Interstage Application Server シングル・サインオン運用ガイド

5.1.3.6 運用資源のアクセス権限の設定

　定義ファイルやサービスIDファイルなどは、Javaアプリケーションを運用するために必要な資源であり、安全に保護されている必要があります。運用資源を保護するためのアクセス権限の設定について説明します。

　具体的なアクセス権限の設定方法を以下に説明します。なお、業務サーバの動作に必要なアクセス権については“業務サーバ運用資源のアクセス権限の設定”を参照してください。

サーブレットアプリケーションで業務サーバの定義を使用して認証先の認証サーバを指定する場合

　業務サーバの定義を使用するJavaアプリケーションはAdministratorsグループに所属するユーザで実行してください。

　IJServerの運用ユーザに対しても、業務サーバの定義に対する読み込みができるように、IJServerの運用ユーザとInterstage HTTP Serverの環境定義ファイル(httpd.conf)のUserディレクティブに指定するユーザを一致させてください。

■IJServerの運用ユーザをnobodyにする場合、以下の手順で環境設定を行ってください。

1. ワークユニット自動起動を利用してIJServerをユーザnobodyで起動するようにしてください。

■IJServerの運用ユーザをnobody以外にする場合には、以下の手順で環境設定を行ってください。

1. useraddコマンドなどでIJServerの運用ユーザを新規作成してください。作成したユーザにはhttpd.confのUserディレクティブに指定されているユーザのファイルアクセス権限と同等のユーザ権限を与えるようにしてください。
2. 1.で作成したユーザに次項で説明しているファイルに対するアクセス権限の設定を行ってください。
3. httpd.confのUserディレクティブに1.で作成したユーザを指定してください。(注1)
4. Interstage HTTP Serverの運用資源に、Userディレクティブで指定したユーザに対してアクセス権限を設定してください。(注2)

注1)Interstage HTTP Serverの環境定義ファイルの詳細については、“Webサーバ運用ガイド(Interstage HTTP Server編)”の“環境設定”−“環境定義ファイル”を参照してください。
注2)Interstage HTTP Serverの運用資源へのアクセス権限の設定については“業務サーバで使用するWebサーバの運用資源”を参照してください。

ファイルに対するアクセス権限の設定

　ファイルに対するアクセス権限の設定には、エクスプローラを使用して、ユーザやグループのアクセス許可を変更してください。アクセス権限の設定は、Administrator権限を持ったユーザで行ってください。

資源	アクセス権限の設定内容
業務サーバ定義ファイル	業務サーバの動作に必要なアクセス権に加え、Javaアプリケーションを実行するユーザに対して読み取りを許可してください。
サービスIDファイル	業務サーバの動作に必要なアクセス権に加え、Javaアプリケーションを実行するユーザに対して読み取りを許可してください。
ログイン構成ファイル	Javaアプリケーションを実行するユーザに対してのみフルコントロールを許可してください。
セキュリティポリシーファイル	Javaアプリケーションを実行するユーザに対してのみフルコントロールを許可してください。
トラストストアファイル	Javaアプリケーションを実行するユーザに対してのみフルコントロールを許可してください。

　ファイルに対するアクセス権限の設定には、chmodコマンドや、chownコマンドを使用します。アクセス権限の設定は、スーパユーザ(root)で行ってください。

資源	アクセス権限の設定内容
業務サーバ定義ファイル	業務サーバの動作に必要なアクセス権に加え、Javaアプリケーションを実行するユーザに対してreadを許可してください。
サービスIDファイル	業務サーバの動作に必要なアクセス権に加え、Javaアプリケーションを実行するユーザに対してreadを許可してください。
ログイン構成ファイル	Javaアプリケーションを実行するユーザに対してのみread, writeを許可してください。
セキュリティポリシーファイル	Javaアプリケーションを実行するユーザに対してのみread, writeを許可してください。
トラストストアファイル	Javaアプリケーションを実行するユーザに対してのみread, writeを許可してください。