第 25 章 Oracle ERP

Oracle ERP リソースアダプタは、com.waveset.adapter.OracleERPResourceAdapter クラスで定義されます。このアダプタは、Oracle E-Business Suite (EBS) をサポートします。

Identity Manager は、Oracle データベースをサポートする Oracle リソースアダプタも提供します。このアダプタについては、第 24 章Oracleを参照してください。

アダプタの詳細

リソースを設定する際の注意事項

なし

Identity Manager のインストールに関する注意事項

Oracle ERP リソースアダプタは、カスタムアダプタです。インストールプロセスを完了するには、次の手順を実行する必要があります。

Oracle ERP リソースアダプタをインストールする

1. Oracle リソースを Identity Manager のリソースリストに追加するには、「管理するリソースの設定」ページの「カスタムリソース」セクションに次の値を追加する必要があります。

   com.waveset.adapter.OracleERPResourceAdapter

2. thin ドライバを使用して Oracle Real Application Cluster (RAC) に接続する場合は、「リソースパラメータ」ページの「接続 URL」に、次の形式で値を指定します。

   jdbc:oracle:thin:@(DESCRIPTION=(LOAD_BALANCE=on) (ADDRESS=(PROTOCOL=TCP)(HOST=host01)(PORT=1521)) (ADDRESS=(PROTOCOL=TCP)(HOST=host02)(PORT=1521)) (ADDRESS=(PROTOCOL=TCP)(HOST=host03)(PORT=1521)) (CONNECT_DATA=(SERVICE_NAME=PROD)))

3. Oracle Real Application Cluster を使用しない環境で JDBC thin ドライバを使用する場合は、JDBC thin ドライバクラスが含まれる JAR ファイルを $WSHOME$/WEB-INF/lib ディレクトリにコピーします。JAR ファイルは、使用しているアプリケーションサーバーの JDK バージョンと互換性がある必要があります。

4. ほかのドライバを使用する場合は、「リソースパラメータ」ページにドライバと接続 URL を指定します。

   Oracle ERP アダプタは、ほかの変更を必要とせずに、Oracle E-Business Suite (EBS) バージョン 11.5.9 をサポートします。ただし、EBS バージョン 11.5.10 および 12 をサポートするには、次の変更が必要です。

5. スキーママップから responsibilities アカウント属性を削除し、directResponsibilities 属性と indirectResponsibilities 属性を追加します。

6. 次のプロパティーを Oracle ERP ユーザーフォームの FormRef 属性に追加します。

   • RESOURCE_NAME。ERP リソース名を指定します。

     • VERSION。ERP リソースのバージョンを指定します。使用できる値は、11.5.9、11.5.10、12 です。

     • RESP_DESCR_COL_EXISTS。fnd_user_resp_groups_direct テーブルに、説明の列が存在するかどうかを定義します。このプロパティーは、バージョンが 11.5.10 または 12 の場合に必要です。指定できる値は TRUE と FALSE です。

       たとえば Tabbed User Form は、EBS バージョン 12 をサポートするために次のような方法で変更する必要の可能性があります。

       <FormRef name=’Oracle ERP User Form’> <Property name=’RESOURCE_NAME’ value=’Oracle ERP R12’/> <Property name=’VERSION’ value=’12’/> <Property name=’RESP_DESCR_COL_EXISTS’ value=’TRUE’/> </FormRef>

使用上の注意

ここでは、Oracle ERP アダプタに適用できる次のリソースパラメータについて説明します。

• 「Oracle アプリケーションのユーザー管理セキュリティー」

• 「Oracle クライアント暗号化タイプ」

• 「Oracle クライアント暗号化レベル」

• 「Oracle E-Business Suite (EBS) 管理ユーザー責任」

• 「セキュリティー設定属性の追加」

• 「ユーザーの有効化」

• 「責任の監査」

• 「リソースアクションの使用」

Oracle アプリケーションのユーザー管理セキュリティー

ユーザーのセキュリティーは、Oracle アプリケーション内部の次の 3 レベルで制御されます。

• 機能的セキュリティー。システム内部の個々のメニューおよびメニューオプションへのユーザーアクセス特権を制御します。

• データセキュリティー。ユーザーが操作できるデータオブジェクトを制御します。

• ロールに基づくアクセス制御 (RBAC)。ロールを作成し、ロールに対して責任とアクセス権を割り当てることができます。

Oracle ERP アダプタは、機能的セキュリティーのみをサポートします。このため、このアダプタでは Oracle のデータオブジェクト、オブジェクトインスタンス、インスタンスセットの作成、更新、削除を一覧表示することはできません。また、ロールオブジェクト、ロール階層、またはロールカテゴリも作成および管理できません。

Oracle クライアント暗号化タイプ

このパラメータには、Oracle がサポートする有効な暗号化アルゴリズム名 (RC4_56、RC4_128 など) のリストを指定します。このリストが空の場合、そのリリースで Oracle がサポートするすべてのアルゴリズムが使用されます。クライアント/サーバーは、Oracle クライアント暗号化レベルの設定に従って、これらのうちどのアルゴリズムを使用するかについてネゴシエーションを行います。

このタイプの暗号化をサポートするように Oracle サーバーも設定してください。

サポートされるアルゴリズムについては、『Oracle Advanced Security 管理者ガイド』を参照してください。thin JDBC クライアント用の有効な値のリストについては、「SQLNET.ENCRYPTION_TYPES_CLIENT」セクションを参照してください。

Oracle クライアント暗号化レベル

この値は、サーバー/クライアントがネゴシエーションを行って適用するセキュリティーのレベルを決定します。デフォルト値 (空白のままの場合) は、ACCEPTED です。有効な値は、REJECTED、ACCEPTED、REQUESTED、および REQUIRED です。このパラメータの使用法については、『Oracle Advanced Security 管理者ガイド』および SQLNET.ENCRYPTION_CLIENT の値を参照してください。

また、このタイプの暗号化をサポートするように Oracle サーバーを設定してください。

Oracle E-Business Suite (EBS) 管理ユーザー責任

この値は、Identity Manager Oracle EBS 管理ユーザーが EBS アプリケーションの初期化ルーチンを呼び出すために使用する EBS 責任を決定します。有効な責任のリストは、fnd_responsibility_vl テーブルにあります。詳細については、Oracle EBS のマニュアルも参照してください。

Identity Manager Oracle EBS 管理ユーザーが有効な EBS システムアカウントを持ち、このパラメータの値と一致する責任を持っている場合は、接続中に作成された Oracle セッションで Oracle EBS の監査メカニズムを使用してユーザーのアクションが監査されます。たとえば、fnd_user テーブルオブジェクトの created_by フィールドと last_updated_by フィールドは、Identity Manager Oracle EBS 管理ユーザーのユーザー ID で正しく更新されます。

セキュリティー設定属性の追加

securingAttrs アカウント属性は、Oracle E-business Suite のセキュリティー設定属性機能をサポートします。Identity Manager の「ユーザーの作成」ページでセキュリティー設定属性を設定するには、次の手順を実行します。

セキュリティー設定属性を「ユーザーの作成」ページで設定する

1. 「Add Securing Attribute」チェックボックスを選択します。

2. 「Enter Securing Attribute Search Pattern」テキストボックスに、使用可能な属性の選択肢を絞り込むための検索パターンを入力します。ワイルドカードとして「%」を使用します。次に、「Load Securing Attributes」ボタンをクリックします。これで「Oracle Securing Attributes」選択ボックスに属性が読み込まれます。

3. ドロップダウンメニューから属性を選択すると、その属性が「Securing Attributes」テーブルに追加されます。

   テーブルから削除する属性を選択して「Remove Selected Securing Attribute」ボタンをクリックすることにより、セキュリティー設定属性を削除できます。

ユーザーの有効化

Oracle EBS ユーザーを有効にするには、owner 属性の値を指定する必要があります。有効化フォームに特定の値が追加されて有効化ビューを介して送信されないかぎり、デフォルトで値 CUST が使用されます。次のコーディング例では、デフォルトの所有者を MYOWNER に変更しています。

<Field name=’resourceAccounts.currentResourceAccounts[MyOracleERP].
attributes.owner’ type=’string’>
   <Display class=’Text’>
      <Property name=’title’ value=’Owner’/>
   </Display>
   <Default>
      <s>MYOWNER</s>
   </Default>
</Field>

ユーザー責任の取得

listResourceObjects の呼び出しを使用して、ユーザーの責任およびその他の Oracle EBS オブジェクトを取得できます。次の表に、サポートされるオブジェクトタイプに関する情報を示します。

次のコーディング例では、ユーザーフォームにアクティブな責任を返すフィールドを追加しています。USER_NAME と RESOURCE_NAME を有効な値で置き換える必要があります。auditorResps は、responsibilities、directResponsibilities、または indirectResponsibilites で置き換えます。

<Field name=’respNames’ type=’string’>
   <Display class=’Text’>
      <Property name=’title’ value=’Oracle ERP Responsibilities’/>
   </Display>
   <Expansion>
      <invoke name=’listResourceObjects’ class=’com.waveset.ui.FormUtil’>
         <ref>display.session</ref>
         <s>auditorResps</s>
         <s>RESOURCE_NAME</s>
         <map>
            <s>id</s>
            <s>USER_NAME</s>
            <s>activeRespsOnly</s>
            <s>true</s>
            <s>attrsToGet</s>
            <list>
               <s>name</s>
            </list>
         </map>
         <s>null</s>
      </invoke>
   </Expansion>
</Field>

責任の監査

ユーザーに割り当てられた責任のサブ項目 (フォームや機能) を監視するには、auditorObject をスキーママップに追加します。auditorObject は、responsibility オブジェクトのセットを含む複雑な属性です。次の属性は、常に責任オブジェクトに返されます。

• responsibility

• userMenuNames

• menuIds

• userFunctionNames

• functionIds

• formIds

• formNames

• userFormNames

• readOnlyFormIds

• readWriteOnlyFormIds

• readOnlyFormNames

• readOnlyUserFormNames

• readWriteOnlyFormNames

• readWriteOnlyUserFormNames

• functionNames

• readOnlyFunctionNames

• readWriteOnlyFunctionNames

readOnly 属性と ReadWrite 属性は、fnd_form_functions テーブルの PARAMETERS 列で次のいずれかのクエリーを行うことによって識別します。

• QUERY_ONLY=YES

• QUERY_ONLY="YES"

• QUERY_ONLY = YES

• QUERY_ONLY = "YES"

• QUERY_ONLY=Y

• QUERY_ONLY="Y"

• QUERY_ONLY = Y

• QUERY_ONLY = "Y"

「SOB または組織、あるいはその両方を返す」リソースパラメータを TRUE に設定すると、次の属性も返されます。

• setOfBooksName

• setOfBooksId

• organizationalUnitName

• organizationalUnitId

responsibility、setOfBooksName、setOfBooksId、organizationalUnitId、および organizationalUnitName 属性を除いて、属性名はスキーママップに追加されるアカウント属性名に一致します。アカウント属性には、ユーザーに割り当てられる値の集合が含まれます。responsibility オブジェクトに含まれている属性は、その責任に固有のものです。

auditorResps[] ビューは、responsibility 属性へのアクセスを提供します。次に示すフォームの部分は、ユーザーに割り当てられたすべてのアクティブな責任 (およびそれらの属性) を返します。

<defvar name=’audObj’>
   <invoke name=’get’>
      <ref>accounts[Oracle ERP 11i VIS].auditorObject</ref>
   </invoke>
</defvar>
<!-- this returns list of responsibility objects -->
<defvar name=’respList’>
   <invoke name=’get’>
      <ref>audObj</ref>
      <s>auditorResps[*]</s>
   </invoke>
</defvar>

たとえば、次のようにします。

• auditorResps[0].responsibility は、最初の責任オブジェクトの名前を返します。

• auditorResps[0].formNames は、最初の責任オブジェクトの formNames を返します。

リソースアクションの使用

Oracle ERP アダプタは、リソースアクションをサポートします。これらのアクションを有効にするには、Javascript または BeanShell で記述されたスクリプトを設定する必要があります。このアダプタは、次のプロビジョニングアクションの実行後または実行前に、これらのスクリプトを呼び出します。

• 「create 前アクションと後アクション」

• 「update 前アクションと後アクション」

• 「delete 前アクションと後アクション」

• 「enable 前アクションと後アクション」

• 「disable 前アクションと後アクション」

• 「getUser 後アクション」

どのアクションスクリプトも、java.util.Map クラスで定義されているように、actionContext マップを受け取ります。マップに格納できる内容は、アクションごとに異なります。

スクリプトは、それ自体に渡された JDBC 接続を閉じることはできません。アダプタが適切な時期に自動的に接続を閉じます。

リソースアクションの実装については、第 50 章リソースへのアクションの追加を参照してください。サンプルスクリプトは、$WSHOME/sample/OracleERPActions.xml にあります。

create 前アクションと後アクション

アクションに渡される actionContext マップには次のエントリが含まれます。

エラー処理

スクリプト内から例外がスローされた場合は、失敗とみなされます。

スクリプトでエラーが発生した場合、スクリプトによって errors キーに適切な文字列を追加することもできます。errors リストに項目が存在する場合は、作成の失敗とみなされます。

update 前アクションと後アクション

アクションに渡される actionContext マップには次のエントリが含まれます。

エラー処理

スクリプト内から例外がスローされた場合は、失敗とみなされます。

スクリプトでエラーが発生した場合、スクリプトが errors キーに適切な文字列を追加することもできます。errors リストに項目が存在する場合は、更新の失敗とみなされます。

delete 前アクションと後アクション

アクションに渡される actionContext マップには次のエントリが含まれます。

エラー処理

スクリプト内から例外がスローされた場合は、失敗とみなされます。

スクリプトでエラーが発生した場合、スクリプトによって errors キーに適切な文字列を追加できます。errors リストに項目が存在する場合は、削除の失敗とみなされます。

enable 前アクションと後アクション

アクションに渡される actionContext マップには次のエントリが含まれます。

エラー処理

スクリプト内から例外がスローされた場合は、失敗とみなされます。

スクリプトでエラーが発生した場合、スクリプトが errors キーに適切な文字列を追加することもできます。errors リストに項目が存在する場合は、失敗とみなされます。

disable 前アクションと後アクション

アクションに渡される actionContext マップには次のエントリが含まれます。

エラー処理

スクリプト内から例外がスローされた場合は、失敗とみなされます。

スクリプトでエラーが発生した場合、スクリプトが errors キーに適切な文字列を追加することもできます。errors リストに項目が存在する場合は、失敗とみなされます。

getUser 後アクション

getUser アクションは、標準的なアダプタから取得されるカスタムアカウント属性だけでなく、追加のカスタムアカウント属性をデータベースから取得する必要がある場合に便利です。このアクションを有効にするには、「GetUser After アクション」というラベルの付いたリソースパラメータを設定することにより、このリソースアクションの名前を指定します。

アクションに渡される actionContext マップには次のエントリが含まれます。

エラー処理

スクリプト内から例外がスローされた場合は、失敗とみなされます。

スクリプトでエラーが発生した場合、スクリプトによって errors キーに適切な文字列を追加できます。errors リストに項目が存在する場合は、取得の失敗とみなされます。

セキュリティーに関する注意事項

ここでは、サポートされる接続と特権の要件について説明します。

サポートされる接続

Identity Manager は、次のいずれかのドライバを使用して Oracle アダプタと通信できます。

• JDBC thin ドライバ

• JDBC OCI ドライバ

• 他社製のドライバ

Oracle アプリケーションのストアドプロシージャーでは、プロビジョニングで使用される一部のストアドプロシージャーに暗号化されていないパスワードを渡す必要があるため、Identity Manager と Oracle アプリケーションリソースの間に暗号化された通信を実装するようにしてください。

特定のバージョンの Oracle RDBMS およびドライバが提供する暗号化のサポートレベルを検証するには、Oracle のマニュアル『Oracle Advanced Security 管理者ガイド』および使用している JDBC ドライバのマニュアルをお読みください。

Oracle EBS のアクセス権

Oracle E-Business Suite では、次のテーブルとストアドプロシージャーに対するアクセス権が必要です。

管理者は、すべてのテーブルに対して select コマンドを実行できる必要があります。また、管理者は apps.fnd_user テーブルを更新できる必要があります。

アダプタは、さらにほかのテーブルやストアドプロシージャーにアクセスする可能性もあります。詳細は、Oracle E-business Suite のマニュアルを参照してください。

Oracle によれば、Oracle EBS システム (fnd_user_pkg ストアドプロシージャーを含む) は、ORACLE EBS システムを APPS ユーザーとして管理するのに使用するように設計されました。Oracle は、代替管理ユーザーの作成を推奨していません。ただし、APPS 以外のユーザーで Oracle EBS を管理する必要がある場合は、Oracle にお問い合わせください。

代替管理ユーザーには、APPS ユーザーがすべての Oracle データ (テーブル、ビュー、ストアドプロシージャーを含む) に対して持っているのと同じアクセス権を与えてください。

また、そのユーザーにシノニムを設定して、APPS ユーザーがアクセス権を持っているテーブルにアクセスできるようにする必要があります。別のユーザーを使用し、そのユーザーに必要な許可とシノニムがまだない場合は、次のエラーが発生する可能性があります。

Error: ORA-00942: table or view does not exist

エラーを修正するには、必要な許可とシノニムを与えます。次のディレクトリに、サンプルの SQL*Plus スクリプトがあります。

$WSHOME/sample/other/CreateLHERPAdminUser.oracle.

このスクリプトは、必要に応じて変更して、代替 Oracle EBS 管理ユーザーを作成するために使用できます。使用手順は、スクリプトの先頭部分のコメントに記載されています。

パススルー認証の場合のみ、次の SQL コマンドを実行するために権限が必要です。

create or replace function wavesetValidateFunc1 (username IN varchar2, 
  password IN varchar2)
RETURN varchar2 IS ret_val boolean;
BEGIN ret_val := apps.FND_USER_PKG.ValidateLogin(username, password);
IF ret_val = TRUE THEN RETURN ’valid’;
ELSE RETURN NULL;
END IF;
END wavesetValidateFunc1;

プロビジョニングに関する注意事項

次の表に、このアダプタのプロビジョニング機能の概要を示します。このアダプタは、サポートされるプロビジョニング操作中に直接的なテーブル更新を発行しません。

アカウント属性

デフォルトの属性

次の表に、デフォルトの Oracle ERP アカウント属性を示します。すべての属性が省略可能です。

追加属性

Oracle ERP アダプタでは、Identity Manager が責任の変更を監査するために使用できる複数の読み取り専用属性を追加できます。auditorResps 属性に返される値は、そのユーザーのアクティブな責任です。次の表に示す auditorObject 以外のすべての属性は、各責任のサブ項目から、存在する可能性があるメニューや機能をすべて差し引いた集合です。

auditorObject 属性も追加できます。この属性については、「責任の監査」を参照してください。

次の表に、スキーママップに追加できる属性の一覧を示します。

Oracle ERP アダプタでは、create および update の前アクションおよび後アクションを使用することにより、またはカスタムの getUser アクションを使用することにより、任意の追加カスタム属性をサポートできます。詳細は、「リソースアクションの使用」を参照してください。

リソースオブジェクトの管理

Identity Manager は、次のネイティブオブジェクトをサポートします。

アイデンティティーテンプレート

$accountId$

サンプルフォーム

組み込みのフォーム

なし

その他の利用可能なフォーム

OracleERPUserForm.xml

トラブルシューティング

Identity Manager のデバッグページを使用して、次のクラスでトレースオプションを設定します。

• com.waveset.adapter.OracleERPResourceAdapter

• com.waveset.adapter.JdbcResourceAdapter

• com.waveset.adapter.JActionUtil (前アクションや後アクションを使用する場合)