Oracle Fusion Middleware Oracle Internet Directory管理者ガイド 11g リリース1(11.1.1) B55919-02 |
|
![]() 前 |
![]() 次 |
この章では、オンライン・ディレクトリ、Lightweight Directory Access Protocol(LDAP)バージョン3の概要、およびOracle Internet Directory固有の機能と利点について説明します。
この章の項目は次のとおりです。
ディレクトリとは、同様の属性を持つエントリが階層的に編成された集合です。ディレクトリは、リソース(たとえば、人、図書館の本、百貨店の商品など)のリストで、それぞれに関する詳細情報が得られます。ディレクトリは、オフライン(たとえば、電話帳、百貨店のカタログ)、オンラインのいずれでも使用できます。
オンライン・ディレクトリは、分散コンピュータ・システムを持つ企業が、迅速な検索、ユーザーとセキュリティの管理、および複数のアプリケーションとサービスの統合の目的で使用しています。オンライン・ディレクトリは、E-Businessおよびホスティングされた環境の双方にとっても重要なものになっています。
この項の項目は次のとおりです。
オンライン・ディレクトリは、オブジェクトに関する一連の情報を格納して検索する特殊なデータベースです。このような情報として、管理が必要なあらゆるリソースに関する情報(従業員名、役職、セキュリティ資格証明、パートナ情報、会議室やプリンタなどの共有ネットワーク・リソースに関する情報)があります。
オンライン・ディレクトリは、次のような様々なユーザーやアプリケーションによって、様々な用途で使用されます。
会社の個人別電話帳情報を検索し、メール・クライアントでアドレス帳から電子メール・アドレスを調べる従業員
ユーザーのメール・サーバーの位置を特定する、メッセージ転送エージェントなどのアプリケーション
ユーザーのロール情報を識別するデータベース・アプリケーション
オンライン・ディレクトリはデータベース(データの構造化された集合)ですが、リレーショナル・データベースにはなっていません。次の表はオンライン・ディレクトリをリレーショナル・データベースと対比しています。
表1-1 オンライン・ディレクトリとリレーショナル・データベースの比較
過去において、一部の大企業は、それぞれが特別な用途を指定された100を超えるディレクトリを使用していました。また、一部のアプリケーションには、それぞれユーザー名を割り当てた固有のディレクトリが使用されていました。
専用のディレクトリを多数管理していると、次のような問題が発生する可能性がありました。
高い管理費用: 管理者は、複数の場所で基本的には同じ情報をメンテナンスする必要がありました。たとえば、ある企業が新しい従業員を雇用するとき、管理者は新しいユーザー・アイデンティティをネットワークに作成し、新しい電子メール・アカウントを作成し、そのユーザーを従業員データベースに追加し、そして従業員が必要とするすべてのアプリケーション(開発、テストおよび本番データベース・システムのユーザー・アカウントなど)を設定する必要がありました。その従業員が退社した場合は、管理者はこれらのユーザー・アカウントをすべて無効にするために逆の処理を行う必要がありました。
一貫性のないデータ: 大きな管理オーバーヘッドのため、複数のシステムに冗長な情報を入力している複数の管理者にとっては、この従業員の情報をすべてのシステムで同期化させることが困難な場合がありました。結果として、企業内で一貫性のないデータが発生することになりました。
セキュリティの問題: 各ディレクトリには、独自のパスワード・ポリシーがありました。つまり、ユーザーは、システムごとに異なる様々なユーザー名とパスワードを覚える必要がありました。
今日の企業には、様々なアプリケーションとサービスをサポートするために、共通の規格に基づいた汎用性の高いディレクトリのインフラストラクチャが必要です。
LDAPは、ディレクトリ・クライアントとサーバーが通信に使用する標準的で拡張可能なディレクトリ・アクセス・プロトコルです。
この項の項目は次のとおりです。
LDAPは、インターネットに対応する軽量実装として考案された、国際標準化機構(ISO)のディレクトリ・サービスに関するX.500規格です。クライアント側で必要なネットワーキング・ソフトウェアを最小限に抑えられるため、インターネットベースのシン・クライアント・アプリケーションにとって特に有用です。
LDAP規格は、ディレクトリ情報の管理を次の3つの方法で単純化します。
拡張可能な単一のディレクトリ・サービスに対し、正しく定義された単一の標準インタフェースを企業内のすべてのユーザーとアプリケーションに提供します。これによって、ディレクトリに対応したアプリケーションの迅速な開発とデプロイが簡単になります。
企業内に散在する複数のサービスへの、冗長な情報の入力と調整の必要性を低減します。
正しく定義されたプロトコルと一連のプログラム・インタフェースによって、ディレクトリを活用するインターネット対応のアプリケーションのデプロイがより実用的になります。
最新バージョンのLDAPバージョン3は、1997年12月、Internet Engineering Task Force(IETF)によって、インターネット標準の案として承認されました。LDAPバージョン3では、次のいくつかの重要な領域においてLDAPバージョン2の内容が改善されています。
グローバリゼーション・サポート: LDAPバージョン3では、世界中の言語で使用されている文字を、サーバーとクライアントの両方でサポートできます。
ナレッジ参照(参照とも呼ばれる): LDAPバージョン3の参照機能によって、サーバーは、ディレクトリ問合せの結果として、参照を他のサーバーに返すことができます。これにより、ディレクトリ情報ツリー(DIT)を複数のLDAPサーバーにわたってパーティション化して、ディレクトリをグローバルに分散できます。
セキュリティ: LDAPバージョン3では、Simple Authentication and Security Layer(SASL)をサポートするための標準機能が追加され、データ・セキュリティに関する総合的で拡張可能なフレームワークが提供されています。
拡張性: LDAPバージョン3では、ベンダーは、制御と呼ばれるメカニズムを使用して既存のLDAP操作を拡張できます。これらは、既存の操作に付随する追加情報で、操作の動きを変更します。クライアント・アプリケーションから標準LDAPコマンドとともに制御が渡されると、命令された操作の動きがそれに応じて変更されます。たとえば、クライアントからディレクトリ内の非表示メタ情報を変更するには、LDAPコマンドに加えてmanageDSAIT制御を送信します。
機能およびスキーマの開示: LDAPバージョン3では、他のLDAPサーバーやクライアントに役立つ情報(サポートされるLDAPプロトコルやディレクトリ・スキーマの説明など)を公開できます。
関連項目:
|
Oracle Internet Directoryは、分散したユーザーおよびネットワーク・リソースに関する情報の高速検索と集中管理を可能にする汎用ディレクトリ・サービスです。これは、Lightweight Directory Access Protocol(LDAP)バージョン3と、Oracle Databaseの高いパフォーマンス、スケーラビリティ、堅牢性および可用性を組み合せたものです。
この項の項目は次のとおりです。
Oracle Internet Directoryは、Oracle Database上のアプリケーションとして動作します。オペレーティング・システムに依存しないOracleのデータベース接続ソリューションであるOracle Net Servicesを使用して、データベースと通信します。データベースのホストが異なっていてもかまいません。図1-1に、この関係を示します。
Oracle Internet Directoryには、次のものがあります。
Oracleディレクトリ・サーバー。人員とリソースの情報に関するクライアントのリクエストに応答します。また、TCP/IPを介し、複数層アーキテクチャを直接使用して、その情報を更新します。
Oracleディレクトリ・レプリケーション・サーバー。Oracleディレクトリ・サーバー間で、LDAPデータをレプリケートします。
ディレクトリ管理ツールには、次のものがあります。
Oracle Enterprise Manager Fusion Middleware ControlのOracle Internet Directoryページ
Oracle Directory Services Manager
コマンドライン管理およびデータ管理ツール
Oracle Internet Directory Software Developer's Kit。
関連項目: Oracle Internet Directory Software Developer's Kitの詳細は、『Oracle Fusion Middleware Oracle Identity Managementアプリケーション開発者ガイド』を参照してください。 |
Oracle Internet Directoryの大きな利点は、スケーラビリティ、高可用性、セキュリティおよびOracle環境との緊密な統合です。
Oracle Internet Directoryは、Oracle Databaseの高機能を活用して、TB単位に及ぶディレクトリ情報のサポートを可能にします。さらに、共有LDAPサーバーやデータベース接続プーリングなどのテクノロジによって、千単位の同時クライアントであっても、わずかな検索レスポンス時間を実現します。
Oracle Internet Directoryの物理アーキテクチャは、複数スレッド、複数プロセスおよび複数インスタンスです。これによって、デプロイメント・オプションの柔軟性が高まります。Oracle Internet Directoryは、SMPまたはNUMAハードウェア上の多数のCPUに応じて拡張できます。Oracle RACデータベースとOracle Internet Directoryのクラスタ構成を使用して、複数のハードウェア・ノードに対して1つのディレクトリをデプロイし、水平スケーラビリティを実現します。
関連項目: 『Oracle Fusion Middleware高可用性ガイド』 |
Oracle Internet Directoryは、Oracle Directory Services Managerや様々なコマンドライン・ツールなど、大量のLDAPデータを操作するためのデータ管理ツールも提供します。
Oracle Internet Directoryによって、最も包括的な高可用性構成が提供されます。ディレクトリ・レプリケーション、アクティブ/パッシブ・クラスタ構成、Oracle RAC Databaseを使用したアクティブ/アクティブ・クラスタ構成、Oracle Data Guardを使用した障害時リカバリ機能があります。
Oracle Internet Directoryは、Oracle Databaseの可用性機能もすべて活用しています。ディレクトリ情報は、Oracle Databaseに安全に格納されるため、Oracleのバックアップ機能によって保護されます。また、Oracle Databaseは、大規模なデータストアおよび高負荷で実行されていても、システム障害からすぐにリカバリできます。
Oracle Internet Directoryは、広範囲にわたる柔軟なアクセス制御を提供します。管理者は、特定のディレクトリ・オブジェクトまたはディレクトリ・サブツリー全体に対するアクセス権限を付与または制限できます。さらに、Oracle Internet Directoryは、匿名、パスワード・ベース、およびSecure Sockets Layer (SSL)バージョン3を使用した証明書ベースという3つのレベルのユーザー認証を実装し、認証アクセスおよびデータ・プライバシが保障されています。
Oracle Database Vaultを使用して、Oracle Internet Directoryで管理者および特権ユーザーのディレクトリ・データへのアクセスを制限できます。Oracle Transparent Data Encryptionを使用して、Oracle Internet Directoryでディスクおよびバックアップのデータを確実に保護できます。
Oracle製品は、容易な管理、厳重なセキュリティ、複数のディレクトリの簡単な統合を実現するためにOracle Internet Directoryを使用します。
この項の項目は次のとおりです。
Oracle Platform Security Servicesにより、ユーザーおよびグループは、組み込まれたLDAPリポジトリにデフォルトで格納されます。ただし、LDAPリポジトリ(Oracle Internet Directoryなど)のアイデンティティ・データを使用するよう、ドメインを構成できます。また、Oracle WebLogic Serverは、他のLDAPサーバーとともに使用できる一般的なLDAP認証プロバイダを提供します。デフォルトでは、OPSSにより、ポリシーおよび資格証明がファイルベース・ストアに格納されます。これらのストアは、Oracle Internet DirectoryサーバーまたはOracle Virtual Directoryサーバーの支援を受けるLDAPリポジトリに変更(再関連付け)できます。
Oracle Webcenter SuiteのセキュリティはOPSSに基づいています。このため、アイデンティティ、ポリシーおよび資格証明の格納をOracle Internet Directoryで行うことができます。LDAPコマンドを使用すると、ユーザーを追加または変更したり、ディレクトリを検索することができるため、ユーザー・アカウントをエクスポートおよびインポートする場合に役立ちます。
Oracle Access Managerでは、ユーザー、構成およびポリシー・データのOracle Internet Directoryなど(複数レルム)のディレクトリへの格納がサポートされます。データは、同一ディレクトリ・サーバーにまとめて格納することも、異なるディレクトリ・サーバーに格納することもできます。
Oracle Net ServicesではOracle Internet Directoryを使用して、データベース・サービスと、これを表すネット・サービス名と呼ばれる単純名を格納および解決します。
Oracle Databaseでは、Oracle Internet Directoryを使用して、エンタープライズ・ロールなどの認可情報とともにユーザー名およびパスワードが格納されます。また、Oracle Internet Directoryを使用して、各ユーザーのエントリとともにパスワード・ベリファイアが格納されます。
Oracle Enterprise User Securityは、次の目的でOracle Internet Directoryを使用します。
ユーザー認証資格証明の集中管理
Oracle Advanced Securityは、ユーザーのデータベース・パスワードを各データベースに格納するのではなく、ディレクトリという1箇所に格納します。パスワードはユーザー・エントリの属性として格納されます。
ユーザー認可の集中管理
Oracle Advanced Securityは、エンタープライズ・ロールと呼ばれるディレクトリ・エントリを使用して、共有または所有にかかわらず指定のスキーマ内でエンタープライズ・ユーザーに付与されている権限を判断します。エンタープライズ・ロールは、データベース固有のグローバル・ロールのコンテナです。たとえば、あるユーザーを事務のエンタープライズ・ロールに割り当て、このロールに、人事のグローバル・ロールと人事管理データベースに対する付随権限、および分析のグローバル・ロール・ロールと給与管理データベースに対する付随権限を含めることができます。
共有スキーマへのマッピング
Oracle Advanced Securityは、マッピング(個別のアカウントではなく、データベース上の共有アプリケーション・スキーマをエンタープライズ・ユーザーに指し示すディレクトリ・エントリ)を使用します。たとえば、複数のエンタープライズ・ユーザーを、ユーザー名の個別のアカウントではなく、スキーマsales_application
に対してマップできます。
単一パスワード認証
Oracle DatabaseではOracle Advanced Securityによって、エンタープライズ・ユーザーが、集中管理された単一のパスワードを使用して複数のデータベースに対する認証を実行できます。パスワードは、ユーザーのエントリの属性としてディレクトリに格納され、暗号化とアクセス制御リスト(ACL)によって保護されます。これによって、ユーザーは、クライアントでのSecure Sockets Layer(SSL)を設定し、複数のパスワードを記憶する必要がなくなります。
PKI資格証明の集中格納
Oracle DatabaseとOracle Application Serverでは、ユーザー・ウォレットをユーザーのエントリの属性としてディレクトリに格納できます。この方法でウォレットを格納することにより、モバイル・ユーザーは、エンタープライズ・ログイン・アシスタントを使用してウォレットを取得して開くことができます。ウォレットが開いている間は認証が透過的に行われるため、ユーザーはスキーマを所有または共有しているデータベースに再認証せずにアクセスできます。
別のディレクトリ・サービス製品であるOracle Virtual Directoryでは、LDAPプロトコルやXMLプロトコルを介して、複数のデータ・ソースへの動的な単一アクセス・ポイントを提供します。このことは、リアルタイムのデータ結合、および単一の論理ディレクトリを公開する抽象化レイヤーを提供することによって行われ、データを同期化したりネイティブの場所から移動する必要はありません。Oracle Virtual Directoryでは、Oracle Internet Directory、Microsoft Active Directory、Sun Java Systems Directoryなどのインスタンスに格納されているアイデンティティ・データのアプリケーション固有のビューが複数提供されており、Oracle Virtual Directoryを使用してアプリケーション固有のソースへのデータ・アクセスを保護し、既存データ・ソースに対する高可用性を向上させることができます。これらの機能により、迅速にアプリケーションのデプロイメントを行うことができ、アプリケーションをデプロイする前にユーザー情報を統合する必要がないため、費用が削減されます。Oracle Virtual Directoryを使用すると、ユーザー・リポジトリの追加、変更または削除によって変化するアイデンティティ全体に、これらのアプリケーションを適応させることができます。Oracle Virtual Directoryには、次の利点があります。
複数のディレクトリの整理統合
ディレクトリ・サービスの仮想化および配布の提供
管理コストの削減とセキュリティの向上
エンタープライズ・アプリケーションの迅速な拡張
情報に対するユビキタスなアクセスの提供
実装のコスト削減
関連項目: 『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』 |
Oracle Directory Integration Platformは、インタフェースとサービスの集合であり、Oracle Internet Directoryおよび関連するプラグインやコネクタを使用して複数のディレクトリを統合します。これには次の利点があります。
すべてのOracleコンポーネントでは、Oracle Internet Directoryを使用することが事前に認証されています。
サード・パーティの各ディレクトリをOracle Internet Directoryに統合することによって、Oracle環境全体をサード・パーティ・ディレクトリに簡単に統合できます。したがって、各アプリケーションを各ディレクトリと統合する必要はありません。
関連項目: Oracle Fusion Middleware Oracle Directory Integration Platform管理者ガイド |