セキュア・プロキシー・プロファイルの作成

エンタープライズ環境への入り口の初期点として セキュア・プロキシー・プロファイルを作成できます。 通常、セキュア・プロキシー・サーバーは非武装地帯 (DMZ) に存在し、インターネット経由でクライアントから要求を受け取り、その要求をエンタープライズ環境内のサーバーに転送します。

事前処理

使用する前にプロフィール管理ツール、コア製品ファイルをインストールします。 どのコア・プロダクト・ファイルをインストールするかに応じて、2 つの別々のセキュア・プロキシー・プロファイルを作成できます。 コア製品ファイルは、 WebSphere® Application Server Network DeploymentインストールまたはDMZSecure Proxyサーバーのインストール。

非推奨の機能:非武装地帯Secure Proxyサーバーは非推奨です。

それぞれのインストールで作成するプロファイルについては、『このタスクについて』を参照してください。

のプロフィール管理ツールのグラフィカルユーザーインターフェースですmanageprofiles指示。説明を参照してくださいmanageprofiles詳細についてはコマンドを参照してください。

プロファイルを作成するための十分な一時スペースをシステムに用意する必要があります。 詳しくは、プロファイルのファイル・システム要件を参照してください。

注意：起動するとプロフィール管理ツール非ルートユーザーの場合、次の状況でツールがロックする可能性があります。マシンにルートとしてログインし、SetPermissionsユーザーを変更するユーティリティバツにええ。 あなたがユーザーであると仮定しますバツマシンに再度ログインします。 起動するプロフィール管理ツール、 クリックプロフィール管理ツールをクリックし、作成する。 「作成」をクリックした後の次のクリック操作で、ツールがロックすることがあります。

注意：使用するとプロフィール管理ツールSolarisオペレーティングシステムのMotifグラフィカルユーザーインターフェースでは、プロフィール管理ツールすべてのメッセージとボタンを表示するには小さすぎるかもしれませんプロフィール管理ツール。 この問題を修正するには、以下の行を app_server_root/.Xdefaults ファイルに追加します。

Eclipse*spacing:0
Eclipse*fontList:-misc-fixed-medium-r-normal-*-10-100-75-75-c-60-iso8859-1

行を追加した後、起動する前に次のコマンドを実行します。プロフィール管理ツール:

xrdb -load user_home/.Xdefaults

1. 開始するプロフィール管理ツール新しいランタイム環境を作成します。
   以下のいずれかの方法を使用して、ツールを開始できます。

   • インストールの最後にチェックボックスをオンにして起動します。プロフィール管理ツール。
   • コマンドを発行して開くWebSphereカスタマイズツールボックスをコマンドプロンプトから直接起動し、プロフィール管理ツール。
   • を選択WebSphereカスタマイズツールボックスオプションをファーストステップコンソールから選択し、プロフィール管理ツール。
   • 使用始めるメニューからアクセスWebSphereカスタマイズツールボックスを開き、プロフィール管理ツール。
   • 使用Linux®プログラムを起動するために使用されるオペレーティングシステムメニューを起動するWebSphereカスタマイズツールボックスを開き、プロフィール管理ツール。
2. クリック作成する[プロファイル] タブをクリックして新しいプロファイルを作成します。

   「プロファイル」タブには、マシンで既に作成されているプロファイルのリストが表示されます。 プロファイルを選択しても、そのプロファイルを拡張できる場合以外は、何の操作も実行できません。 選択したプロファイルを拡張できる場合以外は、「拡張」ボタンもぼかし表示になります。

   「環境の選択」パネルがツールによって表示されます。

3. 選択するセキュアプロキシ（構成のみ）のためにWebSphere Application Server Network Deployment画像、またはセキュアプロキシDMZイメージの場合は、次。

   プロファイル作成オプションのパネルが表示されます。

4. どちらかを選択してください典型的なプロファイル作成または高度なプロファイル作成をクリックし、次。

   「標準プロファイル作成」オプションでは、デフォルトの構成設定を使用したプロファイルを作成します。 「拡張プロファイル作成」オプションでは、プロファイルに独自の構成値を指定できます。

5. 選択した場合典型的なプロファイル作成これらの手順の最初にある場合は、管理セキュリティ。
6. プロファイルの名前とプロファイル・ディレクトリーのディレクトリー・パスを指定するか、デフォルト値をそのまま受け入れます。 次に、「次へ」をクリックします。
   プロファイル名のガイドライン: 2 バイト文字がサポートされています。 プロファイル名は、次の制限を満たす固有の名前とすることができます。 プロファイルの名前を付ける際には、以下の文字を使用しないでください。

   • スペース
   • *&? など、ご使用のオペレーティング・システムのディレクトリー名 にサポートされていない特殊文字
   • スラッシュ (/) または (¥)

   デフォルト・プロファイル

   マシンで作成する最初のプロファイルは、デフォルト・プロファイルです。 デフォルト・プロファイルは、製品インストール・ルートの bin ディレクトリーから実行されるコマンドのデフォルトのターゲットです。 マシンにプロファイルが 1 つしかない場合は、すべてのコマンドが構成内のその唯一のサーバー・プロセスで動作します。 プロファイルの作成時に、そのプロファイルをデフォルト・プロファイルにするには、「拡張プロファイル作成」パスの「プロファイル名およびロケーション」パネルで「このプロファイルをデフォルトにする」をクリックします。 プロファイルの作成後に、manageprofiles コマンドを使用して、そのプロファイルをデフォルト・プロファイルにすることもできます。

   マルチプロファイル環境におけるプロファイルのアドレッシング

   一部のコマンドでは、マシンに複数のプロファイルが存在する環境でデフォルト・プロファイル以外のプロファイルを対象にする場合に、コマンドの適用対象となるプロファイルを指定する必要があります。 これらのコマンドでは、-profileName パラメーターを使用して、処理するプロファイルを識別します。 各プロファイルの bin ディレクトリーにあるコマンドを使用する方が効果的な場合があります。

   それらのコマンドを使用してコマンド・シェルを照会することによって、呼び出し側のプロファイルを判別し、その呼び出し側のプロファイルをそれらのコマンドの対象にすることもできます。

   デフォルト・プロファイル情報

   デフォルト・プロファイル名は <profile_type><profile_number> です。

   • <profile_type> の値は、AppSrv、Dmgr、Custom、AdminAgent、JobMgr、または SecureProxySrv です。
   • <profile_number> は、固有のプロファイル名を作成するために使用される連続番号です。

   デフォルトのプロファイルディレクトリはアプリケーションサーバールート/profiles、ここでアプリケーションサーバールートインストールルートです。

   デフォルトのプロファイルディレクトリはアプリケーションサーバールート\profiles、ここでアプリケーションサーバールートインストールルートです。

7. 「ノード名およびホスト名」パネルで、固有のノード名、サーバー名、マシンの実際のホスト名を指定します。 「次へ」をクリックします。

   表 1. セキュアプロキシサーバーノードの特性。

   以下の表に、セキュア・プロキシー・サーバー・ノードの特性を示します。

   フィールド名	デフォルト値	制約	説明
   ノード名	shortHostName Node 各部の意味は、次のとおりです。 shortHostName は短縮ホスト名です。 NodeNumber は 01 から始まる連続番号です。	セキュア・プロキシー・サーバーに固有の名前を使用します。	この名前は、デプロイメント・マネージャー・セル内での管理に使用されます。
   サーバー名	proxy1	サーバーの論理名を指定します。 サーバー名は、ノード内で固有でなければなりません。 ただし、クラスター内に複数のノードがある場合は、サーバーとノードのペアが固有であれば、別々のサーバーが同じサーバー名を持つこともあります。	このサーバー名は、デプロイメント・マネージャー・セル内での管理に使用されます。
   ホスト名	ドメイン・ネーム・サーバー (DNS) 名の長い形式。	ホスト名は、ご使用のネットワークを介してアドレス可能でなければなりません。	ご使用のマシンの実際の DNS 名または IP アドレスを使用して、ご使用のマシンとの通信を可能にします。 この表の後にある、ホスト名に関する追加情報を参照してください。

   予約名: フィールド値として予約済みのフォルダー名を使用しないでください。 予約済みフォルダー名を使用すると、予測不能な結果が起こる可能性があります。 以下の用語は、予約されたフォルダー名です。

   • cells
   • nodes
   • サーバー
   • clusters
   • AIを導入
   • deployments

   ディレクトリー・パスの長さ:

   文字数プロファイルディレクトリパス\プロファイル名ディレクトリは 80 文字以下にする必要があります。

   ホスト名の考慮事項:

   ホスト名は、ノードがインストールされている物理マシンのネットワーク名です。 ホスト名は、サーバー上の物理ネットワーク・ノードに解決する必要があります。 サーバーが複数のネットワーク・カードを備えている場合は、 ホスト名または IP アドレスは、そのネットワーク・カードのいずれか 1 つに解決されなければなりません。 リモート・ノードは、ホスト名を使用して、このノードに接続および通信します。 その他のマシンがネットワーク内でアクセスできるホスト名を選択することが重要です。 この値に汎用 ID である localhost を使用しないでください。 また、インストールしないでくださいWebSphere Application Serverホスト名に 2 バイト文字セット (DBCS) の文字を使用するマシン上の製品。 ホスト名に使用する場合、DBCS 文字はサポートされません。

   同一コンピューター上で共存している複数のノードを固有の IP アドレスで定義する場合は、ドメイン・ネーム・サーバー (DNS) の検索・テーブルで個々の IP アドレスを定義してください。 スタンドアロン・アプリケーション・サーバーの構成ファイルでは、ネットワーク・アドレスが 1 つだけ存在するマシンに複数の IP アドレスがある場合に、ドメイン・ネームを解決できません。

   ホスト名に指定する値は、スタンドアロン・アプリケーション・サーバーの構成文書で hostName プロパティーの値として使用されます。 次のいずれかの形式で、 ホスト名の値を指定してください。

   • 完全修飾のドメイン・ネーム・サーバー (DNS) ホスト名ストリング。例えば xmachine.manhattan.ibm.com など。
   • デフォルトの DNS 短縮ホスト名ストリング。例えば xmachine など。
   • 数値 IP アドレス。例えば 127.1.255.3 など。

   完全修飾 DNS ホスト名には、あいまいなところがなく、柔軟性が高いという利点があります。 この柔軟性により、ユーザーは、ホスト・システムの実際の IP アドレスを変更しても、 アプリケーション・サーバー構成を変更する必要がありません。 ホスト名のこの値は、 動的ホスト構成プロトコル (DHCP) を使用して IP アドレスを割り当てる際に頻繁に IP アドレスを変更することが予定されている場合には、特に有用です。 この形式の欠点は、DNS に依存するということです。 DNS が使用できないと、接続に支障を来します。

   短縮ホスト名も、 動的に解決可能です。 ショート・ネーム形式には、 ネットワークから切断されたときでもシステムがアプリケーション・サーバーを実行できるように、 ローカル・ホスト・ファイルで再定義されるという機能もあります。 切断状態で実行するには、ホスト・ファイルでショート・ネームをループバック・アドレス、127.0.0.1 として定義します。 この形式の欠点は、リモート・アクセスで DNS に依存するということです。 DNS が使用できないと、接続に支障を来します。

   数値 IP アドレスには、DNS によって名前を解決する必要がないという利点があります。 リモート・ノードは、DNS が使用できなくても、数値 IP アドレスを使用して名付けられたノードに接続できます。 この形式の欠点は、数値 IP アドレスを使用するとアドレスが固定化されるということです。 マシンの IP アドレスを変更したら、Express 構成文書の hostName プロパティーの 設定も必ず変更しなければなりません。 したがって、DHCP を使用するか、 あるいは IP アドレスを定期的に変更する場合は、数値 IP アドレスを使用しないでください。 この形式のもう 1 つの欠点としては、ホストがネットワークから切断されるとノードを使用できない、ということがあります。

   セキュア・プロキシー・プロファイルのノード名、サーバー名、ホスト名が表示された後に、「セキュリティー・レベルの選択」パネルがツールによって表示されます。

8. デフォルトを受け入れるか、プロキシセキュリティレベルとプロトコルを変更してクリックします。次。

   セキュア・プロキシー・サーバー・プロファイルを作成してから、セキュリティー設定を変更することもできます。 セキュア・プロキシー・サーバーのセキュリティー・プロパティーの調整方法を確認してください。

   セキュリティー・レベルのオプションが表示された後、ツールでは、「管理セキュリティー」パネルが表示されます。

9. オプションで管理セキュリティを有効にし、次。

   管理セキュリティーは、現時点のプロファイル作成中に有効にするか、後でコンソールから有効にすることができます。 管理セキュリティーをこの時点で有効にする場合は、管理コンソールにログオンするためのユーザー名とパスワードを指定します。

   「拡張プロファイル作成」を選択していた場合は、セキュリティー特性を指定した後に、「セキュリティー証明書」パネルがツールによって表示されます。

10. 選択した場合典型的なプロファイル作成これらの手順の最初にある場合は、プロフィール概要パネル。
11. デフォルトの個人証明書とルート署名証明書を作成するか、キーストアファイルから個人証明書とルート署名証明書をインポートして、次。

    両方の証明書を作成することも、両方の証明書をインポートすることも、片方の証明書を作成してもう片方の証明書をインポートすることもできます。

    ベストプラクティス:個人証明書をデフォルトの個人証明書としてインポートする場合は、個人証明書に署名したルート証明書をインポートします。 そうでなければ、プロフィール管理ツール個人証明書の署名者をtrust.p12ファイル。

    デフォルトの個人証明書またはルート署名証明書をインポートする場合は、インポートする証明書ごとにパスとパスワードを指定し、鍵ストアのタイプと鍵ストアの別名を選択します。

12. 証明書情報が正しいことを確認して、次。

    証明書を作成する場合は、デフォルト値をそのまま使用することも、デフォルト値を変更して新しい証明書を作成することもできます。 デフォルトの個人証明書は、デフォルトの有効期間が 1 年で、ルート署名証明書によって署名されます。 ルート署名証明書は自己署名証明書で、デフォルトで 15 年間有効です。 ルート署名証明書のデフォルトの鍵ストア・パスワードは WebAS です。 パスワードは変更してください。 一部の鍵ストア・タイプ (PKCS12 など) では、2 バイト文字セット (DBCS) の文字がサポートされていないので、パスワードに DBCS 文字を組み込むことはできません。 どの鍵ストア・タイプがサポートされるかは、java.security ファイルで記述されているプロバイダーによって異なります。

    いずれかまたは両方の証明書を作成するか、いずれかまたは両方の証明書をインポートすると、key.p12、trust.p12、root-key.p12、default-signers.p12、deleted.p12、ltpa.jceks の各鍵ストア・ファイルが作成されます。 証明書の作成時またはインポート時に、これらのファイルのパスワードは、デフォルトのパスワードであれ、指定したパスワードであれ、すべて同じパスワードになります。 key.p12 ファイルには、デフォルトの個人証明書が格納されます。 trust.p12 ファイルには、デフォルトのルート証明書に由来する署名者証明書が格納されます。 root-key.p12 ファイルには、ルート署名証明書が格納されます。 default-signer.p12 ファイルには、サーバーがインストールされ、実行された後に作成された新しい鍵ストア・ファイルに追加された署名者証明書が格納されます。 デフォルトでは、デフォルトのルート証明書の署名者はdefault-signer.p12キーストア ファイル。 deleted.p12 鍵ストア・ファイルには、deleteKeyStore タスクによって削除された証明書が格納されます。したがって、必要に応じてリカバリーが可能になります。 のltpa.jceksファイルには、環境内のサーバーが相互に通信するために使用するサーバーのデフォルトの軽量サードパーティ認証 (LTPA) キーが含まれています。

    インポートした証明書は、key.p12 ファイルまたは root-key.p12 ファイルに追加されます。

    いずれかの証明書をインポートしたものの、その証明書に必要な情報が含まれていない場合は、「戻る」をクリックして、別の証明書をインポートします。

    「拡張プロファイル作成」を選択していた場合は、「セキュリティー証明書」パネルが表示された後に、「ポート」パネルがツールによって表示されます。

13. セキュアプロキシプロファイル内のポートが一意であるか、意図的に競合しているかを確認し、次。

    ポートの競合解決

    次のいずれかの条件に当てはまる場合、ポートは使用中とみなされます。

    • 現在のユーザーが実行するインストールで作成されたプロファイルにポートが割り当てられた場合。
    • ポートが現在使用されている場合。

    「ポート値割り当て」パネルにアクセスすると、ポートの妥当性検査が行われます。 ポートはプロファイル作成が完了するまで割り当てられないので、「ポート値の割り当て」パネルと「プロファイル作成の完了」パネルの間でも競合が発生することがあります。

    ポートの競合が疑われる場合は、 プロファイルの作成後、ポートの競合を調査することができます。 以下のファイルを調べて、プロファイル作成中に使用されたポートを確認します。

    • プロファイルルート/properties/portdef.propsファイル
    • プロファイルルート\properties\portdef.propsファイル

    このファイルには、ポートの設定に使用された鍵と値が組み込まれています。 ポートの競合が見つかった場合は、ポートを手動で再割り当てすることができます。 ポートを再割り当てするには、ws_ant スクリプトを使用して updatePorts.ant ファイルを実行します。

    Windows オペレーティング システムにインストールしており、インストール ID に管理グループ権限がある場合、ツールは Windows サービス定義パネルを表示します。 このツールは、Linuxサポートされているプラットフォームにインストールする場合は、サービス定義パネルを参照してください。Linuxオペレーティングシステムとそれを実行するIDプロフィール管理ツールルートユーザーです。

14. セキュアプロキシサーバーをWindowsオペレーティングシステム上のWindowsサービスとして実行するか、LinuxサービスLinuxオペレーティングシステムを選択し、クリックします次。

    Windows サービスをインストールする ID に管理者グループ特権がある場合にのみ、Windows のサービス定義パネルが Windows オペレーティング・システムで表示されます。 ただし、インストーラー ID が管理者グループに属する場合は、WASService.exe コマンドを 実行して Windows サービスを作成できます。 詳しくは、『サーバー・プロセスの自動再始動』を参照してください。

    製品は、セキュアプロキシプロセスのためにWindowsサービスを開始しようとします。startServer指示。 たとえば、セキュアプロキシサーバーをWindowsサービスとして構成し、startServerコマンドを実行すると、wasserviceコマンドは定義されたサービスを開始しようとします。

    ローカル・システム・サービスをインストールするように選択した場合、 ユーザー ID またはパスワードを指定する必要はありません。 指定されたユーザー・タイプのサービスを作成する場合は、サービスを実行するユーザーの ユーザー ID およびパスワードを指定する必要があります。 ユーザーはLog on as a serviceサービスが正しく実行されるための権限。 ユーザーがLog on as a service権限がある場合は、プロファイル管理ツールによって権限が自動的に追加されます。

    このプロファイル作成タスクを実行するときに、スペース文字が含まれているユーザー ID を使用することはできません。 管理者グループに属していることに加えて、IDには次の上級ユーザー権限も必要です。Log on as a service 。 ユーザー ID にまだ拡張ユーザー権限がなく、かつそのユーザー ID が管理者グループに属している場合、インストール・プログラムにより、そのユーザー ID に拡張ユーザー権限が付与されます。

    インストール完了後にその他の Windows サービスを作成して、 別のサーバー・プロセスを開始することもできます。 詳しくは、『サーバー・プロセスの自動再始動』を参照してください。

    プロファイル削除時に、プロファイル作成中に追加された Windows サービスを削除できます。 また、wasservice コマンドを使用して Windows サービスを削除することもできます。

    IPv6 の考慮事項

    Windowsサービスとして実行するために作成されたプロファイルは、使用時に起動に失敗します。Internet Protocolバージョン6.0 （ IPv6 ) サービスがローカル システムとして実行するように構成されている場合。 ユーザー固有の環境変数を作成して IPv6 を使用可能にします。 この環境変数は、ローカル・システム変数ではなくユーザー変数であるため、 その特定のユーザーとして実行される Windows サービスからのみアクセスできます。 デフォルトで、 新規プロファイルが Windows サービスとして実行されるように作成および構成された場合、 サービスはローカル・システムとして実行されるように設定されます。 セキュアプロキシサーバープロセスのWindowsサービスが実行しようとすると、サービスは、指定するユーザー環境変数にアクセスできません。 IPv6、そして次のように始めようとしますIPv4。 この場合、サーバーは正しく始動されません。 この問題を解決するには、プロファイルを作成するときに、セキュアプロキシサーバープロセスのWindowsサービスが、環境変数で指定されているのと同じユーザーIDで実行されるように指定します。 IPv6ローカル システムではなく、 として定義されます。

    Windows サービス定義パネルのデフォルト値は、次のとおりです。

    • デフォルトでは、Windows サービスとして実行します。
    • サービス・プロセスはシステム・アカウントとして実行するように選択されます。
    • ユーザー・アカウントは現在のユーザー名です。 ユーザー名要件とは、 Windows オペレーティング・システムがユーザー ID に課す要件のことです。
    • 開始タイプは automatic です。 開始タイプの値は、Windows オペレーティング・システムによって決定される値です。 開始タイプとして automatic 以外の値を設定する場合は、メニューから別の有効なオプションを選択するか、プロファイルの作成後に開始タイプを変更します。 プロファイルの作成後に、作成したサービスをいったん削除し、後で目的の開始タイプを指定してサービスを追加することも可能です。 プロファイルの作成時にサービスを作成しないオプションを選択し、後で目的の開始タイプを指定してサービスを追加することもできます。

    のLinux現在のオペレーティングシステムがサポートされているバージョンの場合、サービス定義パネルが表示されます。Linuxオペレーティング システムがインストールされており、現在のユーザーには適切な権限があります。

    製品は起動を試みるLinuxアプリケーションサーバープロセス用のサービス。startServer指示。 たとえば、アプリケーションサーバーをLinuxサービスと発行startServerコマンドを実行すると、サービスコマンドは定義されたサービスを開始しようとします。

    デフォルトでは、この製品はLinuxサービス。

    サービスを作成するには、プロフィール管理ツールルートユーザーである必要があります。 を実行するとプロフィール管理ツール非ルートユーザーIDの場合、Linuxサービス定義パネルは表示されず、サービスは作成されません。

    作成するとLinuxサービスを実行するユーザー名を指定する必要があります。

    削除するにはLinuxサービスを削除するには、ユーザーは root ユーザーであるか、サービスを削除するための適切な権限を持っている必要があります。 そうでない場合は、削除スクリプトが作成され、ユーザーの代わりに root ユーザーがこれを実行してサービスを削除できます。

    ツールは、「プロファイル作成サマリー」パネルを表示します。

15. クリック作成するセキュアプロキシサーバープロファイルを作成するには、または戻るプロファイルの特性を変更します。

    実行中の構成コマンドを示す「Profile creation progress」パネルが表示されます。

    プロファイルの作成が完了すると、「プロファイル作成の完了」パネルがツールによって表示されます。

16. 作成するセキュアプロキシプロファイルが非武装地帯Secure ProxyサーバーIBM® WebSphere Application Serverインストール、オプションで選択最初のステップコンソールを起動する。 クリック仕上げる出る。

    ファースト・ステップ・コンソールでは、追加のプロファイルを作成し、アプリケーション・サーバーを始動できます。

    作成するセキュアプロキシプロファイルがWebSphere Application Server Network Deploymentインストール時には、ファースト ステップ コンソールを起動するオプションはありません。