SJC-WC

５章


≪web.xmlのセキュリティ設定≫

<web-app>
　├<security-role>
　││　web.xmlで使用するロールを定義。コンテナ固有の設定によって予め定義されてる
　││　必要がある。Tomcatの場合「conf/tomcat-users.xml」でロール名を定義しておく。
　│└<role-name>
　└<security-constraint>
　　├<display-name>
　　│　ツールなどで表示する際の名前
　　├<web-resource-collection>
　　│　セキュリティ対象となるリソースの集合を定義
　　│　├<web-resource-name>リソース範囲の名前
　　│　├<description>説明
　　│　├<url-pattern>リソース範囲を表すURLパターン
　　│　└<http-method>GETやPOSTなどのリクエストメソッド
　　├<auth-constraint>
　　│　セキュリティ制約の対象となるロールを指定
　　│　├<description>説明
　　│　└<role-name>対象となるロール
　　└<user-data-constraint>
　　　　クライアントとコンテナ間のデータ通信の保護法方
　　　　├<description>説明
　　　　└<transport-guarantee>
　　　　　　クライアントとコンテナ間のデータ通信がどのように保護されるかを指定
　　　　　　　NONE：なし
　　　　　　　INTEGRAL：データの完全性　　　<login-config><auth-method>CLIENT-CERT　の時に指定
　　　　　　　CONFIDENTIAL：データの機密性　<login-config><auth-method>CLIENT-CERT　の時に指定
　　　　


≪認証タイプの設定≫

<login-config>
　　├<auth-method>認証タイプを指定
　　│　BASIC：サーバ[401]→クライアント[ID・Pass(Base64でエンコード)]→サーバ[200 OK]→クライアント
　　│　DIGEST：Passのみを暗号化　サーバ[nonce値]→クライアント[((Pass＊MD5)＋nonce値)＊MD5]→サーバ[照合]
　　│　FORM：HTMLで入力ダイアログを記述する際に使用。BASIC同様、非暗号化の認証方。ID/Passはコンテナ固有(tomcat-users.xml)
　　│　CLIENT-CERT：通信データ暗号のためのSSLを使った認証。
　　├<realm-name>レルム（認証領域）名を指定
　　└<form-login-config>認証タイプ<auth-method>がFORMの際に用いるログイン／エラーページを設定する
　　　　├<form-login-page>
　　　　└<form-error-page>