ヘッダーをスキップ
Oracle® Fusion Middleware Oracle Business Intelligence Enterprise Editionセキュリティ・ガイド
11g リリース1(11.1.1)
B63030-01
  目次へ移動
目次		 索引へ移動
索引
前
前 		 次
次		  

A 代替セキュリティ管理オプション

この付録は、アップグレードされたシステムとの下位互換性を維持するために含まれている代替セキュリティ管理オプションについて説明するものであり、ベスト・プラクティスではありません。この付録には、次の項が含まれています。

A.1 代替認証オプション

下位互換性のため、Oracle Business Intelligenceの複数のレガシー認証オプションが引き続きサポートされます。システムをアップグレードするためのベスト・プラクティスは、デフォルトのセキュリティ・モデルによって提供されるアイデンティティ・ストアおよび認証プロバイダを使用して、認証の実装を開始することです。組み込まれたディレクトリ・サーバーはインストールまたはアップグレード時にデフォルトのアイデンティティ・ストアおよび認証プロバイダとして構成され、すぐに使用できるようになります。デフォルトのセキュリティ・モデルの詳細は、第1章「Oracle Business Intelligenceのセキュリティの紹介」および付録B「デフォルト・セキュリティ構成の理解」を参照してください。

認証とは、ログイン中に提供されたユーザー名およびパスワードによって、システムへのログインに必要な資格証明をユーザーが持っていることを保証するために確認するプロセスのことです。Oracle BIサーバー は、受け取った接続要求をそれぞれ認証します。このリリースでは、下位互換性を維持するためにBIサーバーによって次のレガシー認証方式がサポートされています。

この項の項目は次のとおりです。

A.1.1 LDAP認証の設定

ユーザー資格証明を認証のために外部LDAPサーバーへ渡すようにBIサーバーを設定できます。

レガシーのLDAP認証方式では、Oracle BI管理ツールで変数マネージャを使用して定義するOracle Business Intelligenceセッション変数を使用します。セッション変数の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

LDAP認証を設定するには:

  1. 次のようにLDAPサーバーを作成します。

    1. 管理ツールで「管理」を選択してから「アイデンティティ」を選択し、Identity Managerを起動します。

    2. Identity Managerの左ペインで「ディレクトリ・サーバー」を選択します。

    3. Identity Managerの右ペインで右クリックし、新規LDAPサーバーを選択します。「LDAPサーバー」ダイアログが表示されます。

    4. フィールドに値を入力してLDAPサーバーを作成します。

  2. LDAP初期化ブロックを作成し、LDAPサーバーに関連付けます。詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』の初期化ブロックの作成に関する項を参照してください。

  3. USERという名前のシステム変数を定義し、USER変数をLDAP属性に割り当てます(uid、sAMAccountName、cnなど)。

    ユーザーがログオンしてセッションを開始すると、セッション変数に値が入力されます。システム・セッション変数と呼ばれる特定のセッション変数には特別な用途があります。システム・セッション変数USERは認証とともに使用されます。USERシステム・セッション変数の詳細は、「LDAP認証でのUSERセッション変数の定義」を参照してください。システム・セッション変数の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のシステム・セッション変数に関する項を参照してください。

  4. 該当する場合は、リポジトリ・ファイルからユーザーを削除します。

  5. USERシステム変数をLDAP初期化ブロックに関連付けます。詳細は、「LDAP認証でのUSERセッション変数の定義」、および『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』の初期化ブロックへの変数の関連付けに関する項を参照してください。


注意:

セキュアLDAPを使用するときは、キー・ファイル名およびパスワードを設定し、管理ツールでLDAPパラメータの設定をテストして、再びキー・ファイル名およびパスワードを変更した場合には、テストの前に管理ツールを再起動する必要があります。

A.1.1.1 LDAPサーバーの設定

認証方式としてADSIを使用するOracle Business Intelligenceのインスタンスについては、ADインスタンスを設定するときに、次のオプションを使用する必要があります。

  • ログオン先ですべてのコンピュータを選択します。または一部のコンピュータを一覧表示する場合は、ログオン・ワークステーションとしてADサーバーを含めます。

  • 「ユーザーは次回ログオン時にパスワードの変更が必要」が選択されていないことを確認します。

管理ツールでは、LDAPサーバー・セクションでBIND DNに使用されるCNユーザーは、ldap_bindとldap_searchの両方の認可レベルが必要です。


注意:

BIサーバーは、LDAP認証にクリアテキストのパスワードを使用します。LDAPサーバーがこれを許可するように設定されていることを確認してください。

リポジトリのLDAP認証を設定するには:

  1. オフライン・モードかオンライン・モードで、管理ツールでリポジトリを開きます。

  2. Identity Managerで「アクション」を選択してから「新規作成」を選択し、「LDAPサーバー」を選択します。

  3. 「LDAPサーバー」ダイアログの「一般」タブで、必要なフィールドに値を入力します。次に示すオプションと説明のリストに、LDAPサーバーを設定するのに役立つ情報が記載されています。

    • 「ホスト名」。LDAPサーバーの名前。

    • 「ポート番号」。デフォルトのLDAPポートは389です。

    • 「LDAPバージョン」。LDAP 2またはLDAP 3(バージョン)。デフォルトはLDAP 3です。

    • 「ベースDN」。ベース識別名(DN)によって、認証検索の始点が識別されます。たとえば、ディレクトリのo=Oracle.comサブツリーの下にあるエントリをすべて検索する場合、o=Oracle.comがベースDNです。

    • 「バインドDN」と「バインド・パスワード」。LDAPサーバーにバインドするために必要なオプションのDNおよびそれに関連付けられたユーザー・パスワード。

      これらの2つのエントリが空白の場合、匿名バインドが想定されます。セキュリティ上の理由から、すべてのLDAPサーバーで匿名バインドが許可されるわけではありません。

      これらのフィールドは、LDAP V3ではオプションですが、LDAP V2では匿名バインドはサポートされていないため、LDAP V2では必須です。

      「ADSI」オプションを選択すると、これらのフィールドが必須になります。これらのフィールドを空白にしておくと、パスワードを空白にしておくかどうかを確認する警告メッセージが表示されます。「はい」をクリックすると、匿名バインドが使用されます。

    • 「接続のテスト」。LDAPサーバーへの接続をテストしてパラメータを検証するには、このボタンを使用します。

  4. 「詳細設定」タブをクリックし、必要な情報を入力します。BIサーバーは、認証キャッシュをメモリーに維持することで、多数のユーザーを認証するためにLDAPを使用する場合にパフォーマンスを向上します。認証キャッシュを無効にすると、数百件のセッションを認証する場合にパフォーマンスが低下することがあります。

    次に示すフィールドと説明のリストに、LDAPサーバーを設定するのに役立つ追加情報が記載されています。

    • 「接続タイムアウト」。BIサーバーがユーザー認証のためにLDAPサーバーに接続しようとしたときに、指定した間隔が経過した後に接続がタイムアウトします。

    • 「ドメイン識別子」(オプション)。一般的に、識別子は、LDAPオブジェクトが担当するドメインを一意に識別する1語です。複数のLDAPオブジェクトを使用するときには、これは特に役に立ちます。異なる2人のユーザーが同じユーザーIDを持っていて、それぞれが異なるLDAPサーバーにいる場合、それらを区別するためにドメイン識別子を指定できます。ユーザーは、次のフォーマットを使用して、BIサーバーにログインします。

      domain_id/user_name

      ユーザーがドメイン識別子を使用せずにユーザー名を入力すると、利用できるすべてのLDAPサーバーに照らし合せて順に認証されます。同じ名前を持つユーザーが複数ある場合、1つのユーザーだけを認証できます。

    • 「ADSI」。(Active Directoryサービス・インタフェース)ディレクトリ・サーバーの一種。「ADSI」オプションを選択するときは、「バインドDN」および「バインド・パスワード」は必須です。

    • 「SSL」(Secure Sockets Layer)。SSLを有効にするには、このオプションを選択します。

    • 「ユーザー名属性タイプ」。このパラメータは、ユーザーを一意に識別します。多くの場合、これはRDNで使用される属性です(相対識別名)。一般的に、デフォルト値を受け入れます。ほとんどのLDAPサーバーでは、ユーザーIDを使用します。ADSIでは、sAMAccountNameを使用します。

A.1.1.2 LDAP認証でのUSERセッション変数の定義

LDAP認証を設定するには、USERというシステム・セッション変数を定義して、LDAPサーバーに関連付けられているLDAP初期化ブロックにそれを関連付けます。ユーザーがOracle BIサーバーにログインすると、ユーザー名とパスワードが認証のためにLDAPサーバーに渡されます。ユーザーの認証に成功したら、LDAPサーバーによって返される情報からユーザーの他のセッション変数も入力できます。


注意:

レガシー方式を使用する外部LDAPサーバーと、Oracle Platform Security Servicesに基づいたLDAPベースのアイデンティティ・ストアの両方にユーザーが存在する場合は、アイデンティティ・ストアのユーザー定義が優先され、LDAP認証は失敗します。

この項の情報は、LDAP初期化ブロックが定義されているものと想定しています。

LDAPベースのアイデンティティ・ストアに定義されていないユーザーについては、定義されたシステム変数USERの存在によって外部認証が実行されることが決定されます。USERをLDAP初期化ブロックに関連付けることで、ユーザーがLDAPによって認証されることが決定されます。認証の他の形式を提供するには、外部データベースまたはXMLソースに関連付けられている初期化ブロックにUSER変数を関連付けます。

LDAP認証用のUSERセッション変数を定義するには:

  1. オフライン・モードかオンライン・モードで、管理ツールでリポジトリを開きます。

  2. 管理ツールのメニューで「管理」を選択してから「変数」を選択します。

  3. 左ペインのツリーで「セッション」→「初期化ブロック」を選択します。

  4. 右ペインで右クリックし、「新規初期化ブロック」を選択します。

  5. 「セッション変数 - 初期化」ダイアログ・ボックスの「名前」フィールドにAuthenticationと入力します。

  6. 「データ・ソースの編集」をクリックします。

  7. 「データ・ソース・タイプ」ドロップダウン・リストから「LDAPサーバー」を選択します。

  8. リストを参照して適切なLDAPサーバーを選択します。

  9. 「データ・ターゲットの編集」をクリックします。

  10. 「新規」をクリックします。

  11. 「名前」フィールドにUserと入力します。

  12. メッセージに対して「OK」をクリックします。

  13. 「OK」をクリックします。

  14. 「OK」をクリックして保存します。

  15. 「認証のために必要」チェック・ボックスを選択します。

  16. 「OK」をクリックしてUSER変数を作成します。

A.1.1.3 ロギング・レベルの設定

LDAPサーバーによって認証されるユーザーのロギング・レベルを設定するには、システム変数LOGLEVELを使用します。

A.1.2 外部表認証の設定

外部データベース表にユーザーとパスワードのリストを維持し、この表を認証目的に使用することができます。外部データベース表は、ユーザー名とパスワードを含み、Oracle BIプレゼンテーション・サービスユーザーに使用するグループ・メンバーシップや表示名など、他の情報を含めることができます。また、表には、データを問い合せるときに各ユーザーのために使用する特定のデータベース・カタログまたはスキーマの名前を含めることもできます。


注意:

ユーザーが複数のグループに属している場合、セミコロンで区切ってグループ名を同じ列に含める必要があります。

外部表の認証は、管理ツールで変数マネージャを使用して定義するセッション変数を使用します。変数マネージャの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

ユーザーがログオンしてセッションを開始するときに、セッション変数に値が入力されます。システム変数と呼ばれる特定のセッション変数には、特別の用途があります。変数USERは、外部表の認証とともに使用されるシステム変数です。

外部表の認証を設定するには、USERというシステム変数を定義して、外部データベース表に関連付けられている初期化ブロックに関連付けます。ユーザーがログインすると、ユーザーIDとパスワードは、認証のためにこのデータベース表に問い合せるSQLを使用して認証されます。初期化ブロックは、データベースに接続するために物理レイヤーでデータベース接続を使用します。物理レイヤーの接続には、ログイン情報が含まれています。ユーザーの認証に成功したら、このSQL問合せの結果からユーザーの他のセッション変数を入力できます。

定義されたシステム変数USERの存在によって、外部認証が実行されることが決定されます。外部データベース表の初期化ブロックにUSERを関連付けることによって、この表の情報を使用してユーザーが認証されることが決定されます。認証の他の形式を提供するには、LDAPサーバーまたはXMLソースに関連付けられている初期化ブロックに、USERシステム変数を関連付けます。詳細は、「LDAP認証の設定」を参照してください。

外部表の認証を設定するには:

  1. 外部表に関する情報を物理レイヤーにインポートします。

  2. 管理ツールで「管理」を選択してから「変数」を選択し、変数マネージャを起動します。

  3. 左ペインで「初期化ブロック」を選択します。

  4. 右ペインで右クリックし、「新規初期化ブロック」を選択します。

  5. 「初期化ブロック」ダイアログ・ボックスでは、初期化ブロックの名前を入力します。

  6. 「データ・ソース接続」リストで「データベース」を選択します。

  7. 「参照」をクリックして、このブロックが使用する接続プールの名前を検索します。

  8. 「初期化文字列」領域で、認証時に発行されるSQL文を入力します。

    SQL文の列のデータベースによって返される値は、変数に割り当てられます。変数の順序および列の順序によって、どの列がどの変数に割り当てられるかが決定されます。次の例に示すSQLについて検討します。

    SELECT username, grp_name, SalesRep, 2 FROM securitylogons WHERE username = ':USER' and pwd = ':PASSWORD'

    このSQLには、WHERE句に2つの絞込み条件が含まれています。

    • :USER(コロンに注意)は、ログオン時にユーザーが入力した名前と同じです。

    • :PASSWORD(コロンに注意)は、ユーザーが入力したパスワードと同じです。

    ユーザー名とパスワードが、指定された表で見つかった値に一致する場合のみ、問合せによってデータが返されます。

    Oracle BIサーバー外でSQL文をテストし、:USERおよび:PASSWORDに有効な値を代入して、データの行が返されることを確認する必要があります。

  9. この問合せによってデータが返されると、ユーザーは認証されて、セッション変数にデータが入力されます。この問合せは4つの列を返すため、4つのセッション変数が入力されます。「変数」タブの「新規」をクリックして、これらの変数(USER、GROUP、DISPLAYNAME、およびLOGLEVEL)を作成します。

    変数が目的の順序になっていない場合は、並べ替える変数をクリックし、「上へ」ボタンと「下へ」ボタンを使用して移動します。

  10. 「OK」をクリックして初期化ブロックを保存します。

A.1.3 Oracle BIデリバーおよび外部初期化ブロックの認証について

Oracle BIスケジューラ Serverは、パスワードにアクセスしたりパスワードを格納しないで、ユーザーのためにデリバー・ジョブを実行します。Oracle BIスケジューラは、偽装と呼ばれるプロセスを使用して、1つのユーザー名とパスワードを使用し、このユーザー名とパスワードには、他のユーザーの代理で操作できるOracle Business Intelligenceの管理権限が付与されています。Oracle BIスケジューラは、Oracle Business Intelligenceの管理者名とパスワードを使用してOracle BIプレゼンテーション・サービスにログオンすることによって、エージェントを起動します。

デリバーを機能させるには、すべてのデータベース認証を1つの接続プールで実行する必要があり、その接続プールは、USERシステム・セッション変数の初期化ブロックで選択できます。一般的に、これを認証初期化ブロックと呼びます。偽装を使用するときは、この初期化ブロックはスキップされます。他のすべての初期化ブロックは、データベース認証を使用しない接続プールを使用する必要があります。


注意:

認証初期化ブロックは、:USERと:PASSWORDが物理データベースに渡される接続プールの使用を受け入れられる唯一の初期化ブロックです。

他の初期化ブロックについては、SQL文に:USERと:PASSWORDを使用できます。しかし、Oracle BIスケジューラ・サーバーはユーザー・パスワードを格納しないため、次の例に示すように、WHERE句を構築する必要があります。

SELECT username, groupname, dbname, schemaname FROM users
WHERE username=':USER' 
NQS_PASSWORD_CLAUSE(and pwd=':PASSWORD')NQS_PASSWORD_CLAUSE

偽装を使用する場合、括弧内の情報はすべて実行時にSQL文から抽出されます。

詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』に記述されているOracle BIデリバーの例を参照してください。

A.1.4 認証の順序

Oracle BIサーバーは、初期化ブロックに定義されている依存関係ルールで指定された希望する順序で、初期化ブロックを使用してセッション変数に値を入力します。サーバーがセッション変数USERを見つけた場合、USER変数が関連付けられている初期化ブロックの構成に基づいて、LDAPサーバーまたは外部データベース表に照らし合せて認証を実行します。

Oracle WebLogic Server管理コンソールで構成されたアイデンティティ・ストアに対する認証が最初に行われ、それが失敗したら、初期化ブロック認証が行われます。

A.1.5 カスタム認証システム・プラグインを使用する認証

初期化ブロックを使用して、カスタマイズされた認証モジュールを作成できます。 認証システムは、顧客または開発者が記述したダイナミック・リンク・ライブラリ(DLL)、またはUNIXの共有オブジェクトであり、Oracle BI認証システムのAPI仕様に準拠しており、BIサーバーによって使用して、実行時に認証および他のタスクを実行できます。動的にロード可能な認証モジュールは、キャッシュ・レイヤーを持つBIサーバー・モジュールであり、実行時に認証および関連するタスクを実行するために認証システムを使用します。

Oracle Business Intelligenceをインストールする場合、サンプルの認証システム・プラグインが2つインストールされます。一方は、Microsoft Windowsプラットフォームのみで利用できます。もう一方は、ユーザー情報の保存にテキスト・ファイルを使用し、すべてのプラットフォームで利用できます。ヘッダー・ファイルは、動的にロード可能な認証システムで使用されるすべてのタイプで提供されます。ヘッダー・ファイルは、ORACLE_HOME\server\SDK\CustomAuthenticatorSamplesで見つけることができます。

認証オブジェクト(認証システム・プラグイン)を作成し、認証モジュールの1組のパラメータを指定した後(設定ファイル・パス、キャッシュ・エントリの数、キャッシュの有効期限など)、認証オブジェクトを初期化ブロックに関連付ける必要があります。USER変数(必須)および他の変数を初期化ブロックに関連付けることができます。

ユーザーがログインすると、認証に成功したら初期化ブロックで指定したように変数のリストに値が入力されます。

カスタム認証は、カスタムC認証システム・プラグインを示すリポジトリのオブジェクトです。このオブジェクトは認証初期化ブロックとともに使用され、BIサーバー・コンポーネントがカスタム認証システムに照らし合せてユーザーを認証できるようにします。認証で推奨される方式はOracle WebLogic Serverの組込みLDAPサーバーを使用する方式です。しかし、カスタム認証システムを使用し続けることもできます。

カスタム認証システムを追加するには:

  1. 管理ツールで「管理」を選択してから「アイデンティティ」を選択します。ナビゲーション・ツリーで「カスタム認証システム」を選択します。次のオプションから選択します。

    • 新しいカスタム認証システムを作成するには: 右ペインで右クリックし、「新規カスタム認証システム」を選択します。

    • カスタム認証システムを編集する場合: 名前をダブルクリックします。

  2. 「カスタム認証システム」ダイアログで、必要なフィールドに値を入力します。

    • 認証システム・プラグイン: 認証システム・プラグインDLLのパスと名前。

    • 構成パラメータ: 構成のために明示的に公開されたこのカスタム認証システムのパラメータを示します。

    • 暗号化パラメータ: パスワードなど、暗号化されたこのカスタム認証システムのパラメータを示します。

    • キャッシュ永続時間: ログオンしたユーザーの認証キャッシュ・エントリが、このカスタム認証システムに対してリフレッシュされる間隔。

    • キャッシュ・エントリ数: このカスタム認証システムの認証キャッシュのエントリの最大値。Oracle BIサーバーの起動時に事前に割り当てられます。ユーザー数がこの制限を超えると、キャッシュ・エントリはLRUアルゴリズムを使用して置換されます。この値が0の場合、認証キャッシュは無効になります。

  3. 「OK」をクリックします。

A.1.6 セッション変数の管理

システム・セッション変数は、初期化ブロックから値を取得し、LDAPサーバーやデータベース表など、外部ソースに照らし合せてOracle Business Intelligenceユーザーを認証するために使用されます。アクティブなBIサーバーのセッションはすべて、セッション変数を生成し、初期化します。各セッション変数インスタンスは、異なる値へと初期化できます。セッション変数および初期化ブロックがOracle Business Intelligenceによってどのように使用されるかの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

A.1.7 サーバー・セッションの管理

管理ツール・セッション・マネージャは、アクティビティを監視するためにオンライン・モードで使用されます。セッション・マネージャには、セッションにログインしているすべてのユーザー、各ユーザーのすべての現在のクエリー・リクエスト、および変数および選択されたセッションに対するそれらの値が示されます。さらに、管理ユーザーは任意のユーザーを切断し、セッション・マネージャを使って任意の問合せリクエストを終了できます。

セッション・マネージャのデータがどれくらい頻繁にリフレッシュされるかは、システム上のアクティビティの数によって変わります。任意の時点で表示をリフレッシュするには、「リフレッシュ」をクリックします。

A.1.7.1 セッション・マネージャの使用

セッション・マネージャには、上部ペインと下部ペインがあります。

  • 上部ペインである「セッション」ペインには、BIサーバーに現在ログインしているユーザーが表示されます。更新速度を制御するには、「更新速度」リストから「標準」、「高」、または「低」を選択します。表示がリフレッシュされないようにするには、「一時停止」を選択します。

  • 下部ペインには、2つのタブがあります。

    • 「リクエスト」タブには、「セッション」ペインで選択したユーザーのアクティブな問合せリクエストが表示されます。

    • 「変数」タブには、変数、および選択したセッションに対するそれらの値が表示されます。列ヘッダーをクリックすると、データをソートできます。

表A-1および表A-2に、「セッション・マネージャ」ダイアログの列を示しています。

表A-1 「セッション・マネージャ」ダイアログのフィールド

列名 説明

クライアント・タイプ

サーバーに接続されているクライアントのタイプ。

最終アクティブ時刻

セッションの最後のアクティビティのタイムスタンプ。

ログオン時間

セッションがBIサーバーに最初に接続した時刻を示すタイムスタンプ。

リポジトリ

セッションが接続されているリポジトリの論理名。

セッションID

セッションが開始されるときにOracle BIサーバーが各セッションを割り当てる一意の内部識別子。

ユーザー

接続されているユーザーの名前。

表A-2 「セッション・マネージャ」ダイアログにある「リクエスト」タブの一部のフィールド

列名 説明

最終アクティブ時刻

問合せに対する最後のアクティビティのタイムスタンプ。

リクエストID

問合せが開始されたときに、BIサーバーが各問合せを割り当てる一意の内部識別子。

セッションID

セッションが開始されたときに、BIサーバーが各セッションを割り当てる一意の内部識別子。

開始時間

個々の問合せリクエストの時間。

セッションの変数を表示するには:

  1. 管理ツールで、オンライン・モードでリポジトリを開き、「管理」を選択してから「セッション」を選択します。

  2. セッションを選択し、「変数」タブをクリックします。

    変数の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

  3. ビューをリフレッシュするには、「リフレッシュ」をクリックします。

  4. セッション・マネージャを閉じるには、「閉じる」をクリックします。

セッションからユーザーを切断するには:

  1. 管理ツールで、オンライン・モードでリポジトリを開き、「管理」を選択してから「セッション」を選択します。

  2. セッション・マネージャの上部ペインでユーザーを選択します。

  3. 「切断」をクリックします。

    ユーザー・セッションは、セッションが管理ユーザーによって終了されたことを示すメッセージを受け取ります。現在実行されている問合せはただちに終了され、基礎となるデータベースへの未処理の問合せも取り消されます。

  4. セッション・マネージャを閉じるには、「閉じる」をクリックします。

アクティブな問合せを終了するには:

  1. 管理ツールで、オンライン・モードでリポジトリを開き、「管理」を選択してから「セッション」を選択します。

  2. セッション・マネージャの上部ペインで、問合せを開始したユーザー・セッションを選択します。

    ユーザーを強調表示すると、そのユーザーのアクティブな問合せリクエストが下部ペインに表示されます。

  3. 終了するリクエストを選択します。

  4. 「リクエストの強制終了」をクリックして選択したリクエストを終了します。

    ユーザーは、問合せが管理ユーザーによって終了されたことを示すメッセージを受け取ります。問合せはただちに終了し、基礎となるデータベースへの未処理の問合せは取り消されます。

    他のリクエストを終了するには、このプロセスを繰り返します。

  5. セッション・マネージャを閉じるには、「閉じる」をクリックします。

A.2 代替認可オプション

このリリースでは、下位互換性を維持するために、カタログ・グループを使用してプレゼンテーション・サービス・カタログ・オブジェクト権限を管理する機能をサポートしています。

A.2.1 プレゼンテーション・サービスのセキュリティに影響する変更

以前のリリースからアップグレードした場合は、ベスト・プラクティスは、ポリシー・ストアに維持されているアプリケーション・ロールを使用して、プレゼンテーション・サービス・カタログの権限およびカタログ・オブジェクトの管理を開始することです。

Oracle Business Intelligenceは、Oracle Fusion Middlewareセキュリティ・モデルを使用し、そのリソースはロールベースのシステムによって保護されます。次のセキュリティ・モデルの変更は、プレゼンテーション・サービス・カタログの権限に影響するため、これはユーザーのアップグレードにおいて重要です。

  • 現在、認可はファイングレインJAAS権限に基づいています。ユーザーは、対応するアプリケーション・ロールのメンバーシップによって権限が付与されます。

  • ユーザーとグループはアイデンティティ・ストアに維持され、BIサーバーには維持されなくなります。以前のリリースとは違い、BIサーバー・グループのメンバーは、同じ名前を持つプレゼンテーション・サービス・カタログ・グループのメンバーに、自動的にはなりません。

  • プレゼンテーション・サービス・カタログの権限はBIプレゼンテーション・サーバーに格納され続け、ポリシー・ストアの管理に使用する管理インタフェースからはアクセスできません。

  • プレゼンテーション・サービスのカタログ・グループEveryoneは利用できなくなり、AuthenticatedUserアプリケーション・ロールに置き換えられました。カタログ・グループEveryoneのメンバーは、アップグレード後に自動的にAuthenticatedUserロールのメンバーになります。

  • プレゼンテーション・サービス・カタログ・グループは、パスワード保護されなくなります。アップグレード時に移行されたすべてのカタログ・グループは、パスワードがなくなります。

A.2.2 カタログ・グループを使用するプレゼンテーション・サービス・カタログの権限の管理

既存のカタログ・グループはアップグレード時に移行され、使用できるようになります。新しいカタログ・グループの作成を続けることができます。カタログ・グループを作成、編集、または削除する方法の詳細は、第D.2.2項のカタログ・グループの使用に関する項を参照してください。

カタログ・グループに他のカタログ・グループ、ユーザー、またはアプリケーション・ロールを割り当てることにより、これらの権限を付与することができます。


注意:

アプリケーション・ロールのメンバーになるためにカタログ・グループを割り当てると、複雑なグループ継承とメンテナンス状況が生じるため、ベスト・プラクティスとは考えられません。

カタログ・グループを使用して権限を付与するには:

  1. プレゼンテーション・サービスの「ホーム」ページで「管理」を選択します。

  2. 「権限の管理」リンクをクリックして「権限の管理」ダイアログにアクセスします。

  3. 「権限の管理」ダイアログで権限のリンクをクリックします。

  4. カタログ・グループに権限を割り当てるには:

    • 「ユーザー/ロールの追加」をクリックします。

    • リストで「カタログ・グループ」を選択して「検索」をクリックします。

    • 結果リストでカタログ・グループを選択します。

    • シャトル・コントロールを使用して、カタログ・グループを「選択済メンバー」に移動します。

  5. 「OK」をクリックします。

  6. 「権限」ダイアログで「権限付与」または「拒否」を選択して、カタログ・グループの権限を設定します。

    プレゼンテーション・サービスの権限を明示的に拒否することは、グループまたはアプリケーション・ロール階層の結果として付与または継承されたユーザー・アクセス権より優先されます。

  7. 「OK」をクリックします。

  8. 必要に応じて権限が付与または拒否されるまで、ステップ3から7を繰り返します。

  前
前 		 次
次
  目次へ移動
目次		 索引へ移動
索引