Web サービスクライアントエージェントプロファイルは、Web サービスクライアントからのアウトバウンドの Web サービス要求をセキュリティー保護するために使用される設定を記述します。Web サービスクライアントの名前は、すべてのエージェントを通じて一意である必要があります。
次の一般属性は、Web サービスクライアントの基本的なプロパティーを定義します。
「グループ」メカニズムを使用すると、類似のエージェントタイプのコレクションを定義できます。特定のエージェントをコレクションに追加する前に、グループを定義しておく必要があります。
Web サービスプロバイダエージェントのパスワードを定義します。
パスワードを確認します。
Web サービスクライアントエージェントがシステム内でアクティブになるかどうかを定義します。この属性は、デフォルトではアクティブになります。つまり、エージェントは Web サービスクライアントからのアウトバウンドの Web サービス要求のセキュリティー保護に参加し、Web サービスプロバイダからの Web サービス応答を検証します。
Web サービスクライアントエージェントを一意に定義する、基本的な LDAP プロパティーのリスト。
次の属性は、Web サービスクライアントのセキュリティー属性を定義します。
Web サービスクライアントの要求をセキュリティー保護するために使用する、セキュリティー証明情報の種類を定義します。次のいずれかのセキュリティー証明情報を選択できます。
Anonymous — 匿名セキュリティーメカニズムにはセキュリティー証明情報はありません。
KerberosToken — Kerberos セキュリティートークンを使用します。
LibertyDiscoverySecurity — Liberty ベースのセキュリティートークンを使用します。
SAML-HolderOfKey — SAML 1.1 の表明タイプ Holder-Of-Key を使用します。
SAML-SenderVouches — SAML 1.1 の表明タイプ Sender Vouches を使用します。
SAML2-HolderOfKey — SAML 2.0 の表明トークンタイプ Holder-Of-Key を使用します。
SAML2-SenderVouches — SAML 2.0 の表明トークンタイプ Sender Vouches を使用します。
STSSecurity — 特定の Web サービスプロバイダに対するセキュリティートークンサービスによって生成されたセキュリティートークンを使用します。
UserNameToken — ダイジェストパスワード付きのユーザー名トークンを使用します。
UserNameToken-Plain — ユーザー名トークンと平文パスワードを使用して Web サービス要求をセキュリティー保護します。
X509Token — X509 証明書を使用します。
この属性は、Web サービスクライアントがセキュリティーメカニズムとしてセキュリティートークンサービス (STS) を使用する場合に有効になります。この設定は、STS サービスとの通信および STS サービスへの Web サービス要求のセキュリティー保護に使用される、STS エージェントプロファイルのリストを記述します。
この属性は、Web サービスクライアントがディスカバリサービスセキュリティーに対応している場合に有効になります。この設定は、ディスカバリサービスへの要求をセキュリティー保護するために使用される、ディスカバリエージェントプロファイルのリストを記述します。
この属性が有効になっている場合、サービスクライアントの保護されたページでは、ユーザーはアクセスを取得するために認証を受ける必要があります。
この属性が有効になっている場合、以降の処理で使用できるように SOAP セキュリティーヘッダーを Web サービスクライアントで保持するように定義されます。
この属性が有効になっている場合、Web サービスクライアントは対象から受け取ったセキュリティートークンをパススルーします。この場合、トークンをローカルまたは STS 通信で作成しようとしません。
URN (Universal Resource Name) は、Web サービスクライアントがサービス検索に使用する Liberty サービスタイプを記述します。
この属性は、Web サービスクライアントがユーザー名セキュリティートークンを生成するために使用する、ユーザー名/パスワード共有シークレットを表します。
次の属性は、Web サービスのセキュリティーに関する署名と暗号化の設定を定義します。
これが有効になっている場合、Web サービスクライアントは特定のトークンタイプを使用して要求に署名します。
これが有効になっている場合は、Web サービスクライアントのセキュリティーヘッダーが暗号化されます。
これが有効になっている場合は、Web サービスクライアントの要求が暗号化されます。
これが有効になっている場合は、Web サービス応答の署名が確認されます。
これが有効になっている場合は、Web サービスの応答が復号化されます。
次の属性は、証明書の格納と検索に使用するキーストアを設定します。
この属性は、Web サービス要求の暗号化または Web サービス応答の署名の確認に使用される証明書公開鍵エイリアスを定義します。
この属性は、Web サービス要求の署名または Web サービス応答の復号化に使用される証明書非公開鍵エイリアスを定義します。
この設定は、デフォルトのキーストアを使用するかカスタムのキーストアを使用するかを定義します。カスタムキーストアを使用する場合は、次の値を定義する必要があります。
キーストアの場所
キーストアのパスワード
キーのパスワード
次の属性は、Web サービスエンドポイントを定義します。
この属性は、Web サービスクライアントが要求を行う Web サービスエンドポイントを定義します。このエンドポイントは、Web セキュリティープロキシとして設定されないかぎり、省略可能です。
この属性は、Web サービスクライアントが要求を行う Web サービスエンドポイントを定義します。
Kerberos は、Web サービスセキュリティーでサポートされるセキュリティープロファイルで、Web サービスクライアントと Web サービスプロバイダの間の Web サービス通信をセキュリティー保護します。一般に、ユーザーはデスクトップに対して認証し、Web サービスおよび Web サービスクライアントを呼び出します。このとき、主体を Kerberos トークンとして識別することにより Web サービスプロバイダに対する要求をセキュリティー保護するために、Kerberos チケットが必要です。通常、Kerberos ベースの Web サービスセキュリティーは、SAML ベースの Web サービスセキュリティーのように境界を越えるのではなく、Kerberos ドメイン (レルム) と同じコンテキストで使用されます。ただし Kerberos は、特に Windows ドメインコントローラ環境においてはもっとも強力な認証メカニズムの 1 つです。
この属性は、Kerberos Distribution Center (ドメインコントローラ) のホスト名を指定します。ドメインコントローラの完全修飾ドメイン名 (FQDN) を入力する必要があります。
この属性は、Kerberos Distribution Center (KDC) のドメイン名を指定します。設定によっては、ドメインコントローラのドメイン名が OpenSSO のドメイン名とは異なる場合があります。
KDC に登録された Web サービス主体を指定します。
次の形式を使用します。
HTTP/hostname.domainname@dc_domain_name
hostname と domainame はそれぞれ、OpenSSO インスタンスのホスト名とドメイン名を表します。dc_domain_name は、Windows Kerberos サーバー (ドメインコントローラ) が存在する Kerberos ドメインです。Kerberos サーバーを OpenSSO インスタンスのドメイン名と別にすることができます。
Kerberos TGT (チケット認可チケット) キャッシュディレクトリを指定します。ユーザーがデスクトップに対して認証を受けるか kinit (KDC から TGT を取得するために使用されるコマンド) を使用して初期化される場合、TGT はこの属性で定義されたローカルキャッシュに格納されます。