#### Web サービスプロバイダ

Web サービスプロバイダエージェントプロファイルは、Web サービスクライアントからの Web サービス要求を検証し、Web サービスプロバイダからの Web サービス応答をセキュリティー保護するために使用される設定を記述します。Web サービスプロバイダの名前は、すべてのエージェントを通じて一意である必要があります。

##### 一般

次の一般属性は、Web サービスプロバイダの基本的なプロパティーを定義します。

##### グループ

「グループ」メカニズムを使用すると、類似のエージェントタイプのコレクションを定義できます。特定のエージェントをコレクションに追加する前に、グループを定義しておく必要があります。

##### パスワード

Web サービスプロバイダエージェントのパスワードを定義します。

##### パスワードの確認

パスワードを確認します。

##### ステータス

Web サービスプロバイダエージェントがシステム内でアクティブになるかどうかを定義します。デフォルトではアクティブになります。つまり、エージェントは Web サービスクライアントからの Web サービス要求の検証と、Web サービスプロバイダからのサービス応答のセキュリティー保護に参加します。

##### 汎用識別子

Web サービスプロバイダエージェントを一意に定義する、基本的な LDAP プロパティーのリスト。

##### セキュリティー

次の属性は、Web サービスプロバイダのセキュリティー属性を定義します。

##### セキュリティーメカニズム

Web サービス要求を検証するために使用する、セキュリティー証明情報のタイプを定義します。セキュリティーメカニズムのタイプは、Web サービスクライアントからの Web サービス要求に含まれており、Web サービスプロバイダによって受け入れられます。次のタイプから選択します。

- Anonymous — 匿名セキュリティーメカニズムにはセキュリティー証明情報はありません。

- KerberosToken — Kerberos セキュリティートークンを使用します。

- LibertyBearerToken — Liberty で定義されたベアラートークンを使用します。

- LibertySAMLToken — Liberty で定義された SAML トークンを使用します。

- LibertyX509Token — Liberty で定義された X509 証明書を使用します。

- SAML-HolderOfKey — SAML 1.1 の表明タイプ Holder-Of-Key を使用します。

- SAML-SenderVouches — SAML 1.1 の表明タイプ Sender Vouches を使用します。

- SAML2-HolderOfKey — SAML 2.0 の表明トークンタイプ Holder-Of-Key を使用します。

- SAML2-SenderVouches — SAML 2.0 の表明トークンタイプ Sender Vouches を使用します。

- UserNameToken — ユーザー名トークンを使用します。

- UserNameToken-Plain — 平文パスワード付きのユーザー名トークンを使用します。

- X509Toekn — X509 証明書を使用します。

##### 認証連鎖

OpenSSO の認証サービスで認証を受けるために使用できる認証連鎖またはサービス名を定義します。認証サービスは、受信した Web サービス要求のセキュリティートークンから得た証明情報を使用して OpenSSO の認証済み SSOToken を生成します。

##### トークン変換タイプ

Web サービスプロバイダがセキュリティートークンサービスからのトークン変換を要求したときに変換されるトークンの種類を定義します。トークンは指定された SAML または SSOToken (セッショントークン) に変換されます。アイデンティティーは同じですが、トークンの種類に固有の属性定義になります。この新しいトークンは、Web サービスプロバイダが別の Web サービスプロバイダに対する Web サービス呼び出しを行うために使用できます。定義できるトークンの種類は次のとおりです。

- SAML 1.1 トークン

- SAML2 トークン

- SSOToken

この属性を使用するには、「セキュリティーメカニズム」属性で SAML トークンが選択され、「認証連鎖」 が Web サービスプロバイダに対して定義される必要があります。

##### メッセージにセキュリティーヘッダーを保存する

この属性が有効になっている場合、以降の処理で使用できるように SOAP セキュリティーヘッダーを Web サービスプロバイダで保持するように定義されます。

##### 非公開鍵のタイプ

Web サービスプロバイダが Web サービス要求の署名を確認する処理で使用する鍵のタイプを定義します。デフォルト値は `PublicKey` です。

##### Liberty サービスタイプ URN

URN (Universal Resource Name) は、Web サービスプロバイダがサービス検索に使用する Liberty サービスタイプを記述します。

##### ユーザートークンの資格情報

この属性は、Web サービスプロバイダが受信した Web サービス要求から得たユーザー名セキュリティートークンを検証するために使用するユーザー名/パスワード共有シークレットを表します。これらの証明情報は、受信した Web サービス要求から得たユーザー名セキュリティートークンから生成した証明情報と比較されます。

##### SAML 設定

次の属性は、Web サービスプロバイダの SAML (Security Assertion Markup Language) を設定します。

##### SAML 属性マッピング

この設定は、Web サービスプロバイダに対するセキュリティートークンサービスによって SAML 表明を作成するときに属性ステートメントとして生成する必要がある SAML 属性を表します。形式は ``SAML_attr_name``=``Real_attr_name`` です。

``SAML_attr_name`` は、受信した Web サービス要求の SAML 表明の SAML 属性名です。``Real_attr_name`` は、認証済みの SSOToken またはアイデンティティーリポジトリから取得した属性名です。

##### SAML NameID マッパープラグイン

SAML アカウントマッピングに使用する NameID マッパープラグインクラスを定義します。

##### SAML 属性名前空間

SAML 属性の生成に使用するネームスペースを定義します。

##### 包含メンバーシップ

この属性が有効になっている場合は、主体のメンバーシップを SAML 属性として含める必要があります。

##### 署名と暗号化

次の属性は、Web プロバイダのセキュリティーに関する署名と暗号化の設定を定義します。

##### 応答には署名が必要

これが有効になっている場合、Web サービスプロバイダは X509 証明書を使用して応答に署名します。

##### 応答の暗号化が必要

これが有効になっている場合は、Web サービスの応答が暗号化されます。

##### リクエストの署名の確認が必要

これが有効になっている場合は、Web サービス要求の署名が確認されます。

##### リクエストヘッダーの復号化が必要

これが有効になっている場合は、Web サービスクライアントの要求のセキュリティーヘッダーが復号化されます。

##### リクエストの復号化が必要

これが有効になっている場合は、Web サービスクライアントの要求が復号化されます。

##### キーストア

次の属性は、証明書の格納と検索に使用するキーストアを設定します。

##### Web サービスクライアントの公開鍵のエイリアス

この属性は、Web サービス応答の暗号化または Web サービス要求の署名の確認に使用される証明書公開鍵エイリアスを定義します。

##### 非公開鍵のエイリアス

この属性は、Web サービス応答の署名または Web サービス要求の復号化に使用される証明書非公開鍵エイリアスを定義します。

##### キーストアの使用法

この設定は、デフォルトのキーストアを使用するかカスタムのキーストアを使用するかを定義します。カスタムキーストアを使用する場合は、次の値を定義する必要があります。

- キーストアの場所

- キーストアのパスワード

- キーのパスワード

##### エンドポイント

次の属性は、Web サービスエンドポイントを定義します。

##### Web サービスプロキシエンドポイント

この属性は、Web サービスクライアントが要求を行う Web サービスエンドポイントを定義します。このエンドポイントは、Web セキュリティープロキシを使用するように設定されないかぎり、省略可能です。

##### Web サービスエンドポイント

この属性は、Web サービスクライアントが要求を行う Web サービスエンドポイントを定義します。

##### Kerberos 設定

Kerberos は、Web サービスセキュリティーでサポートされるセキュリティープロファイルで、Web サービスクライアントと Web サービスプロバイダの間の Web サービス通信をセキュリティー保護します。一般に、ユーザーはデスクトップに対して認証し、Web サービスおよび Web サービスクライアントを呼び出します。このとき、主体を Kerberos トークンとして識別することにより Web サービスプロバイダに対する要求をセキュリティー保護するために、Kerberos チケットが必要です。通常、Kerberos ベースの Web サービスセキュリティーは、SAML ベースの Web サービスセキュリティーのように境界を越えるのではなく、Kerberos ドメイン (レルム) と同じコンテキストで使用されます。ただし Kerberos は、特に Windows ドメインコントローラ環境においてはもっとも強力な認証メカニズムの 1 つです。

##### Kerberos ドメインサーバー

この属性は、Kerberos Distribution Center (ドメインコントローラ) のホスト名を指定します。ドメインコントローラの完全修飾ドメイン名 (FQDN) を入力する必要があります。

##### Kerberos ドメイン

この属性は、Kerberos Distribution Center (ドメインコントローラ) のドメイン名を指定します。設定によっては、ドメインコントローラのドメイン名が OpenSSO のドメイン名とは異なる場合があります。

##### Kerberos サービス主体

生成されたセキュリティートークンの所有者として Kerberos 主体を指定します。

次の形式を使用します。

`HTTP/hostname.domainname@dc_domain_name`

`hostname` と `domainame` はそれぞれ、OpenSSO インスタンスのホスト名とドメイン名を表します。`dc_domain_name` は、Windows Kerberos サーバー (ドメインコントローラ) が存在する Kerberos ドメインです。Kerberos サーバーを OpenSSO インスタンスのドメイン名と別にすることができます。

##### Kerberos キータブファイル

この属性は、トークンの発行に使用される Kerberos keytab ファイルを指定します。次の形式を使用します。この形式は必須ではありません。

`hostname.HTTP.keytab`

`hostname` は、OpenSSO インスタンスのホスト名です。

##### Kerberos 署名を検証する

この属性を有効にすると、Kerberos トークンが署名されていることを指定します。