|
Sun™ Identity Manager 8.0 リリースノート |
Identity Manager 8.0 既知の問題点
リリースノートのこの節では、Identity Manager 8.0 の既知の問題とその回避方法の一覧を示します。
既知の問題点『Identity Manager 8.0 リリースノート』のこの節では、既知の問題とその回避方法の一覧を示します。
全般
- ユーザーアカウントが作成されるとき、リソーススキーママップで設定される必須フィールドのみがチェックされます (ID-220)。ユーザー更新でフィールドを必須にする予定の場合、そのフィールドが必須であることを保証するようにユーザーフォームを設定してください。
- 組織名、管理者名、アカウント名、ユーザー属性名 (スキーママップの左側)、またはタスク名について、無効な文字のチェックが行われません (ID-1145、1206、1679、1734、1767、2413、3331)。これらのタイプのオブジェクトの名前には、ドル記号 ($)、コンマ (,)、ピリオド (.)、アポストロフィー (')、アンパサンド (&)、左角括弧 ([)、右角括弧 (])、またはコロン (:) を使用できません。
- セッションがタイムアウトしたあとでアクションを実行しようとした場合に、誤解を招くエラーメッセージがアカウントページ上に表示されます (ID-1223)。
- ブラウザで大きいフォントを使用している場合、カレンダオブジェクトの全体が表示されません (ID-2120)。
- リスト内の項目のうち 1 つを選択解除した場合に、検索結果ページおよびタスクの一覧表示ページ上の「すべてを選択」チェックボックスが選択解除された状態になりません (ID-5090)。リスト内のすべての項目のチェックボックスが選択されていない場合、検索結果に対するアクションを実行した時に「すべてを選択」チェックボックスは無視されます。(個別に選択されているものだけがアクションの対象となります。)
- カスタムメッセージカタログに変更を加える場合、変更内容を確認するにはサーバーを再起動する必要があります。(ID-6792)
- サーバーの障害を検出するための現在の機構は、Identity Manager クラスタ内のすべてのシステム間で時間の同期が取れていることを前提としています。(ID-7064) デフォルトの障害検出間隔 (5 分) を使用しており、2 つのサーバー間で時間のずれが 5 分を超えている場合、時間的に先行しているサーバーは遅れているほうのサーバーを無応答として宣言し、予測不能な結果を引き起こします。
この問題は、Identity Manager の外部で作成され、システム内の既存のロール (サブロールまたはスーパーロール) への参照を持つロールに関して発生する可能性があります。
これらのロールをインポートするとき、システムにすでに存在するロールについて、新しい関係を反映するための更新は行われません。たとえば、参照整合性は維持されません。このような方法でロールをインポートする場合に参照整合性をチェックして修正するには、RoleUpdater を使用します。
回避方法: 「ロール」で説明されている ID-15482 を参照してください。
回避方法:
- adminrolemodify.jsp を編集して、id をクエリー文字列として渡すのをやめます。
<%
String bodyAttributes = 弛nload=¥都electFirstEditField();¥噸;
try {
String id = requestState.getParameter(段d��;
if (id == null) {
:
}
else {
form.setTitle(Messages.UI_ADMIN_ROLES_JSP_EDIT_ROLE_TITLE);
form.setSubTitle(Messages.UI_ADMIN_ROLES_JSP_EDIT_ROLE_SUBTITLE);
// id をクエリー文字列として渡すのをやめる
//form.setPostURL(response.encodeURL(痴ecurity/adminrolemodify.jsp?id=��id));
form.setPostURL(response.encodeURL(痴ecurity/adminrolemodify.jsp��);
}
- adminrolemodify.jsp を編集して、id クエリーパラメータ値をエンコードします。
<%
String bodyAttributes = 弛nload=¥都electFirstEditField();¥噸;
try {
String id = requestState.getParameter(段d��;
if (id == null) {
:
}
else {
form.setTitle(Messages.UI_ADMIN_ROLES_JSP_EDIT_ROLE_TITLE);
form.setSubTitle(Messages.UI_ADMIN_ROLES_JSP_EDIT_ROLE_SUBTITLE);
// id クエリーパラメータ値をエンコードする
//form.setPostURL(response.encodeURL(痴ecurity/adminrolemodify.jsp?id=��id));
form.setPostURL(response.encodeURL(痴ecurity/adminrolemodify.jsp��id=梼
+ com.waveset.util.URLUTF8Encoder.encode(id)));
}
table.Tab2TblNew td
{background-image:url(../images/tabs/level2_deselect.jpg);background-repeat:repeat-x;back ground-position:left top;background-color:#C4CBD1;border:solid 1px #8f989f;white-space:nowrap}table.Tab2TblNew td.Tab2TblSelTd
{border-bottom:none;background-image:url(../images/tabs/level3_selected.jpg);background-r epeat:repeat-x;background-position:left bottom;background-color:#F2F4F3;border-left:solid 1px #8f989f;border-right:solid 1px #8f989f;border-top:solid 1px #8f989f;white-space:nowrap}
- ローカライズされた Identity Manager セッションでの作業中に、「処理ダイヤグラム」アプレットで、英語とローカライズされた言語が混在した不完全なローカライズ文字列がユーザーに表示される場合があります。(ID-16139)
- Repository Configuration オブジェクトには maxAttrValLength という名前の属性があります。この属性の値は無視され、常に 255 です。(ID-16261)
- 直接モードのパスワード同期を使用するには、web.xml ファイルで SimpleRpcHandler を設定する必要があります。デフォルトでは、このハンドラは rpcrouter2 サーブレット用のハンドラとして提供されません。(ID-16469) 直接モードのパスワード同期を使用するには、次のようにしてハンドラ初期化パラメータを設定します。
<init-param>
<param-name>handlers</param-name>
<param-value>com.waveset.rpc.SimpleRpcHandler,com.waveset.rpc.PasswordSyncHandler
</param-value></init-param>
- ほかのロールに含まれるロールを、その親ロールが割り当てられるときに、条件付きでユーザーに割り当てることができるようになりました。親ロールを編集するときに、親ロールと含まれるロールの間の関連についての条件を指定できます。条件は作成することも、規則を参照することもできます。規則を指定する場合、規則の評価のために必要なすべてのユーザービュー属性を、規則の引数を使用して指定する必要があります。(ID-18734)
- データウェアハウスメッセージカタログ (WICMessages.properties) は、クライアントのロケールではなくサーバーのロケールに基づいてロードされます。(ID-18898) たとえば、アプリケーションサーバーを日本語ロケールで実行している場合、ユーザーインタフェースが英語であっても、クエリー属性は日本語で表示されます。
- ユーザーに割り当てられたすべての直接および間接ロールを参照する、新しいクエリー可能属性 (assignedRoles) が Identity Manager 8.0 に追加されました。(ID-18921) 以前のリリースには、ユーザーに直接割り当てられたロールのみを含む、現在でも使用可能なクエリー可能属性 (role) が含まれています。アップグレードプロセスでは、assignedRoles の生成を有効にするためのユーザーの自動更新処理は、間接ロールを持つユーザーに対してのみ行われます。(すべてのユーザーを対象にすると、アップグレードに多くの時間を費やしてしまうため) アップグレード後の環境において、あるロールを割り当てられたユーザーに関するレポートを作成する場合に、すべてのユーザーの更新が完了していないと、そのロールを割り当てられたすべてのユーザーが返されません。
インストールと更新
update.xml ファイルはアップグレードプロセスの間にインポートされます。インポート処理では、デフォルトのパスワードを使用して configurator としてログインを試みます。ログインに失敗するとエラーが表示され、アップグレードプログラムによって、正しいログイン情報の入力を求められます。正しい情報を入力すると、アップグレードは続行されます。アップグレードプロセスのログファイルを参照すると、デフォルトのログインが失敗したときのエラーメッセージは確認できますが、アップグレードに関するそれ以上の情報はログファイルで確認できません。この問題はアップグレードには影響せず、ログファイルのみに影響します。
エラーを防ぐには、スクリプトを編集して次の行を変更する必要があります。
INSERT INTO waveset.roleobj SELECT * from waveset.object where type = 'Role';
この行を次のように変更します。
INSERT INTO waveset.roleobj (SELECT id, type, name, lockinfo, modified, repomod, summary, attr1, attr2, attr3, attr4, attr5, counter, xmlSize, xml FROM waveset.object WHERE type='Role');
アップグレード後の 7.1 データベース内の列は順序が変わっているため、明示的な列名が必要です。
監査
- スキャン中にリソースから取得できなかった、またはその他の問題が発生したユーザーアカウントを再試行する機能はありません。これらの問題はスキャンの完了時に報告されますが、アカウントを自動で再スキャンする手段はありません。(ID-9112)
- Identity Auditor は、ユーザーが編集されるたびにポリシーを適用することによって、ポリシースキャンの間にユーザーをポリシー順守状態に維持しようとします。監査ポリシーが割り当てられていて、かつポリシー違反の状態にあるユーザーを編集する場合、ユーザーを別の組織に移動するなどの単純な変更であっても、そのユーザーへの変更を保存することはできません。(ID-9504)
- コンプライアンス違反是正の重要度および優先度の値の変更に関して、誤解が生じる可能性があります。優先度設定ページで表示されている値が、そのコンプライアンス違反に対して現在設定されている重要度および優先度の値と異なる場合があります。優先度設定ページでは、任意の是正項目に対して最後に重要度および優先度を設定したときの値をそのまま表示しています。優先度設定ページでは、現在設定されている値を正しく特定できないため、是正の一覧ページにおいて、実際に設定されている重要度および優先度を確認するようにしてください。(ID-16040)
- 監査ポリシーの名前には、' (アポストロフィー)、. (ピリオド)、| (縦棒)、[ (左角括弧)、] (右角括弧)、, (コンマ)、: (コロン)、$ (ドル記号)、" (二重引用符)、= (等号) の各文字を含めることができません。(ID-16078)
- IdM 7.1 のアップグレード以前に作成された ComplianceViolation には、重要度または優先度を設定できません。コンプライアンス違反が存在しなくなったことを示すエラーメッセージが返されますが、これは誤りです。違反は存在しますが、IdM は重要度または優先度を設定できません。(ID-16420)
データエクスポータ
Identity Manager Service Provider
Portal Server の /etc/opt/SUNWam/config/AMConfig.properties ファイルで次の値を設定してから Web コンテナを再起動することによって、この問題が修正される場合があります。
com.iplanet.security.encryptor=com.iplanet.services.util.JCEEncryption
com.iplanet.security.SSLSocketFactoryImpl=netscape.ldap.factory.
JSSESocketFactory
com.iplanet.security.SecureRandomFactoryImpl=com.iplanet.am.util.
SecureRandomFactoryImpl
- Identity Manager の管理者インタフェースに表示されるいくつかの設定オプションは、Identity Manager Service Provider では使用されません。(ID-10843) 該当するオプションは次のとおりです。
- デフォルトでは、IDMXContext の API 呼び出し checkinObject および deleteObject を使用するとき、監査は実行されません。これらのメソッドに渡されるオプションマップで IDMXContext.OP_AUDIT キーを true に設定することによって、明示的に監査を要求する必要があります。監査を要求する方法は、ApiUsage クラスの createAndLinkUser() メソッドに示されています。(ID-11261)
- デフォルトの Service Provider ログインモジュールグループは、Service Provider リソースの名前が「Service Provider End-User Directory」であることを想定しています。リソースの名前が異なっている場合、Service Provider エンドユーザーログインページは適切に機能しません。ページにログイン関連のフィールドが表示されません。(ID-14891)
回避方法: SPE Sync を開始および停止するための望ましい方法には、製品インタフェースの「リソース」ページを使用する方法と、プログラム (例: ワークフロー) から SessionUtil メソッドを使用する方法があります。Identity Manager サーバーインスタンスが起動されるたびに SPE Sync が自動的に開始するのを防ぐには、リソースの同期ポリシーからこのタスクを無効にする必要があります。UI または SessionUtil メソッドを使用して SPE Sync を停止しても、別の Identity Manager サーバーインスタンスが起動されるまでの間、同期が停止するだけです。
回避方法: IBM 1.5 JDK で次のプロパティーを設定する必要があります。
- was-install/java/jre/lib ディレクトリで、jaxb.properties.sample の名前を jax.properties に変更し、次の 2 行のコメントを解除します。
javax.xml.parsers.SAXParserFactory=
org.apache.xerces.jaxp.SAXParserFactoryImpl
javax.xml.parsers.DocumentBuilderFactory=
org.apache.xerces.jaxp.DocumentBuilderFactoryImpl
- ファイルを保存してアプリケーションサーバーを再起動します。
ログイン設定
組織
ポリシーと機能
- Identity Manager のアカウントポリシー属性「リセット通知オプション」には「管理者」というオプションがありますが、これは無効です (ID-944)。有効なオプション は「即時」および「電子メール」のみです。
- 複数のロールの削除中にエラーが発生した場合、ほかのロールの処理は継続されず操作全体が停止します (ID-1168)。
- ユーザーが回答しなければならない最小の質問数を、定義された質問の数より大きい値に設定できてしまいます (ID-1834)。この状況が発生すると、ユーザーは「パスワードを忘れた場合」オプションを使用してログインすることができなくなります。
- ポリシーを編集して名前を変更し、新しいオブジェクトの作成を選択する方法によって、デフォルトの Lighthouse アカウントポリシーを複製することができません (ID-5147)。
ユーザーの調整とインポート
レポート
- 違反の概要レポートの「優先度」と「重要度」列に、テキストによる説明ではなく数値が表示されます。(ID-16932)
- 違反概要レポートで違反の状態に関するフィルタを指定した場合に、修正された違反を表示できません。レポートにはその時点でアクティ ブな (新規または再発の) 違反、または受け入れられた違反のみが含まれます。(ID-16933)
- 違反の概要レポートの「違反の状態」列がローカライズされていません。(ID-17011)
- 違反の概要レポートの「選択可能な違反の状態」ボックスに免除された違反を抽出するためのオプションがありません。(ID-17042)
- 複数の条件を指定して使用状況レポートを生成するとき、「レポート結果」ページでグラフは正しく表示されますが、条件テキストは固定の行幅によって切り捨てられます。(ID-17224)
- すべての非アクティブアカウントスキャンレポートで、「リスク分析の表示」ページに結果が表示されません。これらのレポートからの結果を表示するには、「サーバータスク」ページに移動します。(ID-17255)
- アカウントポリシーで秘密の質問が設定されていない場合、またはレポートの対象となる全てのユーザーが必要な秘密の質問に回答済みの場合、ユーザー質問レポートは何のデータも返しません。(ID-17415)
- リソースユーザーレポートでリセット管理者がユーザーとして一覧表示されますが、リセット管理者は隠しユーザーであり、表示されるのは不適切です。(ID-17650)
リソース
- リソースの「設定のテスト」ボタンですべてのフィールドがテストされません。(ID-51)
- リソースのポート割り当てを 65535 よりも大きい値に設定できます。(ID-59)
- 不適切な Active Directory グループ名を設定したときに表示されるエラーメッセージが正しくありません。(ID-393) Active Directory グループ名を「cn=groupname,cn=builtin,dc=waveset,dc=com」のような形式ではなく「groupname」のように設定しようとすると、「array index out of bounds」というエラーメッセージが表示されます。
- 同じアカウント属性名を持っていて、必須フラグが設定されていない別のリソースがある場合に、必須のアカウント属性が無視される場合があります。(ID-1161)
- 権限を持っていないリソースに管理者が組織を追加しようとすると、エラーが発生します。その場合、リソースの編集をキャンセルする必要があります。また、そのリソースに対して何か別の変更を加えるには、リソースをふたたび編集する必要があります。(ID-1274)
- PeopleSoft リソース上で、リソースアカウントのパスワードまたはユーザー名が正しくないときのエラーメッセージが不明瞭です。(ID-2235) エラーメッセージは次のとおりです。
- ホスト名が IP アドレスに解決されたあとで、リソースの IP アドレスは JVM のキャッシュに書き込まれます。リソースの IP アドレスが変更された場合、Identity Manager で変更を検出するにはアプリケーションサーバーを再起動する必要があります。(ID-3635) これは Sun JDK (バージョン 1.3 以上) での設定であり、sun.net.inetaddr.ttl プロパティーで制御できます。このプロパティーは通常、jre/lib/security/java.security 内で設定されます。
- Oracle リソース上の単一ユーザーに対して複数のアカウントを作成できません。(ID-3832)
- エンドユーザーが Domino リソースアカウントの自己検索機能を使用できません。(ID-4775)
- ユーザーが Active Directory 組織内のサブコンテナから、またはそのサブコンテナに移動されると、Active Sync アダプタはその変更を検出しますが、そのユーザーを編集ページ上で表示する (または、変更を加えて確認ページを表示する) と、ユーザーの accountId として元の DN (識別名) が引き続き表示されます。(ID-4950) ユーザーの変更には GUID を使用するため、これによって運用上の問題が生じることはありません。リソースに対して調整を実行すると、問題が修正されます。
- ユーザーが組織 (OU) からサブ組織に移動された場合に、LDAP ChangeLog アダプタが変更を認識せず、ユーザーが削除されたと想定します。その後、ユーザーオブジェクトは Identity Manager でロックされ (それが現在の設定である場合)、移動されたアカウントに対して新しいアカウントは作成されません。(ID-4953)
- コマンドまたはスクリプトの実行中にエラーが発生した場合、UNIX リソースアダプタによって使用されるプール接続が不確定な状態のままになる可能性があります。(ID-5406)
- NDS 組織は、リソースのベースコンテキストを [ROOT] に設定することによってのみ、ツリーの最上位に作成できます。(ID-5509)
- NDS 上で、最初のプロビジョニングで (Grace Login Limit などの) フィールドを編集し、ブール型のフィールドに対して値を指定しない場合、すべてのブール型フィールドが false に設定されます。(ID-6770) これにより、特定のチェックボックスの値が true であることを要求する、制限タブ上のほかのフィールドを設定できなくなります。これを回避するには、すべてのブール型フィールドについて、フィールドが true であると想定されるときに実際にフィールドが true であることを常に確認して、ほかのフィールドを編集するときにフィールドが適切にプッシュされるようにします。
- 「接続の管理」 > 「パスワードの変更」機能を使用して UNIX マシンに対するパスワードを変更する場合、表示されるタスク名は次のようになります。
- 「Remedy との統合」テンプレートエディタに関する、2 つの既知の問題があります。(ID-14729)
- Sun JavaTM System Directory Server Enterprise Edition 6.0、6.1、および 6.2 とともに使用すると、逆行現象により Identity Manager パスワード同期が失敗します。この障害は Directory Server 6.3 リリースで修正されます。バージョン 6.0、6.1、または 6.2 を Identity Manager と連動させる必要がある場合は、Directory Server バグ情報 6604342 を参照して、サポートに Directory Server ホットフィックスをリクエストしてください (ID-14895)。
- Sun JavaTM System Access Manager 7.0 リソースのリソースオブジェクトを「リソース」タブから展開すると、次のエラーが表示される場合があります (ID-15525)。
Error listing objects. ==> com.waveset.util.WavesetException: Error trying to get attribute value for attribute 'guid'. ==> java.lang.IllegalAccessError: tried to access method com.sun.identity.idm.AMIdentity.getUniversalId()Ljava/lang/String; from class com.waveset.adapter.SunAccessManagerRealmResourceAdapter
ロール
- ユーザーのロールのアクティブ化または非アクティブ化の日付を手動で入力するとき、フィールドの外側をクリックするか、または Tab キーでフィールドの外に移動すると、フィールドの内容が自動的に送信されます。この動作は、アクティブ化または非アクティブ化のフィールドで日付を手動で変更したあとで「保存」をクリックした場合に、「フォームはすでに送信されています」というメッセージが表示される原因となります。(ID-18927)
- ロールの削除では、そのロールへの参照に関して、含まれるロールとしての参照と、続いてユーザーによる参照がチェックされるべきです。プロセスでこれらの参照のどちらかが見つかった場合、エラーが返されてロールは削除されません。(ID-18981)
サーバー
Sun Identity Manager Gateway
タスク
- 「タスクの検索」ページに、検索条件に一致したタスクの数が表示されません (ID-5152)。
- Top を制御しない委任管理者はタスクをスケジュールでき、タスク結果を表示できますが、タスクが作成されたあとでそのタスクを表示できません (ID-6659)。スケジュールされたタスクは Top に配置されたため、委任管理者にはオブジェクトを表示するための権限がありません。
- 「Deferred Tasks」という名前のフィールドがライブラリに追加されました。このフィールドでは、ユーザーの延期されたタスクを一覧表示できます。このフィールドを実装するには、タブ付きユーザーフォームおよびタブ付きユーザー表示フォームに次の行を追加する必要があります (ID-7660)。
ワークフロー、フォーム、規則、および XPRESS
- ユーザーフォーム内のフィールドに対して global.attrname 変数を使用し、属性が複数のリソース間で共有される場合は、取得規則も定義する必要があります。(ID-5074) 定義しない場合、いずれかのリソース上で属性がネイティブに変更された場合に、属性が選択されてほかのリソースに伝播される場合とされない場合があります。
- フォームの HTML コンポーネントで、& で始まる特殊文字を使用できません。たとえば、 がスペースとして表示されません。この問題の原因は、選択リストで特殊文字 (&¥<>') をサポートするための変更です。(ID-5548)
- <Comment> タグに含まれるフォーム、ワークフロー、および規則のコメントには、コメント内で改行文字を表す 
 文字列が含まれます。(ID-6243) この文字列が表示されるのは、これらのオブジェクトの XML を参照するときだけです。この文字列は、Identity Manager サーバーおよびビジネスプロセスエディタによって適切に処理されます。
- ユーザーの編集にリソーステーブルユーザーフォームを使用する場合、ユーザーのリソースを編集するときに、最初に表示されるフォームでリソース属性が取得されません。