認証スキームを最初から作成する方法について

認証スキームを最初から作成すると、認証インタフェースを完全に制御できます。これは、次のいずれかに該当する場合に最適な方法です。

データベース認証または他の方式が適切でない。
独自のログイン・フォームおよび関連方式を開発する必要がある。
Oracle 10gAS Single Sign-Onなどの外部サービスに対して、ユーザー認証のすべての設定を委譲する必要がある。
セッション管理のセキュリティ面を制御する必要がある。
ユーザー・レベルまたはセッション・レベルでアクティビティを記録または監査する必要がある。
セッションのアクティビティ制限または存続期限を施行する必要がある。
Oracle Application Expressページ・プロセスの前に一方向の条件付きリダイレクト・ロジックをプログラムする必要がある。
一般的なセッション管理フレームワークを使用して、アプリケーションをOracle Application Express以外のアプリケーションと統合する必要がある。
アプリケーションが、シームレス（たとえば、複数のアプリケーションID）に動作する複数のアプリケーションで構成されている。

参照:

Oracle Application Express APIリファレンスの「APEX_CUSTOM_AUTH」

セッション管理セキュリティについて

Oracle Application Expressは、カスタム認証を実行する際に、次の2つの不適切な状況が発生しないようにします。

あるユーザーが、他のユーザーに属するセッション・ステートに故意にアクセスしようとすること。ただし、ユーザーは任意のアプリケーション・セッションIDをURLに入力できます。
失効したセッション・ステート（多くの場合、同じユーザーに属する以前のセッション・ステート）が不注意にアクセスされること。これは一般的に、アプリケーション・ページへのブックマークを使用したために発生します。

Oracle Application Expressは、カスタム認証ファンクションによって設定されたユーザー・アイデンティティ・トークンが、アプリケーション・セッションが最初に作成された際に記録されたユーザー・アイデンティティと一致するかどうかを確認します。ユーザーがまだ認証されておらず、ユーザー・アイデンティティが認識されていない場合、アクセスをしているセッション・ステートは、他のユーザーに属していません。これらの確認によって、リクエスト内のセッションIDが使用可能かどうかが判断されます。セッションIDが使用不可能な場合、Application Expressエンジンは適切なセッションIDを使用して、同じページにリダイレクトします。

ログイン・ページの構築

Oracle Application Expressでアプリケーションを作成すると、ログイン・ページが作成されます。ページの別名は、LOGINです。このページは、認証スキームで無効なセッション・ページとして使用できます。このページは、Oracle Application ExpressのログインAPIをコールするプロセスを使用して、資格証明の検証およびセッションの登録を実行するように構成されています。

事前に構築されたモデル・ページを使用して、すべてのユーザー・インタフェースを調整し、要件に対してロジックを加工して、独自のログイン・ページを構築することもできます。

アプリケーションのログイン・ページを作成するには、次のステップを実行します。

「作業領域」ホームページで、「アプリケーション・ビルダー」アイコンをクリックします。
アプリケーションを選択します。
「ページの作成」をクリックします。
「ログイン・ページ」を選択します。
ログイン・ページ属性を指定して、「作成」をクリックします。

ディープ・リンクについて

ディープ・リンクは、コンテキスト外（たとえば、電子メールのハイパーリンクまたはワークフロー通知から）のOracle Application Expressページにリンクする機能を指します。コンテキスト外のページにリンクし、そのアプリケーションでユーザー認証が必要な場合、ログイン・ページが表示されます。資格証明の検証後、Application Expressエンジンは元のリンクで参照されていたページを自動的に表示します。ディープ・リンクは、認証スキームを使用するアプリケーションに対してサポートされます。