|
| |
| Sun™ Identity Manager 8.0 管理ガイド | |
第 4 章
ロールとリソースこの章では、Identity Manager のロールとリソースについて説明します。
この章は、次のトピックで構成されています。
ロールとその管理についてこの節では、Identity Manager でのロールの設定について説明します。大規模な組織では、ロールベースのリソース割り当てにより、リソース管理が大幅に簡略化されます。
注
ロールと管理者ロールを混同しないようにしてください。ロールは、外部リソースへのエンドユーザーアクセスの管理に使用されます。一方、管理者ロールの主な用途は、ユーザー、組織、機能など、内部の Identity Manager オブジェクトへの管理者アクセスの管理です。
この節では、ロールについて説明します。管理者ロールについては、「管理者ロールとその管理について」を参照してください。
ロールとは
ロールは、リソースアクセス権をグループ化して、効率的にユーザーに割り当てることを可能にする Identity Manager オブジェクトです。ロールは、次の 4 つのロールタイプに分けられます。
ビジネスロールは、組織内で類似のタスクを実行するユーザーがジョブの遂行に必要とするアクセス権をグループに編成します。通常、ビジネスロールはユーザーの職務機能を表します。たとえば金融機関では、ビジネスロールは出納係、融資担当者、支店長、窓口担当、経理担当者、管理補佐などに対応します。
IT ロール、アプリケーション、およびアセットは、リソースエンタイトルメントをグループに編成します。エンドユーザーがリソースにアクセスできるようにするには、IT ロール、アプリケーション、およびアセットをビジネスロールに割り当てて、ジョブの実行に必要なリソースにユーザーがアクセスできるようにします。IT ロールには、アプリケーション、アセット、リソースの特定のセットが含まれます。これには、割り当て済みリソースに対する特定のエンタイトルメントが含まれます。IT ロールには、ほかの IT ロールを含めることもできます。
注
ロールタイプは、Identity Manager バージョン 8.0 で追加された新しい概念です。Identity Manager の以前のバージョンからバージョン 8.0 にアップグレードされた組織では、従来のロールは IT ロールとしてインポートされています。詳細については、「バージョン 8.0 より前のバージョンで作成されたロールの管理」を参照してください。
IT ロール、アプリケーション、およびアセットは、必須、条件付き、オプションのいずれかにできます。
ビジネスロールデザイナは、必須、条件付き、およびオプションのロールを使用して、エンドユーザーの管理者がエンドユーザーのアクセス権をきめ細かく調整できるだけの柔軟性を確保しつつ、含まれるロールへの詳細なアクセスを定義して法規制へのコンプライアンスを達成できます。条件付きまたはオプションのロールを割り当てられたユーザーも、割り当てられた同じビジネスロールを共有できますが、割り当てられるアクセス権は異なります。この方法では、組織内のアクセス要件の順列ごとにビジネスロールを新たに定義する必要がないため、「ロールエクスプロージョン」と呼ばれる問題が発生しません。
ロールタイプの使用
ここでは、ロールタイプを効果的に使用する方法について説明します。ロールタイプの説明については、前の節を参照してください。
バージョン 8.0 より前のバージョンで作成されたロールの管理
以前のバージョンの Identity Manager からバージョン 8.0 にアップグレードした組織では、従来のロールが自動的に IT ロールに変換されています。これらの IT ロールは、ユーザーに直接割り当てられたままになります。アップグレード処理の過程で、従来のロールにロール所有者が割り当てられることはありません。ただし、あとでロール所有者を割り当てることは可能です。(ロール所有者についてはこちらを参照。)
デフォルトでは、バージョン 8.0 にアップグレードされた組織は、IT ロールとビジネスロールの両方をユーザーに直接割り当てることができます (図 4-2 を参照)。
従来のロールを持つ組織は、次の節に示すガイドラインに基づいて新しいロールを作成することを検討してください。
ロールタイプを使用した柔軟なロールの設計
IT ロール、アプリケーション、およびアセットは、ロールデザイナの構成単位です。これら 3 つのロールタイプを組み合わせて、ユーザーエンタイトルメント (アクセス権) が構築されます。次に、IT ロール、アプリケーション、およびアセットがビジネスロールに割り当てられます。
ビジネスロールの設計
Identity Manager では、ユーザーには 1 つ以上のロールを割り当てることも、ロールを割り当てないことも可能です。Identity Manager 8.0 でロールタイプが導入されたため、ビジネスロールをユーザーに直接割り当てることだけをお勧めします。実際、デフォルトでは、組織にバージョン 8.0 より前の Identity Manager がインストールされていて、バージョン 8.0 以上にアップグレードしたのではない限り、ほかのロールタイプをユーザーに割り当てることはできません。このデフォルトの制限は、ロール設定オブジェクトを修正することで変更できます (こちら)。
複雑さを軽減するため、ビジネスロールを入れ子にすることはできません。つまり、ビジネスロールに別のビジネスロールを含めることはできません。また、ビジネスロールにリソースおよびリソースグループを直接含めることもできません。その代わり、リソースおよびリソースグループを IT ロールまたはアプリケーションに割り当ててください。そうすると、IT ロールまたはアプリケーションを 1 つ以上のビジネスロールに割り当てることができます。
IT ロールの設計
IT ロールには、アプリケーション、アセット、およびほかの IT ロールを含めることができます。IT ロールに、リソースやリソースグループを含めることもできます。
IT ロールの作成および管理は、組織の IT スタッフ、またはリソース内の特定の特権の有効化に必要なエンタイトルメントを理解しているリソース所有者により行われることが想定されています。
アプリケーションとアセットの設計
アプリケーションおよびアセットとは、エンドユーザーがジョブの実行に必要なことを説明するための、よく使用されるビジネス用語を表すロールタイプです。たとえば、アプリケーションロールには、「カスタマサポートツール」や「イントラネット HR ツール管理」などの名前を付けることができます。
アプリケーションおよびアセットは、ビジネスロールおよび IT ロールに割り当てることが想定されています。
注
ロール管理者には、次の機能を 1 つ以上割り当ててください。
詳細については、「機能の割り当て」を参照してください。
ロールタイプの概要
図 4-1 に、4 つのロールタイプのそれぞれに割り当て可能なロールタイプ、リソース、およびリソースグループを示します。また、4 つのロールタイプすべてにロールタイプの除外を割り当て可能であることも示します。(ロールの除外については、こちらを参照。)
図 4-1 ビジネスロール、IT ロール、アプリケーション、およびアセットのロールタイプ
オプション、条件付き、および必須の含まれるロール (こちら) を使用することで、柔軟性が高まります。柔軟性の高いロール定義により、組織が管理する必要のあるロールの総数を減らすことができます。
図 4-2 に、バージョン 8.0 より前の Identity Manager をバージョン 8.0 以降にアップグレードすると、ビジネスロールおよび IT ロールをユーザーに直接割り当て可能であることを示します。アップグレードにより、従来のロールは IT ロールに変換されます。下位互換性を維持するため、IT ロールはユーザーに直接割り当てられます。Identity Manager が 8.0 以前のバージョンからアップグレードされたのでない場合、ビジネスロールだけをユーザーに直接割り当てることができます。
図 4-2 ユーザーに直接割り当て可能なロールおよびリソース
ロールの作成
この節では、ロールの作成方法について説明します。ロールを設計する上でのヒントについては、「ロールタイプを使用した柔軟なロールの設計」を参照してください。
ロールを作成または編集すると、ManageRole ワークフローが開始されます。このワークフローでは、新しいロールまたは更新されたロールをリポジトリに保存し、ロールが作成または保存される前に承認などの操作を挿入することができます。
「ロールの作成」フォームの完成
ロールを作成するには、次の手順に従います。
- 管理者インタフェースで、メインメニューから「ロール」をクリックします。
「ロール」ページ (「ロールのリスト」タブ) が開きます。
- ページ下部にある「新規」をクリックします。
IT ロールの作成ページが開きます。別のタイプのロールを作成するには、「タイプ」ドロップダウンメニューを使用します。
- 「ID」タブのフォームフィールドに必要な情報を指定します。
図 4-3 に、「ID」タブを示します。
- 「ID」タブのフォームフィールドに必要な情報を指定します (該当する場合)。このタブのフィールドに情報を指定するのに役立つ情報については、オンラインヘルプおよび「リソースとリソースグループの割り当て」を参照してください。
ロールへの拡張属性値の設定については、「割り当てられているリソース属性値の編集」を参照してください。
図 4-4 に、「リソース」タブを示します。
- 「ロール」タブのフォームフィールドに必要な情報を指定します (該当する場合)。このタブのフィールドに情報を指定するのに役立つ情報については、オンラインヘルプおよび「ロールおよびロールの除外の割り当て」を参照してください。
図 4-6 に、「ロール」タブを示します。
- 「セキュリティー」タブのフォームフィールドに必要な情報を指定します。このタブのフィールドに情報を指定するのに役立つ情報については、オンラインヘルプ、および「ロール所有者とロール承認者の指定」と「通知の指定」を参照してください。
図 4-7 に、「セキュリティー」タブを示します。
- ページ下部にある「保存」をクリックします。
ロールの名前と説明の入力
ロール名と説明は、「ロールの作成」フォームの「ID」タブに入力します。新規ロールを作成する場合は、「タイプ」ドロップダウンメニューを使って作成するロールタイプを選択します。
図 4-3 に、「ロールの作成」フォームの「ID」タブを示します。このフォームの使用方法については、オンラインヘルプを参照してください。
図 4-3 「ロールの作成」タブ付きフォームの「ID」部分。
リソースとリソースグループの割り当て
リソースとリソースグループは、「ロールの作成」フォームの「リソース」タブを使って、IT ロールおよびアプリケーションロールに直接割り当てることができます。リソースについては、この章のこちらで説明します。リソースグループについては、「リソースグループ」の節で説明します。
ここでは、「ロールの作成」フォームに必要な情報を指定したあとで、リソースおよびリソースグループをロールに割り当てる方法について説明します。情報を指定する方法については、「「ロールの作成」フォームの完成」を参照してください。
「リソース」タブに必要な情報を指定するには、次の手順に従います。
- 「ロールの作成」ページの「リソース」タブをクリックします。
- リソースを割り当てるには、「利用可能なリソース」列でリソースを選択し、矢印ボタンをクリックして「現在のリソース」列に移動します。
- 複数のリソースを割り当てる場合は、リソースの更新順序を指定できます。「順番にリソースを更新する」チェックボックスを選択し、「+」および「-」ボタンを使って「現在のリソース」列内のリソースの順序を変更します。
- このロールにリソースグループを割り当てる場合は、「利用可能なリソースグループ」列内でリソースグループを選択し、矢印ボタンをクリックして「現在のリソースグループ」列に移動します。リソースグループはリソースの集まりです。リソースグループを使用することで、リソースアカウントを作成および更新する順序を別の方法で指定できます。
- このロールのアカウント属性をリソースごとに指定するには、「割り当てられたリソース」セクションの「属性値の設定」をクリックします。詳細については、「割り当てられているリソース属性値の編集」を参照してください。
- 「保存」をクリックしてロールを保存するか、「ID」、「ロール」、または「セキュリティー」タブをクリックしてロールの作成処理を続行します。
図 4-4 に、「ロールの作成」フォームの「リソース」タブを示します。
図 4-4 「ロールの作成」タブ付きフォームの「リソース」部分
割り当てられているリソース属性値の編集
「割り当てられたリソース」テーブルを使用して、ロールに割り当てられたリソースのリソース属性値を設定または変更します。リソースには、ロールごとに定義された異なる複数の属性値を含めることができます。「属性値の設定」ボタンをクリックすると、「リソースアカウントの属性」ページが開きます。
図 4-5 に、「リソースアカウントの属性」ページを示します。
このページで、各属性の新しい値を指定したり、属性値の設定方法を決定できます。Identity Manager の値は、直接設定することも、規則を使用して設定することもできます。また、既存の値を上書きしたり、既存の値にマージしたりすることもできます。
リソース属性値の一般的な情報については、「アカウント属性の操作」を参照してください。
各リソースアカウント属性の値を設定するには、選択を行います。
- 「値の上書き」 − 次のいずれかのオプションを選択します。
- 「設定方法」 − 次のいずれかのオプションを選択します。
- 「デフォルト値」 − 規則またはテキストをデフォルト属性値にします。この値はユーザーが変更または上書きできます。
- 「値を設定」 − 規則またはテキストに指定されたように属性値を設定します。値が設定され、ユーザーの変更は上書きされます。
- 「値とマージ」 − 規則またはテキストに指定された値に現在の属性値をマージします。
- 「値とマージ、既存の値をクリア」 − 現在の属性値を消去し、このロールおよび割り当てられているその他のロールによって指定されるマージ値を値として設定します。
- 「値から削除」 − 規則またはテキストに指定された値を属性値から削除します。
- 「強制的に値を設定」 − 規則またはテキストに指定されたように属性値を設定します。値が設定され、ユーザーの変更は上書きされます。ロールを削除すると、新しい値が以前に属性上に存在していても NULL となります。
- 「強制的に値とマージ」 − 規則またはテキストに指定された値に現在の属性値をマージします。ロールを削除すると、新しい属性値が以前に属性上に存在していても NULL となります。
- 「規則名」 − 「値の上書き」領域で「規則」を選んだ場合、リストから規則を選択します。
- 「テキスト」 − 「値の上書き」領域で「テキスト」を選んだ場合、追加するテキスト、削除するテキスト、または属性値として使用するテキストを入力します。
「OK」をクリックして変更を保存し、「ロールの作成」または「ロールの編集」ページに戻ります。
図 4-5 に「リソースアカウントの属性」ページを示します。このページを使って、ロールに割り当てられたリソースに拡張属性値を設定します。
図 4-5 「リソースアカウントの属性」ページ
ロールおよびロールの除外の割り当て
「ロールの作成」フォームの「ロール」タブを使って、ロールをビジネスロールおよび IT ロールに割り当てることができます。割り当てられたロールは、「含まれるロール」テーブルに追加されます。
「ロールの作成」フォームの「ロール」タブを使って、ロールの除外を 4 つのロールタイプすべてに割り当てることができます。ロールの除外を含むロールをユーザーに割り当てた場合、除外されたロールをそのユーザーに割り当てることはできません。ロールの除外は、「ロールの除外」テーブルに追加されます。
ここでは、「ロールの作成」フォームに必要な情報を指定したあと、ロールに 1 つ以上のロールを割り当てる方法について説明します。情報を指定する方法については、「「ロールの作成」フォームの完成」を参照してください。
「ロール」タブに必要な情報を指定するには、次の手順に従います。
- 「ロールの作成」ページの「ロール」タブをクリックします。
- 「含まれるロール」セクションの「追加」をクリックします。
タブが更新され、「含まれるロールの検索」フォームが表示されます。
- このロールに割り当てるロールを検索します。最初に必須のロールを割り当てます。(条件付きおよびオプションのロールはあとで追加する。)
検索フォームの使用方法については、こちらを参照してください。ビジネスロールを入れ子にしたり、ほかのロールタイプに割り当てたりすることはできません。
- チェックボックスを使って割り当てるロールを選択して、「追加」をクリックします。
タブが更新され、「含まれるロールの追加」フォームが表示されます。
- 「関連付けタイプ」ドロップダウンメニューから「必須」 (あるいは必要に応じ「条件付き」または「オプション」) を選択します。
「OK」をクリックします。
- 前の 4 つの手順を繰り返して、条件付きロールを追加します (必要な場合)。前の 4 つの手順をもう一度繰り返して、オプションロールを追加します (必要な場合)。
- 「保存」をクリックしてロールを保存するか、「ID」、「リソース」、または「セキュリティー」タブをクリックしてロールの作成処理を続行します。
図 4-6 に、「ロールの作成」フォームの「ロール」タブを示します。このフォームの使用方法については、オンラインヘルプを参照してください。
図 4-6 「ロールの作成」タブ付きフォームの「ロール」部分
ロール所有者とロール承認者の指定
ロールには、所有者と承認者が指定されています。ロール所有者だけが、ロールを定義するパラメータの変更を承認できます。また、ロール承認者だけがエンドユーザーへのロールの割り当てを承認できます。
ロール所有者になるということは、ロールを介して割り当てられる、基盤となるリソースアカウント権限への責任があるビジネス所有者になることを意味します。管理者がロールに変更を加える場合、変更を実行するために、ロール所有者が変更を承認する必要があります。この機能により、変更がビジネス所有者に知らされたり承認されたりすることなく、管理者がロールを変更してしまうことを避けられます。ただし、Role 設定オブジェクト内で変更の承認が無効にされた場合は、ロール所有者の承認なしで変更を実行できます。
ロールの変更承認に加え、ロールの有効化、無効化、および削除もロール所有者の承認なしに行うことはできません。
所有者および承認者は、ロールに直接追加することも、ロール割り当て規則を使って動的に追加することもできます。Identity Manager では、所有者や承認者なしでロールを作成できます (ただし、この方法は推奨されていません)。
注
ロール割り当て規則には、RoleUserRule の authType が含まれます。カスタムのロール割り当て規則を作成する必要がある場合は、デフォルトのロール割り当て規則オブジェクト 3 つを参照し、これらのオブジェクトをサンプルとして使用してください。
作業項目に承認が必要な場合、所有者および承認者に電子メールで通知が送られます。変更承認作業項目および承認作業項目については、「変更承認作業項目と承認作業項目の開始」の節を参照してください。
所有者および承認者は、「ロールの作成」フォーム内の「セキュリティー」タブのロールに追加されます。
図 4-7 に、「ロールの作成」フォームの「セキュリティー」タブを示します。このフォームの使用方法については、オンラインヘルプを参照してください。
図 4-7 「ロールの作成」タブ付きフォームの「セキュリティー」部分
通知の指定
ロールがユーザーに割り当てられたときに、通知を 1 人以上の管理者に送信できます。
通知受信者の指定は、省略可能です。ロールがユーザーに割り当てられているときに、承認を不要に設定すると、管理者への通知を選択できます。また、承認を指定する際、ある管理者を承認者にして、別の管理者を通知の受信者にすることもできます。
所有者および承認者の場合と同様、通知をロールに直接追加することも、ロール割り当て規則を使って動的に追加することもできます。ロールがユーザーに割り当てられると、通知受信者に電子メールで通知が行われます。ただし、承認が不要なため、作業項目は作成されません。
ロールへの通知の割り当ては、「ロールの作成」フォームの「セキュリティー」タブで行います。図 4-7 に、「ロールの作成」フォームの「セキュリティー」タブを示します。
変更承認作業項目と承認作業項目の開始
ロールの変更時に、ロール所有者が変更承認の電子メール、または変更通知の電子メールを受信するようにできます。また、メールを受信しないようにすることもできます。ロールがユーザーに割り当てられると、ロール承認者はロール承認の電子メールを受信します。
デフォルトでは、ロール所有者は、所有しているロールが変更されたときは必ず、変更承認の電子メールを受信します。ただし、この動作はロールタイプごとに設定が可能です。たとえば、ビジネスロールと IT ロールで変更承認を有効にし、アプリケーションロールとアセットロールで変更通知を有効にできます。
変更承認および変更通知の電子メールを有効または無効にする方法については、「変更承認作業項目および変更通知作業項目の有効化と無効化」を参照してください。
次に、変更承認および変更通知がどのように機能するかを説明します。
- 変更承認が有効な場合、管理者がロールを変更すると、作業項目が生成され、承認の電子メールがロール所有者に送信されます。変更を実行するには、ロール所有者が作業項目を承認する必要があります。変更承認の作業項目は委任できます。詳細については、「承認」を参照してください。
ロールがユーザーに割り当てられると、ロール承認者はロール承認の電子メールを受信します。Identity Manager では、ロール承認の電子メールを無効にすることはできません。
次に、ロール承認がどのように動作するかを示します。
変更承認および承認の作業項目は委任できます。作業項目の委任の詳細については、「作業項目の委任」を参照してください。
ロールの編集と管理
大半のロール編集およびロール管理タスクは、「ロールの検索」および「ロールのリスト」サブタブで実行できます。これらのサブタブは、メインメニューの「ロール」タブ内にあります。
この節は次のトピックで構成されています。
ロールの検索
指定した検索条件を満たすロールを検索するには、「ロールの検索」タブを使用します。
「ロールの検索」タブを使用することで、ロール所有者と承認者、割り当てられたアカウントタイプ、含まれるロールなど、さまざまな条件に基づいてロールを検索できます。
ロールに割り当てられたユーザーの検索については、こちらを参照してください。
「ロールの検索」タブを表示するには、次の手順に従います。
- 管理者インタフェースで、「ロール」タブをクリックします。
「ロールのリスト」タブが開きます。
- 「ロールの検索」二次タブをクリックします。
図 4-8 に、「ロールの検索」タブを示します。このフォームの使用方法については、オンラインヘルプを参照してください。
図 4-8 「ロールの検索」タブ
ドロップダウンメニューを使用して、検索用のパラメータを定義します。「行の追加」ボタンをクリックして、追加のパラメータを指定します。
ロールの表示
ロールを表示するには、「ロールのリスト」タブを使用します。「ロールのリスト」ページの上部にあるフィルタフィールドを使用して、名前またはロールタイプに基づいてロールを検索します。フィルタは、大文字と小文字を区別しません。
「ロールのリスト」タブを表示するには、次の手順に従います。
図 4-9 に、「ロールのリスト」タブを示します。このフォームの使用方法については、オンラインヘルプを参照してください。
図 4-9 「ロールのリスト」タブ
ロールの編集
「ロールのリスト」または「ロールの検索」タブを使って、編集するロールを検索します。ロールの変更時に変更承認が true に設定されている場合は、変更を実行するために、ロール所有者が変更を承認する必要があります。
ロールの変更されたユーザーの更新については、「ユーザーに割り当てられたロールの更新」を参照してください。
ロールを編集するには、次の手順に従います。
- 編集するロールの名前をクリックします。
「ロールの編集」ページが開きます。
- 必要に応じてロールを編集します。「ID」、「リソース」、「ロール」、および「セキュリティー」タブに必要な情報を指定する方法については、「「ロールの作成」フォームの完成」の手順を参照してください。
「保存」をクリックします。「ロール変更の確認」ページが開きます。
- このロールをユーザーに割り当てる場合は、ロールが変更されたユーザーをいつ更新するかを選択できます。詳細については、「ユーザーに割り当てられたロールの更新」を参照してください。
- 「保存」をクリックして、変更を保存します。
ロールの複製
ロールのコピーを作成するには、次の手順に従います。
ロールへのロールの割り当て
Identity Manager のロール割り当ての要件については、「ロールとは」および「ロールタイプの使用」を参照してください。ロールを割り当てる前にこの情報を理解しておいてください。
Identity Manager は、親ロールのロール所有者が承認すれば、ロールのロール割り当てを変更します。
ロールを別のロールに割り当てるには、次の手順に従います。
- 1 つ以上の「含まれるロール」の割り当て先となるビジネスロールまたは IT ロールを検索します。(ロールの割り当て先にできるのはビジネスロールと IT ロールのみです。) こちらまたはこちらの手順に従い、ロールを検索します。
- ビジネスロールまたは IT ロールをクリックして開きます。
「ロールの編集」ページが開きます。
- 「ロールの編集」ページの「ロール」タブをクリックします。
- 「含まれるロール」セクションの「追加」をクリックします。
タブが更新され、「含まれるロールの検索」フォームが表示されます。
- このロールに割り当てるロールを検索します。最初に必須ロールを指定します。(条件付きおよびオプションロールはあとで追加します。)
検索フォームの使用方法については、こちらを参照してください。ビジネスロールを入れ子にしたり、ほかのロールタイプに割り当てたりすることはできません。
- チェックボックスを使って割り当てるロールを選択して、「追加」をクリックします。
タブが更新され、「含まれるロールの追加」フォームが表示されます。
- 「関連付けタイプ」ドロップダウンメニューから「必須」 (あるいは必要に応じ「条件付き」または「オプション」) を選択します。
「OK」をクリックします。
- 前の 4 つの手順を繰り返して、条件付きロールを追加します (必要な場合)。前の 4 つの手順をもう一度繰り返して、オプションロールを追加します (必要な場合)。
- 「保存」をクリックして、「ロール変更の確認」ページを開きます。
「ロール変更の確認」ページが開きます。
- 「割り当てられたユーザーの更新」セクションで、「割り当てられたユーザーの更新」メニューオプションを選択します。詳細については、「ユーザーに割り当てられたロールの更新」を参照してください。
- 「保存」をクリックして、ロールの割り当てを保存します。
ロールからのロールの削除
Identity Manager は、親ロールのロール所有者が承認すれば、別のロールから含まれるロールを削除します。ユーザーがロールの更新を受信する際に、削除されたロールがユーザーから削除されます。(詳細については、「ユーザーに割り当てられたロールの更新」を参照してください。) ロールの削除時に、ユーザーはロールにより付与されていたエンタイトルメントを失います。
- 1 人以上のユーザーに割り当てられているロールの削除については、「ユーザーに割り当てられたロールの削除」を参照してください。
- ロールの無効化については、「ロールの有効化と無効化」を参照してください。
- Identity Manager からのロールの削除については、「ロールの削除」を参照してください。
別のロールに割り当てられているロールを削除するには、次の手順に従います。
- ロールをクリックして開きます。
「ロールの編集」ページが開きます。
- 「ロールの編集」ページの「ロール」タブをクリックします。
- 「含まれるロール」セクションで、削除するロールの横のチェックボックスを選択して、「削除」をクリックします。複数のロールを削除する場合は、複数のチェックボックスを選択します。
テーブルが更新され、残りの「含まれるロール」が表示されます。
- 「保存」をクリックします。
「ロール変更の確認」ページが開きます。
- 「割り当てられたユーザーの更新」セクションで、「割り当てられたユーザーの更新」メニューオプションを選択します。詳細については、「ユーザーに割り当てられたロールの更新」を参照してください。
- 「保存」をクリックして、変更を確定します。
ロールの有効化と無効化
「ロールのリスト」タブで、ロールを有効および無効にできます。ロールの状態が「状態」列に表示されます。「状態」列ヘッダーをクリックして、ロールの状態でテーブルを並べ替えます。
無効にされたロールは、「作成/編集」ユーザーフォームの「ロール」タブには表示されず、ユーザーに直接割り当てることはできません。無効なロールを含むロールをユーザーに割り当てることはできますが、無効なロールを割り当てることはできません。
あとで無効にされるロールを割り当てられているユーザーが、エンタイトルメントを失うことはありません。ロールの無効化により妨げられるのは、将来のロール割り当てだけです。
ロールを無効にしてから再度有効にするには、ロール所有者のアクセス権が必要です。
割り当てられたユーザーでロールを有効または無効にすると、Identity Manager によりこれらのユーザーを更新するように求められます。詳細については、「ユーザーに割り当てられたロールの更新」を参照してください。
ロールを有効または無効にするには、次の手順に従います。
ロールの削除
この節では、Identity Manager からロールを削除する手順について説明します。
- 別のロールに割り当てられているロールの削除については、「ロールからのロールの削除」を参照してください。
- 1 人以上のユーザーに割り当てられているロールの削除については、「ユーザーに割り当てられたロールの削除」を参照してください。
現在ユーザーに割り当てられているロールを削除する場合、ロールを保存しようとすると Identity Manager により削除が妨げられます。削除を完了するには、ロールに割り当てられているすべてのユーザーを事前に割り当て解除 (または再割り当て) しておく必要があります。また、このロールを、ほかのすべてのロールから削除する必要もあります。
Identity Manager は、ロールを削除する前にロール所有者の承認を求めます。
ロールを削除するには、次の手順に従います。
ロールへのリソースまたはリソースグループの割り当て
Identity Manager のリソースおよびリソースグループの割り当て要件については、「ロールとは」および「ロールタイプの使用」を参照してください。リソースをロールに割り当てる前に、この情報を理解しておいてください。
Identity Manager は、ロール所有者が承認すれば、ロールのリソースおよびリソースグループの割り当てを変更します。
リソースをロールに割り当てるには、次の手順に従います。
- ロールをクリックして開きます。
- 「ロールの編集」ページの「リソース」タブをクリックします。
- リソースを割り当てるには、「利用可能なリソース」列でリソースを選択し、矢印ボタンをクリックして「現在のリソース」列に移動します。
- 複数のリソースを割り当てる場合は、リソースの更新順序を指定できます。「順番にリソースを更新する」チェックボックスを選択し、「+」および「-」ボタンを使って「現在のリソース」列内のリソースの順序を変更します。
- このロールにリソースグループを割り当てる場合は、「利用可能なリソースグループ」列内でリソースグループを選択し、矢印ボタンをクリックして「現在のリソースグループ」列に移動します。リソースグループはリソースの集まりです。リソースグループを使用することで、リソースアカウントを作成および更新する順序を別の方法で指定できます。
- このロールのアカウント属性をリソースごとに指定するには、「割り当てられたリソース」セクションの「属性値の設定」をクリックします。詳細については、「割り当てられているリソース属性値の編集」を参照してください。
- 「保存」をクリックして、「ロール変更の確認」ページを開きます。
「ロール変更の確認」ページが開きます。
- 「割り当てられたユーザーの更新」セクションで、「割り当てられたユーザーの更新」メニューオプションを選択します。詳細については、「ユーザーに割り当てられたロールの更新」を参照してください。
- 「保存」をクリックして、リソースの割り当てを保存します。
ロールからのリソースまたはリソースグループの削除
Identity Manager は、ロール所有者が承認すれば、リソースまたはリソースグループをロールから削除します。ユーザーがロールの更新を受信する際に、削除されたリソースがユーザーから削除されます。(詳細については、「ユーザーに割り当てられたロールの更新」を参照してください。) リソースの削除時に、ユーザーにリソースが直接割り当てられているのでない限り、ユーザーはリソースに対するエンタイトルメントを失います。
ロールに割り当てられているリソースまたはリソースグループを削除するには、次の手順に従います。
- ロールをクリックして開きます。
「ロールの編集」ページが開きます。
- 「ロールの編集」ページの「リソース」タブをクリックします。
- リソースを削除するには、「現在のリソース」列でリソースを選択し、矢印ボタンをクリックして「利用可能なリソース」列に移動します。
リソースグループを削除するには、「現在のリソースグループ」列でリソースを選択し、矢印ボタンをクリックして「利用可能なリソースグループ」列に移動します。
- 「保存」をクリックします。
「ロール変更の確認」ページが開きます。
- 「割り当てられたユーザーの更新」セクションで、「割り当てられたユーザーの更新」メニューオプションを選択します。詳細については、「ユーザーに割り当てられたロールの更新」を参照してください。
- 「保存」をクリックして、変更を確定します。
ユーザーロール割り当ての管理
ロールをユーザーに割り当てるには、Identity Manager の「アカウント」領域を使用します。
この節は次のトピックで構成されています。
ユーザーへのロールの割り当て
次の手順を実行して、1 つ以上のロールをユーザーに割り当てます。
エンドユーザーは、ロール割り当てリクエストを自分で作成することもできます。(リクエストできるのは、親ロールがユーザーに割り当て済みのオプションロールのみです。) エンドユーザーが利用可能なロールをリクエストする方法については、「Identity Manager エンドユーザーインタフェース」の節の「リクエスト」を参照してください。
1 つ以上のロールをユーザーに割り当てるには、次の手順に従います。
- 管理者インタフェースで、「アカウント」タブをクリックします。
「アカウントのリスト」サブタブが開きます。
- ロールを既存のユーザーに割り当てるには、次の手順に従います。
- 「ユーザーリスト」でユーザーの名前をクリックします。
- 「ロール」タブをクリックします。
- 「追加」をクリックして、1 つ以上のロールをユーザーアカウントに追加します。
デフォルトでは、ユーザーに直接割り当てることができるのはビジネスロールだけです。(使用している Identity Manager が 8.0 より前のバージョンからアップグレードされたものである場合は、ビジネスロールと IT ロールをユーザーに直接割り当てることができます。)
- ロールのテーブルで、ユーザーに割り当てるロールを選択して、「OK」をクリックします。
テーブルを、「名前」、「タイプ」、または「説明」でアルファベット順に並べ替えるには、列ヘッダーをクリックします。もう一度クリックすると、逆順で並べ替えられます。リストをロールタイプでフィルタするには、「現在」ドロップダウンメニューから選択します。
テーブルが更新され、選択したロール割り当て、および親ロール割り当てに関連付けられたすべての必須ロール割り当てが表示されます。
- 「追加」をクリックして、オプションロール割り当てを表示します。これも、ユーザーに割り当てることができます。
ユーザーに割り当てるオプションロールを選択して、「OK」をクリックします。
- (オプション)「アクティブになる日」列で、ロールをアクティブにする日付を選択します。日付を指定しない場合、指定したロール承認者がロール割り当てを承認するとすぐに、ロール割り当てがアクティブになります。
一時的にロールを割り当てる場合は、「非アクティブになる日」列でロールを非アクティブにする日付を選択します。選択した日付に変わると、ロールが非アクティブになります。
詳細については、「特定の日付にアクティブ/非アクティブにする」を参照してください。
- 「保存」をクリックします。
特定の日付にアクティブ/非アクティブにする
ロールをユーザーに割り当てる際に、「アクティブになる日」と「非アクティブになる日」を指定できます。ロール割り当て作業項目のリクエストは、割り当ての作成時に作成されます。ただし、設定されたアクティブ化の日付までにロール割り当てが承認されない場合、ロールは割り当てられません。ロールのアクティブ化および非アクティブ化は、指定された日付の午前零時を少し過ぎた時刻 (12:01 AM) に実行されます。
デフォルトでは、ビジネスロールだけにアクティブ化および非アクティブ化の日付を設定できます。その他のロールタイプはすべて、ユーザーに直接割り当てられたビジネスロールのアクティブ化および非アクティブ化の日付を継承します。Identity Manager を設定することで、ほかのロールタイプに異なるアクティブ化および非アクティブ化の日付を直接割り当てることができます。詳細については、こちらを参照してください。
延期タスクスキャナタスクのスケジュール
延期タスクスキャナは、ユーザーロール割り当てをスキャンし、必要に応じてロールをアクティブおよび非アクティブにします。デフォルトでは、延期タスクスキャナタスクは 1 時間ごとに実行されます。
延期タスクスキャナのスケジュールを編集するには、次の手順に従います。
- 管理者インタフェースで、「サーバータスク」をクリックします。
- 二次的なメニューの「スケジュールの管理」をクリックします。
- 「スケジューリング可能なタスク」セクションで、「延期タスクスキャナ」タスク定義をクリックします。
「Deferred Task Scanner タスクのスケジュールの新規作成」ページが開きます。
- フォームに必要な情報を指定します。ヘルプについては、i-Help およびオンラインヘルプを参照してください。
タスクを実行する日付と時刻は、「開始日」に mm/dd/yyyy hh:mm:ss 形式で指定します。たとえば、タスクを 2008 年 9 月 29 日、午後 7 時に開始するには、09/29/2008 19:00:00 と入力します。
「結果オプション」ドロップダウンメニューで、「名前の変更」を選択します。「待機」を選択した場合、このタスクの将来のインスタンスは、以前の結果を削除するまで実行されません。さまざまな「結果オプション」設定の詳細については、オンラインヘルプを参照してください。
- 「保存」をクリックしてタスクを保存します。
図 4-10 に、「延期タスクスキャナ」タスクのスケジュールタスクフォームを示します。
図 4-10 「延期タスクスキャナ」スケジュールタスクフォーム。
ユーザーに割り当てられたロールの更新
ユーザーに割り当てられたロールの編集時に、新しいロール変更に従ってユーザーをただちに更新することも、スケジュールした保守時間を使ってあとで更新することもできます。
ロールを変更すると、「ロール変更の確認」ページが開きます。「ロール変更の確認」ページを、こちらの図 4-11 に示します。
- このページの「割り当てられたユーザーの更新」セクションには、ロールが現在割り当てられているユーザーの数が示されます。
- 「割り当てられたユーザーの更新」メニューを使用して、ユーザーを新しいロール変更でただちに更新するか (「更新」)、ユーザーの更新を延期するか (「更新しない」)、スケジュールしたカスタム更新タスクを選択します。
- 「更新」を選択するとユーザーがただちに更新されるため、多数のユーザーが影響を受ける場合には、このオプションを選択しないようにしてください。ユーザーの更新には、時間とリソースが集中的に必要になります。このため、多数のユーザーを更新する必要がある場合には、混雑していない時間帯に更新をスケジュールすることをお勧めします。
- ロールに対して「更新しない」を選択した場合、管理者がユーザーのユーザープロファイルを表示するか、「ロールユーザーの更新」タスクによりユーザーが更新されるまで、ロールに割り当てられているユーザーはロール更新を受信しません。「ロールユーザーの更新」タスクのスケジュールについては、次の節を参照してください。
- 「ロールユーザーの更新」タスクスケジュールを作成すると、メニューからこの機能を選択できるようになります。選択した「ロールユーザーの更新」タスクは、タスクに定義されたスケジュールに従って、ロールに割り当てられたユーザーを更新します。詳細については、次の節を参照してください。
図 4-11 に、「ロール変更の確認」ページを示します。「割り当てられたユーザーの更新」セクションには、このロールが現在割り当てられているユーザーの数が示されます。「割り当てられたユーザーの更新」ドロップダウンメニューには、「更新しない」と「更新」の 2 つのデフォルトオプションがあります。スケジュールした「ロールユーザーの更新」タスクのリストから選択することもできます。スケジュールした「ロールユーザーの更新」タスクの作成手順については、「「ロールユーザーの更新」タスクのスケジュール」を参照してください。
図 4-11 「ロール変更の確認」ページ。
割り当てられたユーザーの手動更新
1 つ以上のロールを選択して「割り当てられたユーザーの更新」ボタンをクリックすることで、ロールが割り当てられているユーザーを更新できます。この手順により、指定したロールの「ロールユーザーの更新」タスクのインスタンスが実行されます。
ロールが割り当てられているユーザーの更新を開始するには、次の手順に従います。
- チェックボックスを使ってロールを選択します。
- 「割り当てられたユーザーの更新」をクリックします。
「ロールが割り当てられているユーザーの更新」ページ (図 4-12) が表示されます。
- 「起動」をクリックして更新を開始します。
- メインメニューの「サーバータスク」をクリックしてから、二次的なメニューの「すべてのタスク」をクリックして、「ロールユーザーの更新」タスクの状態を確認します。
図 4-12 「ロールが割り当てられているユーザーの更新」ページ
「ロールユーザーの更新」タスクのスケジュール
「ロールユーザーの更新」タスクの定期的な実行をスケジュールすることをお勧めします。
ロールの変更が未処理のユーザーを更新するには、次の手順を実行して、「ロールユーザーの更新」タスクをスケジュールします。
- 管理者インタフェースで、「サーバータスク」をクリックします。
- 二次的なメニューの「スケジュールの管理」をクリックします。
- 「スケジューリング可能なタスク」セクションで、「ロールユーザーの更新」タスク定義をクリックします。
「Update Role Users タスクのスケジュールの新規作成」ページが開きます。既存のタスクを編集している場合は、「タスクスケジュールの編集」ページが開きます (図 4-13)。
- フォームに必要な情報を指定します。ヘルプについては、i-Help およびオンラインヘルプを参照してください。
タスクを実行する日付と時刻は、「開始日」に mm/dd/yyyy hh:mm:ss 形式で指定します。たとえば、タスクを 2008 年 9 月 29 日、午後 7 時に開始するには、09/29/2008 19:00:00 と入力します。
「結果オプション」ドロップダウンメニューで、「名前の変更」を選択します。「待機」を選択した場合、このタスクの将来のインスタンスは、以前の結果を削除するまで実行されません。さまざまな「結果オプション」設定の詳細については、オンラインヘルプを参照してください。
- 「保存」をクリックしてタスクを保存します。
図 4-13 に、「ロールユーザーの更新」タスクのスケジュールタスクフォームを示します。特定の「ロールユーザーの更新」タスクに特定のロールを割り当てることができます (「タスクパラメータ」セクションを参照。)詳細については、「ユーザーに割り当てられたロールの更新」を参照してください。
図 4-13 「ロールユーザーの更新」スケジュールタスクフォーム。
ロールに割り当てられたユーザーの検索
特定のロールが割り当てられたユーザーを検索できます。
特定のロールが割り当てられたユーザーを検索するには、次の手順に従います。
- 管理者インタフェースで、「アカウント」をクリックします。
- 二次的なメニューの「ユーザーの検索」をクリックします。「ユーザーの検索」ページが開きます。
- 検索タイプ「[ロールタイプを選択] ロールが割り当てられているユーザー」を見つけます。
- オプションボックスを選択し、「ロールタイプの選択」ドロップダウンメニューを使用して利用可能なロールのリストをフィルタします。
二次的なロールメニューが開きます。
- ロールを選択します。
- 検索をさらに絞り込む必要がなければ、その他の検索タイプチェックボックスを選択解除します。
- 「検索」をクリックします。
図 4-14 「ユーザーの検索」ページを使用した、ロールに割り当てられたユーザーの検索
ユーザーに割り当てられたロールの削除
「ユーザーの編集」ページを使って、1 つ以上のロールをユーザーアカウントから削除できます。削除できるのは、直接割り当てられたロールだけです。間接的に割り当てられたロール (つまり、条件付きまたは必須、あるいはその両方の含まれるロール) は、親ロールの削除時に削除されます。間接的に割り当てられたロールをユーザーから削除する別の方法は、ロールを親ロールから削除することです (「ロールからのロールの削除」を参照)。
エンドユーザーは、割り当てられたロールのユーザーアカウントからの削除もリクエストできます。「Identity Manager エンドユーザーインタフェース」の節の「リクエスト」を参照してください。
スケジュールされた非アクティブ化の日付を使用したロールの削除については、「特定の日付にアクティブ/非アクティブにする」を参照してください。
1 つ以上のロールをユーザーから削除するには、次の手順に従います。
- 管理者インタフェースで、「アカウント」タブをクリックします。
「アカウントのリスト」サブタブが開きます。
- 規則を削除するユーザーをクリックします。
「ユーザーの編集」ページが開きます。
- 「ロール」タブをクリックします。
- ロールのテーブルで、ユーザーから削除するロールを選択して、「OK」をクリックします。
テーブルを「名前」、「タイプ」、「アクティブになる日」、「非アクティブになる日」、「親ロール」、または「状態」でアルファベット順に並べ替えるには、列ヘッダーをクリックします。もう一度クリックすると、逆順で並べ替えられます。リストをロールタイプでフィルタするには、「現在」ドロップダウンメニューから選択します。
テーブルに、親ロールの割り当て (これらのロールは選択可能)、および親ロールの割り当てに関連付けられたすべてのロール割り当て (これらのロールは選択不可) が表示されます。
- 「削除」をクリックします。
割り当てられたロールのテーブルが更新され、割り当てられた残りのロールが表示されます。
- 「保存」をクリックします。
「リソースアカウントの更新」ページが開きます。削除しないリソースアカウントをすべて選択解除します。
- 「保存」をクリックして、変更を保存します。
ロールタイプの設定
ロールタイプ機能は、Role 設定オブジェクトを編集することで変更できます。
ロールタイプを設定してユーザーに直接割り当て可能にする
デフォルトでは、特定のロールタイプだけをユーザーに直接割り当てることができます これらの設定を変更するには、次の手順に従います。
注
最も推奨されるのは、ビジネスロールだけをユーザーに直接割り当てることです。詳細については、「ロールタイプを使用した柔軟なロールの設計」を参照してください。
ユーザーに直接割り当て可能なロールタイプを変更するには、次の手順に従います。
- 「Identity Manager 設定オブジェクトの編集」の手順に従って、Role 設定オブジェクトを編集用に開きます。
- 編集するロールタイプに対応するロールオブジェクトを探します。
- 設定の更新方法に応じて、次の一連の手順の中から適切なものを実行します。
- Role 設定オブジェクトを保存します。変更を有効にするために、アプリケーションサーバーを再起動する必要はありません。
割り当て可能なアクティブ化の日付および非アクティブ化の日付のロールタイプを有効にする
デフォルトでは、アクティブ化の日付および非アクティブ化の日付を設定できるのはビジネスロールだけです。これらの日付は、ロールの割り当て時に指定できます。その他のロールはすべて、ユーザーに直接割り当てられたビジネスロールのアクティブ化および非アクティブ化の日付を継承します。
注
最も推奨されるのは、ビジネスロールだけをユーザーに直接割り当てることです。詳細については、「ロールタイプを使用した柔軟なロールの設計」を参照してください。
別のロールタイプ (IT ロールタイプなど) をユーザーに直接割り当て可能にする場合は、そのロールタイプをアクティブにする日付や非アクティブにする日付も割り当て可能にできます。
割り当て可能なアクティブ化および非アクティブ化の日付を設定できるロールタイプを変更するには、次の手順に従います。
- 「Identity Manager 設定オブジェクトの編集」の手順に従って、Role 設定オブジェクトを編集用に開きます。
- 編集するロールタイプに対応するロールオブジェクトを見つけます。
- 設定の更新方法に応じて、次の一連の手順の中から適切なものを実行します。
<Attribute name='userAssignment'>
<Attribute name='manual' value='true'/>
</Attribute>これを次の属性で置き換えます。
<Attribute name='userAssignment'>
<Object>
<Attribute name='activateDate' value='true'/>
<Attribute name='deactivateDate' value='true'/>
<Attribute name='manual' value='true'/>
</Object>
</Attribute>- Role 設定オブジェクトを保存します。変更を有効にするために、アプリケーションサーバーを再起動する必要はありません。
変更承認作業項目および変更通知作業項目の有効化と無効化
デフォルトでは、変更承認作業項目はすべてのロールタイプで有効です。このため、ロールに所有者がいる場合、ロールが変更されるたびに (ビジネスロール、IT ロール、アプリケーション、またはアセットのいずれであっても)、変更を実行するために所有者が変更を承認する必要があります。
変更承認作業項目および変更通知作業項目については、「変更承認作業項目と承認作業項目の開始」を参照してください。
ロールタイプの変更承認作業項目および変更通知作業項目を有効または無効にするには、次の手順に従います。
- 「Identity Manager 設定オブジェクトの編集」の手順に従って、Role 設定オブジェクトを編集用に開きます。
- 編集するロールタイプに対応するロールオブジェクトを見つけます。
- <Attribute name=蒜eatures��gt; 要素内の<Object> 要素で、次の属性を検索します。
<Attribute name='changeApproval' value='true'/>
<Attribute name='changeNotification' value='true'/>- 必要に応じて、属性値を true または false に設定します。
- 必要に応じ、手順 2 〜 4 を繰り返して別のロールタイプを設定します。
- Role 設定オブジェクトを保存します。変更を有効にするために、アプリケーションサーバーを再起動する必要はありません。
ロールリストページで読み込み可能な最大行数の設定
管理者インタフェースの「ロールのリスト」ページには、設定可能な最大行数を表示できます。デフォルトの数は 500 です。数を変更するには、この節で示す手順を実行します。
「ロールのリスト」ページに表示可能な最大行数を変更するには、次の手順に従います。
- 「Identity Manager 設定オブジェクトの編集」の手順に従って、Role 設定オブジェクトを編集用に開きます。
- 次の属性を検索して、値を変更します。
<Attribute name='roleListMaxRows' value='500'/>
- Role 設定オブジェクトを保存します。変更を有効にするために、アプリケーションサーバーを再起動する必要はありません。
Identity Manager ロールとリソースロールの同期
Identity Manager ロールをリソース上でネイティブに作成されたロールと同期することができます。同期すると、デフォルトでリソースはロールに割り当てられます。これには、同期タスクを使用して作成されたロール、およびいずれかのリソースロール名に一致する既存の Identity Manager ロールが該当します。
Identity Manager ロールをリソースロールと同期させるには、次の手順に従います。
リソースとその管理についてこの節では、Identity Manager リソースの設定の説明および手順を示します。
リソースとは
Identity Manager リソースには、アカウントが作成されるリソースまたはシステムへの接続方法についての情報が格納されています。Identity Manager リソースは、リソースに関連する属性を定義するものであり、Identity Manager でリソース情報を表示する方法を指定する際に役立ちます。
Identity Manager では、次のような広範囲なリソースタイプに対応したリソースを提供します。
インタフェースの「リソース」領域
既存のリソースに関する情報は、「リソース」ページに表示されます。
リソースにアクセスするには、メニューバーの「リソース」をクリックします。
リソースリスト内のリソースは、タイプごとにグループ化されています。各リソースタイプは、フォルダアイコンで表されます。現在定義されているリソースを表示するには、フォルダの隣にあるインジケータをクリックします。表示を折りたたむには、マークをもう一度クリックします。
リソースタイプフォルダを展開すると、中に含まれるリソースオブジェクトの数が動的に更新されて表示されます (グループをサポートするリソースタイプの場合)。
リソースの一部には、次のような、管理可能な追加のオブジェクトを持つものがあります。
リソースリストからオブジェクトを選択し、次のオプションリストのいずれかから操作を選択して、管理タスクを開始します。
リソースを作成または編集すると、ManageResource ワークフローが開始されます。このワークフローでは、新しいリソースまたは更新されたリソースをリポジトリに保存し、リソースが作成または保存される前に承認などの操作を挿入することができます。
リソースリストの管理
新しいリソースを作成する前に、管理可能にするリソースタイプを Identity Manager に通知する必要があります。リソースを有効にして、カスタムリソースを作成する場合は、「管理するリソースの設定」ページを使用します。
「管理するリソースの設定」ページを開く
「管理するリソースの設定」ページを開くには、次の手順に従います。
「管理するリソースの設定」ページには、次の 2 つのセクションがあります。
リソースタイプの有効化
「管理するリソースの設定」ページで、リソースタイプを有効にします。
リソースタイプを有効にするには、次の手順に従います。
- 「管理するリソースの設定」ページが開いている必要があります。このページが開いていない場合は、開いてください (こちら)。
- 「リソース」セクションで、有効にするリソースタイプの「管理しますか?」列のボックスを選択します。
リスト表示されているすべてのリソースタイプを有効にするには、「すべてのリソースを管理しますか?」を選択します。
- ページ下部にある「保存」をクリックします。
リソースが「リソース」リストに追加されます。
カスタムリソースの追加
「管理するリソースの設定」ページで、カスタムリソースを追加します。
カスタムリソースを追加するには、次の手順に従います。
- 「管理するリソースの設定」ページが開いている必要があります。このページが開いていない場合は、開いてください (こちら)。
- 「カスタムリソース」セクションの「カスタムリソースの追加」をクリックして、テーブルに行を追加します。
- リソースのリソースクラスパスを入力するか、独自に開発したリソースを入力します。Identity Manager で提供されるアダプタの完全なクラスパスについては、『Identity Manager リソースリファレンス』を参照してください。
- 「保存」をクリックして、リソースを「リソース」リストに追加します。
リソースの作成
リソースタイプが有効になると、そのリソースのインスタンスを Identity Manager 内で作成できるようになります。リソースを作成するには、リソースウィザードを使用します。リソースウィザードを使用すると、次の項目を手順に従って設定できます。
- 「リソース固有のパラメータ」 − これらの値は、このリソースタイプの特定のインスタンスを作成するときに Identity Manager インタフェースから修正できます。
- 「アカウント属性」 − リソースのスキーママップに定義されます。これらによって、Identity Manager ユーザー属性がリソースの属性にどのようにマップされるかが決まります。
- 「アカウントの DN またはアイデンティティーテンプレート」 − ユーザーに対するアカウント名の構文が含まれています。アカウント名の構文は、階層的な名前空間で特に重要です。
- 「リソースの Identity Manager パラメータ」 − ポリシーを設定し、リソースの承認者を設定し、リソースに対する組織のアクセス権を設定します。
リソースウィザードを使用したリソースの作成
リソースウィザードでは、リソース上のオブジェクトを管理する Identity Manager リソースアダプタを設定する手順を、順を追って実行します。
リソースを作成するには、次の手順に従います。
- 管理者インタフェースにログインします。
- 「リソース」タブをクリックします。「リソースのリスト」サブタブが選択されていることを確認します。
- 「リソースタイプアクション」ドロップダウンリストを見つけて、「新規リソース」を選択します。
「新規リソース」ページが開きます。
- ドロップダウンメニューからリソースタイプを選択します。(該当するリソースタイプがリストに表示されない場合は、それを有効にする必要があります。「リソースリストの管理」を参照してください。)
- 「新規」をクリックして、リソースウィザードの「ようこそ」ページを表示します。
- 「次へ」をクリックして、リソースの定義を開始します。リソースウィザードの手順とページは、次の順序で表示されます。
図 4-15 に、Solaris リソースの「リソースパラメータ」ページを示します。このページのフォームフィールドは、リソースにより異なります。
図 4-15 リソースウィザード: リソースパラメータ
- 「アカウント属性」(スキーママップ) − Identity Manager アカウント属性をリソースアカウント属性にマップします。リソースアカウント属性の詳細については、「アカウント属性の操作」を参照してください。
操作が終了したら、「次へ」をクリックしてアイデンティティーテンプレートを設定します。
図 4-16 に、リソースウィザードの「アカウント属性」ページを示します。
図 4-16 リソースウィザード: アカウント属性 (スキーママップ)
- 「アイデンティティーテンプレート」 − ユーザーに対するアカウント名の構文を定義します。この機能は、階層的な名前空間で特に重要です。
- 属性をテンプレートに追加するには、「属性の挿入」リストから属性を選択します。
- 属性を削除するには、文字列内でその属性を強調表示して、キーボードの Del キーを押します。属性名と前後の $ (ドル記号) の両方を削除してください。
- 「アカウントタイプ」 − Identity Manager では複数のリソースアカウントを 1 人のユーザーに割り当てることができます。たとえば、ユーザーが、特定のリソースに対して管理者レベルのアカウントと通常のユーザーアカウントを必要とする場合があります。このリソースで複数のアカウントタイプをサポートするには、「アカウントタイプ」チェックボックスを選択します。
注: サブタイプ IdentityRule で識別されるアイデンティティー生成規則を 1 つ以上作成していない場合、「アカウントタイプ」チェックボックスは選択できません。accountIds は独自でなければならないため、アカウントタイプごとに固有の accountIds を生成する必要があります。アイデンティティー生成規則は、これら一意の accountIds の作成方法を指定します。
サンプルのアイデンティティー規則は、sample/identityRules.xml にあります。
アカウントタイプは、Identity Manager 内のほかのオブジェクトから参照されなくなるまで削除できません。アカウントタイプの名前を変更することはできません。
「アカウントタイプ」フォームに必要な情報を指定する方法については、オンラインヘルプを参照してください。
ユーザーに複数のリソースアカウントを作成する方法の詳細については、こちらを参照してください。
図 4-17 リソースウィザード: アイデンティティーテンプレート
- 「Identity System パラメータ」 − 図 4-18 に示すように、リソースに、再試行およびポリシー設定などの Identity Manager パラメータを設定します。
図 4-18 リソースウィザード: アイデンティティーシステムのパラメータ
ページ間を移動するには、「次へ」および「戻る」を使用します。選択がすべて終了したら、「保存」をクリックしてリソースを保存し、リストページに戻ります。
リソースの管理
この節では、既存のリソースの管理方法について説明します。
リソースリストの表示
既存のリソースを表示するには、リソースリストを使用します。「リソースリスト」コマンドを使用して、リソースに対する一連の編集アクションを実行できます。
リソースリストを表示するには、次の手順に従います。
リソースウィザードを使用したリソース編集
リソースウィザードを使用して、リソースパラメータ、アカウント属性、およびアイデンティティーシステムパラメータを編集します。リソース上で作成されたユーザーに使用するアイデンティティーテンプレートを指定することもできます。
リソースウィザードを使用してリソースを編集するには、次の手順に従います。
「リソースリスト」コマンドオプションを使用したリソース編集
リソースの編集ウィザードのほかに、「リソースリスト」コマンドを使用して、リソースに対する一連の編集アクションを実行できます。
- リソースの削除− 1 つ以上のリソースを選択して、「リソースアクション」リストから「削除」を選択します。複数のリソースタイプを同時に選択することができます。ロールまたはリソースグループが関連付けられているリソースは削除できません。
- リソースオブジェクトの検索 − リソースを選択して「リソースオブジェクトアクション」リストから「検索」を選択すると、オブジェクト特性によってリソースオブジェクト (組織、組織単位、グループ、または個人など) を検索できます。
- リソースオブジェクトの管理 − リソースタイプによっては、新しいオブジェクトを作成できるものがあります。リソースを選択して、「リソースオブジェクトアクション」リストから「リソースオブジェクトの作成」を選択します。
- リソース名の変更 −リソースを選択して、「リソースアクション」リストから「名前の変更」を選択します。表示される入力ボックスに新しい名前を入力して、「名前の変更」をクリックします。
- リソースのクローン作成− リソースを選択して、「リソースアクション」リストから「名前を付けて保存」を選択します。表示される入力ボックスに新しい名前を入力します。クローンとして作成されたリソースが、選択した名前でリソースリストに表示されます。
- リソース上での一括アクションの実行 − (CSV 形式の入力から) リスト内のすべてのリソースに適用するリソースおよびアクションのリストを指定します。続いて一括アクションを起動して、一括アクションバックグラウンドタスクを開始します。
アカウント属性の操作
リソースアカウント属性 (またはスキーママップ) は、管理するリソースの属性を参照する abstract メソッドを提供します。スキーママップを使用すると、Identity Manager 内で属性を参照する方法 (スキーママップの左側) およびその名前を実際のリソース上の属性名にマッピングする方法 (スキーママップの右側) を指定できます。次に、フォームまたはワークフロー定義内で Identity Manager 属性名を参照したり、リソース自体の属性を効果的に参照したりできます。
図 4-16 に、「リソースアカウントの属性」ページを示します。
Identity Manager の属性と LDAP リソースの属性間のマッピング例を、次に示します。
リソースに対してアクションを実行する際、Identity Manager 属性 firstname への参照はすべて、実際には LDAP 属性 givenName への参照です。
Identity Manager から複数のリソースを管理する際、共通の Identity Manager アカウント属性を多数のリソース属性にマッピングすると、リソースの管理が大幅に簡略化されます。たとえば、Identity Manager fullname 属性を Active Directory リソース属性 displayName にマッピングできます。一方、LDAP リソース上で、同じ Identity Manager fullname 属性を LDAP 属性 cn にマッピングできます。結果として、管理者は fullname 値を一度指定するだけで済みます。ユーザーを保存する際、さまざまな属性値を持つリソースに fullname 値が渡されます。
リソースウィザードの「アカウント属性」ページでスキーママップを設定することにより、次を実行できます。
リソースアカウント属性の編集
リソースアカウント属性を表示または編集するには、次の手順に従います。
- 管理者インタフェースで、「リソース」をクリックします。
- アカウント属性を表示または編集するリソースを選択します。
- 「リソースアクション」リストで、「リソーススキーマの編集」をクリックします。
リソースアカウント属性の編集ページが開きます。
図 4-16 に、「リソースアカウントの属性」ページを示します。
スキーママップの左の列 (タイトルは「アイデンティティーシステムのユーザー属性」) には、Identity Manager 管理者インタフェースおよびユーザーインタフェースで使用されるフォームで参照される Identity Manager アカウント属性の名前が含まれています。スキーママップの右の列 (タイトルは「リソースユーザー属性」) には、外部ソースの属性名が含まれています。
リソースグループ
「リソース」領域は、リソースグループを管理するために使用します。リソースグループは、リソースをグループ化して特定の順序で更新できるようにします。グループにリソースを入れて順序付けし、そのグループをユーザーに割り当てることで、そのユーザーのリソースが作成、更新、および削除される順序が決定します。
アクティビティーは、各リソースに対して順番に実行されます。あるリソースで操作が失敗した場合、残りのリソースは更新されません。このような関係は、関連するリソースがある場合に重要です。
たとえば、Exchange Server 2007 のリソースは、既存の Windows Active Directory アカウントに依存します。つまり、Exchange アカウントを作成するには、その前にこのアカウントが存在している必要があります。Windows Active Directory のリソースと Exchange Server 2007 のリソースを持つリソースグループを (順番に) 作成することにより、正しいユーザー作成順序を保証できます。逆に、この順序により、ユーザーの削除時には正しい順序でリソースが削除されることが保証されます。
「リソース」を選択して「リソースグループのリスト」を選択すると、現在定義されているリソースグループのリストが表示されます。そのページで「新規」をクリックして、リソースグループを定義します。リソースグループの定義時には、選択領域で選択を行い、選択したリソースを順序付けするほか、リソースグループを利用可能にする組織を選択することができます。
グローバルリソースポリシー
リソースのグローバルリソースポリシー内のプロパティーを編集できます。「グローバルリソースポリシー属性の編集」ページから、次のポリシー属性を編集できます。
- デフォルトの待機タイムアウト − スクリプト化されたアダプタが、コマンドに文字 (または結果) が用意されているかどうかをチェックするまで、ポーリング間で待機する最大時間を指定する値を、ミリ秒単位で入力します。この値は、GenericScriptResourceAdapter または ShellScriptSourceBase アダプタにのみ適用されます。コマンドまたはスクリプトの結果をアダプタが調べない場合に、この設定を使用します。
- Wait For Ignore Case − タイムアウトするまでに、コマンド行プロンプトをアダプタが待機する必要のある最大時間を指定する値を、ミリ秒単位で入力します。この値は、GenericScriptResourceAdapter または ShellScriptSourceBase アダプタにのみ適用されます。大文字と小文字を区別しない場合に、この設定を使用します。
- リソースアカウントパスワードポリシー − 該当する場合、選択したリソースに適用するリソースアカウントパスワードポリシーを選択します。「なし」がデフォルトの選択です。
- リソースアカウント除外規則 − 該当する場合、除外されるリソースアカウントを制御する規則を選択します。「なし」がデフォルトの選択です。
ポリシーに対する変更を保存するには、「保存」をクリックする必要があります。
追加タイムアウト値の設定
Waveset プロパティーファイルを編集することにより、maxWaitMilliseconds プロパティーを変更できます。maxWaitMilliseconds プロパティーは、操作のタイムアウトを監視する頻度を制御します。この値が指定されていない場合、システムは 50 のデフォルト値を使用します。
この値を設定するには、Waveset.properties ファイルに次の行を追加します。
com.waveset.adapter.ScriptedConnection.ScriptedConnection.maxwaitMi lliseconds.
一括リソースアクション
CSV 形式のファイルを使用するか、操作に適用するデータを作成または指定して、リソースに対して一括アクションを実行できます。
図 4-19 は、作成アクションを使用した一括アクションの起動ページを示しています。
図 4-19 「一括リソースアクションの起動」ページ
一括リソース操作に使用できるオプションは、操作に選択したアクションによって異なります。操作に適用するアクションを 1 つ指定するか、「アクションリストから」を選択して複数のアクションを指定できます。
操作を開始するには、「起動」をクリックします。これはバックグラウンドタスクとして実行されます。
組織
組織単位
グループ
ロール
