CA SiteMinder Federation Release Notes

Transcription

1 CA SiteMinder Federation Release Notes 12.51

2 このドキュメント ( 組み込みヘルプシステムおよび電子的に配布される資料を含む 以下 本ドキュメント ) は お客様への情報提供のみを目的としたもので 日本 CA 株式会社 ( 以下 CA ) により随時 変更または撤回されることがあります CA の事前の書面による承諾を受けずに本ドキュメントの全部または一部を複写 譲渡 開示 変更 複本することはできません 本ドキュメントは CA が知的財産権を有する機密情報です ユーザは本ドキュメントを開示したり (i) 本ドキュメントが関係する CA ソフトウェアの使用について CA とユーザとの間で別途締結される契約または (ii) CA とユーザとの間で別途締結される機密保持契約により許可された目的以外に 本ドキュメントを使用することはできません 上記にかかわらず 本ドキュメントで言及されている CA ソフトウェア製品のライセンスを受けたユーザは 社内でユーザおよび従業員が使用する場合に限り 当該ソフトウェアに関連する本ドキュメントのコピーを妥当な部数だけ作成できます ただし CA のすべての著作権表示およびその説明を当該複製に添付することを条件とします 本ドキュメントを印刷するまたはコピーを作成する上記の権利は 当該ソフトウェアのライセンスが完全に有効となっている期間内に限定されます いかなる理由であれ 上記のライセンスが終了した場合には お客様は本ドキュメントの全部または一部と それらを複製したコピーのすべてを破棄したことを CA に文書で証明する責任を負います 準拠法により認められる限り CA は本ドキュメントを現状有姿のまま提供し 商品性 特定の使用目的に対する適合性 他者の権利に対して侵害のないことについて 黙示の保証も含めいかなる保証もしません また 本ドキュメントの使用に起因して 逸失利益 投資損失 業務の中断 営業権の喪失 情報の喪失等 いかなる損害 ( 直接損害か間接損害かを問いません ) が発生しても CA はお客様または第三者に対し責任を負いません CA がかかる損害の発生の可能性について事前に明示に通告されていた場合も同様とします 本ドキュメントで参照されているすべてのソフトウェア製品の使用には 該当するライセンス契約が適用され 当該ライセンス契約はこの通知の条件によっていかなる変更も行われません 本ドキュメントの制作者は CA です 制限された権利 のもとでの提供 : アメリカ合衆国政府が使用 複製 開示する場合は FAR Sections 及び (c)(1) 及び (2) ならびに DFARS Section (b)(3) または これらの後継の条項に規定される該当する制限に従うものとします Copyright 2013 CA. All rights reserved. 本書に記載された全ての製品名 サービス名 商号およびロゴは各社のそれぞれの商標またはサービスマークです

3 CA への連絡先 テクニカルサポートの詳細については 弊社テクニカルサポートの Web サイト ( をご覧ください

4

5 目次 第 1 章 : ようこそ 7 第 2 章 : 新機能 9 アサーション属性のクレーム変換... 9 アサーションで利用可能なセッションストア属性... 9 WS フェデレーション 1.2 のサポート... 9 WS フェデレーションメタデータ交換 SAML 2.0 属性クエリのサポート サードパーティ ID プロバイダからの SAML 2.0 ユーザ属性の取得 SAML 2.0 属性機関メタデータ 第 3 章 : 既存機能の変更点 13 分散代行認証用のクエリ文字列リダイレクトのテストのみでの使用 (165475) 第 4 章 : レガシーおよびパートナーシップフェデレーションの既知の問題 15 バックチャネル処理は クライアント証明書保護で失敗します ( ) アップグレード後の Artifact SSO に影響するシグネチャラッピングのチェック (168864) OCSPUpdater では SHA-224 アルゴリズムがサポートされない ( ) Solaris 上の Java 仮想マシンインストールエラーは無視可能 (149886) JBOSS 上の Web エージェントオプションパックには解決策が必要 ( と ) JBOSS 5.1.x でフェデレーション Web サービスを展開する (150603) CA SiteMinder Federation ではディレクトリマッピングがサポートされない (147993) フェデレーション展開での SPS フェデレーションゲートウェイ 第 5 章 : レガシーフェデレーションの既知の問題 23 属性が依存側で省略されて表示される (157913) UI でレガシーフェデレーションオブジェクトを表示できない (119335) JBoss コンテナ用のフィルタされたパッケージには変更が必要 (168893) 第 6 章 : パートナーシップフェデレーションの既知の問題 27 サイト間の転送 URL で CONSUMERID または NAME の一貫性のある使用が必要 (169724) 目次 5

6 SAML 2.0 トークンタイプを持つ WSFED RP エンティティはサポートされない (167916) 第 7 章 : で修正された不具合 29 ForceAuthN リクエストの後のシングルログアウトによってセッションエラーが発生する (153740) CA SiteMinder のアップグレード後のシステムエラー (154892) Tomcat 6 の情報のドキュメントからの削除 (159125) 分散代行認証用のクエリ文字列リダイレクトのテストのみでの使用 (165475) フェデレーションの ODBC ユーザディレクトリ設定のための前提条件 (157633) smfedexport コマンドオプションの情報が不足している (155515) XML シグネチャラッピング攻撃に対する保護 (168098) 第 8 章 : マニュアル 35 CA SiteMinder マニュアル選択メニュー マニュアルのリリース番号 付録 A: サードパーティソフトウェアの使用条件 37 6 Federation Release Notes

7 第 1 章 : ようこそ このドキュメントには CA SiteMinder レガシーおよびパートナーシップフェデレーションに関する情報が含まれます このドキュメントでは 機能 オペレーティングシステムのサポート 既知の問題 および修正点について説明します 第 1 章 : ようこそ 7

8

9 第 2 章 : 新機能 このリリースに新機能はありません アサーション属性のクレーム変換 クレーム変換では 連携したシングルサインオントランザクションの際にクレームを操作します クレームは属性とも呼ばれ 属性のカスタマイズおよびパートナーでのユーザ操作性の向上を支援します ソフトウェアでは アサーション属性に対して以下の 3 つの変更を実行できます 変換 : アサーション属性の値を別の値に変更します 追加 : アサーション属性が存在しない場合に アサーション属性を追加します 削除 : 条件に基づいてアサーション属性を削除します アサーションで利用可能なセッションストア属性 ユーザが認証された後 セッションストアでセッション属性を保持できます セッションストアから システムによって属性をアサーションに追加し リクエストされたアプリケーションをカスタマイズできます WS フェデレーション 1.2 のサポート CA SiteMinder は現在 パートナーシップフェデレーションに関して WS フェデレーション 1.2 のプロファイルをサポートしています 第 2 章 : 新機能 9

10 WS フェデレーションメタデータ交換 WS フェデレーションメタデータ交換 ポリシーサーバは WS フェデレーションパートナーシップに関して Web サービスメタデータ交換プロファイルをサポートしています この Web サービスは CA SiteMinder のローカルパートナーを有効にして メタデータのリモートパートナーからのリクエストに応答します HTTP リクエストおよびレスポンスとして 交換が発生します SAML 2.0 属性クエリのサポート CA SiteMinder IdP は SAML 2.0 アサーションクエリ / リクエストプロファイルをサポートしており 属性クエリに応答できます また IdP はアサーション内またはメタデータ内にない属性のクエリを許可することにより プロファイルの機能を拡張します IdP が属性クエリを受信すると IdP は 属性を検索するためにまずそのユーザディレクトリを確認します 属性が見つからない場合 ポリシーサーバがセッションストアを確認します 注 : CA SiteMinder IdP のみがクエリプロファイルをサポートします リクエストするパートナーとしての CA SiteMinder SP は プロキシ化された属性クエリ機能のみをサポートします サードパーティ ID プロバイダからの SAML 2.0 ユーザ属性の取得 SAML 2.0 フェデレーション環境では CA SiteMinder は プロキシ化された属性クエリと呼ばれる機能をサポートしています プロキシ化された属性クエリは SAML 2.0 アサーションクエリ / リクエストプロファイルに基づいています プロキシ化されたクエリは ポリシーサーバを有効にしてサードパーティ ID プロバイダに問い合わせて そのセッションストアにない属性の値をリクエストします その後 ポリシーサーバは サービスプロバイダにあるアプリケーションに属性を返すことができます 10 Federation Release Notes

11 SAML 2.0 属性機関メタデータ SAML 2.0 属性機関メタデータ ローカル SAML 2.0 IdP エンティティまたは IdP-SP パートナーシップからメタデータをエクスポートすると 属性サービス URL はエクスポートされたメタデータにあります この情報は 属性クエリ / レスポンスプロファイルに必要なロールの 1 つである属性機関として機能する ローカル IdP に関連します 第 2 章 : 新機能 11

12

13 第 3 章 : 既存機能の変更点 分散代行認証用のクエリ文字列リダイレクトのテストのみでの使用 (165475) 症状 : 分散代行認証用のクエリ文字列リダイレクト方式は テスト環境用のみのオプションとしては文書化されていませんでした 解決方法 : 現在 Federation Manager ガイド : パートナーシップフェデレーション には シングルサインオン用に分散代行認証機能を設定する場合 実稼働環境でクエリ文字列方式を使用すべきでないことが記載されています クエリ文字列リダイレクト方式は 概念実証としてテスト環境でのみ使用します STAR イシュー番号 : ;1 第 3 章 : 既存機能の変更点 13

14

15 第 4 章 : レガシーおよびパートナーシップフェデレーションの既知の問題 このセクションには 以下のトピックが含まれています バックチャネル処理は クライアント証明書保護で失敗します ( ) (P. 16) アップグレード後の Artifact SSO に影響するシグネチャラッピングのチェック (168864) (P. 17) OCSPUpdater では SHA-224 アルゴリズムがサポートされない ( ) (P. 18) Solaris 上の Java 仮想マシンインストールエラーは無視可能 (149886) (P. 18) JBOSS 上の Web エージェントオプションパックには解決策が必要 ( と ) (P. 19) JBOSS 5.1.x でフェデレーション Web サービスを展開する (150603) (P. 20) CA SiteMinder Federation ではディレクトリマッピングがサポートされない (147993) (P. 21) フェデレーション展開での SPS フェデレーションゲートウェイ (P. 21) 第 4 章 : レガシーおよびパートナーシップフェデレーションの既知の問題 15

16 バックチャネル処理は クライアント証明書保護で失敗します ( ) バックチャネル処理は クライアント証明書保護で失敗します ( ) 症状 : クライアント証明書オプションを使用してバックチャネルを保護すると バックチャネル処理は失敗します この失敗は HTTP-Artifact シングルサインオンおよび SAML 2.0 Single Logout over SOAP など バックチャネルを使用するすべてのプロファイルに影響します 失敗は以下の状況で発生します IIS Web サーバおよび任意のアプリケーションサーバが含まれる展開 この失敗は IIS の制限に起因するものです この問題はレガシーおよびパートナーシップフェデレーションに該当します OpenSSL ツールキットおよび UTF-8 フラグで生成される証明書が設定されます httpd.ssl.conf ファイルへの設定変更を行わない限り IdP で JBoss を実行する Apache Web サーバ 解決方法 : 以下の解決策を使用できます 基本オプションを使用して バックチャネルを保護し URL がすべて SSL プロトコルを使用していることを確認します OpenSSL ツールキットで証明書を生成する場合は UTF-8 フラグを設定しないでください IdP で JBoss を実行する Apache Web サーバについては Apache の httpd.ssl.conf ファイル内の以下の行のコメントを解除します SSLOptions +FakeBasicAuth +ExportCertData +StrictRequire 注 : この Apache ソリューションはパートナーシップフェデレーションにのみ適用されます 16 Federation Release Notes

17 アップグレード後の Artifact SSO に影響するシグネチャラッピングのチェック (168864) アップグレード後の Artifact SSO に影響するシグネチャラッピングのチェック (168864) サービスプロバイダでポリシーサーバをアップグレードした後 CA SiteMinder Federation ( レガシーまたはパートナーシップ ) 展開で SAML 2.0 Artifact トランザクションが失敗します 以下の場合 トランザクションは失敗します CA SiteMinder Federation がサービスプロバイダサイトで展開されている SAML 2.0 HTTP-Artifact SSO が設定されている サービスプロバイダでの署名の検証がアサーションまたは Artifact 解決レスポンスに対して設定されている XML シグネチャラッピング攻撃を防ぐポリシーサーバ設定が有効になっている ポリシーサーバが Artifact レスポンスの署名を検証しようとすると SSO トランザクションは失敗します Artifact SSO が失敗するのを防ぐには 署名の脆弱性のチェックを一時的にオフにします サービスプロバイダサイトでポリシーサーバをアップグレードした後 ポリシーサーバを稼働させる前に チェックを無効にします 次の手順に従ってください : 1. xsw.properties ファイルに移動します 以下のディレクトリにあるファイルを確認します siteminder_install_dir config properties xsw.properties siteminder_install_dir はポリシーサーバをインストールした場所です 2. テキストエディタでファイルを開き DisableXSWCheck を true に設定します (DisableXSWCheck=true) この値を true に設定すると 脆弱性のチェックが無効になります 第 4 章 : レガシーおよびパートナーシップフェデレーションの既知の問題 17

18 OCSPUpdater では SHA-224 アルゴリズムがサポートされない ( ) 3. 展開全体がバージョン になり ポリシーサーバが実行されたら DisableXSWCheck 設定を false に戻します (DisableXSWCheck=false) この値を false に設定すると 署名の脆弱性のチェックが有効になります すべての CA SiteMinder コンポーネントの完全なアップグレード手順については CA SiteMinder Upgrade Guide を参照してください OCSPUpdater では SHA-224 アルゴリズムがサポートされない ( ) フェデレーション証明書の有効性チェックに使用される OCSPUpdater では SHA-224 アルゴリズムを使用して OCSP リクエストに署名できません 更新プログラムでは SHA-256 SHA-384 および SHA-512 アルゴリズムでのみ署名できます Solaris 上の Java 仮想マシンインストールエラーは無視可能 (149886) 症状 : Solaris プラットフォーム上の CA SiteMinder 製品のコンソールモードインストールを実行しています 次のエラーメッセージが表示されます : このインストーラに含まれる Java 仮想マシンをインストールすることができませんでした (Unable to install the Java Virtual Machine included with this installer.) 解決方法 : このエラーは無視してください このエラーはサードパーティの問題で 機能上の影響はありません 18 Federation Release Notes

19 JBOSS 上の Web エージェントオプションパックには解決策が必要 ( と ) JBOSS 上の Web エージェントオプションパックには解決策が必要 ( と ) 症状 : JBoss サーバで システム JAR が Web エージェントオプションパック用の JAR などのアプリケーション固有 JAR を上書きしています 解決方法 : Web エージェントオプションパック XML API ファイルが JBOSS システム JARS によって上書きされるのを回避します 重要 : この回避策は JBOSS をサポートするバージョンのみに適用されます 以下のフィルタパッケージを war-deployers-jboss-beans.xml ファイル内の 2 つの場所に追加します <property name="filteredpackages">javax.servlet,org.apache.commons. logging,javax.xml.parsers,org.xml.sax,org.w3c.dom</property> フィルタパッケージは JBOSS システムファイルの代わりに Web エージェントオプションパック XML API ファイルの使用を許可します 次の手順に従ってください : 1. ディレクトリ内で war-deployers-jboss-beans.xml ファイルを見つけます. /deployers/jbossweb.deployer/meta-inf/ 2. 以下のエントリを見つけます <property name="filteredpackages">javax.servlet,org.apache. commons.logging</property> 3. エントリを以下のように変更します <property name="filteredpackages">javax.servlet,org.apache.commons. logging,javax.xml.parsers,org.xml.sax,org.w3c.dom</property> ファイル内のこのエントリは 1 行です 4. 手順 2 でエントリの 2 回目のインスタンスを見つけ 手順 3 のエントリで置き換えます XML ファイル内の両方の場所にフィルタパッケージを追加します 5. XML ファイルを保存します 第 4 章 : レガシーおよびパートナーシップフェデレーションの既知の問題 19

20 JBOSS 5.1.x でフェデレーション Web サービスを展開する (150603) JBOSS 5.1.x でフェデレーション Web サービスを展開する (150603) 症状 : フェデレーション Web サービスアプリケーションが JBOSS サーバ ( バージョン 以上 ) で展開されていると フェデレーショントランザクションはアサーティングパーティで失敗します エラーメッセージは 以下のいずれかの状態を示します CA SiteMinder は SMSESSION Cookie を復号できませんでした 暗号化例外がセッション Cookie 作成中に発生しました 解決方法 : jboss deploy ディレクトリ以下の分解フォルダで affwebservices.war ファイルを展開します 次の手順に従ってください : 1. コマンドウィンドウを開き /webagent_option_pack/affwebservices/ ディレクトリ内の affwebservices ディレクトリに移動します 2. コマンドの入力により WAR ファイルを作成します jar cvf affwebservices.war * 3. JBOSS_home/server/default/deploy/ ディレクトリに移動します JBOSS_home は JBOSS アプリケーションサーバがインストールされている場所です 4. deploy ディレクトリ以下で affwebservices.war という名前のディレクトリを作成します 5. affwebservices.war ディレクトリ内で affwebservices.war ファイルを抽出します 注 : affwebservices.war ファイルが deploy ディレクトリ内にないことを確認してください 6. アプリケーションサーバを再起動します 20 Federation Release Notes

21 CA SiteMinder Federation ではディレクトリマッピングがサポートされない (147993) 7. サーバの再起動後に JBOSS 管理コンソールにアクセスします affwebservices.war ファイルは JBOSS コンソールの [ アプリケーション ]-[WAR] 以下に表示されます 8. Web ブラウザを開き以下のリンクを入力することによって FWS アプリケーションの動作をテストします fqhn 完全修飾ホスト名を表します port_number フェデレーション Web サービスアプリケーションがインストールされているサーバのポート番号を指定します 9. フェデレーションシングルサインオントランザクションを実行します トランザクションが成功すれば CA SiteMinder フェデレーションが正常に動作していることが確認されます CA SiteMinder Federation ではディレクトリマッピングがサポートされない (147993) CA SiteMinder レガシーおよびパートナーシップフェデレーションではディレクトリマッピングがサポートされません ユーザは 最初に認証されるディレクトリに関連付けられます そのディレクトリがアフィリエイトドメインに存在しない場合 許可は失敗します フェデレーション展開での SPS フェデレーションゲートウェイ レガシーフェデレーション展開にのみ r12.3 CA SiteMinder SPS フェデレーションゲートウェイをインストールできます ゲートウェイの本リリースは CA SiteMinder 12.5 と互換性があります 12.5 パートナーシップフェデレーション展開では r12.3 ゲートウェイを使用できません 第 4 章 : レガシーおよびパートナーシップフェデレーションの既知の問題 21

22

23 第 5 章 : レガシーフェデレーションの既知の問題 このセクションには 以下のトピックが含まれています 属性が依存側で省略されて表示される (157913) (P. 23) UI でレガシーフェデレーションオブジェクトを表示できない (119335)(P. 24) JBoss コンテナ用のフィルタされたパッケージには変更が必要 (168893)(P. 24) 属性が依存側で省略されて表示される (157913) 症状 : 以下の問題が発生します ディレクトリ属性が依存側で省略されて表示されます 以下のメッセージが smtracedefault.log ファイルに表示されます [WARNING: Response attribute will be trimmed. [attr = SMUSERGRP:memberOf] [actual attr len = number] [ response attr len = number]] 注 : 警告メッセージで SMUSERGRP は変数名を表し memberof は属性値を表します このエラーメッセージは ユーザの設定に固有です 解決方法 : ユーザアサーション属性の最大長は EntitlementGenerator.properties ファイル内の設定の変更により設定可能です 長さを変更するには CA SiteMinder Federation: レガシーフェデレーションガイド の アサーション属性の最大文字数を指定します の手順に従います 第 5 章 : レガシーフェデレーションの既知の問題 23

24 UI でレガシーフェデレーションオブジェクトを表示できない (119335) UI でレガシーフェデレーションオブジェクトを表示できない (119335) 症状 : ポリシーサーバ管理 API または FSS 管理 UI を使用してレガシーフェデレーションオブジェクトを設定し CA SiteMinder 管理 UI にアップグレードした後 レガシーフェデレーションオブジェクトは管理 UI で表示できません 管理 UI でレガシーフェデレーションオブジェクトを選択しようとすると 以下のメッセージが表示されます Error: [General] The value for "Enabled" failed to convert to correct type. 解決方法 : XPS スイーパユーティリティを実行して レガシーフェデレーションオブジェクトが正常に作成されるようにします XPS スイーパユーティリティの詳細については CA SiteMinder アップグレードガイド を参照してください JBoss コンテナ用のフィルタされたパッケージには変更が必要 (168893) 症状 : JBOSS コンテナバージョン 5.1 には フィルタされたパッケージ仕様の変更が必要です 解決方法 : 1. JBOSS コンテナをインストールします 2. 次のフォルダに移動します JBoss_home/server/default/deployers/jbossweb.deployer/META-INF 3. war-deployers-jboss-beans.xml ファイルを開きます 24 Federation Release Notes

25 JBoss コンテナ用のフィルタされたパッケージには変更が必要 (168893) 4. filteredpackages プロパティを変更します 変更前 : <property name="filteredpackages">javax.servlet,org.apache.commons.logging,javax. xml.parsers,org.xml.sax,org.w3c.dom</property> 変更後 : <property name="filteredpackages">javax.xml.namespace,org.apache.xml.resolver.hel pers,javax.servlet,org.apache.commons.logging,javax.xml.parsers,org.xml.sa x,org.w3c.dom</property> 5. 同じファイル内の filteredpackages のその他のエントリに対して 上記の手順を繰り返します 全体で 2 つのエントリがあります 6. ファイルを保存します affwebservices の展開のその他の設定手順を続行します 第 5 章 : レガシーフェデレーションの既知の問題 25

26

27 第 6 章 : パートナーシップフェデレーションの既知の問題 このセクションには 以下のトピックが含まれています サイト間の転送 URL で CONSUMERID または NAME の一貫性のある使用が必要 (169724) (P. 27) SAML 2.0 トークンタイプを持つ WSFED RP エンティティはサポートされない (167916) (P. 28) サイト間の転送 URL で CONSUMERID または NAME の一貫性のある使用が必要 (169724) 症状 : SAML 1.1 プロデューサでは サイト間の転送サービスの URL を表すリンクはシングルサインオンを開始します URL で CONSUMERID または NAME クエリパラメータが必要です リクエスト間で URL のクエリパラメータを変更すると エラーが発生する場合があります 解決方法 : すべてのサイト間転送 URL に対して CONSUMERID または NAME クエリパラメータを選択します リクエスト間でこれらのパラメータを交換しないでください この制限は SAML 1.1 プロデューサからコンシューマへのパートナーシップにのみ適用されます 第 6 章 : パートナーシップフェデレーションの既知の問題 27

28 SAML 2.0 トークンタイプを持つ WSFED RP エンティティはサポートされない (167916) SAML 2.0 トークンタイプを持つ WSFED RP エンティティはサポートされない (167916) この管理 UI では SAML 2.0 トークンタイプを持つ CA SiteMinder ローカル WSFED RP エンティティを設定できます ただし WSFED RP-IP パートナーシップを作成する場合 この RP エンティティを選択できず パートナーシップ設定を続できません WSFED RP-IP パートナーシップは SAML 2.0 トークンタイプを持つ RP エンティティをサポートしません 28 Federation Release Notes

29 第 7 章 : で修正された不具合 ここに追加される CQ このセクションには 以下のトピックが含まれています ForceAuthN リクエストの後のシングルログアウトによってセッションエラーが発生する (153740) (P. 29) CA SiteMinder のアップグレード後のシステムエラー (154892) (P. 30) Tomcat 6 の情報のドキュメントからの削除 (159125) (P. 30) 分散代行認証用のクエリ文字列リダイレクトのテストのみでの使用 (165475) (P. 31) フェデレーションの ODBC ユーザディレクトリ設定のための前提条件 (157633) (P. 31) smfedexport コマンドオプションの情報が不足している (155515) (P. 32) XML シグネチャラッピング攻撃に対する保護 (168098) (P. 32) ForceAuthN リクエストの後のシングルログアウトによってセッションエラーが発生する (153740) 症状 : 以下の条件を満たす場合 ポリシーサーバログにセッションエラーがレポートされます 1. ユーザがサービスプロバイダ 1 にログインする 2. ユーザがサービスプロバイダ 2 にログインする サービスプロバイダは ForceAuthN クエリパラメータがある認証リクエストを ID プロバイダに送信します 3. ユーザは いずれかのサービスプロバイダからログアウトします 第 7 章 : で修正された不具合 29

30 CA SiteMinder のアップグレード後のシステムエラー (154892) 解決方法 : この問題は修正されました セッションエラーは レポートされなくなりました STAR イシュー番号 : CA SiteMinder のアップグレード後のシステムエラー (154892) 症状 : ユーザは 監査ログ内の SLO をすべて追跡する必要があります ユーザは /affwebservices/public/saml2slo に匿名認証方式で保護されていないレルムを設定しています CA SiteMinder R12 SP3 CR2 へアップグレードする前は この設定は機能していました 解決方法 : この問題は修正されました ログアウト成功のページが表示されます STAR イシュー番号 : ;1 Tomcat 6 の情報のドキュメントからの削除 (159125) 症状 : Web エージェントオプションパックガイド に Tomcat 6 の情報が誤って記載されていました 解決方法 : Tomcat catalina.properties ファイル (Tomcat 以上 ) を変更します というタイトルのセクションが Web エージェントオプションパックガイド から削除されています Tomcat 6 は アプリケーションサーバとしてサポートされなくなりました STAR イシュー番号 : Federation Release Notes

31 分散代行認証用のクエリ文字列リダイレクトのテストのみでの使用 (165475) 分散代行認証用のクエリ文字列リダイレクトのテストのみでの使用 (165475) 症状 : 分散代行認証用のクエリ文字列リダイレクト方式は テスト環境用のみのオプションとしては文書化されていませんでした 解決方法 : 現在 Federation Manager ガイド : パートナーシップフェデレーション には シングルサインオン用に分散代行認証機能を設定する場合 実稼働環境でクエリ文字列方式を使用すべきでないことが記載されています クエリ文字列リダイレクト方式は 概念実証としてテスト環境でのみ使用します STAR イシュー番号 : ;1 フェデレーションの ODBC ユーザディレクトリ設定のための前提条件 (157633) 症状 : フェデレーションドキュメントには SAML 関連の設定用の ODBC ユーザディレクトリに適切に定義された SQL クエリ方式が必要であることを明記する必要があります 解決方法 : 以下の注が Federation Manager ガイド : レガシーフェデレーション および Federation Manager ガイド : パートナーシップフェデレーション のユーザディレクトリについての章に追加されています 注 : フェデレーションの設定に ODBC データベースを使用する場合は ユーザディレクトリとして ODBC データベースを選択する前に SQL クエリ方式と有効な SQL クエリを設定してください STAR イシュー番号 : 第 7 章 : で修正された不具合 31

32 smfedexport コマンドオプションの情報が不足している (155515) smfedexport コマンドオプションの情報が不足している (155515) 症状 : pubkey -sign signingcertalias などの smfedexport コマンドオプションの使用方法に関する詳細な情報がありません 解決方法 : Federation Manager ガイド : レガシーフェデレーション には smfedexport コマンドオプションに関する詳細な説明があります STAR イシュー番号 : XML シグネチャラッピング攻撃に対する保護 (168098) 悪意のあるユーザは 署名を無効にせずにドキュメントのコンテンツを変更することにより XML シグネチャラッピング攻撃を実行できます デフォルトでは ポリシーサーバおよび Web エージェントオプションパックのソフトウェア制御には シグネチャラッピング攻撃に対する防御が設定されています ただし サードパーティ製品は XML 仕様に準拠しない方法で XML ドキュメントを発行できます その結果 デフォルトの署名確認によって署名検証が失敗する場合があります 署名検証の失敗は 以下の理由で発生します 重複した ID 要素が XML ドキュメント内にあり 署名がこの重複した ID を参照している場合 重複した ID 属性は許可されていません XML 署名が 想定された親要素を参照していない場合 シグネチャラッピングの脆弱性がログに記録されます フェデレーショントランザクションが失敗する場合は 署名検証の失敗に関する smtracedefault.log ファイルおよび fwstrace.log ファイルを確認します これらのエラーは 受信した XML ドキュメントが XML 標準に準拠していないことを示す場合があります 回避策として シグネチャラッピング攻撃に対するデフォルトのポリシーサーバおよび Web エージェント保護を無効にできます 32 Federation Release Notes

33 XML シグネチャラッピング攻撃に対する保護 (168098) 重要 : 署名の脆弱性に対する保護を無効にした場合は これらの攻撃に対する別の保護対策を決定します XML シグネチャラッピングの確認を無効にする方法 1. xsw.properties ファイルに移動します このファイルは ポリシーサーバと Web エージェントで別の場所に存在します ポリシーサーバの smtracedefault.log ファイルでエラーメッセージが発生した場合は siteminder_home/config/properties に移動します Web エージェントの fwstrace.log でエラーメッセージが発生した場合は web_agent_option_pack_ home/affwebservices/web-inf/classes に移動します 注 : Web エージェントオプションパックが Web エージェントと同じシステムにインストールされている場合 このファイルは web_agent_home ディレクトリに存在します 2. 以下の xsw.properties 設定を true に変更します DisableXSWCheck=true ( ポリシーサーバ設定のみ ) DisableUniqueIDCheck=true ( ポリシーサーバおよび Web エージェントオプションパック設定 ) 注 : DisableUniqueIDCheck 設定の値は ポリシーサーバと Web エージェントオプションパックで同じである必要があります 3. ファイルを保存します STAR イシュー番号 : ;1 第 7 章 : で修正された不具合 33

34

35 第 8 章 : マニュアル このセクションには 以下のトピックが含まれています CA SiteMinder マニュアル選択メニュー (P. 35) マニュアルのリリース番号 (P. 35) CA SiteMinder マニュアル選択メニュー CA SiteMinder に関する詳細情報は CA SiteMinder マニュアル選択メニューから参照できます CA SiteMinder マニュアル選択メニューを使用すると 以下のことを実行できます 1 つのコンソールを使用して CA SiteMinder について公開されているすべてのドキュメントを表示する アルファベット順の索引を使用して すべてのドキュメントのトピックを検索する すべてのドキュメントで 1 つ以上の単語を検索する CA テクニカルサポートサイトから CA SiteMinder マニュアル選択メニューを表示してダウンロードします マニュアル選択メニューにアクセスするためにサイトにログインする必要はありません ドキュメントをダウンロードする予定である場合は インストールを開始する前にダウンロードすることをお勧めします マニュアルのリリース番号 マニュアルの表紙に記載されているリリース番号は 必ずしも現在の製品リリース番号に対応するとは限りません しかし 製品と併せて提供されるすべてのドキュメントは 表紙に記載されているリリース番号に関係なく その製品リリースをサポートします 第 8 章 : マニュアル 35

36 マニュアルのリリース番号 リリース番号は 新規または更新された製品のリリースをサポートするためにマニュアルが大幅に変更される場合のみ変更されます マニュアルに実質的な変更が加えられていない場合 リリース番号は変わりません たとえば r12 用のマニュアルは r12 SP1 でも有効です マニュアルのブックシェルフは常に現在の製品リリース番号を反映しています 場合によっては 新規または更新のリリース以外でマニュアルが更新されることもあります サポートするすべてのリリースでマニュアルの記述が無効にならないよう わずかな変更が施されたことを示すために カバーページの版番号が更新されます 最初のエディションには エディション番号はありません 36 Federation Release Notes

37 付録 A: サードパーティソフトウェアの使用条件 CA SiteMinder には サードパーティ社製のソフトウェアが組み込まれます サードパーティソフトウェアの使用条件の詳細については CA SiteMinder マニュアル選択メニューのメインページを参照してください 第 8 章 : マニュアル 37