Oracle® Fusion Middleware Oracle Identity Manager管理者ガイド

11g リリース2(11.1.2)

B69535-02(原本部品番号:E27149-04)

目次

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

第I部 概要

1 Oracle Identity System Administrationインタフェース

- 1.1 Oracle Identity Managerシステム管理コンソールへのログイン

- 1.2 Oracle Identity Managerシステム管理コンソールの概要

- 1.2.1 リンク

- 1.2.1.1 アクセシビリティ

- 1.2.1.2 サンドボックス

- 1.2.1.3 ヘルプ

- 1.2.1.4 サイン・アウト

- 1.2.2 左右のペイン

- 1.2.2.1 イベント管理

- 1.2.2.2 ポリシー

- 1.2.2.3 構成

- 1.2.2.4 システム管理

- 1.2.2.5 アップグレード

第II部 ポリシー管理

2 承認ポリシーの管理

- 2.1 一般的なガイドライン

- 2.2 承認の選択方法

- 2.2.1 リクエスト・レベルの方法

- 2.2.2 操作レベルの方法: 組織ベースの選択

- 2.2.3 操作レベルの方法: ロール・ベースの選択

- 2.2.4 操作レベルの方法: アプリケーション・インスタンスベースの選択

- 2.3 承認ポリシーの作成

- 2.4 承認ポリシーの検索

- 2.5 承認ポリシーの変更

- 2.6 承認ポリシーの優先度の変更

- 2.7 承認ポリシーの削除

3 アクセス・ポリシーの管理

- 3.1 アクセス・ポリシーで使用される用語

- 3.2 アクセス・ポリシーの機能

- 3.2.1 プロビジョニング・オプション

- 3.2.2 ポリシーの失効または無効化

- 3.2.3 リソースの拒否

- 3.2.4 ポリシーの評価

- 3.2.5 アクセス・ポリシーの優先度

- 3.2.6 アクセス・ポリシー・データ

- 3.2.7 アカウント識別子の使用によるアクセス・ポリシーを介した同じリソースの複数インスタンスのプロビジョニング

- 3.3 アクセス・ポリシーの作成

- 3.4 アクセス・ポリシーの管理

- 3.5 アクセス・ポリシーを介した同じリソースの複数インスタンスのプロビジョニング

- 3.5.1 単一ターゲット・システムにおける同じユーザーおよび同じリソースに対する個別アカウントの作成

- 3.5.2 複数アカウント・プロビジョニングの有効化

- 3.5.3 複数ターゲット・システムへのリソースの複数インスタンスのプロビジョニング

- 3.5.4 アクセス・ポリシーを介したリソースの複数インスタンスのプロビジョニングの制限

4 パスワード・ポリシーの管理

- 4.1 パスワード・ポリシーの検索

- 4.2 パスワード・ポリシーの作成

- 4.3 パスワード・ポリシー・ルールの設定

- 4.4 パスワード・ポリシーの削除

5 アテステーション・プロセスの管理

- 5.1 アテステーションについて

- 5.1.1 アテステーション・プロセスの定義

- 5.1.1.1 アテステーション・プロセスの制御

- 5.1.2 アテステーション・タスクのコンポーネント

- 5.1.2.1 アテステーション受信ボックス

- 5.1.3 アテステーション・リクエスト

- 5.1.4 委任

- 5.1.5 アテステーション・ライフサイクル・プロセス

- 5.1.5.1 第1段階: アテステーション・タスクの作成

- 5.1.5.2 第2段階: アテステーション・タスクに関する作業

- 5.1.5.3 第3段階: 送信されたアテステーション・タスクの処理

- 5.1.6 アテステーション・エンジン

- 5.1.7 アテステーション・スケジュール済タスク

- 5.1.8 アテステーションドリブンのワークフロー機能

- 5.1.9 アテステーションの電子メール

- 5.1.9.1 Notify Attestation Reviewer

- 5.1.9.2 Notify Delegated Reviewers

- 5.1.9.3 拒否されたアテステーション権限についてのプロセス所有者への通知

- 5.1.9.4 電子メールが定義されていないレビューアについてのプロセス所有者への通知

- 5.2 アテステーション・プロセスの設定

- 5.2.1 メニュー構造

- 5.2.2 システム制御

- 5.3 アテステーション・プロセスの作成

- 5.4 アテステーション・プロセスの管理

- 5.4.1 アテステーション・プロセスの編集

- 5.4.2 アテステーション・プロセスの無効化

- 5.4.3 アテステーション・プロセスの有効化

- 5.4.4 アテステーション・プロセスの削除

- 5.4.5 アテステーション・プロセスの実行

- 5.4.6 アテステーション・プロセス管理者の管理

- 5.4.7 アテステーション・プロセス実行履歴の表示

- 5.5 アテステーション・ダッシュボードの使用

- 5.5.1 アテステーション・リクエスト詳細の表示

- 5.5.2 電子メール通知

- 5.5.3 アテステーション猶予期間チェッカー・スケジュール済タスク

第III部 フォーム管理

6 フォームの管理

- 6.1 フォーム・デザイナを使用したフォームの作成

- 6.2 フォーム・デザイナを使用したフォームの検索

- 6.3 フォーム・デザイナを使用したフォームの変更

- 6.3.1 フォーム属性の削除または非表示

7 カスタム属性の構成

- 7.1 カスタム属性の作成

- 7.2 カスタムの子フォームの作成

- 7.3 カスタムの子フォーム属性の作成

- 7.4 カスタム属性の変更

- 7.5 カスタム属性の追加

- 7.6 アプリケーション・インスタンス・フォームへのカスタム属性の追加

- 7.6.1 ビューの再生成

- 7.6.2 WebCenter Composerを使用したアプリケーション・インスタンス・フォームの更新

- 7.7 テストから本番へのUDFの移行

- 7.7.1 カタログ・エンティティに追加されたUDFの移行

- 7.7.2 ユーザー・フォームに追加されたUDFの移行

- 7.7.2.1 テスト環境からのUDFのエクスポート

- 7.7.2.2 本番環境へのUDFのインポート

- 7.8 Oracle Identity ManagerとLDAP間でのユーザー定義フィールドの同期

- 7.9 属性定義

- 7.10 カスケードLOVの作成

第IV部 アプリケーション管理

8 アプリケーション・インスタンスの管理

- 8.1 アプリケーション・インスタンスのアーキテクチャと概念

- 8.1.1 1つのアプリケーション・インスタンスの複数アカウント

- 8.1.2 権限

- 8.1.3 接続なしアプリケーション・インスタンス

- 8.1.4 アプリケーション・インスタンスのセキュリティ

- 8.2 アプリケーション・インスタンスの管理

- 8.2.1 アプリケーション・インスタンスの作成

- 8.2.2 アプリケーション・インスタンスの検索

- 8.2.3 アプリケーション・インスタンスの変更

- 8.2.3.1 アプリケーション・インスタンス属性の変更

- 8.2.3.2 アプリケーション・インスタンスに関連付けられた組織の管理

- 8.2.3.3 アプリケーション・インスタンスに関連付けられた権限の管理

- 8.2.4 アプリケーション・インスタンスの削除

- 8.2.5 フォームの作成および変更

- 8.2.5.1 アプリケーション・インスタンスに関連付けられたフォームの作成

- 8.2.5.2 アプリケーション・インスタンスに関連付けられたフォームの変更

- 8.2.5.3 アプリケーション・インスタンス・フォームのローカライズ

- 8.3 アプリケーション・インスタンスの構成

- 8.3.1 接続アプリケーション・インスタンスに対するプロビジョニングの構成

- 8.3.2 リソース・オブジェクトの構成

- 8.3.3 ITリソースの構成

- 8.3.4 アプリケーション・インスタンスのパスワード・ポリシーの構成

- 8.4 権限の開発

- 8.4.1 使用可能権限および割り当てられた権限

- 8.4.2 権限データ取得プロセス

- 8.4.2.1 使用可能権限に関するデータの取得

- 8.4.2.2 割り当てられた権限に関するデータの取得

- 8.4.3 子プロセス・フォームでの権限属性のマーク

- 8.4.4 権限または子データの重複検証

- 8.4.5 権限データを使用するためのスケジュール済タスクの構成

- 8.4.5.1 権限リスト

- 8.4.5.2 権限割当て

- 8.4.6 権限の削除

- 8.4.7 新規エントリの権限リスト削除後のリフレッシュ

- 8.4.8 割り当てられた権限に対する変更の取得の無効化

- 8.4.9 権限関連レポート

- 8.4.9.1 権限アクセス・リスト

- 8.4.9.2 権限アクセス・リスト履歴

- 8.4.9.3 ユーザー・リソース権限

- 8.4.9.4 ユーザー・リソース権限履歴

9 接続なしリソースの管理

- 9.1 接続なしリソースのアーキテクチャ

- 9.2 接続なしアプリケーション・インスタンスの管理

- 9.2.1 接続なしアプリケーション・インスタンスの作成

- 9.2.2 既存の接続なしリソースに対する接続なしアプリケーション・インスタンスの作成

- 9.3 接続なしアプリケーション・インスタンスでのプロビジョニング操作

- 9.3.1 プロセス・フォーム更新

- 9.4 接続なしリソースの権限の管理

- 9.4.1 権限付与の構成

- 9.4.1.1 子フォームの作成とフォーム・デザイナによる権限参照の構成

- 9.4.1.2 SOAコンポジットを起動するプロセス・タスクの構成

- 9.4.2 権限の失効の構成

- 9.5 手動のプロセス・タスク・アクションでのステータス変更

- 9.6 SOAコンポジット・プロビジョニングのカスタマイズ

- 9.6.1 SOAコンポーザによるヒューマン・タスク割当てのカスタマイズ

- 9.6.2 即時利用可能なコンポジットの変更によるカスタマイズ

- 9.7 接続なしリソースのトラブルシューティング

10 参照の管理

- 10.1 参照タイプの検索

- 10.2 参照タイプの作成

- 10.3 参照タイプの変更

11 コネクタ・ライフサイクルの管理

- 11.1 コネクタのライフサイクル

- 11.2 コネクタ・ライフサイクルおよび変更管理の用語

- 11.3 コネクタの詳細の表示

- 11.4 コネクタのインストール

- 11.4.1 コネクタのデプロイメント・プロセスの概要

- 11.4.2 コネクタのインストールのためのユーザー・アカウントの作成

- 11.4.3 コネクタのインストール

- 11.5 コネクタの定義

- 11.6 コネクタのクローニング

- 11.6.1 コネクタのクローニングのガイドライン

- 11.6.2 コネクタのクローニング

- 11.6.3 クローニング後の手順

- 11.7 コネクタ・オブジェクトの定義のコネクタXML形式でのエクスポート

- 11.8 コネクタのアップグレード

- 11.8.1 コネクタのアップグレード機能でサポートされているアップグレード・ユースケース

- 11.8.2 コネクタのアップグレード機能でサポートされるコネクタ・オブジェクト変更

- 11.8.2.1 リソース・オブジェクトの変更

- 11.8.2.2 プロセス定義の変更

- 11.8.2.3 リソース・オブジェクトの変更

- 11.8.2.4 プロセス・フォームの変更

- 11.8.2.5 参照定義の変更

- 11.8.2.6 アダプタの変更

- 11.8.2.7 ルールの変更

- 11.8.2.8 ITリソース・タイプの変更

- 11.8.2.9 ITリソースの変更

- 11.8.2.10 スケジュール済タスクの変更

- 11.8.3 コネクタをアップグレードした場合の処理

- 11.8.4 アップグレード手順のサマリー

- 11.8.5 コネクタのアップグレード手順

- 11.8.5.1 アップグレード前の手順

- 11.8.5.2 アップグレード手順

- 11.8.5.3 アップグレード後の手順

- 11.8.6 9.xコネクタのバージョンからICFベース型コネクタへのアップグレード手順

- 11.9 コネクタのアンインストール

- 11.9.1 コネクタのアンインストール・ユーティリティでサポートされるユースケース

- 11.9.2 コネクタのアンインストール・プロセスの概要

- 11.9.3 コネクタのアンインストール・ユーティリティの設定

- 11.9.4 コネクタのアンインストールおよびコネクタ・オブジェクトの削除

- 11.9.4.1 コネクタのアンインストール

- 11.9.4.2 アダプタ、参照定義、リソース・オブジェクトおよびスケジュール済タスクの削除

- 11.9.4.3 コネクタおよびコネクタ・オブジェクトをアンインストールするスクリプトの実行

- 11.10 コネクタ管理問題のトラブルシューティング

12 リコンシリエーションの管理

- 12.1 リコンシリエーションのタイプ

- 12.1.1 リコンサイル対象オブジェクトに基づくリコンシリエーション

- 12.1.1.1 信頼できるソース・リコンシリエーション

- 12.1.1.2 アカウント・リコンシリエーション

- 12.1.1.3 リコンシリエーション・プロセス・フロー

- 12.1.2 リコンシリエーションのモード

- 12.1.3 リコンシリエーションに使用されるアプローチ

- 12.2 リコンシリエーション・イベントの管理

- 12.2.1 イベントの検索

- 12.2.1.1 イベントの単純検索の実行

- 12.2.1.2 イベントの拡張検索の実行

- 12.2.2 イベントの詳細の表示

- 12.2.3 イベント・アクションの決定

- 12.2.4 イベントの再評価

- 12.2.5 イベントのクローズ

- 12.2.6 リコンシリエーション・イベントのリンク

- 12.2.6.1 非定型リンク

- 12.2.6.2 手動リンク

- 12.2.6.3 孤立アカウントのリンク

第V部 インフラストラクチャ・サービスの管理

13 通知サービスの管理

- 13.1 通知プロバイダの管理

- 13.1.1 通知へのUMSの使用

- 13.1.1.1 通知にUMSを使用するためのOracle Identity Managerの有効化

- 13.1.1.2 UMS WebサービスへのOWSMポリシーの適用

- 13.1.2 通知へのSMTPの使用

- 13.1.3 通知へのSOAコンポジットの使用

- 13.1.4 カスタム通知プロバイダの構成

- 13.1.5 通知プロバイダの無効化と有効化

- 13.2 通知テンプレートの管理

- 13.2.1 通知テンプレートの作成

- 13.2.2 通知テンプレートの検索

- 13.2.3 通知テンプレートの変更

- 13.2.4 通知テンプレートの削除

- 13.2.5 通知テンプレートに対するロケールの追加と削除

- 13.2.6 プロキシ用の通知の構成

- 13.3 デフォルト電子メール・プロバイダの構成

- 13.4 SOA電子メール通知の構成

- 13.4.1 SOAにおけるアクション可能な電子メール通知の構成

- 13.4.2 SOA電子メール通知のトラブルシューティング

- 13.5 電子メール通知の使用不可

- 13.6 通知構成のテスト

- 13.6.1 UMS電子メール通知のテスト

- 13.6.2 SMTP接続のテスト

14 スケジューラの管理

- 14.1 oim-config.xmlファイルの構成

- 14.2 スケジューラの起動と停止

- 14.3 スケジュール済タスク

- 14.3.1 事前定義済のスケジュール済タスク

- 14.3.2 LDAPスケジュール済タスク

- 14.3.3 カスタムのスケジュール済タスクの作成

- 14.4 ジョブ

- 14.4.1 ジョブの作成

- 14.4.2 ジョブの検索

- 14.4.2.1 ジョブの単純検索の実行

- 14.4.2.2 ジョブの拡張検索の実行

- 14.4.3 ジョブの表示

- 14.4.4 ジョブの変更

- 14.4.5 ジョブの無効化と有効化

- 14.4.6 ジョブの起動と停止

- 14.4.7 ジョブの削除

15 システム・プロパティの管理

- 15.1 Oracle Identity Managerのシステム・プロパティ

- 15.2 システム・プロパティの作成と管理

- 15.2.1 システム・プロパティの作成

- 15.2.2 キャッシュのパージ

- 15.2.3 システム・プロパティの検索

- 15.2.3.1 単純検索の実行

- 15.2.3.2 拡張検索の実行

- 15.2.4 システム・プロパティの変更

- 15.2.5 システム・プロパティの削除

第VI部 リクエスト

16 アクセス・リクエスト・カタログの管理

- 16.1 アクセス・リクエスト・カタログ

- 16.1.1 アクセス・リクエストの課題

- 16.1.2 概念

- 16.1.3 カタログのユースケース

- 16.2 アクセス・リクエスト・カタログについて

- 16.2.1 機能と利点

- 16.2.2 アーキテクチャ

- 16.3 アクセス・リクエスト・カタログの管理

- 16.3.1 前提条件

- 16.3.1.1 カタログ管理者の設定

- 16.3.1.2 カタログ・メタデータの定義

- 16.3.2 一般的なタスク

- 16.3.2.1 アプリケーションおよびロールの組込み

- 16.3.2.2 カタログのブートストラップ

- 16.3.2.3 進行中の同期化

- 16.3.2.4 カタログの拡充

- 16.3.2.5 カタログ項目の管理

- 16.3.3 アクセス・リクエスト・カタログのデータベース・ベスト・プラクティス

- 16.3.3.1 Oracle Text索引の1回かぎりの最適化

- 16.3.3.2 Text索引の最適化

- 16.4 カタログのライフサイクルの管理

- 16.4.1 カタログのカスタマイズの概要

- 16.4.2 カタログのカスタマイズのテストから本番への手順

- 16.4.2.1 サンドボックスおよびデプロイメント・マネージャを使用したエクスポート

- 16.4.2.2 デプロイメント・マネージャおよびサンドボックスを使用したインポート

- 16.4.3 テストから本番への手順の制限

- 16.5 トラブルシューティング

- 16.5.1 カタログ同期化の問題

- 16.5.2 カタログ・セキュリティの問題

- 16.5.3 カタログ検索の問題

第VII部 監査およびレポート

17 監査の構成

- 17.1 概要

- 17.1.1 監査の設計要素

- 17.1.2 プロファイル監査機能

- 17.1.3 標準レポートとカスタマイズ・レポート

- 17.2 ユーザー・プロファイル監査機能

- 17.2.1 監査用に収集されるデータ

- 17.2.1.1 ユーザー・プロファイル監査データの取得

- 17.2.1.2 スナップショットの保存

- 17.2.1.3 スナップショット取得のトリガー

- 17.2.2 ユーザー・プロファイル監査に使用されるポストプロセッサ

- 17.2.3 ユーザー・プロファイル監査に使用される表

- 17.2.4 アーカイブ

- 17.3 ロール・プロファイル監査機能

- 17.3.1 監査用に収集されるデータ

- 17.3.1.1 ロール・プロファイル監査データの取得とアーカイブ

- 17.3.1.2 スナップショットの保存

- 17.3.1.3 スナップショット取得のトリガー

- 17.4 監査機能の有効化と無効化

- 17.4.1 監査機能の無効化

- 17.4.2 監査機能の有効化

18 レポート機能の使用

- 18.1 レポート機能

- 18.2 Oracle Identity Managerレポートの開始

- 18.3 Oracle Identity Managerレポートの実行

- 18.4 サポートされている出力形式

- 18.5 Oracle Identity Managerのレポート

- 18.5.1 アクセス・ポリシー・レポート

- 18.5.1.1 アクセス・ポリシー詳細

- 18.5.1.2 ロール別のアクセス・ポリシー・リスト

- 18.5.2 アテステーション、リクエストおよび承認レポート

- 18.5.2.1 承認アクティビティ

- 18.5.2.2 アテステーション・プロセス・リスト

- 18.5.2.3 アテステーション・リクエストの詳細

- 18.5.2.4 プロセス別のアテステーション・リクエスト

- 18.5.2.5 レビューア別のアテステーション・リクエスト

- 18.5.2.6 リクエストの詳細

- 18.5.2.7 リクエスト・サマリー

- 18.5.2.8 タスク割当て履歴

- 18.5.3 ロールおよび組織レポート

- 18.5.3.1 ロール・メンバーシップ履歴

- 18.5.3.2 ロール・メンバーシップ・プロファイル

- 18.5.3.3 ロール・メンバーシップ

- 18.5.3.4 組織の詳細

- 18.5.3.5 ユーザー・メンバーシップ履歴

- 18.5.4 パスワード・レポート

- 18.5.4.1 パスワード有効期限サマリー

- 18.5.4.2 パスワード・リセット・サマリー

- 18.5.4.3 リソース・パスワード有効期限

- 18.5.5 リソースおよび権限レポート

- 18.5.5.1 リソースのアカウント・アクティビティ

- 18.5.5.2 リソース別の委任管理者および権限

- 18.5.5.3 リソース別の委任管理者

- 18.5.5.4 権限アクセス・リスト

- 18.5.5.5 権限アクセス・リスト履歴

- 18.5.5.6 財務的に重要なリソースの詳細

- 18.5.5.7 リソース別のファイングレイン権限例外

- 18.5.5.8 孤立アカウント・サマリー

- 18.5.5.9 リソース・アクセス・リスト履歴

- 18.5.5.10 リソース・アクセス・リスト

- 18.5.5.11 リソース・アカウント・サマリー

- 18.5.5.12 リソース・アクティビティ・サマリー

- 18.5.5.13 リソース別の統制外アカウント

- 18.5.5.14 ユーザー・リソース・アクセス履歴

- 18.5.5.15 ユーザー・リソース・アクセス

- 18.5.5.16 ユーザー・リソース権限

- 18.5.5.17 ユーザー・リソース権限履歴

- 18.5.6 ユーザー・レポート

- 18.5.6.1 ユーザー・プロファイル履歴

- 18.5.6.2 ユーザー・サマリー

- 18.5.6.3 削除済ユーザー

- 18.5.6.4 無効化されたユーザー

- 18.5.6.5 ロック解除済ユーザー

- 18.5.7 Oracle Identity Managerレポートの実行のベスト・プラクティス

- 18.6 例外レポート

- 18.7 サード・パーティ製ソフトウェアを使用したレポートの作成

- 18.8 BI Publisherレポートの必須のスケジュール済タスク

19 アーカイブ・ユーティリティの使用

- 19.1 リコンシリエーション・アーカイブ・ユーティリティの使用

- 19.1.1 リコンシリエーション・アーカイブ・ユーティリティについて

- 19.1.2 リコンシリエーション・アーカイブ・ユーティリティの実行の前提条件

- 19.1.3 アーカイブ基準

- 19.1.4 リコンシリエーション・アーカイブ・ユーティリティの実行

- 19.1.5 リコンシリエーション・アーカイブ・ユーティリティにより生成されるログ・ファイル

- 19.2 タスク・アーカイブ・ユーティリティの使用

- 19.2.1 タスク・アーカイブ・ユーティリティについて

- 19.2.2 タスク・アーカイブ・ユーティリティのためのOracle Databaseの準備

- 19.2.3 タスク・アーカイブ・ユーティリティの実行

- 19.2.4 タスク・アーカイブ・ユーティリティにより生成される出力ファイルの確認

- 19.3 リクエスト・アーカイブ・ユーティリティの使用

- 19.3.1 リクエスト・アーカイブ・ユーティリティについて

- 19.3.2 リクエスト・アーカイブ・ユーティリティの実行の前提条件

- 19.3.3 入力パラメータ

- 19.3.4 リクエスト・アーカイブ・ユーティリティの実行

- 19.3.5 ユーティリティにより生成されるログ・ファイル

- 19.4 監査アーカイブおよびパージ・ユーティリティの使用

- 19.4.1 概要

- 19.4.2 ユーティリティの使用の前提条件

- 19.4.3 アーカイブおよびパージのためのUPA表の準備

- 19.4.4 UPA表のアーカイブまたはパージ

- 19.4.4.1 アーカイブまたはパージできないパーティション

- 19.4.4.2 進行中のパーティションのメンテナンス

- 19.4.4.3 UPA表のパーティションのアーカイブまたはパージ

第VIII部 診断およびトラブルシューティング

20 ロギングの構成

- 20.1 ODLを使用したOracle Identity Managerのロギング

- 20.1.1 メッセージのタイプとレベル

- 20.1.2 ログ・ハンドラとロガーの構成

- 20.1.3 ログ・ハンドラの構成

- 20.1.3.1 ログ・ハンドラの構成ツール

- 20.1.4 ロガーの構成

- 20.1.5 ODLログ出力のサンプル

- 20.2 log4jを使用したOracle Identity Managerのロギング

- 20.2.1 ログ・レベル

- 20.2.2 ロガー

- 20.2.3 ロギングの構成と有効化

- 20.3 警告状態の設定

21 非同期実行の管理

- 21.1 非同期サービスの概要

- 21.2 非同期ルーティングと構成

- 21.2.1 構成パラメータ

- 21.3 失敗した非同期タスクのトラブルシューティング

- 21.3.1 自動再試行のエラー処理メカニズム

- 21.3.2 手動再試行のエラー処理メカニズム

- 21.4 診断ダッシュボードUIの操作

- 21.4.1 診断ダッシュボードUIの起動

- 21.4.2 失敗した非同期タスクの表示

- 21.4.2.1 失敗した非同期タスクを表示する手順

- 21.4.3 失敗した非同期タスクの再試行

- 21.4.3.1 失敗した非同期タスクを再試行する手順

- 21.4.4 失敗した非同期タスクの再送信

- 21.4.5 失敗した非同期タスクのパージ

- 21.4.5.1 失敗した非同期タスクをパージする手順

22 Enterprise Managerを使用したOracle Identity Manager構成の管理

- 22.1 MBeanを使用した構成変更

- 22.2 構成ファイルのエクスポートおよびインポート

23 ユーザーの言語の設定

24 診断ダッシュボードの操作

- 24.1 診断ダッシュボードの概要

- 24.2 診断ダッシュボードのインストール

- 24.2.1 Oracle WebLogic Serverへの診断ダッシュボードのインストール

- 24.3 診断ダッシュボードの起動

- 24.4 診断ダッシュボードの使用

- 24.5 診断ダッシュボードを使用したテストの実行

- 24.5.1 Oracle Databaseの前提条件チェック

- 24.5.2 データベース接続性のチェック

- 24.5.3 アカウント・ロックのステータス

- 24.5.4 データ暗号化キーの検証

- 24.5.5 スケジューラ・サービスのステータス

- 24.5.6 Remote Managerのステータス

- 24.5.7 JMSメッセージ機能の検証

- 24.5.8 ターゲット・システムのSSLトラストの検証

- 24.5.9 Java VMシステム・プロパティのレポート

- 24.5.10 Oracle Identity Managerのライブラリと拡張機能のバージョンのレポート

- 24.5.11 Oracle Identity Managerのライブラリと拡張機能のマニフェストのレポート

- 24.5.12 基本接続性のテスト

- 24.5.13 プロビジョニングのテスト

- 24.5.14 リコンシリエーションのテスト

- 24.5.15 SOA-Oracle Identity Managerの構成チェック

- 24.5.16 診断情報のリクエスト

- 24.5.17 編成ステータス

- 24.5.18 失敗した編成の再試行

- 24.5.19 SPML Webサービス

- 24.5.20 OWSM設定のテスト

- 24.5.21 Oracle Identity Managerに対するSPMLリクエスト呼出しのテスト

- 24.5.22 Oracle Identity Manager属性に対するSPML属性

- 24.5.23 ユーザー名テスト

- 24.5.24 Oracle Identity ManagerおよびLDAPにおけるユーザー作成とロール作成の診断

- 24.5.25 LDAP予約コンテナの診断

- 24.5.26 リコンシリエーション・プロファイルの検証

- 24.5.27 通知構成テスト

25 診断の有効化

- 25.1 Oracle Identity Managerにおける診断の有効化

- 25.2 動的構成に関連する問題のトラブルシューティング

- 25.2.1 一貫性のない状態におけるOracle Identity Managerおよびアイデンティティ・ストアのロール

- 25.2.2 問題の原因となるoamEnabledフラグの有効化後処理

- 25.2.3 LDAPContainerRules.xmlで定義されたLDAPコンテナのランタイム評価

26 エラーの処理

第IX部 その他のコンポーネント

27 Remote Managerのインストールと構成

- 27.1 Remote Managerの構成の概要

- 27.2 Remote Managerの構成

- 27.2.1 信頼関係の追加

- 27.2.2 独自の証明書を使用したRemote Managerの構成

- 27.2.3 Remote Managerの接続のテスト

- 27.2.4 Remote Managerのポート変更のためのxlconfig.xmlファイルの更新

- 27.3 Remote Managerの停止と起動

- 27.4 Remote Managerのトラブルシューティング

28 フォーム・バージョン制御ユーティリティの使用方法

- 28.1 FVCユーティリティでサポートされているユースケース

- 28.2 FVCユーティリティでサポートされていないユースケース

- 28.3 フォーム・バージョン制御プロセスのサマリー

- 28.4 FVCユーティリティのコンポーネント

- 28.5 FVCユーティリティの使用

- 28.5.1 プロパティ・ファイルの準備

- 28.5.2 FVCユーティリティを使用するための前提条件への対処

- 28.5.3 ユーティリティの実行

- 28.6 トラブルシューティング

29 サーバーの起動と停止

- 29.1 ノード・マネージャの構成

- 29.2 ノード・マネージャの起動

- 29.3 WebLogic管理サーバーの起動または停止

- 29.4 WebLogic管理対象サーバーの起動または停止

- 29.4.1 コマンド・プロンプトを使用した管理対象サーバーの起動または停止

- 29.4.2 Oracle Enterprise Manager Fusion Middleware Controlを使用した管理対象サーバーの起動または停止

- 29.4.3 Oracle WebLogic Server管理コンソールを使用したサーバーの起動または停止

30 セキュアなCookieの有効化

31 他のOracleコンポーネントとの統合

- 31.1 Oracle Access Manager

- 31.2 Oracle Adaptive Access Manager

- 31.3 Oracle Identity Analytics

- 31.3.1 Oracle Identity Analyticsにおける統合の構成

- 31.3.2 Oracle Identity Managerにおける統合の構成

- 31.3.2.1 DataCollectionOperationsIntf APIインタフェース

- 31.3.2.2 ステージング表

- 31.3.2.3 データ収集プロセス

- 31.4 Oracle Identity Navigator

- 31.5 Oracle Virtual Directory

- 31.6 Oracle Service-Oriented Architecture

- 31.7 Oracle Business Intelligence Publisher

32 ライフサイクル管理変更の処理

- 32.1 Oracle Identity Managerに関連するURL変更

- 32.1.1 Oracle Identity Managerデータベースのホストとポートの変更

- 32.1.2 Oracle Virtual Directoryのホストとポートの変更

- 32.1.3 Oracle Identity Managerのホストとポートの変更

- 32.1.3.1 Oracle Identity Manager構成のOimFrontEndURLの変更

- 32.1.3.2 Oracle Identity Manager構成のbackOfficeURLの変更

- 32.1.4 BI Publisherのホストとポートの変更

- 32.1.5 SOAのホストとポートの変更

- 32.1.6 OAMのホストとポートの変更

- 32.2 Oracle Identity Managerに関連するパスワード変更

- 32.2.1 Oracle WebLogic管理者パスワードの変更

- 32.2.2 Oracle Identity Manager管理者パスワードの変更

- 32.2.3 Oracle Identity Managerデータベース・パスワードの変更

- 32.2.4 資格証明ストア・フレームワークのOracle Identity Managerパスワードの変更

- 32.2.5 OVDパスワードの変更

- 32.2.6 LDAPにおけるOracle Identity Manager管理者パスワードの変更

- 32.2.7 LDAPにおけるOracle Identity Manager管理者パスワードのロック解除

- 32.3 Oracle Identity ManagerのSSLの構成

- 32.3.1 キーの生成

- 32.3.2 証明書への署名

- 32.3.3 証明書のエクスポート

- 32.3.4 証明書のインポート

- 32.3.5 Oracle Identity ManagerおよびSOAサーバーのSSLの有効化

- 32.3.5.1 Oracle Identity ManagerのSSLの有効化

- 32.3.5.2 OimFrontEndURLをSSLポートを使用するように変更

- 32.3.5.3 backOfficeURLをSSLポートを使用するように変更

- 32.3.5.4 SOAサーバーURLをSSLポートを使用するように変更

- 32.3.5.5 Design ConsoleのSSLの構成

- 32.3.5.6 Oracle Identity ManagerユーティリティのSSLの構成

- 32.3.5.7 MDSユーティリティのSSLの構成

- 32.3.5.8 SPML/コールバック・ドメインのSSLの構成

- 32.3.6 Oracle Identity Manager DBのSSLの有効化

- 32.3.6.1 サーバー認証SSLモードでのDBの設定

- 32.3.6.2 キーストアと証明書の作成

- 32.3.6.3 Oracle Identity Managerの更新

- 32.3.6.4 WebLogic Serverの更新

- 32.3.7 LDAP同期のSSLの有効化

- 32.3.7.1 OVD-OIDでのSSLの有効化

- 32.3.7.2 Oracle Identity ManagerのOVDホスト/ポートの更新

33 アイデンティティおよびリソース情報の管理

- 33.1 ユーザー管理の概要

- 33.2 組織情報の管理

- 33.3 ユーザーに対して許可されているか、または許可されていないリソースの表示

- 33.3.1 ポリシーの履歴タブ

- 33.4 ロール権限の割当て

34 デプロイメントの保護

第X部 付録

A Oracle Identity ManagerのSSOプロバイダの構成

- A.1 Oracle Identity ManagerでのOpenSSOの使用可能化

- A.1.1 前提条件

- A.1.2 Oracle Identity ManagerとOpenSSOとの統合

- A.1.3 構成を検証するための検証テストの実行

- A.2 Oracle Identity ManagerでのIBM Tivoli Access Managerの使用可能化

- A.2.1 前提条件

- A.2.2 Oracle Identity ManagerとIBM Tivoli Access Managerとの統合

- A.2.3 構成を検証するための検証テストの実行

- A.3 Oracle Identity ManagerでのCA SiteMinderの使用可能化

- A.3.1 前提条件

- A.3.2 Oracle Identity ManagerとCA SiteMinderとの統合

- A.3.3 構成を検証するための検証テストの実行

- A.4 XIMDD用のSSOの構成

B チャレンジ質問および回答のローカライズ

索引

Oracle® Fusion Middleware

Oracle Identity Manager管理者ガイド

11g リリース2(11.1.2)

B69535-02(原本部品番号:E27149-04)

2012年12月

Oracle Fusion Middleware Oracle Identity Manager管理者ガイド, 11g リリース2 (11.1.2)

B69535-02

Copyright © 1991, 2012, Oracle and/or its affiliates.All rights reserved.

原本主著者:  Prakash Hulikere

原本主協力者:  Debapriya Datta、Alankrita Prakash

原本協力者: Javed Beg、Rajesh Pakkath、Sanjay Rallapalli

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントが、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供される場合は、次のNoticeが適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、このソフトウェアまたはハードウェアを安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle およびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXはThe Open Groupの登録商標です。

このソフトウェアまたはハードウェアおよびドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

はじめに

『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』では、Oracle Identity Managerでのシステム管理タスクの実行方法について説明します。

対象読者

このガイドは、システム構成タスク、アプリケーション・サーバー、JMS、コネクタ、スケジュールされたタスクの管理、コネクタのインストールとデプロイメントおよびアーカイブ・ユーティリティ管理を実行できるシステム管理者を対象としています。

ドキュメントのアクセシビリティについて

オラクル社のアクセシビリティへの取組みの詳細は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=docaccを参照してください。

Oracleサポートへのアクセス

Oracleカスタマは、My Oracle Supportから電子サポートにアクセスできます。詳細は、http://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoまたはhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs (聴覚障害者向け)を参照してください。

関連ドキュメント

詳細は、次のドキュメントを参照してください。

- Oracle Fusion Middleware Oracle Identity Manager開発者ガイド

- Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイド

- Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド

- Oracle Identity ManagementのOracle Fusion Middlewareクイック・インストレーション・ガイド

- Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド

- Oracle Fusion Middlewareスイート統合概要

- Oracle Fusion Middleware Oracle Identity Managementユーザー・リファレンス

- Oracle Fusion Middleware高可用性ガイド

- Oracle Fusion Middleware Oracle Access Manager管理者ガイド

- Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド

- Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド

- Oracle Fusion Middleware Oracle Identity Navigator管理者ガイド

- Oracle Fusion Middleware Authorization Policy Manager管理者ガイド

表記規則

このドキュメントでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック体

イタリックは、ドキュメントのタイトル、強調またはユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

第I部

概要

この部では、Oracle Identity System Administrationインタフェースの概要について説明します。

次の章で構成されています。

- 第1章「Oracle Identity System Administrationインタフェース」

1 Oracle Identity System Administrationインタフェース

この章では、Oracle Identity Managerシステム管理コンソールにアクセスし、ログインする手順について説明します。この章では、Oracle Identity Managerシステム管理コンソールの概要を示します。

この章の内容は次のとおりです。

- Oracle Identity Managerシステム管理コンソールへのログイン

- Oracle Identity Managerシステム管理コンソールの概要

1.1 Oracle Identity Managerシステム管理コンソールへのログイン

Oracle Identity Managerシステム管理コンソールにログインするには:

1. Webブラウザを使用して次のURLにアクセスします。

http://HOSTNAME:PORT/sysadmin

このURLで、HOSTNAMEはアプリケーション・サーバーをホストするコンピュータの名前を表し、PORTはサーバーがリスニングしているポートを指します。

注意:

アプリケーション名sysadminでは大文字と小文字が区別されます。

2. Oracle Identity Managerシステム管理コンソールのログイン・ページが表示されたら、ユーザー名とパスワードを使用してログインします。

1.2 Oracle Identity Managerシステム管理コンソールの概要

Oracle Identity Managerシステム管理コンソールのインタフェースは、次の領域で構成されています。

- リンク

- 左右のペイン

図1-1に、サンプル・ページおよびインタフェースのレイアウトを示します。

図1-1 Oracle Identity System Administrationコンソールのレイアウト

「図1-1 Oracle Identity System Administrationコンソール」の説明

1.2.1 リンク

この領域は、インタフェースの右上の次のリンクで構成されています。

- アクセシビリティ

- サンドボックス

- ヘルプ

- サイン・アウト

1.2.1.1 アクセシビリティ

Oracle Identity Managerシステム管理コンソールのインタフェースは、リハビリテーション法508条およびW3C Webコンテンツ・アクセシビリティ・ガイドライン2.0 AA (WCAG 2.0 'AA")に準拠して設計されています。

ページの右上で「アクセシビリティ」リンクをクリックすると、「アクセシビリティ」ダイアログ・ボックスが表示されます。「アクセシビリティ」ダイアログ・ボックスから、次のいずれかのオプションを選択できます。

- スクリーン・リーダーを使用する
スクリーン・リーダーを使用する場合は、このオプションを選択します。

- 高コントラスト色を使用する
Oracle Identity Managerシステム管理コンソールで指定されているデフォルトの色スキームではなく、オペレーティング・システムで指定した高コントラスト色スキームを使用する場合は、このオプションを選択します。

- 大きいフォントを使用する
見やすさと読みやすさのためにフォント・サイズを変更する場合は、このオプションを選択します。

1.2.1.2 サンドボックス

サンドボックスは、メインラインの使用に影響を与えずにメタデータ・オブジェクトを変更できる領域を表します。つまり、サンドボックスは、ランタイム・ページ・カスタマイズの保存、他のユーザーへの公開、または破棄が行われるまで、そのカスタマイズのグループを保存しておく一時記憶領域です。

「サンドボックスの管理」ページで、サンドボックスの作成、削除、有効化、無効化および公開を行うことができます。詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

1.2.1.3 ヘルプ

Oracle Identity Managerシステム管理コンソールのインタフェースには、ヘルプ・システムが含まれています。「ヘルプ」リンクをクリックすると、新しいウィンドウにヘルプ・システムが開きます。また、このインタフェースには、コンテキスト依存のヘルプが用意されています。たとえば、「フォーム・デザイナ」ページで「ヘルプ」リンクをクリックすると、フォーム・デザイナに関連するヘルプ・コンテンツが表示されます。

図1-2に、サンプル・ページおよびヘルプ・インタフェースのデフォルト・レイアウトを示します。

図1-2 ヘルプ・インタフェースのレイアウト

「図1-2 ヘルプ・インタフェースのレイアウト」の説明

ヘルプ・システムのデフォルト・ビューは次の3つのペインで構成されています。

- 上部ペイン

- 左下のペイン

- 右下のペイン

1.2.1.3.1 上部ペイン

上部ペインは次のもので構成されています。

- 「ブック」ドロップダウン・リスト: このドロップダウン・リストから次のいずれかの値を選択できます。

- Oracle Identity Managerのヘルプ・トピック: この値を選択すると、Oracle Identity Managerのすべてのヘルプ・トピックが開きます。

- Oracle Identity Managerの管理者ガイド: この値を選択すると、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のオンライン・ヘルプ・バージョンが開きます。

- Oracle Identity Managerの開発者ガイド: この値を選択すると、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のオンライン・ヘルプ・バージョンが開きます。

- Oracle Identity Managerのユーザーズ・ガイド: この値を選択すると、『Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイド』のオンライン・ヘルプ・バージョンが開きます。

- Oracle Identity Managerのカスタム・ヘルプ・トピック: この値を選択すると、いずれかのカスタム・ヘルプ・トピックが開きます。

- 「検索」フィールド: ヘルプ・システムで検索する単語または用語を指定します。

- 表示: 「表示」メニューから、次のいずれかのオプションを選択できます。

- 読取りペインの最大化: 左下のペインを閉じて、読取りペイン(右下のペイン)を最大化します。

- デフォルトのウィンドウ・レイアウトの復元: ヘルプ・システムの現在のレイアウトをデフォルトのレイアウトに復元します。

- 目次: 「目次」リージョンがまだ表示されていない場合は、左下のペインを復元し、ヘルプ・トピックとともに表示します。

- 検索: 左下のペインに「検索」リージョンを表示します。「検索」リージョンではヘルプ・トピックを検索でき、検索結果が表形式で表示されます。次に、検索の実行に関するガイドラインを示します。

- 「検索」フィールドで指定する検索条件は、「大/小文字の区別」オプションを選択して大/小文字を区別できます。

- 検索を細かく定義するには、検索条件でブール演算子& (AND)、| (OR)、! (NOT)を指定し、「ブール式」オプションを選択して「検索」をクリックします。

- 検索条件で指定したすべての語を含むヘルプ・トピックを検索するには、「すべての語」を選択します。

- 検索条件で指定した語のいずれかを含むヘルプ・トピックを検索するには、「任意の語」を選択します。

- このトピック・ページの永続リンクの表示: 将来参照するためにヘルプ・トピックへのリンクを保存するには、「表示」メニューから「このトピック・ページの永続リンクの表示」を選択します。表示されるダイアログ・ボックスで、ヘルプ・トピックへのリンクを右クリックし、次のいずれかのオプションを選択します。

- このリンクをブックマーク: ブラウザのブックマークにヘルプ・トピックのURLを追加します。

- リンクの場所のコピー: ヘルプ・トピックのURLをクリップボードにコピーします。

- ツールバー: ヘルプ・システムには、特定のタスクのアクション・ボタンを提供するツールバーが含まれています。ボタンの上にマウス・ポインタを移動して、ボタンの名前を表示できます。次のボタンを使用できます。

- 1ページ戻る: 前のヘルプ・トピックを含むページに戻ります。

- 1ページ進む: このアイコンは、「1ページ戻る」アイコンをクリックした場合にのみ有効化されます。「1ページ進む」アイコンをクリックすると、参照したトピックの順序で次のページが表示されます。

- このトピック・ページの印刷: 現在のヘルプ・トピックを印刷します。

- このトピック・ページをEメールで送信: ヘルプ・システムで現在表示されているヘルプ・トピックへのリンクを含む電子メールの下書きを作成します。この下書きは任意の電子メール受信者に送信できます。

- このトピック・ページへのリンク: 表示されるダイアログ・ボックスでヘルプ・トピックへのリンクを右クリックして、将来参照するためにヘルプ・トピックへのリンクを保存し、次のいずれかのオプションを選択します。

- このリンクをブックマーク: ブラウザのブックマークにヘルプ・トピックのURLを追加します。

- リンクの場所のコピー: ヘルプ・トピックのURLをクリップボードにコピーします。

1.2.1.3.2 左下のペイン

左下のペインには、「目次」および「検索」リージョンが含まれています。デフォルトでは、「目次」リージョンが開いています。「目次」リージョンには、上部ペインの「ブック」ドロップダウン・リストから選択したオプションに応じて、ヘルプ・トピックへのリンクが表示されます。「目次」リージョンの横にある矢印をクリックして、「目次」リージョンを開いたり閉じたりできます。

1.2.1.3.3 右下のペイン

右下のペインには、左下のペインの「目次」および「検索」リージョンで検索した、または開いたヘルプ・トピックが表示されます。このペインは、読取りペイントも呼ばれます。

1.2.1.4 サイン・アウト

Oracle Identity System Administrationコンソールからログアウトするには、「サイン・アウト」をクリックします。

1.2.2 左右のペイン

Oracle Identity System Administrationコンソールは、2つのペインに分かれています。左ペインは、様々なタスクを実行できるリージョンへのリンクを含むセクションで構成されています。左ペインは主要ナビゲーション・ツールであり、システム管理コンソールのすべてのWebページに表示されます。左ペインでクリックするリンクに応じて、右ペインに対応する詳細が表示されます。

左ペインは次のリージョンで構成されています。

- イベント管理

- ポリシー

- 構成

- システム管理

- アップグレード

1.2.2.1 イベント管理

「イベント管理」リージョンには、「リコンシリエーション」ページが含まれています。「リコンシリエーション」ページを使用して、リコンシリエーション・イベントを作成および管理します。詳細は、「リコンシリエーション・イベントの管理」を参照してください。

1.2.2.2 ポリシー

「ポリシー」リージョンには次が含まれています。

- 承認ポリシー
このページを使用して、承認ポリシーを作成および管理します。承認ポリシーは、ワークフロー・サービスで定義された承認プロセスにリクエスト・タイプを関連付ける場合に役立ちます。

詳細は、「承認ポリシーの管理」を参照してください。

- アクセス・ポリシー
このページを使用して、アクセス・ポリシーを作成および管理します。アクセス・ポリシーでは、ユーザーへのターゲット・システムのプロビジョニングを自動化する方法を定義します。

詳細は、「アクセス・ポリシーの管理」を参照してください。

- アテステーション構成
このページを使用して、アテステーション・プロセスを作成、構成および管理し、アテステーション・ダッシュボードを使用します。

詳細は、「アテステーション・プロセスの管理」を参照してください。

- パスワード・ポリシー
このページを使用して、パスワード・ポリシーを作成および管理します。パスワード・ポリシー管理には、パスワード・ポリシー・ルールの設定、およびパスワード・ポリシーの作成、検索、削除が含まれます。

詳細は、「パスワード・ポリシーの管理」を参照してください。

1.2.2.3 構成

「構成」リージョンには次が含まれています。

- フォーム・デザイナ
このページを使用して、Oracle Identity Managerで事前定義されていないユーザー、ロール、カタログおよびリソースのタイプのフォームを作成および管理します。

詳細は、「フォームの管理」を参照してください。

- ITリソース
このページを使用して、ITリソースを作成および管理します。ITリソースは、ターゲット・システムに関する接続情報を格納するパラメータで構成されます。Oracle Identity Managerはこの情報を使用して、ターゲット・システムの特定のインストールまたはインスタンスに接続します。

詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のITリソースの管理に関する説明を参照してください。

- 汎用コネクタ
「汎用コネクタ」ページを使用して、汎用コネクタを作成および管理します。汎用コネクタは、拡張機能がない基本コネクタです。このコネクタでは、SPMLやJDBCなどの汎用接続テクノロジが使用されます。

- アプリケーション・インスタンス
このページを使用して、アプリケーション・インスタンスを作成および管理します。アプリケーション・インスタンスは、ITリソース・インスタンスとリソース・オブジェクトの組合せです。ユーザーは、ITリソース・インスタンスまたはリソース・オブジェクトではなく、アプリケーション・インスタンスに関連付けられたアカウントと権限を持ちます。

詳細は、「アプリケーション・インスタンスの管理」を参照してください。

- 参照
このページを使用して、参照定義を作成および管理します。詳細は、「参照の管理」を参照してください。

1.2.2.4 システム管理

「システム管理」リージョンには次が含まれています。

- スケジューラ
このページを使用して、スケジュール済ジョブを作成および管理します。スケジュール済ジョブは、Oracle Identity Managerで様々なアクティビティを管理するために指定された時間間隔で実行されるジョブです。

詳細は、「スケジューラの管理」を参照してください。

- 通知
このページを使用して、通知テンプレートを作成および管理します。通知テンプレートは、通知を送信するために使用されます。

詳細は、「通知サービスの管理」を参照してください。

- システム構成
このページを使用して、システム・プロパティを作成および管理します。システム・プロパティは、Oracle Identity Managerの動作を管理する特性を定義します。

詳細は、「システム・プロパティの管理」を参照してください。

- コネクタの管理
このページを使用して、Oracle Identity Manager環境の事前定義済コネクタの定義、インストール、クローニング、アップグレードおよびアンインストールを行います。事前定義済コネクタは、Microsoft Active DirectoryおよびPeopleSoft Enterprise Applicationsなどの、一般的に使用されているターゲット・システムにあわせて設計されています。

詳細は、「コネクタ・ライフサイクルの管理」を参照してください。

- インポート
このページを使用して、デプロイメント・マネージャでOracle Identity Manager構成をインポートします。

詳細は、「コネクタ・ライフサイクルの管理」を参照してください。

- エクスポート
このページを使用して、デプロイメント・マネージャでOracle Identity Manager構成をエクスポートします。

詳細は、「コネクタ・ライフサイクルの管理」を参照してください。

1.2.2.5 アップグレード

Oracle Identity Manager環境を11gリリース1(11.1.1.5)から11gリリース2(11.1.2)にアップグレードする場合、エンティティのカスタム属性(ユーザー、ロール、組織、アプリケーション・インスタンスなど)がバックエンドに存在します。ただし、これらの属性をOracle Identity Managerユーザー・インタフェースのフォーム・フィールドとして表示する場合、関連するページをインタフェースでカスタマイズして、カスタム・フォーム・フィールドを追加する必要があります。そのためには、アイデンティティ・システム管理コンソールの「アップグレード」リージョンにあるリンクを使用します。

「アップグレード」リージョンには次が含まれています。

- アップグレード・ユーザー・フォーム
このページを使用して、ユーザー・エンティティのカスタム・フォーム・フィールドを作成したり管理します。

- アップグレード・ロール・フォーム
このページを使用して、ロール・エンティティのカスタム・フォーム・フィールドを作成したり管理します。

- アップグレード組織フォーム
このページを使用して、組織エンティティのカスタム・フォーム・フィールドを作成したり管理します。

- アップグレード・アプリケーション・インスタンス
このページを使用して、アプリケーション・インスタンス・エンティティのカスタム・フォーム・フィールドを作成したり管理します。

Oracle Identity Manager 11gリリース1(11.1.1.5.0)環境からOracle Identity Manager 11gリリース2(11.1.2)にアップグレードする方法の詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementアップグレードおよび移行ガイド』を参照してください。

第II部

ポリシー管理

この部では、ポリシー管理機能を使用して、Oracle Identity Manager委任管理機能について説明します。

次の章で構成されます。

- 第2章「承認ポリシーの管理」

- 第3章「アクセス・ポリシーの管理」

- 第4章「パスワード・ポリシーの管理」

- 第5章「アテステーション・プロセスの管理」

2 承認ポリシーの管理

承認ポリシーはリクエスト管理の構成可能なエンティティで、リクエスト・レベルおよび操作レベルの承認のみに対してリクエスト・サービスで定義された承認プロセスに、各種リクエスト・タイプを関連付けるのに役立ちます。これは、リクエスト・タイプに対して、リクエスト・レベルまたは操作レベルで開始される承認ワークフローを関連付けます。承認ポリシーを使用して、SOAベース・ワークフローである様々な承認プロセスに各種リクエスト・タイプを関連付けることができます。承認ポリシーによって、リクエスト・データ評価に基づいてどの承認プロセスを起動するかが制御されます。

1つのリクエスト・タイプに対して複数の承認ポリシーを定義できます。各承認ポリシーは1つの承認プロセスに関連付けられます。承認開始フェーズでリクエストが送信されると、そのリクエスト・タイプに関連付けられたすべての承認プロセスが動的に取得されます。各承認ポリシーには、バックエンドに優先度が設定されます。各承認ポリシーでは、承認ポリシー優先度および承認ポリシー・ルールに基づいて、起動するプロセスを決定します。

承認ポリシー優先度は、次に基づいています。

- リクエスト・レベルの場合: リクエスト・タイプ + リクエスト・レベル

- 操作レベルの場合: リクエスト・タイプ + 操作レベル + スコープ(リクエストに関連付けられた特定のエンティティ)

リクエスト・エンジンは、承認ワークフローを開始するとき、そのリクエスト・タイプに対して使用可能なすべての承認ポリシーを優先度順に取得します。優先度の最も高い承認ポリシーが取得され、その承認ポリシー・ルールが評価されます。その評価が失敗すると、優先度が次に高い承認ポリシーの承認ポリシー・ルールが評価されます。評価の結果が「True」の場合は、承認ポリシーに関連付けられた対応する承認プロセスが、そのリクエストのワークフローとして選択されます。承認ポリシー・ルールの作成については、「承認ポリシーの作成」を参照してください。

注意:

1つの承認ポリシーに対して承認ポリシー・ルールは1つのみです。ルールは、複数の条件や他のルールが含まれて複雑になる可能性があります。ルールは独立したエンティティとして存在しないため、他の承認ポリシーで再利用できません。承認ポリシーに対するデフォルト・ルールはありません。

承認ポリシーの作成および変更では、アプリケーション・インスタンスのプロビジョニング、権限の付与、権限の失効などのリクエスト・タイプがサポートされます。さらに承認ポリシーでは、同一のリクエスト内で複数のエンティティがリクエストされる、異種リクエスト・タイプもサポートします。異種リクエスト・タイプの場合、リクエスト・レベルでのみ承認ポリシーを作成できます。操作レベルでは、適切なリクエスト・タイプは、エンティティ・タイプおよび子リクエストに関連付けられた操作に基づいて設定されます。異種リクエストの詳細は、『Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイド』の異種リクエストに関する説明を参照してください。

この章の項目は次のとおりです。

- 一般的なガイドライン

- 承認の選択方法

- 承認ポリシーの作成

- 承認ポリシーの検索

- 承認ポリシーの変更

- 承認ポリシーの優先度の変更

- 承認ポリシーの削除

2.1 一般的なガイドライン

承認ポリシーを使用するのではなく、SOAのOracle Business Rules(OBR)を利用することをお薦めします。ビジネス・ルールをSOAで使用する方法の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の承認および手動プロビジョニングのワークフローの開発に関する項を参照してください。

さらに、次のガイドラインに従ってください。

- すべての承認要件を見直し、フローのセットにまとめます。

- リクエストレベルの承認が必要かどうかを評価します。

- 運用コンポジットでは、付与、失効、変更などのリクエストのタイプに基づいてリクエストWebサービスを利用して、高いレベルの分割にします。その後できめ細かな分割にします。ここで再びリクエストWebサービスとデフォルト・ペイロードを利用して、意思決定ができます。また、OBRを使用することで簡単に使用したりメンテナンスするように評価を外部化できます。

- 1つ以上のヒューマン・タスクとデシジョン・ポイントを追加し、複数のヒューマン・タスク間で選択します。ヒューマン・タスクは実際の承認ワークフローを示します。

- 新しいコンポジットのみを最後のオプションとして作成します。

2.2 承認の選択方法

承認プロセスの選択方法とは、開始する承認ワークフローを選択するアルゴリズムです。リクエスト・エンジンは、リクエスト・タイプおよび承認レベルに基づいて、使用する方法を決定し、それに従って承認プロセスを評価します。

リクエスト・レベルで承認が定義されていない場合は、デフォルト承認プロセスが起動されます。デフォルト承認プロセスはOracle Identity Managerに付属しており、管理者に割り当てられます。操作レベルで承認が定義されていない場合は、デフォルト承認プロセスが起動されます。テンプレート・レベルの承認が定義されていない場合、そのレベルでの承認は不要とみなされます。

次の方法が使用されます。

- リクエスト・レベルの方法

- 操作レベルの方法: 組織ベースの選択

- 操作レベルの方法: ロール・ベースの選択

- 操作レベルの方法: アプリケーション・インスタンスベースの選択

2.2.1 リクエスト・レベルの方法

この方法は、すべてのリクエスト・タイプに対して、承認のリクエスト・レベルで使用されます。リクエスト・レベルの選択方法の決定アルゴリズムは次のとおりです。

1. リクエスト・レベル、およびリクエストが関連付けられたリクエスト・タイプに対して構成されているすべての承認ポリシーを、承認ポリシー優先度順(昇順)に検索します。この基準に一致する承認ポリシーが検出された場合は、次の処理が実行されます。

1. 各承認ポリシーに関連付けられた承認ポリシー・ルールを評価して、承認ワークフローを決定します。承認ポリシー・ルールを評価して、評価結果が「True」になった最初の承認ポリシー・ルールについて、その承認ポリシーに関連付けられた対応する承認ワークフローが選択されます。承認ポリシーで自動承認が指定されている場合、リクエスト・レベルの承認は自動的に承認されます。

2. 承認ポリシー・ルールを満たす承認ワークフローがない場合は、リクエスト・レベルで構成された承認ワークフローがないとみなされます。

2. 該当する承認ワークフローがない場合は、デフォルト・リクエスト・レベルの承認が選択されます。

2.2.2 操作レベルの方法: 組織ベースの選択

この方法は、ユーザー関連のすべてのリクエスト・タイプ(「ユーザーの作成」、「ユーザーの変更」、「ユーザーの無効化」、「ユーザーの有効化」、「ユーザーの削除」など)に対して、承認の操作レベルで使用されます。操作レベルでの組織ベースの選択方法の決定アルゴリズムは次のとおりです。

1. リクエストが作成される、ユーザーの組織エンティティを取得します。

2. 操作レベル、リクエストに関連付けられたリクエスト・タイプ、またはすべての組織に対して構成されているすべての承認ポリシーを、承認ポリシー優先度順(昇順)に検索します。この基準に一致する承認ポリシーが検出された場合は、次の処理が実行されます。

1. 各承認ポリシーに関連付けられた承認ポリシー・ルールを評価して、承認ワークフローを決定します。承認ポリシー・ルールを評価して、評価結果が「True」になった最初の承認ポリシー・ルールについて、その承認ポリシーに関連付けられた対応する承認ワークフローが選択されます。承認ポリシーで自動承認が指定されている場合、リクエストは操作レベルで自動的に承認されます。

2. 承認ポリシー・ルールを満たす承認ワークフローがない場合、この組織の操作レベルで構成された承認ワークフローはないとみなされます。

3. その組織エンティティに対して構成された承認ワークフローがない場合は、ルート・ノードまたはドメイン境界(組織階層のルート組織)まで組織階層を移動します。組織ノードごとにステップ2を繰り返します。

4. 該当する承認ワークフローがない場合は、デフォルト操作レベルの承認が選択されます。

2.2.3 操作レベルの方法: ロール・ベースの選択

この方法は、ロール関連のすべてのリクエスト・タイプに対して、承認の操作レベルで使用されます。操作レベルでのロール・ベースの選択方法の決定アルゴリズムは次のとおりです。

1. ユーザーに割り当てられるか、またはユーザーから削除されるロール・エンティティを取得します。

2. 操作レベル、リクエストに関連付けられたリクエスト・タイプ、または割り当てるか削除されるすべてのロールに対して構成されているすべての承認ポリシーを、承認ポリシー優先度順(昇順)に検索します。この基準に一致する承認ポリシーが検出された場合は、次の処理が実行されます。

1. 各承認ポリシーに関連付けられた承認ポリシー・ルールを評価して、承認ワークフローを決定します。承認ポリシー・ルールを評価して、評価結果が「True」になった最初の承認ポリシー・ルールについて、その承認ポリシーに関連付けられた対応する承認ワークフローが選択されます。承認ポリシーで自動承認が指定されている場合、リクエストは操作レベルで自動的に承認されます。

2. 承認ポリシー・ルールを満たす承認ワークフローがない場合、このロールの操作レベルで構成された承認ワークフローはないとみなされます。

3. 該当する承認ワークフローがない場合は、デフォルト操作レベルの承認が選択されます。

2.2.4 操作レベルの方法: アプリケーション・インスタンスベースの選択

また、この方法も権限関連リクエスト(プロビジョニング/失効)で使用されます。操作レベルでのアプリケーション・インスタンスベースの選択方法の決定アルゴリズムは次のとおりです。

1. リクエストに関連付けられたアプリケーション・インスタンス・エンティティを取得します。権限リクエストの場合にこの手順で、権限に関連付けられたアプリケーション・インスタンスが取得されます。

2. 操作レベル、リクエストに関連付けられたリクエスト・タイプ、またはリクエストに関連付けられたすべてのアプリケーション・インスタンスに対して構成されているすべての承認ポリシーを、承認ポリシー優先度順(昇順)に検索します。この基準に一致する承認ポリシーが検出された場合は、次の処理が実行されます。

1. 各承認ポリシーに関連付けられた承認ポリシー・ルールを評価して、承認ワークフローを決定します。承認ポリシー・ルールを評価して、評価結果が「True」になった最初の承認ポリシー・ルールについて、その承認ポリシーに関連付けられた対応する承認ワークフローが選択されます。承認ポリシーで自動承認が指定されている場合、リクエストは操作レベルで自動的に承認されます。

2. 承認ポリシー・ルールを満たす承認ワークフローがない場合、このアプリケーション・インスタンスの操作レベルで構成された承認ワークフローはないとみなされます。

3. 該当する承認ワークフローがない場合は、デフォルト操作レベルの承認が選択されます。

2.3 承認ポリシーの作成

承認ポリシーを作成する手順は、次のとおりです。

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「ポリシー」で、「承認ポリシー」をクリックします。Oracle Identity Manager拡張管理が新しいウィンドウに表示されます。

注意:

Oracle Identity Manager拡張管理がすでに開いている場合は、「ポリシー」タブをクリックし、「承認ポリシー」をクリックします。または、「ようこそ」ページで、「ポリシー」の下にある「承認ポリシーの検索」をクリックします。

3. 左ペインの「アクション」メニューから「作成」を選択します。または、ツールバーにあるプラス(+)記号が付いたアイコンをクリックして、承認ポリシーの作成ウィザードを開始することもできます。ステップ1.承認ポリシーの詳細の設定ページ(承認ポリシーの作成ウィザード)が表示されます。

4. 次のフィールドに値を入力し、「次」をクリックします。

- ポリシー名: 承認ポリシーの名前を入力します。これは必須属性です。

- 説明: この承認ポリシーの機能について説明を入力します。

- リクエスト・タイプ: LOVからリクエスト・タイプ(「ロールの割当て」など)を選択します。これは必須属性です。

注意:

次のリクエスト・タイプは非推奨になっており、LOVには表示されません。

- リソースのプロビジョニング

- リソースのプロビジョニング解除

- プロビジョニング済リソースの有効化

- プロビジョニング済リソースの無効化

- プロビジョニング済リソースの変更

- レベル: この承認ポリシーに対して実装する承認レベルを選択します。これは必須属性です。承認レベルの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の承認レベルに関する項を参照してください。

- スコープ・タイプ: 選択したリクエスト・タイプに基づいて自動的に設定されます。次に例を示します。

- リクエスト・タイプを「ユーザーの作成」に設定すると、「スコープ・タイプ」は「組織」に自動的に設定されます。

- リクエスト・タイプを「リソースのプロビジョニング」に設定すると、「スコープ・タイプ」は「リソース」に自動的に設定されます。

- リクエスト・タイプを「ロールの割当て」に設定すると、「スコープ・タイプ」は「ロール」に自動的に設定されます。

- アプリケーション・インスタンスや権限をプロビジョニングするようにリクエスト・タイプを設定すると、「スコープ・タイプ」は「アプリケーション・インスタンス」に自動的に設定されます。

注意:

「スコープ・タイプ」、「すべてのスコープ」および「スコープ」フィールドは、「レベル」フィールドを「操作レベル」に設定した場合のみ有効になります。「レベル」フィールドを「リクエスト・レベル」に設定した場合、これらのフィールドは無効になります。

- すべてのスコープ: このオプションを選択して、特定のエンティティ・タイプのすべてのエンティティに関連付ける承認ポリシーを指定します。たとえば、「ユーザーの作成」リクエスト・タイプの場合、「スコープ・タイプ」は「組織」です。「すべてのスコープ」を選択すると、この承認ポリシーはOracle Identity Managerのすべての組織に適用可能になります。これは、スコープが「リソース」および「ロール」の場合も同様です。

- スコープ: このオプションを選択して、特定のエンティティ・タイプの特定のエンティティに関連付ける承認ポリシーを指定します。承認ポリシーは、「スコープ・タイプ」に基づいて特定のスコープに関連付けることができます。
「スコープ」フィールドは、「すべてのスコープ」フィールドが設定されると無効になります。「すべてのスコープ」フィールドが設定されない場合、このフィールドは必須になり、値を設定する必要があります。

- 自動承認: このオプションを選択して、「レベル」フィールドでの選択に基づき、リクエスト・レベルまたは操作レベルでの自動承認を指定します。

- 承認プロセス: この承認ポリシーに関連付けるワークフローを選択します。このフィールドは、「自動承認」が選択されると無効になり、値を設定できません。「自動承認」が設定されない場合、このフィールドは必須になります。

5. ステップ2.承認ルールおよびコンポーネントの設定ページで、「ルール名」フィールドに承認ポリシー・ルールの名前(例: RuleTest1)を入力します。

6. 「ルール・コンポーネント」セクションで、承認ポリシー・ルールのパラメータを定義できます。これを行うには、「表示」リストの横にあるアイコンをクリックします。「単純ルールの追加」ダイアログ・ボックスが表示されます。このダイアログ・ボックスで、次のフィールドの値を選択し、「保存」をクリックします。

- エンティティ: 承認ポリシー・ルールが関連付けられるエンティティ(「リクエスタ」、「受益者」、「リソース」など)。これは、選択したリクエスト・タイプおよび承認レベルに基づいて決まります。

- 属性: 前述の選択したエンティティの属性。

注意:

- エンティティ属性がUDFの場合、UDFの名前が「属性」フィールドに表示されます。表示名を「属性」フィールドで表示可能にする場合、次の手順を実行します。

1. テキスト・エディタで、OIM_HOME/server/customResourcesディレクトリにあるcustomResources.propertiesファイルを開きます。

2. エントリを次の構文に追加します。

global.udf.<udf_column_name>=<unicoded_label_string>

このエントリで次のように置き換えます。

udf_column_nameをUDFの名前で置き換えます。

unicoded_label_stringをUDFの表示名で置き換えます。

たとえば、global.udf.usr_udf_jobcode=Job Codeのようになります。

3. ファイルを保存して閉じます。

- 単純ルール式を記述するとき、エンティティ属性にエンコード値がある場合は、参照コード定義ではなくエンコード値を使用して式が作成されます。たとえば、「アカウント・ステータス」属性の場合、デコード値の「ロック」または「ロック解除」ではなく、エンコード値の1または0を使用して式が作成されます。

- 条件: 承認ポリシー・ルールの条件(「次と等しい」、「次と等しくない」、「次で始まる」など)。

- 値: 条件の値。

注意:

ルール式で「ユーザー・ログイン」属性を使用する場合は、対応する「ユーザー・ログインID」の値をすべて大文字で入力する必要があり、そうしないと、式で「True」と評価されません。

- 親ルール・コンテナ: この承認ポリシー・ルールを関連付ける必要があるルール・コンテナ。

7. ルール・コンテナは、「AND」と「OR」を組み合せて複雑な条件をモデル化するために使用できます。承認ポリシー・ルールのルール・コンテナを追加するには、「ルール・コンポーネント」セクションで、「アクション」メニューから「ルール・コンテナの追加」を選択します。「ルール・コンテナの追加」ダイアログ・ボックスが表示されます。このダイアログ・ボックスで、次のフィールドの値を入力または選択し、「追加」をクリックします。

- ルール・コンテナ名: ルール・コンテナの名前。

- 親ルール・コンテナ: このルール・コンテナを作成するルール・コンテナの名前。ルール・コンテナには、別のルール・コンテナを含めたり、「AND」や「OR」演算子を使用してルール要素を階層的に順番に含めることができます。

- 演算子: 演算子は「AND」および「OR」です。

8. 承認ルールの作成の完了後に、「次」をクリックします。

9. ステップ3.承認ポリシー・サマリーの確認ページで、承認ポリシーに関して指定した情報を確認します。必要な場合は、「戻る」ボタンをクリックして情報を変更できます。「終了」をクリックして、承認ポリシーを作成します。

10. 承認ポリシーが作成されたことを確認するメッセージが表示されます。「OK」をクリックします。

2.4 承認ポリシーの検索

承認ポリシーを検索する手順は、次のとおりです。

1. Oracle Identity Manager拡張管理で、「承認ポリシー」タブの左ペインにある「検索」フィールドに、承認ポリシーを検索するための検索基準を入力します。アスタリスク(*)ワイルドカード文字を指定して、検索基準を指定できます。

注意:

承認ポリシーの単純検索および拡張検索では、翻訳された承認ポリシー名での検索はサポートされていません。Oracle Identity Managerでは、承認ポリシーについて英語の文字列検索のみサポートされています。デフォルトの承認ポリシーの場合は、データベースに格納されている英語のポリシー名で検索できます。ただし、別の言語でポリシー名を指定して承認ポリシーを作成した場合は、同じ文字列(その他の言語でなく)を使用してポリシーを検索できます。

2. 検索アイコンをクリックします。検索結果表に、次のフィールドを含む承認ポリシーのリストが表示されます。

- ポリシー名: 承認ポリシーの名前。

- リクエスト・タイプ: 承認ポリシーに関連付けられたリクエスト・タイプの名前。

注意:

この章で前述したように、次のリクエスト・タイプは非推奨です。

- リソースのプロビジョニング

- リソースのプロビジョニング解除

- プロビジョニング済リソースの有効化

- プロビジョニング済リソースの無効化

- プロビジョニング済リソースの変更

現在のリリースにアップグレードした場合、(非推奨リクエスト・タイプに基づいて)以前のリリースで作成された承認ポリシーの検索や変更を行うと、これらの非推奨リクエスト・タイプを表示できます。さらに、以前のリリースで作成された非推奨リクエスト・タイプに基づいてリクエストをOracle Identity Self Serviceのリクエストの追跡ページに表示できます。

- スコープ: 関連付けられたアプリケーション・インスタンス、組織またはロール名。スコープは、操作レベルのリクエストに関連付けられた承認ポリシーの場合のみ表示されます。

- レベル: 承認レベル。

- ルール名: 承認ポリシー・ルールの名前。

- 承認プロセス: 承認ポリシーに関連付けられた承認プロセス。

- 優先度: 承認ポリシーの優先度。

「承認ポリシー」タブの「拡張検索」オプションを使用して、拡張検索基準に基づいて承認ポリシーを検索することもできます。これを行うには、次のようにします。

1. 「承認ポリシー」タブの左ペインで、「拡張検索」をクリックします。「拡張検索: 承認ポリシー」ページが表示されます。

2. フィールドに値を入力して検索基準を指定します。検索基準を指定する際には、承認ポリシー名、承認ポリシーに関連付けられたリクエスト・タイプの名前、承認レベル、スコープ・タイプ(リソース、組織、ロールなど)およびスコープを組み合せて指定できます。

3. 「検索」をクリックします。検索結果に承認ポリシーのリストが表示され、優先度、ポリシー名、リクエスト・タイプ、スコープ、レベル、ルール名および承認プロセスの情報が表示されます。

2.5 承認ポリシーの変更

承認ポリシーを変更する手順は、次のとおりです。

1. 検索結果表で、ポリシーを選択します。

2. 「アクション」メニューから「開く」を選択します。「承認ポリシーの詳細」フォームが表示されます。

3. 「ポリシーの詳細」セクションで、フィールドを編集して承認ポリシーを変更します。

注意:

承認ポリシー・ルール名および承認ポリシー優先度属性は変更できません。

4. 必要に応じて、「承認ルール」セクションで承認ポリシー・ルールを変更します。承認ポリシー・ルールを変更するには、単純ルールの追加、ルール・コンテナの追加、ルール・コンポーネントの変更またはルール・コンポーネントの削除を行うことができます。承認ポリシー・ルールおよびルール・コンテナの追加方法の詳細は、「承認ポリシーの作成」のステップ5から7を参照してください。

5. ルール・コンポーネントを変更する手順は、次のとおりです。

1. 承認ポリシー・ルールを選択します。

2. 「アクション」メニューから「ルール・コンポーネントの変更」を選択します。「ルール・コンポーネントの変更」ダイアログ・ボックスが表示されます。

3. 表示されたフィールドの値を編集し、「適用」をクリックします。

6. ルール・コンポーネントを削除する手順は、次のとおりです。

1. 削除する承認ポリシー・ルールを選択します。

2. 「アクション」メニューから「ルール・コンポーネントの削除」を選択します。確認を求めるメッセージ・ボックスが表示されます。

3. 「はい」をクリックして削除を確認します。

7. 「保存」をクリックして、承認ポリシーに対する変更内容を保存します。

2.6 承認ポリシーの優先度の変更

承認ポリシーの優先度を変更する手順は、次のとおりです。

1. 承認ポリシーの検索結果から、優先度を変更するポリシーを選択します。

2. 「アクション」メニューから「優先度の設定」を選択します。承認ポリシー優先度の変更ウィザードが表示されます。

3. ポリシーの詳細の設定ページで、必須フィールドに値を指定します。このページのフィールドについては、「承認ポリシーの作成」のステップ4を参照してください。次に、「次」をクリックします。

4. ポリシー優先度の設定ページで、承認ポリシーの優先度を指定する数値を入力します。次に、「次」をクリックします。

5. 確認および確定ページに、設定したポリシー名と優先度が確認のために表示されます。現在の優先度を変更する場合は、「戻る」をクリックします。
それ以外の場合は、「終了」をクリックします。承認ポリシー優先度が正常に変更されたことを示すメッセージが表示されます。

6. 「OK」をクリックします。

注意:

Oracle Identity Managerでは検証が実行されないため、同じ優先度を複数の承認ポリシーに設定することが可能です。同じ優先度を複数の承認ポリシーに設定することはお薦めしません。

2.7 承認ポリシーの削除

承認ポリシーを削除する手順は、次のとおりです。

1. 承認ポリシーの検索結果から、削除する承認ポリシーを選択します。

2. 「アクション」メニューから「削除」を選択します。確認を求めるメッセージ・ボックスが表示されます。

3. 「はい」をクリックして削除を確認します。

3 アクセス・ポリシーの管理

アクセス・ポリシーとは、プロビジョニングまたはプロビジョニング解除されるリソースとロールのリストです。アクセス・ポリシーは、ユーザーへのターゲット・システムのプロビジョニングを自動化するために使用されます。これについて次の例を使用して説明します。Oracle Identity Managerで作成された複数のロールに属するユーザーがいるとします。ロールRole1には、メンバーシップ・ルールが割り当てられているとします。メンバーシップ・ルールは、"Organization Name = "Org1"など、ユーザーが属している組織に基づいて設計できます。ロールにはアクセス・ポリシーを割り当てることができます。アクセス・ポリシーでは、アクセス・ポリシーの適用時に、ロールに対してプロビジョニングまたは拒否(あるいはその両方)されるリソースが示されます。この結果、ユーザーがOrg1組織に作成された場合は、メンバーシップ・ルールが満たされ、Role1ロールがユーザーに付与されます。次に、ロールに割り当てられているアクセス・ポリシーがトリガーされ、アクセス・ポリシーに記述されているリソースがプロビジョニングまたは拒否されます。

この章では、Oracle Identity Managerでユーザーおよびリソースに対してアクセス・ポリシーを作成、使用する方法について説明します。次の項で構成されます。

- アクセス・ポリシーで使用される用語

- アクセス・ポリシーの機能

- アクセス・ポリシーの作成

- アクセス・ポリシーの管理

- アクセス・ポリシーを介した同じリソースの複数インスタンスのプロビジョニング

3.1 アクセス・ポリシーで使用される用語

次に、アクセス・ポリシーに関連する用語を示します。

リソース

リソースは、Oracle Identity Managerのユーザーまたは組織にプロビジョニングできる、Oracle Identity Managerの論理エンティティです。たとえば、Microsoft Active Directory (AD)、Microsoft Exchange、SAP、UNIXおよびデータベースは、Oracle Identity Managerのリソースとしてモデル化されます。

リソースは、テンプレート化された定義であり、Oracle Identity Managerでプロビジョニング・プロセスと呼ばれる1つ以上のワークフローに関連付けられ、このワークフローによって、プロビジョニング、失効、有効化、無効化方法などのライフサイクル管理がモデル化されます。

リソースには、フォームと呼ばれるエンティティも関連付けられます。フォームは、リソースに関連付けられる属性の集合を表します。たとえば、ADサーバーに関連付けられるフォームには、「SAMアカウント名」、「共通名」および「ユーザー・プリンシパル名」などの属性が含まれています。フォームには、タイプ「ITリソース」の属性も含まれています(詳細は「ITリソース・タイプ」を参照)。

リソースには「複数を許可」のマークを付けることができ、これによって、ユーザーまたは組織にリソースの複数インスタンスをプロビジョニングできるようになります。

アカウント

アカウントは、Oracle Identity Managerで作成され、ユーザーまたは組織にプロビジョニングされるリソースの実際のインスタンスです。たとえば、Exchangeサーバー上の電子メール・アカウントは、リソース・タイプExchangeのアカウント(インスタンス)です。

アカウントには、関連フォームの属性に対して特定の値があります。

ITリソース・タイプ

ITリソース・タイプは、物理ターゲットとそのすべての属性のモデル化に使用されるOracle Identity Managerの論理エンティティであり、属性には、物理コンピュータへの接続に必要な接続情報や資格証明などがあります。たとえば、ITリソース・タイプ「ADサーバー」は、実際のADサーバーをモデル化するために使用されます。

ITリソース・インスタンス

これらは、実際の物理ターゲットを表す、特定のITリソース・タイプの実際のインスタンスです。これらには、IPアドレス、ポート、ユーザー名、パスワードなど、物理ターゲットのすべての属性に対する特定の値もあります。デプロイメント内の2つの物理ADサーバーは、ITリソース・タイプ「ADサーバー」の2つのインスタンスで表されます。

アカウント識別子

アカウント識別子は、アカウントが作成される論理エンティティを一意に識別する、フォーム上の属性の集合です。この用語は、大まかにターゲットと呼ばれる場合があります。たとえば、ADサーバーの場合、アカウント識別子は、「ADサーバー」(タイプ「ITリソース」の属性)と「組織名」の組合せにできます。

通常、アカウント識別子は、タイプ「ITリソース」の属性です。

属性にアカウント識別子のマークを付けるには、「フォーム」フィールドのアカウント識別子プロパティを「True」に設定します。

3.2 アクセス・ポリシーの機能

ここでは、ポリシー・エンジンによって提供される様々な機能について次の各項で説明します。

- プロビジョニング・オプション

- ポリシーの失効または無効化

- リソースの拒否

- ポリシーの評価

- アクセス・ポリシーの優先度

- アクセス・ポリシー・データ

- アカウント識別子の使用によるアクセス・ポリシーを介した同じリソースの複数インスタンスのプロビジョニング

3.2.1 プロビジョニング・オプション

アクセス・ポリシーが適用されるたびに、次のいずれかの方法でリソースのプロビジョニングが発生します。

- リソースは、リクエストが生成されることなく、ユーザーに直接プロビジョニングされます。

- リクエストが作成され、リソースのプロビジョニングはリクエスト承認を必要とします。

システム管理コンソールを使用して、アクセス・ポリシーをリクエスト承認ありで作成するか、リクエスト承認なしで作成するかを指定できます。

リクエストを使用するアクセス・ポリシーの場合

- アクセス・ポリシーのデフォルト・プロセス・フォームがサポートされています。つまり、アクセス・ポリシーの作成時にデフォルト・プロセス・フォームに入力されたデータが、リクエスト・データセットの移入に使用されます。

- リクエスト・データセットの必須フィールドは、次のいずれかで移入する必要があります。

- アクセス・ポリシー定義時のアクセス・ポリシーのプロセス・フォーム・デフォルト: これは、対応するリクエスト・データセットの移入にプロセス・フォームのアクセス・ポリシー・デフォルトが使用されるためです。

- リクエスト・データセットに対して定義された事前移入アダプタ。

- リクエスト・データセットのデフォルト・データ。

- アクセス・ポリシー・ベースのリクエストは、リクエスト・データベースのすべての必須フィールドが、プロセス・フォームのデフォルト、事前移入アダプタまたはリクエスト・データセットのデフォルト・データのいずれかによって移入されない場合は、作成されません。

- 特定のリソースに対してあるユーザーのリクエストがすでに作成されていて、次のいずれかのステータスではない場合、同じユーザーとリソースの組合せに対する新しいリクエストは作成されません。

- リクエストがクローズされました

- リクエストが完了しました

- リクエストが取り消されました

- リクエストに失敗しました

- テンプレート承認が却下されました

- リクエスト承認が却下されました

- 操作承認が却下されました

3.2.2 ポリシーの失効または無効化

Oracle Identity Managerのアクセス・ポリシーは、サブロールには適用されません。ポリシーは、そのアクセス・ポリシーに定義されているロールの直下のメンバーシップ・ユーザー(サブロールのメンバーではないユーザー)にのみ適用されます。ポリシーが適用されなくなった場合に、そのポリシー内のリソースを失効または無効化するかどうかを指定する必要があります。ユーザーにポリシーが適用されなくなると、選択した内容に従って、リソースがそのユーザーに対して自動的に失効されるか、無効化されます。

Oracle Identity Managerの以前のリリースでは、アカウントとその権限を失効させるには、ポリシー定義で「適用しなくなった場合は失効」オプションを選択する必要がありました。「適用しなくなった場合は失効」オプションの選択を解除したままにした場合は、ポリシーによってプロビジョニングされたアカウントに対して何のアクションも実行されませんでした。このリリース以上では、ポリシーが適用されなくなった場合に、アカウントと権限を失効または無効化できるようになりました。また、オプションの選択を解除したままにしておくことはできなくなりました。

アクセス・ポリシーに関連付けられているリソースごとに、次のいずれかのオプションを選択する必要があります。

- 適用しなくなった場合は失効: このオプションを選択すると、アクセス・ポリシーが適用されなくなった場合に、そのアクセス・ポリシーに関連付けられているアカウントと権限が失効されます。

- 適用しなくなった場合は無効化: このオプションを選択すると、アクセス・ポリシーが適用されなくなった場合に、そのアクセス・ポリシーに関連付けられているアカウントと権限が無効化されます。

「適用しなくなった場合は失効」オプションまたは「適用しなくなった場合は無効化」オプションが有効になっているポリシーが適用されなくなった場合、権限は必ず失効されます。「適用しなくなった場合は無効化」オプションが有効になっているポリシーが適用されなくなった場合、権限はロールの付与に伴って付与されるものであるため、リソースに関連付けられている権限が失効されます。そのロールが再度付与されると、権限がリソース・インスタンスに追加されます。

注意:

Oracle Identity Manager 11g リリース2 (11.1.2)のアップグレード時に、「適用しなくなった場合は失効」オプションの選択が解除されていたポリシーは、「適用しなくなった場合は無効化」に変換されます。これらのポリシーに関連付けられているユーザーは更新されませんが、これ以降にポリシーを更新すると、それらのユーザーに「適用しなくなった場合は無効化」フラグが付けられます。

3.2.3 リソースの拒否

アクセス・ポリシーの作成中には、ロールに対してプロビジョニングするリソースに加え、拒否するリソースを選択できます。プロビジョニングするリソースとして一旦選択したリソースを、後で拒否するリソースとして選択すると、そのリソースはOracle Identity Managerによりプロビジョニングするリソースのリストから削除されます。1つのロールに2つのポリシーが定義されており、一方のポリシーではプロビジョニングするように指定されているリソースが、もう一方のポリシーでは拒否するように指定されている場合、2つのポリシーの優先度に関係なく、Oracle Identity Managerではそのリソースはプロビジョニングされません。

注意:

アクセス・ポリシーによって拒否されたリソースは、別のポリシーによってプロビジョニングされても、常に拒否されます。リソースの拒否は、アクセス・ポリシーの優先度とは関係ありません。優先度の低いアクセス・ポリシーによってリソースが拒否された場合でも、より優先度の高いアクセス・ポリシーより優先されます。

3.2.4 ポリシーの評価

Oracle Identity Managerでは、ユーザー・ポリシーの評価スケジュール済ジョブの実行中にアクセス・ポリシーが評価されます。このタスクはデフォルトで有効になっており、10分ごとに実行されるようスケジュールされています。ユーザー・ポリシーの評価スケジュール済タスクの詳細は、「事前定義済のスケジュール済タスク」を参照してください。

次のようなシナリオでアクセス・ポリシーを評価できます。

- ユーザーがロールに追加、またはロールから削除された場合
そのユーザーに対するポリシーは、追加または削除の操作の一部として評価されます。

- ポリシーに更新フラグが設定されている場合
評価は次のようなシナリオで行われます。

- 更新フラグがONに設定されるように、ポリシーの定義が更新された場合。ポリシーの評価は、該当するすべてのユーザーに対して行われます。

- ロールがポリシーの定義に追加、またはポリシーの定義から削除された場合。ポリシーの評価は、追加または削除されたロールに対してのみ行われます。

注意:

11gリリース2(11.1.2)では、ロールがユーザーに適用された後、ユーザー・ポリシーの評価スケジュール済ジョブを実行して、アクセス・ポリシーを適用可能にする必要があります。

- リソースが追加または削除されたか、リソースに対する「適用しなくなった場合は失効」または「適用しなくなった場合は無効化」オプションが変更された場合。
「適用しなくなった場合は失効」と「適用しなくなった場合は無効化」オプションをもう一方に変更した場合、既存のリソース・インタンスはすぐには再評価されません。このポリシーの変更は、次にユーザー・ポリシーの評価スケジュール済タスクによってポリシーが評価されるまで有効になりません。

- ポリシー・データが更新または削除された場合。これには、親と子の両方のフォーム・データが含まれます。ポリシーの評価は、該当するすべてのユーザーに対して行われます。

3.2.5 アクセス・ポリシーの優先度

ポリシー優先度は、作成する各アクセス・ポリシーに対する一意の数値を含む数値フィールドです。数値が小さいほどアクセス・ポリシーの優先度が高くなります。たとえば、優先度に1を指定すると、ポリシーの優先度が最も高いことを意味します。Oracle Identity System Administrationを使用してアクセス・ポリシーを定義する場合は、現行の最低優先度の値に必ず値1が加算され、結果の値が「優先度」フィールドに自動的に移入されます。この値を別の数値に変更すると、他のすべてのアクセス・ポリシーの優先度が再調整され、優先度の一貫性が保証されます。優先度値には次のアクションが関連付けられています。

- 入力された優先度値が1より小さい場合、その値はOracle Identity Managerにより1(最も高い優先度)に変更されます。

- 入力された優先度値がMより大きい場合(Mは現在最も低い優先度)、その値はOracle Identity ManagerによりM+1以下として指定されます。

- 2つのアクセス・ポリシーに同じ優先度値は指定できません。そのため、あるアクセス・ポリシーに既存の優先度値を割り当てた場合、それより優先度が低いポリシーはすべて、優先度が1つずつ下がることになります。

複数のアクセス・ポリシーが同じユーザーに適用されていると、競合が発生する場合があります。アクセス・ポリシーを介してユーザーにプロビジョニングされるリソースのインスタンスは1つであるため、Oracle Identity Managerでは最も優先度が高いポリシー・データが親フォームに使用されます。子フォームには、該当するポリシーすべての累積レコードが使用されます。

同じリソースに対して複数のアクセス・ポリシーが作成されたが、異なる権限セットが付与されており、ポリシーが適用されなくなったときの動作が異なる場合は、アクセス・ポリシーの優先度とは関係なく、「適用しなくなった場合は無効化」(DLNA)オプションが有効になっているアクセス・ポリシーの優先度が最も高くなります。たとえば、「適用しなくなった場合は失効」(RLNA)オプションが有効になっているアクセス・ポリシーとDLNAオプションが有効になっている別のポリシーがある場合、DLNAオプションが有効になっているポリシーの優先度の方が高くなります。ポリシーが適用された順序とは関係なく、DLNAオプションが有効になっているポリシーがユーザーに適用されているかぎり、ポリシーが適用されなくなった場合にそのアカウントは必ず無効化されます。

「適用しなくなった場合は無効化」のポリシーがその後「適用しなくなった場合は失効」に変換された場合、ポリシーに関連付けられる既存アカウントはRLNAに更新されません。将来作成されるアカウントにのみ、変更内容は有効になります。

RLNAのポリシーが後でDLNAに変換された場合、失効されているアカウントは影響を受けません。この変更は、このポリシーに現在関連付けられているアカウントまたはこれ以降に作成されるアカウントのみに対してのみ有効です。

3.2.6 アクセス・ポリシー・データ

プロビジョニング時のリソースにプロセス・フォーム・データが提供される場合、複数の方法があります。Oracle Identity Managerに組み込まれた優先度の順序は次のとおりです。

1. フォームの定義によるデフォルト値

2. 組織のデフォルト

3. データセットからプロセス・フォームへのデータ・フローで取得された値

4. 事前移入アダプタ

5. アクセス・ポリシー・データ(ポリシーに基づいてリソースがプロビジョニングされる場合)

6. プロセス・タスクまたはエンティティ・アダプタにより更新されたデータ

指定したオプションが使用可能な場合、それ以外の使用頻度の低いオプションは無視されます。たとえば、オプション4が使用可能な場合は、オプション3、2および1は無視されます。

3.2.7 アカウント識別子の使用によるアクセス・ポリシーを介した同じリソースの複数インスタンスのプロビジョニング

以前のリリースのOracle Identity Managerでは、アクセス・ポリシーはリソース・オブジェクトに対する単一アカウントの管理にのみ使用できます。つまり、リソースをすでにユーザーにプロビジョニングしている(アカウントがターゲット・システムに作成されている)場合に、同じリソースの別のインスタンスをアクセス・ポリシーを介して同じユーザーにプロビジョニングする場合、これは以前のリリースのOracle Identity Managerでは実行できません。リソースの複数インスタンスをユーザーにプロビジョニングする機能を実行するには、Oracle Identity Manager 11g リリース2 (11.1.2)でアクセス・ポリシーを拡張する前に、Oracle Identity Managerでターゲット・システムを表すコネクタをクローンする必要があります。コネクタのクローニングは、クローンされたリソースのテスト/メンテナンス用に多数の作業を必要とする、エラーが発生しやすい処理でした。Oracle Identity Manager 11g リリース2 (11.1.2)におけるリソースの複数インスタンスのプロビジョニングに対して行われたアクセス・ポリシー拡張によって、コネクタのクローニングに要する時間と作業が節約されます。

UNIXサーバー、Active Directory(AD)サーバー、データベース、SAPまたはJD Edwardsなどのターゲット・システムは、Oracle Identity Managerでユーザーにプロビジョニングする必要がある、Oracle Identity Managerの外部システムです。ターゲット・システムは、Oracle Identity Managerでリソースと呼ばれるエンティティで表されます。ターゲット・システムがインストールされているサーバーは、Oracle Identity ManagerではITリソースで表されます。また、このターゲット・システムにアクセスするユーザーに提供されるログイン資格証明は、Oracle Identity Managerではアカウントで表されます。ユーザーは、単一のターゲット・システム上で複数のアカウントを使用できます。たとえば、1つのアカウントをサービス(管理)アカウント用、もう1つを標準アカウント用にできます。したがって、単一のターゲット・システムで同じユーザーに対して2つのアカウントが必要です。さらに、複数のUNIXサーバー、データベース・サーバー、ADサーバーなど、ターゲット・システムに別々のインスタンスを設定することが可能です。この結果、同じユーザーに対して、ターゲット・システムの各インスタンスにアカウントを作成する必要があります。実装の詳細は、「単一ターゲット・システムにおける同じユーザーおよび同じリソースに対する個別アカウントの作成」を参照してください。

Oracle Identity Manager 11g リリース2 (11.1.2)では、アクセス・ポリシーによって、同じターゲット・システム内における複数アカウントのプロビジョニング、および同じターゲット・システムの複数インスタンスにおける単一アカウントのプロビジョニングが可能です。アクセス・ポリシーの評価時およびユーザーへのリソースのプロビジョニング時に、Oracle Identity Managerによって、リソースがユーザーにすでにプロビジョニングされているかどうかがチェックされます。これは、ユーザーにプロビジョニングされたリソースのリソース・キー(OBJ_KEY)をチェックして判断されます。アクセス・ポリシーを介して複数インスタンスをプロビジョニングするには、同じリソースの複数インスタンスを識別するために、OBJ_KEYに加えて、アカウント識別子と呼ばれる別の基準が必要です。したがって、アクセス・ポリシーでは、リソース・キーとアカウント識別子がチェックされ、リソースがプロビジョニングされているかどうかが判定されます。

アカウント識別子は、同じユーザーの2つのアカウントを識別する、プロセス・フォーム上のフィールド(アカウント・データ)であり、同じターゲット・システム上または異なるターゲット・システム上に存在できます。次に例を示します。

- ユーザーJane.Doeに、2つの異なるUNIXサーバー上の2つのアカウントがプロビジョニングされている場合は、ITリソースをアカウント識別子として使用できます。

- ユーザーJohn.Doeに、同じデータベース・インスタンス上の2つのアカウントがプロビジョニングされている場合は、異なるログインIDをアカウント識別子として使用できます。

アクセス・ポリシー評価のために、プロビジョニングする必要があるリソースが複数ある場合は、単一のバルク・リクエストが作成されます。バルク・リクエストには、単一のリクエスト・レベルの承認が必要ですが、承認者が各リクエストを操作レベルで個別に承認できる複数の操作レベルの承認も必要です。

関連項目:

- 様々なレベルのリクエスト承認の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の承認レベルに関する項を参照してください。

- 複数のターゲット・システムからデータをプロビジョニングする手順は、「アクセス・ポリシーを介した同じリソースの複数インスタンスのプロビジョニング」を参照してください。

3.3 アクセス・ポリシーの作成

アクセス・ポリシー・ウィザードを使用して、ポリシーに定義されているロールがあるユーザーに、リソースをプロビジョニングするためのアクセス・ポリシーを定義できます。

アクセス・ポリシーを作成するには、次の手順を実行します。

1. Oracle Identity System Administrationにログインして、拡張管理にアクセスします。

2. 「アクセス・ポリシーの作成」ページを開くには、「ポリシー」の下にある「アクセス・ポリシーの作成」をクリックします。

3. アクセス・ポリシー名や説明など、アスタリスク(*)で示されている必須フィールドに情報を入力します。

注意:

次の特殊文字はアクセス・ポリシー名で使用できません。

セミコロン(;)

ハッシュ(#)

パーセンテージ(%)

等しい(=)

バー(|)

プラス(+)

カンマ(,)

スラッシュ(/)

円記号(¥)

一重引用符(')

二重引用符(")

小なり記号(<)

大なり記号(>)

4. 「プロビジョニング」フィールドで、次のいずれかのオプションを選択します。

- 承認なし: このオプションを選択すると、リクエスト承認なしのアクセス・ポリシーが作成されます。リソースは、リクエストが生成されることなく、ユーザーに直接プロビジョニングされます。

- 承認あり: このオプションを選択すると、リクエスト承認ありのアクセス・ポリシーが作成されます。アクセス・ポリシーが適用可能になると、リクエストが作成され、リソースのプロビジョニングはリクエスト承認を必要とします。

5. アクセス・ポリシーの作成時に更新するようにするには、「アクセス・ポリシーの更新」を選択します。

注意:

「アクセス・ポリシーの更新」を選択した場合、ユーザー・ポリシーの評価ジョブの実行後に、アクセス・ポリシーは、この手順のステップ13で選択するすべての既存ロールに適用されます。

このオプションを選択しない場合、既存のロール・メンバーシップは考慮されません。

6. 「続行」をクリックします。
「アクセス・ポリシーの作成 - ステップ2: リソースの選択(プロビジョニング)」ページが表示されます。

7. このアクセス・ポリシーに対してプロビジョニングするリソースを指定します。
フィルタ検索のメニューを使用してリソースを検索します。

- 結果表からリソース名を選択して、「追加」をクリックします。

- プロビジョニングする目的のリソースの名前が「選択済」リストに表示されます。リソースを拒否するだけのアクセス・ポリシーを作成する場合は、リソースを選択しないで「続行」をクリックします。

- 選択されているリソースの割当てを解除するには、「選択済」リストでリソースを選択し、「削除」をクリックします。

8. 「続行」をクリックします。
このリソースに関連付けられたフォームがある場合は、後続のページに必須フィールドが表示されます。それ以外の場合は、「アクセス・ポリシーの作成 - ステップ2: 失効または無効化するリソースの選択」ページが表示されます。

注意:

パスワードおよび暗号化された属性に対しては、ポリシーのデフォルトを指定しないことをお薦めします。

9. ページにリストされているリソースごとに、次のいずれかのオプションを選択します。

- 適用しなくなった場合は失効: このオプションを選択すると、アクセス・ポリシーが適用されなくなった場合に、そのアクセス・ポリシーに関連付けられているアカウントと権限が失効されます。

- 適用しなくなった場合は無効化: このオプションを選択すると、アクセス・ポリシーが適用されなくなった場合に、そのアクセス・ポリシーに関連付けられているアカウントと権限が無効化されます。

アクセス・ポリシーが適用されなくなった場合にアカウントおよび権限を失効または無効化することの詳細は、「ポリシーの失効または無効化」および「ポリシーの評価」を参照してください。

10. 「続行」をクリックします。
「アクセス・ポリシーの作成 - ステップ3: リソースの選択(拒否)」ページが表示されます。

11. このページを使用して、このアクセス・ポリシーにより拒否されるリソースを選択します。
拒否されるリソースを選択するには、次の手順を実行します。

1. 結果表からリソースを選択します。

2. 「選択済」リストにリソースを移動するには、「追加」をクリックします。
プロビジョニングするリソースを選択しなかった場合は、拒否するリソースを少なくとも1つ選択する必要があります。プロビジョニングするものと同じリソースを拒否対象に選択すると、プロビジョニングするリソースとしての割当ては解除されます。

同様に、ステップaで、すでに拒否するように選択したものと同じリソースをプロビジョニング対象に割り当てると、拒否対象に選択されたリソースから自動的に削除されます。拒否対象として選択済のリソースを削除できます。これは、「選択済」リストから削除するリソースを選択し、「削除」をクリックして実行します。

3. 「続行」をクリックします。

「アクセス・ポリシーの作成 - ステップ4: ロールの選択」ページが表示されます。

12. 「アクセス・ポリシーの作成 - ステップ4: グループの選択」ページを使用して、グループをアクセス・ポリシーに関連付けます。

13. ロールをこのアクセス・ポリシーに関連付ける方法は、次のとおりです。

- 結果表からロールを選択して、「追加」をクリックします。少なくとも1つのロールを選択する必要があります。選択したロールの名前が、「選択済」リストに表示されます。

- ロール名を削除するには、「削除」をクリックします。

14. 「続行」をクリックします。
「アクセス・ポリシーの作成 - ステップ5: アクセス・ポリシー情報の検証」ページが表示されます。

15. この手順のこれより前のステップで選択した内容を変更する場合は、「変更」をクリックして、ウィザードの対応するページに移動します。必要な変更が終了したら、「続行」をクリックして、「ステップ5: アクセス・ポリシー情報の検証」ページに戻ります。

16. 「アクセス・ポリシーの作成」をクリックして、アクセス・ポリシーを作成します。

注意:

プロセス・フォームに「パスワード」フィールドが含まれているリソースにアクセス・ポリシーを作成した場合、パスワード・ポリシーは評価されません。パスワード・ポリシーの詳細は、Oracle Fusion Middleware Oracle Identity Manager管理者ガイドを参照してください。

3.4 アクセス・ポリシーの管理

Oracle Identity System Administrationを使用すると、既存のアクセス・ポリシーの情報を変更できます。

アクセス・ポリシーを管理するには、次の手順を実行します。

1. 拡張管理の「ポリシー」メニューで「アクセス・ポリシーの管理」をクリックします。
「アクセス・ポリシーの管理」ページが表示されます。

検索基準フィールドのメニューを使用して、アクセス・ポリシー属性を選択します。アスタリスク(*)ワイルドカード文字を使用すると、選択した属性に任意の値を持つすべてのアクセス・ポリシー・インスタンスを検索できます。「アクセス・ポリシーの検索」をクリックします。

「アクセス・ポリシーの管理」ページに検索結果が表示されます。

2. 目的のアクセス・ポリシーの詳細を表示するには、「アクセス・ポリシー名」をクリックします。
「アクセス・ポリシー詳細」ページが表示されます。

このアクセス・ポリシーを変更するには、各選択カテゴリの末尾にある「変更」リンクを使用します。

注意:

アクセス・ポリシーの変更の一環として、「適用しなくなった場合は失効」および「適用しなくなった場合は無効化」オプションを変更できます。アクセス・ポリシーでこれらのオプションを変更した場合の影響の詳細は、「ポリシーの失効または無効化」および「ポリシーの評価」を参照してください。

3. 必要な変更が終了したら、「アクセス・ポリシーの更新」をクリックします。
このアクセス・ポリシーが更新され、更新された情報が「アクセス・ポリシー詳細」ページに表示されます。

3.5 アクセス・ポリシーを介した同じリソースの複数インスタンスのプロビジョニング

アカウント識別子の使用によるアクセス・ポリシーを介した同じリソースの複数インスタンスのプロビジョニングの内容は、次のとおりです。

- 単一ターゲット・システムにおける同じユーザーおよび同じリソースに対する個別アカウントの作成

- 複数アカウント・プロビジョニングの有効化

- 複数ターゲット・システムへのリソースの複数インスタンスのプロビジョニング

- アクセス・ポリシーを介したリソースの複数インスタンスのプロビジョニングの制限

3.5.1 単一ターゲット・システムにおける同じユーザーおよび同じリソースに対する個別アカウントの作成

アクセス・ポリシーを介して、単一ターゲット・システム上に同じユーザーおよび同じリソースに対する2つの異なるアカウントを作成できます。たとえば、単一のADインスタンス上に、ユーザー・アカウントとサービス・アカウントの2つのアカウントを作成する必要があるとします。Active Directoryターゲット・システムは、Oracle Identity ManagerではADユーザー・リソースで表されます。これは、次の方法で実装されます。

1. ADユーザー・リソースを作成します。

2. JohnDなどのユーザーを作成します。

3. プロセス・フォームで、UD_ADUSERとUD_ADUSER_UIDに識別子フィールドのマークを付けて、2つの異なるアカウントに別々のログインIDが設定されるようにします。

4. 2つのアクセス・ポリシーを次のように作成します。

- 標準アカウント用
アクセス・ポリシー名: AP1

関連付けられるロール: Role1

プロビジョニングするリソース: ADユーザー

識別子フィールドを設定するプロセス・フォーム: ユーザーID(UD_ADUSER_UID)

アクセス・ポリシーのデフォルト値: Account1

- サービス・アカウント用
アクセス・ポリシー名: AP2

関連付けられるロール: Role2

プロビジョニングするリソース: ADユーザー

識別子フィールドを設定するプロセス・フォーム: ユーザーID(UD_ADUSER_UID)

アクセス・ポリシーのデフォルト値: Account2

注意:

「ユーザーID」に対する値を生成するためにデータセットと関連付ける事前移入アダプタを作成して、このフィールドに一意の値が生成されるようにする必要があります。

5. Role1とRole2をJohnDに割り当てます。ロールの割当てが完了してすぐにプロビジョニングされたリソースが表示されるわけではないことに注意してください。ユーザー・ポリシーの評価スケジュール済タスクが自動的に実行されるのを待つか、このスケジュール済タスクを手動で実行する必要があります。
Role1がJohnDに割り当てられると、AP1アクセス・ポリシーを介して、Account1アカウントがADユーザー・ターゲット・システムに作成されます。Role2がJohnDに割り当てられると、AP2を介して、Account2アカウントがADユーザーに作成されます。この結果、アクセス・ポリシーを介して、単一ターゲット・システム上に同じユーザーおよび同じリソースに対する2つの異なるアカウントを作成できます。

3.5.2 複数アカウント・プロビジョニングの有効化

デフォルトでは、Oracle Identity Managerで複数アカウント・プロビジョニングはサポートされていません。複数アカウント・プロビジョニングを有効化する手順は、次のとおりです。

XL.AllowAPBasedMultipleAccountProvisioningシステム・プロパティの値をTRUEに設定します。このシステム・プロパティの詳細は、「Oracle Identity Managerのシステム・プロパティ」を参照してください。システム・プロパティの値の設定に関する詳細は、「システム・プロパティの作成と管理」を参照してください。

複数アカウント・プロビジョニングが有効化されている場合は、適切なアカウント識別子属性を定義する必要があります。これを行うには、次のようにします。

1. Design Consoleにログインします。

2. プロセス・フォームを次のように更新します。

1. 「開発ツール」を開き、「フォーム・デザイナ」をダブルクリックします。

2. プロセス・フォームを検索して開きます。

3. 「フォーム・デザイナ」タブで、「新しいバージョンの作成」をクリックします。

4. 「新しいバージョンの作成」ダイアログ・ボックスで、「ラベル」フィールドにラベルを入力して「保存」をクリックします。

5. 「現行のバージョン」リストから、作成したバージョンを選択します。

6. 「プロパティ」タブで、識別子フィールドとして指定するフィールドを選択して「プロパティの追加」をクリックします。

7. 「プロパティの追加」ダイアログ・ボックスで、プロパティ名として「アカウント識別子」を選択し、「プロパティ値」フィールドに「True」と入力して「保存」をクリックします。

8. 「バージョンをアクティブにする」をクリックし、「OK」をクリックします。

9. 「保存」をクリックします。

3. 既存のプロセス・フォームを変更した場合は、フォーム・バージョン制御(FVC)ユーティリティを実行します。FVCユーティリティの実行の詳細は、「フォーム・バージョン制御ユーティリティの使用」を参照してください。

3.5.3 複数ターゲット・システムへのリソースの複数インスタンスのプロビジョニング

次に、アクセス・ポリシーを介して、リソース・オブジェクトの複数インスタンスを複数ターゲット・システムにプロビジョニングする手順の概要を示します。

1. Oracle Identity Manager Design Consoleで、「ITリソース・タイプ定義」フォームを使用して、ITリソース・タイプを作成します。このフォームの使用方法の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の「ITリソース・タイプ定義」フォームに関する項を参照してください。

2. ステップ1で作成したITリソース・タイプのITリソース・インスタンスを複数作成します。ITリソースの作成の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のITリソースの作成に関する項を参照してください。
ここで、ITリソース・インスタンスはアカウント識別子です。アカウント識別子の詳細は、「アカウント識別子の使用によるアクセス・ポリシーを介した同じリソースの複数インスタンスのプロビジョニング」を参照してください。

注意:

ITResourceのプロセス・フォーム・デフォルトを表示します。表示は必須です。このようにすることで、アクセス・ポリシーを介してアプリケーション・インスタンスを正常にプロビジョニングできます。

3. ステップ1で作成したタイプのフィールドを含むプロセス・フォームを作成します。プロセス・フォームの作成の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のプロセス・フォームの開発に関する項を参照してください。

4. リソース・オブジェクトを作成します。リソース・オブジェクトの作成の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のリソース・オブジェクトの作成に関する項を参照してください。

5. プロセス定義を作成し、リソース・オブジェクトとプロセス・フォームを関連付けます。プロセス定義の作成の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のプロセス定義の作成に関する項を参照してください。

6. ロールとリソース・オブジェクトを関連付けるアクセス・ポリシーを作成します。詳細は、「アクセス・ポリシーの作成」を参照してください。

異なる物理サーバー上に同じリソースのインスタンスが2つある場合は、アクセス・ポリシーを使用して、リソースの両方のインスタンスを同じユーザーであるJohnDにプロビジョニングできます。これについて、次のシナリオを使用して説明します。

2つのADインスタンスがあり、1つはIPが10.151.14.82のサーバーで管理され、もう1つはIPが130.35.66.254のサーバーで管理されています。アクセス・ポリシー・ベースのプロビジョニングを介して、ユーザーには両方のインスタンスがプロビジョニングされます。この手順は、次のとおりです。

1. ADユーザー・リソースを作成します。

2. IPアドレスが10.151.14.82のサーバーを表す、ADServer1という名前のITリソースを作成します。

3. IPアドレスが130.35.66.254のサーバーを表す、ADServer2という名前のITリソースを作成します。

4. 「ADサーバー」(UD_ADUSER_AD)プロセス・フォーム・フィールドに、識別子フィールドのマークを付けます。

5. 2つのアクセス・ポリシーを次のように作成します。

- ADServer1で作成されるアカウント用
アクセス・ポリシー名: AP3

関連付けられるロール: Role3

プロビジョニングするリソース: ADユーザー

識別子フィールドを設定するプロセス・フォーム: ADサーバー(UD_ADUSER_AD)

ITResourceLookupフィールドのデフォルト値: ADServer1

- ADServer2で作成されるアカウント用
アクセス・ポリシー名: AP4

関連付けられるロール: Role4

プロビジョニングするリソース: ADユーザー

識別子フィールドを設定するプロセス・フォーム: ADサーバー(UD_ADUSER_AD)

ITResourceLookupフィールドのデフォルト値: ADServer2

6. Role3とRole4をユーザーJohnDに割り当てます。
Role3がJohnDに割り当てられると、AP3アクセス・ポリシーを介して、アカウントがADServer1上のターゲット・システムに作成されます。Role4がJohnDに割り当てられると、AP4アクセス・ポリシーを介して、アカウントがADServer2上のターゲット・システムに作成されます。この結果、アクセス・ポリシーを介して、ターゲット・システムの2つの異なるインスタンス上に、同じユーザーおよび同じリソースに対する2つの異なるアカウントが作成されます。

3.5.4 アクセス・ポリシーを介したリソースの複数インスタンスのプロビジョニングの制限

アクセス・ポリシーを介したリソースの複数インスタンスのプロビジョニングには、次の制限があります。

- 単一のアクセス・ポリシーで、リソースの複数インスタンスをユーザーにプロビジョニングすることはできません。リソースの複数インスタンスをプロビジョニングするには、複数のアクセス・ポリシーを作成する必要があります。プロビジョニングする同じリソースのインスタンスと同じ数のアクセス・ポリシーを作成する必要があります。

- リソース・オブジェクトに、アカウント識別子フィールドとマークされているフィールドを含むプロセス・フォームがある場合は、これらのフィールドの値を、そのリソースをプロビジョニングするアクセス・ポリシーで指定する必要があります。これを実行しないと、ポリシーが次回評価されるときに複数のアカウントがプロビジョニングされるなど、不確定な動作が発生する可能性があります。

- リソース・オブジェクトに、アカウント識別子フィールドとマークされているフィールドを含むプロセス・フォームがあり、アクセス・ポリシー・エンジンを使用してこのリソースを1人以上のユーザーにプロビジョニングする場合、アカウント識別子フィールドの値は、アカウントのライフサイクルを通じて一定のままである必要があります。つまり、アカウント識別子フィールドの値は変更しないでください。これは、アクセス・ポリシー・エンジンで、新しいアカウントをユーザーにプロビジョニングするかどうかを決定するために、リソース・オブジェクト・キーおよびアカウント識別子の値が使用されるためです。
アカウント識別子の値を変更すると、プロビジョニングの決定が行われる基礎を変更することになるため、アクセス・ポリシー・エンジンの動作が不確定になります。したがって、アカウント識別子の値は変更しないことをお薦めします。また、アカウント識別子フィールドのプロセス・フォームの値は変更しないでください。

- アクセス・ポリシーが異なるアカウント識別子の値で構成されている場合は、異なるアカウントがユーザーにプロビジョニングされます。このタイプのリソース・オブジェクトでは、「複数を許可」フラグが設定されている必要があります。それ以外の場合、プロビジョニングは失敗します。

注意:

大文字/小文字のみが異なるアカウント識別子の値(例: abcとaBc)も異なる値として処理されます。このデータの場合、2つのアカウントがエンド・ユーザーにプロビジョニングされます。

次のシナリオについて考えてみます。2つのアクセス・ポリシーで、同じアカウント識別子データがある同じリソースをプロビジョニングしています。ポリシーは、リクエストを介して適用されます。

これらの2つのポリシーはユーザーに適用され、ユーザーに対して再評価されます。この場合、1つのリソースのみがリクエストを介してユーザーにプロビジョニングされます。今度は、リクエスト承認が進行中であるとします。その間に、これらの2つのポリシーの優先度が交換され、優先度の高いポリシーが優先度の低いポリシーになり、もう一方が優先度の高いポリシーになるとします。リクエストが進行している間に、ポリシーがユーザーに対して再評価される場合は、同じリソースをプロビジョニングする2番目のリクエストが作成されますが、これは現在の高い優先度のポリシーによって行われます。この問題は、現在ポリシー・エンジンによって処理されません。この問題を回避するには、(リクエストを介する場合は特に)リソースをプロビジョニングするアクセス・ポリシーの優先度を変更する前に、特定のリソースに対する保留中のすべてのリクエストが承認または却下されていることを確認する必要があります。

4 パスワード・ポリシーの管理

組織管理者はパスワード・ポリシーを組織に関連付けることができます。すべてのパスワード・ポリシーはシステム管理者のみによって作成されます。組織管理者は、システム管理者によって作成されたパスワード・ポリシーから関連するパスワード・ポリシーを選択できます。組織に設定されたパスワード・ポリシーは、その組織とすべての下位組織に適用されます。下位組織レベルの管理者がその組織に異なるパスワード・ポリシーを設定した場合、親組織のパスワード・ポリシーは新しいもので上書きされ、その組織のすべての下位組織に適用されます。ユーザーが複数の組織のメンバーである場合、ユーザーに適用されるパスワード・ポリシーは、パスワード・ポリシーの優先順位によって決定されます。組織が階層内にある場合は、親組織に関連付けられたパスワード・ポリシーの方が優先度が高い場合にも、ユーザーに最も近い組織のパスワード・ポリシーが適用されます。ユーザーの作成時に、Oracle Identity Managerは最上位の組織にアタッチされたデフォルトのパスワード・ポリシーに対して手動で指定された、または自動生成されたパスワードを検証します。ユーザーが最初にログインしてパスワードを変更する場合、ユーザーの組織に適用される優先度が最も高いパスワード・ポリシーが適用されます。

この章では、次の各項でパスワード・ポリシー管理について説明します。

- パスワード・ポリシーの検索

- パスワード・ポリシーの作成

- パスワード・ポリシー・ルールの設定

- パスワード・ポリシーの削除

4.1 パスワード・ポリシーの検索

パスワード・ポリシーを検索するには:

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「ポリシー」で、「パスワード・ポリシー」をクリックします。「パスワード・ポリシー」ページが表示されます。

3. 「ポリシー名」フィールドに対して、リストから検索演算子を選択します。

4. 「ポリシー名」フィールドに、検索するポリシー名を入力します。既存のパスワード・ポリシーをすべて表示する場合は、このフィールドを空白のままにします。

5. 「検索」をクリックします。検索条件に一致するパスワード・ポリシーが表示されます。

4.2 パスワード・ポリシーの作成

パスワード・ポリシーの作成によって可能なことは、次のとおりです。

- パスワードの制限の設定、たとえばパスワードの最小長と最大長の定義など

- パスワード・ポリシーに関連付けられているルールおよびリソース・オブジェクトの参照

注意:

LDAP同期が有効になっている環境の場合、次のいずれかにする必要があります。

- Oracle Identity Managerに設定されているパスワード・ポリシーは、LDAPサーバーに設定されているパスワード・ポリシーよりも厳格にする必要があります。

- Oracle Identity Managerに設定されているパスワード・ポリシーは、LDAPサーバーに設定されているパスワード・ポリシーに一致する必要があります。

パスワード・ポリシーを作成するには:

1. 「パスワード・ポリシー」ページの「アクション」メニューから、「作成」を選択します。または、ツールバーにある「作成」をクリックします。図4-1に示すように、「パスワード・ポリシーの作成」ページが表示されます。

図4-1 「パスワード・ポリシーの作成」ページ

「図4-1 「パスワード・ポリシーの作成」ページ」の説明

2. ポリシー名フィールドに、パスワード・ポリシーの名前を入力します。

3. ポリシー説明フィールドに、パスワード・ポリシーの簡単な説明を入力します。

4. 「ポリシー・ルール」タブで、フィールドに値を指定してパスワード・ポリシーのルールを設定します。「ポリシー・ルール」タブの各フィールドの説明は、「パスワード・ポリシー・ルールの設定」を参照してください。

注意:

「ポリシー・ルール」タブのフィールドを空白のままにして「適用」をクリックして、パスワード・ポリシーを保存できます。後でパスワード・ポリシーを開き、「パスワード・ポリシー・ルールの設定」の説明に従ってポリシー・ルールを設定できます。

5. 「適用」をクリックします。

注意:

パスワード・ポリシーは、信頼できるソース・リコンシリエーションによるOracle Identity Managerユーザーの作成時には適用されません。

4.3 パスワード・ポリシー・ルールの設定

パスワード・ポリシー・ルールを設定する場合は、パスワードの最小長と最大長など、パスワード・ポリシーの基準を指定する必要があります。

パスワードの制限を設定するには、次のいずれか(または両方)の方法を使用できます。

- 適切なフィールドに情報を入力するか、必要なチェック・ボックスを選択します。たとえば、パスワードの最小長を4文字にする必要があることを指定するには、「最小長」フィールドに4を入力します。

- 「パスワード・ファイル」フィールドに、パスワード・ポリシー・ファイルのディレクトリ・パスと名前(たとえば、c:\Xellerate\userlimits.txt)を入力します。このファイルには、パスワードとしての使用を避ける必要がある事前定義済の単語が含まれます。これらの単語は、「ファイル・デリミタ」フィールドで指定したデリミタによって区切られます。ファイル内の事前定義済の単語はパスワードとして使用できません。たとえば、このファイルにwelcomeという単語が含まれている場合、welcome、Welcomeおよびwelcome123は無効なパスワードになります。

パスワード・ポリシーにルールを設定するには:

1. 「パスワード・ポリシー」ページで、開くパスワード・ポリシーを検索し、選択します。

2. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。パスワード・ポリシーの詳細ページが表示されます。

注意:

パスワード・ポリシーの作成時にパスワード・ポリシー・ルールを設定することもできます。

3. 「ポリシー・ルール」セクションで、表4-1に示すフィールドに値を入力します。

注意:

ポリシーのデータ・フィールドが空欄の場合、パスワードを有効にするために、このポリシーに適合するパスワードがそのフィールドの基準を満たす必要はありません。たとえば、最小英数字データ・フィールドが空欄の場合、Oracle Identity Managerでは、文字数に関係なくパスワードが受け入れられます。

表4-1 「ポリシー・ルール」セクションのフィールド

フィールド名

説明

最小長

パスワードを有効にするために必要な最小文字数。

たとえば、最小長フィールドに4を入力した場合、パスワードは4文字以上にする必要があります。

このフィールドには0 - 999の値を入力できます。

最小パスワード期間(日数)

パスワードを使用できる最小日数。

たとえば、「最小パスワード期間(日数)」フィールドに2を入力した場合、ユーザーはパスワード作成から2日経過するまでパスワードを変更できません。

このフィールドの値は「有効期限切れまで(日数)」フィールドの値よりも小さくする必要があります。たとえば、「有効期限切れまで(日数)」フィールドに30を入力し、「最小パスワード期間(日数)」フィールドに31を入力した場合、エラーが表示されます。

警告までの期間(日数)

パスワードが指定の日付に期限切れになることをユーザーに通知するまでの経過日数。

たとえば、「有効期限切れまで(日数)」フィールドに30を入力し、警告までの期間(日数)フィールドに20を入力し、パスワードが11月1日に作成されたとします。11月21日に、パスワードが12月1日に期限切れになることがユーザーに通知されます。

このフィールドには0 - 999の値を入力できます。

最近のパスワードを許可しない

旧パスワードを再利用できる頻度。このポリシーにより、一連の共通パスワードが使い回されることのないようにします。

たとえば、最近のパスワードを許可しないフィールドに10を入力した場合、10個の異なるパスワードを使用した後にのみパスワードを再利用できます。

このフィールドには0 - 24の値を入力できます。

有効期限切れまで(日数)

パスワードを使用できる最大日数。

たとえば、有効日数フィールドに30を入力した場合、パスワードを作成または最終変更したときから30日目までに変更する必要があります。

このフィールドには0 - 999の値を入力できます。

注意: 有効日数フィールドに指定された日数が経過すると、パスワードの変更を求めるメッセージが表示されます。

4. 次のオプションのいずれかを選択します。

注意:

デフォルトの複雑なパスワード・ポリシーまたはカスタム・パスワード・ポリシーを構成できます。「複雑なパスワード」オプションを選択すると、「カスタム・ポリシー」オプション設定は使用できず、パスワードは複雑なパスワードの基準に対して評価されます。

- 複雑なパスワード: このオプションを選択すると、次の複雑なパスワードの基準が設定されます。

- パスワードの長さは6文字以上であること。最小長フィールドに入力された値が6未満の場合、このパスワードの長さが最小長フィールドより優先されます。たとえば、最小長フィールドに2を入力した場合、複雑なパスワードの基準に従って最低6文字が必要であるため、パスワードには6文字以上が必要です。

- パスワードには、次の5種類のうち3種類以上の文字が含まれていること。
- 英大文字(A - Z)

- 英小文字(a - z)

- 10進法の数字(0 - 9)

- 英数字以外の文字(!、$、#、%など)

- Unicode文字

- パスワードには、2文字を超えるユーザーID、名または姓を含めることはできません。
名前は、カンマ、ピリオド、ダッシュ/ハイフン、アンダースコア、スペース、ポンド記号、タブをデリミタとして解析されます。これらのデリミタのいずれかが検出されると、名前は分割され、すべての部分がパスワードに含まれていないか検証されます。たとえば、ユーザー名がjohn-dの場合は、dは長さが2未満のため、パスワードでチェックされません。同様に、名前がJohn Richard Doeの場合は、john、richard、doeはパスワードに含めることはできません。

ユーザーの氏名に対するチェックでは、カンマ、ピリオド、ダッシュやハイフン、アンダースコア、スペース、ポンド記号、タブなどの文字は、名前を個別のキャラクタ・セットに区切るデリミタとして扱われます。3文字以上を含む各キャラクタ・セットが、パスワード内で検索されます。そのキャラクタ・セットがパスワード内に存在する場合、パスワード変更は却下されます。たとえば、名前John Richard-Doeは、3つのキャラクタ・セット(John、RichardおよびDoe)に分けられます。このユーザーは、パスワード内のどの場所であっても、John、RichardまたはDoeからの連続した3文字で構成されるパスワードを持つことはできません。ただし、パスワードには部分文字列d-Dを含めることができます(ハイフン(-)は部分文字列RichardとDoeの間のデリミタとして扱われるため)。また、パスワード内のキャラクタ・セットの検索では、大文字と小文字は区別されません。

注意:

ユーザーのフル・ネームの長さが3文字未満の場合、パスワードが拒否される確率が高すぎるため、パスワードはフル・ネームと照合されません。

- カスタム・ポリシー: 「カスタム・ポリシー」オプションを選択すると、表4-2に示すフィールドを使用してカスタム・パスワード・ポリシーを設定できます。

表4-2 「カスタム・ポリシー」セクションのフィールド

フィールド名

説明

最大長

パスワードに含めることができる最大文字数

たとえば、最大長フィールドに8を入力した場合、9文字以上のパスワードは使用できません。

このフィールドには1 - 999の値を入力できます。

最大限の繰返し文字数

パスワードで文字を繰り返すことができる最大回数。

たとえば、最大限の繰返し文字数フィールドに2を入力した場合、文字が3回以上繰り返されているパスワードは使用できません。たとえば、RL112211は、文字1が3回繰り返されているため、有効なパスワードではありません。

注意: この例では、文字1は4つあり、3回繰り返されていることになります。

このフィールドには1 - 999の値を入力できます。

最小限の数字数

パスワードに含める必要がある最小限の数字の数。

たとえば、最小限の数字数フィールドに1を入力した場合、パスワードには少なくとも1つの数字が含まれる必要があります。

このフィールドには0 - 999の値を入力できます。

最小限の英数字数

パスワードに含める必要がある文字または数字の最小数。

たとえば、最小限の英数字数フィールドに6を入力した場合、パスワードには少なくとも6つの文字または数字が含まれる必要があります。

このフィールドには0 - 999の値を入力できます。

最小限のユニーク文字数

パスワードに含める必要がある、繰り返されない文字の最小数。

たとえば、最小限のユニーク文字数フィールドに1を入力した場合、パスワード内の少なくとも1つの文字が繰り返されていなければパスワードは受け入れられます。たとえば、1a23321では、文字aが繰り返されていないため、他の文字が繰り返されていても有効なパスワードです。

このフィールドには0 - 999の値を入力できます。

最小限の英字数

パスワードに含める必要がある最小限の文字数。

たとえば、最小限の英字数フィールドに2を入力した場合、2文字未満のパスワードは使用できません。

このフィールドには0 - 999の値を入力できます。

特殊文字: 最小数

パスワードに含める必要がある英数字以外の文字(#、%、&など)の最小数。

たとえば、特殊文字: 最小数フィールドに1を入力した場合、パスワードには英数字以外の文字が少なくとも1つ含まれる必要があります。

このフィールドには0 - 999の値を入力できます。

特殊文字: 最大数

パスワードに含めることができる英数字以外の文字の最大数。

たとえば、特殊文字: 最大数フィールドに3を入力した場合、英数字以外の文字が4つ以上含まれるパスワードは使用できません。

このフィールドには1 - 999の値を入力できます。

最小限の大文字数

パスワードに含める必要がある大文字の最小数。

たとえば、「大文字: 最小」フィールドに8を入力した場合、大文字が8文字未満のパスワードは使用できません。

このフィールドには0 - 999の値を入力できます。

最小限の小文字数

パスワードに含める必要がある小文字の最小数。

たとえば、最小限の小文字数フィールドに8を入力した場合、小文字が8文字未満のパスワードは使用できません。

このフィールドには0 - 999の値を入力できます。

必須の文字

パスワードに含める必要がある文字。

たとえば、必須の文字フィールドにxを入力した場合、文字xを含むパスワードのみ使用できます。

必須の文字フィールドに指定する文字は、許可される文字フィールドで指定する必要があります。「許可された文字」フィールドに存在しない文字を「必須の文字」フィールドに入力すると、必須の文字は許可された文字のリストに含まれている必要があること、および必須の文字は許可されない文字に含まれていてはいけないことを示すエラーが表示されます。

また、2文字以上を指定する場合は、デリミタを付けないでください。このフィールドではカンマとスペースも文字として解釈されます。たとえば、「a,x,c」などの文字を指定した場合、カンマを含まないパスワードは使用できません。

許可される文字

パスワードに含めることができる文字。

たとえば、許可される文字フィールドにパーセント記号(%)を入力した場合、他の基準をすべて満たしていれば、パーセント記号を含むパスワードを使用できます。

注意: パスワードに文字が含まれており、その文字が許可される文字フィールドにない場合、パスワードは拒否されます。たとえば、許可される文字フィールドでabcが指定されており、パスワードがdadの場合、dは許可される文字フィールドにないため、このパスワードは拒否されます。

許可される文字フィールドと許可されない文字フィールドに同じ文字を指定すると、パスワード・ポリシーの作成時にエラー・メッセージが返されます。

許可されない文字

パスワードに含めてはならない文字。

たとえば、許可されない文字フィールドに感嘆符(!)を入力した場合、感嘆符を含むパスワードは使用できません。

許可されない部分文字列

パスワードに含めてはならない英数字の連続文字列。

たとえば、許可されない部分文字列フィールドにIBMを入力した場合、文字I、B、Mの順に連続して含まれるパスワードは使用できません。

特殊文字: 最小

パスワードに含める必要がある特殊文字の最小数。

たとえば、「特殊文字: 最小」フィールドに2を入力した場合、特殊文字が2文字未満のパスワードは使用できません。

このフィールドには0 - 999の値を入力できます。

特殊文字: 最大

パスワードに含めることができる特殊文字の最大数。

たとえば、特殊文字: 最大フィールドに5を入力した場合、特殊文字が6つ以上含まれるパスワードは使用できません。

このフィールドには1 - 999の値を入力できます。

Unicode文字: 最小

パスワードに含める必要があるUnicode文字の最小数。

たとえば、Unicode文字: 最小数フィールドに3を入力した場合、Unicode文字が3文字未満のパスワードは使用できません。

このフィールドには0 - 999の値を入力できます。

Unicode文字: 最大

パスワードに含めることができるUnicode文字の最大数。

たとえば、Unicode文字: 最大数フィールドに8を入力した場合、Unicode文字が9文字以上のパスワードは使用できません。

このフィールドには1 - 999の値を入力できます。

英字で開始

パスワードが英字で始まる必要があるかどうか。

たとえば、このオプションを選択した場合、パスワード123welcomeは、先頭が文字でないため使用できません。ただし、このオプションを選択しない場合、パスワードは英字、数字または特殊文字で始めることができます。

ユーザーIDを許可しない

このチェック・ボックスは、パスワードの全部または一部としてユーザーIDを使用できるかどうかを指定します。

このチェック・ボックスを選択した場合、「パスワードフィールドにユーザーIDが入力されると、パスワードは無効になります。また、パスワードフィールドにパスワードの一部としてユーザーIDが入力されると、パスワードは無効になります。

このチェック・ボックスの選択を解除した場合は、ユーザーIDが含まれているパスワードを使用できます。

ファースト・ネームを許可しない

このチェック・ボックスは、パスワードの全部または一部としてユーザーのファースト・ネームを使用できるかどうかを指定します。

このチェック・ボックスを選択した場合、「パスワードフィールドにユーザーのファースト・ネームが入力されると、パスワードは無効になります。また、ユーザーのファースト・ネームがパスワードの一部として入力されると、パスワードは無効になります。

このチェック・ボックスの選択を解除した場合は、ユーザーのファースト・ネームが含まれているパスワードを使用できます。

ラスト・ネームを許可しない

このチェック・ボックスは、パスワードの全部または一部としてユーザーのラスト・ネームを使用できるかどうかを指定します。

このチェック・ボックスを選択した場合は、パスワードフィールドにユーザーのラスト・ネームが入力されると、パスワードは無効になります。また、ユーザーのラスト・ネームがパスワードの一部として入力されると、パスワードは無効になります。

このチェック・ボックスの選択を解除した場合は、ユーザーのラスト・ネームが含まれているパスワードを使用できます。

パスワード・ファイル

パスワードとして許可されない事前定義済の用語が含まれるファイルのパスと名前。このファイルは、Oracle Identity Managerがデプロイされているホストに格納する必要があります。

注意: 「ポリシー・ルール」タブ上の設定は、パスワード・ファイル内の仕様よりも優先されます。たとえば、許可されない用語が「ポリシー・ルール」タブで指定されていないときに、パスワード・ファイルの許可されない用語がポリシー内で使用されることがあります。

パスワード・ファイル・デリミタ

パスワード・ファイル内で用語を区切るために使用されるデリミタ文字。

たとえば、パスワード・ファイル・デリミタ・フィールドにカンマ(,)を入力した場合、パスワード・ファイル内の用語はカンマで区切られます。

注意: パスワード・ポリシー内で使用するエスケープ文字は定義されていません。

5. 「適用」をクリックし、パスワード・ポリシーを保存します。

注意:

パスワード・ポリシーの作成後、ポリシーを組織に関連付ける必要があります。ポリシーのルールがその組織のユーザーと下位組織に適用されます。組織へのパスワード・ポリシーの関連付けの詳細は、『Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイド』の組織の作成に関する説明を参照してください。

4.4 パスワード・ポリシーの削除

パスワード・ポリシーを削除する手順は、次のとおりです。

1. 「パスワード・ポリシー」ページで、削除するパスワード・ポリシーを検索し、選択します。

2. 「アクション」メニューから「削除」を選択します。または、ツールバーにある「削除」をクリックします。確認を求めるメッセージが表示されます。

3. 「はい」をクリックして削除を確認します。

5 アテステーション・プロセスの管理

この章の内容は、次のとおりです。

- アテステーションについて

- アテステーション・プロセスの設定

- アテステーション・プロセスの作成

- アテステーション・プロセスの管理

- アテステーション・ダッシュボードの使用

5.1 アテステーションについて

アテステーションを使用すると、レビューアとして指定されたユーザーは、レビューする必要のあるレポートについて通知を受けることができます。これらのレポートには、他のユーザーの権限について記述されています。レビューアは、レスポンスを入力することにより、これらの権限の正確さをアテストすることができます。アテステーション・アクションは、レビューアが入力したレスポンス、関連コメント、およびレビューアが参照してアテストするデータの監査ビューとともに追跡と監査を受け、アカウンタビリティの完全な証跡を残します。Oracle Identity Managerでは、このプロセスをアテステーション・タスクと呼びます。

Oracle Identity Managerのアテステーションは、スケジュールされたアテステーション・プロセスの定義を介してサポートされます。アテステーション・プロセスは、Oracle Identity Managerワークフローとは異なります。アテステーション・プロセスは、構成可能なビジネス・プロセスとしてOracle Identity Managerに実装され、ユーザーのアテステーション・タスクを作成します。レビューアを務めるユーザーは、このプロセスを完了して正確な監査情報を提供する必要があります。

プロビジョニング済リソース・インスタンスのアテステーション・アクティビティの追跡は、リソース・オブジェクトのプロビジョニング・プロセス内のタスクにより実行されます。アテステーション・アクションに基づいてワークフロー・アクティビティを開始することができます。開始される追加アクティビティと、プロセス定義フォームやワークフロー・デザイナでモデリング可能なワークフローは、初期アテステーション・アクションに基づいて開始できます。これは、Oracle Identity Managerで定義されているプロビジョニング・プロセス内のアテステーション・サブフローにより実現されています。

アテステーション・アクティビティは、定期的にまたは必要に応じて開始できます。

レビューアは、アテステーション・タスク内の特定の権限を、レビューのため他のユーザーに委任することができます。このアクションは、別のアテステーション・タスクが作成され、委任されたユーザーに割り当てられることで行われます。

この項の内容は次のとおりです。

- アテステーション・プロセスの定義

- アテステーション・タスクのコンポーネント

- アテステーション・リクエスト

- 委任

- アテステーション・ライフサイクル・プロセス

- アテステーション・エンジン

- アテステーション・スケジュール済タスク

- アテステーションドリブンのワークフロー機能

- アテステーションの電子メール

5.1.1 アテステーション・プロセスの定義

アテステーション・プロセスは、アテステーション・タスクを設定するメカニズムです。アテステーション・プロセスに必要な入力内容には、アテステーション・タスクを構成するコンポーネントの定義方法、およびタスクを実行する必要のあるスケジュールとアテステーション・タスクを関連付ける方法に関する情報が含まれます。この定義も、アテステーション・タスクを必要なときに開始するための基盤です。アテステーション・プロセスの定義には次の項目が含まれています。

- ユーザー・スコープまたはリソース・スコープ: アテステーション・プロセスのターゲット・ユーザー権限を決定するアルゴリズムを定義します。

- レビューア設定: 他のユーザーの権限をアテストするレビューアを指定します。アテステーション・プロセスでは、特定のユーザーをレビューアとして指定することも、レビューアの選択方法を抽象的に指定することもできます。たとえば、レビューアを、ユーザーのマネージャ、リソースの管理者、リソースへのアクセスの認可者、または権限を付与するロールのメンバーとして指定できます。

- アテステーション・スケジュールの定義: アテステーション・プロセスを実行するスケジュールを指定します。

- プロセス所有者: プロセスに関連するアクティビティの監視を割り当てられているユーザーのグループです。

- このユーザーには、プロセス実行時に発生する問題がすべて通知されます。

- プロセス定義を表示する権限はありますが、デフォルトでは管理権限はありません。

- 必要に応じていつでもプロセスを実行できます。

プロセスが一連のレビューアを定義している場合、単一のアテステーション・プロセスから複数のアテステーション・タスクが発生することもあります。このような場合、プロセスから、各レビューアに対して1つずつアテステーション・タスクが発生することになります。

5.1.1.1 アテステーション・プロセスの制御

次の各項では、アテステーション・プロセスの制御方法について説明します。

5.1.1.1.1 プロセスの無効化

システム管理者は、アテステーション・プロセスが事前定義済スケジュールどおりに実行されないように、プロセスを無効化できます。これにより、管理者は環境を制御しやすくなります。システム管理者のアテステーション・プロセスは有効化できますが、次回実行時間の値を過ぎると有効化できません。アテステーション・プロセスを有効化するユーザーは、次の実行予定時刻を未来に設定する必要があります。

5.1.1.1.2 プロセスの削除

アテステーション・プロセスは削除できます。これは、ソフト削除と呼ばれます。レコードは監査のために保持する必要があるため、これによってレコードが実際に削除されることはありません。かわりに、アテステーション・プロセスは削除とマークされます。

削除されたプロセスはOracle Identity System Administrationに表示されません。プロセス名とコードは一意であるため、一度使用した名前が使用不可になると、その名前で新しいアテステーション・プロセスを作成することはできません。

5.1.2 アテステーション・タスクのコンポーネント

アテステーション・プロセスの基本目的は、Oracle Identity Managerにアテステーション・タスクを設定することです。アテステーション・タスクはOracle Identity Managerセルフサービスのタスクリストの「アテステーション」タブに表示され、このタスクを自分で管理することも、他のユーザーに管理を委任することもできます。アテステーション・タスクの基本コンポーネントを次に示します。

- レビューア: アテステーションを実行するユーザーを指定します。

- タスク・ソース: アテステーション・タスクがプロセスの結果として発生したのか、別のレビューアの委任によって発生したのかを指定します。委任の場合は、タスクを委任したレビューアが誰で、どのタスクが権限のソースであるかを追跡する必要があります。

- アテステーション・データ: アテステーション・スコープ内のユーザー権限の詳細データです。このデータは、プロビジョニングされたリソース・インスタンスのプロセス・フォームからのデータです。

- アテステーション日: アテステーション・タスクを開始する日付を定義します。

- アテステーション・アクション: レビューアがアテステーション・スコープで行うアクションです。アクションはアテステーション・タスク全体のレベルではなく、アテステーション・スコープ内の各権限に対して行われます。アテステーション・アクションには次のものがあります。

- 認証: レビューアは、特定データや詳細な権限を含む現在のフォームの権限の保持をレビュー対象ユーザーに許可することに同意しています。

- 却下: レビューアは、フォームのこの権限をユーザーが持つ必要がないと考えています。

- 拒否: レビューアは権限のアテスト業務を引き受けられません。このアクションは通常、プロセスが適切に構成されていない場合のためのもので、公開後の早い段階で有用です。
レビューアは、他の誰かにタスクの処理を求める場合にタスクを拒否します。タスクが拒否されると、そのタスクはシステム管理者ロールの任意のユーザーに割り当てられます。

- 委任: レビューアは別の有資格者にこの権限のアテステーションを再割当てすることを考えています。

注意:

アテステーション・タスクは、Oracle Identity Manager定義におけるワークフロー・タスクではありません。ワークフローの一部としては作成されません。アテステーション・タスクは、ワークフロー・エンジンがサポートする動的割当て、エスカレーション、プロキシ管理などのすべてのタスク管理機能をサポートしません。

5.1.2.1 アテステーション受信ボックス

レビューアは、セルフサービスのタスクリストの「アテステーション」タブから各アテステーション・タスクの詳細を表示できます。アテステーション・タスクで、レビューアは、個々の権限に対するレスポンスやコメントを入力できます。

5.1.3 アテステーション・リクエスト

アテステーション・プロセスが実行されると、アテステーション・リクエストが作成され、Oracle Identity Managerデータベースに記録されます。このリクエストは、アテステーション・プロセスが実行される際の監査のために記録されます。アテステーション・リクエスト・レコードは、レポートで使用される、基本的な識別データと監査データ、および統計データから構成されています。データには次の項目が含まれています。

- リクエスID: 各アテステーション・リクエストには一意の識別子があります。リクエストの結果としてOracle Identity Managerが作成する各アテステーション・タスクには、関連付けられたアテステーション・リクエストのリクエストIDがそのレコードの一部として格納されます。

- プロセス実行の日付と時刻

- プロセス完了の日付と時刻: プロセス完了の日付と時刻は、そのリクエストの日付と時刻とみなされます。

- アテステーションで識別されている権限の総数。
アテステーション・プロセスの特定の実行で(アテステーション・プロセスのリソース・スコープの)選択基準に一致したプロビジョニング済リソースの数。

- 認証された権限の数

- 却下された権限の数

- 拒否された権限の数

5.1.4 委任

アテステーション・タスクに割り当てられたレビューアが、タスク内のすべての権限をアテストできない場合があります。これには様々な理由が考えられます。次に例を示します。

- アテステーション・タスク内の、ユーザーと権限が多すぎます。

- レビューアが、権限をプロビジョニングされた理由を明確に知りません。

こうした場合、レビューアが他のユーザーをレビューに参加させたいと考えることがあります。レビューアは、タスク内の一部の権限のアテステーションを委任できます。

アテステーションを委任するには、レビューアがタスク内で権限のセットを選択し、それを他のユーザーに委任します。これにより新しいアテステーション・タスクが作成され、選択されたレビューアに割り当てられます。

この新しいタスクには、元のレビューアが選択した権限のみが含まれます。元のレビューアは、それらの権限に対するアテステーション・レスポンスを用意する責任がなくなります。委任先に割り当てられた新しいアテステーション・タスクは、その委任を実行したレビューア、その委任の作成元タスク、および他のいくつかの情報(リクエストIDなど)を追跡します。この新しいアテステーション・タスクは、他のアテステーション・タスクと同じ方法で処理されます。このタスクをさらに委任することもできます。図5-1に、アテステーション・ページを示します。

図5-1 アテステーションの委任

5.1.5 アテステーション・ライフサイクル・プロセス

Oracle Identity Managerにおけるアテステーション・ライフサイクルについて、次に説明します。

5.1.5.1 第1段階: アテステーション・タスクの作成

この段階は、アテステーション・プロセスの実行時に開始されます。図5-2に、この段階に含まれるワークフローを示します。

図5-2 アテステーション・タスクの作成: ワークフロー

「図5-2 アテステーション・タスクの作成: ワークフロー」の説明

アテステーション・プロセスが実行されると、最初に、対応するアテステーション・プロセス・インスタンスが作成されます。次に、このプロセスを実行したレビューアが識別されます。ほとんどの場合、レビューアは1人のみです。ただし、一連のレビューアが存在する可能性もあります。

無効なレビューアが検出された場合は、常に新しいレビューアがプロセス所有者グループから取得されます。Oracle Identity Managerにより、可能な場合は、プロセス所有者グループのメンバーのうち、レビューアとして使用されていないメンバーがこのアテステーション・リクエストに対して選択されます。これが可能でない場合は、プロセス所有者グループのすでにレビューアとして選択されているメンバーが選択されます。プロセス所有者グループのメンバーが見つからない場合は、システム管理者(XELSYSADM)がこのアテステーション・タスクのレビューアに割り当てられます。

プロセスでは、そのプロセスに定義されたアテステーション・スコープによる決定に従って、そのタスクの一環としてレビューアがアテストする必要があるすべてのユーザー権限が有効なレビューアごとに計算されます。次に、それらのユーザー権限に関連する参照および情報がタスクのアテステーション・データに追加されます。また、そのタスクの対象とする権限の数が、プロセス・インスタンスでアテステーションに対して識別された権限の総数を示す統計フィールドに追加されます。次に、電子メールがレビューアに送信されます。また、電子メール・アドレスが定義されていないレビューアについては、プロセス所有者に電子メールが送信されます。

この段階の終了時、アテステーション・タスクはすべて、レビューアのアテステーション受信ボックスにあります。

5.1.5.2 第2段階: アテステーション・タスクに関する作業

アテステーション・タスクがレビューアに割り当てられると、レビューアは電子メールを受信し、タスクは各レビューアのアテステーション受信ボックスに表示されます。レビューアは自分の受信ボックスでタスクの詳細を参照します。

レビューアは、タスク詳細のページから各権限に対して、レスポンスおよび必要に応じてコメントを入力します。これにより、タスク内のアテステーション権限の詳細に、「レスポンス入力済」のマークが付けられます。

レビューアのレスポンスに、特定の権限のアテステーション・アクティビティの委任が含まれている場合は、レビューアは委任するユーザーを入力する必要があります。レビューアはオプションとして、なぜそのユーザーにアテステーション・アクティビティを委任するか説明するコメントを入力することができます。

レビューアは、すべての権限にレスポンスを入力した後、すべてのレスポンスを送信することによって、アテステーション・タスクのアクションをコミットすることができます。

図5-3 レビューアが権限に対するレスポンスを送信する場合のイベントのフロー

「図5-3 レビューアが権限に対するレスポンスを送信する場合のイベントのフロー」の説明

この時点で、次の段階であるアテステーション・ビジネス・プロセスが開始されます。

5.1.5.3 第3段階: 送信されたアテステーション・タスクの処理

アテステーション・タスクは「送信済」とマークされています。この時点でアテステーション・タスクは凍結され、それ以上作業できません。アテステーション・タスクの各権限について、レスポンスがシステムによって調査されます。レスポンスが認証または却下の場合、その権限に対応するプロビジョニング済のリソース・インスタンスが、それに応じて更新されます。プロビジョニング済のリソース・インスタンスのレベルで、最後のアテステーション結果、最後のアテステーションの発生時刻、および誰がレビューアであったかが記録されます。レスポンスが拒否または委任だった場合、プロビジョニング済リソース・レベルでのアテステーション詳細は変更されません。

「ユーザー・アテステーション・イベントが発生しました」タスクが、リソース・インスタンスのプロビジョニング・プロセスに挿入されます。これにより、定義されている場合にはアテステーション・ドリブンのワークフローが開始されます。コメントはすべてタスクのメモ・フィールドに保存されます。

タスクのアテステーション権限の詳細に、レスポンス送信済のマークが付けられます。図5-4に、アテステーション・タスクのレスポンス送信後のイベント・フローを示します。

図5-4 アテステーション・タスクのレスポンス送信後のイベント・フロー

「図5-4 アテステーション・タスクのレスポンス送信後のイベント・フロー」の説明

次の統計情報が、プロセス・インスタンスに基づいて更新されます。

- 認証された権限の数

- 却下された権限の数

- 拒否された権限の数

- 委任された権限の数

すべての権限を処理した後で、フォローアップ・アクションのサブフローが開始されます。このフローでは、プロセスによって、タスクの権限のいずれかに対するレスポンスが拒否されたかどうかが調べられます。そのような権限があった場合、プロセスは拒否アクションの詳細を概説した電子メールをプロセス所有者に送信します。

次に、タスクの権限のいずれかに対するレスポンスが委任されたかどうかが調べられます。そのような権限があった場合、レビューアが委任先として選択したすべてのユーザーが識別され、それぞれのアテステーション・タスクが作成されます。各アテステーション・タスクは、レビューアがそのユーザーに委任した権限のみに関するものです。委任されたユーザーは、電子メールで委任を通知されます。

委任されたアテステーション・タスクがすべて作成されると、サブフローは終了し、メイン・フローに合流します。図5-5に、フォローアップ・アクション・サブフローのイベントのフローを示します。

図5-5 フォローアップ・アクション・サブフロー

「図5-5 フォローアップ・アクション・サブフロー」の説明

フォローアップ・サブフローが完了すると、アテステーション・タスクには「完了」のマークが付けられます。

5.1.6 アテステーション・エンジン

アテステーション・エンジンにはアテステーション・ライフサイクルが実装されます。これはOracle Identity Managerアーキテクチャのサービスで、指示を受信して特定のアテステーション・プロセスを開始するためのAPIを公開します。このAPIは、アテステーション・スケジュール済タスクに加えて、「アテステーション・プロセスの詳細」ページの「即時実行」ボタンからもコールされて、オンデマンドの実行をサポートします。アテステーション・プロセスを開始する両方のドライバをサポートしています。

アテステーション・エンジンでは、JMSメッセージ・サービスを使用して、オフラインの待機中プロセスを実行します。これにより、パフォーマンスが向上します。

注意:

アテステーションはユーザー・プロファイル監査データのエントリに依存します。アテステーション・プロセスに含まれるユーザーの監査エントリが生成されていない場合、レビューアは、アテステーションでユーザーおよびプロセス・フォーム情報を表示できません。このような状況を避けるため、アテステーションを実行する前に、「監査メッセージの発行タスク」スケジュール済タスクが実行されていることを確認してください。

5.1.7 アテステーション・スケジュール済タスク

この新しいシステムのスケジュール済タスクは、Oracle Identity Managerで定義されているアテステーション・プロセスの調査と、システムで必要なアテステーション・タスクの作成を担当します。

このスケジュール済タスクの機能は次のとおりです。

- デフォルトでは、このスケジュール済タスクは毎晩実行されるように設定されています。このスケジュールは、必要に応じて変更できます。

- このスケジュール済タスクは、すべてのアクティブな(システム管理者でない)アテステーション・プロセスに対するアテステーション・プロセス定義表を調査します。

- プロセスの次のスケジュール済タスクの実行時間が経過していることが検出された場合、タスクはアテステーション・エンジンへの呼出しを送信して、アテステーション・プロセスを開始します。

5.1.8 アテステーションドリブンのワークフロー機能

アテステーション・アクティビティからのトリガーをリスニングするように、Oracle Identity Managerで事前定義されているプロビジョニング・プロセスを拡張できます。これにより、プロビジョニング・ワークフローの一部として、アテステーションの発生(拒否の場合は発生しない)に対応し、したがってアテステーションの発生時に開始される、カスタムのワークフローを定義できます。これは2つの目的に役立ちます。

- フローのデフォルトのアテステーション・タスク(「ユーザー・アテステーション・イベントが発生しました」)は、特定のユーザー権限のアテステーション履歴の監査証跡を提供します。

- リソース・インスタンスが適切なタイプのアテステーション・プロセスによってアテストされるたびに、このタスクのインスタンスが1つ発生します。

- タスク上に設定されたレスポンス・コードは、レビューアが入力したレスポンスの種類を示しています。

- タスク作成者のタグを付けられたユーザーは、レビューアが誰であるかを示しています。

- ユーザーが入力したコメントはすべて、タスクのメモ・フィールドに入ります。

- レスポンスが生成したタスクを使用すると、デフォルト・タスクがワークフローを開始して、受け取った特定のアテステーション・レスポンスに対応することができます。このため、特定のリソースについて、却下のレスポンスによってプロビジョニング・プロセスの該当するワークフロー・タスク(たとえばアカウントの無効化など)が開始されるように指定できます。

5.1.9 アテステーションの電子メール

アテステーション・エンジンは、アテステーション・プロセスの一環として、各種の関係者に電子メールを送信します。電子メールの内容を構成できるようにするために、Oracle Identity Managerの「電子メール定義」ストアの「一般」タイプの電子メール・テンプレートが使用可能になります。コンテキストに依存するよう、電子メールでは、必要な値に置き換えられる各種の変数が含まれます。

5.1.9.1 Notify Attestation Reviewer

このテンプレートは、アテステーション・タスクが割り当てられているレビューアに送信する電子メールを作成するために使用されます。

5.1.9.1.1 変数

「Notify Attestation Reviewer」テンプレートの変数を次に示します。

変数

説明

Attestation Definition.Process Name

アテステーション・プロセスの名前

Attestation Definition.Process Code

アテステーション・プロセスのコード

Attestation Task.Task Assigned Date

アテステーション・タスクが割り当てられた日付

5.1.9.1.2 件名行

「Notify Attestation Reviewer」テンプレートにより定義された電子メール・メッセージの件名行を次に示します。

A new attestation task for attestation process Attestation Definition.Process Name has been added to your attestation inbox

5.1.9.1.3 本文

電子メール・メッセージの本文には次の情報が含まれます。

The attestation task details are as follows
Process Name: Attestation Definition.Process Name
Process Code: Attestation Definition.Process Code
Data Type: Access Rights
Assigned Date: Attestation Task.Task Assigned Date

5.1.9.2 Notify Delegated Reviewers

このテンプレートは、アテステーション・タスクを委任されたレビューアに送信する電子メールを作成するために使用されます。

5.1.9.2.1 変数

「Notify Delegated Reviewers」テンプレートの変数を次に示します。

変数

説明

Attestation Definition.Process Name

アテステーション・プロセスの名前

Attestation Definition.Process Code

アテステーション・プロセスのコード

Attestation Task.Task Assigned Date

アテステーション・タスクが割り当てられた日付

Attestation Task.Delegated By First Name

委任を行ったレビューアの名

Attestation Task.Delegated By Last Name

委任を行ったレビューアの姓

Attestation Task.Delegated By User Id

委任を行ったレビューアのユーザーID

5.1.9.2.2 件名行

「Notify Delegated Reviewers」テンプレートにより定義された電子メール・メッセージの件名行を次に示します。

Attestation Task.Delegated By User Id has delegated to you an attestation task from attestation process Attestation Definition.Process Name

5.1.9.2.3 本文

メッセージの本文には次の情報が含まれます。

The attestation task details are as follows
Process Name: Attestation Definition.Process Name
Process Code: Attestation Definition.Process Code
Data Type: Access Rights
Assigned Date: Attestation Task.Task Assigned Date
Delegated By: Attestation Task.Delegated By First Name Attestation Task.Delegated By Last Name [Attestation Task.Delegated By User Id]

5.1.9.3 拒否されたアテステーション権限についてのプロセス所有者への通知

「Notify Declined Attestation Entitlements」テンプレートは、拒否された権限アテステーション・タスクについてプロセス所有者に通知するために送信する電子メールを作成するために使用されます。

5.1.9.3.1 変数

「Notify Process Owner about Declined Attestation Entitlements」テンプレートの変数を次に示します。

変数

説明

Attestation Request.Request Id

アテステーション・リクエストのID

Attestation Definition.Process Name

アテステーション・プロセスの名前

Attestation Task.Reviewer First Name

レビューアの名

Attestation Task.Reviewer Last Name

レビューアの姓

Attestation Task.Reviewer User Id

レビューアのユーザーID

Attestation Data.Provisioned User First Name

アテストされるユーザーの名

Attestation Data.Provisioned User Last Name

アテストされるユーザーの姓

Attestation Data.Provisioned User Id

証明されるユーザーのユーザーID

Attestation Data.Resource Name

アテストされるリソースの名前

Attestation Data.Entitlement Descriptive Data

アテストされる権限の説明データ

5.1.9.3.2 件名行

「Notify Process Owner about Declined Attestation Entitlements」テンプレートにより定義された電子メール・メッセージの件名行を次に示します。

User access rights in attestation request Attestation Request.Request Id have been declined by Attestation Task.Reviewer User Id

5.1.9.3.3 本文

メッセージの本文は次のとおりです。

Attestation of the following user access rights were declined by the reviewer.
Reviewer: Attestation Task.Reviewer First Name Attestation Task.Reviewer Last Name [Attestation Task.Reviewer User Id]
Attestation Process: Attestation Definition.Process Name
Attestation Request ID: request Attestation Request.Request Id
Access Rights Data: Attestation Data.Provisioned User First Name Attestation Data.Provisioned User Last Name [Attestation Data.Provisioned User User Id] - Attestation Data.Resource Name - Attestation Data.Entitlement Descriptive Data

5.1.9.3.4 スペシャル・コメント

権限データ項目はそれぞれ新しい行に表示されます。

5.1.9.4 電子メールが定義されていないレビューアについてのプロセス所有者への通知

「Attestation Reviewers With No Email Defined」テンプレートは、電子メール・アドレスが定義されていないレビューアについて、プロセス所有者に通知するために送信する電子メールを作成するために使用されます。

5.1.9.4.1 変数

「Notify Process Owner About Reviewers with No Email Defined」テンプレートの変数は次のとおりです。

変数

説明

Attestation Request.Request Id

アテステーション・リクエストのID

Attestation Definition.Process Name

アテステーション・プロセスの名前

Attestation Request.Request Creation Date

アテステーション・リクエストが作成された日付

Attestation Task.Reviewer First Name

無効なレビューアの名

Attestation Task.Reviewer Last Name

無効なレビューアの姓

Attestation Task.Reviewer User Id

無効なレビューアのユーザーID

5.1.9.4.2 件名行

「Notify Process Owner About Reviewers with No Email Defined」テンプレートにより定義される電子メールの件名行を次に示します。

E-mail address is not defined for some of the reviewers in attestation process Attestation Definition.Process Name, request Attestation Request.Request Id

5.1.9.4.3 本文

メッセージの本文は次のとおりです。

The following attestation reviewers do not have e-mail addresses defined. Attestation requests have been generated for these reviewers and can be accessed by logging in to Oracle Identity Manager. However, notification e-mails were not sent.
Attestation process: Attestation Definition.Process Name
Attestation Request ID: request Attestation Request.Request Id
Request date: Attestation Request.Request Creation Date
Reviewers Without Email: Attestation Task.Reviewer First Name Attestation Task.Reviewer Last Name [Attestation Task.Reviewer User Id]

5.1.9.4.4 スペシャル・コメント

レビューアの詳細はそれぞれ新しい行に表示されます。

5.2 アテステーション・プロセスの設定

Oracle Identity System Administrationのメニュー項目から、アテステーション・プロセスの設定ページにアクセスできます。Oracle Identity Manager管理者は、このページを使用して次を実行できます。

- 新しいアテステーション・プロセスの定義

- 既存のプロセスの管理

- 非定型アテステーション・プロセスの開始

5.2.1 メニュー構造

最上位の「アテステーション」メニューには、Oracle Identity Manager拡張管理の「ポリシー」セクションへの次のリンクが表示されます。

- アテステーション・プロセスの作成

- アテステーション・プロセスの管理

これらのメニュー項目は、拡張管理のすべてのメニュー項目を管理する同一の委任管理権限により管理されています。

これらのメニュー項目は定義済ですが、Oracle Identity Managerのグループには割り当てられていません。監査コンプライアンス・コンポーネントがインストールされている場合、それらはOracle Identity Managerの「システム管理者」グループに割り当てられます。

5.2.2 システム制御

アテステーションには次の依存性があります。

- ユーザー・プロファイル監査機能を有効にする必要があります。

- 履歴データは、少なくともプロセス・フォーム・レベルまで収集する必要があります。

監査レベルが必要なレベルより下に設定されている場合、アテステーションに関連するメニュー項目のリンクをクリックすると「アテステーション機能は使用できません」ページが生成され、ユーザーによるアテステーション・プロセスの定義ができなくなります。

監査レベルはXL.UserProfileAuditDataCollectionというシステム・プロパティで制御されており、アテステーション機能では、この値が少なくとも「リソース・フォーム」に設定される必要があります。

5.3 アテステーション・プロセスの作成

注意:

この項で説明する手順には、Oracle Identity Managerの権限モデルが適用されています。このモデルではターゲット(たとえばユーザー)のリストを、ログインしているユーザーが読取りアクセス権を持っているターゲットのみに制限します。

アテステーション・プロセスを作成するには、次の手順を実行します。

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「ポリシー」で、「アテステーション構成」をクリックします。「アテステーション・プロセスの管理」ページが表示されます。

3. 「アテステーション・プロセスの作成」をクリックします。「ステップ1: プロセスの定義」ページが表示されます。

4. フィールドに値を入力して「続行」をクリックします。次の表にフィールドの説明を示します。

フィールド

説明

名前

アテステーション・プロセスの一意の名前。名前は、システム管理者であるアテステーション・プロセスおよび削除されたアテステーション・プロセスの中で一意である必要があります。

コード

プロセスの識別コード(32文字以下)。コードは、システム管理者であるアテステーション・プロセスおよび削除されたアテステーション・プロセスの中で一意である必要があります。

注意: コードを使用すると、アテステーション・プロセスの定義をより詳細に識別できます。ただし、「コード」フィールドに値を指定しない場合、アテステーション・プロセスは一意の名前により識別されます。

説明

アテステーション・プロセスの詳細説明です。

5. 「ステップ2: ユーザー・スコープの定義」ページ:

1. 「属性」リストから属性を選択します。「属性」リストには、FormMetaData.xmlファイルで指定されたユーザー属性およびユーザー・フォームのユーザー定義属性が表示されます。選択した属性は、アテステーション・プロセスが適用されるユーザーが合致する必要のある基準を指定するために使用されます。

2. 「条件」リストから条件を選択します。「条件」リストに表示される値は、選択した属性のタイプに応じて異なります。たとえば、「属性」フィールドで「ユーザーID」を選択した場合、条件として「含む」、「含まない」、「完全一致」および「完全一致でない」が表示されます。また「開始日」属性を選択した場合、条件として「前」、「後」および「間」が表示されます。

3. 「値」フイールドに、ユーザー属性の値を入力します。

4. 「再帰的」オプションを選択します。「再帰的」チェック・ボックスは、ユーザー・スコープを定義する際に子エンティティを含めるエンティティに対して使用します。たとえば、ユーザー・スコープで「組織」を選択し、次に「再帰的」を選択すると、すべての下位組織も操作の対象となります。

5. 「追加」をクリックしてユーザー・スコープ表に新規行を追加し、「続行」をクリックします。ユーザー・スコープ表に複数の行を追加した場合、アテステーション・プロセスは、ユーザー・スコープのすべての属性条件に一致するユーザーにのみ適用されます。

6. 「ステップ3: リソース・スコープの定義」ページで、次のようにアテステーション・プロセスのリソースを選択します。

1. 「属性」リストから、次の表で示したリソース属性のいずれかを選択します。

属性

式

説明

名前

フルテキストまたはワイルドカード

リソースの名前。

タイプ

「すべて」または「サブセット」の選択オプションを持つ参照値

リソースのタイプ。

リソース監査目的

「すべて」または「サブセット」の選択オプションを持つ参照値

プロビジョニングされるリソースに割り当てられる監査目的。たとえば、そのリソースが財務的に意味を持つかどうかを示す。

「リソース監査目的」の詳細は、「リソースの詳細の表示」を参照してください。

管理者ユーザー・グループ

「すべて」または「サブセット」の選択オプションを持つ参照値

リソースの管理権限を持つユーザー・グループ。

認可ユーザー・グループ

「すべて」または「サブセット」の選択オプションを持つ参照値

リソースの認可者または承認者であるユーザー・グループ。

リソース・ステータス

フルテキストまたはワイルドカード

リソースがユーザーにプロビジョニングされる際に表示されるステータス(「認証」、「却下」、「オープン」、「クローズ」など)。

2. 「条件」リストから検索条件を選択します。

3. 「値」フイールドに、リソース属性の値を入力します。

4. 「追加」をクリックしてリソース・スコープ表に新規行を追加し、「続行」をクリックします。リソース・スコープ表に複数の行を追加した場合、アテステーション・プロセスは、リソース・スコープのすべての属性条件に一致するリソースにのみ適用されます。

7. 「ステップ4: 管理詳細の定義」ページで、次の手順を実行して、データをアテストするレビューア、アテステーション・プロセスのスケジュール、猶予期間およびプロセス所有者を定義します。

1. 「レビューア」リストから、アテステーション・プロセスのレビューアのタイプ(ある特定のユーザー、ロール・メンバー、リソース管理者など)を選択します。次に、隣にある「参照フィールド」からレビューアを選択します。
レビューアのタイプとして「ロール・メンバー」を選択した場合は、特定のアテステーション・タスクをレビューするロールを選択する必要があります。作成されて実行されたアテステーション・タスクは、次の条件に基づいて、選択したロールに割り当てられます。

- アテステーション・タスクは、「無効」および「削除」状態でないすべてのユーザーに割り当てられます。

- そのロールのレビューアが受益者でもある場合、アテステーション・タスクはそのユーザーには割り当てられません。

- 前述のチェック後、ロールに適格なユーザーがいない場合は、システム管理者ロールのすべてのユーザーにタスクが割り当てられます。

2. アテステーション・プロセスを1回実行するか、または特定の日数、月数または年数ごとに繰り返し実行するかといったアテステーション・プロセスのスケジュールを指定します。

3. 猶予期間、つまり、このアテステーション・プロセスで生成されたアテステーション・タスクに各レビューアが応答する必要がある期間の日数を指定します。

4. 「開始日」フィールドで、アテステーション・プロセスの開始日を指定します。

5. 「プロセス所有者グループ」参照フィールドで、アテステーション・プロセスの所有者であるグループを指定します。

6. アテステーション・プロセスがレビューアに拒否された場合に、プロセス所有者に電子メールで通知するには、「レビューアがアテステーション・リクエストを拒否した場合、プロセス所有者に電子メール」を選択します。次に、「続行」をクリックします。

8. 「ステップ5: 情報検証ページ」で、アテステーション・プロセスの詳細を確認した後、「プロセスの作成」をクリックします。
アテステーション・プロセス定義が正常に作成されたことを示すメッセージが表示されるページに切り替わります。プロセス名をクリックすると、「アテステーション・プロセスの詳細」ページが表示されます。別のアテステーション・プロセスを作成するには、「別のアテステーション・プロセス定義を作成」をクリックします。

「アテステーション・プロセスの詳細」ページの詳細は、「アテステーション・プロセスの管理」を参照してください。

5.4 アテステーション・プロセスの管理

アテステーション・プロセスを管理するには次の手順を実行します。

1. Oracle Identity System Administrationの左ペインの「ポリシー」で、「アテステーション構成」をクリックします。「アテステーション・プロセスの管理」ページが表示されます。

2. 「アテステーション・プロセスの管理」ページで、管理するアテステーション・プロセスの検索基準を入力します。アテステーション・プロセス名、プロセス・コード、レビューア・タイプまたはプロセス所有者で検索できます。検索基準を入力した後、「検索」をクリックします。検索基準に一致するアテステーション・プロセスが「アテステーション・プロセスの詳細」ページに表示されます。表示されるのは、ログインした管理者が権限に基づいてまたはプロセス所有者グループのメンバーであるという理由で表示を許可されているアテステーション・プロセスです。このページには削除されたプロセスは表示されません。このページに表示される列を次の表に示します。

列

説明

名前

プロセスの名前を指定します。

コード

アテステーション・プロセスのコードを指定します。

説明

プロセスの説明を指定します。

ステータス

アテステーション・プロセスが有効であるかシステム管理者であるかを示します。

タイプ

リソースのタイプを指定します。

ユーザー・スコープ

アテステーション・プロセスの一部となるユーザーのスコープを指定します。

リソース・スコープ

アテステーション・プロセスのスコープ内にあるリソースを指定します。

レビューア・タイプ

レビューアのタイプを示します。

レビューア名

レビューアの名前を示します。

スケジュール

プロセスが1回のみ、または毎日、毎月または毎年といったスケジュールで実行されるかを示します。

最終開始

アテステーション・プロセスが最後に実行されたタイミングを指定します。

次回開始

スケジュールによりプロセスが次回実行されるタイミングを指定します。

プロセス所有者グループ

プロセス所有者グループを示します。また、アテステーション・リクエストがレビューアに拒否された場合に、プロセス所有者に電子メールで通知するかどうかも示します。

前回の完了

このプロセスのインスタンスが最後に完了したタイミングを指定します。

ここでは次のトピックについて説明します。

- アテステーション・プロセスの編集

- アテステーション・プロセスの無効化

- アテステーション・プロセスの有効化

- アテステーション・プロセスの削除

- アテステーション・プロセスの実行

- アテステーション・プロセス管理者の管理

- アテステーション・プロセス実行履歴の表示

5.4.1 アテステーション・プロセスの編集

アテステーション・プロセスを編集するには次の手順を実行します。

1. 「アテステーション・プロセスの詳細」ページで、「編集」をクリックします。

2. 「アテステーション・プロセスの編集」ページでアテステーション・プロセスに必要な変更を加え、「保存」をクリックします。
「アテステーション・プロセスの編集」ページのフィールドは、「アテステーション・プロセスの作成」で表示されるフィールドと同じです。

5.4.2 アテステーション・プロセスの無効化

アクティブなアテステーション・プロセスを削除するには、次の手順を実行します。

1. 「アテステーション・プロセスの詳細」ページで、「無効化」をクリックします。
「無効化」ボタンが表示されるのは、プロセスがアクティブである場合のみです。

2. 「アテステーションの無効化の確認」ページで「無効化の確認」をクリックします。

5.4.3 アテステーション・プロセスの有効化

アテステーション・プロセスを有効化できるのは、次の開始時刻が未来で、プロセスが無効化されている場合のみです。

アテステーション・プロセスを有効化するには次の手順を実行します。

1. 「アテステーション・プロセスの詳細」ページで、「有効化」をクリックします。
「有効化」ボタンが表示されるのは、プロセスが無効化されている場合のみです。

2. 「アテステーションの有効化の確認」ページで「有効化の確認」をクリックします。

5.4.4 アテステーション・プロセスの削除

アテステーション・プロセスの編集、無効化および削除を実行できるのは、必要な権限を持つプロセス管理者のみです。

アテステーション・プロセスを削除するには次の手順を実行します。

1. 「アテステーション・プロセスの詳細」ページで、「削除」をクリックします。

2. ページで「削除の確認」をクリックします。

5.4.5 アテステーション・プロセスの実行

この機能を使用すると、未スケジュールのアテステーション・プロセスを実行できます。アテステーション・プロセスを実行するには、「アテステーション・プロセスの詳細」ページで「即時実行」をクリックします。これにより、アテステーション・スケジュールとは独立してアテステーション・プロセスが開始されます。

未スケジュールのアテステーション・プロセスを開始できるのは、プロセス所有者グループのユーザーのみです。

5.4.6 アテステーション・プロセス管理者の管理

アテステーション・プロセスのための管理グループの追加、削除および更新のタスクは、ユーザーおよび組織のために管理グループを更新するタスクに類似しています。

アテステーション・プロセスの管理者を管理するには、「アテステーション・プロセスの詳細」ページの「追加詳細」リストから「管理者」を選択します。「管理グループ」ページが表示されます。このページを使用して、アテステーション・プロセスのための管理者の追加や削除、および管理者権限の更新を行うことができます。

アテステーション・プロセス定義の権限モデルは次のとおりです。

- アテステーション・プロセス定義を表示するには、ユーザーは次のいずれかである必要があります。

- 「管理者グループ」において適切な読取り権限を持つグループのメンバー

- プロセス所有者であるグループのメンバー

- アテステーション・プロセス定義を編集するには、ユーザーは、「管理者グループ」において必要な書込み権限を持つグループのメンバーである必要があります。

- アテステーション・プロセス定義を削除するには、ユーザーは、「管理者グループ」において必要な削除権限を持つグループのメンバーである必要があります。

5.4.7 アテステーション・プロセス実行履歴の表示

アテステーション・プロセスの実行履歴を表示するには、「アテステーション・プロセスの詳細」ページの「追加詳細」リストから「実行履歴」を選択します。「アテステーション・プロセス実行履歴」ページが表示されます。

「アテステーション・プロセス実行履歴」表には次の列があります。

列

説明

リクエストID

実行されたアテステーション・プロセス・インスタンスのID。

レビューア

アテステーション・プロセスのレビューアの名前。

開始日

リクエストが開始された日付と時刻。

完了日

リクエストが完了した日付と時刻。

リクエストが保留中の場合は、「未完了」と表示されます。

「アテステーション・プロセス実行履歴」ページで、「リクエストID」リンクをクリックすると「リクエストの詳細」ページが開きます。このページでは、状態が認証済か、却下されたか、オープンか、クローズかに応じてリクエストをフィルタリングできます。

5.5 アテステーション・ダッシュボードの使用

自分がメンバーであるグループが所有するアテステーション・プロセスの状態を表示するには、アテステーション・ダッシュボードを使用します。

「アテステーション・ダッシュボード」を使用するには、Oracle Identity Self Serviceにログインし、「管理」で「アテステーション・ダッシュボード」をクリックします。「アテステーション・ダッシュボード」ページには、自分がメンバーであるグループが所有するアテステーション・プロセスの状態がリストされた表が表示されます。「アテステーション・ダッシュボード」表には、次の表に示す列が表示されます。

列

説明

プロセス・コード

アテステーション・プロセス・コード。

プロセス名

プロセスの名前。アテステーション・プロセス名のリンクをクリックすると「アテステーション・プロセスの詳細」ページが表示されます。

前回の完了

最後のインスタンスの前に実行されたインスタンスが完了した日付と時刻。存在しない場合、値は「なし」です。これは、目的のアテステーション・リクエストの「アテステーション・リクエストの詳細」ページに移動するリンクです。

現在のリクエスト日

このプロセスの最後のインスタンスが実行された日付と時刻。実行されていない場合、値は「新規」です。これは、目的のアテステーション・リクエストの「アテステーション・リクエストの詳細」ページに移動するリンクです。

現在完了

最後に実行されたインスタンスが完了した日付と時刻。完了していない場合、値は「保留」です。

全レコード

アテステーションに対して識別されている権限および最後のプロセス・インスタンスの一部としてアテステーションの対象とされている権限の総数。

認証済

最後のアテステーション・プロセス・インスタンスで認可された権限の数。

却下

最後のアテステーション・プロセス・インスタンスで却下された権限の数。

オープン

レビューアによりレスポンスが入力されなかったすべてのオープン・レコード。

5.5.1 アテステーション・リクエスト詳細の表示

「アテステーション・ダッシュボード」ページからドリルダウン・ページにアクセスできます。ドリルダウン・ページには、アテステーション・プロセスの特定の実行で処理するすべての権限のアテステーション詳細が表示されます。

アテステーション・リクエスト詳細を表示するには、次の手順を実行します。

1. 「アテステーション・ダッシュボード」ページの表に表示された「前回の完了」フィールドまたは「現在のリクエスト・ページ」フィールドのリンクをクリックします。
「アテステーション・リクエストの詳細」ページには、選択したアテステーション・プロセスのリクエスト詳細が、次の列を含む表とともに表示されます。

列

説明

ユーザー

権限がアテスト対象となっているユーザー。データはリンクとして表示されます。このリンクをクリックすると、「ユーザー・プロファイル」ページが表示され、アテステーション日のユーザーの詳細が表示されます。

リソース

アテストされる権限の基盤であるリソース。データはリンクとして表示されます。リンクをクリックすると、ページが表示され、アテステーション日の権限のプロセス・フォーム・データが表示されます。

記述データ

プロビジョニング・リソース・インスタンスの説明。

コメント

リクエストのコメントまたはステータス。この値は次のいずれかです。

- 認証

- 却下

- オープン

- クローズ

アテステーション結果

アテステーションに対して入力された最後のレスポンス。

レビューア

レスポンスを入力したユーザー。データはリンクとして表示されます。このリンクをクリックすると、「ユーザー・プロファイル」ページが表示され、現在のユーザーの詳細が表示されます。

委任パス

権限のアテステーションが委任を経由して実行された場合、この列の「表示」リンクを使用して、「委任パスの詳細」ページを表示できます。委任が発生しなかった場合、「なし」と表示されます。

コメント

レビューア・コメント。長いコメントは切り捨てられ、ツールチップを使用してコメントの全文が表示されます。

2. 委任が必要なアテステーション・リクエストには、「委任パス」列にリンクが含まれます。
リンクをクリックすると、「委任パス」ページに、アテステーション・リクエストの委任パスに関する情報が表示されます。

「アテストされたデータ」フィールドには、アテスト対象権限の詳細が表示されます。値は、ユーザー情報、リソース名および記述データをまとめて次の形式で構成されます。

User_First_Name User_Last_Name [User_ID] - Resource_Name - Descriptive_Data

「委任パス」ページの表にあるフィールドは次のとおりです。

列

説明

レビューア

アテストする権限が割り当てられたレビューア。データはリンクとして表示されます。このリンクをクリックすると、現在のユーザー・プロファイル・データが表示されます。

アテステーション結果

レビューアにより行われるアクション。最初のレコードを除き、値は常に「委任済」です。

アテステーション日

レビューアのアテステーション・レスポンスの日付と時刻。

コメント

レビューア・コメント。長いコメントは切り捨てられ、ツールチップを使用してコメントの全文が表示されます。

5.5.2 電子メール通知

アテステーション・プロセスの一部として、アテステーション・エンジンは様々な段階で電子メールを関係者に送信します。電子メールの内容は、Oracle Identity Managerの「電子メール定義」ストアの「一般」タイプの電子メール・テンプレートを使用して構成できます。

テンプレートでは、フォーム・ユーザーはXELSYSADMと定義されます。これは別のユーザーに変更できます。電子メール・アドレスが、このテンプレートを使用するように選択されたユーザーに対して定義されていることを確認してください。定義されていない場合、通知の送信に失敗することがあります。

次の電子メール通知テンプレートを使用できます。

- Notify Attestation Reviewer: アテステーション・タスクがレビューアに割り当てられたときに電子メールを送信するために使用されます。

- Notify Delegated Reviewers: アテステーション・タスクがレビューアに委任されたときにレビューアに電子メールを送信するために使用されます。

- Notify Declined Attestation Entitlements: レビューアが権限を拒否した場合に、「プロセス所有者グループ」のユーザーに電子メールを送信するために使用されます。

- Attestation Reviewers With No Email Defined: どのレビューアにも電子メール・アドレスが定義されていない場合に、「プロセス所有者グループ」のユーザーに電子メールを送信するために使用されます。

5.5.3 アテステーション猶予期間チェッカー・スケジュール済タスク

アテステーション猶予期間チェッカーと呼ばれるシステムのスケジュール済タスクは、Oracle Identity Managerで定義されているアテステーション・プロセスを調査し、必要なアテステーション・タスクを作成するために使用されます。

アテステーション猶予期間チェッカー・スケジュール済タスクの機能は次のとおりです。

- このスケジュール済タスクが、デフォルトで30分間隔で実行されるように設定されています。これは、必要に応じて変更できます。

- このスケジュール済タスクでは、すべてのアクティブなアテステーション・プロセスを調査します。

第III部

フォーム管理

この部では、Oracle Identity Managerでユーザー、ロール、組織、リクエスト・カタログおよびリソースを拡張するためにフォームを管理する方法について説明します。

次の章で構成されます。

- 第6章「フォームの管理」

- 第7章「カスタム属性の構成」

6 フォームの管理

Oracle Identity System Administrationでフォーム・デザイナを使用して、フォームとデータセットを作成および管理できます。

関連項目:

リクエスト・データセットの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のリクエストの理解に関する項を参照してください。

この項の内容は次のとおりです。

- フォーム・デザイナを使用したフォームの作成

- フォーム・デザイナを使用したフォームの検索

- フォーム・デザイナを使用したフォームの変更

注意:

この項で説明する手順の実行を開始する前に、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を確認することをお薦めします。

6.1 フォーム・デザイナを使用したフォームの作成

フォーム・デザイナを使用してフォームを作成するには:

1. Oracle Identity System Administrationにログインします。

2. サンドボックスを作成してアクティブ化します。サンドボックスがアクティブ化されていない場合、警告メッセージが表示されます。サンドボックスの作成およびアクティブ化の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

3. 左ペインの「構成」で、「フォーム・デザイナ」をクリックします。「フォーム・デザイナ」ページが表示されます。

4. 「アクション」メニューから「作成」を選択します。または、ツールバーにある「作成」をクリックします。「フォームの作成」ページが表示されます。

5. 「リソース・タイプ」フィールドで、フォームを関連付けるリソース・オブジェクトを指定します。これを行うには、次のようにします。

1. 「名前」フィールドの横にある参照アイコンをクリックします。「検索と選択: 名前」ダイアログ・ボックスが表示されます。

2. 「名前」フィールドで、検索するリソース・オブジェクトの名前を入力します。リソース・オブジェクトすべてを表示する場合、このフィールドは空白のままでもかまいません。

3. 「検索」をクリックします。検索条件と一致するリソース・オブジェクトが表示されます。

4. フォームに関連付けるリソース・オブジェクトを選択して、「OK」をクリックします。リソース・オブジェクト名が、「フォームの作成」ページの「名前」フィールドに表示されます。

6. 「フォーム名」フィールドにフォーム名を入力します。

7. 「使用可能なフォーム・フィールド」セクションに、フォーム・フィールド名と説明のリストおよび表示名が表示されます。これらのフィールドは、作成するフォームで使用できます。使用可能なフォーム・フィールドごとに、「バルク更新」オプションを選択できます。このオプションを選択すると、エンティティのバルク更新にこのフォーム・フィールドを使用できます。

8. 「作成」をクリックします。フォームが作成されたことを示すメッセージが表示されます。

9. 必要に応じて、サンドボックスをエクスポートし、サンドボックスで行ったすべての変更を格納できます。サンドボックスのエクスポートの詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

10. サンドボックスを公開します。サンドボックスの公開の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

6.2 フォーム・デザイナを使用したフォームの検索

フォーム・デザイナを使用してフォームを検索するには:

1. Oracle Identity System Administrationの「構成」で、「フォーム・デザイナ」をクリックします。「フォーム・デザイナ」ページが表示されます。

2. 次のオプションのいずれかを選択します。

- すべて: 検索はAND条件で実行されます。つまり、指定されたすべての検索基準を満たす場合のみ検索操作が成功します。

- いずれか: 検索はOR条件で実行されます。つまり、指定された選択基準のいずれかに一致する場合に検索操作が成功します。

3. 「タイプ」リストからフォーム・タイプ(「ユーザー」、「ロール」、「組織」、「カタログ」、「リソース」など)を選択します。フォーム・タイプは、フォームが関連付けられるエンティティ・タイプを表します。
選択したフォーム・タイプのフォームをすべて表示する場合は、他の検索フィールドを空白のままにして、「検索」をクリックします。

4. 「リソース・タイプ」リストから、フォームに関連付けるリソース・オブジェクトのタイプを選択します。前のステップで「タイプ」リストから「リソース」を選択した場合にのみ、「リソース・タイプ」リストの値選択が必須となることに注意してください。

5. フォーム名や説明ごとの検索基準を指定するには、「フォーム名」または「説明」の各フィールドに値を入力します。

6. 「検索」をクリックします。検索条件と一致するフォームが表示されます。フォームごとに、検索結果にフォーム名、フォーム・タイプ、リソース・タイプおよび説明が表示されます。

6.3 フォーム・デザイナを使用したフォームの変更

フォーム・デザイナを使用してフォームを変更するには:

関連項目:

6.3.1項「フォーム属性の削除または非表示」

1. サンドボックスを作成してアクティブ化します。サンドボックスがアクティブ化されていない場合、警告メッセージが表示されます。サンドボックスの作成およびアクティブ化の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

2. 「フォーム・デザイナ」ページで、変更するフォームを検索します。

3. 「検索結果」表で、変更するフォームを選択します。

4. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。それ以外の場合は、「検索結果」表でフォーム名をクリックします。図6-1に示すように、フォームの管理ページがフォームの詳細とともに表示されます。

図6-1 フォームの管理ページ

「図6-1 フォームの管理ページ」の説明

フォームの管理ページのオブジェクト情報セクションにフォーム属性が表示されます。「標準」および「カスタム」の各セクションには、フォームの標準フィールドとカスタム・フィールドがリストされます。これらのセクションで、標準フィールドを編集したり、カスタム・フィールドを作成して編集できます。

5. 任意の標準フィールドを変更する場合は、次の手順を実行します。

1. 「標準」セクションで、変更するフィールドを選択します。

2. ツールバーの「編集」アイコンをクリックします。または、フィールドを編集する表示ラベルをクリックします。
図6-2に示すように、「標準フィールドの編集」ダイアログ・ボックスが表示されます。

図6-2 「標準フィールドの編集」ダイアログ・ボックス

「図6-2 「標準フィールドの編集」ダイアログ・ボックス」の説明

3. フィールドの値を変更します。フィールドの表示名やヘルプ・テキストを編集できます。「フィールド名」および「API名」の各フィールドは読取り専用です。

4. 「OK」をクリックします。

6. 必要に応じて、サンドボックスをエクスポートし、サンドボックスで行ったすべての変更を格納できます。サンドボックスのエクスポートの詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

7. サンドボックスを公開します。サンドボックスの公開の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

関連項目:

カスタム・フィールドまたはユーザー定義フィールド(UDF)の作成および変更の詳細は、「カスタム属性の構成」を参照してください。

6.3.1 フォーム属性の削除または非表示

フォーム属性の削除または非表示をOracle Identity Self Serviceで行うには:

1. Oracle Identity Self Serviceにログインします。

2. サンドボックスを作成してアクティブ化します。サンドボックスの作成およびアクティブ化の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

3. 左ペインの「リクエスト」で、「カタログ」をクリックします。「カタログ」ページが表示されます。

4. 更新対象の「リソース・フォーム」ページが含まれるアプリケーション・インスタンスを検索して選択し、「カートに追加」をクリックします。

5. 「チェックアウト」をクリックします。

6. 「カート詳細」ページの「詳細」セクションに、アプリケーション・インスタンス・フォームおよびその属性が表示されます。

7. 「カスタマイズ」をクリックして、WebCenter Composerを開きます。ページがカスタマイズ・モードで開きます。

8. ページの左上隅にある「表示」メニューから、「ソース」を選択します。オブジェクト・ツリーが表示されます。

9. フォーム属性を削除するには、UIコンポーネントを選択し、ページの上部にあるコンポーザパネルで削除アイコンをクリックします。
フォーム属性を非表示するには、「編集」をクリックします。そして、UIコンポーネントを選択し、「レンダリング済」プロパティをfalseに設定します。

10. カスタマイズ・モードを終了するには、「閉じる」をクリックします。

11. 必要に応じて、サンドボックスをエクスポートし、テスト環境から本番環境に変更を移行できます。サンドボックスのエクスポートの詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

12. サンドボックスを公開します。サンドボックスの公開の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

7 カスタム属性の構成

エンティティ属性はエンティティのプロパティです。ユーザー・エンティティに関する情報は、名、姓、ユーザー・ログイン、パスワードなどの属性の形で格納されます。Oracle Identity Managerにはデフォルトのユーザー属性があります。ただし、Oracle Identity System Administrationのフォーム・デザイナを使用して、カスタムのユーザー属性を作成できます。カスタム属性はユーザー定義フィールド(UDF)と呼ばれます。Oracle Identity Managerを使用して、ユーザー、ロール、リソース、組織およびカタログ・エンティティのUDFを作成できます。

この章では、UDFの作成方法および管理方法について、次の各項で説明します。

- カスタム属性の作成

- カスタムの子フォームの作成

- カスタムの子フォーム属性の作成

- カスタム属性の変更

- カスタム属性の追加

- アプリケーション・インスタンス・フォームへのカスタム属性の追加

- テストから本番へのUDFの移行

- Oracle Identity ManagerとLDAP間のユーザー定義フィールドの同期

- 属性定義

- カスケードLOVの作成

注意:

この項で説明する手順の実行を開始する前に、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を確認することをお薦めします。

7.1 カスタム属性の作成

カスタム属性またはUDFを作成するには:

1. Oracle Identity System Administrationにログインします。

2. サンドボックスを作成してアクティブ化します。サンドボックスの作成およびアクティブ化の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

3. 左ペインの「構成」で、「フォーム・デザイナ」をクリックします。「フォーム・デザイナ」ページが表示されます。

4. UDFを作成するフォームを検索して開きます。たとえば、ユーザーというフォームを開いてユーザーを作成または変更し、UDFをフォームに追加できます。

5. 「フィールド」タブの「カスタム」セクションで、「作成」アイコンをクリックします。「フィールド・タイプの選択」ダイアログ・ボックスが表示されます。

6. 作成するフィールド・タイプを選択します。使用可能なフィールド・タイプは次のとおりです。

- テキスト: テキスト・フィールドを作成するには、このオプションを選択します。

- 数値: 数値フィールドを作成するには、このオプションを選択します。

- チェックボックス: チェック・ボックス・フィールドを作成するには、このオプションを選択します。

- 日付: 日付タイプ・フィールドを作成するには、このオプションを選択します。

- 参照: ユーザーが値を検索して選択できる参照フィールドを作成するには、このオプションを選択します。作成可能な参照タイプには、次の2通りがあることに注意してください。

- 値を選択できるドロップダウン・リスト。

- 値を検索して選択できる検索可能ピックリスト(値のADF名入力リスト)。検索可能ピックリストを作成する場合、「参照フィールドの作成」ページの「拡張」セクションで、「「検索可能」ピックリスト」を選択します。

注意:

依存参照(「親フィールド値選択によりリストを制約」オプションを選択して作成されている参照フィールド)のUDFを作成した後、partialTriggersプロパティをWebCenter Composerで設定し、値を依存参照でリフレッシュする必要があります。そのためには、「カスケードLOVの作成」に記載された手順を参照してください。

7. 「OK」をクリックします。カスタム・フィールドを作成するページが表示されます。
例として、図7-1に、「テキスト・フィールドの作成」ページを示します。この項の残りの手順は、カスタムのテキスト・フィールドの作成に基づいています。

図7-1 「テキスト・フィールドの作成」ページ

「図7-1 「テキスト・フィールドの作成」ページ」の説明

8. 「テキスト・フィールドの作成」ページのフィールドに値を入力します。表7-1に、「テキスト・フィールドの作成」ページのフィールドを示します。作成するフィールド・タイプに応じて、次の表にリストされるフィールドは異なります。

表7-1 「テキスト・フィールドの作成」ページのフィールド

セクション

フィールド

説明

外観

表示ラベル

フォームに表示されるカスタム・フィールド・ラベル。

表示幅

表示幅(文字数)。このフィールドに値を指定しない場合、フィールドの長さがデフォルトとなります。

名前

名前

一意のカスタム・フィールド名。このフィールドは内部使用専用であり、このフィールドの値はユーザーには表示されません。

説明

カスタム・フィールドの説明。このフィールドは内部使用専用であり、このフィールドの値はユーザーには表示されません。

制約

検索可能

カスタム・フィールドをユーザーが検索できるかどうかを定義します。

注意: 「検索可能」チェック・ボックスを選択した場合、「拡張」セクションで「暗号化」を選択することはできません。検索可能としてマークされているカスタム・フィールドは、暗号化できません。

最大長

フィールドの最大長(文字数)。

デフォルト値

テキスト・フィールド

カスタム・フィールドのデフォルト値。このフィールドで指定した値が、オブジェクトの作成時にフィールドに設定されます。

注意: テキスト・フィールドの下のフィールドはグレー表示され、使用されません。

拡張

暗号化

カスタム・フィールドを暗号化する必要があるかどうかを定義します。

注意: 「暗号化」チェック・ボックスを選択する場合、制約セクションで「検索可能」を選択することはできません。暗号化されているカスタム・フィールドを検索することはできません。

バルクで使用

属性をバルク操作で使用できるかどうかを定義します。

LDAP属性

このカスタム属性をマップする必要があるLDAPリポジトリの属性名。

注意: LDAP同期が有効化されていない場合、このフィールドに値を設定しても影響はありません。LDAP同期の有効化の詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の「OIMサーバーの構成」の章を参照してください。

9. 「保存して閉じる」をクリックします。UDFはバックエンドで作成され、フォームの詳細ページの「カスタム」セクションに表示されます。

10. 必要に応じて、サンドボックスをエクスポートし、サンドボックスで行ったすべての変更を格納できます。サンドボックスのエクスポートの詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

11. サンドボックスを公開します。サンドボックスの公開の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

フォーム・デザイナを使用してUDFを作成する場合、UDFはバックエンドで作成され、使用することはできません。このUDFをユーザーが使用できるようにするには、Oracle Identity Self Serviceのページに含め、表示されるようにする必要があります。UDFをOracle Identity Self Serviceのページに含める操作の詳細は、「カスタム属性の追加」を参照してください。

7.2 カスタムの子フォームの作成

アプリケーション・インスタンス・フォームには子フォームを含めることができます。このガイドでは、用語リソース・フォームがアプリケーション・インスタンス・フォームを示すために使用される場合があることに注意してください。

カスタムの子フォームを作成するには:

1. Oracle Identity System Administrationにログインします。

2. サンドボックスを作成してアクティブ化します。サンドボックスの作成およびアクティブ化の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

注意:

アプリケーション・インスタンス・フォームの子フォームを作成しようしているサンドボックスが公開されていることを確認する必要があります。公開されていない場合、この項で説明する手順を、アプリケーション・インスタンス・フォームが作成されたものと同じサンドボックスで実行する必要があります。

3. 左ペインの「構成」で、「フォーム・デザイナ」をクリックします。「フォーム・デザイナ」ページが表示されます。

4. 子フォームを作成するアプリケーション・インスタンス(リソース)フォームを次のように検索して開きます。

1. 「検索」セクションの「タイプ」ドロップダウン・リストから、「リソース」を選択します。

2. 「リソース・タイプ」参照フィールドを指定します。

3. 「検索」をクリックします。
検索基準を満たすすべてのリソース・フォーム(アプリケーション・インスタンス・フォーム)のリストが表示されます。

4. このリストから、開くフォームを選択します。または、ツールバーにある「開く」をクリックします。
<APP_INSTANCE_FORM_NAME>の管理ページが表示されます。

5. 「子オブジェクト」タブで、ツールバーの「追加」アイコンをクリックします。「追加」ダイアログが表示されます。

6. 「名前」フィールドで子フォームの名前を入力し、「OK」をクリックします。子フォームはバックエンドで作成され、対応するアプリケーション・インスタンス・フォームの「子オブジェクト」タブに表示されます。

7. 「ビューの再生成」をクリックして、子フォームに関連付けられるアプリケーション・インスタンス・フォームを再生成します。ビューを再生成しない場合、この子フォームを表示する必要があるページでこの子フォームを使用できません。

8. 必要に応じて、サンドボックスをエクスポートし、サンドボックスで行ったすべての変更を格納できます。サンドボックスのエクスポートの詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

9. サンドボックスを公開します。サンドボックスの公開の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

7.3 カスタムの子フォーム属性の作成

カスタムの子フォーム属性を作成するには:

1. Oracle Identity System Administrationにログインします。

2. サンドボックスを作成してアクティブ化します。サンドボックスの作成およびアクティブ化の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

注意:

子フォームの属性を作成しようしているサンドボックスが公開されていることを確認する必要があります。公開されていない場合、この項で説明する手順を子フォームが作成されたものと同じサンドボックスで実行する必要があります。

3. 左ペインの「構成」で、「フォーム・デザイナ」をクリックします。「フォーム・デザイナ」ページが表示されます。

4. 属性を作成する子フォームの親フォーム(アプリケーション・インスタンス・フォーム)を検索して開きます。フォームを検索して開く操作の詳細は、「カスタムの子フォームの作成」のステップ4を参照してください。
<APP_INSTANCE_FORM_NAME>の管理ページが表示されます。

5. 「子オブジェクト」タブの子フォームのリストから、属性を作成する子フォームを検索して選択します。<CHILD_FORM_NAME>の管理ページが表示されます。

6. 「フィールド」タブの「カスタム」セクションで、「作成」アイコンをクリックします。「フィールド・タイプの選択」ダイアログ・ボックスが表示されます。

7. 作成するフィールド・タイプを選択します。使用可能なフィールド・タイプは次のとおりです。

- テキスト: テキスト・フィールドを作成するには、このオプションを選択します。

- 数値: 数値フィールドを作成するには、このオプションを選択します。

- チェックボックス: チェック・ボックス・フィールドを作成するには、このオプションを選択します。

- 日付: 日付タイプ・フィールドを作成するには、このオプションを選択します。

- 参照: ユーザーが値を検索して選択できる参照フィールドを作成するには、このオプションを選択します。

8. 「OK」をクリックします。カスタム・フィールドを作成するページが表示されます。
例として、図7-2に、「参照フィールドの作成」ページを示します。この項の残りの手順は、カスタムの参照フィールドの作成に基づいています。

図7-2 「参照フィールドの作成」ページ

「図7-2 「参照フィールドの作成」ページ」の説明

9. 「参照フィールドの作成」ページのフィールドに値を入力します。表7-2に、「参照フィールドの作成」ページのフィールドを示します。

表7-2 「参照フィールドの作成」ページのフィールド

セクション

フィールド

説明

外観

表示ラベル

フォームに表示されるカスタム・フィールド・ラベル。

ヘルプ・テキスト

ツールチップとしてユーザーに表示されるフィールド・レベルのヘルプ・テキスト。

名前

名前

一意のカスタム・フィールド名。このフィールドは内部使用専用であり、このフィールドの値はユーザーには表示されません。

説明

カスタム・フィールドの説明。このフィールドは内部使用専用であり、このフィールドの値はユーザーには表示されません。

制約

検索可能

カスタム・フィールドをユーザーが検索できるかどうかを定義します。

値リスト

参照タイプ

その値が使用可能な値のリストとしてユーザーに対して表示される参照。既存の参照タイプを指定するか、または新規の参照タイプを作成できます。

注意: 新しい参照を作成する場合、この新しい参照の名前は、作成するUDF(参照タイプ)の名前と同じにしないでください。これによって、参照がマネージャ・ユーザーページに表示されます。

デフォルト値

ドロップダウン・リスト

カスタム・フィールドのデフォルト値。このフィールドで指定した値が、オブジェクトの作成時にフィールドに設定されます。

注意: ドロップダウン・リストの下のフィールドはグレー表示され、使用されません。

拡張

権限

カスタム・フィールドが権限かどうかを定義します。

注意: 権限の参照フィールドを含む子フォーム(つまり、「権限」フィールドが選択されている)を作成する場合、「検索可能」および「「検索可能」ピックリスト」の各オプションも選択する必要があります。

バルクで使用

属性をバルク操作で使用できるかどうかを定義します。

「検索可能」ピックリスト

カスタム・フィールドが検索可能かどうかを定義します。

10. 「保存して閉じる」をクリックします。UDFはバックエンドで作成され、フォームの詳細ページの「カスタム」セクションに表示されます。

11. 必要に応じて、サンドボックスをエクスポートし、サンドボックスで行ったすべての変更を格納できます。サンドボックスのエクスポートの詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

12. サンドボックスを公開します。サンドボックスの公開の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

フォーム・デザイナを使用してUDFを作成する場合、UDFはバックエンドで作成され、使用することはできません。このUDFをユーザーが使用できるようにするには、Oracle Identity Self Serviceのページに含め、表示されるようにする必要があります。UDFをOracle Identity Self Serviceのページに含める操作の詳細は、「カスタム属性の追加」を参照してください。

7.4 カスタム属性の変更

フォームに対して作成したカスタム属性を変更するには:

1. サンドボックスを作成してアクティブ化します。サンドボックスの作成およびアクティブ化の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

2. フォーム・デザイナで、変更するカスタム属性を含むフォームを検索して開きます。

3. 「カスタム」セクションで、変更するカスタム属性を選択します。

4. ツールバーの「編集」アイコンをクリックします。または、属性の「表示名」をクリックします。フィールドを編集するページが表示されます。

5. 表7-1を参照して、フィールドの値を変更します。

6. 「保存して閉じる」をクリックします。

7. 必要に応じて、サンドボックスをエクスポートし、サンドボックスで行ったすべての変更を格納できます。サンドボックスのエクスポートの詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

8. サンドボックスを公開します。サンドボックスの公開の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

7.5 カスタム属性の追加

UDFを作成する場合、UDFはバックエンドでのみ作成され、このUDFを表示するページで使用できません。Oracle Identity Self ServiceのページでUDFを表示するには:

1. フォーム・デザイナを使用してUDFを作成します。たとえば、「ユーザーの作成」ページに対してUDFを作成できます。

UDFの作成方法は、「カスタム属性の作成」を参照してください。

注意:

UDFをフォーム・デザイナで追加した後、Oracle Identity System AdministrationとOracle Identity Self Serviceの両方からログアウトしてから再びログインすると、新規に追加したUDFを表示してカスタマイズに使用できます。

2. Oracle Identity Self Serviceにログインします。

3. サンドボックスを作成してアクティブ化します。サンドボックスの作成およびアクティブ化の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

4. 左ペインの「管理」で、「ユーザー」をクリックします。図7-3のような「ユーザー」ページが表示されます。

図7-3 「ユーザー」ページ

「図7-3 「Users」ページ」の説明

5. ツールバーで「ユーザーの作成」をクリックして、「ユーザーの作成」ページを表示します。図7-4には「ユーザーの作成」ページが表示されます。

図7-4 「Create User」ページ

「図7-4 「Create User」ページ」の説明

6. ページの右上端にある「カスタマイズ」をクリックして、WebCenter Composerを開きます。図7-5のように「ユーザーの作成」ページがカスタマイズ・モードで表示されます。

図7-5 カスタマイズ・モードの「ユーザーの作成」ページ

「図7-5 カスタマイズ・モードの「ユーザーの作成」ページ」の説明

7. すべての必須フィールドに値を入力します。

8. ページの左上隅にある「表示」メニューから、「ソース」を選択します。図7-6のようなオブジェクト・ツリーが表示されます。

図7-6 カスタマイズ・モードのオブジェクト・ツリー・ページ

「図7-6 カスタマイズ・モードのオブジェクト・ツリー・ページ」の説明

9. ページ上でUDFの追加先となるセクションを選択します。

10. タスク・フロー編集の確認ダイアログ・ボックスで、「編集」をクリックして編集タスクを確認します。オブジェクト・ツリーで、対応するADFコンポーネントが選択されます。図7-7では、タスク・フロー編集の確認ダイアログ・ボックスが示されています。

図7-7 タスク・フロー編集の確認ダイアログ・ボックス

「図7-7 タスク・フロー編集の確認ダイアログ・ボックス」の説明

11. 「コンテンツの追加」をクリックします。図7-8に示すように、「コンテンツの追加」ダイアログ・ボックスが表示されます。

図7-8 「コンテンツの追加」ダイアログ・ボックス

「図7-8 「コンテンツの追加」ダイアログ・ボックス」の説明

12. UDFが追加されたエンティティや領域に応じて、データ・コンポーネントとビュー・オブジェクトを選択します。表7-3には、エンティティ、ページ、データ・コンポーネントおよび選択が必要なビュー・オブジェクトの一覧が記載されています。

表7-3 エンティティと対応するデータ・コンポーネントおよびビュー・オブジェクト

エンティティ

ページ

データ・コンポーネント

ビュー・オブジェクト

ユーザー

ユーザーの作成

データ・コンポーネント - カタログ

userVO

ユーザーの変更

データ・コンポーネント - カタログ

userVO

ユーザーの検索

データ・コンポーネント - ユーザーの管理

UserVO1

ユーザー詳細の表示

データ・コンポーネント - ユーザーの管理

UserVO1

本人情報

データ・コンポーネント - 本人情報

UserVO1

新規ユーザーの登録

データ・コンポーネント - ユーザー登録

UserVO1

ロール

ロールの作成

データ・コンポーネント - ロール

RoleDetailsVO

ロールの変更

データ・コンポーネント - ロール

RoleDetailsVO

ロールの検索

データ・コンポーネント - ロール

RoleVO1

組織

組織の作成

データ・コンポーネント - 組織

EditOrgVO

組織の変更

データ・コンポーネント - 組織

EditOrgVO

組織の検索

データ・コンポーネント - 組織

OrganizationVO

図7-9は、「データ・コンポーネント - マネージャ・ユーザー」などのフォルダ・オプションがある「コンテンツの追加」ダイアログ・ボックスを示します。

図7-9 「データ・コンポーネント - ユーザーの管理」が表示されている「コンテンツの追加」ダイアログ・ボックス

「図7-9 「データ・コンポーネント - ユーザーの管理」が表示されている「コンテンツの追加」ダイアログ・ボックス」の説明

13. 追加したUDFをスクロールして見つけ、「追加」をクリックします。UDFが表示されない場合、ダイアログ・ボックスの上部右隅にあるリフレッシュ・アイコンをクリックして、内容をリフレッシュします。

14. 手順1で作成したカスタム属性と、表示するUDFのタイプに応じて、次のいずれかのメニュー項目を選択します。
テキスト・タイプまたは数値タイプのUDFの場合:

- ADF出力テキスト

- ラベル付ADF出力テキスト

- ADF出力フォーマット済

- ラベル付ADF出力フォーマット済

- ADF入力テキスト

- ラベル付ADF入力テキスト

- ADFラベル

- ラベル付読取り専用ADF入力テキスト

- ADFブール・チェックボックスの選択

- ADF表の列

- ADF入力値リスト

チェック・ボックス・タイプのUDFの場合:

- ADF出力テキスト

- ラベル付ADF出力テキスト

- ADF出力フォーマット済

- ラベル付ADF出力フォーマット済

- ADF入力テキスト

- ラベル付ADF入力テキスト

- ADFラベル

- ラベル付読取り専用ADF入力テキスト

- ADFブール・チェックボックスの選択

- ADFラジオ・ボタンを1つ選択

- ADF選択肢を1つ選択

- ADF表の列

- ADF入力値リスト

日付タイプのUDFの場合:

- ADF出力テキスト

- ラベル付ADF出力テキスト

- ADF出力フォーマット済

- ラベル付ADF出力フォーマット済

- ADF入力テキスト

- ラベル付ADF入力テキスト

- ADFラベル

- ラベル付ADF入力日

- ラベル付読取り専用ADF入力テキスト

- ADFブール・チェックボックスの選択

- ADF表の列

- ADF入力値リスト

参照タイプのUDFの場合:

- ADF出力テキスト

- ラベル付ADF出力テキスト

- ADF出力フォーマット済

- ラベル付ADF出力フォーマット済

- ADF入力テキスト

- ラベル付ADF入力テキスト

- ADFラベル

- ラベル付読取り専用ADF入力テキスト

- ADFブール・チェックボックスの選択

- ADF表の列

- ADF入力値リスト

たとえば、テキスト・タイプのUDFを作成した場合、「ラベル付ADF入力テキスト」を選択します。同様に、参照タイプのUDFを作成した場合、ADF入力値リストを選択します。例として、図7-10にテキスト・タイプのUDFのオプションを示します。

図7-10 テキスト・タイプのUDFを追加するためのオプション

「図7-10 テキスト・タイプのUDFを追加するためのオプション」の説明

15. 「閉じる」をクリックして、「コンテンツの追加」ダイアログ・ボックスを閉じます。

16. 「編集」ページのオブジェクト・ツリーから、UDFをページで選択し、「編集」をクリックします。図7-11に示すように、「コンポーネント・プロパティ」ダイアログ・ボックスが表示されます。

図7-11 「コンポーネント・プロパティ」ダイアログ・ボックス

「図7-11 「コンポーネント・プロパティ」ダイアログ・ボックス」の説明

17. 「表示オプション」タブ:

1. 「自動送信」を選択します。

2. UDFをユーザー・フォームで追加した場合、「値変更リスナー」フィールドで、#{pageFlowScope.cartDetailStateBean.attributeValueChangedListener}を入力します。
ユーザー・フォームでないフォームからUDFを追加した場合、フォーム上にある既存のフィールドから「値変更リスナー」フィールドの値をコピーして、新規に追加したUDFの「値変更リスナー」フィールドの値として貼り付けます。

注意:

Web Composerを使用することで「値変更リスナー」フィールドの値を設定すると、エラーが発生します。これを解決するには、次の手順を実行します。

1. サンドボックス(現在アクティブなもの)に対して行われた変更内容をZIPファイルにエクスポートします。

2. ZIPファイルの内容を抽出し、UDFが追加されたフォームのXMLファイルを特定します。たとえば、ユーザー作成フォームのXMLファイルは、oracle/iam/ui/runtime/form/view/pages/mdssys/cust/site/site/userCreateForm.jsff.xmlです。

3. テキスト・エディタでXMLファイルを開いて、UDFをフォームに追加した際に選択したADFコンポーネント(af:inputTextなど)を識別します。

4. 「値変更リスナー」フィールドの値を設定します。これは、ADFコンポーネントのvalueChangeListenerプロパティです。

5. 変更内容を保存し、ZIPファイル(サンドボックスのアーカイブ)を再パッケージしてから、環境にインポートします。

3. この属性を必須としてマークする場合、「必須」および「必須項目の表示」の各プロパティをtrueに変更します。

18. 「OK」をクリックします。

19. カスタマイズ・モードを終了するには、「閉じる」をクリックします。

20. 必要に応じて、テスト環境から本番環境に変更を移行する場合のために、サンドボックスをエクスポートできます。サンドボックスのエクスポート方法の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する項を参照してください。

21. サンドボックスを公開します。サンドボックスの公開の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

UDFを削除するために、カスタマイズ・モードを使用すると、WebCenter Composerを開くことができます。カスタマイズ・モードで、削除するコンポーネントかUDFを選択してから削除するか、そのUDFで「レンダリング済」プロパティをfalseに設定します。

7.6 アプリケーション・インスタンス・フォームへのカスタム属性の追加

アプリケーション・インスタンス・フォームでカスタム属性(UDF)を作成する場合、UDFはバックエンドでのみ作成され、このUDFを表示する必要があるページで使用できません。Oracle Identity Self ServiceのページでUDFを表示する場合に使用可能なオプションは、次のとおりです。

- ビューの再生成

- WebCenter Composerを使用したアプリケーション・インスタンス・フォームの更新

7.6.1 ビューの再生成

Oracle Identity Self ServiceのページでUDFを表示するには:

1. Oracle Identity System Administrationにログインします。

2. サンドボックスを作成してアクティブ化します。サンドボックスの作成およびアクティブ化の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

注意:

アプリケーション・インスタンス・フォームのカスタム子属性の属性を追加しようしているサンドボックスが公開されていることを確認する必要があります。公開されていない場合、この項で説明する手順を、アプリケーション・インスタンス・フォームが作成されたものと同じサンドボックスで実行する必要があります。

3. 左ペインの「構成」で、「フォーム・デザイナ」をクリックします。「フォーム・デザイナ」ページが表示されます。

4. Oracle Identity Self Serviceのページに表示する子フォーム(追加したUDFを含む)が含まれるアプリケーション・インスタンス・フォームを検索して開きます。

5. 「子オブジェクト」タブで、「ビューの再生成」をクリックします。

注意:

「ビューの再生成」をクリックすると、ページに対して行ったカスタマイズはすべて失われます。

6. 必要に応じて、テスト環境から本番環境に変更を移行する場合のために、サンドボックスをエクスポートできます。サンドボックスのエクスポート方法の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する項を参照してください。

7. サンドボックスを公開します。サンドボックスの公開の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

7.6.2 WebCenter Composerを使用したアプリケーション・インスタンス・フォームの更新

Oracle Identity Self ServiceのページでUDFを表示するには:

1. フォーム・デザイナを使用してUDFを作成します。

2. Oracle Identity Self Serviceにログインします。

3. サンドボックスを作成してアクティブ化します。サンドボックスの作成およびアクティブ化の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

4. 左ペインの「リクエスト」で、「カタログ」をクリックします。「カタログ」ページが表示されます。

5. 更新対象の「リソース・フォーム」ページが含まれるアプリケーション・インスタンスを検索して選択し、「カートに追加」をクリックします。

6. 「チェックアウト」をクリックします。

7. 「カート詳細」ページの「詳細」セクションに、アプリケーション・インスタンス・フォームおよびその属性が表示されます。

8. 「カスタマイズ」をクリックして、WebCenter Composerを開きます。ページがカスタマイズ・モードで開きます。

9. すべての必須フィールドに値を入力します。

10. ページの左上隅にある「表示」メニューから、「ソース」を選択します。オブジェクト・ツリーが表示されます。

11. 「詳細」セクションで、アプリケーション・インスタンス・フォームの属性を選択してクリックします。ページを編集するかどうかを確認するメッセージが表示されます。

12. 「編集」をクリックします。オブジェクト・ツリーで、前のステップで行った選択に対応するADFコンポーネントが選択されます。

13. 「コンテンツの追加」をクリックします。「コンテンツの追加」ダイアログ・ボックスが表示されます。

14. データ・コンポーネントを選択します。これを行うには、次のようにします。

1. データ・コンポーネント - カタログを選択します。

2. APP_INSTANCEVOを検索して、「開く」をクリックします。ここで、APP_INSTANCEは属性を追加するアプリケーション・インスタンスの名前です。

15. 追加したUDFをスクロールして見つけます。UDFが表示されていない場合、ページをリフレッシュします。

16. ページ上のUDFを選択して、「追加」をクリックします。

17. カスタマイズ・モードを終了するには、「閉じる」をクリックします。

18. 必要に応じて、サンドボックスをエクスポートし、テスト環境から本番環境に変更を移行できます。サンドボックスのエクスポートの詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

19. サンドボックスを公開します。サンドボックスの公開の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

7.7 テストから本番へのUDFの移行

関連項目:

テストから本番への制限の詳細は、16.4.3項「テストから本番への手順の制限」を参照してください。

次の項では、カタログ・エンティティまたはユーザー・フォームに追加されたUDFをテストから本番に移行する手順について説明します。

- カタログ・エンティティに追加されたUDFの移行

- ユーザー・フォームに追加されたUDFの移行

7.7.1 カタログ・エンティティに追加されたUDFの移行

カタログ・エンティティに追加されたUDFをテストから本番に移行する手順については、このガイドで後述します。詳細は、「カタログのカスタマイズのテストから本番への手順」を参照してください。

7.7.2 ユーザー・フォームに追加されたUDFの移行

ユーザー・フォームに追加されたUDFのテストから本番への移行は、次の手順で構成されます。

- テスト環境からのUDFのエクスポート

- 本番環境へのUDFのインポート

注意:

これらの手順を実行する前に、ブラウザでポップアップ・ブロッカが有効化されていないこと、およびブラウザにサポートされているJavaランタイム環境(JRE)がインストールされていることを確認してください。これは、デプロイメント・マネージャでポップアップ・ウィンドウが使用されるため、およびブラウザにJREがインストールされている必要があるためです。

7.7.2.1 テスト環境からのUDFのエクスポート

テスト環境からUDFをエクスポートするには:

1. Oracle Identity System Administrationにログインします。

2. 「システム管理」で、「エクスポート」をクリックします。

3. 「ユーザー・メタデータ」を検索します。使用可能なすべてのメタデータのリストが表示されます。

4. テストから本番に移行するUDFを選択して、「子の選択」をクリックします。

5. 「依存性の選択」をクリックしてから、「確認」をクリックします。

6. 「エクスポート用に追加」をクリックします。

7. 表示される確認メッセージで、「OK」をクリックしてウィザードを終了します。

8. 「エクスポート」をクリックします。または、説明を入力して「エクスポート」をクリックします。

9. コンテンツのエクスポート先を指定します。正常にエクスポートされたことを確認するメッセージが表示されます。

10. テスト環境からサンドボックスをエクスポートして、サンドボックスで行った変更をすべて格納します。サンドボックスのエクスポートの詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

注意:

- ここでエクスポートしたサンドボックスは同じにする必要があり、カスタムUDFの作成と追加で使用されています。

- サンドボックスはエクスポート前に公開しないでください。公開されたサンドボックスをエクスポートする方法がないからです。

7.7.2.2 本番環境へのUDFのインポート

本番環境にUDFをインポートするには:

1. Oracle Identity Managerシステム管理の「システム管理」で、「インポート」をクリックします。

2. デプロイメント・マネージャを使用してテスト環境からエクスポートしたXMLファイルのパスを指定します。

3. 「ファイルの追加」→「インポート」をクリックして、インポートを確認します。正常にインポートされたことを確認するメッセージが表示されます。

4. テスト環境からエクスポートしたサンドボックスをインポートします。サンドボックスのインポートの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

5. サンドボックスをアクティブ化して変更を確認します。サンドボックスのアクティブ化の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

6. 変更を確認した後、サンドボックスを公開します。サンドボックスの公開の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

7.8 Oracle Identity ManagerとLDAP間でのユーザー定義フィールドの同期

注意:

- LDAP同期は、Oracle Identity Managerのインストール中またはインストール後にはいつでも有効化できます。

- フォーム・デザイナを使用して属性の作成や変更を行う際、LDAP属性に対する値を指定します。これは、同期されるユーザー定義フィールド(UDF)に対するLDAP属性名の値になり、LDAP同期が可能な環境でのみ適用可能です。

1つ以上のユーザー定義フィールド(UDF)を作成した後にLDAP同期を随時有効化する場合、これらのユーザー定義フィールドを対応するLDAP属性と同期化する必要があります。これを行うには、フォーム・デザイナを使用してUDFを含むフォームを検索して開き、保存します(他に変更を行う必要はありません)。LDAP同期を有効化する前に作成したすべてのUDFについて、UDFを含むフォームを開いて保存するというこのプロセスを繰り返します。

7.9 属性定義

すべての属性定義について、エンティティ属性を保持するために、エンティティごとに構成ファイルが存在します。たとえば、ユーザー・エンティティ属性を保持するための構成ファイルはUser.xmlです。この構成ファイルに、ユーザー・エンティティおよびそのプロパティのすべての属性が定義されます。バックエンド属性または列へ属性のマッピングは、ファイルでも指定されます。属性がUIに表示されるかどうかは、属性プロパティによって決まります。たとえば、属性がシステム制御される場合は、その属性はUIには表示されません。

例7-1に、サンプルのUser.xml構成ファイルのコードを示します。

例7-1 User.xml構成ファイル

<?xml version="1.0" encoding="UTF-8"?>
<tns:entity-definition xmlns:tns="http://www.oracle.com/schema/oim/entity" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.oracle.com/schema/oim/entity ../entity.xsd ">
<entity-type child-entity="false">User</entity-type>
<!-- Defines the repository and data provider to use for this entity -->
<provider-instance>
<repository-instance>OperationalDB</repository-instance>
<provider-type>UserDataProvider</provider-type>
<parameters>
<parameter name="table">
<value>usr</value>
</parameter>
<parameter name="id_column">
<value>usr_key</value>
</parameter>
<parameter name="usr_foreign_key_column">
<value>usr_manager_key</value>
</parameter>
<parameter name="org_table">
<value>act</value>
</parameter>
<parameter name="org_id_column">
<value>act_key</value>
</parameter>
<parameter name="org_foreign_key_column">
<value>parent_key</value>
</parameter>
<parameter name="foreign_search_table">
<value>act:usr:usr:usr:usr</value>
</parameter>
<parameter name="foreign_search_table_alias">
<value>actorg:usrmgr:usrmgr:usrmgr:usrmgr</value>
</parameter>
<parameter name="foreign_search_table_to_join_key">
<value>actorg.act_key:usrmgr.usr_key:usrmgr.usr_key:usrmgr.usr_key:usrmgr.usr_key</value>
</parameter>
<parameter name="foreign_search_table_from_join_key">
<value>usr.act_key:usr.usr_manager_key:usr.usr_manager_key:usr.usr_manager_key:usr.usr_manager_key</value>
</parameter>
<parameter name="foreign_search_column">
<value>actorg.act_name:usrmgr.usr_login:usrmgr.usr_display_name:usrmgr.usr_first_name:usrmgr.usr_last_name</value>
</parameter>
<parameter name="foreign_search_column_label">
<value>Organization Name:Manager Login:Manager Display Name:Manager First Name:Manager Last Name</value>
</parameter>
<parameter name="foreign_search_column_alias">
<value>actorg_act_name:usrmgr_usr_login:usrmgr_usr_display_name:usrmgr_usr_first_name:usrmgr_usr_last_name</value>
</parameter>
<parameter name="foreign_search_column_outer_join">
<value>false:true:true:true:true</value>
</parameter>
</parameters>
</provider-instance>
<container-capability>
<enabled>false</enabled>
</container-capability>
<!-- entity-attributes define the attributes at the API level. These are the attribute names that the API will return and expects -->
<entity-attributes>
<attribute name="usr_key">
<type>number</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<!-- The metadata attachment defines the enttiy attribute properties. These properties will be common across all entities -->
<metadata-attachment>
<!-- Whether the attribute is searchable by the user -->
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<!-- Whether the attribute can be updated in bulk -->
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<!-- The category in the UI to which this attribute belongs -->
<metadata>
<name>category</name>
<value>Account Settings</value>
<category>properties</category>
</metadata>
<!-- The display type of the attribute on the UI -->
<metadata>
<name>display-type</name>
<value>ENTITY</value>
<category>properties</category>
</metadata>
<!-- Whether the attribute value needs to be encrypted or not -->
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<!-- The maximum size that an attribute value can take -->
<metadata>
<name>max-size</name>
<value>19</value>
<category>properties</category>
</metadata>
<!-- Whether the attribtue is single valued or multivalued -->
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<!-- Whether an attribute's value can be modified or not -->
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<!-- Whether the value is controlled only by the system -->
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <!-- Whether the attribute is custom or user defined attribute -->
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="act_key">
<type>number</type>
<searchable>true</searchable>
<required>true</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Basic User Information</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>ENTITY</value>
<category>properties</category>
</metadata>
<metadata>
<name>entity-type</name>
<value>Organization</value>
<category>properties</category>
</metadata>
<metadata>
<name>entity-type-attributes</name>
<value>Organization Name</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>256</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="Last Name">
<type>string</type>
<searchable>true</searchable>
<required>true</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Basic User Information</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>80</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="First Name">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Basic User Information</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>80</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="Middle Name">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Basic User Information</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>80</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="Full Name">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>true</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Basic User Information</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>164</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="Display Name">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>true</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Basic User Information</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>382</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Xellerate Type">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<default-value>End-User</default-value>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Basic User Information</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>CHECKBOX</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>30</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>possible-values-code</name>
<value>Lookup.Users.XellerateType</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_password">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Account Settings</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>SECRET</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>ENCRYPT</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>128</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_disabled">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Account Settings</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>CHECKBOX</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>1</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="Status">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Account Settings</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>LOV</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>25</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>possible-values-code</name>
<value>Lookup.WebClient.Users.Status</value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="Role">
<type>string</type>
<searchable>true</searchable>
<required>true</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Basic User Information</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>LOV</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>255</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>possible-values-code</name>
<value>Lookup.Users.Role</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="User Login">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Account Settings</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>256</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="usr_manager_key">
<type>number</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Basic User Information</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>ENTITY</value>
<category>properties</category>
</metadata>
<metadata>
<name>entity-type</name>
<value>User</value>
<category>properties</category>
</metadata>
<metadata>
<name>entity-type-attributes</name>
<value>Manager Login,Manager Display Name,Manager First Name,Manager Last Name</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>382</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Start Date">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Account Effective Dates</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="End Date">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Account Effective Dates</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_provisioning_date">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Provisioning Dates</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="usr_deprovisioning_date">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Provisioning Dates</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_provisioned_date">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_deprovisioned_date">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Email">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Basic User Information</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>256</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="usr_locked">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Account Settings</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>LOV</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>1</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>possible-values-code</name>
<value>Users.Lock User</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Locked On">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Lifecycle</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Automatically Delete On">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Lifecycle</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Manually Locked">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Lifecycle</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>1</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_login_attempts_ctr">
<type>number</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>NUMBER</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>19</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="usr_create">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_update">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_timezone">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Preferences</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TIME_ZONE</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>100</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="usr_locale">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Preferences</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>LOV</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>100</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>possible-values-code</name>
<value>Notification.Languages</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_pwd_cant_change">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>CHECKBOX</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>1</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_pwd_must_change">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>CHECKBOX</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>1</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_pwd_never_expires">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>CHECKBOX</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>1</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_pwd_expire_date">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_pwd_warn_date">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_pwd_expired">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>CHECKBOX</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>1</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_pwd_warned">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>CHECKBOX</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>1</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_pwd_reset_attempts_ctr">
<type>number</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>NUMBER</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_change_pwd_at_next_logon">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>CHECKBOX</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>1</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_data_level">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>CHECKBOX</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>1</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>

<attribute name="usr_pwd_min_age_date">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_createby">
<type>number</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Basic</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_updateby">
<type>number</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_created">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="usr_policy_update">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>1</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Country">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>100</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Department Number">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>80</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Description">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>2000</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Common Name">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>240</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Employee Number">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>80</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Fax">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>4000</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Generation Qualifier">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>20</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Hire Date">
<type>date</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>DATE_ONLY</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value></value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Home Phone">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>20</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Locality Name">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>80</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Mobile">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>20</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Pager">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>20</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Home Postal Address">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>256</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Postal Address">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>256</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Postal Code">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>30</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="PO Box">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>20</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="State">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>80</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Street">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>80</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Telephone Number">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>4000</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Title">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>80</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Initials">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>10</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Common Name Generated">
<type>number</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>NUMBER</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>1</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Password Generated">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>System</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>1</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="LDAP Organization">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>80</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="LDAP Organization Unit">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>80</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="LDAP GUID">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>256</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>true</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="LDAP DN">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Other User Attributes</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>256</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="FA Language">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Preferences</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>100</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Embedded Help">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Preferences</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>LOV</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>10</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>

<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>possible-values-code</name>
<value>Lookup.Users.EmbeddedHelp</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Number Format">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Preferences</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>LOV</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>30</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>possible-values-code</name>
<value>Lookup.Users.NumberFormat</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Date Format">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Preferences</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>LOV</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>20</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>possible-values-code</name>
<value>Lookup.Users.DateFormat</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Time Format">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Preferences</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>LOV</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>20</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>possible-values-code</name>
<value>Lookup.Users.TimeFormat</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Currency">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Preferences</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>LOV</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>20</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>possible-values-code</name>
<value>Lookup.Users.Currency</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Font Size">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Preferences</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>LOV</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>10</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>possible-values-code</name>
<value>Lookup.Users.FontSize</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Color Contrast">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Preferences</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>LOV</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>10</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>possible-values-code</name>
<value>Lookup.Users.ColorContrast</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="Accessibility Mode">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Preferences</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>LOV</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>20</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>            <metadata>
<name>possible-values-code</name>
<value>Lookup.Users.AccessibilityMode</value>
<category>properties</category>
</metadata>

</metadata-attachment>
</attribute>
<attribute name="FA Territory">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Preferences</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>TEXT</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>100</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>possible-values-code</name>
<value></value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
<attribute name="User Name Preferred Language">
<type>string</type>
<searchable>true</searchable>
<required>false</required>
<MLS>false</MLS>
<multi-represented>false</multi-represented>
<attribute-group>Extended</attribute-group>
<metadata-attachment>
<metadata>
<name>user-searchable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>bulk-updatable</name>
<value>true</value>
<category>properties</category>
</metadata>
<metadata>
<name>category</name>
<value>Preferences</value>
<category>properties</category>
</metadata>
<metadata>
<name>display-type</name>
<value>LOV</value>
<category>properties</category>
</metadata>
<metadata>
<name>lookup-query</name>
<value>select+MLS_LOCALE_CODE+as+USR_NAME_PREFERRED_LANG+from+mls_locale+where+locale_flag=0+OR+locale_flag=1+order+by+mls_locale_code+asc</value>
<category>properties</category>
</metadata>
<metadata>
<name>lookup-query-display-column</name>
<value>USR_NAME_PREFERRED_LANG</value>
<category>properties</category>
</metadata>
<metadata>
<name>lookup-query-save-column</name>
<value>USR_NAME_PREFERRED_LANG</value>
<category>properties</category>
</metadata>
<metadata>
<name>encryption</name>
<value>CLEAR</value>
<category>properties</category>
</metadata>
<metadata>
<name>visible</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>max-size</name>
<value>20</value>
<category>properties</category>
</metadata>
<metadata>
<name>multi-valued</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>read-only</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>system-controlled</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>custom</name>
<value>false</value>
<category>properties</category>
</metadata>
<metadata>
<name>possible-values-code</name>
<value></value>
<category>properties</category>
</metadata>
</metadata-attachment>
</attribute>
</entity-attributes>

<!-- The target fields define the attribute columns in the DB. These are not exposed via the User Management APIs. -->
<target-fields>
<field name="usr_key">
<type>number</type>
<required>true</required>
</field>
<field name="act_key">
<type>number</type>
<required>true</required>
</field>
<field name="usr_last_name">
<type>string</type>
<required>true</required>
</field>
<field name="usr_first_name">
<type>string</type>
<required>false</required>
</field>
<field name="usr_middle_name">
<type>string</type>
<required>false</required>
</field>
<field name="usr_full_name">
<type>string</type>
<required>false</required>
</field>
<field name="usr_display_name">
<type>string</type>
<required>false</required>
</field>
<field name="usr_type">
<type>string</type>
<required>false</required>
</field>
<field name="usr_password">
<type>string</type>
<required>true</required>
</field>
<field name="usr_disabled">
<type>string</type>
<required>false</required>
</field>
<field name="usr_pwd_cant_change">
<type>string</type>
<required>false</required>
</field>
<field name="usr_pwd_must_change">
<type>string</type>
<required>false</required>
</field>
<field name="usr_pwd_never_expires">
<type>string</type>
<required>false</required>
</field>
<field name="usr_status">
<type>string</type>
<required>false</required>
</field>
<field name="usr_emp_type">
<type>string</type>
<required>false</required>
</field>
<field name="usr_login">
<type>string</type>
<required>true</required>
</field>
<field name="usr_pwd_expire_date">
<type>date</type>
<required>false</required>
</field>
<field name="usr_pwd_warn_date">
<type>date</type>
<required>false</required>
</field>
<field name="usr_manager_key">
<type>number</type>
<required>false</required>
</field>
<field name="usr_pwd_warned">
<type>string</type>
<required>false</required>
</field>
<field name="usr_pwd_expired">
<type>string</type>
<required>false</required>
</field>
<field name="usr_start_date">
<type>date</type>
<required>false</required>
</field>
<field name="usr_end_date">
<type>date</type>
<required>false</required>
</field>
<field name="usr_provisioning_date">
<type>date</type>
<required>false</required>
</field>
<field name="usr_deprovisioning_date">
<type>date</type>
<required>false</required>
</field>
<field name="usr_provisioned_date">
<type>date</type>
<required>false</required>
</field>
<field name="usr_deprovisioned_date">
<type>date</type>
<required>false</required>
</field>
<field name="usr_email">
<type>string</type>
<required>false</required>
</field>
<field name="usr_locked">
<type>string</type>
<required>false</required>
</field>
<field name="usr_locked_on">
<type>date</type>
<required>false</required>
</field>
<field name="usr_automatically_delete_on">
<type>date</type>
<required>false</required>
</field>
<field name="usr_manually_locked">
<type>string</type>
<required>false</required>
</field>
<field name="usr_login_attempts_ctr">
<type>number</type>
<required>false</required>
</field>
<field name="usr_pwd_reset_attempts_ctr">
<type>number</type>
<required>false</required>
</field>
<field name="usr_data_level">
<type>string</type>
<required>false</required>
</field>
<field name="usr_change_pwd_at_next_logon">
<type>string</type>
<required>false</required>
</field>
<field name="usr_pwd_min_age_date">
<type>date</type>
<required>false</required>
</field>
<field name="usr_create">
<type>date</type>
<required>false</required>
</field>
<field name="usr_update">
<type>date</type>
<required>false</required>
</field>
<field name="usr_timezone">
<type>string</type>
<required>false</required>
</field>
<field name="usr_locale">
<type>string</type>
<required>false</required>
</field>
<field name="usr_createby">
<type>number</type>
<required>false</required>
</field>
<field name="usr_updateby">
<type>number</type>
<required>false</required>
</field>
<field name="usr_created">
<type>date</type>
<required>false</required>
</field>
<field name="usr_policy_update">
<type>string</type>
<required>false</required>
</field>
<field name="usr_country">
<type>string</type>
<required>false</required>
</field>
<field name="usr_dept_no">
<type>string</type>
<required>false</required>
</field>
<field name="usr_description">
<type>string</type>
<required>false</required>
</field>
<field name="usr_common_name">
<type>string</type>
<required>false</required>
</field>
<field name="usr_emp_no">
<type>string</type>
<required>false</required>
</field>
<field name="usr_fax">
<type>string</type>
<required>false</required>
</field>
<field name="usr_gen_qualifier">
<type>string</type>
<required>false</required>
</field>
<field name="usr_hire_date">
<type>date</type>
<required>false</required>
</field>
<field name="usr_home_phone">
<type>string</type>
<required>false</required>
</field>
<field name="usr_locality_name">
<type>string</type>
<required>false</required>
</field>
<field name="usr_mobile">
<type>string</type>
<required>false</required>
</field>
<field name="usr_pager">
<type>string</type>
<required>false</required>
</field>
<field name="usr_home_postal_address">
<type>string</type>
<required>false</required>
</field>
<field name="usr_postal_address">
<type>string</type>
<required>false</required>
</field>
<field name="usr_postal_code">
<type>string</type>
<required>false</required>
</field>
<field name="usr_po_box">
<type>string</type>
<required>false</required>
</field>
<field name="usr_state">
<type>string</type>
<required>false</required>
</field>
<field name="usr_street">
<type>string</type>
<required>false</required>
</field>
<field name="usr_telephone_number">
<type>string</type>
<required>false</required>
</field>
<field name="usr_title">
<type>string</type>
<required>false</required>
</field>
<field name="usr_initials">
<type>string</type>
<required>false</required>
</field>
<field name="usr_pwd_generated">
<type>string</type>
<required>false</required>
</field>
<field name="usr_cn_generated">
<type>number</type>
<required>false</required>
</field>
<field name="usr_ldap_organization">
<type>string</type>
<required>false</required>
</field>
<field name="usr_ldap_organization_unit">
<type>string</type>
<required>false</required>
</field>
<field name="usr_ldap_guid">
<type>string</type>
<required>false</required>
</field>
<field name="usr_ldap_dn">
<type>string</type>
<required>false</required>
</field>    <field name="usr_language">
<type>string</type>
<required>false</required>
</field>
<field name="usr_color_contrast">
<type>string</type>
<required>false</required>
</field>
<field name="usr_accessibility_mode">
<type>string</type>
<required>false</required>
</field>
<field name="usr_time_format">
<type>string</type>
<required>false</required>
</field>
<field name="usr_date_format">
<type>string</type>
<required>false</required>
</field>
<field name="usr_currency">
<type>string</type>
<required>false</required>
</field>
<field name="usr_number_format">
<type>string</type>
<required>false</required>
</field>
<field name="usr_font_size">
<type>string</type>
<required>false</required>
</field>
<field name="usr_embedded_help">
<type>string</type>
<required>false</required>
</field>
<field name="usr_territory">
<type>string</type>
<required>false</required>
</field>
<field name="usr_name_preferred_lang">
<type>string</type>
<required>false</required>
</field>
</target-fields>
<!-- The attribute mapping defines which backend DB columns are mapped to the frontend attributes exposed at the API level -->
<attribute-maps>
<attribute-map>
<entity-attribute>usr_key</entity-attribute>
<target-field>usr_key</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>act_key</entity-attribute>
<target-field>act_key</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Last Name</entity-attribute>
<target-field>usr_last_name</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>First Name</entity-attribute>
<target-field>usr_first_name</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Middle Name</entity-attribute>
<target-field>usr_middle_name</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Full Name</entity-attribute>
<target-field>usr_full_name</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Display Name</entity-attribute>
<target-field>usr_display_name</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Xellerate Type</entity-attribute>
<target-field>usr_type</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_password</entity-attribute>
<target-field>usr_password</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_disabled</entity-attribute>
<target-field>usr_disabled</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_pwd_cant_change</entity-attribute>
<target-field>usr_pwd_cant_change</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_pwd_must_change</entity-attribute>
<target-field>usr_pwd_must_change</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_pwd_never_expires</entity-attribute>
<target-field>usr_pwd_never_expires</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Status</entity-attribute>
<target-field>usr_status</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Role</entity-attribute>
<target-field>usr_emp_type</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>User Login</entity-attribute>
<target-field>usr_login</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_pwd_expire_date</entity-attribute>
<target-field>usr_pwd_expire_date</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_pwd_warn_date</entity-attribute>
<target-field>usr_pwd_warn_date</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_manager_key</entity-attribute>
<target-field>usr_manager_key</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_pwd_expired</entity-attribute>
<target-field>usr_pwd_expired</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_pwd_warned</entity-attribute>
<target-field>usr_pwd_warned</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Start Date</entity-attribute>
<target-field>usr_start_date</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>End Date</entity-attribute>
<target-field>usr_end_date</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_provisioning_date</entity-attribute>
<target-field>usr_provisioning_date</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_deprovisioning_date</entity-attribute>
<target-field>usr_deprovisioning_date</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_provisioned_date</entity-attribute>
<target-field>usr_provisioned_date</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_deprovisioned_date</entity-attribute>
<target-field>usr_deprovisioned_date</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Email</entity-attribute>
<target-field>usr_email</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_locked</entity-attribute>
<target-field>usr_locked</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Locked On</entity-attribute>
<target-field>usr_locked_on</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Automatically Delete On</entity-attribute>
<target-field>usr_automatically_delete_on</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Manually Locked</entity-attribute>
<target-field>usr_manually_locked</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Automatically Delete On</entity-attribute>
<target-field>usr_automatically_delete_on</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_login_attempts_ctr</entity-attribute>
<target-field>usr_login_attempts_ctr</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_pwd_reset_attempts_ctr</entity-attribute>
<target-field>usr_pwd_reset_attempts_ctr</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_data_level</entity-attribute>
<target-field>usr_data_level</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_change_pwd_at_next_logon</entity-attribute>
<target-field>usr_change_pwd_at_next_logon</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_pwd_min_age_date</entity-attribute>
<target-field>usr_pwd_min_age_date</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_create</entity-attribute>
<target-field>usr_create</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_update</entity-attribute>
<target-field>usr_update</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_timezone</entity-attribute>
<target-field>usr_timezone</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_locale</entity-attribute>
<target-field>usr_locale</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_createby</entity-attribute>
<target-field>usr_createby</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_updateby</entity-attribute>
<target-field>usr_updateby</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_created</entity-attribute>
<target-field>usr_created</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>usr_policy_update</entity-attribute>
<target-field>usr_policy_update</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Country</entity-attribute>
<target-field>usr_country</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Department Number</entity-attribute>
<target-field>usr_dept_no</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Description</entity-attribute>
<target-field>usr_description</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Common Name</entity-attribute>
<target-field>usr_common_name</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Employee Number</entity-attribute>
<target-field>usr_emp_no</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Fax</entity-attribute>
<target-field>usr_fax</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Generation Qualifier</entity-attribute>
<target-field>usr_gen_qualifier</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Hire Date</entity-attribute>
<target-field>usr_hire_date</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Home Phone</entity-attribute>
<target-field>usr_home_phone</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Locality Name</entity-attribute>
<target-field>usr_locality_name</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Mobile</entity-attribute>
<target-field>usr_mobile</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Pager</entity-attribute>
<target-field>usr_pager</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Home Postal Address</entity-attribute>
<target-field>usr_home_postal_address</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Postal Address</entity-attribute>
<target-field>usr_postal_address</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Postal Code</entity-attribute>
<target-field>usr_postal_code</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>PO Box</entity-attribute>
<target-field>usr_po_box</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>State</entity-attribute>
<target-field>usr_state</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Street</entity-attribute>
<target-field>usr_street</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Telephone Number</entity-attribute>
<target-field>usr_telephone_number</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Title</entity-attribute>
<target-field>usr_title</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Initials</entity-attribute>
<target-field>usr_initials</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Common Name Generated</entity-attribute>
<target-field>usr_cn_generated</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Password Generated</entity-attribute>
<target-field>usr_pwd_generated</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>LDAP Organization</entity-attribute>
<target-field>usr_ldap_organization</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>LDAP Organization Unit</entity-attribute>
<target-field>usr_ldap_organization_unit</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>LDAP GUID</entity-attribute>
<target-field>usr_ldap_guid</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>LDAP DN</entity-attribute>
<target-field>usr_ldap_dn</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>FA Language</entity-attribute>
<target-field>usr_language</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Embedded Help</entity-attribute>
<target-field>usr_embedded_help</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Font Size</entity-attribute>
<target-field>usr_font_size</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Color Contrast</entity-attribute>
<target-field>usr_color_contrast</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Accessibility Mode</entity-attribute>
<target-field>usr_accessibility_mode</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Number Format</entity-attribute>
<target-field>usr_number_format</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Date Format</entity-attribute>
<target-field>usr_date_format</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Time Format</entity-attribute>
<target-field>usr_time_format</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>Currency</entity-attribute>
<target-field>usr_currency</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>FA Territory</entity-attribute>
<target-field>usr_territory</target-field>
</attribute-map>
<attribute-map>
<entity-attribute>User Name Preferred Language</entity-attribute>
<target-field>usr_name_preferred_lang</target-field>
</attribute-map>
</attribute-maps>
<!-- The following section defines various User configurations for the UI -->
<metadata-attachment xmlns="">
<!-- 1 -->
<!--
This section defines the categories that will be available in the UI. Each attribute must belong to one of these categories
-->
<metadata>
<!-- The unique ID of the category -->
<name>Basic User Information</name>
<!-- The display name of the category. This will be a key in a bundle which will be fetched by the config API -->
<value>Basic User Information</value>
<category>categories</category>
</metadata>
<metadata>
<name>Account Settings</name>
<value>Account Settings</value>
<category>categories</category>
</metadata>
<metadata>
<name>Account Effective Dates</name>
<value>Account Effective Dates</value>
<category>categories</category>
</metadata>
<metadata>
<name>Provisioning Dates</name>
<value>Provisioning Dates</value>
<category>categories</category>
</metadata>
<metadata>
<name>Lifecycle</name>
<value>Lifecycle</value>
<category>categories</category>
</metadata>
<metadata>
<name>System</name>
<value>System</value>
<category>categories</category>
</metadata>
<metadata>
<name>Other User Attributes</name>
<value>Other User Attributes</value>
<category>categories</category>
</metadata>
<metadata>
<!-- The unique ID of the category -->
<name>CustomAttributes</name>
<!-- The display name of the category. This will be a key in a bundle which will be fetched by the config API -->
<value>Custom Attributes</value>
<category>categories</category>
</metadata>
<metadata>
<name>Preferences</name>
<value>Preferences</value>
<category>categories</category>
</metadata>

<!-- 2 -->
<!--
This section defines the ordering amongst the categories
-->

<metadata>
<name>1</name>
<value>Basic User Information</value>
<category>categories.order</category>
</metadata>
<metadata>
<name>2</name>
<value>Account Settings</value>
<category>categories.order</category>
</metadata>
<metadata>
<name>3</name>
<value>Account Effective Dates</value>
<category>categories.order</category>
</metadata>
<metadata>
<name>4</name>
<value>Provisioning Dates</value>
<category>categories.order</category>
</metadata>
<metadata>
<name>5</name>
<value>Lifecycle</value>
<category>categories.order</category>
</metadata>
<metadata>
<name>6</name>
<value>System</value>
<category>categories.order</category>
</metadata>
<metadata>
<name>7</name>
<value>Other User Attributes</value>
<category>categories.order</category>
</metadata>
<metadata>
<name>8</name>
<value>CustomAttributes</value>
<category>categories.order</category>
</metadata>
<metadata>
<name>9</name>
<value>Preferences</value>
<category>categories.order</category>
</metadata>

<!-- 3 -->
<!--
This section defines the ordering of the attributes within each category. The attributes will be displayed on the UI in the order defined here.
-->
<metadata>
<name>1</name>
<value>User Login</value>
<category>categories.Account Settings</category>
</metadata>
<metadata>
<name>2</name>
<value>usr_password</value>
<category>categories.Account Settings</category>
</metadata>
<metadata>
<name>3</name>
<value>Status</value>
<category>categories.Account Settings</category>
</metadata>
<metadata>
<name>4</name>
<value>usr_locked</value>
<category>categories.Account Settings</category>
</metadata>
<metadata>
<name>5</name>
<value>usr_key</value>
<category>categories.Account Settings</category>
</metadata>

<metadata>
<name>1</name>
<value>First Name</value>
<category>categories.Basic User Information</category>
</metadata>
<metadata>
<name>2</name>
<value>Middle Name</value>
<category>categories.Basic User Information</category>
</metadata>
<metadata>
<name>3</name>
<value>Last Name</value>
<category>categories.Basic User Information</category>
</metadata>
<metadata>
<name>4</name>
<value>Xellerate Type</value>
<category>categories.Basic User Information</category>
</metadata>
<metadata>
<name>5</name>
<value>Email</value>
<category>categories.Basic User Information</category>
</metadata>
<metadata>
<name>6</name>
<value>usr_manager_key</value>
<category>categories.Basic User Information</category>
</metadata>
<metadata>
<name>7</name>
<value>act_key</value>
<category>categories.Basic User Information</category>
</metadata>
<metadata>
<name>8</name>
<value>Role</value>
<category>categories.Basic User Information</category>
</metadata>
<metadata>
<name>9</name>
<value>Full Name</value>
<category>categories.Basic User Information</category>
</metadata>

<metadata>
<name>10</name>
<value>Display Name</value>
<category>categories.Basic User Information</category>
</metadata>
<metadata>
<name>1</name>
<value>Start Date</value>
<category>categories.Account Effective Dates</category>
</metadata>

<metadata>
<name>2</name>
<value>End Date</value>
<category>categories.Account Effective Dates</category>
</metadata>
<metadata>
<name>1</name>
<value>usr_provisioning_date</value>
<category>categories.Provisioning Dates</category>
</metadata>

<metadata>
<name>2</name>
<value>usr_deprovisioning_date</value>
<category>categories.Provisioning Dates</category>
</metadata>
<metadata>
<name>1</name>
<value>Manually Locked</value>
<category>categories.Lifecycle</category>
</metadata>
<metadata>
<name>2</name>
<value>Locked On</value>
<category>categories.Lifecycle</category>
</metadata>

<metadata>
<name>3</name>
<value>Automatically Delete On</value>
<category>categories.Lifecycle</category>
</metadata>
<metadata>
<name>1</name>
<value>usr_provisioned_date</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>2</name>
<value>usr_deprovisioned_date</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>3</name>
<value>usr_login_attempts_ctr</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>4</name>
<value>usr_create</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>5</name>
<value>usr_update</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>6</name>
<value>usr_pwd_cant_change</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>7</name>
<value>usr_pwd_must_change</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>8</name>
<value>usr_pwd_never_expires</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>9</name>
<value>usr_pwd_expire_date</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>10</name>
<value>usr_pwd_warn_date</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>11</name>
<value>usr_pwd_expired</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>12</name>
<value>usr_pwd_warned</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>13</name>
<value>usr_pwd_reset_attempts_ctr</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>14</name>
<value>usr_change_pwd_at_next_logon</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>15</name>
<value>usr_pwd_min_age_date</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>16</name>
<value>usr_createby</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>17</name>
<value>usr_updateby</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>18</name>
<value>usr_created</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>19</name>
<value>usr_policy_update</value>
<category>categories.System</category>
</metadata>

<metadata>
<name>20</name>
<value>Password Generated</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>21</name>
<value>usr_data_level</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>22</name>
<value>Common Name Generated</value>
<category>categories.System</category>
</metadata>
<metadata>
<name>1</name>
<value>Country</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>2</name>
<value>Department Number</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>3</name>
<value>Description</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>4</name>
<value>Common Name</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>5</name>
<value>Employee Number</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>6</name>
<value>Fax</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>7</name>
<value>Generation Qualifier</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>8</name>
<value>Hire Date</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>9</name>
<value>Home Phone</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>10</name>
<value>Locality Name</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>11</name>
<value>Mobile</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>12</name>
<value>Pager</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>13</name>
<value>Home Postal Address</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>14</name>
<value>Postal Address</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>15</name>
<value>Postal Code</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>16</name>
<value>PO Box</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>17</name>
<value>State</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>18</name>
<value>Street</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>19</name>
<value>Telephone Number</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>20</name>
<value>Title</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>21</name>
<value>Initials</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>22</name>
<value>LDAP Organization</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>23</name>
<value>LDAP Organization Unit</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>24</name>
<value>LDAP GUID</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>25</name>
<value>LDAP DN</value>
<category>categories.Other User Attributes</category>
</metadata>
<metadata>
<name>1</name>
<value>usr_locale</value>
<category>categories.Preferences</category>
</metadata>
<metadata>
<name>2</name>
<value>usr_timezone</value>
<category>categories.Preferences</category>
</metadata>
<metadata>
<name>3</name>
<value>Number Format</value>
<category>categories.Preferences</category>
</metadata>
<metadata>
<name>4</name>
<value>Currency</value>
<category>categories.Preferences</category>
</metadata>
<metadata>
<name>5</name>
<value>Date Format</value>
<category>categories.Preferences</category>
</metadata>
<metadata>
<name>6</name>
<value>Time Format</value>
<category>categories.Preferences</category>
</metadata>
<metadata>
<name>7</name>
<value>Accessibility Mode</value>
<category>categories.Preferences</category>
</metadata>
<metadata>
<name>8</name>
<value>Color Contrast</value>
<category>categories.Preferences</category>
</metadata>
<metadata>
<name>9</name>
<value>Font Size</value>
<category>categories.Preferences</category>
</metadata>
<metadata>
<name>10</name>
<value>Embedded Help</value>
<category>categories.Preferences</category>
</metadata>
<metadata>
<name>11</name>
<value>FA Language</value>
<category>categories.Preferences</category>
</metadata>
<metadata>
<name>12</name>
<value>FA Territory</value>
<category>categories.Preferences</category>
</metadata>
<metadata>
<name>13</name>
<value>User Name Preferred Language</value>
<category>categories.Preferences</category>
</metadata>
<!-- 4 -->
<!--
This section defines the attributes that will be available in advanced search
-->
<metadata>
<name>User Login</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>First Name</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>Middle Name</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>Last Name</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>Display Name</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>Role</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>act_key</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>usr_manager_key</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>Start Date</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>End Date</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>Status</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>Xellerate Type</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>usr_locked</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>Email</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<!--<metadata>
<name>Phone</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>-->
<metadata>
<name>usr_locale</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>usr_timezone</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>usr_provisioning_date</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>usr_deprovisioning_date</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<metadata>
<name>usr_provisioned_date</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>

<metadata>
<name>usr_deprovisioned_date</name>
<value></value>
<category>Advanced Search.Attributes</category>
</metadata>
<!-- 5 -->
<!--
This section defines attributes that will be used for simple search
-->
<metadata>
<name>Display Name</name>
<value></value>
<category>Simple Search.Attributes</category>
</metadata>
<metadata>
<name>User Login</name>
<value></value>
<category>Simple Search.Attributes</category>
</metadata>
<metadata>
<name>First Name</name>
<value></value>
<category>Simple Search.Attributes</category>
</metadata>
<metadata>
<name>Last Name</name>
<value></value>
<category>Simple Search.Attributes</category>
</metadata>

<!-- 6 -->
<!--
This section defines attributes and their ordering in the advanced search results table. The simple search results table will use the first two defined here.
-->
<metadata>
<name>1</name>
<value>Display Name</value>
<category>Search Results.Attributes</category>
</metadata>
<metadata>
<name>2</name>
<value>User Login</value>
<category>Search Results.Attributes</category>
</metadata>
<metadata>
<name>3</name>
<value>First Name</value>
<category>Search Results.Attributes</category>
</metadata>
<metadata>
<name>4</name>
<value>Last Name</value>
<category>Search Results.Attributes</category>
</metadata>
<metadata>
<name>5</name>
<value>act_key</value>
<category>Search Results.Attributes</category>
</metadata>
<metadata>
<name>6</name>
<value>usr_manager_key</value>
<category>Search Results.Attributes</category>
</metadata>
<metadata>
<name>7</name>
<value>Status</value>
<category>Search Results.Attributes</category>
</metadata>
<metadata>
<name>8</name>
<value>usr_locked</value>
<category>Search Results.Attributes</category>
</metadata>

<!-- 7 -->
<!--
This section defines derived attributes. That is, attributes whose value is based on other attribute values.
-->
<!--
<metadata>
<name>Full Name</name>
<value></value>
<category>Derived Attributes</category>
</metadata>
-->
<!--<metadata>
<name>1</name>
<value>Last Name</value>
<category>Derived Attributes.Full Name</category>
</metadata>
<metadata>
<name>2</name>
<value>, </value>
<category>Derived Attributes.Full Name</category>
</metadata>
<metadata>
<name>3</name>
<value>First Name</value>
<category>Derived Attributes.Full Name</category>
</metadata>-->

</metadata-attachment>
</tns:entity-definition>

User.xmlファイルは、エンティティ・スキーマ・ファイル(Entity.xsd)に準拠している必要があります。

例7-2に、サンプルのEntity.xsdファイルのコードを示します。

例7-2 エンティティXMLスキーマ定義

<?xml version="1.0" encoding="UTF-8"?>
<schema targetNamespace="http://www.oracle.com/schema/oim/entity" xmlns="http://www.w3.org/2001/XMLSchema" xmlns:tns="http://www.oracle.com/schema/oim/entity">
<element name="entity-definition"
type="tns:entity-definition-type">
</element>

<complexType name="entity-definition-type">
<all>
<element name="entity-type" minOccurs="1" maxOccurs="1">
<complexType>
<simpleContent>
<extension base="string">
<attribute name="child-entity"
type="boolean">
</attribute>
</extension>
</simpleContent>
</complexType>
</element>
<element name="description" type="string" maxOccurs="1"
minOccurs="0">
</element>
<element name="provider-instance"
type="tns:provider-instance-type" minOccurs="1"
maxOccurs="1">
</element>
<element name="container-capability"
type="tns:container-definition-type" maxOccurs="1"
minOccurs="1">
</element>
<element name="entity-attributes" maxOccurs="1"
minOccurs="1">
<complexType>
<sequence>
<element name="attribute"
type="tns:attribute-definition-type" maxOccurs="unbounded"
minOccurs="1">
</element>
</sequence>
</complexType>
</element>
<element name="target-fields" maxOccurs="1" minOccurs="1">
<complexType>
<sequence>
<element name="field"
type="tns:field-definition-type" maxOccurs="unbounded"
minOccurs="1">
</element>
</sequence>
</complexType>
</element>
<element name="attribute-maps" maxOccurs="1"
minOccurs="0">
<complexType>
<sequence>
<element name="attribute-map"
type="tns:attribute-map-definition-type"
maxOccurs="unbounded" minOccurs="1">
</element>
</sequence>
</complexType>
</element>
<element name="child-entities" maxOccurs="1"
minOccurs="0">
<complexType>
<sequence>
<element name="entity"
type="tns:attribute-definition-type" maxOccurs="unbounded"
minOccurs="1">
</element>
</sequence>
</complexType>
</element>
<element name="metadata-attachment" maxOccurs="1"
minOccurs="0">
<complexType>
<sequence>
<element name="metadata"
type="tns:metadata-attachment-type" maxOccurs="unbounded"
minOccurs="0">
</element>
</sequence>
</complexType>
</element>
<element name="control-attributes" minOccurs="0" maxOccurs="1">
<complexType>
<sequence>
<element name="attribute" minOccurs="1" maxOccurs="unbounded">
<complexType>
<sequence>
<element name="type" type="string"
minOccurs="1" maxOccurs="1">
</element>
<element name="description"
type="string" minOccurs="0" maxOccurs="1">
</element>
<element name="required"
type="boolean" minOccurs="1" maxOccurs="1">
</element>
</sequence>
<attribute name="name"
type="string" use="required">
</attribute>
</complexType></element>
</sequence>
</complexType></element>
</all>
</complexType>

<complexType name="provider-instance-type">
<all>
<element name="repository-instance" type="string" maxOccurs="1" minOccurs="0"></element>
<element name="provider-type" type="string" maxOccurs="1" minOccurs="1"></element>
<element name="parameters" minOccurs="0" maxOccurs="1">
<complexType>
<sequence>
<element name="parameter" maxOccurs="unbounded" minOccurs="1">
<complexType>
<sequence>
<element name="value" type="string" maxOccurs="unbounded" minOccurs="1">
</element>
</sequence>
<attribute name="name" type="string">
</attribute>
</complexType>
</element>
</sequence>
</complexType>
</element>
</all>
</complexType>

<complexType name="parameter-definition-type">
<all>
<element name="type" type="string" maxOccurs="1" minOccurs="1">
</element>
<element name="description" type="string" maxOccurs="1" minOccurs="0">
</element>
<element name="required" type="boolean" maxOccurs="1" minOccurs="1">
</element>
<element name="multi-valued" type="boolean" maxOccurs="1" minOccurs="0">
</element>
</all>
<attribute name="name" type="string"></attribute>
</complexType>

<complexType name="attribute-definition-type">
<all>
<element name="type" type="string" maxOccurs="1"
minOccurs="1">
</element>
<element name="description" type="string" maxOccurs="1"
minOccurs="0">
</element>
<element name="required" type="boolean" maxOccurs="1"
minOccurs="1">
</element>
<element name="searchable" type="boolean" maxOccurs="1"
minOccurs="1">
</element>
<element name="MLS" type="boolean" minOccurs="0" maxOccurs="1"></element>
<element name="default-value" type="string" maxOccurs="1"
minOccurs="0">
</element>
<element name="attribute-group" type="string" maxOccurs="1"
minOccurs="1">
</element>
<element name="metadata-attachment" maxOccurs="1"
minOccurs="0">
<complexType>
<sequence>
<element name="metadata"
type="tns:metadata-attachment-type" maxOccurs="unbounded"
minOccurs="0">
</element>
</sequence>
</complexType>
</element>
</all>
<attribute name="name" type="string"></attribute>
</complexType>

<complexType name="field-definition-type">
<all>
<element name="type" type="string" maxOccurs="1" minOccurs="1">
</element>
<element name="description" type="string" maxOccurs="1" minOccurs="0">
</element>
<element name="required" type="boolean" maxOccurs="1" minOccurs="1">
</element>
</all>
<attribute name="name" type="string"></attribute>
</complexType>

<complexType name="attribute-map-definition-type">
<all>
<element name="entity-attribute" type="string" maxOccurs="1" minOccurs="1">
</element>
<element name="target-field" type="string" maxOccurs="1" minOccurs="1">
</element>
</all>
</complexType>

<element name="repository-definition"
type="tns:repository-definition-type">
</element>

<complexType name="repository-definition-type">
<all>
<element name="name" type="string" maxOccurs="1" minOccurs="1">
</element>
<element name="class" type="string" maxOccurs="1" minOccurs="1">
</element>
<element name="parameters" maxOccurs="1" minOccurs="0">
<complexType>
<sequence>
<element name="parameter-def" type="tns:parameter-definition-type" maxOccurs="unbounded" minOccurs="1">
</element>
</sequence>
</complexType>
</element>
<element name="description" type="string" maxOccurs="1" minOccurs="0"></element>
</all>
</complexType>

<element name="provider-definition"
type="tns:provider-definition-type">
</element>

<complexType name="provider-definition-type">
<all>
<element name="name" type="string" maxOccurs="1" minOccurs="1"></element>
<element name="type" maxOccurs="1" minOccurs="1">
<complexType>
<choice>
<element name="DataProvider" type="string"></element>
<element name="RelationProvider" type="string">
</element>
</choice>
</complexType>
</element>
<element name="class" type="string" maxOccurs="1" minOccurs="1"></element>
<element name="description" type="string" maxOccurs="1" minOccurs="0"></element>
<element name="parameters" maxOccurs="1" minOccurs="0">
<complexType>
<sequence>
<element name="parameter-def" type="tns:parameter-definition-type" maxOccurs="unbounded" minOccurs="1">
</element>
</sequence>
</complexType>
</element>
</all>
</complexType>

<element name="repository-instance">
<complexType>
<all>
<element name="name" type="string"></element>
<element name="type" type="string"></element>
<element name="parameters" maxOccurs="1" minOccurs="0">
<complexType>
<sequence>
<element name="parameter" maxOccurs="unbounded" minOccurs="1">
<complexType>
<sequence>
<element name="value" type="string" maxOccurs="1" minOccurs="1">
</element>
</sequence>
<attribute name="name" type="string">
</attribute>
</complexType>
</element>
</sequence>
</complexType>
</element>
</all>
</complexType>
</element>

<complexType name="container-definition-type">
<sequence>
<element name="enabled" type="boolean" maxOccurs="1" minOccurs="1"></element>
<element name="contained-entity" type="string" maxOccurs="unbounded" minOccurs="0">
</element>
</sequence>
</complexType>

<complexType name="relation-definition-type">
<all>
<element name="relation-type" type="string" maxOccurs="1" minOccurs="1"></element>
<element name="description" type="string" maxOccurs="1" minOccurs="0"></element>
<element name="provider-instance" type="tns:provider-instance-type" maxOccurs="1" minOccurs="1">
</element>
<element name="entity1" type="tns:relation-entity-type" maxOccurs="1" minOccurs="1">
</element>
<element name="entity2" type="tns:relation-entity-type" maxOccurs="1" minOccurs="1"></element>
<element name="relation-attributes" maxOccurs="1" minOccurs="1">
<complexType>
<sequence>
<element name="attribute" type="tns:attribute-definition-type" maxOccurs="unbounded" minOccurs="0">
</element>
</sequence>
</complexType>
</element>
<element name="target-fields" maxOccurs="1" minOccurs="1">
<complexType>
<sequence>
<element name="field" type="tns:field-definition-type" maxOccurs="unbounded" minOccurs="0">
</element>
</sequence>
</complexType>
</element>
<element name="attribute-maps" maxOccurs="1" minOccurs="0">
<complexType>
<sequence>
<element name="attribute-map" type="tns:attribute-map-definition-type" maxOccurs="unbounded" minOccurs="1">
</element>
</sequence>
</complexType>
</element>
</all>
</complexType>

<element name="relation-definition"
type="tns:relation-definition-type">
</element>

<complexType name="relation-entity-type">
<all>
<element name="entity-type" type="string"></element>
<element name="attribute" type="string"></element>
<element name="attribute-in-entity" type="string"></element>
<element name="attribute-group" type="string" maxOccurs="1" minOccurs="1"></element>
</all>
</complexType>

<element name="datatype-definition"
type="tns:datatype-definition-type">
</element>

<complexType name="datatype-definition-type">
<all>
<element name="name" type="string" maxOccurs="1" minOccurs="1"></element>
<element name="class" type="string" maxOccurs="1" minOccurs="1"></element>
<element name="base-type" type="string" maxOccurs="1" minOccurs="1"></element>
</all>
</complexType>

<complexType name="metadata-attachment-type">
<all>
<element name="name" type="string"></element>
<element name="value" type="string"></element>
<element name="category" type="string"></element>
</all>
</complexType>

<element name="derived-datatype-definition"
type="tns:derived-datatype-definition-type">
</element>

<complexType name="derived-datatype-definition-type">
<all>
<element name="name" type="string" maxOccurs="1" minOccurs="1">
</element>
<element name="class" type="string" maxOccurs="1" minOccurs="1">
</element>
<element name="parameters" minOccurs="0" maxOccurs="1">
<complexType>
<sequence>
<element name="parameter" maxOccurs="unbounded" minOccurs="1">
<complexType>
<sequence>
<element name="value" type="string" maxOccurs="1" minOccurs="1">
</element>
</sequence>
<attribute name="name" type="string">
</attribute>
</complexType>
</element>
</sequence>
</complexType>
</element>
</all>
</complexType>
</schema>

エンティティXMLファイルはMDSに格納されます。新しい属性が追加されると、データベース・スキーマはMDS内のエンティティXMLとともに更新されます。構成サービスAPIを使用して属性情報を取得し、カスタムUIの構築時に使用できます。

7.10 カスケードLOVの作成

「本人情報」ページと自己登録ページでカスケードLOVを作成するには:

1. Oracle Identity System Administrationにログインします。

2. SUJなどのサンドボックスを作成しアクティブ化します。サンドボックスの作成およびアクティブ化の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』rのサンドボックスの管理に関する項を参照してください。

3. 左ペインの「構成」で、「フォーム・デザイナ」をクリックしてから、「ユーザー」を選択します。

4. 参照タイプの次のUDFを作成します。

- 親: ParentChoice

- 依存: DepChoice

5. UDF DepChoiceをUDF ParentChoiceに依存するようにして、値をマップします。

6. サンドボックスをエクスポートします。
サンドボックスはsandbox_SUJ.zipとして格納されます。

7. sandbox_SUJ.zipファイルを解凍し、次の手順を実行します。

1. \persdef\sessiondef\oracle\iam\ui\runtime\form\model\user\view\mdssys\cust\site\site\userVO.xml.xmlファイルにおいて<ViewAttribute Name="DepChoice__c"タグの下で次のテキストを検索します。
<Property Name="CascadingParentChoiceList" Value="ParentChoice__c"/>

<Property Name="CascadingRelationshipId" Value="100000000002523"/>

2. \persdef\oracle\iam\ui\common\model\user\view\mdssys\cust\site\site\userVO.xmlファイルで<ViewAttribute Name="DepChoice__c"タグの下に手順7のテキストをコピーします。

3. \persdef\sessiondef\oracle\iam\ui\runtime\form\model\user\view\mdssys\cust\site\site\userVO.xml.xmlファイルにおいて次のテキストを検索します。

</mds:insert>
<mds:insert parent="UserVO" position="last">
<ViewAccessor Name="LOVVA_For_DepChoice__c"
ViewObjectName="oracle.adf.businesseditor.model.views.CascadingLookups "
xmlns="http://xmlns.oracle.com/bc4j">
<ParameterMap>
<PIMap Variable="Bind_RelationshipId">

<TransientExpression><![CDATA[viewObject.findAttributeDef("DepChoice__c").getProperty("CascadingRelationshipId")]]></TransientExpression>

</PIMap>
<PIMap Variable="Bind_ParentLookupCode">

<TransientExpression><![CDATA[ParentChoice__c]]></TransientExpression>
</PIMap>
</ParameterMap>
</ViewAccessor>
</mds:insert>

4. 次のテキストを置換することで、\tmp\persdef\oracle\iam\ui\common\model\user\view\mdssys\cust\site\site\userVO.xml.xmlファイルに手順7.cのテキストをコピーします。

</mds:insert>
<mds:insert parent="UserVO" position="last">
<ViewAccessor Name="LOVVA_For_DepChoice__c"
ViewObjectName="oracle.adf.businesseditor.model.views.Lookups"
xmlns="http://xmlns.oracle.com/bc4j">
<ParameterMap>
<PIMap Variable="Bind_LookupType">

<TransientExpression><![CDATA['Lookup.Conditions.Severity']]></TransientExpression>

</PIMap>
</ParameterMap>
</ViewAccessor>
</mds:insert>

8. 手順6のファイル名と同じ名前でZIPファイルを再作成します。

9. SUJサンドボックスをOracle Identity System Administrationから削除します。

10. 手順8で作成した修正済sandbox_SUJ.zipをインポートします。

11. Oracle Identity Self Serviceにログインします。

12. SUJサンドボックスをアクティブ化します。

13. 「本人情報」ページをカスタマイズして、手順4で作成した2つのUDFを追加します。

14. サンドボックスをクリックして、次の手順を実行します。

1. /oracle/iam/ui/myinformation/pages/my-information.jsffファイルを選択してから、「サンドボックスのエクスポート」をクリックします。

2. 前述のファイルを開いて、UDFのID(ParentChoice)をコピーします。

ex:id="dtrt_dc_3742570725"

15. サンドボックスがOracle Identity Self Serviceでアクティブな際、「カスタマイズ」をクリックして、「本人情報」ページをカスタマイズします。

16. 「DepChoice」を選択し「プロパティの編集」をクリックして、partialTrigger値を追加します。この値は、DepChoiceのpartialTrigger値で手順14.bでコピーしたParentChoice UDFの値です。

17. 手順14.bでコピーしたParentChoice UDFの値をDepChoiceのpartialTrigger値に入力します。

18. 「ParentChoice」を選択し、自動送信プロパティをtrueに設定します。

19. サンドボックスを公開します。

注意:

LOVの場合、ユーザー詳細ページで参照コードが出力テキスト値として表示されます。LOV参照値をユーザー詳細ページで表示するには、検索可能ピックリスト(値のADF名入力リスト)を作成してから、読取り専用にします。

NULL値なしのカスケードLOVの指定

ユーザー作成フォームかユーザー変更フォームの属性で必須プロパティの値をtrueに設定すると、値を選択せずにリクエストを送信できます。ユーザーに必須属性の値を選択させるには、リクエスト・データセットを修正し、属性を必須にマークします。これを行うには、次のようにします。

1. 管理サーバーと少なくとも1つのOracle Identity Manager管理対象サーバーが稼動している場合は、次の形式のURLを使用してOracle Enterprise Manager Fusion Middleware Controlにログインします。
http://ADMINSTRATION_SERVER:PORT/em

2. 「Identity and Access」→「OIM」に移動します。右クリックして「システムMBeanブラウザ」に移動します。

3. 「アプリケーション定義のMBeans」で、「oracle.mds.lcm」→「サーバー:oim_server1」→「アプリケーション:OIMAppMetadata」に移動します。

4. リクエスト・データセットをエクスポートするには:

1. 「操作」タブをクリックし、次にexportMetaDataをクリックします。

2. toLocationフィールドに、 /tmpまたは別のディレクトリの名前を入力します。

3. createSubDirにfalseを選択します。

4. 次としてdocの場所を指定します。
/metadata/iam-features-requestactions/model-data/CreateUserDataSet.xml

/metadata/iam-features-requestactions/model-data//ModifyUserDataset.xml

注意:

exportMetaDataやimportMetaDataの操作を起動する際、複数のドキュメントをdocの場所に設定できます。

5. excludeAllCust、excludeBaseDocs、excludeExtendedMetadataに対してもfalseを選択します。次に「起動」をクリックします。
これで、docsフィールドで指定されたファイルがtoLocationフィールドで指定されたディレクトリにエクスポートされます。

5. CreateUserDataSet.xmlファイルを編集し、LocationとBusinessUnit AttributeReferencesでrequiredプロパティの値をtrueに変更します。

6. リクエスト・データセットをインポートするには:

1. importMetaDataをクリックします。

2. fromLocationフィールドに、/tmpまたは構成ファイルを含むディレクトリの名前を入力します。

3. createSubDirにfalseを選択します。

4. 次としてdocの場所を指定します。
/metadata/iam-features-requestactions/model-data/CreateUserDataSet.xml

/metadata/iam-features-requestactions/model-data//ModifyUserDataset.xml

5. excludeAllCust、excludeBaseDocs、excludeExtendedMetadataに対してもfalseを選択します。次に「起動」をクリックします。
これで、docsフィールドで指定されたファイルがtoLocation フィールドで指定されたMDSにインポートされます。

7. Oracle Identity Managerを再起動します。

第IV部

アプリケーション管理

この部では、Oracle Identity Managerでのアプリケーション管理について説明します。

次の章で構成されます。

- 第8章「アプリケーション・インスタンスの管理」

- 第9章「接続なしリソースの管理」

- 第10章「参照の管理」

- 第11章「コネクタ・ライフサイクルの管理」

- 第12章「リコンシリエーションの管理」

8 アプリケーション・インスタンスの管理

アプリケーション・インスタンスは、11g リリース2 (11.1.2)で使用される新しい抽象化です。これは、ITリソース・インスタンス(ターゲットの接続性とコネクタ構成)およびリソース・オブジェクト(プロビジョニング・メカニズム)の組合せです。

R2リリースより前では、リクエストの作成はリソースの名前に基づいて管理者中心で行われ、テクノロジについての詳しい知識が必要でした。11g リリース2 (11.1.2)では、ユーザーのアカウントと権限は、ITリソース・インスタンスやリソース・オブジェクトではなく、アプリケーション・インスタンスに関連付けられるようになりました。これにより、エンド・ユーザーはより簡単に操作できるようになります。

アプリケーション・インスタンスは組織に公開され、その組織のユーザーがリクエストできます。Microsoft Active Directory (AD)が、全世界の様々な組織または部門に属するユーザーにプロビジョニングされるとします。次のもので構成されるアプリケーション・インスタンスを定義できます。

- AD (リソース・オブジェクト)

- URLおよびパスワードなどの接続情報を含む各ADサーバー・インスタンス(IT リソース)

リソース・オブジェクトは全ユーザーに対して同じですが、ポート番号などの接続情報は、異なる組織に属するユーザーでは異なる場合があるため、このような構成になります。これにより、ユーザーが接続情報を知らなくても、ADリソース・オブジェクトをアプリケーション・インスタンスとしてプロビジョニングできます。

アプリケーション・インスタンスは、プロビジョニング可能なエンティティです。特定のターゲット内にあるアカウントを取得するには、エンド・ユーザーがアプリケーション・インスタンスをリクエストする必要があります。エンド・ユーザーは、リソースをリクエストし、それとは別にITリソース・インスタンスを構成するかわりに、アプリケーション・インスタンスをリクエストできます。リクエストは、承認者による承認が必要です。リクエストが承認されると、ユーザーにリソースがプロビジョニングされ、ターゲット・システムにアカウントが作成されます。

注意:

管理者からのリクエストには承認が不要の場合がありますが、エンド・ユーザーからのリクエストには承認者による承認が必要です。

この章では、次のトピックでアプリケーション・インスタンスについて説明します。

- 8.1項「アプリケーション・インスタンスのアーキテクチャと概念」

- 8.2項「アプリケーション・インスタンスの管理」

- 8.4項「権限の開発」

8.1 アプリケーション・インスタンスのアーキテクチャと概念

アプリケーション・インスタンスはプロビジョニング可能なエンティティであり、カタログに公開されます。11g リリース2 (11.1.2)では、アプリケーション・インスタンス、権限およびロールを付与するカタログベースのリクエストを作成する機能が提供されます。アーキテクチャには、プロビジョニング・モジュールでアプリケーション・インスタンスおよび権限のリクエストをサポートするために必要な機能拡張が含まれます。図8-1に、アプリケーション・インスタンスのアーキテクチャを示します。

図8-1 アプリケーション・インスタンスのアーキテクチャ

アプリケーション・インスタンスの概念については、次の各項で説明します。

- 8.1.1項「1つのアプリケーション・インスタンスの複数アカウント」

- 8.1.2項「権限」

- 8.1.3項「接続なしアプリケーション・インスタンス」

- 8.1.4項「アプリケーション・インスタンスのセキュリティ」

8.1.1 1つのアプリケーション・インスタンスの複数アカウント

企業内のユーザーは、1つのアプリケーション・インスタンスに対して複数のアカウントを持つことができます。これは、HR管理者が、管理アカウントを使用して組織の他の従業員のための様々なタスクを実行するようなシナリオで必要です。同じHR管理者が、自身のための特定のタスクを実行する場合には、別のユーザー・アカウントを使用してログインします。この例では、同じユーザーに、システムにログインして異なる種類の操作を行うための2つの異なるアカウントが必要です。

さらに、潜在的なセキュリティ上の脅威を防ぐためにも、ユーザーが複数アカウントを使用できるようにする必要があります。たとえば、あるユーザーが同じアカウントを使用して環境にログインし、管理タスク、自分自身と他のユーザーの標準ビジネス・タスクおよびITインフラストラクチャ関連タスクを実行するとします。システムに侵入されアカウントがハッキングされた場合、ハッカーはインフラストラクチャのデータおよびその他の機密情報にアクセスできます。ユーザーがタスクの種類ごとに異なる複数のアカウントを持っており、標準アカウントがハッキングされた場合は、ITインフラストラクチャに関する機密情報およびその他の重要なリソースはハッカーから守られます。

Oracle Identity Managerでは、1つのアプリケーション・インスタンスにおける複数アカウントの使用がサポートされます。作成される最初のアカウントはプライマリ・アカウントとしてタグが付けられ、1人のユーザーに対して作成できるプライマリ・アカウントは1つのみです。同じアプリケーション・インスタンス上に作成された後続アカウントは「その他」のタグが付与されます。ユーザーが権限をリクエストすると、プライマリ・アカウントに権限が追加されます。

ユーザーがアプリケーション・インスタンスに対してプロビジョニングされると、Oracle Identity Managerにより、それがそのアプリケーション・インスタンスでそのユーザーに対してプロビジョニングされる最初のアカウントであるかどうかがチェックされます。最初のアカウントである場合、そのアカウントは「プライマリ」とマークされます。アプリケーション・インスタンスから既存のユーザー・アカウントがリコンサイルされる場合、リコンサイルされる最初のアカウントは「プライマリ」とマークされます。「プライマリ」とマークされたアカウントが実際のプライマリ・アカウントではない場合、手動でそのアカウントの「プライマリ」タグを変更して、別のアカウントを「プライマリ」とマークできます。

8.1.2 権限

ターゲット・システムのアカウントに付与される権限により、アカウント所有者(ユーザー)は特定のタスクや機能を実行できます。権限は、ロール、職責またはグループ・メンバーシップの場合があります。たとえば、ユーザーRichardがターゲット・システムでInventory Analystロールを付与されている場合、Richardはその権限を使用してターゲット・システムの在庫関連レポートにアクセスし、生成できます。

Oracle Identity Managerでは、OIMユーザーにプロビジョニングされるアカウント(リソース)ごとに1つのプロセス・フォームがあります。権限データは、子プロセス・フォームに格納されます。前述の例では、ターゲット・システムのRichardのアカウントのプロセス・フォームには、Inventory Managerロール・データを保持する子プロセス・フォームがあります。

注意:

ターゲット・システムで作成された権限をOracle Identity Managerにリコンシリエーションするには、最初に参照フィールド同期のスケジュール済ジョブを実行してから、権限リスト・スケジュール済ジョブを実行する必要があります。

子プロセス・フォームに格納される権限データを構成する属性は、ターゲット・システムによって異なる可能性があります。また、ロールと職責などの異なるタイプの権限は、異なる属性を持つ場合があります。

管理アカウントに関連付ける必要がある権限は、管理アカウントにおけるリソースの変更をリクエストすることによりプロビジョニングされます。管理者は、ユーザーのリソース(アカウント)プロファイルから管理アカウントの変更をリクエストし、このアカウントの子表へ管理権限を追加でき、これによってこの権限が該当する管理アカウントにプロビジョニングされます。権限は権限のリクエストを使用してリクエストすることもできます。

あらゆる種類の権限をリクエスト・カタログでリクエストできます。管理権限のリクエストが承認されると、管理アカウントではなくプライマリ・アカウントに管理権限が関連付けられます。

Oracle Identity System Administrationの「アプリケーション・インスタンス」セクションを使用して、権限を編集できます。

権限の詳細は、「権限の開発」を参照してください。

8.1.3 接続なしアプリケーション・インスタンス

Oracle Identity Managerにおけるセルフ・サービス、委任管理、リクエスト管理およびロールベースのプロビジョニング機能はデプロイできますが、プロビジョニングを自動化するためのプロビジョニングおよびリコンシリエーション・コネクタはデプロイできません。委任管理操作、リクエストの承認またはロールベースのプロビジョニングが完了すると、手動のプロビジョニング・タスクが管理者に割り当てられます。続けて管理者は、ターゲットのアプリケーション・インスタンスで、プロビジョニングを手動で実行します。この例には、物理アクセス・カードのプロビジョニングがあります。Oracle Identity Managerでは物理アクセス・カードをプロビジョニングできないため、接続なしリソースのアプリケーション・インスタンスがプロビジョニングされます。

Oracle Identity Managerでは、接続なしリソースの手動プロビジョニング用のSOAワークリストを使用して、接続なしリソースのプロビジョニングをサポートします。ロールベースのプロビジョニングの決定またはSOAリクエストの承認が完了し、対応するアプリケーション・インスタンスが接続なしアプリケーション・インスタンスであると判別されると、新しいSOAワークフローが開始されます。この新しいSOAワークフローは、手動プロビジョニング管理者に割り当てられます。

接続なしリソースのプロビジョニングを行うために、接続なしタイプのアプリケーション・インスタンスを作成できます。手動プロビジョニング管理者は、Oracle Identity Self Serviceの「保留中の承認」セクションを使用して、リクエストの全フィールドを更新できます。手動プロビジョニング管理者が手動プロビジョニング・ワークリスト項目を送信すると、手動プロビジョニング管理者の応答に基づいて、プロビジョニング・インフラストラクチャにより基礎となるプロビジョニング・タスクに「完了」のマークが付けられます。管理者がそのタスクが手動で完了されたことを示すと、ステータスがプロビジョニング済に変更されます。

8.1.4 アプリケーション・インスタンスのセキュリティ

アプリケーション・インスタンスは、組織の公開メカニズムによってセキュリティ・プリミティブが関連付けられたエンティティでもあります。マルチテナント環境では、複数の組織によりリソース定義を共有できますが、実際にターゲットにプロビジョニングできるのは、そのうちアプリケーション・インスタンスが公開されている組織のみです。

8.2 アプリケーション・インスタンスの管理

Oracle Identity System Administrationを使用してアプリケーション・インスタンスを管理します。次のものが含まれます。

- アプリケーション・インスタンスの作成

- アプリケーション・インスタンスの検索

- アプリケーション・インスタンスの変更

- アプリケーション・インスタンスの削除

- フォームの作成および変更

関連項目:

接続なしアプリケーション・インスタンスから接続アプリケーション・インスタンスへの変換の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の接続なしアプリケーション・インスタンスから接続アプリケーション・インスタンスへの変換に関する説明を参照してください。

8.2.1 アプリケーション・インスタンスの作成

アプリケーション・インスタンスを作成するには:

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「構成」で、「アプリケーション・インスタンス」をクリックします。「アプリケーション・インスタンス」ページが表示されます。

3. 「アクション」メニューから「作成」を選択します。または、ツールバーにある「作成」をクリックします。「アプリケーション・インスタンスの作成」ページが表示されます。

4. 表8-1に示すように属性の値を入力します。

表8-1 「アプリケーション・インスタンスの作成」ページのフィールド

属性

説明

名前

アプリケーション・インスタンスの名前。これは必須フィールドです。

注意: ASCIIでない文字を「名前」フィールドに入力した場合、アプリケーション・インスタンスを保存しようとすると、エラー・メッセージが表示されます。「名前」フィールドにASCIIまたは英数字の文字列のみを入力することをお薦めします。

表示名

アプリケーション・インスタンスの表示名。これは必須フィールドです。

説明

アプリケーション・インスタンスの説明。

切断

アプリケーション・インスタンスを接続なしとして指定する場合に選択します。このオプションを選択すると、手動プロビジョニング管理者に割り当てられる新しい承認プロセスが作成されます。詳細は、「接続なしアプリケーション・インスタンス」を参照してください。

注意: 接続なしアプリケーション・インスタンスは、サンドボックスがアクティブな場合にのみ作成できます。サンドボックスの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

リソース・オブジェクト

リソース・オブジェクト名。このフィールドの隣にある検索アイコンをクリックすると、リソース・オブジェクトを検索して選択できます。

ITリソース・インスタンス

ITリソース・インスタンス名。このフィールドの隣にある検索アイコンをクリックすると、ITリソース・インスタンスを検索して選択できます。

フォーム

フォームまたはデータセット名を選択します。選択したリソース・オブジェクトに関連付けられているフォームが「フォーム」リストに移入されます。

ここでは、新しいフォームを作成したり、既存のフォームを編集できます。詳細は、「フォームの作成および変更」を参照してください。

親AppInstance

新しいアプリケーション・インスタンスの親として指定するアプリケーション・インスタンスの名前。新しいアプリケーション・インスタンスは、親アプリケーション・インスタンスのプロパティをすべて継承します。

5. 「保存」をクリックします。アプリケーション・インスタンスが作成され、アプリケーション・インスタンスの詳細がページに表示されます。

8.2.2 アプリケーション・インスタンスの検索

アプリケーション・インスタンスを検索するには:

1. Oracle Identity System Administrationの「構成」で、「アプリケーション・インスタンス」をクリックします。「アプリケーション・インスタンス」ページが表示されます。

2. 次のいずれかを選択します。

- すべて: このオプションを選択すると、検索はAND条件で実行されます。つまり、指定されたすべての検索基準を満たす場合のみ検索操作が成功します。

- いずれか: このオプションを選択すると、検索はOR条件で実行されます。つまり、指定された選択基準のいずれかに一致する場合に検索操作が成功します。

3. 「表示名」などの、検索可能なアプリケーション・インスタンス属性フィールドで、値を指定します。属性値にはワイルドカード文字(*)を使用できます。
一部の属性では、「参照」から属性値を選択します。たとえば、特定のリソース・オブジェクトを持つアプリケーション・インスタンスをすべて検索するには、「リソース・オブジェクト」フィールドにそのリソース・オブジェクトの名前を指定します。

4. 指定する属性値ごとに、リストから検索演算子を選択します。次の検索演算子から選択できます。

- 次で始まる

- 次で終わる

- 次と等しい

- 次と等しくない

- 次を含む

検索演算子とワイルドカード文字を組み合せて、検索条件を指定できます。アスタリスク(*)文字をワイルドカード文字として使用します。

5. 「アプリケーション・インスタンス」ページに検索可能なアプリケーション・インスタンス属性を追加するには、「フィールドの追加」をクリックし、属性のリストから属性を選択します。
たとえば、親アプリケーション・インスタンスの下にあるすべてのアプリケーション・インスタンスを検索するには、「親AppInstance」属性を検索可能なフィールドとして追加し、検索条件を指定します。

6. オプションで、「リセット」をクリックすると、指定した検索条件がリセットされます。このステップは通常、指定した検索条件を削除して、新しい検索条件を指定する場合に実行します。

7. 「検索」をクリックします。検索結果は、図8-2に示すように表形式で表示されます。

図8-2 アプリケーション・インスタンスの検索

「図8-2 アプリケーション・インスタンスの検索」の説明

ヒント:

例による問合せ機能を使用すると、特定の値に基づいて検索を絞り込めます。詳細は、『Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイド』の例による問合せに関する説明を参照してください。

8.2.3 アプリケーション・インスタンスの変更

アプリケーション・インスタンスを開いて、属性の変更、アプリケーション・インスタンスを使用できる組織の割当てと失効、アプリケーション・インスタンスに関連付けられた権限の編集を行うことができます。これらのタスクについては、次の各項で説明します。

- アプリケーション・インスタンス属性の変更

- アプリケーション・インスタンスに関連付けられた組織の管理

- アプリケーション・インスタンスに関連付けられた権限の管理

8.2.3.1 アプリケーション・インスタンス属性の変更

アプリケーション・インスタンスの属性を変更するには:

1. 「アプリケーション・インスタンス」ページで、開くアプリケーション・インスタンスを検索して選択します。

2. 「アクション」メニューで「開く」をクリックします。または、ツールバーにある「開く」をクリックします。アプリケーション・インスタンスの表示名をクリックすることもできます。
アプリケーション・インスタンスの詳細ページが表示されます。

3. 「属性」タブが表示されていることを確認します。変更できないフィールドはグレー表示されています。

4. 「表示名」、「説明」、「フォーム」、「親AppInstance」などのフィールドの値を編集します。

5. 「適用」をクリックします。属性の変更が保存されます。

注意:

アプリケーション・インスタンスを変更した後、変更された詳細がOracle Identity Self Serviceの「カタログ」ページに反映されているが、ユーザー詳細ページには反映されていない場合、 ユーザー詳細ページを閉じてから再び開きます。更新されたアプリケーション・インスタンス詳細が反映されます。

8.2.3.2 アプリケーション・インスタンスに関連付けられた組織の管理

アプリケーション・インスタンスを組織に公開して、アプリケーション・インスタンスのリクエストとそれに続くユーザーへのプロビジョニングを可能にする必要があります。その組織に属するユーザー、その組織でユーザー・ビューア・ロールを持っているユーザーまたはその組織でアプリケーション・インスタンス・ビューア・ロールとユーザー・ビューア・ロールを持っているユーザーが、アプリケーション・インスタンスをリクエストできます。Oracle Identity Managerにおける認可の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』を参照してください。

アプリケーション・インスタンスの詳細ページの「組織」タブでは、組織へのアプリケーション・インスタンスの公開とアプリケーション・インスタンスからの組織の失効を行うことができます。

また、アプリケーション・インスタンスを組織とその下位組織に公開して、下位組織のユーザーもアプリケーション・インスタンスをリクエストできるようにすることもできます。権限を持つ組織にアプリケーション・インスタンスを公開して、その組織のユーザーが、権限が関連付けられたアプリケーション・インスタンスをリクエストできるようにすることもできます。

注意:

管理者ユーザーは、管理者が表示できるすべての組織にエンティティを公開できます。たとえば、権限管理者は、自身が表示権限を持つすべての組織に対し、管理権限付きの権限を公開できます。

この項で説明するタスクは次のとおりです。

- 組織へのアプリケーション・インスタンスの公開

- アプリケーション・インスタンスからの組織の失効

8.2.3.2.1 組織へのアプリケーション・インスタンスの公開

アプリケーション・インスタンスを組織に公開するには:

1. アプリケーション・インスタンスの詳細ページで、「組織」タブをクリックします。開いているアプリケーション・インスタンスの公開先となる組織のリストが表示されます。
各組織について、「階層対応」列に「下位組織を含める」オプションが表示されます。組織とその下位組織が、開いているアプリケーション・インスタンスを使用できるようにする場合に、このオプションを選択します。その組織のみが、開いているアプリケーション・インスタンスを使用できるようにする場合は、このオプションの選択を解除します。

2. 「アクション」メニューで「割当て」をクリックします。または、ツールバーにある「割当て」をクリックします。「組織の選択」ダイアログ・ボックスが表示されます。

3. 開いているアプリケーション・インスタンスの公開先となる組織を検索します。

4. 「選択した項目の追加」をクリックします。選択した組織が「選択した組織」表に追加されます。
すべての組織を選択するには、「すべて追加」をクリックします。

5. 「選択した組織」表に追加された各組織の「階層」列にチェック・ボックスが表示されます。開いているアプリケーション・インスタンスを、選択した組織の下位組織に公開する場合は、この「階層」オプションを選択します。
開いているアプリケーション・インスタンスを、選択した組織のみに公開する場合は、「階層」オプションの選択を解除したままにします。

6. 開いているアプリケーション・インスタンスを、そのアプリケーション・インスタンスに関連付けられた権限を持つ選択された組織に公開するには、「権限に適用」オプションを選択します。それ以外の場合は、このオプションの選択を解除されたままにします。
図8-3に、「階層」および「権限に適用」オプションが示された「組織の選択」ダイアログ・ボックスを示します。

図8-3 「組織の選択」ダイアログ・ボックス

「図8-3 「組織の選択」ダイアログ・ボックス」の説明

7. 「OK」をクリックします。アプリケーション・インスタンスが選択された組織に公開されます。
「下位組織を含める」オプションは、「組織の選択」ダイアログ・ボックスで「階層」オプションを選択した組織に表示されます。

8.2.3.2.2 アプリケーション・インスタンスからの組織の失効

アプリケーション・インスタンスから組織を失効させるには:

1. 「組織」タブで、開いているアプリケーション・インスタンスから失効させる組織を選択します。

2. 「アクション」メニューから「失効」を選択します。または、ツールバーにある「失効」をクリックします。選択した組織を示す確認ボックスが表示されます。

3. 「はい」をクリックして確認します。アプリケーション・インスタンスから組織が失効されます。

8.2.3.3 アプリケーション・インスタンスに関連付けられた権限の管理

アプリケーション・インスタンスに関連付けられた権限を変更するには:

1. アプリケーション・インスタンスの詳細ページで、「権限」タブをクリックします。開いているアプリケーション・インスタンスに関連付けられている権限のリストが表示されます。

2. 変更する権限を選択します。

3. 「アクション」メニューから「編集」を選択します。または、ツールバーにある「編集」をクリックします。選択した権限の詳細がページに表示されます。

4. 属性の属性を変更して、「保存」をクリックします。権限の変更が保存されます。

8.2.4 アプリケーション・インスタンスの削除

アプリケーション・インスタンスは、次のいずれかの方法で削除できます。

- Oracle Identity System Administrationの「アプリケーション・インスタンス」セクションからアプリケーション・インスタンスを削除します。

- アプリケーション・インスタンスの構成要素であるITリソースを削除します。

これらのいずれかの方法でアプリケーション・インスタンスを削除した場合、アプリケーション・インスタンスはOracle Identity Managerからハード削除されるわけではありません。アプリケーション・インスタンスはソフト削除されます。これは、そのアプリケーション・インスタンスの結果としてプロビジョニングされたアカウントが、ターゲット・システム内に存在する場合があるためです。そのため、アプリケーション・インスタンスを削除した後で、次の操作を行うためのスケジュール済ジョブを実行する必要があります。

- エンティティ・パブリケーションからアプリケーション・インスタンスを非公開にします。

- エンティティ・パブリケーションから関連付けられた権限を非公開にします。

- アプリケーション・インスタンスのすべてのアカウントを失効させるか、ハード削除するか、削除済としてマークします。

アプリケーション・インスタンスを削除するには:

1. Oracle Identity System Administrationの「構成」で、「アプリケーション・インスタンス」をクリックします。「アプリケーション・インスタンス」ページが表示され、組織に公開されているアプリケーション・インスタンスのリストが示されます。

2. 削除するアプリケーション・インスタンスを検索して選択します。

3. 「アクション」メニューから「削除」を選択します。または、ツールバーにある「削除」をクリックします。確認を求めるメッセージ・ボックスが表示されます。

4. 「削除」をクリックして確認します。アプリケーション・インスタンスが、Oracle Identity Managerでソフト削除されます。
アプリケーション・インスタンスのITリソースを削除して、そのアプリケーション・インスタンスを削除することもできます。ITリソースの削除の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のITリソースの管理に関する説明を参照してください。

5. アプリケーション・インスタンスの削除後処理ジョブ・スケジュール済ジョブを実行します。このスケジュール済ジョブは、次のいずれかのモードで実行できます。

- 失効: アプリケーション・インスタンスは削除されたが、プロビジョニングされたアカウントがまだターゲット・システム内に存在する場合にこのモードを使用します。「失効」モードを使用すると、ターゲット・システムからアカウントが削除されます。

- 削除: ターゲット・システムが存在せず、Oracle Identity Managerにアカウントの痕跡がない場合にこのモードを使用します。「削除」モードを使用すると、すべてのプロビジョニング・タスクおよびターゲットからアカウントがハード削除され、続けてOracle Identity Managerからもハード削除されます。

- 廃止: ターゲット・システムが存在せず、プロビジョニングされたアカウントをターゲット・システムから失効させることができない場合にこのモードを使用します。「廃止」モードを使用すると、アカウントのステータスが「失効」に変更され、Oracle Identity Managerでそのアカウントの「プロビジョニング済」状態が解除されます。

スケジュール済ジョブの詳細は、「スケジューラの管理」を参照してください。

注意:

アプリケーション・インスタンスの削除後処理ジョブ・スケジュール済ジョブは、各アプリケーション・インスタンスの削除後に実行できます。

6. カタログ同期化ジョブ・スケジュール済ジョブを実行します。このスケジュール済ジョブでは、ソフト削除されたアプリケーション・インスタンスを特定し、それらをカタログから削除します。

注意:

- カタログ同期化ジョブ・スケジュール済ジョブは、アプリケーション・インスタンスの削除後処理ジョブの実行とは独立して実行されます。これは、カタログ同期化ジョブ・スケジュール済ジョブでは、アプリケーション・インスタンスの削除後処理ジョブがアプリケーション・インスタンスのソフト削除後に実行されなくても、ソフト削除されたアプリケーション・インスタンスをカタログから削除するということです。

- カタログ同期化ジョブを「増分」モードで実行することをお薦めします。これによって、ベース・エンティティのアプリケーション・インスタンスと権限で追加、更新、削除などの変更内容がカタログDBと同期されます。

図8-4に、アプリケーション・インスタンスのソフト削除のフローとそれに伴って行われる変更を示します。

図8-4 アプリケーション・インスタンスのソフト削除フロー

8.2.5 フォームの作成および変更

Oracle Identity System Administrationの「アプリケーション・インスタンス」セクションで、リソース・オブジェクトに関連付けられ、続けてアプリケーション・インスタンスに関連付けられているフォームを作成および変更できます。

関連項目:

- サンドボックスの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

- フォームの作成の詳細は、第6章「フォームの管理」を参照してください。

- カスタム属性の構成の詳細は、第7章「カスタム属性の構成」を参照してください。

この項の内容は次のとおりです。

- アプリケーション・インスタンスに関連付けられたフォームの作成

- アプリケーション・インスタンスに関連付けられたフォームの変更

- アプリケーション・インスタンス・フォームのローカライズ

8.2.5.1 アプリケーション・インスタンスに関連付けられたフォームの作成

アプリケーション・インスタンスに関連付けられたフォームを作成するには:

注意:

フォームを直接作成することはできません。フォームを作成する前に、サンドボックスを作成してアクティブ化する必要があります。サンドボックスの作成およびアクティブ化の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

1. 「アプリケーション・インスタンスの作成」ページまたはアプリケーション・インスタンスの詳細ページの「属性」タブを開きます。

2. 「フォーム」フィールドの隣の「作成」をクリックします。「フォームの作成」ページが表示されます。

3. 「名前」フィールドで、フォームに関連付けられるリソース・オブジェクトの名前が表示されていることを確認します。リソース・オブジェクト名を変更するには、「名前」フィールドの隣にある検索アイコンをクリックし、「検索と選択: 名前」ダイアログ・ボックスで名前を検索して選択します。

4. 「フォーム名」フィールドにフォーム名を入力します。

5. 「使用可能なフォーム・フィールド」セクションに、フォーム・フィールド名と説明のリストおよび表示名が表示されます。これらのフィールドは、作成するフォームで使用できます。使用可能な各フォーム・フィールドに対し、次のオプションを1つ以上選択します。

- 作成で使用: このオプションを選択すると、フォーム・フィールドをエンティティの作成に使用できるようになります。

- バルク更新: このオプションを選択すると、フォーム・フィールドをエンティティのバルク更新に使用できるようになります。

- 暗号化済: このオプションを選択すると、フォーム・フィールドの値が暗号化形式で表示されます。

6. 「作成」をクリックします。フォームが作成されたことを示すメッセージが表示されます。

7. 「アプリケーション・インスタンスの作成」ページまたはアプリケーション・インスタンスの詳細ページの「属性」タブで、「フォーム」フィールドの隣にある「リフレッシュ」をクリックします。新しく作成したフォームを「フォーム」リストで選択できます。

8.2.5.2 アプリケーション・インスタンスに関連付けられたフォームの変更

注意:

フォームを直接変更することはできません。フォームを作成する前に、サンドボックスを作成してアクティブ化する必要があります。サンドボックスの変更およびアクティブ化の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

アプリケーション・インスタンスに関連付けられたフォームを変更するには:

1. 「アプリケーション・インスタンスの作成」ページまたはアプリケーション・インスタンスの詳細ページの「属性」タブを開きます。

2. 「フォーム」リストから、変更するフォームを選択します。

3. 「フォーム」フィールドの右側にある「編集」をクリックします。図8-5に示すようなフォームの管理ページが表示されます。

図8-5 フォームの管理ページ

「図8-5 フォームの管理ページ」の説明

フォームの変更の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のプロセス・フォームの開発に関する説明を参照してください。

カスタム・フィールドの作成および編集の詳細は、「カスタム属性の構成」を参照してください。

8.2.5.3 アプリケーション・インスタンス・フォームのローカライズ

アプリケーション・インスタンス・フォームをローカライズするには:

1. ローカライズ対象となるアプリケーション・インスタンス・フォームのあるサンドボックスを公開します。

2. MDSファイル(/xliffBundles/oracle/iam/ui/runtime/BizEditorBundle.xlf)をエクスポートします。このファイルには、メッセージ・キーとローカライズ対象メッセージがあります。

sessiondef.oracle.iam.ui.runtime.form.model.testAppInstance.entity.testAppInstanceEO.UD_TES8393_ACCOUNTID__c_LABEL

関連項目:

メタデータ・ファイルのエクスポートの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の「カスタマイズのデプロイとアンデプロイ」を参照してください。

3. ファイルをエクスポートして、ドイツ語などにローカライズします。
/xliffBundles/oracle/iam/ui/runtime/BizEditorBundle_de.xlf

注意:

このファイルはMDSに存在しない場合があります。存在しない場合、新規作成しますが、パスは同じにする必要があります。

4. ドイツ語でローカライズしたメッセージを用意しますが、手順2でエクスポートされたファイルと同じ形式に従ってください。

関連項目:

リソース・バンドルをメタデータ・サービスのメタデータ・リポジトリから翻訳する方法の詳細は、Oracle Fusion Applications拡張性ガイドを参照してください。

5. /xliffBundles/oracle/iam/ui/runtime/BizEditorBundle_de.xlfをMDSにインポートします。

6. ログアウトしてから再びログインします。

8.3 アプリケーション・インスタンスの構成

Oracle Identity System Administrationを使用して、アプリケーション・インスタンスを構成できます。次のものが含まれます。

- 8.3.1項「接続アプリケーション・インスタンスに対するプロビジョニングの構成」

- 8.3.2項「リソース・オブジェクトの構成」

- 8.3.3項「ITリソースの構成」

- 8.3.4項「アプリケーション・インスタンスのパスワード・ポリシーの構成」

8.3.1 接続アプリケーション・インスタンスに対するプロビジョニングの構成

接続(ADユーザー)アプリケーション・インスタンスに対してプロビジョニングを構成するには:

1. Oracle Identity System Administrationにアクセスします。

2. 「構成」で、「アプリケーション・インスタンス」をクリックします。

3. ActiveDirectoryApplicationInstance (ADユーザー)などの接続アプリケーション・インスタンスを選択します。

4. 必要なフィールドに入力し、「適用」をクリックします。

図8-6 接続アプリケーション・インスタンス

8.3.2 リソース・オブジェクトの構成

リソース・オブジェクトを構成する方法の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のリソース・オブジェクト・フォームに関する項を参照してください。

8.3.3 ITリソースの構成

ITリソースの構成の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のITリソースの作成に関する項とITリソースの管理に関する項を参照してください。

8.3.4 アプリケーション・インスタンスのパスワード・ポリシーの構成

アプリケーション・インスタンスのパスワード・ポリシーを構成するには:

1. Oracle Identity System Administrationにアクセスします。

2. 「ポリシー」で、「パスワード・ポリシー」をクリックします。

3. 必要なフィールドを設定して、パスワードの新しいルールを設定します。
構成可能な「ポリシー・ルール」フィールドと「カスタム・ポリシー」フィールドを示します。

図8-7 アプリケーション・インスタンスのパスワード・ポリシー

4. アプリケーション・インスタンスのパスワード・ポリシーの設定が完了したら、新しいポリシーを接続(ADユーザー)アプリケーション・インスタンスにアタッチする必要があります。これを行うには、次のようにします。

1. Design Consoleにアクセスします。

2. 「リソース管理」で、「リソース・オブジェクト」をクリックします。

3. パスワード・ポリシー・ルール・タブをクリックします。

4. 作成した新しいパスワード・ポリシー(AD pwdpolicy)を選択して、接続アプリケーション・インスタンスにアタッチします。

5. 「追加」をクリックします。

図8-8 アプリケーション・インスタンスへのパスワード・ポリシーのアタッチ

8.4 権限の開発

ターゲット・システムのアカウントに付与される権限により、アカウント所有者(ユーザー)は特定のタスクや機能を実行できます。権限は、ロール、職責またはグループ・メンバーシップの場合があります。たとえば、ユーザーRichardがターゲット・システムでInventory Analystロールを付与されている場合、Richardはその権限を使用してターゲット・システムの在庫関連レポートにアクセスし、生成できます。

Oracle Identity Managerでは、OIMユーザーにプロビジョニングされるアカウント(リソース)ごとに1つのプロセス・フォームがあります。権限データは、プロセス・フォームの子プロセス・フォームに格納されます。前述の例では、ターゲット・システムのRichardのアカウントのプロセス・フォームには、Inventory Managerロール・データを保持する子プロセス・フォームがあります。

子プロセス・フォームに格納される権限データを構成する属性は、ターゲット・システムによって異なる可能性があります。また、ロールと職責などの異なるタイプの権限は、異なる属性を持つ場合があります。たとえば、ターゲット・システムAに、次のロール・データの属性が含まれます。

- ロール名

- ロールの説明

- 開始日

- 終了日

同じターゲット・システムに、職責データの異なる属性のセットが含まれる場合があります。

- 職責ID

- 割当て日

- 代理ユーザー

- エスカレーション・ユーザー

ターゲット・システムの権限を一意に識別する属性をマークまたは強調表示できます。前述のサンプル・ロールおよび職責データの属性で、「ロール名」属性と「職責ID」属性は、ターゲット・システムAのロール権限および職責権限を一意に識別します。権限を一意に識別する属性をマークすることにより、他のアイデンティティ管理ソリューションで使用可能であり、レポートでも表示される権限データの取得を有効にします。

注意:

このリリースのOracle Identity ManagerでSAP User Managementコネクタのリリース9.xを使用する場合、「ロール」と「プロファイル」の権限が適切に動作するように次の手順を実行してください。

1. ロール子フォームで、ロール・システム名フィールドから「権限」と「必須」のプロパティを削除します。

2. プロファイル子フォームで、プロファイル・システム名フィールドから「権限」と「必須」のプロパティを削除します。

この項の内容は次のとおりです。

- 使用可能権限および割り当てられた権限

- 権限データ取得プロセス

- 子プロセス・フォームでの権限属性のマーク

- 権限または子データの重複検証

- 権限データを使用するためのスケジュール済タスクの構成

- 割り当てられた権限に対する変更の取得の無効化

- 権限関連レポート

8.4.1 使用可能権限および割り当てられた権限

ターゲット・システムには、定義済で、ターゲット・システムのアカウント(ユーザー)に割り当てる準備ができた一連の権限を含めることができます。このターゲット・システムをOracle Identity Managerと統合すると、ターゲット・システムからOracle Identity ManagerのLKV表に権限データをインポート(同期)できます。

注意:

事前定義済コネクタを使用してターゲット・システムを統合する場合は、スケジュール済タスクを使用してこの表に権限データをフェッチすることができます。

権限リスト・スケジュール済ジョブでは、LKVからENT_LISTに権限を同期します。このジョブではまた、カタログ同期化ジョブを開始して、カタログに権限を同期します。権限は、カタログで検出されるようになった時点で使用できます。カタログ同期化の構成の詳細は、16.3.2.3項「進行中の同期」を参照してください。

プロビジョニング操作中に、カタログを使用して権限をリクエストします。アプリケーション・インスタンスのリクエストの送信時に、権限データと親データをともにリクエスト・データセットとして移入することもできます。このマニュアルでは、アカウントに割り当てられる権限を割り当てられた権限と呼びます。割り当てられた権限に関するデータは、子プロセス・フォーム表に格納されます。

8.4.2 権限データ取得プロセス

各子プロセス・フォームの権限属性をマークした後、次のプロセスが実行されます。

- 使用可能権限に関するデータの取得

- 割り当てられた権限に関するデータの取得

8.4.2.1 使用可能権限に関するデータの取得

次の手順では、使用可能権限に関するデータの取得方法について説明します。

注意:

- これらの手順で説明するプロセスを有効にするには、各子プロセス・フォームの権限属性をマークする必要があります。その方法については、この章で後述します。

- 親フォームに最新バージョンの子フォームが含まれていることを確認してください。子の親を作成、編集およびアクティブ化した場合、同じ操作を親フォームにも行わないかぎり、自動的に親フォームに最新バージョンの子フォームが含まれることはありません。

1. ターゲット・システムとの同期により、使用可能権限に関するデータがLKV表に格納されます。

2. 権限リスト・スケジュール済タスクをスケジュールし、実行します。

3. スケジュール・タスクにより、プロセス・フォームの権限プロパティから権限が判別されます。

4. スケジュール済タスクで、使用可能権限に関するデータがLKV表からENT_LIST表にコピーされます。

8.4.2.2 割り当てられた権限に関するデータの取得

この項では、割り当てられた権限に関するデータの取得方法について説明します。子プロセス・フォームで権限属性にマークが付けられている場合、対応するUD表でトリガーが作成されます。権限属性にマークが付けられたフォームが、コネクタのインストールによってインポートされる場合も同様です。

注意:

これらの手順で説明するプロセスを有効にするには、各子プロセス・フォームUD_表の権限属性をマークする必要があります。その方法については、この章で後述します。

権限割当ては、そのほとんどがトリガーを通じてリアルタイムで行われます。

トリガー:

1. 権限がUD表に挿入されたときに、割り当てられた権限をUD表からent_assign表にコピーします。

2. UD表から権限が削除されたときに、割り当てられた権限をent_assignからent_assign_listに移動します。UD表で権限が更新されたときに、新しく割り当てられた権限をUD表からent_assign表にコピーし、前に割り当てられていた権限をent_assign_list表に移動します。

トリガーにより権限が正しく割り当てられない場合は、権限割当てスケジュール済タスクを使用して完全同期を実行できます。

たとえば、アカウント・リコンシリエーションスケジュール済タスクをターゲットから実行して新しい権限割当てをもたらしても、権限定義がENT_LISTに存在しないと、トリガーベースのメカニズムは機能しません。この条件では、このようなエントリをトリガーで無視し、スケジュール済タスクを介して処理する必要があります。権限がターゲットからリコンシリエーションされた後、適用可能になります。

8.4.3 子プロセス・フォームでの権限属性のマーク

権限データを取得するリソースの子プロセス・フォームUD_表の権限属性をマークする必要があります。ユーザーの操作環境に、15のターゲット・システムがあるとします。15個のリソースのうち12個のリソースの権限データを取得する場合は、それらの12個のリソースの権限属性をマークする必要があります。

この項で説明する手順を実行する際には、次のガイドラインに従います。

- 子プロセス・フォームで、権限データを保持する1つの属性のみをマークできます。

- マークする属性は、LookupFieldタイプであり、そのプロパティは次のどちらかである必要があります。

- 参照コード

- 参照問合せ
「参照問合せ」は次の条件を満たす必要があります。

- 問合せでLKU表およびLKV表が使用される

- 問合せの「参照コード」はLKU表のものである

- LKV_ENCODED列値が保存に使用される

- LKV_DECODED列値が表示目的で使用される

子プロセス・フォームのフィールドを権限としてマークするには、次の手順を実行します。

1. Design Consoleにログインします。

2. 「開発ツール」を開き、「フォーム・デザイナ」をダブルクリックします。

3. 権限をマークする子フォームを検索し、開きます。
たとえば、UD_ADUSRC子フォームの権限をマークできます。

4. 「新しいバージョンの作成」をクリックします。

5. 新規バージョンのラベルを入力し、「保存」アイコンをクリックしてダイアログ・ボックスを閉じます。

6. 「現在のバージョン」リストから、作成するバージョンを選択します。

7. 「プロパティ」タブで権限としてマークするフィールドを選択し、「プロパティの追加」をクリックします。

8. 「プロパティの追加」ダイアログ・ボックスの「プロパティ名」リストから、「権限」を選択します。

注意:

列タイプがLookupFieldに設定され、プロパティ名が「参照コード」に設定されている場合にのみ、「権限」をフィールドのプロパティとして設定できます。

9. 「プロパティ値」フィールドに、trueと入力します。
ダイアログ・ボックスの他のフィールドに値を指定する必要はありません。

次のスクリーンショットは、参照フィールドの「プロパティの編集」ダイアログ・ボックスを示しています。

10. 「保存」アイコンをクリックしてダイアログ・ボックスを閉じます。

11. 権限の「開始日」および「終了日」値の取得を有効にする場合は、次の手順を実行します。

注意:

「開始日」および「終了日」値の取得は、両方のフィールドの列タイプがDateFieldDlgである場合にのみ有効にできます。

1. 「プロパティ」タブで「開始日」フィールドを選択し、「プロパティの追加」をクリックします。

2. 「プロパティの追加」ダイアログ・ボックスの「プロパティ名」リストから、「権限有効期限開始」を選択します。

3. 「プロパティ値」フィールドに、trueと入力します。

4. 「保存」アイコンをクリックしてダイアログ・ボックスを閉じます。

5. 「プロパティ」タブで「終了日」フィールドを選択し、「プロパティの追加」をクリックします。

6. 「プロパティの追加」ダイアログ・ボックスの「プロパティ名」リストから、「権限有効期限終了」を選択します。

7. 「プロパティ値」フィールドに、trueと入力します。
次のスクリーンショットは、「開始日」フィールドの「プロパティの編集」ダイアログ・ボックスを示しています。

8. 「保存」アイコンをクリックしてダイアログ・ボックスを閉じます。

12. 「保存」アイコンをクリックして、子プロセス・フォームに行った変更を保存します。
次のスクリーンショットは、子プロセス・フォームの「プロパティ」タブを示しています。

注意:

「開始日」と「終了日」のマークはオプションです。

13. 「バージョンをアクティブにする」をクリックします。

注意:

親フォームに最新バージョンの子フォームが含まれていることを確認してください。子の親を作成、編集およびアクティブ化した場合、同じ操作を親フォームにも行わないかぎり、自動的に親フォームに最新バージョンの子フォームが含まれることはありません。

8.4.4 権限または子データの重複検証

Oracle Identity Managerでは、次の属性のうち設定されているものに基づいて、重複した権限または子データを検証します。

- キー属性

- 権限属性

子データで重複を検証する前に、前述の属性の構成がチェックされます。表8-2に、有効な構成と無効な構成に関する概要を示します、

表8-2 可能なシナリオと重複の検証基準

権限属性

リコンシリエーション・フィールドのマッピング用のキー属性

構成検証

接続アプリケーション・インスタンス

接続なしアプリケーション・インスタンス

未定義

注意: このシナリオでは、構成が適切に定義されないので、ユーザーには重複権限や子データを追加する危険性があります。警告メッセージがサーバーのログに記録され、ユーザーに対して権限属性を定義するように促し、リコンシリエーション・フィールド・マッピングに一致させるようにします。

未定義

有効

有効

定義済。UD_CHILD1_ENT1などの属性はEntitlement=trueです。

注意: 権限属性には、リコンシリエーション・フィールド・マッピングで定義された一致キー属性がありません。

未定義

無効

有効

未定義

定義済。

UD_CHILD1_ENT1などの属性は、リコンシリエーション・フィールド・マッピングでキー属性に設定されます。

有効

有効

定義済。

UD_CHILD1_ENT1などの属性はEntitlement=trueです。

定義済。

UD_CHILD1_ENT1などの属性は、リコンシリエーション・フィールド・マッピングでキー属性に設定されます。

有効

有効

定義済。

UD_CHILD1_ENT1などの属性はEntitlement=trueです。

注意: 権限属性はリコンシリエーション・フィールド・マッピング・キー属性のサブセットです。

定義済。

UD_CHILD1_ENT1やUD_CHILD1_ENT2などの複数の属性が、UD_CHILD1子表のリコンシリエーション・フィールド・マッピングでキー属性として定義されます。

有効

有効

定義済。

UD_CHILD1_ENT1などの属性はEntitlement=trueです。

注意: 権限属性には、リコンシリエーション・フィールド・マッピングで定義された一致キー属性がありません。

定義済。

UD_CHILD1_ENT2やUD_CHILD1_ENT3などの属性が1つ以上、リコンシリエーション・フィールド・マッピングでキー属性として定義されます。

無効

無効

効果的な検証を有効にするために、リコンシリエーション・フィールド・マッピングでは、子データの一致キー属性と権限属性の両方を構成することをお薦めします。

有効な構成が検出されると、表8-3に示すような操作に基づいて、重複が検証されます。

表8-3 操作に基づく重複検証

操作

重複検証の説明

権限の追加

Entitlement=trueプロパティが定義されている属性。

子データの追加

リコンシリエーション・フィールド・マッピングで、キー属性である属性。

注意:

権限または子データの重複の検証を効果的に行うために、リコンシリエーション・フィールド・マッピングでは、権限属性と子データのキー属性の両方を構成することをお薦めします。

8.4.5 権限データを使用するためのスケジュール済タスクの構成

権限データを使用するために次のスケジュール済タスクを構成します。

- 権限リスト

- 権限割当て

8.4.5.1 権限リスト

Entitlement List・スケジュール済タスクでは、子プロセス・フォーム表の権限属性が識別され、権限データがLKV表からENT_LIST表にコピーされます。ENT_LIST表に作成されたレコードは、特定のターゲット・システムで定義された権限に対応します。

ユーザーの操作環境において新規権限がターゲット・システムで定義される頻度に応じて、このタスクのスケジュールを設定する必要があります。また、新しいターゲット・システムがOracle Identity Managerに統合された場合、このスケジュール済タスクを実行する必要があります。つまり、新しい権限をマークするたびにこのタスクを実行する必要があります。コネクタのスケジュール済タスクで参照フィールドのデータがターゲット・システムからLKV表にフェッチされた後、権限リスト・スケジュール済タスクを実行して、その権限データをENT_LIST表にコピーできます。

このスケジュール済タスクでは、ターゲット・システムの権限に対する更新や削除も処理されます。たとえば、Senior Accounts Analystロールがターゲット・システムから削除された場合、コネクタのスケジュール済タスクではそのロールのエントリがLKV表から削除されます。権限リスト・スケジュール済タスクを実行すると、ENT_LIST表のロールを含む行が削除済行としてマークされます。

8.4.5.2 権限割当て

権限割当てスケジュール済タスクは、トリガーによる権限のUD表からENT_ASSIGNへの同期が失敗した場合に、割り当てられた権限に関するデータをENT_ASSIGN表にコピーするために使用されます。このタスクでは、子プロセス・フォーム表の権限属性が識別され、割り当てられた権限に関するデータが子プロセス・フォーム表からENT_ASSIGN表にコピーされます。ENT_ASSIGN表に作成されたレコードは、特定のターゲット・システムで特定のユーザーに割り当てられた権限に対応します。

また、権限データのコピー元となる子プロセス・フォーム表にINSERT、UPDATEおよびDELETEトリガーが作成されます。これらのトリガーの機能の詳細は、「割り当てられた権限に関するデータの取得」を参照してください。

このスケジュール済タスクのRECORDS_TO_PROCESS_IN_BATCH属性を使用して、各バッチのレコード数を指定できます。デフォルトのバッチ・サイズは5000です。

8.4.6 権限の削除

権限は、次のいずれかの方法で削除できます。

- ターゲットで権限を削除してから、参照リコンシリエーションを使用してその権限を同期し、さらに権限リスト・スケジュール済ジョブを実行します。

- APIを使用して、権限リストから直接権限を削除します。

- 対応するアプリケーション・インスタンス経由で削除します。

いずれの削除の方法でも、権限はソフト削除済としてマークされます。つまり、権限に付けられた有効なフラグが更新されて、ソフト削除済としてマークされるようになります。

どの方法で削除を行った場合でも、次の後処理を実行する必要があります。

- 権限が公開されている組織でその権限を非公開にする

- 権限リストで権限のModify_dateを現在の日付に更新する

- 子表の権限のインスタンスと権限の割当てをパージし、カタログ収集により取得された権限のうちソフト削除済としてマークされているものとすべてのリクエスト・プロファイルを削除する

注意:

- ソフト削除された権限への参照を持つ進行中のリクエストは失敗します。

- 削除された権限を持つアクセス・ポリシーは、手動で更新して同じ権限を削除する必要があります。

プロビジョニング・コンポーネントにおける権限のソフト削除の後処理を行うには:

1. EntitlementPostDeleteProcessingスケジュール済ジョブを実行します。
このタスクでは、次の項目の入力が必要です。

- アプリケーション・インスタンス名/すべて

- モード: 失効/削除

2. このタスクでは、次の機能を実行します。

1. 「失効」モード: スケジュール済タスクにより、Oracle Identity Managerにおいてその特定の権限が付与されているすべてのアカウントから、権限の付与が失効されます。

2. 「削除」モード: スケジュール済タスクにより、UD_CHILD表内のOIMデータベースから権限が単にハード削除されます。

3. このいずれの場合でも、権限の付与エントリがENT_ASSIGNから削除されます。

3. ENT_LISTスキーマを変更し、列SVR_KEYおよび制約を追加します。EntitlementListLoadスケジュール済タスクを実行します。これは、権限フィールドを持つすべてのリソースにアクセスし、対応する参照定義を取得してENT_LISTにその参照定義の値を移入する既存のスケジュール・タスクで、これによってプロセスに正しいSVR_KEYが設定されます。

図8-9に、権限のソフト削除のフローとそれに伴って行われる変更を示します。

図8-9 権限のソフト削除フロー

8.4.7 新規エントリの権限リスト削除後のリフレッシュ

同じエンコード値のエントリが削除され、続けて参照コードに追加される際、次の手順を実行して、データを権限リストと同期する必要があります。

1. Oracle Identity System Administrationにログインします。

2. 権限リストジョブを実行し、既存のエントリをソフト削除します。

3. EntitlementPostDeleteProcessingジョブを「削除」モードで実行し、ソフト削除された項目をクリーンアップします。

4. 権限リストジョブを再度実行し、新しいエントリを追加します。

8.4.8 割り当てられた権限に対する変更の取得の無効化

ENT_ASSIGN表の割り当てられた権限データの増分同期を手動で無効化できます。つまり、割り当てられた権限に対する変更の取得を無効化できます。これを行うには、子プロセス・フォーム表に作成された次のトリガーを削除するSQLスクリプトを作成し、実行します。

注意:

これらのトリガーは、権限割当てスケジュール済タスクによって作成されます。

- OIU表に作成されたOIU_UDPATEトリガー

- UD_表に作成されたTABLE_NAME_ENT_TRGトリガー

スクリプトの実行後、割り当てられた権限に対する変更はステージング表にコピーされません。

次に、子プロセス・フォーム表のトリガーを削除するSQLスクリプトのサンプルを示します。

create or replace
TRIGGER UD_LDAP_GRP_ENT_TRG
AFTER INSERT
OR DELETE
OR UPDATE OF UD_LDAP_GRP_GROUP_NAME
ON UD_LDAP_GRP
FOR EACH ROW
BEGIN
CASE
WHEN INSERTING THEN
OIM_SP_MANAGEENTITLEMENT('UD_LDAP_GRP',:NEW.UD_LDAP_GRP_GROUP_NAME,NULL,
:NEW.UD_LDAP_GRP_KEY,:NEW.ORC_KEY,NULL,NULL,NULL,
NULL,NULL,'INSERT');
WHEN UPDATING THEN
IF :NEW.UD_LDAP_GRP_GROUP_NAME != :OLD.UD_LDAP_GRP_GROUP_NAME
THEN
OIM_SP_MANAGEENTITLEMENT('UD_LDAP_GRP',:NEW.UD_LDAP_GRP_GROUP_NAME,
:OLD.UD_LDAP_GRP_GROUP_NAME,:NEW.UD_LDAP_GRP_KEY,:NEW.ORC_KEY,NULL,
NULL,NULL,
NULL,NULL,'UPDATE');
END IF;
WHEN DELETING THEN
OIM_SP_MANAGEENTITLEMENT('UD_LDAP_GRP',:OLD.UD_LDAP_GRP_GROUP_NAME,
NULL,NULL,:OLD.ORC_KEY,NULL,NULL,NULL,
NULL,NULL,'DELETE');
END CASE;
END;

8.4.9 権限関連レポート

次の事前定義済レポートは、割り当てられた権限に関するデータを提供します。

注意:

これらのレポートを表示するには、ADMINISTRATORSグループのメンバーである必要があります。

レポートでは、特定のユーザーに対する同じ権限の重複した割当ては抑制されます(ENT_表にコピーされないため)。たとえば、ターゲット・システムでユーザーJohn DoeにSales Superintendentロールが2回割り当てられた場合、レポートには、この権限のインスタンスが1つのみ示されます。

- 権限アクセス・リスト

- 権限アクセス・リスト履歴

- ユーザー・リソース権限

- ユーザー・リソース権限履歴

8.4.9.1 権限アクセス・リスト

「権限アクセス・リスト」レポートには、レポートの生成時に指定した権限を現在割り当てられているユーザーが一覧表示されます。このレポートには、権限に関する基本情報、および権限が割り当てられているユーザーのリストが表示されます。

8.4.9.2 権限アクセス・リスト履歴

「権限アクセス・リスト履歴」レポートには、レポートの生成時に指定した権限を割り当てられていたユーザーが一覧表示されます。このレポートには、権限に関する基本情報、および権限が割り当てられていたユーザーのリストが表示されます。

8.4.9.3 ユーザー・リソース権限

「ユーザー・リソース権限」レポートには、レポートの生成時に指定したユーザーの現在の権限が一覧表示されます。このレポートには、基本的なユーザー情報および権限の詳細が表示されます。

8.4.9.4 ユーザー・リソース権限履歴

「ユーザー・リソース権限履歴」レポートには、レポートの生成時に指定したユーザーに過去に割り当てられていた権限の詳細が一覧表示されます。このレポートには、基本的なユーザー情報および権限の詳細が表示されます。

9 接続なしリソースの管理

接続なしリソースとは、コネクタが存在しないターゲットのことです。したがって、接続なしリソースのプロビジョニングは自動的に処理されないため、手動で実行する必要があります。以前のリリースのOracle Identity Managerでは、接続なしのプロビジョニングは第一のユースケースとしてはサポートされておらず、プロビジョニング・プロセスで手動タスクを使用することによりサポートされています。この方法には多くの制限があり、接続なしリソースのモデルではこのような制限に対処しています。Oracle Identity Manager 11gリリース2(11.1.2)では、接続なしリソースは手動プロビジョニングの拡張構成であり、SOA統合を使用して、手動プロビジョニング・ワークフローの柔軟性と構成可能性を高めるものです。

接続なしリソースの例には、バッジ、ラップトップ、ページャなど、処理が手動で行われるアイテムがあります。

この章の内容は次のとおりです。

- 9.1項「接続なしリソースのアーキテクチャ」

- 9.2項「接続なしアプリケーション・インスタンスの管理」

- 9.3項「接続なしアプリケーション・インスタンスでのプロビジョニング操作」

- 9.4項「接続なしリソースの権限の管理」

- 9.5項「手動のプロセス・タスク・アクションでのステータス変更」

- 9.6項「SOAコンポジット・プロビジョニングのカスタマイズ」

- 9.7項「接続なしリソースのトラブルシューティング」

9.1 接続なしリソースのアーキテクチャ

接続なしリソース機能では、既存のOracle Identity Managerプロビジョニング・エンジン・アーティファクト(プロビジョニング・プロセス、プロセス・タスク、アダプタなど)を使用しますが、その際に、シームレスかつ構成可能な方法でBPEL統合を提供します。

UIを使用して接続なしアプリケーション・インスタンスが作成されると、リソース・オブジェクト(「切断」タイプ)、基本的なプロビジョニング操作のタスクを含むプロビジョニング・プロセス、ITリソース、最小限のフィールド(さらにカスタマイズ可能)を含むプロセス・フォームなどの多くのバックエンド構成アーティファクトが、自動的にシードされます。

図9-1に、接続なしリソースのプロビジョニング・プロセス・アーキテクチャを示します。

図9-1 接続なしリソースのアーキテクチャ

「図9-1 接続なしリソースのアーキテクチャ」の説明

接続なしアプリケーション・インスタンスが(リクエストまたはその他の方法によって)ユーザーにプロビジョニングされると、プロビジョニング・プロセスで特定のワークフローがトリガーされます。これにより、対応するプロセス・タスクが起動されて手動のプロビジョニング・アダプタが実行され、即時利用可能な接続なしSOAコンポジット・プロビジョニングが実行されます。SOA手動タスクが、システム管理者にデフォルトで割り当てられます。割当て先が手動タスクに対応すると、provisioningcallback Webサービスが割当て先指定のレスポンスで起動され、その後、プロビジョニング操作が完了または中断されて、アカウントが適切に更新されます。

表9-1に、コンポジットで使用可能な手動のSOAコンポジット・プロビジョニングのペイロードの属性を示します。

表9-1 手動のSOAコンポジット・プロビジョニングのペイロードの属性

属性

説明

アカウントID

考慮対象アカウントのアカウントID (oiu_key)

AppInstance名

接続なしアプリケーション・インスタンスの表示名

リソース・オブジェクト名

接続なしリソース・オブジェクト名

ITリソース名

接続なしITリソース名

受益者ログイン

アカウント受益者のログイン

エンティティ・キー

アカウントのプロビジョニング、失効、無効化および有効化の各操作におけるアプリケーション・インスタンス・キー。

エンティティ・タイプ

アカウントのプロビジョニング、失効、無効化および有効化の各操作において、タイプはApplicationInstanceに設定されます。

受益者の名

アカウント受益者の名

受益者の姓

アカウント受益者の姓

記述フィールド

考慮対象アカウントのアカウント記述フィールド

URL

Oracle Identity ManagerのWebサービスのコールバックURL

リクエスト・キー

リクエストを介した操作の場合のリクエスト・キー

リクエスタ・ログイン

リクエストを介した操作の場合のリクエスタのログイン

9.2 接続なしアプリケーション・インスタンスの管理

接続なしアプリケーション・インスタンスの管理には、次のタスクが含まれます。

- 9.2.1項「接続なしアプリケーション・インスタンスの作成」

- 9.2.2項「既存の接続なしリソースに対する接続なしアプリケーション・インスタンスの作成」

9.2.1 接続なしアプリケーション・インスタンスの作成

注意:

アプリケーション・インスタンスを作成する前に、新しいサンドボックスを作成してから、アプリケーション・インスタンス作成後に公開する必要があります。サンドボックスの作成と公開の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する項を参照してください。

接続なしアプリケーション・インスタンスを作成するには:

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「構成」で、「アプリケーション・インスタンス」をクリックします。「アプリケーション・インスタンス」ページが表示されます。

3. 「アクション」メニューから「作成」を選択します。または、ツールバーにある「作成」をクリックします。「アプリケーション・インスタンスの作成」ページが表示されます。

4. それぞれの属性フィールドに、次の表に示すように値を入力します。

属性

値

名前

アプリケーション・インスタンスの名前を入力します。これは必須フィールドです。

表示名

アプリケーション・インスタンスの表示名を入力します。これは必須フィールドです。

説明

アプリケーション・インスタンスの説明を指定します。

切断

チェック・ボックスを選択します。これは、アプリケーション・インスタンスが接続されていないかどうかを示すフラグです。

注意: これはUI専用のフラグであり、バックエンドでは維持されません。「リソース・オブジェクト」および「ITリソース・インスタンス」の各フィールドはバックエンドで自動的に作成されるため、このフラグをチェックすると、これらのフィールドが無効化されます。

図9-2に、「アプリケーション・インスタンスの作成」の属性の属性を示します。

図9-2 「アプリケーション・インスタンスの作成」の「属性」

5. 「保存」をクリックします。アプリケーション・インスタンスが作成され、アプリケーション・インスタンスの詳細が表示されます。

6. 接続なしリソースのUIフォームが自動的に作成されて設定されたら、「適用」をクリックします。

7. アプリケーション・インスタンスに加えて、バックエンドで次のプロビジョニング・アーティファクトが自動的に作成されます。

- タイプが「切断」のリソース・オブジェクト

- 次のパラメータ含むITリソース・タイプ定義

- 構成参照

- コネクタ・サーバー名

- アイデンティティ・ゲートウェイ名

注意:

ITリソース・タイプ定義パラメータは将来使用するためのものであり、同じパラメータの値を設定する必要はありません。

- タイプ定義のITリソース

- 次のフィールドを含む親プロセス・フォーム

- アカウントID

- パスワード

- アカウント・ログイン

- ITリソース

- 次の操作のワークフローを含むプロセス定義

- アカウントのプロビジョニング

- アカウントの有効化

- アカウントの無効化

- アカウントの失効

- アカウント属性の変更

- アダプタ

- 手動プロビジョニング

- 手動による権限プロビジョニング

8. 「システム管理」のUIから、カタログ同期化ジョブと呼ばれるスケジュール済ジョブを検索して実行します。

9.2.2 既存の接続なしリソースに対する接続なしアプリケーション・インスタンスの作成

既存の接続なしリソースに対して接続なしアプリケーション・インスタンスを作成するには、8.2.1項「アプリケーション・インスタンスの作成」を参照してください。

注意:

「切断」オプションは、選択するとリソース・オブジェクトやITリソースなどのアーティファクトがバックエンドで作成されるため、選択を解除しておく必要があります。

9.3 接続なしアプリケーション・インスタンスでのプロビジョニング操作

「有効化」、「無効化」、「失効」または「プロビジョニング」の各操作に対してプロビジョニング・プロセスがトリガーされると、対応するプロセス・タスクが挿入され、手動プロビジョニング・アダプタが実行されます。このアダプタにより、即時利用可能なSOAコンポジット・プロビジョニングが実行されます。SOAヒューマン・タスクが、システム管理者にデフォルトで割り当てられます。

「保留中の承認」ページからのシステム管理者は次のタスクを実行できます。

- タスクの詳細を確認します。

- アカウントの詳細を確認します。

- データを変更して「履行」ボタンをクリックすることにより、OIMのプロセス・フォーム・データを変更します。

- ターゲットで操作の手動により実行します。

- 「完了」または「却下」をクリックすることにより、保留タスクを実行します。
図9-3に、受益者に対するプロビジョニング操作のフィールド・オプションを示します。

図9-3 接続なしリソースのプロビジョニング操作

割当て先が保留中の手動タスクに対応すると、コールバック・プロビジョニングのWebサービスが起動され、これにより、Oracle Identity Manager操作が継続されてアカウントが適切に更新されます。割当て先アクションに基づいたアカウント・スタータスの変更の詳細は、9.5項「手動のプロセス・タスク・アクションでのステータス変更」を参照してください。

9.3.1 プロセス・フォーム更新

接続なしリソースのプロセス・フォーム・フィールドが更新されると、「<FORM_NAME>が更新されました」プロセス・タスクが、プロビジョニング・プロセスに挿入されます。これにより、割当て先によって対応するターゲットにおける変更を手動で更新できるよう、手動のSOAヒューマン・タスクが生成されます。

注意:

「<FORM_NAME>が更新されました」タスクは、単一または複数のどちらのプロセス・フォーム・フィールドに対する更新であるかに関係なく挿入されます。この動作は接続リソースの動作とは異なります。また、接続なしリソースに対して、個々のプロセス・フォーム・フィールド更新タスクを構成する必要はないことに注意してください。

9.4 接続なしリソースの権限の管理

接続なしリソースの権限の管理には、次のタスクが含まれます。

- 9.4.1項「権限付与の構成」

- 9.4.2項「権限の失効の構成」

9.4.1 権限付与の構成

接続なしリソースに対する権限付与の構成には、次の構成が含まれます。

- 9.4.1.1項「子フォームの作成とフォーム・デザイナによる権限参照の構成」

- 9.4.1.2項「SOAコンポジットを起動するプロセス・タスクの構成」

9.4.1.1 子フォームの作成とフォーム・デザイナによる権限参照の構成

子フォームを作成し、権限の参照定義を構成するには:

1. 接続なしアプリケーション・インスタンスが作成されると、「ITリソース・インスタンス」フィールドに、作成されたITリソース・インスタンスの名前が移入されます。ITリソース・インスタンス名を書き留めます(この手順は「アプリケーション・インスタンスの作成」ページで参照します)。

2. SQL Plusを使用して、Oracle Identity Managerデータベースへの接続をオープンし、次の問合せを実行します。

1. Select svr_key, svr_name from svr where svr_name=<IT_RESOURCE_NAME>

2. ステップ1のITリソース名をsvr_nameとして使用します。この問合せによって返されるsvr_keyを書き留めます。

3. Oracle Identity System Administrationにアクセスします。「構成」で、「フォーム・デザイナ」をクリックし、次の手順を実行します。

1. 「タイプ」を「リソース」として選択します。

2. 「リソース・タイプ」をクリックし、接続なしリソースを検索します。

3. 検索結果から、接続なしアプリケーション・インスタンス・フォーム名をクリックします。

4. 「子オブジェクト」タブに移動し、「追加」をクリックして子フォームを追加します。

5. 「名前」フィールドで子表に名前を指定し、「OK」をクリックします。

6. 編集のために「UD_<CHILD_TABLE_NAME>」リンクをクリックして開きます。

7. 権限フィールドに、次の値を指定します。

1. 表示ラベル・フィールドに、表示名を入力します。

2. 「名前」フィールドに、参照の名前を入力します。

8. 次のチェック・ボックスを選択します。

- 検索可能

- 権限

- 「検索可能」ピックリスト

注意:

「検索可能」、「権限」および「「検索可能」ピックリスト」の各チェック・ボックスを選択して、権限フィールドを子フォーム上で作成することは必須です。

9. 参照タイプの新規カスタム・フィールドを作成し、「OK」をクリックします。

10. 「値リスト」セクションで、新しい参照タイプ作成のアイコンをクリックして、「意味」(Lookup.Laptop.appsなど)、「コード」(Lookup.Laptop.appsなど)および説明の値を次のように指定します。

1. 「新規」をクリックして権限値を追加し、参照コードを追加します。「コード」および「意味」の各列の値は、次の形式である必要があります。

コード

意味

<svr_key>~<ENTITTLEMENT_NAME>

<ENTITLEMENT_DESCRIPTION>

2. 「保存して閉じる」をクリックします。

11. 「親オブジェクトに戻る」をクリックして親フォームに戻ります。

12. 「ビューの再生成」をクリックしてUIアーティファクトおよびデータセットを再生成し、「OK」をクリックして確認します。

13. Oracle Identity System Administrationの「システム管理」→「スケジューラ」に戻ります。

14. 権限リスト・スケジュール済ジョブを検索して実行します。

15. スケジュール済ジョブの実行が完了した後、カタログ同期化ジョブと呼ばれる別のスケジュール済ジョブを検索して実行します。

9.4.1.2 SOAコンポジットを起動するプロセス・タスクの構成

SOAコンポジットを起動するプロセス・タスクを構成するには:

1. Design Consoleから、接続なしリソースの「プロセス定義」フォームに移動します。

2. 「タスクの追加」をクリックして、たとえばGrant UD_ENT Entitlementという名前の新しいプロセス・タスクを追加します。

注意:

次のことを確認する必要があります。

1. 次のフラグが設定されていることを確認します。

- 条件付き

- 複数のインスタンスを許可

2. 完了に必須フラグの選択が解除されていることを確認します。

3. 子表(UD_ENTなど)をコンボ・ボックスから選択して、「トリガー・タイプ」を「挿入」として設定します。

4. タスクを保存します。図9-4に、プロセス・タスク・フィールドを示します。

図9-4 プロセス・タスクの作成

5. 同じタスクの「レスポンス」タブに移動して、図9-5に示すように「レスポンス」、「説明」および「ステータス」を追加します。

図9-5 権限の編集

6. 同じタスクの「統合」タブに移動します。

7. 「追加」をクリックして、「アダプタ」ラジオ・ボタンを選択します。

8. adpMANUALENTITLEMENTPROVISIONINGアダプタを選択します。このアダプタには変数が7つあります。図9-5は、アダプタ変数マッピングの例を示します。

図9-6 アダプタ変数マッピングの例

9. 表9-2に示すように、リテラル文字列へのアダプタ変数マッピングを構成します。

注意:

このステップを実行する際に、末尾にスペースが入らないようにしてください。

表9-2 権限付与のアダプタ変数マッピング

変数名

マップ先

AccountKey

AccoutKey(Org)

CompositeName

SOAコンポジット

ProvisioningOperation

権限の付与

OperationKey

タスク・インスタンス・キー

サービス名

manualprovisioningprocess_client

CompositeURL

http://xmlns.oracle.com/DefaultProvisioningComposite/DisconnectedProvisioning/ManualProvisioningProcess

アダプタの戻り値

レスポンス・コード

前述の構成が完了したら、このアカウントのユーザーについて接続なしリソース権限をリクエストできます。これにより、ステップ4で作成されたプロセス・タスクが挿入されます。ターゲットにおいて権限を手動で付与するために、SOAヒューマン・タスクがシステム管理者に割り当てられます。割当て先が保留中のヒューマン・タスクに対応すると、コールバック・プロビジョニングのWebサービスが起動され、これにより、Oracle Identity Manager操作が完了または中断されます。割当て先アクションに基づいたスタータスの変更の詳細は、9.5項「手動のプロセス・タスク・アクションでのステータス変更」を参照してください。

9.4.2 権限の失効の構成

権限の失効を構成するには:

1. Design Consoleに移動して、接続なしリソースの「プロセス定義」フォームに移動し、「タスクの追加」をクリックします。

2. ManualRevokeEntitlementStartの名前で新しいプロセス・タスクを追加します。

注意:

次のことを確認する必要があります。

1. 次のフラグが設定されていることを確認します。

- 条件付き

- 複数のインスタンスを許可

2. 完了に必須フラグの選択が解除されていることを確認します。

3. 同じタスクの「レスポンス」タブに移動して、次のレスポンスおよびステータスを追加します。

レスポンス

説明

ステータス

完了

完了

C

却下

却下

R

4. 同じタスクの「統合」タブに移動します。

5. 「追加」をクリックして、「アダプタ」ラジオ・ボタンを選択します。

6. adpMANUALENTITLEMENTPROVISIONINGアダプタを選択します。このアダプタには変数が7つあります。

7. 「保存」をクリックし、プロセス・タスクを保存して閉じます。

8. 表9-3に示すように、リテラル文字列へのアダプタ変数マッピングを構成します。

注意:

末尾にスペースが入らないようにしてください。

表9-3 権限失効のアダプタ変数マッピング

変数名

マップ先

AccountKey

プロセス・データ、プロセス・インスタンス

CompositeName

default/DisconnectedProvisioning!1.0

ProvisioningOperation

権限の失効

OperationKey

タスク・インスタンス・キー

サービス名

manualprovisioningprocess_client

CompositeURL

http://xmlns.oracle.com/DefaultProvisioningComposite/DisconnectedProvisioning/ManualProvisioningProcess

アダプタの戻り値

レスポンス・コード

注意:

このステップを実行する際に、末尾にスペースが入らないようにしてください。

9.5 手動のプロセス・タスク・アクションでのステータス変更

表9-4に、手動タスク・アクションに基づいたステータス変更の詳細を示します。

表9-4 手動のプロセス・タスク・アクションのステータス

プロビジョニング操作

手動タスク・アクション

プロビジョニング・アクション

プロビジョニング

完了

アカウント・ステータスは「プロビジョニング済」に設定されます。

プロビジョニング

却下

アカウント・ステータスは更新されません。

無効化

完了

アカウント・ステータスは「無効」に設定されます。

無効化

却下

アカウント・ステータスは更新されません。

有効化

完了

アカウント・ステータスは「有効」に設定されます。

有効化

却下

アカウント・ステータスは更新されません。

失効

完了

アカウント・ステータスは「失効」に設定されます。

失効

却下

アカウント・ステータスは更新されません。

更新

完了

操作は行われません。

更新

却下

操作は行われません。

権限の付与

完了

子表のトリガー挿入プロセス・タスクが完了すると権限ステータスが「プロビジョニング済」に設定されます。

権限の付与

却下

子表のトリガー挿入プロセス・タスクが取り消されると、子表のエントリが削除されます。

権限の失効

完了

Oracle Identity Managerから子表のエントリが削除されます。

権限の失効

却下

操作は行われません。

9.6 SOAコンポジット・プロビジョニングのカスタマイズ

SOAコンポジット・プロビジョニングには、次のカスタマイズが含まれます。

- 9.6.1項「SOAコンポーザによるヒューマン・タスク割当てのカスタマイズ」

- 9.6.2項「即時利用可能なコンポジットの変更によるカスタマイズ」

9.6.1 SOAコンポーザによるヒューマン・タスク割当てのカスタマイズ

手動の接続なしSOAコンポジット・プロビジョニングにはデフォルト・ルール(ManualProvisioningRule)があり、このルールによってヒューマン・タスクがシステム管理者に割り当てられます。

ペイロード(アプリケーション・インスタンス名など)に応じて、より優先度が高いカスタム・ルールをSOAコンポーザUIから作成でき、このルールに従って、手動タスク割当てをカスタマイズできます。

カスタム・ルールを追加するには:

1. SOAコンポーザUIにログインして「オープン・タスク」をクリックし、「DisconnectedProvisioning_rev1.0 composite」を選択します。

2. 「ManualProvisioningTaskRules.rules」タブから、「編集」をクリックしてカスタム・ルールを追加します。

3. ルール名および条件付き割当てルールを指定して、ルールを追加します。

4. 上矢印を使用して、カスタム・ルールをManualProvisioningRuleの上に移動します。

5. 変更を保存してコミットします。図9-7に、追加された手動プロビジョニング・ルールを示します。

関連項目:

ルールの作成の詳細は、SOAコンポーザのドキュメントを参照してください。

図9-7 手動プロビジョニング・ルールの追加

9.6.2 即時利用可能なコンポジットの変更によるカスタマイズ

コンポジットの即時利用可能な接続なしプロビジョニングを変更するには:

1. OIM_HOME/workflows/composites/DisconnectedProvisioning.zipから、ローカルのJDeveloper作業場所にコンポジットをコピーします。同じディレクトリでコンポジットを解凍し、DisconnectedProvisioningディレクトリを作成します。

2. デフォルト・ロールにより、JDeveloperでコンポジットを開きます。

注意:

Oracle Identity Managerデプロイメントと互換性のあるバージョンのJDeveloperをインストールする必要があります。また、JDeveloperがSOAコンポジットと連携して正しく動作するよう、JDeveloperのパッチをインストールします。

3. カスタマイズの一環として、次を変更しないようにしてください。

- DisconnectedProvisioning\xsd\ManualProvisioningTaskPayload.xsdで定義されたペイロード属性

- ProvisioningCallbackServiceパートナリンクおよびマッピング

4. composite.xmlをダブルクリックしてコンポジットを開き、要件に従って変更します。

5. SOAコンポジットをJdeveloperからOracle SOAサーバーにデプロイします。リビジョンIDを更新しないようにして、「同じリビジョンIDで既存のコンポジットを上書きします。」オプションを選択します。

9.7 接続なしリソースのトラブルシューティング

表9-5に、接続なしリソースに対するプロビジョニングやその他のタスクを実行したとき発生する可能性がある一般的な問題を示します。

表9-5 接続なしリソースのトラブルシューティング

問題

解決策

接続なしアプリケーション・インスタンスをプロビジョニングするときに、手動タスクが割当て先に割り当てられない。

次の手順を実行します。

1. SOAサーバーが実行中であることを確認します。

2. 「オープン・タスク」ページで却下されたプロセス・タスクをチェックし、存在する場合にはタスクのエラー情報を確認します。

3. Oracle Identity Managerログをチェックし、アダプタが実行中かどうかを確認します。

4. プロセス・タスクでアダプタ・マッピングをチェックし、入力ミスがないことを確認します。

手動タスクの完了時に、アカウント・ステータスが変更されない。

次の手順を実行します。

1. コールバック・プロビジョニングのWebサービス(Provcallback)がデプロイされていることを確認します。

2. Webサービスをアプリケーション・サーバー・コンソールからテストします。

権限の失効操作用のカタログ・リクエストを送信するときに、次のエラーがスローされた。

JBO-29115 次のエラーのためにエラー・メッセージを作成できません:

java.lang.IllegalArgumentException: 引数番号を解析できません

UD_D1001C_INTERNALATTR=

名前がManualRevokeEntitlementStartのプロセス・タスクが、9.4.2項「権限の失効の構成」で説明した手順に従って正しく構成されていることを確認します。

10 参照の管理

この章では、Oracle Identity System Administrationのフォーム・デザイナを使用してOracle Identity Managerで参照を管理する方法について説明します。

Oracle Identity System Administrationのフォーム・デザイナを使用すると、次のことを実行できます。

- 参照タイプの検索

- 参照タイプの作成

- 参照タイプの変更

10.1 参照タイプの検索

参照タイプを検索するには:

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「構成」で、「参照」をクリックします。「検索と選択: 参照タイプ」ウィンドウが表示されます。

3. 次のオプションのいずれかを選択します。

- すべて: このオプションを選択すると、検索はAND条件で実行されます。つまり、指定されたすべての検索基準を満たす場合のみ検索操作が成功します。

- いずれか: このオプションを選択すると、検索はOR条件で実行されます。つまり、指定された選択基準のいずれかに一致する場合に検索操作が成功します。

4. 「意味」フィールドに、検索する参照値の人が読むための説明を入力します。

注意:

「意味」はデコード値で、「コード」はエンコード値です。「意味」フィールドの値は、人が読むためのフィールドの説明です。「コード」フィールドの値は、プロビジョニングに使用される実際のコード値です。たとえば、デコード値はLDAPグループ名、エンコード値はLDAPグループGUIDとなります。

5. 「コード」の値に、検索する参照タイプのコード値を入力します。

注意:

検索条件を指定するには、パーセント(%)ワイルドカード文字を使用できます。

6. 「説明」フィールドに、参照タイプの説明を入力できます。

7. 「検索」をクリックします。検索条件に一致する参照タイプが表形式で表示されます。

8. 検索結果表で行を選択します。図10-1に示すように、選択した参照タイプの詳細が「参照値」セクションに表示されます。

図10-1 「検索と選択: 参照タイプ」ウィンドウ

「図10-1 「検索と選択: 参照タイプ」ウィンドウ」の説明

9. 参照値はデフォルトで有効化されています。各参照値の「有効」列のチェック・ボックスを選択解除して、参照値を無効化できます。

10. 入力後、「OK」をクリックします。

10.2 参照タイプの作成

参照タイプを作成するには:

1. 「検索と選択: 参照タイプ」ウィンドウを開きます。

2. ツールバーの「参照タイプの作成」アイコンをクリックします。図10-2に示すように、「参照タイプの作成」ダイアログ・ボックスが表示されます。

図10-2 「参照タイプの作成」ダイアログ・ボックス

「図10-2 「参照タイプの作成」ダイアログ・ボックス」の説明

3. 「意味」および「コード」フィールドに値を入力します。これらのフィールドは必須です。「意味」および「コード」フィールドの説明は、「参照タイプの検索」のステップ4を参照してください。

4. 「説明」フィールドに、オプションで参照タイプの説明を入力します。

5. 参照タイプに対して1つ以上の参照コードを作成します。これを行うには、次のようにします。

1. 「参照コード」セクションで、「参照コードの作成」アイコンをクリックします。「参照コード」セクションに行が追加され、参照コードの属性の値を指定できます。

2. 「意味」、「コード」および「説明」属性の値を入力します。

3. 参照コードを有効化する場合は、「有効」列のチェック・ボックスを選択します。

4. 「順序」フィールドに、参照コードの順序を指定する数字を入力します。数値が低いほど優先度が高くなります。たとえば、1は優先度が最も高いことを示します。

5. ステップaからdを繰り返して、参照コードを好きなだけ作成します。参照コードを削除するには、コードの行を選択し、「参照コードの削除」アイコンをクリックします。

6. 「保存」をクリックします。参照タイプが作成されます。

10.3 参照タイプの変更

参照タイプを変更するには:

1. 「検索と選択: 参照タイプ」ウィンドウを開きます。

2. ツールバーの「参照タイプの編集」アイコンをクリックします。図10-3に示すように、「参照タイプの編集」ダイアログ・ボックスが表示されます。

図10-3 「参照タイプの編集」ダイアログ・ボックス

「図10-3 「参照タイプの編集」ダイアログ・ボックス」の説明

3. 「意味」および「説明」属性の値を変更するには、それぞれのフィールドで値を指定します。「コード」フィールドは読取り専用フィールドです。

4. 参照コードを変更するには、参照コードの行を選択し、属性値を変更します。

5. 「参照コードの作成」および「参照コードの削除」アイコンをそれぞれクリックして、参照値を追加または削除します。詳細は、「参照タイプの作成」のステップ5を参照してください。

6. 「保存」をクリックします。参照タイプが変更されます。

注意:

参照定義を更新してから、PurgeCacheユーティリティを実行する必要がありますが、新しい参照値が使用可能になる前に参照UDFをサンドボックスで再び保存する必要がありません。

キャッシュのパージの詳細は、『Oracle Fusion Middlewareパフォーマンスおよびチューニング・ガイド』を参照してください。

11 コネクタ・ライフサイクルの管理

Oracle Identity Managerには、組織内の各種のITベース・リソースとの統合を可能にする様々なソリューションが用意されています。Oracle Identity Managerと、ユーザー・データを格納および使用するリソースとの統合に推奨されるソリューションは、Oracle Identity Managerコネクタです。コネクタにより、Oracle Identity Managerと特定のリソースまたはターゲット・システムとの間におけるユーザー・データの交換が可能になります。

Oracle Identity Managerサーバーはコネクタを使用し、ターゲット・システムに対する操作を実行します。Oracleでは、一般的な企業リソース用のコネクタを用意しています。ユーザーは、独自のリソース用のカスタム・コネクタを開発できます。

コネクタは、次のアーティファクトで構成されています。

- コネクタ・コードが格納されたバイナリ(JARおよびDLLファイル)

- Oracle Identity Managerで定義されているオブジェクト(ITリソース、リソース・オブジェクト、プロビジョニング・プロセスとプロセス・タスク、プロセス・フォームと子フォーム、アダプタとアダプタ・タスク、参照定義、リコンシリエーション・ルール、スケジュール済タスクなど)のデータで構成されたXMLファイル

- アダプタがターゲット・システムに対するアクションを実行できるようにする統合ライブラリ
一部のターゲット・システムでは、ターゲット・システムとの通信またはターゲット・システムでの特定の機能を実行するためにサード・パーティ製の統合ライブラリが必要になることがあります。

関連項目:

コネクタおよびコネクタ・オブジェクトの概念は、『Oracle Identity Manager Connector概要』を参照してください。

この章では、コネクタ・ライフサイクル管理(LCM)機能について説明します。この章の内容は次のとおりです。

- コネクタのライフサイクル

- コネクタ・ライフサイクルおよび変更管理の用語

- コネクタの詳細の表示

- コネクタのインストール

- コネクタの定義

- コネクタのクローニング

- コネクタ・オブジェクトの定義のコネクタXML形式でのエクスポート

- コネクタのアップグレード

- コネクタのアンインストール

- コネクタ管理問題のトラブルシューティング

11.1 コネクタのライフサイクル

コネクタのライフサイクルには次のステージがあります。

デプロイメント

コネクタは、Oracle Identity System Administrationの拡張管理セクションで「コネクタの管理」メニューをクリックすることによってインストールできます。

デプロイメント・プロシージャを完了するには、コネクタ・ファイルおよび外部コード・ファイルをOracle Identity Managerとターゲット・システムのホスト・コンピュータ上のコピー先ディレクトリにコピーすることが必要になる場合があります。一部のコネクタには、Remote Manager(通常、ターゲット・システムのホスト・コンピュータ上にインストールされます)が必要になります。他のいくつかのコネクタ、特にアイデンティティ・コネクタには、ローカルおよびリモートのコネクタ・サーバーが必要です。

Oracle Identity Manager 11.1.1.5.xは、コネクタを管理するための新機能としてコネクタLCMを備え、コネクタのインストールにコネクタ・インストーラ(CI)を使用します。

コネクタ・インストーラを使用したコネクタのインストールは、デプロイメント・マネージャを使用したインストールとは異なります。デプロイメント・マネージャには、コネクタを構成するオブジェクトの定義をインポートするための別の方法がありますが、コネクタLCMの機能はデプロイメント・マネージャよりも広範囲で充実しているため、コネクタLCMを使用してインポートした方がとコネクタをより適切に管理できます。そのため、Oracle Identity Manager 11gベースのコネクタのインストールや管理については、コネクタのインストール機能を使用する方法をお薦めします。

関連項目:

- コネクタ・ファイルおよび外部コード・ファイルをOracle Identity Managerとターゲット・システムのホスト・コンピュータ上のコピー先ディレクトリにコピーする方法の詳細は、Oracle Identity Managerコネクタのドキュメントを参照してください。コネクタのドキュメントは、次のURLにあるOracle Webサイトから入手可能です。
http://download.oracle.com/docs/cd/E22999_01/index.htm

- アイデンティティ・コネクタ・フレームワークおよびそれを使用してアイデンティティ・コネクタを作成する方法の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のIdentity Connectorフレームワークに関する説明を参照してください。

カスタマイズ

デプロイメントの後、コネクタのデフォルト構成で対処されていないビジネス要件を満たすようにコネクタをカスタマイズできます。たとえば、ターゲット・システムを使用したリコンシリエーションおよびプロビジョニング用の新しい属性を追加します。このタイプの機能拡張の場合は、リソース・オブジェクト、プロセス定義、プロセス・フォームなど、複数のコネクタ・オブジェクトで変更を行う必要があります。コネクタ・オブジェクトで必要となる変更の詳細は、コネクタのドキュメントを参照してください。

クローニング

ターゲット・システムの複数のインストールがある場合があります。複数のインスタンスが含まれるターゲット・システムがあり、データが同じか、共有されているか、またはレプリケートされている場合(Microsoft ExchangeまたはActive Directoryコネクタでの場合のように)、コネクタのクローニングは必要ありません。インスタンス用に複数のITリソースを作成する必要があります。ターゲットは単一のリソース・オブジェクトとして機能します。

ターゲット・システムに様々なインストール、スキーマまたはデータが含まれる場合(内部ユーザー用のLDAPサーバーと、外部の契約者、コンシューマ用の別のLDAPなど)、コネクタをクローニングする必要があります。コネクタは2つの別個のターゲットとして機能します。

コネクタ属性が異なるというシナリオもあり得ます。この場合、新しいコネクタを作成するかわりに、元のコネクタのXMLを使用して既存のコネクタをクローニングできます。拡張管理のコネクタのクローニング機能を使用して、一連のコネクタ・オブジェクトのコピーを自動的に生成できます。

アップグレード

コネクタの新しいリリースで導入された機能を利用するために、オラクル社がリリースしたパッチ・セットを適用することによって、コネクタをアップグレードできます。一般的には、コネクタの新しいリリースにアップグレードする際には、単純な変更(JARファイルのアップグレードなど)から、コネクタの一部として出荷されたアダプタ・タスクのほとんどに影響するような変更まで、様々な処理が必要になります。コネクタのアップグレード機能を使用して、コネクタをアップグレードできます。

注意:

コネクタをアップグレードしても、コネクタでの既存のカスタマイズは保持されます。

アンインストール

注意:

コネクタのアンインストールは、本番環境ではなく開発環境で実行されます。

コネクタの使用を停止すると、このアクションはシステム統合テスト、ユーザー承認テスト、ステージングなどの追加の環境にも影響し、これらの環境でもコネクタが停止されます。

不要なOracle Identity Managerオブジェクトのないクリーンな開発環境を保つ必要があるため、使用する必要がなくなった特定のバージョンのコネクタをアンインストールします。コネクタのアンインストール・ユーティリティを使用して、コネクタおよび個々のコネクタ・オブジェクトをアンインストールできます。

注意:

コネクタのインストール、デプロイメント・マネージャを使用したコネクタXMLファイルのインポート、コネクタのクローニング、定義、アップグレード、アンインストールなど、コネクタ・ライフサイクル管理タスクを実行するには、システム管理者ロールが必要です。

図11-1にコネクタ・ライフサイクルを示します。

図11-1 コネクタ・ライフサイクル

「図11-1 コネクタ・ライフサイクル」の説明

11.2 コネクタ・ライフサイクルおよび変更管理の用語

この章では、次の用語が使用されています。

- オラクル社がリリースしたコネクタは、オラクル社によってリリースされたコネクタを指します。

- カスタム・リリースまたはカスタム・コネクタは、ユーザーが開発したコネクタ、およびオラクル社がリリースしたコネクタをユーザーがなんらかの方法でカスタマイズまたは再構成したものを指します。

- ソース・リリースまたはソース・コネクタは、別(つまり、新しい)リリースにアップグレードする、既存のリリースのコネクタを指します。たとえば、SAP User Managementコネクタをリリース9.1.2からリリース9.1.2.1にアップグレードする場合は、リリース9.1.2がソース・リリースになります。

- ターゲット・リリースまたはターゲット・コネクタは、ソース・リリースのアップグレード先となるリリースを指します。前述の例で、SAP User Managementリリース9.1.2.1がターゲット・リリースになります。

注意:

前述の用語のいくつかを組み合せて、説明中のコネクタのタイプを短縮して表すこともあります。たとえば、カスタム・ソース・リリースとは、ユーザーが作成、カスタマイズまたは再構成したコネクタで、ターゲット・リリースにアップグレードしようとしているものを指します。

- 構成XMLファイルには、コネクタのインストール機能によるコネクタのインストール中に使用される情報が格納されています。オラクル社がリリースしたコネクタの場合、構成XMLファイルはデプロイメント・パッケージに含まれています。カスタム開発のコネクタの場合、個々のコネクタ・オブジェクトをステージング(テスト)サーバー上で開発してから、本番サーバーにコネクタをデプロイすることがあります。このようなケースで、コネクタのインストール機能を使用して本番サーバーにコネクタをインストールする場合は、コネクタの構成XMLファイルを作成できます。

関連項目:

コネクタのインストール機能の詳細は、「コネクタのインストール」を参照してください。

- コネクタXMLファイルには、コネクタを構成する個々のオブジェクトの定義が格納されています。デプロイメント・マネージャによりOracle Identity ManagerにXMLファイルがインポートされると、これらのオブジェクト定義を使用して、Oracle Identity Managerデータベースにコネクタ・オブジェクトが作成されます。Oracle Identity ManagerへのXMLファイルのインポート方法は、コネクタのタイプにより異なります。

- オラクル社がリリースしたコネクタに、コネクタのインストール機能との互換性がある場合、コネクタのインストール機能を使用するとコネクタXMLファイルが自動的にインポートされます。この機能では、暗黙的にデプロイメント・マネージャが呼び出されて、コネクタXMLファイルがインポートされます。

- オラクル社がリリースしたコネクタに、コネクタのインストール機能との互換性がない場合、デプロイメント・マネージャを使用してXMLファイルをインポートします。

- カスタマ・コネクタの場合、デプロイメント・マネージャを使用して、ステージング・サーバーで作成したオブジェクトの定義を最初にエクスポートします。この処理による出力はコネクタXMLファイルです。次に、そのファイルを本番サーバーにインポートできます。または、コネクタの完全なデプロイメント・パッケージ(構成XMLファイルを含む)を作成する場合は、コネクタのインストール機能を使用してコネクタをインストールできます。この機能では、暗黙的にデプロイメント・マネージャが呼び出されて、ファイルがインポートされます。

関連項目:

デプロイメント・マネージャを使用したコネクタ・オブジェクトの定義のエクスポートの詳細は、「コネクタ・オブジェクトの定義のコネクタXML形式でのエクスポート」を参照してください。

11.3 コネクタの詳細の表示

コネクタの詳細を表示するには、次の手順を実行します。

注意:

Oracle Identity Managerのこのリリースでは、コネクタの定義、クローニング、アップグレード、アンインストールなどのコネクタ・ライフサイクル管理機能が導入されています。これらすべての機能について、完全なコネクタDM-XMLがデータベース内に存在する必要があり、これがすべてのコネクタ・ライフサイクル管理アクティビティのソースになります。

Oracle Identity Managerを以前のリリース(リリース9.1.xや11gリリース1(11.1.1.5)など)から11gリリース2(11.1.2)にアップグレードする場合、コネクタに対するすべてのライフサイクル管理操作が実行可能になるように、コネクタを定義する必要があります。コネクタを定義しないと、インストール済コネクタの検索やアップグレード、コネクタのクローニングおよびコネクタのアンインストールを行うことができません。コネクタの定義の詳細は、「コネクタの定義」を参照してください。

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「システム管理」で、「コネクタの管理」をクリックします。

3. 「コネクタ名」フィールドにコネクタの名前を入力し、「検索」をクリックします。

4. 検索結果にコネクタの詳細が表示されます。
コネクタの完全名がわからない場合は、ワイルドカード検索でコネクタを探すことができます。たとえば、動作環境にインストールされているMicrosoft Active Directoryコネクタの詳細を表示するには、検索文字列Directを使用します。

すべてのインストール済コネクタの詳細を表示するには、「コネクタ名」フィールドを空白にして「検索」をクリックします。

図11-2に検索結果表を示します。

図11-2 コネクタの詳細が表示された検索結果表

「図11-2 コネクタの詳細が表示された検索結果表」の説明

検索結果表に、コネクタ名、リリース番号、ステータスおよびコネクタのインストール日時が表示されます。表の残りの列に表示されたアイコンを使用して、コネクタに対していずれかのライフサイクル管理操作を開始できます。

11.4 コネクタのインストール

拡張管理セクションで、「システム管理」→「デプロイメント・マネージャ」→「コネクタの管理」をクリックし、「インストール」をクリックしてコネクタをインストールします。次の項では、この機能およびこの機能を使用した手順について説明します。

注意:

オラクル社がリリースしたコネクタを、コネクタのインストール機能を使用してインストールできるかどうかを確認するには、コネクタ・ガイドを参照してください。

- コネクタのデプロイメント・プロセスの概要

- コネクタのインストールのためのユーザー・アカウントの作成

- コネクタのインストール

11.4.1 コネクタのデプロイメント・プロセスの概要

コネクタをインストールするには、次のタスクの一部またはすべてを実行します。

1. インストール要件の確認

2. ターゲット・システムの構成

3. Oracle Identity Managerサーバー上のディレクトリへのコネクタ・ファイルおよび外部コード・ファイルのコピー

4. Oracle Identity Managerの構成

5. コネクタXMLファイルのインポート

6. リコンシリエーションの構成

7. プロビジョニングの構成

8. Secure Sockets Layer(SSL)の構成

これらのタスクのうち、コネクタのインストール機能で自動的に実行されるタスクは次のとおりです。

注意:

残りのタスクは手動で実行します。手順については、コネクタのドキュメントを参照してください。

- Oracle Identity Managerサーバー上のディレクトリへのコネクタ・ファイルおよび外部コード・ファイルのコピー

- コネクタXMLファイルのインポート

- アダプタのコンパイル(プロビジョニングの構成の手順の一部)

正常なインストールの最後に、インストール済コネクタに関するデータが格納されるOracle Identity Managerデータベース内の表に、エントリが作成されます。データベースに格納されるデータの詳細は、「コネクタの定義」を参照してください。

11.4.2 コネクタのインストールのためのユーザー・アカウントの作成

Oracle Identity ManagerのSYSTEM ADMINISTRATORSグループに属しているユーザーがコネクタをインストールできます。また、必要なメニュー項目および権限を割り当てられているグループのメンバーもコネクタをインストールできます。

関連項目:

グループの作成とグループへのメニュー項目および権限の割当ての詳細は、コネクタ・ガイドのユーザー・グループの作成と管理に関する説明を参照してください。

必要な権限は次のとおりです。

- フォーム・デザイナ(挿入の許可、書込み権限、削除権限)

- 構造ユーティリティ.追加の列(挿入の許可、書込み権限、削除権限)

- メタ表の階層(挿入の許可、書込み権限、削除権限)

- ユーザーがSYSTEM ADMINISTRATORSグループに属していること

必要なメニュー項目は「デプロイメント管理のコネクタ・インストール」です。

SYSTEM ADMINISTRATORSグループに属していないユーザー・アカウントを使用する場合、コネクタをインストールするには、そのユーザー・アカウントが属するグループの1つに前述の権限とメニュー項目を適用する必要があります。

11.4.3 コネクタのインストール

注意:

このリリース以上では、コネクタの再インストールがサポートされていません。Oracle Identity Managerにすでにインストールされているコネクタ・バージョンはインストールできません。ただし、インストール処理に失敗した場合は、コネクタを再インストールできます。

コネクタをインストールするには、次の手順を実行します。

1. 「コネクタのインストールのためのユーザー・アカウントの作成」に記載されているユーザー・アカウントを使用して、Oracle Identity System Administrationにログインします。

2. 左ペインの「システム管理」で、「コネクタの管理」をクリックします。

3. ページの右上隅にある「インストール」をクリックします。

4. 「コネクタ・リスト」リストから、インストールするコネクタを選択します。このリストには、インストール・ファイルがデフォルト・コネクタ・インストール・ディレクトリにコピーされているコネクタの、名前およびリリース番号が表示されます。

OIM_HOME/server/ConnectorDefaultDirectory

インストール・ファイルを異なるディレクトリにコピーした場合は、次のようにします。

1. 「代替ディレクトリ」フィールドに、該当するディレクトリのフルパスおよび名前を入力します。

2. 「リフレッシュ」をクリックして、「コネクタ・リスト」に含まれるコネクタのリストを再移入します。

3. 「コネクタ・リスト」リストから、インストールするコネクタを選択します。
図11-3に、コネクタのインストール・ウィザードの「インストールするコネクタの選択」ページを示します。

図11-3 「インストールするコネクタの選択」ページ

「図11-3 「インストールするコネクタの選択」ページ」の説明

5. 「ロード」をクリックします。
次の情報が表示されます。

- コネクタのインストール履歴
コネクタのインストール履歴は、同じコネクタの以前にインストールされていたリリースに関する情報です。

- コネクタの依存性の詳細
コネクタの中には、使用を開始する前に別のコネクタのインストールが必要なものがあります。たとえば、Novell GroupWiseコネクタを使用する前に、Novell eDirectoryコネクタをインストールする必要があります。この場合、Novell eDirectoryはNovell GroupWiseの依存コネクタになります。

コネクタの依存性の詳細には、選択したコネクタをインストールして使用するために事前にインストールが必要なコネクタのリストが含まれます。これらの詳細には、すでにインストールされている依存コネクタに関する情報や、インストールされている依存コネクタの中でアップグレードが必要なものがあるかどうかに関する情報も含まれます。ただし、依存性情報を表示した後、コネクタのインストール・ウィザードでコネクタをインストールできます。

現在のインストールを完了した後、正しいバージョンの依存コネクタがインストールされているかどうかを確認する必要があります。

図11-4に、コネクタの履歴の詳細およびコネクタの依存性の詳細が表示されたページを示します。

図11-4 コネクタの履歴および依存性

「図11-4 コネクタの履歴および依存性」の説明

6. 「続行」をクリックして、インストール処理を開始します。
次のタスクが順番に実行されます。

1. コネクタ・ライブラリの構成

2. コネクタのXMLファイルのインポート(デプロイメント・マネージャを使用)

3. アダプタのコンパイル
図11-5に、コネクタのインストール・ウィザードの「コネクタのインストール」ページを示します。

図11-5 「コネクタのインストール」ページ

「図11-5 「コネクタのインストール」ページ」の説明

正常に完了したタスクには、チェックマークが表示されます。タスクが失敗すると、Xマークおよび失敗の理由を示すメッセージが表示されます。失敗の理由に応じて必要な修正を行い、次のいずれかの手順を実行します。

- エラーの原因を修正し、「再試行」をクリックしてインストールを再試行します。

- インストールを取り消して、インストール手順のステップ1から再度実行します。

インストールが失敗する理由の1つとしては、構成XMLファイル内のファイルおよびディレクトリ・パスに関する情報と、実際のファイルおよびディレクトリ・パスとの不一致があります。この場合は、エラー・メッセージが表示されます。

たとえば、リコンシリエーションの対象のJARファイルの実際の名前がrecon.jarであるとします。この名前が構成XMLファイルでrecon1.jarと指定されている場合、エラー・メッセージが表示されます。

このようなエラー・メッセージが表示された場合は、次のいずれかの手順を実行します。

- 構成XMLファイルで変更を行い、「ステップ1: インストールするコネクタの選択」ページからインストールを再試行します。
前述の例では、JARファイルの名前を構成XMLファイルでrecon.jarに変更し、「ステップ1: インストールするコネクタの選択」ページからインストールを再試行します。

- ファイルまたはディレクトリの実際の名前またはパスを変更し、「再試行」オプションを使用します。
前述の例では、JARファイルの名前をrecon1.jarに変更し、「再試行」ボタンをクリックします。

7. コネクタのインストール手順の3つのタスクがすべて正常に終了すると、インストールの成功を示すメッセージが表示されます。また、インストール後に実行するステップのリストが表示されます。これらのステップは次のとおりです。

1. コネクタ使用の前提条件が満たされていることの確認

注意:

一部のコネクタには、前提条件はありません。

2. コネクタ用のITリソースの作成
ITリソース・タイプが表示されます。指定したタイプのITリソースを作成する必要があります。これを行うには、拡張管理→「構成」→「リソース管理」→「ITリソースの作成」に移動します。詳細は、コネクタ・ガイドのITリソースの作成に関する説明を参照してください。

3. コネクタのインストール時に作成されたスケジュール済タスクの構成
XMLファイルのインポート・プロセス中に作成したスケジュール済タスクの名前が表示されます。これらのスケジュール済タスクを構成する必要があります。これを行うには、拡張管理→「システム管理」→「スケジューラ」に移動します。または、「システム管理」ページでスケジュール済ジョブを検索できます。詳細は、コネクタ・ガイドのスケジュール済タスクの管理に関する説明を参照してください。

11.5 コネクタの定義

アップグレード、クローニング、アンインストールなどのコネクタLCM操作には、コネクタごとに、すべてのコネクタ・オブジェクトが存在するソースが必要です。コネクタのインストールにより、デプロイメント・マネージャ(DM)XMLがOracle Identity Managerデータベースに格納されます。

通常、出荷されたコネクタをインストールしてから、次の操作のいずれかまたは両方を実行します。

- 既存のオブジェクト定義を追加または変更したり、さらにアダプタを追加するなどして、コネクタをカスタマイズします。

- 属性名およびキー・フィールドを変更するなどしてコネクタを構成または再構成します。

すべてのコネクタLCM操作の参照となるOracle Identity Managerデータベース内のDM XMLは、カスタマイズによる変更のために更新する必要があります。Oracle Identity Managerには、Oracle Identity Managerデータベースに格納されているDM XMLをカスタマイズによる変更で更新するための定義機能があります。定義機能は、特定のコネクタに関連するすべてのコネクタ・オブジェクトをユーザーが追加する必要があるという点で、エクスポートに似ています。コネクタの定義による最終の結果としてXMLファイルが生成され、これがOracle Identity Managerデータベース内で更新されます。

この時点で、カスタマイズまたは再構成したコネクタは、オラクル社がリリースしたコネクタとは異なるものになっています。オラクル社がリリースしたコネクタのコネクタXMLファイルは、カスタマイズまたは再構成したコネクタに対して無効になっている可能性があります。

Oracle Identity System Administrationの拡張管理ページで、カスタマイズまたは再構成したコネクタを定義できます。コネクタを定義することは、コネクタをOracle Identity Managerに登録することと同じです。

注意:

このコネクタ固有のこれらのOracle Identity Managerアーティファクトのみを追加する必要があり、また、デフォルトのオブジェクトまたは複数のコネクタ間で共有される他のコネクタ・オブジェクトは追加しないでください。定義済XMLは、アップグレード、クローニング、アンインストールなどのライフサイクル操作のソースになります。オブジェクトが定義で使用され、複数のコネクタで共有される場合、またはデフォルトのOracle Identity Managerオブジェクトの場合、意図しない動作になります。たとえば、Oracle Identity Managerにデフォルトで存在する参照定義が定義の一部として追加されると、クローニング操作によりオブジェクトの不要なコピーがもう1つ作成されます。このデフォルト・オブジェクトはコネクタ固有で定義されているため、アンインストールによりOracle Identity Managerから削除されます。このような不正な定義は、Oracle Identity Managerの機能に影響を与えます。このため、コネクタの定義時にオブジェクトを追加する際には注意が必要です。

コネクタを定義すると、コネクタを表すレコードがOracle Identity Managerデータベースに作成されます。このレコードがすでに存在する場合は、次の項目が更新されます。

- コネクタの名前。たとえば、Microsoft Active Directoryなどです。

- コネクタのリリース番号。たとえば、9.1.1などです。

- コネクタXML定義。

注意:

- コネクタXML定義は、XMLファイルの形式で定義できます。詳細は、コネクタ・ガイドで、コネクタXML形式でのコネクタ・オブジェクトの定義のエクスポートに関する説明を参照してください。このコネクタXMLファイルを使用して、別のOracle Identity Managerインストールにコネクタをインストールするためのインストール・パッケージを構築できます。

- コネクタの定義は、コネクタをカスタマイズするか、カスタマイズによる変更でDM XMLファイルを更新した後すぐに行うことをお薦めします。

コネクタは、コネクタのインストール機能を使用してインストールするか、またはコネクタのアップグレード機能を使用してアップグレードすると、自動的に定義されます。したがって、コネクタをインストールし、コネクタをカスタマイズすることなくクローニングする場合は、コネクタを定義する必要がありません。

コネクタは手動で定義する必要がありますが、そうしないと、新規XMLのインポートが正常に完了した場合でも、コネクタの新しいバージョン(基本的にCIH表のエントリに関連します)が反映されないことがあります。この手順は、次の場合にのみ実行してください。

- デプロイメント・マネージャを使用してコネクタをインポートする場合

- コネクタをカスタマイズまたは再構成する場合

注意:

コネクタをカスタマイズまたは再構成した後、またはOracle Identity Managerをアップグレードした後は、定義しなくても引き続き使用できます。ただし、コネクタをアップグレード、クローニングまたはアンインストールする場合は、まずコネクタを定義する必要があります。

- Oracle Identity Managerをアップグレードする場合

- カスタム・コネクタを開発している場合

コネクタを定義するには:

注意:

Oracle Identity System Administrationを使用して特定のリリースのコネクタを定義できるかどうかを確認するには、そのリリースのコネクタのドキュメントを参照してください。

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「システム管理」で、「コネクタの管理」をクリックします。

3. 「コネクタの管理」ウィンドウで、「定義」をクリックします。図11-6に示すようにコネクタ管理ウィザードが表示されます。

図11-6 コネクタを定義するためのコネクタ管理ウィザード

「図11-6 コネクタを定義するためのコネクタ管理ウィザード」の説明

4. ウィザードの最初のページで、「検索」リストから「リソース」または「プロセス」のいずれかを選択します。隣接するフィールドで、検索文字列と、ワイルドカード文字としてアスタリスク(*)を入力し、コネクタに属しているリソース・オブジェクトまたはプロセス定義の検索を絞り込みます。次に「検索」をクリックします。
コネクタを構成するオブジェクトのほとんどは、コネクタのリソース・オブジェクトおよびプロセス定義にリンクされています。リソース・オブジェクトまたはプロセス定義を選択することによって、それらにリンクされているオブジェクトが自動的に選択されます。スケジュール済タスクなど一部のコネクタ・オブジェクトには、リソース・オブジェクトとの依存性がありません。定義時には、すべての属性を検索し、追加していることを確認してください。

「検索」をクリックすると、指定した検索基準を満たすリソース・オブジェクトおよびプロセス定義のリストが表示されます。

5. コネクタの一部であるリソース・オブジェクトまたはプロセス定義のチェック・ボックスを選択します。
図11-7に、コネクタ・オブジェクトの検索結果が表示されたコネクタ管理ウィザードのステップ1を示します。

図11-7 コネクタ管理ウィザードのステップ1

「図11-7 コネクタ管理ウィザードのステップ1」の説明

6. 「子の選択」をクリックします。

7. 表示されたコネクタ・オブジェクトのリストで、コネクタに属しているすべてのオブジェクトが選択されていることを確認します。次に「依存性の選択」をクリックします。

注意:

オラクル社がリリースしたコネクタの場合、コネクタの一部になっているアダプタのリストについてはコネクタ・ガイドに記載されています。これらのアダプタのチェック・ボックスを選択します。

図11-8に、コネクタ管理ウィザードのステップ2を示します。

図11-8 コネクタ管理ウィザードのステップ2

「図11-8 コネクタ管理ウィザードのステップ2」の説明

8. 選択したオブジェクトのリストを確認した後、「確認」をクリックします。
図11-9に、選択したコネクタ・オブジェクトのリストが表示されたコネクタ管理ウィザードのステップ3を示します。

図11-9 コネクタ管理ウィザードのステップ3

「図11-9 コネクタ管理ウィザードのステップ3」の説明

9. 「定義用に追加」をクリックします。
図11-10に、コネクタ管理ウィザードのステップ4を示します。

図11-10 コネクタ管理ウィザードのステップ4

「図11-10 コネクタ管理ウィザードのステップ4」の説明

10. 作業を進めるには、次のいずれかのオプションを選択して「OK」をクリックします。

- 追加(ステップ1に移動): このオプションは、コネクタ管理ウィザードのステップ1に進み、追加のコネクタ・オブジェクトを選択する場合に選択します。

- ウィザードを終了し、すべての選択を表示します: このオプションは、コネクタ管理ウィザードを終了し、選択したコネクタ・オブジェクトの完全なリストを表示します。

図11-11に、コネクタ・オブジェクトを追加するオプションまたはウィザードを終了するオプションが表示されたページを示します。

図11-11 追加のオブジェクトを選択するか終了するオプション

「図11-11 追加のオブジェクトを選択するか終了するオプション」の説明

11. 表示されるページで、「現在の選択」リストに表示されているオブジェクトのみが、コネクタ定義に含まれます。リスト間でオブジェクトをドラッグできます。たとえば、「現在の選択」リストから「未選択の子」リストにアダプタをドラッグできます。必要な変更を行った後、「定義」をクリックします。

注意:

定義しているコネクタに固有のOracle Identity Managerコネクタ・オブジェクトをすべて追加したことを確認します。コネクタの定義時に特定のコネクタ・オブジェクトがないと、アップグレード、クローニングまたはアンインストールで未定義のオブジェクトを処理できないことがあります。

一般的にほぼすべてのコネクタに関連付けられているOracle Identity Managerアーティファクトは、次のとおりです。

- リソース・オブジェクト

- イベント・ハンドラ

- プロセス・フォーム

- ITリソース

- データ・オブジェクト定義

- 事前移入アダプタ

- プロセス

- ITリソース・タイプ定義

- タスク・アダプタ

- 参照

- スケジュール済タスク

図11-12に、コネクタ定義に含める、選択したコネクタ・オブジェクトの完全なリストと、未選択のコネクタの依存性が表示されたページを示します。

図11-12 選択されたコネクタ・オブジェクト

「図11-12 選択されたコネクタ・オブジェクト」の説明

12. 表示されるダイアログ・ボックスで、次のいずれかのオプションを選択します。

- コネクタの名前を選択し、そのリリース番号を入力してください。: このオプションは、このコネクタの以前のリリースがこのOracle Identity Managerインストールにすでに存在する場合に選択します。また、コネクタ名を選択し、リリース番号を入力します。

- コネクタの名前とリリース番号を入力してください: このオプションは、このコネクタの以前のリリースがこのOracle Identity Managerインストールに存在しない場合に選択します。また、コネクタ名およびリリース番号を入力します。

図11-13に、コネクタ名およびリリース番号を指定するダイアログ・ボックスを示します。

図11-13 コネクタ名およびリリース番号

「図11-13 コネクタ名およびリリース番号」の説明

13. 「定義」をクリックします。

14. 処理の最後に、操作が正常に行われたことを示すメッセージが表示されます。「閉じる」をクリックします。

11.6 コネクタのクローニング

注意:

このガイドでは、コネクタのクローニング機能という用語は、コネクタのクローニングに使用できる、Oracle Identity Self Serviceの一連のページのことを示しています。

この項では、コネクタを構成するオブジェクトのいくつかに新しい名前を設定することによって、コネクタのコピーを作成する手順について説明します。この処理により、新しいコネクタXMLファイルが生成されます。リソース・オブジェクト、プロセス定義、プロセス・フォーム、ITリソース・タイプ定義、ITリソース・インスタンス、参照定義、アダプタ、リコンシリエーション・ルールなど、新しいコネクタXMLファイル内のほとんどのコネクタ・オブジェクトの名前が新しくなります。

注意:

Oracle Identity Managerには、単一のコネクタを使用して次の項目を統合するための別の機能があります。

- 特定のターゲット・システムの複数のインストールとOracle Identity Manager

- 複数のユーザー・タイプ(たとえば、従業員および契約者)に関するデータを格納し、それぞれのユーザー・タイプに異なるリソース・オブジェクトを提供するためにOracle Identity Managerを必要とするターゲット・システム

アクセス・ポリシーを使用して特定のターゲット・システム上の様々なユーザー・タイプ用のリソース・オブジェクトを作成する方法の詳細は、コネクタ・ガイドを参照してください。

この項の内容は次のとおりです。

- コネクタのクローニングのガイドライン

- コネクタのクローニング

- クローニング後の手順

11.6.1 コネクタのクローニングのガイドライン

コネクタのクローニング機能を使用する際には、次のガイドラインが適用されます。

- コネクタのクローニング機能では、リクエスト・データセットのクローニングはサポートされません。これは、リクエスト・データセット定義が通常はコネクタXMLファイルに含まれていないためです。同じターゲットの属性に変更があったが、別のインスタンスでは変更がない場合、コネクタのクローニングされたコピーが必要になります。属性が異なる場合、同じリクエスト・データセットを使用できません。

- このユーティリティを使用してコネクタのクローンを作成するには、コネクタにコネクタのクローニング機能との互換性があることが必要です。オラクル社がリリースしたコネクタの場合、コネクタがコネクタのクローニング機能でサポートされているかどうかの詳細は、コネクタ・ガイドを参照してください。

- コネクタ・オブジェクトの名前に対して実行される検証は、他のコネクタに属しているオブジェクトの名前には適用されません。ただし、コネクタのクローニング機能により作成されたコネクタXMLファイルをインポートする際に、オブジェクト名の重複があるとデプロイメント・マネージャによりエラーがスローされます。これについて、次の例で説明します。
Microsoft Active Directoryコネクタに、AD USERという名前のリソース・オブジェクトが属しています。Oracle Identity Managerデータベースに、My_ROという名前の既存のリソース・オブジェクトが定義されているとします。AD_USERリソース・オブジェクトに指定した新しい名前がMy_ROの場合、コネクタのクローニング機能では、指定した名前のリソース・オブジェクトがすでに存在することを示すエラー・メッセージは表示されません。

11.6.2 コネクタのクローニング

コネクタのクローニングでは2段階の手順を実行します。

- 手順1: クローニングされるコネクタのコネクタXMLファイルの作成

- 手順2: クローン・コネクタのインストール

手順1: クローニングされるコネクタのコネクタXMLファイルの作成

クローニングされるコネクタのコネクタXMLファイルを作成するには、次の手順を実行します。

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「システム管理」で、「コネクタの管理」をクリックします。

3. 次の手順は、クローンの作成に使用するソースXMLによって異なります。

- コネクタXMLファイルをソースとして使用する場合:

1. 右上隅にある「クローン」をクリックします。

2. 「ステップ1: ファイル・システムからのXML選択」ページで、「参照」オプションを使用してコネクタXMLファイルに移動して選択します。
図11-14に、コネクタ管理 - クローニング・ウィザードのファイル・システムからのXML選択ページを示します。

図11-14 ファイル・システムからのXML選択ページ

「図11-14 ファイル・システムからのXML選択ページ」の説明

3. 「続行」をクリックします。

- コネクタの定義時にデータベースに格納されたコネクタXMLを使用する場合:

1. 「検索」機能を使用して、コネクタを検索します。図11-15に、コネクタを検索するページを示します。

図11-15 コネクタの検索

「図11-15 コネクタの検索」の説明

2. 表示される検索結果で、クローニング対象のコネクタの行にある「クローン」アイコンをクリックします。

4. 「ステップ2: リソース・オブジェクトの新しい名前の指定」ページで、クローンのリソース・オブジェクトの新しい名前を入力します。
コネクタに複数のリソース・オブジェクトがある場合、それぞれのリソース・オブジェクトに指定する新しい名前は、そのコネクタの既存のリソース・オブジェクトのどの名前とも異なっている必要があります。

すべてのリソース・オブジェクトに新しい名前を指定してから、「続行」をクリックします。

図11-16に、コネクタ管理 - クローニング・ウィザードの「リソース・オブジェクトの新しい名前の指定」ページを示します。

図11-16 「リソース・オブジェクトの新しい名前の指定」ページ

「図11-16 「リソース・オブジェクトの新しい名前の指定」ページ」の説明

5. 「ステップ3: プロセス定義の新しい名前の指定」ページで、クローンのプロセス定義の新しい名前を入力します。
コネクタに複数のプロセス定義がある場合、それぞれのプロセス定義に指定する新しい名前は、そのコネクタの既存のプロセス定義のどの名前とも異なっている必要があります。

すべてのプロセス定義に新しい名前を指定してから、「続行」をクリックします。

図11-17に、コネクタ管理 - クローニング・ウィザードの「プロセス定義の新しい名前の指定」ページを示します。

図11-17 「プロセス定義の新しい名前の指定」ページ

「図11-17 「プロセス定義の新しい名前の指定」ページ」の説明

6. 「ステップ4: プロセス・フォームの新しい名前の指定」ページで、クローンのプロセス・フォームの新しい名前を入力します。
コネクタに複数のプロセス・フォームがある場合、それぞれのプロセス・フォームに指定する新しい名前は、そのコネクタの既存のプロセス・フォームのどの名前とも異なっている必要があります。

すべてのプロセス・フォームに新しい名前を指定してから、「続行」をクリックします。

図11-18に、コネクタ管理 - クローニング・ウィザードの「プロセス・フォームの新しい名前の指定」ページを示します。

図11-18 「プロセス・フォームの新しい名前の指定」ページ

「図11-18 「プロセス・フォームの新しい名前の指定」ページ」の説明

7. 「ステップ5: ITリソース・タイプ定義の新しい名前の指定」ページで、クローンのITリソース・タイプ定義の新しい名前を入力します。
コネクタに複数のITリソース・タイプ定義がある場合、それぞれのITリソース・タイプ定義に指定する新しい名前は、そのコネクタの既存のITリソース・タイプ定義のどの名前とも異なっている必要があります。

すべてのITリソース・タイプ定義に新しい名前を指定してから、「続行」をクリックします。

図11-19に、コネクタ管理 - クローニング・ウィザードの「ITリソース・タイプ定義の新しい名前の指定」ページを示します。

図11-19 「ITリソース・タイプ定義の新しい名前の指定」ページ

「図11-19 「ITリソース・タイプ定義の新しい名前の指定」ページ」の説明

8. 「ステップ6: ITリソースの新しい名前の指定」ページで、クローンのITリソースの新しい名前を入力します。
コネクタに複数のITリソースがある場合、それぞれのITリソースに指定する新しい名前は、そのコネクタの既存のITリソースのどの名前とも異なっている必要があります。

すべてのITリソースに新しい名前を指定してから、「続行」をクリックします。

図11-20に、コネクタ管理 - クローニング・ウィザードの「ITリソース・タイプ定義の新しい名前の指定」ページを示します。

図11-20 「ITリソースの新しい名前の指定」ページ

「図11-20 「ITリソースの新しい名前の指定」ページ」の説明

9. 「ステップ7: スケジュール済タスクの新しい名前の指定」ページで、クローンのスケジュール済タスクの新しい名前を入力します。
スケジュール済タスクの新しい名前を入力します。ただし、クローンおよび元のコネクタに、スケジュール済タスクの同一のセットを使用することはできません。

「続行」をクリックします。

図11-21に、コネクタ管理 - クローニング・ウィザードの「スケジュール済タスクの新しい名前の指定」ページを示します。

図11-21 「スケジュール済タスクの新しい名前の指定」ページ

「図11-21 「スケジュール済タスクの新しい名前の指定」ページ」の説明

10. 「ステップ8: 参照タイプ定義の新しい名前の指定」ページで、クローンの参照定義の新しい名前を入力します。
「続行」をクリックします。

図11-22に、コネクタ管理 - クローニング・ウィザードの「参照タイプ定義の新しい名前の指定」ページを示します。

図11-22 「参照タイプ定義の新しい名前の指定」ページ

「図11-22 「参照タイプ定義の新しい名前の指定」ページ」の説明

11. 「ステップ9: アダプタの接頭辞の指定」ページで、アダプタのコピーの接頭辞として設定される文字列を入力します。次に、「続行」をクリックします。
指定する接頭辞により、アダプタの完全名が80文字を超えないようにする必要があります。コネクタのクローニング機能では、この制限を超えたかどうかをチェックできません。ただし、クローンに対して作成されたコネクタXMLファイルをインポートする際に、デプロイメント・マネージャによりエラーがスローされます。クローンのデプロイメント・パッケージを構築し、コネクタのインストール機能を使用してクローンをインストールする場合にもデプロイメント・マネージャが呼び出されることに注意してください。

Design Consoleを使用して、最も長いアダプタ名の文字長を決定できます。

図11-23に、コネクタ管理 - クローニング・ウィザードのアダプタの接頭辞の指定ページを示します。

図11-23 アダプタの接頭辞の指定ページ

「図11-23 アダプタの接頭辞の指定ページ」の説明

12. 「ステップ10: リコンシリエーション・ルールの新しい名前の指定」ページで、クローンのリコンシリエーション・ルールの新しい名前を入力します。
図11-24に、コネクタ管理 - クローニング・ウィザードの「リコンシリエーション・ルールの新しい名前の指定」ページを示します。

図11-24 「リコンシリエーション・ルールの新しい名前の指定」ページ

「図11-24 「リコンシリエーション・ルールの新しい名前の指定」ページ」の説明

13. 「ステップ11: オブジェクト名のサマリー」ページで、クローンのコネクタ・オブジェクトに設定した名前を確認し、「続行」をクリックします。
図11-25に、コネクタ管理 - クローニング・ウィザードの「オブジェクト名のサマリー」ページを示します。

図11-25 「オブジェクト名のサマリー」ページ

「図11-25 「オブジェクト名のサマリー」ページ」の説明

14. 「ステップ12: オブジェクト・クローン生成」ページで、「XMLの生成」をクリックします。
図11-26に、コネクタ管理 - クローニング・ウィザードの「オブジェクト・クローン生成」ページを示します。

図11-26 「オブジェクト・クローン生成」ページ

「図11-26 「オブジェクト・クローン生成」ページ」の説明

15. ファイルのダウンロード・ダイアログ・ボックスで、「保存」オプションを使用し、クローンのコネクタXMLファイルを任意の場所に保存します。
図11-27に、ファイルのダウンロード・ダイアログ・ボックスを示します。

図11-27 ファイルのダウンロード・ダイアログ・ボックス

「図11-27 ファイルのダウンロード・ダイアログ・ボックス」の説明

手順2: クローン・コネクタのインストール

クローン・コネクタは、次のいずれかの方法を使用してインストールできます。

注意:

クローン・コネクタは、同じOracle Identity Managerインストール上または別のOracle Identity Managerインストールにインストールできます。

- デプロイメント・マネージャを使用して、コネクタXMLファイルをインポートします。デプロイメント・マネージャのインポートを使用してコネクタをインストールする場合、クローニングされるコネクタを定義する必要があります。これにより、「コネクタ管理」の「検索」で、コネクタのリストにクローニングされるコネクタが含まれるようになります。元のコネクタが存在しない別のOracle Identity Manager環境にコネクタをインポートする場合、JarUploadユーティリティを使用してコネクタに関連するJarファイルをアップロードし、コネクタのJarファイルすべてがアップロードされた後、アダプタをコンパイルする必要があります。

- クローニングされるコネクタのデプロイメント・パッケージを作成し、コネクタのインストール機能を使用してそれをインストールします。サンプルについては、オラクル社がリリースしたコネクタのデプロイメント・パッケージの内容を確認してください。

11.6.3 クローニング後の手順

コネクタ・オブジェクトの新しい名前を設定することによってコネクタのコピーを作成した後、一部のオブジェクトに以前のコネクタ・オブジェクトの詳細が含まれていることがあります。このため、次のOracle Identity Managerオブジェクトを変更して、ベース・コネクタのアーティファクトまたは属性参照を、対応するクローニングされるアーティファクトまたは属性と置き換える必要があります。

- 参照定義: 参照定義に以前の参照定義の詳細が含まれる場合は、それを変更してクローニングされる参照定義の新しい名前を指定する必要があります。エンコード値およびデコード値がベース・コネクタの属性参照を参照している場合、これらを、クローニングされる新しい属性と置き換える必要があります。

- スケジュール済タスク: スケジュール済タスク内のベース・コネクタのリソース・オブジェクト名は、クローニングされるリソース・オブジェクト名と置き換える必要があります。スケジュール済タスクのパラメータに、ベース・コネクタのアーティファクトまたは属性を参照しているデータがある場合、これらを、クローニングされるコネクタの新しいアーティファクトまたは属性と置き換える必要があります。

11.7 コネクタ・オブジェクトの定義のコネクタXML形式でのエクスポート

前述のように、Oracle Identity Managerデータベースには、すべてのコネクタ・オブジェクトの定義が格納されています。特定のコネクタ用のコネクタXMLファイルを作成するためにこれらの定義をエクスポートできます。デプロイメント・マネージャを使用して、別のOracle Identity Managerインストールでコネクタ・オブジェクト定義を作成するためにコネクタXMLファイルをインポートできます。

または、コネクタ用に作成するデプロイメント・パッケージの1つのコンポーネントとしてコネクタXMLファイルを使用できます。その後、コネクタのインストール機能を使用してこのデプロイメント・パッケージをインストールできます。サンプルについては、オラクル社がリリースしたコネクタのデプロイメント・パッケージの内容を確認してください。デプロイメント・パッケージのもう1つの重要なコンポーネントは構成XMLファイルであり、コネクタのインストール機能で使用されます。構成XMLファイルは手動で作成する必要があります。

関連項目:

構成XMLファイルの内容の詳細は、コネクタ・ガイドを参照してください。

コネクタ・オブジェクト定義をコネクタXML形式でエクスポートするには:

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「システム管理」で、「コネクタの管理」をクリックします。

3. 次のいずれかのオプションを使用してコネクタXMLファイルをエクスポートできます。

- XMLファイルに特定のコネクタ・オブジェクトの定義のみを含める場合は、「エクスポート」ボタンを使用して「デプロイメント・マネージャ」を開きます。この機能を使用してコネクタXMLファイルに定義を含めるコネクタ・オブジェクトを選択する方法の詳細は、コネクタ・ガイドのデプロイメント・マネージャの使用に関する説明を参照してください。

- コネクタの定義時にデータベースに格納されたコネクタXMLからコネクタXMLファイルを作成する場合は、次を実行します。

1. 「コネクタ管理」ページで、「検索」機能を使用して、コネクタXMLファイルを作成するコネクタを表示します。

2. コネクタ行に表示されている「エクスポート」アイコンを使用して、コネクタ定義時にデータベースで作成されたエントリからコネクタXMLファイルをエクスポートします。
図11-28に、「コネクタ管理」ページを示します。

図11-28 「コネクタ管理」ページ

「図11-28 「コネクタ管理」ページ」の説明

11.8 コネクタのアップグレード

コネクタのアップグレード・ユーティリティでは、ソース・コネクタに対して行われた顧客カスタマイズを保持して、OIMアーティファクトをソース・バージョンからターゲット・バージョンにアップグレードします。コネクタのアップグレードでは、コネクタ・ライブラリのアップグレード/更新は処理されません。ユーザーはコネクタに関連するライブラリを手動でアップグレードする必要があります。

コネクタのアップグレードが必要となるサンプルのシナリオを次に示します。

- 既存のコネクタの再構成またはカスタマイズ
コネクタをインストールした後に、要件に従ってカスタマイズまたは再構成する場合があります。たとえば、リコンシリエーションおよびプロビジョニングのために新しい属性を追加し、リコンシリエーションまたは参照フィールド同期のスケジュール済タスクを変更する場合があります。原則として、コネクタに対するこれらの変更はステージング・サーバーで行います。次に、本番サーバーにデプロイされているコネクタを、ステージング・サーバーで変更を加えて作成したバージョンにアップグレードします。

- カスタマ開発のコネクタのアップグレード
独自のコネクタを開発している場合があります。オラクル社がリリースしたアップグレードをコネクタに使用できる場合、現在のコネクタからオラクル社がリリースしたコネクタにアップグレードすることがあります。たとえば、IBM Lotus Notes and Domino用のコネクタを開発し、使用しているとします。オラクル社がOracle Identity Manager Connector for IBM Lotus Notes and Dominoの新しいリリースを出荷した場合、その新しいリリースに含まれている一部の機能を使用することがあります。コネクタのアップグレード機能を使用して、現在のコネクタからオラクル社がリリースしたコネクタにアップグレードできます。

- オラクル社がリリースしたコネクタのアップグレード
オラクル社がコネクタのアップグレードを出荷します。アップグレードに、必要とする機能拡張および修正が含まれていることがあります。たとえば、現在SAP User Managementリリース9.1.2を使用しており、同じコネクタのリリース9.1.2.3が使用可能になった場合、そのリリースへのアップグレードが必要になることがあります。

これらのシナリオでは、コネクタのアップグレード機能を使用して、コネクタをアップグレードできます。

コネクタのアップグレードは、次の2つの方法で実行できます。

- サイレント・モード・アップグレード: ステージングおよび本番環境で使用されます。

- ウィザード・モード・アップグレード: 開発環境で使用されます。

このガイドでは、Oracle Identity System Administrationの各ページを使用して実行するウィザード・アップグレードについて説明します。

この項の内容は次のとおりです。

- コネクタのアップグレード機能でサポートされているアップグレード・ユースケース

- アップグレード手順のサマリー

- コネクタのアップグレード手順

11.8.1 コネクタのアップグレード機能でサポートされているアップグレード・ユースケース

次のタイプのソース・コネクタが、コネクタのアップグレード機能でサポートされています。

- カスタマ開発のコネクタ

- コネクタのインストール機能でサポートされていない、オラクル社がリリースしたコネクタ

- コネクタのインストール機能でサポートされている、オラクル社がリリースしたコネクタ

- コネクタのインストール機能でサポートされ、カスタマイズされている、オラクル社がリリースしたコネクタ

- クローニングされたコネクタ

このアップグレード・プロセスでは、次のオブジェクトは対象としていません。

- 電子メール定義

- パスワード・ポリシー

- エラー・メッセージ定義

- ビジネス・ルール定義

- オブジェクト・フォーム

- アクセス・ポリシー

注意:

- コネクタ・ライフサイクル管理では、ソース・コネクタが信頼できるソース構成にXellerateユーザー・リソース・オブジェクトを使用している場合、信頼できるコネクタのアップグレードはサポートしません。そのため、コネクタを手動でアップグレードする必要があります。詳細は、Oracleサポートに連絡してください。

- コネクタ・ライフサイクル管理では、ターゲット・モード(ソース・バージョン)から信頼できるモード(ターゲット・バージョン)へのコネクタのアップグレードはサポートしていません。同様に、信頼できるモードからターゲット・モードへのアップグレードもサポートされていません。

ユースケース1: カスタム開発のソース・コネクタ

カスタム開発のソース・コネクタは、コネクタのアップグレード機能と互換性を持たせるために、次の要件を満たす必要があります。

- コネクタは、Oracle Identity Managerで定義されている必要があります。コネクタを手動で定義する場合は、「コネクタの定義」を参照してください。

- コネクタには構成XMLファイルが必要です。構成XMLファイルの詳細は、コネクタ・ガイドを参照してください。

カスタム開発のソース・コネクタをアップグレードする前に発生する可能性のあるサンプル・イベントを次に示します。

- コネクタおよびその構成XMLファイルを開発します。

- コネクタのインストール機能と互換性のあるデプロイメント・パッケージを作成します。この機能を使用してコネクタを本番サーバーにデプロイする場合、そのコネクタはインストール・プロセスの最後に自動的に定義されます。

- このコネクタをリコンシリエーションおよびプロビジョニングに使用します。ターゲット・システム・リソースが、(リコンシリエーションおよびプロビジョニングを介して)OIMユーザーに割り当てられます。

- ステージング・サーバーでコネクタを変更し、再定義して、コネクタXMLファイルを再生成します。

ユースケース2: コネクタのインストール機能でサポートされていない、オラクル社がリリースしたコネクタ

コネクタのインストール機能でサポートされていないコネクタは、コネクタのアップグレード機能と互換性を持たせるために、次の要件を満たす必要があります。

- コネクタは、Oracle Identity Managerで定義されている必要があります。コネクタを手動で定義する場合は、「コネクタの定義」を参照してください。

- コネクタには構成XMLファイルが必要です。構成XMLファイルの詳細は、コネクタ・ガイドを参照してください。

このユースケースのサンプル・イベントとアップグレード手順は、ユースケース1の場合と同じです。

ユースケース3: コネクタのインストール機能を使用してインストールされた、オラクル社がリリースしたコネクタ

コネクタのインストール機能を使用してインストールされたコネクタは、ユースケース1および2で示されている要件を満たしています。

ユースケース4: インストールされ、その後カスタマイズされた、オラクル社がリリースしたコネクタ

コネクタのインストール機能でサポートされているコネクタは、ユースケース1および2で示されている要件を満たしています。ただし、カスタマイズは、アップグレード・プロセス中に上書きされます。たとえば、スケジュール済タスクに属性を追加し、リコンシリエーション対象のJARファイルも変更した場合、このカスタマイズはアップグレード後に失われます。この問題を回避するには、次の操作を実行します。

1. コネクタに実装したカスタマイズのレコードを保持します。

2. コネクタのアップグレード後に、このカスタマイズを再適用します。

ユースケース5: クローニングされたコネクタ

コネクタのクローニング機能を使用してインストールされたコネクタは、ユースケース1および2で示されている要件を満たしています。

アップグレード操作の後、各クローンを使用して、アップグレード前にクローンにより収集されたリソース・データを管理できます。

11.8.2 コネクタのアップグレード機能でサポートされるコネクタ・オブジェクト変更

コネクタをアップグレードする前に、個々のコネクタ・オブジェクトに変更を加えて、コネクタを再構成またはカスタマイズしている場合があります。アップグレード・プロセス自体により、個々のコネクタ・オブジェクトが変更されます。次の項では、コネクタのアップグレード機能でサポートされているコネクタ・オブジェクト変更を示します。これらの変更は、手動で(つまり、コネクタのアップグレード機能の使用前の任意の時点で)実行されたか、またはコネクタのアップグレード機能自体によって実行された可能性があります。

- リソース・オブジェクトの変更

- プロセス定義の変更

- プロセス・フォームの変更

- 参照定義の変更

- アダプタの変更

- ルールの変更

- ITリソース・タイプの変更

- ITリソースの変更

- スケジュール済タスクの変更

11.8.2.1 リソース・オブジェクトの変更

コネクタのアップグレード機能は、次の任意の組合せの変更が行われたリソース・オブジェクトで実行できます。また、アップグレード操作によりリソース・オブジェクトに次の任意の組合せの変更が行われることがあります。

- ステータス定義を追加または削除できます。

- 管理者を割り当てるか、または削除できます。

- パスワード・ポリシーを追加または削除できます。

- ユーザー定義フィールド(UDF)を追加または削除できます。

- 他のリソース・オブジェクトとの依存性を割り当てるか、または削除できます。

- オブジェクト認可ユーザーを割り当てるか、または削除できます。また、認可ユーザーに割り当てられた優先度番号を変更できます。

- プロセス決定ルールを割り当てるか、または削除できます。

- イベント・ハンドラ・アダプタを割り当てるか、または削除できます。

- ターゲット・コネクタのコネクタXMLに存在しないリソース・オブジェクト・フィールドは、廃止としてマークされます。

- リソース・オブジェクトで実行されたカスタマイズは保持されません。

アップグレード後、リソース・オブジェクトの新しい名前はターゲット・コネクタのコネクタXMLで指定した名前になります。

11.8.2.2 プロセス定義の変更

コネクタのアップグレード機能は、次の任意の組合せの変更が行われたプロセス定義に対して実行できます。また、アップグレード操作によりプロセス定義に次の任意の組合せの変更が行われることがあります。

- 既存のプロセス定義は、新しいプロセス定義で置き換えることができます。

- 既存のプロビジョニング定義の名前を変更できます。

- 既存のリコンシリエーション・フィールド・マッピングは、変更なしで保持するか、または修正できます。

- 新しいプロセス・タスクを追加できます。

- カスタム・プロセス・タスクは、変更なしで保持できます。

- デフォルトのプロセス・タスクを保持できますが、新しいバージョンにおいてデフォルトのプロセス・タスクに変更がないことを確認する必要があります。詳細は、コネクタ・ガイドを参照してください。

- 次の任意の組合せの変更を、既存のプロセス・タスクに対して実行できます。

- タスクの名前およびプロパティを変更できます。

- 付加されたイベント・ハンドラ・アダプタを変更できます。

- 先行タスクまたは依存タスクを追加、変更または削除できます。

- 新しいレスポンス・コードを追加できます。

- 既存のレスポンス・コードを変更または削除できます。

- 新しいタスクを生成できます。

- 取消しタスクおよびリカバリ・タスクを変更できます。

- タスクからオブジェクトへのステータス・マッピングを変更できます。

- 割当てルールを変更できます。

- 既存のプロセス・タスクを削除できます。

アップグレード後、プロセス定義の新しい名前は、ターゲット・コネクタのコネクタXMLで指定した名前になります。

11.8.2.3 リソース・オブジェクトの変更

リソース・バンドルを更新するには、次の手順を実行します。

1. コネクタ・リソース・バンドルへの新しいエントリの追加など、リソース・バンドルに対してなんらかのカスタマイズを行っている場合は、コネクタ配布バンドルのリソース・フォルダに存在するリソース・バンドルに変更内容を適用する必要があります。Oracle Identity Managerデータベースに存在する既存のリソース・バンドルは、OIM_HOME/server/binにあるDownloadResourceBundlesユーティリティを使用してダウンロードできます。

2. DownloadResourceBundlesユーティリティ(OIM_HOME/server/binにあります)を使用して、コネクタに固有のすべてのリソース・バンドルをOracle Identity Managerデータベースから削除します。

3. UploadResourceBundlesユーティリティ(OIM_HOME/server/binにあります)を使用して、コネクタに固有のすべてのリソース・バンドルをOracle Identity Managerデータベースにアップロードします。

11.8.2.4 プロセス・フォームの変更

コネクタのアップグレード機能は、次の任意の組合せの変更が実行されたプロセス・フォームで実行できます。また、アップグレード操作によりプロセス・フォームに次の任意の組合せの変更が行われることがあります。

注意:

- アップグレード操作は、プロセス・フォームのアクティブなバージョンにのみ作用します。以前のバージョンは変更されません。

- 既存のプロセス・フォームの名前は変更できません。

- 列を追加、変更または削除できます。

- 子フォームを追加、変更または削除できます。

- 事前移入アダプタを追加できます。

- 既存の事前移入アダプタの名前、マッピング、順序およびルールを変更できます。

- 既存のフォームに存在していた特定のフィールドを新しいバージョンに追加する場合、ユーザーは、アクティブなバージョンに手動でカスタマイズを追加できます。

- フォーム属性が保持され、この属性が参照する対応コネクタ・オブジェクト(参照定義やITリソース・タイプ定義など)が削除されている場合、適切なコネクタ・オブジェクトを指すようにすることによってフォーム属性プロパティを変更する必要があります。

アップグレード後、プロセス・フォームの名前はアップグレードされたコネクタのバージョン番号になります。

11.8.2.5 参照定義の変更

コネクタのアップグレード機能は、次の任意の組合せの変更が実行された参照定義で実行できます。また、アップグレード操作により参照定義に次の任意の組合せの変更が行われることがあります。

- 参照定義を追加できます。

注意:

アップグレード操作中に既存の参照定義が削除されることはありません。

- 既存の参照定義を保持または変更できます。アップグレード操作中、既存の参照定義内の新しいエントリが既存のエントリの後ろに追加されます。

11.8.2.6 アダプタの変更

コネクタのアップグレード機能は、次の任意の組合せの変更が実行されたアダプタで実行できます。また、アップグレード操作によりアダプタに次の任意の組合せの変更が行われることがあります。

注意:

アップグレード操作中に既存のアダプタが削除されることはありません。

- 新しいアダプタを追加できます。

- カスタム・アダプタは、アップグレードの一部として保持されます。デフォルト・アダプタに対してカスタマイズを行っている場合は、すべてのデフォルト・アダプタが上書きされるため、これらの変更内容をアップグレード後に適用する必要があります。

- デフォルト・アダプタにカスタマイズ(ある場合)を適用した後に、プロセス・タスク、フォーム・フィールドおよびデータ・オブジェクト・マネージャでこれらのアダプタの対応するマッピングを検証する必要があります。

11.8.2.7 ルールの変更

コネクタのアップグレード機能は、次の任意の組合せの変更が実行されたルールで実行できます。また、アップグレード操作によりルールに次の任意の組合せのの変更が行われることがあります。

- 新しいルールを追加できます。

- デフォルト・ルールに対してカスタマイズを行っている場合は、すべてのデフォルト・ルールが上書きされるため、アップグレード後にこれらのカスタマイズを適用する必要があります。

11.8.2.8 ITリソース・タイプの変更

コネクタのアップグレード機能は、次の任意の組合せの変更が実行されたITリソース・タイプで実行できます。また、アップグレード操作によりITリソース・タイプに次の任意の組合せの変更が行われることがあります。

- 既存のITリソース・タイプを新しいITリソース・タイプに置き換えることができます。

- 既存のITリソース・タイプで、新しいパラメータを追加し、既存のパラメータのデフォルト値とタイプを変更または削除できます。

- ITリソース・タイプ定義のマッピング時に、すべてのカスタム・パラメータが表示されます。これらのカスタム・パラメータを保持できます。

11.8.2.9 ITリソースの変更

コネクタのアップグレード機能は、次の任意の組合せの変更が実行されたITリソースで実行できます。また、アップグレード操作によりITリソースに次の任意の組合せの変更が行われることがあります。

- ITリソース・タイプ定義用に保持されているパラメータは、このタイプのすべてのITリソース・インスタンスで使用できます。ITリソース・タイプ定義の既存のパラメータが保持されていない場合、このパラメータはこのタイプのすべてのITリソース・インスタンスで使用できません。

- 既存のITリソースで、新しいパラメータを追加し、既存のパラメータのデフォルト値とタイプを変更または削除できます。

アップグレード後、ITリソース・タイプ定義の新しい名前は、ターゲット・コネクタのコネクタXMLで指定した名前になります。

11.8.2.10 スケジュール済タスクの変更

コネクタのアップグレード機能を保持されているスケジュール済タスクで実行できるか、または既存のスケジュール済タスクは新しいスケジュール済タスクに置換されています。

11.8.3 コネクタをアップグレードした場合の処理

コネクタのアップグレード時に実施される可能性のある変更の詳細は、「コネクタのアップグレード機能でサポートされているアップグレード・ユースケース」を参照してください。

また、アップグレード操作の結果の一部として次のイベントが発生します。

- アップグレード操作の実行中、新しいコネクタ・オブジェクトを既存のオブジェクトにマッピングするように要求されます。たとえば、ターゲット・コネクタ内の各リソース・オブジェクトをソース・コネクタ内のリソース・オブジェクトにマッピングするように要求されます。オブジェクト名がソースとターゲットで同じである場合は、新しいオブジェクトに関して、対応する古いオブジェクトをマッピングする必要があります。ソースとターゲットでオブジェクト名に変更がある場合は、ソースおよびターゲット・コネクタのリリース・ドキュメントを参照してオブジェクトを適切にマッピングする必要があります。ソース・オブジェクトとターゲット・オブジェクトを適切にマッピングするのはユーザーの責任です。オブジェクトが適切にマッピングされていないと、ソース・オブジェクトはアップグレード・プロセスにより破損します。したがって、ソースとターゲットのすべてのコネクタ・オブジェクトについて把握しておく必要があります。

11.8.4 アップグレード手順のサマリー

コネクタをアップグレードする手順のサマリーを次に示します。

注意:

この章で説明する手順は、テスト開発環境で最初にアップグレードを実行する際のベスト・プラクティスに基づいています。本番サーバーでアップグレードを適用する前に、機能可能なすべてのユースケースをテストする必要があります。本番ではウィザード・モード・アップグレードは使用できないため、本番サーバーではサイレント・モードのみを使用する必要があります。

1. アップグレード手順を最後まで読みます。
これにより、コネクタおよびターゲット・システムをOracle Identity Managerユーザーが使用できなくなる時間を見積もることができます。また、すべてのアップグレード手順とアップグレード後の手順を完了するために必要なOracle Identity Managerの専門知識を自分が持っているかどうかも判断できます。

2. ソース・コネクタのオブジェクトと他のOracle Identity Managerオブジェクトとの間のアソシエーションを書き留めます。たとえば、リソース・オブジェクトとアクセス・ポリシーとの間のアソシエーションを書き留めます。

3. 必要に応じて、ソース・コネクタのクローン用のコネクタXMLファイルを作成します。
ターゲット・コネクタでのオブジェクト名がソース・コネクタでのオブジェクト名と異なる場合は、まずクローン・コネクタ用のコネクタXMLファイルを作成することをお薦めします。手順は、「手順1: クローニングされるコネクタのコネクタXMLファイルの作成」で説明されています。この手順の実行中、ターゲット・コネクタのオブジェクト名と同じオブジェクト名を指定します。これにより、コネクタのアップグレード後にコネクタ・オブジェクトの名前を変更する必要がなくなります。

4. ソース・コネクタをステージング・サーバー上のターゲット・コネクタにアップグレードします。
XMLファイルには、ターゲット・コネクタのコネクタ・オブジェクトに変換されるように、ソース・コネクタのオブジェクトに対して行った変更の詳細が含まれています。これらの変更内容は、アップグレード・プロセス中に自動的に適用されます。

ソース・コネクタをアップグレードするには、次の手順を実行します。

1. 本番サーバー上のOracle Identity Managerデータベースをバックアップします。

2. 「アップグレード前の手順」で説明している手順を実行します。

3. 「ステージングおよび本番環境でのサイレント・モード・アップグレード」で説明している手順を実行し、結果として生成される変換済XMLは本番サーバーで使用できます。

5. コネクタ・アップグレード用のサイレント・デルタXMLを使用します。
デルタXMLファイルを使用するには、次の手順を実行します。

1. ステージング・サーバー上で本番データベースをリストアします。

2. 「アップグレード前の手順」で説明している手順を実行します。

3. 「ステージングおよび本番環境でのサイレント・モード・アップグレード」で説明している手順を実行します。

4. 「アップグレード後の手順」で説明している手順を実行します。

6. 本番サーバー上のソース・コネクタが、ステージング・サーバー上のソース・コネクタと同じであることを確認します。ステージング・サーバー上と本番サーバー上のソース・コネクタが異なると、デルタXMLファイルは本番サーバーで適切にインポートされません。

7. 本番サーバーでデルタXMLファイルをインポートします。
アップグレードされたターゲット・コネクタがステージング・サーバーで想定どおりに動作していることを確認した後に、次の手順を実行します。

1. 「アップグレード前の手順」で説明している手順を実行します。

2. 「ステージングおよび本番環境でのサイレント・モード・アップグレード」で説明している手順を実行します。

3. 「アップグレード後の手順」で説明している手順を実行します。

11.8.5 コネクタのアップグレード手順

次の項では、コネクタをアップグレードする手順について説明します。

- 「アップグレード前の手順」

- 「アップグレード手順」

- 「アップグレード後の手順」

11.8.5.1 アップグレード前の手順

アップグレード手順を開始する前に、次の前提条件に対処していることを確認してください。

- この章に記載されているアップグレード手順を最後まで読みます。

- ソース・コネクタのコネクタ・オブジェクトに加えられたカスタマイズを書き留めます。

- 進行中のワークフローを処理するために、Java APIを呼び出します。ワークフローの保留の詳細は、11.8.5.2項「アップグレード手順」のステップ3を参照してください。このコネクタの一部であるリソース・オブジェクトに保留状態のリクエストがないことを確認する必要があります。コネクタのアップグレードに進む前に、すべてのリクエストを完了する必要もあります。リクエストがクローズ可能な状態の場合は、リクエストをクローズできます。コネクタ・リソース・オブジェクトに関連付けられているすべてのリクエストは、アップグレード・プロセスを開始する前に次のいずれかの状態である必要があります。

- リクエストが完了しました

- リクエストがクローズされました

- リクエストが取り消されました

- リクエストに失敗しました

- テンプレート承認が却下されました

- リクエスト承認が却下されました

- 操作承認が却下されました

- 必要に応じて、ソース・コネクタのクローン用のコネクタXMLファイルを作成します。

- すべてのスケジュール済タスクを無効化します。

11.8.5.2 アップグレード手順

コネクタのアップグレードは、次に示す2段階の手順です。

- ステージング環境でのウィザード・モード・アップグレード

- ステージングおよび本番環境でのサイレント・モード・アップグレード

ステージング環境でのウィザード・モード・アップグレード

注意:

ウィザード・モード・アップグレードの実行中に、アップグレード前の手順およびアップグレード後の手順を実行する必要があります。

ステージング・サーバーでウィザード・モード・アップグレードを実行するには、次の手順を実行します。

1. Oracle Identity Managerデータベースのバックアップを作成します。

2. Oracle Identity Managerメタデータ(MDS)のバックアップを作成します。Oracle Identity ManagerメタデータのMDSへのエクスポートおよびMDSからのインポートの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のユーザーが修正可能なメタデータ・ファイルの移行に関する説明を参照してください。

3. コネクタのアップグレード準備ユーティリティを実行します。

Oracle Identity Managerには検証スクリプトが用意されています。このスクリプトでは、次の機能が実行されます。

- アップグレードするコネクタがOracle Identity Managerで定義されているかどうかを判断します。
つまり、このスクリプトでは、コネクタがインストールまたは定義されたときにデータベースに格納されたコネクタXMLが、データベース内のコネクタ・オブジェクト定義と一致しているかどうかを確認します。コネクタXMLの一貫性の確認とは別に、コネクタXMLがOracle Identity Managerデータベースに存在するかどうかも確認します。存在しない場合は、アップグレードを続行する前にコネクタを定義するための対応するメッセージが表示されます。コネクタを定義する手順を実行するには、「コネクタの定義」を参照してください。

- 現在実行中のOracle Identity Managerスケジュール済タスクを識別します。
アップグレード手順を続行する前に、ソース・コネクタに属しているすべてのスケジュール済タスクを無効化する必要があります。また、アップグレード手順を続行する前に、その他のすべてのスケジュール済タスクを無効化することをお薦めします。

- コネクタのリソース・オブジェクトと関連付けられているアテステーション・タスクを識別します。
アップグレード手順を続行する前に、ソース・コネクタに属しているすべてのアテステーション・タスクを完了する必要があります。

- コネクタのリソース・オブジェクトと関連付けられているすべての保留リクエストを識別します。
アップグレード手順を続行する前に、ソース・コネクタに属しているすべての保留リクエストをクローズまたは完了する必要があります。

検証スクリプトを実行するには、次の手順を実行します。

1. Oracle Identity Managerが稼働していることを確認します。

2. コマンド・ウィンドウで、OIM_HOME/server/binディレクトリに移動します。

3. スクリプトを次のように実行します。

注意:

スクリプトを実行する前に、APP_SERVER、OIM_ORACLE_HOME、JAVA_HOME、MW_HOME、WL_HOMEおよびDOMAIN_HOMEを設定します。

Unixの場合:

sh ConnectorPreUpgradeUtil.sh

Windowsの場合:

ConnectorPreUpgradeUtil.bat

次の詳細を指定するように要求されます。

- Oracle Identity Manager管理者のユーザー名の入力: Oracle Identity Manger管理者のユーザー名を入力します。

- Oracle Identity Manager管理者のパスワードの入力: Oracle Identity Manger管理者のパスワードを入力します。

- t3 Oracle Identity ManagerサーバーのURLの入力: Oracle Identity ManagerサーバーのURLを入力します。例: t3://hostname:hostport。

- OIMデータベースのユーザー名の入力: Oracle Identity Managerデータベースのユーザー名を入力します。

- OIMデータベースのパスワードの入力: Oracle Identity Managerデータベースのパスワードを入力します。

- OIMデータベースのJDBC URLの入力: Oracle Identity ManagerデータベースのJDBC URLを入力します。例:
jdbc:oracle:thin:@HOST_NAME:DB_PORT:iam/ORACLE_SID

ログインに成功すると、次の詳細を指定するように要求されます。

- コネクタ名の入力: アップグレード前に検証するコネクタ名を入力します。

- コネクタのバージョンの入力: アップグレード前に検証するコネクタのバージョンを入力します。

Oracle Identity Managerデータベースに正常に接続すると、メッセージが表示されます。

スクリプトにより生成された出力は、コマンド・ウィンドウに表示されるとともに、OIM_HOME/server/bin/validateUtil.logファイルにも記録されます。

実行する必要があるアクションは、スクリプトにより生成されたメッセージに応じて異なります。

- データベース内のコネクタXMLがデータベースで定義されているコネクタ・オブジェクトと一貫性がないことがメッセージで示された場合は、コネクタ・ガイドのコネクタの定義に関する説明で示されている手順を実行します。

- メッセージでコネクタXMLがOracle Identity Managerデータベースに存在しないこと、したがってアップグレード前にコネクタを定義するように求められた場合は、アップグレードを続行する前に、コネクタ・ガイドのコネクタの定義に関する説明で示されている手順を実行します。

- メッセージに現在実行中のスケジュール済タスクの名前が含まれている場合は、すべてのスケジュール済タスクを無効化する必要があります。スケジュール済タスクを無効化するには、拡張管理で、「システム管理」をクリックし、スケジュール済ジョブを検索し、特定のスケジュール済ジョブをクリックしてから、「停止」をクリックします。

- メッセージに、コネクタのリソース・オブジェクトに関連付けられているアテステーション・タスクの一部が保留中となっているアテステーション・プロセスの名前が含まれている場合は、アップグレード・プロセスを続行する前に、アップグレードするコネクタに属しているすべてのアテステーション・タスクを完了する必要があります。

- コネクタのリソース・オブジェクトに関連付けられている保留リクエストの名前がメッセージに含まれている場合は、アップグレード・プロセスを続行する前に、アップグレードするコネクタに属しているすべての保留リクエストをクローズまたは完了する必要があります。

4. JARおよびリソース・バンドルを、指定したディレクトリにコピーします。
ターゲット・リリースに新しいまたは更新されたJARやリソース・バンドルも含まれている場合は、そのバージョンのjarをOracle Identity Managerにダウンロードし、Oracle Identity Managerに付属のjarのバージョンを確認し、これらのファイルを比較して、JARを宛先ディレクトリに手動でコピーします。オラクル社が出荷しているコネクタの場合、宛先ディレクトリの詳細はコネクタ・ガイドに示されています。詳細は、「コネクタ・コード・ファイルの変更」の項を参照してください。

5. コネクタのアップグレード機能を使用します。

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「システム管理」で、「コネクタの管理」をクリックします。

3. 「検索」機能を使用して、アップグレードするソース・コネクタを検索します。検索結果の表で、ソース・コネクタの「アップグレード」アイコンをクリックします。

4. 「ステップ1: 更新」ページで、「ウィザード・モードXMLファイル」フィールドにコネクタXMLを選択します。「参照」オプションを使用して、アップグレード先のコネクタXMLのターゲット・バージョンに移動します。ターゲット・コネクタXMLファイルのフルパスを入力することもできます。適切なターゲット・コネクタXMLを選択していることを確認します。アップグレード機能では、ターゲット・バージョンまたはその他のコネクタ・オブジェクト詳細に関してXMLを検証しません。「サイレント・モードXMLファイル」フィールドは空のままにします。
たとえば、Active Directoryコネクタをソース・バージョン9.1.1.7からターゲット・バージョン11.1.1.5.0にアップグレードする場合、ユーザーはウィザード・モード更新XMLフィールドに対して、Active Directory 11.1.1.5.0コネクタの構成XML (xmlフォルダの下にあります)を選択する必要があります。

注意:

すべてのICFベース型コネクタには、信頼できるソース・リコンシリエーションおよびターゲット・リソース・リコンシリエーションの両方に対してXMLファイルが1つのみ存在します。複数のXMLファイルがある場合、つまり信頼できるソース・リコンシリエーション用とターゲット・リソース・リコンシリエーション用に1つずつある場合は、ターゲット・リソース・リコンシリエーション用のXMLファイルを選択する必要があります。XMLファイル名については、コネクタ・ガイド(CI-XML)を参照してください。

図11-29に、コネクタ管理 - アップグレード・ウィザードの「アップグレードするコネクタXMLの選択」ページを示します。

図11-29 「アップグレードするコネクタXMLの選択」ページ

「図11-29 「アップグレードするコネクタXMLの選択」ページ」の説明

5. 「続行」をクリックします。

6. 「ステップ2: リソース・オブジェクトのマッピング」ページで、次のガイドラインを適用して、新しい各リソース・オブジェクトを既存のリソース・オブジェクトにマッピングします。各マッピングの作成後、「続行」をクリックします。

- 「新規のリソース・オブジェクト」フィールドに、ターゲット・リリースのリソース・オブジェクトの名前が示されます。「既存のリソース・オブジェクト」リストから、ターゲット・リリースのリソース・オブジェクトにマッピングする、ソース・リリースのリソース・オブジェクトを選択します。リソース・オブジェクト名が変更されている場合があります。リソース・オブジェクトを適切にマッピングするのはユーザーの責任です。

- 対応するリソース・オブジェクトがソース・リリースに存在しない新しいリソース・オブジェクトがある場合は、「既存のリソース・オブジェクト」リストから「なし」を選択します。これは、ターゲット・コネクタ・バージョンで、ソース・バージョンに存在しない新しいリソース・オブジェクトが追加された場合にのみ発生します。

注意:

オラクル社がリリースしたソース・コネクタから、オラクル社がリリースしたターゲット・コネクタにアップグレードする場合、作成する必要があるマッピングの詳細はコネクタ・ガイドを参照してください。

図11-30に、コネクタ管理 - アップグレード・ウィザードの「リソース・オブジェクトのマッピング」ページを示します。

図11-30 「リソース・オブジェクトのマッピング」ページ

「図11-30 「リソース・オブジェクトのマッピング」ページ」の説明

7. 「ステップ3: リソース・スコープの定義」ページに、作成したリソース・オブジェクトのマッピングのサマリーが表示されます。ソース・リリースに、対応するリソース・オブジェクトがターゲット・リリースに存在しないリソース・オブジェクトがある場合は、このページの2つ目の表に表示されます。これらのリソース・オブジェクトを削除する場合は、そのチェック・ボックスを選択します。リソース・オブジェクトが削除対象として選択されている場合、そのリソースはOracle Identity Managerデータベースから削除されません。対応するリソース・オブジェクトのOBJ_IS_SOFT_DELETEフラグが単に1に更新されるだけです。このリソースは、すべてのプロビジョニングおよびリコンシリエーションに対して使用可能なままになります。このフラグは将来使用されます。
図11-31に、コネクタ管理 - アップグレード・ウィザードの「リソース・スコープの定義」ページを示します。

図11-31 「リソース・スコープの定義」ページ

「図11-31 「リソース・スコープの定義」ページ」の説明

8. 「続行」をクリックします。

9. 「ステップ4: プロセス定義マッピングの定義」ページで、新しい各プロセス定義を既存のプロセス定義にマッピングします。リソース・オブジェクトのマッピングに関するステップfで示されているガイドラインに従います。各プロセス定義マッピングの作成後、「続行」をクリックします。ソースとターゲットでプロセス定義名に変更がある場合、それらを適切にマッピングするのはユーザーの責任です。指定したターゲット・プロセス定義の対応するソース・プロセス定義を選択すると、このページにソース・プロセス定義で使用可能なプロセス・タスクのリストが表示されます。ソース・プロセス定義からのプロセス・タスクを保持できます。ソース・プロセス定義に追加したカスタム・プロセス定義がある場合、それらを保持できます。デフォルト・プロセス・タスクに対してカスタマイズを行っている場合は、そのようなタスクを保持する前に、コネクタ・ガイドを参照して、新しいコネクタ・リリース・バージョンにおけるこのプロセス・タスクに変更がないことを確認する必要があります。特定のデフォルト・プロセス・タスクを保持するように選択した場合、このプロセス・タスクに対する変更(ある場合)が新しいコネクタ・リリースで失われる可能性があります。このプロセス・タスクがソース・コネクタの一部であり、ターゲット・コネクタでは必要ない場合、そのようなプロセス・タスクは保持しないでください。ユーザーがソース・コネクタのカスタマイズの一部として追加したタスクのみを保持することをお薦めします。
図11-32に、コネクタ管理 - アップグレード・ウィザードの「プロセス定義マッピングの定義」ページを示します。

図11-32 「プロセス定義マッピングの定義」ページ

「図11-32 「プロセス定義マッピングの定義」ページ」の説明

10. 「ステップ5: プロセス定義マッピングのサマリー」ページに、作成したプロセス定義マッピングのサマリーが表示されます。「続行」をクリックして続行します。
図11-33に、コネクタ管理 - アップグレード・ウィザードの「プロセス定義マッピングのサマリー」ページを示します。

図11-33 「プロセス定義マッピングのサマリー」ページ

「図11-33 「プロセス定義マッピングのサマリー」ページ」の説明

11. 「ステップ6: フォーム・マッピングの定義」ページで、新しい各フォームを既存のフォームにマッピングします。リソース・オブジェクトのマッピングに関するステップfで示されているガイドラインに従います。また、各フォームのマッピングを作成した後に、次のガイドラインを適用してから「続行」をクリックします。各ターゲットに対応するソース・プロセス・フォームが選択されると、このページには、ターゲット・プロセス・フォームでは使用できない、ソース・プロセス・フォーム属性のプロセス・フォーム・フィールドのリストが表示されます。これらの属性は、カスタマイズの一部としてソース・プロセスに追加されたか、またはソース・プロセス・フォームのデフォルト属性部分であったが、ターゲットでは必要ない可能性があります。カスタマイズの一部として追加された属性を選択できますが、保持する前に、デフォルト属性がターゲットで必要かどうかを検証する必要があります。
図11-34に、コネクタ管理 - アップグレード・ウィザードの「フォーム・マッピングの定義」ページを示します。

図11-34 「フォーム・マッピングの定義」ページ

「図11-34 「フォーム・マッピングの定義」ページ」の説明

12. 「ステップ7: フォーム・マッピングのサマリー」ページに、作成したフォーム・マッピングのサマリーが表示されます。「続行」をクリックして続行します。
図11-35に、コネクタ管理 - アップグレード・ウィザードの「フォーム・マッピングのサマリー」ページを示します。

図11-35 「フォーム・マッピングのサマリー」ページ

「図11-35 「フォーム・マッピングのサマリー」ページ」の説明

13. 「ステップ8: ITリソース・タイプ定義マッピングの定義」ページで、新しい各ITリソース定義を既存のITリソース定義にマッピングします。リソース・オブジェクトのマッピングに関するステップfで示されているガイドラインに従います。各ITリソース定義のマッピングを作成した後に、「続行」をクリックします。ITリソース・タイプ定義の名前に変更がある場合は、それらを適切にマッピングするのはユーザーの責任です。デフォルトのITリソース・タイプ定義名の変更を確認するには、コネクタ・ガイドを参照してください。ターゲットITリソース・タイプ定義が、対応するソースITリソース・タイプ定義にマッピングされている場合、このページには、ソース定義の一部であるがターゲット定義では使用できないITリソース・タイプ定義パラメータのリストが表示されます。これらは、カスタマイズの一部として追加されたか、またはソース定義の一部であったかのいずれかです。これらのパラメータがカスタマイズの一部として追加されている場合は、保持する必要があります。
図11-36に、コネクタ管理 - アップグレード・ウィザードの「ITリソース・タイプ定義マッピングの定義」ページを示します。

図11-36 「ITリソース・タイプ定義マッピングの定義」ページ

「図11-36 「ITリソース・タイプ定義マッピングの定義」ページ」の説明

14. 「ステップ9: ITリソース・タイプ定義マッピングのサマリー」ページに、作成したITリソース・タイプ定義マッピングのサマリーが表示されます。「続行」をクリックして続行します。
図11-37に、コネクタ管理 - アップグレード・ウィザードの「ITリソース・タイプ定義マッピングのサマリー」ページを示します。

図11-37 「ITリソース・タイプ定義マッピングのサマリー」ページ

「図11-37 「ITリソース・タイプ定義マッピングのサマリー」ページ」の説明

15. 「ステップ12: アップグレード前のステップ」ページで、コネクタの新しいリリース番号を「コネクタのバージョン」フィールドに入力します。「続行」をクリックして続行します。アップグレード・プロセスでは、コネクタ・リリース・バージョンで指定されたバージョンを検証しません。コネクタ・ガイドを参照して、正しいバージョンをここで指定する必要があります。
図11-38に、コネクタ管理 - アップグレード・ウィザードの「アップグレード前のステップ」ページを示します。

図11-38 「アップグレード前のステップ」ページ

「図11-38 「アップグレード前のステップ」ページ」の説明

16. 「ステップ13: アップグレードするコネクタ・オブジェクトの選択」ページ。
図11-39に、コネクタ管理 - アップグレード・ウィザードの「アップグレードするコネクタ・オブジェクトの選択」ページを示します。

図11-39 「アップグレードするコネクタ・オブジェクトの選択」ページ

「図11-39 「アップグレードするコネクタ・オブジェクトの選択」ページ」の説明

注意:

Microsoft Internet Explorerを使用してコネクタ管理 - アップグレード・ウィザードが開かれている場合、ステップ13のアップグレード対象のコネクタ・オブジェクトの選択ページのすべてのフィールドおよびボタンが表示されない可能性があります。このページには使用可能なスクロールバーがありません。したがって、ウィンドウを最大化してページ内のすべてのコントロールを表示してください。

17. 「コネクタのアップグレード・ステータス」ページで情報を確認した後に、「アップグレード」をクリックして、アップグレード・プロセスを開始します。
図11-40に、コネクタ管理 - アップグレード・ウィザードの「コネクタのアップグレード・ステータス」ページを示します。

図11-40 「コネクタのアップグレード・ステータス」ページ

「図11-40 「コネクタのアップグレード・ステータス」ページ」の説明

プロセス定義名および対応するプロセス・タスク名を書き留めます。これらのプロセス・タスクは、今後Oracle Identity Managerで使用されません。したがって、保留中および却下されたすべてのインスタンスを取り消す必要があり、それにはOIM_HOME/server/binにあるcancelProcessTaskユーティリティを使用します。このユーティリティは、プロセス定義名およびプロセス・タスク名を入力として受け取ります。各プロセス・タスクに対してこのユーティリティを実行する必要があり、実行すると、コネクタのアップグレード機能により次の方法でコネクタ・オブジェクト・マッピングが処理されます。

- 新しいコネクタ・オブジェクトが「なし」にマッピングされている場合は、新しいコネクタ・オブジェクトがデータベースに挿入されます。

- 新しいリソース・オブジェクト、プロセス定義またはフォームにより、マッピングされた古いリソース・オブジェクト、プロセス定義またはフォームが置換されます。

- プロセス・フォームの新しい名前は、古いプロセス・フォーム名に変換されます。

- 古い参照定義と新しい参照定義が同じ名前である場合は、それらの内容がマージされます。

- コネクタのアップグレード機能で、アップグレードされたコネクタ・バージョンでは使用されないオブジェクトを削除しようとすると、そのオブジェクトのインスタンスがOracle Identity Managerデータベースに存在する場合は例外がスローされます。そのようなオブジェクトは、Oracle Identity Managerで使用されないように、名前を変更してソフト削除します。

6. 次の手順を実行します。

1. 次のオブジェクトのフォーム名およびフォーム・フィールド列名参照を変更します。

注意:

オラクル社がリリースしたコネクタの場合は、加える変更の詳細をコネクタ・ガイドで参照してください。

- 参照定義

- プロセス・タスク・リテラル

- アダプタ・リテラル

2. すべてのデフォルト・アダプタが上書きされます。したがって、顧客がなんらかのカスタマイズを行っている場合、それらの変更をコネクタのアップグレード後に適用する必要があります。

3. アップグレード後、既存の参照定義と新しい参照定義の内容がマージされます。これらの参照定義で、不要なエントリを手動で削除する必要があります。

7. FVCユーティリティを使用して、コネクタにより作成された既存のユーザー・データを更新します。
FVCユーティリティの使用方法の詳細は、Oracle Fusion Middleware Oracle Identity Manager管理者ガイドのフォーム・バージョン制御ユーティリティの使用方法に関する説明を参照してください。

8. プロビジョニングおよびリコンシリエーションを含む、ターゲットに固有のすべてのユースケースが、正常に動作していることを確認します。

9. XMLファイルを生成します。XMLファイルには、ソース・リリースからターゲット・リリースへのオブジェクト定義変更の詳細が含まれています。
このファイルを生成するには、次の手順を実行します。

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「システム管理」で、「コネクタの管理」をクリックします。

3. 「検索」機能を使用して、コネクタを検索します。

4. 検索結果の表で、コネクタの「サイレント・アップグレードXMLのエクスポート」アイコンをクリックします。

5. ファイルを保存する場所を指定します。

注意:

アップグレードが失敗した場合は、次の手順を実行します。

1. 例外について調べ、適切なアクションを実行します。

2. Oracle Identity ManagerデータベースおよびMDSをリストアします。

3. アップグレードを続行します。

ステージングおよび本番環境でのサイレント・モード・アップグレード

注意:

ウィザード・モード・アップグレードの実行中に、アップグレード前の手順およびアップグレード後の手順を実行する必要があります。

注意:

XMLファイルをインポートする前に、本番サーバー上のソース・コネクタがステージング・サーバー上のソース・コネクタと同じであることを確認します。ステージング・サーバー上と本番サーバー上のソース・コネクタが異なると、XMLファイルが本番サーバーで正しくインポートされません。

本番サーバーでサイレント・モード・アップグレードを実行するには、次の手順を実行します。

1. ファイルをインポートするOracle Identity Managerインストールのホスト・コンピュータに、XMLファイルをコピーします。または、Oracle Identity Managerホスト・コンピュータからアクセス可能な別のコンピュータ上の共有フォルダにXMLファイルをコピーします。

2. Oracle Identity System Administrationにログインします。

3. 左ペインの「システム管理」で、「コネクタの管理」をクリックします。

4. 「検索」機能を使用して、アップグレードするソース・コネクタを検索します。

5. 検索結果の表で、ソース・コネクタの「アップグレード」アイコンをクリックします。

6. ユーティリティの「ステップ1: アップグレードするコネクタXMLの選択」ページで、ソース・リリースのコネクタXMLファイルのフルパスおよび名前をサイレント・モード・アップグレードのXMLフィールドに入力します。「参照」オプションを使用して、XMLファイルに移動できます。

注意:

すべてのICFベース型コネクタには、信頼できるソース・リコンシリエーションおよびターゲット・リソース・リコンシリエーションの両方に対してXMLファイルが1つのみ存在します。複数のXMLファイルがある場合、つまり信頼できるソース・リコンシリエーション用とターゲット・リソース・リコンシリエーション用に1つずつある場合は、ターゲット・リソース・リコンシリエーション用のXMLファイルを選択する必要があります。XMLファイル名については、コネクタ・ガイド(CI-XML)を参照してください。

図11-41に、コネクタ管理 - アップグレード・ウィザードの「アップグレードするコネクタXMLの選択」ページを示します。

図11-41 「アップグレードするコネクタXMLの選択」ページ

「図11-41 「アップグレードするコネクタXMLの選択」ページ」の説明

7. 「続行」をクリックします。

8. 「ステップ12: アップグレード前のステップ」ページで、「続行」をクリックして続行します。
図11-42に、コネクタ管理 - アップグレード・ウィザードの「アップグレード前のステップ」ページを示します。

図11-42 「アップグレード前のステップ」ページ

「図11-42 「アップグレード前のステップ」ページ」の説明

9. 「ステップ13: アップグレードするコネクタ・オブジェクトの選択」ページで、アップグレード用に選択したコネクタ・オブジェクトのサマリーを確認します。
図11-43に、コネクタ管理 - アップグレード・ウィザードの「アップグレードするコネクタ・オブジェクトの選択」ページを示します。

図11-43 「アップグレードするコネクタ・オブジェクトの選択」ページ

「図11-43 「アップグレードするコネクタ・オブジェクトの選択」ページ」の説明

10. このページで情報を確認した後に、「アップグレード」をクリックして、アップグレード・プロセスを開始します。
「コネクタのアップグレード・ステータス」ページには、図11-44に示すように、成功したアップグレード終了時のステータスが表示されます。

図11-44 「コネクタのアップグレード・ステータス」ページ

「図11-44 「コネクタのアップグレード・ステータス」ページ」の説明

11.8.5.3 アップグレード後の手順

次の項では、アップグレード操作後に実行する必要がある手順について説明します。

- コネクタ・コード・ファイルの変更

- PurgeCacheユーティリティの実行

- cancelProcessTaskユーティリティの実行

- FVCユーティリティの実行

- アクセス・ポリシーの更新

- 承認ポリシーの更新

- ITリソースの構成

- スケジュール済タスクの構成

- その他のアップグレード後の手順

コネクタ・コード・ファイルの変更

アップグレード操作中、JARファイルおよびスクリプトが含まれているコネクタ・コード・ファイルを、指定したディレクトリにコピーする必要があります。これを行うには、次のようにします。

1. UpdateJarsユーティリティ(OIM_HOME/server/binにあります)を使用して、コネクタ配布バンドルのlibフォルダにあるすべてのコネクタ固有jar (共通ライブラリ・ファイルのCommon.jar、FAMILYCommon.jarおよびicf-Common.jarを除く)を手動でOracle Identity Managerデータベースにアップロードします。UpdateJarsユーティリティを実行する前に、APP_SERVER、OIM_ORACLE_HOME、JAVA_HOME、MW_HOME、WL_HOMEおよびDOMAIN_HOMEを設定します。

2. DownloadJarユーティリティ(OIM_HOME/server/binにあります)を使用して、共通ライブラリ(Common.jar、FAMILYCommon.jarおよびicf-Common.jar)をOracle Identity Managerデータベースからダウンロードします。

3. ダウンロードしたライブラリからMANIFEST.MFを抽出します。このバージョンのMANIFEST.MFを、ICFベース型配布バンドルの一部として使用可能な共通ライブラリのMANIFEST.MFのバージョンと比較します。配布ライブラリのバージョンが、Oracle Identity Managerデータベースからダウンロードしたバージョンよりも上の場合は、UploadJarユーティリティ(OIM_HOME/server/binにあります)を使用して、共通ライブラリをOracle Identity Managerデータベースにアップロードします。

PurgeCacheユーティリティの実行

アップグレードの実行時、パージが必要な失効データがキャッシュに存在する場合があります。PurgeCacheユーティリティはキャッシュをパージします。キャッシュのパージの詳細は、『Oracle Fusion Middlewareパフォーマンスおよびチューニング・ガイド』を参照してください。

注意:

このユーティリティを実行する前に、APP_SERVER、OIM_ORACLE_HOME、JAVA_HOME、MW_HOME、WL_HOME、およびDOMAIN_HOMEを設定します。

cancelProcessTaskユーティリティの実行

このユーティリティを使用して、プロセス・タスクの保留中および却下されたインスタンスを取り消します。プロセス定義のプロセス・タスクがソース・コネクタに存在し、ターゲットでは必要ない場合、そのプロセス・タスクはアップグレード・プロセスでソフト削除されます。Oracle Identity Managerでは、そのようなソフト削除されたタスクは、アップグレード後のプロビジョニング・ワークフローの一部として使用されることはありません。そのような削除されたプロセス・タスクのインスタンスで、保留中および却下ステータスのものはすべて取り消す必要があります。

このユーティリティは、OIM_HOME/server/binにあります。このユーティリティは、プロセス・タスク名および対応するプロセス定義名を入力として受け取ります。

注意:

このユーティリティを実行する前に、APP_SERVER、OIM_ORACLE_HOME、JAVA_HOME、MW_HOME、WL_HOME、およびDOMAIN_HOMEを設定します。

FVCユーティリティの実行

コネクタのアップグレード・プロセスでは、新しいプロセス・フォーム・バージョンが作成されます。ソース・コネクタを使用して作成されたアカウント・データには、ソース・コネクタ・プロセス・フォーム・バージョンとのアソシエーションがあります。したがって、アップグレード後、FVCユーティリティを実行して、アップグレード・プロセスで作成された新しいプロセス・フォーム・バージョンを更新する必要があります。この他に、FVCでは、古いフォーム・フィールド・データを新しいフォーム・フィールドにコピーする機能を提供します。FVCユーティリティを使用して、ソース・リリースのプロセス・フォーム・データをターゲット・リリースのプロセス・フォームにコピーできます。ターゲット・リリースのプロセス・フォームに加えた変更と一貫性を持たせるように、リソース・データに加える変更を指定します。このユーティリティの使用方法の詳細は、Oracle Identity Managerツール・リファレンスを参照してください。

アクセス・ポリシーの更新

Oracle Identity Managerでは、アクセス・ポリシーがリソース・オブジェクトと関連付けられています。アクセス・ポリシーの作成中に、ユーザーがプロセス・フォーム属性にデータを指定している場合があります。コネクタ・アップグレードの一環としてフォーム属性に変更がある場合は、アクセス・ポリシーを編集して、既存のフィールドと新しいフィールドのデータを確認する必要があります。たとえば、コネクタ・アップグレードによって新しいプロセス・フォーム属性が追加された場合は、アクセス・ポリシーを編集して新しい属性のデータを指定できます。

承認ポリシーの更新

Oracle Identity Managerでは、承認ポリシーがリソース・オブジェクトと関連付けられています。ポリシーの作成中に、ユーザーがプロセス・フォーム属性にデータを指定している場合があります。コネクタ・アップグレードの一環としてリソース・オブジェクト名に変更がある場合、ユーザーはそのリソースに関連付けられているすべての承認ポリシーを確認して、リソース名を新しいリソース名に変更する必要があります。

ITリソースの構成

アップグレード後、ITリソース・インスタンスに適切な値が設定されていることを確認します。

スケジュール済タスクの構成

ターゲット・リリースのスケジュール済タスクの属性に値を設定します。オラクル社がリリースしたターゲット・コネクタの場合は、スケジュール済タスク属性の詳細をコネクタ・ガイドで参照してください。

ITリソース・タイプ定義パラメータに変更がある場合のアダプタ更新

ITリソース・タイプ定義パラメータの名前に変更がある場合は、そのパラメータ変更に応じてカスタム・アダプタを更新する必要があります。これを行うには、次のようにします。

1. Design Consoleにログインします。

2. アダプタ・ファクトリを使用してカスタム・アダプタを開きます。

3. 図11-45に示すように、変数リストに移動し、タイプ「ITリソース」の変数があるかどうかを確認します。

図11-45 「アダプタ・ファクトリ」フォームの変数リスト・タブ

「図11-45 「アダプタ・ファクトリ」フォームの変数リスト・タブ」の説明

4. ITリソースの変数がある場合は、タスク詳細に移動し、ITリソース・パラメータ・マッピングのマッピングを新しいターゲット・フィールドに変更します(パラメータが変更または削除されている場合)。
図11-46に、ITリソース・パラメータ・マッピングのマッピングを新しいターゲット・フィールドに変更できるアダプタ・ファクトリ・タスク・パラメータの編集ダイアログ・ボックスを示します。

図11-46 アダプタ・ファクトリ・タスク・パラメータの編集ダイアログ・ボックス

「図11-46 アダプタ・ファクトリ・タスク・パラメータの編集ダイアログ・ボックス」の説明

5. アダプタがITリソース・タイプ定義パラメータにマッピングされている場合は、マッピングされているパラメータが削除されていないかどうかを確認する必要があります。パラメータが削除されている場合は、適切なパラメータに再マッピングする必要があります。
アダプタのマッピングを確認するには、次の手順を実行します。

1. 次のようにして、プロセス・タスク・アダプタのマッピングを確認します。
i) Design Consoleにログインします。

ii) 「プロセス定義」に移動します。

iii) 図11-47に示すように、タスクをクリックし、次に統合タブをクリックします。

図11-47 タスクの編集ダイアログ・ボックスの統合タブ

「図11-47 タスクの編集ダイアログ・ボックスの統合タブ」の説明

iv) アダプタ変数が、削除または変更されたフォーム属性にマッピングされているかどうかを確認します。該当する場合は、そのような属性をアダプタ変数に再マッピングします。コネクタのすべてのプロセス定義のすべてのプロセス・タスクに対してこのステップを繰り返します。

図11-48に、フォーム属性へのアダプタ変数マッピングを表示および編集できる変数のデータ・マッピングの編集ダイアログ・ボックスを示します。

図11-48 変数のデータ・マッピングの編集ダイアログ・ボックス

「図11-48 変数のデータ・マッピングの編集ダイアログ・ボックス」の説明

2. 次のようにして、アダプタ・マッピングを事前移入します。
i) Design Consoleにログインします。

ii) 図11-49に示すように、「フォーム・デザイナ」→事前移入アダプタに移動します。

図11-49 事前移入アダプタ・ダイアログ・ボックス

「図11-49 事前移入アダプタ・ダイアログ・ボックス」の説明

iii) 「マップ」をクリックしてアダプタ変数をマッピングし、いずれかのフィールドがプロセス・データ属性にマッピングされているかどうかを確認します。マッピングされている場合は、プロセス・フォーム属性がアップグレードの一環として削除されていないことを確認します。プロセス・フォーム属性が削除されている場合は、適切なフォーム属性データに再マッピングします。

図11-50に、アダプタ変数のマッピング・ダイアログ・ボックスを示します。

図11-50 アダプタ変数のマッピング・ダイアログ・ボックス

「図11-50 アダプタ変数のマッピング・ダイアログ・ボックス」の説明

注意:

コネクタのすべてのプロセス・フォームのすべての事前移入フィールドに対してこの手順を繰り返します。エンティティ・アダプタがある場合は、データ・オブジェクト・マネージャでこれらのアダプタのアダプタ変数マッピングを確認します。

その他のアップグレード後の手順

次のアップグレード後の手順を実行します。

1. 次のオブジェクトのフォーム名およびフォーム・フィールド列名参照を変更します。

注意:

オラクル社がリリースしたコネクタの場合は、加える変更の詳細をコネクタ・ガイドで参照してください。

- 参照定義

- プロセス・タスク・リテラル

- アダプタ・リテラル

2. リソース・オブジェクトでのリコンシリエーション・フィールドおよびプロセス定義での対応するリコンシリエーション・フォーム・フィールド・マッピングをすべて確認します。古いデフォルト・リコンシリエーション・フィールドが存在する場合、これらはアップグレードの一環として保持されないプロセス・フォーム・フィールドにマッピングされているため削除します。

3. アップグレード・プロセスですべてのカスタマイズ(リソース・オブジェクト、プロセス定義およびプロセス・フォームに対するカスタマイズなど)が保持されていることを確認します。

4. アップグレード後、既存の参照定義と新しい参照定義の内容がマージされます。これらの参照定義で、不要なエントリを手動で削除する必要があります。

5. 参照リコンシリエーションを再度実行します。古い参照リコンシリエーション・データは、アップグレード後の参照で使用できます。参照値の形式が変更された場合は、参照の再実行が必要です。参照リコンシリエーションの詳細は、特定のコネクタ・ガイドを参照してください。

6. 統計を再計算し、アップグレード・プロセスにより削除または無効化された索引およびその他のデータベース・オブジェクトを再作成します。詳細は、Oracle Identity Managerデータベースのガイドを参照してください。

7. コネクタに関連するアダプタ・ステータスを確認します。アダプタがコンパイルされていない場合は、コンパイルする必要があります。

8. カスタム・パラメータがアップグレード後に使用できることを確認します。スケジュール済タスクのカスタム・パラメータは、アップグレード・プロセスの一環として保持されます。パラメータがアップグレード後に使用できない場合は、スケジュール済タスクを変更して、パラメータを追加します。

9. リソース・オブジェクト名に変更があった場合、ユーザーは、そのリソースに関連付けられているすべての承認ポリシーを確認して、リソース名を新しいリソース名に変更する必要があります。

10. コネクタに付属の新しいリクエスト・データセットに変更があるかどうかを確認します。該当する場合、リソースの既存のリクエスト・データセットをMDSから削除します。すべてのカスタマイズの新しいリクエスト・データセットを変更し、この新しいデータセットをMDSにインポートします。MDSへのデータのインポートとMDSからのデータのエクスポートの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のユーザーが修正可能なメタデータ・ファイルの移行に関する説明を参照してください。

11.8.6 9.xコネクタのバージョンからICFベース型コネクタへのアップグレード手順

9.xコネクタでは、コネクタを構成するオブジェクトの定義をインポートするためにデプロイメント・マネージャが使用されますが、ICFベース型コネクタでは、コネクタのインポートにコネクタ・インストーラを使用するLCMが新機能として提供されています。LCMでは、コネクタをインストールしたり管理する場合にデプロイメント・マネージャより広範囲で充実した機能が提供されているため、Oracle Identity Manager 11gコネクタのインストールや管理についてはコネクタ・インストーラのみを使用することをお薦めします。

9xコネクタのバージョンをICFベース型コネクタにアップグレードするには:

1. Common.jarファイルを除き、9xコネクタに関連する既存のすべてのjarファイル(Javatasks、ScheduleTask、ThirdPartyのjarなど)を削除します。

2. Common.jarをダウンロードし、そのMANIFEST.MFを抽出します。このバージョンのMANIFEST.MFを、ICFベース型コネクタ配布バンドルの一部として使用可能なCommon.jarのMANIFEST.MFのバージョンと比較します。UploadJarsユーティリティを使用して、Oracle Identity Managerデータベース内のより高いバージョンのCommon.jarを保持またはアップロードします。

3. Oracle Identity Managerデータベース内のUploadJarsユーティリティ(OIM_HOME/server/binにあります)を使用して、ICFベース型コネクタの配布バンドルのlibフォルダにあるすべてのjarを手動でアップロードします。

4. 一時フォルダ内の(org.identityconnectors.*というネーミング規則の)コネクタ・バンドルを展開します。同じ一時フォルダにlibという名前のフォルダを作成し、サード・パーティのすべてのライブラリをそのフォルダにコピーします。

5. 展開された前述のバンドルのMANIFEST.MFを保持します。

6. 同じ名前、および保持された同じMANIFEST.MFを使用して、コネクタを再パッケージします。これで、再パッケージ化されたコネクタ・バンドルにもサード・パーティのライブラリが含まれるようになります。

7. Oracle Identity Managerデータベース内の再パッケージ済コネクタをjarタイプICFBundleとしてアップロードします。

8. ステップ4で作成した一時フォルダを削除します。

9. アップグレード・プロセスに従って、コネクタをアップグレードします。

10. キャッシュをパージするか、またはサーバーを再起動します。

11.9 コネクタのアンインストール

警告:

特に、このユーティリティは開発環境で使用するために作成されます。本番環境では使用しないでください。このユーティリティは、データをOracle Identity Managerデータベースから直接削除するものであり、開発環境やステージング環境での使用のみを想定しているからです。

コネクタのアンインストール・ユーティリティは、アンインストール対象として選択したコネクタ関連データをOracle Identity Managerデータベースから削除します。コネクタのリソース・オブジェクトに関連付けられているすべてのアカウント関連データを削除します。

このユーティリティで削除されないものを次に示します。

- ターゲット・システムの実際のユーザー・アカウント

- Oracle Identity Managerのアイデンティティ(ただし、ユーザーは信頼できるリコンシリエーションにより信頼できるソースからOracle Identity Managerに取り込まれる)

- 監査データ

- アーカイブ・データ

コネクタのアンインストール・ユーティリティでは、オブジェクト依存性が存在するかどうかの検証およびユーザーへの通知は行われません。たとえば、Microsoft Active Directory(AD)コネクタのアンインストール時、依存コネクタ(Microsoft Exchangeコネクタなど)がすでに存在するかどうかは検証しません。コネクタをアンインストールする前に、そのコネクタに依存する他のコネクタが存在するかどうかを確認する必要があります。存在する場合は、コネクタをアンインストールすると、依存コネクタの機能に影響を与えるのでアンインストールしないでください。ベース・コネクタをアンインストールする前に、すべての依存コネクタをアンインストールする必要があります。

この項の内容は次のとおりです。

- コネクタのアンインストール・ユーティリティでサポートされるユースケース

- コネクタのアンインストール・プロセスの概要

- コネクタのアンインストール・ユーティリティの設定

- コネクタのアンインストールおよびコネクタ・オブジェクトの削除

11.9.1 コネクタのアンインストール・ユーティリティでサポートされるユースケース

次のユースケースがコネクタのアンインストール・ユーティリティでサポートされています。

- ターゲット・システムが廃止され、そのターゲット・システムとOracle Identity Managerとのリンクに使用していたコネクタをアンインストールする必要があります。

- 最新リリースのコネクタに直接アップグレードするのではなく、以前のリリースをアンインストールしてから、最新リリースのフレッシュ・インストールを実行する必要があります。

- 個々のコネクタ・オブジェクトをOracle Identity Managerデータベースから削除する必要があります。たとえば、ターゲット・システムで定義した「インターン」ユーザー・タイプを表すリソース・オブジェクトをOracle Identity Managerで作成したとします。このユーザー・タイプがターゲット・システムから削除されたので、このリソース・オブジェクトをOracle Identity Managerから削除する必要があります。
コネクタのアンインストール・ユーティリティでは、次のコネクタ・アーティファクトを個別に削除できます。

- アダプタ

- 参照定義

- リソース・オブジェクト

- スケジュール済タスク

11.9.2 コネクタのアンインストール・プロセスの概要

コネクタのアンインストール・ユーティリティを実行すると、このユーティリティは、コネクタのリソース・オブジェクトを削除する前に、次の手順を実行します。

1. コネクタのリソース・オブジェクトに関連付けられているアクセス・ポリシーが存在するかどうかを確認します。アクセス・ポリシーが存在する場合、このユーティリティは、リソース・オブジェクトに関連付けられているアクセス・ポリシーのリストを表示し、アクセス・ポリシーを変更するように要求し、データを削除せずに終了します。アクセス・ポリシーを変更して、リソース・オブジェクトをアクセス・ポリシーから削除する必要があります。アクセス・ポリシーが1つのリソース・オブジェクトのみに関連付けられている場合は、ダミー・リソース・オブジェクトを作成し、それをアクセス・ポリシーに割り当ててから、アクセス・ポリシーからのリソース・オブジェクトの削除に進みます。

2. このリソース・オブジェクトに関連付けられているすべてのリクエストをクローズします。

3. リソース・オブジェクトに関連付けられているリクエストの作成時に使用されたリクエスト・テンプレートのリストを表示します。リクエスト・テンプレートは、本来汎用的であるため、このユーティリティはリクエスト・テンプレートを削除しません。リソース・オブジェクトがOracle Identity Managerから削除されるため、これらのテンプレートを削除または変更するように促すメッセージが表示されます。リクエスト・テンプレートがリソース・オブジェクトに関連付けられている場合は、リクエスト・テンプレートを変更して、リソース名を削除する必要があります。リクエスト・テンプレートがそのリソース・オブジェクト専用に作成されている場合は、そのリクエスト・テンプレートを削除できます。

4. リソース・オブジェクトに関連付けられているアテステーション・プロセスのリストを表示します。アテステーション・プロセスは本来汎用的であるため、このユーティリティはアテステーション・プロセスをOracle Identity Managerから削除しません。リソース・オブジェクトがOracle Identity Managerから削除されるため、これらのプロセスを変更するように要求されます。

5. リソース・オブジェクトに関連付けられている、操作レベルの承認ポリシーのみを削除します。このユーティリティは、リソース・オブジェクトに関連付けられていない、リクエスト・レベルの承認ポリシーおよびその他の操作レベルの承認ポリシーを削除または変更しません。

コネクタを構成する次のオブジェクトが、Oracle Identity Managerデータベースから削除されます。

1. リソース・オブジェクト、およびリソース・オブジェクトに関連するオブジェクト

1. 権限割当て、権限割当て履歴および権限データ。

2. リソース・オブジェクトにリンクされているプロビジョニング・プロセスに関連付けられているタスクおよびタスク履歴。

3. リソース・オブジェクトに関連付けられているプロセス・フォーム。

4. リソース・オブジェクトに関連付けられているプロセス・インスタンスおよびオブジェクト・インスタンス。

5. リソース・オブジェクトに関連付けられているリコンシリエーション・イベントおよびデータ。

6. リソース・オブジェクト用のアテステーション・イベント・データ。

7. リソース・オブジェクトに関連付けられているリクエストおよびリクエスト・データ。

8. リソース・オブジェクトの電子メール定義。

9. リソース・オブジェクトに関連付けられている権限。

10. リソース・オブジェクトに関連付けられている標準ルール。

11. リソース・オブジェクトのリコンシリエーション所有者一致ルール。

12. リソース・オブジェクトのリコンシリエーション・アクション・ルール。

13. リソース・オブジェクトに対応するステータス・コード。

14. リソース・オブジェクトのリコンシリエーション・プロセス・マッピング。

15. リソース・オブジェクトのリコンシリエーション・オブジェクト・フィールド。

16. リソース・オブジェクトのフォーム・マッピングを処理するリクエスト・データセット。

17. リソース・オブジェクトの親フォームと子フォーム用のオブジェクト依存性表。

18. 組織のリソース・オブジェクト。

19. リソース・オブジェクトに関連付けられているプロセス決定ルール。

20. リソース・オブジェクトに関連付けられているパスワード・ポリシー・ルール。

21. プロビジョニング・プロセスにリンクされているフォームで定義されたITリソース・タイプに関連付けられているITリソース・インスタンス。デフォルトのITリソース・インスタンスがある場合(Remote ManagerのITリソース・インスタンスなど)、それらは削除されません。

22. プロセス・インスタンスおよびリソース・オブジェクト・インスタンス。

23. プロビジョニング・プロセスに関連付けられているタスク。

24. リソース・オブジェクトに関連付けられている実際のオブジェクトとプロセス、親表と子表。

2. スケジュール済タスクおよびスケジュール済ジョブ

3. アダプタ/イベント・ハンドラ

4. 参照定義

11.9.3 コネクタのアンインストール・ユーティリティの設定

コネクタのアンインストール・ユーティリティを設定するには、次の手順を実行します。

- コネクタのアンインストール・ユーティリティを構成するファイルは、OIM_HOME/server/binディレクトリにあります。これらのファイルは次のとおりです。

- ConnectorUninstall.properties

- uninstallConnector.bat

- uninstallConnector.sh

11.9.4 コネクタのアンインストールおよびコネクタ・オブジェクトの削除

要件に応じて、コネクタのアンインストール・ユーティリティを使用して次のタスクを実行できます。

- コネクタのアンインストール

- アダプタ、参照定義、リソース・オブジェクトおよびスケジュール済タスクの削除

次の項では、ConnectorUninstallスクリプトを使用してOracle Identity Managerデータベースからコネクタ・オブジェクトを削除する詳細な手順について説明します。前の各項では、この項へのリンクが提供されています。

- コネクタおよびコネクタ・オブジェクトをアンインストールするスクリプトの実行

11.9.4.1 コネクタのアンインストール

注意:

Oracle Identity Managerがアイドル状態で、いずれの操作にも使用できないようにしておくことをお薦めします。次のことを確認する必要があります。

- コネクタまたはコネクタ・オブジェクトのアンインストールの実行中、Oracle Identity Managerでいずれの操作も行われていないこと。

- すべてのスケジュール済タスクが無効化され、処理が保留中の非同期メッセージ(監査メッセージ、オフライン・プロビジョニング・メッセージ、オフライン・タスク・メッセージ、今後のスケジュール済リクエストなど)が存在しないこと。

ConnectorUninstallスクリプトを使用して、コネクタをアンインストールできます。このスクリプトを実行すると、コネクタの一部を形成しているすべてのオブジェクト、およびコネクタにより収集されたすべてのリソース・データが、データベースから削除されます。

注意:

アンインストール・ユーティリティを実行する前に:

- アンインストール・ユーティリティは本番データベースでは使用できません。

- すでにアーカイブされているデータは削除できません。

- アンインストール・ユーティリティが正常に完了しなかった場合のリストアに役立つため、Oracle Identity ManagerスキーマおよびMDSバックアップが最新であることを確認する必要があります。

- UNDO表領域が適切にサイズ指定されていることを確認する必要があります。これは、開発/テスト環境で大量のデータを削除する場合に必須です。

このガイドで前述しているように、コネクタの定義時に、Oracle Identity Managerデータベースにコネクタのエントリが作成されます。このエントリには、コネクタXMLの内容も含まれています。コネクタのアンインストールを選択した場合、このユーティリティは、コネクタXMLの内容を解析して、削除するコネクタ・オブジェクトを識別します。

警告:

- コネクタのアンインストールでは、コネクタのインストール時または定義時に作成されたコネクタXMLからオブジェクト情報を収集します。このコネクタに関係しないその他のオブジェクトがコネクタの定義時に追加されている場合、アンインストールによりそのオブジェクトも削除されます。たとえば、ADコネクタの定義時、ユーザーがシステム参照または他のコネクタに関連する参照を追加した場合、アンインストールによりその参照が削除されます。

- コネクタを定義するときは、そのコネクタに固有のオブジェクトのみを追加してください。

手順については、「コネクタおよびコネクタ・オブジェクトをアンインストールするスクリプトの実行」を参照してください。

11.9.4.2 アダプタ、参照定義、リソース・オブジェクトおよびスケジュール済タスクの削除

注意:

Oracle Identity Managerがアイドル状態で、いずれの操作にも使用できないようにしておくことをお薦めします。次のことを確認する必要があります。

- コネクタまたはコネクタ・オブジェクトのアンインストールの実行中、Oracle Identity Managerでいずれの操作も行われていないこと。

- すべてのスケジュール済タスクが無効化され、処理が保留中の非同期メッセージ(監査メッセージ、オフライン・プロビジョニング・メッセージ、オフライン・タスク・メッセージ、今後のスケジュール済リクエストなど)が存在しないこと。

ConnectorUninstallスクリプトを使用して、アダプタ、参照定義、リソース・オブジェクトまたはスケジュール済タスクを削除できます。指定したオブジェクトのみがOracle Identity Managerから削除されます。

11.9.4.3 コネクタおよびコネクタ・オブジェクトをアンインストールするスクリプトの実行

コネクタおよびコネクタ・オブジェクトをアンインストールするスクリプトの実行には、次の手順が含まれます。

- アンインストール前

- アンインストール

- アンインストール後

11.9.4.3.1 アンインストール前

注意:

アンインストールを実行する前に、すべてのスケジュール済タスクが無効化されていることを確認する必要があります。

コネクタをアンインストールする前に、次を実行する必要があります。

1. アンインストール中に問題が発生した場合にデータをリストアできるように、Oracle Identity Managerデータベースのバックアップを作成します。データベースのバックアップ作成の詳細は、Oracle Identity Managerデータベースのドキュメントを参照してください。

2. Oracle Identity Managerメタデータ(MDS)のバックアップを作成します。

3. アンインストール・ユーティリティが完了するまで、Oracle Identity Managerでいずれの操作も行われないようにします。Oracle Identity ManagerおよびSOAサーバーが、起動され、実行中である必要があります。

4. すべてのJMSメッセージが処理されていることを確認します。

11.9.4.3.2 アンインストール

コネクタをアンインストールするConnectorUninstallスクリプトを実行するには、次の手順を実行します。

1. このスクリプトが使用するpropertiesファイルに値を設定します。

注意:

ConnectorNameおよびReleaseとともにObjectTypeとObjectValuesを指定している場合、ObjectValuesの削除はユーティリティによって実行され、コネクタ情報はスキップされます。

ConnectorUninstall.propertiesファイルは、OIM_HOME/server/binにあります。このファイルには、コネクタ・オブジェクトを削除するスクリプトで使用される情報が含まれています。

propertiesファイルをテキスト・エディタで開き、次のプロパティの値を設定します。

- DatabaseURL: Oracle Identity ManagerデータベースのJDBC URLを次の形式で入力します。

jdbc:oracle:thin:@HOST_NAME:DATABASE_PORT:DATABASE_NAME/ORACLE_SID

For example: jdbc:oracle:thin:@localhost:1521:orcl

- DBUserName: Oracle Identity Managerデータベースのユーザー名を入力します。

- DBType: データベースのタイプを指定します。

- LogLevel: ログ・レベルとしてDEBUG、WARN、INFOまたはERRORのいずれかを入力します。

- Location: アンインストール・ユーティリティが生成するすべてのログ・ファイルを格納するディレクトリの場所を入力します。
アンインストール・ユーティリティが正常に完了すると、ConnectorUninstall.logファイルとともに<ResourceObject>.logファイルが生成されます。

アンインストール・ユーティリティが失敗すると、ConnectorUninstall.logファイルとともにConnectorUninstall_Error.logファイルが生成されます。

注意:

アンインストール・ユーティリティがエラーで失敗した場合は、ConnectorUninstall.logおよびConnectorUninstall_Error.logを確認して、適切なアクションを実行してください。その後、アンインストール・ユーティリティを再度実行します。

たとえば、ActiveDirectoryコネクタのアンインストール・ユーティリティが成功すると、次のログが生成されます。

- ConnectorUninstall.log

- AD User.log

- AD Group.log

- AD Oraganization Unit.log

- AD User Trusted.log

ActiveDirectoryコネクタのアンインストール・ユーティリティが失敗すると、次のログが生成されます。

- ConnectorUninstall.log

- ConnectorUninstall_Error.log

- ConnectorName: このプロパティに設定する値は要件に応じて異なります。特定のコネクタを削除する場合は、そのコネクタの名前を入力します。入力した名前は、コネクタの管理機能により表示される検索結果に示される名前と同じである必要があります。たとえば、Microsoft Active Directoryコネクタを削除する場合は、Active Directoryと入力します。

- Release: このプロパティに設定する値は要件に応じて異なります。特定のコネクタを削除する場合は、そのコネクタのリリース番号を入力します。入力したリリース番号は、コネクタの管理機能により表示される検索結果に示されるリリース番号と同じである必要があります。たとえば、Microsoft Active Directory 9.1.0.1コネクタを削除する場合は、9.1.0.1と入力します。

- ObjectType: このプロパティに設定する値は要件に応じて異なります。

- コネクタをアンインストールする場合は、ObjectTypeプロパティに値が割り当てられていないことを確認します。

- アダプタ、参照定義、リソース・オブジェクトまたはスケジュール済タスクを削除する場合は、Adapter、Lookup、ResourceObjectまたはScheduledTaskをそれぞれ入力します。
例: ResourceObject

- ObjectValues: セミコロン区切りのオブジェクト値のリストを入力します。
例: AD User; AD Group

2. コマンド・ウィンドウで、OIM_HOME/server/binディレクトリに移動し、スクリプトsh uninstallConnector.sh(またはbatファイル)を実行します。

注意:

このユーティリティを実行する前に、APP_SERVER、OIM_ORACLE_HOME、JAVA_HOME、MW_HOME、WL_HOME、およびDOMAIN_HOMEを設定します。

スクリプトが実行されると、指定した場所にログが生成されます。

ユーティリティの実行後、次の情報を入力するように要求されます。

1. Oracle Identity Managerデータベースのパスワード

2. Oracle Identity Manager管理者名

3. Oracle Identity Manager管理者のパスワード

4. Oracle Identity Manager Server t3 URL

5. コネクタやオブジェクトの削除の確認

11.9.4.3.3 アンインストール後

コネクタのアンインストール後、次の手順を実行する必要があります。

1. DeleteJarsユーティリティを使用して、コネクタに関連付けられているjarをOracle Identity Managerデータベースから削除します。

2. DeleteResourceBundlesユーティリティを使用して、コネクタに関連付けられているすべてのリソースをOracle Identity Managerデータベースから削除します。

3. ログを再確認し、次の情報を探して、それぞれで説明されている手順を実行します。

1. リクエスト・テンプレートのリスト: これらのテンプレートを使用していたリソース・オブジェクトは削除されているため、これらのテンプレートを削除または変更します。

2. アテステーション・プロセスのリスト: これらのアテステーション・プロセスを使用していたリソース・オブジェクトは削除されているため、これらのアテステーション・プロセスを削除または変更します。

3. リクエストおよび承認ポリシーを手動で変更して、アンインストール・ユーティリティによりクリーニングされたリソース・オブジェクト名を削除します。

4. コネクタのアンインストールの一環として、承認プロセス(承認ワークフロー/SOAコンポジット)は削除されません。承認プロセスが汎用的で、削除されたリソース・オブジェクトとのアソシエーションがある場合は、承認プロセスを変更する必要があります。

4. 統計を再計算し、コネクタのアンインストール・ユーティリティにより削除された索引およびその他のデータベース・オブジェクトを再作成します。詳細は、「パフォーマンス・チューニングとベスト・プラクティス」を参照してください。

5. Oracle Identity Managerを再起動するか、またはPurgeCacheユーティリティを使用して、キャッシュをパージします。
キャッシュのパージの詳細は、『Oracle Fusion Middlewareパフォーマンスおよびチューニング・ガイド』を参照してください。

11.10 コネクタ管理問題のトラブルシューティング

問題

Oracle Identity Manager 11gリリース2(11.1.2)を使用して、クローニングしたActive Directory (AD)リリース9.xコネクタをターゲットADに対して構成でき、信頼できるADソース・リコンシリエーションを実行して、ユーザーをOracle Identity Managerで作成できます。ユーザーをOracle Identity Managerで作成した後、ターゲット・リソース・リコンシリエーションをADに対して実行すると、ユーザー詳細は「アカウント」タブにリンクされます。ただし、詳細情報タブには空欄のページが表示されます。Oracle Identity System Administrationの「アプリケーション・インスタンス」セクションをチェックし、関連するアプリケーション・インスタンスを検索してから開くと、アプリケーション・インスタンスに関連付けらているフォームは見つかりません。

解決策

各アプリケーション・インスタンスでフォームの新規セットを作成します。

12 リコンシリエーションの管理

リコンシリエーションとは、ターゲット・システムで開始された操作(ユーザーの作成、変更または削除など)が、Oracle Identity Managerに通信されるプロセスです。リコンシリエーション・プロセスは、Oracle Identity Managerリポジトリとターゲット・システム・リポジトリのエントリを比較して、2つのリポジトリの相違を判断し、最新の変更内容をOracle Identity Managerリポジトリに適用するプロセスです。

ロールのリコンシリエーション、ロール・メンバーシップのリコンシリエーションおよびロール階層の変更のリコンシリエーションは、個別のリコンシリエーション・イベントとして処理されます。理想的には、競合状態を回避するためにロール・イベントを最初に送信し、次にメンバーシップ・イベントのみを送信する必要があります。競合状態の場合は、自動再試行ロジックにより、リコンシリエーション・エンジンでの処理が可能です。

関連項目:

競合状態の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の競合状態の処理に関する説明を参照してください。

図12-1は、プロビジョニングおよびリコンシリエーションが、Oracle Identity Managerからターゲット・システム、またはターゲット・システムからOracle Identity Managerへの同期化に関与する様子を示しています。プロビジョニング・システムでは、プロビジョニングおよびリコンシリエーションを使用して、ターゲット・システムに管理対象アイデンティティを作成したり、ターゲット・システムにすでに存在している場合は、管理対象アイデンティティをレプリケートできます。

図12-1 プロビジョニングおよびリコンシリエーション

「図12-1 プロビジョニングおよびリコンシリエーション」の説明

図12-1では、新しい従業員の入社時に、人事担当によってユーザーが作成されます。ユーザーは、信頼できるソース・リコンシリエーションによってOracle Identity Managerにリコンサイルされます。Oracle Identity Managerでユーザーが作成されると、ユーザーのアカウントはターゲット・システムにプロビジョニングされます。ターゲット・システムでは、ターゲット・システム管理者がそのアカウントに変更を追加できますが、その変更はOracle Identity Managerにリコンサイルする必要があります。

データ・フローに関しては、プロビジョニングではプッシュ・モデルを使用してプロビジョニング・システムから外部へのフローが提供され、これによってプロビジョニング・システムは変更の実施をターゲット・システムに示します。リコンシリエーションでは、プッシュ・モデルまたはプル・モデルを使用してプロビジョニング・システムの内側へのフローが提供され、これによってプロビジョニング・システムはターゲット・システムのアクティビティを検出します。

リコンシリエーション・プロセスには、Oracle Identity Managerに適用されるイベントの生成が含まれます。このイベントには、ターゲット・システムでのアトミック変更が反映され、変更されたデータ、変更のタイプおよびその他の情報が含まれます。ターゲット・システムで発生している変更に起因して結果的に生成されるリコンシリエーション・イベントは、これらのイベント管理ニーズに対応するOracle Identity System Administrationの「イベント管理」セクションを使用して管理されます。Oracle Identity System Administrationを使用したリコンシリエーション・イベントの管理の詳細は、「リコンシリエーション・イベントの管理」を参照してください。

この項の内容は次のとおりです。

- リコンシリエーションのタイプ

- リコンシリエーション・イベントの管理

関連項目:

リコンシリエーションの機能とアーキテクチャの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のリコンシリエーションのカスタマイズに関する説明を参照してください。

12.1 リコンシリエーションのタイプ

表12-1に示すように、リコンシリエーションには様々なタイプがあります。

表12-1 リコンシリエーションのタイプ

分類基準

リコンシリエーション・タイプ

リコンサイル対象オブジェクト

リコンサイル対象アイデンティティに基づいて、ユーザー、アカウント、ロール、組織、関係(ロール階層やロール・メンバーシップを含む)など

リコンシリエーションのモード

変更ログ

標準

リコンシリエーションに使用されるアプローチ

増分リコンシリエーション

完全リコンシリエーション

この項の内容は次のとおりです。

- リコンサイル対象オブジェクトに基づくリコンシリエーション

- リコンシリエーションのモード

- リコンシリエーションに使用されるアプローチ

12.1.1 リコンサイル対象オブジェクトに基づくリコンシリエーション

リコンサイル対象のエンティティ・オブジェクトに基づいたリコンシリエーションです。Oracle Identity Managerでは、次のエンティティがリコンサイルされます。

- ユーザー: ユーザーは、Oracle Identity Manager内に存在し、Oracle Identity Managerを介して管理されるアイデンティティです。

- アカウント: アカウントはユーザーに付与され、ユーザーのOracle Identity ManagerへのログインとOracle Identity Managerの機能へのアクセスを可能にします。これらの機能には、少なくともセルフ・サービスとリクエストが含まれます。アカウントには、ワークフローの定義、ユーザー、組織、ロールなどの各種エンティティの委任管理を含め、追加の権限を付与できます。

- 組織: 組織エンティティは、Oracle Identity Manager内に存在するユーザー、他の組織などのエンティティの論理的なコンテナを表します。

- ロール: ロールは、Oracle Identity Manager内でアクセス権を割り当てたり、リソースを自動的にプロビジョニングしたり、承認やアテステーションなどの共通のタスクで使用できるユーザーの論理的なグループです。

- ロール階層: ロール階層は、親ロールから子ロールへの継承です。親ロールには、継承されるロールと同じ、メンバーに対する権限があります。

- ロール・メンバーシップ: ロール・メンバーシップは、継承先ロールのメンバーが継承元ロールから継承されることを意味します。メンバーシップおよび権限の継承の詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のロールの管理に関する説明を参照してください。

この項の内容は次のとおりです。

- 信頼できるソース・リコンシリエーション

- アカウント・リコンシリエーション

- リコンシリエーション・プロセス・フロー

12.1.1.1 信頼できるソース・リコンシリエーション

Oracle Identity Managerのユーザー、ロール、ロール・メンバーシップまたはロール階層の作成に対応するシステムからデータがリコンサイルされる場合、そのリコンシリエーション・モードは、アイデンティティ・リコンシリエーション、認証ソースのリコンシリエーションまたは信頼できるソース・リコンシリエーションと呼ばれます。リコンサイルの適用対象システムは、エンタープライズ・アイデンティティの認証ソースとも呼ばれ、人事管理システムまたは企業ディレクトリなどが該当します。

注意:

信頼できるリコンシリエーションに対してユーザー・ログインが渡されない場合、ログイン・ハンドラはユーザー・ログインを生成します。パスワードは、後処理イベント・ハンドラで生成され、そのパスワードの通知が送信されます。イベント・ハンドラの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のリコンシリエーション操作のカスタマイズに関する項を参照してください。

図12-2に示すように、アイデンティティには複数の認証ソースを指定できます。様々な認証ソースを、カテゴリの異なるユーザー・アイデンティティに対するリコンシリエーションのソースや、様々な属性のセットに対するリコンシリエーションのソースにできます。リコンシリエーション・エンジンによって生成された各種のイベントは、追加、変更および削除されます。

図12-2 単一および複数の認証ソースからの信頼できるソース・リコンシリエーション

「図12-2 単一および複数の認証ソースからの信頼できるソース・リコンシリエーション」の説明

図12-2は、単一の認証ソースと複数の認証ソースからの信頼できるソース・リコンシリエーションを示しています。ユーザー・エンティティの作成は、複数の認証ソースからリコンサイルできます。複数の異なる認証ソースから異なる属性をリコンサイルすることもできます。たとえば、ある認証ソースはユーザーIDと電子メールIDを提供し、別の認証ソースがロール属性を提供するようにできます。

ターゲット・システムがアイデンティティおよびアカウントのソースである場合は、信頼できるソース・リコンシリエーションの後にアカウント・リコンシリエーションが続く必要があります。たとえば、Active Directoryが企業のLDAPリポジトリで、そこにユーザー情報が格納されている場合は、ユーザー情報がActive Directoryターゲット・システムからリコンサイルされます。その後、Active Directoryのアカウントが、異なるコネクタを使用してOracle Identity Managerにリコンサイルされます。アイデンティティ・リコンシリエーションは、信頼できるソースに固有のコネクタを使用して、信頼できるソースからのみ発生します。

注意:

リコンシリエーション・コネクタは、特定のターゲット・システムからアイデンティティまたはアカウントをリコンサイルするように開発されたコンポーネントです。通常、リコンシリエーション・コネクタはスケジュール済タスクとして実行するように構成されます。ただし、リコンシリエーションをトリガーするためのスケジュール済タスクがない、PeopleSoft HRコネクタなどのプッシュ・ベースのコネクタも存在します。

12.1.1.2 アカウント・リコンシリエーション

ターゲット・システムのアイデンティティがOracle Identity Managerにリコンサイルされるアカウントである場合、それはターゲット・リソース・リコンシリエーションまたはアカウント・リコンシリエーションです。このタイプのリコンシリエーションは、管理対象のターゲット・システムを表す特定のリソース・オブジェクトをリコンサイルします。この場合は、対応するプロビジョニング・フローが常に存在します。ターゲット・システムから取得されるアイデンティティは、ユーザーまたは組織にプロビジョニングされたリソース・オブジェクト・インスタンスにマップされます。

アカウント・リコンシリエーションは、次のシナリオで発生します。

シナリオI

アイデンティティが、認証ソースからOracle Identity Managerに作成されます。アイデンティティは、ターゲット・システムのリソースを使用してプロビジョニングされます。ターゲット・システムに対する変更は、Oracle Identity Managerとリコンサイルされます。図12-3に、ターゲット・システムからのアカウント・リコンシリエーションを示します。

図12-3 ターゲット・システムからのアカウント・リコンシリエーション

「図12-3 ターゲット・システムからのアカウント・リコンシリエーション」の説明

シナリオII

このシナリオでは、ターゲット・システムが当初、認証ソースの役割を果たします。その後、通常のプロビジョニング・ターゲットの役割を果たします。一連のステップは次のとおりです。

1. アイデンティティが、ターゲット・システム・エンティティの詳細に基づいてOracle Identity Managerに作成されます。そのエンティティに対して、対応するアカウントも作成されます。

2. エンティティは、プロビジョニングされたエンティティとしてターゲット・システムで更新されます。

3. ターゲット・システムのリソース管理者は、アカウントに対する変更を適用します。

4. ターゲット・システムで行われた変更は、Oracle Identity Managerとリコンサイルされます。

図12-4に、アイデンティティ・リコンシリエーションおよびその後に続くアカウント・リコンシリエーションを示します。

図12-4 アイデンティティ・リコンシリエーションとアカウント・リコンシリエーション

「図12-4 アイデンティティ・リコンシリエーションとアカウント・リコンシリエーション」の説明

注意:

XL.UserProfileAuditDataCollectionプロパティの値が監査日収集レベルに設定されている場合は、アカウント・リコンシリエーションによってバッチ・レベルでデータベース・レイヤーでの照合が実行され、プロビジョニングAPIを使用してイベント・アクションが実行されます。これによって、アカウント・リコンシリエーション用の監査イベント・ハンドラがトリガーされます。デフォルトでは、このプロパティの値は「リソース・フォーム」に設定されます。Oracle Identity Managerのシステム・プロパティの詳細は、Oracle Fusion Middleware Oracle Identity Manager管理者ガイドのシステム・プロパティの管理に関する項を参照してください。

12.1.1.3 リコンシリエーション・プロセス・フロー

図12-5に、リコンシリエーション・プロセス・フローを示します。

図12-5 リコンシリエーション・プロセス・フロー

「図12-5 リコンシリエーション・プロセス・フロー」の説明

リコンシリエーション・プロセスには次のステップが含まれます。

1. ターゲット・システムでの変更: ターゲット・システムで発生する可能性のある様々なアクティビティには、ユーザー、アカウント、ロール、ロール・メンバーシップまたはロール階層の作成、変更または削除があります。

注意:

外部システムでエンティティを作成し、すぐ後にそのエンティティを変更すると、リコンシリエーションでのエンティティの作成ステップは処理されますが、エンティティの変更ステップは「作成に失敗しました」イベント・ステータスで失敗となります。これは、リコンシリエーションでは、同一バッチ処理内の同じエンティティに対して作成と変更のアクションを処理できないためです。

ただし、次のいずれかのビルトイン・メカニズムを使用して、リコンシリエーションのエンティティ変更アクションを後で再送信できます。

- 失敗した非同期タスクの自動再試行スケジュール済タスクを実行し、失敗したイベントを手動操作なしで再度処理します。詳細は、Oracle Fusion Middleware Oracle Identity Manager管理者ガイドの自動再試行のエラー処理メカニズムに関する項を参照してください。

- 手動による再試行エラー処理メカニズムがトリガーされる場合は、失敗したイベントが再度処理されます。詳細は、Oracle Fusion Middleware Oracle Identity Manager管理者ガイドの手動による再試行エラー処理メカニズムに関する項を参照してください。

同じバッチ処理での処理の競合に起因するリコンシリエーションの失敗メッセージは、単なる一時的な失敗とみなすことができます。

2. リコンシリエーション・データのプロビジョニング: 作成、変更または削除のイベントが発生すると、そのイベントに関するデータは、リコンシリエーションAPIを使用してリコンシリエーション・サービスに送信されます。

注意:

リコンシリエーション・サービスとは、リコンシリエーション・エンジン、リコンシリエーションAPIおよび関連するメタデータやスキーマの集合を意味します。

3. リコンシリエーション・イベント・レコードの作成: リコンシリエーション・イベントのデータがリコンシリエーション・サービスに提供される場合、そのイベントのレコードはOracle Identity Managerリポジトリに格納されます。

4. リコンシリエーション・イベント・データの処理: 受け取ったデータはその後評価され、ターゲット・システムでの変更内容に基づいてOracle Identity Managerで実行する実際の操作が判断されます。評価には、次の目的に役立つ特定のルールセットが利用されます。

1. Oracle Identity Managerにすでに存在するデータのレコードが、アカウントまたはアイデンティティのいずれのデータであるかの識別

2. データが表すアカウントまたはアイデンティティの所有者の識別

3. 実行するコンテキスト依存アクションの定義

4. 評価終了時のイベントのステータス、およびリコンシリエーション・エンジンが対応する必要があるアクションの設定

5. イベントに対するアクションの実行: リコンシリエーション・イベント・データの処理の評価結果に基づいて、目的のアクションが実行されます。実行されるアクションには、次のような様々なものがあります。

注意:

イベントに対するアクションは、UIを使用して手動で実行するか、自動アクションにできます。

- 新規アカウントの作成と適切な所有者アイデンティティとの関連付け

- 一致したアカウントの更新

- 一致したアカウントの削除

- Oracle Identity Managerでの新しいユーザーの作成

- Oracle Identity Managerでの既存のユーザーの変更

- 既存のユーザーの削除

- ステータス属性の更新によるアカウント・ステータスの有効化と無効化

- ユーザーの有効化と無効化

- ロールの作成、更新または削除

- メンバーシップの作成または削除

- ロール階層の作成または削除

関連項目:

ロール・メンバーシップおよびロール階層の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のリコンシリエーション・エンジンに関する説明を参照してください。

6. リコンシリエーション・イベントによってトリガーされたアクションのフォロー・アップ: アクションが実行された後は、リコンシリエーション・イベントに基づいてフォロー・アップ・タスクを開始できます。フォロー・アップ・タスクまたは後処理タスクの例には、ユーザー作成イベントの後、ラップトップ・コンピュータなどのリソースをプロビジョニングするリクエストの作成があります。

12.1.2 リコンシリエーションのモード

リコンシリエーションのモードは、使用するコネクタに従ってプルまたはプッシュになります。Active Directoryなどの大半のコネクタはプル・モデルを使用します。プル・モデルでは、プル・リコンシリエーション・タスクがIAMスケジューラでスケジュールされます。タスクは一定間隔で実行されます。

関連項目:

IAMスケジューラの詳細は、「スケジューラの管理」を参照してください。

通常、プル・ベースのリコンシリエーション・コネクタは、スケジュール済タスク内でリコンシリエーション・イベントを送信します。スケジュール済タスクを実行するたびに、新規リコンシリエーションの実行がトリガーされ、リコンシリエーション・イベントがバッチで作成されます。バッチ・サイズが適合する場合は、そのバッチが送信され、処理されます。スケジュール済タスクの終了時に、サイズが適合しないすべてのバッチを送信するジョブ終了リスナーがトリガーされます。

PeopleSoftコネクタなどのリコンシリエーション・コネクタは、プッシュ・モデルを使用します。コネクタは、PeopleSoftによって送信される非同期メッセージを検出するHTTPリスナーで構成されます。メッセージの受信時に、リスナーがリコンシリエーションAPIをコールして、リコンシリエーション・イベントを送信します。バッチ・サイズが適合する場合、イベントは、リコンシリエーション・エンジンによりバッチで処理されます。バッチ・サイズが適合しないバッチについては、スケジュール済タスクが定期的に実行され、リコンシリエーション処理のバッチが送信されます。

プルまたはプッシュ・モデルは、ターゲット・システムの性質およびターゲット・システムでの変更の検出方法に基づいて使用されます。しかし、使用されるプッシュまたはプル・モデルに関係なく、リコンシリエーションは、IAMスケジューラで実行されるスケジュール済タスクを使用して実行されます。

注意:

リコンシリエーション・イベントは、リコンシリエーションAPIを使用して直接作成することもできます。

変更ログ・リコンシリエーションは、デフォルトのリコンシリエーション・モードです。このモードでは、変更された属性のみがリコンサイルされます。未指定のフィールドは無視されます。変更された属性のリストをコネクタが認識する場合は、通常、変更ログ・リコンシリエーション・モードを使用します。変更された属性に加えて、Oracle Identity Managerには、照合に必要なフィールドのリストも必要です。Oracle Identity Managerの以前のリリースでは変更ログ・リコンシリエーションをサポートしていたため、すべてのコネクタはこのモードで動作します。

標準リコンシリエーションは、リコンシリエーション・エンジンがエンティティの既存のスナップショットを完全に置換する、このリリースで導入された新しいリコンシリエーション・モードです。通常、このリコンシリエーション・モードは、変更された属性をコネクタで判断できない場合に使用するため、エンティティの完全なスナップショットを送信します。新しいコネクタの場合、このモードは、完全リコンシリエーションを実行する場合に指定できます。標準リコンシリエーション・モードを使用すると、イベントがより速やかに処理されるため、パフォーマンスが向上します。

注意:

リコンシリエーションのモードは、コネクタの実装によって異なります。コネクタの実装の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のリコンシリエーションのコネクタに関する説明を参照してください。

表12-2に、標準リコンシリエーション・モードと変更ログ・リコンシリエーション・モードの相違を示します。

表12-2 標準リコンシリエーション・モードと変更ログ・リコンシリエーション・モード

標準

変更ログ

マップされた属性の完全なセットを渡す必要があります。

特定のプロファイルやルールの照合に必要なマップされた属性のサブセットを渡す必要があります。

バッチ処理モードでの実行に適しています(単一のイベント処理モードの場合とパフォーマンスに違いはない)。

すべてのフィールドが作成および更新されます。

指定されたフィールドのみが作成および更新され、その他のフィールドはすべて変更されません。

関連項目:

リコンシリエーション・モードの変更の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のプロファイル・モードの変更に関する説明を参照してください。

12.1.3 リコンシリエーションに使用されるアプローチ

ターゲット・システムで初めてリコンシリエーションを実行すると、デフォルトでは、ターゲット・システムのすべてのユーザーおよびアカウントがOracle Identity Managerにリコンサイルされます。これは、完全リコンシリエーションと呼ばれます。完全リコンシリエーションを実行するために、コネクタはターゲット・システムの各エンティティに対してリコンシリエーション・イベントを送信します。リコンシリエーション・エンジンでは、そのエンティティがOracle Identity Managerにすでに存在するかしないかに応じて、イベントを作成イベントまたは更新イベントとして処理します。また、コネクタは、削除されたすべてのエントリを識別し、削除イベントをOracle Identity Managerに送信します。

通常は完全リコンシリエーションの終了時に、コネクタが最終実行時間パラメータをリコンシリエーションの実行の終了時間に設定します。リコンシリエーションの次回実行では、リコンシリエーションの初回実行の終了後に追加、変更または削除されたエンティティのレコードのみが、リコンシリエーション対象としてフェッチされます。これは、増分リコンシリエーションと呼ばれます。

タイムスタンプITリソース・パラメータを0の値に設定することで、増分リコンシリエーションから完全リコンシリエーションに手動で切替えできます。

12.2 リコンシリエーション・イベントの管理

リコンシリエーション・プロセスには、Oracle Identity Managerに適用されるイベントの生成が含まれます。このイベントには、ターゲット・システムでのアトミック変更が反映され、変更されたデータ、変更のタイプおよびその他の情報が含まれます。ターゲット・システムで発生した変更の結果として生成されるリコンシリエーション・イベントは、各種ビジネス要件を満たすように管理される必要があります。Oracle Identity Manager拡張管理の「イベント管理」セクションでは、このようなイベント管理要件に対処します。

「イベント管理」セクションを使用してリコンシリエーション・イベントを管理し、格納されたイベントに様々な方法で問い合せてイベント・データすべてを表示できます。これらのイベントは、常に「イベントの詳細」ページと同じ形式で表示されます。「拡張検索」機能を使用して、イベントに対してカスタム問合せを実行できます。イベントの問題を解決するために必要な任意のアクションを実行することもできます。

イベントはリコンシリエーション実行によって生成されます。これらのリコンシリエーション実行は、Oracle Identity Managerスケジューラを使用して実行がスケジュールされます。

関連項目:

スケジューラの詳細は、「スケジューラの管理」を参照してください。

Oracle Identity Manager拡張管理の「イベント管理」セクションを使用して、次のイベント管理タスクを実行できます。

- イベントの検索

- イベントの詳細の表示

- イベント・アクションの決定

- イベントの再評価

- イベントのクローズ

- リコンシリエーション・イベントのリンク

12.2.1 イベントの検索

次のタイプの検索を実行して、リコンシリエーション・イベントのサマリーを表示できます。

- イベントの単純検索の実行

- イベントの拡張検索の実行

12.2.1.1 イベントの単純検索の実行

イベントの単純検索を実行するには:

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「イベント管理」で、「リコンシリエーション」をクリックします。拡張管理が表示され、「イベント管理」タブの「リコンシリエーション」セクションがアクティブになります。

3. 左ペインで、「検索」フィールドに検索基準を入力します。検索基準にはワイルドカード文字(*)を使用できます。
単純検索では1つの引数が使用されます。テキスト引数は、次のイベント・フィールドで検索されます。

- イベントID

- プロファイル名

- キー・フィールド

注意:

単純検索では、イベント日で検索することはできません。

4. 「検索」フィールドの横のアイコンをクリックします。検索基準に一致するイベントが検索結果表に表示されます。
検索により、前述の属性に「検索」フィールドで指定した文字列が含まれるすべての行がフェッチされます。検索結果には、「イベントID」、「プロファイル名」および「キー・フィールド」列が表示されます。「イベントID」列にはイベントIDが表示されます。IDは文字列ではなく、整数値としてソートされます。「プロファイル名」列には、リコンシリエーション・プロファイルの名前が表示されます。「キー・フィールド」は、データの行を一意に識別する属性です。リコンシリエーションでは、一部の属性にプロファイル内のキーとしてフラグが付けられています。これらのフィールドが「キー・フィールド」列に表示されます。

注意:

「単純検索」では、検索結果はページで区切られ、一度に64行のみ表示されます。これは、パフォーマンス向上のためです。UI内で64行目を超えてスクロールするたびに、データベースからの別のページのフェッチがトリガーされます。

12.2.1.2 イベントの拡張検索の実行

拡張検索では複数の引数が使用され、イベントのリストを細かく調整できます。イベントの拡張検索を実行するには、次の手順に従います。

1. 「リコンシリエーション」セクションの左ペインで、「拡張検索」をクリックします。「検索: イベント」ページが表示されます。

2. 次のオプションのいずれかを選択します。

- すべて: このオプションを選択すると、検索はAND条件で実行されます。つまり、指定されたすべての検索基準を満たす場合のみ検索操作が成功します。

- いずれか: このオプションを選択すると、検索はOR条件で実行されます。つまり、指定された選択基準のいずれかに一致する場合に検索操作が成功します。

3. 「イベントID」フィールドに検索するイベントIDを入力します。検索基準にはワイルドカード文字を使用できます。「イベントID」フィールドに隣接するリストから検索条件を選択します。

4. 「検索: イベント」ページに表示される他のフィールドで検索引数を指定します。表12-3に、「検索: イベント」ページのフィールドを示します。

表12-3 拡張検索フィールド

フィールド

説明

イベントID

イベントID。IDは文字列ではなく、整数値としてソートされます。

リソース名

イベントの発行元となるターゲット・システムを表すリソース・オブジェクトの名前。

現行のステータス

イベントの現在の状態を表す文字列。

タイプ

イベントによって実行される操作のタイプ。定期(追加または変更)と削除があります。

プロファイル名

このイベントに関連するリコンシリエーション・プロファイルの名前。

関連項目: リコンシリエーション・プロファイルについては、Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイドのリコンシリエーション・プロファイルに関する項を参照してください。

エンティティ

このイベントに関連するOracle Identity Managerエンティティのタイプ。ユーザー、アカウント、ロール、ロール付与、ロール階層があります。

開始日

検索する一番古いイベント作成日。

終了日

検索する最新のイベント作成日

リンクされたユーザー・ログイン

イベントにリンクされたユーザーのログインIDを表す文字列。

キー・フィールド

リコンシリエーション・プロファイルでキー・フィールドとしてフラグが付いた、データ行を一意に識別するフィールド。

5. 「検索」をクリックします。検索結果として、「イベントID」、「リソース名」、「エンティティ」イベント・ステータス、「タイプ」、「プロファイル名」、「ジョブID」、「キー・フィールド」、「日付」列が表示されます。

検索結果から、クローズや再評価などのイベントのバルク・アクションを実行できます。また、特定のイベントの詳細を表示することもできます。

LDAPプロファイルを使用してイベントを検索するには、検索で次のldapプロファイルを使用します。

オブジェクト

プロファイル

ユーザー

LDAPUser

ロール

LDAPRole

ロール・メンバーシップ

LDAPRoleMembership

ロール階層

LDAPRoleHierarchy

12.2.2 イベントの詳細の表示

イベントに関連する詳細を表示するには:

- Oracle Identity Manager拡張管理の左ペインで、イベントのリストから、詳細を表示するイベントを選択します。

- 拡張検索結果表の「イベントID」列をクリックします。

- 「アクション」リストから、「参照」を選択します。「イベントの詳細」ページが表示されます。「イベントの詳細」ページのフィールドは、イベント・タイプとイベント・ステータスに基づいて動的に変更されます。あるいは、右ペインのイベントのサマリーからイベントを選択し、参照用の虫眼鏡アイコンをクリックして「イベントの詳細」ページを開くこともできます。

「イベントの詳細」ページのデータは、次のセクションに表示されます。

- イベント: このセクションには、イベントID、イベント・タイプが「ユーザー」と「アカウント」のどちらか、イベントが作成された時間、リコンシリエーション実行ID、リソース名、プロファイル名およびキー・フィールド値などのイベントに関する情報が表示されます。リコンシリエーションは複数のキー・フィールドを使用でき、キー・フィールド値はカンマで区切って表示されます。

- リンク先: このセクションは、イベントがユーザーまたはアカウントにリンクされていることを示します。ここにはイベントがリンクされているユーザーまたはアカウントのID、アカウントの説明(あれば)、およびルールベースのリンクか手動リンクかなどのリンクのタイプが表示されます。ルールベースのリンクは、リコンシリエーション・エンジンがリンクを実行したことを意味します。手動リンクは、管理者がリンクを手動で実行したことを意味します。

- メモ: リコンシリエーション・エンジンにより、必要に応じてメモが追加されます。たとえば、「データ検証に失敗しました」がある場合、エンジンはその理由を説明するメモを追加します。これは読取り専用フィールドで、イベントにメモが付加されていない場合は空欄です。

- リコンシリエーション・データ: この表には、リコンシリエーション・イベント・データが表示されます。これには、属性名、属性値およびOracle Identity Managerのマッピング・フィールドが表示されます。また、イベントの子データがある場合は、それも表示されます。リコンシリエーション・データには、姓、名、雇用日、ユーザーIDおよびITリソース名が表示されます。
複数言語をサポートする属性がある場合は、その属性値も子データと同様に個別の表に表示されます。

- 一致したアカウント: この表には、一致したアカウントが表示されます。「一致したアカウント」表の列を、表12-4に示します。

表12-4 「一致したアカウント」表の列

列

説明

アカウントID

一致したアカウントのアカウントID。

ORCキー

ORC表に格納されている内部キー。このキーは、イベントがユーザーまたはアカウントに一致しているかどうかを示します。

ディスクリプタ・フィールド

アカウントに関連付けられた説明。

ログインID

ユーザー・イベントに対して表示されるユーザーIDに対応したユーザー・ログインID。

アカウント所有者名

アカウントを所有するユーザーの姓と名およびログインIDからなる文字列。イベントはこのアカウントに関連します。

アカウント所有者タイプ

ユーザーなど、アカウント所有者のタイプ。

- 一致したユーザー: この表には、リコンシリエーション・エンジンによって検索されたユーザー一致が表示されます。複数一致する場合、リンクされたユーザーはこの表には表示されません。

- 履歴: この表には、イベント作成やデータ検証からアカウント一致まで、このイベントに対して発生する操作と、更新が正常に行われたどうかが示されます。表12-5に「履歴」表の列を示します。

表12-5 履歴」表の列

列

説明

ステータス

指定された日時のイベント・ステータス。

アクション

指定された日時のイベントで実行されたアクション。

ユーザーによって実行されたアクション

前述のアクションを実行したユーザーのIDとログインID。エンジンでは、デフォルトのIAM管理者ID: xelsysadm、ID = 1が使用されます。

日付と時間

前述のアクションの日時。

メモ

指定された日時のイベントに添付されたメモ。

注意:

Oracle Identity Managerでは、リコンシリエーション・フィールド名の翻訳はサポートされていません。

12.2.3 イベント・アクションの決定

イベントで可能なアクションは、イベントのステータス、タイプおよび操作によって異なります。表12-6に、イベントのタイプおよびステータス別に可能なアクションを示します。

表12-6 イベントのステータスおよびタイプ別のアクション

イベント・ステータス

イベント・タイプ

可能なアクション

一致が見つかりません

ユーザー

イベントのクローズ

リコンシリエーション・ルールの再適用

エンティティの作成

非定型リンク

アカウント

イベントのクローズ

イベントの再評価

非定型リンク

ユーザーが一致しました

ユーザー

イベントのクローズ

リコンシリエーション・ルールの再適用

リンク

アカウント

イベントのクローズ

リコンシリエーション・ルールの再適用

リンク

アカウントが一致しました

アカウント

イベントのクローズ

リコンシリエーション・ルールの再適用

リンク

イベントを受信しました

任意

イベントのクローズ

可能なアクションについては、以降のセクションで説明します。

12.2.4 イベントの再評価

イベントの再評価は、リコンシリエーション・ルールをイベントに再適用することを意味します。リコンシリエーション・ルールは、イベントの所有者を識別するために使用する一致ルールを参照します。たとえば、Oracle Identity Manager Design Consoleを使用してリコンシリエーション・ルールを変更した場合、Oracle Identity Manager拡張管理の「イベント管理」セクションでルールを再評価できます。

イベントを再評価するには:

1. イベントのリストから、イベントを選択します。複数のイベントを同時に再評価する場合は、[Ctrl]キーを押しながら複数のイベント行を選択できます。

2. 「アクション」リストから、「イベントの再評価」を選択します。選択したイベントIDが「イベントの再評価」ダイアログ・ボックスに表示されます。

3. 「実行」をクリックします。リコンシリエーション・ルールがイベントに正常に再適用されたことを示す確認メッセージが表示されます。選択したアクションがいずれかのイベントで失敗した場合は、バルク処理に失敗したイベントIDを示す一般メッセージが表示されます。このような場合は、イベントを一度に1つずつ処理します。

注意:

- 処理前の検証では、再評価が有効なイベントと無効なイベントがリストされます。「実行」をクリックすると、有効なイベントのみが再評価されます。

- イベント履歴表ですべてのイベント・アクションが追跡されます。

12.2.5 イベントのクローズ

このアクションは、選択されたイベントをクローズまたは破棄し、イベントをそれ以降の処理キューから削除します。イベントをクローズするには、次の手順を実行します。

1. イベントのリストから、イベントを選択します。

2. 「アクション」リストから、「イベントのクローズ」を選択します。、[Ctrl]キーを押しながら複数のイベント行を選択すると、複数のイベントを一度にクローズできます。「イベントのクローズ」ダイアログ・ボックスが表示されます。

注意:

イベントのクローズが有効なオプションでない場合は、「イベントのクローズ」ダイアログ・ボックスにエラー・メッセージが表示されます。

3. 「理由」ボックスに、イベントをクローズする理由を入力します。

4. 「実行」をクリックします。イベントがクローズされることを示す確認メッセージが表示されます。選択したアクションがいずれかのイベントで失敗した場合は、バルク処理に失敗したイベントIDを示す一般メッセージが表示されます。このような場合は、イベントを一度に1つずつ処理します。

注意:

- イベント履歴表ですべてのイベント・アクションが追跡されます。

- イベントのクローズ操作では、理由を入力する必要があります。そのため、バルク操作を実行して複数のイベントを一度にクローズする場合は、クローズされるすべてのイベントが同じ理由になります。

12.2.6 リコンシリエーション・イベントのリンク

Oracle Identity Managerでは、次の操作を実行してリコンシリエーション・イベントをリンクできます。

- 非定型リンク

- 手動リンク

- 孤立アカウントのリンク

12.2.6.1 非定型リンク

非定型リンクにより、イベントをOracle Identity Managerの任意のユーザーまたはロールにリンクできます。リコンシリエーション・エンジンによってそのイベントに対するユーザー一致が検出された場合でも、この非定型リンク機能を使用して、ユーザーはその一致を無視して別のユーザーを選択できます。これにより、リコンシリエーション一致ルールが正しく機能しない場合に誤った一致によって生じる例外を処理できます。

このアクションにより、すでに一致しているエンティティ以外のエンティティにイベントをリンクできます。つまり、「一致したユーザー」表から行を選択するかわりに、別のユーザーを選択してイベントにリンクできます。

イベントに対して非定型リンクを作成するには:

1. 「イベントの詳細」ページで、「アクション」リストから「非定型リンク」を選択します。「非定型リンク」ダイアログ・ボックスが表示されます。

2. 検索基準を指定してユーザー検索を実行します。

3. 検索結果からユーザーを選択し、「実行」をクリックします。イベントとの非定型リンクが正常に行われたことを示す確認メッセージが表示されます。

12.2.6.2 手動リンク

リコンシリエーション・イベントが複数一致する場合は、各一致が「イベントの詳細」ページの「一致したアカウント」タブ(アカウント・エンティティの場合)または「一致したユーザー」タブ(ユーザー・エンティティの場合)に表示されます。リコンシリエーション・エンジンで検出されたすべての一致からいずれかの一致を手動で選択できます。手動リンクを実行するには、次の手順に従います。

注意:

手動リンクでは、Oracle Identity Managerの全ユーザーのリストから一致を選択するかわりに、リコンシリエーション・エンジンによって検出された一致のリストから選択します。

1. 「イベントの詳細」ページで、リコンシリエーション・エンジンによって検出されたすべての一致がリストされている表から行を選択します。

2. 「リンク」をクリックします。確認を求めるメッセージが表示されます。

3. 「 OK 」をクリックして続行します。

12.2.6.3 孤立アカウントのリンク

孤立アカウントとは、ターゲット・システムのアカウントで、Oracle Identity Managerにそれに対応するユーザーが存在しないものを指します。

Oracle Identity Managerに一致するユーザーがいないか、複数のユーザーが一致する孤立アカウントのイベントを解決できます。そのために、次のいずれかを実行できます。

- Oracle Identity Managerでユーザーを再作成する

- プロビジョニング・プロセスをトリガーして、ターゲット・システムからユーザーまたはアカウントを削除する

- 非定型または手動リンクを実行する

次のシナリオでは、「イベント管理」セクションを使用して正しい一致ユーザーを選択することで、孤立アカウントを解決できます。

- 複数の一致があるイベントの場合

- 一致のないイベントの場合

12.2.6.3.1 複数の一致があるイベントの場合

リコンシリエーション・エンジンにより複数のユーザーがイベント・データに一致された場合は、非定型または手動リンクを使用して正しいユーザーを選択する必要があります。

非定型リンクについては、「非定型リンク」を参照してください。

手動リンクについては、「手動リンク」を参照してください。

12.2.6.3.2 一致のないイベントの場合

イベントに一致が検出されない場合は、エンティティ作成をトリガーするか、Oracle Identity Managerのエンティティを選択してイベントにリンクします。Oracle Identity Managerのエンティティを選択してイベントにリンクする方法は、「非定型リンク」を参照してください。

第V部

インフラストラクチャ・サービスの管理

この部では、Oracle Identity Managerのインフラストラクチャ・サービスについて説明します。

次の章で構成されます。

- 第13章「通知サービスの管理」

- 第14章「スケジューラの管理」

- 第15章「システム・プロパティの管理」

13 通知サービスの管理

Oracle Identity Managerで発生したイベントに関する情報は、リクエスタ、受益者、管理者などの様々なユーザーに送信する必要があります。このイベントに関する情報は、通知電子メール・メッセージ形式の通知サービスを使用して送信されます。Oracle Identity Managerでは通知サービスを使用してすべての通知関連操作を実行できます。

イベントとは、Oracle Identity Managerで発生する操作で、ユーザー作成、リクエスト開始またはユーザーが作成した任意のカスタム・イベントなどが含まれます。イベントは、ビジネス操作の一部として、またはエラー生成を介して生成されます。イベント定義は、イベントを記述するメタデータです。イベントのメタデータを定義するには、機能コンポーネントでサポートされるすべてのイベント・タイプを識別することが重要です。たとえば、スケジューラ・コンポーネントの一部として、スケジュール済ジョブ実行の失敗とスケジューラの停止に対してメタデータを定義できます。ジョブの失敗またはスケジューラの停止のたびにイベントが発生し、イベントに関連付けられている通知が送信されます。

イベントで使用可能なデータを使用して、通知のコンテンツが作成されます。イベントに定義された様々なパラメータにより、システムは適切な通知テンプレートを選択できます。イベントに定義されている各種のパラメータは、テンプレート設計時に使用可能にできるイベント変数をシステムが決定する際に役立ちます。

通知テンプレートは、通知を送信するために使用されます。これらのテンプレートには、より詳細な通知を提供するために、使用可能なデータを参照する変数が含まれています。通知が送信されるチャネルは、通知プロバイダと呼ばれます。このようなチャネルの例には、電子メール、インスタント・メッセージ(IM)、ショート・メッセージ・サービス(SMS)、ボイスなどがあります。これらの通知プロバイダを使用するために、Oracle Identity ManagerではOracle User Messaging Service (UMS)が使用されます。

バックエンドでは、通知エンジンが通知の生成と通知プロバイダを利用した通知の送信を担当します。

次の各項で、通知テンプレートおよび通知プロバイダについて説明します。

- 通知プロバイダの管理

- 通知テンプレートの管理

- デフォルト電子メール・プロバイダの構成

- SOA電子メール通知の構成

- 電子メール通知の使用不可

- 通知構成のテスト

13.1 通知プロバイダの管理

次の各項で、通知プロバイダの管理について説明します。

- 通知へのUMSの使用

- 通知へのSMTPの使用

- 通知へのSOAコンポジットの使用

- カスタム通知プロバイダの構成

- 通知プロバイダの無効化と有効化

13.1.1 通知へのUMSの使用

UMSには、通知を送信するための様々な機能があります。これらの機能は、Oracle Identity Manager通知エンジンによって次のことを行うために使用されます。

- 様々なメッセージング・チャネルに対するサポート: メッセージは、電子メール、IM、SMSおよびボイスを介して送受信できます。Oracle Identity Manager 11g リリース2 (11.1.2)では、電子メールによる通知メッセージの送信のみがサポートされています。

- 強力なメッセージ配信: UMSは、メッセージング・ゲートウェイが提供する配信ステータス情報を継続して記録し、アプリケーションにこの情報を提供しているため、アプリケーションは失敗した配信に対応できます。

この項の内容は次のとおりです。

- 通知にUMSを使用するためのOracle Identity Managerの有効化

- UMS WebサービスへのOWSMポリシーの適用

13.1.1.1 通知にUMSを使用するためのOracle Identity Managerの有効化

通知にUMSを使用するためにOracle Identity Managerを有効化するには:

1. UMSEmailNotificationProviderMBean MBeanを使用してUMSプロパティを構成します。これを行うには、次のようにします。

1. Oracle Enterprise Managerにログインします。

2. 「アプリケーションのデプロイ」をクリックします。

3. 「OIMAppMetadata(11.1.1.3.0)(oim_server_name)」を右クリックし、「システムMBeanブラウザ」をクリックします。

4. システムMBeanブラウザで、「アプリケーション定義のMBean」→「oracle.iam」→「サーバー: oim_server_name」→「アプリケーション: oim」→「IAMAppRuntimeMBean」に移動し、「UMSEmailNotificationProviderMBean」を選択します。

5. 「属性」タブで、次の情報を入力します。

- ポリシー: メッセージングUMS Webサービスは、Oracle Identity ManagerとUMSとの間における統合に使用されます。Oracle Web Services Manager(OWSM)ポリシーを介して、Webサービスを保護できます。OWSMポリシーがメッセージングWebサービスにサーバー・レベルでアタッチされている場合は、対応するクライアント側ポリシーの名前を指定します。そうでない場合は、フィールドを空白のままにしておきます。たとえば、oracle/wss11_username_token_with_message_protection_service_policyがサーバー・レベルで適用される場合は、oracle/wss11_username_token_with_message_protection_client_policyなどの対応するクライアント・ポリシー名をここに指定します。

- WSUrl: 開始するUMS WebサービスのURL。次のような、任意のSOAサーバーを使用できます。
http://SOA_HOST:SOA_PORT/ucs/messaging/webservice

ここで、SOA_HOSTをSOAサーバーのホスト名、SOA_PORTをSOAサーバーに接続するためのポート番号で置き換えます。

- CSFKey: UMS電子メール通知プロバイダ資格証明ストア(CSF)キー名。キー名はデフォルトで移入されます。このキーは、oracle.wsm.securityマップにあります。

6. 「適用」をクリックします。

2. Oracle Identity ManagerとUMSサーバーが異なるドメインにある場合は、UMSパブリック・キーをOracle Identity Managerドメインのキーストアにインポートし、Oracle Identity Managerドメインのパブリック・キーをUMSキーストアにインポートする必要があります。

関連項目:

UMS Webサービス・セキュリティの詳細は、Oracle Fusion Middleware Oracle SOA SuiteおよびOracle Business Process Management Suite管理者ガイドのOracle User Messaging Serviceの構成に関する説明を参照してください。

3. メール・サーバーを構成します。UMSではデフォルトでローカルLINUXメール・サーバーが使用され、このメール・サーバーを構成するためにUMSでの構成変更は必要ありません。ただし、他のSimple Mail Transfer Protocol(SMTP)サーバーを使用するには:

1. Oracle Enterprise Managerで、「ユーザー・メッセージング・サービス」を展開し、「usermessagingdriver-email (soa_server_name)」を選択します。

2. 「ユーザー・メッセージング電子メール・ドライバ」リストから、「電子メール・ドライバ・プロパティ」を選択します。

3. 「ドライバ固有の構成」セクションで、次の必須フィールドに入力します。

- OutgoingMailServer: SMTPサーバーの名前(stbeehive.oracle.comなど)。

- OutgoingMailServerPort: SMTPサーバーのポート番号(465など)。

- OutgoingMailServerSecurity: SMTPサーバーで使用されるセキュリティ設定。設定可能な値は「なし」、「TLS」または「SSL」です。

- OutgoingUsername: firstname.lastname@xyz.comなど、メール・クライアント構成に類似の有効なユーザー名。

- OutgoingPassword: SMTP認証に使用されるパスワード。これは次のフィールドで構成されます。
パスワードのタイプ: 「間接パスワード、新規のユーザーの作成」を選択します。

間接ユーザー名/キー: 一意の文字列を入力します(OIMEmailConfigなど)。これによりパスワードがマスクされ、構成ファイルにクリア・テキストで公開されません。

パスワード: このアカウントの有効なパスワードを入力します。

4. 「適用」をクリックします。

4. メール・サーバーのセキュリティがSSLの場合は、DemoTrustストア参照をSOA環境から削除する必要があります。これを行うには、次のようにします。

1. テキスト・エディタで、DOMAIN_HOME/bin/setDomainEnv.shファイルを開きます。Microsoft Windowsの場合は、setDomainEnv.batファイルを開きます。

2. 次の行を削除します。

-Djavax.net.ssl.trustStore=$WL_HOME/server/lib/DemoTrust.jks from EXTRA_JAVA_PROPERTIES

3. ファイルを保存して閉じます。

4. テキスト・エディタで、DOMAIN_HOME/bin/startManagedWeblogic.shファイルを開きます。Microsoft Windowsの場合は、startManagedWeblogic.batファイルを開きます。

5. このファイルからJAVA_OPTIONSで設定された次のweblogic.security.SSL.trustedCAKeyStoreプロパティを削除します。

JAVA_OPTIONS="-Dweblogic.security.SSL.trustedCAKeyStore="{MW_HOME}/server/server/lib/cacerts" ${JAVA_OPTIONS}"

6. ファイルを保存して閉じます。

7. 管理および管理対象サーバーを再起動します。

注意:

メール・サーバーにSSLで接続するようにUMSを構成する詳細は、Oracle Fusion Middleware Oracle SOA Suite管理者ガイドのOracle User Messaging Serviceの構成を参照してください。

5. CSFキーのユーザー名とパスワードを編集します。これを行うには、次のようにします。

1. Oracle Enterprise Managerで、「WebLogicドメイン」を展開します。

2. ベース・ドメインを右クリックし、「セキュリティ」→「資格証明」を選択します。「資格証明」ページが表示されます。

3. 「資格証明」列で、oracle.wsm.securityマップを展開します。

4. Notification.Provider.Key資格証明キーのレコードを選択します。

5. ツールバーで、「編集」をクリックします。「キーの編集」ダイアログ・ボックスが表示されます。

6. 「ユーザー名」および「パスワード」フィールドの値を編集し、「OK」をクリックします。

13.1.1.2 UMS WebサービスへのOWSMポリシーの適用

サーバー側OWSMポリシーをUMS Webサービスに適用して、EMを使用する他のWebサービスを保護できます。対応するクライアント側ポリシー、ユーザー名およびパスワードをプロバイダXMLで、またはMBeanを介して指定する必要があります。

サーバー側ポリシーをUMS Webサービスにアタッチするには:

1. Oracle Enterprise Managerで、「ユーザー・メッセージング・サービス」を展開し、「usermessagingserver (soa_server)」をクリックします。

2. 「ユーザー・メッセージング・サービス」リストから、「Webサービス」を選択します。

3. 「Webサービスの詳細」セクションで、「Webサービス・エンドポイント」タブをクリックします。

4. 「エンドポイント名」列で、「メッセージング」をクリックします。

5. 「OWSMポリシー」タブをクリックします。

6. 「直接アタッチされたポリシー」で、「アタッチ/デタッチ」をクリックします。使用可能なポリシーのリストとポリシーをアタッチおよびデタッチするオプションが表示されます。

7. 使用可能なポリシーのリストからポリシーを選択し、「アタッチ」をクリックします。選択したポリシーが「直接アタッチされたポリシー」リストに追加されます。
選択したポリシーは、メッセージングUMS Webサービスを保護するためのものです。

8. 適用されたポリシーの組合せを検証するには、ページをリフレッシュします。検証が成功したことを示すメッセージが表示されます。

9. 「OK」をクリックします。

プロバイダXMLで対応するクライアント側ポリシーを指定するには、Oracle Identity ManagerでUMS XML Beanの次のプロパティを編集します。

対応するクライアント側ポリシーをUMSEmailProviderMBeanに渡すには、クライアント側ポリシーの名前をUMSEmailNotificationProviderMBean MBeanで指定します。これを行うには、次のようにします。

1. Oracle Enterprise Managerにログインします。

2. 「アプリケーションのデプロイ」に移動します。「OIMAppMetadata(11.1.1.3.0)(oim_server1)」を右クリックし、「システムMBeanブラウザ」を選択します。

3. 「アプリケーション定義のMBean」→「oracle.iam」→「サーバー: oim_server1」→「アプリケーション: oim」→「IAMAppRuntimeMBean」→「UMSEmailNotificationProviderMBean」に移動します。

4. このMBeanで示されたポリシー・プロパティでクライアント側ポリシーの名前を指定します。
表13-1は、UMSEmailProviderMBeanのプロパティを示しています。

表13-1 UMSEmailProviderMBeanプロパティ

プロパティ

説明

enabled

このプロパティの値がtrueの場合、通知電子メールを送信するために通知プロバイダが使用されます。

type

Oracle Identity Managerのこのリリースでは、この値はEMAILのみであり、プロパティは使用されません。

itrName

UMSを介して電子メールを送信するために必要な様々な構成値は、XMLプロパティまたはITリソースで指定できます。構成値がITリソースから読み取られる場合は、ここにITリソースの名前を指定します。ITリソース名が存在する場合、ITリソース構成設定が使用されます。ITリソース名が不正または無効な場合、あるいはITリソース・インスタンスで指定された値が無効な場合、エラーが生成され電子メールは送信されません。

注意: ITリソースの使用は、Oracle Identity ManagerでUMSを構成する場合に推奨されるチャネルではありません。これは、サーバーに電子メールを送信する前に、XMLまたはITリソースで指定された値を検証するメカニズムがないためです。

ws_url

開始するUMS WebサービスのURL。次の形式の任意のSOAサーバーを使用できます。

http://SOA_HOST/SOA_PORT/ucs/messaging/webservice

CSFKey

oracle.wsm.securityマップにあるデフォルトの通知キー。このキーには、OWSMポリシーに必要なユーザー名とパスワードが含まれています。このキーでデフォルトの推奨ユーザー名とパスワードは、WebLogic管理者のユーザー名とパスワードです。サーバー側(SOA)で、いずれかの有効なユーザー名/パスワードに変更できます。Oracle Enterprise Manangerを使用してCSFキーのデフォルト値を編集する詳細は、「通知にUMSを使用するためのOracle Identity Managerの有効化」のステップ5を参照してください。

policies

OWSMポリシーが指定のWebサービスにサーバー・レベルでアタッチされている場合は、対応するクライアント側ポリシーの名前をここに指定します。そうでない場合は、このフィールドを空白のままにしておきます。たとえば、oracle/wss11_username_token_with_message_protection_service_policyがサーバー・レベルで適用される場合は、oracle/wss11_username_token_with_message_protection_client_policyなどの対応するクライアント・ポリシー名をここに指定します。

keystoreAlias

ターゲット・サービスのキーストア別名。キーストア別名の詳細は、Oracle Fusion Middleware Oracle SOA SuiteおよびOracle Business Process Management Suite管理者ガイドのクライアント別名に関する説明を参照してください。

sender

OIMユーザーの有効なユーザー名。このユーザーの電子メールIDが電子メールを送信するために使用されます。

13.1.2 通知へのSMTPの使用

デフォルトでは、SMTP電子メール通知プロバイダは無効化されています。これは、有効化された属性の値をtrueに設定することで有効化されます。EmailNotificationProviderMBean MBeanを使用してSMTP電子メール通知プロバイダのプロパティを構成するには:

1. Oracle Enterprise Managerにログインします。

2. 「アプリケーションのデプロイ」をクリックします。

3. 「OIMAppMetadata(11.1.1.3.0)(oim_server1)」を右クリックし、「システムMBeanブラウザ」を選択します。「システムMBeanブラウザ」が表示されます。

4. 「アプリケーション定義のMBean」→「oracle.iam」→「サーバー: oim_server1」→「アプリケーション: oim」→「IAMAppRuntimeMBean」→「EmailNotificationProviderMBean」に移動します。EmailNotificationProviderMBean MBeanのすべての属性が「属性」タブに表示されます。

デフォルトのSMTP電子メール通知プロバイダのBeanは次のとおりです。

<bean id="EmailServiceProvider" class="oracle.iam.notification.provider.EmailServiceProvider"
lazy-init="true">
<property name="enabled" value="false" />
<property name="type" value="EMAIL" />
<property name="isAuth" value="false"/>
<property name="itrName" value="" />
<!-- Use any existing credential Map e.g. oracle.wsm.security or oim-->
<property name="CSFMap" value="oracle.wsm.security" />
<!-- Either create a new key in above given Map or use existing one e.g. Notification.Provider.Key -->

<property name="CSFKey" value="" />
<property name="connectionTimeout" value="60000" />

<property name="mailServerName" value="" />
<property name="sender" value="xelsysadm" />
</bean>

表13-2に、デフォルトのSMTP電子メール通知プロバイダのプロパティを示します。

表13-2 デフォルトのSMTP電子メール通知プロバイダのプロパティ

プロパティ

説明

enabled

このプロパティは通知プロバイダのステータスを決定します。このプロパティの値がfalseの場合、プロバイダは非アクティブです。プロバイダを有効化するには、値をtrueに変更します。

type

このプロパティは通知プロバイダのタイプを決定します。Oracle Identity ManagerではEmailタイプのみがサポートされています。

isAuth

このフラグの値がfalseの場合、メール・サーバーで認証は必要ありません。その結果、CSFKeyおよびCSFMapの値を指定する必要がありません。ただし、これは使用されているメール・サーバーによって異なります。ほとんどのメール・サーバーはこのフラグをサポートしています。いずれかのメール・サーバーがこのフラグをサポートしていない場合は、CSFKeyおよび対応するCSFMapで認証資格証明を指定する必要があります。

itrName

メール・サーバー・タイプのITリソース・インスタンスを介して接続性情報を提供する場合は、ITリソース・インスタンスの名前をここに指定します。これは推奨されるオプションではありません。

CSFMap

このプロパティは、既存のCSFマップの名前を決定します(oimやoracle.wsm.securityなど)。

CSFKey

このプロパティは、認証証明書(ユーザー名とパスワード)を含むキーの名前をとります。このキーは、マップ名の下に存在します。デフォルトでは、名前がNotification.Provider.Keyという1つのキーが1oracle.wsm.securityマップにあります。このキーはUMS電子メール通知プロバイダに使用され、デフォルトのユーザー名とパスワードはweblogic/weblogic1です。

UMS電子メール・プロバイダが無効化されている場合は、同じマップとキーを使用して、メール・サーバーで認証に必要なユーザー名とパスワードを指定します。そうでない場合は、いずれかのデフォルト・マップに新しいキーを作成し、これらのプロパティでマップの名前とキーを指定します。

CSFキーの追加については、この項で後ほど説明します。

connectionTimeout

ミリ秒単位です。接続確立の最大時間を設定するために必要です。

mailServername

メール・サーバーの名前。

sender

Oracle Identity Managerで電子メールの送信に使用される送信者。

CSFキーを追加するには:

1. Oracle Enterprise Managerにログインします。

2. 「WebLogicドメイン」を展開します。

3. 「base_domain」を右クリックし、「セキュリティ」→「資格証明」を選択します。

4. 「oracle.wsm.security」を展開し、「キーの作成」をクリックします。

5. パスワード・タイプのキーを作成します。キー名、説明、ユーザー名およびパスワードを指定します。「OK」をクリックします。

13.1.3 通知へのSOAコンポジットの使用

デフォルトでは、SOA電子メール通知プロバイダは無効化されています。有効化されたプロパティの値をtrueに変更して、この通知プロバイダを有効化できます。

Oracle Identity Managerで通知にSOAコンポジットを使用するには:

1. SOAコンポジットを通知アクティビティで作成します。詳細は、『Oracle Fusion Middleware Oracle SOA Suite開発者ガイド』の通知サービスの使用に関する説明を参照してください。
図13-1は、式ビルダーを介したコンポジット・ペイロードのマッピング例を示します。

図13-1 コンポジット・ペイロードのマッピング例

「図13-1 コンポジット・ペイロードのマッピング例」の説明

2. SOAコンポジットをSOAサーバーに手動でデプロイします。これを行うには、次のようにします。

1. アプリケーション接続を作成します。これを行うには、次のようにします。
i.JDeveloperでSOAコンポジットを開きます。

ii.プロジェクトを右クリックし、「新規」→「接続」→「アプリケーション・サーバー接続」の順に選択して、新規アプリケーション・サーバー接続を作成します。

iii.接続にSOA_serverという名前を付けて、「次へ」をクリックします。

iv.「接続タイプ」に「WebLogic 10.3」を選択します。

v.認証情報を入力します。一般的な値:

ユーザー名: weblogic

パスワード: weblogic1

vi.「接続」画面で、SOA管理サーバーまたは管理サーバーのホスト名、ポートおよびSSLポートを入力し、WebLogicドメインの名前を入力します。

vii.「次へ」をクリックします。

viii.「テスト」画面で、「接続のテスト」をクリックします。成功メッセージが表示されることを確認します。

2. プロジェクトをデプロイします。これを行うには、次のようにします。
i.プロジェクトを右クリックし、「デプロイ」を選択し、プロジェクト名を選択します。「デプロイ先」オプションを選択してアプリケーション接続(SOA_server)を作成します。ビルド成功メッセージがログに格納されたことを確認します。

ii.デフォルトのリビジョンを入力し、「OK」をクリックします。デプロイ終了のメッセージがデプロイメント・ログに格納されたことを確認します。

3. Enterprise Managerを使用して、「soa-infra」→(メニュー)→「ワークフロー通知プロパティ」に移動し、「通知モード」を「すべて」に設定します。

4. SOAEmailNotificationProviderMBean MBeanを使用してSOA電子メール通知プロバイダのプロパティを構成します。これを行うには、次のようにします。

1. Oracle Enterprise Managerにログインします。

2. 「アプリケーションのデプロイ」を展開します。「OIMAppMetadata(11.1.1.3.0)(oim_server1)」を右クリックし、「システムMBeanブラウザ」を選択します。

3. 「アプリケーション定義のMBean」→「oracle.iam」→「サーバー: oim_server1」→「アプリケーション: oim」→「IAMAppRuntimeMBean」→「SOAEmailNotificationProviderMBean」に移動します。

5. SOAEmailNotificationProviderMBeanで有効化されたプロパティの値をfalseからtrueに変更します。表13-2に、SOA電子メール通知プロバイダのBeanのプロパティを示します。

図13-2 SOAEmailNotificationProviderMBeanプロパティ

「図13-2 SOAEmailNotificationProviderMBeanプロパティ」の説明

表13-3に、SOA電子メール通知プロバイダのプロパティの一部を示します。

表13-3 SOA電子メール通知プロバイダのプロパティ

プロパティ

説明

enabled

このプロパティは通知プロバイダのステータスを決定します。このプロパティの値がfalseの場合、プロバイダは非アクティブです。プロバイダを有効化するには、値をtrueに変更します。

type

このプロパティは通知プロバイダのタイプを決定します。Oracle Identity ManagerではEmailタイプのみがサポートされています。

compositeID

SOAコンポジットの名前を表します。名前にはpkg/Name!versionが含まれます。

serviceName

SOAコンポジットのサービスに付けられる名前。

operationName

SOAコンポジットのプロセスに付けられる名前。

payloadID

SOAコンポジットのペイロードに付けられる名前。

targetNamespace

SOAコンポジットの作成時に生成される各種XMLで指定されるtargetNamespaceの名前。

sender

Oracle Identity Managerで電子メールの送信に使用される送信者。

6. 必要に応じて、ユーザー・メッセージング・ドライバを構成します。ユーザー・メッセージング・ドライバの値を指定しない場合は、デフォルトでローカルLinuxメール・サーバーが使用されます。その他のメール・サーバーを使用するには:

1. Oracle Enterprise Managerにログインします。

2. 「ドライバ固有の構成」で、「ユーザー・メッセージング・サービス」→「usermessagingdriver-email (soa_server1)」→「電子メール・ドライバ・プロパティ」に移動します。

3. 次の必須値を構成します。

- OutgoingMailServer: SMTPサーバーの名前(stbeehive.oracle.comなど)。

- OutgoingMailServerPort: SMTPサーバーのポート(465など)。

- OutgoingMailServerSecurity: SMTPサーバーで使用されるセキュリティ設定。設定可能な値は「なし」、「TLS」または「SSL」です。

- OutgoingUsername: firstname.lastname@abc.comのような有効なユーザー名。

- OutgoingPassword: 「間接パスワード、既存のユーザーの使用」を選択します。「間接ユーザー名/キー」に一意の文字列を入力します(OIMEmailConfigなど)。これによりパスワードがマスクされ、構成ファイルにクリア・テキストで公開されません。このアカウントの有効なパスワードを入力します。

関連項目:

ユーザー・メッセージング・ドライバの構成の詳細は、Oracle Fusion Middleware Oracle SOA SuiteおよびOracle Business Process Management管理者ガイドの電子メール・ドライバの構成に関する説明を参照してください。

7. SOAコンポジットの正常なデプロイメントの後、いずれかのクライアントから通知API (パスワードのリセット・イベントなど)をトリガーします。

13.1.4 カスタム通知プロバイダの構成

デフォルトの通知プロバイダ以外のカスタム通知プロバイダを構成し、使用して、通知を送信できます。

カスタム通知プロバイダを構成するには:

1. oracle.iam.notification.provider.NotificationProviderBaseベース・クラスを拡張して、カスタム通知プロバイダ・クラスを実装します。

2. クラスを含むJARファイルを作成し、UploadJARユーティリティを使用してファイルをアップロードします。UploadJARユーティリティの使用の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のJARおよびリソース・バンドル・ユーティリティのアップロードに関する説明を参照してください。

3. 次のようなXMLファイルを作成します。

<beans xmlns="http://www.springframework.org/schema/beans"\\\\ xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"\\\\ xmlns:util="http://www.springframework.org/schema/util"\\\\ xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.spri ngframework.org/schema/beans/spring-beans-2.0.xsd http://www.springframework.org /schema/util http://www.springframework.org/schema/util/spring-util-2.0.xsd" def ault-lazy-init="true">
<bean id="<customProvider>" class="<oracle.i am.notification.provider.CustomProvider>" lazy-init="true">
<!--Mandatory Attributes-->
<property name="enabled" value="<true>" />
<property name="type" value="EMAIL" />
<!--Optional Atributes-->
<property name="sender" value="SYSTEM_ADMINISTRATOR_USERNAME" />
</bean>
</beans>

有効化されたプロパティ名の値がtrueの場合、このカスタム・プロバイダが通知の送信に使用されます。

4. Oracle Enterprise Managerを使用してXMLファイルをMDSにインポートします。MDSとの間のメタデータ・ファイルのエクスポートおよびインポートの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のユーザーが修正可能なメタデータ・ファイルの移行に関する説明を参照してください。

13.1.5 通知プロバイダの無効化と有効化

UMS通知プロバイダやEmailNotificationProviderなどの通知プロバイダは、Enterprise Managerコンソールを使用して無効化および有効化できます。たとえば、UMS通知プロバイダを無効化するには:

1. Enterprise Managerにログインします。

2. 「アプリケーションのデプロイ」に移動します。

3. 「OIMAppMetadata(11.1.1.3.0)(oim_server1)」を右クリックし、「システムMBeanブラウザ」を選択します。「システムMBeanブラウザ」ペインが表示されます。

4. 「アプリケーション定義のMBean」→「oracle.iam」→「サーバー: oim_server1」→「アプリケーション: oim」→「IAMAppRuntimeMBean」に移動します。

5. 「UMSEmailNotificationProviderMBean」を選択します。

6. 「属性」タブで、有効化されている属性に対応する「値」リストから「false」を選択してUMS通知プロバイダを無効化します。UMS通知プロバイダを有効化するには、「true」を選択します。

13.2 通知テンプレートの管理

表13-4に示すように、Oracle Identity Managerにはデフォルトの通知テンプレート・セットが用意されています。

表13-4 デフォルトの通知テンプレート

通知テンプレート

説明

プロキシ通知の追加

ユーザーにプロキシが追加された後で通知を送信するためのテンプレート

バルク・リクエスト作成

バルク・リクエストの作成中に通知を送信するためのテンプレート

ユーザー・セルフ・サービス通知の作成

新しいユーザーの作成後に通知を送信するためのテンプレート

終了日

報告者の終了日を経過したときにマネージャに通知を送信するためのテンプレート

ユーザー名忘れ通知

ユーザーが「ユーザー名忘れ」フォームを送信した後に通知を送信するためのテンプレート

生成されたパスワードの通知

Oracle Identity Managerによるパスワード生成後に通知を送信するためのテンプレート

Paasバルク・アップロード成功

ユーザー・アップロードの完了時に通知を送信するためのテンプレート

パスワード有効期限切れ通知

パスワードの有効期限が切れた後で通知を送信するためのテンプレート

パスワード警告通知

パスワードの有効期限が切れる前に通知を送信するためのテンプレート

リクエスト作成

リクエストの作成中に通知を送信するためのテンプレート

リクエスト・アイデンティティ作成

ユーザーの作成のリクエスト中に通知を送信するためのテンプレート

リクエスト・ステータス変更

リクエスト・ステータスの変更中に通知を送信するためのテンプレート

パスワードのリセット

パスワードがリセットされた後で通知を送信するためのテンプレート

ユーザーが削除されました

終了日の期限切れにより報告先のユーザー・アカウントが削除されたときにマネージャに通知を送信するためのテンプレート

次の各項で、通知テンプレートについて説明します。

- 通知テンプレートの作成

- 通知テンプレートの検索

- 通知テンプレートの修正

- 通知テンプレートの削除

- 通知テンプレートに対するロケールの追加と削除

- プロキシ用の通知の構成

13.2.1 通知テンプレートの作成

注意:

発生する各イベントに対してXMLファイルを構成する必要があります。XMLファイルは、各イベントの動作を定義します。最初に、イベントのXMLを構成する必要があります。これを行った後で、イベントに対して通知テンプレートを作成できます。

XMLファイルの作成の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のイベント・メタデータの定義に関する説明を参照してください。

通知テンプレートを作成するには:

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「システム管理」で、「通知」をクリックします。「通知」ページが表示されます。

3. 「アクション」メニューから、「作成」を選択します。「テンプレートの作成」ページが表示されます。

4. 「テンプレート情報」セクションで、次のフィールドに値を入力します。

- テンプレート名: テンプレート名を入力します。

- 説明テキスト: テンプレートの簡単な説明を入力します。

注意:

「説明テキスト」フィールドは翻訳できず、表示は英語のみになります。

5. 「イベントの詳細」セクションで、「使用可能なイベント」リストから、使用可能なイベントのリストから通知テンプレートを作成するイベントを選択します。選択内容に応じて、他のフィールドが「イベントの詳細」セクションに表示されます。

6. 「ロケール情報」セクションの下で、次のフィールドに値を入力します。

注意:

デフォルトのロケールの情報はPTY表に格納されており、そこから取得されます。

- エンコーディング形式を指定するには、UTF-8かASCIIのいずれかを選択します。

- 「メッセージの件名」フィールドに、通知の件名を入力します。

- 「タイプ」オプションから、メッセージを送信するデータ型を選択します。「HTML」か「Text/Plain」のどちらかを選択できます。

- 「ショート・メッセージ」フィールドに、メッセージの短縮バージョンを入力します。

- 「ロング・メッセージ」フィールドに、通知として送信されるメッセージを入力します。ステップ7を参照してください。

7. 通知として送信するメッセージ内で、使用可能なデータのトークンを使用するには、次の手順を実行します。

1. リストから属性を選択します。この属性は、「選択したデータ」フィールドに表示されます。

2. 属性をコピーして${}の内側に配置し、メッセージ・テキストに追加します。たとえば、選択したデータがFA_Territoryの場合、${FA_Territory}としてテキスト内に含めます。

図13-3に、サンプル値を使用した「通知テンプレートの作成」ページを示します。

図13-3 「通知テンプレートの作成」ページ

「図13-3 「通知テンプレートの作成」ページ」の説明

8. すべてのフィールドに必要な値を入力し終わったら、「保存」をクリックします。

9. 通知テンプレートの作成を確認するメッセージが表示されます。「OK」をクリックします。

13.2.2 通知テンプレートの検索

拡張管理を使用して、通知テンプレートの単純検索または拡張検索を実行できます。

通知テンプレートの単純検索を実行するには:

1. Oracle Identity System Administrationの「システム管理」で、「通知」をクリックします。拡張管理が表示され、「通知」タブが有効化されています。

2. 「検索」フィールドの横のアイコンをクリックします。図13-4に示すように、左ペインに既存の通知テンプレートすべてが表示されます。

図13-4 通知検索の結果

「図13-4 通知検索の結果」の説明

3. 表示するテンプレートを選択します。選択した通知テンプレートの詳細が、右ペインに表示されます。

通知テンプレートの拡張検索を実行するには:

1. 拡張管理の左ペインで、「拡張検索」をクリックします。図13-5に示すように、「拡張検索」ページが表示されます。

図13-5 「拡張検索」ページ

「図13-5 「拡張検索」ページ」の説明

2. 次の一致オプションのいずれかを選択します。

- すべて: このオプションを選択すると、検索はAND条件で実行されます。つまり、ユーザー入力されたすべての「検索」フィールドに基づいて検索操作が行われます。ユーザー入力がない「検索」フィールドは考慮されません。

- いずれか: このオプションを選択すると、検索はOR条件で実行されます。つまり、指定された選択基準のいずれかに一致する場合に検索操作が成功します。

3. 「テンプレート名」、「イベント名」、「件名の詳細」フィールドで検索基準を指定します。これらのフィールドのうち、検索に含めたくないフィールドは、そのフィールドの横にあるアイコンをクリックして削除できます。検索に含めるフィールドを追加するには、「フィールドの追加」をクリックして、リストからフィールド名を選択します。

4. 「検索」をクリックします。図13-6に示すように、検索結果表にテンプレート名、イベント名および件名の詳細が表示されます。

図13-6 拡張検索の結果

「図13-6 拡張検索の結果」の説明

13.2.3 通知テンプレートの変更

通知テンプレートを変更するには:

1. Identity System Administrationの「システム管理」で、「通知」をクリックします。

2. 変更する通知テンプレートを検索します。

3. 変更するテンプレートを選択します。図13-7に示すように、通知テンプレートの詳細が表示されます。

図13-7 通知テンプレートの変更

「図13-7 通知テンプレートの変更」の説明

4. 目的の値を変更し、「保存」をクリックします。

5. 通知テンプレートの変更を確認するメッセージが表示されます。「OK」をクリックします。

13.2.4 通知テンプレートの削除

通知テンプレートを削除するには:

1. Identity System Administrationの「システム管理」で、「通知」をクリックします。

2. 削除する通知テンプレートを検索します。

3. 削除するテンプレートを選択します。

4. 「アクション」メニューから、「削除」を選択します。削除操作の確認を求めるメッセージが表示されます。「OK」をクリックします。削除操作を確認するメッセージが表示されます。

13.2.5 通知テンプレートに対するロケールの追加と削除

通知テンプレートにロケールを追加するには:

1. Identity System Administrationの「システム管理」で、「通知」をクリックします。

2. ロケールを追加するテンプレートを検索します。

3. 「アクション」メニューから、「ロケールの追加」を選択します。「ロケールの追加」ページが表示されます。

4. 「ロケール名」フィールドで、このフィールドの横のアイコンをクリックしてリストからロケールを選択します。ロケールの選択後、「確認」をクリックします。

5. 「次」をクリックします。「ロケール情報」ページが表示され、追加したロケールがページのタブとして表示されます。

6. 「ロケール情報」セクションで、「通知テンプレートの作成」のステップ6の説明に従って、すべてのフィールドに値を指定し、「保存」をクリックします。ロケールがテンプレートに追加されます。

注意:

通知は、通知テンプレートに追加されたすべてのロケールに送信できます。ユーザーは、ユーザー・プリファレンスで指定されたのと同じロケールで通知を受け取ります。ユーザー・プリファレンスでロケールが指定されていない場合は、通知はデフォルトのロケールで送信されます。デフォルトのロケールは、インストール時にOracle Identity ManagerデータベースのPTY表に指定されたものです。

通知テンプレートからロケールを削除するには:

1. ロケールを削除する通知テンプレートを検索します。検索結果表からテンプレートを選択します。

2. 「アクション」メニューから、「ロケールの削除」を選択します。「ロケールの削除」ページが表示されます。

3. 「ロケール名」フィールドの横のアイコンをクリックし、リストからロケールを選択します。テンプレートに複数のロケールが含まれている場合のみ、テンプレートからロケールを削除できます。テンプレートに関連付けられたロケールが1つのみの場合は、ロケールを削除することはできません。「保存」をクリックします。

4. ロケールの削除を確認するメッセージが表示されます。「OK」をクリックします。

注意:

デフォルトのロケールは削除しないでください。ユーザー優先ロケールが設定されていない場合や、通知テンプレートにユーザー優先ロケールに一致するロケール・テンプレートが含まれていない場合でも通知が必ず送信されるようにするためには、これが必要です。

13.2.6 プロキシ用の通知の構成

プロキシ用の通知を構成するには、次の手順を使用します。

1. 新しい電子メールITリソースを構成します。

2. 新規ユーザーを作成します。(たとえば、ユーザーJane Doeを作成します。)

3. 2人目のユーザーを作成します。(たとえば、ユーザーJohn Doeを作成します。)

4. ユーザーJane DoeをJohn Doeのマネージャとして割り当てます。

5. John Doeに自分の電子メールIDを指定し、通知を自分の受信ボックスで受信できるようにします。

6. Jane Doeとしてログインし、Oracle Identity Self Serviceに移動します。

7. 「プロファイル」で、「本人情報」を選択します。「本人情報」ページが表示されます。

8. 「プロキシ」を展開します。「プロキシ」セクションで、John DoeをJane Doeのプロキシとして追加します。

注意:

プロキシが正常に追加されると、ユーザー(この場合はJohn Doe)は次のような電子メール通知メッセージを受け取ります。

Jane Doe [JANED]のプロキシが2012年4月9日12:00:00 AMから2010年4月30日12:00:00 AMまで作成されています。

13.3 デフォルト電子メール・プロバイダの構成

Oracle Identity Managerでは、ユーザーの作成やパスワードのリセットなどの操作中に電子メール通知が送信されます。電子メール・プロバイダには、デフォルトとUMSプロバイダの2種類があります。この項では、電子メール通知の送信用にデフォルト電子メール・プロバイダを構成する方法を説明します。

デフォルト電子メール・プロバイダを構成するには:

1. 電子メール・プロバイダ構成をOracle Enterprise Managerで確認します。構成を必要に応じて変更します。

2. Oracle Identity System Administrationにログインし、電子メール・サーバーの名前のITリソースを指すように「電子メール・サーバー」システム・プロパティ値を設定します。このシステム・プロパティの詳細は、「システム・プロパティの管理」を参照してください。

3. 電子メール・サーバーのITリソースが存在することを確認します。このITリソースにはメール・サーバーがITリソース・タイプとして存在する必要があり、localhostなどのサーバー名を持つ必要があります。このITリソースがメール・サーバーにない場合、ITリソースを作成します。ITリソースの作成の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のITリソースの作成に関する項を参照してください。

13.4 SOA電子メール通知の構成

この項の内容は次のとおりです。

- SOAにおけるアクション可能な電子メール通知の構成

- SOA電子メール通知のトラブルシューティング

13.4.1 SOAにおけるアクション可能な電子メール通知の構成

電子メール通知をSOAで構成にするには:

1. 電子メール通知をSOAで構成する手順を実行する前に、次を確認してください。

- タスクを割り当てられたユーザーが、Oracle Identity Managerで設定された有効な電子メール・アカウントを所持していることを確認します。

- 電子メール通知をアクション可能にする場合(承認や却下のリクエストを電子メールから可能にするなど)、アクションを通知で送信するようにヒューマン・タスクが構成されていることを確認します。そのためには、SOAコンポーザを使用することでこれを確認できます。SOAコンポーザにWeblogicユーザー(http://soa_host:soa_port/soa/composer)としてログインします。メニューを開く→「オープン・タスク」に移動します。ポップアップで、設定を確認する対象ヒューマン・タスクを選択します(図1)。

1. 次のURLを使用して、SOAコンポーザにWeblogicユーザーでログインします。
http://SOA_HOST:SOA_PORT/soa/composer

2. メニューを開く→「オープン・タスク」に移動します。

3. 「通知設定」ダイアログ・ボックスで、設定を確認する対象ヒューマン・タスクを選択します。

4. 「通知をアクション可能にする」オプションが選択されていることを確認します。

2. Oracle Enterprise ManagerにWeblogicユーザーとしてログインします。

3. 「SOA」に移動します。「soa-infra (soa_server_name)」を右クリックし、「SOA管理」→「ワークフロー通知プロパティ」を選択します。

4. 「通知モード」リストから、「電子メール」を選択します。

5. 次の値を入力します。

- 電子メール: 送信者アドレス: 通知が承認者に送信される送信元電子メール・アカウント

- 電子メール : アクション可能なアドレス: 電子メールを介して承認者が送信する承認レスポンスや却下レスポンスを受信する電子メール・アカウント

- 電子メール: 返信先アドレス: オプションの返信先電子メール・アドレス(no.reply@yourdomain.comなど)

6. 「適用」をクリックします。

7. 「ユーザー・メッセージング・サービス」に移動します。「usermessagingdriver-email (soa_server_name)」を右クリックし、「電子メール・ドライバ・プロパティ」を選択します。

8. 「ドライバ固有の構成」セクションで電子メール通知が適切に動作するように次の最小属性を構成します。

- MailAccessProtocol: 「IMAP」またはPOP3を選択します

- OutgoingMailServer: SMTPサーバーの名前(myhost.mycompany.comなど)

- OutgoingMailServerPort: SMTPサーバーのポート(465など)

- OutgoingDefaultFromAddress: OutgoingMailServerと同じ

- OutgoingPassword: パスワードをクリアテキストでdriverconfig.xmlに格納したり、間接オプションを使用してパスワードをCSFで格納できます。

- IncomingMailServer: 受信メール・サーバーのホスト名。電子メールの受信がドライバ・インスタンスでサポートされている場合のみ必要です。

- IncomingMailIDs: ユーザー名に対応する電子メール・アドレス。各電子メール・アドレスはカンマで区切られ、対応するユーザー名がユーザー名リストに表示されているとおりに、リスト内で同じ位置に配置されている必要があります。電子メールの受信がドライバ・インスタンスでサポートされている場合のみ必要です。

- IncomingUserPasswords: パスワードをクリアテキストでdriverconfig.xmlに格納したり、間接オプションを使用してパスワードをCSFで格納できます。

- Debug(オプション): これをtrueに設定すると、すべての電子メール・アクティビティがSOAサーバーのコンソールのログに記録されますが、SOAログ・ファイルには記録されません。通知が適切に動作することを確認するまでこれをtrueに設定します。

関連項目:

ドライバ固有の構成とヒューマン・ワークフロー・サービス・コンポーネントの詳細は、Oracle Fusion Middleware Oracle SOA SuiteおよびOracle Business Process Management Suite管理者ガイドのヒューマン・ワークフロー・サービス・コンポーネントとエンジンの構成に関する項およびOracle User Messaging Serviceの構成に関する項を参照してください。

9. SOA管理対象サーバーを再起動します。

10. リクエストを発生させることでヒューマン・タスクを生成します。

11. 電子メール・クライアントを使用して、ユーザーの電子メール・アカウントにあるメールをチェックします。

13.4.2 SOA電子メール通知のトラブルシューティング

SOA電子メール通知で発生した問題をトラブルシューティングするには、次の事項を検討してください。

- 通知の送受信で問題が発生した場合、「デバッグ」オプションをドライバ固有の構成で有効にします。電子メール・ドライバのプロパティを変更した場合、SOAサーバーを再起動します。

- テスト通知を送信します。これを行うには、次のようにします。

1. Oracle Enterprise Managerにログインします。

2. 「SOA」に移動します。「soa-infra (soa_server_name)」を右クリックし、「サービス・エンジン」→「ヒューマン・ワークフロー」→「通知管理」→「テスト通知の送信」を選択します。

- 電子メール・サーバーとアカウントが動作していることを確認します。電子メール・クライアントを使用して電子メールの送受信を試行します。

- SOAサーバーのログを確認します。通常、メッセージング・サービス構成のユーザーが問題となります。デバッグ・オプションを有効にすると、SOAサーバーのログにデバッグ情報が格納されます。

- 電子メールが特定の電子メール・アカウントに送信されていない場合(適切でない構成が原因)、SOAサーバーでは不正アドレスとマークします。そのような不正アドレスを手動で削除する必要があります。これを行うには、次のようにします。

1. Oracle Enterprise Managerにログインします。

2. 「SOA」に移動します。「soa-infra (soa_server_name)」を右クリックし、「サービス・エンジン」→「ヒューマン・ワークフロー」→「通知管理」→「不正アドレスの表示」→「不正アドレスの削除」を選択します。

13.5 電子メール通知の使用不可

ユーザーがUIやSPMLにより作成されると、次のシナリオでイベント・ハンドラにより通知が送信されます。

関連項目:

イベント・ハンドラの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のイベント・ハンドラの開発に関する項を参照してください。

- SelfServiceNotificationHandlerの結果としてユーザーは手動パスワードで作成されます。電子メール通知の送信を無効にするには、MDSの/metadata/iam-features-selfservice/event-definition/EventHandlers.xmlでSelfServiceNotificationHandlerセクションを削除します。

- PasswordNotificationHandlerの結果としてシステム管理者が自動生成パスワードのユーザーを作成します。電子メール通知の送信を無効にするには、MDSの/metadata/iam-features-passwordmgmt/event-definition/EventHandlers.xmlファイルでPasswordNotificationHandlerセクションを削除します。

- システム管理者がパスワードを手動で変更します。UIで選択されている電子メール・チェック・ボックスに基づいて通知を無効にできます。

- ResetPasswordActionHandlerの結果としてシステム管理者が自動生成パスワード(パスワードのリセット)でパスワードを変更します。これは、無効にできる後処理イベント・ハンドラではありません。

電子メール通知を使用不可にするには:

1. Oracle Enterprise Managerを使用してMDSから/metadata/iam-features-selfservice/event-definition/EventHandlers.xmlファイルをエクスポートします。『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のユーザーが修正可能なメタデータ・ファイルの移行に関する項を参照してください。

注意:

後で参照するために、EventHandlers.xmlのコピーをローカルに保存します。

2. EventHandlers.xmlファイルから次を削除します。

<postprocess-handler
class="oracle.iam.selfservice.uself.uselfmgmt.impl.handlers.create.SelfServiceNotificationHandler"
entity-type="User"
operation="CREATE"
name="SelfServiceNotificationHandler"
order="1160"
stage="postprocess"
sync="TRUE">
</postprocess-handler>

3. Oracle Enterprise Managerを使用してMDSから/metadata/iam-features-passwordmgmt/event-definition/EventHandlers.xmlファイルをエクスポートします。

4. EventHandlers.xmlファイルから次を削除します。

<postprocess-handler
class="oracle.iam.passwordmgmt.eventhandlers.PasswordNotificationHandler"
entity-type="User" operation="CREATE" name="PasswordNotificationHandler"
order="1180" stage="postprocess" sync="TRUE">
</postprocess-handler>

5. 『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のユーザーが修正可能なメタデータ・ファイルの移行に関する項に記載されている指示に従って、ファイルをMDSにインポートします。

6. ファイルを再びエクスポートして、編集内容がMDSに正常にアップロードされていることを確認します。

7. Oracle Identity System Administrationにログインし、「リコンシリエーションで通知を送信する必要があるかどうか」システム・プロパティをFALSEに設定します。このシステム・プロパティの詳細は、「システム・プロパティの管理」を参照してください。

13.6 通知構成のテスト

この項では、次の通知構成テストについて説明します。

- UMS電子メール通知のテスト

- SMTP接続のテスト

13.6.1 UMS電子メール通知のテスト

run.shスクリプトを使用すると、通知をUMS経由で送信できます。スクリプトで通知がUMS経由で正常に送信された場合、構成は適切です。

UMS電子メール通知をテストするには:

1. UMS通知が構成されているホストの同じディレクトリにrun.shスクリプトとClientNotificationTest.classファイルをコピーします。

2. 次の値でrun.shスクリプトを編集します。
APPSERVER_TYPE=wls

JAVA_HOME=VALID_JAVA_HOME

OIM_HOME=OIM_HOME

OIM_ORACLE_HOME=VALID_OIM_ORACLE_HOME

3. 次のコマンドを使用してrun.shスクリプトを実行します。

sh run.sh OIM_HOST OIM_PORT SYS_ADMINISTRATOR_PASSWORD VALID_OIM_USER_WITH_VALID_EMAIL_ID

このコマンド構文:

- OIM_HOSTは、Oracle Identity Managerがデプロイされているホストです。

- OIM_PORTはOracle Identity Managerのポートです。

- SYS_ADMIN_PASSWORDはシステム管理パスワードです。

- VALID_OIM_USER_WITH_VALID_EMAIL_IDは、Oracle Identity Managerにおいてメール送信先として有効な電子メールIDのある有効なユーザーです。

次に、run.shコマンドの例を示します。

sh run.sh myhost.mycompany.com 8003 adminuser Welcome1 testuser

注意:

メールがユーザーの電子メールIDに送信されるまで時間がかかる場合があります。

13.6.2 SMTP接続のテスト

SMTP接続をホストから確認するには、次に示すように、ホストからtelnetを実行し、テスト・メールを送信できます。

>> [aime@slcaa403 config]$ telnet internal-mail-router.mycompany.com 25

>> Trying 192.0.2.20...

>> Connected to internal-mail-router.oracle.com (192.0.2.1).

>> Escape character is '^]'.

>> 220-myhost.mycompany.com ESMTP Oracle Corporation - Unauthorized Use Prohibited

>> 220 Ready at Wed, 11 Jan 2012 09:30:44 GMT

>> MAIL From:<john.doe@mycompany.com>

>> 503 5.0.0 Polite people say HELLO first

>> Hello mycompany.com

>> 250 myhost.mycompany.com Hello anotherhost.mycompany.com [192.0.2.21],

pleased to meet you

>> MAIL From:<john.doe@mycompany.com>

>> 250 2.1.0 <john.doe@mycompany.com>... Sender ok

>> RCPT To:<john.doe@mycompany.com>

>> 250 2.1.5 <john.doe@mycompany.com>... Recipient ok

>> DATA

>> 354 Enter mail, end with "." on a line by itself

>> Testing internal mail router.

>> .

>> 250 2.0.0 q0B9Ui4h013576 Message accepted for delivery

>>

14 スケジューラの管理

Oracle Identity Managerでは、様々なアクティビティを管理するために、ジョブを指定された時間に定期的に実行する必要があることがよくあります。スケジューラにより、事前定義済のスケジュール済タスクを指定された時間に自動的に実行するジョブをスケジュールできます。これについて、次の例で説明します。

組織のセキュリティ・ポリシーを満たすために、従業員が製品アプリケーションのパスワードを60日ごとに変更する必要があるとします。このために、システム管理者は、製品アプリケーションのパスワードが期限切れになったすべての従業員に、電子メールが送信されるようにする必要があります。1つの方法は、パスワードが期限切れになったユーザーのセットを識別し、各従業員に手動で電子メールを送信することです。また別の方法として、システム管理者は、スケジューラなどのサービスを使用することもできます。Oracle Identity Managerには、パスワード警告タスクと呼ばれる、事前定義済のスケジュール済タスクがあります。システム管理者は、このスケジュール済タスクを使用し、意図したスケジュールでスケジュール済ジョブを作成できます。

関連項目:

パスワード警告タスク・スケジュール済タスクの詳細は、表14-2「事前定義済のスケジュール済タスク」を参照してください。

スケジューラを使用して、設定された時間にジョブで実行されるようにする独自のスケジュール済タスクを作成することもできます。

スケジュール済タスクは、実行されるジョブのメタデータと、そのタスクの実行に必要なパラメータを構成したものです。このメタデータは、事前定義済タスク用に事前定義されています。ユーザーは新規タスクを追加して新規メタデータを構成したり、既存タスクを更新して他の構成詳細用にパラメータの追加や更新を行うこともできます。ジョブは、指定された間隔で実行されるようにスケジュールできます。異なる時間間隔で実行するようにスケジュールされた複数のジョブを作成できます。ジョブ実行とは、ジョブの特定の実行のことです。各ジョブ実行には開始時間、停止時間、例外および実行のステータスなどの情報が含まれます。

この章の内容は次のとおりです。

- oim-config.xmlファイルの構成

- スケジューラの起動と停止

- スケジュール済タスク

- ジョブ

14.1 oim-config.xmlファイルの構成

Oracle Identity Managerのインストール後に、メタデータ・ストア(MDS)の次の場所にあるoim-config.xmlファイル内のScheduler要素の子要素を編集して、スケジューラ設定を構成できます。

db/oim-config.xml

関連項目:

MDSに対するデータのインポートとエクスポートの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のユーザーが修正可能なメタデータ・ファイルの移行に関する説明を参照してください。

表14-1に、oim-config.xmlファイルのScheduler要素内で構成できるデフォルトの要素をリストします。

注意:

新しい構成可能な子要素を追加できます。新しい子要素については、次のURLを参照してください。

http://www.quartz-scheduler.org/

表14-1 Scheduler要素の子要素

Scheduler要素内の要素

説明

DSJndiURL

この要素は、アプリケーション・サーバーでトランザクション・データ・ソースの構成に使用されます。これは接続を確立するためにQuartzによって使用されます。

デフォルト値: jdbc/operationsDB

nonTxnDSJndiURL

この要素は、アプリケーション・サーバーでの非トランザクション・データ・ソースの構成に使用されます。これは接続を確立するためにQuartzによって使用されます。

デフォルト値: jdbc/oimJMSStoreDS

Clustered

Oracle Identity Managerがクラスタ環境にインストールされている場合は、trueを入力します。そうでない場合は、falseを入力します。

デフォルト値: true

注意: クラスタ環境では、クラスタのすべてのノードの時計を同期させる必要があります。

implementationClass

スケジューラを実装するJavaクラスの名前を入力します。

デフォルト値: oracle.iam.scheduler.impl.quartz.QuartzSchedulerImpl

instanceID

この要素に一意の文字列値を入力します。この値は、Oracle Identity Managerスケジューラ・インスタンスを一意に識別する文字列を表します。

注意: クラスタ環境では、クラスタの各ノードが一意のInstanceIdを持つ必要があります。これを達成するには、InstanceId要素に値AUTOを入力します。

startOnDeploy

Oracle Identity Managerの起動時にスケジューラ・サービスを自動的に起動しないようにするには、falseを入力します。そうでない場合は、trueを入力します。

デフォルト値: true

threadPoolSize

この要素に整数値を入力します。この値は、ジョブの実行に使用する必要があるスレッド数を表します。

デフォルト値: 10

14.2 スケジューラの起動と停止

「スケジューラのステータス」ページは、スケジューラの現在のステータスを表示する認証されたUIページです。指定されたどのインスタンスでも、スケジューラのステータスは次のいずれかになります。

- 起動済
スケジューラが起動済ステータスの場合は、ジョブをスケジュールでき、すでにスケジュールされているジョブは、スケジュールされた時間に実行を継続します。

- 停止済
スケジューラが停止済ステータスの場合は、すべてのジョブが停止されます。ジョブの実行中にスケジューラが停止済ステータスになると、現在実行中のジョブが停止されます。また、実行するようスケジュールされているジョブは実行されませんが、実行のための発行はスケジュールに従って行われます。後でスケジューラ・サービスが起動されたときに、すべての発行済ジョブが実行されます。

「スケジューラのステータス」ページの「最後のエラー」フィールドには、詳細なエラー・メッセージも表示されます(ある場合)。

「スケジューラのステータス」ページを使用して、スケジューラを起動、停止または再初期化できます。

Oracle Identity Managerのインストール後、スケジューラのステータスはデフォルトで起動済になっています。ただし、なんらかの理由でスケジューラを停止して再起動する場合は、この項で説明する手順に従う必要があります。

スケジューラを起動または停止するには:

注意:

- スケジューラを起動または停止するには、スケジューラ管理者ロールが必要です。

- クラスタ環境では、この手順をクラスタの各ノードで実行する必要があります。

1. Webブラウザを使用して次のURLにアクセスします。
http://OIM_HOST:OIM_PORT/SchedulerService-web/status

このURLで、OIM_HOSTはOracle WebLogic Application Serverをホストするコンピュータの名前を表し、OIM_PORTはサーバーがリスニングしているポートを参照します。Oracle WebLogic Application Serverのデフォルトのポート番号は7001です。

2. ユーザーIDとパスワードを入力し、「OK」をクリックします。
「スケジューラのステータス」ページが表示されます。

注意:

シングル・サインオン環境で作業している場合は、スケジューラ・サービスに自動的にログインされることがあります。

3. 実行するアクションのタイプに応じて、次のいずれかをクリックします。

- START: スケジューラを起動するには、このボタンをクリックします。

- STOP: スケジューラを停止するにはこのボタンをクリックします。これにより、スケジューラおよびさらなるトリガーの実行が停止されますが、すでに実行されているジョブは停止も中断もされません。スケジューラ・サービスが再開されると、ジョブはスケジュールに従って適切な時間に実行されます。

14.3 スケジュール済タスク

Oracle Identity Managerでは、メタデータはデフォルトのスケジュール済タスク用に事前定義されています。ユーザーは新しいメタデータを含む新しいタスクを追加したり、既存のタスクを更新してパラメータやその他の構成詳細を追加または更新したりできます。

たとえば、ターゲット・システムで定期的に新しい情報をチェックしてOracle Identity Managerに同じものを複製するスケジュール済タスクを使用して、リコンシリエーション実行を構成できます。各スケジュール済タスクは、次のメタデータ情報を含みます。

- スケジュール済タスクの名前

- スケジュール済タスクを実行するJavaクラスの名前

- 説明

- 再試行

- (オプション)スケジュール済タスクを受け入れるパラメータ。各パラメータには次の追加情報が含まれます。

- 名前

- データ型

- 必須/オプション

- ヘルプ・テキスト

- 暗号化

この項の内容は次のとおりです。

- 事前定義済のスケジュール済タスク

- LDAPスケジュール済タスク

- カスタムのスケジュール済タスクの作成

14.3.1 事前定義済のスケジュール済タスク

Oracle Identity Managerのこのリリースには、ジョブの作成または操作中に使用可能な事前定義済のスケジュール済タスク・セットが用意されています。表14-2に、事前定義済のスケジュール済タスクのリストを示します。

表14-2 事前定義済のスケジュール済タスク

ジョブ名

説明

ユーザー構成可能属性

デフォルトで有効化

パスワード期限切れタスク

このスケジュール済タスクは、タスクが実行された時点でパスワードの有効期限を経過していたユーザーに電子メールを送信し、ユーザー・プロファイルのUSR_PWD_EXPIREDフラグを更新します。

電子メール定義名: パスワード有効期限切れ通知をユーザーに送信するために、Design Consoleで作成された電子メール定義の名前。デフォルト値は「パスワード期限切れ」です。

はい

パスワード警告タスク

このスケジュール済タスクは、タスクが実行された時点でパスワードの警告日を経過しているユーザーに電子メールを送信し、ユーザー・プロファイルのUSR_PWD_WARNEDフラグを更新します。

電子メール定義名: パスワード有効期限切れ警告通知をユーザーに送信するために、Design Consoleで作成された電子メール定義の名前。デフォルト値は「パスワードの期限切れ警告」です。

いいえ

ユーザー操作

このスケジュール済タスクは、UserLogin属性で指定されたユーザー・アカウントで、UserOperation属性により指定された操作を実行します。

- UserLogin: ユーザー・アカウントのユーザーID

- UserOperation: ユーザー・アカウントで実行する操作。この属性の値は、「有効化」、「無効化」、「削除」のいずれかです。

いいえ

アテステーション猶予期間期限切れチェッカー

このスケジュール済タスクは、猶予期間の満了後にアテステーション・プロセスを委任します。

なし

はい

タスクのエスカレーション

このスケジュール済タスクは、スケジュール済タスクが実行された時点でエスカレーション時間が経過している保留タスクをエスカレーションします。

なし

はい

時間経過タスクの再試行

このスケジュール済タスクは、再試行時間が経過し、再試行回数が1以上の却下されたタスクに対して再試行タスクを作成します。

なし

はい

ユーザーのプロビジョニング解除された日を設定

プロビジョニング解除日は、ユーザー・アカウントの作成時に定義されます。このスケジュール済タスクの実行時点でプロビジョニング解除日が経過していたユーザーに対して、現在の日付をプロビジョニング解除された日付として設定します。

なし

はい

終了日後のユーザーを無効化/削除

終了日は、ユーザー・アカウントの作成時に定義されます。このスケジュール済タスクは、タスクの実行時点で、ユーザー・アカウントの終了日が現在の日付よりも過去の日付である場合、ユーザー・アカウントを無効にします。

注意: このスケジュール済タスクを30分または1時間ごとに実行することをお薦めします。

なし

はい

ユーザーのプロビジョニングされた日を設定

このスケジュール済タスクは、次の条件にすべて該当するユーザーについて、プロビジョニングされた日を現在の日付に設定します。

- プロビジョニング日が過去の日付です。

- プロビジョニング解除された日が設定されていません。

- プロビジョニング解除日に達していないか、NULLです。

なし

はい

開始日後のユーザーを有効化

開始日は、ユーザー・アカウントの作成時に設定されます。このスケジュール済タスクは、開始日を経過しており、ユーザー・ステータスが「開始日まで無効」であるユーザー・アカウントを有効にします。ユーザーはこのスケジュール済タスクを介して有効化され、ユーザーがアクティブになります。

なし

はい

オープン・タスクの削除

このスケジュール済タスクは、オープン・タスクに関する情報を、Oracle Identity System Administrationに表示されるリストのソースとして機能する表から削除します。

日数制限

オープン・タスクに関する情報を削除するまで表に保持しておく必要のある日数。

デフォルトでは、この属性は指定されず、無効になっています。時間を有効にして構成する必要があります。

いいえ

監査メッセージ発行タスク

このスケジュール済タスクは、監査メッセージの詳細をaud_jms表からフェッチし、aud_jms表の特定の識別子および監査者のエントリについてJMSメッセージを1つ送信します。MDBで対応する監査メッセージが処理されます。

最大レコード数: この属性を使用し、指定されたスケジュール済タスクの実行について処理される監査メッセージの最大数を指定します。この属性のデフォルト値は、400です。

はい

アテステーション・プロセスの起動

このスケジュール済タスクは、アテステーション・エンジンを呼び出し、経過した時間に実行するようスケジュールされているアテステーション・プロセスを実行します。

なし

はい

リクエスト実行スケジュール済タスク

これは、ステータスが「リクエストが完了待ちです」のリクエストを定期的に検索するスケジュール済タスクで、リクエスト発行時に設定された有効日が現在日以前の場合は、リクエストを次の段階「操作が開始されました」に進めます。

ジョブ周期設定: この属性を使用して、スケジュール済タスクを実行する時間間隔を指定します。

デフォルト値は6時間です。

はい

失敗した非同期タスクの自動再試行

このスケジュール済タスクは、失敗した非同期タスク(JMSメッセージ)を再試行します。タスクの実行が成功すると、失敗タスクのリストから削除されます。失敗すると、再試行回数を1つ増やします。失敗タスクを再試行する最大回数は、async-messaging.xmlでそのタスクに対して定義されているmaxRetriesによって決まります。

なし

はい

ユーザー・ポリシーの評価

このスケジュール済タスクは、アクセス・ポリシーを評価します。

スレッド数: この属性を使用して、再評価を処理するスレッドの合計数を指定します。

デフォルト値は20です。

バッチ・サイズ: この属性を使用して、1つのイテレーションで処理されるデータベースからのレコード数をフェッチします。

デフォルト値は500です。

時間制限(分): この属性を使用してスケジュール・タスクを停止するまでの時間を分単位で指定します。

デフォルトでは、この属性は指定されず、無効になっています。時間を有効にして構成する必要があります。

はい

ユーザーの自動ロック解除

このスケジュール済タスクは、指定された日数後にユーザーを自動的にロック解除します。

なし

はい

ユーザーの遅延削除

このスケジュール済タスクは、削除日が今日に設定されているユーザーを自動的に削除します。このスケジュール済タスクは、ユーザーが削除されたときにユーザーが無効状態になる期間を示すXL.UserDeleteDelayPeriodシステム・プロパティを読み取ります。このスケジュール済タスクは、この期間が経過したすべてのユーザーを検出し、ユーザーを削除済としてマークします。

注意: XL.UserDeleteDelayPeriodシステム・プロパティの詳細は、「Oracle Identity Managerのシステム・プロパティ」を参照してください。

Oracle Identity Manager 11g リリース1(11.1.1.5)では、このスケジュール済タスクはデフォルトでアクティブではありません。Oracle Identity Manager 11g リリース1(11.1.1.3)では、このスケジュール済タスクはデフォルトでアクティブです。ただし、Oracle Identity Managerをリリース1(11.1.1.3)からリリース1(11.1.1.5)にアップグレードした場合、このスケジュール済タスクの状態は変化しません。

注意: このスケジュール済タスクを頻繁に実行することをお薦めします(たとえば、1時間ごと)。

なし

いいえ

権限割当て

このスケジュール済タスクは、「エンタイトルメント」フィールドがtrueとしてマークされている子プロセスフォーム表から権限割当てスキーマを移入します。

RECORDS_TO_PROCESS_IN_BATCH: バッチで処理するレコード数。

いいえ

権限リスト

このスケジュール済タスクは、子プロセス・フォームのフィールド「エンタイトルメント」がtrueとしてマークされている参照表から「エンタイトルメント」スキーマを移入します。

なし

いいえ

SODチェック結果承認の取得

このスケジュール済タスクは、SoDサーバー、たとえば、OAACG、SAP、GRCから、SoDチェック結果待ちのすべてのリクエストに対してSoD評価結果を返します。これにはSoDCheckResultと該当するデータセット属性の違反が反映されます。「SoDチェック結果が保留中です」状態で、「SoDチェックが完了しました」としてマークされているすべてのリクエストが選択されます。

なし

いいえ

SODチェック結果プロビジョニングの取得

このスケジュール済タスクは、保留中のすべてのSoDCheckプロビジョニング・タスクに対して、SoDサーバー、たとえばOAACG、SAP、GRCからのSoD評価の結果を返します。これにはSoDCheckResultおよび該当するプロセス・フォーム属性の違反が反映されます。

なし

いいえ

非スケジュール・バッチ・リコンシリエーション

このスケジュール済タスクは、PeopleSoftなど、スケジュールされていないタスクをベースとしたコネクタによって作成されたすべてのイベントの処理を試みます。このようなコネクタによって作成されたイベントは、「イベントを受信しました」または「データを受信しました」のいずれかの状態で、イベント・セットによって指定されたバッチ・サイズに達した場合またはこのスケジュール済タスクを介してのみ処理されます。このタスクは、設定に従って、未処理のスケジュールされていないタスクをベースとしたイベントをすべて選択し、それらを処理するためにリコンシリエーション・エンジンに送信します。

なし

いいえ

編成プロセス削除タスク

このスケジュール済タスクは、完了したすべての親編成プロセスを削除します。

バッチ・サイズ: この属性を使用して、繰返しごとに削除される完了済編成プロセスの数を指定します。

1つのバッチのみ削除: この属性を使用して、値trueまたはfalseを指定します。trueを指定すると、単一バッチのみが削除されます。falseを指定すると、すべての完了済イベントが一度にバッチで削除されます。

はい

マテリアライズド・ビューのリフレッシュ

マテリアライズド・ビューは、リコンシリエーションに関連するレポートの生成に使用されます。このビューは定期的に(指定された間隔で、たとえば1日に1回)更新する必要があります。そのため、ビューを定期的に更新するために、このスケジュール済タスクが作成されました。

なし

いいえ

開始されていない承認SODチェックの再送信

このスケジュール済タスクは、SoDCheckStatusが「SoDチェックが開始されていません」または「SoDチェックがエラーで完了しました」である保留リクエストのSoDチェックを開始しようとします。保留リクエストとは、最初の試行でSoDの開始に失敗し、特定の承認レベルを得るために保留になっているリクエストです。

なし

いいえ

開始されていないプロビジョニングSODチェックの再送信

このスケジュール済タスクは、すべての保留中のSoDCheckプロビジョニング・タスクに対してJMSメッセージを送信することにより、SoDチェックの開始を試みます。SoDチェックの開始は、ダイレクト・プロビジョニングによる権限の追加/更新時にSoDサーバーがダウンしていると失敗する可能性があります。

なし

いいえ

リコンシリエーションの再試行スケジュール済タスク

このスケジュール済タスクは、ステータスが「失敗」に設定されているユーザーに対して、失敗したリコンシリエーション・イベントを処理します。

なし

はい

将来日付のリコンシリエーション・イベントを実行

このスケジュール済タスクは、ステータスが遅延に設定されているユーザーに対して、現在日のリコンシリエーション・イベントを処理します。

なし

いいえ

ジョブ履歴のアーカイブ

このスケジュール済タスクは、ジョブ履歴のエントリをアーカイブまたはパージするために設計されたものです。

アーカイブ日: この属性を使用して、レコードをアーカイブまたはパージする期限日を指定します。

バッチ・サイズ: この属性を使用して、レコードを処理するバッチのサイズを指定します。

操作タイプ: この属性を使用して操作タイプを指定します。アーカイブまたはパージのいずれかの値を指定します。

デフォルト値は、アーカイブです。

いいえ

バルク・ロードの後処理

このスケジュール済タスクは、バルク・ロード・ユーティリティの後処理ジョブを開始します。

- レコード処理のバッチ・サイズ: ユーザー・レコードは、バッチで処理されます。この属性はバッチのサイズを指定するため、値を持っている必要があります。デフォルトは500です。

- パスワードの生成: この属性は、バルク・ロード・ユーティリティでユーザーが作成されたときに、パスワードを自動的に生成するかどうかを指定します。値としてYesまたはNoを持っている必要があります。デフォルトはYesです。

- Ldap同期: この属性は、バルク・ロード・ユーティリティを使用してOracle Identity Managerで作成したユーザーを、LDAPが有効化されている環境のLDAPリポジトリにも作成するかどうかを指定します。この属性は値としてYesまたはNoを持っている必要があります。デフォルトはNoです。

- 通知: この属性は、バルク・ロード・ユーティリティを使用して作成されたユーザーが、電子メールで通知されるかどうかを指定します。値としてYesまたはNoを持っている必要があります。デフォルトはYesです。

- ユーザーIDの処理: この属性は、処理が必要なユーザー・キー(Oracle Identity Manager Database内)の範囲を指定します。これらのキーは、バルク・ロード・ユーティリティを使用して作成されたユーザーと関連付けられます。これは、開始(From:)から終了(To:)までの範囲を定義します。

いいえ

バルク・ロードのアーカイブ・ジョブ

このスケジュール済タスクは、バルク・ロードの後処理中に使用された、Oracle Identity Managerデータベース・ステージング表内の処理済エントリをクリーンアップします。

- アーカイブ日: この属性は、レコードをパージする期限日を指定します。これは値を持っている必要があります。形式は、ddMMyyyyまたはMMM dd, yyyyです。

- バッチ・サイズ: データベース・レコードは、バッチでクリーンアップされます。この属性はバッチのサイズを指定するため、値を持っている必要があります。デフォルトは1000です。

いいえ

失敗した編成の再試行

このスケジュール済タスクは、指定された属性値に基づき、失敗した編成すべてを再試行します。パラメータ値が定義されていない場合、編成は再試行されません。

- 編成ID: この属性は、再試行する編成IDのカンマ区切りのリストを取得します。

- エンティティ・タイプ: 指定されたエンティティに発行された編成が再試行されます。

- 操作: 指定された操作に発行された編成が再試行されます。

- ステージ: 指定されたステージに対する編成が再試行されます。

- 開始日: 指定された日付より後に発行された編成が再試行されます。形式は、ddMMyyyyまたはMMM dd, yyyyです。

- 終了日: 指定された日付より前に発行された編成が再試行されます。形式は、ddMMyyyyまたはMMM dd, yyyyです。

いいえ

DataCollectionスケジュール済タスク

このスケジュール済タスクは、Oracle Identity Managerの操作表からのデータをステージング表にオフラインで移入するために使用します。このスケジュール済タスクは手動で実行するようになっていて、Oracle Identity Analytics(OIA)でDataCollectionOperationsIntf->startDataCollection APIが起動されたときにトリガーされます。Oracle Identity ManagerとOIAの統合の詳細は、「Oracle Identity Analytics」を参照してください。

なし

はい

アプリケーション・インスタンスの削除後処理ジョブ

このスケジュール済タスクは、ソフト削除されたアプリケーション・インスタンスを失効、削除または廃止するために使用されます。次のモードで実行できます。

- 失効: アプリケーション・インスタンスが削除された後に、プロビジョニングされたアカウントをターゲット・システムから削除します。

- 削除: アカウントをすべてのプロビジョニング・タスクおよびターゲットから、その後Oracle Identity Managerからハード削除します。

- 廃止: Oracle Identity Managerのアカウントをプロビジョニングされた状態で維持することなく、アカウント・ステータスを「失効」に変更します。

なし

はい

カタログ同期化ジョブ

このスケジュール済ジョブは、ソフト削除されたアプリケーション・インスタンスを識別し、カタログから削除するために使用されます。

なし

はい

リコンシリエーション・バッチ・ジョブの再試行

このスケジュール済ジョブは、処理の準備完了ステータスのバッチを再処理するために使用されます。

バッチID。再試行するバッチのカンマ区切りのIDです。

いいえ

権限削除後の処理ジョブ

このスケジュール済ジョブを使用して、プロビジョニング・コンポーネントにおける権限のソフト削除の後処理を行います。

なし

はい

アプリケーション・インスタンスによるアカウント更新のジョブ

このスケジュール済タスクを使用して、アプリケーション・インスタンス・キーがOIU表においてすべてのエントリで移入されます。

一部のインスタンスでは、アカウントがプロビジョニングされるとアプリケーション・インスタンスが利用できない場合があります。次のような状況で、この可能性があります。

- app_instance_keyがOIU表においてすべての既存エントリで移入されると、Oracle Identity Managerがアップグレードされます。

- アカウントはリコンシリエーションを介して生成されますが、アカウントがリコンシリエーションされるとアプリケーション・インスタンスは利用できません。アプリケーション・インスタンスはリコンシリエーション後に作成されます。

- アカウントはアクセス・ポリシーを介してプロビジョニングされますが、アカウントがプロビジョニングされるとアプリケーション・インスタンスは利用できません。アプリケーション・インスタンスはプロビジョニング後に作成されます。

アプリケーション・インスタンスによるアカウント更新のジョブ・スケジュール済タスクでは、NULLのapp_instance_keyがあるリソース・オブジェクトに対応するOIU表ですべてのエントリをチェックします。プロセス・フォームのobj_keyとITリソース・インスタンス値に基づいたアプリケーション・インスタンス・キーを判別しようとします。obj_keyとITリソース・インスタンス値に対応するアプリケーション・インスタンスをスケジュール済タスクが検出すると、OIU表のapp_instance_keyが更新されます。

なし

はい

権限削除後の処理ジョブ

このスケジュール済タスクは、ソフト削除された権限を失効または削除するために使用されます。次のモードで実行できます。

- 失効: Oracle Identity Managerにおいてその特定の権限が付与されているすべてのアカウントで、権限の付与が失効されます。

- 削除: UD_CHILD表から権限がハード削除されます。

モードに関係なく、権限付与エントリがENT_ASSIGN表から削除されます。

なし

はい

14.3.2 LDAPスケジュール済タスク

このリリースのOracle Identity Managerには、ジョブの作成または操作時に使用できるLDAPスケジュール済タスクが用意されています。これらのスケジュール済タスクは、Oracle Identity ManagerがLDAP同期で構成されている場合のみ作成されます。表14-3にLDAPスケジュール済ジョブのリストを示します。

関連項目:

Oracle Identity ManagerとLDAP間における統合の構成の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のLDAPとの統合の構成に関する項を参照してください。

表14-3 LDAPスケジュール済ジョブ

スケジュール済ジョブ

説明

ユーザー構成可能属性

デフォルトで有効化

LDAPユーザー作成および更新のリコンシリエーション

このスケジュール済ジョブは、変更ログに基づいてLDAPからユーザー更新をリコンサイルします。

LDAPユーザー作成および更新のリコンシリエーションスケジュール済ジョブは、「ユーザー定義フィールド」(UDF)をリコンサイルできません。このスケジュール済ジョブでUDFをリコンサイルできるようにするには、/db/LDAPUserおよび/db/RA_LDAPUSER.xmlファイルをMDSからエクスポートし、ファイル内で必要な構成変更を行って、MDSにインポートします。MDSファイルのインポートとエクスポートの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のユーザーが修正可能なメタデータ・ファイルの移行に関する説明を参照してください。

注意: ファイルを変更する場合、プロファイルの属性名を指定するときに空白は入れないでください。

最終変更番号: この属性を使用して、スケジュール済ジョブの最終変更番号をOracle Internet Directoryの最終変更ログ番号の値で更新します。

バッチ・サイズ: この属性を使用して、各キューのディレクトリからエントリの数をフェッチします。

OIMユーザー・タイプ: この属性を使用して、ユーザー・タイプ、たとえば「エンドユーザー」や「エンドユーザー管理者」を指定します。

OIMユーザー組織名: この属性を使用して、リコンサイルされるユーザーの作成先となるOracle Identity Managerの組織を指定します。

OIM従業員タイプ: この属性を使用して、リコンシリエーションによって作成されるユーザーの従業員タイプの値を指定します。

いいえ

LDAPユーザー削除のリコンシリエーション

このスケジュール済ジョブは、変更ログに基づいてLDAPからユーザー削除をリコンサイルします。

最終変更番号: この属性を使用して、このジョブで処理された最終変更ログの識別子を指定します。

バッチ・サイズ: この属性を使用して、各キューのディレクトリからエントリの数をフェッチします。

いいえ

LDAPロール作成および更新のリコンシリエーション

このスケジュール済ジョブは、変更ログに基づいてLDAPからロールの作成または更新をリコンサイルします。

最終変更番号: この属性を使用して、このジョブで処理された最終変更ログの識別子を指定します。

バッチ・サイズ: この属性を使用して、各キューのディレクトリからエントリの数をフェッチします。

いいえ

LDAPロール削除のリコンシリエーション

このスケジュール済ジョブは、変更ログに基づいてLDAPからロール削除をリコンサイルします。

最終変更番号: この属性を使用して、このジョブで処理された最終変更ログの識別子を指定します。

バッチ・サイズ: この属性を使用して、各キューのディレクトリからエントリの数をフェッチします。

いいえ

LDAPロール・メンバーシップのリコンシリエーション

このスケジュール済ジョブは、変更ログに基づいてLDAPからロール・メンバーシップをリコンサイルします。

最終変更番号: この属性を使用して、このジョブで処理された最終変更ログの識別子を指定します。

バッチ・サイズ: この属性を使用して、各キューのディレクトリからエントリの数をフェッチします。

いいえ

LDAPロール階層のリコンシリエーション

このスケジュール済ジョブは、変更ログに基づいてLDAPからロール階層をリコンサイルします。

バッチ・サイズ: この属性を使用して、各キューのディレクトリからエントリの数をフェッチします。

最終変更番号: この属性を使用して、このジョブで処理された最終変更ログの識別子を指定します。

いいえ

LDAPユーザー作成および更新の完全リコンシリエーション

このスケジュール済ジョブは、LDAPからユーザー作成またはユーザー更新をリコンサイルします。これにはDirectory Server ITリソースで定義されている検索ベースの下のすべてのユーザーが含まれます。

バッチ・サイズ: この属性を使用して、各キューのディレクトリからエントリの数をフェッチします。

OIMユーザー・タイプ: この属性を使用して、ユーザー・タイプ、たとえば「エンドユーザー」や「エンドユーザー管理者」を指定します。

OIMユーザー組織名: この属性を使用して、リコンサイルされるユーザーの作成先となるOracle Identity Managerの組織を指定します。

OIM従業員タイプ: この属性を使用して、リコンシリエーションによって作成されるユーザーの従業員タイプの値を指定します。

はい

LDAPユーザー削除の完全リコンシリエーション

このスケジュール済ジョブは、LDAPからユーザー削除をリコンサイルします。Oracle Identity ManagerとLDAPに存在するユーザーを比較して、削除されたユーザーを検出します。

バッチ・サイズ: この属性を使用して、各キューのディレクトリからエントリの数をフェッチします。

はい

LDAPロール作成および更新の完全リコンシリエーション

このスケジュール済ジョブは、LDAPからロールの作成または更新をリコンサイルします。これにはDirectory Server ITリソースで定義されている検索ベースの下のすべてのロールが含まれます。

バッチ・サイズ: この属性を使用して、各キューのディレクトリからエントリの数をフェッチします。

はい

LDAPロール削除の完全リコンシリエーション

このスケジュール済ジョブは、LDAPからロール削除をリコンサイルします。Oracle Identity ManagerとLDAPに存在するロールを比較して、削除されたロールを検出します。

バッチ・サイズ: この属性を使用して、各キューのディレクトリからエントリの数をフェッチします。

はい

LDAPロール・メンバーシップの完全リコンシリエーション

このスケジュール済ジョブは、LDAPからロール・メンバーシップをリコンサイルします。Oracle Identity ManagerとLDAPに存在するエントリを比較して、ロール・メンバーシップの追加または削除を検出します。

バッチ・サイズ: この属性を使用して、各キューのディレクトリからエントリの数をフェッチします。

はい

LDAPロール階層の完全リコンシリエーション

このスケジュール済ジョブは、LDAPからロール階層をリコンサイルします。Oracle Identity ManagerとLDAPに存在するエントリを比較して、ロール階層の追加または削除を検出します。

バッチ・サイズ: この属性を使用して、各キューのディレクトリからエントリの数をフェッチします。

はい

Fusion Applicationsロール・カテゴリ・シーディング

このスケジュール済ジョブは、LDAPシステムにすべてのロールを問い合せ、そのロール・カテゴリを取得します。LDAPにOracle Identity Managerにない新しいロール・カテゴリがある場合は、Oracle Identity Managerに新しいロール・カテゴリを作成します。

開始変更ログ番号: この属性を使用して、このジョブで処理された最終変更ログの識別子または次の実行の開始識別子を指定します。

はい

14.3.3 カスタムのスケジュール済タスクの作成

Oracle Identity Managerには、独自のスケジュール済タスクを作成する機能があります。表14-2にリストされている事前定義済スケジュール済タスクを使用しないで、要件にあわせてスケジュール済タスクを作成できます。

関連項目:

スケジュール済タスクの作成の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のスケジュール済タスクの開発に関する説明を参照してください。

カスタムのスケジュール済タスクを作成するには:

1. スケジュール済タスクXMLファイルを作成し、それをメタデータ・ストア(MDS)にシードします。

2. スケジュール・タスク・クラスを作成し、それをJarにパッケージ化します。

3. Jarを次の方法でアップロードします。

- プラグインを使用

- データベースを使用

プラグインを使用

Oracle Identity Managerが提供するプラグイン・フレームワークを使用してJarをアップロードできます。

プラグインを使用してjarをアップロードするには:

1. plugin.xmlファイルを作成します。

2. スケジュール済タスクのディレクトリ構造(plugin.zip)を作成します。

3. 作成したplugin.zipをOracle Identity Managerデータベースにアップロードします。

データベースを使用

jarをOracle Identity Managerのデータベース(DB)にアップロードできます。

DBを使用してjarをアップロードするには:

UploadJarユーティリティを使用してjarをDBにアップロードします。このユーティリティは次の場所から実行できます。

$OIM_HOME/bin/

関連項目:

UploadJarユーティリティの実行についての詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のJarユーティリティのアップロードに関する項を参照してください。

14.4 ジョブ

冒頭部分の章の1つで説明したように、ジョブは、指定された間隔で実行するようにスケジュールできるタスクです。ジョブ実行は、ジョブの特定の実行です。各ジョブ実行には、開始時間、停止時間、ジョブ・ステータス、実行の例外とステータスが含まれます。

この項の内容は次のとおりです。

- ジョブの作成

- ジョブの検索

- ジョブの表示

- ジョブの変更

- ジョブの無効化と有効化

- ジョブの削除

14.4.1 ジョブの作成

注意:

この項で説明する手順は、ジョブ説明を含むスケジュール済タスクのXMLファイルが、OIM_HOME/metadata/fileディレクトリから入手可能であることを前提としています。

ジョブを作成するには:

1. 適切な資格証明を使用してOracle Identity System Administrationにログインします。

2. 左ペインの「システム管理」で、「スケジューラ」をクリックします。拡張管理が表示され、「システム管理」タブの「スケジューラ」セクションがアクティブになります。

3. 左ペインの「アクション」メニューから、「作成」を選択します。あるいは、「表示」リストの横のプラス(+)記号が付いたアイコンをクリックします。

4. 「ジョブの作成」ページで、「ジョブ情報」セクションの次のフィールドに値を入力します。

- ジョブ名: ジョブの名前を入力します。

- タスク: ジョブを実行するスケジュール済タスクの名前を指定します。あるいは、スケジュール済タスクを検索して指定します。
スケジュール済タスクを検索して指定するには:

1. このフィールドの横の虫眼鏡アイコンをクリックします。

2. 「検索と選択: スケジュール済タスク」ダイアログ・ボックスで、スケジュール済タスクの検索基準を指定し、「検索」フィールドの横のアイコンをクリックします。
検索基準を満たすすべてのスケジュール済タスクのリストが表示されます。

3. このリストから、作成されたジョブを実行するスケジュール済タスクを選択し、「確認」をクリックします。

- 開始日: ジョブを実行する日時を指定します。これを行うには、日付エディタで日付と時間をタイムゾーンとともに選択し、「OK」をクリックします。デフォルトでは、タイムゾーンは「(UTC-08:00) アメリカ太平洋標準時」です。

- 再試行回数: ジョブが失敗した場合を管理するために再試行回数が使用されます。ジョブが連続的に失敗すると、再試行回数を超えて実行できません。ジョブはその再試行回数に達するまで連続的に失敗すると、ジョブは無効になります。ジョブを後で行うにはUIから有効にする必要があります。

- スケジュール・タイプ: ジョブを実行する頻度に応じて、次のスケジュール・タイプのいずれかを選択します。

- 周期的: このオプションは、指定した時間で繰り返しジョブを実行させる場合に選択します。このオプションを選択した場合は、「ジョブ周期設定」セクションの「実行頻度」フィールドに整数値を入力し、次のいずれかの値を選択する必要があります。
- 分

- 時間

- 日

- cron: このオプションは、ジョブを特定の間隔で定期的に実行させる場合に選択します。たとえば、毎週月 - 金の8:00 A.M.と毎月最後の金曜日の1:30 A.M.に実行する必要があるジョブを作成できます。
ジョブの繰返しは、「cron設定」セクションで指定する必要があります。「定期実行間隔」フィールドで、次のいずれかの値を選択できます。

- 毎日

- 毎週

- 毎月指定日

- 毎月指定曜日

- 毎年

値を選択後、「実行間隔日数」フィールドに整数値を入力できます。

- 1回: このオプションは、ジョブを指定した開始日時に1回のみ実行させる場合に選択します。

- 事前定義済スケジュールなし: このオプションは、作成しているジョブに付加されたスケジュールなく、そのため自動的にトリガーされない場合に指定します。結果として、「保存して即時実行」をクリックした場合のみ、ジョブがトリガーされます。

5. 注意:
どのスケジュール・タイプでも、ジョブを保存してすぐに実行する場合は、「保存して即時実行」をクリックします。
ジョブが正常に作成されトリガーされたことを確認するメッセージが表示されます。

14.4.2 ジョブの検索

次の検索操作を実行して、Oracle Identity Administrationでジョブを検索できます。

- ジョブの単純検索の実行

- ジョブの拡張検索の実行

14.4.2.1 ジョブの単純検索の実行

ジョブの単純検索を実行するには:

1. 拡張管理の「ようこそ」ページで、「システム管理」の下にある「スケジュール済ジョブの検索」をクリックします。あるいは、「システム管理」タブをクリックし、次に「スケジューラ」をクリックします。

2. 左ペインの「検索」フィールドで、検索するジョブの検索基準を指定します。検索基準にはワイルドカード文字を含めるこもともできます。

3. 「検索」フィールドの横のアイコンをクリックします。検索基準を満たすすべてのジョブのリストが表示されます。
検索結果が、次の列を含む表形式で表示されます。

- ジョブ名: この列にはジョブの名前が表示されます。ジョブの詳細を表示するには、列内のその名前をクリックします。

- ステータス: この列にはジョブのステータスが表示されます。ジョブのステータスは次のいずれかになります。

- 実行中: ジョブは現在実行中です。

- 停止済: ジョブは現在実行されていません。ただし、ジョブは「次のスケジュール実行」フィールドで指定された日時に再度実行されます。

- 割込み: ジョブは実行中に割り込まれました。このステータスは、ジョブの実行中に管理サーバーが割り込んだ場合に表示されることがあります。

- 失敗: ジョブはなんらかの理由で実行に失敗しました。

14.4.2.2 ジョブの拡張検索の実行

スケジューラの拡張検索を実行するには:

1. 「スケジューラ」セクションの左ペインで、「拡張検索」をクリックします。「拡張検索: スケジュール済ジョブ」ページが表示されます。

2. 次のオプションのいずれかを選択します。

- すべて: このオプションを選択すると、検索はAND条件で実行されます。つまり、指定されたすべての検索基準を満たす場合のみ検索操作が成功します。

- いずれか: このオプションを選択すると、検索はOR条件で実行されます。つまり、指定された選択基準のいずれかに一致する場合に検索操作が成功します。

3. 「ジョブ名」フィールドで、検索するジョブ名を入力します。検索基準にはワイルドカード文字を使用できます。「ジョブ名」フィールドに隣接するリストから検索条件を選択します。検索条件には、「次を含まない」、「次で始まらない」、「次と等しくない」、「次と等しい」、「次で終わる」、「次で終わらない」、「次を含む」および「次で始まる」があります。

4. 「ステータス」フィールドに対する検索条件を選択します。「すべて」、「実行中」、「停止済」から検索するステータスを選択します。

5. 「タスク名」フィールドにタスク名を入力します。検索基準にはワイルドカード文字を使用できます。「タスク名」フィールドに隣接するリストから検索条件を選択します。

6. 「検索」をクリックします。検索基準を満たすジョブのリストが検索結果表に表示されます。
表14-4に、検索結果表の列のリストを示します。

表14-4 検索結果表のフィールド

フィールド

説明

ジョブ名

スケジュール済ジョブの名前

タスク

ジョブに関連付けられたタスク

ステータス

ジョブのステータスで、「実行中」、「停止済」、「失敗」、「割込み」のいずれか

スケジュール

ジョブを実行するスケジュールまたは時間

最終実行

ジョブを最後に実行した時間

有効化

ジョブが有効か無効か

14.4.3 ジョブの表示

ジョブの詳細を表示するには:

1. 詳細を表示するジョブを検索します。ジョブの検索方法については、「ジョブの検索」を参照してください。

2. 検索結果表の「ジョブ名」列で、詳細を表示するジョブをクリックします。

「ジョブの詳細」ページは、次のセクションに分かれています。

- ジョブ情報: このセクションには、ジョブに関する情報を提供するフィールドが表示されます。たとえば、「ジョブ名」、「タスク」、「再試行」および「開始日」フィールドなどが表示されます。ジョブの詳細を変更するには、目的の変更を行ってから「適用」をクリックします。ジョブの変更については、「ジョブの変更」を参照してください。

- ジョブ・ステータス: このセクションでは、ジョブのステータスの詳細が次のフィールドに表示されます。

- 現行のステータス: ジョブのステータスが表示されます。

- 最終実行開始: ジョブが最後に実行開始された日時が表示されます。

- 最終実行終了: ジョブが最後に実行停止された日時が表示されます。

- 次のスケジュール実行: このフィールドは、作成しているジョブに付加されたスケジュールがなく、そのためジョブは自動的にトリガーされないことを示します。この場合、ジョブをトリガーする方法は、「即時実行」の実行のみです。

注意:

「スケジュール・タイプ」が「事前定義済スケジュールなし」の場合、このフィールドに値は表示されません。

- パラメータ: ジョブの実行中に、ここに指定したパラメータ値がランタイムで使用されます。各ジョブのパラメータをここに入れておくと、ジョブの実行時にそれが使用されるため、ランタイムで値を指定する必要がありません。

- ジョブ履歴: このセクションには、表内のジョブのすべてのジョブ実行のリストが表示されます。
表の各行にジョブに関する次の情報が表示されます。

- 開始時間: この列には、ジョブ実行が実行を開始した日時が表示されます。

- 終了時間: この列には、ジョブ実行が実行を終了した時間が表示されます。

- ジョブ・ステータス: この列には、ジョブのステータスが表示されます。

- 実行ステータス: この列には、ジョブの実行ステータスが表示されます。

「履歴」セクションの表では、列の表示を並べ替えることができます。

1. 「表示」リストから、列の並替えを選択します。

2. 列の並替えダイアログ・ボックスで、並べ替える列名を選択します。

3. 列の表示順に応じて、上または下矢印をクリックします。

「履歴」セクションの表に表示される列を追加または移動するには:

1. 「表示」リストから、列を選択します。

2. 要件に応じて、次のいずれかを選択します。

- すべて表示

- 開始時間

- 終了時間

- ジョブ・ステータス

- 実行ステータス

3. 追加または削除する各列に対して、ステップaとbを繰り返します。

ジョブの詳細を表示後、ジョブを変更、実行または停止できます。また、ジョブの有効化または無効化も可能です。「ジョブの詳細」画面はリフレッシュできます。

「ジョブの詳細」ページでジョブの詳細を表示後、次のいずれかを実行できます。

- ジョブの詳細を変更するには、目的の変更を行ってから「適用」をクリックします。ジョブの変更については、「ジョブの変更」を参照してください。

- ジョブを実行するには、「即時実行」をクリックします。

- 「無効化」ボタンが有効な場合は、ジョブが現在有効であり、「無効化」をクリックしてジョブを無効化できることを意味します。

- 「有効化」ボタンが有効な場合は、ジョブが現在無効であり、「有効化」をクリックしてジョブを有効化できることを意味します。

- ジョブの詳細画面をリフレッシュするには、「リフレッシュ」をクリックします。

- 「停止」ボタンが表示されている場合は、ジョブが現在実行中で、「停止」をクリックしてジョブを停止できることを意味します。

14.4.4 ジョブの変更

ジョブを変更する手順:

1. 変更するジョブを検索して詳細を表示します。ジョブ詳細の表示方法は、「ジョブの表示」を参照してください。

注意:

ジョブを実行する場合は、検索結果表の1番目の列でジョブ名をクリックしてから「即時実行」をクリックします。「即時実行」をクリックすると、この手順の残りのステップは実行する必要はありません。ただし、ジョブを変更してから実行する場合は、次のステップを実行してから「即時実行」をクリックしてください。

2. 「ジョブの詳細」ページでは、「ジョブ情報」セクションの「ジョブ名」と「タスク」フィールド、および「ジョブ・ステータス」セクションのフィールドを除く、すべてのジョブ詳細を変更できます。変更するフィールドの詳細は、「ジョブの作成」のステップ4を参照してください。

3. 「ジョブの詳細」ページで行った変更をデータベースに適用するには、「適用」をクリックします。
ジョブが正常に変更されたこと確認するメッセージが表示されます。

14.4.5 ジョブの無効化と有効化

ジョブの作成と変更に加えて、現在有効なジョブの無効化、および以前に無効化されたジョブの有効化が可能です。「ジョブの詳細」ページで、次のようにします。

- 「有効化」ボタンが有効な場合は、ジョブが現在無効であり、「有効化」をクリックしてジョブを有効化できることを意味します。有効化されたジョブは、「ジョブの詳細」ページで次のいずれかがtrueである場合のみ実行されます。

- 「開始日」フィールドに表示されている日時が現在の日時と一致しています。

- 「次のスケジュール実行日」フィールドに表示される日時が現在の日時と一致しています。

- 「無効化」が有効な場合は、ジョブが現在有効であり、「無効化」をクリックしてジョブを無効化できることを意味します。無効化されたジョブは、ジョブの実行がスケジュールされている日時が現在の日時と一致した場合でも実行されません。
ジョブを有効化または無効化するには:

1. 「ジョブの検索」で説明する手順を実行して、有効化または無効化するジョブを検索します。

2. 左ペインの検索結果表で、ジョブ名を右クリックして「有効化」または「無効化」を選択します。「有効化」または「無効化」のどちらをクリックしたかに応じて、ジョブが正常に有効化または無効化されたことを示すメッセージが表示されます。

3. 「OK」をクリックし、ダイアログ・ボックスを閉じます。

14.4.6 ジョブの開始と停止

指定した時間に自動的に実行されるようにジョブをスケジュールするだけでなく、いつでも手動でジョブを開始または停止できます。たとえば、ジョブを作成し、金曜日ごとに実行されるようにスケジュールするとします。ただし、このジョブを金曜日以外に実行する必要がある場合は、ジョブを手動で実行する必要があります。

ジョブを開始または停止するには:

1. 「ジョブの検索」で説明する手順を実行して、開始または停止するジョブを検索します。

2. 左ペインの検索結果表で、開始または停止するジョブのジョブ名をクリックします。

注意:

デフォルトでは、ジョブが実行されていなければ、すべてのジョブのステータスは「停止済」になっています。

3. ジョブを開始する場合は、「アクション」リストで「即時実行」をクリックします。
ジョブを実行するかどうかの確認を求めるダイアログ・ボックスが表示されます。

4. ジョブを停止する場合は、「アクション」リストで「停止」をクリックします。
ジョブを停止するかどうかの確認を求めるダイアログ・ボックスが表示されます。

5. 「OK」をクリックします。

14.4.7 ジョブの削除

ジョブを削除する手順:

1. 「ジョブの検索」で説明する手順を実行して、削除するジョブを検索します。

2. 左ペインの検索結果表で、削除するジョブのジョブ名をクリックします。

3. 「アクション」リストから、「削除」をクリックします。あるいは、プラス(+)記号の付いたアイコンの横にある「削除」アイコンをクリックします。
ジョブを削除するかどうかの確認を求めるダイアログ・ボックスが表示されます。

4. 「OK」をクリックします。ジョブが正常に削除されたことを示すメッセージが表示されます。

15 システム・プロパティの管理

システム構成サービスにより、Oracle Identity Managerで使用するシステム・プロパティを管理できます。このサービスを使用して、既存のシステム・プロパティをそのロールに応じて作成、変更、削除または検索できます。

システム・プロパティは、Oracle Identity Managerの動作を管理する特性を定義します。システム・プロパティを使用して、Oracle Identity AdministrationおよびOracle Identity Managerセルフ・サービスなどのコンソールの機能を定義できます。たとえば、ユーザーが何回連続してOracle Identity Managerへのログインに失敗すると、Oracle Identity Managerでユーザー・アカウントがロックされるかを定義できます。言い換えれば、システム・プロパティとは、Oracle Identity Managerの構成を制御できるエンティティです。

この章の内容は次のとおりです。

- Oracle Identity Managerのシステム・プロパティ

- システム・プロパティの作成と管理

15.1 Oracle Identity Managerのシステム・プロパティ

表15-1に、Oracle Identity Managerのデフォルトのシステム・プロパティのリストと説明を示します。

表15-1 Oracle Identity Managerのデフォルトのシステム・プロパティ

プロパティ名

説明

キーワード

デフォルト値

適用しない場合にアクセス・ポリシーを失効させる機能拡張

注意: このプロパティはOracle Identity Managerリリース2 (11.1.2)では使用されませんが、下位互換性のためにのみ保持されています。

アクセス・ポリシー内の、適用されなくなった場合に失効するフラグを適用できるかどうかを定義します。

値がtrueの場合、このフラグは親データに加えて子表のデータ(権限)に適用できます。このフラグに基づいてユーザーにアクセス・ポリシーが適用されなくなったときに、子データを削除するか保持するかはユーザーが定義できます。

値がfalseの場合、アクセス・ポリシーが適用されなくなると、子表のデータ(権限)は常に削除されます。

XL.AccessPolicyRevokeIfNoLongerAppliesEnhancement

FALSE

リソースの複数インスタンスのアクセス・ポリシー・ベースのプロビジョニングを許可します

リソースの複数のインスタンスを複数のターゲット・リソースにプロビジョニングできるかどうかを定義します。

値がfalseの場合、アクセス・ポリシー経由でのリソース・オブジェクトの複数インスタンスのプロビジョニングは許可されません。

値がtrueの場合、アクセス・ポリシー経由でのリソース・オブジェクトの複数インスタンスのプロビジョニングが許可されます。

XL.AllowAPBasedMultipleAccountProvisioning

false

OIMではチャレンジ質問は無効です

Oracle Identity Managerに最初にログインしたときにチャレンジ質問を有効にするか無効にするかを定義します。

値がFalseの場合、チャレンジ質問は有効です。

値がTrueの場合、チャレンジ質問は無効です。

このプロパティは主にOracle Adaptive Access Manager (OAAM)構成のコンテキストで使用されます。値がTRUEの場合、チャレンジ質問はOAAMによって処理されます。

OIM.DisableChallengeQuestions

FALSE

CommonName生成プラグイン

一般名を生成するための一般名の生成プラグインを定義します。

XL.DefaultCommonNamePolicyImpl

oracle.iam.ldapsync.impl.plugins.FirstNameLastNamePolicy

コネクタのコンパイラ・パス

アプリケーション・サーバーに応じてJavaホームを指定します。

注意: JDKディレクトリのパスがシステム・パス変数に含まれていない場合、JDKディレクトリのパスをXL.CompilerPathシステム・プロパティに設定する必要があります。これが行われていない場合、デプロイメント・マネージャを使用したXMLファイルのインポート時に実行されるプロセスのアダプタ・コンパイル・ステージでエラーが発生します。

XL.CompilerPath

マネージャに対するユーザー・パスワード・リセット電子メールのコピー

パスワードがリセットされるユーザーのマネージャにこのパスワードのリセットについて通知する必要があるかどうかを指定します。

XL.NotifyPasswordGenerationToOther

false

データ収集セッションID

現在のOracle Identity Analytics (OIA)データ収集セッションのセッションIDを指定します。

XL.DataCollectionSessionID

dummy

データ収集ステータス

現在のOIAデータ収集セッションのステータスを指定します。

XL.DataCollectionStatus

FAILED

デフォルトの日付書式

APIの呼出しによってリコンシリエーション・イベントを作成し、日付書式がAPIへの引数として渡されない場合、Oracle Identity Managerでは、すべての日付フィールド値はDefault Date Formatで指定されているものとみなされます。

XL.DefaultDateFormat

yyyy/mm/dd hh:mm:ss z

一般名の生成に関するデフォルト・ポリシー

一般名の生成時に選択される一般名の生成ポリシーを定義します。

XL.DefaultCommonNamePolicyImpl

oracle.iam.identity.usermgmt.impl.plugins.FirstNameLastNamePolicy

ユーザー名の生成に関するデフォルト・ポリシー

ユーザー名を生成するときに使用されるユーザー名ポリシーを定義します。

XL.DefaultUserNamePolicyImpl

oracle.iam.identity.usermgmt.impl.plugins.DefaultComboPolicy

デフォルト・ユーザー名ドメイン

このプロパティは、DefaultComboPolicyによって電子メール形式でユーザー名を生成するために使用されます。

XL.UserNameDomain

oracle.com

ダイレクト・プロビジョニングとアクセス・ポリシー・リクエストとの競合

デフォルトでは、このプロパティの値はTRUEです。ユーザーが複数のアクセス・ポリシーを持ち、これらのポリシーで特定のリソースが複数回プロビジョニングされ、かつ1つ以上のポリシーでリソースを直接プロビジョニングできるよう指定されている場合、リソースはリクエストの作成なしにプロビジョニングされます。

このプロパティをFALSEに設定すると、直接プロビジョニングされないリソースのリクエストを作成することで競合が解決されます。競合がない場合は、リソースはアクセス・ポリシー内の定義に基づきプロビジョニングされます。

XL.DirectProvision

TRUE

ユーザーは登録時にチャレンジ情報を指定する必要があるか

値がTRUEの場合、ユーザーは登録時にチャレンジ情報を設定する必要があります。

PCQ.PROVIDE_DURING_SELFREG

TRUE

重複するチャレンジ・レスポンスは許可されています

このプロパティは、重複するチャンレンジ・レスポンスが許可されているかどうかを示すために使用されます。

XL.IsDupResponsesAllowed

FALSE

電子メール・サーバー

電子メール・サーバーの名前です。

注意: 電子メール・サーバーのシステム・プロパティ値を変更後、変更を有効にするにはサーバーを再起動する必要があります。

XL.MailServer

電子メール・サーバー

電子メール検証パターン

このプロパティには、ユーザーの電子メールIDの検証に使用される正規表現が含まれます。

XL.EmailValidationPattern

[A-Za-z0-9\.\_\#\!\$\&\'\*\/\=\?\^\`\{\}\~\|\%\+\-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,4}

組織の検索時に9.x権限チェックを有効化

このプロパティは、ユーザーが実行する組織検索での組織の表示を制御します。XL.EnableOrgPermissionCheck = falseの場合、ユーザーが組織を検索したときに、すべての組織が表示されます。XL.EnableOrgPermissionCheck = trueであるか、またはこのプロパティが削除されている場合は、検索を実行しているユーザーに割り当てられている組織のみが表示されます。

XL.EnableOrgPermissionCheck

TRUE

例外レポートの有効化

このプロパティは、例外レポート機能の有効化に使用されます。値がTRUEに設定されている場合にのみ、例外レポートが有効になります。

XL.EnableExceptionReports

FALSE

ユーザーが有効化された場合、無効化されたリソース・インスタンスを有効化

値がTRUEの場合、ユーザーが有効になると、無効なリソース・インスタンスが有効になります。

XL.EnableDisabledResources

TRUE

エンティティ変更のLDAPコンテナ・ルールの評価

このプロパティの値がTRUEの場合、LDAPContainerRules.xmlに定義されているLDAPコンテナ・ルールがエンティティ変更に対して評価されます。ただし、ルールのいずれも一致しない場合、デフォルト・コンテナは戻されません。エンティティの元の親コンテナが戻されます(つまりエンティティDNは変更されません)。詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のLDAPコンテナ・ルールの構成に関する説明を参照してください。

このプロパティの値がFALSEの場合、LDAPContainerRules.xmlに定義されているLDAPコンテナ・ルールは評価されません。エンティティDNは変更されません。

注意: このプロパティは、変更シナリオにのみ適用され、エンティティの作成シナリオには適用されません。

LDAPEvaluateContainerRulesForModify

FALSE

LDAP内のFA管理者ロール名

このロールの名前(通常は管理者)は、LDAPのユーザー・コンテナの最上部に格納されます。これは、SOAタスク・リストにログインし、管理できるユーザーです。

注意: このプロパティはOracle Identity Managerでは使用されません。

FA.AdministratorsRole

管理者

FA cookie-http-onlyフラグがオンで

このプロパティは、FAプロビジョニング・システムによって、RoleCategorySeedMXBeanImplMBeanを使用してシードされます。

FA.CookieHTTPOnly

false

新規権限付与モデルのフラグ

このシステム・プロパティは、Oracle Identity Managerデータベースのレコードを挿入、更新および削除するためのデータ・オブジェクト権限付与モデルを定義します。Oracle Identity Managerでは、データベース表にレコードを挿入、更新または削除する前に、レコードを挿入、更新または削除するユーザーに割り当てられているロールがチェックされます。ロールには、それに割り当てられたデータ・オブジェクトとレコードを挿入、更新または削除するための権限の詳細が含まれます。

レコードを表に挿入、更新または削除するには、ユーザーがそのデータ・オブジェクトに対して自分に割り当てられたすべてのロールに対する権限を持つ必要があります。ユーザーがロールのいずれか1つに対してでも挿入、更新または削除権限を持たない場合は、そのユーザーはデータ・オブジェクトに対応する表でレコードを挿入、更新または削除することはできません。これはこのプロパティの値がFALSEに設定されている場合に適用されます。

値をTRUEに設定した場合、ユーザーは、特定のデータ・オブジェクトに対してユーザーに割り当てられたいずれか1つのロールに対して挿入、更新および削除権限を持つ必要があります。そのユーザーが1つのロールに対していずれか1つの権限が有効であれば、そのユーザーはデータ・オブジェクトに対応する表でレコードを挿入、更新または削除できます。

XL.NewPermissionModel

False

初回ログイン時にパスワードの変更を強制

Oracle Identity Manager 11g リリース2 (11.1.2)では、このシステム・プロパティは使用されません。このプロパティを設定しても影響はありません。

XL.ForcePasswordChangeAtFirstLogin

TRUEまたはFALSE

このプロパティのデフォルト値は、自己登録でユーザーが作成された場合はFALSE、他の方法でユーザーが作成された場合はTRUEです。

起動時に質問を設定するよう強制

ユーザーがOracle Identity Self ServiceまたはOracle Identity System Administrationに最初にログインしたとき、ユーザーはパスワードをリセットするためのデフォルトの質問を設定する必要があります。

注意: このプロパティの値の変更後は、その変更を反映するためにOracle Identity Managerサーバーを再起動する必要があります。

PCQ.FORCE_SET_QUES

False

GTC自動インポート

このプロパティの値に応じて、GTC作成時に生成されたDM xmlがディレクトリに保存されます。

このプロパティのデフォルト値はtrueです。

このプロパティの値をFalseに設定すると、GTCの作成時にGTCフレームワークによって作成されたDM xml (GTC作成時にGTCがデプロイメント・マネージャを使用して内部的に作成してインポートするxml)は、次のディレクトリに格納されます。

OIM_HOME/GTC/XMLOutput

DM xmlは次のネーミング規則に従います。

日付形式"yyyy-MM-dd-HH-mm-ss".xmlを使用してGTCNAME_CURRENTDATE_ TIMESTAMPが作成されます。

次に例を示します。

TRUSTEDCSV_2009-02-05-22-41-11.xml

XL.GTCAutoImport

true

セルフ・サービス・コンソールのホームページ

このプロパティは、ユーザーがOracle Identity Managerセルフ・サービスにログインした後に表示されるページを設定するために使用されます。

このプロパティの値として次のいずれかを設定できます。

- my_access: 「マイ・アクセス」ページを表示します。

- my_info: 「本人情報」ページを表示します。

- home: ホーム・ページを表示します。

- catalog_home: 「カタログ」ページを表示します。

- none: ページを表示しません。

注意: このプロパティの値の変更後は、その変更を反映するためにOracle Identity Managerサーバーを再起動する必要があります。

OIM.IdentityHomepage

none

ターゲットLDAPディレクトリで参照整合性が有効であるかどうかを示します

ターゲットLDAPディレクトリの参照整合性がオンの場合、このプロパティの値はTRUEです。

ターゲットLDAPディレクトリの参照整合性がオフの場合、このプロパティの値はFALSEです。

XL.IsReferentialIntegrityEnabledInLDAP

FALSE

自己登録は許可されているか

値がTRUEの場合、ユーザーが自己登録を行えます。

XL.SelfRegistrationAllowed

TRUE

無効化されたマネージャを許可

無効化された状態のユーザーを別のユーザーのマネージャとして設定できるかどうかを指定します。

AllowDisabledManagers

FALSE

LDAP予約プラグイン

このプロパティは、ユーザー属性の予約用に選択するLDAP予約プラグインの実装を定義します。

XL.LDAPReservationPluginImpl

oracle.iam.identity.usermgmt.impl.plugins.reservation.ReservationInOID

ログインの最大試行回数

ユーザーが何回連続してOracle Identity Managerへのログインに失敗すると、Oracle Identity Managerでユーザー・アカウントがロックされるかを定義します。

注意: ユーザー・アカウントがロックされている場合、次のいずれかの方法でロックを解除できます。

- 「パスワードを忘れた場合」を使用したパスワードのリセット

- 委任管理者によるユーザーのロック解除

- ロック期間が終了した後の自動ロック解除(毎日実行されるユーザーの自動ロック解除スケジュール済タスクを使用して行われます)

XL.MaxLoginAttempts

10

パスワード・リセットの最大試行回数

ユーザーが何回連続してパスワードのリセットに失敗すると、Oracle Identity Managerでユーザー・アカウントがロックされるかを定義します。

重要: ユーザー・アカウントがロックされた場合、ユーザーはこれを解除できません。この場合はシステム管理者に連絡してください。

XL.MaxPasswordResetAttempts

3

チャレンジ・レスポンスの最小長

このプロパティでは、チャレンジ質問に対する回答の最小長を設定します。

XL.ResponseMinLength

0

正答数

この値は、ユーザー・パスワードをリセットするために、ユーザーが正解する必要のある質問の数を表します。

PCQ.NO_OF_CORRECT_ANSWERS

3

質問数

Webアプリケーションを使用するユーザーがユーザーのパスワードをリセットするために完了する必要のある質問の数を設定します。

PCQ.NO_OF_QUES

3

注意: PCQ.NO_OF_QUESに設定する値は、PCQ.NO_OF_CORRECT_ANSWERSに設定する値より小さくしないでください。

OIA統合ステータス

OIAをOracle Identity Managerと統合するかどうかを指定します。

Oracle Identity Managerでロール・メンバーシップを追加する前に、このプロパティの値をTRUEに設定します。

このプロパティの値をFALSEに設定すると、OIAへの増分ロール・メンバーシップは機能しません。

注意: このプロパティを有効化した後、ロール・メンバーシップの完全インポートを少なくとも1回実行する必要があります。

OIM.IsOIAIntegrationEnabled

FALSE

旧パスワード・バリデータ

このプロパティでは、旧パスワードの検証に使用するプラグイン・クラスの名前を指定します。

OIM.OldPasswordValidator

oracle.iam.identity.usermgmt.impl.ContainerLoginPasswordVerifier

組織の削除/無効化アクション

このプロパティがTRUEに設定されている場合、組織にユーザーと下位組織が含まれている場合でも、ユーザーは組織を無効化および削除できます。

このプロパティがFALSEに設定されている場合、組織にユーザーと下位組織が含まれていると、ユーザーは組織を無効化および削除できません。

デフォルト値は、FALSEです。

ORG.DisableDeleteActionEnabled

FALSE

取消保留中のタスク

このプロパティをTRUEに設定し、タスクの保留中の取消しを許可した場合、対応するプロセス・インスタンスが取り消されると、これらのタスクは「Pending Cancelled (PX)」ステータスに移動されます。プロパティをFALSEに設定した場合、対応するプロセス・インスタンスが取り消されると、タスクは「Cancelled (X)」ステータスに移動されます。対応するリソース・インスタンスが失効した場合、Oracle Identity Managerによってプロセス・インスタンスが呼び出されることに注意してください。

XL.PendingCancelled

true

遅延ユーザー削除までの期間

このプロパティはユーザーを削除するまでの期間を指定するために使用されます。このプロパティが設定されており、ユーザーが削除される場合は、ユーザーの状態は無効に変更され、「自動削除日」に現在の日付に遅延期間を加えた日付が設定されます。

XL.UserDeleteDelayPeriod

0

データベース名を表示するかどうかを指定するプロパティ

値がTRUEの場合、データベース名がDesign Consoleに表示されます。

XL.TOOLBAR_DBNAME_DISPLAY

TRUE

プロキシ・ユーザー電子メール通知

対応するPTY_VALUEは、プロキシ・ユーザーの作成時に送信される電子メール定義名です。ユーザーに他のユーザーのプロキシが作成されると、通知電子メールがユーザーに届きます。

XL.ProxyNotificationTemplate

Notify Proxy User

リコンシリエーション・バッチ・サイズ

このプロパティは、リコンシリエーションのバッチ・サイズを指定するために使用されます。リコンシリエーションがバッチで実行されないことを示すには、この値に0を指定します。

注意: このプロパティの設定後は、Oracle Identity Managerサーバーを再起動する必要があります。

OIM.ReconBatchSize

500

レコード読取り制限

Oracle Identity System Administrationで問合せ結果セットに表示されるレコードの最大数を設定します。

XL.READ_LIMIT

500

リクエスト通知レベル

このプロパティは、リクエストの作成時またはリクエスト・ステータスの変更時に、リクエスタと受益者に通知を送信するかどうかを示します。

このプロパティの値が0の場合、通知機能は無効です。値が1の場合は、通知機能は有効です。

RequestNotificationLevel

0

生成されたパスワードでリセット

ユーザーのパスワードをリセットする場合、委任管理者によってパスワードがリセットされる方法をこのプロパティで定義します。

このプロパティをtrueに設定すると、パスワードは常に自動生成されます。falseに設定すると、パスワードを手動で設定する追加オプションが提供されます。

XL.ResetWithGeneratedPwd

TRUE

リコンシリエーション・イベントの再試行回数

このプロパティは、リコンシリエーションの再試行回数を定義します。再試行回数の値は、このプロパティの値から取得されます。

0より大きい値を指定すると、自動再試行が構成されます。このプロパティの値として0を指定すると、自動再試行は構成されません。

Recon.RetryCount

5

ロールSoDチェック・トポロジ名

このプロパティは、SoDチェックの実行に使用されるSoDエンジンをSIL (SoD起動ライブラリ)に通知するトポロジ名を定義するために使用されます。トポロジ名はSILConfig.xmlファイルで定義され、アイデンティティ管理システム、ターゲット・システムおよびSoDエンジンの組合せです。

SILに基づくロールSoDチェックは、OIAをSoDエンジンとして使用している場合にのみサポートされます。OIAを使用している場合にSILConfig.xmlファイルに設定されるデフォルトのトポロジ名は、sodoiaです。

このプロパティの値をsodoiaに設定すると、ロールに対して要求されたリクエストには、OIAによるSoDチェックが実行されます。SoDチェックは、ロールに対するリクエストが要求され、直接割当てでない場合にのみ実行されます。

デフォルト以外のトポロジ名を使用する場合は、SILConfig.xmlファイルで定義し、SILに登録する必要があります。SILへの新しいトポロジ名の登録の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の職務の分離(SoD)の使用に関する説明を参照してください。

注意: このプロパティは、非FAロールのSoDチェックにのみ使用されます。

RoleSoDCheckTopologyName

検索停止件数

このプロパティは、詳細検索の結果に表示されるレコードの最大数を定義します。指定された検索条件でこのプロパティの値を超える数のレコードが返される場合は、表示されるレコードの数はこの値に制限されます。さらに、結果が最大数を超えることを示す警告が表示され、追加属性を使用して検索を絞り込む必要があります。

XL.IDADMIN_STOP_COUNT

300

職務の分離(SOD)チェックは必須です

このプロパティは、職務の分離(SoD)チェックが必要かどうかを指定します。

XL.SoDCheckRequired

FALSE

リコンシリエーションで通知を送信する必要があるかどうか

信頼できるソース・リコンシリエーション経由で、ユーザー作成のための後処理イベント・ハンドラによってユーザー・ログインおよびパスワードが生成されたときに、ユーザーに通知を送信するかどうかを定義します。

この値をtrueに設定すると、信頼できるソース・リコンシリエーション経由で、ユーザー作成のための後処理イベント・ハンドラによってユーザー・ログインおよびパスワードが生成されたときに、通知が送信されます。

この値をfalseに設定すると、信頼できるソース・リコンシリエーション経由で、ユーザー作成のための後処理イベント・ハンドラによってユーザー・ログインおよびパスワードが生成されたときに、通知が送信されません。

Recon.SEND_NOTIFICATION

true

セルフ・サービス・コンソールに左側のナビゲーション・タスクフロー・パネルを表示しますか。

このプロパティは、ユーザーがOracle Identity Managerセルフ・サービスにログインしたときに左ペイン(主要ナビゲーション・ツール)が表示されるかどうかを指定するために使用されます。

左ペインを表示するには、このプロパティの値をtrueに設定します。そのようにしない場合は、このプロパティの値をfalseに設定します。

注意:

- このプロパティの値をfalseに設定した場合は、「セルフ・サービス・コンソールにツールバー・ナビゲーションを表示しますか。」プロパティの値をtrueに設定する必要があります。

- このプロパティの値の変更後は、その変更を反映するためにOracle Identity Managerサーバーを再起動する必要があります。

OIM.IdentityShowLeftNav

true

セルフ・サービス・コンソールにツールバー・ナビゲーションを表示しますか。

このプロパティは、Oracle Identity Self Serviceにログインしたユーザーに、「アクセシビリティ」、「ヘルプ」などのリンク(ページの右上)が表示されるかどうかを指定するために使用されます。

リンクを表示するには、このプロパティの値をtrueに設定します。そのようにしない場合は、このプロパティの値をfalseに設定します。

注意:

- このプロパティの値をfalseに設定した場合は、「セルフ・サービス・コンソールに左側のナビゲーション・タスクフロー・パネルを表示しますか。」プロパティの値をtrueに設定する必要があります。

- このプロパティの値の変更後は、その変更を反映するためにOracle Identity Managerサーバーを再起動する必要があります。

OIM.IdentityShowToolbar

false

OIM UIのスキン・ファミリ

アプリケーションが実行時に使用するOracle Identity Manager UIのADFスキン・ファミリ。

OIM.SkinFamily

fusionFX

OIM UIのスキン・バージョン

Oracle Identity Manager UIに使用されるスキン・ファミリのスキン・バージョン(ある場合)。

スキンにバージョンがある場合は、trinidad-config.xml SKIN-VERSIONをスキンのスキン・バージョンに設定します。そうでない場合は、そのスキン・ファミリのデフォルトになるようにマークされたスキンを選択するのであれば、このプロパティのデフォルト値を設定します。

OIM.SkinVersion

default

使用されるLDAPコンテナ・マッパー・プラグインを指定します

Oracle Identity ManagerをLDAP同期を有効にしてインストールした場合、このプラグインでユーザーおよびロールをどのコンテナに作成するかを指定します。このシステム・プロパティの値は、コンテナ値の算出に使用されるデフォルトのOracle Identity Managerプラグイン名を示します。デフォルトのプラグインが要件を満たさない場合は、コンテナを指定する独自のプラグインを定義し、このシステム・プロパティでそのプラグインの名前を指定できます。

注意: このプラグインの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のLDAPコンテナ・ルールの開発に関する説明を参照してください。

LDAPContainerMapperPlugin

oracle.iam.ldapsync.impl.DefaultLDAPContainerMapper

チャレンジ質問変更用URL

ユーザーがロックされると、所定の期間が経過した後で自動ロック解除が発生します。このプロパティは、この期間を秒単位で定義します。たとえば、ユーザー・アカウントがロックされ、このプロパティの値が86400秒(1日)の場合は、アカウントは1日後に自動的にロック解除されます。

このプロパティの値は、チャンレンジ質問を処理するOAAM内のURLです。次に例を示します。

http://OAAM_HOST:OAAM_PORT/OAAM_SERVER/userPreferences.do?showView=registerQuestions

OIM.ChallengeQuestionsModificationURL

NONE

パスワードの変更用URL

このプロパティは、OIM.DisableChallengeQuestionsプロパティと組み合せて使用します。このプロパティの値は、パスワードの変更機能を処理するOAAM内のURLです。次に例を示します。

http://OAAM_HOST:OAAM_PORT/OAAM_SERVER/userPreferences.do?showView=changePassword

OIM.ChangePasswordURL

NONE

一定期間後にアカウントを自動ロック解除

このプロパティは、指定された期間後にユーザー・アカウントのロックを自動的に解除するために使用されます。

XL.UnlockAfter

86400秒(1日)

行制限の使用

注意: このプロパティはOracle Identity Managerによる内部使用のためのものです。このプロパティは使用しないでください。

XL.UseRowRestriction

FALSE

デフォルト質問の使用

顧客がUIをカスタマイズしてエンドユーザーが独自のチャレンジ質問を設定できるようにしている場合、このプロパティによりユーザーがWebアプリケーションで事前定義されたリストからチャレンジ質問を選択する必要があるかどうか、また、ユーザーが独自の質問を設定する必要があるかどうかを決定します。

注意: エンドユーザーが独自のチャレンジ質問を設定する機能は、標準のすぐに使用できるユーザー・インタフェースでサポートされています。

PCQ.USE_DEF_QUES

TRUE

APIパラメータでセミコロンをデリミタとして使用

このプロパティは、APIの入力パラメータ値のデリミタとしてセミコロンを使用するかどうかの指定に使用されます。一部のAPIでは、セミコロンで区切られた文字列入力値を受け入れていました。これは、かわりに縦線(|)を使用するように変更されています。下位互換性を保つために、この新しいプロパティを使用してセミコロンを使用するように戻すことができます。デフォルト値はFALSEで、"|"の使用を表します。TRUEに設定すると、APIの入力でセミコロンを区切り文字として受け入れます。

XL.UseSemiColonAsDelimiter

FALSE

ユーザー属性予約有効

このプロパティは、ユーザー属性予約を有効にするために使用されます。

XL.IsUsrAttribReservEnabled

TRUE

ユーザーID再利用プロパティ。USR_LOGIN列に存在する索引を削除する必要があります

削除されたユーザー・アカウントを再利用可能にするかどうかを決定します。削除されたユーザー・アカウントを再利用するには、このプロパティにTRUEの値を割り当て、USR表のUSR_LOGIN列の一意の索引を削除して、一意でない索引を作成します。ユーザー・アカウントが再利用されないようにするには、このプロパティにFALSEの値を割り当てます。

注意: 削除されたユーザーに関連付けられたアカウントはすべてプロビジョニング解除を行う必要があります。XL.UserIDReuseプロパティをtrueに設定することで、削除されたユーザーの名前と同じユーザー名で新しいユーザーを作成すると、プロビジョニング解除プロセスの一部として削除されなかった削除ユーザーのオフライン・アカウントへのアクセス権を新しいユーザーが取得する場合があるからです。

XL.UserIDReuse

FALSE

ユーザー言語

user.languageの値は、インストール時にサーバー側のロケール処理用に構成されます。

user.language

en

ユーザー・リージョン

user.regionの値は、インストール時にサーバー側のロケール処理用に構成されます。

user.region

US

ユーザー設定

user.variantの値は、インストール時にサーバー側のロケール処理用に構成されます。

user.variant

ユーザー・プロファイル監査データ収集レベル

このプロパティは、ユーザーの作成、修正または削除、ロールの付与または取消し、リソースのプロビジョニングまたはプロビジョニング解除など、ユーザーに対する操作を実行するときに監査目的で収集されるユーザー・プロファイルデータを管理します。「リソース・フォーム」や「なし」などのプロパティ値に応じて、データがUPA表に移入されます。

監査レベルはこのプロパティの値として指定されます。サポートされるレベルは次のとおりです。

- プロセス・タスク: リソース・ライフサイクル・プロセスでユーザー・プロファイル・スナップショット全体をまとめて監査します。

- リソース・フォーム: ユーザー・レコード、ロール・メンバーシップ、プロビジョニングされたリソースおよびリソースに関連付けられたすべてのフォーム・データを監査します。

- リソース: ユーザー・レコード、ロール・メンバーシップおよびプロビジョニングされたリソースを監査します。

- メンバーシップ: ユーザー・レコードおよびロール・メンバーシップのみを監査します。

- コア: ユーザー・レコードのみを監査します。

- なし: 監査データは格納されません。

XL.UserProfileAuditDataCollection

リソース・フォーム

Xellerateユーザー・リソースのプロビジョニング・モード

このプロパティは、ユーザーの組織に対するXellerateユーザー・リソースのプロビジョニングが、ストアド・プロシージャを通じてデータベース・レイヤーで、またはイベント・ハンドラを介してJavaレイヤーで行われるかどうかを決定します。

注意: イベント・ハンドラの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』を参照してください。

このプロパティに設定できる値は次のとおりです。

- Db: ユーザーの組織に対するXellerateユーザー・リソースのプロビジョニングは、ストアド・プロシージャを通じてデータベース・レイヤーで行われます。これによりさらにプロセスがトリガーされることはありません。そのため、Xellerateユーザー・リソースに関連付けられたXellerateユーザー・プロビジョニング・プロセスに関連付けられているカスタム・タスクが実行されます。

- Java: ユーザーの組織に対するXellerateユーザー・リソースのプロビジョニングは、イベント・ハンドラを介してデータベース・レイヤーで行われます。Xellerateユーザー・リソースに関連付けられたXellerateユーザー・プロビジョニング・プロセスに関連づけられているカスタム・タスクが実行されます。これは、以前のリリースのOracle Identity Managerでプロビジョニング・プロセスに関連付けられている独自のタスクがあり、11gにアップグレード後もこれを継続して実行するようなアップグレード・シナリオにも適用できます。このようなシナリオでは、このプロパティの値をJavaに設定します。

XLUserResource.ProvisionMode

Db

電子メールの一意性を検証するかどうか

このプロパティは、Oracle Identity Managerの以前のリリースからアップグレードしたOracle Identity Manager 11g リリース2 (11.1.2)デプロイメントで使用できます。

このプロパティの値がFALSEの場合、Oracle Identity Managerで電子メールの一意性チェックは実行されません。

値がTRUEの場合、Oracle Identity Managerで電子メールの一意性チェックが実行されます。

注意: このプロパティが存在しない場合は、Oracle Identity Managerで電子メールの一意性チェックが実行されます。

OIM.EmailUniqueCheck

TRUE

Oracle Identity Managerでは、PTY表にデフォルトでは存在しない、一連のシステム・プロパティが提供されています。Oracle Identity System Administrationを使用してこれらのシステム・プロパティをPTY表に追加し、そのプロパティを使用してOracle Identity Managerの一部のデフォルト設定を変更できます。たとえば、JDBC接続に失敗したときにOracle Identity Managerが接続を取得するために再試行する回数を構成する場合は、JDBC接続再試行回数システム・プロパティを構成できます。

関連項目:

GTCの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』を参照してください。

表15-2に、PTY表に追加できるシステム・プロパティを示します。

表15-2 デフォルト以外のシステム・プロパティ

プロパティ名

説明

キーワード

サンプル値

OIMデータベース問合せ再試行回数

Oracle RACの失敗を処理するために再試行されるSQL問合せの回数。

このプロパティがPTY表にない場合、Oracle RACの失敗を処理するSQL問合せはデフォルトで3回再試行されます。

OIM.DBQueryRetryAttempts

5

OIMデータベース問合せ再試行間隔

Oracle RACの失敗に対して行われるSQL問合せの各再試行の間隔秒数。

このプロパティがPTY表にない場合、SQL問合せはデフォルトで7秒間隔で実行されます。

OIM.DBQueryRetryInterval

10秒

JDBC接続再試行回数

JDBC接続に失敗したときにOracle Identity Managerが接続を取得するために再試行する回数。

このプロパティがPTY表にない場合、JDBC接続はデフォルトで3回再試行されます。

OIM.JDBCConnectionRetryAttempts

5

値が0の場合、再試行は行われません。

JDBC接続再試行間隔

JDBC接続の各再試行の間隔秒数。

このプロパティがPTY表にない場合、JDBC接続再試行は7秒間隔で行われます。

OIM.JDBCConnectionRetryInterval

10秒

デフォルト・テナントGUID

Oracle Identity Managerの非MTモードでは、このプロパティは、テナントGUIDの値を想定するアプリケーションのテナントGUIDとして機能する値に設定します。

MTモードでは、このプロパティは必要ありません。これは、テナントGUIDがユーザー属性の一部であるためです。

OIM.DefaultTenantGUID

201

15.2 システム・プロパティの作成と管理

この項の内容は次のとおりです。

- システム・プロパティの作成

- キャッシュのパージ

- システム・プロパティの検索

- システム・プロパティの変更

- システム・プロパティの削除

15.2.1 システム・プロパティの作成

Oracle Identity Managerには、独自のシステム・プロパティを作成する機能があります。「Oracle Identity Managerのシステム・プロパティ」にリストされている事前定義済システム・プロパティを使用しないで、要件に合わせてシステム・プロパティを作成できます。

システム・プロパティは、Oracle Identity Manager管理で「システム・プロパティの作成」ページを使用して作成できます。このページは、システム・プロパティを作成する権限がある場合のみ開くことができます。

システム・プロパティの作成時に、「プロパティ名」、「キーワード」、「値」フィールドの値を指定します。これらの値はOracle Identity ManagerデータベースのPTY表に保存されます。

システム・プロパティを作成するには:

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「システム管理」で、「システム構成」をクリックします。拡張管理が表示され、「システム管理」タブの「システム構成」セクションがアクティブになります。

3. 左ペインの「アクション」メニューから、「作成」を選択します。または、ツールバーの作成アイコンをクリックします。図15-1に示すように、「システム・プロパティの作成」ページが表示されます。

図15-1「システム・プロパティの作成」ページ

「図15-1「システム・プロパティの作成」ページ」の説明

4. 「システム・プロパティの作成」フォームで、システム・プロパティの詳細を入力します。表15-3にこのフォームのフィールドを示します。

表15-3「システム・プロパティの作成」フォームのフィールド

フィールド

説明

プロパティ名

システム・プロパティの名前を入力します。

キーワード

システム・プロパティの一意のIDを入力します。キーワードは、任意の形式で入力できます。

注意: プロパティ名は様々なロケールに変換できますが、キーワードは変換できません。

値

システム・プロパティの値(たとえば4)を入力します。

注意:

システム・プロパティを作成または更新する場合、「キーワード」フィールドの先頭または末尾に特殊文字(.)を使用できません。「値」フィールドの場合は、先頭または末尾に特殊文字を使用できます。

5. 「実行」をクリックしてシステム・プロパティを作成します。システム・プロパティが作成されたことを確認するメッセージが表示されます。作成された新しいシステム・プロパティに対して、デフォルトで「データ・レベル」は2に、login_requiredはtrueに設定されます。
システム・プロパティの作成後、SQLを使用して、次のシステム・プロパティ・フィールド(データベースのPTY表に記録されるシステム・プロパティに自動的に追加されます)の値を設定できます。

- データ・レベル: 各システム・プロパティにはデータ・レベルが関連付けられています。「「データ・レベル」フィールドは、システム・プロパティで実行できる操作の種類を定義します。データ・レベルによって、システム・プロパティで実行できる操作を指定します。たとえば、システム・プロパティのデータ・レベルの値が1の場合、システム・プロパティは変更も削除もできないことを示します。このフィールドのデフォルト値は2です。
「「データ・レベル」フィールドは、UIを使用して変更できません。これはSQLスクリプトでのみ変更できます。表15-3に、システム・プロパティに関連付けられる各種データ・レベルのリストと説明を示します。

表15-4 システム・プロパティに関連付けられるデータ・レベル

データ・レベル

説明

0

システム・プロパティを変更または削除できることを示します。

1

システム・プロパティを変更または削除できないことを示します。

2

システム・プロパティを変更のみできることを示します。

3

システム・プロパティを削除のみできることを示します。

- ログイン必須: このフィールドはシステム・プロパティにアクセスするためにログインが必要かどうかを指定します。このフィールドのデフォルト値は1で、システム・プロパティにアクセスするにはログインが必要なことを意味します。このフィールドの値は、SQLスクリプトを使用して0に変更できます。

- LKU_KEY: このフィールドでは、システム・プロパティの「値」フィールドで指定できる値セットを定義します。新規作成されたシステム・プロパティに対するこのフィールドのデフォルト値はnullです。
Oracle Identity Managerでは、2つの表(LKU表およびLKV表)を使用してセットを表します。LKU表には、各セットを識別するキーが保持されます。LKV表では各セットのメンバーが定義され、LKV表の各行ではセットを識別する1列(LKU表のLKU_KEY列)、およびセットのメンバーとなる値を宣言する別の列が使用されます。

LKU_KEYは、Oracle Identity ManagerデータベースのLKU表の列です。LKU_KEY列の値がnullでないシステム・プロパティでは、LKV表にある事前定義済の値セットからこの列に値を挿入できます。これはSQLスクリプトを使用して行い、LKU表から取得したLKU_KEY列の有効な値を含めて、複数の値をシステム・プロパティに関連付けます。詳細はステップ7を参照してください。

6. システム・プロパティのデータ・レベルを変更する必要がある場合は、次のSQL文を実行します。

UPDATE PTY SET PTY_DATA_LEVEL=DATA_LEVEL_VALUE WHERE PTY_KEYWORD = SYSTEM_PROPERTY_KEYWORD;

このSQL文の説明は次のとおりです。

- DATA_LEVEL_VALUEは、表15-4の「データ・レベル」列にリストされている値です。

- SYSTEM_PROPERTY_KEYWORDは、ステップ4で「キーワード」フィールドに入力したシステム・プロパティの一意のIDです。

注意:

システム・プロパティを作成または更新する場合、「キーワード」フィールドの先頭または末尾に特殊文字(.)を使用できません。「値」フィールドの場合は、先頭または末尾に特殊文字を使用できます。

7. 「ログイン必須」フィールドの値を変更するには、次のコマンドを実行します。

UPDATE PTY SET PTY_LOGINREQUIRED=LOGIN_REQUIRED_VALUE WHERE PTY_KEYWORD = SYSTEM_PROPERTY_KEYWORD;

このコマンドにおいて:

- LOGIN_REQUIRED _VALUEの値は0か1のいずれかです。
システム・プロパティにアクセスする際にログインを必要とする場合は1.、その他の場合は0.を入力します。

- SYSTEM_PROPERTY_KEYWORDは、ステップ4で「キーワード」フィールドに入力したシステム・プロパティの一意のIDです。

8. システム・プロパティの「値」フィールドで指定できる値セットを定義するには、次のコマンドを実行します。

1. 次のコマンドを実行し、LKU表に行を挿入します。

INSERT INTO LKU (LKU_KEY, LKU_LOOKUP_KEY, LKU_TYPE, LKU_GROUP, LKU_REQUIRED, LKU_TYPE_STRING_KEY, LKU_FIELD, LKU_DATA_LEVEL, LKU_CREATE, LKU_CREATEBY, LKU_UPDATE, LKU_UPDATEBY, LKU_NOTE, LKU_ROWVER) VALUEs (LKU_KEY_VALUE, LKU_LOOKUP_KEY_VALUE,...);

たとえば、Titleフィールド用の値セットを更新するには、次のINSERT文を実行します。

INSERT INTO LKU (LKU_KEY, LKU_LOOKUP_KEY, LKU_TYPE, LKU_GROUP, LKU_REQUIRED, LKU_TYPE_STRING_KEY, LKU_FIELD, LKU_DATA_LEVEL, LKU_CREATE, LKU_CREATEBY, LKU_UPDATE, LKU_UPDATEBY, LKU_NOTE, LKU_ROWVER) VALUES (201, Title, ...);

ここで、LKU_KEY_VALUEは201で、LKU表でレコードを一意に識別します。LKU_LOOKUP_KEY_VALUEはTitleです。

注意:

LKU_KEYの値はLKVの挿入文で使用されるため、LKU表にレコードを挿入してからLKV表にレコードを挿入する必要があります。

2. LKV表に行を挿入するには、次のコマンドを実行します。

INSERT INTO LKV (LKV_KEY, LKU_KEY, LKV_ENCODED, LKV_DECODED, LKV_LANGUAGE, LKV_COUNTRY, LKV_VARIANT, LKV_DISABLED, LKV_DATA_LEVEL, LKV_CREATE, LKV_CREATEBY, LKV_UPDATE, LKV_UPDATEBY, LKV_NOTE, LKV_ROWVER) VALUES (LKV_KEY_VALUE, LKU_KEY_VALUE, LKV_ENCODED_VALUE, LKV_DECODED_VALUE, ...);

たとえば、Titleフィールド用の値セットにMr、Ms、Drを定義するには、次のINSERT文を実行します。

INSERT INTO LKV (LKV_KEY, LKU_KEY, LKV_ENCODED, LKV_DECODED, LKV_LANGUAGE, LKV_COUNTRY, LKV_VARIANT, LKV_DISABLED, LKV_DATA_LEVEL, LKV_CREATE, LKV_CREATEBY, LKV_UPDATE, LKV_UPDATEBY, LKV_NOTE, LKV_ROWVER) VALUES (1001, 201, 'Ms', 'Miss', ...);

INSERT INTO LKV (LKV_KEY, LKU_KEY, LKV_ENCODED, LKV_DECODED, LKV_LANGUAGE, LKV_COUNTRY, LKV_VARIANT, LKV_DISABLED, LKV_DATA_LEVEL, LKV_CREATE, LKV_CREATEBY, LKV_UPDATE, LKV_UPDATEBY, LKV_NOTE, LKV_ROWVER) VALUES (1002, 201, 'Mr', 'Mister', ...);

INSERT INTO LKV (LKV_KEY, LKU_KEY, LKV_ENCODED, LKV_DECODED, LKV_LANGUAGE, LKV_COUNTRY, LKV_VARIANT, LKV_DISABLED, LKV_DATA_LEVEL, LKV_CREATE, LKV_CREATEBY, LKV_UPDATE, LKV_UPDATEBY, LKV_NOTE, LKV_ROWVER) VALUES (1003, 201, 'Dr', 'Doctor', ...);

この例において:

- LKV_KEY_VALUEはそれぞれ、1001、1002、1003で、LKV表のレコードを一意に識別します。

- LKV_ENCODED_VALUEはそれぞれ、Ms、Mr、Drです。

- LKV_DECODED_VALUEはそれぞれ、Miss、Mister、Doctorです。

関連項目:

LKU表およびLKV表の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のカスタム属性の構成に関する説明を参照してください。

3. PTY表のLKU_KEY列の値を更新するには次のコマンドを実行します。
UPDATE PTY SET LKU_KEY=LKU_KEY_COLUMN_IN_THE_LKV_TABLE WHERE PTY_KEYWORD = SYSTEM_PROPERTY_KEYWORD;

このコマンドにおいて:

- LKU_KEY_COLUMN_IN_THE_LKV_TABLEは、LKV表のLKU_KEY列の値です。

- SYSTEM_PROPERTY_KEYWORDは、ステップ4で「キーワード」フィールドに入力したシステム・プロパティの一意のIDです。

注意:

ORACLE Identity Manager拡張管理で変更内容を表示するには、システム・プロパティの変更直後にMicrosoft SQLを使用してキャッシュのパージを実行する必要があります。

15.2.2 キャッシュのパージ

拡張管理以外の方法でシステム・プロパティを変更した場合は、必ずパージのキャッシュを実行してOracle Identity Managerに変更を反映させる必要があります。

サーバー・キャッシュをクリアするには、次の手順を実行します。

注意:

PurgeCacheユーティリティを実行する前に、DOMAIN_HOME/bin/setDomainEnv.shスクリプトを実行する必要があります。

1. 使用しているオペレーティング・システムに応じて、次のディレクトリに移動します。

- Microsoft Windowsの場合:
OIM_HOME\server\bin\

- UNIXの場合:
OIM_HOME/server/bin/

2. 次のいずれかのコマンドを実行します。

- Microsoft Windowsの場合:
PurgeCache.bat CATEGORY_NAME

- UNIXの場合:
PurgeCache.sh CATEGORY_NAME

CATEGORY_NAME名前引数は、パージするOracle Identity Managerのカテゴリ名(FormDefinitionなど)を表します。すべてのカテゴリをパージするには、"All"という値をPurgeCacheユーティリティに渡します。カテゴリはすべて消去することをお薦めします。

15.2.3 システム・プロパティの検索

Oracle Identity Manager拡張管理により、システム・プロパティに対して次のタイプの検索操作を実行できます。

- 単純検索の実行

- 拡張検索の実行

15.2.3.1 単純検索の実行

システム・プロパティの単純検索を実行するには:

1. 拡張管理の「ようこそ」ページで、「システム管理」の下にある「システム構成」をクリックします。または、システム管理」タブ、「システム構成」の順にクリックします。

2. 左ペインの「検索」フィールドに、検索するシステム・プロパティの検索基準を入力します。検索基準にはワイルドカード文字(*)を使用できます。
「検索」フィールドに*を入力すると、すべてのシステム・プロパティが表示されます。文字とワイルドカード文字を組み合せて検索をフィルタできます。たとえば、pで始まるシステム・プロパティを検索するには、「検索」フィールドにp*を入力します。

3. 「検索」フィールドの横のアイコンをクリックします。図15-2に示すように、検索基準を満たすすべてのシステム・プロパティのリストが表示されます。

図15-2 システム・プロパティのリスト

検索結果表にシステムプロパティの名前とキーワードが表示されます。プロパティ名をクリックすると、そのシステム・プロパティの詳細が表示されます。

15.2.3.2 拡張検索の実行

システム・プロパティの拡張検索を実行するには:

1. 「システム構成」セクションの左ペインで、「拡張検索」をクリックします。「プロパティ: 拡張検索」ページが表示されます。

2. 「プロパティ名」フィールドの横に表示されるリストから、検索条件を選択します。

3. 「プロパティ名」フィールドで、検索するシステム・プロパティの検索基準を入力します。検索基準にはワイルドカード文字(*)を使用できます。フィールドの横に表示されるリストから検索条件を選択します。検索条件には、「次を含まない」、「次で始まらない」、「次と等しくない」、「次と等しい」、「次で終わる」、「次で終わらない」、「次を含む」および「次で始まる」があります。

4. 「検索」をクリックします。図15-3に示すように、検索結果表に検索基準に一致するシステム・プロパティが表示されます。

図15-3 拡張検索結果

「図15-3 拡張検索結果」の説明

検索結果には、各システム・プロパティのキー、プロパティ名、キーワード、値、許可された値および日付レベルが表示されます。

15.2.4 システム・プロパティの変更

修正操作により、「システム・プロパティ詳細」ページを使用して既存のシステム・プロパティを変更できます。システム・プロパティを許可された値セットでタグ付けすると、そのセットのみから値を指定する必要があります。

注意:

複数の値が割り当てられたシステム・プロパティを変更する場合、変更する値がLKU表およびLKV表で定義された値の一部でない場合はメッセージが表示されます。システム・プロパティへの複数の値の関連付けについての詳細は、「システム・プロパティの作成」のステップ7を参照してください。

英語でないロケールで作成されたシステム・プロパティの「プロパティ名」と「キーワード」のフィールドは変更できません。回避方法として、既存のシステム・プロパティを削除し、適切な値で新規作成します。

英語のロケールでは、ASCII以外の文字をシステム・プロパティ名で使用できます。システム・プロパティ名でASCII以外の文字を含むように変更する際、変更を他の言語に翻訳する場合に次を確認する必要があります。

翻訳バンドル(.propertiesファイル)は自動的に更新されないので、言語に対応する.propertiesファイルを翻訳対象となる名前に更新する必要があります。システム・プロパティの「プロパティ名」フィールドの値は、すべての翻訳バンドルの翻訳キーです。システム・プロパティ名に空白が含まれている場合、空白をチルダ文字(~)で置換する必要があります。次に、この例を示します。

英語のロケールでシステム・プロパティ名を「ダイレクト・プロビジョニングとアクセス・ポリシー・リクエストとの競合」に変更すると仮定します。これをイタリア語に翻訳すると仮定します。イタリア語用の翻訳バンドルの指定キーと翻訳値を次に示します。

Direct~Provisioning~vs~Request~for~Access~Policy~Conflicts = Provisioning diretto rispetto a richiesta di conflitti dei criteri di accesso

前述のエントリを次のように変更します。

Konflikt~zwischen~direktem~Provisioning~und~Anforderung~von~Zugriffs-Policy~XL = Provisioning diretto rispetto a richiesta di conflitti dei criteri di accesso

システム・プロパティを変更するには:

1. 変更するシステム・プロパティを検索します。

2. 検索結果表の「プロパティ名」列で、変更するシステム・プロパティをクリックします。
表15-4に示すように、「システム・プロパティ詳細」ページが表示されます。

図15-4「システム・プロパティ詳細」ページ

「図15-4「システム・プロパティ詳細」ページ」の説明

3. 「プロパティ名」、「キーワード」、「値」フィールドを変更する場合は、「システム・プロパティの作成」のステップ4を参照してください。

4. 「ログイン必須」を変更する場合は、「システム・プロパティの作成」のステップ7を実行してください。

5. 「許可された値」列を変更する場合は、「システム・プロパティの作成」のステップ8を実行してください。

6. システム・プロパティに関連付けられたデータ・レベルを変更するには、「システム・プロパティの作成」のステップ6を実行してください。

7. 変更モードを保存するには、「保存」をクリックします。
システム・プロパティが変更されたことを確認するメッセージが表示されます。

15.2.5 システム・プロパティの削除

システム・プロパティを削除するには:

注意:

システム・プロパティは、そのシステム・プロパティのデータ・レベルが0または3のいずれかに設定されている場合のみ削除できます。システム・プロパティに関連付けられたデータ・レベルが適切でない場合は、システム・プロパティの削除時にメッセージが表示されます。データ・レベルについては、表15-4 「システム・プロパティに関連付けられたデータ・レベル」を参照してください。

1. 拡張管理で、「システム管理」タブをクリックし、「システム構成」をクリックします。

2. 左ペインで、削除するシステム・プロパティを検索します。

3. 検索結果表の「プロパティ名」列で、削除するシステム・プロパティを選択します。

4. 「アクション」メニューから「削除」を選択します。確認を求めるメッセージが表示されます。「OK」をクリックします。

5. システム・プロパティが削除されたことを確認するメッセージが表示されます。「OK」をクリックします。

第VI部

リクエスト

この部では、リクエスト・カタログおよびリクエスト・サービスについて説明します。

第I部の内容は次のとおりです。

- 第16章「アクセス・リクエスト・カタログの管理」

16 アクセス・リクエスト・カタログの管理

この章ではアクセス・リクエスト・カタログの概要を示し、アクセス・リクエスト・カタログの主要機能、利点およびユースケースについて説明します。次の項で構成されます。

- 16.1項「アクセス・リクエスト・カタログ」

- 16.2項「アクセス・リクエスト・カタログについて」

- 16.3項「アクセス・リクエスト・カタログの管理」

- 16.4項「カタログのライフサイクルの管理」

- 16.5項「トラブルシューティング」

アクセス・リクエスト・カタログは、ビジネス・ユーザーがロール、アプリケーション・インスタンスおよびアプリケーション内の追加アクセス(権限とも呼ばれる)へのアクセスをリクエストできる、簡単で直感的なWebベースのユーザー・インタフェースを提供します。

アクセス・リクエスト・カタログを使用すると、ビジネスでロール、アプリケーション・インスタンス、カタログに対する権限を分類および公開し、拡張可能なメタデータを使用して追加のビジネス・コンテキストを提供できます。ユーザーは、直感的なユーザー操作性を備えたカタログ検索およびショッピング・カートを使用して、使い慣れたリクエスト・アクセスを自分で使用します。

16.1 アクセス・リクエスト・カタログ

この項では、アクセス・リクエスト・カタログの概要を示します。次の項で構成されます。

- 16.1.1項「アクセス・リクエストの課題」

- 16.1.3項「カタログのユースケース」

- 16.1.2項「概念」

16.1.1 アクセス・リクエストの課題

企業は、運営効率の改善およびITコスト削減の一環として、エンド・ユーザーのアイデンティティ・ライフサイクルとアクセス権限の管理プロセスを簡素化し、効率化することを試みてきました。これらの目的を達成するために、企業はエンド・ユーザーに各自のIDとアクセスの管理を可能にする様々なソリューションの導入を試みてきました。ただし、その過程で次のようないくつかの課題に直面しました。

- ITの概念と用語を理解し、アクセスをリクエストするITプロセスを使用するために、エンド・ユーザーは研修を受ける必要があります。

- 新しい従業員が入社すると研修サイクルを繰り返す必要があるため、生産性が低下し、ITコストが増加します。

- エンド・ユーザーは、リクエストが適時に満たされず、リクエストのステータスがわからない場合、IT支援を受ける必要があります。

- 通常、アプリケーション内の追加アクセスは、IT管理者またはアプリケーション管理者によって許可される必要があります。

- そのため、ビジネス・ユーザーはITに依存することを強制される一方、利用可能なアクセスの表示が制限され、生産性が制限されます。

アクセス・リクエスト・カタログは、ユーザーが様々なタイプのアクセスを検索および参照し、職務を遂行するために必要なアクセスを選択できる使いやすいWebインタフェースを提供することによってこれらの課題に対処します。これには、次の利点があります。

- エンド・ユーザーは、アクセスをリクエストするために技術的な専門用語を覚えたり、ITプロセスに従う必要がありません。カタログでは、よく知られている使いやすい検索とショッピング・カートのパターンによってユーザーにアクセス・リクエスト・プロセスを案内します。

- エンド・ユーザーは、特定のアプリケーション・インスタンス、ロールまたは権限の名前を知る必要がありません。カタログには、拡張可能なメタデータ・モデルとタグ付け機能が用意されています。これにより、ビジネス・ユーザーは、特定のアクセスの検索に使用される代替語を指定できます。エンド・ユーザーは必要なアクセスを検索するためのキーワードとワイルドカードの組合せを使用してカタログを検索できます。

16.1.2 概念

この項では、主要なアクセス・リクエスト・カタログの概念について説明します。

- カタログ
カタログ(リクエスト・カタログとも呼ばれる)は、一般に使用されるショッピング・カートのパラダイムに従って、ロール、権限およびアプリケーション・インスタンスをリクエストする一貫性のある直感的なリクエスト操作を顧客に提供します。カタログは、独自のメタデータ・セットを含む構造化されたコモディティです。

- カタログ項目
カタログ項目は、ユーザーが自身または他のユーザーのためにリクエストできる項目(ロール、権限またはアプリケーション・インスタンス)です。

- カテゴリ
カタログ項目カテゴリは、リクエスト・カタログを編成するための方法です。各カタログ項目は1つのカテゴリのみに関連付けられます。カタログ項目ナビゲーション・カテゴリは、カタログ項目の属性です。カタログ管理者はカタログ項目を編集し、カテゴリの値を指定できます。

注意:

カタログ項目では「カテゴリ」フィールドを空欄にできません。したがって、値がカタログで存在することを確認する必要があります。

- アプリケーション・インスタンス
アプリケーション・インスタンスは、特定のターゲットのアカウントを表します。ユーザーがアプリケーション・インスタンスをリクエストする場合、ユーザーは特定のターゲットのアカウントをリクエストしています。アプリケーション・インスタンスは、コネクタを介して履行が自動化されている場合は接続でき、履行が手動の場合は切断できます。アプリケーション・インスタンスには権限を関連付けることができます。

- エンタープライズ・ロール
エンタープライズ・ロールは顧客によって定義されます。エンタープライズ・ロールにはポリシーが関連付けられます。ユーザーは、カタログを介してエンタープライズ・ロールをリクエストできます。ロールが付与されると、アプリケーション・インスタンスまたは権限がユーザーにプロビジョニングされます。

- 権限
権限は、アプリケーションのユーザーがどの操作を実行できるかを制御するアプリケーションの権限です。

- カタログ・ユーザー定義フィールド
カタログ・ユーザー定義フィールドは、顧客によってカタログ・エンティティに追加される属性です。

- カタログ項目メタデータ
カタログ項目メタデータは、カタログ項目属性の値を意味します。メタデータはカタログ管理者が項目ごとに管理するか、一括して移入できます。

- タグ
タグは検索キーワードです。ユーザーがアクセス・リクエスト・カタログを検索する場合、検索はタグに対して実行されます。タグには次の3つのタイプがあります。

- 自動生成: カタログ同期化プロセスにより、項目タイプ、項目名および項目表示名を使用してカタログ項目が自動的にタグ付けされます。

- ユーザー定義: ユーザー定義タグは、カタログ管理者によって入力される追加のキーワードです。

- 任意のタグ: メタデータの定義時にユーザーがメタデータを検索可能としてマークした場合、そのメタデータもタグの一部になります。

- カタログ管理者
カタログ管理者はグローバル・セキュリティ・ロールです。カタログはこのロールのメンバーによってのみ管理されます。

- ショッピング・カート
ショッピング・カートは、リクエストされているカタログ項目のコレクションを意味します。ユーザーが任意の指定時間にアクティブ化できるカートは1つのみであり、カートにはロール、アプリケーション・インスタンス、権限またはこの3つの任意の組合せを含めることができます。

- カタログ同期化
カタログ同期化とは、ロール、アプリケーション・インスタンスおよび権限をカタログにロードするプロセスのことです。

16.1.3 カタログのユースケース

この項のユースケースでは、アクセス・リクエスト・カタログによって、エンド・ユーザーが職務の遂行に必要なロール、アプリケーション・インスタンスおよび権限をどのようにリクエストしやすくなるかについて説明します。

アクセスのリクエスト

MyCorpのマネージャのMaryは、自分自身と直属の部下のためにMyCorp取引アプリケーションへのアクセスをリクエストしようとしています。そのために、キーワード取引を使用してカタログを検索します。カタログによって、Maryのキーワードに一致し、リクエストが許可されるすべての項目が返されます。Maryは、カテゴリのリストからアプリケーションを選択して検索結果をフィルタリングします。カタログによって、削減された検索結果のセットが返されます。MaryはMyCorp取引アプリケーションをカートに追加し、チェックアウトします。彼女は自分自身と直属の部下をリクエストに追加し、リクエストを送信します。

画像req_acc_1.gifの説明

カタログの管理

カタログ管理者のJimは、新しいアプリケーション・インスタンスとその権限をオンボードし、属性を追加して、カタログ項目の検索可能性を向上させたいと考えています。カタログ同期化ジョブを実行して新しいアプリケーション・インスタンスとその権限を収集します。次に、属性を追加してカタログ・メタデータを拡張し、特定の属性を検索可能に指定します。次に、メタデータとともにカタログをロードし、新しい属性にタグを付けます。特定のカタログ項目について、カタログを検索し、カタログ項目をインプレース編集します。

画像req_acc_2.gifの説明

これらのユースケースは、アクセス・リクエスト・カタログを使用してアプリケーションおよびアプリケーションとロール内の権限をカタログで表示可能にし、ユーザーが簡単なWebベースのインタフェースを介してそれらへのアクセスをリクエストできるようにする一般的な例です。

16.2 アクセス・リクエスト・カタログについて

この項では、アクセス・リクエスト・カタログの機能と利点およびそのアーキテクチャについて説明します。内容は次のとおりです。

- 16.2.1項「機能と利点」

- 16.2.2項「アーキテクチャ」

16.2.1 機能と利点

アクセス・リクエスト・カタログは、Oracle Identity Managerでリクエストできる、検索可能な分類されたエンティティのコレクションです。認証されたユーザーは、カタログにアクセスして1つ以上のキーワードと検索演算子を使用してカタログを検索し、ショッピング・カートに1つ以上のカタログ項目を追加して自分自身と他のユーザーのためにリクエストを送信できます。

アクセス・リクエスト・カタログの主要機能は次のとおりです。

- 拡張可能なカタログ・スキーマにより、管理者は属性の追加や
属性がレンダリングされる方法の指定を簡単なブラウザベースのUIを使用して行うことができる

- ロール、アプリケーションおよび権限の自動収集

- CSVファイルを使用したカタログ・メタデータの自動ロード

- 複雑な検索演算子のサポートを含むキーワードを使用した強力な検索

- 顧客の選択に基づいたカタログ編成を可能にする柔軟な分類モデル

- リクエスタのビューア権限に基づいたカタログ検索結果の保護

- ワークフローで使用するWebサービスを介してカタログ項目データを利用可能

16.2.2 アーキテクチャ

図16-1 高レベルのカタログ・アーキテクチャ

「図16-1 高レベルのカタログ・アーキテクチャ」の説明

図16-1に、アクセス・リクエスト・カタログのコンポーネントおよびOracle Identity Managerの他のコンポーネントとの関係を示します。アクセス・リクエスト・カタログは、次のコンポーネントで構成されています。

1. カタログ表

2. カタログ・ローダー

3. カタログ・メタデータ

4. アイデンティティ・セルフ・サービス・コンソールのカタログ・ユーザー・インタフェース

16.3 アクセス・リクエスト・カタログの管理

この項では、アクセス・リクエスト・カタログの基本的な管理について説明します。内容は次のとおりです。

- 16.3.1項「前提条件」

- 16.3.2項「一般的なタスク」

- 16.3.3項「アクセス・リクエスト・カタログのデータベース・ベスト・プラクティス」

16.3.1 前提条件

アクセス・リクエスト・カタログは、エンド・ユーザーが職務の遂行に役立つロールや権限へのアクセスをリクエストするために使用します。そのため、カタログが最新であり、豊富なメタデータを含み、ユーザーが適切なアクセスを見つけることができるように編成されることが非常に重要です。これを実現するには、アクセス・リクエスト・カタログを管理するための計画を立てる必要があります。実現のための項では、カタログを管理するために従う必要がある手順を示します。それらの手順を実行するには、特定の前提条件があります。次のものがあります。

- 16.3.1.1項「カタログ管理者の設定」

- 16.3.1.2項「カタログ・メタデータの定義」

16.3.1.1 カタログ管理者の設定

カタログ管理者は、システム管理者およびシステム・コンフィギュレータのロールに類似した管理ロールです。Oracle Identity Manager 11gリリース2(11.1.2)では、このロールのメンバー(およびシステム管理者ロールのメンバー)は次のアクションを実行できます。

- カタログのロード

- カタログ項目の管理

- リクエスト・プロファイルの管理

このロールはグローバル・ロールであり、組織によって範囲指定されません。

カタログ管理者を付与するには:

1. Oracle Identity System Administrationコンソールにログインします。

2. 「組織」をクリックします。

3. 「上」を検索します。

4. 「管理ロール」タブをクリックします。

5. カタログ管理者管理ロールをクリックし、ツールバーの「割当て」をクリックします。
図assign_roles.gifの説明

6. 割り当てるユーザーを検索し、「選択した項目の追加」をクリックします。
図add_cat_user1.gifの説明

7. 「追加」をクリックしてユーザーを追加します。

カタログ管理者ロールの新しいメンバーは、セルフ・サービス・コンソールにログインしてカタログの管理を開始できます。

16.3.1.2 カタログ・メタデータの定義

豊富なカタログ・メタデータは、次の理由により重要です。

- エンド・ユーザーは、職務の遂行に必要なものへのアクセスにのみ関心があります。カタログを検索および参照する場合、示される情報はビジネスに関連するものである必要があります。カタログがスパース(最小の属性)である場合、ユーザーには選択すべきアクセスがわかりません。カタログが豊富であるが技術的なものである場合、ユーザーは混乱し、カタログを使用しなくなってしまいます。

- リクエスタおよび承認者には、リクエストの送信またはリクエストの承認を行うためにできるだけ多くのコンテキスト情報が必要です。承認者がリクエストを確認するとき、リクエスト対象、理由およびリクエストを承認した場合の影響を理解するのに、カタログ項目の詳細が役立ちます。

- 承認ワークフローでは、ルーティング・ルールを使用して承認者が正しく決定されます。承認者解決を実行するには、これらのルールに、リクエストされた項目に関する追加コンテキストへのアクセスが必要です。カタログ情報がスパースである場合、ルーティング・ルールには正しい承認者の決定に使用できる十分なデータがありません。

これらの課題に対処するために、カタログには、アクセス(カタログ項目)を正しいビジネス・コンテキストに配置するのに役立つ追加のメタデータが含まれている必要があります。

カタログに1つ以上の属性を追加するには:

1. Oracle Identity System Administrationコンソールにログインします。

2. 「サンドボックス」、「サンドボックスの作成」をクリックします。
図create_sandbox1.gifの説明

3. 「保存して閉じる」をクリックしてサンドボックスを作成し、アクティブ化します。
図create_sandbox2.gifの説明

4. アクティブ化された正しいサンドボックス・セッションが表示されていることを確認します。

5. 「フォーム・デザイナ」をクリックします。

6. 「タイプ」ドロップダウン・リストから「カタログ」を選択します。

7. 「検索」をクリックします。

8. 「カタログ」エンティティを選択し、「開く」をクリックします。

9. カスタム新規属性をクリックして属性を追加します。

関連項目:

フォーム・デザイナとその機能の詳細は、プロセス・フォームの開発に関する説明を、サンドボックスとその機能の詳細は、サンドボックスの管理に関する説明を参照してください。

10. 事前定義された属性タイプの1つから選択し、「OK」をクリックします。

11. 必要な情報を入力し、「保存して閉じる」をクリックします。

注意:

エンティティ用のフォーム・デザイナを使用してフィールド(UDF)を作成すると、フィールドの長さを指定できます。その時間の間、重要な値が選択されていることを確認する必要があります。同様に、既存のプロセス用にフォームを作成する場合、必要な値サイズに対応するのに十分なサイズがプロセス・フォームのフィールドにあることを確認してください。

12. 必要に応じて属性を追加します。

13. カタログを拡張する最初の手順が完了しました。

14. カタログ検索結果またはカタログ項目詳細UIを変更しない場合は、変更の確認を依頼して変更内容が承認された後、「公開」をクリックしてサンドボックスを公開します。

15. カタログ検索結果およびカタログ項目詳細UIを変更する場合は、続行します。

16. アイデンティティ・コンソールからログアウトし、システム管理者ロールのメンバーとしてログインします。

17. 「サンドボックス」をクリックし、カタログの拡張に使用したサンドボックスを選択します。

18. 「アクティブ化」をクリックしてサンドボックスをアクティブ化します。

19. サンドボックスを選択し、「サンドボックスの公開」をクリックしてサンドボックスを公開します。

16.3.2 一般的なタスク

この項では、カタログ管理者によって実行される一般的なタスクについて説明します。次のタスクを説明します。

- 16.3.2.1項「アプリケーションおよびロールの組込み」

- 16.3.2.2項「カタログのブートストラップ」

- 16.3.2.3項「進行中の同期化」

- 16.3.2.4項「カタログの拡充」

- 16.3.2.5項「カタログ項目の管理」

16.3.2.1 アプリケーションおよびロールの組込み

ユーザーがアクセスを検索およびリクエストできるように、アクセス・リクエスト・カタログにエンタープライズ・ロール、アプリケーション・インスタンスおよび権限を移入する必要があります。最小の管理者操作でエンタープライズ・ロール、アプリケーション・インスタンスおよび権限をカタログに組み込むことができるプロセスを開発する必要があります。この項では、ロール、アプリケーション・インスタンスおよび権限をカタログに組み込むための様々な手順について説明します。

16.3.2.1.1 組込みチェックリストの準備

次の組込みチェックリスト項目を使用して、ロール、アプリケーション・インスタンスおよび権限をアクセス・リクエスト・カタログに組み込むための高レベルのプロセスを開発します。後で、ロール、アプリケーション・インスタンスおよび権限の個々のチェックリストに従うことができます。

- カタログ管理者を指定します。

- カタログ属性を指定および拡張します。

- カタログ検索結果UIをカスタマイズします。

- カタログ項目詳細UIをカスタマイズします。

- ナビゲーション・カテゴリを指定します。

- ロールおよびアプリケーションの所有者、認証者、承認者を指定します。

- カタログ項目/用語集の真のソースを指定します。

- カタログ項目/用語集を生成およびロードする手順を作成します。

- タグの用語集およびタグを維持するプロセスを作成します。

16.3.2.1.2 ロールの組込み

エンタープライズ・ロールを組み込む手順はありません。OIMロール以外のロール・カテゴリに属するロールは、作成されたときに直接カタログに公開されます。

16.3.2.1.3 アプリケーション・インスタンスの組込み

エンド・ユーザーがアプリケーション・インスタンスをリクエストできるようにするには、追加構成を行う必要があります。次のチェックリスト項目を使用して、アプリケーション・インスタンスの組込みに必要な構成を実行したことを確認します。

- コネクタが(新しいターゲットに対して)インストールされていることを確認します。

- Oracle Identity Managerをリリース9.1.xや11gリリース1から11gリリース2(11.1.2)にアップグレードする場合、必須アップグレード後手順の詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementアップグレードおよび移行ガイド』のOracle Identity Manager 11gリリース(11.1.1.5.0)環境のアップグレードに関する項を参照してください。

- プロセス・フォームにITリソース・フィールドがあることを確認します。

- フォーム・フィールド・プロパティを正しく定義したことを確認します。

- アプリケーション・インスタンスを適切な表示名と説明で作成したことを確認します。

- アカウント・リクエストに必要なフォームを作成したことを確認します。

- アプリケーション・インスタンスを関連する組織に公開したことを確認します。

- 接続なしアプリケーションに対して、アプリケーション・インスタンスを作成したことを確認します。手順の詳細は、9.2.1項「接続なしアプリケーション・インスタンスの作成」を参照してください。

チェックリストの手順を確認したら、次の手順に従ってアプリケーション・インスタンスを組み込みます。

関連項目:

アプリケーション・インスタンスの管理の詳細は、8.2項「アプリケーション・インスタンスの管理」を参照してください。

アプリケーション・インスタンスを組み込む手順

1. システム管理コンソールにシステム管理者ロールのメンバーとしてログインします。

2. 「スケジューラ」をクリックします。

3. カタログ同期化ジョブを検索します。

4. アプリケーション・インスタンスの処理パラメータをチェックします。

5. パラメータの「モード」を「増分」に設定します。

16.3.2.1.4 権限の組込み

次のチェックリスト項目を使用して、権限の組込みに必要な構成を実行したことを確認します。

注意:

カタログ同期化ジョブを実行する前にジョブ権限リスト・ローダーを実行する必要があります。

- コネクタが(新しいターゲットに対して)インストールされていることを確認します。

- Oracle Identity Managerをリリース9.1.xや11gリリース1から11gリリース2(11.1.2)にアップグレードする場合、必須アップグレード後手順の詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementアップグレードおよび移行ガイド』のOracle Identity Manager 11gリリース(11.1.1.5.0)環境のアップグレードに関する項を参照してください。

- プロセス・フォームにITリソース・フィールドがあることを確認します。

- フォーム・フィールド・プロパティを正しく定義したことを確認します。

- 親フォームと子フォームを正しく関連付けたことを確認します。

- ICFベースのターゲットに対して共通参照リコンシリエーション・ジョブを実行したことを確認します。

- 非ICFベースのコネクタに対してコネクタ固有の参照リコンシリエーション・ジョブを実行したことを確認します。

- 参照リコンシリエーション・ジョブで指定されたリソース・オブジェクトとITリソース・インスタンスに対応して、アプリケーション・インスタンスを正しく作成したことを確認します。

- 権限を関連する組織に公開したことを確認します。

- データをent_list表に移入できるように権限リスト・ローダー・ジョブを実行したことを確認します。

チェックリストの手順を確認したら、次の手順に従って権限を組み込みます。

権限を組み込む手順

1. Oracle Identity System Administrationコンソールにシステム管理者ロールのメンバーとしてログインします。

2. 「スケジューラ」をクリックします。

3. カタログ同期化ジョブを検索します。

4. 権限の処理パラメータをチェックします。

5. パラメータの「モード」を「増分」に設定します。

注意:

- 初めて収集を行う場合、パラメータを「完全」に設定する必要があります。

- パラメータの「モード」が「増分」の場合、これらのエンティティのみがスケジュール済タスクにより選択されて処理されます。その作成日が作成の更新日よりも新しく、更新日が更新日値よりも大きくなります。

16.3.2.2 カタログのブートストラップ

ブートストラップとは、カタログに最初に移入するプロセスのことです。多数のエンティティをブートストラップした後、ベース表の統計を収集できます。この項では、Oracle Identity Manager 11gリリース2(11.1.2)をインストールした後のカタログのブートストラップについて説明します。Oracle Identity Manager 9.1.xまたは11gリリース1からアップグレードする場合は、『Oracle Fusion Middleware Oracle Identity and Access Managementアップグレードおよび移行ガイド』の「Oracle Identity Manager 11gリリース(11.1.1.5.0)環境のアップグレード」を参照してください。

前提条件

- 16.3.1.2項「カタログ・メタデータの定義」の手順に従い、フォーム・デザイナを使用してカタログを拡張しておきます。

- カタログにユーザー定義フィールドを追加するときに必要なUIカスタマイズ手順を実行しておきます。

16.3.2.2.1 ロールによるカタログのブートストラップ

ロールによってカタログをブートストラップするには2つの方法があります。

- Oracle Identity Analyticsカスタマを使用していない場合のロールによるカタログのブートストラップ
Oracle Identity Manager 11g R2では、ロールは、作成後にOIMロール・カテゴリ以外のロール・カテゴリが割り当てられると、即座にカタログに公開されます。ロール・カテゴリに変更を加えた場合、またはエンタープライズ・ロールとカタログを同期化する必要がある場合は、次の手順に従います。

ロールによってカタログをブートストラップするには:

1. Oracle Identity System Administrationコンソールにシステム管理者ロールのメンバーとしてログインします。

2. 「スケジューラ」をクリックします。

3. カタログ同期化ジョブを検索します。

4. ロールの処理パラメータをチェックします。

5. パラメータの「モード」を「完全」に設定します。

注意:

ジョブを初めて実行する際に「モード」が「完全」に設定されている場合、「更新日」パラメータで値を指定しないでください。

6. 「即時実行」をクリックしてジョブを即座に実行するか、ジョブを後で実行する日時を指定します。

- エンタープライズ・ロールのライフサイクルを管理するためにOracle Identity Analyticsを使用している場合のロールによるカタログのブートストラップ

16.3.2.2.2 アプリケーション・インスタンスによるカタログのブートストラップ

アプリケーション・インスタンスによってカタログをブートストラップするには、追加の手順を実行する必要があります。16.3.2.1.3項「アプリケーション・インスタンスの組込み」にあるチェックリストを使用して、前提条件を満たしていることを確認します。

前提条件を満たしたら、次の手順に従ってアプリケーション・インスタンスを組み込みます。

1. Oracleアイデンティティ・システム管理コンソールにシステム管理者ロールのメンバーとしてログインします。

2. 「スケジューラ」をクリックします。

3. カタログ同期化ジョブを検索します。

4. アプリケーション・インスタンスの処理パラメータをチェックします。

5. パラメータの「モード」を「完全」に設定します。

注意:

ジョブを初めて実行する際に「モード」が「完全」に設定されている場合、「更新日」パラメータで値を指定しないでください。

6. 「即時実行」をクリックしてジョブを即座に実行するか、ジョブを後で実行する日時を指定します。

16.3.2.2.3 権限によるカタログのブートストラップ

権限によってカタログをブートストラップするには、追加の手順を実行する必要があります。16.3.2.1.4項「権限の組込み」にあるチェックリストを使用して、前提条件を満たしていることを確認します。

前提条件を満たしたら、次の手順に従って権限を組み込みます。

1. Oracle Identity System Administrationコンソールにシステム管理者ロールのメンバーとしてログインします。

2. 「スケジューラ」をクリックします。

3. カタログ同期化ジョブを検索します。

4. 権限の処理パラメータをチェックします。

5. パラメータの「モード」を「完全」に設定します。

注意:

ジョブを初めて実行する際に「モード」が「完全」に設定されている場合、「更新日」パラメータで値を指定しないでください。

6. 「即時実行」をクリックしてジョブを即座に実行するか、ジョブを後で実行する日時を指定します。

16.3.2.3 進行中の同期化

ロール、アプリケーション・インスタンスおよび権限の同期化プロセスを自動化するために、次の方法でカタログ同期化ジョブを構成できます。

1. Oracle Identity System Administrationコンソールにシステム管理者ロールのメンバーとしてログインします。

2. 「スケジューラ」をクリックします。

3. カタログ同期化ジョブを検索します。

4. ロールの処理、アプリケーション・インスタンスの処理および権限の処理パラメータをチェックします。

5. パラメータの「モード」を「増分」に設定します。

6. ジョブを後で実行する日時を指定します。

7. ジョブの頻度を5分ごとに実行されるように設定します。

16.3.2.4 カタログの拡充

カタログの拡充は、情報がエンド・ユーザーに表示されるようにアクセス・リクエスト・カタログにデータを移入するプロセスを示します。追加のデータは、エンド・ユーザーがカタログ項目に関連付けられたビジネス・コンテキストを理解するのに役立ちます。追加のデータを承認ワークフローの一部として利用して、カタログ項目に関するデータに基づいたインテリジェント・ルーティング・デシジョンをワークフローで行うこともできます。

カタログを拡充するには次の2つの方法があります。

- 16.3.2.4.1項「カタログ項目のオンラインでの編集」

- 16.3.2.4.2項「外部ソースからのカタログの一括拡充」

前提条件

- 16.3.1.2項「カタログ・メタデータの定義」の手順に従い、フォーム・デザイナを使用してカタログを拡張しておきます。

- カタログにユーザー定義フィールドを追加するときに必要なUIカスタマイズを追加しておきます。ユーザー定義フィールドを追加しUIをカスタマイズして、ユーザー定義フィールドをUIで表示する方法の詳細は、第7章「カスタム属性の構成」を参照してください。

- 16.3.1.1項「カタログ管理者の設定」に示されているように、カタログ管理者ロールを作成し、ユーザーを割り当てておきます。

16.3.2.4.1 カタログ項目のオンラインでの編集

Oracle Identity Managerセルフ・サービス・コンソールを使用してオンラインでカタログ項目を編集するには:

注意:

名前、表示名および説明はカタログ画面で編集できません。これらはベース・レベルの属性であり、カタログUIから編集できません。

1. Oracle Identity Managerセルフ・サービス・コンソールにカタログ管理者ロールのメンバーとしてログインします。

2. 「カタログ」をクリックしてカタログにアクセスします。

3. 1つ以上のキーワードを入力し、「検索」をクリックします。

4. 「検索の絞込み」を使用して、編集するカタログ項目を検索します。

5. 編集するカタログ項目を選択します。

6. カタログ項目を編集し、「適用」をクリックします。

注意:

編集の変更内容を表示するには、ログアウトしてから、「カタログ」編集ページに再びログインする必要があります。

16.3.2.4.2 外部ソースからのカタログの一括拡充

カタログ管理者はOracle Identity Managerセルフ・サービス・コンソールの堅牢なカタログ項目編集機能を使用できますが、データを外部ソースから一括してロードする必要があるシナリオがあります。一括更新の例は、次のとおりです。

- MyCorpは、IT CMDBシステムまたは企業資産管理システムからユーザーに資産情報を提供します。CMDBまたはAMSシステムは定期的に更新されるため、情報を手動で入力することはできません。このようなシナリオでは、MyCorpにはカタログを一括して更新する方法が必要です。

- MyCorpは、Oracle Identity Manager 11g R2を導入する前は自社製のアクセス・リクエスト・アプリケーションを使用していました。このアプリケーションには、用語集およびロール、アプリケーション・インスタンス、権限に関するその他の関連情報が含まれています。Oracle Identity Manager 11g R2への移行の一環として、MyCorpのカタログ管理者はカタログ項目情報をレガシー・システムから移行しようとしています。

16.3.2.4.3 外部ソースからのデータのロード

次の手順に従って外部ソースからカタログにデータをロードします。

1. ロードするデータをカンマ区切り値形式ファイルにエクスポートします。

2. ファイルの最初の行にカタログ属性名が含まれていることを確認します。

3. Oracle Identity Managerがデプロイされているサーバーからアクセス可能なファイル・システムにファイルを移行します。

4. Oracle Identity System Administrationコンソールにシステム管理者ロールまたはシステム・コンフィギュレータ・ロールのメンバーとしてログインします。

5. 「スケジューラ」をクリックします。

6. カタログ同期化ジョブを検索します。

7. ファイルのフルパスをパラメータ・ファイル・パスに入力します。

8. パラメータの「モード」の値を「メタデータ」に設定します。表16-1は、パラメータ詳細例を示しています。

表16-1 カタログ・メタデータのローダー例

パラメータ

値

ENTITY_TYPE

ロール

ENTITY_KEY

12

ENTITY_NAME

テスト

IS_REQUESTABLE

1

USER_DEFINED_TAGS

UDTags

CATEGORY

mycategory

AUDIT_OBJECTIVE

AO111

APPROVER_USER

1

APPROVER_ROLE

1

FULFILLMENT_USER

1

FULFILLMENT_ROLE

1

CERTIFIER_USER

1

CERTIFIER_ROLE

1

ITEM_RISK

1

CERTIFIABLE

1

STUDF

1

9. 「即時実行」をクリックしてジョブを即座に実行するか、データを選択し、「適用」をクリックして後でジョブを実行します。

16.3.2.5 カタログ項目の管理

この項の項目は次のとおりです。

- カタログ項目の削除

- 権限タイプのカタログ項目の削除

16.3.2.5.1 カタログ項目の削除

サポートされている方法でカタログ項目を削除するには:

1. ロールを削除するには、Oracle Identity System Administrationコンソールにログインします。

2. 削除するロールを検索し、ロールを削除します。

3. 関連付けられたカタログ項目はソフト削除とマークされ、カタログに表示されません。

4. 多数のロールを削除する場合は、APIを使用してロールを削除します。データベース技術を使用してロールを削除することはお薦めしません。

5. Oracle Identity System Administrationコンソールにログインします。

6. 「スケジューラ」をクリックします。

7. カタログ同期化ジョブを検索します。

8. モードを「増分」に設定します。

9. 「即時実行」をクリックしてジョブを即座に実行するか、特定の時間に実行されるように設定します。

アプリケーション・インスタンス・タイプのカタログ項目の削除

アプリケーション・インスタンスは、ほとんどすべてのユースケースで、ターゲット・システム(エンドポイントと呼ばれる場合がある)およびターゲット・システムのアカウントを表します。アプリケーション・インスタンスを削除すると、ターゲット・システムはOracle Identity Managerから実質的に廃止されます。デプロイメントの規模およびターゲット・システムにプロビジョニングされたアカウントの数によっては、アプリケーション・インスタンスの削除はエンド・ユーザーとそのアクセスに大きな影響を及ぼすことがあります。

16.3.2.5.2 権限タイプのカタログ項目の削除

サポートされている方法でカタログ項目を削除するには:

1. 権限を削除するには、Oracle Identity System Administrationコンソールにログインします。

2. 「参照」をクリックします。

3. 「コード」列に、権限を含む参照定義の名前を入力します。参照定義の名前を見つけるには、コネクタのドキュメントを参照してください。

4. 1つ以上の権限値を削除します。

5. 「スケジューラ」をクリックします。

6. 権限リスト・ロードジョブを検索します。

7. 「即時実行」をクリックします。

8. カタログ同期化ジョブを検索します。

9. 「モード」を「増分」に設定します。

10. 「即時実行」をクリックしてジョブを即座に実行するか、特定の時間に実行されるように設定します。

16.3.3 アクセス・リクエスト・カタログのデータベース・ベスト・プラクティス

アクセス・リクエスト・カタログでは、Oracle databaseのテキスト検索機能のOracle Textオプションが使用されます。Oracle Textは、Oracle Databaseに統合されている、高速で正確な全テキスト検索テクノロジです。

カタログ項目を含むCATALOG表は、Oracle TextのCONTEXT索引タイプを使用して索引付けされます。Oracle Text索引は通常のデータベース索引と同様に機能しますが、Text索引の背後のアーキテクチャと処理では、Text索引の作成時および進行中のメンテナンスで、ベスト・プラクティスの重要性が強調されます。

次の項は、Oracle Identity Manager管理者とデータベース管理者にこの点についての詳細を提供することを目的としています。

- 16.3.3.1項「Oracle Text索引の1回かぎりの最適化」

- 16.3.3.2項「Text索引の最適化」

16.3.3.1 Oracle Text索引の1回かぎりの最適化

Oracle Identity Managerをインストールすると、アクセス・リクエスト・カタログのText索引ができるだけ最適化された状態で作成されます。ただし、Oracle Textには、デプロイメントの特質に基づいてより適切に適用されるその他の最適化があります。アクセス・リクエスト・カタログの検索パフォーマンスを向上させるために適用を検討する必要がある最適化を次に示します。これらの適用時にはアクセス・リクエスト・カタログを使用できないことに注意することが重要であり、これらはスケジュールされたメンテナンス・ウィンドウで実行することをお薦めします。

注意:

これらの1回かぎりの最適化を適用するときは、カタログ同期化ジョブとアクセス・リクエスト・カタログを停止する必要があります。

Text索引の保存

Oracle Text索引は、OIMスキーマのデフォルトの表領域に現在存在するリレーショナル表(DR$)に格納されます。これらを独自の表領域に分けることをお薦めします。これを行うには、次のコマンドを使用します。これらの手順について十分に理解し、必要に応じて変更を加えることをお薦めします。

1. SYSスキーマにログインし、text索引の内部表を保持する新規表領域を作成します。そのために、次のサンプル・コマンドを使用します。DATA_DIRを、データファイルを格納するディレクトリで置き換え、必要に応じてサイズなどのパラメータを環境にあわせて調整します。

CREATE TABLESPACE catalog_text_ind_tables
DATAFILE 'DATA_DIR/catalog_text_ind_tables_01.dbf' SIZE 2048M REUSE
EXTENT MANAGEMENT LOCAL SEGMENT SPACE MANAGEMENT AUTO;

2. OIMスキーマを使用してデータベースに接続します。

3. 次のコマンドを使用して記憶域プリファレンスを作成します。Oracle TextのBASIC_STORAGE句についてよく理解し、必要に応じてさらに記憶域句を追加することをお薦めします。BASIC_STORAGEの詳細は、Oracle Textリファレンス・ドキュメントを参照してください。

Begin
Ctx_Ddl.Create_Preference('cat_storage', 'BASIC_STORAGE');
End;
/

Begin
ctx_ddl.set_attribute('cat_storage','I_TABLE_CLAUSE','tablespace catalog_text_ind_tables storage (initial 5M next 5M)');
End;
/

Begin
ctx_ddl.set_attribute('cat_storage', 'K_TABLE_CLAUSE','tablespace catalog_text_ind_tables storage (initial 5M next 5M)');
End;
/

Begin
ctx_ddl.set_attribute('cat_storage', 'R_TABLE_CLAUSE','tablespace catalog_text_ind_tables storage (initial 1M) lob (data) store as (cache)');
End;
/

Begin
ctx_ddl.set_attribute('cat_storage', 'N_TABLE_CLAUSE','tablespace catalog_text_ind_tables storage (initial 1M)');
End;
/

Begin
ctx_ddl.set_attribute('cat_storage', 'I_INDEX_CLAUSE','tablespace catalog_text_ind_tables storage (initial 1M) compress 2');
End;
/

4. 次のコマンドを使用して新しい記憶域プリファレンスを適用します。この手順の後にText索引のステータスが有効であることを確認します。

ALTER INDEX CAT_TAGS rebuild parameters ('replace storage cat_storage');

5. USER_SEGMENTS表を問い合せて、前述の表が新しい表領域に移動されたことを確認します。

Text索引のKEEPプール設定:

アクセス・リクエスト・カタログ検索のパフォーマンスを向上させるために、Text索引を構成するすべての表をデータベースKEEPプールに置くことをお薦めします。これらのText索引表とその他のOIMオブジェクトがKEEPプールに保持されるように、KEEPプール(DB_KEEP_CACHE_SIZE)のサイズを正しく設定する必要があります。これを行うには、次のようにします。

1. OIMスキーマを使用してデータベースに接続します。

2. 次の問合せを使用してtext索引のサイズを計算し、それを使用してDB_KEEP_CACHE_SIZEを適宜設定/調整します。

SELECT ctx_report.index_size('CAT_TAGS') FROM dual;

3. OIMスキーマ・ユーザーとして次のコマンドを実行し、表をKEEPプールに置きます。

ALTER INDEX DR$CAT_TAGS$X STORAGE (buffer_pool keep);
ALTER TABLE DR$CAT_TAGS$R STORAGE (buffer_pool keep);
ALTER TABLE DR$CAT_TAGS$R STORAGE (buffer_pool keep) MODIFY lob (data) (STORAGE (buffer_pool keep));
ALTER TABLE DR$CAT_TAGS$K STORAGE (buffer_pool keep);
ALTER TABLE DR$CAT_TAGS$I STORAGE (buffer_pool keep);

16.3.3.2 Text索引の最適化

Text索引は進行中のカタログ同期化によって断片化されることがありますが、text索引を定期的に最適化することにより、古いデータを削除し、断片化を最小限に抑え、アクセス・リクエスト・カタログの検索パフォーマンスを向上させることができます。これを実行するために、Oracle Identity Managerには次のOracle Databaseスケジューラ・ジョブが導入されています。

- FAST_OPTIMIZE_CAT_TAGS

- REBUILD_OPTIMIZE_CAT_TAGS

これらのジョブはOIMデータベース・スキーマに存在し、デフォルトで無効化されています。これらのジョブを表示し、必要に応じてスケジュール変更を行い、有効化することをお薦めします。スケジュールを変更するときは、新しいスケジュールが同じ行にデフォルトのスケジュールとして設定されることを確認します。

FAST_OPTIMIZE_CAT_TAGSは、頻繁に実行することが想定されています。デフォルトでは、1日に1回午前1時に実行されるようにスケジュールされます。REBUILD_OPTIMIZE_CAT_TAGSでは完全最適化が実行され、Text索引が再構築されます。REBUILD_OPTIMIZE_CAT_TAGSは、頻繁に実行することは想定されていません。デフォルトでは、REBUILD_OPTIMIZE_CAT_TAGSは毎週日曜日の午前2時に実行されるようにスケジュールされます。Text索引が大きい場合は、最適化に時間がかかる場合があることに注意してください。

スケジュールを変更したり、これらのジョブを有効化するには、次の手順を実行します。

1. デフォルトのスケジュール(FASTは毎日午前1時、REBUILDは毎日曜日の午前2時)が、環境に受入れ可能であることを確認します。そうでない場合は、スケジュールを変更します。確かでない場合は、デフォルトのスケジュールのままにして、必要に応じて後で変更します。

2. 次のコマンドを使用してジョブを有効化します。

BEGIN
DBMS_SCHEDULER.ENABLE ('FAST_OPTIMIZE_CAT_TAGS');
END;
/

BEGIN
DBMS_SCHEDULER.run_job ('REBUILD_OPTIMIZE_CAT_TAGS');
END;
/

注意:

Text索引の最適化は、サーバーが起動中で、アクセス・リクエスト・カタログの検索が実行されているときに行うことができます。

16.4 カタログのライフサイクルの管理

この項では、カタログのカスタマイズをテスト環境から本番環境に移行する方法について説明します。テスト環境内でカタログの拡張、カタログUIのカスタマイズ、カスタマイズの開発とテストを行い、最終的にカスタマイズを本番環境にロール・アウトできます。

この項の内容は次のとおりです。

- 16.4.1項「カタログのカスタマイズの概要」

- 16.4.2項「カタログのカスタマイズのテストから本番への手順」

- 16.4.3項「テストから本番への手順の制限」

図16-2 カタログのテストから本番へのプロセス

「図16-2 カタログのテストから本番へのプロセス」の説明

16.4.1 カタログのカスタマイズの概要

Oracle Identity Manager 11g R2のアクセス・リクエスト・カタログはすぐに使用できる堅牢かつ多彩な機能を提供しますが、カタログを拡張し、ビジネス・ニーズにあわせてカスタマイズする必要があるというシナリオもあり得ます。

次のシナリオでは、カタログのカスタマイズが必要な可能性がある一般的なシナリオについて説明します。

- MyCorpでは、リクエストされた項目が許可されたときにライン・オブ・ビジネスに生じるコストに関する情報をリクエスタに提供するために、ライン・オブ・ビジネスに対するコスト、必要なライセンスなどの属性を追加しようとしています。このシナリオをサポートするために、カタログ管理者はカタログを拡張し、ライン・オブ・ビジネスに対するコスト(数値属性)および必要なライセンス(ブール属性)という2つの属性を追加します。次に、管理者はカタログ検索結果およびカタログ項目詳細のページをカスタマイズします。

- MyCorpは、権限に関連付けられたリスクをカタログ検索結果の一部として表示しようとしています。このシナリオをサポートするために、カタログ管理者はカタログ検索結果をカスタマイズし、項目リスクをイメージ・ウィジェットとして追加します。

これらのカスタマイズはシステム・インテグレータまたはカスタマ独自のITスタッフによって実装され、テストから本番に移行される必要があります。

図16-1に、カタログのカスタマイズをテストから本番に移行する高レベルのプロセスを示します。カタログのカスタマイズには次の3つの構成要素があります。

1. ADFカスタマイズ
ADFカスタマイズには、検索結果、項目詳細、カート詳細、フォーム・デザイナを使用して追加または変更されたカタログ属性などのカタログUIのカスタマイズが含まれます。これらのカスタマイズはサンドボックス・セッション内で実行する必要があります。サンドボックスの詳細は、16.4.2項「カタログのカスタマイズのテストから本番への手順」を参照してください。

2. Oracle Identity Managerメタデータ・カスタマイズ
カタログ・エンティティに新規属性を追加したり、既存の属性を変更してそのプロパティを変更すると、Oracle Identity Managerで追加のメタデータが生成されます。たとえば、フォーム・デザイナを使用して新規属性第2承認者がカタログ・エンティティに追加された場合、Oracle Identity Managerでは属性に対応するデータベース列が追加されます。属性が検索可能である場合、Oracle Identity Managerは追加のメタデータを格納します。これらのカスタマイズは、デプロイメント・マネージャを使用してテストから本番に移行する必要があります。

3. データの移行
カタログをビジネスで使いやすいものにし、ユーザーがカタログを効率的に使用できるように十分な情報を提供するためにカタログの属性を追加/変更した後、カタログに関連情報を移入する必要があります。用語集とも呼ばれるこの追加情報は、確認および承認された後、本番に移行される必要があります。

16.4.2 カタログのカスタマイズのテストから本番への手順

この項では、カタログ定義をテストから本番に移行するために実行する手順について説明します。これには次の手順が含まれます。

- 16.4.2.1項「サンドボックスおよびデプロイメント・マネージャを使用したエクスポート」

- 16.4.2.2項「デプロイメント・マネージャおよびサンドボックスを使用したインポート」

実行したカスタマイズのタイプに応じて、一方または両方の手順を実行する必要があります。表16-2を使用して、実行する手順を決定してください。

表16-2 カタログのカスタマイズの手順

カスタマイズ

サンドボックスが必要

デプロイメント・マネージャが必要

シードされたカタログ属性の追加/変更

はい

はい

カタログUDFの追加/変更

はい

はい

カタログUIのカスタマイズ

はい

いいえ

カタログの移入

いいえ

いいえ

関連項目:

- デプロイメント・マネージャの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の構成とカスタマイズの移行に関する項を参照してください。

- サンドボックスの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する項を参照してください。

16.4.2.1 サンドボックスおよびデプロイメント・マネージャを使用したエクスポート

サンドボックスを使用してエクスポートするには

ADFカスタマイズをテストから本番に移行するには、次の手順に従います。

1. Oracle Identity System Administrationコンソールにシステム管理者ロールのメンバーとしてログインします。

注意:

セルフ・サービス(またはアイデンティティ)コンソールとシステム管理コンソールを切り替える必要があり、Oracle Identity Manager 11g R2デプロイメントがシングル・サインオンによって保護されていないシナリオでは、別のコンソールにログインする前に1つのコンソールからログアウトする必要があります。

2. 「サンドボックス」をクリックし、エクスポートするサンドボックスを選択します。

3. 「サンドボックスのエクスポート」をクリックします。サンドボックスは、ファイルとしてのパッケージ化が必要なトランスポート、共有およびその他の使用のためのファイルとしてエクスポートできます。

4. 作成されたzipファイルのファイルの場所を指定します。

デプロイメント・マネージャを使用してエクスポートするには

注意:

ブラウザでポップアップ・ブロッカを有効化していないこと、およびサポートされているJavaランタイム環境(JRE)をブラウザにインストールしていることを確認します。これは、デプロイメント・マネージャでポップアップ・ウィンドウが使用されるため、およびブラウザにJREがインストールされている必要があるためです。

Oracle Identity Managerメタデータをテストから本番にエクスポートするには、次の手順に従います。

1. Oracle Identity System Administrationコンソールにシステム管理者ロールまたはシステム・コンフィギュレータ・ロールのメンバーとしてログインします。

2. 「エクスポート」をクリックします。

3. エクスポートするオブジェクトとして「カタログ・メタデータ」を選択します。

4. 検索フィールドに*を入力し、「検索」をクリックします。

5. デプロイメント・マネージャXMLを生成する手順に従います。

注意:

ベスト・プラクティスとして次のオプションの手順を実行します。

- サンドボックスzipファイルおよびデプロイメント・マネージャXMLを、Subversion、SourceSafeなどのソース・コード制御システムに単一のファイルとしてバックアップ/チェックインします。

- 前述の手順をターゲット(本番)環境で繰り返し、カタログ・エンティティおよびカタログUIのバックアップをとります。

16.4.2.2 デプロイメント・マネージャおよびサンドボックスを使用したインポート

カスタマイズのインポートは逆の順序で実行する必要があります。このことが必要となるのは、ADFカスタマイズがインポートされるときに、ADFカスタマイズではOracle Identity Managerメタデータが存在すると想定されるためです。

デプロイメント・マネージャを使用してインポートするには

Oracle Identity Managerメタデータをテストから本番にインポートするには:

1. Oracle Identity System Administrationコンソールにシステム管理者ロールまたはシステム・コンフィギュレータ・ロールのメンバーとしてログインします。

2. 「インポート」をクリックします。

3. ファイル・ブラウザ・ポップアップで、インポートする「デプロイメント・マネージャ」XMLファイルを選択します。

4. ウィザードの手順に従ってXMLをインポートします。

サンドボックスを使用してインポートするには

ADFカスタマイズをテストから本番に移行するには:

1. アイデンティティまたはOracle Identity System Administrationコンソールにシステム管理者ロールのメンバーとしてログインします。

注意:

セルフ・サービス(またはアイデンティティ)コンソールとシステム管理コンソールを切り替える必要があり、Oracle Identity Manager 11g R2デプロイメントがシングル・サインオンによって保護されていないシナリオでは、別のコンソールにログインする前に1つのコンソールからログアウトする必要があります。

2. 「サンドボックス」をクリックし、次に「サンドボックスのインポート」をクリックします。

3. ダイアログで、インポートするファイルを選択します。

4. 「インポート」をクリックします。

5. サンドボックス・マネージャで、サンドボックスを選択し、「サンドボックスの公開」をクリックします。

6. ログアウトしてからログインし、変更内容を表示して確認します。

16.4.3 テストから本番への手順の制限

カタログのテストから本番へのプロセスには、次のような制限があります。

- すべてのADFカスタマイズは単一のサンドボックス・セッション内で実行する必要があります。複数のサンドボックスを使用できますが、一度にアクティブ化できるサンドボックスは1つのみであり、その結果、システム管理コンソールでの変更(カタログ・エンティティの拡張)およびアイデンティティ・コンソールで行われる変更(カタログUIのカスタマイズ)は、同じサンドボックス内で行われる必要があります。

- サンドボックスの外部で、あるいはサンドボックスの作成またはアクティブ化の前後に行われる変更は、サンドボックスには表示されません。

- サンドボックスは、公開後にエクスポートしたり元に戻すことはできません。このため、サンドボックスは有効化されかつ公開されていない間にエクスポートし、カスタマイズはサンドボックスをインポートおよび公開する前に元に戻す必要があります。

- デプロイメント・マネージャのインポートは即座にコミットされます。デプロイメント・マネージャにはロールバック機能はありません。

16.5 トラブルシューティング

この項では、アクセス・リクエスト・カタログの問題を解決するときに実行するトラブルシューティングの手順について説明します。内容は次のとおりです。

- 16.5.1項「カタログ同期化の問題」

- 16.5.2項「カタログ・セキュリティの問題」

- 16.5.3項「カタログ検索の問題」

16.5.1 カタログ同期化の問題

カタログ同期化の問題は、ロール、アプリケーション・インスタンスおよび権限がアクセス・リクエスト・カタログで表示されない場合に発生します。次のフロー・チャートを使用して、リクエストできる3つのカタログ項目タイプのそれぞれについて同期化の問題をトラブルシューティングします。

注意:

ジョブを収集すると、「更新日」パラメータのベースに収集日が選択されます。更新が空欄の場合、すべてのレコードが処理用にフェッチされます。ただし、ユーザーが日付を「更新日」パラメータで指定した場合、指定した日付の後に作成されたり更新されたデータのみが処理されます。

- ロールとカタログの同期化のトラブルシューティング
ロールとカタログの同期化は、本来リアルタイムです。ロールが作成されると、OIMロール・カテゴリに属している場合を除き、即座にカタログに公開されます。

注意:

OIMロールのロール・カテゴリは、OIMの使用のみを目的としています。顧客はエンタープライズ・ロールにこのカテゴリを使用することはできません。

新しいOracle Identity Manager 11g R2インストールでは、顧客によって作成されたエンタープライズ・ロールをカタログで使用でき、可視性は組織の範囲指定に基づきます。アップグレードされた環境では、顧客はカタログ同期化ジョブをブートストラップ・モードで実行し、既存のロールをカタログに公開する必要があります。アップグレード後に作成された新しいロールは、カタログですぐに使用できます。

図16-3に、顧客が、Oracle Identity Managerで作成されたロールがカタログに表示されないシナリオのトラブルシューティングに使用できる診断フロー・チャートを示します。

図16-3 カタログ同期化の診断フロー・チャート

「図16-3 カタログ同期化の診断フロー・チャート」の説明

- アプリケーション・インスタンスとカタログの同期化のトラブルシューティング
アプリケーション・インスタンスとカタログの同期化は、カタログ同期化ジョブによって制御されます。アプリケーション・インスタンスには(エンタープライズ・ロールよりも)多くの構成が必要であるため、カタログと即座には同期化されません。

図16-4に、アプリケーション・インスタンスとカタログの同期化に関連する問題をトラブルシューティングするときに従う診断フロー・チャートを示します。

図16-4 アプリケーション・インスタンス同期化のトラブルシューティング・フロー・チャート

「図16-4 アプリケーション・インスタンス同期化のトラブルシューティング・フロー・チャート」の説明

- 権限とカタログの同期化のトラブルシューティング

図16-5 権限同期化のトラブルシューティング・フロー・チャート

「図16-5 権限同期化のトラブルシューティング・フロー・チャート」の説明

16.5.2 カタログ・セキュリティの問題

カタログ・セキュリティは次の2つの要因によって推進されます。

- ユーザー、ロール、アプリケーション・インスタンスおよび権限の組織ベースの範囲指定を使用するセキュリティ・モデル。このセキュリティ・モデルは、リクエスタがカタログ検索結果で表示できる項目およびターゲット・ユーザーとして追加できるユーザーを制御します。

- 組織によって範囲指定されず、カタログ管理者などのグローバル管理者ロールに対して使用されるセキュリティ・モデル。

カタログ・セキュリティの典型的な問題は次のとおりです。

- リクエスタは正しい検索キーワードを入力した場合にもカタログ項目を表示できません。

- リクエスタはリクエストにターゲット・ユーザーを追加できません。

- リクエスタはアプリケーション・インスタンス・リクエストに追加情報を提供できません。

- リクエスタは「承認者ユーザー」、「承認者ロール」、「履行ユーザー」、「履行ロール」などのカタログ項目の詳細を表示できません。

- 編集モードでカタログ項目がカタログ管理者に表示されないため、カタログ項目を編集できません。

- カタログ管理者はリクエスト・プロファイルを作成できません。

図16-6に、カタログ・セキュリティの問題をトラブルシューティングするために従う診断フロー・チャートを示します。

図16-6 セキュリティ問題の診断フロー・チャート

「図16-6 セキュリティ問題の診断フロー・チャート」の説明

16.5.3 カタログ検索の問題

図16-7に、カタログ検索の問題をトラブルシューティングするために従う診断フロー・チャートを示します。

図16-7 カタログ検索

「図16-7 カタログ検索」の説明

第VII部

監査およびレポート

この部では、Oracle Identity Managerの監査機能およびレポート機能について説明します。

次の章で構成されます。

- 第17章「監査の構成」

- 第18章「レポート機能の使用」

- 第19章「アーカイブ・ユーティリティの使用」

17 監査の構成

Oracle Identity Managerは、監査およびコンプライアンスのために広範囲にわたるデータを収集する強力な監査エンジンを備えています。監査機能を使用して、コンプライアンスの監視、IT中心のプロセスおよびフォレンジック監査のためのエンティティおよびトランザクション・データを収集、アーカイブおよび表示できます。そのため、Oracle Identity Managerでは、監査モジュールおよびコンプライアンス・モジュールを使用して、プロファイル監視機能、レポート機能およびアテステーション機能を提供しています。履歴データは、ライフ・サイクル全体で取得、トランスポート、格納、検索および削除できます。セキュリティは、データのライフ・サイクルの各ステージで維持されます。アテステーション・プロセスの詳細は、「アテステーション・プロセスの管理」を参照してください。

この章は次のトピックで構成されます。

- 概要

- ユーザー・プロファイル監査機能

- ロール・プロファイル監査機能

- 監査機能の有効化と無効化

17.1 概要

ここでは、監査機能の概要について次の各項で説明します。

- 監査の設計要素

- プロファイル監査機能

- 標準レポートとカスタマイズ・レポート

17.1.1 監査の設計要素

図17-1に、Oracle Identity Managerの監査プロセスの設計要素を示します。

図17-1 監査プロセスの設計要素

「図17-1 監査プロセスの設計要素」の説明

Oracle Identity Manager内でユーザーが実行したアクションは、アプリケーション・プログラミング・インタフェース(API)コールまたはメッセージを取得してアクションを処理するメッセージ・ドリブンBean(MDB)に変換されます。1つのアクションから複数の変更が発生することがあります。すべての変更は、1つの監査トランザクションにまとめられます。データ・オブジェクトを変更できるAPIメソッドはそれぞれ、APIコールの最初に監査エンジンのstartTransactionメソッドをコールし、APIコールの最後にendTransactionメソッドをコールします。これにより、監査トランザクションの境界が定義されます。監査エンジンは、トランザクションで行われた変更を識別するためにトランザクションIDを生成します。

17.1.2 プロファイル監査機能

Oracle Identity Managerには、プロファイル情報の監査および履歴のアーカイブが用意されています。プロファイルのスナップショットを取得してデータベースの監査表に格納し、プロファイル・データの変更のたびにスナップショットを更新します。プロファイル監査機能関係では、スナップショットという用語は、データが変更されるたびに作成されるプロファイル・データ全体のコピーを意味します。

17.1.3 標準レポートとカスタマイズ・レポート

BI Publisherには、アーカイブ・データを表示するための標準レポートが付属しています。また、カスタマイズ・レポートを作成することもできます。

レポートの詳細は、次を参照してください。

- レポート機能の使用

- レポートの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のレポートの構成に関する項を参照してください。

17.2 ユーザー・プロファイル監査機能

ユーザー・プロファイル監査は、ユーザー・プロファイルの属性、ユーザー・メンバーシップ、リソース・プロビジョニング、アクセス・ポリシーおよびリソース・フォームに対する変更を対象としています。

この項の内容は次のとおりです。

- 監査用に収集されるデータ

- ユーザー・プロファイル監査に使用されるポストプロセッサ

- ユーザー・プロファイル監査に使用される表

- アーカイブ

17.2.1 監査用に収集されるデータ

Oracle Identity Managerをインストールすると、デフォルトでユーザー・プロファイル監査機能が有効になり、監査レベルは「リソース・フォーム」に設定されます。この監査レベルは、フォーム・データのアテステーションに必要な最低レベルを指定します。

拡張管理のシステム構成部の監査レベルは、XL.UserProfileAuditDataCollectionシステム・プロパティを使用して構成します。

関連項目:

- 監査レベルの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の監査レベルに関する項を参照してください。

- XL.UserProfileAuditDataCollectionシステム・プロパティの詳細は、「Oracle Identity Managerのシステム・プロパティ」を参照してください。

この項の内容は次のとおりです。

- ユーザー・プロファイル監査データの取得

- スナップショットの保存

- スナップショット取得のトリガー

17.2.1.1 ユーザー・プロファイル監査データの取得

ユーザー・プロファイルの変更のたびに、Oracle Identity Managerでは、ユーザー・プロファイルのスナップショットを取得してデータベースの監査表に格納します。

また、ユーザー・プロファイルに監査が必要な変更があるときは、たとえ最初のスナップショットが存在しなくても、スナップショットが生成されます。現在のスナップショットが最初のスナップショットとして取り扱われます。

次に、ユーザー・プロファイルの構成要素とこれらの構成要素を格納する表を示します。

注意:

ユーザー・プロファイル表の列名や使用方法などの詳細は、Oracle Identity Managerに付属のスキーマ・ドキュメントを参照してください。

- ユーザー・レコード: USR表(すべてのユーザー定義フィールド(UDF)を含む)に格納されます。
USR表にはユーザー属性が格納されます。ユーザーを作成すると、Oracle Identity Managerにより、この表にエントリが追加されます。

- ユーザー・ロール・メンバーシップ: RUL表、UGP表およびUSG表(表17-1を参照)に格納されます。

表17-1 ユーザー・グループ・メンバーシップの表

表名

説明

RUL

ルール定義を格納します。

UGP

システムのグループおよびロールを定義します。

USG

どのユーザーがどのグループに属するかを定義し、特定のグループのユーザーについてプロパティをリストします。これらのプロパティは、グループにタスク割当てを作成するときに、Oracle Identity Managerによって使用されます。たとえば、優先度が最も高いユーザーにプロセス・タスクを割り当てることができます。さらに、ロールまたはグループがルールを介して付与されている場合は、特定のルールがリストされます。

- ユーザー・ポリシー・プロファイル: 次の表に格納されます。

- UPD: ユーザー・ポリシー・プロファイル・データが格納されます。これは、ユーザーにプロビジョニングされるリソースのポリシー中心の表示です。

- UPP: ユーザー・ポリシー・プロファイル関連の詳細が格納されます。これは、ユーザーに適用可能なすべてのポリシーと、ユーザーが許可または拒否するリソースに関するユーザー中心の表示です。

注意:

Oracle Identity Self Serviceを使用してロール名を変更すると、ユーザーの次のスナップショットまで、データベース内のユーザー・プロファイル監査(UPA)の表にその変更は反映されません。

- ユーザー・リソース・プロファイル: この構成要素は、次のサブ構成要素に分類できます。

- ユーザー・リソース・インスタンス: OBI表、OBJ表およびOIU表(表17-2を参照)に格納されます。

表17-2 ユーザー・リソース・インスタンスの表

表名

説明

OBI

リソース(オブジェクト)インスタンス情報を格納します。Oracle Identity Managerは、リソースがプロビジョニングされるたびにリソース・インスタンスを作成します。このインスタンスには、リソース・キー(リソースがリクエストを介してプロビジョニングされた場合)、対応するプロセス・インスタンス、インスタンス・ステータスなど、プロビジョニングされたインスタンスに関連する一般情報がすべて保存されます。

OBJ

リソース名、自動保存および自動事前移入が設定されているかどうか、リソース・オブジェクトで複数インスタンスを許可するかどうかなど、リソースに関する詳細を含めたリソース・オブジェクト・データを表します。

OIU

プロビジョニングの実行時に、適用可能なユーザー情報をリソース・オブジェクト・インスタンスに関連付けます。さらに、特定のリソース・インスタンスについてポリシー関連情報が保存されます。

- リソース・ライフサイクル(プロビジョニング)プロセス: MIL表、ORC表、OSI表、PKG表、SCH表およびTOS表(表17-3を参照)に格納されます。

表17-3 リソース・ライフサイクル・プロセスの表

表名

説明

MIL

プロセス・タスク定義を定義します。各エントリは1つのプロセス・タスクに相当します。プロセス定義(PKG表)は、複数のタスクで構成され、各タスクは定義の様々なワークフローの一部です。

ORC

プロビジョニングの実行時にプロセス・インスタンス情報を格納します。プロビジョニングが開始すると、Oracle Identity Managerにより、関連するプロセス(またはワークフロー)インスタンスが生成され、プロビジョニング・インスタンスに固有のプロセス関連情報が保存されます。

OSI

プロセス・インスタンスに対して作成されたタスクに関する情報を格納します。

PKG

プロセスまたはワークフローを、プロセス名、プロセス・タイプ、付加フィールド・マッピング、関連するリソースやプロセス・フォームなどのプロセスの詳細も含めて、Oracle Identity Managerに定義します。

SCH

タスク・ステータス、ステータス・バケット、アダプタの実行開始または終了のタイミングなど、特定のタスク・インスタンスの実行に関連する情報を格納します。

TOS

アトミック・プロセス情報を格納します。

- リソース状態(プロセス)フォーム: この情報は、UDの親表および子表に格納されます。UD_*表は、アカウントの状態を格納するユーザー定義フィールドの表です。

17.2.1.2 スナップショットの保存

Oracle Identity Managerでユーザー・プロファイルのスナップショットを取得すると、そのスナップショットはUPA表に格納されます。UPA表の構造は、表17-4に示すとおりです。

表17-4 UPA表の定義

列

データ型

説明

UPA_KEY

NUMBER (19,0)

監査レコードのキー

USR_KEY

NUMBER (19,0)

このエントリにスナップショットが記録されるユーザーのキー

EFF_FROM_DATE

TIMESTAMP (6)

スナップショット・エントリが有効になった日時

EFF_TO_DATE

TIMESTAMP (6)

スナップショット・エントリが無効になった日時

つまり、これは次のスナップショット・エントリが作成された日時です。最新のユーザー・プロファイルを表すエントリの場合、終了日列の値はNULLに設定されます。

SRC

VARCHAR2 (4000)

変更の責任を負うユーザーのユーザーID、および変更の実行に使用されたAPI

SNAPSHOT

CLOB

スナップショットのXML表現

DELTAS

CLOB

スナップショットに対して行われた変更に対応する新旧の値のXML表現

SIGNATURE

CLOB

スナップショットのデジタル署名を格納するために使用できる列(否認防止用)

注意:

Oracle Identity Managerでのデフォルト・ユーザーに対する初期の監査スナップショットはUTF-8エンコードではありません。一方、これらのユーザーに対するその後の変更の監査は、UTF-8エンコード・スナップショットになります。

17.2.1.3 スナップショット取得のトリガー

ユーザー・プロファイルのデータ要素が変更されると、Oracle Identity Managerではスナップショットが作成されます。

次のイベントにより、ユーザー・プロファイル・スナップショットの作成がトリガーされます。

- あらゆる種類のユーザー・レコードに対する変更(リコンシリエーション、ダイレクト・プロビジョニングなどによる変更)

- ユーザーに対するロール・メンバーシップの変更

- ユーザーに適用されるポリシーの変更

- ユーザーへのリソースのプロビジョニング

- ユーザーに対するリソースのデプロビジョニング

- プロビジョニングされたリソースに対するプロビジョニング関連イベント

- リソース・ステータスの変更

- プロビジョニング・プロセスへのプロビジョニング・タスクの追加

- プロビジョニング・プロセスのプロビジョニング・タスクに対する更新(ステータス変更、エスカレーションなど)

- プロセス・フォーム・データの作成または更新

17.2.2 ユーザー・プロファイル監査に使用されるポストプロセッサ

ユーザー・プロファイルの監査者は、スナップショットのXMLをレポート表UPA_USR、UPA_FIELDS、UPA_GRP_MEMBERSHIP、UPA_RESOURCE、UPA_UD_FORMSおよびUPA_UD_FORMFIELDSに正規化する内部ポストプロセッサを保持します。これらの表は、レポート・モジュールで適切なレポートを生成するために使用されます。

17.2.3 ユーザー・プロファイル監査に使用される表

表17-5に、ユーザー・プロファイル監査で使用するデータベースの表を示します。

注意:

ユーザー・プロファイル監査表の列名や使用方法などの詳細は、Oracle Identity Managerに付属のスキーマ・ドキュメントを参照してください。

表17-5 ユーザー・プロファイル監査の表

表名

説明

AUD

Oracle Identity Managerでサポートされているすべての監査者(例: ユーザー・プロファイル監査者)の詳細情報を格納します。現在、使用可能なエントリはUserProfileAuditのみです。

AUD_JMS

ビジネス・トランザクションの一環として適用された変更の情報を格納するステージング表です。これは、監査エンジンが使用する前にデータ変更ログ・データを一時的に保存するための中間表です。監査メッセージが正常に処理されると、対応するレコードが表から削除されます。

注意: この表は、エンド・ユーザーの使用を意図していないため、直接使用しないでください。

UPA

すべてのスナップショットおよびユーザー・プロファイルに適用された変更を格納するためのメイン監査表です。

UPA_FIELDS

ユーザー・プロファイル監査履歴の変更を非正規化(垂直)形式で格納します。

UPA_GRP_MEMBERSHIP

グループ・メンバーシップ履歴を非正規化形式で格納します。

UPA_RESOURCE

ユーザー・プロファイル・リソース履歴を非正規化形式で格納します。

UPA_USR

ユーザー・プロファイル履歴を非正規化形式で格納します。

UPA_UD_FORMS

UPA_UD_FORMFIELDS表とともに、ユーザーのアカウント・プロファイル(プロセス・フォーム)への変更に関する情報を格納します。この表は、トランザクションで変更される様々なフォーム(親または子フォームなど)の変更の経過を管理します。アカウントまたは権限の属性の変更は、UPA_UD_FORMFIELDS表に格納されます。

UPA_UD_FORMFIELDS

修正されたアカウント名または権限プロファイルのフィールド名を格納します。この表には、変更されたフィールドの古い値と新しい値も記録されます。

注意:

- UPA_UD_FORMS表とUPA_UD_FORMFIELDS表には、ユーザーのアカウント・プロファイルの変更に対する監査証跡が非正規化形式で格納されます。これらの表は、監査に関連する様々なレポートに使用できます。

- UPA_UD_FORMS表とUPA_UD_FORMFIELDS表には、システム・プロパティXL.EnableExceptionReportsがTRUEに設定されている場合にのみデータが移入されます。このプロパティの詳細は、Oracle Fusion Middleware Oracle Identity Manager管理者ガイドのOracle Identity Managerのシステム・プロパティに関する項を参照してください。

17.2.4 アーカイブ

ユーザー・プロファイル監査データは監査レベルの設定に応じて増加し、ほとんどのデプロイメントにとって増加は深刻です。

また、古いユーザー・プロファイル監査データをクリーンにしたりアーカイブすることで将来の増大に対応する必要もあります。

監査アーカイブおよびパージ・ユーティリティを使用すると、これらの要件に適合できます。このユーティリティの詳細は、「監査アーカイブおよびパージ・ユーティリティの使用」を参照してください。

17.3 ロール・プロファイル監査機能

ロール・プロファイル監査は、ロール・プロファイルの属性、ロール管理者および直接サブロールに対する変更を対象としています。

この項では、次の項目について説明します。

- 監査用に収集されるデータ

17.3.1 監査用に収集されるデータ

ユーザー監査とは異なり、ロール・プロファイル監査には独立した監査レベルは定義されません。かわりに、ユーザー・プロファイル監査に対して定義された監査レベルがロール・プロファイル監査に使用されます。ユーザー・プロファイル監査レベルに対して定義された監査レベルが、メンバーシップ・レベルか、それより1レベル高い場合にのみ、ロール・プロファイル監査は実施されます。Oracle Identity Managerをインストールすると、デフォルトでユーザー・プロファイル監査機能が有効になり、監査レベルは「リソース・フォーム」に設定されます。その結果、ユーザー・プロファイル監査のデフォルトの監査レベルは「リソース・フォーム」であり、「メンバーシップ」より高いため、ロール・プロファイル監査もデフォルトで有効になります。

この項の内容は次のとおりです。

- ロール・プロファイル監査データの収集とアーカイブ

- スナップショットの保存

- スナップショット取得のトリガー

17.3.1.1 ロール・プロファイル監査データの取得とアーカイブ

ロール・プロファイルの変更のたびに、Oracle Identity Managerでは、ロール・プロファイルのスナップショットを取得してデータベースの監査表に格納します。

Oracle Identity Managerでは、ロールに対する監査が作成されると、最初のスナップショットが存在していない場合も、スナップショットが生成されます。現在のスナップショットが最初のスナップショットとして取り扱われます。

次に、ロール・プロファイルの構成要素とその要素を構成する表を示します。

- ユーザー・ロール・レコード: UGP表(グループのすべてのUDFを含む)

- サブロール情報: GPG表

17.3.1.2 スナップショットの保存

Oracle Identity Managerでロール・プロファイルのスナップショットを取得すると、そのスナップショットはGPA表に格納されます。この表の構造は、表17-6に示すとおりです。

表17-6 GPA表の定義

列

データ型

説明

GPA_KEY

NUMBER (19,0)

監査レコードのキー

UGP_KEY

NUMBER (19,0)

ロール・スナップショットが記録されるロールのキー

EFF_FROM_DATE

TIMESTAMP (6)

スナップショット・エントリが有効になった日時

EFF_TO_DATE

TIMESTAMP (6)

スナップショット・エントリが無効になった日時

つまり、これは次のスナップショット・エントリが作成された日時です。最新のユーザー・プロファイルを表すエントリの場合、終了日列の値はNULLに設定されます。

SRC

VARCHAR2 (4000)

エントリのソース、変更責任者のユーザーID、および変更の実行に使用されたAPI

SNAPSHOT

CLOB

スナップショットのXML表現

DELTAS

CLOB

スナップショットに対して行われた変更に対応する新旧の値のXML表現

SIGNATURE

CLOB

スナップショットのデジタル署名を格納するために使用できる列(否認防止用)

17.3.1.3 スナップショット取得のトリガー

ロール・プロファイル・スナップショットのデータ要素が変更されると、Oracle Identity Managerではスナップショットが作成されます。

ロール・プロファイル・スナップショットの作成は、次のいずれかで変更が発生するイベントによりトリガーされます。

- ロール・プロファイル・データ

- サブロール情報

17.4 監査機能の有効化と無効化

ここでは、Oracle Identity Managerで監査機能を有効および無効にする方法について次の各項で説明します。

- 監査機能の無効化

- 監査機能の有効化

17.4.1 監査機能の無効化

Oracle Identity Managerで監査機能を無効にする手順は、次のとおりです。

1. 「システム・プロパティの管理」に記載されているように、「ユーザー・プロファイル監査データ収集レベル」(XL.UserProfileAuditDataCollection)システム・プロパティの値を「なし」に設定します。

2. 「ジョブの無効化と有効化」に記載されているように、監査メッセージの発行タスク・スケジュール済ジョブを無効にします。
保留中の監査変更を監査表に記録する必要がある場合は、保留中の監査変更がすべて処理された後にスケジュール済タスクを無効にします。

17.4.2 監査機能の有効化

Oracle Identity Managerで監査機能を有効にする手順は、次のとおりです。

1. 『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の監査レベルに関する項に記載されているレベルのいずれかに、「ユーザー・プロファイル監査データ収集レベル」(XL.UserProfileAuditDataCollection)システム・プロパティの値を設定します。
システム・プロパティ値の変更の詳細は、「システム・プロパティの管理」を参照してください。

2. 「ジョブの無効化と有効化」に記載されているように、監査メッセージの発行タスク・スケジュール済ジョブを有効にします。

3. スナップショットを生成するには、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の監査スナップショットの生成に関する項に記載されているように、GenerateSnapshotスクリプトを実行します。
コマンドラインでは、GenerateSnapshotスクリプトを次のように使用します。

./GenerateSnapshot.sh -username OIM_ADMIN_USERNAME -numOfThreads 8 -serverURLt3://WLS_SERVER:PORT -ctxFactory weblogic.jndi.WLInitialContextFactory[-inputFile fileWithUserKeys]

各変数は次のとおりです。

- OIM_ADMIN_USERNAMEは、Oracle Identity Manager管理者のユーザー名です。

- WLS_SERVERは、Oracle WebLogic Serverの名前です。

- PORTは、WebLogic Serverのポート番号です。

18 レポート機能の使用

この章では、次の項目について説明します。

- レポート機能

- Oracle Identity Managerレポートの開始

- Oracle Identity Managerレポートの実行

- サポートされている出力形式

- Oracle Identity Managerのレポート

- 例外レポート

- サード・パーティ製ソフトウェアを使用したレポートの作成

- BI Publisherレポートの必須のスケジュール済タスク

注意:

- Oracle Identity Managerレポートにより、Oracle BI PublisherをOracle Identity Management製品のレポート・ソリューションとして使用できます。

- Oracle Identity Managerレポートは、機能領域に基づいて分類されます。たとえば、アクセス・ポリシー・レポート、アテステーション、リクエストおよび承認レポート、パスワード・ポリシー・レポートなどです。「操作レポート」や「履歴レポート」という名前は使用しなくなりました。

- Oracle Identity Managerレポートにより、Oracle BI Publisherの制限付使用ライセンス、および複数のOracle Identity Management製品用の簡単に使用できるレポート・パッケージが提供されます。

- 大規模なデプロイの場合、特にOracle Identity Managerの広範な監査機能を利用しているデプロイでは、エンタープライズ規模の専用レポート・ソリューションをデプロイすることを強くお薦めします。Oracle Business Intelligence Enterprise Editionなどのツールに基づいたソリューションは、大規模な組織に必要な柔軟性、自動化機能およびパフォーマンスを備えています。

18.1 レポート機能

Oracle Identity Managerのレポート機能は、次のとおりです。

- BI Publisherの事前定義済リストからレポートを選択および表示します。

- レポート情報をフィルタ処理します。

- 任意の形式で画面にレポートを表示します。

- インタラクティブ・レポートを提供します。

18.2 Oracle Identity Managerレポートの開始

BI Publisherを開始する手順は、次のとおりです。

1. 「開始」→Oracle BI Publisherデスクトップ→Oracle - BIPHome10134の順にナビゲートし、BI Publisherの開始をクリックします。
Oracle BI Publisherホーム・ページが表示されます。

2. ユーザー名とパスワードを入力します。

3. 「サインイン」をクリックします。

18.3 Oracle Identity Managerレポートの実行

レポートを実行するには、次の手順を実行します。

注意:

Oracle Identity Manager UIを使用してBI Publisherにアクセスすることはできません。BI Publisherを明示的に開いて、Oracle Identity Manager 11gのレポートにアクセスする必要があります。

1. Oracle Identity Managerレポートを開始します。詳細は、第18.2項「Oracle Identity Managerレポートの開始」を参照してください。

2. 共有フォルダの下にある詳細リンクをクリックします。

3. 次のいずれかを実行して、レポートにアクセスします。

- Oracle Identity Managerレポートをクリックします。

- Oracle Identity Managerレポートの下にある詳細リンクをクリックします。

結果ページに、機能領域に従って分類されたOracle Identity Managerレポートが表示されます。

4. レポートを表示するには:

1. レポートの名前をクリックして選択します。

2. 「表示」をクリックします。

レポート入力パラメータ・ページが表示されます。このページに、レポートの実行に必要な入力パラメータが表示されます。レポート入力パラメータは、フィルタ基準として機能します。

場合によっては、少なくとも1つ以上のパラメータ・フィールドが必須フィールドになります。入力パラメータが不要なレポートもあります。そうでない場合も、1つ以上のフィールドに入力しないとレポートを実行できません。

注意:

入力パラメータ・フィールドを空白のままにして「表示」をクリックすると、そのレポートに関連するすべての情報が表示されます。

5. レポートに含まれている情報を識別するために必要な情報を入力します。

6. 「表示」をクリックして、レポートを実行します。
レポートが表示されます。

18.4 サポートされている出力形式

BI Publisherでは、複数のレポート出力形式をサポートしています。すべてのレポートはネイティブXML形式で生成され、異なる他の出力形式に変換できます。次の形式をサポートしています。

- HTML

- PDF

- RTF

- MHTML

18.5 Oracle Identity Managerのレポート

日付タイプ入力パラメータを含むすべてのレポートでは、日付タイプ入力パラメータに次のデフォルト日付範囲が表示されます。

日付範囲: システム日付の30日前からシステム日付まで

別の日付範囲でレポートを実行する場合は、日付タイプ入力パラメータを任意の日付範囲に変更してください。

Oracle Identity Managerレポートは、機能領域に基づいて分類されるようになりました。たとえば、アクセス・ポリシー・レポート、アテステーション、リクエストおよび承認レポート、パスワード・ポリシー・レポートなどです。「操作レポート」や「履歴レポート」という名前は使用しなくなりました。

Oracle Identity Managerレポートは、機能領域に基づいて次のカテゴリに分類されます。

- アクセス・ポリシー・レポート

- アテステーション、リクエストおよび承認レポート

- ロールおよび組織レポート

- パスワード・レポート

- リソースおよび権限レポート

- ユーザー・レポート

- Oracle Identity Managerレポートの実行のベスト・プラクティス

18.5.1 アクセス・ポリシー・レポート

Oracle Identity Manager BI Publisherレポートでは、Oracle Identity Managerの次のアクセス・ポリシー・レポートが提供されます。

- アクセス・ポリシー詳細

- ロール別のアクセス・ポリシー・リスト

18.5.1.1 アクセス・ポリシー詳細

管理者または監査者は、Oracle Identity Managerシステムで定義されているすべてのポリシーの現在のスナップショットを、各ポリシーに関する主要な情報、および各ポリシーがアクティブ化されているインスタンス数とともに表示できます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

アクセス・ポリシー名

アクセス・ポリシーの名前

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

説明

ポリシーの説明

承認が必要

ポリシーに対して承認が必要

作成日

ポリシーが作成された日付

アクセス・ポリシーの更新

アクセス・ポリシーの更新

作成者

ポリシー作成者の名前

優先度

ポリシーの優先度

列

次の表に、レポートの列を示します。

レポートの列

説明

リソース名

リソース名

18.5.1.2 ロール別のアクセス・ポリシー・リスト

Oracle Identity Managerシステムに定義されているすべてのポリシーをロール別にリストします。このレポートは、操作およびコンプライアンスのために使用できます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

ロール名

ロールの名前

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

説明

ポリシーの説明

承認が必要

ポリシーに対して承認が必要

作成日

ポリシーが作成された日付

アクセス・ポリシーの更新

アクセス・ポリシーの更新

作成者

ポリシー作成者の名前

優先度

ポリシーの優先度

列

次の表に、レポートの列を示します。

レポートの列

説明

ロール名

ロールの名前

18.5.2 アテステーション、リクエストおよび承認レポート

Oracle Identity Manager BI Publisherレポートでは、Oracle Identity Managerの次のアテステーション、リクエストおよび承認レポートが提供されます。

- 承認アクティビティ

- アテステーション・プロセス・リスト

- アテステーション・リクエストの詳細

- プロセス別のアテステーション・リクエスト

- レビューア別のアテステーション・リクエスト

- リクエストの詳細

- リクエスト・サマリー

- タスク割当て履歴

18.5.2.1 承認アクティビティ

このレポートにより、管理者は承認、却下または保留されたリクエストを含む承認アクティビティを表示できます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

承認者の名

承認者の名

承認者の姓

承認者の姓

承認者のユーザーID

承認者のユーザーID

組織

組織の名前

フィールド

なし

列

次の表に、レポートの列を示します。

レポートの列

説明

承認者の名

承認者の名

承認者の姓

承認者の姓

承認者のユーザーID

承認者のユーザーID

組織

承認者の組織

受理された承認

受理された承認の件数

却下された承認

却下された承認の件数

保留中の承認

保留中の承認の件数

承認リクエスト合計

承認リクエストの合計数

18.5.2.2 アテステーション・プロセス・リスト

このレポートには、すべてのアテステーション・プロセスの詳細が表示されます。セキュリティ・モデルはこのレポートで実装されます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

アテステーション・プロセス名

アテステーション・プロセスの名前

アテステーション・プロセス所有者

アテステーション・プロセスの所有者

フィールド

なし

列

次の表に、レポートの列を示します。

レポートの列

説明

アテステーション・プロセス名

アテステーション・プロセスの名前

所有者のユーザーID

アテステーション・プロセスの所有者のID

現在のリクエストの日付

リクエストが作成された日付

最終完了の日付

リクエストが完了した日付

認証済

認証されたアテステーション・プロセス

却下

却下されたアテステーション・プロセス

拒否

拒否されたアテステーション・プロセス

委任済

委任されたアテステーション・プロセス

合計

認証済、却下および拒否の合計

18.5.2.3 アテステーション・リクエストの詳細

選択されたOracle Identity Managerアテステーション・リクエストの詳細がリストされます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

アテステーション・プロセス名

アテステーション・プロセスの名前

アテステーション・リクエストID

アテステーション・プロセスのID

リクエスト開始日範囲開始

アテステーション・リクエストの開始日

リクエスト開始日範囲終了

アテステーション・リクエストの終了日

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

アテステーション・プロセス名

アテステーション・プロセスの名前

アテステーション・リクエストID

アテステーション・リクエストのID

リクエスト開始日

リクエストが開始される日付

完了

リクエストが完了する日付

認証済

認証されたアテステーション・プロセス

却下

却下されたアテステーション・プロセス

委任済

委任されたアテステーション・プロセス

アクションなし

アクションが実行されないアテステーション・プロセスの数

列

次の表に、レポートの列を示します。

レポートの列

説明

名

アテステーション・リクエストを開始するユーザーの名

姓

アテステーション・リクエストを開始するユーザーの姓

ユーザーID

アテステーション・リクエストを開始するユーザーのID

リソース

リソース名

記述データ

リクエストが完了する日付

レビューアの名

レビューアの名

レビューアの姓

レビューアの姓

レビューアのユーザーID

レビューアのID

アクション

レビューアが実行するアクション

18.5.2.4 プロセス別のアテステーション・リクエスト

このレポートには、ログインしたユーザーが管理者またはアテステーション・プロセスの所有者ロールのメンバーである各プロセスに対するすべてのアテステーション・プロセスおよびリクエストの詳細が表示されます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

アテステーション・プロセス名

アテステーション・プロセスの名前

アテステーション・プロセス所有者

アテステーション・プロセスの所有者

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

アテステーション所有者

アテステーション・プロセス所有者の名前

リクエストの合計数

リクエストの合計数

最終完了日

アテステーションが完了する必要がある日付

現在のリクエストの開始日

アテステーションが開始される日付

列

次の表に、レポートの列を示します。

レポートの列

説明

リクエストID

アテステーション・リクエストのID

開始日

アテステーションが開始される日付

完了日

アテステーションが完了する必要がある日付

認証済

認証されたアテステーション・プロセス

却下

却下されたアテステーション・プロセス

拒否

拒否されたアテステーション・プロセス

委任済

委任されたアテステーション・プロセス

合計アテスト数

認証済レコード、却下レコードおよび拒否レコードの合計

18.5.2.5 レビューア別のアテステーション・リクエスト

アテステーション・リクエストのリストがレビューア別に表示されます。レポートには、各レビューアに関連付けられているリクエストの数および各リクエストの情報が含まれます。さらに、リクエストの作成および完了の時刻も表示されます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

レビューアの名

レビューアの名

レビューアの姓

レビューアの姓

レビューアのユーザーID

レビューアのユーザーID

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

レビューアの名

レビューアの名

レビューアの姓

レビューアの姓

レビューアのユーザーID

レビューアのユーザーID

リクエストの合計数

確認するリクエストの件数

列

次の表に、レポートの列を示します。

レポートの列

説明

リクエストID

アテステーション・リクエストのID

プロセス名

プロセス名。

開始日

アテステーションが開始される日付

完了日

アテステーションが完了する必要がある日付

認証済

認証されたアテステーション・プロセス

却下

却下されたアテステーション・プロセス

拒否

拒否されたアテステーション・プロセス

委任済

委任されたアテステーション・プロセス

合計アテスト数

アテストするリクエストの件数

18.5.2.6 リクエストの詳細

このレポートにより、管理者はすべてのリクエストの詳細(リクエスタ、現在の承認者など)を入力現行ステータスとともに表示できます。また、このレポートにはリクエスト承認の結果としてプロビジョニングされるすべてのユーザーの詳細(ユーザー名、組織、マネージャ詳細、ユーザー・ステータスなど)も表示されます。これにより、管理者は保留リクエストの終了を処理できるように、操作アクティビティを計画して優先順位を付けることができます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

リクエスタ・ユーザーの名

リクエスタの名

リクエスタ・ユーザーの姓

リクエスタの姓

リクエスト・ユーザーID

リクエスタのID

リクエストID

リクエストID

リクエスト親ID

リクエストの親ID

リクエスト・ステータス

リクエストのステータス

リクエスト・タイプ

リクエストのタイプ

リクエスト日開始

リクエストの開始日

リクエスト日終了

リクエストの終了日

受益者ユーザーの名

受益者の名

受益者ユーザーの姓

受益者の姓

受益者ユーザーID

受益者のID

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

リクエストID

リクエストID

リクエスト・タイプ

リクエストのタイプ

リクエスタ・ユーザーID

リクエスタのID

リクエスト日

リクエストが開始される日付

承認者ユーザーID

承認者のID

現行のステータス

リクエストのステータス

親リクエストID

親リクエスタのID

列

次の表に、受益者が存在する場合のレポートの列を示します。

レポートの列

説明

名

受益者の名

姓

受益者の姓

ユーザーID

受益者のID

ユーザー・タイプ

ユーザーのタイプ

ユーザー・ステータス

受益者のステータス

組織

受益者の組織

リクエスト値

リソースのリクエスト値

次の表に、受益者が存在しない場合のレポートの列を示します。

レポートの列

説明

リクエスト名

リクエストの名前

リクエスト値

リクエストの値

18.5.2.7 リクエスト・サマリー

このレポートにより、管理者は指定した時間間隔に要求されたすべてのリクエストの現行ステータスを表示できます。これにより、管理者は保留リクエストの終了を処理できるように、操作アクティビティを計画して優先順位を付けることができます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

リクエスト・タイプ

リクエストのタイプ

リクエスト日開始

リクエストの開始日

リクエスト日終了

リクエストの終了日

組織

組織の詳細

フィールド

なし

列

次の表に、レポートの列を示します。

レポートの列

説明

リクエストID

リクエストID

親リクエストID

親リクエスタのID

リクエスト・タイプ

リクエストのタイプ

リクエスト・ステータス

リクエストのステータス

リクエスタ・ユーザーID

リクエスタのID

受益者ユーザーID

受益者のID

リクエストの詳細

リクエストの詳細

承認者ユーザーID

承認者のID

リクエスト日

リクエストの日付

18.5.2.8 タスク割当て履歴

すべてのタスク割当ての履歴がリストされます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

リソース名

リソース名

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

リソース・タイプ

リソースのタイプ

列

次の表に、レポートの列を示します。

レポートの列

説明

ユーザーID

受益者のID

割当て先の名

割当て先の名

割当て先の姓

割当て先の姓

割当て先ユーザーID

割当て先のID

割当て先ロール名

割当て先のロール名

割当て先ユーザー名

割当て先のユーザー名

従業員タイプ

従業員のタイプ

18.5.3 ロールおよび組織レポート

Oracle Identity Manager BI Publisherレポートでは、Oracle Identity Managerの次のロールおよび組織レポートが提供されます。

- ロール・メンバーシップ履歴

- ロール・メンバーシップ・プロファイル

- ロール・メンバーシップ

- 組織の詳細

- ユーザー・メンバーシップ履歴

18.5.3.1 ロール・メンバーシップ履歴

このレポートには、すべてのロールのメンバーシップ履歴が表示されます。レポートには間接メンバーシップは表示されません。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

ロール名

ロールの名前

ロール・カテゴリ

ロールのカテゴリ

従業員タイプ

従業員のタイプ: フルタイム、パートタイム、派遣社員、インターン、コンサルタント、契約者

従業員ステータス

従業員のステータス: アクティブ、無効、削除、開始日まで無効

メンバーシップ・ステータス

メンバーシップのステータス: 失効、アクティブ

有効期間開始

ロール・メンバーシップの有効期間開始日付

有効期間終了

ロール・メンバーシップの有効期間終了日付

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

作成者

ロール作成者の名前

作成日

ロールが作成された日付

列

次の表に、レポートの列を示します。

レポートの列

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

従業員タイプ

従業員のタイプ

従業員ステータス

従業員のステータス

メンバーシップ・ステータス

ユーザーのメンバーシップ日付

有効期間開始

ユーザーのメンバーシップ開始日

有効期間終了

ユーザーのメンバーシップ終了日

マネージャの名

マネージャの名

マネージャの姓

マネージャの姓

マネージャのユーザーID

マネージャのID

18.5.3.2 ロール・メンバーシップ・プロファイル

このレポートには、ロール数に存在するユーザー数、およびロールのカウント数に属するユーザーの詳細が表示されます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

組織

ユーザーの組織

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

ロール数のメンバーシップ

ロール数のメンバーの数

ユーザー数

ロールのユーザー数

列

次の表に、レポートの列を示します。

レポートの列

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

従業員タイプ

従業員のタイプ: フルタイム、パートタイム、派遣社員、インターン、コンサルタント、契約者

18.5.3.3 ロール・メンバーシップ

このレポートには、すべてのロールのメンバーシップ詳細が表示されます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

ロール名

ロールの名前

ロール・カテゴリ

ロールのカテゴリ

組織

組織の名前

従業員タイプ

従業員のタイプ: フルタイム、パートタイム、派遣社員、インターン、コンサルタント、契約者

従業員ステータス

従業員のステータス: アクティブ、無効、削除、開始日まで無効

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

作成者

ユーザー作成者の名前

作成日

ユーザーが作成された日付

列

次の表に、レポートの列を示します。

レポートの列

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

従業員ステータス

ユーザーのステータス

従業員タイプ

従業員のタイプ: フルタイム、パートタイム、派遣社員、インターン、コンサルタント、契約者

メンバー開始

ユーザーの参加日

マネージャの名

マネージャの名

マネージャの姓

マネージャの姓

マネージャのユーザーID

マネージャのID

18.5.3.4 組織の詳細

階層的組織構造および組織内のユーザーに関する詳細がリストされます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

組織名

組織の名前

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

親組織名

親組織の名前

列

次の表に、レポートの列を示します。

レポートの列

説明

ロール

管理者ユーザー・ロールの名前

名

組織内のユーザーの名

姓

組織内のユーザーの姓

ユーザーID

ユーザーのID

ユーザー・ステータス

ユーザーのステータス

ユーザー・タイプ

ユーザーのタイプ

開始日

ユーザーの参加日

終了日

ユーザーの終了日

18.5.3.5 ユーザー・メンバーシップ履歴

このレポートには、ログインしたユーザーおよびそのメンバーシップ履歴がリストされます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

姓

ユーザーの名

名

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

従業員ステータス

従業員のステータス: アクティブ、無効、削除、開始日まで無効

従業員タイプ

従業員のタイプ: フルタイム、パートタイム、派遣社員、インターン、コンサルタント、契約者

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

ユーザーID

ユーザーのID

ユーザーの名

ユーザーの名

ユーザーの姓

ユーザーの姓

組織

ユーザーの組織

従業員ステータス

従業員のステータス: アクティブ、無効、削除、開始日まで無効

従業員タイプ

従業員のタイプ: フルタイム、パートタイム、派遣社員、インターン、コンサルタント、契約者

列

次の表に、レポートの列を示します。

レポートの列

説明

ユーザー・ロール

ユーザー・ロールの名前

メンバーシップ・ステータス

メンバーシップのステータス

有効期間開始

メンバーシップが有効になる日付

18.5.4 パスワード・レポート

Oracle Identity Manager BI Publisherレポートでは、Oracle Identity Managerの次のパスワード・レポートが提供されます。

- パスワード有効期限サマリー

- パスワード・リセット・サマリー

- リソース・パスワード有効期限

18.5.4.1 パスワード有効期限サマリー

このレポートには、指定された期間内にOracle Identity Managerパスワードの有効期限が近づいているすべてのアクティブ・ユーザーのリストが表示されます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

姓

ユーザーの姓

名

ユーザーの名

ユーザーID

ユーザーのID

組織

ユーザーの組織

有効期限日範囲開始

有効期限日の開始日

有効期限日範囲終了

有効期限日の終了日

フィールド

なし

列

次の表に、レポートの列を示します。

レポートのフィールド

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

従業員タイプ

従業員のタイプ: フルタイム、パートタイム、派遣社員、インターン、コンサルタント、契約者

従業員ステータス

従業員のステータス: アクティブ、無効、削除、開始日まで無効

組織

ユーザーの組織

パスワード有効期限日

パスワードの有効期限が切れる日付。

18.5.4.2 パスワード・リセット・サマリー

このレポートにより、ユーザー自身によってまたはユーザーにかわって試行されたパスワード変更に関する集計メトリックを表示できます。このメトリックには、すべてのパスワード変更試行、パスワード変更試行の成功または失敗結果、複数のパスワード変更試行が同時に失敗したためにロックされたユーザーが含まれます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

集計の頻度

生成するレポートの頻度

日付範囲開始

生成するレポートの開始日

日付範囲終了

生成するレポートの終了日

組織

組織の名前

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

集計の頻度

生成するレポートの頻度

列

次の表に、レポートの列を示します。

レポートの列

説明

期間

リセット試行を実行する日時

リセット試行

リセット試行の回数

失敗したリセット試行

失敗したリセット試行の回数

失敗したリセット試行のためにロックされたユーザー

失敗したリセット試行のためにロックされたユーザーの数

非受益者によるリセット

非受益者によるリセットの回数

18.5.4.3 リソース・パスワード有効期限

指定された期間内にリソース・パスワードが期限切れになるユーザーがリストされます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

リソース名

リソース名

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

ユーザー・ステータス

ユーザーのステータス

パスワード有効期限日開始

パスワード有効期限開始日

パスワード有効期限日終了

パスワード有効期限終了日

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

リソース・タイプ

リソースのタイプ

列

次の表に、レポートの列を示します。

レポートのフィールド

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

ユーザー・ステータス

ユーザーのステータス: アクティブ、無効、削除、開始日まで無効

ユーザー・タイプ

ユーザーのタイプ: フルタイム、パートタイム、派遣社員、インターン、コンサルタント、契約者

パスワード有効期限日

パスワードの有効期限が切れる日付。

18.5.5 リソースおよび権限レポート

Oracle Identity Manager BI Publisherレポートでは、Oracle Identity Managerの次のリソースおよび権限レポートが提供されます。

- リソースのアカウント・アクティビティ

- リソース別の委任管理者および権限

- リソース別の委任管理者

- 権限アクセス・リスト

- 権限アクセス・リスト履歴

- 財務的に重要なリソースの詳細

- リソース別のファイングレイン権限例外

- 孤立アカウント・サマリー

- リソース・アクセス・リスト履歴

- リソース・アクセス・リスト

- リソース・アカウント・サマリー

- リソース・アクティビティ・サマリー

- リソース別の統制外アカウント

- ユーザー・リソース・アクセス履歴

- ユーザー・リソース・アクセス

- ユーザー・リソース権限

- ユーザー・リソース権限履歴

18.5.5.1 リソースのアカウント・アクティビティ

各リソースのすべてのアカウント・アクティビティがリストされます。また、そのリソースの特定のアクティビティと各ユーザーの関連付けに関する情報も表示されます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

リソース名

リソース名

日付範囲開始

レポートが表示される開始日

日付範囲終了

レポートが表示される終了日

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

リソース名

リソース名

アクティビティ・タイプ

アクティビティのタイプ

リソース認可者ユーザー・ロール

ロールを認可するロールの名前

リソース管理者ユーザー・ロール

リソースを認可するロールの名前

列

次の表に、レポートの列を示します。

レポートの列

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

ユーザー・ステータス

ユーザーのステータス: アクティブ、無効、削除、開始日まで無効

組織

ユーザーの組織

マネージャのユーザーID

マネージャのID

タイムスタンプ

レポートが作成された日付

18.5.5.2 リソース別の委任管理者および権限

このレポートには、リソースの管理者であるユーザー・ロールのリストが書込み権限および削除権限とともに表示されます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート・パラメータを示します。

レポート・パラメータ

説明

リソース名

リソース名

フィールド

なし

列

次の表に、レポートの列を示します。

レポートの列

説明

管理者ロール名

管理者ロールの名前

管理者ロール情報

管理者ロールに関する情報

読取り権限

リソースに読取り権限があるかどうかを示します

書込み権限

リソースに書込み権限があるかどうかを示します

削除権限

リソースに削除権限があるかどうかを示します

認可者ロール

認可者ロール名

名前付き優先度

リソースの優先度

作成者

リソース作成者の名前

作成日

リソース作成日

18.5.5.3 リソース別の委任管理者

レポートには、リソースの管理者または認可者であるユーザー・ロールとそのロールのメンバーのリストが表示されます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

リソース名

リソース名

リソース・タイプ

リソースのタイプ

リソース監査目的

リソースに対して監査を実行する目的

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

リソース・タイプ

リソースのタイプ

ターゲット

リソースが組織またはユーザーのターゲットかどうかを示します

書込み権限

リソースに書込み権限があるかどうかを示します

削除権限

リソースに削除権限があるかどうかを示します

作成者

リソース作成ソース

作成日

リソースが作成された日付

列

次の表に、レポートの列を示します。

レポートの列

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

ユーザー・ステータス

ユーザーのステータス

メンバー開始

ユーザーの参加日

マネージャの名

マネージャの名

マネージャの姓

マネージャの姓

マネージャのユーザーID

マネージャのID

18.5.5.4 権限アクセス・リスト

このレポートにより、管理者または監査者は指定した権限を持つすべての既存ユーザーを問い合せることができます。このレポートは、操作およびコンプライアンスのために使用できます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

権限コード

権限のコード

リソース名

リソース名

組織

ユーザーの組織

ロール名

ロールの名前

ユーザー・ステータス

ユーザーのステータス: アクティブ、無効、削除、開始日まで無効

ユーザー・タイプ

ユーザーのタイプ

プロビジョニング日開始

リソースをユーザーにプロビジョニングする開始日

プロビジョニング日終了

リソースをユーザーにプロビジョニングする終了日

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

権限コード

権限のコード

権限名

権限の名前

権限ステータス

権限のステータス

リソース名

リソース名

リソース・タイプ

リソースのタイプ

列

次の表に、レポートの列を示します。

レポートの列

説明

ユーザーID

ユーザーのID

名

ユーザーの名

姓

ユーザーの姓

ユーザー・ステータス

ユーザー・ステータス

ユーザー・タイプ

ユーザーのタイプ

組織

ユーザーの組織

有効終了日

権限の有効開始日

有効開始日

権限の有効終了日

18.5.5.5 権限アクセス・リスト履歴

このレポートにより、管理者または監査者はライフサイクル全体にわたって権限にプロビジョニングされたすべての既存ユーザーを問い合せることができます。これは、リソースのアクセス・リストまたは権限の全履歴を示す存続期間レポートです。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

権限コード

権限のコード

リソース名

リソース名

組織

ユーザーの組織

ロール名

ロールの名前

ユーザー・ステータス

ユーザーのステータス: アクティブ、無効、削除、開始日まで無効

ユーザー・タイプ

ユーザーのタイプ

有効期間開始日付

権限の有効期間開始日付

有効期間終了日付

権限の有効期間終了日付

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

権限コード

権限のコード

権限名

権限の名前

リソース名

リソース名

リソース・タイプ

リソースのタイプ

列

次の表に、レポートの列を示します。

レポートの列

説明

ユーザーID

ユーザーのID

名

ユーザーの名

姓

ユーザーの姓

ユーザー・ステータス

ユーザーのステータス

ユーザー・タイプ

ユーザーのタイプ

有効期間開始

権限の有効期間開始日付

有効期間終了

権限の有効期間終了日付

18.5.5.6 財務的に重要なリソースの詳細

このレポートにより、管理者は財務的に重要なリソースのリストを取得し、様々な管理アクティビティおよびクリーンアップ・アクティビティに優先順位を付けます。また、コンプライアンス/プライバシおよびセキュリティ担当者は、財務的に重要なリソースの予防的および発見的制御の有効性を評価し、監査者は財務データをホストするITリソースを理解できます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート・パラメータを示します。

レポート・パラメータ

説明

リソース名

リソース名

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

リソース・タイプ

リソースのタイプ

列

次の表に、レポートの列を示します。

レポートの列

説明

ユーザー・ロール

リソース管理者ユーザー・ロールがリストされます

18.5.5.7 リソース別のファイングレイン権限例外

このレポートにより、管理者、署名担当者、内部および外部監査者は、様々なプロセス・フォームと様々なリソースの関連子表の違いを分析し、改善アクティビティによってリソース内の重大な弱点を緩和できます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート・パラメータを示します。

レポート・パラメータ

説明

リソース名

リソース名

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

従業員タイプ

従業員のタイプ(フルタイム、パートタイムなど)

組織名

組織の名前

ロール名

ロールの名前

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

リソース名

リソース名

ユーザーID

ユーザーのID

列

次の表に、レポートの列を示します。

レポートの列

説明

フォーム名

フォームの名前

フォーム・タイプ

フォームのタイプ

注意:

このレポートを実行する前に、アカウント監査およびリコンシリエーション例外のデータを移入する必要があります。

アカウント監査およびリコンシリエーション例外のデータを移入する手順は、次のとおりです。

1. 「XL.EnableExceptionReports」システム・プロパティの値を「True」に設定します。

2. ユーザーを任意のターゲットにプロビジョニングします。

3. ターゲット内のユーザーの任意の属性を変更し、ユーザーをリコンサイルします。

4. UPA_UD_FORMFIELDS表およびUPA_UD_FORMS表でデータを検索します。

5. Oracle Identity Mangerサーバーに移動し、RefreshMaterializedViewSchedulerタスクを実行します。

6. BIPにログインし、レポートを表示します。

18.5.5.8 孤立アカウント・サマリー

ユーザーはターゲット・システムに存在していたが、アカウントのプロビジョニングの対象となる関連ユーザーがOracle Identity Managerに存在しなかった入力リソースの統制外アカウントがリストされます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート・パラメータを示します。

レポート・パラメータ

説明

リソース名

リソース名

リコンシリエーション日範囲開始

リコンシリエーションの開始日

リコンシリエーション日範囲終了

リコンシリエーションの終了日

フィールド

なし

列

次の表に、レポートの列を示します。

レポートの列

説明

リソース

リソース名

アカウント情報

孤立アカウントの情報

リコンシリエーション日

リコンシリエーションの日付

18.5.5.9 リソース・アクセス・リスト履歴

このレポートにより、管理者または監査者はライフサイクル全体にわたってリソースにプロビジョニングされたすべての既存ユーザーを問い合せることができます。これは、リソースのアクセス・リストまたは権限の全履歴を示す存続期間レポートです。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

リソース名

リソース名

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

ユーザー・ステータス

ユーザーのステータス

ユーザー・タイプ

ユーザーのタイプ

スナップショット日開始

ユーザーに対するリソース・アクセスの有効期間開始日

スナップショット日終了

ユーザーに対するリソース・アクセスの有効期間終了日

変更日開始

ユーザーに対するリソース変更開始日

変更日終了

ユーザーに対するリソース変更終了日

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

リソース・タイプ

リソースのタイプ

列

次の表に、レポートの列を示します。

レポートの列

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

リソース記述データ

リソースの説明

ユーザー・ステータス

ユーザーのステータス

リソース・ステータス

リソースのステータス

有効期間開始

有効期間開始日

有効期間終了

有効期間終了日

18.5.5.10 リソース・アクセス・リスト

このレポートにより、管理者または監査者は指定したリソースにプロビジョニングされたすべての既存ユーザーを問い合せることができます。このレポートは、操作およびコンプライアンスのために使用できます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

リソース名

リソース名

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

ユーザー・ステータス

ユーザーのステータス

ユーザー・タイプ

ユーザーのタイプ

プロビジョニング日開始

リソース・プロビジョニング開始日

プロビジョニング日終了

リソース・プロビジョニング終了日

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

リソース・タイプ

リソースのタイプ

列

次の表に、レポートの列を示します。

レポート・パラメータ

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

ユーザー・タイプ

ユーザーのタイプ

ユーザー・ステータス

ユーザーのステータス

組織

ユーザーの組織

プロビジョニング日

リソースがプロビジョニングされる日付

18.5.5.11 リソース・アカウント・サマリー

このレポートには、各リソース内のステータスごとのユーザー数がリストされます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

リソース名

リソース名

リソース・タイプ

リソースのタイプ

アカウント・ステータス

アカウントのステータス

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

リソース・タイプ

リソースのタイプ

ユーザーの合計数

アカウントに関連付けられたユーザーの合計数

列

次の表に、レポートの列を示します。

レポートの列

説明

アカウント・ステータス

アカウントのステータス

ユーザー数

そのアカウント・ステータスのユーザーの数

18.5.5.12 リソース・アクティビティ・サマリー

リソースのプロビジョニングおよび承認のすべてのアクティビティの履歴がリストされます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

リソース名

リソース名

日付範囲開始

開始日

日付範囲終了

終了日

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

リソース・タイプ

リソースのタイプ

列

次の表に、レポートの列を示します。

レポートの列

説明

アカウント・プロビジョニング済

プロビジョニングされたアカウントの数

アカウント・プロビジョニング解除済

プロビジョニング解除されたアカウントの数

承認リクエスト

承認リクエストの数

受理された承認

承認されたリクエストの数

却下された承認

却下されたリクエストの数

18.5.5.13 リソース別の統制外アカウント

このレポートには、入力リソースのすべての統制外アカウントが含まれます。このレポートには、統制外アカウントがシステム内の未処理例外と受理済例外のどちらを表すかを分析するための対応するアテステーション・データも含まれます。これにより、管理者、署名担当者、内部および外部監査者はリソース内の重大な弱点を識別し、改善アクティビティによる緩和を計画できます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

リソース名

リソース名

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織名

ユーザーの組織

ユーザー・ステータス

ユーザーのステータス

ユーザー・タイプ

ユーザーのタイプ

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

リソース・タイプ

リソースのタイプ

列

次の表に、レポートの列を示します。

レポートの列

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

ユーザー・ステータス

ユーザーのステータス

ユーザー・タイプ

ユーザーのタイプ

例外タイプ

例外のタイプ

アテステーションで承認された例外

例外が承認されるかどうかを示します

レビューアの名

レビューアの名

レビューアの姓

レビューアの姓

レビューアのユーザーID

レビューアのユーザーID

18.5.5.14 ユーザー・リソース・アクセス履歴

このレポートにより、管理者または監査者はユーザーのライフサイクル全体にわたってユーザーのリソース・アクセス履歴を表示できます。このレポートは、コンプライアンスおよびフォレンジック監査の目的に使用できます。これは、ユーザー・アクセス・プロファイルのスナップショット・レポートではありません。これは、ユーザーの権限の全履歴を示す存続期間レポートです。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

ステータス

ユーザーのステータス

従業員タイプ

従業員のタイプ

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

ユーザーID

ユーザーのID

ユーザーの名

ユーザーの名

ユーザーの姓

ユーザーの姓

マネージャ・ユーザーID

レポート・マネージャのID

マネージャの名

レポート・マネージャの名

マネージャの姓

レポート・マネージャの姓

組織

ユーザーの組織

従業員ステータス

従業員のステータス

従業員タイプ

従業員のタイプ

アイデンティティ作成日

ユーザー作成日

列

次の表に、レポートの列を示します。

レポートの列

説明

リソース名

リソース名

リソース記述データ

リソースの説明

プロビジョニングされた日

リソースがプロビジョニングされる日付

プロビジョニング実行者

リソースをプロビジョニングした実行者の名前

有効期間開始

ユーザーに対するリソース・アクセスの有効期間開始日

有効期間終了

ユーザーに対するリソース・アクセスの有効期間終了日

18.5.5.15 ユーザー・リソース・アクセス

このレポートにより、管理者または監査者は指定したリソースにプロビジョニングされたすべての既存ユーザーを問い合せることができます。このレポートは、操作およびコンプライアンスのために使用できます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

従業員ステータス

従業員のステータス

従業員タイプ

従業員のタイプ

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

ユーザーID

ユーザーのID

ユーザーの名

ユーザーの名

ユーザーの姓

ユーザーの姓

マネージャ・ユーザーID

レポート・マネージャのID

マネージャの名

レポート・マネージャの名

マネージャの姓

レポート・マネージャの姓

組織

ユーザーの組織

従業員ステータス

従業員のステータス

従業員タイプ

従業員のタイプ

アイデンティティ作成日

ユーザー作成日

列

次の表に、レポートの列を示します。

レポートの列

説明

リソース名

リソース名

リソース記述データ

リソースの説明

リソース・ステータス

リソースのステータス

プロビジョニングされた日

リソースがプロビジョニングされる日付

18.5.5.16 ユーザー・リソース権限

このレポートにより、管理者または監査者は指定したユーザーにプロビジョニングされたすべての既存権限を問い合せることができます。このレポートは、操作およびコンプライアンスのために使用できます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

ユーザーID

ユーザーのID

名

ユーザーの名

姓

ユーザーの姓

電子メール

ユーザーの電子メール

リソース名

リソース名

組織

ユーザーの組織

ロール名

ロールの名前

ユーザー・ステータス

ユーザーのステータス

ユーザー・タイプ

ユーザーのタイプ

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

ユーザーID

ユーザーのID

名

ユーザーの名

ミドル・ネーム

ユーザーのミドル・ネーム

姓

ユーザーの姓

電子メール

ユーザーの電子メール

組織

ユーザーの組織

ユーザー・ステータス

ユーザーのステータス

ユーザー・タイプ

ユーザーのタイプ

マネージャの名

マネージャの名

マネージャの姓

マネージャの姓

開始日

リソースの権限の開始日

終了日

リソースの権限の終了日

列

次の表に、レポートの列を示します。

レポートの列

説明

権限コード

権限のコード

権限名

権限の名前

権限ステータス

権限のステータス

リソース

リソースのタイプ

プロビジョニング開始

リソースをユーザーにプロビジョニングする開始日

有効開始日

リソースの権限の有効開始日

18.5.5.17 ユーザー・リソース権限履歴

このレポートにより、管理者または監査者はユーザーのライフサイクル全体にわたってユーザーのリソース権限履歴を表示できます。このレポートは、コンプライアンスおよびフォレンジック監査の目的に使用できます。これは、ユーザー・アクセス・プロファイルのスナップショット・レポートではありません。これは、ユーザーの権限の全履歴を示す存続期間レポートです。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

ユーザーID

ユーザーのID

名

ユーザーの名

姓

ユーザーの姓

電子メール

ユーザーの電子メール

リソース名

リソース名

組織

ユーザーの組織

ロール名

ロールの名前

ユーザー・ステータス

ユーザーのステータス

ユーザー・タイプ

ユーザーのタイプ

有効期間開始日付

リソース権限の有効期間開始日

有効期間終了日付

リソース権限の有効期間終了日

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

ユーザーID

ユーザーのID

名

ユーザーの名

姓

ユーザーの姓

ユーザー・ステータス

ユーザーのステータス

ユーザー・タイプ

ユーザーのタイプ

組織

ユーザーの組織

電子メール

ユーザーの電子メール

開始日

リソース権限の開始日

終了日

リソース権限の終了日

アイデンティティ作成日

アイデンティティ作成の日付

マネージャの名

マネージャの名

マネージャの姓

マネージャの姓

列

次の表に、レポートの列を示します。

レポートの列

説明

権限コード

権限のコード

権限名

権限の名前

リソース

リソースのタイプ

有効期間開始日付

リソース権限の有効期間開始日

有効期間終了日付

リソース権限の有効期間終了日

18.5.6 ユーザー・レポート

Oracle Identity Manager BI Publisherレポートでは、Oracle Identity Managerの次のユーザー・レポートが提供されます。

- ユーザー・プロファイル履歴

- ユーザー・サマリー

- 削除済ユーザー

- 無効化されたユーザー

- ロック解除済ユーザー

18.5.6.1 ユーザー・プロファイル履歴

このレポートには、入力パラメータに基づいてすべてのユーザーとその詳細が表示されます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

ロール名

ユーザーのロール

マネージャ・ユーザーID

ユーザーがレポートするマネージャのID

従業員ステータス

ユーザーのステータス

従業員タイプ

従業員のタイプ

変更日範囲開始

変更の有効期間開始日

変更日範囲終了

変更の有効期間終了日

スナップショット日範囲開始

ユーザーに対するリソース・アクセスの有効期間開始日

スナップショット日範囲終了

ユーザーに対するリソース・アクセスの有効期間終了日

フィールド

次の表に、レポートのフィールドを示します。

レポートのフィールド

説明

ユーザーID

ユーザーのID

ユーザーの名

ユーザーの名

ユーザーの姓

ユーザーの姓

マネージャ・ユーザーID

レポート・マネージャのID

マネージャの名

レポート・マネージャの名

マネージャの姓

レポート・マネージャの姓

組織

ユーザーの組織

従業員ステータス

従業員のステータス

従業員タイプ

従業員のタイプ

アイデンティティ作成日

ユーザー作成日

列

次の表に、レポートの列を示します。

レポートの列

説明

プロファイル・パラメータ

ユーザー・プロファイルの名前

値

ユーザー・プロファイルの値

有効期間開始日付

有効期間開始日付

有効期間開始時刻

有効期間開始時刻

18.5.6.2 ユーザー・サマリー

指定された期間内に作成されたすべてのOracle Identity Managerユーザーがリストされます。さらに、ユーザーが手動で作成されたか、または信頼できるリコンシリエーションをよって作成されたかに関する情報も表示されます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

従業員ステータス

ユーザーのステータス

従業員タイプ

従業員のタイプ

作成日開始

ユーザー・サマリーの開始日

作成日終了

ユーザー・サマリーの終了日

フィールド

なし

列

次の表に、レポートの列を示します。

レポートの列

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

従業員ステータス

ユーザーのステータス

従業員タイプ

従業員のタイプ

マネージャID

ユーザーがレポートするマネージャのID

ソース

ユーザー作成ソース

作成日

ユーザーが作成された日付

18.5.6.3 削除済ユーザー

このレポートには、入力パラメータに基づいてすべての削除済ユーザーとその詳細が表示されます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

従業員タイプ

従業員のタイプ

削除日開始

削除済ユーザーのサマリーの開始日

削除日終了

削除済ユーザーのサマリーの終了日

フィールド

なし

列

次の表に、レポートの列を示します。

レポートの列

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

従業員タイプ

従業員のタイプ

マネージャID

ユーザーがレポートするマネージャのID

ソース

ユーザー作成ソース

削除日

ユーザーが削除された日付

18.5.6.4 無効化されたユーザー

このレポートにより、アカウントが無効になっているユーザーの詳細を表示できます。アカウントは様々な理由で無効にできます。たとえば、アテステーションの却下、ログインまたはパスワード・リセットの試行の失敗などがあります。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

従業員タイプ

従業員のタイプ

無効化日開始

ユーザーの無効化の開始日

無効化日終了

ユーザーの無効化の終了日

フィールド

なし

列

次の表に、レポートの列を示します。

レポートの列

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

従業員ステータス

従業員の現行のステータス

従業員タイプ

従業員のタイプ

マネージャID

ユーザーがレポートするマネージャのID

ソース

ユーザー作成ソース

無効化日

ユーザーが無効化された日付

18.5.6.5 ロック解除済ユーザー

このレポートにより、無効化されたアカウントが管理者によってロック解除されたユーザーの詳細を表示できます。ユーザーが属する組織の委任管理者はアカウントを有効化できます。

入力パラメータ

次の表に、データをサブセット化するための基準の指定に使用するレポート入力パラメータを示します。

レポート・パラメータ

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

従業員タイプ

従業員のタイプ

ロック解除日開始

ユーザーのロック解除の開始日

ロック解除日終了

ユーザーのロック解除の終了日

フィールド

なし

列

次の表に、レポートの列を示します。

レポートの列

説明

名

ユーザーの名

姓

ユーザーの姓

ユーザーID

ユーザーのID

組織

ユーザーの組織

従業員ステータス

ユーザーのステータス

従業員タイプ

従業員のタイプ

マネージャID

ユーザーがレポートするマネージャのID

ソース

ユーザー作成ソース

ロック解除日

ユーザーがロック解除された日付

18.5.7 Oracle Identity Managerレポートの実行のベスト・プラクティス

ベスト・プラクティスとして、Oracle Identity Manager BI Publisherのレポートを実行する前に、次の事項を検討する必要があります。

- Oracle Identity Managerレポートをデータ範囲パラメータにおいてNULL値で実行しないでください。必ず、データ範囲パラメータにおいてデータ範囲値でOracle Identity Managerレポートを実行する必要があります。そうしないと、レポートには何も表示されません。

- 入力パラメータとして値のセットでレポートを起動し、選択できるようにします。これによって、パフォーマンスが改善します。

18.6 例外レポート

Oracle Identity Managerでの例外とは、ユーザーに権限が付与されているアカウントとユーザーに実際に割り当てられているアカウントとの相違を指します。これらのアカウントは、アクセス・ポリシー、リソースのプロビジョニング、承認リクエストおよびリコシリエーション・イベントの結果としてユーザーに割り当てられます。ターゲット・システムのユーザーに割り当てられたこれらのアカウントと、Oracle Identity Managerのユーザーに割り当てられたアカウントの相違が、例外となります。

アカウント監査およびリコンシリエーション例外レポートのデータを移入する手順は、次のとおりです。

1. 「XL.EnableExceptionReports」システム・プロパティの値を「True」に設定します。システム・プロパティについては、Oracle Fusion Middleware Oracle Identity Manager管理者ガイドのシステム・プロパティの管理に関する項を参照してください。

2. リソース・オブジェクトのオブジェクトの最初のリコンシリエーション日フィールドがシステム日付より前の日付であることを確認します。

次の例外レポートがこのリリースで導入されました。

- リソース別の統制外アカウント
このレポートは、リソースに存在するすべての統制外アカウントのリストを返します。次の例外がレポートされます。

- ターゲット・システムに存在するが、Oracle Identity Managerの対応するユーザーにプロビジョニングされていないアカウント

- ターゲット・システムに存在するが、Oracle Identity Managerの対応するユーザーにプロビジョニング解除されているアカウント

- 孤立アカウント・サマリー・レポート: ターゲット・システムに存在するが、アカウントがプロビジョニングされるOracle Identity Managerの対応するユーザーが削除されているアカウント。指定の入力リソースについて、ターゲット・システムに存在するが、アカウントがプロビジョニングされるOracle Identity Managerの対応するユーザーが存在しなかった統制外アカウントがリストされます。

- リソース別のファイングレイン権限例外
このレポートは、リコンサイルされるプロセス・フォーム・データが想定値と異なるリソースのすべてのアカウントのリストを返します。つまり、このレポートは、ターゲット・システムに存在し、Oracle Identity Managerの対応するユーザーにプロビジョニングされるが、プロセス・データが一致しないアカウントを返します。

注意:

- 最初のターゲット・リコンシリエーションの終了後は、ターゲット・リソースで直接に実行されるアカウント関連のすべてのアクティビティが例外アクティビティとして追跡されます。アカウント関連のアクティビティには、アカウントの作成、アカウントの変更および権限の割当てと失効が含まれます。例外レポートは、ターゲット・リソースでのすべてのアカウント関連のアクティビティを常にOracle Identity Managerで開始することが組織ポリシーで強制されている場合にのみ使用する必要があります。また、例外の検出および記録はアカウント・データ・リコンシリエーションの拡張機能であるため、リコンシリエーションのパフォーマンス低下の原因となる場合があります。

- すべての例外レポートはリコンシリエーション・データに依存しています。そのため、対応するリコンシリエーション・イベントがアーカイブされると、これらのレポートにデータは表示されません。

18.7 サード・パーティ製ソフトウェアを使用したレポートの作成

Oracle Identity Managerは、Crystal Reportsなどのサード・パーティ製ツールを使用したレポートの作成をサポートしています。サード・パーティ製ツールを使用して、第18.5項「Oracle Identity Managerのレポート」に記載されているレポートを作成できます。

注意:

サード・パーティ製ソフトウェアを使用してレポートを作成する方法の詳細は、サード・パーティ製ソフトウェアのマニュアルを参照してください。

18.8 BI Publisherレポートの必須のスケジュール済タスク

表18-1に、Oracle Identity Manager BI Publisherレポートで必須のスケジュール済タスクを示します。

表18-1 BI Publisherレポートのスケジュール済タスク

レポート名

スケジュール済タスク名

説明

リソース別のファイングレイン権限例外

RefreshMaterializedView

このレポートで使用するマテリアライズド・ビューを最新データでリフレッシュします

ユーザー・プロファイル履歴

IssueAuditTask

監査表に最新データを移入します

ロック解除済ユーザー

IssueAuditTask

監査表に最新データを移入します

ユーザー・メンバーシップ履歴

IssueAuditTask

監査表に最新データを移入します

ロール・メンバーシップ履歴

IssueAuditTask

監査表に最新データを移入します

リソース・アクセス・リスト履歴

IssueAuditTask

監査表に最新データを移入します

ユーザー・リソース・アクセス履歴

IssueAuditTask

監査表に最新データを移入します

リソース・アクティビティ・サマリー

IssueAuditTask

監査表に最新データを移入します

パスワード・リセット・サマリー

IssueAuditTask

監査表に最新データを移入します

権限レポート

権限リスト

権限リスト表にマーク付き権限を移入します

権限割当て

権限割当て表に割当て済権限を移入します

権限更新

任意の権限が任意のユーザーに定期的または後で割り当てられる場合は、権限割当て表に最新データを移入します。

19 アーカイブ・ユーティリティの使用

この章では各種アーカイブ・ユーティリティの使用方法について説明します。次の項で構成されています。

- リコンシリエーション・アーカイブ・ユーティリティの使用

- タスク・アーカイブ・ユーティリティの使用

- リクエスト・アーカイブ・ユーティリティの使用

- 監査アーカイブおよびパージ・ユーティリティの使用

注意:

リコンシリエーション・アーカイブ・ユーティリティ、タスク・アーカイブ・ユーティリティおよびリクエスト・アーカイブ・ユーティリティをオフライン・モードとオンライン・モードの両方で使用できます。

19.1 リコンシリエーション・アーカイブ・ユーティリティの使用

この項では、リコンシリエーション・アーカイブ・ユーティリティの使用方法について説明します。内容は次のとおりです。

- リコンシリエーション・アーカイブ・ユーティリティについて

- リコンシリエーション・アーカイブ・ユーティリティの実行の前提条件

- アーカイブ基準

- リコンシリエーション・アーカイブ・ユーティリティの実行

- リコンシリエーション・アーカイブ・ユーティリティにより生成されるログ・ファイル

19.1.1 リコンシリエーション・アーカイブ・ユーティリティについて

Oracle Identity Managerは、ターゲット・システムのリコンシリエーション・データを、アクティブ・リコンシリエーション表と呼ばれるOracle Identity Manager表に格納します。

リコンシリエーション・プロセス中、リコンシリエーション・マネージャはアクティブ・リコンシリエーション表のデータをOracle Identity Managerのコア表とリコンサイルします。リコンシリエーション・マネージャはリコンサイルされたデータをアクティブ・リコンシリエーション表から削除しないため、これらの表は最終的に非常に大きくなり、リコンシリエーション・プロセス中のパフォーマンスが低下することがあります。リコンシリエーション・アーカイブ・ユーティリティを使用すると、Oracle Identity Managerとリコンサイルされたデータをアーカイブできます。リコンシリエーション・アーカイブ・ユーティリティは、アーカイブされたデータを、アクティブ・リコンシリエーション表と同じ構造のアーカイブ・リコンシリエーション表に格納します。

表19-1に、アクティブ・リコンシリエーション表と、アクティブ・リコンシリエーション表のデータがアーカイブされる対応するアーカイブ・リコンシリエーション表を示します。

表19-1 アクティブ・リコンシリエーション表とアーカイブ・リコンシリエーション表

アクティブ・リコンシリエーション表(Oracle Identity Manager表)

アーカイブ・リコンシリエーション表

RECON_EVENTS

ARCH_RECON_EVENTS

RECON_JOBS

ARCH_RECON_JOBS

RECON_BATCHES

ARCH_RECON_BATCHES

RECON_EVENT_ASSIGNMENT

ARCH_RECON_EVENT_ASSIGNMENT

RECON_EXCEPTIONS

ARCH_RECON_EXCEPTIONS

RECON_HISTORY

ARCH_RECON_HISTORY

RECON_USER_MATCH

ARCH_RECON_USER_MATCH

RECON_ACCOUNT_MATCH

ARCH_RECON_ACCOUNT_MATCH

RECON_CHILD_MATCH

ARCH_RECON_CHILD_MATCH

RECON_ORG_MATCH

ARCH_RECON_ORG_MATCH

RECON_ROLE_MATCH

ARCH_RECON_ROLE_MATCH

RECON_ROLE_HIERARCHY_MATCH

ARCH_RECON_ROLE_HIER_MATCH

RECON_ROLE_MEMBER_MATCH

ARCH_RECON_ROLE_MEMBER_MATCH

RA_LDAPUSER

ARCH_RA_LDAPUSER

RA_MLS_LDAPUSER

ARCH_RA_MLS_LDAPUSER

RA_LDAPROLE

ARCH_RA_LDAPROLE

RA_MLS_LDAPROLE

ARCH_RA_MLS_LDAPROLE

RA_LDAPROLEMEMBERSHIP

ARCH_RA_LDAPROLEMEMBERSHIP

RA_LDAPROLEHIERARCHY

ARCH_RA_LDAPROLEHIERARCHY

RECON_TABLESの下で説明されているすべての水平表

"ARCH_" + substr(HTnames,1,25)

リコンシリエーション・アーカイブ・ユーティリティを使用して、次のタスクを実行できます。

- アクティブ・リコンシリエーション表のすべてまたは特定のデータをアーカイブ・リコンシリエーション表にアーカイブ

- アクティブ・リコンシリエーション表のすべてのデータの削除

アクティブ・リコンシリエーション表からアーカイブ・リコンシリエーション表にデータを移動してアーカイブする場合は、YYYYMMDD形式の日付(たとえば、この日付以前のすべてのレコードをアーカイブするなど)とリコンシリエーション・イベント・ステータスのパラメータ値(アーカイブするデータを定義)を指定する必要があります。これらのアーカイブ基準の詳細は、「アーカイブ基準」を参照してください。

選択したデータをアーカイブする場合は、指定した日付とイベント・ステータス以前に作成された選択したイベント・ステータスに基づいて、リコンシリエーション・データがユーティリティによってアーカイブされます。

アクティブ・リコンシリエーション表のすべてのデータをアーカイブ・リコンシリエーション表にアーカイブする場合、リコンシリエーション・アーカイブ・ユーティリティによって、指定した日付以前に作成されたリコンシリエーション・データがすべてアーカイブされます。

Oracle Database版のリコンシリエーション・アーカイブ・ユーティリティを構成するファイルは、次のディレクトリにあります。

OIM_ORACLE_HOME/server/db/oim/oracle/Utilities/Recon11gArchival

リコンシリエーション・アーカイブ・ユーティリティは、Oracle Identity Managerを停止してオフライン・モードで実行することも、Oracle Identity Managerを実行してオンライン・モードで実行することもできます。

ユーティリティをオフライン・モードで実行する前に、Oracle Identity Managerを停止する必要があります。

19.1.2 リコンシリエーション・アーカイブ・ユーティリティの実行の前提条件

リコンシリエーション・アーカイブ・ユーティリティを実行する前に、データベースにOIM_RECON_ARCH表領域を作成する必要があります。そのためには、SYSやSYSTEMなどのDBA特権ユーザーとして次のサンプル・コマンドを実行できます。

CREATE TABLESPACE OIM_RECON_ARCH
LOGGING DATAFILE 'ORADATA/OIM_RECON_ARCH.dbf'
SIZE 500M REUSE AUTOEXTEND ON NEXT 10M;

注意:

- 前述のサンプル・コマンドでORADATAをORADATAディレクトリへのフルパスに置換する必要があります。

- Oracle Identity Managerユーティリティを実行する環境で、LD_LIBRARY_PATHをSQL*PlusなどのOracleユーティリティを開始するように設定する必要があります。

- アクティブ・リコンシリエーション表からアーカイブ・リコンシリエーション表にアーカイブされたデータは、Oracle Identity Managerから使用できなくなります。このデータにアクセスするには、Oracle Identity Managerデータベースのアーカイブ・リコンシリエーション表を問い合せる必要があります。

ASM、Exadata (ASM)またはOracle Managed Files (OMF)を使用する場合、ここに記載されている指示に従ってください。

ASMを使用する場合、DATA 1などのディスクグループ名を使用して、次のように表領域をデータベースで作成できます。

CREATE TABLESPACE OIM_RECON_ARCH
LOGGING DATAFILE '+DATA1'
SIZE 500M AUTOEXTEND ON NEXT 10M;

Oracle Managed Filesを使用する場合、データファイルを省略して、コマンドを次のように実行できます。

CREATE TABLESPACE OIM_RECON_ARCH
LOGGING DATAFILE
SIZE 500M AUTOEXTEND ON NEXT 10M;

ユーティリティをオフライン・モードで実行する場合は、ユーティリティを実行する前にOracle Identity Managerを停止する必要があります。

19.1.3 アーカイブ基準

アーカイブするリコンシリエーション・データの選択には、次の基準が設けられています。値が一致するデータがアーカイブされます。

- データはYYYYMMDDの形式にする必要があります。指定されたリコンシリエーション・イベント・パラメータ値と一致する、この日付以前のすべてのレコードがアーカイブされます。

- リコンシリエーション・イベント・パラメータで、クローズ済、リンク済、クローズ済またはリンク済または「すべて」を選択します。

- クローズ済は、リコンシリエーション・マネージャで手動で閉じられたイベントを表します。

- リンク済は、Oracle Identity Managerにリコンサイルされたイベントを表し、次の状態を含みます。

- 作成に成功しました

- 更新に成功しました

- 削除に成功しました

- 作成に失敗しました

- 更新に失敗しました

- 削除に失敗しました

- クローズ済またはリンク済

- アーカイブされるリコンシリエーション・イベントのステータスを選択します。

- クローズ済の場合は1を入力

- リンク済の場合は2を入力

- クローズ済およびリンク済の場合は3を入力

- 「終了」の場合には4を入力

19.1.4 リコンシリエーション・アーカイブ・ユーティリティの実行

リコンシリエーション・アーカイブ・ユーティリティを実行するには:

1. Oracle Identity Managerデータベースが使用可能で、リコンシリエーション・プロセスが実行されていないことを確認します。

注意:

リコンシリエーション・アーカイブ・ユーティリティはオフピーク時間帯に実行することをお薦めします。

2. ユーティリティをオフライン・モードで実行する場合は、「サーバーの起動と停止」の章の説明に従って、Oracle Identity Managerを停止します。
ユーティリティをオンライン・モードで実行する場合は、この手順を無視してステップ3に進みます。

3. Microsoft Windowsプラットフォームでは、短い日付書式をM/d/yyyyとして指定する必要があります。また、時間書式をH:mm:ssとして指定する必要があります。日付書式および時間書式をカスタマイズするには、「コントロール パネル」で「地域と言語のオプション」コマンドを使用します。

注意:

- 日付書式および時間書式を変更すると、Microsoft Windowsプラットフォームで実行中のすべてのアプリケーションにその変更が適用されます。

- ユーティリティを呼び出す前に、日付に関する最低限の検証が行われ、ログ・ファイルをスキャンして無効な日付関連のエラーであるORA-18xxエラーがないか確認できます。

4. LinuxまたはUNIXプラットフォームでは、次のコマンドを実行してoim_recon_archival.shファイルの実行権限を設定し、このファイルが有効なLinuxまたはUNIXテキスト・ファイルであることを確認します。

chmod 755 path/oim_recon_archival.sh
dos2unix path/oim_recon_archival.sh

5. LinuxまたはUNIXプラットフォームでは、path/oim_recon_archival.shファイルを実行してユーティリティを実行します。
Microsoft Windowsプラットフォームでは、path\oim_recon_archival.batファイルを実行してユーティリティを実行します。

6. Oracle Databaseインストール環境で、求められた場合には次のパラメータの値を入力します。

- Oracleホーム・ディレクトリ

- Oracle Identity Managerデータベースのユーザー名とパスワード

7. リコンシリエーション作成日をYYYYMMDD書式で入力します。この日付以前の必要なステータス値を持つすべてのレコードがアーカイブされます。

8. 求められた場合には、アーカイブするデータのリコンシリエーション・イベント・ステータスを選択します。

- クローズ済の場合は1を入力

- リンク済の場合は2を入力

- クローズ済またはリンク済の場合は3を入力

- 「終了」の場合には4を入力

9. ユーティリティを実行するモードを指定するように求められた場合、ユーティリティをオンライン・モードで実行する場合は1を入力します。それ以外の場合は、2を入力してユーティリティをオフライン・モードで実行します。

10. 処理するバッチ・サイズを入力します。
デフォルトのバッチ・サイズは5000です。

注意:

バッチ・サイズは、アーカイブ/パージの単一のイテレーションで、データベース・レベルでの内部コミットとして処理されるレコード数の値です。実行時にアーカイブ・ユーティリティの操作を開始するときに、バッチ・サイズを入力パラメータ値として指定する必要があります。

このバッチ・サイズはデフォルトで5000です。数十万を超えるrecon_eventsをパージする場合は、より大きいバッチ・サイズを選択できます。その場合、RDBMSでより多くのリソースが必要となることがあります(たとえば、TEMP表領域やUNDO表領域でより多くの領域が必要)。

ユーティリティはリコンシリエーション・データをアーカイブし、ログ・ファイルに実行サマリーを記録します。

11. Microsoft Windowsプラットフォームでは、ユーティリティの実行後に、短い日付書式を地域またはロケールの日付書式に再設定します。「コントロール パネル」の「地域と言語のオプション」コマンドを使用して日付書式を再設定します。

12. アクティブ・リコンシリエーション表からデータが削除されるため、DBAは統計を更新するためにアクティブ・リコンシリエーション表およびその索引を分析する必要があります。Oracle Identity ManagerのデータベースとしてOracle Databaseを使用している場合のみ、この手順を実行してください。

19.1.5 リコンシリエーション・アーカイブ・ユーティリティにより生成されるログ・ファイル

リコンシリエーション・アーカイブ・ユーティリティの実行後、次のログ・ファイルが生成されます。

./logs/oim_recon_archival_summary_TIMESTAMP.log

ユーティリティの実行が失敗すると、ユーティリティが失敗したバッチ番号とそのエラー・メッセージがログ・ファイルに記録されます。

19.2 タスク・アーカイブ・ユーティリティの使用

この項では、タスク・アーカイブ・ユーティリティの使用方法について説明します。内容は次のとおりです。

- タスク・アーカイブ・ユーティリティについて

- タスク・アーカイブ・ユーティリティのためのOracle Databaseの準備

- タスク・アーカイブ・ユーティリティの実行

- タスク・アーカイブ・ユーティリティにより生成される出力ファイルの確認

19.2.1 タスク・アーカイブ・ユーティリティについて

Oracle Identity Managerでは、タスクはリソースのプロビジョニングを処理するプロセスを構成する1つ以上のアクティビティを意味します。たとえば、リソースへのアクセスを要求するプロセスには、複数のプロビジョニング・タスクが含まれます。Oracle Identity Managerでは、アクティブ・タスク表と呼ばれる次の表にタスク・データを格納します。

- OSI

- OSH

- SCH

Oracle Identity Managerのデフォルトでは、完了したタスクはアクティブ・タスク表から削除されません。アクティブ・タスク表のサイズが増加するにつれて、特にプロビジョニング・タスクの管理時に、パフォーマンスが低下する可能性があります。タスクが正常に実行されたら、タスク・アーカイブ・ユーティリティを使用してタスク・データをアーカイブし、それをアクティブ・タスク表から削除できます。タスク・アーカイブ・ユーティリティでタスク・データをアーカイブすると、パフォーマンスが改善され、データを安全に格納できます。

タスク・アーカイブ・ユーティリティは、アーカイブされたタスク・データを次のアーカイブ・タスク表に格納します。これらの表の構造は、アクティブ・タスク表と同じです。

- ARCH_OSI

- ARCH_OSH

- ARCH_SCH

タスク・アーカイブ・ユーティリティを使用して、次のタイプのタスクをアーカイブできます。

- 無効化または削除されたユーザーの失効されたリソース・インスタンスに対するプロビジョニング・タスク

- 失効されたリソース・インスタンスに対するプロビジョニング・タスク

タスク・アーカイブ・ユーティリティを使用してタスクをアーカイブする場合、アーカイブ前に、アーカイブ操作のタイプ、ユーザー・ステータス、タスク実行日および索引を削除するレコード数を指定できます。アーカイブ操作はアーカイブするタスク・データのタイプを示し、ユーザー・ステータスは削除、無効化またはその両方を行ったユーザーに関するデータをアーカイブするかどうかを決定します。タスク実行日はタスクを実行する日を示し、YYYYMMDD書式である必要があります。

指定したタスク実行日まで、実行されるすべてのタスクがアーカイブされます。アーカイブ・プロセスにかかる時間を短縮するために、アーカイブされるレコード数が200000を超えると、ユーティリティによりすべてのアクティブ・タスク表の索引が削除されます。アーカイブ・データがアクティブ・タスク表から削除された後に、索引は再作成されます。200000という値は必要な値に変更できます。OIM_TasksArch.batファイルまたはOIM_TasksArch.shファイルのコードの次の行で値を変更できます。

.batファイルの場合、set INDXRESP=200000

.shファイルの場合、indxopt=200000

Oracle Database版のタスク・アーカイブ・ユーティリティを構成するファイルは、次のディレクトリにあります。

OIM_HOME/db/oim/oracle/Utilities/TaskArchival

注意:

アクティブ・タスク表からアーカイブ・タスク表にアーカイブされたデータは、Oracle Identity Managerから使用できなくなります。このデータにアクセスするには、Oracle Identity Managerデータベースのアーカイブ・タスク表を問い合せる必要があります。

タスク・アーカイブ・ユーティリティは、Oracle Identity Managerを停止してオフライン・モードで実行することも、Oracle Identity Managerを実行してオンライン・モードで実行することもできます。

ユーティリティをオフライン・モードで実行する前に、Oracle Identity Managerを停止する必要があります。

19.2.2 タスク・アーカイブ・ユーティリティのためのOracle Databaseの準備

タスク・アーカイブ・ユーティリティをOracle Databaseとともに使用するには、次の手順を実行する必要があります。

1. SQL*Plusを起動し、Oracle DatabaseにSYSユーザーとして接続します。

2. 次のコマンドを入力して、アーカイブ・タスク表用に別の表領域を作成します。DATA_DIRを、データ・ファイルを格納するディレクトリで置き換え、必要に応じてサイズなどのパラメータを環境に合せて調整します。

CREATE TABLESPACE TasksArch
DATAFILE 'DATA_DIR\tasksarch_01.dbf' SIZE 1000M REUSE
EXTENT MANAGEMENT LOCAL SEGMENT SPACE MANAGEMENT AUTO;

注意:

大量のデータをアーカイブする際は、大きなサイズのUNDO表領域を割り当てることをお薦めします。また、初期化パラメータparallel_max_serversおよびparallel_min_serversを構成して、パラレル実行を有効にしてください。パラレル実行は、アーカイブ・プロセスのパフォーマンスの向上に役立ちます。

3. Oracle Identity Managerデータベース・ユーザーとしてOracle Databaseに接続します。

4. 次のコマンドを入力してcr_taskarchival_ddl_table.sqlスクリプトを実行し、OIM_TASK_ARCH_DDLという表を作成します。この表は、タスク・アーカイブ・ユーティリティで使用されます。

@ path/cr_taskarchival_ddl_table.sql

5. 次のコマンドを入力してCreate_TasksArch_Tables.sqlスクリプトを実行し、アーカイブ・タスク表を作成します。

@ path/Create_TasksArch_Tables.sql

6. 次のコマンドを入力してOIM_SP_TASKS_ARCHIVAL.sqlスクリプトを実行し、タスク・アーカイブ・ユーティリティでタスク・データをアーカイブおよび削除するために使用するストアド・プロシージャを作成します。

@ path/OIM_SP_TASKS_ARCHIVAL.sql

注意:

Oracle Identity Managerユーティリティを実行する環境で、LD_LIBRARY_PATHをSQL*PlusなどのOracleユーティリティを開始するように設定する必要があります。

19.2.3 タスク・アーカイブ・ユーティリティの実行

次の手順を実行して、タスク・アーカイブ・ユーティリティを実行します。

1. Oracle Identity Managerデータベースが使用可能になっており、他のOracle Identity Managerトランザクションに対してはオープンになっていないことを確認します。

注意:

タスク・アーカイブ・ユーティリティは、オフピーク時間帯に実行することをお薦めします。

2. OSI、SCHおよびOSH表のバックアップを作成したことを確認します。

3. ユーティリティをオフライン・モードで実行する場合は、「サーバーの起動と停止」の章の説明に従って、Oracle Identity Managerを停止します。
ユーティリティをオンライン・モードで実行する場合は、この手順を無視してステップ4に進みます。

4. Microsoft Windowsプラットフォームでは、短い日付書式をdddd M/d/yyyyとして指定する必要があります。また、時間書式をH:mm:ssとして指定する必要があります。日付書式および時間書式をカスタマイズするには、「コントロール パネル」で「地域と言語のオプション」コマンドを選択します。

注意:

- 日付書式および時間書式を変更すると、Microsoft Windowsプラットフォームで実行されるすべてのアプリケーションに影響します。

- ユーティリティを呼び出す前に、日付に関する最低限の検証が行われ、ログ・ファイルをスキャンして無効な日付関連のエラーであるORA-18xxエラーがないか確認できます。

5. LinuxおよびUNIXプラットフォームでは、path/OIM_TasksArch.shファイルを実行します。Microsoft Windowsプラットフォームでは、path\OIM_TasksArch.batファイルを実行します。

6. Oracle Databaseインストール環境で、求められた場合には次のパラメータの値を入力します。

- Oracleホーム・ディレクトリ

- Oracle Identity Managerデータベース名またはOracle Identity Managerデータベースがリモート・コンピュータで稼働している場合はTNS文字列

- Oracle Identity Managerデータベースのユーザー名とパスワード

7. 求められた場合には、次のオプションのいずれかを選択します。

- 無効化または削除されたユーザーの失効されたリソース・インスタンスに対するプロビジョニング・タスクをすべてアーカイブします。

- 失効されたリソース・インスタンスに対するプロビジョニング・タスクをすべてアーカイブします。

- 終了します。

8. ユーティリティを実行するモードを指定するように求められた場合、ユーティリティをオンライン・モードで実行する場合は1を入力します。それ以外の場合は、2を入力してユーティリティをオフライン・モードで実行します。

9. 無効化または削除されたユーザーの失効されたリソース・インスタンスに対するプロビジョニング・タスクをすべてアーカイブする場合、次のいずれかのオプションを選択します。

- ステータスが「削除」であるユーザー

- ステータスが「無効」であるユーザー

- ステータスが「削除」および「無効」であるユーザー

- メイン・メニューに戻る

10. 入力を求められたら、YYYYMMDDという書式でタスク実行日を入力します。指定したタスク実行日まで、実行されるすべてのタスクがアーカイブされます。現在の日付以前に実行されたすべてのタスクをアーカイブするには、日付を入力せずに[Enter]キーを押します。

11. ユーティリティがアーカイブ・プロセスを開始する前に、サマリー情報が表示されます。サマリー情報によって、アーカイブされるタスクの合計数がわかります。サマリー情報を注意深く確認し、サマリーに表示されている削除量をデータベースでサポートできることを確認します。
タスクをアーカイブするには、入力を求められたときにyまたはYの値を入力します。あるいは、nまたはNを入力して、ユーティリティを終了します。

注意:

入力を求められたときに、YまたはNの値を入力する必要があります。値を選択しないで[Enter]キーを押すと、ユーティリティでは再度アーカイブされるタスク数が計算され、アーカイブを開始せずに確認が求められます。

12. Microsoft Windowsプラットフォームでは、タスク・アーカイブ・ユーティリティの実行完了後に、短い日付書式を地域またはロケールの日付書式に再設定します。「コントロール パネル」で「地域と言語のオプション」コマンドを使用して日付書式を再設定します。

注意:

アクティブ・タスク表からデータが削除されるため、更新される統計用にアクティブ・タスク表およびその索引を分析する必要があります。Oracle Identity ManagerのデータベースとしてOracle Databaseを使用している場合のみ、この手順を実行してください。

19.2.4 タスク・アーカイブ・ユーティリティにより生成される出力ファイルの確認

表19-2に、タスク・アーカイブ・ユーティリティによって生成される出力ファイルを示します。

表19-2 タスク・アーカイブ・ユーティリティによって生成される出力ファイル

ファイル

説明

Err_DB_Conn_timestamp.log

ユーティリティが指定された資格証明を使用してデータベースに接続できなかった場合に生成されます。

Err_Arch_Tasks_timestamp.log

アーカイブ・プロセスまたは削除プロセスが失敗した場合に生成されます。

Arch_TaskData_timestamp.log

アーカイブ・プロセスまたは削除プロセスが成功した場合に生成されます。

注意:

ユーティリティを再度実行するときに、これらのエラー・ログ・ファイルは削除されます。

19.3 リクエスト・アーカイブ・ユーティリティの使用

この項では、リックエスト・アーカイブ・ユーティリティの使用方法について説明します。内容は次のとおりです。

- リクエスト・アーカイブ・ユーティリティについて

- リクエスト・アーカイブ・ユーティリティの実行の前提条件

- 入力パラメータ

- リクエスト・アーカイブ・ユーティリティの実行

- ユーティリティにより生成されるログ・ファイル

19.3.1 リクエスト・アーカイブ・ユーティリティについて

デフォルトで、Oracle Identity Managerはクローズまたは取り消されたリクエストをアクティブ・リクエスト表から削除しません。これらのリクエストをアーカイブしてディスク領域を解放し、データベースのパフォーマンスを向上させるには、リクエスト・アーカイブ・ユーティリティを使用します。リクエスト・データは、リクエスト作成日とリクエスト・ステータスに基づいてアーカイブできます。リクエスト・ステータスに基づいてリクエストをアーカイブするかどうかは任意です。リクエスト・ステータスを使用すると、次の内容をアーカイブできます。

- リクエスト・ステータスが取消し済、「クローズ済」または「完了」である完了したリクエスト。これは、オプション完了の場合は1を選択して指定されます。

- リクエスト・ステータスが取消し済、「クローズ済」、「完了」または「失敗」、一部失敗である完了または失敗したリクエスト。これは、オプション完了および失敗の場合は2を選択して指定されます。

- リクエスト作成日に基づくすべてのリクエスト。これは、オプションすべての場合は3を選択して指定されます。

表19-3に、アーカイブされる表の名前と、対応するアーカイブ表の名前を示します。

表19-3 アーカイブ表

メイン表

アーカイブ表

REQUEST

ARCH_REQUEST

REQUEST_HISTORY

ARCH_REQUEST_HISTORY

REQUEST_APPROVALS

ARCH_REQUEST_APPROVALS

REQUEST_ENTITIES

ARCH_REQUEST_ENTITIES

REQUEST_ENTITY_DATA

ARCH_REQUEST_ENTITY_DATA

REQUEST_BENEFICIARY

ARCH_REQUEST_BENEFICIARY

REQUEST_BENEFICIARY_ENTITIES

ARCH_REQUEST_BE

REQUEST_BENEFICIARY_ENTITYDATA

ARCH_REQUEST_BED

REQUEST_TEMPLATE_ATTRIBUTES

ARCH_REQUEST_TA

WF_INSTANCE

ARCH_WF_INSTANCE

REQUEST_COMMENTS

ARCH_REQUEST_COMMENTS

Oracle Database版のリクエスト・アーカイブ・ユーティリティを構成するファイルは、次のディレクトリにあります。

OIM_HOME/db/oim/oracle/Utilities/RequestArchival

リクエスト・アーカイブ・ユーティリティは、Oracle Identity Managerを停止してオフライン・モードで実行することも、Oracle Identity Managerを実行してオンライン・モードで実行することもできます。

ユーティリティをオフライン・モードで実行する前に、Oracle Identity Managerを停止する必要があります。

19.3.2 リクエスト・アーカイブ・ユーティリティの実行の前提条件

リクエスト・アーカイブ・ユーティリティを実行する前に、次のことを行います。

注意:

Oracle Identity Managerユーティリティを実行する環境で、LD_LIBRARY_PATHをSQL*PlusなどのOracleユーティリティを開始するように設定する必要があります。

- OIM_REQUEST_ARCH表領域を作成します。リクエスト・アーカイブ・ユーティリティを初めて実行する場合は、アーカイブされるすべての表に対して、対応するアーカイブ表が作成されます。アーカイブ表は、OIM_REQUEST_ARCHと呼ばれる個別の表領域に作成されます。ユーティリティを実行する前に、この表領域を作成しておく必要があります。

- oim_create_request_arch_tables.sqlスクリプトを実行して、リクエスト表に対して必要なアーカイブ表を作成します。これは、アーカイブされるすべての表に対応するアーカイブ表を作成するPL/SQLスクリプトです。

- ユーティリティをオフライン・モードで実行する場合は、ユーティリティを実行する前にOracle Identity Managerを停止する必要があります。

19.3.3 入力パラメータ

表19-4に、リクエスト・アーカイブ・ユーティリティによって使用される入力パラメータのリストを示します。

表19-4 入力パラメータ

パラメータ

説明

Oracleホーム

システムのORACLE_HOME環境変数の値。

Oracle SID

Oracle Identity ManagerデータベースのSID(TNSの名前かTNS別名)。

OIM DBユーザー

Oracle Identity Managerデータベース・ユーザーのデータベース・ログインIDです。

OIM DBパスワード

Oracle Identity Managerデータベース・ユーザーのパスワード。

リクエスト・ステータス

ユーザー入力値1、2または3に基づいたリクエスト・ステータス。

リクエスト作成日

ユーティリティは、このリクエスト基準日またはそれ以前に作成された、必要なリクエスト・ステータスのすべてのリクエストをアーカイブします。

バッチ・サイズ

ユーティリティは、レコードのグループまたはバッチを単一トランザクションとして処理します。バッチ・サイズは、ユーティリティのパフォーマンスに影響する可能性があります。

「バッチ・サイズ」のデフォルト値は2000です。

ユーティリティ実行モード

ユーティリティを実行するモード(オンラインまたはオフライン)。オンライン・モードの場合は1を、オフライン・モードの場合は2を入力する必要があります。

ユーティリティは、オンライン・モードよりもオフライン・モードのほうが高速で実行されます。ただし、ユーティリティをオフライン・モードで実行するには、ダウンタイムが必要です。オフライン・モードで実行することによってアーカイブ操作を高速化できますが、ユーティリティがアーカイブ操作を完了するまでOracle Identity Managerを使用できません。このため、このオプションを選択する前に、Oracle Identity Managerが実行されていないことを確認してください。

19.3.4 リクエスト・アーカイブ・ユーティリティの実行

リクエスト・アーカイブ・ユーティリティを実行するには:

1. Oracle Identity Managerデータベースが使用可能であることを確認します。

注意:

リクエスト・アーカイブ・ユーティリティは、オフピーク時間帯に実行することをお薦めします。

2. ユーティリティをオフライン・モードで実行する場合は、「サーバーの起動と停止」の章の説明に従って、Oracle Identity Managerを停止します。
ユーティリティをオンライン・モードで実行する場合は、この手順を無視してステップ3に進みます。

3. Microsoft Windowsプラットフォームでは、短い日付書式をdddd M/d/yyyy.として指定する必要があります。また、時間書式を H:mm:ssとして指定する必要があります。日付書式および時間書式をカスタマイズするには、「コントロール パネル」で「地域と言語のオプション」コマンドを使用します。

注意:

- 日付書式および時間書式を変更すると、Microsoft Windowsプラットフォームで実行中のすべてのアプリケーションにその変更が適用されます。

- ユーティリティを呼び出す前に、日付に関する最低限の検証が行われ、ログ・ファイルをスキャンして無効な日付関連のエラーであるORA-18xxエラーがないか確認できます。

4. UNIXプラットフォームでは、次のコマンドを実行してOIM_request_archival.sh ファイルの実行権限を設定し、このファイルが有効なUNIXテキスト・ファイルであることを確認します。

chmod 755 path/OIM_request_archival.sh
dos2unix path/OIM_request_archival.sh

5. UNIXプラットフォームでは、path/OIM_request_archival.shファイルを実行します。Microsoft Windowsプラットフォームでは、path\OIM_request_archival.batファイルを実行します。
oim_request_archivalスクリプトではデータベース入力が検証され、データベースとの接続が確立されます。次にoim_request_archival.sqlスクリプトが呼び出され、このスクリプトはユーティリティに関連するPL/SQLプロシージャをコンパイルするために使用されます。

6. Oracle Databaseインストール環境で、求められた場合には次のパラメータの値を入力します。

- Oracleホーム・ディレクトリ

- Oracle Identity Managerデータベース名またはOracle Identity Managerデータベースがリモート・コンピュータで稼働している場合はTNS文字列。そうでない場合は、ORACLE SIDを入力します。

- Oracle Identity Managerデータベースのユーザー名とパスワード

7. 求められた場合には、次のオプションのいずれかを入力します。

- ステータスが「リクエストが取り消されました」、「リクエストがクローズされました」、「リクエストが完了しました」で、作成日がユーザーによってYYYYMMDD書式で指定されたリクエスト作成日またはそれ以前であるリクエストをアーカイブするには、1を入力します。

- ステータスが「リクエストが取り消されました」、「リクエストがクローズされました」、「リクエストが完了しました」またはリクエストの一部が失敗しましたで、作成日がユーザーによってYYYYMMDD書式で指定されたリクエスト作成日またはそれ以前であるリクエストをアーカイブするには、2を入力します。

- リクエスト作成日が、ユーザーによってYYYYMMDD書式で指定されたリクエスト作成日またはそれ以前であるすべてのリクエストをアーカイブするには、3を入力します。

8. ユーティリティを実行するモードを指定するように求められた場合、ユーティリティをオンライン・モードで実行する場合は1を入力します。それ以外の場合は、2を入力してユーティリティをオフライン・モードで実行します。

9. 求められた場合には、バッチ・サイズを指定します。

注意:

バッチ・サイズは、アーカイブ/パージの単一のイテレーションで、データベース・レベルでの内部コミットとして処理されるレコード数の値です。実行時にアーカイブ・ユーティリティの操作を開始するときに、バッチ・サイズを入力パラメータ値として指定する必要があります。

このバッチ・サイズはデフォルトで2000です。より大きいバッチ・サイズを選択できますが、その場合、データベースでより多くのリソースが必要となることがあります(たとえば、TEMP表領域やUNDO表領域でより多くの領域が必要)。

ユーティリティはリクエスト・データをアーカイブし、ログ・ファイルに実行サマリーを記録します。

10. Microsoft Windowsプラットフォームでは、ユーティリティの実行後に、短い日付書式を地域またはロケールの日付書式に再設定します。「コントロール パネル」の「地域と言語のオプション」コマンドを使用して日付書式を再設定します。

11. アクティブ・リクエスト表からデータが削除されるため、DBAは統計を更新するためにアクティブ・リクエスト表およびその索引を分析する必要があります。Oracle Identity ManagerのデータベースとしてOracle Databaseを使用している場合のみ、この手順を実行してください。

19.3.5 ユーティリティにより生成されるログ・ファイル

すべてのログは、現在のフォルダに作成されているlogs/ディレクトリに書き込まれます。表19-5にユーティリティにより生成されるログ・ファイルのリストを示します。

表19-5 DBアーカイブ・ユーティリティにより生成されるログ

ログ・ファイル

説明

oim_create_request_arch_tables.log

ユーティリティがアーカイブ表の作成に失敗したときに作成されます。

oim_request_archival.log

ユーティリティがアーカイブに必要なプロシージャの作成に失敗したときに作成されます。

validate_date.log

入力値REQUEST_CREATION_DATEが無効な場合に作成されます。

oim_request_archival_summary_TIMESTAMP.log

実行のサマリーが含まれます。

Err_DB_Conn_TIMESTAMP_ATTEMPTNUMBER.log

ユーティリティが提供される資格証明を使用してデータベースに接続できない場合に作成されます。

19.4 監査アーカイブおよびパージ・ユーティリティの使用

この項では、監査アーカイブおよびパージ・ユーティリティの使用方法について説明します。内容は次のとおりです。

- 概要

- ユーティリティの使用の前提条件

- アーカイブおよびパージのためのUPA表の準備

- UPA表のアーカイブまたはパージ

19.4.1 概要

Oracle Identity Managerデータベース・スキーマで継続的にデータが生成され、監査データが増加することにより、データベース・サーバーによる記憶域の消費量が徐々に増大します。監査データはUPA表に移入されます。UPA表のデータの増加により、ディスク領域とメンテナンスの問題が発生する場合があります。したがって、UPA表内の古い監査データを消去またはアーカイブする必要があります。

ディスク領域の消費量を制御するために、監査アーカイブおよびパージ・ユーティリティを使用できます。このユーティリティは、論理的かつ一貫した方法でデータをパージすることにより、監査データの増加を制御します。

注意:

- 監査アーカイブおよびパージ・ソリューションは、UPA表にのみ適用できます。UPA_ prefixを含む表である監査レポート表には適用できません。

- このユーティリティは、Oracle Identity Managerリリース9.1.0以降と互換性があります。

Oracle Identity Managerを停止して最新データをフェッチする必要があります。これは、NULLレコードとしてEFF_TO_DATEを取得するためです。新規にパーティション化されたUPAでOracle Identity Managerを実行する際、残りのレコードを後で取得できます。

パーティションをアーカイブまたは削除できる、暦年に基づいたUPA表のパーティション化をお薦めします。パーティション化の利点は、Oracle Identity Managerでは古いパーティションにある古い監査データが使用されないため、古いパーティションをアーカイブまたはパージできることです。Oracle Identity Managerでは、最新の監査データおよび現在の暦年データが使用されます。したがって、UPA表は、EFF_TO_DATE列を使用して、日付範囲に基づいたパーティション化方法で暦年ごとにパーティション化されます。パーティション化後、EFF_TO_DATEがNULLである最新の監査データが1つのパーティションにグループ化され、暦年ごとに1つのパーティションが作成されます。Oracle Identity Managerは、現在の最新年のパーティション以外のパーティションに対する読取りや書込みは行いません。

たとえば、2005年からOracle Identity Managerの監査機能を使用していて、暦年2011年に監査アーカイブおよびパージ・ソリューションを実装する場合、暦年ごとにパーティションを作成すると仮定すると、これを実施した後に7つのパーティションが作成されることになります。これらの7つのパーティションで、Oracle Identity Managerは次のパーティションに対してのみ読取りまたは書込みを行います。

- 最新のパーティション

- 現在の年のパーティション(たとえば、2011年)

それ以前の年のパーティションはすべてアーカイブ後にパージされます。アーカイブしない場合は、それらの古いパーティションをパージできます。古いパーティションをアーカイブおよびパージすることにより、領域を再利用することができます。現在の最新年のパーティションは、Oracle Identity Managerが引き続き使用するためそのままにしておく必要があります。

19.4.2 ユーティリティの使用の前提条件

監査アーカイブおよびパージ・ユーティリティを使用するには、次の前提条件を満たす必要があります。

- データベースのパーティション化はOracle DatabaseのEnterprise Editionでのみサポートされています。したがって、監査アーカイブおよびパージ・ソリューションを実装するには、Oracle DatabaseのEnterprise Editionを実行する必要があります。

- UPA表はレンジ・パーティション化する必要があります。間隔はデータ分散単位の値にできます。パーティション方法のそれ以外のモードはサポートされていません。

- UPA表の最新のバックアップが使用可能であることを確認します。UPA表のバックアップの作成は、このソリューションを適用するための必須の前提条件です。このソリューションを本番データベースに実装する前に、開発またはステージング環境で試用することをお薦めします。

- このソリューションを実装する前に、過去何年分の監査データをオンラインにしておく必要があるかを決定します。これは、事前にパーティションを作成する場合に役立ちます。

- 各パーティションは独自の表領域に置く必要があります。異なる年のパーティションや他のデータ間で表領域を共有しないでください。

- パーティション化中、各暦年の監査データは最終的な宛先に移動される前に表にコピーされます。コピーされたデータを保持するディスク領域をプロビジョニングしておく必要があります。

19.4.3 アーカイブおよびパージのためのUPA表の準備

アーカイブおよびパージ・ソリューションのためのUPA表を準備するには、次の手順を実行します。

1. UPA表がパーティション化されるまで、Oracle Identity Managerデータベースに対するトランザクションが存在しないようにします。

2. UPA表に対する問合せを実行して、監査データの最小および最大の暦年を取得します。最小および最大の年を取得するには次の問合せが役立ちます。最大の年は現在の暦年である必要があります。

SELECT EXTRACT (YEAR FROM MIN (eff_to_date)) min_year,EXTRACT (YEAR FROM MAX (eff_to_date)) running_year FROM upa;

これは、最小の年から始まる各暦年のパーティションを決定する際に役立ちます。

3. Oracle Identity Managerが実行されておらず、オフライン・ユーティリティで使用できないことを確認します。

4. 新規パーティション表を作成します。
2005年を最小の年、2011年を実行または現在の暦年とした場合、新規パーティション表を作成する前に次のことを決定しておく必要があります。

- 何年分の古い監査データを保持しますか。3年分の監査データのみを保持することが重要な場合は、2008年からの新規にパーティション化された表を作成する必要があります。2008年より古いデータは、元のUPA表が削除されるときにクリーンアップされます。

- 何年分の古いデータを保持するかを決定した後、古いデータをどのようにしてどこに保持しますか。古いデータ・パーティションをすべてアーカイブUPA表に保持しますか、または古いパーティションのバックアップを作成し、古いパーティションを削除しますか。古いパーティションをテープに移し、UPA表からパージすることをお薦めします。前述のように、最新の実行中の暦年パーティションはそのままにしておく必要があります。

次のサンプルは、3年分の監査データをUPA表に保持し、現在の暦年は2011であることを想定しています。

SQL> SELECT 'Create Table UPA_PART
(
UPA_KEY NUMBER (19) Not Null,
USR_KEY NUMBER (19) Not Null,
EFF_FROM_DATE TIMESTAMP (6) Not Null,
EFF_TO_DATE TIMESTAMP (6),
SRC VARCHAR2 (4000),
SNAPSHOT CLOB,
DELTAS CLOB,
SIGNATURE CLOB
)
PARTITION BY RANGE (EFF_TO_DATE)
(PARTITION UPA_2008 VALUES LESS THAN (TO_DATE(''01/01/2009'', ''DD/MM/YYYY'')) Tablespace upa_2008,
PARTITION UPA_2009 VALUES LESS THAN (TO_DATE(''01/01/2010'', ''DD/MM/YYYY'')) Tablespace upa_2009,
PARTITION UPA_2010 VALUES LESS THAN (TO_DATE(''01/01/2011'', ''DD/MM/YYYY'')) Tablespace upa_2010,
PARTITION UPA_2011_PART1 VALUES LESS THAN (TO_DATE('''||TO_CHAR(SYSDATE,'DD/MM/YYYY HH24:MI:SS')||''',''DD/MM/YYYY HH24:MI:SS'')) TABLESPACE UPA_2011_PART1,
PARTITION UPA_2011_PART2 VALUES LESS THAN (TO_DATE(''01/01/2012'',''DD/MM/YYYY'')) TABLESPACE UPA_2011_PART2,
PARTITION UPA_LATEST VALUES LESS THAN (MAXVALUE) TABLESPACE UPA_MAX
)
ENABLE ROW MOVEMENT;' FROM DUAL;

5. 次の文を実行して、UPA表と同様の構造を持つパーティション化されていない別の表を作成します。

SQL> Create table upa_non_part Tablespace TBS_NAME as select * from upa where 1=2;

ここで、TBS_NAMEは、交換されるパーティションと同じ表領域の名前です。

この表は本来一時的なものです。この表の目的は、新規にパーティション化されたUPA表への監査データのロードを容易にすることです。

注意:

UPA_NON_PARTまたはパーティション化されていない一時表は、交換するパーティションと同じ表領域に作成する必要があります。

6. 次に示すように、最新の監査データをパーティション化されていないUPA表にロードします。

SQL> Insert /*+ parallel */ into upa_non_part select /*+ parallel */   * from upa where eff_to_date is null;
SQL> COMMIT;

注意:

INSERT文でのヒント/*+parallel*/の使用は任意であり、使用可能なリソースに応じて他のヒントを使用してパフォーマンスを改善することもできます。

7. 次に示すように、ALTER TABLEコマンドを使用してデータをパーティション化された表に入れ替えます。

SQL> ALTER TABLE upa_part EXCHANGE PARTITION UPA_LATEST WITH TABLE UPA_NON_PART WITH VALIDATION UPDATE GLOBAL INDEXES;

8. 次に示すように、upa_non_part表を削除します。

SQL> DROP TABLE upa_non_part;

パーティションを交換する際は、データが物理的に書き込まれるのではなく、データ・ディクショナリが更新されます。したがって、交換するパーティションに関連する同じ表領域内のパーティション化されていない一時UPA_NON_PART表を削除し、再作成する必要があります。

9. 次に示すように、パーティション化されていない元のUPA表の名前をUPA_OLDに変更します。

SQL> ALTER TABLE upa rename TO upa_old;

10. 新規にパーティション化されたUPA_PART表の名前をUPAに変更します。

SQL> RENAME UPA_PART to UPA;

11. 新規UPA表の制約を管理します。これを行うには、次のようにします。

1. 次に示すように、制約を古いUPA表から他の名前に変更します。

ALTER TABLE UPA_old RENAME CONSTRAINT PK_UPA TO PK_UPA_old;
ALTER INDEX IDX_UPA_EFF_FROM_DT RENAME TO IDX_UPA_EFF_FROM_DT_old;
ALTER INDEX IDX_UPA_EFF_TO_DT RENAME TO IDX_UPA_EFF_TO_DT_old;
ALTER INDEX IDX_UPA_USR_KEY RENAME TO IDX_UPA_USR_KEY_old;
ALTER INDEX PK_UPA RENAME TO PK_UPA_OLD;

2. 必要な索引および主キー制約を、新規にパーティション化されたUPA表に作成します。表領域やサイズなどの記憶域特性を必ず追加してください。これを行うには、次のSQL問合せを実行します。

SQL>create index IDX_UPA_EFF_FROM_DT on UPA (EFF_FROM_DATE) Local;
SQL>create index IDX_UPA_EFF_TO_DT on UPA (EFF_TO_DATE) Local;
SQL>create index IDX_UPA_USR_KEY on UPA (USR_KEY) Local;
SQL>ALTER TABLE UPA add constraint PK_UPA primary key (UPA_KEY) using index;

注意:

主キーをサポートするために、パーティション化されていないグローバル索引が作成されます。グローバル索引はパーティションに変更が加えられるたびに使用できなくなります。必要に応じて、索引を再構築する必要があります。

12. 次に示すように、UPA表の統計収集を実行します。

SQL>Exec dbms_stats.gather_table_stats(ownname => 'SCHEMA_NAME',tabname => 'UPA',cascade => TRUE,granularity => 'GLOBAL and PARTITION');

注意:

デフォルトでグローバル統計が収集されます。Oracle 11gにはパーティション化されたオブジェクトの統計収集に対する改善が組み込まれているため、変更されていないパーティションは再スキャンされません。これにより、一部のパーティションに静的データが含まれる大きな表で統計収集の速度が大幅に速くなります。表に新しいパーティションが追加された場合は、新しいパーティションの統計のみを収集する必要があります。グローバル統計は、既存のパーティション一覧を使用して新しいパーティション一覧を集計することにより、自動的に更新されます。

13. Oracle Identity Managerを起動します。データベースをトランザクションに対してオープンにすることができます。テストを行って、アプリケーションが期待どおりに実行されることを確認します。

14. 現在の年のデータをUPA_2011_PART1に追加してすべてのデータが含まれるようにし、現在の年の一貫性を維持します。これを行うには、次のSQL問合せを順番に実行します。

SQL> CREATE TABLE upa_non_part Tablespace TBS_NAME AS SELECT * FROM upa WHERE 1=2;

ここで、TBS_NAMEは、交換されるパーティションと同じ表領域名です。

SQL> Alter Table UPA_NON_PART add constraint PK_UPA_NON_PART primary key (UPA_KEY) using index;

.............
.............
SQL> Insert into upa_non_part select * from upa_old where eff_to_date >= to_date('01/01/2011', 'mm/dd/yyyy');

.............
.............
SQL> COMMIT;

.............
.............

SQL> ALTER TABLE upa_part exchange partition UPA_2011_PART1 WITH table upa_non_part WITH VALIDATION UPDATE GLOBAL INDEXES;

.............
.............
SQL> Drop table upa_non_part;

15. 必要に応じて、前年のデータを新規にパーティション化されたUPA表に追加します。これを行うには、次のようにします。

1. 次のSQL問合せを順番に実行します。

SQL> CREATE TABLE upa_non_part Tablespace TBS_NAME AS SELECT * FROM upa WHERE 1=2;

ここで、TBS_NAMEは、交換されるパーティションと同じ表領域です。

.............
.............
SQL> Alter Table UPA_NON_PART add constraint PK_UPA_NON_PART primary key (UPA_KEY) using index;
.............
.............
SQL> Insert into upa_non_part select * from upa_old where eff_to_date >= to_date('01/01/YEAR', 'mm/dd/yyyy') and eff_to_date < to_date('01/01/<YEAR+1>', 'mm/dd/yyyy');

ここで、YEARは、新規にパーティション化されたUPA表にデータを追加する年です。

.............
.............
SQL>COMMIT;

.............
.............
SQL> Alter table upa exchange partition UPA_<year> with table upa_non_part with validation Update global indexes;

2. 索引が使用できない場合は、再構築します。次のSQL問合せにより、使用できない索引が表示されます。

SQL> Select index_name, partition_name, tablespace_name, status from user_ind_partitions;

3. 次に示すように、upa_non_part表を削除します。

SQL> Drop table upa_non_part;

注意:

過去の各年に対してステップ15を繰り返します。

16. UPA表に対するすべてのパーティション操作が完了し、データがすべて追加されました。次に示すように、UPA表の統計収集を実行します。

SQL>Exec dbms_stats.gather_table_stats(ownname => '<Schem_name>',tabname => 'UPA',cascade => TRUE,granularity => 'GLOBAL and PARTITION');

17. UPA_OLD表が不要な場合は、削除します。削除する前に、この表のバックアップを作成できます。

19.4.4 UPA表のアーカイブまたはパージ

次の項では、UPA表のアーカイブおよびパージについて説明します。

- アーカイブまたはパージできないパーティション

- 進行中のパーティションのメンテナンス

- UPA表のパーティションのアーカイブまたはパージ

19.4.4.1 アーカイブまたはパージできないパーティション

Oracle Identity Managerには、常に現在の最新暦年の監査データが必要です。次に、最新暦年のパーティションの名前を示します。

- UPA_LATEST: 最新のパーティション

- UPA_2011_PART1およびUPA_2011_PART2: 現在の年のパーティション(現在の年が2011の場合)

これらの2つのパーティションは、Oracle Identity Managerが引き続き使用するためそのままにしておく必要があります。これらの2つのパーティションはアーカイブまたはパージしないでください。

19.4.4.2 進行中のパーティションのメンテナンス

新しい暦年になる前にUPA表に新規パーティションを追加する必要があります。これを行うには、次のSQLテンプレートを使用します。

SQL> Alter table UPA split partition UPA_LATEST at (TO_DATE('01/01/YEAR+1','DD/MM/YYYY')) into (partition UPA_YEAR tablespace UPA_YEAR,partition UPA_LATEST tablespace UPA_MAX) update global indexes;

ここで、TO_DATE関数のYEARは、新しい暦年プラス1を表します。パーティション名および表領域名のYEARは、次の新しい暦年を示します。

新しい暦年2012年の新規パーティションを追加するSQL文の例は、次のとおりです。

SQL> Alter table UPA split partition UPA_LATEST at (TO_DATE('01/01/2013','DD/MM/YYYY')) into (partition UPA_2012 tablespace UPA_2012,partition UPA_LATEST tablespace UPA_MAX) update global indexes;

新しい暦年になる前に所定のSQLテンプレートを使用して新規パーティションを追加することをお薦めします。ただし、次の暦年になる前に新規パーティションを追加しない場合、次の年の開始後に同じSQLコマンドを使用して新規パーティションを追加できます。

19.4.4.3 UPA表のパーティションのアーカイブまたはパージ

UPA表のパーティションをアーカイブまたはパージするには、次の手順を実行します。

1. Oracle Identity Managerのアテステーション機能を使用する場合は、アーカイブまたはパージするパーティションにアクティブなアテステーション・レコードがないことを確認します。これを確認するには、次のSQLを使用します。

SQL> SELECT COUNT(1) FROM UPA PARTITION(<PARTITION_TO_BE_DROPPED>) WHERE UPA_KEY IN (select distinct (upa_key) from apt apt, atr atr, atd atd where apt.atr_key=atr.atr_key and atr.atr_completion_time is NULL and apt.apt_key = atd.apt_key);

この問合せは、アクティブなアテステーション・レコードがないことを意味するゼロ・レコードを返す必要があります。ゼロ以外の値が返される場合は、削除対象のパーティションを指すアクティブなアテステーションがまだ存在していることを意味します。このことは一般的ではありませんが、過去の年のパーティションを削除する前に、アクティブなアテステーション・レコードがないことを確認する必要があります。

2. 削除対象のパーティションのデータを必要とするカスタム・レポートまたは問合せがないことを確認します。

3. 削除対象のパーティションをテープまたは他のメディアにアーカイブします。パーティションをアーカイブするには多くの方法があります。方法の1つは、データ・ポンプまたはエクスポート・ユーティリティを使用して、削除対象のパーティションをアーカイブすることです。使用中の環境で最も効果的な方法を選択します。

4. パーティションをパージします。これを行うには、次のようにします。

SQL> Alter table UPA drop partition PARTITION_NAME UPDATE GLOBAL INDEXES;
SQL>Drop tablespace TBS_NAME including contents and datafiles;

ここで、TBS_NAMEは削除対象のパーティションに関連付けられている表領域で、ここに他のデータが含まれていてはいけません。

注意:

- 現在の年には、UPA_2011_PART1およびUPA_2011_PART2という名前の2つのパーティションが含まれています。現在の年が過去の年になり、そのデータがアーカイブまたはパージできるようになったときは、これらの2つのパーティションをアーカイブまたはパージする必要があります。

- 必要に応じて、アーカイブされたデータを後でリストアしてください。

第VIII部

診断およびトラブルシューティング

この部では、Oracle Identity Managerでの診断およびトラブルシューティング・タスクについて説明します。

次の章で構成されます。

- 第20章「ロギングの構成」

- 第21章「非同期実行の管理」

- 第22章「Enterprise Managerを使用したOracle Identity Manager構成の管理」

- 第23章「ユーザーの言語の設定」

- 第24章「診断ダッシュボードの使用方法」

- 第25章「診断の有効化」

- 第26章「エラーの処理」

20 ロギングの構成

Oracle Identity Managerでは、2つのロギング・サービス、大多数のOracle Fusion Middlewareアプリケーションで使用されるロギング・サービスOracle Diagnostic Logging (ODL)とApache log4jが使用されます。

Oracle Identity Manager のロギングは、主としてODLを使用して行われます。Apache log4jは、デプロイメント・マネージャやワークフロー・デザイナでのNexaweb、キャッシングでのOSCacheなど、サードパーティ・アプリケーションでのみ使用されます。

この章の内容は次のとおりです。

- ODLを使用したOracle Identity Managerのロギング

- log4jを使用したOracle Identity Managerのロギング

- 警告状態の設定

20.1 ODLを使用したOracle Identity Managerのロギング

Oracle Diagnostic Logging (ODL)は、Oracle Identity Managerが使用する主要なロギング・サービスです。ODLロギングを動作させるには、ロガーとログ・ハンドラの両方を構成する必要があります。ロガーはハンドラにメッセージを送信し、ハンドラはメッセージを受け入れてログ・ファイルに出力します。

「ログ・ハンドラとロガーの構成」で説明しているように、ロギング構成はlogging.xmlファイルによって制御されます。このファイルは、直接編集することも、Enterprise Managerを介して編集することもできます。Enterprise Managerでは、OIMサーバー・リンクをクリックして上部のWebLogic Serverドロップダウンを選択し、「ログ」→「ログ構成」をクリックしてロギング構成にアクセスできます。

Enterprise Managerでロギング構成にアクセスするには、次の手順を実行します。

1. OIMサーバー・リンクをクリックします。

2. WebLogic Serverのリストから、「ログ」→「ログ構成」を選択します。ログ構成画面に、ロギングに利用できるすべてのパッケージが表示されます。

Enterprise Managerで利用できない追加パッケージ(コネクタのためのパッケージなど)のロギングは、次の指示に従ってlogging.xmlファイルを手動で編集します。Oracle Identity Manager固有のパッケージには、oracle.iamからアクセスできます。Oracle Diagnostic Loggingレベル列で、各ログ・レベルを選択できます。特定のログ・レベルを選択し、「適用」をクリックして変更を適用します。また、「ログ・ファイル」タブをクリックして、新しいログ・ハンドラを作成して構成することもできます。

Oracle Identity Managerの各モジュールには、個別に構成できる独自のロガーがあり、それぞれ異なる情報量を1つ以上のログ・ハンドラに送信できます。表20-2「Oracle Identity Managerのロガー」に、ログ・ハンドラへのメッセージ送信を構成できるOracle Identity Managerの20種類以上のロガーを示します。

ログに出力する情報量は、各ロガーのレベル属性を調整して制御できます。ロギング・レベルを選択するには、5つのメッセージ・タイプ(INCIDENT_ERROR、ERROR、WARNING、NOTIFICATION、TRACE)からいずれか1つを選びます。各メッセージ・タイプで1(最高重大度) - 32(最低重大度)の数値を使用して、ロガーで出力されるメッセージ量をさらに制限することもできます。2ページの表1に、最もよく使用されるメッセージ・タイプとレベルの組合せを示します。

ログ・ハンドラは、ログ・メッセージを表示するターゲットを指定します。たとえば、コンソール、各種ログ・ファイルおよび追加の出力にメッセージを書き込むことができます。

この項の内容は次のとおりです。

- メッセージのタイプとレベル

- ログ・ハンドラとロガーの構成

- ログ・ハンドラの構成

- ロガーの構成

- ODLログ出力のサンプル

20.1.1 メッセージのタイプとレベル

ODLでは、INCIDENT_ERROR、ERROR、WARNING、NOTIFICATION、TRACEの5つのメッセージ・タイプを認識します。各メッセージ・タイプで1(最高重大度) - 32(最低重大度)の数値を使用して、メッセージ出力をさらに制限することもできます。

メッセージ・タイプを指定すると、ODLではそのタイプのすべてのメッセージと、指定したタイプ以上の重大度のメッセージが返されます。たとえば、メッセージ・タイプをWARNINGに設定した場合、ODLではINCIDENT_ERRORとERRORのタイプのメッセージも返されます。

メッセージのタイプとレベルの詳細は、『Oracle Fusion Middleware管理者ガイド』の「ログ・ファイルに書き込まれる情報レベルの設定」を参照してください。表20-1に、Oracle Identity Managerで最もよく使用される診断メッセージのタイプを示します。

表20-1 Oracle Identity Managerの診断メッセージのタイプ

メッセージ・タイプおよび数値

説明

INCIDENT_ERROR:1

製品のバグが原因の可能性があり、Oracleサポートに報告する必要がある重大な問題。

この例として、回復不能なエラーがあります。

ERROR:1

管理者が即時に注目する必要があり、製品のバグが原因でない重大な問題。

この例として、Oracle Fusion Middlewareがログ・ファイルを処理できないものの、ドキュメントに対する権限の調整によって問題の修正が可能な場合などがあります。

WARNING:1

管理者が確認する必要のある潜在的な問題。

この例として、パラメータ値が無効な場合や指定したファイルが存在しない場合などがあります。

NOTIFICATION:1

主要サブコンポーネントや機能のアクティブ化または非アクティブ化などの、主要なライフサイクル・イベント。

これはNOTIFICATIONのデフォルト・レベルです。

NOTIFICATION:16

正常なイベントをレポートするためのより詳細なレベル。

TRACE:1

パブリックAPIエントリや出口点など、管理者に重要なイベントに関するトレースまたはデバッグ情報。

TRACE:16

Oracleサポートが特定のサブシステムでの問題を診断するのに役立つ可能性のある、詳細なトレースまたはデバッグ情報。

TRACE:32

Oracleサポートが特定のサブシステムでの問題を診断するのに役立つ可能性のある、非常に詳細なトレースまたはデバッグ情報。

20.1.2 ログ・ハンドラとロガーの構成

ログ・ハンドラとロガーはどちらもlogging.xmlを編集して構成できます。このファイルは次の場所に格納されています。

DOMAIN_NAME/config/fmwconfig/servers/SERVER_NAME/logging.xml

ここで、DOMAIN_NAMEとSERVER_NAMEは、それぞれOracle Identity Managerのインストール時に指定されたドメイン名とサーバー名です。

logging.xmlファイルには<log_handlers>構成セクションがあり、その下に<loggers>構成セクションが続きます。各ログ・ハンドラを、<log_handlers>セクションで定義し、各ロガーを<loggers>セクションで定義します。

ファイルの基本構造は次のとおりです。

<logging configuration>
<log_handlers>
<log_handler name='console-handler' level="NOTIFICATION:16"></log_handler>
<log_handler name='odl-handler'></log_handler>
<!--Additional log_handler elements defined here....-->
</log_handlers>
<loggers>
<logger name="example.logger.one" level="NOTIFICATION:16">
<handler name="console-handler"/>
</logger>
<logger name="example.logger.two" />
<logger name="example.logger.three" />
<!--Additional logger elements defined here....-->
</loggers>
</logging_configuration>

メッセージをコンソールかファイルのどちらかに書き込むようにロガーを構成する場合は、ロガーとハンドラの両方の構成変更を行います。ロガーでのレベル属性の設定は、ロガーがハンドラに送信する詳細の量(つまりメッセージ量)を構成します。同様に、ハンドラでのレベル属性の設定は、ハンドラがロガーから受け入れる詳細の量を構成します。

注意:

ログに期待する量のメッセージが出力されない場合は、ロガーとログ・ハンドラのレベル属性が適切に設定されているか確認してください。たとえば、ロガーがTRACEに設定され、ログ・ハンドラがWARNに設定されている場合、ハンドラはWARNより詳細なメッセージは生成しません。

20.1.3 ログ・ハンドラの構成

個々のログ・ハンドラは、logging.xmlファイルの<log_handlers>セクションで構成されます。ハンドラのレベル属性を構成して、ハンドラがロガーから受け入れる詳細の量を設定します。

ログ・ハンドラのレベル属性を構成するには:

注意:

logging.xmlファイルを修正するには、XML構文の基本を理解している必要があります。

1. DOMAIN_NAME/config/fmwconfig/servers/SERVER_NAME/logging.xmlファイルを開きます。

2. レベル属性を次の例に示すように変更します。
このXMLコード例では、console-handlerのレベル属性はWARNING:32に設定されています。

<log_handler name='console-handler' class='oracle.core.ojdl.logging.ConsoleHandler' formatter='oracle.core.ojdl.weblogic.ConsoleFormatter' level='WARNING:32'/>

console-handlerがコンソールにTRACEレベルのメッセージを書き込めるようにするには、レベル属性を次のように変更します。

<log_handler name='console-handler' class='oracle.core.ojdl.logging.ConsoleHandler' formatter='oracle.core.ojdl.weblogic.ConsoleFormatter' level='TRACE:1'/>

3. 変更を保存して、アプリケーション・サーバーを再起動します。

20.1.3.1 ログ・ハンドラの構成ツール

ファイルに書き込むログ・ハンドラには、構成可能な追加プロパティがあります。たとえば、次に示すlogging.xmlからの抜粋では、odl-handlerのプロパティが構成されています。

<log_handler name='odl-handler' class='oracle.core.ojdl.logging.ODLHandlerFactory'     filter='oracle.dfw.incident.IncidentDetectionLogFilter'>
<property name='path'     value='${domain.home}/servers/${weblogic.Name}/logs/${weblogic.Name}-diagnostic.log'/>
<property name='maxFileSize' value='10485760'/>
<property name='maxLogSize' value='104857600'/>
<property name='encoding' value='UTF-8'/>
<property name='useThreadName' value='true'/>
<property name='supplementalAttributes' value='J2EE_APP.name,J2EE_MODULE.name,     WEBSERVICE.name,WEBSERVICE_PORT.name,composite_instance_id,component_instance_id,     composite_name,component_name'/>
</log_handler>

ログ・ハンドラのプロパティは、Fusion Middleware ControlツールまたはWLSTコマンドライン・ツールを使用して変更できます。

関連項目:

- Fusion Middleware ControlツールおよびWLSTコマンドライン・ツールの詳細は、『Oracle Fusion Middleware管理者ガイド』の「ログ・ファイルの設定の構成」を参照してください。

- WLSTコマンドライン・ツールの詳細は、Oracle Fusion Middleware WebLogic Scripting Toolコマンド・リファレンスのカスタムWLSTコマンドのロギングに関する項を参照してください。

20.1.4 ロガーの構成

各ログ・ハンドラは、logging.xmlファイルの<loggers>セクションで構成されます。ログ・ハンドラにメッセージを送信するために構成できる、20種類を超えるOracle Identity Managerのロガーがあります。Oracle Identity Managerのロガーについては、7ページの表2で説明されています。ロガーのレベル属性の設定で、ロガーがハンドラに送信する詳細の量(つまりメッセージ量)が構成されます。1つ以上の<handler>要素を<logger>要素内にネストすると、ロガーにハンドラが割り当てられます。OIMCP.PSFTCOMMONと呼ばれるロガーを次の抜粋に示します。level属性にはWARNING:32が設定され、ロガーによって3つのハンドラにメッセージが送信されます。

<logger name="OIMCP.PSFTCOMMON" level="WARNING:32" useParentHandlers="false">
<handler name="odl-handler"/>
<handler name="wls-domain"/>
<handler name="console-handler"/>
</logger>

ロガーは、親のレベル設定やその他の属性、親のロガーのハンドラなど、親のロガーの設定を継承します。継承を無効にするには、前述の抜粋に示すように、useParentHandlers属性を「false」に設定します。

ロガーの継承ツリーの最上部にあるのがルート・ロガーです。ルート・ロガーは、次の例に示すように、名前属性が空のロガーです。

<loggers>
<logger name="" level="WARNING:1">
<handler name="odl-handler"/>
<handler name="wls-domain"/>
<handler name="console-handler"/>
</logger>

<!-- Additional loggers listed here -->
</loggers>

次の例に示すように、ロガーを名前属性のみで構成すると、ロガーは残りの属性をルート・ロガーから継承します。

<loggers>
<logger name="oracle.iam.identity.rolemgmt"/>
<!-- Additional loggers listed here -->
</loggers>

ロガーを構成するには:

1. DOMAIN_NAME/config/fmwconfig/servers/SERVER_NAME/logging.xmlファイルを開きます。

2. 構成するロガーに移動します。表20-2に、Oracle Identity Managerのロガーのリストを示します。

表20-2 Oracle Identity Managerのロガー

ロガー

説明

oracle.iam.request
oracle.iam.requestdatasetgeneration
oracle.iam.requestactions
oracle.iam.platform.workflowservice

リクエストおよびリクエスト・データセット管理に関連するイベントを記録します。

oracle.iam.selfservice

認証済および未認証のセルフサービス操作に関連するイベントを記録します。

oracle.iam.ChangePasswordtaskflow

パスワード変更機能のUIのイベントを記録します。

oracle.iam.forgotpasswordtaskflow

パスワード忘れ機能のUIのイベントを記録します。

oracle.iam.identitytaskflow

管理UIのアイデンティティ操作のイベントを記録します。

oracle.iam.identity.orgmgmt

組織マネージャのサービス操作に関連するイベントを記録します。

oracle.iam.identity.rolemgmt

ロール・マネージャのサービス操作に関連するイベントを記録します。

oracle.iam.identity.usermgmt

ユーザー・マネージャのサービス操作に関連するイベントを記録します。

oracle.iam.identity.scheduledtasks

アイデンティティ機能のスケジュールされたタスクに関連するイベントを記録します。

oracle.iam.platform.utils

プラットフォームで提供されるユーティリティ(主に他の機能で使用される)に関連するイベントを記録します。メッセージ・リソース処理、ロギング処理、国際化、キャッシングなどのユーティリティが含まれます。

oracle.iam.platformservice

主にクライアント側から実行されるユーティリティに関連するイベントを記録します。たとえば、プラグイン登録ユーティリティやキャッシュの消去ユーティリティなどがあります。日付と時間ユーティリティや例外処理ユーティリティなどの一部のサーバー側ユーティリティでも、このロガーが使用されます。

oracle.iam.platform.canonic

UIフレームワークの実行に関連するイベントを記録します。

oracle.iam.consoles.faces
oracle.iam.consoles.common

UIフレームワークから生成されるメッセージを記録します。

oracle.iam.platform.kernel

カーネルに関連するイベントを記録します。これには、プラットフォームによって編成の処理中に生成されるログを含みます。各機能内の編成で実行されるイベント・ハンドラには、その機能独自のロガーが使用されます。

oracle.iam.platform.context

コンテキスト管理機能に関連するイベントを記録します。

oracle.iam.platform.entitymgr

エンティティ・マネージャ機能に関連するイベントを記録します。この機能は、ユーザー、ロールなど、各種エンティティ・タイプの一般的な処理と、それらに対する個別操作への適切なルーティングを提供します。

oracle.iam.scheduler
oracle.iam.platform.scheduler
Xellerate.Scheduler
Xellerate.Scheduler.Task

スケジューラに関連するイベントを記録します。スケジュール済タスクのなかには、別のロガーも使用する場合があることに注意してください。

oracle.iam.reconciliation

リコンシリエーション機能に関連するイベントを記録します。

oracle.iam.accesspolicy

アクセス・ポリシー機能に関連するイベントを記録します。

oracle.iam.autoroles

ロール・メンバーシップの自動割当て機能に関連するイベントを記録します。

oracle.iam.callbacks

コールバック機能に関連するイベントを記録します。

oracle.iam.configservice

エンティティ属性の構成に使用される構成サービスAPIに関連するイベントを記録します。

oracle.iam.ldap-sync

Oracle Identity ManagerおよびLDAP同期化機能に関連するイベントを記録します。

oracle.iam.notification

電子メール・テンプレートおよび通知処理機能に関連するイベントを記録します。

oracle.iam.passwdmgnt

パスワード管理機能に関連するイベントを記録します。

oracle.iam.platform.pluginframework

プラグインの管理を処理するプラグイン・フレームワーク機能からのイベントを記録します。

oracle.iam.platform.async

非同期操作を処理するプラットフォームからのイベントを記録します。

oracle.iam.spmlws
oracle.iam.wsschema

各種操作のリクエストを生成するFusionアプリケーションで使用されるWebサービスに関連するイベントを記録します。

oracle.iam.diagnostic

診断チェックを実行するために使用される診断サービスAPIからのメッセージを記録します。

oracle.iam.oimdataproviders

Oracle Identity Managerのデータ・プロバイダに関連するイベントを記録します。Oracle Identity Managerのデータ・プロバイダは、Oracle Identity Managerデータベースのデータの更新や取得のためのコードを提供します。

Xellerate.Database

データベース操作を記録します。

Xellerate.PreparedStatement

Xellerate.Databaseと同じですが、PreparedStatementの詳細のみを記録します。

Xellerate.Performance

文(問合せ)を実行する時間、またはデータやメタデータを取得するために結果セットを繰り返す時間など、データベースのパフォーマンスを記録します。

oracle.iam.platform.auth

認証処理機能のイベントを記録します。

oracle.iam.platform.authz
oracle.iam.authzpolicydefn

認可ポリシーを処理する機能のイベントを記録します。

oracle.iam.sod
Xellerate.SoD

SoD(職務の分離)に関連するイベントを記録します。

oracle.jps

組込みのOracle Entitlements Server MicroSMエンジン用のロガーです。ログ・ファイルは、管理対象サーバー名-microsm.log(例: OIMServer1-microsm.log)という名前でOIM_ORACLE_HOMEフォルダに作成されることに注意してください。

Xellerate.Entitlement

プロビジョニング権限に使用される権限操作のロギングを提供します。

oracle.iam.conf

システム・プロパティの処理を含むシステム構成サービス機能に関連するイベントを記録します。

oracle.iam.transUI

11gコードからのレガシーAPIの初期化を処理するトランザクションUI機能に関連するイベントを記録します。これには、ユーザー作成時のプロビジョニングの初期化などの操作が含まれます。

Xellerate.AccountManagement

レガシーのユーザー操作APIでのロギングを提供します。

Xellerate.Server

データ・オブジェクトでのロギングを提供します。

Xellerate.ResourceManagement
Xellerate.ObjectManagement

リソース・オブジェクト操作のロギングを提供します。

Xellerate.Workflow

プロビジョニング・プロセス操作のロギングを提供します。

Xellerate.WebApp

移行のUI操作のロギングを提供します。

Xellerate.Adapters

アダプタ・ファクトリのロギングを提供します。

Xellerate.JavaClient

クライアント側データ・オブジェクトのロギングを提供します。

Xellerate.Policies

アクセス・ポリシーに関連するデータ・オブジェクトのロギングを提供します。

Xellerate.Rules

ルールに関連するデータ・オブジェクトのロギングを提供します。

Xellerate.APIs

レガシーのパブリックAPIのロギングを提供します。

Xellerate.JMS

メッセージを生成するJMS操作のロギングを提供します。

Xellerate.RemoteManager

Remote Managerでのロギングを提供します。

Xellerate.Auditor

監査フレームワークでのロギングを提供します。

Xellerate.Attestation

アテステーションのUIおよび操作でのロギングを提供します。

Xellerate.GC.StartUp
Xellerate.GC.ProviderRegistration
Xellerate.GC.ImageGeneration
Xellerate.GC.FrameworkProvisioning
Xellerate.GC.Provider.ProvisioningFormat
Xellerate.GC.Provider.ProvisioningTransport
Xellerate.GC.FrameworkReconciliation Xellerate.GC.Provider.Reconciliation
Format
Xellerate.GC.Provider.Validation
Xellerate.GC.Provider.Transformation
Xellerate.GC.Model
Xellerate.GC.Server

汎用テクノロジ・コネクタ(GTC)のロギングを提供します。

oracle.iam.connectors.icfcommon

コネクタ・フレームワークのロギングを提供します。

3. <logger>要素のレベル属性を定義します。この項の先頭の例を参照してください。

4. 1つ以上の<handler>要素を<logger>要素に追加します。

5. logging.xmlの<loggers>と<log_handlers>の両方のセクションの編集が終了したら、ファイルを保存します。

6. アプリケーション・サーバーを再起動して変更を有効にします。

20.1.5 ODLログ出力のサンプル

次のODLログの抜粋は、想定される出力例を示しています。

<Jun 15, 2010 2:01:20 AM IST> <Error> <oracle.iam.platform.authz.impl>
<IAM-1010032>
<No OES Policy found for the given Action.>
<Jun 15, 2010 2:02:02 AM IST> <Warning> <oracle.iam.platform.canonic.agentry>
<IAM-0091108> <readme.txt is not a valid connector resource file.>
<Jun 15, 2010 2:02:52 AM IST> <Error> <oracle.iam.configservice.impl>
<IAM-3020003> <The attribute User Type does not exist!>

ログ出力の管理および解釈の詳細は、『Oracle Fusion Middleware管理者ガイド』の「ログ・ファイルと診断データの管理」を参照してください。

20.2 log4jを使用したOracle Identity Managerのロギング

Apache log4jは、デプロイメント・マネージャやワークフロー・デザイナでのNexaweb、およびキャッシングでのOSCacheなどのサードパーティ製アプリケーションで使用されます。log4j構成ファイルは次の場所に格納されています。

OIM_HOME/config/log.properties

log4jを使用したOracle Identity Managerでのロギングについて、次の各項で説明します。

- ログ・レベル

- ロガー

- ロギングの構成と有効化

20.2.1 ログ・レベル

表20-3に、log4jのログ・レベルのリストを示します。

表20-3 log4jのログ・レベル

ログ・レベル

説明

DEBUG

DEBUGレベルは、アプリケーションのデバッグに役立つ詳細な情報イベントを示します。

INFO

INFOレベルは、アプリケーションの進捗状況を大まかなレベルで強調表示する情報メッセージを示します。

WARN

WARNレベルは、危険な状況になる可能性のあることを示します。

ERROR

ERRORレベルは、アプリケーションの続行が可能なエラー・イベントを示します。

ALL

ALLレベルは下限ランクで、すべてのロギングが有効化されます。

OFF

OFFレベルは上限ランクで、ロギングは無効化されます。

20.2.2 ロガー

サードパーティのアプリケーションには、次のロガーが使用されます。

- Nexawebの場合: com.nexaweb.server

- OSCacheの場合: com.opensymphony.oscache

20.2.3 ロギングの構成と有効化

サードパーティのアプリケーションには、次のように任意のログ・レベルを使用できます。

log4j.logger.com.nexaweb.server=WARN
log4j.logger.com.opensymphony.oscache=ERROR

20.3 警告状態の設定

Oracle Identity Managerサーバーの警告状態を設定するには:

1. すべてのOIM JMSキューで再配信の制限を1に設定します。これを行うには、次のようにします。

1. WebLogic管理コンソールに管理ユーザーとしてログインします。

2. 「JMSモジュール」をホーム・ページでクリックします。

3. OIMJMSModuleをクリックします。

4. 「ロックして編集」をクリックします。

5. 各キューで、キューをクリックしてから、「配信の失敗」タブをクリックします。「再配信の制限」値を-1から1に変更してから、「保存」をクリックします。

6. OIMJMSModuleにあるすべてのキューで手順1.dと手順1.eを実行したことを確認します。

7. 構成をリリースしてから、Oracle Identity Managerを再起動します。
この再配信は既存のメッセージに適用されません。サーバーが再起動した際、すべての良好なメッセージが処理されるのを待機します。その後で、すべての不正なメッセージを消去する必要があります。

2. すべての不正なメッセージを消去するには:

1. WebLogic管理コンソールに管理ユーザーとしてログインします。

2. 「JMSサーバー」をホーム・ページでクリックします。

3. OIMJMSServer→「監視」→「アクティブな宛先」に移動します。

4. メッセージを含むキューを選択します。「消費」→「休止」をクリックします。

5. 次のURLに示すように、メッセージを削除します。
http://docs.oracle.com/cd/E12840_01/wls/docs103/ConsoleHelp/taskhelp/jms_modules/queues/ManageQueues.html

6. メッセージが削除されたら、手順2.dで休止している消費を再開します。

3. Oracle Identity Managerを再起動します。

21 非同期実行の管理

この章では、Oracle Identity and Access Management (IAM)プラットフォームによって提供される非同期サービスについて説明します。この章の内容は次のとおりです。

- 21.1項「非同期サービスの概要」

- 21.2項「非同期ルーティングと構成」

- 21.3項「失敗した非同期タスクのトラブルシューティング」

- 21.4項「診断ダッシュボードUIの操作」

21.1 非同期サービスの概要

非同期サービスは、タスクを非同期で実行するためにIAMプラットフォームによって提供されるサービスの1つです。タスクは、パフォーマンスとスループットの改善のために非同期で実行されます。

アイデンティティ管理操作によっては、完了するまでに長時間かかる場合があります。そのため、これらの操作を2つの部分に分割し、短い同期相互作用の後に長い非同期プロセスが続くようにするのは意味のあることです。同期相互作用の終わりにユーザーに応答が返され、そして残りの操作が非同期で実行されます。

非同期サービスでは、Oracle Identity Managerコンポーネントはタスクを送信して非同期で実行させることができます。送信後、呼出し元は他のタスクを実行できます。このタスクの実行は非同期サービスが担当し、コンピューティング・リソースが使用可能なときに行われます。

21.2 非同期ルーティングと構成

非同期サービスは、構成ファイルasync-messaging.xmlを使用して非同期タスクをルーティングおよび構成します。この構成ファイルは、Oracle Identity ManagerデータベースのMetaData Store (MDS)スキーマに格納されています。MDSのファイル・パスは、/file/async-messaging.xmlです。

例21-1に、構成ファイルの抜粋を示します。

例21-1 サンプル構成ファイル

<tns:async-config>
<task-config>
<class>oracle.iam.reconciliation.impl.ActionTask</class>
<destination>queue/oimReconQueue</destination>
</task-config>
<task-config>
<class>com.thortech.xl.schedule.jms.messagetype.AttestationTaskMessage</class>
<destination>queue/oimAttestationQueue</destination>
<priority>NORMAL</priority>
<maxRetries>2</maxRetries>
</task-config>
<task-config>
<class>com.thortech.xl.schedule.jms.messagetype.AttestationRequestMessage</class>
<destination>queue/oimAttestationQueue</destination>
<priority>HIGH</priority>
</task-config>
<default-config>
<destination>queue/oimDefaultQueue</destination>
<maxRetries>3</maxRetries>
</default-config>
</tns:async-config>

構成ファイルを修正するには、MDSからインポートし、ファイルを修正し、それから修正したファイルをMDSにエクスポートします。MDSファイルのインポートおよびエクスポートの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のユーザーが修正可能なメタデータ・ファイルの移行に関する説明を参照してください。

21.2.1 構成パラメータ

システム管理者は、非同期タスクの構成ファイルで次のパラメータを構成できます。

- 宛先: 大量のタスクをそれぞれ独自の専用キューに割り当てることができます。たとえば、例21-1では、すべての非同期タスクが同じ宛先キューattestationQueueに割り当てられています。各非同期タスクに個別の宛先キューを作成して、各メッセージの送信先を定義することができます。

注意:

タスクをキューに割り当てる前に、そのキューがアプリケーション・サーバーに存在することを確認する必要があります。キューの作成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Server JMSの構成と管理』を参照してください。

- 優先度: 複数のタイプの非同期タスクが同じ宛先キューに割り当てられている場合は、優先度を設定できます。次のいずれかの値を設定できます。

- 標準

- 高

- 低

- 最大再試行数: 非同期タスク実行のエラー・リカバリは、自動と手動の2とおりで処理されます。自動再試行メカニズムでは、スケジュール済タスクを使用してすべての失敗タスクを特定の間隔で再試行します。システム管理者は、「最大再試行数」パラメータを使用して、実行失敗時にタスクを再試行できる最大回数を指定できます。エラー処理とリカバリ・メカニズムの詳細は、「失敗した非同期タスクのトラブルシューティング」を参照してください。

21.3 失敗した非同期タスクのトラブルシューティング

タスクまたはメッセージの実行時にエラーが発生する場合があります。非同期タスク実行のエラー・リカバリは、自動再試行と手動操作の組合せで行われます。タスクの実行中にエラーが発生すると、そのタスクはFailedTasks表に追加され、システム管理者に通知されます。エラー処理メカニズムの詳細は、「自動再試行のエラー処理メカニズム」および「手動再試行のエラー処理メカニズム」を参照してください。

21.3.1 自動再試行のエラー処理メカニズム

スケジュール済タスクにより、失敗したタスクは定期的な間隔で自動再試行されます。スケジュール済タスクによってタスクが再試行される最大回数は、例21-2に示すように、非同期タスクの最大再試行数プロパティを使用して構成できます。

例21-2 「最大再試行数」の構成

<async-task>
<class>oracle.iam.reconciliation.impl.ActionTask</class>
<destination>reconQueue</destination>
<max-retries>2</max-retries>
</async-task>

21.3.2 手動再試行のエラー処理メカニズム

システム管理者は、Oracle Identity Manager診断ダッシュボードのユーザー・インタフェース(UI)を使用して、失敗したタスクを表示して適切な対処を行った後でタスクを再試行します。Oracle Identity Manager診断ダッシュボードUIの詳細は、「診断ダッシュボードUIの操作」を参照してください。

21.4 診断ダッシュボードUIの操作

診断ダッシュボードには、システム管理者が失敗した非同期タスクを表示して再試行できるようにするUIが備えられています。この項の内容は次のとおりです。

- 診断ダッシュボードUIの起動

- 失敗した非同期タスクの表示

- 失敗した非同期タスクの再試行

- 失敗した非同期タスクの再送信

- 失敗した非同期タスクのパージ

関連項目:

診断ダッシュボードのインストールと有効化の詳細は、第24章「診断ダッシュボードの使用」を参照してください。

21.4.1 診断ダッシュボードUIの起動

診断ダッシュボードUIを起動するには:

1. 次のURLを使用して、「診断ダッシュボード」のホーム・ページにアクセスします。
http://host:port/XIMDD

2. 左ペインのメニューで「失敗したタスクの管理」リンクをクリックします。

3. ユーザー名とパスワードを入力します。「失敗したタスクの管理」ページが表示されます。

注意:

診断ダッシュボードUIにアクセスするにはシステム管理者権限が必要です。

21.4.2 失敗した非同期タスクの表示

システム管理者は、失敗した各タスクの詳細、たとえばそのタスクが失敗した原因や対処方法などを表示できます。

失敗したタスクの詳細を表示するには、フィルタ基準を指定するか、「検索」ボタンをクリックします。

21.4.2.1 失敗した非同期タスクを表示する手順

1. 「診断ダッシュボード」のホーム・ページにログインします。詳細は、「診断ダッシュボードUIの起動」を参照してください。

2. 次のいずれかを実行して、失敗したタスクのリストを表示します。

- 「検索」をクリックして、失敗したタスクすべてのリストを表示します。

- 次のフィルタ基準に基づいて、失敗したタスクを検索します。

- タスク名: 失敗したタスクの名前を入力します。

- カテゴリ: 失敗したタスクのカテゴリを入力します。

- 間: データ範囲を指定します。

- 自動再試行がまだ一時停止中のタスクを表示しないようにするには、「再試行が残っている場合は除外」オプションを選択します。

フィルタ基準を指定したら、「検索」をクリックします。図21-1に示すように、失敗した非同期タスクのリストが表示されます。

図21-1 失敗した非同期タスク

「図21-1 失敗した非同期タスク」の説明

3. 「識別子」リンクをクリックし、失敗したタスクの詳細情報を表示します。このシナリオでは、222をクリックします。次の情報が表示されます。

- タスク名

- インスタンスID

- カテゴリ

- 最終実行時間

- 原因

- アクション

- スタック・トレース

21.4.3 失敗した非同期タスクの再試行

システム管理者は、特定の失敗タスクを診断ダッシュボードUIから直接再試行して、再試行の結果を表示できます。

21.4.3.1 失敗した非同期タスクを再試行する手順

1. 再試行する失敗タスクを検索します。詳細は、「失敗した非同期タスクを表示する手順」を参照してください。

2. 「再試行」リンクをクリックします。タスクの再試行ステータスが表示されます。次の詳細を指定します。

- 再試行ステータス

- タスク・サマリー

- スタック・トレース

- 原因

- 解決

21.4.4 失敗した非同期タスクの再送信

すべての失敗タスクは非同期キューに再送信されます。これらは後で非同期に実行されます。

失敗タスクを再送信するには、ResubmitAllをクリックします。

21.4.5 失敗した非同期タスクのパージ

失敗した非同期タスクが多数あるような状況も考えられます。システム管理者がタスクを再試行しても無駄だと感じる場合もあります。そのような状況では、失敗したタスクをパージできます。パージ処理により、失敗した非同期タスクがデータベースから削除されます。つまり、そのタスクは二度と再試行されません。

21.4.5.1 失敗した非同期タスクをパージする手順

1. 再試行する失敗タスクを検索します。詳細は、「失敗した非同期タスクを表示する手順」を参照してください。

2. 「PurgeAll」をクリックします。

22 Enterprise Managerを使用したOracle Identity Manager構成の管理

Oracle Identity Managerは構成ファイルをMDSに格納します。ほとんどの構成はMBeanとして公開されます。そのため、Enterprise Managerを使用して構成値を制御できます。次の各項で説明するように、場合によっては、ファイル一式をファイル・システムにエクスポートし、必要な変更を行い、それからリポジトリにインポートして戻す必要があります。

- MBeanを使用した構成変更

- 構成ファイルのエクスポートおよびインポート

22.1 MBeanを使用した構成変更

Mbeanを使用して構成設定を変更するには:

1. 管理サーバーと少なくとも1つのOracle Identity Manager管理対象サーバーが稼動している場合は、次の形式のURLを使用してOracle Enterprise Manager Fusion Middleware Controlにログインします。
http://ADMINSTRATION_SERVER:PORT/em

2. 「アイデンティティ」→「アクセス」→「OIM」に移動します。右クリックして「システムMBeanブラウザ」に移動します。

3. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→構成に移動します。
すべての構成ファイルはこの場所に格納されています。

22.2 構成ファイルのエクスポートおよびインポート

構成ファイルをエクスポートまたはインポートするには:

1. 管理サーバーと少なくとも1つのOracle Identity Manager管理対象サーバーが稼動している場合は、次の形式のURLを使用してOracle Enterprise Manager Fusion Middleware Controlにログインします。
http://ADMINSTRATION_SERVER:PORT/em

2. 「アイデンティティ」→「アクセス」→「OIM」に移動します。右クリックして「システムMBeanブラウザ」に移動します。

3. 「アプリケーション定義のMBeans」で、「oracle.mds.lcm」→「サーバー:oim_server1」→「アプリケーション:OIM」→「MDSAppRuntime」に移動します。

4. 構成ファイルをエクスポートするには:

1. 「操作」タブをクリックし、次にexportMetaDataをクリックします。

2. toLocationフィールドに、 /tmpまたは別のディレクトリの名前を入力します。

3. createSubDirにfalseを選択します。

4. docsフィールドに、完全なファイルの場所を要素として入力します。

5. excludeAllCust、excludeBaseDocs、excludeExtendedMetadataに対してもfalseを選択します。次に「起動」をクリックします。
これで、docsフィールドで指定されたファイルがtoLocationフィールドで指定されたディレクトリにエクスポートされます。

5. 構成ファイルをインポートするには:

1. importMetaDataをクリックします。

2. fromLocationフィールドに、/tmpまたは構成ファイルを含むディレクトリの名前を入力します。

3. createSubDirにfalseを選択します。

4. docsフィールドに、完全なファイルの場所を要素として入力します。たとえば/db/oim-config.xmlのようにします。

5. excludeAllCust、excludeBaseDocs、excludeExtendedMetadataに対してもfalseを選択します。次に「起動」をクリックします。
これで、docsフィールドで指定されたファイルがtoLocation フィールドで指定されたMDSにインポートされます。

23 ユーザーの言語の設定

Oracle Identity Manager 11g リリース2 (11.1.2)では、ユーザーのUI用の言語プリファレンスは、「セルフ・サービス」の「プリファレンス」セクションでユーザーが指定したロケールに応じて設定されません。ただし、このロケール・プリファレンスは、通知メッセージの言語の判断に使用されます。

UIロケールを判断するロジックでは、ブラウザのロケールを使用する前に、Fusion AppsやOracle Access Manager(OAM)などのログイン・ページを介したその他のロケール指定方法が優先されます。

Fusion Appsが存在する環境であれば、oracle.fusion.appsModeシステム・プロパティが内部的に使用され、自動的に設定されます。このプロパティの値に基づいて、ORA_FUSION_PREFS(内部的に設定および使用されます)と呼ばれるcookie内の適切な属性が使用され、ロケールが判断されます。

ユーザーのUIロケールを判断するために、内部的に次のロジックが使用されます。

1. oracle.fusion.appsModeシステム・プロパティが使用可能かどうかがチェックされます。

2. oracle.fusion.appsModeシステム・プロパティを使用できない場合、またはその値がfalseに設定されている場合は、preferredLanguage属性がチェックされます。この属性の値が、ユーザーのUIロケールになります。preferredLanguage属性は、ORA_FUSION_PREFS cookieの内部でチェックされます。

3. oracle.fusion.appsModeシステム・プロパティが使用可能で、その値がtrueに設定されている場合は、ORA_FUSION_PREFS cookie内でそのロケール属性がチェックされます。この属性の値が、ユーザーのUIロケールになります。

注意:

ORA_FUSION_PREFS cookieは、Oracle Identity Managerの内部的なものです。

4. ORA_FUSION_PREFS cookieが存在しない場合は、ブラウザの言語設定がチェックされます。ユーザーのUIロケールは、ブラウザの言語設定と同じになります。

注意:

前述のいずれでもロケール値が指定されていない場合は、サーバー設定がチェックされます。

24 診断ダッシュボードの使用

この章では、Oracle Identity Managerに同梱される診断ダッシュボードについて説明します。内容は次のとおりです。

- 24.1項「診断ダッシュボードの概要」

- 24.2項「診断ダッシュボードのインストール」

- 24.3項「診断ダッシュボードの起動」

- 24.4項「診断ダッシュボードの使用」

- 24.5項「診断ダッシュボードを使用したテストの実行」

24.1 診断ダッシュボードの概要

Oracle Identity Manager診断ダッシュボードとは、アプリケーション・サーバーで実行されるスタンドアロンWebアプリケーションのことです。この診断ツールを使用して、Oracle Identity Managerのインストール前およびインストール後の要件を検証します。

このツールを使用するには、アプリケーション・サーバーとOracle Identity Manager環境の適切なシステム管理者権限を持つ必要があります。データベース関連のテストの一部を実行するにはDBAレベルの権限が必要です。

注意:

診断ダッシュボードとOracle Identity Managerは、同一のアプリケーション・サーバーにインストールする必要があります。

24.2 診断ダッシュボードのインストール

診断ダッシュボード・ユーティリティは、Oracle Identity ManagerインストーラとともにインストールCD-ROMに収録されています。CD-ROMのDiagnostic DashboardディレクトリにEARファイルとして収録されています。

24.2.1 Oracle WebLogic Serverへの診断ダッシュボードのインストール

この項では、診断ダッシュボードをOracle WebLogic Serverにインストールするために実行する必要のある手順について説明します。

診断ダッシュボードをOracle WebLogic Serverにインストールするには:

1. Oracle WebLogic管理コンソールにログインします。

2. 左側のナビゲーション・ペインで、「デプロイメント」をクリックします。サーバーにデプロイされているすべてのアプリケーションがリストされます。

3. 「インストール」をクリックします。

4. EARファイルをデプロイする場所に移動します。通常、EARファイルは次のディレクトリに格納されています。
OIM_ORACLE_HOME/server/webapp/optional/

5. 「現在の場所」パネルからXIMDD.earを選択します。

6. 「ターゲット指定スタイルの選択」ページで、「次へ」をクリックします。

7. 「XIMDDに指定可能なターゲット」パネルからOimServer(Oracle Identity Managerサーバー)を選択し、「次へ」をクリックします。

8. 「終了」をクリックします。次のメッセージが表示されます。

All changes have been activated. No restarts are necessary.
The deployment has been successfully installed.

診断ダッシュボードには次の場所からアクセスできます。

http://OIM_server_host_ip:port/XIMDD

24.3 診断ダッシュボードの起動

診断ダッシュボードのデプロイ後、次のURL形式を使用してアクセスできます。

http://OIM_HOST:OIM_PORT/XIMDD

診断ダッシュボードに管理者権限でログインします。左メニュー・ペインの「診断ダッシュボード」リンクをクリックし、診断ダッシュボードのメイン・ページを表示します。

診断ダッシュボード・ユーティリティには、ツールがどのアプリケーション・サーバーにデプロイされているかが示されます。

24.4 診断ダッシュボードの使用

診断ダッシュボードのメイン画面には、次の表にリストするセクションが含まれます。

セクション

説明

アプリケーション・サーバー

アプリケーション・サーバーの名前が表示されます。

Oracle Identity Managerインストール

製品バージョン、ビルド番号、ホスト、製品の場所などのインストールの詳細が表示されます。

テストの詳細

テスト・パラメータ

テスト名とその説明が表示されます。

テストに必要なパラメータが表示されます。

テストを実行するには:

1. 診断ダッシュボードのメイン画面で、オプションを選択してテストを選択します。

2. 必要なパラメータを入力します。

3. 「検証」をクリックして、結果を確認します。
「診断ダッシュボード・テスト結果」画面に、次の表に示すステータス情報が表示されます。

テスト結果

説明

結果サマリー

選択されたすべてのテストが、結果を示すアイコン(合格／不合格)とともに表示されます。テスト名はWebリンクされており、結果の詳細に直接ジャンプできます。

テスト名

テスト名が表示されます。

説明

テストの説明が表示されます。

入力パラメータ

テストのパラメータが表示されます。

結果

テストの結果が表示されます。

詳細

テストの結果に関する詳細が表示されます。

4. 左ペインのメニューで「診断ダッシュボード」または「診断ダッシュボードに戻る」をクリックすると、前のテスト・ページに戻ります。

24.5 診断ダッシュボードを使用したテストの実行

次のテストは、それぞれ異なるアプリケーション・サーバーに使用できます。

- Oracle Databaseの前提条件チェック

- データベース接続性のチェック

- アカウント・ロックのステータス

- データ暗号化鍵の検証

- スケジューラ・サービスのステータス

- リモート・マネージャ・ステータス

- JMSメッセージ機能の検証

- ターゲット・システムのSSLトラストの検証

- Java VMシステム・プロパティのレポート

- Oracle Identity Managerのライブラリと拡張機能のバージョンのレポート

- Oracle Identity Managerのライブラリと拡張機能のマニフェストのレポート

- 基本接続性のテスト

- プロビジョニングのテスト

- リコンシリエーションのテスト

- SOA-OIM構成の確認。

- 診断情報のリクエスト

- 編成ステータス

- 失敗した編成の再試行

- SPML Webサービス

- OWSM設定のテスト

- OIMに対するSPMLリクエスト呼出しのテスト

- OIM属性に対するSPML属性

- ユーザー名テスト

- OIMおよびLDAPにおけるユーザー作成とロール作成の診断

- LDAP予約コンテナの診断

- リコンシリエーション・プロファイルの検証

- 通知構成テスト

24.5.1 Oracle Databaseの前提条件チェック

前提条件: このテストを実行するための前提条件は次のとおりです。

前提条件

説明

データベース・サーバー

データベース・サーバーの場所を入力します。

ポート

ポート番号を入力します。

データベース名

データベース名(SID)を入力します。

OIMデータベース・ユーザー名

Oracle Identity Managerデータベースのユーザー名を入力します。

システム・ユーザー名

システムのユーザー名を入力します。

システム・ユーザー・パスワード

システムのユーザー・パスワードを入力します。

説明: 指定されたOracle Databaseのインスタンスが、Oracle Identity Managerのインストールに必要な前提条件を満たしているかどうかを確認します。このテストにはSYSTEM権限が必要です。

結果: 次の情報が表示されます。

- ユーザーに必要な権限

- XAサポートが有効であること

- JVMが有効であること

- Oracleのバージョン情報

24.5.2 データベース接続性のチェック

前提条件: なし

説明: このテストは、Oracle Identity Managerがデータベースに接続可能かどうかを検証するために実行します。このテストは、データベース直接接続とJ2EEデータ・ソース(XA)を検証します。

結果: 次の情報が表示されます。

- データベース直接接続性

- XA実行

24.5.3 アカウント・ロックのステータス

前提条件: 次にこのテストを検証するための前提条件を示します。

前提条件

説明

ユーザー・ログイン

ユーザー名を入力します。

説明: Oracle Identity Managerは、無効なログインが複数連続して試行された場合、アカウントをロックします。このテストでは、指定したアカウントがロックされているかどうか確認します。

結果: データベース内のロックされているアカウントとロックされていないアカウントを確認します。

24.5.4 データ暗号化キーの検証

前提条件: なし

説明: Oracle Identity Managerインストールのデータ暗号化鍵は、Oracle Identity Managerデータベースのデータの暗号化に使用されるものと同じである必要があります。これは、別のOracle Identity Managerインストールに対して作成されたデータベース・スキーマにOracle Identity Managerインストールが参照される場合ではありません。あるOracle Identity Managerインストールからのデータベース・ダンプが、別のOracle Identity Managerインストールに対応する鍵をコピーせずにインポートされた場合に発生する場合があります。

結果: データベース・キーがOracle Identity Manager構成ディレクトリに存在するかどうかを確認します。

24.5.5 スケジューラ・サービスのステータス

前提条件: なし

説明: このサーバーで実行されているOracle Identity Managerスケジューラ・サービスのステータスを確認します。

結果: スケジューラ・サービスのステータスが表示されます。

24.5.6 Remote Managerのステータス

前提条件: なし

説明: このOracle Identity Managerのインストールが機能するようにすべて設定済であるRemote Managerのステータスをレポートします。

結果:Remote Managerのステータスが表示されます。

24.5.7 JMSメッセージ機能の検証

前提条件: なし

説明: このテストの目的は、Oracle Identity ManagerがJMSメッセージを送信し処理できることを検証することです。

結果: Oracle Identity ManagerがJMSメッセージを送信および処理できるかどうかが表示されます。

24.5.8 ターゲット・システムのSSLトラストの検証

前提条件: このテストを実行するための前提条件は次のとおりです。

前提条件

説明

ターゲット・システム

ホスト名を入力します。

ポート

ポート番号を入力します。

証明書ストアの場所

格納の場所を入力します。

証明書ストアのパスワード

格納のためのパスワードを入力します。

説明: 接続性がSSL経由の場合、Oracle Identity Managerはターゲット・システムの証明書を信頼するよう設定されている必要があります。ホスト名およびターゲット・システムがSSL接続用にリスニングしているコンピュータのポートを入力します。

結果: 次の情報が表示されます。

- 有効または無効なホストとポート・アドレス

- 信頼できる証明書

24.5.9 Java VMシステム・プロパティのレポート

前提条件: なし

説明: Java VMのシステム・プロパティすべてを表示します。

結果: Java VMのシステム・プロパティがすべて表示されます。

24.5.10 Oracle Identity Managerのライブラリと拡張機能のバージョンのレポート

前提条件: なし

説明: Oracle Identity Managerライブラリと拡張機能のバージョンをレポートします。

結果: Oracle Identity Managerライブラリと拡張機能のバージョンが表示されます。

24.5.11 Oracle Identity Managerのライブラリと拡張機能のマニフェストのレポート

前提条件: なし

説明: Oracle Identity Managerライブラリと拡張機能のマニフェスト情報をレポートします。

結果: Oracle Identity Managerライブラリと拡張機能のマニフェスト情報が表示されます。

24.5.12 基本接続性のテスト

前提条件: このテストを実行するための前提条件は次のとおりです。

前提条件

説明

ITリソース・タイプ名

ITリソース・タイプを入力します。

ITリソース・インスタンス名

ITリソース名を入力します。

説明: ターゲット・システム用のITリソースを使用して、ターゲット・システムへの接続をテストします。

注意:

事前定義済のコネクタをデプロイした際に、指定したITリソース・タイプが作成された場合は、Oracle Identity Manager Connector Packのリリース・ノートおよびドキュメントを参照し、このテストがデプロイしたコネクタのリリースに適用できるかどうかを確認します。

結果: 接続性テストの結果が表示されます。テストが失敗した場合は、エラーの原因も表示されます。

24.5.13 プロビジョニングのテスト

前提条件: このテストを実行するための前提条件は次のとおりです。

前提条件

説明

ITリソース・タイプ名

ITリソース・タイプを入力します。

ITリソース・インスタンス名

ITリソース名を入力します。

説明: ターゲット・システム上で基本的なユーザーの作成操作を実行します。

注意:

事前定義済のコネクタをデプロイした際に、指定したITリソース・タイプが作成された場合は、Oracle Identity Manager Connector Packのリリース・ノートおよびドキュメントを参照し、このテストがデプロイしたコネクタのリリースに適用できるかどうかを確認します。

結果:プロビジョニング・テストの結果が表示されます。テスト時にターゲット・システムで作成されたテスト・データは、テストの最後に削除されます。

24.5.14 リコンシリエーションのテスト

前提条件: このテストを実行するための前提条件は次のとおりです。

前提条件

説明

ITリソース・タイプ名

ITリソース・タイプを入力します。

ITリソース・インスタンス名

ITリソース名を入力します。

説明: ターゲット・システム上で基本的なリコンシリエーション操作を実行します。

注意:

事前定義済のコネクタをデプロイした際に、指定したITリソース・タイプが作成された場合は、Oracle Identity Manager Connector Packのリリース・ノートおよびドキュメントを参照し、このテストがデプロイしたコネクタのリリースに適用できるかどうかを確認します。

結果: リコンシリエーションのテストの結果が表示されます。テスト時にOracle Identity Managerでリコンサイルされたテスト・データは、テストの最後に削除されます。

24.5.15 SOA-Oracle Identity Managerの構成チェック

前提条件: なし

説明: SOA-ワイヤリング用に指定した詳細が有効かどうかを確認します。

結果: 次のテストのステータスを表示します。

1. Oracle Identity ManagerとのSOA接続の検証とSOAでのユーザーの認証

2. Oracle Identity Manager DBユーザーの認証と検索

24.5.16 診断情報のリクエスト

前提条件: このテストを実行するための前提条件は次のとおりです。

前提条件

説明

リクエストID

診断情報が必要なリクエストのIDを入力します。

説明: 編成IDおよび指定されたリクエストIDのコンポジット詳細を指定します。

結果: 次の情報が表示されます。

1. 指定されたリクエストIDに関連付けられた編成プロセスID

2. リクエストのコンポジット詳細と承認およびプロセス・タスクの詳細

24.5.17 編成ステータス

前提条件: このテストを実行するための前提条件は次のとおりです。

前提条件

説明

プロセスID

編成プロセスのIDを入力します。

説明: Oracle Identity Manager Kernelでの編成プロセスのステータスを指定します。そのプロセスに含まれるすべてのイベント・ハンドラに関する詳細およびステータスも指定します。

結果: 編成プロセスのステータスが、「失敗」、「完了」または「有効」として表示されます。

図24-1に、完了済でまだ保留中のイベントなど、編成プロセスのステータスを示します。

図24-1 編成ステータス・テストの出力例

「図24-1 編成ステータス・テストの出力例」の説明

24.5.18 失敗した編成の再試行

前提条件: このテストを実行するための前提条件は次のとおりです。

前提条件

説明

プロセスID

編成プロセスのIDを入力します。

説明: 指定された編成プロセスの失敗を処理する方法を指定するレスポンスを取得します。

結果: 失敗状態の編成プロセスが表示され、レスポンスに基づいて続けて再試行されます。

24.5.19 SPML Webサービス

前提条件: なし

説明: SPML WSDLがアクセス可能で、Webサービスが起動しており実行中であることを確認します。

結果: SPML WSDLファイルの内容が表示されます。

24.5.20 OWSM設定のテスト

前提条件: このテストを実行するための前提条件は次のとおりです。

前提条件

説明

SPMLユーザー名

SPMLリクエストの実行に使用されるユーザー名を入力します。

SPMLユーザー・パスワード

ユーザー・パスワードを入力します。

説明: OWSMヘッダー情報を持つリクエストを送信することによって、OWSM設定を確認します。また、OWSMヘッダー・セットを持つリクエストを送信することによって、有効なレスポンスが返されることも確認します。

結果: SPML Webサービスによってサポートされるターゲットが表示されます。

24.5.21 Oracle Identity Managerに対するSPMLリクエスト呼出しのテスト

前提条件: このテストを実行するための前提条件は次のとおりです。

前提条件

説明

SPMLユーザー名

SPMLリクエストの実行に使用されるユーザー名を入力します。

SPMLユーザー・パスワード

ユーザー・パスワードを入力します。

説明: Oracle Identity Managerに対するSPML WSはシグネチャ・ベースのログインです。Oracle Identity Managerリクエストをシミュレートすることによって、この機能が動作することを確認します。

結果: シグネチャ・ベースのログインが正常に機能しているかどうかが表示されます。

24.5.22 Oracle Identity Manager属性に対するSPML属性

前提条件: なし

説明: Oracle Identity Manager属性に対するSPML属性のマッピングをすべてリストします。これは管理者が設定が正しいかどうか確認するのに役立ちます。

結果: Oracle Identity Manager属性に対するSPML属性のマッピングを示す表が表示されます。

SPML属性名

Oracle Identity Manager属性名

Number Format

Number Format

localityName

Locality Name

countryName

Country

manager

User Manager

facsimileTelephoneNumber

Fax

generationQualifier

Generation Qualifier

street

Street

state

State

surname

Last Name

Embedded Help

Embedded Help

Territory

FA Territory

organizationUnit

LDAP Organization Unit

givenName

First Name

24.5.23 ユーザー名テスト

前提条件: なし

説明: Oracle Identity Managerで定義された既存のユーザー名生成ポリシーをリストします。

結果: ポリシー名が表示されます。

24.5.24 Oracle Identity ManagerおよびLDAPにおけるユーザー作成とロール作成の診断

前提条件: このテストを実行するための前提条件は次のとおりです。

前提条件

説明

SPMLユーザー名

SPMLリクエストの実行に使用されるユーザー名を入力します。

SPMLユーザー・パスワード

ユーザー・パスワードを入力します。

説明: ユーザー作成およびロール作成が、個別にLDAPおよびOracle Identity Managerで正常に動作していることを検証します。

結果: ユーザー作成およびロール作成がOracle Identity ManagerおよびLDAPで正常に行われたかどうかを指定するステータスが表示されます。

24.5.25 LDAP予約コンテナの診断

前提条件: なし

説明: Oracle Identity Manager構成ファイルには予約コンテナのツリー構造が含まれます。このテストでは、設定時に予約コンテナが作成されたことを検証します。

結果: 予約コンテナが正しく作成されたかどうかが表示されます。

24.5.26 リコンシリエーション・プロファイルの検証

前提条件: なし

説明: リコンシリエーション・プロファイルXMLファイルを検証します。

結果: 検証が失敗した場合、検証ステータスと検証例外とともにプロファイルXMLデータを表示します。

24.5.27 通知構成テスト

前提条件: 指定されたユーザーIDがOracle Identity Managerで有効であり、ユーザーには有効な電子メールIDがあることを確認します。

説明: このサーバーで実行されているOracle Identity Manager通知サービスをテストします。

結果: UMSEmailServiceProvide、SOAEmailServiceProvider、EmailServiceProviderなどの各通知プロバイダのステータスを表示します。

25 診断の有効化

IdM診断ツールとは、次のタスクを実行することを目的としたスタンドアロン診断ツールです。

- アイデンティティ管理デプロイメントにおける問題の識別

- アプリケーション問題を解決する修正の提案

- 診断テストの実行および詳細な診断レポートの収集

- Oracleサポートや開発チームの支援、分析の実行およびアプリケーション問題のトラブルシューティング

この章では、Oracle Identity Managerでの、動的構成に関連するテスト・ケースのための診断の有効化について詳しく説明します。動的構成は、実行時に構成に対して行われた変更に関連しており、問題の発生時に静的構成診断テストによって検出することは容易ではありません。また、動的な問題はOracle Identity Managerの実行中に発生します。

Oracle Identity Managerにおける診断の有効化および動的構成に関連するテスト・ケースについては、次の各項で説明します。

- Oracle Identity Managerにおける診断の有効化

- 動的構成に関連する問題のトラブルシューティング

25.1 Oracle Identity Managerにおける診断の有効化

Oracle Identity Managerでは、実行時に診断を有効化できます。これを行うには、次のようにします。

1. Oracle Identity System Administrationにログインして、「拡張コンソール」に移動します。

2. 次の詳細を使用して、システム・プロパティを作成します。

- プロパティ名: OIM Diagnostic Enabled

- キーワード: OIM.DiagnosticEnabled

- 値: True

デバッグの目的でOracle Identity Managerの診断を有効にするには、OIM Diagnostic Enabledシステム・プロパティを設定する必要があります。診断を有効化するには、このプロパティの値をTRUEに設定します。この値がFALSEに設定されているか、またはプロパティが欠落している場合、診断は無効化されます。システム・プロパティの作成の詳細は、「システム・プロパティの作成と管理」を参照してください。

3. 診断関連ロギング用のロガーを追加します。これを行うには、次のようにします。

1. アプリケーション・サーバーのDOMAIN_NAME/config/fmwconfig/servers/SERVER_NAME/logging.xmlファイルに、新しいログ・ハンドラを次のように追加します。

注意:

ここで、DOMAIN_NAMEとSERVER_NAMEは、それぞれOracle Identity Managerのインストール時に指定されたドメイン名とサーバー名です。

<log_handler name='ldap-diagnostic-handler' class='oracle.core.ojdl.logging.ODLHandlerFactory' level='TRACE:16'>
<property name='logreader:' value='off'/>
<property name='path' value='${domain.home}/servers/${weblogic.Name}/logs/ldapsync-diagnostic.log'/>
<property name='format' value='ODL-Text'/>
<property name='useThreadName' value='false'/>
<property name='locale' value='en'/>
<property name='maxFileSize' value='5242880'/>
<property name='maxLogSize' value='52428800'/>
<property name='encoding' value='UTF-8'/>
</log_handler>

注意:

- pathプロパティの値を別の場所に変更できます。

- ロガーの構成の詳細は、「ログ・ハンドラとロガーの構成」および「ログ・ハンドラの構成」を参照してください。

2. 次に示すように、新規ロガーを追加します。

注意:

handler name属性の値がステップ3aと同じであることを確認します。

<logger name='oracle.iam.ldapsync.diagnostic.logger' level='TRACE:16' useParentHandlers='false'>
<handler name="ldap-diagnostic-handler"/>
</logger>

3. logging.xmlファイルを保存します。

注意:

新規ロガーを有効にするために、Oracle Identity Managerの再起動は必要ありません。

25.2 動的構成に関連する問題のトラブルシューティング

この項では、次の動的構成に関連する問題およびトラブルシューティングの手順について説明します。

- 一貫性のない状態におけるOracle Identity Managerおよびアイデンティティ・ストアのロール

- 問題の原因となるoamEnabledフラグの有効化後処理

- LDAPContainerRules.xmlで定義されたLDAPコンテナのランタイム評価

25.2.1 一貫性のない状態におけるOracle Identity Managerおよびアイデンティティ・ストアのロール

Oracle Identity Managerデータベースおよびアイデンティティ・ストアのロール(Oracle Internet Directory (OID)、Microsoft Active Directory (AD)、Oracle Directory Server Enterprise Edition (ODSSE)など)は、予期しない動作を引き起こす一貫性のない状態になる可能性があります。

プロビジョニング・プロセスの一環として、ロールなどの一部のデータがバックエンド・ディレクトリ・サーバー(OIDなど)に移入されます。これらのロールは、Oracle Identity ManagerとOIDがロールに関して同期化されるよう、スケジュール済ジョブによってOracle Identity Managerにリコンサイルされます。表25-1に示すように、Oracle Identity Managerを一貫性のない状態にする操作セットには様々なものが考えられます。

表25-1 一貫性のないロールのトラブルシューティング

問題

解決策

次の操作が実行されます。

1. ロールがプロビジョニング、バルク・ロード・ユーティリティまたはLDAP Data Interchange Format (LDIF)ファイルを実行する一環として、バックエンドのアイデンティティ・ストアにシードされます。

2. スケジュール済タスクが実行され、ロールが変更ログ・エントリに基づいてOracle Identity Managerにリコンサイルされます。Oracle Identity Managerとバックエンドのアイデンティティ・ストアのロールが同期化されます。

3. Oracle Identity Managerで、ロールの一部が一部のユーザーに割り当てられます。これにより、ユーザーとロールの参照整合性が作成されます。

4. シード・ロールはOracle Directory Services Manager (ODSM)、LDAPブラウザ、LDIFファイルのいずれかを使用して、バックエンドのアイデンティティ・ストアから手動で削除されます。

5. スケジュール済タスクの次の実行時に削除リコンシリエーション・イベントがトリガーされ、対応するロールをOracle Identity Managerから削除することが必要になります。

6. ロールに依存性があるため、削除リコンシリエーション・イベントはOracle Identity Managerで失敗し、これにより、ロールはOracle Identity Managerから削除されません。

7. 新しいロールがバックエンドでシードされます。新しいロールが別のコンテナの下に作成されます。そのため、このロールのDNおよびGUIDは異なります。

8. LDAPContainerRulesで指定されたルールが適切な場合、DNとGUIDが異なる新しいロールは、Oracle Identity Managerの異なるネームスペースにリコンサイルされます。この結果、表示名が同じであるもののネームスペースおよびGUIDが異なる2つのロールが存在することになります。したがって、Oracle Identity Managerとバックエンドのアイデンティティ・ストアは一貫性のない状態となります。

9. バックエンドのエイデンティティ・ストアに存在しないロールをユーザーに割り当てようとすると、このロールがバックエンドのアイデンティティ・ストアには存在しないことを示すエラーが発生します。

この問題を修正するには:

1. エラーの根本原因を識別します(サブテストをいくつか実行する場合があります)。

2. 診断ログでデータを分析します。

3. 診断ログで推奨されるいずれかのアクションを実行します。

4. 現在の操作について一貫性のないデータ、および同期化されていないロールが他にも存在する場合には関連する一貫性のないすべてのデータを識別します。

次の操作が実行されます。

1. ロールはプロビジョニング、バルク・ロード・ユーティリティまたはLDIFファイルを実行する一環として、バックエンドのアイデンティティ・ストアにシードされます。

2. スケジュール済タスクが実行され、ロールが変更ログ・エントリに基づいてOracle Identity Managerにリコンサイルされます。Oracle Identity Managerとバックエンドのアイデンティティ・ストアのロールが同期化されます。

3. バックエンドのアイデンティティ・ストア管理者は、Oracle Virtual Directory (OVD)構成のリモート・ベースを別のコンテナに変更します。OVD構成での変更が原因で、名前が同じであるものDNおよびGUIDが異なる別のロールが、新しいコンテナの下に存在する可能性があります。

4. 新しいロールDNに新しいネームスペースを追加するために、LDAPContainerRulesも変更されます。

5. リコンシリエーション後、名前が同じであるもののDNやGUIDが異なるロールがOracle Identity Managerに追加されます。これにより、リモート・ベースの変更が原因で元のロールをアイデンティティ・ストアにマップして戻すことができないため、Oracle Identity Managerで一貫性のない状態が発生します。

この問題を修正するには:

1. エラーの根本原因を識別します(サブテストをいくつか実行する場合があります)。

2. 診断ログでデータを分析します。

3. 診断ログで推奨されるいずれかのアクションを実行します。

4. 現在の操作について一貫性のないデータ、および同期化されていないロールが他にも存在する場合には関連する一貫性のないすべてのデータを識別します。

25.2.2 問題の原因となるoamEnabledフラグの有効化後処理

ユーザー・プロビジョニングの完了後にOVD構成のoamEnabledフラグが設定される場合、プロビジョニングされたユーザーには「パスワードのリセット」ページが表示されません。

Oracle Identity ManagerおよびOracle Access Manager (OAM)の構成後、oamEnabledフラグがtrueになるようOVDアダプタを構成する必要があります。OVDアダプタでの適切なOblix属性の設定は、このフラグに依存します。この設定を失敗すると、「パスワードのリセット」ページが最初の想定どおりに表示されません。このことは、プロビジョニングされたユーザー・エントリにObPasswordChangeFlag属性が欠落しているために発生します。この状況は、次の手順を実行した場合に発生します。

1. ユーザーがOracle Identity Managerにプロビジョニングされ、LDAP同期によってバックエンドのアイデンティティ・ストア(OIDなど)でも作成されます。

2. ユーザーが割り当てられた一時パスワードを使用して、保護されたリソースに始めてアクセスを試行します。
ユーザーは、oamEnabledフラグに基づき、OAMによってOracle Identity Managerの「パスワードのリセット」ページにリダイレクトされます。フラグが設定されていないため、かわりにユーザーは保護されているリソースへのアクセスが許可されます。

3. OVD管理者がOVDアダプタのoamEnabledフラグをtrueに設定します。

4. ユーザーが「セルフ・サービス」ページからパスワードのリセットを試行します。次のようなエラーが表示されます。

LDAP: error code 65 - Failed to find orclpwdexpirationdate in mandatory or optional attribute list.

この問題のトラブルシューティングを行うには、次の手順を実行します。

1. すべてのOblix関連クラスがバックエンドのアイデンティティ・ストアでロードされていることを確認します。

2. 必要なオブジェクト・クラスおよび属性を既存のユーザー・エントリに追加します。

25.2.3 LDAPContainerRules.xmlで定義されたLDAPコンテナのランタイム評価

LDAP同期がOracle Identity Managerで有効化されている場合、エントリ(ユーザーおよびロール)が作成されるLDAPコンテナが、LDAPContainerRules.xmlで定義されているルールに基づいて決定されます。LDAPContainerRules.xmlで定義されるコンテナ評価のタイプは、次のとおりです。

関連項目:

LDAPコンテナ・ルールの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のLDAPコンテナ・ルールの構成に関する説明を参照してください。

- 静的: 次に示すように、静的コンテナは事前定義されており、パラメータ置換は行われません。

"<container>cn=Groups,dc=us,dc=oracle,dc=com</container>"

- 動的: 次に示すように、動的コンテナは事前定義することができず、パラメータ置換の後、実行時に評価されます。

<container>cn=FusionGroups,cn=$Role
Description$,dc=us,dc=oracle,dc=com</container>

動的コンテナの場合、$Role Descriptionの値を置換するときに、エントリ作成のためのコンテナが決まります。また、式やコンテナ要素がそれぞれ異なるよう定義されたルール要素が、1つ以上存在する場合があります。渡されたパラメータが指定されたルールの式を満たしている場合、パラメータ値の置換後、対応するコンテナが実行時に評価されます。そのため、コンテナDNの優先度を決定することはできません。これにより、評価されたコンテナ値が存在しないため、エンティティ作成(ユーザーやロール)が失敗した場合の問題分析が困難になることがよくあります。診断が有効化されていると、コンテナのランタイム評価が実行され、さらに、指定されたルールのRDNに基づいて使用可能なコンテナ値がリストされます。たとえば、LDAPContainerRules.xmlで定義された次のルールを考えてみます。

<rule>
<expression>Role Description=*</expression>
<container>cn=FusionGroups,cn=$Role Description$,dc=us,dc=oracle,dc=com</container>
<description>$Role Description$</description>
</rule>

<expression>要素にRole Description=*が含まれているため、<container>要素のcn=$Role Description$の値が、ロール作成時にロール説明として渡されたパラメータに対して評価されます。

作成中のロールのロール説明がTemporary Adminである場合、この値はRole Description=*式に当てはめられ、コンテナの値はcn=FusionGroups,cn=Temporary Admin,dc=us,dc=oracle,dc=comとなります。

cn=FusionGroups,cn=Temporary Admin,dc=us,dc=oracle,dc=comコンテナがバックエンド・ディレクトリ・サーバー(OIDなど)に存在しない場合、診断により、この情報が構成されているログ・ファイルに記録されます。また、診断により、構成されたバックエンド・ディレクトリ・サーバー内の使用可能なLDAPコンテナすべてのRDN (cn=FusionGroups)について検索が実行され、ログに記録されます。これは、使用可能なコンテナの調査に役立ちます。

26 エラーの処理

低速なデータベース接続により、次のエラー・メッセージが出力される場合があります。

<Error> <oracle.iam.oimdataproviders.impl>
<BEA-000000> <java.sql.SQLException: Internal error: Cannot obtain
XAConnection weblogic.common.resourcepool.ResourceDisabledException: Pool
oimOperationsDB is Suspended, cannot allocate resources to applications..
oracle.iam.platform.entitymgr.vo.ConnectivityException:

このようなエラー・メッセージが出力された場合、次の手順を実行します。

1. DOMAIN_HOME\bin\setSOADomainEnv.cmdファイルを開きます。

2. 次の行を非コメント化します。

EXTRA_JAVA_PROPERTIES="${EXTRA_JAVA_PROPERTIES}
-Dweblogic.resourcepool.max_test_wait_secs=30"
export EXTRA_JAVA_PROPERTIES

3. 変更内容を保存してから、Oracle Identity Managerの管理対象Oracle WebLogicサーバーを再起動します。

第IX部

その他のコンポーネント

この部では、Oracle Identity Manager管理者のための多数の追加機能について説明します。

次の章で構成されます。

- 第27章「Remote Managerのインストールと構成」

- 第28章「フォームのバージョン・コントロール・ユーティリティの使用」

- 第29章「サーバーの開始と停止」

- 第30章「セキュアなCookieの有効化」

- 第31章「他のOracleコンポーネントとの統合」

- 第32章「ライフサイクル管理の変更処理」

- 第33章「アイデンティティおよびリソース情報の管理」

- 第34章「デプロイメントの保護」

27 Remote Managerのインストールと構成

この章では、次のトピックでRemote Managerを構成する方法について説明します。

- Remote Managerの構成の概要

- Remote Managerの構成

- Remote Managerの停止と起動

- Remote Managerのトラブルシューティング

27.1 Remote Managerの構成の概要

リコンシリエーションおよびプロビジョニング処理の実行中、Oracle Identity Managerはビジネス操作を実行するターゲットと通信する必要があります。そのために、Oracle Identity Managerはプロビジョニングおよびリコンシリエーションの際にターゲットのAPIを使用してターゲットと直接通信します。ただし、Oracle Identity Managerは次のようなインスタンスではターゲットと直接通信できません。

- ターゲットがファイアウォールの背後にあり、ターゲットの通信ポートが公開されていない。

- ターゲットにネットワークを介して呼び出せるAPIが存在しない。

- ターゲットのAPIを安全な接続を介して呼び出せない。

これらのインスタンスでは、ターゲット・システムと直接通信せずに、プロキシのように動作するOracle Identity Managerコンポーネントを使用する必要があります。このコンポーネントは、Remote Managerと呼ばれます。

Remote Managerは、次の目的で使用します。

- Oracle Identity Managerを通じた非リモート・ターゲットAPIの呼出し

- 安全なチャネルを介したSSLをサポートしていないターゲットAPIの呼出し

27.2 Remote Managerの構成

Remote Managerの構成は、次の手順で構成されます。

1. Remote Managerをインストールします。Remote Managerのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』を参照してください。

2. Remote ManagerとOracle Identity Managerの信頼関係を確立します。詳細は、「信頼関係の追加」および「独自の証明書を使用したRemote Managerの構成」を参照してください。

3. Remote Managerをテストします。詳細は、「Remote Managerの接続のテスト」を参照してください。

この項の内容は次のとおりです。

- 信頼関係の追加

- 独自の証明書を使用したRemote Managerの構成

- Remote Managerの接続のテスト

- Remote Managerのポート変更のためのxlconfig.xmlファイルの更新

27.2.1 信頼関係の追加

Remote ManagerとOracle Identity ManagerはSSLを使用して通信します。Oracle Identity ManagerとRemote Managerの信頼関係を有効にする必要があります。

Oracle Identity Managerでは、Remote Managerの証明書を信頼する必要があります。このためには、Remote Managerの証明書をOracle Identity Managerキーストアにインポートし、信頼できる証明書として設定する必要があります。

必要であれば、クライアント側認証を有効にすることもできます(これにより、Remote Managerがサーバーの証明書を信頼します)。クライアント側認証では、Oracle Identity Managerの証明書をRemote Managerのキーストアにインポートして、信頼できる証明書として設定します。

場合によっては、Oracle Identity ManagerおよびRemote Managerに関連付けられた構成ファイル(xlconfig.xml)を手動で編集する必要があります。

次の手順を実行して、アプリケーション・サーバーとRemote Managerの間の信頼関係が証明書を通じて確立されていることを確認します。keytoolユーティリティを使用して証明書をインポートおよびエクスポートします。

1. コマンド・プロンプトを使用してXLREMOTE_HOMEディレクトリに移動し、keytoolユーティリティを使用して証明書のフィンガープリントのリストを表示します。

2. 次のコマンドを入力します。

$JAVA_HOME/jre/bin/keytool -list -keystore ./config/default-keystore.jks

注意:

Oracle Identity Managerのキーストアはdefault-keystore.jksと呼ばれます。Oracle Identity Managerでは、キーストアは$DOMAIN_HOME/config/fmwconfig/ディレクトリにあります。

Remote Managerでは、キーストアは$XLREMOTE_HOME/config/ディレクトリにあります。キーストア名はdefault-keystore.jksです。

この手順で示すkeytoolコマンドの実行時に、キーストアのデフォルトのパスワードを入力するように要求されます。キーストアのパスワードを入力すると、次のように、キーストアのエントリが証明書のフィンガープリント(MD5ハッシュ)とともに表示されます。

Enter the default password for xellerate keystore: KEYSTORE_PASSWORD
Your keystore contains 1 entry
xell, Jan 7, 2005, keyEntry,
Certificate fingerprint (MD5):
B0:F2:33:C8:69:E4:25:A3:CB:59:E8:51:27:EE:5C:52

証明書のフィンガープリントは、太字で表示されています。これは、キーストアの証明書を一意に識別するために使用されます。

3. Oracle Identity ManagerとRemote Managerの信頼関係を確立するには、次の手順を実行します。

1. Remote Managerの証明書をサーバー・コンピュータにコピーします。Remote ManagerのコンピュータにあるXLREMOTE_HOME/xlremote/config/xlserver.certファイルを、サーバーのコンピュータにコピーします。

2. サーバー・コンピュータでコマンド・プロンプトを開きます。

3. keytoolユーティリティを使用して証明書をインポートするには、次のコマンドを使用します。

$JAVA_HOME\jre\bin\keytool -import -alias rm_trusted_cert -file RM_CERT_LOCATION\xlserver.cert -trustcacerts -keystore $DOMAIN_HOME\config\fmwconfig\default-keystore.jks -storepass KEYSTORE_PASSWORD

JAVA_HOMEはアプリケーション・サーバーのJavaディレクトリの場所、エイリアスの値はストアの証明書に対する名前、RM_CERT_LOCATIONは証明書をコピーする場所です。

4. プロンプトでYを入力して、証明書を信頼するようにします。

5. Remote Managerのコンピュータで、テキスト・エディタを使用して$XLREMOTE_HOME/xlremote/config/xlconfig.xmlファイルを開きます。

6. <RMIOverSSL>プロパティを探し、次のように値がtrueに設定されていることを確認します。

<RMIOverSSL>true</RMIOverSSL>

7. <KeyManagerFactory>プロパティを探します。IBM JREを使用する場合は値をIBMX509に設定します。次に例を示します。

<KeyManagerFactory>IBMX509</KeyManagerFactory>

その他のすべてのJREの場合は値をSUNX509に設定します。次に例を示します。

<KeyManagerFactory>SUNX509</KeyManagerFactory>

8. ファイルを保存します。

注意:

OIM_HOMEにあるサーバー証明書も、名前がxlserver.certです。その証明書を上書きしないようにしてください。

9. Oracle Identity Managerを再起動します。

27.2.2 独自の証明書を使用したRemote Managerの構成

Remote Managerをインストールするときに、インストーラによってキーペアと証明書が、キー・パスワード、証明書の有効期間、CNなどのデフォルトのパラメータとともに生成されます。ただし、ビジネスのセキュリティ要件のため、一部のパラメータを変更することが必要になる場合があります。この場合は、インストールされているデフォルトの証明書のかわりに、キーペアと証明書を生成して使用する必要があります。

Remote Managerサーバーで独自の証明書を使用してRemote Managerを構成するには、次の手順を実行します。

注意:

この項の手順は、デフォルトのOracle Identity Managerの証明書のかわりに独自の証明書を使用する場合のみ実行してください。その他の場合、この項は実行しません。

1. 新しいカスタム・キーストアおよび証明書を生成します。生成するには、次の例のように、keytoolユーティリティを使用します。

keytool-genkeypair -keystore test.jks -alias rmcert -storepass welcome1 -keyalg DSA -keysize 1024 -dname "CN=TestUser, OU=fmw, O=Oracle, C=US" -keypass PASSWORD -validity 3650

新しいキーストアに使用するパスワードを忘れないようにしてください。

2. この新しいキーストアを$XLREMOTE_HOME/config/ディレクトリにコピーします。

3. テキスト・エディタで、$REMOTE_MANAGER/config/xlconfig.xmlファイルを開きます。

4. <RMSecurity>タグを探し、<Location>タグと<Password>タグの値を次のように変更します。

- IBM JREを使用している場合は、値を次のように変更します。

<KeyStore>
<Location>new_keystore_name</Location>
<Password encrypted="false">new_keystore_pwd</Password>
<Type>JKS</Type>
<Provider>com.ibm.crypto.provider.IBMJCE</Provider>
</KeyStore>

- その他すべてのJREでは、値を次のように変更します。

<KeyStore>
<Location>new_keystore_name</Location>
<Password encrypted="false">new_keystore_pwd</Password>
<Type>JKS</Type>
<Provider>sun.security.provider.Sun</Provider>
</KeyStore>

5. Remote Managerサーバーを再起動し、xlconfig.xmlファイルを再び開いて新しいキーストアのパスワードが暗号化されていることを確認します。

Oracle Identity Managerで独自の証明書を使用してRemote Managerを構成するには、次の手順を実行します。

1. 次の例のように、Remote Managerコンピュータ上の新たに作成されたキーストアから証明書をエクスポートします。

keytool-export -keystore test.jks -storepass welcome1 -alias rmcert -file test.cer

2. この新しい証明書ファイルを$DOMAIN_HOME/config/fmwconfig/ディレクトリにコピーします。

3. 次の例のように、証明書をdefault-keystore.jksにインポートします。

keytool-import -keystore test.jks -storepass welcome1 -alias test_alias -file test.cer -trustcacerts

4. 「Remote Managerの接続のテスト」の説明に従って、Remote ManagerとOracle Identity Manager間の接続が確立されていることを確認します。

27.2.3 Remote Managerの接続のテスト

Remote ManagerとOracle Identity Manager間の接続が確立されていることをテストするには、次の手順を実行します。

1. Design Consoleにログインします。

2. 「リモート・マネージャ」フォームを開きます。このフォームには、次のものが表示されます。

- Oracle Identity Managerと通信するRemote Managerの名前とIPアドレス

- Remote Managerが実行されているかどうか

- Remote Managerが、Oracle Identity Managerで使用可能なITリソースであるかどうか

関連項目:

「リモート・マネージャ」フォームの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のリモート・マネージャ・フォームに関する説明を参照してください。

3. 構成したRemote Managerサービスの「実行中」および「ITリソース」列のチェック・ボックスが選択されていることを確認します。これにより、Remote Managerが実行中であり、Oracle Identity Managerで使用可能なITリソースであることを確認できます。

27.2.4 Remote Managerのポート変更のためのxlconfig.xmlファイルの更新

Remote Managerの構成時には、Remote Managerのポート変更は必要ありません。これは、製品の使用中にポートの変更が必要になった場合に、必要になります。

xlconfig.xmlファイルを更新して、インストール時に設定されたものとは別の新しいポートでRemote Managerを起動するには、次の手順を実行します。

1. テキスト・エディタで、$XLREMOTE_HOME/xlremote/config/xlconfig.xmlファイルを開きます。

2. 次のタグを編集し、ポート番号を変更します。

- RMSecurityの下にあるListenPort(Remote Manager SSLリスニング・ポート用)

- RMSecurityにあるRMIRegistryPort(RMIレジストリ用)

3. Remote Managerを再起動します。詳細は、「Remote Managerの停止と起動」を参照してください。

27.3 Remote Managerの停止と起動

Remote Managerを停止するには、Remote Managerが起動されたコンソールに移動し、[Ctrl]キーを押しながら[C]キーを押します。Remote Managerは、このシグナルで停止するコマンドライン・アプリケーションです。

Remote Managerを起動するには、次のスクリプトを実行します。

UNIXの場合:

$XLREMOTE_HOME/xlremote/remotemanager.sh

Microsoft Windowsの場合:

$XLREMOTE_HOME\xlremote\remotemanager.bat

27.4 Remote Managerのトラブルシューティング

表27-1に、Remote Managerに問題が発生した場合に実行できるトラブルシューティングの手順を示します。

表27-1 Remote Managerのトラブルシューティング

問題

解決策

証明書の信頼問題が発生します。

Remote Managerの証明書がOracle Identity Manager側で信頼されていることを確認します。

Remote Managerの証明書の有効期限が切れていないことを確認します。

Oracle Identity Managerのホスト上でRemote Managerポートが正しく構成されていることを確認します。つまり、Oracle Identity Managerのホスト上で構成されているポートは、Remote Managerの構成と同じポートである必要があります。

xlconfig.xmlファイル内のRemote Managerの構成(キーストアの場所、エイリアス、パスワード、キー・パスワードなど)、およびoim-config.xmlファイル内のOracle Identity Managerホストの構成が正しいことを確認します。

クライアント認証が設定されている場合は、Remote Managerで正しいサーバー証明書が信頼されていることを確認します。

証明書の信頼問題を解決するすべての条件を確認した後、Remote ManagerとOracle Identity Manager間の通信時に障害が発生します。

次のフラグを渡して、Oracle Identity ManagerとRemote Managerを再起動します。

-Djavax.net.debug={all|ssl}

このフラグをオンにすると、SSL/TLSハンドシェイクに関連するすべての情報がログに記録されます。ここで、allではすべてのデバッグがオンになり、sslではSSLのデバッグがオンになります。

注意: このフラグはデバッグの目的でのみ使用します。オンにした場合、大量の情報がログにダンプされます。

Remote Managerの接続が失敗します。

Oracle Identity ManagerとRemote Manager間に、特定のポートでTCPトラフィックをブロックしているファイアウォールがないことを確認します。そのためには、Remote ManagerポートでOracle Identity ManagerホストからRemote Managerホストにtelnetで接続します。

Remote Managerによるプロビジョニングが失敗します。

アダプタJARファイル(通常は、$OIM_HOME/JavaTasks/ディレクトリまたはデータベース内になります)が、JavaTasks/ディレクトリのRemote Managerホストにコピーされていることを確認します。

ターゲットAPIを呼び出すために、通常のアダプタはJavaタスクを使用するのに対し、Remote Managerベースのアダプタはリモート・タスクを使用することを確認します。

Remote Managerベースのコネクタについて次のことを確認します。

- Remote ManagerのITリソースを定義します。

- 通常のITリソース上のRemote ManagerフィールドでRemote Manager ITリソースを設定します(ターゲットの接続性情報を含む)。

28 フォーム・バージョン制御ユーティリティの使用方法

OIMユーザーのアカウント・データを保持するために、プロセス・フォームおよび子フォームが使用されます。フォームは、フォーム上のフィールドを追加、変更または削除することによってアップグレードできます。たとえば、アップグレード操作の一部として、「入社日」フィールドを追加し、フォームから出生国フィールドを削除できます。さらに、親フォームから子フォームにフィールドを移動できます。Oracle Identity Managerフォーム・バージョン制御(FVC)ユーティリティを使用すると、フォームのアップグレード操作後にフォーム・データの変更を簡単に管理できます。

FVCユーティリティは、Oracle Identity Managerデータベース上で直接機能するコマンドライン・ユーティリティです。Oracle Identity Manager Design Consoleをインストールする場合、このユーティリティはOIM_DC_HOMEディレクトリにあります。このユーティリティで実行する必要があるフォーム・データの更新を指定するには、プロパティ・ファイルを使用します。

このユーティリティは、プロビジョニング・プロセス・フォームおよびその関連子フォームでのフィールド・マッピングとデータ更新をサポートしています。

注意:

FVCユーティリティでは、次の機能は実行できません。

- オブジェクト・フォームでのデータ更新の管理

- フォーム間での行の移動

さらに、リリース間でフォーム関連の変更がない場合は、FVCユーティリティを実行する必要はありません。

この章の内容は次のとおりです。

- FVCユーティリティでサポートされているユースケース

- FVCユーティリティでサポートされていないユースケース

- フォーム・バージョン制御プロセスのサマリー

- FVCユーティリティのコンポーネント

- FVCユーティリティの使用

- トラブルシューティング

28.1 FVCユーティリティでサポートされているユースケース

FVCユーティリティを使用すると、単一の実行で次のフォーム変更に対応するフォーム・データの更新を管理できます。

関連項目:

フォーム・データの処理を開始する前にユーティリティによって実行される検証の詳細は、「フォーム・バージョン制御プロセスのサマリー」を参照してください。

- 親フォームのフィールド名が変更される場合。

- 子フォームのフィールド名が変更される場合。

- フィールドが親フォームから子フォームに移動される場合。

- フィールドが親フォームから親フォームに移動される場合。

- フィールドが子フォームから親フォームに移動される場合。このシナリオは、子フォームに単一のレコードが含まれている場合にのみサポートされます。

- フィールドが子フォームから、同じ親フォームの別の子フォームに移動される場合。このシナリオは、移動元の子フォームに単一のレコードが含まれている場合にのみサポートされます。

- フィールドが子フォームから、同じ親フォームの別の子フォームに移動される場合。このシナリオは、子フォームに単一のレコードが含まれている場合にのみサポートされます。

- フィールドが子フォームから親フォームに移動され、移動されるフィールドのデータ型が、親フォームで「参照フィールド」または「コンボ・ボックス」型から「チェック・ボックス」型に変更される場合。

- 前述のいずれかのユースケースで、親フォームのフィールドのデータ型が「参照フィールド」または「コンボ・ボックス」型から「チェック・ボックス」型に変更される場合。

- 前述のいずれかのユースケースで、フィールド名の大文字と小文字が変更される場合。たとえば、フィールド名がMyFieldからmyfieldに変更される場合。

- フィールドのデータ型が「参照フィールド」または「コンボ・ボックス」型から「チェック・ボックス」型に変更され、フォームに対してそれ以外の変更は行われない場合。

- 特定のOIMユーザーについて、USR表のユーザー・レコードのステータスがDeletedでない場合にのみ、ユーティリティでアカウント・データの更新が続行される場合。
USR表のステータスがDeletedでないOIMユーザーについて、アカウントのステータスがRevokedでない場合にのみ、ユーティリティでUD_表のアカウント・データが更新される場合。

28.2 FVCユーティリティでサポートされていないユースケース

次のシナリオでは、FVCユーティリティを使用してフォーム・データを更新できません。

- フィールドが複数のプロセス(親)フォームにわたって変更される場合。

- フィールドが同じフォームの複数のフィールドにマップされる場合。

- フィールドが異なる子フォームの複数のフィールドにマップされる場合。

- フィールドのデータ型が「参照フィールド」または「コンボ・ボックス」型以外の型から変更される場合。

- フィールドのデータ型が、「参照フィールド」または「コンボ・ボックス」型から「チェック・ボックス」型以外の型に変更される場合。

- 複数のフィールドが1つのフィールドに結合される場合。

28.3 フォーム・バージョン制御プロセスのサマリー

FVCユーティリティの各実行中に、次の手順が実行されます。

1. FVCユーティリティによって実行されるデータ変換処理に関する情報は、プロパティ・ファイルに格納されます。ユーティリティはこのプロパティ・ファイルの内容を読み取ります。

2. ユーティリティはUSR表のレコードのオブジェクト・ステータスをチェックします。次の手順は、レコードのステータスによって異なります。

- ユーザーのレコードがDeleted状態の場合、ユーティリティは次のユーザーのレコードに進みます。

- ユーザーのレコードがDeleted状態でない場合、ユーティリティはそのユーザーのコネクタ固有(UD_)表のアカウント・レコードのステータスをチェックします。次の手順は、アカウント・レコードごとに、そのステータスによって異なります。

- アカウント・レコードがRevoked状態の場合、ユーティリティはそのユーザーの次のアカウント・レコードに進みます。

- アカウント・レコードがRevoked状態でない場合、ユーティリティはプロパティ・ファイルで指定されている更新を実行します。

3. 特定のアカウント・レコードについて、ユーティリティは最初にレコードのバージョンを更新し、次にプロパティ・ファイルで指定されているデータを更新します。

注意:

エラーが発生した場合、コマンド・ウィンドウにエラー・メッセージが表示されます。エラーの原因を修正してユーティリティに戻った後、エラーの発生前に更新されていたレコードは再度処理されません。

28.4 FVCユーティリティのコンポーネント

次に、FVCユーティリティのコンポーネントを示します。

注意:

Design Consoleをインストールする場合、これらのファイルはOIM_DC_HOMEディレクトリにコピーされます。

- プロパティ・ファイル: .properties拡張子の付いたファイルは、ユーティリティを実行するプロセス・フォーム、子フォームおよびリソース・オブジェクトの詳細を指定するために使用します。サンプルとしてfvc.propertiesファイルが提供されています。新しいプロパティ・ファイルを使用する場合は、このファイルの名前をfvcutil.shまたはfvcutil.cmdで変更する必要があります。

- xlFvcUtil.jar: このJARファイルには、FVCユーティリティを実行するのに必要なユーティリティのクラスが含まれます。

- fvcutil.shおよびfvcutil.cmd: このスクリプトを使用してユーティリティを実行します。

28.5 FVCユーティリティの使用

次の項では、FVCユーティリティを使用する手順について説明します。

- プロパティ・ファイルの準備

- FVCユーティリティを使用するための前提条件への対処

- ユーティリティの実行

28.5.1 プロパティ・ファイルの準備

前述のように、FVCユーティリティで実行するデータ変換処理を定義するには、プロパティ・ファイルを使用します。プロパティ・ファイルを作成または更新する必要があるかどうかは、アップグレードのシナリオによって異なります。

- コネクタの事前定義済リリースから事前定義済リリースにアップグレードする場合は、コネクタ・デプロイメント・パッケージでプロパティ・ファイルを見つけます。

- カスタム・リリースからアップグレードする場合、またはカスタム・リリースにアップグレードする場合は、プロパティ・ファイルで必要なエントリを追加する必要があります。

- コネクタのカスタム・リリースから事前定義済リリースにアップグレードする場合は、コネクタのプロセス・フォームおよび子フォームへの変更に関する情報がコネクタ・ガイドに記載されているかどうかを確認します。この情報を使用して、プロパティ・ファイルで追加する必要があるエントリを決定できます。

次に、プロパティ・ファイルのサンプル・エントリを示します。

ResourceObject;OID User
FormName;UD_OID_USR
FromVersion;8
ToVersion;9
Parent;UD_OID_USR_DEFTVAL;ABC
Child;UD_OID_GRP_NORMALFIELD;XYZ;Update
ParentChild;UD_OID_USR_FNAME;UD_OID_GRP_NORMALFIELD
ChildChild;UD_OID_GRP_GROUP_NAME;UD_OID_GRP_NORMALFIELD
ChildParent;UD_OID_GRP_NORMALFIELD;UD_OID_USR_LNAME
ParentParent;UD_OID_USR_FNAME;UD_OID_USR_LOGIN;
ParentParentLookupOrComboToCheckBox;UD_OID_USR_PREF_LANG;UD_OID_USR_CHKBOXTEST
ChildParentLookupOrComboToCheckBox;UD_OID_GRP_GROUP_NAME;UD_OID_USR_CHKBOXTEST
ChildDiffChild;UD_OID_GRP_NORMALFIELD;UD_OID_ROLE_DIFFFIELD

プロパティ・ファイルでエントリを追加または変更する際には、次のガイドラインが適用されます。

注意:

ガイドラインをよりよく理解するには、前述のサンプル・エントリを参照してください。

- プロパティ・ファイルで、各行は、ユースケース名、古いフィールド名および新しいフィールド名で構成されます。これらはセミコロンで区切られます。
たとえば、プロパティ・ファイルの次のエントリについて考えてみます。

ParentChild;UD_OID_USR_FNAME;UD_OID_GRP_NORMALFIELD

ParentChild: 親のフィールドの名前が変更されたか、または親のフィールドが新しい子フォームへ移動されたことを表します。

UD_OID_USR_FNAME: 親フォームでの古いフィールド名を表します。

UD_OID_GRP_NORMALFIELD: 新しいフォームでアップグレードされるフィールドの新しい名前を表します。

注意:

セミコロンの直後を除き、値にスペースを含めることができます。

- プロパティ・ファイルに次の行を含める必要があります。

注意:

プロパティ・ファイルでのこれらの4行の場所と順序は重要ではありません。

- ResourceObject;RESOURCE_OBJECT_NAME
この行では、RESOURCE_OBJECT_NAMEをリソース・オブジェクトの名前に置き換えます。

サンプル行:

ResourceObject;OID User

- FormName;FORM_NAME
この行では、FORM_NAMEをプロセス(親)フォームの名前に置き換えます。

サンプル行:

FormName;UD_OID_USR

- FromVersion;CURRENT_VERSION_OF_FORM
この行では、CURRENT_VERSION_OF_FORMをフォームの現在のバージョンに置き換えます。

注意:

FVCユーティリティを実行する場合、バージョンがCURRENT_VERSION_OF_FORMと同じレコードのみがユーティリティによって更新されます。

サンプル行:

FromVersion;8

- ToVersion;NEW_VERSION_OF_FORM
この行では、NEW_VERSION_OF_FORMをフォームの新しいバージョンに置き換えます。

注意:

バージョンが変更されていないフォームのフォーム・データを更新する場合は、NEW_VERSION_OF_FORMをCURRENT_VERSION_OF_FORMと同じ値に設定します。

サンプル行:

ToVersion;9

- 次の行は、任意に組み合せてプロパティ・ファイルに含めることができます。

- Parent;FIELD_NAME;DEFAULT_FIELD_VALUE;Update
親フォームのすべてのレコードに対して、ユーティリティはFIELD_NAMEフィールドの値をDEFAULT_FIELD_VALUEで更新します。

注意:

親フォームで必須(必要な)フィールドが追加された場合は、必須フィールドのプロパティ・ファイルにこの行を含める必要があります。

サンプル行:

Parent;UD_OID_USR_DEFTVAL;MyString;Update

- Child;FIELD_NAME;DEFAULT_FIELD_VALUE;Update
子フォームのすべてのレコードに対して、ユーティリティはFIELD_NAMEフィールドの値をDEFAULT_FIELD_VALUEに更新します。

注意:

子フォームで必須(必要な)フィールドが追加された場合は、プロパティ・ファイルにこの行を含める必要があります。

サンプル行:

Child;UD_OID_GRP_NORMALFIELD;XYZ;Update

- ParentParent;OLD_FIELD_NAME;NEW_FIELD_NAME
親フォームで、ユーティリティはデータをOLD_FIELD_NAMEフィールドからNEW_FIELD_NAMEフィールドに移動します。

サンプル行:

ParentParent;UD_OID_USR_FNAME;UD_OID_USR_DEFTVAL;

- ParentParentLookupOrComboToCheckBox;OLD_FIELD_NAME;NEW_FIELD_NAME;
親フォームで、「チェック・ボックス」型フィールドに変更され、名前も変更された「参照フィールド」または「コンボ・ボックス」型フィールドについて、このフィールドの値がTrue(大/小文字は区別されません)の場合、ユーティリティは各レコードのチェック・ボックスを選択済の状態に設定します。それ以外の値の場合、ユーティリティはチェック・ボックスを選択解除の状態に設定します。

サンプル値:

ParentParentLookupOrComboToCheckBox;UD_OID_USR_PREF_LANG;UD_OID_USR_CHKBOXTEST

- ChildChild;OLD_FIELD_NAME;NEW_FIELD_NAME
子フォームで、ユーティリティは以前のバージョンのOLD_FIELD_NAMEフィールドから新しいバージョンのNEW_FIELD_NAMEフィールドにデータをコピーします。

サンプル行:

ChildChild;UD_OID_GRP_GROUP_NAME;UD_OID_GRP_NORMALFIELD

- ParentChild;OLD_FIELD_NAME;NEW_FIELD_NAME
OLD_FIELD_NAMEフィールドが親フォームから子フォームへ移動され、NEW_FIELD_NAMEという名前に変更されました。ユーティリティはデータをOLD_FIELD_NAMEフィールドからNEW_FIELD_NAMEフィールドに移動します。

サンプル行:

ParentChild;UD_OID_USR_FNAME;UD_OID_GRP_NORMALFIELD

- ChildParent;OLD_FIELD_NAME;NEW_FIELD_NAME
OLD_FIELD_NAMEフィールドが子フォームから親フォームへ移動され、NEW_FIELD_NAMEという名前に変更されました。ユーティリティはデータをOLD_FIELD_NAMEフィールドからNEW_FIELD_NAMEフィールドに移動します。

サンプル行:

ChildParent;UD_OID_GRP_NORMALFIELD;UD_OID_USR_DEFTVAL

- ChildParentLookupOrComboToCheckBox;OLD_FIELD_NAME;NEW_FIELD_NAME
「参照フィールド」または「コンボ・ボックス」型フィールド(OLD_FIELD_NAME)が「チェック・ボックス」型フィールドに変更され、子フォームから親フォームに移動されます。親フォームで、このフィールドの値がTrue(大/小文字は区別されません)の場合、ユーティリティは各レコードのチェック・ボックスを選択済の状態に設定します。それ以外の値の場合、ユーティリティはチェック・ボックスを選択解除の状態に設定します。

サンプル行:

ChildParentLookupOrComboToCheckBox;UD_OID_GRP_GROUP_NAME;UD_OID_USR_CHKBOXTEST

- ChildDiffChild;OLD_FIELD_NAME;NEW_FIELD_NAME
ユーティリティは、移動元の子フォームのOLD_FIELD_NAMEフィールドから移動先の子フォームのNEW_FIELD_NAMEフィールドへデータを移動します。

注意:

この更新は、移動元の子フォームに単一の行が含まれている場合にのみ実行されます。移動元の子フォームに複数の行が含まれているシナリオはサポートされません。

サンプル行:

ChildDiffChild;UD_OID_GRP_NORMALFIELD;UD_OID_ROLE_DIFFFIELD

28.5.2 FVCユーティリティを使用するための前提条件への対処

ユーティリティを実行する前に、次の手順を実行します。

1. FVCユーティリティ・スクリプトで次のようにJavaホーム・ディレクトリ・パスを設定します。

1. 使用しているオペレーティング・システムおよびアプリケーション・サーバーに応じて、テキスト・エディタで次のいずれかのファイルを開きます。
fvcutil.sh

fvcutil.cmd

2. set JAVA_HOMEを検索します。

3. 次の例に示すように、Javaホーム・ディレクトリ・パスを設定します。

set JAVA_HOME=C:\Java\

4. ファイルを保存して閉じます。

2. ユーティリティを実行するプロセス(親)フォームのバージョンがアクティブ・バージョンであることを確認します。
フォームのバージョンがアクティブ・バージョンであるかどうかを確認するには、次の手順を実行します。

1. Design Consoleにログインします。

2. 「Development Tools」フォルダを開き、「Form Designer」をダブルクリックします。

3. このフォームを検索して開きます。

4. フォームのアクティブ・バージョン・フィールドに、フォームのアクティブ・バージョンが表示されます。

3. ユーティリティは、フィールドがエラー処理アダプタに関連付けられている場合、フォーム・フィールドを更新できません。フィールドがエラー処理アダプタに関連付けられている場合は、次のようにアダプタへの関連付けを解除します。

注意:

ユーティリティの実行後、フィールドとそのエラー処理アダプタ間の関連を再度設定できます。その方法については、この章で後述します。

1. Design Consoleにログインします。

2. 「Process Management」フォルダを開き、「Process Definition」をダブルクリックします。

3. コネクタのプロセス定義を検索して開きます。

4. フィールドを更新するタスクの名前をメモします。

5. タスクをダブルクリックします。たとえば、「userID」フィールドにエラー処理アダプタがある場合は、「updateUserID」タスクをダブルクリックします。

6. 「タスクの編集」ダイアログ・ボックスの「統合」タブで、アダプタ変数名とその説明をメモします。

7. 「削除」をクリックします。

8. イベント・ハンドラ・アダプタを削除することを確認するには、表示されたメッセージで「OK」をクリックします。

9. 「保存」をクリックします。

28.5.3 ユーティリティの実行

注意:

フォーム・バージョンが変更されるたびにFVCユーティリティを実行する必要があります。

次のスクリプトを実行します。

Unixの場合:

sh fvcutil.sh

Windowsの場合:

fvcutil.bat

これにより、次の詳細を入力するように要求されます。

1. Oracle Identity Manager管理者のユーザー名の入力: Oracle Identity Manager管理者のユーザー名を入力します。

2. Oracle Identity Manager管理者のパスワードの入力: Oracle Identity Manager管理者のパスワードを入力します。

3. ロガー・レベルの入力: ロガー・レベルを入力します。DEBUG、WARN、INFOまたはERRORを指定できます。

4. ロガーの場所の入力: ユーティリティで各実行の終了時に作成するログ・ファイルの場所と名前を入力します。たとえば、<Path name>/FVC.logのようにします。

28.6 トラブルシューティング

表28-1に、ログ・ファイルに記録される可能性があるエラー・メッセージ、および問題を修正するために実行できる対応するアクションを示します。

表28-1 エラー・メッセージおよび解決策

エラー・メッセージ

解決策

名前OBJECT_NAMEのオブジェクトが見つかりませんでした

プロパティ・ファイルで指定されているリソース・オブジェクトの名前を確認します。名前の綴りが正しいことを確認してください。

名前がFORM_NAMEのフォームが見つかりませんでした

プロパティ・ファイルで指定されているフォームの名前を確認します。名前の綴りが正しいことを確認してください。

フォームのアクティブ・バージョンが見つかりませんでした。

新規に作成されたフォームがコミットされておらず、Active状態に設定されていない可能性があります。フォームがActive状態であることを確認します。

ToVersion値とフォームのアクティブ・バージョンが一致しません。

ToVersion値が現在アクティブなフォームのバージョンと同じであることを確認します。

ToVersion値またはFromVersion値が有効なバージョンではありません。

ToVersion値およびFromVersion値が正しいことを確認します。

FIELD_NAMEフィールドがOracle Identity Managerデータベースに存在しません。

フィールド名の綴りが正しいことを確認してください。

29 サーバーの起動と停止

パスワード・ポリシーの作成や更新など、ほとんどのOracle Identity Manager機能の構成では、変更を有効にするためにサーバーを再起動する必要があります。この章では、Oracle WebLogic Serverを起動および停止するための手順について説明します。

コマンド・プロンプト、Oracle WebLogic Server管理コンソールまたはOracle Enterprise Manager Fusion Middleware Controlから、管理対象WebLogic Serverのすべての起動および停止操作を実行できます。次の項は、参照用に提供されています。詳細は、Oracle WebLogic Server管理者ガイドを参照してください。

注意:

Oracle WebLogic Server管理コンソールまたはOracle Enterprise Manager Fusion Middleware Controlを使用してOracle Identity Manager WebLogic管理対象サーバーおよびSOA WebLogic管理対象サーバーを制御(起動または停止)するには、ノード・マネージャを実行している必要があります。

- ノード・マネージャの構成

- ノード・マネージャの起動

- WebLogic管理サーバーの起動または停止

- WebLogic管理対象サーバーの起動または停止

すべての起動および停止操作は、コマンド・プロンプトまたはOracle WebLogic Server管理コンソールのいずれかから実行できます。

注意:

Oracle WebLogic Server管理コンソールから管理サーバー、管理対象サーバーおよびSOAサーバーを起動および停止できるようにするには、その前にノード・マネージャを実行している必要があります。

29.1 ノード・マネージャの構成

Oracle Identity ManagerおよびSOAサーバーをインストールして構成した後で、それをWebLogic管理コンソールまたはOracle Enterprise Manager Fusion Middleware Controlで使用するには、ノード・マネージャを構成する必要があります。この構成は一度のみ行います。

ノード・マネージャを構成するには、nodemanager.propertiesファイルでStartScriptEnabled=trueを設定する必要があります。これを行うには、次のスクリプトを実行します。

UNIXの場合:

MIDDLEWARE_HOME/oracle_common/common/bin/setNMProps.sh

Microsoft Windowsの場合:

MIDDLEWARE_HOME\oracle_common\common\bin\setNMProps.cmd

29.2 ノード・マネージャの起動

ノード・マネージャを起動するには:

1. WL_HOME/server/binに移動します。

2. コマンド・プロンプトで、次のように入力します。
./startNodeManager

29.3 WebLogic管理サーバーの起動または停止

WebLogic管理サーバーを起動または停止するには:

1. DOMAIN_HOME/binに移動します。

注意:

- Linuxインストールの場合、binフォルダには./startWebLogic.shのみで、startWebLogic.cmdはありません。

- Microsoft Windowsインストールでは、binフォルダに./startWebLogic.shとstartWebLogic.cmdの両方があります。

2. サーバーを起動するには、次のように入力します。
UNIXの場合:

./startWebLogic.sh

Microsoft Windowsの場合:

startWebLogic.cmd

サーバーを停止するには、次のように入力します。

UNIXの場合:

./stopWebLogic.sh

Microsoft Windowsの場合:

stopWebLogic.cmd

29.4 WebLogic管理対象サーバーの起動または停止

この項の内容は次のとおりです。

- コマンド・プロンプトを使用した管理対象サーバーの起動または停止

- Oracle Enterprise Manager Fusion Middleware Controlを使用した管理対象サーバーの起動または停止

- Oracle WebLogic Server管理コンソールを使用したサーバーの起動または停止

29.4.1 コマンド・プロンプトを使用した管理対象サーバーの起動または停止

コマンド・プロンプトを使用して管理対象サーバーを起動または停止するには:

1. DOMAIN_HOME/bin/ディレクトリに移動します。

2. サーバーを起動するには、コマンド・プロンプトで次のように入力します。
UNIXの場合:

./startManagedWebLogic.sh MANAGED_SERVER_NAME ADMIN_SERVER_URL

次に例を示します。

startManagedWebLogic.sh oim_server1 http://mywlsadminhost.mycompany.com:7001

startManagedWebLogic.sh soa_server1 http://mywlsadminhost.mycompany.com:7001

Microsoft Windowsの場合:

startManagedWebLogic.cmd MANAGED_SERVER_NAME ADMIN_SERVER_URL

サーバーを停止するには、コマンド・プロンプトで次のように入力します。

UNIXの場合:

./stopManagedWebLogic.sh MANAGED_SERVER_NAME ADMIN_SERVER_URL

Microsoft Windowsの場合:

stopManagedWebLogic.cmd MANAGED_SERVER_NAME ADMIN_SERVER_URL

次に例を示します。

stopManagedWebLogic.cmd OIM_server1 http://mywlsadminhost.mycompany.com:7001

stopManagedWebLogic.cmd soa_server1 http://mywlsadminhost.mycompany.com:7001

29.4.2 Oracle Enterprise Manager Fusion Middleware Controlを使用した管理対象サーバーの起動または停止

Oracle Enterprise Manager Fusion Middleware Controlを使用して管理対象サーバーを制御するには、コンピュータ上でノード・マネージャが実行されている必要があります。

Oracle Enterprise Manager Fusion Middleware Controlを使用して管理対象サーバーを起動または停止するには、次の手順を実行します。

1. Oracle Enterprise Manager Fusion Middleware Controlにログインします。

2. 「WebLogicドメイン」、「ドメイン名」、 SERVER_NAMEに移動します。

3. 右クリックし、「コントロール」に移動します。

4. 「起動」をクリックして、サーバーを起動します。
「停止」をクリックして、サーバーを停止します。

29.4.3 Oracle WebLogic Server管理コンソールを使用したサーバーの起動または停止

Oracle WebLogic管理コンソールを使用してサーバーを起動または停止するには:

1. Oracle WebLogic Server管理コンソールにログインします。

2. 左ペインの「ドメイン構造」の下で、「環境」、「サーバー」を選択します。

3. 右ペインの「サーバーのサマリー」の下で、「コントロール」タブをクリックします。

4. サーバー名を選択します。

5. 「起動」をクリックして、サーバーを起動します。
「停止」をクリックして、サーバーを停止します。

30 セキュアなCookieの有効化

デフォルトでは、Oracle Identity ManagerはHTTPを介してアクセスできますが、Secure Socket Layer (SSL)上では動作しません。これは、cookie-secureフラグがデフォルトで無効なためです。cookie-secureフラグは、HTTPS接続を介してのみCookieを送信するようにWebブラウザに伝えます。これにより、Cookieは必ずセキュアなチャンネル上でのみ送信されます。アプリケーションによって公開されたURLに対してHTTPSを有効にする必要があります。

Oracle Identity ManagerをSSL上で動作できるようにするには、cookie-secureフラグを有効にする必要があります。これを行うには、次のようにします。

1. Oracle Identity Managerデプロイメントの次のファイルに対して、<session-descriptor>要素の内側に<cookie-secure>true</cookie-secure>タグを追加します。

- OIM_HOME/apps/oim.ear/admin.war/WEB-INF/weblogic.xml

- OIM_HOME/apps/oim.ear/iam-consoles-faces.war/WEB-INF/weblogic.xml

- OIM_HOME/apps/oim.ear/xlWebApp.war/WEB-INF/weblogic.xml

2. Nexawebアプリケーション用のweblogic.xmlファイルがWEB-INF/ディレクトリにない場合は、それを新規作成します。

3. その中に次のセッション・ディスクリプタを追加します。

<?xml version='1.0' encoding='UTF-8'?>
<weblogic-web-app
xmlns="http://xmlns.oracle.com/weblogic/weblogic-web-app/1.0"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://xmlns.oracle.com/weblogic/weblogic-web-app/1.0   http://xmlns.oracle.com/weblogic/weblogic-web-app/1.0/weblogic-web-app.xsd">

<session-descriptor>
<persistent-store-type>replicated_if_clustered</persistent-store-type>
<cookie-http-only>false</cookie-http-only>
<cookie-name>oimjsessionid</cookie-name>
<cookie-secure>true</cookie-secure>
<url-rewriting-enabled>false</url-rewriting-enabled>
</session-descriptor>

</weblogic-web-app>

4. weblogic.xmlを保存します。

5. Oracle Identity Managerの管理対象サーバーを再起動します。

31 他のOracleコンポーネントとの統合

OracleはOracle Identity Managerで利用できる機能を補完して拡張する様々な技術を提供していますが、これらのいくつかについてこの章で説明します。Oracle Identity Managerと統合可能な技術の詳細は、Oracle Fusion Middleware統合の概要に関する説明を参照してください。図31-1に、Oracle Identity Managerの他のOracleコンポーネントとの統合を示します。

図31-1 他のコンポーネントとの統合

「図31-1 他のコンポーネントとの統合」の説明

この章では、Oracle Identity Managerと次のOracleコンポーネントとの統合について説明します。

- Oracle Access Manager

- Oracle Adaptive Access Manager

- Oracle Identity Analytics

- Oracle Identity Navigator

- Oracle Virtual Directory

- Oracle Service-Oriented Architecture

- Oracle Business Intelligence Publisher

31.1 Oracle Access Manager

Oracle Access Manager (OAM)は、フレキシブル認証とシングル・サインオン(SSO)の組合せ、アイデンティティ・フェデレーション、リスクベース認証、事前対応型の企業不正防止、きめ細かい権限付与により、アプリケーション、データおよびクラウドベースのサービスを保護します。

WebベースのSSOにより、1つの認証ステップで複数のアプリケーションに安全にアクセスできます。OAMとOracle Identity Managerを組み合せると、OAMにより、Oracle Identity Administrationや他のOracle Identity ManagementコンポーネントでSSOを有効化できます。

Oracle Identity Manager、OAMおよびOracle Adaptive Access Manager (OAAM)は、共通のLDAP属性セットを共有し、ワークフローやその他のプロセスを管理しやすくすることで効率性を向上させます。統合されたパスワード管理により、OAM、OAAMおよびOracle Identity Managerへのログインや、期限切れおよびパスワード忘れの管理が容易になります。

統合の詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』のOIMとOAM間の統合に関する項を参照してください。

31.2 Oracle Adaptive Access Manager

OAAMは、Webベースの接続に対する洗練されたマルチファクタ認証と事前対応型のリアルタイムの不正防止機能を提供します。OAAMが提供するこのような機能の1つに、リスクベース認証があります。OAAMのリスクスコアリング・エンジンは、行われるトランザクションのタイプと不正が発生する可能性に基づいてユーザーの認証を許可するかどうかを評価し、リアルタイムでなりすましに対処します。次に、OAAMリスクスコアリング・エンジンは、パブリック・データ・ソースとプライベート・データ・ソースの組合せに基づいて作成される、動的に生成された一連の質問にユーザーがどう答えるかを評価します。その後、OAAMにより不正スコアが生成され、ユーザーはトランザクションの継続を許可されるか、またはアクセスを拒否されます。Oracle Identity Managerと統合すると、OAAMの堅牢なチャレンジ質問機能セットがOracle Identity Managerのより限定的なセットに置き換わり、パスワードの検証、格納、伝播が処理されます。

Oracle Identity ManagerをOAMおよびOAAMと統合した場合のパスワード管理の実行方法の詳細は、Oracle Fusion Middleware Oracle Access Manager統合ガイドのパスワード管理のデプロイメント・オプションに関する項を参照してください。

統合の詳細は、Oracle Fusion Middleware Oracle Access Manager統合ガイドのOracle Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合を参照してください。

31.3 Oracle Identity Analytics

Oracle Identity Analytics (OIA)(旧称Sun Role Manager)には、ユーザー・アクセスを監視、分析、検討そして管理できる豊富なアイデンティティ分析とダッシュボードが用意されており、これらを使用して、リスク軽減、透過性の構築、そしてコンプライアンス要件の達成が実現されます。

Oracle Identity Managerと統合すると、Oracle Identity Analyticsはロールベースのアクセス管理(RBAC)フレームワーク、アテステーション・プロセスおよび職務の分離(SoD)ポリシーの実施方法を定義し、Oracle Identity Managerは自動プロビジョニングとアイデンティティ同期ソリューションとしての役割を果たします。個々のアクセス権限を割り当てるかわりに、組織はRBACフレームワークを使用し、各種アプリケーションのユーザー・アクセスの制御方法としてロールを割り当てたり解除することができます。

31.3.1 Oracle Identity Analyticsにおける統合の構成

Oracle Identity Analyticsにおける統合の詳細は、Oracle Fusion Middleware Oracle Identity Analyticsシステム・インテグレーターズ・ガイドのOracle Identity Managerとの統合で推奨される方法に関する説明を参照してください。

31.3.2 Oracle Identity Managerにおける統合の構成

Oracle Identity Managerは、ユーザー、アカウントおよび権限に関するデータの信頼できるソースです。したがって、統合されたデプロイメントにおいて、OIAではOracle Identity Managerからの次のデータが必要となります。

- ユーザー属性

- アカウント属性(割り当てられた権限を含む)

- 権限

データ同期の要件は次のとおりです。

- OIAでは、Oracle Identity Managerからのユーザー、アカウントおよび権限に関する増分変更ログの更新が必要となります。

- OIAでは、非定型ベースで、Oracle Identity Managerからのエンティティ(ユーザー、アカウント、権限など)の完全なセットが必要となります。

Oracle Identity Manager 11g リリース2 (11.1.2)では、次を活用してデータ同期を実行できます。

- 構成可能な数のエンティティのデータ収集をOIAが開始するためのAPI。さらに、データ収集のステータスをOIAが取得するためのAPI。
Oracle Identity Manager APIの使用についての詳細は、Oracle Fusion Middleware Oracle Identity Manager向けJava APIリファレンス、および『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のAPIの使用に関する説明を参照してください。

- Oracle Identity Managerのトランザクション表からステージング表へのデータ収集を実行するストアド・プロシージャ。

この項では、次のトピックを活用したデータ収集プロセスについて説明します。

- DataCollectionOperationsIntf APIインタフェース

- ステージング表

- データ収集プロセス

31.3.2.1 DataCollectionOperationsIntf APIインタフェース

DataCollectionOperationsIntf APIインタフェースでは、次のAPIが提供されます。

- void startDataCollection(String sessionID, Map entities): このAPIは、単一セッションのデータ収集プロセスを開始します。パラメータは次のとおりです。

- sessionID: 特定のセッションを識別する一意の文字列。単一のデータ収集セッションの一部を形成するAPIを繰り返し起動するときは、この文字列が同一である必要があります。

- entities: データ収集を実行するすべてのエンティティおよび開始日を含むMap。ユーザーおよび権限という2つの静的エンティティがあります。残りはOracle Identity Managerにおけるリソース・オブジェクト名になります。エンティティまたはリソース・オブジェクト名が見つからない場合、それらは無視され、データ収集は実行されません。Map内の値は、タイムスタンプを表すjava.util.Dateオブジェクトです。この値がNULLの場合、そのエンティティのすべてのデータが移入されます。データがNULL以外の場合、その日付以降に変更されたエンティティのステージング表にデータが移入されます。

- String checkStatus(String sessionID): このAPIは、指定されたデータ収集セッションのステータスをチェックします。このAPIは、次のステータスを戻します。

- INITIATED

- IN PROGRESS

- COMPLETED

- FAILED

- FINALIZED

- void finalizeSession(String sessionID): このAPIは、ステージング表の切捨ておよびその他のクリーンアップ・アクティビティを実施し、データ収集セッションを終了します。

31.3.2.2 ステージング表

Oracle Identity Managerは、特定の表を介して、OIAにユーザー、アカウントおよび権限を作成します。これらはステージング表と呼ばれ、DataCollectionOperationsIntfインタフェース内のAPIを使用して、オンデマンドで移入できます。次のステージング表に移入できます。

- staging_users_table: ユーザー・プロファイル属性用のステージング表

- staging_user_extended_props: カスタムのユーザー定義フィールド用のステージング表

- staging_entitlements: 権限情報用のステージング表

- staging_accounts: アカウント情報用のステージング表

- staging_account_attributes: 親フォームおよび子フォームのデータを含むアカウント属性用のステージング表

31.3.2.3 データ収集プロセス

データ収集の手順を次に示します。

1. startDataCollection() APIを適切なセッションID、および開始日を持つエンティティを使用して起動します。開始日がNULLの場合、Oracle Identity Managerはステージング表にすべてのデータを移入するように指示されます。

2. getDataCollectionStatus() APIを同じセッションIDで実行し、Oracle Identity Managerをポーリングします。

3. getDataCollectionStatus() APIからCOMPLETEDステータスが戻されると、OIAプロセスはデータをステージング表から直接読み取ることができます。

4. データ同期が完了した後で、finalizeDataCollectionSession() APIを同じセッションIDで実行し、データ収集セッションを終了します。

5. データ収集でエラーが発生した場合は、Oracle Identity ManagerによりFAILEDステータスでそのことが示されます。これが発生したときは、データ収集セッションを再開する必要があります。finalizeDataCollectionSession() APIを使用して現在のセッションを終了し、新しいセッションIDでstartDataCollection()を実行することで、データ収集セッションを再開できます。

31.4 Oracle Identity Navigator

Oracle Identity Navigator(OIN)は、Oracle Identity Managementコンポーネントのスタート地点として機能するよう設計されているブラウザベースの管理ポータルです。これは、個々のコンポーネント・コンソールにかわるものではありません。1つのサイトからOracle Identity Managementの各コンソールにアクセスできるようにするためのものです。

Oracle Identity Managerと統合されると、Oracle Identity AdministrationにかわってOINが、Oracle Identity Managerの主要ユーザー・インタフェースとなります。

OINには製品検出機能があり、これを使用して、Oracle Identity Administrationを含むドメイン内のアクティブなJ2EEコンポーネントをすべて検出できます。

統合の詳細は、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドの製品検出を使用した製品ランチャーへのコンポーネント・リンクの追加に関する項を参照してください。

31.5 Oracle Virtual Directory

Oracle Identity ManagerをLDAPとともにインストールした場合は、Oracle Virtual Directory (OVD)をインストールする必要があります。OVDは複数のエンタープライズ・ディレクトリに接続し、そのディレクトリの内容を1つのビューにまとめて表示します。たとえば、Oracle Internet Directory (OID)、iPlanetおよびActive Directoryを使用している企業の場合、OVDは3つのディレクトリすべてを結合した統合ビューを作成できます。その後、Oracle Identity Managerは単一のコネクタを使用して、OVD上で統合されたLDAPデータにアクセスできます。LDAP Syncプロバイダ(LDAPプロバイダとも呼ばれる)は、Oracle Identity ManagerとOVDを接続します。

OVDをOracle Identity Managerと統合すると、次の利点があります。

- Oracle Identity Managerのコネクタ管理が簡易化され、複数のディレクトリ・プロバイダに対して1つのLDAPコネクタだけですみます。(ただし、複数のインスタンスが必要になる場合もあります)

- LDAPコネクタの信頼性が向上しました。基礎となるLDAPサーバーにかかわらず、同じコネクタが使用されます。OVDは、以前は複数のLDAPプロバイダに対して複数のLDAPコネクタを必要としていたデータ変換を処理します。

- すべてのFusion Middlewareアプリケーションに同じアイデンティティ仮想機能が提供されるため、企業内のコンポーネント全体でのフットプリントは削減されます。

統合の詳細は、Oracle Identity ManagerとOracle Virtual Directoryを様々な環境で統合するための複数の手順が含まれている『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』を参照してください。

OVDの以前のリリースは、Blocking IO(BIO)モードでインストールされます。OVDの現在のリリースは、デフォルトで、Non Blocking IO(NIO)モードでインストールされます。ただし、Oracle Identity Managerは、NIOモードでの動作が保証されていません。したがって、NIOモードのOVDで動作するように、Oracle Identity ManagerにおけるOVD接続管理を変更する必要があります。

また、OVDの現在のリリースは、複数の変更ログをサポートするように機能強化されています。これらの機能強化により、OVD Changlogアダプタ・パラメータを変更する必要があります。

Oracle Identity Managerの変更ログおよびユーザー管理向けのOVDアダプタ作成の詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』のOracle Virtual Directoryでのアダプタの作成に関する説明を参照してください。

31.6 Oracle Service-Oriented Architecture

Oracle Identity Managerのワークフロー機能は、Oracle Service-Oriented Architecture (SOA)バックエンド・サービスと管理機能を使用して、ユーザー・アクセスを要求、承認および管理する相互作用環境を提供しています。Oracle Identity Managerをインストールするには、Oracle SOAもインストールする必要があります。

Oracle Identity Managerでは、次のSOA Suiteコンポーネントが使用されます。

- BPEL Process Manager: ビジネス・プロセスの作成と管理において、エンドツーエンドのソリューションを提供します。

- ヒューマン・ワークフロー: 作成、割り当て、締切り、期限切れ、通知などのヒューマン・タスクのライフサイクルを管理します。

- Oracle Business Rules: 複雑なビジネス・ルールを定義して、リクエスト割当て、プロセス選択および承認者の決議をサポートします。

- Oracle Web Services Manager: Oracle Identity Managerによって使用され、呼び出されるWebサービスとBPELプロセスの安全を確保します。

統合の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のOracle SOA Suiteとの統合に関する項を参照してください。

31.7 Oracle Business Intelligence Publisher

Oracle Identity Managerレポート機能はOracle Business Intelligence Publisher (BI Publisher)を利用して高品質のレポート機能を提供し、マルチチャネル環境で複雑なレポートを作成、デプロイし、使用できるようにします。

BI Publisherの詳細は、Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイドのレポート機能の使用に関する項を参照してください。

32 ライフサイクル管理変更の処理

Oracle Identity ManagerをOracle Access Manager (OAM)などの他のアプリケーションと統合してデプロイし、これらのアプリケーションで構成変更を行うと、Oracle Identity ManagerやOracle WebLogic Serverで様々な構成変更が必要になります。次の項では、これらの構成変更について説明します。

- Oracle Identity Managerに関連するURL変更

- Oracle Identity Managerに関連するパスワード変更

- Oracle Identity ManagerのSSLの構成

32.1 Oracle Identity Managerに関連するURL変更

Oracle Identity Mangerでは、構造上およびミドルウェアの要件により、様々なホスト名とポートが構成に使用されています。この項では、統合された依存アプリケーションでの変更に対応して、Oracle Identity ManagerおよびOracle WebLogic Serverで構成変更を行う方法について説明します。

この項の内容は次のとおりです。

- Oracle Identity Managerのデータベース・ホストとポートの変更

- Oracle Virtual Directoryのホストとポートの変更

- Oracle Identity Managerのホストとポートの変更

- BI Publisherのホストとポートの変更

- SOAのホストとポートの変更

- OAMのホストとポートの変更

32.1.1 Oracle Identity Managerデータベースのホストとポートの変更

この項では、データベースのホスト名とポート番号が使用される構成エリアについて説明します。

Oracle Identity Managerのインストール後に、データベースのホスト名またはポート番号を変更した場合は、次の変更が必要になります。

注意:

データベースのホストおよびポートを変更する前に、Oracle Identity Managerをホストする管理対象サーバーを停止してください。ただし、Oracle WebLogic管理サーバーは稼動したままでかまいません。

- データソースoimJMSStoreDSの構成を変更するには:

1. 「サービス」→「JDBC」→「データソース」→oimJMSStoreDSに移動します。

2. 「接続プール」タブをクリックします。

3. データベースのホストとポートの変更に合わせて、URLと「プロパティ」フィールドの値を変更します。

- データソースoimOperationsDBの構成を変更するには:

1. 「サービス」→「JDBC」→「データソース」→oimOperationsDBに移動します。

2. 「接続プール」タブをクリックします。

3. データベースのホストとポートの変更に合わせて、URLと「プロパティ」フィールドの値を変更します。

- Oracle Identity Managerのメタデータ・ストア(MDS)構成に関連するデータソースを変更するには:

1. 「サービス」→「JDBC」→「データソース」→mds-oimに移動します。

2. 「接続プール」タブをクリックします。

3. データベースのホストとポートの変更に合わせて、URLと「プロパティ」フィールドの値を変更します。

- OIMAuthenticationProviderの構成を変更するには:

1. WebLogic管理コンソールで、「セキュリティ・レルム」→「myrealm」→「プロバイダ」に移動します。

2. 「OIMAuthenticationProvider」をクリックします。

3. 「プロバイダ固有」をクリックします。

4. ホスト名とポートの変更に合わせて、DBUrlフィールドの値を変更します。

注意:

サービス指向アーキテクチャ(SOA)やOracle Web Services Manager (OWSM)で構成変更を行うと、SOAまたはOWSMに関連するデータソースにも同様の変更を行う必要があります。

データソースの変更後、Oracle WebLogic管理サーバーを再起動し、Oracle Identity Managerの管理対象WebLogicサーバーを起動します。

注意:

Enterprise Management(EM)コンソールからOIM App Config MBeansを使用してOracle Identity Managerアプリケーションの構成情報を変更する場合は、少なくとも1つのOracle Identity Manager管理対象サーバーが稼動している必要があります。稼動していない場合、EMコンソールからOIM App Config MBeansを確認できません。

- DirectDBの構成を変更するには:

1. 次のURLを使用してEnterprise Managerにログインします。
http://ADMIN_SERVER/em

2. 「Identity and Access」→「OIM」に移動します。

3. 「OIM」を右クリックし、「アプリケーション定義のMBeans」の下の「システムMBeanブラウザ」に移動します。

4. 「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DirectDBConfig」→「DirectDB」に移動します。

5. ホストとポートの変更に合わせてURL属性に新しい値を入力し、変更を適用します。

注意:

Oracle Identity Managerの単一インスタンスのデプロイメントをOracle Real Application Clusters (Oracle RAC)に変更する場合、またはOracle RACを単一インスタンスのデプロイメントに変更する場合は、oimJMSStoreDS、 oimOperationsDBおよびmds-oimデータソースを変更してください。これらのデータソースをマルチデータソース構成に変更するための一般的な変更に加えて、OIMAuthenticationProviderとドメイン資格証明ストア構成をOracle RACのURLに合わせて変更してください。これらの一般的な変更の詳細は、『Oracle Fusion Middleware高可用性ガイド』を参照してください。

32.1.2 Oracle Virtual Directoryのホストとポートの変更

LDAP同期が有効な場合、Oracle Identity Managerは、Oracle Virtual Directory (OVD)を介してディレクトリ・サーバーに接続します。この接続は、LDAP/LDAPSプロトコルを使用して行われます。

OVDのホストとポートを変更するには:

1. Oracle Identity Manager管理にログインします。

2. 「拡張」をクリックします。

3. 「構成」の下の「ITリソースの管理」をクリックします。

4. 「ITリソース・タイプ」リストから「ディレクトリ・サーバー」を選択し、「検索」をクリックします。

5. ディレクトリ・サーバーのITリソースを編集します。これを行うには、次のようにします。

1. 「SSLの使用」フィールドの値がFalseに設定されている場合は、サーバーURLフィールドを編集します。「SSLの使用」フィールドの値がTrueに設定されている場合は、サーバーSSLのURLフィールドを編集します。

2. 「更新」をクリックします。

32.1.3 Oracle Identity Managerのホストとポートの変更

この項の内容は次のとおりです。

- Oracle Identity Manager構成のOimFrontEndURLの変更

- Oracle Identity Manager構成のbackOfficeURLの変更

注意:

Oracle Identity Managerの追加ノードを追加または削除する場合は、この項で説明する手順を実行して、Oracle Identity Managerのホストとポートの変更を構成してください。

32.1.3.1 Oracle Identity Manager構成のOimFrontEndURLの変更

OimFrontEndURLは、Oracle Identity Manager UIにアクセスするために使用するURLです。これは、アプリケーション・サーバーでロード・バランサまたはWebサーバーが使用されている場合は、それに応じてロード・バランサURLまたはWebサーバーURL、そうでない場合は単一アプリケーション・サーバーURLです。これはOracle Identity Managerによって、通知メールやSOA呼び出しのコールバックURLに使用されます。

クラスタ環境でのOracle Identity ManagerデプロイメントのWebサーバー用ホスト名またはポートの変更、または非クラスタ環境でのOracle Identity ManagerデプロイメントのWebLogic管理対象サーバー用ホスト名またはポートの変更により、変更が必要になる場合があります。

Oracle Identity Manager構成のOimFronEndURLを変更するには:

1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。
http://ADMIN_SERVER/em

2. 「Identity and Access」→「OIM」に移動します。

3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

5. OimFrontEndURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。たとえば次のような値を入力できます。
http://myoim.oracle.com

https://myoim.oracle.com

http://myserver.oracle.com:7001

注意:

SPMLクライアントには、SPMLの起動とコールバック・レスポンスの送信用にOracle Identity Manager URLが格納されています。そのため、これに対応した変更が必要になります。また、Oracle Identity ManagerがOAM、OAAMやOracle Identity Navigator (OIN)と統合されている場合は、これに対応した変更が必要になる場合もあります。詳細は、Oracle Technology Network (OTN) WebサイトにあるOAM、OAAMおよびOINのドキュメントを参照してください。

32.1.3.2 Oracle Identity Manager構成のbackOfficeURLの変更

backOfficeURLの変更は、Oracle Identity Managerがフロントオフィス構成およびバックオフィス構成にデプロイされる場合のみ必要になります。この変更は、単純なクラスタ化デプロイメントまたは非クラスタ化デプロイメントには適用されません。このURLは、フロントオフィス・コンポーネントからバックオフィス・コンポーネントにアクセスするために、Oracle Identity Managerで内部的に使用されます。バックオフィスにサーバーを追加する場合や、バックオフィスからサーバーを削除する場合は、バックオフィス構成およびフロントオフィス構成の実装中にこの属性の値を変更します。

backOfficeURL属性の値を変更するには:

1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。
http://ADMIN_SERVER/em

2. 「Identity and Access」→「OIM」に移動します。

3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

5. BackOfficeURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。たとえば次のような値を入力できます。
t3://mywls1.oracle.com:8001

t3://mywls1.oracle.com:8001,mywls2.oracle.com:9001

注意:

Oracle Identity Managerの非クラスタ化およびクラスタ化デプロイメントでは、BackOfficeURL属性の値を空にする必要があります。

32.1.4 BI Publisherのホストとポートの変更

Oracle Identity Manager UIから単純なリンクをクリックすると、BI Publisherにレポート目的でアクセスできます。このURLは、Oracle Identity Manager側の構成値に基づいたものです。BI Publisherでホストとポートが変更されると、Oracle Identity Managerで次の変更を行う必要があります。

1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。
http://ADMIN_SERVER/em

2. 「Identity and Access」→「OIM」に移動します。

3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

5. BIPublisherURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。

32.1.5 SOAのホストとポートの変更

SOAのホストとポートを変更するには:

注意:

追加のSOAノードを追加または削除したときには、この手順を実行してSOAのホストとポートを変更してください。

1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。
http://ADMIN_SERVER/em

2. 「Identity and Access」→「OIM」に移動します。

3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.SOAConfig」→「SOAConfig」に移動します。

5. Rmiurl属性とSoapurl属性の値を変更し、「適用」をクリックして変更を保存します。
Rmiurl属性は、SOA管理対象サーバーにデプロイされたSOA EJBにアクセスするために使用されます。これは、アプリケーション・サーバーのURLです。Oracle Identity Managerのクラスタ化デプロイメントの場合は、すべてのSOA管理対象サーバーURLのカンマ区切りのリストです。この属性の値は、たとえば次のようになります。

t3://mysoa1.oracle.com:8001

t3s://mysoa1.oracle.com:8001,mysoa2.oracle.com:8002

t3://mysoa1.oracle.com:8001,mysoa2.oracle.com:8002,mysoa3.oracle.com:8003

Soapurl属性は、SOA管理対象サーバーにデプロイされたSOA Webサービスにアクセスするために使用されます。これは、Webサーバーおよびロード・バランサをフロントエンドに使用するSOAクラスタの場合は、WebサーバーURLおよびロード・バランサURLです。単一SOAサーバーの場合は、アプリケーション・サーバーURLです。

この属性の値は、たとえば次のようになります。

http://myoimsoa.oracle.com

http://mysoa.oracle.com:8001

6. WebLogic管理コンソールにログインします。

7. 「ドメイン構造」セクションで、「OIM_DOMAIN」→「サービス」→「外部JNDIプロバイダ」に移動します。

8. 「ForeignJNDIProvider-SOA」をクリックします。

9. 「構成」タブで、「一般」サブタブがアクティブであることを確認します。

10. 「プロバイダURL」の値をステップ5で指定したRmiurlに変更します。

32.1.6 OAMのホストとポートの変更

OAMのホストとポートを変更するには:

1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。
http://ADMIN_SERVER/em

2. 「Identity and Access」→「OIM」に移動します。

3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.SSOConfig」→「SSOConfig」に移動します。

5. 必要に応じて、AccessServerHost属性とAccessServerPort属性およびその他の属性の値を変更し、「適用」をクリックして変更を保存します。

32.2 Oracle Identity Managerに関連するパスワード変更

Oracle Identity Manger構成では、構造上の要件やミドルウェア要件を満たすために、様々なパスワードが使用されます。この項では、デフォルトのパスワードと、依存製品または統合された製品でパスワードが変更された場合の、Oracle Identity MangerおよびOracle WebLogic構成のパスワードの変更方法について説明します。

この項の内容は次のとおりです。

- Oracle WebLogic管理者パスワードの変更

- Oracle Identity Manager管理者パスワードの変更

- Oracle Identity Managerデータベース・パスワードの変更

- 資格証明ストア・フレームワークのOracle Identity Managerパスワードの変更

- OVDパスワードの変更

- LDAPにおけるOracle Identity Manager管理者パスワードの変更

- LDAPにおけるOracle Identity Manager管理者パスワードのロック解除

32.2.1 Oracle WebLogic管理者パスワードの変更

Oracle WebLogic管理者パスワードを変更するには:

1. WebLogic管理コンソールにログインします。

2. 「セキュリティ・レルム」→「myrealm」→「ユーザーとグループ」→「weblogic」→「パスワード」に移動します。

3. 「新規パスワード」フィールドに、新しいパスワードを入力します。

4. 「新規パスワードの確認」フィールドに、新しいパスワードを再入力します。

5. 「適用」をクリックします。

32.2.2 Oracle Identity Manager管理者パスワードの変更

Oracle Identity Managerのインストール中に、インストーラによりOracle Identity Managerの管理者パスワードの入力を求められます。この管理者パスワードは、必要に応じてインストール完了後に変更できます。変更するには、Oracle Identity Managerセルフ・サービスにOracle Identity Manager管理者としてログインする必要があります。管理者パスワードの変更方法については、Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイドの認証ユーザーのセルフ・サービスに関する項を参照してください。

注意:

OAMまたはOAAMがOracle Identity Managerに統合されている場合は、これらのアプリケーションで対応する変更を行う必要があります。詳細は、次のURLのOracle Technology Network (OTN) WebサイトにあるOAMおよびOAAMのドキュメントを参照してください。

http://www.oracle.com/technetwork/indexes/documentation/index.html

32.2.3 Oracle Identity Managerデータベース・パスワードの変更

Oracle Identity Managerは、2つのデータベース・スキーマを使用して、Oracle Identity Managerの操作および構成データを格納します。Oracle Identity Manager MDSスキーマを使用して構成関係の情報を格納し、Oracle Identity Managerスキーマを使用してその他の情報を格納します。スキーマ・パスワードを変更すると、Oracle Identity Manager構成も変更する必要があります。

Oracle Identity Managerデータベース・パスワードを変更すると、次の変更を行う必要があります。

注意:

データベース・パスワードを変更する前に、Oracle Identity Managerをホストする管理対象サーバーを停止してください。ただし、Oracle WebLogic管理サーバーは稼動したままでかまいません。

- データソースoimJMSStoreDSの構成を変更するには:

1. 「サービス」→「JDBC」→「データソース」→「oimJMSStoreDS」に移動します。

2. 「接続プール」タブをクリックします。

3. 「パスワード」および「パスワードの確認」フィールドに、Oracle Identity Managerデータベース・スキーマの新しいパスワードを入力します。

4. 「保存」をクリックして変更を保存します。

- データソースoimOperationsDBの構成を変更するには:

1. 「サービス」→「JDBC」→「データソース」→「oimJMSStoreDS」に移動します。

2. 「接続プール」タブをクリックします。

3. 「パスワード」および「パスワードの確認」フィールドに、Oracle Identity Managerデータベース・スキーマの新しいパスワードを入力します。

4. 「保存」をクリックして変更を保存します。

- Oracle Identity Manager MDSに関連するデータソースの構成を変更するには:

1. 「サービス」→「JDBC」→「データソース」→「mds-oim」に移動します。

2. 「接続プール」タブをクリックします。

3. 「パスワード」および「パスワードの確認」フィールドに、Oracle Identity Manager MDSデータベース・スキーマの新しいパスワードを入力します。

4. 「保存」をクリックして変更を保存します。

注意:

- Oracle Real Application Clusters (Oracle RAC)構成を使用したOracle Identity Managerのデプロイメントでは、各マルチデータソース構成の下にあるすべてのデータソースを変更する必要があります。

- SOAまたはOWSMに関連するデータソースでも、必要に応じて同様の変更を行ってください。

- OIMAuthenticationProviderの構成を変更するには:

1. WebLogic管理コンソールで、「セキュリティ・レルム」→「myrealm」→「プロバイダ」に移動します。

2. 「OIMAuthenticationProvider」をクリックします。

3. 「プロバイダ固有」をクリックします。

4. 「DBPassword」フィールドに、Oracle Identity Managerデータベース・スキーマの新しいパスワードを入力します。

5. 「保存」をクリックして変更を保存します。

- ドメインの資格証明ストアの構成を変更するには:

1. 次のURLを使用してEnterprise Managerにログインします。
http://ADMIN_SERVER/em

2. 「WebLogicドメイン」→DOMAIN_NAMEに移動します。

3. 「OIM」を右クリックし、「セキュリティ」→「資格証明」→「OIM」に移動します。

4. 「OIMSchemaPassword」を選択し、「編集」をクリックします。

5. 「パスワード」フィールドに新しいパスワードを入力し、「OK」をクリックします。

Oracle Identity Managerデータベース・パスワードを変更したら、WebLogic管理サーバーを再起動します。またOracle Identity managerが管理するWebLogicサーバーも同様に起動します。

32.2.4 資格証明ストア・フレームワークのOracle Identity Managerパスワードの変更

インストール・プロセスでは、Oracle Identity Managerインストーラによって複数のパスワードが格納されます。資格証明ストア・フレームワーク(CSF)には様々な値がキーおよび値として格納されています。表32-1にキーとその対応する値を示します。

表32-1 CSFキー

キー

説明

DataBaseKey

データベースの暗号化に使用されるキーのパスワード。パスワードは、インストーラでOracle Identity Managerキーストアに入力されたユーザー入力値です。

.xldatabasekey

データベース暗号化キーを格納するキーストアのパスワード。パスワードは、インストーラでOracle Identity Managerキーストアに入力されたユーザー入力値です。

xell

xellキーのパスワードで、Oracle Identity Manager コンポーネント間の通信を保護するために使用されます。Oracle Identity Managerインストーラによって生成されるデフォルトのパスワードは、xellerateです。

default_keystore.jks

JKSキーストアdefault_keystore.jksのパスワードで、DOMAIN_HOME/config/fmwconfig/ディレクトリにあります。パスワードは、インストーラでOracle Identity Managerキーストアに入力されたユーザー入力値です。

SOAAdminPassword

パスワードはインストーラで「SOA管理者パスワード」フィールドに入力されたユーザー入力値です。

OIMSchemaPassword

Oracle Identity Managerデータベース・スキーマに接続するためのパスワードです。パスワードはインストーラで「OIMデータベース・スキーマのパスワード」フィールドに入力されたユーザー入力値です。

JMSKey

パスワードは、インストーラでOracle Identity Managerキーストアに入力されたユーザー入力値です。

CSFキーの値を変更するには:

1. Enterprise Managerにログインします。

2. ドメインを右クリックします。

3. 「セキュリティ」→「資格証明」に移動します。

4. 「OIM」を展開します。Oracle Identity Managerのキーと値のすべてのペアのリストが表示されます。この値を編集して変更できます。

32.2.5 OVDパスワードの変更

OVDパスワードを変更するには:

1. Oracle Identity Manager管理にログインします。

2. 「拡張」をクリックします。

3. 「構成」の下の「ITリソースの管理」をクリックします。

4. 「ITリソース・タイプ」リストから「ディレクトリ・サーバー」を選択します。

5. 「検索」をクリックします。

6. ディレクトリ・サーバーのITリソースを編集します。これを行うには、「管理者パスワード」フィールドに新しいOVDパスワードを入力し、「更新」をクリックします。

32.2.6 LDAPにおけるOracle Identity Manager管理者パスワードの変更

Oracle Identity Managerシステム管理者パスワードをLDAPにおいて変更するには:

1. 次に示すように、LDAPからユーザーのdnを参照します。

$ORACLE_HOME/bin/ldapsearch -D cn=orcladmin -w fusionapps1 -h localhost -p 6501 -b dc=com "cn=SYS_ADMIN" orclaccountlocked dn

ここで、SYS_ADMINは、システム管理者ユーザー・ログインです。

2. 次のようなファイルを作成します。

$ more /tmp/resetpassword_SYS_ADMIN

dn: cn=SYS_ADMIN,cn=Users,dc=us,dc=oracle,dc=com
changetype: modify
replace: userPassword
userPassword: NEW_PASSWORD

ここで、NEW_PASSWORDは、クリアテキストにするパスワードです。

3. 次に示すように、パスワードを変更します。

$ORACLE_HOME/bin/ldapmodify -D cn=orcladmin -w fusionapps1 -h localhost -p 6501 -f /tmp/ resetpassword _SYS_ADMIN

4. 次に示すように、ユーザーのパスワードが変更されていることを確認します。

$ORACLE_HOME/bin/ldapbind -D cn=SYS_ADMIN,cn=Users,dc=us,dc=oracle,dc=com -w NEW_PASSWORD -h localhost -p 6501

32.2.7 LDAPにおけるOracle Identity Manager管理者パスワードのロック解除

Oracle Identity Managerシステム管理者パスワードをLDAPにおいてロック解除するには:

1. 次に示すように、LDAPからユーザーのdnを参照します。

$ORACLE_HOME/bin/ldapsearch -D cn=orcladmin -w fusionapps1 -h localhost -p 6501 -b dc=com "cn=SYS_ADMIN" orclaccountlocked dn

orclaccountlockedの値が1の場合、ユーザーはロックされています。

2. 次のようなファイルを作成します。

$ more /tmp/unlock_SYS_ADMIN

dn: cn=SYS_ADMIN,cn=Users,dc=us,dc=oracle,dc=com
changetype: modify
replace: orclaccountlocked
orclaccountlocked: 0

3. 次に示すように、ユーザーをロック解除します。

$ORACLE_HOME/bin/ldapmodify -D cn=orcladmin -w fusionapps1 -h localhost -p 6501 -f /tmp/unlock_SYS_ADMIN

4. 次に示すように、ユーザーがロック解除されていることを確認します。

$ORACLE_HOME/bin/ldapsearch -D cn=orcladmin -w fusionapps1 -h localhost -p 6501 -b dc=com "cn=SYS_ADMIN" orclaccountlocked dn

orcladdountlockedの値は、0である必要があります。

32.3 Oracle Identity ManagerのSSLの構成

この項では、Oracle Identity Manager、およびOracle Identity Managerが相互作用して安全な通信を確立するコンポーネントの鍵の生成、証明書への署名およびエクスポート、SSL構成の設定について手順を説明します。内容は次のとおりです。

- 鍵の生成

- 証明書への署名

- 証明書のエクスポート

- 証明書のインポート

- Oracle Identity ManagerおよびSOAサーバーのSSLの有効化

- Oracle Identity Manager DBのSSLの有効化

- LDAP同期のSSLの有効化

32.3.1 キーの生成

keytoolコマンドを使用して、秘密と公開の証明書のペアを生成できます。

次のコマンドでは、アイデンティティ・キーストア(support.jks)が作成されます。

注意:

keytoolコマンドに渡すパラメータ値は、個別の要件に応じて変更してください。keytoolの引数には改行が含まれないようにしてください。

keytool -genkey
-alias support
-keyalg RSA
-keysize 1024
-dname "CN=localhost, OU=Identity, O=Oracle Corporation,C=US"
-keypass weblogic1
-keystore support.jks
-storepass weblogic1

32.3.2 証明書への署名

作成した証明書に署名するには、次のkeytoolコマンドを使用します。

注意:

keytoolコマンドに渡すパラメータ値は、個別の要件に応じて変更してください。keytoolの引数には改行が含まれないようにしてください。

./keytool -selfcert -alias support
-sigalg MD5withRSA -validity 2000 -keypass weblogic1
-keystore support.jks
-storepass weblogic1

32.3.3 証明書のエクスポート

証明書をアイデンティティ・キーストアからファイル(supportcert.pemなど)にエクスポートするには、次のkeytoolコマンドを使用します。

./keytool -export -alias support
-file supportcert.pem
-keypass weblogic1
-keystore support.jks
-storepass weblogic1

32.3.4 証明書のインポート

証明書をファイル(wlservercert.pemなど)からアイデンティティ・キーストアにインポートするには、次のkeytoolコマンドを使用します。

keytool -import -alias serverwl -trustcacerts -file D:\bea\user_projects\domains\mydomain\wlservercert.pem
-keystore CLIENT_TRUST_STORE -storepass CLIENT_TRUST_STORE_PASSWORD

32.3.5 Oracle Identity ManagerおよびSOAサーバーのSSLの有効化

SSLを有効化するには、Oracle Identity ManagerおよびSOAサーバーで次の構成を実行する必要があります。

- デフォルト設定を使用したOracle Identity ManagerのSSLの有効化

- カスタム・キーストアを使用したOracle Identity ManagerのSSLの有効化

- OimFrontEndURLをSSLポートを使用するように変更

- backOfficeURLをSSLポートを使用するように変更

- SOAサーバーURLをSSLポートを使用するように変更

- Design ConsoleのSSLの構成

- Oracle Identity Manager ユーティリティのSSLの構成

- MDSユーティリティのSSLの構成

- SPML/コールバック・ドメインのSSLの構成

32.3.5.1 Oracle Identity ManagerのSSLの有効化

Oracle Identity ManagerのSSLの有効化について、次の各項で説明します。

- デフォルト設定を使用したOracle Identity ManagerのSSLの有効化

- カスタム・キーストアを使用したOracle Identity ManagerのSSLの有効化

32.3.5.1.1 デフォルト設定を使用したOracle Identity ManagerのSSLの有効化

デフォルト設定を使用してOracle Identity ManagerおよびSOAサーバーのSSLを有効化するには、次の手順を実行します。

1. WebLogic Server管理コンソールにログインし、「サーバー」→「OIM_SERVER1」→「一般」に移動します。「一般」セクションで、SSLポートに任意の値を設定して有効化できます。

2. サーバーはリスニングを開始し、HTTPSプロトコルを使用してURLにアクセスできるようになります。

3. Oracle Identity ManagerはSSLが有効化されたSOAサーバーと相互作用する必要があるため、管理サーバーおよびSOAサーバーで同じ手順を実行します。

32.3.5.1.2 カスタム・キーストアを使用したOracle Identity ManagerのSSLの有効化

カスタム・キーストアを使用してOracle Identity ManagerのSSLを有効化するには、次の手順を実行します。

注意:

- keytoolコマンドに渡すパラメータ値は、個別の要件に応じて変更してください。keytoolの引数には改行が含まれないようにしてください。

- カスタム・キーの生成の詳細は、「鍵の生成」を参照してください。

1. WebLogic Server管理コンソールで、「環境」→「サーバー」→Server_Name (OIM_Server1)→「構成」をクリックし、「一般」をクリックします。

2. 「ロックして編集」をクリックします。

3. 「SSLリスニング・ポートの有効化」を選択します。デフォルトのポートは14001です。

4. 「キーストア」タブを選択します。

5. 「キーストア」リストから、「カスタムIDとJava標準信頼」を選択します。

6. 「カスタムIDキーストア」フィールドに、カスタムIDキーストア・ファイル名の絶対パスを入力します。次に例を示します。
DOMAIN_HOME/config/fmwconfig/support.jks

7. カスタムIDキーストア・タイプとして、JKSを指定します。

8. 「カスタムIDキーストアのパスフレーズ」および「カスタムIDキーストアのパスフレーズを確認」のフィールドにパスワード(weblogic1)を入力します。

9. 「保存」をクリックします。

10. 「SSL」タブをクリックします。

11. 秘密鍵のエイリアスとして、supportと入力します。

12. 「秘密鍵のパスフレーズ」および「秘密鍵のパスフレーズを確認」のフィールドにパスワード(weblogic1)を入力します。

13. 「保存」をクリックします。

14. 「変更のアクティブ化」をクリックします。

15. 変更内容を有効にするためにすべてのサーバーを再起動します。

16. 「証明書のエクスポート」でエクスポートした証明書をSPMLクライアントのトラストストアにインポートします。
証明書のインポートの詳細は、「証明書のインポート」を参照してください。

Oracle Identity ManagerとSOAサーバーでSSLを有効にした後、これらの間での安全な通信を確立するために、次の変更を行います。

- OimFrontEndURLをSSLポートを使用するように変更

- backOfficeURLをSSLポートを使用するように変更

- SOAサーバーURLをSSLポートを使用するように変更

32.3.5.2 OimFrontEndURLをSSLポートを使用するように変更

OimFrontEndURLは、oimアプリケーションのUIへのアクセスに使用されます。これはロード・バランサURLかWebサーバーURL (アプリケーション・サーバーでロード・バランサまたはWebサーバーが使用されている場合)、または単一アプリケーション・サーバーURLになります。これは、通常、Oracle Identity Managerによって、通知メール、またはSOAからOracle Identity ManagerへのコールバックWebサービスの送信に使用されます。

OimFrontEndURLをSSLポートを使用するように変更するには:

1. WebLogic管理サーバーおよびOracle Identity Manager管理対象サーバー(クラスタの場合は少なくとも1つのサーバー)が稼動しているときに、Enterprise Manager (EM)にログインします。
次に例を示します。

http://<AdminServer>/em

2. 「Identity and Access」→「Oracle Identity Manager」に移動します。

3. 右クリックして「システムMBeanブラウザ」を選択します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

5. OimFrontEndURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。
次に例を示します。

http://myoim.oracle.com

https://myoim.oracle.com

http://myserver.oracle.com:7001

注意:

Fusion AppsやSPMLクライアントには、SPMLの起動やコールバック・レスポンスの送信のために、Oracle Identity Manager URLが格納されています。そのため、これに対応する変更が必要になります。また、Oracle Identity ManagerにOAM/OAAM/OINが統合されている場合は、これに対応する変更も必要になります。他のコンポーネントとの統合の詳細は、第31章「他のOracleコンポーネントとの統合」を参照してください。

32.3.5.3 backOfficeURLをSSLポートを使用するように変更

backOfficeURLを変更する必要があるのは、Oracle Identity Managerがフロントオフィス/バックオフィス構成でデプロイされている場合のみです。単純なクラスタまたは非クラスタ・インストールの場合は、次の内容は適用されません。このURLは、フロントオフィス・コンポーネントからバックオフィス・コンポーネントにアクセスするために、Oracle Identity Managerで内部的に使用されます。バックオフィスにサービスを追加したり、バックオフィスからサービスを削除するには、バックオフィス/フロントオフィス構成の実装中にこの値を内部的に変更する必要があります。

backOfficeURLをSSLポートを使用するように変更するには:

1. WebLogic管理サーバーおよびOracle Identity Manager管理対象サーバー(クラスタの場合は少なくとも1つのサーバー)が稼動しているときに、Enterprise Manager (EM)にログインします。
次に例を示します。

http://<AdminServer>/em

2. 「Identity and Access」→「Oracle Identity Manager」に移動します。

3. 右クリックして「システムMBeanブラウザ」を選択します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

5. backOfficeURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。
次に例を示します。

t3://mywls1.oracle.com:8001

t3://mywls1.oracle.com:8001,mywls2.oracle.com:9001

注意:

単純なクラスタおよび非クラスタ・インストールの場合は、値は空にする必要があります。

32.3.5.4 SOAサーバーURLをSSLポートを使用するように変更

SOAサーバーURLをSSLポートを使用するように変更するには:

1. 管理サーバーおよびOracle Identity Manager管理対象サーバーが稼動しているときに、Enterprise Manager (EM)にログインします。
次に例を示します。

http://ADMINISTRATIVE_SERVER/em

2. 「Identity and Access」→「Oracle Identity Manager」に移動します。

3. 右クリックして「システムMBeanブラウザ」を選択します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→構成→「XMLConfig.SOAConfig」→「SOAConfig」に移動します。

5. Rmiurl属性とSoapurl属性の値を変更し、「適用」をクリックして変更を保存します。

注意:

Rmiurlは、SOA管理対象サーバーにデプロイされたSOA EJBにアクセスするために使用されます。

これは、アプリケーション・サーバーのURLです。(クラスタ・インストールの場合は、すべてのSOA管理対象サーバーURLのカンマ区切りのリストです)

次に例を示します。

t3://mysoa1.oracle.com:8001

t3s://mysoa1.oracle.com:8001,mysoa2.oracle.com:8002

t3://mysoa1.oracle.com:8001,mysoa2.oracle.com:8002,mysoa3.com:8003

注意:

Soapurlは、SOA管理対象サーバーにデプロイされたSOA Webサービスにアクセスするために使用されます。これは、Webサーバーまたはロード・バランサをフロントエンドとするSOAクラスタでは、WebサーバーURLまたはロード・バランサURLです。単一SOAサーバーでは、アプリケーション・サーバーURLです。

例:

http://myoimsoa.oracle.com

https://mysoa.oracle.com: 8001

32.3.5.5 Design ConsoleのSSLの構成

Oracle Identity ManagerとDesign console間に安全な接続を確立するようにDesign consoleを変更するには:

1. SSLをサポートするために必要なWebLogic Server JARを追加します。

2. webserviceclient+ssl.jarを次のコピー元からコピーします:
$WL_HOME/server/lib

次へ

$OIM_HOME/designconsole/ext

3. Design consoleでサーバー信頼ストアを使用します。これにアクセスするには、次のようにします。

1. WebLogic Server管理コンソールで、「環境」→「サーバー」に移動します。

2. <OIM_SERVER_NAME>をクリックして、Oracle Identity Mangerサーバーの詳細を表示します。

3. 「キーストア」タブをクリックし、「信頼」セクションに表示される信頼キーストアの場所を書き留めておきます。

Design ConsoleがOracle Identity Managerホストにデプロイされている場合

TRUSTSTORE_LOCATION環境変数を上記で書き留めた信頼キーストアの場所に設定します。

次に例を示します。

setenv TRUSTSTORELOCATION/scratch/user1/dogwoodsh100520/beahome/wlserver_10.3/server/lib/DemoTrust.jks

Design ConsoleがOracle Identity Managerとは別のコンピュータにデプロイされている場合

信頼キーストアをDesign consoleが表示されているボックスにコピーし、TRUSTSTORE_LOCATION環境変数を信頼キーストアをコピーしたローカル・ボックスの場所に設定します。

32.3.5.6 Oracle Identity ManagerユーティリティのSSLの構成

Oracle Identity Managerクライアント・ユーティリティには、PurgeCache、GenerateSnapshot、UploadJars、およびUploadResourcesがあります。

TRUSTSTORE_LOCATION環境変数を信頼キーストアの場所に設定します。

注意:

TRUSTSTORE_LOCATION環境変数を信頼キーストアの場所に設定する方法の詳細は、「Design ConsoleのSSLの構成」を参照してください。

次に例を示します。

setenv TRUSTSTORE_LOCATION/scratch/user1/dogwoodsh100520/beahome/wlserver_10.3/server/lib/DemoTrust.jks

32.3.5.7 MDSユーティリティのSSLの構成

WLSTスクリプトを含むすべてのOracle Identity Manager MDSユーティリティでは、スクリプトを実行しているシェルで次の環境変数を設定する必要があります。

WLST_PROPERTIES=-Dweblogic.security.SSL.ignoreHostnameVerification=true-Dweblogic.security.TrustKeyStore=DemoTrust

注意:

このプロパティを設定すると、WLSTは正常に動作するようになります。情報/注意メッセージが表示されますが、これは無視してかまいません。

32.3.5.8 SPML/コールバック・ドメインのSSLの構成

SPML/コールバック・ドメインのSSLを構成するには:

1. Oracle Identity ManagerのポートがSSL有効で、「ホスト名の検証」が「false」に設定されていることを確認します。

2. コールバック・ドメインを含むFusion ApplicationsでSSLを有効化します。

関連項目:

カスタム・キーストアを使用したOracle Identity ManagerのSSLの有効化の詳細は、「カスタム・キーストアを使用したOracle Identity ManagerのSSLの有効化」を参照してください。

3. WebLogicのデフォルトの信頼ストアを使用している場合は、SSLモードの有効化以外の変更は行わないでください。

4. デフォルト以外の証明書がある場合は、信頼できる証明書を交換して双方向の信頼を確立する必要があります。証明書への署名およびエクスポートの詳細は、「証明書への署名」および「証明書のエクスポート」を参照してください。

関連項目:

Oracle WebLogic ServerのSSLの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』のSSLの構成に関する説明を参照してください。

5. スタンドアロン・クライアントを使用して、テスト目的でSPMLリクエストを送信する場合は、次のようにする必要があります。

1. SSL対応のOIMポートにリクエストを送信するには、SPMLクライアントのコマンドに次のシステム・プロパティを追加します。

- Djavax.net.ssl.trustStore=D:\Oracle\Middleware1\wlserver_10.3\server\lib\DemoTrust.jks

注意:

Djavax.net.ssl.trustStoreパラメータの値をSSLの構成に使用されるトラストストアを指すように変更します。

WebLogicでSSLの構成に使用されるトラストストアの場所は、「Design ConsoleのSSLの構成」を参照してください。

- -Djava.protocol.handler.pkgs=weblogic.net

- -Dweblogic.security.TrustKeyStore=DemoTrust

2. webserviceclient+ssl.jarをクライアント・クラスパスに追加します。

32.3.6 Oracle Identity Manager DBのSSLの有効化

Oracle Identity Manager DBのSSLを有効化するには、次の構成を実行する必要があります。

- サーバー認証SSLモードでのDBの設定

- キーストアと証明書の作成

- Oracle Identity Managerの更新

- WebLogic Serverの更新

32.3.6.1 サーバー認証SSLモードでのDBの設定

サーバー認証SSLモードでDBを設定するには:

1. DBサーバーとリスナーを停止します。

2. listener.oraファイルを次のように構成します。

1. 次のパスに移動します。
$DB_ORACLE_HOME/network/adminディレクトリ

次に例を示します。

/scratch/user1/production-database/product/11.1.0/db_1/network/admin

2. listener.oraファイルを編集してSSLリスニング・ポートとサーバー・ウォレット・ロケーションを含めます。
次にlistener.oraファイルのサンプルを示します。

# listener.ora Network Configuration File: /scratch/rbijja/production-database/product/11.1.0/db_1/network/admin/listener.ora
# Generated by Oracle configuration tools.

SSL_CLIENT_AUTHENTICATION = FALSE

WALLET_LOCATION =
(SOURCE =
(METHOD = FILE)
(METHOD_DATA =
(DIRECTORY = /scratch/rbijja/production-database/product/11.1.0/db_1/bin/server_keystore_ssl.p12)
)
)

LISTENER =
(DESCRIPTION_LIST =
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCPS)(HOST = server1.mycompany.com)(PORT = 2484))
)
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCP)(HOST = server1.mycompany.com)(PORT = 1521))
)
)

TRACE_LEVEL_LISTENER = SUPPORT

3. sqlnet.oraファイルを次のように構成します。

1. 次のパスに移動します。
$DB_ORACLE_HOME/network/adminディレクトリ

次に例を示します。

/scratch/user1/production-database/product/11.1.0/db_1/network/admin

2. sqlnet.oraファイルを編集して次の内容を含めます。

- TCPS認証サービス

- SSL_VERSION

- サーバー・ウォレット・ロケーション

- SSL_CLIENT_AUTHENTICATIONタイプ(trueまたはfalse)

- 通信で許可されるSSL_CIPHER_SUITES(オプション)

次にsqlnet.oraファイルのサンプルを示します。

# sqlnet.ora Network Configuration File: /scratch/rbijja/production-database/product/11.1.0/db_1/network/admin/sqlnet.ora
# Generated by Oracle configuration tools.

SQLNET.AUTHENTICATION_SERVICES= (BEQ, TCPS)

SSL_VERSION = 3.0

SSL_CLIENT_AUTHENTICATION = FALSE

WALLET_LOCATION =
(SOURCE =
(METHOD = FILE)
(METHOD_DATA =
(DIRECTORY = /scratch/rbijja/production-database/product/11.1.0/db_1/bin/server_keystore_ssl.p12)
)
)

4. tnsnames.oraファイルを次のように構成します。

1. 次のパスに移動します。
$DB_ORACLE_HOME/network/adminディレクトリ

次に例を示します。

/scratch/user1/production-database/product/11.1.0/db_1/network/admin

2. tnsnames.oraファイルを編集してサービスの説明リストにSSLリスニング・ポートを含めます。
次にtnsnames.oraファイルのサンプルを示します。

# tnsnames.ora Network Configuration File: /scratch/user1/production-database/product/11.1.0/db_1/network/admin/tnsnames.ora
# Generated by Oracle configuration tools.

PRODDB =
(DESCRIPTION_LIST =
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCPS)(HOST = server1.mycompany.com)(PORT = 2484))
(CONNECT_DATA =
(SERVER = DEDICATED)
(SERVICE_NAME = proddb)
)
)
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCP)(HOST = server1.mycompany.com)(PORT = 1521))
(CONNECT_DATA =
(SERVER = DEDICATED)
(SERVICE_NAME = proddb)
)
)
)

5. DBサーバーのユーティリティを起動および停止します。

6. DBサーバーを起動します。

32.3.6.2 キーストアと証明書の作成

orapkiユーティリティを使用して、サーバー側とクライアント側のキーストアを作成できます。このユーティリティは、Oracle DBインストールの一部として出荷されます。

キーストアは、JKSやPKCS12などの任意の形式にすることができます。キーストアの形式は、プロバイダの実装によって異なります。たとえば、JKSはSun Oracleが提供する実装で、PKCS12はOraclePKIProviderが提供する実装です。

Oracle Identity Managerでは、DBサーバーにJKSクライアント・キーストアのみを使用します。これは、PKCS12などのJKS以外のキーストア形式を使用するには、リリースが差し迫っているときにインストーラ側に大きな変更を加える必要があったためです。ただし、Oracle Identity Managerにはdefault-KeyStore.jksという名前のJKS形式のキーストアがあらかじめ含まれています。

orapkiユーティリティを使用して、次のキーストアを作成できます。

- ルートCAウォレットの作成

- DBサーバー側ウォレットの作成

- クライアント側ウォレットの作成

注意:

ウォレットとキーストアは置き換え可能で、どちらも同じ意味です。これらは公開鍵および秘密鍵のリポジトリと自己署名証明書および信頼できる証明書を参照します。

ルートCAウォレットの作成

ルート認証局(CA)ウォレットを作成するには:

1. 次のパスに移動します。
$DB_ORACLE_HOME/binディレクトリ

2. 次のコマンドを使用してウォレットを作成します。

./orapki wallet create -wallet CA_keystore.p12 -pwd welcome1

3. 次のコマンドを使用して、自己署名証明書をCAウォレットに追加します。

./orapki wallet add -wallet CA_keystore.p12 -dn 'CN=root_test,C=US' -keysize 2048 -self_signed -validity 3650 -pwd welcome1

4. 次のコマンドを使用してウォレットを表示します。

./orapki wallet display -wallet CA_keystore.p12 -pwd welcome1

5. 次のコマンドを使用してCAウォレットから自己署名証明書をエクスポートします。

./orapki wallet export -wallet CA_keystore.p12 -dn 'CN=root_test,C=US' -cert self_signed_CA.cert -pwd welcome1

DBサーバー側ウォレットの作成

DBサーバー側ウォレットを作成するには:

1. 次のコマンドを使用してサーバー・ウォレットを作成します。

./orapki wallet create -wallet server_keystore_ssl.p12 -auto_login -pwd welcome1

2. 次のコマンドを使用して、証明書リクエストをサーバー・ウォレットに追加します。

./orapki wallet add -wallet server_keystore_ssl.p12/ -dn 'CN=Customer,OU=Customer,O=Customer,L=City,ST=NY,C=US' -keysize 2048 -pwd welcome1

3. 次のコマンドを使用して、証明書リクエストをファイルにエクスポートします。これは後でルートCA署名を使用して署名を受けるために使用されます。

./orapki wallet export -wallet server_keystore_ssl.p12/ -dn 'CN=Customer,OU=Customer,O=Customer,L=City,ST=NY,C=US' -request server_creq.csr -pwd welcome1

4. 次のコマンドを使用して、サーバー・ウォレットの証明書リクエストにCA署名を使用して署名を受けます。

./orapki cert create -wallet CA_keystore.p12 -request server_creq.csr -cert server_creq_signed.cert -validity 3650 -pwd welcome1

5. 次のコマンドを使用して、署名された証明書を表示します。

/orapki cert display -cert server_creq_signed.cert -complete

6. 次のコマンドを使用して、信頼された証明書をサーバー・ウォレットにインポートします。

./orapki wallet add -wallet server_keystore_ssl.p12 -trusted_cert -cert self_signed_CA.cert -pwd welcome1

7. 次のコマンドを使用して、この新規作成された署名証明書(ユーザー証明書)をサーバー・ウォレットにインポートします。

./orapki wallet add -wallet server_keystore_ssl.p12 -user_cert -cert server_creq_signed.cert -pwd welcome1

クライアント側ウォレットの作成

クライアント側(Oracle Identity Managerサーバー)ウォレットを作成するには:

1. 次のパスに移入されているdefault-keystore.jksキーストアを使用して、クライアント・キーストアを作成します。
DOMAIN_HOME/config/fmwconfig

注意:

Oracle PKCS12ウォレットをクライアント・キーストアとして使用することもできます。

2. 次のコマンドを使用して、サーバー側コマンドを使用してすでにエクスポートされている自己署名付きの信頼されたCA証明書を、クライアント・キーストア(default-keystore.jks)にインポートします。

keytool -import -trustcacerts -alias dbtrusted -noprompt -keystore default-keystore.jks -file self_signed_CA.cert -storepass xellerate

32.3.6.3 Oracle Identity Managerの更新

Oracle Identity ManagerおよびOracle Identity Manager DBでSSLモードを有効にして安全な通信を確保するには、Oracle Identity Managerで次の手順を実行する必要があります。

1. 信頼された証明書をOracle Identity Managerのdefault-keystore.jksキーストアにインポートします。

2. Enterprise Managerにログインします。

3. 「Identity and Access」→「OIM」に移動します。

4. 右クリックして「システムMBeanブラウザ」に移動します。

5. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→構成→「XMLConfig.DirectDBConfig」→「DirectDB」に移動します。

6. Sslenabled属性とUrl属性の値を変更して、「適用」をクリックします。DBでSSLモードが有効な場合は、Url属性にTCPS有効化とSSLポートを含める必要があります。
次に例を示します。

url="jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=my.domain.com)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=proddb)))"

7. Oracle Identity Managerサーバーを再起動します。

32.3.6.4 WebLogic Serverの更新

Oracle Identity Manager DBのSSLを有効にした後で、DB SSLポートを使用してOracle Identity Managerの次のデータソースと認証者を変更する必要があります。

- データソースの構成

- データソースoimJMSStoreDSの構成の更新

- データソースoimOperationsDBの構成の更新

- Oracle Identity Manager MDSに関連するデータソースの構成の更新

- Oracle Identity Manager認証者の更新

データソースの構成

データソースを構成するには:

1. Enterprise Managerにログインします。

2. ホストおよびポートの変更を行います。

注意:

データベースのホストまたはポートの変更を行う前に、Oracle Identity Managerアプリケーションをホストする管理対象サーバーを停止する必要があります。ただし、WebLogic管理サーバーは稼動させたままでかまいません。

データソースoimJMSStoreDSの構成の更新

データソースoimJMSStoreDSの構成を更新するには:

1. WebLogic Serverにログインします。

2. 「サービス」→「JDBC」→「データソース」→「oimJMSStoreDS」に移動します。

3. 「接続プール」タブをクリックして、DBのホストおよびポートの変更に合わせてURLの値とプロパティを変更します。

データソースoimOperationsDBの構成の更新

データソースoimOperationsDBの構成を更新するには:

1. Enterprise Managerにログインします。

2. 「サービス」→「JDBC」→「データソース」→「oimJMSStoreDS」に移動します。

3. 「接続プール」タブをクリックして、DBのホストおよびポートの変更に合わせてURLの値とプロパティを変更します。

Oracle Identity Manager MDSに関連するデータソースの構成の更新

Oracle Identity Manager MDSに関連するデータソースの構成を更新するには:

1. Enterprise Managerにログインします。

2. 「サービス」→「JDBC」→「データソース」→「mds-oim」に移動します。

3. 「接続プール」タブをクリックして、DBのホストおよびポートの変更に合わせてURLの値とプロパティを変更します。

注意:

必要に応じて、SOA/OWSMに関連するデータソースにも同様の更新を行ってください。

Oracle Identity Manager認証者の更新

WebLogicサーバーの既存のOracle Identity Manager認証者は、非SSL DB詳細に対して構成されており、Oracle Identity Manager DBとの通信にデータソースを使用しません。認証者でSSL DB詳細を使用するには、次の手順を実行する必要があります。

1. データソースがSSLに構成されていることを確認します。

2. WebLogic管理コンソールで、「セキュリティ・レルム」→「myrealm」→ 「プロバイダ」に移動します。

3. OIMAuthenticationProviderを削除します。

4. OIMAuthenticatorタイプの認証プロバイダを作成し、制御フラグをSUFFICIENTに設定します。

5. OIMSignatureAuthenticatorタイプの認証プロバイダを作成し、制御フラグをSUFFICIENTに設定します。

6. 認証者を次の順に並べ替えます。

1. DefaultAuthenticator

2. OIMAuthenticator

3. OIMSignatureAuthenticator

4. その他のプロバイダ(あれば)

7. すべてのサーバーを再起動します。

32.3.7 LDAP同期のSSLの有効化

Oracle Identity ManagerでSSL有効化されたOracle Virtual Directory (OVD)を使用できるようにするには、次の構成を実行する必要があります。

- OVD-OIDでのSSLの有効化

- Oracle Identity ManagerのOVDホスト/ポートの更新

32.3.7.1 OVD-OIDでのSSLの有効化

OVD-OIDでSSLを有効化するには:

1. OVD EMコンソールにログインします。

2. 「Identity and Access」を展開し、「ovd1」→「管理」→「リスナー」に移動します。

3. 「作成」をクリックし、必要なフィールドすべてに入力します。

注意:

「リスナー・タイプ」にはLDAPを選択してください。

4. 「OK」をクリックします。

5. 新規作成されたLDAPリスナーを選択し、「編集」をクリックします。

6. 「リスナーの編集 - OIM SSL ENDPOINT」ページで、新規作成されたLDAPリスナーを編集します。

7. 「OK」をクリックします。「SSL構成」ページが開きます。

8. 「SSLの有効化」チェックボックスを選択します。

9. 「拡張SSL設定」セクションで、SSL認証に対して、「認証なし」を選択します。

10. 「OK」をクリックします。

11. OVDサーバーを停止してから起動し、変更を有効にします。

注意:

再起動オプションは使用しないでください。

32.3.7.2 Oracle Identity ManagerのOVDホスト/ポートの更新

Oracle Identity ManagerでLDAPSyncが有効な場合、Oracle Identity ManagerはOVDを介してディレクトリ・サーバーに接続します。この接続にはLDAP/LDAPSプロトコルを使用します。

OVDのホストおよびポートを変更するには:

1. Oracle Identity System Administrationにログインします。

2. 「詳細」に移動し、「ITリソースの管理」をクリックします。

3. 「ITリソース・タイプとして「ディレクトリ・サーバー」を選択し、「検索」をクリックします。

4. ITリソース・ディレクトリ・サーバーで、サーバーURLを編集してSSLプロトコルとSSLポート詳細を含めます。

5. 「SSLの使用」がtrueに設定されていることを確認し、「更新」をクリックします。

33 アイデンティティおよびリソース情報の管理

この章では、Oracle Identity Manager Design Consoleのユーザー管理について説明します。次の項で構成されます。

- ユーザー管理の概要

- 組織情報の管理

- ユーザーに対して許可されているか、または許可されていないリソースの表示

- ロール権限の割当て

33.1 ユーザー管理の概要

「ユーザー管理」フォルダには、会社の組織、ユーザー、ロールおよびリソースについての情報を作成、管理するためのツールがあります。

このフォルダには次のフォームが含まれています。

- 組織デフォルト: このフォームは、組織の内部構成を反映するレコードを表示したり、これらのエンティティに関連する情報を指定するために使用します。

- ポリシーの履歴: このフォームは、従業員が必要とするユーザー・レコードを表示するために使用します。

- ロール: このフォームは、ロールのレコードを表示するために使用します。このロールは以前のリリースのOracle Identity Managerではユーザー・グループと呼ばれていたもので、これに対して共通機能を割り当てることができます。

33.2 組織情報の管理

組織デフォルト・フォームは、「ユーザー管理」フォルダにあります。このフォームは、組織の構成を反映するレコードを表示したり、組織のエンティティに関連する情報を入力および変更するために使用します。組織のレコードには、会社、部門、支店などの組織単位に関する情報が含まれます。

サブ組織は、別の組織のメンバーである組織、たとえば、会社の部門などを指します。サブ組織が所属する組織は親組織と呼ばれます。

組織デフォルト・タブは、現在の組織に対してプロビジョニングできるリソースの、カスタムのプロセス・フォームのデフォルトのパラメータ値を指定するために使用します。各プロセス・フォームは、その組織に対して許可されているリソース・オブジェクト、または関連する「リソース・オブジェクト」フォームの「すべて許可」オプションが選択されているリソースに関連付けられています。

組織デフォルト・タブで指定された値は、組織のすべてのユーザーのデフォルト値になります。パスワードや暗号化されたパラメータにはデフォルト値を指定しないことをお薦めします。

図33-1に組織デフォルト・フォームを示します。

図33-1 組織デフォルト・フォーム

「図33-1 組織デフォルト・フォーム」の説明

表33-1に、組織デフォルト・フォームのフィールドの説明を示します。

表33-1 組織デフォルト・フォームのフィールド

フィールド名

説明

組織名

組織の名前。

タイプ

組織の分類タイプ(「会社」、「部門」、「支店」など)。

ステータス

組織の現在のステータス(「有効」、「無効」または「削除」のいずれか)。

親組織

この組織が所属する組織。親組織がこのフィールドに表示される場合、この組織は親組織のサブ組織タブに表示されます。このフィールドが空の場合、この組織は最上位の組織です。

33.3 ユーザーに対して許可されているか、または許可されていないリソースの表示

ポリシーの履歴フォームは、ユーザーに対して許可されているか、または許可されていないリソースについての情報を表示するために使用します。

Oracle Identity Managerでは、次の2つのユーザー・タイプがあります。

- エンドユーザー管理者: このユーザーは、Oracle Identity Manager Design Consoleや、Oracle Identity Self Serviceにアクセスできます。システム管理者は、エンドユーザー管理者がOracle Identity Manager Design Consoleでフォームのサブセットにアクセスできるように権限を設定します。

- エンド・ユーザー: このユーザーは、Oracle Identity Self Serviceのみにアクセスでき、一般にはエンド・ユーザー管理者より少ない権限を持ちます。Oracle Identity Self Serviceを使用してリクエストをプロビジョニングする場合に、ユーザーの組織の「許可済オブジェクト」タブでセルフ・サービスとして定義されているリソース・オブジェクトのみを使用できます。

表33-1に、このフォームを示します。

図33-2 ポリシーの履歴フォーム

「図33-2 ポリシーの履歴フォーム」の説明

表33-2に、ポリシーの履歴フォームのフィールドの説明を示します。

Table 33-2 ポリシーの履歴フォームのフィールド

フィールド名

説明

ユーザーID

ユーザーのOracle Identity ManagerログインID。

名

ユーザーのファースト・ネーム。

ミドルネーム

ユーザーのミドル・ネーム。

姓

ユーザーのラスト・ネーム。

電子メール・アドレス

ユーザーの電子メール・アドレス。

開始日

ユーザーのアカウントがアクティブになる日付。

ステータス

ユーザーの現在のステータス(「有効」、「無効」または「削除」のいずれか)。

組織

ユーザーが所属する組織。

ユーザー・タイプ

ユーザーの分類ステータス。有効なオプションは、「エンドユーザー」と「エンドユーザー管理者」です。Oracle Identity Manager Design Consoleへのアクセス権があるのは「エンドユーザー管理者」のみです。

従業員タイプ

親組織でのユーザーの雇用ステータス(たとえば、フルタイム、パート、研修生など)。

マネージャID

ユーザーのマネージャ。

終了日

ユーザーのアカウントが無効になる日付。

作成日

ユーザー・レコードが作成された日付と時刻。

33.3.1 ポリシーの履歴タブ

このタブは、次の基準に基づいてユーザーに対して許可されているか、または許可されていないリソース・オブジェクトを表示するために使用します。

- ユーザーが所属するユーザー・グループのアクセス・ポリシー

- ユーザーが所属する組織によって許可されているリソース・オブジェクト

ポリシーの履歴タブには、表示選択リージョンが含まれます。このタブの内容を整理するには、次に示すように、このリージョンの一番上のボックスに移動し、そのメニューから項目を選択します。

- リソース・ポリシー・サマリー: ユーザーの組織および適用されるアクセス・ポリシーに基づいて許可されているか、または許可されていないリソース・オブジェクトを表示します。

- 組織による不許可: ユーザーの組織に基づいて、許可されていないリソース・オブジェクトのみを表示します。

- ポリシーによるリソース: ユーザーがメンバーであるユーザー・グループのアクセス・ポリシーが含まれる2番目のボックスを表示します。
アクセス・ポリシーに基づいてユーザーに対して許可されているか、または許可されていないリソース・オブジェクトを表示するには、このボックスからアクセス・ポリシーを選択します。

追跡システムを使用すると、ユーザーがメンバーである組織と、ユーザーに適用されるアクセス・ポリシーに基づいて、ユーザーが許可されているか、または許可されていないリソースを表示できます。

ユーザーに対して許可されているリソース・オブジェクトは、許可されたリソース・リストに表示されます。このリストは、そのユーザーに対してプロビジョニングできるリソース・オブジェクトを表しています。そのユーザーに対してプロビジョニングされているリソース・オブジェクトを表しているわけではありません。

そのユーザーに対して拒否されているリソース・オブジェクトは、許可されていないリソース・リストに表示されます。

追跡システムを表示するには:

1. ポリシーの履歴タブに移動します。

2. このタブで表示選択リージョンを見つけます。

3. ポリシーの履歴をクリックします。

ユーザー・ポリシー・プロファイルの履歴ウィンドウから、次に示す手順で選択したユーザーおよび日時に対して許可されているか、または許可されていないリソースを表示できます。

- 履歴日付ボックスで、日付を選択できます。

- 「表示タイプ」ボックスから、ユーザーがメンバーである組織と、ユーザーに適用されるアクセス・ポリシーの、いずれかまたは両方に基づいて、ユーザーが許可されているか、または許可されていないリソースを表示できます。

- 「ポリシー」ボックスから、そのユーザーに対してどのリソース・オブジェクトが許可されるか許可されないかを決定するアクセス・ポリシーを表示できます。

33.4 ロール権限の割当て

グループ権限フォームは、「ユーザー管理」フォルダに表示されます。これは、フォームの作成と移動、およびロールのメンバーがエクスプローラを使用してアクセスできるフォームおよびフォルダの指定を行うために使用します。

グループ権限フォームを使用してロールに対するフォームおよびフォルダを指定するには、次のようにします。

1. エクスプローラで、グループ権限をダブルクリックします。
図33-3に示すように、ユーザー・グループ情報ページが表示されます。

図33-3 ロール・フォーム

「図33-3 ロール・フォーム」の説明

2. 「グループ名」フィールドに、ロールの名前を入力します。

3. 「割当て」をクリックします。
ユーザー・フォームの「割当て」参照表が表示されます。

4. 参照表から、このロールに対するユーザー・フォームを選択します。
矢印ボタンを使用して、割当てられるフォームリストに対して追加や削除を行います。

5. 「OK」をクリックします。
新しく追加したユーザー・フォームはグループ権限表にリストされます。グループ権限表には、選択できるすべてのロールが表示されます。この表には、ユーザー・フォームの名前とタイプが表示されます。グループ権限表には、javaformとfolderの2つのタイプがあります。javaformはJavaベースのグラフィカル・インタフェースです。folderには、1つ以上のjavaformが含まれています。

関連項目:

Oracle Identity Managerの既存ロールの詳細は、「デフォルトのロール」を参照してください。

34 デプロイメントの保護

Oracle Identity Managerデプロイメントの保護は、認可と強化を利用して行います。認可は、様々なコンポーネントへのアクセスを制御します。強化は、潜在的なセキュリティ上の脅威からコンポーネントを保護します。

表34-1に、Oracle Identity Managerデプロイメントの保護に関する情報を参照できる様々なトピックを示します。

表34-1 デプロイメントの保護

トピック

トピックのタイプ

記載されている情報

「スケジューラの管理」

強化

スケジュール済タスクとスケジュール済ジョブ。必要なスケジュール済タスクのみが有効化されていることを確認してください。

「Oracle Identity Managerのシステム・プロパティ」

強化

システム動作に関連するシステム・プロパティ。パスワード・ポリシーおよびチャレンジ質問と回答が定義されていることを確認してください。

「コネクタのインストールのためのユーザー・アカウントの作成」

強化

コネクタをインストールするための固有の権限。

「セキュアなCookieの有効化」

強化

Oracle Identity ManagerのSSL経由での動作の有効化。

『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』のアイデンティティ・ストア・サービスとディレクトリ・サーバー間のSSLの有効化に関する説明

強化

Microsoft Active Directory、iPlanet Directory ServerおよびOracle Internet Directory for Identity Store Service固有の指示

『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』のLDAP同期が有効化されている場合のLDAP認証の構成に関する説明

強化

LDAP認証の有効化。

「Oracle Identity Managerに関連するURL変更」

強化

統合された依存アプリケーションでの変更に対応して、Oracle Identity ManagerおよびOracle WebLogicで構成変更を行う手順。

「Oracle Identity Managerに関連するパスワード変更」

強化

依存製品または統合された製品でパスワードが変更された場合に、Oracle Identity MangerおよびOracle WebLogic構成のパスワードを変更する手順。

「Oracle Identity ManagerのSSLの構成」

強化

SSLの構成によるOracle Identity Managerの保護。

「パスワード・ポリシーの管理」

強化

パスワード・ポリシーの構成。

「信頼関係の追加」

強化

Remote Manager SSLの構成。

「独自の証明書を使用したRemote Managerの構成」

強化

デフォルトのOracle Identity Manager証明書のかわりに独自の証明書を使用したRemote Manager構成。

『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のセキュリティ・アーキテクチャに関する説明

認可

Oracle Identity Managerの認可およびセキュリティ・モデル

『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のロールの権限のチェックに関する説明

認可

ロールのインポートおよびエクスポートの際のロールの権限。データ・オブジェクトが欠落している場合は、データ・オブジェクト権限を設定する際のエラーを確認してください。

関連項目:

Oracle Identity Managementソフトウェアの統合および関連セキュリティの詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』および『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』を参照してください。

第X部

付録

この部は、次の付録で構成されています。

- 付録A「Oracle Identity ManagerのSSOプロバイダの構成」

- 付録B「チャレンジ質問および回答のローカライズ」

A Oracle Identity ManagerのSSOプロバイダの構成

この付録では、Oracle Identity Managerでシングル・サインオン(SSO)を使用可能にするための構成手順について説明します。このためには、Oracle Identity ManagerでOpenSSO、IBM Tivoli Access ManagerおよびCA SiteMinderといったサードパーティのSSOプロバイダを使用できるようにします。

この付録には、次の項が含まれます。

- Oracle Identity ManagerでのOpenSSOの使用可能化

- Oracle Identity ManagerでのIBM Tivoli Access Managerの使用可能化

- Oracle Identity ManagerでのCA SiteMinderの使用可能化

- XIMDD用のSSOの構成

A.1 Oracle Identity ManagerでのOpenSSOの使用可能化

この項の内容は次のとおりです。

- 前提条件

- Oracle Identity ManagerとOpenSSOとの統合

- 構成を検証するための検証テストの実行

A.1.1 前提条件

Oracle Identity ManagerとOpenSSOとの統合の前提条件は次のとおりです。

- Oracle Identity Manager 11g リリース2 (11.1.2)がインストールされ実行されていること。

- OpenSSO 8.0がインストールされ構成されていること。

- Oracle WebLogic Server/Portal 10用OpenSSO Enterpriseポリシー・エージェント3.0 (weblogic_v10_agent_3)がインストールされていること。

- Oracle Identity Managerのアイデンティティ情報が、OpenSSOでユーザー・データ・ストアとして構成されているLDAPサーバーと同期されていること。これにはたとえば、Oracle Identity ManagerのLDAP同期機能を使用できます。

A.1.2 Oracle Identity ManagerとOpenSSOとの統合

Oracle Identity Manager 11g リリース2 (11.1.2)をOracle WebLogic Server上のOpenSSO 8.0と統合するには:

1. OpenSSOを起動します。

2. Oracle Identity Managerを起動します。

3. OpenSSOポリシー・エージェントを、Oracle Identity Managerドメインの管理サーバーにインストールします。これを行うには、次のようにします。

1. OpenSSOにJ2EEエージェント・プロファイルを作成します。プロファイルの作成の詳細は、OpenSSOのドキュメントのポリシー・エージェントに関する説明を参照してください。

2. WebLogic管理サーバーにエージェントをインストールします。agentadminユーティリティを使用して、エージェントをインストールします。OpenSSOのドキュメントのポリシー・エージェントに関する説明を参照してください。

4. OpenSSOポリシー・エージェントを、Oracle Identity ManagerドメインのOracle Identity Manager管理対象サーバーにインストールします。そのためには、Oracle Identity Manager管理対象サーバーにエージェントをインストールします。管理対象サーバーへのエージェントのインストールの詳細は、OpenSSOのドキュメントのポリシー・エージェントに関する説明を参照してください。ステップ3.aで作成したエージェント・プロファイルと同じエージェント・プロファイルを使用します。

注意:

Oracle Identity Managerのクラスタ化デプロイメントの場合、各Oracle Identity Manager管理対象サーバーにポリシー・エージェントをインストールします。

5. インストール後にOpenSSOポリシー・エージェントを構成するには:

注意:

Oracle Identity Managerのクラスタ化デプロイメントの場合、OpenSSOポリシー・エージェントを各Oracle Identity Manager管理対象サーバーで構成する必要があります。

1. WebLogic Serverインスタンスを構成し、エージェントのクラスパスとJAVAオプションを設定します。

2. 管理サーバーと管理対象サーバーにエージェント・アプリケーションをデプロイします。

3. エージェント認証プロバイダをデプロイして構成します。

4. WebLogic管理者をバイパス・リストに追加します。

5. OIM Webアプリケーションにエージェント・フィルタをインストールします。この手順では、OpenSSOエージェント・フィルタを、OIMユーザー・ログインをサポートするすべてのOracle Identity Manager Webアプリケーションに追加します。これを行うには、次のようにします。

注意:

対応するデプロイメント・ディスクリプタは次の場所にあります。

- IDM_ORACLE_HOME/server/apps/oim.ear/iam-consoles-faces.war/WEB-INF/web.xml

- IDM_ORACLE_HOME/server/apps/oracle.iam.console.identity.self-service.ear/oracle.iam.console.identity.self-service.war/WEB-INF/web.xml

- IDM_ORACLE_HOME/server/apps/oracle.iam.console.identity.sysadmin.ear/oracle.iam.console.identity.sysadmin.war/WEB-INF/web.xml

i) IDM_ORACLE_HOME/server/apps/ディレクトリに移動します。

ii) oim.ear/iam-consoles-faces.war/WEB-INF/web.xmlファイルのバックアップを作成し、これを編集してOpenSSOのドキュメントに記載されているフィルタ要素を追加します。変更を保存します。

iii) oracle.iam.console.identity.self-service.earファイルのバックアップを作成し、これを一時的な場所に抽出します。次にoracle.iam.console.identity.self-service.warファイルを抽出します。WEB-INF/web.xmlを編集してOpenSSOのドキュメントに記載されているフィルタ要素を追加します。oracle.iam.console.identity.self-service.warと変更されたweb.xmlを再パッケージし、oracle.iam.console.identity.self-service.earと変更されたoracle.iam.console.identity.self-service.warを再パッケージします。

iv) oracle.iam.console.identity.sysadmin.earのバックアップを作成し、これを一時的な場所に抽出します。次にoracle.iam.console.identity.sysadmin.warファイルを抽出します。WEB-INF/web.xmlを編集してOpenSSOのドキュメントに記載されているフィルタ要素を追加します。oracle.iam.console.identity.sysadmin.warと変更されたweb.xmlを再パッケージし、oracle.iam.console.identity.sysadmin.earと変更されたoracle.iam.console.identity.sysadmin.warを再パッケージします。

注意:

ステップiiiおよびivの実行後に、変更されたEARファイルと元のEARファイルの差のみがweb.xmlファイルに含まれていることを確認してください。

v) Oracle Identity Managerインスタンスを停止します。

vi) OIM_DOMAIN_HOME/servers/OIM_SERVER_INSTANCE/tmp/_WL_user/ディレクトリに移動します。設定がMicrosoft Windows上の場合、OIM_DOMAIN_HOME\servers\OIM_SERVER_INSTANCE\tmp\_WL_user\ディレクトリに移動します。

vii) oracle.iam.console.identity.self-service.earとoracle.iam.console.identity.sysadmin.earのUIアプリケーションに固有のディレクトリを削除します。典型的なOracle Identity Manager設定では、削除対象ディレクトリはoracle.iam.console.identity.self-service.ear_V2.0とoracle.iam.console.identity.sysadmin.ear_V2.0です。

viii) Oracle Identity Manager管理対象サーバーのインスタンスを再起動してから、ステップviで示したディレクトリ・パスにディレクトリが再作成されていることを確認します。

6. Oracle Identity Manager管理対象サーバーのエージェント・プロファイルをOracle Identity ManagerのURL情報で更新します。これを行うには、次のようにします。

1. OpenSSOアプリケーションにログインし、Oracle Identity Manager管理対象サーバーのエージェント・プロファイルを選択します。

2. 一般タブをクリックします。エージェント・フィルタ・モードを変更します。既存の値をすべて削除します。空のキーを持つ新しい値と、対応するマップ値としてJ2EE_POLICYを追加します。

3. アプリケーション・タブをクリックします。各セクションを次のように更新します。

- ログイン・フォームURI。次の行を追加します。

/oim/faces/pages/Login.jspx
/identity/faces/signin
/sysadmin/faces/signin

- ログイン・エラーURI。次の行を追加します。

/identity/faces/signin
/sysadmin/faces/signin
/oim/faces/pages/LoginError.jspx

- 非強制URI処理。次の行を追加します。

/identity/faces/register
/identity/faces/forgotpassword
/identity/faces/trackregistration
/identity/faces/forgotuserlogin
/identity/faces/accountlocked
/identity/adfAuthentication
/identity/afr/blank.html
/sysadmin/adfAuthentication
/sysadmin/afr/blank.html
/sysadmin/faces/noaccess
/oim/afr/blank.html
/workflowservice/*
/callbackResponseService/*
/spml-xsd/*

7. Oracle Identity ManagerでSSOを構成します。これを行うには、次のようにします。

1. WebLogic認証者を設定します。これを行うには、次のようにします。
i) OpenSSOにより使用されるユーザー・データ・ストアに対応するLDAPサーバー用のWebLogic認証プロバイダを追加して構成します。たとえば、OpenSSOによりSun DSEEが使用される場合は、iPlanet認証プロバイダを構成します。制御フラグをSUFFICIENTに設定します。

注意:

すべてのOracle Identity Managerユーザーが、認証者が指定するLDAPサーバーと同期されていることを確認してください。

ii) Oracle Identity Managerの署名認証プロバイダ(OIMSignatureAuthenticator)を追加して構成します。制御フラグをSUFFICIENTに設定します。

iii) 認証者チェーンを次の順序で並べます。

- DefaultAuthenticator - SUFFICIENT

- OIMSignatureAuthenticator - SUFFICIENT

- AgentAuthenticator - OPTIONAL

- LDAPAuthenticator - SUFFICIENT

- DefaultIdentityAsserter

2. 次のコマンドを実行して、OpenSSOログアウトURLを実行するようにOracle Identity Managerログアウトを変更します。

cd <IDM_ORACLE_HOME>/common/bin
./wlst.sh
connect()
addOAMSSOProvider(loginuri="/${app.context}/adfAuthentication", logouturi="http(s)://openssohost:openssoport/opensso/UI/Logout", autologinuri="/obrar.cgi")
exit()

3. Oracle Identity Manager ssoenabledフラグをtrueに設定します。これを行うには、次のようにします。
i) Enterprise Managerにログインします。システムMBeanブラウザを開きます。

ii) oracle.iam:Location=oim_server1,name=SSOConfig,type=XMLConfig.SSOConfig,XMLConfig=Config,Application=oim,ApplicationVersion=11.1.1.3.0 MBeanを開きます。

iii) ssoEnabledの値をtrueに設定します。

8. Oracle Identity Managerドメインを再起動します。

9. 次のURLに移動して構成をテストします。
http://OIM_HOST:OIM_PORT/identity/

ページはOpenSSOログイン・ページにリダイレクトされます。有効なOracle Identity Managerユーザーとしてログインします。

A.1.3 構成を検証するための検証テストの実行

次の検証手順を実行して、Oracle Identity ManagerとOpenSSOとの統合が正常に行われたかどうかを検証します。

SSOを使用したOracle Identity Managerへのユーザー・ログイン

前提条件: Oracle Identity ManagerとLDAPにユーザー(ENDUSER001など)を作成します。

手順: 作成したユーザー(ENDUSER001など)として、SSOを使用してOracle Identity Managerにログインし、問題なくログインできるかどうかを確認します。

期待される結果: ログインは正常に行われます。

Oracle Identity Managerへのクライアントベース・ログイン

前提条件: Oracle Identity Manager Design Consoleがインストールされ構成されていることを確認します。

手順: SSOパスワードを使用してシステム管理者としてDesign Consoleにログインします。

期待される結果: LDAPAuthenticatorがSSOログインに関して適切に構成されていれば、Design Consoleに問題なくログインできます。

署名ベースの認証

署名ベースの認証をテストするには:

1. スケジューラ・サービスURLにアクセスします。これは、次に示すOracle Identity Manager管理対象サーバー・ポート上で実行されている必要があります。
http://OIM_HOST:OIM_PORT/SchedulerService-web

2. SSOパスワードを使用して、システム管理者としてログインします。

3. ログインが成功し、次の詳細が画面に表示されている場合、署名ログインは成功です。
スケジューラの現在のステータス: 起動済

最後のエラー: なし

4. 次の内容が表示された場合は、そのページで「開始」をクリックします。
スケジューラの現在のステータス: 停止済

ページにエラーが表示されていない場合、署名ログインは成功しています。

A.2 Oracle Identity ManagerでのIBM Tivoli Access Managerの使用可能化

この項の内容は次のとおりです。

- 前提条件

- Oracle Identity ManagerとIBM Tivoli Access Managerとの統合

- 構成を検証するための検証テストの実行

A.2.1 前提条件

Oracle Identity ManagerとOpenSSOとの統合の前提条件は次のとおりです。

- Oracle Identity Manager 11g リリース2 (11.1.2)がインストールされていること。

- IBM Tivoli Access Manager (TAM) for e-business 6.1がインストールされていること。

- TAM 6.1対応Oracle WebLogic Server用のIBM Tivoli Access Manager AdapterおよびOracle WebLogic Server 10gまたは11gがインストールされていること。

- Oracle Identity Managerのアイデンティティ情報が、TAMにより使用されるLDAPレジストリのアイデンティティ情報と同期されていること。これにはたとえば、Oracle Identity ManagerのLDAP同期機能を使用できます。

- フォーム・ベースのログインがTAMで有効になっていること。

A.2.2 Oracle Identity ManagerとIBM Tivoli Access Managerとの統合

Oracle Identity Manager 11g リリース2 (11.1.2)をIBM Tivoli Access Manager for e-business 6.1と統合するには:

1. IBM Tivoli Access Managerを起動します。

2. Oracle Identity Managerを起動します。

3. websealおよびWebLogic間の接続を設定します。これを行うには、次のようにします。

1. websealをOracle Identity Manager WebLogic Serverに接続するためのジャンクションを作成します。

2. websealのログアウトおよびログイン・ページを構成します。

3. weblogicセキュリティ・プロバイダをデプロイします。
Oracle WebLogic Server用IBM Tivoli Access Manager Adapterに付属の、TAMとweblogicの統合に関するドキュメントを参照してください。詳細を次に示します。

- ジャンクションの作成時には、Oracle Identity Manager上の非SSLポートとSSLポートの両方を考慮してください。

- 保護されたリソースにwebsealジャンクションを作成する場合は、必ず「-c iv-user」(iv-user HTTPヘッダーの挿入)オプションを使用してください。

- 保護する/保護しない必要があるリソースのリストを次に示します。
次のリソースは保護します。

/oim

/xlWebApp

/Nexaweb

/identity

/sysadmin

次のURIは保護しません。

/identity/faces/register

/identity/faces/forgotpassword

/identity/faces/trackregistration

/identity/faces/forgotuserlogin

/identity/faces/accountlocked

/identity/adfAuthentication

/identity/afr/blank.html

/sysadmin/adfAuthentication

/sysadmin/afr/blank.html

/sysadmin/faces/noaccess

/oim/afr/blank.html

次のリソースは保護しません。

/workflowservice

/callbackResponseService

/spml-xsd

- Tivolli Access Managerアイデンティティ・アサーション・プロバイダ(AMIdentityAsserterLite)のみを構成します。構成時に「iv-user」オプションを選択します。

- Tivolli Access Managerアイデンティティ認証プロバイダは構成しません。

- TAMにより使用されるLDAPレジストリに対応するLDAPサーバー用のWebLogic認証プロバイダを構成します。たとえば、TAMによりSun DSEEが使用される場合は、iPlanet認証プロバイダを構成します。制御フラグをSUFFICIENTに設定します。Oracle Identity Managerのすべてのユーザーが、このLDAPサーバーに同期されていることを確認します。LDAPサーバーに存在しないOracle Identity Managerユーザーは、Oracle Identity Managerにログインできません。

- Oracle Identity Managerの署名認証プロバイダ(OIMSignatureAuthenticationProvider)を構成します。構成時にOracle Identity Managerデータベースの詳細を指定します。OIMAuthenticationProviderで指定したものと同じ詳細を使用できます。制御フラグをSUFFICIENTに設定します。

- 認証者チェーンを次の順序で並べます。
TAMIdentityAsserter

OIMSignatureAuthenticator - SUFFICIENT

LDAPAuthenticator - SUFFICIENT

DefaultAuthenticator - SUFFICIENT

DefaultIdentityAsserter

4. 次のコマンドを使用して、TAMログアウトURLを実行するようにOracle Identity Managerログアウトを変更します。

cd <IDM_ORACLE_HOME>/common/bin
./wlst.sh
connect()
addOAMSSOProvider(loginuri="/${app.context}/adfAuthentication", logouturi="http(s)://<webseal-host:port>/pkmslogout", autologinuri="/obrar.cgi")
exit()

5. OIM ssoenabledフラグをtrueに設定します。これを行うには、次のようにします。

1. Enterprise Managerにログインします。システムMBeanブラウザを開きます。

2. oracle.iam:Location=oim_server1,name=SSOConfig,type=XMLConfig.SSOConfig,XMLConfig=Config,Application=oim,ApplicationVersion=11.1.1.3.0 MBeanを開きます。

3. ssoEnabledの値をtrueに設定します。

6. Oracle Identity Managerを再起動します。

7. 次のURLに移動して構成をテストします。
http(s)://WEBSEAL_HOST:WEBSEAL_PORT/identity/faces/home

TAMログイン・ページが表示されます。有効なOracle Identity Managerユーザーとしてログインすると、ログインが成功します。

A.2.3 構成を検証するための検証テストの実行

次の検証手順を実行して、Oracle Identity ManagerとTAMとの統合が正常に行われたかどうかを検証します。

SSOを使用したOracle Identity Managerへのユーザー・ログイン

前提条件: Oracle Identity ManagerとLDAPにユーザー(ENDUSER001など)を作成します。

手順: 作成したユーザー(ENDUSER001など)として、SSOを使用してOracle Identity Managerにログインし、問題なくログインできるかどうかを確認します。

期待される結果: ログインは正常に行われます。

Oracle Identity Managerへのクライアントベース・シングル・ログイン

前提条件: Oracle Identity Manager Design Consoleがインストールされ構成されていることを確認します。

手順: SSOパスワードを使用してシステム管理者としてDesign Consoleにログインします。

期待される結果: LDAPAuthenticatorがSSOログインに関して適切に構成されていれば、Design Consoleに問題なくログインできます。

署名ベースの認証

署名ベースの認証をテストするには:

1. スケジューラ・サービスURLにアクセスします。これは、次に示すOracle Identity Manager管理対象サーバー・ポート上で実行されている必要があります。
http://OIM_HOST:OIM_PORT/SchedulerService-web

2. SSOパスワードを入力して、システム管理者としてログインします。

3. ログインが成功し、次の詳細が画面に表示されている場合、署名ログインは成功です。
スケジューラの現在のステータス: 起動済

最後のエラー: なし

4. 次の内容が表示された場合は、そのページで「開始」をクリックします。
スケジューラの現在のステータス: 停止済

ページにエラーが表示されていない場合、署名ログインは成功しています。

A.3 Oracle Identity ManagerでのCA SiteMinderの使用可能化

この項の内容は次のとおりです。

- 前提条件

- Oracle Identity ManagerとCA SiteMinderとの統合

- 構成を検証するための検証テストの実行

A.3.1 前提条件

Oracle Identity ManagerとCA SiteMinderとの統合の前提条件は次のとおりです。

- Oracle Identity Managerがインストールされていること。

- Oracle Identity Managerのアイデンティティ情報が、Siteminderにより使用されるLDAPレジストリのアイデンティティ情報と同期されていること。これには、Oracle Identity ManagerのLDAP同期機能を使用できます。

A.3.2 Oracle Identity ManagerとCA SiteMinderとの統合

Oracle Identity ManagerをCA SiteMinderと統合するには:

1. Siteminderのインストール・ドキュメントを参照して、Siteminder WebLogicエージェントをインストールします。インストールGUIの指示に従います。

2. setDomainEnv.shファイルを編集して、次のように変数を設定します。

ASA_HOME='PATH_TO_SITEMINDER_AGENT_HOME'
export ASA_HOME

SMASA_CLASSPATH="$ASA_HOME/conf:$ASA_HOME/lib/smagentapi.jar:$ASA_HOME/lib/smjavasdk2.jar:$ASA_HOME/lib/sm_jsafe.jar:$ASA_HOME/lib/smclientclasses.jar:$ASA_HOME/lib/sm_jsafeJCE.jar"
export SMASA_CLASSPATH

SM_JAVA_OPTIONS=" -Dsmasa.home=$ASA_HOME"
export SM_JAVA_OPTIONS

CLASSPATH=${SMASA_CLASSPATH}:${CLASSPATH}
export CLASSPATH

3. startWebLogic.shファイルを編集して、次のようにSM_JAVA_OPTIONSをJAVAコマンドに追加します。

$JAVA_HOME/bin/java ${JAVA_VM} ${MEM_ARGS} -Dweblogic.Name=${SERVER_NAME} -Djava.security.policy=${WL_HOME}/server/lib/weblogic.policy ${JAVA_OPTIONS}
${SM_JAVA_OPTIONS} ${PROXY_SETTINGS} ${SERVER_CLASS}

4. ASA_HOME/conf/WebAgent.confファイルを編集して、EnableWebAgentパラメータの値をYESに変更します。

5. 管理対象サーバーおよび管理サーバーをすべて再起動します。

6. Weblogic認証チェーンで、SiteminderIdentityAsserterおよびSiteminderAuthenticationProviderを追加/構成します。アイデンティティ・アサータの共通構成で、SMSESSIONを選択します。

7. 「プロバイダ固有」サブタブで、「SMアイデンティティ・アサータ構成ファイル:」フィールドをASA_HOME/conf/WebAgent.confに設定します。

8. SiteminderAuthenticationProvider 'ProviderSpecific'で、「SM認証プロバイダ構成ファイル:」をASA_HOME/conf/WebAgent.confに更新します。

9. 認証チェーンから既存のOIMAuthenticationProviderを削除します。

10. OIMSignatureAuthenticatorを認証チェーンに追加します。制御フラグをSUFFICIENTに設定します。

11. 表A-1に示すように認証チェーンを並べ替えます。

表A-1 認証チェーン

認証プロバイダ

制御フラグ

SiteminderIdentityAsserter

DefaultAuthenticator

SUFFICIENT

OIMSignatureAuthenticator

SUFFICIENT

SiteminderAuthenticationProvider

SUFFICIENT

DefaultIdentityAsserter

SUFFICIENT

注意:

表A-1に示されている順序では、OIMAuthenticationProviderが削除されています。そのため、ブラウザ(http/https)またはDesign Consoleログインやt3/t3sルーティングなどの非HTTPのいずれかを使用するすべての認証をSiteminder SSOで処理する必要があります。Oracle Identity Managerでは署名認証のみが処理されます。

12. ドメイン内の管理サーバーおよびすべての管理対象サーバーを再起動します。

13. 次のコマンドを使用して、OIMのSSOログアウトを構成します。

cd <IDM_ORACLE_HOME>/common/bin

./wlst.sh

connect()

addOAMSSOProvider(loginuri="/${app.context}/adfAuthentication", logouturi="SITEMINDER_LOGOUT_URL", autologinuri="/obrar.cgi")

exit()

注意:

connect()呼出しにより、管理サーバーのURLとWebLogic管理ユーザー名およびパスワードを求められます。

14. Oracle Identity Managerのssoenabledフラグをtrueに設定します。これを行うには、次のようにします。

1. Enterprise Managerにログインし、システムMBeanブラウザを開きます。

2. oracle.iam:Location=oim_server1,name=SSOConfig,type=XMLConfig.SSOConfig,XMLConfig=Config,Application=oim,ApplicationVersion=11.1.1.3.0 MBeanを開きます。

3. ssoEnabledの値をtrueに設定します。

15. ドメイン内の管理サーバーおよびすべての管理対象サーバーを再起動します。

16. 保護する/保護しないOracle Identity Managerリソースを次に示します。

- 次のリソースは保護します。
/identity

/sysadmin

/oim

/xlWebApp

/Nexaweb

- 次のURIは保護しません。
/identity/faces/register

/identity/faces/forgotpassword

/identity/faces/trackregistration

/identity/faces/forgotuserlogin

/identity/faces/accountlocked

/identity/adfAuthentication

/identity/afr/blank.html

/sysadmin/adfAuthentication

/sysadmin/afr/blank.html

/sysadmin/faces/noaccess

/oim/afr/blank.html

- 次のリソースは保護しません。
/workflowservice

/callbackResponseService

/spml-xsd

17. Oracle Identity Managerへのクライアントベース・ログインをサポートするには、smclientclasses.jarをクライアントのクラスパスに追加する必要があります。クライアントのクラスパスを設定するには:

1. cdコマンドを使用して、OIM_ORACLE_HOME/server/bin/ディレクトリに移動します。

2. VIエディタでsetEnv.shファイルを開きます。

3. smclientclasses.jarを、最後にあるCLASSPATH変数に追加します。この設定によって、OIM_ORACLE_HOME/server/binにあるほとんどのクライアント・ユーティリティを実行しながら、Oracle Identity Managerへのクライアント・ログインを正常に実行できます。
ただし、Design Consoleログインを行えるようにするには、このログイン用に別個にクライアントのクラスパスを設定する必要があります。これを行うには、次のようにします。

1. OIM_ORACLE_HOME/designconsoleディレクトリに移動します。

2. VIエディタでclasspath.shファイルを開きます。

3. smclientclasses.jarを、最後にあるCLASSPATH変数に追加します。

A.3.3 構成を検証するための検証テストの実行

次の検証手順を実行して、Oracle Identity ManagerとCA SiteMinderとの統合が正常に行われたかどうかを検証します。

SSOを使用したOracle Identity Managerへのユーザー・ログイン

前提条件: Oracle Identity ManagerとLDAPにユーザー(ENDUSER001など)を作成します。

手順: 作成したユーザー(ENDUSER001など)として、SSOを使用してOracle Identity Managerにログインし、問題なくログインできるかどうかを確認します。

期待される結果: ログインは正常に行われます。

Oracle Identity Managerへのクライアントベース・ログイン

前提条件: Oracle Identity Manager Design Consoleがインストールされ構成されていることを確認します。

手順: SSOパスワードを使用してシステム管理者としてDesign Consoleにログインします。

期待される結果: SiteminderAuthenticationProviderがSSOログインに関して適切に構成されていれば、Design Consoleに問題なくログインできます。

署名ベースの認証

署名ベースの認証をテストするには:

1. スケジューラ・サービスURLにアクセスします。これは、次に示すOracle Identity Manager管理対象サーバー・ポート上で実行されている必要があります。
http://OIM_HOST:OIM_PORT/SchedulerService-web

2. SSOパスワードを入力して、システム管理者としてログインします。

3. ログインが成功し、次の詳細が画面に表示されている場合、署名ログインは成功です。
スケジューラの現在のステータス: 起動済

最後のエラー: なし

4. 次の内容が表示された場合は、そのページで「開始」をクリックします。
スケジューラの現在のステータス: 停止済

ページにエラーが表示されていない場合、署名ログインは成功しています。

A.4 XIMDD用のSSOの構成

SSOをXIMDD用に構成するには:

1. web.xmlファイルをXIMDDで編集します。これを行うには、次のようにします。

1. XIMDD.earファイルをサーバーで特定します。場所はOIM_ORACLE_HOME/server/webapp/optional/XIMDD.earです。

2. XIMDD.earファイルを一時的な場所でjarにより解凍します。これには、XIMDD.warが含まれています。

3. XIMDD.warファイルをtarにより解凍し、WEB-INF/web.xmlファイルを編集します。

4. web.xmlファイルの末尾にlogin-configセクションがあります。ここで、<auth-method>の場合、次に示すように、現在値のFORMに加えてCLIENT-CERTを追加します。

<auth-method>CLIENT-CERT, FORM</auth-method>

5. 更新したweb.xmlでJARを再作成してから、XIMDD.earにパックします。

2. XIMDD.earをデプロイします。これを行うには、次のようにします。

1. XIMDD.earを「デプロイメント」画面から選択し、「起動」をクリックして、アプリケーションを起動します。

2. Oracle WebLogic管理コンソールにログインします。

3. 左側のナビゲーション・ペインで、「デプロイメント」をクリックします。サーバーにデプロイされているすべてのアプリケーションがリストされます。

4. 「インストール」をクリックします。

5. EARファイルをデプロイする場所に移動します。通常、EARファイルは次のディレクトリに格納されています。
OIM_ORACLE_HOME/server/webapp/optional/

6. 「現在の場所」パネルから「XIMDD.ear」を選択します。

7. 「ターゲット指定スタイルの選択」ページで、「次へ」をクリックします。

8. 「XIMDDに指定可能なターゲット」パネルからOimServer(Oracle Identity Managerサーバー)を選択し、「次へ」をクリックします。

9. 「終了」をクリックします。次のメッセージが表示されます。

All changes have been activated. No restarts are necessary. The deployment has been successfully installed.

10. 「デプロイメント」ページにあるアプリケーションのリストからXIMDD.earを選択します。「起動」をクリックして、アプリケーションを起動します。

3. /u01/ohsauth/ohsauth11g_inst/config/OHS/ohs1/moduleconf/idm.confファイルを更新して、新規セクションを/XIMDD用に追加します。仮想ホストは複数あります。次に示すように、Admin仮想ホストのセクションを追加します。

<Location /XIMDD>
SetHandler weblogic-handler
WLCookieName  oimjsessionid
WebLogicHost myhost.mycompany.com
WebLogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

4. 保護されているリソースに/XIMDDを/oamconsoleから変更します。これを行うには、次のようにします。

1. /oamconsoleにoamAdminUserとしてログインします。

2. 「ポリシー構成」→「アプリケーション・ドメイン」→IAMSuiteAgent→「リソース」に移動します。画面が図A-1のようになるように、エントリを/XIMDD用に編集します。

図A-1 「リソース」画面

「図A-1 「リソース」画面」の説明

3. 「保護レベル」リストから、「保護」を選択して「適用」をクリックします。

5. /XIMDDにログインします。そのためには、Oracle Identity System Administrationにシステム管理者としてログインします。そして、http://HOST:PORT/XIMDDにナビゲートします。診断ダッシュボードが自動ログイン後に表示されます。

6. 診断ダッシュボードでテストを実行します。診断ダッシュボードの様々なテストの詳細は、「診断ダッシュボードの使用」を参照してください。

B チャレンジ質問および回答のローカライズ

次のデフォルトのチャレンジ質問は、Oracle Identity Manager内で自動的にローカライズされます。

- ペットの名前は何ですか。

- 出生地はどこですか。

- 好きな色は何ですか。

- 母親の旧姓は何ですか。

ローカライズされたデフォルトのチャレンジ質問は、CommonModelBundle_LANG.propertiesファイルに配置されます。ここで、LANGはロケール・コードです。Oracle Identity Managerがデプロイされているアプリケーション・サーバーに応じて、CommonModelBundle_LANG.propertiesファイルは、次の場所のいずれで使用可能です。

- IBM WebSphere Application Serverの場合
CommonModelBundle_LANG.propertiesファイルを配置するには:

1. OIM_HOME\server\apps\was\lib\oracle.iam.ui.viewディレクトリに移動します。

2. adflibCommonModel.jarファイルの内容を抽出します。

3. oracle/iam/ui/common/modelディレクトリに移動します。CommonModelBundle_LANG.propertiesファイルは、このディレクトリにあります。

- Oracle WebLogic Application Serverの場合
CommonModelBundle_LANG.propertiesファイルを配置するには:

1. OIM_HOME/server/apps/oracle.iam.ui.view.warディレクトリに移動して、WARファイルの内容を抽出します。

2. WEB-INF/libに移動して、adflibCommonModel.jarファイルの内容を抽出します。

3. oracle/iam/ui/common/modelディレクトリに移動します。CommonModelBundle_LANG.propertiesファイルは、このディレクトリにあります。

注意:

CommonModelBundle_LANG.propertiesファイルは、OIM_HOME/server/apps/oracle.iam.ui.model.ear!APP-INF/lib/adflibCommonModel.jarの場所でも使用可能です。CommonModelBundle_LANG.propertiesファイルを特定するには、最初にEARファイルの内容を、次にCommonModel.jarファイルの内容を抽出します。

カスタムのチャレンジ質問をOracle Identity Manager Design Consoleの参照コードLookup.WebClient.Questionsに追加する場合は、対応するプロパティを共通モデル・バンドルに追加して、質問テキストをサポート対象言語でローカライズします。対応する翻訳は、CommonModelBundle_LANG.propertiesファイルに保存する必要があります。

たとえば、新しいチャレンジ質問の「好きなスポーツは何ですか。」を追加できます。このテキストをローカライズするには、プロパティ・ファイルにプロパティを次の形式で追加します。

KEY_QUESTION-TEXT?=VALUE

質問テキスト内の空白はアンダースコア(_)に置換します。たとえば、「好きなスポーツは何ですか。」というチャレンジ質問をフランス語にローカライズするには、次のプロパティをCommonModelBundle_fr.propertiesファイルに追加します。

KEY_WHAT_IS_YOUR_FAVORITE_SPORT?=Quel est votre sport favori?

デフォルトのチャレンジ質問のテキストを変更するには、対応するプロパティを共通モデル・バンドル(ロケールに特有)に追加します。たとえば、「What is your favorite color?」(好きな色は何ですか)という質問のテキストを変更して、米国英語のスペル(favoriteとcolor)のかわりに英国英語のスペル(favouriteとcolour)を使用するには、CommonModelBundle_en.propertiesファイルで次のプロパティを変更します。

KEY_WHAT_IS_YOUR_FAVORITE_COLOR?=What is your favourite colour?

索引

A  B  C  D  E  F  H  I  J  L  M  N  O  P  R  S  T  U  V  W  X

A

アクセス・ポリシー, 3

作成, 3.3

無効化, 3.2.2

評価, 3.2.4

機能, 3.2

管理, 3.4, 3.4

優先度, 3.2.5

失効, 3.2.2

アクセス・リクエスト・カタログ

管理, 16.3

ブートストラップ, 16.3.2.2

カタログ管理者, 16.3.1.1

カスタマイズ, 16.4.1

機能, 16.2.1

管理, 16

セキュリティ, 16.5.2

トラブルシューティング, 16.5

アカウント・リコンシリエーション, 12.1.1.2 アクティブ・リコンシリエーション表, 19.1.1 アクティブ・タスク表, 19.2.1 非定型リンク, 12.2.6.1 拡張検索

承認ポリシー, 2.4

ジョブ, 14.4.2.2

通知テンプレート, 13.2.2

システム・プロパティ, 15.2.3.2

アプリケーション・インスタンス, 8

アーキテクチャ, 8.1

属性, 8.2.3.1

構成, 8.3

作成, 8.2.1

削除, 8.2.4

接続なし, 8.1.3, 9.2

権限, 8.1.2

フォーム, 8.2.5

管理, 8

変更, 8.2.3

複数のアカウント, 8.1.1

検索, 8.2.2

承認ポリシー

拡張検索, 2.4

作成, 2.3

削除, 2.7

管理, 2

優先度の変更, 2.6

変更, 2.5

検索, 2.4

単純検索, 2.4

承認ポリシー, 2 承認

選択方法, 2.2

アーカイブ・ユーティリティ, 19

リコンシリエーション・アーカイブ・ユーティリティ, 19.1

リクエスト・アーカイブ・ユーティリティ, 19.3

タスク・アーカイブ・ユーティリティ, 19.2

アーカイブ・リコンシリエーション表, 19.1.1 アーカイブ・タスク表, 19.2.1 非同期実行

非同期ルーティングと構成, 21.2

非同期サービス, 21.2

アテステーション, 5 アテステーション・ダッシュボード, 5.5

電子メール通知, 5.5.2

スケジュール済タスク, 5.5.3

使用, 5.5

アテステーション・リクエスト詳細の表示, 5.5.1

アテステーション・プロセス, 5.2

アテステーション・ダッシュボード, 5.5

アテステーション・エンジン, 5.1.6

アテステーション受信ボックス, 5.1.2.1

アテステーション・リクエスト, 5.1.3

構成, 5.2

作成, 5.3

拒否されたアテステーション権限, 5.1.9.3

スケジュールの定義, 5.1.1

定義, 5.1.1

委任, 5.1.4

削除, 5.1.1.1.2, 5.4.4

無効化, 5.1.1.1.1, 5.4.2

編集, 5.4.1

電子メール, 5.1.9

有効化, 5.4.3

ライフサイクル, 5.1.5

管理, 5.4

管理者の管理, 5.4.6

委任されたレビューアへの通知, 5.1.9.2

レビューアへの通知, 5.1.9.1

プロセス所有者, 5.1.1

レビューア設定, 5.1.1

レビューア, 5.1.9.4

実行, 5.4.5

スケジュール済タスク, 5.1.7

スコープ, 5.1.1

タスク・コンポーネント, 5.1.2

実行履歴の表示, 5.4.7

アテステーション・タスク

作成, 5.1.5.1

アテステーション・タスクのコンポーネント

アテステーション・アクション, 5.1.2

アテステーション・データ, 5.1.2

アテステーション日, 5.1.2

レビューア, 5.1.2

タスク・ソース, 5.1.2

アテステーション・タスク

アクション, 5.1.5.2

アテステーション・ドリブンのワークフロー機能, 5.1.8

送信したタスクの処理, 5.1.5.3

権限に対するレビューア・レスポンス, 5.1.5.2

ワークフロー・ダイアグラム, 5.1.5.1

監査エンジン, 17 監査, 17

プロファイル監査機能, 17.1.2

ロール・プロファイル監査機能, 17.3

ユーザー・プロファイル監査機能, 17.2

非同期実行

非同期サービス, 21.1

構成パラメータ, 21.2.1

管理, 21

B

BI Publisher, 18, 31.7

起動, 18.2

C

リコンシリエーション・イベントのクローズ, 12.2.5

複雑なパスワード, 4.3

構成

ログ・ハンドラ, 20.1.3

ロガー, 20.1.4

ノード・マネージャ, 29.1

構成

アプリケーション・インスタンス, 8.3

Remote Manager, 27.2

プロキシ用の通知の構成, 13.2.6 コネクタ

クローニング, 11.6

カスタム, 11.2

定義, 11.5

コネクタ・オブジェクトの定義のエクスポート, 11.7

インストール, 11.4

ライフサイクルの管理, 11

クローニング後の手順, 11.6.3

アンインストール, 11.9

アップグレード手順, 11.8.5

アップグレード, 11.8

作成

アクセス・ポリシー, 3.3

承認ポリシー, 2.3

通知テンプレート, 13.2.1

パスワード・ポリシー, 4.2

スケジュール済ジョブ, 14.4.1

システム・プロパティ, 15.2.1

作成

カスタムのスケジュール済タスク, 14.3.3

参照タイプ, 10.2

カスタムのスケジュール済タスク, 14.3.3

D

データ収集, 17.2.1, 17.3.1

アーカイブ, 17.3.1.1

取得, 17.2.1.1, 17.3.1.1

デフォルト通知テンプレート, 13.2 デフォルト・システム・プロパティ, 15.1 削除

承認ポリシー, 2.7

ジョブ, 14.4.7

通知テンプレート, 13.2.4

システム・プロパティ, 15.2.5

デプロイメント

保護, 34

デプロイメント・マネージャ, 11.5 Design Console

グループ権限フォーム, 33.4

組織デフォルト・フォーム, 33.2

ポリシーの履歴フォーム, 33.3

「ユーザー管理」フォルダ, 33.1

診断ダッシュボード, 21.4, 24

テストの実行, 24.5

インストール, 24.2.1

失敗した非同期タスクのパージ, 21.4.5

失敗した非同期タスクの再送信, 21.4.4

失敗した非同期タスクの再試行, 21.4.3

テストの実行, 24.4

起動, 21.4.1, 24.3

失敗した非同期タスクの表示, 21.4.2

診断メッセージ・タイプ, 20.1.1 診断

有効化, 25

接続なしアプリケーション・インスタンス

管理, 9.2

プロビジョニング, 9.3

接続なしリソース

アーキテクチャ, 9.1

管理, 9

リコンシリエーション・イベントの詳細の表示, 12.2.2

E

有効化

セキュアなcookie, 30

システム・ロギング, 20

ジョブの有効化と無効化, 14.4.5 有効

診断, 25

エンドユーザー管理者, 33.3 エンドユーザー, 33.3 Enterprise Manager, 22

構成ファイルのエクスポートとインポート, 22.2

Mbean, 22.1

権限

使用可能および割り当てられた, 8.4.1

子プロセス・フォーム, 8.4.3

スケジュール済タスクの構成, 8.4.5

データ取得プロセス, 8.4.2

開発, 8.4

レポート, 8.4.9

例外, 18.6 例外レポート, 18.6

F

フォーム属性

非表示, 6.3.1

削除, 6.3.1

フォーム・デザイナ, 6.1 フォーム・バージョン制御ユーティリティ, 28 フォーム

作成, 6.1

フォーム・デザイナ, 6.1

管理, 6

変更, 6.3

検索, 6.2

FVCユーティリティ, 11.8.5.3

H

ホストとポートの変更

BI Publisher, 32.1.4

OAM, 32.1.6

Oracle Identity Manager, 32.1.3

backOfficeURL, 32.1.3.2

OimFrontEndURL, 32.1.3.1

Oracle Identity Managerデータベース, 32.1.1 OVD, 32.1.2 SOA, 32.1.5

I

IdM診断ツール, 25

インストール

診断ダッシュボード, 24.2.1

統合

BI Publisher, 31.7

OAAM, 31.2

OAM, 31.1

OIA, 31.3

OIN, 31.4

OVD, 31.5

SOA, 31.6

J

ジョブ, 14.4

作成, 14.4.1

表示, 14.4.3

ジョブ

拡張検索, 14.4.2.2

削除, 14.4.7

有効化と無効化, 14.4.5

変更, 14.4.4

単純検索, 14.4.2.1

起動と停止, 14.4.6

L

LDAPスケジュール済タスク, 14.3.2

ライフサイクル管理, 32

孤立アカウントのリンク, 12.2.6.3

リコンシリエーション・イベントのリンク, 12.2.6

ログ・ハンドラ

構成, 20.1.3

ログ・ハンドラとロガー, 20.1.2 ログ・レベル, 20.2.1 log4j, 20.2

ログ・レベル, 20.2.1

ロガー, 20.2.2

構成, 20.1.4

ロギング・サービス, 20

ODL, 20.1

logging.xml, 20.1.3.1 参照タイプ

作成, 10.2

変更, 10.3

検索, 10.1

参照

管理, 10

M

管理

アクセス・ポリシー, 3.4

承認ポリシー, 2

リコンシリエーション・イベント, 12.2

管理

非同期実行, 21

リコンシリエーション・イベントの手動リンク, 12.2.6.2 リコンシリエーションのモード, 12.1.2 変更

承認ポリシー, 2.5

承認ポリシー優先度, 2.6

ジョブ, 14.4.4

通知テンプレート, 13.2.3

システム・プロパティ, 15.2.4

N

ノード・マネージャ, 29.1

構成, 29.1

起動, 29.2

通知

通知テンプレート, 13

通知テンプレート, 13

作成, 13.2.1

通知テンプレート

ロケールの追加と削除, 13.2.5

デフォルト, 13.2

削除, 13.2.4

変更, 13.2.3

キャッシュのパージ, 15.2.2

検索, 13.2.2

O

OAAM, 31.2

OAM, 31.1

ODLログ出力, 20.1.5

OIA, 31.3

oim-config.xml, 14.1

OIN, 31.4

Oracle Identity Manager

アテステーション, 5.1

レポート, 18

Oracle Identity Managerロガー, 20.1.4 Oracle Identity Managerレポート, 18.5 Oracle Identity Manger

パスワード変更, 32.2

URL変更, 32.1

OVD, 31.5

P

パスワード変更

Oracle Identity Manager, 32.2.2

Oracle Identity Managerデータベース, 32.2.3

CSFにおけるOracle Identity Manager, 32.2.4

Oracle Identity Manger, 32.2

Oracle WebLogic管理者, 32.2.1

OVD, 32.2.5

パスワード・ポリシー

複雑なパスワード, 4.3

作成, 4.2

カスタム・ポリシー, 4.3

削除, 4.4

検索, 4.1

ルールの設定, 4.3

ポストプロセッサ, 17.2.2 事前定義済のスケジュール済タスク, 14.3.1 プロファイル監査機能, 17.1.2 プロビジョニング

接続なしアプリケーション・インスタンス, 9.3

複数のアカウント, 3.5.2

同じリソースの複数インスタンス, 3.5

複数ターゲット・システムへの複数リソース・オブジェクト, 3.5.3

オプション, 3.2.1

SOAコンポジットのプロビジョニング

カスタマイズ, 9.6

キャッシュのパージ, 15.2.2

R

リコンシリエーション

アカウント・リコンシリエーション, 12.1.1.2

アプローチ, 12.1.3

変更ログ, 12.1.2

イベント・アクション, 12.2.3

モード, 12.1.2

プロセス・フロー, 12.1.1.3

プッシュまたはプル・モデル, 12.1.2

標準, 12.1.2

信頼できるソース, 12.1.1.1

タイプ, 12.1

リコンシリエーション・アーカイブ・ユーティリティ, 19.1

アクティブ・リコンシリエーション表, 19.1.1

アーカイブ基準, 19.1.3

アーカイブ・リコンシリエーション表, 19.1.1

ログ・ファイル, 19.1.5

前提条件, 19.1.2

実行, 19.1.4

リコンシリエーション・イベント, 12.2

非定型リンク, 12.2.6.1

拡張検索, 12.2.1.2

クローズ, 12.2.5

詳細, 12.2.2

リンク, 12.2.6

孤立アカウントのリンク, 12.2.6.3

手動リンク, 12.2.6.2

孤立アカウント, 12.2.6.3

再評価, 12.2.4

検索, 12.2.1

単純検索, 12.2.1.1

リコンシリエーション・イベントの再評価, 12.2.4 標準リコンシリエーション, 12.1.2 Remote Manager, 27

構成, 27.2

起動, 27.3

停止, 27.3

トラブルシューティング, 27.4

レポート, 18

BI Publisher, 18

機能, 18.1

レポート, 18.5

アクセス・ポリシー・レポート, 18.5.1

アテステーション、リクエストおよび承認レポート, 18.5.2

Crystal Reports, 18.7

例外レポート, 18.6

パスワード・レポート, 18.5.4

リソースおよび権限レポート, 18.5.5

ロールおよび組織レポート, 18.5.3

実行, 18.3

ユーザー・レポート, 18.5.6

リクエスト・アーカイブ・ユーティリティ, 19.3

アーカイブ表, 19.3.1

入力パラメータ, 19.3.3

ログ・ファイル, 19.3.5

準備, 19.3.2

リクエスト・ステータス, 19.3.1

実行, 19.3.4

ロール・プロファイル監査機能, 17.3

S

スケジュール済ジョブ, 14.4

拡張検索, 14.4.2.2

単純検索, 14.4.2.1

スケジュール済タスク, 14.3

LDAP, 14.3.2

事前定義済, 14.3.1

スケジューラ

子要素, 14.1

カスタムのスケジュール済タスクの作成, 14.3.3

ジョブ, 14, 14.4

ジョブ実行, 14

LDAPスケジュール済タスク, 14.3.2

oim-config.xml, 14.1

事前定義済のスケジュール済タスク, 14.3.1

スケジュール済タスク, 14

スケジュール済タスク, 14.3

起動と停止, 14.2

検索

承認ポリシー, 2.4

ジョブ, 14.4.2

通知テンプレート, 13.2.2

リコンシリエーション・イベント, 12.2.1

検索

システム・プロパティ, 15.2.3

ジョブの検索, 14.4.2 セキュアなcookie

cookie-secureフラグ, 30

有効化, 30

単純検索

承認ポリシー, 2.4

ジョブ, 14.4.2.1

通知テンプレート, 13.2.2

システム・プロパティ, 15.2.3.1

スナップショット

格納, 17.2.1.2, 17.3.1.2

SOA, 31.6 SOAコンポーザ, 9.6.1 SOAコンポジットのペイロード, 9.1 SSL, 30 起動と停止

ジョブ, 14.4.6

スケジューラの起動と停止, 14.2 起動と停止

WebLogic管理サーバー, 29.3

WebLogic管理対象サーバー, 29.4

サーバーの起動と停止, 29 UDFの同期化, 7.8 システム・ロギング

ログ・ハンドラの構成, 20.1.3

ロガーの構成, 20.1.4

診断メッセージ・タイプ, 20.1.1

有効化, 20

ログ・ハンドラとロガー, 20.1.2

ログ・レベル, 20.2.1

log4j, 20.2

ロガー, 20.2.2

logging.xml, 20.1.3.1

ODLログ出力, 20.1.5

Oracle Identity Managerロガー, 20.1.4

システム・プロパティ, 15

拡張検索, 15.2.3.2

プロキシ用の通知の構成, 13.2.6

作成, 15.2.1

デフォルト, 15.1

削除, 15.2.5

変更, 15.2.4

検索, 15.2.3

単純検索, 15.2.3.1

T

タスク・アーカイブ・ユーティリティ, 19.2

アクティブ・タスク表, 19.2.1

アーカイブ・タスク表, 19.2.1

出力ファイル, 19.2.4

Oracle databaseの準備, 19.2.2

実行, 19.2.3

トラブルシューティング

アクセス・リクエスト・カタログ, 16.5

接続なしリソース, 9.7

Remote Manager, 27.4

信頼できるソース・リコンシリエーション, 12.1.1.1

U

UDF

同期化, 7.8

URL変更

Oracle Identity Manger, 32.1

ユーザー・プロファイル監査の表, 17.2.3 ユーザー・プロファイル監査機能, 17.2

データ収集, 17.2.1, 17.3.1

ポストプロセッサ, 17.2.2

XL.UserProfileAuditDataCollection, 17.2.1

ユーザー・プロファイル監査

使用される表, 17.2.3

ユーザー・プロファイル・スナップショット

トリガー, 17.2.1.3, 17.3.1.3

ユーザー

言語, 23

ユーティリティ

cancelProcessTask, 11.8.5.3

FVC, 11.8.5.3, 28

PurgeCache, 11.8.5.3

コネクタのアンインストール, 11.9.3

V

ジョブの表示, 14.4.3

W

WebLogic管理サーバー

起動と停止, 29.3

WebLogic管理対象サーバー

起動と停止, 29.4

X

XL.UserProfileAuditDataCollection, 17.2.1

Copyright © 1991, 2012, Oracle and/or its affiliates. All rights reserved.