Oracle® Fusion Middleware Oracle Privileged Account Manager管理者ガイド

11g リリース2(11.1.2)

B69534-01(原本部品番号:E27152-01)

目次

例一覧

図一覧

表一覧

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

このガイドの最新情報

- 11gリリース2 (11.1.2)の新機能

第I部 Oracle Privileged Account Managerの概要

1 Oracle Privileged Account Managerの概要

- 1.1 Oracle Privileged Account Managerとは

- 1.2 Oracle Privileged Account Managerを使用する理由

- 1.2.1 機能

- 1.2.2 特長

- 1.2.3 アーキテクチャおよびトポロジ

- 1.2.4 Oracle Privileged Account Manager管理のCSF資格証明

- 1.2.4.1 プロビジョニング

- 1.2.4.2 ライフサイクル管理

- 1.2.4.3 アプリケーション負荷

- 1.3 Oracle Privileged Account ManagerのOracle Fusion Middlewareへのデプロイ方法

2 Oracle Privileged Account Managerのセキュリティについて

- 2.1 概要

- 2.2 Oracle Privileged Account Managerの認証について

- 2.2.1 Oracle Privileged Account Managerグラフィカル・ユーザー・インタフェースの認証

- 2.2.2 Oracle Privileged Account Managerサーバーの認証

- 2.3 Oracle Privileged Account Managerの認可について

- 2.3.1 管理ロールのタイプ

- 2.3.2 エンド・ユーザー

- 2.4 Oracle Privileged Account Managerの保護

- 2.4.1 ネットワーク・チャネルの保護

- 2.4.1.1 ターゲット・システムへの接続

- 2.4.1.2 エンド・ユーザー・インタフェースの保護

- 2.4.2 共有アカウントの保護

- 2.4.2.1 共有アカウントとは

- 2.4.2.2 セキュリティの制限

- 2.4.2.3 アカウントを保護する方法

- 2.4.3 パスワード・リセットの有効化

- 2.4.4 複数パスを通じた割当ての回避

- 2.4.5 高度なパスワード・ポリシーの定義

第II部 基本的な管理

3 Oracle Privileged Account Managerの管理の概要

- 3.1 11gリリース2 (11.1.2)のインストール後の作業

- 3.2 Oracle Privileged Account ManagerでのICFコネクタのデプロイ

- 3.2.1 ICFコネクタについて

- 3.2.2 Oracle Privileged Account Managerコネクタ・バンドルの場所の特定

- 3.2.3 ICFコネクタの使用

- 3.2.4 既存のOracle Privileged Account Managerインストール環境への新規コネクタの追加

- 3.2.4.1 オラクル社提供によるコネクタの追加

- 3.2.4.2 カスタム・コネクタの追加

- 3.3 Oracle Privileged Account Managerの起動

- 3.3.1 WebLogicの起動

- 3.3.2 Oracle Privileged Account ManagerでのSSL通信の構成

- 3.3.3 ユーザーへのアプリケーション構成者ロールの割当て

- 3.3.4 Oracle Privileged Account ManagerのWebベースのコンソールの起動

- 3.4 Oracle Privileged Account Managerのコンソールのナビゲート

- 3.4.1 「ホーム」アコーディオンの使用

- 3.4.2 「レポート」アコーディオンの使用

- 3.4.3 「管理」アコーディオンの使用

- 3.4.4 検索ポートレットの使用

- 3.4.5 検索結果表の使用

4 Oracle Privileged Account Managerサーバーの追加と管理

- 4.1 概要

- 4.2 前提作業

- 4.3 Oracle Privileged Account Managerの外部アイデンティティ・ストアの構成

- 4.3.1 外部アイデンティティ・ストアの構成

- 4.3.2 エンタープライズ・ロールの構成

- 4.4 Oracle Privileged Account Managerサーバーの管理

- 4.4.1 Oracle Privileged Account Managerサーバーへの接続の構成

- 4.4.2 サーバー情報の更新

5 Oracle Privileged Account Managerの構成および管理

- 5.1 Oracle Privileged Account Managerの管理

- 5.1.1 ポリシーの使用

- 5.1.1.1 ポリシーの概要

- 5.1.1.2 ポリシーの表示

- 5.1.1.3 デフォルト・パスワード・ポリシーの変更

- 5.1.1.4 デフォルト使用ポリシーの変更

- 5.1.1.5 新規パスワード・ポリシーの作成

- 5.1.1.6 新規使用ポリシーの作成

- 5.1.1.7 ポリシーの検索

- 5.1.1.8 ポリシーの割当て

- 5.1.1.9 ポリシーの削除

- 5.1.2 ターゲットの使用

- 5.1.2.1 ターゲットとは

- 5.1.2.2 Oracle Privileged Account Managerへのターゲットの追加

- 5.1.2.3 ターゲットの検索

- 5.1.2.4 ターゲットを開く

- 5.1.2.5 Oracle Privileged Account Managerからのターゲットの削除

- 5.1.3 特権アカウントの使用

- 5.1.3.1 特権アカウントとは

- 5.1.3.2 Oracle Privileged Account Managerへの特権アカウントの追加

- 5.1.3.3 特権アカウントの検索

- 5.1.3.4 アカウントを開く

- 5.1.3.5 アカウント・パスワードの管理

- 5.1.3.6 アカウントのチェックアウト

- 5.1.3.7 アカウントのチェックイン

- 5.1.3.8 Oracle Privileged Account Managerからの特権アカウントの削除

- 5.1.4 権限受領者の使用

- 5.1.4.1 権限受領者とは

- 5.1.4.2 ユーザーへのアカウントの付与

- 5.1.4.3 グループへのアカウントの付与

- 5.1.4.4 権限受領者の検索

- 5.1.4.5 権限受領者を開く

- 5.1.4.6 アカウントからの権限受領者の削除

- 5.1.5 レポートの使用

- 5.1.5.1 デプロイメント・レポートの使用

- 5.1.5.2 使用状況レポートの使用

- 5.1.5.3 エラー・レポートの使用

- 5.2 セルフサービスの使用

- 5.2.1 セルフサービスのワークフロー

- 5.2.2 アカウントの検索

- 5.2.3 アカウントのチェックアウトおよびチェックイン

- 5.2.4 チェックアウトしたアカウントの表示

- 5.3 テスト環境から本番環境への移行

6 Oracle Privileged Account Managerの監査およびロギングの管理

- 6.1 Oracle Privileged Account Managerの監査について

- 6.1.1 Oracle Privileged Account Managerでの監査の構成

- 6.1.1.1 Oracle Privileged Account Managerでのファイル・ベース監査の構成

- 6.1.1.2 Oracle Privileged Account Managerでのデータベース・ベース監査の構成

- 6.1.1.3 BI PublisherでのOracle Privileged Account Manager監査レポートのデプロイ

- 6.1.1.4 監査ロギング・レベルの設定

- 6.1.2 Oracle Privileged Account Manager監査レポートについて

- 6.2 Oracle Privileged Account Managerのロギングについて

- 6.2.1 基本的なロギングの構成

- 6.2.2 ロギング・データの例

第III部 高度な管理

7 統合ソリューション向けのOracle Privileged Account Managerの構成

- 7.1 Oracle Identity Managerとの統合

- 7.1.1 概要

- 7.1.2 統合のためのOracle Privileged Account Managerの構成

- 7.1.3 Oracle Identity Managerコアの統合

- 7.1.4 Oracle Identity Manager管理者の構成

- 7.1.5 Oracle Identity Managerワークフローの管理

- 7.2 Oracle Access Management Access Managerとの統合

- 7.2.1 前提作業

- 7.2.2 シングル・サインオンの有効化

- 7.2.2.1 エージェント用の新しいリソースの構成

- 7.2.2.2 Access Managerドメイン用のOracle HTTP Serverの構成

- 7.2.2.3 新しいアイデンティティ・プロバイダの追加

- 7.2.2.4 複数のアプリケーションに対するアクセスの構成

第IV部 付録

A コマンドライン・ツールの使用

- A.1 コマンドライン・ツールの起動

- A.2 Oracle Privileged Account Managerコマンド

- A.2.1 コマンドの発行

- A.2.2 addaccountコマンド

- A.2.3 addtargetコマンド

- A.2.4 checkinコマンドおよびcheckoutコマンド

- A.2.5 displayallaccountsコマンド

- A.2.6 displayallgroupsコマンド

- A.2.7 displayalltargetsコマンド

- A.2.8 displayallusersコマンド

- A.2.9 displaycheckedoutaccountsコマンド

- A.2.10 displaydomaintreeコマンド

- A.2.11 displaytargettypetreeコマンド

- A.2.12 grantgroupaccessコマンド

- A.2.13 grantuseraccessコマンド

- A.2.14 removeaccountコマンド

- A.2.15 removegroupaccessコマンド

- A.2.16 removetargetコマンド

- A.2.17 removeuseraccessコマンド

- A.2.18 resetpasswordコマンド

- A.2.19 retrieveaccountコマンド

- A.2.20 retrievegranteesコマンド

- A.2.21 retrievegroupコマンド

- A.2.22 retrievetargetコマンド

- A.2.23 retrieveuserコマンド

- A.2.24 searchaccountコマンド

- A.2.25 searchgroupコマンド

- A.2.26 searchtargetコマンド

- A.2.27 searchuserコマンド

- A.2.28 showpasswordコマンド

B Oracle Privileged Account ManagerのRESTfulインタフェースの使用

- B.1 ターゲット・リソース

- B.1.1 ターゲット属性の取得

- B.1.2 ターゲットの追加

- B.1.3 ターゲットの検証

- B.1.4 ターゲットの取得

- B.1.5 ターゲットの更新

- B.1.6 ターゲットの削除

- B.1.7 ターゲットの検索

- B.1.8 使用可能なアカウントの取得

- B.1.9 ターゲットで登録されているアカウントの取得

- B.1.10 ターゲット・タイプの取得

- B.2 アカウント・リソース

- B.2.1 ターゲットへのアカウントの追加

- B.2.2 アカウントの検証

- B.2.3 アカウントの取得

- B.2.4 パスワードのリセット

- B.2.5 アカウントの更新

- B.2.6 アカウントの削除

- B.2.7 アカウントに対するユーザーまたはロールのアクセス権の付与

- B.2.8 アカウントに対するユーザーまたはロールのアクセス権の削除

- B.2.9 アカウントの権限受領者の取得

- B.2.10 アカウントのチェックアウト

- B.2.11 アカウントのチェックイン

- B.2.12 アカウントをチェックアウトしたユーザーの取得

- B.2.13 パスワードの表示

- B.3 UIリソース

- B.3.1 アカウントの検索

- B.3.2 すべてのチェックアウト済アカウントの取得

- B.4 ユーザー・リソース

- B.4.1 ユーザーの取得

- B.4.2 ユーザーの検索

- B.4.3 ユーザーの拡張検索

- B.5 グループ・リソース

- B.5.1 グループの取得

- B.5.2 グループの検索

- B.5.3 グループの拡張検索

- B.6 使用ポリシー・リソース

- B.6.1 使用ポリシーの作成

- B.6.2 使用ポリシーの取得

- B.6.3 使用ポリシーの更新

- B.6.4 使用ポリシーの削除

- B.7 パスワード・ポリシー・リソース

- B.7.1 パスワード・ポリシーの作成

- B.7.2 パスワード・ポリシーの取得

- B.7.3 パスワード・ポリシーの削除

- B.7.4 パスワード・ポリシーの更新

- B.8 ポリシー・リソース

- B.8.1 ポリシーの検索

- B.8.2 デフォルト・ポリシーの取得

C Oracle Privileged Account Managerのトラブルシューティング

- C.1 一般的な障害と解決策

- C.1.1 Oracle Privileged Account ManagerコンソールがOracle Privileged Account Managerサーバーに接続できない

- C.1.2 ターゲットまたはアカウントにアクセスできない

- C.1.3 権限受領者がチェックアウトを実行できない

- C.1.4 コンソールの変更が開いている他のページに反映されない

- C.1.5 グループ・メンバーシップの変更がOracle Privileged Account Managerに即座に反映されない

- C.2 Oracle Privileged Account Managerに関する問題の診断

- C.2.1 ログ・レベルの向上

- C.2.2 ログの例外の調査

- C.3 詳細情報

用語集

索引

例一覧

- B-1 サポートされているターゲット・タイプと属性のJSON表記の出力

- B-2 ターゲットの追加のサンプルJSON表現

- B-3 ターゲットの追加または検証のサンプルJSON表現

- B-4 ターゲットのサンプルJSON表現

- B-5 ターゲット変更のサンプルJSONオブジェクト

- B-6 ターゲット収集のサンプルJSON表現

- B-7 アカウント収集のサンプルJSON表現

- B-8 アカウントのURI収集のサンプルJSON表現

- B-9 サポートされるターゲット・タイプのサンプルJSON表現

- B-10 アカウントの追加または検証のサンプルJSON表現

- B-11 アカウントの追加または検証のサンプルJSON表現

- B-12 アカウントのサンプルJSON表現

- B-13 新規パスワードのサンプルJSON表現

- B-14 アカウント変更のサンプルJSON表現

- B-15 権限受領者の追加のサンプルJSON表現

- B-16 権限受領者の削除のサンプルJSON表現

- B-17 権限受領者のサンプルJSON表現

- B-18 アカウント・トークンのサンプルJSON表現

- B-19 アカウントをチェックアウトしたユーザーのサンプルJSON表現

- B-20 アカウント・トークンのサンプルJSON表現

- B-21 アカウント収集のサンプルJSON表現

- B-22 アカウント収集のサンプルJSON表現

- B-23 ユーザーのサンプルJSON表現

- B-24 ユーザーのサンプルJSON表現

- B-25 ユーザーのサンプルJSON表現

- B-26 グループのサンプルJSON表現

- B-27 グループのサンプルJSON表現

- B-28 グループのサンプルJSON表現

- B-29 使用ポリシーの作成のサンプルJSON表現

- B-30 使用ポリシーのサンプルJSON表現

- B-31 使用ポリシーの変更のサンプルJSON表現

- B-32 パスワード・ポリシーの作成のサンプルJSON表現

- B-33 パスワード・ポリシーのサンプルJSON表現

- B-34 パスワード・ポリシーの変更のサンプルJSON表現

- B-35 ポリシーのサンプルJSON表現

- B-36 ポリシーのサンプルJSON表現

図一覧

- 1-1 Oracle Privileged Account Managerのアーキテクチャおよびトポロジ

- 1-2 Oracle Privileged Account Managerのプロビジョニング・プロセス

- 1-3 Oracle Fusion Middleware内にデプロイされたOracle Privileged Account Manager

- 2-1 Oracle Privileged Account Managerでのトラストベースの認証

- 3-1 検索ポートレットの例

- 3-2 検索結果表の例

- 4-1 サーバー・アーキテクチャ

- 5-1 チェックアウトできるアカウント

- 6-1 Oracle Privileged Account Manager監査レポートの例

- 6-2 ロギング・レポートの例

- 7-1 Oracle Identity Managerのワークフロー・トポロジ

表一覧

- 2-1 サポートされる管理ロール

- 3-1 デフォルト・アプリケーションURL

- 3-2 デフォルト・ポート

- 3-3 トラストストアの場所

- 3-4 検索ポートレットのパラメータ

- 3-5 検索結果表の機能

- 4-1 参照マニュアル

- 5-1 管理ロールに基づく管理者ワークフロー

- 5-2 ターゲットの基本構成パラメータ

- 5-3 ターゲットの拡張構成パラメータ

- 6-1 監査されるOPAMイベント

Oracle® Fusion Middleware

Oracle Privileged Account Manager管理者ガイド

11g リリース2(11.1.2)

B69534-01(原本部品番号:E27152-01)

2012年7月

Oracle Fusion Middleware Oracle Privileged Account Manager 11g Release 2 (11.1.2)管理者ガイド

B69534-01

Copyright © 2012, Oracle and/or its affiliates.All rights reserved.

原本著者:  K. C. Francis

原本協力者: Buddhika Kottahachchi, Arun Theebaprakasam, An Li, Olaf Stullich, Fannie Ho, Vishal Mishra, Himanshu Sharma, Trish Fuzesy, and Mark Wilcox

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントが、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供される場合は、次のNoticeが適用されます。

U.S. GOVERNMENT RIGHTS Programs, software, databases, and related documentation and technical data delivered to U.S. Government customers are "commercial computer software" or "commercial technical data" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, the use, duplication, disclosure, modification, and adaptation shall be subject to the restrictions and license terms set forth in the applicable Government contract, and, to the extent applicable by the terms of the Government contract, the additional rights set forth in FAR 52.227-19, Commercial Computer Software License (December 2007).Oracle America, Inc., 500 Oracle Parkway, Redwood City, CA 94065.

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、このソフトウェアまたはハードウェアを安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle およびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXはThe Open Groupの登録商標です。

このソフトウェアまたはハードウェアおよびドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

はじめに

『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』へようこそ。このマニュアルでは、エンタープライズ・インフラストラクチャでOracle Privileged Account Managerを使用および管理する際に必要な情報を提供します。

対象読者

『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』は、ターゲット・システムおよびクライアント・アプリケーションへの接続、ターゲット・システムのアクセス・パスワードの構成、およびロールの作成とそのロールへのユーザーの割当てができるOracle Privileged Account Manager管理者を対象としています。

管理者がこのドキュメントのコマンドライン構文と例を理解するには、UNIXオペレーティング・システムまたはMicrosoft Windowsオペレーティング・システムをよく理解している必要があります。また、Lightweight Directory Access Protocol (LDAP)も十分に理解している必要があります。

このマニュアルは、管理権限は付与されていないが、特権アカウントにチェックイン/チェックアウトする権限が付与されているエンド・ユーザーも対象としています。

ドキュメントのアクセシビリティについて

オラクル社は、オラクル社の製品、サービスおよびサポート・ドキュメントを、障害のあるお客様を含むすべてのお客様にご利用いただけることを目標としています。オラクル社のドキュメントには、ユーザーが障害支援技術を使用して情報を利用できる機能が組み込まれています。HTML形式のドキュメントで用意されており、障害のあるお客様が簡単にアクセスできるようにマークアップされています。標準規格は改善されつつあります。オラクル社はドキュメントをすべてのお客様がご利用できるように、市場をリードする他の技術ベンダーと積極的に連携して技術的な問題に対応しています。

オラクル社のアクセシビリティへの取組みの詳細は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=docaccを参照してください。

ドキュメント内のサンプル・コードのアクセシビリティについて

スクリーン・リーダーは、ドキュメント内のサンプル・コードを正確に読めない場合があります。コード表記規則では閉じ括弧のみを行に記述する必要があります。しかし、一部のスクリーン・リーダーは括弧のみの行を読まない場合があります。

外部Webサイトのドキュメントのアクセシビリティについて

このドキュメントにはオラクル社およびその関連会社が所有または管理しないWebサイトへのリンクが含まれている場合があります。オラクル社およびその関連会社は、それらのWebサイトのアクセシビリティに関しての評価や言及は行っておりません。

Oracleサポートへのアクセス

Oracleのお客様は、My Oracle Supportにアクセスして電子サポートを受けることができます。詳細は、http://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoまたはhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs (聴覚障害者向け)を参照してください。

関連ドキュメント

詳細は、Oracle Identity Manager 11gリリース2 (11.1.2)のドキュメント・セットに含まれる次のドキュメントを参照してください。

- Oracle® Fusion Middlewareインストレーション・プランニング・ガイド

- Oracle® Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド

- Oracle Fusion Middleware Oracle Identity Managementリリース・ノート

- Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド

- Oracle Fusion Middleware Oracle Identity Managementリファレンス

- Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド

- Oracle Identity Manager Connector概要

- Oracle® Fusion Middleware Oracle Identity Manager開発者ガイド

- Oracle Fusion Middleware Oracle Identity Navigator管理者ガイド

- Oracle Fusion Middleware管理者ガイド

- Oracle® Fusion Middlewareアプリケーション・セキュリティ・ガイド

- Oracle Fusion Middlewareセキュリティ・ガイド

- Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド

- Oracle Fusion Middleware Oracle WebLogic Scripting Tool

- Oracle Fusion Middleware WebLogic Scripting Toolのコマンド・リファレンス

- Oracle Fusion Middleware Oracle WebLogic Serverサーバーの起動と停止の管理

- Oracle® Fusion Middleware Oracle WebLogic Serverセキュリティについて

- Oracle Fusion Middleware Oracle WebLogic Serverの保護

表記規則

このマニュアルでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック体

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

このガイドの最新情報

この章では、Oracle Privileged Account Managerの新機能について紹介し、追加情報へのリンクを提供します。

11gリリース2 (11.1.2)の新機能

Oracle Privileged Account Manager 11gリリース2 (11.1.2)には、次の機能が含まれます。

- 資格証明ストア・フレームワーク(CSF)に格納されたアカウントおよびアプリケーション資格証明のライフサイクル管理を可能にするアカウント・ライフサイクル管理。
詳細は、第1.2.4項「Oracle Privileged Account Manager管理のCSF資格証明」を参照してください。

- 次のものを含む認証および認可フレームワーク

- ターゲットやアカウントなどのOracle Privileged Account Managerリソース用のOracle Platform Security Services (OPSS)認可

- OPSSトラストを通じたアイデンティティ伝播によるOracle WebLogic Server (WLS)認証

- Oracle Privileged Account Manager管理者およびユーザー・マネージャ用の共通管理者ロール

詳細は、第2章「Oracle Privileged Account Managerのセキュリティについて」を参照してください。

- Oracle Identity Navigator製品によって提供されるWebベースのユーザー・インタフェース、コマンドライン・ツール、およびOracle Privileged Account Managerの様々なタスクを実行するために使用できるREST API。Webベースのインタフェースでは次のものにアクセスできます。

- ターゲット、特権アカウント、パスワード・ポリシー、使用ポリシーの構成および管理用の管理ユーザー・インタフェース。

- 管理権限の有無にかかわらずユーザーがアカウントをチェックインおよびチェックアウトできるようにするセルフサービス・ユーザー・インタフェース。

詳細は、第3章「Oracle Privileged Account Managerの管理の概要」、第5章「Oracle Privileged Account Managerの構成および管理」および付録を参照してください。

注意:

コマンドライン・ツールのメッセージとヘルプは、英語でのみ提供されます。Oracle Privileged Account Managerコマンドライン・ツールのグローバリゼーション・サポートは、このリリースでは使用できません。

- Oracle Privileged Account Managerでサードパーティ・システムのアイデンティティ・リポジトリと相互作用できるアイデンティティ・コネクタ・フレームワーク(ICF)との統合。
詳細は、第3章「Oracle Privileged Account Managerの管理の概要」の「Oracle Privileged Account ManagerでのICFコネクタのデプロイ」を参照してください。

- Oracle Privileged Account Managerによる監査イベントまたは状態変更の記録、およびデバッグ文や例外メッセージを含む汎用ロギングの提供。
Oracle Privileged Account Managerは、その管理下で発生したすべてのセキュリティ・イベントを監査するため、ユーザーは組織内での特権アカウントの使用状況を監視しながら、実証済のテクノロジを利用して機密情報を管理できます。

詳細は、第6章「Oracle Privileged Account Managerの監査およびロギングの管理」を参照してください。

- Oracle Identity Managerのリクエストおよび承認ワークフローでの動作保証。
詳細は、第7章「統合ソリューション向けのOracle Privileged Account Managerの構成」を参照してください。

第I部

Oracle Privileged Account Managerの概要

この部では、Oracle Privileged Account Managerの概要および概念について説明し、次の章が含まれます。

- Oracle Privileged Account Managerの概要

- Oracle Privileged Account Managerのセキュリティについて

1 Oracle Privileged Account Managerの概要

この章では、Oracle Privileged Account Managerの概要について説明します。この章の内容は次のとおりです。

- 第1.1項「Oracle Privileged Account Managerとは」

- 第1.2項「Oracle Privileged Account Managerを使用する理由」

- 第1.3項「Oracle Privileged Account ManagerのOracle Fusion Middlewareへのデプロイ方法」

1.1 Oracle Privileged Account Managerとは

Oracle Privileged Account Managerは、他のOracle Identity Managementコンポーネントによって管理されていない特権アカウントを管理します。

アカウントは、機密データにアクセスできる場合、機密データへのアクセス権を付与できる場合、またはそのデータへのアクセスとアクセス権付与の両方ができる場合に特権とみなされます。特権アカウントは、企業の最も強力なアカウントであり、頻繁に共有されます。

アカウントは、昇格された権限に関連付けられている場合、複数のエンド・ユーザーによってタスク別に使用される場合、制御および監査を受ける必要がある場合にOracle Privileged Account Managerの管理下に入ります。

たとえば、次のアカウントにはセキュリティが必要であり、コンプライアンス規制を受ける可能性があります。

- UNIX root、Windows管理者およびOracle Database SYSDBAシステム・アカウント

- アプリケーション・アカウント(人事管理アプリケーションへの接続時にアプリケーション・サーバーによって使用されるデータベース・ユーザー・アカウントなど)

- 共有および昇格された従来の特権ユーザー・アカウント(システム管理者やデータベース管理者など)

管理者は、特定のデプロイメント内でどのアカウントに特権を付与するかを決定し、それらのアカウントを管理するようにOracle Privileged Account Managerを構成する必要があります。

Oracle Privileged Account Managerでは、通常、共有および昇格された特権アカウントを管理しますが、管理者はこれを使用して任意のタイプのアカウントのパスワードを管理することもできます。たとえば、ある従業員が長期休暇に入り、その従業員の電子メール・アカウントを使用して別の従業員がシステムにアクセスすることを許可する業務上の理由がある場合、Oracle Privileged Account Managerによってその権限を管理できます。

1.2 Oracle Privileged Account Managerを使用する理由

Oracle Privileged Account Managerによって、従来はいくつかの理由により管理が困難であった特権アカウントおよびパスワードを管理し、そのセキュリティを向上できます。

まず、特権アカウントには、一般的に通常のユーザー・アカウントより多くのアクセス権が付与されています。これらのアカウントは1人の特定の従業員に関連付けられていないことが多く、既存のツールやプロセスによる監査は困難であることが普通です。その結果、従業員が会社を退社すると、まだ使用できる特権アカウントのパスワードがそのまま残される可能性があり、コンプライアンスおよびセキュリティ上の非常に深刻な問題となります。

また、特権アカウントのパスワードを定期的に変更することは困難です。多くのユーザーがそのアカウントに依存している場合、パスワードを変更してユーザー全員に通知するには、調整のための作業が必要です。

最後に、パスワードへのアクセスを制御できなくなるため、パスワードを集中管理された場所や典型的な場所(LDAPなどの外部リポジトリやアプリケーション構成ファイルなど)に格納することは避けるのが普通です。

Oracle Privileged Account Managerは、次の機能を提供するため、特権アカウントを安全に管理するための完全なソリューションとなります。

- 特権および共有アカウントのための集中管理されたパスワード管理(UNIXおよびLinuxのrootアカウント、Oracle Database SYSDBA、アプリケーション・アカウントおよびLDAP管理者アカウントを含む)

- 対話的なポリシーベースのアカウントのチェックアウトおよびチェックイン
Oracle Privileged Account Managerでは、認可されたすべてのユーザーは、アカウントを使用前にチェックアウトし、作業終了後にそのアカウントをチェックインする必要があります。Oracle Privileged Account Managerは、任意の時点におけるすべての共有管理者ユーザーの実際の身元(そのユーザーの名前)を追跡することで、アカウントのチェックアウトとチェックインを監査します。この情報を使用することで、Oracle Privileged Account Managerでは、どのユーザーが何に、いつ、どこでアクセスしたのかを示す完全な監査証跡を提供できます。

- アイデンティティ・コネクタ・フレームワーク(ICF)を使用した自動パスワード変更
Oracle Privileged Account Managerは、パスワードのチェックアウト時およびチェックイン時にパスワードを変更します(そのように構成されている場合)。したがって、ユーザーがあるパスワードをチェックアウトし、その後チェックインすると、そのユーザーは前にチェックアウトしたパスワードを使用できなくなります。

また、Oracle Privileged Account Managerは、アプリケーションの特権アカウントのパスワードを、それらのアプリケーションを変更することなく(90日ごとなどの)指定した間隔で変更でき、各パスワードをターゲット・システム上で同期化します。たとえば、Oracle Privileged Account Managerは、サービスとスケジュール済タスクの資格証明を更新できます。

- Oracle Identity Managerを使用したユーザーおよびグループ管理とワークフローの統合

1.2.1 機能

Oracle Privileged Account Managerの主要機能は次のとおりです。

- Oracle Privileged Account ManagerのWebベースのユーザー・インタフェース(コンソールと呼ばれる)、RESTful API、Oracle Privileged Account Managerのコマンドライン・ツール(CLI)などの複数のアクセス・ポイント
Oracle Privileged Account Managerの簡易なRESTful APIによって、アプリケーションやスクリプトからOracle Privileged Account Managerの機能にアクセスできます。

- Oracle Privileged Account ManagerのWebベースのユーザー・インタフェースからアクセスできる管理者およびセルフサービスのユーザー・インタフェース

- 次のようなOracleテクノロジとの統合

- メタデータの格納および機能の認可のためのOracle Platform Security Services (OPSS)ポリシー・ストア

- アイデンティティを認証してOracle Privileged Account Managerのユーザー・インタフェースからOracle Privileged Account Managerサーバーに伝播するためのOracle Platform Security Services (OPSS)トラスト・サービス

- ターゲット・システムと特権アカウントに安全にパスワードを格納し、Oracle WebLogic Server (WLS)で実行中のアプリケーションを変更することなく、コンプライアンスのためにアプリケーションの特権アカウントのパスワードを定期的に更新できる資格証明ストア・フレームワーク(CSF)

- ターゲットに接続し、各システムにおける特権アカウントのパスワードの検出または更新(あるいはその両方)を行うためのアイデンティティ・コネクタ・フレームワーク(ICF)

- 公開鍵のセキュリティを管理するためのOracle Wallet

- オペレーティング・システム、データベース、LDAPディレクトリ、Oracle Fusion Middlewareアプリケーションなどの複数のターゲット・タイプのサポート
また、ICFはオープン標準であるため、オラクル社がまだICFコネクタを作成していない他のタイプのターゲットに対しても独自のコネクタを記述できます。

ICFおよび独自コネクタ開発の詳細は、『Oracle® Fusion Middleware Oracle Identity Manager開発者ガイド』のアイデンティティ・コネクタ・フレームワークの概要に関する項およびJavaを使用したアイデンティティ・コネクタの開発に関する項または.Netを使用したアイデンティティ・コネクタの開発に関する項を参照してください。

- 拡張レポート機能

- Oracle Privileged Account Managerのすぐに使用可能な監査レポートは、Oracle Business Intelligence Publisher 11g (BI Publisher)に統合されているため、特権アカウントを使用しているユーザーを確認できます。また、BI Publisherでは、データ・ソースが異なる書式設定されたレポートを作成および管理できます。

- Oracle Fusion Middleware監査フレームワークは、集中管理されたデータベースに監査イベントを記録します。Oracle Privileged Account Managerでは、これらのイベントを使用して監査レポートを生成します。

- 特権アカウントのアクセスに関連するイベントは、監査とアテステーションのためにOracle Identity ManagerおよびOracle Identity Analyticsに収集されます。

- 特権アカウントに対するポリシー・ドリブン・アクセス

- 有人アカウント(ユーザーが存在する)および無人アカウント(ユーザーが存在しない)の管理機能
無人アカウント(サービス・アカウントとも呼ばれる)は、Oracle Privileged Account Managerがターゲット・システムへの接続時に使用するアカウントです。たとえば、新しいターゲット・システムを追加して登録する場合、このアカウントとパスワードを指定する必要があります。

Oracle Privileged Account Managerは、サービス・アカウントを使用してOracle Privileged Account Manager関連のすべての操作(アカウントの検出やパスワードのリセットなど)をそのシステムで実行するため、サービス・アカウントにはいくつかの特別な権限とプロパティを付与する必要があります。エンド・ユーザーがサービス・アカウントを使用することはありません。

1.2.2 特長

第1.2項「Oracle Privileged Account Managerを使用する理由」で説明した機能に加え、Oracle Privileged Account Managerには次の特長があります。

- 特権アカウントとターゲットの関連付け

- 特権アカウントに対するアクセス権のユーザーおよびロールへの付与と、そのアクセス権の削除

- Oracle Privileged Account Managerのパスワード・リクエスト・システムで管理されているパスワードに対するロールベースのアクセスの提供

- パスワードのチェックアウトおよびチェックインによるアカウントへのアクセスの制御

- 無人アプリケーションがクライアント証明書認証を使用する場合に、管理されていない特権アカウントが保持される可能性の排除

- チェックインおよびチェックアウト時にデフォルトでパスワードをランダム値にリセット
特権アカウントをチェックアウトしたが明示的にそのアカウントをチェックインしないユーザーに対応するため、指定した期間の経過後に特権アカウントを自動的にチェックインするようにOracle Privileged Account Managerを構成できます。

ユーザーが特権アカウントをチェックアウトできる期間を制限することもできます。

- サポートされているターゲットでのパスワード・リセットの管理

- 次のものを特定するための認可決定の実施

- エンド・ユーザーまたは管理者に公開するターゲット、特権アカウントおよびポリシー

- エンド・ユーザーおよび管理者が実行できる操作(追加、変更、チェックインおよびチェックアウト)

- ポリシーと特権アカウントの関連付け

- ターゲット、特権アカウント、ポリシーに対する作成、読取り、更新、削除および検索(CRUD)操作の実行とサポート
これは、Oracle Privileged Account ManagerのRESTful APIを通じて公開される主要機能です。チェックインやチェックアウトなどもRESTfulインタフェースを通じてサポートされます。

- Oracleの一般的な監査、ロギングおよびレポート機能を使用したアクセスの監視とレポート

- Oracle Privileged Account Managerによる複数の高可用性機能の提供

1.2.3 アーキテクチャおよびトポロジ

次の図では、Oracle Privileged Account Managerのアーキテクチャおよびトポロジを示します。

図1-1 Oracle Privileged Account Managerのアーキテクチャおよびトポロジ

この図を確認する場合、次の点に注意することが重要です。

- Oracle Privileged Account Managerのコア・ロジックは、すべてOracle Privileged Account Managerサーバーに存在します。この機能は、データがJavaScript Object Notation (JSON)としてエンコードされるRepresentational State Transfer (RESTまたはRESTful)サービスを通じて公開されます。

注意:

Oracle Privileged Account Managerによって、Oracle Identity NavigatorのWebベースのユーザー・インタフェース(コンソールとも呼ばれる)と、Oracle Privileged Account Managerコマンドライン・ツール(CLI)が提供されます。どちらのインタフェースも基本的にはOracle Privileged Account Managerサーバーのクライアントです。

ただし、サードパーティは、オープンRESTfulサービスを利用することで、カスタム・アプリケーションなどの独自のクライアントを記述できます。詳細は、付録B「Oracle Privileged Account ManagerのRESTfulインタフェースの使用」を参照してください。

- Oracle Privileged Account Managerの認証は、WebLogicのJava Authentication & Authorization Service (JAAS)サポートに依存します。
WebLogicでのJAASサポートの詳細は、『Oracle® Fusion Middleware Oracle WebLogic Serverセキュリティの理解』のWebLogicセキュリティ・サービスのアーキテクチャに関する項を参照してください。

Oracle Privileged Account Managerの認証の詳細は、第2.2項「Oracle Privileged Account Managerの認証について」を参照してください。

- Oracle Privileged Account Manager関連のコンポーネント(Oracle Privileged Account Managerのコンソール、コマンドライン・インタフェースおよびサーバー)との通信、および各コンポーネント間の通信は、すべてSSLを介して行われます。

- Oracle Privileged Account Managerは、Oracle Privileged Account Managerのデプロイ先であるWebLogicドメインで構成されているIDストア、ポリシー・ストアおよび資格証明ストアに依存し、それらを透過的に使用します。
実行時にOracle Privileged Account Managerによって必要とされるすべてのパスワード(ターゲット・システムのパスワードやアカウントの一時パスワードなど)は、資格証明ストア・フレームワークを通じて資格証明ストアに格納されます。

詳細は、第1.3項「Oracle Privileged Account ManagerのOracle Fusion Middlewareへのデプロイ方法」を参照してください。

- Oracle Privileged Account Managerコンソールは、Oracle Application Development Framework (ADF)を利用し、これによってレンダリングされます。
ADFの詳細は、次のWebサイトを参照してください。

http://www.oracle.com/technetwork/developer-tools/adf/overview/index.html

- Oracle Privileged Account Managerは、ICFコネクタを使用してターゲットに接続します。
詳細は、『Oracle® Fusion Middleware Oracle Identity Manager開発者ガイド』のアイデンティティ・コネクタ・フレームワークの概要に関する項を参照してください。

1.2.4 Oracle Privileged Account Manager管理のCSF資格証明

資格証明ストア・フレームワーク(CSF)は、主に資格証明にセキュアな格納場所を提供するOPSSコンポーネントです。たとえば、CSFは、多くのアプリケーションでアプリケーション資格証明を格納するためのメカニズムとして使用されます。

Oracle Privileged Account Managerによって、管理者は、アカウント資格証明を保護、共有、監査および管理の対象として識別できます。また、Oracle Privileged Account Managerでは、定期的なパスワード変更などのアカウント・ライフサイクル管理アクティビティがサポートされます。

多くのアプリケーション開発者がCSFを使用して必要なターゲット(RDBMSやLDAPなど)のアプリケーション資格証明を格納していますが、CSFの使用方法については、次のように改善が可能ないくつかの側面があります。

- CSFに資格証明を格納するアプリケーションでは、それらの資格証明を共有することは想定されていません。そのため、CSFの特定のインスタンスは、同じ資格証明に対する複数の参照を保持できます。たとえば、複数のアプリケーションが、同じ物理資格証明に依存しながら、複数の論理参照を保持していることがあります。

- コンプライアンスおよび内部ITポリシー要件を満たすには、定期的にアプリケーション資格証明を変更することが必要です。ただし、ターゲット上の資格証明を変更し、その後にCSF参照を変更することは、手動タスクのままであるため、CSFの同じ資格証明に対して複数の参照が存在する可能性があることを考えると、これは非常に複雑な作業です。つまり、管理者は、ターゲット上のパスワードまたは資格証明を変更してから、CSFのそのパスワードに対するすべての参照を手動で更新する必要があります。
Oracle Privileged Account Managerでは、このプロセスを自動化できますが、資格証明の定期的な変更の自動化は、正確にトレースできない複数の参照が存在する可能性によって、同じように複雑になります。

Oracle Privileged Account Managerは、そのアカウント・ライフサイクル管理機能を利用して、CSFに格納されているアプリケーション資格証明のライフサイクル管理を支援します。

1.2.4.1 プロビジョニング

Oracle Privileged Account Managerで特定のアカウント資格証明を管理することに決定したら、Oracle Privileged Account Managerを通じてその資格証明をプロビジョニングする必要があります。次の図では、このプロビジョニング・プロセスを示します。

図1-2 Oracle Privileged Account Managerのプロビジョニング・プロセス

管理者の作業は次のとおりです。

1. Oracle Privileged Account Managerターゲットを追加します(必要な場合)。

2. Oracle Privileged Account Managerの特権アカウントまたは資格証明をターゲットに追加します(ターゲットには必要なCSFマッピングが含まれている必要があります)。

注意:

CSFマッピングは、CSF内で特定の資格証明インスタンスを一意に識別するためのメカニズムです。

Oracle Privileged Account Managerサーバーは、特権アカウントのその表現とともに、CSFマッピングを格納します。Oracle Privileged Account Managerサーバーによって、指定されたマッピングに対応するCSFに資格証明のインスタンスが作成されます。

1.2.4.2 ライフサイクル管理

第1.2.4.1項「プロビジョニング」の説明に従ってプロビジョニングしたアカウントには、パスワード構成や定期的な変更の要件などを制御するパスワード・ポリシーを関連付けることができます。

Oracle Privileged Account Managerは、通常、ポリシーに準拠してアクションを実行します。ただし、管理者が、CSFマッピングに関連付けられているアカウント資格証明を変更すると、Oracle Privileged Account Managerによって、常にそれらのマッピングのあるCSFに格納された資格証明インスタンスも更新されます。この更新によって、すべての関連ユーザーが最新の資格証明にアクセスし、定期的な変更などのパスワード・ライフサイクル・イベントをシームレスに管理できるようになります。

1.2.4.3 アプリケーション負荷

Oracle Privileged Account Managerを使用してアプリケーションの資格証明を管理する場合、そのアプリケーションに追加の負荷は発生しません。発生する唯一のプロセス変更は、最初にOracle Privileged Account Managerを通じて資格証明をOracle Privileged Account ManagerおよびCSFにプロビジョニングする必要があることです。

Oracle Privileged Account Managerは、管理者指定のマッピングを使用してCSFに資格証明を送信します。これらのマッピングが変更されない場合、アプリケーションでは、直接CSFを通じて継続的に資格証明にアクセスできます。

1.3 Oracle Privileged Account ManagerのOracle Fusion Middlewareへのデプロイ方法

次の図では、Oracle Fusion Middleware内にOracle Privileged Account Managerをデプロイする方法を示します。

図1-3 Oracle Fusion Middleware内にデプロイされたOracle Privileged Account Manager

この図を確認する場合、次の点に注意してください。

- すべてのコンポーネントが単一のWebLogicドメイン内にデプロイされます。

- Oracle Identity NavigatorとOracle Privileged Account ManagerのWebベースのユーザー・インタフェースは、どちらもWebLogic管理サーバーにデプロイされます。

- OPSS IDストアとOPSSセキュリティ・ストア(ポリシー・ストアと資格証明ストアを含む)は、WebLogicドメイン全体の構成要素であるため、ドメインごとに1つずつ存在します。
Oracle Privileged Account Managerは、単純にそのドメインに構成されている設定に従って動作します。Oracle Privileged Account Manager固有の構成を使用して、これらの構成要素およびサービスを使用する必要はありません。また、これらの構成要素やサービスの使用方法は、Oracle Privileged Account Managerによって抽象化されるため、背後の動作を詳細に理解する必要はありません。

- OPSS IDストアは、WebLogicに埋め込まれたLDAP (即時利用可能)または外部LDAPサーバーを指します。
構成手順は、『Oracle® Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアイデンティティ・ストア・サービスの構成に関する項を参照してください。

- OPSSセキュリティ・ストアは、XMLファイル・ベースのストア(即時利用可能)、外部RDBMSまたは外部LDAPサーバーを指します。
構成手順は、『Oracle® Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOPSSセキュリティ・ストアの構成に関する項を参照してください。

- ポリシー・ストアおよび資格証明ストアの管理の詳細は、『Oracle® Fusion Middlewareアプリケーション・セキュリティ・ガイド』のポリシー・ストアの管理に関する項および資格証明ストアの管理に関する項を参照してください。

2 Oracle Privileged Account Managerのセキュリティについて

この章では、Oracle Privileged Account ManagerがOracle Privileged Account Managerサーバーで提供される認証および認可フレームワークを使用して、異なるタイプのユーザーを認証および認可する方法について説明します。

また、この章では、デプロイメント環境でOracle Privileged Account Managerのセキュリティを向上するために使用できる様々な方法についても説明します。

内容は次のとおりです。

- 第2.1項「概要」

- 第2.2項「Oracle Privileged Account Managerの認証について」

- 第2.3項「Oracle Privileged Account Managerの認可について」

- 第2.4項「Oracle Privileged Account Managerの保護」

2.1 概要

Oracle Privileged Account Managerサーバーで提供される認証および認可フレームワークには、次の機能および特長があります。

- OPSSトラスト・トークンおよびHTTP Basic認証のサポート
Oracle Privileged Account Managerのユーザー・インタフェースを構成して、Oracle Single Sign-On (SSO)を使用することもできます。

- 認証におけるJava Authentication & Authorization Service (JAAS)の利用

注意:

Oracle Privileged Account Managerの認証は、WebLogicのJAASサポートに依存します。詳細は、『Oracle® Fusion Middleware Oracle WebLogic Serverセキュリティの理解』のWebLogicセキュリティ・サービスのアーキテクチャに関する項を参照してください。

- 異なるOracle Privileged Account Manager固有の管理ロールおよび対応するOracle Privileged Account Manager固有の職責の定義

- 次のものを特定するための認可決定の実施

- 管理者またはエンド・ユーザーに公開するターゲットおよび特権アカウント

- エンド・ユーザーまたは管理者がターゲット、特権アカウントおよびポリシーに対して実行できる操作(追加、変更、チェックイン、チェックアウトなど)

- 特権アカウントの使用ポリシーおよびパスワード・ポリシーのサポート

2.2 Oracle Privileged Account Managerの認証について

WebLogic ServerのOPSSトラスト・サービスを使用して、SAMLベースのトークン認証が提供されます。OPSSポリシー・ストアには、認可決定エンジンによって必要とされるすべてのメタデータが格納されます。

次の図では、Oracle Privileged Account Managerの認証を示します。

図2-1 Oracle Privileged Account Managerでのトラストベースの認証

トラスト・サービス・インスタンスは、通常、Oracle Privileged Account Managerのインストールおよび構成プロセスの一環として、クライアント・アプリケーションからOracle Privileged Account Managerサーバーにユーザー・アイデンティティを安全に伝播するように構成されます。

Oracle Privileged Account Managerで認証が必要になる場合は次のとおりです。

- ユーザーとクライアントがOracle Privileged Account ManagerのWebベースのユーザー・インタフェースおよびOracle Identity Navigatorと相互作用する場合

- ユーザーとクライアントがOracle Privileged Account Managerサーバーと直接相互作用する場合

どちらの場合でも、Oracle Privileged Account Managerでは、SSLを介した即時利用可能な次の認証モードがサポートされます。

- HTTP Basic認証

- OPSSトラスト・サービス・アサーション

また、Oracle Privileged Account ManagerおよびOracle Identity Navigatorでは、ドメイン固有のIDストアに対して透過的に実行される、UIベースの相互作用に対応したADFベースの認証もサポートされます。

2.2.1 Oracle Privileged Account Managerグラフィカル・ユーザー・インタフェースの認証

Oracle Privileged Account ManagerのWebベースのユーザー・インタフェース(コンソール)では、Oracle Identity Navigatorと同じ認証メカニズムがサポートされ、Oracle Single Sign-On (SSO)でインタフェースを構成できます。

ユーザーがOracle Privileged Account ManagerコンソールおよびOracle Identity Navigatorと相互作用すると、次の処理が発生します。

注意:

Oracle Privileged Account Manager管理者およびユーザーは、Oracle Privileged Account Managerの初期設定中を除き、通常はOracle Identity Navigatorインタフェースを使用する必要はありません。

1. ユーザーは、ADF認証の使用によって、Oracle Privileged Account ManagerコンソールおよびOracle Identity Navigatorに対して認証されます。

2. Oracle Privileged Account ManagerコンソールおよびOracle Identity Navigatorは、OPSSトラスト・サービスをコールして、Oracle Privileged Account Managerコンソールにログインしたユーザーのアイデンティティをアサートするトークンをリクエストします。

3. ここで、Oracle Privileged Account ManagerコンソールおよびOracle Identity NavigatorがOracle Privileged Account Manager機能を実行するためにOracle Privileged Account Managerサーバーに対してRESTfulコールを行うと、常にOracle Privileged Account ManagerコンソールおよびOracle Identity Navigatorによって、生成されたトークンがOracle Privileged Account Managerサーバーに示されます。

4. デフォルトでOPSSトラスト・サービス・アサーション・プロバイダが構成されているため、アサーション・プロバイダは、前のステップで示されたトークンを調査および検証した後、Oracle Privileged Account Managerサーバーに対してRESTfulコールを実行しているアイデンティティがトークンに含まれているものであることをアサートします。
このプロセスは、アイデンティティ伝播と呼ばれます。エンド・ユーザーはOracle Privileged Account ManagerコンソールおよびOracle Identity Navigatorに対して認証を行うのみですが、Oracle Privileged Account ManagerコンソールおよびOracle Identity Navigatorは、リクエストを作成しているアイデンティティをOracle Privileged Account Managerサーバーに安全に伝達できます。

アイデンティティ伝播に関する重要な注意点は、これによってエンド・ユーザーは、Oracle Privileged Account Managerコンソール、Oracle Identity NavigatorおよびOracle Privileged Account Managerサーバーに対して認証を行う必要がなくなるということです。

注意:

Oracle Privileged Account Managerサーバーに対して独自のクライアント・アプリケーションをデプロイする場合、アイデンティティ伝播が必要です。このような場合、OPSSトラスト・サービス・ベースのアイデンティティ・アサーションを使用することをお薦めします。詳細は、『Oracle® Fusion Middlewareセキュリティ・ガイド』を参照してください。

2.2.2 Oracle Privileged Account Managerサーバーの認証

Oracle Privileged Account Managerサーバーは、RESTfulインタフェースを公開するのみで、HTTP Basic認可またはOPSSトラストをサポートします。また、Oracle Privileged Account Managerサーバーでは、そのサーバーとのすべての通信がSSLで保護されたチャネルを介して行われる必要があります。

Oracle Privileged Account Managerのコマンドライン・ツール・クライアントは、SSLを介したHTTP Basic認証を使用してOracle Privileged Account Managerサーバーに接続し、その認証を受けます。

2.3 Oracle Privileged Account Managerの認可について

この項では、Oracle Privileged Account Managerの認可について説明します。

内容は次のとおりです。

- 管理ロールのタイプ

- エンド・ユーザー

2.3.1 管理ロールのタイプ

共通管理者ロールは、Oracle Identity Managementアプリケーションへの管理アクセスを保護するために事前定義された標準のアプリケーション・ロールのセットです。これらのロールは、Oracle Identity Managementスイート全体に共通の管理タスクをカプセル化します。

注意:

各ロールの職責や、そのロールを実行するために必要な技術と経験などの共通管理者ロールの詳細は、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドの共通管理者ロールに関する項を参照してください。

Oracle Privileged Account Managerは、管理ロールを使用して、ターゲットおよび特権アカウントに対するアクセスを管理し、管理者が実行できる操作を制御します。特に、Oracle Privileged Account Managerサーバーは、ログインしているユーザーに割り当てられた管理ロールに基づいて、異なるユーザー・インタフェース・コンポーネントをレンダリングします。

Oracle Privileged Account Managerを管理できるのは、Oracle Privileged Account Manager固有の共通管理者ロールを割り当てられている管理者のみです。

注意:

認可された管理者は、Oracle Identity Navigatorコンソールの「管理」タブでロールの構成と割当てを行う必要があります。詳細は、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのエンタープライズ・ロールの構成に関する項を参照してください。

次の表では、Oracle Privileged Account Managerに固有の共通管理者ロールについて説明します。

表2-1 サポートされる管理ロール

管理ロール

アクセス権

アプリケーション構成者
(OPAM_APPLICATION_CONFIGURATOR)

Oracle Privileged Account Managerサーバーを構成します。

セキュリティ管理者
(OPAM_SECURITY_ADMIN)

- ターゲットを管理します(ターゲットの追加、編集および削除)。

- アカウントを管理します(アカウントの追加、編集および削除)。
注意: このロールでは、特権アカウントに権限受領者を割り当てることはできません。

- パスワード・ポリシーと使用ポリシーを管理します(ポリシーの作成、編集および削除)。

- アカウントにパスワード・ポリシーと使用ポリシーを割り当てます。
注意: このロールは、アカウント・レベルでは使用ポリシーのみを適用できます。

セキュリティ監査者
(OPAM_SECURITY_AUDITOR)

- Oracle Privileged Account Managerレポートを開いて確認します。

- Oracle Identity Navigatorレポート・ポートレットにOracle Privileged Account Manager監査レポートを表示します。

ユーザー・マネージャ
(OPAM_USER_MANAGER)

- 権限付与のあるエンド・ユーザーを特権アカウントに割り当てます。

- 使用ポリシーを管理します(使用ポリシーの作成、編集および削除)。

- 権限付与に使用ポリシーを割り当てます。
注意: アカウントとそのアカウントの権限受領者(エンド・ユーザー)との関係は、権限付与と呼ばれます。ユーザー・マネージャは、同じアカウントの異なる権限受領者に異なる使用ポリシーを割り当てることができます。

このロールでは、アカウントにパスワード・ポリシーを割り当てることはできません。

インストール後のデフォルトの管理者は、管理者グループのメンバーであるweblogicユーザー(ブートストラップ・ユーザーとも呼ばれる)です。ユーザーを作成して表2-1に説明されているOracle Privileged Account Manager管理ロールに割り当てるには、weblogicユーザーを使用する必要があります。その後、これらのユーザーは、この表に説明されている管理タスクを実行できます。

注意:

デフォルトの管理者はこれらすべてのロールを自分自身に割り当てることができますが、一般的ではありません。

インストール後、weblogicユーザーをブートストラップ・ユーザーとして使用して、ユーザーをドメイン・アイデンティティ・ストアから表2-1に示されているOracle Privileged Account Managerの共通管理者ロールにマップできます。セキュリティ管理者ロールにマップされたユーザーは、他のユーザーに共通管理者ロールを割り当てることができ、後から現在の環境のweblogicユーザーを置き換えることができます。最初のユーザー・マッピングが完了した後、セキュリティ管理者ロールを、ドメイン・アイデンティティ・ストアに定義されている1人以上の管理者ユーザーにマップすることで、デフォルトの管理者ユーザーを置き換えます。

2.3.2 エンド・ユーザー

Oracle Privileged Account Managerのエンド・ユーザーまたはエンタープライズ・ユーザーは、ロールを割り当てられていないため、Oracle Privileged Account Managerのユーザー・インタフェース・コンポーネントへのアクセスが制限されます。これらのユーザーは、アクセス権が付与されている特権アカウントの表示、検索、チェックアウト、チェックインなど、一部のタスクのみを実行できます。

注意:

詳細は、第5.2項「セルフサービスの使用」を参照してください。

2.4 Oracle Privileged Account Managerの保護

この項で説明する推奨事項を実行することで、デプロイメント環境のOracle Privileged Account Managerを保護できます。

内容は次のとおりです。

- ネットワーク・チャネルの保護

- 共有アカウントの保護

- パスワード・リセットの有効化

- 複数パスを通じた割当ての回避

- 高度なパスワード・ポリシーの定義

2.4.1 ネットワーク・チャネルの保護

Oracle Privileged Account Managerは、その通常の機能の一部としてターゲット・システムでリモート・パスワード・リセットを実行します。これらのパスワードによって特権アイデンティティとして各システムにアクセスできるため(Oracle Privileged Account Managerは特権アカウントおよびアイデンティティを管理します)、このようなリモート・パスワード・リセットがセキュアなネットワーク・チャネルを介して行われることを確認する必要があります。

リセットが発生すると、Oracle Privileged Account Managerは、特権アカウントとしてターゲット・システムにアクセスすることをリクエストするエンド・ユーザーにこれらのパスワードを伝播します。新しくリセットされたこれらのパスワードもセキュアなチャネルを介してエンド・ユーザーに伝播されることを確認する必要があります。

これらの点を考慮すると、Oracle Privileged Account Managerデプロイメントには、注意して調査および保護する必要のある次の2つの項目があります。

- ターゲット・システムへの接続

- エンド・ユーザー・インタフェースの保護

2.4.1.1 ターゲット・システムへの接続

Oracle Privileged Account Managerは、ICFコネクタを利用してターゲット・システムと通信します。これらのコネクタは、柔軟性が高く、様々な方法で構成できます。テスト(さらには本番環境)での柔軟性を確保するため、Oracle Privileged Account Managerでは、この接続は必ずしもセキュアなチャネルを介して行われる必要はありません。

SSHが要求される汎用UNIXターゲットを除き、汎用LDAPおよび汎用DBターゲットの接続では、セキュアな(暗号化された)チャネルと暗号化されていないチャネルの両方が許可されます。したがって、Oracle Privileged Account Manager管理者は、ターゲット・システムに接続する際に使用するチャネルのタイプを決定する場合には、関連するすべての要素を検討することが重要です。

パケット・スニッフィングによるパスワード危殆化のリスクを低減するため、常にセキュアなチャネルを使用することをお薦めします。ターゲット・システム(LDAPまたはDB)がSSLをサポートし、SSLポートでリスニングしている場合、Oracle Privileged Account Managerは、そのターゲットとSSLを介して通信できます。

SSLポートでリスニングするようにターゲットを構成する方法の詳細は、ターゲット・システムの製品ドキュメントを参照してください。SSLを介して通信するようにOracle Privileged Account Managerを構成するには、第3.3.2項「Oracle Privileged Account ManagerでのSSL通信の構成」を参照してください。SSLを介してこれらの接続を保護することで、Oracle Privileged Account Managerによって実行されるパスワード・リセット操作がセキュアな方法で行われることが保証されます。

2.4.1.2 エンド・ユーザー・インタフェースの保護

Oracle Privileged Account Managerのエンド・ユーザーが使用できる主なインタフェースは、次の2つです。

- コンソール(詳細は第3.4項「Oracle Privileged Account Managerのコンソールのナビゲート」を参照)

- コマンドライン・ツール(詳細は付録A「コマンドライン・ツールの使用」を参照)

Oracle Privileged Account Managerのコンソールは、Oracle Identity Navigatorでホストされます。ただし、Oracle Identity Navigatorは、他の目的でも使用されるため、SSLは有効にしても無効にしてもデプロイできます。

SSLを無効にしてOracle Identity Navigatorをデプロイすると、Oracle Identity NavigatorがSSLで保護されたチャネルを介してOracle Privileged Account Managerサーバーと通信する場合でも、Oracle Identity Navigator (Oracle Privileged Account Managerコンソールなど)とエンド・ユーザー・ブラウザ間の接続は保護されないため、セキュリティ上の懸念事項となる可能性があります。

Oracle Identity Navigatorを使用してOracle Privileged Account Managerコンソールを提供する場合、SSL有効モード(SSLのみ)でOracle Identity Navigatorをデプロイする必要があります。

注意:

Oracle Identity NavigatorでSSLを構成する方法の詳細は、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのSecure Socket Layerの構成に関する項を参照してください。

Oracle Privileged Account ManagerサーバーではSSL接続が要求されるため、Oracle Privileged Account Managerのコマンドライン・ツールは、常にSSLを使用してセキュアなチャネルを介して通信を行います。したがって、Oracle Privileged Account Managerサーバーがコマンドライン・ツールを介してエンド・ユーザーにパスワードを伝播する場合、常にセキュアなチャネルが使用されるため、パケット・スニッフィングの危険性はありません。

2.4.2 共有アカウントの保護

Oracle Privileged Account Managerでは、特権アカウントを共有にするか非共有にするかを指定できます。この項では、共有アカウントを定義し、セキュリティ上の考慮事項について説明し、共有アカウントのセキュリティを強化する方法について示します。

2.4.2.1 共有アカウントとは

デフォルトでは、Oracle Privileged Account Managerでアカウントをチェックアウトできるのは、一度に1人のユーザーのみです。2番目のユーザーがすでにチェックアウトされているアカウントをチェックアウトしようとすると、アカウントがすでにチェックアウトされていることを示すエラー・メッセージが表示されます。

Oracle Privileged Account Managerでは、同時に複数のユーザーがアカウントをチェックアウトできる共有アカウントを構成することもできます。

複数のユーザーが共有アカウントをチェックアウトする場合、Oracle Privileged Account Managerでは、ユーザーごとに新しいパスワードが生成されるかわりに、最初のユーザーによって生成されたパスワードが共有されます。(新しいパスワードを設定すると既存のチェックアウトに影響します。)Oracle Privileged Account Managerでは、すべてのユーザーがアカウントをチェックインし、最後のユーザーがパスワードをチェックインするまで、そのパスワードはリセットされません。

業務上やむを得ない理由がある場合にのみ、アカウントを共有として指定することをお薦めします。たとえば、複数のユーザーによってデータベース・アカウントを管理する場合、そのアカウントを共有すると便利です。

2.4.2.2 セキュリティの制限

共有アカウントを構成する場合、次のセキュリティの制限に注意してください。

- Oracle Privileged Account Managerでは、最後のユーザーがアカウントをチェックインするまでパスワードはリセットされないため、ユーザーはアカウントのチェックイン後もパスワードを使用できます。

- アカウントを共有すると、ファイングレイン監査の実行で問題が発生します。Oracle Privileged Account Managerでは、アカウントがチェックアウトされた時期と、ある時点でそのアカウントにアクセスしたユーザーを示す監査証跡を使用できます。ただし、複数のエンド・ユーザーが同時にチェックアウトした同じ特権アカウントを保持している場合、Oracle Privileged Account Managerは個々のエンド・ユーザーが実行したアクションを区別できません。

2.4.2.3 アカウントを保護する方法

アカウントを共有するやむを得ない理由がある場合、次の手順を使用してそのアカウントを保護することをお薦めします。

1. 指定した期間の経過後に特権アカウントを自動的にチェックインするように使用ポリシーを構成します。自動チェックインによって、共有特権アカウントがチェックインされ、そのパスワードが適切な時期に反復されることが保証されます。

2. 特権アカウントを割り当てるユーザーの数を制限し、アカウントにアクセスできる時期を指定してそれらのユーザーをさらに絞り込みます。使用ポリシーを構成して、ユーザーがアカウントにアクセスできる曜日や時間帯を指定できます。これらの制限によってチェックアウトの重複を最小限に抑えることができるため、Oracle Privileged Account Managerの監査機能が向上します。

注意:

使用ポリシーの構成の詳細は、第5.1.1.4項「デフォルト使用ポリシーの変更」または第5.1.1.6項「新規使用ポリシーの作成」を参照してください。

2.4.3 パスワード・リセットの有効化

Oracle Privileged Account Managerでは、アカウントのチェックアウトとチェックインの両方または一方が発生した場合に特権アカウントのパスワードを自動的にリセットするように、特権アカウントのパスワード・ポリシーを構成できます。

少なくとも、チェックインの発生時に特権アカウントのパスワードをリセットするようにパスワード・ポリシーを構成して適用することをお薦めします。チェックインの発生時にパスワードをリセットすると、エンド・ユーザーが使用していたパスワードは特権アカウントとの関連付けを解除されるため、そのアカウントをチェックイン後に使用することはできなくなります。この機能は、Oracle Privileged Account Managerの主要な革新技術の1つであり、使用することをお薦めします。

注意:

パスワード・ポリシーの構成および操作の詳細は、第5.1.1項「ポリシーの使用」を参照してください。

2.4.4 複数パスを通じた割当ての回避

エンド・ユーザーに特権アカウントを直接割り当てる以外に、Oracle Privileged Account Managerでは、特権アカウントをグループに割り当てることができます。たとえば、"Data Center Product UNIX Administrators"グループを作成して、そのグループに特定の特権アカウントに対するアクセス権を付与できます。

独自のデプロイメントを設計する場合、特定のエンド・ユーザーには、必ずただ1つのパス(直接または単一のグループ)を通じて特権アカウントに対するアクセス権を付与することが重要です。Oracle Privileged Account Managerによって複数の権限付与のパスが検出されると、そのバックエンドから取得された最初のパスが選択されますが、これは非決定的な動作です。この動作では、実際の使用ポリシーが意図した使用ポリシーと異なる可能性があります。

注意:

特権アカウントの権限付与の詳細は、第5.1.4項「権限受領者の使用」を参照してください。

2.4.5 高度なパスワード・ポリシーの定義

Oracle Privileged Account Managerのパスワード・ポリシーの主な目的は、ターゲット・システムを対象とするOracle Privileged Account Managerが開始したパスワード・リセットの成功を保証することです。

少なくとも、Oracle Privileged Account Managerでは、特権アカウントに対する有効なパスワード・ポリシーによって、そのパスワード・ポリシーがターゲット・システムに対して施行されることを記述する必要があります。ただし、Oracle Privileged Account Manager管理者は、この要件に制約されません。Oracle Privileged Account Managerのリセット操作中に、より複雑でセキュアなパスワードを生成する高度なパスワード・ポリシーをOracle Privileged Account Managerで定義できます。

注意:

パスワード・ポリシーの構成および操作の詳細は、第5.1.1項「ポリシーの使用」を参照してください。

第II部

基本的な管理

この部では、Oracle Privileged Account Managerの基本的な管理タスクの実行方法について説明し、次の章が含まれます。

- Oracle Privileged Account Managerの管理の概要

- Oracle Privileged Account Managerサーバーの追加と管理

- Oracle Privileged Account Managerの構成および管理

- Oracle Privileged Account Managerの監査およびロギングの管理

3 Oracle Privileged Account Managerの管理の概要

Oracle Privileged Account Managerは、コンソールとコマンドラインから管理できます。この章では、基本的な管理タスクの実行方法について説明します。

注意:

この章では、Oracle Privileged Account Managerが『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の説明に従ってインストールおよび構成されていることを前提としています。

『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の「Oracle Privileged Account Managerの構成」の章を参照すると特に役立ちます。

このガイドでOracle WebLogic管理サーバーまたは様々な管理対象サーバーを起動するように指示があった場合、『Oracle® Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Stackの起動と停止に関する項でその手順を参照してください。

この章の内容は次のとおりです。

- 第3.1項「11gリリース2 (11.1.2)のインストール後の作業」

- 第3.2項「Oracle Privileged Account ManagerでのICFコネクタのデプロイ」

- 第3.3項「Oracle Privileged Account Managerサーバーの起動」

- 第3.4項「Oracle Privileged Account Managerのコンソールのナビゲート」

3.1 11gリリース2 (11.1.2)のインストール後の作業

11gリリース2のインストールが終了したら、次の作業を行うことをお薦めします。

- 表3-1を確認して、このリリースのOracle Privileged Account Managerを管理するために使用できる様々なインタフェースに対応するデフォルト・アプリケーションURLについて理解してください。

表3-1 デフォルト・アプリケーションURL

インタフェース

デフォルトURL

Oracle Identity Navigator

http://adminserver_host:adminserver_port/oinav/

Oracle WebLogic Server管理コンソール

http://adminserver_host:adminserver_port/console/

Oracle Privileged Account Managerコンソール

http://adminserver_host:adminserver_port/oinav/opam

Oracle Privileged Account Managerサーバー

http://managedserver_host:managedserver_port/opam

- 表3-2を確認して、このリリースのOracle Privileged Account Managerの様々なデフォルト・ポートについて理解してください。

表3-2 デフォルト・ポート

ポート・タイプ

デフォルト・ポート

説明

Oracle Privileged Account Manager

18102

Oracle Privileged Account ManagerサーバーがデプロイされるWebLogic管理対象サーバーのデフォルトのSSL有効ポート。

shiphome (購入時の環境など)には、Oracle Privileged Account Managerに関連する次の2つのWebLogicサーバーがあります。

- Oracle Privileged Account ManagerドメインのWebLogic管理サーバーは、Oracle Identity NavigatorおよびOracle Privileged Account Managerコンソールを実行します。

- 追加のWebLogic管理対象サーバーは、Oracle Privileged Account Managerサーバーを実行します。

WebLogicによるSSLへの応答

7002

Oracle Identity NavigatorおよびOracle Privileged Account ManagerコンソールがデプロイされるWebLogic管理サーバーのデフォルトのSSL有効ポート。

3.2 Oracle Privileged Account ManagerでのICFコネクタのデプロイ

Oracle Privileged Account Managerでは、管理者によって識別されるアカウント資格証明を保護、共有、監査および管理できます。これらの機能を提供するため、Oracle Privileged Account Managerでは、ターゲット・システムの特権アカウントにアクセスしてそれを管理できる必要があります。

コネクタによって、Oracle Privileged Account Managerは、LDAPやOracle Databaseなどのターゲット・システムと相互作用して、それらのシステム上でOracle Privileged Account Manager関連の管理操作を実行できます。

Oracle Privileged Account Managerでは、ICF標準に準拠するコネクタを利用します。

この項では、Oracle Privileged Account ManagerでこれらのICFコネクタを使用する方法について説明します。内容は次のとおりです。

- ICFコネクタについて

- Oracle Privileged Account Managerコネクタ・バンドルの場所の特定

- ICFコネクタの使用

- 既存のOracle Privileged Account Managerインストール環境への新規コネクタの追加

アイデンティティ・コネクタ・フレームワークの詳細は、『Oracle® Fusion Middleware Oracle Identity Manager開発者ガイド』のアイデンティティ・コネクタ・フレームワークの概要に関する項を参照してください。

3.2.1 ICFコネクタについて

Oracle Privileged Account Managerには、オラクル社が開発した次のICF準拠のコネクタが付属しています。

- Database User Management (DBUM)コネクタ

- 汎用LDAPコネクタ

- UNIX用のOracle Identity Managerコネクタ

これらのコネクタによって、Oracle Privileged Account Managerは、前述のタイプに属する様々なターゲット・システム上で特権アカウントを管理できます。

Oracle Privileged Account Managerでは、ユーザーが作成したICF準拠のコネクタも使用できるため、Oracle Privileged Account Managerを使用して独自のシステムを管理する場合に役立ちます。

アイデンティティ・コネクタ・フレームワークの詳細は、『Oracle® Fusion Middleware Oracle Identity Manager開発者ガイド』のアイデンティティ・コネクタの開発に関する項を参照してください。

3.2.2 Oracle Privileged Account Managerコネクタ・バンドルの場所の特定

ICFコネクタは汎用で、多くのコンテキストで使用できるため、所定のOracleインストール環境においてすべてのコネクタ・バンドルがファイル・システムの単一の場所に配置されます。これらのコネクタ・バンドルに依存するOracle Privileged Account Managerなどのすべてのコンポーネントは、次の場所からそれらにアクセスできます。

ORACLE_HOME/connectors

Oracle Privileged Account Managerに付属するコネクタ・バンドルは次のとおりです。

- org.identityconnectors.dbum-1.0.1116.jar

- org.identityconnectors.genericunix-1.0.0.jar

- org.identityconnectors.ldap-1.0.6380.jar

注意:

オラクル社から新しいICFコネクタを取得した場合、指示で指定された場所にそれらを配置する必要があります。

カスタムのサードパーティ・コネクタを格納することは自由ですが、Oracle Privileged Account Managerが実行時にそれらを読み取ることができることを確認する必要があります。

3.2.3 ICFコネクタの使用

Oracle Privileged Account Managerは、opam-config.xmlファイルを使用することでICFコネクタを使用します。このファイルの内容によって、Oracle Privileged Account Managerに次の情報が提供されます。

1. ファイル・システムでICFコネクタ・バンドルを選択する場所

2. Oracle Privileged Account Managerの使用事例にとって適切な構成属性

3. 特定のコネクタを使用したターゲット・システムへの接続を構成する際に、Oracle Privileged Account Managerコンソールをレンダリングする方法

opam-config.xmlファイルは、ORACLE_HOME/opam/configディレクトリにあります。ドメインの作成中に、opam-config.xmlファイルはDOMAIN_HOME/config/fmwconfig
ディレクトリにコピーされ、そのドメインで使用できるようになります。Oracle Identity Management Suiteに付属するコネクタ・バンドルを選択して使用するために、すぐに使用できるイメージが構成されています。

opam-config.xsdファイル(これもORACLE_HOME/opam/configディレクトリに存在)によって、opam-config.xmlのスキーマが記述されています。
DOMAIN_HOME/config/fmwconfig/opam-config.xmlを変更した場合、opam-config.xsdファイルで検証する必要があります。

3.2.4 既存のOracle Privileged Account Managerインストール環境への新規コネクタの追加

この項では、既存のOracle Privileged Account Managerインストール環境に新しいコネクタを追加するためのプロセスについて説明します。内容は次のとおりです。

- オラクル社提供によるコネクタの追加

- カスタム・コネクタの追加

3.2.4.1 オラクル社提供によるコネクタの追加

オラクル社提供による新しいICFコネクタを追加する場合、それらにはインストール手順が付随しています。これらの手順には、コネクタ・バンドルの格納場所や、インストール固有のopam-config.xmlファイルの変更方法が説明されています。

3.2.4.2 カスタム・コネクタの追加

Oracle Privileged Account Managerでは、ユーザーが作成した(またはサードパーティによって作成された)カスタム・コネクタを使用できます。ただし、これらのコネクタは、ICF標準に厳密に準拠している必要があります。コネクタがICFに準拠していることを確認した後、次の手順を実行してOracle Privileged Account Managerで使用するためにコネクタをデプロイします。

1. コネクタ・バンドルを、実行時にOracle Privileged Account Managerで読み取ることができるファイル・システム上の場所に配置します。

2. 次の手順を実行して、コネクタの新しい構成ブロックを作成し、そのブロックをインストール固有のopam-config.xmlファイルに含めます。

1. 関連する構成ブロックを設計および作成します。
opam-config.xmlファイルとopam-config.xsdファイルには、両方ともファイルの先頭に新しい構成ブロックの作成方法を説明したドキュメントおよび例が含まれます。

2. このコネクタ構成ブロックに、手順1でコネクタ・バンドル用に指定したファイル・システムの場所が含まれていることを確認します。

3. 新しいコネクタ構成ブロックを<connectorConfig>ブロックに含めることでopam-config.xmlファイルに追加します。

4. 変更されたopam-config.xmlファイルをopam-config.xsdファイルに対して検証し、Oracle Privileged Account Managerサーバーでその変更されたファイルを読み取ることができることを確認します。任意のXMLスキーマ検証ツールをこの目的で使用できます。

3. Oracle Privileged Account Managerサーバーを再起動します。

4. Oracle Privileged Account Managerに接続し、新しく追加したコネクタ・タイプを使用して新しいターゲット・システムを追加および構成します。

3.3 Oracle Privileged Account Managerの起動

この項では、Oracle Privileged Account Managerのコンソールを起動および操作するための概要情報について説明します。内容は次のとおりです。

- WebLogicの起動

- Oracle Privileged Account ManagerでのSSL通信の構成

- ユーザーへのアプリケーション構成者ロールの割当て

- Oracle Privileged Account ManagerのWebベースのコンソールの起動

注意:

詳細は、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドを参照してください。

3.3.1 WebLogicの起動

Oracle Privileged Account Managerを起動する前に、WebLogicサーバーおよびコンソールを起動する必要があります。

注意:

- WebLogicサーバーおよび管理対象サーバーの起動に関する詳細は、『Oracle® Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracleスタックの起動と停止に関する項を参照してください。

- サーバーを起動するための適切な管理ロールおよび資格証明を持っている必要があります。詳細は、第2.3.1項「管理ロールのタイプ」を参照してください。

1. nmConnectコマンドを実行してノード・マネージャをWLSTに接続します。
手順については、Oracle Fusion Middleware WebLogic Scripting Toolのコマンド・リファレンスのノード・マネージャのコマンドに関する項を参照してください。

2. WebLogic管理サーバーを起動します。次に例を示します。
UNIXでは次のように入力します。

MIDDLEWARE_HOME/user_projects/domains/DOMAIN_NAME/bin/startWebLogic.sh

Windowsでは次のように入力します。

MIDDLEWARE_HOME\user_projects\domains\DOMAIN_NAME\bin\startWebLogic.bat

3. Oracle Privileged Account Managerサーバーを起動します。

4. ブラウザを開き、次の場所からWebLogicコンソールを起動します。
http://adminserver_host:adminserver_port/console

3.3.2 Oracle Privileged Account ManagerでのSSL通信の構成

Oracle Privileged Account Managerでは、Secure Socket Layer (SSL)または非SSLオプションを介してターゲット・システムに接続できます。SSLオプションは、より安全ですが、追加の構成が必要です。

SSLを介してターゲット・システムと安全に通信するには、Oracle Privileged Account Managerを実行しているWebLogicインスタンスが、ターゲット・システムで使用されているSSL証明書を信頼する必要があります(Oracle Privileged Account Managerは実行されているWebLogicコンテナからそのSSL構成を継承するため)。Oracle Privileged Account Managerを実行しているWebLogicインスタンス(およびOracle Privileged Account Manager)にターゲット・システムのSSL証明書を信頼させるには、WebLogicインスタンスで使用されているトラストストアに証明書をインポートする必要があります。

ターゲット・システムとOracle Privileged Account Manager間のSSL通信を有効にするには、次の手順を使用します。

1. ターゲット・システムのホスト・コンピュータからSSL証明書をエクスポートします。

注意:

SSL証明書をエクスポートする手順は、ターゲット・システムのタイプごとに異なります。手順の詳細は、使用しているターゲット・システムの製品ドキュメントを参照してください。

2. Oracle Privileged Account Managerを実行しているWebLogicインスタンスが存在するマシンに証明書をコピーします。
Oracle Privileged Account Manager/Oracle Identity NavigatorコンソールとOracle Privileged Account Managerサーバーが異なるマシン上で実行されている場合、SSL証明書はOracle Privileged Account Managerサーバーのマシンにコピーする必要があります。

3. 次のコマンドを実行して、Oracle Privileged Account Managerが実行されているWebLogicサーバーのJVMトラストストアに証明書をインポートします。

JAVA_HOME\bin\keytool -import -file FILE_LOCATION -keystore TRUSTSTORE_LOCATION
-storepass TRUSTSTORE_PASSWORD -trustcacerts -alias ALIAS

説明

- JAVA_HOMEは、WebLogicサーバーによって使用される場所です。次に例を示します。

- MIDDLEWARE_HOME/jrockit..

- MIDDLEWARE_HOME/jdk..

- Javaソフトウェアをインストールした場所

- FILE_LOCATIONは、証明書ファイルのフルパスおよび名前です。

- TRUSTSTORE_LOCATIONは、次のトラストストア・パスのいずれかです。

表3-3 トラストストアの場所

次のように使用します。

キーストアに証明書をインポートするディレクトリ

Oracle jrockit_R27.3.1-jdk

JROCKIT_HOME/jre/lib/security

デフォルトのOracle WebLogic Server JDK

WEBLOGIC_HOME/java/jre/lib/security/cacerts

Oracle
jrockit_R27.3.1-jdkまたは
Oracle WebLogic Server JDK以外のJDK

JAVA_HOME/jre/lib/security/cacerts

- TRUSTSTORE_PASSWORDは、トラストストアのパスワードです。

- ALIASは、証明書の別名です。

注意:

cacertsキーストアのデフォルトのパスワードはchangeitです。

4. WebLogicサーバーを再起動します。

注意:

WebLogicのセキュリティ概念およびカスタム・キーストアの作成方法の詳細は、『Oracle® Fusion Middleware Oracle WebLogic Serverの保護』のIDおよび信頼の構成に関する項を参照してください。

3.3.3 ユーザーへのアプリケーション構成者ロールの割当て

インストール後は、どのユーザーにも管理者ロールは付与されていません。ユーザーを選択し、Oracle Identity Navigatorを使用してそのユーザーにアプリケーション構成者ロールを付与する必要があります。

注意:

手順については、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドの共通管理者ロールの割当てに関する項を参照してください。

アプリケーション構成者ユーザーは、このロールに加えて別のロールも持つことができます。他の管理ロールの詳細は、第2.3.1項「管理ロールのタイプ」を参照してください。

アプリケーション構成者ユーザーが次のURLを使用してログインすると、OPAMの構成リンクが含まれた空の画面が表示されます。

http://adminserver_host:adminserver_port/oinav/opam

アプリケーション構成者ユーザーは、このリンクを使用して、Oracle Privileged Account Managerサーバーのホストとポートを指定することで、Oracle Privileged Account Managerサーバーが実行されている場所をOracle Privileged Account Managerコンソールに認識させることができます。

Oracle Privileged Account ManagerコンソールがOracle Privileged Account Managerサーバーとの通信に成功すると、Oracle Privileged Account Managerコンソールにコンテンツが移入されます。

注意:

Oracle Privileged Account Manager管理者およびユーザーは、Oracle Privileged Account Managerの初期設定中を除き、通常はOracle Identity Navigatorインタフェースを使用する必要はありません。

3.3.4 Oracle Privileged Account ManagerのWebベースのコンソールの起動

Oracle Privileged Account Managerのコンソールにアクセスするには、ブラウザ・ウィンドウを開いて次のURLを入力します。

http://adminserver_host:adminserver_port/oinav/opam

「サイン・イン」画面のあるOracle Privileged Account Managerページが表示されたら、管理者またはエンド・ユーザーの適切な資格証明を使用してログインします。

注意:

Oracle Privileged Account Managerのコマンドライン・ツールまたはOracle Privileged Account ManagerのRESTfulインタフェースを使用する場合、それらのインタフェースの詳細は、それぞれ付録A「コマンドライン・ツールの使用」または付録B「Oracle Privileged Account ManagerのRESTfulインタフェースの使用」を参照してください。

3.4 Oracle Privileged Account Managerのコンソールのナビゲート

この項では、Oracle Privileged Account Managerコンソールの概要について説明します。

注意:

コンソールの一部の機能へのアクセスは、ユーザーの管理ロールおよび資格証明に基づきます。たとえば、この項で説明する「レポート」および「管理」アコーディオンは、セキュリティ管理者ロールを持つユーザーは使用できません。

管理ロールの詳細は、第2.3項「Oracle Privileged Account Managerの認可について」を参照してください。

この項の内容は次のとおりです。

- 「ホーム」アコーディオンの使用

- 「レポート」アコーディオンの使用

- 「管理」アコーディオンの使用

- 検索ポートレットの使用

- 検索結果表の使用

ヒント:

Oracle Privileged Account Managerインタフェースの要素(「ホーム」アコーディオンのノードやパラメータ・フィールドなど)の上にカーソルを重ねると、役に立つプロンプトが表示されます。

3.4.1 「ホーム」アコーディオンの使用

Oracle Privileged Account Managerにログインすると、デフォルトで「ホーム」アコーディオンが開いた状態で表示されます。この領域では、ユーザーの管理ロールと資格証明に基づいて、次のノードの一部または全部を含むツリーにアクセスできます。

- アカウント: アカウントの検索、オープン、追加および削除

- ターゲット: ターゲットの検索、オープン、追加および削除

- ポリシー: パスワード・ポリシーと使用ポリシーの検索、オープン、作成および削除

- 権限受領者: 権限受領者(ユーザーとグループ)の検索、オープン、追加および削除

- マイ・チェックアウト済アカウント: アカウントの表示、チェックアウトおよびチェックイン

注意:

管理ロールの詳細は、第2.3.1項「管理ロールのタイプ」を参照してください。

これらのノードを展開して、ターゲット・タイプ、ドメイン、パスワード・ポリシーと使用ポリシー、およびユーザーとグループの権限受領者を表示できます。

たとえば、この図で、ldapノードはターゲット・タイプで、usはドメインです。そのため、アカウントを検索してそれがusドメインのLDAPターゲットによって管理されていることを確認する場合、usノードをクリックすると、そのドメインのアカウントのリストが表示されます。結果が「検索結果」表に表示されます。

このアコーディオンのノードまたはサブノードを選択すると、新しいページが表示されます。それらのページのパラメータを使用して、Oracle Privileged Account Managerを構成および管理します。

「ホーム」アコーディオンの上に、「ホーム」アコーディオンの表示方法を制御するために使用できる2つのメニューがあります。

- 表示: このドロップダウン・メニューのオプションを使用して、すべてのノードを同時に展開または縮小すること、選択したノードの下にあるすべてのサブノードを展開または折りたたむこと、あるいは最初または最後のノードまでスクロールすることができます。

- パースペクティブ: このドロップダウン・メニューを使用して、ターゲット・タイプまたはドメインのどちらの視点から情報を表示するかを制御できます。

3.4.2 「レポート」アコーディオンの使用

「レポート」アコーディオンを開いて「レポート」リンクのいずれかをクリックすると、現在のデプロイメントのターゲットおよび特権アカウントに関する異なるレポートにアクセスできます。情報は、コンソールの右側にある「レポート」ページに表示されます。

注意:

これらのレポートの詳細は、第5.1.5項「レポートの使用」を参照してください。

3.4.3 「管理」アコーディオンの使用

「管理」アコーディオンを開いて「サーバー構成」をクリックすると、「サーバー構成」タブが表示されます。「サーバー構成」タブを使用して、Oracle Privileged Account Managerサーバーへの接続を設定およびテストします。

注意:

Oracle Privileged Account Managerサーバーの管理の詳細は、第4.4項「Oracle Privileged Account Managerサーバーの管理」を参照してください。

3.4.4 検索ポートレットの使用

Oracle Privileged Account Managerの検索ポートレットを使用して、ターゲット、アカウント、ポリシー、ユーザーおよびグループを検索します。

図3-1 検索ポートレットの例

検索を構成するには、検索ポートレットに表示されている1つ以上のパラメータを使用します。使用可能なパラメータは、検索のタイプに応じて異なります。次の表では、異なる検索パラメータについて説明します。

表3-4 検索ポートレットのパラメータ

パラメータ名

説明

検索タイプ

アカウント名

検索するアカウント名の1つ以上の文字を入力します。

アカウント、ユーザー、グループ

ターゲット名

検索するターゲット名の1つ以上の文字を指定します。

アカウント、ターゲット、ユーザー、グループ

ターゲット・タイプ

「すべて」(すべてのターゲット・タイプを検索する場合)、「ldap」、「unix」または「database」を指定します。

アカウント、ターゲット

ドメイン

検索するドメインを指定します。

アカウント、ターゲット

ホスト名

検索するホストの名前を指定します。

ターゲット

ポリシー名

検索するポリシー名の1つ以上の文字を指定します。

ポリシー

ポリシー・ステータス

すべてのポリシーを検索するか、検索をアクティブなポリシーのみまたは無効なポリシーのみに制限するかを指定します。

ポリシー

ポリシー・タイプ

すべてのポリシー・タイプを検索するか、検索をパスワード・ポリシーのみまたは使用ポリシーのみに制限するかを指定します。

ポリシー

ユーザー名

検索するユーザー名の1つ以上の文字を指定します。

ユーザー

名

ユーザーの名の1つ以上の文字を指定します。

ユーザー

姓

ユーザーの姓の1つ以上の文字を指定します。

ユーザー

グループ名

検索するグループ名の1つ以上の文字を指定します。

グループ

説明

グループの説明を指定します。

グループ

検索を実行する一般的な手順は次のとおりです。

1. 「ホーム」ツリーで適切なノードを選択します。
たとえば、アカウントを検索するには、「アカウント」ノードを選択します。

2. 検索ポートレットで使用できる1つ以上の検索パラメータを入力して、「検索」をクリックします。
たとえば、特定のLDAPターゲットに存在するすべてのアカウントのリストを検索するには、ターゲット名の1つ以上の文字を入力し、「ターゲット・タイプ」メニューから「LDAP」を選択して、「検索」をクリックします。

結果は検索結果表に表示されます。

注意:

検索結果表の上にある「ステータス」メニューを使用すると、アカウント・ステータスに基づいて検索結果を制御できます。詳細は、第3.4.5項「検索結果表の使用」を参照してください。

3. 別の検索を実行するには、「リセット」をクリックします。

3.4.5 検索結果表の使用

異なる検索結果表の上部に配置されているドロップダウン・メニューとアイコンを使用して、様々なタスクを実行できます。

図3-2 検索結果表の例

次の表では、これらの機能について説明します。

注意:

これらの機能の可用性は、ユーザーのロール(権限)および実行された検索のタイプに基づいて変化します。詳細は、第2.3.1項「管理ロールのタイプ」を参照してください。

表3-5 検索結果表の機能

機能名

検索タイプ

説明

アクション

アカウント、ターゲット、ポリシー、ユーザー、グループ、マイ・チェックアウト済アカウント

ドロップダウン・メニューからアクションを選択します。

注意: 「アクション」メニュー・オプションは、表の上部に表示されているタスク・アイコンと同じです。

表示

アカウント、ターゲット、ポリシー、ユーザー、グループ、マイ・チェックアウト済アカウント

このドロップダウン・メニューを使用して、検索結果表での列の表示方法を制御します。

- 「列」→「すべて表示」: 表のすべての列を表示します。

- 「列」→「列の管理」: 列の表示と非表示を切り替えることのできるダイアログが表示されます。

- 列の並替え: このオプションを選択すると、表示可能な列を選択してその順序を変更できるダイアログが表示されます。

ステータス

アカウントのみ

メニューから次のいずれかのオプションを選択して、検索結果の表示方法を制御します。

- すべて: ターゲットのすべてのアカウントをリストします。

- 使用可能なアカウント: チェックアウト可能なアカウントのみをリストします。
注意: 管理者としてアカウントを表示している場合、「使用可能なアカウント」は、そのアカウントへのアクセス権を付与されている任意のユーザーがチェックアウトできるアカウントです。権限受領者としてアカウントを表示している場合、「使用可能なアカウント」は、自分がチェックアウトできるアカウントです。

- チェックアウト済アカウント: 現在チェックアウトされているアカウントのみをリストします。

- 使用不可のアカウント: チェックアウトする権限を付与されていないアカウントのみを表示します。

追加

アカウント、ターゲット、ユーザー、グループ

クリックすると、新しいターゲット、アカウント、ユーザーまたはグループをOracle Privileged Account Managerリポジトリに追加できます。

開く

アカウント、ターゲット、ポリシー、ユーザー、グループ

クリックすると、選択したアカウント、ターゲット、ポリシー、ユーザーまたはグループを開くことができます。

削除

アカウント、ターゲット、ポリシー、ユーザー、グループ

クリックすると、選択したアカウント、ターゲット、ポリシー、ユーザーまたはグループをOracle Privileged Account Managerリポジトリから削除できます。

パスワードの表示

アカウントのみ

クリックすると、アカウント名とそのアカウントのパスワードをリストしたポップアップ・メッセージが表示されます。

パスワードのリセット

アカウントのみ

クリックすると、選択したアカウントの新しいパスワードを入力できる「パスワードのリセット」ダイアログが表示されます。

パスワード・ポリシーの作成

ポリシーのみ

クリックすると、新しいパスワード・ポリシーを作成できます。詳細は、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

使用ポリシーの作成

ポリシーのみ

クリックすると、新しい使用ポリシーを作成できます。詳細は、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

削除

ポリシーのみ

クリックすると、選択したポリシーをOracle Privileged Account Managerリポジトリから削除できます。

チェックイン

マイ・チェックアウト済アカウント
のみ

クリックすると、選択したチェックアウト済アカウントをチェックインできます。詳細は、第5.1.3.7項「アカウントのチェックイン」を参照してください。

4 Oracle Privileged Account Managerサーバーの追加と管理

この章では、Oracle Privileged Account Managerサーバーを追加、構成および管理する管理者が確認しておく必要のある情報を提供します。

この章の内容は次のとおりです。

- 第4.1項「概要」

- 第4.2項「前提作業」

- 第4.3項「Oracle Privileged Account Managerの外部アイデンティティ・ストアの構成」

- 第4.4項「Oracle Privileged Account Managerサーバーの管理」

注意:

- ディレクトリ構造の詳細は、『Oracle® Fusion Middlewareインストレーション・プランニング・ガイド』のOracle Fusion Middlewareのディレクトリ構造に関する項を参照してください。

- WebLogicサーバーおよび管理対象サーバーの起動に関する詳細は、『Oracle® Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracleスタックの起動と停止に関する項を参照してください。

- Oracle Privileged Account Managerサーバーを起動するには、「アプリケーション構成者」管理ロールおよび資格証明を持っている必要があります。

4.1 概要

Oracle Privileged Account Managerサーバーは、パスワード・リクエストの処理、パスワードの生成、およびパスワード・キーストアの保護を行うコンポーネントです。

Oracle Privileged Account Managerサーバーは、Oracle Privileged Account Managerの中核機能を実装し、次のものを特定するための認可決定を行います。

- 管理者またはエンド・ユーザーに公開するターゲットおよび特権アカウント

- 管理者およびエンド・ユーザーがターゲット、特権アカウントおよびポリシーに対して実行できる操作

また、Oracle Privileged Account Managerサーバーは次のことを行います。

- アカウントの使用ポリシーおよびパスワード・ポリシーのサポート

- 前述の認可決定の実施

- OPSSトラスト・サービスによるSAMLベースのOracle Security TokenおよびHTTP Basic認証を使用した認証のサポート

- Oracle Privileged Account Managerサーバーの異なる管理ロールのサポート

注意:

セキュリティ上の理由から、Oracle Privileged Account ManagerサーバーはSSLトラフィックにのみ応答します。

Oracle Privileged Account Managerのユーザー・インタフェースまたはOracle Privileged Account Managerのコマンドライン・ツール(CLI)にOracle Privileged Account Managerサーバー・ターゲットを追加する場合、SSLエンドポイントとしてhttps://hostname:sslport/opamを指定する必要があります。

デフォルトでは、WebLogicは管理サーバーのポート7002および管理対象サーバーのポート18102を使用してSSLに応答します。WebLogicコンソールを使用して、特定のインスタンスのポートを確認できます。

次の図では、Oracle Privileged Account Managerサーバーのアーキテクチャを示します。

図4-1 サーバー・アーキテクチャ

4.2 前提作業

Oracle Privileged Account Managerサーバーを追加および管理するには、「アプリケーション構成者」管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

この章で説明する手順では、次のOracleマニュアルに含まれる情報および手順を参照しています。Oracle Privileged Account Managerサーバーの構成を開始する前に、必要に応じて参照先の概念、専門用語および手順を確認してください。

表4-1 参照マニュアル

参照内容

参照先

管理ロール

第2.3.1項「管理ロールのタイプ」

Oracle Privileged Account ManagerおよびOracle Identity Navigatorでサポートされるアイデンティティ・ストアおよびポリシー・ストアの構成

Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのシステム要件と動作保証情報に関する項

Oracle WebLogic Serverの概念および専門用語

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプおよび『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

Oracle WebLogic Serverでのデフォルトの認証プロバイダの作成

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプおよび『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

現在の環境でのアイデンティティ・ストアの構成

各ベンダーの製品ドキュメント

LDAPベース・サーバーでのOracle Virtual Directoryの構成

『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』のLDAPアダプタの作成に関する項

Oracle WebLogic ServerでのOVD認証プロバイダの構成

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプ

WLSTを使用したポリシー・ストアの関連付け

『Oracle® Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Internet Directoryサーバーでのノードの設定に関する項およびreassociateSecurityStoreに関する項

Enterprise Managerを使用したポリシー・ストアの関連付け

『Oracle® Fusion Middlewareアプリケーション・セキュリティ・ガイド』のFusion Middleware Controlでの再関連付けに関する項

Oracle Privileged Account Managerサーバーの管理

第4.4項「Oracle Privileged Account Managerサーバーの管理」

注意:

Oracle Privileged Account Manager管理者およびユーザーは、Oracle Privileged Account Managerの初期設定中を除き、通常はOracle Identity Navigatorインタフェースを使用する必要はありません。

4.3 Oracle Privileged Account Managerの外部アイデンティティ・ストアの構成

この項では、Oracle Privileged Account Managerの新しい外部アイデンティティ・ストアを構成する方法について説明します。

この項の内容は次のとおりです。

- 外部アイデンティティ・ストアの構成

- エンタープライズ・ロールの構成

4.3.1 外部アイデンティティ・ストアの構成

Oracle Identity Navigatorの「アクセス権限」ペインから検索する場合、ユーザーを表示する前にドメイン・アイデンティティ・ストアを構成する必要があります。アイデンティティ・ストアをメイン認証ソースとして構成するには、Oracle Identity NavigatorがインストールされているOracle WebLogic Serverドメインを構成する必要があります。

この項では、サポートされているLDAPベース・ディレクトリ・サーバーでOracle Internet DirectoryまたはOracle Virtual Directoryを使用してドメイン・アイデンティティ・ストアを構成する方法について説明します。アイデンティティ・ストアをWebLogic Server管理コンソールで構成します。

注意:

- 理論的には、外部のアイデンティティ・ストアとして任意のLDAPサーバーをWebLogicに構成できます。
アイデンティティ・ストアの構成の詳細は、『Oracle® Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアイデンティティ・ストア・サービスの構成に関する項を参照してください。

- その他のサポートされているアイデンティティ・ストアの詳細は、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのシステム要件と動作保証情報に関する項

Oracle WebLogic ServerでOracle Internet Directory認証プロバイダを構成するには、次の手順を実行します。

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、デフォルトのレルムはmyrealmです。

3. 「プロバイダ」タブを選択し、「認証」サブタブを選択します。

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動して、次のようにフィールドを完了します。

- 名前: 認証プロバイダの名前を入力します。たとえば、MyOIDDirectoryと入力します。

- タイプ: リストから、「OracleInternetDirectoryAuthenticator」を選択します。

「OK」をクリックして認証プロバイダ表を更新します。

5. 認証プロバイダの表で、新たに追加した認証プロバイダをクリックします。

6. 「設定」で、「構成」タブを選択し、「共通」タブを選択します。

7. 「共通」タブで、「制御フラグ」を「SUFFICIENT」に設定します。
認証プロバイダの制御フラグの属性を設定すると、認証プロバイダの実行順序が決まります。制御フラグ属性に使用可能な値は次のとおりです。

- REQUIRED - このLoginModuleは成功する必要があります。失敗した場合でも、認証は、構成された認証プロバイダのLoginModulesリストの下位方向へ進みます。この設定がデフォルトです。

- REQUISITE - このLoginModuleは成功する必要があります。他の認証プロバイダが構成されていて、このLoginModuleが成功した場合、認証はLoginModulesリストを下位方向へ進みます。それ以外の場合は、制御がアプリケーションに戻ります。

- SUFFICIENT - このLoginModuleは成功する必要はありません。成功した場合、制御はアプリケーションに戻ります。失敗した場合、他の認証プロバイダが構成されていれば、認証はLoginModuleリストを下位方向に進みます。

- OPTIONAL - このLoginModuleは成功でも失敗でもかまいません。ただし、JAAS制御フラグがOPTIONALに設定されたセキュリティ・レルムですべての認証プロバイダが構成されている場合は、ユーザーは構成されたいずれかのプロバイダの認証テストに合格する必要があります。

8. 「保存」をクリックします。

9. 「プロバイダ固有」タブをクリックした後、使用する環境の値を使用して次の必要な設定を入力します。

- ホスト: Oracle Internet Directoryサーバーのホスト名。

- ポート: Oracle Internet Directoryサーバーがリスニングしているポート番号。

- プリンシパル: Oracle Internet Directoryサーバーへの接続に使用されるOracle Internet Directoryユーザーの識別名(DN)。例: cn=OIDUser、cn=users、dc=us、dc=mycompany、dc=com。

- 資格証明: プリンシパルとして入力されたOracle Internet Directoryユーザーのパスワード。

- グループ・ベースDN: グループを含むOracle Internet Directoryサーバー・ツリーのベース識別名(DN)。

- ユーザー・ベースDN: ユーザーを含むOracle Internet Directoryサーバー・ツリーのベース識別名(DN)。

- すべてのユーザーのフィルタ: LDAP検索フィルタ。詳細は、「詳細」をクリックします。

- 名前指定によるユーザー・フィルタ: LDAP検索フィルタ。詳細は、「詳細」をクリックします。

- ユーザー名属性: 認証に使用する属性(cn、uid、mailなど)。たとえば、ユーザーの電子メール・アドレスを使用して認証を行うには、この値をmailに設定します。

- 「取得したユーザー名をプリンシパルとして使用する」を有効化します。

10. 「保存」をクリックします。

11. myrealmページの「設定」から、「プロバイダ」タブを選択した後、「認証」タブを選択します。

12. 「並替え」をクリックします。

13. 新しい認証プロバイダを選択し、矢印ボタンを使用してこれをリストの最初に移動します。

14. 「OK」をクリックします。

15. 「認証プロバイダ」表の「DefaultAuthenticator」をクリックし、DefaultAuthenticatorの「設定」ページを表示します。

16. 「構成」タブ、「共通」タブの順に選択し、「制御フラグ」リストから「SUFFICIENT」を選択します。

17. チェンジ・センターで、変更のアクティブ化をクリックします。

18. Oracle WebLogic Serverを再起動します。

19. LDAPディレクトリ(Oracle Internet DirectoryまたはOracle Virtual Directory)に存在するユーザーが問題なくOracle Privileged Account Managerにログインできることを確認して、構成および設定を検証します。

Oracle Virtual Directoryをドメイン・アイデンティティ・ストアとして使用するには、次の手順を実行する必要があります。

- Oracle Fusion Middleware Oracle Virtual Directory管理者ガイドのLDAPアダプタの作成に関する項の説明に従ったLDAPベース・サーバーでのOracle Virtual Directoryの構成

- Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプの説明に従ったOracle WebLogic ServerでのOVD認証プロバイダの構成

- Oracle WebLogic Serverで認証プロバイダを構成する場合、前述の手順9の説明に従って「取得したユーザー名をプリンシパルとして使用する」オプションを有効にする必要があります。

4.3.2 エンタープライズ・ロールの構成

共通管理者ロールをサポートするために、ドメイン・アイデンティティ・ストアにエンタープライズ・ロールを作成する必要があります。LDAPベースのディレクトリ・サーバーで構成されたOracle Internet DirectoryとOracle Virtual Directoryの両方にテンプレートが用意されています。これらのテンプレートをOracle Internet Directory移行ツール(ldifmigrator)で使用すると、他のディレクトリまたはアプリケーション固有リポジトリからのLDIFファイル出力をOracle Internet Directoryで認識される形式に変換できます。

共通管理者ロール用のエンタープライズ・ロールを構成する前に、第4.3.1項「外部アイデンティティ・ストアの構成」の説明に従ってドメイン・アイデンティティ・ストアを構成する必要があります。

注意:

Oracle Privileged Account ManagerおよびOracle Identity Navigatorでサポートされるアイデンティティ・ストアの構成の詳細は、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのシステム要件と動作保証情報に関する項を参照してください。

ドメイン・アイデンティティ・ストアでエンタープライズ・ロールを構成するには、次のようにします。

1. ORACLE_HOME/common/templatesからご使用の環境に対応するテンプレートを選択します。

- Oracle Internet Directoryの場合はoinav_template_oid.ldifを使用します。

- Oracle Virtual Directoryの場合はoinav_template_ovd.ldifを使用します。

2. ldifmigratorツールを使用するには、JAVA_HOMEを設定し、PATHにJAVA_HOME/binを含めます。

3. ldifmigratorツールを使用して、次のように<GroupBase>の下のアイデンティティ・ストアにエンタープライズ・ロールを作成します。

Run
java -cp MIDDLEWARE_HOME/oracle_common/modules/oracle.ldap_11.1.1
/ldapjclnt11.jar
-DORACLE_HOME=ORACLE_HOME/oracle_common oracle.ldap.util.LDIFMigration
input_file=<ldif template>  output_file=<outputfile>  namespace=<GroupBase>
-load dn=<bindDn> password=<>  host=<hostName>  port=<portNumber>

ここで、ldif templateはテンプレート名です。

注意:

- LDAPベースのディレクトリ・サーバーでOracle Virtual Directoryを使用する場合、host、port、dnおよびgroupbaseは、LDAPサーバーではなくOracle Virtual Directoryを参照します。

- ldifmigratorツールの使用の詳細は、Oracle® Fusion Middleware Oracle Identity Managementリファレンスを参照してください。

注意:

シングル・サインオンを構成するには、第7.2.2項「シングル・サインオンの有効化」を参照してください。

4.4 Oracle Privileged Account Managerサーバーの管理

この項では、Oracle Privileged Account Managerサーバーを管理するために管理者が必要とする情報を提供し、次の内容が含まれます。

- Oracle Privileged Account Managerサーバーへの接続の構成

- サーバー情報の更新

4.4.1 Oracle Privileged Account Managerサーバーへの接続の構成

Oracle Privileged Account ManagerコンソールからOracle Privileged Account Managerサーバーへの接続を構成するには、次の手順を使用します。

1. 次のURLにログインしてOracle Privileged Account Managerを開きます。
http://adminserver_host:adminserver_port/oinav/opam

注意:

「アプリケーション構成者」管理ロールを持つユーザーとしてログインする必要があります(持たない場合、「サーバー構成」ページにアクセスできません)。

この管理ロールおよび他の管理ロールの詳細は、第2.3.1項「管理ロールのタイプ」および第3.3.3項「ユーザーへのアプリケーション構成者ロールの割当て」を参照してください。

2. 「管理」アコーディオンを開いて「サーバー構成」を選択します。

3. 「サーバー構成」ページが表示されたら、ホスト名とSSLポート番号を入力します。
「SSLポート」フィールドの下にURLが表示されます。

4. 「テスト」ボタンをクリックして接続設定をテストします。
通常は、構成のテストに成功したことを示すメッセージが表示されます。

5. 「適用」ボタンをクリックしてこの接続情報を保存します。

4.4.2 サーバー情報の更新

次の手順を使用して、Oracle Privileged Account Managerサーバーを更新します。

1. Oracle Privileged Account Managerにログインします。

2. 「管理」アコーディオンを開きます。

3. 「サーバー構成」をクリックします。

4. 「サーバー構成」ページが表示されたら、「ホスト」フィールドまたは「ポート」フィールドの一方または両方の値を編集できます。

5. 「テスト」をクリックして新しい構成を確認します。

6. テストに成功したら、「適用」をクリックして新しい構成を保存します。

5 Oracle Privileged Account Managerの構成および管理

この章では、Oracle Privileged Account Managerを構成および管理する方法について説明します。この章の内容は次のとおりです。

- 第5.1項「Oracle Privileged Account Managerの管理」

- 第5.2項「セルフサービスの使用」

- 第5.3項「テスト環境から本番環境への移行」

注意:

この章で説明するタスクの多くは、Oracle Privileged Account Managerのコマンドライン・ツールまたはOracle Privileged Account ManagerのRESTfulインタフェースを使用しても実行できます。

Oracle Privileged Account Managerコンソールのかわりにこれらのインタフェースを使用する場合の手順は、付録A「コマンドライン・ツールの使用」または付録B「Oracle Privileged Account ManagerのRESTfulインタフェースの使用」を参照してください。

5.1 Oracle Privileged Account Managerの管理

この項では、Oracle Privileged Account Managerを構成および管理する必要のある管理者の手順について説明します。

内容は次のとおりです。

- ポリシーの使用

- ターゲットの使用

- 特権アカウントの使用

- 権限受領者の使用

- レポートの使用

この項で説明する様々な構成タスクを実行するには、特定の管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

次のリストでは、異なる管理ロールに基づいてOracle Privileged Account Manager管理者ユーザーが実行できる基本ワークフローについて説明します。

注意:

「アプリケーション構成者」管理ロールを持つ管理者は、通常、すでにOracle Privileged Account Managerサーバーへの接続を構成済です。詳細は、第4.4.1項「Oracle Privileged Account Managerサーバーへの接続の構成」を参照してください。

表5-1 管理ロールに基づく管理者ワークフロー

管理者

職責

セキュリティ管理者

1. Oracle Privileged Account Managerのデフォルト使用ポリシーおよびデフォルト・パスワード・ポリシーを評価し、必要に応じてそれらのポリシーの変更または新規作成を行います。

2. Oracle Privileged Account Managerにターゲットを追加します。

3. そのターゲットで特権アカウントを追加します。
注意: このロールでは、特権アカウントに権限受領者を割り当てることはできません。

4. アカウントに使用ポリシーおよびパスワード・ポリシーを割り当てます。

5. 既存のターゲット、アカウントおよびポリシーを管理します。

ユーザー・マネージャ

1. アカウントに権限付与を割り当てます。

2. 必要に応じて使用ポリシーを作成および管理します。

3. 権限付与に使用ポリシーを割り当てます。

4. 既存の権限付与および使用ポリシーの割当てを管理します。

セキュリティ監査者

Oracle Privileged Account Managerレポートを確認します。

注意:

これらの管理ロールの詳細は、第2.3.1項「管理ロールのタイプ」を参照してください。

5.1.1 ポリシーの使用

この項では、Oracle Privileged Account Managerの使用ポリシーおよびパスワード・ポリシーを使用するための情報を提供します。

内容は次のとおりです。

- ポリシーの概要

- ポリシーの表示

- デフォルト・パスワード・ポリシーの変更

- デフォルト使用ポリシーの変更

- 新規パスワード・ポリシーの作成

- 新規使用ポリシーの作成

- ポリシーの検索

- ポリシーの割当て

- ポリシーの削除

5.1.1.1 ポリシーの概要

Oracle Privileged Account Managerには、次の2つのタイプのポリシーがあります。

- パスワード・ポリシー: このポリシー・タイプは、関連する特権アカウントに対して特定のターゲットによって実施されるパスワード構成ルールを取得します。たとえば、数字の最小数と最大数です。パスワード・ポリシーを使用して、Oracle Privileged Account Managerが特権アカウントのパスワードをリセットするために使用するパスワード値を作成します。

- 使用ポリシー: このポリシー・タイプは、権限受領者が特権アカウントを使用できる時期と方法を定義します。(デフォルト・アクセスは24x7です。)

Oracle Privileged Account Managerによって管理されるすべての特権アカウントは、関連付けられたパスワード・ポリシーを持っている必要があります。使用ポリシーは、権限付与のレベルでのみ適用されます。単一のパスワード・ポリシーを複数の特権アカウントに、単一の使用ポリシーを複数の権限付与に関連付けることができます。

Oracle Privileged Account Managerでは、デフォルト・パスワード・ポリシーおよびデフォルト使用ポリシーが提供されています。デフォルト・ポリシーを使用するか、これらのポリシーを変更するか、または独自の特化したポリシーを作成することができます。

これらのポリシーのパラメータ設定を確認するには、第5.1.1.2項「ポリシーの表示」を参照してください。

注意:

ポリシーを操作できるのは、セキュリティ管理者管理ロールまたは「ユーザー・マネージャ」管理ロールを持つ管理者のみです。

- セキュリティ管理者管理ロールを持つ管理者は、デフォルト・パスワード・ポリシーとデフォルト使用ポリシーの変更、新規ポリシーの作成、またはポリシーの削除を行うことができます。
セキュリティ管理者管理ロールを持つ管理者は、パスワード・ポリシーを割り当てることはできますが、使用ポリシーを割り当てることはできません。

- 「ユーザー・マネージャ」管理ロールを持つ管理者は、権限受領者とアカウントのペア・レベルでのみアカウントに使用ポリシーを割り当てることができます。つまり、ユーザー・マネージャは、同じアカウントの異なる権限受領者に異なる使用ポリシーを割り当てることができます。
「ユーザー・マネージャ」管理ロールを持つ管理者は、パスワード・ポリシーを割り当てることができません。

5.1.1.2 ポリシーの表示

パスワード・ポリシーまたは使用ポリシーのパラメータ設定を確認するには、次の手順を実行します。

1. 「ホーム」ツリーから「パスワード・ポリシー」または「使用ポリシー」を選択します。

2. 「ポリシー」ページが表示されたら、次のいずれかの方法を使用してポリシーを開きます。

- ポリシー名の横にある行番号をクリックしてから、検索結果表の上にある「開く」アイコンをクリックします。

- 検索結果表のポリシー名(アクティブ・リンク)をクリックします。
たとえば、デフォルト・パスワード・ポリシー・リンクをクリックすると、「パスワード・ポリシー: デフォルト・パスワード・ポリシー」ページが表示されます。

「パスワード・ポリシー」ページには、次の3つのタブが含まれます。

- 一般: ポリシーとそのポリシーのパスワード・ライフサイクル・ルールに関する一般情報を指定するためのパラメータが含まれます。

- パスワードの複雑性ルール: アカウント・パスワードの複雑性要件を制御するパラメータが含まれます。

- 特権アカウント: デフォルト・パスワード・ポリシーを現在使用している特権アカウントの情報を提供します。

「使用ポリシー」ページには、次の3つのタブが含まれます。

- 一般フィールド: ポリシーに関する一般情報を指定するためのパラメータが含まれます。

- 使用ルール: アカウントをチェックアウトできる時期およびチェックアウトの有効期限を制御するパラメータが含まれます。

- 権限受領者: 特定のアカウントを使用する権限が付与されている権限受領者の情報を提供します。

5.1.1.3 デフォルト・パスワード・ポリシーの変更

デフォルト・パスワード・ポリシーを評価した後に、現在の環境に合うように設定を変更することができます。

デフォルト・パスワード・ポリシーを変更するには、次の手順を実行します。

1. 「ホーム」ツリーから「パスワード・ポリシー」を選択します。

2. 「ポリシー」ページが表示されたら、検索結果表のデフォルト・パスワード・ポリシー・リンクを選択して「パスワード・ポリシー: デフォルト・パスワード・ポリシー」ページを開きます。

3. 「一般」タブを選択して「一般フィールド」領域の「ポリシーの説明」フィールドを編集するか、次のパスワード・ライフサイクル・ルールのいずれかを変更します。

- パスワード最大期間: 2つのメニューを使用して、Oracle Privileged Account Managerでアカウント・パスワードを自動的にリセットするまでの期間(日数、時間数または分数)を指定します。
たとえば、アカウント・パスワードを毎月変更する必要のあるセキュリティ・ポリシーを企業で実施する場合には、この値を30日に設定します。

アカウントがチェックアウトされ、そのパスワードが変更されるたびに(チェックアウトおよびチェックイン時にそのパスワードを変更するようにポリシーが構成されている場合)、Oracle Privileged Account Managerでは、パスワード変更時間が追跡されます。

注意:

セキュリティ管理者管理ロールを持つ管理者は、「パスワードのリセット」オプション(第5.1.3.5.2項「アカウント・パスワードのリセット」を参照)を使用してパスワードを手動でリセットすることもできますが、Oracle Privileged Account Managerではこのパスワード変更時間も追跡されます。

Oracle Privileged Account Managerによってアカウントが使用されていないことが検出され、パスワード変更も指定した日数を超えて発生していない場合、そのパスワードはランダム化された新規の値に自動的にリセットされるため、企業ではユーザー操作なしでセキュリティ・ポリシーを自動的に実施できます。

この自動リセット・オプションを無効にするには、数値を0に設定します。

- チェックイン時にパスワードをリセット: このオプションを使用して、チェックイン操作時にOracle Privileged Account Managerでランダム化されたパスワードを自動生成して設定するかどうかを指定します。
チェックイン操作時にパスワードをリセットしない場合は、このボックスの選択を解除します。

- チェックアウト時にパスワードをリセット: このオプションを使用して、チェックアウト操作時にOracle Privileged Account Managerでランダム化されたパスワードを自動生成して設定するかどうかを指定します。
チェックアウト操作時にパスワードをリセットしない場合は、このボックスの選択を解除します。

注意:

- セキュリティを向上するため、パスワードの変更が要求される「チェックイン時にパスワードの変更が必要」および「チェックアウト時にパスワードのリセットが必要」オプションはデフォルトで有効になっていますが、必要に応じて無効にすることもできます。たとえば、企業によっては、パスワードを30日ごとにリセットするだけで済みます。

- 企業でパスワードを自動的に管理せずに、必ずユーザー操作を介して変更する場合、「パスワード・ライフサイクル・ルール」のこれら3つのオプションをすべて無効にしてください。
これら3つのオプションを無効にした後にパスワードを手動で変更する唯一の方法は、「パスワードのリセット」オプションを使用することです(第5.1.3.5.2項「アカウント・パスワードのリセット」を参照)。この場合でも、Oracle Privileged Account Managerを使用することで1つの場所から複数のシステムのパスワードをリセットして集中管理できるため、Oracle Privileged Account Managerは役に立ちます。

4. 「パスワードの複雑性ルール」タブを選択して、デフォルト・パスワード要件を定義する1つ以上のパラメータを変更します。

パラメータ

説明

パスワードの文字

必要な文字の最小数と最大数を指定します。

英字

必要なアルファベット文字の最小数を指定します。

数字

必要な数字の最小数を指定します。

英数字

必要な英数字の最小数を指定します。

特殊文字

必要な特殊文字(*や@など)の最小数と最大数を指定します。

繰返し文字

許可する繰返し文字の最小数と最大数を指定します。

一意文字

必要な一意文字の最小数を指定します。

大文字

必要な大文字の最小数を指定します。

小文字

必要な小文字の最小数を指定します。

開始文字(数字以外)

パスワードを開始するために必要な最初の文字を指定します。

必須文字

パスワードに必要な文字を指定します。

許可された文字

パスワードで許可する文字を指定します。

許可されていない文字

パスワードで許可しない文字を指定します。

パスワードとして許可されていない

「アカウント名」ボックスを有効に(選択)してパスワードでアカウント名の使用を禁止します。

5. 「特権アカウント」タブを選択して、デフォルト・パスワード・ポリシーを現在使用しているアカウントを確認します。

注意:

表にリストされている任意のアカウントに異なるパスワード・ポリシーを指定するには、「アカウント名」のリンクをクリックします。「アカウント」ページが表示されたら、「パスワード・ポリシー」メニューから異なるポリシー名を選択します。

6. ポリシーの編集を終了したら、「適用」をクリックして変更内容を保存します。

5.1.1.4 デフォルト使用ポリシーの変更

デフォルト使用ポリシーを変更するには、次の手順を実行します。

1. 「ホーム」ツリーから「使用ポリシー」を選択します。

2. 「ポリシー」タブが表示されたら、検索結果表のデフォルト使用ポリシー・リンクを選択して、3つのタブを含む「使用ポリシー: デフォルト・パスワード・ポリシー」ページを開きます。

3. 「一般フィールド」タブでは、「説明」フィールドの内容のみを変更できます。

4. 「使用ルール」タブを選択して、次の1つ以上のパラメータ設定を変更します。

パラメータ

説明

タイムゾーン

メニューから異なるタイムゾーンを選択します。

使用許可日

チェック・ボックスとドロップ・メニューを使用して、権限受領者にアカウントの使用を許可する時期を変更します。権限受領者がこのアカウントにアクセスできる1つ以上の曜日や時間帯を選択します。(デフォルト・アクセスは24x7です。)

有効期限日

次のオプションのいずれかを有効にして、権限受領者によるアカウントへのアクセス権の有効期限を変更します。

- アカウントの自動チェックイン: カウンタを使用して、「最終チェックアウト後の分数」の値を指定します。

- この日付のアカウントの自動チェックイン: カレンダ・アイコンをクリックすると、日時の選択ダイアログが表示されます。
月と年のメニューを使用するか、カレンダ内の日付をクリックして、有効期限日を指定します。

時間、分、秒のメニューを使用して「AM」または「PM」ボタンを有効にし、有効期限時刻を指定します。

注意:

共有特権アカウントの使用ポリシーを構成する場合、アカウントがチェックインされ、パスワードが適切な時期に反復されることを保証するため、自動チェックイン・オプションのいずれかを構成することをお薦めします。

また、共有アカウントにアクセスできるユーザーの数を制限し、アカウントにアクセスできる時期を指定してそれらのユーザーをさらに絞り込むことを検討してください。各ユーザーがアカウントにアクセスできる曜日や時間帯を指定することで、チェックアウトの重複を最小限に抑え、Oracle Privileged Account Managerの監査機能を向上します。

共有アカウントの詳細は、第2.4.2項「共有アカウントの保護」を参照してください。

5. 「権限受領者」タブを選択して、このポリシーが割り当てられている権限受領者を表示します。

注意:

表にリストされている任意の権限受領者に異なる使用ポリシーを指定するには、「アカウント名」のリンクをクリックします。「アカウント」ページが表示されたら、「使用ポリシー」メニューから異なるポリシー名を選択します。

ヒント:

「権限受領者名」または「アカウント名」列のアクティブ・リンクをクリックすると、追加情報を含む他の画面にナビゲートできます。

6. ポリシーの編集を終了したら、「適用」をクリックして変更内容を保存します。

5.1.1.5 新規パスワード・ポリシーの作成

新規パスワード・ポリシーを作成するには、次の手順を実行します。

1. 「ホーム」ツリーから「パスワード・ポリシー」ノードを選択します。

2. 「ポリシー」タブが表示されたら、検索結果表の上部にある「パスワード・ポリシーの作成」をクリックします。
3つのタブを含む新しい「パスワード・ポリシー: 無題」ページが表示されます。

3. 次の情報を「一般」タブで入力します。

1. ポリシー名: 新規ポリシーの名前を入力します。

2. ポリシー・ステータス: ボタンをクリックしてポリシーが「アクティブ」であるか「無効」であるかを指定します。
ポリシーを無効にすると、その無効化されたポリシーに関連付けられたすべてのアカウントおよび権限付与にデフォルト・パスワード・ポリシーが適用されます。これらのアカウントおよび権限付与に単に異なるポリシーを割り当てると、古いポリシー割当てに関する情報はすべて失われます。

ポリシーをアクティブにすると、関連付けられたアカウントおよび権限付与に対してそのポリシーが有効になります。

3. パスワード・ライフサイクル・ルールを構成し、一定の状況下でOracle Privileged Account Managerがランダム化されたアカウント・パスワードを自動生成して設定できるようにします(手順3を参照)。

4. 「パスワードの複雑性ルール」タブのパラメータを使用して、パスワードの複雑性ルールの要件を定義します。これらのパラメータ設定の詳細は、手順4の表を参照してください。

5. 第5.1.1.8項「ポリシーの割当て」の手順を使用してアカウントまたは権限受領者にポリシーを割り当てます。
このポリシーを割り当てた後、「特権アカウント」タブを選択すると、このポリシーを使用しているアカウントを確認できます。

6. 「保存」をクリックします。

5.1.1.6 新規使用ポリシーの作成

新規使用ポリシーを作成するには、次の手順を実行します。

1. 「ホーム」ツリーから「使用ポリシー」ノードを選択します。

2. 「ポリシー」タブが表示されたら、検索結果表の上部にある「使用ポリシーの作成」をクリックします。
3つのタブを含む新しい「使用ポリシー: 無題」ページが表示されます。

3. 次の情報を「一般」タブで入力します。

1. ポリシー名: 新規ポリシーの名前を入力します。

2. ポリシー・ステータス: ボタンをクリックしてポリシー・ステータスが「アクティブ」であるか「無効」であるかを指定します。
ポリシーを無効にすると、その無効化されたポリシーに関連付けられたすべてのアカウントおよび権限付与にデフォルト使用ポリシーが適用されます。これらのアカウントおよび権限付与に単に異なるポリシーを割り当てると、古いポリシー割当てに関する情報はすべて失われます。

ポリシーをアクティブにすると、関連付けられたアカウントおよび権限付与に対してそのポリシーが有効になります。

3. 説明: ポリシーの説明を入力します。

4. 「使用ルール」タブを選択します。このページのオプションを使用して、特権アカウントを使用するためのルールを定義します。これらのパラメータ設定の詳細は、手順4の表を参照してください。

5. 第5.1.1.8項「ポリシーの割当て」の手順を使用してアカウントまたは権限受領者にポリシーを割り当てます。
このポリシーを割り当てた後、「権限受領者」タブを選択すると、このポリシーを使用しているユーザーまたはグループを確認できます。

6. 「保存」をクリックします。

5.1.1.7 ポリシーの検索

ポリシーを検索するには、次の手順を実行します。

1. 「ホーム」ツリーで次の操作を実行します。

- 「ポリシー」を選択して、すべてのポリシーを検索します。

- 「パスワード・ポリシー」ノードまたは「使用ポリシー」ノードを選択して、選択したポリシー・タイプのポリシーを検索します。

2. 「ポリシーの検索」ポートレットが表示されたら、次の1つ以上のフィールドに検索基準を入力します。

- ポリシー名: ポリシー名の全部または一部を入力します。

- ポリシー・ステータス: すべてのポリシーを検索するには「すべて」を選択します。アクティブまたは非アクティブなポリシーのみに検索を制限するには、「アクティブ」または「非アクティブ」を選択します。

- ポリシー・タイプ: 「すべて」を選択してすべてのポリシーを検索するか、「パスワード・ポリシー」または「使用ポリシー」を指定して、選択したポリシー・タイプのみに検索を制限します。

注意:

手順1で「パスワード・ポリシー」または「使用ポリシー」を選択すると、そのポリシー・タイプが自動的に「ポリシー・タイプ」フィールドに入力されます。

3. 「検索」をクリックします。

検索結果表で検索結果を確認します。

5.1.1.8 ポリシーの割当て

前述のとおり、新しい特権アカウントを追加すると、そのアカウントにデフォルト・パスワード・ポリシーおよびデフォルト使用ポリシーが自動的に割り当てられます。

別のパスワード・ポリシーまたは使用ポリシーを割り当てるには、最初に第5.1.1.5項「新規パスワード・ポリシーの作成」または第5.1.1.6項「新規使用ポリシーの作成」の説明に従ってポリシーを作成する必要があります。

注意:

- セキュリティ管理者管理ロールを持つ管理者は、アカウントにパスワード・ポリシーまたは使用ポリシーを割り当てることができます。ただし、このロールでは、アカウント・レベルでのみ使用ポリシーを適用できます。

- 「ユーザー・マネージャ」管理ロールを持つ管理者は、権限受領者とアカウントのペア・レベルでアカウントに使用ポリシーを割り当てることができます。つまり、ユーザー・マネージャは、同じアカウントの異なる権限受領者に異なる使用ポリシーを割り当てることができます。
「ユーザー・マネージャ」管理ロールでは、パスワード・ポリシーを割り当てることはできません。

5.1.1.8.1 アカウントへのパスワード・ポリシーの割当て

アカウントへのパスワード・ポリシーの割当ては、「アカウント」ページ、「ターゲット」ページまたは「ポリシー」ページから行うことができます。

「アカウント」ページでは次の操作を実行します。

「アカウント」ページからパスワード・ポリシーを割り当てるには、次の手順を実行します。

1. 次のいずれかの方法を使用してアカウントを特定します。

- 「ホーム」ツリーで「アカウント」ノードを選択し、次に「アカウントの検索」ポートレットを使用してアカウントを検索します。手順については、第5.1.3.3項「特権アカウントの検索」を参照してください。

- 「ホーム」ツリーでアカウントの「ターゲット・タイプ」ノードまたは「ドメイン」ノードを選択します。
たとえば、アカウントがLDAPターゲットに割り当てられていることがわかっている場合、ldapノードを選択します。

2. 検索結果が表示されたら、表にあるアカウントの「アカウント名」のリンクをクリックし、「アカウント: AccountName」ページを開きます。

3. 「一般」タブで、「パスワード・ポリシー」メニューから異なるポリシー名を選択します。

4. 新しいポリシーを選択した後、「テスト」をクリックし、アカウントをOracle Privileged Account Managerで管理できることを確認します。通常は、テストの成功を示す「テストに成功しました」というダイアログが表示されます。

5. 「適用」をクリックして、選択したアカウントへのポリシーの割当てを終了します。

「ターゲット」ページでは次の操作を実行します。

「ターゲット」ページからパスワード・ポリシーを割り当てるには、次の手順を実行します。

1. 次のいずれかの方法を使用してアカウントを特定します。

- 「ホーム」ツリーで「ターゲット」ノードを選択し、次に「ターゲットの検索」ポートレットを使用してアカウント・ターゲットを検索します。手順については、第5.1.2.3項「ターゲットの検索」を参照してください。

- 「ホーム」ツリーでアカウントの「ターゲット・タイプ」ノードまたは「ドメイン」ノードを選択します。
たとえば、アカウントがUNIXターゲットに割り当てられていることがわかっている場合、unixノードを選択します。

2. 検索結果表にあるアカウントの「ターゲット名」のリンクをクリックし、「ターゲット: TargetName」ページを開きます。

3. 「特権アカウント」タブをクリックし、ターゲットで現在管理されているアカウントのリストを表示します。
表に、各アカウントに現在割り当てられているパスワード・ポリシーがリストされます。

4. アカウントを特定して「アカウント名」のリンクをクリックします。

5. 「一般」タブが表示されたら、「パスワード・ポリシー」メニューから異なるポリシー名を選択します。

6. 新しいポリシーを選択した後、「テスト」をクリックし、アカウントをOracle Privileged Account Managerで管理できることを確認します。通常は、テストの成功を示す「テストに成功しました」というダイアログが表示されます。

7. 「適用」をクリックして、選択したアカウントへのポリシーの割当てを終了します。

「ポリシー」ページでは次の操作を実行します。

「ポリシー」ページからパスワード・ポリシーを割り当てるには、次の手順を実行します。

1. 「ホーム」ツリーで「パスワード・ポリシー」ノードを選択します。

2. 割り当てるポリシーを検索結果表で特定します。「ポリシー名」のリンクをクリックし、「パスワード・ポリシー: PolicyName」ページを開きます。

3. 「特権アカウント」タブを選択します。

4. アカウントを特定し、「アカウント名」のリンクをクリックして「アカウント: AccountName」ページを開きます。

5. 「一般」タブが表示されたら、「パスワード・ポリシー」メニューから異なるポリシー名を選択します。

6. 新しいポリシーを選択した後、「テスト」をクリックし、アカウントをOracle Privileged Account Managerで管理できることを確認します。通常は、テストの成功を示す「テストに成功しました」というダイアログが表示されます。

7. 「適用」をクリックして、選択したアカウントへのポリシーの割当てを終了します。

5.1.1.8.2 ユーザーおよびグループへの使用ポリシーの割当て

第5.1.4.2項「ユーザーへのアカウントの付与」または第5.1.4.3項「グループへのアカウントの付与」の説明に従ってアカウントに権限受領者を追加すると、Oracle Privileged Account Managerによって「権限付与」タブの「ユーザー」または「グループ」表にユーザー名またはグループ名が追加され、デフォルト使用ポリシーが自動的に割り当てられます。

「アカウント」ページまたは「使用ポリシー」ページから異なる使用ポリシーを割り当てることができます。

注意:

アカウントの新しい使用ポリシーを作成しても、新しいポリシーはそのアカウントの既存の権限受領者に自動的に割り当てられません。Oracle Privileged Account Managerでは、個々の権限受領者にカスタマイズされたポリシーを割り当てることができるため、新しいポリシーでこれらの他のポリシー割当てを上書きすることは好ましくありません。

ただし、アカウントの新しいポリシーを作成してから新しい権限受領者を追加する場合、これらの(および将来の)権限受領者は、そのポリシーに自動的に関連付けられます(それがアカウントの新しいデフォルト使用ポリシーになっているため)。

「アカウント」ページでは次の操作を実行します。

「アカウント」ページから使用ポリシーを割り当てるには、次の手順を実行します。

1. 次のいずれかの方法を使用してアカウントを特定します。

- 「ホーム」ツリーで「アカウント」ノードを選択し、次に「アカウントの検索」ポートレットを使用してアカウントを検索します。手順については、第5.1.3.3項「特権アカウントの検索」を参照してください。

- 「ホーム」ツリーでアカウントの「ターゲット・タイプ」ノードまたは「ドメイン」ノードを選択します。
たとえば、アカウントがLDAPターゲットに割り当てられていることがわかっている場合、ldapノードを選択します。

2. アカウントの「アカウント名」のリンクを特定して「アカウント: AccountName」ページを開きます。

3. 「権限付与」タブを選択します。

4. 「ユーザー」または「グループ」表で権限受領者を特定し、その行の「使用ポリシー」メニューを使用して異なるポリシーを選択します。

5. 「適用」をクリックして変更を追加します。

「ターゲット」ページでは次の操作を実行します。

「ターゲット」ページから使用ポリシーを割り当てるには、次の手順を実行します。

1. 次のいずれかの方法を使用してアカウントを特定します。

- 「ホーム」ツリーで「ターゲット」ノードを選択し、次に「ターゲットの検索」ポートレットを使用してアカウント・ターゲットを検索します。手順については、第5.1.2.3項「ターゲットの検索」を参照してください。

- 「ホーム」ツリーでアカウントの「ターゲット・タイプ」ノードまたは「ドメイン」ノードを選択します。
たとえば、アカウントがUNIXターゲットに割り当てられていることがわかっている場合、unixノードを選択します。

2. 検索結果表にあるアカウントのターゲット名をクリックし、そのターゲットを開きます。

3. 「ターゲット: TargetName」ページが表示されたら、「権限付与」タブをクリックし、そのアカウントへのアクセス権を現在付与されている権限受領者のリストを表示します。
表に、各権限受領者に現在割り当てられている使用ポリシーがリストされます。

4. 「ユーザー」または「グループ」表で権限受領者を特定し、その行の「使用ポリシー」メニューを使用して異なるポリシーを選択します。

5. 「適用」をクリックして、選択したアカウントへのポリシーの割当てを終了します。

「ポリシー」ページでは次の操作を実行します。

「ポリシー」ページから使用ポリシーを割り当てるには、次の手順を実行します。

1. 「ホーム」ツリーで「使用ポリシー」ノードを選択します。

2. 検索結果が表示されたら、割り当てるポリシーを検索結果表で特定します。「ポリシー名」のリンクをクリックし、「使用ポリシー: PolicyName」ページを開きます。

3. 「権限受領者」タブを選択します。

4. 「権限受領者」表でユーザー名またはグループ名を特定し、その権限受領者の「アカウント名」のリンクをクリックしてアカウントを開きます。

5. 「アカウント: AccountName」ページが表示されたら、「権限付与」タブをクリックします。

6. 「ユーザー」または「グループ」表で権限受領者を特定し、その行の「使用ポリシー」メニューを使用して異なるポリシーを選択します。

7. 「適用」をクリックして変更を追加します。

5.1.1.9 ポリシーの削除

ポリシーを削除するには、次の手順を実行します。

1. 削除するポリシーを特定して選択します。

2. 「削除」アイコンをクリックします。

3. 「削除の確認」ポップアップが表示されたら、「削除」ボタンをクリックします。
ポリシーが削除され、そのポリシーを使用しているすべてのアカウントは、適用可能なデフォルト・ポリシーを使用するように戻ります。

5.1.2 ターゲットの使用

この項では、Oracle Privileged Account Managerでターゲットを使用する場合に実行できる様々なタスクについて説明します。

注意:

ターゲットを追加、編集または削除するには、セキュリティ管理者管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

この項の内容は次のとおりです。

- ターゲットとは

- Oracle Privileged Account Managerへのターゲットの追加

- ターゲットの検索

- ターゲットを開く

- Oracle Privileged Account Managerからのターゲットの削除

5.1.2.1 ターゲットとは

ターゲットとは、ユーザー、システムまたはアプリケーション・アカウントを格納および使用し、それらに依存するソフトウェア・システムです。

ターゲットは、Oracle Privileged Account Managerを使用して環境に作成することや、環境から削除することはできません。かわりに、Oracle Privileged Account Managerは、他のメカニズムを使用してプロビジョニングされた既存のターゲットを管理します。

Oracle Privileged Account Managerでターゲットを追加すると、そのターゲットに対する参照が作成されます。実際には、ターゲットを登録してOracle Privileged Account Managerにその管理を依頼することになります。Oracle Privileged Account Managerからターゲットを削除すると、単にその参照が削除されます。

5.1.2.2 Oracle Privileged Account Managerへのターゲットの追加

注意:

いずれかのターゲット・タイプのターゲットを追加する場合、そのアカウントで次のことができる権限を持つサービス・アカウント(無人アカウントとも呼ばれる)を構成する必要があります。

- ターゲット・システムでのアカウントの検索

- ターゲット・システムでのアカウントのパスワードの変更

サービス・アカウントの詳細は、1-3ページの説明を参照してください。

Oracle Privileged Account Managerで管理するターゲットを追加するには、次の手順を実行します。

1. Oracle Privileged Account Managerにログインして「ホーム」アコーディオンを開きます。

2. 「ターゲット」ノードを選択して「ターゲット」ページを開きます。

3. 検索結果表のツールバーにある「追加」をクリックし、2つのタブを含む新しい「ターゲット: 無題」ページを開きます。

- 一般: ターゲットの「基本構成」および「拡張構成」情報を指定するためのパラメータを含む2つの領域があります。

- 特権アカウント: ターゲットで現在管理されている特権アカウントのリストが含まれ、そのターゲットによって管理されているアカウントを追加、オープンおよび削除できます。

4. 「ターゲット・タイプ」メニューからターゲット・タイプ(ldap、unixまたはdatabase)を選択します。
「ターゲット: 無題」ページがリフレッシュされ、選択したターゲット・タイプに基づいてターゲットの構成パラメータが変更されます。(アスタリスク*記号で示された)すべての必須属性を指定する必要があります。

次のパラメータはすべてのターゲット・タイプに共通です。

- ターゲット名: 新しいターゲットの名前を入力します。

- 説明: このターゲットの説明を入力します。

- 組織: ターゲットに関連付ける組織の名前を入力します。

- ドメイン: ターゲット・サーバーのドメインを入力します。

- ホスト: ターゲット・サーバーのホスト名を入力します。

次の表では、各ターゲット・タイプに固有の他の基本構成パラメータについて説明します。

表5-2 ターゲットの基本構成パラメータ

LDAPターゲット・タイプ

UNIXターゲット・タイプ

データベース・ターゲット・タイプ

TCPポート: LDAPサーバーとの通信時に使用するTCP/IPポートを入力します。

上向きまたは下向きの矢印アイコンを使用して、この値を増加できます。

ポート: UNIXサーバーに接続するためのポートを入力します。

たとえば、FTPにはポート22を、Telnetにはポート23を使用します。

上向きまたは下向きの矢印アイコンを使用して、この値を増加できます。

データベース接続URL: ターゲット・システムの場所を識別するために使用するJDBC URLを入力します。次に例を示します。

- Oracle: jdbc:oracle:thin:@<host>:
<port>:<sid>

- MSSQL: jdbc:sqlserver://<host>:
<port>;database=<database>

- MySQL: jdbc:mysql://<host>:
<port>/<database>

- DB2: jdbc:db2://<host>:<port>/
<database>

- Sybase: jdbc:sybase:Tds:<host>:
<port>/<database>

SSL: LDAPサーバーへの接続時にSecure Socket Layer (SSL)を使用する場合、このボックスを選択します。

注意: SSLで接続する場合、Oracle Privileged Account Managerを実行しているWebLogicサーバーにSSL証明書をインポートする必要があります。詳細は、第3.3.2項「Oracle Privileged Account ManagerでのSSL通信の構成」を参照してください。

ログイン・ユーザー: このターゲットへの接続時に使用するユーザー名を入力します。

管理ユーザー名: このターゲットへの接続時に使用する管理者の名前を入力します。

注意: sysユーザー名を使用する場合、「拡張構成」領域にある接続プロパティ・フィールドにinternal_logon=sysdbaと入力する必要があります。この入力は、systemでは必要ありません。

プリンシパル: LDAPサーバーに対する認証時に使用する識別名(DN)を入力します。

たとえば、cn=adminとします。

ログイン・ユーザー・パスワード: ユーザーのパスワードを入力します。

管理ユーザー・パスワード: ユーザーのパスワードを入力します。

パスワード: ユーザーのパスワードを入力します。

ログイン・シェル・プロンプト: ターゲットへのログイン時に表示するシェル・プロンプトを入力します。たとえば、$または#とします。

データベース・タイプ: コネクタを使用するデータベースのタイプ(OracleまたはMSSQL)を選択します。

このコネクタでは、Oracle MSSQL、MySQL、DB2およびSybaseの各データベース・タイプがサポートされます。

カスタム・データベース・タイプと連携するようにこのコネクタを構成することもできます。

ベース・コンテキスト: LDAPサーバーのツリーでユーザーを検索する場合や、ユーザーがメンバーであるグループを検索する場合に使用するLDAPツリーの1つ以上の開始点を入力します。パイプ(|)を使用して値を区切ります。

Sudo認可: ユーザーがsudo認可を必要とする場合、このボックスを選択します。

rootユーザーの場合はこのボックスを選択しないでください。

アカウント・ユーザー名属性: アカウントのユーザー名として使用する属性を入力します。(デフォルトはuidです。)

5. 次のオプションの拡張構成パラメータも指定できます。

表5-3 ターゲットの拡張構成パラメータ

LDAPターゲット・タイプ

UNIXターゲット・タイプ

データベース・ターゲット・タイプ

UID属性: Uid属性にマップされているLDAP属性の名前を入力します。

コマンド・タイムアウト: コマンドを中断せずに完了するまで待機する時間(ミリ秒)を指定します。

接続プロパティ: セキュアな接続を構成する場合に使用する接続プロパティを入力します。これらのプロパティは、prop1=val1#prop2=val2という書式で指定された名前/値ペアにする必要があります。

アカウントを取得するLDAPフィルタ: LDAPリソースから返されるアカウントを制御するためのオプションのLDAPフィルタを入力します。フィルタを指定しない場合、Oracle Privileged Account Managerでは、指定したすべてのオブジェクト・クラスを含むアカウントのみが返されます。

パスワード属性: パスワードを保持するLDAP属性の名前を入力します。

ユーザーのパスワードを変更すると、Oracle Privileged Account Managerによってこの属性に新しいパスワードが設定されます。

アカウント・オブジェクト・クラス: LDAPツリーに新しいユーザー・オブジェクトを作成する場合に使用する1つ以上のオブジェクト・クラスを入力します。

個々の行に各オブジェクト・クラスを入力します。エントリを区切るのにカンマまたはセミコロンは使用しません。

一部のオブジェクト・クラスは、値を区切るためのパイプ(|)を使用してクラス階層を指定する必要があります。

6. 終了したら、「テスト」をクリックしてターゲットの構成を確認します。
ターゲットの構成設定が有効な場合、「テストに成功しました」というメッセージが表示されます。

7. 「保存」をクリックして、Oracle Privileged Account Managerサーバーに新しいターゲットを追加します。

これで、このターゲットを特権アカウントに関連付けることができます。手順については、第5.1.3.2項「Oracle Privileged Account Managerへの特権アカウントの追加」を参照してください。

5.1.2.3 ターゲットの検索

管理者権限を持っている場合、次の基準またはこれらの項目の組合せを使用してターゲットを検索できます。

- ターゲット名

- ターゲット・タイプ

- ホスト名

- ドメイン

ターゲットを検索するには、次の手順を実行します。

1. 「ホーム」ツリーで「ターゲット」ノード、ターゲット・タイプ・ノードまたはドメイン・ノードを選択します。

2. 「ターゲット」タブが表示されたら、「ターゲットの検索」ポートレットのパラメータ・フィールドを使用して検索基準を指定します。

注意:

ターゲット・タイプ・ノードまたはドメイン・ノードの選択から開始した場合、Oracle Privileged Account Managerによって、その情報が「ターゲット・タイプ」フィールドまたは「ドメイン」フィールドに自動的に挿入されます。

3. 「検索」をクリックします。
検索結果表で検索結果を確認します。

5.1.2.4 ターゲットを開く

ターゲットを開いて、ターゲットの構成パラメータとそれに関連する特権アカウント・パラメータを確認および編集できます。

次のいずれかの方法を使用してターゲットを開きます。

- 検索結果表のターゲット名(アクティブ・リンク)をクリックします。

- ターゲットの行を選択して「開く」アイコンをクリックします。

ターゲットおよび特権アカウント情報にアクセスできる「ターゲット: targetname」ページが表示されます。

5.1.2.5 Oracle Privileged Account Managerからのターゲットの削除

ターゲットを削除するには、検索結果表からターゲットを選択して「削除」アイコンをクリックします。

5.1.3 特権アカウントの使用

この項では、Oracle Privileged Account Managerで特権アカウントを使用する場合に実行できる様々なタスクについて説明します。

注意:

管理者は、特定のデプロイメント内でどのアカウントに特権を付与するかを決定し、それらのアカウントを管理するようにOracle Privileged Account Managerを構成する必要があります。

アカウントを追加および管理するには、セキュリティ管理者管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

この項の内容は次のとおりです。

- 特権アカウントとは

- Oracle Privileged Account Managerへの特権アカウントの追加

- 特権アカウントの検索

- アカウントを開く

- アカウント・パスワードの管理

- アカウントのチェックアウト

- アカウントのチェックイン

- Oracle Privileged Account Managerからの特権アカウントの削除

5.1.3.1 特権アカウントとは

ターゲット上のアカウントは、そのアカウントがデプロイメント内で次の特徴を持つ場合に特権アカウントであるとみなされます。

- 昇格された権限に関連付けられている

- 複数のエンド・ユーザーによってタスク別に使用される

- その使用を制御および監査する必要がある

アカウントは、Oracle Privileged Account Managerを使用して環境に作成することや、環境から削除することはできません。Oracle Privileged Account Managerは、他のメカニズムを使用してプロビジョニングされた既存のアカウントの管理のみを行います。

Oracle Privileged Account Managerでアカウントを追加すると、そのアカウントに対する参照が作成されます。実際には、アカウントを登録してOracle Privileged Account Managerにその管理を依頼することになります。Oracle Privileged Account Managerからアカウントを削除すると、単にそのアカウントに対する参照が削除されます。

Oracle Privileged Account Managerによって、システムとアプリケーション・アカウントの両方を管理できます。次の「システム・アカウントの管理」および「アプリケーション・アカウントの管理」を参照してください。

5.1.3.1.1 システム・アカウントの管理

Oracle Privileged Account Managerの主な目的は、サポートされるターゲット・システム上の特権システム・アカウントを管理することです。Oracle Privileged Account Managerでは、特権システム・アカウントの構成要素の要件はなく、ターゲット・システム上の任意のアカウントを管理できます。管理者は、特権アカウントの識別を担当します。特権アカウントは、通常、ユーザーが管理タスクを実行できるシステム・アカウントです。

特権アカウントは、組織内の複数の個人ユーザーによって使用および共有され、管理者がそれらのアカウントの使用を追跡する必要がある場合、Oracle Privileged Account Managerによる管理に適しています。

識別が終わったら、管理者は、次の手順を実行してそのアカウントを管理対象の特権アカウントとしてOracle Privileged Account Managerに登録します。

1. Oracle Privileged Account Managerにターゲットを追加します(まだ実行していない場合)。手順については、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

2. 識別した特権アカウントをターゲットに追加し、パスワード・ポリシーを割り当てます。手順については、第5.1.3.2項「Oracle Privileged Account Managerへの特権アカウントの追加」および第5.1.1項「ポリシーの使用」を参照してください。

3. アクセス権を直接エンド・ユーザーに付与するか、LDAPロールまたはグループを使用して付与し、使用ポリシーを割り当てます。手順については、第5.1.4.2項「ユーザーへのアカウントの付与」および第5.1.1項「ポリシーの使用」を参照してください。

5.1.3.1.2 アプリケーション・アカウントの管理

アプリケーションは、実行時にアプリケーション・アカウントを使用してターゲット・システムに接続します。従来、これらのアカウントは、管理者によってインストール時に一度設定され、その後は忘れられていました。結果として、アプリケーション・アカウントは、デプロイメントにおいて隠れた脆弱性となる可能性があります。たとえば、期限切れのポリシーを使用して作成されたために時間の経過とともにパスワードの安全性が低下したり、一般的に使用されるデプロイメント・パスワードが危殆化することがあります。

Oracle Privileged Account Managerによって、アプリケーション・アカウントの管理性を向上できます。特に、資格証明ストアにアプリケーション・アカウントを格納するアプリケーションに向いています。これらのアプリケーションでは、資格証明ストア・フレームワークを通じて資格証明ストアから実行時にアカウント資格証明を取得します。

たとえば、アプリケーション・アカウントは、本質的にシステム・アカウントの特別なバージョンであるため、第5.1.3.1.1項「システム・アカウントの管理」の説明に従ってOracle Privileged Account Managerに登録できます。次に、そのアカウントに依存するすべてのアプリケーションに対して対応するCSFマッピングを追加できます(これによって、CSFはCSF内に格納されている資格証明を一意に識別し、アプリケーションはCSFでその資格証明を検出します)。CSFマッピングの詳細は、『Oracle® Fusion Middlewareアプリケーション・セキュリティ・ガイド』のマップ名のガイドラインに関する項を参照してください。

アカウントのCSFマッピングをOracle Privileged Account Managerに登録すると、アカウントのパスワードが変更されるたびに、Oracle Privileged Account Managerによって新しいパスワードを反映するように登録済のマッピングに対応するCSFエントリが更新され、アプリケーションはサービスを中断することなく動作し続けます。

注意:

Oracle Privileged Account ManagerがCSFを更新(同期化)するのは、パスワードの変更が発生した場合のみです。

また、アカウント・パスワードを定期的に反復するこれらのアプリケーションにパスワード・ポリシーを適用できます。パスワードを反復すると、アプリケーション・アカウントが常に最新の企業ポリシーに準拠し、安全であることが保証されます。Oracle Privileged Account Managerは、サービスを中断することなくこのタスクを実行します。

最後に、Oracle Privileged Account Managerでは、システム・アカウント(複数のエンド・ユーザーによって共有および使用される)とアプリケーション・アカウント(実行時にアプリケーションによってのみ使用される)の両方のアカウントが同時にサポートされることを意識しておくと役立ちます。この構成では、アクセス権を付与されている人間のエンド・ユーザーがアプリケーション・アカウントをチェックアウトし、アプリケーション機能を損なうことなくそのアプリケーションとして手動の管理操作を実行できます。

アプリケーション・アカウントの詳細は、第1.2.4項「Oracle Privileged Account Manager管理のCSF資格証明」を参照してください。

5.1.3.1.3 アカウントの共有

Oracle Privileged Account Managerでは、アカウントを共有するか共有しないかを指定できます。

- 共有アカウントでは、複数のユーザーが同時にアカウントをチェックアウトできます。

- 非共有アカウント(デフォルト)では、同時にアカウントをチェックアウトできるのは1人のユーザーのみです。

非共有アカウントの方が安全性が高いため、業務上やむを得ない理由がある場合にのみ、アカウントを共有として指定することをお薦めします。共有が必要な場合、必ず第2.4.2項「共有アカウントの保護」を参照してください。

注意:

共有アカウントを構成する場合、ユーザーは、アカウントのチェックイン後もパスワードを使用できることに注意してください。Oracle Privileged Account Managerでは、最後のユーザーがアカウントをチェックインするまでアカウント・パスワードはリセットされません。

これは、共有アカウントのセキュリティの制限です。

5.1.3.2 Oracle Privileged Account Managerへの特権アカウントの追加

注意:

アカウントは常にターゲットに追加するため、アカウントを追加する前にターゲット・オブジェクトを追加する必要があります。詳細は、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

新しい特権アカウントを追加するには、次の手順を実行します。

1. 「ホーム」アコーディオンを開きます。

2. 次のいずれかの方法を使用して、アカウントを追加するターゲットを特定します。

- 「ターゲット」ノードを展開してサブツリーからターゲットを選択します。

- 「ターゲット」ノードをクリックし、「ターゲットの検索」ペインに検索基準を指定してターゲットを検索します。

3. 検索結果表の「ターゲット名」のリンクをクリックしてターゲットを開きます。

4. 「特権アカウント」タブを選択します。

5. 検索結果表のツールバーにある「追加」をクリックします。
次の3つのサブタブを含む「アカウント: 無題」ページが表示されます。

- 一般: アカウントを追加するために必要な情報の指定に使用します。

- 権限付与: ユーザーおよびグループ(権限受領者)をアカウントに関連付けるために使用します。

- 資格証明ストア・フレームワーク: アカウントの資格証明ストア・フレームワーク(CSF)のマッピングを追加または削除するために使用します。

これらのタブと次の項にある手順を使用してアカウントを追加します。

- アカウントの追加

- 権限受領者の追加

- CSFマッピングの追加

6. 終了したら、「保存」をクリックします。

5.1.3.2.1 アカウントの追加

新しいアカウントを追加するには、次のように「一般」タブの「ステップ1: ターゲットの設定」および「ステップ2: アカウントの追加」セクションの入力を完了する必要があります。

1. 「ターゲット名」が未定義の場合、検索アイコンをクリックします。

2. 「ターゲットの設定」ダイアログが表示されたら、「ターゲット名」フィールドに値を入力し、「検索」ボタンをクリックしてアカウントを追加するターゲットを特定します。
たとえば、ターゲット名が「r」で始まることがわかっている場合、「ターゲット名」フィールドにrを入力して「検索」ボタンをクリックします。

3. 検索結果が検索結果表に表示されたら、ターゲット名の横にある「行」ボックスを選択して「設定」をクリックします。
選択したターゲット名とそのターゲット・タイプが「一般」タブに表示されます。

4. 「ステップ2: アカウントの追加」セクションで、「アカウント名」が未定義の場合、検索アイコンをクリックします。

5. 「アカウントの設定」ダイアログが表示されたら、「アカウント名」フィールドに値を入力し、「検索」ボタンをクリックして追加するアカウントを特定します。
たとえば、アカウント名が「s」で始まることがわかっている場合、「アカウント名」フィールドにsを入力して「検索」ボタンをクリックします。

6. 検索結果が検索結果表に表示されたら、アカウント名の横にある「行」ボックスを選択して「設定」をクリックします。
選択したアカウントが「一般」タブに「アカウント名」として表示されます。

7. 「共有アカウント」ボックスを選択すると、複数のユーザーでこのアカウントを同時にチェックアウトできます。

注意:

詳細は、第5.1.3.1.3項「アカウントの共有」および第5.1.3.6項「アカウントのチェックアウト」を参照してください。

8. 「使用ポリシー」および「パスワード・ポリシー」を指定します。

注意:

Oracle Privileged Account Managerでは、新しいアカウントにデフォルト使用ポリシーおよびデフォルト・パスワード・ポリシーが自動的に割り当てられます。
ただし、新しいポリシーを作成できるのは、セキュリティ管理者または「ユーザー・マネージャ」管理ロールを持つOracle Privileged Account Manager管理者です。

設定されたデフォルト・ポリシーのままにするか、「使用ポリシー」および「パスワード・ポリシー」ドロップダウン・メニューから別のポリシーを選択できます。

ポリシーの詳細は、第5.1.1項「ポリシーの使用」を参照してください。

9. 「テスト」をクリックし、これらの設定を使用してOracle Privileged Account Managerでアカウントを管理できることを確認します。
アカウントの構成設定が有効な場合、「テストに成功しました」というメッセージが表示されます。

これで、アカウントに権限受領者とCSFマッピングを追加できます。詳細は、後続の項を参照してください。

5.1.3.2.2 権限受領者の追加

この項では、特権アカウントに権限受領者を追加するための手順について説明します。

注意:

新しいアカウントを追加しても、自動的にそのアカウントにアクセス権は付与されません。自分自身を権限受領者として追加するプロセスを完了する必要があります。

権限受領者を追加、編集または削除するには、「ユーザー・マネージャ」管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

ユーザーおよびグループを新しいアカウントに関連付けるには、「権限付与」タブを選択して次の手順を実行します。

- ユーザーを関連付けるには、「ユーザー」表のツールバーにある「追加」をクリックします。

1. 「ユーザーの追加」ダイアログで、「ユーザー名」フィールドに名前を入力し、矢印アイコンをクリックしてそのユーザーを検索します。

2. 検索結果が表示されたら、このアカウントに関連付ける各ユーザーを選択します。

3. ユーザーの追加が完了したら、「追加」をクリックして「閉じる」をクリックします。
Oracle Privileged Account Managerによって、これらのユーザー名が「権限付与」タブの「ユーザー」表に追加されます。

- グループを関連付けるには、「グループ」表のツールバーにある「追加」をクリックします。

1. 「グループの追加」ダイアログで、「グループ名」フィールドに名前を入力し、矢印アイコンをクリックしてそのグループを検索します。

2. 検索結果が表示されたら、このアカウントに関連付ける各グループを選択します。

3. グループの追加が完了したら、「追加」をクリックして「閉じる」をクリックします。
Oracle Privileged Account Managerによって、これらのグループ名が「権限付与」タブの「グループ」表に追加されます。

5.1.3.2.3 CSFマッピングの追加

Oracle Privileged Account Managerでは、Oracle資格証明ストア・フレームワーク(CSF)を使用してアカウント資格証明を安全に格納および同期化できます。この機能は、CSFに格納されたアプリケーション・パスワードのライフサイクルを管理するために便利です。

アカウントのCSF同期化を構成すると、Oracle Privileged Account Managerによって、割り当てられた使用ポリシーに基づいてアカウント・パスワードが変更されます。

注意:

Oracle Privileged Account ManagerがCSFを更新(同期化)するのは、パスワードの変更が発生した場合のみです。

アカウントにCSFマッピングを追加するには、次の手順を実行します。

1. 検索結果表の「アカウント名」のリンクを選択します。

2. 「アカウント: AccountName」ページが表示されたら、「資格証明ストア・フレームワーク」タブを選択して「追加」をクリックします。

3. 次の情報を入力します。

- 管理サーバーURL: protocol://listen-address:listen-portという書式でサーバーURLを入力します。

- 「ユーザー名」および「パスワード」: ユーザーの資格証明を入力します。

- マッピング: マップ名を入力します。

- キー: 資格証明を識別する一意キーを入力します。

4. 「追加」を再度クリックして別のマッピングを作成します。必要な数だけCSFマッピングを作成できます。

5.1.3.3 特権アカウントの検索

次の1つ以上のパラメータを使用してアカウントを検索できます。

- アカウント名

- ターゲット名

- ターゲット・タイプ

- ドメイン

アカウントを検索するには、次の手順を実行します。

1. 「ホーム」ツリーの「アカウント」ノードを選択します。

2. 「アカウント」タブが表示されたら、「アカウントの検索」ペインに検索基準を入力して「検索」をクリックします。
たとえば、特定のターゲットにおけるすべてのアカウントのリストを検索するには、ターゲット名を入力して「検索」をクリックします。検索結果が検索結果表に表示されます。

注意:

検索結果表の上にある「ステータス」メニューを使用すると、アカウント・ステータスに基づいて検索結果を制御できます。詳細は、第3.4.5項「検索結果表の使用」を参照してください。

3. 別の検索を実行するには、「リセット」をクリックします。

5.1.3.4 アカウントを開く

アカウントを開いて、そのアカウントの構成パラメータを表示または編集できます。

次のいずれかの方法を使用してアカウントを開きます。

- 検索結果表のアカウント名(アクティブ・リンク)をクリックします。

- アカウントの行を選択して「アカウントを開く」をクリックします。

「アカウント: accountname」ページが表示され、関連付けられたターゲット、一般的なアカウント・パラメータ、権限受領者およびCSFマッピングに関する情報にアクセスできます。

5.1.3.5 アカウント・パスワードの管理

Oracle Privileged Account Managerには、アカウント・パスワードを管理するための2つのオプションがあります。

- パスワードの表示: アカウントのパスワードが表示されます。
チェックアウトしたアカウントのパスワードを忘れた場合、この機能を使用してそのパスワードを再表示できます。

どのユーザーでも、「パスワードの表示」を使用して、自分がチェックアウトしたアカウントの現在のパスワードを確認できます。ただし、アカウントをチェックインした後にパスワードにアクセスすることや、他のユーザーがチェックアウトしたアカウントのパスワードを表示することはできません。このような場合、「パスワードの表示」をクリックするとエラーが発生します。

セキュリティ管理者または「ユーザー・マネージャ」管理ロールを持つ管理者は、システムおよびターゲットのすべてのサービス・アカウントにアクセスできますが、この機能を使用することで、チェックアウトした特権アカウントとチェックインした特権アカウントの両方の現在のパスワードを表示できます。

- パスワードのリセット: 既存のアカウント・パスワードをリセットします。
セキュリティ管理者は、ランダム化されたパスワード生成を使用しない場合、任意のパスワードを手動で設定できます。たとえば、管理者は、システム・アップグレード時などに1回かぎりで使用するため、簡単に入力できる単純なパスワードを設定できます。

アカウント・パスワードをリセットできるのは、セキュリティ管理者管理ロールを持つ管理者のみです。

手順については、第5.1.3.5.1項「アカウント・パスワードの表示」および第5.1.3.5.2項「アカウント・パスワードのリセット」を参照してください。

注意:

Oracle Privileged Account Managerコマンドライン・ツールを使用して、2つのパスワード管理操作を実行することもできます。手順については、A.2.28項「showpasswordコマンド」およびA.2.18項「resetpasswordコマンド」を参照してください。

Oracle Privileged Account Managerでは、両方のタイプのパスワード管理操作が監査され、パスワード・アクセスが追跡されます。

5.1.3.5.1 アカウント・パスワードの表示

選択したアカウントのパスワードを表示するには、次の手順を実行します。

1. 検索結果表のアカウントの行を選択します。

注意:

アカウント名などの表のアクティブ・リンクはクリックしないでください(クリックするとそのアカウントが開きます)。

2. 表の上にある「パスワードの表示」アイコンをクリックします。
選択したアカウントの名前とそのパスワードを含むポップアップ・メッセージが表示されます。

5.1.3.5.2 アカウント・パスワードのリセット

必要に応じて、次のように選択したアカウントのパスワードを手動でリセットできます。

1. 特権アカウントがチェックインされていることを確認します。
アカウントがチェックアウト状態にあると、手動パスワード・リセットは実行できません。

2. 検索結果表のアカウント行を選択します。

注意:

アカウント名などの表のアクティブ・リンクはクリックしないでください(クリックするとそのアカウントが開きます)。

3. 表の上にある「パスワードのリセット」アイコンをクリックします。
「パスワードのリセット」ダイアログが表示されます。

4. 「新規パスワード」フィールドにパスワードを入力し、「保存」をクリックします。
任意のパスワード文字列を使用できます。文字列は、Oracle Privileged Account Managerのパスワード・ポリシーに準拠している必要はありません(パスワード・ポリシーはランダム化されたパスワード生成に使用されるため)。

選択したアカウントの名前とそのパスワードを含むポップアップ・メッセージが表示されます。

5.1.3.6 アカウントのチェックアウト

管理者またはエンド・ユーザーは、アカウントへのアクセス権を付与されている場合、そのアカウントをチェックアウトできます。(詳細は、第5.1.4項「権限受領者の使用」を参照してください。)

注意:

アカウントを変更または削除するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

特権アカウントは、デフォルトでは共有されず、1人のユーザーがアカウントをチェックアウトすると、他のユーザーはそれを使用できなくなり、競合する操作が回避されます。ただし、管理者は、共有アカウントを構成することで、複数のユーザーが同時にそのアカウントをチェックアウトできるように設定できます。(詳細は、第5.1.3.1.3項「アカウントの共有」を参照してください。)

アカウントをチェックアウトする手順は次のとおりです。

1. 「ホーム」アコーディオンの「アカウント」ノードを展開し、アカウント・ターゲットを選択します。

2. 「アカウント」タブが表示されたら、検索結果表でチェックアウトするアカウントを特定します。

- アカウントをチェックアウトできる場合、「アカウント・ステータス」が「使用可能」で、「チェックアウト」ボタンが表示されます。

- アカウントをチェックアウトできない場合、「アカウント・ステータス」は「権限なし」です。

図5-1 チェックアウトできるアカウント

3. 「チェックアウト」ボタンをクリックします。
「アカウントのチェックアウト」ダイアログが表示されたら、「コメント」フィールドにコメントを入力し、「チェックアウト」をクリックします。

チェックアウトに成功した場合、次のようになります。

- 非共有アカウントの場合、「アカウント・ステータス」は「チェックアウト済」に変更され、「チェックアウト」ボタンは「チェックイン」ボタンに変化し、Oracle Privileged Account Managerによって「マイ・チェックアウト済アカウント」ページにそのアカウントがリストされます。

- 共有アカウントの場合、「アカウント・ステータス」は「使用可能」のままで、「チェックアウト」ボタンも引き続き表示され、Oracle Privileged Account Managerによって「マイ・チェックアウト済アカウント」ページにそのアカウントがリストされます。

5.1.3.7 アカウントのチェックイン

どの管理者またはエンド・ユーザーでも、アカウントをチェックインできます。

注意:

「アカウントの検索」ページ、Oracle Privileged Account Managerコマンドライン・ツールまたはRESTfulインタフェースを使用してアカウントをチェックインすることもできます。

アカウントをチェックインする手順は次のとおりです。

1. 「ホーム」アコーディオンの「マイ・チェックアウト済アカウント」を選択します。
検索結果表にすべてのチェックアウト済アカウントがリストされた「マイ・チェックアウト済アカウント」ページが表示されます。

2. チェックインする1つ以上のアカウントを選択します。

3. 表の上にある「チェックイン」アイコンをクリックします。

4. 「アカウントのチェックイン」ダイアログが表示されたら、「チェックイン」ボタンをクリックします。
チェックインに成功すると、Oracle Privileged Account Managerによってアカウント名が「マイ・チェックアウト済アカウント」表から削除され、そのアカウントは再度チェックアウトできるようになります。

5.1.3.8 Oracle Privileged Account Managerからの特権アカウントの削除

「ターゲット」ページまたは「アカウントの検索」ページを使用して、Oracle Privileged Account Managerから特権アカウントを削除できます。

「ターゲット」ページでは次の操作を実行します。

ターゲットからアカウントを削除するには、次の手順を実行します。

1. 「ホーム」アコーディオンを開きます。

2. アカウントを削除するターゲットを特定します。

- 「ターゲット」ノードを展開してサブツリーからターゲットを選択します。

- 「ターゲット」ノードをクリックし、「ターゲットの検索」ペインに検索基準を指定してターゲットを検索します。

3. 検索結果表のターゲット名をクリックし、そのターゲットを開きます。

4. 「特権アカウント」タブを選択します。

5. 検索結果表で、削除するアカウントを選択して「削除」をクリックします。

6. 終了したら、ページの上部にある「適用」ボタンをクリックします。

「アカウントの検索」ページでは次の操作を実行します。

「アカウントの検索」ページからアカウントを削除するには、次の手順を実行します。

1. 「ホーム」アコーディオンを開きます。

2. 「ホーム」ツリーで「アカウント」ノード、ターゲット・タイプ・ノードまたはドメイン・ノードをクリックし、「アカウントの検索」ページを開きます。

3. 削除するアカウントを特定します。

- 「アカウント」ノードを選択した場合、「アカウントの検索」セクションのフィールドを使用してアカウントを検索します。検索結果が検索結果表に表示されます。

- ターゲット・タイプまたはドメイン・ノードを選択した場合、アカウントは検索結果表にリストされます。

4. 検索結果表で、削除するアカウントを選択して「削除」をクリックします。

5. 終了したら、ページの上部にある「適用」ボタンをクリックします。

5.1.4 権限受領者の使用

この項では、Oracle Privileged Account Managerで権限受領者を使用する場合に実行できる様々なタスクについて説明します。

注意:

権限受領者を追加、編集または削除するには、「ユーザー・マネージャ」管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

内容は次のとおりです。

- 権限受領者とは

- ユーザーへのアカウントの付与

- グループへのアカウントの付与

- 権限受領者の検索

- 権限受領者を開く

- アカウントからの権限受領者の削除

5.1.4.1 権限受領者とは

権限受領者とは、Oracle Privileged Account Manager管理者によって管理される特権アカウントに対するアクセス権を付与されたIDストア内のユーザーまたはグループです。ユーザーは、特権アカウントに対するアクセス権を付与されていない場合、そのアカウントをチェックアウトできません。

5.1.4.2 ユーザーへのアカウントの付与

特権アカウントに対するアクセス権を付与するには、次の手順を実行します。

1. 「ホーム」アコーディオンを開きます。

2. 「アカウント」またはサブノードをクリックして、アクセス権を付与するアカウントを特定します。
必要に応じて、「アカウントの検索」ポートレットを使用して前述のとおりアカウントを検索します。

3. 検索結果表のアカウント名を選択します。
「一般」、「権限付与」および「資格証明ストア・フレームワーク」タブが表示されます。

4. 「権限付与」タブを選択します。
このアカウントにすでに関連付けられているユーザーがいる場合、その名前が「ユーザー」領域の表にリストされます。

5. 「追加」をクリックして「ユーザーの追加」ダイアログを開きます。

6. 「ユーザーの追加」ダイアログで、ユーザー名の全部または一部を入力して矢印アイコンをクリックし、追加するユーザー名を検索します。
たとえば、sec_adminユーザーにアクセス権を付与する場合、このフィールドにsecと入力すると、これらの文字を含む既存のユーザー名が検索結果に表示されます。

7. ユーザー名を選択して「追加」をクリックし、選択したユーザーを権限受領者として追加します。

8. 「Close」をクリックしてダイアログを閉じます。
新しいユーザーの名前が表に表示されます。

注意:

この時点で、デフォルト使用ポリシーがユーザーに自動的に割り当てられます。ただし、「使用ポリシー」メニューを使用してそのユーザーに別のポリシーを選択できます。

5.1.4.3 グループへのアカウントの付与

特権アカウントに対するアクセス権を付与するには、次の手順を実行します。

1. 「ホーム」アコーディオンを開きます。

2. 「アカウント」またはサブノードをクリックして、アクセス権を付与するアカウントを特定します。
必要に応じて、「アカウントの検索」ポートレットを使用して前述のとおりアカウントを検索します。

3. 検索結果表のアカウント名を選択します。
「一般」、「権限付与」および「資格証明ストア・フレームワーク」タブが表示されます。

4. 「権限付与」タブを選択します。
このアカウントにすでに関連付けられているグループがある場合、その名前が「グループ」領域の表にリストされます。

5. 「追加」をクリックして「グループの追加」ダイアログを開きます。

6. 「グループの追加」ダイアログで、グループ名の全部または一部を入力して矢印アイコンをクリックし、追加するグループ名を検索します。
たとえば、OPAM_USER_MANAGERグループにアクセス権を付与する場合、このフィールドにopamと入力すると、これらの文字を含む既存のグループ名が検索結果に表示されます。

7. グループ名を選択して「追加」をクリックし、選択したグループを権限受領者として追加します。

8. 「Close」をクリックしてダイアログを閉じます。
新しいグループの名前が表に表示されます。

注意:

この時点で、デフォルト使用ポリシーがグループに自動的に割り当てられます。ただし、「使用ポリシー」メニューを使用してそのグループに別のポリシーを選択できます。

5.1.4.4 権限受領者の検索

管理者権限を持っている場合、次の基準またはこれらの項目の組合せを使用して権限受領者を検索できます。

- ユーザー権限受領者の場合は次のとおりです。

- ユーザー名

- 名

- 姓

- ターゲット名

- アカウント名

- グループ権限受領者の場合は次のとおりです。

- 名前

- 説明

- ターゲット名

- アカウント名

権限受領者を検索するには、次の手順を実行します。

1. 「ホーム」ツリーの「権限受領者」ノードで「ユーザー」または「グループ」を選択します。

2. 「ユーザーの検索」または「グループの検索」ポートレットが右側に表示されたら、表示されている1つ以上のフィールドに検索基準を入力します。

3. 「検索」をクリックします。

検索結果表で検索結果を確認します。

5.1.4.5 権限受領者を開く

権限受領者を開いて、そのユーザーまたはグループ権限受領者の情報を表示できます。

次のいずれかの方法を使用して権限受領者を開きます。

- 検索結果表のユーザー名またはグループ名(アクティブ・リンク)をクリックします。

- ユーザーまたはグループの行を選択して「開く」アイコンをクリックします。

「ユーザー: username」または「グループ: groupname」ページが表示され、その権限受領者の情報を確認できます。

5.1.4.6 アカウントからの権限受領者の削除

アカウントから1つ以上の権限受領者を削除するには、次の手順を実行します。

1. アカウントを開いて「権限付与」タブを選択します。

2. 検索結果表のユーザーまたはグループの行を選択します。

3. 「削除」アイコンをクリックします。

4. 削除を確認するプロンプトが表示されたら、「削除」ボタンをクリックして続行します(または、「取消」をクリックして操作を中断します)。
プロンプトが閉じ、ユーザーまたはグループが表から削除されます。

5.1.5 レポートの使用

Oracle Privileged Account Managerレポートは、Oracle Privileged Account Managerが管理しているアカウントおよびターゲットの現在のステータスに関する情報を提供するリアルタイム・レポートです。

注意:

Oracle Privileged Account Managerレポートを開いて確認するには、「セキュリティ監査者」管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

この項の内容は次のとおりです。

- デプロイメント・レポートの使用

- 使用状況レポートの使用

- エラー・レポートの使用

レポートを表示するには、「レポート」アコーディオンを開いていずれかの「レポート」リンクをクリックします。レポート情報が右側の「レポート」ページに表示されます。

5.1.5.1 デプロイメント・レポートの使用

「デプロイメント・レポート」リンクを選択すると、ターゲットおよび特権アカウントが現在どのようにデプロイされているかに関する情報が表示されます。

デプロイメントに関する情報は、次の3つのポートレットに分類されます。

- 「ターゲットとアカウントのデプロイメント」表: ターゲットのリストがそのターゲット・タイプおよびホスト名とともに表示されます。ターゲット名の横にある矢印アイコンを展開すると、そのターゲットに関連付けられたアカウントが表示されます。

ヒント:

「ターゲット/アカウント」列のリンクをクリックすると、そのターゲットまたはアカウントの構成ページを表示できます。

- ターゲット分布: このポートレットには、ターゲットが現在のデプロイメント内にどのように分布しているかが示されます。

- アカウント分布: このポートレットには、アカウントが現在のデプロイメント内にどのように分布しているかが組織別に示されます。

「表示」および「フィルタ」ドロップダウン・メニューを使用して、レポート内容の表示方法を制御できます。たとえば、「表示」メニューを使用すると、すべてのターゲットを表示したり、結果をフィルタして特定のターゲットを表示することができます。「フィルタ」メニューを使用すると、棒グラフ、円グラフまたは表形式でターゲットとアカウントの分布を表示できます。

5.1.5.2 使用状況レポートの使用

「使用状況レポート」リンクを選択すると、デプロイメントで特権アカウントが現在どのように使用されているかに関する情報が表示されます。この情報は次のポートレットに表示されます。

- アカウント使用状況: このポートレットには、ターゲット、ターゲット・タイプ、ホスト名および最終チェックアウト日のリストが表示されます。ターゲット名の横にある矢印アイコンを展開すると、そのターゲットに関連付けられたアカウントが表示されます。

- チェックアウト済アカウント: このポートレットには、デプロイメント内でチェックアウトされているターゲットが表示されます。

「表示」および「フィルタ」ドロップダウン・メニューを使用して、レポート内容の表示方法を制御できます。たとえば、「表示」を選択すると、現在チェックアウトされているアカウントまたは過去1時間、1日、1週間以内にチェックアウトされたアカウントを表示できます。「フィルタ」メニューを使用すると、棒グラフ、円グラフまたは表形式でレポート情報を表示できます。

5.1.5.3 エラー・レポートの使用

「エラー・レポート」には、ターゲットおよびアカウントの失敗の現在の状態に関する情報が表示されます。この情報は次のポートレットに表示されます。

- ターゲットおよびアカウントの失敗: このポートレットには、ターゲット、ターゲット・ステータス、最終エラー・メッセージおよび最終失敗日のリストが表示されます。ターゲットの横にある矢印アイコンを展開すると、そのターゲットに関連付けられたアカウントが表示されます。

- ターゲットの失敗: このポートレットには、デプロイメント内のターゲットの失敗が示されます。

- アカウントの失敗: このポートレットには、デプロイメント内のアカウントの失敗が示されます。

「表示」および「フィルタ」ドロップダウン・メニューを使用して、レポート内容の表示方法を制御できます。たとえば、「表示」を選択すると、過去24または48時間、過去1週間、過去30日間に発生したエラーを表示できます。「フィルタ」メニューを使用すると、棒グラフ、円グラフまたは表形式でレポート情報を表示できます。

5.2 セルフサービスの使用

この項では、Oracle Privileged Account Managerを使用するユーザーの操作手順について説明します。

内容は次のとおりです。

- セルフサービスのワークフロー

- アカウントの検索

- アカウントのチェックアウトおよびチェックイン

- チェックアウトしたアカウントの表示

5.2.1 セルフサービスのワークフロー

この項では、セルフサービス・ユーザーの基本ワークフローについて説明します。

1. アカウントの検索

2. アカウントのチェックアウト

3. チェックアウトしたアカウントの表示

4. アカウントのチェックイン

5.2.2 アカウントの検索

アカウントを検索するには、第5.1.3.3項「特権アカウントの検索」の手順に従ってください。

5.2.3 アカウントのチェックアウトおよびチェックイン

自分に付与されている特権アカウントをチェックアウトするには、第5.1.3.6項「アカウントのチェックアウト」を参照してください。

アカウントを再度チェックインするには、第5.1.3.7項「アカウントのチェックイン」の手順に従ってください。

5.2.4 チェックアウトしたアカウントの表示

現在チェックアウトしているアカウントを確認するには、「ホーム」アコーディオンの「マイ・チェックアウト済アカウント」を選択します。

検索結果表にすべてのチェックアウト済アカウントがリストされた「マイ・チェックアウト済アカウント」ページが表示されます。

5.3 テスト環境から本番環境への移行

ある環境から別の環境にOracle Fusion Middlewareコンポーネントを移動する方法の詳細は、『Oracle Fusion Middleware管理者ガイド』のテスト環境から本番環境への移動に関する項を参照してください。

Oracle Privileged Account Managerを含むIdentity Managementコンポーネントをテスト環境から本番環境に移動する方法の詳細は、『Oracle Fusion Middleware管理者ガイド』のターゲット環境へのIdentity Managementコンポーネントの移動に関する項を参照してください。

6 Oracle Privileged Account Managerの監査およびロギングの管理

この章では、Oracle Privileged Account Managerの監査機能およびロギング機能を構成および使用する方法を説明します。

内容は次のとおりです。

- 第6.1項「Oracle Privileged Account Managerの監査について」

- 第6.2項「Oracle Privileged Account Managerのロギングについて」

6.1 Oracle Privileged Account Managerの監査について

Oracle Privileged Account Managerは、その管理下で発生したすべてのセキュリティ・イベントを監査するため、組織内における特権アカウントの使用状況の可視性が向上し、ユーザーは機密情報を効率的に管理できます。

特に、Oracle Privileged Account Manager監査ロガーは、新しいアカウント、ターゲットまたはポリシーの追加、変更、削除など、エンティティ状態が変更されるすべてのイベントを記録します。

次の表では、監査を生成できるすべてのイベント・カテゴリおよびイベント・タイプについて説明します。

表6-1 監査されるOPAMイベント

イベント・カテゴリ

イベント・タイプ

説明

アカウント管理

プリンシパル・アカウントの管理に関連するイベント

注意: プリンシパルは、エンド・ユーザーまたは疑似ユーザー(システム内のサービス)です。

アカウントの追加

ユーザー、グループまたはその他のプリンシパル・アカウントの追加。

パスワードの変更

パスワードの変更。

アカウントの無効化

ユーザー、グループまたはその他のプリンシパル・アカウントの無効化。

アカウントの有効化

ユーザー、グループまたはその他のプリンシパル・アカウントの有効化。

アカウントの変更

アカウント属性の変更。

アカウントの問合せ

ユーザーのアカウントへの問合せ。

アカウントの削除

ユーザー、グループまたはその他のプリンシパル・アカウントの削除。

ポリシー管理

ポリシーの管理に関連するイベント。

ポリシーの作成

ポリシーの作成。

ポリシーの削除

ポリシーの削除。

ポリシーの変更

ポリシーの変更。

ポリシーの問合せ

ポリシーの問合せ。

ターゲットの管理

ターゲットの管理に関連するイベント。

ターゲットの追加

ターゲットの追加。

ターゲットの変更

ターゲットの変更。

ターゲットの問合せ

ターゲットの問合せ。

ターゲットの削除

ターゲットの削除。

これらの監査イベントの記録によって、レポート・ツールが統計を収集できる処理履歴が作成されます(第6.1.2項「Oracle Privileged Account Manager監査レポートについて」を参照)。

6.1.1 Oracle Privileged Account Managerでの監査の構成

Oracle Privileged Account Managerを構成して、監査イベントをデータベースまたはファイルに保存できます。データベースが使用できない場合、Oracle Privileged Account Managerではその監査ログが次のファイルに保存されます。

DOMAIN_HOME/servers/<opamserver>/logs/auditlogs/opam#11.1.1.6.0

また、Oracle Privileged Account Managerを構成してBI Publisher (リリース11.1.1.5.0以上)で監査レポートをデプロイし、BI Publisherを使用してデータベース内の監査イベントを表示できます。

次の各項では、Oracle Privileged Account Managerで監査を構成する手順について説明します。

- Oracle Privileged Account Managerでのファイル・ベース監査の構成

- Oracle Privileged Account Managerでのデータベース・ベース監査の構成

- BI PublisherでのOracle Privileged Account Manager監査レポートのデプロイ

- 監査ロギング・レベルの設定

6.1.1.1 Oracle Privileged Account Managerでのファイル・ベース監査の構成

Oracle Privileged Account Managerを構成するには次の手順を使用します。

注意:

次の手順では、WebLogicサーバーがすでにインストールされていることを前提としています。

1. コマンドライン・ウィンドウを開き、次のディレクトリに変更(cd)します。

DOMAIN_HOME/config/fmwconfig/

2. jps-config.xmlファイルを編集して、監査するイベントのタイプに応じてaudit.filterPresetパラメータをNoneからAll、MediumまたはLowに変更します。

注意:

詳細は、6.1.1.4項「ロギング・レベルの設定」を参照してください。

次に例を示します。

<serviceInstance location="./audit-store.xml" provider="audit.provider" name="audit">
<property value="All" name="audit.filterPreset"/>
<property value="0" name="audit.maxDirSize"/>
<property value="104857600" name="audit.maxFileSize"/>
<property value="jdbc/AuditDB" name="audit.loader.jndi"/>
<property value="15" name="audit.loader.interval"/>
<property value="File" name="audit.loader.repositoryType"/>
<property value="file" name="auditstore.type"/> </serviceInstance>

3. Oracle Privileged Account Managerサーバーを再起動します。

注意:

管理対象サーバーの起動に関する詳細は、『Oracle® Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracleスタックの起動と停止に関する項を参照してください。

サーバーを再起動すると、監査ログは次の場所に表示されます。

DOMAIN_HOME/servers/<opamserver>/logs/auditlogs/opam#11.1.1.6.0

6.1.1.2 Oracle Privileged Account Managerでのデータベース・ベース監査の構成

この項では、Oracle Privileged Account Managerでデータベース・ベース監査を構成する方法について説明します。

前提条件

データベースおよびBI Publisherから監査レポートを生成する場合は、次をインストールする必要があります。

- データベース

- Oracleリポジトリ作成ユーティリティ・アプリケーション(スキーマの作成とリポジトリのデータベースへのロードに使用)。

注意:

リポジトリ作成ユーティリティのインストールおよび使用の詳細は、http://www.oracle.com/technology/documentation/index.htmlで入手できる『Oracle® Fusion Middleware Repository Creation Utilityユーザーズ・ガイド』を参照してください。

BI Publisherのインストールおよび構成の詳細は、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのOracle Business Intelligence Publisherの構成に関する項を参照してください。

データベース・ベース監査を構成するには、次の手順を実行します。

1. Oracle Technology Network (OTN)からリポジトリ作成ユーティリティの.zipファイルをダウンロードします。

http://www.oracle.com/technology/

2. ./rcuを実行してデータベースに監査スキーマをロードします。
デフォルトでは、この手順によってデータベースにdev_iauユーザーが作成され、このユーザーを使用して表がロードされます。

3. WebLogic Server管理コンソールにログインし、WebLogicを構成します。
http://adminserver_host:adminserver_port/console

4. 次の情報を入力してJDBCデータ・ソースを作成します。

1. 「名前」フィールドにjdbc/AuditDBと入力します。

2. 「JNDI名」フィールドは空白のままにします。

3. dev_iauユーザーを指定してそれを管理サーバーと管理対象サーバーの両方に適用します。

注意:

JDBCデータ・ソースを作成してそれをサーバーにデプロイする方法の詳細は、Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプのJDBCデータ・ソースの作成に関する項を参照してください。

5. DOMAIN_HOME/config/fmwconfig/jps-config.xml
にあるjps-config.xmlファイルを次のように編集します。

1. <property value="File" name="audit.loader.repositoryType"/>パラメータを<property value="Db" name="audit.loader.repositoryType"/>に変更します。

2. 監査するイベントのタイプに応じて、audit.filterPresetパラメータをNoneからAll、MediumまたはLowに変更します。

注意:

詳細は、6.1.1.4項「ロギング・レベルの設定」を参照してください。

次に例を示します。

<serviceInstance location="./audit-store.xml" provider="audit.provider" name="audit">
<property value="All" name="audit.filterPreset"/>
<property value="0" name="audit.maxDirSize"/>
<property value="104857600" name="audit.maxFileSize"/>
<property value="jdbc/AuditDB" name="audit.loader.jndi"/>
<property value="15" name="audit.loader.interval"/>
<property value="File" name="audit.loader.repositoryType"/>
<property value="file" name="auditstore.type"/> </serviceInstance>

6. Oracle Privileged Account Managerサーバーを再起動します。

6.1.1.3 BI PublisherでのOracle Privileged Account Manager監査レポートのデプロイ

この項では、BI Publisher (レポートの管理および配信に使用されるコンポーネント)でOracle Privileged Account Manager監査レポートをデプロイする方法について説明します。

次の手順を実行します。

1. まだインストールしていない場合、Oracle Business Intelligence Publisher (BI Publisher)リリース11.1.1.5.0以上をインストールして構成します。
手順については、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのOracle Business Intelligence Publisherの構成に関する項を参照してください。

2. BI Publisherのインストール後、WebLogicドメインで次のディレクトリを特定します。

注意:

BI Publisherは、同じホストまたは異なるドメインにデプロイできます。

BI_DOMAIN_HOME/config/bupublisher/repository/Reports

3. ReportsフォルダにOracle Privileged Account Managerという名前の新しいフォルダを作成します。

4. 次のディレクトリでopam_product_BIP11gReports_11_1_1_6_0.zipファイルを特定します。

ORACLE_HOME/opam/reports

このファイルを新しく作成したOracle Privileged Account Managerフォルダに解凍します。

5. カタログを設定してデータ・ソースを構成するには、ブラウザ・ウィンドウを開いてBI PublisherのURLを入力します。
このURLの書式は次のとおりです。

http://hostname: port/xmlpserver/

次に例を示します。

http:/localhost:7001/xmlpserver/

6. BI Publisherのログイン・ページが表示されたら、WebLogic権限を持つユーザーとしてログインし、「サインイン」をクリックします。

7. 次の手順に従い、カタログを設定します。

1. 「管理」→「システム・メンテナンス」→「サーバー構成」を選択します。

2. 「カタログ」ダイアログを開き、「カタログ・タイプ」メニューから「Oracle BI Publisher - ファイル・システム」を選択して、「パス」フィールドに次のパスを入力します。

BI_DOMAIN_HOME/config/bupublisher/repository/Reports

3. 管理者としてログインします。

4. 「カタログ」をクリックして、Shared Folder/ Oracle Privileged Account Managerフォルダを開きます。

注意:

このフォルダが表示されない場合、WebLogicコンソールからアプリケーションを再起動します。

8. Oracle Privileged Account Managerレポート用に1つのJDBC (Oracle Privileged Account Manager JDBC)接続が必要です。次の手順を使用して、Oracle Privileged Account Manager JDBC接続を定義し、データ・ソースを定義します。

1. 「BI Publisher」ページの右側にある「管理」リンクをクリックします。
BI Publisherの「管理」ページが表示されます。(このページの「データソース」セクションを確認してください。)

2. 「データソース」セクションにある「JDBC接続」リンクをクリックします。

3. 「データソース」ページが表示されたら、「JDBC」セクションの「データソースの追加」をクリックし、データベースへのJDBC接続を作成します。

4. 「データソースの追加」ページに、次の情報を入力します。

データソース名

Oracle Privileged Account Manager JDBC

ドライバ・タイプ

データベース(Oracle 10gやOracle 11gなど)に適したドライバ・タイプを選択します。

データベース・ドライバ・クラス

oracle.jdbc.driver.OracleDriver (データベースに適したドライバ・クラスを定義します。)

接続文字列

データベース接続の詳細を指定します。
例: hostname:port:sid

ユーザー名

Oracle Privileged Account Manager監査DBユーザーの名前。

パスワード

Oracle Privileged Account Manager監査DBユーザーのパスワード。

データベースへの接続が確立されると、成功を示す確認メッセージが表示されます。

5. 「適用」をクリックします。
この新しく定義された接続(Oracle Privileged Account Manager JDBC)がJDBCデータ・ソースのリストに表示されます。

6. Oracle Privileged Account Manager監査レポートにナビゲートします。
ページの左側にツリー構造、右側に詳細が含まれる「カタログ」ページが表示されます。

7. Shared Foldersを開いてOracle Privileged Account Managerフォルダを選択すると、そのフォルダ内のすべてのオブジェクトが表示されます。

9. Oracle Identity Navigatorを使用してBI Publisherサーバーへの接続を構成します。
必要な手順については、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのBI Publisherへの接続作成に関する項を参照してください。

接続の構成に成功すると、Oracle Identity Navigatorの「ダッシュボード」ページの「マイ・レポート」セクションに「レポートを作成するにはここをクリックしてください」というリンクが表示されます。また、セキュリティ監査者ロールを持つユーザーは、次のタスクを実行できます。

- Oracle Identity Management BI Publisherレポートおよび監査レポートの表示

注意:

Oracle Privileged Account Managerでは、BI Publisher 11gおよびOracle Fusion Middleware監査フレームワークに統合された、すぐに使用可能な監査レポートのセットが提供されます。Oracle Privileged Account Managerによって、監査ストアに記録された監査イベントに基づいてこれらのレポートが生成されます。詳細は、第6.1項「Oracle Privileged Account Managerの監査について」を参照してください。

- レポートの選択および「マイ・レポート」リストへの追加

- アクセス権限を持っている任意のレポートの表示および実行

これで、BI PublisherをナビゲートしてOracle Privileged Account Manager 11g BIレポートを使用できます。

6.1.1.4 監査ロギング・レベルの設定

Oracle Privileged Account Managerによって提供される監査ロギングの分量を変更するには、次の手順を実行します。

1. コマンドライン・ウィンドウを開き、次のディレクトリに変更(cd)します。

DOMAIN_HOME/config/fmwconfig/

2. jps-config.xmlファイルを特定します。

3. audit.filterPresetパラメータをNoneから次のいずれかの設定に変更します。

- All: すべてのイベント・タイプを記録します。

- Medium: PolicyManagementおよびTargetManagementカテゴリのすべてのイベント・タイプと、AccountManagementカテゴリの次のイベント・タイプを記録します。

- ChangePassword

- CheckinAccount

- CreateAccount

- DeleteAccount

- DisableAccount

- EnableAccount

- ModifyAccount

- QueryAccount

- Low: 次のイベント・タイプをログします。

- AccountManagementカテゴリのChangePassword、CheckinAccount、CreateAccount、DeleteAccount、DisableAccount、EnableAccountおよびModifyAccount

- PolicyManagementカテゴリのCreatePolicy、DeletePolicyおよびModifyPolicy

- TargetManagementカテゴリのCreateTarget、DeleteTargetおよびModifyTarget

次に例を示します。

<serviceInstance location="./audit-store.xml" provider="audit.provider" name="audit">
<property value="All" name="audit.filterPreset"/>
<property value="0" name="audit.maxDirSize"/>
<property value="104857600" name="audit.maxFileSize"/>
<property value="jdbc/AuditDB" name="audit.loader.jndi"/>
<property value="15" name="audit.loader.interval"/>
<property value="File" name="audit.loader.repositoryType"/>
<property value="file" name="auditstore.type"/> </serviceInstance>

4. Oracle Privileged Account Managerサーバーを再起動します。

注意:

管理対象サーバーの起動に関する詳細は、『Oracle® Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracleスタックの起動と停止に関する項を参照してください。

サーバーを再起動すると、監査ログは次の場所に表示されます。

DOMAIN_HOME/servers/<opamserver>/logs/auditlogs/opam#11.1.1.6.0

6.1.2 Oracle Privileged Account Manager監査レポートについて

Oracle Privileged Account Managerでは、BI Publisher 11gおよびOracle Fusion Middleware監査フレームワークに統合されたデフォルト監査レポートのセットが提供されます。Oracle Privileged Account Managerによって、監査ストアに記録された監査イベントに基づいてこれらのレポートが生成されます。

デフォルト監査レポートのタイプは次のとおりです。

- エラーと例外に関するレポート(認証と認可の失敗など)

- ユーザー・アクティビティ・レポート(アカウントのチェックアウトおよびチェックイン履歴など)

- 操作レポート(権限受領者の割当てや、追加、編集または削除されたターゲット、アカウント、ポリシーなど)

- すべてのイベント・レポート(監査ストアに記録されたすべての監査イベントなど)

Oracle Privileged Account Manager監査レポートでは、アカウントをチェックアウトしたユーザーとチェックアウトされたシステム、理由、すでにチェックアウトされているシステムに対するリクエスト、およびユーザーが権限を持たないシステムに対するリクエストを確認できます。

たとえば、次の図は、BI Publisherに表示された標準的なOracle Privileged Account Manager監査レポートを示しています。

注意:

Oracle Privileged Account Manager監査レポートはBI Publisherで表示できます。

図6-1 Oracle Privileged Account Manager監査レポートの例

このレポートには、次の情報が含まれていることに注意してください。

- カテゴリ: イベント・カテゴリ

- イベント: 発生したイベントのタイプです。

- ユーザーID: イベントを起動したユーザー

- ステータス: イベントの結果(1は成功、0は失敗)を示します。

- ターゲット: イベントが発生したターゲット

- リソースID: リソース識別子

- 時間: イベントが発生した日時

6.2 Oracle Privileged Account Managerのロギングについて

Oracle Privileged Account Managerの汎用ロガーは、デバッグ文や例外メッセージなど、監査ロガーによって記録されないすべてのログを扱います。処理ツールでは、これらのログを使用して、Oracle Privileged Account Managerサーバー内で発生した問題を診断できます。

Oracle Privileged Account Manager関連のログ・ファイルは、次の場所に格納されます。

DOMAIN_HOME/servers/adminserver/logs
DOMAIN_HOME/servers/opamserver/logs

6.2.1 基本的なロギングの構成

Oracle Privileged Account Managerのロギングの購入時設定を変更するには、次の手順を実行します。

1. 次の場所にあるopam-logging.xmlファイルを手動で編集します。

DOMAIN_HOME/config/fmwconfig/

2. OPAMサーバー(通常は管理対象サーバー)を再起動します。

注意:

ロギング機能の実装およびログ・レベルの設定の詳細は、『Oracle® Containers for J2EE開発者ガイド』のロギング実装のガイドラインに関する項を参照してください。

6.2.2 ロギング・データの例

次の図では、WebLogicコンソールに表示されるロギング・データの例を示します。

図6-2 ロギング・レポートの例

このレポートには、次の情報が含まれていることに注意してください。

- イベントが発生したときの日付およびタイムスタンプ

- イベントが発生したサブシステム

- メッセージの重大度

- メッセージID

- 実行されていた操作についての説明のメッセージ

第III部

高度な管理

この部では、Oracle Privileged Account Managerの高度な管理タスクの実行方法について説明し、次の章が含まれます。

- 統合ソリューション向けのOracle Privileged Account Managerの構成

7 統合ソリューション向けのOracle Privileged Account Managerの構成

この章では、次の項が含まれており、一般的に使用されているディレクトリ・テクノロジおよびID管理テクノロジと統合するためのOracle Privileged Account Managerの構成方法について説明しています。

- 第7.1項「Oracle Identity Managerとの統合」

- 第7.2項「Oracle Access Management Access Managerとの統合」

7.1 Oracle Identity Managerとの統合

この項では、Oracle Identity Managerを使用して、Oracle Privileged Account Managerの権限受領者であるLDAPグループに対するアクセスを管理する方法について説明します。

Oracle Identity Managerとの統合によって、Oracle Privileged Account Managerでは次のことが可能になります。

- 入社から退社までのアイデンティティ・ライフサイクルを管理できます。

- HRシステムの更新に基づいて適切なLDAPグループに対してユーザーを自動的に追加および削除するネイティブ機能を提供します。

- アカウントに対するアクセスを手動でリクエストする機能を提供します。

- リクエストの承認を取得する機能がサポートされます。

- Oracle Privileged Account Managerの独自のレポートを拡張するか、そのかわりとして、アテステーション・レポートで使用できるレポートがサポートされます。

この項の内容は次のとおりです。

- 概要

- 統合のためのOracle Privileged Account Managerの構成

- Oracle Identity Managerコアの統合

- Oracle Identity Manager管理者の構成

7.1.1 概要

Oracle Privileged Account Managerは、共有アカウントおよび特権アカウント(UNIXシステムのrootなど)を管理する目的で最適化されています。

Oracle Privileged Account Managerは、ユーザーが受領した権限付与に基づいて、ターゲット上でアカウントのパスワードをチェックアウトできるユーザーを判別します。権限付与は、直接行うか、グループのメンバーシップを通じて行うことができます。グループ自体は、静的または動的のいずれかです。

LDAPグループは、可能なかぎりエンタープライズ・ロールと一致している必要があります。たとえば、「データ・センター製品UNIX管理者」エンタープライズ・ロールがある場合、対応するLDAPグループが存在する必要があります。この一致の利点は、これらのグループを使用して、Oracle Privileged Account Managerターゲット・アカウントに加え、他のアプリケーションに対するアクセスを制御できることにあります。

注意:

新しいLDAPグループを作成するには、LDAP管理者に連絡してください。

7.1.2 統合のためのOracle Privileged Account Managerの構成

Oracle Identity Managerと統合するためにOracle Privileged Account Managerを構成するには、Oracle Privileged Account Manager管理者として次のタスクを実行する必要があります。

- Oracle Privileged Account Managerターゲット上の特定のOracle Privileged Account Managerアカウントを使用します。

- Oracle Privileged Account Managerターゲット・アカウントに対するアクセスをそのLDAPグループのメンバーのみに制限するLDAPグループを割り当てます。ただし、複数のLDAPグループを割り当てることができます。

7.1.3 Oracle Identity Managerコアの統合

Oracle Identity Managerでは、この統合をサポートするために次の機能が提供されます。

- LDAPグループを管理するためのLDAPコネクタ

- 適切なエンタープライズ・ロールおよび権限のリソース・カタログへの移入。現実には、Oracle Identity Managerは実際のアカウントに直接アクセス権を付与するのではなく、そのアカウントの表現のみに付与するため、Oracle Privileged Account Managerターゲット・アカウントは権限です。

アカウント、権限およびロールの詳細は、Oracle Identity Managerのドキュメントを参照してください。

7.1.4 Oracle Identity Manager管理者の構成

次のタスクを実行できるOracle Identity Manager管理者を構成する必要があります。

- ユーザー画面を通じて手動で、またはHR/テキスト・フィードを使用して自動的にOracle Identity Managerにユーザーを追加する場合、ビジネス・ルールに基づいて適切なLDAPグループにユーザーを割り当てるOracle Identity Managerルールを構成します。

- Oracle Identity Managerのネイティブ機能を使用して、Oracle Identity Managerリソース・カタログのアイテムに対するリクエストを作成し、Oracle Identity Managerカタログが適切に移入されていることを確認します。Oracle Identity Managerによって、ユーザーは、Oracle Identity Managerカタログに含まれる権限に対するアクセスをリクエストできます。

- 承認者フィールドに適切な値を設定します。たとえば、ある従業員が、長期間会社に不在の別の従業員の電子メール・アカウントに対するアクセスをリクエストする場合です。

- 緊急リクエストを処理します(Oracle Privileged Account Managerユーザーが通常のビジネス・プロセスの外部にあるシステムにアクセスする必要がある場合)。
緊急リクエストは、ビジネス要件およびビジネス・ルールに基づいて処理されます。たとえば、Oracle Privileged Account Managerユーザーがターゲットに対する権限を持っているが、アクセス・ポリシーの制限によってパスワードを取得できない場合、Oracle Privileged Account Manager管理者はそのターゲット・アカウントのアクセス・ポリシーを一時的に変更できます。

ユーザーがOracle Identity Managerを待機できない場合、Oracle Privileged Account Manager管理者は、かわりに手動で直接アクセスできます(アカウントに特定の権限受領者を追加するなど)。

7.1.5 Oracle Identity Managerワークフローの管理

Oracle Privileged Account Managerは、ワークフローをサポートするためにOracle Identity Managerを利用します。統合の要点は次のとおりです。

- Oracle Privileged Account Manager管理者は、Oracle Privileged Account Managerのロールに付与された特権アカウントにアクセスします。

- エンド・ユーザーは、Oracle Identity Managerを通じてこれらのロールのメンバーシップをリクエストできます。

- これらのリクエストを承認するためにOracle Identity Managerの標準ワークフローが使用されます。

- リクエストしたロールのメンバーシップによって、エンド・ユーザーは、Oracle Privileged Account Managerの対応する特権アカウントにアクセスできます。

図7-1 Oracle Identity Managerのワークフロー・トポロジ

7.2 Oracle Access Management Access Managerとの統合

この項では、Oracle Access Management Access Manager (Access Manager)によるOracle Privileged Account Managerとの統合方法について説明します。この統合シナリオを使用すると、Webゲート・エージェントを利用するAccess ManagerによってOracle Privileged Account Managerを保護できます。

この項の内容は次のとおりです。

- 前提作業

- シングル・サインオンの有効化

7.2.1 前提作業

第7.2.2項「シングル・サインオンの有効化」に説明されている手順を開始する前に、次のことに注意する必要があります。

- この手順は、Oracle Internet Directoryをアイデンティティ・ストアとして構成していることを前提としますが、他のコンポーネント構成も可能です。サポートされている構成の詳細は、Oracle Technology Networkにあるシステム要件と動作保証情報のドキュメントを参照してください。

- また、この手順では、Access Managerを使用してURLを保護する特定の例について説明します。記述されている内容はこのタイプの構成に一般的な方法ですが、ここで説明されているものと完全に同じ手順およびコンポーネントを使用しなくてもかまいません。たとえば、Oracle Internet Directoryは、Access Manager 11gに対して動作保証されているいくつかのアイデンティティ・ストアの1つです。

- Oracle Adaptive Access ManagerをAccess Managerでの認証オプションとして使用できます。Oracle Adaptive Access Managerでは、Oracle Privileged Account Managerのレイヤー化セキュリティを実現するために使用できる厳密認証およびリスクベース認可が提供されます。
Oracle Privileged Account ManagerでOracle Adaptive Access Managerを有効にするには、Oracle Privileged Account Managerを保護するWebゲートの認証オプションとしてAccess Managerを選択します。

- Oracle Privileged Account ManagerとともにOracle Identity Navigatorをデプロイし、Oracle Identity NavigatorをOracle Privileged Account Managerのユーザー・インタフェースとして使用している場合、Oracle Single Sign-Onを有効にしながらAccess ManagerによってOracle Identity Navigatorを保護することもできます。
手順については、Oracle Fusion Middleware Oracle Identity Management Suite統合ガイドのOracle Identity Navigatorとの統合に関する項を参照してください。

- Oracle Privileged Account Managerは、ドメイン・エージェントによってデフォルトで保護されます。

7.2.2 シングル・サインオンの有効化

デフォルトでは、Access Manager 11gエージェントによって、Oracle Privileged Account Managerおよび次のアイデンティティ管理コンソールにシングル・サインオン機能が提供されます。

- Oracle Identity Manager

- Access Manager

- Oracle Adaptive Access Manager

- Oracle Authorization Policy Manager

- Oracle Identity Navigator

Access Managerエージェントが保護できるのは、単一のドメイン内のコンソールのみです。ご使用の環境が複数のドメインにまたがる場合、Oracle HTTP Server 11gにAccess Manager 11g WebGateを使用できます。Webゲートベースのシングル・サインオンのためにOracle Privileged Account Managerを構成する方法は、Oracle Identity Navigatorを構成する方法と同じです。Oracle Fusion Middleware Oracle Identity Management Suite統合ガイドのOracle Identity Navigatorとの統合に関する項を参照してください。

Access Managerで、任意のAccess Manager認証スキームをチャレンジ・メソッドとして使用して、Oracle Privileged Account Managerのユーザー・インタフェース用にシングル・サインオンを有効にできます。

前提条件を次に示します。

- Oracle HTTP Serverがインストールされています。
Oracle HTTP Serverのインストール時に、「Oracle Webcache」および「選択されたコンポーネントとWebLogicドメインの関連付け」の選択を解除します。

- Access Manager 11gが適切にインストールされ、構成されています。

- Oracle HTTP Server 11gがOracle Privileged Account ManagerのフロントエンドのプロキシWebサーバーとしてインストールされ、構成されています。

- Oracle HTTP Server 11g用のAccess Manager 11g WebGateがOracle HTTP Server 11g上にインストールされています。

関連項目:

リストされているコンポーネントのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』を参照してください。

Oracle Privileged Account Managerでシングル・サインオンを有効にする手順の概要は、次のとおりです。

1. Access Manager管理コンソールを使用して、Oracle Privileged Account ManagerのURLを保護するエージェント用に新しいリソースを構成します。詳細は、第7.2.2.1項「エージェント用の新しいリソースの構成」を参照してください。

2. 構成済のリソースおよびポリシーを持つAccess Managerドメインを指すように、Oracle HTTP Serverを構成します。詳細は、第7.2.2.2項「Access Managerドメイン用のOracle HTTP Serverの構成」を参照してください。

3. 管理コンソールを使用して、2つの新しいアイデンティティ・プロバイダ、つまりAccess Manager Identity AsserterおよびOracle Internet Directory Authenticatorを追加します。詳細は、第7.2.2.3項「新しいアイデンティティ・プロバイダの追加」を参照してください。

4. WLSTコマンドを使用して、ブラウザ・セッションで複数のタブを使用する複数のアプリケーションに対するアクセスを有効にします。詳細は、第7.2.2.4項「複数のアプリケーションに対するアクセスの構成」を参照してください。

7.2.2.1 エージェント用の新しいリソースの構成

Access Manager管理コンソールで次の手順を実行します。

1. 「ポリシー構成」タブを選択します。

2. 「アプリケーション・ドメイン」で、Oracle Privileged Account ManagerのURLを保護するエージェントを選択します(たとえば、-OIMDomain)。

3. 「リソース」を選択し、作成アイコンをクリックして新しいリソースを追加します。タイプ、ホスト識別子および値(/oinav/…/*)を入力し、「適用」ボタンをクリックします。

4. 保護付きポリシー、または認証スキーマがLDAPスキーマであるポリシーを選択します。リソース表の「追加」アイコンをクリックし、ドロップダウン・リストからOracle Privileged Account ManagerのURL (/oinav/…/*)を選択します。

5. 認可ポリシーについて、手順を繰り返します。

7.2.2.2 Access Managerドメイン用のOracle HTTP Serverの構成

Oracle HTTP Serverが、Oracle Privileged Account ManagerがインストールされているOracle WebLogic Serverコンテナのフロントエンドとなるように、次の手順を実行します。

1. Oracle HTTP Serverのサーバーconfigディレクトリ(たとえば、/scratch/mydir1/oracle/product/11.1.1/as_1/instances/instance1/config/OHS/ohs1)にナビゲートし、mod_wl_ohs.confファイルを見つけます。

2. <IfModule mod_weblogic.c>ブロックに、保護するOracle Privileged Account Manager URLのホストおよびポート番号を追加します。例:

MatchExpression /oinav* WebLogicHost=host WebLogicPort=port

3. OHSインストールのbinディレクトリ(たとえば、/scratch/mydir1/oracle/product/11.1.1/as_1/instances/instance1/bin)で、次のコマンドを実行することによってOracle HTTP Serverサーバーを再起動します。

-./opmnctl restartproc ias=component=ohs1

7.2.2.3 新しいアイデンティティ・プロバイダの追加

2つの新しいアイデンティティ・プロバイダを追加するには、次の手順を実行します。

1. 管理コンソールを使用して、「セキュリティ・レルム」→「myrealm」→「プロバイダ」にナビゲートします。

2. Access Manager Identity AsserterおよびOracle Internet Directory Authenticatorという2つのプロバイダを追加します。

3. Access Manager Identity Asserterの「制御フラグ」をRequiredに設定します。

4. Oracle Internet Directory Authenticatorで次の設定を更新します。

- 「制御フラグ」をSufficientに設定します。

- 「プロバイダ固有」タブを選択し、必要な変更を加えてOracle Internet Directoryサーバーのホスト、ポートおよびその他の資格証明を指定します。Oracle Internet Directory AuthenticatorでLDAP設定を適切に構成します。

LDAPのユーザーおよびグループがコンソールに反映されます。

5. 次のようにプロバイダの順番を変更します。

1. Access Manager Identity Asserter

2. 認証プロバイダ

3. デフォルトの認証プロバイダ

4. デフォルトのIDアサーション・プロバイダ

6. Oracle WebLogic Serverを再起動します。

7. Oracle HTTP Serverインストールのホストおよびポートを含む、保護されたOracle Privileged Account Manager URLを入力します。

http://OHSHost:OHSPort/oinav/faces/idmNag.jspx

7.2.2.4 複数のアプリケーションに対するアクセスの構成

シングル・サインオン保護が11g Access Managerサーバーによって提供される場合、次の手順が適用されます。次の手順を実行して、FORMキャッシュ・モードに変更することで、単一のブラウザ・セッションで複数のタブを使用するアプリケーションに対するアクセスを構成します。

1. Access Manager管理対象サーバーを停止します。

2. 次のオンラインAccess Manager WLSTコマンドを実行します。

configRequestCacheType(type='FORM')

3. Access Manager管理対象サーバーを再起動します。

第IV部

付録

この部は、次の付録で構成されています。

- コマンドライン・ツールの使用

- Oracle Privileged Account ManagerのRESTfulインタフェースの使用

- Oracle Privileged Account Managerのトラブルシューティング

A コマンドライン・ツールの使用

Oracle Privileged Account Managerコマンドライン・ツールを使用して、Oracle Privileged Account Managerのコンソールから実行する場合と同じ多くのタスクを実行できます。

注意:

Oracle Privileged Account Managerコマンドライン・ツールのグローバリゼーション・サポートは、このリリースでは使用できません。コマンドライン・ツールのメッセージとヘルプは、英語でのみ提供されます。

この付録では、コマンドライン・ツールを起動して使用する方法について説明します。内容は次のとおりです。

- A.1項「コマンドライン・ツールの起動」

- A.2項「Oracle Privileged Account Managerコマンド」

A.1 コマンドライン・ツールの起動

Oracle Privileged Account Managerコマンドライン・ツールを起動するには、次の手順を実行します。

1. コマンド・ウィンドウを開き、ディレクトリをORACLE_HOME/opam/binに変更します。

2. プロンプトで、次のいずれかのコマンドを入力してコンソールを起動します。

- UNIXシステムでは、opam.shと入力します。

- Windowsシステムでは、opam.batと入力します。

コマンドライン・ツールを起動すると、自動的にOracle Privileged Account Managerサーバーに接続されます。

Oracle Privileged Account Managerコマンドライン・ツールをリモート・クライアントから起動するには、-urlオプションに(同じマシン上または異なるマシン上で実行中の) Oracle Privileged Account ManagerサーバーのURLを指定します。

3. 注意:
セキュリティ上の理由から、Oracle Privileged Account ManagerサーバーはSSLトラフィックにのみ応答します。
Oracle Privileged Account Managerコマンドライン・ツール(またはOracle Privileged Account ManagerのWebベース・コンソール)にOracle Privileged Account Managerサーバー・ターゲットを指定する場合、SSLエンドポイントとしてhttps://hostname:sslport/opamを指定する必要があります。

デフォルトでは、WebLogicはポート7002でSSLに応答します。Oracle Privileged Account ManagerサーバーのデフォルトのSSLポートは18102です。WebLogicコンソールを使用して、特定のインスタンスのポートを確認できます。

A.2 Oracle Privileged Account Managerコマンド

この項では、Oracle Privileged Account Managerコマンドライン・ツールで使用できるコマンドについて説明します。

この項の内容は次のとおりです。

- コマンドの発行

- addaccountコマンド

- addtargetコマンド

- checkinコマンドおよびcheckoutコマンド

- displayallaccountsコマンド

- displayallgroupsコマンド

- displayalltargetsコマンド

- displayallusersコマンド

- displaycheckedoutaccountsコマンド

- displaydomaintreeコマンド

- displaytargettypetreeコマンド

- grantgroupaccessコマンド

- grantuseraccessコマンド

- removeaccountコマンド

- removegroupaccessコマンド

- removetargetコマンド

- removeuseraccessコマンド

- retrieveaccountコマンド

- retrievegranteesコマンド

- retrievegroupコマンド

- retrievetargetコマンド

- retrieveuserコマンド

- searchaccountコマンド

- searchgroupコマンド

- searchtargetコマンド

- searchuserコマンド

- showpasswordコマンド

A.2.1 コマンドの発行

次の構文を使用して、任意のOracle Privileged Account Managerコマンドを発行します。

[-url <url>] -u <username> [-p <password>] [-debug] -x <opam-command>

説明:

オプション

説明

-url <url>

Oracle Privileged Account ManagerサーバーのURLアドレスを指定します。

注意: このオプションでURLを指定しない場合、デフォルトでhttps://hostname:18102/opamになります。

-u <username>

ログイン・ユーザー名を指定します。

-p <password>

ログイン・パスワードを指定します。

-debug

デバッガを実行します。

-x <opam-command>

指定したOracle Privileged Account Managerコマンドを実行します。

例:

-url https://hostname:sslport/opam -u <username> [-p <password>] [debug]
-x addtarget -targetname <targetname> -host <hostname> -port 22
-organization <organization>

A.2.2 addaccountコマンド

特権アカウントを追加するには、addaccountコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x addaccount <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-targetid <target id>

追加するターゲットを指定します。

-accountname <accounttname>

新しいアカウントの名前を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.3 addtargetコマンド

ターゲットを追加するにはaddtargetコマンドを使用します。

コマンド構文:

[[-url <url>] -u <username> [-p <password>] [-debug] -x addtarget <options>

Oracle Privileged Account Managerでは、複数のターゲット・タイプがサポートされるため、それぞれに必要なパラメータは異なる可能性があります。そのため、addtargetコマンドを実行する前に、実行時にこれらのパラメータを見つけておく必要があります。

次に例を示します。

- サポートされるターゲット・タイプのリストを表示するには、次のコマンドを実行します。

sh opam.sh –url <OPAM url> -u <security admin user>
-p <security admin user password> -x addtarget –help

たとえば、https://hostname:sslport/opamがOracle Privileged Account ManagerサーバーのURLである場合、次のコマンドを実行します。

sh opam.sh -url https://hostname:sslport/opam -u sec_admin -p welcome1
-x addtarget -help

- 指定したターゲット・タイプの必須属性およびオプション属性のリストを表示するには、次のコマンドを実行します。

sh opam.sh –url <OPAM url> -u <security admin user>
-p <security admin user password> -x addtarget
–targettype <any supported target type> –help

たとえば、Oracle Privileged Account ManagerサーバーのURLがhttps://hostname:sslport/opamで、LDAPターゲット・タイプの属性のリストを表示するには、次のコマンドを実行します。

sh opam.sh -url https://hostname:sslport/opam -u sec_admin -p welcome1
-x addtarget -targettype ldap -help

次の表では、LDAPターゲットに必要なパラメータについて説明します。

注意:

value1|value2|...という書式ですべての複数値属性を指定する必要があります。

オプション

説明

-targetname <targetname>

ターゲットの名前を指定します。

-targettype <ldap | unix | database> <type-specific attributes>

ターゲット・タイプを指定し、タイプ固有の任意の属性を指定します。

-domain <domain>

ドメイン名を指定します。

-host <host>

ホスト名を入力します。

-port <port>

LDAPサーバーとの通信に使用するTCP/IPポート番号を指定します。

-ssl <ssl>

オプションです。SSLを使用してLDAPサーバーに接続する場合に指定します。

-principal <principal>

LDAPサーバーに対する認証に使用する識別名を指定します。

-credentials <credentials>

プリンシパルのパスワードを指定します。

-baseContexts <baseContexts> [Multi-Valued]

LDAPツリーを検索する場合に使用するツリー内の1つ以上の開始点を指定します。

検索が実行されるのは、LDAPサーバーからユーザーを検出する場合、またはユーザーがメンバーに含まれるグループを検索する場合です。

-accountNameAttribute <accountNameAttribute>

アカウントのユーザー名を保持する属性を指定します。

[-description <description>]

ターゲットの説明を指定します。

[-organization <organization>]

組織名を入力します。

[-uidAttribute <uidAttribute>]

UID属性にマップされるLDAP属性の名前を指定します。(デフォルトはuid)

[-accountSearchFilter <accountSearchFilter>]

オプションです。LDAPリソースから返されるアカウントを制御するためのLDAPフィルタを指定します。

フィルタを指定しない場合、指定したすべてのオブジェクト・クラスを含むアカウントのみが返されます。(デフォルトは(uid=*))

[-passwordAttribute <passwordAttribute>]

オプションです。パスワードを保持するLDAP属性の名前を指定します。

ユーザーのパスワードを変更すると、Oracle Privileged Account Managerによってこの属性に新しいパスワードが設定されます。(デフォルトはuserpassword)

[-accountObjectClasses <accountObjectClasses>] [Multi-Valued]

LDAPツリーに新しいユーザー・オブジェクトを作成する場合に使用する1つ以上のオブジェクト・クラスを指定します。

複数のオブジェクト・クラスを入力する場合、各エントリはそれぞれ個別の行に配置するようにし、カンマやセミコロンを使用して複数のオブジェクト・クラスを区切らないでください。

一部のオブジェクト・クラスでは、クラス階層内のすべてのオブジェクト・クラスを指定する必要があります。(デフォルトは"top|person|organizationalPerson|inetOrgPerson")

A.2.4 checkinコマンドおよびcheckoutコマンド

特権アカウントをチェックインするにはcheckinコマンドを使用し、特権アカウントをチェックアウトするにはcheckoutコマンドを使用します。

注意:

checkout操作でも使用するパスワードが提供されます。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x checkin <options>

[-url <url>] -u <username> [-p <password>] [-debug] -x checkout <options>

次の表では、これらのコマンドで使用できるオプションについて説明します。

オプション

説明

-accountid <account id>

チェックアウトまたはチェックインするアカウントを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.5 displayallaccountsコマンド

すべてのアカウントのリストを表示するには、displayallaccountsコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x displayallaccounts <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.6 displayallgroupsコマンド

すべてのグループのリストを表示するには、displayallgroupsコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x displayallgroups <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.7 displayalltargetsコマンド

すべてのターゲットのリストを表示するには、displayalltargetsコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x displayalltargets <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.8 displayallusersコマンド

すべてのユーザーのリストを表示するには、displayallusersコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x displayallusers <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.9 displaycheckedoutaccountsコマンド

ユーザーのチェックアウト済アカウントのリストを表示するには、displaycheckedoutaccountsコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x displaycheckedoutaccounts <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.10 displaydomaintreeコマンド

ドメイン・ツリーを表示するには、displaydomaintreeコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x displaydomaintree <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.11 displaytargettypetreeコマンド

ターゲット・タイプ・ツリーを表示するには、displaytargettypetreeコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x displaytargettypetree <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.12 grantgroupaccessコマンド

特権アカウントに対するアクセス権をグループに付与するには、grantgroupaccessコマンドを使用します。

[-url <url>] -u <username> [-p <password>] [-debug] -x grantgroupaccess <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-accountid <account id>

グループにアクセス権を付与するアカウントを指定します。

-groupname <group name>

アクセス権を付与するグループを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.13 grantuseraccessコマンド

特権アカウントに対するアクセス権をユーザーに付与するには、grantuseraccessコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x grantuseraccess <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-accountid <account id>

ユーザーにアクセス権を付与するアカウントを指定します。

-userid <user id>

アクセス権を付与するユーザーを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.14 removeaccountコマンド

特権アカウントを削除するには、removeaccountコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x removeaccount <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-accountid <account id>

削除するアカウントを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.15 removegroupaccessコマンド

特権アカウントに対するグループのアクセス権を削除するには、removegroupaccessコマンドを使用します。

[-url <url>] -u <username> [-p <password>] [-debug] -x removegroupaccess <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-accountid <account id>

アクセス権を削除するアカウントを指定します。

-groupname <group name>

アクセス権を削除するグループを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.16 removetargetコマンド

ターゲットを削除するには、removetargetコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x removetarget <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-targetid <target id>

削除するターゲットを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.17 removeuseraccessコマンド

特権アカウントに対するユーザーのアクセス権を削除するには、removeuseraccessコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x removeuseraccess <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-accountid <account id>

アクセス権を削除するアカウントを指定します。

-userid <user id>

アクセス権を削除するユーザーを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.18 resetpasswordコマンド

チェックアウトしたアカウントのパスワードを手動でリセットするには、resetpasswordコマンドを使用します。このコマンドを実行すると、Oracle Privileged Account Managerによってアカウントの詳細が返され、新しいパスワードの入力を求められます。

注意:

通常のユーザーの場合、アカウントがすでにチェックインされていると、エラーが返されます。

セキュリティ管理者または「ユーザー・マネージャ」管理ロールを持つ管理者の場合、このコマンドを使用して、チェックアウトしたアカウントとチェックインしたアカウントの両方のパスワードをリセットできます。

コマンド構文:

[-url <url>] -u <username> [-p <password>] -x resetpassword -accountid <accountid>

このコマンドで使用できるオプションはありません。

A.2.19 retrieveaccountコマンド

アカウントが存在するターゲットなどの特権アカウントに関する情報を取得するには、retrieveaccountコマンドを使用します。この情報にパスワードは含まれません。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x retrieveaccount <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-accountid <account id>

取得するアカウントを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.20 retrievegranteesコマンド

特権アカウントの権限受領者に関する情報を取得するには、retrievegranteesコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x retrievegrantees <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-accountid <account id>

権限受領者を取得するアカウントを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.21 retrievegroupコマンド

特権アカウントのグループに関する情報を取得するには、retrievegroupコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x retrievegroup <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-groupname <group name>

取得するグループの名前を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.22 retrievetargetコマンド

ターゲットに関する情報を取得するには、retrievetargetコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x retrievetarget <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-targetid <target id>

取得するターゲットを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.23 retrieveuserコマンド

ユーザーに関する情報を取得するには、retrieveuserコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x retrieveuser <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-userid <user id>

取得するユーザーを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.24 searchaccountコマンド

アカウントを検索するには、searchaccountコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x searchaccount <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-accountid <account id>

検索するアカウントを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

たとえば、次の検索ではすべてのターゲットが返されます。

https://<host name>:<port>/opam/target/search?

一方で、次の検索では、タイプにldapおよびorgが含まれるすべてのターゲットが返されます。

https://<host name>:<port>/opam/target/search?type=ldap&org=us

A.2.25 searchgroupコマンド

グループを検索するには、searchgroupコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x searchgroup <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-groupname <group name>]

オプションです。検索するグループの名前を指定します。

[-description <description>]

オプションです。グループの説明を指定します。

[-accountname <account name>]

オプションです。検索するアカウントの名前を指定します。

[-targetname <target name>]

オプションです。検索するターゲットの名前を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.26 searchtargetコマンド

ターゲットを検索するには、searchtargetコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x searchtarget <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-targettype <ldap | solaris | oracledb>]

オプションです。検索するターゲットのタイプをLDAP、SolarisまたはOracle DBとして指定します。

[-domain <domain>]

オプションです。検索するドメインを指定します。

[-targetname <target name>]

オプションです。検索するターゲットの名前を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.27 searchuserコマンド

ユーザーを検索するには、searchuserコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x searchuser <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-userid <user id>]

オプションです。ユーザーIDでユーザーを検索します。

[-firstname <first name>]

オプションです。ユーザーの名を指定します。

[-lastname <last name>]

オプションです。ユーザーの姓を指定します。

[-accountname <account name>]

オプションです。検索するアカウントの名前を指定します。

[-targetname <target name>]

オプションです。検索するターゲットの名前を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.28 showpasswordコマンド

チェックアウトしたアカウントのパスワードを表示するには、showpasswordコマンドを使用します。このコマンドを実行すると、Oracle Privileged Account Managerによってアカウントの詳細とパスワードが返されます。

注意:

アカウントがすでにチェックインされていると、エラーが返されます。

セキュリティ管理者または「ユーザー・マネージャ」管理ロールを持つ管理者の場合、このコマンドを使用して、チェックアウトしたアカウントとチェックインしたアカウントの両方のパスワードを表示できます。

コマンド構文:

[-url <url>] -u <username> [-p <password>] -x showpassword -accountid <accountid>

このコマンドで使用できるオプションはありません。

B Oracle Privileged Account ManagerのRESTfulインタフェースの使用

Oracle Privileged Account Managerは多くのクライアント・インタフェースを介して使用できますが、その基本となるアクセス・メカニズムまたはレイヤーは、RESTfulインタフェースにカプセル化されています。

外部パーティ(Oracle Privileged Account Manager以外のサーバーなど)によって使用されるOracle Privileged Account Managerサーバーとのすべての相互作用は、RESTfulインタフェースを介して公開されます。外部から参照可能なすべてのOracle Privileged Account Managerリソースは、URIでモデル化されますが、標準のHTTP操作はそれらのリソースに対する関連するOracle Privileged Account Manager操作にマップされます。

この付録では、Oracle Privileged Account ManagerのRESTfulインタフェースについて説明します。このインタフェースを介して公開される特定のAPIについて、次の項で説明します。

- B.1項「ターゲット・リソース」

- B.2項「アカウント・リソース」

- B.3項「UIリソース」

- B.4項「ユーザー・リソース」

- B.5項「グループ・リソース」

- B.6項「使用ポリシー・リソース」

- B.7項「パスワード・ポリシー・リソース」

- B.8項「ポリシー・リソース」

注意:

Oracle Privileged Account ManagerのWebベースのコンソールまたはコマンドライン・ツールを使用して、この付録で説明しているタスクを実行することもできます。

詳細は、第5章「Oracle Privileged Account Managerの構成および管理」または付録A「コマンドライン・ツールの使用」を参照してください。

B.1 ターゲット・リソース

この項では次のAPIについて説明します。

- ターゲット属性の取得

- ターゲットの追加

- ターゲットの検証

- ターゲットの取得

- ターゲットの更新

- ターゲットの削除

- ターゲットの検索

- 使用可能なアカウントの取得

- ターゲットで登録されているアカウントの取得

- ターゲット・タイプの取得

B.1.1 ターゲット属性の取得

このAPIを使用して、すべてのターゲット・タイプに関連付けられた属性のリストを取得します。

サポートされるターゲット・タイプのリストをこれらの属性とともに使用して、ターゲットを追加するために必要なJSONオブジェクトを作成します。詳細は、B.1.2項「ターゲットの追加」を参照してください。

注意:

JSONオブジェクトを作成するには、Firefox JSONviewなどのJSONのブラウザ拡張機能が必要です。

URI

https://opam_server_host:opam_ssl_port/opam/target/attributes/{locale}

メソッド

GET

成功時の戻り値

ステータス・コード200、ターゲット・タイプのJSON表現、およびそれらに関連付けられた属性

サンプルURI

https://opam_server_host:opam_ssl_port/opam/target/attributes/en

例B-1 サポートされているターゲット・タイプと属性のJSON表記の出力

{
"TargetAttributes":[
{
"TargetType":"ldap",
"DisplayName":"ldap",
"BasicAttributes":[
{
"name":"targetName",
"type":"string",
"description":"",
"label":"Target Name",
"mask":"false",
"array":"false",
"required":"true"
},
{
"name":"description",
"type":"string",
"description":"",
"label":"Description",
"mask":"false",
"array":"false",
"required":"false"
},
{
"name":"organization",
"type":"string",
"description":"",
"label":"Organization",
"mask":"false",
"array":"false",
"required":"false"
},
{
"name":"domain",
"type":"string",
"description":"",
"label":"Domain",
"mask":"false",
"array":"false",
"required":"true"
},
{
"name":"host",
"type":"string",
"description":"",
"label":"Host",
"mask":"false",
"array":"false",
"required":"true"
},
{
"name":"port",
"type":"int",
"description":"TCP/IP port number used to communicate with the LDAP server.",
"label":"TCP Port",
"default":"",
"mask":"false",
"array":"false",
"required":"true"
},
{
"name":"ssl",
"type":"boolean",
"description":"Select the check box to connect to the LDAP server using SSL.",
"label":"SSL",
"default":"false",
"mask":"false",
"array":"false",
"required":"true"
},
{
"name":"principal",
"type":"string",
"description":"The distinguished name with which to authenticate
to the LDAP server.",
"label":"Principal",
"default":"",
"mask":"false",
"array":"false",
"required":"true"
},
{
"name":"credentials",
"type":"string",
"description":"Password for the principal.",
"label":"Password",
"default":"",
"mask":"true",
"array":"false",
"required":"true"
},
{
"name":"baseContexts",
"type":"string",
"description":"One or more starting points in the LDAP tree that will be used
when searching the tree. Searches are performed when discovering users from
the LDAP server or when looking for the groups of which a user is a member.",
"label":"Base Contexts",
"default":[

],
"mask":"false",
"array":"true",
"required":"true"
},
{
"name":"accountNameAttribute",
"type":"string",
"description":"Attribute which holds the account's user name.",
"label":"Account User Name Attribute",
"default":"uid",
"mask":"false",
"array":"false",
"required":"true"
}
],
"AdvancedAttributes":[
{
"name":"uidAttribute",
"type":"string",
"description":"The name of the LDAP attribute which is mapped
to the Uid attribute.",
"label":"Uid Attribute",
"default":"uid",
"mask":"false",
"array":"false",
"required":"false"
},
{
"name":"accountSearchFilter",
"type":"string",
"description":"An optional LDAP filter to control which accounts are returned
from the LDAP resource. If no filter is specified, only accounts that include
all specified object classes are returned.",
"label":"LDAP Filter for Retrieving Accounts",
"default":"(uid=*)",
"mask":"false",
"array":"false",
"required":"false"
},
{
"name":"passwordAttribute",
"type":"string",
"description":"The name of the LDAP attribute which holds the password.
When changing an user's password, the new password is set to this attribute.",
"label":"Password Attribute",
"default":"userpassword",
"mask":"false",
"array":"false",
"required":"false"
},
{
"name":"accountObjectClasses",
"type":"string",
"description":"The object class or classes that will be used when
creating new user objects in the LDAP tree. When entering more than one
object class, each entry should be on its own line; do not use commas or
semi-colons to separate multiple object classes. Some object classes
may require that you specify all object classes in the class hierarchy.",
"label":"Account Object Classes",
"default":[
"top",
"person",
"organizationalPerson",
"inetOrgPerson"
],
"mask":"false",
"array":"true",
"required":"false"
}
]
}
]
}

説明:

- TargetAttributesは、オブジェクトの配列であり、各オブジェクトがターゲット・タイプを表します。

- TargetTypeは、ターゲット・タイプです。

- DisplayNameは、ターゲット・タイプ名の表示方法です。

- BasicAttributesは、オブジェクトの配列であり、各オブジェクトがターゲット・タイプの基本属性を表します。

- AdvancedAttributesは、オブジェクトの配列であり、各オブジェクトがターゲット・タイプの拡張属性を表します。

- nameは、ターゲットJSONを構成してターゲットを作成する場合に使用する属性名です。

- typeは、属性タイプです。有効な値は、string、int、booleanまたはlov (値リスト)です。

- descriptionは、属性のわかりやすい説明です。

- labelは、属性名の表示方法です。

- defaultは、属性のデフォルト値です。
arrayパラメータがfalseの場合は単一値を指定し、arrayがtrueの場合は値の配列を指定します。

- maskは、資格証明などの機密値を非表示にします。

- 属性を非表示にする場合、trueを指定します。

- 属性を非表示にする必要がない場合、falseを指定します。

- arrayは、属性が単一値であるか複数値の配列であるかを示します。

- 属性が複数値の配列である場合、trueを指定します。

- 属性が単一値の場合、falseを指定します。

- requiredは、属性が必須であるかオプションであるかを示します。

- 必須属性の場合、trueを指定します。

- オプション属性の場合、falseを指定します。

B.1.2 ターゲットの追加

このAPIを使用してターゲットを追加します。

注意:

最初に、B.1.1項「ターゲット属性の取得」の説明に従ってターゲット・タイプの属性のリストを取得する必要があります。これらの属性を使用して、本体で送信されるJSONオブジェクトを作成します。

URI

https://opam_server_host:opam_ssl_port/opam/target

メソッド

POST

本体

ターゲットの追加またはテストのJSON表現

成功時の戻り値

ステータス・コード201 (作成)および場所

例B-2 ターゲットの追加のサンプルJSON表現

{
"target":{
"targetType":"ldap",
"targetName":"hhsharma-ldap2",
"host":"adc2120745.us.oracle.com",
"domain":"berkeley",
"description":"Ldap target",
"organization":"ST-US",
"credentials":"welcome",
"uidAttribute":"uid",
"port":"9876",
"passwordAttribute":"userpassword",
"principal":"cn=orcladmin",
"accountSearchFilter":"(uid=*)",
"baseContexts":[
"cn=Users,c=US"
],
"ssl":"false",
"accountObjectClasses":[
"top",
"person",
"organizationalPerson",
"inetOrgPerson"
],
"accountNameAttribute":"uid"
}
}

サンプル出力

https://opam_server_host:opam_ssl_port/opam/target
/9bbcbbb087174ad1900ea691a2573b61 (場所)

説明:

- targetは、ターゲットJSONオブジェクトです。

- targetNameは、ターゲットの名前です。

- targetTypeは、ターゲット・タイプです。

他のすべての属性は、動的であり、B.1.1項「ターゲット属性の取得」の属性に対応します。

B.1.3 ターゲットの検証

このAPIを使用してターゲットを検証します。

注意:

最初に、ターゲット・タイプの属性のリストを取得する必要があります。本体で送信されるJSONオブジェクトを作成するには、B.1.1項「ターゲット属性の取得」を参照してください。

URI

https://opam_server_host:opam_ssl_port/opam/target/test

メソッド

PUT

本体

ターゲットの追加またはテストのJSON表現

成功時の戻り値

ステータス・コード200

例B-3 ターゲットの追加または検証のサンプルJSON表現

{
"target":{
"targetType":"ldap",
"targetName":"hhsharma-ldap2",
"host":"adc2120745.us.oracle.com",
"domain":"berkeley",
"description":"Ldap target",
"organization":"ST-US",
"credentials":"welcome",
"uidAttribute":"uid",
"port":"9876",
"passwordAttribute":"userpassword",
"principal":"cn=orcladmin",
"accountSearchFilter":"(uid=*)",
"baseContexts":[
"cn=Users,c=US"
],
"ssl":"false",
"accountObjectClasses":[
"top",
"person",
"organizationalPerson",
"inetOrgPerson"
],
"accountNameAttribute":"uid"
}
}

説明:

- targetは、ターゲットJSONオブジェクトです。

- targetNameは、ターゲットの名前です。

- targetTypeは、ターゲット・タイプです。

他のすべての属性は、動的であり、B.1.1項「ターゲット属性の取得」の属性に対応します。

B.1.4 ターゲットの取得

このAPIを使用してターゲットを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/target/{targetUID}

メソッド

GET

本体

成功時の戻り値

ステータス・コード200およびターゲットのJSON表現

例B-4 ターゲットのサンプルJSON表現

{
"target":{
"targetUID":"9bbcbbb087174ad1900ea691a2573b61",
"targetType":"ldap",
"targetName":"hhsharma-ldap",
"host":"adc2120745.us.oracle.com",
"domain":"berkeley",
"description":"Ldap target",
"organization":"ST-US",
"credentials":"welcome",
"uidAttribute":"uid",
"port":"9876",
"passwordAttribute":"userpassword",
"principal":"cn=orcladmin",
"accountSearchFilter":"(uid=*)",
"baseContexts":[
"cn=Users,c=US"
],
"ssl":"false",
"accountObjectClasses":[
"top",
"person",
"organizationalPerson",
"inetOrgPerson"
],
"accountNameAttribute":"uid",
"accounts":[
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/c11066278022489aad758aec69d9727d"
}
},
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/3740553e999a4f6aa8e8f9286d320cb4"
}
}
]
}
}

説明:

- targetは、ターゲットJSONオブジェクトです。

- targetUIDは、ターゲットの一意識別子です。

- targetNameは、ターゲットの名前です。

- targetTypeは、ターゲット・タイプです。

- accountsは、ターゲットに関連付けられたアカウントの配列です。

- accountは、アカウントのURIを含むアカウントJSONオブジェクトです。

- uriは、アカウントのURIです。

他のすべての属性は、動的であり、B.1.1項「ターゲット属性の取得」の属性に対応します。

B.1.5 ターゲットの更新

このAPIを使用してターゲットを更新します。

targetTypeおよびtargetUIDを除くすべての属性の変更が可能で、同時に複数の属性を変更できます。

URI

https://opam_server_host:opam_ssl_port/opam/target/{targetUID}

メソッド

PUT

本体

ターゲット変更のJSON表現

成功時の戻り値

ステータス・コード201

例B-5 ターゲット変更のサンプルJSONオブジェクト

{
"modifications":[
{
"modification":{
"host":"opam_server_host:opam_ssl_port
}
},
{
"modification":{
"port":"6000"
}
}
]
}

説明:

- targetUIDは、ターゲットの一意識別子です。

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一属性の変更を表すJSONオブジェクトです。

このAPIでは、ターゲットのhostおよびport属性を更新する必要があります。これらの値は、指定された値に更新されます。

B.1.6 ターゲットの削除

このAPIを使用してターゲットを削除します。

URI

https://opam_server_host:opam_ssl_port/opam/target/{targetUID}

メソッド

DELETE

本体

成功時の戻り値

ステータス・コード200

B.1.7 ターゲットの検索

このAPIでは、次のリクエスト・パラメータのいずれかを使用してターゲットを検索します。

- type

- domain

- org

- name

- hostname

これらのパラメータはすべてオプションです。

URI

https://opam_server_host:opam_ssl_port/opam/target/search?param1=value1&param2=value2

メソッド

GET

本体

成功時の戻り値

ステータス・コード200およびターゲット収集のJSON表現

サンプルURI:

https://opam_server_host:opam_ssl_port/opam/target/search?

すべてのターゲットが返されます。

https://opam_server_host:opam_ssl_port/opam/target/search?type=ldap&org=us

typeにldap、orgにusが含まれるすべてのターゲットが返されます。

例B-6 ターゲット収集のサンプルJSON表現

{
"Target Collection":[
{
"target":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/target\
/9bbcbbb087174ad1900ea691a2573b61",
"type":"ldap",
"name":"hhsharma-ldap",
"host":"adc2120745.us.oracle.com",
"domain":"berkeley"
}
},
{
"target":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/target\
/ac246a162ce948c7b1cdcc17dfc92c15",
"type":"ldap",
"name":"hhsharma-ldap2",
"host":"opam_server_host:opam_ssl_port",
"domain":"berkeley"
}
}
]
}

説明:

- Target Collectionは、ターゲットJSONオブジェクトの配列です。

- targetは、ターゲットJSONオブジェクトです。

- uriは、ターゲット・リソースのURIです。

- typeは、ターゲット・タイプです。

- hostnameは、ターゲットのホスト名です。

- nameは、ターゲット名です。

- orgは、ターゲットの組織です。

- domainは、ターゲットのドメインです。

B.1.8 使用可能なアカウントの取得

このAPIを使用して、ターゲット・システムに存在するすべてのアカウントを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/target/attributes/{locale}

メソッド

GET

本体

成功時の戻り値

ステータス・コード200 (OK)およびアカウント収集のJSON表現

例B-7 アカウント収集のサンプルJSON表現

{
"AvailableAccounts":[
{
"accountName":"SCOTT",
"accountUid":"SCOTT"
},
{
"accountName":"BLAKE",
"accountUid":"BLAKE "
},
{
"accountName":"JONES",
"accountUid":"JONES"
}
]
}

説明:

- AvailableAccountsは、ターゲット・システムに存在するアカウントの配列です。

- accountNameは、アカウント名です。

- accountUIDは、アカウントの一意識別子です。

B.1.9 ターゲットで登録されているアカウントの取得

このAPIを使用して、ターゲットでOracle Privileged Account Managerに登録されているすべてのアカウントを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/target/{targetUID}/accounts

メソッド

GET

本体

成功時の戻り値

ステータス・コード200およびアカウントのURI収集のJSON表現

例B-8 アカウントのURI収集のサンプルJSON表現

{
"URI Collection":[
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/3740553e999a4f6aa8e8f9286d320cb4",
"accountName":"sherlock"
}
},
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/c11066278022489aad758aec69d9727d",
"accountName":"himanshu"
}
}
]
}

説明:

- URI Collectionは、ターゲットでOracle Privileged Account Managerに登録されているアカウントの配列です。

- accountは、アカウントJSONオブジェクトです。

- uriは、アカウントのURIです。

- accountNameは、アカウント名です。

B.1.10 ターゲット・タイプの取得

このAPIを使用して、サポートされるすべてのターゲット・タイプのリストを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/target/types

メソッド

GET

本体

成功時の戻り値

ステータス・コード200およびサポートされるターゲット・タイプのJSON表現

例B-9 サポートされるターゲット・タイプのサンプルJSON表現

{
"targettypes":[
"ldap",
"unix",
"database"
]
}

説明:

- targettypesは、サポートされるターゲット・タイプです。

B.2 アカウント・リソース

この項では次のAPIについて説明します。

- ターゲットへのアカウントの追加

- アカウントの検証

- アカウントの取得

- パスワードのリセット

- アカウントの更新

- アカウントの削除

- アカウントに対するアクセス権のユーザーまたはロールへの付与

- アカウントに対するユーザーまたはロールのアクセス権の削除

- アカウントの権限受領者の取得

- アカウントのチェックアウト

- アカウントのチェックイン

- アカウントをチェックアウトしたユーザーの取得

- パスワードの表示

B.2.1 ターゲットへのアカウントの追加

このAPIを使用してターゲットにアカウントを追加します。このAPIは、ターゲット・システムにアカウントを作成しませんが、既存のアカウントをOPAMターゲットに登録します。

URI

https://opam_server_host:opam_ssl_port/opam/account

メソッド

POST

本体

アカウントの追加または検証のJSON表現

成功時の戻り値

ステータス・コード201および場所

例B-10 アカウントの追加または検証のサンプルJSON表現

{
"account":{
"accountName":"lucie",
"passwordpolicy":"passwordpolicy2",
"shared":"true",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61"
}
}

説明:

- accountは、アカウントJSONオブジェクトです。

- accountNameは、アカウントの名前です。

- passwordpolicyは、アカウントに適用可能なパスワード・ポリシーのポリシーIDです。このパラメータはオプションです。デフォルトでは、このパラメータはグローバル・デフォルト・パスワード・ポリシーを使用します。

- sharedは、アカウントの共有ステータスを示します。この値はブール値であり、デフォルト設定はfalseです。

- targetUIDは、ターゲットの一意識別子です。

B.2.2 アカウントの検証

このAPIを使用して、アカウントがターゲット・システムに存在するかどうかを検証します。

URI

https://opam_server_host:opam_ssl_port/opam/account/test

メソッド

PUT

本体

アカウントの追加または検証のJSON表現

成功時の戻り値

ステータス・コード200

例B-11 アカウントの追加または検証のサンプルJSON表現

{
"account":{
"accountName":"lucie",
"passwordpolicy":"passwordpolicy2",
"shared":"true",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61"
}
}

説明:

- accountは、アカウントJSONオブジェクトです。

- accountNameは、アカウントの名前です。

- passwordpolicyは、アカウントに適用可能なパスワード・ポリシーのポリシーIDです。このパラメータはオプションです。デフォルトでは、このパラメータはグローバル・デフォルト・パスワード・ポリシーを使用します。

- sharedは、アカウントの共有ステータスを示します。この値はブール値であり、デフォルト設定はfalseです。

- targetUIDは、ターゲットの一意識別子です。

B.2.3 アカウントの取得

このAPIを使用してアカウントを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}

メソッド

GET

本体

成功時の戻り値

ステータス・コード200およびアカウントのJSON表現

例B-12 アカウントのサンプルJSON表現

{
"account":{
"accountUID":"3f74a85e39e64432ba917a2e60fa15aa",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61",
"accountName":"lucie",
"shared":true,
"status":"checkedIn",
"usagepolicy":"usagepolicy1",
"passwordpolicyname":"Default Password Policy",
"passwordpolicy":"passwordpolicy2",
"grantees":{
"users":[
"opamuser1"
],
"roles":[
"opamgroup1"
]
}
}
}

説明:

- accountは、アカウントJSONオブジェクトです。

- accountUIDは、アカウントの一意識別子です。

- accountNameは、アカウントの名前です。

- passwordpolicyは、アカウントに適用可能なパスワード・ポリシーのポリシーIDです。

- passwordpolicynameは、適用可能なパスワード・ポリシーの名前です。

- sharedは、アカウントの共有ステータスを示します。この値はブール値であり、デフォルト設定はfalseです。

- targetUIDは、ターゲットの一意識別子です。

- statusは、アカウントがユーザーによってチェックインされたかどうかを示します。有効な値は、checkedInおよびcheckedOutです。

- granteesは、アカウントの権限受領者です。

- usersは、アカウントを付与されたユーザーです。各値は、ユーザーのログインID/UIDです。

- rolesは、アカウントを付与されたグループまたはロールです。各値は、グループのグループ名です。

B.2.4 パスワードのリセット

このAPIを使用してアカウントのパスワードをリセットします。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}/resetpassword

メソッド

PUT

本体

新規パスワードのJSON表現

成功時の戻り値

ステータス・コード200

例B-13 新規パスワードのサンプルJSON表現

{
"password":"welcome1"
}

説明:

- accountUIDは、アカウントの一意識別子です。

B.2.5 アカウントの更新

このAPIを使用してアカウントを更新します。同時に複数の属性を変更できます。使用ポリシーおよび共有属性のみを更新できます。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}

メソッド

PUT

本体

アカウント変更のJSON表現

成功時の戻り値

ステータス・コード200

例B-14 アカウント変更のサンプルJSON表現

{
"modifications":[
{
"modification":{
"passwordpolicy":"passwordpolicy2"
}
},
{
"modification":{
"shared":"false"
}
}
}
}

説明:

- accountUIDは、アカウントの一意識別子です。

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一属性の変更を表すJSONオブジェクトです。

B.2.6 アカウントの削除

このAPIを使用してアカウントを削除します。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID

メソッド

DELETE

本体

成功時の戻り値

ステータス・コード200

説明:

- accountUIDは、アカウントの一意識別子です。

B.2.7 アカウントに対するアクセス権のユーザーまたはロールへの付与

このAPIを使用して、アカウントに対するアクセス権をユーザーまたはロールに付与します。複数のユーザーおよびロールに同時にアクセス権を付与できます。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}

メソッド

PUT

本体

権限受領者の追加のJSON表現

成功時の戻り値

ステータス・コード200

例B-15 権限受領者の追加のサンプルJSON表現

{
"modifications":[
{
"modification":{
"usagepolicy":"usagepolicy1",
"role":"opamgroup1",
"operation":"add"
}
},
{
"modification":{
"usagepolicy":"usagepolicy1",
"user":"opamuser1",
"operation":"add"
}
}
]
}

説明:

- accountUIDは、アカウントの一意識別子です。

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一属性の変更を表すJSONオブジェクトです。

- roleは、グループにアクセス権を付与する必要があることを示します。このパラメータの値は、グループ名です。

- userは、ユーザーにアクセス権を付与する必要があることを示します。このパラメータの値は、ユーザー・ログインIDです。

- usagepolicyは、権限付与に適用される使用ポリシーの識別子を示します。

- operationは、実行される操作のタイプを示します。有効な値は次のとおりです。

- addは権限付与を示します。

- deleteは取消しを示します。

- replaceは使用ポリシーの新しい値による置換を示します。

B.2.8 アカウントに対するユーザーまたはロールのアクセス権の削除

このAPIを使用して、アカウントに対するユーザーのアクセス権またはロールのアクセス権を削除します。複数のユーザーおよびロールの権限付与を同時に取り消すことができます。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}

メソッド

PUT

本体

権限受領者の削除のJSON表現

成功時の戻り値

ステータス・コード200

例B-16 権限受領者の削除のサンプルJSON表現

{
"modifications":[
{
"modification":{
"usagepolicy":"usagepolicy1",
"role":"opamgroup1",
"operation":"delete"
}
},
{
"modification":{
"usagepolicy":"usagepolicy1",
"user":"opamuser1",
"operation":"delete"
}
}
]
}

説明:

- accountUIDは、アカウントの一意識別子です。

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一の変更を表すJSONオブジェクトです。

- roleは、グループにアクセス権を付与する必要があることを示します。このパラメータの値は、グループ名です。

- userは、ユーザーにアクセス権を付与する必要があることを示します。このパラメータの値は、ユーザー・ログインIDです。

- usagepolicyは、権限付与に適用される使用ポリシーの識別子を示します。

- operationは、実行される操作のタイプを示します。有効な値は次のとおりです。

- addは権限付与を示します。

- deleteは取消しを示します。

- replaceは使用ポリシーの新しい値による置換を示します。

B.2.9 アカウントの権限受領者の取得

このAPIを使用して、アカウントのすべての権限受領者を取得します。権限受領者は、ユーザーまたはロールです。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}/grantees

メソッド

GET

本体

成功時の戻り値

ステータス・コード200および権限受領者のJSON表現

例B-17 権限受領者のサンプルJSON表現

{
"grantees":{
"users":[
"opamuser1"
],
"roles":[
"opamgroup1"
]
}
}

説明:

- granteesは、アカウントの権限受領者です。

- usersは、アカウントを付与されたユーザーです。各値は、ユーザーのログインID/UIDです。

- rolesは、アカウントを付与されたグループまたはロールです。各値はグループ名です。

B.2.10 アカウントのチェックアウト

このAPIを使用してアカウントをチェックアウトします。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}/checkout

メソッド

PUT

本体

成功時の戻り値

ステータス・コード200およびアカウント・トークンのJSON表現

例B-18 アカウント・トークンのサンプルJSON表現

{
"accountToken":{
"accountName":"lucie",
"accountUID":"3f74a85e39e64432ba917a2e60fa15aa",
"accountPassword":"GJN8p2ol"
}
}

説明:

- accountUIDは、アカウントの一意識別子です。

- accountNameは、アカウントの名前です。

- accountpasswordは、アカウント・パスワードです。

B.2.11 アカウントのチェックイン

このAPIを使用してアカウントをチェックインします。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}/checkin

メソッド

PUT

本体

成功時の戻り値

ステータス・コード200

B.2.12 アカウントをチェックアウトしたユーザーの取得

このAPIを使用して、現在アカウントをチェックアウトしているすべてのユーザーのリストを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}/whocheckedout

メソッド

GET

本体

成功時の戻り値

ステータス・コード200およびアカウントをチェックアウトしたユーザーのJSON表現

例B-19 アカウントをチェックアウトしたユーザーのサンプルJSON表現

{
"users":[
{
"user":{
"uid":"sec_admin",
"lastname":"sec_admin",
"dn":"uid=sec_admin,ou=people,ou=myrealm,dc=base_domain",
"expiryTime":1338765551,
"checkoutTime":1338333551,
"timezone":"America\/Los_Angeles"
}
}
]
}

説明:

- uidは、ユーザーの一意識別子です。

- lastnameは、ユーザーの姓です。

- dnは、ユーザーの識別名です。

- expiryTimeは、チェックアウト・セッションの有効期限時刻です。このパラメータの値は、UNIX時間です。

- checkoutTimeは、アカウントがチェックアウトされた時刻です。このパラメータの値は、UNIX時間です。

- timezoneは、expiryTimeおよびcheckOutTimeに適用可能なタイムゾーンを示します。

B.2.13 パスワードの表示

このAPIを使用して、アカウントに関連付けられたパスワードを取得および表示します。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}/showpassword

メソッド

PUT

本体

成功時の戻り値

ステータス・コード200およびアカウント・トークンのJSON表現

例B-20 アカウント・トークンのサンプルJSON表現

{
"accountToken":{
"accountName":"lucie",
"accountUID":"3f74a85e39e64432ba917a2e60fa15aa",
"accountPassword":"GJN8p2ol"
}
}

説明:

- accountUIDは、アカウントの一意識別子です。

- accountNameは、アカウントの名前です。

- accountPasswordは、アカウント・パスワードです。

B.3 UIリソース

この項では次のAPIについて説明します。

- アカウントの検索

- すべてのチェックアウト済アカウントの取得

B.3.1 アカウントの検索

このAPIでは、次の検索リクエスト・パラメータを1つ以上使用してアカウントを検索します。

- type

- domain

- org

- name

- accountname

これらのパラメータはすべてオプションです。

URI

https://opam_server_host:opam_ssl_port/ui/allaccounts/search?param1=val1&param2=val2

メソッド

GET

本体

成功時の戻り値

ステータス・コード200およびアカウント収集のJSON表現

例B-21 アカウント収集のサンプルJSON表現

{
"AccountCollection":[
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/3740553e999a4f6aa8e8f9286d320cb4",
"accountUID":"3740553e999a4f6aa8e8f9286d320cb4",
"accountName":"sherlock",
"status":"checkedOut",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61",
"targetName":"hhsharma-ldap",
"targetType":"ldap",
"domain":"berkeley",
"disabled":"false",
"grantees":{
"users":[

],
"roles":[

]
}
}
},
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/c11066278022489aad758aec69d9727d",
"accountUID":"c11066278022489aad758aec69d9727d",
"accountName":"himanshu",
"status":"checkedIn",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61",
"targetName":"hhsharma-ldap",
"targetType":"ldap",
"domain":"berkeley",
"disabled":"true",
"grantees":{
"users":[

],
"roles":[

]
}
}
},
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/154034fc5b5548caad7721e198815709",
"accountUID":"154034fc5b5548caad7721e198815709",
"accountName":"lucie",
"status":"checkedIn",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61",
"targetName":"hhsharma-ldap",
"targetType":"ldap",
"domain":"berkeley",
"disabled":"true",
"grantees":{
"users":[

],
"roles":[

]
}
}
}
],
"count":3
}

説明:

- disabledは、アカウントに対するユーザーの付与アクセス権を示します。

- 設定がtrueの場合、ユーザーはアカウントに対する付与アクセス権を持ちます。

- 設定がfalseの場合、ユーザーはアカウントを表示できるがチェックアウトできない管理者です。

他のすべての属性定義の詳細は、B.1項「ターゲット・リソース」およびB.2項「アカウント・リソース」を参照してください。

B.3.2 すべてのチェックアウト済アカウントの取得

このAPIを使用して、ログイン・ユーザーによってチェックアウトされたすべてのアカウントのリストを取得します。

URI

https://opam_server_host:opam_ssl_port/ui/allaccounts/mycheckedout

メソッド

GET

本体

成功時の戻り値

ステータス・コード200およびアカウント収集のJSON表現

例B-22 アカウント収集のサンプルJSON表現

{
"AccountCollection":[
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/3740553e999a4f6aa8e8f9286d320cb4",
"accountUID":"3740553e999a4f6aa8e8f9286d320cb4",
"accountName":"sherlock",
"status":"checkedOut",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61",
"targetName":"hhsharma-ldap",
"targetType":"ldap",
"domain":"berkeley",
"policyname":"Default Usage Policy",
"policyid":"usagepolicy1",
"expiryTime":1338765551,
"timezone":"America\/Los_Angeles",
"grantees":{
"users":[

],
"roles":[

]
}
},
"count":1
}
]
}

属性定義の詳細は、B.1項「ターゲット・リソース」およびB.2項「アカウント・リソース」を参照してください。

B.4 ユーザー・リソース

この項では次のAPIについて説明します。

- ユーザーの取得

- ユーザーの検索

- ユーザーの拡張検索

B.4.1 ユーザーの取得

このAPIを使用してユーザーを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/user/{uid}

メソッド

GET

本体

成功時の戻り値

ステータス・コード200およびユーザーのJSON表現

例B-23 ユーザーのサンプルJSON表現

{
"user":{
"uid":"opamuser1",
"lastname":"opamuser1",
"usertype":"End-User",
"opamrole":[

],
"dn":"uid=opamuser1,ou=people,ou=myrealm,dc=base_domain",
"accounts":[
{
"accountUID":"3740553e999a4f6aa8e8f9286d320cb4",
"accountName":"sherlock",
"targetType":"ldap",
"targetName":"hhsharma-ldap",
"targetDomain":"berkeley"
},
{
"accountUID":"154034fc5b5548caad7721e198815709",
"accountName":"lucie",
"targetType":"ldap",
"targetName":"hhsharma-ldap",
"targetDomain":"berkeley"
}
]
}
}

属性定義の詳細は、B.1項「ターゲット・リソース」およびB.2項「アカウント・リソース」を参照してください。

B.4.2 ユーザーの検索

このAPIを使用してユーザーを検索します。このAPIは、次のパラメータを1つ以上使用したcontains条件検索です。

- firstname

- lastname

- UID(一意識別子)

- mail

URI

https://opam_server_host:opam_ssl_port/opam/user/search/{searchKeyWord}

メソッド

GET

本体

成功時の戻り値

ステータス200およびユーザーのJSON表現

例B-24 ユーザーのサンプルJSON表現

{
"users":[
{
"user":{
"uid":"opamenduser1",
"firstname":"opamenduser1",
"lastname":"opamenduser1",
"dn":"uid=opamenduser1,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamenduser2",
"lastname":"opamenduser2",
"dn":"uid=opamenduser2,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamuser1",
"lastname":"opamuser1",
"dn":"uid=opamuser1,ou=people,ou=myrealm,dc=base_domain"
}
}
]
}

属性定義の詳細は、B.1項「ターゲット・リソース」およびB.2項「アカウント・リソース」を参照してください。

B.4.3 ユーザーの拡張検索

このAPIを使用してユーザーを検索します。このAPIは、次のパラメータを1つ以上使用したcontains条件検索です。

- uid

- lastname

- firstname

これらのパラメータはすべてオプションです。

URI

https://opam_server_host:opam_ssl_port/opam/user/advancedsearch?param1=val1&param2=val2

メソッド

GET

本体

成功時の戻り値

ステータス200およびユーザーのJSON表現

例B-25 ユーザーのサンプルJSON表現

{
"users":[
{
"user":{
"uid":"OracleSystemUser",
"lastname":"OracleSystemUser",
"dn":"uid=OracleSystemUser,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"weblogic",
"lastname":"weblogic",
"dn":"uid=weblogic,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"app_config",
"lastname":"app_config",
"dn":"uid=app_config,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"sec_admin",
"lastname":"sec_admin",
"dn":"uid=sec_admin,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"user_manager",
"lastname":"user_manager",
"dn":"uid=user_manager,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"sec_auditor",
"lastname":"sec_auditor",
"dn":"uid=sec_auditor,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamenduser1",
"firstname":"opamenduser1",
"lastname":"opamenduser1",
"dn":"uid=opamenduser1,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamenduser2",
"lastname":"opamenduser2",
"dn":"uid=opamenduser2,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamuser1",
"lastname":"opamuser1",
"dn":"uid=opamuser1,ou=people,ou=myrealm,dc=base_domain"
}
}
]
}

属性定義の詳細は、B.1項「ターゲット・リソース」およびB.2項「アカウント・リソース」を参照してください。

B.5 グループ・リソース

この項では次のAPIについて説明します。

- グループの取得

- グループの検索

- グループの拡張検索

B.5.1 グループの取得

このAPIを使用してグループを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/group/{name}

メソッド

GET

本体

成功時の戻り値

ステータス・コード200およびグループのJSON表現

例B-26 グループのサンプルJSON表現

{
"group":{
"name":"opamgroup1",
"dn":"cn=opamgroup1,ou=groups,ou=myrealm,dc=base_domain",
"description":"",
"users":[
{
"uid":"opamenduser1",
"firstname":"opamenduser1",
"lastname":"opamenduser1",
"dn":"uid=opamenduser1,ou=people,ou=myrealm,dc=base_domain"
},
{
"uid":"opamuser1",
"lastname":"opamuser1",
"dn":"uid=opamuser1,ou=people,ou=myrealm,dc=base_domain"
}
],
"groups":[
{
"group":{
"name":"opamsubgroup1",
"dn":"cn=opamsubgroup1,ou=groups,ou=myrealm,dc=base_domain",
"description":""
}
},
{
"group":{
"name":"opamsubgroup2",
"dn":"cn=opamsubgroup2,ou=groups,ou=myrealm,dc=base_domain",
"description":""
}
}
],
"accounts":[
{
"accountUID":"c11066278022489aad758aec69d9727d",
"accountName":"himanshu",
"targetType":"ldap",
"targetName":"hhsharma-ldap",
"targetDomain":"berkeley"
}
]
}
}

属性定義の詳細は、B.1項「ターゲット・リソース」およびB.2項「アカウント・リソース」を参照してください。

B.5.2 グループの検索

このAPIを使用してグループを検索します。このAPIは、group nameパラメータを使用したcontains条件検索です。

URI

https://opam_server_host:opam_ssl_port/opam/group/search/{searchKeyWord}

メソッド

GET

本体

成功時の戻り値

ステータス200およびグループのJSON表現

例B-27 グループのサンプルJSON表現

{
"groups":[
{
"group":{
"name":"opamgroup1",
"dn":"cn=opamgroup1,ou=groups,ou=myrealm,dc=base_domain",
"description":"",
"users":[
{
"uid":"opamenduser1",
"firstname":"opamenduser1",
"lastname":"opamenduser1",
"dn":"uid=opamenduser1,ou=people,ou=myrealm,dc=base_domain"
},
{
"uid":"opamuser1",
"lastname":"opamuser1",
"dn":"uid=opamuser1,ou=people,ou=myrealm,dc=base_domain"
}
]
}
},
{
"group":{
"name":"opamgroup2",
"dn":"cn=opamgroup2,ou=groups,ou=myrealm,dc=base_domain",
"description":"",
"users":[
{
"uid":"opamenduser1",
"firstname":"opamenduser1",
"lastname":"opamenduser1",
"dn":"uid=opamenduser1,ou=people,ou=myrealm,dc=base_domain"
},
{
"uid":"opamuser1",
"lastname":"opamuser1",
"dn":"uid=opamuser1,ou=people,ou=myrealm,dc=base_domain"
}
]
}
},
{
"group":{
"name":"opamsubgroup1",
"dn":"cn=opamsubgroup1,ou=groups,ou=myrealm,dc=base_domain",
"description":"",
"users":[

]
}
},
{
"group":{
"name":"opamsubgroup2",
"dn":"cn=opamsubgroup2,ou=groups,ou=myrealm,dc=base_domain",
"description":"",
"users":[

]
}
},
{
"group":{
"name":"OPAM_APPLICATION_CONFIGURATOR",
"dn":"cn=OPAM_APPLICATION_CONFIGURATOR,ou=groups,ou=myrealm,dc=base_domain",
"description":"OPAM_APPLICATION_CONFIGURATOR",
"users":[
{
"uid":"app_config",
"lastname":"app_config",
"dn":"uid=app_config,ou=people,ou=myrealm,dc=base_domain"
}
]
}
},
{
"group":{
"name":"OPAM_SECURITY_ADMIN",
"dn":"cn=OPAM_SECURITY_ADMIN,ou=groups,ou=myrealm,dc=base_domain",
"description":"OPAM_SECURITY_ADMIN",
"users":[
{
"uid":"sec_admin",
"lastname":"sec_admin",
"dn":"uid=sec_admin,ou=people,ou=myrealm,dc=base_domain"
}
]
}
},
{
"group":{
"name":"OPAM_SECURITY_AUDITOR",
"dn":"cn=OPAM_SECURITY_AUDITOR,ou=groups,ou=myrealm,dc=base_domain",
"description":"OPAM_SECURITY_AUDITOR",
"users":[
{
"uid":"sec_auditor",
"lastname":"sec_auditor",
"dn":"uid=sec_auditor,ou=people,ou=myrealm,dc=base_domain"
}
]
}
},
{
"group":{
"name":"OPAM_USER_MANAGER",
"dn":"cn=OPAM_USER_MANAGER,ou=groups,ou=myrealm,dc=base_domain",
"description":"OPAM_USER_MANAGER",
"users":[
{
"uid":"user_manager",
"lastname":"user_manager",
"dn":"uid=user_manager,ou=people,ou=myrealm,dc=base_domain"
}
]
}
}
]
}

属性定義の詳細は、B.1項「ターゲット・リソース」およびB.2項「アカウント・リソース」を参照してください。

B.5.3 グループの拡張検索

このAPIを使用して、リクエスト・パラメータがgroupnameであるユーザーを検索します。パラメータはすべてオプションです。

URI

https://opam_server_host:opam_ssl_port/opam/group/advancedsearch?param1=val1&param2=val2

メソッド

GET

本体

成功時の戻り値

ステータス200およびグループのJSON表現

例B-28 グループのサンプルJSON表現

{
"groups":[
{
"group":{
"name":"AdminChannelUsers",
"dn":"cn=AdminChannelUsers,ou=groups,ou=myrealm,dc=base_domain",
"description":"AdminChannelUsers can access the admin channel.",
"users":[

],
"accounts":[

]
}
},
{
"group":{
"name":"Administrators",
"dn":"cn=Administrators,ou=groups,ou=myrealm,dc=base_domain",
"description":"Administrators can view and modify all resource attributes
and start and stop servers.",
"users":[
{
"uid":"weblogic",
"lastname":"weblogic",
"dn":"uid=weblogic,ou=people,ou=myrealm,dc=base_domain"
}
],
"accounts":[

]
}
},
{
"group":{
"name":"AppTesters",
"dn":"cn=AppTesters,ou=groups,ou=myrealm,dc=base_domain",
"description":"AppTesters group.",
"users":[

],
"accounts":[

]
}
},
{
"group":{
"name":"CrossDomainConnectors",
"dn":"cn=CrossDomainConnectors,ou=groups,ou=myrealm,dc=base_domain",
"description":"CrossDomainConnectors can make inter-domain calls from
foreign domains.",
"users":[

],
"accounts":[

]
}
},
{
"group":{
"name":"Deployers",
"dn":"cn=Deployers,ou=groups,ou=myrealm,dc=base_domain",
"description":"Deployers can view all resource attributes and deploy applications.",
"users":[

],
"accounts":[

]
}
},
{
"group":{
"name":"Monitors",
"dn":"cn=Monitors,ou=groups,ou=myrealm,dc=base_domain",
"description":"Monitors can view and modify all resource attributes
and perform operations not restricted by roles.",
"users":[

],
"accounts":[

]
}
},
{
"group":{
"name":"Operators",
"dn":"cn=Operators,ou=groups,ou=myrealm,dc=base_domain",
"description":"Operators can view and modify all resource attributes and
perform server lifecycle operations.",
"users":[

],
"accounts":[

]
}
},
{
"group":{
"name":"OracleSystemGroup",
"dn":"cn=OracleSystemGroup,ou=groups,ou=myrealm,dc=base_domain",
"description":"Oracle application software system group.",
"users":[
{
"uid":"OracleSystemUser",
"lastname":"OracleSystemUser",
"dn":"uid=OracleSystemUser,ou=people,ou=myrealm,dc=base_domain"
}
],
"accounts":[

]
}
},
{
"group":{
"name":"OPAM_APPLICATION_CONFIGURATOR",
"dn":"cn=OPAM_APPLICATION_CONFIGURATOR,ou=groups,ou=myrealm,dc=base_domain",
"description":"OPAM_APPLICATION_CONFIGURATOR",
"users":[
{
"uid":"app_config",
"lastname":"app_config",
"dn":"uid=app_config,ou=people,ou=myrealm,dc=base_domain"
}
],
"accounts":[

]
}
},
{
"group":{
"name":"OPAM_SECURITY_ADMIN",
"dn":"cn=OPAM_SECURITY_ADMIN,ou=groups,ou=myrealm,dc=base_domain",
"description":"OPAM_SECURITY_ADMIN",
"users":[
{
"uid":"sec_admin",
"lastname":"sec_admin",
"dn":"uid=sec_admin,ou=people,ou=myrealm,dc=base_domain"
}
],
"accounts":[

]
}
},
{
"group":{
"name":"OPAM_USER_MANAGER",
"dn":"cn=OPAM_USER_MANAGER,ou=groups,ou=myrealm,dc=base_domain",
"description":"OPAM_USER_MANAGER",
"users":[
{
"uid":"user_manager",
"lastname":"user_manager",
"dn":"uid=user_manager,ou=people,ou=myrealm,dc=base_domain"
}
],
"accounts":[

]
}
},
{
"group":{
"name":"OPAM_SECURITY_AUDITOR",
"dn":"cn=OPAM_SECURITY_AUDITOR,ou=groups,ou=myrealm,dc=base_domain",
"description":"OPAM_SECURITY_AUDITOR",
"users":[
{
"uid":"sec_auditor",
"lastname":"sec_auditor",
"dn":"uid=sec_auditor,ou=people,ou=myrealm,dc=base_domain"
}
],
"accounts":[

]
}
},
{
"group":{
"name":"opamgroup1",
"dn":"cn=opamgroup1,ou=groups,ou=myrealm,dc=base_domain",
"description":"",
"users":[
{
"uid":"opamenduser1",
"firstname":"opamenduser1",
"lastname":"opamenduser1",
"dn":"uid=opamenduser1,ou=people,ou=myrealm,dc=base_domain"
},
{
"uid":"opamuser1",
"lastname":"opamuser1",
"dn":"uid=opamuser1,ou=people,ou=myrealm,dc=base_domain"
}
],
"accounts":[

]
}
},
{
"group":{
"name":"opamgroup2",
"dn":"cn=opamgroup2,ou=groups,ou=myrealm,dc=base_domain",
"description":"",
"users":[
{
"uid":"opamenduser1",
"firstname":"opamenduser1",
"lastname":"opamenduser1",
"dn":"uid=opamenduser1,ou=people,ou=myrealm,dc=base_domain"
},
{
"uid":"opamuser1",
"lastname":"opamuser1",
"dn":"uid=opamuser1,ou=people,ou=myrealm,dc=base_domain"
}
],
"accounts":[

]
}
},
{
"group":{
"name":"opamsubgroup1",
"dn":"cn=opamsubgroup1,ou=groups,ou=myrealm,dc=base_domain",
"description":"",
"users":[

],
"accounts":[

]
}
},
{
"group":{
"name":"opamsubgroup2",
"dn":"cn=opamsubgroup2,ou=groups,ou=myrealm,dc=base_domain",
"description":"",
"users":[

],
"accounts":[

]
}
}
]
}

属性定義の詳細は、B.1項「ターゲット・リソース」およびB.2項「アカウント・リソース」を参照してください。

B.6 使用ポリシー・リソース

この項では次のAPIについて説明します。

- 使用ポリシーの作成

- 使用ポリシーの取得

- 使用ポリシーの更新

- 使用ポリシーの削除

B.6.1 使用ポリシーの作成

このAPIを使用して使用ポリシーを作成します。

URI

https://opam_server_host:opam_ssl_port/opam/usagepolicy

メソッド

POST

本体

使用ポリシーの作成のJSON表現

成功時の戻り値

ステータス・コード201

例B-29 使用ポリシーの作成のサンプルJSON表現

{
"usagepolicy":{
"policystatus":"active",
"policyname":"Default Usage Policy",
"description":"Default Usage Policy",
"dateorduration":"duration",
"expireddateminutesfromcheckout":7200,
"expireddate":"08\/08\/2088",
"expireddatehour":0,
"expireddateminutes":0,
"expireddateamorpm":"am",
"timezone":"America\/Los_Angeles",
"usagedates":[
{
"day":"saturday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"wednesday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"sunday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"friday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"tuesday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"thursday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"monday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
}
]
}
}

属性定義の詳細は、B.1項「ターゲット・リソース」およびB.2項「アカウント・リソース」を参照してください。policynameを除くすべてのパラメータはオプションです。

B.6.2 使用ポリシーの取得

このAPIを使用して使用ポリシーを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/usagepolicy/{policyid}

メソッド

GET

本体

成功時の戻り値

ステータス・コード200および使用ポリシーのJSON表現

例B-30 使用ポリシーのサンプルJSON表現

{
"usagepolicy":{
"policyid":"usagepolicy1",
"policystatus":"active",
"policyname":"Default Usage Policy",
"description":"Default Usage Policy",
"globaldefault":"y",
"dateorduration":"duration",
"expireddateminutesfromcheckout":7200,
"expireddate":"08\/08\/2088",
"expireddatehour":0,
"expireddateminutes":0,
"expireddateamorpm":"am",
"timezone":"America\/Los_Angeles",
"usagedates":[
{
"day":"saturday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"wednesday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"sunday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"friday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"tuesday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"thursday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"monday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
}
],
"accounts":[
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/c11066278022489aad758aec69d9727d",
"accountUID":"c11066278022489aad758aec69d9727d",
"accountName":"himanshu",
"status":"checkedIn",
"targetName":"hhsharma-ldap",
"targetType":"ldap",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61",
"domain":"berkeley",
"grantees":{
"users":[

],
"roles":[
{
"role":{
"name":"Administrators",
"usagepolicy":"usagepolicy1",
"usagepolicyname":"Default Usage Policy",
"description":"Administrators can view and modify all resource
attributes and start and stop servers."
}
},
{
"role":{
"name":"opamgroup1",
"usagepolicy":"usagepolicy1",
"usagepolicyname":"Default Usage Policy",
"description":""
}
},
{
"role":{
"name":"opamgroup2",
"usagepolicy":"usagepolicy1",
"usagepolicyname":"Default Usage Policy",
"description":""
}
}
]
}
}
},
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/3740553e999a4f6aa8e8f9286d320cb4",
"accountUID":"3740553e999a4f6aa8e8f9286d320cb4",
"accountName":"sherlock",
"status":"checkedOut",
"targetName":"hhsharma-ldap",
"targetType":"ldap",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61",
"domain":"berkeley",
"grantees":{
"users":[
{
"user":{
"uid":"sec_admin",
"usagepolicy":"usagepolicy1",
"usagepolicyname":"Default Usage Policy",
"lastname":"sec_admin",
"dn":"uid=sec_admin,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamenduser1",
"usagepolicy":"usagepolicy1",
"usagepolicyname":"Default Usage Policy",
"firstname":"opamenduser1",
"lastname":"opamenduser1",
"dn":"uid=opamenduser1,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamenduser2",
"usagepolicy":"usagepolicy1",
"usagepolicyname":"Default Usage Policy",
"lastname":"opamenduser2",
"dn":"uid=opamenduser2,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamuser1",
"usagepolicy":"usagepolicy1",
"usagepolicyname":"Default Usage Policy",
"lastname":"opamuser1",
"dn":"uid=opamuser1,ou=people,ou=myrealm,dc=base_domain"
}
}
],
"roles":[

]
}
}
},
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\
/account\/154034fc5b5548caad7721e198815709",
"accountUID":"154034fc5b5548caad7721e198815709",
"accountName":"lucie",
"status":"checkedIn",
"targetName":"hhsharma-ldap",
"targetType":"ldap",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61",
"domain":"berkeley",
"grantees":{
"users":[
{
"user":{
"uid":"opamuser1",
"usagepolicy":"usagepolicy1",
"usagepolicyname":"Default Usage Policy",
"lastname":"opamuser1",
"dn":"uid=opamuser1,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamenduser2",
"usagepolicy":"usagepolicy1",
"usagepolicyname":"Default Usage Policy",
"lastname":"opamenduser2",
"dn":"uid=opamenduser2,ou=people,ou=myrealm,dc=base_domain"
}
}
],
"roles":[

]
}
}
}
]
}
}

説明:

- usagepolicyは、使用ポリシーJSONオブジェクトです。

- policyidは、使用ポリシーの一意識別子です。

- policystatusは、activeまたはdisabledに設定されます。

- policynameは、ポリシーの名前です。

- descriptionは、ポリシーの説明です。

- globaldefaultは、ポリシーがグローバル・デフォルト・ポリシーであるかどうかを示します。

- dateordurationは、有効期限の計算方法を示します。

- 設定がdateの場合、expireddate、expireddatehour、expireddateminutesおよびexpireddateamorpmが使用されます。

- 設定がdurationの場合、expireddateminutesfromcheckoutが使用されます。

説明:

- expireddateは有効期限の日付です。

- expireddatehour.hourは0から12の整数値です。

- expireddateminutes.minutesは0から60の整数値です。

- expireddateamorpmはa.m.またはp.m.です。

- expireddateminutesfromcheckoutはチェックアウトからの分数です。

- timezoneは、使用ポリシーのタイムゾーンです。

- usagedatesは、配列であり、各値が個々の日のチェックアウト時刻を表します。

- dayは、曜日であり、有効な値はsunday、monday、tuesday、wednesday、thursday、fridayおよびsaturdayです。

次の属性を使用して範囲の開始と終了を示します。

- fromhourは、0から12の整数値です。

- fromminutesは、0から60の整数値です。

- fromamorpmは、a.m.またはp.m.です。

- tohourは、0から12の整数値です。

- tominutesは、0から60の整数値です。

- toamorpmは、a.m.またはp.m.です。

B.6.3 使用ポリシーの更新

このAPIを使用して使用ポリシーを更新します。policyidを除くすべての属性の更新が可能で、同時に複数の属性を更新できます。

URI

https://opam_server_host:opam_ssl_port/opam/usagepolicy/{policyid}

メソッド

PUT

本体

使用ポリシーの変更のJSON表現

成功時の戻り値

ステータス・コード200

例B-31 使用ポリシーの変更のサンプルJSON表現

{
"modifications":[
{
"modification":{
"usagedates":[
{
"day":"saturday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"wednesday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
}
]
}
},
{
"modification":{
"expireddatehour":2
}
}
]
}

説明:

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一属性を表すJSONオブジェクトです。

ターゲットのusagedatesおよびexpireddatehour属性を更新する必要があります。これらの値は、指定された値に更新されます。

B.6.4 使用ポリシーの削除

このAPIを使用して使用ポリシーを削除します。

URI

https://opam_server_host:opam_ssl_port/opam/usagepolicy/{policyid}

メソッド

DELETE

本体

成功時の戻り値

ステータス200

B.7 パスワード・ポリシー・リソース

この項では次のAPIについて説明します。

- パスワード・ポリシーの作成

- パスワード・ポリシーの取得

- パスワード・ポリシーの削除

- パスワード・ポリシーの更新

B.7.1 パスワード・ポリシーの作成

このAPIを使用してパスワード・ポリシーを作成します。

URI

https://opam_server_host:opam_ssl_port/opam/passwordpolicy

メソッド

POST

本体

パスワード・ポリシーの作成のJSON表現

成功時の戻り値

ステータス・コード201

例B-32 パスワード・ポリシーの作成のサンプルJSON表現

{
"passwordpolicy":{
"policystatus":"active",
"policyname":"Default Password Policy",
"description":"Default Password Policy",
"passwordchangedurationunit":"days",
"passwordchangedurationvalue":30,
"changeoncheckin":"y",
"changeoncheckout":"y",
"passwordcharsmin":8,
"passwordcharsmax":8,
"passwordalphabeticmin":1,
"passwordnumericmin":1,
"passwordalphanumericmin":2,
"passworduniquemin":1,
"passworduppercasemin":1,
"passwordlowercasemin":1,
"passwordspecialmin":0,
"passwordspecialmax":0,
"passwordrepeatedmin":0,
"passwordrepeatedmax":1,
"startingchar":"n",
"isaccountnameallowed":"n",
"requiredchars":[
"a",
"h",
"j"
],
"allowedchars":[
"b",
"t",
"y",
"p",
"u",
"r",
"o",
"k",
"1",
"2",
"=",
"M",
"a",
"h",
"j"
],
"disalloweddchars":[
"7",
"8",
"l"
]
}
}

policynameを除き、属性はすべてオプションです。

B.7.2 パスワード・ポリシーの取得

このAPIを使用してパスワード・ポリシーを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/passwordpolicy/{policyid}

メソッド

GET

本体

成功時の戻り値

ステータス・コード200およびパスワード・ポリシーのJSON表現

例B-33 パスワード・ポリシーのサンプルJSON表現

{
"passwordpolicy":{
"policyid":"passwordpolicy2",
"policystatus":"active",
"policyname":"Default Password Policy",
"description":"Default Password Policy",
"globaldefault":"y",
"passwordchangedurationunit":"days",
"passwordchangedurationvalue":30,
"changeoncheckin":"y",
"changeoncheckout":"y",
"passwordcharsmin":8,
"passwordcharsmax":8,
"passwordalphabeticmin":1,
"passwordnumericmin":1,
"passwordalphanumericmin":2,
"passworduniquemin":1,
"passworduppercasemin":1,
"passwordlowercasemin":1,
"passwordspecialmin":0,
"passwordspecialmax":0,
"passwordrepeatedmin":0,
"passwordrepeatedmax":1,
"startingchar":"n",
"isaccountnameallowed":"n",
"requiredchars":[
"a",
"h",
"j"
],
"allowedchars":[
"b",
"t",
"y",
"p",
"u",
"r",
"o",
"k",
"1",
"2",
"=",
"M",
"a",
"h",
"j"
],
"disalloweddchars":[
"7",
"8",
"l"
],
"accounts":[
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/3740553e999a4f6aa8e8f9286d320cb4",
"accountUID":"3740553e999a4f6aa8e8f9286d320cb4",
"accountName":"sherlock",
"status":"checkedOut",
"targetName":"hhsharma-ldap",
"targetType":"ldap",
"domain":"berkeley",
"grantees":{
"users":[

],
"roles":[

]
}
}
},
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/c11066278022489aad758aec69d9727d",
"accountUID":"c11066278022489aad758aec69d9727d",
"accountName":"himanshu",
"status":"checkedIn",
"targetName":"hhsharma-ldap",
"targetType":"ldap",
"domain":"berkeley",
"grantees":{
"users":[

],
"roles":[

]
}
}
},
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/154034fc5b5548caad7721e198815709",
"accountUID":"154034fc5b5548caad7721e198815709",
"accountName":"lucie",
"status":"checkedIn",
"targetName":"hhsharma-ldap",
"targetType":"ldap",
"domain":"berkeley",
"grantees":{
"users":[

],
"roles":[

]
}
}
}
]
}
}

説明:

- passwordpolicyは、パスワード・ポリシーJSONオブジェクトです。

- policyidは、ポリシーの一意識別子です。

- policystatusは、ポリシー・ステータスであり、有効な値はactiveまたはdisabledです。

- policynameは、ポリシー名です。

- descriptionは、ポリシーの説明です。

- globaldefaultは、ポリシーがグローバル・デフォルトであるかどうかを示します。

- dateordurationは、有効期限の計算方法を示します。

- 設定がdateの場合、expireddate、expireddatehour、expireddateminutesおよびexpireddateamorpmが使用されます。

- 設定がdurationの場合、expireddateminutesfromcheckoutが使用されます。

説明:

- expireddateは有効期限の日付です。

- expireddatehour.hourは0から12の整数値です。

- expireddateminutes.minutesは0から60の整数値です。

- expireddateamorpmはa.m.またはp.m.です。

- expireddateminutesfromcheckoutはチェックアウトからの分数です。

- timezoneは、使用ポリシーのタイムゾーンです。

- usagedatesは、配列であり、各値が個々の日のチェックアウト時刻を表します。

- dayは、曜日であり、有効な値はsunday、monday、tuesday、wednesday、thursday、fridayおよびsaturdayです。

その他の属性定義の詳細は、B.2項「アカウント・リソース」を参照してください。

B.7.3 パスワード・ポリシーの削除

このAPIを使用してパスワード・ポリシーを削除します。

URI

https://opam_server_host:opam_ssl_port/opam/passwordpolicy/{policyid}

メソッド

DELETE

本体

成功時の戻り値

ステータス200

B.7.4 パスワード・ポリシーの更新

このAPIを使用して使用ポリシーを更新します。policyidを除くすべての属性の更新が可能で、同時に複数の属性を更新できます。

URI

https://opam_server_host:opam_ssl_port/opam/passwordpolicy/{policyid}

メソッド

PUT

本体

パスワード・ポリシーの変更のJSON表現

成功時の戻り値

ステータス・コード201

例B-34 パスワード・ポリシーの変更のサンプルJSON表現

{
"modifications":[
{
"modification":{
"disalloweddchars":[
"4",
"6"
]
}
},
{
"modification":{
"passwordalphabeticmin":2
}
}
]
}

説明:

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一属性を表すJSONオブジェクトです。

ターゲットのdisalloweddcharsおよびpasswordalphabeticmin属性を更新する必要があります。これらの属性値は、指定された値に更新されます。

B.8 ポリシー・リソース

この項では次のAPIについて説明します。

- ポリシーの検索

- デフォルト・ポリシーの取得

B.8.1 ポリシーの検索

このAPIを使用してアカウントを検索します。このAPIは、次のパラメータを1つ以上使用したcontains条件検索です。

- policystatus

- policyname

- accountname

パラメータはすべてオプションです。

URI

https://opam_server_host:opam_ssl_port/opam/policy/search?param1=val1&param2=val2

メソッド

GET

本体

成功時の戻り値

ステータス・コード200およびポリシーのJSON表現

例B-35 ポリシーのサンプルJSON表現

{
"usagepolicies":[
{
"policyname":"Default Usage Policy",
"policyid":"usagepolicy1",
"policystatus":"active",
"globaldefault":"y"
}
],
"passwordpolicies":[
{
"policyname":"Default Password Policy",
"policyid":"passwordpolicy2",
"policystatus":"active",
"globaldefault":"y"
}
]
}

説明:

- usagepoliciesは、使用ポリシーの配列です。

- passwordpoliciesは、パスワード・ポリシーの配列です。

- policynameは、ポリシー名です。

- policyidは、ポリシーの一意識別子です。

- policystatusは、ポリシー・ステータスであり、有効な値はactiveまたはdisabledです。

B.8.2 デフォルト・ポリシーの取得

このAPIを使用して、デフォルト使用ポリシーおよびデフォルト・パスワード・ポリシーを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/policy/default

メソッド

GET

本体

成功時の戻り値

ステータス・コード200およびポリシーのJSON表現

例B-36 ポリシーのサンプルJSON表現

{
"usagepolicies":[
{
"policyname":"Default Usage Policy",
"policyid":"usagepolicy1",
"policystatus":"active"
}
],
"passwordpolicies":[
{
"policyname":"Default Password Policy",
"policyid":"passwordpolicy2",
"policystatus":"active"
}
]
}

説明:

- usagepoliciesは、使用ポリシーの配列です。

- passwordpoliciesは、パスワード・ポリシーの配列です。

- policynameは、ポリシー名です。

- policyidは、ポリシーの一意識別子です。

- policystatusは、ポリシー・ステータスであり、有効な値はactiveまたはdisabledです。

この属性は、デフォルト・ポリシー(デフォルト使用ポリシーおよびデフォルト・パスワード・ポリシー)のみを返します。

C Oracle Privileged Account Managerのトラブルシューティング

この付録では、Oracle Privileged Account Managerの使用時に発生する可能性のある一般的な問題を診断して解決する方法について説明します。

この付録の内容は次のとおりです。

- C.1項「一般的な障害と解決策」

- C.2項「Oracle Privileged Account Managerに関する問題の診断」

- 第C.3項「詳細情報」

C.1 一般的な障害と解決策

この項では、Oracle Privileged Account Managerの使用時に発生する可能性のある一般的な問題について説明し、それらの問題を解決するために役立つ情報を提供します。

内容は次のとおりです。

- Oracle Privileged Account ManagerコンソールがOracle Privileged Account Managerサーバーに接続できない

- ターゲットまたはアカウントにアクセスできない

- 権限受領者がチェックアウトを実行できない

- コンソールの変更が開いている他のページに反映されない

- グループ・メンバーシップの変更がOracle Privileged Account Managerに即座に反映されない

C.1.1 Oracle Privileged Account ManagerコンソールがOracle Privileged Account Managerサーバーに接続できない

Oracle Privileged Account ManagerコンソールがOracle Privileged Account Managerサーバーに接続できません。

解決策:

Oracle Privileged Account ManagerでOracle Privileged Account Managerサーバーに接続できない場合、構成の問題である可能性があります。

『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のインストール後のタスクに関する項に説明されているすべての構成手順を正しく完了したことを確認します。

C.1.2 ターゲットまたはアカウントにアクセスできない

ターゲットまたはアカウントにアクセスしようとすると失敗します。

解決策:

Oracle Privileged Account Managerのロギング・レベルをTRACE:32 (最も詳細なレベル)に上げて診断ログを確認し、問題をトラブルシューティングします。詳細は、第6章「Oracle Privileged Account Managerの監査およびロギングの管理」を参照してください。

C.1.3 権限受領者がチェックアウトを実行できない

権限受領者がアカウントをチェックアウトしようとすると、Insufficient Privilegesエラーが発生して失敗します。

解決策:

認証プロバイダで「取得したユーザー名をプリンシパルとして使用する」オプションが有効になっていることを確認します。詳細は、第4.3.1項「外部アイデンティティ・ストアの構成」を参照してください。

C.1.4 コンソールの変更が開いている他のページに反映されない

異なるブラウザ・ウィンドウまたは一部のコンソール・タブを使用してコンソールで変更を行った場合、それらの変更が開いている他のOracle Privileged Account Managerページに表示されないことがあります。

解決策:

次のいずれかの操作を実行すると、コンテンツの表示が更新されます。

- ブラウザ・ウィンドウのリフレッシュ

- コンソール・タブのクローズと再オープン

C.1.5 グループ・メンバーシップの変更がOracle Privileged Account Managerに即座に反映されない

デフォルトで、WebLogicは、アイデンティティ・ストア・プロバイダから階層グループ・メンバーシップをキャッシュします。そのため、新しく変更されたグループ・メンバーシップは、Oracle Privileged Account Managerに即座に反映されないことがあります。

たとえば、ユーザーをOracle Privileged Account Manager管理ロールに、またはOracle Privileged Account Manager特権アカウントを付与されたグループに割り当てても、その変更を即座に参照できないことがあります。

解決策:

要件に合うようにWebLogicキャッシングを編集できます。

注意:

詳細は、『Oracle® Fusion Middleware Oracle WebLogic Serverの保護』のグループ・メンバーシップ・キャッシュの最適化に関する項を参照してください。

C.2 Oracle Privileged Account Managerに関する問題の診断

この項では、Oracle Privileged Account Managerの問題を診断する方法について説明します。

内容は次のとおりです。

- ログ・レベルの向上

- ログの例外の調査

C.2.1 ログ・レベルの向上

Oracle Privileged Account Managerでエラーが発生した場合、デバッグ情報やコネクタ・ロギングを含む完全なログを収集して、エラーの原因に関する多くの情報を収集できます。次の手順を実行します。

1. Oracle Privileged Account Managerのロギング・レベルを最も詳細なレベルのTRACE:32に設定します。

注意:

- Oracle Privileged Account Managerのロギングの詳細は、第6章「Oracle Privileged Account Managerの監査およびロギングの管理」を参照してください。

- ロギング・レベルの設定方法の詳細は、『Oracle® Containers for J2EE開発者ガイド』のロギング実装のガイドラインに関する項を参照してください。

2. エラーの発生元であるタスクまたはプロシージャを再度実行します。

3. DEBUGレベルを使用して生成されたログ情報を調査します。

C.2.2 ログの例外の調査

Oracle Privileged Account Managerのログ・ファイルに記録された例外を調査すると、様々な問題の識別に役立ちます。

次のディレクトリにあるOracle Privileged Account Managerの診断ログにアクセスできます。

DOMAIN_HOME/servers/Adminserver/logs
DOMAIN_HOME/servers/opamserver/logs

C.3 詳細情報

My Oracle Support(以前のMetaLink)(http://support.oracle.com)でより多くの解決策を参照できます。そこでも問題の解決策が見つからない場合は、サービス・リクエストを登録してください。

用語集

アカウント

ターゲットでのアカウント。

ADF

Oracle Application Development Framework。Enterprise Javaプラットフォームを基盤とするエンドツーエンドの開発フレームワークであり、アプリケーションの様々なレイヤーに対して統合インフラストラクチャ・ソリューションが提供されるため、それらのレイヤーに基づいて簡単に開発を行うことができます。

認証プロバイダ

認証ルールを管理および実施するセキュリティ・プロバイダ。

詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』の認証プロバイダの構成に関する項を参照してください。

BI Publisher

データ・ソースが異なる書式設定されたレポートを作成および管理できるオラクル社のレポート製品。

ブートストラップ・ユーザー

Administratorsグループのメンバーであるデフォルト管理者(weblogicユーザー)。このユーザーは、ユーザーを作成してOracle Privileged Account Manager管理ロールに割り当てることができ、ドメイン・アイデンティティ・ストアからOracle Privileged Account Manager共通管理者ロールにユーザーをマップできます。

資格証明ストア・フレームワーク

「CSF」を参照してください。

CRUD

作成、読取り、更新および削除。永続記憶域またはデータベースの基本機能です。

CSF

資格証明ストア・フレームワーク。主に資格証明にセキュアな格納場所を提供するOPSSコンポーネントです。

DOMAIN_HOME

通常は次のような環境変数。

MIDDLEWARE_HOME/user_projects/domains/<domain_name>

権限受領者

特権アカウントに対するアクセス権を付与されたユーザー、グループまたはロール。

ICF

アイデンティティ・コネクタ・フレームワーク。すべてのOracle Identity ManagerおよびOracle Wavesetコネクタで必要とされる基本プロビジョニングやリコンシリエーションなどの機能を提供するコンポーネントです。

アイデンティティ・コネクタ・フレームワーク

「ICF」を参照してください。

アイデンティティ伝播

OPSSトラスト・サービス・アサーション・プロバイダがトークンを調査および検証した後、Oracle Privileged Account Managerサーバーに対してRESTfulコールを実行しているアイデンティティがトークンに含まれているものであることをアサートするプロセス。

JSON表現

JavaScript Object Notation。JavaScriptから取得され、ブラウザとサーバー間で情報を交換するために使用される判読可能な軽量のデータ形式です。

ldifmigratorツール

Oracle Internet Directoryデータ移行ツール。他のディレクトリまたはアプリケーション固有のリポジトリから出力されたLDIFファイルをOracle Internet Directoryで認識可能な形式に変換します。

Oracle Privileged Account Managerクライアント

無人接続でシステムにパスワードを提供するためにOracle Privileged Account Managerターゲットに存在するコンポーネント。

Oracle Privileged Account Managerサーバー

パスワード・リクエストの処理、パスワードの生成、パスワード・キーストアの保護などを行うコンポーネント。

Oracle Privileged Account Managerターゲット

Oracle Privileged Account Managerによって管理される特権パスワードを持つコンポーネント。

OPSS

Oracle Platform Security Services。Java Standard Edition (Java SE)およびJava Enterprise Edition (Java EE)アプリケーションで使用できる、標準に基づいた移植可能なエンタープライズ・レベルの統合セキュリティ・フレームワーク。

Oracle Application Development Framework

「ADF」を参照してください。

Oracle Internet Directoryデータ移行ツール

「ldifmigratorツール」を参照してください。

Oracle Platform Security Services

「OPSS」を参照してください。

パスワード・ポリシー

関連する特権アカウントに対して特定のターゲットによって実施されるパスワード構成要件を取得します。管理者は、このポリシーを使用して、Oracle Privileged Account Managerが特権アカウントのパスワードをリセットするために使用するパスワード値を構成します。Oracle Privileged Account Managerによって管理されるすべての特権アカウントには、関連付けられたパスワード・ポリシーがあります。

特権アカウント

デプロイメント内で特権があるとみなされ、Oracle Privileged Account Managerの管理下にあるターゲット上のアカウント。アカウントは、通常、次の場合に特権アカウントになります。

- 昇格された権限に関連付けられている場合

- 複数のエンド・ユーザーによってタスク別に使用される場合

- その使用を制御および監査する必要がある場合

リポジトリ作成ユーティリティ

Oracleリポジトリ作成ユーティリティ。スキーマを作成して、リポジトリをデータベースにロードするために使用できるアプリケーション。

Representational State Transfer

「REST」を参照してください。

リソース

ターゲットおよびアカウントの表現。

REST

Representational State Transfer。World Wide Webのような分散ハイパーメディア・システムのためのソフトウェア・アーキテクチャ・スタイルです。REST制約に準拠することは、RESTfulとも呼ばれます。

SAML

Security Assertion Markup Language。OASIS Security Services Technical Committeeが提供するXMLベースのオープン標準製品であり、セキュリティ・ドメイン間で認証および認可データを交換できます。

Security Assertion Markup Language

「SAML」を参照してください。

サービス・アカウント

Oracle Privileged Account Manager関連のすべての操作(アカウントの検出やパスワードのリセットなど)をターゲット・システムで実行するため、Oracle Privileged Account Managerがそのターゲット・システムへの接続時に使用するアカウントであり、このサービス・アカウントにはいくつかの特別な権限とプロパティが必要です。サービス・アカウントは、無人アカウントと呼ばれることもあります。

shiphome

Oracle Privileged Account Managerをダウンロードして抽出したディレクトリ。

ターゲット

アカウント(ユーザー、システムまたはアプリケーション)を格納および使用し、それらに依存するソフトウェア・システム。

無人アカウント

「サービス・アカウント」を参照してください。

使用ポリシー

権限受領者が特権アカウントを使用できる時期と方法に関する制約を定義します。Oracle Privileged Account Managerによって管理される各特権アカウントには、関連付けられた使用ポリシーがあります。

索引

A  B  C  D  E  F  G  H  I  J  L  M  N  O  P  R  S  T  U  V  W

A

アクセス権, 2.3.1

アコーディオン

管理, 3.4.3

ホーム, 3.4.1

レポート, 3.4.2

アカウント, 特権

アクセス権, 2.3.1, 2.3.2

追加, 5.1.3.2, A.2.2, B.2.1

管理ロール, 2.3.1

ポリシーの割当て, 5.1.1.8.1

監査, 6.1

チェックアウト/チェックイン, 2.4.2.1, 5.1.3.6, 5.1.3.7, A.2.4, B.2.10, B.2.11

デプロイメント・レポート, 3.4.2

説明, 1.1, 5.1.3.1

一覧表示, A.2.5

グループへの付与, 5.1.4.3, A.2.12

ユーザーへの付与, 5.1.4.2, A.2.13

管理, 1.2.4, 5.1.3.1

マッピング, 5.1.3.2, 5.1.3.2, 5.1.3.2.3

開く, 5.1.3.4

削除, 5.1.3.8, A.2.14, B.2.6

アクセスの削除, A.2.15, A.2.17, B.2.8

パスワードのリセット, 1.2, 5.1.1.3, 5.1.1.3, 5.1.3.5.2, 5.1.3.5.2

取得, A.2.19, B.1.8, B.2.3

検索, 3.4.4, 5.1.3.3, A.2.24, B.3.1

共有の保護, 2.4.2, 2.4.2.2

共有, 2.4.2.2, 5.1.3.2.1

共有, 2.4.2.2, 5.1.3.1.3, 5.1.3.2.1

チェックアウトの表示, 5.2.4, A.2.9, B.3.2

ステータス, 3.4.4, 5.1.3.3

更新, B.2.5

検証, B.2.2

アカウント, サービス, 1.2.1, 5.1.2.2, 用語集 アカウント, 無人, 1.2.1, 5.1.2.2, 用語集 アクティブ化

パスワード・ポリシー, 5.1.1.5

使用ポリシー, 5.1.1.6

追加

CSFマッピング, 5.1.3.2.3

権限受領者, 5.1.3.2.2

アイデンティティ・プロバイダ, 7.2.2.3

新規コネクタ, 3.2.4

パスワード・ポリシー, 5.1.1.5

特権アカウント, 5.1.3.2, 5.1.3.2, B.2.1

ターゲット, 5.1.2.2, A.2.2, B.1.2

使用ポリシー, 5.1.1.5

ADF

認証, 2.2

定義および目的, 用語集

Oracle Privileged Account Managerコンソール, 1.2.3

管理ロール, 共通, 2.3.1, 2.3.1 管理アコーディオン, 3.4.3 管理者

OIMの構成, 7.1.4

デフォルト, 2.3.1

エージェント, WebGate, 7.2 API, REST, B アプリケーション・アカウント

管理, 5.1.3.1

ターゲット, 5.1.2.1

アプリケーション構成者ロール

アクセス権, 2.3.1

割当て, 3.3.3

Application Development Framework, オラクル社

「ADF」を参照してください。

アプリケーション

複数に対するアクセスの構成, 7.2.2.4

デフォルトURL, 3.1

クライアントのデプロイ, 2.2.1

ロール, 2.3.1

資格証明の格納, 1.2.4

無人, 1.2.2

カスタムの記述, 1.2.3

アーキテクチャ

図, 1.2.3

Oracle Privileged Account Managerサーバー, 4.1

ポリシーの割当て, 5.1.1.8.1 有人アカウント, 1.2.1 属性, ターゲットの取得, B.1.1 監査ログ

ファイルのデフォルトの場所, 6.1.1

保存, 6.1.1

監査レポート

構成, 6.1.1.1

デフォルト・レポート・タイプ, 6.1.2

デプロイ, 6.1.1.3

例, 6.1.2

監査スキーマ, 6.1.1.2 監査

イベント・タイプ, 6.1

監査レポートの例, 6.1.2

ファイルベース, 6.1.1.1

ロギング・レベル, 6.1.1.4

管理, 6

パスワード管理操作, 5.1.3.5

特権アカウント, 6.1

監査ログの保存, 6.1.1

共有アカウント, 2.4.2.2

認証

ADFベース, 2.2

フレームワーク, 2.1

JAASのサポート, 1.2.3, 2.1

モード, 2.2

Oracle Privileged Account Managerコマンドライン・ツール・クライアント, 2.2.2

Oracle Privileged Account Managerサーバー, 2.2.2

SAMLベースのトークン, 2.2

スキーマ, 7.2.2.1

ユーザー, 2.2.1

認可

共通管理者ロール, 2.3

エンド・ユーザー/エンタープライズ・ユーザー, 2.3.2

フレームワーク, 2.1

管理ロールへのユーザーのマッピング, 2.3.1

WebLogicユーザーまたはブートストラップ・ユーザー, 2.3.1

B

基本的なロギング, 構成, 6.2.1

BI Publisher

監査レポート, 6.1.1.2, 6.1.2

サーバーへの接続の構成, 6.1.1.3

監査レポートのデプロイ, 6.1.1.3

監査レポートの例, 6.1.2

機能, 1.2.1

ブートストラップ・ユーザー, 2.3.1, 用語集

C

カタログ, 7.1.4

証明書, SSL, 3.3.2

チャネル, セキュアおよび非セキュア, 2.4.1.1

チェックアウト/チェックイン

特権アカウント, 5.1.3.6, 5.1.3.7, A.2.4, B.2.10, B.2.11

共有アカウント, 2.4.2.2

クライアント, サードパーティ, 1.2.3 コマンドライン・ツール

Oracle Privileged Account Managerサーバーの追加, 4.1

コマンド, A.2

セキュリティ, 2.2.2, 2.4.1.2

起動, A.1

使用, A

コマンド構文, A.2.1 コマンド

SSL証明書のインポート, 3.3.2

コマンドライン・ツールの起動, A.1

OPAMコマンドライン, A2

WLST, 7.2.2.4

共通管理者ロール, 2.3.1, 2.3.1 構成

複数のアプリケーションに対するアクセス, 7.2.2.4

監査レポート, 6.1.1.1

データ・ソース, 6.1.1.3

外部アイデンティティ・ストア, 4.3

OIM管理者, 7.1.4

Oracle HTTP Server, 7.2.2.2

Oracle Internet Directory認証プロバイダ, 4.3.1

共有アカウント, 5.1.3.2.1

Oracle Privileged Account Managerサーバーへの接続, 3.4.3 コネクタ

新規の追加, 3.2.4

バンドルの場所, 3.2.2

ターゲット・システムへの接続, 2.4.1.1

デプロイ, 3.2

説明, 3.2, 3.2

アイデンティティ・コネクタ・フレームワーク, 1.2.1

インストール, 3.2

LDAP, 7.1.3

opam-config.xmlファイル, 3.2.3, 3.2.4.1, 3.2.4.2

opam-config.xsdファイル, 3.2.3, 3.2.3, 3.2.4.2, 3.2.4.2

Oracle Privileged Account Managerに付属, 3.2.1

格納, 3.2.2

サポートされているデータベース・タイプ, 5.1.2.2

書込み, 3.2.1

コンソール

SSOの構成, 2.2.1

説明, 1.2.3

保護, 2.4.1.2

ユーザー認証, 2.2.1

LDIFファイルの変換, 4.3.2 作成

パスワード・ポリシー, 5.1.1.5, B.7.1

スキーマ, 6.1.1.2, 用語集

使用ポリシー, 5.1.1.6, B.6.1

資格証明ストア・フレームワーク

「CSF」を参照してください。

資格証明

アプリケーションの管理1.2.4.3

Oracle Privileged Account Managerによるプロビジョニング, 1.2.4.1

サーバーの起動, 3.3.1

格納, 1.2.4, 1.2.4, 5.1.3.2.3

CSFの使用, 1.2.4

CSF

アカウント・マッピング, 1.2.4.1, 5.1.3.2, 5.1.3.2, 5.1.3.2.3

定義および目的, 1.2.1, 用語集

カスタム・アプリケーション, 記述, 1.2.3 カスタム・コネクタ, 追加, 3.2.4.2

D

データソース

構成, 6.1.1.3

JDBCの定義, 6.1.1.3

デフォルト

管理者, 2.3.1

監査レポート・タイプ, 6.1.2

パスワード要件, 設定, 5.1.1.3

ポート, 3.1, 3.1, A.1

URL, 3.1, 3.1

デフォルト・パスワード・ポリシー, 5.1.1.1, 5.1.3.2.1 デフォルト使用ポリシー, 5.1.1.1, 5.1.3.2.1 定義

JDBC接続およびデータ・ソース, 6.1.1.3, 6.1.1.3

ポリシー, 2.1

ロール, 2.1

削除

権限受領者, 5.1.4.6

パスワード・ポリシー, B.7.3

ポリシー, 5.1.1.9

使用ポリシー, B.6.4

デプロイ

BI Publisherでの監査レポート, 6.1.1.3

クライアント・アプリケーション, 2.2.1

コネクタ, 3.2, 3.2.4.2

Oracle Fusion MiddlewareのOracle Privileged Account Manager, 1.3

デプロイメント・レポート, 5.1.5.1 問題の診断, C.2 診断ログ, 6.2 無効化

パスワード・ポリシー, 5.1.1.5

使用ポリシー, 5.1.1.6

表示

チェックアウトしたアカウント, A.2.9, B.3.2

ドメイン・ツリー, A.2.10

グループの一覧表示, A.2.6

特権アカウントのリスト, A.2.5

ターゲットの一覧表示, A.2.7

ターゲット・タイプ・ツリー, A.2.11

ユーザーの一覧表示, A.2.8

ドメイン・ツリー, 表示, A.2.10 DOMAIN_HOME, 6.1.1, 6.1.1.1, 6.1.1.2, 用語集 期間, パスワード, 5.1.1.3

E

エンド・ユーザー

権限, 2.3.2

セルフサービスの手順, 5.2

エンタープライズ・ロール

作成, 4.3.2

リソース・カタログの移入, 7.1.3

権限

リソース・カタログの移入, 7.1.3

アクセスのリクエスト, 7.1.4

外部アイデンティティ・ストア, 構成, 4.3

F

エラー・レポート, 5.1.5.3

ファイルベース監査, 構成, 6.1.1.1

ファイル

監査ログ, 6.1.1

コネクタ・バンドル, 3.2.2

LDIFの変換, 4.3.2

jps-config.xml, 6.1.1.1, 6.1.1.2, 6.1.1.4

mod_wl_ohs.confファイル, 7.2.2.2

opam_product_BIP11gReports_11_1_1_6_0.zip, 6.1.1.3

opam-config.xmlファイル, 3.2.3, 3.2.4.1, 3.2.4.2

opam-config.xsdファイル, 3.2.3, 3.2.3, 3.2.4.2, 3.2.4.2

リポジトリ作成ユーティリティのzipファイル, 6.1.1.2

緊急リクエスト, 7.1.4 フレームワーク

ADF, 用語集

認証および認可, はじめに, 2

Oracle Privileged Account Manager, 2

フレームワーク, 資格証明ストア

「CSF」を参照してください。

フレームワーク, アイデンティティ・コネクタ

「ICF」を参照してください。

G

監査レポートの生成, 6.1.1.1

汎用ログ, デフォルトの場所, 6.2

権限受領者

権限が付与されたアカウントへの追加, 5.1.3.2.2

アカウントの付与, 5.1.4.2, 5.1.4.3, A.2.12, B.2.7

開く, 5.1.4.5

削除, 5.1.4.6

取得, A.2.20, B.2.9

検索, 5.1.4.4

グループ

一覧表示, A.2.6

取得, B.5.1

検索, A.2.25, B.5.2

グループ, アカウントの付与, 5.1.4.3

H

ホーム・アコーディオン, 3.4.1

HTTP Basic認可, 2.2, 2.2.2

I

ICF, 1.2.1, 用語集

IDストア, OPSS, 1.3

アイデンティティ・コネクタ・フレームワーク

「ICF」を参照してください。

アイデンティティの伝播, 2.2.1, 用語集 アイデンティティ・プロバイダ, 追加, 7.2.2.3 アイデンティティ・ストア

構成, 4.3

Oracle Internet Directory, 4.3.1, 7.2.1

Oracle Virtual Directory, 4.3.1

インポート

SSL証明書, 3.3.2

統合

Oracle Access Management Access Manager, 7.2

Oracle Identity Manager, 7.1

Oracle Identity Managerワークフロー, 7.1.5

Oracleテクノロジ, 1.2.1

インタフェース

SSOの構成, 2.2.1

Oracle Privileged Account Manager, 1.2.3

保護, 2.4.1.2

J

JAAS認証のサポート, 1.2.3, 2.1

jarファイル

コネクタ・バンドル, 3.2.2

JavaScript Object Notation

「JSON」を参照してください。

JDBC接続およびデータ・ソース, 6.1.1.3 jps-config.xmlファイル, 6.1.1.1, 6.1.1.2, 6.1.1.4 JSON表記

説明, 用語集

Oracle Privileged Account Managerアーキテクチャ, 1.2.3

RESTful API, B

L

コマンドライン・ツールの起動, A.1

LDAPコネクタ, 7.1.3

LDAPグループ, 7.1.1, 7.1.2

LDIFファイル, 変換, 4.3.2

ldifmigrator, 4.3.2, 4.3.2, 用語集

監査スキーマのロード, 6.1.1.2

ロギング

監査ロガー, 6.1

監査ログの場所, 6.1.1

基本的な構成, 6.2.1

汎用ロガー, 6.2

汎用ログの場所, 6.2

監査ロギング・レベルの設定, 6.1.1.4

基本的なロギング・レベルの設定, 6.2.1

M

管理

アカウント資格証明, 1.2.4

アプリケーション資格証明, 1.2.4.3

Oracle Privileged Account Manager監査ロギング, 6

パスワード, 1.2, 5.1.3.5

公開鍵のセキュリティ, 1.2.1

マッピング, CSF, 1.2.4.1, 5.1.3.2, 5.1.3.2.3 メタデータ・ストア, 2.2 移行ツール, Oracle Internet Directory, 4.3.2 mod_wl_ohs.confファイル, 7.2.2.2 変更

デフォルト・パスワード・ポリシー, 5.1.1.3

デフォルト使用ポリシー, 5.1.1.4

ポリシー, 5.1.1.1

My Oracle Support, C.3

N

ネットワーク・チャネル, 保護, 2.4.1

O

opam_product_BIP11gReports_11_1_1_6_0.zipファイル, 6.1.1.3

opam-config.xmlファイル, 3.2.3, 3.2.4.1, 3.2.4.2

opam-config.xsdファイル, 3.2.3, 3.2.3, 3.2.4.2, 3.2.4.2

opam-logging.xmlファイル, 6.2.1

オープン

権限受領者, 5.1.4.5

ポリシー, 5.1.1.2

特権アカウント, 5.1.3.4

ターゲット, 5.1.2.4

OPSS

説明, 用語集

IDストア, 1.3

ポリシー・ストア, 1.2.1

認証の提供, 2.2, 2.2.1

セキュリティ・ストア, 1.3

トラスト・サービス, 1.2.1

OPSSトラスト・サービス, 2.2.1, 用語集 OPSSトラスト・サービス・アサーション, 2.2 OPSSトラスト・トークン, 2.1 Oracle Access Management Access Manager

統合, 7.2

Oracle Application Development Framework

「ADF」を参照してください。

Oracle Fusion Middleware

Oracle Privileged Account Managerのデプロイ, 1.3

Oracle Fusion Middleware監査フレームワーク, 1.2.1 Oracle HTTP Server, 7.2.2

構成, 7.2.2.2

Oracle Identity Manager

管理者の構成, 7.1.4

エンタープライズ・ロール, 7.1.3

権限, 7.1.3, 7.1.4

統合, 7.1, 7.1.5

リソース・カタログ, 7.1.3

ルール, 7.1.4

ワークフローのサポート, 7.1.5

Oracle Internet Directory

認証の構成, 4.3.1

データ移行ツール(ldifmigrator), 4.3.2, 用語集

アイデンティティ・ストア, 4.3.1, 7.2.1

Oracle Platform Security Services

「OPSS」を参照してください。

Oracle Privileged Account Manager

アーキテクチャおよびトポロジ, 1.2.3

コマンド構文, A.2.1

デフォルト・コネクタ, 3.2.1

インタフェース, 1.2.3

管理対象サーバー, 起動, 3.3.1

保護, 2.4

Oracle Privileged Account Managerコンソール

概要, 1.2.3

Oracle Privileged Account Managerサーバーの追加, 4.1

ADF, 1.2.3

SSOの構成, 2.2.1

保護, 2.4.1.2

Oracle Privileged Account Managerサーバー

アーキテクチャ, 4.1

認証, 2.2.2

接続, 3.4.3

説明および目的, 5.1

Oracle Virtual Directory

アイデンティティ・ストア, 4.3.1

Oracle Wallet, 1.2.1

P

パケット・スニッフィング, 2.4.1.1

パスワードの複雑性ルール, 5.1.1.3

パスワード・ポリシー

アクティブ化, 5.1.1.5

アカウントへの割当て, 5.1.1.8.1

作成, 5.1.1.5, B.7.1

削除, B.7.3

説明および目的, 5.1.1.1

無効化, 5.1.1.5

変更, 5.1.1.1, 5.1.1.3

パスワードのリセット, 5.1.1.3, 5.1.1.3, 5.1.3.5.2

取得, B.7.2

検索, 5.1.1.7

パスワード期間の指定, 5.1.1.3

更新, B.7.4

パスワード・ポリシー, デフォルト, 5.1.3.2.1 パスワード

要件の定義, 5.1.1.3

管理, 1.2, 5.1.3.5

特権, 1.2

伝播, 2.4.1

リセット, 2.4.3, A.2.18, B.2.4

自動リセット, 1.2, 5.1.1.3

手動リセット, 5.1.1.3, 5.1.3.5.2

表示, 5.1.3.5, A.2.28, B.2.13

期間の指定, 5.1.1.3

格納, 1.2

ポリシー

アカウントへの割当て, 5.1.1.8.1

作成, 5.1.1.5, 5.1.1.6, B.6.1, B.7.1

デフォルト, 5.1.3.2.1

定義, 2.1

削除, 5.1.1.9, B.6.4, B.7.3

説明および目的, 5.1.1.1

無効化, 5.1.1.5, 5.1.1.6

アクティブ化, 5.1.1.5, 5.1.1.6

変更, 5.1.1.3, 5.1.1.4

開く, 5.1.1.2

取得, B.6.2, B.7.2

検索, 5.1.1.7

検索, B.8.1

タイプ, 5.1.1.1

更新, B.6.3, B.7.4

検証, 5.1.1.8.1, 5.1.1.8.1

表示, 5.1.1.2

ポリシー・ストア, OPSS, 1.2.1 ポート

デフォルト, 3.1, A.1

SSL, 4.1, A.1

特権アカウント

アクセス権, 2.3.1, 2.3.2

追加, 5.1.3.2

管理ロール, 2.3.1

ポリシーの割当て, 5.1.1.8.1

監査, 6.1

チェックアウト/チェックイン, 5.1.3.6, 5.1.3.7

デプロイメント・レポート, 3.4.2

説明, 1.1, 5.1.3.1

一覧表示, A.2.5

グループへの付与, 5.1.4.3

ユーザーへの付与, 5.1.4.2

管理, 5.1.3.1

マッピング, 5.1.3.2, 5.1.3.2, 5.1.3.2.3

開く, 5.1.3.4

削除, A.2.14

ターゲットからの削除, 5.1.3.8

グループ・アクセスの削除, A.2.15

パスワードのリセット, 1.2, 5.1.1.3, 5.1.3.5.2

検索, 3.4.4, 5.1.3.3

検索, A.2.24

共有の保護, 2.4.2

共有, 2.4.2.1, 5.1.3.1.3, 5.1.3.1.3, 5.1.3.2.1

チェックアウトの表示, 5.2.4, A.2.9, B.3.2

ステータス, 3.4.4, 5.1.3.3

特権パスワード, 1.2 権限

管理者, 2.3.1

エンド・ユーザー, 2.3.2

パスワードの伝播, 2.4.1 伝播, アイデンティティ, 2.2.1 プロビジョニング

資格証明, 1.2.4.1

プロセスを示す図, 1.2.4.1

公開鍵のセキュリティ, 管理, 1.2.1

R

登録済みアカウント, 取得, B.1.9

削除

ターゲットからのアカウント, 5.1.3.8

権限受領者, 5.1.4.6, A.2.15, A.2.17

特権アカウント, A.2.14, B.2.6

必要な管理ロール, 2.3.1

ターゲット, 5.1.2.5, A.2.16, B.1.6

レポート

BI Publisher, 6.1.1.2, 6.1.2

監査レポートの例, 6.1.2

レポート

監査, 6.1.1.3

構成, 6.1.1.1

デフォルト監査, 6.1.2

デプロイメント, 5.1.5.1

監査の例, 6.1.2

失敗, 5.1.5.3

使用, 5.1.5.2

表示, 5.1.5

レポート・アコーディオン, 3.4.2 リポジトリ作成ユーティリティ, 6.1.1.2, 6.1.1.2, 用語集 Representational State Transferサービス

「REST (Restful)」を参照してください。

パスワードのリセット, 1.2, 2.4.3, 5.1.1.3, 5.1.3.5.2, A.2.18, B.2.4 リソース・カタログ, 7.1.3 REST (RESTful)

API, はじめに

定義および目的, 用語集

インタフェース, B

サービス, 1.2.3

取得

使用可能なアカウント, B.1.8

権限受領者, A.2.20, B.2.9

グループ, B.5.1

パスワード・ポリシー, B.7.2

特権アカウント, A.2.19, B.2.3

登録済みアカウント, B.1.9

ターゲットのタイプ, B.1.10

ターゲット, A.2.22, B.1.4

使用ポリシー, B.6.2

ユーザー, A.2.23, B.2.12, B.4.1

ターゲット属性の取得, B.1.1 ロール

管理, 2.3.1

アプリケーション, 2.3.1

アプリケーション構成者, 2.3.1

定義, 2.1

エンタープライズ, 4.3.2, 7.1.1

セキュリティ管理者, 2.3.1

ユーザー・マネージャ, 2.3.1

ルール

OIMの構成, 7.1.4

S

SAML

定義および目的, 用語集

SAMLベースのトークンの認証, 2.2 監査ログの保存, 6.1.1 スキーマ

認証, 7.2.2.1

作成, 6.1.1.2, 用語集

opam-config.xml, 3.2.3

ロード, 6.1.1.2

検証, 3.2.4.2

検索結果表, 使用, 3.4.5 検索

権限受領者, 5.1.4.4

グループ, A.2.25, B.5.2

ポリシー, 5.1.1.7, B.8.1

特権アカウント, 3.4.4, 5.1.3.3, A.2.24, B.3.1

ターゲット, 5.1.2.3, A.2.26, B.1.7

ユーザー, A.2.27, B.4.2, B.4.3

保護

コマンドライン・ツール, 2.2.2, 2.4.1.2

コンソール, 2.4.1.2

ネットワーク・チャネル, 2.4.1

Oracle Privileged Account Manager, 2.4

公開鍵, 1.2.1

共有アカウント, 2.4.2, 2.4.2.3

セキュリティ管理者ロール, 2.3.1 セキュリティ・ストア, OPSS, 1.3 セルフサービス, 5.2.1 サーバー

BI Publisher, 6.1.1.3

Oracle Privileged Account Managerサーバーへの接続, 3.4.3

Oracle Privileged Account Managerのアーキテクチャ図, 4.1

起動, 3.3.1

サービス・アカウント, 1.2.1, 5.1.2.2, 用語集 共有アカウント

監査, 2.4.2.2

構成, 5.1.3.2.1

説明, 2.4.2, 5.1.3.1.3

制限, 5.1.3.1.3

保護, 2.4.2.2

セキュリティの制限, 2.4.2.2

パスワードの表示, 5.1.3.5, A.2.28, B.2.13 SSL

通信, 1.2.3, 2.2.2

デフォルト・ポート, 4.1, A.1

有効化, 5.1.2.2

証明書のインポート, 3.3.2

エンドポイントの指定, 4.1, A.1

ポートの指定, 4.4.1

使用, 2.2, 4.1, A.1

SSO

ユーザー・インタフェースの構成, 2.2.1

有効化, 7.2.2

開始

コマンドライン・ツール, A.1

Oracle Privileged Account Managerの管理対象サーバー, 3.3.1

WebLogic管理サーバー, 3.3.1

状態

特権アカウント, 3.4.4, 5.1.3.3

格納

コネクタ, 3.2.2

資格証明, 1.2.4, 5.1.3.2.3

CSFマッピング, 1.2.4.1

メタデータ, 2.2

パスワード, 1.2

Sudo認可, 5.1.2.2 サポート, My Oracle, C.3 システム・アカウント

管理, 5.1.3.1

ターゲット, 5.1.2.1

システム, ターゲット

接続, 2.4.1.1

T

ターゲット・タイプ・ツリー, 表示, A.2.11

ターゲットのタイプ, 取得, B.1.10

ターゲット

追加, 5.1.2.2, A.2.2, B.1.2

接続, 2.4.1.1

一覧表示, A.2.7

開く, 5.1.2.4

削除, 5.1.2.5, A.2.16, B.1.6

アカウントの削除, 5.1.3.8

取得, A.2.22, B.1.4

検索, 5.1.2.3, A.2.26, B.1.7

ターゲット・タイプ, 5.1.2.2

更新, B.1.5

検証, B.1.3

サードパーティ・クライアント, 1.2.3 トークン, OPSSトラスト, 2.1 トポロジおよびアーキテクチャの図, 1.2.3 トラブルシューティング, C トラスト・サービス, OPSS, 1.2.1

U

無人

アカウント 「サービス・アカウント」を参照。

アプリケーション, 1.2.2

保護されていないチャネル, 2.4.1.1 非共有アカウント, 2.4.2 更新

アカウント, B.2.5

パスワード・ポリシー, B.7.4

ターゲット, B.1.5

使用ポリシー, B.6.3

URI, B URL, デフォルト・アプリケーション, 3.1 使用ポリシー

アクティブ化, 5.1.1.6

アカウントへの割当て, 5.1.1.8.1

作成, 5.1.1.6, B.6.1

削除, B.6.4

説明および目的, 5.1.1.1

無効化, 5.1.1.6

変更, 5.1.1.1, 5.1.1.4

取得, B.6.2

検索, 5.1.1.7

更新, B.6.3

使用ポリシー, デフォルト, 5.1.3.2.1 使用状況レポート, 5.1.5.2 ユーザー認証, 2.2.1 ユーザー・マネージャ・ロール, 2.3.1 ユーザー

ブートストラップ, 2.3.1, 用語集

一覧表示, A.2.8

アカウントの付与, 5.1.4.2, B.2.7

アクセスの削除, A.2.17, B.2.8

取得, A.2.23, B.2.12, B.4.1

検索, A.2.27, B.4.2, B.4.3

セルフサービス, 5.2.1

アカウントの共有, 2.4.2.1, 5.1.1.4

ユーティリティ

リポジトリ作成ユーティリティ, 6.1.1.2, 6.1.1.2

V

opam-config.xmlの検証, 3.2.4.2

確認

OID構成, 4.3.1

ポリシー, 5.1.1.8.1, 5.1.1.8.1

特権アカウント, B.2.2

ターゲット, B.1.3

ポリシーの表示, 5.1.1.2 レポートの表示, 5.1.5

W

Webゲート・エージェント, 7.2

WebLogic,

SSLポート, 4.1, A.1

管理サーバーの起動, 3.3.1

WebLogicユーザー, 2.3.1 WLSTコマンド, 7.2.2.4 ワークフロー

管理者, 5.1

Oracle Identity Managerとの統合, 7.1.5

Oracle Identity Managerのサポート, 7.1.5

セルフサービス, 5.2.1

Copyright © 2012, Oracle and/or its affiliates. All rights reserved.