OpenAM Apache Policy Agent4 リリー
スノート

OSSTech 株式会社
更新日

2024 年 09 月 04 日

目次
1はじめに

12

パッケージ更新履歴

23

コミュニティ版との差異

5

3.1

コミュニティ版 4.0 以降のバックポート . . . . . . . . . . . . . . . . . . .

5

3.2

OSS テクノロジ独自の修正 . . . . . . . . . . . . . . . . . . . . . . . . . .

7i

1 はじめに本ドキュメントは、OSS テクノロジ提供の OpenAM Apache Policy Agent4 パッケージの修正内容について記載しています。本ドキュメントの対象となる OpenAM Apache Policy

Agent4 パッケージは、osstech-openam-agent-apache24-4.0.0-56 です。
このパッケージはコミュニティ版 openam-web-policy-agents 4 のソースコードをベースとしています。コミュニティ版のリリースノートについては次のページより確認してください。

https://backstage.forgerock.com/#!/docs/openam-web-policy-agents/4/
web-release-notes
ご利用の Policy Agent パッケージのバージョンの確認は次のコマンドで確認することができます。
$ rpm -qa | grep osstech-openam-agent4
osstech-openam-agent4-apache24-4.0.0-56.el9.x86_64

12 パッケージ更新履歴• 2024 年 9 月 4 日 osstech-openam-agent4-apache24-4.0.0-56– Amazon Linux 2023 に対応– OpenAM 冗長化構成で Agent セッション無効時に 403 エラーになる問題を修正• 2023 年 3 月 7 日 osstech-openam-agent4-apache(22|24)-4.0.0-54– RHEL9 に対応– 初期設定時に pdp データ保存用ディレクトリを作成– debug ログの起動情報に Agent のバージョンを出力– CDSSO 利用時 Agent が生成する HTML 応答時に Apache の Content-type が不正な値になる問題を修正• 2022 年 11 月 28 日 osstech-openam-agent4-apache(22|24)-4.0.0-50– URL パスに日本語が含まれていると CDSSO 有効時に正しく画面遷移しない問題を修正• 2022 年 10 月 11 日 osstech-openam-agent4-apache(22|24)-4.0.0-49– ログレベル debug で Agent のパスワードがログに出力されないよう修正– 適 用 さ れ な い URL に exception と い う 文 字 を 入 れ ら れ な い 不 具 合 を 修 正(AMAGENTS-177)– 通信エラー発生時にメモリが解放されない不具合を修正 (AMAGENTS-181)– OpenAM から設定の取得に失敗した場合にエラーレベルでログ出力を行うよう改善– URL パスに日本語が含まれていると XUI オフの OpenAM で正しく画面遷移しない問題を修正• 2022 年 7 月 11 日 osstech-openam-agent4-apache(22|24)-4.0.0-44– VirtualHost 内で Agent 指定し Agent 設定が local の場合、debug.log が出力されない不具合を修正–「適用されない URL のパス情報を無視する」が有効の際に適用されない URL と判定されない不具合を修正– URL の PATH パラメーターを除外してポリシー判定する機能を追加• 2022 年 3 月 24 日 osstech-openam-agent4-apache(22|24)-4.0.0-40– OpenAM のロケール設定を英語以外にした場合の処理を改善• 2022 年 1 月 25 日 osstech-openam-agent4-apache(22|24)-4.0.0-39– Apache 強制終了後に起動すると Apache がハングする問題を修正

2

• 2021 年 12 月 01 日 osstech-openam-agent4-apache(22|24)-4.0.0-38– OpenAM サーバーに Proxy サーバー経由で接続する機能を追加• 2021 年 11 月 15 日 osstech-openam-agent4-apache(22|24)-4.0.0-37– 適用されない URL でプロファイル属性を取得できない問題を修正• 2021 年 6 月 28 日 osstech-openam-agent4-apache(22|24)-4.0.0-36– JavaScript モードによる POST データ保持機能の XSS の脆弱性に対応• 2021 年 6 月 23 日 osstech-openam-agent4-apache(22|24)-4.0.0-35– POST データ保持機能の XSS の脆弱性に対応– POST データ保持機能有効時に一部のポリシー条件だとリダイレクトループとなる問題を修正• 2020 年 2 月 20 日 osstech-openam-agent4-apache(22|24)-4.0.0-33– Agent がセットする Cookie 名の判定処理を改善• 2020 年 2 月 10 日 osstech-openam-agent4-apache(22|24)-4.0.0-32– 適用されない URL で付与設定した Cookie を削除しないよう修正• 2020 年 1 月 31 日 osstech-openam-agent4-apache(22|24)-4.0.0-31– CentOS8, Amazon Linux2 に対応– ある特定の長い URL(4000 文字以上) で Apache がダウンする問題を修正– Cookie に SameSite 属性を付与する機能を追加• 2020 年 1 月 21 日 osstech-openam-agent4-apache(22|24)-4.0.0-28– 応答属性の Cookie 付与の問題を修正– 適用されない URL で応答属性がつかない問題を修正• 2019 年 7 月 30 日 osstech-openam-agent4-apache(22|24)-4.0.0-26– Cookie のスペースを除去してしまう問題を修正• 2019 年 7 月 2 日 osstech-openam-agent4-apache(22|24)-4.0.0-25– クエリ―パラメーターに複数のクエスチョンマークが含まれる場合のポリシー判
定を Agent3 の挙動と同等に変更• 2019 年 5 月 13 日 osstech-openam-agent4-apache(22|24)-4.0.0-24– Agent が動作すると Apache の Require ディレクティブが効かない問題を修正– mod_remoteip で書き換えた IP アドレスを認識しない問題を修正– ログの書き込み方法を改善– Restart で Apache がハングする不具合を修正– pcre, zlib, expat を OS のライブラリを使用するよう修正• 2018 年 8 月 27 日 osstech-openam-agent4-apache(22|24)-4.0.0-16– Graceful Restart で Apache がダウンする不具合を修正
3

– OpenAM から不要な Notiﬁcation を行わないよう修正– 属性が複数値の場合一つのみヘッダーにセットする問題を修正• 2017 年 7 月 21 日 osstech-openam-agent4-apache(22|24)-4.0.0-13– SNI(Server Name Indication) に対応– ロードバランサの URL 上書き設定が効かない不具合を修正• 2017 年 6 月 27 日 osstech-openam-agent4-apache(22|24)-4.0.0-11– OpenAM との通信に失敗すると Agent がダウンする不具合を修正– エージェントの「応答属性処理」が動作しない不具合を修正• 2017 年 1 月 6 日 osstech-openam-agent4-apache(22|24)-4.0.0-6– OpenAM のポリシー問い合わせの改善• 2016 年 8 月 2 日 osstech-openam-agent4-apache(22|24)-4.0.0-2– PDP 利用時にファイルを暗号化する機能を実装– パフォーマンス改善 (キャッシュ利用の改善)• 2016 年 7 月 8 日 osstech-openam-agent4-apache(22|24)-4.0.0-1– 新規作成4

3 コミュニティ版との差異
OSS テクノロジ提供の OpenAM Apache Policy Agent4 はコミュニティ版 OpenAM Policy
Agent4.0 と以下の差異があります。

3.1 コミュニティ版 4.0 以降のバックポート• Restart で Apache がハングする不具合を修正– https://bugster.forgerock.org/jira/browse/AMAGENTS-122• 属性が複数値の場合一つのみヘッダーにセットする問題を修正– https://bugster.forgerock.org/jira/browse/AMAGENTS-26• 任意で追加されたセッションプロパティを使えない問題– https://bugster.forgerock.org/jira/browse/AMAGENTS-1• 除外 URL をリストのループ処理の見直し– https://bugster.forgerock.org/jira/browse/AMAGENTS-24• 除外する URL へのアクセスでも audit ログにログが出力される問題– https://bugster.forgerock.org/jira/browse/AMAGENTS-32• audit ログを REMOTE としてもローカルに保存される問題– https://bugster.forgerock.org/jira/browse/OPENAM-8428• セキュリティ脆弱性– https://bugster.forgerock.org/jira/browse/AMAGENTS-8– https://forgerock.org/2016/04/openam-web-policy-agent-security-advisory-201603• インストールコマンドの戻り値の修正– https://bugster.forgerock.org/jira/browse/OPENAM-1769• Apache ユーザー情報の環境変数から取りだし– https://bugster.forgerock.org/jira/browse/OPENAM-8487• POST リクエストで Content-type 問題– https://bugster.forgerock.org/jira/browse/OPENAM-7578• Cookie 処理の RFC6265 準拠– https://bugster.forgerock.org/jira/browse/OPENAM-7635• デバッグログの改善– https://bugster.forgerock.org/jira/browse/OPENAM-7646• iPlanetDirectoryPro の値が URL エンコードされている場合に解釈できない問題– https://bugster.forgerock.org/jira/browse/OPENAM-7694
5• ユーザーが元々送信してきた Cookie を削除する問題– https://bugster.forgerock.org/jira/browse/OPENAM-7774• CDSSO 時の set-cookie 時に expire の修正– https://bugster.forgerock.org/jira/browse/OPENAM-7775• Agent の「高度」の LB に関する設定の問題– https://bugster.forgerock.org/jira/browse/OPENAM-7946• 適用されない URL へアクセスしても OpenAM ログイン画面が表示されてしまう
問題– https://bugster.forgerock.org/jira/browse/OPENAM-7952• CDSSO 利用時 Agent がダウンする問題– https://bugster.forgerock.org/jira/browse/OPENAM-7957•「ユーザー ID パラメータタイプ」に LDAP を設定できない問題– https://bugster.forgerock.org/jira/browse/OPENAM-8039• Agent のインストールに失敗する問題– https://bugster.forgerock.org/jira/browse/OPENAM-8065• 無効なセッションと扱うべきアクセスが 403 エラーとなる問題– https://bugster.forgerock.org/jira/browse/OPENAM-8088• ディレクトリにアスタリスクが含まれていると動作しない問題– https://bugster.forgerock.org/jira/browse/OPENAM-8134• サブレルムで Agent が設定されていると CDSSO が動作しない問題– https://bugster.forgerock.org/jira/browse/OPENAM-8136• セキュリティに関わる修正– https://bugster.forgerock.org/jira/browse/OPENAM-8310• mod_cgid 使用時に Apache がダウンする問題– https://bugster.forgerock.org/jira/browse/OPENAM-8323• リダイレクトループが発生する問題– https://bugster.forgerock.org/jira/browse/OPENAM-8328• Cookie を削除する際にドメイン属性が付かない問題– https://bugster.forgerock.org/jira/browse/OPENAM-8366• CDSSO 利用時に未ログイン扱いになる問題– https://bugster.forgerock.org/jira/browse/OPENAM-8518• Apache2.2.25 以降で GET メソッドを HEAD メソッドとして扱う問題– https://bugster.forgerock.org/jira/browse/AMAGENTS-349

6

3.2 OSS テクノロジ独自の修正• インストールコマンド (agentadmin) の改善• debug レベルで出力されるログの改善 (詳細な情報が出力されるように改善)• POST データの取り扱いを改善• 特定の条件を満たすと Apache がダウンする問題を修正• Apache 停止時に Agent のセッションを削除するよう改善• PDP 利用時にファイルを暗号化する機能を実装• パフォーマンス改善 (キャッシュ利用の改善)• OpenAM のポリシー問い合わせの改善• OpenAM との通信に失敗すると Agent がダウンする不具合を修正• エージェントの「応答属性処理」が動作しない不具合を修正• SNI(Server Name Indication) に対応• ロードバランサの URL 上書き設定が効かない不具合を修正• Graceful Restart で Apache がダウンする不具合を修正• OpenAM から不要な Notiﬁcation を行わないよう修正• Agent が動作すると Apache の Require ディレクティブが効かない問題を修正• mod_remoteip で書き換えた IP アドレスを認識しない問題を修正• ログの書き込み方法を改善• pcre, zlib, expat を OS のライブラリを使用• クエリ―パラメーターに複数のクエスチョンマークが含まれる場合のポリシー判定をAgent3 の挙動と同等に変更• Cookie のスペースを除去してしまう問題を修正• 応答属性の Cookie 付与の問題を修正• 適用されない URL で応答属性がつかない問題を修正• ある特定の長い URL(4000 文字以上) で Apache がダウンする問題を修正• Cookie に SameSite 属性を付与する機能を追加• OpenAM サーバーに Proxy サーバー経由で接続する機能を追加• URL の PATH パラメーターを除外してポリシー判定する機能を追加

7