12 ライフサイクル管理変更の処理

Oracle Identity ManagerをOracle Access Manager (OAM)などの他のアプリケーションと統合してデプロイし、これらのアプリケーションで構成変更を行うと、Oracle Identity ManagerやOracle WebLogic Serverでさまざまな構成変更が必要になります。次の項では、これらの構成変更について説明します。

• Oracle Identity Managerに関連するURL変更

• Oracle Identity Managerに関連するパスワード変更

• Oracle Identity ManagerのSSLの構成

12.1 Oracle Identity Managerに関連するURL変更

Oracle Identity Mangerでは、構造上およびミドルウェアの要件により、さまざまなホスト名とポートが構成に使用されています。この項では、統合された依存アプリケーションでの変更に対応して、Oracle Identity ManagerおよびOracle WebLogic Serverで構成変更を行う方法について説明します。

この項の内容は次のとおりです。

• Oracle Identity Managerのデータベース・ホストとポートの変更

• Oracle Virtual Directoryのホストとポートの変更

• Oracle Identity Managerのホストとポートの変更

• BI Publisherのホストとポートの変更

• SOAのホストとポートの変更

• OAMのホストとポートの変更

12.1.1 Oracle Identity Managerデータベースのホストとポートの変更

この項では、データベースのホスト名とポート番号が使用される構成エリアについて説明します。

Oracle Identity Managerのインストール後に、データベースのホスト名またはポート番号を変更した場合は、次の変更が必要になります。

注意: データベースのホストおよびポートを変更する前に、Oracle Identity Managerをホストする管理対象サーバーを停止してください。ただし、Oracle WebLogic管理サーバーは稼動したままでかまいません。

• データソースoimJMSStoreDS構成を変更するには:

  1. 「サービス」→「JDBC」→「データソース」→oimJMSStoreDSに移動します。

  2. 「接続プール」タブをクリックします。

  3. データベースのホストとポートの変更に合わせて、URLと「プロパティ」フィールドの値を変更します。

• データソースoimOperationsDB構成を変更するには:

  1. 「サービス」→「JDBC」→「データソース」→oimJMSStoreDSに移動します。

  2. 「接続プール」タブをクリックします。

  3. データベースのホストとポートの変更に合わせて、URLと「プロパティ」フィールドの値を変更します。

• Oracle Identity Managerのメタデータ・ストア(MDS)構成に関連するデータソースを変更するには:

  1. 「サービス」→「JDBC」→「データソース」→mds-oimに移動します。

  2. 「接続プール」タブをクリックします。

  3. データベースのホストとポートの変更に合わせて、URLと「プロパティ」フィールドの値を変更します。

• OIMAuthenticationProvider構成を変更するには:

  1. WebLogic管理コンソールで、「セキュリティ・レルム」→myrealm→「プロバイダ」に移動します。

  2. OIMAuthenticationProviderをクリックします。

  3. 「プロバイダ固有」をクリックします。

  4. ホスト名とポートの変更に合わせて、DBUrlフィールドの値を変更します。

  
  

  注意: サービス指向アーキテクチャ(SOA)やOracle Web Services Manager (OWSM)で構成変更を行うと、SOAまたはOWSMに関連するデータソースにも同様の変更を行う必要があります。

  
  

  データソースの変更後、Oracle WebLogic管理サーバーを再起動し、Oracle Identity Managerの管理対象WebLogicサーバーを起動します。

• DirectDB構成を変更するには:

  1. 次のURLを使用してEnterprise Managerにログインします。

     http://ADMIN_SERVER/em

  2. 「Identity and Access」→「OIM」に移動します。

  3. 「OIM」を右クリックし、「アプリケーション定義のMBeans」の下の「システムMBeanブラウザ」に移動します。

  4. 「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DirectDBConfig」→「DirectDB」に移動します。

  5. ホストとポートの変更に合わせてURL属性に新しい値を入力し、変更を適用します。

  
  

  注意: Oracle Identity Managerの単一インスタンスのデプロイメントをOracle Real Application Clusters (Oracle RAC)に変更する場合、またはOracle RACを単一インスタンスのデプロイメントに変更する場合は、oimJMSStoreDS、 oimOperationsDBおよびmds-oimデータソースを変更してください。これらのデータソースをマルチデータソース構成に変更するための一般的な変更に加えて、OIMAuthenticationProviderとドメイン資格証明ストア構成をOracle RACのURLに合わせて変更してください。

  
  

12.1.2 Oracle Virtual Directoryのホストとポートの変更

LDAP同期が有効な場合、Oracle Identity Managerは、Oracle Virtual Directory (OVD)を介してディレクトリ・サーバーに接続します。この接続は、LDAP/LDAPSプロトコルを使用して行われます。

OVDのホストとポートを変更するには:

1. Oracle Identity Manager管理にログインします。

2. 「拡張」をクリックします。

3. 「構成」の下の「ITリソースの管理」をクリックします。

4. 「ITリソース・タイプ」リストから「ディレクトリ・サーバー」を選択し、「検索」をクリックします。

5. ディレクトリ・サーバーのITリソースを編集します。これを行うには、次の手順を実行します。

   1. 「SSLの使用」フィールドの値がFalseに設定されている場合は、サーバーURLフィールドを編集します。「SSLの使用」フィールドの値がTrueに設定されている場合は、サーバーSSLのURLフィールドを編集します。

   2. 「更新」をクリックします。

12.1.3 Oracle Identity Managerのホストとポートの変更

この項の内容は次のとおりです。

• Oracle Identity Manager構成のOimFrontEndURLの変更

• Oracle Identity Manager構成のbackOfficeURLの変更

注意: Oracle Identity Managerの追加ノードを追加または削除する場合は、この項で説明する手順を実行して、Oracle Identity Managerのホストとポートの変更を構成してください。

12.1.3.1 Oracle Identity Manager構成のOimFrontEndURLの変更

OimFrontEndURLは、Oracle Identity Manager UIにアクセスするために使用するURLです。これは、アプリケーション・サーバーでロード・バランサまたはWebサーバーが使用されている場合は、それに応じてロード・バランサURLまたはWebサーバーURL、そうでない場合は単一アプリケーション・サーバーURLです。これはOracle Identity Managerによって、通知メールやSOA呼び出しのコールバックURLに使用されます。

クラスタ環境でのOracle Identity ManagerデプロイメントのWebサーバー用ホスト名またはポートの変更、または非クラスタ環境でのOracle Identity ManagerデプロイメントのWebLogic管理対象サーバー用ホスト名またはポートの変更により、変更が必要になる場合があります。

Oracle Identity Manager構成のOimFronEndURLを変更するには:

1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。

   http://ADMIN_SERVER/em

2. 「Identity and Access」→「OIM」に移動します。

3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

5. OimFrontEndURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。たとえば次のような値を入力できます。

   http://myoim.oracle.com

   https://myoim.oracle.com

   http://myserver.oracle.com:7001

   
   

   注意: SPMLクライアントには、SPMLの起動とコールバック・レスポンスの送信用にOracle Identity Manager URLが格納されています。そのため、これに対応した変更が必要になります。また、Oracle Identity ManagerがOAM、OAAMやOracle Identity Navigator (OIN)と統合されている場合は、これに対応した変更が必要になる場合もあります。詳細は、Oracle Technology Network (OTN) WebサイトにあるOAM、OAAMおよびOINのドキュメントを参照してください。

   
   

12.1.3.2 Oracle Identity Manager構成のbackOfficeURLの変更

backOfficeURLの変更は、Oracle Identity Managerがフロントオフィス構成およびバックオフィス構成にデプロイされる場合のみ必要になります。この変更は、単純なクラスタ化デプロイメントまたは非クラスタ化デプロイメントには適用されません。このURLは、Oracle Identity Managerによって、フロントオフィス・コンポーネントからバックオフィス・コンポーネントにアクセスするために内部的に使用されます。バックオフィスにサーバーを追加する場合や、バックオフィスからサーバーを削除する場合は、バックオフィス構成およびフロントオフィス構成の実装中にこの属性の値を変更します。

backOfficeURL属性の値を変更するには:

1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。

   http://ADMIN_SERVER/em

2. 「Identity and Access」→「OIM」に移動します。

3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

5. BackOfficeURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。たとえば次のような値を入力できます。

   t3://mywls1.oracle.com:8001

   t3://mywls1.oracle.com:8001,mywls2.oracle.com:9001

   
   

   注意: Oracle Identity Managerの非クラスタ化およびクラスタ化デプロイメントでは、BackOfficeURL属性の値を空にする必要があります。

   
   

12.1.4 BI Publisherのホストとポートの変更

Oracle Identity Manager管理コンソールまたはユーザー・コンソールから単純なリンクをクリックすると、BI Publisherにレポート目的でアクセスできます。 このURLは、Oracle Identity Manager側の構成値に基づいたものです。BI Publisherでホストとポートが変更されると、Oracle Identity Managerで次の変更を行う必要があります。

1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。

   http://ADMIN_SERVER/em

2. 「Identity and Access」→「OIM」に移動します。

3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

5. BIPublisherURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。

12.1.5 SOAのホストとポートの変更

SOAのホストとポートを変更するには:

注意: 追加のSOAノードを追加または削除したときには、この手順を実行してSOAのホストとポートを変更してください。

1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。

   http://ADMIN_SERVER/em

2. 「Identity and Access」→「OIM」に移動します。

3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.SOAConfig」→「SOAConfig」に移動します。

5. Rmiurl属性とSoapurl属性の値を変更し、「適用」をクリックして変更を保存します。

   Rmiurl属性は、SOA管理対象サーバーにデプロイされたSOA EJBにアクセスするために使用されます。これは、アプリケーション・サーバーのURLです。Oracle Identity Managerのクラスタ化デプロイメントの場合は、すべてのSOA管理対象サーバーURLのカンマ区切りのリストです。この属性の値は、たとえば次のようになります。

   t3://mysoa1.oracle.com:8001

   t3s://mysoa1.oracle.com:8001,mysoa2.oracle.com:8002

   t3://mysoa1.oracle.com:8001,mysoa2.oracle.com:8002,mysoa3.oracle.com:8003

   Soapurl属性は、SOA管理対象サーバーにデプロイされたSOA Webサービスにアクセスするために使用されます。これは、Webサーバーおよびロード・バランサをフロントエンドに使用するSOAクラスタの場合は、WebサーバーURLおよびロード・バランサURLです。 単一SOAサーバーの場合は、アプリケーション・サーバーURLです。

   この属性の値は、たとえば次のようになります。

   http://myoimsoa.oracle.com

   http://mysoa.oracle.com:8001

12.1.6 OAMのホストとポートの変更

OAMのホストとポートを変更するには:

1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。

   http://ADMIN_SERVER/em

2. 「Identity and Access」→「OIM」に移動します。

3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.mds.lcm」→「サーバー:oim_server1」→「アプリケーション:OIM」→「MDSAppRuntime」に移動します。

5. 「操作」タブをクリックし、次に「exportMetaData」をクリックします。

6. 「toLocation」フィールドに、 /tmpまたは別のディレクトリを入力します。

7. 「createSubDir」の値として「false」を選択します。

8. 「要素」フィールドに/db/oim-config.xmlと入力します。

9. 「excludeAllCust」、「excludeBaseDocs」および「excludeExtendedMetadata」に「False」を選択します。

10. 「起動」をクリックします。これでoim-config.xmlファイルが「toLocation」フィールドで指定したディレクトリにエクスポートされます。

11. oim-config.xmlファイルのssoConfig要素を変更します。この要素には、ホスト、ポートおよびOAMに関連するその他の構成プロパティが含まれています。

12. Enterprise Managerコンソールで、「Identity and Access」→「OIM」に移動します。

13. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

14. 「アプリケーション定義のMBeans」で、「oracle.mds.lcm」→「サーバー:oim_server1」→「アプリケーション:OIM」→「MDSAppRuntime」に移動します。

15. 「操作」タブをクリックし、次に「importMetaData」をクリックします。

16. 「fromLocation」フィールドに、/tmpまたは別のディレクトリを入力します。

17. 「createSubDir」の値として「false」を選択します。

18. 「要素」フィールドに、/db/oim-config.xmlと入力します。

19. 「excludeAllCust」、「excludeBaseDocs」および「excludeExtendedMetadata」に「False」を選択します。

20. 「起動」をクリックします。これで、ファイルがOracle Identity Managerのメタデータ・リポジトリにインポートされます。

12.2 Oracle Identity Managerに関連するパスワード変更

Oracle Identity Manger構成では、構造上の要件やミドルウェア要件を満たすために、さまざまなパスワードが使用されます。この項では、デフォルトのパスワードと、依存製品または統合された製品でパスワードが変更された場合の、Oracle Identity MangerおよびOracle WebLogic構成のパスワードの変更方法について説明します。

この項の内容は次のとおりです。

• Oracle WebLogic管理者パスワードの変更

• Oracle Identity Manager管理者パスワードの変更

• Oracle Identity Managerデータベース・パスワードの変更

• 資格証明ストア・フレームワークのOracle Identity Managerパスワードの変更

• OVDパスワードの変更

12.2.1 Oracle WebLogic管理者パスワードの変更

Oracle WebLogic管理者パスワードを変更するには:

1. WebLogic管理コンソールにログインします。

2. 「セキュリティ・レルム」→「myrealm」→「ユーザーとグループ」→「weblogic」→「パスワード」に移動します。

3. 「新規パスワード」フィールドに、新しいパスワードを入力します。

4. 「新規パスワードの確認」フィールドに、新しいパスワードを再入力します。

5. 「適用」をクリックします。

12.2.2 Oracle Identity Manager管理者パスワードの変更

Oracle Identity Managerのインストール中に、インストーラによりOracle Identity Managerの管理者パスワードの入力を求められます。この管理者パスワードは、必要に応じてインストール完了後に変更できます。変更するには、Oracle Identity Managerセルフ・サービスにOracle Identity Manager管理者としてログインする必要があります。管理者パスワードの変更方法については、Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイドの認証ユーザーのセルフ・サービスに関する項を参照してください。

注意: OAMまたはOAAMがOracle Identity Managerに統合されている場合は、これらのアプリケーションで対応する変更を行う必要があります。詳細は、次のURLのOracle Technology Network (OTN) WebサイトにあるOAMおよびOAAMのドキュメントを参照してください。 http://www.oracle.com/technology/documentation/oim1014.html

12.2.3 Oracle Identity Managerデータベース・パスワードの変更

Oracle Identity Managerは、2つのデータベース・スキーマを使用して、Oracle Identity Managerの操作および構成データを格納します。Oracle Identity Manager MDSスキーマを使用して構成関係の情報を格納し、Oracle Identity Managerスキーマを使用してその他の情報を格納します。スキーマ・パスワードを変更すると、Oracle Identity Manager構成も変更する必要があります。

Oracle Identity Managerデータベース・パスワードを変更すると、次の変更を行う必要があります。

注意: データベース・パスワードを変更する前に、Oracle Identity Managerをホストする管理対象サーバーを停止してください。ただし、Oracle WebLogic管理サーバーは稼動したままでかまいません。

• データソースoimJMSStoreDS構成を変更するには:

  1. 「サービス」→「JDBC」→「データソース」→「oimJMSStoreDS」に移動します。

  2. 「接続プール」タブをクリックします。

  3. 「パスワード」および「パスワードの確認」フィールドに、Oracle Identity Managerデータベース・スキーマの新しいパスワードを入力します。

  4. 「保存」をクリックして変更を保存します。

• データソースoimOperationsDBの構成を変更するには:

  1. 「サービス」→「JDBC」→「データソース」→「oimJMSStoreDS」に移動します。

  2. 「接続プール」タブをクリックします。

  3. 「パスワード」および「パスワードの確認」フィールドに、Oracle Identity Managerデータベース・スキーマの新しいパスワードを入力します。

  4. 「保存」をクリックして変更を保存します。

• Oracle Identity Manager MDSに関連するデータソースの構成を変更するには:

  1. 「サービス」→「JDBC」→「データソース」→「mds-oim」に移動します。

  2. 「接続プール」タブをクリックします。

  3. 「パスワード」および「パスワードの確認」フィールドに、Oracle Identity Manager MDSデータベース・スキーマの新しいパスワードを入力します。

  4. 「保存」をクリックして変更を保存します。

  
  

  注意: Oracle Real Application Clusters (Oracle RAC)構成を使用したOracle Identity Managerのデプロイメントでは、各マルチデータソース構成の下にあるすべてのデータソースを変更する必要があります。 SOAまたはOWSMに関連するデータソースでも、必要に応じて同様の変更を行ってください。

  
  

• OIMAuthenticationProviderの構成を変更するには:

  1. WebLogic管理コンソールで、「セキュリティ・レルム」→「myrealm」→「プロバイダ」に移動します。

  2. 「OIMAuthenticationProvider」をクリックします。

  3. 「プロバイダ固有」をクリックします。

  4. 「DBPassword」フィールドに、Oracle Identity Managerデータベース・スキーマの新しいパスワードを入力します。

  5. 「保存」をクリックして変更を保存します。

• ドメインの資格証明ストアの構成を変更するには:

  1. 次のURLを使用してEnterprise Managerにログインします。

     http://ADMIN_SERVER/em

  2. 「WebLogicドメイン」→DOMAIN_NAMEに移動します。

  3. 「OIM」を右クリックし、「セキュリティ」→「資格証明」→「OIM」に移動します。

  4. 「OIMSchemaPassword」を選択し、「編集」をクリックします。

  5. 「パスワード」フィールドに新しいパスワードを入力し、「OK」をクリックします。

Oracle Identity Managerデータベース・パスワードを変更したら、WebLogic管理サーバーを再起動します。またOracle Identity managerが管理するWebLogicサーバーも同様に起動します。

12.2.4 資格証明ストア・フレームワークのOracle Identity Managerパスワードの変更

インストール・プロセスでは、Oracle Identity Managerインストーラによって複数のパスワードが格納されます。資格証明ストア・フレームワーク(CSF)にはさまざまな値がキーおよび値として格納されています。表12-1にキーとその対応する値を示します。

表12-1 CSFキー

キー	説明
DataBaseKey	データベースの暗号化に使用されるキーのパスワード。Oracle Identity Managerインストーラによって生成されるデフォルトのパスワードは、xellerateです。
.xldatabasekey	データベース暗号化キーを格納するキーストアのパスワード。パスワードは、インストーラでOIMの「キーストア・パスワード」フィールドに入力されたユーザー入力値です。
xell	xellキーのパスワードで、Oracle Identity Manager コンポーネント間の通信を保護するために使用されます。Oracle Identity Managerインストーラによって生成されるデフォルトのパスワードは、xellerateです。
default_keystore.jks	JKSキーストアdefault_keystore.jks のパスワードで、DOMAIN_HOME/config/fmwconfig/ディレクトリにあります。
SOAAdminPassword	パスワードはインストーラで「SOA管理者パスワード」フィールドに入力されたユーザー入力値です。
OIMSchemaPassword	Oracle Identity Managerデータベース・スキーマに接続するためのパスワードです。パスワードはインストーラで「OIMデータベース・スキーマのパスワード」フィールドに入力されたユーザー入力値です。
JMSKey	Oracle Identity Managerインストーラによって生成されるデフォルトのパスワードは、xellerateです。

CSFキーの値を変更するには:

1. Enterprise Managerにログインします。

2. ドメインを右クリックします。

3. 「セキュリティ」→「資格証明」に移動します。

4. 「OIM」を展開します。Oracle Identity Managerのキーと値のすべてのペアのリストが表示されます。この値を編集して変更できます。

12.2.5 OVDパスワードの変更

OVDパスワードを変更するには:

1. Oracle Identity Manager管理にログインします。

2. 「拡張」をクリックします。

3. 「構成」の下の「ITリソースの管理」をクリックします。

4. 「ITリソース・タイプ」リストから「ディレクトリ・サーバー」を選択します。

5. 「検索」をクリックします。

6. ディレクトリ・サーバーのITリソースを編集します。これを行うには、「管理者パスワード」フィールドに新しいOVDパスワードを入力し、「更新」をクリックします。

12.3 Oracle Identity ManagerのSSLの構成

この項では、Oracle Identity Manager、およびOracle Identity Managerが相互作用して安全な通信を確立するコンポーネントのSSL構成の設定手順について説明します。内容は次のとおりです。

• Oracle Identity ManagerおよびSOAサーバーのSSLの有効化

• Oracle Identity Manager DBのSSLの有効化

• LDAP同期のSSLの有効化

12.3.1 Oracle Identity ManagerおよびSOAサーバーのSSLの有効化

SSLを有効化するには、Oracle Identity ManagerおよびSOAサーバーで次の構成を実行する必要があります。

• Oracle Identity ManagerおよびSOA WebLogic ServerのSSLの有効化

• OimFrontEndURLをSSLポートを使用するように変更

• backOfficeURLをSSLポートを使用するように変更

• SOAサーバーURLをSSLポートを使用するように変更

• Design ConsoleのSSLの構成

• Oracle Identity Manager ユーティリティのSSLの構成

• MDSユーティリティのSSLの構成

• SPML/コールバック・ドメインのSSLの構成

12.3.1.1 Oracle Identity ManagerおよびSOA WebLogic ServerのSSLの有効化

Oracle Identity ManagerおよびSOAサーバーのSSLを有効にするには:

1. WebLogic Server管理コンソールにログインし、「サーバー」→「OIM_SERVER1」→「一般」に移動します。「一般」セクションで、SSLポートに任意の値を設定して有効化できます。

2. サーバーはリスニングを開始し、HTTPSプロトコルを使用してURLにアクセスできるようになります。

3. Oracle Identity ManagerはSSLが有効化されたSOAサーバーと相互作用する必要があるため、管理サーバーおよびSOAサーバーで同じ手順を実行します。

Oracle Identity ManagerとSOAサーバーでSSLを有効にした後、これらの間での安全な通信を確立するために、次の変更を行います。

• OimFrontEndURLをSSLポートを使用するように変更

• backOfficeURLをSSLポートを使用するように変更

• SOAサーバーURLをSSLポートを使用するように変更

12.3.1.2 OimFrontEndURLをSSLポートを使用するように変更

OimFrontEndURLは、oimアプリケーションのUIへのアクセスに使用されます。これはロード・バランサURLかWebサーバーURL (アプリケーション・サーバーでロード・バランサまたはWebサーバーが使用されている場合)、または単一アプリケーション・サーバーURLになります。これは一般的には、Oracle Identity Managerによって、通知メールやSOAからOracle Identity Managerへのコール・バックWebサービスの送信に使用されます。

OimFrontEndURLをSSLポートを使用するように変更するには:

1. WebLogic管理サーバーおよびOracle Identity Manager管理対象サーバー(クラスタの場合は少なくとも1つのサーバー)が稼動しているときに、Enterprise Manager (EM)にログインします。

   例:

   http://<AdminServer>/em

2. 「Identity and Access」→「ORACLE Identity Manager」に移動します。

3. 右クリックして「システムMBeanブラウザ」を選択します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

5. OimFrontEndURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。

   例:

   http://myoim.oracle.com

   https://myoim.oracle.com

   http://myserver.oracle.com:7001

   
   

   注意: Fusion AppsやSPMLクライアントには、SPMLの起動やコールバック・レスポンスの送信のために、Oracle Identity Manager URLが格納されています。そのため、これに対応する変更が必要になります。また、Oracle Identity ManagerにOAM/OAAM/OINが統合されている場合は、これに対応する変更も必要になります。他のコンポーネントとの統合の詳細は、第11章「他のOracleコンポーネントとの統合」を参照してください。

   
   

12.3.1.3 backOfficeURLをSSLポートを使用するように変更

backOfficeURLを変更する必要があるのは、Oracle Identity Managerがフロントオフィス/バックオフィス構成でデプロイされている場合のみです。単純なクラスタまたは非クラスタ・インストールの場合は、次の内容は適用されません。このURLは、フロントオフィス・コンポーネントからバックオフィス・コンポーネントにアクセスするために、Oracle Identity Managerで内部的に使用されます。バックオフィスにサービスを追加したり、バックオフィスからサービスを削除するには、バックオフィス/フロントオフィス構成の実装中にこの値を内部的に変更する必要があります。

backOfficeURLをSSLポートを使用するように変更するには:

1. WebLogic管理サーバーおよびOracle Identity Manager管理対象サーバー(クラスタの場合は少なくとも1つのサーバー)が稼動しているときに、Enterprise Manager (EM)にログインします。

   例:

   http://<AdminServer>/em

2. 「Identity and Access」→「Oracle Identity Manager」に移動します。

3. 右クリックして「システムMBeanブラウザ」を選択します。

4. 「アプリケーション定義のMBean」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→構成→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

5. backOfficeURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。

   たとえば、次のように入力します。

   t3://mywls1.oracle.com:8001

   t3://mywls1.oracle.com:8001,mywls2.oracle.com:9001

   
   

   注意: 単純なクラスタおよび非クラスタ・インストールの場合は、値は空にする必要があります。

   
   

12.3.1.4 SOAサーバーURLをSSLポートを使用するように変更

SOAサーバーURLをSSLポートを使用するように変更するには:

1. 管理サーバーおよびOracle Identity Manager管理対象サーバーが稼動しているときに、Enterprise Manager (EM)にログインします。

   例:

   http://<AdminServer>/em

2. 「Identity and Access」→「Oracle Identity Manager」に移動します。

3. 右クリックして「システムMBeanブラウザ」を選択します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→構成→「XMLConfig.SOAConfig」→「SOAConfig」に移動します。

5. Rmiurl属性とSoapurl属性の値を変更し、「適用」をクリックして変更を保存します。

   
   

   注意: Rmiurlは、SOA管理対象サーバーにデプロイされたSOA EJBにアクセスするために使用されます。

   
   

   これはアプリケーション・サーバーのURLです。(クラスタ・インストールの場合は、すべてのSOA管理対象サーバーURLのカンマ区切りのリストです)

   例:

   t3://mysoa1.oracle.com:8001

   t3s://mysoa1.oracle.com:8001,mysoa2.oracle.com:8002

   t3://mysoa1.oracle.com:8001,mysoa2.oracle.com:8002,mysoa3.com:8003

   
   

   注意: Soapurlは、SOA管理対象サーバーにデプロイされたSOA Webサービスにアクセスするために使用されます。これは、Webサーバーまたはロード・バランサをフロントエンドとするSOAクラスタでは、WebサーバーURLまたはロード・バランサURLです。単一SOAサーバーでは、アプリケーション・サーバーURLです。

   
   

   例:

   http://myoimsoa.oracle.com

   https://mysoa.oracle.com: 8001

12.3.1.5 Design ConsoleのSSLの構成

Oracle Identity ManagerとDesign console間に安全な接続を確立するようにDesign consoleを変更するには:

1. SSLをサポートするために必要なWebLogic Server JARを追加します。

2. webserviceclient+ssl.jarを次のコピー元からコピーします:

   $WL_HOME/server/lib

   次へ

   $OIM_HOME/designconsole/ext

3. Design consoleでサーバー信頼ストアを使用します。これにアクセスするには、次のようにします。

   1. WebLogic Server管理コンソールで、「環境」→「サーバー」に移動します。

   2. <OIM_SERVER_NAME>をクリックして、Oracle Identity Mangerサーバーの詳細を表示します。

   3. 「キーストア」タブをクリックし、「信頼」セクションに表示される信頼キーストアの場所を書き留めておきます。

Design ConsoleがOracle Identity Managerホストにデプロイされている場合

TRUSTSTORE_LOCATION環境変数を上記で書き留めた信頼キーストアの場所に設定します。

例:

setenv TRUSTSTORELOCATION/scratch/user1/dogwoodsh100520/beahome/wlserver_10.3/server/lib/DemoTrust.jks

Design ConsoleがOracle Identity Managerとは別のコンピュータにデプロイされている場合

信頼キーストアをDesign consoleが表示されているボックスにコピーし、TRUSTSTORE_LOCATION環境変数を信頼キーストアをコピーしたローカル・ボックスの場所に設定します。

12.3.1.6 Oracle Identity ManagerユーティリティのSSLの構成

Oracle Identity Managerクライアント・ユーティリティには、PurgeCache、GenerateSnapshot、UploadJars、およびUploadResourcesがあります。

TRUSTSTORE_LOCATION環境変数を信頼キーストアの場所に設定します。

注意: TRUSTSTORE_LOCATION環境変数を信頼キーストアの場所に設定する方法の詳細は、「Design ConsoleのSSLの構成」を参照してください。

例:

setenv TRUSTSTORELOCATION/scratch/user1/dogwoodsh100520/beahome/wlserver_10.3/server/lib/DemoTrust.jks

12.3.1.7 MDSユーティリティのSSLの構成

WLSTスクリプトを含むすべてのOracle Identity Manager MDSユーティリティでは、スクリプトを実行しているシェルで次の環境変数を設定する必要があります。

WLST_PROPERTIES=-Dweblogic.security.SSL.ignoreHostnameVerification=true-Dweblogic.security.TrustKeyStore=DemoTrust

注意: このプロパティを設定すると、WLSTは正常に動作するようになります。情報/注意メッセージが表示されますが、これは無視してかまいません。

12.3.1.8 SPML/コールバック・ドメインのSSLの構成

SPML/コールバック・ドメインのSSLを構成するには:

1. Oracle Identity ManagerのポートがSSL有効で、「ホスト名の検証」が「false」に設定されていることを確認します。

2. コールバック・ドメインを含むFusion ApplicationsでSSLを有効化します。

3. WebLogicのデフォルトの信頼ストアを使用している場合は、SSLモードの有効化以外の変更は行わないでください。

4. デフォルト以外の証明書がある場合は、信頼できる証明書を交換して双方向の信頼を確立する必要があります。

5. スタンドアロン・クライアントを使用して、テスト目的でSPMLリクエストを送信する場合は、次のようにする必要があります。

   1. SSL対応のOIMポートにリクエストを送信するには、SPMLクライアントのコマンドに次のシステム・プロパティを追加します。

      • Djavax.net.ssl.trustStore=D:\Oracle\Middleware1\wlserver_10.3\server\lib\DemoTrust.jks

      • -Djava.protocol.handler.pkgs=weblogic.net

      • -Dweblogic.security.TrustKeyStore=DemoTrust

   2. webserviceclient+ssl.jarをクライアント・クラスパスに追加します。

12.3.2 Oracle Identity Manager DBのSSLの有効化

Oracle Identity Manager DBのSSLを有効化するには、次の構成を実行する必要があります。

• サーバー認証SSLモードでのDBの設定

• キーストアと証明書の作成

• Oracle Identity Managerの更新

• WebLogic Serverの更新

12.3.2.1 サーバー認証SSLモードでのDBの設定

サーバー認証SSLモードでDBを設定するには:

1. DBサーバーとリスナーを停止します。

2. listener.oraファイルを次のように構成します。

   1. 次のパスに移動します。

      $DB_ORACLE_HOME/network/adminディレクトリ

      例:

      /scratch/user1/production-database/product/11.1.0/db_1/network/admin

   2. listener.oraファイルを編集してSSLリスニング・ポートとサーバー・ウォレット・ロケーションを含めます。

      次にlistener.oraファイルのサンプルを示します。

      # listener.ora Network Configuration File: /scratch/rbijja/production-database/product/11.1.0/db_1/network/admin/listener.ora
      # Generated by Oracle configuration tools.
       
      SSL_CLIENT_AUTHENTICATION = FALSE
       
      WALLET_LOCATION =
        (SOURCE =
          (METHOD = FILE)
          (METHOD_DATA =
            (DIRECTORY = /scratch/rbijja/production-database/product/11.1.0/db_1/bin/server_keystore_ssl.p12)
          )
        )
       
      LISTENER =
        (DESCRIPTION_LIST =
          (DESCRIPTION =
            (ADDRESS = (PROTOCOL = TCPS)(HOST = dadvmh0175.us.oracle.com)(PORT = 2484))
          )
          (DESCRIPTION =
            (ADDRESS = (PROTOCOL = TCP)(HOST = dadvmh0175.us.oracle.com)(PORT = 1521))
          )
        )
       
      TRACE_LEVEL_LISTENER = SUPPORT
      

3. sqlnet.oraファイルを次のように構成します。

   1. 次のパスに移動します。

      $DB_ORACLE_HOME/network/adminディレクトリ

      例:

      /scratch/user1/production-database/product/11.1.0/db_1/network/admin

   2. sqlnet.oraファイルを編集して次の内容を含めます。

      • TCPS認証サービス

      • SSL_VERSION

      • サーバー・ウォレット・ロケーション

      • SSL_CLIENT_AUTHENTICATIONタイプ(trueまたはfalse)

      • 通信で許可されるSSL_CIPHER_SUITES(オプション)

      次にsqlnet.oraファイルのサンプルを示します。

      # sqlnet.ora Network Configuration File: /scratch/rbijja/production-database/product/11.1.0/db_1/network/admin/sqlnet.ora
      # Generated by Oracle configuration tools.
       
      SQLNET.AUTHENTICATION_SERVICES= (BEQ, TCPS)
       
      SSL_VERSION = 3.0
       
      SSL_CLIENT_AUTHENTICATION = FALSE
       
      WALLET_LOCATION =
        (SOURCE =
          (METHOD = FILE)
          (METHOD_DATA =
            (DIRECTORY = /scratch/rbijja/production-database/product/11.1.0/db_1/bin/server_keystore_ssl.p12)
          )
        )
      

4. tnsnames.oraファイルを次のように構成します。

   1. 次のパスに移動します。

      $DB_ORACLE_HOME/network/adminディレクトリ

      例:

      /scratch/user1/production-database/product/11.1.0/db_1/network/admin

   2. tnsnames.oraファイルを編集してサービスの説明リストにSSLリスニング・ポートを含めます。

      次にtnsnames.oraファイルのサンプルを示します。

      # tnsnames.ora Network Configuration File: /scratch/user1/production-database/product/11.1.0/db_1/network/admin/tnsnames.ora
      # Generated by Oracle configuration tools.
      
      PRODDB =
       (DESCRIPTION_LIST =
        (DESCRIPTION =
          (ADDRESS = (PROTOCOL = TCPS)(HOST = dadvmh0175.us.oracle.com)(PORT = 2484))
          (CONNECT_DATA =
            (SERVER = DEDICATED)
            (SERVICE_NAME = proddb)
          )
        )
        (DESCRIPTION =
          (ADDRESS = (PROTOCOL = TCP)(HOST = dadvmh0175.us.oracle.com)(PORT = 1521))
          (CONNECT_DATA =
            (SERVER = DEDICATED)
            (SERVICE_NAME = proddb)
          )
        )
       )
      

5. DBサーバーのユーティリティを起動および停止します。

6. DBサーバーを起動します。

12.3.2.2 キーストアと証明書の作成

orapkiユーティリティを使用して、サーバー側とクライアント側のキーストアを作成できます。このユーティリティは、Oracle DBインストールの一部として出荷されます。

キーストアは、JKSやPKCS12などの任意の形式にすることができます。キーストアの形式は、プロバイダの実装によって異なります。たとえば、JKSはSun Oracleが提供する実装で、PKCS12はOraclePKIProviderが提供する実装です。

Oracle Identity Managerでは、DBサーバーにJKSクライアント・キーストアのみを使用します。これは、PKCS12などのJKS以外のキーストア形式を使用するには、リリースが差し迫っているときにインストーラ側に大きな変更を加える必要があったためです。ただし、Oracle Identity Managerにはdefault-KeyStore.jksという名前のJKS形式のキーストアがあらかじめ含まれています。

orapkiユーティリティを使用して、次のキーストアを作成できます。

• ルートCAウォレットの作成

• DBサーバー側ウォレットの作成

• クライアント側ウォレットの作成

  
  

  注意: ウォレットとキーストアは置き換え可能で、どちらも同じ意味です。これらは公開鍵および秘密鍵のリポジトリと自己署名証明書および信頼できる証明書を参照します。

  
  

ルートCAウォレットの作成

ルート認証局(CA)ウォレットを作成するには:

1. 次のパスに移動します。

   $DB_ORACLE_HOME/binディレクトリ

2. 次のコマンドを使用してウォレットを作成します。

   ./orapki wallet create -wallet CA_keystore.p12 -pwd welcome1
   

3. 次のコマンドを使用して、自己署名証明書をCAウォレットに追加します。

   ./orapki wallet add -wallet CA_keystore.p12 -dn 'CN=root_test,C=US' -keysize 2048 -self_signed -validity 3650 -pwd welcome1
   

4. 次のコマンドを使用してウォレットを表示します。

   ./orapki wallet display -wallet CA_keystore.p12 -pwd welcome1
   

5. 次のコマンドを使用してCAウォレットから自己署名証明書をエクスポートします。

   ./orapki wallet export -wallet CA_keystore.p12 -dn 'CN=root_test,C=US' -cert self_signed_CA.cert -pwd welcome1
   

DBサーバー側ウォレットの作成

DBサーバー側ウォレットを作成するには:

1. 次のコマンドを使用してサーバー・ウォレットを作成します。

   ./orapki wallet create -wallet server_keystore_ssl.p12 -auto_login -pwd welcome1
   

2. 次のコマンドを使用して、証明書リクエストをサーバー・ウォレットに追加します。

   ./orapki wallet add -wallet server_keystore_ssl.p12/ -dn 'CN=Customer,OU=Customer,O=Customer,L=City,ST=NY,C=US' -keysize 2048 -pwd welcome1
   

3. 次のコマンドを使用して、証明書リクエストをファイルにエクスポートします。これは後でルートCA署名を使用して署名を受けるために使用されます。

   ./orapki wallet export -wallet server_keystore_ssl.p12/ -dn 'CN=Customer,OU=Customer,O=Customer,L=City,ST=NY,C=US' -request server_creq.csr -pwd welcome1
   

4. 次のコマンドを使用して、サーバー・ウォレットの証明書リクエストにCA署名を使用して署名を受けます。

   ./orapki cert create -wallet CA_keystore.p12 -request server_creq.csr -cert server_creq_signed.cert -validity 3650 -pwd welcome1
   

5. 次のコマンドを使用して、署名された証明書を表示します。

   /orapki cert display -cert server_creq_signed.cert -complete
   

6. 次のコマンドを使用して、信頼された証明書をサーバー・ウォレットにインポートします。

   ./orapki wallet add -wallet server_keystore_ssl.p12 -trusted_cert -cert self_signed_CA.cert -pwd welcome1
   

7. 次のコマンドを使用して、この新規作成された署名証明書(ユーザー証明書)をサーバー・ウォレットにインポートします。

   ./orapki wallet add -wallet server_keystore_ssl.p12 -user_cert -cert server_creq_signed.cert -pwd welcome1
   

クライアント側ウォレットの作成

クライアント側(Oracle Identity Managerサーバー)ウォレットを作成するには:

1. 次のパスに移入されているdefault-keystore.jksキーストアを使用して、クライアント・キーストアを作成します。

   DOMAIN_HOME/config/fmwconfig

   
   

   注意: Oracle PKCS12ウォレットをクライアント・キーストアとして使用することもできます。

   
   

2. 次のコマンドを使用して、サーバー側コマンドを使用してすでにエクスポートされている自己署名付きの信頼されたCA証明書を、クライアント・キーストア(default-keystore.jks)にインポートします。

   keytool -import -trustcacerts -alias dbtrusted -noprompt -keystore default-keystore.jks -file self_signed_CA.cert -storepass xellerate
   

12.3.2.3 Oracle Identity Managerの更新

Oracle Identity ManagerおよびOracle Identity Manager DBでSSLモードを有効にして安全な通信を確保するには、Oracle Identity Managerで次の手順を実行する必要があります。

1. 信頼された証明書をOracle Identity Managerのdefault-keystore.jksキーストアにインポートします。

2. Enterprise Managerにログインします。

3. 「Identity and Access」→「OIM」に移動します。

4. 右クリックして「システムMBeanブラウザ」に移動します。

5. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→構成→「XMLConfig.DirectDBConfig」→「DirectDB」に移動します。

6. Sslenabled属性とUrl属性の値を変更して、「適用」をクリックします。DBでSSLモードが有効な場合は、Url属性にTCPS有効化とSSLポートを含める必要があります。

   例:

   url="jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=my.domain.com)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=proddb)))"

7. Oracle Identity Managerサーバーを再起動します。

12.3.2.4 WebLogic Serverの更新

Oracle Identity Manager DBのSSLを有効にした後で、DB SSLポートを使用してOracle Identity Managerの次のデータソースと認証者を変更する必要があります。

• データソースの構成

• データソースoimJMSStoreDSの構成の更新

• データソースoimOperationsDBの構成の更新

• Oracle Identity Manager MDSに関連するデータソースの構成の更新

• Oracle Identity Manager認証者の更新

データソースの構成

データソースを構成するには:

1. Enterprise Managerにログインします。

2. ホストおよびポートの変更を行います。

   
   

   注意: データベースのホストまたはポートの変更を行う前に、Oracle Identity Managerアプリケーションをホストする管理対象サーバーを停止する必要があります。ただし、WebLogic管理サーバーは稼動させたままでかまいません。

   
   

データソースoimJMSStoreDSの構成の更新

データソースoimJMSStoreDSの構成を更新するには:

1. WebLogic Serverにログインします。

2. 「サービス」→「JDBC」→「データソース」→「oimJMSStoreDS」に移動します。

3. 「接続プール」タブをクリックして、DBのホストおよびポートの変更に合わせてURLの値とプロパティを変更します。

データソースoimOperationsDBの構成の更新

データソースoimOperationsDBの構成を更新するには:

1. Enterprise Managerにログインします。

2. 「サービス」、「JDBC」→「データソース」→「oimJMSStoreDS」に移動します。

3. 「接続プール」タブをクリックして、DBのホストおよびポートの変更に合わせてURLの値とプロパティを変更します。

Oracle Identity Manager MDSに関連するデータソースの構成の更新

Oracle Identity Manager MDSに関連するデータソースの構成を更新するには:

1. Enterprise Managerにログインします。

2. 「サービス」→「JDBC」→「データソース」→「mds-oim」に移動します。

3. 「接続プール」タブをクリックして、DBのホストおよびポートの変更に合わせてURLの値とプロパティを変更します。

   
   

   注意: 必要に応じて、SOA/OWSMに関連するデータソースにも同様の更新を行ってください。

   
   

Oracle Identity Manager認証者の更新

WebLogicサーバーの既存のOracle Identity Manager認証者は、非SSL DB詳細に対して構成されており、Oracle Identity Manager DBとの通信にデータソースを使用しません。認証者でSSL DB詳細を使用するには、次の手順を実行する必要があります。

1. データソースがSSLに構成されていることを確認します。

2. WebLogic管理コンソールで、「セキュリティ・レルム」→「myrealm」→ 「プロバイダ」に移動します。

3. OIMAuthenticationProviderを削除します。

4. OIMAuthenticatorタイプの認証プロバイダを作成し、制御フラグをSUFFICIENTに設定します。

5. OIMSignatureAuthenticatorタイプの認証プロバイダを作成し、制御フラグをSUFFICIENTに設定します。

6. 認証者を次の順に並べ替えます。

   1. DefaultAuthenticator

   2. OIMAuthenticator

   3. OIMSignatureAuthenticator

   4. その他のプロバイダ(あれば)

7. すべてのサーバーを再起動します。

12.3.3 LDAP同期のSSLの有効化

Oracle Identity ManagerでSSL有効化されたOracle Virtual Directory (OVD)を使用できるようにするには、次の構成を実行する必要があります。

• OVD-OIDでのSSLの有効化

• Oracle Identity ManagerのOVDホスト/ポートの更新

12.3.3.1 OVD-OIDでのSSLの有効化

OVD-OIDでSSLを有効化するには:

1. OVD EMコンソールにログインします。

2. 「Identity and Access」を展開し、「ovd1」→「管理」→「リスナー」に移動します。

3. 「作成」をクリックし、必要なフィールドすべてに入力します。

   
   

   注意: 「リスナー・タイプ」にはLDAPを選択してください。

   
   

4. 「OK」をクリックします。

5. 新規作成されたLDAPリスナーを選択し、「編集」をクリックします。

6. 「リスナーの編集 - OIM SSL ENDPOINT」ページで、新規作成されたLDAPリスナーを編集します。

7. 「OK」をクリックします。「SSL構成」ページが開きます。

8. 「SSLの有効化」チェックボックスを選択します。

9. 「拡張SSL設定」セクションで、SSL認証に対して、「認証なし」を選択します。

10. 「OK」をクリックします。

11. OVDサーバーを停止してから起動し、変更を有効にします。

    
    

    注意: 再起動オプションは使用しないでください。

    
    

12.3.3.2 Oracle Identity ManagerのOVDホスト/ポートの更新

Oracle Identity ManagerでLDAPSyncが有効な場合、Oracle Identity ManagerはOVDを介してディレクトリ・サーバーに接続します。この接続にはLDAP/LDAPSプロトコルを使用します。

OVDのホストおよびポートを変更するには:

1. Oracle Identity Manager管理およびユーザー・コンソールにログインします。

2. 「詳細」に移動し、「ITリソースの管理」をクリックします。

3. 「ITリソース・タイプとして「ディレクトリ・サーバー」を選択し、「検索」をクリックします。

4. ITリソース・ディレクトリ・サーバーで、サーバーURLを編集してSSLプロトコルとSSLポート詳細を含めます。

5. 「SSLの使用」がtrueに設定されていることを確認し、「更新」をクリックします。