| Interstage Application Server 移行ガイド |
|
目次
索引
|
| 第4章 Interstage Application Server V5からの移行 | > 4.8 Interstage シングル・サインオンの移行 | > 4.8.2 認証サーバの移行 |
V5.x Interstage Application Server Standard Edition、Enterprise Editionからの認証サーバの資源の移行手順について説明します。V7.0ではネットワークから利用者のパスワードが盗聴される危険性に対し、より安全な運用を行うために認証サーバは必ずSSL通信を行う必要があります。V5.xで認証サーバをSSL通信で運用していなかった場合は、移行時にSSL通信の環境を構築してください。また、認証サーバを複数構築し運用している場合は、同時に移行してバージョンを合わせてください。
移行は以下の手順で行います。
認証サーバの資源をバックアップします。バックアップする資源は以下です。
なお、資源のバックアップ時はWebサーバ(Interstage HTTP Server)を停止してください。
Webサーバ(Interstage HTTP Server)にInterstage シングル・サインオン以外のサービスを設定している場合は、設定している各サービスの移行方法に従ってください。
以下に資源のバックアップの例を示します。
バックアップ先パスがX:\Backup\ssoatcagの場合の操作例を以下に示します。
|
注)サービスIDファイルは認証サーバ定義ファイルの“serviceidpath”定義に設定したファイルを指定してください。
バックアップ先パスが/backup/FJSVssoacの場合の操作例を以下に示します。
|
注)サービスIDファイルは認証サーバ定義ファイルの“serviceidpath”定義に設定したファイルを指定してください。
V7.0ではSSL環境にInterstage証明書環境を使用します。V5.xのシステムに構築したSSL環境からサイト証明書を抽出し移行後のInterstage証明書環境にサイト証明書を移入してください。(注)
サイト証明書の抽出はV5.xのシステムに構築したSSL環境からcmmkpfxコマンドを使用してPKCS#12形式で取り出します。cmmkpfxコマンドの詳細については“リファレンスマニュアル(コマンド)編”を参照してください。
注)移行に関してはサイト証明書を発行した認証局のライセンス契約を確認した上で行ってください。
サイト証明書の抽出時の実行例を以下に示します。
User-PINの入力を求められますので入力してください。
PKCS#12データに設定するPassword、および再入力を求められます。パスワードを設定してください。
運用管理ディレクトリ C:\sslenv\manage
SSL通信に使用する証明書のニックネーム SERVERCERT
PKCS#12ファイル出力先 C:\sslenv\manage\server-cert.pfx
|
"C:\Program Files\Common Files\Fujitsu Shared\F3FSSMEE\cmmkpfx" C:\sslenv\manage\server-cert.pfx -ed C:\sslenv\manage -tl SSOToken -nn SERVERCERT |
サイト証明書の抽出時の実行例を以下に示します。
User-PINの入力を求められますので入力してください。
PKCS#12データに設定するPassword、および再入力を求められます。パスワードを設定してください。
運用管理ディレクトリ /sslenv/manage
SSL通信に使用する証明書のニックネーム SERVERCERT
PKCS#12ファイル出力先 /sslenv/manage/server-cert.pfx
|
/opt/FJSVsmee/bin/cmmkpfx /sslenv/manage/server-cert.pfx -ed /sslenv/manage -tl SSOToken -nn SERVERCERT |
SSL通信を行うための環境をバックアップする必要はありません。
現在インストールされているパッケージをアンインストール後、V7.0のパッケージをインストールします。
“SSL通信を行うための環境のバックアップ”でPKCS#12形式で取り出したサイト証明書をInterstage証明書環境に移入します。サイト証明書を移行する場合、以下の手順で行います。
Interstage証明書環境を構築する実行例を以下に示します。
パスワードの入力を求められますので、Interstage証明書環境に設定するパスワードを指定してください。
|
scsmakeenv -e |
Interstage証明書環境にサイト証明書を移入する実行例を以下に示します。
Interstage証明書環境に設定したパスワードの入力を求められますので、入力してください。
PKCS#12データに設定したパスワードの入力を求められますので入力してください。
|
scsimppfx -f C:\sslenv\manage\server-cert.pfx |
Interstage証明書環境を構築する実行例を以下に示します。
コマンド実行時には環境変数JAVA_HOMEにJDK、またはJREのインストールパスを設定してください。
以下はBourneシェルを使用した実行例です。パスワードの入力を求められますので、Interstage証明書環境に設定するパスワードを指定してください。
Interstage証明書環境の所有グループ nobody
|
JAVA_HOME=/opt/FJSVawjbk/jdk13;export JAVA_HOME |
Interstage証明書環境にサイト証明書を移入する実行例を以下に示します。
Interstage証明書環境に設定したパスワードの入力を求められますので、入力してください。
PKCS#12データに設定したパスワードの入力を求められますので入力してください。
|
scsimppfx -f /sslenv/manage/server-cert.pfx |
V5.xの認証サーバでSSL通信を行うための環境構築を行っていない場合、SSL通信環境を構築する必要があります。SSL通信環境には、認証サーバでSSL通信を行う場合とSSL Accelerator 7117などのSSLアクセラレータやInterstage Security Directorなど認証サーバ以外でSSL通信を行う場合があり、それぞれ環境の構築方法が異なります。
SSL通信の環境構築については“シングル・サインオン運用ガイド”の“環境構築(SSO管理者編)”−“認証サーバの構築”−“SSL通信環境の構築”を参照してください。
なお、SSL Accelerator 7117と連携する場合には、SSL Accelerator 7117の“取扱説明書”を参照してください。また、Interstage Security Directorと連携する場合には、Interstage Security Directorのマニュアルを参照してください。
SSL通信環境を構築する場合には、業務サーバから認証サーバにアクセスするためのURLを“http”から“https”に変更する必要があります。V5.x Standard Edition、Enterprise Editionの業務サーバをV7.0に移行する際に、業務サーバの定義ファイル(ssoatzag.conf)の“AuthServerURL”に認証サーバへアクセスするためのURLを設定してください。
認証サーバの資源をリストアします。リストアする資源は以下です。
以下に資源のリストアの例を示します。
バックアップ先パスがX:\Backup\ssoatcagの場合の操作例を以下に示します。
|
注)サービスIDファイルは必ずC:\Interstage\F3FMsso\ssoatcag\confにリストアし、認証サーバ定義ファイルの“serviceidpath”定義に設定してください。
バックアップ先パスが/backup/FJSVssoacの場合の操作例を以下に示します。
|
注)サービスIDファイルは必ず/etc/opt/FJSVssoac/confにリストアし、認証サーバ定義ファイルの“serviceidpath”定義に設定してください。
V5.xでのリポジトリサーバの以下の定義は、V7.0では認証サーバで定義します。認証サーバの定義ファイルをリストア後、リポジトリサーバの定義に設定してある以下の定義を認証サーバ定義ファイルに追加して設定してください。(注1)
また、認証サーバの以下の定義が設定されている場合には、定義を削除してください。
注1)リポジトリサーバが複数台で運用されていた場合は、リポジトリサーバ(更新系)の定義を認証サーバ定義ファイルに追加してください。また、認証サーバが複数台で運用されていた場合は、すべての認証サーバの定義ファイルに追加してください。
注2)V7.0では、本定義名に複数の属性名を設定することはできません。V5.xにて、本定義に複数の属性名を設定していた場合には、使用する証明書にあわせて“mail”、“employeeNumber”、“uid”、“serialNumber”、“dnQualifier”、“cn”のいずれか１つを設定してください。
Interstage HTTP Serverの環境定義ファイル(httpd.conf)に設定してある認証サーバの設定を削除し、以下の設定を追加してください。また、V5.xの認証サーバでSSL通信を行うための環境構築を行っている場合は、認証サーバで使用しているSSL通信の設定も削除してください。なお、ポート番号は移行前に使用していたポート番号を設定してください。
削除する設定については、旧バージョンの“シングル・サインオン運用ガイド”の“環境構築”−“認証サーバの環境構築”−“Interstage HTTP Serverの環境定義ファイルの設定”を参照してください。
なお、Interstage HTTP Serverの環境定義の編集に失敗している場合は、[セキュリティ] > [シングル・サインオン] > [認証基盤] > [一覧]に表示される認証サーバのポート番号に“不明”と表示されます。編集内容に間違いがないか確認してください。
環境定義ファイルに追加する項目
|
項目名 |
内容 |
|---|---|
|
Listen |
サーバが起動するときのネットワークポート番号 |
|
LoadModule |
認証サーバのプログラム |
|
AddModule |
認証サーバの実行に必要な項目 |
|
<VirtualHost _default_:ポート番号> |
認証サーバの実行に必要な項目 |
Interstage HTTP Serverの環境定義ファイル(httpd.conf)の設定例
環境定義ファイルの最終行に以下の記述を追加し、太字部分(ポート番号)を運用に合わせて変更してください。なお、以下は認証サーバを運用するポート番号に“443”を使用する場合を例にしています。
|
Listen 443 |
環境定義ファイルの最終行に以下の記述を追加し、太字部分(ポート番号)を運用に合わせて変更してください。なお、以下は認証サーバを運用するポート番号に“443”を使用する場合を例にしています。
|
Listen 443 </VirtualHost> |
環境移行後、認証サーバの環境を移行したマシンのInterstage管理コンソールから以下の手順で環境を設定します。各項目の詳細についてはInterstage管理コンソールのヘルプを参照してください。
業務サーバの保護リソースへのアクセスは、Interstageシングル・サインオンにより制御されますが、業務サーバを非SSL（http）通信で運用している場合、ネットワークから保護リソースが盗聴される危険性があります。業務サーバをSSL（https）通信で運用することにより通信内容を暗号化し、盗聴から守ることができます。業務サーバはSSL（https）通信で運用することを強く推奨します。
また、より安全に運用していただくために、すべての業務サーバをSSL（https）通信で運用している場合には、以下の設定をすることにより、非SSL（http）通信で運用している業務サーバからのアクセスを禁止できます。
V7.0の環境定義はInterstage管理コンソールを使用して設定します。V5.xの環境定義の項目とInterstage管理コンソールによる設定の対応については“シングル・サインオン運用ガイド”の“旧バージョンの環境定義と機能について”を参照してください。
|
目次
索引
|