ヘッダーをスキップ
Oracle Identity Manager Microsoft Active Directory Password Synchronization Connectorガイド
リリース9.1.1
B54801-02
  目次
目次		 索引
索引
戻る
戻る 		 次へ
次へ		  

1 コネクタについて

Oracle Identity Managerでは、アクセス権の管理、セキュリティおよびITリソースのプロビジョニングが自動化されています。Oracle Identity Managerコネクタは、Oracle Identity Managerと外部のアイデンティティ対応アプリケーションの統合に使用されます。

Oracle Identity Manager Microsoft Active Directory Password Synchronization Connectorは、ターゲット・システムでのパスワード変更を取得し、Oracle Identity Managerに伝播します。

このマニュアルでは、パスワード同期コネクタについて説明します。


注意:

このマニュアルで使用する次の用語の意味を説明します。

  • Oracle Identity Manager Microsoft Active Directory Password Synchronization Connectorは、コネクタまたはパスワード同期コネクタとも呼ばれます。

  • Microsoft Active Directory User Management Connectorは、ユーザー管理コネクタとも呼ばれます。

  • Microsoft Active Directoryは、ターゲット・システムとも呼ばれます。

この章では、次の項目について説明します。

1.1 Microsoft Active Directory用のコネクタ

Oracle Identity Managerには、Microsoft Active Directoryとの統合用に次のコネクタが用意されています。

ビジネス要件に応じ、これらのコネクタのいずれかまたは両方をデプロイして、Oracle Identity ManagerとMicrosoft Active Directoryを統合できます。

表1-1に、User Management Connectorとパスワード同期コネクタのアーキテクチャを示します。


関連項目:

『Oracle Identity Manager Microsoft Active Directory User Management Connectorガイド』

表1-1 User Management Connectorとパスワード同期コネクタの機能

イベント コネクタによって実行されるアクション

Active Directoryからの信頼できるソースのリコンシリエーション

User Management Connectorのみがインストールされている場合: Active Directoryからのユーザー・データをOIMユーザーと比較します。

パスワード同期コネクタのみがインストールされている場合: 該当なし

User Management Connectorとパスワード同期コネクタの両方がインストールされている場合: User Management Connectorは、ユーザー・データの変更を（パスワードの変更を除き）Active Directoryから、対応するOIMユーザーに伝播します。パスワード同期コネクタは、パスワード変更をActive Directoryから、対応するOIMユーザーに伝播します。

Active Directoryからのターゲット・リソースのリコンシリエーション

User Management Connectorのみがインストールされている場合: Active Directoryからのユーザー・データを、OIMユーザーに割り当てられたActive Directoryリソースと比較します。

パスワード同期コネクタのみがインストールされている場合: 該当なし

User Management Connectorとパスワード同期コネクタの両方がインストールされている場合: User Management Connectorは、ユーザー・データの変更を（パスワードの変更を除き）Active Directoryから、OIMユーザーに割り当てられたActive Directoryリソースに伝播します。パスワード同期コネクタは、パスワード変更をActive Directoryから、対応するOIMユーザーに伝播します。

OIMユーザーのパスワードの変更

User Management Connectorのみがターゲット・モードがインストールおよび構成されている場合: Allow Password Provisioning ITリソース・パラメータの値に基づいて、User Management Connectorでは、OIMユーザーに対して加えられたパスワードの変更を、Active Directoryと、OIMユーザーに割り当てられた他のリソースに伝播します。

Allow Password Provisioningパラメータは、User Management Connector用のITリソース・パラメータです。このパラメータをyesに設定した場合は、Oracle Identity Managerではパスワードの変更を、OIMユーザーに割り当てられた（プロビジョニングした）すべてのリソースに伝播します。このパラメータをnoに設定した場合は、Oracle Identity Managerではパスワードの変更を、OIMユーザーに割り当てられた（プロビジョニングした）すべてのリソースに伝播しません。

注意: 事前移入されたアダプタが、パスワードの変更をOIMユーザーからリソースに伝播するように構成されている場合のみ、この動作は適用されます。

パスワード同期コネクタのみがインストールされている場合: 該当なし

User Management Connector（ターゲット・リソース・モード用に構成済）とパスワード同期コネクタの両方がインストールされている場合: User Management Connectorがインストールされていてターゲット・リソース・モード用に構成されている場合と同じ動作が発生します。これはプロビジョニング操作なので、パスワード同期コネクタはこの状況では使用されません。

Active Directoryでのパスワードの変更

User Management Connectorのみがインストールされている場合: Active directory上でのパスワードの変更はOracle Identity Managerに伝播されません。

パスワード同期コネクタのみがインストールされている場合: Active directory上でのパスワードの変更はOracle Identity Managerに伝播されません。

User Management Connectorとパスワード同期コネクタの両方がインストールされている場合: Active directory上でのパスワードの変更はOracle Identity Managerに伝播されません。

1.2 コネクタの使用に関するガイドライン

コネクタを使用する際のガイドラインは次のとおりです。

1.3 コネクタのアーキテクチャ

コネクタのアーキテクチャが、コネクタの機能を決定します。図1-1に、パスワード同期コネクタのアーキテクチャを示します。

図1-1 パスワード同期コネクタのアーキテクチャ

図1-1の説明が続きます
「図1-1 パスワード同期コネクタのアーキテクチャ」の説明

この項の内容は次のとおりです。

1.3.1 パスワード同期プロセス

図1-2に、ターゲット・システムからOracle Identity Managerにパスワードが伝播されるときに発生するイベントの順序を示します。

図1-2 パスワード同期の際に発生するイベントの順序

図1-2の説明が続きます
「図1-2 パスワード同期の際に発生するイベントの順序」の説明

次に、パスワードの同期中に発生するイベントの順序を示します。

  1. ユーザーにより、Microsoft Active Directoryでユーザーのパスワードが変更されます。ユーザーは次のいずれかの方法でパスワードを変更できます。

    • Microsoft管理コンソールを使用

    • [Ctrl]、[Alt]および[Del]を同時に押し、Microsoft Active Directoryサーバーのいずれかのクライアント・コンピュータでパスワードの変更オプションを使用

    • サード・パーティ・アプリケーション、またはMicrosoft Active Directoryでパスワードを変更するためのカスタム・ユーティリティを使用

    パスワードが、Microsoft Active Directoryでのすべてのパスワード・チェックに合格した場合のみ、Microsoft Active Directoryでのパスワードの変更が成功します。

  2. Microsoft Windowsのローカル・セキュリティ認証（LSA）コンポーネントにより、Microsoft Active Directoryでのパスワードの変更が取得され、パスワード（プレーン・テキスト・フォーマットで）および必要なユーザー情報がパスワード・フィルタ（oimadpwdsync10.dllファイル）に渡されます。oimadpwdsync10.dllファイルは、パスワード同期コネクタをインストールする際に、ターゲット・システムにコピーされるファイルの1つです。

  3. パスワードとユーザー情報はパスワード・フィルタによってパスワード変更レコードの中で暗号化され、このレコードはパスワード変更レコード・キューの中に保存されます。

    このキューは、Microsoft Active Directoryに対する各パスワードの変更に対応するパスワード変更レコードによって構成されています。パスワード変更レコード・キューはメモリー内で保持されていますが、メモリー内キューとも呼ばれます。

  4. パスワード・フィルタが初期化されるときに、パスワード更新スレッドが作成されます。このスレッドによって、次のタスクが実行されます。

    1. メモリー内キューまたは永続キューからパスワード変更レコードを取得します。


      注意:

      永続キューは、この項で後述します。

    2. パスワード変更レコードを復号化します。

    3. SPMLリクエストを作成し、SOAPパケットの形式でOracle Identity Managerに送信します。

      このSPMLリクエストには、Oracle Identity Manager上でパスワードを更新する必要のあるターゲット・システム・ユーザーのsAMAccountNameが格納されています。Oracle Identity Manager上で、sAMAccountNameの値が、コネクタをインストールするときに指定したOIMユーザー属性と比較されます。


      関連項目:

      SPML Webサービスの詳細は、『Oracle Identity Manager Toolsリファレンス』の「SPML Webサービス」を参照してください。

次の項では、SPMLリクエストが送信されるときに発生する可能性のあるイベントに関連付けられるプロセスについて説明します。


注意:

ターゲット・システムでパスワードが更新されるかどうかは、Oracle Identity Managerでパスワードが受け入れられるかどうか、またはOracle Identity Managerが利用可能であるかどうかに依存しません。

1.3.1.1 最初のSPMLリクエストの拒否

ターゲット・システム・ユーザーのsAMAccountNameとの比較に使用されたのに対応するOIMユーザーが存在しない場合は、Oracle Identity Managerによって最初のSPMLリクエストは拒否されます。このイベントが発生した場合は、次のエラー・メッセージがMicrosoft Windowsのイベント・ログのうちアプリケーション・ログに書き込まれます。

Unable to update sAMAccountName, the user does not exist in OIM

また、次のエラー・メッセージがTIME_STAMPOIMMain.logファイルに書き込まれます。

The user does not exist in OIM

コネクタのログ・ファイルの詳細は、「パスワード同期の無効化および有効化」を参照してください。

1.3.1.2 最初のSPMLリクエストの受入れ

ターゲット・システム・ユーザーのsAMAccountNameと比較されたOIMユーザーが見つかった場合は、Oracle Identity Managerによって最初のSPMLリクエストは受け入れられます。OIMユーザーが見つかった後、次のようになります。

  1. SPML Webサービスによって、パスワード更新スレッドに対して成功のレスポンスが送信されます。

  2. パスワード更新スレッドによって、Oracle Identity Manager内のSPML Webサービスに対して2番目のSPMLリクエストが送信されます。このリクエストには、OIMユーザーのパスワードが含まれます。

    次の項では、2番目のSPMLリクエストが送信されるときに発生する可能性のあるイベントに関連付けられるプロセスについて説明します。

2番目のSPMLリクエストの拒否

次のいずれかの理由で、Oracle Identity Managerにより、2番目のSPMLリクエストが拒否されます。

  • パスワードが、Oracle Identity Manager上で設定されたパスワード・ポリシーを満たさない。


    注意:

    ターゲット・システムに設定されているパスワード・ポリシーと、Oracle Identity Managerに設定されているパスワード・ポリシーは合致していない可能性がある。

  • Oracle Identity Managerでサポートされていない特殊文字がパスワードに含まれている。

  • OIMユーザーのユーザーIDに、Microsoft Active Directoryシステムの非ネイティブ形式の文字が含まれている。

Oracle Identity Managerにより、2番目のSPMLリクエストが拒否された場合は、次のようになります。

  1. 両方のシナリオで、次のエラー・メッセージがMicrosoft Windowsのイベント・ログのうちアプリケーション・ログに書き込まれます。

    Unable to update USER_NAME_OF_THE_OIM_USER. The OIM server rejected the 
setPasswordRequest. Please check the OIM server log for more details.

    このエラー・メッセージは、TIME_STAMPOIMMain.logファイルにも記録されます。また、例外スタック・トレースがOracle Identity Managerのデバッグ・ログ・ファイルに記録されます。スタック・トレースによって、パスワード変更が拒否された理由の詳細が提供されます。コネクタのログ・ファイルの詳細は、「パスワード同期の無効化および有効化」を参照してください。

  2. SPML Webサービスによって、パスワード更新操作が失敗したことを示すSPMLレスポンスが送信されます。

  3. パスワード変更レコード（パスワードがユーザー情報とともに暗号化済フォーマットで含まれている）が、永続キューに保持されます。このキューは、Microsoft Active Directoryのou=oimpwdsyncDOMAIN_NAME,BASE_DNコンテナの中に配置されています。

  4. パスワード更新スレッドによって、パスワード変更レコードの再試行回数が1増やされ、SPMLリクエストがOracle Identity Managerに再送信されます。


    注意:

    再試行カウントの値は、コネクタのインストール時に指定されます。

  5. Oracle Identity Managerによってパスワード変更が受け入れられた場合は、パスワード変更レコードは永続キューから削除されます。この項で説明する残りのステップは実行されません。

  6. Oracle Identity Managerによってパスワード変更が拒否された場合は、再試行回数が再試行最大回数に達するまで、パスワード更新スレッドによってSPMLリクエストが引き続き再送信されます。

    Oracle Identity Managerによってパスワードが拒否された後、拒否されたパスワードの最大再試行回数に達する前に、Oracle Identity Managerが使用不可になった場合は、次のようになります。

    • パスワードは、ユーザー情報とともに暗号化済フォーマットで永続キューに保存されます。

    • パスワード更新スレッドによって、再試行回数を増やすことなく、対応するOIMユーザーのパスワードの更新が再試行されます。Oracle Identity Managerが使用可能になった場合は、この再試行は続行され、これ以降、再試行回数の増加が再開されます。

  7. 再試行回数が再試行最大回数に達した場合は、次のようになります。

    • パスワード変更レコードは永続キューから削除されます。

    • 次のエラー・メッセージがMicrosoft Windowsのイベント・ログのうちアプリケーション・ログに書き込まれます。

      Unable to update USER_NAME_OF_THE_OIM_USER. The OIM server rejected the 
setPasswordRequest. Please check the OIM server log for more details.

      このエラー・メッセージは、TIME_STAMPOIMMain.logファイルにも記録されます。また、例外スタック・トレースがOracle Identity Managerのデバッグ・ログ・ファイルに記録されます。スタック・トレースによって、パスワード変更が拒否された理由の詳細が提供されます。コネクタのログ・ファイルの詳細は、「パスワード同期の無効化および有効化」を参照してください。

2番目のSPMLリクエストの受入れ

Oracle Identity Managerによって2番目のSPMLリクエスト（パスワード変更を含む）が受け入れられた場合は、OIMユーザーのパスワードが正常に更新されます。プロセスはここで終了します。

Oracle Identity Managerが使用不可

最初のSPMLリクエストが受け入れられた後、2番目のSPMLリクエストが送信される前にOracle Identity Managerが使用不可になった場合に発生するイベントの詳細は、「Oracle Identity Managerが使用不可」を参照してください。

1.3.1.3 Oracle Identity Managerが使用不可

パスワード同期操作の開始時にOracle Identity Managerが使用不可である場合は、次のようになります。

  1. 次のエラー・メッセージがMicrosoft Windowsのイベント・ログのうちアプリケーション・ログに書き込まれます。

    Unable to update sAMAccountName. The OIM SPML Web Service is unreachable. 
Please verify the availability of the web service or the configuration parameters.

    このエラー・メッセージは、TIME_STAMPOIMMain.logファイルにも記録されます。

  2. パスワードは、ユーザー情報とともに暗号化され、永続キューに保存されます。

  3. パスワード更新スレッドによって、パスワード変更レコードが永続キューから取得され、（再試行回数が増やされることなく）SPMLリクエストがOracle Identity Managerに再送信されます。

  4. Oracle Identity Managerが使用不可である間は、最初のSPMLリクエストがOracle Identity Managerに送信されるまで、ステップ2および3 が繰り返されます。

  5. Oracle Identity Managerが使用可能になった場合は、最初のSPMLリクエストが送信されます。次のステップの順序は、次のイベントのうちどれが発生するかに基づきます。

1.3.2 複数ドメイン・コントローラ環境でのパスワード同期コネクタ

複数ドメイン・コントローラ環境では、ドメイン・コントローラのいずれかが使用不可になり、パスワード変更リクエストがそのドメイン・コントローラに送信された場合は、パスワード変更リクエストは使用可能であるドメイン・コントローラに再ルーティングされます。その後、利用可能であるドメイン・コントローラはパスワードをOIMユーザーに送信します。


注意:

ドメイン・コントローラのメモリー・キュー内に保存されているパスワード変更リクエストは、そのドメイン・コントローラがクラッシュした場合は失われます。この動作が発生した場合は、パスワード変更リクエストを取得できません。

次の例では、複数ドメイン・コントローラ環境でのコネクタの動作方法を示します。

オペレーティング環境が、DC1およびDC2という2台のドメイン・コントローラで構成されているとします。DC1が使用不可になり、たとえば、ユーザーJohn Doeが自分のパスワードをターゲット・システム上で変更した場合は、DC2上のコネクタは新しいパスワードを、対応するOIMユーザーに伝播します。

1.4 コネクタのデプロイおよび使用のロードマップ

次に、このマニュアルの残りの部分で説明する内容の概略を示します。

  戻る
戻る 		 次へ
次へ
  目次
目次		 索引
索引