目次

• 前書き

• 変更内容

• はじめに

• 第1編　概要

  • 1.　アプリケーションサーバの機能

    • 1.1　機能の分類

      • 1.1.1　アプリケーションの実行基盤としての機能

      • 1.1.2　アプリケーションの実行基盤を運用・保守するための機能

      • 1.1.3　機能とマニュアルの対応

    • 1.2　システムの目的と機能の対応

      • 1.2.1　認証のための機能

      • 1.2.2　暗号化のための機能

      • 1.2.3　不正処理の実行防止のための機能

      • 1.2.4　そのほかの機能

    • 1.3　このマニュアルに記載している機能の説明

      • 1.3.1　分類の意味

      • 1.3.2　分類を示す表の例

    • 1.4　アプリケーションサーバ 11-40での主な機能変更

      • 1.4.1　標準機能・既存機能への対応

  • 2.　アプリケーションサーバでのセキュリティ管理

    • 2.1　この章の構成

    • 2.2　セキュリティを確保するための観点

      • 2.2.1　セキュリティを確保するためのシステム構成を検討する

      • 2.2.2　システムをセキュアに運用する

      • 2.2.3　不正なユーザからのアクセスを防止する（認証機能）

      • 2.2.4　通信路でのセキュリティを確保する（暗号化機能）

      • 2.2.5　不正な処理の実行を防止する

      • 2.2.6　そのほかの観点を確認する

    • 2.3　セキュリティを確保する方法および機能の詳細

    • 2.4　セキュリティを確保する方法および機能を使用する場合の注意事項

      • 2.4.1　証明書について

• 第2編　システム設計

  • 3.　セキュリティを確保するためのシステム構成

    • 3.1　この章の構成

    • 3.2　ファイアウォールを使用する構成を検討する

      • 3.2.1　サーブレットとJSPに対するファイアウォールの配置

      • 3.2.2　Session BeanとEntity Beanに対するファイアウォールの配置

      • 3.2.3　リソースマネジャに対するファイアウォールの配置

    • 3.3　DMZへのリバースプロキシの配置を検討する

      • 3.3.1　リバースプロキシの配置

  • 4.　セキュアなシステムの検討

    • 4.1　この章の構成

    • 4.2　セキュアなシステムの検討の概要

    • 4.3　セキュアなシステムの構成の検討

    • 4.4　システムの使用者の検討

    • 4.5　システムが扱う資産の検討

    • 4.6　セキュアなシステムの前提条件の確認

      • 4.6.1　物理的な前提条件

      • 4.6.2　運用上の前提条件

    • 4.7　想定される脅威の分析

    • 4.8　対策の検討

      • 4.8.1　前提条件に対して実施する対策

      • 4.8.2　想定した脅威に対して実施する対策

      • 4.8.3　対策を実施したセキュアなシステムの動作

    • 4.9　作業手順の検討

      • 4.9.1　作成する作業手順書の概要

      • 4.9.2　システムの構築手順の検討

      • 4.9.3　システムの再構築手順の検討

      • 4.9.4　システムの運用手順の検討

    • 4.10　システムの監査方法の確認

      • 4.10.1　監査ログの入手

      • 4.10.2　監査ログの調査

    • 4.11　外部ネットワークを使用するシステムでのセキュリティの検討

      • 4.11.1　外部ネットワークを使用するシステムで想定されるセキュリティ上の脅威

      • 4.11.2　ファイアウォールと侵入検知システムを配置する

      • 4.11.3　SSLアクセラレータを使用して暗号通信を処理する

      • 4.11.4　アプリケーションでユーザを認証する

• 第3編　機能解説

  • 5.　統合ユーザ管理による認証

    • 5.1　この章の構成

    • 5.2　統合ユーザ管理の概要

      • 5.2.1　統合ユーザ管理の目的

      • 5.2.2　レルムを使用したユーザ管理とユーザマッピング

      • 5.2.3　Java標準仕様（JAAS）に準拠したユーザ認証の概要

      • 5.2.4　統合ユーザ管理で使用するユーザ情報の管理方法

      • 5.2.5　ユーザ認証の有効期間と認証状態の引き継ぎ

      • 5.2.6　統合ユーザ管理の処理の流れ

    • 5.3　標準ログインモジュールによるユーザ認証の仕組み

      • 5.3.1　標準ログインモジュールの種類と機能

      • 5.3.2　WebPasswordLoginModule

      • 5.3.3　WebCertificateLoginModule

      • 5.3.4　WebPasswordLDAPLoginModule

      • 5.3.5　WebPasswordJDBCLoginModule

      • 5.3.6　DelegationLoginModule

      • 5.3.7　WebSSOLoginModule

      • 5.3.8　標準ログインモジュールによるリポジトリへのアクセス

      • 5.3.9　パスワード認証時の暗号拡張

      • 5.3.10　ログインモジュールが使用するコンフィグレーションファイルのパラメタ

    • 5.4　統合ユーザ管理のセッション管理

      • 5.4.1　セッションの種類

      • 5.4.2　ログインしたユーザIDの登録

      • 5.4.3　統合ユーザ管理のセッションに登録したユーザIDの削除

      • 5.4.4　JAASのコンフィグレーションファイルの定義例

    • 5.5　シングルサインオンの利用方法

      • 5.5.1　シングルサインオンをするために必要な手順

      • 5.5.2　既存アプリケーションで行っているユーザ管理の適用

    • 5.6　カスタムログインモジュールの利用

      • 5.6.1　カスタムログインモジュールの概要

      • 5.6.2　カスタムログインモジュールの呼び出し

    • 5.7　ユーザ情報の管理

      • 5.7.1　 LDAPディレクトリサーバへのユーザ情報の登録

      • 5.7.2　 LDAPディレクトリサーバの多重化による接続フェイルオーバ

    • 5.8　統合ユーザ管理フレームワークが提供するAPI

      • 5.8.1　JSPタグライブラリ

      • 5.8.2　統合ユーザ管理フレームワークのライブラリ

    • 5.9　統合ユーザ管理フレームワークによるユーザ認証の実装

    • 5.10　APIを使用したユーザ認証の実装

      • 5.10.1　ログインの実装（APIを使用する場合）

      • 5.10.2　ユーザIDの取得の実装（APIを使用する場合）

      • 5.10.3　ユーザ属性の取得の実装（APIを使用する場合）

      • 5.10.4　認証に成功したSubjectをHttpSessionに登録する実装

      • 5.10.5　ログアウトの実装（APIを使用する場合）

      • 5.10.6　ログイン状態のチェック（APIを使用する場合）

      • 5.10.7　パスワード認証時の暗号拡張の実装

      • 5.10.8　APIによる実装時の注意事項

    • 5.11　タグライブラリを使用したユーザ認証の実装

      • 5.11.1　ログインの実装（タグライブラリを使用する場合）

      • 5.11.2　ユーザIDの取得の実装（タグライブラリを使用する場合）

      • 5.11.3　ユーザ属性の取得の実装（タグライブラリを使用する場合）

      • 5.11.4　ログアウトの実装（タグライブラリを使用する場合）

      • 5.11.5　uatags.jarおよびuatags.tldのコピーとDDでの定義

    • 5.12　カスタムログインモジュールを使用したユーザ認証の実装

      • 5.12.1　標準ログインモジュールと連携するための実装

      • 5.12.2　カスタムログインモジュールの実装時の留意点

      • 5.12.3　カスタムログインモジュールの実装例

    • 5.13　統合ユーザ管理機能の設定手順

    • 5.14　レルム名の決定

    • 5.15　LDAPディレクトリサーバの設定

      • 5.15.1　LDAPディレクトリサーバの設置

      • 5.15.2　ユーザの登録とアクセス権の設定

      • 5.15.3　オブジェクトクラスとユーザ定義属性の拡張

    • 5.16　ユーザ情報の登録

      • 5.16.1　コマンドによる登録

      • 5.16.2　統合ユーザ管理フレームワークのライブラリによる登録

      • 5.16.3　登録するユーザ情報の文法

      • 5.16.4　Active Directoryを使用する場合の設定

    • 5.17　暗号鍵ファイルの作成（シングルサインオンを使用する場合）

      • 5.17.1　暗号鍵ファイルの作成

      • 5.17.2　暗号鍵ファイルの変更

    • 5.18　ユーザ情報の登録（シングルサインオンを使用する場合）

      • 5.18.1　コマンドによる登録

      • 5.18.2　統合ユーザ管理フレームワークのライブラリによる登録

      • 5.18.3　登録するユーザ情報の文法

    • 5.19　コンフィグレーションファイルの作成

      • 5.19.1　jaas.confの作成

      • 5.19.2　ua.confの作成

      • 5.19.3　コンフィグレーションファイルの設定例

    • 5.20　JavaVMのプロパティの設定

    • 5.21　ファイルのデプロイ

  • 6.　アプリケーションの設定による認証

    • 6.1　この章の構成

    • 6.2　DDの設定によるWebコンテナのユーザ認証

      • 6.2.1　DDの設定によるWebコンテナのユーザ認証の機能

      • 6.2.2　DDでの定義

      • 6.2.3　実行環境での設定（J2EEアプリケーションの設定）

      • 6.2.4　認証機能を併用するときの注意

    • 6.3　セキュリティアイデンティティを使用した認証

      • 6.3.1　セキュリティアイデンティティの機能

      • 6.3.2　EJBクライアントアプリケーションでのセキュリティの実装

      • 6.3.3　セキュリティアイデンティティを使用した認証の設定

  • 7.　SSL/TLS使用による認証情報とデータの暗号化

    • 7.1　この章の構成

    • 7.2　SSL使用による認証情報とデータの暗号化

      • 7.2.1　Webサーバの認証機能

      • 7.2.2　HTTP ServerのSSLの設定

  • 8.　APIによる直接接続を使用する負荷分散機の運用管理機能からの制御

    • 8.1　この章の構成

    • 8.2　APIによる直接接続を使用する負荷分散機

    • 8.3　運用管理機能が実行する負荷分散機のAPI

      • 8.3.1　Management Server（Smart Composer機能）が実行する負荷分散機のAPI

      • 8.3.2　仮想サーバマネージャが実行する負荷分散機のAPI

    • 8.4　負荷分散機の接続環境の設定

      • 8.4.1　アクセスリスト（ACL）の設定内容（ACOSの場合）

      • 8.4.2　cookieパーシステンステンプレートの作成

      • 8.4.3　トラストストアの設定

      • 8.4.4　hostsファイルの設定（BIG-IPの場合）

    • 8.5　Management Server（Smart Composer機能）での負荷分散機の接続情報の設定

    • 8.6　仮想サーバマネージャでの負荷分散機の接続情報の設定

      • 8.6.1　負荷分散機の接続情報を仮想サーバマネージャで定義するための設定

      • 8.6.2　負荷分散機の接続情報を管理ユニットで定義するための設定

• 第4編　設定操作

  • 9.　サーバ管理コマンドによるセキュリティロールとアプリケーションの操作

    • 9.1　この章の構成

    • 9.2　セキュリティロールの設定

      • 9.2.1　ユーザの設定

      • 9.2.2　ロールの設定

    • 9.3　セキュリティロールのリファレンス定義

      • 9.3.1　Enterprise Beanのセキュリティロールリファレンスの定義

      • 9.3.2　サーブレットとJSPのセキュリティロールリファレンスの定義

    • 9.4　セキュリティの定義（メソッドパーミッション）

      • 9.4.1　Enterprise Beanのメソッドパーミッション

    • 9.5　セキュリティの定義（セキュリティアイデンティティ）

      • 9.5.1　Enterprise Beanのセキュリティアイデンティティ

      • 9.5.2　サーブレットとJSPのセキュリティアイデンティティ

  • 10.　運用管理ポータルによる統合ユーザ管理の運用

    • 10.1　この章の構成

    • 10.2　統合ユーザ管理のリソースの監視

      • 10.2.1　統合ユーザ管理のリソース監視で確認できる項目

      • 10.2.2　操作する画面（統合ユーザ管理のリソース監視）

    • 10.3　リポジトリ管理によるユーザ情報の編集

      • 10.3.1　ユーザ情報リポジトリに対するユーザ情報の編集

      • 10.3.2　シングルサインオン情報リポジトリに対するシングルサインオン用のユーザ情報の編集

      • 10.3.3　操作する画面（統合ユーザ管理のリポジトリ管理）

    • 10.4　「リポジトリ管理」での注意事項

  • 11.　運用管理ポータルによるリポジトリ管理（統合ユーザ管理）

    • 11.1　この章の構成

    • 11.2　「リポジトリ管理」のツリーペインの構成

    • 11.3　リポジトリ管理

      • 11.3.1　バインド情報の設定

    • 11.4　レルム管理

      • 11.4.1　レルムの作成

      • 11.4.2　暗号鍵ファイルの設定

      • 11.4.3　ユーザエントリのスキーマ定義

      • 11.4.4　ユーザエントリのスキーマ定義（シングルサインオン用）

      • 11.4.5　ユーザエントリの作成

      • 11.4.6　ユーザエントリの作成（シングルサインオン用）

      • 11.4.7　ユーザエントリの検索

      • 11.4.8　レルムの削除

      • 11.4.9　ユーザエントリの編集

      • 11.4.10　ユーザエントリの編集（シングルサインオン用）

      • 11.4.11　ユーザエントリの削除

  • 12.　リソース監視（統合ユーザ管理）

    • 12.1　この章の構成

    • 12.2　「リソース監視」のツリーペインの構成

      • 12.2.1　「リソース監視」のホストビューの構成

      • 12.2.2　「リソース監視」のサーバビューの構成

    • 12.3　ログインセッションの監視

      • 12.3.1　ログインセッションモニタの表示

      • 12.3.2　統合ユーザ管理のセッションの停止

    • 12.4　LDAP接続モニタの監視

      • 12.4.1　LDAP接続プールモニタの表示

      • 12.4.2　LDAP接続プールの空き待ち監視のリセット

      • 12.4.3　LDAP接続の定義情報の表示

      • 12.4.4　LDAP接続の障害情報の表示

    • 12.5　JDBC接続モニタの監視

      • 12.5.1　JDBC接続プールモニタの表示

      • 12.5.2　JDBC接続プールの空き待ち監視のリセット

      • 12.5.3　JDBC接続の定義情報の表示

      • 12.5.4　JDBC接続の障害情報の表示

• 第5編　リファレンス

  • 13.　統合ユーザ管理で使用するコマンド

    • 13.1　統合ユーザ管理で使用するコマンドの一覧

    • 13.2　統合ユーザ管理で使用するコマンドの詳細

      • convpw（パスワードの暗号化）

      • ssoexport（シングルサインオン情報リポジトリの参照）

      • ssogenkey（暗号鍵ファイルの作成）

      • ssoimport（シングルサインオン情報リポジトリの登録）

      • uachpw（パスワードの変更）

  • 14.　統合ユーザ管理で使用するファイル

    • 14.1　統合ユーザ管理で使用するファイルの一覧

    • 14.2　統合ユーザ管理で使用するファイルの詳細

      • 14.2.1　jaas.conf（JAASのコンフィグレーションファイル）

      • 14.2.2　ua.conf（統合ユーザ管理のコンフィグレーションファイル）

    • 14.3　シングルサインオン用認証情報のCSV形式ファイル

      • 14.3.1　CSV形式ファイルの基本仕様

      • 14.3.2　ユーザ情報を取得するための定義ファイル

      • 14.3.3　ユーザ情報を追加および変更するための定義ファイル

      • 14.3.4　ユーザマッピングと認証情報の定義ファイル

      • 14.3.5　CSV形式ファイルの記述例

      • 14.3.6　ラインオペレーション

  • 15.　統合ユーザ管理フレームワークで使用するAPI

    • 15.1　統合ユーザ管理フレームワークで使用するAPIの一覧

    • 15.2　AttributeEntryクラス

      • AttributeEntryコンストラクタ

      • getAliasメソッド

      • getAttributeNameメソッド

      • getSubcontextメソッド

      • setAliasメソッド

      • setAttributeNameメソッド

      • setSubcontextメソッド

    • 15.3　ChangeDataFailedExceptionクラス

      • ChangeDataFailedExceptionコンストラクタ

    • 15.4　DelegationLoginModuleクラス

    • 15.5　LdapSSODataManagerクラス

      • LdapSSODataManagerコンストラクタ

      • addSSODataメソッド

      • addSSODataListenerメソッド

      • getSSODataメソッド

      • getSSODataListenersメソッド

      • listUsersメソッド（形式1）

      • listUsersメソッド（形式2）

      • modifySSODataメソッド

      • removeSSODataメソッド

      • removeSSODataListenerメソッド

    • 15.6　LdapUserDataManagerクラス

      • LdapUserDataManagerコンストラクタ

      • addUserDataメソッド（形式1）

      • addUserDataメソッド（形式2）

      • getUserDataメソッド

      • listUsersメソッド（形式1）

      • listUsersメソッド（形式2）

      • modifyUserDataメソッド

      • removeUserDataメソッド

    • 15.7　LdapUserEnumerationインタフェース

      • closeメソッド

      • hasMoreメソッド

      • hasMoreElementsメソッド

      • nextメソッド

      • nextElementメソッド

    • 15.8　LoginUtilクラス

      • checkメソッド（形式1）

      • checkメソッド（形式2）

    • 15.9　ObjectClassEntryクラス

      • ObjectClassEntryコンストラクタ

      • getObjectClassesメソッド

      • getSubcontextメソッド

      • setObjectClassesメソッド

      • setSubcontextメソッド

    • 15.10　PasswordCryptographyインタフェース

      • encryptメソッド

    • 15.11　PasswordUtilクラス

      • changePasswordメソッド

    • 15.12　Principalインタフェース

    • 15.13　SSODataクラス

      • SSODataコンストラクタ

      • getMappingメソッド

      • getMappingRealmsメソッド

      • getPublicDataメソッド

      • removeMappingメソッド

      • setMappingメソッド

      • setPublicDataメソッド

      • setSecretDataメソッド

    • 15.14　SSODataEventクラス

      • SSODataEventコンストラクタ

      • getOldPublicDataメソッド

      • getOldSecretDataメソッド

      • getPublicDataメソッド

      • getSecretDataメソッド

      • getUserIdメソッド

    • 15.15　SSODataListenerインタフェース

      • ssoDataAddedメソッド

      • ssoDataModifiedメソッド

      • ssoDataRemovedメソッド

    • 15.16　SSODataListenerExceptionクラス

      • SSODataListenerExceptionコンストラクタ

      • getExceptionメソッド

      • getListenersメソッド

      • setExceptionメソッド

    • 15.17　UserAttributesインタフェース

      • addAttributeメソッド

      • getAttributeメソッド

      • getAttributeNamesメソッド

      • getAttributesメソッド

      • removeAttributeメソッド

      • sizeメソッド

    • 15.18　UserDataクラス

      • UserDataコンストラクタ

      • addAttributeメソッド

      • getAttributeメソッド

      • getAttributeNamesメソッド

      • getAttributesメソッド

      • removeAttributeメソッド

      • setPasswordメソッド

      • sizeメソッド

    • 15.19　WebCertificateCallbackクラス

      • WebCertificateCallbackコンストラクタ

      • getAttributeEntriesメソッド

      • getRequestメソッド

      • getResponseメソッド

      • getSubjectIDメソッド

      • getTagEntryメソッド

      • getTagIDメソッド

      • setAttributeEntriesメソッド

      • setRequestメソッド

      • setResponseメソッド

      • setSubjectIDメソッド

      • setTagEntryメソッド

      • setTagIDメソッド

    • 15.20　WebCertificateHandlerクラス

      • WebCertificateHandlerコンストラクタ

      • handleメソッド

    • 15.21　WebCertificateLoginModuleクラス

    • 15.22　WebLogoutCallbackクラス

      • WebLogoutCallbackコンストラクタ

      • getSessionメソッド

      • getUserIDメソッド

      • setSessionメソッド

      • setUserIDメソッド

    • 15.23　WebLogoutHandlerクラス

      • WebLogoutHandlerコンストラクタ

      • handleメソッド

    • 15.24　WebPasswordCallbackクラス

      • WebPasswordCallbackコンストラクタ

      • getAttributeEntriesメソッド

      • getNameメソッド

      • getOptionメソッド

      • getPasswordメソッド

      • getRequestメソッド

      • getResponseメソッド

      • getTagEntryメソッド

      • getTagIDメソッド

      • setAttributeEntriesメソッド

      • setNameメソッド

      • setOptionメソッド

      • setPasswordメソッド

      • setRequestメソッド

      • setResponseメソッド

      • setTagEntryメソッド

      • setTagIDメソッド

    • 15.25　WebPasswordHandlerクラス

      • WebPasswordHandlerコンストラクタ

      • handleメソッド

    • 15.26　WebPasswordJDBCLoginModuleクラス

    • 15.27　WebPasswordLDAPLoginModuleクラス

    • 15.28　WebPasswordLoginModuleクラス

    • 15.29　WebSSOCallbackクラス

      • WebSSOCallbackコンストラクタ

      • getRequestメソッド

      • getResponseメソッド

      • getTagEntryメソッド

      • getTagIDメソッド

      • setRequestメソッド

      • setResponseメソッド

      • setTagEntryメソッド

      • setTagIDメソッド

    • 15.30　WebSSOHandlerクラス

      • WebSSOHandlerコンストラクタ

      • handleメソッド

    • 15.31　WebSSOLoginModuleクラス

    • 15.32　例外クラス

      • 15.32.1　JAASのログインモジュールの例外クラス

      • 15.32.2　この製品で提供するAPIの例外クラス

  • 16.　統合ユーザ管理フレームワークで使用するタグライブラリ

    • 16.1　タグライブラリのタグの一覧

    • 16.2　タグライブラリのタグの詳細

      • 16.2.1　<ua:attributeEntries>Entries</ua:attributeEntries>タグ

      • 16.2.2　<ua:attributeEntry/>タグ

      • 16.2.3　<ua:chpw/>タグ

      • 16.2.4　<ua:exception>Body</ua:exception>タグ

      • 16.2.5　<ua:getPrincipalName/>タグ

      • 16.2.6　<ua:getAttribute/>タグ

      • 16.2.7　<ua:getAttributes/>タグ

      • 16.2.8　<ua:getAttributeNames/>タグ

      • 16.2.9　<ua:login/>タグ

      • 16.2.10　<ua:logout/>タグ

      • 16.2.11　<ua:notLogin>Body</ua:notLogin>タグ

  • 17.　EJBクライアントアプリケーションの実装で使用するAPI

    • 17.1　LoginInfoManagerクラス

      • getLoginInfoManagerメソッド

      • loginメソッド

      • logoutメソッド

  • 18.　APIによる直接接続を使用する負荷分散機の制御で使用するファイル

    • 18.1　APIによる直接接続を使用する負荷分散機の制御で使用するファイルの一覧

    • 18.2　APIによる直接接続を使用する負荷分散機の制御で使用するファイルの詳細

      • 18.2.1　lb.properties（負荷分散機定義プロパティファイル）

      • 18.2.2　<LB接続情報の識別名>.properties（仮想サーバマネージャ側の負荷分散機接続設定プロパティファイル）

      • 18.2.3　tierlb.properties（ティア側の負荷分散機接続設定プロパティファイル）

  • 19.　セキュリティ管理機能で出力されるメッセージ

    • 19.1　メッセージの記述形式

    • 19.2　KDCGFで始まるメッセージ

    • 19.3　KDCGKで始まるメッセージ

    • 19.4　KDCGSで始まるメッセージ

    • 19.5　KDCGWで始まるメッセージ

    • 19.6　KEOS02000からKEOS09999までのメッセージ

    • 19.7　KEXSで始まるメッセージ

    • 19.8　SSLについてのメッセージ

      • 19.8.1　メッセージの記述形式

      • 19.8.2　注意事項

      • 19.8.3　AHで始まるメッセージ

      • 19.8.4　KHで始まるメッセージ

• 付録

  • 付録A　各バージョンでの主な機能変更

    • 付録A.1　11-30での主な機能変更

    • 付録A.2　11-20での主な機能変更

    • 付録A.3　11-10での主な機能変更

    • 付録A.4　11-00での主な機能変更

    • 付録A.5　09-87での主な機能変更

    • 付録A.6　09-80での主な機能変更

    • 付録A.7　09-70での主な機能変更

    • 付録A.8　09-60での主な機能変更

    • 付録A.9　09-50での主な機能変更

    • 付録A.10　09-00での主な機能変更

    • 付録A.11　08-70での主な機能変更

    • 付録A.12　08-53での主な機能変更

    • 付録A.13　08-50での主な機能変更

    • 付録A.14　08-00での主な機能変更

  • 付録B　例外リストの登録（Windowsの場合）

  • 付録C　用語解説

• 索引

ページの先頭へ