ヘッダーをスキップ
Oracle® Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド
11gリリース1(11.1.1.5)
B61378-02
  目次へ
目次		 索引へ
索引
前へ
前へ 		 次へ
次へ		  

19 コンポーネントの統合

この章の内容は次のとおりです。

19.1 Oracle Identity ManagerとOracle Access Manager 11gの統合

この項では、Oracle Identity ManagerとOracle Access Manager 11gの統合方法について説明します。

この項の内容は次のとおりです。

19.1.1 前提条件

  1. 第15章「Oracle Identity Managerでのドメインの拡張」の説明に従ってOIM11gのインストールと構成が行われていることを確認します。

  2. 第12章「Oracle Access Manager 11gでのドメインの拡張」の説明に従ってOracle Access Manager 11gのインストールと構成が行われていることを確認します。

  3. 第4章「Oracle HTTP Serverのインストール」の説明に従ってOHSのインストールと構成が行われていることを確認します。

  4. ドメインのJTAトランザクション・タイムアウトが600秒以上であることを確認します。必要があれば、次の手順に従ってタイムアウト値を更新します。

    1. ブラウザを開き、http://admin.mycompany.com/consoleのWebLogic管理コンソールに移動します。

    2. WebLogic管理コンソールに管理ユーザーとしてログインします。

    3. 「サービス」→「JTA」に移動します。

    4. 「タイムアウト」の値が600未満の場合は、「ロックして編集」をクリックして、値を600に更新します。

    5. 「保存」をクリックします。

    6. 「変更のアクティブ化」をクリックします。

    7. 第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、管理サーバーと管理対象サーバーを停止します。

    8. 第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、ノード・マネージャを使用して管理サーバーを起動します。

    9. 第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の説明に従い、WebLogic管理コンソールを使用してドメイン内の管理対象サーバーを起動します。

19.1.2 OIMHOST1およびOIMHOST2へのOAMキーストア・ファイルのコピー

簡易セキュリティ・トランスポート・モデルでOracle Access Managerを使用している場合、第12.11項「Oracle Access Managerキー・ストアの作成」で生成されたOAMキーストア・ファイルをOIMHOST1およびOIMHOST2にコピーする必要があります。キーストア・ファイルssoKeystore.jksおよびoamclient-truststore.jksを、OIMHOST1およびOIMHOST2のディレクトリDOMAIN_HOME/config/fmwconfigにコピーします。

19.1.3 Oracle Access ManagerとOracle Identity Managerの統合の構成

Oracle Identity ManagerとOracle Access Manager 11gを統合する前に、Oracle Identity Managerをサポートするように、Oracle Access Manager 11gを拡張する必要があります。

そのためには、IDMHOST1で次のタスクを実行します。

  1. 環境変数MW_HOME、JAVA_HOME、IDM_HOMEおよびORACLE_HOMEを設定します。

    IDM_HOMEをIDM_ORACLE_HOMEに設定します。

    ORACLE_HOMEをIAM_ORACLE_HOMEに設定します。

  2. config_oam2.propsというプロパティ・ファイルを、次の内容で作成します。

    WLSHOST: adminvhn.mycompany.com
WLSPORT: 7001
WLSADMIN: weblogic
WLSPASSWD: weblogic password
IDSTORE_HOST: idstore.mycompany.com
IDSTORE_PORT: 389
IDSTORE_BINDDN: cn=orcladmin 
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=mycompany,dc=com
IDSTORE_SEARCHBASE: dc=mycompany,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=mycompany,dc=com
IDSTORE_OAMSOFTWAREUSER: oamLDAP
IDSTORE_OAMADMINUSER: oamadmin
PRIMARY_OAM_SERVERS: idmhost1.mycompany.com:5575,idmhost2.mycompany.com:5575
WEBGATE_TYPE: ohsWebgate10g
ACCESS_GATE_ID: Webgate_IDM
OAM11G_IDM_DOMAIN_OHS_HOST:sso.mycompany.com
OAM11G_IDM_DOMAIN_OHS_PORT:443
OAM11G_IDM_DOMAIN_OHS_PROTOCOL:https
OAM11G_WG_DENY_ON_NOT_PROTECTED: false
OAM_TRANSFER_MODE: simple
OAM11G_OAM_SERVER_TRANSFER_MODE:simple
OAM11G_IDM_DOMAIN_LOGOUT_URLS: /console/jsp/common/logout.jsp,/em/targetauth/emaslogout.jsp
OAM11G_OIM_WEBGATE_PASSWD: webgate password
OAM11G_SERVER_LOGIN_ATTRIBUTE: uid 
COOKIE_DOMAIN: .mycompany.com
OAM11G_IDSTORE_ROLE_SECURITY_ADMIN: OAMAdministrators
OAM11G_SSO_ONLY_FLAG: false
OAM11G_OIM_INTEGRATION_REQ: true
OAM11G_SERVER_LBR_HOST:sso.mycompany.com
OAM11G_SERVER_LBR_PORT:443
OAM11G_SERVER_LBR_PROTOCOL:https
COOKIE_EXPIRY_INTERVAL: 120
OAM11G_OIM_OHS_URL:https://sso.mycompany.com:443/

    変数の意味は次のとおりです。

    • WLSHOSTおよびWLSPORTは、それぞれ第6章「アイデンティティ管理のためのWebLogicサーバー・ドメインの作成」で作成した管理サーバーのホストとポートです。これは仮想名です。

    • WLSADMINおよびWLSPASSWDは、それぞれWebLogicコンソールへのログインに使用するWebLogic管理ユーザーとパスワードです。

    • IDSTORE_HOSTおよびIDSTORE_PORTは、それぞれアイデンティティ・ストア・ディレクトリのホストおよびポートです。

    • IDSTORE_BINDDNは、アイデンティティ・ストア・ディレクトリの管理ユーザーです。

    • IDSTORE_USERSEARCHBASEは、Oracle Access Managerがユーザーを検索する対象となるコンテナです。

    • IDSTORE_GROUPSEARCHBASEは、グループが格納されるディレクトリの場所です。

    • IDSTORE_SEARCHBASEは、ユーザーおよびグループを格納するディレクトリの場所です。

    • IDSTORE_OAMSOFTWAREUSERは、LDAPとの対話処理で使用するために第11.4.2項「Oracle Access Manager用のユーザーとグループの作成」で作成したユーザーの名前です。

    • IDSTORE_OAMADMINUSERは、OAMコンソールにアクセスするために第11.4.2項「Oracle Access Manager用のユーザーとグループの作成」で作成したユーザーの名前です。

    • PRIMARY_OAM_SERVERSは、Oracle Access Managerサーバーとそれが使用するプロキシ・ポートのカンマ区切りリストです。


      注意:

      OAMサーバーが使用しているプロキシ・ポートを確認する手順は次のとおりです。

      1. http://admin.mycompany.com:7001/oamconsoleのOAMコンソールにログインします。

      2. 「システム構成」タブをクリックします。

      3. 「共通構成」セクションで、「サーバー・インスタンス」を開きます。

      4. WLS_OAM1などのOracle Access Managerサーバーをクリックし、「オープン」をクリックします。

      5. 「ポート」にプロキシ・ポートが表示されます。

    • ACCESS_GATE_IDは、Webゲートに割り当てる名前です。

    • OAM11G_OIM_WEBGATE_PASSWDは、Webゲートに割り当てるパスワードです。

    • OAM11G_IDM_DOMAIN_OHS_HOSTは、OHSの前に配置したロード・バランサの名前です。

    • OAM11G_IDM_DOMAIN_OHS_PORTは、ロード・バランサでリスニングするポートです。

    • OAM11G_IDM_DOMAIN_OHS_PROTOCOLは、ロード・バランサでリクエストを送るときに使用するプロトコルです。

    • OAM11G_OAM_SERVER_TRANSFER_MODEは、Oracle Access Managerサーバーが機能するセキュリティ・モデルです。これは、第12.6.1項「Oracle Access Managerのセキュリティ・モデルの変更」で定義されます。

    • OAM11G_IDM_DOMAIN_LOGOUT_URLSは、様々なログアウトURLに設定されます。

    • OAM11G_SSO_ONLY_FLAGは、認証専用モードまたは標準モード(認証と認可をサポート)としてOracle Access Manager 11gを構成します。

      OAM11G_SSO_ONLY_FLAGをtrueに設定すると、Oracle Access Manager 11gサーバーは認証専用モードで動作します。この場合、デフォルトではすべての認可でポリシー検証が実行されずにtrueが戻されます。このモードでは、認可の処理に伴うオーバーヘッドがサーバーに発生しません。認可ポリシーに依存せず、Oracle Access Managerサーバーの認証機能のみを必要とするアプリケーションでは、このモードをお薦めします。

      この値をfalseに設定すると、サーバーはデフォルトのモードで実行されます。このモードでは、それぞれの認証の後でOracle Access Managerサーバーに対する認可リクエストが1つ以上発生します。Webゲートを使用すると、Oracle Access Managerサーバーからの応答に基づいて、リクエストされたリソースへのアクセスを許可または拒否できます。

    • OAM11G_SERVER_LBR_HOSTは、サイトの前面に配置するロード・バランサの名前です。この値と次の2つのパラメータを使用してログインURLを構成します。

    • OAM11G_SERVER_LBR_PORTは、ロード・バランサでリスニングするポートです。

    • OAM11G_SERVER_LBR_PROTOCOLは、使用するURL接頭辞です。

    • COOKIE_DOMAINは、Webゲートが機能するドメインです。

    • WEBGATE_TYPEは、作成するWebゲート・エージェントのタイプです。有効値はohsWebgate10gおよびohsWebgate11gです。

    • OAM11G_IDSTORE_NAMEは、アイデンティティ・ストアの名前です。このツールで作成されたデフォルト以外のアイデンティティ・ストアがすでに設定されている場合、このパラメータは、そのアイデンティティ・ストアの名前にします。

    • OAM11G_OIM_OHS_URLは、ロード・バランサを介してアクセスする際、OIMへのアクセスに使用するURLです。

  3. IAM_ORACLE_HOME/idmtools/binにあるコマンドidmConfigToolを使用して、Oracle Access Managerを構成します。


    注意:

    idmConfigToolを実行すると、idmDomainConfig.paramファイルが作成されるか、既存のこのファイルに情報が追加されます。このファイルは、idmConfigToolを実行したディレクトリに作成されます。このツールを実行するたびに同じファイルに情報が追加されるようにするには、必ず次のディレクトリでidmConfigToolを実行します。

    IAM_ORACLE_HOME/idmtools/bin

    Linuxの場合、このコマンドの構文は次のとおりです。

    idmConfigTool.sh -configOAM input_file=configfile

    Windowsの場合、このコマンドの構文は次のとおりです。

    idmConfigTool.bat -configOAM input_file=configfile

    次に例を示します。

    idmConfigTool.sh -configOAM input_file=config_oam2.props

    このコマンドを実行すると、アイデンティティ・ストアへの接続に使用しているアカウントのパスワードを入力するように要求されます。また、次のアカウントに割り当てるパスワードを指定するよう求められます。

    • IDSTORE_PWD_OAMSOFTWAREUSER

    • IDSTORE_PWD_OAMADMINUSER

    コマンドの出力例:

    Enter ID Store Bind DN password: 
Enter User Password for IDSTORE_PWD_OAMSOFTWAREUSER: 
Confirm User Password for IDSTORE_PWD_OAMSOFTWAREUSER: 
Enter User Password for IDSTORE_PWD_OAMADMINUSER: 
Confirm User Password for IDSTORE_PWD_OAMADMINUSER: 
The tool has completed its operation. Details have been logged to automation.log

  4. ログ・ファイルを確認して、エラーや警告を修正します。

  5. 第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、WebLogic管理サーバーを再起動します。

19.1.4 必須オブジェクト・クラスによる既存のLDAPユーザーの更新

既存のLDAPユーザーを、オブジェクト・クラスOblixPersonPwdPolicy、OIMPersonPwdPolicy、およびOblixOrgPersonで更新する必要があります。


注意:

これは、既存のユーザーを持たない新規設定の場合、必要ありません。

IDMHOST1で、user.propsという統合用のプロパティ・ファイルを次の内容で作成します。

IDSTORE_HOST: idstore.mycompany.com
IDSTORE_PORT: 389
IDSTORE_ADMIN_USER: cn=orcladmin
IDSTORE_USERSEARCHBASE: cn=Users,dc=mycompany,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=mycompany,dc=com
PASSWORD_EXPIRY_PERIOD: 7300

環境変数MW_HOME、JAVA_HOME、IDM_HOMEおよびORACLE_HOMEを設定します。

IDM_HOMEをIDM_ORACLE_HOMEに設定します。

ORACLE_HOMEをIAM_ORACLE_HOMEに設定します。

IAM_ORACLE_HOME/idmtools/binにあるコマンドidmConfigToolを使用して、既存のLDAPを更新します。


注意:

idmConfigToolを実行すると、idmDomainConfig.paramファイルが作成されるか、既存のこのファイルに情報が追加されます。このファイルは、idmConfigToolを実行したディレクトリに作成されます。このツールを実行するたびに同じファイルに情報が追加されるようにするには、必ず次のディレクトリでidmConfigToolを実行します。

IAM_ORACLE_HOME/idmtools/bin

このコマンドの構文は次のとおりです。

idmConfigTool.sh - upgradeLDAPUsersForSSO input_file=configfile

(LinuxおよびUNIXベースのオペレーティング・システムの場合)

idmConfigTool.bat -upgradeLDAPUsersForSSO input_file=configfile

(Windowsの場合)

次に例を示します。

idmConfigTool.sh -upgradeLDAPUsersForSSO input_file=user.props

要求された場合、次の情報を入力します。

  • アイデンティティ・ストアへの接続に使用しているユーザーのパスワード。

  • ディレクトリ・タイプ: Oracle Virtual Directoryを使用している場合はOVD、それ以外の場合はOID。

出力例:

Enter LDAP admin user password:
 
 
********* Upgrading LDAP Users With OAM ObjectClasses *********

Enter Directory Type[OID]: OVD
 
Completed loading user inputs for - LDAP connection info
 
Completed loading user inputs for - LDAP Upgrade
 
Upgrading ldap users at - cn=Users,dc=us,dc=oracle,dc=com
 
Parsing - cn=readOnlyUser,cn=Users,dc=us,dc=oracle,dc=com
 
objectclass OIMPersonPwdPolicy not present in cn=readOnlyUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixOrgPerson not present in cn=readOnlyUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixPersonPwdPolicy not present in cn=readOnlyUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
obpasswordexpirydate added in cn=readOnlyUser,cn=Users,dc=us,dc=oracle,dc=com
 
Parsing - cn=readWriteUser,cn=Users,dc=us,dc=oracle,dc=com
 
objectclass OIMPersonPwdPolicy not present in cn=readWriteUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixOrgPerson not present in cn=readWriteUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixPersonPwdPolicy not present in cn=readWriteUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
obpasswordexpirydate added in cn=readWriteUser,cn=Users,dc=us,dc=oracle,dc=com
 
Parsing - cn=weblogic,cn=Users,dc=us,dc=oracle,dc=com
 
objectclass OIMPersonPwdPolicy not present in cn=weblogic,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixOrgPerson not present in cn=weblogic,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixPersonPwdPolicy not present in cn=weblogic,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
obpasswordexpirydate added in cn=weblogic,cn=Users,dc=us,dc=oracle,dc=com
 
 
Parsing - cn=oamMasterAdminUser,cn=Users,dc=us,dc=oracle,dc=com
 
objectclass OIMPersonPwdPolicy not present in cn=oamMasterAdminUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixPersonPwdPolicy not present in cn=oamMasterAdminUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
obpasswordexpirydate added in cn=oamMasterAdminUser,cn=Users,dc=us,dc=oracle,dc=com
 
Parsing - cn=oamSoftwareUser,cn=Users,dc=us,dc=oracle,dc=com
 
objectclass OIMPersonPwdPolicy not present in cn=oamSoftwareUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixOrgPerson not present in cn=oamSoftwareUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixPersonPwdPolicy not present in cn=oamSoftwareUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
obpasswordexpirydate added in cn=oamSoftwareUser,cn=Users,dc=us,dc=oracle,dc=com
 
Parsing - cn=PolStoreROUser,cn=Users,dc=us,dc=oracle,dc=com
 
objectclass OIMPersonPwdPolicy not present in cn=PolStoreROUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixOrgPerson not present in cn=PolStoreROUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixPersonPwdPolicy not present in cn=PolStoreROUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
obpasswordexpirydate added in cn=PolStoreROUser,cn=Users,dc=us,dc=oracle,dc=com
 
 
Parsing - cn=PolStoreRWUser,cn=Users,dc=us,dc=oracle,dc=com
 
objectclass OIMPersonPwdPolicy not present in cn=PolStoreRWUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixOrgPerson not present in cn=PolStoreRWUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixPersonPwdPolicy not present in cn=PolStoreRWUser,cn=Users,dc=us,dc=oracle,dc=com. Seeding it
 
obpasswordexpirydate added in cn=PolStoreRWUser,cn=Users,dc=us,dc=oracle,dc=com
 
Parsing - cn=PUBLIC, cn=Users, dc=us,dc=oracle,dc=com
 
objectclass OIMPersonPwdPolicy not present in cn=PUBLIC, cn=Users, dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixOrgPerson not present in cn=PUBLIC, cn=Users, dc=us,dc=oracle,dc=com. Seeding it
 
objectclass OblixPersonPwdPolicy not present in cn=PUBLIC, cn=Users, dc=us,dc=oracle,dc=com. Seeding it
 
obpasswordexpirydate added in cn=PUBLIC, cn=Users, dc=us,dc=oracle,dc=com
 
Parsing - cn=orcladmin, cn=Users, dc=us,dc=oracle,dc=com
 
objectclass OIMPersonPwdPolicy not present in cn=orcladmin, cn=Users, dc=us,dc=oracle,dc=com. Seeding it
 
obpasswordexpirydate added in cn=orcladmin, cn=Users, dc=us,dc=oracle,dc=com
 
Parsing - cn=xelsysadm,cn=Users,dc=us,dc=oracle,dc=com
 
Parsing - cn=xelsysadmin,cn=Users,dc=us,dc=oracle,dc=com
 
Finished parsing LDAP
 
LDAP Users Upgraded.
 
********* ********* *********

関連項目:

idmConfigToolコマンドの詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合概要』を参照してください。

19.1.5 Oracle Access Manager 11gとOracle Identity Manager 11gの統合

この項では、Oracle Access Manager 11gとOracle Identity Managerの統合方法について説明します。

19.1.5.1 セキュリティ・プロバイダの削除

以前に第20章「管理コンソールに対するシングル・サインオンの構成」のタスクを実行した場合、そこで作成したセキュリティ・プロバイダを削除する必要があります。

その手順は次のとおりです。

  1. 次の場所にあるWebLogic管理コンソールにログインします。

    http://admin.mycompany.com/console

  2. 「ドメイン」構造メニューで「セキュリティ・レルム」をクリックします。

  3. 「チェンジ・センター」で「ロックして編集」をクリックします。

  4. myrealmをクリックします。

  5. 「プロバイダ」タブを選択します。

    次のプロバイダを選択します。

    • OVDAuthenticator

    • OIDAuthenticator

    • OAMIDAssertor

  6. 「削除」をクリックします。

  7. 削除を確認する場合は「はい」をクリックします。

  8. 第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、管理サーバーとすべての管理対象サーバーを再起動します。

19.1.5.2 idmConfigToolを使用したOracle Access ManagerとOracle Identity Managerの統合

Oracle Access Manager 11gとOracle Identity Managerを統合するには、IDMHOST1で次の手順を実行します。

  1. 環境変数MW_HOME、JAVA_HOME、IDM_HOMEおよびORACLE_HOMEを設定します。次に例を示します。

    export IDM_HOME=IDM_ORACLE_HOME
export ORACLE_HOME=IAM_ORACLE_HOME

  2. oimitg.propsという統合用のプロパティ・ファイルを、次の内容で作成します。

    LOGINURI: /${app.context}/adfAuthentication
LOGOUTURI: /oamsso/logout.html
AUTOLOGINURI: None
ACCESS_SERVER_HOST: OAMHOST1.mycompany.com
ACCESS_SERVER_PORT: 5575
ACCESS_GATE_ID: Webgate_IDM
COOKIE_DOMAIN: .mycompany.com
COOKIE_EXPIRY_INTERVAL: 120
OAM_TRANSFER_MODE: simple
WEBGATE_TYPE: ohsWebgate10g
SSO_ENABLED_FLAG: true
IDSTORE_PORT: 389
IDSTORE_HOST: idstore.mycompany.com
IDSTORE_DIRECTORYTYPE: OID or OVD 
IDSTORE_ADMIN_USER: cn=oamLDAP,cn=Users,dc=mycompany,dc=com
IDSTORE_USERSEARCHBASE: cn=Users,dc=mycompany,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=mycompany,dc=com
MDS_DB_URL: jdbc:oracle:thin:@(DESCRIPTION=(LOAD_BALANCE=on)(FAILOVER=on)(ADDRESS_LIST=(ADDRESS=(protocol=tcp)(host=OIDDBHOST1-vip.mycomapny.com)(port=1521))(ADDRESS=(protocol=tcp)(host=OIDDBHOST2-vip.mycompany.com)(port=1521)))(CONNECT_DATA=(SERVER=DEDICATED)(SERVICE_NAME=oidedg.mycompany.com)))
MDS_DB_SCHEMA_USERNAME: edg_mds
WLSHOST: adminvhn.mycompany.com
WLSPORT: 7001
WLSADMIN: weblogic
DOMAIN_NAME: IDMDomain
OIM_MANAGED_SERVER_NAME: WLS_OIM1
DOMAIN_LOCATION: ORACLE_BASE/admin/IDMDomain/aserver/IDMDomain

    注意:

    • IDSTORE_HOSTは、アイデンティティ・ストアとしてOracle Internet Directoryを使用している場合、そのOracle Internet Directoryホストまたはロード・バランサの名前に設定します。それ以外の場合は、Oracle Virtual Directoryホストまたはロード・バランサの名前に設定します。

    • IDSTORE_DIRECTORYTYPEは、Oracle Virtual Directoryサーバーを使用して非OIDディレクトリまたはOracle Internet Directoryに接続している場合、OVDに設定します。Oracle Internet Directory内にアイデンティティ・ストアがあり、Oracle Virtual Directoryを介さず直接これにアクセスしている場合は、OIDに設定します。

    • OAM_TRANSFER_MODEは、簡易モードを使用してリクエストを受け入れるようにアクセス・マネージャ・サーバーが構成されている場合、simpleに設定します。それ以外の場合は、OAM_TRANSFER_MODEをopenに設定します。

    • IDSTORE_PORTは、アイデンティティ・ストアとしてOracle Internet Directoryを使用している場合、Oracle Internet Directoryポートに設定します。それ以外の場合は、Oracle Virtual Directoryポートに設定します。

    • MDS_URLは、単一のインスタンス・データベースを使用している場合、jdbc:oracle:thin:@DBHOST:1521:SIDに設定します。

  3. 場所をIAM_ORACLE_HOME/serverに変更します。

    cd IAM_ORACLE_HOME/server

  4. 次の場所にあるコマンドidmConfigToolを使用して、Oracle Access ManagerとOracle Identity Managerを統合します。

    IAM_ORACLE_HOME/idmtools/bin


    注意:

    idmConfigToolを実行すると、idmDomainConfig.paramファイルが作成されるか、既存のこのファイルに情報が追加されます。このファイルは、idmConfigToolを実行したディレクトリに作成されます。このツールを実行するたびに同じファイルに情報が追加されるようにするには、必ず次のディレクトリでidmConfigToolを実行します。

    IAM_ORACLE_HOME/idmtools/bin

    このコマンドの構文は次のとおりです。

    idmConfigTool.sh -configOIM input_file=configfile

    (LinuxおよびUNIXベースのシステムの場合)

    idmConfigTool.bat -configOIM input_file=configfile

    (Windowsの場合)

    次に例を示します。

    IAM_ORACLE_HOME/idmtools/bin/idmConfigTool.sh -configOIM input_file=oimitg.props

    スクリプトが実行されると、次の入力を求められます。

    • アクセス・ゲートのパスワード

    • SSOキーストアのパスワード

    • グローバル・パスフレーズ

    • IDストア管理パスワード

    • MDSデータベース・スキーマのパスワード

    • 管理サーバー・ユーザー・パスワード

    出力例:

    Enter sso access gate password: 
Enter mds db schema password: 
Enter idstore admin password: 
Enter admin server user password: 

********* Seeding OAM Passwds in OIM *********

Enter ssoKeystore.jks Password: 
Enter SSO Global Passphrase: 

Completed loading user inputs for - CSF Config

Updating CSF with Access Gate Password...

WLS ManagedService is not up running. Fall back to use system properties for configuration.
Updating CSF ssoKeystore.jks Password...

Updating CSF for SSO Global Passphrase Password...


********* ********* *********


********* Activating OAM Notifications *********


Completed loading user inputs for - MDS DB Config

Initialized MDS resources

Apr 11, 2011 4:57:45 AM oracle.mds
NOTIFICATION: transfer operation started.
Apr 11, 2011 4:57:46 AM oracle.mds
NOTIFICATION: transfer is completed. Total number of documents successfully processed: 1, total number of documents failed: 0.
Upload to DB completed


Releasing all resources

Notifications activated.


********* ********* *********


********* Seeding OAM Config in OIM *********

Completed loading user inputs for - OAM Access Config

Validated input values

Initialized MDS resources

Apr 11, 2011 4:57:46 AM oracle.mds
NOTIFICATION: transfer operation started.
Apr 11, 2011 4:57:47 AM oracle.mds
NOTIFICATION: transfer is completed. Total number of documents successfully processed: 1, total number of documents failed: 0.
Download from DB completed

Releasing all resources

Updated /u01/app/oracle/product/fmw/iam/server/oamMetadata/db/oim-config.xml

Initialized MDS resources

Apr 11, 2011 4:57:47 AM oracle.mds
NOTIFICATION: transfer operation started.
Apr 11, 2011 4:57:47 AM oracle.mds
NOTIFICATION: transfer is completed. Total number of documents successfully processed: 1, total number of documents failed: 0.
Upload to DB completed


Releasing all resources

OAM configuration seeded. Please restart oim server.


********* ********* *********


********* Configuring Authenticators in OIM WLS *********
Completed loading user inputs for - Dogwood Admin WLS


Completed loading user inputs for - LDAP connection info

Connecting to t3://adminvhn.mycompany.com:7001

Connection to domain runtime mbean server established

Starting edit session

Edit session started

Connected to security realm.

Validating provider configuration

Validated desired authentication providers

Validated authentication provider state successfuly.

Created OAMIDAsserter successfuly

Created OIDAuthenticator successfuly

Created OIMSignatureAuthenticator successfuly

Setting attributes for OID Authenticator

All attributes set. Configured in OID Authenticator now

lDAP details configured in OID authenticator

Control flags for authenticators set sucessfully

Reordering of authenticators done sucessfully

Saving the transaction

Transaction saved

Activating the changes

Changes Activated. Edit session ended.

Connection closed sucessfully


********* ********* *********

    注意:

    • このスクリプトの実行時にすでに第20.1項「Oracle Access Manager 11gによる管理コンソールのシングル・サインオンの構成」の説明に従ってWebLogic管理コンソールに対してシングル・サインオンを有効にしている場合、この実行時に次のエラーが表示されることがあります。

      ERROR: Desired authenticators already present. [Ljava.lang.String;@7fdb492]
ERROR: Error occurred while configuration. Authentication providers to be configured already present.
ERROR: Rolling back the operation..

      これらのエラーは無視できます。

    • 注意: ログ・ファイルに次のようなエラーが表示される場合があります。

      ALL: Error seeding SSOGlobalPP credential

      これは不具合であり、回避策を次の項で説明します。

  5. ログ・ファイルでエラーを確認し、必要に応じてこれらを修正します。

  6. 第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、WLS_OIM1、WLS_OIM2およびWebLogic管理サーバーを再起動します。

19.1.6 Oracle Virtual Directory認証プロバイダの更新

configOIMが完了すると、Oracle Virtual Directory認証プロバイダが作成されます(Oracle Virtual Directoryを使用している場合)。この認証プロバイダを、次のようにして更新する必要があります。

  1. http://admin.mycompany.com/consoleのWebLogicコンソールにログインします。

  2. ドメイン構造で「セキュリティ・レルム」をクリックします。

  3. マイ・レルムをクリックします。

  4. 「プロバイダ」タブをクリックします。

  5. 「OVDAuthenticator」プロバイダをクリックします。

  6. 「ロックして編集」をクリックします。

  7. 「プロバイダ固有」タブをクリックします。

  8. 次の値を変更します。

    • すべてのユーザーのフィルタ: (&(uid=*)(objectclass=person))

    • 名前指定によるユーザー・フィルタ: (&(uid=%u)(objectclass=person))

  9. 「保存」をクリックします。

  10. 「変更のアクティブ化」をクリックします。

  11. 管理サーバーWLS_OAM1、WLS_OAM2、WLS_OIM1およびWLS_OIM2と、実行中のその他すべての管理対象サーバーを再起動します。

19.1.7 CSFキーの手動作成

  1. 次のURLのOracle Enterprise Manager Fusion Middleware Controlにログインします。

    http://admin.mycompany.com/em

  2. 「FARM_IDMDomain」→「WebLogicドメイン」に移動します。

  3. 「IDMDomain」をクリックします。

  4. サマリー画面が表示されたら、「セキュリティ」を選択し、リストから「資格証明」を選択します。

  5. 資格証明キー「oim」をクリックし、「キーの作成」をクリックします。

    次のキーを作成します。

    簡易トランスポート・モデルを使用している場合は、SSOKeystoreKeyとSSOGlobalPPのみが必要です。

19.1.8 xelsysadmユーザーのパスワードの管理

Oracle Identity ManagerとOracle Access Managerを統合すると、2つのxelsysadmアカウントが存在します。1つはOracle Identity Managerで作成された内部アカウントです。もう1つは、第11.4.4項「Oracle Identity Manager用のユーザーとグループの作成」でアイデンティティ・ストアに作成したアカウントです。

LDAPストアにあるxelsysadmアカウントは、OIMコンソールへのアクセスに使用するアカウントです。このアカウントのパスワードを変更する場合は、LDAPでこれを変更します。これはODSMを使用して行うことができます。OIMコンソールを介してこれを変更しないでください。

19.1.9 統合の検証

統合を検証するには、第20章「管理コンソールに対するシングル・サインオンの構成」の説明に従って、Identity Management管理者をWebLogicセキュリティ・グループに割り当て、Webゲートをインストールする必要があります。

Oracle Access Manager 11gとOracle Identity Manager 11gが正常に接続されていることを検証するには、次のようにしてOracle Identity Managerセルフ・サービス・コンソールへのログインを試みます。

  1. ブラウザを使用してhttps://sso.mycompany.com:443に移動します。これにより、OAM11gシングル・サインオン・ページにリダイレクトされます。

  2. 第11.4.4項「Oracle Identity Manager用のユーザーとグループの作成」で作成したxelsysadmユーザー・アカウントを使用してログインします。

  3. OIMセルフ・サービス・コンソールページが表示されれば、統合は成功です。

19.2 Oracle Adaptive Access ManagerとOracle Access Manager 11gの統合

この項では、OAAMとOracle Access ManagerおよびOracle Identity Managerの統合方法について説明します。OAAMがOracle Access Managerと統合されると、標準のOracle Access ManagerログインではなくOAAMを使用して、リソースへのアクセスを検証できます。OAAMは認証を実行しますが、それはOracle Access Managerの中のユーザーに対する認証です。

OAAMをOracle Identity Managerと統合すると、ユーザー名やパスワードを忘れたユーザーをOracle Identity Managerを使用して補助できます。

この項の内容は次のとおりです。

19.2.1 前提条件

この関連付けを開始する前に、次の作業が行われたことを確認してください。

  1. 第12章「Oracle Access Manager 11gでのドメインの拡張」の説明に従って、Oracle Access Manager(OAM)のインストールと構成を行います。

  2. 第12章「Oracle Access Manager 11gでのドメインの拡張」の説明に従って、LDAPストアと連携するようにOracle Access Managerを構成します。

  3. 第13章「Oracle Adaptive Access Managerでのドメインの拡張」の説明に従って、Oracle Adaptive Access Managerをインストールします。

19.2.2 OAAMHOST1およびOAAMHOST2へのOAMキーストア・ファイルのコピー

簡易セキュリティ・トランスポート・モデルでOracle Access Managerを使用している場合、第12.11項「Oracle Access Managerキー・ストアの作成」で生成されたOAMキーストア・ファイルoamclient-truststore.jksおよびssoKeystore.jksをOAAMHOST1およびOAAMHOST2にコピーする必要があります。これらのファイルは、OAAMHOST1およびOAAMHOST2のディレクトリDOMAIN_HOME/config/fmwconfigにコピーします。

19.2.3 サード・パーティ・アプリケーションとしてのOAAMの登録

Oracle Access Managerを簡易セキュリティ・トランスポート・プロトコルを使用するように構成した場合は、OAAMをサード・パーティ・アプリケーションとして登録する必要があります。

次のようにします。

  1. IDMHOST1で、IAM_ORACLE_HOME/common/binディレクトリからwlstシェルを起動します。たとえば、LinuxおよびUNIXベースのシステムでは次のように入力します。

    ./wlst.sh

    Windowsでは次のように入力します。

    ./wlst.cmd

  2. 次のwlst connectコマンドを使用して、WebLogic管理サーバーに接続します。

    connect('AdminUser',"AdminUserPassword",t3://hostname:port')

    次に例を示します。

    connect("weblogic","admin_password","t3://ADMINVHN.mycompany.com:7001")

  3. registerThirdPartyTAPPartnerコマンドを次のように実行します。

    registerThirdPartyTAPPartner(partnerName = "partnerName", keystoreLocation= "path to keystore" , password="keystore password", tapTokenVersion="v2.0", tapScheme="TAPScheme", tapRedirectUrl="OAAM login URL")

    各パラメータの意味は次のとおりです。

    • partnerNameは一意の名前です。Oracle Access Managerにパートナが存在すると、構成は上書きされます。

    • keystoreLocationは、既存のキー・ストアの場所です。指定したディレクトリ・パスが存在しない場合、エラーが発生します。Windowsでは、パッチをエスケープする必要があります。次に例を示します。

      "C:\\oam-oaam\\tap\keystore\store.jks"

    • passwordは、キー・ストアを暗号化するために指定されるパスワードです。これは、後で必要になるため覚えておいてください。

    • tapTokenVersionは常にv2.0です。

    • tapSchemeは更新される認証スキームです。

    • tapRedirectUrlはアクセス可能なURLです。アクセスできない場合、登録は失敗し、次のメッセージが表示されます。Error!Hyperlink reference not valid


      注意:

      不具合のため、tapRedirectURLはHTTP URLにする必要があります。これは後でHTTPSに変更されます。

    • tapRedirectUrlは次のように構成されます。

      http://OAAM_SERVER_HOST:OAAM_SERVER_PORT/oaam_server/oamLoginPage.jsp

      次に例を示します。

      registerThirdPartyTAPPartner(partnerName = "OAAMTAPPartner", keystoreLocation= "IAM_ORACLE_HOME/TAP/TapKeyStore/mykeystore.jks" , password="password", tapTokenVersion="v2.0", tapScheme="TAPScheme", tapRedirectUrl="http://oaamhost1.mycompany.com:14300/oaam_server/oamLoginPage.jsp")

  4. ファイルIAM_ORACLE_HOME/TAP/TapKeyStore/mykeystore.jksをOAAMHOST1およびOAAMHOST2の同じ場所にコピーします。次に例を示します。

    scp IAM_ORACLE_HOME/TAP/TapKeyStore/mykeystore.jks OAAMHOST2:IAM_ORACLE_HOME/TAP/TapKeyStore/mykeystore.jks

    注意:

    mykeystore.jksは常にWebLogic管理サーバー・ホストに作成されます。

  5. 次の場所にあるOAM管理コンソールにログインします。

    http://admin.mycompany.com:80/oamconsole

  6. 「認証スキーム」の下の「TAPScheme」をクリックします。

    「開く」をクリックします。

  7. 「チャレンジURL」を次のとおりに変更します。

    https://sso.mycompany.com:443/oaam_server/oamLoginPage.jsp

    「チャレンジ・パラメータ」にMatchLDAPAttribute=uidを追加します。

  8. 「適用」をクリックします。

  9. 第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、WLS_OAAM1およびWLS_OAAM2を再起動します。

19.2.4 IAMSuiteAgentプロファイルへのパスワードの追加

Oracle Access Managerがインストールされると、IAMSuiteAgentというデフォルトのエージェント・プロファイルが作成されます。このプロファイルは、OAMとの統合の際にOAAMで使用されます。

IAMSutieAgentプロファイルが最初に作成されるときには、パスワードはありません。プロファイルがOAAMで統合に使用される前に、パスワードを設定する必要があります。次のようにします。

  1. 次のURLでOAMコンソールにログインします。

    http://admin.mycompany.com/oamconsole

  2. 「システム構成」タブをクリックします。

  3. 「Access Managerの設定」→「SSOエージェント」を開きます。

  4. 「OAMエージェント」をクリックし、「開く」をクリックします。

  5. 検索ウィンドウで、「検索」をクリックします。

  6. 検索結果で「IAMSuiteAgent」をクリックします。エージェントのプロパティが表示されます。

  7. 「プライマリ・サーバー」リストで、「+」をクリックし、不足しているOracle Access Managerサーバーを追加します。

  8. 「アクセス・クライアント・パスワード」フィールドにパスワードを入力し、「適用」をクリックします。


注意:

セキュリティ設定が、使用しているOAMサーバーの設定と一致していることも確認します。

19.2.5 検証

この統合が正常に完了したことを確認するには、第12.10項「Oracle Access Managerの検証」の説明に従って、OAMテスト・ツールを起動します。次のように実行します。

  1. 次の値を使用して接続します。

    • プライマリOAMホスト: OAMHOST1

    • ポート: 5575

    • エージェントID: IAMSuiteAgent

    • エージェント・パスワード: IAMSuiteAgentプロファイルに割り当てたパスワード。

    • モード: OAMセキュリティ・モードを選択します。

    • グローバル・パスフレーズ: 簡易モードが使用されている場合、OAMパスフレーズ。

  2. 保護されたリソースのURIを指定します。

    • スキーム: http

    • ホスト: IAMSuiteAgent

    • ポート: 空白のままにします。

    • リソース: /oamTAPAuthenticate

    「検証」をクリックします。

  3. ユーザーID oamadminとoamadminのパスワードを指定します。

    認証をクリックします。認証に成功すれば、統合は正常に完了しています。

OAMHOST2についても同じ検証を実行します。

19.2.6 Oracle Access ManagerのOAAMプロパティの設定

IDMHOST1で、次の手順を実行します。

  1. IAM_ORACLE_HOME/oaam/cliを一時的な場所にコピーします。次に例を示します。

    cp -r IAM_ORACLE_HOME/oaam/cli /u01/app/oracle/oaam

  2. 次のディレクトリにあるファイルoaam_cli.propertiesを編集します。

    /u01/app/oracle/oaam/conf/bharosa_properties

    ファイル内の次のプロパティ値を設定します。

    パラメータ 値

    oaam.adminserver.hostname

    ADMINVHN.mycompany.com

    oaam.adminserver.port

    7001

    oaam.adminserver.username

    weblogic

    oaam.adminserver.password

    weblogicユーザーのパスワード

    oaam.db.url

    OAAMデータベースのDBC URL。形式: jdbc:oracle:thin:@(DESCRIPTION=(LOAD_BALANCE=on)(ADDRESS=(PROTOCOL=TCP)(HOST=host1) (PORT=1521))(ADDRESS=(PROTOCOL=TCP)(HOST=host2) (PORT=1521))(CONNECT_DATA=(SERVICE_NAME=service)))

    oaam.uio.oam.tap.keystoreFile

    第19.2.3項「サード・パーティ・アプリケーションとしてのOAAMの登録」で作成されたキーストアの場所。次に例を示します。

    IAM_ORACLE_HOME/TAP/TapKeyStore/mykeystore.jks

    Windowsでは、パスをエスケープする必要があります。次に例を示します。

    "C:\\oam-oaam\\tap\keystore\mystore.jks"

    oaam.uio.oam.tap.partnername

    OAAMTAPPartner

    oaam.uio.oam.host

    idmhost1.mycompany.com

    oaam.uio.oam.port

    Oracle Access Managerサーバー・プロキシ・ポート。例: 5575

    oaam.uio.oam.webgate_id

    IAMSuiteAgent

    oaam.uio.oam.secondary.host

    idmhost2.mycompany

    oaam.uio.oam.secondary.host.port

    2番目のOracle Access ManagerサーバーのOracle Access Managerサーバー・プロキシ・ポート。例: 5575

    oaam.uio.oam.security.mode

    これは、使用しているOAMトランスポート・セキュリティ・モードにより異なります。値は、1(オープン)、2(簡易)、または3(証明書)となります。指定されていない場合、デフォルトは1(オープン)です。

    oam.uio.oam.rootcertificate.keystore.filepath

    ルート証明書用に生成されたキーストア・ファイルの場所。

    DOMAIN_HOME/config/fmwconfig/oamclient-truststore.jks

    これは、セキュリティ・モードが2(簡易)および3(証明書)の場合にのみ必要です。

    oam.uio.oam.privatekeycertificate.keystore.filepath

    秘密鍵用に生成されたキーストア・ファイルの場所。

    DOMAIN_HOME/config/fmwconfig/ssoKeystore.jks

    これは、セキュリティ・モードが2(簡易)および3(証明書)の場合に必要です。

    ファイルを保存します。

  3. 次のディレクトリにあるコマンドsetupOAMTapIntegration.shを発行することによって、OAAM CLIツールを実行します。

    /u01/app/oracle/oaam

    export ORACLE_MW_HOME=/u01/app/oracle/product/fmw
export JAVA_HOME=$MW_HOME/jrockit_version
chmod +x /u01/app/oracle/oaam/setupOAMTapIntegration.sh
/u01/app/oracle/oaam/setupOAMTapIntegration.sh
/u01/app/oracle/oaam/conf/bharosa_properties/oaam_cli.properties

    コマンドが実行されると、次の情報の入力を求められます。

    • OAAMデータベース名: EDG_OAAM

    • OAAMデータベース・パスワード: OAAMデータベース・ユーザーのパスワード。

    • CSFに格納されるOAM Webゲートの資格証明: Webゲートのパスワードを入力します。

    • OAM TAPキー・ストア・ファイルのパスワード: 第19.2.3項「サード・パーティ・アプリケーションとしてのOAAMの登録」でサード・パーティ・アプリケーションを生成したときに割り当てたパスワード。

    • OAM秘密鍵証明書鍵ストア・ファイルのパスワード: 第19.2項「Oracle Adaptive Access ManagerとOracle Access Manager 11gの統合」で秘密鍵ストア・ファイルに割り当てたパスワード。

    • OAMグローバル・パスフレーズ: OAAM簡易セキュリティ・モデルを使用している場合、これはそのOAMグローバル・パスフレーズとなります。

19.2.7 セカンダリ・ホスト・パラメータの更新

第11.4.3項「Oracle Adaptive Access Manager用のユーザーとグループの作成」で作成したoaamadminアカウントを使用して、http://admin.mycompany.com:80/oaam_adminのOAAM管理コンソールにログインします。

次のように実行します。

  1. ナビゲーション・ツリーで、「環境」をクリックしてから、「プロパティ」をクリックします。

  2. 「アクション」メニューでプロパティのリストを選択します。

    プロパティ検索ページが表示されます。

  3. 「名前」フィールドにoaam.uio.oam.secondary.host.portと入力し、「検索」をクリックします。

    現在値が検索結果ウィンドウに表示されます

  4. 値フィールドでエントリを5575に設定し、 「保存」をクリックします。

  5. 第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、WLS_OAM1、WLS_OAM2、WLS_OAAM1およびWLS_OAAM2を再起動します。

19.2.8 OAAMとOracle Access Managerの統合の検証

この検証を実行するには、まずテスト・リソースを作成します。

WEBHOST1とWEBHOST2で、テスト・ページoaam_sso.htmlを作成します。最も簡単な方法は、ORACLE_INSTANCE/config/OHS/component/htdocsディレクトリで、次の内容のoaam_sso.htmlファイルを作成する方法です。

<html>
<body>
<center>
<p>
<h2>
OAAM Protected Resource
</h2>
</p>
</center>
</body>
</html>

19.2.8.1 Oracle Adaptive Access Managerポリシー・グループの作成

OAAMをトポロジに含める予定がある場合のみ、これらのグループが必要です。

  1. 以前に作成したoamadminアカウントを使用して、http://admin.mycompany.com/oamconsoleのOAMコンソールにログインします。

  2. ナビゲーション・ウィンドウで、「アプリケーション・ドメイン」→IAMスイートを開きます。

  3. 「認証ポリシー」をクリックします。

  4. 「参照」タブの下にあるツールバーの「作成」をクリックします。

    次の情報を入力します。

    • 名前: OAAM Protected Resources

    • 認証スキーム: TAPScheme

  5. 「適用」をクリックします。

  6. 手順1から4を繰り返して、次のとおりの新しいポリシー・グループを作成します。

    • 名前: TAP Scheme

    • 認証スキーム: LDAPScheme

19.2.8.2 Oracle Access Managerでのリソースの作成

保護されるものを作成したので、今度はリソースをOracle Access Managerで作成してから、前に作成したポリシー・グループのいずれかに割り当てる必要があります。

  1. 以前に作成したoamadminアカウントを使用して、http://admin.mycompany.com/oamconsoleでOAMコンソールにログインします。

  2. ナビゲーション・ウィンドウで、「アプリケーション・ドメイン」→IAMスイートを開きます。

  3. 「リソース」をクリックします。

  4. 「参照」タブの下にあるツールバーの「開く」をクリックします。

  5. 「新規リソース」をクリックします。

    次の情報を入力します。

    • タイプ: http

    • ホスト識別子: IAMSuiteAgent

    • リソースURL: /oaam_sso.html

    • 保護レベル: Protected

    • 認証ポリシー: OAAM Protected Resources

    • 認可ポリシー: Protected Resource Policy

  6. 「適用」をクリックします。

19.2.8.3 TAPリソースのTAPポリシーへの移動

  1. 以前に作成したoamadminアカウントを使用して、http://admin.mycompany.com/oamconsoleでOAMコンソールにログインします。

  2. ナビゲーション・ウィンドウで、「アプリケーション・ドメイン」→IAMスイート→「認証ポリシー」を開きます。

  3. より上位の保護されているポリシーをクリックします。

  4. 「参照」タブの下にあるツールバーの「開く」をクリックします。

  5. リソース・ウィンドウで「/oamTAPAuthenticate」をクリックします。

  6. 「削除」をクリックします。

  7. 「適用」をクリックします。

  8. ナビゲーション・ウィンドウで、「アプリケーション・ドメイン」→IAMスイート→「認証ポリシー」を開きます。

  9. 「TAP Scheme」をクリックします。

  10. 「参照」タブの下にあるツールバーの「開く」をクリックします。

  11. リソース・ウィンドウで「追加」をクリックします。

  12. リソース「/oamTAPAuthenticate」を選択します。

  13. 「適用」をクリックします。

19.2.8.4 Oracle Adaptive Access Managerの検証

第20.5項「Webゲートのインストールと構成」の説明に従って、Oracle WebGateをインストールします。

https://sso.mycompany.com:443/oaam_sso.htmlのURLを使用して、保護されているリソースにアクセスします。OAAMで保護されたリソースが表示されます。oamadminなどの認可されたOracle Access Managerユーザーを使用してログインします。ログインすると、OAMで保護されているリソースが表示されます。

19.3 Oracle Adaptive Access Manager 11gとOracle Identity Manager 11gの統合

OAAMには広範なチャレンジ質問が用意されています。これには次のような機能があります。

Oracle Identity Managerにも基本的なチャレンジ質問機能があります。これによりユーザーは、パスワードを忘れた場合に、一連の構成可能な質問に答え、パスワードを再設定できます。OAAMとは異なり、Oracle Identity Managerには豊富なパスワード検証機能も用意されており、これにより、簡単な属性に加えて、所有するアカウントに基づいてポリシーを設定できます。

Identity Managementのデプロイメントでは、単一セットのチャレンジ質問を登録し、単一セットのパスワード・ポリシーを使用することをお薦めします。OAAMをOracle Identity Managerと統合することで、OAAMではチャレンジ質問が処理され、Oracle Identity Managerではパスワードの検証、保管および伝播が処理されます。これによりOAAMの不正防止機能を使用すると同時にパスワード検証にOracle Identity Managerを使用できます。OAAMをOracle Identity Managerと統合すると、ユーザー名やパスワードを忘れたユーザーをOracle Identity Managerを使用して補助できます。

この項の内容は次のとおりです。

19.3.1 前提条件

この関連付けを開始する前に、次の作業が行われたことを確認してください。

  1. Oracle Identity Managementのインストールと構成。

  2. Oracle Adaptive Access Managerのインストール。

  3. Oracle Access Managerのインストールと構成。

  4. 第19.1項「Oracle Identity ManagerとOracle Access Manager 11gの統合」の説明に従って、Oracle Identity ManagerとOracle Access Managerを統合します。

  5. 第19.2項「Oracle Adaptive Access ManagerとOracle Access Manager 11gの統合」の説明に従って、Oracle Access ManagerとOracle Adaptive Access Managerを統合します。

19.3.2 CSFでのOracle Identity Manager暗号化鍵の構成

  1. Webブラウザを使用して、http://admin.mycompany.com/emのOracle Enterprise Manager Fusion Middleware Controlにアクセスします。

  2. WebLogic管理者アカウント(たとえば、weblogic_idm)を使用して、ログインします。

  3. 左側ペインのナビゲーション・ツリーで「weblogic_domain」アイコンを展開します。

  4. 「IDMDomain」を選択して右クリックします。メニュー・オプション「セキュリティ」を選択し、サブ・メニューでオプション「資格証明」を選択します。

  5. 「oaam」をクリックしてマップを選択します。次に「キーの作成」をクリックします。

  6. ポップアップ・ウィンドウで「マップの選択」が「oaam」に設定されていることを確認します。

  7. 次を入力します。

    • キー名: oam.credentials

    • タイプ: パスワード

    • ユーザー名: xelsysadm

    • パスワード: xelsysadmアカウントのパスワード

  8. 「OK」をクリックして、秘密鍵を資格証明ストア・フレームワークに保存します。

19.3.3 Oracle Identity ManagerのOAAMプロパティの設定

http://admin.mycompany.com/oaam_adminのOAAM管理コンソールにアクセスします。第11.4.3項「Oracle Adaptive Access Manager用のユーザーとグループの作成」で作成したoaamadminアカウントを使用してログインします。次のように実行します。

  1. ナビゲーション・ツリーで、「環境」をクリックしてから、「プロパティ」をダブルクリックします。プロパティ検索ページが表示されます。

  2. プロパティ値を設定するには、「名前」フィールドに名前を入力して「検索」をクリックします。現在値が検索結果ウィンドウに表示されます

  3. 「値」をクリックします。新しい値を入力し「保存」をクリックします。

  4. OAAMとOracle Identity Managerの統合のため、次のプロパティを設定します。

    • bharosa.uio.default.user.management.provider.classname: com.bharosa.vcrypt.services.OAAMUserMgmtOIM

    • bharosa.uio.default.signon.links.enum.selfregistration.url: https://sso.mycompany.com:443/oim/faces/pages/USelf.jspx?E_TYPE=USELF&OP_TYPE=SELF_REGISTRATION&backUrl=https://sso.mycompany.com:443/oim/faces/pages/Self.jspx

    • bharosa.uio.default.signon.links.enum.trackregistration.enabled: true

    • bharosa.uio.default.signon.links.enum.selfregistration.enabled: true

    • bharosa.uio.default.signon.links.enum.trackregistration.url: https://sso.mycompany.com:443/oim/faces/pages/USelf.jspx?E_TYPE=USELF&OP_TYPE=UNAUTH_TRACK_REQUEST&backUrl=https://sso.mycompany.com:443/oim/faces/pages/Self.jspx

    • oaam.oim.csf.credentials.enabled: true

    • oaam.oim.url: t3://oimhost1.mycompany.com:14000,oimhost2.mycompany.com:14000

19.3.4 OAAMのOracle Identity Managerプロパティの設定

  1. https://sso.mycompany.com:443/oim/selfのOIM管理コンソールにログインします。

  2. セルフサービス・コンソールの「拡張」リンクをクリックします。

  3. 「システム管理」ボックスで「システム・プロパティの検索」をクリックします。

  4. 「システム構成」検索ボックスの下の「拡張検索」をクリックします。

  5. 拡張検索画面が表示されたら、右矢印(→)をクリックします。一般検索を実行します。検索文字列は指定しません。

  6. 表示されるプロパティのそれぞれをクリックして、「アクション」メニューで「開く」を選択します。次のように各プロパティの値を設定して、「保存」をクリックします。


    注意:

    プロパティ名が「キーワード」列に表示されます。

    • OIM.DisableChallengeQuestions: TRUE

    • OIM.ChangePasswordURL: https://sso.mycompany.com:443/oaam_server/oimChangePassword.jsp

    • OIM.ChallengeQuestionModificationURL: https://sso.mycompany.com:443/oaam_server/oimResetChallengeQuestions.jsp

19.3.5 TAPスキームの保護へのドメインの変更

http://admin.mycompany.com/oamconsoleのOAMコンソールにログインします。

  1. ナビゲーション・ウィンドウで、「アプリケーション・ドメイン」→IAMスイートを開きます。

  2. 「認証ポリシー」をクリックします。

  3. より上位の保護されているポリシーポリシーをダブルクリックします。

  4. 認証スキームを「TAPScheme」に変更します。

  5. 「適用」をクリックします。

19.3.6 Oracle Adaptive Access ManagerとOracle Identity Managerの再起動

第21章「Oracle Identity Managementコンポーネントの起動と停止」の説明に従って、次の管理対象サーバーを再起動します。

  • WebLogic管理サーバー

  • WLS_OAM1およびWLS_OAM2

  • WLS_OIM1およびWLS_OIM2

  • WLS_OAAM1およびWLS_OAAM2

19.3.7 Oracle Identity ManagerとOAAMの統合の検証

Oracle Identity ManagerがOAAMと統合されていることを次のように検証します。

  • https://sso.mycompany.com:443/oim/selfのURLのOIMコンソールにログインします。

    OAAMのログイン・ページが表示されます。

  • OIMコンソールにxelsysadmユーザーとしてログインします。

    チャレンジ質問とOAAM固有のセキュリティ・ポリシーを設定するように求められます。

19.4 Oracle Identity FederationとOracle Access Manager 11gの統合

Oracle Identity Federationは、Oracle Access Managerとの統合モードとして、認証モードとSPモードの2つをサポートしています。

認証モード(IdP)

認証モードでは、Oracle Identity Federationはユーザーの認証をOracle Access Managerに委任します。

ユーザーがWebゲートにより保護されるOracle Identity Federationリソースにリダイレクトされ、これによってOracle Access Managerの認証フローがトリガーされます。ユーザーは識別されるとリソースにアクセスでき、WebゲートはOracle Identity FederationにそのユーザーのIDを含むHTTPヘッダーを提供します。

SPモード

SPモードでは、Oracle Access Managerはユーザーの認証をOracle Identity Federationに委任します。ここでは、リモートのアイデンティティ・プロバイダとともにFederation Oracle Single Sign-Onプロトコルを使用します。Federation Oracle Single Sign-Onフローが実行されると、Oracle Identity Federationはローカル・セッションを作成し、その認証状況をOracle Access Managerに伝播します。これにより、セッション情報が管理されます。

この項では、認証モードおよびSPモードでOIFをOAM11gと統合する手順を説明します。

この項の内容は次のとおりです。

19.4.1 前提条件

この統合を開始する前に、次の作業が行われたことを確認してください。

19.4.2 認証モードでのOracle Identity FederationとOracle Access Managerの統合

この項の内容は次のとおりです。

19.4.2.1 Oracle Access Managerでの認可ポリシーの作成

Oracle Access Managerで認可ポリシーを作成し、Oracle Identity Federationのローカルな認可を有効にします。認可ポリシーを作成するには、OAM管理ユーザーとして、http://admin.mycompany.com/oamconsoleのOAMコンソールにログインします。次の手順を実行します。

  1. 「ポリシー構成」タブをクリックします。

  2. 「アプリケーション・ドメイン」セクションの下のIAMスイートを開きます。

  3. 「認可ポリシー」をクリックし、メニューから「作成」を選択します。

  4. 「認可ポリシー」ページで次の詳細を指定します。

    • 名前: 認可ポリシーの名前(例: OIF Local Authorization)。

    • 説明: ポリシーの説明。

  5. 「レスポンス」タブをクリックし、「+」をクリックして、HTTPヘッダー属性を追加します。次の情報を入力します。

    • 名前: 名前にはOAM_REMOTE_USERと入力します。次の項の認証エンジンの構成で使用するため、この名前はメモしておいてください。

    • タイプ: Header

    • 値: $user.attr.uid

  6. 「適用」をクリックします。

19.4.2.2 Oracle Access Managerでのリソースの作成

OIF URLのリソースを、認証においてOracle Access Managerにより保護されるように作成します。リソースを作成するには、OAM管理ユーザーとして、http://admin.mycompany.com/oamconsoleのOAMコンポールにログインします。次の手順を実行します。

  1. 「ポリシー構成」タブをクリックします。

  2. 「アプリケーション・ドメイン」セクションの下のIAMスイートを開きます。

  3. 「リソース」,をクリックし、メニューから「オープン」を選択します。

  4. IAMスイート・リソースページで「新規リソース」をクリックして、「リソース」ページを開きます。

  5. 「リソース」ページで、次の詳細を指定します。

    • タイプ: HTTPを選択します。

    • ホスト識別子: IAMSuiteAgent

    • リソースURL: /fed/user/authnoam

    • 問合せ文字列:空白のままにします。

    • 保護レベル: Protected

    • 認可ポリシー: 第19.4.2.1項「Oracle Access Managerでの認可ポリシーの作成」で作成した認可ポリシーを選択します(例: OIF Local Authorization)。

    • 認証ポリシー: より上位の保護されているポリシー。

  6. 「適用」をクリックします。

19.4.2.3 Oracle Access Manager認証エンジンの構成

Oracle Identity FederationのOracle Access Manager認証エンジンを構成し、Oracle Access Manager 11g WebゲートでOracle Identity Federationを保護します。認証エンジンを構成するには、WebLogic管理ユーザーとして、http://admin.mycompany.com/emのOracle Enterprise Manager Fusion Middleware Controlにログインします。次の手順を実行します。

  1. 「Identity and Access」の下で「Oracle Identity Federation」インスタンスを探し、これを選択します。

  2. 「管理」→「認証エンジン」に移動します。

  3. 「デフォルトの認証エンジン」として、リストからOracle Access Managerを選択します。

  4. 「Oracle Access Manager」タブをクリックします。

  5. 「認証エンジンの有効化」を選択して、Oracle Access Manager認証エンジンを有効にします。

  6. 「ユーザーの一意IDヘッダー」としてOAM_REMOTE_USERと入力します。

  7. 「ログアウト有効」は選択しないでください。ログアウトはOracle Single Sign-On SPエンジンで行われます。

  8. 「適用」をクリックして変更を適用します。

19.4.2.4 OSSO SPエンジンの構成

SP機能が使用されない場合でも、OSSO SPエンジンは構成する必要があります。Oracle Identity FederationとOracle Access Manager間のログアウト・フローでOSSO SPエンジンが使用されるため、これが必要となります。

第19.4.3.1項「OSSO SPエンジンの構成」の説明に従って、OSSO SPエンジンを構成します。

19.4.3 SPモードでのOracle Identity FederationとOracle Access Managerの統合

この項の内容は次のとおりです。

19.4.3.1 OSSO SPエンジンの構成

SPモードでは、Oracle Identity Federationはフェデレーション・プロトコルを使用してユーザーを認証し、Oracle Access Managerで認証済セッションを作成するよう認証モジュールにリクエストします。Oracle Identity FederationのSingle Sign-On SPエンジンはこのために使用されます。SSO SPエンジンでは、ログアウト統合も提供します。OIFがアサーション・トークンを送信し、セッション管理をOAMに誘導するよう、Oracle Single Sign-On SPエンジンをOAMサーバーの詳細で更新する必要があります。

Oracle Single Sign-On SPエンジンを更新するには、WebLogic管理ユーザーとして、http://admin.mycompany.com/emのOracle Enterprise Manager Fusion Middleware Controlにログインします。次の手順を実行します。

  1. 「Identity and Access」の下で「Oracle Identity Federation」インスタンスを探し、これを選択します。

  2. 「管理」→「サービス・プロバイダ統合モジュール」に移動します。

  3. 「Oracleシングル・サインオン」タブを選択します。

  4. 「SPモジュールの有効化」を選択してOracle Single Sign-On SPエンジンを有効にします。

  5. 次の詳細を指定します。

    • ユーザー名属性: uid

    • ログインURL: https://sso.mycompany.com/oam/server/dap/cred_submit

    • ログアウトURL: https://sso.mycompany.com/oam/server/logout

  6. 「ログアウト有効」を選択します。

  7. 「適用」をクリックし、Oracle Single Sign-On SPエンジンを更新します。

  8. 「再生成」をクリックし、キーストア・ファイルを生成します。このキーストアは、Oracle Access ManagerとOracle Identity Federationサーバー間で交換されるトークンの暗号化と解読に使用される鍵を含みます。

  9. 「別名で保存」ダイアログを使用してキーストア・ファイルを保存します。

  10. IDMHOST1上のユーザー定義の場所(MW_HOME/keystoresなど)にキーストア・ファイルをコピーします。このキーストアは、次の項でOracle Identity Federationを委任認証プロトコル(DAP)パートナとして登録するために使用されます。

19.4.3.2 Oracle Access ManagerでのOracle Identity Federation認証スキームの更新

Oracle Access Managerには、Oracle Identity Federation認証スキームが標準装備されています。このスキームは、使用する前に更新が必要です。スキームを更新するには、OAM管理ユーザーとして、http://admin.mycompany.com/oamconsoleのOAMコンソールにログインします。次の手順を実行します。

  1. 「ポリシー構成」タブをクリックします。

  2. 「共有コンポーネント」ツリーの下の「認証スキーム」を開きます。

  3. 「認証スキーム」の下の「OIFScheme」を選択し、メニューから「開く」を選択します。

  4. 「認証スキーム」ページで、次の情報を指定します。

    • チャレンジURL: https://sso.mycompany.com:443/fed/user/sposso

    • コンテキスト・タイプ: リストから「外部」を選択します。

    その他の値にはすべてデフォルトを使用します。

  5. 「適用」をクリックしてOIFSchemeを更新します。

19.4.3.3 Oracle Access ManagerでのOracle Identity Federation認証ポリシーの作成

Oracle Access Managerで認証ポリシーを作成し、OIFがユーザーを認証できるようにします。認証ポリシーを作成するには、OAM管理ユーザーとして、http://admin.mycompany.com/oamconsoleのOAMコンソールにログインします。次の手順を実行します。

  1. 「ポリシー構成」タブをクリックします。

  2. 「アプリケーション・ドメイン」セクションの下のIAMスイートを開きます。

  3. 「認証ポリシー」をクリックし、メニューから「作成」を選択します。

  4. 「認証ポリシー」ページで次の詳細を指定します。

    • 名前: 認証ポリシーの名前(例: OIF Policy)。

    • 説明: ポリシーの説明。

    • 認証スキーム: メニューからOIFスキームを選択します。

  5. 「適用」をクリックします。

19.4.3.4 テスト・ページの作成

テスト・ページを作成し、Oracle Identity FederationがOracle Access Managerと統合されていることを検証します。

WEBHOST1およびWEBHOST2のORACLE_INSTANCE/config/OHS/component/htdocsディレクトリに、次の内容でoif_sso.htmlというファイルを作成します。

<html>
<body>
<center>
<p>
<h2>
OIF Protected Resource
</h2>
</p>
</center>
</body>
</html>

19.4.3.5 Oracle Access Managerでのリソースの作成

Oracle Access Managerで保護するOracle Identity Federation URLのリソースを作成します。SPモードでは、Oracle Identity Federationはユーザーを認証し、その認証状態をOracle Access Managerに伝播します。ここで作成したリソースは、テストを目的としています。

リソースを作成するには、OAM管理ユーザーとして、http://admin.mycompany.com/oamconsoleのOAMコンポールにログインします。次の手順を実行します。

  1. 「ポリシー構成」タブをクリックします。

  2. 「アプリケーション・ドメイン」セクションの下のIAMスイートを開きます。

  3. 「リソース」,をクリックし、メニューから「オープン」を選択します。

  4. IAMスイート・リソースページで「新規リソース」をクリックして、「リソース」ページを開きます。

  5. 「リソース」ページで、次の詳細を指定します。

  6. 「適用」をクリックします。

19.4.3.6 Oracle Identity Federationに認証を委任するためのOracle Access Managerの構成

Oracle WebGateにより保護されるOracle Identity Federationリソースは、認証のためOracle Access Managerに転送されます。SPモードでは、Oracle Identity Federationはユーザーを認証し、その認証状態をOracle Access Managerに伝播します。Oracle Identity Federationがユーザーを認証できるようにするには、認証のためユーザーをOracle Identity Federationにリダイレクトするように、Oracle Access Managerを構成する必要があります。このためには、Oracle Access Managerの委任認証プロトコル(DAP)パートナとしてOracle Identity Federationを登録します。

IDMHOST1で次の手順を実行し、Oracle Access ManagerのDAPパートナとしてOracle Identity Federationを登録します。

  1. 前の項で生成されたキーストアがIDMHOST1で使用可能であることを確認します。

  2. IAM_ORACLE_HOME/common/binディレクトリからwlstシェルを起動します。たとえば、LinuxおよびUNIXベースのシステムでは次のように入力します。

    ./wlst.sh

    Windowsでは次のように入力します。

    ./wlst.cmd

  3. 次のwlst connectコマンドを使用して、WebLogic管理サーバーに接続します。

    connect('AdminUser',"AdminUserPassword",t3://hostname:port')

    次に例を示します。

    connect("weblogic","admin_password","t3://ADMINVHN.mycompany.com:7001")

  4. registerOIFDAPPartnerコマンドを使用して、Oracle Access ManagerのDAPパートナとしてOracle Identity Federationを登録します。

    次に構文を示します。

    registerOIFDAPPartner(keystoreLocation="path_to_keystore", logoutURL="OIF_logout_URL", rolloverTime="")

    前述の内容に関する説明を次に示します。

    • path_to_keystoreは、IDMHOST1上のキーストア・ファイルの場所です(例: /u01/app/oracle/product/fmw/keystores/keystore)。

    • OIF_logout_URLは、OIFサーバーのログアウトURLです。ログアウトURLとして

      https://oifhost:oifport/fed/user/spsloosso?doneURL=https://oamhost:oam port/oam/logout.jspを使用します。

      oifhostおよびoamhostの値には、sso.mycompany.comを使用します。

      oifportおよびoamportの値には、443を使用します。

    • rollover_timeは、SASSOトークンの暗号化または解読に使用される鍵のロールオーバー間隔です。

    次に例を示します。

    wls:/IDMDomain/serverConfig> registerOIFDAPPartner(keystoreLocation="/u01/app/oracle/product/fmw/keystores/keystore", logoutURL="https://sso.mycompany.com/fed/user/spsloosso?doneURL=https://sso.mycompany.com/oam/logout.jsp")

Registration Successful

  5. 第21.1項「Oracle Identity Managementコンポーネントの起動と停止」の手順に従って、管理サーバーとOracle Access ManagerおよびOracle Identity Federationの管理対象サーバーを再起動します。


注意:

すべてのOracle Access Manager管理対象サーバーを停止すると、WebLogic管理コンソールにはアクセスできなくなります。シングル・サインオンが構成されると、WebLogic管理コンソールへのアクセスはOracle Access Managerを介して制御されます。これには、少なくとも1つのOracle Access Manager管理対象サーバーが実行されている必要があります。

19.4.4 Oracle Identity FederationとOracle Access Managerの統合の検証

構成を検証する前に、プロバイダ・メタデータを取得し、プロバイダを登録します。検証では、Oracle Identity Federationは、アイデンティティ・プロバイダとサービス・プロバイダの両方として機能します。

19.4.4.1 プロバイダ・メタデータの生成

次の手順を実行して、IdPおよびSPのメタデータを生成します。

WebLogic管理ユーザーとして、http://admin.mycompany.com/emのOracle Enterprise Manager Fusion Middleware Controlにログインします。次の手順を実行します。

  1. 「Identity and Access」の下で「Oracle Identity Federation」インスタンスを探し、これを選択します。

  2. 「管理」→「セキュリティおよび信頼」に移動します。

  3. 「プロバイダ・メタデータ」タブを選択します。

  4. 「メタデータの生成」セクションで、次の手順を実行します。

    1. 「プロバイダ・タイプ」リストから「サービス・プロバイダ」を選択します。

    2. サービス・プロバイダの「メタデータの生成」をクリックします。

    3. 「ファイルの保存」オプションを使用して生成されたファイルを保存します。

    4. 「プロバイダ・タイプ」リストから「アイデンティティ・プロバイダ」を選択します。

    5. アイデンティティ・プロバイダの「メタデータの生成」をクリックします。

    6. 「ファイルの保存」オプションを使用して生成されたファイルを保存します。

19.4.4.2 プロバイダの登録

次の手順を実行し、前項で生成されたメタデータを使用してIdPプロバイダおよびSPプロバイダを登録します。

WebLogic管理ユーザーとして、http://admin.mycompany.com/emのOracle Enterprise Manager Fusion Middleware Controlにログインします。次の手順を実行します。

  1. 「Identity and Access」の下で「Oracle Identity Federation」インスタンスを探し、これを選択します。

  2. 「管理」→「フェデレーション」に移動します。

  3. 「信頼できるプロバイダ」の下で「追加」をクリックし、信頼できるプロバイダを追加します。

  4. 「信頼できるプロバイダの追加」ページで、次の手順を実行します。

    1. 「メタデータのロード」を選択します。

    2. 「ファイルの選択」をクリックし、第19.4.4.1項「プロバイダ・メタデータの生成」で生成されたSPおよびIdPのメタデータ・ファイルを選択します。

  5. 「フェデレーション」ページで、両方のプロバイダが「信頼できるプロバイダ」のリストに表示されていることを確認します。

19.4.4.3 デフォルトのアイデンティティ・プロバイダの設定

次の手順を実行し、前項でデフォルトIdPとして登録されたアイデンティティ・プロバイダを設定します。

http://admin.mycompany.com/emのOracle Enterprise Manager Fusion Middleware Controlにログインします。

ここではWebLogic管理ユーザーとしてログインします。次の手順を実行します。

  1. 「Identity and Access」の下で「Oracle Identity Federation」インスタンスを探し、これを選択します。

  2. 「管理」→「サービス・プロバイダ」に移動します。

  3. 「デフォルトSSOアイデンティティ・プロバイダ」には、リストから上記で登録したIdPを選択します。「デフォルトSSOアイデンティティ・プロバイダ」は、「プロトコル設定」セクションの下にあります。

  4. 「適用」をクリックします。

19.4.4.4 デフォルトの認証エンジンのLDAPエンジンへの更新

SPモードでのOracle Access Managerとの統合をテストする際、Oracle Identity Federationを同時に同じリソースに対してサービス・プロバイダとアイデンティティ・プロバイダの両方として構成することはできません。SPモードの構成をテストする際、デフォルトの認証エンジンはLDAPエンジンに設定する必要があります。テストが完了したら、これをOracle Access Managerに再設定します。

SPモードまたはIdPモードのみでリソースを保護するようにOracle Identity Federationインスタンスを構成している場合は、この手順は必要ありません。

デフォルトの認証エンジンを設定するには、WebLogic管理ユーザーとして、http://admin.mycompany.com/emのOracle Enterprise Manager Fusion Middleware Controlにログインします。次の手順を実行します。

  1. 「Identity and Access」の下でOracle Identity Federationインスタンスを探し、これを選択します。

  2. 「管理」→「認証エンジン」に移動します。

  3. 「デフォルトの認証エンジン」として、リストから「LDAPディレクトリ」を選択します。

  4. 「適用」をクリックして変更を保存します。

19.4.4.5 デフォルトのSSOレスポンス・バインディングの更新

デフォルトでは、デフォルトのSSOレスポンス・バインディングはSOAPプロトコルを使用するように設定されています。テストを容易にするために、このパラメータをHTTPポストに更新することをお薦めします。

デフォルトのSSOレスポンス・バインディングを設定するには、WebLogic管理ユーザーとして、http://admin.mycompany.com/emのOracle Enterprise Manager Fusion Middleware Controlにログインします。次の手順を実行します。

  1. 「管理」→「サービス・プロバイダ」に移動します。

  2. 「サービス・プロバイダ」ページでSAML 2.0タブを選択します。

  3. 「デフォルトSSOレスポンス・バインディング」の値を「HTTPポスト」に変更します。「デフォルトSSOレスポンス・バインディング」は、「プロトコル設定」セクションの下にあります。

  4. 「適用」をクリックして変更を保存します。

19.4.4.6 SPモード構成の検証

次の手順に従って、SPモード構成を検証します。

  1. ブラウザを使用して、第19.4.2.2項「Oracle Access Managerでのリソースの作成」で作成した保護されているリソースにアクセスします(例: https://sso.mycompany.com/oif_sso.html)。

  2. ログイン・ページでweblogic_idmユーザーの資格証明を入力します。


    注意:

    このユーザーは、LDAPユーザー・レコードのmail属性に電子メール・アドレスを指定する必要があります。これは、この電子メール・アドレスが使用されるデフォルトのNameID形式となるためです。

  3. 保護されたリソースが表示されます。

19.4.4.7 デフォルトの認証エンジンのOracle Access Managerへの更新

第19.4.4.4項「デフォルトの認証エンジンのLDAPエンジンへの更新」では、SPモード構成の検証用に、デフォルトの認証エンジンをLDAPエンジンに設定しています。この設定は、Oracle Access Managerに戻す必要があります。

SPモードまたはIdPモードのみでリソースを保護するようにOracle Identity Federationインスタンスを構成している場合は、この手順は必要ありません。

デフォルトの認証エンジンを設定するには、WebLogic管理ユーザーとして、http://admin.mycompany.com/emのOracle Enterprise Manager Fusion Middleware Controlにログインします。次の手順を実行します。

  1. 「Identity and Access」の下でOracle Identity Federationインスタンスを探し、これを選択します。

  2. 「管理」→「認証エンジン」に移動します。

  3. 「デフォルトの認証エンジン」として、リストから「Oracle Access Manager」を選択します。

  4. 「適用」をクリックして変更を保存します。

19.4.4.8 認証モード構成の検証

次の手順に従って、認証モード構成を検証します。

  1. https://sso.mycompany.com/fed/user/testspssoのSP SSOのテスト・ページにアクセスします。

  2. 「フェデレーションSSOの開始」ページで次の選択を行います。

    1. 「IdPプロバイダID」の値をリストから設定します(例: デフォルト)。

    2. 「認証リクエスト・バインディング」の値をリストから「HTTPポスト」に設定します。

    3. 「デフォルト構成を使用」を選択します。

  3. 「SSOの開始」をクリックします。

  4. Oracle Access Managerログイン・ページでweblogic_idmユーザーの資格証明を入力します。

  5. 「フェデレーションSSO操作結果」ページが表示されます。このユーザーのSSO認証結果が正常であることを確認します。

19.5 アイデンティティ管理の監査

Oracle Fusion Middleware監査フレームワークは、Oracle Fusion Middleware 11gで追加された新しいサービスであり、ミドルウェア製品ファミリの集中監査フレームワークです。このフレームワークでは、Oracle Platform Security Services(OPSS)やOracle Web Servicesなどのプラットフォーム・コンポーネントに対して監査サービスが提供されます。また、これは、Oracle固有のJavaEEコンポーネントをはじめ、様々なJavaEEアプリケーションのフレームワークとしても機能します。Java EEアプリケーションは、アプリケーション固有の監査イベントを作成できます。ミドルウェアのOracleコンポーネントのうちJavaEE以外のもの、たとえばCやJavaSEのコンポーネントについても、JavaEEアプリケーションと同様、エンドツーエンドのフレームワーク構造を実現します。

図19-1は、Oracle Fusion Middleware監査フレームワーク・アーキテクチャの概要図です。

図19-1 監査イベント・フロー

図19-1については図の前後の説明を参照してください。

Oracle Fusion Middleware監査フレームワークは、次の主要コンポーネントで構成されます。

Oracle Fusion Middleware監査フレームワークの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の「Oracle Fusion Middleware監査フレームワークの概要」を参照してください。

Oracle Fusion Middleware監査フレームワーク用にリポジトリを構成する方法の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の「監査の構成と管理」を参照してください。

EDGトポロジには、Oracle Fusion Middleware監査フレームワーク構成が含まれていません。監査データをバスストップ・ファイルに生成する機能と監査ローダーの構成は、製品がインストールされた後に使用可能になります。主な留意点は、監査データを保管する監査データベース・リポジトリです。監査データのボリュームと履歴特性により、運用中のストアや他のミドルウェア・コンポーネントによって使用されるストアとは別のデータベースを使用することを強くお薦めします。

  前へ
前へ 		 次へ
次へ
  目次へ
目次		 索引へ
索引