Interstage Application Server V12.1.0 移行ガイド

5.11 Interstage シングル・サインオンの移行

ここでは、Interstage シングル・サインオンの移行について、以下を説明します。

• 変更点

  • Interstage Application Server V12.0での変更内容

  • Interstage Application Server V11.1での変更内容

  • Interstage Application Server V11.0での変更内容

  • Interstage Application Server V10.0での変更内容

  • Interstage Application Server V9.1での変更内容

  • Interstage Application Server V9.0での変更内容

  • Interstage Application Server 8.0での変更内容

  • Interstage Application Server V7.0、およびInterstage Application Server Standard Edition、Enterprise Edition V6.0での変更内容

• 旧バージョン・レベルからのサーバ環境の移行

• Javaアプリケーションの移行

  
  
  

Interstage Application Server V12.0での変更内容

Microsoft(R) Internet Information Services 6.0,7.0,7.5のサポート停止

Interstage Application Server V12.0から、Microsoft(R) Internet Information Services 6.0,7.0,7.5が未サポートとなりました。Microsoft(R) Internet Information Services 6.0,7.0,7.5を使用している場合は、他のWebサーバへ移行してください。

J2EEのサポート停止

Standard-J EditionでのJ2EEのサポート停止に伴い、WebサーバをInterstage HTTP ServerからInterstage HTTP Server 2.2へ変更する場合、Interstage HTTP Serverに組み込みを行った業務サーバを、Interstage HTTP Server 2.2へ移行することはできません。
Interstage HTTP Server 2.2を使用する場合は、業務サーバを新規作成してください。
なお、Interstage HTTP Server 2.2への業務サーバの組み込みについては、「シングル・サインオン運用ガイド」の「環境構築(業務サーバ管理者編)」を参照してください。

Interstage Application Server V11.1での変更内容

業務サーバのInterstage HTTP Server 2.2対応

Interstage Application Server V11.1から、Interstage シングル・サインオンの業務サーバがサポートするWebサーバに、Interstage HTTP Server 2.2を追加しました。
Interstage HTTP Server 2.2への業務サーバの組み込みについては、「シングル・サインオン運用ガイド」の「環境構築(業務サーバ管理者編)」を参照してください。
なお、Interstage HTTP Serverに組み込みを行った業務サーバを、Interstage HTTP Server 2.2へ移行することはできません。
Interstage HTTP Server 2.2を使用する場合は、業務サーバを新規作成してください。

Interstage Application Server V11.0での変更内容

コマンドの変更

Interstage Application Server V10.1以前で提供していた以下のコマンドの扱いを変更しました。変更点を以下に示します。

コマンド	変更点
ssoimportum	本バージョンでは使用できません。 SSOリポジトリへユーザ情報、およびロール定義を登録する方法については以下を参照してください。 「シングル・サインオン運用ガイド」の「環境構築(SSO管理者編)」 －「リポジトリサーバの構築」－「SSOリポジトリへのユーザ情報、ロール定義の登録」 －「 CSVデータファイルを使用する場合」

Interstage Application Server V10.0での変更内容

障害修正に伴うHTTP Keep-Alive機能の動作変更

Interstage Application Server V10.0から、認証サーバが使用しているWebサーバのHTTP Keep-Alive機能の動作が、以下のように変わります。

バージョン	動作
V9.x以前	認証処理の通信内容に応じて、認証サーバでHTTP Keep-Alive機能の有効／無効を切り替えます。
V10.0以降	常にWebサーバのHTTP Keep-Alive機能の設定に従います。

認証失敗回数に関する証明書認証の機能追加

Interstage Application Server V10.0から、証明書認証による認証成功時の動作が、以下のように変わります。

バージョン	動作
V9.x以前	ユーザ名/パスワードによる認証失敗回数が変化しない。
V10.0以降	ユーザ名/パスワードによる認証失敗回数が1以上の場合、認証失敗回数を0にリセットする。

ユーザ名/パスワードによる認証失敗回数の詳細については、「シングル・サインオン運用ガイド」の「環境構築(SSO管理者編)」－「リポジトリサーバの構築」－「SSOリポジトリへのユーザ情報、ロール定義の登録」－「ユーザ情報のエントリ」を参照してください。
なお、リポジトリサーバをV9.x以前からV10.0以降に移行した場合は、V9.x以前の動作となります。これをV10.0以降の動作に変更したい場合は、リポジトリサーバの環境定義ファイルに、以下の定義項目を追加する必要があります。

環境定義ファイル

C:\Interstage\F3FMsso\ssoatcsv\conf\ssoatcsv.conf

/etc/opt/FJSVssosv/conf/ssoatcsv.conf

追加定義

以下の定義項目が追加できます。

reset-failure-count-when-cert-auth=YES

証明書認証による認証成功時に、ユーザ名/パスワードによる認証失敗回数を0にリセットします。

ポイント

「reset-failure-count-when-cert-auth」に誤った値を設定した場合は、システムのログにsso01024を出力し、“NO”が設定されたものとみなします。

Active Directoryの強暗号化対応

Interstage Application Server V10.0から、統合Windows認証で使用する暗号方式として、DES-CBC-CRC以外の暗号方式が使用可能になりました。統合Windows認証で使用可能な暗号方式については、「シングル・サインオン運用ガイド」の「概要」－「認証」－「統合Windows認証」を参照してください。
ただし、V9.xからV10.0に移行した場合は、統合Windows認証で使用する暗号方式がDES-CBC-CRCになっています。そのため、以下の場合は、統合Windows認証アプリケーションの再配備を行ってください。

• Windows 7で統合Windows認証を行う場合

• 暗号化方式をDES-CBC-CRC以外に変更する場合

  
  

統合Windows認証アプリケーションの再配備は、以下の手順で行ってください。

1. 認証サーバ、および統合Windows認証アプリケーションを停止します。
   認証サーバ、および統合Windows認証アプリケーションの停止方法については、「シングル・サインオン運用ガイド」の「運用・保守」－「シングル・サインオンの停止」－「認証サーバの停止」を参照してください。

2. 統合Windows認証アプリケーションを削除します。
   統合Windows認証アプリケーションの削除については、「シングル・サインオン運用ガイド」の「Active Directoryと連携するための設定」－「シングル・サインオンの削除」－「認証サーバの削除」の「統合Windows認証アプリケーションの削除」を参照してください。

3. 統合Windows認証を行うための設定を行います。
   統合Windows認証を行うための設定については、「シングル・サインオン運用ガイド」の「Active Directoryと連携するための設定」-「ユーザ情報を登録するディレクトリサービスにActive Directoryを使用する」－「統合Windows認証を行うための設定」を参照してください。
   統合Windows認証を行うための設定を行う際は、以下の点に注意してください。

   • 「Active Directoryの設定」の手順において、ユーザーの新規作成は不要です。

   • 統合Windows認証で使用する暗号方式にはDES-CBC-CRC以外の暗号方式を使用してください。

4. 認証サーバ、および統合Windows認証アプリケーションを起動します。
   認証サーバ、および統合Windows認証アプリケーションの起動方法については、「シングル・サインオン運用ガイド」の「運用・保守」－「シングル・サインオンの起動」－「認証サーバの起動」を参照してください。

   
   

Microsoft(R) Internet Information Services 5.0のサポート停止

Interstage Application Server V10.0から、Microsoft(R) Internet Information Services 5.0が未サポートとなりました。Microsoft(R) Internet Information Services 5.0を使用している場合は、他のWebサーバへ移行してください。

Interstage Application Server V9.1での変更内容

Active Directoryとの連携

Interstage Application Server V9.1から、ユーザ情報を管理するディレクトリサービスとしてActive Directoryを使用することができます。旧バージョン・レベルから移行してActive Directoryを使用する場合は、「旧バージョン・レベルからのサーバ環境の移行」を行った後、Active Directoryと連携するための変更を行ってください。

Active Directoryと連携するための変更については、「シングル・サインオン運用ガイド」の「旧バージョンの環境定義と機能について」－「ディレクトリサービスにActive Directoryを使用するシステムへの移行について」を参照してください。
また、Active Directoryとの連携については、「シングル・サインオン運用ガイド」の「概要」－「Active Directoryとの連携」を参照してください。

ユーザ情報通知の強化

Interstage Application Server V9.1から、Webアプリケーションへのユーザ情報の通知方法を変更しました。Interstage Application Server V5.1から移行した場合、拡張ユーザ情報の通知方法が以下のように異なります。

環境	属性値のURLエンコード	バイナリーデータの通知	複数の属性値の通知
V5.1	なし	可 (サイズ制限あり)	不可
V9.1 (セション管理を行わない)	なし	可 (サイズ制限あり)	不可
V9.1 (セション管理を行う)	あり	可	可 (区切り文字はカンマ(,))

業務サーバの環境定義ファイルに以下の定義項目を追加することで、拡張ユーザ情報の通知方法を変更することができます。

環境定義ファイル

C:\Interstage\F3FMsso\ssoatzag\conf\ssoatzag.conf

/etc/opt/FJSVssoaz/conf/ssoatzag.conf

追加定義

以下の定義項目が追加できます。

credential-extra-info-compatibility=YES

V5.1の通知方法で通知します。

credential-extra-info-compatibility=NO

V9.1 (セション管理を行う)の通知方法で通知します。

ポイント

「credential-extra-info-compatibility」を省略した場合、または誤った定義を追加した場合は、セション管理の運用によって以下のように動作します。

• セション管理を行う場合
  V9.1 (セション管理を行う)の通知方法で通知します。

• セション管理を行わない場合
  V5.1の通知方法で通知します。

セションの管理を行うシステムにおける証明書認証

Interstage Application Server V9.1からセションの管理を行うシステムで証明書認証ができます。旧バージョン・レベルから移行してセションの管理を行う場合は、「旧バージョン・レベルからのサーバ環境の移行」を行った後、セションの管理を行うシステムで証明書認証を行うための設定を行ってください。
セションの管理を行うシステムで証明書認証を行うための設定については、「シングル・サインオン運用ガイド」の「セションの管理を行うシステムで証明書認証を行うための設定」を参照してください。

IPv6環境における運用

Interstage Application Server V9.1からIPv6環境で運用することができます。IPv6環境で運用する場合は、「使用上の注意」の「注意事項」－「Interstage シングル・サインオンの注意事項」－「バージョン・エディション混在でシングル・サインオンシステムを構築する場合の注意事項」を参照し、使用できるバージョン、エディションを確認してください。

Netscape Communicatorのサポート停止

Interstage Application Server V9.1から、クライアントのWebブラウザとして、Netscape Communicatorが未サポートとなりました。Netscape Communicatorの使用を許可している場合は、別のWebブラウザを使用するように運用指導してください。
クライアントのWebブラウザとしてサポートしているWebブラウザについては、「シングル・サインオン運用ガイド」の「概要」－「システムの基本構成」－「クライアント」を参照してください。

Interstage Application Server V9.0での変更内容

リポジトリサーバ(更新系)の負荷分散

Interstage Application Server V9.0から、リポジトリサーバ(更新系)を複数配置することで、認証やセション評価などの要求に対して負荷分散を行うことができます。旧バージョン・レベルから移行してリポジトリサーバ(更新系)による負荷分散を行う場合は、「旧バージョン・レベルからのサーバ環境の移行」を行った後、リポジトリサーバ(更新系)の負荷分散を行うための変更を行ってください。
リポジトリサーバ(更新系)の負荷分散を行うための変更については、「シングル・サインオン運用ガイド」の「旧バージョンの環境定義と機能について」－「リポジトリサーバ(更新系)の負荷分散を行うシステムへの移行について」を参照してください。
また、Interstage シングル・サインオンにおけるリポジトリサーバ(更新系)の負荷分散については、「シングル・サインオン運用ガイド」の「概要」－「高性能・高信頼性システム」－「負荷分散」を参照してください。
また、Interstage Application Server V9.0から、リポジトリサーバ(更新系)の負荷分散を行うための情報をSSOリポジトリに書き込むために、旧バージョンと比較して、若干の認証性能の低下が発生します。
旧バージョン・レベルから移行した後に、リポジトリサーバ(更新系)の負荷分散を行わない場合には、リポジトリサーバの環境定義ファイルに以下の定義項目を追加することで、性能低下を発生させないようにすることができます。

環境定義ファイル

C:\Interstage\F3FMsso\ssoatcsv\conf\ssoatcsv.conf

/etc/opt/FJSVssosv/conf/ssoatcsv.conf

追加定義

以下の定義項目が追加できます。

load-balancing-for-update-repository=NO

リポジトリサーバ(更新系)の負荷分散を行いません。

ポイント

• 「load-balancing-for-update-repository」に誤った値を設定した場合は、システムのログにsso01024を出力し、“YES”が設定されたものとみなします。

• 「load-balancing-for-update-repository=NO」を追加した場合、リポジトリサーバ(更新系)の負荷分散を行いません。リポジトリサーバ(更新系)の負荷分散を行う場合には、定義しないでください。

環境変数によるユーザ情報の通知

Interstage Application Server V9.0から、WebサーバにInterstage HTTP Serverを使用している場合、以下のInterstage シングル・サインオンの認証機能で認証された利用者のユーザ情報が環境変数に通知されるようになります。

ユーザ情報	環境変数名
認証方式	AUTH_TYPE
利用者のユーザID	REMOTE_USER

業務サーバの環境定義ファイルに以下の定義項目を追加することで、ユーザ情報の通知方法を変更することができます。

環境定義ファイル

C:\Interstage\F3FMsso\ssoatzag\conf\ssoatzag.conf

/etc/opt/FJSVssoaz/conf/ssoatzag.conf

追加定義

以下の定義項目が追加できます。

header-auth-type-default=「文字列」

認証方式に関係なく、AUTH_TYPEに「文字列」で指定された値を通知します。
「SSO_AUTH」を通知する場合は、以下のように定義します。

header-auth-type-default=SSO_AUTH

set-http-header-auth-type=NO

AUTH_TYPEに認証方式を通知しません。

set-http-header-uid=NO

REMOTE_USERに利用者のユーザIDを通知しません。

ポイント

• 以下の定義項目に誤った値を設定した場合は、システムのログにsso03006を出力し、“YES”が設定されたものとみなします。

  • set-http-header-auth-type

  • set-http-header-uid

• 「set-http-header-uid=NO」を追加した場合、監査証跡に利用者のユーザIDが記録されません。監査証跡機能を使用する場合は、定義しないでください。

• header-auth-type-defaultに以下の文字列を指定した場合、旧バージョン環境においてアプリケーションが取得できる文字列と同じ値が、AUTH_TYPEに通知されることになります。アプリケーションにおいて問題がないか十分に確認してください。

  • Basic

  • Digest

  • BASIC

  • DIGEST

  • FORM

  • CLIENT_CERT

Interstage HTTP Serverの複数Webサーバ機能、およびバーチャルホスト機能の使用

Interstage Application Server V9.0から、Interstage HTTP Serverの複数Webサーバ機能を使用して、Interstage シングル・サインオンのサーバを追加することができます。また、Interstage HTTP Serverのバーチャルホスト機能を使用して、業務サーバを追加することができます。
Interstage HTTP Serverの複数のWebサーバ、またはバーチャルホストに各サーバを作成する場合は、「シングル・サインオン運用ガイド」の「環境構築(SSO管理者編)」、または「環境構築(業務サーバ管理者編)」を参照してください。

ログイン構成ファイルの変更

Interstage Application Server V9.0から、Interstage HTTP Serverの複数Webサーバ機能、およびバーチャルホスト機能が使用できます。Interstage HTTP Serverの複数のWebサーバ、またはバーチャルホストを使用した環境でInterstage シングル・サインオンが提供するJAASを利用したJavaアプリケーションを使用する場合は、「旧バージョン・レベルからのサーバ環境の移行」を行ってください。その後、ログイン構成ファイルのモジュールオプションに「serverport」を使用している場合は、「business-system-name」に変更してください。
ログイン構成ファイルについては、「シングル・サインオン運用ガイド」の「アプリケーションの開発」－「Javaアプリケーションの開発」－「アプリケーション実行環境の設定」－「ログイン構成ファイルの作成」を参照してください。

コマンドの変更

Interstage Application Server 8.0以前で提供していた以下のコマンドの扱いを変更しました。変更点を以下に示します。
各コマンドの詳細については、「リファレンスマニュアル(コマンド編)」を参照してください。

コマンド	変更点
ssocloneac	本バージョンでは使用できません。 ssobackupコマンド、およびssorestoreコマンドを使用してください。
ssocloneaz	互換コマンドとして提供しています。 ssobackupコマンド、およびssorestoreコマンドを使用してください。 コマンドの拡張子が「.bat」から「.exe」に変わっています。コマンドの機能については、旧バージョン・レベルからの変更はありません。
ssosetsvc	リポジトリサーバが構築されているInterstage HTTP ServerのWebサーバ名を指定する引数「webname」を追加しました。引数「webname」は必ず指定しなければなりません。
ssounsetsvc

1台のマシンに構築できる業務システムの最大数の変更

1台のマシンに構築できる業務システムの最大数が以下のように変わります。

バージョン	業務システムの最大数
V7.x以前	無制限
8.x	32個
V9.0以降	256個

Interstage Application Server 8.0での変更内容

セションの管理

Interstage Application Server 8.0からセションの管理を行うことができます。旧バージョン・レベルから移行してセションの管理を行う場合は、「旧バージョン・レベルからのサーバ環境の移行」を行った後、セションの管理を行うための変更を行ってください。
セションの管理を行うための変更については、「シングル・サインオン運用ガイド」の「旧バージョンの環境定義と機能について」－「セションの管理を行う運用への移行について」を参照してください。
また、Interstage シングル・サインオンにおけるセションの管理については、「シングル・サインオン運用ガイド」の「概要」－「認証」を参照してください。

Webブラウザの保護リソースのキャッシュに関するセキュリティ強化

Interstage Application Server 8.0から、Webブラウザの保護リソースのキャッシュに関する動作が、以下のように変わります。

バージョン	動作
V7.x以前	Webブラウザに保護リソースがキャッシュされます。利用者の認証情報の有効期限が切れた状態でアクセスしても、キャッシュが残っている間、再認証を求められません。
8.0以降	Webブラウザに保護リソースがキャッシュされません。利用者の認証情報の有効期限が切れた状態でアクセスすると、再認証を求められます。

V7.x以前の動作に変更したい場合は、業務サーバの環境定義ファイルにWebブラウザのキャッシュを抑止しない設定を行ってください。詳細については、「シングル・サインオン運用ガイド」の「コンテンツのキャッシュの抑止」を参照してください。

Interstage Application Server V7.0、およびInterstage Application Server Standard Edition、Enterprise Edition V6.0での変更内容

Interstage管理コンソール

Interstage Application Server Standard Edition、Enterprise Edition V6.0、およびInterstage Application Server V7.0以降では、Interstage管理コンソールを使用して環境を設定します。Interstage Application Server Plus、Web-J Edition V6.0、およびInterstage Application Server V5.1の環境定義の項目とInterstage管理コンソールによる設定の対応については「シングル・サインオン運用ガイド」の「旧バージョンの環境定義と機能について」を参照してください。

旧バージョン・レベルからのサーバ環境の移行

Interstage シングル・サインオンのシステムは以下のサーバから構成されます。ここでは、それぞれのサーバの移行方法について説明します。

• リポジトリサーバ

• 認証サーバ

• 業務サーバ

  
  

1台のマシンに複数のサーバ(リポジトリサーバと認証サーバなど)を構築して運用している場合、各サーバは同時に移行してください。

また、リポジトリサーバ(更新系)とリポジトリサーバ(参照系)に分散して運用している場合、移行後の環境にて以下のいずれかの運用を行うと、リポジトリサーバ(参照系)は使用されなくなります。リポジトリサーバ(更新系)とリポジトリサーバ(参照系)に分散している場合は、リポジトリサーバ(更新系)を複数台設置して負荷分散を行うシステムへ移行することを推奨します。

• 統合Windows認証だけで認証を行う場合

• 以下をすべて満たす環境で、認証サーバ間連携を行う場合

  • 保護リソースは、相手シングル・サインオンシステムにだけ定義されていること。

  • 自シングル・サインオンシステムの認証基盤に直接アクセスして認証を行わないこと。

    
    

リポジトリサーバ(更新系)を複数台設置して負荷分散を行うシステムについては、「シングル・サインオン運用ガイド」の「概要」－「高性能・高信頼性システム」－「負荷分散」を参照してください。
リポジトリサーバ(更新系)の負荷分散を行うシステムへの移行方法については、「シングル・サインオン運用ガイド」の「旧バージョンの環境定義と機能について」－「リポジトリサーバ(更新系)の負荷分散を行うシステムへの移行について」を参照してください。

Interstage Application Server Standard Edition、Enterprise Edition V6.0、およびInterstage Application Server V7.0以降からのサーバの移行

以下の製品からのサーバの移行方法を説明します。

• Interstage Application Server V9.0以降

• Interstage Application Server V7.0/8.0

• Interstage Application Server Standard Edition V6.0

• Interstage Application Server Enterprise Edition V6.0

  
  

シングル・サインオンのシステムを構成するサーバの移行手順については以下を参照してください。

• 5.11.1 Interstage Application Server V9.0以降からのサーバの移行

• 5.11.2 Interstage Application Server V7.0/8.0からのサーバの移行

• 5.11.3 Interstage Application Server Standard Edition、Enterprise Edition V6.0からのサーバの移行

  
  

Interstage Application Server Plus、Web-J Edition V6.0、およびInterstage Application Server V5.1からのサーバの移行

以下の製品からのサーバの移行方法を説明します。

• Interstage Application Server Plus V6.0

• Interstage Application Server Web-J Edition V6.0

• Interstage Application Server V5.1

  
  

シングル・サインオンのシステムを構成するサーバの移行手順については以下を参照してください。

• 5.11.4 Interstage Application Server Plus V6.0からのリポジトリサーバの移行

• 5.11.5 Interstage Application Server Plus V6.0からの認証サーバの移行

• 5.11.6 Interstage Application Server Plus V6.0からのリポジトリサーバ、および認証サーバの移行

• 5.11.7 Interstage Application Server Plus、Web-J Edition V6.0からの業務サーバの移行

• 5.11.8 Interstage Application Server V5.1からのサーバの移行

  
  

ポイント

• 移行前の製品で提供されていたシングル・サインオンのリポジトリサーバ、認証サーバおよび業務サーバを高速化する設定については、移行する必要はありません。

• Interstage Application Server V5.1からの移行において、各サーバの環境定義ファイルのアクセスログ出力先ファイル名にUTF形式で257バイト以上のファイル名を指定している場合には、UTF形式で256バイト以下のファイル名に変更する必要があります。

Javaアプリケーションの移行

Interstage シングル・サインオンが提供するJAASを利用したJavaアプリケーションの移行手順については以下を参照してください。

• 5.11.9 Javaアプリケーションの移行