Sun Java™ System Identity Manager 7.1 リリースノート

ドキュメントの追加事項と修正事項

ここでは、Identity Manager 7.1 マニュアルセットが発行されたあとに必要となった新しい情報と修正情報を記載しています。この情報は、次のように構成されています。

Identity Manager インストールガイド

Identity Manager Upgrade

Identity Manager 管理ガイド

Identity Manager リソースリファレンス

Identity Manager の配備に関する技術情報

Identity Manager ワークフロー、フォーム、およびビュー

Identity Manager 配備ツール

Identity Manager Tuning, Troubleshooting, and Error Messages

Identity Manager Service Provider Edition Deployment

helpTool の使用

Identity Manager インストールガイド

ここでは、『Sun Java^TM System Identity Manager インストールガイド』に追加すべき情報とドキュメントの修正事項を記載しています。

Exchange 5.5 リソースアダプタはサポートされていません。このアダプタについての記述は無視してください。

Identity Manager Upgrade

ここでは、『Sun Java^TM System Identity Manager Upgrade』に追加すべき情報とドキュメントの修正事項を記載しています。

アップグレードの前に、Identity Manager がインストールされているディレクトリと、Identity Manager が使用しているデータベースの両方をバックアップすることが重要です。サードパーティーのバックアップソフトウェアまたはシステムに付属のバックアップユーティリティーを使用して、Identity Manager ファイルシステムをバックアップします。データベースをバックアップする際は、推奨されるバックアップ手順についてデータベースのマニュアルを参照してください (ID-2810)。

バックアップを作成する準備ができたら、まず Identity Manager をシャットダウンします (または、アイドル状態にする)。次に、バックアップユーティリティーを使用して、データベースと、Identity Manager をインストールしたファイルシステムをバックアップします。

AD Active Sync リソースは非推奨になり、AD リソースによって置き換えられました。AD Active Sync を新しいリリースに移行するには、次の手順を実行します (ID-11363)。

コマンド行またはデバッグページから、既存の AD Active Sync リソースオブジェクトを xml ファイルにエクスポートします。

既存のリソースを削除します。これは、Identity Manager ユーザーまたはリソースアカウントユーザーには影響しません。

新しく AD リソースを作成します。

この新しいリソースオブジェクトを XML ファイルにエクスポートします。

このファイルを編集し、アイデンティティー属性および name 属性の値を、手順 1 で保存した古いリソースオブジェクトの値と一致するように変更します。これらの属性は <Resource id='idnumber' name='AD' ...> タグにあります。

変更をファイルに保存します。

「設定」の「交換ファイルのインポート」ページまたはコマンド行を使用して、変更したオブジェクトをふたたび Identity Manager にインポートします。

「その他のカスタムリポジトリオブジェクト」の節が更新され、Identity Manager のスナップショット機能を使用して、配備内のカスタマイズ済みリポジトリオブジェクトのベースラインまたは「Snapshot」を作成する手順が追加されました (ID-14840)。

その他のカスタムリポジトリオブジェクト

作成または更新したその他のカスタムリポジトリオブジェクトの名前を記録します。これらのオブジェクトを現在のインストールからエクスポートし、アップグレード後に Identity Manager の新しいバージョンに再インポートしなければならない場合があります。

管理グループ

管理者ロール

Configuration

ポリシー

プロビジョニングタスク

Remedy 設定

リソースフォーム

リソースフォーム

ロール

規則

タスク定義

タスクテンプレート

ユーザーフォーム

Identity Manager のスナップショット機能を使用して、配備内のカスタマイズ済みリポジトリオブジェクトのベースラインまたは「Snapshot」を作成できます。これは、アップグレードの計画時に非常に便利な場合があります。

スナップショットは、比較目的で、次の特定のオブジェクトタイプをシステムからコピーします。

AdminGroup

AdminRole

Configuration

EmailTemplate

Policy

ProvisionTask

RemedyConfig

ResourceAction

Resourceform

Role

Rule

TaskDefinition

TaskTemplate

UserForm

その後、2 つのスナップショットを比較し、アップグレードの前後で特定のシステムオブジェクトにどのような変更が行われたかを特定できます。

注

この機能は、詳細かつ継続的な XML 差分比較のために設計されたものではなく、簡単な初期チェックを目的とした比較のための最小限のツールにすぎません。

スナップショットを作成する手順は、次のとおりです。

Identity Manager の「Debug」ページ ( ) から、「Snapshot」ボタンをクリックして「SnapShot Management」ページを表示します。

図 1 「SnapShot Management」ページ

「Create」テキストボックスにスナップショットの名前を入力して「Create」ボタンをクリックします。

Identity Manager がスナップショットを追加すると、スナップショットの名前が「Compare」メニューリストおよび「Export」ラベルの右側に表示されます。

2 つのスナップショットを比較する手順は、次のとおりです。

2 つの「Compare」メニューのそれぞれからスナップショットを選択します ( )。

図 2 「SnapShot Management」ページ

「Compare」ボタンをクリックします。

オブジェクトの変更がない場合、差分が見つからなかったことがページに示されます。

オブジェクトの変更が見つかった場合、ページにはオブジェクトのタイプと名前に加えて、オブジェクトが差分、不在、存在のどの状態であるかが表示されます。

たとえば、オブジェクトが baseline_1 には存在するが baseline_2 には存在しない場合、「baseline_1」列は「Present」を、「baseline_2」列は「Absent」を示します。

スナップショットを XML 形式でエクスポートできます。スナップショット名をクリックしてスナップショットファイルをエクスポートします。

スナップショットを削除するには、「Delete」メニューからスナップショットを選択して「Delete」ボタンをクリックします。

「Modified JSPs」の節に次の段落が追加されました。この段落では、inventory -m コマンドを使用して、配備内の変更済み JSP を識別する方法についての情報を示しています (ID-14840)。

前のページで説明した inventory -m コマンドを使用して、配備内で行われた JSP の変更を識別できます。

6.x インストールからバージョン 7.0 または 7.1 にアップグレードしており、新しい Identity Manager エンドユーザーページの使用を開始したい場合、水平ナビゲーションバーを表示させるためには、システム設定 ui.web.user.showMenu を true に手動で変更する必要があります (ID-14901)。

LocalFiles をリポジトリに使用している環境で、6.0 または 7.0 から version 7.1 にアップグレードするには、アップグレードの前にすべてのデータをエクスポートし、7.1 のクリーンインストールを実行したあとにデータを再インポートする必要があります (ID-15366)。

6.0 または 7.0 からバージョン 7.1 へのアップグレードには、データベーススキーマのアップグレードが必要です (ID-15392)。

6.0 から 7.1 にアップグレードしている場合、使用している RDBMS の種類に適した upgradeto71.* スクリプトを使用する必要があります。

7.0 から 7.1 にアップグレードしている場合、使用している RDBMS の種類に適した upgradeto71from70.* スクリプトを使用する必要があります。

アップグレードプロセスの間、Identity Manager はシステム上のすべてのロールを分析し、RoleUpdater クラスを使用して、見つからないすべてのサブロールリンクおよびスーパーロールリンクを更新します (ID-15734)。

アップグレードプロセスの外部でロールを確認およびアップグレードするには、sample/forms/RoleUpdater.xml で提供される新しい RoleUpdater 設定オブジェクトをインポートします。次に例を示します。

<?xml version='1.0' encoding='UTF-8'?>
<!DOCTYPE Waveset PUBLIC 'waveset.dtd' 'waveset.dtd'>
<Waveset>
   <ImportCommand class='com.waveset.session.RoleUpdater' >
      <Map>
         <MapEntry key='verbose' value='true' />
         <MapEntry key='noupdate' value='false' />
         <MapEntry key='nofixsubrolelinks' value='false' />
   v</Map>
   </ImportCommand>
</Waveset>

各部の意味は次のとおりです。

verbose: ロールの更新時に詳細な情報を出力します。ロールのサイレント更新を有効にするには、false を指定します。

noupdate: ロールが更新されるかどうかを決定します。更新されるロールの一覧のみをレポートに出力するには、false を指定します。

nofixsubrolelinks: 見つからないサブロールリンクでスーパーロールを更新するかどうかを決定します。この値はデフォルトで false に設定されており、リンクは修復されます。

Identity Manager インストールディレクトリのパスに空白文字が含まれる場合、次の例に示すように、WSHOME 環境変数を二重引用符 (") を使用せずに指定する必要があります (ID-15470)。

注

パスに空白文字が含まれない場合でも、パスを指定するときは最後の円記号 (¥) を使用しないでください。

set WSHOME=c:¥Program Files¥Apache Group¥Tomcat 4.1¥idm

または

set WSHOME=c:¥Progra~1¥Apache~1¥Tomcat~1¥idm

次のようなパス指定は機能しません。

set WSHOME="c:¥Program Files¥Apache Group¥Tomcat 4.1¥idm"

Identity Manager 管理ガイド

ここでは、『Sun Java^TM System Identity Manager 管理ガイド』に追加すべき情報とドキュメントの修正事項を記載しています。

第 3 章:「ユーザーとアカウントの管理」

「ユーザーの無効化 (ユーザーアクション、組織アクション)」の節で、注記を修正する必要があります。

注

割り当てられたリソースがアカウント無効化をネイティブにサポートしないがパスワード変更はサポートする場合、ランダムに生成される新しいパスワードの割り当てによってそのリソース上のユーザーアカウントを無効化するように Identity Manager を設定できます。この設定を行うには、リソースウィザードの「アイデンティティーシステムのパラメータ」ページを使用して、リソースの「無効化」および「パスワード」アカウント機能を有効にする必要があります。詳細は、第 4 章「設定」を参照してください。

「ユーザーの有効化 (ユーザーアクション、組織アクション)」の節で、次の注記を追加する必要があります。

注

割り当てられたリソースがアカウント有効化をネイティブにサポートしないが、パスワード変更はサポートする場合、パスワードのリセットによってそのリソース上のユーザーアカウントを有効化するように Identity Manager を設定できます。この設定を行うには、リソースウィザードの「アイデンティティーシステムのパラメータ」ページを使用して、リソースの「有効化」および「パスワード」アカウント機能を有効にする必要があります。詳細は、第 4 章「設定」を参照してください。

第 5 章:「管理」

「作業項目の委任」の節で、次の注記を追加する必要があります。

注

委任を設定したあとは、有効な委任期間中に作成されたすべての作業項目が、自分のリストおよび委任先のリストに追加されます。委任を終了すると、委任された作業項目が復元されます。この結果、作業項目の重複が発生する場合があります。作業項目を承認または却下すると、重複した項目は自分のリストから自動的に削除されます。

「作業項目の管理」の節で、次の情報を追加する必要があります。

      削除済みユーザーへの委任

あとで Identity Manager から削除されるユーザーに作業項目を委任している場合、「現在の委任」リスト内で、削除済みのユーザーは括弧で囲んで示されます。削除済みユーザーを含む委任をそのあとで編集または作成すると、アクションは失敗します。また、削除済みユーザーに委任されている作業項目をどのユーザーが作成または更新しようとしても失敗します。

削除済みユーザーに委任された作業項目は、委任を終了することによって復元できます。

「Identity Manager 機能の説明」の表に End User Administrator 機能が追加されました。この機能を割り当てられたすべてのユーザーは、End User Controlled Organizations 規則の内容に加えて、End User 機能で指定されたオブジェクトタイプに対する権限を表示および変更できます。デフォルトでは、この機能は Configurator に割り当てられます。

第 11 章:「アイデンティティー監査」

次の情報をこの章に追加する必要があります。

Auditor 機能の制限の解決

デフォルトでは、監査タスクを実行するために必要な機能は Top 組織 (オブジェクトグループ) に含まれています。結果として、Top を制御する管理者だけが、これらの機能をほかの管理者に割り当てることができます。

別の組織に機能を追加することによって、この制限を解決できます。Identity Manager では、sample/scripts ディレクトリに、このタスクを支援する 2 つのユーティリティーが用意されています。

次のコマンドを実行して、すべての機能 (AdminGroup) と、各機能に関連付けられた組織 (オブジェクトグループ) を一覧表示します。

beanshell.sh objectGroupUpdate.bsh -u configurator -p configurator -h host:port -type AdminGroup -action list -csv

このコマンドを用いて、コンマ区切り値 (CSV) データをファイルへとリダイレクト出力させます。

CSV ファイルを編集して、各機能の組織の位置を必要に応じて調整します。

次のコマンドを実行して、Identity Manager を更新します。

beanshell objectGroupUpdate.bsh -u configurator -p configurator -data CSVFileName -action add -groups NewObjectGroup

第 13 章:「Service Provider Administrator」

「同期の設定」の節には、Service Provider 同期タスクのデフォルトの同期間隔が 1 分であると記載すべきです。

Identity Manager リソースリファレンス

ここでは、『Sun Java^TM System Identity Manager リソースリファレンス』に追加すべき情報とドキュメントの修正事項を記載しています。

Exchange 5.5 リソースアダプタはサポートされていません。このアダプタについての記述は無視してください。

Database Table アダプタのドキュメントで、「最後にフェッチされた述語」の例が正しくありません。正しい定義は次のとおりです。

lastMod > '$(lastmod)'

Flat File Active Sync アダプタに関して、Waveset.properties ファイル内の sources.hosts プロパティーの設定を説明しています。現在では、この設定には同期ポリシーを使用することが推奨されています。

NDS アダプタでの GroupWise のサポートが改善されました。

アダプタが二次ドメイン内のポストオフィスを管理できるようになりました。

GroupWise ユーザーは、あらゆる既知の配布リストに登録できます。

「削除パターン」を指定することなくポストオフィスを削除できます。

このガイドの「ACL リストの管理」の手順説明に、次の誤った記述が含まれています (ID-16476)。

3. Identity Manager 内および「ユーザーの編集」フォーム上でユーザーを編集します。

これを、次の文と置き換えてください。

3. Edit User Form を使って、Identity Manager で、ユーザーを編集します。

Identity Manager の配備に関する技術情報

ここでは、『Sun Java^TM System Identity Manager の配備に関する技術情報』に追加すべき情報とドキュメントの修正事項を記載しています。

CSS を使用して、ユーザーリストテーブルとリソースリストテーブルの列の幅を固定ピクセルやパーセンテージ値に設定できます。これを行うには、次のスタイルクラスを customStyle.css に追加します。このクラスはデフォルトではコメントアウトされています。その後、値をユーザーの要件に合うように編集できます。

th#UserListTreeContent_Col0 {
           width: 1px;
}

th#UserListTreeContent_Col1 {
           width: 1px;
}

th#UserListTreeContent_Col2 {
           width: 50%;
}

th#UserListTreeContent_Col3 {
           width: 50%;
}

th#ResourceListTreeContent_Col0 {
           width: 1px;
}

th#ResourceListTreeContent_Col1 {
           width: 1px;
}

th#ResourceListTreeContent_Col2 {
           width: 33%;
}

th#ResourceListTreeContent_Col3 {
           width: 33%;
}

th#ResourceListTreeContent_Col4 {
           width: 33%;
}

また、列ヘッダーの右側の境界線をクリックしてドラッグし、表の列のサイズを変えることもできます。列ヘッダーの右側の境界線上にマウスを置くと、カーソルが水平のサイズ変更矢印に変わります。左クリックしてカーソルをドラッグすると、列のサイズが変更されます。マウスボタンを離すとサイズ変更が完了します。

System Configuration オブジェクトに、記録する過去の委任の数を管理する security.delegation.historyLength 属性が追加されました。

アクセスレビューダッシュボードと Access Review Detail Report の両方に、監査ログで記録されたレビューのインスタンスが表示されます。データベースのメンテナンスをしないと、監査ログが削除されず、レビューのリストが大きくなります。Identity Manager では、表示されるレビューを特定の期間範囲に制限できます。この制限を変更するには、compliance/dashboard.jsp (ダッシュボードの場合) と sample/auditortasks.xml (詳細レポートの場合) をカスタマイズする必要があります。デフォルトは、2 年以内のレビューのみを表示します。

アクセスレビューダッシュボードに表示されるレビューを制限するには、compliance/dashboard.jsp を次のようにカスタマイズします。

Identity Manager IDE または選択したエディタで compliance/dashboard.jsp を開きます。

リストを過去半年に実行されたレビューに制限するには、form.setOption("maxAge", "2y"); 行を form.setOption("maxAge", "6M"); に変更します。修飾子は、正しくは次のとおりです。

m - 分

h - 時間

d - 日

w - 週

M - 月

y - 年

監査ログに存在するレビューをすべて表示するには、この行をコメントアウトします。

Access Review Detail Report に含まれるレビューを制限するには、次の手順に従います。

IDE または選択したエディタで sample/auditortasks.xml を開きます。

次のように行を変更します。

<s>maxAge</s>
  <s>2y</s>

上記の行を次のように変更します。

<s>maxAge</s>
  <s>6M</s>

これで、過去半年のレビューに制限されます。上記と同じ修飾子を適用します。

各定期的アクセスレビューには、レビューの実行時に作成された一連の UserEntitlement レコードが含まれています。これらのレコードは、時間とともに蓄積され、アカウントについての重要な履歴情報を提供します。ただし、データベース領域を節約するには、一部のレコードの削除を検討してください。「サーバータスク」 > 「タスクの実行」 > 「アクセスレビューの削除」を実行するとレコードを削除できます。レビューを削除するとレビューが削除されたことを示す新しい監査ログエントリが追加され、そのレビューに関連する UserEntitlement レコードをすべて削除します。これによってデータベース領域を節約できます。

第 5 章の「ログインページの背景画像を変更する」の節では、コードの 3 行目は、正しくは次のとおりです。

url(../images/other/login-backimage2.jpg)

コード例 5-5 には、コード例 5-4 に表示されるはずの情報が含まれています。
コード例 5-4 は、正しくは次のとおりです。

コード例 5-4 ナビゲーションタブのカスタマイズ

/* LEVEL 1 TABS */

.TabLvl1Div {

    background-image:url(../images/other/dot.gif);

    background-repeat:repeat-x;

    background-position:left bottom;

    background-color:#333366;

    padding:6px 10px 0px;

}

a.TabLvl1Lnk:link, a.TabLvl1Lnk:visited {

    display:block;

    padding:4px 10px 3px;

    font: bold 0.95em sans-serif;

    color:#FFF;

    text-decoration:none;

    text-align:center;

}

table.TabLvl1Tbl td {

    background-image:url(../images/other/dot.gif);

    background-repeat:repeat-x;

    background-position:left top;

    background-color:#666699;

    border:solid 1px #aba1b5;

}

table.TabLvl1Tbl td.TabLvl1TblSelTd {

    background-color:#9999CC;

    background-image:url(../images/other/dot.gif);

    background-repeat:repeat-x;

    background-position:left bottom;

    border-bottom:none;

}

/* LEVEL 2 TABS */

.TabLvl2Div {

    background-image:url(../images/other/dot.gif);

    background-repeat:repeat-x;

    background-position:left bottom;

    background-color:#9999CC;

    padding:6px 0px 0px 10px

}

a.TabLvl2Lnk:link, a.TabLvl2Lnk:visited{

    display:block;

    padding:3px 6px 2px;

    font: 0.8em sans-serif;

    color:#333;

    text-decoration:none;

    text-align:center;

}

table.TabLvl2Tbl div.TabLvl2SelTxt {

    display:block;

    padding:3px 6px 2px;

    font: 0.8em sans-serif;

    color:#333;

    font-weight:normal;

    text-align:center;

}

table.TabLvl2Tbl td {

    background-image:url(../images/other/dot.gif);

    background-repeat:repeat-x;

    background-position:left top;

    background-color:#CCCCFF;

    border:solid 1px #aba1b5;

}

table.TabLvl2Tbl td.TabLvl2TblSelTd {

    border-bottom:none;

    background-image:url(../images/other/dot.gif);

    background-repeat:repeat-x;

    background-position:left bottom;

    background-color:#FFF;

    border-left:solid 1px #aba1b5;

    border-right:solid 1px #aba1b5;

    border-top:solid 1px #aba1b5;

コード例 5-5 は、正しくは次のとおりです。

コード例 5-4 タブパネルのタブの変更

table.Tab2TblNew td {background-image:url(../images/other/dot.gif);background-repeat:repeat-x;back ground-position:left top;background-color:#CCCCFF;border:solid 1px #8f989f}

table.Tab2TblNew td.Tab2TblSelTd {border-bottom:none;background-image:url(../images/other/dot.gif);background-r epeat:repeat-x;background-position:left bottom;background-color:#FFF;border-left:solid 1px #8f989f;border-right:solid 1px #8f989f;border-top:solid 1px #8f989f}

Identity Manager エンドユーザーインタフェースで、水平ナビゲーションバーは enduser.xml 内の End User Navigation UserForm によって駆動されます (ID-12415)。

すべてのエンドユーザーページに含まれる userHeader.jsp には、menuStart.jsp という名前の別の JSP が含まれます。この JSP は 2 つのシステム設定オブジェクトにアクセスします。

ui.web.user.showMenu - ナビゲーションメニュー表示のオン/オフを切り替える (デフォルト: true)

ui.web.user.menuLayout - タブ付きの水平ナビゲーションバー (デフォルト: horizontal) または垂直ツリーメニュー (vertical) のどちらの形式でメニューを描画するかを決定する

メニューの描画形式を決定する CSS スタイルクラスは style.css 内にあります。

Identity Manager で、Lighthouse アカウントは Identity Manager アカウントと呼ばれるようになりました。カタログをカスタマイズすることで、この名称変更を元に戻すことができます (ID-14918)。カスタムカタログの詳細については、『Identity Manager の配備に関する技術情報』の「国際化サポートを有効にする」を参照してください。

次のカタログエントリは、製品名の表示を制御します。

PRODUCT_NAME=Identity Manager

LIGHTHOUSE_DISPLAY_NAME=[PRODUCT_NAME]

LIGHTHOUSE_TYPE_DISPLAY_NAME=[PRODUCT_NAME]

LIGHTHOUSE_DEFAULT_POLICY=Default [PRODUCT_NAME] Account Policy

Identity Manager に、サポートされるすべての作業項目タイプ名、拡張子、および表示名を指定する新しい設定オブジェクト (WorkItemTypes 設定オブジェクト) が追加されました (ID-15468)。この設定オブジェクトは、init.xml および update.xml によってインポートされる sample/workItemTypes.xml で定義されます。

extends 属性を使用することで、作業項目タイプ (workItem タイプ) を階層化できます。作業項目を作成するとき、その workItem タイプが次のものであれば、Identity Manager は作業項目を指定されたユーザーに委任します。

委任されるタイプ

委任されているタイプの従属 workItem タイプのいずれか

workItem タイプ

説明

表示名

Approval

WorkItem を拡張する

承認

OrganizationApproval

Approval を拡張する

組織の承認

ResourceApproval

Approval を拡張する

リソースの承認

RoleApproval

Approval を拡張する

ロールの承認

Attestation

WorkItem

アクセスレビューアテステーション

review

WorkItem

是正

accessReviewRemediation

WorkItem

アクセス

デフォルトでは、Identity Manager の匿名登録処理では、employeeId に加えてユーザー指定の名 (firstName) と姓 (lastName) を使用することによって、accountId および emailAddress の値が生成されます (ID-16131)。

匿名登録処理の結果、電子メールアドレスやアカウント ID に非 ASCII 文字が含まれる可能性があるため、英語以外の言語を使用するユーザーは、EndUserRuleLibrary 規則を変更して、匿名登録処理の間に Identity Manager が ASCII 形式のアカウント ID および電子メールアドレスを維持するようにすることをお勧めします。

匿名登録処理中にアカウント ID および電子メールアドレスの値を ASCII 形式に維持するには、次の 2 つの手順に従います。

EndUserRuleLibrary 内の 3 つの規則を、次の表に示すように編集します。

編集する規則

この変更を行う方法

getAccountId

employeeId のみを使用する (および、firstName と lastName を削除する)

getEmailAddress

employeeId のみを使用する (firstName、lastName、および "." を削除する)

verifyFirstname

アジア圏の 1 文字の姓を使用できるよう、長さチェックを 2 から 1 に変更する

「End User Anon Enrollment Completion」フォームを編集し、getAccountId および getEmailAddress 規則への呼び出しから firstName および lastName 引数を削除します。

Identity Manager ワークフロー、フォーム、およびビュー

ここでは、『Sun Java^TM System Identity Manager ワークフロー、フォーム、およびビュー』に追加すべき情報とドキュメントの修正事項を記載しています。

次のフィールドをフォームに追加して、ユーザーフォームでのポリシーチェックを無効にできます。

<Field name='viewOptions.CallViewValidators'>

  <Display class='Hidden'/>

    <Expansion>

        <s>false</s>

    </Expansion>

</Field>

このフィールドは、modify.jsp の OP_CALL_VIEW_VALIDATORS フィールドの値を上書きします。

Identity Manager ユーザーインタフェースページには、ナビゲーションバーを実装する 2 つ目の XPRESS フォームがあります。この結果、描画されるページには、次のようにそれぞれ異なる名前属性が付いた 2 つの <FORM> タグが含まれます。

<form name="endUserNavigation"> と <form name="mainform">

これらの 2 つの <FORM> 要素の混同を避けるには、name 属性を document.mainform または document.endUserNavigation のように使用して、参照している <FORM> を区別するようにします。

第 2 章:「Identity Manager ワークフロー」

Identity Manager で、次の新しいサンプル Access Review ワークフローが /sample/workflows に収録されています (ID-15393)。

Test Auto Attestation

Attestation 作業項目を作成することなく、新しい Review Determination 規則をテストするために使用します。このワークフローは作業項目を作成せず、開始直後に終了するだけです。すべての User Entitlement オブジェクトは、アクセススキャンによって作成されたときと同じ状態のままです。このワークフローで実行されたアクセススキャンからの結果をクリーンアップするには、Terminate および Delete オプションを使用します。

このスタブワークフローは必要に応じてインポートできます (Identity Manager はこのワークフローを自動的にインポートしない)。

Identity Manager Compliance では、アプリケーションの統合ポイントおよびカスタマイズポイントとしてワークフローを使用します。デフォルトのコンプライアンス関連ワークフローを以下で説明しています (ID-15447)。

ワークフロー名

目的

Remediation

単一のコンプライアンス違反を単一の是正者が扱っている場合の是正処理

Access Review Remediation

単一のユーザーエンタイトルメントを単一の是正者が扱っている場合の是正処理

Attestation

単一のユーザーエンタイトルメントを単一のアテスターが扱っている場合のアテステーション処理

Multi Remediation

単一のコンプライアンス違反を複数の是正者が扱ってる場合の是正処理

Update Compliance Violation

コンプライアンス違反を受け入れる

Launch Access Scan

Access Review タスクから Access Scan タスクを呼び出す

Launch Entitlement Rescan

単一のユーザーに対するアクセススキャンの再スキャンを呼び出す

Launch Violation Rescan

単一のユーザーに対する監査ポリシースキャンの再スキャンを呼び出す

maxSteps プロパティーの説明が次のように変更されました (ID-15618)。

任意のワークフロープロセスまたはサブプロセスで許可される最大ステップ数を指定します。このレベルを超過すると、Identity Manager はワークフローを終了します。この設定は、ワークフローが無限ループに陥ったときにそれを検出するための保護手段として使用されます。ワークフロー自体で設定されるデフォルト値は 0 です。これは、SystemConfiguration オブジェクトの workflow.maxSteps 属性に格納されるグローバル設定から Identity Manager が実際の設定値を取得することを示します。このグローバル設定の値は 5000 です。

Scripted Task Executor タスクについての次の説明がこの章に追加されました (ID-15258)。

提供されたスクリプトに基づいて Beanshell または JavaScript を実行します。タスクとして、定期的に実行するためのスケジュール設定が可能です。たとえば、このタスクを使用して、レポート作成および分析目的でリポジトリからデータベースにデータをエクスポートできます。利点には、カスタム Java コードを記述することなくカスタムタスクを記述できることがあります (カスタム Java コードはアップグレードのたびに再コンパイルが必要であり、すべてのサーバーに配備される必要がある。スクリプトはタスクに埋め込まれ、再コンパイルや配備の必要はない)。

第 3 章:「Identity Manager フォーム」

監査およびコンプライアンス手順で使用するフォームについての次の説明をこの章に追加する必要があります (ID-15447、16240)。

Identity Manager の監査フォームおよびコンプライアンスフォームは、Identity Manager のフォームで独自の機能を提供します。ユーザー単位および組織単位でフォームを割り当てることができます。ユーザー単位で割り当てられたフォームによって、アテステーションおよび是正処理の効率を高めることができます。

たとえば、アクセスレビュー、是正、またはコンプライアンス違反是正のコンテキストで Identity Manager がユーザーの編集用に表示するユーザーフォームを指定できます。このユーザーフォームは、ユーザーまたは組織のレベルで指定できます。アクセスレビュー再スキャンまたはアクセスレビュー是正のコンテキストで Identity Manager がユーザーを再スキャンするとき、その再スキャンでは AccessScan で定義された監査ポリシーが考慮されます。これを定義して、継続的なコンプライアンス監査ポリシーを含めることができます。

注

監査コンポーネントを設定するには、Configure Audit 機能および Auditor Administrator 機能を持つ Identity Manager 管理者である必要があります。

関連情報

Identity Manager の監査およびコンプライアンス機能をサポートする概念の説明と、デフォルトの監査およびコンプライアンス機能を実装するための基本手順については、『Identity Manager 管理ガイド』を参照してください。

規則全般に関する説明と、是正規則に関する固有の情報については、『Identity Manager 配備ツール』の「Identity Manager 規則」を参照してください。

監査関連のフォーム処理について

userForm や viewUserForm と同様に、特定のユーザーまたは組織に対してフォームを設定できます。ユーザー (または組織内のすべてのユーザー) は、そのフォームを使用することになります。ユーザーと組織の両方に対してフォームを設定する場合、ユーザーに対して設定したフォームが優先されます。フォームを検索するとき、Identity Manager は組織を上位方向に検索します。

監査関連のフォームの動作は、ユーザーフォームおよびユーザー表示フォームと同様です。使用する特定のフォームを各ユーザーが指定でき、特定のユーザーがどのフォームを使用するかはユーザーの組織に基づいて解決されます。

ユーザーフォームの指定

Audit Policy List フォームおよび Access Scan List フォームでは、fullView プロパティーがサポートされています。これによって、リスト内の要素についてかなりの量のデータがフォームに表示されます。このポリシーを false に設定すると、リストビューアのパフォーマンスが向上します。

Access Approval List フォームには includeUE という名前の同様のプロパティーがあり、Remediation List フォームでは includeCV プロパティーを使用します。

デフォルトの監査関連フォーム

次の表は、Identity Manager に用意されているデフォルトの監査関連フォームの一覧です。

フォーム名

マップされた名前

ユーザー単位の制御

一般的な目的

Access Approval List

accessApprovalList

アテステーション作業項目の一覧を表示する

Access Review Delete Confirmation

accessReviewDeleteConfirmation

アクセスレビューの削除を確認する

Access Review Abort Confirmation

accessReviewAbortConfirmation

アクセスレビューの終了を確認する

Access Review Dashboard

accessReviewDashboard

すべてのアクセスレビューの一覧を示す

Access Review Remediation Form

accessReviewRemediationWorkItem

あり

UE ベースの各是正作業項目を描画する

Access Review Summary

accessReviewSummary

特定のアクセスレビューの詳細を示す

Access Scan Form

accessScanForm

アクセススキャンを表示または編集する

Access Scan List

accessScanList

すべてのアクセススキャンの一覧を示す

Access Scan Delete Confirmation

accessScanDeleteConfirmation

アクセススキャンの削除を確認する

Access Approval List

attestationList

あり

すべての保留中アテステーションの一覧を描画する

Attestation Form

attestationWorkItem

あり

各アテステーション作業項目を描画する

UserEntitlementForm

userEntitlementForm

ユーザーエンタイトルメントの内容を表示する

UserEntitlement Summary Form

userEntitlementSummaryForm

Violation Detail Form

violationDetailForm

コンプライアンス違反の詳細を示す

Remediation List

remediationList

あり

是正作業項目の一覧を示す

Audit Policy List

auditPolicyList

監査ポリシーの一覧を示す

Audit Policy Delete Confirmation Form

auditPolicyDeleteConfirmation

監査ポリシーの削除を確認する

Conflict Violation Details Form

conflictViolationDetailsForm

SOD 違反マトリックスを示す

Compliance Violation Summary Form

complianceViolationSummaryForm

Remediation Form

reviewWorkItem

あり

コンプライアンス違反を描画する

これらのフォームをカスタマイズする理由

アテスターおよび是正者は、アテステーションと是正をより効率的に行うために、必要な詳細情報を正確に示すフォームを指定できます。たとえば、リソースアテスターは、特定の作業項目を個別に参照しなくてもアテストできるように、特定のリソース固有属性をリストフォームに示すことができます。このようなフォームは関係するリソースタイプ (および属性) ごとに異なるため、アテスター単位でフォームをカスタマイズすることは合理的です。

アテステーションの間、各アテスターは独自の観点からエンタイトルメントを参照できます。たとえば、idmManager アテスターは一般的な方法でユーザーエンタイトルメントを参照する一方で、リソースアテスターはリソース固有のデータにしか関心がない、ということが考えられます。各アテスターで Attestation-list フォームと AttestationWorkItem フォームの両方をカスタマイズし、必要な情報のみを検出して表示できるようにすれば、製品インタフェースの効率を強化できます。

スキャンタスク変数

監査ポリシースキャンタスクおよびアクセススキャンタスクのタスク定義はどちらも、タスクを開始するときに使用するフォームを指定します。これらのフォームには、一部を除いたほとんどのスキャンタスク変数を制御できるフィールドが含まれています。

変数名

デフォルト値

目的

maxThreads

5

単一のスキャンタスクで同時に処理できるユーザー数を示します。この値を大きくすると、非常に低速なリソース上にアカウントを持つユーザーのスキャン時にスループットが向上する可能性があります。

userLock

5000

スキャンされるユーザーに対するロックの取得試行に費やされる時間 (ミリ秒) を示します。複数の同時スキャンが同じユーザーをスキャンしており、そのユーザーが低速なリソースを持つ場合、この値を大きくすると、ロックエラーが減る一方でスキャン全体が低速になる可能性があります。

scanDelay

0

新しいスキャンスレッドを発行する間の遅延時間 (ミリ秒) を示します。正の値に設定することにより、スキャナの CPU 待ち時間を減らすことができます。

Disable 要素の説明を次のように変更する必要があります (ID-14920)。

ブール型の値を計算します。true の場合、現在のフォーム処理の間、フィールドおよびそのネストフィールドのすべてが無視されます。

実行時間が長くなる可能性があるアクティビティーを Disable 要素に作成しないでください。これらの式はフォームが再計算されるたびに実行されます。代わりに、この計算の実行ほど頻繁に実行されない別のフォーム要素を使用してください。

「フォームへの JavaScript の挿入」の節で、<JavaScript> タグを使用してフォームに JavaScript を組み込めるという記述がありますが、これは誤りです (ID-15741)。代わりに、次のようにして JavaScript を組み込みます。

<Field>
   <Expansion>
      <script>
............

注

無効化フォーム要素では、display.session 変数と display.subject 変数を使用できません。

警告 (WARNING)、エラー (ERROR)、または情報 (OK) の各アラートメッセージを XPRESS フォームに挿入できるようになりました (ID-14540、ID-14953)。

注

この例では警告の ErrorMessage オブジェクトをフォームに挿入する方法を示していますが、異なるセキュリティーレベルを割り当てることができます。

Identity Manager IDE を使用して、警告の追加先であるフォームを開きます。

<Property name='messages'> を、メインの EditForm または HtmlPage 表示クラスに追加します。

次のサンプルコードから、<defvar name='msgList'> コードブロックを追加します。

コードサンプル文字列内の、「Alert」ボックスに表示されるメッセージテキストを識別するメッセージキーを置き換えます。

<message name='UI_USER_REQUESTS_ACCOUNTID_NOT_FOUND_ALERT_VALUE >

ファイルを保存して閉じます。

コード例 5-4

<Display class='EditForm'>

   <Property name='componentTableWidth' value='100%'/>

   <Property name='rowPolarity' value='false'/>

   <Property name='requiredMarkerLocation' value='left'/>

   <Property name='messages'>

     <ref>msgList</ref>

   </Property>

</Display>

<defvar name='msgList'>

  <cond>

    <and>

      <notnull>

        <ref>username</ref>

      </notnull>

      <isnull>

        <ref>userview</ref>

      </isnull>

    </and>

    <list>

      <new class='com.waveset.msgcat.ErrorMessage'>

        <invoke class='com.waveset.msgcat.Severity' name='fromString'>

           <s>warning</s>

        </invoke>

        <message name='UI_USER_REQUESTS_ACCOUNTID_NOT_FOUND_ALERT_VALUE'>

          <ref>username</ref>

        </message>

      </new>

    </list>

  </cond>

</defvar>

警告以外のセキュリティーレベルを表示するには、前の例の <s>warning</s> を、次の 2 つの値のいずれかに置き換えます。

error -- Identity Manager は InlineAlert を赤のエラーアイコンで描画します。

ok -- 成功を示すメッセージまたはその他の重要度の低いメッセージについて、青の情報アイコンを使用して InlineAlert を表示します。

Identity Manager は警告アイコン付きの InlineAlert としてこれを描画します。

<invoke class='com.waveset.msgcat.Severity' name='fromString'>

   <s>warning</s>

</invoke>

warning は error または ok に設定することもできます。

第 4 章:「Identity Manager ビュー」

Org ビューの説明が次のように更新する必要があります (ID-13584)。

作成する組織のタイプと、組織の処理オプションを指定するために使用します。

共通属性

次の表は、Org ビューの上位レベル属性の一覧です。

名前

可能な編集

データ型

必須であるか

orgName

読み取り

String

システムが生成する

orgDisplayName

読み取り/書き込み

String

はい

orgType

読み取り/書き込み

String

いいえ

orgId

読み取り

String

システムが生成する

orgAction

書き込み

String

いいえ

orgNewDisplayName

書き込み

String

いいえ

orgParentName

読み取り/書き込み

String

いいえ

orgChildOrgNames

読み取り

List

システムが生成する

orgApprovers

読み取り/書き込み

List

いいえ

allowsOrgApprovers

読み取り

List

システムが生成する

allowedOrgApproverIds

読み取り

List

システムが生成する

orgUserForm

読み取り/書き込み

String

いいえ

orgViewUserForm

読み取り/書き込み

String

いいえ

orgPolicies

読み取り/書き込み

List

いいえ

orgAuditPolicies

読み取り/書き込み

List

いいえ

renameCreate

読み取り/書き込み

String

いいえ

renameSaveAs

読み取り/書き込み

String

いいえ

orgName

組織の UID を識別します。複数の組織が orgDisplayName が同じでも、親組織は異なるという場合があるために、ほとんどの場合 orgName は組織ビュー上のオブジェクト名とは異なります。

orgDisplayName

組織の短い名前を指定します。この値は表示目的のみで使用され、一意である必要はありません。

orgType

組織タイプを定義します。指定できる値は junction または virtual です。junction または virtual タイプでない組織には値がありません。

orgId

Identity Manager の内部で組織を一意に識別するために使われる ID を指定します。

orgAction

ディレクトリジャンクション、仮想組織、および動的組織に対してのみサポートされています。指定できる値は refresh です。組織がディレクトリジャンクションまたは仮想組織の場合、更新操作の動作は orgRefreshAllOrgsUserMembers の値によって決まります。

orgNewDisplayName

組織の名前変更時に新規の短い名前を指定します。

orgParentName

親組織のフルパス名を識別します。

orgChildOrgNames

直接的および間接的子組織すべての Identity Manager インタフェース名を一覧表示します。

orgApprovers

この組織で追加または変更されたユーザーを承認する必要がある Identity Manager 管理者を一覧表示します。

allowedOrgApprovers

この組織で追加または変更されたユーザーの承認者である可能性があるユーザーの名前を一覧表示します。

allowedOrgApproverIds

この組織で追加または変更されたユーザーの承認者である可能性があるユーザーの ID を一覧表示します。

orgUserForm

ユーザーの作成または編集時に、この組織のメンバーであるユーザーによって使用される userForm を指定します。

orgViewUserForm

ユーザーの参照時に、この組織のメンバーであるユーザーによって使用されるユーザー表示フォームを指定します。

orgPolicies

この組織のメンバーであるすべてのユーザーに適用されるポリシーを識別します。これは、タイプ文字列によってキー指定されるオブジェクトのリストです。各ポリシーオブジェクトには次の表示属性が含まれ、これらの属性には orgPolicies[<type>] というプレフィックスが付きます。<type> はポリシーのタイプ (例: Lighthouse アカウント) を表します。

policyName -- 名前を指定する

id -- ID を識別する

implementation -- このポリシーを実装するクラスを識別する

orgAuditPolicies

この組織のメンバーであるすべてのユーザーに適用される監査ポリシーを識別します。

renameCreate

true に設定すると、この組織が複製され、orgNewDisplayName の値を使用して新しい組織が作成されます。

renameSaveAs

true に設定すると、orgNewDisplayName の値を使用してこの組織の名前が変更されます。

ディレクトリジャンクションと仮想組織の属性

名前

可能な編集

データ型

必須であるか

orgContainerId

読み取り

String

システムが生成する

orgContainerTypes

読み取り

List

システムが生成する

orgContainers

読み取り

List

システムが生成する

orgParentContainerId

読み取り

String

システムが生成する

orgResource

読み取り/書き込み

String

はい (ディレクトリジャンクションまたは仮想組織の場合)

orgResourceType

読み取り

String

システムが生成する

orgResourceId

読み取り

String

システムが生成する

orgRefreshAllOrgsUserMembers

書き込み

String

いいえ

orgContainerId

関連付けられた LDAP ディレクトリコンテナの DN を指定します (例: cn=foo,ou=bar,o=foobar.com)。

orgContainerTypes

ほかのリソースオブジェクトを含むことができるリソースオブジェクトタイプを一覧表示します。

orgContainers

Identity Manager インタフェースが選択リストに表示するリソースのベースコンテナを一覧表示します。

orgParentContainerId

関連付けられた親 LDAP ディレクトリコンテナの DN を指定します (例: ou=bar,o=foobar.com)。

orgResource

ディレクトリジャンクションと仮想組織を同期するために使用される Identity Manager リソースの名前を指定します (例: West Directory Server)。

orgResourceType

ディレクトリジャンクションと仮想組織を同期する際の同期元 Identity Manager リソースのタイプを示します (例: LDAP)。

orgResourceId

ディレクトリジャンクションと仮想組織を同期するために使用される Identity Manager リソースの ID を指定します。

orgRefreshAllOrgsUserMembers

この値が true で、orgAction の値が refresh の場合、選択された組織とすべての子組織を対象に、アイデンティティー組織のユーザーメンバーシップをリソースコンテナのユーザーメンバーシップと同期します。false の場合、リソースコンテナのユーザーメンバーシップは同期されず、選択された組織とすべての子組織を対象に、リソースコンテナからアイデンティティー組織方向への同期のみが行われます。

動的組織の属性

名前

可能な編集

データ型

必須であるか

orgUserMembersRule

読み取り/書き込み

String

いいえ

orgUserMembersRuleCacheTimeout

読み取り/書き込み

String

いいえ

orgUserMembersRule

authType が UserMembersRule であり、ユーザーメンバーシップを特定するために実行時に評価される規則を (名前または UID によって) 識別します。

orgUserMembersCacheTimeout

orgUserMembersRule によって返されるユーザーメンバーをキャッシュする場合に、キャッシュがタイムアウトになるまでの時間 (ミリ秒) を指定します。値が 0 の場合、キャッシュは行われません。

User ビューの説明に、accounts[Lighthouse].delegates 属性についての次の説明を追加する必要があります (ID-15468)。

accounts[Lighthouse].delegates

workItemType によってインデックスが付けられた委任オブジェクトの一覧を示します。各オブジェクトは、特定タイプの作業項目の委任情報を指定します。

delegateApproversTo の値が delegatedApproversRule の場合、選択された規則を識別します。

delegateApproversTo の値が manager の場合、この属性には値がありません。

accounts[Lighthouse].delegatesHistory

0 ～ n のインデックスが付けられた委任オブジェクトを一覧表示します。n は委任履歴オブジェクトの現在の数 (最大は委任履歴の深さ) です。

この属性には 1 つの一意な属性 selected があります。これは、現在選択されている委任履歴オブジェクトを示すブール型の値です。

accounts[Lighthouse].delegatesOriginal

取得操作またはビューのチェックアウト操作に続く、委任オブジェクトのオリジナルの一覧で、workItemType によってインデックスが付けられます。

すべての accounts[Lighthouse].delegates* 属性は次の属性を取ります。

accounts[Lighthouse].delegate* 属性の属性

説明

workItemType

委任されている workItem のタイプを識別します。有効な workItem タイプの一覧については、この「ドキュメントの追加事項」の「Identity Manager の配備に関する技術情報」の節の、委任オブジェクトモデルの説明を参照してください。

workItemTypeObjects

ユーザーが将来の workItem 承認要求を委任している対象の、特定のロール、リソース、または組織の名前を一覧表示します。この属性は、workItemType の値が roleApproval、resourceApproval、または organizationApproval である場合に有効です。

指定されない場合、この属性はデフォルトで、このユーザーが承認者であるすべてのロール、リソース、または組織に対する将来の workItem 要求の委任を指定します。

toType

委任先のタイプです。有効な値は次のとおりです。

manager

delegateWorkItemsRule

selectedUsers

toUsers

委任先ユーザーの名前を一覧表示します (toType が selectedUsers の場合)。

toRule

委任先ユーザーの集合を決定するために評価される規則の名前を指定します (toType が delegateWorkItemsRule の場合)。

startDate

委任が開始する日付を指定します。

endDate

委任が終了する日付を指定します。

フォームからの DelegateWorkItems ビューオブジェクトの参照

次のコードサンプルは、DelegateWorkItems ビュー委任オブジェクトをフォームから参照する方法を例示します。

<Field name='delegates[*].workItemType'>

<Field name=錨elegates[*].workItemTypeObjects�gt;

<Field name=錨elegates[*].toType�gt;

<Field name='delegates[*].toUsers'>

<Field name=錨elegates[*].toRule�gt;

<Field name='delegates[*].startDate'>

<Field name='delegates[*].endDate'>

サポートされるインデックス値 (*) は workItemType の値です。

User Entitlement ビューについての次の説明がこの章に追加されました。

UserEntitlement オブジェクトの作成および変更に使用します。

このビューには、次のトップレベル属性があります。

名前

可能な編集

型

必須であるか

name

String

はい

status

String

はい

user

String

はい

userId

String

はい

attestorHint

String

いいえ

userView

GenericObject

はい

reviewInstanceId

String

はい

reviewStartDate

String

はい

scanId

String

はい

scanInstanceId

String

はい

approvalWorkflowName

String

はい

organizationId

String

はい

attestorComments.name

String

いいえ

attestorComments.attestor

String

いいえ

attestorComments.time

String

いいえ

attestorComments.timestamp

String

いいえ

attestorComments.status

いいえ

name

一意識別子によってユーザーエンタイトルメントを識別します。

status

ユーザーエンタイトルメントオブジェクトの状態を指定します。有効な状態は PENDING、ACCEPTED、REJECTED、REMEDIATING、CANCELLED です。

user

このエンタイトルメントに関連付けられた WSUser の名前を識別します。

userId

関連付けられた WSUser の ID を指定します。

attestorHint

レビュー決定規則によって提供されるアテスターへのヒント (String) を表示します。このヒントは規則からアテスターへの「アドバイス」として機能します。

userView

ユーザーエンタイトルメントスキャナによって取得されるUser ビューを含みます。アクセススキャンオブジェクトの設定に応じて、このビューには任意の数 (ゼロを含む) のリソースアカウントが含まれます。

reviewInstanceId

PAR タスクインスタンスの ID を指定します。

reviewStartDate

PAR タスクの開始日 (String) を示します (標準書式)。

scanId

AccessScan タスク定義の ID を指定します。

scanInstanceId

AccessScan タスクインスタンスの ID を指定します。

approvalWorkflowName

承認のために実行するワークフローの名前を識別します。この値は、Access Scan タスク定義から取得されます。

organizationId

スキャン時点における WSUser の組織の ID を指定します。

attestorComments

エンタイトルメントのアテステーションレコードを一覧表示します。各アテステーションレコードは、承認、却下、再スキャンなど、エンタイトルメントについて行われるアクションまたは文を示します。

attestorComments[timestamp].name

リスト内でこの要素を識別するために使用される時刻表示。

attestorComments[timestamp].attestor

エンタイトルメントにコメントを付けているアテスターの WSUser 名を識別します。

attestorComments[timestamp].time

アテスターがこのレコードをアテストした時刻を指定します。時刻表示とは異なる場合があります。

attestorComments[timestamp].status

アテスターによって割り当てられるステータスを示します。任意の文字列を指定できますが、通常は、アテスターによって行われるアクションを示す文字列 (approve、reject、rescan、remediate など) を指定します。

attestorComments[name].comment

アテスターによって追加されるコメントです。

User ビューの次の属性は非推奨になりました (ID-15468)。

accounts[Lighthouse].delegateApproversTo

accounts[Lighthouse].delegateApproversSelected

accounts[Lighthouse].delegateApproversStartDate

accounts[Lighthouse].delegateApproversEndDate

Delegate Approvers ビューは非推奨になりましたが、workItemType が approval である委任オブジェクトの編集にはまだ使用できます。

User ビューの既存の accounts[Lighthouse].delegate* 属性は非推奨になり、User ビュー経由では使用できなくなりました。新しい accounts[Lighthouse].delegates ビューを使用してください。

第 6 章:「XPRESS 言語」

この章の内容は大幅に更新する必要があります。このリリースノートと同じディレクトリにある、XPRESS という名前の PDF ファイルを参照してください。

第 8 章:「HTML 表示コンポーネント」

MultiSelect コンポーネントの代替に関する次の説明をこの章に追加する必要があります。

MultiSelect コンポーネント (アプレットバージョンまたは HTML バージョン) を使用して多数の管理者ロールを表示すると、見映えが悪くなる可能性があります。Identity Manager では、より拡張性のある方法で管理者ロールを表示および管理するための、objectSelector フィールドテンプレートが用意されています (ID-15433)。

(sample/formlib.xml 内の) Scalable Selection Library には、objectSelector フィールドテンプレートを使用して、ユーザーが選択可能な管理者ロール名を検索する例が収録されています。

コード例 5-4 objectSelector フィールドテンプレートの例

<Field name='scalableWaveset.adminRoles'>

  <FieldRef name='objectSelector'>

     <Property name='selectorTitle' value='_FM_ADMIN_ROLES'/>

     <Property name='selectorFieldName' value='waveset.adminRoles'/>

     <Property name='selectorObjectType' value='AdminRole'/>

     <Property name='selectorMultiValued' value='true'/>

     <Property name='selectorAllowManualEntry' value='true'/>

     <Property name='selectorFixedConditions'>

       <appendAll>

         <new class='com.waveset.object.AttributeCondition'>

           <s>hidden</s>

           <s>notEquals</s>

           <s>true</s>

         </new>

         <map>

           <s>onlyAssignedToCurrentSubject</s>

           <Boolean>true</Boolean>

         </map>

       </appendAll>

     </Property>

     <Property name='selectorFixedInclusions'>

       <appendAll>

         <ref>waveset.original.adminRoles</ref>

       </appendAll>

     </Property>

  </FieldRef>

</Field>

objectSelector サンプルコードの使用方法

Identity Manager IDE から、Administrator Library の UserForm オブジェクトを開きます。

このフォームに次のコードを追加します。

<Include>

   <ObjectRef type='UserForm' name='Scalable Selection Library'/>

</Include>

AdministratorFields フィールド内部の accounts[Lighthouse].adminRoles フィールドを選択します。

accounts[Lighthouse].adminRoles の全体を次の参照で置き換えます。

<FieldRef name='scalableWaveset.adminRoles'/>

オブジェクトを保存します。

以後、ユーザーを編集して「セキュリティー」タブを表示すると、Identity Manager はカスタマイズされたフォームを表示します。「...」をクリックすると Selector コンポーネントが開き、検索フィールドが表示されます。このフィールドを使用して、特定のテキスト文字列で始まる管理者ロールを検索したり、フィールドに 1 つ以上の値を設定したりできます。

フォームを復元するには、「設定」>「交換ファイルのインポート」から $WSHOME/sample/formlib.xml をインポートします。

多数のオブジェクトが存在する環境でリソースおよびロールを管理するための、objectSelector テンプレートのその他の使用例については、sample/formlib.xml 内の Scalable Selection Library を参照してください。

TabPanel コンポーネントの説明に、validatePerTab プロパティーについての次の説明を追加する必要があります (ID-15501)。

validatePerTab -- true に設定すると、Identity Manager はユーザーが別のタブに切り替えた時点でただちに検証式を実行します。

MultiSelect コンポーネントの説明に、displayCase プロパティーについての次の説明を追加する必要があります (ID-14854)。

displayCase それぞれの allowedValues を、それに等しい大文字または小文字の値にマップします。upper または lower のいずれかの値を取ります。

Menu コンポーネントについての次の説明をこの章に追加する必要があります (ID-13043)。

Menu、MenuBar、および MenuItem の 3 つのクラスで構成されます。

Menu はコンポーネント全体を参照します。

MenuItem は、第 1 レベルまたは第 2 レベルのタブに対応するリーフ (ノード) です。

MenuBar は、MenuBars または MenuItems を含むタブに対応します。

Menu には次のプロパティーが含まれています。

layout - 文字列型で、値 horizontal または vertical を取ります。値 horizontal を指定すると、タブ付きの水平ナビゲーションバーが生成されます。値 vertical を指定すると、一般的なノードレイアウトの垂直ツリーメニューとしてメニューが描画されます。

stylePrefix - CSS クラス名の文字列プレフィックス。Identity Manager エンドユーザーページについては、この値は User です。

MenuBar には次のプロパティーが含まれています。

default - 文字列型で、MenuBar の MenuItem URL プロパティーのいずれかに対応する URL パスです。これは、MenuBar タブがクリックされたときに、デフォルトで selected として表示されるサブタブを制御します。

MenuItem には次のプロパティーが含まれています。

containedUrls - MenuItem に関係付けられる JSP の URL パスのリスト。containedUrls に指定されたいずれかの JSP が描画される場合、現在の MenuItem が「selected」として描画されます。例としては、ワークフローが要求起動ページから起動されたあとに表示される要求起動結果ページがあります。

MenuBar または MenuItem のどちらかに対して、次のプロパティーを設定できます。

title - タブまたはツリーリーフにハイパーリンクとして表示されるテキスト文字列を指定します。

URL - タイトルハイパーリンクの文字列 URL パスを指定します。

次の XPRESS の例では、2 つのタブを持つメニューを作成します。2 番目のタブには 2 つのサブタブが含まれます。

コード例 5-4 Menu、MenuItem、および MenuBar コンポーネントの実装

<Display class='Menu'/>

<Field>

   <Display class='MenuItem'>

     <Property name='URL' value='user/main.jsp'/>

     <Property name='title' value='Home' />

   </Display>

</Field>

<Field>

   <Display class='MenuBar' >

     <Property name='title' value='Work Items' />

     <Property name='URL' value='user/workItemListExt.jsp'/>

   </Display>

    <Field>

       <Display class='MenuItem'>

         <Property name='URL' value='user/workItemListExt.jsp'/>

         <Property name='title' value='Approvals' />

       </Display>

    </Field>

    <Field>

      <Display class='MenuItem'>

         <Property name='URL' value='user/otherWorkItems/listOtherWorkItems.jsp'/>

         <Property name='title' value='Other' />

      </Display>

    </Field>

</Field>

付録 A:「フォームマッピングとプロセスマッピング」

この付録の更新されたバージョンは「Form and Process Mappings」というタイトルで、このリリースノートと同じディレクトリに収録されています。

マップされた名前を通じて、コンプライアンス固有のタスクにアクセスできます (ID-15447)。

プロセス名

マップされた名前

説明

Access Review

accessReview

アクセスレビューを実行する

Access Scan

accessReviewScan

アクセススキャンを実行する

Access Review Rescan

accessReviewRescan

アクセス再スキャンを実行する

Audit Policy Rescan

auditPolicyRescan

監査ポリシー再スキャンを実行する

Abort Access Review

abortAccessReview

アクセスレビューを終了する

Delete Access Review

deleteAccessReview

アクセスレビューを削除する

Recover Access Review

recoverAccessReview

見つからないアクセスレビューステータスオブジェクトを監査ログから復元する

Identity Manager 配備ツール

ここでは、『Sun Java^TM System Identity Manager 配備ツール』に追加すべき情報とドキュメントの修正事項を記載しています。

最新情報

『Identity Manager 配備ツール』マニュアルの次の章に、多くの情報が追加されました。

第 1 章「Identity Manager IDE の使用」が更新され、次の新しい機能についての情報が追加されました。

Identity Manager IDE プロジェクトを作成および操作するためのプロセスが更新され、2 つのプロジェクトタイプを提供するようになりました (ID-14587)。

Identity Manager プロジェクトは完全な機能を備えた、開発者にとっての主要な開発環境です。

Identity Manager プロジェクト (リモート) は、小規模な変更を行ったり、外部サーバー上でデバッグを実行したりする目的に使用されます。

Identity Manager IDE プロジェクトは CBE (設定ビルド環境) に統合されました (ID-14980)。

NetBean の最上位のメニューバーに「IdM」メニューが追加されました。このメニューから、選択したオブジェクトノードに対して適切な操作を選択できます (ID-14787)。

「Explorer」ウィンドウに表示されるオブジェクトタイプの一覧にライブラリオブジェクトが追加されました。これらのオブジェクトはプロパティーシート、パレット機能、およびナビゲーションノードを備えます (ID-14817)。

規則オブジェクトに対してデザインビューを選択すると、エディタウィンドウ内に式ビルダーが表示され、規則の論理構造の表示や規則のプロパティーの変更がより簡単に行えるようになりました (ID-15104)。

ローカルディレクトリ内のオブジェクトを、リポジトリ内のオブジェクトと比較 (diff) できるようになりました (ID-15206)。

フォームおよび規則をテストするためのプロセスが変更されました。フォームの「Previewer」オプションの名前が「Tester」に変更されました (ID-15325)。

Identity Manager IDE の式ビルダーダイアログに次のような機能が追加されました。

式ビルダーのテーブル内で、単純データ型 (整数および文字列) を直接編集できます (ID-15528)。

最初に BLOCK を作成してからそれを目的の式に変更するのではなく、特定の式を直接作成できます (ID-15932)。

要素の式タイプを変更するための、新しい「Change To」ボタンおよびダイアログが作成されました (ID-15933)。

式や値 (文字列など) をサポートするプロパティー値を、プロパティーテーブル内で直接編集できるようになりました (ID-15528)。

式ビルダーでインスタンスまたは静的 XPRESS 呼び出し文を定義するときに、Identity Manager API メソッドの Javadoc 情報を参照できます。この Javadoc にアクセスするには、「Method Name」メニューに一覧表示されたメソッドにカーソルを合わせます。情報がポップアップウィンドウに表示されます。

Identity Manager IDE プラグインで JDK 1.5 および Netbeans 5.5 が必要になりました (ID-14950)。

Identity Manager IDE リポジトリからオブジェクトを削除できるようになりました (ID-15031)。

IDE 内のオブジェクトを Identity Manager 7.0 サーバーにアップロードし、オブジェクトに手動で ID を割り当てることが可能になりました (ID-15474)。

プロジェクトツリーでノードを右クリックして、特定の参照が参照するオブジェクト (ObjectRef、FormRef、FieldRef、Workflow Subprocess など) を開けるようになりました (ID-15406)。

ユーザーインタフェースやプロセスにその他の小さな変更が行われています。

第 2 章「規則の操作」の「Auditor 規則」の節が更新され、Identity Auditor 規則についてのより詳細な情報が追加されました (ID-15367、15496、15609、15934、16166、16263、および 16292)。

第 7 章「Identity Manager Web サービスでの SPML 1.0 の使用」が更新され、SPE SPML インタフェースについての情報が含まれました (ID-14458)。

第 7 章「Identity Manager Web サービスでの SPML 1.0 の使用」の「SPML でのトレースの使用」の節が更新され、トレース出力を有効にして Identity Manager の SPML トラフィックおよび診断上の問題をログに記録する方法についての情報が追加されました (ID-15346)。

第 8 章「Identity Manager Web サービスでの SPML 2.0 の使用」の「SPML でのトレースの使用」の節が更新され、トレース出力を有効にして Identity Manager の SPML トラフィックおよび診断上の問題をログに記録する方法についての情報が追加されました (ID-15346)。

修正情報

ここでは、『Identity Manager 配備ツール』ドキュメントの修正事項および追加事項を記載しています。

第 1 章「Identity Manager IDE の使用」の「パレットウィンドウ」および「プロパティーウィンドウ」の節では、最初の段落にある要素のリストに、次に示す GenericObject の記述が抜けています (ID-14817)。

図 1-11 のようなパレットウィンドウでは、エディタウィンドウに表示されている電子メールテンプレート、フォーム、GenericObject、ライブラリ、ワークフロープロセス、またはワークフローサブプロセスの各オブジェクトに要素を「ドラッグアンドドロップ」することができます。XML を入力する必要はありません。

Identity Manager IDE の「Properties」ウィンドウは、電子メールテンプレート、フォーム、GenericObject、ライブラリ、規則、ワークフロープロセス、およびワークフローサブプロセスの各オブジェクトに関連付けられた XML 要素のプロパティーシートで構成されます。このプロパティーシートを使用して、オブジェクトの名前、ファイルサイズ、変更回数、結果情報など、選択したオブジェクトのプロパティーを参照および編集できます。

Identity Manager Tuning, Troubleshooting, and Error Messages

ここでは、『Sun Java^TM System Identity Manager Tuning, Troubleshooting, and Error Messages』に追加すべき情報とドキュメントの修正事項を記載しています。

リポジトリオブジェクトのサイズ (文字数) についての情報が追加されました。この情報を利用して、システムに影響を及ぼす可能性がある、過大なサイズのオブジェクトを検出できます (ID-9896、ID-15239)。

この情報には、Web ページ (debug/Show_Sizes.jsp) を通じて、またはコンソールのコマンド行から次のように入力することによってアクセスできます。

showSizes [<type> [<limit>]]

注

アップグレードの場合、既存のオブジェクトに関しては、そのオブジェクトが更新されるまでサイズは 0 と報告されます。

一部のタスクはアダプタからタスクパッケージに移動しています。次のいずれかのタスクの追跡を有効にしている場合、またはこれらのパッケージを参照するカスタマイズされたタスク定義がある場合は、これらのパスを更新してください。

古いパッケージ名

新しいパッケージ名

com.waveset.adapter.ADSyncFailoverTask

com.waveset.task.ADSyncFailoverTask

com.waveset.adapter.ADSyncRecoveryCollectorTask

com.waveset.task.ADSyncRecoveryCollectorTask

com.waveset.adapter.SARunner

com.waveset.task.SARunner

com.waveset.adapter.SourceAdapterTask

com.waveset.task.SourceAdapterTask

Identity Manager Service Provider Edition Deployment

ここでは、『Sun Java^TM System Identity Manager SPE Deployment』に追加すべき情報とドキュメントの修正事項を記載しています。

第 5 章:「Identity Manager SPE のその他のオブジェクト」

Identity Manager Identity Manager SPE が、リンク相関規則およびリンク確認規則をサポートするようになりました。

リンク相関規則

IDMXUser ビューの linkTargets オプションでは、リンクのターゲットとなるリソースのリストを呼び出し元が指定できます。フォームを使用するとき、リストは同じ名前のフォームプロパティーとして指定できます。フォームプロパティーは、IDMXUser ビューがチェックインされるときにビューオプションに取り込まれます。

リンク相関規則は、ユーザーが所有する可能性のあるリソースアカウントを選択します。ユーザーのビューを指定すると、リンク相関規則はアイデンティティー、アイデンティティーのリスト、またはオプションマップを返します。

規則がオプションマップを返す場合、ビューハンドラはそのマップを使用してリソースアカウントを検索し、これらのオプションを満たすアイデンティティーのリストを取得します。たとえば、FormUtil の getResourceObjects メソッドの searchFilter オプションを使用して、検索フィルタを LDAP リソースアダプタに渡すことができます。

リンク相関規則の authType 属性は SPERule に、subtype は SUBTYPE_SPE_LINK_CORRELATION_RULE に設定する必要があります。

リンク確認規則

リンク確認規則は、リンク相関規則が選択する潜在的アカウントのリストからリソースアカウントを除去します。ユーザーのビューおよびリソースアカウント候補のリストを指定すると、リンク確認規則は候補リストから最大で 1 つのリソースアカウントを選択します。ユーザーのビューは「view」パス下に表示され、候補のリストは「candidates」パス下に表示されます。

リンク相関規則がリソースアカウントを 1 つしか選択しない場合、リンク確認規則は省略可能です。

注

Identity Manager の確認規則と異なり、リンク確認規則はリンクプロセスの間にのみ呼び出されます。

リンク確認規則の authType 属性は SPERule に、subtype は SUBTYPE_SPE_LINK_CONFIRMATION_RULE に設定する必要があります。

LighthouseContext API

SessionFactory クラスに、いくつかの便利なメソッドが追加されています。16 ページの表は次のように更新されます。

接続タイプ

メソッド

説明

ローカル匿名

getServerInternalContext()

完全に承認されたコンテキストを一切の認証なしで返します。

ローカル認証

getSPESession(String user, EncryptedData password)

Service Provider インタフェース用のセッションを構築します。

ローカル認証

getSPESession(Map credentials)

Service Provider インタフェース用のセッションを構築します。マップは、ユーザーキーやパスワードキーの値を含むユーザーの資格情報を指定します。

ローカル事前認証

getSPEPreAuthenticatedSession(String user)

Service Provider ユーザーインタフェース用の事前認証セッションを構築します。

リモート匿名

該当なし

この接続タイプは SPML 経由でのみ利用可能です。

リモート認証

getSession(URL url, String user, EncryptedData pass)

認証済みセッションを返します。

ローカリゼーションの範囲

Identity Manager では従来、リソースオブジェクトおよび関数をローカライズしていません。この主な理由は、リソースオブジェクトや関数の大半が Identity Manager の初期化の間に (init.xml を通じて) ロードされるサンプルであることと、オブジェクトタイプの属性は、カスタマイズのレベルに応じて実際の顧客の配備によってさまざまである可能性があることです。英語で表示される可能性がある要素のリストを次に示します (ID-16349)。

デフォルトのユーザーフォームおよびプロセスマッピング

例: 「ユーザーの編集」>「セキュリティー」>「ユーザーフォーム」プルダウンメニュー

例: 「設定」>「フォームおよびプロセスマッピング」

設定オブジェクトの属性名

例: 「設定」>「ユーザーインタフェース」の、displayPasswordExpirationWarning のような連結された名前

デフォルトのタスク

タスクテンプレート

例: 「サーバータスク」>「タスクの設定」の、テーブル内の使用可能なタスクテンプレート名

タスクタイプのラベル

例: 「サーバータスク」>「タスクの実行」の、「利用可能なタスク」テーブルの 2 列目の項目

タスク定義

例: 「サーバータスク」>「タスクの検索」の、タスク定義を選択するための 2 番目のプルダウンメニュー

デフォルトのレポート名

例: 「レポート」>「レポートの実行」の「レポート」テーブルに表示されるレポート名

デフォルトのポリシー名

例: 「コンプライアンス」>「ポリシーの管理」の、監査ポリシーの名前および説明

デフォルトの機能名

例: 「ユーザーの編集」>「セキュリティー」>「利用可能な機能」

デフォルトのレポートおよびグラフの名前

プロセス/ワークフローダイアグラムのアプレット

helpTool の使用

Identity Manager 6.0 リリースでは、HTML 形式のオンラインヘルプおよびマニュアルファイルを検索できる新しい機能が追加されました。検索エンジンは SunLabs の「Nova」検索エンジン技術をベースとしています。

Nova エンジンの使用には、インデックス作成と検索の 2 つの段階があります。インデックス作成段階では、入力ドキュメントが分析され、検索段階で使用されるインデックスが作成されます。検索では、検索語が見つかったコンテキストで構成される「パッセージ」を抽出することが可能です。パッセージ検索プロセスでは元の HTML ファイルが存在している必要があるため、これらのファイルが、検索エンジンがアクセス可能なファイルシステム内の場所に存在している必要があります。

helpTool は、次の 2 つの基本機能を実行する Java プログラムです。

検索エンジンが認識している場所に HTML ソースファイルをコピーします。

検索段階で使われるインデックスを作成します。

helpTool はコマンド行から次のようにして実行します。

$ java -jar helpTool.jar
使用法: HelpTool
-d    検索先ディレクトリ
-h    このヘルプ情報
-i    入力ファイルを含むディレクトリまたは JAR、ワイルドカードは不可
-n    Nova インデックスのディレクトリ
-o    出力ファイル名
-p    プロパティーファイルのインデックス作成

オンラインヘルプインデックスの再構築/再作成

オンラインヘルプの HTML ファイルは JAR ファイルにパッケージ化されています。これらのファイルを、検索エンジン用のディレクトリに展開する必要があります。次の手順を使用します。

helpTool の配布パッケージを一時ディレクトリに展開します (詳細は未定)。

この例では、ファイルを /tmp/helpTool に展開します。

UNIX シェルまたは Windows のコマンドウィンドウで、Identity Manager アプリケーションが Web コンテナに配備されたディレクトリに移動します。

たとえば、Sun Java System Application Server のディレクトリは、正しくは次のとおりです。

/var/opt/SUNWappserver/domains/domain1/applications/j2ee-modules/idm

現在の作業ディレクトリを help/ ディレクトリに変更します。

注

このディレクトリから helpTool を実行することが重要です。そうしないと、インデックスが正しく作成されません。また、index/help/ サブディレクトリの内容を削除することによって、古いインデックスファイルを削除することをお勧めします。

コマンド行引数に指定する次の情報を収集します。

検索先ディレクトリ - html/help/ja_JP

注

インストール環境に適したロケール文字列を使用してください。

入力ファイル - ../WEB-INF/lib/idm_l10n_ja_JP.jar

Nova インデックスディレクトリ - index/help

出力ファイル名 - index_files_help.txt

注

出力ファイルの名前は重要ではありませんが、そのファイルがすでに存在する場合、ツールは終了します。

インデックス作成プロパティーファイル - index/index.properties

次のコマンドを実行します。

$ java -jar /tmp/helpTool/helpTool.jar -d html/help/ja_JP -i ../
WEB-INF/lib/idm_l10n_ja_JP.jar -n index/help -o index_files_help.txt -p index/index.properties

Extracted 475 files.

[15/Dec/2005:13:11:38] PM Init index/help AWord 1085803878
[15/Dec/2005:13:11:38] PM Making meta file: index/help/MF: 0
[15/Dec/2005:13:11:38] PM Created active file: index/help/AL
[15/Dec/2005:13:11:40] MP Partition: 1, 475 documents, 5496 terms.
[15/Dec/2005:13:11:40] MP Finished dumping: 1 index/help 0.266
[15/Dec/2005:13:11:40] IS 475 documents, 6.56 MB, 2.11 s, 11166.66 MB/h
[15/Dec/2005:13:11:40] PM Waiting for housekeeper to finish
[15/Dec/2005:13:11:41] PM Shutdown index/help AWord 1085803878

マニュアルインデックスの再構築/再作成

マニュアルインデックスを再構築または再作成するには、次の手順を使用します。(注: この機能は英語版のマニュアルのみを対象としています。)

helpTool の配布パッケージを一時ディレクトリに展開します (詳細は未定)。

この例では、ファイルを /tmp/helpTool に展開します。

UNIX シェルまたは Windows のコマンドウィンドウで、Identity Manager アプリケーションが Web コンテナに配備されたディレクトリに移動します。

たとえば、Sun Java System Application Server のディレクトリは、正しくは次のとおりです。

/var/opt/SUNWappserver/domains/domain1/applications/j2ee-modules/idm

現在の作業ディレクトリを help/ ディレクトリに変更します。

注

このディレクトリから helpTool を実行する必要があります。そうしないと、インデックスが正しく作成されません。また、index/docs/ サブディレクトリの内容を削除することによって、古いインデックスファイルを削除することをお勧めします。

コマンド行引数に指定する次の情報を収集します。

検索先ディレクトリ - html/docs

入力ファイル - ../doc/HTML/en_US

注

ツールは en_US/ ディレクトリとサブディレクトリを検索先にコピーします。

Nova インデックスディレクトリ - index/docs

出力ファイル名 - index_files_docs.txt

注

ファイルの名前は重要ではありませんが、そのファイルがすでに存在する場合、ツールは終了します。

インデックス作成プロパティーファイル - index/index.properties

次のコマンドを実行します。

$ java -jar /tmp/helpTool/helpTool.jar -d html/docs -i ../doc/HTML/en_US -n index/docs -o index_files_docs.txt -p index/index.properties

Copied 84 files.

Copied 105 files.

Copied 1 files.

Copied 15 files.

Copied 1 files.

Copied 58 files.

Copied 134 files.

Copied 156 files.

Copied 116 files.

Copied 136 files.

Copied 21 files.

Copied 37 files.

Copied 1 files.

Copied 13 files.

Copied 2 files.

Copied 19 files.

Copied 20 files.

Copied 52 files.

Copied 3 files.

Copied 14 files.

Copied 3 files.

Copied 3 files.

Copied 608 files.

[15/Dec/2005:13:24:25] PM Init index/docs AWord 1252155067

[15/Dec/2005:13:24:25] PM Making meta file: index/docs/MF: 0

[15/Dec/2005:13:24:25] PM Created active file: index/docs/AL

[15/Dec/2005:13:24:28] MP Partition: 1, 192 documents, 38488 terms.

[15/Dec/2005:13:24:29] MP Finished dumping: 1 index/docs 0.617

[15/Dec/2005:13:24:29] IS 192 documents, 14.70 MB, 3.81 s, 13900.78 MB/h

[15/Dec/2005:13:24:29] PM Waiting for housekeeper to finish

[15/Dec/2005:13:24:30] PM Shutdown index/docs AWord 1252155067


注	この機能は、詳細かつ継続的な XML 差分比較のために設計されたものではなく、簡単な初期チェックを目的とした比較のための最小限のツールにすぎません。


注	パスに空白文字が含まれない場合でも、パスを指定するときは最後の円記号 (¥) を使用しないでください。


注	割り当てられたリソースがアカウント無効化をネイティブにサポートしないがパスワード変更はサポートする場合、ランダムに生成される新しいパスワードの割り当てによってそのリソース上のユーザーアカウントを無効化するように Identity Manager を設定できます。この設定を行うには、リソースウィザードの「アイデンティティーシステムのパラメータ」ページを使用して、リソースの「無効化」および「パスワード」アカウント機能を有効にする必要があります。詳細は、第 4 章「設定」を参照してください。


注	割り当てられたリソースがアカウント有効化をネイティブにサポートしないが、パスワード変更はサポートする場合、パスワードのリセットによってそのリソース上のユーザーアカウントを有効化するように Identity Manager を設定できます。この設定を行うには、リソースウィザードの「アイデンティティーシステムのパラメータ」ページを使用して、リソースの「有効化」および「パスワード」アカウント機能を有効にする必要があります。詳細は、第 4 章「設定」を参照してください。


注	委任を設定したあとは、有効な委任期間中に作成されたすべての作業項目が、自分のリストおよび委任先のリストに追加されます。委任を終了すると、委任された作業項目が復元されます。この結果、作業項目の重複が発生する場合があります。作業項目を承認または却下すると、重複した項目は自分のリストから自動的に削除されます。

workItem タイプ	説明	表示名
Approval	WorkItem を拡張する	承認
OrganizationApproval	Approval を拡張する	組織の承認
ResourceApproval	Approval を拡張する	リソースの承認
RoleApproval	Approval を拡張する	ロールの承認
Attestation	WorkItem	アクセスレビューアテステーション
review	WorkItem	是正
accessReviewRemediation	WorkItem	アクセス

編集する規則	この変更を行う方法
getAccountId	employeeId のみを使用する (および、firstName と lastName を削除する)
getEmailAddress	employeeId のみを使用する (firstName、lastName、および "." を削除する)
verifyFirstname	アジア圏の 1 文字の姓を使用できるよう、長さチェックを 2 から 1 に変更する

ワークフロー名	目的
Remediation	単一のコンプライアンス違反を単一の是正者が扱っている場合の是正処理
Access Review Remediation	単一のユーザーエンタイトルメントを単一の是正者が扱っている場合の是正処理
Attestation	単一のユーザーエンタイトルメントを単一のアテスターが扱っている場合のアテステーション処理
Multi Remediation	単一のコンプライアンス違反を複数の是正者が扱ってる場合の是正処理
Update Compliance Violation	コンプライアンス違反を受け入れる
Launch Access Scan	Access Review タスクから Access Scan タスクを呼び出す
Launch Entitlement Rescan	単一のユーザーに対するアクセススキャンの再スキャンを呼び出す
Launch Violation Rescan	単一のユーザーに対する監査ポリシースキャンの再スキャンを呼び出す


注	監査コンポーネントを設定するには、Configure Audit 機能および Auditor Administrator 機能を持つ Identity Manager 管理者である必要があります。

フォーム名	マップされた名前	ユーザー単位の制御	一般的な目的
Access Approval List	accessApprovalList		アテステーション作業項目の一覧を表示する
Access Review Delete Confirmation	accessReviewDeleteConfirmation		アクセスレビューの削除を確認する
Access Review Abort Confirmation	accessReviewAbortConfirmation		アクセスレビューの終了を確認する
Access Review Dashboard	accessReviewDashboard		すべてのアクセスレビューの一覧を示す
Access Review Remediation Form	accessReviewRemediationWorkItem	あり	UE ベースの各是正作業項目を描画する
Access Review Summary	accessReviewSummary		特定のアクセスレビューの詳細を示す
Access Scan Form	accessScanForm		アクセススキャンを表示または編集する
Access Scan List	accessScanList		すべてのアクセススキャンの一覧を示す
Access Scan Delete Confirmation	accessScanDeleteConfirmation		アクセススキャンの削除を確認する
Access Approval List	attestationList	あり	すべての保留中アテステーションの一覧を描画する
Attestation Form	attestationWorkItem	あり	各アテステーション作業項目を描画する
UserEntitlementForm	userEntitlementForm		ユーザーエンタイトルメントの内容を表示する
UserEntitlement Summary Form	userEntitlementSummaryForm
Violation Detail Form	violationDetailForm		コンプライアンス違反の詳細を示す
Remediation List	remediationList	あり	是正作業項目の一覧を示す
Audit Policy List	auditPolicyList		監査ポリシーの一覧を示す
Audit Policy Delete Confirmation Form	auditPolicyDeleteConfirmation		監査ポリシーの削除を確認する
Conflict Violation Details Form	conflictViolationDetailsForm		SOD 違反マトリックスを示す
Compliance Violation Summary Form	complianceViolationSummaryForm
Remediation Form	reviewWorkItem	あり	コンプライアンス違反を描画する

変数名	デフォルト値	目的
maxThreads	5	単一のスキャンタスクで同時に処理できるユーザー数を示します。この値を大きくすると、非常に低速なリソース上にアカウントを持つユーザーのスキャン時にスループットが向上する可能性があります。
userLock	5000	スキャンされるユーザーに対するロックの取得試行に費やされる時間 (ミリ秒) を示します。複数の同時スキャンが同じユーザーをスキャンしており、そのユーザーが低速なリソースを持つ場合、この値を大きくすると、ロックエラーが減る一方でスキャン全体が低速になる可能性があります。
scanDelay	0	新しいスキャンスレッドを発行する間の遅延時間 (ミリ秒) を示します。正の値に設定することにより、スキャナの CPU 待ち時間を減らすことができます。


注	無効化フォーム要素では、display.session 変数と display.subject 変数を使用できません。


注	この例では警告の ErrorMessage オブジェクトをフォームに挿入する方法を示していますが、異なるセキュリティーレベルを割り当てることができます。

名前	可能な編集	データ型	必須であるか
orgName	読み取り	String	システムが生成する
orgDisplayName	読み取り/書き込み	String	はい
orgType	読み取り/書き込み	String	いいえ
orgId	読み取り	String	システムが生成する
orgAction	書き込み	String	いいえ
orgNewDisplayName	書き込み	String	いいえ
orgParentName	読み取り/書き込み	String	いいえ
orgChildOrgNames	読み取り	List	システムが生成する
orgApprovers	読み取り/書き込み	List	いいえ
allowsOrgApprovers	読み取り	List	システムが生成する
allowedOrgApproverIds	読み取り	List	システムが生成する
orgUserForm	読み取り/書き込み	String	いいえ
orgViewUserForm	読み取り/書き込み	String	いいえ
orgPolicies	読み取り/書き込み	List	いいえ
orgAuditPolicies	読み取り/書き込み	List	いいえ
renameCreate	読み取り/書き込み	String	いいえ
renameSaveAs	読み取り/書き込み	String	いいえ

名前	可能な編集	データ型	必須であるか
orgContainerId	読み取り	String	システムが生成する
orgContainerTypes	読み取り	List	システムが生成する
orgContainers	読み取り	List	システムが生成する
orgParentContainerId	読み取り	String	システムが生成する
orgResource	読み取り/書き込み	String	はい (ディレクトリジャンクションまたは仮想組織の場合)
orgResourceType	読み取り	String	システムが生成する
orgResourceId	読み取り	String	システムが生成する
orgRefreshAllOrgsUserMembers	書き込み	String	いいえ

名前	可能な編集	データ型	必須であるか
orgUserMembersRule	読み取り/書き込み	String	いいえ
orgUserMembersRuleCacheTimeout	読み取り/書き込み	String	いいえ

accounts[Lighthouse].delegate* 属性の属性	説明
workItemType	委任されている workItem のタイプを識別します。有効な workItem タイプの一覧については、この「ドキュメントの追加事項」の「Identity Manager の配備に関する技術情報」の節の、委任オブジェクトモデルの説明を参照してください。
workItemTypeObjects	ユーザーが将来の workItem 承認要求を委任している対象の、特定のロール、リソース、または組織の名前を一覧表示します。この属性は、workItemType の値が roleApproval、resourceApproval、または organizationApproval である場合に有効です。指定されない場合、この属性はデフォルトで、このユーザーが承認者であるすべてのロール、リソース、または組織に対する将来の workItem 要求の委任を指定します。
toType	委任先のタイプです。有効な値は次のとおりです。 manager delegateWorkItemsRule selectedUsers
toUsers	委任先ユーザーの名前を一覧表示します (toType が selectedUsers の場合)。
toRule	委任先ユーザーの集合を決定するために評価される規則の名前を指定します (toType が delegateWorkItemsRule の場合)。
startDate	委任が開始する日付を指定します。
endDate	委任が終了する日付を指定します。

名前	型	必須であるか
name	String	はい
status	String	はい
user	String	はい
userId	String	はい
attestorHint	String	いいえ
userView	GenericObject	はい
reviewInstanceId	String	はい
reviewStartDate	String	はい
scanId	String	はい
scanInstanceId	String	はい
approvalWorkflowName	String	はい
organizationId	String	はい
attestorComments.name	String	いいえ
attestorComments.attestor	String	いいえ
attestorComments.time	String	いいえ
attestorComments.timestamp	String	いいえ
attestorComments.status		いいえ

プロセス名	マップされた名前	説明
Access Review	accessReview	アクセスレビューを実行する
Access Scan	accessReviewScan	アクセススキャンを実行する
Access Review Rescan	accessReviewRescan	アクセス再スキャンを実行する
Audit Policy Rescan	auditPolicyRescan	監査ポリシー再スキャンを実行する
Abort Access Review	abortAccessReview	アクセスレビューを終了する
Delete Access Review	deleteAccessReview	アクセスレビューを削除する
Recover Access Review	recoverAccessReview	見つからないアクセスレビューステータスオブジェクトを監査ログから復元する


注	アップグレードの場合、既存のオブジェクトに関しては、そのオブジェクトが更新されるまでサイズは 0 と報告されます。

古いパッケージ名	新しいパッケージ名
com.waveset.adapter.ADSyncFailoverTask	com.waveset.task.ADSyncFailoverTask
com.waveset.adapter.ADSyncRecoveryCollectorTask	com.waveset.task.ADSyncRecoveryCollectorTask
com.waveset.adapter.SARunner	com.waveset.task.SARunner
com.waveset.adapter.SourceAdapterTask	com.waveset.task.SourceAdapterTask


注	Identity Manager の確認規則と異なり、リンク確認規則はリンクプロセスの間にのみ呼び出されます。

接続タイプ	メソッド	説明
ローカル匿名	getServerInternalContext()	完全に承認されたコンテキストを一切の認証なしで返します。
ローカル認証	getSPESession(String user, EncryptedData password)	Service Provider インタフェース用のセッションを構築します。
ローカル認証	getSPESession(Map credentials)	Service Provider インタフェース用のセッションを構築します。マップは、ユーザーキーやパスワードキーの値を含むユーザーの資格情報を指定します。
ローカル事前認証	getSPEPreAuthenticatedSession(String user)	Service Provider ユーザーインタフェース用の事前認証セッションを構築します。
リモート匿名	該当なし	この接続タイプは SPML 経由でのみ利用可能です。
リモート認証	getSession(URL url, String user, EncryptedData pass)	認証済みセッションを返します。


注	このディレクトリから helpTool を実行することが重要です。そうしないと、インデックスが正しく作成されません。また、index/help/ サブディレクトリの内容を削除することによって、古いインデックスファイルを削除することをお勧めします。


注	インストール環境に適したロケール文字列を使用してください。


注	出力ファイルの名前は重要ではありませんが、そのファイルがすでに存在する場合、ツールは終了します。


注	このディレクトリから helpTool を実行する必要があります。そうしないと、インデックスが正しく作成されません。また、index/docs/ サブディレクトリの内容を削除することによって、古いインデックスファイルを削除することをお勧めします。


注	ツールは en_US/ ディレクトリとサブディレクトリを検索先にコピーします。


注	ファイルの名前は重要ではありませんが、そのファイルがすでに存在する場合、ツールは終了します。