークスペース内の他のアプリケーションを変更できます。たとえば、APEX_APPLICATION_ADMIN APIを使用して別のアプリケーションでのビルド・オプションのステータスを変更します。 ワークスペース・リポジトリを変更 - アプリケーションはワークスペース・ユーザーとグループを変更できます。たとえば、APEX_UTIL.CREATE_USER APIを使用して、ネイティブのOracle APEXユーザー・アカウント・リポジトリ内に新しいエンド・ユーザー・アカウントを作成します。
ECIDを渡す	「ECIDを渡す」属性を有効にして、(ECID-Contextというリクエスト・ヘッダーを持つ)実行コンテキストIDを外部Webサービスに渡し、エンドツーエンドのトレースを実行します。この設定は、RESTデータ・ソース定義の個々のRESTコールまたはAPEX_WEB_SERVICE.SET_REQUEST_ECID_CONTEXTを使用して上書きできます。 「ECIDを渡す」が有効になっている場合: APEX_WEBSERVICE_LOGの列ECIDには、実行コンテキストIDが移入されます。 APEXセッションで、アクティビティ・ロギングのアプリケーション設定が有効になっている場合、APEX_WEBSERVICE_LOG.ACTIVITY_LOG_IDが移入されます。これにより、開発者は外部Webサービス・コールをAPEXのページ・コールに関連付けることができます。 APEX_WEBSERVICE_LOGとAPEX_WORKSPACE_ACTIVITY_LOGの両方に、IDという名前の列があります。パフォーマンスおよびパーティションの理由により、主キー索引があるのはAPEX_WEBSERVICE_LOGのみです。 ヒント: 「ECIDを渡す」を上書きするには、「共有コンポーネント」、「RESTデータ・ソース」、「YourDataSource」、「拡張」、「ECIDを渡す」の下のアプリケーションで特定のRESTデータ・ソースを構成するか、APEX_WEB_SERVICE.MAKE_REST_REQUESTでRESTコールを行う前にAPEX_WEB_SERVICE.SET_REQUEST_ECID_CONTEXT APIをコールします。 関連項目: RESTデータ・ソースの編集 Oracle APEX APIリファレンスのAPEX_WEB_SERVICE