セキュリティートークンサービスは、セキュリティートークンの発行と管理を提供する Web サービスです。つまり、要求されていない場合でも暗号化されたセットで、セキュリティーステートメントやクレームを頻繁に作成します。これらのステートメントは、信頼できる発行局からセキュリティートークンを直接検証できる証拠の受け取りに基づいています。信頼を表明するために、サービスは STS によって発行された 1 つまたは一連のセキュリティートークンを提供することで、一連のクレームを表明する権利を証明することができます。または、独自の信頼ステートメントを含んだセキュリティートークンを発行することができます。セキュリティートークンの形式によっては、これは単に再発行または共同署名となる場合もあります。これは、信頼の仲介の基礎を形成します。
次の一般属性は、セキュリティートークンサービスの基本的なプロパティーを定義します。
「グループ」メカニズムを使用すると、類似のエージェントタイプのコレクションを定義できます。特定のエージェントをコレクションに追加する前に、グループを定義しておく必要があります。
セキュリティートークンサービスエージェントのパスワードを定義します。
パスワードを確認します。
エージェントがシステム内でアクティブになるかどうかを定義します。この属性は、デフォルトではアクティブになります。つまり、エージェントは Web サービスクライアントからのアウトバウンドの Web サービス要求のセキュリティー保護に参加し、Web サービスプロバイダからの Web サービス応答を検証します。
セキュリティートークンサービスエージェントを一意に定義する、基本的な LDAP プロパティーのリスト。
次の属性は、セキュリティートークンサービスのセキュリティー属性を定義します。
STS の要求をセキュリティー保護するために使用する、セキュリティー証明情報の種類を定義します。次のいずれかのセキュリティー証明情報を選択できます。
Anonymous — 匿名セキュリティーメカニズムにはセキュリティー証明情報はありません。
KerberosToken — Kerberos セキュリティートークンを使用します。
LibertyDiscoverySecurity — Liberty ベースのセキュリティートークンを使用します。
SAML-HolderOfKey — SAML 1.1 の表明タイプ Holder-Of-Key を使用します。
SAML-SenderVouches — SAML 1.1 の表明タイプ Sender Vouches を使用します。
SAML2-HolderOfKey — SAML 2.0 の表明トークンタイプ Holder-Of-Key を使用します。
SAML2-SenderVouches — SAML 2.0 の表明トークンタイプ Sender Vouches を使用します。
STSSecurity — 特定の Web サービスプロバイダに対するセキュリティートークンサービスによって生成されたセキュリティートークンを使用します。
UserNameToken — ダイジェストパスワード付きのユーザー名トークンを使用します。
UserNameToken-Plain — ユーザー名トークンと平文パスワードを使用して Web サービス要求をセキュリティー保護します。
X509Token — X509 証明書を使用します。
この属性は、セキュリティートークンサービスエージェントがセキュリティーメカニズムとしてセキュリティートークンサービス (STS) を使用する場合に有効になります。この設定は、STS サービスとの通信および STS サービスへの要求のセキュリティー保護に使用される、STS エージェントプロファイルのリストを記述します。
この属性が有効になっている場合は、以降の処理に使用できるように SOAP セキュリティーヘッダーがセキュリティートークンサービスエージェントによって保持されます。
この属性は、セキュリティートークンサービスエージェントがユーザー名セキュリティートークンを生成するために使用する、ユーザー名/パスワード共有シークレットを表します。
次の属性は、セキュリティートークンサービスに関する署名と暗号化の設定を定義します。
これが有効になっている場合、セキュリティートークンサービスエージェントは特定のトークンタイプを使用して要求に署名します。
これが有効になっている場合は、セキュリティートークンサービスエージェントのセキュリティーヘッダーが暗号化されます。
これが有効になっている場合は、セキュリティートークンサービスの要求が暗号化されます。
これが有効になっている場合は、セキュリティートークンサービス応答の署名が検証されます。
これが有効になっている場合は、セキュリティートークンサービスの応答が復号化されます。
次の属性は、証明書の格納と検索に使用するキーストアを設定します。
この属性は、Web サービス要求の暗号化または Web サービス応答の署名の確認に使用される証明書公開鍵エイリアスを定義します。
この属性は、Web サービス要求の署名または Web サービス応答の復号化に使用される証明書非公開鍵エイリアスを定義します。
この設定は、デフォルトのキーストアを使用するかカスタムのキーストアを使用するかを定義します。カスタムキーストアを使用する場合は、次の値を定義する必要があります。
キーストアの場所
キーストアのパスワード
キーのパスワード
次の属性は、Web サービスエンドポイントを定義します。
このフィールドには、次の構文を使用して値を指定します。
%protocol://%host:%port%uri/sts
この構文により、特定のセッションパラメータに基づくセキュリティートークンサービスエンドポイント URL を動的に置き換えることができます。
このフィールドには、次の構文を使用して値を指定します。
%protocol://%host:%port%uri/sts/mex
この構文により、特定のセッションパラメータに基づくセキュリティートークンサービス MEX エンドポイント URL を動的に置き換えることができます。
Kerberos は、Web サービスセキュリティーでサポートされるセキュリティープロファイルで、Web サービスクライアントと Web サービスプロバイダの間の Web サービス通信をセキュリティー保護します。一般に、ユーザーはデスクトップに対して認証し、Web サービスおよび Web サービスクライアントを呼び出します。このとき、主体を Kerberos トークンとして識別することにより Web サービスプロバイダに対する要求をセキュリティー保護するために、Kerberos チケットが必要です。通常、Kerberos ベースの Web サービスセキュリティーは、SAML ベースの Web サービスセキュリティーのように境界を越えるのではなく、Kerberos ドメイン (レルム) と同じコンテキストで使用されます。ただし Kerberos は、特に Windows ドメインコントローラ環境においてはもっとも強力な認証メカニズムの 1 つです。
この属性は、Kerberos Distribution Center (ドメインコントローラ) のホスト名を指定します。ドメインコントローラの完全修飾ドメイン名 (FQDN) を入力する必要があります。
この属性は、Kerberos Distribution Center (KDC) のドメイン名を指定します。設定によっては、ドメインコントローラのドメイン名が OpenSSO のドメイン名とは異なる場合があります。
KDC に登録されたセキュリティートークンサービス主体を指定します。
次の形式を使用します。
HTTP/hostname.domainname@dc_domain_name
hostname と domainame はそれぞれ、OpenSSO インスタンスのホスト名とドメイン名を表します。dc_domain_name は、Windows Kerberos サーバー (ドメインコントローラ) が存在する Kerberos ドメインです。Kerberos サーバーを OpenSSO インスタンスのドメイン名と別にすることができます。
Kerberos TGT (チケット付与チケット) キャッシュディレクトリを指定します。ユーザーがデスクトップに対して認証を受けるか kinit (KDC から TGT を取得するために使用されるコマンド) を使用して初期化される場合、TGT はこの属性で定義されたローカルキャッシュに格納されます。