Fusion Middleware Oracle Access Manager統合ガイド

11g リリース1 (11.1.1)

B65043-01(原本部品番号:E15740-04)

目次

図一覧

表一覧

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

Oracle Access Managerの新機能

- 11g リリース1 (11.1.1.5.0)の新機能

- 11g リリース1 (11.1.1)の新機能

1 Oracle Identity Managementコンポーネントについて

- 1.1 Oracle Access Managerの統合について

- 1.2 IDMDomainエージェントおよびWebゲートに関する注意

- 1.3 このドキュメントに記述されているコンポーネント

- 1.3.1 Oracle Identity Navigator

- 1.3.2 Oracle Identity Federation

- 1.3.3 Oracle Identity Manager

- 1.3.4 Oracle Adaptive Access Manager

- 1.4 システム要件と動作保証情報

2 Oracle Access Managerの統合の概要

- 2.1 アイデンティティ管理の統合に対する視点

- 2.1.1 アクセス管理の視点

- 2.1.2 Oracle Identity Managerの視点

- 2.1.3 その他の視点

- 2.2 統合の概要

- 2.3 Oracle Identity Managerによるアイデンティティ管理の有効化

- 2.4 Oracle Identity Managerのためのシングル・サインオンの有効化

- 2.4.1 前提条件

- 2.4.2 構成

- 2.5 ネイティブ認証に向けたOracle Adaptive Access Managerとの統合

- 2.6 Oracle Identity Navigatorのためのシングル・サインオンの有効化

- 2.7 Oracle Access ManagerとOracle Identity Federationの統合

- 2.8 Oracle Identity Manager、Oracle Access ManagerおよびOracle Adaptive Access Managerの統合

- 2.8.1 概要および利点

- 2.8.1.1 Oracle Access ManagerによるOracle Identity ManagerおよびOracle Adaptive Access Managerの利用方法

- 2.8.1.2 統合の利点

- 2.8.1.3 統合でのコンポーネントの依存性

- 2.8.2 厳密認証のデプロイメント・オプション

- 2.8.2.1 ネイティブおよび拡張統合について

- 2.8.2.2 コンポーネントの相互作用

- 2.8.3 パスワード管理のデプロイメント・オプション

- 2.8.3.1 Oracle Access ManagerをOracle Identity Managerと統合する場合

- 2.8.3.2 Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerを統合する場合

- 2.8.4 パスワード管理シナリオ

- 2.8.4.1 自己登録

- 2.8.4.2 パスワードの変更

- 2.8.4.3 パスワードを忘れた場合

- 2.8.4.4 アカウントのロックとロック解除

- 2.8.4.5 チャレンジの設定

- 2.8.4.6 チャレンジのリセット

3 Oracle Identity Navigatorとの統合

- 3.1 シングル・サインオンの有効化

- 3.1.1 エージェント用の新しいリソースの構成

- 3.1.2 Oracle Access Managerドメイン用のOracle HTTP Serverの構成

- 3.1.3 新しいアイデンティティ・プロバイダの追加

4 Oracle Identity Federationの統合

- 4.1 背景および統合の概要

- 4.1.1 Oracle Identity Federationとの統合について

- 4.1.2 統合タスクの概要

- 4.1.3 前提条件

- 4.1.4 追加の設定

- 4.2 Oracle Access ManagerへのOracle HTTP Serverの登録

- 4.2.1 Oracle Access ManagerへのOracle HTTP Serverとmod_ossoの登録

- 4.2.2 Oracle Access ManagerへのOracle HTTP ServerとWebゲートの登録

- 4.3 SPモードでのOracle Identity Federationの統合

- 4.3.1 Oracle Identity Federationプロバイダの構成

- 4.3.1.1 プロバイダ・メタデータの生成

- 4.3.1.2 プロバイダの登録

- 4.3.1.3 データ・ストアの構成

- 4.3.1.4 認証エンジンの構成

- 4.3.1.5 デフォルト・アイデンティティ・プロバイダの設定

- 4.3.1.6 SPモードでのOracle Identity Federationの構成

- 4.3.2 Oracle Identity Federationへの認証の委任

- 4.4 Oracle Identity Federationの統合(認証モード)

- 4.4.1 プロバイダ・メタデータの生成

- 4.4.2 プロバイダの登録

- 4.4.3 データ・ストアの構成

- 4.4.4 認証エンジンの構成

- 4.4.4.1 Oracleシングル・サインオン(OSSO)エージェント

- 4.4.4.2 Webゲート11gエージェント

- 4.5 構成のテスト

- 4.5.1 SPモード構成のテスト

- 4.5.2 認証モード構成のテスト

5 Oracle Access ManagerとOracle Identity Managerの統合

- 5.1 統合について

- 5.2 前提条件

- 5.3 Oracle Access Managerでの統合タスクの実行

- 5.4 Oracle Identity Managerでの統合タスクの実行

- 5.5 統合のテスト

- 5.6 追加の構成

- 5.6.1 ドメイン・エージェントから10g WebゲートおよびOHS 11gへの移行

- 5.6.1.1 WebゲートのタイプおよびIDの更新

- 5.6.1.2 Webゲートの優先ホストの設定

- 5.6.1.3 Oracle Identity ManagerのSSOキーストアの作成

- 5.6.2 統合環境でのNexawebアプレットのロード

6 Oracle Access ManagerとOracle Adaptive Access Managerの統合

- 6.1 基本および拡張統合モードについて

- 6.2 Oracle Access ManagerとOracle Adaptive Access Managerの基本統合

- 6.2.1 ネイティブ統合の処理フロー

- 6.2.2 前提条件

- 6.2.3 ネイティブ統合の手順

- 6.3 Oracle Access ManagerとOracle Adaptive Access Managerの拡張統合

- 6.3.1 拡張統合の処理フロー

- 6.3.2 拡張統合の実装

- 6.3.3 前提条件

- 6.3.4 Oracle Access ManagerとOracle Adaptive Access Managerの統合手順

- 6.3.4.1 Oracle Access Manager用のOracle Adaptive Access Managerプロパティの設定

- 6.3.4.2 資格証明ストア・フレームワークでのOracle Access Manager資格証明の設定

- 6.3.4.3 Oracle Access Managerのポリシー認証スキームの構成

- 6.4 構成およびトラブルシューティング

- 6.4.1 configureOAAMのWLSTを使用したデータソースの作成

- 6.4.2 大/小文字を区別しないログインの実装方法

- 6.4.3 ASCII以外の資格証明の使用

- 6.4.4 統合の設定前のテスト

- 6.4.5 OAMとOAAMの統合とコンソールでの変更

- 6.4.6 OAMとOAAMの統合とInternet Explorerバージョン7

- 6.4.7 OAAMBasic統合でOTPチャレンジがサポートされない

- 6.4.8 OAM 11.1.1.4.0とOAAM 11.1.1.5.0の統合でOAAMAdvanced認証スキームによって保護されたリソースにアクセスできない

- 6.4.9 データベースとLDAPとの間の同期が行われない

7 Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合

- 7.1 はじめに

- 7.2 プロセス・フロー

- 7.3 統合の前提条件

- 7.4 統合タスクの概要

- 7.5 Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerのインストール

- 7.6 Oracle Access ManagerおよびOracle Adaptive Access Managerの事後構成の実行

- 7.6.1 サーバーの再起動

- 7.6.2 Oracle Adaptive Access Manager用のユーザーの作成およびスナップショットのインポート

- 7.6.2.1 Oracle Adaptive Access Managerユーザーの作成

- 7.6.2.2 Oracle Adaptive Access Managerスナップショットのインポート

- 7.6.3 Oracle Access ManagerおよびOracle Adaptive Access Manager用の検証の設定

- 7.6.3.1 Oracle Access Managerの設定の検証

- 7.6.3.2 Oracle Adaptive Access Managerの設定の検証

- 7.7 11g Webゲートの登録

- 7.7.1 Webゲート登録の前提条件

- 7.7.2 11g Webゲートの構成

- 7.7.3 パートナとしての11g Webゲートの登録

- 7.7.4 OHS Webゲートの再起動

- 7.7.5 Webゲートの設定の検証

- 7.8 Oracle Access ManagerとOracle Identity Managerの統合

- 7.9 Oracle Identity Managerに対するLDAP同期の有効化

- 7.10 Oracle Access ManagerとOracle Adaptive Access Managerの統合

- 7.10.1 Oracle Access ManagerとOracle Adaptive Access Managerの統合に向けたOracle Access Managerの構成

- 7.10.1.1 パートナ・アプリケーションとしてのOAAMサーバーの登録

- 7.10.1.2 IAMSuiteエージェントの更新

- 7.10.1.3 ドメイン・エージェント用の構成

- 7.10.2 Oracle Access Managerの構成の検証

- 7.10.3 Oracle Access ManagerとOracle Adaptive Access Managerの統合に向けたOracle Adaptive Access Managerの構成

- 7.10.4 Oracle Access ManagerでのOracle Adaptive Access Managerによるリソースの保護

- 7.10.5 Oracle Access ManagerとOracle Adaptive Access Managerの統合の検証

- 7.11 Oracle Identity ManagerとOracle Adaptive Access Managerの統合

- 7.11.1 Oracle Identity Manager用のOracle Adaptive Access Managerプロパティの設定

- 7.11.2 資格証明ストア・フレームワークでのOracle Identity Manager資格証明の設定

- 7.12 統合用のOracle Identity Managerプロパティの構成

- 7.13 IAMSuiteエージェント・アプリケーション・ドメインのアプリケーションにアクセスするためのTAPスキームの構成

- 7.14 トラブルシューティングのヒント

- 7.14.1 ポリシーとチャレンジ質問

- 7.14.2 Cookieドメインの定義

- 7.14.3 OAMとOAAMの統合でTAPによりユーザー属性を変更できない

- 7.14.4 TAP: setupOAMTapIntegrationスクリプトで終了ステータス・メッセージが提供されない

8 Oracle Access Manager 10gとOracle Adaptive Access Manager 11gの統合

- 8.1 前提条件

- 8.2 統合の概要

- 8.3 OAAM Webサーバー用のOAMアクセス・ゲートの構成

- 8.4 OAM認証スキームの構成

- 8.5 Oracle Access Managerの接続の構成(オプション)

- 8.6 OAAM Webサーバー用のWebゲートの設定

- 8.7 OAAM認証を使用するOAMドメインの構成

- 8.8 OHSの構成

- 8.9 Oracle Adaptive Access Managerのプロパティの構成

- 8.9.1 Oracle Access Manager用のOracle Adaptive Access Managerプロパティの設定

- 8.9.2 資格証明ストア・フレームワークでのOracle Access Manager資格証明の設定

- 8.10 IP検証の無効化

- 8.11 Oracle Adaptive Access ManagerとOracle Access Managerの統合のテスト

9 Windowsネイティブ認証を使用するためのOracle Access Managerの構成

- 9.1 始める前に

- 9.2 Oracle Access ManagerとWindowsネイティブ認証について

- 9.3 前提条件となるタスクの実行

- 9.3.1 krb5.confファイルの編集

- 9.3.2 サービス・プリンシパル名(SPN)の作成

- 9.3.3 Kerberosチケットの取得

- 9.4 WNA用のOracle Access Managerの構成

- 9.4.1 Oracle Access ManagerでのKerberos認証モジュールの設定

- 9.4.2 Windowsネイティブ認証用のOracle Access Manager認証スキームの設定

- 9.4.3 ユーザー・アイデンティティ・データ・ストアとしてのMicrosoft Active Directoryの登録

- 9.4.4 Oracle Access Manager構成ファイルの検証

- 9.5 Kerberosトークンを返すためのブラウザの有効化

- 9.6 Oracle Access Managerによって保護されたリソースでのWNAの検証

- 9.7 WNA構成のトラブルシューティング

索引

図一覧

- 2-1 パスワード管理のためのOracle Access ManagerとOracle Identity Managerの統合

- 2-2 パスワード管理のためのOracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合

- 4-1 Oracle Access ManagerおよびOracle Identity Federation

表一覧

- 2-1 Oracle Access Managerの統合の概要

- 5-1 Oracle Access ManagerとOracle Identity Managerの統合の検証

- 6-1 Oracle Access ManagerとOracle Adaptive Access Managerの統合のタイプ

- 6-2 OAMログインの厳密認証をサポートするOracle Adaptive Access Manager機能

- 6-3 Oracle Access Managerのプロパティ値の構成

- 7-1 TAPパートナの例

- 7-2 OAAM CLIのプロパティ

- 7-3 Oracle Identity Managerのプロパティ値の構成

- 7-4 Oracle Identity Managerの資格証明

- 7-5 Oracle Identity Managerのリダイレクト

- 8-1 OHS Webゲートの構成

- 8-2 OAAMサーバー認証スキームの構成

- 8-3 OAAMサーバー認証スキームの構成 - プラグイン

- 8-4 OAAMサーバーとともに使用するWebゲートの設定

- 8-5 Oracle Access Managerのプロパティ値の構成

- 8-6 OAAMドメインへのパスワード資格証明の追加

Oracle® Fusion Middleware

Oracle Access Manager統合ガイド

11g リリース1 (11.1.1)

B65043-01(原本部品番号:E15740-04)

2011年7月

Oracle Fusion Middleware Oracle Access Manager統合ガイド 11g リリース1 (11.1.1)

B65043-01

Copyright © 2000, 2011, Oracle and/or its affiliates.All rights reserved.

原本著者: Trish Fuzesy

原本協力著者: Priscilla Lee、Vinaye Misra

原本協力者: Aarathi Balakrishnan、Sagar Bongale、Bob Bradee、Damien Carru、Vikas Pooven Chathoth、Sree Chitturi、Toby Close、Ellen Desmond、Gail Flanegin、Don Gosselin、Mark Karlstrand、Ari Kermaier、Ashish Kolli、Svetlana Kolomeyskaya、Vadim Lander、Wei Jie Lee、Derick Leo、Madhu Martin、Sergio Mendiola、Vamsi Motukuru、Srinivas Nagandla、Maya Neelakandhan、Madhan Neethiraj、Jeff Nester、Rey Ong、Deepak Ramakrishnan、Rajiv Sharma、Kamal Singh、Shyam Singh、Saai Soundararajanshanthibai、Elangovan Subramanian、Dawn Tyler、Catherine Wong

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントが、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供される場合は、次のNoticeが適用されます。

U.S. GOVERNMENT RIGHTS Programs, software, databases, and related documentation and technical data delivered to U.S. Government customers are "commercial computer software" or "commercial technical data" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, the use, duplication, disclosure, modification, and adaptation shall be subject to the restrictions and license terms set forth in the applicable Government contract, and, to the extent applicable by the terms of the Government contract, the additional rights set forth in FAR 52.227-19, Commercial Computer Software License (December 2007).Oracle America, Inc., 500 Oracle Parkway, Redwood City, CA 94065.

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、このソフトウェアまたはハードウェアを安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle およびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXはThe Open Groupの登録商標です。

このソフトウェアまたはハードウェアおよびドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

はじめに

Oracle Fusion Middleware Oracle Access Manager統合ガイドでは、他のOracle Identity Management製品をOracle Access Managerと統合する方法について説明します。

対象読者

このマニュアルは、次に詳しい管理者を対象としています。

- Oracle WebLogic Serverの概念および管理

- 次のOracle Identity Managementコンポーネントの概念および管理:

- Oracle Identity Manager

- Oracle Adaptive Access Manager

- Oracle Identity Navigator

- Oracle Identity Federation

- LDAPディレクトリの構成および管理

- Webサーバーの概念および管理

- WebGateとmod_ossoエージェント

ドキュメントのアクセシビリティについて

オラクル社のアクセシビリティへの取組みの詳細は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=docaccを参照してください。

Oracleサポートへのアクセス

Oracleカスタマは、My Oracle Supportから電子サポートにアクセスできます。詳細は、http://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoまたはhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs (聴覚障害者向け)を参照してください。

関連ドキュメント

詳細は、Oracle Fusion Middleware 11gリリース1(11.1.1)のドキュメント・セットに含まれる次のドキュメントを参照してください。

- Oracle Access Manager 11gリリース1(11.1.1)リリース・ノート

- 『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』 — Oracle Identity Managementコンポーネントのインストール時統合について説明します。

- 『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』 — Oracle Access Managerを使用した毎日の管理およびポリシー構成タスクについて説明します。

- Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド

- 『Oracle Fusion Middlewareアップグレード・プランニング・ガイド』

- 『Oracle Fusion Middleware Oracle Identity Managementアップグレード・ガイド』

- 『Oracle Fusion Middleware管理者ガイド』 — Oracle Fusion Middlewareの管理方法、たとえばポートの変更やアプリケーションのデプロイ、Oracle Fusion Middlewareのバックアップおよびリカバリの方法について説明します。また、このガイドではテスト環境から本番環境へのデータの移行方法についても説明します。

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』 — Oracle Access Manager 10g SSO(OAM 11g SSOに置き換わりました)ソリューションのデプロイについて説明します。

- 『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』 — 参照デプロイ・シナリオを提供します。

- Oracle Fusion Middleware WebLogicスクリプト・ツール・コマンドのリファレンス — 「インフラストラクチャ・セキュリティのカスタムWLSTコマンド」の章にある、カスタマイズされたOracle Access Managerのコマンドについてのセクション。

表記規則

このマニュアルでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック体

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

Oracle Access Managerの新機能

この章では、新しい統合機能および更新のリストを示します。

11g リリース1 (11.1.1.5.0)の新機能

新しい統合機能

このリリースでは、特定の統合手順の自動化に役立つ新しい統合ツールを使用できます。

このガイドの新しいトピック

このガイドには、次の新しいトピックと更新されたトピックが含まれています。

- 第5章では、統合自動化ツールを使用してOracle Access ManagerとOracle Identity Managerを統合する方法について説明します。

- 第6章および第7章では、Oracle Identity ManagerおよびOracle Adaptive Access Managerとの統合の手順が改訂されています。

- 第8章では、10g Oracle Access Managerを11g Oracle Adaptive Access Managerと統合する方法について説明します。

11g リリース1 (11.1.1)の新機能

Oracle Access Managerの新しい機能

Oracle Access Managerの新しい機能の詳細は、『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』のOracle Access Manager 11gおよび管理の概要に関する項を参照してください。

新しい統合

このリリースでは、次のOracle Identity Managementコンポーネントとの統合がサポートされています。

- Oracle Identity Manager

- Oracle Adaptive Access Manager

- Oracle Identity Federation

- Oracle Identity Navigator

追加トピック

このエディションのドキュメントには、アイデンティティ管理の視点を理解するのに役立つ項があります。第2.1項を参照してください。

1 Oracle Identity Managementコンポーネントについて

この章では、Oracle Access Manager 11g リリース1 (11.1.1)と統合するコンポーネントの概要について説明します。Oracle Access Managerの概要については、『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』を参照してください。

この章の内容は次のとおりです。

- Oracle Access Managerの統合について

- IDMDomainエージェントおよびWebゲートに関する注意

- このドキュメントに記述されているコンポーネント

- システム要件と動作要件

1.1 Oracle Access Managerの統合について

Oracle Access Manager 11g リリース1 (11.1.1)を他のアプリケーションやポータルと統合するには、両方の製品についてある程度の知識が必要になります。このガイドでは、特定のアプリケーションやコンポーネントと統合するための、Oracle Access Managerの設定方法について説明します。

1.2 IDMDomainエージェントおよびWebゲートに関する注意

デフォルトでは、IDMDomainエージェントはOracle HTTP Serverのデプロイメントで有効化されます。IDMDomainエージェントからWebゲート・エージェントに移行する場合は、次の点に注意してください。

- WebゲートでIDMDomainのpreferredHostを使用している場合、IDMDomain用の保護ポリシー設定をWebゲート用として再使用できます。

- IDMDomainとWebゲートは共存できます。Oracle HTTP ServerのデプロイメントでIDMDomainエージェントによってWebゲート・エージェントが検出された場合、IDMDomainエージェントは休眠状態になります。

関連項目:
『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』のIDMドメイン・エージェントの集中ログアウトの構成に関する項

1.3 このドキュメントに記述されているコンポーネント

この項では、Oracle Access Managerと統合するOracle Identity Managementコンポーネントについて簡単に概説します。次のようなものがあります。

- Oracle Identity Navigator

- Oracle Identity Federation

- Oracle Identity Manager

- Oracle Adaptive Access Manager

1.3.1 Oracle Identity Navigator

Oracle Identity Navigatorは、ブラウザ経由でアクセスするWebベースのアプリケーションです。これを使用してOracle Access Manager、Oracle Adaptive Access Manager、Oracle Identity Manager、Directory Services (ODSM)およびその他のOracle Identity Managementのサービスのコンソールにアクセスできます。

Oracle Access Managerとの統合の詳細は、第3章「Oracle Identity Navigatorとの統合」を参照してください。

1.3.2 Oracle Identity Federation

Oracle Identity Federationは、パートナ間で安全にアイデンティティ情報を交換するための、エンタープライズ・レベルかつキャリア・グレードの完全なソリューションです。Oracle Identity Federationは、多様なデータ・ストア、ユーザー・ディレクトリ、認証プロバイダおよびアプリケーションと統合することによって既存のIT投資を保護します。

Oracle Access Managerとの統合の詳細は、第4章「Oracle Identity Federationの統合」を参照してください。

1.3.3 Oracle Identity Manager

Oracle Identity Managerは、エンタープライズITリソース内のユーザーのアクセス権限を自動的に管理する、強力かつ柔軟なエンタープライズ・アイデンティティ管理システムです。Oracle Identity Managerは、企業のすべてのリソースにわたってユーザー・アクセス権限を管理するために基礎から設計されており、最初のアクセス権限の作成からビジネス要件の変化に対する動的な対応に至るまでアイデンティティ管理ライフサイクル全体を管理します。

Oracle Access Managerとの統合の詳細は、第7章「Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合」を参照してください。

1.3.4 Oracle Adaptive Access Manager

Oracle Adaptive Access Managerは、エンタープライズ向けにWebアクセスのリアルタイム不正検出およびオンライン多要素認証セキュリティを提供するOracle Identity Managementのソリューションです。

Oracle Access Managerとの統合の詳細は、以下を参照してください。

- 第6章「Oracle Access ManagerとOracle Adaptive Access Managerの統合」

- 第7章「Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合」

- 第8章「Oracle Access Manager 10gとOracle Adaptive Access Manager 11gの統合」

1.4 システム要件と動作保証情報

ハードウェアとソフトウェアの要件、プラットフォーム、データベースおよびその他の情報の詳細は、システム要件と動作要件のドキュメントを参照してください。いずれのドキュメントもOracle Technology Network (OTN)から入手できます。

システム要件のドキュメントには、ハードウェアとソフトウェアの要件、ディスク領域とメモリーの最小要件、必要なシステム・ライブラリ、パッケージまたはパッチなどの情報が記載されています。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-requirements-100147.html

動作要件のドキュメントには、サポートされているインストール・タイプ、プラットフォーム、オペレーティング・システム、データベース、JDK、ディレクトリ・サーバーおよびサードパーティ製品が記載されています。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-certification-100350.html

2 Oracle Access Managerの統合の概要

この章では、コンポーネント間の相互作用フロー、各統合の高レベルの要件、関連情報など、Oracle Access ManagerとOracle Identity Managementスイートの他のコンポーネントとの間の統合について紹介します。

この章では、次の内容を説明します。

- 統合の概要

- Oracle Identity Managerによるアイデンティティ管理の有効化

- Oracle Identity Managerのためのシングル・サインオンの有効化

- ネイティブ認証に向けたOracle Adaptive Access Managerとの統合

- Oracle Identity Navigatorのためのシングル・サインオンの有効化

- Oracle Access ManagerとOracle Identity Federationの統合

- Oracle Identity Manager、Oracle Access ManagerおよびOracle Adaptive Access Managerの統合

注意:
統合手順については、このドキュメントの別の場所で説明します。第2.2項「統合の概要」を参照してください。

関連項目:
第1.2項「IDMDomainエージェントおよびWebゲートに関する注意」

2.1 アイデンティティ管理の統合に対する視点

手始めに、様々なOracle Identity Managementコンポーネントの統合に対する各種のアプローチを検討することは有益です。

- アクセス管理の視点

- Oracle Identity Managerの視点

- その他の視点

2.1.1 アクセス管理の視点

一般的な出発点は、イントラネット/エクストラネットのSSOを使用するOracle Access Managerの視点を採用することです。この視点から、Oracle Access Managerとともに動作するLDAPディレクトリでのユーザー管理/登録を単純に有効化できます。

このシナリオでは、エンタープライズ・プロビジョニングは必要ではなく、むしろLDAPディレクトリ内でのユーザーの管理に焦点を当てます。これらの要件には、ログイン・ページ(パスワードを忘れた場合のリンク)の統合、パスワード・ポリシーの設定/検出、パスワード要変更のリダイレクト、パスワード履歴の追跡、パスワード/アカウント属性のスキーマのデプロイなどのタスクが含まれます。

この統合は、主としてOracle Access Managerでのアクセス管理を中心に展開されます。このデプロイでは、Oracle Access ManagerとOracle Identity Managerを同じOracle WebLogic Serverドメインに含めることができますが、2つの異なるドメインを設定することもできます。通常、ユーザー登録ワークフローではワークフローが有効化されます。

2.1.2 Oracle Identity Managerの視点

Oracle Identity Manager(プロビジョニング)の視点からは、Oracle Identity Managerおよび他のアプリケーション用にOracle Access ManagerをSSOソリューションとして使用することが望まれます。

この構成では、Oracle Identity Managerはエージェントまたはアサータによって保護され、企業のSSOドメインに参加します。

2.1.3 その他の視点

アイデンティティおよびアクセス以外では、フェデレーテッド・シングル・サインオンおよび拡張アクセス管理を必要とするサイトにその他の視点が適用されます。

ここでは、SSOインフラストラクチャを(Oracle Identity FederationによってOracle Access ManagerとOracle Identity Federationの統合を導入して)フェデレートするか、(Oracle Adaptive Access ManagerによってOracle Access ManagerとOracle Adaptive Access Managerの統合を導入して)強化する必要があります。

2.2 統合の概要

表2-1には、このドキュメントで説明されているアイデンティティ管理の統合がリストされています。

表2-1 Oracle Access Managerの統合の概要

統合

コンポーネント

追加情報

アイデンティティ管理とアクセス制御

Oracle Identity Manager

Oracle Access Manager

第2.3項「Oracle Identity Managerによるアイデンティティ管理の有効化」

Oracle Identity Managerコンソールの保護

Oracle Identity Manager

Oracle Access Manager

第2.4項「Oracle Identity Managerのためのシングル・サインオンの有効化」

Oracle Identity Navigatorコンソールの保護

Oracle Identity Navigator

Oracle Access Manager

第3章「Oracle Identity Navigatorとの統合」

認証前と認証後

Oracle Adaptive Access Manager

Oracle Access Manager

第6章「Oracle Access ManagerとOracle Adaptive Access Managerの統合」

フェデレーション環境での認証

Oracle Access Manager

Oracle Identity Federation

第4章「Oracle Identity Federationの統合」

拡張認証とパスワード管理

Oracle Adaptive Access Manager

Oracle Access Manager

Oracle Identity Manager

第7章「Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合」

2.3 Oracle Identity Managerによるアイデンティティ管理の有効化

Oracle Identity Managerは、Oracle Fusion Middleware向けにアイデンティティ管理サービスを提供します。

統合により、Oracle Identity Managerでアイデンティティを管理し、Oracle Access Managerでリソースへのアクセスを制御できるようになります。これにより、この章で後述するように、他のアイデンティティ管理コンポーネント用にシングル・サインオンを実装してスイート・コンポーネントとの追加の統合を実行できます。

Oracle Identity Managerとの統合の前提条件は次のとおりです。

- 必要なコンポーネント/スイートのインストール(リポジトリ作成ユーティリティ(RCU)、Oracle WebLogic Server、IAM Suite、Oracle SOA Suiteを含む)

- Oracle Identity ManagerおよびOracle SOA Suite用のスキーマの作成

- Oracle Internet DirectoryおよびOracle Virtual Directoryのインストールおよび構成

- Oracle Internet Directoryへのパスワード・スキーマのアップロード

前提条件が整った後の基本的な統合手順は次のとおりです。

1. Oracle Access ManagerおよびOracle Identity Manager/Oracle SOA Suite用にそれぞれOracle WebLogic Serverドメインを作成します。

2. Oracle HTTP Server 11gをインストールします。

3. デフォルトの組込みLDAPではなくOracle Internet Directoryを指すようにOracle Access Manager 11gを構成します。

統合の詳細は、第5章「Oracle Access ManagerとOracle Identity Managerの統合」を参照してください。

2.4 Oracle Identity Managerのためのシングル・サインオンの有効化

Oracle Identity ManagerのURLを保護するようにOracle Access Managerを構成できます。

2.4.1 前提条件

前提条件を次に示します。

1. 統合に必要な次のコンポーネントがインストールされていることを確認します。

- Oracle WebLogic Server

- Oracle Identity Navigator

- Oracle Access Manager

- Oracle Identity Manager

注意:
Oracle Access Managerは、Oracle Identity Managerおよび他のIdMコンポーネントの前にインストールすることも他のコンポーネントと同時にインストールすることもできます。

関連項目:
Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド

2. 次のサーバーが実行されていることを確認します。

- Oracle WebLogic Server

- Oracle Access Manager管理サーバー

- Oracle Access ManagerおよびOracle Identity Managerの管理対象サーバー

2.4.2 構成

実装の詳細は、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』の「管理コンソールに対するシングル・サインオンの構成」を参照してください。

2.5 ネイティブ認証に向けたOracle Adaptive Access Managerとの統合

ネイティブ統合では、Oracle Access ManagerはOracle Adaptive Access Managerを利用してOracle Access Managerログイン用の認証前および認証後サービスを提供します。

詳細は、第6.2項「Oracle Access ManagerとOracle Adaptive Access Managerの基本統合」を参照してください。

2.6 Oracle Identity Navigatorのためのシングル・サインオンの有効化

Oracle Identity Navigatorは、Oracle Identity Managementコンポーネントに管理ポータルを提供します。

WNA認証スキームを使用してOracle Identity Navigator管理コンソールのSSOを有効化することによって、Oracle Identity NavigatorのURLを保護できます。

統合の詳細は、第3章「Oracle Identity Navigatorとの統合」を参照してください。

2.7 Oracle Access ManagerとOracle Identity Federationの統合

Oracle Identity Federationの認証エンジンとしてOracle Access Managerを構成できます。

統合の詳細は、第4章「Oracle Identity Federationの統合」を参照してください。

2.8 Oracle Identity Manager、Oracle Access ManagerおよびOracle Adaptive Access Managerの統合

この項では、IdM統合を通じてサポートされている様々なアイデンティティおよびパスワード管理シナリオと、各統合の処理フローについて説明します。

統合手順は、第7章「Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合」を参照してください。

2.8.1 概要および利点

この項では、Oracle Access ManagerとOracle Identity ManagerおよびOracle Adaptive Access Managerの統合の概要を示します。

2.8.1.1 Oracle Access ManagerによるOracle Identity ManagerおよびOracle Adaptive Access Managerの利用方法

11gリリース1 (11.1.1)では、Oracle Access Managerによりそれ自体のアイデンティティ・サービスは提供されず、かわりにOracle Access Managerで次の処理が行われます。

- Oracle Identity Manager、LDAPディレクトリおよび他のソースによって提供されるアイデンティティ・サービスを使用します。

- Oracle Identity ManagerおよびOracle Adaptive Access Managerと統合し、Oracle Access Managerによって保護されたアプリケーションに各種の安全なパスワード収集機能を提供します。

2.8.1.2 統合の利点

Oracle Access Manager/Oracle Identity Manager/Oracle Adaptive Access Managerでは、後の2製品の安全なパスワード収集機能がOracle Access Managerによって保護されたアプリケーションに追加されます。

- フィッシングに対する保護および安全な資格証明収集の実行のための仮想オーセンティケータ

- 不正ルールを様々なポイントで実行して不正の検出および防止を行う、様々なチェックポイントでの不正ルール

- 必要に応じて追加認証を行うための、ナレッジベース認証(KBA)またはワンタイム・パスワード(OTP)フレームワーク

- パスワード管理

2.8.1.3 統合でのコンポーネントの依存性

次のコンポーネントは個別に統合できます。

- Oracle Access ManagerとOracle Adaptive Access Manager

- Oracle Identity ManagerとOracle Adaptive Access Manager

ただし、次の依存性に注意してください。

- Oracle Access ManagerとOracle Adaptive Access Managerを統合するときは、Oracle Identity Managerを含める必要はありません。

- Oracle Adaptive Access ManagerとOracle Identity Managerを統合するときは、Oracle Access Managerも統合する必要があります。

2.8.2 厳密認証のデプロイメント・オプション

Oracle Access ManagerとOracle Adaptive Access Managerを組み合せると、認証プロセスを細かく制御して、Oracle Adaptive Access Managerポリシーに対する認証前および認証後チェックの全機能を使用できるようになります。

この統合のコンテキストでは、Oracle Access Managerは認証および認可モジュールとして動作するのに対し、Oracle Adaptive Access Managerは強力なオーセンティケータを提供してリスクおよび不正分析を実行します。

2.8.2.1 ネイティブおよび拡張統合について

Oracle Access ManagerによりOracle Adaptive Access Managerの強力な認証機能を利用する方法には、次の2つがあります。

- Oracle Adaptive Access Managerとのネイティブ統合
ナレッジベース認証(KBA)など、基本ログイン・セキュリティを追加することを望んでいるOracle Access Managerユーザーは、ネイティブ統合オプションを使用できます。このオプションでは、別個のOracle Adaptive Access Managerサーバーをデプロイする必要がない(ネイティブOracle Adaptive Access Managerコールを通じて機能がアクセスされる)ため、フットプリントが小さくなります。

ネイティブ統合では、SMS、電子メール、ボイスまたはIMを通じたワンタイム・パスワード(OTP)などの拡張機能にアクセスできません。ネイティブ統合は、基本画面のブランド以外にカスタマイズできません。

- Oracle Adaptive Access Managerとの拡張統合
このオプションでは、拡張機能を使用でき、ネイティブ統合で使用可能なもの以外へのカスタマイズが可能です。Java Nappライブラリ、Oracle Access ManagerとOracle Adaptive Access Managerの統合を利用するには、完全なOracle Adaptive Access Managerデプロイが必要です。

実装の詳細は、第6章「Oracle Access ManagerとOracle Adaptive Access Managerの統合」を参照してください。

2.8.2.2 コンポーネントの相互作用

コンポーネント間の相互作用のフローは次のとおりです。

1. ユーザーは、Oracle Access Managerによって保護されたリソースにアクセスしようとします。

2. Oracle Access Manager Webゲートにより、(未認証の)リクエストが捕捉され、ユーザーがOracle Adaptive Access Managerサーバーにリダイレクトされます。

3. Oracle Adaptive Access Managerサーバーにより、ユーザーに対してOracle Adaptive Access Managerユーザー名ページが表示されます。

4. ユーザーは、Oracle Adaptive Access Managerユーザー名ページで自分のユーザー名を送信します。

5. Oracle Adaptive Access Managerにより、ユーザー・デバイスのフィンガープリントが取得され、ユーザーがOracle Adaptive Access Managerパスワード・ページに進むことを許可するかどうかを決定する認証前ルールが実行されます。
デバイスのフィンガープリント処理は、ユーザー・ログインに使用されたデバイスおよびそのタイプ(デスクトップ・コンピュータ、ラップトップ・コンピュータ、PDA、携帯電話、キオスク、他のWeb対応デバイスのいずれであるか)を認識するメカニズムです。

6. ユーザーが次に進むことを許可された場合は、認証パッド・チェックポイント中に仮想認証デバイス・ルールが実行されます。これらのルールにより、どの仮想オーセンティケータをOracle Adaptive Access Managerパスワード・ページに表示するかが決定されます。
ユーザーがOracle Adaptive Access Managerに登録されている場合は、Oracle Adaptive Access Managerサーバーにより、パーソナライズされたTextPadまたはKeyPadとともにOracle Adaptive Access Managerパスワード・ページが表示されます。

ユーザーが登録されていない場合は、Oracle Adaptive Access Managerにより、汎用TextPadとともにOracle Adaptive Access Managerパスワード・ページが表示されます。

7. ユーザーは、Oracle Adaptive Access Managerパスワード・ページで自分のパスワードを送信します。

8. Oracle Adaptive Access Managerから収集された資格証明がアイデンティティ・ストアに対して検証されます。Oracle Access Manager側での検証の後、Oracle Adaptive Access Managerにより認証後ルールが実行されます。

9. Oracle Adaptive Access Managerにより、ユーザーとの相互作用を通じて、目的のアクションを実行するためにアイデンティティが確立されます。Oracle Adaptive Access Managerにより、ユーザーのリスク・スコアが決定され、ポリシーに指定されている任意のアクション(たとえば、KBAやOTP)またはアラートが実行されます。

10. ユーザーが登録されていない場合は、必要に応じてKBAやOTPなどを使用して登録を行うように求められます。
登録が必須であるかオプションであるかが指定されたセキュリティ要件に基づいて、登録が要求されます。

11. 認証が成功し、ユーザーに登録済の適切なプロファイルがある場合は、Oracle Adaptive Access Managerにより、Oracle Access ManagerのCookieが設定され、ユーザーがリダイレクトURLにリダイレクトされます。

2.8.3 パスワード管理のデプロイメント・オプション

Oracle Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerを統合することによって、Oracle Access Managerによって保護されたアプリケーション向けにパスワード管理機能を実装できます。

この項では、これらのデプロイメント・オプションについて説明します。次の第2.8.4項「パスワード管理シナリオ」では、各デプロイによってサポートされているシナリオ、および各シナリオを実現するフローについて説明します。

パスワード管理のコンテキストでは、Oracle Access Managerは2つの異なるデプロイ・モードで動作します。

1. 認証およびパスワード管理のためにOracle Access ManagerとOracle Identity Managerを統合します。
詳細は、「Oracle Access ManagerをOracle Identity Managerと統合する場合」を参照してください。

2. 認証、パスワード管理、不正検出および追加機能のためにOracle Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerを統合します。
処理フローの詳細は、「Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerを統合する場合」を参照してください。

実装の詳細は、第7章「Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合」を参照してください。

2.8.3.1 Oracle Access ManagerをOracle Identity Managerと統合する場合

図2-1は、Oracle Access ManagerとOracle Identity Managerの統合時にパスワード管理がどのように行われるかを示しています。

図2-1 パスワード管理のためのOracle Access ManagerとOracle Identity Managerの統合

コンポーネント間の相互作用のフローは次のとおりです。

1. ユーザーは、Oracle Access Managerによって保護されたリソースにアクセスしようとします。

2. Oracle Access Manager Webゲートにより、(未認証の)リクエストが捕捉されます。

3. WebゲートによりユーザーがOracle Access Managerログイン・サービスにリダイレクトされ、そこで検証チェックが実行されます。

4. Oracle Access Managerによりパスワード期限切れなどのパスワード管理トリガー条件が検出されると、ユーザーがOracle Identity Managerにリダイレクトされます。

5. Oracle Identity Managerにより、ユーザーとの相互作用を通じてユーザーのアイデンティティが確立され、パスワードのリセットなどの適切なアクションが実行されます。

6. Oracle Access Managerにより、自動ログインを通じてユーザーのログインが行われ、ユーザーがOAMによって保護されたリソース(ユーザーが手順1でアクセスしようとしていたもの)にリダイレクトされます。

2.8.3.2 Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerを統合する場合

Oracle Adaptive Access ManagerとOracle Identity Managerとの間の統合では、Oracle Adaptive Access Managerチャレンジ質問を使用するとともに、パスワードの検証、保存および伝播にOracle Identity Managerを使用できます。この統合では次のものを利用します。

- 不正防止にOracle Adaptive Access Manager

- ターゲットへのOracle Access Managerのパスワード伝播

図2-2は、Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合時にパスワード管理がどのように行われるかを示しています。

図2-2 パスワード管理のためのOracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合

コンポーネント間の相互作用のフローは次のとおりです。

1. ユーザーは、Oracle Access Managerによって保護されたリソースにアクセスしようとします。

2. Oracle Access Manager Webゲートにより、(未認証の)リクエストが捕捉され、ユーザーがログイン・サービスにリダイレクトされ、そこでユーザーに対してOracle Adaptive Access Managerユーザー名ページが表示されます。

3. ユーザーは、Oracle Access Managerサーバーにリダイレクトされます。検証後に次の処理が行われます。

4. サーバーにより、パスワード管理トリガー条件が有効であるかどうかがチェックされます。トリガー条件(期限切れパスワードなど)が見つかった場合、Oracle Access Managerログイン・サービスにより、ユーザーがOracle Adaptive Access Managerサーバーにリダイレクトされます。

5. Oracle Adaptive Access Managerにより、ユーザーとの相互作用を通じてアイデンティティが確立されます。
Oracle Adaptive Access Managerとの相互作用は次のように進行します。

- Oracle Adaptive Access Managerにより、ユーザー・デバイス(デスクトップ・コンピュータ、ラップトップ・コンピュータ、PDA、携帯電話、キオスクまたは他のWeb対応デバイス)のフィンガープリントが取得され、ユーザーがOracle Adaptive Access Managerパスワード・ページに進むことを許可するかどうかを決定する認証前ルールが実行されます。

- ユーザーが次に進むことを許可された場合は、Oracle Adaptive Access Managerサーバーにより、仮想認証デバイス・ルールで指定された強力なオーセンティケータとともにOracle Adaptive Access Managerパスワード・ページが表示されます。

- ユーザーがパスワードを忘れた場合は、「パスワードをお忘れですか」リンクを使用してパスワードを忘れた場合のフローに進むことができます。

- ユーザーは、Oracle Adaptive Access Managerパスワード・ページで自分のパスワードを送信します。

- Oracle Access Managerにより、アイデンティティ・ストアに対して、Oracle Adaptive Access Managerから収集された資格証明が検証されます。Oracle Access Managerでの検証の後、Oracle Adaptive Access Managerにより認証後ルールが実行されます。

- Oracle Adaptive Access Managerにより、ユーザーとの相互作用を通じて、目的のアクションを実行するためにアイデンティティが確立されます。Oracle Adaptive Access Managerにより、ユーザーのリスク・スコアが決定され、ポリシーに指定されている任意のアクション(たとえば、KBAやOTP)またはアラートが実行されます。

- 未登録ユーザーは、KBAやOTPプロファイル登録などの登録(チャレンジ登録フロー)を行うように求められます。

6. 資格証明の処理中に、Oracle Adaptive Access Managerにより、Oracle Identity Managerからパスワード構文およびライフサイクル・ポリシーが取得されます。Oracle Adaptive Access Managerにより、トリガー・アクションの処理中にこれらのポリシーが適用されます。
操作が完了すると、Oracle Adaptive Access Managerによりバック・チャネルを通じてOracle Access Managerに通知が行われます。

7. Oracle Adaptive Access Managerにより、ユーザーがOracle Access Managerに自動ログインされ、認証済リクエストを使用してユーザーが手順1のOracle Access Managerによって保護されたリソースにリダイレクトされます。

2.8.4 パスワード管理シナリオ

これらのデプロイ・モードによってサポートされている一般的な管理シナリオには、次のものが含まれます。

- 自己登録

- パスワードの変更

- パスワードを忘れた場合

- アカウントのロックとロック解除

- チャレンジの設定

- チャレンジのリセット

2.8.4.1 自己登録

このシナリオでは、アカウントを持たないユーザーがOracle Access Managerによって保護されたリソースにアクセスしようとします。Oracle Access Manager 11g Webゲートにより、このリクエストが捕捉され、ユーザーが認証されていないことが検出され、ユーザーがOracle Access Manager資格証明コレクタ(または10g認証Webゲート)にリダイレクトされ、そこで「新規アカウントの登録」リンクを含むOracle Access Managerログイン・ページが表示されます。

このリンクを選択すると、ユーザーは安全にOracle Identity Managerの自己登録URLにリダイレクトされます。Oracle Identity Managerにより、ユーザーとの相互作用を通じてそのアカウントがプロビジョニングされます。

自己登録フロー

ようこそページは、自己登録/アカウント作成を開始できる、保護されていないページです。このページには、2つのリンクが紹介テキストまたはブランド情報とともに表示されます。これらのリンクは次のとおりです。

- 新規アカウントの登録 - これは、対応するアプリケーションの登録ウィザードへの保護されていないURLです。

- ログイン - これは、ログイン成功後にユーザーが転送されるランディング・ページとして機能する、保護されたURLです。

注意:
自己登録要件があるシングル・サインオン・システムによって保護されたアプリケーションは、ランディング・ページをサポートすることが予期されます。オプションは次のとおりです。

- Oracle Access Managerログイン・ページ上のリンクを使用した自己登録。
これは最も一般的なオプションであり、ここで説明されています。

- 他のアプリケーションの匿名ページを使用した自己登録。
アプリケーションにより登録プロセスの最後にユーザーを自動的にログインするように指示する場合は、Oracle Platform Security Services APIを使用することによってこれを実装できます。

関連項目:
Oracle Platform Security Servicesの詳細は、『Oracle Fusion Middlewareセキュリティ概要』を参照してください。

アカウント作成フローは次のとおりです。

1. ユーザーは、(ブラウザを使用して)「新規アカウントの登録」リンクを含むアプリケーションのようこそページにアクセスします。

2. ユーザーは、「新規アカウントの登録」リンクをクリックし、アプリケーションによって提供されたカスタム自己登録ページに転送されます。

3. ユーザーは、アプリケーションと相互作用して自己登録します。

4. 完了すると、アプリケーションによりユーザーの自動ログインが実行されます。

保護されたアプリケーションにより、ユーザーを作成するためにOracle Identity ManagerにSPMLリクエストが送信されることが予期されます。この後、アプリケーションにより次のいずれかの操作が選択されます。

- アプリケーションにより、ユーザーを自動ログインしないことを選択できます。アプリケーションにより、ユーザーを保護されたランディング・ページURLにリダイレクトします。その後、Oracle Access Managerによりログイン・ページが表示され、ユーザーがログイン・フローに進みます。

- リクエストに関連付けられた承認がない場合は、アプリケーションにより、Oracle Platform Security Services (OPSS) APIを利用して特定のランディング・ページURLに自動ログインし、そのURL(およびSSO Cookie)を含んだリダイレクト・リクエストで応答します。これにより、ログイン・ページを表示せずにユーザーが直接ランディング・ページに転送されます。

- 承認が必要な場合、自動ログインは実行できません。アプリケーションにより、SPMLリクエストの時点でどのプロファイルを使用するかが決定されます。アプリケーションにより、リクエストが送信されたことを示す適切なページで応答する必要があります。

2.8.4.2 パスワードの変更

パスワードの変更フローにより、ユーザーは各自のパスワードを変更できます。

Oracle Access ManagerおよびOracle Identity Managerによるパスワードの変更フロー

この状況では、ユーザーはOracle Access Managerに正常にログインした後、すぐにパスワードを変更する必要があります。ユーザーは、パスワードを変更してチャレンジを設定するまで、保護されたリソースへのアクセスを許可されません。

ログインが成功すると、Oracle Access Managerによりトリガー条件が有効であるかどうかが検出され、ユーザーがOracle Identity Managerの「パスワードの変更」URLにリダイレクトされます。Oracle Identity Managerでは、ユーザー・パスワードの変更またはチャレンジの設定を容易にし、トリガー条件をリセットします。

完了すると、Oracle Identity Managerによりユーザーが保護されたリソースにリダイレクトされます。

この状況は、次の場合にトリガーされます。

- 「ログイン時のパスワードの変更」フラグがオンになっています。これは次の場合に発生します。

- 新しいユーザーが作成された場合

- 管理者がユーザーのパスワードをリセットした場合

- パスワードの期限が切れています。

このフローでは、ユーザーが初めてOracle Access Managerによって保護されたアプリケーションにログインし、次に進む前にパスワードの変更を求められる状況について説明します。

パスワードの変更フローは次のとおりです。

1. ユーザーはブラウザを使用して、Oracle Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Manager Webゲート(SSOエージェント)により、リクエストが捕捉され、ユーザーがOracle Access Managerログイン・ページにリダイレクトされます。

3. ユーザーは資格証明を送信し、これがOracle Access Managerにより検証されます。

4. 続いてOracle Access Managerにより、初回ログイン・トリガー条件のいずれかが有効であるかどうかが判別されます。有効である場合は、Oracle Access Managerにより、ユーザーがOracle Identity Managerの「パスワードの変更」URLにリダイレクトされます。

5. Oracle Access Manager Webゲート(SSOエージェント)により、リクエストが捕捉され、Oracle Identity Managerが匿名認証ポリシーによって保護されていることが判別され、ユーザー・リクエストの処理が許可されます。

6. Oracle Identity Managerにより、ユーザーとの相互作用を通じてユーザーがパスワードを変更できるようになります。完了すると、Oracle Identity Managerにより初回ログイン・フローをトリガーした属性が更新されます。続いてOracle Identity Managerにより、ユーザーの自動ログインが実行されます。

7. Oracle Identity Managerにより、Oracle Access Managerに初回ログインの成功が通知されます。

8. Oracle Identity Managerにより、手順1でユーザーがアクセスしようとしていたアプリケーションURLにユーザーがリダイレクトされます。

パスワードの変更フロー - Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerを統合する場合

このシナリオでは、ユーザーはOracle Adaptive Access Managerパスワード・ページを表示して「パスワードの変更」リンクをクリックします。

1. ユーザーはブラウザを使用して、Oracle Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Manager Webゲートにより、(未認証の)リクエストが捕捉されます。

3. Oracle Access Manager Webゲートにより、ユーザーがOracle Adaptive Access Managerサーバーにリダイレクトされ、リダイレクトURLが渡されます。

4. Oracle Adaptive Access Managerサーバーにより、ユーザーに対してOracle Adaptive Access Managerユーザー名ページが表示されます。

5. ユーザーは、Oracle Adaptive Access Managerユーザー名ページで自分のユーザー名を送信します。

6. Oracle Adaptive Access Managerにより、ユーザー・デバイス(デスクトップ・コンピュータ、ラップトップ・コンピュータ、PDA、携帯電話、キオスクまたは他のWeb対応デバイス)のフィンガープリントが取得され、ユーザーがOracle Adaptive Access Managerパスワード・ページに進むことを許可するかどうかを決定する認証前ルールが実行されます。

7. ユーザーが次に進むことを許可された場合は、Oracle Adaptive Access Managerサーバーにより、仮想認証デバイス・ルールで指定された強力なオーセンティケータとともにOracle Adaptive Access Managerパスワード・ページが表示されます。

8. ユーザーは、Oracle Adaptive Access Managerパスワード・ページで自分のパスワードを送信します。

9. 認証中にOracle Adaptive Access Managerにより、Oracle Access Manager Java APIを呼び出して資格証明が検証されます。

10. 認証が成功し、登録済の質問があるもののパスワードのリセットをユーザーが希望する場合、ユーザーは「パスワードの変更」リンクをクリックします。

11. ユーザーは、Oracle Adaptive Access Managerの「パスワードの変更」URLにリダイレクトされ、そこでユーザーはパスワードを変更できます。

12. Oracle Adaptive Access Managerにより、現在のパスワードおよび新しいパスワードが収集され、そのオーセンティケータを使用してユーザーからのパスワードが確認されます。

13. Oracle Identity Managerから取得されたパスワード・ポリシー情報が表示され、ユーザーが適切なパスワードを選択するように指示されます。

14. Oracle Adaptive Access Managerにより、Oracle Identity Managerコールが行われ、リポジトリ内のパスワードが更新されます。

15. 更新が成功すると、Oracle Adaptive Access Managerにより、ユーザーがOracle Access Managerによって保護されたリソースにリダイレクトされます。

2.8.4.3 パスワードを忘れた場合

パスワードを忘れた場合のフローでは、ユーザーはすべてのチャレンジ質問に正しく回答した後で各自のパスワードをリセットできます。

Oracle Access ManagerとOracle Identity Managerの統合におけるパスワードを忘れた場合のフロー

このシナリオでは、ユーザーはOracle Access Managerログイン・ページを表示して「パスワードを忘れた場合」リンクをクリックします。Oracle Access Managerにより、ユーザーはOracle Identity Managerの「パスワードを忘れた場合」URLにリダイレクトされ、パスワードの変更に成功したときにOracle Identity Managerによるリダイレクト先となる宛先URLが問合せパラメータ(backURL)として渡されます。

Oracle Identity Managerにより、ユーザーに対してチャレンジ質問が尋ねられます。正しい回答を入力すると、ユーザーは新しいパスワードを指定できます。

完了すると、Oracle Identity Managerによりユーザーが保護されたリソースにリダイレクトされます。

パスワードを忘れた場合のフローは次のとおりです。

1. ユーザーはブラウザを使用して、Oracle Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Manager Webゲート(SSOエージェント)により、リクエストが捕捉され、ユーザーがOracle Access Managerログイン・ページにリダイレクトされます。

3. ユーザーはOracle Access Managerログイン・ページで「パスワードを忘れた場合」リンクをクリックし、これによりユーザーはOracle Identity Managerの「パスワードを忘れた場合」URLに送信されます。

4. Oracle Identity Managerにより、ユーザーとの相互作用を通じてユーザーがパスワードをリセットできるようになります。完了すると、Oracle Identity Managerによりユーザーの自動ログインが実行されます。

5. Oracle Identity Managerにより、手順1でアクセスしようとしていたアプリケーションURLにユーザーがリダイレクトされます。

Oracle Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerの統合におけるパスワードを忘れた場合のフロー

Oracle Adaptive Access ManagerとOracle Identity Managerの統合では、パスワードを忘れた場合の機能はOracle Adaptive Access Managerパスワード・ページ上のリンクとして使用可能になります。このフローが開始されるのは、ユーザーがOracle Adaptive Access Managerパスワード・ページを表示して「パスワードをお忘れですか」リンクをクリックしたときです。

フローは次のとおりです。

1. ユーザーはブラウザを使用して、Oracle Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Manager Webゲートにより、(未認証の)リクエストが捕捉されます。

3. Oracle Access Manager Webゲートにより、ユーザーがOracle Adaptive Access Managerサーバーにリダイレクトされます。

4. Oracle Adaptive Access Managerサーバーにより、ユーザーに対してOracle Adaptive Access Managerユーザー名ページが表示されます。

5. ユーザーは、Oracle Adaptive Access Managerユーザー名ページで自分のユーザー名を送信します。

6. Oracle Adaptive Access Managerにより、ユーザー・デバイス(デスクトップ・コンピュータ、ラップトップ・コンピュータ、PDA、携帯電話、キオスクまたは他のWeb対応デバイス)のフィンガープリントが取得され、ユーザーがOracle Adaptive Access Managerパスワード・ページに進むことを許可するかどうかを決定する認証前ルールが実行されます。

7. ユーザーが次に進むことを許可された場合は、Oracle Adaptive Access Managerサーバーにより、仮想認証デバイス・ルールで指定された強力なオーセンティケータとともにOracle Adaptive Access Managerパスワード・ページが表示されます。

8. ユーザーは、Oracle Adaptive Access Managerパスワード・ページで「パスワードをお忘れですか」リンクをクリックします。

9. Oracle Adaptive Access Managerにより、ユーザーに対して事前登録されたチャレンジ質問のセットが表示されます。

10. ユーザーは、チャレンジ質問に対する回答を入力します。

11. Oracle Adaptive Access Managerにより、ファジー・ロジックを使用してチャレンジ質問に対する回答が検証されます。

12. ユーザーが正しい回答を入力した場合は、「パスワードのリセット」ページにリダイレクトされます。

13. Oracle Adaptive Access Managerにより、Oracle Identity Managerを呼び出すことによってOracle Identity Managerからパスワード・ポリシー・テキストが取得され、「パスワードのリセット」ページに表示されます。

14. ユーザーは、新しいパスワードを入力します。

15. Oracle Adaptive Access Managerにより、Oracle Identity Managerが呼び出され、リポジトリが新しいパスワードで更新されます。

16. 更新が成功すると、Oracle Adaptive Access Managerにより、ユーザーがOracle Access Managerによって保護されたリソースにリダイレクトされます。

2.8.4.4 アカウントのロックとロック解除

Oracle Access Managerでは、ログイン試行を追跡し、その回数が確立された制限を超えるとアカウントをロックします。

アカウントがロックされると、Oracle Access Managerによりヘルプ・デスクの連絡先情報が表示されます。

エンド・ユーザーから連絡を受けると、ヘルプ・デスクはOracle Identity Manager管理コンソールを使用してアカウントをロック解除します。その後Oracle Identity Managerにより、Oracle Access Managerに変更が通知されます。

アカウントのロックとロック解除のフロー

ユーザー・ログイン試行の失敗回数がパスワード・ポリシーで指定された値を超えると、ユーザー・アカウントがロックされます。ユーザー・アカウントがロックされた後のログイン試行に対しては、アカウントのロック解除プロセスに関する情報を提供するページを表示しますが、これは各自の組織で従うプロセス(ヘルプ・デスク情報やその他の類似情報)を反映したものにカスタマイズされている必要があります。

アカウントのロックとロック解除のフローは次のとおりです。

1. ユーザーはブラウザを使用して、Oracle Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Manager Webゲート(SSOエージェント)により、リクエストが捕捉され、ユーザーがOracle Access Managerログイン・ページにリダイレクトされます。

3. ユーザーは資格証明を送信し、これがOracle Access Managerによる検証に失敗します。Oracle Access Managerによりログイン・ページがレンダリングされ、ユーザーは資格証明を再送信するように求められます。

4. ユーザーのログイン試行の失敗回数がポリシーで指定された制限を超えます。Oracle Access Managerによりユーザー・アカウントがロックされ、ユーザーがOracle Access ManagerのアカウントのロックアウトURLにリダイレクトされ、そこでヘルプ・デスク連絡先情報が表示されます。

5. ユーザーはヘルプ・デスクに電話で連絡し、管理者にアカウントのロック解除を依頼します。

6. Oracle Identity Managerにより、Oracle Access Managerにアカウント・ロック解除イベントが通知されます。

7. ユーザーはアプリケーションURLにアクセスしようとし、このイベントにより通常のOracle Access Managerシングル・サインオン・フローがトリガーされます。

2.8.4.5 チャレンジの設定

チャレンジの設定により、ユーザーはチャレンジ質問および回答を登録できます。

Oracle Access ManagerとOracle Identity Managerの統合におけるチャレンジの設定フロー

Oracle Access Managerによる検出とリダイレクトは次のパスワード・トリガー条件で行われます。

- 必要な数のチャレンジを増やすためにパスワード・ポリシーが更新されました。

- チャレンジを要求するためにパスワード・ポリシーが更新されました。

このようなリダイレクトが発生した場合、Oracle Identity Managerによりチャレンジ質問が設定されているかどうかがチェックされます。設定されていない場合、ユーザーはパスワードをリセットするとともにチャレンジ質問を設定するように求められます。

フローは次のとおりです。

注意:
このフローは、初回ログインが必要ではないことを前提としています。

1. ユーザーはブラウザを使用して、Oracle Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Manager Webゲート(SSOエージェント)により、リクエストが捕捉され、ユーザーがOracle Access Managerログイン・ページにリダイレクトされます。

3. ユーザーは資格証明を送信し、これがOracle Access Managerにより検証されます。パスワード・トリガー条件が検出された場合は、Oracle Access Managerにより、ユーザーがOracle Identity Managerのパスワードの変更URLにリダイレクトされます。

4. Oracle Access Manager Webゲート(SSOエージェント)により、リクエストが捕捉され、Oracle Identity Managerが匿名認証ポリシーによって保護されていることが判別され、ユーザー・リクエストの処理が許可されます。

5. Oracle Identity Managerにより、ユーザーとの相互作用を通じてチャレンジが設定されます。完了すると、Oracle Identity Managerによりチャレンジの設定フローをトリガーした属性が更新されます。

6. Oracle Identity Managerにより、手順1でユーザーがアクセスしようとしていたアプリケーションURLにユーザーがリダイレクトされます。

Oracle Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerの統合におけるチャレンジの設定フロー

このシナリオでは、ユーザーは正常に認証されてもチャレンジ質問を登録する必要があります。ユーザーは、チャレンジ質問を登録するまで、保護されたリソースへのアクセスを許可されません。

注意:
Oracle Adaptive Access Managerを既存のOracle Identity Managerデプロイに追加する場合は、Oracle Identity Managerで登録されているすべての既存の質問および回答を放棄する必要があります。かわりに、ユーザーは次のログイン時にOracle Adaptive Access Managerでチャレンジ質問を再度登録するように求められます。

1. ユーザーはブラウザを使用して、Oracle Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Manager Webゲートにより、(未認証の)リクエストが捕捉されます。

3. Oracle Access Manager Webゲートにより、ユーザーがOracle Adaptive Access Managerサーバーにリダイレクトされ、リダイレクトURLが渡されます。

4. Oracle Adaptive Access Managerにより、ユーザーに対してOracle Adaptive Access Managerユーザー名ページが表示されます。

5. ユーザーは、Oracle Adaptive Access Managerユーザー名ページで自分のユーザー名を送信します。

6. Oracle Adaptive Access Managerにより、ユーザー・デバイス(デスクトップ・コンピュータ、ラップトップ・コンピュータ、PDA、携帯電話、キオスクまたは他のWeb対応デバイス)のフィンガープリントが取得され、ユーザーがOracle Adaptive Access Managerパスワード・ページに進むことを許可するかどうかを決定する認証前ルールが実行されます。

7. ユーザーが次に進むことを許可された場合は、Oracle Adaptive Access Managerサーバーにより、仮想認証デバイス・ルールで指定された強力なオーセンティケータとともにOracle Adaptive Access Managerパスワード・ページが表示されます。

8. ユーザーは、Oracle Adaptive Access Managerパスワード・ページで自分のパスワードを送信します。

9. 認証中にOracle Adaptive Access Managerにより、Oracle Access Managerを呼び出して資格証明が検証されます。

10. 認証後に、Oracle Adaptive Access Managerによりユーザーがチャレンジ質問を登録したかどうかがチェックされます。

11. ユーザーが質問を登録していない場合は、Oracle Adaptive Access Managerにより、ユーザーとの相互作用を通じてチャレンジが設定されます(チャレンジ質問の選択と回答の登録またはOTPプロファイルの設定、あるいはその両方)。

12. 登録が成功すると、Oracle Adaptive Access Managerにより、ユーザーがOracle Access Managerによって保護されたリソースにリダイレクトされます。

2.8.4.6 チャレンジのリセット

チャレンジのリセットにより、ユーザーは各自のチャレンジの登録をリセットできます。この機能は、Oracle Access ManagerがOracle Adaptive Access Managerと統合されている場合に使用できます。

フローは次のとおりです。

1. ユーザーはブラウザを使用して、Oracle Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Manager Webゲートにより、(未認証の)リクエストが捕捉されます。

3. Oracle Access Manager Webゲートにより、ユーザーがOracle Adaptive Access Managerサーバーにリダイレクトされ、リダイレクトURLが渡されます。

4. Oracle Adaptive Access Managerサーバーにより、ユーザーに対してOracle Adaptive Access Managerユーザー名ページが表示されます。

5. ユーザーは、Oracle Adaptive Access Managerユーザー名ページで自分のユーザー名を送信します。

6. Oracle Adaptive Access Managerにより、ユーザー・デバイス(デスクトップ・コンピュータ、ラップトップ・コンピュータ、PDA、携帯電話、キオスクまたは他のWeb対応デバイス)のフィンガープリントが取得され、ユーザーがOracle Adaptive Access Managerパスワード・ページに進むことを許可するかどうかを決定する認証前ルールが実行されます。

7. ユーザーが次に進むことを許可された場合は、Oracle Adaptive Access Managerサーバーにより、仮想認証デバイス・ルールで指定された強力なオーセンティケータとともにOracle Adaptive Access Managerパスワード・ページが表示されます。

8. ユーザーは、Oracle Adaptive Access Managerパスワード・ページで自分のパスワードを送信します。

9. 認証中にOracle Adaptive Access Managerにより、Oracle Access Managerを呼び出して資格証明が検証されます。

10. 認証が成功し、ユーザーに登録済の質問があるもののユーザーがチャレンジ質問のリセットを希望する場合、ユーザーは「チャレンジのリセット」リンクをクリックします。

11. ユーザーは、Oracle Adaptive Access Managerにリダイレクトされ、そこでチャレンジ質問をリセットできます。

12. チャレンジ登録をリセットした後、Oracle Adaptive Access Managerによりユーザーはチャレンジを登録するように求められます。

13. ユーザーが登録を完了しなかった場合は、次のログイン時に登録を求められます。

3 Oracle Identity Navigatorとの統合

この章では、Oracle Access ManagerをOracle Identity Navigatorと統合する方法について説明します。

この章に記載されている手順に従うと、Webゲート・エージェントを使用してOracle Access ManagerでOracle Identity Navigatorを保護できます。

この手順では、Oracle Access Managerによって設定されたサブジェクトをアサートするために、Oracle Internet Directoryオーセンティケータを使用してOracle WebLogic Serverを有効化します。

注意:
これは、URLを保護するために使用されるOracle Access Managerの特定の例です。記述されている内容はこのタイプの構成に一般的な方法ですが、ここで使用されているものと完全に同じ手順およびコンポーネントを使用しなくてもかまいません。たとえば、Oracle Internet Directoryは、Oracle Access Manager 11gに対して動作保証されているいくつかのアイデンティティ・ストアの1つです。

注意:
リリース11.1.1.5.0では、Oracle Identity Navigatorはドメイン・エージェントによってそのまますぐに保護されます。以前のリリースでは、これとは異なり、URLを保護するために手動構成が必要でした。

この章の内容は次のとおりです。

- シングル・サインオンの有効化

3.1 シングル・サインオンの有効化

Oracle Access Managerでは、Kerberos認証スキームをチャレンジ・メソッドのWindowsネイティブ認証(WNA)とともに使用して、Oracle Identity Navigator管理コンソールのSSOを有効化できます。

前提条件を次に示します。

- Oracle HTTP Serverがインストールされています。
Oracle HTTP Serverのインストール時に、「Oracle Web Cache」および「選択されたコンポーネントとWebLogicドメインの関連付け」の選択を解除します。

- Oracle Access Manager 11gが適切にインストールされ、構成されています。

- Oracle HTTP Server 11gがOracle Identity NavigatorのフロントエンドのプロキシWebサーバーとしてインストールされ、構成されています。

- Oracle HTTP Server 11g用のOracle Access Manager 11g WebゲートがOracle HTTP Server 11g上にインストールされています。

関連項目:
リストされているコンポーネントのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』を参照してください。次の項では、特に具体的な内容が説明されています。

- Oracle Identity Navigatorのインストールおよび構成

- Oracle Access Managerのインストールおよび構成

SSO有効化の大まかな手順は次のとおりです。

- Oracle Access Manager管理コンソールを使用して、Oracle Identity NavigatorのURLを保護するエージェント用に新しいリソースを構成します。

- 構成済のリソースおよびポリシーを持つOracle Access Managerドメインを指すように、Oracle HTTP Serverを構成します。

- 管理コンソールを使用して、2つの新しいアイデンティティ・プロバイダ、つまりOracle Access Manager Identity AsserterおよびOracle Internet Directory Authenticatorを追加します。

- Oracle Directory Services Manager (ODSM)を使用して、ログイン・ユーザーに管理者権限を付与します。

これらの手順は、後続のサブセクションで詳しく説明します。

3.1.1 エージェント用の新しいリソースの構成

Oracle Access Managerコンソールで、次の手順を実行します。

1. 「ポリシー構成」タブを選択します。

2. 「アプリケーション・ドメイン」で、Oracle Identity NavigatorのURLを保護するエージェントを選択します(たとえば、-OIMDomain)。

3. 「リソース」を選択し、作成アイコンをクリックして新しいリソースを追加します。タイプ、ホスト識別子および値(/oinav/…/*)を入力し、「適用」ボタンをクリックします。

4. 保護付きポリシー、または認証スキーマがLDAPスキーマであるポリシーを選択します。リソース表で追加アイコンをクリックし、ドロップダウン・リストからOracle Identity NavigatorのURL(/oinav/…/*)を選択します。

5. 認可ポリシーについて、手順を繰り返します。

3.1.2 Oracle Access Managerドメイン用のOracle HTTP Serverの構成

これらの手順に従って、リソースおよびポリシーが構成されているOracle Access ManagerドメインをOracle HTTP Serverが指すようにします。

1. Oracle HTTP Serverのサーバー構成ディレクトリ(たとえば、/scratch/mydir1/oracle/product/11.1.1/as_1/instances/instance1/config/OHS/ohs1)にナビゲートし、mod_wl_ohs.confファイルを見つけます。

2. <IfModule mod_weblogic.c>ブロックで、保護するOracle Identity Navigator URLのホストおよびポート番号を追加します。次に例を示します。

MatchExpression /oinav* WebLogicHost=host WebLogicPort=port

3. OHSインストールのbinディレクトリ(たとえば、/scratch/mydir1/oracle/product/11.1.1/as_1/instances/instance1/bin)で、次のコマンドを実行することによってOracle HTTP Serverサーバーを再起動します。

-./opmnctl restartproc ias=component=ohs1

3.1.3 新しいアイデンティティ・プロバイダの追加

これらの手順に従って、2つの新しいアイデンティティ・プロバイダを追加し、ログイン・ユーザーに管理者権限を付与します。

1. 管理コンソールを使用して、「セキュリティ・レルム」→「myreleam」→「プロバイダ」にナビゲートします。

2. OAM Identity AsserterとOID Authenticatorの2つのプロバイダを追加します。

3. OAM Identity Asserterの「制御フラグ」をRequiredに設定します。

4. OID Authenticatorで次の設定を更新します。

- 「制御フラグ」をSufficientに設定します。

- 「プロバイダ固有」タブを選択し、必要な変更を加えてOracle Internet Directoryサーバーのホスト、ポートおよびその他の資格証明を指定します。OID Authenticatorで正しいLDAP設定を構成します。

LDAPのユーザーおよびグループがコンソールに反映されます。

5. Oracle Directory Services Manager (ODSM)を使用して、ログイン・ユーザーに管理者権限を付与します。

1. Oracle Access Managerに関連付けられたLDAPサーバー内にユーザーを作成します(たとえば、uid=testuser,cn=users,dc=us,dc=oracle,dc=com)。

2. LDAPディレクトリ内に管理者グループを作成します(つまり、cn=Administrators,cn=groups,dc=us,dc=oracle,dc=com)。

3. ユーザーtestuserを管理者グループに追加することによって、このユーザーに管理者ロールを割り当てます。

4. これで、このユーザーによるOracle Identity NavigatorへのSSOをテストできるようになりました。

6. 次のようにプロバイダの順番を変更します。

1. OAMIdentityAsserter

2. オーセンティケータ

3. デフォルト・オーセンティケータ

4. デフォルトIDアサーション・プロバイダ

7. Oracle WebLogic Serverを再起動します。

8. Oracle HTTP Serverインストールのホストおよびポートを含む、保護されたOracle Identity Navigator URLを入力します。

http://OHSHost:OHSPort/oinav/faces/idmNag.jspx

4 Oracle Identity Federationの統合

この章では、認証済セッションを作成するためにOracle Access ManagerをOracle Identity Federationと統合する方法について説明します。

この章では、次の内容を説明します。

- 背景および統合の概要

- Oracle Access ManagerへのOracle HTTP Serverの登録

- SPモードでのOracle Identity Federationの統合

- Oracle Identity Federationの統合(認証モード)

- 構成のテスト

4.1 背景および統合の概要

この項では、統合手順に関する背景について説明します。内容は次のとおりです。

- Oracle Identity Federationとの統合について

- 統合タスクの概要

- 前提条件

- 追加の設定

4.1.1 Oracle Identity Federationとの統合について

Oracle Identity Federation

Oracle Identity Federationは、複数ドメインからなるアイデンティティ・ネットワークでのシングル・サインオンおよび認証を可能にする、スタンドアロンの自己完結型フェデレーション・サーバーです。

Oracle Identity Federationに付属のSP統合エンジンは、サーバーからのリクエストを処理してIdentity and Access Management (IAM)サーバーでユーザー用の認証済セッションを作成するサーブレットで構成されています。このエンジンには、Oracle Access Managerなどの異なるIAMサーバーとの相互作用を可能にする複数の内部プラグインが含まれています。

統合について

この章では、2つの統合モードについて説明します。

- SPモード
このモードでは、Oracle Identity Federationによりユーザーを認証して認証状態をOracle Access Managerに伝播し、そこでセッション情報を維持します。

- 認証モード
このモードでは、Oracle Access Managerによりユーザーを認証します。

図4-1は、各モードの処理の流れを示しています。

図4-1 Oracle Access ManagerおよびOracle Identity Federation

SPモードでは、Oracle Identity Federationにより、フェデレーション・プロトコルを使用してユーザーを識別し、認証モジュールをリクエストしてOracle Access Managerで認証済セッションを作成します。SPモードで統合するには、「SPモードの統合手順」を参照してください。

認証モードでは、Oracle Access Managerにより、LDAPストア内でユーザー・アイデンティティを検索してセッションCookieを取得することによって、mod_ossoまたはOracle Access Manager 11g Webゲートのいずれかで保護されているリクエスト対象リソースにユーザーがアクセスできるようにします。認証モードで統合するには、「認証モードの統合手順」を参照してください。

4.1.2 統合タスクの概要

Oracle Access ManagerをOracle Identity Federationに統合するのに必要なタスクは、両方のモードで似ていますが、いくつか異なる点があります。

SPモードの統合手順

SPモードの構成では、次のタスクを実行する必要があります。

1. Oracle WebLogic ServerおよびIdentity Management (IdM)コンポーネントなどの必要なコンポーネントがインストールされて稼働していることを確認します。
詳細は、第4.1.3項および第4.1.4項を参照してください。

2. リソースを保護するため、Oracle HTTP ServerをパートナとしてOracle Access Managerに登録します。
詳細は、第4.2項を参照してください。

3. サービス・プロバイダ(SP)としてOracle Access Managerとともに機能するように、Oracle Identity Federationサーバーを構成します。
詳細は、第4.3.1項を参照してください。

4. 認証をOracle Identity Federationに委任するように、Oracle Access Managerサーバーを構成します。
詳細は、第4.3.2項を参照してください。

5. 統合をテストします。
詳細は、第4.5.1項を参照してください。

認証モードの統合手順

認証モードの構成では、次のタスクを実行する必要があります。

1. Oracle WebLogic ServerおよびIdentity Management (IdM)コンポーネントなどの必要なコンポーネントがインストールされて稼働していることを確認します。
詳細は、第4.1.3項および第4.1.4項を参照してください。

2. リソースを保護するため、Oracle HTTP ServerをパートナとしてOracle Access Managerサーバーに登録します。
詳細は、第4.2項を参照してください。

3. アイデンティティ・プロバイダ(IdP)としてOracle Access Managerとともに機能するように、Oracle Identity Federationサーバーを構成します。
詳細は、第4.4項を参照してください。

4. 統合をテストします。
詳細は、第4.5.2項を参照してください。

4.1.3 前提条件

統合タスクを実行する前に、次のコンポーネントをインストールする必要があります。

- Oracle WebLogic Server

- Oracle HTTP Server 11g

- Oracle Access Manager 11g

- Oracle Identity Federation 11g

- mod_osso (認証モードで必要)

注意:
プラットフォームおよびバージョンの詳細は、Certification Matrixを参照してください。

関連項目:
Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド

4.1.4 追加の設定

Oracle WebLogic Server

管理サーバーと管理対象サーバーが起動しており、稼働中であることを確認します。

Oracle HTTP Server

テスト目的のため、保護するリソースを特定または作成します(たとえば、テスト・リソースとして扱うindex.htmlファイルを作成します)。

Oracle Identity Federation

次の形式のURLを使用して、Oracle Identity FederationサーバーのFusion Middleware Controlコンソールにアクセスします。

http://oif_host:oif_em_port/em

すべてのサーバーが実行されていることを確認します。

4.2 Oracle Access ManagerへのOracle HTTP Serverの登録

この項では、Oracle HTTP Serverと、選択した保護メカニズムに対応する11g Webゲートまたはmod_ossoのいずれかをOracle Access Managerに登録する方法について説明します。

この項は次のトピックで構成されています。

- Oracle Access ManagerへのOracle HTTP Serverとmod_ossoの登録

- Oracle Access ManagerへのOracle HTTP ServerとWebゲートの登録

4.2.1 Oracle Access ManagerへのOracle HTTP Serverとmod_ossoの登録

Oracle HTTP Serverとmod_ossoをOracle Access Managerに登録するには、次の手順に従います。

注意:
MW_HOMEは、Oracle Fusion Middlewareホーム・ディレクトリを表します。

1. 次のディレクトリでOSSORequest.xmlファイルを見つけます。

MW_HOME/Oracle_IDM1/oam/server/rreg/input

ホスト、ポートおよびエージェント名を適切な値に設定することによって、ファイルに必要な変更を加えます。このサーバー・アドレスはOracle Access Manager管理サーバー・アドレスであり、AgentBaseURLにはOracle HTTP Serverのホストおよびポートが指定されている必要があります。

2. 次の場所にあるoamreg.shスクリプトを見つけます。

MW_HOME/Oracle_IDM1/oam/server/rreg/bin

次のコマンド文字列を使用してスクリプトを実行します(ユーザーはweblogicであり、パスワードを指定する必要があります)。

./oamreg.sh inband input/OSSORequest.xml

3. 静的ディレクティブによりmod_ossoを構成します。詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の静的ディレクティブによるmod_ossoの構成に関する項を参照してください。

4. 手順3で実行したスクリプトにより、次のディレクトリにosso.confファイルが生成されます。

MW_HOME/Oracle_IDM1/oam/server/rreg/output/AgentName

次の場所にファイルをコピーします。

Oracle_WT1/instances/instance1/config/OHS/ohs1/moduleconf/osso/

5. 次のディレクトリでmod_osso.confファイルを見つけます。

Oracle_WT1/instances/instance1/config/OHS/ohs1/moduleconf

次のディレクティブをファイルに追加します。

OssoSecureCookies offOssoConfigFile path_to_osso.conf_file

6. Locationタグを非コメント化し、保護されているリソース・パスを入力します。
認証モードの場合:

<Location /fed/user/authnosso>
require valid-user
AuthType Osso
</Location>

SPモードの場合:

<Location /protected-url-context/protected-url-path>
require valid-user
AuthType Osso
</Location>

7. Oracle HTTP Serverを再起動します。

Oracle_WT1/instances/instance1/bin/opmnctl restartproc process-type=OHS

4.2.2 Oracle Access ManagerへのOracle HTTP ServerとWebゲートの登録

Oracle Access Manager 11g WebゲートをOracle Identity Federationと統合するには、次のタスクを実行する必要があります。

- Oracleシングル・サインオン(OSSO) SPエンジンを使用して、SPモードでOracle Identity FederationをOracle Access Manager 11gと統合(第4.3項を参照)

- OSSO SPエンジンでログアウトを有効化(認証エンジンではなくOSSO SPエンジンを使用して、Oracle Access Manager 11gとのログアウト統合が実行されます)

認証のため、Oracle HTTP ServerとOracle Access Manager 11g WebゲートをOracle Access Managerに登録するには、次の手順に従います。

注意:
この手順において、MW_HOMEはOracle Fusion Middlewareホーム・ディレクトリを表します。

1. 次のディレクトリにあるOAM11GRequest.xmlファイルまたはOAM11GRequest_short.xmlファイルを見つけます。

MW_HOME/Oracle_IDM1/oam/server/rreg/input

ファイルに必要な変更を加えます。

2. 次のディレクトリにあるoamreg.shスクリプトを見つけます。

MW_HOME/Oracle_IDM1/oam/server/rreg/bin

次のコマンド文字列を使用してスクリプトを実行します。

注意:
ユーザーはweblogicであり、パスワードを指定する必要があります。

./oamreg.sh inband input/OAM11GRequest.xml

または

./oamreg.sh inband input/OAM11GRequest_short.xml

3. Oracle Access Managerコンソールを使用して、認証用のOracle Access Managerで保護するOracle Identity Federation URLを表すリソースを作成します。このURLには、Oracle Identity Federationサーバーのホスト名とポート、およびリソースへのパス(モードによって異なります)が含まれます。
たとえば、認証モードの場合は次のようになります。

https://oif-host:oif-port/fed/user/authnoam

また、SPモードの場合は次のようになります。

https://oif-host:oif-port/protected-url-path

4. 認証ポリシーおよび認可ポリシーにより、このリソースを保護します。

5. Oracle HTTP Serverを再起動します。

Oracle_WT1/instances/instance1/bin/opmnctl restartproc process-type=OHS

4.3 SPモードでのOracle Identity Federationの統合

この項では、Oracle Identity FederationがSPとして動作するようにOracle Identity FederationおよびOracle Access Managerを統合するための残りの手順について説明します。

この項は次のトピックで構成されています。

- Oracle Identity Federationプロバイダの構成

- Oracle Identity Federationへの認証の委任

4.3.1 Oracle Identity Federationプロバイダの構成

SPとして動作させる場合、次の手順に従ってOracle Identity Federationを構成します。

- プロバイダ・メタデータの生成

- プロバイダの登録

- データ・ストアの構成

- 認証エンジンの構成

- デフォルト・アイデンティティ・プロバイダの設定

- SPモードでのOracle Identity Federationの構成

4.3.1.1 プロバイダ・メタデータの生成

次の手順に従って、それぞれIdPおよびSPでメタデータを生成します。

1. Fusion Middleware ControlでOracle Identity Federationインスタンスを見つけます。

2. 「管理」→「セキュリティおよび信頼」にナビゲートします。

3. 「プロバイダ・メタデータ」タブをクリックします。

4. ページの「メタデータの生成」セクションで、「プロバイダ・タイプ」ドロップダウンを使用して「サービス・プロバイダ」を選択します。

5. 「生成」をクリックします。これにより、サービス・プロバイダのメタデータが作成されます。

6. 手順4および5を繰り返し、アイデンティティ・プロバイダのメタデータを生成します。

4.3.1.2 プロバイダの登録

次の手順に従って、プロバイダを登録します。

1. Fusion Middleware ControlでOracle Identity Federationインスタンスを見つけます。

2. 「管理」→「フェデレーション」にナビゲートします。

3. 「追加」をクリックします。「信頼できるプロバイダの追加」ダイアログが表示されます。

4. 「メタデータのロード」ボックスを選択します。

5. 「ファイルの選択」をクリックし、第4.3.1.1項「プロバイダ・メタデータの生成」でIdP用に生成したメタデータ・ファイルを選択します。

6. SPについて、メタデータをロードする手順を繰り返します。
信頼できるプロバイダのリストに両方のプロバイダが表示されていることを確認します。

4.3.1.3 データ・ストアの構成

次の手順に従って、データ・ストアを構成します。

1. Fusion Middleware ControlでOracle Identity Federationインスタンスを見つけます。

2. 「管理」→「データ・ストア」の順にナビゲートします。

3. この例のように、ユーザー・データ・ストアの詳細を指定します。

4.3.1.4 認証エンジンの構成

このタスクでは、ユーザー・データ・ストアを指すように認証エンジンを構成し、そのストアに対してユーザーを検証するためにOracle Identity Federationを有効化しています。

詳細は、第4.4.4項を参照してください。

4.3.1.5 デフォルト・アイデンティティ・プロバイダの設定

このタスクでは、前のタスクでデフォルトIdPとして作成したアイデンティティ・プロバイダ(IdP)を設定します。次の手順に従って次のタスクを実行します。

1. Fusion Middleware ControlでOracle Identity Federationインスタンスを見つけます。

2. 「管理」→「サービス・プロバイダ」にナビゲートします。

3. 「サービス・プロバイダの有効化」ボックスを選択します。

4. 「デフォルトSSOアイデンティティ・プロバイダ」に、第4.3.1.2項「プロバイダの登録」で設定したIdPを指定します。

5. 「適用」をクリックします。

4.3.1.6 SPモードでのOracle Identity Federationの構成

IdP/SPメタデータを生成してそれらのモジュールを登録したら、統合に向けたOracle Identity Federation構成の最後のタスクとして、Oracle Identity Federationでアサーション・トークンを送信してセッション管理をOracle Access Managerに転送できるように、Oracle Access Managerサーバーの詳細を指定します。

必要な手順は次のとおりです。

1. Fusion Middleware ControlでOracle Identity Federationインスタンスを見つけます。

2. 「管理」→「サービス・プロバイダ統合モジュール」にナビゲートします。

3. 「Oracleシングル・サインオン」タブを選択します。

4. ページを次のように構成します。

- 「デフォルトSP統合モジュール」ドロップダウンで、「Oracleシングル・サインオン」を選択します。

- 「SPモジュールの有効化」ボックスを選択します。

- 「ログアウト有効」ボックスを選択します。

- 次のURLを構成します。

Login URL  :  http://oam_host:oam_port/oam/server/dap/cred_submit
Logout URL :  http://oam_host:oam_port/oam/server/logout

ここで、「oam_host」および「oam_port」は、それぞれOracle Access Managerサーバーのホストおよびポート番号です。

- Oracle Access Managerのユーザー名属性に対応させるため、「ユーザー名属性」の値を「cn」に設定します。

5. 「再生成」をクリックします。
この操作により、Oracle Access ManagerサーバーとOracle Identity Federationサーバーとの間で交換されるトークンの暗号化と復号化のための鍵を含むキーストア・ファイルが生成されます。

「別名保存」ダイアログを使用してキーストア・ファイルを保存することを忘れないでください。

6. キーストア・ファイルをOracle Access Managerのインストール・ディレクトリ内の場所にコピーします。

注意:
後で参照する必要があるため、この場所をメモします。

4.3.2 Oracle Identity Federationへの認証の委任

第4.2項「Oracle Access ManagerへのOracle HTTP Serverの登録」のタスクを実行した結果、クライアントは、保護されたリソースにアクセスしようとすると認証のためにOracle Access Managerに転送されます。

統合手順の最後のタスクでは、認証のためにユーザーをOracle Identity FederationにリダイレクトするようにOracle Access Managerを構成します。必要な手順は次のとおりです。

1. Oracle Access Manager管理コンソールにログインします。

2. 「ポリシー構成」タブを選択します。

3. 「認証スキーム」ドロップダウンで「OIFScheme」を選択することによって、リソースを保護します。

4. 「適用」をクリックします。

5. 認証スキームを更新します。
「ポリシー構成」タブの「共有コンポーネント」ツリーで、「認証スキーム」を選択し、OIFSchemeを選択します。

次の操作を行います。

- 「チャレンジURL」フィールドで、OIFHostおよびportの値を変更します。

- 「コンテキスト・タイプ」ドロップダウンの値がexternalに設定されていることを確認します。

- 「適用」をクリックして変更を保存します。

6. Oracle Access ManagerサーバーがインストールされているMiddlewareホーム内のディレクトリにキーストア・ファイルをコピーします。

7. WLSTコマンドを使用して、oam-config.xml構成ファイル内のOIFDAPパートナ・ブロックを更新します。構文は次のとおりです。

1. 次のコマンドを実行して、シェル環境に入ります。

$DOMAIN_HOME/common/bin/wlst.sh

2. 次のコマンド構文により、Oracle Access Manager管理サーバーに接続します。

connect('weblogic','password','host:port')

3. 次のコマンドを実行して、構成ファイル内のパートナ・ブロックを更新します。

registerOIFDAPPartner(keystoreLocation=location of keystore file, logoutURL=logoutURL)

ここで、logoutURLは、Oracle Access Managerサーバーがユーザーをログアウトさせるときに起動する、Oracle Identity FederationのログアウトURLです。

次に例を示します。

registerOIFDAPPartner(keystoreLocation="/home/pjones/keystore", logoutURL="http://abcdef0123.in.mycorp.com:1200/fed/user/spsloosso?doneURL=
http://abc1234567.in.mycorp.com:6001/ngam/pages/logout.jsp")

8. フェデレーテッド・ユーザーをLDAPディレクトリに追加します。

1. 次の構文により、Oracle Access Manager管理コンソールにアクセスします。

http://weblogic_host:weblogic_admin_port/console

2. 「セキュリティ・レルム」→「ユーザーとグループ」→「新規」にナビゲートし、新しいユーザーを作成します。

注意:
Oracle Identity FederationとOracle Access Managerの両方で、このユーザーを識別できる必要があります(つまり、第4.3.1.4項で認証エンジンに対して構成したデータ・ストアには、このユーザーが含まれている必要があります)。

9. 管理サーバーおよび管理対象サーバーを再起動します。

検証

前述の手順7で行った操作を検証するには、$OAM_HOME/oam/server/config/oam-config.xmlファイルを調べて、OIFDAPPartnerブロック内のプロパティがその手順で指示されたとおりに更新されていることを確認します。ログアウトURLの形式は次のとおりです。

http://oifhost:oifport/fed/user/spsloosso?doneURL=URLEncoded(host:port/ngam/pages/logout.jsp

構成が正しい場合、Oracle Access Managerからログアウトが開始されると、Oracle Identity Federationでログアウトが実行されます。

4.4 Oracle Identity Federationの統合(認証モード)

IdPとして動作させる場合、次のタスクを実行してOracle Identity Federationを構成する必要があります。

- プロバイダ・メタデータの生成

- プロバイダの登録

- データ・ストアの構成

- 認証エンジンの構成

4.4.1 プロバイダ・メタデータの生成

次の手順に従って、プロバイダ・メタデータを生成します。

1. Fusion Middleware ControlでOracle Identity Federationインスタンスを見つけます。

2. 「管理」→「サーバー・プロパティ」にナビゲートします。

3. ホスト名およびポート番号をそれぞれOracle HTTP Serverのホストおよびポートに変更します。
変更を保存します。

4. 「管理」→「セキュリティおよび信頼」にナビゲートします。

5. 「プロバイダ・メタデータ」タブをクリックします。

6. ページの「メタデータの生成」セクションで、「プロバイダ・タイプ」ドロップダウンを使用して「アイデンティティ・プロバイダ」を選択します。

7. 「生成」をクリックします。これにより、アイデンティティ・プロバイダのメタデータが作成されます。

4.4.2 プロバイダの登録

次の手順に従って、プロバイダを登録します。

1. Fusion Middleware ControlでOracle Identity Federationインスタンスを見つけます。

2. 「管理」→「フェデレーション」にナビゲートします。

3. 「追加」をクリックします。「信頼できるプロバイダの追加」ダイアログが表示されます。

4. 「メタデータのロード」ボックスを選択します。

5. 「ファイルの選択」をクリックし、第4.4.1項でIdP用に生成したメタデータ・ファイルを選択します。

6. SPについて、メタデータをロードする手順を繰り返します。
信頼できるプロバイダのリストに両方のプロバイダが表示されていることを確認します。

4.4.3 データ・ストアの構成

この手順の詳細は、第4.3.1.3項を参照してください。

4.4.4 認証エンジンの構成

このタスクは、OSSOエージェントまたはOracle Access Manager 11g Webゲート・エージェントのどちらを構成するかによって異なります。

4.4.4.1 Oracleシングル・サインオン(OSSO)エージェント

OSSOエージェントの構成手順は次のとおりです。

1. Fusion Middleware ControlでOracle Identity Federationインスタンスを見つけます。

2. 「管理」→「認証エンジン」にナビゲートします。

3. 「デフォルトの認証エンジン」ドロップダウンで、「Oracleシングル・サインオン」を選択します。

4. 「適用」をクリックします。

4.4.4.2 Webゲート11gエージェント

Oracle Access Manager 11g Webゲートにより、mod_ossoを使用せずにWebゲートを通じてユーザー・チャレンジを行って、Oracle Identity Federationを保護することもできます(この場合、Oracle Identity FederationのOracle Access Manager認証エンジンが統合に使用されます)。

WebゲートをOracle Identity Federationと統合するには、次のタスクを実行する必要があります。

- OSSO SPエンジンを使用して、SPモードでOracle Identity FederationをOracle Access Manager 11gと統合(第4.3項を参照)

- OSSO SPエンジンでログアウトを有効化(認証エンジンではなくOSSO SPエンジンを使用して、Oracle Access Manager 11gとのログアウト統合が実行されます)

Webゲート11gエージェントの構成手順は次のとおりです。

1. Fusion Middleware ControlでOracle Identity Federationインスタンスを見つけます。

2. 「管理」→「認証エンジン」にナビゲートします。

3. Oracle Access Manager認証エンジンを有効化します。

4. 「ユーザーの一意IDヘッダー」としてOAM_REMOTE_USERを入力します。

5. 「デフォルトの認証エンジン」ドロップダウン・リストで、「Oracle Access Manager」を選択します。

6. Oracle Access Manager 11gとのログアウト統合がOSSO SPエンジンで実行されるため、ログアウトを無効化します。

7. 「適用」をクリックします。

4.5 構成のテスト

最後の構成タスクでは、統合が正しく構成されているかどうかをテストします。この手順は、認証モードとSPモードとの間で異なります。

4.5.1 SPモード構成のテスト

次の手順に従って、SPモードで構成が正しいかどうかをテストします。

1. 保護されたリソースにアクセスしてみます。

2. 設定が正しい場合は、Oracle Identity Federationログイン・ページにリダイレクトされます。このページでユーザー資格証明が必要であることを確認します。

3. ログイン・ページで有効な資格証明を入力します。

注意:
ユーザーは、Oracle Identity Federationデータ・ストアとOracle Access Managerストアの両方に存在する必要があります。

4. 保護されたページにリダイレクトされたことを確認します。

5. 次のCookieが作成されたことを確認します。

OAM_ID
ORA_OSFS_SESSION
OHS Cookie

4.5.2 認証モード構成のテスト

次の手順に従って、認証モードで構成が正しいかどうかをテストします。

1. SPテスト・ページからシングル・サインオン(SSO)を開始します。

2. IdPでOracle Access Managerログイン・ページにリダイレクトされたことを確認します。このページでは、ユーザー資格証明がリクエストされます。

3. 関連する資格証明を入力し、ページを処理します。

4. SPテスト結果ページにリダイレクトされたことを確認します。

5 Oracle Access ManagerとOracle Identity Managerの統合

この章では、Oracle Access ManagerをOracle Identity Managerと統合する方法について説明します。

この章の説明では、ディレクトリ・サーバーの例としてOracle Internet Directoryのみを使用します。サポートされている構成の詳細は、Oracle Technology Networkにあるシステム要件と動作保証情報のドキュメントを参照してください。詳細は、第1.4項「システム要件と動作保証情報」を参照してください。

実際の環境で異なるディレクトリ・サーバーを使用している場合、それに応じて手順を変更する必要があります。詳細は、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』に記載されている構成シナリオを参照してください。

この章では、次の内容を説明します。

- 統合について

- 前提条件

- Oracle Access Managerでの統合タスクの実行

- Oracle Identity Managerでの統合タスクの実行

- 統合のテスト

- 追加の構成

5.1 統合について

この統合により、Oracle Identity Managerでアイデンティティを管理し、Oracle Access Managerでリソースへのアクセスを制御できるようになります。

詳細は、第2.3項「Oracle Identity Managerによるアイデンティティ管理の有効化」を参照してください。

大まかな統合タスクは次のとおりです。

- 統合のすべての前提条件が整っていることを確認

- Oracle Identity Managerと統合するOracle Access Managerサーバーを構成

- ディレクトリ・サーバーで管理ユーザーを作成

- Oracle Access Managerと統合するOracle Identity Managerサーバーを構成

- 統合を検証

各タスクを第5.2項から第5.5項まで順番に実行します。

5.2 前提条件

統合手順を準備するには、次の手順に従います。

1. 必要な次のコンポーネントをインストールおよび構成します。

- Oracle Database

- ディレクトリ・サーバー(例としてOracle Internet Directoryを使用)

- Oracle WebLogic Server

- WebLogicドメインおよび次の11gコンポーネント:

- Oracle Access Manager

- Oracle Identity Manager

- Oracle SOA Suite

関連項目:
『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』

2. 環境変数MW_HOME、JAVA_HOME、IDM_HOMEおよびORACLE_HOMEを設定します。
IDM_HOMEを、Oracle Internet Directoryのインストール場所であるIDM_ORACLE_HOMEに設定します。

ORACLE_HOMEを、Oracle Access ManagerおよびOracle Identity Managerのインストール場所であるIAM_ORACLE_HOMEに設定します。

3. 次のディレクトリでidmConfigToolユーティリティを見つけます。

IAM_ORACLE_HOME/idmtools/bin

次のいくつかの手順でこのユーティリティを使用して、統合用のアイデンティティ・ストアを準備します。

4. 次のような内容のプロパティ・ファイルを作成します。

IDSTORE_HOST : idstore.mycompany.com
IDSTORE_PORT : 389
IDSTORE_BINDDN : cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=mycompany,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=mycompany,dc=com
IDSTORE_SEARCHBASE: dc=mycompany,dc=com
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=mycompany,dc=com

説明:

- IDSTORE_HOSTおよびIDSTORE_PORTは、それぞれアイデンティティ・ストア・ディレクトリのホストおよびポートです。Oracle Internet Directory以外のディレクトリを使用する場合は、Oracle Virtual Directoryホストを指定します(これはIDSTORE.mycompany.comとなります)。

- IDSTORE_BINDDNは、アイデンティティ・ストア・ディレクトリ内の管理ユーザーです。

- IDSTORE_USERSEARCHBASEは、ユーザーを格納するディレクトリ内の場所です。

- IDSTORE_GROUPSEARCHBASEは、グループを格納するディレクトリ内の場所です。

- IDSTORE_SEARCHBASEは、ユーザーおよびグループを格納するディレクトリ内の場所です。

- IDSTORE_SYSTEMIDBASEは、メイン・ユーザー・コンテナに配置する必要のないユーザーを配置できるディレクトリにあるコンテナの場所です。このような事態はほとんどありませんが、その一例としてOracle Virtual DirectoryアダプタのバインドDNユーザーにも使用されるOracle Identity Managerリコンシリエーション・ユーザーがあげられます。

このファイルは次の手順でアイデンティティ・ストアを事前構成するのに使用するため、preconfigPropertyFileのような名前にします。

5. このプロパティ・ファイルを使用して、次のコマンドでアイデンティティ・ストアの一般構成を実行します。

idmConfigTool –preConfigIDStore input_file=propertiesFile

6. 次に示す内容の、2つ目のプロパティ・ファイルを作成します。

IDSTORE_HOST : idstore.mycompany.com
IDSTORE_PORT : 389
IDSTORE_BINDDN : cn=orcladmin
IDSTORE_USERSEARCHBASE: cn=Users,dc=mycompany,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=mycompany,dc=com
IDSTORE_SEARCHBASE: dc=mycompany,dc=com
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=mycompany,dc=com
IDSTORE_READONLYUSER: IDROUser
IDSTORE_READWRITEUSER: IDRWUser
IDSTORE_SUPERUSER: weblogic_admin
IDSTORE_OAMSOFTWAREUSER: oamLDAP
IDSTORE_OAMADMINUSER: oamadmin
IDSTORE_OIMADMINUSER: oimadmin
IDSTORE_OIMADMINGROUP: OIMAdmins
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
OAM11G_IDSTORE_ROLE_SECURITY_ADMIN: OAMAdmins

説明:

- IDSTORE_HOSTおよびIDSTORE_PORTは、それぞれアイデンティティ・ストア・ディレクトリのホストおよびポートです。Oracle Internet Directory以外のディレクトリを使用する場合は、Oracle Virtual Directoryホストを指定します(これはIDSTORE.mycompany.comとなります)。

- IDSTORE_BINDDNは、アイデンティティ・ストア・ディレクトリ内の管理ユーザーです。

- IDSTORE_USERSEARCHBASEは、ユーザーを格納するディレクトリ内の場所です。

- IDSTORE_GROUPSEARCHBASEは、グループを格納するディレクトリ内の場所です。

- IDSTORE_SEARCHBASEは、ユーザーおよびグループを格納するディレクトリ内の場所です。

- IDSTORE_SYSTEMIDBASEは、メイン・ユーザー・コンテナに配置する必要のないユーザーを配置できるディレクトリにあるコンテナの場所です。このような事態はほとんどありませんが、その一例としてOracle Virtual DirectoryアダプタのバインドDNユーザーにも使用されるOracle Identity Managerリコンシリエーション・ユーザーがあげられます。

- IDSTORE_SYSTEMIDBASEは、Oracle Identity Managerリコンシリエーション・ユーザーを配置するディレクトリの場所です。

- IDSTORE_READONLYUSERは、アイデンティティ・ストアに対する読取り専用の権限を持つ、作成するユーザーの名前です。

- IDSTORE_READWRITEUSERは、アイデンティティ・ストアに対する読取り/書込みの権限を持つ、作成するユーザーの名前です。

- IDSTORE_SUPERUSERは、Oracle Fusion ApplicationsドメインでWebLogic管理コンソールへのログインに使用する管理ユーザーの名前です。

- IDSTORE_OAMSOFTWAREUSERは、LDAPに作成されるユーザーです。これは、Oracle Access Managerが実行中にLDAPサーバーに接続するために使用されます。

- IDSTORE_OAMADMINUSERは、Oracle Access Manager管理者として作成するユーザーの名前です。

- IDSTORE_OIMADMINUSERは、Oracle Identity Managerコンソールにログインするために使用する、管理ユーザーの名前です。

- IDSTORE_OIMADMINGROUPは、Oracle Identity Manager管理ユーザーを保持するために作成するグループの名前です。

- OAM11G_IDSTORE_ROLE_SECURITY_ADMINは、Oracle Access Manager管理コンソールにアクセスできるユーザーを含むグループの名前です。

このファイルは次の手順でアイデンティティ・ストアを準備するのに使用するため、preparePropertyFileのような名前にします。

7. このプロパティ・ファイルを使用して、次のコマンドで統合に必要なアイデンティティ・ストアのコンポーネント固有の構成を実行します。

idmConfigTool -prepareIDStore mode=all input_file=propertiesFile

8. Oracle Identity Manager向けに次のタスクを実行します。

1. Oracle Identity Managerを実行するドメイン内で、LDAP同期化(LDAP同期)を構成します。続行する前に、LDAP同期が動作していることを確認します。

注意:
この手順の一環としてスキーマをロードする場合は、最初にOracle Access Managerスキーマをロードしてから、Oracle Identity Managerスキーマをロードします。

LDAP同期の構成の詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』の第15章「Oracle Identity Managerの構成」にある、LDAP同期の有効化の前提条件チェックに関する項、LDAP構成後ユーティリティの実行に関する項およびLDAP同期の検証に関する項を参照してください。

2. Oracle Directory Services Managerを使用し、手順8aで作成したOracle Virtual Directoryアダプタを構成してoamEnabledパラメータをtrueに設定します。

3. Oracle Identity Managerを実行しているドメインで、LDAP同期オプションを有効にしてOracle Identity Manager構成ウィザードを実行します。

注意:

- これらの説明は、ディレクトリ・サーバーがOracle Internet Directoryであることを前提としています。異なるディレクトリ・サーバーを使用している場合は、追加の構成が必要である可能性があります(詳細は、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』を参照してください)。

- 次の手順に進む前に、Oracle Identity Manager管理者アカウントがディレクトリ内に存在し、有効であることを確認してください。

9. Oracle Access ManagerおよびOracle Identity ManagerのWebLogic管理対象サーバーが停止していることを確認します。

10. Oracle WebLogic Server管理サーバーを再起動します。

関連項目:
『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』の「Oracleスタックの起動または停止」

11. IDMドメイン・エージェントのログアウトを構成します。詳細は、『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』のIDMドメイン・エージェントの集中ログアウトの構成に関する項を参照してください。

5.3 Oracle Access Managerでの統合タスクの実行

これらの手順に従って、Oracle Access ManagerをOracle Identity Managerおよびディレクトリ・サーバーと統合します。

1. 環境変数MW_HOME、JAVA_HOME、IDM_HOMEおよびORACLE_HOMEを設定します。
IDM_HOMEを、Oracle Internet Directoryのインストール場所であるIDM_ORACLE_HOMEに設定します。

ORACLE_HOMEを、Oracle Access ManagerおよびOracle Identity Managerのインストール場所であるIAM_ORACLE_HOMEに設定します。

2. ドメイン・エージェント・パスワードを次のように更新します。

1. Oracle Access Managerコンソールにログインします。

http:oam_admiserver_host:port/oamconsole

2. 「システム構成」タブ→「Access Managerの設定」→「SSOエージェント」にナビゲートします。
「OAMエージェント」をダブルクリックすると、右側にWebゲート・ページが開きます。

「検索」をクリックすると、IAMSuiteAgentを含むすべてのWebゲート・エージェントがリストされます。

これをダブルクリックして、IAMSuiteAgentエージェントを編集します。「アクセス・クライアント・パスワード」フィールドを目的のパスワードで更新します。

3. Oracle WebLogic Serverコンソールにログインします。

http:oam_adminserver_host:port/console

4. 「セキュリティ・レルム」→「myrealm」にナビゲートします。「プロバイダ」タブを開き、IAMSuiteAgentを編集します。
「プロバイダ固有」タブを開き、エージェント・パスワードを更新します。変更を保存します。

5. Oracle Access Manager管理対象サーバーを再起動します。

更新したパスワードは、後述の手順4で使用します。

3. 次の内容のプロパティ・ファイルを作成します。

WLSHOST: adminvhn.mycompany.com
WLSPORT: 7001
WLSADMIN: weblogic
IDSTORE_HOST: idstore.mycompany.com
IDSTORE_PORT: 389
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_USERSEARCHBASE: cn=Users,mycompany,dc=com
IDSTORE_SEARCHBASE: dc=mycompany,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=mycompany,dc=com
IDSTORE_OAMSOFTWAREUSER: oamLDAP
IDSTORE_OAMADMINUSER: oamadmin
PRIMARY_OAM_SERVERS: oamhost1.mycompany.com:5575,oamhost2.mycompany.com:5575
WEBGATE_TYPE: ohsWebgate10g
ACCESS_GATE_ID: IAMSuiteAgent
COOKIE_DOMAIN: .us.oracle.com
OAM11G_IDSTORE_ROLE_SECURITY_ADMIN: OAMAdministrators
OAM_TRANSFER_MODE: OPEN
OAM11G_SSO_ONLY_FLAG: true
OAM11G_OIM_INTEGRATION_REQ: true
OAM11G_OIM_OHS_URL:https://sso.mycompany.com:443/
COOKIE_EXPIRY_INTERVAL: 120

説明:

- WLSHOSTおよびWLSPORTは、それぞれ管理サーバーのホストおよびポートです(これが仮想名になります)。

- WLSADMINは、WebLogicコンソールへのログインで使用するWebLogic管理ユーザーです。

- IDSTORE_HOSTおよびIDSTORE_PORTは、それぞれアイデンティティ・ストア・ディレクトリのホストおよびポートです。

注意:
Oracle Internet Directory以外のディレクトリ・サーバーを使用する場合は、Oracle Virtual Directoryのホストおよびポートを指定します。

- IDSTORE_BINDDNは、Oracle Internet Directory内の管理ユーザーです。

注意:
Oracle Internet Directory以外のディレクトリ・サーバーを使用する場合は、Oracle Virtual Directory管理ユーザーを指定します。

- IDSTORE_USERSEARCHBASEは、ユーザーを格納するディレクトリ内の場所です。

- IDSTORE_GROUPSEARCHBASEは、グループを格納するディレクトリ内の場所です。

- IDSTORE_SEARCHBASEは、ユーザーおよびグループを格納するディレクトリ内の場所です。

- IDSTORE_OAMSOFTWAREUSERは、LDAPの操作に使用するユーザーの名前です。

- IDSTORE_OAMADMINUSERは、Oracle Access Managerコンソールへのアクセスに使用するユーザーの名前です。

- PRIMARY_OAM_SERVERSは、Oracle Access Managerサーバーとそこで使用されるプロキシ・ポートのカンマ区切りリストです。

注意:
Oracle Access Managerサーバーで使用されるプロキシ・ポートを特定する手順は、次のとおりです。

1. http://admin.mycompany.com:7001/oamconsoleでOracle Access Managerコンソールにログインします。

2. 「システム構成」タブをクリックします。

3. 「共通構成」セクションで「サーバー・インスタンス」を展開します。

4. Oracle Access Managerサーバー(WLS_OAM1など)をクリックし、「開く」をクリックします。

5. プロキシ・ポートが「ポート」として表示されます。

- WEBGATE_TYPEは、作成するWebゲート・エージェントのタイプです。

- ACCESS_GATE_IDは、Webゲートに割り当てる名前です。前述のプロパティ値を変更しないでください。

- COOKIE_DOMAINは、Webゲートが機能するドメインです。

- OAM_TRANSFER_MODEは、アクセス・サーバーが機能するセキュリティ・モデルです。

- OAM11G_SSO_ONLY_FLAGは、Oracle Access Managerを認証のみのモードで使用するかどうかを決定します。

- OAM11G_OIM_OHS_URLは、Oracle HTTPサーバーに面するロード・バランサのURLです。

このファイルは次の手順のOracle Access Managerの構成で使用するため、OAMconfigPropertyFileのような名前にします。

4. 次の場所にあるidmConfigToolコマンドを使用して、Oracle Access Managerを構成します。

IAM_ORACLE_HOME/idmtools/bin

コマンド構文は次のとおりです。

idmConfigTool –configOAM input_file=propertiesFile

5.4 Oracle Identity Managerでの統合タスクの実行

次の手順を実行して、Oracle Identity ManagerをOracle Access Managerと統合します。

1. Oracle WebLogic ServerおよびOracle Identity Managerサーバーがインストールされているマシンで、次のようにwlfullclient.jarファイルを作成します。

1. MW_HOME/wlserver_10.3/server/libディレクトリに移動します。

2. JAVA_HOMEをMW_HOME/jdk160_18に設定し、JAVA_HOME/binディレクトリがパスに含まれていることを確認します。

3. 次のファイルを実行することによって、wlfullclient.jarファイルを作成します。

java -jar wljarbuilder.jar

jarファイルが作成されたことを確認します。

2. 環境変数MW_HOME、JAVA_HOME、IDM_HOMEおよびORACLE_HOMEを設定します。
IDM_HOMEを、Oracle Internet Directoryのインストール場所であるIDM_ORACLE_HOMEに設定します。

ORACLE_HOMEを、Oracle Access ManagerおよびOracle Identity Managerのインストール場所であるIAM_ORACLE_HOMEに設定します。

3. 次のような内容のプロパティ・ファイルを作成します。

LOGINURI: /${app.context}/adfAuthentication
LOGOUTURI: /oamsso/logout.html
AUTOLOGINURI: /obrar.cgi
ACCESS_SERVER_HOST: OAMHOST1.mycompany.com
ACCESS_SERVER_PORT: 5575
ACCESS_GATE_ID: IAMSuiteAgent
COOKIE_DOMAIN: .mycompany.com
COOKIE_EXPIRY_INTERVAL: 120
OAM_TRANSFER_MODE: SIMPLE
WEBGATE_TYPE: javaWebgate
SSO_ENABLED_FLAG: true
IDSTORE_PORT: 389
IDSTORE_HOST: idstore.mycompany.com
IDSTORE_DIRECTORYTYPE: OID
IDSTORE_ADMIN_USER: oamdmin. Note that the entry contain the complete LDAP DN of the user (the username alone in insufficient).
IDSTORE_USERSEARCHBASE: cn=Users,dc=mycompany,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=mycompany,dc=com
MDS_DB_URL: jdbc:oracle:thin:@DBHOST:PORT:SID
MDS_DB_SCHEMA_USERNAME: edg_mds
WLSHOST: adminvhn.mycompany.com
WLSPORT: 7001
WLSADMIN: weblogic
DOMAIN_NAME: IDM_Domain
OIM_MANAGED_SERVER_NAME: WLS_OIM1
DOMAIN_LOCATION: ORACLE_BASE/admin/IDMDomain/aserver/IDMDomain

注意:

- ACCESS_SERVER_PORTは、Oracle Access ManagerのNAPポートである必要があります。

- アクセス・マネージャ・サーバーが簡易モードを使用してリクエストを受け入れるように構成されている場合は、OAM_TRANSFER_MODEをSIMPLEに設定します。それ以外の場合は、OAM_TRANSFER_MODEをOPENに設定します。

- WEBGATE_TYPEを、ドメイン・エージェントを使用する場合はjavaWebgateに設定し、10g Webゲートを使用する場合はohsWebgate10gに設定します。

- IDSTORE_PORTを、使用するOracle Internet Directoryポートに設定します。

- IDSTORE_HOSTを、使用するOracle Internet Directoryホストまたはロード・バランサ名に設定します。

- この場合のMDS_DB_URLは、単一インスタンス・データベースを表します。@記号の後に続く文字列は、使用している環境に合った正しい値にする必要があります。SIDは、サービス名ではなく実際のSIDにする必要があります。

- IDSTORE_ADMIN_USERの値には、ユーザーの完全なLDAP DNを含める必要があります。このエントリは、「oamadmin」のみではなく「cn=oamadmin,cn=Users,dc=us,dc=oracle,dc=com」のような形式になります。

このファイルは手順4でOracle Identity Managerを構成するのに使用するため、OIMconfigPropertyFileのような名前にします。

4. 場所をIAM_ORACLE_HOME/serverに変更します。

cd IAM_ORACLE_HOME/server

5. 次の場所にあるidmConfigToolコマンドを使用して、Oracle Access ManagerをOracle Identity Managerと統合します。
IAM_ORACLE_HOME/idmtools/bin

このコマンドの構文は次のとおりです。

idmConfigTool -configOIM input_file=propertiesFile

ここで、propertiesFileは手順2で設定したファイルです。

コマンドを実行すると、次の情報を入力するように求められます。

- アクセス・ゲートのパスワード

- シングル・サインオン(SSO)キーストアのパスワード

- グローバル・パスフレーズ

- Idstore管理パスワード

- MDSデータベース・スキーマのパスワード

- 管理サーバーのユーザー・パスワード

- Oracle Access Manager管理ユーザーに使用するパスワード

6. ログ・ファイルを確認し、必要に応じてエラーを修正します。

7. Oracle Identity Manager管理対象サーバーおよびWebLogic管理サーバーを再起動します。

5.5 統合のテスト

最後のタスクでは、表5-1に示す順番で各手順を実行して統合を検証します。

表5-1 Oracle Access ManagerとOracle Identity Managerの統合の検証

手順

説明

予想される結果

1

次のURLを使用して、Oracle Access Manager管理コンソールにアクセスします。

http://admin_server_host:admin_server_port/oamconsole

コンソールにアクセスできます。資格証明コレクタのURLは、Oracle Access Manager管理対象サーバーのURLになります。

2

次のURLを使用して、Oracle Identity Manager管理ページにアクセスします。

http://oimhost:oimport/admin/faces/pages/Admin.jspx

Oracle Access Manager管理対象サーバーのOracle Access Managerログイン・ページが表示されます。

ログイン・ページに「パスワードを忘れた場合」、「自己登録」および「登録のトラッキング」のリンクが表示されていることを確認します。

3

Oracle Identity Manager管理者(第5.2項の手順6に記載されているユーザー)としてログインします。

Oracle Identity Managerの管理ページにアクセスできます。

4

Oracle Identity Managerの管理ページで新しいユーザーを作成します。

ブラウザを閉じ、Oracle Identity Managerの管理ページにアクセスしてみます。ログインのプロンプトが表示されたら、新しく作成したユーザーの有効な資格証明を指定します。

Oracle Identity Managerにリダイレクトされ、パスワードをリセットするように求められます。

5

ブラウザを閉じ、Oracle Identity Managerの管理ページにアクセスします。

Oracle Access Manager管理対象サーバーのOracle Access Managerログイン・ページが表示されます。ログイン・ページに「パスワードを忘れた場合」、「自己登録」および「登録のトラッキング」のリンクが表示されていることを確認します。各リンクが機能することを確認します。

6

ロック/無効化が機能することを確認するには、ブラウザを開き、テスト・ユーザーとしてログインします。別のブラウザ・セッションでxelsysadmとしてログインし、テスト・ユーザー・アカウントをロックします。OIMコンソールで「ログアウト」リンクをクリックします。

ユーザーがログアウトし、最初のログイン・ページにリダイレクトされます。

SSOログアウトをテストするには、テスト・ユーザー/xelsysadmとしてOracle Identity Managerコンソールにログインします。

ページからログアウトすると、SSOログアウト・ページにリダイレクトされます。

5.6 追加の構成

この項では、各自の要件に基づき必要に応じて実行する、追加の構成について説明します。

5.6.1 ドメイン・エージェントから10g WebゲートおよびOHS 11gへの移行

『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』の「ドメイン・エージェントからOracle HTTP Server 10g Webgate for OAMへの移行」の説明に従って、このタスクを実行します。

続いて、次の操作を実行して構成を完了します。

- WebゲートのタイプおよびIDの更新

- Webゲートの優先ホストの設定

- Oracle Identity ManagerのSSOキーストアの作成

5.6.1.1 WebゲートのタイプおよびIDの更新

次の手順に従って、Oracle Enterprise Manager Fusion Middleware Controlを使用してWebゲート・タイプおよびWebゲートIDを更新します。

1. 「Identity and Access」→「OIM」→「oim(11.1.1.3.0)」にナビゲートします。

2. 「oim (11.1.1.3.0)」を右クリックして「システムMBeanブラウザ」を選択します。

3. 「アプリケーション定義のMBean」→「oracle.iam」→「Server: oim_server1」→「Application:oim」→「XMLConfig」→「Config」→「XMLConfig.SSOConfig」→「SSOConfig」にナビゲートします。

5.6.1.2 Webゲートの優先ホストの設定

次の形式でURLを入力した場合に、ユーザーをOracle Identity ManagerについてOracle Access Managerログイン・ページにリダイレクトするために、この手順が必要です。

http://OHS_HOST:OHS_PORT/admin/faces/pages/Admin.jspx

次の手順に従って、Webゲートの優先ホストを設定します。

1. Oracle Access Managerコンソールにログインし、「システム構成」をクリックして、「Access Managerの設定」→「SSOエージェント」→「OAMエージェント」にナビゲートします。

2. 「検索」ボタンをクリックします。WebゲートIDのリストが表示されます。Webゲートに登録されているものを開きます。

3. 「優先ホスト」フィールドを更新して「IAMSuiteAgent」に設定します。

4. 「適用」をクリックします。

5. Oracle HTTP Serverを再起動します。

5.6.1.3 Oracle Identity ManagerのSSOキーストアの作成

注意:
Webゲートが簡易モードで構成されている場合に、この手順が必要です。

『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』のOracle Identity ManagerのSSOキーストアの作成に関する項の説明に従います。

5.6.2 統合環境でのNexawebアプレットのロード

Oracle Identity ManagerとOracle Access Manager (OAM)が統合された環境では、Oracle Identity Manager管理およびユーザー・コンソールにログインしてNexawebアプレットを開くためのリンクをクリックする場合に、NexaWebアプレットのロードを有効化するための構成が必要です。手順は次のとおりです。

1. Oracle Access Managerコンソールにログインします。

2. 新しいWebゲートIDを作成します。これを行うには、次の手順を実行します。

1. 「システム構成」タブをクリックします。

2. 10Webgatesをクリックし、「作成」アイコンをクリックします。

3. 次の属性の値を指定します。
名前: NAME_OF_NEW_WEBGATE_ID

アクセス・クライアント・パスワード: PASSWORD_FOR_ACCESSING_CLIENT

ホスト識別子: IAMSuiteAgent

4. 「適用」をクリックします。

5. WebゲートIDを次のように編集します。
set 'Logout URL' = /oamsso/logout.html

6. 「保護されていない場合に拒否」チェック・ボックスを選択解除します。

3. 2つ目のOracle HTTP Server(OHS)およびWebゲートをインストールします。Webゲートの構成中にWebゲートIDおよびパスワードを要求された場合は、手順2cで指定した2つ目のWebゲートのWebゲートID名およびパスワードを使用します。

4. Oracle Access Managerコンソールにログインします。「ポリシー構成」タブで「アプリケーション・ドメイン」を展開し、IdMDomainAgentを開きます。

5. 「認証ポリシー」を展開してパブリック・ポリシーを開きます。「リソース」タブで次のURLを削除します。
/xlWebApp/.../*

/xlWebApp

/Nexaweb/.../*

/Nexaweb

6. 「認可ポリシー」を展開して保護リソース・ポリシーを開きます。「リソース」タブで次のURLを削除します。
/xlWebApp/.../*

/xlWebApp

/Nexaweb/.../*

/Nexaweb

7. すべてのサーバーを再起動します。

8. 2つ目のWebゲートのobAccessClient.xmlファイルを更新します。これを行うには、次の手順を実行します。

1. SECOND_WEBGATE_HOME/access/oblix/lib/ObAccessClient.xmlファイルのバックアップを作成します。

2. DOMAIN_HOME/output/WEBGATE_ID_FOR_SECOND_WEBGATE/ObAccessClient.xmlファイルを開きます。

注意:
DenyOnNotProtectedパラメータが0に設定されていることを確認してください。

3. DOMAIN_HOME/output/WEBGATE_ID_FOR_SECOND_WEBGATE/ObAccessClient.xmlファイルをSECOND_WEBGATE_HOME/access/oblix/lib/ディレクトリにコピーします。

9. FIRST_OHS_INSTANCE_HOME/config/OHS_NAME/ディレクトリからSECOND_OHS_INSTANCE_HOME/config/OHS_NAME/ディレクトリへ、mod_wls_ohs.confをコピーします。さらに、2つ目のOHSのmod_wls_host.confを開いて、WebLogicHostおよびWeblogicPortによってOracle Identity Managerの管理対象サーバーのホストとポートが引き続き指定されていることを確認します。

10. SECOND_OHS_INSTANCE_HOME/config/OHS_NAME/httpd.confファイルの次の行を削除するか、コメント・アウトします。

<LocationMatch "/oamsso/*">
Satisfy any
</LocationMatch>

11. FIRST_WEBGATE_HOME/access/oamsso/ディレクトリからSECOND_WEBGATE_HOME/access/oamsso/ディレクトリへ、logout.htmlファイルをコピーします。さらに、2つ目のWebゲートのlogout.htmlファイルを開いて、SERVER_LOGOUTURL変数のホストとポートの設定がOAMの正しいホストとポートを指定していることを確認します。

12. Oracle Access Managerコンソールにログインします。「ポリシー構成」タブで「ホスト識別子」を展開し、2つ目のWebゲートID名と同じ名前のホスト識別子を開きます。「操作」セクションで、2つ目のOHSのホストとポートがリストされていることを確認します。リストされていない場合は、追加アイコン(+記号)をクリックして追加します。さらに「適用」をクリックします。

13. Oracle Identity ManagerのOAMログイン・ページのURLに、2つ目のOHSのホストとポートを使用します。このURLは次の書式で記述する必要があります。
http://SECOND_OHS_HOST:SECOND_OHS_PORT/admin/faces/pages/Admin.jspx

6 Oracle Access ManagerとOracle Adaptive Access Managerの統合

この章では、Oracle Adaptive Access ManagerをOracle Access Managerと統合して高度なログイン・セキュリティを提供する方法について説明します。この統合には、仮想認証デバイス、デバイスのフィンガープリント、リアルタイム・リスク分析およびリスク・ベースのチャレンジ認証が含まれます。

この章では、次の内容を説明します。

- 基本および拡張統合モードについて

- Oracle Access ManagerとOracle Adaptive Access Managerの基本統合

- Oracle Access ManagerとOracle Adaptive Access Managerの拡張統合

- 構成およびトラブルシューティング

注意:
Oracle Identity Managerとの統合では、パスワード収集に関連する追加機能が提供されます。第7章「Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合」を参照してください。

関連項目:
第2章「Oracle Access Managerの統合の概要」

6.1 基本および拡張統合モードについて

Oracle Access ManagerとOracle Adaptive Access Managerの統合には、いくつかのタイプがあります。基本では、比較的少ないサーバー・リソースを使用して機能のサブセットを提供するのに対し、拡張では、追加の管理対象サーバーが必要になるものの機能に制限はありません。

表6-1は、Oracle Access ManagerとOracle Adaptive Access Managerの統合タイプをまとめたものです。

表6-1 Oracle Access ManagerとOracle Adaptive Access Managerの統合のタイプ

詳細

基本

拡張

TAPを使用した拡張

使用可能

11.1.1.3.0

11.1.1.3.0

11.1.1.5.0

説明

基本統合では、Oracle Adaptive Access ManagerサーバーをOracle Access Managerに埋め込みます。異なるフロー(チャレンジ、登録など)のライブラリおよび構成インタフェースを含んでおり、フットプリントを削減します。

注意: OAAMサーバーはOracle Access Managerサーバーに埋め込まれますが、引き続きOAAM管理アプリケーション用の別個の管理対象サーバーが必要です。

拡張統合オプションには、OTP Anywhere、チャレンジ・プロセッサ・フレームワーク、共有ライブラリ・フレームワークおよび安全なセルフ・サービス・パスワード管理フローが含まれています。

TAPを使用した拡張統合オプションは、11g (11.1.1.3)統合のすべての機能を含んでおり、10gと11gエージェントの両方の使用をサポートしています。

サポートされているエージェント

10g WebゲートおよびOSSOエージェント

10g Webゲート

10gおよび11g Webゲート

認証スキーム

ネイティブ統合では、OAAMBasic認証スキームをすぐに使用できます。

このスキームの詳細は、『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』の認証スキームの管理に関する項を参照してください。

OAAMAdvanced認証スキーム

tapScheme

参照先

第6.2項「Oracle Access ManagerとOracle Adaptive Access Managerの基本統合」

第6.3項「Oracle Access ManagerとOracle Adaptive Access Managerの拡張統合」

第7章「Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合」

6.2 Oracle Access ManagerとOracle Adaptive Access Managerの基本統合

ネイティブ統合であるOracle Access ManagerとOracle Adaptive Access Managerの基本統合では、IDM Middleware WebLogicドメイン内のOAMサーバーとOAAM管理サーバー、および動作するOAAMデータベースが必要です。OAAM管理サーバーは、Oracle Access Manager管理者により、ポリシーのインポートおよびエクスポート、新しいポリシーの作成、セッションの表示、およびOracle Adaptive Access Manager機能の構成に使用されます。ポリシーがインポート、エクスポートまたは構成されると、その変更がOAAMデータベースに保存されます。

Oracle Adaptive Access Managerのライブラリは、Oracle Access Managerサーバーにバンドルされています。Oracle Access Managerは、拡張機能ライブラリを通じてOracle Adaptive Access Managerに統合され、これらを直接使用します。ルール・エンジンおよびOracle Adaptive Access Managerのランタイム機能は、これらのライブラリを使用して提供されます。ユーザーが登録フローに入ると、Oracle Access Managerは、ユーザーに対して仮想認証デバイスを表示し、OAAMライブラリを使用してAPIコールを行うことによって認証前ポリシーを実行します。OAAMライブラリは、内部的にJDBCコールを行って、ユーザーに関連するデータをOAAMデータベースに保存します。このデプロイでは、ライブラリを通じてOracle Adaptive Access Managerランタイム機能が使用可能になるため、OAAMサーバーは不要です。この統合で使用できるチャレンジ・メカニズムは、ナレッジベース認証(KBA)のみです。

この項では、基本統合としてOracle Access Manager (OAM) 11gとOracle Adaptive Access Manager (OAAM) 11gを統合する方法について説明します。

関連項目:
第2.8.2項「厳密認証のデプロイメント・オプション」

次のトピックでは、このタイプの統合を実装する方法について説明します。

- ネイティブ統合の処理フロー

- 前提条件

- ネイティブ統合の手順

6.2.1 ネイティブ統合の処理フロー

フローは次のとおりです。

1. Oracle Access Managerサーバーにより、Oracle Access Manager Webゲートによって保護されたページのリクエストが受信されます。

2. Oracle Access Managerにより、Oracle Adaptive Access Manager APIを呼び出して認証前ルールが実行されます。Oracle Access Managerにより、結果(許可/ブロック/拒否)に基づいて、資格証明を収集するために適切なページが表示されます。Oracle Access Managerにより、Oracle Adaptive Access Managerに制御を移すことなくすべての処理が実行されます。

3. Oracle Access Managerによりユーザー資格証明が収集されます。

4. Oracle Access Managerにより、アイデンティティ・ストアに対して資格証明が検証されます。

5. 認証後ルールを実行するため、Oracle Access Managerにより再度Oracle Adaptive Access Manager APIが呼び出されます。Oracle Access Managerにより、結果(ユーザー登録、質問登録、ユーザー登録(オプション)、チャレンジ、許可またはブロック)に基づいて、適切なページのセットがレンダリングされます。
たとえば、ルール・チェックの結果がチャレンジである場合、Oracle Access Managerにより、セキュリティ質問が表示されたチャレンジ質問ページがレンダリングされます。

6.2.2 前提条件

統合手順を準備するには、次の手順に従います。

1. Oracle Databaseをインストールします。

2. データベースでOracle Access ManagerおよびOracle Adaptive Access Managerスキーマを作成してロードします。
データベース・リポジトリでOracle Access ManagerおよびOracle Adaptive Access Managerスキーマを作成するためにリポジトリ作成ユーティリティを実行する方法の詳細は、『Oracle Fusion Middleware Repository Creation Utilityユーザーズ・ガイド』を参照してください。

3. WebLogic Serverをインストールします。
Oracle WebLogic Serverのインストールの詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverインストレーション・ガイド』を参照してください。

4. Oracle Access ManagerおよびOracle Adaptive Access Managerをインストールします。
Oracle Access ManagerおよびOracle Adaptive Access Managerのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』を参照してください。

5. ソフトウェアにパッチを適用して最新バージョンにします。

6. Oracle Identity Management 11g構成ウィザードを実行して、新しいまたは既存のWebLogic管理ドメイン内でOracle Adaptive Access Managerを構成します。
Oracle Adaptive Access Managerの構成の詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』の「Oracle Adaptive Access Managerの構成」を参照してください。

7. WebLogicドメインの管理サーバーを起動します。
UNIXシステムの場合:

DOMAIN_HOME/bin/startWebLogic.sh

Windowsシステムの場合:

DOMAIN_HOME\bin\startWebLogic.cmd

6.2.3 ネイティブ統合の手順

Oracle Access ManagerとOracle Adaptive Access Managerの統合を実装するには、この項の手順に従います。

configureOAAMのWLSTコマンドを使用してデータソースを作成し、それをターゲットとしてOAMサーバーに関連付けます。oam-config.xmlでそのプロパティを有効化する場合は、「configureOAAMのWLSTを使用したデータソースの作成」を参照してください。

1. oam-config.xmlファイルを見つけて手動で変更します。
oam-config.xmlファイルは、すべてのOAM関連のシステム構成データを含んでおり、DOMAIN_HOME/config/fmwconfigディレクトリにあります。

次の例に示されているように、OAAMEnabledプロパティをtrueに設定します。

<Setting Name="OAAM" Type="htf:map">
<Setting Name="OAAMEnabled" Type="xsd:boolean">true</Setting>
<Setting Name="passwordPage" Type="xsd:string">/pages/oaam/password.jsp</Setting>
<Setting Name="challengePage" Type="xsd:string">/pages/oaam/challenge.jsp</Setting>
<Setting Name="registerImagePhrasePage" Type="xsd:string">/pages/oaam/registerImagePhrase.jsp</Setting>
<Setting Name="registerQuestionsPage" Type="xsd:string">/pages/oaam/registerQuestions.jsp</Setting>

2. Oracle Access Manager管理コンソールにナビゲートします。

http://oam_admin_server_host:oam_admin_server_port/oamconsole

3. 「IDMDomainAgent」の下の「リソース」を選択します。

4. 保護されたリソースを追加します。
たとえば、リソースの次の情報を指定します。

- ホスト識別子: IDMDomain

- リソースURL: /<resource>/.../*

5. 「IDMDomainAgent」で新しい認証ポリシーを作成し、認証スキームをOAAMBasicに設定します。
この手順では、保護されたリソースをOAAMBasic認証スキームに関連付けています。

6. Oracle Adaptive Access Manager管理コンソールにログインするための正しい権限があるユーザーを作成し、必要なグループをそのユーザーに付与します。
詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOAAMユーザーの作成に関する項を参照してください。

7. OAAM管理サーバーのoaam_admin_server1を起動し、新しく作成した管理対象サーバーをドメインに登録します。
UNIXシステムの場合は、DOMAIN_HOME/binディレクトリにあるstartManagedWebLogic.shコマンドを使用してOAAM管理サーバーを起動します。

startManagedWebLogic.sh oaam_admin_server1

Windowsシステムの場合は、DOMAIN_HOME\binディレクトリにあるstartManagedWebLogic.cmdコマンドを使用してOAAM管理サーバーを起動します。

startManagedWeblogic.cmd oaam_admin_server1

8. Oracle Adaptive Access Manager管理者としてOAAM管理コンソールにログインします。

http://oaam_managed_server_host:14200/oaam_admin

9. Oracle Adaptive Access Manager管理コンソールを使用して、Oracle Adaptive Access Managerスナップショットをシステムにインポートします。スナップショットには、Oracle Adaptive Access Managerによって必要とされるポリシー、チャレンジ質問、依存コンポーネントおよび構成が含まれています。
スナップショットのインポートの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOAAMスナップショットのインポートに関する項を参照してください。

10. OAAM管理サーバーのoaam_admin_server1をシャットダウンします。
UNIXシステムの場合は、DOMAIN_HOME/binディレクトリにあるstopManagedWebLogic.shコマンドを使用してOAAM管理サーバーを停止します。

stopManagedWebLogic.sh oaam_admin_server1

Windowsシステムの場合は、DOMAIN_HOME\binディレクトリにあるstopManagedWebLogic.cmdコマンドを使用してOAAM管理サーバーを停止します。

stopManagedWeblogic.cmd oaam_admin_server1

11. Oracle WebLogic管理コンソールにアクセスします。

http://weblogic_admin_server:7001/console

12. Oracle Adaptive Access ManagerがOracle Access Managerと同じWebLogicドメイン内に構成されていない場合は、Oracle Access Managerに対して次の手順を実行します。

- 次のJNDI名のデータソースを作成します。

jdbc/OAAM_SERVER_DB_DS

注意:
データソースの名前には任意の有効な文字列を使用できますが、JNDI名は前述のものと同じである必要があります。

- Oracle Adaptive Access Manager構成の一環として作成したスキーマに対して、Oracle Adaptive Access Managerデータベースの接続詳細を指定します。

13. 「サービス」→「データベース・リソース」をクリックし、「OAAM_SERVER_DB_DS」リソースを見つけます。

14. WebLogic管理コンソールの左上隅にある「ロック」ボタンをクリックして、環境をロックします。

15. OAAM_SERVER_DB_DSリソースを開き、「ターゲット」タブをクリックします。そこに使用可能なWebLogicサーバーのリストが表示されます。

16. 「管理サーバー」および「oam_server1」をターゲットとしてデータソースに関連付けます。

17. Oracle WebLogic管理コンソールの左上隅にある「アクティブ化」ボタンをクリックします。

18. OAMサーバーのoam_server1を起動します。
UNIXシステムの場合は、DOMAIN_HOME/binにあるstartManagedWebLogic.shを使用してOAMサーバーを起動します。

startManagedWebLogic.sh oam_server1

Windowsシステムの場合は、DOMAIN_HOME\binにあるstartManagedWebLogic.cmdを使用してOAMサーバーを起動します。

startManagedWeblogic.cmd oaam_server1

19. 保護されたリソースにアクセスして、構成を検証します。
これで、Oracle Adaptive Access Managerの構成は完了です。構成をテストするには、次の場所に移動します。

http://admin_server:7001/resource

ユーザー名を入力するプロンプトが表示されます。さらに、別の画面でパスワードのプロンプトが表示されます。ユーザー名およびパスワードが検証されたら、チャレンジ質問に回答するように求められます。完了後に、保護されたアプリケーションが表示されます。

20. さらにテストするため、それぞれがリソースを保護する、2つのエージェントをリモートで登録します。

21. 管理コンソールを使用して、最初のリソースを認証フローのOAAMBasicポリシーに関連付けます。2つ目のリソースをLDAPSchemeに関連付けます。

関連項目:
『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』の認証スキームの管理に関する項

6.3 Oracle Access ManagerとOracle Adaptive Access Managerの拡張統合

Oracle Adaptive Access ManagerをOracle Access Managerと統合すると、企業は、アプリケーションの保護のレベルを大幅に向上させる高度なアクセス・セキュリティ機能を使用できるようになります。フィッシング対策、マルウェア対策、デバイス・フィンガープリント、動作プロファイリング、地理的位置マッピング、リアルタイム・リスク分析、複数のリスク・ベースのチャレンジ・メカニズム(ワンタイム・パスワードおよびナレッジベース認証質問など)の各機能により、アクセス・セキュリティのレベルを向上させることができます。

Oracle Access Managerログインの厳密認証フローをサポートする機能は、表6-2にまとめられています。

関連項目:
第2.8.2項「厳密認証のデプロイメント・オプション」

表6-2 OAMログインの厳密認証をサポートするOracle Adaptive Access Manager機能

機能

説明

仮想オーセンティケータ

Oracle Adaptive Access Managerには、保護されたWebアプリケーションと相互作用しながらユーザーを保護するための独自の機能があります。仮想認証デバイスでは、認証資格証明の入力と送信のプロセスを強化し、ユーザーが有効なアプリケーションに対して認証していることを検証します。仮想オーセンティケータの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』の仮想認証デバイスの使用に関する項を参照してください。

不正ルール

ルールを使用して、各チェックポイントでのリスクのレベルを評価します。ポリシーおよびルールの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOAAMのセキュリティおよび自動学習ポリシーに関する項を参照してください。

ナレッジベース認証(KBA)

セカンダリ認証方法のナレッジベース認証(KBA)では、質問を選択して後でチャレンジに使用される回答を指定するためのユーザー向けのインフラストラクチャ、チャレンジ質問および回答の登録を管理するための登録ロジック、チャレンジ・レスポンス・プロセスにおいてインテリジェントに正しい回答を検出するための回答ロジック、および登録時にユーザーによって与えられた回答の検証機能が提供されます。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のナレッジベース認証の管理に関する項を参照してください。

OTP Anywhere

OTP Anywhereは、リスク・ベースのチャレンジ・ソリューションであり、構成されたアウト・オブ・バンド・チャネルを経由してエンド・ユーザーに送信されるサーバー生成のワンタイム・パスワードで構成されます。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOTP Anywhereの設定に関する項を参照してください。

6.3.1 拡張統合の処理フロー

Oracle Access ManagerおよびOracle Adaptive Access Manager間の相互作用のフローは、次のとおりです。

1. ユーザーは、Oracle Access Managerによって保護されたリソースにアクセスしようとします。

2. Oracle Access Manager Webゲートにより、(未認証の)リクエストが捕捉され、ユーザーがOracle Adaptive Access Managerサーバーにリダイレクトされます。

3. Oracle Adaptive Access Managerサーバーにより、ユーザーに対してOracle Adaptive Access Managerユーザー名ページが表示されます。

4. ユーザーは、Oracle Adaptive Access Managerユーザー名ページで自分のユーザー名を送信します。

5. Oracle Adaptive Access Managerにより、ユーザー・デバイスのフィンガープリントが取得され、ユーザーがOracle Adaptive Access Managerパスワード・ページに進むことを許可するかどうかを決定する認証前ルールが実行されます。

6. デバイスのフィンガープリント処理が実行されます。
デバイスのフィンガープリント処理が実行されます。デバイスのフィンガープリント処理は、ユーザー・ログインに使用されたデバイスおよびそのタイプ(デスクトップ・コンピュータ、ラップトップ・コンピュータ、PDA、携帯電話、キオスク、他のWeb対応デバイスのいずれであるか)を認識するメカニズムです。

7. ユーザーが次に進むことを許可された場合は、認証パッド・チェックポイント中に仮想認証デバイス・ルールが実行されます。これらのルールにより、どの仮想オーセンティケータをOracle Adaptive Access Managerパスワード・ページに表示するかが決定されます。

8. ユーザーがOracle Adaptive Access Managerに登録されている場合は、Oracle Adaptive Access Managerサーバーにより、パーソナライズされたTextPadまたはKeyPadとともにOracle Adaptive Access Managerパスワード・ページが表示されます。

9. ユーザーが登録されていない場合は、Oracle Adaptive Access Managerにより、汎用TextPadとともにOracle Adaptive Access Managerパスワード・ページが表示されます。

10. ユーザーは、Oracle Adaptive Access Managerパスワード・ページで自分のパスワードを送信します。

11. Oracle Access Manager NAP (ネットワーク・アサーション・プロトコル) APIを使用して、Oracle Adaptive Access Managerから収集された資格証明がアイデンティティ・ストアに対して検証されます。Oracle Access Manager側での検証の後、Oracle Adaptive Access Managerにより認証後ルールが実行されます。

12. Oracle Adaptive Access Managerにより、ユーザーとの相互作用を通じて、目的のアクションを実行するためにアイデンティティが確立されます。Oracle Adaptive Access Managerにより、ユーザーのリスク・スコアが決定され、ポリシーに指定されている任意のアクション(たとえば、KBAやOTP)またはアラートが実行されます。

13. ユーザーが登録されていない場合は、必要に応じてKBAやOTPなどの登録を行うように求められます。

14. 登録が必須であるかオプションであるかが指定されたセキュリティ要件に基づいて、登録が要求されます。

15. 認証が成功し、ユーザーに登録済の適切なプロファイルがある場合は、Oracle Adaptive Access Managerにより、Oracle Access ManagerのCookieが設定され、ユーザーがリダイレクトURLにリダイレクトされます。

6.3.2 拡張統合の実装

Oracle Access ManagerとOracle Adaptive Access Managerとの間の拡張統合シナリオには、Oracle Identity Managerがあるものとないものがあります。

Oracle Identity Managerあり

Oracle Identity Managerとの統合により、パスワードを忘れた場合やパスワードの変更フローなど、より豊富なパスワード管理機能をユーザーが利用できるようになります。

統合の詳細は、第7章「Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合」を参照してください。

Oracle Identity Managerなし

環境にOracle Identity Managerが含まれていない場合は、この章で説明されている統合手順に従います。

注意:
このシナリオでログアウトを開始するには、次のリンクにアクセスします。

http://host:oaam_server_port/oaam_server/oamLogout.jsp

6.3.3 前提条件

統合手順を準備するには、必要なコンポーネントが適切にインストールされて構成されていることを確認します。

1. Oracle Databaseをインストールします。

2. データベースでOracle Access ManagerおよびOracle Adaptive Access Managerスキーマを作成してロードします。
データベース・リポジトリでOracle Access ManagerおよびOracle Adaptive Access Managerスキーマを作成するためにリポジトリ作成ユーティリティを実行する方法の詳細は、『Oracle Fusion Middleware Repository Creation Utilityユーザーズ・ガイド』を参照してください。

3. Oracle WebLogic Serverをインストールします。
Oracle WebLogic Serverのインストールの詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverインストレーション・ガイド』を参照してください。

4. Oracle SOA Suiteをインストールし、ソフトウェアにパッチを適用して最新バージョンにします。
Oracle SOA Suiteのインストールの詳細は、『Oracle Fusion Middleware Oracle SOA SuiteおよびOracle Business Process Management Suiteインストレーション・ガイド』を参照してください。

5. Oracle Internet DirectoryおよびOracle Virtual Directory 11gをインストールして構成します。
詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』を参照してください。

6. Oracle HTTP Serverをインストールします。
Oracle HTTP Serverのインストールの詳細は、『Oracle Fusion Middleware Oracle Web Tierインストレーション・ガイド』を参照してください。

7. Oracle Access ManagerおよびOracle Adaptive Access Managerをインストールします。
インストール時に、Oracle Access Managerはデータベース・ポリシー・ストアとともに構成されます。Oracle Access ManagerとOracle Adaptive Access Managerの接続には、データベース・ポリシー・ストアが必要です。

8. Oracle HTTP Server 11gインスタンスに、Oracle Access Manager 10gエージェント(Webゲート)をインストールします。
Oracle HTTP Server Webゲートのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』を参照してください。

次の手順は、すぐに使用できる統合によりOracle Access ManagerとOracle Identity Managerが統合されていることを前提としています。

6.3.4 Oracle Access ManagerとOracle Adaptive Access Managerの統合手順

注意:
Oracle Access ManagerとOracle Adaptive Access Managerの統合では、IdentityManagerAccessGate 10g Webゲート・プロファイルが存在する必要があります。これは、Oracle Access Managerコンソールで「システム構成」→「エージェント」→「10gWebGates」にナビゲートすることによって検証できます。

大まかな統合タスクは次のとおりです。

- Oracle Access Manager用のOracle Adaptive Access Managerプロパティの設定

- 資格証明ストア・フレームワークでのOracle Access Manager資格証明の設定

- Oracle Access Managerのポリシー認証スキームの構成

6.3.4.1 Oracle Access Manager用のOracle Adaptive Access Managerプロパティの設定

注意:
この手順を実行する前に、Oracle Adaptive Access Managerコンソールを保護するかどうかを考慮に入れる必要があります。

- コンソールを保護する場合は、外部LDAPストアでユーザーおよびグループの作成を処理する必要があります。詳細は、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』のLDAPにおけるOAAMの管理グループとユーザーの作成に関する項を参照してください。
または

- コンソールを保護しない場合は、Oracle WebLogic管理コンソールでユーザーを作成する必要があります。
(注意: 環境変数またはJavaプロパティWLSAGENT_DISABLED=trueを設定することによって、Oracle Adaptive Access Manager管理コンソールの保護を無効化できます。)

Oracle Access Manager用のOracle Adaptive Access Managerプロパティを設定するには、次の手順に従います。

1. Oracle Adaptive Access Managerサーバーをホストしている管理対象サーバーを起動します。

2. http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_adminにあるOracle Adaptive Access Manager管理コンソールに移動します。

3. Oracle Adaptive Access Managerの環境プロパティにアクセス可能なユーザーとしてログインします。

4. Oracle Access Managerのプロパティを設定するため、Oracle Adaptive Access Managerプロパティ・エディタを開きます。
プロパティが存在しない場合は、追加する必要があります。

次のプロパティについて、デプロイ内容に従って値を設定します。

表6-3 Oracle Access Managerのプロパティ値の構成

プロパティ名

プロパティ値

bharosa.uio.default.password.auth.provider.classname

com.bharosa.vcrypt.services.OAMOAAMAuthProvider

bharosa.uio.default.is_oam_integrated

true

oaam.uio.oam.host

アクセス・サーバー・ホスト・マシン名

例: host.oracle.com

oaam.uio.oam.port

アクセス・サーバー・ポート(例: 3004)

oaam.uio.oam.obsso_cookie_domain

アクセス・サーバーWebゲート・エージェントに定義されているCookieドメイン

oaam.uio.oam.java_agent.enabled脚注1

デフォルト値はfalseです。OAM Javaエージェント(WLSAgentとも呼ばれます)を使用してアプリケーションを保護する場合にのみ、これをtrueに設定します。

このプロパティを設定する場合は、プロパティoaam.uio.oam.obsso_cookie_nameについての次の点に注意します。

- デフォルトでは、プロパティoaam.uio.oam.obsso_cookie_nameは存在しません。

- Javaエージェントを使用する場合は、JavaエージェントによりOAMAuthnCookie Cookieが使用されるため、oaam.uio.oam.java_agent.enabledをtrueに設定するときに、プロパティoaam.uio.oam.obsso_cookie_nameを値OAMAuthnCookieに設定します。

- Webゲート・エージェントを使用するためにoaam.uio.oam.java_agent.enabledをfalseに設定する場合は、プロパティoaam.uio.oam.obsso_cookie_nameが設定されていればそのプロパティを削除します。

oaam.uio.oam.virtual_host_name脚注1

OAM Javaエージェント(WLSAgentとも呼ばれます)を使用する場合、デフォルト値はIDMDomainです。

仮想ホスト名がIDMDomainとは異なる場合にのみ、この値を変更します。

oaam.uio.oam.webgate_id

IdentityManagerAccessGate

Oracle Identity Manager統合用のWebゲート・エージェントの名前。デフォルトはIdentityManagerAccessGateです。

oaam.uio.login.page

/oamLoginPage.jsp

oaam.uio.oam.secondary.host

セカンダリ・アクセス・サーバー・ホスト・マシンの名前。

このプロパティはデフォルトでは設定されないため、追加する必要があります。

このプロパティは高可用性のために使用されます。このプロパティを使用してフェイルオーバー・ホスト名を指定できます。

oaam.uio.oam.secondary.host.port

セカンダリ・アクセス・サーバーのポート番号

このプロパティはデフォルトでは設定されないため、追加する必要があります。

このプロパティは高可用性のために使用されます。このプロパティを使用してフェイルオーバー・ポートを指定できます。

oaam.oam.csf.credentials.enabled

true

このプロパティにより、資格証明をプロパティ・エディタを使用して管理するのではなく資格証明ストア・フレームワークで構成するように有効化できます。この手順は、資格証明をCSFに安全に保存するために実行します。

脚注1 OAM Javaエージェントを使用する場合に必要です。

Oracle Adaptive Access Managerでのプロパティ設定の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のプロパティ・エディタの使用に関する項を参照してください。

IDMドメイン・エージェントの詳細は、第1.2項「IDMDomainエージェントおよびWebゲートに関する注意」を参照してください。

6.3.4.2 資格証明ストア・フレームワークでのOracle Access Manager資格証明の設定

Oracle Access Manager Webゲートの資格証明を資格証明ストア・フレームワークに安全に保存できるように、次の手順に従ってパスワード資格証明をOracle Adaptive Access Managerドメインに追加します。

1. Oracle Fusion Middleware Enterprise Managerコンソールに移動します。
http://weblogic_admin_server_host:admin_server_port/em

2. WebLogic管理者としてログインします。

3. 左側ペインのナビゲーション・ツリーで「Base_Domain」アイコンを展開します。

4. 使用するドメイン名を選択して右クリックし、「セキュリティ」→「資格証明」を選択します。

5. 「マップの作成」をクリックします。

6. 「oaam」をクリックしてマップを選択し、「キーの作成」をクリックします。

7. ダイアログで「マップの選択」が「oaam」に設定されていることを確認します。

8. 次のプロパティを指定し、「OK」をクリックします。

名前

値

マップ名

oaam

キー名

oam.credentials

キー・タイプ

パスワード

ユーザー名

管理者権限を持つOracle Access Managerユーザー

パスワード

Oracle Access Manager Webゲート・エージェントのパスワード

6.3.4.3 Oracle Access Managerのポリシー認証スキームの構成

Oracle Access Manager管理コンソールを使用して、保護されたWebアプリケーションのOracle Access ManagerポリシーをOAAMAdvanced認証スキームに割り当てます。

手順は次のとおりです。

1. Oracle Access Manager管理コンソールに移動します。
http://hostname:port/oamconsole

詳細は、『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』のOracle Access Manager 11g管理コンソールへのログインに関する項を参照してください。

2. Oracle Access Manager管理者としてログインします。

3. 「ポリシー構成」タブから、次のようにツリーをナビゲートします。

- 「アプリケーション・ドメイン」ノードを展開します。

- 「IDMDomainAgent」を展開します。

- 「認証ポリシー」を展開します。

4. Protected HigherLevel Policyという認証ポリシーを編集用に選択し、それにOAAMAdvanced認証スキームを割り当てます。

5. 別のブラウザ・セッションで次の場所にナビゲートすることによって、Oracle Adaptive Access ManagerのチャレンジURLをテストします。

http://oaam_server_managed_server:oaam_server_managed_server_port/oaam_server/oamLoginPage.jsp

6. Oracle Adaptive Access Managerサーバーのユーザー・ログイン・ページがエラーなしで表示されることを確認します。
まだOAAMサーバーへのログインを試行しないでください。

7. 管理資格証明を使用して、Oracle Access Manager管理コンソールにログインします。

8. 次の変更を加えることによって、チャレンジURLの正しい値が使用されるようにOAAMAdvanced認証スキームを変更します。

- challenge_urlを追加します。
Oracle Adaptive Access ManagerのURLが正しく、手順5でテストしたURLと同じであることを確認します。

http://oaam_server_managed_server_host:oaam_server_managed_server_port/oaam_server/oamLoginPage.jsp

(注意: URLリダイレクトが失敗するため、プロトコル文字列http(s)を使用しないでください。明示的なプロトコルであるhttpまたはhttpsのいずれかを使用します。)

- contextTypeをexternalに設定します。

9. Oracle Access Manager管理対象サーバーを再起動します。
これでOracle Access ManagerをOracle Adaptive Access Managerと統合する手順は完了です。

6.4 構成およびトラブルシューティング

この項では、Oracle Access ManagerとOracle Adaptive Access Managerの統合に関するトラブルシューティングおよび追加構成のトピックについて説明します。

- configureOAAMのWLSTを使用したデータソースの作成

- 大/小文字を区別しないログインの実装方法

- ASCII以外の資格証明の使用

- 統合の設定前のテスト

- OAMとOAAMの統合とコンソールでの変更

- OAMとOAAMの統合とInternet Explorerバージョン7

- OAAMBasic統合でOTPチャレンジがサポートされない

- OAM 11.1.1.4.0とOAAM 11.1.1.5.0の統合でOAAMAdvanced認証スキームによって保護されたリソースにアクセスできない

- データベースとLDAPとの間の同期が行われない

6.4.1 configureOAAMのWLSTを使用したデータソースの作成

configureOAAMのWLSTコマンドを使用してデータソースを作成し、それをターゲットとしてOAMサーバー、およびoam-config.xmlファイルのOAAMEnabledプロパティに関連付けることができます。構文は次のとおりです。

configureOAAM(dataSourceName,paramNameValueList)

説明:

- dataSourceNameは、作成するデータソースの名前です。

- paramNameValueListは、パラメータ名と値のペアからなるカンマ区切りリストです。名前と値の各ペアの形式は次のとおりです。

paramName='paramValue'

必須のパラメータは次のとおりです。

- hostName - データベース・ホストの名前

- port - データベース・ポート

- sid - データベース識別子(データベースSID)

- userName - OAAMスキーマ名

- passWord - OAAMスキーマ・パスワード

オプションのパラメータは次のとおりです。

- maxConnectionSize - 最大接続予約タイムアウト・サイズ

- maxPoolSize - 接続プールの最大サイズ

次に例を示します。

configureOAAM(dataSourceName = "MyOAAMDS", hostName = "host.us.co.com",
port = "1521", sid = "sid", userName = "username", passWord = "password",
maxConnectionSize = None, maxPoolSize = None, serverName = "oam_server1")

注意:
SID =ではサービス名が必要です。

6.4.2 大/小文字を区別しないログインの実装方法

Oracle Access Manager側での認証が成功した後、認証後ルールを処理するために制御がOracle Adaptive Access Managerに渡されます。デフォルトでは、ログインするユーザーが、その登録済ユーザーのものとは異なる大/小文字の組合せでユーザー名を入力した場合、Oracle Adaptive Access Managerサーバーによりそのユーザーは未登録であると見なされます。たとえば、userxyがユーザー名userXYを入力してログインしようとした場合がこれに該当します。

両方のサーバーでログインが成功するように設定するには、ユーザー名の大/小文字を区別しないようにOracle Adaptive Access Managerサーバーを構成する必要があります。このためには、次のプロパティを設定します。

bharosa.uio.default.username.case.sensitive=false

Oracle Adaptive Access Managerでのプロパティ設定の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のプロパティ・エディタの使用に関する項を参照してください。

6.4.3 ASCII以外の資格証明の使用

ネイティブ認証フローでASCII以外のユーザー名またはパスワードを使用すると、次のエラー・メッセージが表示される場合があります。

Sorry, the identification you entered was not recognized. Please try again.

この問題を解決するには、次の手順を実行します。

1. PRE_CLASSPATH変数を${ORACLE_HOME}/common/lib/nap-api.jarに設定します。
Cシェルの場合:

setenv  ORACLE_HOME "IAMSUITE INSTALL DIR"
setenv PRE_CLASSPATH "${ORACLE_HOME}/common/lib/nap-api.jar"

bash/kshシェルの場合:

export ORACLE_HOME=IAMSUITE INSTALL DIR
export PRE_CLASSPATH="${ORACLE_HOME}/common/lib/nap-api.jar"

2. OAAM_SERVERに関連する管理対象サーバーを起動します。

6.4.4 統合の設定前のテスト

環境を設定する場合は、必要に応じて、最初にLDAP認証スキームを使用してOracle Access Managerのみでページの保護をテストし、正常にページにアクセスできるかどうかを確認できます。ページにアクセスできない場合は、構成に進む前にこの問題を解決します。

6.4.5 OAMとOAAMの統合とコンソールでの変更

OAAMBasic統合が有効化された環境では、oam-config.xmlの下にある次のエントリOAAMEnabledがtrueに設定されます。

<Setting Name="OAAM" Type="htf:map">
<Setting Name="OAAMEnabled" Type="xsd:boolean">true</Setting>
</Setting>
...

OAAMBasicフローでエラーが発生した場合は、このフラグの値を確認します。特定の環境(Windows)またはシナリオ(新しいOracle Internet Directoryを作成してOAAMBasicスキームに関連付ける場合)では、元のフローが破損し、OAAMEnabledフラグがfalseにリセットされたためにOAAMBasicが機能しなくなることがあります。

回避策: フラグの値を手動で「true」に変更します。

6.4.6 OAMとOAAMの統合とInternet Explorerバージョン7

OAMとOAAMの基本統合モードでは、保護されたリソースにアクセスしたときにOAAMページに転送されます。Internet Explorer v7の場合、ユーザー名を入力して「送信」をクリックしたときに、パスワード・ページに自動的にリダイレクトされずに、次のページ(/oam/pages/oaam/handleLogin.jsp)から進まなくなることがあります。

回避策: 「続行」リンクをクリックすると、/oam/pages/oaam/handleJump.jsp?clientOffset=-7が表示されます。

6.4.7 OAAMBasic統合でOTPチャレンジがサポートされない

次の手順では、OAAMチャレンジSMSポリシーをOAAMチャレンジ・ポリシーに置き換えて、OTPへのチャレンジ・フロー・リクエストを回避するために必要な方法について説明します。

Oracle Access Managerへの登録中に、チャレンジ質問を登録すると、モバイル番号を入力するための連絡先ページに転送されます。この統合モードでは、OTPがサポートされていないため、このページは重要ではありません。次の形式でモバイル番号を入力して「送信」をクリックすることによって、登録を完了します。

:09900502139

ポリシーを変更する手順は、次のとおりです。

1. 「OAAMチャレンジ・ポリシー」を検索します。

2. 「アクション・グループ」で、見つかったすべての「OAAMチャレンジSMS」を「OAAMチャレンジ」に置き換えます。

3. ポリシーを保存します。

6.4.8 OAM 11.1.1.4.0とOAAM 11.1.1.5.0の統合でOAAMAdvanced認証スキームによって保護されたリソースにアクセスできない

OAM 11.1.1.4.0とOAAM 11.1.1.5.0の統合では、次の操作を実行しないかぎり、OAAMAdvanced認証スキームで保護されたリソースにアクセスできません。

- OAAMのWebゲート・パスワードを設定します。

- oaam.uio.oam.authenticate.withoutsessionをfalseに設定します。デフォルトでは、これはtrueに設定されており、OAM 11.1.1.4.0でサポートされていないauthnwithoutsession opcodeが使用されています。

6.4.9 データベースとLDAPとの間の同期が行われない

登録済ユーザーがLDAPから削除されても、登録済ステータス・レコードはOAAMデータベース内に残ります。そのユーザーが再度LDAPに追加された場合、OAAMデータベースとLDAPが同期されていないため、古い画像、フレーズおよびチャレンジ質問が使用されます。

7 Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合

この章では、Oracle Access ManagerをOracle Identity ManagerおよびOracle Adaptive Access Managerに統合し、高度に安全なセルフ・サービス・パスワード管理フローを提供する方法について説明します。

この章では、次の内容を説明します。

- はじめに

- プロセス・フロー

- 統合の前提条件

- 統合タスクの概要

- Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerのインストール

- Oracle Access ManagerおよびOracle Adaptive Access Managerの事後構成の実行

- 11g Webゲートの登録

- Oracle Access ManagerとOracle Identity Managerの統合

- Oracle Identity Managerに対するLDAP同期の有効化

- Oracle Access ManagerとOracle Adaptive Access Managerの統合

- 統合用のOracle Identity Managerプロパティの構成

- IAMSuiteエージェント・アプリケーション・ドメインのアプリケーションにアクセスするためのTAPスキームの構成

- トラブルシューティングのヒント

7.1 はじめに

11gリリース1 (11.1.1)では、Oracle Access Managerによりそれ自体のアイデンティティ・サービスは提供されません。かわりに、Oracle Access Managerにより次のものが提供されます。

- Oracle Identity Manager、LDAPディレクトリおよび他のソースによって提供されるアイデンティティ・サービスを使用します。

- Oracle Identity ManagerおよびOracle Adaptive Access Managerと統合し、Oracle Access Managerによって保護されたアプリケーションに各種の安全なパスワード収集およびチャレンジ関連の機能を提供します。
ロスト・パスワード管理はOracle Access Managerログイン・ページから開始されますが、OAAMチャレンジ質問を使用し、OIMを通じてユーザー・リポジトリに同期されます。

他の組合せも可能ですが、次の機能を利用できるため、Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合をお薦めします。

- パーソナライズされた仮想認証デバイスを通じたパスワード入力およびマルウェア保護

- ログイン時のリスク・ベースの認証やパスワード・リセットなどのすべてのフローで使用される、セカンダリ・ログイン認証のナレッジベース認証(KBA)

- リスクに基づくセカンダリ・ログイン認証のワンタイム・パスワード(OTP)チャレンジ

- パスワード保護とKBAおよびOTPチャレンジ機能をサポートするための登録フロー

- パスワード保護とKBAおよびOTPチャレンジ機能をサポートするためのユーザー・プリファレンス・フロー

- パスワード管理フロー

Oracle Adaptive Access Manager

Oracle Adaptive Access Managerは次の役割をします。

- 認証の前後におけるリアルタイム・リスク分析ルールの実行

- ログイン、チャレンジ、登録およびセルフ・サービス・フローを通じたユーザーのナビゲート

Oracle Identity Manager

Oracle Identity Managerは次の役割をします。

- ユーザーのプロビジョニング(ユーザーを追加、変更または削除するため)

- パスワードの管理(パスワードをリセットまたは変更するため)

Oracle Access Manager

Oracle Access Managerは次の役割をします。

- ユーザーの認証と認可

- パスワードのリセット、パスワードの期限切れ、ユーザーのロックなどの詳細なステータス・フラグの提供

7.2 プロセス・フロー

このデプロイのプロセス・フローは次のとおりです。

リソース保護および資格証明収集フロー

1. OAM Webゲート・サーバーは、URLを保護し、未認証のユーザーを認証できるようにリダイレクトします。

2. OAAMにより、認証用のユーザー名とパスワードが収集されます。
したがって、OAM Webゲートにより、保護されたURLに未認証のユーザーがアクセスしようとしていることが検出されると、ユーザーがOAAMサーバー・ログイン・ページにリダイレクトされます。

3. 資格証明は、ユーザー名ページとパスワード・ページの、2つの異なるページに分割されます。OAAMにより、ユーザーがユーザー名を入力することが許可されます。登録済ユーザーである場合は、登録ステータスに基づいて、OAAMにより、パーソナライズされた画像およびキャプションとともにパスワード・ページが表示されます。

4. OAAMサーバーにより、認証前ルールが実行され、ユーザーがパスワードの入力を許可されます。

5. OAAMサーバーにあるユーザーのユーザー名および入力されたパスワードに基づき、OAAMサーバーにより、OAMサーバーに対して認証のためのNAP APIコールが行われます。

6. ユーザーがユーザー名およびパスワードを正しく入力したかどうかを示すステータスがOAMサーバーから返されると、OAAMサーバーにより、認証に成功したかどうかが判別されます。

7. 認証に成功した場合は、OAAMサーバーによりユーザーがOAM Webゲートにリダイレクトされます。

8. OAM Webゲート・サーバーにより、ユーザーが元のURLにリダイレクトされます。

9. OAM Webゲートにより、ユーザーが、保護されたURLへのアクセスを許可されます。

パスワード・リセット・フロー

1. ユーザーがパスワードを変更しようとすると表示されるパスワード・ポリシー・テキストを取得するためにOAAMサーバーからOIMサーバーを呼び出す必要がある場合に、OAAMサーバーにより、OIMサーバーとの通信が行われます。

2. ポリシーに基づいて、OAAMサーバーにより、ユーザーはポリシー・テキスト要件に適合したパスワードを入力できるようになります。
OAAMサーバーは、フローを管理しているため、ユーザーが新しいパスワードおよび古いパスワードを入力できるページをユーザーに対して表示します。

このテキストはOAMサーバーによって維持されますが、ユーザーがパスワードを変更しようとしたときに表示されるようにそのパスワード・ポリシー・テキストを呼び出して取得するのはOAAMサーバーです。

3. このタスクの完了後に、OAAMサーバーにより、変更をOAMサーバーに伝播するためのAPIコールが行われます。
OAMサーバーでは、これらの変更をユーザー・ディレクトリまたは資格証明の管理場所に永続化できます。

OAMサーバーおよびOIMサーバーでは、すべてのユーザー・データが維持された同じユーザー・ディレクトリと通信します。

7.3 統合の前提条件

この統合では次の準備が整っている必要があります。

- すべての必要なコンポーネントが適切にインストールされ、構成されている必要があります。

- Oracle Internet Directory 11gがインストールされている
Oracle Internet Directoryのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』を参照してください。

- Oracle Virtual Directory 11gがインストールされている
Oracle Virtual Directoryのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』を参照してください。

- Repository Creation Utility 11gがインストールされている
RCUのインストールおよび使用の詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』を参照してください。

- Oracle Access Manager、Oracle Adaptive Access Manager、Oracle Identity ManagerおよびOracle HTTP Server用のOracle WebLogic Serverがインストールされている
WebLogic Serverのインストールの詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverインストレーション・ガイド』を参照してください。

- Oracle SOA Suiteがインストールされ、少なくともPS2までパッチが適用されている
Oracle SOA Suiteのインストールの詳細は、『Oracle Fusion Middleware Oracle SOA SuiteおよびOracle Business Process Management Suiteインストレーション・ガイド』を参照してください。

- Oracle HTTP Serverがインストールされている
Oracle HTTP Serverのインストールの詳細は、『Oracle Fusion Middleware Oracle Web Tierインストレーション・ガイド』を参照してください。

- Oracle HTTP Server 11gインスタンスに、Oracle HTTP Server 11g用のOracle Access Manager 10gまたは11gエージェント(Webゲート)がインストールされている必要があります。
Oracle HTTP Server Webゲートのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』を参照してください。

次の手順は、すぐに使用できる統合によりOracle Access ManagerとOracle Identity Managerが統合されていることを前提としています。

7.4 統合タスクの概要

この統合を実行するには、次のタスクが必要です。

- Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerのインストール

- Oracle Access ManagerおよびOracle Adaptive Access Managerの事後構成の実行

- 11g Webゲートの登録

- Oracle Access ManagerとOracle Identity Managerの統合

- Oracle Identity Managerに対するLDAP同期の有効化

- Oracle Access ManagerとOracle Adaptive Access Managerの統合

- Oracle Identity ManagerとOracle Adaptive Access Managerの統合

- 統合用のOracle Identity Managerプロパティの構成

- IAMSuiteエージェント・アプリケーション・ドメインのアプリケーションにアクセスするためのTAPスキームの構成

7.5 Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerのインストール

Oracle Access ManagerおよびOracle Adaptive Access Managerを同じまたは異なるWebLogicドメインにして、Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerを異なるWebLogicサーバーにインストールします。

注意:
この章では、OAM_HOMEはOAM_WL_HOME/Oracle_IDM1、OAAM_HOMEはOAAM_WL_HOME/Oracle_IDM1です。

Oracle Access ManagerとOracle Adaptive Access Managerの両方について、次のことを確認します。

- データベースがインストールされている

- RCUをインストールして実行し、Oracle Access ManagerおよびOracle Adaptive Access Managerのデータベース・スキーマが作成されている

Oracle Access Managerの設定と構成について、次のことを確認します。

- Oracle WebLogic ServerがOAM_WL_HOMEにインストールされている

- Oracle Access Managerがインストールされている

- Oracle Access Managerが構成されている

Oracle Adaptive Access Managerの設定と構成について、次のことを確認します。

- Oracle WebLogic ServerがOAAM_WL_HOMEにインストールされている

- Oracle Adaptive Access Managerがインストールされている

- Oracle Adaptive Access Managerが構成されている

注意:
必要に応じて、Oracle Access ManagerおよびOracle Adaptive Access Managerを異なるドメインまたは同じWebLogicドメインにインストールできます。
複数のドメインに対するインストールでは、oaam.csf.useMBeansプロパティをtrueに設定する必要があります。このパラメータの設定の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOracle Adaptive Access Managerコマンドライン・インタフェース・スクリプトに関する項を参照してください。

次の統合手順では、参照用に、Oracle Access Managerが含まれているWLSドメインをOAM_DOMAIN_HOME、OAAMが含まれているWLSドメインをOAAM_DOMAIN_HOMEとして表します。

Identity Management Suiteのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』を参照してください。

7.6 Oracle Access ManagerおよびOracle Adaptive Access Managerの事後構成の実行

この項では、Oracle Adaptive Access Managerの事後構成を実行し、Oracle Access ManagerおよびOracle Adaptive Access Managerが動作することを確認する手順について説明します。

7.6.1 サーバーの再起動

この項でタスクを実行する前に、Oracle Access ManagerおよびOracle Adaptive Access Managerの管理コンソールと、管理対象サーバーが実行されていることを確認します。

7.6.2 Oracle Adaptive Access Manager用のユーザーの作成およびスナップショットのインポート

Oracle Adaptive Access Managerが動作するために必要な最小限の手順を実行するため、Oracle Adaptive Access Managerユーザーを作成し、OAAMポリシー、依存コンポーネントおよび構成が含まれたOAAMスナップショットをインポートします。

完全な事後構成手順の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOracle Adaptive Access Manager環境の設定に関する項を参照してください。

7.6.2.1 Oracle Adaptive Access Managerユーザーの作成

OAAM管理コンソールにアクセスする前に、管理ユーザーを作成する必要があります。

OAAM管理コンソールを保護する場合は、外部LDAPストアでユーザーおよびグループの作成を処理する必要があります。詳細は、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』のOracle Adaptive Access Manager用のユーザーとグループの作成に関する項を参照してください。

OAAM管理コンソールを保護しない場合は、WebLogic管理コンソールで管理ユーザーを作成する必要があります。WebLogic管理コンソールで管理ユーザーを作成する手順は、次のとおりです。

注意:
保護を提供するIDMドメイン・エージェントを無効化することによって、OAAM管理コンソールの保護を無効化できます。そのためには、環境変数またはJavaプロパティWLSAGENT_DISABLED=trueを設定する必要があります。
IDMドメイン・エージェントの無効化の詳細は、『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』のIDMドメイン・エージェントの無効化に関する項を参照してください。

1. WebLogic管理ドメインのOracle WebLogic管理コンソールにログインします。

2. 左側の「ドメイン構造」タブで、「セキュリティ・レルム」を選択します。

3. 「セキュリティ・レルムのサマリー」ページで、構成するレルムを選択します(たとえば、myrealm)。

4. レルム名・ページで、「ユーザーとグループ」→「ユーザー」を選択します。

5. 「新規」をクリックし、セキュリティ・レルムにユーザー(user1など)を作成するのに必要な情報を指定します。

- 名前: oaam_admin_username

- 説明: オプション

- プロバイダ: DefaultAuthenticator

- パスワード/確認

6. 新規作成したユーザーのuser1をクリックします。

7. 「グループ」タブをクリックします。

8. OAAM接頭辞のあるグループをすべて、ユーザーuser1に割り当てます。

9. 「保存」をクリックします。

7.6.2.2 Oracle Adaptive Access Managerスナップショットのインポート

Oracle Adaptive Access Managerには、ポリシー、依存コンポーネントおよび構成のフル・スナップショットが付属しています。Oracle Adaptive Access Managerを動作させるには、次の手順に従ってスナップショットをシステムにインポートします。

1. 次のURLにあるOAAM管理コンソールにログインします。
http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

2. 次の手順に従ってスナップショット・ファイルをシステムにロードします。

1. ナビゲーション・ツリーで、「環境」にある「システム・スナップショット」を開きます。

2. 「ファイルからロード」ボタンをクリックします。
「スナップショットのロードおよびリストア」ダイアログが表示されます。

3. 「現在のシステムをすぐにバックアップ」の選択を解除し、「続行」をクリックします。
ダイアログが開き、現在のシステムをバックアップしないように選択したため続行するかどうかを尋ねるメッセージが表示されます。

4. 現在のシステムをバックアップしないように選択したため続行するかどうかを尋ねるメッセージのダイアログが表示されたら、「続行」をクリックします。
ロードするスナップショットを選択するための「スナップショットのロードおよびリストア」ページが表示されます。

5. oaam_base_snapshot.zipを参照し、「ロード」ボタンをクリックしてスナップショットをシステム・データベースにロードします。
デフォルトのoaam_base_snapshot.zipは、Oracle_IDM1/oaam/initディレクトリにあります。

6. 「OK」→「リストア」をクリックします。

7.6.3 Oracle Access ManagerおよびOracle Adaptive Access Manager用の検証の設定

インストールおよびインストール後の構成が完了したら、次の各項の手順に従ってOracle Access ManagerおよびOracle Adaptive Access Managerが正しく設定されていることを確認します。

7.6.3.1 Oracle Access Managerの設定の検証

次の手順を実行して、Oracle Access Managerが正しく構成されていることを確認します。

1. http://oam_admin_server_host:oam_admin_server_port/oamconsoleに移動します。
ログインのため、Oracle Access Managerサーバーにリダイレクトされます。

2. 管理者ユーザーの名前とパスワードを指定します。
Oracle Access Manager管理コンソールに正常にログインできることを確認します。

7.6.3.2 Oracle Adaptive Access Managerの設定の検証

URL: http://host:port/oaam_serverを使用して、OAAMサーバーにアクセスしてみます。OAAMサーバーにログインしてプロファイルを登録できるようになっています。

注意:
この時点でログインすると、Oracle Access ManagerとOracle Adaptive Access Managerの統合がまだ行われていないため、「test」としてパスワードを指定する必要があります。このパスワードは、統合後すぐに変更する必要があります。

7.7 11g Webゲートの登録

この項では、11g Webゲートを登録する方法について説明します。Webゲートは、すぐに使用できるアクセス・クライアントです。このWebサーバーのアクセス・クライアントは、WebリソースのHTTPリクエストを捕捉して、これらをOracle Access Manager 11gサーバーに転送します。

7.7.1 Webゲート登録の前提条件

Oracle Webゲートを構成して登録する前に、次のものがインストールされていることを確認します。

- Oracle HTTP Server用のWebLogic Server (WLS_FOR_OHS)

- Oracle HTTP Server (WLS_FOR_OHS/Oracle_WT1、これをOHS_HOMEと呼びます)

- Webゲート(WLS_FOR_OHS/Oracle_OAMWebGate1、これをWG_HOMEと呼びます)

7.7.2 11g Webゲートの構成

Oracle Access Manager用のOracle HTTP Server 11g Webゲートをインストールしたら、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』のインストール後の手順に関する項を参照してください。

7.7.3 パートナとしての11g Webゲートの登録

保護するアプリケーションをホスティングするコンピュータに存在するOracle Access Managerエージェントを登録する必要があります。

『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』のコンソールを使用したOAMエージェントの登録と管理に関する項を参照してください。

1. Oracle Access Manager管理コンソールを使用して、11g Webゲート・パートナを登録します。次に例を示します。

11gWG_abc1234567

2. ツール・バーの「編集」ボタンをクリックして、構成ページを表示します。

3. 「アクセス・クライアント・パスワード」を設定し、「適用」をクリックします。確認メッセージのアーティファクトの場所をメモします。

4. アーティファクトの場所で、ObAccessClient.xml構成ファイルおよびcwallet.ssoを見つけてOHS_HOME/instances/instance/config/OHS/component/webgate/configディレクトリにコピーします。

7.7.4 OHS Webゲートの再起動

OHS Webゲートを再起動するには、次のコマンドを発行します。

1. OHS_HOME/instances/instance/binディレクトリにナビゲートします。

2. エージェントを停止します。

./opmnctl startall

3. エージェントを起動します。

./opmnctl startall

7.7.5 Webゲートの設定の検証

Webゲートの設定が完了したら、登録を検証します。

1. http://ohs_host:ohs_port/にナビゲートします。
認証のため、Oracle Access Managerにリダイレクトされます。

2. ユーザー名とパスワードを入力します。
Oracle HTTP Serverの「ようこそ」ページが表示されます。

これが、Oracle Adaptive Access Managerを使用して保護されるパートナです。

7.8 Oracle Access ManagerとOracle Identity Managerの統合

Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの間の統合には、Oracle Identity ManagerおよびOracle Access Managerの間の統合が必要です。

詳細は、第5章「Oracle Access ManagerとOracle Identity Managerの統合」を参照してください。

7.9 Oracle Identity Managerに対するLDAP同期の有効化

Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの間の統合には、Oracle Identity Manager用のLDAP同期の有効化が必要です。

Oracle Adaptive Access Managerは、Oracle Identity Managerが同期するのと同じディレクトリで動作します。

注意:
UIDはLDAPストア内の新しく作成されたユーザーのCNに一致する必要があり、そうしないとログインが失敗します。

LDAP同期の構成の詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』の第15章「Oracle Identity Managerの構成」にある、LDAP同期の有効化の前提条件チェックに関する項、LDAP構成後ユーティリティの実行に関する項およびLDAP同期の検証に関する項を参照してください。

7.10 Oracle Access ManagerとOracle Adaptive Access Managerの統合

このタスクでは、Oracle Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Manager (OAAM)の統合の一環として、Oracle Access ManagerとOracle Adaptive Access Managerのコンポーネントを統合することによって、パスワード管理およびチャレンジ関連機能をOracle Access Managerによって保護されたアプリケーションに提供します。

注意:
Oracle Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerの統合では、IdentityManagerAccessGateプロファイルがOracle Access ManagerとOracle Identity Managerの統合中に構成されているため、すでに存在しています(第7.8項「Oracle Access ManagerとOracle Identity Managerの統合」を参照してください)。

Oracle Access ManagerとOracle Adaptive Access Managerの統合では、OAAMサーバーが信頼できるパートナ・アプリケーションとして動作するように構成します。OAAMサーバーでは、厳密認証、リスクおよび不正分析の実行後にTrusted Authentication Protocol (TAP)を使用して認証済のユーザー名をOracle Access Managerサーバーに送信します。この統合では、Oracle Access Managerサーバーは保護されたリソースにリダイレクトします。

注意:
この項の表記:
OAM_HOMEはOAM_WL_HOME/Oracle_IDM1です。Oracle Access Managerソフトウェア・インストールを表す場合は、OAM_HOMEを使用します。

OAAM_HOMEはOAAM_WL_HOME/Oracle_IDM1です。Oracle Adaptive Access Managerソフトウェア・インストールを表す場合は、OAAM_HOMEを使用します。

次の統合手順では、参照用に、Oracle Access Managerが含まれているWLSドメインをOAM_DOMAIN_HOME、Oracle Adaptive Access Managerが含まれているWLSドメインをOAAM_DOMAIN_HOMEとして表します。

Oracle Adaptive Access ManagerとOracle Access Managerの統合を次のように構成します。

- Oracle Access ManagerとOracle Adaptive Access Managerの統合に向けたOracle Access Managerの構成

- Oracle Access Managerの構成の検証

- Oracle Access ManagerとOracle Adaptive Access Managerの統合に向けたOracle Adaptive Access Managerの構成

- Oracle Access ManagerでのOracle Adaptive Access Managerによるリソースの保護

- Oracle Access ManagerとOracle Adaptive Access Managerの統合の検証

7.10.1 Oracle Access ManagerとOracle Adaptive Access Managerの統合に向けたOracle Access Managerの構成

Oracle Access ManagerがSimple Security Transportationプロトコルを使用するように構成されている場合、registerThirdPartyTAPPartnerのWLSTコマンドを使用して、OAAMサーバーをパートナ・アプリケーションとして登録する必要があります。

7.10.1.1 パートナ・アプリケーションとしてのOAAMサーバーの登録

OAAMサーバーをパートナ・アプリケーションとして登録するには、次の手順に従います。

1. OAM管理サーバーが実行されていることを確認します。

2. WLST用に環境を設定します。

3. IAM_ORACLE_HOME/common/binに移動します。

4. wlst.shを実行してWLSTシェルに入ります。

5. connectコマンドを使用して、WebLogic管理サーバーに接続します。
connect ('username', 'password', 't3://hostname:port')

次に例を示します。

connect("weblogic","admin_password","t3://AdminHostname:7001")

6. registerThirdPartyTAPPartnerのWLSTを実行します。
次に例を示します。

registerThirdPartyTAPPartner(partnerName = "OAAMPartner", keystoreLocation= "/scratch/jsmith/dwps1tap/TapKeyStore/mykeystore.jks" ,
password="welcome1", tapTokenVersion="v2.0", tapScheme="TAPScheme",
tapRedirectUrl="http://11gWG_abc1234567.mycompany.com:14300/oaam_server/oamLoginPage.jsp")

表7-1 TAPパートナの例

パラメータ

詳細

partnerName

partnerNameは一意の名前です。Oracle Access Managerにパートナが存在する場合は、その構成が上書きされます。

keystoreLocation

キーストアは既存の場所です。指定したディレクトリ・パスが存在しない場合は、エラーが表示されます。Windowsでは、パスをエスケープする必要があります。次に例を示します。

"C:\\oam-oaam\\tap\\keystore\\store.jks"

このキーストアは、前述の手順で実行したregisterThirdPartyTAPPartnerコマンドの結果です。この場所は、ユーザーによってコマンドに渡されます。前述の例では、keystoreLocation= "/scratch/jsmith/dwps1tap/TapKeyStore/mykeystore.jks"でした。

password

このパスワードは、キーストアを暗号化するために指定します。後で必要になるため、このパスワードをメモします。

tapTokenVersion

11.1.1.5.0ではtapTokenVersionは常にv2.0です。

tapScheme

これは更新される認証スキームです。異なるtapRedirectUrlを持つ2つのTAPパートナが必要な場合は、Oracle Access Manager管理コンソールを使用して新しい認証スキームを作成し、そのスキームをここで使用します。

この認証スキームは、前述の手順でregisterThirdPartyTAPPartnerコマンドを実行しているときに自動的に作成されます。TAPスキームの名前は、パラメータとしてそのコマンドに渡されます。例のコマンドではtapScheme="TAPScheme"が使用されています。

tapRedirectUrl

このURLは機能する必要があります。機能しない場合、登録は失敗します。tapRedirectUrlの構文は次のとおりです。

http://oaam_server_host:oaam_server_port/oaam_server/oamLoginPage.jsp

このURLはアクセス可能である必要があります。それ以外の場合、検証は失敗し、パートナは作成されません。

Oracle Access ManagerとOracle Adaptive Access Managerの統合では、資格証明コレクタ・ページはOAAMサーバーによって提供されます。registerThirdPartyTAPPartner (TAPScheme)によって作成された認証スキームは、redirectURLとしてOAAMサーバーの資格証明コレクタ・ページを指します。

7.10.1.2 IAMSuiteエージェントの更新

初期構成を生成した後に、IAMSuiteエージェントを更新する必要があります。

1. Oracle Access Manager管理コンソールにログインします。

2. 「システム構成」タブを選択します。

3. ディレクトリ・ツリーから、「Access Managerの設定」→「SSOエージェント」→「OAMエージェント」を選択します。フォルダを開くアイコンをダブルクリックまたは選択します。

4. IAMSuiteAgentを検索し、「検索結果」で見つかったエントリをクリックします。
IAMSuiteAgentの詳細ページが表示されます。

5. 「アクセス・クライアント・パスワード」のパスワードを指定します。

6. 「適用」をクリックします。

7.10.1.3 ドメイン・エージェント用の構成

注意: これでIAMSuiteエージェントがパスワード認証付きで「オープン・モード」に表示されます。別のコンソールでIDMドメインのドメイン・エージェントを使用している場合は、次の変更を加えてドメイン・エージェントの使用を続行します。

1. WebLogic管理コンソールにログインします。

2. 「ドメイン構造」メニューで「セキュリティ・レルム」を選択します。

3. myrealmをクリックします。

4. 「プロバイダ」タブをクリックします。

5. 認証プロバイダのリストからIAMSuiteAgentを選択します。

6. 「プロバイダ固有」をクリックします。

7. エージェントのパスワードおよびタイプを入力します。

8. 確認するために、「保存」をクリックします。

7.10.2 Oracle Access Managerの構成の検証

Oracle Access Managerの構成を検証するには、次の手順を実行します。

1. Oracle Access Manager管理コンソールにログインします。

2. 前述の手順で指定した認証スキームを編集します。これは、tapSchemeパラメータに対して指定した値です。

3. チャレンジURLが、tapRedirectUrlで指定した値に設定されていることを確認します。このURLの詳細は、表7-1「TAPパートナの例」を参照してください。

4. IAMSuiteAgentの設定を検証します。

5. OAAM_HOME/../<jdk160_24>/bin/java -jar OAAM_HOME/oam/server/tester/oamtest.jarにあるOAMテスターを起動します。

6. 次のサーバー接続の詳細を指定します。

1. IPアドレス: OAM管理対象サーバー・ホスト

2. ポート: OAM Oracle Accessプロトコル(OAP)ポート

3. エージェントID: IAMSuiteAgent

4. エージェント・パスワード: IAMSuiteエージェントの更新で指定したパスワード

5. 「接続」をクリックします。
サーバーに接続できる場合は、次のセクションの保護されているリソースのURIが有効になります。

7. 次のように保護されたリソースのURIを指定します。

1. ホスト: IAMSuiteAgent

2. ポート: 80

3. リソース: /oamTAPAuthenticate

4. 「検証」をクリックします。
検証に成功すると、次のセクションのユーザー・アイデンティティが有効になります。

8. ユーザー・アイデンティティを指定して、「認証」をクリックします。認証に成功した場合は、設定が正常に行われています。

7.10.3 Oracle Access ManagerとOracle Adaptive Access Managerの統合に向けたOracle Adaptive Access Managerの構成

Oracle Access ManagerとOracle Adaptive Access Managerの統合を設定します。

1. OAAM CLIフォルダを作業ディレクトリにコピーします。
cp -r OAAM_HOME/oaam/cli TEMP/oaam_cli

2. cliフォルダをコピーした作業フォルダに移動し、テキスト・エディタでTEMP/oaam_cli/cli/conf/bharosa_properties/oaam_cli.propertiesを開いて、表7-2のプロパティを設定します。

表7-2 OAAM CLIのプロパティ

パラメータ

詳細

oaam.adminserver.hostname

これは、OAAMがインストールされているWebLogicサーバー・ドメインの管理サーバー・ホストです。

oaam.adminserver.port

これは、OAAMがインストールされているWebLogicサーバー・ドメインの管理サーバー・ポートです。

oaam.adminserver.username

これは、WebLogicサーバー・ドメインの管理サーバー・ユーザー名です(通常はweblogic)。

oaam.adminserver.password

これは、oaam.adminserver.usernameプロパティで指定したユーザーのパスワードです。

oaam.db.url

これは、次の形式で示されるOAAMデータベースの有効なJDBCのURLです。

jdbc:oracle:thin:@db_host:db_port:db_sid

oaam.uio.oam.tap.keystoreFile

これは、registerThirdPartyTAPPartnerのWLSTによって生成されたキーストア・ファイルの場所です。

このファイルを、前述のWLSTでパラメータkeystoreLocationに指定された場所からコピーします。Oracle Access ManagerとOAAMが異なるマシン上にある場合は、OAMサーバーで作成したキーストア・ファイルをOAAMサーバーに手動でコピーし、OAAMサーバー上の場所をここで指定する必要があります。

Windowsでは、ファイル・パスの値をエスケープする必要があります。例: "C:\\oam-oaam\\tap\\keystore\]store.jks"

oaam.uio.oam.tap.partnername

これは、WLST registerThirdPartyTAPPartnerコマンドで使用した「partnerName」です。たとえば、OAAMPartnerなどです。

oaam.uio.oam.host

これは、OAMプライマリ・ホストです。

oaam.uio.oam.port

これは、OAMプライマリNAP(ネットワーク・アサーション・プロトコル)/OAPポートです。これは、OAMサーバー・ポートです(デフォルト・ポート番号5575)。

oaam.uio.oam.webgate_id

これは、IAMSuiteAgent値です。これは変更しないでください。

oaam.uio.oam.secondary.host

これは、OAMセカンダリ・ホストです。

oaam.uio.oam.secondary.host.port

これは、OAMセカンダリNAP/OAPポートです。

3. 環境変数ORACLE_MW_HOMEを、Oracle Adaptive Access ManagerがインストールされているWebLogic Serverインストールの場所に設定します。
setenv ORACLE_MW_HOME <Location of WLS install where Oracle Adaptive Access Manager is installed>

4. 環境変数JAVA_HOMEを、WebLogicインストールに使用するJDKに設定します。

5. 次のコマンドを実行します:
TEMP/oaam_cli/cli/setupOAMTapIntegration.sh TEMP/oaam_cli/cli/conf/bharosa_properties/oaam_cli.properties

7.10.4 Oracle Access ManagerでのOracle Adaptive Access Managerによるリソースの保護

Oracle Adaptive Access Managerでリソースを保護するには、次の手順に従います。

1. Oracle Access Manager管理コンソールにログインします。

2. 11g Webゲート登録の一環として作成されたアプリケーション・ドメインを確認します(この例では11gWG_abc1234567)。

3. 次の手順に従って、認証ポリシーを編集します。

1. ナビゲーション・ウィンドウで、「アプリケーション・ドメイン」→「11gWG_abc1234567」→「認証ポリシー」を展開します。

2. 「保護されたリソース・ポリシー」をクリックします。
この例では、「11gWG_abc1234567」を除き、他のすべての文字列はOracle Access Managerでそのまま使用されます。

3. 「認証スキーム」を、registerThirdPartyTAPPartnerコマンドでtapSchemeパラメータとして指定されたTAPスキームに更新します。

4. 「適用」をクリックして変更を保存します。

7.10.5 Oracle Access ManagerとOracle Adaptive Access Managerの統合の検証

保護されたリソースにアクセスしてみます。登録およびチャレンジのため、OAAMにリダイレクトされます。Oracle Access Managerログイン・ページのかわりにOAAMログイン・ページが表示されます。

7.11 Oracle Identity ManagerとOracle Adaptive Access Managerの統合

この項では、Oracle Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerの3方向統合のために、Oracle Identity ManagerとOracle Adaptive Access Managerを統合する方法について説明します。

- Oracle Identity Manager用のOracle Adaptive Access Managerプロパティの設定

- 資格証明ストア・フレームワークでのOracle Identity Manager資格証明の設定

7.11.1 Oracle Identity Manager用のOracle Adaptive Access Managerプロパティの設定

Oracle Identity Manager用のOracle Adaptive Access Managerプロパティを設定する手順は、次のとおりです。

1. 次のURLにあるOAAM管理コンソールに移動します。
http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

2. プロパティ・エディタにアクセス可能なユーザーとしてログインします。

3. Oracle Identity Managerのプロパティを設定するため、Oracle Adaptive Access Managerプロパティ・エディタを開きます。
プロパティが存在しない場合は、追加する必要があります。

次のプロパティについて、デプロイ内容に従って値を設定します。

表7-3 Oracle Identity Managerのプロパティ値の構成

プロパティ名

プロパティ値

bharosa.uio.default.user.management.provider.classname

com.bharosa.vcrypt.services.OAAMUserMgmtOIM

oaam.oim.auth.login.config

${oracle.oaam.home}/../designconsole/config/authwl.conf

oaam.oim.url

t3://<OIM Managed Server>:<OIM Managed Port>

例: t3://host.oracle.com:14000

oaam.oim.xl.homedir

${oracle.oaam.home}/../designconsole

bharosa.uio.default.signon.links.enum.selfregistration.url

http://<OIM Managed Server>:<OIM Managed Port>/oim/faces/pages/USelf.jspx?E_TYPE=USELF&OP_TYPE=SELF_REGISTRATION&backUrl=<OAAM Login URL for OIM>

ここで、<OAAM Login URL for OIM>はhttp://<OHS host>:<OHS port>/oim/faces/pages/Self.jspxまたは(IDMDOMAINAgentの場合は)http://<OIM host>:<OIMport>/oim/faces/pages/Self.jspxです。

OHS設定は、Oracle Access ManagerとOracle Identity Managerとの間の統合中に実行されています。

bharosa.uio.default.signon.links.enum.trackregistration.url

http://<OIM Managed Server>:<OIM Managed Port>/oim/faces/pages/USelf.jspx?E_TYPE=USELF&OP_TYPE=UNAUTH_TRACK_REQUEST&backUrl=<OAAM Login URL for OIM>

ここで、<OAAM Login URL for OIM>はhttp://<OHS host>:<OHS port>/oim/faces/pages/Self.jspxまたは(IDMDOMAINAgentの場合は)http://<OIM host>:<OIMport>/oim/faces/pages/Self.jspxです。

OHS設定は、Oracle Access ManagerとOracle Identity Managerとの間の統合中に実行されています。

bharosa.uio.default.signon.links.enum.trackregistration.enabled

true

bharosa.uio.default.signon.links.enum.selfregistration.enabled

true

oaam.oim.csf.credentials.enabled

true

このプロパティにより、資格証明をプロパティ・エディタを使用して管理するのではなく資格証明ストア・フレームワークで構成するように有効化できます。この手順は、資格証明をCSFに安全に保存するために実行します。

Oracle Adaptive Access Managerでのプロパティ設定の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のプロパティ・エディタの使用に関する項を参照してください。

7.11.2 資格証明ストア・フレームワークでのOracle Identity Manager資格証明の設定

Oracle Identity Manager Webゲートの資格証明を資格証明ストア・フレームワークに安全に保存できるように、次の手順に従ってパスワード資格証明をOracle Adaptive Access Managerドメインに追加します。

1. http://weblogic_host:administration_port/emにあるOracle Fusion Middleware Enterprise Managerコンソールに移動します。

2. WebLogic管理者(たとえば、WebLogic)としてログインします。

3. 左側ペインのナビゲーション・ツリーで「<Base_Domain>」アイコンを展開します。

4. ドメイン名を選択して右クリックし、メニュー・オプションで「セキュリティ」、サブ・メニューで「資格証明」を選択します。

5. 「マップの作成」をクリックします。

6. 「oaam」をクリックしてマップを選択します。次に「キーの作成」をクリックします。

7. ポップアップ・ダイアログで「マップの選択」が「oaam」に設定されていることを確認します。

8. 次のプロパティを指定し、「OK」をクリックします。

表7-4 Oracle Identity Managerの資格証明

名前

値

マップ名

oaam

キー名

oim.credentials

キー・タイプ

パスワード

ユーザー名

Oracle Identity Manager管理者のユーザー名

パスワード

Oracle Identity Manager管理者のパスワード

7.12 統合用のOracle Identity Managerプロパティの構成

Oracle Identity Managerでは、チャレンジ質問に関連する機能を提供するために、システム・プロパティが構成されてOracle Identity ManagerではなくOracle Adaptive Access Managerが有効化されます。

Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合用にOracle Identity Managerのプロパティを変更するには、次の手順に従います。

1. Oracle Identity Manager管理コンソールにログインします。

2. セルフサービス・コンソールの「拡張」リンクをクリックします。

3. 「システム管理」で「システム・プロパティ」をクリックします。

4. 「拡張検索」をクリックします。

5. 次のプロパティを設定し、「保存」をクリックします。

注意:
これらのURLでは、Oracle Access Managerで構成したとおりにホスト名を使用します。たとえば、Oracle Access Managerの構成中に完全なホスト名(ドメイン名あり)を指定した場合は、URLに完全なホスト名を使用します。

表7-5 Oracle Identity Managerのリダイレクト

キーワード

プロパティ名および値

OIM.DisableChallengeQuestions

TRUE

OIM.ChangePasswordURL

Oracle Adaptive Access Managerにあるパスワード変更ページのURL

(http://oaam_server_managed_server_host:oaam_server_managed_server_port/oaam_server/oimChangePassword.jsp)

高可用性(HA)環境では、OAAMサーバーの仮想IP URLを指すようにこのプロパティを設定します。

OIM.ChallengeQuestionModificationURL

Oracle Adaptive Access Managerにあるチャレンジ質問変更ページのURL

(http://oaam_server_managed_server_host:oaam_server_managed_server_port/oaam_server/oimResetChallengeQuestions.jsp)

7.13 IAMSuiteエージェント・アプリケーション・ドメインのアプリケーションにアクセスするためのTAPスキームの構成

注意:
この項の手順は、IAMSuiteAgentアプリケーション・ドメインでTAPスキームを使用する場合にのみ実行する必要があります。

IAM Suiteドメインでアイデンティティ管理製品リソースにTAPスキーム、保護される上位レベルのポリシーを使用するには、次の構成を実行する必要があります。

1. Oracle Access Manager管理コンソールにログインします。

2. 「ポリシー構成」にナビゲートして「アプリケーション・ドメイン」→「IAMsuiteAgent」→「認証ポリシー」→保護される上位レベルのポリシーの順に選択します。

3. 「認証ポリシー」ページで、「リソース」タブからIAMSuiteAgent:/oamTAPAuthenticateを削除します。

4. 「適用」をクリックします。

5. IAMSuiteアプリケーション・ドメインに新しい認証ポリシーを作成します。

6. 「認証ポリシー」ページで、「認証スキーム」フィールドにあるLDAPSchemeを選択します。

7. IAMSuiteAgent:/oamTAPAuthenticationをリソースとして追加します。

8. 「適用」をクリックします。

7.14 トラブルシューティングのヒント

この項では、Oracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合に関する追加のトラブルシューティングおよび構成のヒントについて説明します。

- ポリシーとチャレンジ質問

- Cookieドメインの定義

- OAMとOAAMの統合でTAPによりユーザー属性を変更できない

- TAP: setupOAMTapIntegrationスクリプトで終了ステータス・メッセージが提供されない

7.14.1 ポリシーとチャレンジ質問

Oracle Adaptive Access Manager環境でポリシーとチャレンジ質問が正常に使用できない場合、動作しないURLが表示されることがあります。たとえば、「パスワードを忘れた場合」ページが表示されず、元のログイン・ページにリダイレクトされます。

操作を正しく行うには、Oracle Adaptive Access Managerに付属のデフォルトのベース・ポリシーとチャレンジ質問がシステムにインポートされていることを確認します。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOracle Adaptive Access Manager環境の設定に関する項を参照してください。

7.14.2 Cookieドメインの定義

構成でCookieドメインの値が正しくない場合、ログインが失敗することがあります。

正しくWebゲートを操作するには、プロパティoaam.uio.oam.obsso_cookie_domainがOracle Access Managerの対応する値(たとえば、.us.oracle.com)に一致するように設定されていることを確認します。

7.14.3 OAMとOAAMの統合でTAPによりユーザー属性を変更できない

複数のアイデンティティ・ストアを伴う統合シナリオでは、デフォルト・ストアとして設定されたユーザー・アイデンティティ・ストアが認証およびアサーションに使用されます。異なるストアを指すようにデフォルト・ストアを変更した場合は、TAPSchemeも同じストアを指していることを確認します。

OAMとOAAMのTAP統合では、TAPScheme認証スキームのアサーションはデフォルト・ストアに対して行われます。この場合、LDAPモジュールに対して行われるバックエンド・チャネル認証では、特定のユーザー・アイデンティティ・ストア(たとえば、OID)が使用されます。ユーザー名がOracle Access Managerに返されると、アサーションはデフォルト・ストア(認証に使用されたものとは異なるOID)に対して行われます。

注意:
セッション偽装のため、ユーザーおよび権限付与に使用されるOracle Internet Directoryインスタンスはデフォルト・ストアである必要があります。

デフォルト・ストアを変更した場合は、TAPSchemeも同じストアを指していることを確認します。そうしないと、認証は成功しても、最後のリダイレクトが次のエラーで失敗することがあります。

Module oracle.oam.user.identity.provider
Message Principal object is not serializable; getGroups call will result in
an extra LDAP call

Module oracle.oam.engine.authn
Message Cannot assert the username from DAP token

Module oracle.oam.user.identity.provider
Message Could not modify user attribute for user : cn, attribute :
userRuleAdmin, value : {2} .

7.14.4 TAP: setupOAMTapIntegrationスクリプトで終了ステータス・メッセージが提供されない

Oracle Access ManagerとOracle Adaptive Access Managerの統合のためにOracle Adaptive Access Managerを構成するsetupOAMTapIntegrationスクリプトを実行する場合、スクリプトが正常に完了したか失敗したかを示すメッセージが提供されません。

8 Oracle Access Manager 10gとOracle Adaptive Access Manager 11gの統合

この章では、Oracle Adaptive Access Manager 11gをOracle Access Manager 10gと統合するプロセスについて説明します。この統合は次のように機能します。

1. ユーザーが保護されたリソースにアクセスしようとすると、Oracle Access ManagerのログインではなくOracle Adaptive Access Managerのログイン・ページにリダイレクトされます。

2. Oracle Adaptive Access Managerにより、ユーザー認証がOracle Access Managerに委任されます。

3. その後、Oracle Adaptive Access Managerにより、ユーザーのリスク分析が実行されます。

この章では、次の内容を説明します。

- 前提条件

- 統合の概要

- OAAM Webサーバー用のOAMアクセス・ゲートの構成

- OAM認証スキームの構成

- Oracle Access Managerの接続の構成(オプション)

- OAAM Webサーバー用のWebゲートの設定

- OAAM認証を使用するOAMドメインの構成

- OHSの構成

- Oracle Adaptive Access Managerのプロパティの構成

- IP検証の無効化

- Oracle Adaptive Access ManagerとOracle Access Managerの統合のテスト

8.1 前提条件

統合を実行する前に、次の前提条件が満たされていることを確認してください。

- 次のすべての必要なコンポーネントが適切にインストールされ、構成されています。

- Oracle Adaptive Access Manager 11g

- Oracle Access Manager 10.1.4.3

- アプリケーション・サーバー

- 次の2つの異なる認証スキームを使用して単純なHTMLリソースを保護するようにOracle Access Manager環境が構成されています。

- 最初の認証スキームではBasic Over LDAPを使用します。

- 2つ目の認証スキームは、さらに高いセキュリティ・レベルを提供し、カスタム・フォームベースの認証スキームを使用することによってOAAMサーバーを統合します。
第8.4項「OAM認証スキームの構成」を参照してください。

8.2 統合の概要

別途明記されている場合を除き、Oracle Access Adaptive Manager 11gとOracle Access Manager 10gの統合を完了するために次の手順が必要です。

- OAAM Webサーバー用のOAMアクセス・ゲートの構成

- OAM認証スキームの構成

- Oracle Access Managerの接続の構成(オプション)

- OAAM Webサーバー用のWebゲートの設定

- OAAM認証を使用するOAMドメインの構成

- OHSの構成

- Oracle Adaptive Access Managerのプロパティの構成

- IP検証の無効化

8.3 OAAM Webサーバー用のOAMアクセス・ゲートの構成

Oracle Access ManagerとOracle Adaptive Access Managerの統合では、Oracle Access Managerアクセス・ゲートはOAAMサーバーへのWebサーバー(従来のWebゲート)に面します。

OAAMサーバーへのWebサーバーに面するOracle Access Managerアクセス・ゲートを構成するには、次の手順を実行します。

1. 「新規アクセス・ゲートの追加」をクリックします。

2. 次の表の設定を使用して新しいアクセス・ゲートを作成し、それにアクセス・サーバーを割り当てます。

表8-1 OHS Webゲートの構成

パラメータ

値

アクセス・ゲート名

ohsWebGate

説明

OAAMサーバーをホストするWebサーバー用のアクセス・ゲート

ホスト名

<hostname>

ポート

<port>

アクセス・ゲートのパスワード

<passwd>

デバッグ

<Off>

最大ユーザー・セッション時間（秒）

3600

アイドル・セッション時間(秒)

3600

最大接続数

1

トランスポート・セキュリティ

<Open>

IPの検証

<On>

IPの検証例外

<空白のまま>

最大クライアント・セッション時間(時間)

24

フェイルオーバーしきい値

1

アクセス・サーバー・タイムアウトしきい値

<空白のまま>

スリープ時間(秒)

60

キャッシュ内の最大要素

10000

キャッシュ・タイムアウト(秒)

1800

偽装ユーザー名

<空白のまま>

偽装パスワード

<空白のまま>

アクセス管理サービス

<On>

優先HTTP Cookieドメイン

.<domain_name>

優先HTTPホスト

<hostname>:<port>

保護されていない場合に拒否

<Off>

CachePragmaHeader

no-cache

CacheControlHeader

no-cache

LogOutURLs

<空白のまま>

ユーザー定義パラメータ

<空白のまま>

アクセス・サーバーの割当て(プライマリ)

<oam_hostname>:<port>

接続数

1

3. 「アクセス・ゲート構成」をクリックします。

4. 「OK」をクリックして、すべてのアクセス・ゲートを検索します。
これで、新しいアクセス・ゲートが表示されるようになります。

8.4 OAM認証スキームの構成

OAAMサーバーを認証メカニズムとして利用するには、Oracle Access Managerに、OAAMサーバーへの認証の転送方法を理解するための定義済の認証スキームが備わっている必要があります。

Oracle Adaptive Access Managerの認証スキームを定義するには、次の手順に従います。

1. 「認証管理」をクリックします。

2. 「新規」をクリックします。

3. 次の表の設定を使用して、新しいOAAMサーバー認証スキームの作成を開始します。

表8-2 OAAMサーバー認証スキームの構成

パラメータ

値

名前

Adaptive Strong Authentication

説明

Oracle Adaptive Access Manager-OAAMサーバー仮想認証パッドの認証スキーム

レベル

3

チャレンジ・メソッド

フォーム

チャレンジ・パラメータ

form:/oaam_server/oamLoginPage.jsp

creds:userid password

action:/oaam_server/

SSL必須

<No>

チャレンジ・リダイレクト

<リダイレクトURL>

有効

<無効/グレー表示>

4. 「保存」をクリックします。

5. 「OK」をクリックして保存操作を確認します。

6. 「プラグイン」をクリックします。

7. 「変更」をクリックします。

8. 「追加」をクリックします。

9. 次の表に示されている情報を使用して、プラグイン構成を作成します。

表8-3 OAAMサーバー認証スキームの構成 - プラグイン

プラグイン名

プラグイン・パラメータ

credential_mapping

obMappingBase="dc=<domain>,dc=com",obMappingFilter="(uid=%userid%)"

validate_password

obCredentialPassword="password"

10. 「保存」をクリックします。

11. 「一般」をクリックします。

12. 「変更」をクリックします。

13. 「有効」を「はい」に設定します。

14. 「保存」をクリックします。

8.5 Oracle Access Managerの接続の構成(オプション)

OAAMサーバーによって使用されるアクセス・ゲートには、ホスト識別子のエントリがある必要があります。ホスト識別子機能を使用して、ホストの正式名と、ホストのアドレスを指定する際にユーザーが使用できるその他の名前をすべて入力します。

リストにある任意のアドレスに送信されたリクエストはホストの正式名にマップされ、適用可能なルールおよびポリシーが実装されます。これは、仮想サイトのホスティング環境で主に使用されます。

8.6 OAAM Webサーバー用のWebゲートの設定

認証用のCookieおよびOAAMサーバーの必要なHTTPヘッダーを正しく処理するには、OAAMサーバーを標準WebゲートおよびWebサーバーで保護する必要があります。

OAAMサーバーとともに使用するWebゲートを設定するには、次の手順に従います。

1. Apache HTTP Server 2.xをインストールし、WebLogic Serverプラグインを使用して構成します。
Apache HTTP Serverプラグインをインストールして構成する方法の手順は、以下を参照してください。

http://e-docs.bea.com/wls/docs92/plugins/apache.html

2. アプリケーション・サーバー(およびWebサーバー)を停止します。

3. Webゲートのインストール・プログラムを実行します。

4. Webゲートの構成では、次の設定を使用します。

表8-4 OAAMサーバーとともに使用するWebゲートの設定

属性

値

WebゲートID

ohsWebGate

Webゲートのパスワード

<password>

アクセス・サーバーID

<Access ServerId>

ホスト名

<hostname>

ポート

<port>

8.7 OAAM認証を使用するOAMドメインの構成

これでOAAMサーバー認証は、Oracle Access Managerポリシー・ドメインに対して動作可能になっています。

OAAM認証スキーム(厳密認証)を使用するようにOracle Access Managerポリシー・ドメインを変更するには、次の手順に従います。

1. Oracle Access Managerホストにログインします。たとえば、http://hostname/access/oblixなどです。

2. 「ポリシー・マネージャ」をクリックします。

3. 管理者としてログインします。

4. 「ポリシー・ドメイン」をクリックします。

5. 「<ApplicationPolicy >」をクリックします。

6. 「デフォルト・ルール」をクリックします。

7. 「変更」をクリックします。

8. 「認証スキーム」ドロップダウン・セレクタから、「Adaptive Strong Authentication」を選択します。

9. 「OK」をクリックして認証スキームの変更を確認します。

10. 「キャッシュの更新」が選択されていることを確認します。

11. 「保存」をクリックします。

12. Internet Explorerを閉じます。

8.8 OHSの構成

OAAMサーバーのプロキシになるようにOHSを構成します。11g OHSでは、mod_wl_ohs.confを変更することによってこの作業を行います。

プロキシを設定するには、OHS configフォルダに移動してmod_wl_ohs.confファイルを変更する必要があります。追加するエントリの例を次に示します。

<Location /oaam_server>
SetHandler weblogic-handler
WebLogicHost name.mycompany.com
WebLogicPort 24300
</Location>

8.9 Oracle Adaptive Access Managerのプロパティの構成

この統合を機能させるには、Oracle Access Manager用のOracle Adaptive Access Managerのプロパティ、およびCSF内のOracle Access Managerの資格証明を設定する必要があります。

8.9.1 Oracle Access Manager用のOracle Adaptive Access Managerプロパティの設定

注意:
この手順を実行する前に、OAAM管理コンソールを保護するかどうかを考慮に入れる必要があります。

- コンソールを保護する場合は、外部LDAPストアでユーザーおよびグループの作成を処理する必要があります。詳細は、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』のLDAPにおけるOracle Adaptive Access Managerの管理グループとユーザーの作成に関する項を参照してください。
または

- OAAM管理コンソールを保護しない場合は、WebLogic管理コンソールでユーザーを作成する必要があります。
(注意: 環境変数またはJavaプロパティWLSAGENT_DISABLED=trueを設定することによって、OAAM管理コンソールの保護を無効化できます。)

Oracle Access Manager用のOracle Adaptive Access Managerプロパティを設定する手順は、次のとおりです。

1. Oracle Adaptive Access Managerサーバーをホストしている管理対象サーバーを起動します。

2. http://oaam_managed_server_host:oaam_admin_server_port/oaam_adminにあるOracle Adaptive Access Manager管理コンソールにナビゲートします。

3. プロパティ・エディタにアクセス可能なユーザーとしてログインします。

4. Oracle Access Managerのプロパティを設定するため、Oracle Adaptive Access Managerプロパティ・エディタを開きます。
プロパティが存在しない場合は、追加する必要があります。

次のプロパティについて、デプロイ内容に従って値を設定します。

表8-5 Oracle Access Managerのプロパティ値の構成

プロパティ名

プロパティ値

bharosa.uio.default.password.auth.provider.classname

com.bharosa.vcrypt.services.OAMOAAMAuthProvider

bharosa.uio.default.is_oam_integrated

true

oaam.uio.oam.host

アクセス・サーバー・ホスト・マシン名

例: host.oracle.com

oaam.uio.oam.port

アクセス・サーバー・ポート(例: 3004)

oaam.uio.oam.obsso_cookie_domain

アクセス・サーバーWebゲート・エージェントに定義されているCookieドメイン

oaam.uio.oam.java_agent.enabled

デフォルト値はfalseです。OAM Javaエージェント(WLSAgentとも呼ばれます)を使用してアプリケーションを保護する場合にのみ、これをtrueに設定します。

このプロパティを設定する場合は、プロパティoaam.uio.oam.obsso_cookie_nameについて次の点に注意します。

- デフォルトでは、プロパティoaam.uio.oam.obsso_cookie_nameは存在しません。

- Javaエージェントを使用する場合はJavaエージェントによりOAMAuthnCookie Cookieが使用されるため、oaam.uio.oam.java_agent.enabledをtrueに設定するときに、あわせてプロパティoaam.uio.oam.obsso_cookie_nameを値OAMAuthnCookieに設定します。

- Webゲート・エージェントを使用するためにoaam.uio.oam.java_agent.enabledをfalseに設定する場合は、プロパティoaam.uio.oam.obsso_cookie_nameが設定されていればそのプロパティを削除します。

このプロパティの設定は、OAM Javaエージェントを使用する場合にのみ必要です。

oaam.uio.oam.virtual_host_name

OAM Javaエージェント(WLSAgentとも呼ばれます)を使用する場合、デフォルト値はIDMDomainです。

仮想ホスト名がIDMDomainとは異なる場合にのみ、この値を変更します。

oaam.uio.oam.webgate_id

IdentityManagerAccessGate

Oracle Identity Manager統合用のWebゲート・エージェントの名前。デフォルトはIdentityManagerAccessGateです。

oaam.uio.login.page

/oamLoginPage.jsp

oaam.uio.oam.authenticate.withoutsession

false

oaam.uio.oam.secondary.host

セカンダリ・アクセス・サーバー・ホスト・マシンの名前。

このプロパティはデフォルトでは設定されないため、追加する必要があります。

このプロパティは高可用性のために使用されます。このプロパティを使用してフェイルオーバー・ホスト名を指定できます。

oaam.uio.oam.secondary.host.port

セカンダリ・アクセス・サーバーのポート番号

このプロパティはデフォルトでは設定されないため、追加する必要があります。

このプロパティは高可用性のために使用されます。このプロパティを使用してフェイルオーバー・ポートを指定できます。

oaam.oam.csf.credentials.enabled

true

このプロパティにより、資格証明をプロパティ・エディタを使用して管理するのではなく資格証明ストア・フレームワークで構成するように有効化できます。この手順は、資格証明をCSFに安全に保存するために実行します。

Oracle Adaptive Access Managerでのプロパティ設定の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のプロパティ・エディタの使用に関する項を参照してください。

IDMドメイン・エージェントの詳細は、第1.2項「IDMDomainエージェントおよびWebゲートに関する注意」を参照してください。

8.9.2 資格証明ストア・フレームワークでのOracle Access Manager資格証明の設定

Oracle Access Manager Webゲートの資格証明を資格証明ストア・フレームワークに安全に保存できるように、次の手順に従ってパスワード資格証明をOracle Adaptive Access Managerドメインに追加します。

1. http://weblogic_server_host:admin_port/emにあるOracle Fusion Middleware Enterprise Managerコンソールにナビゲートします。

2. WebLogic管理者としてログインします。

3. 左側ペインのナビゲーション・ツリーで「Base_Domain」を展開します。

4. 使用するドメイン名を選択して右クリックし、メニュー・オプションで「セキュリティ」、サブ・メニューで「資格証明」を選択します。

5. 「マップの作成」をクリックします。

6. 「oaam」をクリックしてマップを選択し、「キーの作成」をクリックします。

7. ポップアップ・ウィンドウで「マップの選択」が「oaam」に設定されていることを確認します。

8. 次のプロパティを指定し、「OK」をクリックします。

表8-6 OAAMドメインへのパスワード資格証明の追加

名前

値

マップ名

oaam

キー名

oam.credentials

キー・タイプ

パスワード

ユーザー名

管理者権限を持つOracle Access Managerユーザー

パスワード

Oracle Access Manager Webゲート・エージェントのパスワード

8.10 IP検証の無効化

Oracle Adaptive Access Managerにより認証後にユーザーを保護されたURLに転送するには、IP検証を無効化する必要があります。

IP検証を無効化するには、次の手順に従います。

1. アクセス・システムのメイン・ページで、「アクセス・システム・コンソール」リンクをクリックし、管理者としてログインします。

2. 「アクセス・システム・コンソール」メイン・ページで、「アクセス・システム構成」をクリックしてから「アクセス・ゲート構成」リンクを左ペインでクリックし、「アクセス・ゲートの検索」ページを表示します。

3. 適切な検索条件を入力して、「実行」をクリックし、アクセス・ゲートのリストを表示します。

4. 「アクセス・ゲート」を選択します。
たとえば、oaam11gWgなどです。

5. 「変更」をページの下部でクリックします。

6. 「IPの検証」を「オフ」に設定します。

7. ページの下部にある「保存」をクリックします。

8.11 Oracle Adaptive Access ManagerとOracle Access Managerの統合のテスト

構成をテストするには、アプリケーションにアクセスしてみます。Oracle Access Managerにより、未認証のリクエストが捕捉され、資格証明のチャレンジのためにOAAMサーバーにリダイレクトされます。

9 Windowsネイティブ認証を使用するためのOracle Access Managerの構成

Oracle Access Manager 11gは、Windowsネイティブ認証(WNA)と相互運用します。この章では、WNAと統合する方法について説明します。

この章では、次の内容を説明します。

- 始める前に

- Oracle Access ManagerとWindowsネイティブ認証について

- 前提条件となるタスクの実行

- WNA用のOracle Access Managerの構成

- Kerberosトークンを返すためのブラウザの有効化

- Oracle Access Managerによって保護されたリソースでのWNAの検証

- WNA構成のトラブルシューティング

9.1 始める前に

Kerberosサービスをマップするユーザー・アカウント、それらのアカウントのサービス・プリンシパル名(SPN)、およびキー・タブ・ファイルを含む、完全に構成されたMicrosoft Active Directory認証サービスが設定されている必要があります。詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護 11g リリース1 (10.3.3)』E13707-03を参照してください。

関連項目:
第9.3項「前提条件となるタスクの実行」

9.2 Oracle Access ManagerとWindowsネイティブ認証について

Oracle Access Managerでは、Microsoft Internet Explorerユーザーが各自のデスクトップ資格証明を使用して自動的にWebアプリケーションへの認証を行うように設定できます。これはWindowsネイティブ認証(WNA)と呼ばれています。

クロス・プラットフォーム認証は、Kerberosプロトコルを使用するWindows間のネイティブ認証サービスのネゴシエーション動作をエミュレートすることによって実現します。クロス・プラットフォーム認証を機能させるため、非Windowsサーバー(この場合はOracle Access Manager)は、SPNEGOトークンを解析して、認証に使用されるKerberosトークンを抽出する必要があります。

Oracle Access Managerシングル・サインオンをWNAと組み合せると、ログイン資格証明などが含まれたKerberosセッション・チケットが生成されます。このKerberosセッション・チケットはユーザーには表示されません。

ただし、WNAが実装されていることで、ユーザーは資格証明のチャレンジを別途行うことなくWebアプリケーションをクリックできます。かわりに、資格証明を含んだKerberosセッション・チケットが、ブラウザを通じてOracle Access Managerサーバーに渡されます。サーバーでは、資格証明をWindowsドメイン・サーバー上のKey Distribution Centerサーバー(KDCサーバー)と照らし合わせることによって検証します。(注意: 信頼できるサード・パーティであるKDCは、セッション・チケットを認証してクライアントのアイデンティティを確認するサービス・サーバーなどとして、論理的に別個のサーバーを使用してチケットを許可および処理します。)

認証が成功すると、Webアプリケーションへのアクセスが自動的に許可されます。

たとえば、Kerberos認証スキーム(KerbScheme)およびチャレンジ・メソッドのWNAを使用するOracle Access Managerアプリケーション・ドメインによって、アプリケーションを保護する必要があります。この場合は、ユーザー・アイデンティティ・ストアとしてOracle Access Managerに登録されたWindows Active Directoryインスタンスに、資格証明を保存する必要があります。

9.3 前提条件となるタスクの実行

統合タスクは次のとおりです。

- krb5.confファイルの編集

- サービス・プリンシパル名(SPN)の作成

- Kerberosチケットの取得

9.3.1 krb5.confファイルの編集

krb5.confファイルを編集する手順は、次のとおりです。

1. /etc/krb5.confにあるkrb5.confファイルを開きます。

2. 次のエントリを使用してファイルを更新します。

[Libdefaults]
default_realm = HOLMIUM.NGAM.COM
ticket_lifetime = 600

[realms]

HOLMIUM.NGAM.COM = {
kdc = holmium.us.oracle.com
admin_server = holmium.us.oracle.com
default_domain = HOLMIUM.NGAM.COM
}

[domain_realm]
.holmium.ngam.com = HOLMIUM.NGAM.COM
holmium.ngam.com = HOLMIUM.NGAM.COM

9.3.2 サービス・プリンシパル名(SPN)の作成

このタスクを実行して、SPNを作成し、それをユーザーに関連付けます。

次の手順では、testuserというサンプル・ユーザーが使用されています。Oracle Access Managerサーバーは、mynode47.us.mycorp.comというマシンにデプロイされています。

SPNを作成し、それをユーザーに関連付ける手順は、次のとおりです。

1. Microsoft Active Directoryでユーザーを作成します。

2. ktpassを実行して、サービス・プリンシパル名を作成し、それをこのユーザーに関連付けます。次に例を示します。

ktpass -princ HTTP/service@HOLMIUM.NGAM.COM -pass Oblix!@#
-mapuser testuser -out D:\etc\ keytab.service

各変数は次のとおりです。

- HTTP/service@HOLMIUM.NGAM.COMは、ユーザーtestuserに関連付けられたプリンシパル名です。

- Oblix!@#はtestuserのパスワードです。

- serviceは、Oracle Access Managerサーバーがデプロイされているマシンの名前です。たとえば、serviceがmynode47.us.mycorp.comである場合、プリンシパル名はHTTP/mynode47.us.mycorp.com@HOLMIUM.NGAM.COMです。

- -mapuserパラメータは、このプリンシパル名がアタッチされるユーザーID(samaccountname)を示します。指定されたプリンシパル名は、1つのユーザーにのみアタッチできます。

- D:\etc\ keytab.serviceは、生成するkeytabファイルです。ファイルが生成されたら、Oracle Access Managerサーバーでこのkeytabファイルが使用されます。

3. 新しく作成されたkeytab.servicesファイルを、NGサーバーが実行されているマシンにコピーします。

9.3.3 Kerberosチケットの取得

kinitコマンドを使用して、他のサービスに対するチケットの取得に使用するマスターKerberosチケットを取得します。

kinitコマンドでは/etc/krb5.confファイルを使用するため、このファイルの属性が正しいことを確認します。kinitの基本的な構文は次のとおりです。

kinit  [-k] [-t <keytab_filename>] [<principal>]

Kerberosチケットを取得する手順は、次のとおりです。

1. Oracle Access Managerサーバー・ホスト・マシンで、次の場所からコマンドを実行します。
JDK_HOME/bin

kinit –V HTTP/mynode47.us.mycorp.com@HOLMIUM.NGAM.COM –k –t /scratch/kerberos/keytab.service

説明:

- -Vは冗長モードを指定します。

- プリンシパル名はHTTP/mynode47.us.mycorp.com@HOLMIUM.NGAM.COMです。

- -kは、keytabを使用するようにコマンドに指示します。

- -tは、使用するkeytabファイル名です。

2. 「WNA用のOracle Access Managerの構成」に進みます。

9.4 WNA用のOracle Access Managerの構成

この項では、次のトピックと手順について説明します。

- Oracle Access ManagerでのKerberos認証モジュールの設定

- Windowsネイティブ認証用のOracle Access Manager認証スキームの設定

- ユーザー・アイデンティティ・データ・ストアとしてのMicrosoft Active Directoryの登録

9.4.1 Oracle Access ManagerでのKerberos認証モジュールの設定

WNAを使用するには、Oracle Access Managerポリシー構成ファイルoam-policy.xmlでKerberos認証モジュール用の特定の値を定義する必要があります。

有効なOracle Access Manager管理者の資格証明を持つユーザーは、次のタスクを実行して、Oracle Access ManagerでKerberos認証モジュール用の特定の値を定義できます。

Kerberos認証モジュールを設定する手順は、次のとおりです。

注意:
これらの手順では、手動で構成ファイルを編集する必要があります。OAM管理コンソールを使用してこのタスクを実行することもできます。

1. 次のパスにあるoam-config.xmlファイルを探します。
Middleware_Home/user_projects/domains/IDMDomain/config/fmwconfig/oam-config.xml

2. oam-config.xmlファイルのバックアップ・コピーを作成し、後で必要になる場合に備えて別の場所に保存します。

3. oam-config.xmlファイルを編集して、Kerberosモジュールのパラメータおよび値を定義します。これらのパラメータの例では、Kerberosプリンシパルと暗号化されたキーのペアを含むkeytabファイル、およびKDCの場所などのKerberos構成情報を含むkrb5.confファイルを使用しています。(注意: これらのファイルはKerberosのインストール時に作成され、インストール・ディレクトリに表示されます。)このファイルを次のように編集します。

<authn-module name="Kerberos" type="KERBEROS" id="4" description="Kerberos
Module">
<property value="/u01/app/oracle/install/fmw11g/Middleware/wna/<host_
name>.keytab" name="keytabfile"/>
<property value="HTTP/<host_name>.oracle.com" name="principal"/>
<property value="/u01/app/oracle/install/fmw11g/Middleware/wna/krb5.conf"
name="krbconfigfile"/>
</authn-module>

ここで、「host_name」はOracle Access Managerサーバー・ホストの名前です。

4. ファイルを保存します。

5. 「Windowsネイティブ認証用のOracle Access Manager認証スキームの設定」に進みます。

9.4.2 Windowsネイティブ認証用のOracle Access Manager認証スキームの設定

有効なOracle Access Manager管理者の資格証明を持つユーザーは、次のタスクを実行して、Oracle Access ManagerでKerberos認証モジュール用の特定の値を定義できます。

Oracle Access Manager管理コンソールを使用して、保護されたページの認証ポリシーがKerberos認証スキームを使用するように設定されていること、およびそのスキームでチャレンジ・メソッドとしてWindowsネイティブ認証を使用することを確認できます。

Kerberos認証スキームを設定する手順は、次のとおりです。

1. WNAをチャレンジ・メソッドとして使用するように、Kerberos認証スキームを構成します。

1. Oracle Access Managerの「ポリシー構成」タブから、ナビゲーション・ペインで「認証スキーム」ノードを展開します。

2. 「KerbScheme」をダブルクリックして、構成の詳細を表示します。

3. 必要に応じて、「チャレンジ・メソッド」を「WNA」に変更します。

4. 「適用」をクリックして、確認ウィンドウを閉じます。

5. ページを閉じます。

2. Kerberos認証スキームを使用するように、リソースを保護するアプリケーション・ドメインを次のように構成します。

1. Oracle Access Managerの「ポリシー構成」タブから、ナビゲーション・ペインで「アプリケーション・ドメイン」ノードを展開します。

2. 目的のアプリケーション・ドメイン名を見つけて展開します。

3. アプリケーション・ドメイン・ノードで「認証ポリシー」ノードを展開して、既存のポリシーを表示します。

4. 保護されたリソース・ポリシーをダブルクリックして、関連するページを表示します。

5. 認証スキーム: リストから「KerbScheme」を選択します。

6. 「適用」をクリックして、確認ウィンドウを閉じます。

7. ページを閉じます。

3. 「ユーザー・アイデンティティ・データ・ストアとしてのMicrosoft Active Directoryの登録」に進みます。

9.4.3 ユーザー・アイデンティティ・データ・ストアとしてのMicrosoft Active Directoryの登録

Windowsネイティブ認証を使用する場合は、Oracle Access Managerのユーザー・アイデンティティ・ストアとして登録されたMicrosoft Active Directoryに、ユーザー資格証明が存在する必要があります。

有効なOracle Access Manager管理者の資格証明を持つユーザーは、次のタスクを実行して、Microsoft Active DirectoryをOracle Access Managerのユーザー・ストアとして登録できます。

前提条件

Kerberosサービスをマップするユーザー・アカウント、それらのアカウントのサービス・プリンシパル名(SPN)、およびキー・タブ・ファイルを含む、完全に構成されたMicrosoft Active Directory認証サービスが設定されている必要があります。詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護 11g リリース1 (10.3.3)』を参照してください。

Microsoft Active DirectoryをOracle Access Managerに登録する手順は、次のとおりです。

1. 「システム構成」タブから、ナビゲーション・ペインで「データソース」ノードを展開します。

2. 「ユーザー・アイデンティティ・ストア」ノードをクリックし、ツール・バーの「追加」ボタンをクリックします。

3. Microsoft Active Directoryについての必要な値を入力します。次に例を示します。
名前: UserIdentityStoreAD
LDAP URL: ldap://ldap_host.domain.com:389
プリンシパル: CN=Administrator,CN=Users,DC=dept,DC=domain,DC=com
資格証明: ********
ユーザー検索ベース: CN=Users,DC=dept,DC=domain,DC=com
ユーザー名属性: UserPrincipalName
サブスクライバ名: CN=Users,DC=dept,DC=domain,DC=com
LDAPプロバイダ: AD

4. プライマリ: 「プライマリ」ボタンをクリックして、これをOracle Access Managerのプライマリ・ユーザー・アイデンティティ・ストアにします。

5. ロール・マッピング: デフォルトでは、Oracle Access Manager管理者のロールはWebLogic管理者のロール(管理者)と同じです。ただし、新しいOracle Access Manager管理者のロールをOracle Access Manager 11gのプライマリ・ユーザー・アイデンティティ・ストアに定義できます。詳細は、『Oracle Fusion Middleware Oracle Access Manager管理者ガイド』を参照してください。

6. 「適用」をクリックして変更を送信し、確認ウィンドウを閉じます。

7. Oracle Access Manager管理サーバーおよび管理対象サーバーを再起動します。

9.4.4 Oracle Access Manager構成ファイルの検証

oam-config.xmlファイルで、次のものが指定されていることを検証します。

- krb5.confファイルへのパス

- keytabファイルへのパス

- KDCに接続するプリンシパル

前述の手順で使用した例の場合、oam-config.xmlファイルは次のようになります。

<Setting Name="KerberosModules" Type="htf:map">
<Setting Name="6DBSE52C" Type="htf:map">
<Setting Name="principal"           Type="xsd:string">HTTP/mynode47.us.mycorp.com@HOLMIUM.NGAM.COM
</Setting>
<Setting Name="name" Type="xsd:string">XYZKerberosModule</Setting>
<Setting Name="keytabfile"           Type="xsd:string">/scratch/kerberos/keytab.service
</Setting>
<Setting Name="krbconfigfile" Type="xsd:string">/etc/krb5.conf</Setting>
</Setting>
</Setting>

9.5 Kerberosトークンを返すためのブラウザの有効化

次の手順を使用して、Kerberosトークンを返すようにInternet ExplorerまたはMozilla Firefoxブラウザを構成します。

Internet ExplorerでKerberosトークンを有効化する手順は、次のとおりです。

1. Active Directoryドメイン内のWindowsホストに、ドメイン・ユーザーとしてサインインします。

2. Internet Explorerブラウザを開きます。

3. 「ツール」メニューから「インターネット オプション」をクリックし、「セキュリティ」→「ローカル イントラネット」→「詳細設定」をクリックします。

4. 「詳細設定」タブで、「セキュリティ」セクションの「統合Windows認証を使用する」の横にあるボックスを選択して「OK」をクリックします。

5. Oracle Access Manager CCホストまたはドメイン名を「ローカル イントラネット」ゾーンに追加します(http://mynode.myhost:myportの形式を使用します)。

6. Internet Explorerブラウザを再起動して、変更を有効にします。

Mozilla FirefoxでKerberosトークンを有効化する手順は、次のとおりです。

1. ブラウザでabout:configに移動します。

2. Oracle Access Manager CCホストまたはドメイン名をnetwork.negotiate-auth.trusted-urisに追加します。network.negotiate-auth.trusted-uris=http://mynode.myhost:myportの形式を使用します。

9.6 Oracle Access Managerによって保護されたリソースでのWNAの検証

WNA認証は内部的に行われます。

- ユーザーは、認証のためにOracle Access Managerサーバーにリダイレクトされます。

- Oracle Access Managerサーバーは、www-negotiateヘッダーにより認証をリクエストします。

- ブラウザは、認証のためにOracle Access ManagerサーバーにKerberos SPNEGOトークンを送信します。

- Oracle Access Managerサーバーは、ユーザーのSPNEGOトークンを認証し、ユーザーを元のOSSOエージェントまたはOracle Access ManagerエージェントにCookieとともにリダイレクトして、リソースへのアクセスを得ます。

Oracle Access Managerによって保護されたリソースでWNAを検証する手順は、次のとおりです。

1. Active Directoryドメイン内のWindowsシステムに、ドメイン・ユーザーとしてログインします。Internet Explorerで、統合Windows認証が有効になっていることを確認します(「ツール」→「インターネット オプション」→「統合Windows認証を使用する」→ブラウザの再起動)。

2. Oracle Access Managerに登録されたホスト対象のActive Directoryに保存されているWindowsドメイン資格証明を使用して、Windows OSクライアントにサインインします。

3. IEブラウザを起動し、OMAMによって保護されたリソースのURLを入力します。

4. 追加ログインなしでアクセスが許可されることを確認します。

9.7 WNA構成のトラブルシューティング

原因

Oracle Access Managerが使用するアイデンティティ・ストアがWindows Active Directoryを指していない可能性があります。デフォルトでは、アイデンティティ・ストアは組込みLDAPです。

解決策

1. Oracle Access Manager管理コンソールで、アイデンティティ・ストアの構成、「システム構成」、「データソース」、「ユーザー・アイデンティティ・ストア」を確認します。

2. LDAPストア設定がActive Directoryを指していることを確認します。

索引

A  B  C  D  F  I  K  N  O  P  S  T  V  W

A

アクセス・ゲート, 新規作成, 8.3

アカウントのロックとロック解除, 2.8.4.4

処理フロー, 2.8.4.4

認証メカニズムとしてのAdaptive Strong Authenticator, 8.4 Adaptive Strong Authenticator認証スキーム, 作成, 8.4 拡張認証, 2.2 拡張統合, 2.8.2.1

処理フロー, 6.3.1

拡張統合

手順, 6.3.2

認証

フェデレーテッド環境, 2.2

B

基本統合

前提条件, 6.2.2

C

大/小文字を区別しないログイン, 6.4.2

チャレンジのリセット, 2.8.4.6, 2.8.4.6

処理フロー, 2.8.4.6

チャレンジの設定, 2.8.4.5, 2.8.4.5

処理フロー, 2.8.4.5

configureOAAMのWLSTコマンド

OAMとOAAMの統合, 6.4.1

D

パスワード管理のデプロイメント・オプション, 2.8.3

厳密認証のデプロイメント・オプション, 2.8.2

デバイスのフィンガープリント処理, 6.3.1

ドメイン・エージェント, 1.2

F

フロー

アカウントのロックとロック解除, 2.8.4.4

Oracle Adaptive Access Managerでの認証, 2.8.2.2

チャレンジのリセット, 2.8.4.6

チャレンジの設定, 2.8.4.5

パスワードの変更, 2.8.4.2

パスワードを忘れた場合, 2.8.4.3

Oracle Adaptive Access Managerとのネイティブ統合, 6.2.1

パスワード管理, 2.8.3.1, 2.8.3.2

自己登録, 2.8.4.1

パスワードを忘れた場合, 2.8.4.3

処理フロー, 2.8.4.3

不正ルール, 6.3

I

アイデンティティ管理, 2.2, 2.3

アイデンティティ管理の統合

アプローチ, 2.1

IDMDomainエージェント

およびWebゲート, 1.2

統合

Oracle Access Manager 10g, 8

K

KBA, 2.8.1.2, 7.1, 7.1

Kerberos, 3.1, 9.3.3

ナレッジベース認証(KBA), 6.3

N

ネイティブおよび拡張統合

プロセス・フロー, 2.8.2.1

Oracle Adaptive Access Manager, 2.8.2.1

ネイティブ統合, 2.8.2.1 ネイティブ統合

手順, 6.2.3

処理フロー, 6.2.1

ネットワーク・アサーション・プロトコル, 6.3.1

O

パートナ・アプリケーションとしてのOAAMサーバー, 7.10.1.1

OAAMAdvanced認証スキーム, 6.3.4.3

OAAMBasic認証スキーム, 6.1

OAMAgent, 1.2

OHSでのデフォルト, 1.2

oam-config.xmlファイル, 6.2.3 OAMとOAAMの統合

configureOAAMのWLSTコマンド, 6.4.1

Oracle Access Manager

およびOracle Adaptive Access Manager, 1.3.4, 2.5, 2.8.1.1, 6, 7, 8

およびOracle Identity Federation, 4

およびOracle Identity Federation, 1.3.2, 2.7, 2.7, 4.1.1

およびOracle Identity Manager, 1.3.3, 2.3, 2.3, 2.8.1.1, 7

およびOracle Identity Navigator, 1.3.1, 2.6, 3

およびWNA, 9

統合, 1.1, 2

Kerberos認証, 9.4.2

統合手順の場所, 2.2

統合の概要, 2

Webゲートの資格証明, 6.3.4.2

Oracle Adaptive Access ManagerおよびOracle Identity Manager, 2.8, 7

Oracle Identity ManagerおよびOracle Adaptive Access Manager, 2.8, 2.8

Oracle Access Manager 10gの統合, 8 Adaptive Strong AuthenticatorフロントエンドWebサーバー用のOracle Access Managerアクセス・ゲート, 構成, 8.3 Adaptive Strong Authenticator用のOracle Access Manager認証スキーム, 構成, 8.4 Oracle Access Managerの資格証明

資格証明ストア・フレームワーク, 6.3.4.2

Adaptive Strong Authenticator認証を使用するためのOracle Access Managerドメイン, 構成, 8.7 Adaptive Strong Authenticator用のOracle Access Managerホスト識別子, 構成, 8.5 Oracle Adaptive Access Manager, 1.3.4, 1.3.4, 2.8, 6

およびOracle Access Manager, 8

ネイティブ認証のための統合, 2.5

ネイティブ統合, 2.5

Oracle Access Managerのプロパティ, 6.3.4.1

Oracle Identity Managerのプロパティ, 7.11.1

リソース保護, 7.10.4

厳密認証, 2.8.2

Oracle Access ManagerおよびOracle Identity Manager, 2.8

Oracle Identity Manager, 2.8

Oracle Adaptive Access Managerスナップショット, 7.6.2.2 Oracle Adaptive Access ManagerとOracle Access Managerの統合、テスト, 8.11 Oracle HTTP Server, 3.1

およびOAMAgent, 1.2

およびWebゲート, 1.2

Oracle Identity Federation, 1.3.2, 1.3.2, 2.7, 4

およびOracle Access Manager, 2.7, 4.1.1

認証モードでの統合, 4.4

SPモードでの統合, 4.3

統合モード, 4.1.1

統合の前提条件, 4.1.2

SP統合エンジン, 4.1.1

Oracle Identity Management

コンポーネント, 1, 2

Oracle Identity Manager, 1.3.3, 1.3.3

およびOracle Access Manager, 2.3

3方向統合のプロパティの構成, 7.12

コンソール, 2.2

資格証明ストア・フレームワーク内の資格証明, 7.11.2

アイデンティティ管理, 2.3

Oracle Adaptive Access Managerとの統合, 7.11

パスワード管理, 2.8

統合の前提条件, 2.3

SSO有効のURL, 2.4

Webゲートの資格証明, 7.11.2

Oracle Access ManagerおよびOracle Adaptive Access Manager, 2.8, 2.8

Oracle Adaptive Access Manager, 2.8

Oracle Identity Navigator, 1.3.1, 1.3.1, 2.6, 3

コンソール, 2.2

SSO有効のURL, 2.6

SSO有効のURL, 2.6, 3

WNA認証スキーム, 2.6

OTP, 2.8.1.2, 7.1 OTP Anywhere, 6.3

P

パスワードの変更, 2.8.4.2

処理フロー, 2.8.4.2

パスワード管理, 2.2, 2.8.3

処理フロー, 2.8.3.1

3方向統合, 2.8.3

Oracle Identity Manager, 2.8.3.1

パスワード管理シナリオ, 2.8.4 認証前と認証後, 2.2

S

自己登録, 2.8.4.1

処理フロー, 2.8.4.1

SP統合エンジン

Oracle Identity Federation用, 4.1.1

SSO有効のURL

Oracle Identity Navigator用, 3

Oracle Identity Navigator, 2.6

厳密認証, 2.8.2 厳密認証, 6.3

T

TAPscheme

アイデンティティ管理製品リソース用の構成, 7.13

3方向統合, 7

統合タスクの概要, 7.4

前提条件, 7.3

手順, 7.8

Trusted Authentication Protocol (TAP), 7.10

V

仮想認証デバイス, 6.3

W

WebGate

およびOracle Identity Federation, 4.1.1

Adaptive Strong AuthenticatorフロントエンドWebサーバー用のWebゲート, インストール, 8.6 Webゲート, 1.2

およびIDMDomainエージェント, 1.2

Windowsネイティブ認証, 3.1, 9 WNA認証スキーム

Oracle Identity Navigator用, 2.6, 2.6

Copyright © 2000, 2011, Oracle and/or its affiliates. All rights reserved.