|
| |
| Sun Java™ System Identity Manager 7.0 管理ガイド | |
第 13 章
サービスプロバイダの管理この章では、Sun JavaTM System Identity Manager のサービスプロバイダ (SPE) 機能を管理するために知っておく必要がある情報を提供します。この情報を利用するには、Lightweight Directory Access Protocol (LDAP) ディレクトリおよび連携管理についての知識が役に立ちます。Service Provider 実装に関するより広範な解説については、『Identity Manager SPE Deployment』を参照してください。
この章は次のトピックで構成されています。
Service Provider 機能の概要サービスプロバイダ環境では、イントラネットユーザーだけでなくエクストラネットユーザーも含むすべてのエンドユーザーのユーザープロビジョニングを管理できる必要があります。Identity Manager Service Provider Edition 機能を利用すると、企業の管理者は、ID アカウントを Identity Manager ユーザーとサービスプロバイダユーザーの 2 種類に分類することができます。Identity Manager のサービスプロバイダユーザーは、タイプに「サービスプロバイダユーザー」が設定されているユーザーアカウントです。
Identity Manager のユーザープロビジョニング機能と監査機能は、次の機能を提供することにより、サービスプロバイダ実装にも拡張されます。
拡張エンドユーザーページ
サービスプロバイダ実装用にカスタマイズ可能な拡張エンドユーザーページが用意されています。
パスワードとアカウント ID のポリシー
ほかの Identity Manager ユーザーと同じように、サービスプロバイダユーザーとリソースアカウントについても、アカウント ID ポリシーとパスワードポリシーを定義できます。
ポリシーテーブルに追加されている「SPE システムアカウントポリシー」により、サービスプロバイダユーザーに対するポリシーチェックコードが作動します。
Identity Manager と Service Provider の同期
Identity Manager アカウントとサービスプロバイダアカウントの同期は、すべての Identity Manager サーバーで実行するか、または選択したサーバーだけで実行するように設定できます。
Service Provider 同期は、Identity Manager 同期と同様に、「リソース」ページの「リソースアクション」オプションで簡単に停止および開始できます。「同期の開始と停止」を参照してください。
Identity Manager ユーザー同期と Service Provider ユーザー同期では、入力フォームが異なります。「エンドユーザーインタフェース」を参照してください。
Access Manager との統合
Service Provider のエンドユーザーページでの認証に Sun Java System Access Manager 7 2005Q4 を使用できます。Access Manager との統合を設定すると、Access Manager は、認証されたユーザーだけがエンドユーザーページにアクセスできるようにします。
Service Provider は、監査のためのユーザー名を必要とします。AMAgent.properties ファイルを更新して、ユーザーの ID を HTTP ヘッダーに追加します。その例を次に示します。
com.sun.identity.agents.config.response.attribute.mapping[uid] = HEADER_speuid
エンドユーザーページ認証フィルタによって、残りのコード部分で想定されている HTTP ヘッダー値が HTTP セッションに割り当てられます。
初期設定Service Provider 機能を設定するには、次の手順に従って、ディレクトリサーバーの Identity Manager 設定オブジェクトを編集します。
メイン設定の編集
Service Provider 実装の設定オブジェクトを編集するには、次の手順に従います。
ディレクトリ設定
「ディレクトリ設定」エリアでは、LDAP ディレクトリの設定情報を入力し、サービスプロバイダユーザーの Identity Manager 属性を指定します。
図 13-1 に、「SPE 設定」ページのこのエリアと、次の節で説明する「ユーザーフォームとポリシー」エリアを示します。
図 13-1 サービスプロバイダ (SPE) 設定 (ディレクトリ、ユーザーフォームとポリシー)
- 「SPE ユーザーディレクトリ」をリストから選択します。
すべての Service Provider ユーザーデータが格納されている LDAP ディレクトリリソースを選択します。
- 「アカウントアイデンティティー属性名」を入力します。
これは、一意の短い識別子を含む LDAP アカウント属性の名前です。これは API を通じた認証およびアカウントアクセスのためのユーザー名と見なされます。属性名をスキーママップで定義する必要があります。
- 「IDM 組織の属性名」を指定します。
このオプションには、Identity Manager 内で LDAP アカウントが所属する組織の名前または ID を含む LDAP アカウント属性の名前を指定します。LDAP アカウントの委任管理に使用します。属性名は LDAP リソーススキーママップ内に存在する必要があり、Identity Manager システムの属性名 (スキーママップの左側の名前) になります。
- 「IDM 組織の属性名が ID を含む」を選択する場合は、このオプションを有効にします。
LDAP アカウントが所属する Identity Manager 組織を参照する LDAP リソース属性に、Identity Manager 組織の名前ではなく ID が含まれている場合、このオプションを選択します。
- 「ユーザー XML の圧縮」を選択する場合は、このオプションを有効にします。
このオプションは、ユーザー XML を圧縮してディレクトリに保存する場合に選択します。
- 「ディレクトリ設定のテスト」をクリックして、設定の入力を検証します。
ユーザーフォームとポリシー
「ユーザーフォームとポリシー」エリアでは、前の図 13-1 に示されているように、サービスプロバイダユーザー管理に使用するフォームとポリシーを指定します。
- 「エンドユーザーフォーム」をリストから選択します。
このフォームは、Delegated Administrator ページ以外のすべての場所で、同期中に使用されます。「なし」を選択した場合、デフォルトのユーザーフォームは使用されません。
- 「管理者ユーザーフォーム」をリストから選択します。
これは、管理者コンテキストで使用されるデフォルトのユーザーフォームです。これには、Service Provider アカウント編集ページが含まれます。「なし」を選択した場合、デフォルトのユーザーフォームは使用されません。
- 「同期ユーザーフォーム」をリストから選択します。
Service Provider 同期タスクの使用時にデフォルトの Service Provider ユーザーフォームを使用します。「なし」を選択した場合、デフォルトのユーザーフォームは使用されません。
- 「アカウントポリシー」をリストから選択します。
選択肢には、「設定」>「ポリシー」で定義されたアイデンティティーシステムのアカウントポリシーが含まれます。
- 「アカウントのロックを判断する規則」をリストから選択します。
アカウントがロックされているかどうかを判断するために、Service Provider ユーザービューで実行する規則を選択します。
- 「アカウントをロックする規則」を選択します。
属性を設定する Service Provider ユーザービューでアカウントのロックを実行する規則を選択します。
- 「アカウントをロック解除する規則」を選択します。
属性を設定する Service Provider ユーザービューでアカウントのロック解除を実行する規則を選択します。
トランザクションデータベース
「SPE 設定」ページのこのエリアでは、図 13-2 に示すように、トランザクションデータベースの設定を行います。これらのオプションは、JDBC トランザクション持続ストアを使用する場合にのみ必要です。いずれかの値を変更した場合、変更を適用するにはサーバーを再起動する必要があります。
図 13-2 サービスプロバイダの設定 (トランザクションデータベース)
- 次のデータベース情報を入力します。
- 「ドライバクラス」 - JDBC ドライバクラス名を指定します。
- 「ドライバプレフィックス」 - このフィールドは省略可能です。指定した場合、新しいドライバを登録する前に JDBC DriverManager に問い合わせが行われます。
- 「接続 URL テンプレート」 - このフィールドは省略可能です。指定した場合、新しいドライバを登録する前に JDBC DriverManager に問い合わせが行われます。
- 「ホスト」 − データベースが実行されているホストの名前を入力します。
- 「ポート」 − データベースサーバーがリスニング中のポート番号を入力します。
- 「データベース名」 - 使用するデータベースの名前を入力します。
- 「ユーザー名」 - 選択したデータベースのトランザクションテーブルおよび監査テーブルの行を読み取り、更新、および削除する権限を持ったデータベースユーザーの ID を入力します。
- 「パスワード」 - データベースユーザーパスワードを入力します。
- 「トランザクションテーブル」 - 選択したデータベースで、保留中のトランザクションの保存に使用するテーブルの名前を入力します。
- テーブルのスキーマを Identity Manager サーバーで自動的に作成する場合は、「スキーマの自動作成」オプションを有効にします。
本稼働システムではこのオプションを無効にします。本稼働システムでは、web/samples にあるサンプルデータベース初期化スクリプトをカスタマイズします。
- 必要に応じて、「トランザクション設定のテスト」をクリックしてエントリを検証します。
サービスプロバイダの設定ページの次のエリアに進み、追跡するイベントを設定します。
追跡イベント設定
イベント収集を有効にすると、リアルタイムで統計を追跡して、期待されるレベルまたは合意を得たレベルのサービスの維持に役立てることができます。図 13-3 に示すように、イベント収集はデフォルトで有効になっています。「イベント収集の有効化」チェックボックスの選択を解除すると、収集は無効になります。
図 13-3 サービスプロバイダの設定 (追跡イベント、アカウントインデックス、およびコールアウトの設定)
次の手順に従って、タイムゾーンを設定し、サービスプロバイダの追跡イベントの収集間隔を指定します。
同期アカウントインデックス
Service Provider 実装で ActiveSync リソースを使用する場合、リソースが送信するイベントが Service Provider ディレクトリ内のユーザーに正しく関連付けられるように、「アカウントインデックス」を定義する必要がある場合があります。
デフォルトでは、ディレクトリ内の accountId 属性と一致する accountId 属性の値をリソースイベントに含める必要があります。一部のリソースでは、常に accountId が送信されるわけではありません。たとえば、Active Directory からの削除イベントには、Active Directory が生成したアカウント GUID のみが含まれます。
accountId 属性が含まれないリソースには、次のいずれかの属性の値が含まれている必要があります。
guid または identity を使用して関連付ける必要がある場合は、これらの属性のアカウントインデックスを定義する必要があります。インデックスは、リソース固有のアイデンティティーの保存に使用される可能性のある 1 つ以上のディレクトリユーザー属性を抜粋したものです。identity がディレクトリに保存されると、検索フィルタでそれらを使用して、同期イベントと関連付けることができます。
アカウントインデックスを定義するには、まず、同期に使用するリソースと、そのうちどれにインデックスが必要かを判断します。次に、Service Provider ディレクトリのリソース定義を編集し、各 ActiveSync リソースの GUID または identity 属性のスキーママップに属性を追加します。たとえば、Active Directory から同期する場合は、manager などの未使用のディレクトリ属性にマップされた AD-GUID という名前の属性を定義します。
Service Provider リソースのすべてのインデックス属性を定義したら、次の操作を行います。
- 設定ページの「同期アカウントインデックス」エリアで、「新しいインデックス」ボタンをクリックします。
フォームが展開され、リソース選択フィールドと 2 つの属性選択フィールドが表示されます。属性選択フィールドは、リソースが選択されるまでは空のままです。
- 「リソース」をリストから選択します。
これで、選択したリソースのスキーママップに定義された値が属性フィールドに表示されます。
- 「GUID 属性」または「完全アイデンティティー属性」のどちらかで、適切なインデックス属性を選択します。
通常は両方を設定する必要はありません。両方を設定すると、最初に GUID、次に完全 ID を使用して関連付けが行われます。
- ほかのリソースのインデックス属性を定義する場合は、「新しいインデックス」を再度クリックします。
- インデックスを削除する場合は、「リソース」選択フィールドの右にある「削除」ボタンをクリックします。
インデックスを削除すると、設定からインデックスが削除されるだけあり、現在インデックス属性に保存されている値を持つ既存のディレクトリユーザーは一切変更されません。
コールアウト設定
コールアウトを有効にする場合は、「コールアウト設定」エリアでこのオプションを選択します。コールアウトを有効にすると、コールアウトマッピングが表示され、一覧表示されたトランザクションタイプごとに操作前および操作後のオプションを選択できるようになります。
デフォルトでは、操作前と操作後のオプションは「なし」に設定されます。
操作後のコールアウトを指定する場合、操作後のコールアウト処理が完了するまでトランザクションが待機するように指定するには、「操作後コールアウトを待機」オプションを指定します。この設定により、操作後のコールアウトが正常に完了したあとにのみ従属トランザクションが実行されます。
ユーザー検索設定の編集
このページでは、図 13-4 に示すように、委任された管理者が「サービスプロバイダユーザーの管理」ページで実行する検索に関するデフォルトの検索設定を指定します。このデフォルト設定は、「サービスプロバイダユーザーの管理」ページのすべてのユーザーに適用されますが、セッションごとに別の設定を適用することもできます。
図 13-4 検索設定
サービスプロバイダユーザーを検索するためのデフォルトの検索設定を指定するには、次の手順に従います。
トランザクション管理トランザクションは、新しいユーザーの作成や新しいリソースの割り当てなど、単一のプロビジョニング操作をカプセル化します。リソースを使用できないときにこれらのトランザクションを終了させるため、トランザクションがトランザクション持続ストアに書き込まれます。
この節の以下のトピックでは、サービスプロバイダトランザクションの管理手順について説明します。
デフォルトのトランザクション実行オプションの設定
これらのオプションは、同期/非同期処理などのトランザクションの実行方式や、トランザクション持続ストアでの持続期間を制御します。オプションは IDMXUser ビューで、または IDMXUser の処理に使用されるフォームを通じて上書きできます。詳細については、『Identity Manager SPE Deployment』を参照してください。
サービスプロバイダトランザクションを設定するには、次の手順に従います。
- 「サービスプロバイダ」>「トランザクション設定の編集」をクリックします。「SPE トランザクションの設定」ページが表示されます。
図 13-5 に、「デフォルトのトランザクション実行オプション」エリアを示します。
図 13-5 トランザクションの設定
- 「保証される整合性レベル」で次のオプションのいずれかを選択して、ユーザー更新のトランザクション整合性レベルを指定します。
- 次のデフォルトのトランザクション実行オプションのうち、有効にするものを選択します。
- 「最初の試行を待機」 - IDMXUser ビューオブジェクトのチェックイン時に、コントロールを呼び出し側に返す方式を指示します。このオプションを有効にした場合、プロビジョニングトランザクションで 1 回の試行が終了するまでチェックイン操作はブロックされます。非同期処理を無効にした場合、トランザクションは成功するか、コントロールが返される場合は失敗します。非同期処理を有効にした場合、トランザクションはバックグラウンドで継続的に再試行されます。オプションを無効にした場合、チェックイン操作から呼び出し側にコントロールが返されたあとで、プロビジョニングトランザクションが試行されます。このオプションを有効にすることを検討してください。
- 「非同期処理の有効化」 - このオプションは、チェックイン呼び出しにより結果が返されたあともプロビジョニングトランザクションの処理を続けるかどうかを制御します。同期的に行われる試行は 1 回のみであるため、トランザクションの再試行が必要な場合は、このオプションを有効にします。
- 「試行前の持続的トランザクション」 - 有効にした場合、プロビジョニングトランザクションは試行される前に、トランザクション持続ストアに書き込まれます。このオプションを有効にすると、ほとんどのプロビジョニングトランザクションは最初の試行で成功するため、不要なオーバーヘッドが生じる場合があります。「最初の試行を待機」オプションを無効にしている場合を除き、このオプションは無効にすることを検討してください。「完全」整合性レベルが選択されている場合は、このオプションを使用できません。
- 「非同期処理の前の持続的トランザクション」(デフォルト) - 有効にした場合、プロビジョニングトランザクションは非同期に処理される前に、トランザクション持続ストアに書き込まれます。「最初の試行を待機」オプションを有効にしている場合、再試行が必要なトランザクションは、呼び出し側にコントロールが返されるまで持続します。「最初の試行を待機」オプションを無効にした場合、トランザクションは常に、試行されるまで持続します。このオプションは有効にすることを推奨します。「完全」整合性レベルが選択されている場合は、このオプションを使用できません。
- 「各更新時の持続的トランザクション」 - 有効にした場合、再試行のあともプロビジョニングトランザクションが持続します。これにより、「トランザクションの検索」ページから検索できるトランザクション持続ストアは常に最新になるため、問題の分離に役に立つ場合があります。
トランザクション持続ストアの設定
「SPE トランザクションの設定」ページのこれらのオプションは、トランザクション持続ストアに適用されます。ストア内で表示する問い合わせ可能な追加属性以外に、ストアのタイプも設定できます。次の図を参照してください。
図 13-6 SPE トランザクション持続ストアの設定
これらのオプションを設定するには、次の手順に従います。
- 目的の「トランザクション持続ストアタイプ」をリストから選択します。
「データベース」オプションを選択した場合、Service Provider 設定のメインページで設定された RDBMS がプロビジョニングトランザクションの持続に使用されます。これによって、サーバーを再起動した後も、再試行の必要なトランザクションが破棄されません。このオプションを選択する場合、サービスプロバイダ設定のメインページで RDBMS を設定する必要があります。「メモリーベースのシミュレート」オプションを選択した場合、再試行の必要なトランザクションはメモリー内にのみ格納され、サーバーを再起動すると破棄されます。本稼働環境では、「データベース」オプションを有効にします。
注
メモリーベースのトランザクション持続ストアは、クラスタ環境での使用には適しません。
「トランザクション持続ストアタイプ」を変更した場合、変更を適用するには、実行中のすべての Identity Manager インスタンスを再起動する必要があります。
- 必要に応じて、「照会可能なユーザー属性のカスタマイズ」を入力します。
トランザクション概要内で表示される IDMXUser オブジェクトの追加属性を選択します。これらの属性は、検索トランザクションページから問い合わせ可能であり、検索結果に表示されます。次のフィールドがあります。
トランザクション処理の詳細設定
これらの詳細なオプションは、トランザクションマネージャーの内部動作を制御します。パフォーマンス分析で最適ではないと示されない限り、指定されたデフォルトを変更できません。すべての入力が必要です。
図 13-7 に、「トランザクション設定の編集」ページの「トランザクション処理の詳細設定」エリアを示します。
図 13-7 トランザクション処理の詳細設定
- 「ワークスレッド」に、必要な数値を入力します (デフォルトは 100)。
これはトランザクションの処理に使用されるスレッド数です。この値は同時に処理されるトランザクション数を制限します。これらのスレッドは起動時に静的に割り当てられます。
- 「リース時間 (ms)」に、必要な時間を入力します (デフォルトは 600000)。
これは、再試行中のトランザクションをサーバーでロックする時間を制御します。リースは必要に応じて更新されます。ただし、サーバーが完全にシャットダウンしていない場合、オリジナルサーバーのリース時間が終了するまで、ほかのサーバーはトランザクションをロックできません。最低値は 1 分です。小さい値を設定すると、トランザクション持続ストアの負荷に影響する場合があります。
- 「リース更新 (ms)」に、必要な時間を入力します (デフォルトは 300000)。
これは、ロックされたトランザクションのリースの更新時期を制御します。リース期間の残りがこのミリ秒数になった時点で更新されます。
- 「終了トランザクションのストア内での保持時間 (ms)」に、必要な時間を入力します (デフォルトは 360000)。
トランザクション持続ストアから終了トランザクションを削除するまでの待機時間 (ミリ秒) です。トランザクションの直後に持続を設定している場合を除き、トランザクション持続ストアには終了したトランザクションは格納されません。
- 「実行可能キュー最低水準点」に、必要な数値を入力します (デフォルトは 400)。
トランザクションスケジューラの実行可能なトランザクションキューがこの制限を下回ると、最高水準制限までキューに実行可能なトランザクションが補充されます。
- 「実行可能キュー最高水準点」に、必要な数値を入力します (デフォルトは 800)。
トランザクションスケジューラの実行可能なトランザクションキューが最低水準点よりも下回ると、この制限まで、キューに実行可能なトランザクションが補充されます。
- 「保留キュー最低水準点」に、必要な数値を入力します (デフォルトは 2000)。
トランザクションスケジューラの保留中のキューが、失敗し再試行を保留しているトランザクションを保持しています。キューのサイズが最高水準点を超える場合、最低水準点を超えるすべてのトランザクションはトランザクション持続ストアにフラッシュされます。
- 「保留キュー最高水準点」に、必要な数値を入力します (デフォルトは 2000)。
トランザクションスケジューラの保留中のキューが、失敗し再試行を保留しているトランザクションを保持しています。キューのサイズが最高水準点を超える場合、最低水準点を超えるすべてのトランザクションはトランザクション持続ストアにフラッシュされます。
- 「スケジューラ間隔 (ms)」に、必要な数値を入力します (デフォルトは 500)。
これは、トランザクションスケジューラの実行間隔です。トランザクションスケジューラは実行されると、実行可能なトランザクションを保留中のキューから実行可能キューに移動し、トランザクション持続ストアに対して、トランザクションの持続などの別の定期的な作業を実行します。
- 「保存」をクリックして、設定を受け入れます。
トランザクションの監視
サービスプロバイダトランザクションは、トランザクション持続ストアに書き込まれます。トランザクション持続ストアのトランザクションを検索して、トランザクションのステータスを表示できます。
注
「トランザクション設定の編集」ページを使用すると (「トランザクション管理」を参照)、管理者はいつトランザクションを保管するかを制御できます。たとえば、トランザクションをただちに保管できます (最初の試行前であっても)。
「トランザクションの検索」ページで、検索条件を指定してトランザクションをフィルタリングし、ユーザー、タイプ、ステータス、トランザクション ID、現在の状態、成功か失敗かなど、トランザクションイベントに関する特定の条件に基づいて表示できます。ここには、すでに完了しているトランザクションとともに再試行中のトランザクションが含まれます。完了していないトランザクションは、それ以上試行されないようにキャンセルできます。
トランザクションを検索するには、次を実行します。
- Identity Manager にログインします。
- メニューバーの「サーバータスク」をクリックします。
- 「サービスプロバイダトランザクション」をクリックします。
「SPE トランザクション検索」ページが表示され、そこで検索条件を指定できます。
- 必要に応じ、「ユーザー名」を選択します。
入力した accountId を持つユーザーのみに適用されるトランザクションを検索できます。
注
Service Provider トランザクション設定ページで「照会可能なユーザー属性のカスタマイズ」を設定している場合は、それらがここに表示されます。たとえば、照会可能なユーザー属性のカスタマイズとして姓またはフルネームが設定されている場合、これらに基づいて検索することを選択できます。
- 必要に応じて、「タイプ」の検索を選択します。
選択したタイプのトランザクションを検索できます。
- 必要に応じて、「状態」の検索を選択します。
選択した次の状態のトランザクションを検索できます。
- 必要に応じ、「試行」での検索を選択します。
試行された回数に基づいて、トランザクションを検索できます。失敗したトランザクションは、個々のリソースに設定された再試行制限まで再試行されます。
- 必要に応じ、「送信時間」での検索を選択します。
時間、分、日の単位でトランザクションが最初に送信された時間に基づいて、トランザクションを検索できます。
- 必要に応じ、「終了時間」での検索を選択します。
時間、分、日の単位でトランザクションが完了した時間に基づいて、トランザクションを検索できます。
- 必要に応じ、「キャンセルステータス」での検索を選択します。
トランザクションがキャンセルされているかどうかに基づいて、トランザクションを検索できます。
- 必要に応じ、「トランザクション ID」での検索を選択します。
一意のトランザクション ID に基づいてトランザクションを検索できます。このオプションを使用すると、入力した ID 値に基づいてトランザクションが検索されます。この ID は、すべての監査ログレコードに表示されます。
- 必要に応じ、「SPE サーバー名」での検索を選択します。
実行中の Service Provider サーバーに基づいてトランザクションを検索できます。サーバーの ID は、Waveset.properties ファイルで上書きされている場合を除き、マシン名に基づきます。
- 検索結果をリストから選択したエントリ数までに制限します。
指定された制限までの結果のみ返されます。制限数以上の結果が存在するかどうかについては示されません。
図 13-8 トランザクションの検索
- 「検索」をクリックします。
検索結果が表示されます。
- 必要に応じ、結果ページの最下部にある「一致したすべてのトランザクションをダウンロードします」をクリックします。結果は XML 形式のファイルに保存されます。
委任された管理サービスプロバイダユーザーの委任された管理を有効にするには、Identity Manager 管理者ロールまたは組織ベース認証モデルを使用します。
組織認証による委任
Identity Manager では、デフォルトで、組織ベース認証モデルを使用して管理作業を委任できます。組織ベース認証モデルで委任される管理者を作成するときは、次のことに留意してください。
- サービスプロバイダ管理者は、特定の機能および管理する組織を持つ Identity Manager ユーザーです。
- ユーザーの組織属性の値は、Identity Manager 組織名かオブジェクト ID のどちらかになります。どちらにするかは、Identity Manager メイン設定画面のIdentity Manager「IDM 組織の属性名が ID を含む」フィールドの設定によって決まります。
- Identity Manager 階層を作成し、その階層に組織を配置して、それらの組織の管理を委任することができます。組織の単純名ではなく、組織に固有の識別情報を使用します。
- サービスプロバイダユーザーの組織はディレクトリサーバーのユーザー属性から取得されます。
- ディレクトリサーバーリソースのスキーママップに属性を設定する必要があります。
- 属性の比較は、管理者が管理する組織リストとの「完全一致」によって行われます。ディレクトリに格納される値は、階層全体ではなく、組織名と一致する必要があります。管理者が Top:orgA:sub1 を管理する場合、sub1 は Service Provider ユーザーの組織属性に格納されている値でなければなりません。
- 属性が設定されていない場合、または Identity Manager 組織と一致しない場合、その Service Provider ユーザーは最上位 (Top) 組織のメンバーとみなされます。このため、Service Provider Edition 管理者は、それらのユーザーを管理するために、Top 内で Service Provider ユーザー機能を持っていることが必要です。
- 属性の設定によって、Service Provider 管理者による検索の範囲が決まります。
- 委任される管理者のアカウントを作成するには、まず Identity Manager 管理者を作成し、次に Service Provider 管理者機能を追加します。ユーザーに割り当てることができる Service Provider Edition タスクに固有の機能があります (「ユーザーの編集」ページの「セキュリティー」タブ)。管理する組織は、管理者が変更できる Service Provider ユーザーを指定します。Service Provider ユーザーが使用できるリソースは、すべての Identity Manager 管理者も使用できます。
管理者ロール割り当てによる委任
サービスプロバイダユーザーに細かい機能や管理範囲を付与する場合は、サービスプロバイダユーザー管理者ロールを使用します。1 人以上の Identity Manager ユーザーまたはサービスプロバイダユーザーへの管理者ロールの割り当てを、ログイン時に動的に行うように設定できます。
管理者ロールを割り当てられたユーザーに与える機能 (「サービスプロバイダのユーザーの作成」など) を指定する規則を定義して管理者ロールに割り当てることができます。
サービスプロバイダユーザーの管理者ロール委任を使用するには、Identity Manager システム設定でそれを有効にする必要があります。
管理者ロール割り当てによる委任を有効にする場合、「SPE 設定」の「IDM 組織の属性名」は必要ありません。
サービスプロバイダ管理者ロール委任の有効化
サービスプロバイダ管理者ロール委任 (SPE 委任管理) を有効にするには、Identity Manager デバッグページを使用して、System Configuration オブジェクトで次のプロパティーを true に設定します。
security.authz.external.app name.object type
app name は Identity Manager アプリケーション (管理者インタフェースなど)、object type は Service Provider Users です。
このプロパティーは、Identity Manager アプリケーション (管理者インタフェースやユーザーインタフェースなど) 単位およびオブジェクトタイプ単位で有効にすることができます。現在サポートされているオブジェクトタイプは Service Provider Users のみです。デフォルト値は false です。
たとえば、Identity Manager 管理者の SPE 委任管理を有効にするには、System Configuration オブジェクトで次の属性を "true" に設定します。
security.authz.external.Administrator Interface.Service Provider Users
特定の Identity Manager またはサービスプロバイダアプリケーションで SPE 委任管理を無効に (false に設定) した場合は、組織ベース認証モデルが使用されます。
SPE 委任管理を有効にした場合は、実行された認証規則の数および時間に関する情報が追跡イベントによって取得されます。それらの統計情報はダッシュボードで表示できます。
サービスプロバイダユーザー管理者ロールの設定
サービスプロバイダユーザー管理者ロールを設定するには、次の手順に従って、管理者ロールを作成し、管理範囲、機能、および割り当てるユーザーを指定します。
管理範囲の指定
サービスプロバイダユーザー管理者ロールの管理範囲は、特定の Identity Manager 管理者、Identity Manager エンドユーザー、または Identity Mananger サービスプロバイダエンドユーザーが表示できるサービスプロバイダユーザーを指定します。この範囲は、ディレクトリのサービスプロバイダユーザーを一覧表示するようにリクエストされたときに適用されます。
サービスプロバイダユーザー管理者ロールの管理範囲では、以下の設定を 1 つ以上指定できます。
機能の指定
サービスプロバイダユーザー管理者ロールの機能では、アクセスをリクエストされているサービスプロバイダユーザーに対してリクエスト元のユーザーが持つ機能と権利を指定します。これは、サービスプロバイダユーザーの表示、作成、変更、または削除のリクエストが作成されたときに適用されます。
「Capabilities」タブで、この管理者ロールに適用する「ユーザーごとの機能規則」を選択します。
サービスプロバイダユーザーへの管理者ロールの割り当て
ログイン時の評価で認証ユーザーに管理者ロールを割り当てるかどうかを判断する規則を指定することにより、サービスプロバイダユーザー管理者ロールをサービスプロバイダユーザーに動的に割り当てることができます。
「Assign to Service Provider Users」タブをクリックし、割り当てに適用する規則を選択します。
サービスプロバイダユーザー管理者ロールの委任
デフォルトで、サービスプロバイダユーザーは、自分に割り当てられたサービスプロバイダユーザー管理者ロールを、自分の管理範囲内のほかのサービスプロバイダユーザーに割り当てる (委任する) ことができます。
実際に、サービスプロバイダユーザーを編集する機能を持つ Identity Manager ユーザーは、自分に割り当てられたサービスプロバイダユーザー管理者ロールを、自分の管理範囲内のサービスプロバイダユーザーに割り当てることができます。
サービスプロバイダユーザー管理者ロールに、管理範囲に関係なく管理者ロールを割り当てることができる「管理者」のリストを含めることもできます。このような直接の割り当てにより、1 人以上の既知のユーザーアカウントが管理者ロールを割り当てることができるようにします。
サービスプロバイダユーザーの管理この節では、Identity Manager でサービスプロバイダ ユーザーを管理するための手順および説明を示します。この節は次のトピックで構成されています。
ユーザー組織
Service Provider では、ユーザーの属性値によって、そのユーザーが割り当てられる組織が決まります。これは、Service Provider メイン設定の「IDM 組織の属性名」フィールドで指定されます (「初期設定」を参照)。ただし、それらの組織名は、ディレクトリサーバーで割り当てられたユーザー属性の値と一致する必要があります。
「IDM 組織の属性名」が定義されている場合は、「ユーザーの作成」または「ユーザーの編集」ページに、使用できる組織の複数選択リストが表示されます。デフォルトでは短い組織名が表示されます。組織の完全なパスが表示されるように SPE ユーザーフォームを変更できます。
どの属性が組織名属性になるかを選択できます。組織名属性は、そのユーザーを検索および管理できる管理者を制約するために Service Provider ユーザー管理ページで使用されます。
注
現在、Service Provider アカウントおよびリソースアカウント用のアカウント ID ポリシーとパスワードポリシーがあります。
「SPE システムアカウントポリシー」は、主要ポリシーテーブルから使用できます。
ユーザーとアカウントの作成
すべてのサービスプロバイダユーザーは、Service Provider ディレクトリ内にアカウントを持つ必要があります。ユーザーがほかのリソースのアカウントを持つ場合、それらのアカウントへのリンクがユーザーのディレクトリエントリに保存されるので、そのユーザーを表示するときに、それらのアカウントに関する情報を表示できます。
注
ユーザーを作成および編集するための Service Provider ユーザーフォームのサンプルが用意されています。このフォームを、実際のサービスプロバイダ環境でのユーザー管理の要件に合わせてカスタマイズしてください。詳細については、『Identity Manager Workflows, Forms, and Views』を参照してください。
Service Provider アカウントを作成するには、次の手順に従います。
- メニューバーの「アカウント」をクリックします。
- 「サービスプロバイダユーザーの管理」タブをクリックします。
- 「アカウントの作成」をクリックします。
- 以下の値を必要に応じて入力します。
- 矢印キーを使用して「利用可能」リストから目的のリソースを割り当てます。
- 「アカウントステータス」 に、アカウントがロックされているかロック解除されているかが表示されます。アカウントをロックまたはロック解除する場合は、このオプションをクリックします。
図 13-9 サービスプロバイダユーザーとアカウントの作成
- 「保存」をクリックしてユーザーアカウントを作成します。
サービスプロバイダユーザーの検索
Service Provider には、ユーザーアカウントの管理に役立つ設定可能な検索機能が含まれています。検索では、組織やその他の要素で定義された範囲内のユーザーのみが返されます。
サービスプロバイダユーザーの基本検索を実行するには、Identity Manager インタフェースの「アカウント」エリアで、「サービスプロバイダユーザーの管理」をクリックし、検索値を入力して「検索」をクリックします。
次のトピックで、サービスプロバイダの検索機能について説明します。
詳細検索
サービスプロバイダユーザーの詳細検索を実行するには、サービスプロバイダユーザーの検索ページで「詳細」をクリックし、次のアクションを実行します。
属性条件を追加または削除するには、次のいずれかの操作を行います。
検索結果
図 13-11 に示すように、Service Provider の検索結果はテーブル形式で表示されます。属性の列ヘッダーをクリックすると、結果をその属性で並べ替えることができます。表示される結果は選択した属性によって異なります。
結果の最初のページ、前ページ、次ページ、および最終ページを表示するには、矢印ボタンを使用します。特定のページに移動するには、テキストボックスにページ番号を入力して Enter キーを押します。
ユーザーを編集するには、テーブル内のユーザー名をクリックします。
図 13-11 検索結果の例
検索結果ページで、ユーザーの削除またはリソースアカウントのリンク解除を行うには、1 人以上のユーザーを選択して、「削除」ボタンをクリックします。このアクションにより、ユーザーの削除ページが開き、追加のオプションが表示されます (「アカウントの削除、割り当て解除、またはリンク解除」を参照)。
アカウントの削除、割り当て解除、またはリンク解除
ユーザーアカウントの削除、割り当て解除、またはリンク解除を行うには、次の手順に従います。
検索オプションの設定
サービスプロバイダユーザーの検索オプションを設定するには、次の手順に従います。
エンドユーザーインタフェース
付属のサンプルエンドユーザーページは、xSP 環境での一般的な登録とセルフサービスの例を示しています。サンプルは拡張可能であり、カスタマイズ可能です。実際の配備用に、外観や使い勝手を変更したり、ページ間の移動方法を変更したり、ロケール固有のメッセージを表示したりできます。エンドユーザーページのカスタマイズの詳細については、『Identity Manager SPE Deployment』を参照してください。
セルフサービスイベントや登録イベントの監査に加えて、影響を受けるユーザーに、電子メールテンプレートを使用して通知を送信することができます。アカウント ID ポリシーとパスワードポリシー、およびアカウントロックアウトの例も用意されています。アプリケーション開発者は Identity Manager フォームも活用できます。サーブレットフィルタとして実装されている認証サービスモジュールを、必要に応じて拡張したり置き換えたりできます。これにより、Sun Java System Access Manager のようなアクセス管理システムとの統合が可能になります。
サンプル
付属のサンプルエンドユーザーページを使用すると、ユーザーは、操作しやすい一連の画面で基本的なユーザー情報の登録と管理を行い、自分のアクションに関する電子メール通知を受け取ることができます。サンプルページには次の機能が含まれています。
ページは、配備に合わせて簡単にカスタマイズできます。次のカスタマイズが可能です。
ページのカスタマイズの詳細については、『Identity Manager SPE Deployment』を参照してください。
登録
新しいユーザーは登録を求められます。登録時に、ユーザーは自分のログイン、チャレンジ質問、および通知に関する情報を設定できます。
図 13-14 「登録」ページ
ホーム画面とプロファイル画面
図 13-15 に、エンドユーザーのホームタブとプロファイルページを示します。ユーザーは、自分のログイン ID とパスワードの変更、通知の管理、およびチャレンジ質問の作成を行うことができます。
図 13-15 「自分のプロファイル」ページ
同期サービスプロバイダユーザーの同期は、同期ポリシーによって有効にできます。Identity Manager でリソースの属性に加えた変更をサービスプロバイダユーザーと同期させるには、サービスプロバイダ同期を設定する必要があります。次のトピックでは、サービスプロバイダ実装で同期を有効にする方法を説明します。
同期の設定
Service Provider 同期を設定するには、「同期の設定」で説明されているように、リソースの同期ポリシーを編集します。同期ポリシーを編集するときに、次のオプションを指定して、サービスプロバイダユーザーの同期プロセスを有効にする必要があります。
「同期の設定」の手順に従って、環境に応じてその他のオプションを指定します。
注
確認の規則とフォームでは、Identity Manager のユーザー入力ビューではなく、IDMXUser ビューを使用する必要があります (詳細については『Identity Manager SPE Deployment』を参照)。
その理由は、確認規則は相関規則で識別されるユーザーごとにユーザービューにアクセスするので、同期パフォーマンスに影響するためです。
「保存」をクリックしてポリシー定義を保存します。ポリシーで同期を無効にしなかった場合、同期は指定されたとおりにスケジュールされます。同期の無効を指定した場合、現在実行されている同期サービスは停止されます。有効にすると、Identity Manager サーバーを再起動したとき、または同期リソースアクションの下の「サービスプロバイダに対して開始」を選択したときに、同期が開始されます。
同期の監視
Identity Manager では、次の方法で Service Provider 同期を監視します。
同期の開始と停止
Identity Manager をサービスプロバイダ実装用に設定する場合、サービスプロバイダ同期はデフォルトで有効になります。Service Provider Active Sync を無効にするには、次の手順に従います。
同期を無効にせずに停止するには、同期リソースアクションの「サービスプロバイダに対して停止」を選択します。
ユーザーの移行
Service Provider 機能には、サンプルのユーザー移行タスクと関連スクリプトが含まれています。このタスクは、既存の Identity Manager ユーザーを Service Provider ユーザーディレクトリに移行します。この節では、サンプルの移行タスクの使用方法を説明します。使用状況に応じて、このサンプルを変更することをお勧めします。
既存の Identity Manager ユーザーを移行するには、次の手順に従います。
- メニューバーの「タスク」をクリックします。
- 「タスクの実行」をクリックします。
- 「SPE Migration」をクリックします。
- 一意の「タスク名」を入力します。
- 「リソース」をリストから選択します。
これは、Service Provider ディレクトリサーバーを表す、Identity Manager 内のリソースです。Identity Manager ユーザーで見つかったこのリソースへのリンクは移行されません。
- 「アイデンティティー属性」を入力します。
これは、ディレクトリユーザーの短い一意の ID を含む Identity Manager ユーザー属性です。
- 「ID 規則」をリストから選択します。
これは、Identity Manager ユーザーの属性からディレクトリユーザーの名前を計算できるオプションの規則です。ID 規則は単純名 (通常は uid) を計算することができます。その後、この名前はリソースのアイデンティティーテンプレートで処理され、ディレクトリサーバーの識別名 (DN) を形成します。また、この規則は、アイデンティティーテンプレートを使用しない完全指定 DN を返すこともあります。
- 「起動」をクリックして、バックグラウンドでの移行タスクを開始します。
サービスプロバイダ監査イベントの設定サービスプロバイダ実装で、Identity Manager の監査ログシステムは、エクストラネットユーザーのアクティビティーに関連するイベントを監査します。Identity Manager では、Service Provider Edition 監査設定グループ (デフォルトで有効) を使用して、サービスプロバイダユーザーのログを記録する監査イベントを指定することができます。図 13-16 を参照してください。
監査ログ、および Service Provider Edition 監査設定グループのイベントの変更の詳細については、第 12 章「監査ログ」を参照してください。
図 13-16 「Service Provider Edition 監査設定グループの編集」ページ
