#### セキュリティートークンサービスエージェント属性

セキュリティートークンサービスは、セキュリティートークンの発行と管理を提供する Web サービスです。つまり、要求されていない場合でも暗号化されたセットで、セキュリティーステートメントやクレームを頻繁に作成します。これらのステートメントは、信頼できる発行局からセキュリティートークンを直接検証できる証拠の受け取りに基づいています。信頼を表明するために、サービスは STS によって発行された 1 つまたは一連のセキュリティートークンを提供することで、一連のクレームを表明する権利を証明することができます。または、独自の信頼ステートメントを含んだセキュリティートークンを発行することができます。セキュリティートークンの形式によっては、これは単に再発行または共同署名となる場合もあります。これは、信頼の仲介の基礎を形成します。

##### 一般

次の一般属性は、セキュリティートークンサービスの基本的なプロパティーを定義します。

##### グループ

「グループ」メカニズムを使用すると、類似のエージェントタイプのコレクションを定義できます。特定のエージェントをコレクションに追加する前に、グループを定義しておく必要があります。

##### パスワード

セキュリティートークンサービスエージェントのパスワードを定義します。

##### パスワードの確認

パスワードを確認します。

##### ステータス

エージェントがシステム内でアクティブになるかどうかを定義します。この属性は、デフォルトではアクティブになります。つまり、エージェントは Web サービスクライアントからのアウトバウンドの Web サービス要求のセキュリティー保護に参加し、Web サービスプロバイダからの Web サービス応答を検証します。

##### 汎用識別子

セキュリティートークンサービスエージェントを一意に定義する、基本的な LDAP プロパティーのリスト。

##### セキュリティー

次の属性は、セキュリティートークンサービスのセキュリティー属性を定義します。

##### セキュリティーメカニズム

STS の要求をセキュリティー保護するために使用する、セキュリティー証明情報の種類を定義します。次のいずれかのセキュリティー証明情報を選択できます。

- Anonymous — 匿名セキュリティーメカニズムにはセキュリティー証明情報はありません。

- KerberosToken — Kerberos セキュリティートークンを使用します。

- LibertyDiscoverySecurity — Liberty ベースのセキュリティートークンを使用します。

- SAML-HolderOfKey — SAML 1.1 の表明タイプ Holder-Of-Key を使用します。

- SAML-SenderVouches — SAML 1.1 の表明タイプ Sender Vouches を使用します。

- SAML2-HolderOfKey — SAML 2.0 の表明トークンタイプ Holder-Of-Key を使用します。

- SAML2-SenderVouches — SAML 2.0 の表明トークンタイプ Sender Vouches を使用します。

- STSSecurity — 特定の Web サービスプロバイダに対するセキュリティートークンサービスによって生成されたセキュリティートークンを使用します。

- UserNameToken — ダイジェストパスワード付きのユーザー名トークンを使用します。

- UserNameToken-Plain — ユーザー名トークンと平文パスワードを使用して Web サービス要求をセキュリティー保護します。

- X509Token — X509 証明書を使用します。

##### STS 設定

この属性は、セキュリティートークンサービスエージェントがセキュリティーメカニズムとしてセキュリティートークンサービス (STS) を使用する場合に有効になります。この設定は、STS サービスとの通信および STS サービスへの要求のセキュリティー保護に使用される、STS エージェントプロファイルのリストを記述します。

##### メッセージにセキュリティーヘッダーを保存する

この属性が有効になっている場合は、以降の処理に使用できるように SOAP セキュリティーヘッダーがセキュリティートークンサービスエージェントによって保持されます。

##### ユーザートークンの資格情報

この属性は、セキュリティートークンサービスエージェントがユーザー名セキュリティートークンを生成するために使用する、ユーザー名/パスワード共有シークレットを表します。

##### 署名と暗号化

次の属性は、セキュリティートークンサービスに関する署名と暗号化の設定を定義します。

##### リクエストには署名が必要

これが有効になっている場合、セキュリティートークンサービスエージェントは特定のトークンタイプを使用して要求に署名します。

##### リクエストヘッダーの暗号化が必要

これが有効になっている場合は、セキュリティートークンサービスエージェントのセキュリティーヘッダーが暗号化されます。

##### リクエストの暗号化が必要

これが有効になっている場合は、セキュリティートークンサービスの要求が暗号化されます。

##### 応答の署名の確認が必要

これが有効になっている場合は、セキュリティートークンサービス応答の署名が検証されます。

##### 応答の復号化が必要

これが有効になっている場合は、セキュリティートークンサービスの応答が復号化されます。

##### キーストア

次の属性は、証明書の格納と検索に使用するキーストアを設定します。

##### Web サービスプロバイダの公開鍵のエイリアス

この属性は、Web サービス要求の暗号化または Web サービス応答の署名の確認に使用される証明書公開鍵エイリアスを定義します。

##### 非公開鍵のエイリアス

この属性は、Web サービス要求の署名または Web サービス応答の復号化に使用される証明書非公開鍵エイリアスを定義します。

##### キーストアの使用法

この設定は、デフォルトのキーストアを使用するかカスタムのキーストアを使用するかを定義します。カスタムキーストアを使用する場合は、次の値を定義する必要があります。

- キーストアの場所

- キーストアのパスワード

- キーのパスワード

##### エンドポイント

次の属性は、Web サービスエンドポイントを定義します。

##### セキュリティートークンサービスエンドポイント

このフィールドには、次の構文を使用して値を指定します。

`%protocol://%host:%port%uri/sts`

この構文により、特定のセッションパラメータに基づくセキュリティートークンサービスエンドポイント URL を動的に置き換えることができます。

##### セキュリティートークンサービス MEX エンドポイント

このフィールドには、次の構文を使用して値を指定します。

`%protocol://%host:%port%uri/sts/mex`

この構文により、特定のセッションパラメータに基づくセキュリティートークンサービス MEX エンドポイント URL を動的に置き換えることができます。

##### Kerberos 設定

Kerberos は、Web サービスセキュリティーでサポートされるセキュリティープロファイルで、Web サービスクライアントと Web サービスプロバイダの間の Web サービス通信をセキュリティー保護します。一般に、ユーザーはデスクトップに対して認証し、Web サービスおよび Web サービスクライアントを呼び出します。このとき、主体を Kerberos トークンとして識別することにより Web サービスプロバイダに対する要求をセキュリティー保護するために、Kerberos チケットが必要です。通常、Kerberos ベースの Web サービスセキュリティーは、SAML ベースの Web サービスセキュリティーのように境界を越えるのではなく、Kerberos ドメイン (レルム) と同じコンテキストで使用されます。ただし Kerberos は、特に Windows ドメインコントローラ環境においてはもっとも強力な認証メカニズムの 1 つです。

##### Kerberos ドメインサーバー

この属性は、Kerberos Distribution Center (ドメインコントローラ) のホスト名を指定します。ドメインコントローラの完全修飾ドメイン名 (FQDN) を入力する必要があります。

##### Kerberos ドメイン

この属性は、Kerberos Distribution Center (KDC) のドメイン名を指定します。設定によっては、ドメインコントローラのドメイン名が OpenSSO のドメイン名とは異なる場合があります。

##### Kerberos サービス主体

KDC に登録されたセキュリティートークンサービス主体を指定します。

次の形式を使用します。

`HTTP/hostname.domainname@dc_domain_name`

`hostname` と `domainame` はそれぞれ、OpenSSO インスタンスのホスト名とドメイン名を表します。`dc_domain_name` は、Windows Kerberos サーバー (ドメインコントローラ) が存在する Kerberos ドメインです。Kerberos サーバーを OpenSSO インスタンスのドメイン名と別にすることができます。

##### Kerberos チケットキャッシュディレクトリ

Kerberos TGT (チケット付与チケット) キャッシュディレクトリを指定します。ユーザーがデスクトップに対して認証を受けるか `kinit` (KDC から TGT を取得するために使用されるコマンド) を使用して初期化される場合、TGT はこの属性で定義されたローカルキャッシュに格納されます。