HP IceWall SSO はシングルサインオン型認証を実現するためのミドルウェアで、フォワーダ(dfw)、ダイナミックメニュー(dmenu)、認証モジュール(certd)の3つのモジュールから構成されています。

・フォワーダ(dfw)
　フォワーダはユーザからのサービス要求を受け取り、バックエンドWebサーバへサービス要求を代行する
　CGIプロセスです。フォワーダはURL、キーワード変換と呼ばれる処理を行い、コンテンツ中のURLをフォ
　ワーダ経由のURLに書き換えた上で、ユーザ側にページを送信します。

・ダイナミックメニュー(dmenu)
　ダイナミックメニューは、ユーザが所属しているグループのアクセス権限に応じて、バックエンドWebサー
　バへのリンクページを動的に生成するServletプロセスです。ダイナミックメニューを利用するにはテンプ
　レートページをあらかじめ用意する必要があります。

・認証モジュール(certd)
　認証モジュールは、フォワーダ、ダイナミックメニューの要求を受け、認証DB（ディレクトリサービスまたは
　データベース）に認証認可情報の問い合わせを行うデーモンプロセスです。なお、認証モジュールが動作
　するサーバを「認証サーバ」と呼びます。

・ログイン機能
　ユーザがバックエンドWebサーバ上のコンテンツにアクセスを開始する際に使用する機能です。ユーザ
　ID、パスワード等の認証を認証DB（ディレクトリサービスやデータベース）と連携して行います。

・ログアウト機能
　ユーザがバックエンドWebサーバへのアクセスを終了する際に使用する機能です。本機能を使用すると、
　ユーザはバックエンドWebサーバにアクセスできなくなります。（再びバックエンドWebサーバにアクセス
　するためには「ログイン機能」を使用します）

・アクセス制御機能
　認証されたユーザの所属するグループの認可情報に基づいて、バックエンドWebサーバ上のコンテンツ
　へのアクセスを制御する機能です。

・セッション管理機能
　HP IceWall SSO ではSingle Sign Onの管理にセッションIDを利用します。セッションIDにより認証（ログオ
　ン状態）の確認をするとともに、ユーザのアクセス制御（URL毎のアクセス許可／禁止）を実施する機能で
　す。

・情報継承機能
　ユーザのログイン情報、認証DB上の情報を、バックエンドWebサーバに渡す機能です。バックエンドWeb
　サーバのアプリケーションは、この情報を環境変数として受け取ります。認証DBのカラム情報をバックエ
　ンドWebサーバに渡すためには、HP IceWall SSO 設定ファイルで指定します。

・URL変換機能
　バックエンドWebサーバから受信したコンテンツに含まれるURLのうち、ホスト名またはドメイン名を、指定
　した名前に変更する機能です。バックエンドWebサーバ情報をユーザより隠蔽するために使用します。
　コンテンツの中のURLは、全てIceWallサーバのサブディレクトリに変換されるため、ユーザにはあたかも1
　のWebサーバにアクセスしているように見えます。

・キーワード変換機能
　バックエンドWebサーバから受信した、コンテンツに含まれる文字列を、指定した文字列に変換する機能
　です。上記URL変換機能が変換できない文字列に対して使用します。

・リバースプロキシ機能
　クライアントからのアクセス要求を、IceWallサーバがバックエンドWebサーバに代行して受け付ける機能
　です。IceWallサーバはURLを解析し、バックエンドWebサーバに情報を中継します。
　クライアントからのアクセスは、全てIceWallサーバを経由するので、IceWallサーバを要塞化することで、
　非常にセキュアなシステムを構築できます。

・パスワード変更機能
　ユーザ自らが、認証DB上のパスワードを変更するための機能です。設定ファイルで詳細なパスワードポ
　リシーの設定ができます。

・ダイナミック画面生成機能
　ユーザの所属するグループのアクセス権限に応じた、個人別のメニュー画面を表示する機能です。メ
　ニュー画面のテンプレートが用意されています。

・アクセス記録機能
　IceWallサーバ経由でユーザがアクセスした記録を残す機能です。管理者はこの記録により、ユーザ毎
　の利用頻度や操作履歴を分析できます。

・SSL通信機能(オプション)
　IceWallサーバとバックエンドWebサーバ間の通信には、HTTPプロトコルの他に、SSLプロトコル(https)も
　使用できます。従って、インターネット上にあるバックエンドWebサーバに対しても、安全なSingle Sign On
　が可能です。

・フェールオーバー機能(オプション)
　システム可用性の向上のため、フォワーダとダイナミックメニュー画面生成機能が、代替バックエンドWeb
　サーバおよび代替認証サーバを使用できる機能です。

・クライアント証明機能
　クライアント証明書を利用した本人確認を行う機能です。ブラウザにクライアント証明書を入れることによ
　り、より高度な本人確認を実現します。

・クロスサイトスクリプティング対策機能
　クライアントより送信された悪意のあるスクリプトを無効化する機能です。すでにスクリプトが埋め込まれ
　ている場合でも対応が可能です。

・自動フォーム認証機能
　バックエンドWebサーバ用のWeb Application用に作成されたフォーム認証に対してSingle Sign-Onを実
　現するための機能です。

・簡易ポータル機能
　アクセスされたユーザと、様々な条件により簡易的なポータル画面を表示する機能です。

・Domain Gateway機能
　Microsoft Windowsのドメイン認証とのSingle Sign-Onを実現する機能です。Windowsドメインにログオン
　するだけでIceWallへシームレスにログインすることが可能となります。

・エージェント機能
　従来のReverse Proxy型のSingle Sign-Onに加えて、Agent型のSingle Sign-Onを実現する機能です。

・エージェントモジュールからのパスワード変更機能
　エージェントモジュールと連携してパスワード変更が可能になりました。この機能によりパスワード変更関
　連のテンプレートHTML が更新されています。本機能に関連してバックエンドWebサーバー全体でのトッ
　プページを特定キーワードにより設定する機能が追加されました。エージェントモジュールからパスワー
　ド変更を行うには、エージェントモジュールが本機能に対応している必要があります。

・フェイルオーバー後の復旧機能
　従来までは、リクエスト送信元でのフェイルオーバー機能によりリクエスト送信先がレプリカの認証モジュ
　ールへと変更された後は、マスターの認証モジュールが復旧後もリクエスト送信先はレプリカの認証モ
　ジュールのままとなっていました。本バージョンより、ICP2.0 を使用している場合に限り、レプリカの認
　証モジュールでマスターの認証モジュールが復旧したことを検出すると、リクエスト送信元へマスターが
　復旧したことが通知されるようになり、リクエスト送信元でリクエスト送信先がレプリカからマスターへフ
　ェイルバックされるようになりました。

・IPv6 対応
　本バージョンよりフォワーダー・認証モジュール・Dynamic Menu Portal・Domain Gateway Option がIPv6
　を使用した送信・受信・設定に対応しました。この対応によりIPv6 ネットワーク環境で各モジュールが使
　用できるようになりました。

・トランザクションID のログ出力機能
　本バージョンより、ログにトランザクションID を出力する設定が行えるようになりました。この機能により
　障害発生時の追跡が容易になりました。ただし、認証モジュールのログへトランザクションID を出力する
　場合は認証モジュールへの通信にICP2.0 を使用する必要があります。

・データベースビジーエラーページ表示機能
　フォワーダーが認証モジュールに接続した際に、認証モジュールにアクセスが集中してすぐにレスポンス
　を返せない場合に、データベースビジーエラーページを出力する機能が追加されました。

・リクエスト別のフィルターリング機能
　リクエストの種類別にクライアントからのアクセスを停止する機能が追加されました。この機能によりフォ
　ワーダーはアクセスを許可していないリクエストを受信した際に、専用のエラーページを出力することが
　できるようになりました。

・認証モジュール接続ロードバランシング機能
　認証モジュールの接続先を、複数の認証モジュール接続設定から振り分けて接続するロードバランシン
　グ機能が追加されました。振り分け方法はランダムまたはユーザーIDをキーとした振り分けを行います。

・DB 接続を必要としないリクエストスレッド数の任意指定対応
　従来までは、認証DB や履歴DB などのDB に障害が発生するとDB 接続を必要とするリクエストですべ
　てのリクエストスレッドが使用され、DB 接続を必要としないリクエストにもDB 障害の影響がありました。
　本バージョンより、リクエストスレッド中のDB 接続を必要としないリクエストのためのリクエストスレッド数
　が設定できるようになり、DB に障害が発生しても、DB 接続を必要としないリクエストには影響がでないよ
　うにすることができるようになりました。設定したリクエストスレッド数分の空きが無い場合は、新たに追
　加されたDB接続ビジーエラー画面がクライアントに返されるようになりました。

・全ユーザーのログアウト対応
　本バージョンより、ログイン中の全ユーザーをログアウトさせる認証モジュールコマンド（logout-cert）
　が提供されました。

・パスワード暗号化ライブラリの統合
　本バージョンより、パスワード暗号化ライブラリが統合され、ログイン時とパスワード変更時で異なるハッ
　シュ方式を使用できるようになりました。また、製品で使用できるハッシュ方式にSHA256 が追加されまし
　た。

・認証モジュールの設定情報のダウンロード抑止対応
　本バージョンから、認証モジュールが冗長化されている構成の場合は起動時に設定情報をレプリケー
　ション先からダウンロードしないでログイン中のユーザー情報のみレプリケーション先から取得すること
　が設定可能になりました。本機能により、リロード機能で変更できない設定項目の設定をマスターとレプリ
　カの両方を停止しなくても変更ができるようになりました。

・認証モジュールのLinux 64bit プラットフォーム対応
　本バージョンでは、64bit バイナリのモジュールのみリリースされます。これにともない、認証モジュール
　の対応プラットフォームがRedHat Enterprise Linux 5.4(x86 64bit)以降に変更されました。32bitOS で動
　作するモジュールは提供されません。

・Oracle Database 11g Client 対応
　Oracle Database 11g のPro*C で開発されたOracle Net 用の認証DB ライブラリが提供されました。

・認証モジュールのUserExit ルーチンの戻り値追加
　本バージョンより、UserExit ルーチンのインターフェイス関数の戻り値に以下のエラーが追加されまし
　た。
　　・ ログイン上限数エラー
　　・ リクエスト権限なしエラー
　　・ セッションID 生成エラー
　　・ DB ビジーエラー
　　・ パスワード最小長エラー
　　・ パスワード最大長エラー
　　・ パスワード文字種エラー
　　・ ユーザーID と同一のパスワードエラー

・UserExit ルーチンのログイン数取得API
　本バージョンより、認証モジュールの UserExit ルーチンにログイン中のユーザー数を取得する API が
　追加されました。

・ICP 2.0 の HTTP インターフェイス対応
　HTTP インターフェイスでICP 2.0 のリクエストを使用することができるようになりました。

・認証モジュールの生存確認リクエストの追加
　本バージョンより、ICP 2.0 のリクエストにネットワーク機器や外部プログラムなどから認証モジュール
　を使用する場合に限り、認証モジュール生存確認用リクエストが追加されました。

・認証DB の暗号化対応
　本バージョンより、認証DB のカラム値に暗号化した値が使用できるようになりました。復号のアルゴリズ
　ムは任意のものを追加することができます。

・ログイン可能ユーザー数の設定機能
　本バージョンより、最大同時ログインユーザー数の設定範囲内でログインできるユーザー数を制限するこ
　とができるようになりました。再読込みコマンド（reload-cert）の実行により運用中の変更が可能です。
　また、ログイン可能ユーザー数を0 に設定すると新規のログインを受け付けない状態にすることが可能で
　す。

・IceWall SSO のセッションID の64 バイト長対応
　本バージョンから、ICP 2.0 を使用する場合に限り、IceWall SSO のセッションID を既存の32 バイト長だ
　けではなく、64 バイト長で生成して使用することが可能となりました。なお、UserExit ルーチンでセッシ
　ョンID を操作している環境において64 バイト長で動作させる際は、UserExit ルーチンの処理に修正が必
　要となる場合があることに注意して下さい。

・通信メッセージ暗号化ライブラリの拡張
　本バージョンから、ICP 2.0 通信時の通信メッセージ暗号化ライブラリが製品標準の通信メッセージ暗号
　化ライブラリと独自に開発した通信メッセージ暗号化ライブラリの両方が同時に使用することが可能とな
　りました。

・認証モジュールコマンドのプロセス終了ステータスの追加対応
　本バージョンから、認証モジュールコマンド（start-cert、end-cert、info-cert、reload-cert、cdump-ce
　rt、logout-cert）で、実行後にエラーメッセージを標準エラー出力に出力するようになりました。また、
　エラーに対応するプロセスの終了ステータスが設定されるようになりました。

・Dynamic Menu Portal の ICP 2.0 対応
　Dynamic Menu Portal で、認証モジュールとの接続に使用する ICP のバージョンを「ICP 1.0 拡張」「ICP 　2.0」のどちらかから指定することが可能になりました。

・Domain Gateway Option 64bit 対応
　本バージョンでは、64bit バイナリのモジュールのみリリースされます。これにともない、Domain Gateway 　Option の対応プラットフォームが、HP-UX 版はHP-UX 11iv3(Itanium 64bit) 以降に、Linux 版は
　RedHatEnterprise Linux 5.4(x86 64bit) 以降に変更されました。32bitOS で動作するモジュールは
　提供されません。

・Domain Gateway Option のICP 2.0 対応
　Domain Gateway Option で、認証モジュールとの接続にICP 2.0 を使用することが可能になりました。