Sun Java System Application Server Enterprise Edition 8.1 2005Q2 管理ガイド

- Previous: セキュリティー管理用ツール
- Next: セキュリティーの責任の割り当て

### パスワードのセキュリティー管理

Application Server のこのリリースでは、特定のドメインの仕様が収められるファイル `domain.xml` 内に、Sun Java System Message Queue ブローカのパスワードが、あらかじめ平文で格納されています。このパスワードを収めた `domain.xml` ファイルの要素は、`jms-host` 要素の `admin-password` 属性です。このパスワードは変更不可能なので、インストールの際、セキュリティーに重大な影響は与えません。

ただし、管理コンソールを使用してユーザーやリソースを追加し、そのユーザーやリソースにパスワードを割り当ててください。このパスワードの中には、たとえばデータベースにアクセスするためのパスワードなど、平文で `domain.xml` ファイルに記述されているものがあります。このようなパスワードを平文で `domain.xml` ファイルに保持すると、セキュリティー上の危険を引き起こす可能性があります。次の手順を実行すると、`admin-password` 属性やデータベースパスワードを含む `domain.xml` のすべてのパスワードを暗号化できます。

#### domain.xml 内のパスワードを暗号化する

##### 手順

1. `domain.xml` ファイルが格納されているディレクトリ (デフォルトでは domain-dir`/config`) から、次の `asadmin` コマンドを実行します。

       asadmin create-password-alias --user admin alias-name

   次に例を示します。

       asadmin create-password-alias --user admin jms-password

   パスワードプロンプトが表示されます。この場合は `admin` です。詳細については、`create-password-alias`、`list-password-aliases`、`delete-password-alias` コマンドのマニュアルページを参照してください。

2. `domain.xml` のパスワードの削除および置き換えを行います。これは、`asadmin set` コマンドを使用して行います。このような目的での `set` コマンドの使用例は、次のとおりです。

       asadmin set --user admin server.jms-service.jms-host.
       default_JMS_host.admin-password=${ALIAS=jms-password}

3. 該当するドメインの Application Server を再起動します。

#### エンコード化されたパスワードを含むファイルの保護

ファイルの中にはエンコード化されたパスワードを含むものがあり、ファイルシステムのアクセス権を使用しての保護が必要になります。これらのファイルには次のものが含まれます。

- domain-dir`/master-password`

  このファイルにはエンコード化されたマスターパスワードが含まれているので、ファイルシステムのアクセス権 600 で保護する必要があります。

- `asadmin` への `--passwordfile` 引数を使用して、引数として渡すために作成されたすべてのパスワードファイル。これらは、ファイルシステムのアクセス権 600 で保護する必要があります。

#### マスターパスワードを変更する

マスターパスワード (MP) とは、全体で共有するパスワードです。これを認証に使用したり、ネットワークを介して送信したりすることは決してありません。このパスワードはセキュリティー全体の要なので、ユーザーが必要に応じて手動で入力したり、またはファイルに隠蔽したりすることができます。これは、システムで最高の機密データです。ユーザーは、このファイルを削除することで、強制的に MP の入力を要求できます。マスターパスワードが変更されると、マスターパスワードキーストアに再保存されます。

##### 手順

1. ドメインの Application Server を停止します。新旧のパスワードの入力を促す `asadmin change-master-password` コマンドを使用して、依存するすべての項目を再暗号化してください。次に例を示します。

       asadmin change-master-password>
       Please enter the master password>
       Please enter the new master password>
       Please enter the the new master password again>

2. Application Server を再起動します。

   注意 –

   この時点で、実行中のサーバーインスタンスを開始してはいけません。対応するノードエージェントの SMP が変更されるまでは、決して実行中のサーバーインスタンスを再起動しないでください。SMP が変更される前にサーバーインスタンスを再起動すると、起動に失敗します。

3. 各ノードエージェントおよび関連するサーバーを １ つずつ停止します。`asadmin change-master-password` コマンドをもう一度実行してから、ノードエージェントおよび関連するサーバーを再起動してください。

4. すべてのノードエージェントで対応が終了するまで、次のノードエージェントで同様の作業を継続します。このようにして、継続的な変更作業が完了します。

#### 管理パスワードを変更する

管理パスワードの暗号化については、「パスワードのセキュリティー管理」を参照してください。管理パスワードの暗号化は強く推奨されています。管理パスワードを暗号化する前に変更する場合は、`asadmin set` コマンドを使用してください。このような目的での `set` コマンドの使用例は、次のとおりです。

    asadmin set --user admin
    server.jms-service.jms-host.default_JMS_host.admin-password=new_pwd

管理コンソールを使って管理パスワードを変更することもできます。その手順を次に示します。

##### 手順

1. 管理コンソールのツリーコンポーネントで、「設定」ノードを展開します。

2. 設定するインスタンスを選択します。

   - 特定のインスタンスを設定するには、そのインスタンスの設定ノードを展開します。たとえば、デフォルトインスタンス `server` の場合は、`server-config` ノードを展開します。

   - すべてのインスタンスのデフォルト値を設定するには、`default-config` ノードを展開します。

3. 「セキュリティー」ノードを展開します。

4. 「レルム」ノードを展開します。

5. `admin-realm` ノードを選択します。

6. 「レルムを編集」ページで、「ユーザーを管理」ボタンをクリックします。

7. `admin` という名前のユーザーを選択します。

8. 新しいパスワードを入力し、そのパスワードをもう一度入力します。

9. 「保存」をクリックして保存するか、「閉じる」をクリックして保存しないで閉じます。

- Previous: セキュリティー管理用ツール
- Next: セキュリティーの責任の割り当て

- © 2010, Oracle Corporation and/or its affiliates