|
| |
| Sun Java™ System Identity Manager 7.0 リリースノート | |
Identity Manager 7.0 の機能
このリリースの新機能Sun Identity Manager 7.0 は、Identity Manager、Identity Manager SPE、および Identity Auditor の 3つの製品を Sun Java System Identity Manager 7.0 という 1 つの製品に統合したものです。この統合ソリューションによって、プロビジョニングと監査のプロセスにおいて ID ベースの管理を適用する、一貫性のあるスケーラブルな方法を提供することができます。
その他の新機能は次のとおりです。
「機能の概要」の節には、Identity Manager 7.0 の新機能についてのその他の情報を記載しています。
機能の概要
ここでは、Identity Manager 7.0 の新機能を簡単に説明します。
インストールと更新
管理者インタフェースとユーザーインタフェース
- 「アイデンティティー属性」ページに、アイデンティティー属性についてパスワードの生成状態を説明する「パスワード」セクションが表示されるようになりました。デフォルト値、規則に基づいて、またはパスワードを生成するアイデンティティーシステムのアカウントポリシーを割り当てて、パスワードを新しいユーザーに割り当てるよう Identity Manager を設定できます (ID-10274、12560)。
- ツリーテーブルコンポーネントが調整可能な列をサポートするようになりました。ユーザーリストテーブルとリソースリストテーブルで、CSS を介して列の幅を固定ピクセルやパーセンテージ値に設定できます。また、列ヘッダーの右側の境界線をマウスでクリックしてドラッグし、列のサイズを変えることもできます (ID-11474)。
- アカウントおよびリソースツリーテーブルで、内容を並べ替えられるようになりました (ID-12086)。
- エンドユーザーページのメニュー階層がカスタマイズできるようになりました (ID-12415)。
- Identity Manager は、デフォルトの Manager 属性を含めることができるようになりました。これによって、管理者と従業員の関係構築のためのサポートを提供できます。この情報は、Identity Manager ユーザーオブジェクトに格納されます (ID-12416)。
- ページレベルエラーと情報メッセージがすべてページの上部のボックス内にエラーまたは情報アイコンとともに表示されるようになりました。以前は、これらのメッセージはエラーの赤字のテキストや情報メッセージの小さなアイコンとともに表示されていました (ID-12625)。
- ユーザーは、ロールやリソースメンバーシップへのアクセスの許可や削除をリクエストできるようになりました。管理者はこの機能を部下に対しても実行できます (ID-13018)。
- rowPolarity プロパティーを XPRESS の EditForm コンポーネントに追加して、交互になった灰色と白の行の色を反転できるようになりました。true の値がデフォルトです。false を選択すると色が反転し、最初のフォームフィールドの背景が白になります (ID-13971)。
- ユーザーインタフェースが自己検索リンクをサポートするようになりました。「他のアカウントについてアイデンティティーシステムに知らせる」リンクはエンドユーザーのホームページからプロファイルの下のナビゲーションバーにある新しい「自己検索」タブに移動しました (ID-14698)。
- 次の表は、このリリースでタブやサブタブがどのように再配置されたかを一覧表示しています。
監査
- Identity Manager と Identity Manager SPE の 2 つの監査フレームワークは統合されました。変更内容は次のとおりです (ID-13148)。
- Identity Manager と Identity Manager SPE の監査ログフレームワークの区別はなくなりました。
- Identity Manager SPE の監査ログインタフェースは非推奨になりました。
- 統合された監査ログサービスでは、他社がカスタム監査パブリッシャーを開発し、Identity Manager および Identity Manager SPE 関連監査イベントを処理できるようになります。
- 新しいパブリックインタフェースの Javadoc 形式のマニュアルがリファレンスキットで入手できます。
- 監査ログフレームワークのプラグイン可能な機能を示したサンプルコードがリファレンスキットに追加されました。
Identity Auditor
定期的アクセスレビューは、重要なシステムおよびアプリケーションへのユーザーの現在のアクセス権の収集とアテステーションを自動化する機能を提供します。この機能では、ユーザーが 1 つまたは複数のシステムおよびアプリケーションに対して持っている現在のアクセス権を含むレコードを作成できます。これらの各レコードはポリシー規則によって自動的にアテストしたり、手動アテステーションのために適切な人物に転送できます (ID-9719)。
アクセスレビューは、通常、ユーザーが重要なシステムに対して過剰なアクセス権を持たないように定期的に実行されます。複数のシステムとアプリケーションのユーザーアクセスデータを 1 つのレコードに保持することにより、レビュアーはユーザーを完全に把握し、より正確な判断を下すことができます。自動化されたプロセスは、レビューがどの程度終了したか、どの程度残っているか、残りの作業の責任者は誰かを示す追跡ツールによってサポートされます。レビュープロセスは、レビューでコンプライアンスチェック (監査ポリシースキャン) とアクセスレビュー (レポートとアテステーション) の両方を実行できるよう従来の監査ポリシースキャンと統合されます。
アクセスレビューは、次のような追加の自動化を行うようカスタマイズできます。
職務分掌レポートも Identity Auditor にとって新しい機能です。これによって、ユーザーが内部安全装置をバイパスできる特定のアクセスの競合を検出できます (ID-12716)。これらの競合は、競合違反が財務エラーを引き起こす可能性のある財務システムと ERP で最も重大です。Identity Auditor は、このような競合を違反レコードで検出します。このレコードは、ユーザー、システムやアプリケーション、および競合を暗示する正確なアカウント設定を含む特定の競合を示します。Identity Auditor の職務分掌によって、1 つのシステムやアプリケーション上、または複数のシステムにわたるアカウント設定の競合を検出できます。
これらの競合は、競合マトリックスレポートにまとめられ、マトリックスの各セルの情報をドリルダウンすると詳細が確認できます。
フォーム
HTML 表示コンポーネント
Identity Manager 統合開発環境 (IDE)
Identity Manager 統合開発環境 (Identity Manager IDE) とは、使用している配備で Identity Manager オブジェクトを表示、カスタマイズ、およびデバッグできる Java アプリケーションのことです。
Identity Manager IDE の主な機能は次のとおりです。
Identity Manager IDE は、完全に統合された NetBeans プラグインで、Identity Manager のビジネスプロセスエディタ (BPE) アプリケーションに代わるよう設計されています。Identity Manager IDE のインストールと使用の詳細については、『Identity Manager Deployment Tools』の「Using the Identity Manager IDE」の章を参照してください。
Identity Manager SPE
代わりに、Identity Manager SPE コンポーネントが Identity Manager リポジトリからこのデータに直接アクセスします。このため、Identity Manager SPE に必要な設定オブジェクトを選択してエクスポートする必要がなくなりました。Identity Manager SPE 配備をその場で更新するために、Identity Manager インストーラを使用できます。
追跡したイベントデータが Identity Manager SPE 設定ディレクトリに格納されている場合は、アップグレードの前に XML としてエクスポートしてください。アップグレード後に追跡したイベントデータを Identity Manager にインポートできます。また、正常にアップグレードした後、設定 LDAP ディレクトリを安全に削除できます。
- Identity Manager SPE を介したオブジェクトへのアクセスに個別の種類のコンテキストが必要なくなりました。Identity Manager SPE フォームは needSpeContext プロパティーを設定し、このコンテキストを :display.speContext を使用して参照する必要がなくなりました (ID-12171)。
- プロビジョニングが実行される前とプロビジョニングが完了した後、カスタム呼び出しを起動できるようにパブリックインタフェースが作成されました (ID-12173)。
- Identity Manager SPE は、改良されたエンドユーザー JSP ページの例を提供するようになりました (ID-12175)。
- Identity Manager は、Identity Manager と Identity Manager SPE User Server の両方からアクセスできる、カスタマイズ可能な委任管理および承認モデルを提供するようになりました。このモデルはディレクトリ属性を使用し、Identity Manager の組織と機能には依存しません (ID-12176)。
- Active Sync と SPE の同期を同じ Identity Manager サーバー上で実行できるようになりました。ただし、同じリソース上では実行しないでください (ID-12178)。
- SPE ユーザーディレクトリフットプリントを削減するために、Identity Manager SPE User XML 属性を圧縮形式で格納できるようになりました (ID-12186)。
- Identity Manager SPE トランザクションで、設定可能なユーザー更新整合性レベルをサポートできるようになりました。追加列 userId VARCHAR(N) を追加するために、既存のトランザクションストアデータベースを変更する必要があります。ここで N は、予想される Identity Manager SPE ユーザー DN の最大長と追加の 8 文字を含めるのに十分な大きさです。このデータベースの変更は、アップグレードスクリプトの実行中に自動的に実行されることはありません (ID-13830)。
メタビュー
レポート
- 一括操作の結果を CSV 形式でダウンロードできるようになりました (ID-9297)。
- デフォルトで、レポートを実行する 1 つまたは複数の組織を選択して明示的に上書きしないかぎり、次の各レポートはログインしている管理者によって制御された一連の組織に自動的に範囲設定されます。管理者ロールの概要、管理者概要、ロールの概要、ユーザーの質問の概要、ユーザーの概要。組織範囲選択のためのコンポーネントも、単一選択から複数選択可能なコンポーネントに変更されました (ID-12116)。
- Identity Manager は、Java Management Extensions (JMX) を使用してさまざまなコンポーネントの監視をサポートするようになりました (ID-12405)。
- 次の新しいレポートで管理者と従業員の関係をサポートするようになりました。My Direct and Indirect Employee Detail、My Direct Employee Summary、My Direct and Indirect Employee Summary、My Direct Employee Detail (ID-12416、ID-12689)。
- マルチバイトテキストを含む CSV レポートを UTF-8 文字セット以外の文字エンコーディングで出力できるようになったため、Microsoft Excel など UTF-8 エンコーディングをサポートしないアプリケーションでも表示できるようになりました (ID-13574)。
リポジトリ
- 管理者は RepositoryConfiguration オブジェクトの connectionPoolDisable 属性を true に設定して、Identity Manager リポジトリの自動内部接続プールを無効にできます。古い方法である com.waveset.repository.ConnectionPoolDisable=true の設定は、非推奨になりました (ID-10924)。
- Identity Manager 7.0 では、リポジトリメソッド署名 #getLastMod(Type, long) が削除されました。Identity Manager 5.0 SP2 では、#getLastMod(Type) を使用するため、このメソッド署名が非推奨になりました。カスタムアプリケーションでは、このメソッドを参照したり、com.waveset.repository パッケージ内の任意のクラスやインタフェースを直接参照したりしないでください (ID-11761)。
- Microsoft SQL Server 向けのデフォルト JDBC ドライバは、Microsoft SQL Server 2005 JDBC Driver になりました。このドライバは古い Microsoft SQL Server 2000 JDBC Driver に置き換わります。この新しいデフォルトドライバは、JDBC ドライバクラス名と SQL Server データベース URL の形式を変更します。また、「SelectMethod=Cursor」をこれらの URL に付ける必要もなくなります (ID-14136)。
リソース
- Identity Manager 7.0 には、次のリソースのサポートが含まれます。
- SecurId アダプタは、状態ごとにトークンを取得できるようになりました (すべての LOST トークンまたはすべての ENABLED トークンなど) (ID-7646)。
- OS/400 v4r5、v5r2、v5r3、および v5r4 (5.2、5.3、および 5.4) のサポートが追加されました (ID-9928、13122)。
- 監査機能をサポートするために、複数の属性が Oracle ERP アダプタに追加されました (ID-11725)。
- RACF アダプタに、listAllObjects の検索フィルタサポートが含まれるようになりました (ID-10895)。
- SAP HR Active Sync アダプタは、mySAP ERP ECC 5.0 (SAP 5.0) をサポートするようになりました (ID-12408)。
- SAP アダプタと SAPHR アダプタは、ネットワーク障害の発生時に SAP 操作の再試行のためのパラメータを提供する、3 つの新しいリソース属性を提供するようになりました (ID-12579)。
- Oracle ERP アダプタは、会計帳簿 (Set Of Books、SOB) 機能をサポートするようになりました (ID-12715)。
- VLV 並べ替えが設定できるようになりました。VLV 並べ替え属性 (vlvSortAttribute) が LDAP リソースに追加されました。属性が設定されると、並べ替えにその値が使用されますが、設定されていない場合は、「uid」値が使用されます (ID-13321)。
ロール
セキュリティー
サーバー
SOAP
ワークフロー
このリリースで解決されたバグここでは、Identity Manager 7.0 で解決されたバグについて説明します。
インストールと更新
管理者インタフェースとユーザーインタフェース
- ユーザーが定義したリソースがダウンしている間にユーザーがログインしようとすると、エラーの内容が記されたメッセージが表示されます (ID-1905)。
- 致命的と思われるエラーのメッセージは、設定されたデフォルトメッセージとともに表示でき、追加の情報を syslog にログ記録できるようになりました。UNIX リソースアダプタは、このエラーメッセージ表示を使用するように変更されました (ID-5495)。
- ブラウザのタイトルバーに表示される製品名文字列を別の文字列に置き換えたり、ローカライズしたりできるようになりました (ID-10905)。
- 完了したロールの同期タスクは、タスクが実行中であるというメッセージを表示しなくなりました。タスクは、統計テーブルによる拡張もされています。エラーと例外が、完了したタスクに対して表示されるようになりました (ID-11181)。
- 「秘密の質問の回答の変更」エンドユーザーページは、秘密の質問のないユーザーをより適切に処理するようになりました (ID-11773)。
- 匿名ユーザーログインのインボックスリンクは、新しいエンドユーザーの作業項目リストテーブルを指すようになりました (ID-12816)。
- noApplet=true プロパティーと sorted=true プロパティーが設定されると、MultiSelect オブジェクトは使用可能な値を並べ替えるようになりました (ID-12823)。
- セキュアなサイトにアクセスしたり、そのサイトから退出する際に、エンドユーザーにポップアップダイアログが表示されなくなりました (ID-13054)。
- リソースごとにアカウントパスワードポリシーの概要を表示するフォームは、テーブル内の内容をラップするようになりました。以前は概要情報は、ブラウザウィンドウの右側に隠れ、スクロールする必要がありました (ID-13109)。
- sysconfig ファイルで、security.delegation.historyLength パラメータが、記録された以前の委任の数を管理するようになりました (ID-13141)。
- continueLogin.jsp の管理バージョンにカタログメッセージが正しく表示されるようになりました (ID-13193)。
- 検索やフィルタリングのあとにユーザーがリソースへの編集をキャンセルすると発生していた、NULL ポインタ例外が発生しなくなりました (ID-13434)。
- 新しいロールを作成する際に、「利用可能なリソースグループ」がパネルの左と右の両方に表示されることがなくなりました (ID-13573)。
- リソースの名前を変更し、「名前の変更」ではなく「作成」を選択して既存のリソースをコピーすると、ActiveSync が有効かどうかなどの、リソース設定情報が正しく複製されるようになりました (ID-14175)。
- サービスプロバイダのメイン設定でアカウントポリシーが設定されていない場合、アカウントのロックとロック解除が正しく機能するようになりました。以前は、サービスプロバイダのアカウントポリシーが設定されている場合にのみ、サービスプロバイダのアカウント編集ページ上でロックボタンが機能していました (ID-14181)。
フォーム
Identity Auditor
- 監査ポリシーは、リソースの限定されたセットのみをスキャンするよう設定できるようになりました (ID-9127)。
- 間接的に割り当てられたポリシーを表示できるようになりました (ID-11886)。
- プロビジョニング中に UserViewConstants.OP_CALL_VIEW_VALIDATORS をポリシーチェックのために設定できます (ID-12757)。
- ユーザーのプロビジョニング操作中のポリシーチェックは、プロビジョニングスレッドで実行できます。以前の動作では、チェックを実行するために常に別のタスクを使用していました。タスクの動作がカスタマイズされていると、タスクのバイパスによってカスタマイゼーションが使用されないことがあります。この問題を解決するには、システム設定 user.view.alwaysUseTask 属性を true に設定します。これによって古い動作が強制的に実行されます (ID-14086)。
Identity Manager SPE
ローカリゼーション
メインフレーム
レポート
リポジトリ
リソース
- RFC2253Parser の正規化メソッドは、不正な LDAP 識別名 (DN) を識別し、報告するようになりました (ID-10952)。
- DblBufferIterator の getNextIndex メソッドは、サポートしている配列でオブジェクトの同期外のサイズ情報にアクセスしなくなりました (ID-11129)。
- クラスタ環境での同期状態が改善されました (ID-11250)。
- com.waveset.adapter.SiebelResourceAdapter 内の isPickListAttribute メソッドは、追跡システム内で isMVGAttribute として誤認されなくなりました (ID-11471)。
- LDAP リソース上の Objectclasses to synchronize Active Sync 属性のデフォルトは、inetorgperson になりました (ID-11644)。
- Active Sync リソース上で設定されるフラットファイル Active Sync ログの最大数が、正しく作成されるようになりました (ID-11848)。
- Active Sync が機能するために、LDAP リソーススキーママップで objectClass 属性マッピングが必要なくなりました。poll() メソッドと getUpdateRows(UpdateRow) メソッドの両方に優先する com.waveset.adapter.LDAPResourceAdapter を拡張するカスタムリソースアダプタを、どちらかのメソッドで LDAPResourceAdapterBase.ensureObjectClassInSchemaMap() を起動するよう変更してください (ID-11880)。
- Domino リソースアダプタは、リソース属性として「ファイルに ID を保存」オプションを false に設定できるようになりました。これによって、ユーザーの ID ファイルをディスク上でローカルに作成できなくなりました。ただし、ユーザーの作成時には、ID ファイルを引き続き作成する必要があります (ID-12139)。
- Solaris アダプタと Linux アダプタが最後のログイン情報で年を表示するようになりました (ID-12182)。
- Oracle ERP アダプタが Oracle データベースカーソルを閉じるようになりました。以前は、アダプタがカーソルを閉じるのに失敗し、長い時間経ってから、「ORA-01000: maximum open cursors exceeded」というエラーが発生していました (ID-12222)。
- Active Sync からのアカウントまたはユーザーのロックのエラーがログに記録されるようになりました (ID-12446)。
- Domino リソースアダプタの場合、NSFNoteComputeWithForm() API 呼び出しによる複数のユーザーの HTTPPassword の同時更新で「-551」ゲートウェイエラーが発生しなくなりました (ID-12466)。
- Identity Manager を介さずに直接 API を使用してもゲートウェイのクラッシュが発生しなくなりました (ID-12481)。
- エラーが発生して diff 操作の同期を妨げる場合は、フラットファイル Active Sync アダプタが Active Sync ログに警告メッセージを表示するようになりました (有効な場合) (ID-12484)。
- 8 文字のユーザー名が Copy Links 属性を選択するのにタブを使用しないよう、Natural リソースアダプタアカウントの作成に使用される端末エミュレーションが変更されました (ID-12503)。
- AttrParse オブジェクトの変更では、新しい値を有効にするために再起動する必要はありません (ID-12516)。
- Siteminder ユーザーがログインに失敗してロックされても、Siteminder LDAP アダプタは、次の操作を正しく実行するようになりました (ID-12824)。
- LDAP グループメンバーシップを変更する場合、グループ全体の書き直し、つまり、uniqueMember 属性全体を置き換える代わりに、単一の追加と削除が使用できるようになりました (ID-13035)。
- Identity Manager は、Secure ID ユーザーを削除しようとする前に、管理特権 (該当する場合) をクリアするようになりました (ID-13053)。
- Oracle テーブルアダプタ (DatabaseTableResourceAdapter) のカーソルリークが解消されました (ID-13111)。
- GenericObject から情報をフェッチしやすいように、Oracle ERP リソースの auditorObject 複合属性構文が名前空間を含むよう変更されました。属性の構文には、責任オブジェクトのリストを含む最上位レベルの「auditorResps」が含まれます (ID-13302)。
- AttrParse のパフォーマンスが向上しました。解析されたバッファーのすべての文字に対して、通常の解析が例外をスローし、キャッチすることはなくなりました (ID-13384)。
- UNIX アダプタの SecurID は RSA と相互動作する場合に UTF-8 文字エンコーディングとデコーディングを実行するようになりました (ID-13451)。
- Windows NT リソースアダプタを使用して Windows NT リソース上でアカウントを作成する場合、次のエラーメッセージが「ユーザー作成の結果」ページに表示されなくなりました「Error requiring password: put_PasswordRequired(): 0X80004005:E_FAIL」(ID-13618)。
- 更新中に Active Directory PasswordNeverExpires 属性を設定できるようになりました (ID-13710)。
- Identity Manager 7.0 サーバーが、ゲートウェイを介した接続を削除した後、notify を呼び出して待機スレッドを通知するようになりました (ID-14044)。
セキュリティー
Identity Manager 7.0 以前の以前のバージョンでは、Approver 機能はすべての WorkItem に対する権限を持っていました。RemediationWorkItem authTypes と AttesationWorkItem authTypes は、WorkItem から拡張されているため、このままでは Approver 機能を持ったユーザーは RemediationWorkItems に対しても完全な権限を持ち、さらにほかのユーザーのアテステーションもできてしまいます。
この問題は新しい Identity Manager 7.0 インストールと Identity Manager 7.0 にアップグレードされるインストールで解決されました。下位互換のために Identity Manager 7.0 以前のインストールは次の手順に従ってこの問題を解決できます。
- Approver 機能への参照を、Approval Administrator 機能への参照に変更する必要があります。変更対象には、Approver 機能を割り当てている可能性のある admingroup 参照、規則またはワークフローが含まれます。
- ワークフローで作成される作業項目が指定された authType を持っているか、デフォルトの Approval (承認) authType になることを確認してください。
- update.xml の WorkItemUpdater を実行して authType が NULL になっているすべての作業項目が Approval authType を持つように変更します (実際には、状況にあわせて必要な authType を設定する)。サンプル文はファイル内にありますが、デフォルトでコメントアウトされています。
サーバー
- タスクの終了時に、承認などの TaskInstance サブオブジェクトが正しく削除されるようになりました (ID-3258)。
- <Expansion> 内で、<set> を使用した場合にフォームが正しく機能するようになりました (ID-9617)。
- リソースの名前を変更したあと、再試行に失敗した場合に、最後の監査レコードが消失しなくなりました (ID-9714)。
- クラスタ環境で、エンドユーザーページでログインに失敗しても直列化関連の例外が発生しなくなりました (ID-10556)。
- タスク情報の処理に時間がかかる場合に、サーバーが自身を非応答として検出しようとすることがなくなりました (ID-10920)。
- IAPI 設定が IAPI XmlData に移行しました。これは、最後に処理された変更についての情報を格納するために主に ActiveSync リソースで使用されます (ID-11266)。
- Identity Manager 5.0 SP1 リリースで非推奨になった「セッション」サーバーとビューアの参照が削除されました (ID-11873)。
- 括弧間の区切り処理が停止されました。このため、括弧内の文字がすべてインデックスまたはフィルタとして扱われるようになりました。注: 閉じ括弧「]」をエスケープするメカニズムは現在ありません (ID-12384)。
- changelog ファイル名には、プレフィックス内にピリオド (.) を含めるようになりました (ID-12470)。
- タスクインスタンスの終了が修正操作ではなく終了操作として監査されるようになりました (ID-12791)。
- アカウントオブジェクトの作成のパフォーマンスが向上しました。これによって、調整とプロビジョニングのパフォーマンスも向上します (ID-13341)。
- 「設定」 > 「サーバー」での新しいサーバー設定によって、サーバーが同時に実行できるタスクの最大数を制限できるようになりました (ID-13343)。
ワークフロー
- 同じライブラリにあっても、ライブラリ名が付加されていない規則名への入れ子になった参照を解決できるようになりました。そのため未解決の規則エラーは発生しません (ID-10265)。
- notification.rediret を有効にして、通知メッセージをファイルにリダイレクトしている場合、電子メールが送信されるときと同様に、そのファイルには、emailNotifier.contentCharset で指定した文字コードでメッセージが記述されるようになりました。これによって、ファイルには ISO-8859-1 以外の文字コードのメッセージも正しく記述されます (ID-10331)。
- 承認者がすでに承認または却下された作業項目を承認または却下しようとすると、ワークフローメッセージに情報が追加されます (ID-11045)。
- デバッガはデフォルトで有効になりました。本稼働配備の場合、「serverSettings.default.debugger.enabled=false」というシステム設定プロパティーを設定してデバッガを無効にすることをお勧めします (ID-14076)。
マニュアル
このリリースで、Identity Auditor 機能とサービスプロバイダエディションの機能を Identity Manager に統合したことにより、次のマニュアルがなくなりました。
これらのマニュアルは『Identity Manager 管理ガイド』に統合されています。
解決されたその他の不具合
10475、11052、12452、13434、14178