【DB認証】Tomcat10のDataSourceRealmを徹底解説！安全な認証システム構築の基本

a.kurogoシステム開発コメントを残す

「Tomcatで認証を実装したいけど、ユーザー情報をDBで管理するにはどうすれば…？」
あなたは今、そう考えていませんか？
ファイルベースの認証（tomcat-users.xml）は手軽ですが、ユーザーが増えるほど管理が煩雑になり、セキュリティ面でも不安が残ります。

こんにちは。システムエンジニアとして数々のWebアプリケーション開発に携わってきた筆者が、今回はTomcat10のDataSourceRealmに焦点を当て、その役割と具体的な実装方法を解説します。

この記事を読めば、DataSourceRealmがなぜWebアプリケーション開発において重要なのかが理解でき、セキュアでメンテナンス性の高い認証システムを構築する第一歩を踏み出せるでしょう。

目次

DataSourceRealmとは何か？前提知識の整理

まず、DataSourceRealmの役割を理解するために、Tomcatの「レルム認証」という概念からおさらいしましょう。

レルム（Realm）とは、Tomcatがユーザーの認証（ユーザー名とパスワードの確認）と認可（ロールの付与）を行うための情報源です。Tomcatは、このレルムに定義された情報に基づいて、ユーザーのアクセスを許可するかどうかを判断します。

Tomcatにはいくつかの種類のレルムがありますが、DataSourceRealmは、ユーザー情報とロール情報をデータベースから取得するためのレルムです。これに対し、デフォルトのUserDatabaseRealmは、tomcat-users.xmlというXMLファイルから情報を読み込みます。

なぜDataSourceRealmが必要なのか？その利点と役割

小規模なテスト環境ではtomcat-users.xmlで十分かもしれません。しかし、本番環境でユーザー数が増えるにつれて、ファイルベースの認証には限界があります。

DataSourceRealmを使用することで、以下の利点が得られます。

  • 柔軟性と拡張性
    データベースを使用するため、ユーザー数が何万、何十万と増えても対応できます。管理画面からユーザー情報を追加・編集できるなど、動的なユーザー管理が可能になります。
  • 一元管理
    認証情報を複数のシステムで共有する場合、データベースで一元管理することで、整合性を保ちやすくなります。
  • セキュリティの向上
    より高度なパスワードハッシュ化や暗号化をデータベース側で実装でき、セキュリティを強化できます。

DataSourceRealmは、Webアプリケーションの認証基盤を、より堅牢でスケーラブルなものに進化させるための鍵となるのです。

DataSourceRealmを実装する3つのステップ

DataSourceRealmを実装するには、大きく分けて以下の3つのステップが必要です。

  1. データベースの準備
    ユーザー情報（ユーザー名、パスワード）とロール情報（ユーザーIDとロール名）を格納するためのテーブルを作成します。

    [usersテーブルの例]
    CREATE TABLE users ( id INT NOT NULL AUTO_INCREMENT, username VARCHAR(50) NOT NULL, password VARCHAR(255) NOT NULL, PRIMARY KEY (id) );

    [user_rolesテーブルの例]
    CREATE TABLE user_roles ( user_id INT NOT NULL, role_name VARCHAR(50) NOT NULL, PRIMARY KEY (user_id, role_name) );

  2. レルムの定義
    アプリケーションのMETA-INF/context.xmlに、DataSourceRealmの設定を記述します。

    ポイント:

    • Resourceタグでデータベースへの接続情報を定義します。
    • RealmタグでDataSourceRealmを指定し、ユーザーテーブル、パスワード、ロールの各カラム名を紐付けます。
  3. セキュリティ制約の定義
    WEB-INF/web.xmlに、保護したいURLパターンと、それにアクセスできるロールを定義します。

    ポイント:

    • security-constraintタグで、アクセス制限をかけるURL（例: /protected/*）を指定します。
    • auth-constraintタグで、許可するロール（例: admin）を指定します。
    • login-configタグで、認証方式（フォーム認証など）を設定します。

これらの設定をすべて行うことで、Tomcatはデータベースを参照して認証を行い、web.xmlのルールに従ってアクセスを制御するようになります。

実践例：Tomcat10とMySQLで認証を実装する

ここでは、Tomcat10とMySQLを使った具体的な設定例を見ていきましょう。

【準備】
– Tomcat 10がインストールされていること
– MySQLサーバーが起動していること
– MySQL JDBCドライバをTomcatのlibディレクトリに配置すること

ステップ1：データベースとテーブルの作成
MySQLクライアントでデータベースに接続し、上記で例示したusersテーブルとuser_rolesテーブルを作成します。テスト用のユーザーも追加しておきましょう。 

INSERT INTO users (username, password) VALUES ('testuser', 'testpass');
INSERT INTO user_roles (user_id, role_name) VALUES (1, 'user');

※実際にはパスワードをハッシュ化して保存します。

ステップ2：META-INF/context.xmlの設定
アプリケーションのディレクトリに以下のcontext.xmlを作成します。 

<Context>
  <Resource name="jdbc/UsersDB" auth="Container"
            type="javax.sql.DataSource"
            driverClassName="com.mysql.cj.jdbc.Driver"
            url="jdbc:mysql://localhost:3306/your_database"
            username="dbuser" password="dbpassword"
            maxTotal="20" maxIdle="10" />

  <Realm className="org.apache.catalina.realm.DataSourceRealm"
         dataSourceName="jdbc/UsersDB"
         userTable="users" userNameCol="username" userCredCol="password"
         userRoleTable="user_roles" roleNameCol="role_name"/>
</Context>

ステップ3：WEB-INF/web.xmlの設定
保護するリソース（例: /protected/index.jsp）と、許可するロールを定義します。 

<web-app>
    <security-constraint>
        <web-resource-collection>
            <web-resource-name>Protected Pages</web-resource-name>
            <url-pattern>/protected/*</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <role-name>user</role-name>
        </auth-constraint>
    </security-constraint>

    <login-config>
        <auth-method>FORM</auth-method>
        <form-login-config>
            <form-login-page>/login.html</form-login-page>
            <form-error-page>/login-error.html</form-error-page>
        </form-login-config>
    </login-config>

    <security-role>
        <role-name>user</role-name>
    </security-role>
</web-app>

これらの設定を完了すれば、/protected/以下のURLにアクセスしようとした際に、login.htmlにリダイレクトされ、データベースの情報を使って認証が行われるようになります。

まとめ：DataSourceRealmで安全な認証基盤を構築する

今回は、Tomcat10のDataSourceRealmについて解説しました。

DataSourceRealmは、ユーザー情報をデータベースで一元管理することで、柔軟かつセキュアな認証システムを構築するための強力なツールです。ファイルベースの認証に比べ、動的なユーザー管理や大規模なシステムへの対応が可能になります。

今回紹介した設定はあくまで基本です。さらに強固な認証システムを構築するには、パスワードのハッシュ化やHTTPSの使用など、より高度なセキュリティ対策を組み合わせることが重要です。

関連記事

この記事が、あなたのWebアプリケーション開発の一助となれば幸いです。

コメントを残す

メールアドレスが公開されることはありません。必須項目には印がついています *