第7章 データのセキュリティー保護

手順

1. ブラウザーから Red Hat Single Sign-On 管理コンソールにログインします。

2. データ仮想化サービスのレルムを作成します。

   1. master レルムのメニューから、Master にマウスをかざし、Add realm をクリックします。
   2. datavirt などのレルムの名前を入力してから Create をクリックします。

3. ロールを追加します。

   1. メニューから Roles をクリックします。
   2. Add Role をクリックします。
   3. ロールの名前（ ReadRole など）を入力し、Save をクリックします。
   4. 必要に応じて他のロールを作成して、組織の LDAP または Active Directory のロールにマッピングします。外部アイデンティティープロバイダーからのユーザーデータの反復に関する詳細は、『サーバー 管理ガイド』 を参照してください。

4. ユーザーを追加します。

   1. メニューから Users をクリックし、Add user をクリックします。
   2. Add user フォームで、ユーザー名（user など）を入力し、割り当てる他のユーザープロパティーを指定してから Save をクリックします。
      user フィールドのみは必須です。
   3. ユーザーの詳細ページから、Credentials タブをクリックします。
   4. ユーザーのパスワードを入力して確認し、Reset Password をクリックして、プロンプトが表示されたら Change password をクリックします。

5. ユーザーにロールを割り当てます。

   1. Role Mappings タブをクリックします。
   2. Available Roles フィールドで ReadRole をクリックしてから Add selected をクリックします。
6. developer という名前の 2 番目のユーザーを作成し、パスワードとロールをユーザーに割り当てます。

7. データ仮想化クライアントエントリーを作成します。

   クライアントエントリーは、データ仮想化サービスを SSO クライアントアプリケーションとして表します。メニューから Clients . をクリックします。Create をクリックして Add Client ページを開きます。Client ID フィールドにクライアントの名前を入力します（例： dv-client ）。Client Protocol フィールドで、openid-connect を選択します。Root URL フィールドを空白のままにして、Save をクリックします。

手順

1. Red Hat Single Sign-On 管理コンソールにログインして、必要な認証プロパティーの値を見つけます。

2. テキストエディターで、仮想データベースのデプロイに使用した CR YAML ファイルを開き、Red Hat Single Sign-On プロパティーの値に基づく認証環境変数を定義します。

   以下に例を示します。

   env:
     - name: KEYCLOAK_REALM
       value: master
     - name: KEYCLOAK_AUTH_SERVER_URL
       value: http://rh-sso-datavirt.openshift.example.com/auth
       - name: KEYCLOAK_RESOURCE
         value: datavirt
     - name: KEYCLOAK_SSL_REQUIRED
       value: external
     - name: KEYCLOAK_PUBLIC_CLIENT
       value: true

3. データ仮想化のセキュリティーを保護するために、以下の Maven アーティファクトのビルドソース依存関係を宣言します( org.teiid:spring-keycloak)。

   以下に例を示します。

   env:
     ....
     build:
       source:
         dependencies:
           - org.teiid:spring-keycloak

4. CR を保存します。

手順

1. テキストエディターで、仮想データベースをデプロイするために使用した DDL の記述が含まれるファイルを開きます。

2. ステートメントを挿入して、Red Hat Single Sign-On の仮想データベースユーザーに定義したロールを追加します。たとえば、ReadRole という名前のロールを追加するには、以下のステートメントを DDL に追加します。

   CREATE ROLE ReadRole WITH FOREIGN ROLE ReadRole;

   仮想データベースに実装するロールごとに、個別の CREATE ROLE ステートメントを追加します。

3. ロールが割り当てられたユーザーのデータベースオブジェクトに対するアクセスレベルを指定する文を挿入します。以下に例を示します。

   GRANT SELECT ON TABLE "portfolio.CustomerZip" TO ReadRole

   仮想データベースに実装する各ロールに個別の GRANT ステートメントを追加します。

4. CR または DDL ファイルを保存して閉じます。

   これで、仮想データベースを再デプロイできるようになりました。Data Virtualization Operator を実行して仮想データベースをデプロイする方法は、6章Data Virtualization Operator の実行による仮想データベースのデプロイ を参照してください。

   仮想データベースを再デプロイしたら、Red Hat Single Sign-On 管理コンソールにリダイレクト URL を追加します。詳細は、「Red Hat Single Sign-On 管理コンソールでのデータ仮想化クライアントのリダイレクト URI の追加」 を参照してください。

手順

1. ブラウザーで Red Hat Single Sign-On 管理コンソールにログインします。
2. データ仮想化サービスのクライアントを作成したセキュリティーレルムから、メニューで Clients をクリックし、以前に作成したデータ仮想化クライアントの ID（ dv-clientなど）をクリックします。
3. Valid Redirect URIs フィールドに OData サービスのルート URL を入力し、アスタリスクを追加します。例： http://datavirt.odata.example.com/*

4. Red Hat Single Sign-On が OData API への呼び出しをインターセプトするかどうかをテストします。

   1. ブラウザーから、OData エンドポイントのアドレスを入力します。以下に例を示します。

      http://datavirt.odata.example.com/odata/CustomerZip

      ログインページにより、認証情報の入力が求められます。

5. 許可されたユーザーの認証情報でサインインします。

   データの表示は、サインインに使用するアカウントのロールによって異なります。