キャッシュ機能説明書 (統合環境設定編)

2.9 SSLユーザ認証機能

　SSLユーザ認証機能は、クライアントが持っている証明書を利用して、ディレクトリサーバに登録してあるユーザのエントリを検索し、エントリに登録してあるユーザ名の取得を行う認証機能です。
　本機能により、ユーザはブラウザ上でのユーザ名／ユーザパスワードの入力を行うことなくユーザ認証を行うことができます。また、取得したユーザ名を使用して、アクセスリストのユーザ設定に従ったアクセス制御を行うこともできます。
　ディレクトリサーバに問合せて認証を行った結果情報をInfoProxyでキャッシュすることができます。2回目以降のディレクトリサーバへの問合せ処理をキャッシュした情報から判断することで、クライアントへの応答速度を向上できます。
　なお、本機能を使用できるのは、PROXYサーバでリバース機能を使用し、クライアントの間でSSLによる通信を行っている場合のみです。
　証明書には、UTF-8証明書を使用することができます。ただし、連携に使用するディレクトリサーバのバージョンによって使用できる証明書に制限があります。“ [注意]”の説明を参照してください。

図2.17にその概要を示します。

図2.17　SSLユーザ認証機能の概要

　SSLユーザ認証機能には次のような機能があります。

• クライアントのユーザ名の取得
  
  クライアントから受信したSSLクライアント証明書に含まれている情報を元に、ディレクトリサーバに対してエントリの検索を行い、ユーザ名を取得します。
  
  
• SSLクライアント証明書比較
  
  ディレクトリサーバに問い合わせた結果、該当するエントリが一意に特定できた場合に、SSLクライアント証明書とエントリに登録されている証明書のバイナリデータ比較を行うことができます。
  
  
• ディレクトリサーバの認証機能への移行
  
  SSLユーザ認証が行えなかった場合に、ディレクトリサーバの認証機能によるユーザ認証処理に移ることができます。SSLユーザ認証が行えなかったとは、以下の場合を指します。
  • クライアントがSSLクライアント証明書を持っていない。
  • SSLクライアント証明書からユーザ名を特定できない。(ディレクトリサーバ上に該当するエントリが複数ある、または存在しない。特定したエントリにユーザ名がない。)
  • SSLクライアント証明書からユーザ名を特定できたが、エントリに登録されている証明書とのバイナリデータ比較の結果が不一致。
  
  

　なお、SSLユーザ認証機能には以下の留意点があります。

• SSLユーザ認証機能を使用できるのは、以下の設定でPROXYサーバを運用する場合のみです。
  • PROXYサーバのリバース機能を使用し、かつ、
  • クライアントとの接続にSSLを使用する場合(SSLプロトコルバージョンが“SSL3.0”または“SSL2.0/3.0”)。

[注意]

• SSLユーザ認証機能を使用した場合、使用するブラウザによってはPOSTメソッドによる通信ができず、PROXYサーバからタイムアウトが通知されるまで応答が返らない場合があります。この場合は、リバース制御設定でクライアント認証を行うように設定することで通信が可能になりますが、クライアントとのすべての通信で証明書検証が行われることになります。
• SSLユーザ認証機能で使用できる証明書は、当社のインターネット／イントラネットで証明書管理を実現するソフトウェアであるInfoCAまたはSystemWalker/PkiMGRで発行する証明書、および日本ベリサイン株式会社、日本認証サービス株式会社が発行する証明書です。
• 以下の条件の場合、本製品ではWWWクライアント／WWWサーバとの通信および、ディレクトリサーバとの通信において、UTF-8証明書を使用したSSL通信を行うことができません。
  • InfoDiretoryを使用して、ディレクトリサーバ連携を行う、かつ
  • ディレクトリサーバとSSLプロトコルによる通信を行う、かつ
  • 使用するInfoDirectoryのSDKがUTF-8証明書によるSSL通信をサポートしていない場合。(InfoDirectoryのSDKがUTF-8証明書に対応しているかは、“InfoDirectory使用手引書”を参照してください。)
  　ただしこの場合でも、UTF-8証明書を使用しない従来のSSL通信は可能ですので、UTF-8証明書を使用しない場合の手順にしたがってSSL環境を作成してください。

　SSLユーザ認証機能を使用するためには、ディレクトリサーバ連携の設定が必要です。 ディレクトリサーバ連携を行うための環境構築については、“4.3　ディレクトリサーバ連携の準備”を参照してください。InfoProxyでのディレクトリサーバの設定方法の詳細については、“8　ディレクトリサーバ設定”を参照してください。

　SSLユーザ認証機能を使用するためには、SSL制御設定とInfoProxy証明書ニックネーム設定が必要です。SSL制御設定、および、InfoProxy証明書ニックネーム設定については、“9.4　SSL環境設定”を参照してください。

　ディレクトリサーバへの問合せ結果キャッシュの設定方法の詳細については、“10　アクセス制御設定”を参照してください。