Symfoware Server WebDBtoolsユーザーズガイド - FUJITSU -

3.5 データベース連携の利用形態

データベース連携機能を利用して、ブラウザからデータベース連携業務を行う場合の利用形態および留意事項について説明します。

■利用の種類とセキュリティ

WebScriptは、簡易にデータベースの情報公開を可能にしますが、これらのセキュリティ対策を検討することなく、業務を運用すべきではありません。ブラウザによるデータベースアクセス業務には、以下があります。利用形態に応じて、適切なセキュリティ対策が必要となります。

• インターネットにより不特定の利用者がアクセスする場合、一般に利用者が多くなる可能性があり、利用者が何をするか、どのような利用者かなどは不明であるため、ブラウザとWebサーバおよびサーバ内の高度なセキュリティが必要とされます。

• 情報共有のためにイントラネットのファイアウォール内で利用する場合、利用者の数は業務により変わります。インターネットによる利用に比べ、利用者にある程度のモラルが期待できるため、インターネットほど高度なセキュリティは必要ありません。

• 情報の共有範囲が狭く、ローカルな（外部からのアクセス不能な）ネットワーク内での限られた利用者により利用する形態があります。一般に、少人数による利用と考えられるため、インターネットおよびイントラネットによる利用に比べ、セキュリティを強化する必要はありません。

◆インターネットによる不特定利用者からのアクセス

インターネットによる利用者の特長は、以下のとおりです。

• 不特定で多数となる可能性が多い

• ネットワークおよび業務に対してアカウントをもつ

このような利用形態では、Webセキュリティを、高度にしておく必要があります。利用者の管理には、以下の対策を検討し、Webサイトやサーバの重要度に応じて、管理のレベルを決めて運用する必要があります。

• ディレクトリサービスソフトウェアによるネットワーク利用認証管理

• Webサーバサポートの暗号化セキュリティによるパスワードの保護

• WebサーバのアクセスコントロールによるWebドキュメントの保護

この利用形態では、利用者とWebサーバへの結合管理、Webサーバ内のドキュメントアクセス管理、Webクライアントへの情報漏洩防止などの対策が必要です。

インターネットによる利用形態の場合、WebScriptのページは公開せず、業務ごとに利用者保護を行ってください。Webセキュリティの認証が正しい場合だけ、WebScriptセションが利用可能となるように運用してください。以下にイメージを示します。

◆イントラネット内での利用

イントラネット内の利用者の特長は、以下のとおりです。

• 利用者は特定されるが、利用者数は業務により異なる

• ネットワークおよび業務に対してアカウントをもつ

• 利用者は、ある程度のモラルをもって、アクセスを守ることが期待できる（パスワードの保護は必要であるが、ネットワークの送信内容盗聴レベルの保護は必要ない場合が多い）

Webセキュリティは、Webサイトのドキュメント機密性の内容に応じた設定が必要です。利用者の管理には、一般的なWebレベルの、WebサーバのアクセスコントロールによるWebドキュメント保護が必要です。

この利用形態では、Webサーバ内のドキュメントアクセス管理の対策が必要です。ただし、情報の内容によって、このような管理は必要ない場合もあります。

このような利用形態の場合、WebScriptのページは公開せず、業務ごとに利用者保護を行ってください。Webセキュリティの認証が正しい場合だけ、WebScriptセションを利用可能となるように運用してください。以下にこのイメージを示します。

◆ローカルなネットワーク内での利用

ローカルな環境での利用者の特長は、以下のとおりです。

• 情報利用の関連者に特定される

• 対象ネットワークおよびWebサーバ環境にアカウントをもつ場合がある

• 利用者は特定され、ネットワークの送信内容盗聴レベルの保護は不要になる

このような利用形態の場合、利用者がユーザIDとパスワードをブラウザから動的に指定するWebScriptの運用も考えられます。以下にこのイメージを示します。