|
| |
| Sun Java™ System Identity Manager 7.0 管理ガイド | |
第 6 章
データの同期と読み込みこの章では、Identity Manager でのデータの同期と読み込み機能の説明および手順を示します。データの同期ツール (検索、調整、および同期) と、これらのツールを使用してデータを最新に保つ方法について説明します。
データ同期ツール: 最適なツールの選択Identity Manager データ同期ツールを選択してタスクを実行する場合は、次のガイドラインに従います。
検索Identity Manager アカウント検索機能を使用すると、導入とアカウント作成タスクの速度が向上します。検索機能には次のものがあります。
これらのツールを使用して、新しい Identity Manager ユーザーを作成したり、リソースのアカウントを既存の Identity Manager ユーザーアカウントに相互に関連付けたりすることができます。
ファイルへ抽出
この機能は、リソースアカウントをリソースから XML または CSV テキストファイルに抽出するために使用します。これにより、抽出したデータを表示して変更したあとに、Identity Manager にインポートすることができます。
アカウントを抽出するには、次を実行します。
ファイルを開く場合は、そのファイルを表示するプログラムを選択しなければならない場合があります。
ファイルから読み込み
この機能は、リソースアカウント、つまり Identity Manager を通じてリソースから抽出されたリソースアカウントか、別のファイルソースから抽出されたリソースアカウントを Identity Manager に読み込むために使用します。Identity Manager のファイルへ抽出機能で作成されたファイルは XML 形式です。新しいユーザーのリストを読み込んだ場合、通常、データファイルは CSV 形式です。
CSV ファイル形式について
ほとんどの場合、読み込まれるアカウントはスプレッドシートにリストされ、値をカンマで区切った CSV 形式で保存されて、Identity Manager に読み込まれます。CSV ファイルの内容は、次のフォーマットガイドラインに従っている必要があります。
たとえば、ファイルの最初の 3 行が次の図のファイルエントリのようになることがあります。
firstname,middleinitial,lastname,accountId,asciipassword,EmployeeID ,Department,Phone
John,Q,Example,E1234,E1234,1234,Operations,555-222-1111
Jane,B,Doe,E1111,E1111,1111,,555-222-4444図 6-1 データの読み込みに適切な形式の CSV ファイルの例
この例では、2 番目のユーザーである Jane Doe には部署がありません。値がない場合は、連続するカンマ (,,) で表します。
アカウントをロードするには、次を実行します。
- メニューバーで「アカウント」を選択し、「ファイルから読み込み」を選択します。
Identity Manager は「ファイルから読み込み」ページを表示します。
- 「ユーザーフォーム」 − 読み込み結果により Identity Manager ユーザーが作成される場合、ユーザーフォームは、ロール、リソース、およびその他の属性と同様に組織を割り当てます。各リソースアカウントに割り当てるユーザーフォームを選択してください。
- 「アカウント相関規則」 − アカウント相関規則は、所有者のいない各リソースアカウントの所有者候補となる Identity Manager ユーザーを選択します。所有者のいないリソースアカウントの属性が与えられると、相関規則は、所有者候補のユーザーを選択するために使用される名前のリストまたは属性条件のリストを返します。所有者のいない各アカウントを所有している可能性のある Identity Manager ユーザーを検索するための規則を選択してください。
- 「アカウント確認規則」 − アカウント確認規則は、相関規則が選択した所有者の候補から所有者でないものを除外します。Identity Manager ユーザーの完全なビューと所有されていないリソースアカウントの属性が与えられた場合、確認規則はユーザーがアカウントを所有していれば true を、そうでない場合は false を返します。リソースアカウントの各所有者候補をテストするための規則を選択します。「確認規則なし」を選択した場合、Identity Manager はすべての所有者候補を確認なしで受け入れます。
- 「一致のみ読み込み」 − 既存の Identity Manager ユーザーと一致するアカウントのみを読み込むことを選択します。このオプションが選択されている場合、不一致のリソースアカウントはすべて読み込みから破棄されます。
- 「属性の更新」 − 現在の Identity Manager ユーザー属性値を、読み込まれたアカウントの属性値で置き換えることを選択します。
- 「属性値のマージ」 − その属性値が上書きではなく (重複を除いて) 結合されるような、1 つ以上の属性名をカンマで区切って入力します。このオプションは、グループやメーリングリストなどの、リストタイプの属性にのみ使用できます。また、「属性値の更新」オプションも選択する必要があります。
- 「結果レベル」 − 読み込みプロセスがアカウントの個々の結果を記録するしきい値を選択します。
- 「アップロードするファイル」フィールドで、読み込むファイルを指定して「アカウントの読み込み」をクリックします。
図 6-2 に、「ファイルから読み込み」画面で使用できるフィールドとオプションを示します。
図 6-2 ファイルから読み込み
アカウントが既存のユーザーと一致する (または相互に関連する) 場合、読み込みプロセスではアカウントがユーザーにマージされます。また、相互に関連しない入力アカウントから新しい Identity Manager ユーザーも作成されます (「相関は必須」が指定されていない場合)。
bulkAction.maxParseErrors 設定変数は、ファイルの読み込み時に発生するエラーの数の制限を設定します。デフォルトでは、エラー数の制限は 10 です。maxParseErrors の数のエラーが発生した場合、解析が停止します。
リソースから読み込み
この機能は、指定した読み込みオプションに従ってアカウントを Identity Manager に直接抽出してインポートするために使用します。
アカウントをインポートするには、メニューバーで「アカウント」を選択し、「リソースから読み込み」を選択します。
Identity Manager では、処理を続行する前に、読み込みオプションを指定できます。「リソースから読み込み」ページで利用可能な読み込みオプションと、その結果の操作は、「ファイルから読み込み」ページと同じです。
調整調整機能は、Identity Manager のリソースアカウントと実際にリソースに存在するアカウントの不整合をハイライト表示し、アカウントデータを定期的に相互に関連付けるために使用します。
調整は処理の進行中に比較するために設計されており、次の特徴があります。
また、リソース処理の次の各時点で任意のワークフローを起動するように調整を設定できます。
Identity Manager 調整機能には、「リソース」エリアからアクセスします。リソースリストには、各リソースが最後に調整された日時および現在の調整ステータスが表示されます。
調整ポリシーについて
調整ポリシーを使用して、調整タスクごとに各リソースに対して一連の応答を設定できます。ポリシーでは、調整を実行するサーバーを選択し、どのような場合にどのような頻度で調整を実行するかを指定して、調整中に発生した各状況に対する応答を設定します。また、アカウント属性に対して (Identity Manager を経由せずに) ネイティブに行われた変更を検出するように調整を設定することもできます。
調整ポリシーの編集
調整ポリシーを編集するには、次の手順を実行します。
Identity Manager は「調整ポリシーの編集」ページを表示し、ここで、次のようなポリシーの項目を選択できます。
ポリシー内で、Identity Manager がリソースに対して調整を実行するモードを選択します。目的のリソースの調整を無効化する場合は、「調整しない」を選択します。
- 「完全調整スケジュール」 − 完全調整モードが有効になっている場合、調整は固定されたスケジュールで自動的に実行されます。ポリシー中で、完全調整がリソースに対してどのような頻度で実行されるかを指定します。より高いレベルのポリシーから指示されたスケジュールを継承する場合は、「継承」オプションを選択します。
- 「差分調整スケジュール」 − 差分調整モードが有効になっている場合、調整は固定されたスケジュールで自動的に実行されます。ポリシー中で、差分調整がリソースに対してどのような頻度で実行されるかを指定します。より高いレベルのポリシーから指示されたスケジュールを継承する場合は、「継承」オプションを選択します。
- 「属性レベル調整」 − 調整は、アカウント属性に対してネイティブな (つまり、Identity Manager を介さない) 変更が加えられたことを検出するように設定できます。「調整アカウント属性」で、指定された属性へのネイティブな変更を検出するかどうかを指定します。
- 「アカウント相関規則」 − アカウント相関規則は、所有者のいない各リソースアカウントの所有者候補となる Identity Manager ユーザーを選択します。所有者のいないリソースアカウントの属性が与えられると、相関規則は、所有者候補のユーザーを選択するために使用される名前のリストまたは属性条件のリストを返します。所有者のいない各アカウントを所有している可能性のある Identity Manager ユーザーを検索するための規則を選択してください。
- 「アカウント確認規則」 − アカウント確認規則は、相関規則が選択した所有者の候補から所有者でないものを除外します。ユーザーの完全なビューと所有されていないリソースアカウントの属性が与えられた場合、確認規則はユーザーがアカウントを所有していれば true を、そうでない場合は false を返します。リソースアカウントの各所有者候補をテストするための規則を選択します。「確認規則なし」を選択した場合、Identity Manager はすべての所有者候補を確認なしで受け入れます。
- 「プロキシ管理者」 − 調整応答の実行時に使用される管理者を指定します。調整では、指定されたプロキシ管理者が実行を許可されている操作のみを実行できます。応答は、(必要な場合) この管理者と関連付けられたユーザーフォームを使用します。
- 「状況オプション」 (および「応答」)− 調整では、数種類の状況が認識されます。「応答」列で、調整が実行する操作を指定します。
- 「CONFIRMED」 − 予想されるアカウントは存在します。
- 「DELETED」 − 予想されるアカウントは存在しません。
- 「FOUND」 − 調整プロセスは、割り当てられたリソースに対して、一致するアカウントを発見しました。
- 「MISSING」 − ユーザーに割り当てられたリソースに一致するアカウントが存在しません。
- 「COLLISION」 − 2 人以上の Identity Manager ユーザーが、単一のリソースに対して同じアカウントを割り当てられています。
- 「UNASSIGNED」 − 調整プロセスは、このユーザーに割り当てられていないリソースに対して、一致するアカウントを発見しました。
- 「UNMATCHED」 − アカウントはどのユーザーとも一致しません。
- 「DISPUTED」 − アカウントは 1 人以上のユーザーと一致します。
次のいずれかの応答オプションを選択します (状況により、選択できるオプションは異なる)。
- 「リソースアカウントに基づく新規 Identity Manager ユーザーの作成」 − リソースアカウント属性に基づいてユーザーフォームが実行され、新規ユーザーが作成されます。リソースアカウントは、どのような変更が行われても更新されません。
- 「Identity Manager ユーザーのリソースアカウントの作成」 − ユーザーフォームを使用してリソースアカウント属性を再生成し、存在しないリソースアカウントを再作成します。
- 「リソースアカウントの削除」および「リソースアカウントの無効化」 − リソースのアカウントを削除/無効化します。
- 「Identity Manager ユーザーへリソースアカウントをリンク」および「Identity Manager ユーザーからリソースアカウントへのリンク解除」 − リソースアカウント割り当てをユーザーに追加するか、ユーザーから削除します。フォーム処理は実行されません。
- 「調整前ワークフロー」 − 調整は、リソースを調整する前にユーザー指定のワークフローを実行するように設定できます。調整が実行するワークフローを選択してください。どのワークフローも実行しない場合は、「ワークフローを実行しない」を選択してください。
- 「アカウント単位ワークフロー」 − 調整がリソースアカウントの状況に応答したあと、ユーザー指定のワークフローを実行するように設定できます。調整が実行するワークフローを選択してください。どのワークフローも実行しない場合は、「ワークフローを実行しない」を選択してください。
- 「調整後ワークフロー」 − リソースの調整が完了したあとに、ユーザー指定のワークフローを実行するように設定できます。調整が実行するワークフローを選択してください。どのワークフローも実行しない場合は、「ワークフローを実行しない」を選択してください。
ポリシーの変更を保存するには、「保存」をクリックしてください。
調整の開始
調整タスクを開始する場合は、次の 2 つのオプションが利用可能です。
調整は、ポリシーに設定されたパラメータに従って実行されます。定期的に調整を実行するようにポリシーを設定すると、指定どおりに調整が実行されます。
調整のキャンセル
調整をキャンセルするには、リソースを選択し、「リソースアクション」リストから「調整のキャンセル」を選択します。
調整ステータスの表示
リソースリストの「ステータス」列には、次のような調整ステータスの状態が表示されます。
リソースの各アカウントの詳細なステータス情報を表示できます。リスト内のリソースを選択し、「リソースアクション」リストから「調整ステータスの表示」を選択してください。
アカウントインデックスの操作
アカウントインデックスは、Identity Manager に認識される各リソースアカウントの最後の既知の状態を記録します。アカウントインデックスは主に調整によって保守されますが、ほかの Identity Manager 機能も、必要に応じてアカウントインデックスを更新します。
検索ツールはアカウントインデックスを更新しません。
アカウントインデックスの検索
アカウントインデックスを検索するには、「リソースアクション」リストから「アカウントインデックスの検索」を選択します。
検索タイプを選択してから、検索属性を入力または選択します。「検索」をクリックすると、検索条件と一致するアカウントを検索します。
- リソースアカウント名 − このオプションを選択した場合は、「が次の文字列で始まる」、「が次の文字列を含む」、「が次の文字列と等しい」のいずれかの修飾子を選択してから、アカウント名の一部または全部を入力します。
- 検索対象リソース − このオプションを選択した場合は、リストから 1 つ以上のリソースを選択して、指定したリソース上にある調整済みアカウントを検索します。
- 所有者 − このオプションを選択した場合は、「が次の文字列で始まる」、「が次の文字列を含む」、「が次の文字列と等しい」のいずれかの修飾子を選択してから、所有者名の一部または全部を入力します。所有者のいないアカウントを検索するには、UNMATCHED または DISPUTED 状況のアカウントを検索します。
- 調整状況 − このオプションを選択した場合、リストから 1 つ以上の状況を選択して、指定した状況と一致する調整済みアカウントを検索します。
「検索」をクリックすると、検索パラメータに従ってアカウントを検索します。検索結果の数を制限するために、「結果表示を次の件数に限定」フィールドに数を指定することもできます。デフォルトの制限数は、検出されたアカウントの最初から 1000 件目までです。
「クエリーのリセット」をクリックすると、ページがクリアされ、新たに選択を行えます。
アカウントインデックスの検査
すべての Identity Manager ユーザーアカウントを表示することができます。また、オプションとして、それらをユーザーベースで調整することができます。このためには、「リソース」を選択してから、「アカウントインデックスの検査」を選択します。
Identity Manager が認識するすべてのリソースアカウントが表形式で表示されます (Identity Manager ユーザーに所有されるアカウントかどうかに関係なく)。この情報は、リソース別、または Identity Manager の組織別にまとめられます。この表示を変更するには、「インデックス表示の変更」リストから選択を行います。
アカウントの操作
リソースのアカウントを操作するには、「リソースごとのグループ」インデックス表示を選択します。リソースタイプごとにフォルダが表示されます。フォルダを展開して特定のリソースに移動します。リソースの隣の + または - をクリックすると、Identity Manager が認識するリソースアカウントがすべて表示されます。
リソースに対する最後の調整後に、そのリソースに直接追加されたアカウントは、表示されません。
アカウントの現在の状況に応じて、いくつかの操作を実行できます。また、アカウントの詳細を表示したり、その 1 つのアカウントを調整したりすることを選択できます。
ユーザーの操作
Identity Manager ユーザーを操作するには、「ユーザーごとのグループ」インデックス表示を選択します。この表示では、「アカウントのリスト」ページのように、Identity Manager ユーザーおよび組織が階層構造で表示されます。Identity Manager で現在ユーザーに割り当てられているアカウントを表示するには、ユーザーに移動してユーザー名の隣のインジケータをクリックします。ユーザーのアカウントと、Identity Manager が認識するそのアカウントの現在のステータスがユーザー名の下に表示されます。
アカウントの現在の状況に応じて、いくつかの操作を実行できます。また、アカウントの詳細を表示したり、その 1 つのアカウントを調整したりすることを選択できます。
ActiveSync アダプタIdentity Manager の ActiveSync 機能を使用すると、アイデンティティー情報の源泉として信頼性の高い外部リソース (アプリケーションやデータベースなど) に格納された情報を、Identity Manager のユーザーデータと同期させることができます。Identity Manager リソースに対して同期を設定することで、アイデンティティー情報の源泉として信頼性の高いリソースへの変更をリスニングまたはポールすることができます。
メタビューを使用するか、(適切なターゲットオブジェクトタイプに対して) リソース同期ポリシーの入力フォームを指定することにより、リソース属性変更の Identity Manager への伝達方法を設定することができます。
メタビューを使用してデータの更新方法を指定する場合、Active Sync アプリケーションで有効にするアイデンティティー属性を指定します。アイデンティティー属性の設定の詳細については、「アイデンティティー属性およびイベントの設定」を参照してください。
同期の設定については、次の節を参照してください。
同期の設定
Identity Manager は、同期ポリシーを使用してリソースの同期を有効にします。同期を設定するには、「リソース」タブで同期を設定するリソースを選択したあと、「リソースアクション」リストから「同期ポリシーの編集」を選択します。
同期ポリシーの編集
「同期ポリシーの編集」ページの次のオプションを指定して同期を設定します。
- 「ターゲットオブジェクトタイプ」 − ポリシーを適用するユーザーのタイプとして、Identity Manager ユーザーまたは Service Provider Edition ユーザーのいずれかを選択します。
注
これらのユーザーに対してデータの同期を有効にするには、サービスプロバイダ実装で同期ポリシー (オブジェクトタイプとして Service Provider Edition ユーザーを指定) を設定する必要があります。サービスプロバイダユーザーの詳細については、第 13 章「サービスプロバイダの管理」を参照してください。
- 「スケジューリングの設定」 − 起動方法とポーリングスケジュールを指定するには、このセクションを使用します。
起動タイプには、「手動」、「自動」、「フェイルオーバー付自動」、または「無効」を指定できます。
いつポーリングを開始するかを指定するには、「開始日」および「開始時刻」オプションを使用します。間隔を選択し、その間隔の値を入力することにより、ポーリング周期を指定します (秒、分、時間、日、週、月)。
ポーリング開始日と時刻を将来の日時に設定すると、指定した日時にポーリングが開始します。ポーリング開始日と時刻を過去の日時に設定すると、Identity Manager はこの情報とポーリング間隔に基づいて、いつポーリングを開始するかを決定します。次に例を示します。
この場合、リソースのポーリングは 2005 年 7 月 25 日 (次の月曜) に開始されます。
開始日または開始時刻を指定しない場合、ただちにリソースのポーリングが開始されます。この場合、アプリケーションサーバーを再起動するたびに、アクティブな同期を行うよう設定されたリソースすべてのポーリングが、ただちに開始されます。一般的には、開始日と開始時刻を設定します。
- 「リソース固有の設定」 − 同期で処理すべきリソースのデータを決定する方法を指定するには、このセクションを使用します。
- 「共通設定」 − データ同期アクティビティーの次の一般設定を指定します。
- 「プロキシ管理者」 − 更新を処理する管理者を選択します。すべての操作は、この管理者に割り当てられた機能を通して承認されます。ユーザーフォームが空のプロキシ管理者を選択する必要があります。
- 「入力フォーム」 − データ更新を処理する入力フォームを選択します。このオプション設定項目を使用すると、属性を変換してからアカウントに保存することができます。
- 「規則」 − データ同期プロセス中に使用する規則を指定できる次のオプションがあります。
- 「処理規則」 − 対象となる各アカウントに対して実行する処理規則を指定するには、この規則を選択します。この選択は、ほかのすべての選択よりも優先されます。処理規則を指定した場合、このリソースに関するほかの設定に関係なく、すべての行に対して処理が実行されます。これは、プロセス名か、またはプロセス名として評価される規則です。
- 「相関規則」 − リソースの調整ポリシーに指定されている相関規則に優先して適用される相関規則を選択します。相関規則は、リソースアカウントをアイデンティティーシステムアカウントに相互に関連付けます。
- 「確認規則」 − リソースの調整ポリシーに指定されている確認規則に優先して適用される確認規則を選択します。
- 「プロセス解決規則」 − データフィード内の複数のレコードと一致した場合に実行するタスク定義の名前を指定するには、この規則を選択します。これは、管理者に手動アクションを求めるプロセスである必要があります。これは、プロセス名か、またはプロセス名として評価される規則です。
- 「削除規則」 − 削除操作を行うかどうかを決定するために、対象となるユーザー更新ごとに評価される、true または false を返す規則を選択します。
- 「一致しないアカウントの作成」 − このオプションを有効 (true) にすると、アダプタは Identity Manager システム上に存在しないアカウントの作成を試みます。有効にしない場合、アダプタはプロセス解決規則が返すプロセスを使用してアカウントを実行します。
- 「ログ設定」 − 次のログオプションの値を指定します。
- 「ログアーカイブの最大数」 − 値が 0 (ゼロ) より大きい場合、最新の N 個のログファイルが保持されます。0 (ゼロ) の場合は 1 つのログファイルが繰り返し利用されます。-1 の場合、ログファイルは破棄されません。
- 「アクティブログの最大有効期間」 − この期間を経過すると、アクティブログはアーカイブされます。期間が 0 (ゼロ) の場合、期間ベースのアーカイブは行われません。ログアーカイブの最大数が 0 (ゼロ) に設定されている場合、この期間が経過してもアーカイブは行われず、アクティブログは切り捨てられ、再使用されます。この有効期間条件は、「ログファイルの最大サイズ」に指定される条件とは別に評価されます。
- 「ログファイルパス」 − アクティブログとアーカイブされたログのファイルが作成されるディレクトリへのパスを入力します。ログファイル名はリソース名から開始します。
- 「ログファイルの最大サイズ」 − アクティブログファイルの最大サイズをバイト数で入力します。指定した最大サイズに達すると、アクティブログファイルはアーカイブされます。ログアーカイブの最大数が 0 (ゼロ) に設定されている場合、この期間が経過してもアーカイブは行われず、アクティブログは切り捨てられ、再使用されます。このサイズ条件は、「アクティブログの最大有効期間」に指定される条件とは別に評価されます。
- 「ログレベル」 − ログのレベルを入力します。
「保存」をクリックして、リソースのポリシー設定を保存します。
ActiveSync アダプタの編集
Active Sync アダプタを編集する前に、同期を停止します。「同期ポリシーの編集」ページで、Identity Manager ユーザーの「起動タイプ」として「無効」を選択します。サービスプロバイダユーザーの場合は、「同期の有効化」オプションの選択を解除します。アクティブな同期が無効にされたことを示す警告メッセージが表示されます。
リソースに対して同期を無効にすると、変更の保存時に同期タスクが停止されます。
ActiveSync アダプタのパフォーマンスのチューニング
同期はバックグラウンドタスクであるため、ActiveSync アダプタ設定によってはサーバーのパフォーマンスが影響を受ける可能性があります。次のタスクを実行して、ActiveSync アダプタのパフォーマンスをチューニングします。
ActiveSync アダプタは、リソースリストを通じて管理します。ActiveSync アダプタを選択し、「リソースアクション」リストの「同期」セクションから処理を制御する実行、停止、ステータス更新を利用してください。
ポーリング間隔の変更
ポーリング間隔は、ActiveSync アダプタが新しい情報の処理を開始する時期を決定します。ポーリング間隔は、実行するアクティビティーのタイプに基づいて決定する必要があります。たとえば、アダプタがデータベースから多数のユーザーのリストを読み込むたびに、Identity Manager の全ユーザーを更新する場合、この処理を毎日早朝に実行するとします。アダプタによっては処理する新しい項目を即座に検索するため、毎分実行するよう設定できるかもしれません。
アダプタを実行するホストの指定
アダプタを実行するホストを指定するには、waveset.properties ファイルを編集します。sources.hosts プロパティーを次のいずれかのオプションに編集します。
メモリと CPU サイクルを多く必要とする ActiveSync アダプタは、専用のサーバー上で実行するように設定して、システムの負荷を分散することができます。
開始と停止
ActiveSync アダプタは、無効化したり、手動で開始したり、自動で開始したりすることができます。ActiveSync アダプタを起動または停止するには、ActiveSync リソースを変更できる適切な管理者機能が必要です。管理者機能の詳細については、「機能のカテゴリ」を参照してください。
自動に設定すると、アプリケーションサーバーが再起動したときにアダプタが再起動されます。アダプタを開始すると、アダプタは指定したポーリング間隔で即座に実行します。アダプタを停止すると、アダプタは次回に停止フラグを検出したときに停止します。
アダプタログ
アダプタログは、現在処理中のアダプタの情報を取得します。ログが取得する詳細の量は、設定したログレベルに応じて異なります。アダプタログは、問題のデバッグとアダプタプロセスの進行状況の監視に役立ちます。
各アダプタには独自のログファイル、パス、およびログレベルがあります。適切なユーザータイプ (Identity Manager またはサービスプロバイダ) の同期ポリシーの「ログ」セクションでこれらの値を指定します。
アダプタログの削除
アダプタログは、アダプタが停止されたときにのみ削除しなければなりません。ほとんどの場合は、ログを削除する前に、ログをコピーしてアーカイブしておきます。
