Oracle9iAS Release 2 (9.0.2) セキュリティ機能概要

Transcription

1 Oracle9iAS Security Release 2 (9.0.2) 機能概要

2 アジェンダ Oracle9iAS R9.0.2 セキュリティと Single Sign-On ディレクトリサービスの利用 Oracle9iAS Java セキュリティ Oracle HTTP Server Oracle9iAS Portal セキュリティ

3 Oracle9iAS R9.0.2 セキュリティ 安全にインターネットアプリケーションを運用するために必要な条件 : 柔軟な実装 標準仕様への準拠 Java 2 Security 対応 Oracle9iAS Infrastructure の役割 Oracle9iAS SSO (Single Sign-On) Oracle Internet Directory (OiD) Java Authentication and Authorization Service (JAAS) プロバイダ 一般にセキュリティとして必要とされる機能を Oracle9iAS では OID Oracle9iAS SSO JAAS プロバイダといったコンポーネントで提供しています

4 シングル サインオンの必要性 システムの拡張 拡大 = ユーザー数 および各ユーザーが管理すべきパスワードが多くなります 不安要素 ユーザー負担増 Post-It などによるパスワード メモの可能性 システム管理者によって各ユーザーの情報変更を管理維持するのはコストがかかり難しい ユーザー認証情報の一元管理が必要となる SSO(Single Sign-On) が必要となった背景には IT システムの拡張にユーザー管理が追随できていないことがあります

5 Oracle9iAS R9.0.2 セキュリティ新機能 次の点が強化されました Oracle HTTP Server 拡張モジュール mod_osso ( Oracle HTTP Server と SSOサーバーの連携 ) mod_ossl ( Oracle Wallet を利用するSSL 対応モジュール ) 認証 Oracle9iAS SSO によるシングル サインオン実現 Oracle9iAS SSO によるX.509 証明書ベースでの認証 Oracle9iAS JAAS ( Java 2 Security の認証機能拡張 ) LDAPディレクトリ連携 Oracle9iAS SSOとOiD の統合 ユーザー管理の一元化 (OiD Delegated Administration Service ) その他 Single Sign-Off ( 一度のログオフ操作によって関連するアプリケーションからのログオフが完了する ) Oracle9iAS Release xと比較した Release 9.0.2での強化点です Oracle HTTP Serverに組み込まれている拡張モジュール (mod) シングル サインオンなどの認証 LDAP ディレクトリ連携等々が強化されています

6 Oracle9iAS R9.0.2 セキュリティアーキテクチャ Web ブラウザ HTTP HTTPS Oracle HTTP Server mod_oc4j mod_ossl mod_osso AJP OC4J WebApplication WebApplication WebApplication Oracle9iAS JAAS JAZNUserManager DB etc. JAAS 9iAS JAAS Policy Oracle9iAS SSO OID JAASプロバイダ (LDAP) ( LDAPベース ) Oracle9iAS Infrastructure JAAS プロバイダ (XML ベース ) ユーザー情報はすべてOID (LDAP v3 準拠 ) に格納されるようになりました Oracle9iAS SSOは Cookieによるシングル サインオンを可能にするための機能を提供するストアド パッケージです ユーザー情報は上述のようにすべて OiDに格納されます JAASプロバイダはOiD Oracle9iAS SSOと統合された JAAS 準拠のコンポーネントです

7 Oracle9iAS SSO(Single Sign-On) サービス Oracle9iAS R9.0.2 のInfrastructure コンポーネントの1つとして提供される認証サーバーを構成します ( 情報リポジトリとしてLDAPディレクトリを使用 ) 認証チケットは Cookie としてクライアントWebブラウザにセットします クライアント HTTP HTTP LDAP アプリケーション HTTP - 認証 - セッション管理 管理 Portal Wireless Web Cache Forms/Reports/Discoverer その他のカスタムアプリケーション etc. LDAP LDAP 認証情報のリポジトリ Oracle9iAS Infrastructure s SSO サービス

8 Oracle9iAS SSO を利用するアプリケーション Oracle9iAS SSO に関連するアプリケーション概念には 以下の 2 種類があります パートナー アプリケーション シングル サインオン フレームワークを利用します Oracle HTTP Server 用の mod_osso モジュールはパートナー アプリケーションです SSO SDK が提供されます 独自のパートナー アプリケーション開発が可能です 外部アプリケーション シングル サインオン フレームワークは利用しません アプリケーション固有の username/password による認証 (SSO ユーザーによる認証ではなく ) が行われます SSO サーバーは外部アプリケーションへ username/password を渡します パートナー アプリケーション 外部アプリケーションといった概念は Oracle9iAS Release x と共通です

9 Oracle9iAS SSO を利用するアプリケーション 認証情報の入力について パートナー アプリケーションではSSOサーバーが提供するフォーム画面を利用します 外部アプリケーションでは該当アプリケーションに対してSSOサーバーが自動的にusername/passwordを送信します つまり既存のアプリケーションにたいして簡易な方法でSSOサーバー経由でシングル サインオンできます ( 外部アプリケーションとして登録後 最初にアクセスする時にusername/password を登録します ) パートナー アプリケーションの実装について HTTP BASIC 認証方式を使用している場合 mod_osso によってSSO サーバー対応のユーザーアプリケーションへの変更が可能です mod_ssoを使用しない場合 SSO SDK を利用して認証部分を開発する必要があります ( きめ細かいカスタマイズが必要な場合など ) Oracle9iAS PortalはSSOサーバーを利用するパートナー アプリケーションです また Oracle9iAS SSO の管理画面も 実際には Oracle9iAS SSO を利用したパートナー アプリケーションです

10 Oracle9iAS SSO 認証手順 Web ブラウザ Oracle9iAS R9.0.2 ノーマルなアプリケーション外部アプリケーション パートナー アプリケーション A 6 Oracle9iAS SSO 9iAS Infrastructure OiD (LDAP) DB etc. 1A ヘアクセス 2 認証されていないので SSO サーバーへリダイレクト 3 ユーザー情報入力要求 4 認可され SSO Cookie セット 5 接続情報の格納 6 トークンを渡す クライアントは A へリダイレクトされる 7A の Cookie セット 5 SSOサーバーによって集中管理される要素 SSOで利用されるパスワードの検証クライアント (Webブラウザ) へのSSO Cookieの設定外部アプリケーションの username/password 格納

11 Oracle9iAS SSO 認証手順 ( 補足 ) SSO ユーザー認証のための Cookie について SSO によって認可されたユーザーの識別は? SSO サーバーが発行した SSO Cookie によって行われます SSO Cookie が存続している間 ユーザーはパートナー アプリケーションに対してシングル サインオンできます アプリケーション毎の Cookie が発行される理由は? パートナー アプリケーションでユーザーが認証済みかどうかチェックする必要がある場合 ( セキュリティのかかったコンテンツにアクセスがあった場合など ) に SSO サーバーにアクセスが集中するのを防ぐため パートナー アプリケーション毎に Cookie を発行する仕組みになっています BASIC 認証方式では送信内容の暗号化は行われません スプーフィング攻撃の対象にならないように SSL との併用をお勧めします SSO Cookie パートナー アプリケーションのCookieの存続時間はそれぞれ個別に設定できます なおSSO Cookieの存続時間はデフォルトでは8 時間です SSO Cookieには存続時間の他クライアントのIPアドレスといった情報を設定することができ ユーザーのなりすましのような問題に対処しています セキュリティを強化するためにはSSLなどを使用します また一定時間ユーザーからのアクセスがない場合に強制的にログオフする機能が追加されました 強制的にログオフするまでのタイムアウト時間 (Inactivity Timeout) はスクリプト ssogito.sql を実行して設定します セキュリティを強固にする必要がある場合に設定します

12 Oracle9iAS SSO 認証手順 (Portal) 1 認証が必要なポータル ページにアクセスした場合 Portal の認証用 Cookie の有無をチェックし あればポータル ページの表示 Portal 2 Oracle9iAS SSO の認証用 Cookie の有無をチェックし あれば Portal の認証用 Cookie を生成 3 Oracle9iAS SSO の認証用 Cookie もなければログイン画面を表示してユーザ名 / パスワードを入力させ 有効であれば Cookie を生成 Web ブラウザ Oracle9iAS Oracle9iAS SSO

13 Oracle HTTP Server と SSO サーバー連携 Web ブラウザ HTTP 1 /private/.. 2 SSO ユーザー認証 Oracle HTTP Server mod_osso Oracle9iAS SSO OiD (LDAP) 9iAS Infrastructure mod_osso により 設定だけでパートナー アプリケーションとして運用するすることが可能です LoadModule osso_module libexec/mod_osso.so <IfModule mod_osso.c> OssoIpCheck on OssoIdleTimeout off <Location /private> AuthType Basic require valid-user </Location> </IfModule> 既存のWebサイト Webアプリケーションを簡単な設定だけでパートナー アプリケーション化することができます そのために用意されているのがmod_ossoで このモジュールは指定したURL にアクセスがあった場合にそれをフックし ユーザーがOracle9iAS SSOにログインしていない場合にはOracle9iAS SSOのログイン画面にリダイレクトします なおHTTPによる標準的なリダイレクトを行っているため クライアント (Webブラウザ ) からの最初のアクセスはGETメソッドで行われる必要があります これは PSOTの場合 HTTPのリダイレクトではパラメータを引き渡すことができないためです

14 デジタル証明書を利用するシングル サインオン Web ブラウザ Oracle9iAS R9.0.2 パートナー アプリケーション A 6 9iAS Infrastructure Oracle9iAS SSO Oracle HTTP Server Mapping Module 4 認証処理 mod_ossl mod_plsql 5 1A ヘアクセス 2 ( 未認証の時 )SSO サーバーへリダイレクト 3 SSL ハンドシェーク 4 証明書情報の取得 5 事前に格納した証明書情報とマッチング処理 ( 認証 ) 67 は証明書を利用しない場合と同様 OID (LDAP)

15 ディレクトリサービスの利用 Oracle9iAS SSO は Oracle Internet Directory (OID) と統合されています OID は LDAPv3 準拠の標準的なフレームワークを提供し Oracle9iAS R9.0.2 のシングル サインオン環境のためのユーザー情報リポジトリとして機能します OID Delegated Administration Service (DAS) を利用することにより SSO ユーザーの管理が可能です ユーザー プロビジョニング (SSO ユーザー管理に関する必要な情報を操作できます ) 各ユーザーによるセルフサービス コンソール Oracle9iAS Release xではユーザー情報はDBのSSOスキーマの表に格納されていましたが Release 2 (9.0.2) ではOIDに格納されるようになりました OIDに格納されているユーザー情報には LDAP v3 経由でアクセスすることができます

16 Delegated Administration Service(DAS) 9iAS Infrastructure Web ブラウザ 管理者 or ユーザー HTTP HTTPS Oracle9iAS SSO 大量ユーザーの登録は Bulkloader を使用してロード可能 Oracle HTTP Server mod_oc4j mod_ossl OC4J DAS OID (LDAP) SSO ユーザー情報 ユーザー情報を Web ブラウザから管理 編集するためのインターフェイスが DAS(Delegated Administration Server) です

17 DAS セルフサービス コンソール 管理者は Web ブラウザからユーザー登録 変更 削除 権限割り当てなどが可能です 一般ユーザーは本人の情報のみを編集できます

18 Oracle9iAS Java セキュリティ - JAAS JAAS JAAS とは Java Authentication and Authorization Service と呼ばれ 認証や認可などの機能強化のための Java における PAM( Pluggable Authentication Module) に準じたフレームワークです JAAS 認証では Pluggable なログインモジュールを利用することができます JAAS は 認証やアクセス制限の仕組みを Java アプリケーションに提供する Java パッケージです JAAS は J2SE 1.3 ではオプション扱いです (J2SE 1.4 で統合 ) Oracle9iAS が提供する JAAS Oracle9iAS 付属の JAAS は Oracle によって実装された JAAS です JAAS 仕様準拠 + SSO サーバー利用のための拡張などが追加されています Oracle9iAS Release 9.0.2では JAAS 準拠の機能がJAASプロバイダとして提供されます これはOracleによって実装され Oracle9iAS SSOとの統合といった拡張がなされています

19 Oracle9iAS Java セキュリティ - JAAS Oracle9iAS R9.0.2 では JAAS をサポートします Oracle9iAS JAAS は 認証 (Authentication) 認可 (Authorization) 委任 (Delegation) の 3 つのサービスを提供します ユーザー デバイス 認証 識別情報 その他 user A,B,C 委任 user Z 認可 各種リソース より : authentication( 認証 ) 特定のアイデンティティの代理として行動するエンティティに対して 別のエンティティがその動作を証明するプロセス J2EE プラットフォームでは 基本認証 フォームベース認証 およびクライアント証明書認証という 3 つの認証が必要となり ダイジェスト認証のサポートも推奨されている authorization( 承認 ) ここでは Web リソースコレクション内のリソースへのアクセス許可を与えるような意味 リソースとの対話をユーザの集合またはプログラムの集合に限定する方式であり 保全性 機密性 または可用性の制約を適用することを目的とする delegation( 委譲 ) ある主体のアイデンティティまたは特権を使うことを その主体から別の主体に制限付きで承認する行為

20 JAAS プロバイダ JAAS プロバイダとは Oracle9iAS JAAS の JAAS サービスを提供するプロバイダを指します JAAS プロバイダのタイプは 2 種類あります LDAP ベース (JAZN-LDAP) LDAP サーバー内でユーザー / ロール情報を集中管理します Oracle Internet Directory をサポートします 認証のために Oracle9iAS SSO サーバーを利用可能 XML ベース (JAZN-XML) 特定の XML ファイルにユーザー / ロール情報を管理します デフォルトの XML ファイル名は jazn-data.xml JAASプロバイダにはこのように2 種類あります LDAPベースのJAASプロバイダ (JAZN-LDAP) を使用することでユーザー情報をOiDに格納し mod_osso Portal Wireless Forms Reportsといった他の Oracle9iASのコンポーネントとユーザー情報を統合することができます またLDAPベースのJAASプロバイダではOracle9iAS SSOによってシングル サインオンを実現することができます

21 Oracle9iAS が提供する JAAS の利用 OC4J の UserManager との統合 OC4J ではユーザー ロールを扱うためのロジックを Plug-In 可能な UserManager クラスとして実装できます R9.0.2 では JAAS 実装とユーザー管理を可能にする JAZNUserManager を提供します JAZNUserManager は前述の JAAS プロバイダの利用を許可します JAZN-LDAP は J2EE アプリケーションのためのシングル サインオン フレームワークを提供します JAZN-XML はファイルによるユーザー管理が強化されています 従来の principals.xml よりも JAZN-XML を利用することをお勧めします (JAAS) ログインモジュールの利用 (JAZN-XML のみ ) JAZN-XML の場合 JAAS ログインモジュールを利用することが可能になります ( ログインモジュールの説明 ) JAZN-LDAP と違い JAZN-XML は従来の principals.xml によるユーザー管理の延長線上にあります ただしいくつかの点で機能が強化されています

22 補足 : JAZNUserManager の利点 JAZNUserManager は OC4J UserManager インタフェースとして利用することができます 以下の点で principals.xml よりも優れています : パスワードの暗号化 ロール ( グループ ) を階層化できる Java 2 Security の permission サポート ( ユーザーやロールへの permission の割り当て ) principals.xml と JAZN-XML を比較した場合の機能強化点です

23 補足 : 管理操作について JAAS プロバイダの管理方法 LDAP ベースの場合 OiD Delegated Administration Service の利用 Oracle Enterprise Manager Web Site の利用 JAZN Admintool ( ただし ユーザー生成はできない 別途 ldapaddやoidadminを利用することは可能 ) XML ベースの場合 JAZN Admintool ( ユーザー生成も可能 ) JAAS プロバイダのポリシー管理には AdminPermission Java クラスを利用することもできます なお JAZN-LDAP ではユーザー情報を OiD に格納しますが OiD に格納されているユーザー情報の管理は 上にある方法の他に通常の LDAP v3 経由でも行うことが可能です

24 Oracle HTTP Server の変更点 (R9.0.2) Oracle HTTP Server が拡張 ( 追加 変更 ) された点は次の 2 つです ネットワーク通信の保護 mod_ossl 認証 mod_osso Web ブラウザ HTTP HTTPS Oracle HTTP Server mod_ossl mod_osso Oracle Wallet 利用 SSO サーバー連携 mod_osslはsslによって通信を保護する機能を提供するモジュールです mod_ossoはoracle9ias SSOによるユーザー管理機能を提供するモジュールです mod_ossoの使用により 既存のWebサイト Webアプリケーションに変更を加えることなくOracle9iAS SSOによるシングル サインオンが可能になります

25 ネットワーク通信の保護 (mod_ossl) Secure Sockets Layer (SSL) インターネットで標準的に利用されている安全に通信をするた めのプロトコル TCPレイヤーの上位プロトコル ( HTTP over SSL の利用は をURLで先に指定する ) Oracle9iAS R9.0.2 付属のOracle HTTP Serverでは mod_ossl モ ジュールを使用します mod_ssl はサポート対象外 SSLはネットワーク通信に対して以下の機能を提供 ネットワークを流れるデータを暗号化し 盗聴防止 データの完全性を保証 改ざん防止 署名 否認防止 デジタル証明書によるユーザー認証 (PKI 実現の要素 ) 強力な暗号鍵サイズ / アルゴリズムが利用可能 RC4/128 3DES... 等 SSL の概要です

26 ネットワーク通信の保護 (mod_ossl) mod_ossl(r9.0.2) と mod_ssl(r1.0.x) について 機能 mod_ossl mod_ssl サポートされるSSLのバージョン , 3.0, TLS 1.0 証明書管理 Oracle Wallet テキストファイル mod_ssl で使用していた証明書を Oracle Wallet へ移行するツールが提供されます 証明書署名要求 (CSR) の生成などは Oracle Wallet Manager を利用します (R9.0.2 では mod_ssl/openssl ユーティリティは付属していません ) R9.0.2 では mod_ssl Global Server ID はサポートされません Oracle9iAS Release x と Release で提供する SSL の変更点です

27 Oracle Wallet の利用 Wallet 管理ツール Oracle Wallet Manager Oracle 製品で利用されている鍵や証明書の保管をするための Wallet ソフトウェア Release 1 での openssl ユーティリティの代わりに Oracle Wallet Manager を利用する必要があります

28 Oracle9iAS Portal セキュリティ Portalユーザー グループの認証 管理 Oracle9iAS Single Sign-On Oracle Internet Directory(OID) との統合 ( ユーザー作成や権限付与は OID DAS を利用 ) ポータル セキュリティ Portal のユーザー グループの情報はすべて OID に格納されます Portal の各コンポーネント単位でセキュリティをかけることができます Portal の各コンポーネントに設定したセキュリティ情報は OID ではなく Portal スキーマに格納されます なおPortal 上のモジュール ( ポートレット ) を開発する際には ユーザーの認証については開発者が実装する必要はありません (Portalはパートナー アプリケーションなので ユーザーの認証といった処理はOracle9iAS SSOによって行われます ) またポートレット内で表示する情報をユーザーによって変化させたり 特定のユーザーの実行を禁止したりしたい場合には PDK(Portal _Developer Kit) で提供されているセキュリティAPIによって ユーザーの情報を取得することができます

29 Oracle9iAS Portal ユーザー管理 Web ブラウザ HTTP Portal へアクセス Oracle9iAS R9.0.2 ユーザー情報登録 更新 etc. Oracle9iAS Portal ユーザーやグループ情報のキャッシュ Oracle9iAS SSO DB etc. 権限範囲の問い合わせユーザーのログイン時にキャッシュを更新 DAS OiD (LDAP) 9iAS Infrastructure OID DASに対して行われたユーザー グループ情報の変更は ユーザーがログインしたタイミングでPortalに反映されます なので例えばあるユーザーにあるページを編集する権限を与えた場合 それが有効になるのは 権限を与えた後最初にユーザーがログインした時点です Portalの他 Wrelessも同様に ログインした時点でOiDに格納されている情報が反映されます

30 Oracle9iAS Security サマリー Oracle HTTP Server セキュリティ関連モジュール追加 mod_ossl mod_osso の提供 Oracle9iAS SSO(Single Sign-On) LDAP (OID) よるユーザー管理 Oracle 実装のJAAS(Oracle9iAS JAAS) の提供 安全なポータル フレームワークの構築

31 Oracle Oracle8 Oracle8i Oracle9i Net8