13.7.3. 新しいセキュリティープロパティー
JBoss EAP バージョン 6.2.2 およびそれ以降のバージョンでは、新しいシステムプロパティーがセキュリティー監査機能に追加されました。これらの新プロパティーは、特に BASIC または FORM ベース認証を使用する場合に関係する、Web リクエストコンポーネントのプレーンテキストロギングをめぐるセキュリティーの問題を緩和します。
新しいプロパティーを使用すると、Web リクエストのどのコンポーネントを監査ログに記録するかをさらに厳格に制御できます (パラメーター、クッキー、ヘッダー、または属性)。新しいプロパティーを使用して、これらのコンポーネントをマスクすることもできます。
新しいプロパティーは次のとおりです。
| 名前 | 説明 | 設定可能な値 | 挙動 | デフォルト |
|---|---|---|---|---|
org.jboss.security.web.audit | このプロパティーは Web リクエストのセキュリティー監査の細かさを制御します。 | off、headers、cookies、parameters、attributes | 指定されたコンポーネント (またはカンマ区切りのコンポーネントグループ) が Web リクエストから監査されます。 | headers,parameters |
org.jboss.security.web.audit.mask | このプロパティーを使用すると、Web リクエストのヘッダー、パラメーター、クッキーおよび属性に対して照合される文字列のリストを指定できます。指定されたマスクに一致する要素は、セキュリティー監査ロギングから除外されます。 | ヘッダー、パラメーター、クッキーおよび属性のキーを示すコンマ区切りの文字列。 | 現在、マスクの一致は厳格ではありません。たとえば、authorization のマスクは authorization というヘッダーと custom_authorization というパラメーターの両方をマスクします。厳格なマスクは今後のリリースで導入される予定です。 | j_password,authorization |