20 Oracle Directory Server Enterprise Edition(Sun Java System Directory Server)との統合

この章では、Oracle Identity ManagementとOracle Directory Server Enterprise Edition(以前のSun Java System Directory Server、その前はSunONE iPlanet)を統合する手順について説明します。この項の内容は、次のとおりです。

• Oracle Directory Server Enterprise Editionの同期要件の確認

• Oracle Directory Server Enterprise Editionとの基本同期の構成

• Oracle Directory Server Enterprise Editionとの拡張統合の構成

注意: この章を読む前に、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』のOracle Internet Directoryの概念とアーキテクチャに関する章を理解しておく必要があります。また、このマニュアルのここまでの章、特に次の章を理解していることを前提としています。 第1章「Oracle Identity Management統合の概要」 第4章「Oracle Directory Integration Platformの操作」 第5章「Oracle Directory Synchronization Serviceの概要」 第16章「サード・パーティ・ディレクトリ統合の概念と考慮事項」 Oracle Directory Server Enterprise Edition(Sun Java System Directory Server)との統合のデモンストレーションを構成する場合は、Oracle Technology Network(http://www.oracle.com/technology/)で参照可能なOracle Identity Management 11gリリース1(11.1.1)のOracle By Exampleシリーズを参照してください。

20.1 Oracle Directory Server Enterprise Editionの同期要件の確認

Oracle Directory Server Enterprise Edition(以前のSun Java System Directory Server)で基本同期または拡張同期を構成するには、「同期要件の確認」の指示に従い、使用する環境で必要な同期要件が満たされていることを確認してください。Oracle Directory Server Enterprise Editionと同期化する前に、次の手順も実行する必要があります。

• インポート操作とエクスポート操作の実行に十分な権限を持つユーザー・アカウントをOracle Directory Server Enterprise Editionに作成する際に、tombstoneの読取りに十分な権限を必ず割り当てます。

• Oracle Directory Server Enterprise Editionで変更ログを有効にします。

• Retro Change Logプラグインを有効にします。

20.2 Oracle Directory Server Enterprise Editionとの基本同期の構成

expressSyncSetupコマンドを使用すると、Oracle Internet DirectoryとOracle Directory Server Enterprise Edition(以前のSun Java System Directory Server)間の同期を迅速に確立できます。expressSyncSetupコマンドでは、デフォルトの設定を使用してすべての必須構成を自動的に実行し、インポート用とエクスポート用の2つの同期プロファイルも作成します。expressSyncSetupコマンドを使用してOracle Directory Server Enterprise Editionと同期化するには、「expressSyncSetupを使用したインポートおよびエクスポートの同期プロファイルの作成」を参照してください。

20.3 Oracle Directory Server Enterprise Editionとの拡張統合の構成

Oracle Directory Integration Platformをインストールすると、サポート対象のサード・パーティ・ディレクトリごとにインポートおよびエクスポートの同期プロファイルのサンプルが自動的に作成されます。Oracle Directory Server Enterprise Edition(以前のSun Java System Directory Server)用に作成された同期プロファイルのサンプルは、次のとおりです。

• iPlanetImport - Oracle Directory Server Enterprise EditionからOracle Internet Directoryに変更をインポートするためのプロファイル

• iPlanetExport - Oracle Internet DirectoryからOracle Directory Server Enterprise Editionに変更をエクスポートするためのプロファイル

expressSyncSetupコマンドまたはOracle Enterprise Manager Fusion Middleware Controlを使用して、追加の同期プロファイルを作成することもできます。インストール・プロセス時またはexpressSyncSetupコマンドによって作成されたインポートおよびエクスポートの同期プロファイルは、Oracle Internet DirectoryとOracle Directory Server Enterprise Editionの統合をデプロイする際に使用する開始点としてのみ利用されます。デフォルトの同期プロファイルは事前定義の仮定を使用して作成されるため、次の手順を順序どおりに実行して、環境に合せてそれらをさらにカスタマイズする必要があります。

• 手順1: 統合の計画

• 手順2: レルムの構成

• 手順3: ACLのカスタマイズ

• 手順4: 属性マッピングのカスタマイズ

• 手順5: 削除を同期化するためのOracle Directory Server Enterprise Edition(Sun Java System Directory Server)コネクタのカスタマイズ

• 手順6: パスワードの同期化

• 手順7: SSLモードでの同期

• 手順8: Oracle Directory Server Enterprise Edition(Sun Java System Directory Server)外部認証プラグインの構成

• 手順9: 構成後タスクおよび管理タスクの実行

20.3.1 手順1: 統合の計画

第16章「サード・パーティ・ディレクトリ統合の概念と考慮事項」、特に「Oracle Directory Server Enterprise Edition(Sun Java System Directory Server)統合の概念」を読んで、統合を計画します。「同期プロファイルの作成」の指示に従い、既存のOracle Directory Server Enterprise EditionまたはSun Java System Directory Serverのテンプレート・プロファイルをコピーして、必ず新規のプロファイルを作成します。

20.3.2 手順2: レルムの構成

「レルムの構成」の指示に従い、レルムを構成します。

20.3.3 手順3: ACLのカスタマイズ

「Access制御リストのカスタマイズ」で説明されているように、ACLをカスタマイズします。

20.3.4 手順4: 属性マッピングのカスタマイズ

Oracle Directory Server Enterprise Editionと統合する場合は、次の属性レベル・マッピングがすべてのオブジェクトに対して必須です。

Targetdn:1: :person:orclsourceobjectdn: : orclSUNOneobject:

例20-1 Oracle Directory Server Enterprise Edition(Sun Java System Directory Server)のユーザー・オブジェクト用の属性レベル・マッピング

Cn:1: :person: cn: :person:
sn:1: :person: sn: :person:

例20-2 Oracle Directory Server Enterprise Edition(Sun Java System Directory Server)のグループ・オブジェクト用の属性レベル・マッピング

Cn:1: :groupofname: cn:groupofuniquenames

この例では、Oracle Directory Server Enterprise EditionのCnおよびsnは、それぞれOracle Internet Directoryのcnおよびsnにマップされます。

「マッピング・ルールのカスタマイズ」の指示に従い、属性マッピングをカスタマイズします。

20.3.5 手順5: 削除を同期化するためのOracle Directory Server Enterprise Edition(Sun Java System Directory Server)コネクタのカスタマイズ

削除の同期が必要で、マッピング・ルールに必須属性がある場合、tombstoneが正しく構成されていることを確認してください。

Oracle Directory Server Enterprise Editionでtombstoneが構成されていることを確認するには、次のコマンドを実行します。

$ORACLE_HOME/bin/ldapsearch -h connected_directory_host \
-p connected_directory_port -D  connected_directory_account -q \
-b source_domain -s sub "objectclass=nstombstone"

注意: パスワードを要求されます。

このコマンドにより、すべての削除済エントリの情報が得られます。

関連項目: tombstoneの構成の詳細は、Oracle Directory Server Enterprise EditionまたはSun Java System Directory Serverのドキュメントを参照してください。

注意: レプリケーションが有効な場合、tombstoneはOracle Directory Server Enterprise Editionに対して自動的に構成されます。

20.3.6 手順6: パスワードの同期化

Oracle Internet DirectoryおよびOracle Directory Server Enterprise Editionでは、同じ一連のパスワード・ハッシング技術をサポートしています。Oracle Internet DirectoryとOracle Directory Server Enterprise Edition間でパスワードを同期化するには、両方のディレクトリに対してSSLサーバー認証モードが構成され、次のマッピング・ルールがマッピング・ファイルに存在する必要があります。

Userpassword: : :person:userpassword: :person

20.3.7 手順7: SSLモードでの同期

「SSLモードでの同期用サード・パーティ・ディレクトリ・コネクタの構成」の指示に従い、SSLモードでの同期用にOracle Directory Server Enterprise Editionを構成します。

20.3.8 手順8: Oracle Directory Server Enterprise Edition(Sun Java System Directory Server)外部認証プラグインの構成

「外部認証プラグインの構成」の指示に従い、Oracle Directory Server Enterprise Edition(Sun Java System Directory Server)外部認証プラグインを構成します。

20.3.9 手順9: 構成後タスクおよび管理タスクの実行

構成後タスクおよび継続的な管理タスクの詳細は、第23章「サード・パーティ・ディレクトリとの統合の管理」を参照してください。