Webサーバーを構築するのに、 プラグインとしてTomcatを利用しています。 IISをWebサーバーとして、 IIS7.5とTomcat7を連携させているのです。 セキュリティ対策として セッション管理を見直す必要があったので、 Tomcatのセッション管理について調べた内容を まとめたいと思います。 まず、セッションIDの管理についてですが、 ユーザがサイトにアクセスしたときに、セッションを識別するための セッションIDがブラウザ側にクッキーとして発行されます。 TomcatがランダムなセッションID(32桁)を発行してくれている のです! ということで、IPAが「安全なWebサイトの作り方」の 「1.4 セッション管理の不備」で対策方法として提示している以下の 4-(i)、4-(ii)、4-(v)を満たしています。 ----------------------------------