Sun ONE Application Server 7 ㇻ�ㅥㅪㅃ㇣管璃蕖㇬㇤ㅛ

セキュリティ 管 理 者 ガイド Sun ONE Application Server Version 7 816-6482-10 2002 年 9 月

Copyright 2002 Sun Microsystems, Inc., 4150 Network Circle, Santa Clara, California 95054, U.S.A. All rights reserved. このソフトウェアは SUN MICROSYSTEMS, INC. の 機 密 情 報 と 企 業 秘 密 を 含 んでいます SUN MICROSYSTEMS, INC. の 書 面 による 許 諾 を 受 けることなく このソフトウェアを 使 用 開 示 複 製 することは 禁 じられています U.S. Government Rights - Commercial software. Government users are subject to the Sun Microsystems, Inc. standard standard license agreement and applicable provisions of the FAR and its supplements. Use is subject to license terms. この 配 布 には 第 三 者 が 開 発 したソフトウェアが 含 まれている 可 能 性 があります Sun Sun Microsystems Sun のロゴマーク Java および Sun ONE のロゴマークは 米 国 およびその 他 の 国 における 米 国 Sun Microsystems, Inc. ( 以 下 米 国 Sun Microsystems 社 とします ) の 商 標 もしくは 登 録 商 標 です UNIX は X/Open Company, Ltd が 独 占 的 にライセンスしている 米 国 およびその 他 の 国 における 登 録 商 標 です この 製 品 は 米 国 の 輸 出 規 制 に 関 する 法 規 の 適 用 および 管 理 下 にあり また 米 国 以 外 の 国 の 輸 出 および 輸 入 規 制 に 関 する 法 規 の 制 限 を 受 ける 場 合 があります 核 ミサイル 生 物 化 学 兵 器 もしくは 原 子 力 船 に 関 連 した 使 用 またはかかる 使 用 者 へ の 提 供 は 直 接 的 にも 間 接 的 にも 禁 止 されています このソフトウェアを 米 国 の 輸 出 禁 止 国 へ 輸 出 または 再 輸 出 するこ と および 米 国 輸 出 制 限 対 象 リスト ( 輸 出 が 禁 止 されている 個 人 リスト 特 別 に 指 定 された 国 籍 者 リストを 含 む ) に 指 定 さ れた 法 人 または 団 体 に 輸 出 または 再 輸 出 することは 一 切 禁 止 されています

目 次 本 書 について................................................................... 9 対 象 読 者..................................................................... 10 マニュアルの 使 用 法............................................................ 10 マニュアルの 構 成.............................................................. 12 マニュアルの 表 記 規 則........................................................... 13 一 般 的 な 表 記 規 則............................................................ 13 ディレクトリ 名 の 表 記 規 則..................................................... 14 製 品 サポート.................................................................. 15 第 1 章 Sun ONE Application Server のセキュリティについて......................... 17 アプリケーションサーバーのセキュリティ.......................................... 18 証 明 書 の 管 理............................................................... 18 SSL/TLS 暗 号 化............................................................. 18 認 証....................................................................... 19 監 査....................................................................... 19 HTTP サーバーのセキュリティ 機 能................................................ 20 HTTP サーバーのユーザー - グループ 認 証........................................ 20 HTTP サーバーのホスト - IP 認 証............................................... 20 HTTP サーバーの SSL クライアント 認 証......................................... 21 HTTP サーバーのアクセス 制 御................................................. 21 Netscape API (NSAPI)........................................................ 22 J2EE アプリケーションのセキュリティ 機 能......................................... 22 宣 言 によるセキュリティ...................................................... 22 プログラムによるセキュリティ................................................. 23 ユーザー 認 証............................................................... 23 レルムの 管 理............................................................... 23 シングルサインオン.......................................................... 23 リソース 認 証............................................................... 23 3

プラグイン 対 応 認 証.......................................................... 24 安 全 を 考 慮 した 運 用............................................................ 24 サーバーのセキュリティに 関 連 するファイル......................................... 25 init.conf ファイル............................................................ 25 dbswitch.conf ファイル........................................................ 26 server.xml ファイル.......................................................... 26 obj.conf ファイル............................................................ 27 password.conf ファイル....................................................... 27 certmap.conf ファイル........................................................ 28 ACL ファイル............................................................... 28 htaccess ファイル........................................................... 29 キーファイル............................................................... 29 server.policy ファイル........................................................ 29 第 2 章 一 般 的 なセキュリティ 対 策................................................ 31 一 般 的 なセキュリティについて................................................... 31 物 理 アクセスの 制 限............................................................ 32 ファイアウォールの 使 用......................................................... 33 シングルファイアウォール..................................................... 33 ダブルファイアウォール - DMZ 設 定............................................. 34 トリプルファイアウォール - DMZ とデータベース 保 護.............................. 35 管 理 アクセスの 制 限............................................................ 36 パスワードの 管 理.............................................................. 36 解 読 されにくいパスワードの 作 成............................................... 37 スーパーユーザーのパスワードの 管 理............................................ 37 パスワードまたは PIN の 変 更.................................................. 39 password.conf ファイルの 使 用................................................. 40 サーバーでの 別 アプリケーション 実 行 の 制 限......................................... 41 保 護 されていないサーバーのセキュリティ.......................................... 42 第 3 章 証 明 書 の 管 理........................................................... 43 証 明 書 と 認 証 について........................................................... 43 信 頼 データベースの 実 装......................................................... 44 信 頼 データベースの 作 成...................................................... 45 信 頼 データベースのパスワードの 変 更............................................ 46 証 明 書 の 実 装.................................................................. 47 必 要 な CA 情 報.............................................................. 47 証 明 書 の 要 求............................................................... 48 証 明 書 のインストール........................................................ 51 内 蔵 のルート 証 明 書 モジュールの 使 用.............................................. 55 証 明 書 の 管 理.................................................................. 56 CRL と CKL の 管 理............................................................. 57 4 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

CRL または CKL のインストール................................................ 57 CRL または CKL の 削 除....................................................... 59 第 4 章 SSL/TLS 暗 号 化 の 管 理................................................... 61 暗 号 化 について................................................................ 62 SSL プロトコルと TLS プロトコル.............................................. 62 公 開 鍵 と 秘 密 鍵.............................................................. 63 設 定 手 順................................................................... 63 LDAP との SSL 通 信 の 有 効 化..................................................... 64 セキュリティの 有 効 化........................................................... 65 HTTP リスナー 作 成 時 のセキュリティの 有 効 化..................................... 65 HTTP リスナー 編 集 時 のセキュリティの 有 効 化..................................... 68 SSL と TLS の 有 効 化........................................................... 69 グローバルなセキュリティ 設 定................................................... 71 SSL 設 定 ファイル 指 令........................................................ 71 SSLCacheEntries.......................................................... 71 SSLClientAuthDataLimit..................................................... 72 SSLClientAuthTimeout...................................................... 72 SSLSessionTimeout........................................................ 72 SSL3SessionTimeout....................................................... 72 SSL 指 令 の 値 の 設 定.......................................................... 72 外 部 暗 号 化 モジュールの 使 用..................................................... 74 PKCS11 モジュールのインストール............................................. 75 外 部 の 証 明 書 を 使 ったサーバーの 起 動............................................ 75 FIPS-140 標 準 の 有 効 化....................................................... 77 厳 密 な 暗 号 化 方 式 の 設 定......................................................... 78 クライアントによる SSL ファイルのキャッシングの 防 止............................... 81 第 5 章 HTTP サーバーアクセス 制 御 の 管 理......................................... 83 HTTP サーバーのアクセス 制 御 について............................................ 84 HTTP サーバーのユーザー - グループ 認 証........................................ 84 基 本 認 証................................................................. 85 SSL 認 証................................................................ 86 ダイジェスト 認 証......................................................... 87 ホスト - IP 認 証............................................................. 89 アクセス 制 御 リスト (ACL) ファイル............................................. 89 クライアント 認 証............................................................ 90 ダイジェスト 認 証 の 実 装......................................................... 91 ダイジェスト 認 証 プラグインの 実 装............................................. 91 UNIX 環 境 でのダイジェスト 認 証............................................. 91 Windows 環 境 でのダイジェスト 認 証.......................................... 92 DES アルゴリズムの 使 用 に 関 する Sun ONE Directory Server の 設 定................... 93 5

ホスト - IP 認 証 の 実 装.......................................................... 94 ACL ファイルの 操 作............................................................ 94 ACL ファイルの 構 文.......................................................... 95 タイプステートメント........................................................ 96 認 証 ステートメント.......................................................... 97 承 認 ステートメント.......................................................... 98 承 認 ステートメントの 階 層.................................................. 98 属 性 式.................................................................. 99 演 算 子................................................................. 100 ACL ファイルの 例.......................................................... 101 ACL 式 のカスタマイズ....................................................... 103 クライアント 認 証 の 設 定........................................................ 104 管 理 サーバーのクライアント 認 証 の 設 定......................................... 104 サーバーインスタンスのクライアント 認 証 の 設 定.................................. 106 certmap.conf ファイルの 操 作.................................................. 108 デフォルトプロパティ..................................................... 109 カスタムプロパティの 作 成................................................. 111 マッピングの 例.......................................................... 111 ACL/ACE の 設 定.............................................................. 113 許 可 または 拒 否 の 設 定....................................................... 113 ユーザー - グループ 認 証 の 設 定................................................ 113 アクセスを 許 可 するホストの 指 定.............................................. 115 アクセス 権 限 の 設 定......................................................... 116 obj.conf ファイル 内 の ACL ファイルの 参 照......................................... 117 ACL ユーザーキャッシュの 設 定.................................................. 117 ACLCacheLifetime........................................................ 117 ACLUserCacheSize....................................................... 118 ACLGroupCacheSize...................................................... 118 サーバーインスタンスのアクセス 制 御 の 設 定........................................ 118 サーバー 内 の 領 域 へのアクセスの 制 限............................................. 124 サーバー 全 体 へのアクセスの 制 限.............................................. 125 ディレクトリ ( パス ) に 対 するアクセスの 制 限.................................... 126 URI ( パス ) に 対 するアクセスの 制 限............................................ 127 ファイルタイプによるアクセスの 制 限........................................... 128 時 間 帯 によるアクセスの 制 限.................................................. 129 セキュリティによるアクセスの 制 限............................................ 130 アクセス 制 御 の 無 効 化.......................................................... 131 アクセス 拒 否 時 の 応 答.......................................................... 132 仮 想 サーバーのアクセス 制 御.................................................... 132 仮 想 サーバーからデータベースへのアクセス..................................... 133 dbswitch.conf ファイルの 使 用............................................... 134 認 証 データベースの 新 規 作 成............................................... 134 ユーザーインタフェースによるデータベースの 指 定............................. 135 6 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

仮 想 サーバー 用 のアクセス 制 御 リストの 編 集..................................... 135 htaccess ファイルの 使 用....................................................... 136 ユーザーインタフェースによる htaccess の 有 効 化................................. 137 init.conf による htaccess の 有 効 化.............................................. 139 htaccess-register の 使 用...................................................... 140 サポートしている htaccess 指 令............................................... 141 索 引........................................................................ 147 7

8 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

本 書 について このマニュアルでは Sun TM Open Network Environment (ONE) Application Server 7 のセキュリティを 設 定 管 理 する 方 法 について 説 明 します 注 このマニュアルで 説 明 するすべての 内 容 が J2EE アプリケーションにあて はまるわけではありません 一 部 の 内 容 は HTTP サーバーの 機 能 だけに 適 用 されます 安 全 な J2EE アプリケーションの 開 発 については J2EE の 仕 様 書 および Sun ONE Application Server 開 発 者 ガイド を 参 照 してく ださい この 節 には 次 のトピックがあります 対 象 読 者 マニュアルの 使 用 法 マニュアルの 構 成 マニュアルの 表 記 規 則 製 品 サポート 9

対 象 読 者 対 象 読 者 このマニュアルは 次 のようなサーバーの 企 業 セキュリティメカニズムの 実 装 と 管 理 について 十 分 な 知 識 のある 企 業 内 の 情 報 技 術 管 理 者 を 対 象 としています 認 証 承 認 署 名 暗 号 化 監 査 マニュアルの 使 用 法 このマニュアルは PDF 形 式 または HTML 形 式 でも 入 手 できます 次 のサイトを 参 照 してください http://docs.iplanet.com/docs/manuals/ias.html 次 の 表 は Sun ONE Application Server のマニュアルに 記 述 されているタスクと 概 念 を 示 しています 左 側 の 列 にタスクと 概 念 右 側 の 列 に 参 照 するマニュアルを 示 しま す Sun ONE Application Server マニュアルの 概 要 情 報 の 内 容 ソフトウェアおよびマニュアルの 最 新 情 報 サポート 対 象 のプラットフォームと 環 境 アプリケーションサーバーの 紹 介 新 機 能 評 価 用 バー ジョンのインストール アーキテクチャの 概 要 など Sun ONE Application Server とそのコンポーネント ( サン プルアプリケーション 管 理 インタフェース Sun ONE Message Queue など ) のインストール Sun ONE Application Server 7 の Java オープンスタンダー ドモデルに 準 拠 した J2EE アプリケーションの 作 成 方 法 と 実 装 方 法 アプリケーション 設 計 開 発 ツール セキュリ ティ アセンブリ 配 置 デバッグ ライフサイクルモ ジュールの 作 成 に 関 する 情 報 など 参 照 するマニュアル リリースノート Sun ONE Application Server 7 プラットフォーム 入 門 ガイド インストールガイド 開 発 者 ガイド 10 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

マニュアルの 使 用 法 Sun ONE Application Server マニュアルの 概 要 ( 続 き ) 情 報 の 内 容 Sun ONE Application Server 7 の Web アプリケーション 向 け Java オープンスタンダードモデルに 準 拠 した J2EE ア プリケーションの 作 成 方 法 と 実 装 方 法 Web アプリケー ションプログラミングの 概 念 とタスクの 説 明 サンプル コード 実 装 のヒント 関 連 資 料 の 紹 介 など Sun ONE Application Server 7 の Enterprise JavaBean 向 け Java オープンスタンダードモデルに 準 拠 した J2EE アプリ ケーションの 作 成 方 法 と 実 装 方 法 EJB プログラミングの 概 念 とタスクの 説 明 サンプルコード 実 装 のヒント 関 連 資 料 の 紹 介 など Web サービス RMI-IIOP Sun ONE Application Server 7 上 の J2EE アプリケーションにアクセスするその 他 のクラ イアントの 作 成 方 法 JDBC JNDI JTS JMS JavaMial リソース コネクタ などの J2EE 機 能 カスタム NSAPI プラグインの 作 成 方 法 次 の 管 理 タスクの 実 行 管 理 インタフェースとコマンド 行 インタフェースの 使 用 サーバーの 作 業 環 境 の 構 成 管 理 ドメインの 使 用 サーバーインスタンスの 使 用 サーバーの 稼 動 状 況 の 監 視 およびログ 記 録 Web サーバープラグインの 構 成 Java Messaging Service の 構 成 J2EE 機 能 の 使 用 CORBA ベースのクライアント 機 能 の 構 成 データベース 接 続 性 の 構 成 トランザクション 管 理 の 構 成 Web コンテナの 構 成 アプリケーションの 配 置 仮 想 サーバーの 管 理 サーバー 構 成 ファイルの 編 集 参 照 するマニュアル Web アプリケーション 開 発 者 ガイド Enterprise JavaBeans 開 発 者 ガイド Developer's Guide to Clients Developer's Guide to J2EE Features and Services NSAPI Developer's Guide 管 理 者 ガイド 管 理 者 用 構 成 ファイルリ ファレンス 本 書 について 11

マニュアルの 構 成 Sun ONE Application Server マニュアルの 概 要 ( 続 き ) 情 報 の 内 容 Sun ONE Application Server 7 運 用 環 境 のセキュリティの 設 定 および 管 理 セキュリティに 関 する 一 般 情 報 証 明 書 SSL/TLS による 暗 号 化 など HTTP サーバーベース のセキュリティについても 解 説 Sun ONE Application Server 7 で 利 用 する J2EE CA コネク タのサービスプロバイダ 実 装 の 設 定 と 管 理 管 理 ツール DTD についての 情 報 およびサンプル XML ファイルを 提 供 Netscape Application Server バージョン 2.1 から 新 しい Sun ONE Application Server 7 プログラミングモデルへの アプリケーションの 移 行 Sun ONE Application Server に 付 属 するオンラインバンクアプリケーションの 移 行 サンプ ルなど Sun ONE Message Queue の 使 用 参 照 するマニュアル セキュリティ 管 理 者 ガイド J2EE CA Service Provider Implementation Administrator's Guide サーバーアプリケーション の 移 行 および 再 配 備 次 のサイトに 用 意 されてい る Sun ONE Message Queue のマニュアルを 参 照 http://docs.sun.com マニュアルの 構 成 このマニュアルは 次 のような 内 容 で 構 成 されています 17 ページの Sun ONE Application Server のセキュリティについて 31 ページの 一 般 的 なセキュリティ 対 策 43 ページの 証 明 書 の 管 理 61 ページの SSL/TLS 暗 号 化 の 管 理 83 ページの HTTP サーバーアクセス 制 御 の 管 理 12 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

マニュアルの 表 記 規 則 マニュアルの 表 記 規 則 ここでは このマニュアル 全 体 に 適 用 される 表 記 規 則 について 説 明 します 一 般 的 な 表 記 規 則 ディレクトリ 名 の 表 記 規 則 一 般 的 な 表 記 規 則 このマニュアルに 適 用 される 一 般 的 な 表 記 規 則 は 次 のとおりです ファイルとディレクトリのパスは UNIX の 形 式 で 表 記 します ( ディレクトリ 名 を / 記 号 で 区 切 って 表 記 ) Windows バージョンでは ディレクトリパスに ついては UNIX と 同 じですが ディレクトリの 区 切 り 記 号 には / 記 号 ではな く \ 記 号 を 使 用 します URL は 次 のように 表 記 されます http://server.domain/path/file.html これらの URL で server はアプリケーションを 実 行 するサーバー 名 で domain は ユーザのインターネットドメイン 名 path はサーバー 上 のディレクトリの 構 造 file は 個 別 のファイル 名 を 示 します URL の 斜 体 文 字 の 部 分 は 可 変 部 分 です このマニュアルでは フォントについて 次 の 規 則 を 採 用 しています モノスペースフォントは サンプルコード コードの 一 覧 表 示 API およ び 言 語 要 素 ( 関 数 名 クラス 名 など ) ファイル 名 パス 名 ディレクト リ 名 および HTML タグに 使 います 斜 体 文 字 はコード 変 数 に 使 います また 斜 体 文 字 は 変 数 および 可 変 部 分 およびリテラルに 使 われる 文 字 にも 使 います 太 字 は 段 落 の 先 頭 文 字 またはリテラルに 使 われる 文 字 の 強 調 に 使 いま す このマニュアルでは ほとんどのプラットフォームのインストールルートディレ クトリは install_dir として 表 記 されます 例 外 については 14 ページのディレク トリ 名 の 表 記 規 則 を 参 照 してください ほとんどのプラットフォームのデフォルトの install_dir は 次 のとおりです Solaris 8 のパッケージベースでない 評 価 (Evaluation) バージョン user's home directory/sun/appserver7 Solaris にバンドルでない 評 価 用 以 外 のバージョン 本 書 について 13

マニュアルの 表 記 規 則 /opt/sunwappserver7 Windows のすべてのインストール C:\Sun\AppServer7 上 記 プラットフォームでは default_config_dir と install_config_dir は install_dir と 同 じ 意 味 です これ 以 外 の 説 明 と 例 外 については 14 ページのディレクトリ 名 の 表 記 規 則 を 参 照 してください このマニュアルでは インスタンスルートディレクトリは instance_dir と 表 記 され ます これは 実 際 には 次 のディレクトリを 示 しています default_config_dir/domains/domain/instance このマニュアルを 通 じて 特 に 明 記 のない 限 り UNIX 固 有 の 表 記 は Linux オペ レーティングシステムにも 適 用 されます ディレクトリ 名 の 表 記 規 則 Solaris 8 および 9 のパッケージに 含 まれる 製 品 のインストール および Solaris 9 のバ ンドル 版 のインストールでは アプリケーションサーバーのファイルは 通 常 は 複 数 の ルートディレクトリに 分 散 して 保 存 されます ここでは これらのディレクトリにつ いて 説 明 します Solaris 9 のバンドル 版 のインストールでは デフォルトのインストールディレク トリは 次 のように 表 記 されます install_dir は /usr/appserver/ を 示 します このディレクトリにはインス トールイメージの 静 的 な 要 素 が 保 存 されます ユーティリティ 実 行 可 能 ファイル およびアプリケーションサーバーを 構 成 するライブラリは すべてここに 保 存 されます default_config_dir は /var/appserver/domains を 示 します このディレク トリは 作 成 したドメインのデフォルトの 保 存 場 所 です install_config_dir は /etc/appserver/config を 示 します このディレクト リには ライセンスやそのインストール 用 に 設 定 した 管 理 ドメインのマ スターリストなど インストール 全 体 に 適 用 される 設 定 情 報 が 保 存 され ます Solaris 8 および 9 のパッケージベースの 評 価 用 以 外 のアンバンドルのインストー ルでは デフォルトのインストールディレクトリは 次 のように 表 記 されます install_dir は /opt/sunwappserver7 を 示 します このディレクトリにはイ ンストールイメージの 静 的 な 要 素 が 保 存 されます ユーティリティ 実 行 可 能 ファイル およびアプリケーションサーバーを 構 成 するライブラ リは すべてここに 保 存 されます 14 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

製 品 サポート default_config_dir は /var/opt/sunwappserver7/domains を 示 します こ のディレクトリは 作 成 したドメインのデフォルトの 保 存 場 所 です install_config_dir は /etc/opt/sunwappserver7/config を 示 します この ディレクトリには ライセンスやそのインストール 用 に 設 定 した 管 理 ド メインのマスターリストなど インストール 全 体 に 適 用 される 設 定 情 報 が 保 存 されます 注 Forte for Java 4.0 は 名 称 が 変 更 されました このマニュアルでは Sun ONE Studio 4 と 表 記 されます 製 品 サポート ご 使 用 のシステムに 問 題 が 発 生 した 場 合 は 次 のいずれかの 方 法 でカスタマサポート にお 問 い 合 わせください 次 のオンラインサポート Web サイトをご 利 用 ください http://www.sun.com/supportraining/ 保 守 契 約 を 結 んでいるお 客 様 の 場 合 は 専 用 ダイヤルをご 利 用 ください 事 前 に 次 の 情 報 を 準 備 してください テクニカルサポートスタッフが 問 題 解 決 のお 手 伝 いする 上 で この 情 報 が 役 立 ちます 問 題 が 発 生 した 箇 所 や 動 作 への 影 響 など 問 題 の 具 体 的 な 説 明 マシン 機 種 OS バージョン および 問 題 の 原 因 と 思 われるパッチやそのほかの ソフトウェアなどの 製 品 バージョン 問 題 を 再 現 するための 具 体 的 な 手 順 の 説 明 エラーログやコアダンプ 本 書 について 15

製 品 サポート 16 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

第 1 章 Sun ONE Application Server のセキュリティ について この 章 では セキュリティの 基 本 的 な 概 念 と Sun TM ONE Application Server 7 環 境 に 適 用 されるセキュリティ 機 能 の 概 要 について 説 明 します 注 このマニュアルで 説 明 するすべての 内 容 が J2EE アプリケーションにあて はまるわけではありません 一 部 の 内 容 は HTTP サーバーだけに 適 用 され ます 安 全 な J2EE アプリケーションの 開 発 については J2EE の 仕 様 書 および Sun ONE Application Server 開 発 者 ガイド を 参 照 してください この 節 には 次 のトピックがあります アプリケーションサーバーのセキュリティ HTTP サーバーのセキュリティ 機 能 J2EE アプリケーションのセキュリティ 機 能 安 全 を 考 慮 した 運 用 サーバーのセキュリティに 関 連 するファイル 17

アプリケーションサーバーのセキュリティ アプリケーションサーバーのセキュリティ サーバーのセキュリティに 責 任 を 負 う 管 理 者 は Sun ONE Application Server を 保 護 し 未 承 認 のアクセス ( 意 図 的 なものであるかどうかにかかわらず ) 損 傷 盗 難 誤 表 示 からデータを 守 ることが 重 要 です このためには デジタル 証 明 書 暗 号 化 承 認 監 査 などのセキュリティツールを 使 用 し セキュリティを 考 慮 することが 必 要 で す Sun ONE Application Server 環 境 でセキュリティ 管 理 に 必 要 な 事 項 には 次 のものがあ ります 証 明 書 の 管 理 SSL/TLS 暗 号 化 認 証 監 査 証 明 書 の 管 理 証 明 書 は 個 人 や 企 業 などのエンティティの 名 前 を 指 定 するデジタルデータで その エンティティが 所 属 する 証 明 書 に 含 まれる 公 開 鍵 を 証 明 します クライアントとサー バーの 両 方 が 証 明 書 を 持 つことができます Sun ONE Application Server 環 境 で 証 明 書 が 機 能 するしくみについては 43 ページの 証 明 書 の 管 理 を 参 照 してください SSL/TLS 暗 号 化 暗 号 化 は 意 図 した 受 信 者 以 外 が 認 識 できないように 情 報 を 変 換 するプロセスで 復 号 化 は 暗 号 化 された 情 報 を 認 識 可 能 な 状 態 に 戻 すプロセスです 符 号 化 方 式 は 暗 号 化 と 復 号 化 に 使 用 される 暗 号 化 アルゴリズム ( 関 数 ) です Sun ONE Application Server がサポートしている SSL (Secure Sockets Layer) プロトコルと TLS (Transport Layer Security) プロトコルには さまざまな 符 号 化 方 式 が 用 意 されて います 安 全 度 は 符 号 化 方 式 によって 異 なります サポートされている 暗 号 化 プロトコルは SSL 3.0 と TLS 1.0 です 暗 号 化 について は 61 ページの SSL/TLS 暗 号 化 の 管 理 を 参 照 してください 18 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

アプリケーションサーバーのセキュリティ 認 証 認 証 は 呼 び 出 し 側 とサービスプロバイダが 特 定 のユーザーまたはシステムとして 対 話 していることを 相 互 に 証 明 するメカニズムです 証 明 が 双 方 向 の 場 合 は これを 特 別 に 相 互 認 証 と 呼 びます たとえば ユーザーが Web ブラウザ 上 でユーザー 名 とパス ワードを 入 力 し アクティブなデータベースドメインに 保 存 されているパーマネント プロファイルとその 証 明 書 が 一 致 したときに ユーザーが 認 証 されます それ 以 降 の セッションでは ユーザーはこの 認 証 済 みのセキュリティ ID に 関 連 付 けられます サーバー 認 証 とは クライアントがサーバーにより 認 証 されることです つまり 特 定 のネットワークアドレスにあるサーバーに 対 して 責 任 を 持 つとされている 組 織 を 識 別 して 証 明 します 仮 想 サーバー 認 証 では システム 上 の 仮 想 サーバーごとに 異 なる 証 明 書 データベース を 持 たせることができます 各 仮 想 サーバーデータベースには 複 数 の 証 明 書 を 格 納 できます 仮 想 サーバー 上 でも 各 インスタンスに 複 数 の 異 なる 証 明 書 を 持 たせるこ とができます 監 査 監 査 は エラーやセキュリティ 違 反 などの 重 大 なイベントが 発 生 した 場 合 に それを 後 から 調 べることができるようにイベントを 記 録 するメソッドです すべての 認 証 イ ベントは Sun ONE Application Server のログに 記 録 されます 完 全 なアクセスログ には Sun ONE Application Server で 行 われるすべてのアクセスイベントが 連 続 して 記 録 されます ログについては Sun ONE Application Server 管 理 者 ガイド を 参 照 してください 第 1 章 Sun ONE Application Server のセキュリティについて 19

HTTP サーバーのセキュリティ 機 能 HTTP サーバーのセキュリティ 機 能 注 HTTP サーバーの 機 能 として 紹 介 される 機 能 は HTTP サーバーとしての Sun ONE Application Server だけに 適 用 され J2EE アプリケーションとし ては 適 用 されません ただし J2EE アプリケーションにも 同 様 の 機 能 が 用 意 されていることがあります HTTP サーバーの 主 なセキュリティ 機 能 は 次 のとおりです HTTP サーバーのユーザー - グループ 認 証 HTTP サーバーのホスト - IP 認 証 HTTP サーバーの SSL クライアント 認 証 HTTP サーバーのアクセス 制 御 Netscape API (NSAPI) HTTP サーバーのユーザー - グループ 認 証 ユーザー - グループ 認 証 では アクセスを 許 可 する 前 にユーザーがユーザー 自 身 を 認 証 する 必 要 があります この 認 証 は ユーザーが 入 力 する 名 前 とパスワード および クライアント 証 明 書 またはダイジェスト 認 証 プラグインを 使 って 行 われます Sun ONE Application Server がサポートしているユーザー - グループ 認 証 には 基 本 デ フォルト SSL ダイジェスト カスタムがあります HTTP サーバーのユーザー - グループ 認 証 については 84 ページの HTTP サーバー のユーザー - グループ 認 証 および 94 ページの ホスト - IP 認 証 の 実 装 を 参 照 して ください J2EE アプリケーションのユーザー - グループ 認 証 については Sun ONE Application Server 開 発 者 ガイド を 参 照 してください HTTP サーバーのホスト - IP 認 証 ホスト - IP 認 証 は 管 理 サーバーまたは Web サイト 上 のファイルやディレクトリへの アクセスを 特 定 のコンピュータを 使 うクライアントだけに 制 限 するメソッドで ホ スト - IP アクセス 制 御 とも 呼 ばれます HTTP サーバーのホスト - IP 認 証 については 94 ページの ホスト - IP 認 証 の 実 装 を 参 照 してください 20 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

HTTP サーバーのセキュリティ 機 能 HTTP サーバーの SSL クライアント 認 証 クライアント 認 証 は クライアントの 証 明 書 を 認 証 するプロセスで 証 明 書 の 署 名 を 暗 号 を 使 って 検 証 し 証 明 書 チェーンが 信 頼 できる CA のリストに 載 っている CA か らのものであることを 確 認 します クライアントに 複 数 の 証 明 書 を 持 たせることもで きます これは 1 人 の 人 が 数 種 類 の ID を 所 有 しているのと 同 じことです HTTP サーバーのクライアント 認 証 については 104 ページの クライアント 認 証 の 設 定 を 参 照 してください 注 J2EE でも SSL クライアント 認 証 を 利 用 できます 詳 細 は Sun ONE Application Server 開 発 者 ガイド を 参 照 してください HTTP サーバーのアクセス 制 御 ACE ( アクセス 制 御 エントリ ) という 階 層 構 造 の 規 則 を 作 成 することで 個 人 グ ループ または 特 定 のサーバーやアプリケーションなどのエンティティからのアクセ スを 許 可 したり 拒 否 したりすることができます それぞれの ACE は サーバーが その 階 層 の 次 の ACE を 調 べるかどうかを 指 定 します 作 成 した ACE のセットを ACL ( アクセス 制 御 リスト ) と 呼 びます 次 のように HTTP サーバーへのアクセス 制 限 には 多 数 のオプションがあります サーバー 全 体 へのアクセスの 制 限 ディレクトリ ( パス ) に 対 するアクセスの 制 限 URI ( パス ) に 対 するアクセスの 制 限 ファイルタイプによるアクセスの 制 限 時 間 帯 によるアクセスの 制 限 セキュリティによるアクセスの 制 限 HTTP サーバーのアクセス 制 御 については 83 ページの HTTP サーバーアクセス 制 御 の 管 理 を 参 照 してください 第 1 章 Sun ONE Application Server のセキュリティについて 21

J2EE アプリケーションのセキュリティ 機 能 Netscape API (NSAPI) NSAPI は HTTP に 特 化 した 多 数 のユーティリティ 機 能 を 提 供 する C 言 語 API です NSAPI では 要 求 の 処 理 やその 他 のサーバーアクティビティで 使 われる SAF (Server Application Function) 機 能 をプラグインとして 提 供 することができます 詳 細 は Sun ONE Application Server Developer s Guide to NASPI を 参 照 してくだ さい J2EE アプリケーションのセキュリティ 機 能 J2EE アプリケーションの 認 証 と 承 認 の 要 件 は J2EE 仕 様 に 定 義 されており ここで も 簡 単 に 紹 介 します 注 J2EE アプリケーションのセキュリティを 開 発 するときは J2EE の 仕 様 書 と Sun ONE Application Server 開 発 者 ガイド に 記 載 されているセキュ リティメカニズムを 使 用 してください Sun ONE Application Server 環 境 でサポートしている J2EE セキュリティ 機 能 は 次 の とおりです 宣 言 によるセキュリティ プログラムによるセキュリティ ユーザー 認 証 レルムの 管 理 シングルサインオン リソース 認 証 プラグイン 対 応 認 証 宣 言 によるセキュリティ 宣 言 によるセキュリティでは 認 証 はコンテナによって 処 理 されます 現 在 のセキュ リティコンテキストに 関 連 づけられた 主 体 が 要 求 される 処 理 へのアクセスを 許 可 さ れているかどうかを 決 定 するときに 配 備 記 述 子 が 参 照 されます 機 密 性 または 整 合 性 のトランスポート 保 証 要 件 を Web アプリケーションが 指 定 するこ ともあります これは 該 当 リソースに 必 要 な SSL に 変 換 されます 22 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

J2EE アプリケーションのセキュリティ 機 能 詳 細 は Sun ONE Application Server 開 発 者 ガイド を 参 照 してください プログラムによるセキュリティ プログラムによるセキュリティでは 認 証 はアプリケーションコードによって 直 接 処 理 されます このコードは 開 発 者 が 記 述 します 詳 細 は Sun ONE Application Server 開 発 者 ガイド を 参 照 してください ユーザー 認 証 Web クライアント アプリケーションコンテナを 実 行 する J2EE アプリケーションク ライアント Sun ONE Application Server コンテナを 使 用 しない 外 部 の RMI/IIOP ク ライアント という 3 つの 呼 び 出 し 側 認 証 パスがあります フォーム 認 証 がサポート されています 詳 細 は Sun ONE Application Server 開 発 者 ガイド を 参 照 してください レルムの 管 理 管 理 インタフェースでは サーバーに 特 定 のレルムを 追 加 編 集 削 除 することがで きます Sun ONE Application Server のレルムには file ldap certificate および solaris があります 詳 細 は Sun ONE Application Server 開 発 者 ガイド を 参 照 してください シングルサインオン シングルサインオンの 場 合 1 つの 仮 想 サーバーインスタンスで 複 数 の J2EE アプリ ケーションが ユーザーの 認 証 を 共 有 できます 詳 細 は Sun ONE Application Server 開 発 者 ガイド を 参 照 してください リソース 認 証 Sun ONE Application Server は 外 部 リソースの 認 証 をサポートしています この 認 証 では 別 の 認 証 も 必 要 になることがあります 詳 細 は Sun ONE Application Server 開 発 者 ガイド を 参 照 してください 第 1 章 Sun ONE Application Server のセキュリティについて 23

安 全 を 考 慮 した 運 用 プラグイン 対 応 認 証 プラグイン 認 証 では J2EE アプリケーションは J2SE プラットフォームから JAAS (Java Authentication and Authorization Service) を 利 用 できます 開 発 者 は 独 自 の 認 証 メカニズムをプラグインできます 詳 細 は Sun ONE Application Server 開 発 者 ガイド を 参 照 してください 安 全 を 考 慮 した 運 用 Sun ONE Application Server のリソースを 保 護 する 上 で 注 意 すべき 点 は 数 多 くあり ます 認 証 や 暗 号 化 などのメカニズムが 関 係 するものもありますが 単 にセキュリ ティを 意 識 した 運 用 と 常 識 に 基 づくものがその 多 くを 占 めます 次 の 作 業 にはセキュリティ 上 の 考 慮 が 必 要 です Sun ONE Application Server への 物 理 的 なアクセスの 制 限 ファイアウォールの 設 定 管 理 機 能 へのアクセスの 制 限 パスワードの 管 理 サーバーでのほかのアプリケーションの 実 行 制 限 保 護 されているサーバーと 保 護 されていないサーバーの 設 定 それぞれのトピックについては 31 ページの 一 般 的 なセキュリティ 対 策 で 説 明 し ます 24 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

サーバーのセキュリティに 関 連 するファイル サーバーのセキュリティに 関 連 するファイル 多 くの Sun ONE Application Server 設 定 ファイルが サーバーのセキュリティパラ メータの 定 義 に 使 用 されます セキュリティ 関 連 タスクに 使 用 される 主 なファイルは 次 のとおりです 各 ファイルについて 簡 単 に 説 明 します init.conf ファイル dbswitch.conf ファイル server.xml ファイル password.conf ファイル certmap.conf ファイル ACL ファイル htaccess ファイル キーファイル server.policy ファイル Sun ONE Application Server 設 定 ファイルの 詳 細 については Sun ONE Application Server 管 理 者 用 設 定 ファイルリファレンス を 参 照 してください init.conf ファイル init.conf ファイルには サーバーのインストール 先 パス パフォーマンス 調 整 オプ ション プラグイン 共 有 オブジェクトの 場 所 など 低 レベルのサーバー 設 定 情 報 が 記 録 されています このファイルは 起 動 ファイルです Sun ONE Application Server を 起 動 すると このファイルの 内 容 が 参 照 され サーバーインスタンスの 動 作 と 設 定 に 影 響 するグローバル 変 数 が 設 定 されます セキュリティ 関 連 タスクには 次 のもの があります 保 護 されていないサーバーを 安 全 にする chroot コマンドを 使 うには init.conf に 含 まれるすべてのパスを 絶 対 パスとして 記 録 し obj.conf に 含 ま れるパスを chroot ディレクトリに 関 連 づけた 相 対 パスとして 記 録 する 必 要 があ る ガイドラインについては 42 ページの 保 護 されていないサーバーのセキュ リティ を 参 照 SSL が 有 効 なサーバーをインストールすると グローバルセキュリティパラメー タ 用 の SSL 指 令 エントリが init.conf ファイルに 作 成 される 詳 細 については 71 ページの グローバルなセキュリティ 設 定 を 参 照 init.conf ファイルで 指 令 を 設 定 することで ACL ユーザーキャッシュを 制 御 できる 詳 細 については 117 ページの ACL ユーザーキャッシュの 設 定 を 参 照 第 1 章 Sun ONE Application Server のセキュリティについて 25

サーバーのセキュリティに 関 連 するファイル サーバーが htaccess ファイルを 使 用 するように 手 動 で 設 定 するには サーバー の init.conf ファイルを 修 正 して プラグインをロード 初 期 化 有 効 化 する 必 要 がある 詳 細 については 139 ページの init.conf による htaccess の 有 効 化 を 参 照 dbswitch.conf ファイル 注 この 項 は HTTP サーバーのコンテンツだけに 適 用 されます dbswitch.conf ファイルは Sun ONE Application Server が 使 用 する LDAP ディレ クトリを 指 定 します これは サーバーの 起 動 時 にだけ 読 み 込 まれます ユーザー 認 証 データベースを dbswitch.conf ファイルにグローバルに 定 義 できます 詳 細 については 133 ページの 仮 想 サーバーからデータベースへのアクセス を 参 照 server.xml ファイル server.xml ファイルは Sun ONE Application Server の 中 心 的 な 設 定 ファイルです セキュリティ 関 連 タスクには 次 のものがあります HTTP リスナー (SSL 符 号 化 方 式 証 明 書 などを 含 む ) 仮 想 サーバー アクセス 制 御 リストなどの 設 定 を 処 理 する また これらのエンティティ 間 の 関 係 を 処 理 する セキュリティドメインのリスト およびプロバイダクラスとレルムに 固 有 なプロ パティの 設 定 データを 含 む セキュリティドメイン ( レルム ) については Sun ONE Application Server 開 発 者 ガイド を 参 照 server.xml ファイルの ssl 要 素 には 仮 想 サーバーの SSL プロパティがサー バーごとに 記 録 されている 詳 細 については 71 ページの グローバルなセキュ リティ 設 定 を 参 照 server.xml を 手 動 で 編 集 することで 外 部 サーバー 証 明 書 により Sun ONE Application Server を 起 動 できる 詳 細 については 75 ページの 外 部 の 証 明 書 を 使 ったサーバーの 起 動 を 参 照 server.xml ファイルの 詳 細 については Sun ONE Application Server 管 理 者 用 設 定 ファイルリファレンス を 参 照 してください 26 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

サーバーのセキュリティに 関 連 するファイル obj.conf ファイル 注 この 項 は HTTP サーバーのコンテンツだけに 適 用 されます obj.conf ファイルには クライアントからの 要 求 を Sun ONE Application Server が 処 理 する 方 法 を 指 示 するための 指 令 が 指 定 されています セキュリティ 関 連 タスクに は 次 のものがあります HTTP サーバー 認 証 では obj.conf ファイルに 指 定 した 方 式 が 使 われる 方 式 が obj.conf ファイルに 指 定 されていない 場 合 は 基 本 認 証 となる 詳 細 は 84 ページの HTTP サーバーのユーザー - グループ 認 証 を 参 照 ACL を 指 定 する または 独 立 した ACL ファイルを 作 成 すると それを obj.conf ファイルで 参 照 することができる 方 法 については 117 ページの obj.conf ファイル 内 の ACL ファイルの 参 照 を 参 照 NSAPI 要 求 処 理 のパス 設 定 を 処 理 する ( 各 仮 想 サーバーに 専 用 の obj.conf ファ イルを 持 たせることができる ) 詳 細 については Sun ONE Application Server Developer s Guide to NASPI を 参 照 password.conf ファイル SSL が 設 定 された 場 合 SSL/TTS が 有 効 な Sun ONE Application Server を 自 動 で 再 起 動 できるように 信 頼 データベースのパスワードを password.conf ファイルに 記 録 できます 注 システムを 充 分 にセキュリティ 保 護 して このファイルとキーデータベー スが 危 険 にさらされないようにする 必 要 があります このような 保 護 につ いては 32 ページの 物 理 アクセスの 制 限 で 説 明 します password.conf ファイルの 詳 細 については 40 ページの password.conf ファイル の 使 用 および Sun ONE Application Server 管 理 者 用 設 定 ファイルリファレンス を 参 照 してください 第 1 章 Sun ONE Application Server のセキュリティについて 27

サーバーのセキュリティに 関 連 するファイル certmap.conf ファイル 注 この 項 は HTTP サーバーのコンテンツだけに 適 用 されます certmap.conf ファイルは 名 前 で 指 定 された 証 明 書 を issuredn で 指 定 された LDAP エントリにどのようにマッピングするかを 指 定 します certmap.conf ファイ ルには 次 のような 情 報 が 記 録 されます サーバーが LDAP ツリーのどこから 検 索 を 開 始 するか LDAP ディレクトリからエントリを 検 索 する 場 合 Sun ONE Application Server が 検 索 条 件 として 使 用 する 証 明 書 属 性 サーバーがほかの 検 証 プロセスに 進 むかどうか 詳 細 については 108 ページの certmap.conf ファイルの 操 作 を 参 照 してください ACL ファイル ACL ( アクセス 制 御 リスト ) は Sun ONE Application Server に 格 納 されているリ ソースにアクセスできるユーザーの ID リストを 記 録 したテキストファイルです 注 このマニュアルで 説 明 するアクセス 制 御 の 方 式 は J2EE アプリケーション の 開 発 では 利 用 できません これらの 方 式 特 に ACL によって アプリ ケーションの 動 作 が 不 安 定 になったり J2EE モデルとの 整 合 性 を 保 てなく なったりすることがあります アプリケーションを 開 発 するときは J2EE の 仕 様 書 と Sun ONE Application Server 開 発 者 ガイド に 記 載 されてい るセキュリティメカニズムを 使 用 してください デフォルトの 設 定 では Sun ONE Application Server はサーバーにアクセスするすべ てのリストをまとめた 1 つの ACL ファイルを 使 用 します 複 数 の ACL ファイルを 作 成 し obj.conf ファイルでそれを 参 照 することもできます ACL ファイルの 処 理 については 83 ページの HTTP サーバーアクセス 制 御 の 管 理 を 参 照 してください 詳 細 は Sun ONE Application Server Developer s Guide to NASPI を 参 照 してください 28 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

サーバーのセキュリティに 関 連 するファイル htaccess ファイル 注 この 項 は HTTP サーバーのコンテンツだけに 適 用 されます htaccess ファイルは 設 定 オプションのサブセットを 格 納 した 動 的 な 設 定 ファイル です Sun ONE Application Server の 標 準 のアクセス 制 御 と htaccess ファイルを 組 み 合 わせて 使 用 できます 標 準 のアクセス 制 御 は 常 に htaccess によるアクセス 制 御 の 前 に 適 用 されます htaccess ファイルの 処 理 については 136 ページの htaccess ファイルの 使 用 を 参 照 してください キーファイル キーファイルには file レルムのユーザーリストが 含 まれます (J2EE アプリケーショ ンだけに 適 用 ) すべてのサーバーインスタンスには 空 のデフォルトキーファイル があります ユーザーの 追 加 は 管 理 インタフェースまたはコマンド 行 インタフェー スから 行 います デフォルトでは file レルムは 常 にこのファイル (keyfile) を 使 うように 設 定 され ます このファイルの 名 前 と 保 存 されている 場 所 は server.xml ファイルで file レルムのプロパティを 編 集 することで 変 更 できます 詳 細 は Sun ONE Application Server 開 発 者 ガイド を 参 照 してください server.policy ファイル server.policy ファイルには インスタンスで 実 行 されるすべての Java コードに 適 用 される J2SE ポリシーの 設 定 が 記 録 されます 詳 細 は Sun ONE Application Server 開 発 者 ガイド を 参 照 してください 第 1 章 Sun ONE Application Server のセキュリティについて 29

サーバーのセキュリティに 関 連 するファイル 30 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

第 2 章 一 般 的 なセキュリティ 対 策 認 証 暗 号 化 ACL ファイルなどのセキュリティメカニズムや J2EE の 認 証 承 認 メカニズムを 利 用 するほかに 数 多 くの 手 順 を 手 動 で 実 行 して Sun ONE Application Server をより 安 全 にすることができます この 章 には 次 のトピックがあります 一 般 的 なセキュリティについて 物 理 アクセスの 制 限 ファイアウォールの 使 用 管 理 アクセスの 制 限 パスワードの 管 理 サーバーでの 別 アプリケーション 実 行 の 制 限 保 護 されていないサーバーのセキュリティ 一 般 的 なセキュリティについて ネットワークは さまざまな 方 法 でサーバーやサーバー 上 の 情 報 にアクセスを 試 みる 外 部 および 内 部 の 攻 撃 者 による 侵 入 の 危 険 にさらされています Sun ONE Application Server は サーバーとクライアントの 間 に 安 全 な 接 続 を 提 供 します し かし クライアント 側 に 移 った 情 報 のセキュリティを 制 御 したり サーバーマシン 自 体 や そのディレクトリとファイルに 対 するアクセスを 制 御 したりすることはできま せん この 限 界 を 意 識 することは 避 ける 必 要 のある 状 況 を 理 解 する 上 で 役 立 ちます たと えば SSL 接 続 でクレジットカードの 番 号 を 入 手 した 場 合 この 番 号 はサーバーマシ ン 上 の 安 全 なファイルに 記 録 されるのか SSL 接 続 が 終 了 した 後 で この 番 号 はどの ような 状 態 に 置 かれるのか 管 理 者 は SSL を 介 してクライアントが 送 信 した 情 報 の 安 全 に 責 任 があります 31

物 理 アクセスの 制 限 物 理 アクセスの 制 限 サーバーをアクセスから 物 理 的 に 保 護 する 簡 単 なセキュリティ 対 策 は 見 過 ごされが ちです サーバーマシンは 適 切 な 権 限 のある 者 だけに 入 室 が 許 される キーのか かった 部 屋 に 設 置 します これにより サーバーマシン 自 体 への 侵 入 を 防 ぐことがで きます ルートパスワード - マシンの 管 理 ( ルート ) パスワードを 保 護 することは 重 要 であ る その 他 すべてのパスワードと 同 様 に 特 にルートパスワードの 場 合 は 推 測 の 難 しいパスワードを 選 ぶ 必 要 がある アプリケーションサーバーの 設 定 - Sun ONE Application Server の 一 部 の 設 定 ファイル (server.xml 各 種 の J2EE アプリケーション 記 述 子 XML ファイル password.conf など ) には 実 行 時 にアプリケーションサーバーからの 認 証 を 必 要 とする 多 数 の 外 部 リソースのパスワード (JDBC データベースや SSL データベー スのパスワードなど ) が 通 常 のテキストとして 記 録 されている これらの 設 定 ファイルを すべて 慎 重 に 保 護 する 必 要 がある デフォルトでは /application ディレクトリと /config ディレクトリのすべて の 設 定 ファイルは インスタンスの 所 有 者 だけが 読 み 込 める パスワードデータを 保 護 するには これらデフォルトのアクセス 制 限 による 上 記 ディレクトリの 保 護 が 重 要 となる バックアップテープ - サーバー 上 のデータを 保 護 する 場 合 と 同 様 に バックアッ プテープも 慎 重 に 保 護 する 必 要 がある 注 一 部 の 設 定 ファイルには パスワードが 通 常 のテキストとして 記 録 される ため Sun ONE Application Server ファイルシステムのバックアップをと ると これらのパスワードもバックアップに 残 されます バックアップ 媒 体 にアクセスできる 者 がこのパスワードを 入 手 し 悪 用 する 可 能 性 があり ます ポート - マシンで 使 用 していないポートは 無 効 にする ルーターまたはファイア ウォールの 設 定 を 利 用 して 最 低 限 必 要 なポート 以 外 への 侵 入 接 続 を 防 止 する つまり シェルを 取 得 するには すでに 制 限 された 環 境 に 配 置 されているサー バーマシンを 物 理 的 に 使 用 せざるをえなくする オペレーティングシステムのセキュリティ 強 化 - インターネット 経 由 でアクセス が 可 能 な 本 稼 働 環 境 のシステムでは これを 要 件 として 考 慮 する 必 要 がある オペレーティングシステムのセキュリティ 強 化 は プラットフォームごとに 異 なる ため このマニュアルでは 詳 細 を 説 明 できない プラットフォームベンダーへの 確 認 が 必 要 となる たとえば Solaris の JASS Toolkit は 次 のサイトで 確 認 できる http://wwws.sun.com/software/security/jass/ 32 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

ファイアウォールの 使 用 Sun ONE Application Server は サーバーマシン 自 体 に 物 理 的 にアクセスできる 者 が サーバーチャンネルを 悪 用 しないことを 前 提 としています サーバーマシンへのアク セスを 適 切 な 権 限 を 持 ち 悪 意 のないユーザーに 限 定 するために 可 能 な 限 りの 対 策 をとることが 重 要 です ファイアウォールの 使 用 この 節 では ファイアウォールの 一 般 的 な 設 定 と 正 しく 機 能 させるためのパラメー タ 設 定 について 説 明 します これは Sun ONE Application Server に 関 連 する 一 般 的 な 情 報 です 詳 細 については ファイアウォールベンダーのマニュアルを 参 照 してく ださい この 節 では 次 のトピックについて 説 明 します シングルファイアウォール ダブルファイアウォール - DMZ 設 定 トリプルファイアウォール - DMZ とデータベース 保 護 シングルファイアウォール 最 も 単 純 で 最 も 一 般 的 なファイアウォールの 設 定 では Sun ONE Application Server とインターネットブラウザの 間 に 1 つのファイアウォールを 設 置 します Web コンテナへのアクセスに 合 わせて HTTP ポート ( デフォルトは 80) または HTTPS ポート ( デフォルトは 443) あるいはその 両 方 に HTTP 接 続 できるようにファイア ウォールを 設 定 する 必 要 があります 注 インターネットから Enterprise JavaBean に 直 接 RMI/IIOP アクセスができ るようにするには IIOP/RMI リスナーポート ( デフォルトは 3700) も 開 く 必 要 があります ただし セキュリティリスクの 可 能 性 があるため この ような 設 定 を 行 わないことを 強 くお 勧 めします シングルファイアウォールの 利 点 は その 単 純 さにあります 最 大 の 欠 点 は 防 衛 ラ インが 1 つに 限 定 されることです ファイアウォールを 通 過 して 侵 入 された 場 合 プ ライベートネットワークに 接 続 している 個 々のマシンのセキュリティだけが 防 御 の 頼 りとなります 次 の 表 は ファイアウォールが 適 切 に 機 能 するように 設 定 が 必 要 なプロトコルとポー トを 示 しています 左 の 列 は 使 用 するプロトコル 中 央 の 列 はポート 右 の 列 は 通 信 の 種 類 をそれぞれ 示 しています 第 2 章 一 般 的 なセキュリティ 対 策 33

ファイアウォールの 使 用 ダブルファイアウォール 構 成 のプロトコルとポート プロトコル ファイアウォール ポート 通 信 の 種 類 TCP/IP 外 部 80 ( デフォルト ) HTTP 要 求 TCP/IP 外 部 443 HTTPS 要 求 これらのポートについては Sun ONE Application Server 管 理 者 ガイド および 管 理 インタフェース のオンラインヘルプを 参 照 してください ダブルファイアウォール - DMZ 設 定 DMZ ( 非 武 装 ゾーン ) 設 定 とも 呼 ばれる 2 つのファイアウォールによる 設 定 は プラ イベートネットワークへのアクセスをパートナー 企 業 や 顧 客 に 限 定 する 方 法 として 多 くの 企 業 で 一 般 的 に 使 用 され 始 めています 2 段 階 による 保 護 および 各 ファイア ウォールと DMZ 内 でのアクティビティのアクティブな 監 視 によって 内 部 ネット ワークに 侵 入 しようとしてもほとんどが 検 知 されます そのため シングルファイア ウォールによる 設 定 よりも 高 いセキュリティが 保 証 されます ダブルファイアウォールでは 次 の 要 素 の 設 定 を 行 います インターネットブラウザと DMZ 内 のルーティング Web サーバーまたはルーティ ングアプリケーションサーバーとの 間 に 設 置 される 外 部 ファイアウォール DMZ 内 のルーティングサーバーと 保 護 された Sun ONE Application Server の 間 に 設 置 される 内 部 ファイアウォール 第 2 のファイアウォールの 奥 の Sun ONE Application Server に 要 求 を 送 信 するプ ロキシプラグイン ダブルファイアウォールの 設 定 では 外 部 ファイアウォールは HTTP と HTTPS のト ランザクションを 通 過 させるように 設 定 する 必 要 があります 内 部 ファイアウォール は HTTP サーバープラグインと ファイアウォールの 奥 の Sun ONE Application Server との 通 信 が 可 能 になるように 設 定 する 必 要 があります 次 の 表 は ファイアウォールが 適 切 に 機 能 するように 設 定 する 必 要 のあるプロトコル とポートを 示 しています 左 の 列 は 使 用 するプロトコル 次 の 列 はプロトコルとポー トに 適 用 されるファイアウォール 3 番 目 の 列 はポート 右 の 列 は 通 信 の 種 類 をそれ ぞれ 示 しています 34 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

ファイアウォールの 使 用 シングルファイアウォール 構 成 のプロトコルとポート プロトコル ファイアウォール デフォルトポート 通 信 の 種 類 TCP/IP 外 部 80 ルーティングサーバーへの HTTP 要 求 TCP/IP 外 部 443 ルーティングサーバーへの HTTPS 要 求 TCP/IP 内 部 80 Sun ONE Application Server への HTTP 要 求 TCP/IP 内 部 443 Sun ONE Application Server への HTTPS 要 求 これらのポートについては Sun ONE Application Server 管 理 者 ガイド および 管 理 インタフェースのオンラインヘルプを 参 照 してください トリプルファイアウォール - DMZ とデータベー ス 保 護 一 部 の 企 業 向 けの 設 定 では ネットワーク 上 にデータベースが 存 在 し それをファイ アウォールで 保 護 しています 3 つのファイアウォールを 設 定 すると 企 業 データ ベースに 保 存 されたデータという 最 も 重 要 な 企 業 資 産 のセキュリティを 最 大 限 に 確 保 することができます LAN とデータベースの 間 にファイアウォールを 設 置 すること で 内 部 だけでなく 外 部 からの 侵 入 も 防 ぐことができます データベースへの 接 続 は ODBC (Open DataBase Connectivity) JDBC (Java DataBase Connectivity) などの 標 準 のアクセスメカニズムと データベースベンダー から 提 供 されるコネクタライブラリを 使 って 行 います データベースへの 接 続 は そ の 他 のアプリケーションへの 接 続 と 異 なる 点 はありません このため データベース 保 護 層 のファイアウォールは 使 用 する 特 定 のデータベースへのアクセスに 必 要 な 標 準 設 定 に 合 わせます 第 2 章 一 般 的 なセキュリティ 対 策 35

管 理 アクセスの 制 限 管 理 アクセスの 制 限 リモート 設 定 を 使 用 する 場 合 は アクセス 制 御 を 設 定 し 管 理 アクセスを 少 数 のユー ザーおよびコンピュータに 限 定 する 必 要 があります マスター 管 理 サーバーの 暗 号 化 は 常 にオンにしておく 必 要 があります 管 理 に SSL 接 続 を 使 わない 場 合 は 安 全 ではないネットワークを 通 じてリモートサーバーの 管 理 作 業 を 実 行 するときに 特 別 な 注 意 を 払 う 必 要 があります 管 理 パスワードが 盗 まれ サーバーが 再 設 定 される 可 能 性 があります 管 理 サーバーを 使 って LDAP サーバーまたはローカルディレクトリの 情 報 にエンド ユーザーがアクセスできるようにする 場 合 は 2 つの 管 理 サーバーの 利 用 とクラスタ の 管 理 を 検 討 してください SSL が 有 効 な 管 理 サーバーはマスターサーバーとして 機 能 し もう 一 方 の 管 理 サーバーはエンドユーザーがアクセスするために 利 用 できます 詳 細 については 64 ページの LDAP との SSL 通 信 の 有 効 化 を 参 照 してください クラスタ 管 理 の 導 入 方 法 については クラスタリングに 関 する Sun のマニュアルを 参 照 してください パスワードの 管 理 管 理 パスワード 秘 密 鍵 パスワード データベースパスワードなど サーバーには 多 くのパスワードがあります コンピュータ 上 のすべてのサーバーの 設 定 に 利 用 可 能 な 管 理 パスワードは その 中 でも 最 も 重 要 なパスワードです 次 に 重 要 なパスワードは 秘 密 鍵 のパスワードです 秘 密 鍵 と 秘 密 鍵 のパスワードが 他 者 に 知 られると 使 用 し ているサーバーに 似 せた 偽 のサーバーを 作 成 したり サーバーを 出 入 りする 通 信 内 容 を 傍 受 または 変 更 したりすることが 可 能 になります 良 いパスワードは 自 分 が 思 い 出 せて 他 者 が 想 像 できないパスワードです たとえ ば 自 分 の 子 供 が 誕 生 後 12 か 月 であれば My Child is 12 months old! から MCi12!mo を 思 い 出 すことができます 悪 いパスワードは 子 供 の 名 前 や 誕 生 日 を 使 っ たパスワードです 次 の 項 では パスワードについて 次 の 追 加 情 報 を 提 供 します 解 読 されにくいパスワードの 作 成 スーパーユーザーのパスワードの 管 理 パスワードまたは PIN の 変 更 password.conf ファイルの 使 用 36 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

パスワードの 管 理 解 読 されにくいパスワードの 作 成 解 読 されにくいパスワードを 作 成 するための 簡 単 なガイドラインを 次 に 示 します このガイドラインのすべてに 従 う 必 要 はありませんが 多 くの 項 目 を 満 たした 方 がパ スワードは 解 読 されにくくなります パスワードは 6 ~ 14 文 字 とする ( システムの 文 字 長 制 限 に 注 意 する ) * " 空 白 文 字 などの 使 用 不 可 能 文 字 を 使 わない 言 語 の 種 類 にかかわらず 意 味 のある 言 葉 を 使 わない E と 3 L と 1 のように 代 用 が 一 般 的 な 文 字 で 置 き 換 えない できるだけ 多 くの 種 類 の 文 字 を 混 在 させる 大 文 字 小 文 字 数 字 記 号 スーパーユーザーのパスワードの 管 理 管 理 サーバーにスーパーユーザー 権 限 を 設 定 できます この 場 合 スーパーユーサー とは サーバーにアクセスして 設 定 の 一 部 または 全 部 を 変 更 できるユーザーを 意 味 し ます ( システムのスーパーユーザーやルートとは 異 なります ) この 設 定 は スーパー ユーザーのアカウントだけに 影 響 します つまり 管 理 サーバーが 分 散 管 理 を 採 用 し ている 場 合 は 有 効 化 する 管 理 ユーザー 用 に 追 加 のアクセス 制 御 を 設 定 する 必 要 があ ります スーパーユーザーの 名 前 とパスワードは intsall_dir/domains/domain_dir/admin-server/config/admpw というファイルに 記 録 されます ユーザー 名 を 忘 れたときは このファイルを 表 示 して 実 際 の 名 前 を 確 認 で きますが パスワードは 暗 号 化 されているので 読 めません このファイルの 書 式 は username:password です パスワードを 忘 れたときは admpw ファイルを 開 き 暗 号 化 されたパスワードを 削 除 します 第 2 章 一 般 的 なセキュリティ 対 策 37

パスワードの 管 理 警 告 admpw ファイルは 編 集 可 能 なので サーバーマシンを 安 全 な 場 所 に 設 置 し ファイルシステムへのアクセスを 制 限 することが 重 要 です UNIX/Linux システムでは ルートまたは 管 理 サーバーデーモンを 実 行 するシステムユーザーだけが 書 き 込 みを 許 可 されるように ファイルの 所 有 権 を 変 更 できます デフォルトでは ディレクトリや 他 の 機 密 ファ イルを 保 護 するインスタンスの 所 有 者 だけが /config ディレクトリの 内 容 を 読 み 込 めます このアクセス 権 が 変 更 されないように 注 意 してく ださい Windows システムでは ファイルの 所 有 権 を 管 理 サーバーが 使 用 する ユーザーアカウントに 制 限 してください 管 理 サーバーのスーパーユーザー 権 限 を 設 定 するには 管 理 インタフェースから 次 の 手 順 を 実 行 します 1. 管 理 サーバー にアクセスし セキュリティ を 選 択 します 次 の 画 面 が 表 示 されます スーパーユーザーアクセス 制 御 ページ 38 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

パスワードの 管 理 2. アクセス 制 御 を 選 択 します スーパーユーザーアクセス 制 御 ページが 表 示 されます 3. 管 理 サーバーへのスーパーユーザーとしてのアクセスが 許 可 されるホストの 名 前 を 入 力 します 4. 管 理 サーバーへのスーパーユーザーとしてのアクセスが 許 可 されるホストの IP ア ドレスを 入 力 します 5. 認 証 ユーザー 名 を 入 力 します 6. 認 証 パスワードを 入 力 します パスワードの 変 更 時 に 注 意 すべきガイドラインについては 37 ページの 解 読 さ れにくいパスワードの 作 成 を 参 照 してください 7. 認 証 パスワードをもう 一 度 入 力 します 8. 了 解 をクリックします 9. 左 ペインで アプリケーションサーバーインスタンス を 選 択 して 自 分 のサーバー インスタンスにアクセスし 変 更 の 適 用 をクリックします 10. サーバーを 停 止 し 再 起 動 して 変 更 を 適 用 します パスワードまたは PIN の 変 更 信 頼 データベースおよびキーペアファイルのパスワードまたは PIN を 定 期 的 に 変 更 す ることをお 勧 めします SSL が 有 効 な 管 理 サーバーでは サーバーの 起 動 時 にこのパ スワードが 必 要 です このパスワードの 変 更 は ローカルマシンで 行 う 必 要 がありま す 詳 細 については 46 ページの 信 頼 データベースのパスワードの 変 更 を 参 照 し てください キーペアファイルは 確 実 に 保 護 されている 必 要 があります 管 理 サーバーは キー ペアファイルをインスタンスの /config ディレクトリに 保 存 します デフォルトで は インスタンスの 所 有 者 だけが /config ディレクトリ 内 のファイルを 読 み 込 むこと ができます このアクセス 権 を 監 視 し バックアップスクリプトなどのイベントに よってこのファイルへのアクセス 権 が 後 から 変 更 されないように 注 意 する 必 要 があり ます また ファイルがバックアップテープに 残 されていたり 他 者 がアクセスできるその 他 の 場 所 に 保 存 されていないかどうかを 確 認 することも 重 要 です このような 場 合 は サーバー 上 のデータの 保 護 と 同 様 に バックアップテープを 慎 重 に 保 護 する 必 要 があ ります 第 2 章 一 般 的 なセキュリティ 対 策 39

パスワードの 管 理 password.conf ファイルの 使 用 デフォルトでは Sun ONE Application Server の 起 動 時 に SSL キーデータベースのパ スワードが 要 求 されます Sun ONE Application Server を 自 動 で 再 起 動 させるには このパスワードを password.conf ファイルに 記 録 しておく 必 要 があります 注 password.conf ファイルは システムが 適 切 に 保 護 され このファイル とキーデータベースが 危 険 にさらされていない 場 合 にだけ 使 用 してくださ い UNIX 環 境 - 起 動 前 にサーバーがパスワードを 要 求 するため 通 常 は /etc/rc.local ファイルや /etc/inittab ファイルを 使 って SSL が 有 効 なサー バーを 起 動 することはできません パスワードをプレーンテキストでファイルに 保 存 すれば SSL が 有 効 なサーバーを 自 動 的 に 起 動 できますが この 方 法 はお 勧 めできません サーバーの password.conf ファイルの 所 有 権 は ルートまたは サーバーをインストールしたユーザーにあり 所 有 者 だけが 読 み 込 み 権 および 書 き 込 み 権 を 持 つようにする 必 要 があります 注 SSL が 有 効 なサーバーのパスワードを password.conf ファイルに 残 すこ とは セキュリティ 上 大 きなリスクとなります ファイルにアクセスでき るユーザーなら 誰 でも SSL が 有 効 なサーバーのパスワードにアクセスで きます SSL が 有 効 なサーバーのパスワードを password.conf ファイル に 保 存 する 前 に セキュリティ 上 の 危 険 性 を 考 慮 しておく 必 要 がありま す Windows 環 境 - ファイルシステムが NTFS (New Technology File System) であれ ば password.conf ファイルを 使 用 しない 場 合 でも このファイルが 含 まれる ディレクトリへのアクセスを 制 限 して 保 護 する 必 要 があります このディレクト リの 読 み 込 み 権 および 書 き 込 み 権 は 管 理 サーバーのユーザーと Sun ONE Application Server のユーザーだけに 設 定 する 必 要 があります ディレクトリを 保 護 することで 他 者 が 偽 の password.conf ファイルを 作 成 することを 防 止 でき ます 注 Windows 環 境 の FAT (File Allocation Table) ファイルシステムでは アク セスを 制 限 してディレクトリやファイルを 保 護 することはできません セキュリティ 上 の 危 険 性 が 問 題 にならない 場 合 は 次 の 手 順 に 従 って SSL が 有 効 な サーバーを 自 動 的 に 起 動 します 1. SSL が 有 効 なことを 確 認 します 40 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

サーバーでの 別 アプリケーション 実 行 の 制 限 2. サーバーインスタンスの config サブディレクトリに password.conf ファイル を 新 規 作 成 します サーバーに 付 属 している 内 部 PKCS11 ソフトウェア 暗 号 化 モジュールを 使 用 している 場 合 には 次 の 情 報 を 入 力 します internal:your_password ハードウェア 暗 号 化 用 またはハードウェアアクセラレータ 用 の 別 の PKCS11 モジュールを 使 っている 場 合 は PKCS11 モジュールの 名 前 に 続 けてパスワードを 指 定 します たとえば 次 のように 入 力 します nfast:your_password 3. サーバーを 停 止 後 再 起 動 して 新 しい 設 定 を 適 用 します サーバーでの 別 アプリケーション 実 行 の 制 限 サーバー 上 で 実 行 している 他 のプログラムの 弱 点 を 利 用 して Sun ONE Application Server のセキュリティをかいくぐることができます これを 避 けるには サーバー 上 で 実 行 している 不 要 なプログラムやサービスを 無 効 にします UNIX 環 境 - inittab スクリプトと rc スクリプトによって 起 動 されるプロセスを 慎 重 に 選 択 する サーバーマシンから telnet または rlogin を 実 行 しない サーバーマシン 上 に rdist を 置 かない rdist の 目 的 はファイルの 配 布 であるため 侵 入 者 がこれを 使 ってサーバーマシン 上 のファイルを 不 当 に 更 新 する 可 能 性 がある Windows 環 境 - どのドライブおよびディレクトリを 他 のマシンと 共 有 するかを 慎 重 に 選 択 する また アカウントやゲスト 権 限 を 持 つユーザーも 慎 重 に 選 択 する 必 要 がある 管 理 者 自 身 または 他 のユーザーがサーバーにインストールするプログラムにも 注 意 が 必 要 です 認 識 しているかどうかに 関 わらず 他 のユーザーがインストールしたプロ グラムにセキュリティホールがあるかもしれません 最 悪 の 場 合 には セキュリティ を 無 効 にすることを 目 的 とした 悪 質 なプログラムを 何 者 かがインストールすることも 考 えられます プログラムをサーバーにインストールする 場 合 は 事 前 に 注 意 深 く 調 べる 必 要 があります 第 2 章 一 般 的 なセキュリティ 対 策 41

保 護 されていないサーバーのセキュリティ 保 護 されていないサーバーのセキュリティ 保 護 されているサーバーと 保 護 されていないサーバーの 両 方 を 維 持 する 場 合 は 別 の マシン 上 の 保 護 されていないサーバーを 保 護 されているサーバーから 操 作 する 必 要 が あります リソースに 限 りがあり 保 護 されているサーバーと 同 じマシンで 保 護 されていない サーバーを 実 行 する 必 要 がある 場 合 は 次 のように 対 応 します 別 のポート 番 号 - 保 護 されているサーバーと 保 護 されていないサーバーに 別 の ポート 番 号 を 割 り 当 てる 登 録 されているデフォルトのポート 番 号 は 次 のとおり 443: 保 護 されているサーバー 80: 保 護 されていないサーバー UNIX 環 境 - chroot ツールを 使 ってドキュメントルートディレクトリをリダイレ クトする UNIX の chroot コマンドを 使 うことで 第 2 のルートディレクトリを 作 成 し サーバーを 特 定 のディレクトリに 制 限 できる このコマンドの 使 用 に 関 するガイド ラインは マニュアルページを 参 照 管 理 インタフェースで 次 の 手 順 を 実 行 することで 特 定 の 仮 想 サーバーの chroot ディレクトリを 指 定 できます 1. アプリケーションサーバーインスタンス にアクセスし 左 のペインでサーバー インスタンスを 選 択 します 2. HTTP サーバー の 仮 想 サーバー を 選 択 します 3. chroot ディレクトリを 指 定 する 仮 想 サーバーを 選 択 します 一 般 タブのページが 表 示 されます 4. ディレクトリ 変 更 フィールドが 表 示 されるまでページをスクロールします 5. Chroot ディレクトリの 完 全 パスを 入 力 します 6. 保 存 をクリックします 7. 左 ペインで アプリケーションサーバーインスタンス を 選 択 して 自 分 のサーバー インスタンスにアクセスし 変 更 の 適 用 をクリックします 8. サーバーを 停 止 し 再 起 動 して 変 更 を 適 用 します 42 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

第 3 章 証 明 書 の 管 理 この 章 では Sun ONE Application Server 7 環 境 で 信 頼 データベース 証 明 書 およ び 証 明 書 に 関 するリストを 設 定 管 理 する 方 法 について 説 明 します この 節 には 次 のトピックがあります 証 明 書 と 認 証 について 信 頼 データベースの 実 装 証 明 書 の 実 装 内 蔵 のルート 証 明 書 モジュールの 使 用 証 明 書 の 管 理 CRL と CKL の 管 理 証 明 書 と 認 証 について 認 証 とは 同 一 性 (ID) を 確 認 するためのプロセスのことです ネットワークを 利 用 し た 対 話 の 中 で 一 方 のグループは 認 証 によって 他 方 のグループとの 同 一 性 を 識 別 し ます 証 明 書 は 認 証 をサポートする 方 法 の 1 つです 証 明 書 は 個 人 や 企 業 などのエンティティの 名 前 を 指 定 するデジタルデータで その エンティティが 所 属 する 証 明 書 に 含 まれる 公 開 鍵 を 証 明 します クライアントとサー バーの 両 方 が 証 明 書 を 持 つことができます 証 明 書 は 証 明 書 発 行 局 (CA) によって 発 行 され デジタル 署 名 されます CA は イ ンターネットを 通 じて 証 明 書 を 販 売 する 企 業 または 企 業 のイントラネットまたは エクストラネットの 証 明 書 発 行 を 担 当 する 部 門 です 他 者 の ID を 検 証 する 手 段 とし て どの CA が 信 頼 に 足 るかを 決 定 します 43

信 頼 データベースの 実 装 証 明 書 によって 識 別 されるエンティティの 名 前 と 公 開 鍵 のほかに 証 明 書 には 有 効 期 限 証 明 書 を 発 行 した CA の 名 前 発 行 元 CA のデジタル 署 名 が 記 録 されています 証 明 書 の 内 容 と 形 式 については 次 のサイトの Introduction to SSL を 参 照 してく ださい http://docs.sun.com/db/prod/3802#hic 基 本 的 なセキュリティの 設 定 手 順 は 次 のとおりです 1. 信 頼 データベースを 作 成 します 45 ページの 信 頼 データベースの 作 成 を 参 照 してください 2. 証 明 書 を 要 求 します 48 ページの 証 明 書 の 要 求 を 参 照 してください 3. 証 明 書 をインストールします 51 ページの 証 明 書 のインストール を 参 照 してください 4. 暗 号 化 を 有 効 にします 61 ページの SSL/TLS 暗 号 化 の 管 理 を 参 照 してください 証 明 書 に 関 するその 他 の 管 理 タスクについては 56 ページの 証 明 書 の 管 理 および 57 ページの CRL と CKL の 管 理 で 説 明 します 信 頼 データベースの 実 装 Sun ONE Application Server では 管 理 サーバーと 各 サーバーインスタンスは それ ぞれが 専 用 の 証 明 書 とキーペアファイルを 持 ちます これを 信 頼 データベースと 呼 ん でいます 注 サーバー 証 明 書 を 要 求 する 前 に 信 頼 されているエンティティを 識 別 する 信 頼 データベースを 作 成 する 必 要 があります 信 頼 データベースには 作 成 した 公 開 鍵 と 秘 密 鍵 を 保 存 します これをキーペアファ イルと 呼 びます キーペアファイルは SSL 暗 号 化 に 使 用 されます キーペアファイ ルは サーバー 証 明 を 要 求 およびインストールするときに 使 われます インストール した 証 明 書 は 信 頼 データベースに 格 納 されます キーペアファイルは 暗 号 化 され インスタンスの /config ディレクトリに 保 存 されます 44 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

信 頼 データベースの 実 装 管 理 サーバーは 1 つの 信 頼 データベースだけを 持 ち 各 サーバーインスタンスはそれ ぞれに 専 用 の 信 頼 データベースを 持 ちます 証 明 書 とキーペアデータベースファイル の 名 前 は それを 使 用 するサーバーインスタンスの 名 前 に 基 づいてつけられます 仮 想 サーバーの 信 頼 データベースには それぞれのサーバーインスタンスの 信 頼 データ ベースが 使 われます 管 理 者 は 信 頼 データベースとその 内 容 ( サーバー 証 明 書 とそこに 含 まれるすべての CA) を 管 理 します この 節 では 次 の 項 目 について 説 明 します 信 頼 データベースの 作 成 信 頼 データベースのパスワードの 変 更 信 頼 データベースの 作 成 信 頼 データベースを 作 成 する 場 合 は キーペアファイルで 使 われるパスワードを 指 定 します このパスワードは 暗 号 化 された 通 信 を 使 ってサーバーを 起 動 するときにも 使 われます ローカルマシンに 信 頼 データベースを 作 成 する 場 合 は 管 理 インタフェースで 次 の 手 順 を 実 行 します 1. アプリケーションサーバーインスタンス にアクセスし サーバーインスタンス を 選 択 します 2. セキュリティ にアクセスします 3. データベースの 管 理 をクリックします 4. データベースを 作 成 リンクをクリックします 信 頼 データベースの 初 期 化 ページが 表 示 されます 第 3 章 証 明 書 の 管 理 45

信 頼 データベースの 実 装 信 頼 データベースの 作 成 ページ 5. データベースのパスワードを 入 力 します 6. もう 一 度 パスワードを 入 力 します 7. 了 解 をクリックします 8. 左 ペインで アプリケーションサーバーインスタンス を 選 択 して 自 分 のサーバー インスタンスにアクセスし 変 更 の 適 用 をクリックします 9. サーバーを 停 止 し 再 起 動 して 変 更 を 適 用 します 信 頼 データベースのパスワードの 変 更 信 頼 データベースのパスワードを 変 更 するときは 管 理 インタフェースで 次 の 手 順 を 実 行 します 1. アプリケーションサーバーインスタンス にアクセスし サーバーインスタンス を 選 択 します 2. セキュリティ にアクセスします 46 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月

証 明 書 の 実 装 3. データベースの 管 理 をクリックします 4. パスワード 変 更 リンクをクリックします キーペアファイルのパスワード 変 更 ページが 表 示 されます 5. ドロップダウンリストから 暗 号 化 モジュールを 選 択 します 6. 古 いパスワードを 入 力 します 7. 新 しいパスワードを 入 力 します 8. 新 しいパスワードをもう 一 度 入 力 します 9. 了 解 をクリックします 10. 左 ペインで アプリケーションサーバーインスタンス を 選 択 して 自 分 のサーバー インスタンスにアクセスし 変 更 の 適 用 をクリックします 11. サーバーを 停 止 し 再 起 動 して 変 更 を 適 用 します 証 明 書 の 実 装 サーバーの 信 頼 データベースを 作 成 すると 証 明 書 を 要 求 し それを CA に 提 出 でき るようになります 企 業 に 独 自 の 社 内 CA がある 場 合 は そこに 証 明 書 を 要 求 します 社 外 の CA から 証 明 書 を 購 入 する 場 合 は CA を 選 択 し その CA 専 用 の 情 報 書 式 に ついて 確 認 します 管 理 サーバーのサーバー 証 明 書 は 1 つだけです 各 サーバーインスタンスに 専 用 の サーバー 証 明 書 を 持 たせることができます 仮 想 サーバーごとにサーバーインスタン スの 証 明 書 を 選 択 できます 次 の 各 項 では 証 明 書 の 実 装 について 説 明 します 必 要 な CA 情 報 証 明 書 の 要 求 証 明 書 のインストール 必 要 な CA 情 報 証 明 書 を 要 求 する 前 に 選 択 した CA が 必 要 とする 情 報 を 把 握 しておく 必 要 がありま す 社 外 の CA または 社 内 の CA にサーバー 証 明 書 を 要 求 する 場 合 は 次 のような 情 報 が 必 要 になります 第 3 章 証 明 書 の 管 理 47

証 明 書 の 実 装 共 通 名 - DNS ルックアップで 使 用 されるホストの 完 全 修 飾 名 ( たとえば www.sun.com) これは サイトへの 接 続 でブラウザが 使 用 する URL に 含 まれる ホスト 名 2 つの 名 前 が 一 致 しない 場 合 は クライアントは 証 明 書 の 名 前 とサイ ト 名 が 一 致 しないという 通 知 を 受 け 取 るため 証 明 書 の 信 用 度 が 疑 われる 可 能 性 がある 一 部 の CA は 別 の 情 報 を 必 要 とするため 各 CA に 確 認 する 必 要 がある 社 内 の CA に 証 明 書 を 要 求 する 場 合 は このフィールドにワイルドカードや 正 規 表 現 を 入 力 することもできる ただし ほとんどのベンダーは 共 通 名 にワイルドカー ドや 正 規 表 現 が 入 力 された 証 明 書 要 求 を 認 めていない 電 子 メールアドレス - 社 用 電 子 メールアドレス CA との 連 絡 に 使 われる 組 織 名 - 所 属 する 企 業 や 教 育 機 関 などの 公 式 名 称 ほとんどの CA は この 情 報 を 事 業 許 可 書 などの 公 的 文 書 で 検 証 する 部 署 名 - 社 内 の 部 署 を 識 別 するオプションフィールド Inc. や Corp. などを 省 略 した 略 式 の 企 業 名 の 指 定 にも 利 用 できる 場 所 - 企 業 が 立 地 する 都 市 地 域 または 国 を 示 すオプションフィールド 都 道 府 県 名 - 通 常 は 必 須 フィールドだが 一 部 の CA ではオプション ほとんど の CA は 略 号 を 受 け 付 けないため 確 認 が 必 要 国 - ISO 形 式 による 2 文 字 の 国 別 コードを 入 力 する 必 須 フィールド アメリカ 合 衆 国 の 国 別 コードは US すべての 情 報 は 一 連 の 属 性 値 のペアとして 組 み 合 わされます これを 識 別 名 (DN) と 呼 び 証 明 書 の 対 象 を 一 意 に 識 別 します 社 外 の CA から 証 明 書 を 購 入 する 場 合 は 証 明 書 の 発 行 を 受 ける 前 に その CA が 必 要 とする 追 加 情 報 について 確 認 する 必 要 があります ほとんどの CA では 申 請 者 の 身 分 証 明 を 必 要 とします たとえば CA は 企 業 名 とサーバーの 管 理 を 会 社 から 任 さ れた 担 当 者 の 名 前 を 検 証 します また 情 報 を 提 出 する 法 的 な 権 限 が 提 出 者 にあるか どうかを 証 明 することが 必 要 な 場 合 もあります 一 部 の 社 外 の CA は より 詳 細 な 識 別 情 報 を 提 出 した 企 業 または 個 人 に 対 し より 詳 細 で 信 憑 性 の 高 い 証 明 書 を 発 行 します たとえば 管 理 者 が www.your_company.com コンピュータの 正 規 管 理 者 であるだけでなく 会 社 の 事 業 年 数 が 3 年 で 顧 客 との 係 争 が 現 在 存 在 しないことを CA が 検 証 したことを 証 明 する 証 明 書 を 購 入 することができます 証 明 書 の 要 求 信 頼 データベースを 作 成 すると 証 明 書 を 要 求 できるようになります CA に 証 明 書 を 要 求 するときは 管 理 インタフェース で 次 の 手 順 を 実 行 します 48 Sun ONE Application Server セキュリティ 管 理 者 ガイド 2002 年 9 月