ヘッダーをスキップ
Oracle Access Manager IDおよび共通管理ガイド
10g（10.1.4.3）
B55478-01
  目次
目次		 索引
索引
戻る
戻る 		 次へ
次へ		  

C LDAPを使用するActive Directoryに対する構成

この章では、LDAPを通信プロトコルとして使用するActive DirectoryフォレストとともにOracle Access Managerを設定する手順をまとめます。

この付録の内容は次のとおりです。

詳細および手順は、『Oracle Access Managerインストレーション・ガイド』を参照してください。


注意:

ここで示す手順は、アクセス・システムとActive Directory間のプロトコルとしてLDAPを使用している場合にのみ適用されます。環境が異なる場合は、この説明をスキップしてください。

C.1 概要

アクセス・システムは、いくつか変更されたActive Directoryフォレストをサポートします。


注意:

Microsoft Global Catalogは、アクセス・システムでは不要になりました。

この項の手順は、次の例に基づいています。この場合、アイデンティティ・システムは図C-1に示す2つのドメインを使用して構成されています。次に例を示します。

図C-1 2つのドメインがあるActive Directoryフォレスト

複数ドメインのフォレストにある1つのドメインを参照するコンポーネント。

次の手順を実行して、アクセス・システムとActive Directory間でLDAPを使用して複数のドメインに対してアクセス・システムを設定します。


注意:

次の説明では、install_dirは、名前付きコンポーネントに対して指定したインストール・ディレクトリを表します。たとえば、PolicyManager_install_dirは、ポリシー・マネージャをインストールしたディレクトリです。

C.2 LDAPに対するポリシー・マネージャの設定

Oracle Access Manager関連の構成情報は\PolicyManager_install_dir\access\oblix\config\ldapディレクトリにあり、直接アクセスする必要があります。次に、関連ファイルを示します。

前に示したように、アイデンティティ・システムがdc=iceman,dc=oblix,dc=comドメインの構成データで設定されたとします。

この場合は、このドメインに対してポリシー・マネージャも設定する必要があります。この設定を行うには、ポリシー・マネージャとアイデンティティ・サーバーに同じ構成DNを指定する必要があります。

構成DNの詳細は、『Oracle Access Managerインストレーション・ガイド』を参照してください。

Active Directoryに対してポリシー・マネージャを設定する手順

  1. ポリシー・マネージャの設定ページにナビゲートします。

    http://hostname:port/access/oblix

  2. アイデンティティ・サーバーと同じ構成DNでポリシー・マネージャを設定します。

    たとえば、ドメインを含むコンピュータに対しては、dc=iceman,dc=oblix,dc=comを使用します。

  3. Webサーバーを起動する前に、ポートを3268（オープンLDAP）に変更して、両方のドメインからユーザーとグループにアクセスできるようにします。

  4. 認証スキームに必要なcredential_mappingプラグインの構成およびSSOの設定の詳細は、付録「Active Directoryでのデプロイ」を参照してください。

C.3 LDAPに対するアクセス・サーバーの設定

この項は、アクセス・サーバーとActive Directory間のプロトコルとしてLDAPを使用している場合にのみ適用されます。

Active Directoryに対してアクセス・サーバーを設定する手順

  1. アイデンティティ・サーバーと同じ構成DNを使用してアクセス・サーバーを構成します。

    たとえば、ドメインを含むコンピュータに対しては、dc=iceman,dc=oblix,dc=comドメインを使用します。

  2. 「LDAPでのActive Directoryタイムアウトの設定」の説明に従って、Active Directoryのタイムアウトが正しく処理されるようにします。

  3. \AccessServer_install_dir\access\oblix\apps\configにあるConfigDBfailover.xmlのコピーを作成し、AppDBfailover.xmlという名前を付けます。

    両方のファイルが同じディレクトリに存在する必要があります。

C.4 LDAPでのActive Directoryタイムアウトの設定

LDAPを使用している場合は、Active Directoryに対してアクセス・サーバーがインストールされている場合に、アクセス・サーバーのタイムアウトを構成する必要があります。

サービスとして実行されるアクセス・サーバーは、Active Directoryへの接続を開きます。Active Directoryは、非アクティブ期間の後にアイドル接続をタイムアウトにするため、アクセス・サーバーがディレクトリへのアクセスを試行し、失敗することがあります。

この問題を回避するには、Active Directoryの「アイドル・セッション時間」に達する前に、新しい接続を確立する必要があります。次の場合に、フェイルオーバー情報を指定できます。

インストール後にアクセス・サーバー・フェイルオーバーを指定する手順

  1. configureAAAServerアプリケーションを探します。

    AccessServer_install_dir\access\oblix\tools\configureAAAServer

  2. 次のコマンドを使用して、configureAAAServerアプリケーションを起動します。

    configureAAAServer install AS_install_dir

  3. アクセス・サーバーを再構成するかどうかを確認されたら、「いいえ」と回答します。

  4. フェイルオーバー情報を指定するかどうかを確認されたら、「はい」と回答します。

  5. 異なるタイプのデータを格納する場所を確認されたら、環境に合せて応答します。

    次に例を示します。

    • 個別のディレクトリ・サーバーでは、オプション8を選択: ポリシーと構成DNがユーザー・データから分離されている場合は、オプション8（共通パラメータの変更）を選択し、システムに適した値を指定します。

    • 同じディレクトリ・サーバーでは、オプション4を選択: ポリシー、構成DNおよびユーザー情報が同じディレクトリ・サーバーにある場合は、オプション4（共通パラメータの変更）を選択し、システムに適した値を入力します。次に例を示します。

      最大接続数: 1
      スリープ時間（秒）: 60
      フェイルオーバーしきい値: 1
      最大セッション時間（秒）: 120

      最大セッション時間が経過するたびに、アクセス・サーバーがアイドルかどうかにかかわらず、Active Directoryへの新規接続が作成され、古い接続が破棄されます。


      注意:

      「最大セッション時間」（秒単位）がActive Directoryの「アイドル・タイムアウト」（通常は600秒未満）よりも短いことを確認してください。

  6. オプションを選択して終了します。

  7. 変更をコミットするかどうかを確認された場合は、「はい」と回答します。

フェイルオーバーの詳細は、『Oracle Access Managerデプロイメント・ガイド』を参照してください。

C.5 ADSIでのLDAP認証の有効化

ADSI認証は、LDAPよりも低速な場合があります。このため、認証や監査などの他の操作をADSIで処理する一方で、認証にLDAPを使用することが必要な場合があります。

アクセス・サーバーに対するLDAP認証の有効化の手順

  1. テキスト・エディタで、globalparams.xmlを開きます。

    AccesServer_install_dir\access\oblix\apps\common\bin\globalparams.xml

  2. useLDAPBindの値をtrueに変更します。

  3. globalparams.xmlを保存します。

  4. 次の場所にあるConfigDBfailover.xmlのコピーを作成します。

    AccesServer_install_dir\access\oblix\config\ldap\ConfigDBfailover.xml

  5. これにAppDBfailover.xmlという名前を付けます。

    両方のファイルが同じディレクトリに存在する必要があります。

  6. 保存します。

  戻る
戻る 		 次へ
次へ
  目次
目次		 索引
索引