このモジュールにより、ユーザーは個人デジタル証明書 (PDC) を通じてログインすることができます。このモジュールインスタンスは、証明書の状態を判断するために OCSP (Online Certificate Status Protocol) の使用を必要とする場合があります。OCSP の使用はオプションです。証明書が有効か無効かによって、ユーザーがリソースへのアクセスを許可されるかどうかが決まります。証明書認証属性はレルム属性です。属性は次のとおりです。
ログイン時に提出されたユーザー証明書が LDAP サーバーに格納されているかをチェックするかどうかを指定します。一致する証明書がない場合、ユーザーはアクセスを拒否されます。一致する証明書があり、かつほかの検証が必要ない場合、ユーザーはアクセスを許可されます。デフォルトでは、証明書認証サービスはユーザー証明書の有無をチェックしません。
注 – Directory Server に格納されている証明書が必ずしも有効とは限りません。証明書失効リストに含まれている可能性があります。「CRL に対して証明書を照合」を参照してください。ただし、Web コンテナは、ログイン時に示されるユーザー証明書の有効性をチェックする場合があります。
LDAP で証明書を検索するのに使用する証明書の SubjectDN 値の属性を指定します。この属性はユーザーエントリを一意に識別するものである必要があります。検索には実際の値を使用します。デフォルトは cn です。
ユーザー証明書と LDAP サーバーの証明書失効リスト (CRL) を比較するかどうかを指定します。CRL は発行者の SubjectDN の属性名の 1 つで特定されます。証明書が CRL に載っている場合、ユーザーはアクセスを拒否され、載っていない場合は許可されます。デフォルトでは、この属性は無効になっています。
証明書の所有者の状態が変わってその証明書を使う権利がなくなった場合、または証明書の所有者の秘密鍵が漏洩した場合は、証明書を取り消す必要があります。
LDAP で CRL を検索するのに使用する、受信した証明書の発行者 subjectDN 値の属性を指定します。このフィールドは、「CRL に対して証明書を照合」属性が有効になっているときにのみ使用されます。検索には実際の値を使用します。デフォルトは cn です。
CRL 更新のサーブレットから CRL を取得するための HTTP パラメータを指定します。これらのパラメータについては、CA の管理者に問い合わせてください。
対応する OCSP レスポンダと通信することによって実行される OCSP 検証を有効にします。OCSP レスポンダは、実行時に次のように決定されます。ここに示した属性は、コンソールの「設定」>「サーバーおよびサイト」>「セキュリティー」にあります。
この値が true に設定され、OCSP レスポンダが 「レスポンダ URL」 属性で設定されている場合は、この属性の値が OCSP レスポンダとして使用されます。
「オンライン証明書の状態プロトコルの確認」が有効になっていて、この属性の値が設定されていない場合は、クライアント証明書に示されている OCSP レスポンダが OCSP レスポンダとして使用されます。
「オンライン証明書の状態プロトコルの確認」が有効になっていない場合、または 「オンライン証明書の状態プロトコルの確認」が有効になっているのに OCSP レスポンダが見つからない場合は、OCSP 検証が行われません。
OCSP 検証を有効にする前に、OpenSSO マシンと OCSP レスポンダマシンの時刻ができるかぎり一致するようにしてください。また、OpenSSO マシンの時刻が OCSP レスポンダの時刻より遅れないようにすることが必要です。次に例を示します。
OCSP レスポンダマシン: 12:00:00 pm
OpenSSO マシン: 12:00:30 pm
証明書が格納されている LDAP サーバーの名前とポート番号を指定します。デフォルト値は、OpenSSO のインストール時に指定したホスト名とポートです。証明書が格納されている LDAP サーバーのホスト名とポートを使用できます。形式は hostname:port です。
ユーザーの証明書に対する検索を開始するノードの DN を指定します。デフォルト値は存在しません。このフィールドは有効な DN をすべて認識します。
複数のエントリの場合は、ローカルサーバー名をプレフィックスとして付ける必要があります。形式は次のとおりです。
servername|search dn
複数のエントリの場合は、次のようになります。
servername1|search dn servername2|search dn servername3|search dn...
ルート組織の下に同じユーザー ID で複数のエントリが存在する場合、認証が正しく行われるためには、1 つのエントリだけを検索または発見できるようにこのパラメータを設定する必要があります。たとえば、ルート組織の下でエージェント ID とユーザー ID が同じである場合、ルート組織でエージェント ID を使用して認証するにはこのパラメータを ou=Agents に、ユーザー ID を使用して認証するにはこのパラメータを ou=People にしてください。
このフィールドは、証明書が格納されている LDAP サーバーの主体ユーザーの DN を受け入れます。このフィールドにデフォルト値はありません。有効な DN をすべて認識します。主体ユーザーは読み取り権限を持ち、Directory Server に格納されている証明書情報を検索する必要があります。
このフィールドは、「LDAP サーバーの主体ユーザー」フィールドで指定されるユーザーに関連付けられた LDAP パスワードを保持します。このフィールドにデフォルト値はありません。指定した主体ユーザーの有効な LDAP パスワードを認識します。この値は読み取り可能テキストとしてディレクトリに格納されます。
パスワードを確認します。
LDAP サーバーへのアクセスに SSL を使用するかどうかを指定します。デフォルトでは、証明書認証サービスは LDAP アクセスに SSL を使用しません。
一致するユーザープロファイルの検索に使用する、証明書の対象 DN のフィールドを指定します。たとえば、電子メールアドレスを選択すると、証明書認証サービスはユーザー証明書の属性 emailAddr に一致するユーザープロファイルを検索します。その後、ログインするユーザーは一致したプロファイルを使用します。デフォルトのフィールドは「対象 CN」です。リストは次のとおりです。
電子メールアドレス
対象 CN
対象 DN
対象 UID
その他
「ユーザープロファイルへのアクセスに使用する証明書フィールド」属性の値を「その他」に設定した場合は、このフィールドで、受信した証明書の subjectDN 値から選択する属性を指定します。認証サービスは、その属性の値に一致するユーザープロファイルを検索します。
「なし」以外の値タイプが選択されている場合、この属性は、「ユーザープロファイルへのアクセスに使用する証明書フィールド」属性または「ユーザープロファイルへのアクセスに使用するその他の証明書フィールド」属性よりも優先します。
RFC822Name
UPN
OpenSSO に証明書を送信する信頼できるホストのリストを定義します。OpenSSO は、証明書がいずれかの信頼できるホストから送信されていることを検証する必要があります。この属性は、Portal Server Gateway、SSL ターミネーション機能を備えたロードバランサ、および分散認証で使用されます。
属性が無効になります。この値はデフォルトで設定されます。
任意のクライアント IP アドレスから Portal Server Gateway スタイルの証明書認証を受け入れます。
Portal Server Gateway スタイルの証明書認証要求を受け入れる IP アドレス (ゲートウェイの IP アドレス) を一覧表示します。属性はレルムベースで設定できます。
セキュリティー保護されたソケットレイヤのポート番号を指定します。現在、この属性は Gateway サーブレットでのみ使用します。SSL ポート番号の追加または変更を行う前に、『OpenSSO Administration Guide』の「ポリシーベースのリソース管理」を参照してください。
この属性は、「信頼できるリモートホスト」属性が all に設定されているか、定義済みの特定のホスト名を保持している場合にのみ使用されます。管理者は、ロードバランサまたは SRA によって挿入されたクライアント証明書用の HTTP ヘッダー名を指定する必要があります。
認証レベルは認証方法ごとに個別に設定します。この値は、認証メカニズムの信頼度を示します。ユーザーが認証を受けると、この値がセッションの SSO トークンに格納されます。ユーザーがアクセスするアプリケーションに SSO トークンが提供されると、そのアプリケーションは格納されている値を使用して、ユーザーにアクセスを許可するのに十分なレベルかどうかを判別します。SSO トークンに格納されている認証レベルが必要な最小値に満たない場合、アプリケーションはユーザーにより高い認証レベルのサービスで認証を再度受けるよう要求することがあります。デフォルト値は 0 です。
注 – 認証レベルの指定がない場合、SSO トークンはコア認証属性の 「デフォルト認証レベル」で指定した値を格納します。