Fusion Middleware Oracle Authentication Services for Operating Systems管理者ガイド

11g リリース1（11.1.1）

B61411-01(原本部品番号:E16454-02)

目次

図一覧

表一覧

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

1 製品の概要

- 1.1 Oracle Internet Directoryの概要

- 1.2 Oracle Authentication Services for Operating Systemsの機能

- 1.3 Oracle Authentication Services for Operating Systemsのコンポーネント

- 1.4 Oracle Internet Directoryでのユーザー認証の流れ

- 1.5 構成の概要

- 1.6 管理の概要

- 1.7 その他のドキュメント

2 構成の準備

- 2.1 クライアントおよびサーバーのオペレーティング・システムの確認

- 2.2 Oracle Internet DirectoryおよびOracle Directory Integration Platformのインストール

- 2.3 Oracle Authentication Services for Operating Systems 10gからのアップグレード

- 2.4 使用する製品機能の決定

- 2.5 NIS移行ツールの入手

- 2.5.1 AIX 5.3

- 2.5.2 その他のプラットフォーム

- 2.6 SUDOパッケージのダウンロード

- 2.7 新規カスタム属性の作成および索引付け（オプション）

- 2.8 プラットフォーム固有のタスク

- 2.8.1 HP-UX

- 2.8.2 Solaris 5.9および5.10

3 Oracle Authentication Services for Operating Systemsの構成

- 3.1 概要

- 3.1.1 SSLのサポート

- 3.1.1.1 自己署名の証明書

- 3.1.2 パスワード・ポリシーの強制

- 3.1.3 Active Directoryの統合

- 3.1.4 ディレクトリ・プラグイン

- 3.1.5 言語サポート

- 3.1.6 構成時に使用するツール

- 3.2 サーバーでのOracle Authentication Services for Operating Systemsの構成

- 3.3 クライアントでのOracle Authentication Services for Operating Systemsの構成

- 3.3.1 Solaris 9

- 3.3.2 AIX 5.3

- 3.3.2.1 AIXへのLDAPクライアントのインストール

- 3.3.2.2 少なくとも1人のユーザーと1つのグループのAIXへの追加

- 3.3.2.3 AIXへのSSL関連クライアント・パッケージのインストール

- 3.3.3 AIX 6.1

- 3.3.4 すべてのクライアント・プラットフォーム

- 3.4 集中パスワード・ポリシーのためのOracle Internet Directoryの構成

- 3.4.1 オペレーティング・システムのローカルな値ポリシーの無効化

- 3.4.2 オペレーティング・システムのローカルな状態ポリシーの無効化

- 3.5 SSL認証と非SSL構成の切替え

- 3.6 構成スクリプトの再実行

- 3.7 クライアントおよびサーバーの構成前の状態へのリストア

- 3.7.1 クライアントのリストア

- 3.7.2 サーバーのリストア

4 Oracle Internet Directoryへのエントリの移行

- 4.1 エントリの移行

- 4.1.1 NISからOracle Internet Directoryへの移行

- 4.1.1.1 AIX 5.3

- 4.1.1.2 その他のプラットフォーム

- 4.1.2 オペレーティング・システムのファイルからOracle Internet Directoryへの移行

- 4.1.3 別のLDAPディレクトリからOracle Internet Directoryへの移行

- 4.1.3.1 スキーマの移行

- 4.1.3.2 データの移行

- 4.2 ユーザー・エントリ属性へのアクセス制御の設定

- 4.3 Oracle Internet Directoryでのカスタム属性の使用

- 4.4 SUDOの移行

- 4.4.1 サーバー上のOracle Internet DirectoryへのSUDOエントリの移行

- 4.4.2 SUDO情報にLDAPを使用するためのクライアントの構成

- 4.4.2.1 SuSE 10クライアント

- 4.4.2.2 Solaris 9、Solaris 10、HP-UX 11.23またはAIX 5.3クライアント

- 4.4.2.3 AIX 5.3クライアント

- 4.4.2.4 その他のクライアント

- 4.4.3 /etc/sudoersを使用するためのクライアントの再構成

- 4.5 SUDO属性へのアクセス制御の設定

5 Active Directoryの統合の構成

- 5.1 Linux認証用にActive Directoryエントリを拡張するためのプラグインの設定

- 5.2 Oracle Directory Integration Platformの構成

- 5.3 外部認証プラグインの構成

6 Oracle Authentication Services for Operating Systemsの管理

- 6.1 ホーム・ディレクトリの作成

- 6.2 プラットフォーム固有のツールを使用したユーザーおよびグループの管理

- 6.2.1 libuserツール

- 6.2.2 AIX固有のツール

- 6.3 Oracle Directory Services Managerおよびコマンドライン・ユーティリティを使用したOracle Internet Directoryの管理

- 6.3.1 ユーザーの追加を確認するテスト

- 6.3.2 ldapmodifyを使用したユーザーのパスワードの変更

- 6.3.3 ldapaddを使用したユーザーの追加

- 6.3.4 ldapaddを使用したグループの追加

- 6.4 パスワード・ポリシーの管理

7 ユーザー・ログインの制限

- 7.1 Oracle Internet Directoryサーバーの設定

- 7.2 Solaris 9および10クライアントの設定

- 7.3 Linuxクライアントの設定

- 7.4 HP-UX 11.23クライアントの設定

A トラブルシューティング

- A.1 クライアント構成スクリプトのエラー

- A.1.1 AIX 5.3でのクライアント・スクリプトの失敗

- A.1.2 AIX 6.1でのSSLクライアント・スクリプトの失敗

- A.1.3 スクリプトにより重複するドメインを持つサーバー・ホスト名が出力される

- A.1.4 スクリプトで英語以外の入力が認識されない

- A.2 データ移行のエラー

- A.2.1 Sudo変換スクリプトのエラー

- A.3 ツールの問題

- A.3.1 system-config-usersで発生するエラー

- A.3.2 libuserツールがPythonエラーで失敗する

- A.3.3 Linux管理ツールによって一貫性が失われる

- A.3.4 ldapsearchエラー

- A.3.5 AIX mkuserコマンド・エラー

- A.3.6 Solarisのidコマンドによりセカンダリ・グループが報告されない

- A.4 テストおよびログ・ファイルのメッセージ

- A.4.1 すべての操作のログ・メッセージの有効化

- A.4.2 StartTLSのテスト

- A.4.3 パスワード構文のエラー

- A.4.4 RHELまたはOELでのOracle Internet Directory Serverへの接続のテスト

- A.4.5 Red Hat Enterprise LinuxまたはOracle Enterprise LinuxでのルートCA証明書のテスト

- A.5 ユーザー・ログインのエラー

- A.5.1 ユーザーがログインできない

- A.5.2 ユーザーのホーム・ディレクトリが存在しない

- A.5.3 ユーザーのシェルが存在しない

- A.5.4 パスワード・ポリシーが一貫して強制されない

B LDAP移行用のプロパティ・ファイル

C サンプル・マップファイル

- C.1 テンプレート・マップファイル

- C.2 サンプル・マップファイル1

- C.3 サンプル・マップファイル2

- C.4 サンプル・マップファイル3

- C.5 Oracle Directory Server Enterprise Editionマップファイル1

- C.6 Oracle Directory Server Enterprise Editionマップファイル2

- C.7 eDirectoryマップファイル

D Active Directory統合用の同期プロファイル

E サンプルのスクリプト出力

- E.1 Oracle Enterprise Linux 4での非SSLサーバー・スクリプト実行

- E.2 Oracle Enterprise Linux 4でのSSLサーバー・スクリプト実行

- E.3 Oracle Enterprise Linux 4での非SSLクライアント・スクリプト実行

- E.4 Oracle Enterprise Linux 4でのSSLクライアント・スクリプト実行

- E.5 Oracle Enterprise Linux 4でのスクリプト実行のリセット

F 構成スクリプトにより追加されるLDAPコンテナ

G 構成ファイルの処理

- G.1 Red Hat Enterprise LinuxおよびOracle Enterprise Linuxの構成ファイル

- G.1.1 /etc/pam.d/system-auth

- G.1.2 /etc/pam.d/sshd

- G.1.3 /etc/sysconfig/authconfig

H 必須パッケージ

- H.1 Red Hat Enterprise LinuxおよびOracle Enterprise Linux

- H.1.1 Cyrus-sasl

- H.1.2 Open SSL

- H.1.3 Open LDAP

索引

図一覧

- 1-1 Oracle Authentication Services for Operating Systemsの機能

- 1-2 Oracle Internet Directoryを使用した認証

表一覧

- 6-1 AIXのユーザーおよびグループの管理ツール

- F-1 サーバー構成スクリプトにより追加されるLDAPコンテナ

Oracle® Fusion Middleware

Oracle Authentication Services for Operating Systems管理者ガイド

11g リリース1（11.1.1）

B61411-01(原本部品番号:E16454-02)

2010年7月

Oracle Fusion Middleware Oracle Authentication Services for Operating Systems管理者ガイド, 11g リリース1（11.1.1）

B61411-01

Copyright © 2008, 2010, Oracle and/or its affiliates. All rights reserved.

原本著者: Ellen Desmond

原本協力者: Buddhika Kottahachchi

原本協力者: Olfat Aly、Vasuki Ashok、Quan Dinh、Prathima Nagesh、Loganathan Ramasamy、Daniel Shih、Olaf Stullich、Arun Theebaprakasam、Dai Vu

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントが、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供される場合は、次のNoticeが適用されます。

U.S. GOVERNMENT RIGHTS Programs, software, databases, and related documentation and technical data delivered to U.S. Government customers are "commercial computer software" or "commercial technical data" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, the use, duplication, disclosure, modification, and adaptation shall be subject to the restrictions and license terms set forth in the applicable Government contract, and, to the extent applicable by the terms of the Government contract, the additional rights set forth in FAR 52.227-19, Commercial Computer Software License (December 2007). Oracle USA, Inc., 500 Oracle Parkway, Redwood City, CA 94065.

このソフトウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアは、危険が伴うアプリケーション（人的傷害を発生させる可能性があるアプリケーションを含む）への用途を目的として開発されていません。このソフトウェアを危険が伴うアプリケーションで使用する際、このソフトウェアを安全に使用するために、適切な安全装置、バックアップ、冗長性（redundancy）、その他の対策を講じることは使用者の責任となります。このソフトウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

このソフトウェアおよびドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

RSAおよびRC4はRSA Data Security社の商標です。Oracle Internet Directoryの一部は、RSA Data Security社からオラクル社によってライセンスされています。

はじめに

これは、Oracle Authentication Services for Operating Systems管理者ガイド 11g リリース1（11.1.1）です。このガイドでは、サーバーおよびクライアント・システムでOracle Authentication Services for Operating Systemsをインストール、構成および管理する方法について説明します。

対象読者

このドキュメントは、LinuxおよびUNIXのシステム管理者を対象としています。Oracle Authentication Services for Operating Systemsのインストールまたは構成を開始する前に、Oracle Authentication Services for Operating Systemsについて理解しておく必要があります。

ドキュメントのアクセシビリティについて

オラクル社は、障害のあるお客様を含む、すべてのお客様にオラクル社の製品、サービスおよびサポート・ドキュメントをご利用いただけることを目標としています。 オラクル社のドキュメントには、ユーザーが障害支援技術を使用して情報を利用できる機能が組み込まれています。 HTML形式のドキュメントで用意されており、障害のあるお客様が簡単にアクセスできるようにマークアップされています。 標準規格は改善されつつあります。オラクル社はドキュメントをすべてのお客様がご利用できるように、市場をリードする他の技術ベンダーと積極的に連携して技術的な問題に対応しています。 オラクル社のアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/accessibility/を参照してください。

ドキュメント内のサンプル・コードのアクセシビリティについて

スクリーン・リーダーは、ドキュメント内のサンプル・コードを正確に読めない場合があります。コード表記規則では閉じ括弧のみを行に記述する必要があります。しかし、一部のスクリーン・リーダーは括弧のみの行を読まない場合があります。

外部Webサイトのドキュメントのアクセシビリティについて

このドキュメントにはオラクル社およびその関連会社が所有または管理しないWebサイトへのリンクが含まれている場合があります。オラクル社およびその関連会社は、それらのWebサイトのアクセシビリティに関しての評価や言及は行っておりません。

Oracleサポートへのアクセス

Oracleカスタマは、My Oracle Supportから電子サポートにアクセスできます。詳細は、http://www.oracle.com/support/contact.htmlまたはhttp://www.oracle.com/accessibility/support.html（聴覚障害者向け）を参照してください。

関連ドキュメント

Oracle Authentication Services for Operating Systems 11g リリース1（11.1.1）の詳細は、次の関連資料を参照してください。

- このリリースに同梱されているREADMEドキュメント

- ノート1064891.1: Oracle Authentication Services for Operating Systems補足ドキュメント（11.1.1.3）。このドキュメントは、My Oracle Support（https://support.oracle.com）で入手できます。

また、http://www.oracle.com/technology/documentation/にあるOracle Application Server 11g リリース1（11.1.1）のドキュメント・セット内の次のドキュメントも参照してください。

- Oracle Fusion Middleware管理者ガイドfor Oracle Internet Directory

- 『Oracle Fusion Middlewareインストレーション・プランニング・ガイド』

- Oracle Fusion Middleware Oracle Directory Integration Platform管理者ガイド

- Oracle Fusion Middleware Oracle Identity Managementリファレンス

表記規則

このマニュアルでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック体

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

1 製品の概要

Oracle Authentication Services for Operating Systemsを使用すると、記憶域の集中化、認証およびユーザー・アイデンティティ管理をOracle Internet Directoryで行うことができます。

この章の内容は次のとおりです。

- Oracle Internet Directoryの概要

- Oracle Authentication Services for Operating Systemsの機能

- Oracle Authentication Services for Operating Systemsのコンポーネント

- Oracle Internet Directoryでのユーザー認証の流れ

- 構成の概要

- 管理の概要

- その他のドキュメント

1.1 Oracle Internet Directoryの概要

Oracle Internet Directoryは、Oracle Databaseのセキュリティ、スケーラビリティおよび信頼性を利用してユーザー、グループおよびその他のタイプのエントリを格納する、標準ベースのディレクトリ・サーバーです。Oracle Internet Directoryでは、パスワード・ポリシーの強制がサポートされています。Oracle Internet Directoryは、サード・パーティのディレクトリ・サーバー（Active Directoryなど）と同期化できます。

1.2 Oracle Authentication Services for Operating Systemsの機能

Oracle Authentication Services for Operating Systemsを使用すると、LinuxおよびUNIXベースのオペレーティング・システムでOracle Internet Directoryを認証に使用できます。構成スクリプトによって、Pluggable Authentication Module（PAM）およびSecure Sockets Layer（SSL）の構成が自動的に行われます。構成後は、NIS、ファイルまたは別のLDAP準拠ディレクトリから既存のエントリを移行できます。またオプションで、パスワード・ポリシー強制、sudo、自動マウントなどの機能を構成できます。エントリ管理にはOracle Internet Directoryのツールを使用できます。また、多くの操作に対してlibuserツールを使用できます。図1-1に、これらの機能を要約しています。

図1-1 Oracle Authentication Services for Operating Systemsの機能

1.3 Oracle Authentication Services for Operating Systemsのコンポーネント

Oracle Fusion Middleware 11g R1パッチ・セット2（11.1.1.3.0）では、Oracle Internet Directoryインストールに、Oracle Authentication Services for Operating Systemsで使用される次のコンポーネントが含まれます。

- SSLおよび非SSLのサーバー構成スクリプト

- SSLおよび非SSLのクライアント構成スクリプト

- NISおよびフラット・ファイルベース認証からの移行のサポート

- サード・パーティのLDAPディレクトリからOracle Internet Directoryへの移行のサポート。

- sudoersファイルからOracle Internet Directoryへのsudoポリシーの移行のサポート

- Oracle Internet Directoryへの自動マウントの移行のサポート

1.4 Oracle Internet Directoryでのユーザー認証の流れ

login、xdm、ssh、suまたはその他のクライアント・ログイン・プログラムにユーザーが資格証明（ユーザー名およびパスワード）を提供すると、次のイベントが発生します。

1. ログイン・プログラムの認証モジュールによって、ローカルの構成ファイルが調査され、そのユーザーの認証方法が特定されます。これらのファイルには、使用する手段（LDAP）、サーバーの場所、および使用する証明書（SSLが構成されている場合）などの情報が含まれています。

2. 認証モジュールにより、ユーザーの資格証明を使用してOracle Internet Directoryに対するユーザー認証が試行されます。SSLが構成されている場合は、最初に証明書を使用してSSL通信チャネルが確立されます。

3. Oracle Internet Directoryによって資格証明が正しくアカウントがアクティブであることが判別されると、ユーザーのログイン試行は成功します。そうでない場合、ユーザーのログイン試行は失敗します。

4. ユーザーのログイン試行が成功した場合、ユーザーのグループ・メンバーシップ情報について、モジュールからOracle Internet Directoryへ再び問合せが行われます。

5. Oracle Internet Directoryからグループ・メンバーシップ情報が戻されます。

これらのイベントを図1-2に示します。

図1-2 Oracle Internet Directoryを使用した認証

1.5 構成の概要

Oracle Authentication Services for Operating Systemsを構成するには、次の手順を実行します。

1. Oracle Internet Directoryをインストールします。使用しているプラットフォーム用の『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』を参照してください。

2. 11g R1パッチ・セット2（11.1.1.3.0）を適用します。

3. 構成スクリプトを実行して、ユーザー認証用にサーバーおよびクライアントを構成します。

4. パスワード・ポリシーを構成します。

5. NIS、ローカル・ファイルまたは別のLDAP準拠ディレクトリからOracle Internet Directoryにエントリを移行します。

6. sudoを構成し、sudoエントリをOracle Internet Directoryに移行します。

7. オプションで、Active Directoryに格納されている資格証明をLinuxまたはUNIXベースのオペレーティング・システムで認証に使用できるように、Active Directoryとの統合を構成できます。

8. オプションで、各マシンでのユーザーのログインを制限できます。

1.6 管理の概要

Oracle Authentication Services for Operating Systemsを構成し、Oracle Internet Directoryにデータを移行した後は、特定のツールを使用してユーザー、パスワードおよびその他のデータを管理する必要があります。具体的には次のツールを使用する必要があります。

- Oracle Directory Services Manager

- $ORACLE_HOME/binにあるLDAPツールおよびバルク・ツール

- passwdコマンド

- プラットフォーム固有のツール:

- Linuxディストリビューションでのlibuserツール（制限付き）。「libuserツール」を参照してください。

- コマンドmkuserおよび同様のAIXツール（オプション-R LDAPを使用）。「AIX固有のツール」を参照してください。

1.7 その他のドキュメント

Oracle Authentication Services for Operating Systems 11g リリース1（11.1.1）の詳細は、次の関連資料を参照してください。

- このリリースに同梱されているREADMEドキュメント

- ノート1064891.1: Oracle Authentication Services for Operating Systems補足ドキュメント（11.1.1.3）。このドキュメントは、My Oracle Support（https://support.oracle.com）で入手できます。

2 構成の準備

Oracle Authentication Services for Operating Systemsを構成する前に、使用するオペレーティング・システムおよび使用するOracle Internet Directoryのバージョンがサポートされていることを確認してください。また、インストールを開始する前に、オプションの製品機能のうち使用する機能を決定し、移行に使用するスクリプトの場所を確認してください。

この章の内容は次のとおりです。

- クライアントおよびサーバーのオペレーティング・システムの確認

- Oracle Internet DirectoryおよびOracle Directory Integration Platformのインストール

- 使用する製品機能の決定

- NIS移行ツールの入手

- SUDOパッケージのダウンロード

- 新規カスタム属性の作成および索引付け（オプション）

2.1 クライアントおよびサーバーのオペレーティング・システムの確認

Oracle Authentication Services for Operating Systemsには、サーバーとクライアントの両方のコンポーネントが含まれています。サーバーは、Oracle Internet Directoryを実行するコンピュータです。クライアントは、Oracle Internet Directoryのサービスを認証に使用するコンピュータです。

サポートされているサーバーおよびクライアントのオペレーティング・システムに関する最新情報は、次のドキュメントを参照してください。

- このリリースに同梱されているREADMEドキュメント

- ノート1064891.1: Oracle Authentication Services for Operating Systems補足ドキュメント（11.1.1.3）。このドキュメントは、My Oracle Support（https://support.oracle.com）で入手できます。

2.2 Oracle Internet DirectoryおよびOracle Directory Integration Platformのインストール

Oracle Authentication Services for Operating Systemsを構成する前に、Oracle Internet Directoryをインストールする必要があります。既存のLDAP準拠ディレクトリからエントリを移行する場合、またはOracle Internet Directoryを別のディレクトリ（Active Directoryなど）と同期化する場合は、Oracle Internet DirectoryとともにOracle Directory Integration Platformをインストールする必要があります。

関連項目:
Identity Managementのコンポーネントのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』を参照してください。

2.3 Oracle Authentication Services for Operating Systems 10gからのアップグレード

Oracle Authentication Services for Operating Systems 10gがすでにインストールされている場合は、ポートやSSL証明書などの構成機能を変更するのでなければ、サーバーまたはクライアントのマシンを再構成する必要はありません。

『Oracle Fusion Middleware Oracle Identity Managementアップグレード・ガイド』の説明に従ってOracle Internet Directory 11gにアップグレードします。11g R1パッチ・セット2（11.1.1.3.0）を適用します。

構成を変更する必要がある場合は、第3章「Oracle Authentication Services for Operating Systemsの構成」の説明に従って、11gのスクリプトを使用してください。

Oracle Internet Directory 11gリリース1（11.1.1）以上では、デフォルトで匿名バインドが許可されていますが、匿名ユーザーが実行できるのはルートDSEエントリに対する検索操作のみです。ただし、アップグレードすると、Oracle Internet Directoryによって匿名バインドが有効化されます。なんらかの理由で匿名バインドが無効になっている場合は、「ユーザーがログインできない」のトラブルシューティングに関する項の説明に従って、ldapmodifyコマンドを使用して匿名バインドを有効化できます。

2.4 使用する製品機能の決定

インストールを開始する前に、製品のどの機能を使用するか考慮します。基本的な機能については、Oracle Internet Directoryサーバーを実行するシステム上でサーバー・スクリプトを実行して、各クライアント上でクライアント・スクリプトを実行します。これらのスクリプトによって、サーバーおよびクライアントがLDAP認証用に構成されます。基本的なLDAP認証以外にも、次のオプションを選択できます。

- Secure Socket Layer（SSL）: 使用するサーバーおよびクライアントがインターネットから隔離されている場合を除き、SSLを有効にする必要があります。これには、SSLバージョンのサーバー構成スクリプトおよびクライアント構成スクリプトを使用します。Red HatまたはOracle Enterprise Linux上でOracle Authentication Services for Operating Systemsとともにlibuserツールおよびsystem-config-usersを使用する場合は、SSLが必要です。

- SSLで使用する証明書およびウォレット: SSLサーバー構成スクリプトでは、既存の証明書を使用することも、本番モード用に設計されていない自己署名の証明書を生成することもできます。既存の証明書を使用する場合は、Oracle Internet Directoryをこの証明書とともにSSLモードで構成しておく必要があります。また、デフォルトのウォレットのかわりにカスタマイズしたウォレットを使用することもできます。

関連項目:

- SSLモードでのOracle Internet Directoryの構成の詳細は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の「Secure Sockets Layer（SSL）の構成」の章を参照してください。

- Oracleウォレットの詳細は、『Oracle Fusion Middleware管理者ガイド』を参照してください。

- 移行元となる現在の認証のソース: ファイル、NISまたは別のLDAPサーバーを使用している場合は、Oracle Internet Directoryに移行できます。

- LDAPを使用するためにlibuserツールを構成するかどうか: Red Hat Enterprise LinuxおよびOracle Enterprise Linuxには、デフォルトでGUIツールsystem-config-usersおよびコマンドライン・ユーティリティ（luseradd、luserdeleteなど）が存在します。luseraddなどを使用してユーザーを追加した場合にそのユーザー・エントリがOracle Internet Directoryに追加されるように、LDAPと連携するようにlibuserツールを構成できます。libuserツールを使用しない場合は、Oracle Directory Manager、Oracle Internet Directoryのバルク・ツール、またはOracle Internet DirectoryのLDAPツールを使用して、直接Oracle Internet Directoryでエントリを構成する必要があります。クライアントがRed Hat Enterprise LinuxまたはOracle Enterprise Linuxの場合は、クライアント・スクリプトによって、libuserを構成するかどうかを尋ねるプロンプトが表示されます。

注意:

- libuserツールを使用するには、クライアントおよびサーバーをSSL用に構成する必要があります。

- Oracle Internet Directoryを使用してパスワード・ポリシーを強制する場合、libuserパッケージ内のツールを使用してパスワードまたはパスワードを含むエントリを追加することはできません。

- ユーザーまたはグループの管理タスクにlibuser以外のコマンド（useradd、userdel、groupaddまたはgroupdel）を使用することはできません。

- 移行するデータ: 次項で説明するようなオープン・ソースのスクリプトは、NISまたはファイルからのユーザー、グループおよびその他の構成データの移行をサポートしています。Oracle Authentication Services for Operating Systemsには、サード・パーティのLDAPディレクトリ・サーバーから移行するためのツールが含まれています。

- sudoを移行するかどうか: sudoers構成ファイルのかわりにOracle Internet Directoryを使用して、sudoコマンドを認証できます。

- パスワード・ポリシーの強制方法: 引き続きオペレーティング・システムを使用してパスワードを強制できます。もしくは、Oracle Internet Directoryを使用してパスワード・ポリシーを集中化できます。

- Active Directoryと統合するかどうか: LinuxまたはUNIXベースのオペレーティング・システムでは、Active Directoryに格納されている資格証明をユーザー認証のために使用できます。

2.5 NIS移行ツールの入手

ローカル・ファイル・システムまたはNIS/NIS+でユーザー、グループおよびその他のエントリを管理している場合は、これらのエントリの記憶域メカニズムとしてLDAPに移行できます。既存の情報を抽出し、出力ファイルをLDAP Data Interchange Format（LDIF）で生成するために使用できるツールがいくつかあります。LDIFファイルに格納した情報は、ldapaddツールを使用してOracle Internet Directoryにロードできます。

2.5.1 AIX 5.3

AIXでは、ユーザーおよびグループを移行する場合、sectoldifツールとnistoldifツールを使用する必要があります。http://www.padl.com/からの移行ツールは使用しないでください。

2.5.2 その他のプラットフォーム

数多くの無料のツールがあります。次のサイトで入手可能なLDAP移行ツールを使用して情報を移行するプロセスは、弊社ですでに検証済です。

http://www.padl.com/

ホストにopenldapパッケージがインストールされている場合は、/usr/share/openldap/migrationにも同じ移行ツールがあります。

2.6 SUDOパッケージのダウンロード

sudoersファイルの内容をLDAPに移行する場合は、移行スクリプトを実行し、LDAPを有効にしてsudoをビルドする必要があります。sudoパッケージは次のサイトから入手できます。

http://www.gratisoft.us/sudo

2.7 新規カスタム属性の作成および索引付け（オプション）

Oracle Internet Directoryで属性を検索するには、その属性が索引付けされている必要があります。カスタム属性を追加する場合は、属性の作成時にOracle Directory Managerを使用して索引付けできます。また、ldapmodifyを使用して索引付き属性を作成することもできます。次のようなLDIFファイルを使用します。

dn: cn=catalogs
changetype: modify
add: orclindexedattribute
orclindexedattribute: attribute_name

あるいは、「Oracle Internet Directoryでのカスタム属性の使用」で説明しているように、Oracle Internet Directoryで属性を作成した後に、catalogを使用して索引付けすることもできます。

注意:
必須属性として指定されている索引付けされていない属性の検索を実行しようとすると、サーバーから次のエラーが戻されます。

Function not implemented. DSA unwilling to perform.

https://support.oracle.comを参照してください。

2.8 プラットフォーム固有のタスク

次のインストール前タスクは、プラットフォームに固有のものです。

2.8.1 HP-UX

クライアントとして使用するコンピュータでHP-UXが実行されている場合は、LDAP-UX Integration J4269AA、HP-UX 11iv2 for Workstations and Servers B.04.00.03をダウンロードし、rootとしてインストールする必要があります。このソフトウェアは、http://h20293.www2.hp.com/portal/swdepot/try.do?productNumber=J4269AAからダウンロードできます。

2.8.2 Solaris 5.9および5.10

Solaris 5.9または5.10でSSLバージョンのサーバー構成スクリプトを実行する場合は、Oracle Internet Directoryが標準のLDAPポートである389（非SSLの場合）および636（SSLの場合）を使用していることを確認する必要があります。

必要に応じて、標準のLDAPポートを使用して新しいOracle Internet Directoryインスタンスを起動します。次の手順を実行します。

1. opmnctlコマンドを使用して、Oracle Internet Directoryのすべてのインスタンスを停止します。次のように入力します。

opmnctl stopproc process-type=OID

2. rootとして次のコマンドを実行します。

$ORACLE_HOME/oidRoot.sh

3. タイプOIDの新規コンポーネントを作成します。たとえば、コンポーネント名がoid2でネームスペースがdc=us,dc=example,dc=comのコンポーネントを作成する場合は、次のように入力します。

$ORACLE_INSTANCE/bin/opmnctl createcomponent -componentType OID \
-componentName oid2 -Db_info \
"myhost.us.example.com:1521:dbservice.us.example.com" \
-Port 389 -Sport 636 -Namespace "dc=us,dc=example,dc=com"

4. Oracle Internet Directoryインスタンスを起動します。たとえば、コンポーネントoid2を起動する場合は、次のように入力します。

$ORACLE_INSTANCE/bin/opmnctl startproc ias-component=oid2

関連項目:
『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の「Oracle Internet Directoryインスタンスの管理」の章。

3 Oracle Authentication Services for Operating Systemsの構成

この章の内容は次のとおりです。

- 概要

- サーバーでのOracle Authentication Services for Operating Systemsの構成

- クライアントでのOracle Authentication Services for Operating Systemsの構成

- 集中パスワード・ポリシーのためのOracle Internet Directoryの構成

- SSL認証と非SSL構成の切替え

- 構成スクリプトの再実行

- クライアントおよびサーバーの構成前の状態へのリストア

この章で説明する手順を開始する前に、第2章で説明している前提条件の手順を実行する必要があります。

3.1 概要

ここでは、次の項目について説明します。

- SSLのサポート

- パスワード・ポリシーの強制

- Active Directoryの統合

- ディレクトリ・プラグイン

- 言語サポート

- 構成時に使用するツール

3.1.1 SSLのサポート

Oracle Internet Directoryは、SSL認証なし、SSLサーバー認証およびSSL相互認証の各モード用に構成できます。いずれのモードでも、データは転送時に暗号化されます。Oracle Internet Directoryは、あらかじめSSL認証なしモードで構成されています。ただし、Linuxのユーザー認証に使用されるPAM_LDAPクライアントなどの一部のクライアントでは、このモードがサポートされておらず、SSLサーバー認証モードのみがサポートされます。

最初のサーバー構成プロセスで、SSLサーバー認証モード用にOracle Internet Directoryを構成できます。既存の証明書を使用することも、SSL構成スクリプトにより自動的に自己署名の証明書を生成することもできます。既存の証明書を使用するには、この証明書とともにSSLモードでOracle Internet Directoryを構成しておく必要があります。SSLモードでのOracle Internet Directoryの構成方法の詳細は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の「Secure Sockets Layer（SSL）の構成」の章を参照してください。

Privacy Enhanced Mail（PEM）形式のみがサポートされています。これはbase64でエンコードされたDER証明書であり、次の2行で囲まれます。

-----BEGIN CERTIFICATE-----

-----END CERTIFICATE-----.

注意:
自己署名の証明書は、本番での使用を目的としていません。

3.1.1.1 自己署名の証明書

既存の証明書を指定しない場合、SSLサーバー構成スクリプトにより次の2つのOracleウォレットが生成されます。

1. テスト認証局（CA）ウォレット: Oracle Internet Directory SSLサーバー証明書の署名に使用します。これは、$ORACLE_INSTANCE/wallet/rootに含まれる次のファイルで構成されます。

- cakey.txt: 1024ビットのRSA秘密鍵

- cacert.txt: based64でエンコードされた証明書

2. Oracle Internet Directory SSLサーバー証明書。これは、$ORACLE_INSTANCE/wallet/serverに含まれる次のファイルで構成されます。

- creq.txt: Oracle Internet Directory SSLサーバー証明書リクエスト

- cert.txt: テストCAウォレットによって署名されたOracle Internet Directory SSLサーバー証明書

- cwallet.sso: 自動ログイン用のOracle Internet Directory SSLサーバー・ウォレット

- ewallet.p12: PKCS12でエンコードされたOracle Internet Directory SSLウォレット

注意:
PKCS12でエンコードされたウォレットには、関連エンティティの秘密鍵が含まれており、SSLサーバー構成スクリプトの実行時に設定するウォレット・パスワードによって保護されます。

クライアントがOracle Internet Directory SSLサーバー証明書（2）を信頼するには、テストCAウォレット（1）を信頼する必要があります。ほとんどのLinuxクライアントはPEM形式を使用するため、$ORACLE_INSTANCE/OID/admin/wallet/pem.certに含まれているPEM形式のテストCAウォレット（1）のコピーを使用できます。

3.1.2 パスワード・ポリシーの強制

Oracle Internet Directoryには、パスワード・ポリシーの集中管理に利用できる豊富なパスワード・ポリシー・セットが同梱されています。これらの機能の基盤となる概念の説明は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド 11g リリース1（11.1.1）のパスワード・ポリシーに関する章を参照してください。

Oracle Internet Directoryでは、値ポリシーと状態ポリシーの2種類のパスワード・ポリシーがサポートされています。値ポリシーは、最小長などのパスワード構成要件を決定するものです。状態ポリシーは、パスワードの期限切れやロックアウトなどを決定するものです。LinuxおよびUNIXベースのオペレーティング・システムでは、従来どおり、パスワード・エイジング機能を使用してシャドウ・パスワード・ファイル内で状態ポリシーが処理されます。これらのポリシーは、単一ユーザー・エントリのレベルまで細かく適用できます。

Oracle Internet Directoryを使用すると、値ポリシーと状態ポリシーの両方を強制できます。値ポリシー違反が発生すると、Linuxクライアントでエラー・メッセージが表示されますが、状態ポリシー違反が発生した場合はログインに失敗するだけです。これは、pam_ldapクライアントでは、Oracle Internet DirectoryがLDAPバインドの失敗とともに追加情報として送信するメッセージが表示されないためです。

Oracle Internet Directoryを使用してパスワード・ポリシーを集中化するには、オペレーティング・システムのローカルな値ポリシーおよび状態ポリシーを無効にする必要があります。その手順は、「集中パスワード・ポリシーのためのOracle Internet Directoryの構成」を参照してください。

Oracle Internet Directoryを使用してパスワード・ポリシーを強制しない場合は、orclpwdpolicyenableを0に設定してOracle Internet Directoryのパスワード・ポリシーを無効にする必要があります。また、パスワード構文に関するメッセージが発行されないように、pwdCheckSyntaxを0に設定してパスワード構文チェックを無効にする必要があります。

関連項目:
『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』のパスワード・ポリシーに関する章。

3.1.3 Active Directoryの統合

Active Directoryにユーザーが存在し、Active Directoryに格納されている資格証明をLinuxの認証に使用する場合は、Oracle Directory Integration Platformを構成してActive Directoryと統合できます。構成手順の詳細は、第5章「Active Directoryの統合の構成」を参照してください。

3.1.4 ディレクトリ・プラグイン

ディレクトリ・サーバー・プラグインは、Oracle Internet Directoryサーバーの機能を拡張する、カスタマイズされたプログラムです。Active Directoryエントリの拡張手順およびActive Directoryを使用した外部認証の設定手順の両方に、プラグインの設定が含まれます。これらの手順は、第5章「Active Directoryの統合の構成」を参照してください。

関連項目:
ディレクトリ・サーバー・プラグインの詳細は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』を参照してください。

3.1.5 言語サポート

構成スクリプトを実行する前に、NLS_LANG環境変数を設定してロケールを設定する必要があります。NLS_LANGの設定後は、ローカル言語で入力すると、スクリプトは正しく機能します。

3.1.6 構成時に使用するツール

この章で説明する一部のタスクでは、Oracle Internet DirectoryまたはOracle Directory Integration Platformのツールを使用する必要があります。次のツールがあります。

- Oracle Internet Directory LDAPコマンドライン・ツール: $ORACLE_HOME/binディレクトリに含まれています。これらのツールは、ldapsearch、ldapbind、ldapmodify、ldapdelete、ldapcompare、ldapmoddn、ldapaddmtおよびldapmodifymtです。Oracle Internet Directoryサーバーとの対話には、オペレーティング・システムのベース・イメージ内に同梱されているものではなく、$ORACLE_HOME/binにあるLDAPツールを使用する必要があります。

- Oracle Internet Directoryバルク・ツール: 同じく$ORACLE_HOME/binディレクトリに含まれています。これらのツールは、bulkload、bulkmodify、catalog、bulkdeleteおよびldifwriteです。バルク・ツールを使用すると、大量のエントリの追加や削除などの一括操作を実行できます。
重要なバルク・ツールはcatalogツールです。このツールを使用すると、Oracle Internet Directory内の属性に索引を追加できます。属性を検索可能にするには、索引付けする必要があります。属性uidに索引を追加する例を次に示します。

catalog connect="connect_str" add="TRUE" attribute="uid"

- opmnctlコマンド: Oracle Internet Directoryサーバーの停止および起動に使用します。

- Oracle Directory Integration PlatformコマンドのsyncProfileBootstrap: Oracle Directory Integration PlatformとActive Directoryの間の通信にSSLを構成する際や、別のLDAP準拠ディレクトリからOracle Internet Directoryにデータを移行する際には、syncProfileBootstrapを使用します。

関連項目:

- Oracle Internet Directory LDAPツール、バルク・ツールおよびopmnctlツールの詳細は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』およびOracle Fusion Middleware Oracle Identity Managementリファレンスを参照してください。

- syncProfileBootstrapの詳細は、Oracle Fusion Middleware Oracle Identity Managementリファレンスの「Oracle Directory Integration Platformのツール」の章、およびOracle Fusion Middleware Oracle Directory Integration Platform管理者ガイドの「ディレクトリ同期プロファイルの構成」の章を参照してください。

3.2 サーバーでのOracle Authentication Services for Operating Systemsの構成

サーバー構成スクリプトを使用して、次のようにUNIXまたはLinuxの認証用にサーバーを構成します。

注意:

- 構成スクリプトの実行中に画面に表示されるエラー・メッセージを探してください。付録E「サンプルのスクリプト出力」に、比較のための正常な実行の例があります。

- SSL構成と非SSL構成は切替えが可能です。「SSL認証と非SSL構成の切替え」を参照してください。

- 使用しないSSLポートまたは非SSLポートは無効化できます。これを行うには、構成属性orclSSLEnableの値を変更します。Oracle Fusion Middleware Oracle Identity Managementリファレンスの「属性リファレンス」の章にあるorclSSLEnableのエントリを参照してください。

1. Oracle Internet Directoryをインストールしたユーザーと同じユーザーとして、サーバー上でサーバー・スクリプトを実行します。ディレクトリを$ORACLE_HOME/oas4os/binに変更し、次のように入力します。

./sslConfig_OIDserver.sh

または

./config_OIDserver.sh

2. ORACLE_HOME,ORACLE_INSTANCE、レルム（ネーミング・コンテキスト）、SSLポート、非SSLポート、OIDコンポーネント名（oid1など）、およびcn=orcladminのパスワードを指定するよう求められます。プロンプトに従って適切な値を指定してください。
環境変数としてORACLE_HOMEまたはORACLE_INSTANCEを設定した場合、これを求めるプロンプトは表示されません。

3. クライアント・マシンを匿名でOracle Internet Directoryに接続するか、それとも特定のユーザーDNおよびパスワードを使用して接続するかを尋ねられます。yを選択すると、スクリプトによりOracle Internet Directoryサーバー内の匿名バインドが有効になり、匿名バインドを使用してクライアントがサーバーに接続されます。nを選択すると、Oracle Internet Directoryに接続するためのDNおよびパスワードを入力するよう求められます。

関連項目:

- 『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の「アカウントおよびパスワードの管理」の章

- 『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の「認証の管理」の章

4. SSL構成スクリプトを使用している場合、スクリプトにより次のように出力されます。

You can provide an SSL Certificate or use the script to create and update OID SSL configuration with a test certificate.Do you have an SSL Certificate [y/n]:

- このプロンプトに対してyを入力すると、証明書へのパスを指定するよう求められます。プロンプトに対して、ファイル名を含めたフルパス（/home/jdoe/sslcert.pemなど）を指定します。PEM形式のみがサポートされています。

- プロンプトに対してnを入力すると、ウォレット・パスワードを入力するよう求められます。スクリプトにより、自己署名の証明書を使用するSSLサーバー側認証モード用にOracle Internet Directoryが構成されます。

SSLバージョンのスクリプトによって、StartTLS用に非SSLポートが構成されます。これにより、SSL接続と非SSL接続は同じポートを使用できます。自己署名の証明書のオプションを選択した場合は、StartTLSをサポートしていないクライアントからの接続に対してSSLポートが構成されます（自己署名の証明書のオプションを選択していない場合は、すでにOIDのSSLポートがカスタム証明書とともに構成されている必要があります）。

サーバー・スクリプトによって、$ORACLE_INSTANCE/OID/oas4os/component_name/scripts_timestamp内にクライアント・スクリプトsslConfig_OIDclient.shまたはconfig_OIDclient.shが作成され、環境に合わせてカスタマイズされます。サーバー・スクリプトの終了時に、画面にクライアント・スクリプトの場所が次のように出力されます。

OAS4OS Client Config Script: client_script_path

スクリプトによって、収集された情報を使用して複数のOracle Internet Directoryサーバー・パラメータが更新されます。SSLバージョンのスクリプトでは、Oracle Internet Directoryサーバーが再起動されます。非SSLバージョンのスクリプトでは再起動は行われません。

関連項目:

- 付録E「サンプルのスクリプト出力」

- 付録F「構成スクリプトにより追加されるLDAPコンテナ」

3.3 クライアントでのOracle Authentication Services for Operating Systemsの構成

クライアント構成スクリプトを実行して、UNIXまたはLinux認証用に各クライアントを構成します。次の手順を実行します。

3.3.1 Solaris 9

次の手順は、Solaris 9のみに適用されます。

1. Solaris 9の場合のみ、Sun Java System Directory Server Resource Kit SDRK52をダウンロードし、rootとしてインストールします。

2. Sun Java System Directory Server Resource Kitをインストールしたら、クライアント構成スクリプトを実行する前に、環境変数PATHおよびLD_LIBRARY_PATHを変更して、PATHにはinstallroot/lib/nss/binを、そしてLD_LIBRARY_PATHにはinstallroot/libをそれぞれ含めます。installrootはSun Java System Directory Server Resource Kitをインストールしたディレクトリです。たとえば、このソフトウェアを/usrにインストールした場合は、/usr/lib/nss/binをPATHに追加し、/usr/libをLD_LIBRARY_PATHに追加します。

3. 「すべてのクライアント・プラットフォーム」で説明されているタスクを実行します。

3.3.2 AIX 5.3

次の手順は、AIX 5.3のみに適用されます。

3.3.2.1 AIXへのLDAPクライアントのインストール

ベースのAIX 5L LDAPクライアントは、AIX 5L製品メディアに格納されているldap.clientファイル・セット内にパッケージされています。

SSLを使用してLDAPサーバーに接続する場合は、AIX 5L Expansion Packに含まれているgskta.rteおよびldap.max_crypto_clientファイル・セットをインストールする必要があります。インストール手順については、「AIXへのSSL関連クライアント・パッケージのインストール」を参照してください。

1. ベースのAIX LDAPクライアント・パッケージをインストールします。このパッケージは、AIX 5L製品メディアに含まれているldap.clientファイル・セットの中にあります。次のコマンドを実行すると、基本パッケージがインストールされます。

installp -acgXd LPPSOURCE ldap.client

LPPSOURCEは、Licensed Product Package（LPP）の場所です。

注意:
また、SMITまたはWebベースのシステム・マネージャを使用してLPPをインストールすることもできます。

2. 次のコマンドを入力して、インストールを確認します。

lslpp -l "ldap"

lslppコマンドの出力には、ldap.client.adtおよびldap.client.rteが含まれます。

3.3.2.2 少なくとも1人のユーザーと1つのグループのAIXへの追加

AIXでクライアント・スクリプトを実行する前に、少なくとも1人のユーザーとグループをLDAPに追加する必要があります。そうしない場合、AIXで構成スクリプトにより実行されるmksecldapコマンドが失敗して、次のいずれかのエラー・メッセージが表示されることがあります。

Cannot find users from all base DN
client setup failed."

Cannot find the group base DN from the LDAP server.
Client setup failed."

この問題は、1人のユーザーと1つのグループを追加するだけで回避できます。あるいは、構成スクリプトの実行の完了を待たずに、今すぐすべてのユーザーおよびグループをOracle Internet Directoryに移行することもできます。

関連項目:
詳細およびその他の解決策については、http://www.ibm.com/developerworks/にある『LDAP configuration management and troubleshooting on AIX』を参照してください。

すべてのユーザーおよびグループを移行するには、次の手順を実行します。

1. sectoldifコマンドを使用して、ローカル・システム・エントリをLDAPエントリに変換します。次のように入力します。

sectoldif -d "realm" -S "RFC2307" > users.ldif

2. 移行するすべてのユーザーがシステム・グループまたはネット・グループに関連付けられていることを確認します。つまり、各ユーザーがgidnumberを持つようにuser.ldifを編集します。例:

dn: uid=test,ou=People,dc=us,dc=example,dc=com
uid: test
objectClass: posixaccount
objectClass: shadowaccount
objectClass: account
cn: test3
uidnumber: 209
gidnumber: 502
homedirectory: /home/test
loginshell: /usr/bin/ksh
userpassword: passwordhash
shadowlastchange: 13182

cn=testgroup,ou=Group,dc=us,dc=example,dc=com
gidnumber=502
cn=testgroup
objectclass=posixGroup
objectclass=groupOfUniqueNames
objectclass=top

3. users.ldif内のユーザー・エントリをOracle Internet Directoryに追加します。

ldapadd -h host -p port -D "cn=orcladmin" -q -c -f users.ldif

4. 非SSLスクリプトを使用している場合は、「すべてのクライアント・プラットフォーム」で説明されているタスクを実行します。それ以外の場合は、次項で説明されている手順に進みます。

3.3.2.3 AIXへのSSL関連クライアント・パッケージのインストール

SSLを使用してLDAPサーバーに接続する場合は、AIX 5L Expansion Packに含まれているgskta.rteおよびldap.max_crypto_clientファイル・セットをインストールする必要があります。

1. AIX 5L Version 5.3クライアントでSSL構成を行うためには、次のパッケージが必要です。

- gskta.rte

- ldap.max_crypto.client

これらのパッケージをまだインストールしていない場合は、AIX 5L Version 5.3 Expansion Package CD（5705-603）からインストールするか、IBMのWebサイトで入手可能なTivoli Directory Server内の同等のパッケージからインストールします。

installp -acgXd LPPSOURCE gskta ldap.max_crypto_client

2. 次のように入力して、インストールしたパッケージを確認します。

lslpp -l | grep "gskta*" "*ldap*"

lslppコマンドの出力には、gskta.rte、ldap.client.adt、ldap.client.rte、ldap.max_crypto_client.adtおよびldap.max_crypto_client.rteが含まれます。

3. 必要な場合は、新しいLDAPクライアント・ライブラリへのシンボリック・リンクを/usr/lib内に作成します。例:

ln -s  /opt/IBM/ldap/release/lib/libidsldap.a /usr/lib/libibmldap.a

4. 「すべてのクライアント・プラットフォーム」で説明されている手順を実行します。

5. ldapsearchを使用して、LDAP SSLが有効になっていることを確認します。例:

ldapsearch -h myserver.example.com -Z -K /etc/security/ldap/key.kdb \
-Q -b "" -s base objectclass=*

6. telnet、rlogin、sshまたは同様のプログラムを使用してクライアント・マシンにログインすることにより、認証が正しく機能していることを確認します。

3.3.3 AIX 6.1

AIX 6.1では、mksecldapツールに関連する問題により、SSLクライアント構成スクリプトは失敗します。AIX 6.1では、非SSL構成スクリプトを使用して、非SSLモードでOracle Authentication Services for Operating Systemsを構成できるのみです。

3.3.4 すべてのクライアント・プラットフォーム

1. サーバー構成スクリプトを実行した後、クライアント構成スクリプトをサーバーからクライアントにコピーします。サーバー・スクリプトによってクライアント・スクリプトが編集され、環境に合わせてカスタマイズされます。
SSLサーバー認証が有効になっているLinuxクライアントの場合は、クライアント・スクリプトsslConfig_OIDclient.shを使用します。非SSLのLinuxクライアントの場合は、config_OIDclient.shを使用します。サーバーの$ORACLE_HOME/ldap/binにあるスクリプトを構成対象の各クライアントにコピーします。

2. rootユーザーとして、クライアント上でクライアント構成スクリプトを実行します。次のいずれかを入力します。

./sslConfig_OIDclient.sh

または

./config_OIDclient.sh

注意:
構成スクリプトの実行中に画面に表示されるエラー・メッセージを探してください。付録E「サンプルのスクリプト出力」に、比較のための正常な実行の例があります。

3. スクリプトによってホストとポートが出力され、次のプロンプトが表示されます。

Do you want to configure test-host to authenticate users against the aboveOID LDAP server [n]: y

ホストとポートが正しい場合は、LDAPサーバーに対して認証するようにクライアントを構成することを確認します。いずれかが間違っている場合は、nと入力し、スクリプトを編集して問題を修正してから、再びスクリプトを実行します。

4. サーバー構成スクリプトの実行中に、匿名バインドを使用しないように指定した場合、クライアント・スクリプトによってプロキシDNが出力され、Oracle Internet Directoryへの接続に使用するパスワードを入力するよう求められます。サーバーの構成時に入力したパスワードと同じパスワードを入力します。

5. クライアントがRed Hat Enterprise LinuxまたはOracle Enterprise Linuxの場合は、クライアント・スクリプトによって、LDAPを使用するようにlibuserパッケージを構成するかどうかを確認するプロンプトが表示されます。libuserを構成する場合はyと応答します。LDAPを使用するようにlibuserを構成した場合、luseraddなどを使用してユーザーを追加すると、そのユーザー・エントリがOracle Internet Directoryに追加されます。

スクリプトによって、クライアント・オペレーティング・システム上でユーザー認証にOracle Internet Directoryを使用するようにPluggable Authentication Module（PAM）が構成されます。実行されるタスクの詳細は、オペレーティング・システムのタイプによって異なります。スクリプトによって次の基本タスクが実行されます。

- ldapがpasswd、groupおよびshadowのオプションになるように、nsswitch.confへの構成変更が行われます。

- 正しいURI、ベースDNを使用して、/etc/ldap.confおよび/etc/openldap/ldap.confが構成されます。

- オプションで、Red Hat Enterprise LinuxおよびOracle Enterprise Linuxでユーザーを管理するために、（libuser.confを介して）libuserパッケージが構成されます。

注意:
スクリプトによって、/etcディレクトリのサブディレクトリ内に、処理対象のファイルのバックアップ・コピーが作成されます。これらのサブディレクトリには、oracle_backup_time_stampという書式の名前が付きます。たとえば、2008年1月13日18時54分46秒に作成されたバックアップ・ディレクトリの名前は、/etc/oracle_backup_20100113185446となります。

さらに、sslConfig_OIDclient.shによって次の処理が実行されます。

- Oracle Internet Directoryサーバーで構成時に作成されたテストCAのPEM形式のエンコードされた証明書である、/etc/oracle-certs/oid-test-ca.pemが発行されます。これは、「自己署名の証明書」のpem.certと同等です。

- 信頼できるCAとして、oid-test-ca.pemが/etc/ldap.confおよび/etc/openldap/ldap.confに追加されます。

- クリアテキスト・パスワードを使用し、SSLを有効にするように、/etc/ldap.confが構成されます。

ほとんどのクライアント・オペレーティング・システムでは、スクリプトによって、サーバー上のStartTLSポートを使用してSSL通信を行うようにクライアントが構成されます。クライアントのオペレーティング・システムがHP-UXまたはSolarisの場合、StartTLSは構成されません。これらのクライアントでは、サーバー上の標準のSSLポートである636を使用してSSL通信が行われます。

クライアント構成スクリプトの実行が正常に完了すると、LinuxまたはUNIXベースのクライアントはOracle Internet Directoryを使用してユーザーを認証できます。

3.4 集中パスワード・ポリシーのためのOracle Internet Directoryの構成

Oracle Internet Directoryを使用してパスワード・ポリシーを集中化するには、オペレーティング・システムのローカルな値ポリシーおよび状態ポリシーを無効にする必要があります。

ポリシーを無効にした後は、ユーザーは通常どおりにpasswdツールを起動してパスワードを変更できます。Oracle Internet Directoryのパスワードの値ポリシー違反が発生すると、Password Policy Errorで始まるエラー・メッセージがログ・ファイル内に生成されます。

3.4.1 オペレーティング・システムのローカルな値ポリシーの無効化

ほとんどのLinuxディストリビューションはデフォルトで、エンド・ユーザーが指定したパスワードの品質検証の実行にcracklibライブラリを使用するように構成されています。Oracle Internet Directoryで強制されている集中パスワード・ポリシーを使用する場合は、2つのポリシーが競合しないようにローカルの検証を無効にする必要があります。

Oracle Enterprise LinuxおよびRed Hat Linuxでこれを行うには、次のようにします。

1. /etc/pam.d/system-authで次の行を探してコメント・アウトします。

password requisite /lib/security/$ISA/pam_cracklib.so retry=3

2. 後続のpasswordで始まるすべての行を探し、これらの行からuse_authtokを削除します。

3.4.2 オペレーティング・システムのローカルな状態ポリシーの無効化

前述のように、Linuxの状態ポリシーは、シャドウ・パスワード情報によって有効化されるパスワード・エイジング機能を介して強制されます。オペレーティング・システムによって各アカウントのシャドウ情報が解析され、状態ポリシーがローカルで強制されます。

Red Hat Enterprise LinuxまたはOracle Enterprise Linuxでは、Oracle Internet Directoryで作成されたアカウントのパスワード・エイジングを無効にできます。これを行うには、/etc/libuser.confファイルの[userdefaults]セクションを変更して、LU_SHADOWINACTIVE、LU_SHADOWEXPIRE、LU_SHADOWWARNINGのデフォルト値として-1を使用します。

Oracle Internet Directoryにすでに存在するアカウント、またはOracle Internet Directoryに移行するアカウントの場合、shadowmax=99999およびshadowexpire=-1を設定して、パスワードの期限切れを無効にする必要があります。

3.5 SSL認証と非SSL構成の切替え

非SSL認証を構成した場合は、次の手順でSSL認証に切り替えることができます。

1. サーバー上で、スクリプトsslConfigure_OIDserver.shを実行します。オプションで、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の手順に従って非SSLポートを無効にできます。

2. サーバーで生成されたsslConfigure_OIDclient.shスクリプトをクライアント・マシンにコピーし、このスクリプトをrootとして実行します。

SSL認証を構成した場合は、次の手順で非SSL認証に切り替えることができます。

1. サーバー上で、スクリプトconfig_OIDserver.shを実行します。オプションで、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の手順に従ってSSLポートを無効にできます。

2. サーバーで生成されたconfig_OIDclient.shをクライアント・マシンにコピーし、このスクリプトをrootとして実行します。

3.6 構成スクリプトの再実行

場合によっては、構成スクリプトを再実行する必要があります。たとえば、別のOracle Internet Directoryサーバーに変更する必要がある場合などです。あるいは、Oracle Internet Directoryへの接続に匿名バインドではなくプロキシDNを使用している場合、プロキシ・ユーザーのパスワードの期限が切れたためにリセットが必要になることがあります。

スクリプトを再実行するには、次の手順を実行します。

1. サーバー上で構成スクリプトを再実行します。Oracle Internet Directoryをインストールしたユーザーとして、config_OIDserver.shまたはsslConfig_OIDserver.shを実行します。

2. 「クライアントのリストア」の説明に従って、各クライアントをリストアします。

3. 各クライアント上でスクリプトを再実行します。各クライアント・マシン上でrootとして、生成されたスクリプトであるconfig_OIDclient.shまたはsslConfig_OIDclient.shを実行します。

3.7 クライアントおよびサーバーの構成前の状態へのリストア

コンピュータを元の状態にリストアできます。

3.7.1 クライアントのリストア

必要に応じて、クライアント・コンピュータをconfig_OIDclient.shまたはsslConfig_OIDclient.shの実行前の状態にリストアできます。これを行うには、/etcの下でoracle_backup_time_stampという書式の名前が付いたディレクトリを探します。たとえば、2008年1月13日18時54分46秒に作成されたバックアップ・ディレクトリの名前は、/etc/oracle_backup_20080113185446となります。通常、バックアップ・ディレクトリは複数ありますが、その場合は最新のバックアップ・ディレクトリのバックアップ・ファイルを使用する必要があります。

クライアントを構成前の状態にリストアするには、スクリプトresetClient.shを実行します。このスクリプトは、サーバー上の$ORACLE_HOME/oas4os/binに含まれています。このスクリプトをクライアントにコピーして、rootとして実行します。スクリプトによって、構成スクリプトを実行したときに保存された構成ファイルへのパスを指定するよう求められます。

3.7.2 サーバーのリストア

サーバーにはリストアの対象がありません。Oracle Internet Directoryサーバーを停止する場合や、SSLポートまたは非SSLポートを無効にする場合は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』を参照してください。

4 Oracle Internet Directoryへのエントリの移行

この章の内容は次のとおりです。

- エントリの移行

- ユーザー・エントリ属性へのアクセス制御の設定

- Oracle Internet Directoryでのカスタム属性の使用

- SUDOの移行

- SUDO属性へのアクセス制御の設定

4.1 エントリの移行

NIS、ファイルまたは別のLDAPディレクトリからエントリを移行する前に、次のタスクを実行します。

- Oracle Internet Directoryデータベースをチューニングします。

関連項目:

- 『Oracle Fusion Middlewareパフォーマンスおよびチューニング・ガイド』のOracle Internet Directoryの章に示されている基本的なチューニング手順。

- http://www.oracle.com/technologyにあるOracle Internet Directoryのチューニングおよび構成のクイック・リファレンス・ガイド

- リストアが必要になった場合に備えてOracle Internet Directoryデータベースのコールド・バックアップを行います。

- Oracle Internet Directoryが使用できなくなった場合でも、管理者がrootとしてログインできるようにしておきます。具体的には次のようにします。

- ローカルのrootアカウントを/etc/passwdファイルおよび/etc/shadowファイルに保存しておきます。

- nsswitch.confでのpasswdまたはshadowの優先順位を変更しないようにします。構成スクリプトにより、これらは次のように設定されます。

passwd: files ldap
shadow: files ldap

- 環境内のデフォルトのパスワード・ハッシング・アルゴリズムがDESまたはMD5暗号化になっていることを確認します。なっていない場合は、変更します。次に、Oracle Internet Directoryでサポートされる形式でパスワードが格納されるように、すべてのユーザーにパスワードの変更を要求します。

LDIFファイルをOracle Internet Directoryにロードする前に、bulkloadツールのcheck機能を使用して、ファイルにスキーマおよびデータの一貫性の違反がないか確認できます。構文は次のとおりです。

$ORACLE_HOME/ldap/bin/bulkload connect=oid-db check=true file=ldif_file

注意:
機密情報を含むファイルを処理する際には、セキュリティ対策を行ってください。

この項の内容は次のとおりです。

- NISからOracle Internet Directoryへの移行

- オペレーティング・システムのファイルからOracle Internet Directoryへの移行

- 別のLDAPディレクトリからOracle Internet Directoryへの移行

4.1.1 NISからOracle Internet Directoryへの移行

次のようにエントリを移行します。

4.1.1.1 AIX 5.3

クライアント構成スクリプトの実行前にすべてのエントリをLDAPに移行していない場合は、「クライアントでのOracle Authentication Services for Operating Systemsの構成」の「AIX 5.3」の項に示されている手順を実行します。

4.1.1.2 その他のプラットフォーム

NISからOracle Internet Directoryにエントリを移行する手順は、次のとおりです。

1. NISマスター・ファイルに対して、「NIS移行ツールの入手」に示されているLDAP移行スクリプトを実行します。これにより、エントリを含むLDIFファイルが生成されます。

2. 様々なクライアントおよびsystem-config-usersツールとの互換性のために、次の例に示す必須属性がすべてエントリに含まれていることを確認します（passwordはユーザーのパスワードに置き換えてください）。

dn: uid=jueno,ou=People,dc=us,dc=example,dc=com
uid: jueno
homedirectory: /home/jueno
loginshell: /bin/tcsh
uidnumber: 506
gidnumber: 506
cn: juri ueno
objectclass: posixAccount
objectclass: shadowAccount
objectclass: account
objectclass: top
userpassword: password
shadowwarning: -1
shadowmax: 99999
shadowlastchange: 13916
shadowexpire: -1
shadowmin: 0
shadowinactive: -1
gecos: jueno

通常、HP-UXサーバーから移行されたユーザー・エントリには、shadowAccountオブジェクト・クラスおよび属性が欠落しています。

3. Oracle Internet Directoryに同梱されているldapaddクライアント・ツールを使用して、LDIFエントリをOracle Internet Directoryにロードします。次の書式のコマンドラインを使用します。

ldapadd -p port -h host -D binddn -q -v -f ldif_file

注意:

- インストール時に作成されたものと同じネーミング・コンテキストを使用する場合は、これらのスクリプトによって、DIT（ディレクトリ情報ツリー）のすでに存在する部分が生成されます。これによって、既存のエントリを追加することになるため、ldapaddは失敗します。-cオプションを指定すると、これらの失敗を回避して、このようなエラーの発生時に処理を続行できます。

- これらの追加を実行する際に適切な権限があるように、使用するbinddnはディレクトリ管理者のDNにする必要があります。

4.1.2 オペレーティング・システムのファイルからOracle Internet Directoryへの移行

オペレーティング・システムのファイルからの移行は、各マシン上の構成ファイルのバージョンが異なるという点を除けば、基本的にNISからの移行と同じです。複数のバージョンがある場合は、各バージョンに対して移行スクリプトを実行し、LDIFファイルを結合します。競合は、テキスト・エディタを使用して手動で解決する必要があります。各ユーザーのユーザー名およびUIDが一意であり、各グループのグループ名およびGIDも一意であることが必要です。

4.1.3 別のLDAPディレクトリからOracle Internet Directoryへの移行

サード・パーティのLDAP準拠ディレクトリからOracle Internet Directoryにエントリを移行できます。

注意:
この項では、LDAP準拠のソース・ディレクトリからOracle Internet Directoryに、データを一度に移行する方法を説明します。Oracle Directory Integration Platformを使用してソース・ディレクトリとOracle Internet Directory間の継続中の同期化を設定する場合は、Oracle Fusion Middleware Oracle Directory Integration Platform管理者ガイドを参照してください。

サード・パーティのソース・ディレクトリからOracle Internet Directoryへのエントリの移行は、スキーマの移行とデータの移行という2つのフェーズで行われます。

4.1.3.1 スキーマの移行

スキーマを移行する手順は、次のとおりです。

1. schemasyncツールを実行して、ディレクトリ間のスキーマの差異を分析します。構文は次のとおりです。

$ORACLE_HOME/bin/schemasync -srchost srchost -srcport srcport -srcdn binddn \
-srcpwd bindpwd -dsthost oidhost -dstport oidport \
-dstdn oiddn -dstpwd oidpwd

srchostおよびsrcportはソース・ディレクトリの接続の詳細で、srcdnおよびsrcpwdはソース・ディレクトリに接続するための資格証明です。

関連項目:
Oracle Fusion Middleware Oracle Identity Managementリファレンスの「Oracle Directory Integration Platformのツール」の章にあるschemasyncのコマンド・リファレンス。

コマンドによって、ソース・ディレクトリとOracle Internet Directoryのスキーマの差異を示す次の4つの出力ファイルが生成されます。

- $ORACLE_HOME/ldap/odi/log/attributetypes.log: ソース・ディレクトリとOracle Internet Directoryの共通属性のスキーマ定義の差異。

- $ORACLE_HOME/ldap/odi/log/objectclasss.log: ソース・ディレクトリとOracle Internet Directoryの共通オブジェクト・クラスのスキーマ定義の差異

- $ORACLE_HOME/ldap/odi/data/attributetypes.ldif: Oracle Internet Directoryにはなくソース・ディレクトリのみで使用可能な属性。

- $ORACLE_HOME/ldap/odi/data/objectclasses.ldif: Oracle Internet Directoryにはなくソース・ディレクトリのみで使用可能なオブジェクト・クラス。

2. 必要に応じて、Oracle Internet Directoryでスキーマ要素を拡張します。

1. 手順1で行った分析に基づいて、Oracle Internet Directoryにロードする必要がある新規のスキーマ要素を特定します。（手順1の）ファイルattributetypes.ldifおよびobjectclasses.ldifを、ロードする必要がある属性およびオブジェクト・クラスのみを含むように変更します。変更したファイルにmodified_attributetypes.ldifおよびmodified_objectclasses.ldifという名前を付けます。
たとえば、サード・パーティのディレクトリにあるユーザー・エントリのオブジェクトクラスがinetorgperson、organizationalperson、person、srcuserで、Oracle Internet Directoryにあるユーザー・エントリのオブジェクトクラスがinetorgperson、organizationalperson、person、orcluserであるとします。手順1では、inetorgperson、organizationalpersonおよびpersonのオブジェクトクラス定義がOracle Internet Directoryとサード・パーティのディレクトリの間で異なる場合、その差異がobjectclasses.logファイルに書き込まれます。このファイルを参照して、Oracle Internet Directoryのオブジェクトクラス定義に必要な変更を行うことを決定します。srcuserは、サード・パーティのディレクトリ固有のオブジェクトクラスであるため、オブジェクトクラス定義がobjectclasses.ldifファイルに含められます。objectclass.ldifファイルを、このオブジェクトクラス定義を含むように変更し、ファイル名をmodified_objectclasses.ldifに変更します。attributes.ldifファイルを、objectclasses.ldif内のオブジェクトクラスに必要な属性の定義を含むように変更します。

2. 次のように、ldapmodifyコマンドを使用して必要なスキーマをアップロードします。

ldapmodify -h oidhost -p oidport -D 'cn=orcladmin' -q \
-f modified_attributetypes.ldif
ldapmodify -h oidhost -p oidport -D 'cn=orcladmin' -q \
-f modified_objectclasses.ldif

4.1.3.2 データの移行

データの移行は、含めるエントリと除外するエントリがあるため、さらに複雑になります。含めるエントリの中でも、特定の属性のみを含める場合もあります。通常、ユーザーおよびグループは移行されます。アクセス制御定義を表す属性、パスワード・ポリシー関連の属性、およびその他の操作属性（createtimestamp、modifytimestamp、creatorsname、modifiersname、entrydn、numsubordinates、parentid、entryid、nsuniqueidなど）は除外されます。userpasswordは、移行する属性として含めることができます。ただし、両方のディレクトリで同じ種類の暗号化またはハッシングの技術がサポートされている場合に限られます。

ソース・ディレクトリからのエクスポート中に（手順1）、または個別の手順として（手順2）データをフィルタ処理することで、移行するデータのみを取得できます。

1. システム上で適切なLDAPツールを使用して、ソース・ディレクトリのデータをLDIFファイル形式でエクスポートし、分析します。使用するコマンドは、使用しているディレクトリ・サーバーのドキュメントを参照してください。エクスポート操作の際にフィルタ処理を行って必要な属性のみを持つ必要なLDAPエントリのみをエクスポートする場合は、手順3に進みます。そうでない場合は、手順2でフィルタ処理を行います。

2. 移行しないエントリおよび属性を手順1でフィルタ処理して除外しなかった場合は、この手順でsyncProfileBootstrapを使用して削除します。
syncProfileBootstrapツールでは、構成に基づいてエントリがフィルタ処理されます。また、属性のマッピングおよび変換もサポートされます。フィルタ処理、マッピングおよび変換の構成は、マップファイル内に指定します。サンプル・マップファイルは、付録Cを参照してください。

1. ソース・ディレクトリからユーザーおよびグループ以外のエントリを移行する場合は、それに応じてマップファイルを更新します。

2. サンプル・ファイル$ORACLE_HOME/ldap/odi/samples/migrate.propertiesのコピーを作成して、migrate.propertiesという名前を付けます。

関連項目:
プロパティ・ファイルで使用されるパラメータの詳細は、Oracle Fusion Middleware Oracle Directory Integration Platform管理者ガイドの「Oracle Directory Integration Platformのツール」の章にあるsyncProfileBootstrapのコマンド・リファレンスを参照してください。

3. プロパティ・ファイルでは、移行するエントリが含まれているLDIFファイルの名前をソース・ファイルとして指定し、syncProfileBootstrapによって生成されるファイルの名前を出力先のファイル名として指定する必要があります。含めるコンテナ、除外するコンテナ、含める属性および除外する属性は、プロパティ・ファイルのマップファイル・パラメータで指定します。注意: このマップファイルは移行目的でのみ使用できます。同期化に対してはサポートされていません。サンプル・プロパティ・ファイルは、付録Bを参照してください。

4. 次のコマンドを実行して、Oracle Internet Directoryに必要な形式の新規LDIFファイルを生成します。

syncProfileBootstrap -file testmigrate.properties

3. オプションで、Oracle Internet Directoryプラグインを使用してエントリを拡張できます。「Linux認証用にActive Directoryエントリを拡張するためのプラグインの設定」を参照してください。この方法は、iPlanet（Sun Java System Directory Server）5.2およびActive Directoryに有効であることが認められています。

4. 手順1または手順2でフィルタ処理されたLDIFファイルを取得し、$ORACLE_HOME/bin/ldapaddまたは$ORACLE_HOME/ldap/bin/bulkloadを使用してOracle Internet Directoryにデータを追加します。数千以上のエントリがある場合は、ldapaddではなくbulkloadを使用してください。

1. ldapaddの構文は次のとおりです。

ldapadd -h oidhost -p oidport -d oiddn -q -f ldif_file

ldapaddを使用した場合は、データが正常に追加された後に、$ORACLE_HOME/ldap/admin/oidstats.sqlを使用してOracle Internet Directoryのデータベース統計を更新します。ODSデータベース・ユーザーとしてOracle Internet Directoryデータベースにログインし、次のSQLスクリプトを実行します。

関連項目:
Oracle Fusion Middleware Oracle Identity Managementリファレンスの「Oracle Internet Directory Databaseのツール」の章にあるoidstats.sqlのコマンド・リファレンス。

2. bulkloadを使用する場合は、手順5に進みます。

5. LDIFデータをOracle Internet Directoryにバルク・ロードします。次の手順に含まれるファイル/home/jdoe/migrationdata.ldifは、フィルタ処理されたLDIFファイルです。

1. 次のコマンドを実行して、Oracle Internet Directoryのすべてのプロセスを停止します。

$ORACLE_HOME/opmn/bin/opmnctl stopproc ias-component=OID

2. まだ行っていない場合はデータベースのコールド・バックアップを行います。

3. bulkloadを使用して、スキーマ・エラー、重複エントリおよびその他のエラーをチェックし、後続のデータ・ロードのための中間ファイルを生成します。構文は次のとおりです。

$ORACLE_HOME/ldap/bin/bulkload connect=oid-db check=true generate=true file=/home/jdoe/migrationdata.ldif

checkおよびgenerateの両オプションを指定すると、bulkloadによってエントリのスキーマ・コンプライアンスおよび重複がチェックされ、ロード・フェーズで使用される中間ファイルが$ORACLE_HOME/ldap/loadディレクトリ内に生成されます。

check関連のエラーがある場合は、bulkloadによって画面上に報告されます。このツールによってエントリが$ORACLE_HOME/ldap/log/duplicateDN.logに記録され、スキーマ関連の違反が$ORACLE_HOME/ldap/log/bulkload.logに記録されます。エラーのあるエントリは$ORACLE_HOME/ldap/load/badentry.ldifに書き込まれます。

bulkloadによってエントリ内でエラーが検出された場合は、Oracle Internet Directoryでエントリまたはスキーマ、あるいはその両方を修正する必要があります。問題を修正した後、bulkloadコマンドを再実行します。この手順を、エラーがなくなるまで、あるいは報告されるエラーが許容範囲内になるまで繰り返します。たとえば、少ない数のエントリについてなんらかのスキーマ・チェック・エラーが発生した場合は、ldapaddを実行してこれらのエントリをbadentry.ldifから追加し、後でOracle Internet Directoryでエントリまたはスキーマを修正することもできます。

checkオプションおよびgenerateオプションを使用すると、bulkloadによって、check関連のエラーが検出されなかったエントリの中間ファイルが生成されます。generateは、エラーのあるエントリが存在する場合にも実行されます。たとえば、LDIFファイルに100のエントリがあり、10のエントリにcheckエラーがあった場合、bulkloadでは、問題のない90のエントリの中間ファイルが生成されます。

4. bulkloadを使用してデータをロードし、すべての索引を再作成してデータベース統計を生成します。次のコマンドを実行します。

$ORACLE_HOME/ldap/bin/bulkload connect=oid-db load=true file=/home/jdoe/migrationdata.ldif

このコマンドによって3つの処理が行われます。つまり、SQL*Loaderを使用して$ORACLE_HOME/ldap/loadディレクトリからデータベースにデータがロードされ、索引が作成され、データベース統計が生成されます。

エラーが検出されると、bulkloadによって画面にエラーが表示されます。データのロード中にエラーが報告された場合は、手順bで作成したバックアップからデータベースをリストアし、bulkload load=trueコマンドを繰り返す必要があります。bulkloadで索引の作成中にエラーが報告された場合は、次のコマンドを使用してすべての索引を再作成します。

bulkload connect=oid-db index=true

bulkloadでデータベース統計の生成中にエラーが報告された場合は、次のコマンドを使用して統計を生成できます。

$ORACLE_HOME/ldap/admin/oidstats.sql

5. 次のコマンドを実行して、Oracle Internet Directoryのすべてのプロセスを開始します。

$ORACLE_HOME/opmn/bin/opmnctl startproc ias-component=OID

4.2 ユーザー・エントリ属性へのアクセス制御の設定

機密ユーザー属性を不正な変更から保護するには、アクセス制御項目を設定します。次のように入力します。

ldapmodify -h oidhost -p oidport -D 'cn=orcladmin' -q -f aci.ldif

aci.ldifは次のようになります。

dn:
changetype: modify
add: orclaci
orclaci: access to attr=(uidnumber,gidnumber,homedirectory,uid)
by group="cn=OracleUserSecurityAdmins,cn=Groups,cn=OracleContext"
(search,read,write,compare) by group="cn=directoryadmingroup,cn=oracle internet
directory" (search,read,write,compare) by * (search,compare,nowrite,nocompare)

4.3 Oracle Internet Directoryでのカスタム属性の使用

Oracle Internet Directoryで属性を検索できるのは、属性が索引付けされている場合のみです。デフォルトでは、ユーザーおよびグループのエントリの標準属性が索引付けされています。カスタム属性を使用する場合は、catalogコマンドを使用して索引付けできます。たとえば、amdやautofsなどの自動マウント・プログラムで使用される自動マウント・データを移行する場合は、次のようにcatalogコマンドを使用してautomountKey属性に索引を付けます。

catalog connect="connect_str" add="TRUE" attribute="automountKey"

注意:
必須属性として指定されている索引付けされていない属性の検索を実行しようとすると、「この機能は組み込まれていません ディレクトリ・サービス・エージェントが実行不可の状態です。」というエラーがサーバーによって戻されます。「新規カスタム属性の作成および索引付け（オプション）」を参照してください。

uidなどの一部の属性およびユーザー名は一意である必要があります。その属性に対して一意性制約を作成すると、Oracle Internet Directoryによって一意性が強制されます。詳細は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の「ディレクトリの属性一意性」の章を参照してください。

注意:
属性一意性の機能は、索引付けされた属性に対してのみ使用できます。

4.4 SUDOの移行

次のサイトからダウンロードしたsudoパッケージを使用して、/etc/sudoersからOracle Internet Directoryにエントリを移行できます。

http://www.gratisoft.us/sudo

このsudoパッケージには、sudoソフトウェアおよびsudoデータをLDAPデータ（LDIF）に変換するためのスクリプトが含まれています。移行プロセスを開始する前に、パッケージに含まれるドキュメントを参照してください。

注意:
sudoを移行した後、sudoポリシーが正しく強制されていることを確認するために、セキュリティ・テストを実行してください。

4.4.1 サーバー上のOracle Internet DirectoryへのSUDOエントリの移行

sudoersファイルの内容をOracle Internet Directoryに移行するには、次のステップを実行します。

1. 次のコマンドを使用して、SudoersコンテナをOracle Internet Directoryに追加します。

ldapadd -h oid_hostname -p port -D cn=orcladmin \
-q -f sudocontainer.ldif

sudocontainer.ldifは次のようになります。

dn:ou=Sudoers,dc=us,dc=example,dc=com
objectclass:top
objectclass:organizationUnit
ou=sudoers

2. 既存のsudoクライアントの/etc/sudoersファイルを使用し、ダウンロードしたsudoパッケージに含まれている変換スクリプトを実行してLDIFファイルを生成します。ダウンロード・サイトに記載されている手順に従ってください。既知の制限事項については、sudoパッケージのドキュメントを参照してください。

3. 生成されたLDIFファイルをテキスト・エディタで表示し、明らかなエラーを修正します。

4. 次のコマンドを使用して、ldifファイルの内容をOracle Internet Directoryに追加します。

ldapadd -h oid_hostname -p port -D cn=orcladmin \
-q -f sudoers.ldif

sudoers.ldifは、/etc/sudoersファイルから生成されたファイルです。

ldapaddでエラーが発生した場合は、コマンドが停止してエラーが報告されます。コマンドが正常に実行されてすべてのエントリが追加されるまで、エラーを修正してコマンドを繰り返します。

sudoエントリをOracle Internet Directoryに移行したら、LDAPツールを使用してこれらのエントリを変更します。sudoエントリの編集に使用できるLDAPブラウザの詳細は、ダウンロードしたsudoパッケージのドキュメントを参照してください。

4.4.2 SUDO情報にLDAPを使用するためのクライアントの構成

ほとんどのクライアント・オペレーティング・システムでは、オペレーティング・システムに固有のLDAPおよびSSLライブラリを使用してsudoを構成できます。一部のオペレーティング・システムでは、OpenLDAPおよびOpenSSLを使用する必要があります。

sudoを構成する際には、make installの段階で/etc/ldap.confの新規コピーがインストールされます。すでにldap.confファイルが存在する場合は、sudoを構成する前にコピーを作成する必要があります。これを怠るとファイルが上書きされます。make installを実行した後、ファイルをコピーして/etc/ldap.confに戻します。

4.4.2.1 SuSE 10クライアント

1. OpenLDAPパッケージとOpenSSLパッケージのダウンロード、ビルドおよびインストールを実行します。

2. ファイル/etc/ldap.confがすでに存在する場合は、コピーを作成します。次に例を示します。

cp /etc/ldap.conf /etc/ldap.conf.save

3. sudoパッケージをダウンロードしたディレクトリで、次のコマンドを入力してsudoをビルドします。

./configure --with-ldap-type=openldap --with-pam --enable-ssl
make all
make compile
make install

4. ldap.confファイルのコピーを作成した場合は、それをコピーして元の名前に戻します。例:

cp /etc/ldap.conf.save /etc/ldap.conf

5. libpam.soリンクが存在しない場合は、次のように入力して作成します。

cd /usr/lib
ln -s libpam.so.0 libpam.so

6. /etc/pam.d/sudoを編集します。最初のauth行の上に、次の行を追加します。

auth     sufficient     /lib/security/pam_ldap.so debug

7. /etc/ldap.confを、sudoers_baseがベースsudoersコンテナを指定するように変更します。例:

sudoers_base  ou=Sudoers,dc=us,dc=example,dc=com

sudoに対してsslを構成する場合は、ldap.confでstartTLSを指定する必要があります。これは、現行のsudo実装ではSSLのみがサポートされないためです。例:

ssl startTLS

4.4.2.2 Solaris 9、Solaris 10、HP-UX 11.23またはAIX 5.3クライアント

これらのオペレーティング・システムの固有のLDAPクライアントでは、StartTLSはサポートされません。sudoをSSLと併用する場合は、OpenLDAPパッケージとOpenSSLパッケージのダウンロード、ビルドおよびインストールを実行し、「SuSE 10クライアント」の説明に従ってsudoをビルドします。これらの手順を完了したら、/etc/ldap.confに次の行を追加し、ターゲットLDAPのホストとポート、SSL認証局証明書パスおよび証明書ファイル名を指定します。

host ldap_host
port ldap_port
tls_cacertdir  /etc/ca_certs_dir
tls_cacertfile  /etc/ca_cert_file

非SSLモードでのみsudoを使用する場合は、「その他のクライアント」の説明に従って、固有のLDAPクライアント・ライブラリを使用してsudoをビルドします。

4.4.2.3 AIX 5.3クライアント

AIX 5.3で、LDAPを有効にしてsudoをビルドするには、次の手順を実行します。base_dirは、openssl、openldapおよびsudoのインストール先のディレクトリです。

1. 環境変数を設定します。

export CFLAGS="-I$base_dir/include -I/usr/include" \
export CPPFLAGS="-I$base_dir/include -I/usr/include" \
export LDFLAGS="-L$base_dir/lib -L/usr/lib"
export CC=/usr/local/bin/gcc

2. opensslをビルドします。

cd $build_dir/openssl-0.9.8g
./Configure aix-cc shared threads -D_REENTRANT --prefix=$base_dir
make
make install

3. openldapをビルドします。

cd $build_dir/openldap-2.3.39
./configure \
--prefix=$base_dir \
--enable-slapd=no \
--enable-bdb=no \
--enable-static=no \
--enable-shared=yes

4. 次のようにTLS_LIBSパラメータを追加して、Makefileを編集します。

TLS_LIBS = -lssl -lcrypto -lldap

5. makeを実行します。

make depend MKDEP=$PWD/build/mkdep.aix
make

makeの実行時にエラーが発生する場合は、Makefile内の次のパラメータを更新してから再試行します。

LUTIL_LIBS=$(LDAP_LIBDIR)/libldap/.libs/libldap.a

6. 正常に完了したら、次のように入力します。

make install

7. sudoをビルドします。

cd $build_dir/sudo1.6.9p15
./configure [--with-pam | --with-aixauth] --with-ldap=$base_dir/lib --with-prefix=$base_dir
make
make install

リンクのエラーが発生した場合は、Makefile内のリンク行にないオブジェクトを特定し、それらのオブジェクトを追加してから再試行します。

4.4.2.4 その他のクライアント

1. 使用するsudoバイナリが--with-ldapオプションを使用してビルドされなかった場合は、ダウンロードしたsudoパッケージに含まれるドキュメントの説明に従って、--with-ldapオプションを使用してsudoコマンドを再ビルドします。sudoを再ビルドする前に、/etc/ldap.confのコピーを別の名前で保存します。使用する必要があるその他のオプションの詳細は、ドキュメントおよびREADMEファイルを参照してください。たとえば、標準以外のものを使用する場合には、ライブラリおよびヘッダーの場所または異なる構成ファイルを指定する必要が生じます。また、OpenLDAPではなくSDKを使用する場合には、SUDO_LIBSに-lldifフラグを追加して、Makefileを変更する必要があります。sudoを再ビルドしたら、保存しておいたldap.confファイルをコピーして元の名前に戻します。

2. sudoers_baseがサーバーのステップ1で作成したベースsudoersコンテナを指定するように、/etc/ldap.confを変更します。例:

sudoers_base  ou=Sudoers,dc=us,dc=example,dc=com

sudoに対してSSLを構成する場合は、ldap.confでstartTLSを指定する必要があります。これは、現行のsudo実装ではSSLのみがサポートされないためです。例:

ssl startTLS

オプションで、/etc/ldap.confに次の行を追加してsudoのデバッグを有効にします。

Sudoers_debug 2

3. sudoersのデフォルトにignore_local_sudoersサブオプションを追加することにより、sudoが/etc/sudoersファイルを使用しないようにします。これを行うには、次のコマンドを実行します。

ldapmodify -h oid_hostname -p port -D cn=orcladmin \
-q -f ignore_local_sudoers.ldif

ignore_local_sudoers.ldifは次のようになります。

dn:cn=defaults, ou=Sudoers, dc=us, dc=example, dc=com
changetype:modify
add: sudooption
sudooption: ignore_local_sudoers

4.4.3 /etc/sudoersを使用するためのクライアントの再構成

sudoに対してLDAPを使用するようにクライアント・コンピュータを構成した場合、再構成するとsudoersファイルを再び使用できます。これには、/etc/ldap.confのsudoers_baseで始まる行をコメント・アウトします。

4.5 SUDO属性へのアクセス制御の設定

機密sudo属性を不正な変更から保護するには、アクセス制御項目を設定します。次のように入力します。

ldapmodify -h oidhost -p oidport -D 'cn=orcladmin' -q -f aci.ldif

aci.ldifは次のようになります。

dn:
changetype: modify
add: orclaci
orclaci: access to
attr=(sudoUser,sudoHost,sudoCommand,sudoRunAs,sudoOption,sudoRole)
by group="cn=OracleUserSecurityAdmins,cn=Groups,cn=OracleContext"
(search,read,write,compare) by group="cn=directoryadmingroup,cn=oracle
internet directory" (search,read,write,compare) by * (none)

5 Active Directoryの統合の構成

Active Directoryにユーザーが存在し、Active Directoryに格納されている資格証明をLinuxまたはUNIXの認証に使用する場合は、Active Directoryとの統合を構成できます。Active Directoryとの統合の設定では、いくつかの手順を行う必要があります。

- ユーザーおよびグループのエントリがActive Directoryで追加または変更された場合には、Oracle Directory Integration Platformを使用して、これらのエントリをOracle Internet Directoryと同期化します。

- Oracle Internet DirectoryのユーザーおよびグループのエントリをActive Directoryと同期化した後、Oracle Internet Directoryプラグインを使用して、Oracle Internet Directoryのこれらのエントリに必須属性を追加します。

- 別のOracle Internet Directoryプラグインを使用して、LinuxまたはUNIXのユーザーのActive Directory認証を有効化します。

- 通信を保護するために、Oracle Directory Integration PlatformとActive Directory、およびDirectory Integration PlatformとOracle Internet Directoryの間のSSLを構成します。

注意:
Active DirectoryのユーザーをOracle Internet Directoryで同期化した後、パスワードの変更はActive Directoryを介してのみ行えます。Oracle Internet Directoryエントリではなく、Active Directoryユーザー・エントリでパスワードを変更する必要があります。Oracle Internet Directoryでパスワードを変更した場合、またはpasswdコマンドを使用して変更した場合、変更は成功したように見えてもActive Directoryエントリに伝播されません。Active Directoryユーザー・エントリのパスワードが有効なままになります。

この章の内容は次のとおりです。

- Linux認証用にActive Directoryエントリを拡張するためのプラグインの設定

- Oracle Directory Integration Platformの構成

- 外部認証プラグインの構成

5.1 Linux認証用にActive Directoryエントリを拡張するためのプラグインの設定

Active Directoryのユーザー・エントリには、Linux認証に必要な鍵情報が含まれません。そのため、Oracle Directory Integration PlatformのActive Directoryコネクタを使用してActive DirectoryのユーザーをOracle Internet Directoryで同期化する際には、必要な情報を使用してこれらのユーザー・エントリを拡張する必要があります。これを簡単に行えるように、製品にはOracle Internet Directoryで有効化できるPL/SQLプラグインが含まれています。

次のように、プラグインを有効化します。

1. テキスト・エディタを使用して、$ORACLE_HOME/ldap/admin/posixattr_when_add.plsを次のように変更します。

- 71行目のv_homeDirectoryの値を目的のホーム・ディレクトリに置き換えます。

- 72行目のv_loginShellの値を目的のログイン・シェルに置き換えます。

- 73行目のv_gidNumberの値をユーザーのGID番号に置き換えます。

2. 次のように入力して、プラグイン・パッケージをデータベースにロードします。

sqlplus ods/odspwd@$ORACLE_HOME/ldap/admin/posixattr_when_add.pls

odspwdはODSユーザーのパスワードです。

3. テキスト・エディタを使用して、$ORACLE_HOME/ldap/admin/posixattr_when_add.ldifを次のように変更します。orclpluginsubscriberdnlistの値をレルムのDNに置き換えます。

4. 次のコマンドを実行して、Oracle Internet Directoryにプラグインを追加します。

ldapadd  -h host -p port -D cn=orcladmin -q \
-f $ORACLE_HOME/ldap/admin/posixattr_when_add.ldif

5.2 Oracle Directory Integration Platformの構成

Oracle Directory Integration Platformの説明は、Oracle Fusion Middleware Oracle Directory Integration Platform管理者ガイドに記載されています。次に示す手順は、このドキュメントを部分的に参照しています。

Active DirectoryをOracle Authentication Services for Operating Systemsと統合するためにOracle Directory Integration Platformを有効にするには、次のステップを実行します。

1. Oracle Fusion Middleware Oracle Directory Integration Platform管理者ガイドの第18章「サード・パーティ・ディレクトリとの同期の構成」の同期要件の確認に関する項の説明に従って、同期化の要件を確認します。

2. Oracle Fusion Middleware Oracle Directory Integration Platform管理者ガイドの「Express構成との同期プロファイルの作成」、expressSyncSetupを使用したインポートおよびエクスポート同期プロファイルの作成に関する項の説明に従って、expressSyncSetupを実行して同期プロファイルを作成します。

3. Express構成で作成されたプロファイルを編集します。マッピング・ルールの説明は、Oracle Fusion Middleware Oracle Directory Integration Platform管理者ガイドの第6章「マッピング・ルールの構成」を参照してください。
次の変更を行います。

1. ドメイン・ルールを、Oracle Internet DirectoryのレルムDN: ou=People,<realm DN>の下のou=Peopleを指定するように変更します。

2. DNマッピング・ルールとしてuid=%,ou=People,<realm DN>を指定します。

3. 次の行をコメント・アウトします。

userPrincipalName: : :user:uid: :inetorgperson:userPrincipalName

4. 次の行をコメント解除します。

#sAMAccountName: : :user:uid: :inetorgperson

サンプルの同期プロファイルは、付録Dを参照してください。太字で示しているのがカスタマイズ箇所です。

4. Oracle Fusion Middleware Oracle Directory Integration Platform管理者ガイドの第18章「サード・パーティ・ディレクトリとの同期の構成」、Express構成による同期プロファイルの作成に関する項の手順2から5までを実行します。

5.3 外部認証プラグインの構成

ADから同期化したユーザーを認証するための外部認証プラグインを構成する必要があります。この手順は、Oracle Fusion Middleware Oracle Directory Integration Platform管理者ガイドの外部認証プラグインの構成に関する項に記載されています。

6 Oracle Authentication Services for Operating Systemsの管理

この章の内容は次のとおりです。

- ホーム・ディレクトリの作成

- プラットフォーム固有のツールを使用したユーザーおよびグループの管理

- Oracle Directory Services Managerおよびコマンドライン・ユーティリティを使用したOracle Internet Directoryの管理

- パスワード・ポリシーの管理

6.1 ホーム・ディレクトリの作成

Linuxシステムでは、ユーザーをOracle Internet Directoryに移行または追加する際に、各ユーザーのホーム・ディレクトリを作成する必要はありません。各クライアント・コンピュータ上で実行したクライアント構成スクリプトによって、最初のログイン時に、各ユーザーのホーム・ディレクトリの作成が有効化されています。ただし、Linux以外のオペレーティング・システムでは、ユーザーのホーム・ディレクトリを手動で作成する必要があります。

6.2 プラットフォーム固有のツールを使用したユーザーおよびグループの管理

Oracle Authentication Services for Operating Systemsの構成後、Oracle Internet DirectoryツールのODSM、LDAPコマンドおよびバルク・ツール以外にも、プラットフォーム固有のツールを使用してユーザーおよびグループを管理できます。

6.2.1 libuserツール

クライアントにlibuserライブラリが存在し、Oracle Internet Directoryを使用するようにそのライブラリを構成した場合、system-config-usersまたはluseraddを使用してユーザーを追加できます。libuserコマンドの1つを起動すると、Oracle Internet Directoryにログインするためのパスワードを入力するよう求められます。system-config-usersの詳細は、オペレーティング・システムのドキュメントを参照してください。

注意:

- system-config-usersまたはlibuserパッケージ内のその他のツールを使用して、パスワードまたはパスワードを含むエントリを追加した場合、Oracle Internet Directoryはそれらのパスワードに対するパスワード・ポリシーを強制できません。これは、パスワードがOracle Internet Directoryに送信される前に、libuserツールによってハッシュ・パスワードが生成されるため、パスワードがポリシー基準を満たしているかどうかをOracle Internet Directoryが判断できないためです。

- system-config-usersツールでは、クライアントおよびサーバーをSSL用に構成する必要があります。

- system-config-usersを使用する前に、「NISからOracle Internet Directoryへの移行」に示されているすべての必須属性がユーザー・エントリに含まれていることを確認してください。このツールでは、欠落しているフィールドがあれば、エラーが報告されることがあります。

- ユーザーまたはグループの管理タスクにlibuser以外のコマンド（useradd、userdel、groupaddまたはgroupdel）を使用することはできません。

6.2.2 AIX固有のツール

AIXでは、Oracle Authentication Services for Operating Systemsを構成した後、次のツールを使用してユーザーを管理できます。

表6-1 AIXのユーザーおよびグループの管理ツール

操作

コマンド

ユーザーの追加

mkuser -R LDAP

グループの追加

mkgroup -R LDAP

ユーザーの削除

rmuser -R LDAP

グループの削除

rmgroup -R LDAP

パスワードの変更

passwd -R LDAP

ユーザーのリスト表示

luser -R LDAP

6.3 Oracle Directory Services Managerおよびコマンドライン・ユーティリティを使用したOracle Internet Directoryの管理

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』には、Oracle Internet Directoryの管理に関する情報が記載されています。Oracle Directory Services Managerの詳細は、「ディレクトリ管理および監視のツール」の章を参照してください。Oracle Internet Directoryの起動および停止の詳細は、「プロセス管理」の章を参照してください。バルク・ツールの詳細は、「バルク・ツールの使用方法」の章を参照してください。

Oracle Fusion Middleware Oracle Identity Managementリファレンスには、バルク・ツールおよびLDAPツールを含むOracle Internet Directoryコマンドライン・ツールの構文が記載されています。

ユーザーおよびグループの変更または削除の詳細は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』を参照してください。

6.3.1 ユーザーの追加を確認するテスト

次のコマンドを使用して、ユーザーが追加されているかどうかをテストできます。

ldapsearch -D cn=orcladmin -q -b 'searchbase' -s -sub '(uid=username)'

searchbaseは、dc=us,dc=example,dc=comなどのレルムです。そのユーザーとしてログインすると、アカウントもテストできます。たとえば、sshを使用して1つのクライアントから別のクライアントにログインできます。例:

ssh -l username hostname

ログインしたら、次のように入力します。

id

これで、正しいユーザーとしてログインしたことを確認できます。

6.3.2 ldapmodifyを使用したユーザーのパスワードの変更

ユーザーのパスワードを変更するには、次のコマンドを使用します。

ldapmodify -p port -h host -D binddn -q -v -f passwd_file

passwd_fileは次のようになります。

dn: userDN
changetype: modify
replace: userpassword
userpassword: new_password

注意:

- passwd_fileを使用した後は、これを削除するかクリアテキスト・パスワードを削除してください。

- ユーザーは、passwdコマンドを使用して各自のパスワードを変更できます。

6.3.3 ldapaddを使用したユーザーの追加

コマンドラインからユーザーおよびグループを追加するには、次のようなコマンドラインを使用します。

ldapadd -p port -h host -D binddn -q -v -f ldif_file

ldif_fileには、追加するエントリの情報がLDIF形式で含まれます。

次のldif_fileの例では、juenoというユーザーを作成します。このユーザーは、レルムdc=us,dc=example,dc=comの下にあるユーザー・コンテナou=People,dc=us,dc=example,dc=comに作成されます。ユーザーを作成するには、属性uid、homedirectory、loginshell、uidnumber、gidnumber、cn、objectclassおよびuserpassword（クリアテキスト）を指定する必要があります。様々なクライアントおよびsystem-config-users管理ツールとの互換性のために、次の例に示されているすべてのオブジェクト・クラスを使用してください。

dn: uid=jueno,ou=People,dc=us,dc=example,dc=com
uid: jueno
homedirectory: /home/jueno
loginshell: /bin/tcsh
uidnumber: 506
gidnumber: 506
cn: juri ueno
objectclass: posixAccount
objectclass: shadowAccount
objectclass: account
objectclass: top
userpassword: password
shadowwarning: -1
shadowmax: 99999
shadowlastchange: 13916
shadowexpire: -1
shadowmin: 0
shadowinactive: -1
gecos: jueno

LDIFファイルを使用した後は、これを削除するかクリアテキスト・パスワードを削除してください。

6.3.4 ldapaddを使用したグループの追加

コマンドラインからグループを追加するには、次のようにユーザーを追加したときと同じコマンドラインを使用します。

ldapadd -p port -h host -D binddn -q -v -f ldif_file

次の例では、グループID 505を使用してkobukuroというグループを作成します。このグループは、レルムdc=us,dc=example,dc=com内のグループ・コンテナou=Group,dc=us,dc=example,dc=comの中に作成されます。また、memberuidおよび値を指定することで、メンバーjueroも追加します。LDIFファイルは次のようになります。

dn: cn=kobukuro,ou=Group,dc=us,dc=example,dc=com
cn: kobukuro
gidnumber: 505
objectclass: posixGroup
objectclass: groupOfUniqueNames
objectclass: top
memberuid: jueno

グループへのメンバーの同時追加はオプションです。

6.4 パスワード・ポリシーの管理

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の「パスワード・ポリシーの管理」の章を参照してください。

注意:

- system-config-usersまたはlibuserパッケージ内のその他のツールを使用して、パスワードまたはパスワードを含むエントリを追加した場合、Oracle Internet Directoryはそれらのパスワードに対するパスワード・ポリシーを強制できません。これは、パスワードがOracle Internet Directoryに送信される前に、libuserツールによってハッシュ・パスワードが生成されるため、パスワードがポリシー基準を満たしているかどうかをOracle Internet Directoryが判断できないためです。

- AIXの場合、passwdユーティリティによりパスワード・ポリシーのエラーは表示されず、次のように表示されます。

3004-604 Your entry does not match the old password.

7 ユーザー・ログインの制限

Oracle Authentication Services for Operating Systemsを使用して、各ホストにログインできるユーザーを制限できます。たとえば、次のようなルールを強制できます。

- user1はhostAのみにログインできます。

- user2はhostBのみにログインできます。

- user3はhostA、hostBおよびhostCにログインできます。

このようなルールを強制するには、Oracle Internet Directoryサーバーと、アクセスを制限するすべてのクライアント・ホストで、いくつかの構成タスクを実行する必要があります。Oracle Internet Directoryサーバーでの設定手順は、いずれのオペレーティング・システムでも同じです。クライアント・ホストでの設定手順はオペレーティング・システムごとに異なります。

この章の内容は次のとおりです。

- Oracle Internet Directoryサーバーの設定

- Solaris 9および10クライアントの設定

- Linuxクライアントの設定

- HP-UX 11.23クライアントの設定

7.1 Oracle Internet Directoryサーバーの設定

開始する前に、Oracle Internet Directoryが実行されていることと、Oracle Authentication Services for Operating Systemsが適切に機能していることを確認してください。この章の冒頭で示したルール例を構成するには、次の手順を実行します。

1. catalogコマンドを使用して、host属性が検索可能になるように索引を付けます。次のように入力します。

catalog connect=connect string add=true attribute=host

2. Oracle Internet Directoryサーバーを再起動します。

$ORACLE_HOME/opmn/bin/opmnctl restartproc ias-component=OID

3. user1のエントリを変更します。値がhostAのhost属性を追加します。

$ORACLE_HOME/bin/ldapmodify -D cn=orcladmin -q -h OID_host -p OID_port <<E
dn: uid=User1,ou=people,dc=us,dc=example,dc=com
changetype: modify
add: host
host: hostA
E

4. user2のエントリを変更します。値がhostBのhost属性を追加します。

$ORACLE_HOME/bin/ldapmodify -D cn=orcladmin -q -h OID_host -p OID_port <<E
dn: uid=user2,ou=people,dc=us,dc=example,dc=com
changetype: modify
add: host
host: hostB
E

5. user3のエントリを変更します。値がALLのhost属性を追加します。

$ORACLE_HOME/bin/ldapmodify -D cn=orcladmin -q -h OID_host -p OID_port <<E
dn: uid=user3,ou=people,dc=us,dc=example,dc=com
changetype: modify
add: host
host: ALL
E

7.2 Solaris 9および10クライアントの設定

Solaris 9および10クライアントで、この章の冒頭に示したルール例を構成するには、次の手順を実行します。

1. Solaris 9クライアントに、オペレーティング・システム・パッチ112960-61以上をインストールします。

2. Oracle Internet DirectoryとSolarisクライアントの間にSSL認証を構成し、認証が正しく機能していることを確認します。

3. 各クライアントで、sslConfig_OIDclient.shのバックアップ・コピーを作成します。

4. 各クライアントで、sslConfig_OIDclient.shをエディタで開いて次のセクションを見つけます。

/usr/sbin/ldapclient manual \
-a defaultServerList=${oidServerHost} \
-a defaultSearchBase=${realm} \
-a authenticationMethod=none \
-a credentialLevel=anonymous \
-a serviceAuthenticationMethod=pam_ldap:tls:simple \
-a serviceSearchDescriptor=passwd:ou=people,${realm}?one \
-a serviceAuthenticationMethod=passwd-cmd:tls:simple \
-a serviceSearchDescriptor=group:ou=group,${realm}?one

このようなldapclientコマンドの2つのインスタンス（一方はSolaris 10用でもう一方はSolaris 9用）を見つけます。使用しているオペレーティング・システム・バージョンに該当するインスタンスを見つけて、そのインスタンスを編集します。

5. hostAで、次の変更を行います。

/usr/sbin/ldapclient manual \
-a defaultServerList=${oidServerHost} \
-a defaultSearchBase=${realm} \
-a authenticationMethod=none \
-a credentialLevel=anonymous \
-a serviceAuthenticationMethod=pam_ldap:tls:simple \
-a  serviceSearchDescriptor=passwd:ou=people,${realm}?one?(|(host=hostA)(host=ALL))\
-a serviceAuthenticationMethod=passwd-cmd:tls:simple \
-a serviceSearchDescriptor=shadow:ou=people,${realm}?sub \
-a serviceSearchDescriptor=group:ou=group,${realm}?one

6. hostBで、次の変更を行います。

/usr/sbin/ldapclient manual \
-a defaultServerList=${oidServerHost} \
-a defaultSearchBase=${realm} \
-a authenticationMethod=none \
-a credentialLevel=anonymous \
-a serviceAuthenticationMethod=pam_ldap:tls:simple \
-a serviceSearchDescriptor=passwd:ou=people,${realm}?one?(|(host=hostB)(host=ALL)) \
-a serviceAuthenticationMethod=passwd-cmd:tls:simple \
-a serviceSearchDescriptor=shadow:ou=people,${realm}?sub \
-a serviceSearchDescriptor=group:ou=group,${realm}?one

7. hostCで、次の変更を行います。

/usr/sbin/ldapclient manual \
-a defaultServerList=${oidServerHost} \
-a defaultSearchBase=${realm} \
-a authenticationMethod=none \
-a credentialLevel=anonymous \
-a serviceAuthenticationMethod=pam_ldap:tls:simple \
-a serviceSearchDescriptor=passwd:ou=people,${realm}?one?(|(host=hostC)(host=ALL)) \
-a serviceAuthenticationMethod=passwd-cmd:tls:simple \
-a serviceSearchDescriptor=shadow:ou=people,${realm}?sub \
-a serviceSearchDescriptor=group:ou=group,${realm}?one

8. クライアントでrootとしてsslConfig_OIDclient.shを再実行します。

ldapclientコマンドにこれらの変更を行うと、host=ALLまたはホスト名と一致するhost属性値を持つユーザーに対して、オペレーティング・システム・ログインが制限されます。

7.3 Linuxクライアントの設定

これらの手順は、Red Hat Enterprise Linux 4.6および5.1、Oracle Enterprise Linux 5.0、SuSE Linux Enterprise 9および10ですでにテストされ、動作が保証されています。

この章の冒頭で示したルール例を構成するには、次の手順を実行します。

1. Oracle Internet DirectoryとLinuxクライアントの間にSSL認証を構成し、認証が正しく機能していることを確認します。

2. 各クライアントで、ファイル/etc/ldap.confのコピーを作成します。

3. 各クライアントで、/etc/ldap.confをエディタで開いて、ファイルの終わり付近にあるpam_filterエントリを見つけます。次のようなエントリです。

pam_filter objectclass=posixaccount

4. hostAで、このエントリを次のように変更します。

pam_filter &(objectclass=posixaccount)(|(host=ALL)(host=hostA))

5. hostBで、このエントリを次のように変更します。

pam_filter &(objectclass=posixaccount)(|(host=ALL)(host=hostB))

6. hostCで、このエントリを次のように変更します。

pam_filter &(objectclass=posixaccount)(|(host=ALL)(host=hostC))

上のようにpam_filterを変更すると、host=ALLまたはホスト値と一致するhost属性値を持つユーザーに対して、オペレーティング・システム・ログインが制限されます。

オプションで、pam_filterで指定したフィルタ条件内で追加の属性を使用することもできます。たとえば、ほとんどのオペレーティング・システム・ユーザー・エントリは、そのユーザーが属するオペレーティング・システムを示すgidnumber属性を持ちます。gidnumberをpam_filterに追加すると、オペレーティング・システム・アクセスを特定のグループに対して開放できます。たとえば、グループ507に属するユーザーに対してアクセスを開放するには、次のように指定します。

pam_filter &(objectclass=posixaccount)(|(host=ALL)(host=hostC)(gidnumber=507))

7.4 HP-UX 11.23クライアントの設定

この章の冒頭で示したルール例を構成するには、次の手順を実行します。

1. Oracle Internet DirectoryとHP-UXクライアントの間にSSL認証を構成し、認証が正しく機能していることを確認します。

2. エディタでsslConfig_OIDclient.shを開いて次のセクションを見つけます。

version: 1
dn: cn=ldapuxprofile,ou=ldapuxprofile,${realm}
defaultserverlist: ${oidServerHost}:636
authenticationmethod: tls:simple
serviceauthenticationmethod: pam_ldap:tls:simple
serviceauthenticationmethod: passwd-cmd:tls:simple
cn: ldapuxprofile
defaultsearchbase: ${realm}
credentiallevel: anonymous
servicesearchdescriptor: passwd:ou=people,${realm}?one
servicesearchdescriptor: group:ou=group,${realm}?one
objectclass: top
objectclass: duaconfigprofile

3. hostAで、次の変更を行います。ファイル内の行の順序は示されたとおりにしてください。

version: 1
dn: cn=ldapuxprofile,ou=ldapuxprofile,${realm}
defaultserverlist: ${oidServerHost}:636
authenticationmethod: tls:simple
serviceauthenticationmethod: pam_ldap:tls:simple
serviceauthenticationmethod: passwd-cmd:tls:simple
cn: ldapuxprofile
defaultsearchbase: ${realm}
credentiallevel: anonymous
servicesearchdescriptor:  passwd:ou=people,${realm}?one?(|(host=hostA)(host=ALL))
serviceSearchDescriptor: shadow:ou=people,${realm}?sub
servicesearchdescriptor: group:ou=group,${realm}?one
objectclass: top
objectclass: duaconfigprofile

4. hostBで、次の変更を行います。ファイル内の行の順序は示されたとおりにしてください。

version: 1
dn: cn=ldapuxprofile,ou=ldapuxprofile,${realm}
defaultserverlist: ${oidServerHost}:636
authenticationmethod: tls:simple
serviceauthenticationmethod: pam_ldap:tls:simple
serviceauthenticationmethod: passwd-cmd:tls:simple
cn: ldapuxprofile
defaultsearchbase: ${realm}
credentiallevel: anonymous
servicesearchdescriptor:
passwd:ou=people,${realm}?one?(|(host=hostB)(host=ALL))
serviceSearchDescriptor: shadow:ou=people,${realm}?sub
servicesearchdescriptor: group:ou=group,${realm}?one
objectclass: top
objectclass: duaconfigprofile

5. hostCで、次の変更を行います。ファイル内の行の順序は示されたとおりにしてください。

version: 1
dn: cn=ldapuxprofile,ou=ldapuxprofile,${realm}
defaultserverlist: ${oidServerHost}:636
authenticationmethod: tls:simple
serviceauthenticationmethod: pam_ldap:tls:simple
serviceauthenticationmethod: passwd-cmd:tls:simple
cn: ldapuxprofile
defaultsearchbase: ${realm}
credentiallevel: anonymous
servicesearchdescriptor:
passwd:ou=people,${realm}?one?(|(host=hostC)(host=ALL))
serviceSearchDescriptor: shadow:ou=people,${realm}?sub
servicesearchdescriptor: group:ou=group,${realm}?one
objectclass: top
objectclass: duaconfigprofile

6. クライアントでrootとしてsslConfig_OIDclient.shを再実行します。

このように変更すると、host=ALLまたは特定のホスト名と一致するhost属性値を持つユーザーに対して、オペレーティング・システム・ログインが制限されます。

A トラブルシューティング

この付録では、Oracle Authentication Services for Operating Systemsを構成または管理する際に発生する問題を示します。内容は次のとおりです。

- クライアント構成スクリプトのエラー

- データ移行のエラー

- ツールの問題

- テストおよびログ・ファイルのメッセージ

- ユーザー・ログインのエラー

A.1 クライアント構成スクリプトのエラー

この項では、クライアント構成スクリプトを実行する際に発生するエラーを示します。

A.1.1 AIX 5.3でのクライアント・スクリプトの失敗

AIXでクライアント・スクリプトを実行する場合、事前に少なくとも1人のユーザーをLDAPに追加する必要があります。そうしない場合、構成スクリプトが失敗して、次のエラー・メッセージの1つが表示されることがあります。

Cannot find users from all base DN
client setup failed."

Cannot find the group base DN from the LDAP server.
Client setup failed."

「少なくとも1人のユーザーと1つのグループのAIXへの追加」を参照してください。

A.1.2 AIX 6.1でのSSLクライアント・スクリプトの失敗

AIX 6.1では、mksecldapツールに関連する問題により、SSLクライアント構成スクリプトは失敗します。AIX 6.1では、非SSL構成スクリプトを使用して、非SSLモードでOracle Authentication Services for Operating Systemsを構成できるのみです。

A.1.3 スクリプトにより重複するドメインを持つサーバー・ホスト名が出力される

問題

クライアント・スクリプトにより出力されるサーバー・ホスト名に、重複するドメイン名（myserver.mycompany.com.mycompany.comなど）が含まれます。

解決策

サーバー・スクリプトは、クライアント・スクリプトの生成時にサーバー・ホスト名にドメインを追加します。ほとんどの場合、サーバー・ホスト名は単純な名前なので、この動作に問題はありません。しかし、サーバーでhostnameを完全修飾ドメイン名に設定した場合は、サーバー・スクリプトによって不適切な名前が生成されます。

この問題を修正するには、クライアント・スクリプトの実行中に、次の問合せに対してnを入力します。

Do you want to configure test-host to authenticate users against the above OID LDAP server [n]: y

これにより、クライアント・スクリプトが停止します。次にクライアント・スクリプト内のサーバー・ホスト名を編集し、再びスクリプトを実行します。編集する行は次のとおりです。

oidServerHost="myserver.mycompany.com.mycompany.com"

A.1.4 スクリプトで英語以外の入力が認識されない

構成スクリプトを実行する前に、NLS_LANG環境変数を設定してロケールを設定する必要があります。

A.2 データ移行のエラー

この項では、エントリをOracle Authentication Services for Operating Systemsに移行する際に発生するエラーを示します。

A.2.1 Sudo変換スクリプトのエラー

問題

/etc/sudoersファイルをLDIF形式に変換する際に、sudo変換ツールによって解析エラーが報告されます。

解決策

sudoパッケージに含まれる変換スクリプトは、使用しているsudoersファイル形式の詳細をすべて網羅していない可能性があります。たとえば、コマンドの別名の前に感嘆符（!）が付く場合は、その感嘆符を削除してください。既知の制限事項については、sudoパッケージのドキュメントを参照してください。

A.3 ツールの問題

この項では、Oracle Authentication Services for Operating Systemsでコマンドライン・ツールを使用する際に発生するエラーを示します。

A.3.1 system-config-usersで発生するエラー

問題

system-config-usersツールを使用する際にエラーが発生します。

解決策

「NISからOracle Internet Directoryへの移行」に示されているすべての属性がユーザー・エントリに含まれていることを確認してください。

解決策

Red Hat Enterprise Linuxバージョン4で新規グループを作成する際にエラーが発生した場合は、ファイル/usr/share/system-config-users/userGroupCheck.pyを編集してください。

変更前:

def isGroupnameOk(str, widget):

変更後:

def isGroupnameOk(name,widget):

A.3.2 libuserツールがPythonエラーで失敗する

問題

system-config-usersやluseraddなどのlibuserツールの起動時に、Pythonエラーが表示されます。

解決策

libuserツールを使用するには、クライアントおよびサーバーをSSL用に構成する必要があります。「SSL認証と非SSL構成の切替え」を参照してください。

A.3.3 Linux管理ツールによって一貫性が失われる

問題

useradd、userdel、groupadd、groupdelなどのLinuxツールを使用すると、一貫性が失われたり、予期しない動作が発生します。

解決策

これらのツールはサポートされていません。Oracle Authentication Services for Operating SystemsをインストールしてOracle Internet Directoryにデータを移行した後、特定のツールを使用してユーザー、パスワードおよびその他のデータを管理する必要があります。具体的には次のツールを使用する必要があります。

- Oracle Directory Manager

- $ORACLE_HOME/binにあるLDAPツールおよびバルク・ツール

- passwdコマンド

Linuxディストリビューションでは、制限付きでlibuserツールも使用できます。「パスワード・ポリシーが一貫して強制されない」を参照してください。

A.3.4 ldapsearchエラー

問題

検索を実行しようとすると、サーバーによって次のエラーが戻されます。

Function not implemented. DSA unwilling to perform.

解決策

必須属性として指定されている索引付けされていない属性の検索を実行しようとしました。

Oracle Internet Directoryで属性を検索できるのは、その属性が索引付けされている場合のみです。デフォルトでは、ユーザーおよびグループのエントリの標準属性が索引付けされています。カスタム属性を使用する場合は、catalogコマンドを使用して索引付けできます。例:

catalog connect="connect_str" add="TRUE" attribute="automountKey"

A.3.5 AIX mkuserコマンド・エラー

問題

AIX mkuserコマンドが次のエラーで失敗します。

Group "staff" does not exist.Check "/usr/lib/security/mkuser.default" file.

解決策

この問題を解決するには、Oracle Internet Directory内にstaffという名前のグループを作成します。

解決策

AIX 5.3では、LDAPクライアントとNISクライアントが同じマシン上に構成されていない場合、AIX LDAPクライアントからユーザーを作成できません。この問題は、APAR IY90556をインストールすると解決できます。

関連項目:
http://www.ibm.com/developerworks/にある『LDAP configuration management and troubleshooting on AIX』

A.3.6 Solarisのidコマンドによりセカンダリ・グループが報告されない

問題

ユーザー・アカウントに1つのプライマリ・グループと1つ以上のセカンダリ・グループがあります。Oracle Authentication Services for Operating Systemsを構成した後、Solarisで次のように入力します。

id -a

この場合、セカンダリ・グループが表示されません。

解決策

idコマンドに-aオプションを使用していることを確認してください。

id -aを使用しているのにセカンダリ・グループが表示されない場合、セカンダリ・グループのLDAPエントリを変更する必要があることがあります。

まず、LDAPスキーマ内のオブジェクトクラスorclGroupにuid属性がなければ、この属性を追加します。Oracle Internet Directoryへの新規属性の追加方法の詳細は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の「ディレクトリ・スキーマの管理」の章を参照してください。

次に、すべてのセカンダリ・グループのグループ・エントリを変更します。uniquemember: dnをmemberuid: uidに置き換えます。uidは、uid値を含むタイプuidの属性です。

セカンダリ・グループの各エントリは、次の例のようになります。

dn: cn=dba,cn=groups,dc=us,dc=example,dc=com
memberuid: cms
memberuid: gtest1
memberuid: oidpam4
memberuid: oidpam5
memberuid: oidpam8
memberuid: orcladmin
objectclass: posixGroup
objectclass: top
objectclass: groupOfUniqueNames
objectclass: orclGroup
cn: cmsdba
displayname: dba
description: DBAgroup.
gidnumber: 7002

A.4 テストおよびログ・ファイルのメッセージ

この項では、いくつかのテスト方法およびOracle Authentication Services for Operating Systemsの実行時にログ・ファイルに記録されるメッセージの一部について説明します。

A.4.1 すべての操作のログ・メッセージの有効化

問題

管理者はOracle Internet Directoryを監視する必要があります。

解決策

Oracle Internet Directoryのデバッグを有効にすると、Oracle Internet Directory LDAPサーバーによってデバッグ・メッセージがファイルORACLE_INSTANCE/diagnostics/logs/OID/componentName/oidldapd01sPID-XXXX.logに書き込まれます。

- 01はインスタンス番号です。デフォルトは01です。

- sはサーバーを表します。

- PIDはサーバー・プロセス識別子です。

- XXXXは、0000からorclmaxlogfilesconfiguredまでの番号です。

デバッグを有効にするには、次のコマンドラインを使用してデバッグ・フラグを1に設定します。

ldapmodify -p port -h host -D cn=orcladmin -q -v -f debug.ldif

debug.ldifは次のようになります。

dn:cn=componentname,cn=osdldapd,cn=subconfigsubentry
changetype:modify
replace: orcldebugflag
orcldebugflag:1

解決策

Oracle Internet Directoryですべての操作のログ・メッセージが生成されるようなデバッグ・レベルを設定できます。

次のコマンドラインを使用して、Oracle Internet Directoryにファンクション・トレースのデバッグ・レベルを設定します。

ldapmodify -p port -h host -D cn=orcladmin -q -v -f debug.ldif

debug.ldifは次のようになります。

dn:cn=componentname,cn=osdldapd,cn=subconfigsubentry
changetype: modify
replace: orcldebugflag
orcldebugflag: 117440511
-
replace: orcldebugforceflush
orcldebugforceflush: 1

A.4.2 StartTLSのテスト

問題

StartTLSを使用すると、前のクリアな接続でのSSL接続のネゴシエーションが可能になります。StartTLSはユーザーには見えません。管理者は、なんらかの方法でStartTLSが機能していることを確認する必要があります。

注意:
HP-UXおよびSolarisのOracle Internet Directoryサーバーでは、StartTLSは使用されません。これらのプラットフォームでは、SSLは非SSL接続とは異なるポート上で構成されます。

解決策

StartTLSが機能していることを確認するには、SSLネゴシエーションの開始時にOracle Internet Directoryによってログ・メッセージが生成されるようにデバッグ・レベルを設定します。すべてのクライアントは非SSLポートを指定しているため、ログ・メッセージが生成されればstartTLSが機能していることになります。

次の手順を実行します。

1. 次のコマンドラインを使用して、Oracle Internet Directoryにファンクション・トレースのデバッグ・レベルを設定します。

ldapmodify -p port -h host -D cn=orcladmin -q -f debug.ldif -v

debug.ldifは次のようになります。

dn: changetype: modify replace: orcldebugflag orcldebugflag: 25165824 - replace: orcldebugforceflush orcldebugforceflush: 1

2. Oracle Internet Directoryサーバーを起動する認証操作を実行します。たとえば、sshを使用して、Oracle Internet Directoryに対して認証するように構成されているクライアントに接続します。

3. $ORACLE_HOME/ldap/log内のログ・ファイルを調べます。文字列gslsflnNegotiateSSLを含むメッセージを探します。

A.4.3 パスワード構文のエラー

問題

パスワード構文に関するメッセージがログ・ファイルに含まれていますが、Oracle Internet Directoryはパスワード・ポリシー強制に使用されていません。

解決策

Oracle Internet Directoryをパスワード・ポリシー強制に使用しない場合は、orclpwdpolicyenableを0に設定してOracle Internet Directoryのパスワード・ポリシーを無効にする必要があります。また、パスワード構文関連のメッセージが発行されないように、pwdCheckSyntaxを0に設定してパスワード構文チェックを無効にする必要があります。

A.4.4 RHELまたはOELでのe Oracle Internet Directory Serverへの接続のテスト

Red Hat Enterprise LinuxまたはOracle Enterprise LinuxクライアントからOracle Internet Directoryサーバーへの接続をテストするには、次のようにOpenLDAPコマンドldapsearchを使用します。

ldapsearch -ZZ -d 1 -x -h your_oid_host -p 389 -b your_realm -D user_dn -W
-s sub objectclass=*

正常に起動されれば、サーバーへの接続は機能しています。

また、dateまたはtimeコマンドを使用して、マシン間の時間同期も確認してください。誤差は2分未満にする必要があります。

A.4.5 Red Hat Enterprise LinuxまたはOracle Enterprise LinuxでのルートCA証明書のテスト

$ORACLE_INSTANCE/OID/admin/wallet/root/cacert.txtの下のルートCA証明書がオペレーティング・システムのクライアント証明書/etc/oracle-certs/oid-test-cert.pemと同じであることを確認します。

次のように入力して、証明書が有効であることを確認します。

openssl x509 -in oid-test-cert.pem -noout -text

出力のValidityセクションを探します。有効な時間は、Not BeforeおよびNot Afterとして指定されています。例:

Validity
Not Before: Mar 25 11:52:37 2010 GMT
Not After : Mar 24 11:52:37 2011 GMT

A.5 ユーザー・ログインのエラー

この項では、認証にOracle Authentication Services for Operating Systemsを使用する場合にログイン試行時に発生するエラーを示します。

A.5.1 ユーザーがログインできない

問題

クライアント構成スクリプトを実行した後、ユーザーがログインできません。オペレーティング・システムのログ・ファイルに、次のようなエラー・メッセージが記録されている可能性があります。

April 10 14:32:21 myhost sshd: nss_ldap: failed to bind to LDAP server
ldap://ldaphost: Inappropriate authentication

解決策

Oracle Internet Directoryで匿名バインドが許可されていない場合、ユーザーはログインできません。匿名バインドが無効になっている場合は、次の手順で匿名バインドを有効にします。

次のようなLDIFファイルを作成します。

dn: cn=oid1,cn=osdldapd,cn=subconfigsubentry
changetype: modify
replace: orclAnonymousBindsFlag
orclAnonymousBindsFlag: 1

次のコマンドを実行します。

ldapmodify -D cn=orcladmin -q -p portNum -h hostname -f ldifFileName

問題

クライアント構成スクリプトを実行した後、ユーザーがログインできません。

解決策

一部のオペレーティング・システムでは、config_OIDclient.shまたはsslConfig_OIDclient.shスクリプトの実行中にnscdまたはsshdが動作していると、構成後に認証が機能しなくなることがあります。この問題を修正するには、sshdまたはnscdを再起動してください。

問題

Active Directory同期を構成した場合、パスワードの変更後、ユーザーは新しいパスワードを使用してログインできません。

解決策

Oracle Internet DirectoryエントリではなくActive Directoryユーザー・エントリのパスワードを変更する必要があります。

問題

カスタム証明書を使用してSSLバージョンの構成スクリプトを実行した後、ユーザーがログインできません。

解決策

サーバー証明書のサブジェクトDNを調べます。CNが1つのみ存在し、その中にSSLサーバーのホスト名が含まれている必要があります。サブジェクトDN内に複数のCNが存在する場合、現在のOpenSSL実装ではサーバー証明書のホスト名を検証できません。

A.5.2 ユーザーのホーム・ディレクトリが存在しない

問題

ユーザーをOracle Internet Directoryに追加または移行しましたが、ユーザーのホーム・ディレクトリが作成されません。

解決策

Linuxシステムでは、ユーザーをOracle Internet Directoryに追加する際に、クライアント・コンピュータ上にそのユーザーのホーム・ディレクトリを作成する必要はありません。各クライアント・コンピュータ上で実行したクライアント構成スクリプトによって、最初のログイン時に、各ユーザーのホーム・ディレクトリの作成が有効化されています。ただし、Linux以外のオペレーティング・システムでは、ユーザーのホーム・ディレクトリを手動で作成する必要があります。

A.5.3 ユーザーのシェルが存在しない

問題

ログイン試行時に、ユーザーに次のようなメッセージが表示されます。

No shell
Connection closed by foreign host.

解決策

この問題は、Oracle Internet Directory内のユーザー・エントリによって指定されているシェルのパス名が、ユーザーがログインしようとするコンピュータに存在しない場合に発生します。サポートされているシェルおよびシェルのパス名は、オペレーティング・システムごとに異なります。たとえば、あるオペレーティング・システムでは/binの下にsh、csh、bashおよびtcshが含まれていますが、別のオペレーティング・システムでは/usr/binの下にshおよびcshが含まれています。

シェルのパス名が異なるコンピュータにユーザーがログインする必要がある場合は、いずれかのコンピュータでシェルへのシンボリック・リンクを作成する必要があることがあります。

A.5.4 パスワード・ポリシーが一貫して強制されない

問題

Oracle Internet Directoryによるパスワード・ポリシーの強制が失敗するか、パスワード・ポリシー強制が予定どおりに機能しません。

解決策

Oracle Internet Directoryを使用してパスワード・ポリシーを強制する場合、libuserパッケージ内のツールを使用してパスワードまたはパスワードを含むエントリを追加することはできません。これは、パスワードがOracle Internet Directoryに送信される前に、libuserツールによってハッシュ・パスワードが生成されるため、パスワードがポリシー基準を満たしているかどうかをOracle Internet Directoryが判断できないためです。かわりにLDAPツールまたはOracle Directory Managerを使用してください。

解決策

Oracle Internet Directoryを使用してパスワード・ポリシーを強制する場合は、shadowmaxを99999、shadowexpireを-1にそれぞれ設定して、オペレーティング・システムによるパスワードの期限切れを無効にします。

B LDAP移行用のプロパティ・ファイル

これは、「別のLDAPディレクトリからOracle Internet Directoryへの移行」で説明されているプロパティ・ファイルのサンプルです。

####################################################################
## This configuration file provides necessary information for     ##
## performing the bootstrapping of OiD and a Connected directory. ##
####################################################################

# Source Type : Specifies whether, source end of the bootstrapping is
# LDAP or LDIF.
#
#
odip.bootstrap.srctype = LDIF

# Source URL : In case of LDAP source type it specifies the source directory
# location. In case of LDIF it specifies the location of the LDIF file.
#
# NOTE - e.x for LDAP the expeced format is host[:port]
#            for LDIF the expected format is absolute path of the file
#
odip.bootstrap.srcurl = oracle/ldap/odip/scr/IPlanet.ldif

# Source DN : This information supplements the Source URL. In case of LDIF
# binding this parameter is meaningless. However in case of LDAP this parameter
# specifies the Bind DN.
#
#odip.bootstrap.srcdn

# Source Password : Bind password. In case of LDAP binding this is used as
# security credential
#
#odip.bootstrap.srcpasswd

# Destination Type : Specifies whether, destination end of the bootstrapping
# is LDAP or LDIF.
#
# NOTE - In future bootstrapping with a TAGGED and PLSQL based interfaces
# would be supported.
#
odip.bootstrap.desttype = LDIF

# Destination URL : In case of LDAP it specifies the directory location
# In case of LDIF it specifies the location of the LDIF file.
#
# NOTE - e.x for LDAP the expeced format is host[:port]
#            for LDIF the expected format is absolute path of the file
#
odip.bootstrap.desturl = /oracle/ldap/odip/scr/OiD.ldif

# Destination DN : This information supplements the destination URL.
# In case of LDIF binding this parameter is meaningless. However in case of
# LDAP this parameter specifies the Bind DN.
#
#odip.bootstrap.destdn

# Destination Password : Bind password. In case of LDAP binding this is
# used as security credential
#
# NOTE - It is not recommended to specify the password in this file.
#
#odip.bootstrap.destpasswd

# and domain mappings.
#
odip.bootstrap.mapfile = /oracle/ldap/odip/scr/bootstrap.map

#
# NOTE - If this file already exists then it will be backed up and a new
# version will be created
#
odip.bootstrap.logfile = /oracle/ldap/odip/scr/bootstrap.log

# Log Messages Severity : Specifies the type of the log messages that needs
# to be logged
#                    INFO     ---- 1
#                    WARNING  ---- 2
#                    DEBUG    ---- 4
#                    ERROR    ---- 8
#
# NOTE - A combination of these types could also be given. for ex if you are interested
# only in WARNING and ERROR message then specify value 8+1 i.e 9 Similarly for all
# types of message use 1 + 2 + 4 + 8 = 15
#
odip.bootstrap.logseverity = /oracle/ldap/odip/scr/bootstrap.log

# Trace file : Specifies the location of the trace file. The default
# trace file will be bootstrap.trc created under
# $ORACLE_HOME/ldap/odi/log directory
#
# NOTE - If this file already exists then it will be backed up and a new
# version will be created
#
odip.bootstrap.trcfile = /oracle/ldap/odip/scr/bootstrap.trc

C サンプル・マップファイル

この付録では、テンプレート・マップファイルおよびいくつかのサンプル・マップファイルを示します。

この付録は次の項で構成されています:

- テンプレート・マップファイル

- サンプル・マップファイル1

- サンプル・マップファイル2

- サンプル・マップファイル3

- Oracle Directory Server Enterprise Editionマップファイル1

- Oracle Directory Server Enterprise Editionマップファイル2

- eDirectoryマップファイル

C.1 テンプレート・マップファイル

DomainRules
# Specify the list of domain rules
DomainExclusionList
# Specify the list of  domains to be excluded in migration
###
AttributeRules
# List the attributes that are to be migrated
AttributeExclusionList
# Specify the list of attributes that are to be excluded
~

C.2 サンプル・マップファイル1

# This file contains the domain rules with the list of containers to be migrated
# and the list of attributes to be migrated.DomainRules
ou=groups,dc=us,dc=example,dc=comou=people,dc=us,dc=example,dc=com
ou=system administrators,dc=us,dc=example,dc=com
###
AttributeRules
Cn
Sn
Givenname
Objectclass

C.3 サンプル・マップファイル2

# This file contains the domain rules with the list of containers to be migrated
# and the list of attributes to be filtered
DomainRules
ou=groups,dc=us,dc=example,dc=com
ou=people,dc=us,dc=example,dc=com
ou=system administrators,dc=us,dc=example,dc=com
###
AttributeRules
*:*
AttributeExclusionList
modifytimestamp
createtimestamp
modifiersname
creatorsname

C.4 サンプル・マップファイル3

# This file contains domain rules with the list of containers to be excluded and
# the list of attributes to be excluded
DomainRules
*:*
DomainExclusionList
ou=system administrators,dc=us,dc=example,dc=com
###
AttributeRules
*:*
AttributeExclusionList
modifytimestamp
createtimestamp
modifiersname
creatorsname

C.5 Oracle Directory Server Enterprise Editionマップファイル1

これは、Oracle Directory Server Enterprise Edition（旧称はSun Directory Server Enterprise Edition）のマップファイルです。

# This file contains domain rules with the list of containers to be excluded and
# the list of attributes to be excluded
DomainRules
ou=groups,dc=us,dc=example,dc=com:ou=groups,dc=us,dc=example,dc=com:cn=%,ou=group,dc=us,dc=example,dc=com
ou=people,dc=us,dc=example,dc=com: ou=people,dc=us,dc=example,dc=com:uid=% ou=people,dc=us,dc=example,dc=com
ou=system
administrators,dc=us,dc=example,dc=com:ou=people,dc=us,dc=example,dc=com:uid=%, ou=people,dc=us,dc=example,dc=com
DomainExclusionList
###
AttributeRules
*:*
AttributeExclusionList
modifytimestamp
createtimestamp
modifiersname
creatorsname
nsuniqueid
aci

C.6 Oracle Directory Server Enterprise Editionマップファイル2

これは、Oracle Directory Server Enterprise Edition（旧称はSun Directory Server Enterprise Edition）のマップファイルです。

# This file contains domain rules with the list of containers to be excluded and
# the list of attributes to be excluded
DomainRules
*:*
###
AttributeRules
*:*
AttributeExclusionList
modifytimestamp
createtimestamp
modifiersname
creatorsname
nsuniqueid
aci

C.7 eDirectoryマップファイル

# This file contains domain rules with the list of containers to be excluded and
# the list of attributes to be excluded
DomainRules
*:*
###
AttributeRules
*:*
AttributeExclusionList
modifytimestamp
createtimestamp
modifiersname
creatorsname

D Active Directory統合用の同期プロファイル

このプロパティ・ファイルは、「Oracle Directory Integration Platformの構成」で説明しているように、expressSyncSetupを実行して生成した後にカスタマイズしたものです。太字で示しているのがカスタマイズ箇所です。

# USE THIS MAP FILE, IF DOMAIN IN ACTIVE DIRECTORY IS DIFFERENT FROM DOMAIN IN OID
# FOR ONE-TO-ONE DOMAIN MAPPING USE ACTIVECHG.MAP.MASTER IN ODI/CONF DIRECTORY
DomainRules
CN=USERS,DC=test,DC=com:ou=People,dc=us,dc=example,dc=com:uid=%,ou=People,dc=us,dc=example,dc=com
###
AttributeRules
# attribute rule common to all objects
objectguid: :binary: :orclobjectguid: : :bin2b64(objectguid)
ObjectSID: :binary: :orclObjectSID: : :bin2b64(ObjectSID)
distinguishedName: : : :orclSourceObjectDN: :orclADObject
# attribute rule for mapping windows organizationalunit
ou: : :organizationalunit:ou: : organizationalunit:
# attribute rule for mapping directory containers
cn: : :container: cn: :orclContainer:
# attribute rule for mapping directordomains
dc: : :domain: dc: :domain:
# USER ENTRY MAPPING RULES
# attribute rule for mapping windows LOGIN id
sAMAccountName,userPrincipalName: : :user:orclSAMAccountName: :orclADUser:toupper(truncl(userPrincipalName,'@'))+"$"+sAMAccountname
# attribute rule for mapping Active Directory LOGIN id
userPrincipalName: : :user:orclUserPrincipalName: :orclADUser:userPrincipalName
# Map the userprincipalname to the nickname attr by default
#userPrincipalName: : :user:uid: :inetorgperson:userPrincipalName
# Map the SamAccountName to the nickname attr if required
# If this rule is enabled, userprincipalname rule needs to be disabled
sAMAccountName: : :user:uid: :inetorgperson
# Assign the userprincipalname to Kerberaos principalname
userPrincipalName: : :user:krbPrincipalName: :orcluserv2:trunc(userPrincipalName,'@')+'@'+toupper(truncl(userPrincipalName,'@'))
# This rule is mapped as SAMAccountName is a mandatory attr on AD
# and sn is mandatory on OID. sn is not mandatory on Active Directory
SAMAccountName: : :user:sn: : person:
# attributes to map to cn - normally this is the given name
cn: : :person:cn: :person:
departmentNumber: : :inetorgperson:departmentnumber: :organizationalperson:
# attribute rule for mapping entry and to create orclUserV2
# There should be a mapping rule with orcluserv2 objectclass
# without which the PORTAL may not function properly
# The next rule shows any attribute of any objectclass can be mapped
# to different attribute of different objectclass so long as the
# schema and syntax are compatible.
givenName: : :user:displayName: :orclUserV2:
employeeID: : :user:employeeNumber: :inetOrgPerson:
physicalDeliveryOfficeName: : :user:physicalDeliveryOfficeName: :organizationalPerson:
title: : :user:title: :organizationalPerson:
mobile: : :organizationalperson:mobile: :inetorgperson:
telephonenumber: : :organizationalperson:telephonenumber: :inetorgperson:
facsimileTelephoneNumber: : :organizationalperson:facsimileTelephoneNumber: :inetorgperson:
l: : :user:l: :person:
# mail needs to be assigned valid value for default settings in DAS
userPrincipalName: : :user:mail: :inetorgperson:
# GROUP ENTRY MAPPING RULES
cn: : :group:cn: :groupofuniquenames:
# displayname needs to be assigned a valid value for default settings on DAS
SAMAccountName: : :group:displayName: :orclgroup:
# Description needs tobe assigned a valid value for default settings on DAS
Description: : :group:Description: :groupOfUniqueNames:
member: : :group:uniquemember: :groupofUniqueNames:dnconvert(member)
managedby: : :group:owner: :orclprivilegegroup:dnconvert(managedby)
sAMAccountName: : :group:orclSAMAccountName: :orclADGroup:

E サンプルのスクリプト出力

この付録では、サンプルのスクリプト出力を示します。内容は次のとおりです。

- Oracle Enterprise Linux 4での非SSLサーバー・スクリプト実行

- Oracle Enterprise Linux 4でのSSLサーバー・スクリプト実行

- Oracle Enterprise Linux 4での非SSLクライアント・スクリプト実行

- Oracle Enterprise Linux 4でのSSLクライアント・スクリプト実行

- Oracle Enterprise Linux 4でのスクリプト実行のリセット

E.1 Oracle Enterprise Linux 4での非SSLサーバー・スクリプト実行

$ ./config_OIDserver.sh

OAS4OS: Release 11.1.1.3.0 - Production
Copyright (c) 2010 Oracle.  All rights reserved.

Configuring Oracle Authentication Services for Operating Systems on
the Oracle Internet Directory server.
Make sure that your OID server is currently up and running.
Specify the ORACLE_HOME path: /u01/Middleware/Oracle_IDM1
Specify the ORACLE_INSTANCE path: /u01/Middleware/asinst_1
Specify the OID realm: dc=example,dc=com
Specify the OID non-SSL port [3060]: 3060
Specify the OID component name [oid1]: oid1
Enter OID cn=orcladmin password:
The PAM client can be configured to interact with OID anonymously or via
a specific user DN and password.
Do you wish to have the PAM client connect with OID anonymously [y/n]: n
Specify the user DN for connecting to OID: cn=myuser,cn=users,dc=example,dc=com
Enter the user's password:

OAS4OS Client Config Script: /u01/Middleware/asinst_1/OID/oas4os/oid1/scripts_20100406231223/config_OIDclient.sh

Successfully completed configuration

E.2 Oracle Enterprise Linux 4でのSSLサーバー・スクリプト実行

OAS4OS: Release 11.1.1.3.0 - ProductionCopyright (c) 2010 Oracle.  All rights reserved.

Configuring Oracle Authentication Services for Operating Systems onthe Oracle Internet Directory server.
Make sure that your OID server processes were started by using opmnctl or
Oracle Fusion Middleware Control.

Specify the ORACLE_HOME path: /u01/Middleware/Oracle_IDM1
Specify the ORACLE_INSTANCE path: /u01/Middleware/asinst_1
Specify the OID realm: dc=example,dc=com
Specify the OID non-SSL port [3060]: 3060
Specify the OID SSL port [3131]: 3131
Specify the OID component name [oid1]: oid1
Enter OID cn=orcladmin password:
The PAM client can be configured to interact with OID anonymously or via
a specific user DN and password.
Do you wish to have the PAM client connect with OID anonymously [y/n]: n
Specify the user DN for connecting to OID: cn=myuser,cn=users,dc=example,dc=com
Enter the user's password:
You can provide an SSL certificate or use the script to
create and update OID SSL configuration with a test certificate.
Do you have an SSL certificate [y/n]: y
Specify the SSL Certificate file: /home/oracle/pem.cert

OAS4OS Client Config Script: /u01/Middleware/asinst_1/OID/oas4os/oid1/scripts_20100406231526/sslConfig_OIDclient.sh

Successfully completed configuration

E.3 Oracle Enterprise Linux 4での非SSLクライアント・スクリプト実行

$ ./config_OIDclient.sh

OAS4OS: Release 11.1.1.3.0 - Production
Copyright (c) 2010 Oracle.  All rights reserved.

Configuring this client to use LDAP for authentication...
OID server HOST : oid-host.example.com
OID server port : 3060

Do you want to configure client01 to authenticate users against the above OID LDAP
server [n]: y
User DN for connecting to OID: cn=myuser,cn=users,dc=example,dc=com
Enter the user's password:
Saved original files in /etc/oracle_backup_20100406231757 directory
Executing auth-config ...
Stopping portmap:                                          [  OK  ]
Starting portmap:                                          [  OK  ]
setsebool:  SELinux is disabled.
Shutting down NIS services:                                [  OK  ]
Binding to the NIS domain:                                 [  OK  ]
Listening for an NIS domain server.
Stopping nscd:                                             [  OK  ]
Starting nscd:                                             [  OK  ]
Stopping nscd:                                             [  OK  ]
Starting nscd:                                             [  OK  ]
Configured test-host for LDAP authentication.

E.4 Oracle Enterprise Linux 4でのSSLクライアント・スクリプト実行

$ ./sslConfig_OIDclient.sh

OAS4OS: Release 11.1.1.3.0 - Production
Copyright (c) 2010 Oracle.  All rights reserved.

Configuring this client to use LDAP for authentication...
OID server HOST : oid-host.example.com
OID server SSL port : 3131
Do you want to configure client01 to authenticate users against the above OID LDAP
server [n]: y
User DN for connecting to OID: cn=myuser,cn=users,dc=example,dc=com
Enter the user's password:
Saved original files in /etc/oracle_backup_20100407024405 directory
Executing auth-config ...
Stopping portmap:                                          [  OK  ]
Starting portmap:                                          [  OK  ]
setsebool:  SELinux is disabled.
Shutting down NIS services:                                [  OK  ]
Binding to the NIS domain:                                 [  OK  ]
Listening for an NIS domain server.
Stopping nscd:                                             [  OK  ]
Starting nscd:                                             [  OK  ]
The libuser package can be configured for user management via SSL LDAP.
Do you want to enable this host to manage users on OID  [y]: n
Stopping nscd:                                             [  OK  ]
Starting nscd:                                             [  OK  ]
Configured test-host for LDAP authentication.

E.5 Oracle Enterprise Linux 4でのスクリプト実行のリセット

$ ./resetClient.sh

OAS4OS: Release 11.1.1.3.0 - Production
Copyright (c) 2009 Oracle.  All rights reserved.

Resetting OAS4OS client ...
Executing this script will reset this OAS4OS client machine to backed up state.
Do you want to reset test-host and remove OAS4OS configuration [n]: y
Specify the OAS4OS backup folder path: /etc/oracle_backup_20100406231757
Executing auth-config ...
Stopping portmap:                                          [  OK  ]
Starting portmap:                                          [  OK  ]
setsebool:  SELinux is disabled.
Shutting down NIS services:                                [  OK  ]
Binding to the NIS domain:                                 [  OK  ]
Listening for an NIS domain server.
Stopping nscd:                                             [  OK  ]
Starting nscd:                                             [  OK  ]
Stopping nscd:                                             [  OK  ]
Starting nscd:                                             [  OK  ]
Client reset completed successfully.

F 構成スクリプトにより追加されるLDAPコンテナ

Oracle Authentication Services for Operating Systemsのサーバー構成スクリプトにより、次の空のコンテナがレルムDNの下に追加されます。これらのコンテナは、ローカル・ファイル（/etc/passwdや/etc/groupなど）またはNISデータベースからデータを移行するときのデータのデフォルトの場所です。

表F-1 サーバー構成スクリプトにより追加されるLDAPコンテナ

コンテナ

用途

ou=people

/etc/passwordや/etc/shadowのようなログインおよびパスワードの情報を格納します。オブジェクトposixAccountおよびshadowAccountがここに格納されます。

ou=group

/etc/groupのようなグループ情報を格納します。タイプposixGroupのオブジェクトがここに格納されます。

ou=services

/etc/servicesのような使用可能サービスに関する情報を格納します。タイプipServiceのオブジェクトがここに格納されます。

ou=protocols

/etc/protocolsのようなプロトコルに関する情報が格納されます。タイプipProtocolsのオブジェクトがここに格納されます。

ou=rpc

/etc/rpcのようなリモート・プロシージャ・コール（RPC）に関する情報を格納します。タイプoncRPCのオブジェクトがここに格納されます。

ou=hosts

/etc/hostsのようなホスト表を格納します。タイプipHostのオブジェクトがここに格納されます。

ou=networks

/etc/networksのようなネットワークの名前を格納します。ipNetworkタイプのオブジェクトがここに格納されます。

ou=netgroup

オブジェクト・タイプnisNetwork、nisNetgroup内のネットグループ情報を格納します。

ou=aliases

オブジェクト・タイプmailGroup内のメールグループ情報を格納します。

ou=mounts

自動マウント情報を格納します。

nismapname=netgroup.byuser

グループ名、ユーザー名およびホスト名を含むNISマップを設定します。ユーザー名はマップ内のキーです。

G 構成ファイルの処理

構成ファイルが破損した場合、ファイルを編集して正しい状態に戻すことができます。この付録でいくつかの例を示します。

G.1 Red Hat Enterprise LinuxおよびOracle Enterprise Linuxの構成ファイル

この項では、Red Hat Enterprise LinuxおよびOracle Enterprise Linuxのファイルの例を示します。

G.1.1 /etc/pam.d/system-auth

# %PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      /lib/security/$ISA/pam_env.so
auth        sufficient    /lib/security/$ISA/pam_unix.so likeauth nullok
auth        required      /lib/security/$ISA/pam_deny.so

account     required      /lib/security/$ISA/pam_unix.so
account     sufficient    /lib/security/$ISA/pam_succeed_if.so uid < 100 quiet
account     required      /lib/security/$ISA/pam_permit.so

password    requisite     /lib/security/$ISA/pam_cracklib.so retry=3
password    sufficient    /lib/security/$ISA/pam_unix.so nullok use_authtok md5 shadow nis
password    required      /lib/security/$ISA/pam_deny.so
session     required      /lib/security/$ISA/pam_limits.so
session     required      /lib/security/$ISA/pam_unix.so

G.1.2 /etc/pam.d/sshd

#%PAM-1.0
auth       required     pam_stack.so service=system-auth
auth       required     pam_nologin.so
account    required     pam_stack.so service=system-auth
password   required     pam_stack.so service=system-auth
session    required     pam_stack.so service=system-auth
session    required     pam_loginuid.so

G.1.3 /etc/sysconfig/authconfig

USEWINBINDAUTH=no
USEKERBEROS=no
USESYSNETAUTH=no
USEPAMACCESS=no
USEMKHOMEDIR=no
FORCESMARTCARD=no
USESMBAUTH=no
USESMARTCARD=no
USELDAPAUTH=yes
USEPASSWDQC=no
PASSWDALGORITHM=md5
USEWINBIND=no
USESHADOW=no
USEDB=no
USEHESIOD=no
USELDAP=no
SELOCAUTHORIZE=yes
USECRACKLIB=yes
USENIS=yes

H 必須パッケージ

この付録では、Oracle Authentication Services for Operating Systemsを構成するための前提条件としての必須パッケージを示します。

この章に記載されていないプラットフォームの詳細は、ノート1064891.1: Oracle Authentication Services for Operating Systems補足ドキュメント（11.1.1.3）を参照してください。このドキュメントは、My Oracle Support（https://support.oracle.com）から入手できます。

H.1 Red Hat Enterprise LinuxおよびOracle Enterprise Linux

Red Hat Enterprise LinuxおよびOracle Enterprise Linuxでは、次のパッケージが必要です。

H.1.1 Cyrus-sasl

cyrus-sasl-gssapi-2.1.22-4
cyrus-sasl-devel-2.1.22-4
cyrus-sasl-devel-2.1.22-4
cyrus-sasl-2.1.22-4
cyrus-sasl-sql-2.1.22-4
cyrus-sasl-ntlm-2.1.22-4
cyrus-sasl-ntlm-2.1.22-4
cyrus-sasl-gssapi-2.1.22-4
cyrus-sasl-sql-2.1.22-4
cyrus-sasl-ldap-2.1.22-4
cyrus-sasl-plain-2.1.22-4
cyrus-sasl-lib-2.1.22-4
cyrus-sasl-lib-2.1.22-4
cyrus-sasl-plain-2.1.22-4
cyrus-sasl-ldap-2.1.22-4
cyrus-sasl-2.1.22-4
gnu-crypto-sasl-jdk1.4-2.1.0-2jpp.1
cyrus-sasl-md5-2.1.22-4
cyrus-sasl-md5-2.1.22-4

H.1.2 Open SSL

openssl-0.9.8e-7.el5
openssl097a-0.9.7a-9.el5_2.1
xmlsec1-openssl-1.2.9-8.1
xmlsec1-openssl-devel-1.2.9-8.1
xmlsec1-openssl-devel-1.2.9-8.1
openssl-devel-0.9.8e-7.el5
openssl-perl-0.9.8e-7.el5
openssl-devel-0.9.8e-7.el5
xmlsec1-openssl-1.2.9-8.1
openssl-0.9.8e-7.el5

H.1.3 Open LDAP

openldap-2.3.43-3.el5
openldap-devel-2.3.43-3.el5
compat-openldap-2.3.43_2.2.29-3.el5
openldap-servers-overlays-2.3.43-3.el5
openldap-clients-2.3.43-3.el5
compat-openldap-2.3.43_2.2.29-3.el5
openldap-servers-sql-2.3.43-3.el5
openldap-2.3.43-3.el5
openldap-devel-2.3.43-3.el5
openldap-servers-2.3.43-3.el5

索引

A  C  D  E  H  I  L  M  N  O  P  R  S  T  U

数値

10g, アップグレード, 2.3

A

アクセス制御, 4.2

アクセス制御項目, 4.2

sudo属性へのアクセス制御

設定, 4.5

ユーザー・エントリ属性へのアクセス制御, 設定, 4.2 Active Directoryの統合

Directory Integration Platformの構成, 5.2

概要, 5

エントリを拡張するためのプラグイン, 5.1

同期プロファイル, D

グループの追加, 6.3.4 ユーザーの追加, 6.3.3 AIX 5.3固有の構成エラー, A.1.1 AIX 5.3固有の構成手順, 3.3.2 AIX 5.3固有の移行手順, 4.1.1.1 AIX 5.3固有の移行ツール, 2.5.1 AIX 5.3固有のsudo構成, 4.4.2.2 AIX 6.1固有の構成エラー, A.1.2 AIX 6.1固有の構成手順, 3.3.3 AIX mkuserコマンド・エラー, A.3.5 AIX固有のツール, 6.2.2 認証

クライアントでの構成, 3.3

サーバーでの構成, 3.2

C

証明書

テスト, A.4.4

証明書形式, 3.1.1 ユーザーのパスワードの変更, 6.3.2 製品機能の選択, 2.4 クライアント構成, 3.3 クライアント構成スクリプトのエラー

トラブルシューティング, A.1

構成

クライアントおよびサーバーのリストア, 3.7

構成ファイル

RHELおよびOEL, G

構成の概要, 1.5 構成スクリプト

再実行, 3.6

構成ツール, 3.1.6 構成

外部認証プラグイン, 5.3

サーバーへの接続

テスト, A.4.4

ホーム・ディレクトリの作成, 6.1 カスタム属性

索引付け, 2.7, 4.3

D

別のLDAPディレクトリからのデータの移行, 4.1.3.2

オペレーティング・システムの状態ポリシーの無効化, 3.4.2

重複するドメインを持つホスト名, A.1.3

E

ログ・メッセージの有効化, A.4, A.4.1

外部認証プラグイン

構成, 5.3

H

ホーム・ディレクトリ

作成, 6.1

作成されない, A.5.2

ホスト名

重複するドメイン, A.1.3

HP-UX固有のインストール前のタスク, 2.8.1 ログインを制限するためのHP-UX固有の手順, 7.4 HP-UX固有のsudo構成, 4.4.2.2

I

カスタム属性の索引付け, 2.7, 4.3

L

言語サポート, 3.1.5

構成スクリプトにより追加されるLDAPコンテナ, F

ldapsearch

使用時のエラー, A.3.4

libuser

使用時のエラー, A.3.2

libuserツール, 6.2, 6.2.1 ログインを制限するためのLinux固有の手順, 7.3 ロケール

設定, A.1.4

ログ・メッセージ

有効化, A.4

パスワード構文, A.4.3

StartTLS, A.4.2

ログイン

制限, 7

ログインのエラー, A.5.1

M

パスワード・ポリシーの管理, 6.4

マップファイル

例, C

マップファイル・テンプレート, C エントリの移行

別のLDAPディレクトリから, 4.1.3

ファイルから, 4.1.2

NISから, 4.1.1

概要, 4.1

sudoの移行, 4.4 移行ツール, 2.5 移行ツール, AIX 5.3固有, 2.5.1

N

NLS_LANG, 3.1.5

NLS_LANG環境変数, A.1.4

シェルが存在しないエラー, A.5.3

O

オペレーティング・システムの状態ポリシー, 無効化, 3.4.2

P

パスワード

変更, 6.3.2

パスワード・ポリシー

構成, 3.4

ローカル・ポリシーの無効化, 3.4, 3.4.1

強制, 3.1.2

一貫して強制されない, A.5.4

管理, 6.4

パスワード構文のエラー, A.4.3 プラグイン

Active Directoryエントリの拡張, 5.1

必須パッケージ

RHELおよびOEL, H

RHELおよびOELの必須パッケージ, H.1 前提条件

NIS移行ツール, 2.5

オペレーティング・システム, 2.1

Oracle Directory Integration Platform, 2.1

Oracle Internet Directory, 2.1

sudoパッケージ, 2.6

製品コンポーネント, 1.3 製品機能

製品, 2.4

製品の概要, 1 LDAP移行用のプロパティ・ファイル, B

R

構成スクリプトの再実行, 3.6

ユーザー・ログインの制限, 7

S

サンプルのスクリプト出力, E

別のLDAPディレクトリからのスキーマの移行, 4.1.3.1

スクリプト出力

サンプル, E

機密属性, 4.2 サーバー構成, 3.2 sudo属性へのアクセス制御の設定, 4.5 ユーザー・エントリ属性へのアクセス制御の設定, 4.2 シェルが存在しない, A.5.3 Solaris 9固有の構成手順, 3.3.1 Solaris固有のインストール前のタスク, 2.8.2 ログインを制限するためのSolaris固有の手順, 7.2 Solaris固有のsudo構成, 4.4.2.2 SSL

証明書, 3.1.1.1

サポート, 3.1.1

SSL認証と非SSL認証の切替え, 3.5

StartTLS

テスト, A.4.2

sudo

クライアントの構成, 4.4.2

変換スクリプトのエラー, A.2.1

移行, 4.4

sudoersファイルを使用するためのクライアントの再構成, 4.4.3

sudo属性

アクセス制御の設定, 4.5

sudoパッケージ, 2.6 sudoersファイル

解析エラー, A.2.1

SuSE 10固有のsudo構成, 4.4.2.1 AD統合用の同期プロファイル, D system-config-users

使用時のエラー, A.3.1

T

証明書のテスト, A.4.4

サーバーへの接続のテスト, A.4.4

ユーザーが追加されたかどうかのテスト, 6.3.1

ツール

グループの追加, 6.3.4

ユーザーの追加, 6.3.3

AIX固有, 6.2.2

ユーザーのパスワードの変更, 6.3.2

コマンドライン, 6.3

構成, 3.1.6

使用時のエラー, A.3

ldapadd, 6.3.3, 6.3.4

ldapmodify, 6.3.2

libuser, 6.2

libuserのエラー, A.3.2

Oracle Internet Directoryの管理, 6.3

サポートされていない, A.3.2

サポートされていないツール, A.3.3

U

サポートされていないLinux管理ツール, A.3.2

10gからのアップグレード, 2.3

Copyright © 2008, 2010, Oracle and/or its affiliates. All rights reserved.