この章の次の項では、LDAP GatewayをOracle Identity Managerのホスト・コンピュータにデプロイする手順を説明します。
コネクタをターゲット・システムの複数のインストールに構成するには、次の項を参照してください。
表2-1に、コネクタ・インストール・メディアの内容を示します。
表2-1 コネクタを構成するファイルおよびディレクトリ
ファイルおよびディレクトリ | ファイルおよび内容の説明 |
---|---|
etc/LDAP Gateway/ldapgateway.zip |
LDAP Gatewayのデプロイに必要なファイル。 |
etc/Provisioning Connector/およびetc/Reconciliation Connector/ディレクトリのファイル:
|
メインフレームへのProvisioning AgentおよびReconciliation Agentのデプロイに必要なファイル。 |
lib/idm.jar |
Oracle Identity ManagerシステムにデプロイされるコネクタのJARファイル。Oracle Identity Managerのプロセス・タスク・アダプタ・コードが含まれます。 |
lib/acf2-adv-agent-recon.jar lib/acf2Connection.properties |
ターゲット・システムとOracle Identity Manager間のリアルタイム・リコンシリエーションを可能にするために必要なファイル。 |
resourcesディレクトリにあるファイル |
これらの各リソース・バンドルには、コネクタで使用されるロケール固有の情報が含まれます。 注意: リソース・バンドルは、Oracle Identity Managerのユーザー・インタフェースに表示されるローカライズ・バージョンのテキスト文字列を含むファイルです。これらのテキスト文字列には、管理およびユーザー・コンソールに表示されるGUI要素のラベルおよびメッセージが含まれます。 |
scriptsディレクトリにあるファイル:
|
Oracle Identity Managerにおける最初の(初期)リコンシリエーションの実行に使用されるファイル。 |
scripts/user.txt |
初期リコンシリエーション中に使用されたユーザー・データが含まれるファイルのサンプル。 このファイルは、「初期リコンシリエーションの実行」で詳細に説明されています。 |
xml/oimAcf2AdvancedConnector.xml |
このXMLファイルには、リコンシリエーションおよびプロビジョニングに関連するコネクタ・コンポーネントの定義が含まれます。コンポーネントは次のとおりです。
|
Xml/oimAcf2TrustedXellerateUser.xml |
信頼できるソースのリコンシリエーション用コネクタのコンポーネント定義が含まれるXMLファイル。 |
次のコネクタ・ファイルを、表2-2に示されているOracle Identity Managerのホスト・コンピュータのコピー先ディレクトリにコピーします。
注意: これらのファイルの詳細は、「コネクタを構成するファイルおよびディレクトリ」の項を参照してください。この表にリストされていないファイルはコピーしないでください。それらのファイルは、後からデプロイ手順で使用します。 |
表2ー2 コネクタ・ファイルのコピー
ファイル | コピー先 |
---|---|
LDAP_INSTALL_DIR LDAP GatewayをインストールするOracle Identity Managerシステムのディレクトリです。LDAP Gatewayのインストールの詳細は、「LDAP Gatewayのインストールおよび構成」を参照してください。 |
|
lib/acf2Connection.properties |
LDAP_INSTALL_DIR/etc |
scriptsディレクトリにあるファイル:
|
OIM_HOME/xellerate/JavaTasks |
OIM_HOME/xellerate/connectorResources/ |
|
xml/oimAcf2AdvancedConnector.xml xml/oimAcf2TrustedXellerateUser.xml |
OIM_HOME/xellerate/XLIntegrations/acf2/xml/ |
Oracle Identity Managerの構成には、次の手順があります。
注意: クラスタ環境では、クラスタの各ノードでこれらのステップを実行する必要があります。 |
「コネクタ・ファイルのコピー」で説明されている手順を実行する際には、このコネクタのリソース・バンドルをOIM_HOME/xellerate/connectorResourcesディレクトリにコピーします。connectorResourcesディレクトリ内に新しいリソース・バンドルを追加したり、既存のリソース・バンドルに変更を加えた場合は、コネクタ・リソース・バンドルに関連するコンテンツをその都度サーバー・キャッシュから消去する必要があります。
コネクタ・リソース・バンドルに関連するコンテンツをサーバー・キャッシュから消去するには、次のようにします。
コマンド・ウィンドウで、OIM_HOME/xellerate/bin/ディレクトリに移動します。
注意: ステップ1を実行してからステップ2を実行してください。ステップ2で次のようにコマンドを実行すると、例外がスローされます。OIM_HOME/xellerate/bin/BATCH_FILE_NAME |
次のいずれかのコマンドを入力します。
Microsoft Windowsの場合:
PurgeCache.bat ConnectorResourceBundle
UNIXの場合:
PurgeCache.sh ConnectorResourceBundle
注意: ステップ2の実行時にスローされる例外は無視できます。この例外は、ステップ1で説明されているものとは異なります。 |
このコマンドのConnectorResourceBundleは、サーバー・キャッシュから削除できるコンテンツ・カテゴリの1つです。その他のコンテンツ・カテゴリの詳細は、次のファイルを参照してください。
OIM_HOME
/xellerate/config/xlConfig.xml
ロギングを有効化すると、Oracle Identity Managerはプロビジョニングおよびリコンシリエーション操作の過程で発生するイベントについての情報をログ・ファイルに自動的に格納します。ロギングを行うイベントのタイプを指定するには、ログ・レベルを次のいずれかに設定します。
ALL
このレベルでは、すべてのイベントのロギングが有効化されます。
DEBUG
このレベルでは、デバッグに役立つ詳細なイベントに関する情報のロギングが有効化されます。
INFO
このレベルでは、アプリケーションの進行状況を粗密に選択したメッセージのロギングが有効化されます。
WARN
このレベルでは、障害を引き起こす可能性のある状況に関する情報のロギングが有効化されます。
ERROR
このレベルでは、アプリケーションを続行できる可能性があるエラー・イベントに関する情報のロギングが有効化されます。
FATAL
このレベルでは、アプリケーションの機能停止の原因となる可能性がある、非常に重大なエラー・イベントに関する情報のロギングが有効化されます。
OFF
このレベルでは、すべてのイベントのロギングが無効化されます。
ログ・レベルおよびログ・ファイル・パスを設定するファイルは、使用するアプリケーション・サーバーによって異なります。
JBoss Application Server
ロギングを有効にするには、次のようにします。
JBOSS_HOME/server/default/conf/log4j.xmlファイルに、次の行を追加します。
<category name="COM.IDENTITYFORGE.ORACLE.INTEGRATION.IDFACF2USEROPERATIONS">
<priority value="LOG_LEVEL"/>
</category>
XMLの2行目で、LOG_LEVELを、設定するログ・レベルに置換します。次に例を示します。
<category name="COM.IDENTITYFORGE.ORACLE.INTEGRATION.IDFACF2USEROPERATIONS"> <priority value="INFO"/> </category>
ロギングを有効化すると、ログ情報が次のファイルに書き込まれます。
JBOSS_HOME/server/default/log/server.log
IBM WebSphereアプリケーション・サーバー
ロギングを有効にするには、次のようにします。
OIM_HOME/xellerate/config/log.propertiesファイルに次の行を追加します。
log4j.logger.COM.IDENTITYFORGE.ORACLE.INTEGRATION.IDFACF2USEROPERATIONS=LOG_LEVEL
この行で、LOG_LEVELを、設定するログ・レベルに置換します。次に例を示します。
log4j.logger.COM.IDENTITYFORGE.ORACLE.INTEGRATION.IDFACF2USEROPERATIONS=INFO
ロギングを有効化すると、ログ情報が次のファイルに書き込まれます。
WEBSPHERE_HOME/AppServer/logs/SERVER_NAME/startServer.log
BEA WebLogic Server
ロギングを有効にするには、次のようにします。
OIM_HOME/xellerate/config/log.propertiesファイルに次の行を追加します。
log4j.logger.COM.IDENTITYFORGE.ORACLE.INTEGRATION.IDFACF2USEROPERATIONS=LOG_LEVEL
この行で、LOG_LEVEL
を、設定するログ・レベルに置換します。次に例を示します。
log4j.logger.COM.IDENTITYFORGE.ORACLE.INTEGRATION.IDFACF2USEROPERATIONS=INFO
ロギングを有効化すると、ログ情報が次のファイルに書き込まれます。
WEBLOGIC_HOME/user_projects/domains/DOMAIN_NAME/SERVER_NAME/SERVER_NAME.log
Oracle Application Server
ロギングを有効にするには、次のようにします。
OIM_HOME/xellerate/config/log.propertiesファイルに次の行を追加します。
log4j.logger.COM.IDENTITYFORGE.ORACLE.INTEGRATION.IDFACF2USEROPERATIONS=LOG_LEVEL
この行で、LOG_LEVELを、設定するログ・レベルに置換します。次に例を示します。
log4j.logger.COM.IDENTITYFORGE.ORACLE.INTEGRATION.IDFACF2USEROPERATIONS=INFO
ロギングを有効化すると、ログ情報が次のファイルに書き込まれます。
OAS_HOME/opmn/logs/default_group~home~default_group~1.log
コネクタのXMLファイルをOracle Identity Managerにインポートするには、次のようにします。
左のナビゲーション・ペインの「デプロイメント管理」リンクをクリックします。
「デプロイメント管理」の下の「インポート」リンクをクリックします。ファイルを検索するダイアログ・ボックスが表示されます。
oimAcf2AdvancedConnector.xmlファイルを検索して開きます。このファイルはOIM_HOME/xellerate/XLIntegrations/acf2/xml/ディレクトリにあります。このXMLファイルの詳細は、「ファイル・プレビュー」ページに表示されます。
その他のXMLファイルのインポート後に、信頼できるソースのリコンシリエーション用にXMLファイル(acf2TrustedXellerateUser.xml)をインポートする必要があります。つまり、ターゲット・リソースまたは信頼できるソースのリコンシリエーションを実装するかどうかにかかわらず、oimAcf2AdvancedConnector.xmlをインポートする必要があります。信頼できるソースのリコンシリエーションを実装する場合には、1つ目のファイルのインポート後に、acf2TrustedXellerateUser.xmlファイルをインポートします。
「ファイルの追加」をクリックします。「置換」ページが表示されます。
「次へ」をクリックします。「確認」ページが表示されます。
「次へ」をクリックします。「ITリソース・インスタンス・データの提供」ページが表示されます。
OIMLDAPGatewayResourceType ITリソース・タイプに基づいて、ITリソースを作成します。表2-3にリストされているITリソース・パラメータに値を指定する必要があります。
表2-3 ITリソースの定義
パラメータ | 説明 |
---|---|
AtMap User |
プロビジョニングに使用された属性マッピングを含む参照定義の名前 値: 注意: このパラメータの値は変更しないでください。 |
idfPrincipalDn |
LDAP Gatewayに接続するための管理者ID サンプル値: |
idfPrincipalPwd |
LDAP Gatewayに接続するための管理者パスワード サンプル値: パスワード変更の詳細は、「LDAP Gatewayのインストールおよび構成」の手順9を参照してください。 |
idfRootContext |
CA-ACF2のルート・コンテキスト 値: dc=acf2,dc=com 注意: このパラメータの値は変更しないでください。 |
idfServerHost |
LDAP Gatewayに接続するためのホスト名 サンプル値: 注意: Oracle Identity Managerがインストールされているホスト・コンピュータにLDAP Gatewayをインストールする場合は、このパラメータ値を変更しないでください。LDAP Gatewayを別のコンピュータにインストールする場合は、そのコンピュータのホスト名またはIPアドレスを指定します。 |
idfServerPort |
LDAP Gatewayに接続するためのポート サンプル値: |
「次へ」をクリックします。OIMLDAPGatewayResourceType ITリソース・タイプの新しいインスタンスの「ITリソース・インスタンス・データの提供」ページが表示されます。
「スキップ」をクリックして、他のITリソースを定義しないことを指定します。「確認」ページが表示されます。
「選択内容の表示」をクリックします。
XMLファイルの内容が「インポート」ページに表示されます。ノードの横に十字形のアイコンが表示されることがあります。これらのノードは、冗長なOracle Identity Managerエンティティを示しています。コネクタのXMLファイルをインポートする前に、各ノードを右クリックして「削除」を選択し、これらのエンティティを削除する必要があります。
「インポート」をクリックします。コネクタのファイルがOracle Identity Managerにインポートされます。
アダプタは、プロビジョニング機能を実装するために使用されます。コネクタのXMLファイルをインポートすると次のアダプタがOracle Identity Managerにインポートされます。
CreateUserAcf2
OnBoardAcf2User
ResetAcf2Password
ChangeAcf2UserPassword
DeleteAcf2User
RevokeAcf2User
ResumeAcf2User
ModifyAcf2User
ModifyAcf2UserRemove
AssignACF2UserToDataset
UnAssignAcf2UserFromDataset
これらのアダプタは、プロビジョニング操作で使用する前にコンパイルする必要があります。「アダプタ・マネージャ」フォームを使用してアダプタをコンパイルするには、次のようにします。
現在のデータベースにインポートしたすべてのアダプタをコンパイルするには、「すべてをコンパイル」をクリックします。
独自のアダプタを作成した場合、またはインストールしたパッチに新しいアダプタが同梱されていた場合は、1つずつアダプタをコンパイルする必要があります。(すべてではないが)複数のアダプタをコンパイルするには、コンパイルするアダプタを選択します。次に、「選択したものをコンパイル」をクリックします。
「開始」をクリックします。指定したアダプタがOracle Identity Managerによってコンパイルされます。
Oracle Identity Managerがクラスタ環境にインストールされている場合は、OIM_HOME/xellerate/Adapterディレクトリから、コンパイル済のアダプタをクラスタの他の各ノードの同じディレクトリにコピーします。必要な場合には、その他のノードのアダプタ・ファイルを上書きします。
LDAP Gatewayをインストールおよび構成するには、次のようにします。
ldapgateway.zipファイルのコンテンツを、Oracle Identity Managerがインストールされているコンピュータのディレクトリに抽出します。
注意: このマニュアルでは、ldapgatewayディレクトリの場所(および名前)をLDAP_INSTALL_DIRと呼びます。 |
テキスト・エディタで、次のスクリプトを開きます。
LDAP_INSTALL_DIR/bin/ディレクトリからrun.shまたはrun.batスクリプトを開きます。
OIM_HOME/Xellerate/JavaTasksディレクトリからrun_initial_recon_provisioningスクリプトを開きます。
runスクリプトで、JAVA_HOMEプロパティを次のように設定します。
JAVA_HOME=\software\j2sdj1.4.2_13
runおよびrun_initial_recon_provisioningスクリプトで、アプリケーション・サーバー・ディレクトリに関連する行をコメント解除します。また、アプリケーション・サーバー・ディレクトリの実際の場所を反映するようにパスを変更します。
注意: runとrun_initial_recon_provisioningスクリプトの内容は似ています。両方のスクリプトに同じ変更を加える必要があります。 |
次に示すように、番号記号(#)で始まる行はコメントです。
##### SET JBOSS HOME ################## #APPSERVER_HOME=/opt/ldapgateway/lib/jboss-4.0.2
行をコメント解除するには、番号記号を削除します。たとえば、コネクタがJBoss Application Serverと連携するようにするには、行を次のように変更します。
##### SET JBOSS HOME ################## APPSERVER_HOME=/opt/ldapgateway/lib/jboss-4.0.2
テキスト・エディタで、LDAP_INSTALL_DIR/conf/acf2.propertiesファイルを開きます。このファイルに、使用するメッセージ・トランスポート・レイヤーの次のプロパティの情報を指定します。
TCP/IPの場合、デフォルト値は次のとおりです。
_type_=socket
_isencrypted_=true
_timeout_=5000
_authretries_=1
_host_=HOST_NAME_OR_IP_ADDRESS_OF_MAINFRAME
_port_=5790
_agentport_=5190
構成可能なプロパティは次のとおりです。
_type_: トランスポート・タイプ(MQ SeriesまたはTCP/IP(socket)のいずれか)
_host_: メインフレームのIPアドレスのホスト名
注意: LDAP GatewayをOracle Identity Managerがインストールされているコンピュータに構成する場合は、_host_ propertyの値としてlocalhost を指定します。LDAP Gatewayを別のコンピュータに構成する場合は、_host_ propertyの値としてそのコンピュータのホスト名またはIPアドレスを指定します。ただし、Oracle Identity Managerがインストールされているのと同じコンピュータにLDAP Gatewayをインストールすることをお薦めします。 |
_port_: Pioneer Provisioning Agentのポート
_agentport_: Voyager Reconciliation Agentがメッセージを送信する必要のあるポート
IBM MQ Seriesの場合、デフォルト値は次のとおりです。
_type_=mq
_isencrypted_=true
_timeout_=5000
_authretries_=2
_qmgr_=CSQ1
_qhost_=HOST_NAME_OR_IP_ADDRESS_OF_MAINFRAME
_qport_=1414
_qchannel_=CSQ1.PIONEER
_qname_=PIONEER.REQUEST
_qreplyname_=PIONEER.REPLY
構成可能なプロパティは次のとおりです。
_type_: Pioneer Provisioning Agentのポート
_qmgr_: キュー・マネージャ
_qhost_: メインフレームのIPアドレスのホスト名
注意: LDAP GatewayをOracle Identity Managerがインストールされているコンピュータに構成する場合は、_ghost_ propertyの値としてlocalhost を指定します。LDAP Gatewayを別のコンピュータに構成する場合は、_ghost_ propertyの値としてそのコンピュータのホスト名またはIPアドレスを指定します。ただし、Oracle Identity Managerがインストールされているのと同じコンピュータにLDAP Gatewayをインストールすることをお薦めします。 |
_qport_: MQ Seriesのデフォルト・ポート
_qchannel_: キュー・チャネル
_qname_: リクエスト・キュー
_qreplyname_: 返信キュー
acf2.propertiesファイルで、次のプロパティを使用して、Disable Userプロビジョニング操作中に、アクセス権の取消しまたはユーザーの削除を実行するかどうかを指定します。
# DEFAULT ACTION WHEN DELETE FUNCTION USED
_defaultDelete_=delete
Delete Userプロビジョニング操作の結果として、ターゲット・システムでユーザーを無効化する場合は、このプロパティの値にrevoke
を設定します。
Delete Userプロビジョニング操作の結果として、ターゲット・システムからユーザーを削除する場合は、このプロパティの値にdelete
を設定します。
acf2.propertiesファイルで、_nameFormat_ propertyを使用して「完全名」属性の書式を指定します。
指定する書式のコンポートネントとして、次の文字列を使用できます。
fnを使用して名を表します。
spを使用して空白を表します。
lnを使用して姓を表します。
カンマ(,)を使用してカンマを表します。
ピリオド(.)を使用してピリオドを表します。
その他のコンポートネントとのセパレータとして縦線(|)を使用します。
次の行に、_nameFormat_ propertyのサンプル値を示します。
_nameFormat_=fn|sp|ln
LDAP_INSTALL_DIR/etc/acf2Connection.propertiesファイルを開いて、次のプロパティを編集します。
注意: OIM_HOME/xellerate/JavaTasksディレクトリにある、initialAcf2Adv.propertiesファイルにもこの変更を行う必要があります。 |
_itResource_=NAME_OF_THE_NEW_IT_RESOURCE
NAME_OF_THE_NEW_IT_RESOURCEを、「コネクタのXMLファイルのインポート」で説明されている手順の手順8を実行して作成したITリソースの名前に置き換えます。
LDAP_INSTALL_DIR/dist/idfserver.jarファイルから、beans.xmlファイルを抽出してエディタで開き、次の値を設定します。
ターゲット・システムの管理者資格証明
beans.xmlファイルの次の行に格納されている管理者資格証明を変更する必要があります。
注意: これらの行で、太字で強調されている部分が変更可能な値です。beans.xmlファイルに入力する値は、ITリソース・パラメータ、およびacf2Connection.propertiesファイルとinitialAcf2Adv.propertiesファイルのプロパティに指定する値と同一であることが必要です。 |
<property name="adminUserDN" value="cn=idfAcf2Admin,dc=acf2,dc=com"/> <property name="adminUserPassword" value="password"/>
LDAP Gatewayと、コネクタのインストールに使用するメインフレーム論理パーティション(LPAR)との間の通信に使用するポート
ポートのプロパティのデフォルト値は、5389
です。この値を変更する場合は、beans.xmlファイル内に定義されているportプロパティの値を編集してください。
<property name="port" value="5389"/>
beans.xmlファイルに加えた変更を保存して、idfserver.jarファイルを再作成します。
メッセージ・トランスポート・レイヤーにIBM MQ Seriesを使用している場合は、IBM社のWebサイトから次のファイルをダウンロードし、LDAP_INSTALL_DIR/libディレクトリにコピーします。
com.ibm.mq.jar
com.ibm.mqbind.jar
com.ibm.mqjms.jar
fscontext.jar
providerutil.jar
注意: コネクタの使用を開始すると、LDAP_INSTALL_DIR/logsディレクトリにLDAP Gatewayのログが作成されます。 |
ターゲット・システムの複数のインストールにコネクタを構成できます。ターゲット・システムに(1つ目のLPARとは関連付けられていない)複数の論理パーティション(LPAR)が構成されているシナリオでも、コネクタを構成できます。
ターゲット・システムの各インストールに、ITリソースを作成し、LDAP Gatewayの追加のインスタンスを構成します。
ターゲット・システムの2つ目のインストールにコネクタを構成するには、次のようにします。
注意: ターゲット・システムの追加のインストールごとに同じ手順を実行します。 |
OIMLDAPGatewayResourceType ITリソース・タイプに基づいて、ITリソースを作成します。
関連項目:
|
サブディレクトリも含む現在のLDAP_INSTALL_DIRディレクトリを、新しい場所にコピーします。
注意: この手順の残りの手順では、LDAP_INSTALL_DIRは新しくコピーしたディレクトリを表します。 |
LDAP_INSTALL_DIR/dist/idfserver.jarファイルのコンテンツを抽出します。
beans.xmlファイルで、<property name="port" value="xxxx"/>の行でポートの値を変更し、LDAP Gatewayの1つ目のインスタンスに使用したものとは異なるポートを指定します。次の例に、デフォルトのポート番号を示します。
<bean id="listener" class="com.identityforge.idfserver.nio.Listener">
<constructor-arg><ref bean="bus"/></constructor-arg>
<property name="admin"><value>false</value></property>
<property name="config"><value>../conf/listener.xml</value></property>
<property name="port" value="5389"/>
</bean>
ポート番号を変更した場合は、作成したITリソースのidfServerPortパラメータの値も同様に変更する必要があります。
保存してbean.xmlファイルを閉じます。
LDAP_INSTALL_DIR/conf/acf2.propertiesファイルを開いて、次のプロパティを編集します。
_host_=IP_ADDRESS_OR_HOST_NAME_OF_THE_MAINFRAME
_port_=PORT_OF_THE_SECOND_INSTANCE_OF_THE_PROVISIONING_AGENT
_agentPort_=PORT_OF_THE_SECOND_INSTANCE_OF_THE_RECONCILIATION_AGENT
注意: ターゲット・システムに、1つ目のLPARに関連付けられていない2つ目のLPARが構成されている場合、_agentPort_ propertyの値は、1つ目のインスタンスの値とは異なる必要があります。それぞれにCA-ACF2が実行されているメインフレーム・サーバーが2つある場合は、この値をidfServerPortプロパティの値と同一にしてもかまいません。 |
LDAP_INSTALL_DIR/etc/acf2Connection.propertiesファイルを開いて、次のプロパティを編集します。
_itResource_=NAME_OF_THE_NEW_IT_RESOURCE