Oracle® Fusion Middleware

Oracle Business Intelligence Enterprise Editionセキュリティ・ガイド

12c (12.2.1)

E70043-01(原本部品番号:E57380-03)

2015年12月

Oracle Business Intelligence Enterprise Editionのセキュリティを構成する方法について説明します。これには、SSO、SSL、外部認証およびプレゼンテーション・サービスの権限の設定が含まれます。

Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionセキュリティ・ガイド, 12c (12.2.1)

E70043-01

Copyright © 2010, 2015, Oracle and/or its affiliatesAll rights reserved.

原本著者: Nick Fry

原本協力者: Oracle Business Intelligenceの開発、製品管理および品質保証チーム

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、このソフトウェアまたはハードウェアを安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle およびその関連企業の登録商標です。その他の名称は、他社の商標の可能性があります。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXはThe Open Groupの登録商標です。

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。適用されるお客様とOracle Corporationとの間の契約に別段の定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。適用されるお客様とOracle Corporationとの間の契約に定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

目次

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメントとその他のリソース

- システム要件と動作要件

- 表記規則

Oracle Business Intelligenceのセキュリティの新機能

- Oracle BI EE 12c (12.2.1)の新機能

1 Oracle Business Intelligenceのセキュリティの紹介

- 1.1 Oracle Business Intelligenceでセキュリティを設定するための上位レベルのロードマップ

- 1.2 Oracle Business Intelligenceのセキュリティの概要

- 1.3 認証について

- 1.4 認可について

- 1.4.1 アプリケーション・ロールについて

- 1.4.2 セキュリティ・ポリシーについて

- 1.5 ユーザー、グループおよびアプリケーション・ロールについて

- 1.6 Oracle Business Intelligenceでセキュリティを構成するツールの使用

- 1.6.1 Oracle WebLogic Server管理コンソールの使用

- 1.6.2 Oracle Fusion Middleware Controlの使用

- 1.6.3 Oracle BI管理ツールの使用

- 1.6.4 プレゼンテーション・サービス管理の使用

- 1.7 Oracle Business Intelligenceのセキュリティを設定するための詳細な手順

- 1.8 Oracle Business Intelligenceの11gと12cのセキュリティ・モデルの比較

- 1.9 用語

2 デフォルト・セキュリティ構成を使用したセキュリティの管理

- 2.1 ユーザー、グループおよびアプリケーション・ロールの使用

- 2.2 ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例

- 2.3 組込みWebLogic LDAPサーバーにおけるユーザーおよびグループの管理

- 2.3.1 新規グループおよび新規アプリケーション・ロールへのユーザーの割当て

- 2.3.2 組込みWebLogic LDAPサーバーにおける新規ユーザーの作成

- 2.3.3 組込みWebLogic LDAPサーバーにおける新規グループの作成

- 2.3.4 組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て

- 2.3.5 (オプション)組込みWebLogic LDAPサーバーにおけるユーザー・パスワードの変更

- 2.4 Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理

- 2.4.1 Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示

- 2.4.2 Fusion Middleware Controlの使用によるアプリケーション・ロールの作成と削除

- 2.4.2.1 概要

- 2.4.2.2 アプリケーション・ロールの作成

- 2.4.2.3 アプリケーション・ロールへのグループの割当て

- 2.4.2.4 アプリケーション・ロールの削除

- 2.4.3 Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成

- 2.4.4 Fusion Middleware Controlを使用したアプリケーション・ロールの変更

- 2.4.4.1 アプリケーション・ロールの権限付与の追加または削除

- 2.4.4.2 アプリケーション・ロールのメンバーの追加または削除

- 2.4.4.3 アプリケーション・ロール名の変更

- 2.5 Oracle BI管理ツールの使用によるメタデータ・リポジトリ権限の管理

- 2.5.1 概要

- 2.5.2 アプリケーション・ロールのリポジトリ権限の設定

- 2.5.3 メタデータ・リポジトリでのアプリケーション・ロールの管理 - 高度なセキュリティ構成トピック

- 2.6 アプリケーション・ロールの使用によるPresentation Servicesの権限の管理

- 2.6.1 概要

- 2.6.2 Presentation Servicesの権限について

- 2.6.3 アプリケーション・ロールに対するPresentation Servicesの権限の設定

- 2.6.4 BIプレゼンテーション・サービスでの資格証明の暗号化 - 高度なセキュリティ構成トピック

- 2.7 Oracle BI Publisherの使用によるデータ・ソース・アクセスの権限の管理

- 2.8 デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性の有効化

- 2.9 ユーザーの削除

- 2.10 Oracle BIプレゼンテーション・カタログでのセキュリティ関連タスクの管理のためのruncatコマンドライン・インタフェースの使用

3 代替認証プロバイダの使用

- 3.1 概要

- 3.2 代替認証プロバイダを構成するための大まかな手順

- 3.3 代替認証プロバイダのグループおよびユーザーの設定

- 3.4 代替認証プロバイダを使用するためのOracle Business Intelligenceの構成

- 3.4.1 認証プロバイダとしてのOracle Internet Directoryの再構成

- 3.4.2 認証プロバイダとしてのMicrosoft Active Directoryの再構成

- 3.4.3 アイデンティティ・ストアでのユーザーおよびグループ名属性の構成

- 3.4.3.1 ユーザー名属性の構成

- 3.4.3.2 グループ名属性の構成

- 3.4.4 認証プロバイダとしてのLDAPの構成とデータベースへのグループの格納

- 3.4.4.1 前提条件

- 3.4.4.2 グループおよびグループ・メンバーのサンプル・スキーマの作成

- 3.4.4.3 Oracle WebLogic Server管理コンソールの使用によるデータ・ソースおよびBISQLGroupProviderの構成

- 3.4.4.4 仮想アイデンティティ・ストアの構成

- 3.4.4.5 アプリケーション・ロールへのデータベース・グループの追加による構成のテスト

- 3.4.4.6 アダプタのエラーの修正

- 3.4.5 認証プロバイダとしてのデータベースの構成

- 3.4.5.1 概要と前提条件

- 3.4.5.2 ユーザーおよびグループのサンプル・スキーマの作成

- 3.4.5.3 Oracle WebLogic Server管理コンソールの使用によるデータ・ソースとSQL認証プロバイダの構成

- 3.4.5.4 仮想アイデンティティ・ストアの構成

- 3.4.5.5 SQL認証プロバイダのトラブルシューティング

- 3.4.5.6 アダプタの削除および再作成によるデータベース・アダプタ・エラーの修正

- 3.4.6 Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成

- 3.4.7 1つの認証プロバイダが失敗した場合でも別の認証プロバイダからOracle Business Intelligenceにログインできるように複数の認証プロバイダを構成する

- 3.4.8 JAAS制御フラグ・オプションの設定

- 3.4.9 認証プロバイダとしての単一のLDAP認証プロバイダの構成

- 3.4.9.1 唯一の認証プロバイダとしてのOracle Internet Directory LDAP認証の構成

- 3.4.9.2 トラブルシューティング

- 3.5 BIシステム・ユーザーの資格証明のリセット

4 SSO認証の有効化

- 4.1 Oracle Business IntelligenceのSSOの構成タスク

- 4.2 SSO認証およびOracle Business Intelligenceについて

- 4.2.1 IDアサーション・プロバイダのしくみ

- 4.2.2 Oracle Business IntelligenceとSSO認証の連携のしくみ

- 4.3 SSO実装に関する考慮事項

- 4.4 Oracle Access Manager環境でのSSOの構成

- 4.4.1 Oracle WebLogic Serverの新しい認証プロバイダの構成

- 4.4.2 Oracle WebLogic Serverの新しいIDアサーション・プロバイダとしてのOracle Access Managerの構成

- 4.5 カスタムSSO環境の構成

- 4.6 SmartViewを使用したSSOの構成

- 4.7 Oracle Business IntelligenceにおけるSSO認証の使用の有効化

- 4.7.1 WLSTコマンドを使用したSSO認証の有効化および無効化

- 4.7.2 Fusion Middleware Controlの使用によるSSO認証の有効化

- 4.8 オンライン・カタログ・マネージャの接続の有効化

5 Oracle Business IntelligenceのSSLの構成

- 5.1 SSLとは

- 5.1.1 Oracle Business IntelligenceでのSSLの使用

- 5.1.2 Oracle Business Intelligenceでの証明書と鍵の作成

- 5.2 エンドツーエンドSSLの有効化

- 5.2.1 標準の非SSL BIEEシステムの構成

- 5.2.2 WebLogic SSLの構成

- 5.2.2.1 管理サーバーのみの起動

- 5.2.2.2 HTTPSポートの構成

- 5.2.2.3 LDAPを使用するための内部WebLogic Server LDAPの構成

- 5.2.2.4 内部WebLogic Server LDAPのトラスト・ストアの構成

- 5.2.2.5 HTTPの無効化

- 5.2.2.6 再起動

- 5.2.2.7 t3sを使用するためのOWSMの構成

- 5.2.2.8 システムの再起動

- 5.3 BIEE内部SSLの有効化

- 5.4 内部SSLの無効化

- 5.5 クライアント用の信頼およびアイデンティティのエクスポート

- 5.6 クライアント用のSSLの構成

- 5.6.1 クライアント証明書のエクスポート

- 5.6.2 BIスケジューラのSSLが有効化されている場合のSASchInvokeの使用

- 5.6.3 Oracle BIジョブ・マネージャの構成

- 5.6.4 オンライン・カタログ・マネージャの接続の有効化

- 5.6.5 SSL経由で通信するためのOracle BI管理ツールの構成

- 5.6.6 リモート・クライアント・アクセス用のODBC DSNの構成

- 5.6.7 SSL経由で通信するためのOracle BI Publisherの構成

- 5.7 証明書の有効期限の確認

- 5.8 証明書の置換え

- 5.9 リスナー・アドレスの変更後の証明書の更新

- 5.10 新しいサーバーの追加

- 5.11 SSLが有効化されているシステムのスケール・アウト

- 5.12 構成テンプレート構成済システムのSSLの有効化

- 5.13 SSL暗号スイートの手動構成

- 5.14 外部システムへのSSL接続の構成

- 5.14.1 Fusion Middleware Controlの使用によるSMTPサーバーのSSLの構成

- 5.14.2 複数認証プロバイダ使用時のSSLの構成

- 5.15 BIEE内部SSLを使用するために予約されたWebLogicアーティファクト

- 5.16 SSL環境におけるBIコンポーザの起動の有効化

A レガシー・セキュリティ管理オプション

- A.1 レガシー認証オプション

- A.1.1 初期化ブロックの使用によるLDAP認証の設定

- A.1.1.1 LDAPサーバーの設定

- A.1.1.2 LDAP認証でのUSERセッション変数の定義

- A.1.1.3 ロギング・レベルの設定

- A.1.2 外部表認証の設定

- A.1.3 Oracle BIデリバーおよび外部初期化ブロックの認証について

- A.1.4 認証の順序

- A.1.5 カスタム認証システム・プラグインを使用する認証

- A.1.6 セッション変数の管理

- A.1.7 サーバー・セッションの管理

- A.1.7.1 セッション・マネージャの使用

- A.2 代替認可オプション

- A.2.1 プレゼンテーション・サービスのセキュリティに影響する変更

- A.2.2 カタログ・グループを使用するカタログ権限の管理

- A.2.3 初期化ブロックの使用による認可の設定

B デフォルト・セキュリティ構成の理解

- B.1 Oracle Business Intelligenceのセキュリティについて

- B.2 セキュリティ・フレームワークについて

- B.2.1 Oracle Platform Security Services

- B.2.2 Oracle WebLogic Serverドメイン

- B.3 主なセキュリティ要素

- B.4 サンプル・アプリケーションを使用したセキュリティ構成

- B.4.1 デフォルトの認証プロバイダ

- B.4.1.1 グループとメンバー

- B.4.1.2 デフォルトのユーザーとパスワード

- B.4.2 ポリシー・ストア・プロバイダ

- B.4.2.1 Oracle Business Intelligence権限

- B.5 グループおよびアプリケーション・ロールを使用したユーザーへの権限の付与

- B.5.1 権限の継承とロールの階層

- B.6 インストール後の共通セキュリティ・タスク

- B.6.1 Oracle Business Intelligenceを評価する共通のセキュリティ・タスク

- B.6.2 Oracle Business Intelligenceを実装するための共通のセキュリティ・タスク

C Oracle Business Intelligenceにおけるセキュリティのトラブルシューティング

- C.1 ユーザーのログイン認証が失敗する問題の解決

- C.1.1 認証の概念

- C.1.1.1 インストール時のデフォルトの認証

- C.1.1.2 Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlの使用によるOracle Business Intelligenceの構成

- C.1.1.3 WebLogicドメインおよびログの場所

- C.1.1.4 Oracle Business Intelligenceの主要なログイン・ユーザー・アカウント

- C.1.1.5 Oracle Business Intelligenceのログインの概要

- C.1.2 ユーザーのログイン認証が失敗する原因の特定

- C.1.3 ユーザーのログイン認証が失敗する問題の解決

- C.1.3.1 Oracle Business Intelligenceに1人のユーザーがログインできない

- C.1.3.2 認証プロバイダが正しく構成されていないことが原因でOracle Business Intelligenceにユーザーがログインできない

- C.1.3.3 Oracle Web Services Managerが動作していないときにOracle Business Intelligenceにユーザーがログインできない

- C.1.3.4 Oracle Business Intelligenceにユーザーがログインできない - BIシステム・ユーザーの認証が動作しているかどうか

- C.1.3.5 Oracle Business Intelligenceにユーザーがログインできない - 外部アイデンティティ・ストアが正しく構成されているかどうか

- C.1.3.6 ユーザーが任意のパスワードまたはパスワードなしでログインできる

- C.1.3.7 デフォルト認証プロバイダを削除した後にWebLogic Serverを起動できない

- C.2 アイデンティティ・ストアとの非一貫性の解決

- C.2.1 アイデンティティ・ストアからユーザーが削除される

- C.2.2 アイデンティティ・ストアでユーザーの名前が変更される

- C.2.3 ユーザー名に関連付けられているグループがアイデンティティ・ストアに存在しない

- C.3 ポリシー・ストアとの非一貫性の解決

- C.3.1 ポリシー・ストアからアプリケーション・ロールが削除される

- C.3.2 ポリシー・ストアでアプリケーション・ロールの名前が変更される

- C.4 SSL通信問題の解決

- C.5 カスタムSSO環境の問題の解決

- C.6 SSOを使用したRSSフィードの認証の解決

D ダッシュボードと分析のセキュリティの管理

- D.1 Oracle BIプレゼンテーション・サービスのユーザーのセキュリティ管理

- D.1.1 Oracle BIプレゼンテーション・サービスのセキュリティを設定する場所

- D.1.2 Oracle BIプレゼンテーション・サービスのセキュリティの目標

- D.1.3 ユーザーへの権限の割当て方法

- D.2 Oracle BIプレゼンテーション・サービスの管理ページの使用

- D.2.1 管理ページについて

- D.2.2 カタログ・グループの使用

- D.2.2.1 アプリケーション・ロールへのカタログ・グループの移行

- D.2.2.2 カタログ・グループの作成

- D.2.2.3 カタログ・グループの削除

- D.2.2.4 カタログ・グループの編集

- D.2.3 プレゼンテーション・サービスの権限の管理

- D.2.3.1 プレゼンテーション・サービスの権限について

- D.2.3.2 アプリケーション・ロールに対するプレゼンテーション・サービスの権限の設定

- D.2.3.3 プレゼンテーション・サービスのデフォルトの権限割当て

- D.2.4 プレゼンテーション・サービスでのセッションの管理

- D.3 Oracle BIプレゼンテーション・サービスのユーザーの権限およびパーミッションの判別

- D.3.1 ユーザーの権限またはパーミッションの判別ルール

- D.3.1.1 タスク1 - 該当ユーザーの明示的レコードの有無チェック

- D.3.1.2 タスク2 - 該当ユーザーのカタログ・グループに対するレコードの有無チェック(10gとの下位互換性のためだけの非推奨の動作)

- D.3.1.3 タスク3 - 該当ユーザーのアプリケーション・ロールに対するレコードの有無チェック

- D.3.1.4 タスク4 - デフォルト動作への戻し

- D.3.1.5 タスク5 - 一致レコード一切なし

- D.3.2 アプリケーション・ロールによるユーザーの権限の判別例

- D.3.3 アプリケーション・ロールによるユーザーのパーミッションの判別例

- D.3.4 非推奨のカタログ・グループによるユーザーの権限の判別例

- D.3.5 非推奨のカタログ・グループによるユーザーのパーミッションの判別例

- D.4 ユーザーへの共有ダッシュボードの提供

- D.4.1 共有ダッシュボードのカタログ構造について

- D.4.2 共有ダッシュボードの作成

- D.4.3 ダッシュボードのテスト

- D.4.4 ユーザー・コミュニティへのダッシュボードのリリース

- D.5 ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御

- D.5.1 ダッシュボードの保存済カスタマイズの概要

- D.5.2 保存済カスタマイズの管理

- D.5.2.1 保存済カスタマイズの権限

- D.5.2.2 保存済カスタマイズのパーミッション

- D.5.3 保存済カスタマイズを作成するための権限の設定

- D.5.4 保存済カスタマイズを管理するための使用シナリオ例

- D.6 他のユーザーの代理実行の有効化

- D.6.1 他のユーザーの代理実行を有効化する理由

- D.6.2 プロキシ・レベル

- D.6.3 他のユーザーの代理実行を有効化するプロセス

- D.6.3.1 プロキシ・ユーザーとターゲット・ユーザーの関連付けの定義

- D.6.3.2 プロキシ機能のセッション変数の作成

- D.6.3.3 プロキシ機能の構成ファイルの設定の変更

- D.6.3.4 プロキシ機能のカスタム・メッセージ・テンプレートの作成

- D.6.3.5 プロキシ権限の割当て

はじめに

Oracle Business Intelligence Foundation Suiteは、総合的でオープンな統合型ソリューションで、報告、非定型の問合せ、OLAP、ダッシュボード、スコアカード、What-If分析など、エンタープライズ・ビジネス・インテリジェンスのニーズすべてに対応しています。Oracle Business Intelligence Foundation Suiteには、Oracle Business Intelligence Enterprise Editionが含まれています。

Oracle Business Intelligence Enterprise Edition (Oracle BI EE)はエンタープライズ・ビジネス・インテリジェンスのツールおよびインフラストラクチャから構成される総合的なセットであり、スケーラブルで効率的な問合せおよび分析サーバー、非定型の問合せおよび分析ツール、対話形式のダッシュボード、プロアクティブ・インテリジェンスおよびアラート、エンタープライズ・レポート・エンジンなどが用意されています。

Oracle BI EEのコンポーネントは、共通のサービス指向アーキテクチャ、データ・アクセス・サービス、分析および計算インフラストラクチャ、メタデータ管理サービス、セマンティック・ビジネス・モデル、セキュリティ・モデルやユーザー・プリファレンス、および管理ツールを共有します。Oracle BI EEでは、データソース固有の最適化されたリクエスト生成、最適化されたデータ・アクセス、高度な計算、インテリジェントなキャッシュ・サービスおよびクラスタリングの面で、高いスケーラビリティとパフォーマンスが実現します。

このガイドには、システム管理に関する情報や、セキュリティ環境の有効化および管理に関する情報などが記載されています。

対象読者

このガイドは、Oracle Business Intelligenceのセキュリティ管理を担当するシステム管理者を対象としています。

ドキュメントのアクセシビリティについて

オラクル社のアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=docaccを参照してください。

Oracleサポートへのアクセス

サポートをご購入のOracleのお客様は、My Oracle Supportにアクセスして電子サポートを受けることができます。詳細は、http://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoまたはhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs (聴覚障害者向け)を参照してください。

関連ドキュメントとその他のリソース

Oracle Business Intelligenceの関連ドキュメントについては、Oracle Business Intelligenceのドキュメント・ライブラリを参照してください。

次の関連ドキュメントも参照してください。

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』

さらに、次もあります。

- Oracle Business Intelligenceに関連するオンライン・トレーニングのリソースについては、Oracle Learning Libraryを参照してください。

- 製品情報センターに関するサポート・ノート(記事ID: 1267009.1)をMy Oracle Support(https://support.oracle.com)でアクセスしてください。

システム要件と動作要件

ハードウェアとソフトウェアの要件、プラットフォーム、データベースおよびその他の情報の詳細は、システム要件と動作要件のドキュメントを参照してください。いずれのドキュメントもOracle Technology Network (OTN)から入手できます。

システム要件のドキュメントには、ハードウェアとソフトウェアの要件、ディスク領域とメモリーの最小要件、必要なシステム・ライブラリ、パッケージまたはパッチなどの情報が記載されています。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-requirements-100147.html

動作要件のドキュメントには、サポートされているインストール・タイプ、プラットフォーム、オペレーティング・システム、データベース、JDKおよびサードパーティ製品が記載されています。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-certification-100350.html

表記規則

このドキュメントでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック体

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

Oracle Business Intelligenceのセキュリティの新機能

この序章では、Oracle Business Intelligence Enterprise Edition 12c (12.2.1)の保護機能における変更点について説明します。

以前のリリースからOracle BI EEにアップグレードする場合は、機能、ツールおよび手順が大幅に異なるので、次の情報をよくお読みください。Oracle BI EE 12cへのアップグレードに関する詳細は、Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionアップグレード・ガイドを参照してください。

この序章には、次のトピックが含まれています。

- Oracle BI EE 12c (12.2.1)の新機能

Oracle BI EE 12c (12.2.1)の新機能

Oracle BI EE 12c (12.2.1)のセキュリティの新機能は次のとおりです。

- BISystemUserおよびBISystemの削除

- ユーザーGUIDの削除

- データベース・セキュリティ・ストア

- より簡単なSSL構成

- アプリケーション・ロールへのカタログ・グループの移行

BISystemUserおよびBISystemの削除

このリリースのOracle Business Intelligenceの管理および構成を簡略化するため、内部通信用のBISystemUser(または同等のユーザー)と呼ばれる実際のユーザーが必要なくなりました。システム・ユーザーの概念が「仮想」とみなされ、値が構成アシスタントによってセキュアかつランダムに生成される資格証明oracle.bi.system/system.userによって表されます。Oracle BIコンポーネントは、Oracle BI Securityで支援される内部通信用のこの資格証明を引き続き使用します。アプリケーション・ロールBISystemもポリシー・ストアに存在しなくなり、アップグレードされた11g環境から削除されます。

ユーザーGUIDの削除

このリリースでは、管理を容易にするためにユーザーGUIDが削除されました。ライフサイクル操作の一部としてGUIDをリフレッシュする必要がなくなりました。GUIDはユーザー名で置き換えられます。ユーザーはユーザーIDごとに認証されます。つまり、特定のユーザーIDを使用して認証するユーザーにユーザーIDに関連付けられたアクセス権限が付与されます。そのため、システムを離れるユーザーはユーザーIDを完全に削除する必要があります。システムを離れるユーザーがOracle Business Intelligenceから完全に削除されていることを確認するのは、管理者の責任になります。

詳細は、第2.9項「ユーザーの削除」を参照してください。

データベース・セキュリティ・ストア

このリリースでは、セキュリティ・ストア(ポリシーおよび資格証明ストア)がファイルではなくリレーショナル・データベースで構成されます。データベースはRCUで使用されるデータベースと同じです。この変更により、スケーリングが容易になり、クラスタの信頼性が高まります。

詳細は、『Oracle Fusion Middleware Oracle Business Intelligenceインストレーション・ガイド』を参照してください。

より簡単なSSL構成

このリリースでは、エンドツーエンドSSLの構成で複雑さが減り、オフライン・コマンドを使用します。

このリリースのSSLサポートの主な違い(11g以降)は次のとおりです。

- SSLはWebLogicトラスト・ストアを使用します
追加のBI固有の信頼構成は必要ありません。

- オフライン・コマンド
Fusion Middleware Control UIを使用してプロセスを構成する必要はありません。

- WebLogic証明書の問題の診断

- セキュリティの向上 - TLSv1.2のみ

- 構成は中心でユーザー構成と混ざりません。

- 設定が上書きされるリスクのない高度なオプションをサポートします。

SSLの詳細は、第5章「Oracle Business IntelligenceのSSLの構成」を参照してください。

アプリケーション・ロールへのカタログ・グループの移行

このリリースでは、新しいプロセスを使用してカタログ・グループをアプリケーション・ロールに移行できます。

詳細は、第D.2.2.1項「アプリケーション・ロールへのカタログ・グループの移行」を参照してください。

1 Oracle Business Intelligenceのセキュリティの紹介

この章では、Oracle Business Intelligenceのセキュリティ・モデルを紹介して、セキュリティの構成に使用されるツールについて説明し、Oracle Business Intelligenceでセキュリティを構成するための詳細なロードマップを示します。

注意:
セキュリティの設定に関する上位レベルのロードマップについては、第1.1項「Oracle Business Intelligenceでセキュリティを設定するための上位レベルのロードマップ」を参照してください。

注意:
BI Publisherを単独でインストールしてあり、Oracle Fusion Middlewareセキュリティを使用する場合は、Oracle Fusion Middleware Oracle Business Intelligence Publisher管理者および開発者ガイドのセキュリティ・モデルに関する項を参照してください。

この章には次の項が含まれます:

- Oracle Business Intelligenceでセキュリティを設定するための上位レベルのロードマップ

- Oracle Business Intelligenceのセキュリティの概要

- 認証について

- 認可の概要

- ユーザー、グループおよびアプリケーション・ロールについて

- Oracle Business Intelligenceでセキュリティを構成するツールの使用

- Oracle Business Intelligenceのセキュリティを設定するための詳細な手順

- Oracle Business Intelligenceの11gと12cのセキュリティ・モデルの比較

- 用語

1.1 Oracle Business Intelligenceでセキュリティを設定するための上位レベルのロードマップ

Oracle Business Intelligenceでセキュリティを設定するには、次を実行する必要があります。

1. この章の残りの部分に目を通して、セキュリティのコンセプト、ツールおよび用語の概要を把握します。

2. 第2.1項「ユーザー、グループおよびアプリケーション・ロールの使用」の概要を読んで、ユーザー、グループおよびアプリケーション・ロールについて学びます。

3. ユーザーの認証に使用する認証プロバイダを決定します。

4. 必要なユーザーおよびグループを設定します。

5. 必要なアプリケーション・ロールを設定します。

6. 各グループを適切なアプリケーション・ロールに割り当てます。

7. Oracle BIリポジトリでユーザーおよびグループが持っている権限を調整します。

8. Oracle BIプレゼンテーション・カタログでユーザーおよびグループが持っている権限を調整します。

9. 必要に応じてシングル・サインオン(SSO)を構成します。

10. 必要に応じてSecure Sockets Layer (SSL)を構成します。

設定手順の詳細は、第1.7項「Oracle Business Intelligenceのセキュリティを設定するための詳細な手順」を参照してください。

1.2 Oracle Business Intelligenceのセキュリティの概要

Oracle Business Intelligence 12cは、Oracle Fusion Middleware Securityアーキテクチャと密接に統合されており、コアなセキュリティ機能をそのアーキテクチャのコンポーネントに委任します。具体的には、Oracle Business Intelligenceインストールは次の種類のセキュリティ・プロバイダを利用します。

- Oracle Business Intelligenceにアクセス可能なユーザーおよびグループに関する情報へのアクセス方法を知っていて、ユーザーの認証を行う認証プロバイダ。

- アプリケーション・ロールおよびアプリケーション・ポリシーへのアクセスを提供するポリシー・ストア・プロバイダ。これは、セキュリティ・ポリシーのコアな部分を形成し、Oracle Business Intelligenceで表示と操作ができるユーザーとできないユーザーを決定します。

- Oracle Business Intelligenceで必要な資格証明を格納し、その資格証明へのアクセスを提供する資格証明ストア・プロバイダ。

デフォルトでは、Oracle Business Intelligenceインストールは、ユーザーおよびグループの情報にOracle WebLogic Server組込みLDAPサーバーを使用する認証プロバイダとともに構成されます。Oracle Business Intelligenceのデフォルトのポリシー・ストア・プロバイダおよび資格証明ストア・プロバイダは、資格証明、アプリケーション・ロールおよびアプリケーション・ポリシーを、データベースに格納します。

Oracle Business Intelligenceのインストール後、必要に応じて、別のセキュリティ・プロバイダを使用するようにドメインを再構成することができます。たとえば、Oracle Internet Directory、Oracle Virtual Directory、Microsoft Active Directoryまたは別のLDAPサーバーを認証に使用するようにインストールを再構成できます。また、資格証明、アプリケーション・ロールおよびアプリケーション・ポリシーの格納に、データベースではなくOracle Internet Directoryを使用するようにインストールを再構成することもできます。

下位互換性のため、Oracle Business Intelligenceの複数のレガシー認証オプションが引き続きサポートされます。ベスト・プラクティスは、この章で説明するデフォルトのセキュリティ・モデルにより、アイデンティティ・ストアおよび認証プロバイダを使用して認証および認可を行うことです。ただし、これが可能でないシナリオや、従来の認証方法および認可方法が必要になる場合もあります。通常、こうした別の方法を使用するには、Oracle WebLogicドメインで構成済の認証プロバイダによって参照されるアイデンティティ・ストアに、ユーザー移入およびグループが保持されていないことが必要です。したがって、別の認証方法を使用する場合は、この章のいくつかの項は関係がありません。かわりに、付録A「レガシー・セキュリティ管理オプション」を参照してください。この章で説明するアプリケーション・ロールは、別の認証メカニズムおよび認可メカニズムでも使用されることに注意してください。

1.3 認証について

Oracle Business Intelligence 12cの各インストールには、Oracle WebLogic Serverドメインが関連付けられています。Oracle Business Intelligenceは、そのドメインに対して構成された認証プロバイダにユーザーの認証を委任します。

デフォルトの認証プロバイダは、Oracle Business IntelligenceのOracle WebLogic Serverドメインに組込みのLDAPサーバーに格納されているユーザーおよびグループ情報にアクセスします。Oracle WebLogic Serverの管理コンソールを使用すると、組込みLDAPサーバーでユーザーおよびグループの作成と管理ができます。

別のディレクトリの認証プロバイダを構成することもできます。Oracle WebLogic Serverの管理コンソールを使用すると、ディレクトリのユーザーおよびグループを表示できます。ただし、このディレクトリを変更するには、引き続き適切なツールを使用する必要があります。たとえば、Oracle Internet Directory (OID)を使用するようにOracle Business Intelligenceを再構成した場合は、ユーザーおよびグループの表示はOracle WebLogic Serverの管理コンソールでできますが、管理はOIDコンソールで行う必要があります。サポートされるLDAPディレクトリの詳細は、BI動作保証のマトリックスを参照してください。

組込みLDAPサーバーのユーザーおよびグループの管理方法の詳細は、第2章「デフォルト・セキュリティ構成を使用したセキュリティの管理」を参照してください。

Oracle WebLogic Serverドメインおよび認証プロバイダの詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

1.4 認可について

ユーザーが認証された後、セキュリティの面で次に重要なのは、操作権限や表示権限が与えられているものを、ユーザーが操作し表示できるようにすることです。Oracle Business Intelligence 12cでの認可は、アプリケーション・ロールで定義されたセキュリティ・ポリシーによって制御されます。

1.4.1 アプリケーション・ロールについて

ディレクトリ・サーバーにおけるグループ内のユーザーに関するセキュリティ・ポリシーを定義するかわりに、Oracle Business Intelligenceはロールベースのアクセス制御モデルを使用します。セキュリティは、ディレクトリ・サーバー・グループおよびユーザーに割り当てられているアプリケーション・ロールによって定義されます。たとえば、アプリケーション・ロールBIServiceAdministrator、BI ConsumerおよびBIContentAuthorなどです。

アプリケーション・ロールはユーザーが持っている機能的役割を表し、これによって、その役割を果たすために必要な権限をユーザーに付与します。たとえば、セールス・アナリストのアプリケーション・ロールを保持することにより、会社のセールス・パイプラインに関するレポートを表示、編集および作成するためのユーザー・アクセスが許可されます。

アプリケーション・ロールとディレクトリ・サーバーのユーザーおよびグループとの間の間接層により、Oracle Business Intelligenceの管理者は、企業のLDAPサーバーに新しいユーザーやグループを作成することなく、アプリケーション・ロールおよびポリシーを定義できます。かわりに、管理者は、認可要件を満たすアプリケーション・ロールを定義し、企業のLDAPサーバーに前から存在しているユーザーやグループにこれらのロールを割り当てます。

さらに、アプリケーション・ロールによって提供される間接層により、ビジネス・インテリジェンス・システムのアーティファクトを、開発、テスト、本番の各環境間で簡単に移動できます。セキュリティ・ポリシーの変更は不要で、必要な操作は、ターゲット環境で利用可能なユーザーおよびグループにアプリケーション・ロールを割り当てることのみです。

図1-1に、ユーザー、グループおよびアプリケーション・ロールの例を示します。

図1-1 ユーザー、グループ、アプリケーション・ロールおよび権限の例

図1-1は次のようなことを示しています。

- BIConsumersという名前のグループには、User1、User2およびUser3が含まれています。グループBIConsumersのユーザーには、アプリケーション・ロールBIConsumerが割り当てられています。これによりユーザーはレポートを表示できます。

- BIContentAuthorsという名前のグループには、User4およびUser5が含まれています。グループBIContentAuthorsのユーザーには、アプリケーション・ロールBIContentAuthorが割り当てられています。これによりユーザーはレポートを作成できます。

- BIServiceAdministratorsという名前のグループには、User6およびUser7が含まれています。グループBIServiceAdministratorsのユーザーには、アプリケーション・ロールBIServiceAdministratorが割り当てられています。これによりユーザーは職責を管理できます。

1.4.2 セキュリティ・ポリシーについて

セキュリティ・ポリシー定義は次のコンポーネントに分割されています。

- Oracle BIプレゼンテーション・サービス - これは、特定のアプリケーション・ロールが付与されたユーザーが、どのカタログ・オブジェクトおよびOracle BIプレゼンテーション・サービス機能にアクセスできるかを定義します。機能へのアクセスは、権限の管理ページで、Oracle BI Presentation Servicesの権限という形態で定義され、Oracle BI Presentation Catalogのオブジェクトへのアクセスは「権限」ダイアログで定義されます。

- リポジトリ - これは、どのアプリケーション・ロールおよびユーザーが、リポジトリ内のどのメタデータ・アイテムにアクセスできるかを定義します。このセキュリティ・ポリシーを定義するには、Oracle BI管理ツールを使用します。

- ポリシー・ストア - これは、所定のユーザーまたは所定のアプリケーション・ロールが付与されたユーザーが、BIサーバーおよびOracle BI Publisherの機能にアクセスできるかを定義します。Oracle Business Intelligenceのデフォルト構成では、ポリシー・ストアはOracle Enterprise Manager Fusion Middleware ControlまたはWebLogicスクリプティング(WLST)を使用して管理されます。ポリシー・ストアの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

これらのコンポーネントの使用方法は、第1.6項「Oracle Business Intelligenceでセキュリティを構成するツールの使用」を参照してください。

1.5 ユーザー、グループおよびアプリケーション・ロールについて

Oracle Business Intelligence 12cでは、BIアプリケーションの作成者は、必要に応じてアプリケーションのアプリケーション・ロールおよび権限付与を自由に定義して名前を付けることができます。Oracle BI 11gに存在する少数のデフォルトのアプリケーション・ロールおよび権限付与を含める制約がなくなりました。ただし、必要に応じて開始セットのアプリケーション・ロールおよび権限セット付与を引き続き使用できます。

Oracle Business Intelligenceを最初に構成する場合、提供されたBIアーカイブ(BAR)・ファイルまたは11gアップグレード・バンドルに基づいて初期BIサービス・インスタンスを作成します(『Oracle Fusion Middleware Oracle Business Intelligenceインストレーション・ガイド』を参照)。サービス・インスタンスで最初に使用できるアプリケーション・ロールおよびメンバーシップのセットは、サービス・インスタンスにインポートされるBARファイルまたは11gアップグレード・バンドルによって異なります。BARファイルのコンテンツの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド 』を参照してください。つまり、インポートされたセキュリティ・ポリシーには、アプリケーション・ロール定義、アプリケーション・ロールのメンバーシップ、権限セット定義、権限定義、権限セット付与、権限付与、プレゼンテーション・サービスおよびリポジトリ・セキュリティ・ポリシーが含まれます。

たとえば、サンプル・アプリケーションLite BARファイルまたは初期BARファイルに基づいて初期BIサービス・インスタンスの作成を選択すると、初期サービス・インスタンスがサンプル・アプリケーション・ロールおよびそのアプリケーションのアプリケーション・ポリシーをインポートします。これにより、11gの新規インストールのように、類似のアプリケーション・ロールを使用してプロビジョニングされたサービス・インスタンスが提供されます。

また、白紙の状態で初期サービス・インスタンスの作成を選択すると、システムにより、特殊な空のBARファイルがサービス・インスタンスにインポートされ、最小セットのアプリケーション・ロールおよびポリシーがサービス・インスタンスに追加されます(BIServiceAdministratorアプリケーション・ロールのみ)。独自のBIアプリケーションに固有の独自のセキュリティ・ポリシーを作成できます。

11gアップグレード・バンドルをインポートして初期サービス・インスタンスを作成すると、サービス・インスタンスに11gと同じアプリケーション・ロール、アプリケーション・ロールのメンバーシップ、権限および権限付与が提供されます。

この章の残りの部分のため、サンプル・アプリケーションLiteおよび初期BARファイルに含まれるセキュリティ・ポリシーを説明します。例または固有のBIアプリケーションを作成する際の基礎として、これらのBARファイルを使用できます。

1.6 Oracle Business Intelligenceでセキュリティを構成するツールの使用

Oracle Business Intelligenceでセキュリティを構成するには、次のツールを使用します。

- 「Oracle WebLogic Server管理コンソールの使用」

- 「Oracle Fusion Middleware Controlの使用」

- 「Oracle BI管理ツールの使用」

- 「プレゼンテーション・サービス管理の使用」

注意:
Oracle Business Intelligenceツールを使用してインストール済ユーザー、グループおよびアプリケーション・ロールを構成する例を調べるには、第2.2項「ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例」を参照してください。

図1-2は、インストールの例のOracle Business Intelligenceで組込みWebLogic LDAPサーバーを使用してセキュリティを構成するために使用するツールを示しています。

図1-2 インストールのセキュリティを構成するためのツールの概要

セキュリティの管理の詳細は、第2章「デフォルト・セキュリティ構成を使用したセキュリティの管理」を参照してください。

1.6.1 Oracle WebLogic Server管理コンソールの使用

ユーザーおよびグループの認証に使用できるWebLogic LDAPサーバーの管理には、Oracle WebLogic Server管理コンソールを使用します。

Oracle WebLogic Serverは自動的にインストールされ、デフォルト管理サーバーとして機能します。Oracle WebLogic Server管理コンソールはブラウザベースであり、組込みディレクトリ・サーバーの管理に使用されます。

Oracle Business Intelligenceを構成する場合に初期セキュリティ構成によってアイデンティティ・ストアとしてデフォルト認証プロバイダの組込みWeblogic LDAPディレクトリが使用されることに注意してください。ただし、11gではBIインストールによって特定のユーザーおよびグループがこのLDAPディレクトリにシードされましたが、12cではデフォルトのBIグループがこのディレクトリにシードされません。したがって、アプリケーションがBIConsumers、BIContentAuthorsおよびBIServiceAdministratorsなどのLDAPグループがアイデンティティ・ストアに存在することを予測する場合、これらのグループを手動で追加するか、初期BI構成の完了後にこれらのグループがすでにプロビジョニングされている異なるアイデンティティ・ストアを使用するためにドメインを構成する必要があります。

WebブラウザにURLを入力してOracle WebLogic Server管理コンソールを起動します。デフォルトURLは、http://hostname:port_number/consoleのような形式となります。ポート番号は、管理サーバー用に使用される番号と同じであり、デフォルト・ポートは9500です。Oracle WebLogic Server管理コンソールの使用の詳細は、Oracle Fusion Middleware Oracle WebLogic Server管理コンソールのオンライン・ヘルプを参照してください。

Oracle WebLogic Server管理コンソールにログインするには:

1. WebブラウザにURLを入力してOracle WebLogic Serverのログイン・ページを表示します。
たとえば、http://hostname:9500/consoleなどと入力します。

2. Oracle Business Intelligence管理ユーザーおよびパスワード資格証明を使用してログインし、「ログイン」をクリックします。
Oracle Business Intelligenceのインストール中に、ユーザー名およびパスワードが指定されました。これらの値がそれ以降に変更されている場合は、現在の管理ユーザー名とパスワードの組合せを使用してください。

管理コンソールで次のような画面が表示されます。

3. 必要に応じて「ドメイン構造」のタブとオプションを使用し、ユーザーやグループなどのオプションを構成します。

注意:
デフォルトのWebLogic LDAPサーバーではなくOracle Internet Directoryなどの代替認証プロバイダを使用する場合は、代替認証プロバイダ管理アプリケーション(管理コンソールなど)を使用してユーザーとグループを管理する必要があります。

1.6.2 Oracle Fusion Middleware Controlの使用

Fusion Middleware Controlは、Webブラウザベースのグラフィカル・ユーザー・インタフェースであり、ファームと呼ばれるコンポーネントの集まりを管理できます。ファームには、複数のOracle WebLogic Serverドメイン、1つの管理サーバー、1つ以上の管理対象サーバー、複数のクラスタのほか、ドメインにインストールされ、構成および実行されている複数のOracle Fusion Middlewareコンポーネントが含まれます。Oracle Business Intelligenceの構成中にOracle WebLogic Serverドメインが作成され、そのドメインにOracle Business Intelligenceが構成されます。ドメインの名前はbi(エンタープライズ・インストール)で、Fusion Middleware Controlのナビゲーション・ペインの「WebLogicドメイン」フォルダにあります。

Oracle Business Intelligenceのセキュリティは、Oracle Fusion Middleware Controlを使用して次のように管理します。

- Oracle Business Intelligenceリソースへのアクセスを制御するアプリケーション・ロールおよびアプリケーション・ポリシーを管理します。

- Oracle Business Intelligenceに対する複数の認証プロバイダを構成します。

Fusion Middleware Controlにログインするには、Webブラウザを開き、次の形式でFusion Middleware ControlのURLを入力します。

http://hostname.domain:port/em

ポート番号は管理サーバーの番号で、デフォルトは9500です。

Fusion Middleware Controlの使用の詳細は、『Oracle Fusion Middleware管理者ガイド』を参照してください。

Fusion Middleware Controlを使用するには、次の手順を実行します。

1. URLをWebブラウザに入力します。例:

http://host1.example.com:9500/em

図1-3に示すように、Fusion Middleware Controlのログイン・ページが表示されます。

図1-3 Fusion Middleware Controlの「ログイン」ページ

2. システム管理者のユーザー名とパスワードを入力し、「ログイン」ボタンをクリックします。
システム全体にわたる管理者のユーザー名とパスワードは、インストール・プロセスの実行時に指定します。このユーザー名とパスワードを使用して、Oracle WebLogic Server管理コンソール、Fusion Middleware ControlおよびOracle Business Intelligenceにログインできます。

または、WebLogicのグローバルAdminロールが付与されている他のユーザー名およびパスワードを入力します。

図1-4に示すように、Fusion Middleware Controlが表示されます。

図1-4 Fusion Middleware Controlのメイン・ページ

3. メイン・ページから、ページの左上のターゲット・ナビゲーション・アイコンをクリックして、「Business Intelligence」フォルダを展開します。

4. 「biinstance」を選択して、Oracle Business Intelligence固有のページを表示します。

5. Fusion Middleware Controlを次のように使用して、Oracle Business Intelligenceのセキュリティを管理します。

- アプリケーション・ロールおよびアプリケーション・ポリシーの管理
詳細は、第2.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理」を参照してください。

- Secure Sockets Layer (SSL).の構成
詳細は、次のマニュアルを参照してください。

- 第5.2.2.2項「HTTPSポートの構成」

- 第5.14.1項「Fusion Middleware Controlの使用によるSMTPサーバーのSSLの構成」

1.6.3 Oracle BI管理ツールの使用

Oracle BI管理ツールを使用して、メタデータ・リポジトリのオブジェクトに対してユーザーとアプリケーション・ロールの権限を構成します。

管理ツールを使用するには:

1. 管理ツールにログインします。

注意:
オンライン・モードで管理ツールにログインした場合は、WebLogic Serverのユーザーをすべて表示できます。オフライン・モードで管理ツールにログインすると、以前にメタデータ・リポジトリ権限をRPDに直接割り当てたユーザーの参照のみ表示できます。直接ユーザーではなくアプリケーション・ロールにメタデータ・リポジトリ権限を割り当てることをお薦めします。

2. (オプション)「管理」→「アイデンティティ」を選択して「Identity Manager」ダイアログを表示します。
図1-5は、「アイデンティティ」ダイアログを示しています。

図1-5 「Identity Manager」ダイアログ

アプリケーション・ロールをダブルクリックして「アプリケーション・ロール <名前>」ダイアログを表示し、「権限」をクリックした場合、「オブジェクト権限」タブを使用し、Oracle BIプレゼンテーション・カタログ内のオブジェクトおよびフォルダに関して、そのアプリケーション・ロールの読取り権限および書込み権限を(リポジトリ内で)表示および構成できます。

3. Identity Managerを閉じます。

4. 「プレゼンテーション」ペインでフォルダを開き、オブジェクトを右クリックして「プレゼンテーション表 <表名>」ダイアログを表示します。

5. 「権限」をクリックして、「権限 <表名>」ダイアログを表示します。
図1-6は、ユーザー、一部のアプリケーション・ロールおよびアプリケーション・ロールへの権限の設定に使用されるラジオ・ボタンの「読取り」、「読取り/書込み」、「アクセス権なし」および「デフォルト」を示しています。

図1-6 アプリケーション・ロールを表示する「権限」ダイアログ

1.6.4 プレゼンテーション・サービス管理の使用

ユーザーの権限を構成するには、Presentation Servicesの管理ページを使用します。

プレゼンテーション・サービス管理ページを使用するには:

1. 管理者権限でOracle Business Intelligenceにログインします。

2. 「管理」リンクを選択して、「管理」ページを表示します。

3. 「権限の管理」リンクを選択します。
図1-7に、割り当てられている権限に対してリストされたアプリケーション・ロールを示します。

図1-7 アプリケーション・ロールを表示するプレゼンテーション・サービス管理の「権限の管理」ページ

4. 特定の権限(KPI Builderへのアクセスなど)のリンク(「BIContentAuthor」など)を選択して、「権限<権限名>」ダイアログを表示します。

5. ユーザー/ロールの追加アイコン(+)をクリックして「アプリケーション・ロール、カタログ・グループおよびユーザーの追加」ダイアログを表示します。
このダイアログを使用して、アプリケーション・ロール(BIServiceAdministrator、BIContentAuthor、BIConsumerなど)をこの権限に割り当てます。

直接ユーザーではなくアプリケーション・ロールにPresentation Servicesの権限を割り当てることをお薦めします。

1.7 Oracle Business Intelligenceのセキュリティを設定するための詳細な手順

ここでは、Oracle Business Intelligenceの新しいインストールでセキュリティを設定する方法について説明します。タスクには必須のものと、任意のものと、選択した構成次第で必要になるものがあります。この項は、Oracle Business Intelligenceの既存のインストールを保守する場合にも参考になります。

Oracle Business Intelligenceをインストールした後、通常は、サンプル・アプリケーションを使用して製品を評価します。その後、実際のビジネス要件に応じて独自のユーザー、グループおよびアプリケーション・ロールの作成と開発を反復的に行うことが一般的です。

Oracle Business Intelligenceをインストールしたら、次に示す順序に従ってこれらのタスクを行うことをお薦めします。

1. この章に目を通して、セキュリティのコンセプト、ツールおよび用語の概要を理解してください。特に、第1.6項「Oracle Business Intelligenceでセキュリティを構成するツールの使用」を読んで、セキュリティを構成するためのOracle Business Intelligenceのコンポーネントおよびツールに精通しておく必要があります。

2. 第2.1項「ユーザー、グループおよびアプリケーション・ロールの使用」の概要を読んで、ユーザー、グループおよびアプリケーション・ロールについて学びます。

3. 次のように、ユーザーの認証に使用する認証プロバイダを決定します。

- デフォルトの組込みWebLogic LDAPサーバーを使用する場合は、ステップ4のタスクに従ってください。

- Oracle Internet Directory (OID)などの代替認証プロバイダを使用するようにOracle Business Intelligenceを再構成する場合は、ステップ5のタスクに従ってください。

ヒント:
ユーザーが1000人を超える環境では、WebLogic組込みLDAPサーバーを使用しないことをお薦めします。高可用性およびスケーラビリティを備えた本番環境が必要な場合は、Oracle Internet Directory (OID)などのディレクトリ・サーバー、またはサードパーティのディレクトリ・サーバーを使用する必要があります。
サポートされている認証プロバイダの一覧が掲載されている場所については、「システム要件と動作要件」を参照してください。

4. (組込みWebLogic LDAPサーバーのみ)デフォルトの組込みWebLogic LDAPサーバーを認証プロバイダとして使用する場合は、次の手順に従ってください。

1. 第2.3.2項「組込みWebLogic LDAPサーバーにおける新規ユーザーの作成」の説明に従って、デプロイするユーザーを設定します。
たとえば、分析を表示する必要がある20人のユーザーにOracle Business Intelligenceをデプロイする場合は、20人のユーザーを作成します。

2. 新しいグループを作成する場合は、第2.3.3項「組込みWebLogic LDAPサーバーにおける新規グループの作成」の説明に従って、使用するグループを設定します。

3. 第2.3.4項「組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て」の説明に従って、ユーザーを適切なグループに割り当てます。

4. ユーザーのグループをアプリケーション・ロールに割り当てます。
詳細な手順は、第2.3.1項「新規グループおよび新規アプリケーション・ロールへのユーザーの割当て」を参照してください。

5. (Oracle Internet Directory (OID)のみ)認証プロバイダとしてOIDを使用している場合は、次の手順に従ってください。

1. 第3.2項「代替認証プロバイダを構成するための大まかな手順」の説明に従って、OIDを認証プロバイダとして構成します。

2. 必要に応じて、認証プロバイダ・ツール(OIDコンソールなど)を使用して、ユーザーおよびグループを作成します。

6. 第2.4.2項「Fusion Middleware Controlの使用によるアプリケーション・ロールの作成と削除」の説明に従って、デプロイするアプリケーション・ロールを設定します。
たとえば、BIConsumer、BIContentAuthorおよびBIServiceAdministratorを使用したり、固有のアプリケーション・ロールを作成します。

7. (オプション)既存のアプリケーション・ポリシーを使用しない場合は、第2.4.3項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成」の説明に従って、デプロイするアプリケーション・ポリシーを設定できます。
たとえば、サンプルのアプリケーション・ロールBIConsumer、BIContentAuthorおよびBIServiceAdministratorによって使用されるアプリケーション・ポリシーを使用することも、独自のアプリケーション・ポリシーを作成することもできます。

8. 次の手順に従って、各グループを適切なアプリケーション・ロールに割り当てます。

- 新しいグループを作成した場合は、第2.4.2.3項「アプリケーション・ロールへのグループの割当て」の説明に従って、この新しいグループを適切なアプリケーション・ロールに割り当てる必要があります。

- Oracle Internet Directoryなどの商用認証プロバイダを使用している場合は、第2.4.2.3項「アプリケーション・ロールへのグループの割当て」の説明に従って、グループを適切なアプリケーション・ロールに割り当てる必要があります。

9. Oracle BIリポジトリでユーザーおよびグループに付与されている権限を調整する場合は、第2.5項「Oracle BI管理ツールの使用によるメタデータ・リポジトリ権限の管理」の説明に従って、管理ツールを使用して権限を更新します。
たとえば、BISuperConsumerという名前のアプリケーション・ロールを有効化して分析を作成できるようにするには、管理ツールを使用してサブジェクト・エリアへの読取りアクセス権を読取り/書込みアクセス権に変更します。

注意:
デフォルトのSampleAppLite.rpdファイルを本番システムで使用する場合、管理ツールを使用して、インストールされた値からパスワードを変更する必要があります。SampleAppLiteリポジトリ・ファイルの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

10. Presentation Servicesの管理ページでユーザーおよびグループに付与されている権限を調整する場合は、第2.6項「アプリケーション・ロールの使用によるPresentation Servicesの権限の管理」の説明に従って、権限を変更します。
たとえば、BISuperConsumerという名前のアプリケーション・ロールがスコアカードを表示できないようにするには、プレゼンテーション・サービスの管理ページを使用して、BISuperConsumerの「スコアカード」権限と「スコアカードの表示」権限を「権限付与」から「拒否」に変更します。

11. シングル・サインオンをデプロイする場合は、第4章「SSO認証の有効化」の手順に従います。

12. Secure Sockets Layer (SSL)をデプロイする場合は、第5章「Oracle Business IntelligenceのSSLの構成」の手順に従います。
Oracle Business Intelligenceは、SSLが無効の状態でインストールされます。Oracle Business IntelligenceをSSL環境にデプロイする場合は、第5章「Oracle Business IntelligenceのSSLの構成」の手順に従ってください。

1.8 Oracle Business Intelligenceの11gと12cのセキュリティ・モデルの比較

リリース11gとリリース12cでは、セキュリティ・モデルに次のような違いがあります。

- BIシステム・ユーザー - Oracle Business Intelligence 11gでは、BIユーザーを偽装する場合にBIシステム・ユーザーがプロセス間通信に使用されました。Oracle Business Intelligence 12cでは、内部的な信頼メカニズムがこの機能を置き換えて、BIシステム・ユーザーは不要になるか、プロビジョニングされなくなりました。

- アプリケーション・セキュリティ・ポリシー - Oracle Business Intelligence 11gでは、デフォルトのBIインストールによってファイルのデフォルトのセキュリティ・ポリシーがプロビジョニングされました。Oracle Business Intelligence 12cはデータベース・ポリシー・ストアを使用し、アクティブなセキュリティ・ポリシーがBIアプリケーション・アーカイブ・ファイルからインポートされるか、直接サービス・インスタンスで修正されます。

- 権限および権限セット - 11gの場合、ポリシー・ストアはアプリケーション・ロールに(通常)割り当てられる権限を指定します。12cの場合、資格として通常一緒に割り当てられる権限をまとめるために権限セットのコレクションが追加されました。権限を引き続き使用できますが、12cの権限セットが権限をアプリケーション・ロールに割り当てる優先単位です。

- ユーザーGUID - 誤ってUserIdsを再利用しないようにセキュリティ検索のために、Oracle Business Intelligence 11gのユーザーGUIDをログイン時に参照しました。Oracle Business Intelligence 12cでは、ユーザーGUIDが参照されなくなりました。かわりに、BIからユーザーを削除するより明確な方法が導入されました。第2.9項「ユーザーの削除」を参照してください。

Oracle Business Intelligenceリリース11gのセキュリティ・モデルが持つ次の側面は、リリース12cに引き継がれています。

- BIサーバー初期化ブロック - リリース12cでBIサーバーは、認証および認可での初期化ブロックの使用を引き続きサポートします。リリース12cでは、Oracle Business Intelligenceが初期化ブロックを使用するのは、インストールの構成済認証プロバイダでユーザーを認証できなかった場合です。
詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』の初期化ブロックでの作業に関する項を参照してください。

- カタログ・グループ - Oracle Business Intelligenceリリース12cでは、引き続きOracle BIプレゼンテーション・カタログ内でのカタログ・グループの定義がサポートされます。ただし、この機能は推奨されていません。これらのグループは、Oracle BIプレゼンテーション・サービス内でのみ表示可能です。Oracle BIプレゼンテーション・カタログのグループは下位互換性のためにのみ使用し、新しいインストールではアプリケーション・ロールを使用することをお薦めします。
詳細は、第D.2.2項「カタログ・グループの使用」を参照してください。

- SAシステム・サブジェクト・エリア - Oracle Business Intelligenceリリース12cでは、データベース表に格納されているユーザー、グループおよびプロファイル情報へのアクセス方法として、BIサーバーの初期化ブロックと組み合せてSAシステム・サブジェクト・エリアを使用できます。
詳細は、Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionスケジュール・ジョブ・ガイドのSAシステム・サブジェクト・エリアの設定に関する項を参照してください。

1.9 用語

このガイド全体を通じて使用される用語は次のとおりです。

アプリケーション・ポリシー

Oracle Business Intelligenceでは権限はアプリケーション・ロールによって付与されます。デフォルトのセキュリティ構成では、各ロールには事前構成済の一連の権限が与えられています。アプリケーション・ポリシーは、Java EEおよびJAASポリシーのコレクションで、特定のアプリケーションに適用されます。アプリケーション・ポリシーは、各アプリケーション・ロールが付与する権限を定義するメカニズムです。権限の付与は、アプリケーション・ロールに対応するアプリケーション・ポリシーで管理されます。

アプリケーション・ロール

Oracle Business Intelligenceを使用しているときのユーザーの役割を表します。これは、ロールのメンバーに権限を付与するためにOracle Business Intelligenceが使用するコンテナでもあります。アプリケーション・ロールはポリシー・ストア・プロバイダで管理されます。

認証

ログイン中に提示される資格証明を確認することでIDを検証するプロセス。

認証プロバイダ

ユーザーおよびグループの情報にアクセスするために使用されるセキュリティ・プロバイダで、ユーザーの認証を行います。Oracle Business Intelligenceのデフォルトの認証プロバイダは、Oracle WebLogic Server組込みディレクトリ・サーバーで、DefaultAuthenticatorという名前です。

認可

認証されたユーザーに割り当てられた権限に応じて、リソースへのアクセス権限を付与するプロセス。

カタログ・グループ

カタログ・グループは、Oracle BIプレゼンテーション・サービス内でローカルに定義され、Oracle BIプレゼンテーション・カタログのパーミッションの付与に加え、Oracle Business Intelligenceユーザー・インタフェースでの権限の付与に使用されます。

カタログ・パーミッション

これらの権限は、Oracle BIプレゼンテーション・カタログに格納されているオブジェクトへのアクセス権を付与します。権限はカタログに格納され、プレゼンテーション・サービスで管理されます。

カタログ権限

これらの権限は、Oracle BIプレゼンテーション・カタログの機能へのアクセス権を付与します。権限はカタログに格納され、プレゼンテーション・サービスで管理されます。これらの権限は付与されるか、または拒否されます。

資格証明ストア

Oracle Business Intelligence資格証明ストアは、ソフトウェア・コンポーネントによって使用されるシステム資格証明をセキュアに格納するために使用されるファイルです。このファイルは、インストール内のすべてのマシンに自動的にレプリケートされます。

資格証明ストア・プロバイダ

資格証明ストアは、Oracle Business Intelligenceコンポーネント間で内部的に使用される資格証明をセキュアに格納し、管理するために使用されます。たとえば、SSL証明書はここに格納されています。

暗号化

プレーンテキスト情報(データ)を、鍵を使用した場合にかぎり読取りが可能になる読取り不可能なテキストに変換することで、機密が保たれた通信を実現するプロセス。Secure Sockets Layer (SSL)を使用すると、インターネットを介したWebアプリケーション通信など、TCP/IPネットワーク上でセキュアな通信が可能になります。

偽装

偽装は、Oracle Business Intelligenceコンポーネントがユーザーのパスワードを使用することなく、ユーザーの代理としてセッションを確立するために使用する機能です。たとえば、偽装はOracle BIスケジューラがエージェントを実行するときに使用されます。

Oracle WebLogic Serverドメイン

管理サーバーとして知られているインスタンスを含むOracle WebLogicサーバー・リソースの論理的に関連したグループ。ドメイン・リソースはOracle WebLogic Server管理コンソールで構成され、管理されます。詳細は、付録B.2.2「Oracle WebLogic Serverドメイン」を参照してください。

アイデンティティ・ストア

アイデンティティ・ストアには、ユーザー名、パスワードおよびグループ・メンバーシップの情報が含まれています。Oracle Business Intelligenceでは、アイデンティティ・ストアは通常ディレクトリ・サーバーであり、認証プロセス中に認証プロバイダがアクセスします。たとえば、ログイン時にユーザー名とパスワードの組合せを入力すると、認証プロバイダは、提供された資格証明を検証するためにアイデンティティ・ストアを検索します。Oracle Business Intelligenceは、別のアイデンティティ・ストアを使用するように再構成できます。詳細なリストは、「システム要件と動作要件」を参照してください。

権限セット

権限のセットを表します。

ポリシー・ストア・プロバイダ

ポリシー・ストアは、システムおよびアプリケーションに固有のポリシーのリポジトリです。ここには、インストールの一部としてすべて構成済の、Oracle Business Intelligenceのデフォルトのアプリケーション・ロール、権限、ユーザーとグループの間のマッピングの定義が格納されています。Oracle Business Intelligenceの権限は、アイデンティティ・ストアからアプリケーション・ロールにユーザーとグループを割り当てることで付与され、付与された権限はポリシー・ストア内に配置されます。

ポリシー・ストア

アプリケーション・ロール、アプリケーション・ポリシー、およびアプリケーション・ロールに割り当てられたメンバー(ユーザー、グループおよびアプリケーション・ロール)の定義が含まれます。デフォルトのポリシー・ストアは、Oracle Business Intelligenceインストール内のすべてのマシンに自動的にレプリケートされるファイルです。ポリシー・ストアには、データベース・ベースまたはLDAPベースのものがあります。

Secure Sockets Layer (SSL)

セキュアな通信リンクを提供します。SSLでは、選択したオプションに応じて、暗号化、認証および拒否の組合せを提供できます。HTTPベースのリンクの場合、セキュアなプロトコルはHTTPSとして知られています。

セキュリティ・ポリシー

セキュリティ・ポリシーは、個々のユーザーまたは特定のアプリケーション・ロールに付与されている、Oracle Business Intelligenceリソースへのアクセス権をまとめたグループです。アクセス権を制御する場所は、要求されているリソースの管理をどのOracle Business Intelligenceコンポーネントが行っているかによって決まります。ユーザーのセキュリティ・ポリシーは権限付与の組合せであり、次の要素によって決定されます。

- Oracle BIプレゼンテーション・カタログ:
ユーザーがアクセスできるOracle BIプレゼンテーション・カタログ・オブジェクトおよびOracle BIプレゼンテーション・サービス機能がどれであるかを定義します。この機能へのアクセス権は、Oracle Business Intelligenceのユーザー・インタフェースで管理されます。これらの権限は、個々のユーザーに対して、またはアプリケーション・ロールに対応するメンバーシップによって付与されます。

- リポジトリファイル:
リポジトリ・ファイル内に指定したメタデータへのアクセス権を定義します。この機能へのアクセス権は、Oracle BI管理ツールで管理されます。これらの権限は、個々のユーザーに対して、またはアプリケーション・ロールに対応するメンバーシップによって付与されます。

- ポリシー・ストア:
Oracle Business Intelligence、Oracle BI PublisherおよびOracle Real-Time Decisionsの機能のいずれにアクセスできるかを定義します。この機能へのアクセス権は、Oracle Enterprise Manager Fusion Middleware Controlで管理されます。これらの権限は、個々のユーザーに対して、またはアプリケーション・ロールに対応するメンバーシップによって付与されます。

セキュリティ・レルム

デプロイメント中にOracle WebLogic Serverドメインが作成され、Oracle Business Intelligenceがそのドメインにデプロイされます。Oracle WebLogic Serverドメインのセキュリティは、ドメインのセキュリティ・レルムで管理されます。セキュリティ・レルムは範囲指定メカニズムとして機能します。各セキュリティ・レルムには、一連の構成済セキュリティ・プロバイダ、ユーザー、グループ、セキュリティ・ロール、およびセキュリティ・ポリシーが含まれています。ドメインでは1つのセキュリティ・レルムだけがアクティブになります。Oracle Business Intelligenceの認証は、インストール先のWebLogic Serverドメインのデフォルト・セキュリティ・レルム用に構成された認証プロバイダによって実行されます。Oracle WebLogic Server管理コンソールは、Oracle WebLogic Serverドメインを管理するための管理ツールです。

シングル・サインオン

ユーザーが認証を一度行えば、同じブラウザ・セッションの間は複数のソフトウェア・アプリケーションにアクセスできるようにする認証方法。

ユーザーとグループ

ユーザーとは、認証可能なエンティティです。ユーザーには、アプリケーション・ユーザーなどの人、クライアント・アプリケーションなどのソフトウェア・エンティティがあります。どのユーザーにも、アイデンティティ・ストア内で一意の識別子が付与されています。

グループは、何かしら共通するものを持つユーザーを集合にまとめたものです。グループは、システム管理者によって割り当てられた静的な識別子です。ユーザーをグループにまとめることで、効率的なセキュリティ管理を促進します。グループには、LDAPグループとカタログ・グループの2種類があります。カタログ・グループは、Oracle Business Intelligenceユーザー・インタフェースで権限を付与する場合に、プレゼンテーション・サービスの既存のユーザー・ベースをサポートするために使用されます。カタログ・グループの使用はお薦めしません。これは、アップグレードしたシステムでの下位互換性を目的としたものです。

2 デフォルト・セキュリティ構成を使用したセキュリティの管理

この章では、サンプル・アプリケーションとともに組込みWebLogic LDAPサーバーを使用してOracle Business Intelligenceセキュリティをデプロイする方法について説明します。

注意:
セキュリティ設定手順の詳細なリストは、第1.7項「Oracle Business Intelligenceのセキュリティを設定するための詳細な手順」を参照してください。

サンプル・アプリケーションとともにデフォルトの組込みWebLogic LDAPサーバーをデプロイすることで、デフォルトのユーザー、グループおよびアプリケーション・ロールを使用できます。また、独自のユーザー、グループおよびアプリケーション・ロールを開発することもできます。

この章には次の項が含まれます:

- ユーザー、グループおよびアプリケーション・ロールの使用

- ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例

- 組込みWebLogic LDAPサーバーにおけるユーザーおよびグループの管理

- Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理

- Oracle BI管理ツールの使用によるメタデータ・リポジトリ権限の管理

- アプリケーション・ロールの使用によるPresentation Servicesの権限の管理

- Oracle BI Publisherの使用によるデータ・ソース・アクセスの権限の管理

- デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性の有効化

- ユーザーの削除

- Oracle BIプレゼンテーション・カタログでのセキュリティ関連タスクの管理のためのruncatコマンドライン・インタフェースの使用

組込みWebLogic LDAPサーバーからユーザー(暗号化されたパスワードを使用)、グループ、ロールおよびポリシーを移行できます。詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』の組込みLDAPサーバーの情報のエクスポートおよびインポートに関する項を参照してください。

2.1 ユーザー、グループおよびアプリケーション・ロールの使用

BIインストールで使用できるサンプル・アプリケーションとともにOracle Business Intelligenceを構成する場合、BI機能を使用してBIフォルダ、レポート、データ列および他のオブジェクトにアクセスできるようにユーザーおよびグループをプロビジョニングするために、多数のアプリケーション・ロールが用意されています。たとえば、Oracle BI Enterprise Editionのフレッシュ・インストールの後、サンプル・アプリケーションを使用した初期サービス・インスタンスの移入を選択した場合、構成手順中にBIドメインを作成するために指定されたユーザーにBIServiceAdministratorというアプリケーション・ロールが割り当てられます。BIServiceAdministratorアプリケーション・ロールに加えて、サンプル・アプリケーションから、これらのサンプル・アプリケーション・ロールが連携して機能するように事前構成されます。たとえば、BIServiceAdministratorアプリケーション・ロールのメンバーであるユーザーは、BIContentAuthorおよびBIConsumerアプリケーション・ロールを自動的に継承するため、これらのすべてのアプリケーション・ロールに関連付けられたすべての権限およびパーミッションでプロビジョニングされます。このセキュリティ構成の詳細は、付録B「デフォルト・セキュリティ構成の理解」を参照してください。

サンプル・アプリケーション・ロールには、サンプルのOracle BIプレゼンテーション・カタログ、BIリポジトリおよびポリシー・ストアを操作できるように、適切なパーミッションおよび権限があります。たとえば、アプリケーション・ロールBIContentAuthorは、ダッシュボード、レポート、アクションなどの作成に必要な権限を備えて事前構成されます。

図2-1に、サンプルおよび初期アプリケーション・インストールで事前構成されるアプリケーション・ロール、グループおよびユーザーを示します。

図2-1 サンプル・アプリケーションで事前構成されたアプリケーション・ロール

最初にBIドメインを構成する場合、BIインストールに組み込まれているBIアプリケーション・アーカイブ(BAR)・ファイルのいずれかに基づいて、サービス・インスタンスが作成されます。各BIアプリケーションには、管理アプリケーション・ロールとしてタグ付けされているアプリケーション・ロールが含まれます。この管理アプリケーション・ロールの名前は、BIアプリケーション・アーカイブの開発者または作成者によって決まります。BIインストールで使用できるサンプル、初期および空のアプリケーションの場合、この管理アプリケーション・ロールの名前はBIServiceAdministratorです。これらのアプリケーションの作成者は、このアプリケーション・ロールのメンバーがシステムを管理できるように、このアプリケーション・ロールに対する特定の権限セットおよび権限が割り当てられます。BIサービス・インスタンスが作成されると、BIシステム管理者はサービス・インスタンスの所有者(ユーザー)を指定します。BIアーカイブ・ファイルがサービス・インスタンスにインポートされる場合は常に、システムにより、管理アプリケーション・ロールがサービス・インスタンスに割り当てられます。

注意:
11gアップグレード・バンドルを12cサービス・インスタンスにインポートする場合、システムにより、管理アプリケーション・ロールとしてアプリケーション・ロール'BIAdministrator'が自動的にタグ付けされます。

詳細は、『Oracle Fusion Middleware Oracle Business Intelligenceインストレーション・ガイド』および『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のimportServiceInstanceに関する項を参照してください。

サンプル・アプリケーション・ロールを使用して、セキュリティをデプロイできます。固有のグループおよびアプリケーション・ロールを作成して、ビジネス・ニーズを満たすことができます。例:

- Fredという名前の従業員に、ダッシュボードおよびレポートの作成を可能にする場合、Fredという名前の新規ユーザーを作成し、FredをデフォルトのBIContentAuthorsグループに割り当てることができます。

- ユーザーFredをSalesダッシュボード作成者にする場合、リポジトリ内のSalesサブジェクト・エリアの表示およびSalesダッシュボードの編集の権限を持つ、Sales_ Dashboard_ Authorという名前のアプリケーション・ロールを作成できます。

- ユーザーFredがBIContentAuthorsおよびSales_Dashboard_Author職務を行うことをできるようにする場合、BIContentAuthors権限およびSales_Dashboard_Author権限を持つBIManagerという新しいアプリケーション・ロールを作成できます。

サンプル・アプリケーション・ロールの詳細は、付録B「デフォルト・セキュリティ構成の理解」を参照してください。

2.2 ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例

この例では、小さいセットのユーザー、グループおよびアプリケーション・ロールを使用して、セキュリティ・モデルの設定方法を示します。この例では、次を実装します。

- ビジネス・インテリジェンス・レポートを表示する必要がある、User1、User2およびUser3という名前の3ユーザー

- ビジネス・インテリジェンス・レポートを作成する必要がある、User4およびUser5という名前の2ユーザー

- Oracle Business Intelligenceを管理する、User6およびUser7という名前の2ユーザー

図2-2は、このセキュリティ・モデルの例を実装するためにデプロイするユーザー、グループおよびアプリケーション・ロールを示しています。

図2-2 ユーザー、グループおよびアプリケーション・ロールの例

図2-2は、次のことを表しています。

- BIConsumersという名前のグループには、User1、User2およびUser3が含まれています。グループBIConsumersのユーザーには、BIConsumerという名前のアプリケーション・ロールが割り当てられています。これによりユーザーはレポートを表示できます。

- BIContentAuthorsという名前のグループには、User4およびUser5が含まれています。グループBIContentAuthorsのユーザーには、BIContentAuthorという名前のアプリケーション・ロールが割り当てられています。これによりユーザーはレポートを作成できます。

- BIServiceAdministratorsという名前のグループには、User6およびUser7が含まれています。グループBIServiceAdministratorsのユーザーには、BIServiceAdministratorという名前のアプリケーション・ロールが割り当てられています。これによりユーザーはリポジトリを管理できます。

この例のセキュリティ・モデルを実装するには:

1. 第2.3.2項「組込みWebLogic LDAPサーバーにおける新規ユーザーの作成」の説明に従って、User1からUser7まで7人のユーザーを作成します。

2. 第2.3.3項「組込みWebLogic LDAPサーバーにおける新規グループの作成」の説明に従って、グループBIConsumers、BIContentAuthorsおよびBIServiceAdministratorsを作成します。

3. デフォルトのグループに、次のようにユーザーを割り当てます。

- BIConsumersという名前のグループに、User1、User2およびUser3を割り当てます。

- BIContentAuthorsという名前のグループに、User4およびUser5を割り当てます。

- BIServiceAdministratorsという名前のグループに、User6およびUser7を割り当てます。

詳細は、第2.3.4項「組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て」を参照してください。

4. 次の手順に従って、グループをサンプル・アプリケーション・ロールに割り当てます。

- BIConsumersグループをBIConsumerアプリケーション・ロールのメンバーにします。

- BIContentAuthorsグループをBIContentAuthorアプリケーション・ロールのメンバーにします。

- BIServiceAdministratorsグループをBIServiceAdministratorアプリケーション・ロールのメンバーにします。

詳細は、第2.4.2.3項「アプリケーション・ロールへのグループの割当て」を参照してください。

2.3 組込みWebLogic LDAPサーバーにおけるユーザーおよびグループの管理

この項では、組込みWebLogic LDAPサーバーにおけるユーザーおよびグループの管理方法を説明します。次のトピックがあります:

- 第2.3.1項「新規グループおよび新規アプリケーション・ロールへのユーザーの割当て」

- 第2.3.2項「組込みWebLogic LDAPサーバーにおける新規ユーザーの作成」

- 第2.3.3項「組込みWebLogic LDAPサーバーにおける新規グループの作成」

- 第2.3.4項「組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て」

- 2.9項「ユーザーの削除」

- 第2.3.5項「(オプション)組込みWebLogic LDAPサーバーにおけるユーザー・パスワードの変更」

2.3.1 新規グループおよび新規アプリケーション・ロールへのユーザーの割当て

この項では、固有のユーザーを作成して新しいグループおよび新しいアプリケーション・ロールに割り当てることでセキュリティ・モデルを拡張する方法について説明します。

たとえば、Jimという名前のユーザーを作成し、BIMarketingRoleという名前の新規アプリケーション・ロールに割り当てられるBIMarketingGroupという名前の新規グループにJimを割り当てる場合などがあります。

新規ユーザーを作成して、そのユーザーを新規グループおよび新規アプリケーション・ロールに割り当てるには:

1. 第1.6.1項「Oracle WebLogic Server管理コンソールの使用」の説明に従って、WebLogic管理コンソールを起動します。

2. 第2.3.2項「組込みWebLogic LDAPサーバーにおける新規ユーザーの作成」の説明に従って、新規ユーザーを作成します。

3. 第2.3.3項「組込みWebLogic LDAPサーバーにおける新規グループの作成」の説明に従って、新規グループを作成します。

4. 第2.3.4項「組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て」の説明に従って、新しいユーザーを新しいグループに割り当てます。

5. 第2.4.2.2項「アプリケーション・ロールの作成」の説明に従って、新規アプリケーション・ロールを作成し、それを新規グループに割り当てます。
グループをアプリケーション・ロールに割り当てるのみの場合は、第2.4.2.3項「アプリケーション・ロールへのグループの割当て」の手順を実行します。

6. 第2.5.2項「アプリケーション・ロールのリポジトリ権限の設定」の説明に従って、Oracle BIリポジトリを編集し、新規アプリケーション・ロールの権限を設定します。

7. 第2.6.3項「アプリケーション・ロールに対するPresentation Servicesの権限の設定」の説明に従って、Oracle BI Presentation Catalogを編集し、新規のユーザーおよびグループの権限を設定します。

2.3.2 組込みWebLogic LDAPサーバーにおける新規ユーザーの作成

通常、Oracle Business Intelligence環境では、ビジネス・ユーザーごとに別々のユーザーを作成します。たとえば、レポート・コンシューマを30ユーザー、レポート作成者を3ユーザー、および管理者を1ユーザー、デプロイするように計画できます。この場合、Oracle WebLogic Server管理コンソールを使用して、適切なグループに割り当てる34個のユーザーを作成します。

デプロイするユーザーごとに、この作業を繰り返します。

注意:
組込み認証済ユーザー・アプリケーション・ロールについて。
ログインできるすべてのユーザーには、組込み認証済アプリケーション・ロールによって付与された基本レベルの操作権限が与えられます。すべての認証されたユーザーがBIアプリケーションの権限を付与されたアプリケーション・ロールのメンバーであるように、サービス・インスタンスにインポートされるBIアプリケーションの作成者がセキュリティ・ポリシーを設計している場合があります。詳細は、付録B「サンプル・アプリケーションを使用したセキュリティ構成」を参照してください

.

組込みWebLogic LDAPサーバーにおいて新規ユーザーを作成するには:

1. Oracle WebLogic Server管理コンソールにログインします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、「myrealm」をクリックします。

3. 「ユーザーとグループ」タブ→「ユーザー」を選択します。「新規」をクリックします。

4. 「新しいユーザーの作成」ペインで、次の情報を指定します。

- 名前: ユーザーの名前を入力します。無効な文字のリストは、オンライン・ヘルプを参照してください。

- (オプション)説明: 説明を入力します。

- プロバイダ: ユーザー情報が含まれるアイデンティティ・ストアに対応するリストから、認証プロバイダを選択します。DefaultAuthenticatorは、デフォルト認証プロバイダの名前です。

- パスワード: 8文字以上の長さで、ユーザーのパスワードを入力します。

- パスワードの確認: ユーザー・パスワードを再入力します。

5. 「OK」をクリックします。
ユーザー名は、User表に追加されます。

2.3.3 組込みWebLogic LDAPサーバーにおける新規グループの作成

通常、Oracle Business Intelligence環境では、ビジネス・ユーザーの機能タイプごとに別々のグループを作成します。たとえば、標準的なデプロイメントには、BIConsumers、BIContentAuthorsおよびBIServiceAdministratorsという3つのグループが必要となる場合があります。この場合、Oracle Business Intelligenceとともに使用するよう構成できるBIConsumers、BIContentAuthorsおよびBIServiceAdministratorsという名前のグループを作成したり、固有のカスタム・グループを作成できます。

ヒント:
一連のユーザー、グループおよびアプリケーション・ロールを示すセキュリティ・モデルの例は、第2.2項「ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例」を参照してください。

デプロイする新しいグループごとに、この作業を繰り返します

組込みWebLogic LDAPサーバーにおける新規ユーザーを作成するには:

1. Oracle WebLogic Server管理コンソールを起動します。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、「myrealm」をクリックします。

3. 「ユーザーとグループ」タブ→「グループ」を選択します。「新規」をクリックします。

4. 「新しいグループの作成」ペインで、次の情報を指定します。

- 名前: グループの名前を入力します。グループ名は、大文字と小文字が区別され、一意である必要があります。無効な文字のリストは、オンライン・ヘルプを参照してください。

- (オプション)説明: 説明を入力します。

- プロバイダ: グループ情報が含まれるアイデンティティ・ストアに対応するリストから、認証プロバイダを選択します。DefaultAuthenticatorは、デフォルト認証プロバイダの名前です。

5. 「OK」をクリックします。
グループ名は、Group表に追加されます。

2.3.4 組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て

通常は、各ユーザーを適切なグループに割り当てます。たとえば、標準的なデプロイメントには、レポート・コンシューマをBIConsumersという名前のグループに割り当てるためのユーザーIDの作成が必要となる場合があります。この場合は、BIConsumersという名前のデフォルトのグループにユーザーを割り当てるか、作成したカスタム・グループにユーザーを割り当てることができます。

ヒント:
一連のユーザー、グループおよびアプリケーション・ロールを示すセキュリティ・モデルの例は、第2.2項「ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例」を参照してください。

この作業を繰り返して、各ユーザーを適切なグループに割り当てます。

組込みWebLogic LDAPサーバーにおいてグループにユーザーを追加するには:

1. Oracle WebLogic Server管理コンソールを起動します。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、「myrealm」をクリックします。

3. 「ユーザーとグループ」タブ→「ユーザー」を選択します。

4. 「ユーザー」表で、グループに追加するユーザーを選択します。

5. 「グループ」タブを選択します。

6. 「使用可能」リスト・ボックスから1つまたは複数のグループを選択します。

7. 「保存」をクリックします。

2.3.5 (オプション)組込みWebLogic LDAPサーバーにおけるユーザー・パスワードの変更

ユーザーのデフォルト・パスワードを変更したい場合は、このオプションのタスクを実行します。

組込みWebLogic LDAPサーバーにおいてユーザー・パスワードを変更するには:

1. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、「myrealm」をクリックします。

2. 「ユーザーとグループ」タブ→「ユーザー」を選択します。

3. Users表で、パスワードを変更したいユーザーを選択します。ユーザーの「設定」ページが表示されます。

4. 「パスワード」タブを選択し、「新規パスワード」フィールドおよび「パスワード確認」フィールドにパスワードを入力します。

5. 「保存」をクリックします。

注意:
システム・ユーザーのパスワードを変更する場合は、資格証明ストアでも変更する必要があります。

2.4 Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理

Oracle Business Intelligenceでは、Fusion Middleware Controlを使用して、ユーザーおよびグループに権限を与えるアプリケーション・ロールおよびアプリケーション・ポリシーを管理します。Fusion Middleware Controlの使用の詳細は、Oracle Fusion Middleware管理者ガイドを参照してください。

- 第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」

- 第2.4.2項「Fusion Middleware Controlの使用によるアプリケーション・ロールの作成と削除」

- 第2.4.3項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成」

- 第2.4.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールの変更」

ヒント:
新しいサービス・インスタンスを作成した後またはBIアプリケーション・アーカイブ(BAR)・ファイルをサービス・インスタンスにインポートした後、アイデンティティ・ストアのユーザーおよびグループがサービス・インスタンスに定義されているアプリケーション・ロールに正しくマップされるように、サービス・インスタンスのセキュリティ・ポリシーを最初に確認する必要があります。各BIアプリケーション・ファイルは、固有のセキュリティ・ポリシーを含むことができます。そのため、BIアプリケーション・アーカイブ・ファイルをインポートした後、サービス・インスタンスのセキュリティ・ポリシーを確認することをお薦めします。

通常、アプリケーションのBIメタデータを含むBIアプリケーション・アーカイブ・ファイルには、BI機能を使用してBIフォルダ、分析、サブジェクト・エリアなどにアクセスする権限とともにユーザーをプロビジョニングするために使用できる事前構成されたアプリケーション・ロールが含まれます。たとえば、サンプル・アプリケーションには、サンプル・アプリケーション・ロールBIConsumer、BIContentAuthorおよびBIServiceAdministratorが含まれます。パーミッションおよび権限を使用してユーザーをプロビジョニングするには、アイデンティティ・ストア(通常LDAPディレクトリ)のユーザーおよび(可能な場合)グループを定義されたアプリケーション・ロールにマップします。このタスクはEnterprise Manager Fusion Middleware ControlまたはWLSTを使用して実行します。

より複雑またはきめ細かなセキュリティ・モデルを作成する場合は、この項の説明に従って、独自のアプリケーション・ロールおよびアプリケーション・ポリシーを作成できます。たとえば、マーケティング部門のレポート作成者に、メタデータ・リポジトリおよびOracle BIプレゼンテーション・カタログのマーケティング領域への書込みアクセス権のみを付与するとします。これを実現するには、BIContentMarketingという名前の新規アプリケーション・ロールを作成し、それに適切な権限を提供します。

デプロイするアプリケーション・ロールを設定するには、次のことを行います。

- 必要に応じて、新規アプリケーション・ロールを作成します。詳細は、第2.4.2項「Fusion Middleware Controlの使用によるアプリケーション・ロールの作成と削除」を参照してください。

注意:
デフォルトの事前構成済アプリケーション・ポリシーに基づいてアプリケーション・ロールを作成したり、独自のアプリケーション・ポリシーを作成できます。デフォルトのユーザー、グループおよびアプリケーション・ロールの詳細は、第2.1項「ユーザー、グループおよびアプリケーション・ロールの使用」を参照してください。

- 必要に応じて、新規アプリケーション・ポリシーを作成します。詳細は、第2.4.3項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成」を参照してください。

- (オプション)必要に応じて、アプリケーション・ロールの権限付与またはメンバーシップを変更します。詳細は、第2.4.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールの変更」を参照してください。

2.4.1 Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示

この項では、Fusion Middleware Controlを使用して、アプリケーション・ロールおよびアプリケーション・ポリシーを管理するページにアクセスする方法を説明します。

Fusion Middleware Controlを使用してアプリケーション・ポリシーおよびアプリケーション・ロールを表示するには:

ここでは、Oracle Business Intelligenceのアプリケーション・ポリシーまたはアプリケーション・ロールを表示する方法について説明します

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. 「ターゲット・ナビゲーション」アイコンを選択して、ナビゲーション・ペインを開きます。

3. ナビゲーション・ペインから「Business Intelligence」フォルダを展開し、「biinstance」を選択します。

4. 次のオプションのいずれか1つを選択します。

- 「biinstance」を右クリックし、メニューから「セキュリティ」を選択して、「アプリケーション・ポリシー」または「アプリケーション・ロール」を選択します。

- またはコンテンツ・ペインから、「Business Intelligenceインスタンス」をクリックしてメニューを表示し、「セキュリティ」→「アプリケーション・ポリシー」または「アプリケーション・ロール」を選択します。
Fusion Middleware Controlの他の「セキュリティ」メニュー・オプションは、これらのメニューからは利用できません。

5. (オプション)手順3および4の代替オプションとして、「WebLogicドメイン」フォルダを展開し、ドメイン名を右クリックします(または「WebLogicドメイン」メニューをクリックします)。
「セキュリティ」メニューに適切なメニュー・オプションが表示されます。

Fusion Middleware Controlの他のメニュー・オプションは、このメニューから利用できます。

6. 「アプリケーション・ポリシー」または「アプリケーション・ロール」を選択し、「アプリケーション・ポリシー」ページまたは「アプリケーション・ロール」ページを表示します。

- obiアプリケーション・ストライプがデフォルトで表示される場合
Oracle Business Intelligenceのポリシーまたはロールが表示されます。

- obiアプリケーション・ストライプがデフォルトで表示されない場合
obiアプリケーション・ストライプを使用して検索し、Oracle Business Intelligenceのポリシーやロールを表示する必要があります。

図2-3に、「アプリケーション・ポリシー」ページを示します。

図2-3 「アプリケーション・ポリシー」ページ

図2-4に、「管理ロール」ページを示します。

図2-4 「アプリケーション・ロール」ページ

2.4.2 Fusion Middleware Controlの使用によるアプリケーション・ロールの作成と削除

この項では、Oracle Fusion Middleware Controlの使用によるアプリケーション・ロールの作成方法、削除方法および管理方法を説明します。次のトピックがあります。

- 第2.4.2.1項「概要」

- 第2.4.2.2項「アプリケーション・ロールの作成」

- 第2.4.2.3項「アプリケーション・ロールへのグループの割当て」

- 第2.4.2.4項「アプリケーション・ロールの削除」

2.4.2.1 概要

新しいOracle Business Intelligenceのデプロイメントでは、通常、Oracle Business Intelligence環境でのビジネス・ユーザー・アクティビティのタイプごとにアプリケーション・ロールを作成します。たとえば、サンプル・アプリケーションまたは初期アプリケーションに基づく標準的なデプロイメントには、3つのアプリケーション・ロール(BIConsumer、BIContentAuthorおよびBIServiceAdministrator)が含まれる可能性があります。BIシステム管理者またはサービス管理者のように、アプリケーション・ロールまたはBARファイルで提供されているアプリケーション・ロールに割り当てられた権限セットを変更しないでください。

Oracle Business Intelligenceアプリケーション・ロールは、ユーザーが保持しているロールを表します。たとえば、セールス・アナリストのアプリケーション・ロールを保持することにより、会社のセールス・パイプラインに関するレポートを表示、編集および作成するためのユーザー・アクセスが許可されます。サービス・インスタンスの管理者は、サービス・インスタンスのアプリケーション・ロールを作成および変更できます。アプリケーション・ロールをディレクトリ・サーバー・グループから分離して区別しておくことで、認可要件に対応しやすくなります。企業のディレクトリ・サーバーで定義されているグループを変更する必要なく、環境のビジネス・ロールと一致する新規アプリケーション・ロールを作成できます。認可要件をより効率的にコントロールするには、ユーザーの既存グループをディレクトリ・サーバーからアプリケーション・ロールに割り当てます。

注意:
新規アプリケーション・ロールを作成し、それをOracle Business Intelligenceサービス・インスタンスに追加する前に、権限およびグループの継承がどのように行われるのかを把握しておいてください。ロールの階層を構築するときは、循環依存が生じないことが重要です。詳細は、第B.5項「グループおよびアプリケーション・ロールを使用したユーザーへの権限の付与」を参照してください。

アプリケーション・ロールの作成の詳細は、Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイドのポリシー・ストアの管理に関する項を参照してください。

注意:
オフライン・モードでのBIリポジトリの使用についての高度な情報は、第2.5.3項「メタデータ・リポジトリでのアプリケーション・ロールの管理 - 高度なセキュリティ構成トピック」を参照してください。

2.4.2.2 アプリケーション・ロールの作成

新しいアプリケーション・ロールを作成するには、2つの方法があります。

- 新規作成 - 新規アプリケーション・ロールを作成します。複数のメンバーを同時に追加することも、新しいロールに名前を付けて保存しておき、後でメンバーを追加することもできます。

- 既存のコピー - 既存のアプリケーション・ロールをコピーすることで、アプリケーション・ロールを作成します。コピーには元と同じメンバーが含まれ、元と同じアプリケーション・ポリシーの権限受領者となります。新規アプリケーション・ロールをさらにカスタマイズするために、必要に応じて、コピーに対して変更を行うことができます。

アプリケーション・ロールのメンバーシップは、Fusion Middleware Controlの「アプリケーション・ロール」ページを使用してコントロールされます。アプリケーション・ロールの有効メンバーには、ユーザー、グループおよび他のアプリケーション・ロールがあります。

権限および権限セット付与は、Fusion Middleware Controlの「アプリケーション・ポリシー」ページでコントロールされます。権限および権限セット付与定義がアプリケーション・ポリシーで設定され、その後、アプリケーション・ポリシーがアプリケーション・ロールに付与されます。詳細は、第2.4.3項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成」を参照してください。

新規アプリケーション・ロールを作成するには:

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

2. 「アプリケーション・ストライプ」がobiであることを確認し、「ロール名」の隣の検索アイコンをクリックします。
Oracle Business Intelligenceアプリケーション・ロールが表示されます。図2-5は、アプリケーション・ロールを示しています。

図2-5 Fusion Middleware Controlのアプリケーション・ロール

3. 「作成」をクリックして「アプリケーション・ロールの作成」ページを表示します。すべての情報を一度に入力することも、「ロール名」を入力し、保存しておいて、それ以外のフィールドを後で入力することもできます。各フィールドに次の情報を入力します。
「一般」では:

- ロール名 - 空白を含む無効な文字を回避してアプリケーション・ロールの名前を入力します(『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアプリケーション・ロール名の文字に関する項を参照)。

- (オプション)表示名 - アプリケーション・ロールの表示名を入力します。

- (オプション)説明 - アプリケーション・ロールの説明を入力します。

4. 「メンバー」セクションで、「追加」をクリックして、「プリンシパルの追加」ページを表示します。

5. 次の手順により、「プリンシパルの追加」ページで、現在のアプリケーション・ロールに割り当てるメンバーを検索します。

- 「タイプ」ドロップダウン・リストから、「アプリケーション・ロール」、「グループ」または「ユーザー」を選択します。

- (オプション)「プリンシパル名」フィールドと「表示名」フィールドに検索情報を入力します。

- 検索ボタンをクリックします。

- 「検索済プリンシパル」ボックスに戻された結果から選択します。

- 「OK」をクリックして、「アプリケーション・ロールの作成」ページに戻ります。

- 必要なすべてのメンバーがアプリケーション・ロールに追加されるまで、手順を繰り返します。

6. 「OK」をクリックして、「アプリケーション・ロール」ページに戻ります。
作成したアプリケーション・ロールがページ下部の表に表示されます。

既存のアプリケーション・ロールに基づいてアプリケーション・ロールを作成するには:

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

obiアプリケーション・ストライプが事前に選択され、アプリケーション・ポリシーが表示されるかどうかは、「アプリケーション・ロール」ページへの移動に使用される方法によって異なります。

2. 必要に応じて、「アプリケーション・ストライプ」のリストからobiを選択して、「ロール名」の隣の検索アイコンをクリックします。
Oracle Business Intelligenceアプリケーション・ロールが表示されます。

3. リストからコピーするアプリケーション・ロールを選択し、アクション・ボタンを有効にします。

4. 「類似作成」をクリックし、「アプリケーション・ロールの類似作成」ページを表示します。
「メンバー」セクションに、元のロールに割り当てられている同じアプリケーション・ロール、グループまたはユーザーが表示されます。各フィールドに次の情報を入力します。

「一般」では:

- ロール名 - 空白を含む無効な文字を回避してアプリケーション・ロールの名前を入力します(『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアプリケーション・ロール名の文字に関する項を参照)。

- (オプション)表示名 - アプリケーション・ロールの表示名を入力します。

- (オプション)説明 - アプリケーション・ロールの説明を入力します。

5. 「メンバー」セクションで、「追加」をクリックして、「プリンシパルの追加」ページを表示します。

6. 次の手順により、「プリンシパルの追加」ページで、現在のアプリケーション・ロールに割り当てるメンバーを選択します。

- 「タイプ」ドロップダウン・リストから、「アプリケーション・ロール」、「グループ」または「ユーザー」を選択します。

- (オプション)「プリンシパル名」フィールドと「表示名」フィールドに検索情報を入力します。

- 検索ボタンをクリックします。

- 「検索済プリンシパル」ボックスに戻された結果から選択します。

- 「OK」をクリックして、「アプリケーション・ロールの作成」ページに戻ります。

- 必要なすべてのメンバーがアプリケーション・ロールに追加されるまで、手順を繰り返します。

図2-6は、BIContentAuthorアプリケーション・ロールに基づいた新規アプリケーション・ロールMyNewRoleの作成を示しています。

図2-6 既存のロールに基づいた新規アプリケーション・ロール

新規に作成したアプリケーション・ロールがページ下部の表に表示されます。図2-7は、既存のアプリケーション・ロールに基づいた、MyNewRoleという名前の新規作成アプリケーション・ロールを示しています。

図2-7 新規作成アプリケーション・ロール

7. 必要に応じてメンバーを変更し、「OK」をクリックします。

2.4.2.3 アプリケーション・ロールへのグループの割当て

グループをアプリケーション・ロールに割り当て、そのグループ内のユーザーに適切なセキュリティ権限を提供します。たとえば、BIMarketingGroupという名前のマーケティング・レポート・コンシューマ用グループがBIConsumerMarketingという名前のアプリケーション・ロールを必要とするとします。この場合、BIMarketingGroupという名前のグループをBIConsumerMarketingという名前のアプリケーション・ロールに割り当てます。

アプリケーション・ロールにグループを割り当てるには:

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

obiアプリケーション・ストライプが事前に選択され、アプリケーション・ポリシーが表示されるかどうかは、「アプリケーション・ロール」ページへの移動に使用される方法によって異なります。

2. 必要に応じて、「アプリケーション・ストライプ」のリストからobiを選択して、「ロール名」の隣の検索アイコンをクリックします。
Oracle Business Intelligenceアプリケーション・ロールが表示されます。図2-8は、現在のアプリケーション・ロールを示しています。

図2-8 「アプリケーション・ロール」ページ

3. リストからアプリケーション・ロールを選択し、「編集」をクリックし、「アプリケーション・ロールの編集」ダイアログを表示し、次のようにフィールドに入力します。
「一般」では:

- ロール名 - アプリケーション・ロールの名前。このフィールドは読取り専用です。

- 表示名 - アプリケーション・ロールの表示名。

- 説明 - アプリケーション・ロールの説明。

4. 「メンバー」セクションで「追加」をクリックして、「ロール」リストに割り当てるグループを追加します。
たとえば、BIMarketingGroupという名前のマーケティング・レポート・コンシューマ用グループがBIConsumerMarketingという名前のアプリケーション・ロールを必要とする場合は、BIMarketingGroupという名前のグループを「ロール」リストに追加します。

5. 「OK」をクリックして、「アプリケーション・ロール」ページに戻ります。

2.4.2.4 アプリケーション・ロールの削除

アプリケーション・ロールを削除する場合は、最初にシステム管理者に連絡してからにしてください。

アプリケーション・ロールを削除するには:

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

2. 削除するアプリケーション・ロールを選択します。

3. 「削除」をクリックし、「はい」をクリックして、アプリケーション・ロールの削除を確認します。

2.4.3 Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成

デフォルトのアプリケーション・ポリシーに基づいてアプリケーション・ロールを作成するか、独自のアプリケーション・ポリシーを作成できます。

アプリケーション・ポリシーは、メタデータ・リポジトリまたはOracle BIプレゼンテーション・カタログのオブジェクトおよび機能には権限を適用しません。

すべてのOracle Business Intelligence権限および権限セットはインストールの一部として提供され、新しい権限は作成できません。アプリケーション・ポリシーは、権限セットおよび権限付与を定義するメカニズムです。権限セットおよび権限付与は、Fusion Middleware Control 「アプリケーション・ポリシー」ページで制御されます。権限セットおよび権限付与は、アプリケーション・ポリシーで定義されます。アプリケーション・ロール、ユーザーまたはグループは、その後、アプリケーション・ポリシーに割り当てられます。このプロセスにより、アプリケーション・ロールがアプリケーション・ポリシーの権限受領者になります。

新しいアプリケーション・ポリシーを作成するには、2つの方法があります。

- 新規作成 - 新規アプリケーション・ポリシーを作成し、それに権限が追加されます。

- 既存のコピー - 既存のアプリケーション・ポリシーをコピーすることで、新規アプリケーション・ポリシーを作成します。コピーに名前が付けられ、既存の権限が削除されるか権限が追加されます。

注意:
Oracle Business Intelligence 12cは、権限セットおよび権限を利用します。権限セットは、アクセス権の集合です。資格とも呼ばれます。BI 12cで使用できるすべての権限が権限セットにグループ化されます。サンプルまたは初期アプリケーションがサービス・インスタンスにインポートされると、アプリケーション・ロールに割り当てられた権限セットが表示されます。11gアップグレード・バンドルがサービス・インスタンスにインポートされると、移行されたアプリケーション・ロールに割り当てられている新しい権限セットが補足された11gシステムの権限が表示されます

注意:
Fusion Middleware Controlでは、権限セット付与の表示のみ許可します。アプリケーション・ロールに対する権限セット付与は変更できません。Fusion Middleware Controlでは、アプリケーション・ロールに対する権限付与の変更を許可していません。12cでは、アプリケーション・ロールに対する権限セット付与を更新する必要がある場合、WLSTコマンドラインを使用する必要があります(『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のWLSTコマンドを使用したアプリケーション・ポリシーの管理に関する項を参照)。

アプリケーション・ポリシーの作成の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のFusion Middleware Controlを使用したポリシーの管理に関する項を参照してください。

新しいアプリケーション・ポリシーを作成するには:

1. Fusion Middleware Controlにログインし、「アプリケーション・ポリシー」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

2. 「アプリケーション・ストライプ」リストからobiを選択して、「名前」の隣の検索アイコンをクリックします。
Oracle Business Intelligenceアプリケーション・ポリシーが表示されます。「プリンシパル」列に、ポリシー権限受領者の名前が表示されます。

3. 「作成」をクリックして、「アプリケーション権限の作成」ページを表示します。

4. 作成するポリシーに権限を追加するには、「権限」領域で「追加」をクリックして「権限の追加」ダイアログを表示します。

- 「検索」領域に入力し、「リソース名」フィールドの横の青い検索ボタンをクリックします。
選択したクラスのすべての権限が表示されます。

- 必要なOracle Business Intelligencer権限を選択し、「続行」をクリックします。

- 必要に応じて、「カスタマイズ」ページで権限情報を変更し、「選択」をクリックして、権限を追加します。
「アプリケーション権限の作成」ページに戻されます。選択した権限が「権限」領域に表示されます。

- 必要なすべての権限が選択されるまで繰り返します。
Oracle Business Intelligence以外の権限を選択することによる、ポリシーへの影響はありません。

- 権限を削除するには、その権限を選択し、「削除」をクリックします。

5. 作成するポリシーにアプリケーション・ロール、グループまたはユーザーを追加するには、「権限受領者」領域で「追加」をクリックし、「プリンシパルの追加」ページを表示します。

- 「検索」領域に情報を入力し、「表示名」フィールドの隣の青の検索ボタンをクリックします。

- 「検索済プリンシパル」リストからプリンシパルを選択します。

- 「OK」をクリックして、アプリケーション権限の作成ページを表示します。

- 「OK」をクリックします。

「アプリケーション・ポリシー」ページに戻ります。作成したポリシーの「プリンシパル」および「権限」が表に表示されます。次の図は、権限受領者(プリンシパル)としてMyNewRoleアプリケーション・ロールで作成した新規アプリケーション・ポリシーを示しています。

既存のアプリケーション・ポリシーに基づいてアプリケーション・ポリシーを作成する手順は、次のとおりです。

1. Fusion Middleware Controlにログインし、「アプリケーション・ポリシー」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

2. 「アプリケーション・ストライプ」リストからobiを選択して、「名前」の隣の検索アイコンをクリックします。
Oracle Business Intelligenceアプリケーション・ポリシーが表示されます。「プリンシパル」列に、ポリシー権限受領者の名前が表示されます。

3. 表から既存のポリシーを選択します。
次の図は、この手順で例として使用される、「類似作成」ボタンがアクティブな、選択されたBIContentAuthorプリンシパルを示しています。

4. 「類似作成」をクリックし、「アプリケーション権限の類似作成」ページを表示します。「権限」の表に、選択されたポリシーにより付与される権限が自動的に表示されます。
次の図は、BIContentAuthorポリシーが選択された後のアプリケーション権限の類似作成ダイアログを示しています。「権限」セクションに、BIContentAuthorポリシーに対して付与される権限が表示されていることに注意してください。

5. 任意のアイテムを削除するには、それを選択して、「削除」をクリックします。

6. ポリシーにアプリケーション・ロールを追加するには、「権限受領者」領域の「アプリケーション・ロールの追加」をクリックして、「アプリケーション・ロールの追加」ダイアログを表示します。
次の図では、例としてMyNewRoleアプリケーション・ロールを使用します。

- 「検索」領域に情報を入力し、「表示名」フィールドの隣の青の検索ボタンをクリックします。検索と一致したアプリケーション・ロールが表示されます。

- 「検索済プリンシパル」リストから選択して、「OK」をクリックします。
選択されたアプリケーション・ロールが「アプリケーション権限の類似作成」ページに「権限受領者」として追加され、表示されます。

- 「OK」をクリックして、「アプリケーション・ポリシー」ページに戻ります。
アプリケーション・ポリシーのプリンシパルおよび権限が作成され、表に表示されます。

2.4.4 Fusion Middleware Controlを使用したアプリケーション・ロールの変更

次のように、対応するアプリケーション・ポリシーの権限付与を変更したり(アプリケーション・ロールがアプリケーション・ポリシーの権限受領者の場合)、そのメンバーを変更したり、アプリケーション・ロール名を変更したり、アプリケーション・ロールを削除することで、アプリケーション・ロールを変更できます。

- 第2.4.4.1項「アプリケーション・ロールの権限付与の追加または削除」

- 第2.4.4.2項「アプリケーション・ロールのメンバーの追加または削除」

- 第2.4.4.3項「アプリケーション・ロール名の変更」

アプリケーション・ポリシーおよびアプリケーション・ロールの管理の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のFusion Middleware Controlを使用したポリシーの管理に関する項を参照してください。

2.4.4.1 アプリケーション・ロールの権限付与の追加または削除

アプリケーション・ロールの権限付与を変更する場合は、この手順を使用します。これは、アプリケーション・ロールが権限受領者であるアプリケーション・ポリシーの権限付与を追加または削除することによって行われます。

アプリケーション・ポリシーの権限付与を追加または削除するには:

1. Fusion Middleware Controlにログインし、「アプリケーション・ポリシー」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

obiストライプが事前に選択され、アプリケーション・ポリシーが表示されるかどうかは、「アプリケーション・ポリシー」ページへの移動に使用される方法によって異なります。

2. 必要に応じて、「アプリケーション・ストライプ」のリストからobiを選択して、「ロール名」の隣の検索アイコンをクリックします。
Oracle Business Intelligenceアプリケーション・ポリシーが表示されます。「プリンシパル」列に、ポリシー権限受領者の名前が表示されます。

3. 「プリンシパル」列からアプリケーション・ロールを選択し、「編集」をクリックします。

4. 「アプリケーション権限の編集」ビューから権限を追加または削除し、「OK」をクリックして変更を保存します。

2.4.4.2 アプリケーション・ロールのメンバーの追加または削除

Fusion Middleware Controlを使用してアプリケーション・ロールのメンバーを追加または削除できます。これらのタスクは、Oracle Business IntelligenceがインストールされているWebLogicドメイン(bifoundation_domainなど)で実行する必要があります。アプリケーション・ロールの有効なメンバーは、ユーザー、グループまたはその他のアプリケーション・ロールです。アプリケーション・ロールに割り当てられることは、アプリケーション・ロールのメンバーになることです。ベスト・プラクティスは、個々のユーザーではなくグループをアプリケーション・ロールに割り当てることです。

注意:
このアプリケーション・ロールに割り当てられた権限の変更によりシステムが使用できない状態のままの可能性があるため、管理アプリケーション・ロールにタグ付けされているアプリケーション・ロールの権限付与およびメンバーシップを変更する場合に注意してください。

アプリケーション・ロールのメンバーを追加または削除するには:

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

2. まだ表示されていない場合、「アプリケーション・ストライプ」を選択し、リストからobiを選択して、「ロール名」の隣の検索アイコンをクリックします。
Oracle Business Intelligenceアプリケーション・ロールが表示されます。

3. アプリケーション・ロール名の横のセルを選択し、「編集」をクリックして「アプリケーション・ロールの編集」ページを表示します。
「アプリケーション・ロールの編集」ページにメンバーを追加するか、またはこのページからメンバーを削除できます。有効なメンバーは、ロール、グループおよびユーザーです。

4. メンバーを削除するには、メンバーの「名前」を選択し、「削除」ボタンをアクティブにして、「削除」をクリックします。

5. メンバーを追加するには、「追加」ボタンをクリックし、「プリンシパルの追加」ページを表示します。
次の手順により、現在のアプリケーション・ロールに割り当てるメンバーを検索します。

- 「タイプ」ドロップダウン・リストから、「アプリケーション・ロール」、「グループ」または「ユーザー」を選択します。

- (オプション)「プリンシパル名」フィールドと「表示名」フィールドに検索情報を入力します。

- 検索ボタンをクリックします。

- 「検索済プリンシパル」ボックスに戻された結果から選択します。

- 「OK」をクリックして、「アプリケーション・ロールの作成」ページに戻ります。

- 必要なすべてのメンバーがアプリケーション・ロールに追加されるまで、手順を繰り返します。
「アプリケーション・ロール」ページで変更したアプリケーション・ロールに従って、「メンバー」セクションに、追加されたメンバーが表示されます。たとえば、次の図は、Operatorsグループを追加した後のMyNewRoleアプリケーション・ロールの「アプリケーション・ロールの編集」ページを示しています。

6. 「アプリケーション・ロールの編集」ページで「OK」をクリックし、「アプリケーション・ロール」ページに戻ります。
アプリケーション・ロールに追加したメンバーが、「...のメンバーシップ」セクションに表示されます。メンバーが削除された場合は表示されなくなります。

次の図では、MyNewRoleアプリケーション・ロールに、最近追加されたメンバーであるOperatorsグループが表示されています。

詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアプリケーション・ロールの管理に関する項を参照してください。

2.4.4.3 アプリケーション・ロール名の変更

既存のアプリケーション・ロールの名前は直接変更できません。表示名の更新のみ可能です。アプリケーション・ロール名を変更するには、新しいアプリケーション・ロールを作成し(削除するアプリケーション・ロールと同じアプリケーション・ポリシーを使用して)、古いアプリケーション・ロールを削除する必要があります。新しいアプリケーション・ロールを作成する際に、新しい名前を指定します。Oracle BIプレゼンテーション・カタログとメタデータ・リポジトリの両方で、古いアプリケーション・ロールへの参照を、新しいアプリケーション・ロールへの参照に更新する必要もあります。

カタログおよびメタデータ・リポジトリのアプリケーション・ロールの名前を変更するには、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のアプリケーション・ロールの名前変更コマンドに関する項の説明に従って、renameAppRolesコマンドを使用します。

2.5 Oracle BI管理ツールの使用によるメタデータ・リポジトリ権限の管理

この項では、Oracle BI管理ツールの使用によるOracle BIリポジトリ内のセキュリティの構成方法を説明します。次のトピックがあります:

- 第2.5.1項「概要」

- 第2.5.2項「アプリケーション・ロールのリポジトリ権限の設定」

- 第2.5.3項「メタデータ・リポジトリでのアプリケーション・ロールの管理 - 高度なセキュリティ構成トピック」

2.5.1 概要

Oracle BI管理ツールでIdentity Managerを使用して、アプリケーション・ロールの権限を管理し、サブジェクト・エリアや表などのオブジェクトに対するアクセス権限を設定します。Oracle BI管理ツールの使用によるセキュリティの構成についての概要は、第1.6.3項「Oracle BI管理ツールの使用」を参照してください。

注意:
Oracle Business Intelligenceアプリケーションのお客様は、この項を読み、セキュリティおよび認証の設定についての基礎を理解してから、Oracle Fusion Middleware Oracle Business Intelligence Applicationsリファレンス・ガイドに記載されているセキュリティ情報および構成情報を参照してください。

2.5.2 アプリケーション・ロールのリポジトリ権限の設定

サービス・インスタンスのデータ・モデルには、データ列やサブジェクト・エリアなどのデータ・モデルの様々な部分にアクセスする権限を定義するためにセキュリティ・ポリシーが含まれます。データ・モデルの作成者は管理ツールを使用して、アプリケーション・ロールのデータ・モデル権限の割当てを含むこのセキュリティ・ポリシーを維持します。サービス・インスタンスを作成するか、BIアプリケーション・アーカイブ・ファイルをサービス・インスタンスにインポートする場合、データ・モデルのセキュリティ・ポリシーがBIアプリケーション・アーカイブ・ファイルからインポートされます。

注意:
リポジトリ権限の設定に加えて、Oracle BIプレゼンテーション・カタログの権限を新規アプリケーション・ロールに割り当てることができます。詳細は、第2.6.3項「アプリケーション・ロールに対するPresentation Servicesの権限の設定」を参照してください。

注意:
コマンドライン・ツールを使用してプログラム的にリポジトリ権限を設定することもできます。詳細は、Oracle Fusion Middleware Oracle Business Intelligence Enterprise Edition XMLスキーマ・リファレンスのコマンドライン・ツールを使用した権限の設定に関する項を参照してください。

アプリケーション・ロールのリポジトリ権限を設定するには:

1. Oracle BI管理ツールでリポジトリを開きます(オンライン・モードで)。
詳細は、第1.6.3項「Oracle BI管理ツールの使用」を参照してください。

2. 「プレゼンテーション」パネルで、権限を設定するサブジェクト・エリアまたはサブフォルダに移動します。

3. サブジェクト・エリアまたはサブフォルダを右クリックし、「プロパティ」を選択してプロパティ・ダイアログを表示します。
たとえば、「ペイント」サブジェクト・エリアへのアクセス権を提供するには、「ペイント」を右クリックします。

4. 「権限」をクリックして、「権限<名前>」ダイアログを表示します。

注意:
「すべてのユーザー/アプリケーション・ロールの表示」チェック・ボックスが選択されていることを確認してください。

5. 「権限<名前>」ダイアログを使用して、「ユーザー/アプリケーション・ロール」リスト内のアプリケーション・ロールのセキュリティ権限を変更します。
たとえば、ユーザーにダッシュボードおよびレポートの作成を可能にするために、BISalesAnalysisという名前のアプリケーション・ロールのリポジトリ権限を読取りから読取り/書込みに変更できます。

注意:
ベスト・プラクティスは、個々のユーザーの権限ではなく、アプリケーション・ロールの権限を変更することです。
「プレゼンテーション」ペイン内のあるオブジェクトのすべての権限を表示するには、そのオブジェクトを右クリックし、「権限レポート」を選択して、ユーザーおよびアプリケーション・ロールのリスト、および選択したオブジェクトに対してそれが保持している権限を表示します。

2.5.3 メタデータ・リポジトリでのアプリケーション・ロールの管理 - 高度なセキュリティ構成トピック

アプリケーション・ロールの定義はポリシー・ストアで保持されます。また、変更は管理インタフェースを使用して行う必要があります。リポジトリは、ポリシー・ストア・データのコピーを保持して、リポジトリ開発を促進します。Oracle BI管理ツールでは、リポジトリのコピーからアプリケーション・ロール・データが表示され、ポリシー・ストア・データはリアルタイムでは表示されません。オフライン・リポジトリの作業中にポリシー・ストアを変更すると、ポリシー・ストアがリポジトリと次に同期化するまで、管理ツールで使用できなくなります。ポリシー・ストアは、BIサーバーの再起動時には常にデータをリポジトリ・コピーと同期化します。データに不一致がある場合は、エラー・メッセージが表示されます。

オフライン・モードでのリポジトリの使用中に、使用可能なアプリケーション・ロールではその時点で必要なメンバーシップまたは権限付与を満たさないことに気付く場合があります。オフライン・リポジトリ開発を促進するために、アプリケーション・ロールのプレースホルダの定義を管理ツールで作成できます。しかし、これは管理ツールで表示可能な単なるプレースホルダであり、実際のアプリケーション・ロールではありません。管理ツールから実際のアプリケーション・ロールを作成することはできません。アプリケーション・ロールは、ポリシー・ストアの管理に使用可能な管理インタフェースを使用して、ポリシー・ストアでのみ作成できます。

アプリケーション・ロールは、リポジトリがオンラインに戻る前に、管理ツールを使用して作成されたアプリケーション・ロール・プレースホルダごとに、ポリシー・ストアで定義される必要があります。オフライン・モードの間に作成されたロール・プレースホルダ付きリポジトリの場合、有効なアプリケーション・ロールがポリシー・ストアに作成される前に、オンラインになります。その後、そのアプリケーション・ロール・プレースホルダは管理ツール・インタフェースで表示されなくなります。オフライン・リポジトリ開発でロール・プレースホルダを使用する際は、リポジトリをオンラインに戻す前に、ポリシー・ストアにおいて対応するアプリケーション・ロールを必ず作成します。

リポジトリ開発時のアプリケーション・ロール用プレースホルダの作成方法の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

2.6 アプリケーション・ロールの使用によるPresentation Servicesの権限の管理

この項では、Presentation Services管理の「権限の管理」ページでアプリケーション・ロールを使用してPresentation Servicesの権限を管理する方法について説明します。次のトピックがあります。

- 第2.6.1項「概要」

- 第2.6.2項「Presentation Servicesの権限について」

- 第2.6.3項「アプリケーション・ロールに対するPresentation Servicesの権限の設定」

- 第2.6.4項「BIプレゼンテーション・サービスでの資格証明の暗号化 - 高度なセキュリティ構成トピック」

2.6.1 概要

サービス・インスタンスのカタログには、プレゼンテーション・サービス権限のセキュリティ・ポリシーが含まれます。これらの権限は、フォルダや分析などのカタログ・オブジェクトの権限とともにアンサーへのアクセス、ダッシュボードへのアクセスなどの特定のプレゼンテーション・サービス機能にアクセスする権限を付与します。サービス・インスタンスを作成するか、BIアプリケーション・アーカイブ・ファイルをサービス・インスタンスにインポートする場合、カタログのセキュリティ・ポリシー(プレゼンテーション・サービスの権限)がBIアプリケーション・アーカイブ・ファイルからインポートされます。サービス管理者は、カタログ・セキュリティ・ポリシーを変更できます。

前のリリースからアップグレードされたシステムは、引き続きカタログ・グループを使用してこれらの権限を付与できますが、これはお薦めしません(D.2.2.1項「アプリケーション・ロールへのカタログ・グループの移行」を参照)。ベスト・プラクティスは、アプリケーション・ロールの使用による権限の管理であり、それによってセキュリティ管理プロセスが合理化されます。たとえば、システム全体でアプリケーション・ロールの同一セットを使用すると、システムでカタログ・グループおよびメンバー・リストの別個のセットを管理する必要がなくなります。アップグレードしたカタログ・グループを引き続き使用してPresentation Servicesの権限を管理する方法の詳細は、第A.2.1項「Presentation Servicesのセキュリティに影響する変更」を参照してください。

注意:
カタログ・グループのメンバーとなるようにアプリケーション・ロールを割り当てると、複雑なグループ継承およびメンテナンス状況が発生するため、お薦めできません。

グループがアプリケーション・ロールに割り当てられる場合、グループ・メンバーは、関連付けられたPresentation Servicesの権限を自動的に付与されます。これは、Oracle Business Intelligence権限のほかに付与されます。

ヒント:
ユーザーがメンバーとなっているアプリケーション・ロールのリストは、プレゼンテーション・サービスの「マイ・アカウント」ダイアログの「ロールおよびグループ」タブから利用可能です。

2.6.2 Presentation Servicesの権限について

Presentation Servicesの権限はPresentation Services管理の「権限の管理」ページに保持され、分析の作成やダッシュボードなどのPresentation Services機能へのアクセス権を付与または拒否します。Presentation Servicesの権限は他のOracle Business Intelligenceコンポーネントには影響しません。

プレゼンテーション・サービス権限が割り当てられているアプリケーション・ロールのメンバーは、それらの権限をユーザーに付与します。アプリケーション・ロールに割り当てられたPresentation Servicesの権限は、Presentation Services管理の「権限の管理」ページを使用して、権限付与を追加または削除することで変更できます。

プレゼンテーション・サービス権限は、明示的におよび継承によってユーザーに付与できます。ただし、明示的なプレゼンテーション・サービス権限の拒否は、グループまたはアプリケーション・ロール階層の結果として、付与されるか継承されるユーザー・アクセス権限よりも優先されます。

2.6.3 アプリケーション・ロールに対するPresentation Servicesの権限の設定

アプリケーション・ロールを作成する場合、そのアプリケーション・ロールでユーザーが様々な機能タスクを実行できるように、適切なPresentation Servicesの権限を設定する必要があります。たとえば、BISalesAdministratorという名前のアプリケーション・ロールを保持したユーザーが、Oracle Business Intelligenceでアクションを作成できるようにします。この場合は、「起動アクションの作成」という名前の権限を付与します。

ポリシー・ストアの管理に使用する管理インタフェースを使用して、Presentation Servicesの権限を割り当てることはできません。新規アプリケーション・ロールを作成し、Oracle Business Intelligenceの権限を付与する場合、Oracle Business Intelligenceの権限に加えて、その新規ロールにプレゼンテーション・サービスの権限を設定する必要があります。

注意:
Presentation Servicesの権限は、SecurityServiceサービスを使用して新規アプリケーション・ロールにプログラム的に割り当てることができます。詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のSecurityServiceサービスに関する項を参照してください。

アプリケーション・ロールに対するPresentation Servicesの権限を設定するには:

1. 管理者権限のあるユーザーとしてOracle BIプレゼンテーション・サービスにログインします。
詳細は、第1.6.4項「プレゼンテーション・サービス管理の使用」を参照してください。

2. プレゼンテーション・サービスの「ホーム」ページで「管理」を選択します。

注意:
管理者権限がないユーザーとしてログインする場合、「管理」オプションは表示されません。

3. 「セキュリティ」領域で「権限の管理」をクリックし、「権限の管理」ページを表示します。
このページでは、Presentation Servicesの権限に対するアプリケーション・ロールを確認できます。

4. 管理する権限の横のアプリケーション・ロールをクリックします。
たとえば、BIConsumerという名前のアプリケーション・ロールに対して、Access to Scorecardという名前の権限を管理するには、Access to Scorecardの横の「BIConsumer」リンクをクリックします。

「権限<権限名>」ダイアログを使用してアプリケーション・ロールを権限リストに追加し、アプリケーション・ロールに権限を付与したりアプリケーション・ロールから権限を取り消したりします。たとえば、選択した権限をアプリケーション・ロールに付与するには、アプリケーション・ロールを「権限」リストに追加する必要があります。

5. 次のようにアプリケーション・ロールを「権限」リストに追加します。

1. 「ユーザー/ロールの追加」をクリックします。

2. リストから「アプリケーション・ロール」を選択し、「検索」をクリックします。

3. 結果リストからアプリケーション・ロールを選択します。

4. シャトル・コントロールを使用して、アプリケーション・ロールを「選択済メンバー」リストに移動します。

5. 「OK」をクリックします。

6. 「権限」リストで「権限付与」または「拒否」を選択することで、アプリケーション・ロールの権限を設定します。

注意:
Presentation Servicesの権限を明示的に拒否することは、グループまたはアプリケーション・ロール階層の結果として付与または継承されたユーザー・アクセス権より優先されます。

7. 変更内容を保存します。

注意:
既存のカタログ・グループは、アップグレード・プロセスの間に移行されます。既存のOracle BIプレゼンテーション・サービス・カタログ・セキュリティ構成をロールベースのOracle Fusion Middlewareセキュリティ・モデル・ベースに移行する場合は、各カタログ・グループを対応するアプリケーション・ロールと置き換える必要があります。既存のプレゼンテーション・サービス構成を複製するには、各カタログ・グループを、同じOracle BIプレゼンテーション・カタログ権限を付与する対応するアプリケーション・ロールと置き換えます。その後、プレゼンテーション・サービスから元のカタログ・グループを削除できます。

2.6.4 BIプレゼンテーション・サービスでの資格証明の暗号化 - 高度なセキュリティ構成トピック

BIサーバーおよびプレゼンテーション・サービスのクライアントは、ログインおよびパスワード暗号化について業界標準のセキュリティをサポートしています。エンド・ユーザーがWebブラウザにユーザー名およびパスワードを入力すると、BIサーバーはHypertext Transport Protocol Secure (HTTPS)規格を使用して、情報をセキュアなOracle BIプレゼンテーション・サービス・ポートに送信します。情報はOracle BIプレゼンテーション・サービスからトリプルDES(データ暗号化規格)を使用して、ODBCを介してBIサーバーに渡されます。これにより、高度なセキュリティが(168ビット)が実現し、認可されていないユーザーがデータにもOracle Business Intelligenceメタデータにもアクセスできないようになります。

データベース・レベルでは、Oracle Business Intelligence管理ユーザーがデータベース・セキュリティおよび認証を実装します。最後に、固有キーベースの暗号化によってセキュリティを提供し、未認可ユーザーがメタデータ・リポジトリにアクセスできないようにします。

2.7 Oracle BI Publisherの使用によるデータ・ソース・アクセスの権限の管理

この項では、Oracle BI Publisherの管理ページを使用して、Oracle BI Publisherに保持されているデータ・ソース・アクセスの権限を管理する方法について説明します。データ・ソース・アクセスの権限では、データ・ソースへのアプリケーション・ロールによるアクセスが制御されます。ユーザーが次のタスクを実行するには、そのユーザーに、特定のデータ・ソース・アクセスの権限が付与されたアプリケーション・ロールが割り当てられる必要があります。

- データ・ソースに対するデータ・モデルを作成する。

- データ・ソースに対するデータ・モデルを編集する。

- データ・ソースから構築されたデータ・モデルを使用して作成されたレポートを表示する。

公開されたレポートのデータ・ソース・セキュリティの詳細は、Oracle Fusion Middleware Oracle Business Intelligence管理者および開発者ガイドのデータ・ソースへのアクセス権の付与に関する項を参照してください。

2.8 デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性の有効化

HA環境でデフォルトのWeblogic LDAPを使用する場合のみ、この項が適用されます。

クラスタ環境で、デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性を有効にするには、virtualize属性を構成します。virtualizeの属性値をtrueに設定すると、BIプロセスは、デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアのローカル・コピーの検索を認証して実行できるローカルの管理対象サーバーを参照します。

デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性を有効にするには:

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. ナビゲーション・ペインから「WebLogicドメイン」フォルダを展開し、「bi」を選択します。

3. 「bi」を右クリックして「セキュリティ」→「セキュリティ・プロバイダ構成」を選択し、「セキュリティ・プロバイダ構成」ページを表示します。

4. 「セキュリティ・ストア・プロバイダ」、「アイデンティティ・ストア・プロバイダ」領域を展開して、「構成」をクリックし、「アイデンティティ・ストア構成」ページを表示します。

5. 「カスタム・プロパティ」領域で「追加」オプションを使用し、次のカスタム・プロパティを追加します。

- プロパティ名=virtualize
値=true

- プロパティ名=OPTIMIZE_SEARCH
値=true

注意:
プロパティ名virtualizeは小文字である必要があり、OPTIMIZE_SEARCHは大文字である必要があります。

図2-9は、値がtrueに設定されたvirtualizeという新しいプロパティを含む、一連のカスタム・プロパティの例を示しています。

図2-9 「アイデンティティ・ストア構成」ページで表示される新規カスタム・プロパティ

6. 「OK」をクリックして、変更を保存します。

7. 管理サーバー、管理対象サーバーおよびOracle BI EEコンポーネントを再起動します。

2.9 ユーザーの削除

ユーザーが不要になった場合、新しく作成された同じユーザーが古いアクセスの権限を継承しないように、システムからユーザーIDを完全に削除する必要があります。認証およびアクセスの権限がユーザーIDに割り当てられるため、この状況が発生する可能性があります。

ユーザーを削除するには、ポリシー・ストア、Oracle BIプレゼンテーション・カタログ、メタデータ・リポジトリおよびアイデンティティ・ストアからユーザーを取り除きます。

ユーザーを削除するには:

1. ユーザーをポリシー・ストアから削除します。
ユーザーが直接アプリケーション・ロールに関連付けられている場合、そのユーザーに対するすべての参照を削除する必要があります。

2. コマンドライン・ユーティリティを使用して、Oracle BIプレゼンテーション・カタログおよびメタデータ・リポジトリのユーザーを削除します。

- ユーザー・コマンドの削除
カタログおよびメタデータ・リポジトリのユーザーを削除するには、deleteusersコマンドを使用します。

詳細は、Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイドのユーザー・コマンドの削除に関する項を参照してください。

3. Oracle WebLogic Server LDAPをアイデンティティ・ストアとして使用している場合、次の手順を実行してユーザーを削除します。

1. Oracle WebLogic Server管理コンソールにログインします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、「myrealm」をクリックします。

3. 「ユーザーとグループ」タブ→「ユーザー」を選択します。

4. ユーザーを選択します。「削除」をクリックします。

5. 「ユーザーの削除」ページで、「はい」をクリックします。

6. 「OK」をクリックします。
ユーザー名が、埋め込まれたWebLogic LDAPサーバーの「ユーザー」表から削除されます。

4. Oracle WebLogic Server LDAP以外のアイデンティティ・ストアを使用している場合、使用するアイデンティティ・ストアに適切な手順に従ってください。

2.10 Oracle BIプレゼンテーション・カタログでのセキュリティ関連タスクの管理のためのruncatコマンドライン・インタフェースの使用

runcatコマンドライン・インタフェースを使用すると、Oracle BIプレゼンテーション・カタログでセキュリティに関連するタスクの一部を管理できます。

Windows、Linux、IBM-AIX、Sun Solaris、HP-UXなど、Oracle Business Intelligenceでサポートされているプラットフォーム上でコマンドライン・ユーティリティを起動することができます。Linuxでコマンド・ライン・ユーティリティの使用方法のヘルプを表示するには、次のようなコマンドを入力します。

./runcat.sh -help

次の構文を使用して、カタログ・グループの権限をアプリケーション・ロールの権限へ変換します。

runcat.cmd/runcat.sh -cmd replaceAccountInPermissions -old <catalog_group_name> -oldType group -new <application_role_name> -newType role -offline <catalog_path>

詳細は、Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイドのOracle BIプレゼンテーション・カタログのオープンに関する項を参照してください。

Oracle BIプレゼンテーション・カタログ・アイテムのセットに対するユーザー権限のレポート

次の構文を使用して、Oracle BIプレゼンテーション・カタログのすべての権限および権限の持ち主をレポートします。例:

runcat.cmd/runcat.sh -cmd report -online http://localhost:8080/analytics/saw.dll -credentials c:/oracle/catmancredentials.properties -outputFile c:/temp/report.txt -delimiter "\t" -folder "/system/privs" -mustHavePrivilege -type "Security ACL" -fields "Path:Accounts" "Must Have Privilege"

ヘルプには次のコマンドを使用します。

runcat.sh -cmd report -help

アプリケーション・ロール名の変更

詳細は、第2.4.4.3項「アプリケーション・ロールの名前変更」を参照してください。

3 代替認証プロバイダの使用

この章では、デフォルトのOracle WebLogic Server LDAPディレクトリではなく代替ディレクトリ・サーバーを認証に使用するように、Oracle Business Intelligenceを構成する方法を説明します。また、Oracle Internet Directory、Active Directoryおよびその他の認証プロバイダを使用するようにOracle Business Intelligenceを設定する方法や、OID LDAPまたはデータベースをポリシー・ストアおよび資格証明ストアとして使用する方法についても説明します。

注意:
セキュリティ設定手順の詳細なリストは、第1.7項「Oracle Business Intelligenceのセキュリティを設定するための詳細な手順」を参照してください。

この章には次の項が含まれます:

- 概要

- 代替認証プロバイダを構成するための大まかな手順

- 代替認証プロバイダのグループおよびユーザーの設定

- 代替認証プロバイダを使用するためのOracle Business Intelligenceの構成

- BIシステム・ユーザーの資格証明のリセット

3.1 概要

代替認証プロバイダを使用する場合、通常はプロバイダ・ベンダーが提供する管理ツールを使用してユーザーおよびグループを設定します。これらのユーザーおよびグループをBIサービス・インスタンスで定義されたアプリケーション・ロールに割り当てることができます。アプリケーション・ロールへのユーザーおよびグループの割当ての詳細は、第2.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理」を参照してください。

セキュリティ・モデルのその他の領域を管理するには、引き続き、他のOracle Business Intelligenceツール(Oracle BI管理ツール、Fusion Middleware Control、プレゼンテーション・サービスの「管理」ページなど)を使用します。

現在サポートされている、Oracle Business Intelligenceで使用できる認証プロバイダおよびディレクトリ・サーバーのリストを表示するには、「新しい認証プロバイダの作成」ページの「タイプ」リストで認証プロバイダを選択します。詳細は、「システム要件と動作要件」を参照してください。

1つ以上のサポートされている認証プロバイダを複数構成できます。詳細は、第3.4項「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」を参照してください。

デフォルトのWebLogic LDAPサーバー以外のディレクトリ・サーバーを使用している場合は、Oracle WebLogic Server管理コンソールに、他のディレクトリ・サーバーのユーザーおよびグループを表示できます。ただし、使用しているディレクトリ・サーバーのインタフェースでユーザーおよびグループを管理する必要があります。たとえば、Oracle Internet Directory (OID LDAP)を使用している場合、OIDコンソールを使用して、ユーザーおよびグループの作成と編集を行う必要があります。

3.2 代替認証プロバイダを構成するための大まかな手順

代替認証プロバイダを構成するには:

1. 外部アイデンティティ・ストアにOracle Business Intelligenceで使用するためのすべてのユーザーおよびグループ設定があることを確認します。
詳細は、第3.3項「代替認証プロバイダのグループおよびユーザーの設定」を参照してください。

2. 第3.4項「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」の説明に従って、必要な認証プロバイダを構成します。

3. myrealmの「ユーザーとグループ」タブに移動し、代替認証プロバイダのユーザーおよびグループが正しく表示されていることを確認します。ユーザーおよびグループが正しく表示されていたら、次のステップに進みます。正しく表示されていない場合は、構成を設定しなおし、再度表示を試みます。

4. Fusion Middleware Controlを使用して、アプリケーション・ロールを新しいアイデンティティ・ストアの対応するグループ(エンタープライズ・ロール)に割り当てます。
詳細は、第2.4.4.2項「アプリケーション・ロールのメンバーの追加または削除」を参照してください。

3.3 代替認証プロバイダのグループおよびユーザーの設定

代替認証プロバイダを使用する前に、適切なグループおよびユーザーを構成する必要があります。BIサービス・インスタンス内のアプリケーション・ロールに関連付けます。Oracle Business Intelligenceでは特定のユーザーまたはグループを必要としないため、本番環境の企業のアイデンティティ・ストア(Oracle Internet Directory (OID)など)は組織に関連するユーザーおよびグループが通常すでに含まれています。ただし、サンプル・アプリケーションLiteまたは初期アプリケーションに基づく簡単なシステムの設定方法の例は、第2.2項「ユーザー、グループおよびアプリケーション・ロールのセキュリティ設定の例」を参照してください。

代替認証プロバイダでユーザーおよびグループを設定するには:

1. BIサービス・インスタンスのアプリケーション・ロールと類似した代替認証プロバイダのグループを作成します。例(サンプル・アプリケーションの使用):

BIServiceAdministrators、BIContentAuthors、BIConsumers

2. 代替認証プロバイダで、ステップ1のグループに対応するユーザーを作成します。例:
BISERVICEADMIN、BICONTENTAUTHOR、BICONSUMER

3. 代替認証プロバイダで、ユーザーをそれぞれのグループに割り当てます。
たとえば、BISERVICEADMINユーザーをBIServiceAdministratorsグループに割り当てます。

4. 代替認証プロバイダで、BIContentAuthorsグループをBIConsumersグループの一部にします。
このグループ化により、BIContentAuthorsはBIConsumersの権限を継承できます。

3.4 代替認証プロバイダを使用するためのOracle Business Intelligenceの構成

この項では、Oracle Business Intelligenceを構成してデフォルトのOracle WebLogic Server LDAPディレクトリのかわりに1つ以上の認証プロバイダを使用する方法について説明し、次のトピックが含まれます。

- 第3.4.1項「認証プロバイダとしてのOracle Internet Directoryの再構成」

- 第3.4.2項「認証プロバイダとしてのMicrosoft Active Directoryの再構成」

- 第3.4.3項「アイデンティティ・ストアでのユーザーおよびグループ名属性の構成」

- 第3.4.4項「認証プロバイダとしてのLDAPの構成とデータベースへのグループの格納」

- 第3.4.5項「認証プロバイダとしてのデータベースの構成」

- 第3.4.6項「Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成」

- 第3.4.7項「1つの認証プロバイダが失敗した場合でも別の認証プロバイダからOracle Business Intelligenceにログインできるように複数の認証プロバイダを構成する」

- 第3.4.8項「JAAS制御フラグ・オプションの設定」

- 第3.4.9項「認証プロバイダとしての単一のLDAP認証プロバイダの構成」

注意:
単一のLDAPアイデンティティ・ストアにユーザーおよびグループを格納することで十分です。ただし、拡張インストールの場合、複数のLDAPアイデンティティ・ストアまたはデータベース・アイデンティティ・ストアのユーザーが必要になる場合があります。'アイデンティティ・ストアの仮想化'というメカニズムを使用してこれらを有効化します(第3.4.6項「Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成」を参照)。

注意:
この項では特定の認証プロバイダの設定について説明します。ただし、他の認証プロバイダを構成するための汎用ガイドとしてもご利用いただけます。

3.4.1 認証プロバイダとしてのOracle Internet Directoryの再構成

この手順では、Oracle Internet Directory (OID LDAP)を使用するよう、Oracle Business Intelligenceインストールを再構成する方法を示します。

認証プロバイダとしてOID LDAPを再構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「プロバイダ」タブを表示し、「認証」サブタブを表示します。

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動します。

5. 「新しい認証プロバイダの作成」ページで、次のように値を入力します。

- 名前: 認証プロバイダの名前を入力します。例: MyOIDDirectory。

- タイプ: リストから、「OracleInternetDirectoryAuthenticator」を選択します。

- 「OK」をクリックし、変更を保存して、新しい認証プロバイダで更新された認証プロバイダ・リストを表示します。

6. 「認証プロバイダ」表の「名前」列で「MyOIDDirectory」をクリックし、「設定」ページを表示します。

7. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「SUFFICIENT」を選択して「保存」をクリックします。

詳細は、第3.4.8項「JAAS制御フラグ・オプションの設定」を参照してください。

8. 「プロバイダ固有」タブを表示します。

9. 「プロバイダ固有」タブを使用して、次の値を指定します。

セクション名

フィールド名

説明

接続

ホスト

Oracle Internet Directoryサーバーのホスト名。

接続

ポート

Oracle Internet Directoryサーバーがリスニングしているポート番号。

接続

プリンシパル

Oracle Internet Directoryサーバーへの接続に使用されるOracle Internet Directoryユーザーの識別名(DN)。例: cn=OIDUser、cn=users、dc=us、dc=mycompany、dc=com。

接続

資格証明

プリンシパルとして入力されたOracle Internet Directoryユーザーのパスワード。

グループ

グループ・ベースDN

グループを含むOracle Internet Directoryサーバー・ツリーのベース識別名(DN)。

ユーザー

ユーザー・ベースDN

ユーザーを含むOracle Internet Directoryサーバー・ツリーのベース識別名(DN)。

ユーザー

すべてのユーザーのフィルタ

LDAP検索フィルタ。詳細は、「詳細」をクリックします。
これはActive Directory認証のデフォルト値であるため、ここを空白のままにします。

「すべてのユーザーのフィルタ」に追加するフィルタがすべてのユーザー検索に追加されることに注意してください。

ユーザー

名前指定によるユーザー・フィルタ

LDAP検索フィルタ。詳細は、「詳細」をクリックします。

ユーザー

ユーザー名属性

認証に使用する属性(cn、uid、mailなど)。たとえば、ユーザーの電子メール・アドレスを使用して認証を行うには、この値をmailに設定します。
注意: 第3.4.3.1項「ユーザー名属性の構成」の説明のとおり、ここで指定する値は、認証プロバイダで使用しているユーザー名属性と一致する必要があります。

図3-1は、「プロバイダ固有」タブのユーザー領域を示しています。

図3-1 「プロバイダ固有」タブ - ユーザー領域

Oracle WebLogic Serverでの認証プロバイダの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

10. (オプション)ユーザー名属性またはグループ名属性がOracle Internet Directoryの'cn'以外の値に構成されている場合、Oracle WebLogic Server管理コンソールの対応する値を変更する必要があります。
詳細は、第3.4.3項「アイデンティティ・ストアでのユーザーおよびグループ名属性の構成」を参照してください。

注意:
WebLogicで提供されているLDAP認証プロバイダ(OracleInternetDirectoryAuthenticatorおよびActiveDirectoryAuthenticatorを含む)は通常、'cn'をユーザー名およびグループ名の属性として使用するようにデフォルトで設定されています。ユーザー名に対して代替属性('uid'や'mail'など)の使用が必要になることはよくありますが、別のグループ名属性の使用が必要になることはあまり一般的ではありません。

11. 「保存」をクリックします。

12. 次の手順を実行し、DefaultAuthenticatorの「制御フラグ」を設定します。

1. メインの「myrealmの設定」ページで、「プロバイダ」タブ→「認証」サブタブを表示し、「DefaultAuthenticator」を選択して、その構成ページを表示します。

2. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「SUFFICIENT」を選択します。
詳細は、第3.4.8項「JAAS制御フラグ・オプションの設定」を参照してください。

3. 「保存」をクリックします。

13. 次の手順に従ってプロバイダを並べ替えます。

1. メインの「myrealmの設定」ページで「プロバイダ」タブを表示し、「認証」サブタブを表示します。

2. 「並替え」をクリックし、「認証プロバイダの並替え」ページを表示します。

3. 「MyOIDDirectory」を選択し、矢印ボタンを使用してこれをリストの最初に移動し、「OK」をクリックします。

4. 「OK」をクリックして変更内容を保存します。
並べ替えた順序で認証プロバイダが表示されます。

14. 「保存」をクリックします。

15. チェンジ・センターで、変更のアクティブ化をクリックします。

16. Oracle WebLogic Serverを再起動します。

3.4.2 認証プロバイダとしてのMicrosoft Active Directoryの再構成

この手順は、Microsoft Active Directoryを使用するよう、Oracle Business Intelligenceインストールを再構成する方法を示します。

この項のデータ例では、内部ユーザー用にOracle Business IntelligenceのSSOを設定するXYZ Corporationという架空の企業を使用します。

この例では、次の情報が使用されます。

- Active Directoryドメイン
XYZ Corporationには、xyzcorp.comというActive Directoryドメインがあり、このドメインはすべての内部ユーザーを認証します。この企業ネットワークにログインすると、ログイン先はこのActive Directoryドメインになります。ドメイン・コントローラはaddc.xyzcorp.comで、これによってActive Directoryドメインが制御されます。

- Oracle BI EE WebLogicドメイン
XYZ Corporationでは、bieesvr1.xyz2.comというネットワーク・サーバー・ドメインに、bi(デフォルト名)というWebLogicドメインがインストールされています。

- システム管理者およびテスト・ユーザー
次のシステム管理者およびドメイン・ユーザーが構成のテストを行います。

- システム管理者ユーザー
Jo Smith (login=jsmith、hostname=xyz1.xyzcorp.com)

- ドメイン・ユーザー
Bob Jones (login=bjones hostname=xyz47.xyzcorp.com)

認証プロバイダとしてActive Directoryを再構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「プロバイダ」タブを表示し、「認証」サブタブを表示します。

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動します。

5. 「新しい認証プロバイダの作成」ページで、次のように値を入力します。

- 名前: 認証プロバイダの名前を入力します。例: ADAuthenticator。

- タイプ: リストから、「ActiveDirectoryAuthenticator」を選択します。

- 「OK」をクリックし、変更を保存して、新しい認証プロバイダで更新された認証プロバイダ・リストを表示します。

6. 「名前」列で「DefaultAuthenticator」をクリックし、「設定」ページを表示します。

7. 「共通認証プロバイダ設定」ページで、「制御フラグ」を「REQUIRED」から「SUFFICIENT」に変更し、「保存」をクリックします。
詳細は、第3.4.8項「JAAS制御フラグ・オプションの設定」を参照してください。

8. 認証プロバイダの表の「名前」列で「ADDirectory」をクリックし、「設定」ページを表示します。

9. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「SUFFICIENT」を選択して「保存」をクリックします。

10. 「プロバイダ固有」タブを表示し、Active Directory LDAP認証ストアへの接続に適用するオプションにアクセスします。

11. 「プロバイダ固有」タブを使用して、次の値を指定します。

セクション名

フィールド名

説明

接続

ホスト

Active Directoryサーバーaddc.xyzcorp.comの名前。

接続

ポート

Active Directoryサーバーがリスニングしているポート番号(389)。

接続

プリンシパル

LDAPユーザーの情報を取得する際、Active Directoryに接続するユーザーのLDAP DN。例: cn=jsmith、cn=users、dc=us、dc=xyzcorp、dc=com。

接続

資格証明/資格証明の確認

プリンシパルのパスワード(welcome1など)。

グループ

グループ・ベースDN

AD内でグループの検索に使用するLDAP問合せ。
注意: このパスの下に定義されているグループのみをWebLogicに表示できます。

(CN=Builtin、DC=xyzcorp、DC=com)

ユーザー

ユーザー・ベースDN

AD内でユーザーの検索に使用するLDAP問合せ。CN=Users、DC=xyzcorp、DC=com

ユーザー

ユーザー名属性

AD内でユーザー名の指定に使用する属性。デフォルト値はcnです。
ユーザー名に別の属性を使用するようにActive Directoryが構成されていることがわかっている場合以外は、この値を変更しないでください。変更する場合は、第3.4.3.1項「ユーザー名属性の構成」を参照してください。

ユーザー

すべてのユーザーのフィルタ

LDAP検索フィルタ。詳細は、「詳細」をクリックします。

ユーザー

名前指定によるユーザー・フィルタ

LDAP検索フィルタ。AD内でデフォルトで空白です。詳細は、「詳細」をクリックします。

ユーザー

ユーザー・オブジェクト・クラス

ユーザーの名前。

ユーザー

取得したユーザー名をプリンシパルとして使用する

LDAPサーバーから取得されるユーザー名が、サブジェクトのプリンシパルとして使用されるかどうかを指定します。詳細は、「詳細」をクリックします。
大文字小文字を統一できるので、このチェック・ボックスは選択することをお薦めします。たとえば、LDAPユーザー名がJSmithである場合、jsmith (小文字のみ)でログインした場合でも、プリンシパルはJSmith (大文字小文字混合)になります。これはつまり、グループを間接的に介すのではなく、ユーザーに直接付与されるアプリケーション・ロール・メンバーシップが認証時に一貫して適用されるということです。

Oracle WebLogic Serverでの認証プロバイダの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

12. (オプション)ユーザー名属性またはグループ名属性がMicrosoft Active Directoryの'cn'以外の値に構成されている場合、Oracle WebLogic Server管理コンソールの対応する値を変更する必要があります。
詳細は、第3.4.3項「アイデンティティ・ストアでのユーザーおよびグループ名属性の構成」を参照してください。

注意:
WebLogicで提供されているLDAP認証プロバイダ(OracleInternetDirectoryAuthenticatorおよびActiveDirectoryAuthenticatorを含む)は通常、'cn'をユーザー名およびグループ名の属性として使用するようにデフォルトで設定されています。ユーザー名に対して代替属性('uid'や'mail'など)の使用が必要になることはよくありますが、別のグループ名属性の使用が必要になることはあまり一般的ではありません。

13. 「保存」をクリックします。

14. メインの「myrealmの設定」ページで「プロバイダ」タブを表示し、「認証」サブタブを表示します。

15. 「並替え」をクリックし、「認証プロバイダの並替え」ページを表示します。

16. 「ADDirectory」を選択し、矢印ボタンを使用してこれをリストの最初に移動し、「OK」をクリックします。

17. チェンジ・センターで、変更のアクティブ化をクリックします。

18. Oracle WebLogic Serverを再起動します。

3.4.3 アイデンティティ・ストアでのユーザーおよびグループ名属性の構成

OracleInternetDirectoryAuthenticatorおよびActiveDirectoryAuthenticatorを含め、WebLogicで提供されているLDAP認証プロバイダは通常、'cn'をユーザー名およびグループ名の属性として使用するようにデフォルトで設定されています。ユーザー名に対して代替属性('uid'や'mail'など)の使用が必要になることはよくありますが、別のグループ名属性の使用が必要になることはあまり一般的ではありません。この項では、両属性の再構成の方法について説明します。

このトピックには、次の項が含まれています。

- 第3.4.3.1項「ユーザー名属性の構成」

- 第3.4.3.2項「グループ名属性の構成」

3.4.3.1 ユーザー名属性の構成

この項では、mailをユーザー名属性として使用するためなど、OracleInternetDirectoryAuthenticatorを再構成する方法について説明します。

図3-2に、値mailで構成された「ユーザー名属性」を示します。

図3-2 例: 「プロバイダ固有」タブ - ユーザー属性

代替認証プロバイダのUserNameAttributeは、通常、cnの値に設定されています。このように設定されていない場合、AllUsersFilterおよびUserFromNameFilterの設定が表3-1のとおり正しく構成されていることを確認する必要があります。表3-1は、デフォルトの設定(cnの値を使用)および、必要となる新しい設定(属性AnOtherUserAttributeで新しい値を使用)を示しています。

表3-1 ユーザー名属性の変更

属性名

デフォルト設定

必要となる新しい設定

UserNameAttribute

cn

AnOtherUserAttribute

AllUsersFilter

(&(cn=*)(objectclass=person))

(&(AnOtherUserAttribute =*)(objectclass=person))

UserFromNameFilter

(&(cn=%u)(objectclass=person))

(&(AnOtherUserAttribute =%u)(objectclass=person))

「プロバイダ固有」タブで、表3-1を使用して変更を行います(AnOtherGroupAttribute設定を独自の値で置換します)。「プロバイダ固有」タブの表示方法の詳細は、第3.4項「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」を参照してください。

3.4.3.2 グループ名属性の構成

この項では、cn以外のグループ名を使用するために、ActiveDirectoryAuthenticatorを再構成する方法について説明します。

図3-3に、グループ設定を示します。

図3-3 例: 「プロバイダ固有」タブ - グループ属性

たとえば、アクティブ・ディレクトリ・サーバーのグループ名がデフォルト値"cn"以外の値に設定されている場合、変更する必要があります。この値を変更する場合、表3-2に示すとおり、AllGroupsFilterおよびGroupFromNameFilterの値も変更する必要があります(例は、AnOtherGroupAttributeという属性に保存されているグループ名を示しています)。

表3-2 グループ名属性の変更

属性名

デフォルト設定

必要となる新しい設定

StaticGroupNameAttribute/DynamicGroupNameAttribute

cn

AnOtherGroupAttribute

AllGroupsFilter

(&(cn=*)(objectclass=person))

(&(AnOtherGroupAttribute =*)(objectclass=person))

GroupFromNameFilter

(&(cn=%u)(objectclass=person))

(&(AnOtherGroupAttribute =%u)(objectclass=person))

「プロバイダ固有」タブで、表3-2を使用して変更を行います(AnOtherGroupAttribute設定を独自の値で置換します)。「プロバイダ固有」タブの表示方法の詳細は、第3.4.2項「認証プロバイダとしてのMicrosoft Active Directoryの再構成」を参照してください。

3.4.4 認証プロバイダとしてのLDAPの構成とデータベースへのグループの格納

この項では、LDAPアイデンティティ・ストアに対して認証を行うようにOracle Business Intelligenceを構成し、グループ情報をデータベースに格納する方法について説明します。この項の例では、Oracle Internet Directory (OID LDAP)およびサンプル・データベース・スキーマを使用します。ただし、OID LDAPをLDAPアイデンティティ・ストアとして使用したり、サンプルと同じデータベース・スキーマを使用したりする必要はありません。

Oracle Business Intelligenceでは、この方法の使用を可能にする、BISQLGroupProviderというWebLogic Server用の認証プロバイダが提供されます。この認証プロバイダでは、エンド・ユーザーの資格証明は認証されませんが、データベース表に保持された外部のグループ・メンバーシップを認証済ユーザーのIDに提供できます。

この項には次のトピックが含まれます:

- 第3.4.4.1項「前提条件」

- 第3.4.3.2項「グループおよびグループ・メンバーのサンプル・スキーマの作成」

- 第3.4.4.3項「Oracle WebLogic Server管理コンソールの使用によるデータ・ソースおよびBISQLGroupProviderの構成」

- 第3.4.4.4項「仮想アイデンティティ・ストアの構成」

- 第3.4.4.5項「アプリケーション・ロールへのデータベース・グループの追加による構成のテスト」

- 第3.4.4.6項「アダプタのエラーの修正」

3.4.4.1 前提条件

この項の説明に従ってLDAP認証の構成を試みる前に、次の前提条件を満たす必要があります。

- Oracle Business Intelligence Enterprise Editionリリース12.2.1.0 (またはそれ以降)がインストールされ、稼動している必要があります。

- Oracle BI EE 12.2.1.0システムにすべての関連するパッチを適用する必要があります。

- 必要なグループを含む1つ以上の表が格納された適切なデータベース・スキーマ、およびそれらのグループをLDAPによって認証されるユーザーの名前にマップするマッピング表が稼動していて、Oracle BI EEが稼動するWebLogic Serverからアクセスできる必要があります。

- ユーザーを格納するアイデンティティ・ストアとして使用するために、サポートされているLDAPサーバーが構成に含まれている必要があります。

- Oracle Business Intelligenceからアプリケーション・ロールのメンバーにコンテンツを配信する必要がある場合、次の制約が適用されます。

- ペアにできるのは、単一のLDAP認証プロバイダと単一のBISQLGroupProviderのみです。
複数のLDAP認証プロバイダを構成し、BISQLGroupProviderからグループ・メンバーシップを取得する必要がある場合、コンテンツをアプリケーション・ロールのすべてのメンバーに配信できません。この構成では、Oracle BIデリバーでユーザーおよびグループ・メンバーシップに基づいてアプリケーション・ロールのメンバーシップを解決できません。

- 複数のアイデンティティ・ストアで同じグループは定義できません。
LDAPおよびデータベース・グループ表の両方で同じ名前のグループを使用できません。これを行った場合、Oracle BIデリバーによって呼び出されるセキュリティ・コードでアプリケーション・ロールのメンバーシップを解決できなくなります。

3.4.4.2 グループおよびグループ・メンバーのサンプル・スキーマの作成

ここで説明するサンプル・スキーマは意図的に単純化されており、スキーマを使用するようOracle Business Intelligenceを構成する方法についてのみ説明します。

サンプル・スキーマの名前はACME_BI_GROUPSで、2つの表と1つのビューで構成されます。外部グループのリストが定義されるGROUPS表、GROUPMEMBERS表、プライマリ・アイデンティティ・ストア内に存在するユーザーのグループ・メンバーシップが記述されるGROUPMEMBERS_VWビューです。

図3-4と同じ表(またはビュー)を定義することの利点は、BISQLGroupProviderの構成で、表3-3に概説されたデフォルトのSQLを使用できることです。

図3-4には、表GROUPSおよびGROUPMEMBERSと、ビューGROUPMEMBERS_VWが示されています。

図3-4 グループおよびグループ・メンバーのサンプル・スキーマ

LDAPストア内のユーザーを、データベース表のグループにログイン名でマップする必要があります。図3-4では、GROUPMEMBERS表のG_MEMBERの値が、LDAP認証プロバイダに指定されているように、ログインに使用されるLDAP属性の値(uid、cn、mailなど)と一致する必要があります。たとえば、ログイン属性がmailのときに、データベース・グループをuidでマップしないようにする必要があります。GROUPMEMBERS表とGROUPS表間の外部結合を使用してGROUPMEMBERS_VWビューを作成します。

3.4.4.3 Oracle WebLogic Server管理コンソールの使用によるデータ・ソースおよびBISQLGroupProviderの構成

Oracle WebLogic Server管理コンソールを使用して、データ・ソースとBISQLGroupProviderを次のように構成します。

- 第3.4.4.3.1項「Oracle WebLogic Serverの使用によるプライマリ・アイデンティティ・ストアとしてのOracle Internet Directoryの構成」

- 第3.4.4.3.2項「BISQLGroupProviderのインストール」

- 第3.4.4.3.3項「Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成」

- 第3.4.4.3.4項「Oracle WebLogic Server管理コンソールの使用によるBISQLGroupProvider SQL認証プロバイダの構成」

3.4.4.3.1 Oracle WebLogic Serverの使用によるプライマリ・アイデンティティ・ストアとしてのOracle Internet Directoryの構成

リンク先の手順に従って、ユーザー移入をOID LDAPに対して認証するようにWebLogicを構成できます。

詳細は、第3.4.1項「認証プロバイダとしてのOracle Internet Directoryの再構成」を参照してください。

注意:
このタスクの手順に従うときに、OID LDAP認証プロバイダの「プロバイダ固有」構成ページに表示される「ユーザー・ベースDN」および「ユーザー名属性」の値をメモしておいてください。これらの値は、後の手順で必要になります。詳細は、第3.4.4.4.3項「グループ情報を取得するためのデータベース・アダプタの構成」を参照してください。

3.4.4.3.2 BISQLGroupProviderのインストール

BISQLGroupProvider認証プロバイダを構成する前に、まず認証プロバイダが格納されたJARファイルbi-sql-group-provider.jarをインストールする必要があります。ファイルは次の場所にあります。

ORACLE_HOME/bi/plugins/security/bi-sql-group-provider.jar

ファイルを次の場所にコピーする必要があります。

ORACLE_HOME/wlserver/server/lib/mbeantypes

ファイルを指定された場所にコピーした後、管理サーバーを再起動して、使用可能な認証プロバイダのリストに新しいプロバイダが表示されるようにする必要があります。

注意:
エンタープライズ・インストールを実行してクラスタ環境を作成した場合、そのインストールでは、スケールが拡大された管理対象サーバーを再起動できません。これは、bi-sql-group-provider.jarファイルが使用できないためです。インストール中にこの状況が発生した場合は、JARファイルを正しい場所にコピーし、インストーラで「再試行」をクリックします。

3.4.4.3.3 Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成

Oracle WebLogic Server管理コンソールを使用してデータ・ソースを構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「サービス」をクリックし、「データ・ソース」をクリックします。

3. データ・ソースの概要ページで「新規」をクリックし、「汎用データ・ソース」を選択します。

4. 「JDBCデータ・ソースのプロパティ」ページで、次のプロパティの値を入力または選択します。

- 名前: たとえば、BIDatabaseGroupDSと入力します。
基礎となる構成ファイル(config.xml)およびOracle WebLogic Server管理コンソール全体で、このデータ・ソースを参照するときに必ず使用される名前。

- JNDI名: たとえば、jdbc/BIDatabaseGroupDSと入力します。
このJDBCデータ・ソースのバインド先のJNDIパス。

- データベース・タイプ: たとえば、「Oracle」を選択します。
接続先のデータベースのDBMS。

5. 「次へ」をクリックします。

6. 「データベース・ドライバ」ドロップダウン・リストからデータベース・ドライバを選択します。
たとえば、Oracleのサービス接続用ドライバ(Thin)、バージョン9.0.1以降を選択します。

注意:
Oracleデータベースを使用している場合は、Oracleのサービス接続用ドライバ(Thin)、リリース9.0.1以降を選択します。

7. 「次へ」をクリックします。

8. 「次へ」をクリックします。

9. 「 接続プロパティ 」ページで、次のプロパティの値を入力します。

- データベース名: たとえば、ora11gと入力します。
接続先のデータベースの名前。

- ホスト名: たとえば、mymachine.example.comと入力します。
データベースのホストとなるサーバーのDNS名またはIPアドレス。

注意:
クラスタを使用する場合は、localhostを使用しないでください。

- Port: たとえば、1521と入力します。
データベース・サーバーが接続リクエストをリスニングするポート。

- データベース・ユーザー名
一般には、第3.4.4.2項で定義される表のスキーマ所有者。

たとえば、MYUSERと入力します。

- 「パスワード」/「パスワードの確認」
「データベース・ユーザー名」用のデータベース・パスワード。

たとえば、mypasswordと入力します。

10. 「次へ」をクリックします。

11. ページの内容が正しいことを確認して、「構成のテスト」をクリックします。

12. 「次へ」をクリックします。

13. 「ターゲットの選択」ページで、デプロイ先のデータ・ソースのサーバーまたはクラスタを選択します。
管理サーバーおよび管理対象サーバーをターゲットとして選択する必要があります。次に例を示します。

- 「サーバー」ペイン:
「AdminServer」オプションを選択します。

- 「クラスタ」ペイン:
「bi_server1」チェック・ボックスを選択し、クラスタにデプロイします(この操作は簡易インストールには適用されません)。

14. 「終了」をクリックします。

15. チェンジ・センターで、変更のアクティブ化をクリックします。

注意:
この例で使用するデータベースの名前はBIDatabaseGroupDSです。

3.4.4.3.4 Oracle WebLogic Server管理コンソールの使用によるBISQLGroupProvider SQL認証プロバイダの構成

このタスクでは、第3.4.4.2項「グループおよびグループ・メンバーのサンプル・スキーマの作成」で概説した例の表の構造を使用し、BIDatabaseGroupDSデータ・ソースに対してBISQLGroupProviderを作成する方法について説明します。構造が例と異なる場合は、使用するSQL文(表や列名)の変更が必要になる可能性があります。

注意:
データベースにはユーザーに関連付けられるグループが格納されるのみであるため、データベースに対する認証はありません。認証はLDAPに対して発生し、Oracle WebLogic Server管理コンソールでBISQLGroupProviderによってグループがアプリケーション・ロールに割り当てられたときに、データベースが公開されます。

Oracle WebLogic Server管理コンソールを使用してBISQLGroupProvider SQL認証プロバイダを構成するには:

1. Oracle WebLogic Server管理コンソールにWebLogic管理者としてログインし、チェンジ・センターで「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「プロバイダ」タブを表示し、「認証」サブタブを表示します。

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動します。

5. 「新しい認証プロバイダの作成」ページで、次のように値を入力します。

- 名前: 認証プロバイダの名前を入力します。たとえば、MySQLGroupProviderと入力します。

- タイプ: リストから、「BISQLGroupProvider」を選択します。

- 「OK」をクリックし、変更を保存して、新しい認証プロバイダで更新された認証プロバイダ・リストを表示します。

6. 認証プロバイダの表の「名前」列で「MySQLGroupProvider」をクリックし、「設定」ページを表示します。

7. 「プロバイダ固有」タブを表示して、データベース表に対して問合せおよび認証を行うために使用するSQL文を指定します。

8. 「データ・ソース名」を指定します。これはデータ・ソース名ではなく、JNDI名である必要があります。たとえば、jdbc/BIDatabaseGroupDSです。
表3-3は、第3.4.4.2項で概説したサンプル・スキーマのSQL文を示しています。

表3-3 サンプル・スキーマのSQL文

問合せ

SQL

注意

SQL - グループのリスト

SELECT G_NAME FROM GROUPS WHERE G_NAME LIKE ?

ワイルドカードに一致するグループ名を取得するためのSQL文。このSQL文にはグループ名のパラメータが1つ必要です。一致したグループを格納したresultSetが戻されます。

SQL - グループが存在するかどうか

SELECT G_NAME FROM GROUPS WHERE G_NAME = ?

グループをルックアップするためのSQL文。このSQL文にはグループ名のパラメータが1つ必要です。グループを含む最大1つのレコードを格納したresultSetを返します。

SQL - メンバーかどうか

SELECT G_MEMBER FROM GROUPMEMBERS WHERE G_NAME = ?AND G_MEMBER = ?

グループのメンバーをルックアップするためのSQL文。このSQL文には2つのパラメータ(グループ名とメンバーまたはグループ名)が必要です。一致するグループ名を格納したresultSetが戻されます。

SQL - メンバー・グループのリスト

SELECT G_NAME FROM GROUPMEMBERS WHERE G_MEMBER = ?

ユーザーまたはグループが属しているグループをルックアップするためのSQL文。このSQL文にはユーザー名またはグループ名のパラメータが1つ必要です。一致するグループの名前を格納したresultSetを戻します。

SQL - グループの説明の取得(「サポートされている説明」が有効な場合)

SELECT G_DESCRIPTION FROM GROUPS WHERE G_NAME = ?

グループの説明を取得するためのSQL文。「サポートされている説明」が有効になっている場合にのみ有効です。このSQL文にはグループ名のパラメータが1つ必要です。グループの説明を含む最大1つのレコードを格納したresultSetが戻されます。

注意:
異なる表構造を使用する場合は、これらのSQL文(表および列の名前)を独自のスキーマに合せて変更する必要がある場合があります。また疑問符(?)を、(ユーザー名やグループ名をハードコードするかわりに)ランタイム問合せのプレースホルダとして維持する必要もあります。

Oracle WebLogic Serverでの認証プロバイダの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

9. 必要なすべてのSQL文を、使用する認証プロバイダに入力します。
SQLでは大/小文字が区別されます。

10. 「保存」をクリックします。

11. 次の手順に従って認証プロバイダを並べ替えます。

1. 「プロバイダ」タブを表示します。

2. 「並替え」をクリックし、「認証プロバイダの並替え」ページを表示します。

3. 「BISQLGroupProvider」を選択し、矢印ボタンを使用してこれをリストの最初に移動します。

4. 「OK」をクリックして変更内容を保存します。

12. 次の手順を実行し、BISQLGroupProviderの「制御フラグ」設定を構成します。

1. メインの「myrealmの設定」ページで、「プロバイダ」タブ→「認証」サブタブを表示し、「BISQLGroupProvider」を選択して、その構成ページを表示します。

2. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「OPTIONAL」を選択します。
詳細は、第3.4.8項「JAAS制御フラグ・オプションの設定」を参照してください。

3. 「保存」をクリックします。

13. チェンジ・センターで、変更のアクティブ化をクリックします。

14. (管理サーバーが再起動したらFusion Middleware Controlを使用して) Oracle Business Intelligenceコンポーネント、Oracle WebLogic Serverおよび管理対象サーバーを再起動します。

注意:
「ユーザーとグループ」タブをチェックして、データベースのユーザーとグループが表示されていることを確認します。

3.4.4.4 仮想アイデンティティ・ストアの構成

仮想アイデンティティ・ストアを次のように構成します。

- 第3.4.4.4.1項「アイデンティティ・ストアの構成による仮想化の有効化」

- 第3.4.4.4.2項「LDAPに対するSSLの構成」

- 第3.4.4.4.3項「グループ情報を取得するためのデータベース・アダプタの構成」

3.4.4.4.1 アイデンティティ・ストアの構成による仮想化の有効化

アイデンティティ・ストアを構成して仮想化を有効にすることにより、アイデンティティ・ストア・サービスで複数のアイデンティティ・ストアを使用できるようになり、ユーザー・プロファイル情報を様々な認証プロバイダ(アイデンティティ・ストア)に分散できます。

詳細は、第3.4.6項「Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成」を参照してください。

3.4.4.4.2 LDAPに対するSSLの構成

SSL(一方向SSLのみ)で通信するためにLDAP認証プロバイダを構成した場合、仮想化(libOVD)機能で使用される追加キーストアに、該当するLDAPサーバーのルート証明書を配置する必要があります。

詳細は、第5.14.2項「複数認証プロバイダ使用時のSSLの構成」を参照してください。

3.4.4.4.3 グループ情報を取得するためのデータベース・アダプタの構成

LDAPサーバーのように表示されるようデータベース・アダプタを構成します。これにより、仮想アイデンティティ・ストア・プロバイダは、そのデータベース・アダプタを使用してグループ情報をデータベースから取得できます。

グループ情報を取得するようデータベース・アダプタを構成するには:

このタスクは、データベース表をアイデンティティ・ストアとして使用し、グループをマップする方法を指定する、アダプタ・テンプレートを編集して適用する方法を示しています。

1. bi_sql_groups_adapter_template.xmlという名前のファイルを作成します。
このファイルは、GROUPMEMBERS_VWビューから仮想LDAPストアへのマッピングを記述します。このビューでは外部結合を使用して、複数の表のフィールドをデータベース・アダプタで参照できるようにします。

2. ファイルに次の内容が含まれていることを確認します。

注意:
次の太字で示しているセクションは、独自の表と列の属性がLDAPサーバーの属性と一致するように変更する必要があります。ここに示す例は、第3.4.4項全体で使用するサンプル・スキーマのものです。

注意:
要素: <param name="ReplaceAttribute" value="uniquemember={cn=%uniquemember%,cn=users,dc=oracle,dc=com}"/>の場合
これはメイン認証プロバイダのユーザー属性およびルート・ユーザーDNと一致する必要があります。たとえば、デフォルトの認証プロバイダの場合は次のとおりです。

uid=%uniquemember%,ou=people,ou=myrealm,dc=bifoundation_domain

<?xml version = '1.0' encoding = 'UTF-8'?>
<adapters schvers="303" version="1" xmlns="http://www.octetstring.com/schemas/Adapters" xmlns:adapters="http://www.w3.org/2001/XMLSchema-instance">
<dataBase id="directoryType" version="0">
<root>%ROOT%</root>
<active>true</active>
<serverType>directoryType</serverType>
<routing>
<critical>true</critical>
<priority>50</priority>
<inclusionFilter/>
<exclusionFilter/>
<plugin/>
<retrieve/>
<store/>
<visible>Yes</visible>
<levels>-1</levels>
<bind>true</bind>
<bind-adapters/>
<views/>
<dnpattern/>
</routing>
<pluginChains xmlns="http://xmlns.oracle.com/iam/management/ovd/config/plugins">
<plugins>
<plugin>
<name>VirtualAttribute</name>
<class>oracle.ods.virtualization.engine.chain.plugins.virtualattr.VirtualAttributePlugin</class>
<initParams>
<param name="ReplaceAttribute" value="uniquemember={cn=%uniquemember%,cn=users,dc=oracle,dc=com}"/>
</initParams>
</plugin>
</plugins>
<default>
<plugin name="VirtualAttribute"/>
</default>
<add/>
<bind/>
<delete/>
<get/>
<modify/>
<rename/>
</pluginChains>
<driver>oracle.jdbc.driver.OracleDriver</driver>
<url>%URL%</url>
<user>%USER%</user>
<password>%PASSWORD%</password>
<ignoreObjectClassOnModify>false</ignoreObjectClassOnModify>
<includeInheritedObjectClasses>true</includeInheritedObjectClasses>
<maxConnections>10</maxConnections>
<mapping>
<joins/>
<objectClass name="groupofuniquenames" rdn="cn">
<attribute ldap="cn" table="GROUPMEMBERS_VW" field="G_NAME" type=""/>
<attribute ldap="description" table="GROUPMEMBERS_VW" field="G_NAME" type=""/>
<attribute ldap="uniquemember" table="GROUPMEMBERS_VW" field="G_MEMBER" type=""/>
</objectClass>
</mapping>
<useCaseInsensitiveSearch>true</useCaseInsensitiveSearch>
<connectionWaitTimeout>10</connectionWaitTimeout>
<oracleNetConnectTimeout>0</oracleNetConnectTimeout>
<validateConnection>false</validateConnection>
</dataBase>
</adapters>

3. 次の要素について、太字で示した適切なセクションをカスタマイズします。

- ReplaceAttribute
グループで一意のメンバーを定義する方法を指定します(%uniquemember%は、ユーザーがグループのメンバーかどうかをルックアップする際の実行時に渡される値のプレースホルダ)

この要素について変更する唯一の点は、ユーザーのルートの指定です。概念的には、libovdadapterconfigスクリプトをステップ10で実行する際にユーザー移入のルートとして指定するものにデフォルトで一致する必要があります。

- groupofuniquenenames
グループ属性がデータベース・フィールドにどのようにマップされるかを指定します。

次の属性をマップする必要があります。

- cn (グループの一意の名前にマップする)

- uniquemember (データベース・スキーマのユーザー/グループ・マッピング表におけるユーザーの一意の名前にマップする

次の属性のマップはオプションです。

- descriptionはオプション(ただし明らかに有用な情報です)

その他の属性は、ユーザーは構成できません。

4. アダプタ・ファイルを次のフォルダにコピーします。
ORACLE_HOME/oracle_common/modules/oracle.ovd/templates/

5. 次の場所でコマンド・プロンプトまたはターミナルを開きます。
ORACLE_HOME/oracle_common/bin

6. 次の環境変数のように設定されていることを確認します。

- ORACLE_HOME=oraclehome

- WL_HOME=ORACLE_HOME/wlserver/

- JAVA_HOME=ORACLE_HOME/jdk/jre

7. libovdadapterconfigスクリプトを実行し、テンプレート・ファイルからデータベース・アダプタを作成します。次に構文を示します。

libovdadapterconfig -adapterName <name of adapter> -adapterTemplate <name (NOT including path) of template file which defines adapater> -host localhost -port <Admin Server port> -userName <user id of account which has administrative privileges in the domain> -domainPath <path to the BI domain> -dataStore DB -root <nominal specification of a pseudo-LDAP query to treat as the "root" of this adapter - must match that specified in template for adapter 2 above> -contextName default -dataSourceJNDIName <JNDI name for DataSource which points at the database being mapped>

例:

./libovdadapterconfig.sh -adapterName biSQLGroupAdapter -adapterTemplate bi_sql_groups_adapter_template.xml -host localhost -port 7001 -userName weblogic -domainPath /opt/oracle_bi/user_projects/domains/bifoundation_domain/ -dataStore DB -root cn=users,dc=oracle,dc=com -contextName default -dataSourceJNDIName jdbc/BIDatabaseGroupDS

注意:
dataSourceJNDINameは単なるDS名ではなく、JNDI名である必要があります。

注意:
rootパラメータの値は、アダプタ・テンプレートの<param name="replaceattribute"要素に指定されたroot dnと一致する必要があります。たとえば、デフォルトの認証プロバイダにユーザーが指定されている場合、rootは通常ou=people, ou=myrealm, dc=bifoundation_domainに設定されます。

スクリプトはエラーなしで終了する必要があります。

8. WebLogic管理サーバーおよび管理対象サーバーを再起動します。

注意:
WebLogicを起動するときに次の警告が表示されますが、これは無視できます。「警告: BISQLGroupsProvider: 接続プールが使用できません。」

これで、データベースに格納された資格証明を使用して、WebLogicおよびOracle Business Intelligenceにログインできるはずです。

3.4.4.5 アプリケーション・ロールへのデータベース・グループの追加による構成のテスト

アプリケーション・ロールにデータベース・グループを追加することによって構成をテストするには:

1. Fusion Middleware Controlにログインし、ページの左側にあるナビゲーション・メニューでWebLogicドメインを開き、bifoundation_domainを開きます。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. 「bifoundation_domain」を右クリックして「セキュリティ」→「アプリケーション・ロール」を選択し、「アプリケーション・ロール構成」ページを表示します。

3. LDAPユーザーを含むデータベース・グループを、ユーザーに現在アクセス権が付与されていない、いずれかのアプリケーション・ロール(BIServiceAdministratorなど)に追加します。

4. アプリケーション・ロールに新しく追加されたグループのメンバーであるユーザーとして、Oracle Business Intelligenceにログインします。
ページの右上に、「<user id>としてログイン」というテキストが表示されます。

5. ユーザーIDをクリックしてドロップダウン・メニューを表示します。

6. メニューから「マイ・アカウント」を選択します。

7. 「ロールおよびカタログ・グループ」タブを表示し、ユーザーに新しいアプリケーション・ロールが割り当てられていることを確認します。

3.4.4.6 アダプタのエラーの修正

既存のデータベース・アダプタは修正しないでください。アダプタの作成で使用するテンプレートやlibovdadapterコマンドでエラーが発生した場合は、アダプタを削除してから再作成する必要があります。

詳細は、第3.4.5.6項「アダプタの削除および再作成によるデータベース・アダプタ・エラーの修正」を参照してください。

3.4.5 認証プロバイダとしてのデータベースの構成

この項では、SQLAuthenticatorおよび仮想アイデンティティ・ストア・データベース・アダプタを使用することで、データベースを認証プロバイダとして使用するようにOracle Business Intelligenceを構成する方法について説明します。この項の内容は次のとおりです。

- 第3.4.5.1項「概要と前提条件」

- 第3.4.5.2項「ユーザーおよびグループのサンプル・スキーマの作成」

- 第3.4.5.3項「Oracle WebLogic Server管理コンソールの使用によるデータ・ソースとSQL認証プロバイダの構成」

- 第3.4.5.4項「仮想アイデンティティ・ストアの構成」

- 第3.4.5.5項「SQL認証プロバイダのトラブルシューティング」

- 第3.4.5.6項「アダプタの削除および再作成によるデータベース・アダプタ・エラーの修正」

3.4.5.1 概要と前提条件

ユーザー・ロールとプロファイル情報は、データベースをLDAPサーバーのように表示できるアダプタを使用してデータベースに格納できます。仮想アイデンティティ・ストア・プロバイダは、このデータベース・アダプタを介してユーザー・プロファイル情報をデータベースから取得できます。

ここで説明するデータベース認証の方法は、リリース11.1.1.5 (またはそれ以降)でのみ使用可能です。それ以前のリリースでは初期化ブロックを使用する必要があります。

このトピックでは、SQLAuthenticatorおよび仮想アイデンティティ・ストア・プロバイダ(データベース・アダプタを含む)を使用するようにOracle Business Intelligenceを構成する方法について説明します。両方とも適切なデータベース・スキーマに対して実行します。ここに示す例は説明のためのものであり、実際のデータベース・スキーマに、ここで説明するサンプルと同じ値を指定してはいけません。

この手順は、ユーザーをデータベース・スキーマに対して認証する必要がある場合に使用します。認証に優先されるアイデンティティ・ストアは、Oracle Internet Directory (OID LDAP)などのLDAPディレクトリ・サービスです。

ここで説明するデータベース認証のアプローチには、それぞれにユーザーおよびパスワードを格納する2つのデータベース列が必要です。データベース・ユーザー・アカウントには基づきません。

Oracle Business Intelligence Enterprise Editionリリース11.1.1.5、11.1.1.6および11.1.1.7(またはそれ以降)がインストールされ、稼働している必要があります。ただし、リリース11.1.1.5および11.1.1.6の場合、Oracle Fusion Middlewareパッチ13826887も適用する必要があります。詳細は、Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイドのOracle Business Intelligenceシステムのパッチ適用に関する項を参照してください。

3.4.5.2 ユーザーおよびグループのサンプル・スキーマの作成

実際には、以前のOracle BI EEインストールで使用しているユーザー独自のスキーマを使用することになります。ここで説明するサンプル・スキーマは意図的に単純化されており、スキーマを使用するようシステムを構成する方法についてのみ説明します。

注意:
認証に必要なユーザー、資格証明およびグループを含むデータベース・スキーマは、Oracle BI EEが稼動するWebLogic Serverからアクセスできる必要があります。

図3-5には、表USERS、USER_VW、GROUPMEMBERS、GROUPSおよびGROUPMEMBERS_VWが示されており、USER_VWはUSERS表のビューであり、GROUPMEMBERS_VWはGROUPMEMBERS表とGROUPS表を結合したビューです。

図3-5 ユーザーおよびグループのサンプル・スキーマ

ユーザーまたはグループの情報が複数の表に存在する場合は、USER_VWを削除し、各種情報の表について1つのビューを作成する必要があります。

GROUPS表での外部結合とGROUPMEMBERS表での内部結合を使用してGROUPMEMBERS表とGROUPS表のビュー(GROUPMEMBERS_VWなど)を作成し、ユーザーが割り当てられていない場合でもFusion Middleware Controlでグループを確認できるようにします。図3-5に示すビューをデータベース・アダプタに渡すには、第3.4.5.4.2項「データベース・アダプタの構成」に示す構成を実行する必要があります。

3.4.5.3 Oracle WebLogic Server管理コンソールの使用によるデータ・ソースとSQL認証プロバイダの構成

Oracle WebLogic Server管理コンソールを使用して、データ・ソースとSQL認証プロバイダを次のように構成します。

- 第3.4.5.3.1項「Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成」

- 第3.4.5.3.2項「Oracle WebLogic Server管理コンソールの使用によるSQL認証プロバイダの構成」

3.4.5.3.1 Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成

Oracle WebLogic Server管理コンソールを使用してデータ・ソースを構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「サービス」をクリックし、「データ・ソース」をクリックします。

3. データ・ソースの概要ページで「新規」をクリックし、「汎用データ・ソース」を選択します。

4. 「JDBCデータ・ソースのプロパティ」ページで、次のプロパティの値を入力または選択します。

- 名前: たとえば、UserGroupDSと入力します。
基礎となる構成ファイル(config.xml)および管理コンソール全体で、このデータ・ソースを参照するときに必ず使用される名前。

- JNDI名: たとえば、jdbc/User GroupDSと入力します。
このJDBCデータ・ソースのバインド先のJNDIパス。

- データベース・タイプ: たとえば、「Oracle」を選択します。
接続先のデータベースのDBMS。

5. 「次へ」をクリックします。

6. 「データベース・ドライバ」ドロップダウン・リストからデータベース・ドライバを選択します。
たとえば、Oracleのサービス接続用ドライバ(Thin)、リリース9.0.1以降を選択します。

7. 「次へ」をクリックします。

8. 「次へ」をクリックします。

9. 「 接続プロパティ 」ページで、次のプロパティの値を入力します。

- データベース名: たとえば、ora12cと入力します
接続先のデータベースの名前。

- ホスト名: たとえば、mymachine.example.comと入力します。
データベースのホストとなるサーバーのDNS名またはIPアドレス。

- Port: たとえば、1521と入力します。
データベース・サーバーが接続リクエストをリスニングするポート。

- データベース・ユーザー名
一般には、第3.4.5.2項で定義される表のスキーマ所有者。

- 「パスワード」/「パスワードの確認」
「データベース・ユーザー名」用のデータベース・パスワード。

10. 「次へ」をクリックします。

11. ページの内容が正しいことを確認して、「構成のテスト」をクリックします。

12. 「次へ」をクリックします。

13. 「ターゲットの選択」ページで、データ・ソースのデプロイ先となるサーバーまたはクラスタを選択します。
管理サーバーおよび管理対象サーバーをターゲットとして選択する必要があります。次に例を示します。

- 「サーバー」ペイン:
「AdminServer」チェック・ボックスを選択します。

- 「クラスタ」ペイン:
「bi_server1」オプションを選択します。

14. 「終了」をクリックします。

15. チェンジ・センターで、変更のアクティブ化をクリックします。

16. システムを再起動します。

3.4.5.3.2 Oracle WebLogic Server管理コンソールの使用によるSQL認証プロバイダの構成

このタスクを実行することで、適切な権限を付与されたユーザーが、WebLogicデータベース認証プロバイダを使用してOracle WebLogic Server管理コンソールにログインできるようになります。

Oracle WebLogic Server管理コンソールを使用してSQL認証プロバイダを構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「プロバイダ」タブを表示し、「認証」サブタブを表示します。

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動します。

5. 「新しい認証プロバイダの作成」ページで、次のように値を入力します。

- 名前: 認証プロバイダの名前を入力します。たとえば、UserGroupDBAuthenticatorと入力します。

- タイプ: リストから、「ReadOnlySQLAuthenticator」を選択します。
これにより読取り専用のSQL認証プロバイダが作成され、WebLogicからデータベースに書き戻されることはありません。

- 「OK」をクリックし、変更を保存して、新しい認証プロバイダで更新された認証プロバイダ・リストを表示します。

6. 認証プロバイダの表の「名前」列で「UserGroupDBAuthenticator」をクリックし、「設定」ページを表示します。

7. 「プロバイダ固有」タブを表示し、「データ・ソース名」に、第3.4.5.3.1項で作成したデータ・ソースの名前を入力します。
たとえば、UserGroupDSです。

8. 「プロバイダ固有」タブで、データベース表に対して問合せおよび認証を行うために使用するSQL文を指定します。
表3-4は、第3.4.5.2項で概説したサンプル・スキーマのSQL文を示しています

表3-4 サンプル・スキーマのSQL文

問合せ

SQL

注意

SQL - ユーザー・パスワードの取得(認証に使用)

SELECT U_PASSWORD FROM USERS WHERE U_NAME = ?

ユーザーのパスワードをルックアップするためのSQL文。このSQL文にはユーザー名のパラメータが1つ必要です。パスワードを含む最大1つのレコードを格納したresultSetが戻されます。

SQL - ユーザーが存在するかどうか

SELECT U_NAME FROM USERS WHERE U_NAME = ?

ユーザーをルックアップするためのSQL文。このSQL文にはユーザー名のパラメータが1つ必要です。ユーザーを含む最大1つのレコードを格納したresultSetが戻されます。

SQL - ユーザーのリスト

SELECT U_NAME FROM USERS WHERE U_NAME LIKE ?

特定のワイルドカード検索に一致するユーザーを取得するためのSQL文。このSQL文にはユーザー名のパラメータが1つ必要です。一致したユーザー名を格納したresultSetが戻されます。

SQL - グループのリスト

SELECT G_NAME FROM GROUPS WHERE G_NAME LIKE ?

ワイルドカードに一致するグループ名を取得するためのSQL文。このSQL文にはグループ名のパラメータが1つ必要です。一致したグループを格納したresultSetが戻されます。

SQL - グループが存在するかどうか

SELECT G_NAME FROM GROUPS WHERE G_NAME = ?

グループをルックアップするためのSQL文。このSQL文にはグループ名のパラメータが1つ必要です。グループを含む最大1つのレコードを格納したresultSetを返します。

SQL - メンバーかどうか

SELECT G_MEMBER FROM GROUPMEMBERS WHERE G_NAME=?AND G_MEMBER LIKE ?

グループのメンバーをルックアップするためのSQL文。このSQL文には2つのパラメータ(グループ名とメンバーまたはグループ名)が必要です。resultSetを返します。

SQL - メンバー・グループのリスト

SELECT G_NAME FROM GROUPMEMBERS WHERE G_MEMBER = ?

ユーザーまたはグループが属しているグループをルックアップするためのSQL文。このSQL文にはユーザー名またはグループ名のパラメータが1つ必要です。一致するグループの名前を格納したresultSetを戻します。

SQL - ユーザーの説明の取得(「サポートされている説明」が有効な場合)

SELECT U_DESCRIPTION FROM USERS WHERE U_NAME = ?

特定のユーザーの説明を取得するためのSQL文。このSQL文にはユーザー名のパラメータが1つ必要です。ユーザーの説明を含む最大1つのレコードを格納したresultSetが戻されます。

SQL - グループの説明の取得(「サポートされている説明」が有効な場合)

SELECT G_DESCRIPTION FROM GROUPS WHERE G_NAME = ?

グループの説明を取得するためのSQL文。「サポートされている説明」が有効になっている場合にのみ有効です。このSQL文にはグループ名のパラメータが1つ必要です。グループの説明を含む最大1つのレコードを格納したresultSetが戻されます。

注意:
異なる表構造を使用する場合は、これらのSQL文(表および列の名前)を独自のスキーマに合せて変更する必要がある場合があります。また疑問符(?)を、(ユーザー名やグループ名をハードコードするかわりに)ランタイム問合せのプレースホルダとして維持する必要もあります。

Oracle WebLogic Serverでの認証プロバイダの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

9. 必要なすべてのSQL文を、使用する認証プロバイダに入力します。
SQLでは大/小文字が区別されます。

10. パスワード列がプレーンテキストの場合(つまり、「SQL - ユーザー・パスワードの取得」列に対して返された問合せの結果がハッシュ化/暗号化されていない場合)、「プレーンテキスト・パスワードの有効化」オプションを選択します。
「プレーンテキスト・パスワードの有効化」オプションが選択されていない場合、SQLAuthenticatorではSHA-1(デフォルトの暗号化アルゴリズム)を使用してパスワードがハッシュされていると想定されます。サポートされる暗号化アルゴリズムの詳細は、ベースSQLAuthenticator Mbean PasswordAlgorithm属性に関するドキュメントを参照してください。

11. 「保存」をクリックします。

12. 次の手順を実行し、デフォルト認証プロバイダの「制御フラグ」設定を構成します。

1. メインの「myrealmの設定」ページで、「プロバイダ」タブ→「認証」サブタブを表示し、「DefaultAuthenticator」を選択して、その構成ページを表示します。

2. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「SUFFICIENT」を選択します。
詳細は、第3.4.8項「JAAS制御フラグ・オプションの設定」を参照してください。

3. 「保存」をクリックします。

13. 次の手順に従って認証プロバイダを並べ替えます。

1. 「プロバイダ」タブを表示します。

2. 「並替え」をクリックし、「認証プロバイダの並替え」ページを表示します。

3. 「UserGroupDBAuthenticator」を選択し、矢印ボタンを使用してこれをリストの最初に移動します。

4. 「OK」をクリックして変更内容を保存します。

14. チェンジ・センターで、変更のアクティブ化をクリックします。

15. (管理サーバーが再起動したらFusion Middleware Controlを使用して) Oracle Business Intelligenceコンポーネント、Oracle WebLogic Serverおよび管理対象サーバーを再起動します。

16. 信頼できるシステム・ユーザーの資格証明をポイントするように資格証明ストアの資格証明を置換して、このシステム・ユーザーがデータベースに存在することを確認するには、第3.5項「BIシステム・ユーザーの資格証明のリセット」の説明に従います。
資格証明は、構成しようとしている認証対象のデータベース・テーブルで指定されている適切なユーザー・アカウントのものである必要があります。

注意:
第3.5項のOracle WebLogic Server管理コンソールのスクリーンショットには、データベース構成手順を完了するまでは表示されないドメイン内のユーザーが示されています。

注意:
「ユーザーとグループ」タブをチェックして、データベースのユーザーとグループが表示されていることを確認します。

3.4.5.4 仮想アイデンティティ・ストアの構成

仮想アイデンティティ・ストアを次のように構成します。

- 第3.4.5.4.1項「アイデンティティ・ストアの構成による仮想化の有効化」

- 第3.4.5.4.2項「データベース・アダプタの構成」

3.4.5.4.1 アイデンティティ・ストアの構成による仮想化の有効化

アイデンティティ・ストアを構成して仮想化を有効にする必要があります。これにより、アイデンティティ・ストア・サービスで複数のアイデンティティ・ストアを使用できるようになり、ユーザー・プロファイル情報を様々な認証プロバイダ(アイデンティティ・ストア)に分散できます。

詳細は、第3.4.6項「Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成」を参照してください。

3.4.5.4.2 データベース・アダプタの構成

LDAPサーバーのようにデータベースが表示されるようデータベース・アダプタを構成します。これにより、仮想アイデンティティ・ストア・プロバイダは、そのデータベース・アダプタを使用してユーザー・プロファイル情報をデータベースから取得できます。

データベース・アダプタを構成するには:

このタスクは、データベース表をアイデンティティ・ストアとして使用する方法を指定する、アダプタ・テンプレートを編集して適用する方法を示しています。

1. adapter_template_usergroup1.xmlという名前のファイルを作成します。
このファイルは、ユーザー表から仮想LDAPストアへのマッピングを記述します。

2. ファイルに次の内容が含まれていることを確認します。

注意:
太字で示しているセクションは、独自の表の列がLDAPサーバー内の属性と一致するように変更する必要があります。ここに示す例は、第3.4.5項全体で使用するサンプル・スキーマを対象としたものです。

<?xml version = '1.0' encoding = 'UTF-8'?>
<adapters schvers="303" version="1" xmlns="http://www.octetstring.com/schemas/Adapters" xmlns:adapters="http://www.w3.org/2001/XMLSchema-instance">
<dataBase id="directoryType" version="0">
<root>%ROOT%</root>
<active>true</active>
<serverType>directoryType</serverType>
<routing>
<critical>true</critical>
<priority>50</priority>
<inclusionFilter/>
<exclusionFilter/>
<plugin/>
<retrieve/>
<store/>
<visible>Yes</visible>
<levels>-1</levels>
<bind>true</bind>
<bind-adapters/>
<views/>
<dnpattern/>
</routing>
<pluginChains xmlns="http://xmlns.oracle.com/iam/management/ovd/config/plugins">
<plugins>
<plugin>
<name>DBGUID</name>
<class>oracle.ods.virtualization.engine.chain.plugins.dbguid.DBGuidPlugin</class>
<initParams>
<param name="guidAtribute" value="orclguid"/>
</initParams>
</plugin>
</plugins>
<default>
<plugin name="DBGUID"/>
</default>
<add/>
<bind/>
<delete/>
<get/>
<modify/>
<rename/>
</pluginChains>
<driver>oracle.jdbc.driver.OracleDriver</driver>
<url>%URL%</url>
<user>%USER%</user>
<password>%PASSWORD%</password>
<ignoreObjectClassOnModify>false</ignoreObjectClassOnModify>
<includeInheritedObjectClasses>true</includeInheritedObjectClasses>
<maxConnections>10</maxConnections>
<mapping>
<joins/>
<objectClass name="person" rdn="cn">
<attribute ldap="cn" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="uid" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="usernameattr" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="loginid" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="description" table="USER_VW" field="U_NAME" type=""/>
<attribute ldap="orclguid" table="USER_VW" field="orclguid" type=""/>
</objectClass>
</mapping>
<useCaseInsensitiveSearch>true</useCaseInsensitiveSearch>
<connectionWaitTimeout>10</connectionWaitTimeout>
<oracleNetConnectTimeout>0</oracleNetConnectTimeout>
<validateConnection>false</validateConnection>
</dataBase>
</adapters>

この例でカスタマイズが必要なのは太字で示しているセクションのみですが、その要素は、仮想LDAPスキーマで使用されている属性/クラスを、それらに対応するデータベースの列と一致させることでマップする必要があります。この仮想スキーマはWebLogicの組込みLDAPの仮想スキーマと同じであり、表3-5に示す任意の属性にデータベース列をマップできます。

表3-5 データベース列にマップする属性の例

属性

例

description

John Doe

cn

john.doe

uid

john.doe

sn

Doe

userpassword

welcome1

displayName

John Doe

employeeNumber

12345

employeeType

Regular

givenName

John

homePhone

650-555-1212

mail

john.doe@example.com

title

マネージャ

manager

uid=mary.jones,ou=people,ou=myrealm,dc=wc_domain

preferredLanguage

en

departmentNumber

ツール

facsimiletelephonenumber

650-555-1200

mobile

650-500-1200

pager

650-400-1200

telephoneNumber

650-506-1212

postaladdress

200 Oracle Parkway

l

Redwood Shores

homepostaladdress

123 Main St., Anytown 12345

3. 最初の外側の要素(<objectClass name="person" rdn="cn">)を使用して、LDAPオブジェクト・クラスpersonのマッピングを宣言します。
cn属性はRDN(相対識別名)として使用されます。次にサブ要素で、どのLDAP属性をデータベースのどの表および列にマップするのかを宣言します。たとえば、「<attribute ldap="uid" table="USERS" field="USER_ID" type=""/>」の行では、USER_VW表のUSER_IDフィールドを、標準のLDAP属性であるuid (つまり、ユーザーごとに一意のユーザーID)にマップします。

次に、同じ方法を使用してグループをマップします。

4. adapter_template_usergroup2.xmlという名前のファイルを作成します。
このファイルは、グループ表から仮想LDAPストアへのマッピングを記述します。

5. 次の内容をファイルに追加します。
太字で示したセクションをカスタマイズして、ユーザー独自の表にある列と一致させる必要があります。ここに示すサンプルの内容は、この例全体で使用するサンプル・スキーマに一致します。

<?xml version = '1.0' encoding = 'UTF-8'?>
<adapters schvers="303" version="1" xmlns="http://www.octetstring.com/schemas/Adapters" xmlns:adapters="http://www.w3.org/2001/XMLSchema-instance">
<dataBase id="directoryType" version="0">
<root>%ROOT%</root>
<active>true</active>
<serverType>directoryType</serverType>
<routing>
<critical>true</critical>
<priority>50</priority>
<inclusionFilter/>
<exclusionFilter/>
<plugin/>
<retrieve/>
<store/>
<visible>Yes</visible>
<levels>-1</levels>
<bind>true</bind>
<bind-adapters/>
<views/>
<dnpattern/>
</routing>
<pluginChains xmlns="http://xmlns.oracle.com/iam/management/ovd/config/plugins">
<plugins>
<plugin>
<name>VirtualAttribute</name>
<class>oracle.ods.virtualization.engine.chain.plugins.virtualattr.VirtualAttributePlugin</class>
<initParams>
<param name="ReplaceAttribute" value="uniquemember={cn=%uniquemember%,cn=users,dc=oracle,dc=com}"/>
</initParams>
</plugin>
</plugins>
<default>
<plugin name="VirtualAttribute"/>
</default>
<add/>
<bind/>
<delete/>
<get/>
<modify/>
<rename/>
</pluginChains>
<driver>oracle.jdbc.driver.OracleDriver</driver>
<url>%URL%</url>
<user>%USER%</user>
<password>%PASSWORD%</password>
<ignoreObjectClassOnModify>false</ignoreObjectClassOnModify>
<includeInheritedObjectClasses>true</includeInheritedObjectClasses>
<maxConnections>10</maxConnections>
<mapping>
<joins/>
<objectClass name="groupofuniquenames" rdn="cn">
<attribute ldap="cn" table="GROUPMEMBERS_VW" field="G_NAME" type=""/>
<attribute ldap="description" table="GROUPMEMBERS_VW" field="G_NAME type=""/>
<attribute ldap="uniquemember" table="GROUPMEMBERS_VW" field="G_MEMBER" type=""/>
<attribute ldap="orclguid" table="GROUPMEMBERS_VW" field="G_NAME" type=""/>
</objectClass>
</mapping>
<useCaseInsensitiveSearch>true</useCaseInsensitiveSearch>
<connectionWaitTimeout>10</connectionWaitTimeout>
<oracleNetConnectTimeout>0</oracleNetConnectTimeout>
<validateConnection>false</validateConnection>
</dataBase>
</adapters>

6. 次の要素について、太字で示した適切なセクションをカスタマイズします。

- ReplaceAttribute
グループで一意のメンバーを定義する方法を指定します(%uniquemember%は、ユーザーがグループのメンバーかどうかをルックアップする際の実行時に渡される値のプレースホルダ)

この要素について変更する唯一の点は、ユーザーのルートの指定です。概念的には、libovdadapterconfigスクリプトをステップ10で実行する際にユーザー移入のルートとして指定するものにデフォルトで一致する必要があります。

- groupofuniquenames
ユーザー同様、グループ属性をデータベース・フィールドにマップする方法を指定します。この属性は、Weblogicの組込みLDAPのデフォルトに対応します。

次の属性をマップする必要があります。

- cn (グループの一意の名前にマップする)

- uniquemember (データベース・スキーマのユーザー/グループ・マッピング表におけるユーザーの一意の名前にマップする)

- orclguid (データベース・スキーマで利用可能な場合は一意のIDにマップする)

次の属性のマップはオプションです。

- descriptionはオプション(ただし明らかに有用な情報です)

その他の属性は、ユーザーは構成できません。

7. 2つのアダプタ・ファイルを次のフォルダにコピーします。
ORACLE_HOME/oracle_common/modules/oracle.ovd/templates/

8. 次の場所でコマンド・プロンプトまたはターミナルを開きます。
ORACLE_HOME/oracle_common/bin

9. 次の環境変数のように設定されていることを確認します。

- ORACLE_HOME=ORACLE_HOME/oraclehome

- WL_HOME=ORACLE_HOME/wlserver

- JAVA_HOME=ORACLE_HOME/jdk/jre

10. libovdadapterconfigスクリプトを実行し、テンプレート・ファイルから2つのアダプタをそれぞれ作成します。次に構文を示します。

libovdadapterconfig -adapterName <name of adapter> -adapterTemplate <name (NOT including path) of template file which defines adapter> -host localhost -port <Admin Server port> -userName <user id of account which has administrative privileges in the domain> -domainPath <path to the BI domain> -dataStore DB -root <nominal specification of a pseudo-LDAP query to treat as the "root" of this adapter - must match that specified in template for adapter 2 above> -contextName default -dataSourceJNDIName <JNDI name for DataSource which points at the database being mapped>

例:

./libovdadapterconfig.sh -adapterName userGroupAdapter1 -adapterTemplate adapter_template_usergroup1.xml -host localhost -port 7001 -userName weblogic -domainPath /opt/oracle_bi/user_projects/domains/bifoundation_domain/ -dataStore DB -root cn=users,dc=oracle,dc=com -contextName default -dataSourceJNDIName jdbc/UserGroupDS

./libovdadapterconfig.sh -adapterName userGroupAdapter2 -adapterTemplate adapter_template_usergroup2.xml -host localhost -port 7001 -userName weblogic -domainPath /opt/oracle_bi/user_projects/domains/bifoundation_domain/ -dataStore DB -root cn=users,dc=oracle,dc=com -contextName default -dataSourceJNDIName jdbc/UserGroupDS

スクリプトはエラーなしで終了する必要があります。

11. WebLogic管理サーバーおよび管理対象サーバーを再起動します。
これで、データベースに格納された資格証明を使用して、WebLogicおよびOracle Business Intelligenceにログインできるはずです。

3.4.5.5 SQL認証プロバイダのトラブルシューティング

この項では、SQL認証プロバイダのトラブルシューティング情報を示します。この項の内容は次のとおりです。

- 第3.4.5.5.1項「Oracle WebLogic Server管理コンソールの使用によるグローバルAdminロールへのユーザーの追加」

- 第3.4.5.5.2項「SQLAuthenticatorに対する正しくないデータ・ソース名の指定」

- 第3.4.5.5.3項「正しくないSQL問合せ」

3.4.5.5.1 Oracle WebLogic Server管理コンソールの使用によるグローバルAdminロールへのユーザーの追加

データベース・ユーザーを使用してOracle Business Intelligenceにログインできない場合に役立つ診断テストとして、そのユーザーがWebLogicにログインできるかどうかを確認することがあります。WebLogicコンテナ認証を利用する他のアプリケーションがWebLogic Server上にない場合は、ユーザーを(一時的に) WebLogicのグローバルAdminロールに追加し、そのユーザーがOracle WebLogic Server管理コンソールにログインできるかどうかを確認することで、SQLAuthenticatorが正しく動作していることをテストします。

Oracle WebLogic Server管理コンソールを使用してグローバルAdminロールにユーザーを追加するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「ロールとポリシー」タブを表示し、「レルム・ロール」サブタブを表示します。

4. ロールのリストでプラス記号をクリックして「グローバル・ロール」→「ロール」を展開し、Adminロールの「ロール条件の表示」リンクをクリックします。

5. 指定されている条件が、直接、または所属するグループに基づいて、ユーザーに一致することを確認します。
たとえば、条件にはUser=myadminaccountやGroup=Administratorsなどがあります。

6. 変更したら、「保存」をクリックします。
変更はただちに適用されます。

7. これで、問題のユーザーがOracle WebLogic Server管理コンソール(http://<bi server address>:<AdminServer Port>/console)にログインできるかどうかを確認できます(例: http://example.com:9500/console)。
ユーザーがコンソールにログインできるがOracle Business Intelligenceにログインできない場合、SQLAuthenticatorは正しく動作していますが、アイデンティティ・ストア・サービスに問題がある可能性があります。第3.4.6項「Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成」でvirtualize=trueとOPTIMIZE_SEARCH=trueプロパティが指定してあることを確認し、第3.4.5.4.2項「データベース・アダプタの構成」でDBAdapterテンプレートが正しいことを確認します。

3.4.5.5.2 SQLAuthenticatorに対する正しくないデータ・ソース名の指定

SQLAuthenticatorのデータ・ソース・フィールドに正しくない名前を指定した場合、次のようなエラーが管理サーバーおよび管理対象サーバーのログ・ファイルに記録されます。

Caused by: javax.security.auth.login.FailedLoginException: [Security:090761]Authentication failed for user jsmith java.sql.SQLException: [Security:090788]"Problem with DataSource/ConnectionPool configuration, verify DataSource name wrongdsname is correct and Pool configurations are correct"
at weblogic.security.providers.authentication.shared.DBMSAtnLoginModuleI
mpl.login(DBMSAtnLoginModuleImpl.java:318)

第3.4.5.3.1項「Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成」で示した例のとおり、データ・ソース名を使用します。

3.4.5.5.3 正しくないSQL問合せ

SQLAuthenticatorを構成するときに指定するSQL問合せの構文が正しいこと、および正しい表を参照していることを確認します。たとえば、パスワード問合せに正しくない表名が指定されると、次のエラーがAdministration Server.logファイルに記録されます。

####<Jul 7, 2011 4:03:27 PM BST> <Error> <Security> <gbr20020> <AdminServer> <[ACTIVE] ExecuteThread: '8' for queue: 'weblogic.kernel.Default (self-tuning)'> <<WLS Kernel>> <> <de7dd0dc53f3d0ed:e0ce69e:131007c1afe:-8000-00000000000007fa> <1310051007798> <BEA-000000> <[Security:090759]A SQLException occurred while retrieving password information
java.sql.SQLSyntaxErrorException: ORA-00942: table or view does not exist
at oracle.jdbc.driver.T4CTTIoer.processError(T4CTTIoer.java:457)
at oracle.jdbc.driver.T4CTTIoer.processError(T4CTTIoer.java:405)
at oracle.jdbc.driver.T4C8Oall.processError(T4C8Oall.java:889)
at oracle.jdbc.driver.T4CTTIfun.receive(T4CTTIfun.java:476)

3.4.5.6 アダプタの削除および再作成によるデータベース・アダプタ・エラーの修正

既存のデータベース・アダプタは修正しないでください。アダプタの作成で使用するテンプレートやlibovdadapterコマンドでエラーが発生した場合は、次の手順を使用してアダプタを削除してから、再作成する必要があります。

アダプタを削除および再作成してデータベース・アダプタ・エラーを修正するには:

1. WLSTスクリプトを実行して、WLSコンソールにログインします。
例:

ORACLE_HOME/oracle_common/common/bin/wlst.sh (UNIX)

ORACLE_HOME\oracle_common\common\bin\wlst.cmd (Windows)

2. 次の構文を使用して管理サーバーに接続します。
connect ('<WLS admin user name>','<WLS admin password>','t3://<admin server host>:<admin server port>')

例:

connect('weblogic','weblogic','t3://myserver:9500')

3. 次の構文を使用して、適切に構成されていないアダプタを削除します。
deleteAdapter(adapterName='<AdapterName>')

例:

deleteAdapter(adapterName='userGroupAdapter2')

4. exit()コマンドを使用してWLSTコンソールを終了し、第3.4.5.4.2項「データベース・アダプタの構成」の手順に従って適切な設定でアダプタを再作成します。

3.4.6 Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成

この項では、Fusion Middleware Controlを使用して、アイデンティティ・ストアの仮想化を使用するためにOracle Business Intelligenceを構成する方法について説明します。

Fusion Middleware Controlを使用してアイデンティティ・ストアの仮想化を構成するには:

SSLでLDAPと通信している場合(一方向SSLのみ)は、第5.14.2項「複数認証プロバイダ使用時のSSLの構成」を参照してください。

詳細は、次の項を参照してください。

1. (オプション)サポートされている認証プロバイダがまだ構成されていない場合は、第3.4項の説明に従って構成します。

2. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

3. ナビゲーション・ペインから「WebLogicドメイン」フォルダを展開し、「bi」を選択します。

4. 「bi」を右クリックして「セキュリティ」→「セキュリティ・プロバイダ構成」を選択し、「セキュリティ・プロバイダ構成」ページを表示します。

5. 「セキュリティ・ストア・プロバイダ」および「アイデンティティ・ストア・プロバイダ」を開き、「構成」をクリックして、「アイデンティティ・ストア構成」ページを表示します。

6. 「カスタム・プロパティ」領域で「追加」オプションを使用し、次のカスタム・プロパティを追加します。

- プロパティ名=virtualize
値=true

- プロパティ名=OPTIMIZE_SEARCH
値=true

注意:
プロパティ名virtualizeは小文字である必要があり、OPTIMIZE_SEARCHは大文字である必要があります。

注意:
複数の認証プロバイダを使用している場合は、第3.4項「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」に移動して、「制御フラグ」設定を次にように構成します。

- 各ユーザーが1つの認証プロバイダのみを使用する場合
すべての認証プロバイダで「制御フラグ」の値を「SUFFICIENT」に設定します。

- ユーザーが複数の認証プロバイダを使用する場合
すべての認証プロバイダで「制御フラグ」の値を「OPTIONAL」に設定します。

たとえば、ユーザーのグループのメンバーシップが複数の認証プロバイダ間で共有される場合です。

7. 「OK」をクリックして変更を保存します。

8. 管理サーバーおよび管理対象サーバーを再起動します。

3.4.7 1つの認証プロバイダが失敗した場合でも別の認証プロバイダからOracle Business Intelligenceにログインできるように複数の認証プロバイダを構成する

複数の認証プロバイダを使用するようにOracle Business Intelligenceを構成している場合で、1つの認証プロバイダが使用できなくなれば、他の認証プロバイダを使用するユーザーもOracle Business Intelligenceにログインできなくなります。この項では、1つの認証プロバイダが失敗した場合に、他の認証プロバイダを使用するユーザーはOracle Business Intelligenceにログインできるように認証プロバイダを構成する方法について説明します。詳細は、第3.4.6項「Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成」を参照してください。

1つの認証プロバイダが使用不可になったためにログインできない場合、次のエラー・メッセージが表示されます。

Unable to Sign In
An error occurred during authentication.
Try again later or contact your system administrator

1つの認証プロバイダ(構成されている複数の認証プロバイダのうちの1つ)が使用不可になっている可能性があり、これがクリティカルな認証プロバイダでない場合、次の手順により、ユーザーは他の認証プロバイダからOracle Business Intelligenceにログインできるようになります。

1つの認証プロバイダが失敗した場合でも、他の認証プロバイダからOracle Business Intelligenceにログインできるように複数の認証プロバイダを構成するには:

1. ファイルadapters.os_xmlを編集のために開きます。

たとえば、Windows上では、このファイルは次の場所にあります。

ORACLE_HOME\user_projects\domains\bi\config\fmwconfig\ovd\default

2. ファイルから次の要素を見つけます。
<critical>true</critical>>

adapters.os_xmlファイル内で、クリティカルでない各認証プロバイダについて、<critical>要素の値をfalseに変更します。

<critical>false</critical>

3. ファイルを保存して閉じます。

4. WebLogic管理サーバーと管理対象サーバーを再起動します。

3.4.8 JAAS制御フラグ・オプションの設定

複数の認証プロバイダを構成する際、各プロバイダのJAAS制御フラグを使用して、ログイン・シーケンスでの認証プロバイダの扱いを制御します。JAAS制御フラグはOracle WebLogic Server管理コンソールで設定できます。詳細は、Oracle Fusion Middleware Oracle WebLogic Server管理コンソールのオンライン・ヘルプでJAAS制御フラグの設定に関する項を参照してください。WebLogic Scripting ToolやJava Management Extensions (JMX) APIを使用しても、認証プロバイダに対してJAAS制御フラグを設定できます。

認証プロバイダの制御フラグの属性を設定すると、認証プロバイダの実行順序が決まります。制御フラグ属性に使用可能な値は次のとおりです。

- REQUIRED - このLoginModuleは成功する必要があります。失敗した場合でも、認証は、構成された認証プロバイダのLoginModulesリストの下位方向へ進みます。この設定がデフォルトです。

- REQUISITE - このLoginModuleは成功する必要があります。他の認証プロバイダが構成されていて、このLoginModuleが成功した場合、認証はLoginModulesリストを下位方向へ進みます。それ以外の場合は、制御がアプリケーションに戻ります。

- SUFFICIENT - このLoginModuleは成功する必要はありません。成功した場合、制御はアプリケーションに戻ります。失敗した場合、他の認証プロバイダが構成されていれば、認証はLoginModuleリストを下位方向に進みます。

- OPTIONAL - このLoginModuleは成功でも失敗でもかまいません。ただし、JAAS制御フラグがOPTIONALに設定されたセキュリティ・レルムですべての認証プロバイダが構成されている場合は、ユーザーは構成されたいずれかのプロバイダの認証テストに合格する必要があります。

既存のセキュリティ・レルムに認証プロバイダを追加した場合、制御フラグはデフォルトでOPTIONALに設定されます。各認証プロバイダが認証シーケンスで適切に動作するよう、必要に応じて制御フラグの設定と認証プロバイダの順序を変更します。

3.4.9 認証プロバイダとしての単一のLDAP認証プロバイダの構成

このトピックでは、デフォルトのWebLogic Server LDAP認証プロバイダを無効にして、単一のLDAP認証プロバイダを使用するようOracle Business Intelligenceを再構成する方法を説明します。

Oracle Business Intelligenceをインストールすると、システムは自動的に、デフォルトの認証プロバイダとしてWebLogic Server LDAPを使用するように構成されます。インストール・プロセスでは、WebLogic Server LDAPで必要なユーザーおよびグループが自動的に生成されます。ただし、独自のLDAPディレクトリ(Oracle Internet Directoryなど)があり、それをデフォルトの認証プロバイダとして使用することも、WebLogic Serverのデフォルト認証プロバイダを無効にすることもできます。単一ソースの認証プロバイダを持つことにより、ユーザー名およびパスワードを複数の認証ソースから取得しないようにすることができます。複数の認証ソースから取得すると、複数の攻撃点が生じたり、認可されていないユーザーの侵入が可能になる場合があります。

このトピックには、次の項が含まれています。

- 第3.4.9.1項「唯一の認証プロバイダとしてのOracle Internet Directory LDAP認証の構成」

- 第3.4.9.2項「トラブルシューティング」

3.4.9.1 唯一の認証プロバイダとしてのOracle Internet Directory LDAP認証の構成

この項に示す例はOracle Internet Directory (OID LDAP)を構成するためのものですが、若干変更を加えることによって、他のLDAP認証プロバイダに簡単に適用できます。

唯一の認証プロバイダとしてOracle Internet DirectoryのLDAP認証を構成するには:

- "タスク1 - バックアップおよびリカバリの有効化"

- "タスク2 - WebLogic Serverおよび代替認証プロバイダを使用するためのシステムの構成"

- "タスク3 - OID LDAPでの必須ユーザーの特定または作成"

- "タスク4 - WebLogicコンソールでのOID LDAPグループとグローバル・ロールとの関連付け"

- "タスク5 - OID LDAPでのユーザーからグループへのメンバーシップの設定"

- "タスク6 - デフォルトの認証プロバイダの削除"

- "タスク7 - BIサービスの再起動"

- "タスク8 - WebLogic Serverロールの削除"

- "タスク9 - 代替認証メソッドの停止"

3.4.9.1.1 タスク1 - バックアップおよびリカバリの有効化

WebLogic Server LDAPのデフォルトの認証メソッドを無効にするプロセスを開始する前に、まずシステムをバックアップすることを強くお薦めします。バックアップしないと、構成時に間違えた場合に、システムからロックアウトされたり、システムを再起動できなくなることがあります。

再構成フェーズでバックアップおよびリカバリを有効にするには、ORACLE_HOME\user_projects\domains\bi\configディレクトリにあるconfig.xmlファイルのコピーをとります。

変更を行う際は、このファイルのコピーを保持しておくことをお薦めします。

3.4.9.1.2 タスク2 - WebLogic Serverおよび代替認証プロバイダを使用するためのシステムの構成

デフォルトのWebLogic Server認証プロバイダを削除し、代替LDAPソース(OID LDAPなど)を使用するには、WebLogic Serverと代替メソッドの両方を使用するようにシステムを構成する必要があります。詳細は、第3.4項「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」を参照してください。WebLogic Server LDAPユーザー(デフォルトの認証プロバイダ)と新しい代替LDAPユーザーがともにOracle Business Intelligenceにアクセスできるように構成されている状態から開始します。

WebLogic Server LDAPユーザーとしてもOID LDAPユーザーとしてもログオンできるようにシステムを構成したら、次の各タスクの説明のとおり、WebLogic Serverのデフォルト認証プロバイダを削除する手順に進みます。

3.4.9.1.3 タスク3 - OID LDAPでの必須ユーザーの特定または作成

表3-6に示す必須ユーザーが、WebLogic Server LDAPからOID LDAPに移行されていることを確認する必要があります。

表3-6 OID LDAPでの必須ユーザー

標準のWebLogic Serverユーザー

OID LDAPで新たに必要とされるユーザー

LCMManager,User

OID_LCMManagerUser (任意の既存OID LDAPユーザーにできます)

例: weblogic

OID_Weblogic (任意の既存OID LDAPユーザーにできます)

OracleSystemUser

OracleSystemUser (このユーザーはOID LDAPにおいてこの名前で存在する必要があります - OWSMの固定要件)

インストール時に次の3つのユーザーが作成されます。

- Weblogic (またはインストール時またはアップグレード時に指定される項目、異なる場合があります)。
この管理者ユーザーはインストール時に作成されます(weblogicと呼ばれることもありますが、任意の名前でかまいません)。OID LDAPで同等のユーザーを特定または作成する必要がありますが、このユーザーはAdministratorsというグループの一部である必要がある任意の名前でかまいません。

- OracleSystemUser
このユーザーは、(Oracle Web Services Manager (OWSM)で)特にグローバル・ロール・マッピングのために必要です。このユーザーは、OID LDAPでこの名前で作成する必要があります。

3.4.9.1.4 タスク4 - WebLogicコンソールでのOID LDAPグループとグローバル・ロールとの関連付け

表3-7に示すグローバル・ロール・マッピングを、OID LDAPで構成する必要があります。

表3-7 WebLogic管理コンソールでのグローバル・ロール・マッピング

グローバル・ロール

現在のWebLogic Serverグループ

新たに必要とされるOID LDAPグループ

Admin

Administrators

OID_Administrators

AdminChannelUsers

AdminChannelUsers

OID_AdminChannelUsers

AppTester

AppTesters

OID_AppTesters

CrossDomainConnector

CrossDomainConnectors

OID_CrossDomainConnectors

Deployer

Deployers

OID_Deployers

Monitor

Monitors

OID_Monitors

Operator

Operators

OID_Operators

OracleSystemRole

OracleSystemGroup

OracleSystemGroup (固定要件)

デフォルトのWebLogic Server認証プロバイダを無効にする前に、(WebLogic Server管理コンソールに表示されている)表3-7のグローバル・ロールと、置換OID LDAPグループを関連付ける必要があります。

Oracle WebLogic Server管理コンソールでOID LDAPグループとグローバル・ロールを関連付けるには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「レルム・ロール」をクリックします。

4. 「グローバル・ロール」をクリックし、「ロール」を開きます。

5. 次のように、各ロールに対し、新しい条件を追加します。

注意:
AnonymousおよびOracle Systemロールには、新しい条件を追加しないでください。どちらも変更されないままになることがあります。

1. 「ロール条件の表示」をクリックします。

2. 「述部リスト」ドロップダウンからグループを選択します。

3. 表3-7の新たに関連付けられるOID LDAPグループを入力します。
たとえば、AdminロールをOID_Administratorsロールに関連付けます。

注意:
デフォルトのWebLogic Server認証を正常に無効にしたら、ここに戻って古いWebLogic Serverグループを削除できます(たとえばここでは、グループAdministratorsを削除します)。詳細は、タスク8 - WebLogic Serverロールの削除」を参照してください。

4. 変更内容を保存します。

3.4.9.1.5 タスク5 - OID LDAPでのユーザーからグループへのメンバーシップの設定

OID LDAPで新しいユーザーおよびグループを作成し、WebLogic Server LDAPで自動的に作成されたユーザーおよびグループをレプリケートしたので、次に、これらのユーザーおよびグループが、OID LDAPにおいても、表3-8に示すとおり正しいグループ・メンバーシップを持っていることを確認する必要があります。

表3-8 OID LDAPで必要なユーザーからグループへのメンバーシップ

新しいOID LDAPユーザー

メンバーとなる新しいOID LDAPグループ

OID_Weblogic

OID_Administrators

OID_BIServiceAdministrators

OracleSystemUser

注意: この名前のユーザーがOID LDAPに存在する必要があります。

OracleSystemGroup

注意: この名前のグループがOID LDAPに存在する必要があります。

注意:
表3-8に示すユーザーとグループのメンバーシップを実現するには、OID LDAPサーバーを更新できる適切なアクセス権を持つか、別の担当者がかわりにグループのメンバーシップを更新できる必要があります。

3.4.9.1.6 タスク6 - デフォルトの認証プロバイダの削除

これでデフォルトの認証プロバイダを削除する準備が整いました。

デフォルトの認証プロバイダを削除するには:

まずLDAPソースにマップするLDAP認証プロバイダを作成しておく必要があります(詳細は、タスク2 - WebLogic Serverおよび代替認証プロバイダを使用するためのシステムの構成を参照)。

1. Oracle WebLogic Server管理コンソールで、「制御フラグ」を「SUFFICIENT」から「REQUIRED」に変更します。
詳細は、第3.4.8項「JAAS制御フラグ・オプションの設定」を参照してください。

2. 変更を保存します。

3. 他の認証プロバイダを削除し、OID LDAP認証プロバイダが単一ソースとなるようにします。

3.4.9.1.7 タスク7 - BIサービスの再起動

これでBIサービスを再起動する準備が整いました。インストール時に作成したWebLogic Server管理ユーザーは削除され、すべてのユーザーが単一OIDソースに存在するため、新しいOID管理者ユーザー(OID_Weblogicなど)を使用する必要があります。OID管理ユーザーには、WebLogicを起動するために十分な権限が必要です(グローバルAdminロールによって付与されます)。

注意:
オンラインで管理ツールにログインする際は、リポジトリ・パスワードとともにOID LDAPユーザーとパスワード(OID_Weblogicなど)を指定する必要があります。

3.4.9.1.8 タスク8 - WebLogic Serverロールの削除

すべて正常に機能している場合、このタスクを完了させます。

注意:
この手順を実行する前に、config.xmlをバックアップしてください(タスク1 - バックアップおよびリカバリの有効化を参照)

自動的に作成されたすべてのWebLogic ServerロールをOR句から削除するには:

1. グローバル・ロールを編集します。
詳細は、タスク4 - WebLogicコンソールでのOID LDAPグループとグローバル・ロールとの関連付けを参照してください。

2. 自動的に作成されたすべてのWebLogic ServerロールをOR句から削除します。
例:

- Admin

- AdminChannelUsers

- AppTester

- CrossDomainConnector

- Deployer

- Monitor

- Operator

3. 変更内容を保存します。

3.4.9.1.9 タスク9 - 代替認証メソッドの停止

Oracle Business Intelligenceでは、様々な形式の認証方式を一括適用できます。望ましい機能にも思えますが、セキュリティ上のリスクも伴います。単一ソースの認証を実装するには、初期化ブロックを使用する認証メソッドをメタデータ・リポジトリから削除する必要があります。

すべての初期化ブロック認証アクセスを停止するには:

Oracle BI管理ツールを使用して、初期化ブロックを介したアクセスを停止します。正常な認証を行うにはユーザー名が必要です。初期化ブロックでは、USERという特殊なシステム・セッション変数を使用してユーザー名を移入します。

1. メタデータ・リポジトリからシステム変数USERを削除します。

2. メタデータ・リポジトリの初期化ブロックで「認証のために必要」チェック・ボックスが選択されていないことを確認します。

3. システム・セッション変数PROXYおよびPROXYLEVELを設定するメタデータ・リポジトリの初期化ブロックが、ユーザーにセキュリティの無視を許可していないことを確認します。
システム変数PROXYおよびPROXYLEVELは、一度接続されたユーザーが他のユーザーのセキュリティ・プロファイルでそのユーザーになりすますことを許可します。このメソッドは、偽装されたユーザー・アカウントの方が低い権限を持っている場合は受け入れられますが、このアカウントの方が高い権限を持っている場合はセキュリティの問題となる可能性があります。

注意: 初期化ブロックを無効にする場合、依存する初期化ブロックも無効になります。

これで、初期化ブロック認証を使用して試みられるアクセスは成功しなくなります。ただし、すべての初期化ブロックをチェックする必要があります。

3.4.9.2 トラブルシューティング

単一ソースとしてOracle Internet Directory LDAP認証を構成すると、次のエラーが発生する場合があります。

<クリティカル> <WebLogicServer> <BEA-000386> <サーバー・サブシステムに障害が発生しました。

理由: weblogic.security.SecurityInitializationException: ユーザー<oidweblogic>はサーバーの起動を許可されていません。ユーザーがサーバーを起動できなくなるようにサーバーのポリシーが変更されていることが考えられます。管理ユーザー・アカウントでサーバーを再起動するか、システム管理者に連絡してサーバーのポリシー定義を更新してください。

解決方法

新しいWebLogic OID LDAP管理者(oidweblogic)としてシステムを再起動した場合に、ロックアウトされ、メッセージが表示された場合は、oidweblogicユーザーに十分な権限がなかったことが原因です。oidweblogicユーザーにはグローバルAdminロールが必要です。これにより、OID LDAP Administratorグループに所属することが可能になります。この問題を解決するには、BIServiceAdministratorsグループ(またはOID LDAPの同等グループ)をグローバルAdminロールに追加します。

注意:
以前の作業構成をリストアするには、最新の更新されたバージョンのconfig.xmlファイルを、構成を変更する前に作成しておいたバックアップ・バージョンに置き換える必要があります(詳細は、タスク1 - バックアップおよびリカバリの有効化を参照)。
バックアップ・バージョンのconfig.xmlファイルのリストアを完了するには、OID LDAPユーザーではなく、元のWebLogic管理者ユーザーとしてOracle Business Intelligenceを再起動します。

3.5 BIシステム・ユーザーの資格証明のリセット

11gではBISystemUserというユーザーが組込みWebLogic LDAPで作成されましたが、12cではこのユーザーは存在せず、単一の資格証明で置き換えられています。この資格証明は、BIドメイン作成時にセキュアに生成されたランダム値が入力され、資格証明ストアに格納されます。この資格証明のユーザー名またはパスワードをリセットする必要がある場合は常に、次の手順を実行します。

BIシステム・ユーザーの資格証明をリセットするには:

1. Fusion Middleware Controlのターゲット・ナビゲーション・ペインからファームを開き、「WebLogicドメイン」を開いて「bi」を選択します。

- 「WebLogicドメイン」メニューで、「セキュリティ」→「資格証明」を選択します。

- 「oracle.bi.system」 資格証明マップを開き、「system.user」 を選択して「編集」をクリックします。

- 「キーの編集」ダイアログで、必要に応じてユーザー名またはパスワードを更新します。これらの値がアイデンティティ・ストアのユーザーの資格証明と一致しないことを確認します。

- 「OK」をクリックします。

2. システムを再起動します

4 SSO認証の有効化

この章では、Oracle Business Intelligenceのシングル・サインオン(SSO)認証を構成するための一般的なガイドラインをいくつか紹介します。

注意:
セキュリティ設定手順の詳細なリストは、第1.7項「Oracle Business Intelligenceのセキュリティを設定するための詳細な手順」を参照してください。

この章の内容は次のとおりです。

- Oracle Business IntelligenceのSSOの構成タスク

- SSO認証およびOracle Business Intelligenceについて

- SSO実装に関する考慮事項

- Oracle Access Manager環境でのSSOの構成

- カスタムSSO環境の構成

- SmartViewを使用したSSOの構成

- Oracle Business IntelligenceにおけるSSO認証の使用の有効化

- オンライン・カタログ・マネージャの接続の有効化

注意:
Oracle Fusion MiddlewareでのエンタープライズレベルのSSO認証プロバイダとして、Oracle Access Managerを使用することをお薦めします。第4.2項、第4.3項および第4.4項では、Oracle Access ManagerがSSO認証プロバイダであると想定しています。第4.5項では、カスタムSSO環境のソリューションでの代替認証プロバイダについて説明します。
Oracle Fusion MiddlewareでOracle Access Managerを構成して管理する方法の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Fusion Middlewareでのシングル・サインオンの概要に関する項を参照してください。

サポートされているSSOプロバイダの詳細は、「システム要件と動作要件」を参照してください。

4.1 Oracle Business IntelligenceのSSOの構成タスク

表4-1は、SSO認証の構成タスクを示したもので、詳細情報へのリンクが用意されています。

表4-1 タスク・マップ: Oracle Business IntelligenceのSSO認証の構成

タスク

説明

参照先

Oracle Access ManagerをSSO認証プロバイダとして構成します。

Oracle Business IntelligenceのURLのエントリ・ポイントを保護するようにOracle Access Managerを構成します。

第4.4項「Oracle Access Manager環境でのSSOの構成」

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Fusion Middlewareでのシングル・サインオンの構成に関する項

HTTPプロキシを構成します。

プレゼンテーション・サービスからSSOプロバイダへリクエストを転送するようにWebプロキシを構成します。

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Fusion Middlewareでのシングル・サインオンの構成に関する項

Oracle WebLogic Server用に新しい認証プロバイダを構成します。

Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインで、新しいアイデンティティ・ストアを使用するように構成します。

第4.4.1項「Oracle WebLogic Serverの新しい認証プロバイダの構成」

第3.4項「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプ

Oracle WebLogic Serverの新しいIDアサーション・プロバイダを構成します。

Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインで、アサーション・プロバイダとしてSSOプロバイダを使用するように構成します。

第4.4.2項「Oracle WebLogic Serverの新しいIDアサーション・プロバイダとしてのOracle Access Managerの構成」

第3.4項「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプ

カスタムSSOソリューションを構成します。

Oracle Business Intelligence URLエントリ・ポイントを保護するように別のカスタムSSOソリューションを構成します。

第4.5項「カスタムSSO環境の構成」

Oracle Business IntelligenceがSSO認証を受け入れられるようにします。

Oracle Business Intelligenceと連携して機能するように構成されたSSOプロバイダを有効化します。

第4.7項「Oracle Business IntelligenceにおけるSSO認証の使用の有効化」

注意:
Oracle Business IntelligenceのSSOのインストレーション・シナリオの例については、『Oracle Fusion Middleware Oracle Business Intelligenceエンタープライズ・デプロイメント・ガイド』を参照してください。

4.2 SSO認証およびOracle Business Intelligenceについて

シングル・サインオン(SSO)ソリューションを統合することで、ユーザーはログオン(サインオン)して認証を受けるのを一度で済ませることができます。その後、認証されたユーザーには、そのユーザーに付与された権限に応じて、システム・コンポーネントまたはリソースへのアクセス権が与えられます。Oracle Business Intelligenceは、Oracle Fusion MiddlewareおよびOracle WebLogic Serverとともに使用するように構成されたSSOソリューションで認証された受信HTTPリクエストを信頼するように構成できます。Oracle Fusion Middleware用にSSOを構成する方法の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Fusion Middlewareでのシングル・サインオンの構成に関する項を参照してください。

Oracle Business IntelligenceがSSO認証を使用するように構成されている場合、どのSSOソリューションであってもOracle Fusion Middlewareで使用するように構成されているものであれば、それによって認証されたユーザーを受け入れます。SSOが有効化されていない場合は、Oracle Business Intelligenceは、各ユーザーに対して認証資格証明を要求します。Oracle Business IntelligenceがSSOを使用するように構成されている場合、ユーザーはまずSSOソリューションの認証用のログイン・ページにリダイレクトされます。SSOソリューションによってユーザーが認証されると、ユーザー名がプレゼンテーション・サービスに転送され、そこでこの名前が抽出されます。次に、偽装機能(偽装されているユーザーの代理の役目を果たす資格証明を使用したOracle BIプレゼンテーション・サーバーとBIサーバーとの間の接続文字列)を使用して、BIサーバーとのセッションが確立されます。

SSOを使用して正常にログインした後も、ユーザーが有効なユーザー名とパスワードの組合せを使用して管理ツールにログインするには、oracle.bi.server.manageRepositoriesの権限を持っている必要があります。インストール後、デフォルトのBIAdministrationアプリケーション・ロールのメンバーとなることで、oracle.bi.server.manageRepositories権限が付与されます。

SSO認証と連携するようにOracle Business Intelligenceを構成するには、少なくとも次を実行する必要があります。

- SSO認証を受け付けるようにOracle Fusion MiddlewareとOracle WebLogic Serverを構成します。本番環境では、Oracle Access Managerをお薦めします。

- 受信メッセージを信頼するようにOracle BIプレゼンテーション・サービスを構成します。

- SSO構成でのIDの伝播に必要なHTTPヘッダー情報(つまり、ユーザーIDとSSOのCookie)を指定して構成します。

4.2.1 IDアサーション・プロバイダのしくみ

ここでは、シングル・サインオンのためのIDアサーション・プロバイダの使用により、Oracle Access Managerの認証プロバイダがOracle WebLogic Serverと連携し、次の機能を提供するしくみについて説明します。

- シングル・サインオン用のIDアサーション・プロバイダ
この機能は、Oracle Access Managerの認証サービスを使用し、適切なトークンを通じて、認証済のOracle Access Managerユーザーを検証し、WebLogicで認証されたセッションを作成します。また、Webゲートとポータルの間のシングル・サインオンも提供します。Webゲートは、Webリソース(HTTP)リクエストをインターセプトし、それを認証および認可のためにアクセス・サーバーに転送するプラグインです。

- 認証プロバイダ
この機能は、Oracle Access Managerの認証サービスを使用して、Oracle WebLogic Serverにデプロイされているアプリケーションにアクセスするユーザーを認証します。ユーザーはその資格証明、たとえばユーザー名やパスワードに基づいて認証されます。

Oracle Access Managerの認証プロバイダをシングル・サインオン用のIDアサーション・プロバイダとして構成すると、Webリソースが保護されます。境界認証は、Web層のWebゲートと、保護されているWebLogicリソースにアクセスしようとしているユーザーのIDをアサートする適切なトークンにより実施されます。

すべてのアクセス・リクエストは、リバース・プロキシWebサーバーにルーティングされます。これらのリクエストは次にWebゲートでインターセプトされます。Oracle Access Manager内で構成されている認証スキームに基づいて、ユーザーに対して資格証明の提示が要求されます(フォームベースのログインをお薦めします)。

正常に認証されると、Webゲートがトークンを生成し、WebサーバーがリクエストをOracle WebLogic Serverに転送します。次に、Oracle WebLogic ServerがOracle Access ManagerのIDアサーション・プロバイダを呼び出し、シングル・サインオンの検証を行います。Oracle Access Managerは各種ヘッダー・トークンを渡すことができ、最も簡単なものはOracle Access Managerに認証されているユーザーIDが含まれているOAM_REMOTE_USERというHTTPヘッダーです。WebLogic Security Serviceがシングル・サインオンのためにOracle Access ManagerのIDアサーション・プロバイダを呼び出し、IDアサーション・プロバイダが受信リクエストからトークンを取得し、サブジェクトにWLSUserImplプリンシパルを移入します。シングル・サインオンのためのIDアサーション・プロバイダが、ユーザーがメンバーであるグループに対応したWLSGroupImplプリンシパルを追加します。次に、Oracle Access ManagerがCookieを検証します。

図4-1は、Oracle Fusion Middlewareを使用したSSOのIDアサーション・プロバイダとしてOracle Access Managerの認証プロバイダが構成されている場合の、コンポーネントの配置と情報フローを示しています。

図4-1 Webリソースのみを対象としたOracle Access Managerのシングル・サインオン・ソリューション

4.2.2 Oracle Business IntelligenceとSSO認証の連携のしくみ

SSO認可が実装されると、プレゼンテーション・サービスは受信したWebリクエストがSSOで認証されたユーザーからのものであるかのように動作します。プレゼンテーション・サービスは次に、偽装機能を使用してBIサーバーへの接続を作成し、ユーザーの代理としてBIサーバーへの接続を確立します。ユーザーのパーソナライゼーションと、データレベル・セキュリティなどのアクセス制御は、この環境で保持されます。

4.3 SSO実装に関する考慮事項

Oracle Business Intelligenceを使用してSSOソリューションを実装するときには、次の点を検討する必要があります。

- HTTPサーバーまたはサーブレット・コンテナから信頼できる情報を受け入れるとき、プレゼンテーション・サービスと直接通信を行うマシンを保護する必要があります。これを行うには、HTTPサーバーまたはサーブレット・コンテナのIPアドレスのリストが含まれているinstanceconfig.xmlファイルのListener\Firewallノードを設定します。さらに、ファイアウォール・ノードに、すべてのOracle Business Intelligence Schedulerインスタンス、Oracle BIプレゼンテーション・サービスのプラグイン・インスタンスおよびOracle Business IntelligenceのJavaHostインスタンスのIPアドレスが含まれている必要があります。これらのコンポーネントのいずれかがOracle BIプレゼンテーション・サービスと同じ場所にある場合は、このリストに127.0.0.1も追加する必要があります。この設定はエンドユーザーのブラウザのIPアドレスを制御するものではありません。

- 相互に認証されたSSLを使用している場合、信頼できるすべてのホストの識別名(DN)をListener\TrustedPeersノードで指定する必要があります。

4.4 Oracle Access Manager環境でのSSOの構成

WebLogic ServerでOracle Fusion MiddlewareのSSO認証プロバイダとしてOracle Access Managerを構成する方法の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Fusion Middlewareでのシングル・サインオンの構成に関する項を参照してください。Oracle Access Managerの管理の詳細は、『Oracle Fusion Middleware Oracle Access Manager管理者ガイド』を参照してください。

Oracle Access ManagerをSSO認証プロバイダとして使用するようにOracle BI Publisherを構成する方法の詳細は、Oracle Fusion Middleware Oracle Business Intelligence Publisher管理者および開発者ガイドのOracle Access Manager (OAM)のシングル・サインオンを使用するためのBI Publisherの構成に関する項を参照してください。

Oracle Fusion Middleware環境を構成した後、Oracle Business Intelligenceを構成するため、一般的に次を行う必要があります。

- Oracle Business IntelligenceのURLエントリ・ポイントを保護するようにSSOプロバイダを構成します。

- プレゼンテーション・サービスからSSOプロバイダへリクエストを転送するようにWebサーバーを構成します。

- Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインのメイン認証ソースとして新しいアイデンティティ・ストアを構成します。詳細は、第4.4.1項「Oracle WebLogic Serverの新しい認証プロバイダの構成」を参照してください。

- Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインを、Oracle Access Managerのアサーション・プロバイダを使用するように構成します。詳細は、第4.4.2項「Oracle WebLogic Serverの新しいIDアサーション・プロバイダとしてのOracle Access Managerの構成」を参照してください。

- SSO環境の構成が完了したら、Oracle Business IntelligenceのSSO認証を有効化します。詳細は、第4.7.2項「Fusion Middleware Controlの使用によるSSO認証の有効化」を参照してください。

4.4.1 Oracle WebLogic Serverの新しい認証プロバイダの構成

Oracle Business Intelligenceのインストール後、Oracle WebLogic Serverの組込みLDAPサーバーがデフォルトの認証ソース(アイデンティティ・ストア)になります。新しいアイデンティティ・ストア(OIDなど)をメイン認証ソースとして使用するには、(Oracle Business Intelligenceがインストールされている)Oracle WebLogic Serverドメインを構成する必要があります。

Oracle WebLogic Serverでの認証プロバイダの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

Oracle WebLogic Serverで新しい認証プロバイダを構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「プロバイダ」タブを表示し、「認証」サブタブを表示します。

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動します。
次のようにフィールドに入力します。

- 名前: 「OID Provider」または任意の名前。

- タイプ: OracleInternetDirectoryAuthenticator

- 「OK」をクリックし、変更を保存して、新しい認証プロバイダで更新された認証プロバイダ・リストを表示します。

5. 認証プロバイダの表で、新たに追加した認証プロバイダをクリックします。

6. 「設定」に移動して、「構成」→「共通」タブを選択します。

- 「制御フラグ」リストで「SUFFICIENT」を選択します。

- 「保存」をクリックします。

7. 「プロバイダ固有」タブをクリックし、使用する環境に適切な値を使用して、次の設定を指定します。

セクション名

フィールド名

説明

接続

ホスト

LDAPホスト名。たとえば、<localhost>などです。

接続

ポート

LDAPホストのリスニング・ポート番号。たとえば、6050などです。

接続

プリンシパル

LDAPサーバーに接続するユーザーの識別名(DN)。たとえば、cn=orcladminです。

接続

資格証明

プリンシパルとして入力されたLDAP管理ユーザーのパスワード。

ユーザー

ユーザー・ベースDN

ユーザーを含むLDAPサーバー・ツリーのベース識別名(DN)。たとえば、Oracle Access Managerと同じ値を使用します。

ユーザー

すべてのユーザーのフィルタ

LDAP検索フィルタ。たとえば、(&(uid=*) (objectclass=person))などです。アスタリスク(*)はすべてのユーザーをフィルタします。詳細は、「詳細」をクリックします。

ユーザー

名前指定によるユーザー・フィルタ

LDAP検索フィルタ。詳細は、「詳細」をクリックします。

ユーザー

ユーザー名属性

認証に使用する属性(cn、uid、mailなど)。ディレクトリ・サーバーのユーザー名のデフォルトの属性として設定します。たとえば、uidなどです。
注意: 次のタスク、第3.4.3.1項「ユーザー名属性の構成」の説明のとおり、ここで指定する値は、認証プロバイダで使用しているユーザー名属性と一致する必要があります。

グループ

グループ・ベースDN

グループ(ユーザー・ベースDNと同じ)を含むLDAPサーバー・ツリーのベース識別名(DN)。

一般

GUID属性

LDAPでオブジェクトGUIDの定義に使用する属性。
orclguid

注意: このデフォルト値を変更しないでください。ほとんどの場合、このデフォルト値で十分です。

Oracle WebLogic Serverでの認証プロバイダの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

8. 「保存」をクリックします。

9. 次の手順を実行して、IDアサーション・プロバイダと併用できるようにデフォルトの認証プロバイダを設定します。

1. メインの「myrealmの設定」ページで、「プロバイダ」タブ→「認証」サブタブを表示し、「DefaultAuthenticator」を選択して、その構成ページを表示します。

2. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「SUFFICIENT」を選択します。
詳細は、第3.4.8項「JAAS制御フラグ・オプションの設定」を参照してください。

3. 「保存」をクリックします。

10. 次の手順に従ってプロバイダを並べ替えます。

1. 「プロバイダ」タブを表示します。

2. 「並替え」をクリックし、「認証プロバイダの並替え」ページを表示します。

3. プロバイダ名を選択してから矢印ボタンを使用して、次の順序でプロバイダのリストを並べます。

- OID認証プロバイダ: (SUFFICIENT)

- OAM IDアサーション・プロバイダ: (REQUIRED)

- デフォルトの認証プロバイダ: (SUFFICIENT)

4. 「OK」をクリックし、変更を保存します。

11. チェンジ・センターで、変更のアクティブ化をクリックします。

12. Oracle WebLogic Serverを再起動します。

4.4.2 Oracle WebLogic Serverの新しいIDアサーション・プロバイダとしてのOracle Access Managerの構成

Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインは、Oracle Access Managerのアサーション・プロバイダを使用するように構成されている必要があります。

Oracle WebLogic Serverに新しいアサーション・プロバイダを作成する方法の詳細は、Oracle Fusion Middleware Oracle WebLogic Server管理コンソールのオンライン・ヘルプを参照してください。

Oracle Access ManagerをOracle WebLogic Serverの新しいアサーション・プロバイダとして構成するには:

1. Oracle WebLogic Server管理コンソールにログインします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、「myrealm」をクリックします。「プロバイダ」を選択します。

3. 「新規」をクリックします。次のようにフィールドに入力します。

- 名前: 「OAM Provider」または任意の名前。

- タイプ: OAMIdentityAsserter。

4. 「OK」をクリックします。

5. 「保存」をクリックします。

6. 「プロバイダ」タブで、次の手順に従ってプロバイダを並べ替えます。

1. 「並べ替え」をクリックします。

2. 「認証プロバイダの並替え」ページでプロバイダ名を選択し、リストの横にある矢印を使用して、次の順序でプロバイダを並べます。

- OID認証プロバイダ: (SUFFICIENT)

- OAM IDアサーション・プロバイダ: (REQUIRED)

- デフォルトの認証プロバイダ: (SUFFICIENT)

3. 「OK」をクリックし、変更を保存します。

7. チェンジ・センターで、変更のアクティブ化をクリックします。

8. Oracle WebLogic Serverを再起動します。
Oracle WebLogic Serverに再度ログインして、LDAPサーバーに格納されているユーザーおよびグループがコンソールに表示されていることを確認することによって、Oracle Internet Directoryが新しいアイデンティティ・ストア(デフォルトの認証プロバイダ)であることを確認できます。

9. SSO認証を有効化します。
詳細は、第4.7項「Oracle Business IntelligenceにおけるSSO認証の使用の有効化」を参照してください。

4.5 カスタムSSO環境の構成

カスタムSSO環境に参加するようにOracle Business Intelligenceを構成する方法(たとえば、Active DirectoryやSiteMinderを使用してSSOを設定するなど)の詳細は、My Oracle Supportの記事1274953.1および1287479.1を参照してください:

https://support.oracle.com

4.6 SmartViewを使用したSSOの構成

Oracle Business IntelligenceがActive Directoryおよびネイティブ認証を使用してSSOが有効化されている場合のSmartViewを使用したSSOの構成の詳細は、次のMy Oracle Supportの記事1900485.1を参照してください。

https://support.oracle.com

4.7 Oracle Business IntelligenceにおけるSSO認証の使用の有効化

Oracle Business Intelligenceを構成してSSOソリューションを構成した後、Oracle Business IntelligenceのSSO認証を有効化する必要があります。

SSOを有効化した後、デフォルトのOracle Business Intelligenceログイン・ページを使用できません。

- 第4.7.1項「WLSTコマンドを使用したSSO認証の有効化および無効化」

- 第4.7.2項「Fusion Middleware Controlの使用によるSSO認証の有効化」

4.7.1 WLSTコマンドを使用したSSO認証の有効化および無効化

この項では、WLSTコマンドを使用してOracle Business IntelligenceのSSO認証を有効化および無効化する方法について説明します。

前提条件:

- ファイル・システムおよびWebLogic管理者権限が必要です。

- これはオフライン・アクティビティです。

- 検証はURL形式に制限され、接続またはWebLogic構成は検証されません。

- ログオフURLの変更は再有効化が必要です(無効化してから新しいURLで有効化します)。

- ログオンURLは必要ありません。

前提条件:

- WebLogicセキュリティ・プロバイダを構成します(『Oracle Fusion Middleware Oracle WebLogic Serverの保護』のWebLogicセキュリティ・プロバイダの構成に関する項を参照)。

WLSTコマンドを使用してSSO認証を有効化または無効化するには:

1. BIシステムを停止します。
たとえば、UNIXでは次のように使用します。

./stop.sh

2. WLSTコマンドラインを使用して表4-2からSSO管理コマンドを入力します。
詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のWebLogic Scripting Tool (WLST)の使用に関する項を参照してください。

表4-2 SSO管理コマンド

コマンド

引数

戻り値

説明

enableBISingleSignOn

DOMAIN_HOME<logoff-url>

なし

SSOを有効化して、ログオフURLを構成します。

disableBISingleSignOn

DOMAIN_HOME

なし

SSOを無効化します。

3. Oracle Business IntelligenceのSSO構成が更新されます。Oracle Business Intelligenceコンポーネント・プロセスを再起動して、変更を適用します。
たとえば、UNIXでは次のように使用します。

./start.sh

詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Business Intelligenceコンポーネント・プロセスの起動に関する項を参照してください。

4.7.2 Fusion Middleware Controlの使用によるSSO認証の有効化

この項では、Fusion Middleware Controlの「セキュリティ」タブを使用してOracle Business IntelligenceのSSO認証を有効化する方法について説明します。

Fusion Middleware ControlのSSO認証を有効化するには:

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. 「セキュリティ」ページに移動して、「シングル・サインオン」タブを表示します。
「このページのヘルプ」ヘルプ・メニュー・オプションをクリックして、要素のページレベル・ヘルプにアクセスします。

3. 「ロックして編集」をクリックします。

4. 「SSOの有効化」を選択します。
選択すると、このチェック・ボックスはSSOをOracle Business Intelligenceの認証手段として有効化します。SSOの適切な形式は、選択されたSSOプロバイダに対して行われた構成設定によって決まります。

5. リストから構成済SSOプロバイダを選択します。
「SSOの有効化」チェック・ボックスを選択すると、「SSOプロバイダ」リストがアクティブになります。

「SSOプロバイダ」リストから「カスタム」を選択した場合、システムにより、instanceconfig.xmlファイルの<Authentication>セクションへの変更は上書きされません。かわりに、instanceconfig.xmlファイルのこのセクションは手動で編集できます。

6. 必要に応じて、構成済SSOプロバイダのログオンURLとログオフURLを入力します。
(SSOプロバイダによって指定される)ログオフURLは、システムがユーザーをログアウトさせるのではないため、SSOプロバイダが保護するドメインおよびポートの外部にある必要があります。

7. 「適用」をクリックしてから、「変更のアクティブ化」をクリックします。

8. Fusion Middleware Controlを使用してOracle Business Intelligenceコンポーネントを再起動します。
詳細は、『Oracle Fusion Middleware System Oracle Business Intelligence Enterprise Edition管理者ガイド』のOracle Business Intelligenceコンポーネントの開始と停止に関する項を参照してください。

4.8 オンライン・カタログ・マネージャの接続の有効化

Oracle Business IntelligenceのHTTP WebサーバーがSSOで有効になっている場合は、オンライン・カタログ・マネージャがOracle BIプレゼンテーション・サービスへの接続に失敗する可能性があります。第4.7.2項「Fusion Middleware Controlの使用によるSSO認証の有効化」でSSOを有効にすると、Oracle Business IntelligenceのURL http://hostname:port_number/analyticsが保護され、そのかわりにオンライン・カタログ・マネージャの参照先をURL http://hostname:port_number/analytics-wsに変更することが必要になります。このURLは、保護しないまま維持する必要があります。Oracle BI Publisher、Oracle BI Add-in for Microsoft Officeおよびオンライン・カタログ・マネージャによって使用されたときにSOAPアクセスのみを受け入れるように構成されます。

SSOが有効な場合にオンライン・カタログ・マネージャにログインするには、analytics-ws/saw.dllをポイントするようにURLの接尾辞を変更する必要があります。

5 Oracle Business IntelligenceのSSLの構成

この章では、Secure Socket Layer (SSL)を介した通信を行えるようにOracle Business Intelligenceコンポーネントを構成する方法について説明します。

注意:
セキュリティ設定手順の詳細なリストは、第1.7項「Oracle Business Intelligenceのセキュリティを設定するための詳細な手順」を参照してください。

Oracle Business IntelligenceのSSL Everywhere機能を使用すると、コンポーネント間のセキュアな通信が可能になります。デプロイメント全体でセキュアなHTTP通信が行われるように、Oracle Business Intelligenceコンポーネント間、およびOracle WebLogic Server間でのSSL通信を構成できます。この項では、データベースやWebサーバーといった外部サービスとのセキュアな通信の構成については説明しません。Oracle WebLogic Serverに対してSSLを構成する方法は、『Oracle Fusion Middleware管理者ガイド』のOracle Fusion MiddlewareでのSSL構成に関する項を参照してください。

この章には次の項が含まれます:

- SSLとは

- エンドツーエンドSSLの有効化

- BIEE内部SSLの有効化

- 内部SSLの無効化

- クライアント用の信頼およびアイデンティティのエクスポート

- クライアント用のSSLの構成

- 証明書の有効期限の確認

- 証明書の置換え

- リスナー・アドレスの変更後の証明書の更新

- 新しいサーバーの追加

- SSLが有効化されているシステムのスケール・アウト

- 構成テンプレート構成済システムのSSLの有効化

- SSL暗号スイートの手動構成

- 外部システムへのSSL接続の構成

- BIEE内部SSLを使用するために予約されたWebLogicアーティファクト

- SSL環境におけるBIコンポーザの起動の有効化

5.1 SSLとは

SSLは、ネットワーク全体のアプリケーション間でセキュアな通信を有効にするための暗号プロトコルです。SSL通信を有効にすることで、メッセージの暗号化、データ整合性、認証など、いくつもの機能による利益を享受できます。メッセージを暗号化することで、認可されたユーザーだけがこれにアクセスできるという機密保護を徹底できます。データ整合性は、メッセージが改ざんされることなく、元の状態のままで受信されることを保証します。認証は、メッセージの送信者が実際にその人物であることを保証します。

SSLを使用する場合は、セッションのネゴシエーション用に、サーバーが公開鍵と秘密鍵を保有している必要があります。公開鍵は、認証局によって署名されたサーバー証明書によって使用可能になります。証明書には、サーバーを識別する情報も含まれます。秘密鍵はサーバーによって保護されます。

この項には次のトピックが含まれます:

- 第5.1.1項「Oracle Business IntelligenceでのSSLの使用」

- 第5.1.2項「Oracle Business Intelligenceでの証明書と鍵の作成」

SSLの概念、および公開鍵による暗号化の詳細は、『Oracle Fusion Middleware管理者ガイド』のSSLの動作に関する項を参照してください。

5.1.1 Oracle Business IntelligenceでのSSLの使用

デフォルトでは、Oracle Business IntelligenceコンポーネントはTCP/IPを使用して相互通信します。Oracle Business Intelligenceコンポーネント間でSSLを構成すると、セキュアなネットワーク通信が可能になります。

Oracle Business Intelligenceコンポーネントは通信する際、一度に1つのプロトコルしか使用できません。あるコンポーネント間で単純なTCP/IP通信を行いながら、別のコンポーネント間でSSLを使用することはできません。セキュアな通信を有効にするには、次のOracle Business Intelligenceコンポーネントのすべてのインスタンスを、SSLを使用して通信するように構成する必要があります。

- Oracle BIサーバー

- Oracle BIプレゼンテーション・サービス

- Oracle BI JavaHost

- Oracle BIスケジューラ

- Oracle BIジョブ・マネージャ

- Oracle BIクラスタ・コントローラ

- Oracle BIサーバーのクライアント(Oracle BI ODBCクライアントなど)

Oracle Business Intelligenceインストール全体のSSLは、1つの中央地点から構成されます。証明書が作成され、すべてのOracle Business Intelligenceコンポーネント(Essbaseを除く)がSSLを使用するように構成されます。SSLによって、次のデフォルトのセキュリティ・レベルが構成されます。

- SSL暗号化が有効化されています。

- SSL相互認証は有効化されません。SSL相互認証が有効にされないため、クライアントが各自のSSL秘密鍵を所有する必要はありません。

- デフォルトの暗号スイートを使用します。デフォルト以外の暗号スイートを使用する方法は、第5.13項「高度なSSL構成オプション」を参照してください。

- スケールアウトの際、一元管理されたSSL構成は、追加されたすべての新規コンポーネントに自動的に伝搬されます。

より高度なセキュリティが必要な場合は、SSLによる一元的な構成を、手動構成によって強化または置換できる場合もあります。これは、相当複雑な処理となります。SSLを手動で構成する方法の詳細は、Oracleサポートにお問合せください。詳細は、「ドキュメントのアクセシビリティについて」を参照してください。

5.1.2 Oracle Business Intelligenceでの証明書と鍵の作成

SSLを使用したセキュアな通信には、認証局(CA)による署名のある証明書が必要です。内部での通信には、SSL Everywhere機能により、プライベートな認証局および証明書が作成されます。ユーザーのWebブラウザはプライベートな認証局を認識しないため、内部証明書は外部に向けたWebサーバーでは使用できません。したがって、Webサーバーには、外部で認知された認証局によって署名されたWebサーバー証明書を用意する必要があります。

5.2 エンドツーエンドSSLの有効化

エンドツーエンドSSLを実現するには、内部BIEE SSLおよびWebLogic SSLを構成する必要があります。WebLogic SSL構成では複数の手動の手順が必要である一方で、内部SSL構成は高度に自動化されています。2つは完全に独立しているため、どちらからでも実行できます。WebLogic構成では、手動の手順が必要です(最初に実行することをお薦めします)。

注意:
この項には、EssbaseのSSLの構成が含まれていません。

次の手順を実行します。構成の手順が強調されています。

- 第5.2.1項「標準の非SSL BIEEシステムの構成」

- 第5.2.2項「WebLogic SSLの構成」

5.2.1 標準の非SSL BIEEシステムの構成

標準の非SSLのOracle Business Intelligenceシステムを構成するには:

- BIEEをインストールします。

- システムが動作していることを確認します。
次を使用するためにhttpを介してログインできることを確認します。

- Analytics
- http://<Host>:< ManagedServerPort >/analytics

- Fusion Middleware Control
- http://<Host>:< AdminPort>/em

- WebLogic管理コンソール
- http://<Host>:<AdminPort>/console

5.2.2 WebLogic SSLの構成

これらの手順では、提供されているデモ証明書を使用してWebLogicを構成します。これらはセキュアではありません。本番環境では使用しないでください。ただし、最初にデモ証明書を使用する構成は、実際の証明書を構成する前の有益な演習となります。

実際の認証局によって署名されたセキュアな証明書を使用して構成するには、WebLogicドキュメントを参照してください。認証局は、署名されたサーバー証明書を返し、対応するルートCA証明書を提供する必要があります。democaがこれらの手順で示されている場合は常に、実際のCA証明書で置き換えます。

この項には次のトピックが含まれます:

- 第5.2.2.1項「管理サーバーのみの起動」

- 第5.2.2.2項「HTTPSポートの構成」

- 第5.2.2.3項「LDAPを使用するための内部WebLogic Server LDAPの構成」

- 第5.2.2.4項「内部WebLogic Server LDAPのトラスト・ストアの構成」

- 第5.2.2.5項「HTTPの無効化」

- 第5.2.2.6項「再起動」

- 第5.2.2.7項「t3sを使用するためのOWSMの構成」

- 第5.2.2.8項「システムの再起動」

5.2.2.1 管理サーバーのみの起動

管理サーバーのみを起動するには:

すべてを起動するのではなく管理サーバーのみを起動するとすべて停止する必要がなくなりますが、管理接続プロパティがすべての停止スクリプトと混同する変化の状態になります。

1. 次を使用してすべてを停止します。
<DomainHome>/bitools/bin/stop.sh

2. 次を使用して、管理サーバーのみを起動します。
<DomainHome>/bitools/bin/start.sh -i Adminserver

5.2.2.2 HTTPSポートの構成

HTTPSポートを構成するには:

1. WebLogic管理コンソールにログインします。

2. 「ロックして編集」をクリックします。

3. 環境、サーバーの順に選択します。
各サーバーの場合は、次のとおりです。

1. メインの「構成」タブで、「SSLリスニング・ポート有効」を選択します。

2. 「保存」をクリックします。

3. 「変更のアクティブ化」をクリックします。

4. ブラウザでデモ証明書の信頼を有効化します。
WebLogicデモ証明書を使用している場合、ブラウザはWebLogicサーバーを信頼しません。ブラウザの信頼を有効化する必要があります。証明書がデフォルトでブラウザに信頼されている標準の認証局を使用する場合、この手順を省略できます。

1. URL https://<host>:<AdminServerSSLPort>へ移動します
これはパスにemまたはコンソールがないベースURLであることに注意してください。最初にベースURLにアクセスして、単一のブラウザ証明書例外を設定できます。直接emおよびコンソール・パスに移動する場合、複数の証明書例外を設定する必要があります。

ブラウザはデモ証明書について警告します。

2. ベースURLに移動して、証明書例外を有効化します。
WebLogicコンソールおよびFusion Middleware Controlに個別に実行するのではなく、これを1回のみ実行する必要があります。

SSL接続が行われると、ベースURLは404エラーを表示します。これは問題ありません。

5. 次のセキュアなWebLogicコンソールURLを確認します。
https://<Host>:<AdminServerSSLPort>/console

6. 次のセキュアなFusion Middleware Control URLを確認します。
https://<Host>:<AdminServerSSLPort>/em

まだHTTPSを無効化しないでください。非SSLポートを使用して管理サーバーにアクセスする必要があるスクリプトを後で実行します。

注意: HTTPSチェックは、HTTPを使用してFusion Middleware Controlにすでにログインしている既存のブラウザである必要があります。

7. セキュア・レプリケーションを有効化します。

1. WebLogic管理コンソールで、
「ロックして編集」をクリックします。

2. 「環境」、「クラスタ」および「bi_cluster」を選択します。

3. 「構成」、「レプリケーション」タブを選択します。

4. 「セキュア・レプリケーションの有効化」を選択します。
これを実行しない場合、管理対象サーバーの起動に失敗し、管理モードのままになります。これにより、起動スクリプトが実行されるのを防ぎます。

5. 「保存」をクリックします。

6. 「変更のアクティブ化」をクリックします。

5.2.2.3 LDAPを使用するための内部WebLogic Server LDAPの構成

外部アイデンティティ・ストアがすでに構成されている場合、この手順を省略します。後で外部アイデンティティ・ストアを構成してセキュアな接続を使用する場合があります。これを実行する手順は、外部アイデンティティ・ストアのタイプに依存します。

内部LDAP IDストアでは、URLを修正する必要があります。

注意:
この項は、明示的にAdminserverを示すため、WebLogic Server LDAPを使用してvirtualize=trueが設定されていない場合のみ適用されます。

内部LDAPを構成してHTTPSを使用するには:

1. Fusion Middleware Control 12cにログインします。
https://<Host>/<SecureAdminPort>/em

2. 「WebLogicドメイン」、「セキュリティ」、「セキュリティ・プロバイダ構成」を選択します。

3. 「アイデンティティ・ストア・プロバイダ」セグメントを展開します。

4. 「構成」をクリックします。

1. プラス記号(+)をクリックして、新しいプロパティを追加します。

2. 次の値を使用してプロパティldap.urlを追加します。
ldaps://<host>:<adminServer HTTPS port>.

例:

ldaps://example_machine.com:9501

注意: これはbi_server1アドレスではなく管理サーバー・アドレスです。

3. プロパティ・エディタで「OK」をクリックします。

5. 「アイデンティティ・ストア・プロバイダ」ページで「OK」をクリックします。

6. 変更が行われたことを確認します。

1. 次の場所にあるjps-config.xmlファイルを開きます。
<DomainHome>/config/fmwconfig/jps-config.xml。

2. 次の行を含むファイルを確認します。
<property name="ldap.url" value="ldaps://<Host>:<AdminServerSecurePort>"/>

5.2.2.4 内部WebLogic Server LDAPのトラスト・ストアの構成

信頼キーストアを指定する必要があります。

詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の複数LDAPシナリオの一方向SSLに関する項を参照してください。

注意:
この項は、明示的にAdminserverを示すため、WebLogic Server LDAPを使用してvirtualize=trueが設定されている場合のみ適用されます。

内部LDAPのトラスト・ストアを構成するには:

1. ターミナル・ウィンドウで、環境変数ORACLE_HOMEおよびWL_HOMEを設定します。
たとえばLinuxでは、次のように指定します。

setenv ORACLE_HOME <OracleHome>

setenv WL_HOME <OracleHome>/wlserver/

2. パスおよびJAVA_HOMEがJDK 8インストールを示していることを確認します。
setenv JAVA_HOME <path_to_your_jdk8>

setenv PATH $JAVA_HOME/bin

3. 次を実行してjavaバージョンを確認します。
java -version

4. 次を実行します(改行なし)。
<OracleHome>/oracle_common/bin/libovdconfig.sh

-host <Host>

-port <AdminServerNonSSLPort>

-userName <AdminUserName>

-domainPath <DomainHome>

-createKeystore

入力を求められた場合は、<AdminUserName>の既存のパスワードを入力します。

OVDキーストアのパスワードの入力を求められた場合は、新しいパスワードを選択します。これは後で必要になります。

例:

oracle_common/bin/libovdconfig.sh -host myhost -port 7001 -userName weblogic -domainPath /OracleHome/user_projects/domains/bi -createKeystore

Enter AdminServer password:
Enter OVD Keystore password:
OVD config files already exist for context: default
CSF credential creation successful
Permission grant already available for context: default
OVD MBeans already configured for context: default
Successfully created OVD keystore.

注意: -port <AdminServerNonSSL>コマンドは無効になっている場合に管理サーバーの非SSLポートに対して動作しません。SSLを有効化してLDAPを構成する場合、Adminserverの非SSLポートを一時的に再有効化する必要があります。

5. 次を実行して、結果のキーストアが存在することを確認し、初期コンテンツを表示します。
keytool -list -keystore <DomainHome>/config/fmwconfig/ovd/default/keystores/adapters.jks

6. 上のキーストアにインポートするため、適切な形式でデモ証明書をエクスポートする必要があります。
Fusion Middleware Control:

WebLogicデモ証明書を使用する場合、Fusion Middleware Controlを使用してシステム・キーストアから必要なルートCAを取得できます。

1. 「WebLogicドメイン」、「セキュリティ」、「キーストア」を選択します。

2. 「システム」を展開します。

3. 「信頼」を選択します。

4. 「管理」をクリックします。

5. democa(olddemocaではなく)を選択します。

6. 「エクスポート」をクリックします。

7. 「証明書のエクスポート」を選択します。

8. ファイル名を選択します。
たとえば、demotrust.pemなどです。

WebLogicデモ証明書を使用しない場合、セキュアなサーバー証明書に署名したCAのルートCAを取得する必要があります。

7. 作成したキーストアにインポートします。

keytool -importcert -keystore <DomainHome>/config/fmwconfig/ovd/default/keystores/adapters.jks -alias localldap -file <DemoTrustFile>

8. 入力を求められた場合、前に選択したキーストアのパスワードを入力し、証明書が信頼されていることを確認します。

9. キーストアの-listコマンドを繰り返すと、次のようにlocalldapに新しいエントリが表示されます。

localldap, Jul 8, 2015, trustedCertEntry,

証明書のフィンガープリント(SHA1):

CA:61:71:5B:64:6B:02:63:C6:FB:83:B1:71:F0:99:D3:54:6A:F7:C8

5.2.2.5 HTTPの無効化

システムは、HTTPSを有効化する以外にHTTPを無効化した場合にのみ、完全にセキュアです。

HTTPを無効化するには:

1. WebLogic管理コンソールにログインします。

2. 「ロックして編集」をクリックします。

3. 環境、サーバーの順に選択します。
各サーバーの場合は、次のとおりです。

1. 「構成」タブが表示されます。

2. 「リスニング・ポート有効」をクリアします。

3. 「保存」をクリックします。

4. 「変更のアクティブ化」をクリックします。

5.2.2.6 再起動

Oracle Business Intelligenceを再起動するには:

1. WebLogic管理コンソール内から管理サーバーを停止します。
すべてが停止します。

2. <DomainHome>/bitools/bin/start.shスクリプトを使用して、すべてを開始します。
Oracle Web Service Manager (OWSM)が引き続き無効化したHTTPポートを使用しているため、Analyticsを介してログインできません。

3. HTTPおよびHTTPS WebLogicコンソールURLにログインしてHTTPが無効であることを確認します。HTTPSのみ使用します。
HTTPでは、「接続できないエラー」(表示はブラウザによって異なります)が迅速に表示されます。プロトコルおよびポートを混同しないように注意してください。誤ったプロトコルを使用して実行中のポートに接続しようとすると、ブラウザがハングする可能性があります。

5.2.2.7 t3sを使用するためのOWSMの構成

Oracle Web Services Manager (OWSM)構成を変更して、HTTPSポートを使用する必要があります。

OWSMを構成してt3sを使用するには:

1. Fusion Middleware Control 12cにログインします。
https://<Host>/<SecureAdminPort>/em)。

2. WebLogicドメインおよびクロス・コンポーネント・ワイヤリング・コンポーネントを選択します。

3. OWSMエージェント・コンポーネント・タイプを選択します。

4. 行のowsm-pm-connection-t3ステータス「同期外れ」を選択して、「バインド」をクリックします。
ローカルのOWSMを使用する場合、HTTP(s) OWSMリンクは使用されません。

5. ポップアップ・ボックスで「はい」を選択します。

6. 次のようにバリデータを介してポリシーにアクセスして確認します。
https://<host>:<ManagedServerSSLPort>/wsm-pm/validator

5.2.2.8 システムの再起動

Oracle Business Intelligenceを再起動するには:

1. <DomainHome>/bitools/bin/stop.shスクリプトを使用して、すべてのサーバーを停止します。
すべてが停止します。

2. <DomainHome>/bitools/bin/start.shスクリプトを使用して、すべてを開始します。

3. 次のAnalyticsにログインできることを確認します。
https://<Host>:<SecureManagedServerPort>/analytics

WebLogic層は、外部向けのポート(そのため、すべてのWebLogicインフラストラクチャ)にのみHTTPSを使用します。内部BIチャネルおよびBIシステム・コンポーネントは、引き続きHTTPを使用します。

5.3 BIEE内部SSLの有効化

この項では、内部通信リンクのSSLを有効化する方法について説明します。

BIEE内部SSLを有効化するには:

マスター・ホストからコマンドを実行する必要があります。Oracle Business IntelligenceがBI構成アシスタントで構成され、WebLogic管理対象サーバーが作成され、スケール・アウトが完了している必要があります。

1. 次を使用してシステムを停止します。
ORACLE_HOME/user_projects/domains/bi/bitools/bin/stop.sh

2. 次のコマンドを実行して、WebLogic内部チャネルおよび内部コンポーネントのSSLを有効化します。
ORACLE_HOME/user_projects/domains/bi/bitools/bin/ssl.sh internalssl true

3. (オプション)次のファイルを編集して、高度なオプションを構成します。
ORACLE_HOME/user_projects/domains/bi/config/fmwconfig/biconfig/core/ssl/bi-ssl.xml

サポートされているオプションは次のとおりです。

- クライアント証明書のサーバー・チェックを有効化します。

- 使用する暗号スイートを指定します。
詳細は、「SSL暗号スイートの手動構成」を参照してください。

4. 次を使用して、ドメインおよびBIコンポーネント・プロセスを再起動します。
ORACLE_HOME/user_projects/domains/bi/bitools/bin/start.sh

5. 次のように設定を確認します。

1. 次を使用してWebLogic証明書および対応する信頼が正しく構成されていることを確認します。
ORACLE_HOME/user_projects/domains/bi/bitools/bin/ssl.shレポート

このコマンドは、WebLogic証明書および対応する信頼が正しく構成されていることを確認します。

2. 次のAnalyticsにログインできることを確認します。
https://<host>:<SecureManagedServerPort>/analytics

これは、エンドツーエンドSSLを有効化する前にHTTPSリスナーが各サーバーで有効であることを確認します。内部コンポーネント間の通信が暗号化されますが、'ssl.sh report'コマンドを使用するかサーバー・トラフィックを確認してのみ検証できることに注意してください。

事後状態:

- WebLogicサーバー:

- 内部チャネルで有効化されているHTTPSリスナーがあります。

- 外部ポート構成が変更されていません。外部ポートのSSLを有効化する方法の詳細は、「エンドツーエンドSSLの有効化」も参照してください。
リスナー・アドレスごとに個別の内部アイデンティティ(キー/証明書のペア)があります。証明書は、標準のHTTPSと互換性があるリスニング・アドレスと一致する共通名を持ちます。証明書は、内部認証局により署名されます。

- システム・コンポーネント(以外Essbase Studio):

- 内部チャネルで有効化されているHTTPSリスナーがあります。

- 外部ポート構成が変更されていません。外部ポートのSSLを有効化する方法の詳細は、「エンドツーエンドSSLの有効化」も参照してください。

- リスナー・アドレスごとに個別の内部アイデンティティ(キーまたは証明書のペア)があります。証明書は、標準のHTTPSと互換性があるリスニング・アドレスと一致する共通名を持ちます。証明書は、内部認証局により署名されます。

- Essbase Studio:

- 変更はありません。既存の接続を続行します。

5.4 内部SSLの無効化

この項では、内部通信リンクのSSLを無効化する方法について説明します。

BIEE内部SSLを無効化するには:

マスター・ホストからコマンドを実行する必要があります。Oracle Business IntelligenceがBI構成アシスタントで構成され、WebLogic管理対象サーバーが作成され、スケール・アウトが完了している必要があります。

1. 次を使用してシステムを停止します。
<DomainHome>/bitools/bin/stop.sh

2. 次のコマンドを実行して、WebLogic内部チャネルおよび内部コンポーネントのSSLを有効化します。
<DomainHome>/ bitools/bin/ssl.sh internalssl false

3. 次を使用してドメインを再起動します。
<OracleHome>/bi/bin/start.sh

事後状態:

- WebLogicサーバー:

- 内部チャネルで無効化されているHTTPSリスナーがあります。

- 外部ポート構成が変更されていません。

- システム・コンポーネント(以外Essbase Studio):

- 非SSLでのみリスニングします。SSL接続は受け入れられません。

- Essbase Studio:

- 変更はありません。既存の接続を続行します。

5.5 クライアント用の信頼およびアイデンティティのエクスポート

Oracle BI EEクライアント(たとえば、管理ツールおよびジョブ・マネージャ)がSSL対応サーバーに接続できるために必要なキーおよび証明書を指定できます。

前提条件:

- マスター・ホストからコマンドを実行します。

- オンラインおよびオフラインでこの操作を完了できます。

前提条件

- 構成アシスタントを使用するか、./ssl.sh再生成コマンドを実行して、証明書を作成します。

- WebLogicのSSLが有効化されます(第5.2.2項「WebLogic SSLの構成」)。

- システムは、「停止」または「稼働中」のいずれかです。

クライアント用の信頼およびアイデンティティをエクスポートするには:

次のコマンドを使用して、クライアントのアイデンティティおよび信頼を'mydir'にエクスポートします。

./ssl.sh exportclientcerts mydir

証明書およびzipファイルが生成されることに注意してください。

事後状態

- Mydirには、zipファイルclientcerts.zipが含まれています

- Mydirには、直接使用するためのzipファイルの次の展開されたコンテンツも含まれています。

- clientcert.pem

- clientkey.pem

- identity.jks

- internaltrust.jks

- internaltrust/internalca.pem

- internaltrust/<hashed form of above>

- ジョブ・マネージャなどのJavaクライアントは、アイデンティティを定義するidentity.jksおよび信頼用のinternaltrust.jksを使用してセキュアなオプション「サーバー証明書の確認」を設定して正常に接続できます。

- 管理ツールなどのopensslクライアントは、アイデンティティを定義するclientcert.pemとclientkey.pemおよび信頼ファイルとしてinternalca.pemを使用してセキュアなオプション「ピアの検証」を設定して正常に接続できます。

5.6 クライアント用のSSLの構成

BIEEコンポーネントにアクセスするクライアントを構成してBIEE証明書を使用する必要があります。

注意:
最初に、次のコマンドを実行して証明書をエクスポートする必要があります。

<DomainHome>/bitools/bin/ssl.sh exportclientcerts <exportDir>

この項では、クライアント用のSSLを構成する方法について説明します。項目は次のとおりです。

- 第5.6.1項「クライアント証明書のエクスポート」

- 第5.6.2項「BIスケジューラのSSLが有効化されている場合のSASchInvokeの使用」

- 第5.6.3項「Oracle BIジョブ・マネージャの構成」

- 第5.6.4項「オンライン・カタログ・マネージャの接続の有効化」

- 第5.6.5項「SSL経由で通信するためのOracle BI管理ツールの構成」

- 第5.6.6項「リモート・クライアント・アクセス用のODBC DSNの構成」

- 第5.6.7項「SSL経由で通信するためのOracle BI Publisherの構成」

- 第5.14.2項「複数認証プロバイダ使用時のSSLの構成」

5.6.1 クライアント証明書のエクスポート

最初に、クライアント証明書をエクスポートする必要があります。

クライアント証明書をエクスポートするには:

1. 次のコマンドを実行します。

<DomainHome>/bitools/bin/ssl.sh exportclientcerts <exportDir>

2. プロンプトが表示されたら、新しいパスフレーズを入力します。
パスフレーズを使用して、エクスポート証明書を保護します。各クライアントを構成する場合に使用するこのパスフレーズを忘れないようにしてください。

コマンドは、Javaクライアントが使用するJavaキーストアおよび非Javaクライアントが使用する個々の証明書ファイルをエクスポートします。証明書をリモート・マシンにより簡単に移動するため、エクスポートによってすべてのファイルが単一のzipファイルにパッケージ化されます。

5.6.2 BIスケジューラのSSLが有効化されている場合のSASchInvokeの使用

BIスケジューラでSSL通信が有効化されている場合は、SASchInvokeコマンドライン・ユーティリティを使用してBIスケジューラを起動できます。

SASchInvokeユーティリティを使用してSSLが有効な場合にBIスケジューラを起動するには:

1. ./ssl.sh exportclientcertsコマンドを実行する際に使用したパスフレーズが単一の行に含まれる新しいテキスト・ファイルを作成します(第5.6.1項「クライアント証明書のエクスポート」を参照)。
このファイルに保護するための正しく制限されたファイル権限があることを確認します。通常、所有者によってのみ読取り可能です。

2. SASchInvokeコマンドを実行するには、次の構文を使用します。

SASchInvoke -u <Admin Name>  (-j <job id> | -i <iBot path>)  [-m <machine name>[:<port>]]  [(-r <replace parameter filename> | -a <append parameter filename>)] [-l [ -c <SSL certificate filename> -k <SSL certificate private key filename> [ -w <SSL passphrase>  | -q <passphrase file>  | -y ]] [-h <SSL cipher list>] [-v [-e <SSL verification depth>] [-d <CA certificate directory>] [-f <CA certificate file>] [-t <SSL trusted peer DNs>] ] ]

where:
SSL certificate filename = clientcert.pem
SSL certificate private key filename = clientkey.prm
passphrase file = location of the passphrase file created above.

このコマンドでは、管理者パスワードの入力を求められます。

3. 管理者パスワードを入力して、BIスケジューラを起動します。

5.6.3 Oracle BIジョブ・マネージャの構成

SSLが有効化されているBIスケジューラに適切に接続するには、SSLを使用して通信を行うようにOracle BIジョブ・マネージャを構成する必要があります。

Oracle BIジョブ・マネージャはJavaベースのコンポーネントであり、これによって使用される鍵および証明書は、Javaキーストア・データベースに格納しておく必要があります。

SSLを使用してBIスケジューラ・サーバーと通信するようにOracle BIジョブ・マネージャを構成するには、次の手順を実行します。

Oracle BIジョブ・マネージャを構成するには:

1. 「ファイル」メニューからOracle BIジョブ・マネージャを選択し、「スケジューラ接続を開く」を選択します。

2. ダイアログ・ボックスの「Secure Socket Layer」セクションで、「SSL」チェック・ボックスを選択します。

3. サーバー設定クライアント証明書の検証がfalse(一方向SSL)である場合、キー・ストアおよびキー・ストア・パスワードを空白のままにできます。これがデフォルトの設定です。

4. サーバー設定クライアント証明書の検証がtrue(双方向SSL)である場合、キー・ストアおよびキー・ストア・パスワードを次のように設定する必要があります。

- キー・ストア=<exportclientcerts_directory>\identity.jks

- キー・ストア・パスワード = 第5.6.1項「クライアント証明書のエクスポート」で入力されたパスフレーズ。

5. セキュアなリンクを指定するには、サーバー証明書の検証を選択する必要があります。検証なしで接続は引き続き有効ですが、サーバーを偽装する中間者攻撃の人は検出されません。

1. 「サーバー証明書の確認」チェック・ボックスを選択します。この項目を選択する場合は、トラスト・ストア・ファイルを指定する必要があります。このトラスト・ストアには、スケジューラ・サーバーの証明書を検証するCAが含まれます。

2. 「トラスト・ストア」テキスト・ボックスで、次にトラスト・ストアを設定します。
<exportclientcerts_directory>\internaltrust.jks

3. 「トラスト・ストア・パスワード」を第5.6.1項「クライアント証明書のエクスポート」で入力されたパスフレーズに設定します。

5.6.4 オンライン・カタログ・マネージャの接続の有効化

Oracle Business IntelligenceのHTTP WebサーバーがSSLで有効になっている場合は、オンライン・カタログ・マネージャがOracle BIプレゼンテーション・サービスへの接続に失敗する可能性があります。Webサーバーから、SSLサーバー証明書またはCA証明書を、システム変数JAVA_HOMEで指定されたJVMのJavaキーストアにインポートする必要があります。

オンライン・カタログ・マネージャを有効にして接続するには:

1. ORACLE_HOME/JAVA_HOME/ jre/lib/securityにあるJavaのデフォルトのトラスト・ストアに移動します。
デフォルトのトラスト・ストア名はcacertsです。

2. Javaのデフォルトのトラストストアと同じ場所に、Webサーバーからエクスポートした証明書をコピーします。

3. 次のコマンドを実行して、デフォルトのトラスト・ストアに証明書をインポートします。

keytool -importcert -trustcacerts -alias bicert -file $WebServerCertFilename -keystore cacerts -storetype JKS

Webサーバーの証明書ファイル$WebserverCertFilenameが、別名bicertの下にあるcacertsというJavaのデフォルトのトラストストアにインポートされます。

たとえば、Oracle WebLogic Serverのデフォルトのデモ証明書を使用する場合であれば、証明書へのフルパスであるORACLE_HOME/wlserver/server/lib/CertGenCA.derを使用します。

注意:
Javaトラスト・ストアのデフォルトのパスワードは「changeit」です。

4. カタログ・マネージャを再起動します。

注意:
カタログ・マネージャは、セキュアなHTTPS URLを使用して起動する必要があります。

5.6.5 SSL経由で通信するためのOracle BI管理ツールの構成

SSLが有効化されているBIサーバーに適切に接続するには、管理ツールもSSLを使用して通信するように構成する必要があります。Oracle BIサーバーのデータ・ソースのDSNが必要となります。

SSL経由で通信するように管理ツールを構成するには:

1. プレゼンテーション・サービスの「 管理 」ページに管理ユーザーとしてログインして、使用されているOracle BIサーバーのデータ・ソースのDSNを確認します。
詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』を参照してください。

2. 左上隅の「Oracle BIサーバー・データ・ソース」フィールドを確認します。DSNがcoreapplication_OH<DSNnumber>という形式で一覧表示されています。

3. 管理ツールで、「ファイル」、「開く」、「オンライン」の順に選択し、DSN名を入力します。リストからDSNを選択します。

4. リポジトリのユーザー名およびパスワードを入力します。
これで、管理ツールはSSLを使用してBIサーバーに接続されます。

5.6.6 リモート・クライアント・アクセス用のODBC DSNの構成

Oracle BIサーバーでリモート・クライアント・アクセスを有効化するためのODBC DSNを作成できます。ODBC DSNに対してSSL通信を有効化する方法の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligenceとのその他のクライアントの統合に関する項を参照してください。

5.6.7 SSL経由で通信するためのOracle BI Publisherの構成

SSLを使用してインターネット経由で安全に通信できるようにBI Publisherを構成できます。詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Publisher管理者ガイド』のSecure Socket Layer (SSL)通信のためのBI Publisherの構成に関する項を参照してください。

SSL構成後、BI Publisherの動作が正常でなくなったら、HTTPSプロトコルとSSLポートを再構成することが必要になる場合があります。詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Publisher管理者ガイド』のOracle BIプレゼンテーション・サービスとの統合の構成に関する項を参照してください。

5.7 証明書の有効期限の確認

このタスクは、証明書が期限切れまたはまもなく期限切れになる場合に警告を示します。

マスター・ホストからコマンドを実行する必要があります。システムは稼働中でも停止していてもかまいません。

証明書の有効期限を確認するには:

1. 次のコマンドを実行して、証明書の有効期限を確認します。
<DomainHome>/ bitools/bin/ssl.shの有効期限

事後状態:

- 認証局およびサーバー証明書の詳細な有効期限情報がリストされます。

- ssl.shコマンドは次のステータスを返します。

- 13 – 証明書の有効期限が切れている場合。

- 14 – 30日未満に証明書の有効期限が切れる場合。

- 0 – 証明書に30日を超える有効期限が残っている場合。

5.8 証明書の置換え

証明書の置換えにより、すべての証明書を新しい証明書に置き換えることができます。次の場合に行う可能性があります。

- 既存の証明書の有効期限が切れているか、間もなく期限切れになる場合。
サーバー証明書およびCA(信頼)証明書の両方で有効期限を定義しています。有効期限が切れると、それらの証明書を使用した接続は無効になります。

- 組織に構成アシスタントで指定されたデフォルトと異なる証明書の有効期限が必要なポリシーがあります。

- 既存の証明書およびキーのセキュリティが損われている場合。

前提条件:

- マスター・ホストからコマンドを実行します。

- これはオフライン操作です。

証明書を置き換えるには:

1. 内部BIEEまたはクライアント証明書を置き換えます。
再生成コマンドを使用する場合、既存のクライアント証明書を無効にするため、それらを再エクスポートする必要があります。

./ssl.sh regenerate
./ssl.sh exportclientcerts mydir

2. 次を使用してドメインを再起動します。

./start.sh

3. 次を使用してWebLogic証明書および対応する信頼が正しく構成されていることを確認します。

./ssl.sh report

事後状態

ドメインはSSLで実行され、新しい証明書を使用します。サーバーは古い信頼を使用してWebLogicインスタンスに接続されません。

ssl.sh expiryコマンドを実行して、新しい有効期限の新しい証明書をリストできます。

5.9 リスナー・アドレスの変更後の証明書の更新

デフォルト(空白)を置き換えるためのWebLogicコンソールの明示的なリスナー・アドレスの設定などのリスナー・アドレスの変更後に証明書を更新できます。ssl.shスキャン・コマンドは、正しくない証明書の共通名のためにエラーを表示します。リスニング・アドレスと一致しない証明書のサーバーへの接続が拒否されます。

前提条件:

- マスター・ホストからコマンドを実行します。

- これはオフライン操作です。

リスニング・アドレスの変更後に証明書を更新するには:

1. 次を実行して証明書を更新します。

./ssl.sh rebindchannelcerts

2. 次を使用してドメインを再起動します。

./start.sh

3. 次を使用してWebLogic証明書および対応する信頼が正しく構成されていることを確認します。

./ssl.sh report

事後状態

ドメインはSSLで実行され、新しい証明書を使用します。新しい証明書は、既存の証明書と同じ有効期限があります。証明書が既存の内部認証局によって署名されるため、以前にエクスポートしたクライアントが引き続き有効です。

ssl.sh expiryコマンドを実行して、新しい有効期限の新しい証明書をリストできます。

5.10 新しいサーバーの追加

このタスクは、新しいサーバーに対して同じ内部SSL構成を提供します。

前提条件:

- マスター・ホストからコマンドを実行します。

- これはオフライン操作です。

- 既存のサーバーをクローニングするか最初から作成して、1つ以上の新しいサーバーが作成されています。

新規サーバーを追加するには:

1. 新しいサーバーごとに次を実行します。

./ssl.sh channel <new_bi_server> <port>

2. または、繰り返して次を実行します。

./ssl.sh internalssl true

次に、internalsslコマンドのエラー・メッセージに示されているようにチャネル・コマンドを実行します。

3. 次を使用してドメインを再起動します。

./start.sh

4. 次を使用してWebLogic証明書および対応する信頼が正しく構成されていることを確認します。

./ssl.sh report

事後状態

ドメインがSSLで実行され、すべてのWebLogic管理対象サーバーが内部SSLを使用します。サーバーがクローニングされた場合、クローニングされた内部チャネル・ポートがチャネル・コマンドで指定されたポートで置き換えられます。サーバーを最初から作成した場合、SSLを使用するために内部チャネルが作成および構成されます。

5.11 SSLが有効化されているシステムのスケール・アウト

このタスクは、すでに内部SSLが有効化されているシステムをスケール・アウトできます。

詳細は、必要なssl.sh bindchannelcertsコールが行われる『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の新しいコンピュータの追加に関する項を参照してください。

5.12 構成テンプレート構成済システムのSSLの有効化

このタスクは、WLSTを使用して構成されたシステムのBI構成アシスタントに示されているか、またはWebLogic構成アシスタントの構成テンプレートを直接適用した同じSSL内部チャネル構成を提供します。

前提条件:

- マスター・ホストからコマンドを実行します。

- これはオフライン操作です。

構成テンプレート構成済システムのSSLを有効化するには:

1. 次のコマンドを実行します。

<domain_home>/bitools/bin/ssl.sh regenerate <days>
<domain_home>/bitools/bin/ssl.sh targetapps bi_cluster

2. 新しいサーバーごとに次を実行します。

./ssl.sh channel <new_bi_server> <port>

3. または、繰り返して次を実行します。

./ssl.sh internalssl true

次に、internalsslコマンドのエラー・メッセージに示されているようにチャネル・コマンドを実行します。

4. 次を使用してドメインを再起動します。

./start.sh

5. 次を使用してWebLogic証明書および対応する信頼が正しく構成されていることを確認します。

./ssl.sh report

事後状態

ドメインがSSLで実行され、すべてのWebLogic管理対象サーバーが内部SSLを使用します。

5.13 SSL暗号スイートの手動構成

デフォルトのSSL構成では、デフォルトの暗号スイートによるネゴシエーションを使用します。組織におけるセキュリティ標準ではデフォルト構成の使用が許容されない場合は、別の暗号スイートを使用するようにシステムを構成できます。SSLステータス・レポートから出力にデフォルトの選択を表示できます。

この高度なオプションには、構成ファイルの編集が含まれます。このファイル・タイプに対する構文上の規則を確認するように注意してください。

手動構成したSSL環境は、デフォルトのSSL構成と共存できます。

SSL暗号スイートを手動構成するには:

1. SSLを構成します。

2. http://download.oracle.com/javase/1.5.0/docs/guide/security/jsse/JSSERefGuide.html#AppA">>http://download.oracle.com/javase/1.5.0/docs/guide/security/jsse/JSSERefGuide.html#AppAの各オプションから、必要なJava暗号スイート名を選択します。

3. http://www.openssl.org/docs/apps/ciphers.html#CIPHER_LIST_FORMAT">>http://www.openssl.org/docs/apps/ciphers.html#CIPHER_LIST_FORMATのリストを使用して、選択した暗号スイートと一致するOpen SSL暗号スイート名を作成します。
たとえば、SSL_RSA_WITH_RC4_128_SHAというJava暗号スイート名は、Open SSLではRSA+RC4+SHAにマップされます。

4. 次のbi-ssl.xmlファイルを編集します。
<DOMAIN_HOME>/config/fmwconfig/core/ssl/bi-ssl.xml

次のサブ要素をJavaHost/Listener/SSL要素に追加します。例:

<EnabledCipherSuites>SSL_RSA_WITH_RC4_128_SHA</EnabledCipherSuites>

5. 次を使用して、Oracle Business Intelligenceコンポーネントを再起動します。

./start.sh

詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Business Intelligenceシステム・コンポーネントの起動と停止に関する項を参照してください。

5.14 外部システムへのSSL接続の構成

この項には次のトピックが含まれます:

- 第5.14.1項「Fusion Middleware Controlの使用によるSMTPサーバーのSSLの構成」

- 第5.14.2項「複数認証プロバイダ使用時のSSLの構成」

5.14.1 Fusion Middleware Controlの使用によるSMTPサーバーのSSLの構成

このタスクを行うには、SMTPサーバー証明書を取得する必要があります。

Fusion Middleware Controlを使用してSMTPサーバーのSSLを構成するには:

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. 「Business Intelligence概要」ページに移動します。

3. 「デプロイメント」ページの「メール」タブを表示します。
ページの「ヘルプ」ボタンをクリックして、要素に関するページレベルのヘルプを表示します。

4. 「構成をロックして編集」をクリックして、構成をロックします。

5. 「Secure Socket Layer (SSL)」の各フィールドを、次のように処理します。

- 接続セキュリティ: オプションを1つ選択します。他のフィールドは後でアクティブになる場合があります。

- CA証明書ソースの指定: 「ディレクトリ」または「ファイル」を選択します。

- CA証明書ディレクトリ: CA証明書を含むディレクトリを指定します。

- CA証明書ファイル: CA証明書のファイル名を指定します。

- SSL証明書検証の深さ: 証明書に適用する検証レベルを指定します。

- SSL暗号リスト: SMTPサーバーがサポートする暗号スイート名に一致する暗号のリストを指定します。たとえば、RSA+RC4+SHAなどです。

6. 「適用」をクリックしてから、「変更のアクティブ化」をクリックします。

5.14.2 複数認証プロバイダ使用時のSSLの構成

複数の認証プロバイダを構成している場合に、SSL(一方向SSLのみ)で通信するLDAP認証プロバイダを追加構成するには、仮想化(libOVD)機能で使用される追加キーストアに、該当するLDAPサーバーのルート証明書を配置する必要があります。

複数認証プロバイダの使用時にSSLを構成するには:

注意:
このタスクを完了する前に、virtualize (小文字)というカスタム・プロパティを構成し、その値をtrueに設定する必要があります(詳細は、第3.4.6項「Fusion Middleware Controlを使用したアイデンティティ・ストアの仮想化の構成」を参照してください)。

1. キーストアを作成します。

1. 環境変数ORACLE_HOME、WL_HOMEおよびJAVA_HOMEを設定します。
例(UNIXの場合):

set ORACLE_HOME=orahome

set WL_HOME=orahome/wlserver

set JAVA_HOME=orahome/oracle_common/jdk

2. -createKeystoreオプションを使用して、libovdconfig.sh(UNIXの場合)またはlibovdconfig.bat(Windowsの場合)を実行し、キーストアを設定します。
たとえばUNIXでは、シェル・プロンプトを開き、<OracleHome>/oracle_common/binディレクトリに移動します。その上で、次のコマンドを実行します(Oracle Business Intelligenceの管理者ユーザー名とパスワードが求められます)。

./libovdconfig.sh -host <hostname> -port <Admin_Server_Port> -username <BI Admin User> -domainPath <OracleHome>/user_projects/domains/bi/config/fmwconfig/ovd/default/keystores -createKeystore

3. 入力を求められたら、Oracle Business Intelligenceの管理者パスワード、およびlibovdconfig.sh -createKeystoreコマンドで作成されたOVDキーストアのパスワード(キーストア・ファイルの保護に使用される新しいパスワード)を入力します。
このコマンドを実行すると、2つの新しい資格証明が、資格証明ストアと、<OracleHome>/user_projects/domains/bi/config/fmwconfig/ovd/default/keystoresの下のadapters.jksという新しいキーストア・ファイルに表示されます。

2. ルート証明書をLDAPディレクトリからエクスポートします(方法については、LDAPのドキュメントを参照してください)。

3. keytoolコマンドを使用して、ルート証明書をlibOVDキーストアにインポートします。
<OracleHome>/jdk/jre/bin/keytool -import -keystore <OracleHome>\user_projects/domains/bi/config/fmwconfig/ovd/default/keystores/adapters.jks -storepass <KeyStore password> -alias <alias of your choice> -file <Certificate filename>

4. WebLogic ServerプロセスとOracle Business Intelligenceプロセスを再起動します。
詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』を参照してください。

5.15 BIEE内部SSLを使用するために予約されたWebLogicアーティファクト

次のWebLogicアーティファクトがBIEE内部使用のために予約されます。

- 仮想ホスト:
bi_internal_virtualhost1

- チャネル(管理対象サーバーごと):
bi_internal_channel1

5.16 SSL環境におけるBIコンポーザの起動の有効化

この項では、Fusion Middleware Controlを使用して手動でJMX MBean値を更新して、SSL環境である場合にBIアンサーからのBIコンポーザの起動を有効化する方法について説明します。

非SSL環境の場合、BIアンサーとBIコンポーザ間の統合が追加の構成なしで動作します。ただし、SSL環境の場合、統合を正しく有効にするには、httpからhttpsにプロトコル値を手動で変更する必要があります。

SSL環境でBIコンポーザの起動を有効化するには:

1. SSLが有効化されている環境で、Fusion Middleware Controlにログインします。

2. 「WebLogic Server」メニューを表示して、「システムMBeanブラウザ」オプションを選択します。

3. 「アプリケーション定義のMBean」を開き、次の項目を展開します。
oracle.adf.share.connections > Server: bi_server1 > Application: bicomposer > ADFConnections > ADFConnections > BISoapConnection > bi-default

4. 「bi-default」を選択して、属性の値13の「プロトコル」を次のように変更します。
値httpを値httpsに置き換えます

5. 「適用」をクリックします。

A レガシー・セキュリティ管理オプション

この付録は、アップグレードされたシステムとの下位互換性を維持するために含まれているレガシー・セキュリティ管理オプションについて説明するものであり、ベスト・プラクティスではありません。この付録には次の項が含まれます:

- レガシー認証オプション

- 代替認可オプション

注意:
どのユーザーに対しても、認証と認可の両方とも、Oracle Fusion Middlewareのセキュリティ・モデルまたはレガシー形式を使用して実行する必要があります。2つを混合させることはできません。Oracle Fusion Middlewareセキュリティを使用して認証を実行し、その後で初期化ブロックを使用して認可を行うことはできません。

A.1 レガシー認証オプション

下位互換性のため、Oracle Business Intelligenceの複数のレガシー認証オプションが引き続きサポートされます。システムをアップグレードするためのベスト・プラクティスは、デフォルトのセキュリティ・モデルによって提供されるアイデンティティ・ストアおよび認証プロバイダを使用して、認証の実装を開始することです。組み込まれたディレクトリ・サーバーはインストールまたはアップグレード時にデフォルトのアイデンティティ・ストアおよび認証プロバイダとして構成され、すぐに使用できるようになります。デフォルトのセキュリティ・モデルの詳細は、第1章「Oracle Business Intelligenceのセキュリティの紹介」および付録B「デフォルト・セキュリティ構成の理解」を参照してください。

認証とは、ログイン中に提供されたユーザー名およびパスワードによって、システムへのログインに必要な資格証明をユーザーが持っていることを保証するために確認するプロセスのことです。BIサーバーは、受け取った接続リクエストをそれぞれ認証します。このリリースでは、下位互換性を維持するためにBIサーバーによって次のレガシー認証方式がサポートされています。

- 外部LDAPベースのディレクトリ・サーバー

- 外部初期化ブロック認証

- 表ベース。

この項には次のトピックが含まれます:

- 第A.1.1項「初期化ブロックの使用によるLDAP認証の設定」

- 第A.1.2項「外部表認証の設定」

- 第A.1.3項「Oracle BIデリバーおよび外部初期化ブロックの認証について」

- 第A.1.4項「認証の順序」

- 第A.1.5項「カスタム認証システム・プラグインを使用する認証」

- 第A.1.6項「セッション変数の管理」

- 第A.1.7項「サーバー・セッションの管理」

A.1.1 初期化ブロックの使用によるLDAP認証の設定

ユーザー資格証明を認証のために外部LDAPサーバーへ渡すようにBIサーバーを設定できます。

レガシーのLDAP認証方式では、Oracle BI管理ツールで変数マネージャを使用して定義するOracle Business Intelligenceセッション変数を使用します。セッション変数の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

初期化ブロックを使用してLDAP認証を設定するには:

1. 次のようにLDAPサーバーを作成します。

1. 管理ツールで「管理」を選択してから「アイデンティティ」を選択し、Identity Managerを起動します。

2. Identity Managerの左ペインで「ディレクトリ・サーバー」を選択します。

3. Identity Managerの右ペインで右クリックし、新規LDAPサーバーを選択します。「LDAPサーバー」ダイアログが表示されます。

4. フィールドに値を入力してLDAPサーバーを作成します。

2. LDAP初期化ブロックを作成し、LDAPサーバーに関連付けます。詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』の初期化ブロックの作成に関する項を参照してください。

3. USERという名前のシステム変数を定義し、USER変数をLDAP属性に割り当てます(uid、sAMAccountName、cnなど)。
ユーザーがログオンしてセッションを開始するときに、セッション変数に値が入力されます。システム・セッション変数と呼ばれる特定のセッション変数には特別な用途があります。システム・セッション変数USERは認証とともに使用されます。USERシステム・セッション変数の詳細は、「LDAP認証でのUSERセッション変数の定義」を参照してください。システム・セッション変数の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のシステム・セッション変数に関する項を参照してください。

4. 該当する場合は、リポジトリ・ファイルからユーザーを削除します。

5. USERシステム変数をLDAP初期化ブロックに関連付けます。詳細は、「LDAP認証でのUSERセッション変数の定義」、および『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』の初期化ブロックへの変数の関連付けに関する項を参照してください。

注意:
セキュアLDAPを使用するときは、キー・ファイル名およびパスワードを設定し、管理ツールでLDAPパラメータの設定をテストして、再びキー・ファイル名およびパスワードを変更した場合には、テストの前に管理ツールを再起動する必要があります。

A.1.1.1 LDAPサーバーの設定

認証方式としてADSIを使用するOracle Business Intelligenceのインスタンスについては、Active Directoryインスタンスを設定するときに、次のオプションを使用する必要があります。

- ログオン先ですべてのコンピュータを選択します。または一部のコンピュータを一覧表示する場合は、ログオン・ワークステーションとしてActive Directoryサーバーを含めます。

- 「ユーザーは次回ログオン時にパスワードの変更が必要」が選択されていないことを確認します。

管理ツールでは、LDAPサーバー・セクションでBIND DNに使用されるCNユーザーは、ldap_bindとldap_searchの両方の認可レベルが必要です。

注意:
BIサーバーは、LDAP認証にクリアテキストのパスワードを使用します。LDAPサーバーがこれを許可するように設定されていることを確認してください。

リポジトリのLDAP認証を設定するには:

1. オフライン・モードかオンライン・モードで、管理ツールでリポジトリを開きます。

2. Identity Managerで「アクション」を選択してから「新規作成」を選択し、「LDAPサーバー」を選択します。

3. 「LDAPサーバー」ダイアログの「一般」タブで、必要なフィールドに値を入力します。次に示すオプションと説明のリストに、LDAPサーバーを設定するのに役立つ情報が記載されています。

- 「名前」。この接続を識別するための名前(My LDAPなど)。

- 「ホスト名」。LDAPサーバーの名前。

- 「ポート番号」。デフォルトのLDAPポートは3060です。

- 「LDAPバージョン」。LDAP 2またはLDAP 3(バージョン)。デフォルトはLDAP 3です。

- 「ベースDN」。ベース識別名(DN)によって、認証検索の始点が識別されます。たとえば、ディレクトリのo=Oracle.comサブツリーの下にあるエントリをすべて検索する場合、o=Oracle.comがベースDNです。

- 「バインドDN」と「バインド・パスワード」。LDAPサーバーにバインドするために必要なオプションのDNおよびそれに関連付けられたユーザー・パスワード。
これらの2つのエントリが空白の場合、匿名バインドが想定されます。セキュリティ上の理由から、すべてのLDAPサーバーで匿名バインドが許可されるわけではありません。

これらのフィールドは、LDAP V3ではオプションですが、LDAP V2では匿名バインドはサポートされていないため、LDAP V2では必須です。

「ADSI」オプションを選択すると、これらのフィールドが必須になります。これらのフィールドを空白にしておくと、パスワードを空白にしておくかどうかを確認する警告メッセージが表示されます。「はい」をクリックすると、匿名バインドが使用されます。

- 「接続のテスト」。LDAPサーバーへの接続をテストしてパラメータを検証するには、このボタンを使用します。

4. 「詳細設定」タブをクリックし、必要な情報を入力します。BIサーバーは、認証キャッシュをメモリーに維持することで、多数のユーザーを認証するためにLDAPを使用する場合にパフォーマンスを向上します。認証キャッシュを無効にすると、数百件のセッションを認証する場合にパフォーマンスが低下することがあります。
次に示すフィールドと説明のリストに、LDAPサーバーを設定するのに役立つ追加情報が記載されています。

- 「接続タイムアウト」。BIサーバーがユーザー認証のためにLDAPサーバーに接続しようとしたときに、指定した間隔が経過した後に接続がタイムアウトします。

- 「ドメイン識別子」(オプション)。一般的に、識別子は、LDAPオブジェクトが担当するドメインを一意に識別する1語です。複数のLDAPオブジェクトを使用するときには、これは特に役に立ちます。異なる2人のユーザーが同じユーザーIDを持っていて、それぞれが異なるLDAPサーバーにいる場合、それらを区別するためにドメイン識別子を指定できます。ユーザーは、次のフォーマットを使用して、BIサーバーにログインします。
domain_id/user_name

ユーザーがドメイン識別子を使用せずにユーザー名を入力すると、利用できるすべてのLDAPサーバーに照らし合せて順に認証されます。同じ名前を持つユーザーが複数ある場合、1つのユーザーだけを認証できます。

- 「ADSI」。(Active Directoryサービス・インタフェース)ディレクトリ・サーバーの一種。「ADSI」オプションを選択するときは、「バインドDN」および「バインド・パスワード」は必須です。

- 「SSL」。SSLを有効にするには、このオプションを選択します。

- 「ユーザー名属性タイプ」。このパラメータは、ユーザーを一意に識別します。多くの場合、これはRDNで使用される属性です(相対識別名)。一般的に、デフォルト値を受け入れます。ほとんどのLDAPサーバーでは、ユーザーIDを使用します。ADSIでは、sAMAccountNameを使用します。

A.1.1.2 LDAP認証でのUSERセッション変数の定義

初期化ブロックを使用してLDAP認証を設定するには、USERというシステム・セッション変数を定義して、LDAPサーバーに関連付けられているLDAP初期化ブロックにそれを関連付けます。ユーザーがBIサーバーにログインすると、ユーザー名とパスワードが認証のためにLDAPサーバーに渡されます。ユーザーの認証に成功したら、LDAPサーバーによって返される情報からユーザーの他のセッション変数も入力できます。

注意:
レガシー方式を使用する外部LDAPサーバーと、Oracle Platform Security Servicesに基づいたLDAPベースのアイデンティティ・ストアの両方にユーザーが存在する場合は、アイデンティティ・ストアのユーザー定義が優先されます。Oracle Platform Security Servicesに対して認証が失敗すると、レガシーLDAP方式のみ試行されます。

この項の情報は、LDAP初期化ブロックが定義されているものと想定しています。

LDAPベースのアイデンティティ・ストアに定義されていないユーザーについては、定義されたシステム変数USERの存在によって外部認証が実行されることが決定されます。USERをLDAP初期化ブロックに関連付けることで、ユーザーがLDAPによって認証されることが決定されます。認証の他の形式を提供するには、外部データベースに関連付けられている初期化ブロックにUSER変数を関連付けます。

LDAP認証用のUSERセッション変数を定義するには:

1. オフライン・モードかオンライン・モードで、管理ツールでリポジトリを開きます。

2. 管理ツールのメニューで「管理」を選択してから「変数」を選択します。

3. 左ペインのツリーで「セッション」→「初期化ブロック」を選択します。

4. 右ペインで右クリックし、「新規初期化ブロック」を選択します。

5. 「セッション変数 - 初期化」ダイアログ・ボックスの「名前」フィールドにAuthenticationと入力します。

6. 「データ・ソースの編集」をクリックします。

7. 「データ・ソース・タイプ」ドロップダウン・リストから「LDAPサーバー」を選択します。

8. リストを参照して適切なLDAPサーバーを選択します。

9. 「OK」をクリックします。

10. 「データ・ターゲットの編集」をクリックします。

11. 「新規」をクリックします。

12. 「名前」フィールドにUSERと入力します。

13. 「OK」をクリックします。

14. USERセッション変数の特別目的についての警告が表示されたら、「はい」をクリックします。

15. ユーザーIDを保持するLDAP属性を「マップ済変数」フィールドに入力します。

16. 「OK」をクリックします。

17. 「認証のために必要」チェック・ボックスを選択します。

18. 「OK」をクリックします。

A.1.1.3 ロギング・レベルの設定

LDAPサーバーによって認証されるユーザーのロギング・レベルを設定するには、システム変数LOGLEVELを使用します。

A.1.2 外部表認証の設定

外部データベース表にユーザーとパスワードのリストを維持し、この表を認証目的に使用することができます。外部データベース表は、ユーザー名とパスワードを含み、Oracle BIプレゼンテーション・サービスユーザーに使用するグループ・メンバーシップや表示名など、他の情報を含めることができます。また、表には、データを問い合せるときに各ユーザーのために使用する特定のデータベース・カタログまたはスキーマの名前を含めることもできます。

注意:
ユーザーが複数のグループに属している場合、セミコロンで区切ってグループ名を同じ列に含める必要があります。これは、グループまたはロールに対して行単位の変数を使用しない場合のみ適用されます。

外部表の認証は、管理ツールで変数マネージャを使用して定義するセッション変数を使用します。変数マネージャの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

ユーザーがログオンしてセッションを開始するときに、セッション変数に値が入力されます。システム変数と呼ばれる特定のセッション変数には、特別の用途があります。変数USERは、外部表の認証とともに使用されるシステム変数です。

外部表の認証を設定するには、USERというシステム変数を定義して、外部データベース表に関連付けられている初期化ブロックに関連付けます。ユーザーがログインすると、ユーザーIDとパスワードは、認証のためにこのデータベース表に問い合せるSQLを使用して認証されます。初期化ブロックは、データベースに接続するために物理レイヤーでデータベース接続を使用します。物理レイヤーの接続には、ログイン情報が含まれています。ユーザーの認証に成功したら、このSQL問合せの結果からユーザーの他のセッション変数を入力できます。

定義されたシステム変数USERの存在によって、外部認証が実行されることが決定されます。外部データベース表の初期化ブロックにUSERを関連付けることによって、この表の情報を使用してユーザーが認証されることが決定されます。認証の他の形式を提供するには、LDAPサーバーまたはXMLソースに関連付けられている初期化ブロックに、USERシステム変数を関連付けます。詳細は、「初期化ブロックの使用によるLDAP認証の設定」を参照してください。

外部表の認証を設定するには:

1. 外部表に関する情報を物理レイヤーにインポートします。

2. 管理ツールで「管理」を選択してから「変数」を選択し、変数マネージャを起動します。

3. 左ペインで「初期化ブロック」を選択します。

4. 右ペインで右クリックし、「新規初期化ブロック」を選択します。

5. 「初期化ブロック」ダイアログ・ボックスでは、初期化ブロックの名前を入力します。

6. 「データ・ソース接続」リストで「データベース」を選択します。

7. 「参照」をクリックして、このブロックが使用する接続プールの名前を検索します。

8. 「初期化文字列」領域で、認証時に発行されるSQL文を入力します。
SQL文の列のデータベースによって返される値は、変数に割り当てられます。変数の順序および列の順序によって、どの列がどの変数に割り当てられるかが決定されます。次の例に示すSQLについて検討します。

SELECT username, grp_name, SalesRep, 2 FROM securitylogons WHERE username = ':USER' and pwd = ':PASSWORD'

このSQLには、WHERE句に2つの絞込み条件が含まれています。

- :USER(コロンに注意)は、ログオン時にユーザーが入力した名前と同じです。

- :PASSWORD(コロンに注意)は、ユーザーが入力したパスワードと同じです。

ユーザー名とパスワードが、指定された表で見つかった値に一致する場合のみ、問合せによってデータが返されます。

BIサーバー外でSQL文をテストし、:USERおよび:PASSWORDに有効な値を代入して、データの行が返されることを確認する必要があります。

9. この問合せによってデータが返されると、ユーザーは認証されて、セッション変数にデータが入力されます。この問合せは4つの列を返すため、4つのセッション変数が入力されます。「変数」タブの「新規」をクリックして、これらの変数(USER、GROUP、DISPLAYNAME、およびLOGLEVEL)を作成します。
変数が目的の順序になっていない場合は、並べ替える変数をクリックし、「上へ」ボタンと「下へ」ボタンを使用して移動します。

10. 「OK」をクリックして初期化ブロックを保存します。

A.1.3 Oracle BIデリバーおよび外部初期化ブロックの認証について

Oracle BIスケジューラServerは、パスワードにアクセスしたりパスワードを格納しないで、ユーザーのためにデリバー・ジョブを実行します。Oracle BIスケジューラは、偽装と呼ばれるプロセスを使用して、1つのユーザー名とパスワードを使用し、このユーザー名とパスワードには、他のユーザーの代理で操作できるOracle Business Intelligenceの管理権限が付与されています。Oracle BIスケジューラは、Oracle Business Intelligenceの管理者名とパスワードを使用してOracle BIプレゼンテーション・サービスにログオンすることによって、エージェントを起動します。

デリバーを機能させるには、すべてのデータベース認証を1つの接続プールで実行する必要があり、その接続プールは、USERシステム・セッション変数の初期化ブロックで選択できます。一般的に、これを認証初期化ブロックと呼びます。偽装を使用するときは、この初期化ブロックはスキップされます。他のすべての初期化ブロックは、データベース認証を使用しない接続プールを使用する必要があります。

注意:
認証初期化ブロックは、:USERと:PASSWORDが物理データベースに渡される接続プールの使用を受け入れられる唯一の初期化ブロックです。

他の初期化ブロックについては、SQL文に:USERと:PASSWORDを使用できます。しかし、Oracle BIスケジューラ・サーバーはユーザー・パスワードを格納しないため、次の例に示すように、WHERE句を構築する必要があります。

SELECT username, groupname, dbname, schemaname FROM users
WHERE username=':USER'
NQS_PASSWORD_CLAUSE(and pwd=':PASSWORD')NQS_PASSWORD_CLAUSE

偽装を使用する場合、括弧内の情報はすべて実行時にSQL文から抽出されます。

詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』に記述されているOracle BIデリバーの例を参照してください。

A.1.4 認証の順序

BIサーバーは、初期化ブロックに定義されている依存関係ルールで指定された希望する順序で、初期化ブロックを使用してセッション変数に値を入力します。サーバーがセッション変数USERを見つけた場合、USER変数が関連付けられている初期化ブロックの構成に基づいて、LDAPサーバーまたは外部データベース表に照らし合せて認証を実行します。

Oracle WebLogic Server管理コンソールで構成されたアイデンティティ・ストアに対する認証が最初に行われ、それが失敗したら、初期化ブロック認証が行われます。

A.1.5 カスタム認証システム・プラグインを使用する認証

初期化ブロックを使用して、カスタマイズされた認証モジュールを作成できます。認証システムは、顧客または開発者が記述したダイナミック・リンク・ライブラリ(DLL)、またはUNIXの共有オブジェクトであり、Oracle BI認証システムのAPI仕様に準拠しており、BIサーバーによって使用して、実行時に認証および他のタスクを実行できます。動的にロード可能な認証モジュールは、キャッシュ・レイヤーを持つBIサーバー・モジュールであり、実行時に認証および関連するタスクを実行するために認証システムを使用します。

Oracle Technology Network (OTN)からダウンロードできるBI EEサンプル・アプリケーションにサンプルのカスタム認証コードがあります。

認証オブジェクト(認証システム・プラグイン)を作成し、認証モジュールの1組のパラメータを指定した後(設定ファイル・パス、キャッシュ・エントリの数、キャッシュの有効期限など)、認証オブジェクトを初期化ブロックに関連付ける必要があります。USER変数(必須)および他の変数を初期化ブロックに関連付けることができます。

ユーザーがログインすると、認証に成功したら初期化ブロックで指定したように変数のリストに値が入力されます。

カスタム認証は、カスタムC認証システム・プラグインを示すリポジトリのオブジェクトです。このオブジェクトは認証初期化ブロックとともに使用され、BIサーバー・コンポーネントがカスタム認証システムに照らし合せてユーザーを認証できるようにします。認証で推奨される方式はOracle WebLogic Serverの組込みLDAPサーバーを使用する方式です。しかし、カスタム認証システムを使用し続けることもできます。

カスタム認証システムを追加するには:

1. 管理ツールで「管理」を選択してから「アイデンティティ」を選択します。ナビゲーション・ツリーで「カスタム認証システム」を選択します。次のオプションから選択します。

- 新しいカスタム認証システムを作成するには: 右ペインで右クリックし、「新規カスタム認証システム」を選択します。

- カスタム認証システムを編集する場合: 名前をダブルクリックします。

2. 「カスタム認証システム」ダイアログで、必要なフィールドに値を入力します。

- 認証システム・プラグイン: このカスタム認証システムのプラグインDLLのパスと名前。

- 構成パラメータ: 構成のために明示的に公開されたこのカスタム認証システムのパラメータ。

- 暗号化パラメータ: パスワードなど、暗号化されたこのカスタム認証システムのパラメータ。

- キャッシュ永続時間: ログオンしたユーザーの認証キャッシュ・エントリが、このカスタム認証システムに対してリフレッシュされる間隔。

- キャッシュ・エントリ数: このカスタム認証システムの認証キャッシュの最大エントリ数(Oracle BIサーバーの起動時に事前割当てされます)。ユーザー数がこの制限を超えると、キャッシュ・エントリはLRUアルゴリズムを使用して置換されます。この値が0の場合は、認証キャッシュは無効になります。

3. 「OK」をクリックします。

A.1.6 セッション変数の管理

システム・セッション変数は、初期化ブロックから値を取得し、LDAPサーバーやデータベース表など、外部ソースに照らし合せてOracle Business Intelligenceユーザーを認証するために使用されます。アクティブなBIサーバーのセッションはすべて、セッション変数を生成し、初期化します。各セッション変数インスタンスは、異なる値へと初期化できます。セッション変数および初期化ブロックがOracle Business Intelligenceによってどのように使用されるかの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

A.1.7 サーバー・セッションの管理

管理ツール・セッション・マネージャは、アクティビティを監視するためにオンライン・モードで使用されます。セッション・マネージャには、セッションにログインしているすべてのユーザー、各ユーザーのすべての現在の問合せリクエスト、および変数および選択されたセッションに対するそれらの値が示されます。さらに、管理ユーザーは任意のユーザーを切断し、セッション・マネージャを使って任意の問合せリクエストを終了できます。

セッション・マネージャのデータがどれくらい頻繁にリフレッシュされるかは、システム上のアクティビティの数によって変わります。任意の時点で表示をリフレッシュするには、「リフレッシュ」をクリックします。

A.1.7.1 セッション・マネージャの使用

セッション・マネージャには、上部ペインと下部ペインがあります。

- 上部ペインである「セッション」ペインには、BIサーバーに現在ログインしているユーザーが表示されます。更新速度を制御するには、「更新速度」リストから「標準」、「高」、または「低」を選択します。表示がリフレッシュされないようにするには、「一時停止」を選択します。

- 下部ペインには、2つのタブがあります。

- 「リクエスト」タブには、「セッション」ペインで選択したユーザーのアクティブな問合せリクエストが表示されます。

- 「変数」タブには、変数、および選択したセッションに対するそれらの値が表示されます。列ヘッダーをクリックすると、データをソートできます。

表A-1および表A-2に、「セッション・マネージャ」ダイアログの列を示しています。

表A-1 「セッション・マネージャ」ダイアログのフィールド

列名

説明

クライアント・タイプ

サーバーに接続されているクライアントのタイプ。

最終アクティブ時刻

セッションの最後のアクティビティのタイムスタンプ。

ログオン時間

セッションがBIサーバーに最初に接続した時刻を示すタイムスタンプ。

リポジトリ

セッションが接続されているリポジトリの論理名。

セッションID

セッションが開始されたときに、BIサーバーが各セッションを割り当てる一意の内部識別子。

ユーザー

接続されているユーザーの名前。

表A-2 「セッション・マネージャ」ダイアログにある「リクエスト」タブの一部のフィールド

列名

説明

最終アクティブ時刻

問合せに対する最後のアクティビティのタイムスタンプ。

リクエストID

問合せが開始されたときに、BIサーバーが各問合せを割り当てる一意の内部識別子。

セッションID

セッションが開始されたときに、BIサーバーが各セッションを割り当てる一意の内部識別子。

開始時間

個々の問合せリクエストの時間。

セッションの変数を表示するには:

1. 管理ツールで、オンライン・モードでリポジトリを開き、「管理」を選択してから「セッション」を選択します。

2. セッションを選択し、「変数」タブをクリックします。
変数の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

3. ビューをリフレッシュするには、「リフレッシュ」をクリックします。

4. セッション・マネージャを閉じるには、「閉じる」をクリックします。

セッションからユーザーを切断するには:

1. 管理ツールで、オンライン・モードでリポジトリを開き、「管理」を選択してから「セッション」を選択します。

2. セッション・マネージャの上部ペインでユーザーを選択します。

3. 「切断」をクリックします。
ユーザー・セッションは、セッションが管理ユーザーによって終了されたことを示すメッセージを受け取ります。現在実行されている問合せはただちに終了され、基礎となるデータベースへの未処理の問合せも取り消されます。

4. セッション・マネージャを閉じるには、「閉じる」をクリックします。

アクティブな問合せを終了するには:

1. 管理ツールで、オンライン・モードでリポジトリを開き、「管理」を選択してから「セッション」を選択します。

2. セッション・マネージャの上部ペインで、問合せを開始したユーザー・セッションを選択します。
ユーザーを強調表示すると、そのユーザーのアクティブな問合せリクエストが下部ペインに表示されます。

3. 終了するリクエストを選択します。

4. 「リクエストの強制終了」をクリックして選択したリクエストを終了します。
ユーザーは、問合せが管理ユーザーによって終了されたことを示すメッセージを受け取ります。問合せはただちに終了し、基礎となるデータベースへの未処理の問合せは取り消されます。

他のリクエストを終了するには、このプロセスを繰り返します。

5. セッション・マネージャを閉じるには、「閉じる」をクリックします。

A.2 代替認可オプション

このリリースでは、下位互換性を維持するために、カタログ・グループを使用してカタログ・オブジェクト権限を管理する機能、および認証が初期化ブロックでも行われる場合に初期化ブロックを使用してユーザーにアプリケーション・ロールのメンバーシップを設定する機能がサポートされています。

注意:
認証がOracle Platform Security Servicesで行われる場合、初期化ブロックを使用してアプリケーション・ロールのメンバーシップを設定することはできません。

この項には次のトピックが含まれます:

- 第A.2.1項「プレゼンテーション・サービスのセキュリティに影響する変更」

- 第A.2.2項「カタログ・グループを使用するカタログ権限の管理」

- 第A.2.3項「初期化ブロックの使用による認可の設定」

A.2.1 プレゼンテーション・サービスのセキュリティに影響する変更

以前のリリースからアップグレードした場合のベスト・プラクティスは、ポリシー・ストアに維持されているアプリケーション・ロールを使用して、カタログの権限およびカタログ・オブジェクトの管理を開始することです。

Oracle Business Intelligenceは、Oracle Fusion Middlewareセキュリティ・モデルを使用し、そのリソースはロールベースのシステムによって保護されます。次のセキュリティ・モデルの変更は、Oracle BIプレゼンテーション・カタログの権限に影響するため、これはユーザーのアップグレードにおいて重要です。

- 現在、認可はファイングレインJAAS権限に基づいています。ユーザーは、対応するアプリケーション・ロールのメンバーシップによって権限が付与されます。

- ユーザーとグループはアイデンティティ・ストアに維持され、BIサーバーには維持されなくなります。以前のリリースとは違い、BIサーバー・グループのメンバーは、同じ名前を持つカタログ・グループのメンバーに自動的にはなりません。

- 権限はOracle BIプレゼンテーション・カタログに格納され続け、ポリシー・ストアの管理に使用する管理インタフェースからはアクセスできません。

- Everyoneカタログ・グループは利用できなくなり、AuthenticatedUserアプリケーション・ロールに置き換えられました。カタログ・グループEveryoneのメンバーは、アップグレード後に自動的にAuthenticatedUserロールのメンバーになります。

- カタログ・グループは、パスワード保護されなくなります。アップグレード時に移行されたすべてのカタログ・グループは、パスワードがなくなります。

A.2.2 カタログ・グループを使用するカタログ権限の管理

既存のカタログ・グループはアップグレード時に移行され、使用できるようになります。新しいカタログ・グループの作成を続けることができます。カタログ・グループを作成、編集、または削除する方法の詳細は、第D.2.2項のカタログ・グループの使用に関する項を参照してください。

カタログ・グループに他のカタログ・グループ、ユーザーまたはアプリケーション・ロールを割り当てることにより、これらの権限を付与できます。

注意:
アプリケーション・ロールのメンバーになるためにカタログ・グループを割り当てると、複雑なグループ継承とメンテナンス状況が生じるため、ベスト・プラクティスとは考えられません。

カタログ・グループを使用して権限を付与するには:

1. プレゼンテーション・サービスの「ホーム」ページで「管理」を選択します。

2. 「権限の管理」リンクをクリックして「権限の管理」ページを表示します。

3. 「権限の管理」ページで権限のリンクをクリックします。

4. カタログ・グループに権限を割り当てるには:

- 「ユーザー/ロールの追加」をクリックします。

- リストで「カタログ・グループ」を選択して「検索」をクリックします。

- 結果リストでカタログ・グループを選択します。

- シャトル・コントロールを使用して、カタログ・グループを「選択済メンバー」に移動します。

5. 「OK」をクリックします。

6. 「権限」ダイアログで「権限付与」または「拒否」を選択して、カタログ・グループの権限を設定します。
プレゼンテーション・サービスの権限を明示的に拒否することは、グループまたはアプリケーション・ロール階層の結果として付与または継承されたユーザー・アクセス権より優先されます。

7. 「OK」をクリックします。

8. 必要に応じて権限が付与または拒否されるまで、ステップ3から7を繰り返します。

A.2.3 初期化ブロックの使用による認可の設定

初期化ブロックを使用してユーザーにアプリケーション・ロールのメンバーシップを設定する場合、次の条件が適用されます。

- ROLESまたはGROUPセッション変数を設定する初期化ブロックは、WebLogicセキュリティ・レルムで構成された認証プロバイダによる認証にユーザーが失敗した場合のみ機能します。かわりにユーザーは、初期化ブロックで認証を行います。

- 初期化ブロックは、ROLESまたはGROUPのいずれかの値を設定するように設定する必要があります。BIサーバーによって両方の変数の値は同じになります。

- 初期化ブロックを使用してROLESまたはGROUPセッション変数を設定する場合は、Fusion Middleware Controlを使用して構成した1つ以上のアプリケーション・ロール(BIConsumerなど)に名前で一致するように、その変数の値を設定する必要があります。認証時、これらのアプリケーション・ロールと、そのロールに関連付けられている権限がユーザーに割り当てられます。

- アプリケーション・ロールと、新規アプリケーション・ロールの追加方法の詳細は、第2.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理」を参照してください。

- 初期化ブロックを使用してROLESまたはGROUPセッション変数を設定する場合、前述のロジックを使用して、グループをアプリケーション・ロールに割り当てる処理が実行されます。この場合、グループをポリシー・ストアのアプリケーション・ロールに割り当てる処理は使用されません。

- アプリケーション・ロールに一致しないROLESまたはGROUP変数の値は、Oracle BIプレゼンテーション・カタログの利用可能なカタログ・グループに対して名前で照合されます。これらのカタログ・グループと、そのグループに関連付けられている権限がユーザーに割り当てられます。

- アプリケーション・ロールやカタログ・グループに一致しないROLESまたはGROUPの値は無視されます。

データベース認可用にROLESセッション変数を定義するには:

1. オフライン・モードかオンライン・モードで、管理ツールでリポジトリを開きます。

2. 管理ツールのメニューで「管理」を選択してから「変数」を選択します。

3. 左ペインのツリーで「セッション」→「初期化ブロック」を選択します。

4. 右ペインで右クリックし、「新規初期化ブロック」を選択します。

5. 「セッション変数 - 初期化」ダイアログ・ボックスの「名前」フィールドにAuthorizationと入力します。

6. 「データ・ソースの編集」をクリックします。

7. 「データ・ソース・タイプ」ドロップダウン・リストで「データベース」を選択します。

8. SQLを入力します。
グループのリストまたは単一のグループ(行単位の初期化が使用されない場合)を返す任意のSQLを入力できます。

詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

9. 「参照」をクリックして、接続プールを選択します。

10. 「選択」をクリックします。

11. 「OK」をクリックします。

12. 「OK」をクリックします。

13. 「データ・ターゲットの編集」をクリックします。

14. 「新規」をクリックします。

15. 「名前」フィールドにROLESと入力します。

16. 「OK」をクリックします。

17. ROLESセッション変数の特別目的についての警告が表示されたら、「はい」をクリックします。

18. 「OK」をクリックします。

19. 「認証のために必要」チェック・ボックスを選択解除します。

20. 「OK」をクリックします。

B デフォルト・セキュリティ構成の理解

システム・リソースへのアクセスを制御することは、ユーザーにログイン時に認証を求め(認証)、許可されたリソースだけにユーザーを制限することによって達成されます(認可)。セキュリティ・プロバイダを構成して、ユーザー・アイデンティティ、資格証明および権限付与を管理します。

この章には次の項が含まれます:

- Oracle Business Intelligenceのセキュリティについて

- セキュリティ・フレームワークについて

- セキュリティの重要な要素

- サンプル・アプリケーションを使用したセキュリティ構成

- グループおよびアプリケーション・ロールを使用したユーザーへの権限の付与

- インストール後の共通セキュリティ・タスク

注意:
特に記載のないかぎり、この章で説明する権限は、Oracle Business Intelligence Presentation Servicesの権限など、ポリシー・ストア・プロバイダで保持される権限のことを指します。カタログの権限は、Oracle BI Presentation Catalogで保持されているため別個のものです。Presentation Servicesの権限の詳細は、第D.2.3項「Presentation Servicesの権限の管理」を参照してください。

B.1 Oracle Business Intelligenceのセキュリティについて

Oracle Business Intelligenceのセキュリティは、大きく2つの領域に分類できます。

- システム・アクセス・セキュリティ: Oracle Business Intelligenceを構成するコンポーネントと機能へのアクセスの制御。

- データ・アクセス・セキュリティ: Oracle Business Intelligenceで使用するビジネス・ソース・データおよびメタデータへのアクセスの制御。

システム・アクセス・セキュリティについては、このガイドで説明します。トピックには、システムへのアクセスを許可されたユーザーに制限し、権限付与に基づいてソフトウェア・リソースを制御して、コンポーネント間で安全に通信する方法が含まれます。

データ・アクセス・セキュリティについては、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

B.2 セキュリティ・フレームワークについて

Oracle Fusion Middlewareセキュリティ・モデルは、Javaセキュリティ・モデルを組み込んだ、Oracle Fusion Middlewareプラットフォームに基づいています。Javaモデルは、ロールベースの宣言モデルで、コンテナ管理のセキュリティを採用しているため、リソースは、ユーザーに割り当てられているロールによって保護されます。しかし、Oracle Fusion Middlewareセキュリティ・モデルを使用するときは、Javaベースのアーキテクチャに関する高度な知識は不要です。このセキュリティ・モデルに基づいているため、Oracle Business Intelligenceは、企業全体で均一なセキュリティとアイデンティティ管理を提供できます。

Oracle Business Intelligenceは、インストール時にOracle WebLogic Serverドメインにインストールされます。これは、単位として管理されるリソースの論理的に関連したグループです。インストール中にbiという名前のOracle WebLogic Serverドメインが作成され、このドメインにOracle Business Intelligenceがインストールされます。この名前は、実行するインストール・タイプによって変わる可能性があります。各ドメインのOracle WebLogic Serverの1つのインスタンスは、管理サーバーとして構成されます。管理サーバーは、Oracle WebLogic Serverドメインを管理する中心点となります。管理サーバーは、管理コンソールをホストします。これは、管理サーバーへのネットワーク・アクセス権を持つ、サポートされているWebブラウザからアクセスできるWebアプリケーションです。Oracle Business Intelligenceでは、それがインストールされているOracle WebLogic Serverドメインに構成されているアクティブなセキュリティ・レルムを使用します。詳細は、第B.2.2項「Oracle WebLogic Serverドメイン」を参照してください。

Oracle Fusion Middlewareプラットフォームおよび一般的なセキュリティ・フレームワークの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。Oracle WebLogic Serverドメインおよびセキュリティ・レルムの管理の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverのセキュリティの理解』および『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

B.2.1 Oracle Platform Security Services

Oracle Platform Security Services (OPSS)は、Oracle Fusion Middlewareセキュリティ・フレームワークが構築されている基礎となるプラットフォームです。Oracle Platform Security Servicesは規格ベースであり、ロールベースのアクセス制御(RBAC)、Java Enterprise Edition (Java EE)およびJava Authorization and Authentication Service (JAAS)に準拠しています。Oracle Platform Security Servicesを使用すると、共有セキュリティ・フレームワークによって、会社全体でセキュリティとIDを均一に管理できます。

Oracle Platform Security Servicesの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

注意:
今後のドキュメントで、Oracle Platform Security Services (OPSS)の記述はOracle Entitlements Server Basic (OES Basic)の記述に置き換えられます。これはお客様側の動作への視覚的な変更を伴うものではありません。

B.2.2 Oracle WebLogic Serverドメイン

Oracle WebLogic Server管理 ドメイン は、論理的に関連付けられたJavaコンポーネントのグループです。ドメインには、管理サーバーと呼ばれる特別なWebLogic Serverインスタンスが含まれます。これは、ドメイン内のすべてのリソースを構成、管理する中心ポイントです。通常、ドメインは、管理対象サーバーという追加のWebLogic Serverインスタンスを含めるように構成します。Webアプリケーション、EJB、Webサービスおよびその他のリソースなどのJavaコンポーネントは管理対象サーバーにデプロイし、管理サーバーは構成と管理を行う目的でのみ使用します。

Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlは、管理サーバーで動作します。Oracle WebLogic Server管理コンソールは、Webベースの管理コンソールで、管理サーバー管理対象サーバーなど、Oracle WebLogic Serverドメインでのリソースの管理に使用します。Fusion Middleware Controlは、Oracle Business Intelligenceを構成するコンポーネントを含む、Oracle Fusion Middlewareの管理に使用するWebベースの管理コンソールです。Oracle Business Intelligenceの個々のコンポーネントの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』を参照してください。

Oracle Business Intelligence認証はOracle WebLogic Server認証プロバイダによって処理されます。認証プロバイダは、次の機能を実行します。

- ユーザーとシステム・プロセスのアイデンティティを確立します。

- アイデンティティ情報を送信します。

インストール時に、Oracle Business Intelligenceは、ユーザーとグループのためのデフォルトの認証プロバイダおよびリポジトリとして、Oracle WebLogic Serverに組み込まれたディレクトリ・サーバーを使用するように構成されます。必要に応じて代替認証プロバイダを使用し、Oracle WebLogic Server管理コンソールで管理できます。詳細は、「システム要件と動作要件」を参照してください。

B.3 主なセキュリティ要素

Oracle Fusion Middlewareセキュリティ・プラットフォームは、次の主な要素に応じて、会社全体でセキュリティとIDの均一な管理を提供します。Oracle Fusion Middlewareセキュリティ・プラットフォームの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

Oracle Business Intelligenceは、これらのセキュリティ・プラットフォーム要素を次のように使用します。

アプリケーション・ポリシー

アプリケーション・ポリシーの詳細は、第1.9項「用語」を参照してください。

アプリケーション・ストライプは、ポリシー・ストアにポリシーのサブセットを定義します。Oracle Business Intelligenceアプリケーション・ストライプは、obiという名前です。

アプリケーション・ロール

アプリケーション・ロールの詳細は、第1.4.1項「アプリケーション・ロールについて」を参照してください。たとえば、セールス・アナリストというアプリケーション・ロールを持っていると、会社のセールス・パイプラインに関連するレポートを表示、編集および作成するアクセス権をユーザーに付与できます。また、アプリケーション・ロールはコンテナでもあり、コンテナのメンバーに対して権限およびアクセス権を付与するために使用されます。メンバーがアプリケーション・ロールに割り当てられていると、そのアプリケーション・ロールがコンテナとなって、コンテナのメンバーにアクセス権を伝達するために使用されます。例:

- Oracle Business Intelligence権限
これらの権限付与は、アプリケーション・ポリシーで定義されます。アプリケーション・ロールがポリシーに割り当てられると、その権限は、ポリシーとロールの関係を通じてアプリケーション・ロールに関連付けられます。ユーザーのグループがそのアプリケーション・ロールに割り当てられている場合は、対応する権限が順にすべてのメンバーに等しく付与されます。複数のユーザーやグループが同じアプリケーション・ロールのメンバーになることがあります。

- データ・アクセス権
アプリケーション・ロールは、リポジトリ・ファイル内のデータを表示および変更するアクセス権を制御するために使用できます。データ・フィルタは、ビジネス・モデルおよびマッピング・レイヤーとプレゼンテーション・レイヤーのオブジェクト・レベル権限を制御するために、アプリケーション・ロールに適用できます。アプリケーション・ロールの使用によるデータ・アクセス・セキュリティの適用およびリポジトリ・オブジェクトの制御の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

- プレゼンテーション・サービスのオブジェクトレベルのアクセス
アプリケーション・ロールは、Oracle BIプレゼンテーション・サービスにおけるレポートなどのオブジェクトへのアクセス権を付与するために使用できます。プレゼンテーション・サービスのアクセスを制御するためのアプリケーション・ロールの使用の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』を参照してください。

認証プロバイダ

認証プロバイダの詳細は、第1.3項「認証について」を参照してください。

B.4 サンプル・アプリケーションを使用したセキュリティ構成

開発またはテスト環境で操作する場合、デフォルトのディレクトリ・サーバーおよびサンプル・アプリケーションの使用時に用意されるセキュリティ構成を使用すると便利です。ビジネスに固有のユーザー定義および資格証明を追加し、既存のアプリケーション・ロールおよび権限の付与をカスタマイズして要件を満たします。認証、ポリシー、および資格証明プロバイダが完全に構成され、ビジネスに特有のデータを入力した後に、認証と認可のときにOracle Business Intelligenceコンポーネントに必要なすべてのユーザー、ポリシー、および資格証明情報が提供されます。

組込みディレクトリ・サーバーおよびサンプル・アプリケーションにおけるBIセキュリティでは、システムおよびデータ・リソースへの安全で制御されたアクセスを確保するために統合されている3つのセキュリティ・プロバイダがあります。次の手順に従って、インストール中にこれらのセキュリティ・プロバイダが構成されます。

- 第B.4.1項「デフォルトの認証プロバイダ」
認証プロバイダはDefaultAuthenticatorです。これは、Oracle WebLogic Serverの組込みディレクトリ・サーバー(アイデンティティ・ストア)に照合して認証されます。デフォルトのアイデンティティ・ストアは、Oracle WebLogic Server管理コンソールを使用して管理されます。

- 第B.4.2項「ポリシー・ストア・プロバイダ」
ポリシー・ストア・プロバイダは、初期BI構成中に指定されたデータベースです。これには、アプリケーション・ロール定義、対応するOracle Business Intelligence権限付与、およびグループとアプリケーション・ロールの間のマッピング定義が含まれています。アプリケーション・ロールにグループを割り当てると、対応する権限がグループのメンバーに伝達されます。デフォルトのポリシー・ストア・プロバイダは、Oracle Enterprise Manager Fusion Middleware Controlを使用して管理されます。

- 資格証明ストア・プロバイダ
資格証明ストア・プロバイダは、初期BI構成中に指定されたデータベースです。これには、提供またはシステム生成されたパスワードおよび他のセキュリティ関連の資格証明が含まれています。デフォルトの資格証明ストアはFusion Middleware Controlを使用して管理されます。

表B-1に、セキュリティ・プロバイダおよびインストール後の初期状態を要約しています。

表B-1 デフォルトのセキュリティ・プロバイダ

セキュリティ・プロバイダ・タイプ

目的

デフォルトのプロバイダ

オプション

認証プロバイダ

認証の制御に使用。

- DefaultAuthenticatior。Oracle WebLogic Serverに組み込まれたディレクトリ・サーバー(アイデンティティ・ストア)に格納されているユーザーとグループに照らし合せて認証します。

- Oracle WebLogic Serverに組み込まれたディレクトリ・サーバーは、Oracle WebLogic Server管理コンソールで管理されます。

Oracle Business Intelligenceは、異なる認証プロバイダとディレクトリ・サーバーを使用するように再構成できます。詳細は、「システム要件と動作要件」を参照してください。

ポリシー・ストア・プロバイダ

- 認可の制御に使用。

- アプリケーション・ロール、アプリケーション・ポリシー、およびアプリケーション・ロールに割り当てられたメンバーの定義を含みます。

- データベース・スキーマに格納されます。

- Fusion Middleware Controlで管理。

Oracle Business Intelligenceは、Oracle Internet Directoryを使用するように構成できます。

資格証明ストア・プロバイダ

システム・パスワードおよび他のセキュリティ関連の資格証明を保持する信頼できるストア。ここで保存されたデータは、外部システムへの接続、リポジトリのオープン、またはSSLに使用されます。

- データベースに格納されます。

- Fusion Middleware Controlで管理。

Oracle Business Intelligenceは、Oracle Internet Directoryを使用するように構成できます。

図B-1は、Oracle Business Intelligenceと認証およびポリシー・ストアのプロバイダの関係を示しています。

図B-1 デフォルトのセキュリティ・プロバイダとの関係

B.4.1 デフォルトの認証プロバイダ

認証プロバイダは、ユーザーとグループの情報にアクセスし、ユーザーの認証を担当します。アイデンティティ・ストアには、Oracle Business Intelligenceのユーザー名、パスワード、およびグループ・メンバーシップ情報が含まれています。デフォルト・セキュリティ構成はDefaultAuthenticatorという名前の認証プロバイダを使用して、Oracle WebLogic Serverに組み込まれたディレクトリ・サーバーに照らし合せて認証します。

ユーザー名とパスワードを組み合せてユーザーがシステムにログインすると、Oracle WebLogic Serverは、提供された組み合せに基づいてIDを検証します。このプロセス中に、Javaプリンシパルが、認証を受けているユーザーまたはグループに割り当てられます。プリンシパルは1つ以上のユーザーまたはグループから構成でき、サブジェクトに格納されます。サブジェクトは、ID情報をグループ化し保持するために使用するJAAS要素です。

認証に成功すると、各プリンシパルは署名され、サブジェクトに格納されます。プログラム・コールがサブジェクトに格納されているプリンシパルにアクセスすると、デフォルトの認証プロバイダは、署名後にプリンシパルが変更されていないこと、およびプリンシパルがコールを発しているプログラムに返されることを検証します。たとえば、Oracle WebLogic Serverのデフォルト認証では、サブジェクトには、ユーザーのプリンシパル(WLSUserPrincipal)、およびユーザーがメンバーとして属しているグループのプリンシパル(WLSGroupsPrincipals)が含まれています。インストールのデフォルト以外の認証プロバイダが構成されている場合は、ID情報の格納方法が異なる場合があるため、そのプロバイダのドキュメントを確認してください。

B.4.1.1 グループとメンバー

グループとは、論理的に順序付けられたユーザーの集合のことです。同様のシステム・リソースへのアクセス・ニーズを持つグループのユーザーを作ることで、セキュリティ管理が容易になります。グループを管理することは、多数のユーザーを個々に管理するより効率的です。グループは次に、権利を付与するためにアプリケーション・ロールに割り当てられます。Oracleは、メンテナンスを容易に行うために、ユーザーをグループへとまとめることをお薦めします。

デフォルトのグループがBIのインストール中に作成されます。

B.4.1.2 デフォルトのユーザーとパスワード

BIデプロイメントを構成すると、Weblogicドメインが作成され、構成手順の一部として指定される単一のユーザーが入力されます。

- このユーザー名は構成を実行する人が入力し、任意の名前を指定できます。

- インストール時に入力されたパスワードは、アイデンティティ・ストア・プロバイダの管理インタフェースを使用して後で変更できます。

- BIサービス・インスタンスの構成中に、Weblogicドメイン管理者が自動的にサービス・インスタンスの所有者になり、管理権限を付与するアプリケーション・ロールのメンバー(たとえば、BIServiceAdministratorまたはBIAdministrator)になります

B.4.2 ポリシー・ストア・プロバイダ

ポリシー・ストア・プロバイダはOracle Business Intelligenceアプリケーション固有のポリシー、アプリケーション・ロール、権限付与、およびメンバーシップのマッピングが含まれています。ポリシー・ストアは、データベース・ベースでもLDAPベースでもかまいませんが、デフォルトのインストールではデータベース・ベースのポリシー・ストアが提供されます。

カタログの権限は、ポリシー・ストア・プロバイダには保持されません。

B.4.2.1 Oracle Business Intelligence権限

すべてのOracle Business Intelligence権限および権限セットが提供されます。追加の権限および権限セットは作成できません。サンプル・アプリケーションに基づいてサービス・インスタンスの構成を選択した場合、Oracle Business Intelligenceの共通のユーザー・タイプ(管理者、作成者およびコンシューマ)のアクセス要件に従って権限セットを割り当てるために、サンプル・アプリケーション・ポリシーおよびアプリケーション・ロールが事前構成されます。サービス・インスタンスへの11gアップグレード・バンドルのインポートを選択した場合、11g権限付与が11gで使用できなかった新しい権限セットとともに使用されます。必要に応じて、Fusion Middleware Controlを使用して権限付与を変更できます。

注意:
権限セット付与をEnterprise Manager Fusion Middleware Controlで表示できますが、WLSTを使用してのみ変更できます。

B.5 グループおよびアプリケーション・ロールを使用したユーザーへの権限の付与

デフォルトのOracle Business Intelligenceセキュリティ構成は、関連した権限をグループ化する事前構成された権限セットを提供します。サービス・インスタンスへのサンプルまたは初期アプリケーションのインポートを選択する場合、これらの権限セットがサンプルまたは初期セットのアプリケーション・ロールに付与されています。サービス・インスタンスに空のBARファイルをインポートして、白紙の状態で開始する場合、WLSTを使用して権限セットを作成するアプリケーション・ロールに割り当てる必要があります。アプリケーション・ロールは通常グループをメンバーとして持ち、ロールの権限がグループのメンバーシップを介してユーザーに継承されます。グループをアプリケーション・ロールに割り当てることで、ロールの権限がグループのすべてのメンバーに伝達されます。

権限は、次の関係を構築することで、Oracle Business Intelligenceアプリケーション・ロールで付与されます。

- グループによって、同様のシステム・アクセス要件を持つユーザーの組が定義されます。ユーザーは、必要なアクセスのレベルに従って1つ以上のグループにメンバーとして追加されます。

- アプリケーション・ロールは、Oracle Business Intelligenceを使用するときにユーザーが一般的に実行するロールを定義します。サンプル・アプリケーションのセキュリティ・ポリシーは次のロールを提供します: 管理者(BIServiceAdministrator)、作成者(BIContentAuthor)およびコンシューマ(BIConsumer)。

- グループは、各グループが必要とするアクセスのタイプに一致する1つ以上のアプリケーション・ロールに割り当てられます。

- アプリケーション・ポリシーは、各ロール・タイプに対応する1組のアクセス権を付与するOracle Business Intelligence権限を定義します。

- アプリケーション・ロールは、ロール・タイプ(たとえば、管理者、作成者、コンシューマ)が必要とする権限の組を付与するアプリケーション・ポリシーに割り当てられます。構成後は、アプリケーション・ロールはアプリケーション・ポリシーの権限受領者になります。

- グループ・メンバーシップは、グループ階層の性質によって継承できます。継承したグループに割り当てられているアプリケーション・ロールも継承され、それらの権限も同様に伝達されます。

ユーザー権限は、システムによって次のように決定されます。

1. ユーザーがログイン時にWebブラウザに資格証明を入力します。ユーザー資格証明は、アイデンティティ・ストアに含まれているデータに照らし合せて認証プロバイダによって認証されます。

2. 認証に成功したら、Javaサブジェクトとプリンシパルの組合せが発行され、ユーザー名とユーザーのグループが入力されます。

3. ユーザーのグループのリストがアプリケーション・ロールに照合されます。ユーザーのグループのそれぞれに割り当てられるアプリケーション・ロールのリストが作成されます。

4. 付与されるユーザー権限は、ユーザーがどのアプリケーション・ロールのメンバーであるかを把握することによって決定されます。グループのリストは、ユーザーがどのロールを持っているかを判断するためだけに生成され、他の目的には使用されません。

たとえば、Oracle BI管理ツールからオンライン・モードでリポジトリ・ファイルを開く機能では、関連する権限(リソース・スコープ*および管理アクションを使用したoracle.bi.repositoryリソース・タイプ)が必要です。サンプルおよび初期アプリケーション・セキュリティ・ポリシーでは、この権限がBIServiceAdministratorアプリケーション・ロールのメンバーシップによって付与されます。BIServiceAdministratorアプリケーション・ポリシーには、実際の権限付与の定義が含まれます。この例の場合、BIServiceAdministratorアプリケーション・ポリシーには、関連する権限を含む権限セット付与が含まれます。BIインストールでは、(LDAP)グループを自動的に作成しません。そのため、環境のユーザーにこの権限セットを伝達するには、必要なグループ(Weblogic LDAPのBIAdministratorsグループまたは該当する場合にBIを構成したアイデンティティ・ストアの作成など)を作成し、そのユーザーをBIServiceAdministratorsグループに追加し、EM FMWコントロールまたはWLSTを使用してBIServiceAdministratorsグループをBIServiceAdministratorアプリケーション・ロールにマップします。オンライン・モードでリポジトリを管理する必要のあるすべてのユーザーは、各ユーザーに必要な権限を個々に付与するのではなく、このグループ(BIServiceAdministratorsなど)に追加する必要があります。ユーザーにリポジトリの管理権限が必要なくなれば、ユーザーをBIServiceAdministratorsグループから削除します。BIServiceAdministratorsグループから削除されたユーザーには、ロールのメンバーシップによって付与されたBIServiceAdministratorアプリケーション・ロールまたはリポジトリの管理権限がなくなります。

また、ユーザーは、グループ・メンバーシップおよびアプリケーション・ロールを継承することでも権限を取得できます。この処理を実行する方法の詳細と例は、第B.5.1項「権限の継承とロールの階層」を参照してください。

B.5.1 権限の継承とロールの階層

Oracle Business Intelligenceでは、アプリケーション・ロールのメンバーには、グループと他のアプリケーション・ロールの両方を含むことができます。結果的に、明示的に付与することに加えて、権限を継承できる階層的なアプリケーション・ロール構造となります。アプリケーション・ロールのメンバーであるグループは、アプリケーション・ロールの権限と、そのアプリケーション・ロールから派生したすべてのアプリケーション・ロールの権限が付与されます。アプリケーション・ロール階層の構成時には、循環依存が発生しないようにすることが重要です。

図B-2は、アプリケーション・ロール間の関係と、どのように権限がメンバーに付与されるかを示しています。

図B-2 アプリケーション・ロールの階層の例

図B-2では、複数のOracle Business Intelligenceのデフォルト・グループおよびアプリケーション・ロールを使用して、ロールの階層から権限を付与しています。サンプルおよび初期アプリケーションでは、デフォルトのBIServiceAdministratorロールはBIContentAuthorロールのメンバーであり、BIContentAuthorロールはBIConsumerロールのメンバーです。結果として、BIServiceAdministratorアプリケーション・ロールのメンバーは、BIServiceAdministratorロール、BIContentAuthorロールおよびBIConsumerロールの権限をすべて付与されます。このため、アプリケーション・ロールにマップされた特定のグループのメンバーであるユーザーには、明示的な権限と任意の追加的な継承される権限の両方が付与されます。

注意:
グループとグループ階層は、それら自体では、アプリケーション・リソースにアクセス権を提供しません。権限は権限の付与により伝達され、アプリケーション・ポリシーで定義されます。ユーザー、グループまたはアプリケーション・ロールは、アプリケーション・ポリシーの権限受領者になります。アプリケーション・ポリシーの権限受領者は、直接的な対応付けによって(ユーザーなど)または権限受領者のメンバーになることによって(グループやアプリケーション・ロールなど)権限を伝達します。

B.6 インストール後の共通セキュリティ・タスク

Oracle Business Intelligenceソフトウェアのインストールに成功した後に実行する共通のセキュリティ・タスクは、目的によって異なります。Oracle Business Intelligenceをインストールする共通の理由は、次のとおりです。

- 製品を評価します。

- 製品を実装します。

通常、実装において、次の環境の1つ以上で製品を使用する製品ライフサイクルを経験します。

- 開発

- テスト

- 本番

この項の内容は、次のとおりです。

- 第B.6.1項「Oracle Business Intelligenceを評価する共通のセキュリティ・タスク」

- 第B.6.2項「Oracle Business Intelligenceを実装するための共通のセキュリティ・タスク」

B.6.1 Oracle Business Intelligenceを評価する共通のセキュリティ・タスク

表B-2に、Oracle Business Intelligenceを評価するために実行される共通のセキュリティ・タスクを記載して、詳細へのリンクを提供しています。

表B-2 タスク・マップ: Oracle Business Intelligenceを評価するための共通のセキュリティ・タスク

タスク

説明

参照先

Oracle Fusion Middlewareセキュリティ・モデルおよびOracle Business Intelligenceのデフォルトのセキュリティ構成を理解します。

インストールに成功したら、Oracle Fusion Middlewareセキュリティ・モデルおよびOracle Business Intelligenceのデフォルトのセキュリティ構成の重要な要素について学ぶ。

第1章「Oracle Business Intelligenceのセキュリティの紹介」

第B.4項「サンプル・アプリケーションを使用したセキュリティ構成」

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』

デフォルトのアイデンティティ・ストアにユーザーとグループを追加します。

Oracle WebLogic Server管理コンソールを使用して、組み込まれたディレクトリ・サーバーの新しいユーザーおよびグループ定義を作成します。

第2.3.2項「組込みWebLogic LDAPサーバーにおける新規ユーザーの作成」

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプ

新しいメンバーをアプリケーション・ロールに追加します。

BIConsumerなど、アプリケーション・ロールにメンバーとして新規のユーザーまたはグループを追加します。

第2.4.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールの変更」

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』

既存のアプリケーション・ロールに基づいて新しいアプリケーション・ロールを作成します。

既存のアプリケーション・ロールに基づいて、コピーを行いそのコピーに名前を付けることによって新しいアプリケーション・ロールを作成します。

第2.4.2項「Fusion Middleware Controlの使用によるアプリケーション・ロールの作成と削除」

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』

B.6.2 Oracle Business Intelligenceを実装するための共通のセキュリティ・タスク

表B-3に、Oracle Business Intelligenceを実装するときに実行する共通のセキュリティ・タスクを示し、詳細へのリンクを提供します。次のタスクは、第B.6.1項「Oracle Business Intelligenceを評価するための共通のセキュリティ・タスク」に記載されているタスクに加えて実行されます。

表B-3 タスク・マップ: Oracle Business Intelligenceを実装するための共通のセキュリティ・タスク

タスク

説明

参照先

認証プロバイダおよびアイデンティティ・ストアとしてエンタープライズ・ディレクトリ・サーバーを使用することへの遷移。

認証プロバイダおよびアイデンティティ・ストアになるようにエンタープライズ・ディレクトリ・サーバーを構成します。

第3.4項「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」

付録A「レガシー・セキュリティ管理オプション」

新しいアプリケーション・ロールを作成します。

新しいアプリケーション・ロールを作成し、ロールをアプリケーション・ポリシーの権限受領者にします。

第2.4.2項「Fusion Middleware Controlの使用によるアプリケーション・ロールの作成と削除」

新しく作成したアプリケーション・ロールにグループを割り当てます。

グループ・メンバーに権限付与を伝達するために、新しく作成したアプリケーション・ロールにグループを割り当てます。

第2.4.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールの変更」

SSLを使用するかどうかを決定します。

SSL通信を使用するかどうかを決定し、実装するための計画を考えます。

第5章「Oracle Business IntelligenceのSSLの構成」

デプロイメントにおいてSSOプロバイダを使用するかどうかを決定します。

SSO認証を使用するかどうか決定し、実装する計画を考えます。

第4章「SSO認証の有効化」

C Oracle Business Intelligenceにおけるセキュリティのトラブルシューティング

この付録では、Oracle Business Intelligenceのセキュリティの使用および構成時に発生する可能性のある一般的な問題と、それらの解決方法について説明します。項目は次のとおりです。

- ユーザーのログイン認証が失敗する問題の解決

- アイデンティティ・ストアとの非一貫性の解決

- ポリシー・ストアとの非一貫性の解決

- SSL通信問題の解決

- カスタムSSO環境の問題の解決

- SSOを使用したRSSフィードの認証の解決

C.1 ユーザーのログイン認証が失敗する問題の解決

この項は、Oracle Business Intelligence Enterprise Edition 11gの使用時に発生する、ユーザーのログイン認証の失敗に関する最も一般的な問題の解決に役立ちます。考えられるすべてのシナリオを包括的に示すことを目的としているわけではありません。この項の内容は次のとおりです。

- 第C.1.1項「認証の概念」
この項では、Oracle Business Intelligence Enterprise Editionにおける認証の基本的な概念について説明します。この項の説明を読む前提条件として、このガイド全体で説明されている概念を理解している必要があります。

- 第C.1.2項「ユーザーのログイン認証が失敗する原因の特定」
この項では、認証が失敗した原因を特定するためのチェックリストとして使用できる、原因と結果の図を提供します。

- 第C.1.3項「ユーザーのログイン認証が失敗する問題の解決」
この項では、ログイン認証が失敗する理由とその解決策を示します。

C.1.1 認証の概念

この項では、ログイン認証が失敗する問題の解決に役立つ、認証の概念について説明します。この項の内容は次のとおりです。

- 第C.1.1.1項「インストール時のデフォルトの認証」

- 第C.1.1.2項「Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlの使用によるOracle Business Intelligenceの構成」

- 第C.1.1.3項「WebLogicドメインおよびログの場所」

- 第C.1.1.4項「Oracle Business Intelligenceの主要なログイン・ユーザー・アカウント」

- 第C.1.1.5項「Oracle Business Intelligenceのログインの概要」

C.1.1.1 インストール時のデフォルトの認証

インストール直後、Oracle Business Intelligenceは、DefaultAuthenticatorを経由してWebLogic組込みLDAPサーバーに対してユーザーを認証するように構成されます。インストール時に入力された資格証明を使用するWebLogic Server管理者をはじめ、デフォルトのユーザー・アカウントが設定されています。

C.1.1.2 Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlの使用によるOracle Business Intelligenceの構成

Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlを使用して、Oracle Business Intelligenceを構成します。これらのアプリケーションの使用方法の詳細は、第1.6項「ツールの使用によるOracle Business Intelligenceのセキュリティの構成」を参照してください。

Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlにログインする際は、インストール・プロセスで管理ユーザーに指定したユーザー名とパスワードを使用する必要があります。ただし、そのアカウントを変更または削除した場合や、適切なアクセス権を持つ別のアカウントを構成した場合は除きます(第C.1.1.4項「Oracle Business Intelligenceの主要なログイン・ユーザー・アカウント」を参照)。

C.1.1.3 WebLogicドメインおよびログの場所

ユーザーのログイン認証に関する問題を診断および解決するには、次に示すWebLogicドメインおよびログ・ファイルの場所を知っておく必要があります。

注意:
この項は、インストールでデフォルトの場所が使用されたことを前提としています。異なるインストール場所を指定した場合は、それに合せてパスを変更する必要があります。

- Oracle Business IntelligenceがインストールされるWebLogicドメイン
ORACLE_HOME/user_projects/domains/bi/

- WebLogic管理サーバーのログ
ORACLE_HOME/user_projects/domains/bi/servers/AdminServer/logs/

- WebLogic管理対象サーバーのログ
ORACLE_HOME/user_projects/domains/bi/servers/bi_server1/logs/

- BIサーバーのログ
ORACLE_HOME/user_projects/domains/bi/servers/obis1/logs/

C.1.1.4 Oracle Business Intelligenceの主要なログイン・ユーザー・アカウント

この項では、主要なログイン・ユーザー・アカウントについて説明します。この項の内容は次のとおりです。

- 第C.1.1.4.1項「WebLogic Server管理者ユーザー・アカウント」

C.1.1.4.1 WebLogic Server管理者ユーザー・アカウント

WebLogic管理者ユーザー・アカウントを使用すると、WebLogic Serverを起動できます。また、Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlを使用してWebLogic Serverを管理することもできます。WebLogic Server管理者アカウントは、Adminと呼ばれるWebLogic Serverグローバル・ロールを持っている必要があります(これは、Oracle Business Intelligenceアプリケーション・ロールではありません)。このロールは、新しいWebLogic Server管理者アカウントを追加することもできます。

Oracle WebLogic Server管理コンソールを使用してグローバルAdminロールに対するユーザーの追加または削除を行うには:

1. Oracle WebLogic Server管理コンソールにWebLogic Server管理者としてログインし、チェンジ・センターで「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 最上部に並んだタブから「ロールとポリシー」を選択します。

4. ロールのリストでプラス記号をクリックして「グローバル・ロール」→「ロール」を展開し、Adminグローバル・ロールの「ロール条件の表示」リンクをクリックします。

5. 指定されている条件が、直接、または所属するグループに基づいて、ユーザーに一致することを確認します。
たとえば、条件にはUser=myadminaccountやGroup=Administratorsがあります。

6. 変更したら、「保存」をクリックします。

7. チェンジ・センターで、変更のアクティブ化をクリックします。

C.1.1.5 Oracle Business Intelligenceのログインの概要

ユーザーがシングル・サインオンを使用せずにOracle Business Intelligenceにログインするときに、認証およびユーザー・プロファイルの参照が行われます。シングル・サインオン(SSO)環境では、Oracle Business Intelligenceシステムの外部で認証が行われ、かわりにIDがアサートされますが、ユーザー・プロファイルの参照は引き続き行われます。

認証およびIDのアサートはそれぞれ認証プロバイダおよびアサーション・プロバイダによって行われ、Oracle WebLogic Server管理コンソールを使用して構成されます。電子メール、表示名、説明、言語などの様々な属性を取得するため、ユーザー・プロファイルがアイデンティティ・ストア内で参照されます。Oracle Business Intelligenceへの正常なログインには、最初に構成された認証プロバイダにユーザー移入が含まれていることが必要です。詳細は、第3.4項「代替認証プロバイダを使用するためのOracle Business Intelligenceの構成」を参照してください。

ログイン・プロセスでは、まずユーザーがログイン画面で資格証明を入力し、その資格証明がプレゼンテーション・サービス、BIサーバーの順に送信されます。BIサーバーでは、BI Security Web Service (WebLogic管理対象サーバーにデプロイされ、Webサービス・セキュリティのポリシーによって保護されます)を呼び出すことによって、ユーザー資格証明の認証が試行されます。この呼び出しでは、BIサーバーがOracle Web Services Managerに対してBIサーバーを認証することが要求されます。認証後、BIサーバーをBI Security Serviceで受信できるようになります。

C.1.2 ユーザーのログイン認証が失敗する原因の特定

この項は、Oracle Business Intelligenceへのログイン時に認証が失敗する原因を特定するのに役立ちます。

図C-1および図C-2は原因と結果の図です。これらを使用して、ユーザーのログイン認証が失敗する原因として考えられる問題を特定できます。ユーザーのログイン認証が失敗する原因として考えられる問題を特定したら、第C.1.3項「ユーザーのログイン認証が失敗する問題の解決」で問題の解決方法を参照してください。

図C-1 ユーザーのログインが失敗する原因(その1)

図C-1は、ログインが失敗する原因を特定するのに役立ちます。図C-1を使用しても、ログインが失敗する原因を特定できない場合は、かわりに図C-2を使用します。

図C-1の説明は、次のとおりです。

- 認証プロバイダが正しく構成されていない。

- Oracle Business Intelligenceで認定されている正しい認証プロバイダがアイデンティティ・ストア用に構成されていることを確認します。

- ユーザーがOracle WebLogic Server管理コンソールに表示されていることを確認します。

- グループがOracle WebLogic Server管理コンソールに表示されていることを確認します。

- 適切な権限を持つユーザーがOracle WebLogic Server管理コンソールにログインできることを確認します。

- 認証プロバイダの順序および制御フラグが正しいことを確認します。

- 認証プロバイダが正しく構成されていない(二次的な問題)。

- 構成の変更後にWebLogic Serverが再起動されていることを確認します。

- WebLogic Serverが起動しない場合は、WebLogic Server管理者ユーザーが正しくLDAPに移行していることを確認します。

- 指定した属性がLDAPストアにあるものと一致することを確認します。

- 名前指定によるフィルタの問合せが正しいことを確認します。

- ユーザーおよびグループ・ベースDNの設定が正しいことを確認します。

- LDAP接続に使用するアカウントが十分な権限を持っていることを確認します。

- 1人のユーザーのみが影響を受ける。

- 正しい資格証明が使用されていることを確認します。

- ユーザー・アカウントがロックされていない、または失効していないことを確認します。

- 通信障害が発生する。

- アイデンティティ・ストアが使用可能であることを確認します。

- すべてのBIシステム・プロセスが実行中であることを確認します。

- すべてのJEEアプリケーションが実行中であることを確認します。

図C-2 ユーザーのログインが失敗する原因(その2)

図C-1を使用してもログインが失敗する原因を特定できない場合は、図C-2が別の原因の特定に役立ちます。ただし、図C-2を使用した後も、引き続きログインが失敗する原因を特定できない場合は、次の場所からOracleサポートに連絡してください。

https://support.oracle.com

図C-2の説明は、次のとおりです。

- BIシステム・ユーザーの認証が失敗する。

- BISystemユーザー・アカウントが存在し、正しいロールが割り当てられていることを確認します。

- BISystemユーザーが資格証明ストアと同期されていることを確認します。

- BISystemユーザー・アカウントがアイデンティティ・ストア内にあることを確認します。

- BIシステム・ユーザーの資格証明に対する変更のWebLogic組込みLDAPレプリケーションが失敗していないことを確認します。

- アイデンティティ・ストア・プロバイダ(OPSS)が正しく構成されていない。

- SQL認証プロバイダを使用している場合、アダプタが正しく構成されていることを確認します。

- ユーザー名に指定された属性が、WebLogic認証プロバイダのデフォルト値以外の値に設定されている場合、OPSSの構成が一致することを確認します。

- Oracle Business Intelligenceリリース11.1.1.5(またはそれ以降)で、次の内容を確認します。

- 仮想化がtrueに設定されている。

- 制御フラグがOracle Business Intelligenceリリース11.1.1.3と同様に設定されている(次の項目を参照)。

- Oracle Business Intelligenceリリース11.1.1.3で、(BIシステム・ユーザーのユーザー移入を参照する)認証プロバイダが、プロバイダのリストの先頭にある制御フラグであることを確認します。

- 構成の変更後にWebLogic Serverが再起動されることを確認します。

- Oracle Business Intelligenceリリース11.1.1.5(またはそれ以降)で、仮想化がtrueに設定されていて、アイデンティティ・ストアでSSLが要求される場合は、仮想化が正しく構成されている必要があります。詳細は、第5.14.2項「複数認証プロバイダ使用時のSSLの構成」を参照してください。

- Oracle Web Services Managerでエラーが発生する。

- データベースが、インストール時に作成されたMDS-OWSMスキーマに接続されることを確認します。

- OWSMでOWSMリソースへのアクセスに使用される、OracleSystemUserアカウントが動作していることを確認します。

C.1.3 ユーザーのログイン認証が失敗する問題の解決

この項では、ユーザーのログイン認証の失敗について、およびその問題の解決方法を説明します。この項の内容は次のとおりです。

- 第C.1.3.1項「Oracle Business Intelligenceに1人のユーザーがログインできない」

- 第C.1.3.2項「認証プロバイダが正しく構成されていないことが原因でOracle Business Intelligenceにユーザーがログインできない」

- 第C.1.3.3項「Oracle Web Services Managerが動作していないときにOracle Business Intelligenceにユーザーがログインできない」

- 第C.1.3.4項「Oracle Business Intelligenceにユーザーがログインできない - BIシステム・ユーザーの認証が動作しているかどうか」

- 第C.1.3.5項「Oracle Business Intelligenceにユーザーがログインできない - 外部アイデンティティ・ストアが正しく構成されているかどうか」

- 第C.1.3.6項「ユーザーが任意のパスワードまたはパスワードなしでログインできる」

- 第C.1.3.7項「デフォルト認証プロバイダを削除した後にWebLogic Serverを起動できない」

C.1.3.1 Oracle Business Intelligenceに1人のユーザーがログインできない

この項には次のトピックが含まれます:

- 第C.1.3.1.1項「ユーザー・エラーの結果としてログインが失敗したかどうか」

- 第C.1.3.1.2項「アカウントがロックされているかどうか」

C.1.3.1.1 ユーザー・エラーの結果としてログインが失敗したかどうか

最初に確認することは、ユーザーがOracle Business Intelligenceにログインできない原因が、単純なエラーであるかどうかです。たとえば、ユーザーが正しくないパスワードを入力したことなどが考えられます。他のユーザーはOracle Business Intelligenceにログインできるが、1人のユーザーがログインできない場合は、ユーザーの資格証明を確認します。または、第C.1.3.1.2項を参照してください。

C.1.3.1.2 アカウントがロックされているかどうか

多くのLDAP認証プロバイダでは、ログインの試行回数が指定されたしきい値を超えた場合、ユーザー・アカウントがロックされます。たとえば、ログインの試行が3回失敗したら、自動攻撃を受けないようアカウントがロックされる場合があります。

選択したアイデンティティ・ストアのドキュメントを参照し、ユーザー・アカウントのロックを解除する方法を確認します。たとえば、WebLogic組込みLDAPの使用時にロックされたユーザー・アカウントのロックを解除するには、Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプのユーザー・アカウントのロック解除に関する項を参照してください。

C.1.3.2 認証プロバイダが正しく構成されていないことが原因でOracle Business Intelligenceにユーザーがログインできない

認証が失敗する最も一般的な原因は、WebLogic Serverで認証プロバイダが正しく構成されていないことです。内容は次のとおりです。

注意:
第3章「代替認証プロバイダの使用」に記載されている手順および概念を読み、それらを理解している必要があります。

- 第C.1.3.2.1項「アイデンティティ・ストア/LDAPサーバーに正しい認証プロバイダを指定したかどうか」

- 第C.1.3.2.2項「LDAPサーバーの認証プロバイダが正しく構成されているかどうか」

- 第C.1.3.2.3項「認証プロバイダの制御フラグが正しく設定され順序付けられているかどうか」

C.1.3.2.1 アイデンティティ・ストア/LDAPサーバーに正しい認証プロバイダを指定したかどうか

WebLogic Serverでは、組込みLDAP認証プロバイダに加えて、様々なサーバー固有の認証プロバイダが使用されます。ただし、組込みLDAP認証プロバイダは、汎用的なLDAPサーバーではない一部LDAPサーバー製品に対しては問合せできない場合があります。たとえば、汎用LDAPサーバーは、Active Directory (AD)がLDAPを完全に実装していることが明らかで、正常にADをLDAPサーバーとして多くのLDAP問合せツールに提供している場合でも、ADと連携して動作しません。システムが使用するLDAPサーバーに基づいた適切な認証プロバイダを構成してください。

C.1.3.2.2 LDAPサーバーの認証プロバイダが正しく構成されているかどうか

プライマリ・アイデンティティ・ストアとして使用するLDAPサーバーの構成設定が正しく構成されていない場合は、ユーザーを正しく認証できません。いくつかの一般的なチェック項目は、次のとおりです。

- LDAP接続に使用するアカウント。
LDAP認証プロバイダに固有の構成で、LDAPサーバーへの接続に使用されるプリンシパルのDNを指定する必要があります。このアカウントが存在し、ユーザーまたはグループ・ベースDNに指定されたツリーからユーザーまたはグループ移入を取得する問合せを実行するのに十分な権限を持っている必要があります。制限付きのLDAP環境では、通常のユーザー・アカウントに付与される権限よりも上位の昇格した権限が必要になる場合があります。

- ユーザーおよびグループ・ベースDNが正しいことを確認します。
グループおよびユーザーは、どちらもユーザーまたはグループ・ベースDNによって指定されたツリー内で検索されます。指定されたツリーに、実際にユーザーまたはグループ移入が含まれていることを確認してください。

- 名前指定によるフィルタの問合せが正しいことを確認します。
グループおよびユーザーはベースDNに指定されたツリー内で検索します。これには、「名前指定によるユーザー・フィルタ」および「名前指定によるグループ・フィルタ」に指定された問合せが使用されます。%uは、特定ユーザーの問合せ時(認証時も含まれます)に渡されるユーザーIDのプレースホルダとして使用され、%gは、特定グループの問合せ時に渡されるグループ名のプレースホルダとして使用されます。問合せがディレクトリにとって構文的および論理的に正しいことを確認します。また、認証プロバイダの構成で指定した資格証明を使用して、それらの問合せをLDAPブラウザから実行できる(および予想どおりの結果が得られる)ことをテストします。

- 指定した属性がLDAPストアにあるものと一致することを確認します。
ユーザーおよびグループの属性やオブジェクト・クラスが、認証プロバイダの構成で指定されていることを確認します。必ずしも、認証プロバイダの事前構成済のデフォルト値を使用しなければならないわけではありません。たとえば、ユーザー名の属性に指定された値が存在すること、およびその値がサイト上のLDAPサーバーのユーザー名に使用されていることを確認する必要があります。

- WebLogic Server管理者ユーザーはLDAPに移行され、WebLogic Serverを起動できません。
WebLogic Server管理者ユーザーを組込みLDAPサーバーから別のLDAPサーバーに移行し、組込みLDAPサーバーからDefaultAuthenticatorも削除する場合、管理者ユーザーを認証する際、LDAPに依存するほかなくなります。LDAP認証プロバイダの構成が不適切だった場合、WebLogic Serverは起動しません。

- ユーザーがOracle WebLogic Server管理コンソールにログインできるか確認します。
WebLogic Serverの起動時に使用していた資格証明でOracle WebLogic Server管理コンソールにログインできる場合、次の方法で、他のLDAPユーザーがOracle WebLogic Server管理コンソールにログインできるか確認できます。

WebLogic ServerグローバルAdminロールをLDAPユーザーに付与し、そのユーザーがOracle WebLogic Server管理コンソールに(URL http://<biserver>:9501/consoleを使用して)ログインできた場合、LDAP認証プロバイダは正しく構成されています。

注意:
このシナリオをテストするためにWebLogic ServerグローバルAdminロールを一時的にユーザーに付与した場合、その資格のないユーザーについては、テスト終了後、このロールを削除する必要があります。

LDAPユーザーがOracle Business Intelligenceにログインできない場合:

- ユーザーが格納されたアイデンティティ・ストアが、アイデンティティ・ストアとしてOPSSに公開されているか確認します。認証プロバイダの順序および制御フラグに関する項を確認してください(第C.1.3.2.3項「認証プロバイダの制御フラグが正しく設定され順序付けされているかどうか」を参照)。

- ユーザーがLDAPに対して正しく認証されても、BIシステム・ユーザーに問題があり、BI Security Serviceでユーザーを認証できない場合を確認します(第C.1.3.4項「ユーザーがOracle Business Intelligenceにログインできない - BIシステム・ユーザーの認証が動作しているかどうか」を参照)。

C.1.3.2.3 認証プロバイダの制御フラグが正しく設定され順序付けられているかどうか

プライマリ・アイデンティティ・ストアは、認証プロバイダのリストの先頭項目として設定されている必要があります(Oracle Business Intelligenceリリース11.1.1.5(またはそれ以降)では、仮想化がtrueに設定されている場合、この制限は適用されません)。Oracle Business Intelligenceでは、OPSSのユーザー・ロールAPI(アプリケーション・プログラミング・インタフェース)が使用されます。このAPIでは、ユーザー、プロファイル情報、ロールを参照するときなど、認証プロバイダのリストの先頭にあるアイデンティティ・ストアのみが参照されます。このため、ユーザーはOracle WebLogic Server管理コンソールにログインできます(認証の成功が示されます)が、Oracle Business Intelligenceにはログインできません(ユーザーが格納されたアイデンティティ・ストアがリストの先頭にないため)。

複数の認証プロバイダを構成する場合、通常はすべての制御フラグをSUFFICIENTに設定する必要があります。これにより、認証が成功するまで、各認証プロバイダに対して順に認証を試行できるようになります。認証が成功すると、それ以降の認証プロバイダに対しては認証が試行されません。すべての認証プロバイダで、提供された資格証明を認証できなかった場合、認証プロセス全体が失敗します。

注意:
インストール時に、DefaultAuthenticatorはREQUIREDに設定されます。別の認証プロバイダを構成し、DefaultAuthenticatorを保持する場合は、DefaultAuthenticatorをSUFFICIENTまたはOPTIONALに設定する必要があります。SUFFICIENTが推奨設定です。

C.1.3.3 Oracle Web Services Managerが動作していないときにOracle Business Intelligenceにユーザーがログインできない

Oracle Web Services Manager (OWSM)によってBI Security Serviceが保護されるため、OWSMが動作していない場合、どのプログラムもBI Security Serviceを呼び出すことができず、この問題が解決されるまで認証は成功しません。

OWSMが失敗する一般的な原因は、次のとおりです。

- 第C.1.3.3.1項「データベースに関する問題 - OWSMでポリシーを取得できない」
インストール時に作成されたMDS-OWSMスキーマへの接続に関する問題です。

- 第C.1.3.3.2項「OracleSystemUserに関する問題 - OWSMでポリシーを取得できない」
OWSMでOWSMリソースへのアクセスに使用されるOracleSystemUserアカウントに関する問題です。

BIシステム・ユーザーの認証が失敗する問題の詳細は、第C.1.3.4項「Oracle Business Intelligenceにユーザーがログインできない - BIシステム・ユーザーの認証が動作しているかどうか」を参照してください。

C.1.3.3.1 データベースに関する問題 - OWSMでポリシーを取得できない

OWSMでは、ポリシー定義を含むOWSMのメタデータが、MDSスキーマのOWSMサブセクションに格納されます。このメタデータへのアクセスには、インストール時に作成される、mds-owsmという接続プールが使用されます。スキーマへのアクセスに関する問題が発生した場合(たとえば、データベースが使用できない、正しくない資格証明がある、データベース・アカウントがロックされているなど)、Oracle Business Intelligenceの認証は失敗します。

管理対象サーバーの診断ログに、次のようなエラー・メッセージが記録されます。

[2011-06-28T14:59:27.903+01:00] [bi_server1] [ERROR] [] [oracle.wsm.policymanager.bean.util.PolicySetBuilder] [tid: RTD_Worker_2] [userId: <anonymous>] [ecid: de7dd0dc53f3d0ed:11d7f503:130d6771345:-8000-0000000000000003,0] [APP: OracleRTD#11.1.1] 無効な構成または非アクティブ状態のために\\\"t3://biserver:7001,biserver:9704\\\"でポリシー・マネージャへの接続を確立できないことが原因で、URI \\\"oracle/wss_username_token_client_policy\\\"により参照されるポリシーを取得できませんでした。

また、データ・ソースの接続プールを確立または作成できないことに関する複数のエラーが管理サーバーのログに記録されます。

この問題を解決するには、次の内容を確認する必要があります。

- MDS-OWSMデータ・ソースに指定したデータベース・スキーマが使用できるかどうか。

- 正しい資格証明を指定したかどうか。

- それらの資格証明を使用して標準のデータベース・ツール(SQL Plus、Jdeveloper DBツールなど)でスキーマにアクセスできるかどうか。

- mds-owsmデータ・ソースが正しく構成されているかどうか。

MDS-OWSMデータ・ソースをテストするには:

1. Oracle WebLogic Server管理コンソールにログインします。

2. 左ペインで「サービス」をクリックし、「データ・ソース」をクリックします。

3. 「構成」ページを表示し、「mds-owsm」をクリックします。

4. 「監視」タブを選択し、「テスト」ページを表示します。

5. サーバーを選択し、「データ・ソースのテスト」をクリックします。

MDS-OWSMデータ・ソースを構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。

2. 左ペインで「サービス」をクリックし、「データ・ソース」をクリックします。

3. 「構成」ページを表示し、「mds-owsm」をクリックします。

4. 「構成」タブを選択し、「接続プール」ページを表示します。

5. 適切な変更を構成します。

6. 「保存」をクリックして変更を保存します。

7. チェンジ・センターで、変更のアクティブ化をクリックします。

8. WebLogic ServerおよびOracle Business Intelligenceコンポーネントを再起動します。

C.1.3.3.2 OracleSystemUserに関する問題 - OWSMでポリシーを取得できない

OWSMでは、デフォルトでポリシーの取得にOracleSystemUserアカウントが使用されます。このアカウントが見つからず認証できない場合や、このアカウントに正しいWebLogicグローバル・ロールが割り当てられていない場合、処理は失敗します。

管理対象サーバーの診断ログに、次のようなログ・メッセージが記録されます。

[2011-06-28T14:59:27.903+01:00] [bi_server1] [ERROR] [] [oracle.wsm.policymanager.bean.util.PolicySetBuilder] [tid: RTD_Worker_2] [userId: <anonymous>] [ecid: de7dd0dc53f3d0ed:11d7f503:130d6771345:-8000-0000000000000003,0] [APP: OracleRTD#11.1.1] 無効な構成または非アクティブ状態のために\\\"t3://biserver:7001,biserver:9704\\\"でポリシー・マネージャへの接続を確立できないことが原因で、URI \\\"oracle/wss_username_token_client_policy\\\"により参照されるポリシーを取得できませんでした。[[

OWSMがOracleSystemRole WebLogic Serverグローバル・ロールに含まれていないことが問題である場合、このエントリの後に、次のログ・エントリが記録されます。

java.rmi.AccessException: [EJB:010160]セキュリティ違反: ユーザー''OracleSystemUser''にはEJB type=<ejb>, application=wsm-pm, module=wsm-pmserver-wls.jar, ejb=DocumentManager, method=retrieveDocuments, methodInterface=Remote, signature={java.lang.String,java.util.Map}にアクセスするための許可がありません。

OracleSystemUserがアイデンティティ・ストアにあるOracleSystemGroupグループのメンバーであること、およびグループにWebLogic Serverグローバル・ロールOracleSystemRoleが割り当てられていることを確認する必要があります。詳細は、第3.4.9.1項「唯一の認証プロバイダとしてのOracle Internet Directory LDAP認証の構成」の手順3から6を参照してください(これらの手順は、引き続き他のLDAPサーバーに適用されます)。

また、OracleSystemUserアカウントを認証できないか、このアカウントが存在しない(LDAPアイデンティティ・ストアに移行し、新しいOracleSystemUserアカウントを新しいアイデンティティ・ストアに作成することなくDefaultAuthenticatorを削除した場合など)ことが問題である場合、次のようなログ・エントリが記録されます。

原因: javax.security.auth.login.FailedLoginException: [Security:090304]ユーザーOracleSystemUserの認証が失敗しました。javax.security.auth.login.FailedLoginException: [Security:090302]認証が失敗しました。ユーザーOracleSystemUserが拒否されました

: weblogic.security.providers.authentication.LDAPAtnLoginModuleImpl.login(LDAPAtnLoginModuleImpl.java:261)

このエラー・メッセージは、次のようないくつかの異なる問題が原因で記録されます。

- DefaultAuthenticatorを削除し、そのかわりに使用している新しいアイデンティティ・ストアにOracleSystemUserというアカウントを作成していない。

- 新しいアイデンティティ・ストアの認証プロバイダを正しく構成していないことが原因で、OracleSystemUserアカウントが見つからない。

- LDAPサーバーでOracleSystemUserアカウントがなんらかの原因でロックされているか無効になっている。

考えられるそれぞれの問題についてシステムを確認し、必要に応じてシステムを再構成および再起動した後、再試行します。

C.1.3.4 Oracle Business Intelligenceにユーザーがログインできない - BIシステム・ユーザーの認証が動作しているかどうか

BIシステム・ユーザー・アカウント(デフォルトの名前はBISystemUserです)は、BI Security ServiceおよびOracle Business Intelligenceの認証機能全体において重要です。ユーザーがログイン時に提供した資格証明の確認がBIサーバーによって試行されるときに、BIシステム・ユーザー・アカウントによって、BIサーバーで実行されるBI Security Serviceへの呼び出しが認証されます。この呼び出しが失敗した場合、Oracle Business Intelligenceでは、優先メカニズムであるFusion Middlewareのセキュリティに対してユーザー・ログイン(つまり、WebLogicを通じて構成されたアイデンティティ・ストア内のユーザー)を認証できません。BIシステム・ユーザーの認証が失敗した場合、次のエラー・メッセージがBIサーバーのnqserver.logに記録されることがあります。

[2011-06-28T11:30:36.000+00:00] [OracleBIServerComponent] [ERROR:1] [] [] [ecid: c594c519d241c3b9:-2173cea0:130d2098159:-8000-00000000000019ba] [tid: 4734ba0] BI Security Serviceからのエラー・メッセージ: FailedAuthentication : セキュリティ・トークンを認証できません。

[2011-06-28T11:30:36.000+00:00] [OracleBIServerComponent] [ERROR:1] [] [] [ecid: c594c519d241c3b9:-2173cea0:130d2098159:-8000-00000000000019ba] [tid: 4734ba0] [nQSError: 43126] 認証に失敗しました: ユーザーまたはパスワードが無効です。

また、対応する次のようなエントリも管理対象サーバーの診断ログに記録されます。

[2011-06-27T11:06:46.698-07:00] [bi_server1] [NOTIFICATION] [] [oracle.bi.security] [tid: [ACTIVE].ExecuteThread: '0' for queue: 'weblogic.kernel.Default (self-tuning)'] [userId: BISystemUser] [ecid: 004dfIJ^08LATOB[2011-06-28T04:27:48.011-07:00] [bi_server1] [ERROR] [WSM-00008] [oracle.wsm.resources.security] [tid: [ACTIVE].ExecuteThread: '2' for queue: 'weblogic.kernel.Default (self-tuning)'] [userId: <anonymous>] [ecid: c594c519d241c3b9:-2173cea0:130d2098159:-8000-00000000000019a1,0:1:1:8:1] [WSM_POLICY_NAME: oracle/wss_username_token_service_policy] [APP: bimiddleware#11.1.1] Webサービス認証に失敗しました。[[

javax.security.auth.login.LoginException: [Security:090303]ユーザーBISystemUserの認証が失敗しました。weblogic.security.providers.authentication.LDAPAtnDelegateException: [Security:090295]予期しない例外が捕捉されました

: oracle.security.jps.internal.jaas.module.authentication.JpsUserAuthenticationLoginModule.login(JpsUserAuthenticationLoginModule.java:71)

このメッセージは、BIサーバーからBI Security Serviceへの正常な呼び出しがOWSMによって許可されなかったことを示しています。許可されなかった理由は、OWSMで(ログイン時のエンド・ユーザーではなく)BIサーバーによって提供された資格証明を有効なものとして認証できなかったためです。BIサーバーでは、oracle.bi.systemマップのsystem.userキーを参照することによって、資格証明ストアからこの呼び出しに使用する資格証明が取得されます。これらがOWSMによって認証される資格証明です。

次のリストは、BISystemUserアカウントでの失敗について考えられる理由を示しています。

- 第C.1.3.4.1項「BIシステム・ユーザー・アカウントが存在しない、正しいロールが割り当てられていない、または資格証明ストアと同期されていない」

- 外部LDAPストアを使用している理由で、DefaultAuthenticatorを削除し、新しいアイデンティティ・ストアにBIシステム・ユーザー・アカウントを作成しなかった。

- 資格証明ストアのsystem.userキーに指定したアカウントを変更したが、新しいアカウントに正しいロールが割り当てられていない。

- 指定したアカウントのパスワードを変更したが、資格証明ストアを新しい資格証明で更新していない(またはその後システムを再起動していない)。

- 第C.1.3.4.2項「基礎となるアイデンティティ・ストアのBIシステム・ユーザー・アカウントに関する問題」
BIシステム・ユーザー・アカウントとして指定したアカウントがロックされているか、パスワードの期限が切れている(基礎となるアイデンティティ・ストアのアカウントに問題がある)。

- 第C.1.3.4.3項「BIシステム・ユーザーの資格証明に対する変更の組込みWebLogic Server LDAPレプリケーションが失敗した」
指定したアカウントのパスワードを変更したことが原因で、管理対象サーバーへのレプリケーションが失敗した(これはDefaultAuthenticatorをWebLogic Server組込みLDAPで使用した場合のみ該当します)。

C.1.3.4.1 BIシステム・ユーザー・アカウントが存在しない、正しいロールが割り当てられていない、または資格証明ストアと同期されていない

BISystemUserアカウントに関するこれらの問題を解決するには、第3.5項「BIシステム・ユーザーの資格証明のリセット」の手順に従います。

指定したアカウントにBISystemアプリケーション・ロールおよびWebLogic ServerのグローバルAdminロールが割り当てられ、資格証明ストアのsystem.userキーが新しいアカウント名とパスワードで更新される必要があります。

これらの手順を完了したら、すべてのOracle Business IntelligenceコンポーネントとWebLogic管理対象サーバーおよび管理サーバーを再起動し、Oracle Business IntelligenceコンポーネントをBI Security Serviceと同期します。これを行わなかった場合、問題が解決されない可能性があります。

C.1.3.4.2 基礎となるアイデンティティ・ストアのBIシステム・ユーザー・アカウントに関する問題

認証の試行が複数回失敗した後で、ユーザー・アカウントをロックするよう一部のLDAPサーバーを構成することは珍しくありません。BI Security Serviceとの通信を試行する際に、BIサーバーによって自動的にBIシステム・ユーザーの資格証明が提供されます。パスワードの変更時に資格証明ストアの再同期やサービスの再起動を行わなかった場合、BIサーバーによる認証の試行が複数回失敗し、意図しないアカウントのロックが発生することがあります。

同様に、一部のサーバーは、資格証明の期限が一定期間後に切れ、リセットされることを要求するよう構成されます。これもBIシステム・ユーザーの認証が失敗する原因となります。

アカウントが誤ってロックされたり期限が切れたりすることを防ぐために、LDAPサーバーのポリシーを確認します。

C.1.3.4.3 BIシステム・ユーザーの資格証明に対する変更の組込みWebLogic Server LDAPレプリケーションが失敗した

このシナリオが発生することはほとんどなく、システムでDefaultAuthenticatorを通じてWebLogic Server組込みLDAPが使用されたときのみ発生します。このシナリオを理解するには、BIシステム・ユーザーのパスワードの変更(Oracle WebLogic Server管理コンソールを使用します)が、まず管理サーバーで行われ、その後管理対象サーバーにレプリケートされることを理解する必要があります。BI Security Serviceでは、管理対象サーバーにレプリケートされたコピーに対して認証が行われます。ただし、管理対象サーバーへのレプリケーションが失敗したことに気付かず、資格証明ストアの資格証明を変更し、新しいパスワードと同期した場合、この2つは一致しなくなります。この状況が発生した場合、次のようなログ・エントリが管理サーバーのログに作成されます。

####<2011/06/09 17:18:17 GMT> <Error> <EmbeddedLDAP> <bisrv01> <AdminServer> <VDE Replication Thread> <<anonymous>> <> <3425d20f6361741a:-2e8537d2:130736e27a9:-8000-000000000000000f> <1307607517792> <BEA-000000> <承諾'bi_server1': 変更番号1698の送信中にエラーが発生しました - 無効な名前: cn=",ou=groups,ou=myrealm,dc=bifoundation_domain。

この問題が発生しているように見えるが、該当するエントリが見つからない場合、最も可能性が高いのは、資格証明ストアの資格証明が純粋にアイデンティティ・ストアのものと一致していないことです。両方の場所に正しく変更が適用され、変更後にすべてのサービスが再起動されたことを再度確認します。

C.1.3.5 Oracle Business Intelligenceにユーザーがログインできない - 外部アイデンティティ・ストアが正しく構成されているかどうか

外部アイデンティティ・ストアをプライマリ・ユーザー移入として構成した場合は、プロバイダ構成の次の内容を確認します。

- プライマリ・ユーザー移入を参照する認証プロバイダは、プロバイダの中で最初に設定する必要があります(リリース11.1.1.5以上を使用している、および仮想化がtrueに設定されている場合は除きます)。

- DefaultAuthenticatorが引き続き有効になっている場合は、DefaultAuthenticatorと、プライマリ・ユーザー移入を参照する認証プロバイダの両方がSUFFICIENTに設定されていることを確認します。

- username属性をデフォルト値以外の値に設定した場合は、第3.4.3項「アイデンティティ・ストアのユーザーおよびグループ名属性の構成」の手順に従う必要があります。たとえば、OID認証プロバイダでは、UserName属性がcnであることを想定してデフォルト値が設定されますが、実際には多くの組織で、かわりに属性uidが使用されます。この場合、手順に従い、Fusion Middleware Controlのアイデンティティ・ストア構成で、username.attrとuser.login.attrの両方をuidに設定します。

C.1.3.6 ユーザーが任意のパスワードまたはパスワードなしでログインできる

Oracle Business Intelligenceリリース10gでは、メタデータ・リポジトリを通じて認証が管理され、外部データベース・テーブルに対して認証を行う必要があるユーザーは、初期化ブロックの設定を使用し、その操作を実行できます。この機能は引き続きOracle Business Intelligence 11gおよび12cでも提供され、残念ながら、発行された問合せによってユーザーのパスワードが確認されないよう、これらのブロックを構成できます。たとえば、次の問合せ

SELECT USER_ID FROM USERS WHERE USER_ID = ':USER'

ユーザーIDのみが確認され、パスワードが正しいかどうかは確認されません。そのように初期化ブロックが構成されているシナリオでは、ユーザーが任意のパスワード(またはパスワードなし)でログインできる場合があります。

このシナリオによって、一貫性がないように見えるなんらかの動作が発生することもあります。たとえば、ユーザーAおよびBがプライマリ・アイデンティティ・ストア(Oracle Internet Directory)内に存在するが、この項で説明した初期化ブロックによって参照されるデータベース内にも、ユーザーBが存在する場合が考えられます。ユーザーAおよびBが正しくないパスワードを使用してログインしようとすると、これらの両方がOIDに対する認証に失敗します。ただし、BIサーバーでも各ユーザーの初期化ブロックの実行が試行されます。ユーザーAは失敗しますが、ユーザーBのログインは成功します。この理由は、ユーザーBのユーザー名がUSERS表のUSER_ID列にあり、初期化ブロックの問合せが、ユーザーのパスワードを確認しないにもかかわらず成功するためです。このようなシナリオは回避する必要があるため、このように動作する認証初期化ブロックを見つけた場合は、そのブロックを削除または変更する必要があります。

C.1.3.7 デフォルト認証プロバイダを削除した後にWebLogic Serverを起動できない

WebLogic Serverを起動するには、WebLogic Serverの(Oracle Business Intelligenceではなく)グローバルAdminロールに関連付けられた管理ユーザーの資格証明を使用する必要があります。Oracle Business Intelligenceのインストール時、インストーラによって管理ユーザー名とパスワードの入力が求められます。これらのユーザー名とパスワードは、組込みLDAPで作成され、DefaultAuthenticatorを通じてアクセスされます。組込みLDAPではなく外部LDAPアイデンティティ・ストアを使用するよう変更する必要がある場合は、外部ストアに新しいWebLogic Server管理ユーザーを作成し、そのユーザーにWebLogic ServerのグローバルAdminロールが割り当てられていることを確認してから、DefaultAuthenticatorを削除します。

ただし、これらの手順を実行した後で、WebLogic Serverの起動に使用するユーザーが格納されたアイデンティティ・ストアの認証プロバイダを正しく構成していない場合は、サーバーを起動できません。これを回避するには、DefaultAuthenticatorを削除する前に存在していた構成設定に戻します。

WebLogic BIドメインのドメイン・ホームは、(インストール時に別の場所を明示的に要求していないかぎり)次の場所にあります。

ORACLE_HOME/user_projects/domains/bi/

このディレクトリには、すべての認証プロバイダなど、ドメイン全体の構成ファイルを含む構成ディレクトリが格納されます。構成設定を更新すると、メイン構成ファイルconfig.xmlのバックアップが作成されます。バックアップ・ファイルの名前は、backup_config.xmlから始まり、その後のリビジョンごとに番号が付けられます(backup_config7.xmlなど)。

問題が発生した場合に備えて、現在のconfig.xmlおよび最新のbackup_config XMLファイルをコピーしてください。構成をリストアするには、現在のconfig.xmlファイルを最新のbackup_config XMLファイルに置き換え、WebLogic ServerおよびすべてのOracle Business Intelligenceコンポーネントを再起動します。WebLogic Serverの再起動時に、DefaultAuthenticatorはリストアされます。

C.2 アイデンティティ・ストアとの非一貫性の解決

リポジトリ、Oracle BIプレゼンテーション・カタログ、アイデンティティ・ストアの間には非一貫性の問題が数多く生じることがあります。次の各項では、これらが発生することのある通常の過程とその非一貫性の解決方法について説明します。

C.2.1 アイデンティティ・ストアからユーザーが削除される

動作

アイデンティティ・ストアからユーザーが削除されると、そのユーザーはOracle Business Intelligenceにログインできなくなります。ただし、削除されたユーザーへの参照は、管理者がそれらを削除するまでリポジトリ内に残ります。

原因

削除されたユーザーへの参照は引き続きリポジトリ内に残りますが、そのユーザーはOracle Business Intelligenceにログインできません。この動作により、ユーザーが不注意で削除され、アイデンティティ・ストアに再度作成された場合に、ユーザーのアクセス制御ルールを再入力する必要はありません。

処置

管理者は、オンライン・モードでOracle BI管理ツールの整合性チェッカを実行して、非一貫性を特定できます。

C.2.2 アイデンティティ・ストアでユーザーの名前が変更される

動作

アイデンティティ・ストアでユーザーの名前が変更され、その後、そのユーザーが新しい名前でリポジトリにログインできません。

原因

これは、元の名前によるユーザーへの参照がリポジトリ内に残っている場合に発生することがあります。

処置

管理者は、BIサーバーを再起動するか、またはOracle BI管理ツールの整合性チェッカを実行してリポジトリを更新し、新しい名前によるユーザーへの参照を反映する必要があります。これが解決されると、Oracle BI Presentation Servicesは、このユーザーの次回ログイン時に新しいユーザー名を参照するようにOracle BI Presentation Catalogを更新します。

C.2.3 ユーザー名に関連付けられているグループがアイデンティティ・ストアに存在しない

動作

ユーザー名に関連付けられているグループがアイデンティティ・ストアに存在しない場合、nqserver.logに次のエラーが記録されている可能性があります。

[2012-10-04T12:00:00.000+00:00] [OracleBIServerComponent] [ERROR:1] [] []

[ecid: <ecidID>] [tid: d10] SecurityService::assertUserWithLanguage

[OBI-SEC-00018] Identity found <GUID> but could not be asserted

bi_server1-diagnostic.log (簡易インストールの場合はadminserver-diagnostic.log)からECIDを探します。次のような警告メッセージが含まれている可能性があります。

[2012-10-04T12:00:00.314+02:00] [bi_server1] [WARNING] []

[oracle.jps.authentication] [tid: [ACTIVE].ExecuteThread: '2' for queue:

'weblogic.kernel.Default (self-tuning)'] [userId: OBISystemUser] [ecid:

<ecidID>] [WEBSERVICE_PORT.name: SecurityServicePort] [APP:

bimiddleware#11.1.1] [J2EE_MODULE.name: bimiddleware/security]

[WEBSERVICE.name: SecurityService] [J2EE_APP.name: bimiddleware_11.1.1]

javax.security.auth.login.FailedLoginException:

[Security:090305]Authentication Failed Getting Groups for User <UserID>

weblogic.management.utils.NotFoundException: [Security:090255]User or Group

<Groupname>[[

oracle.security.jps.internal.api.jaas.AssertionException:

javax.security.auth.login.FailedLoginException:

[Security:090305]Authentication Failed Getting Groups for User <UserID>

weblogic.management.utils.NotFoundException: [Security:090255]User or Group

<Groupname>[[

...

at

oracle.bi.security.subject.SubjectAsserter.assertUser(SubjectAsserter.java:85)

at

oracle.bi.security.service.URServiceBean.assertUserWithLanguage(URServiceBean.java:97)

at

oracle.bi.security.service.SecurityServiceBean.getGrantedRolesForUser(SecurityServiceBean.java:270)

at

oracle.bi.security.service.SecurityWebService$1GetGrantedRolesForUserAction.run(SecurityWebService.java:391)

at

oracle.bi.security.service.SecurityWebService$1GetGrantedRolesForUserAction.run(SecurityWebService.java:381)

at java.security.AccessController.doPrivileged(Native Method)

at

oracle.bi.security.service.SecurityWebService.getGrantedRolesForUser(SecurityWebService.java:397)

...

Caused by: javax.security.auth.login.FailedLoginException:

[Security:090305]Authentication Failed Getting Groups for User <UserID>

weblogic.management.utils.NotFoundException: [Security:090255]User or Group

<Groupname>[[

原因

ユーザー名に関連付けられているグループがアイデンティティ・ストアに存在しない場合に、このことが発生する可能性があります。

処置

このユーザーに割り当てられているLDAPグループが実際に存在していて、このグループが、LDAPにアクセスするためにWebLogicが使用するプリンシパルによって読取り可能であるかどうか確認してください。

C.3 ポリシー・ストアとの非一貫性の解決

Oracle BI Presentation Catalogとポリシー・ストアの間には、非一貫性の問題が数多く生じることがあります。次の各項では、これらが発生することのある通常の過程とその非一貫性の解決方法について説明します。

C.3.1 ポリシー・ストアからアプリケーション・ロールが削除される

動作

ポリシー・ストアからアプリケーション・ロールが削除された後、オフライン・モードで操作したときに、そのロール名が引き続きOracle BI管理ツールに表示されます。ただし、ロール名はプレゼンテーション・サービスに表示されなくなり、ユーザーには、削除されたロールに関連付けられた権限が付与されません。

原因

削除されたロール名への参照がリポジトリ内に残っていると、オフライン・モードで操作したときにロール名が管理ツールに表示されます。

処置

管理者は、オンライン・モードでOracle BI管理ツールの整合性チェッカを実行し、削除されたアプリケーション・ロール名に対するリポジトリ内の参照を削除します。

C.3.2 ポリシー・ストアでアプリケーション・ロールの名前が変更される

動作

ポリシー・ストアでアプリケーション・ロールの名前が変更された後、新しい名前がオフライン・モードの管理ツールに表示されません。ただし、新しい名前は、プレゼンテーション・サービスと管理ツールのリストにただちに表示されます。ユーザーには、引き続き、ロールによって付与されている権限が表示されます。

原因

元のロール名への参照がリポジトリ内に残っていると、オフライン・モードで操作したときにロール名が管理ツールに表示されます。

処置

管理者はBIサーバーを再起動するか、管理ツールの整合性チェッカを実行し、リポジトリを更新して新しいロール名を反映します。

C.4 SSL通信問題の解決

動作

通信エラー。プロセス(クライアント)が別のプロセス(サーバー)と通信できません。

処置

SSL通信問題が存在すると、通常はクライアントが通信エラーを表示します。エラーには「client refused」(クライアントが拒否されました)とだけ示され、それ以外の情報は示されません。サーバーのログ・ファイルで、対応する障害エラー・メッセージを調べてください。このログ・ファイルには通常、問題の詳細が記述されています。

動作

BIDomain MBean (oracle.biee.admin:type=BIDomain, group=Service)を使用してコミット操作を実行した後、次のエラー・メッセージが表示されます。

SEVERE: Element Type: DOMAIN, Element Id: null, Operation Result: VALIDATION_FAILED, Detail Message: SSL must be enabled on AdminServer before enabling on BI system; not set on server: AdminServer

処置

このメッセージは、Oracle WebLogic Server管理対象サーバーで、前提条件にもなっているSSLの有効化が行われていないことを示しています。詳細は、第5.2.2.5項「HTTPの無効化」を参照してください。

C.5 カスタムSSO環境の問題の解決

カスタムSSO環境を設定する際に問題が発生する場合があります。たとえば、Windowsネイティブ認証とActive DirectoryでSSOを設定する場合やSiteMinderでSSOを設定する場合などがあります。

詳細は、次のMy Oracle Supportの記事ID 1287479.1および記事ID 1274953.1を参照してください。

https://support.oracle.com

C.6 SSOを使用したRSSフィードの認証の解決

Oracle BIのRSSフィードを読み取ろうとすると、SSOを使用したRSSリーダーの認証にトラブルが発生する場合があります。これは、Oracle SSOがそのRSSリーダーのリクエストをインターセプトする方法が原因です。この場合、Oracleはフィード・リーダー・アプリケーションを制御できません。ただし、SSOがサポート可能なシナリオが2つあります。

- FirefoxのWizz RSSのようなブラウザベースのRSSリーダーを使用し、Firefoxを使用して、フィードにアクセスする前にSSOにログインします。

- Internet Explorerを使用するRSSリーダーでWindowsの統合認証を使用します。
FirefoxはWindows認証をサポートできるため、この場合でも使用可能です。

環境のデプロイメント戦略を検証する必要があります。

D ダッシュボードと分析のセキュリティの管理

この付録では、ダッシュボードと分析に対して、ユーザーが次のアクセス権のみを持つようなセキュリティの管理方法について説明します。

- Oracle BIプレゼンテーション・カタログ内で自分に該当するオブジェクトへのアクセス

- 自分に該当する機能とタスクへのアクセス

- 自分に該当する保存済カスタマイズへのアクセス

この付録には次の項が含まれます:

- Oracle BIプレゼンテーション・サービスのユーザーのセキュリティ管理

- Oracle BIプレゼンテーション・サービスの管理ページの使用

- Oracle BIプレゼンテーション・サービスのユーザーの権限およびパーミッションの判別

- ユーザーへの共有ダッシュボードの提供

- ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御

- 他のユーザーの代理実行の有効化

D.1 Oracle BIプレゼンテーション・サービスのユーザーのセキュリティ管理

システム管理者は、認可されたユーザーのみがシステムにアクセスして適切な操作を実行できるようにするために、すべての機能(管理機能を含む)を確実に保護するようにビジネス・インテリジェンス・システムを構成する必要があります。また、管理者は、中間層の通信をすべて保護するようにシステムを構成できる必要があります。

この概要の項の内容は次のとおりです。

- 第D.1.1項「Oracle BIプレゼンテーション・サービスのセキュリティを設定する場所」

- 第D.1.2項「Oracle BIプレゼンテーション・サービスのセキュリティの目標」

- 第D.1.3項「ユーザーへの権限の割当て方法」

D.1.1 Oracle BIプレゼンテーション・サービスのセキュリティを設定する場所

プレゼンテーション・サービスのユーザーに影響するセキュリティの設定は、次のOracle Business Intelligenceコンポーネントで実行します。

- Oracle BI管理ツール — 次のタスクを実行できます。

- ビジネス・モデル、表、列およびサブジェクト・エリアに対する権限の設定

- ユーザーごとのデータベース・アクセスの指定

- ユーザーがアクセス可能なデータを制限するためのフィルタの指定

- 認証オプションの設定

詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

- Oracle BIプレゼンテーション・サービス管理 — ビューの編集、エージェントやプロンプトの作成などの機能にアクセスするための権限をユーザーに設定できます。

- Oracle BIプレゼンテーション・サービス — Oracle BIプレゼンテーション・カタログのオブジェクトに対する権限を割り当てることができます。
以前のリリースでは、プレゼンテーション・サービスの管理ページでオブジェクトに対する権限を割り当てることができました。このリリースでは、カタログ・マネージャ、またはプレゼンテーション・サービスの「カタログ」ページで権限を設定します。プレゼンテーション・サービスでの権限の割当て方法の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』を参照してください。

- カタログ・マネージャ — Oracle BIプレゼンテーション・カタログのオブジェクトに対する権限を設定できます。カタログ・マネージャの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle BIプレゼンテーション・カタログの構成と管理に関する項を参照してください。

注意:
セキュリティ管理者は、BI EE Answers内のサブジェクト・エリアのセキュリティ権限を編集しないようにレポート・ユーザーに通知する必要があります。データ・セキュリティは、セキュリティ管理者によって施行される必要があります。

D.1.2 Oracle BIプレゼンテーション・サービスのセキュリティの目標

プレゼンテーション・サービスでセキュリティを保持する場合は、次の点を保証する必要があります。

- プレゼンテーション・サービスにサインインしてアクセスできるのは、適切なユーザーのみです。BIサーバーを通じて、ユーザーにサインイン権限を割り当てて認証する必要があります。
認証は、ユーザー名とパスワードを使用して、ログオンしている人物を識別するプロセスです。その後、認証されたユーザーには、システム(この場合はプレゼンテーション・サービス)にアクセスするための適切な認可が与えられます。プレゼンテーション・サービスには専用の認証システムはなく、BIサーバーから継承した認証システムに依存しています。

プレゼンテーション・サービスにサインインしているすべてのユーザーに、AuthenticatedUserロールと、Fusion Middleware Controlで割り当てられたロールが付与されます。

認証の詳細は、第1.3項「認証について」を参照してください。

- ユーザーは、自分に該当するオブジェクトにのみアクセスできます。『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド.』で説明されているとおり、アクセス制御はパーミッションの形式で適用します。

- ユーザーは、自分に該当する機能にアクセスできます。ユーザー権限は権限の形式で適用します。たとえば、権限には、「システム全体の列書式の編集」や「エージェントの作成」などがあります。
ユーザーは特定の権限を付与されるか、または拒否されます。これらの対応付けは、第D.2.3項「プレゼンテーション・サービスの権限の管理」で説明されているとおり、権限割当て表で作成されます。

Oracle Business Intelligenceは、Webサーバーでシングル・サインオン機能を使用するように構成できます。プレゼンテーション・サービスは、エンド・ユーザーに関する情報を取得するときにこの機能を使用できます。シングル・サインオンの詳細は、第4章「SSO認証の有効化」を参照してください。

D.1.3 ユーザーへの権限の割当て方法

プレゼンテーション・サービスで権限を割り当てる場合は、次のいずれかの方法で割り当てることができます。

- アプリケーション・ロールに - これが、推奨される権限の割当て方法です。アプリケーション・ロールによって、ユーザーとその割当ての保守が簡単になります。アプリケーション・ロールでは、システムのアイデンティティ・ストアにそのロールを持つユーザーまたはグループに付与されるパーミッションのセットが定義されます。アプリケーション・ロールは、特定の条件に応じて割り当てられます。このため、アプリケーション・ロールは、認証が発生した時点の条件に基づいて動的に付与されます。
アプリケーション・ロールの詳細は、第1.4.1項「アプリケーション・ロールについて」を参照してください。

- 個々のユーザーに - パーミッションと権限を特定のユーザーに付与できますが、そのような割当ての保守は難しいため、この方法は推奨されません。

- カタログ・グループに - このアプローチは非推奨であり、以前のリリースとの下位互換性を保つためにのみ用意されています。
カタログ・グループの詳細は、第D.2.2項「カタログ・グループの使用」を参照してください。

D.2 Oracle BIプレゼンテーション・サービスの管理ページの使用

Oracle BIプレゼンテーション・サービスの管理ページを使用して、次の各項で説明されるタスクを実行できます。

- 第D.2.1項 「管理ページについて」

- 第D.2.2項「カタログ・グループの使用」

- 第D.2.3項「プレゼンテーション・サービスの権限の管理」

- 第D.2.4項「プレゼンテーション・サービスでのセッションの管理」

D.2.1 管理ページについて

メインの管理ページにはリンクが含まれていて、そこから、プレゼンテーション・サービスでユーザーに関連付けられた機能など、様々な機能を実行するための他の管理ページを表示できます。右上隅の「ヘルプ」ボタンをクリックすると、これらのすべてのページに関する情報を取得できます。

注意:
複数のユーザーが管理ページへのアクセス権を持っている場合は、他のユーザーの変更を上書きしてしまう可能性があるため注意してください。UserAとUserBの両方がプレゼンテーション・サービス管理の「権限の管理」ページにアクセスして変更しているとします。ユーザーBが権限を編集している間にユーザーAが同じ権限の更新を保存した場合、ユーザーBの変更内容は、ユーザーAが保存した変更内容によって上書きされてしまいます。

D.2.2 カタログ・グループの使用

カタログ・グループは引き続き使用できますが、ユーザーを編成するには、カタログ・グループではなくアプリケーション・ロールの使用に移行することをお薦めします。詳細は、「アプリケーション・ロールへのカタログ・グループの移行」を参照してください。

以前のリリースでは、カタログ・グループが、ユーザーを編成するために使用されていました。カタログ・グループのメンバーシップは、明示的割当てと継承のいずれかによってユーザーに関連付けられた権限を判別するために使用されました。このリリースでは、カタログ・グループは、次の特性を備えています。

- カタログ・グループと呼ばれる

- ユーザー、アプリケーション・ロールまたはその他のカタログ・グループを含めることができる

- 以前のグループとの互換性を維持する目的で、プレゼンテーション・サービスにのみ存在する

- 専用のパスワードはなくなった

プレゼンテーション・サービス管理者は、カタログ・グループの名前として、Oracle BIプレゼンテーション・サービスにログインするために使用されたユーザーIDとは異なる名前を使用する必要があります。ユーザーIDとカタログ・グループが同じ名前の場合、Oracle BIプレゼンテーション・サービスにログインしようとすると、無効なアカウントであることを示すメッセージを受け取ります。

この項には次のトピックが含まれます:

- 第D.2.2.1項「アプリケーション・ロールへのカタログ・グループの移行」

- 第D.2.2.2項「カタログ・グループの作成」

- 第D.2.2.3項「カタログ・グループの削除」

- 第D.2.2.4項「カタログ・グループの編集」

D.2.2.1 アプリケーション・ロールへのカタログ・グループの移行

カタログ・グループは以前のリリースのように引き続き機能しますが、今後のリリースではサポートされません。今すぐカタログ・グループをアプリケーション・ロールに移行することをお薦めします。カタログ・グループをアプリケーション・ロールに移行した後、カタログから手動で削除する必要があります。

この項では、カタログからアプリケーション・ロールにカタログ・グループを移行する方法およびカタログから削除する方法について説明します。

- 第D.2.2.1.1項「カタログ・グループ・レポートの生成」

- 第D.2.2.1.2項「アプリケーション・ロールへのカタログ・グループの移行」

- 第D.2.2.1.3項「11gから12cへの移行中のアプリケーション・ロールへのカタログ・グループの移行」

- 第D.2.2.1.4項「移行したアプリケーション・ロールの削除」

D.2.2.1.1 カタログ・グループ・レポートの生成

カタログ・グループを移行する前に、次に一致するレポートを実行します。

- 現在のカタログ・グループおよびそのメンバー。

- カタログ・グループを参照する権限。

- カタログ・グループを使用または参照するカタログ・パス。

カタログ・グループ・レポートを生成するには:

1. カタログ・グループおよびメンバーシップ情報を決定します。
次のコマンドを入力します。

runcat.cmd | runcat.sh -cmd report -offline <catalog path> -outputFile <output file> -type "Accounts" -accounts "group;;*" -fields "Account Name:Group Members" [-jaznFormat] [-excludeJaznHeader] [-expandGroups]

プレーン・テキストまたはJazn形式のカタログ・グループおよび各グループ内の関連付けられたメンバーのリストを生成します。

説明:

- jaznFormat
Jazn形式の出力ファイルを生成します(既存のグループから変換される新しいロールをインポートするために使用されます)。

- excludeJaznHeader
コンテンツを既存のJaznファイルに挿入できるように、ヘッダーなしでJaznファイルを生成します。

- expandGroups
子カタログ・グループのメンバーを展開およびリストするか、アプリケーション・ロール名のみリストします。

2. プレゼンテーション・サービスの「権限の管理」ページに保存される権限に使用するカタログ・グループを決定します(第2.6.3項「アプリケーション・ロールに対するプレゼンテーション・サービスの権限の設定」を参照)。
次のコマンドを入力します。

runcat.cmd | runcat.sh -cmd report -offline <catalog path> -outputFile <output file> -folder /system/privs -type "Security ACL" -accountsInPrivilege "group;;*" -fields "Path:Privilege"

カタログ・グループを参照する権限のリストを生成します。

3. カタログ・グループの参照を含むカタログ・オブジェクトのパスを決定します。
次のコマンドを入力します。

runcat.cmd | runcat.sh -cmd report -offline <catalog path> -outputFile <output file> -type "All" -accountsInACL "group;;*" -fields "Path:ACL"

カタログ・グループを使用または参照するカタログ・パスのリストを生成します。

D.2.2.1.2 アプリケーション・ロールへのカタログ・グループの移行

この項では、アプリケーション・ロールにカタログ・グループを移行する方法について説明します。

注意:
カタログ・グループはアプリケーション・ロールと異なり親から権限を継承できるため、カタログ・グループとアプリケーション・ロール間の直接的なマッピングはありません。

セキュリティの相違の確認

グループがアプリケーション・ロールに置き換えられる場合に発生する可能性がある動作の違いの詳細は、次の項を確認してください。

- 第D.3.1項「ユーザーの権限またはパーミッションの判別ルール」

- 第D.3.2項「アプリケーション・ロールによるユーザーの権限の判別例」

- 第D.3.3項「アプリケーション・ロールによるユーザーのパーミッションの判別例」

- 第D.3.4項「非推奨のカタログ・グループによるユーザーの権限の判別例」

- 第D.3.5項「非推奨のカタログ・グループによるユーザーのパーミッションの判別例」

カタログ・オブジェクトに1つ以上のカタログ・グループが含まれる場合、グループからロールへの自動変換はエラーが発生しやすく、手動の介入が必要になる場合があります。移行中にすべての潜在的なセキュリティの相違を確認してログに記録し、潜在的なセキュリティの問題のためにさらに調査する必要があるカタログ・オブジェクトを推奨します。

カタログ・グループをアプリケーション・ロールに移行するには:

1. 次のページから最上位レベルのカタログ・フォルダを確認します。
例:

http://example.com:9402/analytics/saw.dll?Admin

2. プレゼンテーション・サービスを停止し、次に移動します。
DOMAIN_HOME/bitools/bin/

たとえば、UNIXでは次のコマンドを実行します。

./stop.sh

3. 移行の変更を取り消すことができないため、カタログをバックアップします。
tarまたはzipなどのツールを使用します。

4. カタログ・グループをアプリケーション・ロールに移行し、グループをJaznファイル形式にエクスポートします。
オプションで、新しいアプリケーション・ロールの先頭に'_GRP2ROLE_'を付けるかどうかを制御します。

次のコマンドを入力します。

runcat.cmd/runcat.sh -cmd migrateWebcatGroupsToApproles -offline<catalog path> -outputFile <output JAZN File> [-noGroupPrefix]

- 新しいロールをインポートするために使用するJaznファイルを生成します。

- アップグレード中にカタログ・グループを削除し、アプリケーション・ロールで置き換えます。

- -noGroupPrefixを指定しないかぎり、新しいアプリケーション・ロールに接頭辞を付けます。

注意:
移行ログ・ファイルでは、次のように移行中にセキュリティの相違を強調表示できます。
複数のカタログ・グループが親/子関係を持つ場合、詳細な調査と手動の介入が必要な可能性があるオブジェクトとしてフラグが付けられます。セキュリティの相違がある可能性があるオブジェクトのORACLE_HOME/user_projects/domains/bi/servers/obips1/logs/ migratewebcatgroups_<timestamp>.logファイルを参照してください。ファイル形式は親/子関係を持つグループ名の<Object path>です。

D.2.2.1.3 11gから12cへの移行中のアプリケーション・ロールへのカタログ・グループの移行

11gから12cに移行する場合、このタスクを使用します。

11gから12cに移行中にカタログ・グループをアプリケーション・ロールに移行するには:

1. プレゼンテーション・サービスを停止します。

2. 移行の変更を取り消すことができないため、このコマンドを実行する前にカタログをバックアップします。
tarまたはzipなどのツールを使用します。

3. カタログ・グループおよびメンバーシップ情報を決定します。

次のコマンドを入力します。

runcat.cmd | runcat.sh -cmd report -offline <catalog path> -outputFile <output file> -type "Accounts" -accounts "group;;*" -fields "Account Name:Group Members" [-jaznFormat] [-excludeJaznHeader] [-expandGroups] [-noGroupPrefix]

プレーン・テキストまたはJazn形式のカタログ・グループおよび各グループ内の関連付けられたメンバーのリストを生成します。

説明:

- jaznFormat
Jazn形式の出力ファイルを生成します(既存のグループから変換される新しいロールをインポートするために使用されます)。

- excludeJaznHeader
コンテンツを既存のJaznファイルに挿入できるように、ヘッダーなしでJaznファイルを生成します。

- expandGroups
子カタログ・グループのメンバーを展開およびリストするか、アプリケーション・ロール名のみリストします。

- noGroupPrefix
-noGroupPrefixを指定しないかぎり、新しいアプリケーション・ロールに接頭辞を付けます。

4. カタログ・グループをアプリケーション・ロールに移行します(11gから12cにアップグレード中)。
次のコマンドを入力します。

runcat.cmd/runcat.sh -cmd upgradeCatalog -offline<catalog path> [-migrateGroups <withPrefix | noPrefix>]

- オプションで、アップグレード中にカタログ・グループを削除し、アプリケーション・ロールで置き換えます。

- オプションで、新しく置き換えられたアプリケーション・ロールが接頭辞を使用するかどうかを決定します。

5. 手順3「カタログ・グループおよびメンバーシップ情報を決定します。」で作成したJaznファイルをセキュリティ・システムにインポートします。

D.2.2.1.4 移行したアプリケーション・ロールの削除

移行したアプリケーション・ロールを削除するには:

詳細は、「アプリケーション・ロールの削除」を参照してください。

D.2.2.2 カタログ・グループの作成

リリース12.2.1以降で新しいカタログ・グループを作成しないことを強くお薦めします。

カタログ・グループは以前のリリースのように引き続き機能しますが、今後のリリースではサポートされません。今すぐカタログ・グループをアプリケーション・ロールに移行することをお薦めします。カタログ・グループをアプリケーション・ロールに移行した後、各オブジェクトに移動し、右クリックしてカタログ・グループを手動で削除する必要があります。

カタログ・グループを作成するには:

1. プレゼンテーション・サービスの「ホーム」ページで「管理」を選択します。

2. 「カタログ・グループの管理」リンクをクリックします。

3. 「新規カタログ・グループの作成」をクリックします。

4. 「グループの追加」ダイアログで、グループの名前を入力します。

5. シャトル制御を使用して、このグループに含めるカタログ・グループ、ユーザーおよびアプリケーション・ロールを選択します。

ヒント:
グループの継承と維持が複雑にならないようにするため、カタログ・グループにはアプリケーション・ロールを含めないことをお薦めします。特に、AuthenticatedUserロールは、作成した他のカタログ・グループに追加しないでください。これにより、ユーザーまたは認証されたユーザーが意図せずに別のカタログ・グループから権限を継承できないようにすることで、目的のカタログ・グループ(およびユーザー)のみが、指定した権限を持つようになります。

6. 「OK」をクリックします。

D.2.2.3 カタログ・グループの削除

カタログ・グループを削除するには:

これはグループを削除するだけで、権限および他のカタログ・オブジェクトの内部参照は削除されません。

1. プレゼンテーション・サービスの「ホーム」ページで「管理」を選択します。

2. 「カタログ・グループの管理」リンクをクリックします。

3. 「カタログ・グループの管理」ページで、削除するグループを1つ以上選択します。
目的のグループを見つけるには、「名前」フィールドにテキストを入力し、「検索」をクリックします。

4. 「選択したグループの削除」をクリックします。

5. 「OK」をクリックして、削除を確定します。

D.2.2.4 カタログ・グループの編集

カタログ・グループを編集するには:

1. プレゼンテーション・サービスの「ホーム」ページで「管理」を選択します。

2. 「カタログ・グループの管理」リンクをクリックします。

3. 「カタログ・グループの管理」ページで編集するグループを選択します。
目的のグループを見つけるには、「名前」フィールドにテキストを入力し、「検索」をクリックします。

「他のグループ」ボタンをクリックすると、次の25個のグループがリストに表示されます。

4. 「グループの編集」ダイアログで、名前の変更、またはアプリケーション・ロール、カタログ・グループおよびユーザーの追加や削除を行います。

5. 「OK」をクリックします。

D.2.3 プレゼンテーション・サービスの権限の管理

この項では、プレゼンテーション・サービスの権限について説明します。内容は次のとおりです。

- 第D.2.3.1項「プレゼンテーション・サービスの権限について」

- 第D.2.3.2項「アプリケーション・ロールに対するプレゼンテーション・サービスの権限の設定」

- 第D.2.3.3項「プレゼンテーション・サービスのデフォルトの権限割当て」

D.2.3.1 プレゼンテーション・サービスの権限について

プレゼンテーション・サービスの権限は、プレゼンテーション・サービスの機能にアクセスするためにユーザーが保持する権利を制御します。権限は、権限割当て表を使用して、特定のアプリケーション・ロール、個々のユーザーおよびカタログ・グループに対して付与または拒否されます。

パーミッションと同様に、権限は、明示的に設定されるか、またはロールやグループ・メンバーシップを通じて継承されます。権限の明示的な拒否は、付与され継承されたいかなる権限より優先されます。たとえば、列計算式を編集する権限へのアクセスを明示的に拒否されたユーザーが、その権限を継承しているアプリケーション・ロールのメンバーである場合、そのユーザーは列計算式を編集できません。

最も一般的に権限が付与されるロールは、BIContentAuthorまたはBIConsumerです。これにより、ユーザーはプレゼンテーション・サービスの共通の機能にアクセスできます。引き続き、カタログ・グループにも権限を付与できますが、アプリケーション・ロールへの付与に切り替えることをお薦めします。

D.2.3.2 アプリケーション・ロールに対するプレゼンテーション・サービスの権限の設定

プレゼンテーション・サービス管理の「権限の管理」ページから、プレゼンテーション・サービスの権限を、アプリケーション・ロール、個々のユーザーおよびカタログ・グループに対して設定できます。

詳細は、第2.6.3項「アプリケーション・ロールに対するPresentation Servicesの権限の設定」を参照してください。

D.2.3.3 プレゼンテーション・サービスのデフォルトの権限割当て

表D-1には、管理可能な権限と、デフォルトでその権限へのアクセス権が付与されているアプリケーション・ロールが一覧表示されています。詳細については、参照リンクも表に示されています。

これらの権限は、Oracle Business Intelligenceインフラストラクチャに適用されます。組織がビルトイン・アプリケーションを使用している場合は、いくつかの権限が事前に構成されている場合があります。詳細は、アプリケーションのドキュメントを参照してください。

注意:
KPIおよびKPIウォッチリストを構築する際、またはOracle Scorecard and Strategy Management内では、特定のタスクを実行するのに、特定の権限セットが必要になる場合があります。第D.2.3.3.4項「KPI、KPIウォッチリストおよびスコアカード用の権限の識別」を参照してください。

注意:
Oracle BI EE接続にSmartViewからログインするために必要なBIプレゼンテーション・サービス権限は、次のとおりです(詳細は、表D-1を参照してください)。

- SOAPにアクセス

- CatalogServiceサービスへのアクセス

- SecurityServiceサービスへのアクセス

- Oracle BI for Microsoft Officeへのアクセス

「共有カタログ」フォルダを開くアクセス権も必要です。

表D-1 Oracle Business Intelligenceインフラストラクチャの権限とデフォルト設定

コンポーネント

権限

説明

デフォルトでこの権限が付与されているロール

詳細の参考資料または参照リンク

アクセス

ダッシュボードへのアクセス

ユーザーにダッシュボードの表示を許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

アクセス

アンサーへのアクセス

ユーザーに分析エディタへのアクセスを許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析とはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のビューでのデータの表示と処理の構成に関する項

アクセス

BIコンポーザへのアクセス

ユーザーにBIコンポーザ・ウィザードへのアクセスを許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のBIコンポーザとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション設定の手動による変更に関する項

アクセス

デリバーへのアクセス

ユーザーにエージェントの作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のエージェントへのアクセスの制御についてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「エージェントの構成および管理」

アクセス

ブリーフィング・ブックへのアクセス

ユーザーにブリーフィング・ブックの表示とダウンロードを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の新規または既存のブリーフィング・ブックへのコンテンツの追加に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のPDFバージョンのブリーフィング・ブックにおける目次の変更に関する項

アクセス

モバイルへのアクセス

ユーザーにOracle Business Intelligence Mobileアプリケーションからプレゼンテーション・サービスへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Mobileユーザーズ・ガイド』の「Oracle BI Mobileの開始」

アクセス

管理へのアクセス

ユーザーにプレゼンテーション・サービスの管理ページへのアクセスを許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のアプリケーション・ロールおよびユーザーの構成に関する項

アクセス

セグメントへのアクセス

ユーザーにOracleのSiebel Marketingへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- Oracle Marketing Segmentationガイド

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のマーケティング・コンテンツ・サーバーへの接続の構成に関する項

アクセス

セグメント・ツリーへのアクセス

ユーザーにOracleのSiebel Marketing内のセグメント・ツリーへのアクセスを許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- Oracle Marketing Segmentationガイド

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のマーケティング・コンテンツ・サーバーへの接続の構成に関する項

アクセス

リスト・フォーマットへのアクセス

ユーザーにOracleのSiebel Marketing内のリスト・フォーマットへのアクセスを許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- Oracle Marketing Segmentationガイド

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のマーケティング・コンテンツ・サーバーへの接続の構成に関する項

アクセス

メタデータ・ディクショナリへのアクセス

ユーザーに、サブジェクト・エリア、フォルダ、列およびレベルのメタデータ・ディクショナリ情報へのアクセスを許可します。

BIサービス管理者

『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のメタデータ・ディクショナリ情報へのアクセスの提供に関する項

アクセス

Oracle BI for Microsoft Officeへのアクセス

「BIデスクトップ・ツールのダウンロード」リンクを「Oracle BI for MS Office」オプションとともに表示します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Microsoft Officeとの統合」

- 第D.2.3.3.2項「「Oracle BI for Microsoft Officeへのアクセス」権限」

アクセス

Oracle BIクライアント・インストーラへのアクセス

ユーザーにOracle BIクライアント・ツールのインストーラのダウンロードを許可します。このインストーラにより、Business Intelligence管理ツールとOracle Business Intelligenceジョブ・マネージャがインストールされます。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のBIデスクトップ・ツールのダウンロードに関する項

- Oracle Fusion Middleware Oracle Business Intelligenceインストレーション・ガイドのOracle Business Intelligenceクライアント・ツールのインストールおよびアンインストールに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Business Intelligenceを管理するシステム管理ツールに関する項

アクセス

カタログ・プレビュー・ペインUI

ユーザーに、各カタログ・オブジェクトの外観のプレビューを表示する、カタログ・プレビュー・ペインへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードでのビューの表示され方のプレビューに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「プレビュー」ペインに関する項

アクセス

エクスポートへのアクセス

「エクスポート」リンクなど、すべてのエクスポート機能へのアクセスを許可します。

さらに、Excelへのダッシュボードのエクスポート機能へのアクセス、つまり、「ダッシュボード全体のエクスポート」オプションおよび「現在のページのエクスポート」オプションへのアクセスを許可する場合は、「ダッシュボード全体をExcelにエクスポート」権限と「1つのダッシュボード・ページをExcelにエクスポート」権限をそれぞれ設定することも必要になります。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の結果のエクスポートおよびコピーに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Microsoft Officeとの統合」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のエクスポートの手動による構成に関する項

アクセス

KPI Builderへのアクセス

ユーザーにKPIの作成を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のKPIの作成方法に関する項

- 表D-2「KPIタスクに必要な権限」

アクセス

スコアカードへのアクセス

ユーザーに、Oracle BIスコアカードへのアクセスと、KPIウォッチリストへのアクセスも許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカードの作成方法に関する項

- 表D-4「スコアカードおよびスコアカード・オブジェクトのタスクに必要な権限」

アクション

ナビゲート・アクションの作成

ユーザーがアクション機能を使用できるかどうかを決定し、どのユーザー・タイプがアクションを作成できるかを指定する権限を設定します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の関連するコンテンツに移動するアクションに関する項

- 第D.2.3.3.1項「Oracle BI Enterprise Editionアクションへのアクセス」

アクション

起動アクションの作成

ユーザーがアクション機能を使用できるかどうかを決定し、どのユーザー・タイプがアクションを作成できるかを指定する権限を設定します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の外部システムで操作、関数またはプロセスを起動するアクションに関する項

- 第D.2.3.3.1項「Oracle BI Enterprise Editionアクションへのアクセス」

アクション

埋込みHTMLが含まれるアクションの保存

ユーザーにWebサービス・アクション結果のカスタマイズにHTMLコードを埋め込むことを許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のアクションを作成できるユーザーに関する項

- 第D.2.3.3.1項「Oracle BI Enterprise Editionアクションへのアクセス」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「アクションのオプション」ダイアログ: 「アクションの結果」タブに関する項

管理: カタログ

権限の変更

ユーザーにカタログ・オブジェクトの権限の変更を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「権限の管理」ページに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

管理: カタログ

メンテナンス・モードへの切替え

「メンテナンス・モードへの切替え」リンクをプレゼンテーション・サービスの管理ページに表示します。これによって、ユーザーはメンテナンス・モードのオンとオフとを切り替えることができます。メンテナンス・モードではカタログは読取り専用になるため、いずれのユーザーも書込みできません。

BIサービス管理者

『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」ページに関する項

管理: 一般

セッションの管理

プレゼンテーション・サービスの「管理」ページに「セッションの管理」リンクを表示します。このリンクは、ユーザーがセッションを管理できる「セッションの管理」ページを表示します。

BIサービス管理者

『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「セッションの管理」ページに関する項

管理: 一般

ダッシュボードの管理

ユーザーに、プロパティの編集を含め、ダッシュボードの作成と編集を許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「権限の管理」ページに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードの作成と使用」

管理: 一般

セッションIDの参照

ユーザーに「セッションの管理」ページでのセッションIDの参照を許可します。

BIサービス管理者

『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「セッションの管理」ページに関する項

管理: 一般

SQLの直接実行

プレゼンテーション・サービスの「管理」ページに「SQLの実行」リンクを表示します。このリンクは、ユーザーがSQL文を入力する「SQLの実行」ページを表示します。

BIサービス管理者

『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「SQLの発行」ページに関する項

管理: 一般

システム情報の表示

プレゼンテーション・サービスの管理ページの最上部に、システムに関する情報を表示することをユーザーに許可します。

BIサービス管理者

『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「権限の管理」ページに関する項

管理: 一般

パフォーマンスのモニター

ユーザーにパフォーマンスのモニターを許可します。

BIサービス管理者

Oracle Fusion Middleware Oracle Business Intelligence Publisher管理者および開発者ガイドの診断およびパフォーマンスの監視に関する項

管理: 一般

エージェント・セッションの管理

プレゼンテーション・サービスの管理ページに「エージェント・セッションの管理」リンクを表示します。このリンクは、ユーザーがエージェント・セッションを管理できる「エージェント・セッションの管理」ページを表示します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「エージェント・セッションの管理」ページに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「エージェントの構成および管理」

管理: 一般

デバイス・タイプの管理

プレゼンテーション・サービスの管理ページに「デバイス・タイプの管理」リンクを表示します。このリンクは、ユーザーがエージェントのデバイス・タイプを管理できる「デバイス・タイプの管理」ページを表示します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「デバイス・タイプの管理」ページに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のエージェントのデバイス・タイプの管理に関する項

管理: 一般

マップ・データの管理

プレゼンテーション・サービスの管理ページに「マップ・データの管理」リンクを表示します。このリンクは、ユーザーがマップ・ビューのレイヤー、背景マップおよびイメージを編集する「マップ・データの管理」ページを表示します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「マップ・データの管理」ページに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のマップの管理に関する項

管理: 一般

権限エラーの参照

ユーザーに権限エラー・メッセージの参照を許可します。ユーザーは、データベース接続に関する詳細なエラー・メッセージ、またはより低レベルのコンポーネントで障害が生じた場合はその他の詳細を参照できます。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「権限の管理」ページに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「Oracle BIの問題の診断および解決」

管理: 一般

エラーで発行されたSQLの参照

エラー・メッセージでBIサーバーによって返されたSQL文の参照をユーザーに許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「権限の管理」ページに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「Oracle BIの問題の診断および解決」

管理: 一般

グローバル変数の管理

ユーザーにグローバル変数の管理(作成、更新および削除)を許可します。グローバル変数は、分析の作成プロセスで作成されます。

BIサービス管理者

『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のグローバル変数とはに関する項

管理: 一般

マーケティング・ジョブの管理

プレゼンテーション・サービスの管理ページに「マーケティング・ジョブの管理」リンクを表示します。このリンクは、ユーザーがマーケティング・ジョブを管理できる「マーケティング・ジョブの管理」ページを表示します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- Oracle Marketing Segmentationガイド

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のマーケティング・コンテンツ・サーバーへの接続の構成に関する項

管理: 一般

マーケティング・デフォルトの管理

プレゼンテーション・サービスの管理ページに「マーケティング・デフォルトの管理」リンクを表示します。このリンクは、ユーザーがOracleのSiebel Marketingアプリケーションのデフォルトを管理できる「マーケティング・デフォルトの管理」ページを表示します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- Oracle Marketing Segmentationガイド

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のマーケティング・コンテンツ・サーバーへの接続の構成に関する項

管理: セキュリティ

カタログ・グループの管理

プレゼンテーション・サービスの管理ページに「カタログ・グループの管理」リンクを表示します。このリンクは、ユーザーがカタログ・グループを編集する「カタログ・グループの管理」ページを表示します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「カタログ・グループの管理」ページに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

管理: セキュリティ

権限の管理

プレゼンテーション・サービスの管理ページに「権限の管理」リンクを表示します。このリンクは、この表で説明されている権限をユーザーが管理する「権限の管理」ページを表示します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの所有権の割当てに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

管理: セキュリティ

カタログ・オブジェクトの所有権の設定

ユーザーに、作成しなかったため所有権を持っていないカタログ項目の所有権を保持することを許可します。「プロパティ」ページで、個々のオブジェクトには「この項目の所有権を設定」リンクを表示し、フォルダには「この項目の所有権を設定」リンクを表示します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「カタログ・グループの管理」ページに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

管理: セキュリティ

ユーザー移入 - ユーザーをリスト可能

ユーザーに、権限の割当てなどのタスクの実行対象にできるユーザーのリストの参照を許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のパーミッションとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle WebLogic Server管理コンソールに関する項

管理: セキュリティ

ユーザー移入 - グループをリスト可能

ユーザーに、権限の割当てなどのタスクの実行対象にできるグループのリストの参照を許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のパーミッションとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle WebLogic Server管理コンソールに関する項

管理: セキュリティ

ユーザー移入 - アプリケーション・ロールをリスト可能

ユーザーに、権限の割当てなどのタスクの実行対象にできるアプリケーション・ロールのリストの参照を許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のパーミッションとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle WebLogic Server管理コンソールに関する項

管理: セキュリティ

「権限」ダイアログへのアクセス

カタログ・オブジェクに対する権限を設定できる「権限」ダイアログへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のパーミッションとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle WebLogic Server管理コンソールに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

ブリーフィング・ブック

ブリーフィング・ブックに追加またはブリーフィング・ブックを編集

ダッシュボードのページや分析の「ブリーフィング・ブックに追加」リンクとブリーフィング・ブック内の「編集」リンクの参照を許可します。

BIコンテンツ作成者

『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のブリーフィング・ブックの使用に関する項

ブリーフィング・ブック

スナップショット・ブリーフィング・ブックに追加

スナップショットとしてブリーフィング・ブックへのコンテンツの追加を許可します(つまり、「ブリーフィング・ブックのコンテンツの保存」ダイアログおよび「ページのプロパティ」ダイアログで「コンテンツ・タイプ」の「スナップショット」オプションが使用可能になります)。

BIコンシューマ

『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の新規または既存のブリーフィング・ブックへのコンテンツの追加に関する項

ブリーフィング・ブック

ブリーフィング・ブックのダウンロード

ユーザーにブリーフィング・ブックのダウンロードを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のブリーフィング・ブックのダウンロードに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のPDFバージョンのブリーフィング・ブックにおける目次の変更に関する項

カタログ

個人用ストレージ

ユーザーに、専用のMy Foldersフォルダへの書込みアクセス権を許可し、そこにコンテンツを作成できるようにします。この権限を持っていないユーザーは、電子メール・アラートは受信できますが、ダッシュボード・アラートは受信できません。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEオブジェクトを格納および管理する場所に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のテナントのカタログ・オブジェクトの保護に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

メタデータの再ロード

ユーザーに、「サブジェクト・エリア」ペインの「リフレッシュ」メニューでの「サーバー・メタデータの再ロード」リンクのクリックを許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「サブジェクト領域」ペイン(ツールバー - 「リフレッシュ」ボタン)に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のオンラインとオフラインのリポジトリ・モードの使用に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

非表示の項目の参照

ユーザーに、カタログ・フォルダ内の非表示項目の参照を許可します。ユーザーは、「カタログ」ページの「非表示項目の表示」ボックスも選択できます。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「カタログ」ページ(「非表示項目の表示」)に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のプレゼンテーション・オブジェクトの表示の制御に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

フォルダの作成

ユーザーに、カタログ内でのフォルダの作成を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

カタログのアーカイブ

ユーザーにカタログ内のフォルダとオブジェクトのアーカイブを許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

カタログのアンアーカイブ

ユーザーに、以前にアーカイブされたカタログ・オブジェクトのアンアーカイブを許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

ファイルのアップロード

ユーザーに、既存のカタログへのファイルのアップロードを許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle Business Intelligence Add-in for Microsoft Officeを使用したMicrosoft Officeとの統合に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のカタログ・オブジェクトの権限の設定に関する項

カタログ

グローバル検索の実行

ユーザーに基本カタログ検索を使用したカタログの検索を許可します。これは、デフォルトでOracle BI Enterprise Editionインストールに含まれています。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの検索方法に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Secure Enterprise Searchでの検索の構成に関する項

カタログ

拡張検索の実行

ユーザーに全文検索を使用したカタログの検索を許可します。全文検索を使用するには、管理者は、Oracle BI Enterprise EditionをOracle Secure Enterprise Searchと統合する必要があります。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの検索方法に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Secure Enterprise Searchでの検索の構成に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Endeca Serverでの検索の構成に関する項

条件

条件の作成

ユーザーに、名前付きの条件の作成または編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の名前付き条件とはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

ダッシュボード

カスタマイズの保存

ユーザーに、最もよく使用する項目や好みの項目を使用した現在の状態でダッシュボード・ページを保存し、後で表示することを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボード・ページの保存済カスタマイズとはに関する項

- 第D.5項「ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御」

ダッシュボード

デフォルト・カスタマイズの割当て

ユーザーに、最もよく使用する項目や好みの項目を使用した現在の状態でダッシュボード・ページを保存し、後で表示することを許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボード・ページの保存済カスタマイズとはに関する項

- 第D.5項「ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御」

ダッシュボード

ブックマーク・リンクの作成

ダッシュボード・ページで「ページ・オプション」メニューの「ブックマーク・リンクの作成」オプションを表示することにより、ブックマーク・リンクの作成を許可します。ただし、ブックマーク・リンクの作成機能が有効になっている場合のみです。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボード・ページへのリンクの作成についてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のダッシュボード・ページへのリンク作成機能の有効化に関する項

ダッシュボード

プロンプト・リンクの作成

ダッシュボード・ページで「ページ・オプション」メニューの「プロンプト・リンクの作成」オプションを表示することにより、プロンプト・リンクの作成を許可します。ただし、プロンプト・リンクの作成機能が有効になっている場合のみです。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボード・ページへのリンクの作成についてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のダッシュボード・ページへのリンク作成機能の有効化に関する項

ダッシュボード

ダッシュボード全体をExcelにエクスポート

ダッシュボード・ページで「ページ・オプション」メニューの「ダッシュボード全体のエクスポート」オプションを表示することにより、ダッシュボード全体のExcelへのダウンロードを許可します。

「エクスポートのアクセス権」権限も設定する必要があります。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の結果のエクスポートおよびコピーに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle BI Publisherへのダッシュボード・ページのエクスポート機能の有効化に関する項

ダッシュボード

1つのダッシュボード・ページをExcelにエクスポート

ダッシュボード・ページで「ページ・オプション」メニューの「現在のページのエクスポート」オプションを表示することにより、1つのダッシュボード・ページのExcelへのダウンロードを許可します。

「エクスポートのアクセス権」権限も設定する必要があります。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の結果のエクスポートおよびコピーに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle BI Publisherへのダッシュボード・ページのエクスポート機能の有効化に関する項

書式設定

システム全体の列書式の保存

ユーザーに、列の書式の指定時にシステム全体のデフォルトを保存することを許可します。

BIサービス管理者

『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の書式設定のデフォルトの保存に関する項

ホームおよびヘッダー

ホーム・ページにアクセス

ユーザーにグローバル・ヘッダーからホーム・ページへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEホーム・ページとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ホーム」ページに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

カタログUIにアクセス

ユーザーにグローバル・ヘッダーからカタログへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「カタログ」ページに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

カタログ検索UIにアクセス

ユーザーにグローバル・ヘッダーから検索フィールドへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの検索方法に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「検索」ペインに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

単純検索フィールド

ユーザーにグローバル・ヘッダーの「検索」フィールドへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの検索方法に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「検索」ペインに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

「拡張検索」リンク

ユーザーにグローバル・ヘッダーの「詳細」リンクへのアクセスをに許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの検索方法に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「検索」ペインに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「カタログ」ページに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

メニューを開く

ユーザーにグローバル・ヘッダーから「開く」メニューへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「開く」ダイアログに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

新規メニュー

ユーザーにグローバル・ヘッダーから「新規」メニューへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

ヘルプ・メニュー

ユーザーにグローバル・ヘッダーから「ヘルプ」メニューへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

ダッシュボード・メニュー

ユーザーにグローバル・ヘッダーから「ダッシュボード」メニューへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードのオープンと使用」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスに対する拡張構成の変更に関する項

ホームおよびヘッダー

お気に入りメニュー

ユーザーにグローバル・ヘッダーから「お気に入り」メニューへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のお気に入りとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスに対する拡張構成の変更に関する項

ホームおよびヘッダー

「マイ・アカウント」リンク

ユーザーに、グローバル・ヘッダーで「次としてサインイン」名をクリックした際に「マイ・アカウント」リンクにアクセスする権限を許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「マイ・アカウント」ダイアログに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

ホームおよびヘッダー

カスタム・リンク

ユーザーに、管理者がグローバル・ヘッダーに追加したカスタム・リンクへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

マイ・アカウント

マイ・アカウントへのアクセス

ユーザーに「マイ・アカウント」ダイアログへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の他のユーザーの代理についてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「マイ・アカウント」ダイアログに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

マイ・アカウント

プリファレンスの変更

ユーザーに、「マイ・アカウント」ダイアログの「プリファレンス」タブへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のプリファレンスの設定に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「マイ・アカウント」ダイアログ: 「プリファレンス」タブに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

マイ・アカウント

配信オプションの変更

ユーザーに、「マイ・アカウント」ダイアログの「配信オプション」タブへのアクセスを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のOracle BI EEグローバル・ヘッダーとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のデバイスと配信プロファイルとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のプリファレンスの設定に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「マイ・アカウント」ダイアログ: 「配信オプション」タブに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプレゼンテーション・サービスでのカスタム・リンクの提供に関する項

アンサー

ビューの作成

ユーザーにビューの作成を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のビューとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のビューでのデータの表示と処理の構成に関する項

アンサー

プロンプトの作成

ユーザーにプロンプトの作成を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードと分析でのプロンプト」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のプロンプトの構成に関する項

アンサー

「詳細」タブにアクセス

ユーザーに、分析エディタの「詳細設定」タブへのアクセスを許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析エディタとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析用論理SQL文の確認に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「論理SQLリファレンス」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析エディタ: 「詳細設定」タブに関する項

アンサー

列式の編集

ユーザーに列式の編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の列の式の編集に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「列式の編集」ダイアログに関する項

アンサー

HTMLマークアップを含むコンテンツの保存

分析およびダッシュボードでのHTMLマークアップを許可することに加えて、ユーザーに、Oracle Scorecard and Strategy Managementでのミッション・ステートメントとビジョン・ステートメントの保存も許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のHTMLマークアップの操作に関する項

- 第D.2.3.3.3項「「HTMLマークアップを含むコンテンツの保存」権限」

アンサー

XMLと論理SQLの入力

ユーザーに「高度なSQL」タブの使用を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析エディタとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析用論理SQL文の確認に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「論理SQLリファレンス」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析エディタ: 「詳細設定」タブに関する項

アンサー

直接データベース分析の編集

ユーザーに、バックエンド・データ・ソースに直接送信されるリクエストの作成と編集を許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の直接データベース・リクエストの使用に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の直接リクエストの権限の設定に関する項

アンサー

単純SQLからの分析の作成

ユーザーに「サブジェクト・エリアの選択」リストでの「単純SQLからの分析の作成」オプションの選択を許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析用論理SQL文の確認に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「論理SQLリファレンス」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析エディタ: 「詳細設定」タブに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「分析単純SQL文」ダイアログに関する項

アンサー

高度なフィルタの作成と操作の設定

ユーザーに次のコンポーネントへのアクセスを許可します。

- 分析エディタの「基準」タブでの「論理和、論理積、および論理差の演算に基づいた結果を結合します。」ボタン。このオプションにより、ユーザーはUnionやIntersectなどの集合演算を使用して1つ以上のサブジェクト・エリアからの列を結合できます。

- 「新規フィルタ」ダイアログの「別の分析の結果に基づく」オプション。このオプションにより、ユーザーは保存済分析をフィルタとして使用できます。

- 「新規フィルタ」ダイアログの「このフィルタをSQLに変換する」オプション。このオプションにより、ユーザーは分析の列フィルタに対してSQL文を作成および編集できます。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の集合演算を使用した列の結合に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の保存済分析のフィルタとしての使用に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析の列フィルタに対するSQL文の作成または編集に関する項

アンサー

フィルタの保存

ユーザーにフィルタの保存を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のインラインまたは名前付きでのフィルタの保存に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「フィルタ」ペインに関する項

アンサー

列の保存

ユーザーに、別の分析で再度使用するために、カタログへの列の保存を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の列のカタログへの保存に関する項を参照。

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の選択された「列」ペインに関する項を参照。

アンサー

EVALUATE_PREDICATE関数の追加

ユーザーに、EVALUATE_PREDICATE関数のインライン・フィルタへの追加を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のEVALUATE_PREDICATE関数での作業に関する項を参照。

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のフィルタ・ペイン(「EVALUATE_PREDICATE関数の追加」コンポーネント)に関する項を参照。

アンサー

直接データベース分析の実行

ユーザーに、バックエンド・データ・ソースへのリクエストの直接発行を許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の直接データベース・リクエストの使用に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の分析エディタ: 「基準」タブ(直接データベース・リクエスト・コンポーネント)に関する項

デリバー

エージェントの作成

ユーザーにエージェントの作成を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のエージェントの作成に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「エージェントの構成および管理」

デリバー

エージェントの登録を公開

ユーザーに、エージェントの登録の公開を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のエージェントへのアクセスの制御についてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「エージェントの構成および管理」

デリバー

特定のユーザーまたは動的に決定されるユーザーにエージェントを配信

ユーザーに、エージェントの他のユーザーへの配信を許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のエージェントへのアクセスの制御についてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「エージェントの構成および管理」

デリバー

エージェントの結合

ユーザーにエージェントの結合を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のエージェントへのアクセスの制御についてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「エージェントの構成および管理」

デリバー

エージェントの現在の登録の変更

ユーザーに、ユーザーの登録解除を含め、エージェントの現在の登録の変更を許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のエージェントへのアクセスの制御についてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「エージェントの構成および管理」

代理

代理として実行

ユーザーに、他のユーザーのプロキシ・ユーザーとして実行することを許可します。

拒否: BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の他のユーザーの代理に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「別ユーザーとして実行」ダイアログに関する項

- 第D.6項「他のユーザーの代理実行の有効化」

RSSフィード

RSSフィードへのアクセス

ユーザーに、アラートとフォルダのコンテンツを伴うRSSフィードへの登録と受信を許可します。

プレゼンテーション・サービスがHTTPSプロトコルを使用している場合は、使用するRSSリーダーもHTTPSプロトコルをサポートしている必要があります。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のアラートのRSSフィードへの登録に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「アラート」ダイアログに関する項

スコアカード

スコアカードの作成/編集

ユーザーにスコアカードの作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカードの作成方法に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカードの権限とパーミッションについてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecardと戦略管理のためのリポジトリの構成に関する項

- 第D.2.3.3.4項「KPI、KPIウォッチリストおよびスコアカード用の権限の識別」

スコアカード

スコアカードの表示

ユーザーにスコアカードの表示を許可します。ユーザーは、KPIウォッチリスト・エディタにアクセスして、KPIウォッチリストの表示または編集のいずれかを行う場合、この権限か、「スコアカード - スコアカードの作成/編集」権限を必要とします。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカードの作成方法に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカードの権限とパーミッションについてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecardと戦略管理のためのリポジトリの構成に関する項

- 第D.2.3.3.4項「KPI、KPIウォッチリストおよびスコアカード用の権限の識別」

スコアカード

目標の作成/編集

ユーザーに目標の作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の目標の作成に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカードの権限とパーミッションについてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecardと戦略管理のためのリポジトリの構成に関する項

- 第D.2.3.3.4項「KPI、KPIウォッチリストおよびスコアカード用の権限の識別」

スコアカード

イニシアティブの作成/編集

ユーザーにイニシアティブの作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のイニシアティブの作成に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカードの権限とパーミッションについてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecardと戦略管理のためのリポジトリの構成に関する項

- 第D.2.3.3.4項「KPI、KPIウォッチリストおよびスコアカード用の権限の識別」

スコアカード

ビューの作成

ユーザーに、企業戦略を提示および分析するスコアカード・オブジェクト(ビジョン記述書およびミッション記述書、戦略マップ、原因/結果マップなど)の作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカード・オブジェクトとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカードの権限とパーミッションについてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecardと戦略管理のためのリポジトリの構成に関する項

- 第D.2.3.3.4項「KPI、KPIウォッチリストおよびスコアカード用の権限の識別」

スコアカード

原因と結果関連の作成/編集

ユーザーに、原因と結果関連の作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の原因/結果マップとはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカードの権限とパーミッションについてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecardと戦略管理のためのリポジトリの構成に関する項

- 第D.2.3.3.4項「KPI、KPIウォッチリストおよびスコアカード用の権限の識別」

スコアカード

パースペクティブの作成/編集

ユーザーにパースペクティブの作成と編集を許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のカスタム・パースペクティブの作成に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカードの権限とパーミッションについてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecardと戦略管理のためのリポジトリの構成に関する項

- 第D.2.3.3.4項「KPI、KPIウォッチリストおよびスコアカード用の権限の識別」

スコアカード

注釈の追加

ユーザーに、KPIとスコアカード・コンポーネントへのコメントの追加を許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のコメントおよびステータスのオーバーライドのためのリポジトリの構成に関する項

- 第D.2.3.3.4項「KPI、KPIウォッチリストおよびスコアカード用の権限の識別」

スコアカード

ステータスのオーバーライド

ユーザーに、KPIとスコアカード・コンポーネントのステータスのオーバーライドを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のコメントおよびステータスのオーバーライドのためのリポジトリの構成に関する項

- 第D.2.3.3.4項「KPI、KPIウォッチリストおよびスコアカード用の権限の識別」

スコアカード

KPIの作成/編集

ユーザーに、KPIおよびKPIウォッチリストの作成および編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のキー・パフォーマンス・インディケータ(KPI)とはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のウォッチリストの理解に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカードの権限とパーミッションについてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecardと戦略管理のためのリポジトリの構成に関する項

- 第D.2.3.3.4項「KPI、KPIウォッチリストおよびスコアカード用の権限の識別」

スコアカード

KPIのデータベースへのライトバック

ユーザーに、KPIの実際の値やターゲット設定値のリポジトリへの入力および送信を許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のターゲット設定とはに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「列のプロパティ」ダイアログ: 「ライトバック」タブに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカードの権限とパーミッションについてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecardと戦略管理のためのリポジトリの構成に関する項

- 第D.2.3.3.4項「KPI、KPIウォッチリストおよびスコアカード用の権限の識別」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードでのライトバックの構成に関する項

スコアカード

ダッシュボードへのスコアカード・ビューの追加

ユーザーに、スコアカード・ビュー(戦略ツリー)およびKPIウォッチリストのダッシュボードへの追加を許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のダッシュボードへのスコアカード・オブジェクトの追加に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のスコアカードの権限とパーミッションについてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle Scorecardと戦略管理のためのリポジトリの構成に関する項

- 第D.2.3.3.4項「KPI、KPIウォッチリストおよびスコアカード用の権限の識別」

リスト・フォーマット

リスト・フォーマットの作成

ユーザーに、OracleのSiebel Marketingでのリスト・フォーマットの作成を許可します。

BIコンテンツ作成者

Oracle Marketing Segmentationガイド

リスト・フォーマット

ヘッダーとフッターの作成

ユーザーに、OracleのSiebel Marketingでのリスト・フォーマットのヘッダーとフッターの作成を許可します。

BIコンテンツ作成者

- Oracle Marketing Segmentationガイド

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のヘッダーおよびフッターを含むダッシュボード・ページのデフォルトの指定に関する項

リスト・フォーマット

「アクセス・オプション」タブ

ユーザーに、OracleのSiebel Marketingでのリスト・フォーマットの「オプション」タブへのアクセスを許可します。

BIコンテンツ作成者

Oracle Marketing Segmentationガイド

リスト・フォーマット

リスト・フォーマット列の追加/削除

ユーザーに、OracleのSiebel Marketingでのリスト・フォーマットの列の追加と削除を許可します。

BIサービス管理者

Oracle Marketing Segmentationガイド

セグメンテーション

セグメントの作成

ユーザーに、OracleのSiebel Marketingでのセグメントの作成を許可します。

BIコンテンツ作成者

Oracle Marketing Segmentationガイド

セグメンテーション

セグメント・ツリーの作成

ユーザーに、OracleのSiebel Marketingでのセグメント・ツリーの作成を許可します。

BIコンテンツ作成者

Oracle Marketing Segmentationガイド

セグメンテーション

保存された結果セットの作成/パージ

ユーザーに、OracleのSiebel Marketingでの保存済結果セットの作成とパージを許可します。

BIサービス管理者

Oracle Marketing Segmentationガイド

セグメンテーション

セグメントの「高度なオプション」タブへのアクセス

ユーザーに、OracleのSiebel Marketingのセグメントの「高度なオプション」タブへのアクセスを許可します。

BIサービス管理者

Oracle Marketing Segmentationガイド

セグメンテーション

セグメント・ツリーの「高度なオプション」タブへのアクセス

ユーザーに、OracleのSiebel Marketingのセグメント・ツリーの「高度なオプション」タブへのアクセスを許可します。

BIサービス管理者

Oracle Marketing Segmentationガイド

セグメンテーション

セグメント・デザイナ内のターゲット・レベルの変更

ユーザーに、OracleのSiebel Marketingのセグメント・デザイナ内のターゲット・レベルの変更を許可します。

BIサービス管理者

Oracle Marketing Segmentationガイド

モバイル

ローカル・コンテンツの有効化

Oracle Business Intelligence Mobileのユーザーに、BIコンテンツのローカル・コピーをモバイル機器に保存することを許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Mobileユーザーズ・ガイド』の「Oracle BI Mobileの開始」

モバイル

検索の有効化

Oracle Business Intelligence Mobileのユーザーにカタログの検索を許可します。

BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「Oracle BIプレゼンテーション・カタログ内のオブジェクトの管理」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のオブジェクトの検索方法に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Mobileユーザーズ・ガイド』の検索の実行に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Secure Enterprise Searchでの検索の構成に関する項

SOAP

SOAPにアクセス

ユーザーに、各種Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のAccessControlToken構造体に関する項

SOAP

システム・ユーザーとして偽装

ユーザーに、Webサービスを使用するシステム・ユーザーの偽装を許可します。

BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のimpersonate()メソッドに関する項

SOAP

MetadataServiceサービスへのアクセス

ユーザーに、MetadataService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のMetadataServiceサービスに関する項

SOAP

ReportEditingServiceサービスのアクセス

ユーザーに、ReportEditingService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のReportEditingServiceサービスに関する項

SOAP

ConditionEvaluationServiceサービスへのアクセス

ユーザーに、ConditionEvaluationService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のConditionServiceサービスに関する項

SOAP

CatalogIndexingServiceサービスへのアクセス

全文検索に使用する目的でOracle BIプレゼンテーション・カタログを索引付けするためにCatalogIndexingService Webサービスへアクセスすることをユーザーに許可します。

BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の全文検索の構成の共通手順に関する項

SOAP

DashboardServiceサービスへのアクセス

ユーザーに、DashboardService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 付録D「ダッシュボードと分析のセキュリティの管理」

SOAP

SecurityServiceサービスへのアクセス

ユーザーに、SecurityService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のSecurityServiceサービスに関する項

SOAP

SchedulerServiceサービスへのアクセス

ユーザーに、SchedulerService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のSchedulerServiceサービスに関する項

SOAP

テナント情報へのアクセス

内部使用のみ。

BIシステム

『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のテナントの使用に関する項

SOAP

ScorecardMetadataServiceサービスへのアクセス

ユーザーに、ScorecardMetadataService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のScorecardMetadataServiceサービスに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のScorecardMetadataServiceサービスに関する項

SOAP

ScorecardAssessmentServiceサービスへのアクセス

ユーザーに、ScorecardAssessmentService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のScorecardAssessmentServiceサービスに関する項

SOAP

HtmlViewServiceサービスへのアクセス

ユーザーに、HtmlViewService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のHtmlViewServiceサービスに関する項

SOAP

CatalogServiceサービスへのアクセス

ユーザーに、CatalogService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

Oracle Fusion Middleware Oracle Identity Manager Java APIリファレンス

SOAP

iBotServiceサービスのアクセス

ユーザーに、iBotService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のiBotServiceサービスに関する項

SOAP

XmlGenerationServiceサービスへのアクセス

ユーザーに、XmlGenerationService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のXMLQueryExecutionOptions構造体に関する項

SOAP

JobManagementServiceサービスへのアクセス

ユーザーに、JobManagementService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のJobManagementServiceサービスに関する項

SOAP

KPIAssessmentServiceサービスへのアクセス

ユーザーに、KPIAssessmentService Webサービスへのアクセスを許可します。

BIコンシューマ、BIシステム

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』の「Oracle Business Intelligence Webサービスの概要」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のKPIAssessmentServiceサービスに関する項

サブジェクト・エリア (名前別)

Oracle Business Intelligence内でのアクセス

ユーザーに、Oracle Business Intelligenceエディタ内の指定のサブジェクト・エリアへのアクセスを許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「サブジェクト領域」ペインからのメタデータ情報の表示に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のプレゼンテーション・レイヤー・オブジェクトに対する権限の設定に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のメタデータ・ディクショナリ情報へのアクセスの提供に関する項

ビュー

アナライザビューの追加と編集

ユーザーにアナライザ・ビューへのアクセスを許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「管理」: 「権限の管理」ページに関する項

- Oracle Fusion Middleware Oracle Business Intelligence Publisherユーザーズ・ガイドのAnalyzer for Excelの使用に関する項

ビュー

列セレクタビューの追加と編集

ユーザーに列セレクタ・ビューの作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

複合レイアウトビューの追加と編集

ユーザーに複合レイアウト・ビューの作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の複合レイアウトに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

グラフビューの追加と編集

ユーザーにグラフ・ビューの作成と編集を許可します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: データ・ビュー・エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

ファンネルビューの追加と編集

ユーザーにファンネル・グラフ・ビューの作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: データ・ビュー・エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

ゲージビューの追加と編集

ユーザーにゲージ・ビューの作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: データ・ビュー・エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

マイクロ・チャートビューの追加と編集

ユーザーにマイクロ・チャートの作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: データ・ビュー・エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

フィルタビューの追加と編集

ユーザーにフィルタ・ビューの作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

ダッシュボード・プロンプトビューの追加と編集

ユーザーにダッシュボード・プロンプト・ビューの作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

パフォーマンス・タイルビューの追加と編集

ユーザーに、パフォーマンス・タイル・ビューの作成と編集を許可します。

BIコンテンツ作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: データ・ビュー・エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

静的テキストビューの追加と編集

ユーザーに静的テキスト・ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: 「静的テキスト」エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

凡例ビューの追加と編集

ユーザーに凡例ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: 「凡例」エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

マップビューの追加と編集

ユーザーにマップ・ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: データ・ビュー・エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

ナレーティブビューの追加と編集

ユーザーにナレーティブ・ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: 「ナレーティブ」エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

結果なしビューの追加と編集

ユーザーに結果なしビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「分析プロパティ」ダイアログ: 「結果の表示」タブに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

ピボット表ビューの追加と編集

ユーザーにピボット表ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: データ・ビュー・エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の表およびピボット・テーブルのデータに対する構成オプションを設定するためのFusion Middleware Controlの使用に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

レポート・プロンプトビューの追加と編集

ユーザーにプロンプト・ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

セグメントの作成ビューの追加と編集

ユーザーにセグメント・ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: 「セグメントの作成」エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

選択ステップビューの追加と編集

ユーザーに選択ステップ・ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

論理SQLビューの追加と編集

ユーザーに論理SQLビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の使用可能な論理SQLビューのタイプに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

表ビューの追加と編集

ユーザーに表ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: データ・ビュー・エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の表およびピボット・テーブルのデータに対する構成オプションを設定するためのFusion Middleware Controlの使用に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

ターゲット・リストを作成ビューの追加と編集

ユーザーにターゲット・リスト・ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: 「ターゲット・リストを作成」エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

ティッカビューの追加と編集

ユーザーにティッカ・ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: 「ティッカ」エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

タイトルビューの追加と編集

ユーザーにタイトル・ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: 「タイトル」エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

トレリスビューの追加と編集

ユーザーに、トレリス・ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: データ・ビュー・エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

ビュー・セレクタビューの追加と編集

ユーザーにビュー・セレクタ・ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: 「ビュー・セレクタ」エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ビュー

ツリーマップビューの追加と編集

ユーザーに、ツリーマップ・ビューの作成と編集を許可します。

BI作成者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「ダッシュボードでの表示用のビューの追加」

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の「結果」タブ: データ・ビュー・エディタに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の「分析とダッシュボードの構成および管理」

ライトバック

データベースへのライトバック

データ・ソースにデータを書き込む権限を付与します。

拒否: BIコンシューマ

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の値の変更とライトバックの実行に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のライトバックのエラーの処理についてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードでのライトバックの構成に関する項

ライトバック

ライトバックの管理

ライトバック・リクエストを管理する権限を付与します。

BIサービス管理者

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』の値の変更とライトバックの実行に関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』のライトバックのエラーの処理についてに関する項

- 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の分析およびダッシュボードでのライトバックの構成に関する項

D.2.3.3.1 Oracle BI Enterprise Editionアクションへのアクセス

「アクション」権限を設定する必要があります。この権限は、ユーザーがアクション機能を使用できるかどうかを決定し、どのユーザー・タイプがアクションを作成できるかを指定します。次のリストで、これらの権限を説明します。

- ナビゲート・アクションの作成 — どのユーザーがナビゲート・アクション・タイプを作成できるかを決定します。この権限が拒否されたユーザーのセッションには、ナビゲート・アクションの作成が可能なユーザー・インタフェース・コンポーネントは一切含まれません。たとえば、この権限が拒否されたユーザーが、Oracle BI Enterprise Editionグローバル・ヘッダーからアクションの作成を選択すると、ユーザーがアクション・タイプを選択するダイアログに「ナビゲート・アクション」オプションは含まれません(「BIコンテンツに移動」、「Webページに移動」など)。ただし、この権限が拒否されたユーザーは、保存済アクションを分析およびダッシュボードに追加することはできます。さらに、この権限が拒否されたユーザーは、アクションを含む分析またはダッシュボードからアクションを実行することができます。

- 起動アクションの作成 — どのユーザーが起動アクション・タイプを作成できるかを決定します。この権限が拒否されたユーザーのセッションには、起動アクションの作成が可能なユーザー・インタフェース・コンポーネントは一切含まれません。たとえば、この権限が拒否されたユーザーが、エージェント・エディタの「アクション」タブを選択し「新規アクションの追加」ボタンをクリックすると、ユーザーがアクション・タイプを選択するダイアログに「起動アクション」オプションは含まれません(「Webサービスの起動」、「HTTPリクエストの起動」など)。ただし、この権限が拒否されたユーザーは、保存済アクションを分析およびダッシュボードに追加することはできます。さらに、この権限が拒否されたユーザーは、アクションを含む分析またはダッシュボードからアクションを実行することができます。

- 埋込みHTMLが含まれるアクションの保存 — どのユーザーがWebサービス・アクション結果のカスタマイズにHTMLコードを埋め込むことができるかを決定します。この権限を割り当てると、ユーザーによるHTMLコードの実行が可能になりセキュリティ上のリスクが発生するため、注意が必要です。

D.2.3.3.2 「Oracle BI for Microsoft Officeへのアクセス」権限

「Oracle BI for Microsoft Officeへのアクセス」権限があると、Oracle BI EEの「ホーム」ページの「はじめに」エリアにある「BIデスクトップ・ツールのダウンロード」リンクに、次のオプションが表示されます。

- Oracle BI for MS Office: Oracle BI Add-in for Microsoft Officeのインストール・ファイルをダウンロードします。

「Oracle BI for Microsoft Officeへのアクセス」権限は、分析の「コピー」リンクの表示には影響しません。このリンクは、常にそこで使用可能です。

Oracle BI for Microsoft Office用にダウンロードするインストール・ファイルの場所は、デフォルトで、instanceconfig.xmlファイルのBIforOfficeURL要素に指定されています。Oracle BI for Microsoft Officeと「コピー」オプションの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』を参照してください。

D.2.3.3.3 「HTMLマークアップを含むコンテンツの保存」権限

デフォルトでは、プレゼンテーション・サービスはクロスサイト・スクリプティング(XSS)から保護されています。XSSから保護するために、プレゼンテーション・サービスのフィールドへの入力をエスケープし、それをプレーン・テキストとして表示します。たとえば、保護不可能なユーザーがHTMLフィールドを使用して、ページからデータを盗むスクリプトを入力する場合があります。

デフォルトでは、エンド・ユーザーは、HTMLとしてフラグ付けされたコンテンツを保存できません。かわりに、「HTMLマークアップを含むコンテンツの保存」権限を持つ管理者だけが、HTMLコードを含むコンテンツを保存できます。「HTMLマークアップを含むコンテンツの保存」権限を持つユーザーは、fmap接頭辞の付いたイメージを保存できます。この権限が割り当てられていないユーザーが、fmap接頭辞の付いたイメージを保存しようとすると、エラー・メッセージが表示されます。

また、この権限を持つユーザーは、Oracle Scorecard and Strategy Managementにミッション・ステートメントとビジョン・ステートメントを保存できます。

D.2.3.3.4 KPI、KPIウォッチリストおよびスコアカード用の権限の識別

KPIおよびKPIウォッチリストを構築する際、またはOracle Scorecard and Strategy Management内では(スコアカードの表示、作成、所有者への問合せなど)、特定のタスクを実行するのに、通常、特定の権限セットが必要になります。表D-2、表D-3および表D-4には、KPI、KPIウォッチリストおよびOracle Scorecard and Strategy Managementに関する次の情報がそれぞれ含まれています。

- タスク・オブジェクト(アクション・リンク、KPIチャートなど)

- タスク(ダッシュボードからの所有者への連絡や、スコアカード・エディタでのリンクの使用など)

- タスクを実行するのに必要とされる権限(「デリバー - エージェントの作成」、「アクセス - ダッシュボードへのアクセス」など)。特定のタスクを実行するには、これらの各権限が必要になります。

これらのタスクを実行するのに必要な権限は、できるだけセットとしてグループ化し、セット名と(各権限名ではなく)、その他必要な権限があれば、それを加えています。セット名と、各セットに含まれる権限は次のとおりです。

- Edit_scorecard_set1

含まれる権限:

- アクセス - スコアカードへのアクセス

- スコアカード - スコアカードの作成/編集

- View_or_edit_scorecard_set2

含まれる権限:

- アクセス - スコアカードへのアクセス

- スコアカード - スコアカードの作成/編集またはスコアカード - スコアカードの表示

- View_KPI_watchlist_on_dashboard_set3

含まれる権限:

- アクセス - ダッシュボードへのアクセス

- アクセス - スコアカードへのアクセス

- Edit_KPI_with_KPI_Builder_set4

含まれる権限:

- アクセス - KPI Builderへのアクセス

- スコアカード - KPIの作成/編集

- サブジェクト・エリア - <サブジェクト・エリア名>

- Edit_KPI_watchlist_with_standalone_KPI_watchlist_editor_set5

含まれる権限:

- View_or_edit_scorecard_set2

- アクセス - KPI Builderへのアクセス

- スコアカード - KPIの作成/編集

- View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6

含まれる権限:

- アクセス - スコアカードへのアクセス

- スコアカード - スコアカードの作成/編集またはスコアカード - スコアカードの表示

表D-2には、KPIタスクに必要な権限セットを示します。

表D-2 KPIタスクに必要な権限

タスク・オブジェクト

タスク

タスクを実行するために必要な権限

アクション・リンク

KPIエディタ^1・タブを使用した、スコアカード・エディタ内でのKPIの作成、編集、削除

- アクション - ナビゲート・アクションの作成

- Edit_scorecard_set1

- Edit_KPI_with_KPI_Builder_set4

アクション・リンク

KPIエディタ内部からの作成、編集、削除

- アクション - ナビゲート・アクションの作成

- Edit_KPI_with_KPI_Builder_set4

エージェント

スコアカード・エディタ内でのKPIのエージェントの作成

- アクセス - デリバーへのアクセス

- デリバー - エージェントの作成

- Edit_scorecard_set1

ビジネス所有者

KPIエディタ・タブを使用したスコアカード・エディタ内での変更

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- Edit_KPI_with_KPI_Builder_set4

ビジネス所有者

KPIエディタ内での変更

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- Edit_KPI_with_KPI_Builder_set4

KPI

KPIエディタ・タブを使用した、スコアカード・エディタ内での作成または編集

- Edit_scorecard_set1

- Edit_KPI_with_KPI_Builder_set4

KPIを作成する先のフォルダに対する読取り/書込み権限と、全祖先ディレクトリへの少なくとも読取り権限は持っている必要があります。

KPI

KPIエディタ内部からの作成、編集、表示

KPIエディタには読取り専用モードはありません。

- Edit_KPI_with_KPI_Builder_set4

KPIを作成する先のフォルダに対する読取り/書込み権限と、全祖先ディレクトリへの少なくとも読取り権限は持っている必要があります。

KPI

開いて、Oracle BI EEのホーム・ページ、お気に入りリストまたはカタログ・ブラウザからアンサー分析を表示

必要なアクセス、スコアカードまたはサブジェクト・エリアの特定の権限は必要ありません。

KPIディメンション・ターゲット値(ターゲット設定)

ダッシュボード上のKPIウォッチリスト内での編集

- スコアカード - KPIのデータベースへのライトバック

- View_KPI_watchlist_on_dashboard_set3

KPIディメンション・ターゲット値(ターゲット設定)

ダッシュボード上のスコアカード・ビュー^2内での編集

- アクセス - ダッシュボードへのアクセス

- スコアカード - KPIのデータベースへのライトバック

- View_or_edit_scorecard_set2

関連ドキュメント

KPIエディタ内部からの関連ドキュメントの追加、編集、削除

- Edit_KPI_with_KPI_Builder_set4

関連ドキュメント

KPIエディタ・タブを使用した、スコアカード・エディタ内での関連ドキュメントの追加、編集、削除

- Edit_scorecard_set1

- Edit_KPI_with_KPI_Builder_set4

表D-3には、KPIウォッチリスト・タスクに必要な権限セットを示します。

表D-3 KPIウォッチリスト・タスクに必要な権限

タスク・オブジェクト

タスク

タスクを実行するために必要な権限

<デバイス>(たとえば、電子メール、ページャ、デジタル電話など)

ダッシュボード上のKPIウォッチリストからの所有者への連絡

- アクセス - デリバーへのアクセス

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- デリバー - エージェントの作成

- View_KPI_watchlist_on_dashboard_set3

<デバイス>

スタンドアロンKPIウォッチリスト・エディタ^3内部からの所有者への連絡

- アクセス - デリバーへのアクセス

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- デリバー - エージェントの作成

- View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6

アクション・リンク

ダッシュボード上のKPIウォッチリストからの起動

- View_KPI_watchlist_on_dashboard_set3

ブラウザでポップアップを有効にしている必要があります。

アクション・リンク

スタンドアロンKPIウォッチリスト・エディタ内部からの起動

- View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6

分析リンク

ダッシュボード上のKPIウォッチリスト・ビューからの分析リンクの使用

- アクセス - アクセスへのアクセス

- View_KPI_watchlist_on_dashboard_set3

ブラウザでポップアップを有効にしている必要があります。

分析リンク

スタンドアロンKPIウォッチリスト・エディタ内部からの分析リンクの使用

- アクセス - アクセスへのアクセス

- View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6

ブラウザでポップアップを有効にしている必要があります。

注釈

ダッシュボード上のKPIウォッチリストからの追加

- スコアカード - 注釈の追加

- View_KPI_watchlist_on_dashboard_set3

注釈

スタンドアロンKPIウォッチリスト・エディタ内部からの追加

- スコアカード - 注釈の追加

- View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6

注釈

ダッシュボード上のKPIウォッチリストからの表示

- View_KPI_watchlist_on_dashboard_set3

注釈

スタンドアロンKPIウォッチリスト・エディタ内部からの表示

- View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6

ビジネス所有者

スタンドアロンKPIウォッチリスト・エディタ内部からのKPIウォッチリストのビジネス所有者の変更

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- Edit_KPI_watchlist_with_standalone_KPI_watchlist_editor_set5

ビジネス所有者

スタンドアロンKPIウォッチリスト・エディタ内部からのKPIウォッチリスト内のビジネス所有者の表示

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6

KPIチャート

ダッシュボード上のKPIウォッチリストからのKPIチャートの表示

- アクセス - アクセスへのアクセス

- View_KPI_watchlist_on_dashboard_set3

KPIチャート

スタンドアロンKPIウォッチリスト・エディタ内部からのKPIチャートの表示

- アクセス - アクセスへのアクセス

- View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6

KPIディメンション・ターゲット値(ターゲット設定)

スコアカード・エディタ内でのKPIウォッチリストのKPIディメンション・ターゲット値の編集

- スコアカード - KPIのデータベースへのライトバック

- View_or_edit_scorecard_set2

KPIディメンション・ターゲット値(ターゲット設定)

スタンドアロンKPIウォッチリスト・エディタ内部からのKPIウォッチリストのKPIディメンション・ターゲット値の編集

- スコアカード - KPIのデータベースへのライトバック

- View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6

KPIウォッチリスト

ダッシュボードへの追加

- アクセス - ダッシュボードへのアクセス

- スコアカード - ダッシュボードへのスコアカード・ビューの追加

- View_or_edit_scorecard_set2

KPIウォッチリスト

スコアカード・エディタ内での作成または編集

- スコアカード - ビューの作成

- View_or_edit_scorecard_set2

KPIウォッチリスト

スタンドアロンKPIウォッチリスト・エディタ内部からの作成または編集

- Edit_KPI_watchlist_with_standalone_KPI_watchlist_editor_set5

KPIウォッチリストを作成する先のフォルダに対する読取り/書込み権限と、全祖先ディレクトリへの少なくとも読取り権限は持っている必要があります。

KPIウォッチリスト

スタンドアロンKPIウォッチリスト・エディタ内部からの読取り専用表示

- View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6

KPIウォッチリスト

ダッシュボードでの表示

- View_KPI_watchlist_on_dashboard_set3

関連ドキュメント

スタンドアロンKPIウォッチリスト・エディタ内部からの関連ドキュメント・リンクの使用

- View_KPI_watchlist_in_standalone_KPI_watchlist_editor_set6

関連ドキュメント

スタンドアロンKPIウォッチリスト・エディタ内部からの関連ドキュメントの追加、編集、削除

- Edit_KPI_watchlist_with_standalone_KPI_watchlist_editor_set5

- アクション - ナビゲート・アクションの作成

関連ドキュメント

KPIウォッチリスト関連ドキュメントの追加、編集、削除

- Edit_scorecard_set1

- アクション - ナビゲート・アクションの作成

表D-4には、スコアカードおよびスコアカード・オブジェクトのタスクに必要な権限セットを示します。

表D-4 スコアカードおよびスコアカード・オブジェクトのタスクに必要な権限

タスク・オブジェクト

タスク

タスクを実行するために必要な権限

<デバイス>(たとえば、電子メール、ページャ、デジタル電話など)

ダッシュボード上のスコアカード・ビュー内の所有者への連絡

- アクセス - ダッシュボードへのアクセス

- アクセス - デリバーへのアクセス

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- デリバー - エージェントの作成

- View_or_edit_scorecard_set2

<デバイス>

スコアカード・エディタ内の所有者への連絡

- アクセス - デリバーへのアクセス

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- デリバー - エージェントの作成

- View_or_edit_scorecard_set2

アクション・リンク

ダッシュボード上のスコアカード・ビュー内での起動

- アクセス - ダッシュボードへのアクセス

- View_or_edit_scorecard_set2

ブラウザでポップアップを有効にしている必要があります。

アクション・リンク

スコアカード・エディタ内での起動

- View_or_edit_scorecard_set2

「戦略」ペインまたは「イニシアティブ」ペイン内のオブジェクトのアクション・リンク

スコアカード・エディタ内での作成、編集、削除

- アクション - ナビゲート・アクションの作成

- View_or_edit_scorecard_set2

すべてのスコアカード・ノード^4、ビュー、ドキュメント(KPIエディタは除外)

スコアカード・エディタ内での読取り専用表示

- View_or_edit_scorecard_set2

分析リンク

ダッシュボード上のスコアカード・ビューでの分析リンクの使用

- アクセス - アクセスへのアクセス

- アクセス - ダッシュボードへのアクセス

- View_or_edit_scorecard_set2

ブラウザでポップアップを有効にしている必要があります。

分析リンク

スコアカード・エディタでの分析リンクの使用

- アクセス - アクセスへのアクセス

- View_or_edit_scorecard_set2

ブラウザでポップアップを有効にしている必要があります。

注釈

ダッシュボード上のスコアカード・ビュー内での追加

- アクセス - ダッシュボードへのアクセス

- スコアカード - 注釈の追加

- View_or_edit_scorecard_set2

注釈

スコアカード・エディタ内のスコアカード・ビューでの追加

- スコアカード - 注釈の追加

- View_or_edit_scorecard_set2

注釈

ダッシュボード上のスコアカード・ビューでの表示

- アクセス - ダッシュボードへのアクセス

- View_or_edit_scorecard_set2

注釈

スコアカード・エディタ内での表示

- View_or_edit_scorecard_set2

ビジネス所有者

スコアカード・エディタ内での変更

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- Edit_scorecard_set1

ビジネス所有者

スコアカード・エディタ内での表示

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- View_or_edit_scorecard_set2

因果関係

スコアカード・エディタ内での作成、編集、削除

- スコアカード - 原因と結果関連の作成/編集

- Edit_scorecard_set1

スコアカード・ノードのディメンション・ステータス・オーバーライド

ダッシュボード上のスコアカード・ビューからのKPIディメンション・ステータスのオーバーライド(またはオーバーライドのキャンセル)

- アクセス - ダッシュボードへのアクセス

- スコアカード - ステータスのオーバーライド

- View_or_edit_scorecard_set2

KPIエディタで設定されているステータスをオーバーライドするには、KPIのビジネス所有者である必要もあります。

スコアカード・ノードのディメンション・ステータス・オーバーライド

スコアカード・エディタ内でのKPIディメンション・ステータスのオーバーライド(またはオーバーライドのキャンセル)

- スコアカード - ステータスのオーバーライド

- View_or_edit_scorecard_set2

KPIエディタで設定されているステータスをオーバーライドするには、KPIのビジネス所有者である必要もあります。

スコアカード・ノードのディメンション・ステータス・オーバーライド

ダッシュボード上のスコアカード・ビューでのKPIディメンション・ステータスの表示

- アクセス - ダッシュボードへのアクセス

- View_or_edit_scorecard_set2

スコアカード・ノードのディメンション・ステータス・オーバーライド

スコアカード・エディタ内のスコアカード・ビューでのKPIディメンション・ステータスの表示

- View_or_edit_scorecard_set2

フィルタ

スコアカード・エディタ内でのスコアカード・スマート・ウォッチリストのフィルタへのユーザーの追加

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- Edit_scorecard_set1

フィルタ

ダッシュボード上のスコアカード・スマート・ウォッチリストでのユーザーのフィルタ処理

- アクセス - ダッシュボードへのアクセス

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- View_or_edit_scorecard_set2

フィルタ

スコアカード・エディタ内のスコアカード・スマート・ウォッチリストでのユーザーのフィルタ処理

- 管理: セキュリティ - ユーザー移入 - ユーザーをリスト可能

- View_or_edit_scorecard_set2

イニシアティブ・ノード^5

「イニシアティブ」タブまたはKPI詳細タブを使用したスコアカード・エディタ内での作成、編集、削除

- スコアカード - イニシアティブの作成/編集

- Edit_scorecard_set1

KPIチャート

ダッシュボード上のスコアカード・ビューでの表示

- アクセス - アクセスへのアクセス

- アクセス - ダッシュボードへのアクセス

- View_or_edit_scorecard_set2

KPIチャート

スコアカード・エディタ内での表示

- アクセス - アクセスへのアクセス

- View_or_edit_scorecard_set2

ミッション・ステートメントまたはビジョン・ステートメント

スコアカード・エディタ内での作成または編集

- アクセス - アクセスへのアクセス

- アンサー - HTMLマークアップを含むコンテンツの保存

- スコアカード - ビューの作成

- Edit_scorecard_set1

「権限」ダイアログ

スコアカード・エディタ内での変更

- 管理: カタログ - 権限の変更

- Edit_scorecard_set1

- セキュリティ: 「権限」ダイアログへのアクセス

パースペクティブ

スコアカード・エディタ内での作成、編集、削除

- スコアカード - パースペクティブの作成/編集

- Edit_scorecard_set1

関連ドキュメント

スコアカード・エディタ内のスコアカード・ノードまたはスコアカード・ビューに対する追加、編集、削除

- Edit_scorecard_set1

- アクション - ナビゲート・アクションの作成

- スコアカード - <オブジェクト>の作成/編集 (<オブジェクト>は、目標、イニシアティブ、KPIなどの特定のオブジェクト・タイプ)

関連ドキュメント

スコアカード・エディタでの関連ドキュメント・リンクの使用

- View_or_edit_scorecard_set2

スコアカード

作成

- Edit_scorecard_set1

スコアカード・フォルダに対する読取り/書込み権限と、全祖先ディレクトリへの少なくとも読取り権限は持っている必要があります。

スコアカード

スコアカード・エディタを使用した編集

- Edit_scorecard_set1

スコアカード・フォルダに対する読取り/書込み権限と、全祖先ディレクトリへの少なくとも読取り権限は持っている必要があります。

スコアカード・ビュー

ダッシュボードへの追加

- アクセス - ダッシュボードへのアクセス

- スコアカード - ダッシュボードへのスコアカード・ビューの追加

- View_or_edit_scorecard_set2

スコアカード・ビュー(ミッション・ステートメント、ビジョン・ステートメントおよびKPIウォッチリストは除外)

スコアカード・エディタ内での作成、編集、削除

- スコアカード - ビューの作成

- Edit_scorecard_set1

スコアカード・ビュー

ダッシュボードでの表示

- アクセス - ダッシュボードへのアクセス

- View_or_edit_scorecard_set2

「設定」ダイアログ

設定の変更(または表示)

- Edit_scorecard_set1

戦略ノード^6

「目標」タブまたはKPI詳細タブを使用したスコアカード・エディタ内での作成、編集、削除

- スコアカード - 目標の作成/編集

- Edit_scorecard_set1

1. KPIエディタはKPI Builderとも呼ばれます。

2. スコアカード・ビュー(スコアカードのドキュメントとも呼ばれます)は、次の条件を満たすOracle BI EEカタログ・オブジェクトです。

- スコアカード・エディタの「スコアカードのドキュメント」ペインを表示する。詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』を参照してください。

- それが作成された特定のスコアカードに関連付けられているか、ここでのみ編集できる。

- スコアカードの戦略およびイニシアティブ情報を表示する。

- 次のビュー・タイプで構成されている。

- 原因と結果マップ

- カスタム・ビュー

- ミッション・ステートメント

- スマート・ウォッチリスト

- 戦略マップ

- 戦略ツリー

- 戦略貢献ホイール

- ビジョン・ステートメント

3. スタンドアロンKPIウォッチリスト・エディタは、スコアカード・エディタ外部で使用されるKPIウォッチリスト・エディタです。つまり、スコアカード・エディタ・タブに組み込まれていません。

4. スコアカード・ノードは、スコアカードの戦略ペイン・ツリーまたはイニシアティブ・ペイン・ツリーに属する目標またはイニシアティブか、これらのペイン内のイニシアティブまたは目標に属するKPIです。

5. イニシアティブ・ノードは、「イニシアティブ」ペイン内のイニシアティブまたはKPIです。詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』を参照してください。

6. 戦略ノードは、「戦略」ペイン内の目標またはKPIです。詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』を参照してください。

D.2.4 プレゼンテーション・サービスでのセッションの管理

プレゼンテーション・サービス管理の「セッション管理」ページを使用して、アクティブ・ユーザーと実行中の分析に関する情報の表示、リクエストの取消し、キャッシュの消去を実行できます。

プレゼンテーション・サービスでセッションを管理するには:

1. プレゼンテーション・サービスの「ホーム」ページで「管理」を選択します。

2. 「セッション管理」リンクをクリックします。
「セッション管理」画面が表示され、次の表が示されます。

- セッション表。ログインしているユーザーに対して作成されているセッションに関する情報を示します。

- カーソル・キャッシュ表。分析のステータスを表示します。

実行中のリクエストをすべて取り消すには:

1. 「実行中のリクエストの取消し」をクリックします。

2. 「終了」をクリックします。

実行中の分析を1つ取り消すには:

- カーソル・キャッシュ表で分析を識別し、「アクション」列で「取消」リンクをクリックします。
ユーザーは、分析が管理者によって取り消されたことを示すメッセージを受け取ります。

Webキャッシュをクリアするには:

1. カーソル・キャッシュ表で分析を識別し、「すべてのカーソルを閉じる」をクリックします。

2. 「終了」をクリックします。

分析に関連付けられたキャッシュ・エントリをクリアするには:

- カーソル・キャッシュ表で分析を識別し、「アクション」列で「閉じる」リンクをクリックします。

分析に関する情報の問合せファイルを表示するには:

- カーソル・キャッシュ表で、分析を識別し、「ログの表示」リンクをクリックします。

注意:
このログ・ファイルにデータを保存する場合は、問合せログをオンにする必要があります。

D.3 Oracle BIプレゼンテーション・サービスのユーザーの権限およびパーミッションの判別

Oracle BIプレゼンテーション・サービスの権限およびOracle BIプレゼンテーション・サービス・カタログ項目のパーミッションでは、アクセス・コントロール・リスト(ACL)を使用して、プレゼンテーション・サービスの機能にアクセスする権限をどのユーザーが保持し、プレゼンテーション・サービス・カタログ項目に対して特定のユーザーがどの権限を保持するかを制御します。権限は、Oracle BIプレゼンテーション・サービスの「管理」ページを使用して設定します。パーミッションは、「分析」ユーザー・インタフェースまたは「カタログ・マネージャ」ユーザー・インタフェースを使用してプレゼンテーション・サービス・カタログのオブジェクトに設定します。

プレゼンテーション・サービスの機能にアクセスしようとすると、適切な権限がチェックされます。たとえば、Oracle Business Intelligenceのページを表示するには、アンサーへのアクセス権限が必要です。また、プレゼンテーション・サービス・カタログ項目に対してアクションを実行しようとすると、その項目のパーミッションがチェックされます。たとえば、Oracle Business Intelligenceの項目を表示するには、読取りアクセス権を持っているかどうか確認するために項目のパーミッションがチェックされます。

ACLに追加できるレコードには次の3タイプがあります。

- 個々のユーザーのレコード
個々のユーザーのレコードを管理するのは、特にユーザーが数千人いたりカタログ項目が数十万ある場合、難しいことです。

- 10gカタログ・グループのレコード
カタログ・グループは、単に下位互換性のために存在し、お薦めしません。それらを使用するかわりに、アプリケーション・ロールを使用するように変更してください。

- 11gアプリケーション・ロールのレコード
これらは、ACLを管理する方法としてお薦めします。

Oracle Business Intelligenceでは、3タイプのレコードを順にチェックしてユーザー・アクセスを判別します。ユーザーの有効な権限またはパーミッションを推定するには、ACLレコードを使用してユーザーの明示的レコードを探し(ある場合)、ユーザーが直接的または間接的にメンバーであるカタログ・グループのレコードを探し、明示的または暗黙的にユーザーに付与されているアプリケーション・ロールのレコードを探します。

この項には次のトピックが含まれます:

- 第D.3.1項「ユーザーの権限またはパーミッションの判別ルール」

- 第D.3.2項「アプリケーション・ロールによるユーザーの権限の判別例」

- 第D.3.3項「アプリケーション・ロールによるユーザーのパーミッションの判別例」

- 第D.3.4項「非推奨のカタログ・グループによるユーザーの権限の判別例」

- 第D.3.5項「非推奨のカタログ・グループによるユーザーのパーミッションの判別例」

D.3.1 ユーザーの権限またはパーミッションの判別ルール

次のタスクでは、ユーザーの有効な権限およびパーミッションを判別するために実行される順次チェックについて説明します。

注意:
ステップ1はステップ2に、ステップ2はステップ3に、ステップ3はステップ4に、ステップ4はステップ5にそれぞれ優先します。

注意:
個々のステップでは、「拒否」の権限ACLレコードは常に、他の権限付与に優先します。同様に、個々のステップでは、「アクセス権なし」のパーミッションACLレコードは常に、他のアクセス権付与に優先します。
意味的に、権限「拒否」はパーミッション「アクセス権なし」と同じであるため、「拒否」という用語は権限とパーミッションの両方に対して同じ意味で使用します。

D.3.1.1 タスク1 - 該当ユーザーの明示的レコードの有無チェック

次のシーケンスは、ユーザー・レコードについて実行されるチェックを示しています。

1. 該当ユーザーの明示的レコードが存在する場合は、そのアクセス権を返します。これで完了です。

2. 該当ユーザーの明示的レコードが存在しない場合は、タスク2 - 該当ユーザーのカタログ・グループに対するレコードの有無チェック(10gとの下位互換性のためだけの非推奨の動作)に移動します。

D.3.1.2 タスク2 - 該当ユーザーのカタログ・グループに対するレコードの有無チェック(10gとの下位互換性のためだけの非推奨の動作)

次のシーケンスは、ユーザーのカタログ・グループについて実行されるチェックを示しています。

1. 該当ユーザーが直接的、明示的に属するすべてのカタログ・グループのセットを取得します。
このセットには、該当ユーザーが暗黙的に属するカタログ・グループは含まれません。

このセットには次のものが含まれます。

- プレゼンテーション・サービスの「管理」ページを使用して割り当てられたカタログ・グループ

- WEBGROUPS BIセッション変数を使用して割り当てられたカタログ・グループ

- メンバーとしてのアプリケーション・ロールを持つ、つまり該当ユーザーにそのアプリケーション・ロールが(明示的または暗黙的に)付与されているカタログ・グループ

注意:
この機能は当初、すべてのカタログ・グループのアプリケーション・ロールへの即時変換を強制するのではなく、10gカタログ・グループの11gアプリケーション・ロールへの移行を支援するために提供されました。

2. 次のようにして、カタログ・グループの現行セットのいずれかと一致するACLレコードがないかチェックします。

- アクセスを拒否するレコードが存在する場合、アクセス拒否を返します。これで完了です。

- それ以外で、アクセス権を付与するレコードが存在する場合、そのアクセス権付与すべての論理和を返します。たとえば、あるカタログ・グループが読取りアクセス権を持っていて、別のカタログ・グループが書込みアクセス権を持っていた場合、ユーザーは読取りアクセス権および書込みアクセス権を持っています。これで完了です。

- それ以外の場合、カタログ・グループの現行セットと一致するレコードはありません。

3. カタログ・グループの現行セットの全カタログ・グループの親セットを取得します。つまり、カタログ・グループの現行セット自体が明示的にメンバーであるカタログ・グループをすべて取得します。この親セットが新たに、カタログ・グループの現行セットとなります。

4. 親セットが空でない場合、次のようにして、カタログ・グループの現行セットのいずれかと一致するACLレコードがないかチェックします。に戻ります。

- このようにして、明示的カタログ・グループが暗黙的カタログ・グループに優先(オーバーライド)します。

- 同様に、暗黙的"親"カタログ・グループが暗黙的"祖父母"カタログ・グループに優先し、暗黙的"祖父母"カタログ・グループが暗黙的"曽祖父母"カタログ・グループに優先するといったようになります。

注意:
カタログ・グループのパーミッションの継承ロジックは、アプリケーション・ロールのパーミッションの継承ロジックとは異なります。

5. それ以外の場合、該当ユーザーのカタログ・グループにはレコードがありませんでした。タスク3 - 該当ユーザーのアプリケーション・ロールに対するレコードの有無チェックに移動します。

D.3.1.3 タスク3 - 該当ユーザーのアプリケーション・ロールに対するレコードの有無チェック

次のシーケンスは、ユーザーのアプリケーション・ロールについて実行されるチェックを示しています。

1. 直接的、明示的アプリケーション・ロールと間接的、暗黙的アプリケーション・ロールの両方を含め、該当ユーザーのアプリケーション・ロールをすべて取得します。
たとえば、ユーザーにBI作成者アプリケーション・ロールが明示的に付与されている場合、ユーザーはBIコンシューマ・アプリケーション・ロールも暗黙的に持っています。

2. アプリケーション・ロール・セットのいずれかと一致するACLレコードがないかチェックします。

- いずれかのレコードがアクセスを拒否する場合、アクセス拒否を返します。これで完了です。

- それ以外で、いずれかのレコードがアクセス権を付与する場合、そのアクセス権付与すべての論理和を返します。したがって、あるアプリケーション・ロールが読取りアクセス権を持っていて、別のアプリケーション・ロールが書込みアクセス権を持っていた場合、ユーザーは読取りアクセス権と書込みアクセス権を持っています。これで完了です。

- それ以外の場合、該当ユーザーのアプリケーション・ロールにはレコードがありません。

3. それ以外の場合、該当ユーザーのアプリケーション・ロールにはレコードがありませでした。タスク4 - デフォルト動作への戻しに移動します。

D.3.1.4 タスク4 - デフォルト動作への戻し

次のシーケンスは、「認証済ユーザー」という特別なアプリケーション・ロールについて実行されるチェックを示しています。

1. 「認証済ユーザー」アプリケーション・ロールのレコードが存在する場合、そのレコードのアクセス権を返します。これで完了です。

注意:
「認証済ユーザー」アプリケーション・ロールは、厳密には該当ユーザーがこのアプリケーション・ロールも持っていても、タスク3 - 該当ユーザーのアプリケーション・ロールに対するレコードの有無チェックのユーザーのアプリケーション・ロールのリストに意図的に除外されています。

2. それ以外の場合、この特別なアプリケーション・ロールにはレコードがありません。タスク5 - 一致レコード一切なしに移動します。

D.3.1.5 タスク5 - 一致レコード一切なし

アクセス拒否を返します。これで完了です。

D.3.2 アプリケーション・ロールによるユーザーの権限の判別例

図D-1に、アプリケーション・ロールによる権限の判別方法の例を示します。図の一番上にUser1のラベルが付いた四角形があり、User1にアプリケーション・ロール「エグゼクティブ」と「BI作成者」が明示的に付与されていることを示しています。User1の四角形の下には、四角形がさらに2つ接続されていて、左側が「エグゼクティブ」ロール、右側が「BI作成者」ロールを表しています。

- 「エグゼクティブ」ロールの四角形は、「エグゼクティブ」が「管理へのアクセス」権限を付与されていて、アプリケーション・ロール「財務」および「販売」が「エグゼクティブ」に付与されていることを示しています。

- 「BI作成者」ロールの四角形は、「BI作成者」が「カタログ」権限を付与され、「エージェント」権限を拒否されていて、アプリケーション・ロール「BIコンシューマ」が「BI作成者」に付与されていることを示しています。

「エグゼクティブ」ロールの四角形の下には、四角形がさらに2つ接続されていて、左側が「財務」ロール、右側が「販売」ロールを表しています。

- 「財務」ロールの四角形は、「財務」ロールが「スコアカード」権限を付与されていることを示しています。

- 「販売」ロールの四角形は、「販売」が「管理へのアクセス」権限を拒否され、「アンサーへのアクセス」権限を付与されていることを示しています。

最後に、「BI作成者」ロールの四角形の下に1つの四角形が接続されていて、この四角形が「BIコンシューマ」ロールを表しています。

- 「BIコンシューマ」ロールの四角形は、「BIコンシューマ」が「カタログ」権限を付与され、「エージェント」権限を付与されていることを示しています。

図D-1 アプリケーション・ロールを使用したユーザーの権限の判別例

この例の内容は次のとおりです。

- User1は明示的に「エグゼクティブ」ロールを持っているため、暗黙的に「財務」ロールと「販売」ロールも持っています。

- また、User1は明示的に「BI作成者」ロールを持っているため、暗黙的に「BIコンシューマ」ロールも持っています。

- したがって、User1のアプリケーション・ロールの扁平リストは、エグゼクティブ、BI作成者、財務、販売およびBIコンシューマとなります。

- 「エグゼクティブ」ロールの有効な権限は、拒否された「管理」権限、付与された「スコアカード」権限および付与された「アンサー」権限です。「販売」の拒否された「管理」権限は、常に拒否が優先されるため、「エグゼクティブ」の付与された権限に優先します。

- 「BI作成者」ロールの有効な権限は、付与された「カタログ」権限および拒否された「エージェント」権限です。「BI作成者」の拒否された「エージェント」権限は、常に拒否が優先されるため、「BIコンシューマ」の付与された権限に優先します。

User1に付与された権限は、全体で次のようになります。

- 拒否された「管理」権限(「販売」に対してこの権限が明確に拒否されているため)。

- 付与された「スコアカード」権限。

- 付与された「アンサー」権限。

- 付与された「カタログ」権限。

- 拒否された「エージェント」権限(「BI作成者」に対してこの権限が明確に拒否されているため)。

D.3.3 アプリケーション・ロールによるユーザーのパーミッションの判別例

図D-2に、アプリケーション・ロールによるパーミッションの判別方法の例を示します。図の一番上にUser1のラベルが付いた四角形があり、User1にアプリケーション・ロール「エグゼクティブ」と「BI作成者」が明示的に付与されていることを示しています。User1の四角形の下には、四角形がさらに2つ接続されていて、左側が「エグゼクティブ」ロール、右側が「BI作成者」ロールを表しています。

- 「エグゼクティブ」ロールの四角形は、「エグゼクティブ」にDashboardAに対してアクセス権がなく、アプリケーション・ロール「財務」および「販売」が「エグゼクティブ」に付与されていることを示しています。

- 「BI作成者」ロールの四角形は、「BI作成者」ロールがDashboardDに対して開くアクセス権を持ち、DashboardEに対してアクセス権がなく、「BIコンシューマ」ロールが「BI作成者」に付与されていることを示しています。

「エグゼクティブ」ロールの四角形の下には、四角形がさらに2つ接続されていて、左側が「財務」ロール、右側が「販売」ロールを表しています。

- 「財務」ロールの四角形は、「財務」ロールがDashboardBに対して開くアクセス権を持っていることを示しています。

- 「販売」ロールの四角形は、「販売」ロールがDashboardAに対してアクセス権がなく、DashboardCに対してフル・コントロールを持っていることを示しています。

最後に、「BI作成者」ロールの四角形の下に1つの四角形が接続されていて、この四角形が「BIコンシューマ」ロールを表しています。

- 「BIコンシューマ」ロールの四角形は、「BIコンシューマ」ロールがDashboardDに対して変更アクセス権を、DashboardEに対して開くアクセス権を持っていることを示しています。

図D-2 アプリケーション・ロールを使用したユーザーのパーミッションの判別例

この例の内容は次のとおりです。

- User1は明示的に「エグゼクティブ」ロールを持っているため、暗黙的に「財務」ロールと「販売」ロールも持っています。

- また、User1は明示的に「BI作成者」ロールを持っているため、暗黙的に「BIコンシューマ」ロールも持っています。

- したがって、User1のアプリケーション・ロールの扁平リストは、エグゼクティブ、BI作成者、財務、販売およびBIコンシューマとなります。

- 「エグゼクティブ」ロールの有効なパーミッションは、DashboardAに対するアクセス権なし、DashboardBに対する開くアクセス権、DashboardCに対するフル・コントロールです。「販売」ロールのDashboardAに対するアクセス権なしは、常に拒否が優先されるため、「エグゼクティブ」ロールの開くアクセス権に優先します。

- 「BI作成者」ロールの有効なパーミッションは、DashboardDに対する開くアクセス権および変更アクセス権、DashboardEに対するアクセス権なしです。「BI作成者」ロールのDashboardEに対するアクセス権なしは、常に拒否が優先されるため、「BIコンシューマ」ロールの開くアクセス権に優先します。

User1に付与された権限は、全体で次のようになります。

- DashboardAに対するアクセス権なし(「販売」ロールに対してアクセス権が明確に拒否されているため)。

- DashboardBに対する開くアクセス権。

- DashboardCに対するフル・コントロール。

- DashboardDに対する開くアクセス権と変更アクセス権(「BI作成者」ロールと「BIコンシューマ」ロールのアクセス権の論理和)。

- DashboardEに対するアクセス権なし(「BI作成者」ロールに対してアクセス権が明確に拒否されているため)。

D.3.4 非推奨のカタログ・グループによるユーザーの権限の判別例

図D-3に、カタログ・グループによる権限の判別方法の例を示します。図の一番上にUser1のラベルが付いた四角形があり、User1がマネージャ・グループおよびカナダ・グループというカタログ・グループの明示的メンバーであることを示しています。User1の四角形の下には、四角形がさらに2つ接続されていて、左側がマネージャ・グループ、右側がカナダ・グループを表しています。

- マネージャ・グループの四角形は、マネージャ・グループが「管理へのアクセス」権限を付与されていて、マネージャ・グループ自体がマーケティング・グループと販売グループの両方のメンバーであることを示しています。

- カナダ・グループの四角形は、カナダ・グループが「カタログ」権限を付与され、「エージェント」権限を拒否されていて、カナダ・グループ自体がアメリカ・グループのメンバーであることを示しています。

マネージャ・グループの四角形の下には、四角形がさらに2つ接続されていて、左側がマーケティング・グループ、右側が販売グループを表しています。

- マーケティング・グループの四角形は、マーケティング・グループが「スコアカード」権限を付与されていることを示しています。

- 販売グループの四角形は、販売グループが「管理へのアクセス」権限を拒否され、「アンサーへのアクセス」権限を付与されていることを示しています。

最後に、カナダ・グループの四角形の下に1つの四角形が接続されていて、この四角形がアメリカ・グループを表しています。

- アメリカ・グループの四角形は、アメリカ・グループが「カタログ」権限を付与され、「エージェント」権限を付与されていることを示しています。

図D-3 非推奨のカタログ・グループを使用したユーザーの権限の判別例

この例の内容は次のとおりです。

- User1は明示的にマネージャ・グループに属しているため、暗黙的にマーケティング・グループと販売グループにも属しています。

- また、User1は明示的にカナダ・グループに属しているため、暗黙的にアメリカ・グループにも属しています。

- したがって、User1のカタログ・グループの初期リストは、マネージャ・グループとカナダ・グループとなります。必要な場合、User1のカタログ・グループの親リストは、マーケティング・グループ、販売グループおよびアメリカ・グループとなります。カタログ・グループの祖父母リストは、カタログ・グループ階層の深さが2レベルのみであるため、空です。

- マネージャ・グループの有効な権限は、付与された「管理」権限、付与された「スコアカード」権限、および付与された「アンサー」権限です。マネージャ・グループの「管理」に対する明示的レコードは、常に近い方の祖先カタログ・グループが遠い方の祖先カタログ・グループに優先するため、販売グループの暗黙的レコードに優先します。

- カナダ・グループの有効な権限は、付与された「カタログ」権限と、拒否された「エージェント」権限です。カナダ・グループの「カタログ」と「エージェント」の両方に対する明示的レコードは、常に近い方の祖先カタログ・グループが遠い方の祖先カタログ・グループに優先するため、アメリカ・グループの暗黙的レコードに優先します。

User1に付与された権限は、全体で次のようになります。

- 付与された「管理へのアクセス」権限(マネージャ・グループが販売グループに優先するため)。

- 付与された「スコアカード」権限。

- 付与された「アンサー」権限。

- 付与された「カタログ」権限(カナダ・グループがアメリカ・グループに優先するため)。

- 拒否された「エージェント」権限(カナダ・グループがアメリカ・グループに優先するため)。

D.3.5 非推奨のカタログ・グループによるユーザーのパーミッションの判別例

図D-4に、カタログ・グループによるパーミッションの判別方法の例を示します。図の一番上にUser1のラベルが付いた四角形があり、User1がマネージャ・グループおよびカナダ・グループというカタログ・グループの明示的メンバーであることを示しています。User1の四角形の下には、四角形がさらに2つ接続されていて、左側がマネージャ・グループ、右側がカナダ・グループを表しています。

- マネージャ・グループの四角形は、マネージャ・グループがDashboardAに対して開くアクセス権を持っていて、マネージャ・グループ自体がマーケティング・グループと販売グループの両方のメンバーであることを示しています。

- カナダ・グループの四角形は、カナダ・グループがDashboardDに対して開くアクセス権を持ち、DashboardEに対してアクセス権がなく、カナダ・グループ自体がアメリカ・グループのメンバーであることを示しています。

マネージャ・グループの四角形の下には、四角形がさらに2つ接続されていて、左側がマーケティング・グループ、右側が販売グループを表しています。

- マーケティング・グループの四角形は、マーケティング・グループがDashboardBに対して開くアクセス権を持っていることを示しています。

- 販売グループの四角形は、販売グループがDashboardCに対してフル・コントロールを持ち、DashboardAに対してアクセス権がないことを示しています。

最後に、カナダ・グループの四角形の下に1つの四角形が接続されていて、この四角形がアメリカ・グループを表しています。

- アメリカ・グループの四角形は、アメリカ・グループがDashboardDに対して変更アクセス権を、DashboardEに対して開くアクセス権を持っていることを示しています。

図D-4 非推奨のカタログ・グループを使用したユーザーのパーミッションの判別例

この例の内容は次のとおりです。

- User1は明示的にマネージャ・グループに属しているため、暗黙的にマーケティング・グループと販売グループにも属しています。

- また、User1は明示的にカナダ・グループに属しているため、暗黙的にアメリカ・グループにも属しています。

- したがって、User1のカタログ・グループの初期リストは、マネージャ・グループとカナダ・グループとなります。必要な場合、User1のカタログ・グループの親リストは、マーケティング・グループ、販売グループおよびアメリカ・グループとなります。カタログ・グループの祖父母リストは、カタログ・グループ階層の深さが2レベルのみであるため、空です。

- マネージャ・グループの有効なパーミッションは、DashboardAに対する開くアクセス権、DashboardBに対する開くアクセス権、DashboardCに対するフル・コントロールです。マネージャ・グループのDashboardAに対する明示的レコードは、常に近い方の祖先カタログ・グループが遠い方の祖先カタログ・グループに優先するため、販売グループの暗黙的レコードに優先します。

- カナダ・グループの有効なパーミッションは、DashboardDに対する開くアクセス権、DashboardEに対するアクセス権なしです。カナダ・グループのDashboardDとDashboardEの両方に対する明示的レコードは、常に近い方の祖先カタログ・グループが遠い方の祖先カタログ・グループに優先するため、アメリカ・グループの暗黙的レコードに優先します。

User1に付与された権限は、全体で次のようになります。

- DashboardAに対する開くアクセス権(マネージャ・グループが販売グループに優先するため)。

- DashboardBに対する開くアクセス権。

- DashboardCに対するフル・コントロール。

- DashboardDに対する開くアクセス権(カナダ・グループがアメリカ・グループに優先するため)。

- DashboardEに対するアクセス権なし(カナダ・グループがアメリカ・グループに優先するため)。

D.4 ユーザーへの共有ダッシュボードの提供

この項では、ユーザーへの共有ダッシュボードの提供について説明します。内容は次のとおりです。

- 第D.4.1項「共有ダッシュボードのカタログ構造について」

- 第D.4.2項「共有ダッシュボードの作成」

- 第D.4.3項「ダッシュボードのテスト」

- 第D.4.4項「ユーザー・コミュニティへのダッシュボードのリリース」

D.4.1 共有ダッシュボードのカタログ構造について

Oracle BIプレゼンテーション・カタログには、次の2つのメイン・フォルダがあります。

- 「マイ・フォルダ」 — 個々のユーザーの個人用ストレージが含まれます。計算された項目やグループなどのオブジェクトを保存する「サブジェクト・エリアのコンテンツ」フォルダが含まれます。

- 「共有フォルダ」 — ユーザー間で共有されるオブジェクトやフォルダが含まれます。ユーザー間で共有されるダッシュボードは、/「共有フォルダ」フォルダの下にある共通サブフォルダの下の「ダッシュボード」サブフォルダに保存されます。

注意:
Oracle BIプレゼンテーション・カタログの分析に対する権限がユーザーに付与されていても、ユーザーが権限を持たないサブジェクト・エリアをこの分析が参照している場合、BIサーバーではこのユーザーは分析を実行できません。

D.4.2 共有ダッシュボードの作成

Oracle BIプレゼンテーション・カタログをセットアップし、権限を設定した後、他のユーザーが使用できるように、共有ダッシュボードとコンテンツを作成できます。

共有ダッシュボードを作成するメリットの1つは、共有ダッシュボード内で作成するページが再利用できる点です。ユーザーは、共有ダッシュボードのページや自分で作成した新しいページを使用して専用のダッシュボードを作成できます。『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド.』で説明されているとおり、ページとコンテンツを追加できます。

複数のユーザーにデフォルトの共有ダッシュボードの変更を許可する予定の場合は、これらのユーザーをアプリケーション・ロールに入れることを検討してください。たとえば、Salesというアプリケーション・ロールとSalesHomeというデフォルトのダッシュボードを作成するとします。Salesアプリケーション・ロールを割り当てたユーザー40人のうち、SalesHomeダッシュボードのコンテンツの作成/変更権限が必要なユーザーは3人です。最初のSalesアプリケーション・ロールと同じ権限を持つSalesAdminアプリケーション・ロールを作成します。SalesHomeダッシュボードとコンテンツの変更が許可されたユーザー3人を、この新しいSalesAdminアプリケーション・ロールに追加し、Oracle BIプレゼンテーション・カタログで、該当する権限をこのロールに付与します。これにより、この3人のユーザーは、SalesHomeダッシュボードのコンテンツの作成と変更が許可されます。ダッシュボードのコンテンツの変更権限がユーザーに不要になった場合は、そのユーザーのロール割当てをSalesに変更できます。既存のSalesロール・ユーザーにダッシュボードのコンテンツの作成権限が必要になった場合は、そのユーザーのロール割当てをSalesAdminに変更できます。

共有ダッシュボードの作成の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のダッシュボードの管理に関する項を参照してください。

D.4.3 ダッシュボードのテスト

ユーザー・コミュニティにダッシュボードとコンテンツをリリースする前に、いくつかのテストを実行します。

ダッシュボードをテストするには:

1. 適切な権限を持つユーザーが目的のコンテンツに正しくアクセスして表示していることを確認します。

2. 適切な権限を持たないユーザーがダッシュボードにアクセスできないことを確認します。

3. スタイルとスキンが予想どおりに表示され、その他のビジュアル要素も予想どおりであることを確認します。

4. 問題を検出した場合は修正して再テストします。満足する結果が得られるまで、このプロセスを繰り返します。

D.4.4 ユーザー・コミュニティへのダッシュボードのリリース

テストが完了した後、ダッシュボードが使用可能であることをユーザー・コミュニティに通知し、関連するネットワーク・アドレスを確実に提供します。

D.5 ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御

この項では、保存済カスタマイズの概要と、保存済カスタマイズの管理に関する情報について説明します。内容は次のとおりです。

- 第D.5.1項「ダッシュボードの保存済カスタマイズの概要」

- 第D.5.2項「保存済カスタマイズの管理」

- 第D.5.3項「保存済カスタマイズを作成するための権限の設定」

- 第D.5.4項「保存済カスタマイズを管理するための使用シナリオ例」

D.5.1 ダッシュボードの保存済カスタマイズの概要

保存済カスタマイズを使用すると、最もよく使用するアイテムや好みのアイテム(フィルタ、プロンプト、列のソート、分析でのドリル、セクションの展開と縮小など)を使用した現在の状態でダッシュボード・ページを保存し、後で表示できます。カスタマイズを保存することで、ユーザーは、ダッシュボード・ページにアクセスするたびにこれらを手動で選択する必要がなくなります。

適切な権限とダッシュボードのアクセス権を持つユーザーとグループは、次のアクティビティを行えます。

- 個人で使用するため、あるいは他のユーザーが使用するために、様々な選択の組合せを保存済カスタマイズとして保存します。

- 個人で使用するため、あるいは他のユーザーが使用するために、保存済カスタマイズをダッシュボード・ページのデフォルト・カスタマイズに指定します。

- 保存済カスタマイズを切り替えます。

この動作は次の方法で制限できます。

- ユーザーは、割り当てられた保存済カスタマイズのみを表示できます。

- ユーザーは、個人で使用する目的でのみカスタマイズを保存できます。

- ユーザーは、個人使用および他のユーザーによる使用を目的としてカスタマイズを保存できます。

ダッシュボードのエンド・ユーザーと保存済カスタマイズの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』を参照してください。

D.5.2 保存済カスタマイズの管理

この項では、保存済カスタマイズの管理に必要な権限について説明します。また、Oracle BIプレゼンテーション・カタログにおいて、保存済カスタマイズの格納と管理に関連する部分についても説明します。

D.5.2.1 保存済カスタマイズの権限

Oracle BIプレゼンテーション・サービス管理で、ダッシュボード・エリアの次の権限と、主要なダッシュボード要素の権限設定によって、ユーザーまたはグループがカスタマイズを保存または割当てできるかどうかが制御されます。

- カスタマイズの保存

- デフォルト・カスタマイズの割当て

必要なアクセス・レベルに応じて、ユーザーまたはグループにどちらも割り当てないか、一方の権限または両方の権限を割り当てることができます。たとえば、どちらの権限も持たないユーザーは、デフォルト・カスタマイズとして割り当てられている保存済カスタマイズのみを表示できます。

D.5.2.2 保存済カスタマイズのパーミッション

この項では、ダッシュボード・ページの保存済カスタマイズを管理するためにユーザーに必要なパーミッションと、共有および個人用の保存済カスタマイズにパーミッションを設定するためのOracle BIプレゼンテーション・カタログ構造の関連部分について説明します。

D.5.2.2.1 ダッシュボードへのパーミッションの割当て

Oracle BI EEの「権限」ダイアログで、「フル・コントロール」や「アクセス権なし」などのパーミッションをダッシュボートとページに設定します。これらのパーミッションは、カタログ内の他のオブジェクトにも同じ方法で割り当てます。

D.5.2.2.2 ダッシュボード・ページのカスタマイズへのパーミッションの割当て

特定のダッシュボード・ページの保存済カスタマイズを操作するためのパーミッションは、ダッシュボード・ビルダーで使用可能な「ダッシュボードのプロパティ」ダイアログで設定します。このダイアログのリストでページを選択した後、次のいずれかのボタンをクリックします。

- 「共有のカスタマイズを保存できるユーザーの指定」は、誰がダッシュボード・ページの共有カスタマイズを保存できるかを指定する「権限」ダイアログを表示します。

- 「デフォルト・カスタマイズを割り当てることができるユーザーの指定」は、誰がダッシュボード・ページのデフォルト・カスタマイズを割り当てることができるかを指定する「権限」ダイアログを表示します。

次の項で、カタログ・オブジェクトとパーミッション・シナリオについて説明します。

D.5.2.2.3 保存済カスタマイズのカタログ・フォルダ構造

ユーザーおよびグループの保存済カスタマイズに対する制御レベルは、Oracle BIプレゼンテーション・サービス管理で設定した権限に加え、主要な要素へのアクセス権にも依存します。たとえば、ユーザーとグループが、基礎となるダッシュボードの作成と編集、ダッシュボード・ビュー・プリファレンスのカスタマイズとしての保存、およびデフォルト・カスタマイズとしてのカスタマイズの他のユーザーへの割当てを実行できるようにするには、共有ストレージ内の主要要素へのフル・コントロール・パーミッションが必要です。一方、ユーザーとグループが、割り当てられたデフォルト保存済カスタマイズのみを表示できるようにするには、共有ストレージ内の主要要素への表示アクセス権のみが必要です。

カタログ内の主要要素には、次のフォルダが含まれます。

- 「共有記憶域」フォルダ
ダッシュボードの「共有記憶域」フォルダは、通常、親共有フォルダの「ダッシュボード」サブフォルダ内にあります。ダッシュボードは割り当てられた名前によって識別されます。ダッシュボードは、Oracle BIプレゼンテーション・カタログ内の任意の場所に保存できます。ダッシュボードを「ダッシュボード」というサブフォルダに保存すると、グローバル・ヘッダーの「ダッシュボード」リンクから表示されるダッシュボードのリストにそのダッシュボードの名前が表示されます。

パーミッション設定は、特定のダッシュボードを編集するためのアクセスを制御します。通常、パーミッションが_selectionsおよび「ダッシュボード」サブフォルダに継承される場合、ダッシュボードを編集可能なユーザーは、カスタマイズの保存とデフォルトの設定も可能です。特定のダッシュボード・フォルダへのアクセス権によって、ユーザーまたはグループがダッシュボードを編集できるかどうかが制御されます。

_selectionsフォルダには、ダッシュボード・ページごとに1つずつページ識別子のフォルダが含まれます。共有保存済カスタマイズはこのフォルダ内に存在します。ページ識別子のフォルダへのアクセス権によって、ユーザーまたはグループがそのページのカスタマイズを表示、保存または編集できるかどうかが制御されます。

_selectionsフォルダ内の_defaultsフォルダには、割り当てられたデフォルト・カスタマイズが含まれます。デフォルトが割り当てられている各グループがここに表示されます。このフォルダへのアクセス権によって、ユーザーまたはグループがデフォルトを割当てできるかどうかが制御されます。

- 「個人用ストレージ」フォルダ
ユーザーの個人用フォルダでは、_selectionsフォルダに個々のユーザーの保存済カスタマイズが含まれます。共有の_selectionsフォルダと同様に、個人用の_selectionsフォルダにも、各ダッシュボード・ページのページ識別子のフォルダが含まれます。ページ識別子のフォルダには、個人用の保存済カスタマイズと、個人用のデフォルト・カスタマイズのユーザーのプリファレンスを指定する_defaultlinkファイルが含まれます。

個人用の保存済カスタマイズのデフォルトは、割り当てられた共有カスタマイズのデフォルトをオーバーライドします。

注意:
保存済カスタマイズを持つダッシュボード・ページが削除された場合は、保存済カスタマイズもカタログから削除されます。基礎となるダッシュボード構成を変更した場合は(それ以降、ユーザーのアクセス時には保存済カスタマイズを無効にするなど)、デフォルトのコンテンツがダッシュボードに表示されます。

D.5.3 保存済カスタマイズを作成するための権限の設定

表D-5は、保存済カスタマイズを作成するためにユーザーに付与可能な典型的なユーザー・ロールと特定の権限設定について説明しています。「権限の設定」列に一覧表示されているフォルダ名は、前の項で説明されています。

表D-5 保存済カスタマイズのユーザー・ロールと権限設定

ユーザー・ロール

権限の設定

ITユーザーなど、次のタスクを実行する必要があるパワー・ユーザー

- 基礎となるダッシュボードを作成および編集する

- ダッシュボード・ビュー・プリファレンスをカスタマイズとして保存する

- デフォルト・カスタマイズとしてカスタマイズを他のユーザーに割り当てる

カタログの「共有」セクションで、次のフォルダにフル・コントロール・パーミッションが必要です。

- dashboard_name

- _selection

- _defaults

通常は、追加の権限を割り当てる必要はありません。

管理者など、次のタスクを実行する必要がある技術ユーザー

- 個人使用を目的とするカスタマイズとしてカスタマイズを保存する

- 他のユーザーによる使用を目的にカスタマイズを保存する

ユーザーは、基礎となるダッシュボードを作成または編集したり、デフォルト・カスタマイズとしてビュー・カスタマイズを他のユーザーに割り当てることはできません。

カタログの「共有」セクションで、次のフォルダに表示パーミッションが必要です。

- dashboard_name

カタログの「共有」セクションで、次のフォルダに変更権限が必要です。

- _selections

- _defaults

通常は、追加の権限を割り当てる必要はありません。

個人使用を目的にカスタマイズを保存する必要がある通常のユーザー

Oracle BIプレゼンテーション・サービス管理で、次の権限が設定されている必要があります。

- カスタマイズの保存

ダッシュボード・ページで、次のオプションが設定されている必要があります。

- 「個人のカスタマイズの保存の許可」

カタログでは通常、追加権限の設定は不要です。

割り当てられたデフォルト・カスタマイズのみの表示を必要とするカジュアル・ユーザー

カタログの「共有」セクションで、次のフォルダに表示権限が必要です。

- dashboard_name

- _selections

- _defaults

カタログでは通常、追加権限の設定は不要です。

D.5.4 保存済カスタマイズを管理するための使用シナリオ例

設定された権限と付与された権限に応じて、保存済カスタマイズを作成、割当て、使用するためのユーザー権限およびグループ権限の様々な組合せを実現できます。

たとえば、パワー・ユーザーのグループは、本番環境ではダッシュボードを変更できませんが、保存済カスタマイズを作成し、それらをデフォルト・カスタマイズとして他のユーザーに割り当てることは許可されているものとします。このグループには次の権限設定が必要です。

- ダッシュボードへの開くアクセス権。「カタログ」ページを使用します。

- Oracle BIプレゼンテーション・カタログのダッシュボード・フォルダ内のサブフォルダ_selectionsおよび_defaultsへの変更アクセス権。ダッシュボード・ビルダーの「ダッシュボードのプロパティ」ダイアログを使用して割り当てます。ダイアログのリストでページを選択した後、「共有のカスタマイズを保存できるユーザーの指定」および「デフォルト・カスタマイズを割り当てることができるユーザーの指定」をクリックします。

D.6 他のユーザーの代理実行の有効化

この項では、他のユーザーの代理実行の有効化について説明します。内容は次のとおりです。

- 第D.6.1項「他のユーザーの代理実行を有効化する理由」

- 第D.6.2項「プロキシ・レベル」

- 第D.6.3項「他のユーザーの代理実行を有効化するプロセス」

D.6.1 他のユーザーの代理実行を有効化する理由

Oracle BIプレゼンテーション・サービスでは、あるユーザーが別のユーザーの代理で実行できます。ユーザー(プロキシ・ユーザーと呼ばれる)が別のユーザー(ターゲット・ユーザーと呼ばれる)の代理で実行する場合、プロキシ・ユーザーは、ターゲット・ユーザーが権限を持つカタログ内のオブジェクトにアクセスできます。

別のユーザーの代理実行を有効化すると、管理者が自分の業務の一部を直属の部下に委任する場合や、ITサポート・スタッフが別のユーザーのオブジェクトの問題をトラブルシューティングする場合などに役立ちます。

ユーザーが他のユーザーによる代理実行を可能にする方法の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』を参照してください。

D.6.2 プロキシ・レベル

ユーザーをプロキシ・ユーザーとして有効にした場合は、認可レベル(プロキシ・レベルと呼ばれる)も割り当てます。プロキシ・レベルは、ターゲット・ユーザーのカタログ・オブジェクトにアクセスするときに、プロキシ・ユーザーに付与されるパーミッションと権限を決定します。次のリストは、プロキシ・レベルを説明しています。

- 制限付き — パーミッションは、ターゲット・ユーザーがアクセス権を持つオブジェクトに対する読取り専用です。権限は、(ターゲット・ユーザーのアカウントではなく)プロキシ・ユーザーのアカウントによって決まります。
たとえば、プロキシ・ユーザーにはアンサーへのアクセス権限が割り当てられておらず、ターゲット・ユーザーには割り当てられているとします。プロキシ・ユーザーがターゲット・ユーザーとして実行するときに、ターゲット・ユーザーはアンサーにアクセスできません。

- フル — パーミッションと権限はターゲット・ユーザーのアカウントから継承されます。
たとえば、プロキシ・ユーザーにはアンサーへのアクセス権限が割り当てられておらず、ターゲット・ユーザーには割り当てられているとします。プロキシ・ユーザーがターゲット・ユーザーとして実行するときに、ターゲット・ユーザーはアンサーにアクセスできます。

ユーザーがプロキシ・ユーザーとして動作できるようにし、そのユーザーに代理として実行権限が設定されている場合は、プレゼンテーション・サービスのグローバル・ヘッダーに「別ユーザーとして実行」オプションを表示し、代理実行するターゲット・ユーザーを選択できます。

ヒント:
プロキシ・ユーザーがターゲット・ユーザーとして操作を実行するには、事前に、ターゲット・ユーザーが少なくとも一度はプレゼンテーション・サービスにサインインしてダッシュボードにアクセスしている必要があります。

注意:
プロキシ・ユーザーが偽装できるユーザーの場合は、そのユーザーの代理として実行できるパーミッションを持ったユーザーを参照できます。これらのユーザーを表示するには、Oracle Business Intelligenceにログインして、「マイ・アカウント」ダイアログ・ボックスに移動し、「ユーザーに委任」タブを表示します。このタブに、代理で接続可能なユーザーと、代理で接続したときに保持するパーミッション(「制限付き」または「フル」)が表示されます。

D.6.3 他のユーザーの代理実行を有効化するプロセス

他のユーザーの代理実行を可能にするには、次のタスクを実行します。

- 第D.6.3.1項「プロキシ・ユーザーとターゲット・ユーザーの関連付けの定義」

- 第D.6.3.2項「プロキシ機能のセッション変数の作成」

- 第D.6.3.3項「プロキシ機能の構成ファイルの設定の変更」

- 第D.6.3.4項「プロキシ機能のカスタム・メッセージ・テンプレートの作成」

- 第D.6.3.5項「プロキシ権限の割当て」

D.6.3.1 プロキシ・ユーザーとターゲット・ユーザーの関連付けの定義

プロキシ・ユーザーとターゲット・ユーザーの関連付けをデータベース内で定義します。そのためには、プロキシ・ユーザー/ターゲット・ユーザーの関連付けごとに、次の項目を指定します。

- プロキシ・ユーザーのID

- ターゲット・ユーザーのID

- プロキシ・レベル(フルと制限付きのどちらか)

たとえば、次のようなProxiesという表をデータベース内に作成するとします。

proxyId

targetId

proxyLevel

Ronald

Eduardo

フル

Timothy

Tracy

制限付き

Pavel

Natalie

フル

William

Sonal

制限付き

Maria

Imran

制限付き

プロキシ・ユーザーとターゲット・ユーザーの関連付けを定義した後、そのスキーマをBIサーバーの物理レイヤーにインポートする必要があります。スキーマのインポート方法の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

D.6.3.2 プロキシ機能のセッション変数の作成

プロキシ・ユーザーを認証するには、関連付けられた初期化ブロックとともに、次の2つのセッション変数を作成する必要があります。どちらの変数の場合も、データベースのスキーマに従ってサンプルのSQL文を変更する必要があります。

- PROXY — この変数は、プロキシ・ユーザーの名前を格納するために使用します。
ProxyBlockという初期化ブロックを使用し、次のようなコードを含めます。

select targetId
from Proxies
where UPPER(targetid) = UPPER('VALUEOF(NQ_SESSION.RUNAS)')
and UPPER(proxyid) = UPPER('VALUEOF(NQ_SESSION.RUNASORIGUSER)')

- PROXYLEVEL — このオプションの変数は、制限付きとフルのいずれかのプロキシ・レベルを格納するために使用します。PROXYLEVEL変数を作成しない場合は、制限付きレベルが想定されます。
ProxyLevelという初期化ブロックを使用し、次のようなコードを含めます。

select proxyLevel
from Proxies
where UPPER(targetid) = UPPER('VALUEOF(NQ_SESSION.RUNAS)')
and UPPER(proxyid) = UPPER('VALUEOF(NQ_SESSION.RUNASORIGUSER)')

セッション変数の作成方法の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

D.6.3.3 プロキシ機能の構成ファイルの設定の変更

instanceconfig.xmlファイルの様々な要素を使用して、プロキシ機能を構成します。

この手順を開始する前に、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』で、テキスト・エディタを使用したOracle Business Intelligence構成設定の更新に関する項に記載されている情報を十分に理解してください。

プロキシ機能を手動で構成するには:

1. 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の構成ファイルの場所に関する項で説明されているように、instanceconfig.xmlファイルを開いて編集します。

2. 次のリストで説明されている要素を追加する必要のあるセクションを見つけます。

- LogonParam: TemplateMessageName要素およびMaxValues要素の親要素として機能します。

- TemplateMessageName: プロキシ・ユーザーとターゲット・ユーザーの表示に関連するタスクを実行するSQL文を含む、Custom Messagesフォルダ内のカスタム・メッセージ・テンプレートの名前を指定します。デフォルト名は、LogonParamSQLTemplateです。
TemplateMessageName要素で指定する名前は、カスタム・メッセージ・ファイル内のWebMessage要素で指定する名前と一致している必要があります。詳細は、第D.6.3.4項「プロキシ機能のカスタム・メッセージ・テンプレートの作成」を参照してください。

- MaxValues: 「別ユーザーとして実行」ダイアログの「ユーザー」ボックスにリストするターゲット・ユーザーの最大数を指定します。プロキシ・ユーザーのターゲット・ユーザー数がこの値を上回ると、ターゲット・ユーザーのリストではなく、プロキシ・ユーザーがターゲット・ユーザーのIDを入力できる編集ボックスが表示されます。デフォルトは200です。

3. 次の例に示すように、必要に応じて、要素とそれらの祖先要素を含めます。

<LogonParam>
<TemplateMessageName>LogonParamSQLTemplate</TemplateMessageName>
<MaxValues>100</MaxValues>
</LogonParam>

4. 変更内容を保存し、ファイルを閉じます。

5. Oracle Business Intelligenceを再起動します。

D.6.3.4 プロキシ機能のカスタム・メッセージ・テンプレートの作成

次のタスクを実行するSQL文を含む、プロキシ機能のカスタム・メッセージ・テンプレートを作成する必要があります。

- プロキシ・ユーザーが代理実行できるターゲット・ユーザーのリストを取得します。このリストは、「別ユーザーとして実行」ダイアログ・ボックスの「ユーザー」ボックスに表示されます。

- プロキシ・ユーザーが、ターゲット・ユーザーとして実行できるかどうかを確認します。

- ターゲット・ユーザーとして実行可能なプロキシ・ユーザーのリストを取得します。このリストは、ターゲット・ユーザーの「マイ・アカウント」画面に表示されます。

カスタム・メッセージ・テンプレートで、次のXML要素のこの情報を取得するためのSQL文を入力します。

要素

説明

getValues

ターゲット・ユーザーおよび対応するプロキシ・レベルのリストを返すSQL文を指定します。
SQL文は次の1つまたは2つの列を返す必要があります。

- 1列目はターゲット・ユーザーのIDを返します。

- (オプション)2列目は、ターゲット・ユーザーの名前を返します。

verifyValue

現在のユーザーが、指定されたターゲット・ユーザーとして実行できるかどうかを確認するSQL文を指定します。
このSQL文は、ターゲット・ユーザーが有効な場合は1つ以上の行を返し、ターゲット・ユーザーが無効な場合は空の表を返す必要があります。

getDelegateUsers

現在のユーザーとして実行できるプロキシ・ユーザーおよび対応するプロキシ・レベルのリストを取得するためのSQL文を指定します。
SQL文は次の1つまたは2つの列を返す必要があります。

- 1列目はプロキシ・ユーザーの名前を返します。

- (オプション)2列目は、対応するプロキシ・レベルを返します。

カスタム・メッセージ・テンプレートは、次のファイルのいずれかに作成できます。

- ディレクトリ内のオリジナルのカスタム・メッセージ・ファイル

- ディレクトリ内の別のXMLファイル

カスタム・メッセージ・テンプレートを作成するには:

1. オリジナルのカスタム・メッセージ・ファイルにカスタム・メッセージ・テンプレートを作成するには:

1. 別のディレクトリに、オリジナルのカスタム・メッセージ・ファイルのバックアップを作成します。

2. 別のディレクトリに開発用コピーを作成して、テキスト・エディタまたはXMLエディタで開きます。

2. 個別のXMLファイルにカスタム・メッセージ・テンプレートを作成するには、BI_DOMAIN/bidata/components/OBIPS/customMessagesディレクトリにファイルを作成して開きます。
また、WebLogic Server上でアプリケーションとしてフォルダ(customMessagesなど)を構成して、Oracle BIプレゼンテーション・サービスに認識させる必要があります。詳細は、次の場所からアクセスできるOracle Fusion Middleware Oracle WebLogic Server管理コンソールのオンライン・ヘルプのアプリケーションとモジュールのインストールに関する項を参照してください。

http://docs.oracle.com/cd/E23943_01/apirefs.1111/e13952/taskhelp/deployment/InstallApplicationsAndModules.html

3. WebMessage要素の開始タグと終了タグを追加してカスタム・メッセージ・テンプレートを開始します。例:

<WebMessage name="LogonParamSQLTemplate">
</WebMessage>

注意:
WebMessage要素で指定する名前は、stanceconfig.xmlファイル内のTemplateMessageName要素で指定する名前と一致している必要があります。詳細は、第D.6.3.3項「プロキシ機能の構成ファイルの設定の変更」を参照してください。

4. </WebMessage>タグに続けて、次のようにします。

1. <XML>タグと</XML>タグを追加します。

2. <XML>タグと</XML>タグの間に、<logonParam name="RUNAS">タグと</logonParam>タグを追加します。

3. <logonParam name="RUNAS">タグと</logonParam>タグの間に、次のタグとそれぞれに対応するSQL文を一緒に追加します。

- <getValues>と</getValues>

- <verifyValue>と</verifyValue>

- <getDelegateUsers>と</getDelegateUsers>

次のエントリは例です。

<?xml version="1.0" encoding="utf-8" ?>
<WebMessageTables xmlns:sawm="com.example.analytics.web.messageSystem">
<WebMessageTable system="SecurityTemplates" table="Messages">
<WebMessage name="LogonParamSQLTemplate">
<XML>
<logonParam name="RUNAS">
<getValues>EXECUTE PHYSICAL CONNECTION POOL "01 - Sample App Data  (ORCL)"."Sample Relational Connection" select targetId from SAMP_USERS_PROXIES where proxyId='@{USERID}'</getValues>
<verifyValue>EXECUTE PHYSICAL CONNECTION POOL "01 - Sample App Data (ORCL)"."Sample Relational Connection" select targetId from SAMP_USERS_PROXIES where proxyId='@{USERID}' and targetId='@{VALUE}'</verifyValue>
<getDelegateUsers>EXECUTE PHYSICAL CONNECTION POOL "01 - Sample App Data (ORCL)"."Sample Relational Connection" select proxyId, proxyLevel from SAMP_USERS_PROXIES where targetId='@{USERID}'</getDelegateUsers>
</logonParam>
</XML>
</WebMessage>
</WebMessageTable>
</WebMessageTables>

例のSQL文はデータベースのスキーマに従って変更する必要がある点に注意してください。例では、データベースと接続プールはどちらもProxyという名前で、proxyIdはPROXYER、targetIdはTARGETです。

5. オリジナル・ファイルの開発用コピーでカスタム・メッセージ・テンプレートを作成した場合は、customMessagesディレクトリ内のオリジナル・ファイルを、新たに編集したファイルで置き換えます。

6. 新しいファイルをテストします。

7. (オプション)オリジナル・ファイルの開発用コピーでカスタム・メッセージ・テンプレートを作成した場合は、バックアップ・コピーと開発用コピーを削除します。

8. サーバーを再起動するか、「プレゼンテーション・サービス管理」画面の「ファイルとメタデータの再ロード」リンクをクリックして、カスタム・メッセージ・テンプレートをロードします。「管理」ページの詳細は、第D.2.1項 「管理」ページについてを参照してください。

D.6.3.5 プロキシ権限の割当て

プロキシ・ユーザーとして有効にするユーザーごとに、またはプロキシ・ユーザーとして有効にするメンバーが属するアプリケーション・ロールまたはカタログ・グループごとに、「代理として実行」権限を付与する必要があります。権限の割当て方法の詳細は、第D.2.3.2項「アプリケーション・ロールに対するプレゼンテーション・サービスの権限の設定」を参照してください。

オラクルの法律上の注意点について

コピーライトについて

Copyright © 1994-2016, Oracle and/or its affiliates.All rights reserved.

ライセンス制約の保証と結果的に生じる損害の免責

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

保証免責

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクルまでご連絡ください。

制限付権利について

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

危険な用途への使用について

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、Oracle Corporationおよびその関連会社は一切の責任を負いかねます。

商標と登録商標について

OracleおよびJavaはオラクルおよびその関連会社の登録商標です。その他の社名、商品名等は各社の商標または登録商標である場合があります。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

第三者のコンテンツ、製品、サービスに対する免責事項

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。適用されるお客様とOracle Corporationとの間の契約に別段の定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。適用されるお客様とOracle Corporationとの間の契約に定めがある場合を除いて、Oracle Corporationおよびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

アルファ版およびベータ版ドラフト・ドキュメントについて

このドキュメントが試作版の場合:

このドキュメントは試作版であり、デモおよび暫定使用のみを目的としたものです。このソフトウェアを使用するハードウェアに限定するものではありません。Oracle Corporationおよびその関連会社は、このドキュメントに関して一切の責任を負わず、いかなる保証もいたしません。また、このドキュメントを使用したことによって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

非公開のアルファ版およびベータ版ドラフト・ドキュメントについて

このドキュメントが非公開の試作版の場合:

このドキュメントに含まれる情報は、情報の共有のみを目的としたものであって、顧客諮問委員会(Customer Advisory Board)のメンバーとしてのお客様の立場でのみ、またはお客様のベータ・トライアル契約のみに従って検討されるべきものとします。マテリアル、コード、または機能の提供をお約束するものではなく、購入決定を行う際の判断材料とすべきではありません。このドキュメントに記載されている特徴または機能の開発、リリースおよび時期については、オラクルの裁量により決定されます。

このドキュメントには、ソフトウェアまたは印刷物などの形式を問わず、オラクルが独占的な権利を有する財産的情報が含まれています。この機密資料へのアクセスと使用は、お客様とオラクルとの間で締結され、お客様が遵守に同意した、Oracle Master Agreement、Oracle License and Oracle Services Agreement (オラクル・ライセンスおよびサービスに関する契約書)、Oracle PartnerNetwork Agreement、Oracle Distribution Agreementまたはその他のライセンス契約の条件に従うものとします。このドキュメントとその内容の開示、コピー、複製および配布には、オラクルによる事前の承諾を必要とします。このドキュメントはライセンス契約の一部となるものではなく、オラクルおよびその子会社や関連会社との契約を構成するものではありません。

ドキュメントのアクセシビリティについて

オラクルのアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc を参照してください。

Oracle Supportへのアクセス

サポートをご契約のお客様には、My Oracle Supportを通して電子支援サービスを提供しています。詳細情報はhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoか、聴覚に障害のあるお客様はhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trsを参照してください。