FAMLog

FileMaker Pro 7において、FileMakerネットワーク共有やWeb公開、ODBCおよびJDBCによる共有などの方法を使用してデータ共有を行う場合には、データベースごとに「拡張アクセス権」を設定します。

拡張アクセス権は、どういった方法で共有データへのアクセスを許可するか定義するものです。拡張アクセス権を使用すると、任意のアクセス権セットを割り当てられたアカウントが、許可された共有方法でデータにアクセスできるよう設定することができます。

FileMaker 7でWeb公開を行うためには、使用するWeb公開技術のタイプに応じて、データベースに拡張アクセス権を作成・設定する必要があります。

Security Update 2004-12-02を適用することで、Apacheで「.DS_Store」ファイルおよび「.ht」で始まるファイルに対するアクセスを完全にブロックしていなかった問題（CAN-2004-1083）が修正されます。

Apacheの設定ファイルでは下記のように変更されており、この変更により「.ht」または「.DS_S」からはじまるすべてのファイルに対するアクセスを、大文字を使っているかに関わらず、制限するように修正されています。

［変更前］
<Files ~ "^\.ht">
    Order allow,deny
    Deny from all
    Satisfy All
</Files>

［変更後］
<Files ~ "^\.([Hh][Tt]|[Dd][Ss]_[Ss])">
    Order allow,deny
    Deny from all
    Satisfy All
</Files>

Mac OS XのファイルシステムであるHFS+は通常のままではファイル名の大文字と小文字を区別しないため、Apacheのデフォルト設定ではURLの大文字小文字を意図的に変えることで非公開ファイルの閲覧が可能になってしまう場面があります。そのため、Mac OS XでApacheを動作させる場合には、上記のように設定を変更することが必須と言えます。

FileMaker Site Assistantは、Mac版では通常下記のフォルダにインストールされます。

/Applications/FileMaker Server 7/Web Publishing Tools

Site Assistantを使用するには、Web公開エンジンでXSLTを使用したカスタムWeb公開が有効になっている必要があります。使用前に確認すべき点は下記の通りです。

・XSLTを使用したカスタムWeb公開の拡張アクセス権（キーワードは「fmxslt」）がデータベースに設定されている
・適切なアクセス権セットが使用されるようにデータベースが設定されている
・データベースがFileMaker Serverによってホストされて開かれている
・WebサーバーおよびFileMaker Server Web公開エンジンが実行されている
・Web公開エンジンでXSLT公開が有効になっていて、XSLTスタイルシートを使用およびテストできる状態である

FileMaker Server 7 AdvancedのWeb公開エンジンでデータベースセッションオプションを有効にした場合と無効にした場合では、それぞれ長所と短所があります。

データベースセッションを有効にすると、グローバルフィールドの値およびスクリプトによって変更された状態がリクエスト間で維持されますが、Webセッションの数がFileMaker Server上の同時データベースセッションの最大数（100）に制限されるという短所があります。

逆に、データベースセッションを無効にすると、グローバルフィールドの値や状態がリクエスト間で維持されませんが、Webセッションの数がデータベースセッションの最大数に制限されなくなります。この場合、Webセッションの最大数は、Web公開エンジンのホストコンピュータに搭載されているメモリサイズによってのみ制限されます。

グローバルフィールドの値や状態をリクエスト間で維持する必要が特にない場合には、データベースセッションオプションを有効にする必要はありません。

FileMaker Server 7 AdvancedのXSLTを使用したカスタムWeb公開で「データベースセッション」オプションを有効にした場合、リクエスト間でグローバルフィールドの値を保持することができます。また、スクリプトで状態を変更した場合、リクエスト間で変更後の状態が維持されます。

セッションを使用するXSLTスタイルシートによって実行されるリクエストでは、スタイルシートで定義されたセッションの期間中、または他のリクエストで変更されるまで、グローバルフィールドの値が保持されます。また、リクエスト間で状態も維持されますが、例えば、「再ログイン」スクリプトステップによってアカウントを切り替えた場合、変更されたアクセス権がリクエスト間で維持されます。

データベースセッションオプション設定は最初は無効になっています。リクエスト間でグローバルフィールドの値やアカウントの状態を維持したい場合は、管理コンソールを使用して、Web公開エンジンのデータベースセッションオプションを有効にする必要があります。

（2006/03/24追記：「XSLTスタイルシートでグローバルフィールドを使用する場合やリクエスト間で状態を維持したい場合」を「リクエスト間でグローバルフィールドの値やアカウントの状態を維持したい場合」に修正しました。）

FileMaker Server 7 AdvancedのXSLTを使用したカスタムWeb公開では、新たにセッション管理のための関数群が用意されています。

XSLTスタイルシートでFileMaker XSLT拡張関数のセッション関数を使用することで、Webユーザーを判別し、サーバー側でWebユーザーの情報・状態を保持できる仕組みを組み込むことが可能です。

Server 7 Advancedでは、セッションには次の2つのタイプのセッションがあります。

・Webセッション
・データベースセッション

データベースセッションの利用はオプション設定となっていて、オプションを有効にした場合と無効にした場合では、それぞれ長所と短所があります。

Appleから「iCal 1.5.4」がリリースされています。

iCal 1.5.4はMac OS X v10.2.3以降で利用可能で、セキュリティ上の問題（CAN-2004-1021）が修正されています。

iCalカレンダーはアラームによるイベント通知を含むことがあり、アラームによりプログラムを起動したりメールを送信することがあります。iCal 1.5.4では、アラームを含むカレンダーを読み込んだり開いたりしたときに、アラートを表示するように変更が施されています。

FileMaker Server 7 AdvancedのカスタムWeb公開では、多くの重要な新機能が提供されています。

その1つに、FileMaker XSLTスタイルシートにおいて、XMLデータの要求時に使用するクエリーコマンド、引数および値を静的に定義しておくことで、クエリーコマンドとクエリー引数の不正使用を防止できるようになったことが挙げられます。

クエリーコマンドと引数をXSLTスタイルシートに静的に定義した場合、それらはURLクエリー文字列で指定されたクエリーコマンドや引数よりも優先されるため、セキュリティを高める効果的な方法の1つとなります。また、URLクエリー文字列を短くできるという利点もあります。

「Web公開エンジン管理コンソール」は、Webサーバーモジュールと共に、Webサーバーにインストールされるソフトウェアコンポーネントです。

管理コンソールは、Web公開エンジンの設定・管理を行うためのWebアプリケーションであり、Webブラウザー経由で使用するものです。Web公開エンジンの一部と見なすこともできますが、FileMaker Server 7 Advancedに付属するマニュアルでは、Webサーバーモジュールとセットで扱われています。

必要に応じて、特定のIPアドレスからのみ管理コンソールへアクセスできるように制限をかけることができます。

「mod_security 1.8.6」がリリースされています。mod_security 1.8.6では、検知モードでのみ動作させたい場合に対応するように動作に変更が加えられています。

データの妥当性チェックがリクエストを最初に処理するときにのみ行われるようになり、さらにリクエストヘッダーにも妥当性チェックが行われるように拡張されています。これにより、すべてのリクエストデータに対して妥当性チェックが行われます。

ただし、現状ではいくつか制限もあり、検知モードで動作させるにあたって一部利用できないオプションがあります。バージョン1.9世代でこういった制限を緩めていく方針のようです。

その他、バージョン1.8.6では下記3点の不具合が修正されています。

・skipアクションが正しく動作しない不具合
・ファイルアップロード時にmod_securityが無限ループに陥る場合がある不具合
・Apache 2.0用mod_security 1.8.5で、メモリーバッファよりサイズが大きいファイルをアップロードすると承認過程がスキップされてしまう不具合