Interstage Portalworks 管理者ガイド

1.5.1 利用者認証についての留意事項

フォーム認証についての留意事項

代理ログオン機能を利用してフォーム認証を行った場合、フォーム認証ページでないページ（たとえば，パスワード変更をするためのページ）がフォーム認証ページとみなされてしまうことがあります。このような場合は、WebUSP運用管理の拡張機能を利用し、該当するページのフォーム認証を無効に設定してください。または、利用者の［フォーム認証情報設定確認］画面で［保存する］ラジオボタンをクリックし、かつ、［このページは代理ログオンの対象にしない。］チェックボックスをチェックしてください。それ以降、このページはフォーム認証画面とはみなされなくなります。

WebUSP運用管理の拡張機能については、“4.3.1 WebUSP運用情報の設定”を参照してください。
［フォーム認証情報設定確認］画面の詳細については、“Portalworks利用者ガイド”を参照してください。

基本認証についての留意事項

ベーシック認証を継承した追い出し機能を利用する場合、ActiveXを利用します。

ActiveXはMicrosoft CorporationのセキュリティパッチMS04-004にて利用が行えなくなった“user:pass@”付きのURLの動作を、“user:pass@”付きのURLを利用せずに実現する処理が行われます。

ActiveXを利用することで以下の脅威があげられます。

1. URL詐称によるフィッシングの問題
2. ユーザの入力を迂回する問題（悪用されて）

これらの脅威に対し、以下の対象を行っています。

1. ブラウザに表示されるURLと表示されるコンテンツのURLを同じものとしています。
2. ActiveXは呼出元サイトを確認する仕組みを実装しており、呼出元サイトを信頼することにより回避できます。

「ベーシック認証を継承した除外URLリスト」に設定したサイトに一番初めにアクセスする際、ActiveXコントロールがインストールされます。以下の点に注意してください。

ActiveXコントロールについて

本製品では、ActiveXコントロールに対し、デジタル署名して出荷しています。デジタル署名に使用した証明書の有効期限は、ブラウザに表示される証明書で確認できます。本製品のActiveXコントロールには、有効期限内の証明書でデジタル署名しています。
デジタル署名されたJavaアプレットまたはActiveXコントロールをダウンロードする際、証明書の有効期限内、外であっても「セキュリティの警告」画面が表示されます。
Windows(R)では、JavaアプレットまたはActiveXコントロールをダウンロードする際、AdministratorまたはPowerUserのアカウントでWindows(R)にログオンしておく必要があります。
また、Microsoft(R) Windows Vista(R) でMicrosoft(R) Internet Explorer 7.0を使用する場合は、「セキュリティの警告」画面が表示される前に、「続行するにはあなたの権限が必要です。」のメッセージが表示されます。この場合、「続行」をクリックしてください。

Microsoft(R) Internet Explorerのセキュリティレベルについて

• Microsoft(R) Internet Explorer 7.0より前の場合
  各利用者のMicrosoft(R) Internet Explorerのセキュリティレベルを、インターネットゾーンに対しては「中」、イントラネットゾーンに対しては「中低」に設定することを推奨します（信頼済みサイトに関してはこの限りではありません）。もしくは、以下のような設定を推奨します。
  • 「ActiveXコントロールとプラグインの実行」を「ダイアログを表示する」とする。
  • 「スクリプトを実行しても安全だとマークされていないActiveXコントロールの初期化とスクリプトの実行」を「無効にする」とする。
  • 「スクリプトを実行しても安全だとマークされているActiveXコントロールのスクリプトの実行」を「ダイアログを表示する」とする。
  • 「署名済みActiveXコントロールのダウンロード」を「ダイアログを表示する」とする。
  • 「未署名のActiveXコントロールのダウンロード」を「無効にする」とする。
• Microsoft(R) Internet Explorer 7.0 の場合
  各利用者のMicrosoft(R) Internet Explorerのセキュリティレベルを、インターネットゾーンに対しては「中高」、イントラネットゾーンに対しては「中低」に設定することを推奨します （信頼済みサイトに関してはこの限りではありません）。もしくは、以下のような設定を推奨します。
  • 「ActiveXコントロールとプラグインの実行」を「ダイアログを表示する」とする。
  • 「スクリプトを実行しても安全だとマークされていないActiveXコントロールの初期化とスクリプトの実行」を「無効にする」とする。
  • 「スクリプトを実行しても安全だとマークされているActiveXコントロールのスクリプトの実行」を「ダイアログを表示する」とする。
  • 「署名済みActiveXコントロールのダウンロード」を「ダイアログを表示する」とする。
  • 「未署名のActiveXコントロールのダウンロード」を「無効にする」とする。

スクリプト実行プラグインについて

Microsoft(R) Internet Explorerを利用するパソコンにはスクリプト実行プラグインが登録されます。一度登録されたプラグインはブラウザを終了してもパソコンに登録されたままとなります。登録されていてもパソコンの動作に影響を及ぼすことはありませんが、プラグインの登録を解除する場合は、次の手順で行ってください。

• Microsoft(R) Internet Explorer 7.0より前の場合
  Microsoft(R) Internet Explorerの[インターネットオプション]→インターネット一時ファイル[設定]→[オブジェクトの表示]を開いて 「PwIeAuthCtl Class」を削除してください。
• Microsoft(R) Internet Explorer 7.0 の場合
  Microsoft(R) Internet Explorerの[アドオンの管理]→[アドオンを有効または無効にする]→[表示]プルダウンメニューから[ダウンロードされたActiveXコントロール(32ビット)]を選択→表示された名前の中から「PwIeAuthCtl Class」を削除してください。