社内システムのセキュリティとアクセス制御の常識：企業システムの常識をJBossで身につける（9）（4/4 ページ）

» 2010年06月04日 00時00分公開

[原田壮士, 多田丈晃, 上川伸彦，株式会社ビーブレイクシステムズ]

PicketLinkのXACMLコンポーネント

　PicketLinkのXACMLコンポーネントは、前述のOASISで規定されているXACMLのバージョン2を実装しています。今回は、XACMLのポリシーファイルの設定方法を説明します。なお、サンプルを用いたPicketLinkのXACMLコンポーネントの説明は省きます。

XACMLとは

　XACMLとは、インターネットを通じた情報アクセスに関する制御ポリシーを記述するための言語使用です。

　例として、図9のサンプルでXACMLについて簡単に説明します。図9は、「ログイン画面に対しては、JBossAdmin権限がないとアクセス（read、write）できない」というアクセスコントロールを表しています。そのため、Manager権限であるBさんは、ログイン画面を参照できません。このようなアクセスコントロールをXACMLでは、「Policy」として定義します。

図9　 PicketLinkのXACMLコンポーネントでのポリシー設定例明示図

　Policy内では、どのように設定すればいいのでしょうか。以下の図10では、Policyを設定する際に基本的に必要な、PolicyとRule、Target、Conditionの概要を示しています。

図10　ポリシーの設定イメージ

　以上が、XACMLについての概略です。より詳しくXACMLについて知りたい方は、OASISのページを参照してみてください。

XACMLのポリシーファイルの設定方法

　XACMLのポリシーファイルの書き方ついて、再度図9のサンプルを用いて説明します。上記の図9では、AさんにはJBossAdminの権限をBさんにはManagerの権限を事前に与える必要があります。

　XACMLのポリシーファイルでログイン画面に対して、以下の表の設定を行っていると考えてください。


<Target>対象	login.seam
<Rule>ルール	read write
<Condition>条件	JBossAdmin権限
表3　JBoss XACMLのPolicyの設定

　上記の表3は、Policyの設定としてログイン画面に対してreadやwriteを行うためには、JBossAdmin（JBossのデフォルト権限）の権限を持たなければならないということを意味しています。

　実際のXACMLのポリシーファイル内では、どのように設定できるのでしょうか。図9のアクセス制御の内容をXACMLとして設定した例が、コード6です。

<Policy xmlns="urn:oasis:names:tc:xacml:2.0:policy:schema:os"
 RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:permit-overrides" Version="2.0" PolicyId="SamplePolicy">
<!-- ↑【1】RuleCombiningAlgIdで全体のルールのアルゴリズムとして、【2】以下で設定するルールのどれか1つでも当てはまればルールを許可するということを設定。【2】VersionとPolicyIdでバージョンとポリシーを識別するためのIDを設定 -->
 
  <Target>
    <Resources>
      <Resource>
        <ResourceMatch
          MatchId="urn:oasis:names:tc:xacml:1.0:function:anyURI-equal"> 
          <AttributeValue
            DataType= "http://www.w3.org/2001/XMLSchema#anyURI">/login.seam</AttributeValue>
<!-- ↑【3】アクセスコントロールの対象画面を設定 -->
 
          <ResourceAttributeDesignator
            DataType= http://www.w3.org/2001/XMLSchema#anyURI 
            AttributeId="urn:oasis:names:tc:xacml:1.0:resource:resource-id"/>
        </ResourceMatch>
      </Resource>
    </Resources>
  </Target>
  <Rule Effect="Permit" RuleId="SampleRule">
<!-- ↑【4】ルールを分岐するための設定と、1つのルールを識別するためのIDを設定（ここでは、Permit（許可）を設定している。このほかのルールの分岐設定に関しては【8】を参照） -->
 
    <Target>
      <Actions>
        <Action>
          <ActionMatch
            MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">　
            <AttributeValue
              DataType= "http://www.w3.org/2001/XMLSchema#string">read</AttributeValue>
<!-- ↑【5】アクセスコントロールで許可されるActionを設定（今回はreadを設定） -->
 
            <ActionAttributeDesignator
              DataType="http://www.w3.org/2001/XMLSchema#string"
              AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id"/>
          </ActionMatch>
        </Action>
        <Action>
          <ActionMatch
            MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
            <AttributeValue
              DataType="http://www.w3.org/2001/XMLSchema#string">write</AttributeValue>
<!-- ↑【6】アクセスコントロールで許可されるActionを設定（今回はwriteを設定） -->
            <ActionAttributeDesignator
              DataType="http://www.w3.org/2001/XMLSchema#string"
              AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id"/>
          </ActionMatch>
        </Action>
      </Actions>
    </Target>
    <Condition>
      <Apply  FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-is-in">
        <AttributeValue
          DataType= "http://www.w3.org/2001/XMLSchema#string">JBossAdmin</AttributeValue>
<!-- ↑【7】上記で設定したルールを分岐するための条件を設定（今回は条件として、JBossAdmin権限を設定）
 
       <SubjectAttributeDesignator
          DataType="http://www.w3.org/2001/XMLSchema#string" 
          AttributeId="urn:oasis:names:tc:xacml:2.0:subject:role" /> 
      </Apply>
    </Condition>
  </Rule>
<!-- どのルールにも当てはまらなければ、Denyが適用される -->
  <Rule Effect="Deny" RuleId="DenyRule"/>
<!-- ↑【8】上記設定のアクセス許可ルールに当てはまらなかったときに実行される、ルールの分岐を設定（今回はルールとして、Deny（拒否）を設定） -->
</Policy>

コード6　sample-xacml-policy.xml

　このようにXACMLでは、細かいアクセスコントロールの設定を規定できます。「PicketLinkのXACMLコンポーネントは、その規定通りにアプリケーションを動作できる」というわけです。

　今回紹介した認証系のアクセスコントロール（JBossではPicketLinkのIDMコンポーネント）と、細かい制御設定を規定できるアクセスコントロール（JBossでは、PicketLinkのXACMLコンポーネント）を組み合わせることで、社内システムに必要なレベルのアクセスコントロールを実現可能です。