セキュリティー属性は、サーバーインスタンスのセキュリティーレベルを制御するための暗号化、検証、および Cookie の情報を定義します。
暗号化属性は次のとおりです。
パスワードの暗号化と復号化に使用する鍵を指定します。サービス管理システムの設定に格納されます。値はインストールの間に設定されます。次に例を示します。dSB9LkwPCSoXfIKHVMhIt3bKgibtsggd
アプリケーション認証モジュールの共有シークレット。値はインストールの間に設定されます。次に例を示します。AQICPX9e1cxSxB2RSy1WG1+O4msWpt/6djZl
デフォルト値は com.iplanet.services.util.JCEEncryption です。暗号化クラス実装を指定します。指定可能なクラスは com.iplanet.services.util.JCEEncryption および com.iplanet.services.util.JSSEncryption です。
デフォルト値は com.iplanet.am.util.JSSSecureRandomFactoryImpl です。SecureRandomFactory のファクトリクラス名を指定します。指定可能な実装クラスは、JSS を使用する com.iplanet.am.util.JSSSecureRandomFactoryImpl および純粋な Java を使用する com.iplanet.am.util.SecureRandomFactoryImpl です。
検証属性は次のとおりです。
デフォルト値は 16384 または 16k です。OpenSSO が許容する HttpRequest の最大コンテンツ長を指定します。
デフォルト値は NO です。すべての SSOToken の作成または検証において、クライアントの IP アドレスがチェックされるかどうかを指定します。
Cookie 属性は次のとおりです。
デフォルト値は iPlanetDirectoryPro です。有効なセッションハンドラ ID を設定するために認証サービスで使用する Cookie 名。この Cookie 名の値は、有効なセッション情報を取得するために使用されます。
OpenSSO Cookie をセキュリティー保護されたモードで設定できるようにし、HTTP(s) などのセキュリティー保護されたプロトコルが使用されているときにブラウザが OpenSSO Cookie だけを返すようにします。デフォルト値は false (いいえ) です。
このプロパティーにより、OpenSSO は Cookie 値を URLencode でエンコードできます。URLencode は、文字を HTTP で理解できる形式に変換します。
次の属性を使用して、追加で作成するサイトやサーバーのキーストア情報を設定できます。
値はインストールの間に設定されます。次に例を示します。OpenSSO-base/server_URI/keystore.jksSAML XML キーストアパスワードファイルのパスを指定します。
値はインストールの間に設定されます。次に例を示します。OpenSSO-base/server_URI/.storepassSAML XML キーストアパスファイルのパスを指定します。
値はインストールの間に設定されます。次に例を示します。OpenSSO-base /server_URI/.keypass SAML XML キーパスワードファイルのパスを指定します。
デフォルト値は test です。
これらの属性は、証明書発行局からの証明書失効リスト (CRL) を保持するために使用する、ローカルの CRL キャッシュリポジトリを定義します。証明書の検証のために CRL を取得する必要があるサービスは、この情報に基づいて CRL を受け取ります。
証明書が格納されている LDAP サーバーの名前を指定します。デフォルト値は、OpenSSO のインストール時に指定したホスト名です。証明書が格納されている LDAP サーバーのホスト名を使用できます。
証明書が格納されている LDAP サーバーのポート番号を指定します。デフォルト値は、OpenSSO のインストール時に指定したポートです。証明書が格納されている LDAP サーバーのポートを使用できます。
LDAP サーバーへのアクセスに SSL を使用するかどうかを指定します。デフォルトでは、証明書認証サービスは LDAP アクセスに SSL を使用しません。
LDAP サーバー内のバインド DN を指定します。
LDAP サーバーへのバインドに使用するパスワードを定義します。デフォルトでは、インストール時に入力された amldapuser パスワードが、バインドユーザーとして使用されます。
この属性は、LDAP サーバーの LDAP ユーザー対象が使用するベース DN を指定します。そこから検索が開始されます。デフォルトでは、OpenSSO インストールベースの最上位レルムです。
発行者の subjectDN の任意の DN コンポーネントを使用して、ローカル LDAP サーバーから CRL を取得できます。これは、「cn」などの単値文字列です。すべてのルート CA で同じ検索属性を使用する必要があります。
オンライン証明書の状態プロトコル (OCSP) を使用することで、OpenSSO サービスは指定された証明書の (失効) 状態を判定できます。OCSP を使用すると、CRL を使用した場合よりもタイムリーに失効情報を提供するという運用要件の一部を満たすことができ、追加の状態情報を取得することもできます。OCSP クライアントは OCSP レスポンダに状態要求を発行し、レスポンダが応答を返すまではその証明書の受入れを保留します。
この属性は OCSP チェックを有効にします。これはデフォルトでは有効になっています。
この属性は、OCSP レスポンダの場所を特定する URL を定義します。たとえば、http://ocsp.example.net:80 です。
デフォルトでは、OCSP レスポンダの場所は、検証される証明書から暗黙的に決定されます。RFC 3280 に定義されている Authority Information Access 拡張機能が証明書にない場合、またはオーバーライドが必要な場合に、このプロパティーが使用されます。
OCSP レスポンダのニックネームは、そのレスポンダに対する CA 証明書のニックネームで、たとえば Certificate Manager - sun となります。設定する場合、CA 証明書が Web サーバーの証明書データベースに存在している必要があります。OCSP URL を設定する場合、OCSP レスポンダニックネームも設定する必要があります。設定しないと、両方とも無視されます。これらが設定されない場合、ユーザーの証明書で提示された OCSP レスポンダ URL が OCSP 妥当性検査に使用されます。OCSP レスポンダ URL がユーザーの証明書で提示されない場合、OCSP 妥当性検査は実行されません。
情報技術管理改革法 (一般法 104-106) に基づき、商務長官は連邦コンピュータシステムに関して米国国立標準技術研究所 (NIST) によって作成された標準規格とガイドラインを承認します。これらの標準規格とガイドラインは、政府全体で使用する連邦情報処理規格 (FIPS) として NIST によって発行されます。セキュリティーや相互運用性などについて連邦政府の切実な要求があり、条件を満たした業界標準やソリューションがない場合に、NIST が FIPS を作成します。
このプロパティーの取り得る値は true (はい) または false (いいえ) です。これが true の場合のみ、すべての暗号化操作が FIPS に準拠したモードで実行されます。