ヘッダーをスキップ
Oracle Access Manager IDおよび共通管理ガイド
10g（10.1.4.3）
B55478-01
  目次
目次		 索引
索引
戻る
戻る 		 次へ
次へ		  

F Oracle Access Managerのトラブルシューティング

この付録では、Oracle Access Managerおよびコンポーネントの実行または再起動中に発生する可能性のある一般的な問題について説明します。次の項があります。

F.1 デバッグ・ログが2GBに達するとアクセス・サーバーが起動しない

問題

アクセス・サーバー・プロファイルのデバッグ・フラグがオンになっています。アクセス・サーバーのデバッグ・ログのサイズが2GBに達するとアクセス・サーバーは停止し、再起動できなくなります。

原因

アクセス・サーバーのデバッグ・オプションを使用した場合、アクセス・サーバーのデバッグ・ログ・ファイルはリサイクルされません。一部のオペレーティング・システムでは、許容されるログ・ファイル・サイズの上限が、デバッグ・ロギングが正常に行われるサイズの限度を超えています。ログ・ファイルのサイズがこの限度を超えたとき、アクセス・サーバーが機能しなくなる可能性があります。

解決策

デバッグ・ログ・ファイルを削除するか、アクセス・サーバー・プロファイルでデバッグ・フラグを無効にします。

デバッグ機能は、アクセス・サーバーとWebGateの間で発生した接続関連の問題を診断する場合のみ使用してください。デバッグ・ロギングよりも、トレース・レベル・ロギングを長時間使用することをお薦めします。詳細は、第10章「ロギング」を参照してください。

F.2 アイデンティティ・システムの一部の機能が期待どおりに動作しない

問題

アイデンティティ・システムの一部の機能（クエリー・ビルダーや導出属性など）が期待どおりに動作しません。たとえば、「グループ・マネージャ」、「グループの変更」、「フィルタの作成」を使用するとします。クエリー・ビルダーでの、「自動車免許」や「部門番号」に基づく問合せが（これらの属性のデータが有効で、フィルタによってこれらのユーザーが表示されると予測されるにもかかわらず）期待どおりに動作しない場合があります。

原因

Oracle Access Managerで使用されるディレクトリ・サーバー内のすべての属性は、索引付け（カタログ化とも呼ぶ）される必要があります。一部の属性は、手動でカタログ化する必要があります。

解決策

ディレクトリ・サーバー内の属性が索引付けおよびカタログ化されていることを確認します。属性が索引付けおよびカタログ化されていない場合は、手動で行います。

F.3 ユーザー・アイデンティティの作成

ユーザー・アイデンティティの作成手順は、ユーザーの作成ワークフローが管理者によってどのように定義されたかにより異なります。

問題

「ユーザー・マネージャ」の「ユーザー・アイデンティティの作成」タブをクリックすると、十分なアクセス権がないことを示すメッセージが表示されます。

原因

ユーザーの作成ワークフローが定義されていない場合は、管理者が「ユーザー・アイデンティティの作成」タブを選択しても、十分なアクセス権限がないことを示すメッセージが表示されます。

解決策

ユーザーの作成ワークフローを作成して有効にします。詳細は、次の各項を参照してください。

F.4 ディレクトリおよびデータベースの問題と解決策

この項では、ディレクトリおよびデータベースの一般的な問題と解決策を説明します。内容は次のとおりです。

F.4.1 アイデンティティ・サーバーとActive Directory間のSSLの設定に問題がある

アイデンティティ・サーバーとActive Directory間でSSLを構成すると、アイデンティティ・サーバーがクラッシュします。

問題

Active Directoryは、読込みおよび書込み操作で、Lightweight Directory Access Protocol（LDAP）を使用します。デフォルトでは、LDAPトラフィックは、オープン・チャネルを通じてクリア・テキストで送信されます。Secure Sockets Layer（SSL）Transport Layer Security（TLS）を使用すると、保護されたバージョンのLDAPを有効化できます。

SSLを構成していない、または構成に問題がある場合、LDAPS有効のActive DirectoryサーバーとのSSL接続を確立すると、アイデンティティ・サーバーがクラッシュします。イベント・ビューア・アプリケーション・ログは、次のようなレポートを生成します。

Faulting application ois_server.exe, version 0.0.0.0, faulting module
NSLDAPSSL32V41.dll, version 16512.0.0.10521, fault address 0x0004d3cd.

解決策

LDAPサービスを有効化するドメイン・コントローラ上に、有効な証明書をインストールし、LDAPのSSL接続およびグローバル・カタログ・トラフィックをリスニングし、自動的に受け入れます。

LDAPS有効のActive Directoryサーバーに対するSSL接続を確立するコンポーネントでは、server.domain.comなどのActive Directoryドメイン・コントローラの完全修飾ドメイン名がサーバー証明書に含まれている必要があります。この情報は、「サブジェクト」フィールドの「共通名(cn)」に表示されます。

クライアント証明書を受け取ると、証明書を発行したCAが信頼されているかどうかを、LDAPサーバーが判別します。CAが信頼されている場合、サーバーは証明書内のサブジェクト名を使用して、クライアントにリクエストされた操作を実行するアクセス権限があるかどうかを判別します。

F.4.2 ディレクトリ・サーバーが実行中または応答中であるかどうかを確認するエラー・メッセージが表示される

通常の操作で、ディレクトリ・サーバーが操作できないことを示すエラーを受け取ることがあります。

問題

アクセス・サーバーまたはポリシー・マネージャが、次のいずれかのエラー・メッセージを発行することがあります。

  • 「ディレクトリ・サーバーが実行中であることを確認してください。」

  • 「ディレクトリ・サーバーが応答していることを確認してください。」

これらのメッセージは、Oracle Access Managerコンポーネントがユーザー構成可能な時間内にディレクトリ・サーバーからのレスポンスを受け取らない場合に生成されます。

解決策

この問題に対する考えられる解決策は、次のとおりです。

  • globalparams.xml内のLDAPOperationTimeoutパラメータの値を確認します。

    このパラメータにより、Oracle Access Managerコンポーネントは、プライマリ・ディレクトリの応答時間が長すぎる場合、セカンダリ・ディレクトリにフェイルオーバーします。詳細は、『Oracle Access Managerカスタマイズ・ガイド』の付録「パラメータ・ファイル」を参照してください。

  • このディレクトリ・サーバーにフェイルオーバーが構成されていることを確認してください。

    ディレクトリ・サーバー・プロファイルの構成に関する詳細は、『Oracle Access Manager IDおよび共通管理ガイド』を参照してください。『Oracle Access Managerデプロイメント・ガイド』の「フェイルオーバー」の章も参照してください。

F.4.3 eDirectory 8.7.3のアクセス制御および検索ベースのサポート

Novell eDirectory上でのアクセス制御および検索ベースのサポートのために、パッチを適用する必要があります。

F.4.3.1 問題

Novell eDirectory 8.7.3を使用して検索する場合、属性アクセス制御および検索ベース・フィルタが正常に動作しません。たとえば、eDirectory 8.7.3を使用して、次のようにDITの上位ノードの下に組織単位（ou）を戻すようにフィルタを構成できます。

(&(objectclass=*)(!(|(objectclass=oblixconfig)(objectclass=oblixlocation)(objectclass=genSiteOrgPerson)
(objectclass=genSiteGroup)))(objectclass=*))

ただし、この検索では、除外する対象の情報が戻されます。たとえば、ユーザーが戻されます。

F.4.3.2 解決策

コードの問題を解決するために、eDirectoryパッチ8.7.3.7を適用します。詳細は、次のURLを参照してください。

http://www.novell.com

http://support.novell.com/servlet/downloadfile?file=/uns/ftf/edir8737ftf_1.exe

F.4.4 ディレクトリ・サーバー・プロファイルを保存できない

アイデンティティ・システムおよびアクセス・システム・コンポーネントで使用するディレクトリ・サーバー・プロファイルを保存する際に、次のようなエラーが表示されることがあります。「ディレクトリ・サーバー・プロファイルが保存できません。アプリケーションが正常に機能するために、ディレクトリ・サーバー・プロファイルは検索、変更および削除の各操作でポリシー・ベースにアクセスする必要があります。また、このディレクトリ・サーバー・プロファイルはサーバー間のロード・バランスもできません。」

F.4.4.1 問題

アクセス・システム（少なくともポリシー・マネージャ）のインストール時に、ディレクトリ内でのポリシー情報の場所を識別するよう求められます。ディレクトリ内のこのブランチは、アイデンティティ・システム構成データが格納されているブランチと同じである場合または異なる場合があります。また、ポリシー・マネージャのインストール時に、ポリシー・ブランチに対する権限をアイデンティティ・サーバーに付与するディレクトリ・プロファイルが作成されます。アイデンティティ・サーバーは、アイデンティティ・システムとアクセス・システム間の参照整合性を保つために、アクセス・システムのポリシー・ブランチ内のオブジェクトを検索、変更および削除できる必要があります。たとえば、アクセス・システムのポリシーの「アクセスの許可」ページで特定のリソースへのアクセスをユーザーに許可するとします。アイデンティティ・システムからユーザーを削除した場合、参照整合性により、ユーザーがアクセス・システムのポリシーからも削除されることが保証されます。

アイデンティティ・システムとアクセス・システム間に参照整合性を提供するディレクトリ・プロファイルがない場合、「...を保存できません」というエラーが発生します。このメッセージが表示される場合は、このプロファイルを削除または編集した可能性があります。

F.4.4.2 解決策

ディレクトリのポリシー・ブランチへのアクセス権を持つ別のディレクトリ・サーバー・プロファイルを作成します。

F.4.5 Active Directory: メンバーを追加するとグループ・サイズが縮小する

静的グループへのユーザーの追加は、ある程度までしか正しく動作しません。

問題

静的グループにメンバーを追加し続けると、グループ・サイズが縮小します。

解決策

globalparams.xmlでパラメータmaxForRangedMemberRetrievalの値を必要なグループ・メンバーシップ・サイズより大きい数値に変更します。

  • Windows 2003でActive Directoryを使用している場合は、globalparams.xmlでパラメータmaxForRangedMemberRetrievalを1500に設定します。

  • Windows 2000でActive Directoryを使用している場合は、1000に設定します。

F.4.6 ディレクトリ・プロファイルに対してADSIを有効にできない

Active Directoryを使用している場合は、アイデンティティ・システム・コンソールを使用して、ユーザー・データのディレクトリ・プロファイルをADSIからLDAPに、またはLDAPからADSIに変更できます。ただし、構成またはポリシー・データに対してこの処理を行うことはできません。

F.4.6.1 問題

アイデンティティ・システム・コンソールからポリシーまたは構成データのディレクトリ・プロファイルを変更しようとすると、エラーが発生します。たとえば、LDAPを使用してActive Directoryフォレストにユーザー・データを格納し、ADSIを使用して別のActive Directoryフォレストに構成およびポリシー・データを格納するとします。アイデンティティ・システム・コンソールを使用して構成データ・データベース・プロファイル内のADSIフラグをLDAPに変更する場合は、Oracle Access Managerサーバーおよびサービスの再起動後に、ADSIフラグは有効なままになり、次のメッセージが表示されます。

「別のフォレスト内のユーザーおよび構成DBプロファイルに対してADSIを有効化することができます。このDBプロファイルにはADSIが有効化できません。」

構成またはポリシー・データのディレクトリ・プロファイルをADSIに変更しようとすると、Oracle Access ManagerはプロファイルをADSI対応と認識するためエラーが発生します。

F.4.6.2 解決策

構成およびポリシー・データのディレクトリ・プロファイルを変更するには、設定プログラムを再実行します。詳細は、「手動によるシステム設定の再実行」を参照してください。

F.4.7 データベースの検証に失敗する

アイデンティティ・システム・コンソールで、RDBMSプロファイルの新規データベース・インスタンスを保存しようとすると、「データベースの検証に失敗しました。」というメッセージが表示されることがあります。

F.4.7.1 問題

この問題は、「RDBMSプロファイルの管理」の説明に従ってRDBMSプロファイルを作成するときに発生することがあります。通常は、次のファイルのSQLDBTypeパラメータの値が不正なために問題が発生します。

component_install_dir/identity/apps/common/bin/globalparams.xml

component_install_dirは、アイデンティティ・サーバーがインストールされている場所です。

F.4.7.2 解決策

SQLDBTypeパラメータの値を次のように設定します。

  • ODBC接続タイプの場合は、値をOracleに設定します。

  • OCI接続タイプの場合は、値をOracle_OCIに設定します。

  • SQL Serverデータベースの場合は、値をSQLServerに設定します。

F.5 LPMのチャレンジ属性およびレスポンス属性に対して大/小文字の比較を有効化する

問題

ロスト・パスワード管理のチャレンジ属性とレスポンス属性の構成時に、レスポンス属性が（入力時には大/小文字が区別されるにもかかわらず）「大/小文字を区別しない」に設定されます。

解決策

ロスト・パスワード管理で大/小文字の比較を構成可能にするには、アイデンティティ・サーバーのglobalparams.xmlファイルに新規パラメータisLPMResponseCaseSensitiveを追加します。このパラメータによって、Oracle Access Managerの動作が次のように指定されます。

大/小文字の比較を有効または無効にする手順

  1. 次の場所で、アイデンティティ・サーバーのglobalparams.xmlファイルを探します。

    IdentityServer_install_dir/identity/oblix/apps/common/bin/

  2. LPMレスポンスの大/小文字を区別した比較を無効にする場合:

    <SimpleList>
  <NameValPair
     ParamName="isLPMResponseCaseSensitive"
     Value="false"></NameValPair>
</SimpleList>

  3. LPMレスポンスの大/小文字を区別した比較を有効にする場合:

    <SimpleList>
  <NameValPair
     ParamName="isLPMResponseCaseSensitive"
     Value="true"></NameValPair>
</SimpleList>

  4. アイデンティティ・サーバーを再起動します。

  5. デプロイ内のアイデンティティ・サーバーごとに、手順を繰り返します。

F.6 LPMのチャレンジまたはレスポンスのフレーズを再設定する際のエラー

Oracle Access Manager 10g（10.1.4.3）のフレッシュ・インストールを使用している場合は、この項の内容を無視してください。このフレッシュ・インストールにはbasic.xslおよびmisc.jsへの最新の変更が含まれています。更新の対象となる古いカスタマイズが存在しないため、この項の手順を実行する必要はありません。

問題

ロスト・パスワード管理のチャレンジまたはレスポンスのフレーズを自分のユーザー・プロファイルで再設定しようとすると、エラーが発生します。たとえば、パネル内の選択ボックスを使用してチャレンジまたはレスポンスを変更する際に、エラーが発生する場合があります。

Challenge phrase is blank. Provide values for all challenge phrases.

注意:

LPM機能では、チャレンジ属性とレスポンス属性を同時に変更する必要はありません。たとえば、委任管理者にユーザーのチャレンジ質問の設定を許可する一方で、レスポンスの設定を許可しないことも可能です。レスポンス・フレーズを変更せずにチャンレンジ・フレーズを変更しても、エラーは発生しません。

解決策

この問題の解決のために、Oracle Access Managerバンドル・バッチ10.1.4.2-BP04には、basic.xslおよびmisc.jsへの変更が同梱されています。更新済のbasic.xsl（典型的なラッパー・スタイルシート）およびmisc.js（多くのスタイルシートで使用されるシステム・レベルのファイル）をデプロイに導入する必要があります。

このバンドル・パッチで使用できる更新済のbasic.xslファイルおよびmisc.jsファイルは、個別のzipファイルに含まれています。これは、それぞれの環境でこれらのファイルに対して行われたカスタマイズが上書きされるのを防ぐためです。

バンドル・パッチ10.1.4.2-BP04に同梱されているbasic.xslは、IdentityServer_install_dir\identity\oblix\lang\sharedおよびWebPass_install_dir\identity\oblix\lang\sharedにある古いバージョンと置き換える必要があります。使用する環境にカスタム・スタイル・ディレクトリが含まれる場合は、カスタマイズ済のbasic.xslを更新して、この新しいbasic.xslファイルに同梱されている変更を含める必要があります。

バンドル・パッチ10.1.4.2-BP04に同梱されているmisc.jsファイルは、WebPass_install_dir\identity\oblix\lang\sharedにある古いバージョンと置き換える必要があります。


注意:

Oracleに同梱されているスタイルシートをそのまま保持し、Oracleのガイドラインに従って、スタイルシートを新しいディレクトリにコピーしてから、そのコピーをカスタマイズすることをお薦めします。\sharedディレクトリにある元のスタイルシートをカスタマイズした場合は、このパッチに同梱されている変更が組み込まれると同時にカスタマイズが保持されたかを確認するために、追加の手順を行う必要があります。

既存のbasic.xslファイルおよびmisc.jsファイルは、次の場所に格納されています。

これらのファイル、スタイルシートおよびカスタマイズの詳細は、『Oracle Access Managerカスタマイズ・ガイド』の「PresentationXMLを使用したGUIの設計」の章を参照してください。


注意:

LPMChallengeResponsePatch.zipは、各プラットフォームのzipファイルに含まれます。パッケージをダウンロードして解凍し、次の手順を実行すると、最新のbasic.xslファイルおよびmics.jsファイルを入手して使用できます。

それぞれの環境でbasic.xslおよびmics.jsの新規ファイルを準備して使用する手順

  1. LPMChallengeResponsePatch.zipの内容を保持するための一時ディレクトリを作成します。

    temp\lpm_cr_patch

  2. LPMChallengeResponsePatch.zipを解凍して内容を抽出します。

  3. 作成した一時ディレクトリで次の新規ファイルを探します。

    • temp\lpm_cr_patch\basic.xsl

    • temp\lpm_cr_patch\mics.js

  4. 古い\shared\basic.xslファイルと\shared\misc.jsファイルをバックアップします。

  5. カスタマイズ済スタイルシートを含むカスタマイズ済スタイル・ディレクトリがデプロイに含まれる場合は、古い\CustomStyle\basic.xslファイルをバックアップします。

  6. カスタマイズなし: 既存の\shared\basic.xslファイルまたは\shared\misc.jsファイルが（カスタマイズされていない）初期の状態の場合は、既存のバージョンを新規バージョンに置き換えます（古いバージョンを上書きします）。

    • basic.xsl: IdentityServer_install_dir\identity\oblix\lang\shared\basic.xsl

    • basic.xsl: WebPass_install_dir\identity\oblix\lang\shared\basic.xsl

    • misc.js: WebPass_install_dir\identity\oblix\lang\shared\misc.js

  7. カスタマイズ済: このパッチに同梱されているbasic.xslファイルまたはmisc.jsファイル内の変更を、カスタマイズ済バージョン（通常はカスタム・スタイル・ディレクトリ内のみ）にすべてコピーします。

    • basic.xsl: IdentityServer_install_dir\identity\oblix\lang\ langtag\CustomStyle\

    • basic.xsl: IdentityServer_install_dir\identity\oblix\lang\shared

    • basic.xsl: WebPass_install_dir\identity\oblix\lang\shared\basic.xsl

    • misc.js: WebPass_install_dir\identity\oblix\lang\shared

  8. これで準備は完了です。ここからは、通常どおりにユーザー・プロファイル・パネルでロスト・パスワード管理のチャレンジおよびレスポンスを変更します。次に例を示します。

    1. アイデンティティ・システム・コンソールで「ユーザー・マネージャ」タブ→「プロファイル」タブをクリックします。

    2. 「プロファイル」ページで「パネルの表示」ボタンをクリックします。

    3. チャレンジおよびレスポンスを構成したパネルで「変更」ボタンをクリックします。

    4. チャレンジおよびレスポンスを変更して「保存」をクリックします。

F.7 ファイルの所有権およびコマンドライン・ツール

すべてのコマンドライン・ユーティリティおよびツールは、製品をインストールしたユーザーとして実行する必要があります（『Oracle Access Managerインストレーション・ガイド』を参照してください）。インストール後にファイルの所有権やアクセス権の変更を試みないことをお薦めします。

F.8 アイデンティティ・サーバーのログにユーザー・データが改ざんされたと示される

問題

アイデンティティ・サーバーのログに、ユーザー・データが改ざんされたと示されます。チャレンジ属性とレスポンス属性の設定後にユーザー・プロファイルを変更し、チャレンジおよびレスポンスの値を入力せずに保存すると、この問題が発生します。次のメッセージがログに表示されます。

"Delimiter not found. User data seems to be tampered."

このエラーは、変更されたユーザー・プロファイルごとに一度のみ記録されます。

原因

この問題は、チャレンジおよびレスポンス・フレーズに対してすでに使用可能になっており、値が指定されている可能性がある属性を選択した場合のみ発生します。

解決策

推奨されている次の方法でロスト・パスワード管理のチャレンジ・タイプとレスポンス・タイプを構成します。ディレクトリに2つの新規属性を作成します。1つはユーザーに表示されるチャレンジ用、もう1つはチャレンジに対してユーザーが提供するレスポンス用です。ユーザーのチャレンジおよびレスポンスに使用する未使用で空の属性を2つディレクトリに用意します。すでに値が割り当てられている属性ではなく、未使用の属性を選択することをお薦めします。ロスト・パスワード管理の詳細は、「ロスト・パスワード管理」を参照してください。

F.9 通知

IdentityServer_install_dirの次のパスにあるglobalparams.xmlファイルには、新規パラメータ（UseDefaultOptionsForAllMails）が含まれています。

/apps/common/bin/globalparams.xml

このパラメータを使用して、すべての電子メール通知の送信に使用する電子メールIDを構成できます。

このUseDefaultOptionsForAllMailsパラメータをtrueに設定すると、アイデンティティ・サーバーから送信されるすべての電子メールについて、次の処理が行われます。

問題

電子メール通知は、送信者名フィールド内のsendMailFromEmailパラメータの値を使用して送信されます。

電子メール通知が送信されません。かわりに、メッセージがユーザーに送信され、通知用電子メールを送信できなかったことを示すエラーが記録されます。

原因

UseDefaultOptionsForAllMailsはtrueに設定されていますが、globalparams.xmlファイルで値が定義されていません。詳細は次のとおりです。

解決策

UseDefaultOptionsForAllMailsをtrueに設定し、globalparams.xmlファイルで次の値を適切に定義します。

詳細は、「ステップ・アクションの説明」のUseDefaultOptionsForAllMailに関する記述、および『Oracle Access Managerカスタマイズ・ガイド』の「パラメータ」の章を参照してください。

F.10 NPTLの要件およびインストール後のタスク

Linux用Oracle Access Managerの旧リリースでは、LinuxThreadsライブラリのみが使用されていました。LinuxThreadsを使用するためには、使用するライブラリの実装を決定するために動的リンカによって使用される、環境変数LD_ASSUME_KERNELを手動で設定する必要がありました。LD_ASSUME_KERNELを2.4.19に設定すると、/lib/i686にあるライブラリが動的に使用されました。

Red Hat Linux v5以降のリリースでは、Native POSIX Thread Library（NPTL）のみがサポートされており、LinuxThreadsはサポートされていません。この変更への対応として、Oracle Access Managerは現在、NPTL仕様に準拠しています。ただし、デフォルトではLinuxThreadsが使用されます。

Oracle Access Managerでは、Native POSIX Thread Library（NPTL）またはLinuxThreadsのどちらかが使用されます。デフォルト・モードはLinuxThreadsです。このデフォルトをサポートするために、start_ois_serverおよびstart_access_serverはLinuxThreadsモードで起動します。この場合、変数LD_ASSUME_KERNELは自動的に2.4.19に設定されます。コンソールおよびサーバーのoblogファイルに「Using Linux Threading Library.」というメッセージが表示されます。ただし、start_ois_server_nptlスクリプトまたはstart_access_server_nptlスクリプトを使用してサーバーを起動した場合は、NPTLモードが使用されます。また、restart_ois_server_nptlスクリプトまたはrestart_access_server_nptlスクリプトを使用してサーバーを再起動することもできます。その場合は、コンソールおよびサーバーのoblogファイルに「Using NPTL Threading Library.」というメッセージが表示されます。

Oracle Access ManagerでNPTLを使用した場合、Oracle Access Manager用に作成したカスタム・プラグインおよびAPIへの影響はありません。ただし、アップグレードの際には、GCC v3.3.2 C++コンパイラを使用してOracle Access Managerリリース6.xのカスタム・プラグインを再コンパイルする必要があります。NPTLを使用する場合は、Oracle Access Managerで使用するWebコンポーネントやサード・パーティのコネクタのインストール時に、環境変数LD_ASSUME_KERNELを2.4.19に設定する必要はありません。

NPTL対応のスクリプトは次のとおりです。


注意:

標準の停止スクリプトおよび次に示す標準の設定スクリプトは、LinuxThreadsとNPTLのどちらを使用した場合でも正常に動作します。start_setup_ois、start_setup_webpass、start_setup_access_manager、start_configureAAAServer、stop_snmp_agent、start_configureWebGateおよびstart_configureAccessGate。

SNMPエージェントの設定スクリプトstart_snmp_agentには、LD_ASSUME_KERNELのエントリが含まれます。Oracle Access ManagerでNPTLを使用する場合は、次のファイルからLD_ASSUME_KERNEL=2.4.19環境変数を削除するか、コメント・アウトする必要があります。

SNMPエージェント: start_snmp_agent


注意:

NPTLを使用してOracle Access Managerサーバーを実行する一方で、Oracle Access Manager WebコンポーネントにLinuxThreadsを使用すること（またはその逆）が可能です。NPTLを使用する場合は、Oracle Access ManagerのWebコンポーネントやサード・パーティのコネクタのインストール時に、環境変数LD_ASSUME_KERNELを2.4.19に設定する必要はありません。

NPTLおよびOracle Access Managerのスクリプトを使用または変更する際には、次の手順を参考にしてください。

Oracle Access ManagerでNPTLを使用する手順

  1. アイデンティティ・サーバーおよびアクセス・サーバーのNPTLバージョンの起動スクリプトは、次の場所にあります。


    IdentityServer_install_dir/identity/oblix/apps/common/bin/
    start_ois_server_nptl

    AccessServer_install_dir/access/oblix/apps/common/bin/
    start_access_server_nptl

  2. SNMPエージェント: start_snmp_agentスクリプトからLD_ASSUME_KERNEL=2.4.19環境変数を削除またはコメント・アウトするために、次の手順を実行します。

    1. 次のパスでstart_snmp_agentスクリプトを探します。


      SNMP_install_dir/oblix/apps/agent/bin/start_snmp_agent

    2. テキスト・エディタで次の行を削除またはコメント・アウトします。

      LD_ASSUME_KERNEL =2.4.19

    3. ファイルを保存します。

    4. デプロイ内のSNMPエージェントごとに、手順を繰り返します。

  3. 次に示す標準の設定スクリプトおよび停止スクリプトを使用します。


    start_setup_ois
    start_setup_webpass
    start_setup_access_manager
    start_configureAAAServer
    start_configureWebGate
    start_configureAccessGate
    stop_ois_server
    stop_access_server
    stop_snmp_agent

  4. NPTLを使用するWebコンポーネントまたはサード・パーティのコネクタ: Oracle Access ManagerでNPTLを使用する場合は、環境変数LD_ASSUME_KERNELを2.4.19に設定しないでください。

F.11 ユーザー名およびパスワードがHTTPヘッダーにクリア・テキストで表示される

問題

ユーザー名およびパスワードがHTTPヘッダーにクリア・テキストで表示されます。

原因

ユーザー名およびパスワードは、HTTP POSTデータとしてブラウザからWebサーバーに送信されます。WebサーバーでSSLが有効化されていない場合は、ユーザー名およびパスワードがHTTPヘッダーにクリア・テキストで表示されます。

解決策

資格証明（ユーザー名およびパスワード）をOracle Access ManagerのWebコンポーネントに渡すWebサーバーで、SSLを有効にする必要があります。SSLが有効なWebサーバーを使用すれば、HTTP POSTのデータを傍受されることはありません。それ以外のWebサーバーでは、SSLを有効化する必要はありません。

F.12 その他の問題と解決策

この項では、ディレクトリおよびデータベース以外のコンポーネントの一般的な問題と解決策を説明します。内容は次のとおりです。

F.12.1 アイデンティティ・システムの監査の動作が停止する

複数のRead Application Cluster（RAC）データベースに監査を構成する場合、監査がしばらくの間正しく動作しないことがあります。

F.12.1.1 問題

停止後に、前回停止したインスタンスではないRACインスタンスを再起動すると、監査が停止します。

F.12.1.2 解決策

アイデンティティ・サーバーを再起動します。

F.12.2 スタイルシートが見つからない場合、アイデンティティ・サーバーがクラッシュする

スタイルシートのカスタマイズ後、アイデンティティ・サーバーがクラッシュする、またはWin32例外に関するエラーが発行されます。

F.12.2.1 問題

xsl:include構成メンバーのスタイルシートで、バックスラッシュ文字をパス・セパレータとして使用した可能性があります。

F.12.2.2 解決策

xsl:include構成メンバーのスタイルシートで、バックスラッシュ文字をパス・セパレータとして使用した場合、バックスラッシュをスラッシュに置き換えます。次に例を示します。

<xsl:include href=".\style.xsl" /> これを次のように変更します。

<xsl:include href="./style.xsl" />

F.12.3 RDNが変更されると、アイデンティティ・システムでユーザー・エントリが削除される

RDN属性値を変更すると、アイデンティティ・システムでユーザー・エントリが削除されます。RDNは、DNの一番左の属性です。通常、RDN属性は、cnまたはフルネームです。

F.12.3.1 問題

この問題は、Oracle Internet Directoryをバックエンド・リポジトリとして使用する場合に発生します。参照整合性設定がアイデンティティ・サーバーに構成されていません。

F.12.3.2 解決策

次のようにして、この問題を修正します。

  1. 次のディレクトリのldapreferentialintegrityparams.xmlファイルを編集します。

    Identity_Server_installation_directory\identity\oblix\data\common

  2. referential_integrity_usingパラメータ値を、次のようにoblixからdsに変更します。

    <NameValPair ParamName="referential_integrity_using" Value="ds"/>

  3. ファイルを保存します。

  4. 変更を有効化するため、アイデンティティ・サーバーを再起動します。

    これにより、問題なくRDN属性値を変更できます。

  5. インストールされたアイデンティティ・サーバーに複数のインスタンスがある場合、アイデンティティ・サーバーのすべてのインスタンスでこの変更を実行してください。

F.12.4 JPEG写真イメージが更新されない

アイデンティティ・アプリケーションで写真を変更しようとしたときに、JPEG写真イメージが更新されません。

F.12.4.1 問題

この問題は、「写真」属性に対する書込み権限を持つユーザーが次の処理を行ったときに発生します。

  1. ユーザー・マネージャを開きます。

  2. 写真を含むユーザー・プロファイルを表示します。

  3. パネル・ビューを選択します。

  4. 新規写真のアップロードを試行します。

予期した結果: 写真が更新されます。

実際の結果: 写真が変更されません。

F.12.4.2 解決策

ページ・ビューでJPEG写真イメージを変更します。

F.12.5 ディレクトリ・サーバー・プロファイルの構成後にアイデンティティ・サーバーのメモリー使用量が増える

ディレクトリ・サーバー・プロファイルの構成後に、アイデンティティ・サーバーのメモリー使用量が非常に多くなります。この問題は、アクセス・サーバーまたはポリシー・マネージャにも適用されます。

F.12.5.1 問題

ディレクトリ・サーバー・プロファイルの構成時に、最大セッション時間を指定するよう求められます。セッション時間のデフォルト値は0（無制限）です。これにより、アイデンティティ・サーバーへのLDAP接続のキャッシュ・サイズが徐々に増えるため、パフォーマンスの問題が発生することがあります。Oracle Access Managerでは、これらのキャッシュは直接制御されません。

F.12.5.2 解決策

キャッシュ・サイズがパフォーマンスの問題の原因となるのを防ぐには、次のようにディレクトリ・サーバー・プロファイルの「最大セッション時間」（分単位）の値を10時間などの有限値に設定します。

  1. アイデンティティ・システム・コンソールで、「システム構成」をクリックし、次に「ディレクトリ・プロファイル」をクリックします。

  2. 変更するプロファイルのリンクをクリックします。

  3. 「最長セッション時間」フィールドで、値を600に設定します。

F.12.6 コンポーネント・パフォーマンスが遅い

システムまたは特定のコンポーネントのパフォーマンスが、期待よりも低下します。

F.12.6.1 問題

パフォーマンスを向上させるために、サーバーを追加する場所またはチューニングするコンポーネントを決定する必要があります。

F.12.6.2 解決策

重い負荷を処理している、またはリクエストを処理するのに特に時間を要しているコンポーネントを情報ログを使用して識別します。詳細は、「ロギング」を参照してください。特に、コール処理時間に注目してください。詳細は、「リクエストの処理に要する時間のロギング」を参照してください。


関連項目:

詳細は、『Oracle Access Managerデプロイメント・ガイド』の「パフォーマンス・チューニング」の章を参照してください。

F.12.7 ASCIIではない文字を使用したレポートが、正しくExeclにインポートされない

オブジェクト・クラス属性を変更して、エクスポートすると、report.csvファイルが作成されます。一部の言語では、レポートにエンコーディングの問題が発生する場合があります。

F.12.7.1 問題

日本語ロケールまたは簡体中国語ロケールでは、Microsoft Excelの制限によりUTF-8エンコーディングのデータを含むCVSファイルを処理できないため、エンコーディングの問題が発生します。

F.12.7.2 解決策

次の手順に従い、エクスポートされたレポートを処理します。

  1. report.csvからreport.txtに名前を変更します。

  2. report.txtをExcel 2003で開きます（Excel 2000はUTF-8エンコーディングをサポートしません）。

  3. テキスト・インポート・ウィザードで、UTF-8エンコーディングを選択し、コンマをフィールド・セパレータとして選択します。

  4. 「完了」をクリックします。

F.12.8 簡易トランスポート・セキュリティ・モードが1年後に期限切れになる

簡易トランスポート・セキュリティ・モード証明書の有効期間のデフォルト値は365日です。

F.12.8.1 問題

Oracle Access Managerコンポーネント間のトランスポート・セキュリティを構成する際に、「オープン」、「簡易」および「証明書」モードから選択できます。デフォルトでは、「簡易」モードは1年間のみ動作します。


関連項目:

「トランスポート・セキュリティ・モードの変更」

F.12.8.2 解決策

簡易モード証明書の有効期限を延長できます。そのためには、アイデンティティ・サーバー、Webパス・インスタンス、ポリシー・マネージャ・インスタンス、アクセス・サーバーおよびWebGateのすべてについて、関連する構成ファイルを更新し、コンポーネント関連ユーティリティを使用して変更を実装します。次に手順を示します。

  1. 次のファイルを開きます。

    component_install_dir/identity/oblix/tools/openssl/openssl.cnf

    component_install_dir/access/oblix/tools/openssl/openssl_silent.cnf

    component_install_dirは、アイデンティティ・システムまたはアクセス・システムのコンポーネントがインストールされているディレクトリです。アイデンティティ・コンポーネントにはopenssl.cnfが必要です（アイデンティティ・サーバーおよびWebパス・インスタンス）。アクセス・コンポーネントにはopenssl_silent.cnfが必要です（ポリシー・マネージャ・インスタンス、アクセス・サーバーおよびWebGate）。

  2. これらのファイルで、default_daysという名前のパラメータを探します。

    デフォルトでは、次のようにこのパラメータの値は365日です。

    default_days = 730 # Duration to certify for

  3. 有効期限までのデフォルトの日数を増やすことで、証明書の有効期限を延長します。たとえば、次のように証明書の有効期限を2年に延長できます。

    default_days = 730 # Duration for the certificate

    注意:

    両方のファイルで、デフォルトの日数を同じ値で更新します。

  4. openssl_silent.cnfファイルおよびopenssl.cnfファイルで設定した期間を使用して簡易モード証明書を再生するために次のタスクを実行し、コンポーネントを再起動します。

    • アイデンティティ・サーバー: setup_ois.exeユーティリティ（-iコマンドを使用）および次の場所にあるopenssl.cnfファイルを使用します。

      IdentityServer_install_dir/oblix/tools/openssl/openssl.cnf

      Windowsのsetup_ois.exeユーティリティ（またはUNIXのstart_setup_ois）を実行します。

      IdentityServer_install_dir/oblix/tools/setup/setup_ois -i install_dir

    • Webパス: setup_webpass.exe（-iオプションを使用）および次の場所にあるopenssl.cnfファイルを使用します。

      WebPass_install_dir/oblix/tools/openssl/openssl.cnf

      Windowsのsetup_webpass.exeユーティリティ（またはUNIXのstart_setup_webpass）を実行します。

      WebPass_install_dir/oblix/tools/setup/setupWebPass -i  
c:/OracleAccessManager/identity

      アイデンティティ・システム・ユーティリティの詳細は、『Oracle Access Manager IDおよび共通管理ガイド』を参照してください。

    • ポリシー・マネージャ: genCertユーティリティ（-i、-mおよび-pオプションを使用）および次の場所にあるopenssl_silent.cnfファイルを使用します。

      PolicyManager_install_dir/oblix/tools/openssl/openssl_silent.cnf

      genCert.exeユーティリティを実行します。

      PolicyManager_install_dir/oblix/tools/gencert/gencert -i install_dir
 -m simple -P password

    • アクセス・サーバー: configureAAAServer（-iオプションを使用）および次の場所にあるopenssl_silent.cnfファイルを使用します。

      AccessServer_install_dir/oblix/tools/openssl/openssl_silent.cnf

      WindowsのconfigureAAAServer（またはUNIXのstart_configureAAAServer）を実行します。

      AccessServer_install_dir/oblix/tools/configureAAAServer/configureAAAServer
-i C:/OracleAccessManager/access

    • WebGate: configureWebGate（-Iおよび-tオプションを使用および次の場所にあるopenssl_silent.cnfファイルを使用します。

      WebGate_install_dir/oblix/tools/openssl/openssl_silent.cnf

      WindowsのconfigureWebGate（またはUNIXのstart_configureWebGate）を実行します。

      WebGate_install_dir/oblix/tools/configureAccessGate/configureWebGate
-i C:/OracleAccessManager/access -t WebGate

      アクセス・システム・ユーティリティの詳細は、『Oracle Access Managerアクセス管理ガイド』を参照してください。

F.12.9 スタイルシートの検証に失敗する

プレゼンテーションXMLを使用してスタイルシートを作成またはカスタマイズするときに、スタイルシートのコンパイル・エラーが発生します。

F.12.9.1 問題

この問題は、次の処理を行うときに発生します。

  1. テキスト・エディタまたはXMLエディタ（推奨）でスタイルシートを開いたとき。

  2. ファイルのパラメータを変更し、変更を保存したとき。

  3. ユーザー・マネージャなどのアイデンティティ・アプリケーションを開いて変更を参照したとき。

予期した結果: 変更が予想どおりに表示されます。

実際の結果: アイデンティティ・システムでバグ・レポートが発行されます。

F.12.9.2 解決策

この問題は様々な理由で発生しますが、おそらくスタイルシートのコーディング方法にエラーがあります。

Internet ExplorerウィンドウでXSLファイルを開きます。コードにエラーがある場合は、ブラウザに、エラーのある行番号が表示されます。PresentationXMLの詳細は、『Oracle Access Managerカスタマイズ・ガイド』を参照してください。

F.12.10 パスワードにマルチバイト文字が含まれる場合、ユーザー作成に失敗する

問題

英語以外のキーボードを使用してパスワードにマルチバイト文字が含まれるユーザーを作成すると、ユーザーの作成に失敗します。ディレクトリ・サーバーのパスワード・ポリシー違反に関するエラーが表示されます。

原因

この問題は、7ビット・チェック・プラグインが"uid"および"userpassword"属性で有効化されている場合に発生します。このとき、既存のユーザーのパスワードを変更すると、新しく入力されたパスワードに"7ビット・チェック"が強制されます。新しく入力されたパスワードにマルチバイト文字が含まれている場合、"7ビット・クリーン"とみなされません。製品は、このように機能するように設計されています。

たとえば、ワークフローを作成する場合、値は"obcontainerId=workflowInstances,o=Oblix,o=company,c=us"ノードの下に格納されます。パスワード値は、"obattrvals: <value>"として格納され、"7ビット・クリーン"としてエンコーディングされます。承認者がワークフローを承認すると、パスワード値は、暗号解除され"userpassword"属性の下に格納されます。

解決策

"7ビット・チェック"をワークフロー・ステップで有効化する場合、独自のプラグインを記述する必要があります。


注意:

使用するディレクトリ・サーバーが、7ビット・チェックをサポートしていない場合があります。どのような場合でも、マルチバイト文字を使用してユーザーを作成できる必要があります。

ユーザー・パスワード（またはいずれかの別の属性）でマルチバイト文字を使用する場合、特定の属性の"7ビット・チェック"を無効化する必要があります。次の手順では、Sun（旧名称iPlanet）ディレクトリ・サーバーのステップについて説明します。詳細およびステップは、使用するサーバーにより異なります。詳細は、使用しているベンダーのドキュメントを参照してください。

7ビット・チェックを無効化する方法

  1. 使用しているディレクトリ・サーバーに管理者としてログインします。

  2. 「サーバー・グループ」の下の使用しているディレクトリ・サーバー・インスタンスをクリックします。

  3. ディレクトリ・サーバー・インスタンスの構成タブに移動します。

  4. プラグイン・ノードを拡張して、使用するディレクトリ・サーバー・インスタンスに適用するプラグインのリストを表示します。

  5. 「7ビット・チェック」をクリックし、このプラグインにより動作する属性のリストを表示します。

  6. 次のようにして、必要な属性を削除する、またはプラグインを完全に無効化します。

    • "obattrvals"を削除します。

    • 「拡張」ボタンをクリックしプラグインを無効化し、"nsslapd-pluginenabled"を"off"に設定します。

F.12.11 関連付けられているアイデンティティ・サーバーにWebパスで接続できない

IIS 6上にWebパスをインストールし、ロギングを有効化した場合、関連付けられたアイデンティティ・サーバーにWebパスが接続できないことがあります。

F.12.11.1 問題

この問題は、ログをMPFileLogWriterに送信するときに発生します。ログをFileLogWriterに送信するときには発生しません。

この問題は、ログ・ファイルを含むディレクトリにアクセス権を持つ匿名ユーザーがいない場合に、MPFileLogWriterで発生します。MPFileLogWriterはlogfile name.lckという名前のファイルを使用して、対応するログ・ファイルに書き込む複数のプロセスと同期します。MPFileLogWriterは、oblog.logファイルに書き込む前に、.lckファイルを書込みロックします。

F.12.11.2 解決策

ログ・ファイルを含むディレクトリにアクセス権を持つ匿名ユーザーを構成します。一部の状況下では、書込みロックの取得に使用されるユーザー・コンテキストは、IIS匿名Webユーザーです。デフォルトでは、このユーザーはIUSR_<コンピュータ名>という名前ですが、同様の目的のためにいずれの匿名ユーザーでも構成できます。

F.13 エラー・メッセージおよびその処理に対する推奨

次に、エラー・メッセージおよびその処理に対するトラブルシューティングのヒントについて、説明します。

F.13.1 ワークフローを使用しているときに「xenroll.cabが見つかりません」エラーが発生する

ワークフローを実行しているときに、「xenroll.cabが見つかりません」という404エラーが発生することがあります。

F.13.1.1 問題

この問題は、ユーザーが次のようにアイデンティティ・システム・アプリケーションでワークフローを実行したときに発生します。

  1. ユーザー・マネージャを開きます。

  2. ユーザー・プロファイルを表示します。

  3. 「証明書登録」ワークフローを起動するプロファイルで「変更」ボタンをクリックします。

旧バージョンのOracle Access Managerでは、ファイルxenroll.cabは「証明書登録」ワークフローおよび「証明書失効」ワークフローに使用されていました。ただし、これらのワークフローのサポートは削除されました。現在このファイルは使用されていません。

F.13.1.2 解決策

スタイルシートから、xenroll.cabへの参照を安全に削除できます。次に、この参照の例を示します。詳細は、『Oracle Access Managerカスタマイズ・ガイド』を参照してください。

<head>
... <object id="cenroll" classid="clsid:43F8F289-7A20-11D0-8F06-00C04FC295E1"
codebase="/identity/oblix/apps/common/bin/xenroll.cab" />
... <script src="http://km.oraclecorp.com/identity/oblix/apps/common/bin/installCert.vbx" language="VBScript" />
</head>

F.13.2 ワークフローを使用しているときに有効化失敗エラーが発生する

ユーザーがワークフローを実行したときに、そのワークフローが失敗します。

F.13.2.1 問題

この問題は、ユーザーが次のようにアイデンティティ・システム・アプリケーションでワークフローを実行したときに発生します。

  1. ユーザー・マネージャを開きます。

  2. ユーザー・プロファイルを表示します。

  3. 「属性の変更」ワークフローを起動するプロファイルで「変更」ボタンをクリックします。

予期した結果: ワークフローが予想どおりに動作します。

実際の結果: 「有効化に失敗しました」エラーが発生します。

F.13.2.2 解決策

ワークフロー構成は多くの理由で失敗するため、この問題に対する明確な解決策はありません。ただし、可能性の高い原因として、ワークフロー構成中に無効な検索ベースを選択したことが考えられます。検索ベースを削除し、ワークフローを再構成します。詳細は、「検索ベースの概要」を参照してください。

F.13.3 「この種類のオブジェクトに構成されたプロファイルはありません。」エラーが発生する

Oracle Internet Directoryを使用する環境で管理者の管理中に、このエラーを受け取る場合があります。

F.13.3.1 問題

Oracle Internet Directoryでは、orcladminユーザー（dn: cn=orcladmin）は、管理者権限を持つ擬似ユーザーとみなされます。Oracle Internet Directoryには、このユーザーに対応するLDAPエントリはありません。このユーザーは、Oracle Internet Directoryで作成される特別なグループの一部です。アイデンティティ・サーバーでは、ユーザーはそれぞれディレクトリ内の別個のエントリに存在する必要があります。グループ・マネージャを使用してこれらの特別なグループを表示または変更すると、メッセージ「この種類のグループに対してプロファイルが構成されていません。」が表示されます。

F.13.3.2 解決策

この問題が発生した場合、Oracle Directory Managerアプリケーションを使用してこれらのOracle Internet Directoryの特別なグループを表示して更新します。

一部のOracle Internet Directoryの特別なグループは循環動作を示します。グループ・マネージャまたはアイデンティティ・サーバーではなく、Oracle Directory Managerを使用してこれらのグループを管理することをお薦めします。

F.13.4 「警告: ページが期限切れです」エラーが発生する

アイデンティティ・システム・アプリケーションで検索を実行後、「戻る」ボタンをクリックすると、このエラーを受け取る場合があります。

F.13.4.1 問題

デフォルトでは、アイデンティティ・システム・アプリケーション・ページは、セキュリティの手段としてキャッシュされていません。ユーザーが「戻る」ボタンをクリックして前にログインしたユーザーの表示した内容を表示することを防ぐために、キャッシュが無効化されています。キャッシュがオフの場合、「検索結果」ページで「戻る」ボタンをクリックすると、ユーザーはページの期限切れエラーを受け取ります。

F.13.4.2 解決策

アイデンティティ・システム・アプリケーションをキャッシュする場合、次のファイル内でパラメータbrowserNoCacheの値をfalseに設定します。

Identity_Server_install_dir/apps/common/bin/globalparams.xml

<SimpleList>
     <NameValPair ParamName="browserNoCache" Value="false"></NameValPair>
</SimpleList>

F.14 診断情報の取得

Oracle Access Manager 10.1.4.2では、アクセス・サーバーおよびアイデンティティ・サーバーで診断ツールが提供され、Oracleサポート・サービスを利用して問題のトラブルシューティングをする際に役立ちます。

これらのツールは、日常の管理のためのものではありません。Oracleサポート・サービスの支援が必要な問題の調査に役立てるために使用します。

診断ツールを使用すると、次のことができます。

この項には、次の各項目が含まれます。

F.14.1 Oracle Access Manager診断について

重大な問題を分析する場合にのみ、診断データを収集します。一般に、Oracleサポートを利用する場合にのみ、診断を実行します。

診断ツールは、アクセス・サーバーおよびアイデンティティ・サーバーとともにインストールされます。診断は、キャッシュおよびスレッドを対象にします。診断ツールを使用すると、戻されたデータをオンスクリーンに表示し、データをファイルに保存できます。

ベスト・プラクティスとして、同一の診断を数回実行して、問題が一時的であるか永続的であるかどうかを特定してください。たとえば、診断出力を比較して、メモリーまたはキャッシュ・サイズが増加しているか確認できます。

F.14.2 診断情報の収集

次のツールを使用すると、それぞれのシステム（アクセス・サーバーまたはアイデンティティ・サーバー）の診断データを収集できます。

  • ツールaaa_mon.exeを使用すると、アクセス・システムの診断データを収集できます。

  • ツールois_mon.exeを使用すると、アイデンティティ・システムの診断データを収集できます。

次の手順では、これらのツールを使用する方法について説明します。この手順では、縦線（"|"）はオプションの選択肢を表します。たとえば、パス名install_dir内の選択肢は、accessまたはidentity、もしくは特定のツール名（トランスポート・セキュリティ・モードの選択肢はopen、simpleまたはcert）です。


注意:

診断ツールを実行すると、オーバーヘッドが発生し、システム・パフォーマンスに影響する場合があります。診断ツールの実行中に詳細なリクエストをすると、メモリーの消費が増加します。

この理由により、詳細な診断をキャッシュ問合せに対してリクエストしないでください。

サポートされている診断操作のリストを表示する手順

  1. アクセス・サーバーまたはアイデンティティ・サーバーの次のディレクトリにナビゲートします。

    install_dir\identity|access\oblix\tools\ois_mon|aaa_mon

    ここで、install_dirは、アイデンティティ・サーバーまたはアクセス・サーバーがインストールされているディレクトリです。

  2. 次のコマンドを発行します。

    aaa_mon.exe|ois_mon.exe -s server -p port -i install_dir -m mode open|simple|cert -o optype=GetListofSupportedOperations

    意味:

    • Serverは、情報を収集するホスト・コンピュータの名前です。

    • Portは、ホストのリスナー・ポートです。

    • install_dirは、診断されているコンポーネントのインストール・ディレクトリです。

    • -mパラメータで、トランスポート・セキュリティ・モードとしてopen、simpleまたはcertを指定します。

      詳細は、「トランスポート・セキュリティ・モードの変更」を参照してください。certを指定した場合は、次のパラメータも指定します。

      -c path_for_certs

      ここで、path_for_certsは、証明書ファイルへの完全修飾パスです。

診断オブジェクトの名前を取得する手順

  1. 次のディレクトリにナビゲートします。

    install_dir\identity|access\oblix\tools\ois_mon|aaa_mon

    ここで、install_dirは、アイデンティティ・サーバーまたはアクセス・サーバーがインストールされているディレクトリです。

  2. 特定のタイプのすべてのオブジェクトの名前を取得するには、縦線で区切られたオプションの1つを使用して次のコマンドを発行します。

    aaa_mon.exe|ois_mon.exe -s server -p port -i install_dir -m open|simple|cert
-o optype=GetDiagnosticInformation,object=cache|thread,mode=list

    意味:

    • Serverは、情報を収集するホスト・コンピュータの名前です。

    • Portは、ホストのリスナー・ポートです。

    • install_dirは、診断されているコンポーネントのインストール・ディレクトリです。

    • -mパラメータで、トランスポート・セキュリティ・モードとしてopen、simpleまたはcertを指定します。

      詳細は、「トランスポート・セキュリティ・モードの変更」を参照してください。certを指定した場合は、次のパラメータも指定します。

      -c path_for_certs

      ここで、path_for_certsは、証明書ファイルへの完全修飾パスです。

    • objectパラメータは、結果を特定のオブジェクト・タイプに限定します。

      デフォルトでは、すべての診断可能なオブジェクトの情報をフェッチします。次に、使用できる値を示します。

      • cache: キャッシュは、最近アクセスされたデータのコピーをメモリー内に保持します。キャッシュは、データをディスクに格納し、プログラムが同一の情報をインターネットからダウンロードすることを防ぐことができます。キャッシュの名前および各キャッシュの簡単な説明のリストは、表F-1および表F-2を参照してください。

      • thread: 同時に実行される2つ以上のスレッドにプログラムを分割して、それぞれ異なるジョブを同時に実行できます。

特定のオブジェクトに関する診断情報を収集する手順

  1. 次のディレクトリ・パスにある適切なツールにナビゲートします。

    install_dir\identity|access\oblix\tools\ois_mon|aaa_mon

    ここで、install_dirは、アイデンティティ・サーバーまたはアクセス・サーバーがインストールされているディレクトリです。

  2. 次のコマンドを発行します。

    aaa_mon.exe|ois_mon.exe -s server -p port -i install_dir
-m open|simple|cert -o optype=GetDiagnosticInformation[, object=cache|thread, mode=brief|detail|list|usage, name=name]

    意味:

    • Serverは、情報を収集するホスト・コンピュータの名前です。

    • Portは、ホストのリスナー・ポートです。

    • install_dirは、診断されているコンポーネントのインストール・ディレクトリです。

    • -mパラメータで、トランスポート・セキュリティ・モードとしてopen、simpleまたはcertを指定します。

      詳細は、「トランスポート・セキュリティ・モードの変更」を参照してください。certを指定した場合は、次のパラメータも指定します。

      -c path_for_certs

      ここで、path_for_certsは、証明書ファイルへの完全修飾パスです。

    • GetDiagnosticInformationのオプションのobjectパラメータは、結果を特定のオブジェクト・タイプに限定します。

      デフォルトでは、すべての診断可能なオブジェクトの情報をフェッチします。次に、使用できる値を示します。

      • cache: キャッシュは、最近アクセスされたデータのコピーをメモリー内に保持します。キャッシュは、データをディスクに格納し、プログラムが同一の情報をインターネットからダウンロードすることを防ぐことができます。

      • thread: 同時に実行される2つ以上のスレッドにプログラムを分割して、それぞれ異なるジョブを同時に実行できます。

    • GetDiagnosticInformationのオプションのmodeパラメータは、戻される結果の数量およびタイプを判別します。

      次に、使用できる値を示します。

      • brief: 診断可能なオブジェクトのサマリーをスクリーン上に出力します。

      • detail: 次のディレクトリのファイル内に、指定されたタイプのすべての診断可能なオブジェクトの現行の値を書き込みます。

        install_dir\identity|access\oblix\tools\ois_mon|aaa_mon\OISDiag_datetime|AAADiag_datetime

        ここで、install_dirは、アイデンティティ・サーバーまたはアクセス・サーバーがインストールされているディレクトリで、determineはファイルが作成された日付および時刻です。

        detailモードをキャッシュに指定しないでください。

      • list: 指定されたタイプのすべての診断可能なオブジェクトのリストを表示します。

      • usage: 診断ツールのヘルプ・テキストを表示します。

    • GetDiagnosticInformationのオプションのnameパラメータは、コマンド出力を特定のオブジェクトに限定します。

F.14.3 診断出力の解析

Oracleサポートを利用する場合にのみ、診断出力の解析を実行します。この項では、診断XML出力ファイルを読み込む方法の簡単なガイドラインを説明します。

この項には、次の各項目が含まれます。

F.14.3.1 診断出力の解析（listパラメータを使用した場合）

診断コマンドでlistパラメータを使用すると、出力はスクリーンおよびログ・ファイルに書き込まれます。最も重要な情報は、出力ファイルのname要素で戻されます。キャッシュの名前および各キャッシュの簡単な説明のリストは、表F-1および表F-2を参照してください。

次のコマンドの抜粋では、listモードを使用してキャッシュ名のリストを取得します。

-o optype=GetDiagnosticInformation,mode=list,object=cache

例F-1に、次の診断コマンドの抜粋の出力を示します。

例F-1 listモードを使用する診断コマンドのサンプル出力

<?xml version="1.0" encoding="utf-8"?>
<DiagnosticReport>
    <Command>
        <CommandArg
            name="optype">
            <Value>GetDiagnosticInformation</Value>
        </CommandArg>
        <CommandArg
            name="mode">
            <Value>list</Value>
        </CommandArg>
        <CommandArg
            name="object">
            <Value>cache</Value>
        </CommandArg>
    </Command>
    <CommandOutput>
        <Objects>
            <Object
                type="cache">
                <Name>UidInfoCache</Name>
                <Name>PersonOOOIndicatorCache</Name>
                <Name>AuditCache</Name>
                <Name>AuditUserCache</Name>
                <Name>AuditMasterAuditPolicyCache</Name>
                <Name>AuditServerInfoCache</Name>
                <Name>WfDefCache</Name>
                <Name>WfDefSetCache</Name>
                <Name>xsllib_stylesheet</Name>
                <Name>PortalIdCache</Name>
            </Object>
        </Objects>
    </CommandOutput>
</DiagnosticReport>

F.14.3.2 診断出力の解析（detailパラメータを使用した場合）

コマンドでdetailパラメータを使用して、診断情報を取得すると、オブジェクトに設定された値、現在の状態およびパフォーマンスに関する複数のデータのポイントに関する情報が、出力ファイルに含まれます。出力ファイル内で重要な項目は、オブジェクトのタイプにより異なります。たとえば、キャッシュ・オブジェクトの場合、キャッシュ・サイズおよびキャッシュがフラッシュされたかどうかが重要になります。

一般に、診断の意味を解析できるOracleサポートを利用する場合にのみ、詳細な出力に目を通す必要があります。

例F-2に、listパラメータを使用して生成されたxmlファイルの汎用構造を示します。

例F-2 mode=detailまたはmode=briefを使用した診断の汎用XML出力

<?xml version="1.0" encoding="utf-8"?>
<DiagnosticReport>
  <Command type=CommandType1>
    <CommandArg name=Arg1>
      <Value>ArgValue1</Value>
    </CommandArg>
    <CommandArg name=Arg2>
      <Value>ArgValue2-1</Value>
      <Value>ArgValue2-2</Value>
    </CommandArg>
  </Command>
  <CommandOutput>
    <Objects>
      <Object type=ObjectType1 name=ObjectName1>
        <Attribute name=Attribute1>
          <Value>Value1</Value>
        </Attribute>
        <Attribute name=Arribute2>
          <Value> Value2-1</Value>
          <Value> Value2-2</Value>
          -----
        </Attribute>
      </Object>
      <Object type=ObjectType2 name=ObjectName2>
        <Attribute name=Attribute3>
          <Value>Value3</Value>
        </Attribute>
        -----
        -----
      </Object>
      -----
      -----
    </Objects>
  <CommandOutput>
</DiagnosticReport>

たとえば、詳細な診断データを生成するコマンドの抜粋を次に示します。

. . . -o optype=GetDiagnosticInformation,mode=detail,object=cache,name=XSLXDKCache

前のコマンドの抜粋は、例F-3の出力を生成します。

例F-3 mode=detailを使用する診断コマンドの出力

<?xml version="1.0" encoding="utf-8" ?>
<DiagnosticReport>
  <Command>
    <CommandArg name="optype">
      <Value>GetDiagnosticInformation</Value>
    </CommandArg>
    <CommandArg name="mode">
      <Value>detail</Value>
    </CommandArg>
    <CommandArg name="object">
      <Value>cache</Value>
    </CommandArg>
    <CommandArg name="name">
      <Value>XSLXDKCache</Value>
    </CommandArg>
  </Command>
  <CommandOutput>
    <Objects>
      <Object type="cache" name="XSLXDKCache">
        <Attribute name="state">
          <Value>active</Value>
        </Attribute>
        <Attribute name="Maximum Elements">
          <Value>200</Value>
        </Attribute>
        <Attribute name="Current Elements">
          <Value>11</Value>
        </Attribute>
        <Attribute name="Timeout">
          <Value>0</Value>
        </Attribute>
        <Attribute name="Hit Count">
          <Value>4</Value>
        </Attribute>
        <Attribute name="Miss Count">
          <Value>11</Value>
        </Attribute>
        <Attribute name="Expire Count">
          <Value>0</Value>
        </Attribute>
        <Attribute name="Flush Count">
          <Value>0</Value>
        </Attribute>
        <Attribute name="Memory footprint">
         <Value>945008</Value>
        </Attribute>
        <Attribute name="keys">
          <Value>../../../lang/en-us/style0/predefinedreports.xsl</Value>
          <Value>../../../lang/en-us/style0/reports.xsl</Value>
          <Value>../../../lang/en-us/style0/usc_admin_main.xsl</Value>
          <Value>../../../lang/en-us/style0/admin_wf_definition.xsl</Value>
          <Value>../../../lang/en-us/style0/wf_quickstart_report.xsl</Value>
          <Value>../../../lang/en-us/style0/reportresults.xsl</Value>
          <Value>../../../lang/en-us/style0/usc_searchresults.xsl</Value>
          <Value>../../../lang/en-us/style0/usc_profile.xsl</Value>
          <Value>../../../lang/en-us/style0/login.xsl</Value>
          <Value>../../../lang/en-us/style0/qbmodify.xsl</Value>
          <Value>../../../lang/en-us/style0/wf_quickstart.xsl</Value>
        </Attribute>
      </Object>
    </Objects>
  </CommandOutput>
</DiagnosticReport>

F.14.3.3 キャッシュの診断データの解析

Oracleサポートは、診断データを解析する際に役立ちます。キャッシュの診断を実行している場合、診断出力の理解に表F-1および表F-2が役立ちます。

表F-1 アイデンティティ・システムのキャッシュ名および説明

キャッシュ名 説明

UidInfoCache

各ユーザーの構造化オブジェクト・クラスに関する情報を格納します。

PersonOOOIndicatorCache

各ユーザーの外出中インジケータをキャッシュします。

WfDefCache

これは、すべてのワークフロー定義のキャッシュです。

WfDefSetCache

これは、ユーザーの作成タイプのワークフローなど、特定のタイプのすべてのワークフロー定義のキャッシュです。

xsllib_stylesheet

これは本番環境では使用されていません。

PortalIdCache

これは本番環境では使用されていません。

AuditCache

これは、サーバーの監査構成情報のキャッシュです。

AuditUserCache

これは、ユーザー・マネージャ監査ポリシーのキャッシュです。

AuditMasterAuditPolicyCache

これは、マスター監査ポリシーのキャッシュです。

XMLStructureCache

これは、ブラウザにレンダリングされた各ページを表す内部XMLデータ構造のキャッシュです。

XSLXDKCache

これのキャッシュは、アイデンティティ・システムで使用された各スタイルシート（XSL）のコンパイルされた形式を含みます。

表F-2 アクセス・システムのキャッシュ名および説明

キャッシュ名 説明

UserAccessCache

評価の認可フェーズ中に使用されます。ユーザーが満たすルールおよびグループのハッシュ表を保持します。

AAASyncRequestCache

Accessシステム内のキャッシュ一貫性を維持し、Accessクライアントに更新を提供するために使用されます。

AAAUserCache

ユーザー・プロセスファイル属性のリストを保持します。リクエスト評価の認証、IsAuthorizedおよび監査イベント・フェーズ中に使用されます。

AAAUserCredCache

ユーザー・パスワードを保持します。パスワードを検証するリクエスト評価の認証フェーズ中に使用されます。

AuditPolicyCache

監査マスクを取得するIsResrcProtectedイベントの処理中に使用されます。監査イベント中にも使用されます。監査ポリシーを格納します。

AuthentPluginCache

カスタム認証プラグインのラッパー。認証中に使用されます。

AuthentSchemeCache

IsResrcProtectedイベントの処理中およびリソース・リリースの認証フェーズ中に使用されます。認証スキームの詳細を格納します。

AuthzDSOCache

カスタム認可プラグインのラッパー。IsAuthorizedイベントの処理中に使用されます。

AuthzRuleCache

ユーザーのリソースへのアクセス権限を評価し、アクション情報を取得するIsAuthorizedイベントの処理中に使用されます。ポリシー詳細を格納します。

AuthzSchemeCache

カスタム認可スキーム情報を保持します。IsAuthorizedイベントの処理中に使用されます。

ClientConfigCache

AccessクライアントのUpdateConfigurationリクエストの処理中に使用されます。

DomainPasswdPolicyIDMapper

パスワード・ポリシーIDを保持します。パスワード・ポリシー情報を取得するAuthenticateイベントの処理中に使用されます。

GrpQueryCache

ユーザーが属するグループのリストを保持します。ObMyGroupsの評価中に使用されます。

HostIdHashString

一致するポリシーを探すIsResrcProtectedイベントの処理中に使用されます。ホスト識別子を格納します。

LPMPolicyCache

ロスト・パスワード管理ポリシーの情報を取得する評価の認証フェーズ中に使用されます。

PSCGrpDefnCache

動的グループのネストされたグループおよびルールを保持します。

PSCUid2OcCache

評価の認可フェーズ中に使用されます。ユーザーが満たすルールおよびグループのハッシュ表を含みます。

PasswdPolicyCache

パスワード・ポリシー情報を取得する評価の認証フェーズ中に使用されます。

PasswdPolicyUserCache

パスワード・ポリシー情報を取得する評価の認証フェーズ中に使用されます。

PolicyCache

ユーザーのリソースへのアクセス権限を評価し、アクション情報を取得するIsAuthorizedフェーズの処理中に使用されます。ポリシー・ルールを格納します。

SDCache

一致するポリシーおよび認証スキームを探すIsResrcProtectedフェーズ中に使用されます。サイト・ドメイン・オブジェクトを格納します。

SessionTokenCache

暗号解除されたセッション・トークンを格納します。セッション・トークンの暗号解除のオーバーヘッドを削減します。

URLPrefixCache

リソースがマッピングされたポリシー・ドメインを探す際に使用されます。ポリシー・ドメインIDを格納します。

WRORCache

認証チャレンジ・スキームおよび認証の詳細を探すIsResrcProtectedイベントの処理中に使用されます。認証スキームの詳細を格納します。

jobstatuscache

ジョブのレポートのステータスが保持されます。

F.14.4 コア・ダンプ後のログ・ファイルへのスタック・トレースの自動的な書込み

Oracle Access Managerでコア・ダンプが発生すると、コア・ダンプのスタック・トレースをログ・ファイルに書き込めます。スタック・トレースは、ダンプ直前にコールされた機能をリストします。トレースの情報はトラブルシューティングに役立ちます。たとえば、スレッドがプロセスから抜け出せず、ディレクトリ・サーバーからレスポンスを受け取っていないかどうか、またはメッセージ・リーダー・スレッドが動作しているかどうかを、スタック・トレースで表示できます。

スタック・トレースをログ・ファイルに書き込む場合、ロギングを有効にする必要があります。いずれのロギング・レベルでも、スタック・トレースを書き込めます。詳細は、「ロギング」を参照してください。

スタック・トレースを含むログ・ファイルをOracleサポートに送信して、コア・ダンプの診断に役立てることができます。常に、スタック・トレースの最初の3つのエントリは、同一です。これらのエントリは、スタック・トレース機能に属します。4番目のエントリは、コア・ダンプのキャッシュで失敗した機能、またはスタックとレースを開始した際にスレッドが実行した最後の機能です。

この情報は、Oracleサポートによってのみ解析されます。

詳細は、次の各項を参照してください。

F.14.5 診断の問題の追跡またはクラッシュ再現時のスタック・トレースの有効化または無効化

アクセス・サーバーまたはアイデンティティ・サーバーのOracle Access Managerでコア・ダンプが発生した場合、スタック・トレースをログ・ファイルに書き込めます。ただし、スタック・トレースの書込みによりコア・ダンプが書き込まれなくなる場合があります。診断の問題の追跡時またはOracleサポートによりコア・ダンプの状況を再現するよう求められた場合は、globalparams.xmlファイルのStackDumpEnabledパラメータを無効化する必要があります。値は次のとおりです。

  • 0: 機能を無効化します。

  • 1: デフォルト値。アクセス・サーバーまたはアイデンティティ・サーバー上のOracle Access Managerでコア・ダンプが発生した場合に、ログ・ファイルにスタック・トレースを書き込む機能を有効化します。

  • 2: スタック・トレースを手動でリクエストする場合は、StackDumpEnabledの値を2に設定する必要があります。詳細は、「スタック・トレースの手動でのリクエスト」を参照してください。

目的のアクションに適したStackDumpEnabledパラメータ値を正しく設定する手順を次に示します。関連する手順のみを実行してください。


注意:

コア・ファイルの収集時に有効な値は0または2です。ただし、値1はコア・ファイルの生成と競合します。

StackDumpEnabledの値を設定する手順

  1. アイデンティティ・サーバーまたはアクセス・サーバーの適切なパスでglobalparams.xmlファイルを探します。

    install_dir/access|identity/oblix/apps/common/bin/globalparams.xml

  2. スタック・トレースの無効化: StackDumpEnabledを探して値を0に設定します。

    <SimpleList>
     <NameValPair ParamName="StackDumpEnabled" Value="0"></NameValPair>
</SimpleList>

  3. スタック・トレースの有効化: StackDumpEnabledを探して値が1に設定されていることを検証します。

    <SimpleList>
     <NameValPair ParamName="StackDumpEnabled" Value="1"></NameValPair>
</SimpleList>

  4. スタック・トレースの手動でのリクエスト: StackDumpEnabledを探して値を2に設定します。

    <SimpleList>
     <NameValPair ParamName="StackDumpEnabled" Value="2"></NameValPair>
</SimpleList>

  5. ファイルを保存します。

  6. 「スタック・トレースの手動でのリクエスト」に進みます。

F.14.6 スタック・トレースの手動でのリクエスト

アクセス・サーバーまたはアイデンティティ・サーバーの実行中にスタック・トレースを手動でリクエストする手順を次に示します。


注意:

状況によっては、最初に前項の「診断の問題の追跡またはクラッシュ再現時のスタック・トレースの有効化または無効化」の手順を行うことをお薦めします。

スタック・トレースを手動でリクエストする手順

  1. 次のパスにある適切なツールにナビゲートします。

    install_dir\identity|access\oblix\tools\ois_mon|aaa_mon

    ここで、install_dirは、アイデンティティ・サーバーまたはアクセス・サーバーがインストールされているディレクトリです。

  2. 次のコマンドを発行します。

    aaa_mon.exe|ois_mon.exe -s server -p port -i install_dir -m open|simple|cert -o optype=GenerateStackTrace

    ここで、縦線（"|"）はコマンドの選択肢、serverは情報を収集するホスト・コンピュータの名前、portはホストのリスナー・ポート、install_dirは診断中のコンポーネントのインストール・ディレクトリです。

    -mパラメータで、トランスポート・セキュリティ・モードとしてopen、simpleまたはcertを指定します。詳細は、「トランスポート・セキュリティ・モードの変更」を参照してください。certを指定した場合は、次のパラメータも指定します。

    -c path_for_certs

    ここで、path_for_certsは、証明書ファイルへの完全修飾パスです。

  3. 結果を表示するには、トレースが実行されたサーバーのログ・ファイルを開きます。

    詳細は、「ロギング」を参照してください。

F.15 詳細情報

Oracleサポート（旧名称MetaLink、URLはhttp://metalink.oracle.com）には、さらに多くの解決策が記載されています。問題の解決策が見つからない場合は、サービス・リクエストを記録してください。

  戻る
戻る 		 次へ
次へ
  目次
目次		 索引
索引