この項で示す手順を使用して、管理者は、OID、Sun Java System Directory Server、Oracle Virtual Directory、Active Directory、IBM Tivoli Directory ServerなどのLDAPベースの企業ユーザー・ディレクトリを構成するか、あるいは構成画面に示されないLDAPベースのユーザー・ディレクトリを構成します。
OID、Active Directoryおよび他のLDAPベースのユーザー・ディレクトリを構成するには:
システム管理者としてShared Services Consoleにアクセスします。Shared Services Consoleの起動を参照してください。
「管理」、「ユーザー・ディレクトリの構成」の順に選択します。
「プロバイダ構成」タブが開きます。この画面には、ネイティブ・ディレクトリを含むすでに構成済のすべてのユーザー・ディレクトリが一覧表示されます。
「ディレクトリ・タイプ」で、次のいずれかのオプションを選択します:
Lightweight Directory Access Protocol(LDAP): Active Directory以外のLDAP対応ユーザー・ディレクトリを構成します。Oracle Virtual Directoryを構成するには、このオプションを選択します。
Microsoft Active Directory (MSAD): Active Directoryを構成します。
Active DirectoryおよびActive Directory Application Mode (ADAM)のみ: カスタムID属性(ObjectGUID以外の属性、たとえばsAMAccountName)をActive DirectoryまたはADAMで使用する場合、Lightweight Directory Access Protocol (LDAP)を選択し、ディレクトリ・タイプ「その他」として構成します。
表 9. 「接続情報」画面
ラベル
説明
ディレクトリ・サーバー
ユーザー・ディレクトリを選択します。ID属性値が、選択した製品の推奨される一定の一意のID属性に変わります。
手順4でActive Directoryを選択した場合、このプロパティは自動的に選択されます。
次のシナリオで、「その他」を選択します。
リストされていないユーザー・ディレクトリ・タイプ(Oracle Virtual Directoryなど)を構成している
リストされているLDAP対応ユーザー・ディレクトリ(たとえばOID)を構成していますが、カスタムID属性は使用しません。
カスタムID属性を使用するActive DirectoryまたはADAMを構成しています。
注：
Oracle Virtual Directoryでは、LDAPディレクトリとRDMBSデータ・リポジトリの抽象化が仮想化されて1つのディレクトリ・ビューで提供されるため、Oracle Virtual Directoryでサポートされるユーザー・ディレクトリの数やタイプに関係なく、EPM Systemでは1つの外部ユーザー・ディレクトリとみなされます。
例: Oracle Internet Directory
名前
ユーザー・ディレクトリのわかりやすい名前。複数のユーザー・ディレクトリが構成されている場合は、特定のユーザー・ディレクトリを識別するために使用します。
例: Corporate_OID
DNS検索
Active Directoryのみ: このオプションを選択してDNS検索を使用可能にします。DNS検索とホスト名検索を参照してください。DNS検索は、接続が失敗しないように、本番環境でのActive Directoryへの接続方法として構成することをお薦めします。
注：
グローバル・カタログを構成している場合は、このオプションを選択しないでください。
このオプションを選択すると、次のフィールドが表示されます:
ドメイン: Active Directoryフォレストのドメイン名です。
例: example.comまたはus.example.com
ADサイト: Active Directoryサイト名で、通常はActive Directory構成コンテナに保管されているサイト・オブジェクトの相対的な識別名です。一般的にADサイトにより、市、都道府県、地域や国などの地理的な場所が識別されます。
例: Santa ClaraまたはUS_West_region
DNSサーバー: ドメイン・コントローラのDNSサーバー検索をサポートするサーバーのDNS名。
ホスト名
Active Directoryのみ: このオプションを選択して静的なホスト名検索を使用可能にします。DNS検索とホスト名検索を参照してください。
注：
Active Directoryグローバル・カタログを構成している場合は、このオプションを選択します。
ホスト名
ユーザー・ディレクトリ・サーバーのDNS名。SiteMinderからSSOをサポートするためにユーザー・ディレクトリを使用する場合は、完全修飾のドメイン名を使用します。ホスト名は、テスト目的でActive Directory接続を確立する場合にのみ使用することをお薦めします。
注：
Active Directoryグローバル・カタログを構成している場合は、グローバル・カタログ・サーバーのホスト名を指定します。グローバル・カタログを参照してください。
例: MyServer
ポート
ユーザー・ディレクトリが実行するポート番号。
注：
Active Directoryグローバル・カタログを構成している場合は、グローバル・カタログ・サーバーが使用するポート(デフォルトは3268)を指定します。グローバル・カタログを参照してください。
例: 389
SSL使用可能
このユーザー・ディレクトリとのセキュア通信を使用可能にするチェック・ボックス。ユーザー・ディレクトリは、セキュア通信として構成する必要があります。
ベースDN
ユーザーおよびグループの検索を開始するノードの識別名(DN)。また、「DNのフェッチ」ボタンを使用して、使用可能なベースDNのリストを表示し、そのリストから適切なベースDNを選択できます。
特殊文字の使用上の制限については、特殊文字の使用方法を参照してください。
EPM System製品のすべてのユーザーとグループを含む最下位のDNを選択することをお薦めします。
例: dc=example,dc=com
ID属性
この属性値は、「ディレクトリ・タイプ」で「その他」が選択されている場合のみ変更できます。この属性はディレクトリ・サーバー上のユーザーおよびグループ・オブジェクトに存在する共通の属性である必要があります。
この属性の推奨値が自動的に、OID (orclguid)、SunONE (nsuniqueid)、IBM Directory Server (Ibm-entryUuid)、Novell eDirectory (GUID)およびActive Directory (ObjectGUID)に設定されます。
例: orclguid
「ディレクトリ・サーバー」で「その他」を選択後、ID属性値を手動で設定する場合(Oracle Virtual Directoryを構成する場合など)、ID属性値は次のようになります:
一意の属性を指します
場所に固有ではありません
時間の経過とともに変わりません
最大サイズ
検索が戻す結果の最大数。ユーザー・ディレクトリ設定でサポートする値よりもこの値が大きい場合は、ユーザー・ディレクトリ値がこの値をオーバーライドします。
Active Directory以外のユーザー・ディレクトリの場合、このフィールドを空白にすると、検索条件を満たすすべてのユーザーとグループが取得されます。
Active Directoryの場合、この値を0に設定すると、検索条件を満たすすべてのユーザーとグループが取得されます。
委任された管理モードでShared Servicesを構成している場合は、この値を0に設定します。
信頼済
このプロバイダが信頼できるSSOソースであることを示すチェック・ボックス。信頼できるソースからのSSOトークンにはユーザーのパスワードは含まれません。
匿名のバインド
Shared Servicesで匿名をユーザー・ディレクトリにバインドしてユーザーおよびグループを検索できることを示すチェック・ボックス。ユーザー・ディレクトリが匿名のバインドを許可する場合にのみ使用できます。このオプションを選択しない場合は、ユーザー情報が保管されたディレクトリを検索するのに十分なアクセス権を持つアカウントをユーザーDNに指定する必要があります。
匿名のバインドの使用はお薦めしません。
注：
匿名のバインドはOIDではサポートされません。
ユーザーDN
「匿名のバインド」が選択されている場合、このオプションは使用不可です。
Shared Servicesがユーザー・ディレクトリとのバインドに使用するユーザーの識別名。このユーザーにはDN内のRDN属性に検索権限が必要です。たとえば、dn: cn=John Doe, ou=people, dc=myCompany, dc=comでは、バインド・ユーザーにはcn属性への検索アクセス権が必要です。
ユーザーDNの値に特殊文字を指定する場合はエスケープ文字を使用する必要があります。制限については、特殊文字の使用方法を参照してください。
例: cn=admin,dc=myCompany,dc=com
ベースDNの追加
ベースDNをユーザーDNに追加するためのチェック・ボックス。ディレクトリ・マネージャ・アカウントをユーザーDNとして使用している場合は、ベースDNを追加しないでください。
「匿名のバインド」オプションが選択されている場合、このチェック・ボックスは使用不可です。
パスワード
ユーザーDNパスワード
「匿名のバインド」オプションが選択されている場合、このボックスは使用不可です。
例: UserDNpassword
詳細オプションの表示
詳細オプションを表示するチェック・ボックス。
参照
Active Directoryのみ:
Active Directoryが構成されている場合は、「従う」を選択すると、LDAP参照に自動的に従います。「無視」を選択すると、参照は使用されません。
別名の逆参照
Shared Servicesの検索で使用するメソッドを選択すると、ユーザー・ディレクトリの別名が逆参照されます。これにより、別名のDNが指すオブジェクトが検索で取得されます。選択:
常時: 常に別名を逆参照します。
なし: 別名を逆参照しません。
検索中: 名前解決の間にのみ別名を逆参照します。
検索中: 名前解決の後にのみ別名を逆参照します。
接続読取りタイムアウト
この間隔(秒数)が経過した後も応答がない場合、LDAPプロバイダはLDAP読取り試行を中止します。
デフォルト: 60秒
最大接続数
接続プール内の最大接続数。LDAPベースのディレクトリ(Active Directoryを含む)の場合、デフォルトは100です。
デフォルト: 100
タイムアウト
プールから接続を取得するまでのタイムアウト。この期間が過ぎると例外が発生します。
デフォルト: 300000ミリ秒(5分)
削除間隔
オプション: 削除プロセスを実行してプールを消去するための間隔。削除プロセスによって、「アイドル状態の接続許容時間」を超えたアイドル状態の接続が除去されます。
デフォルト: 120分
アイドル状態の接続許容時間
オプション: 削除プロセスがプール内のアイドル状態の接続を除去するまでの許容時間。
デフォルト: 120分
接続の拡大
このオプションは、接続プールが最大接続数を超える接続を保持できるかどうかを示します。デフォルトで選択されています。接続プールの拡大を禁止した場合、タイムアウトで設定された時間内に接続が有効にならないとエラーが発生します。
カスタム認証モジュールを使用可能にする
カスタム認証モジュールの使用を使用可能にして、このユーザー・ディレクトリで定義されたユーザーを認証するためのチェック・ボックス。認証モジュールの完全修飾Javaクラス名も、「セキュリティ・オプション」画面で入力する必要があります。セキュリティ・オプションの設定を参照してください。
カスタム認証モジュールの認証は、シン・クライアントおよびシック・クライアントに対して透過的で、クライアントの配置変更は必要ありません。Oracle Enterprise Performance Management System Security Configuration Guideのカスタム認証モジュールの使用に関する項を参照してください。
Shared Servicesは、「ユーザー構成」画面に設定されたプロパティを使用して、ユーザーの検索を開始するノードの特定に利用されるユーザーURLを作成します。このURLを使用すると、検索効率が向上します。
注意
ユーザーURLは別名をポイントできません。EPM Systemのセキュリティでは、ユーザーURLが実際のユーザーをポイントすることが求められます。
画面の「自動構成」領域を使用して、必要な情報を取得することをお薦めします。
注：
ユーザー構成で使用できる特殊文字のリストについては、特殊文字の使用方法を参照してください。
「自動構成」に、フォーマットattribute=identifierを使用して、一意のユーザー識別子を入力します。例: uid=jdoe。
ユーザーの属性は、「ユーザー構成」領域に表示されます。
OIDを構成している場合は、OIDのルートDSEがネーミング・コンテキスト属性内にエントリを含まないため、ユーザー・フィルタを自動的に構成できません。『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』のネーミング・コンテキストの管理に関する項を参照してください。
注：
「ユーザー構成」領域のテキスト・ボックスに、必要なユーザー属性を手動で入力できます。
表 10. 「ユーザー構成」画面
ラベル
説明[1]
ユーザーRDN
ユーザーの相対的な識別名。DNの各コンポーネントはRDNと呼ばれ、ディレクトリ・ツリー内の分岐を表します。ユーザーのRDNは一般に、uidまたはcnと同じです。
制限については、特殊文字の使用方法を参照してください。
例: ou=People
ログイン属性
ユーザーのログオン名を保管する一意の属性(カスタム属性も可能)。ユーザーは、EPM System製品にログインするとき、この属性の値をユーザー名として使用します。
ユーザーID (「ログイン属性」の値)は、すべてのユーザー・ディレクトリにわたって一意である必要があります。たとえば、SunONE構成とActive Directory構成の「ログイン属性」として、それぞれuidとsAMAccountNameを使用できます。これらの属性の値は、ネイティブ・ディレクトリを含むすべてのユーザー・ディレクトリにわたって一意である必要があります。
注：
ユーザーIDでは、大文字と小文字が区別されません。
注：
Kerberos環境のOracle Application Serverに配置されたEPM System製品の外部ユーザー・ディレクトリとしてOIDを構成している場合は、このプロパティをuserPrincipalNameに設定する必要があります。
デフォルト
Active Directory: cn
Active Directory以外のLDAPディレクトリ: uid
名の属性
ユーザーの名を保管する属性
デフォルト: givenName
姓の属性
ユーザーの姓を保管する属性
デフォルト: sn
電子メール属性
オプション: ユーザーの電子メール・アドレスを保管する属性
デフォルト: mail
オブジェクト・クラス
ユーザーのオブジェクト・クラス(ユーザーに関連付けられる必須とオプションの属性)。Shared Servicesは、この画面に表示されたオブジェクト・クラスを検索フィルタで使用します。これらのオブジェクト・クラスを使用して、Shared Servicesは、プロビジョニングされたすべてのユーザーを検索する必要があります。
注：
ユーザー・ディレクトリ・タイプ「その他」としてActive DirectoryまたはADAMを、カスタムID属性を使用するように構成している場合、この値をuserに設定する必要があります。
オブジェクト・クラスは、必要に応じて手動で追加できます。オブジェクト・クラスを追加するには、「オブジェクト・クラス」ボックスにオブジェクト・クラス名を入力し、「追加」をクリックします。
オブジェクト・クラスを削除するには、オブジェクト・クラスを選択し、「削除」をクリックします。
デフォルト
Active Directory: user
Active Directory以外のLDAPディレクトリ: person, organizationalPerson, inetorgperson
詳細オプションの表示
詳細な構成オプションが表示されるチェック・ボックス。
ユーザーを制限するフィルタ
EPM System製品の役割がプロビジョニングされるユーザーのみを取得するLDAPクエリー。たとえば、LDAPクエリー(uid=Hyp*)は、名前がHypで始まるユーザーのみを取得します。
ユーザー構成画面はユーザーRDNを検証します。必要な場合は、ユーザー・フィルタの使用をお薦めします。
ユーザー・フィルタは、クエリーで戻されるユーザー数を制限します。ユーザーRDNによって識別されるノードが、プロビジョニングされる必要のない多くのユーザーを含む場合に特に重要です。ユーザー・フィルタは、プロビジョニングされる必要のないユーザーを除外するために使用できます。これにより、パフォーマンスが向上します。
複数属性のRDN用のユーザー検索属性
Active Directory以外のLDAP対応ユーザー・ディレクトリのみ: ディレクトリ・サーバーが複数属性のRDNを使用するように構成される場合にのみ、この値を設定します。設定した値はいずれかのRDN属性である必要があります。指定した属性の値は一意で、属性は検索可能である必要があります。
たとえば、SunONEディレクトリ・サーバーが、cn (cn=John Doe)およびuid (uid=jDoe12345)属性を組み合わせるように構成され、次のような複数属性のRDNを作成するとします:
cn=John Doe+uid=jDoe12345, ou=people, dc=myCompany, dc=comこの場合、これらの属性が次の条件を満たしている場合には、cnまたはuidのいずれかを使用できます:
この属性は「接続情報」タブにファイルされたユーザーDNで識別されたユーザーにより検索可能です
この属性はユーザー・ディレクトリ全体で一意の値に設定する必要があります
カスタム・プライマリ・グループの解決
Active Directoryのみ: 効果的な役割を決定するためにユーザーのプライマリ・グループを識別するかどうかを示すチェック・ボックス。このチェック・ボックスはデフォルトで選択されています。この設定は変更しないことをお薦めします。
ユーザー・パスワードの期限が次の日数以内に切れる場合に警告を表示
Active Directoryのみ: Active Directoryユーザーのパスワードが指定した日数以内に期限切れになる場合に警告メッセージを表示するかどうかを示すチェック・ボックス。
「グループ構成」画面が開きます。Shared Servicesは、この画面に設定されたプロパティを使用して、グループの検索を開始するノードを特定するグループURLを作成します。このURLを使用すると、検索効率が向上します。
注意
グループURLは別名をポイントできません。EPM Systemのセキュリティでは、グループURLが実際のグループをポイントすることを求められます。グループの別名を使用するNovell eDirectoryを構成している場合、グループURL内でグループの別名とグループ・アカウントを使用できる必要があります。
注：
「グループ構成」画面のデータ入力はオプションです。グループURLの設定を入力しない場合、Shared Servicesは、ベースDN内を検索してグループを見つけます。これは特に、ユーザー・ディレクトリに多くのユーザーが含まれている場合に悪影響をパフォーマンスに及ぼします。
組織で、グループのプロビジョニングを予定していない場合、またはユーザーがユーザー・ディレクトリでループに分類されない場合は、「グループのサポート」を選択解除します。このオプションを選択解除すると、この画面のフィールドは使用不可になります。
グループをサポートしている場合は、自動構成機能を使用して、必要な情報を取得することをお薦めします。
OIDをユーザー・ディレクトリとして構成している場合は、自動構成機能を使用できません。理由は、OIDのルートDSEがネーミング・コンテキスト属性内にエントリを含まないからです。『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』のネーミング・コンテキストの管理に関する項を参照してください。
「自動構成」テキスト・ボックスに、一意のグループ識別子を入力し、「検索」をクリックします。
グループ識別子は、フォーマットattribute=identifierで指定する必要があります。例: cn=western_region。
グループの属性は、「グループ構成」領域に表示されます。
注：
必要なグループ属性は、「グループ構成」テキスト・ボックスに入力できます。
注意
ノード名に/ (スラッシュ)または\ (円記号(バックスラッシュ))を含むユーザー・ディレクトリにグループURLが設定されていない場合、ユーザーおよびグループの検索は失敗します。たとえば、ユーザーおよびグループが存在するノード内(OU=child\ou,OU=parent/ouまたはOU=child/ou,OU=parent \ ouなど)のユーザー・ディレクトリにグループURLが指定されていない場合、ユーザーまたはグループを表示する操作は失敗します。
表 11. 「グループ構成」画面
ラベル
説明[1]
グループRDN
グループの相対DN。この値は、ベースDNの相対パスで、グループURLとして使用されます。
グループRDNを指定します。これにより、プロビジョニングする予定のすべてのグループが使用可能な最下位のユーザー・ディレクトリ・ノードが識別されます。
プロビジョニングにActive Directoryプライマリ・グループを使用する場合、プライマリ・グループがグループRDN下にあることを確認します。Shared Servicesでは、グループURLのスコープ外のプライマリ・グループは取得されません。
グループRDNはログインと検索のパフォーマンスに重大な影響を及ぼします。グループRDNはすべてのグループ検索の開始点であるため、EPM System製品のすべてのグループが使用可能な最下位ノードを識別する必要があります。最適なパフォーマンスを保証するには、グループRDN内に存在するグループのメンバーが10,000を超えないようにする必要があります。これより多くのグループが存在する場合は、グループ・フィルタを使用して、プロビジョニングするグループのみを取得します。
注：
グループURL内の使用可能なグループ数が10,000を超えると、Shared Servicesは警告を表示します。
制限については、特殊文字の使用方法を参照してください。
例: ou=Groups
名前の属性
グループの名前を保管する属性
デフォルト
Active Directoryを含むLDAPディレクトリ: cn
ネイティブ・ディレクトリ: cssDisplayNameDefault
オブジェクト・クラス
グループのオブジェクト・クラス。Shared Servicesは、この画面に表示されたオブジェクト・クラスを検索フィルタで使用します。これらのオブジェクト・クラスを使用して、Shared Servicesは、ユーザーに関連付けられたすべてのグループを検索する必要があります。
注：
ユーザー・ディレクトリ・タイプ「その他」としてActive DirectoryまたはADAMを、カスタムID属性を使用するように構成している場合、この値をgroup?memberに設定する必要があります。
オブジェクト・クラスは、必要に応じて手動で追加できます。オブジェクト・クラスを追加するには、「オブジェクト・クラス」テキスト・ボックスにオブジェクト・クラス名を入力し、「追加」をクリックします。
オブジェクト・クラスを削除するには、オブジェクト・クラスを選択し、「削除」をクリックします。
デフォルト
Active Directory: group?member
Active Directory以外のLDAPディレクトリ: groupofuniquenames?uniquemember, groupOfNames?member
ネイティブ・ディレクトリ: groupofuniquenames?uniquemember, cssGroupExtend?cssIsActive
詳細オプションの表示
フィルタの使用を使用可能にして、検索操作時にグループを取得するためのチェック・ボックス。
グループを制限するフィルタ
EPM System製品の役割がプロビジョニングされるグループのみを取得するLDAPクエリー。たとえば、LDAPクエリー(|(cn=Hyp*)(cn=Admin*))は、名前がHypまたはAdminで始まるグループのみを取得します。
グループ・フィルタは、クエリーで戻されるグループ数を制限するために使用します。グループRDNによって識別されるノードが、プロビジョニングされる必要のない多くのグループを含む場合に特に重要です。フィルタは、プロビジョニングされる必要のないグループを除外するために使用できます。これにより、パフォーマンスが向上します。
プロビジョニングにActive Directoryプライマリ・グループを使用する場合、設定したグループ・フィルタがグループURLのスコープ内に含まれるプライマリ・グループを取得できることを確認します。たとえば、フィルタ(|(cn=Hyp*)(cn=Domain Users))は、名前がHypで始まるグループとDomain Usersという名前のプライマリ・グループを取得します。
Shared Servicesは構成を保存して、「定義済ユーザー・ディレクトリ」画面に戻ります。この画面には、今構成したユーザー・ディレクトリが表示されます。
構成をテストします。ユーザー・ディレクトリの接続のテストを参照してください。
必要に応じて、検索順の割当てを変更します。詳細は、ユーザー・ディレクトリの検索順の管理を参照してください。
必要に応じて、セキュリティ・オプションを指定します。セキュリティ・オプションの設定を参照してください。