GlassFishでHttpServletRequest#isSecure()をtrueにする方法

Question

環境
IIS 7.5 -> ARR(SSLオフロード有効) -> GlassFish 3.1.2.2

GlassFish側で、リクエストがHTTPS通信かチェックしたいのですが、上記の通りリバースプロキシ環境のため、HttpServletRequest#isSecure()は常にfalseが返却されてしまいます。

そこで、ネット上で散見される「Cookieにsecure属性を付与する」方法を試したのですが、どうもうまくいかず、#isSecure()はfalseしか返却されません。

何か他の方法をご存知でしたらご指南ください。

これまで試した設定

<!-- web.xml -->
<session-config>
  <cookie-config>
    <secure>true</secure>
  </cookie-config>
</session-config>

<!-- glassfish-web.xml -->
<session-config>
  <cookie-properties>
    <property name="cookieSecure" value="true"/>
  </cookie-properties>
</session-config>

---

2/21 検証したXMLを修正

Answer 1

環境を拝見しましたがSSLのエンドポイントがARRになるため、バックエンドのglassfishの通信は平文となるのでメソッドでは判定できないのではないでしょうか。
メソッドで判定できるのはglassfish上でSSLを構成した場合（参考HP）になるかと思います。
SSLオフロードを構成した経験は無いのですが、ご参考までに。

推測で失礼しますが、目的がCookeiにsecure属性を付けたい（cookeiのやり取りも暗号化したい）のが目的であれば、２つめのXMLのValueにtrueを設定すれば良いようです。

<session-config>
  <cookie-properties>
   <property name="cookieSecure" value="true"/>
  </cookie-properties>
</session-config>

SSLアクセラレータを入れる場合、これをやらないとCookeiは平文になってしまうのですね。勉強になりました。
参考サイト
Oracle GlassFish Server 3.1 Application Deployment Guide cookie-properties

Comments

[jcs502ulf]

ご回答ありがとうございます。
Apache->Tomcatの場合は、ApacheがHTTPヘッダーにセキュアチャネルである旨を付与できて、Tomcat側でisSecure()が使えた記憶があり、同じような仕組みがあるのでは、と思った次第です。
GlassFishがisSecure()をtrueとするようなヘッダーをIIS側で付与できればうまくいきそうなのですが。

[BlueMoon]

手がかりになるかとApache->Tomcatの例について調べてみたのですが、ApacheがSSLエンドポイントになるのでTomcat側でsecureで有ることを設定してCookeiの暗号化を有効にする例しか見つけられませんでした。
（私の勉強不足であれば済みません。）
もし目的がCookeiの暗号化に有るのであれば、方法を見つけましたので回答に追記いたします。

[jcs502ulf]

調査していただきありがとうございます。
目的ですが、クライアントからのリクエストがhttpsかをGlassFish側で判定したいのです。ログイン後はhttps通信が前提であり、もしhttpsでなければエラーを返却しようと考えております。
記載した例がCookieの設定のもので、混乱させてしまいすみませんでした。
また、2つめのXMLのvalueはtrueでも検証しておりますが、うまくいきませんでした。