EPM Systemセキュリティ・モードでのユーザーの管理およびセキュリティ

EssbaseをEssbaseネイティブ・セキュリティからEPM Systemセキュリティに移行する際、正常に移行できないユーザーはEssbaseセキュリティ・ファイルに保持されます。

Shared Servicesへの移行中にユーザーのデータベース権限が変更された場合、情報はAccessModifiedUsers_n.txtというテキスト・ファイルに書き込まれます。ここでnは、Shared Servicesに登録されているEssbaseのインスタンスに対するシーケンスIDを表します。(シーケンスIDはEssbaseが外部化されるたびに増加します。)ARBORPATH/binディレクトリにあるこのファイルには、次の情報が含まれます:

Shared Servicesでは、Essbaseアプリケーションに複数のデータベースが含まれている場合、それらのデータベースのユーザー・セキュリティ・アクセス・レベルが同じである必要があります(ただしユーザーは、同じアプリケーション内のデータベースに対して異なる計算スクリプトおよびデータベース・フィルタを割り当てることができます)。Shared Servicesへの移行時に、同じアプリケーション内の2つのデータベースに対してユーザーが所持するアクセス・レベルが異なっていると、それらの両データベースに対するユーザーのアクセス・レベルはより制限が厳しくなります。

Shared Servicesユーザーを、ユーザーのパスワードが自動的に生成されるオプションとともに移行すると、このユーザーの名前およびパスワードはARBORPATH/binディレクトリにあるMigratedUsersPassword.txtというテキスト・ファイルに書き込まれます。管理者が特定のパスワードを移行ユーザーに対して指定した場合は、パスワードはファイルにリストされません。このファイルは、アップグレードまたは移行の実行時に作成されます。

ユーザーのShared Servicesへの移行、またはEssbaseのアップグレードの後に、次のセキュリティ上の問題に対処する必要があります:

移行ユーティリティ(32ビットのWindowsのみで稼働)は、両方のセキュリティ上の問題に影響されるユーザーを特定します。さらに、指定されている場合は、アプリケーションの役割を持つEssbase管理者の問題を修正することもできます。

EssbaseユーザーをShared Services Consoleで管理するには、次のShared Servicesの役割がプロビジョニングされたユーザーとして、コンソールにログオンする必要があります:

Shared Services Consoleを起動する場合、適切なユーザー権限でログオンする必要があります。たとえば、Essbase管理者がユーザーを作成および削除できるように、その管理者にディレクトリ・マネージャの役割をプロビジョニングするには、Shared Services管理者としてログオンする必要があります。

EPM Systemセキュリティ・モードで、Essbaseサーバー・レベルのセキュリティを指定するには(たとえば、Essbaseサーバー上のすべてのEssbaseアプリケーションに対するプロビジョニング・マネージャの役割をユーザーにプロビジョニングする)、グローバルEssbaseサーバー・アプリケーション、つまり、Essbaseサーバーを表すShared Servicesアプリケーションの該当する役割をユーザーにプロビジョニングします。Shared ServicesでのEssbaseプロジェクト、アプリケーションおよびデータベースを参照してください。

図143は、DTRIPATH-PC1というEssbaseサーバーとDemoアプリケーションで使用可能な役割を示しています。

図 143. Shared Services Consoleのプロビジョニング・パネル

EPM Systemのセキュリティ・モードで、Essbaseアプリケーション・レベルのセキュリティを指定するには(たとえば、Sampleアプリケーションに対するデータベース・マネージャの役割をユーザーにプロビジョニングする)、アプリケーションの該当する役割をユーザーにプロビジョニングします。

少なくともアプリケーション内のすべてのデータベースへの書込みアクセス権をすべてのユーザーに割り当てる場合などに、アプリケーションの最小権限を設定できます。デフォルトの設定は「なし」です。この場合、最小権限は設定されないので、すべてのユーザーは自分の役割に基づいてアプリケーションにアクセスできます。

Shared Services ConsoleでEssbaseアプリケーションについてユーザーをプロビジョニングした後で、特定のEssbaseアプリケーションとデータベースに対する詳細なアクセス権をユーザーとグループに割り当てることができます。たとえば、アプリケーションへのユーザー・アクセスを割り当て、そのアプリケーションに対する役割をユーザーに割り当てた後で、Essbaseフィルタを割り当てるか、特定の計算スクリプトへのユーザー・アクセスを割り当てることができます。

フィルタと計算スクリプトはEssbaseで作成する必要があります。セキュリティ・フィルタを使用したデータベース・セルへのアクセスの制御。を参照してください。

Shared Services ConsoleからEssbaseアプリケーションを選択すると、そのアプリケーションにプロビジョニングされているユーザーとグループが表示されます。この画面で、追加の権限を割り当てるユーザーおよびグループを選択できます。次に、ユーザーまたはグループがアクセスする必要があるデータベースを選択し、選択したユーザーとグループにフィルタと計算スクリプトへのアクセス権を割り当てます。Shared Services Consoleのオンライン・ドキュメントを参照してください。

データベース計算とフィルタ・アクセスを割り当てるときには、Shared Services Consoleにログインしたユーザーとして自動的にAdministration ServicesとEssbaseとログオンします。このユーザーは、Essbase管理者、アプリケーション・マネージャまたはデータベース・マネージャである必要があります。また、このユーザーには該当するアプリケーションに対するプロビジョニング・マネージャの役割が必要です。

データベース計算とフィルタ・アクセスをEssbase管理者またはアプリケーション・マネージャに割り当てることはできません。

EssbaseとPlanningには、EssbaseユーザーとPlanningユーザーに対するアプリケーション・アクセス・タイプという概念があります。たとえば、EssbaseユーザーをいずれかのEssbase管理ツールを使用して作成すると、そのユーザーには自動的にアプリケーション・アクセス・タイプ「Essbase」が割り当てられます。PlanningユーザーをPlanningインタフェースを使用して作成すると、そのユーザーには自動的にアプリケーション・アクセス・タイプ「Planning」が割り当てられます。ユーザーのアプリケーション・アクセス・タイプによって、そのユーザーがEssbaseアプリケーションのみまたはPlanningアプリケーションのみにアクセスできるのか、あるいは両方にアクセスできるのかが指定されます。

Shared Services Consoleで、グローバルEssbaseサーバー・アプリケーションを選択し、そのアプリケーションにプロビジョニングされているユーザーとグループのリストを表示することができます。Oracle Enterprise Performance Management System User Security Administration Guideを参照してください。

データベース計算とフィルタ・アクセスを割り当てるときには、Shared Services Consoleにログインしたユーザーとして自動的にAdministration ServicesとEssbaseとログオンします。このユーザーは、有効なEssbase管理者である必要があります。また、このユーザーには該当するアプリケーションに対するプロビジョニング・マネージャの役割が必要です。

Shared Servicesに移行した後、移行したEssbaseサーバーごとに1つのプロジェクトが作成されます。このプロジェクトには、移行したサーバー上の各Essbaseアプリケーションに対するShared Servicesアプリケーションが含まれています。Shared ServicesでのEssbaseプロジェクト、アプリケーションおよびデータベースを参照してください。

Shared Servicesに移行すると、外部の認証ディレクトリにまだ存在しないすべてのネイティブなEssbaseユーザーとグループが、ネイティブなShared Servicesユーザー・ディレクトリ内のネイティブなShared Servicesユーザーとグループに変換され、同等の役割が与えられます。たとえば、ネイティブなEssbase管理者(以前のスーパーバイザ)は、Essbase管理者とプロビジョニング・マネージャの役割が割り当てられたShared Servicesユーザーになります。また、データベース上の計算権限を持つネイティブなEssbaseユーザーは、そのデータベースを含むアプリケーションでの計算の役割が割り当てられたShared Servicesユーザーになります。移行中、管理者とアプリケーション・マネージャには、該当するアプリケーションに対するプロビジョニング・マネージャの役割が自動的に与えられます。

外部認証ユーザーはすべてShared Servicesに登録されますが、元の認証ディレクトリに保管されたままになります。ユーザー・ディレクトリが実行されていない場合は、移行全体が失敗します。

使用不可になったEssbaseユーザーまたはグループは移行されません。

Essbaseのユーザー名は、Shared Servicesのグループ名として存在できません。存在する場合、そのEssbaseユーザーは移行されません。

Shared Servicesでは、Essbaseアプリケーションに複数のデータベースが含まれている場合、それらのデータベースのユーザー・セキュリティ・アクセス・レベルが同じである必要があります。移行中、ユーザーが同じアプリケーション内の2つのデータベースに対して異なるアクセス・レベルを持っている場合は、両方のデータベースに対するより制限的なアクセス・レベルがそのユーザーに与えられます。このような場合には、移行を実行した管理者に警告が送信され、その情報がAccessModifiedUsers_n.txtファイルに記録されます。このファイルは、ARBORPATH/binディレクトリにあります。

ユーザーとグループの移行は次の順序で実行されます:

移行が失敗した場合の移行のステータスは、その失敗が発生した場所によって異なります。たとえば、移行がステップ1で失敗した場合は、移行全体が失敗します。移行がステップ2で失敗した場合の結果は、その失敗の理由によって異なります。移行がステップ3で失敗し、1人以上のユーザーが移行に失敗した場合は、アプリケーションやグループが移行されていない可能性があります。

移行に失敗したユーザーとグループは、essbase.secファイルにリストされます。このファイルは、ARBORPATH/binディレクトリにあります。

Administration Servicesのユーザーの外部化ウィザードを使用してAdministration Servicesユーザーを移行するか、以前に移行に失敗したEssbaseユーザーを移行しなおす場合は、ウィザードで指定したファイルと、Essbaseサーバー・ログ(EPM_ORACLE_HOME/logs/essbase/essbase.log)に移行エラーが記録されます。

グループを移行できなかった場合は、このグループのユーザーもすべて移行されません。ユーザーを正常に移行するには、グループを修復して移行する必要があります。

グループがEssbaseとShared Servicesの両方に存在する場合は、次の条件を満たす必要があります:

次の例では、グループの移行における考慮事項に着目します:

例1: この例にあるグループは、EssbaseからShared Servicesに正常に移行されます。

Essbaseにグループ1およびグループ2という名前のグループが存在します:

         group 1, group 2
   

Shared Servicesにはこれと同一の2つのグループが存在し、それ以外にグループ1とグループ2を含むグループ3も存在します:

             group 3
          |
   group 1, group 2
   

グループ1とグループ2が互いにShared Servicesと同じレベルにあり、Essbaseにグループ3が存在しないため、これらのグループは正常に移行されます。

例2: Shared Servicesに、異なるレベルにあるグループ1とグループ2が含まれているため、この例にある移行は失敗します。

Essbaseにグループ1およびグループ2という名前のグループが存在します:

         group 1, group 2
   

Shared Servicesにはグループ1とグループ2が存在しますが、グループ1にグループ2が含まれています:

         group 1
       |
   group 2
   

例3: Essbaseにグループ1、グループ2およびグループ3が含まれ、Shared Servicesにグループ1やグループ2とは異なるレベルにあるグループ3が含れまているため、この例にある移行は失敗します。

Essbaseに、グループ1、グループ2およびグループ3という名前のグループが存在します:

         group 1, group 2, group 3
   

Shared Servicesにはグループ1とグループ2が存在しますが、グループ1とグループ2を含むグループ3が存在します:

             group 3
          |
   group 1, group 2
   

ユーザーおよびグループ情報については、Shared Servicesが優先されます。ユーザーおよびグループ情報は、Shared Servicesおよび外部ユーザー・ディレクトリのバックアップとリカバリの手順を使用して復元できます。『Oracle Hyperion Enterprise Performance Management Systemバックアップおよびリカバリ・ガイド』を参照してください。

アプリケーションおよびデータベース情報については、Essbaseが優先されます。アプリケーションがShared Servicesから削除されても、Essbaseでは引き続きそのアプリケーションが使用可能です。そのアプリケーションをShared Servicesに再登録する必要があります。アプリケーションがEssbaseで削除された場合、そのアプリケーションはShared Servicesから自動的に削除されます。