Oracle Mobile Application Framework 2.2.0 移行ノート

 

  説明
1. セキュリティ構成の変更：
  • Web SSO認証を使用するお客様は、アプリで使用するREST/HTTP Webサービス接続用に、「oracle/http_cookie_client_policy」セキュリティ・ポリシーを構成する必要があります。この変更を行わなかった場合、アプリケーションでサービスにアクセスしようとするとエラーが表示される場合があります。詳しくは、開発者ガイドの15.7項「Accessing Secure Web Services」を参照してください。
  • Cookie伝播によるBasic認証を使用するお客様は、アプリで使用するREST/HTTP Webサービス接続用に、「oracle/http_cookie_client_policy」と「oracle/wss_http_token_client_policy」を構成する必要があります。詳しくは、開発者ガイドの15.7項「Accessing Secure Web Services」を参照してください。
2. SSL構成の変更：

（TLS 2より前の）古いSSLバージョン、または非推奨の暗号スイートや暗号化アルゴリズムを使用していると、「invalid cipher suite」、「close notify」、「TLS error」などのSSLエラーが表示される場合があります。これは、最新バージョンのJava 8によって最新のSSLと暗号スイートの使用が強制され、セキュアでないSSLバージョンの使用がデフォルトで無効になっているためです。お客様にはサーバーを更新して最新のSSLバージョンを使用することを推奨していますが、回避策として次の構成を使用できます。

  1. 必要なバージョンのSSLでmaf.propertiesファイルを更新します。デフォルトでは、TLSv2のみがサポートされています。たとえば、java.commandline.argument=-Dhttps.protocols=TLSv1を追加してTLSV1を有効にします。
  2. java.commandline.argument=-Dhttps.cipherSuitesプロパティを使用して、アプリに必要なすべての暗号スイートを使ってmaf.propertiesファイルを更新します。Javaでサポートされるすべての暗号スイートについては、こちら（「Cipher Suites」の項）を参照してください。
  3. java.securityファイルを更新して、非推奨のアルゴリズムを有効にします。既存のMAFアプリには、このファイルはありません。このため、空のMAFアプリケーションを新規で作成し、このアプリで作成したmaf.securityファイル（/resources/securityにあります）を、同じ場所の既存のアプリにコピーします。たとえば、java.securityファイルの設定がjdk.tls.disabledAlgorithms=SSLv3, RC4, DH keySize < 768の場合、RC4アルゴリズムはデフォルトで無効になります。RC4が必要な暗号スイート（SSL_RSA_WITH_RC4_128_MD5など）を使用している場合は、SSL接続の確立中の実行時にエラーが発生します。この問題を回避するには、java.securityエントリを次のように変更して、RC4暗号化を有効にします。jdk.tls.disabledAlgorithms=SSLv3, DH keySize < 768