Web サービスプロバイダエージェントプロファイルは、Web サービスクライアントからの Web サービス要求を検証し、Web サービスプロバイダからの Web サービス応答をセキュリティー保護するために使用される設定を記述します。Web サービスプロバイダの名前は、すべてのエージェントを通じて一意である必要があります。
次の一般属性は、Web サービスプロバイダの基本的なプロパティーを定義します。
「グループ」メカニズムを使用すると、類似のエージェントタイプのコレクションを定義できます。特定のエージェントをコレクションに追加する前に、グループを定義しておく必要があります。
Web サービスプロバイダエージェントのパスワードを定義します。
パスワードを確認します。
Web サービスプロバイダエージェントがシステム内でアクティブになるかどうかを定義します。デフォルトではアクティブになります。つまり、エージェントは Web サービスクライアントからの Web サービス要求の検証と、Web サービスプロバイダからのサービス応答のセキュリティー保護に参加します。
Web サービスプロバイダエージェントを一意に定義する、基本的な LDAP プロパティーのリスト。
次の属性は、Web サービスプロバイダのセキュリティー属性を定義します。
Web サービス要求を検証するために使用する、セキュリティー証明情報のタイプを定義します。セキュリティーメカニズムのタイプは、Web サービスクライアントからの Web サービス要求に含まれており、Web サービスプロバイダによって受け入れられます。次のタイプから選択します。
Anonymous — 匿名セキュリティーメカニズムにはセキュリティー証明情報はありません。
KerberosToken — Kerberos セキュリティートークンを使用します。
LibertyBearerToken — Liberty で定義されたベアラートークンを使用します。
LibertySAMLToken — Liberty で定義された SAML トークンを使用します。
LibertyX509Token — Liberty で定義された X509 証明書を使用します。
SAML-HolderOfKey — SAML 1.1 の表明タイプ Holder-Of-Key を使用します。
SAML-SenderVouches — SAML 1.1 の表明タイプ Sender Vouches を使用します。
SAML2-HolderOfKey — SAML 2.0 の表明トークンタイプ Holder-Of-Key を使用します。
SAML2-SenderVouches — SAML 2.0 の表明トークンタイプ Sender Vouches を使用します。
UserNameToken — ユーザー名トークンを使用します。
UserNameToken-Plain — 平文パスワード付きのユーザー名トークンを使用します。
X509Toekn — X509 証明書を使用します。
OpenSSO の認証サービスで認証を受けるために使用できる認証連鎖またはサービス名を定義します。認証サービスは、受信した Web サービス要求のセキュリティートークンから得た証明情報を使用して OpenSSO の認証済み SSOToken を生成します。
Web サービスプロバイダがセキュリティートークンサービスからのトークン変換を要求したときに変換されるトークンの種類を定義します。トークンは指定された SAML または SSOToken (セッショントークン) に変換されます。アイデンティティーは同じですが、トークンの種類に固有の属性定義になります。この新しいトークンは、Web サービスプロバイダが別の Web サービスプロバイダに対する Web サービス呼び出しを行うために使用できます。定義できるトークンの種類は次のとおりです。
SAML 1.1 トークン
SAML2 トークン
SSOToken
この属性を使用するには、「セキュリティーメカニズム」属性で SAML トークンが選択され、「認証連鎖」 が Web サービスプロバイダに対して定義される必要があります。
この属性が有効になっている場合、以降の処理で使用できるように SOAP セキュリティーヘッダーを Web サービスプロバイダで保持するように定義されます。
Web サービスプロバイダが Web サービス要求の署名を確認する処理で使用する鍵のタイプを定義します。デフォルト値は PublicKey です。
URN (Universal Resource Name) は、Web サービスプロバイダがサービス検索に使用する Liberty サービスタイプを記述します。
この属性は、Web サービスプロバイダが受信した Web サービス要求から得たユーザー名セキュリティートークンを検証するために使用するユーザー名/パスワード共有シークレットを表します。これらの証明情報は、受信した Web サービス要求から得たユーザー名セキュリティートークンから生成した証明情報と比較されます。
次の属性は、Web サービスプロバイダの SAML (Security Assertion Markup Language) を設定します。
この設定は、Web サービスプロバイダに対するセキュリティートークンサービスによって SAML 表明を作成するときに属性ステートメントとして生成する必要がある SAML 属性を表します。形式は SAML_attr_name=Real_attr_name です。
SAML_attr_name は、受信した Web サービス要求の SAML 表明の SAML 属性名です。Real_attr_name は、認証済みの SSOToken またはアイデンティティーリポジトリから取得した属性名です。
SAML アカウントマッピングに使用する NameID マッパープラグインクラスを定義します。
SAML 属性の生成に使用するネームスペースを定義します。
この属性が有効になっている場合は、主体のメンバーシップを SAML 属性として含める必要があります。
次の属性は、Web プロバイダのセキュリティーに関する署名と暗号化の設定を定義します。
これが有効になっている場合、Web サービスプロバイダは X509 証明書を使用して応答に署名します。
これが有効になっている場合は、Web サービスの応答が暗号化されます。
これが有効になっている場合は、Web サービス要求の署名が確認されます。
これが有効になっている場合は、Web サービスクライアントの要求のセキュリティーヘッダーが復号化されます。
これが有効になっている場合は、Web サービスクライアントの要求が復号化されます。
次の属性は、証明書の格納と検索に使用するキーストアを設定します。
この属性は、Web サービス応答の暗号化または Web サービス要求の署名の確認に使用される証明書公開鍵エイリアスを定義します。
この属性は、Web サービス応答の署名または Web サービス要求の復号化に使用される証明書非公開鍵エイリアスを定義します。
この設定は、デフォルトのキーストアを使用するかカスタムのキーストアを使用するかを定義します。カスタムキーストアを使用する場合は、次の値を定義する必要があります。
キーストアの場所
キーストアのパスワード
キーのパスワード
次の属性は、Web サービスエンドポイントを定義します。
この属性は、Web サービスクライアントが要求を行う Web サービスエンドポイントを定義します。このエンドポイントは、Web セキュリティープロキシを使用するように設定されないかぎり、省略可能です。
この属性は、Web サービスクライアントが要求を行う Web サービスエンドポイントを定義します。
Kerberos は、Web サービスセキュリティーでサポートされるセキュリティープロファイルで、Web サービスクライアントと Web サービスプロバイダの間の Web サービス通信をセキュリティー保護します。一般に、ユーザーはデスクトップに対して認証し、Web サービスおよび Web サービスクライアントを呼び出します。このとき、主体を Kerberos トークンとして識別することにより Web サービスプロバイダに対する要求をセキュリティー保護するために、Kerberos チケットが必要です。通常、Kerberos ベースの Web サービスセキュリティーは、SAML ベースの Web サービスセキュリティーのように境界を越えるのではなく、Kerberos ドメイン (レルム) と同じコンテキストで使用されます。ただし Kerberos は、特に Windows ドメインコントローラ環境においてはもっとも強力な認証メカニズムの 1 つです。
この属性は、Kerberos Distribution Center (ドメインコントローラ) のホスト名を指定します。ドメインコントローラの完全修飾ドメイン名 (FQDN) を入力する必要があります。
この属性は、Kerberos Distribution Center (ドメインコントローラ) のドメイン名を指定します。設定によっては、ドメインコントローラのドメイン名が OpenSSO のドメイン名とは異なる場合があります。
生成されたセキュリティートークンの所有者として Kerberos 主体を指定します。
次の形式を使用します。
HTTP/hostname.domainname@dc_domain_name
hostname と domainame はそれぞれ、OpenSSO インスタンスのホスト名とドメイン名を表します。dc_domain_name は、Windows Kerberos サーバー (ドメインコントローラ) が存在する Kerberos ドメインです。Kerberos サーバーを OpenSSO インスタンスのドメイン名と別にすることができます。
この属性は、トークンの発行に使用される Kerberos keytab ファイルを指定します。次の形式を使用します。この形式は必須ではありません。
hostname.HTTP.keytab
hostname は、OpenSSO インスタンスのホスト名です。
この属性を有効にすると、Kerberos トークンが署名されていることを指定します。