Windows環境での Oracleセキュリティ -Webでもクラサバでも一元管理 - 日本オラクル株式会社 マーケティング本部 システム製品マーケティンググループ 担当シニアマネジャー 坂本 英樹 Copyright © Oracle Corporation Japan, 2004. All rights reserved. Agenda y OracleのWindowsへの取り組み y Windows環境でのOracleセキュリティ – 1：クライアント/サーバー環境 Active Directory/Enterprise User Security 連携 y 1-1：Windowsのシステム固有の認証 y 1-2：Kerberos認証アダプタを利用した認証 y 1-3：Enterprise User Securityが実現する外部認証 – 2：Webアプリケーション環境 OracleAS- Single Sign On/Active Directory連携 y 2-1：Oracle Application Server 10g セキュリティ y 2-2：Oracle Identity ManagementによるSingle Sign On y 2-3：Oracle Internet Directory – Active Directory コネクタ Copyright © Oracle Corporation Japan, 2004. All rights reserved. 2 / 45 オラクル社のWindows版データベースの歴史 Oracle® Database 10g 64-bit Itanium® 2004/6 Oracle Database 10g (10.1.0) (32-bit) 2004/5 Oracle9i Release 2 (9.2.0) 64-bit Itanium 2003/5 Oracle9i Database Release 2(9.2.0) 2002/9 Oracle8i Enterprise Edition R8.1.7 2002/1 Oracle Fail Safe Oracle8 Enterprise Edition R8.0 Oracle Parallel Server Option Oracle7 Server R7.3 Oracle7 Server R7.2 Oracle7 Server R7.1 Oracle7 Server R7.0 業界初のWindows NT版DBMS NTスレッドに対応 パフォーマンスモニ タとの統合 Win2003 (32/64-bit) (2003/5) Win2000 (2000/2) 1998/1 1997/9 NT 4.0 EE (1997/11) 1997/7 1996/12 NT 4.0 (1996/12) 1996/1 NT 3.51 (1996/1) 1995/5 NT 3.5 1994/6 NT 3.1 (1994/12) (1993/末) Copyright © Oracle Corporation Japan, 2004. All rights reserved. 3 / 45 Microsoft .NET – Oracle統合 • Oracle Data Provider for .NET • .NETにネイティブに接続するDBのミドルウェア • Visual Studioとの統合 – HeｌｐはVSからF1キーを押すだ け、Server Explorer統合、Intellisenseによる補完など • 豊富なXMLサポートで強力な.NET アプリケーションを 実現 • Web Services • WS-Iによる相互運用性を提供 • 複合的なアプリケーション開発 • Web Services 、 WSDLを使うことで .NET アプリケーションをJ2EE Webサー ビスと統合が可能 Copyright © Oracle Corporation Japan, 2004. All rights reserved. 4 / 45 Agenda y OracleのWindowsへの取り組み y Windows環境でのOracleセキュリティ – – 1：クライアント/サーバー環境 Active Directory/Enterprise User Security 連携 y 1-1：Windowsのシステム固有の認証 y 1-2：Kerberos認証アダプタを利用した認証 y 1-3：Enterprise User Securityが実現する外部認証 2：Webアプリケーション環境 OracleAS- Single Sign On/Active Directory連携 y 2-1：Oracle Application Server 10g セキュリティ y 2-2：Oracle Identity ManagementによるSingle Sign On y 2-3：Oracle Internet Directory – Active Directory コネクタ Copyright © Oracle Corporation Japan, 2004. All rights reserved. 5 / 45 Client/Server環境でのWindowsと Oracleデータベースの統合 SCOTT •Windowsにログインすれば、Oracleへの接続も可 •パスワード情報は、AD側のみで管理 Active Directory (Windowsドメイン） Windowドメインに ログオン ドメイン名：EXAMPLE sqlplus /@orcl EXAMPLE¥SCOTT クライアント Oracle RDBMSに ログイン データベース Windowsにログインすれば、Oracleへの接続時は、ユーザーID/パスワードは不要 Copyright © Oracle Corporation Japan, 2004. All rights reserved. 6 / 45 Windows – Oracle統合:Webでの Directory/Security統合概要 Single Sign-On Windows 環境 Oracle E-Business Suite Release 11i 双方向同期 Microsoft AD(Active Directory) & KDC(Key Distribution Center) Oracle Portal User sign-on 認証 、パスワード のアップデート Oracle Internet Directory 管理コンソール Copyright © Oracle Corporation Japan, 2004. All rights reserved. 7 / 45 OracleのID管理基盤を導入するメリット y 企業で必要となる3つの認証を一元化 – ネットワークへのWindows認証、C/Sアプリへの認 証、Webアプリの認証を一元化 y 統合することで..... – – – ユーザーは多くのIDとパスワードを覚えきれない 悪夢を避けられる 結果として管理が充分行き届くことでセキュリテ ィが向上 管理者は、パスワードのルール（例：英数字と記 号で10文字以上、1ヶ月ごとに変更）の徹底が可能 Copyright © Oracle Corporation Japan, 2004. All rights reserved. 8 / 45 Agenda y OracleのWindowsへの取り組み y Windows環境でのOracleセキュリティ – – 1：クライアント/サーバー環境 Active Directory/Enterprise User Security 連携 y 1-1：Windowsのシステム固有の認証 y 1-2：Kerberos認証アダプタを利用した認証 y 1-3：Enterprise User Securityが実現する外部認証 2：Webアプリケーション環境 OracleAS- Single Sign On/Active Directory連携 y 2-1：Oracle Application Server 10g セキュリティ y 2-2：Oracle Identity ManagementによるSingle Sign On y 2-3：Oracle Internet Directory – Active Directory コネクタ Copyright © Oracle Corporation Japan, 2004. All rights reserved. 9 / 45 通常の認証方法(データベース認証） SCOTT •Windowsにログオンしたあと、再度Oracleにログ インする手間が掛かる •パスワードの二重管理によるセキュリティの問題 •Windows認証との関連は無し Active Directory (Windowsドメイン） Windowドメインに ログオン ドメイン名：EXAMPLE sqlplus scott/tiger@orcl SCOTT Oracle RDBMSに ログイン クライアント データベース Windowsの認証とOracleの認証を統合できたら良いのに…。 Copyright © Oracle Corporation Japan, 2004. All rights reserved. 10 / 45 Windowsのシステム認証の実際 SCOTT •Windowsにログインすれば、Oracleへの接続も可 •パスワード情報は、AD側のみで管理 Active Directory (Windowsドメイン） Windowドメインに ログオン ドメイン名：EXAMPLE sqlplus /@orcl EXAMPLE¥SCOTT クライアント Oracle RDBMSに ログイン データベース Windowsにログインすれば、Oracleへの接続時は、ユーザーID/パスワードは不要 Copyright © Oracle Corporation Japan, 2004. All rights reserved. 11 / 45 設定方法 データベース・サーバー側 1. 初期化パラメータの設定 • REMOTE_OS_AUTHENT=FALSE（デフォルト値） • OS_AUTHENT_PREFIX=“OPS$”（デフォルト値） 2. SQLNET.ORAの設定 • SQLNET.AUTHENTICATION_SERVICES = (NTS) 3. 外部ユーザーの作成 • CREATE USER ….. EXTERNALLY 4. データベース・ロールの付与 • GRANT CONNECT TO <外部ユーザー> クライアント側 1. SQLNET.ORAの設定 • SQLNET.AUTHENTICATION_SERVICES = (NTS) Copyright © Oracle Corporation Japan, 2004. All rights reserved. 12 / 45 外部ユーザーの作成 SQL> CREATE USER “OPS$EXAMPLE¥KAINOUE” IDENTIFIED EXTERNALLY; SQL> GRANT CONNECT TO “OPS$EXAMPLE¥KAINOUE”; OPS$EXAMPLE¥KAINOUE 初期化パラメータ： OS_AUTHENT_PREFIXの値 ドメイン名 Copyright © Oracle Corporation Japan, 2004. All rights reserved. ユーザーログオン名 13 / 45 Administration Assistant for Windows Copyright © Oracle Corporation Japan, 2004. All rights reserved. 14 / 45 NTLM認証の場合のセキュリティ侵害 の危険 Windowsのログイン資格証明を利用してADと認証を統合できるのは、データベー スがWindowsで稼動している場合のみ REMOTE_OS_AUTHENT=TRUE マシン名：FOO EXAMPLE¥JAMES Admin権限があり、 Databaseに“Smith”という ユーザー名があることを 知っている なりすまし SMITH FOO¥SMITH Windows以外のプラットホーム SQL> SELECT * FROM V$SESSION_CONNECT_INFO; SID --151 151 151 AUTHENTI -------OS OS OS OSUSER --------------smith smith smith NETWORK_SERVICE_BANNER ------------------------------------Windows NT TCP/IP NT Protocol Adapter… Oracle Advanced Security: encryption service… Oracle Advanced Security: crypto-checksumming… Copyright © Oracle Corporation Japan, 2004. All rights reserved. 15 / 45 Agenda y OracleのWindowsへの取り組み y Windows環境でのOracleセキュリティ – – 1：クライアント/サーバー環境 Active Directory/Enterprise User Security 連携 y 1-1：Windowsのシステム固有の認証 y 1-2：Kerberos認証アダプタを利用した認証 y 1-3：Enterprise User Securityが実現する外部認証 2：Webアプリケーション環境 OracleAS- Single Sign On/Active Directory連携 y 2-1：Oracle Application Server 10g セキュリティ y 2-2：Oracle Identity ManagementによるSingle Sign On y 2-3：Oracle Internet Directory – Active Directory コネクタ Copyright © Oracle Corporation Japan, 2004. All rights reserved. 16 / 45 Kerberos（ケルベロス）認証とは? y WindowsにとってのKerberos認証 – – Windows 2000および2003ネットワークのデフォルト認証プロ トコル Windows 2000、XPクライアントの環境では、Kerberosサービ スの相互運用が可能 y 仕組み – 「信頼のおける第3者機関による証明」と「秘密鍵暗号を用 いた暗号化」を利用 y 実世界に例えると... – KDC（鍵発行局：役所のようなもの）が発行したTGT（印鑑 証明書+IDカードのようなもの）とST（捺印のようなもの） を使った認証 Copyright © Oracle Corporation Japan, 2004. All rights reserved. 17 / 45 Kerberos認証を印鑑証明に例えると 市役所・区役所などの第3 社機関（KDC） TGT 2.IDカードや 印鑑証明を発 行 1.リソースを 利用したいので 印鑑証明取得 印鑑証明（TGT） 捺印（ST） 捺印(ST) クライアント 3.最初は印鑑証明付きで 提示し、実印だと分かっ た相手にはその後捺印だ けで通用 Copyright © Oracle Corporation Japan, 2004. All rights reserved. 銀行や企業など 18 / 45 Kerberos認証アダプタ Windows以外のプラットホームでOracleが稼動している場合も、Kerberos アダプ タを使用してActive Directoryと認証を統合することが可能です。 KDC (Active Directory) データベース クライアント 1. 2. もちろん、AD以外のKDC(Key Distribution Center)サーバーでもこの機能は利用可能です Kerberos認証アダプタの機能を利用するには、Advanced Security Optionが必要です Copyright © Oracle Corporation Japan, 2004. All rights reserved. 19 / 45 Windowsの認証方式 y 平文（ひらぶん・クリアテキスト）認証 – パスワードがネットワークを流れる問題 y LM認証 、NTLM認証、NTLM v2認証 – チャレンジ・レスポンスを使用して、パスワード を使った暗号情報をネットワークで伝達 y Kerberos認証 – – 「信頼のおける第3者機関による証明」と「秘密鍵 暗号を用いた暗号化」を利用した認証方法 KDC（鍵発行局：役所のようなもの）が発行した TGT（印鑑証明書+IDカードのようなもの）とST（ 捺印のようなもの）を使って認証 Copyright © Oracle Corporation Japan, 2004. All rights reserved. 20 / 45 Kerberosによる認証の仕組み(1/3) (2)クレデンシャル（セッション 鍵とTGT）の発行 Active Directory (DC/KDC) クライアント (1)ログオン要求 クレデンシャル・・・信任状 TGT・・・Ticket Granting Ticket：チケット保証チケット DC・・・Domain Controller KDC・・・Key Distribution Center Copyright © Oracle Corporation Japan, 2004. All rights reserved. 21 / 45 Kerberosによる認証の仕組み(2/3) Active Directory (DC/KDC) TGT 2.サービス・ チケット発行 1.リソースを 利用したい ST クライアント ST 3.サービスチ ケット提示 リソース ST・・・Service Ticket Copyright © Oracle Corporation Japan, 2004. All rights reserved. 22 / 45 Kerberosによる認証の仕組み(3/3) Active Directory (DC/KDC) ・・・・・・ クライアント ST 1.チケット提 示 2回目以降のアクセスは、STを提示するだけ Copyright © Oracle Corporation Japan, 2004. All rights reserved. リソース 23 / 45 Kerberos認証の設定方法 KDC 1. 2. Kerberosサービス割り当てに利用するアカウントの作成 サービス・プリンシパルへのKeyTab作成 データベース・サーバー側 1. SQLNET.ORAの設定 • SQLNET.AUTHENTICATION_SERVICES = (KERBEROS5), etc 外部ユーザーの作成 • CREATE USER ….. EXTERNALLY データベース・ロールの付与 • GRANT CONNECT TO <外部ユーザー> 2. 3. クライアント側 1. SQLNET.ORAの設定 • SQLNET.AUTHENTICATION_SERVICES = (KERBEROS5), etc Copyright © Oracle Corporation Japan, 2004. All rights reserved. 24 / 45 Agenda y OracleのWindowsへの取り組み y Windows環境でのOracleセキュリティ – – 1：クライアント/サーバー環境 Active Directory/Enterprise User Security 連携 y 1-1：Windowsのシステム固有の認証 y 1-2：Kerberos認証アダプタを利用した認証 y 1-3：Enterprise User Securityが実現する外部認証 2：Webアプリケーション環境 OracleAS- Single Sign On/Active Directory連携 y 2-1：Oracle Application Server 10g セキュリティ y 2-2：Oracle Identity ManagementによるSingle Sign On y 2-3：Oracle Internet Directory – Active Directory コネクタ Copyright © Oracle Corporation Japan, 2004. All rights reserved. 25 / 45 ディレクトリーで管理されていない SCOTT システム管理者 Active Directory (Windowsドメイン） SCOTT データベース クライアント Active DirectoryとDatabaseの両方にてユーザー情報を管理する必要がある Copyright © Oracle Corporation Japan, 2004. All rights reserved. 26 / 45 ディレクトリーによる一元管理 システム管理者 SCOTT SCOTT ユーザー情報を定期的に ADと同期をとる Active Directory (Windowsドメイン） Oracle Internet Directory (ディレクトリサーバー) クライアント データベース データベースのスキーマ管理から解放される Copyright © Oracle Corporation Japan, 2004. All rights reserved. 27 / 45 Enterprise User Security • ディレクトリ・サーバーを利用した外部認証による ユーザー情報を一元管理 • 3つの認証方式 • • • SSL認証でのエンタープライズ・ユーザー パスワード認証でのエンタープライズ・ユーザー Kerberos認証でのエンタープライズ・ユーザー 効果：管理コストの軽減と、その結果運用ミスが減 ることでのセキュリティの向上 *システムが3層構造の場合でも、エンター・プライズ・セキュリティにてプロキシ認証を利 用する事により、ユーザー情報を一元管理することができます。 *Enterprise User SecurityでのKerberos認証の利用は、Oracle10gの新機能です Copyright © Oracle Corporation Japan, 2004. All rights reserved. 28 / 45 EUSで可能な認証方法と主な特徴 SSL認証 パスワード認証 Kerberos認証 PKI証明書ベースの認証をサポ ートします。 yパスワード・ベースの認証をサ ポートします。 yPKI証明書ベースのクライアント 証明は使用できない yKerberosチケットでの認証をサポ ートします。 SSLを使用したシングル・サイ ン・オンをサポート y単一のグローバルなユーザー/パ スワードをサポート yデータベース毎に個別の認証が 必要 yKerberosの暗号化チケットと認証 子を使用するシングル・サイン・ オンをサポート 接続時間は多少掛かるが、ネッ トワークセキュリティは強固 yクライアント/サーバー間のSSL 処理が不要で高速 yAdvanced Security Option固有の暗 号化は使用可能 yクライアント/サーバー間のSSL 処理が不要で高速 yAdvanced Security Option固有の暗 号化は使用可能 2層環境、3層環境の両方で使用 可能 2層環境、3層環境の両方で使用可 能 2層環境、3層環境の両方で使用可 能 •パスワード認証の場合、ADとの連携においてパスワードをAD側から取得できません Copyright © Oracle Corporation Japan, 2004. All rights reserved. 29 / 45 Agenda y OracleのWindowsへの取り組み y Windows環境でのOracleセキュリティ – – 1：クライアント/サーバー環境 Active Directory/Enterprise User Security 連携 y 1-1：Windowsのシステム固有の認証 y 1-2：Kerberos認証アダプタを利用した認証 y 1-3：Enterprise User Securityが実現する外部認証 2：Webアプリケーション環境 OracleAS- Single Sign On/Active Directory連携 y 2-1：Oracle Application Server 10g セキュリティ y 2-2：Oracle Identity ManagementによるSingle Sign On y 2-3：Oracle Internet Directory – Active Directory コネクタ Copyright © Oracle Corporation Japan, 2004. All rights reserved. 30 / 45 Oracle Application Serverとは y Oracle Application Server 10g はスイート製品 （J2EEアプリケーション・サーバだけではない） – セキュリティ機能、キャッシュサーバー機能、ディレ クトリ連携など y 様々なアプリケーションへのアクセス環境を安全 にするセキュリティ管理基盤 Æ Single Sign On機能を提供するOracle Identity Managementを提供 Copyright © Oracle Corporation Japan, 2004. All rights reserved. 31 / 45 求められる企業内インフラ整備 休暇管理システム Oracle Identity Management local system アイデンティティ・ マネージメント 管理コスト 集中的な管理運用 障害報告管理システム local system Directory SSO 管理 コスト 管理 コスト 他によくある社内業務のオンライン化 文書管理、稟議、福利厚生 部門単位、人事、研修、プロジェクト管理 ... etc. Copyright © Oracle Corporation Japan, 2004. All rights reserved. 32 / 45 Oracle Application Server 10g Security Cluster Authentication HTTP基本認証 User HTTP/ HTTPS SSO認証チケット （HTTP Cookie） Authorization 電子証明書認証 J2EEアプリケーション （JAAS／JavaACC） SSO認証 OracleAS Portal etc. Database LDAP/ LDAPS HTTP/ HTTPS SSO認証 サーバ Oracle Net Encryption Sync / Replica LDAP/ LDAPS ディレクトリ Oracle Identity Management Copyright © Oracle Corporation Japan, 2004. All rights reserved. Other Repository 33 / 45 Agenda y OracleのWindowsへの取り組み y Windows環境でのOracleセキュリティ – – 1：クライアント/サーバー環境 Active Directory/Enterprise User Security 連携 y 1-1：Windowsのシステム固有の認証 y 1-2：Kerberos認証アダプタを利用した認証 y 1-3：Enterprise User Securityが実現する外部認証 2：Webアプリケーション環境 OracleAS- Single Sign On/Active Directory連携 y 2-1：Oracle Application Server 10g セキュリティ y 2-2：Oracle Identity ManagementによるSingle Sign On y 2-3：Oracle Internet Directory – Active Directory コネクタ Copyright © Oracle Corporation Japan, 2004. All rights reserved. 34 / 45 Oracle Identity Management とは y Oracle Identity Management は、統合認証（ シングル・サインオン）環境を実現するために 必要とされる機能群の総称 y 個々の製品から選んで最適な統合認証を揃える ことはコストがかかるが、Oracle Application Server 10g ではSSO、LDAP Directory、Directory 統合、認証局の機能を全て提供 Copyright © Oracle Corporation Japan, 2004. All rights reserved. 35 / 45 Oracle Identity Management Oracle Identity Management SSO Database Directory Single Sign-On User Directory Delegation Service PKI Provisioning / Integration Certificate Authority Copyright © Oracle Corporation Japan, 2004. All rights reserved. Application Server 36 / 45 Oracle Identity Management Oracle Identity Management 統合認証（シングル・サインオン） 基盤の提供 - パスワード認証 - 電子証明書認証 仮想的な 識別情報リポジトリ （メタディレクトリ） Database Directory User ユーザ自身 による情報管理 アプリケーションとの 同期（プロビジョニング） Copyright © Oracle Corporation Japan, 2004. All rights reserved. Application Server 37 / 45 OracleAS Single Sign-On について y Application Server付属のWebシングルサインオン機能 y エージェント型シングル・サインオン – – エージェント機能： 「パートナ・アプリケーション」と呼ばれ るSSO Cookieチェック機構を実装したアプリケーション mod_osso、OracleAS Portal、SSO SDKで開発したAP y ユーザ情報リポジトリは、Oracle Internet Directory (1) request (3) response Oracle HTTP Server with mod_osso User (2) login OracleAS Single Sign-On Copyright © Oracle Corporation Japan, 2004. All rights reserved. 38 / 45 OracleAS Single Sign-On について y 認証の方式 – – パスワード 電子証明書 y 多重認証 – Webサイトの認証を数値によって重み付け – アクセスレベルをより制限するために利用可能 ・ パスワード認証 ＜ 電子証明書 ・ サイトＡの認証 ＜ サイトＢの認証 Copyright © Oracle Corporation Japan, 2004. All rights reserved. 39 / 45 利用パターン１ （通常利用） Oracle製品の認証基盤としての利用 (1)初期アクセス J2EEプラットフォーム DB access OracleAS Portal (5)アクセスw/SSO (6)アプリケーション毎に 認可、アクセス制御 User Database SSO認証 (2)認証依頼 (4)SSO認証 チケット発行 (3)認証処理 Oracle Identity Management ★ 必要に応じて自身の 情報変更（セルフサービス） Directory SSO Copyright © Oracle Corporation Japan, 2004. All rights reserved. 40 / 45 利用パターン２ （組み合わせて利用） 3rd Party SSO と組み合わせての利用 (1) request Oracle HTTP Server with mod_osso (3) response User 2b. ticket 3rd Party SSO (2) login 2c. ticket check 2a. redirect / login Oracle Identity Management 2d. ticket check Sync Windows認証と連携した 動作もサポート。 Copyright © Oracle Corporation Japan, 2004. All rights reserved. 41 / 45 Agenda y OracleのWindowsへの取り組み y Windows環境でのOracleセキュリティ – – 1：クライアント/サーバー環境 Active Directory/Enterprise User Security 連携 y 1-1：Windowsのシステム固有の認証 y 1-2：Kerberos認証アダプタを利用した認証 y 1-3：Enterprise User Securityが実現する外部認証 2：Webアプリケーション環境 OracleAS- Single Sign On/Active Directory連携 y 2-1：Oracle Application Server 10g セキュリティ y 2-2：Oracle Identity ManagementによるSingle Sign On y 2-3：Oracle Internet Directory – Active Directory コネクタ Copyright © Oracle Corporation Japan, 2004. All rights reserved. 42 / 45 ADとの連携 - ADコネクタによるADとOIDの同期 OID Active Directory サブツリー同期 jp.axa.com jp.oracle.com sales OracleContext •マッピング・ルール（ActiveChgImp)に従い値を group1 SCOTT レプリケートする JOE •同期間隔は一定間隔（秒単位指定）にて実施 group2 SCOTT JOE JAMES JAMES FORD FORD SMITH Users SMITH Mapping Rule(ActiveChgImp) DomainRules ou=group1,ou=sales,dc=jp,dc=axa,dc=com:cn=users,dc=jp,dc=oracle,dc=com: ou=group2,ou=sales,dc=jp,dc=axa,dc=com:cn=users,dc=jp,dc=oracle,dc=com: Copyright © Oracle Corporation Japan, 2004. All rights reserved. 43 / 45 ADとの連携 - ADコネクタによるADとOIDの同期 OID Active Directory Copyright © Oracle Corporation Japan, 2004. All rights reserved. 44 / 45 Copyright © Oracle Corporation Japan, 2004. All rights reserved. 45 / 45
© Copyright 2024 ExpyDoc
