10 Directory Proxy Serverの移行

Directory Proxy Server 5.2からDirectory Proxy Server 11gリリース1 (11.1.1.7.0)に自動で移行するパスはありません。Directory Proxy Server 11gリリース1 (11.1.1.7.0)には古いバージョンよりも多くの機能があります。したがって、ほとんどのインスタンスの構成情報を1対1でマッピングすることはできませんが、互換性のためにバージョン5.2のサーバーをDirectory Proxy Server 11gリリース1 (11.1.1.7.0)のように動作させることは可能です。

この章では、Directory Proxy Server 11gリリース1 (11.1.1.7.0)の構成プロパティを使用してバージョン5.2の構成をシミュレートする方法を説明します。

この章の内容は次のとおりです。

「グローバル構成のマッピング」
「接続プール構成のマッピング」
「グループ構成のマッピング」
「プロパティ構成のマッピング」
「イベント構成のマッピング」
「アクション構成のマッピング」
「単純な接続ベースのルータとしてのDirectory Proxy Server 11gリリース1 (11.1.1.7.0)の構成」

10.1 グローバル構成のマッピング

Directory Proxy Server 11gリリース1 (11.1.1.7.0)の構成をバックアップする前に、dpadm backupコマンドを使用し、構成をバックアップしてください。詳細は、dpadmに関する説明を参照してください。

Directory Proxy Server 11gリリース1 (11.1.1.7.0)は、Directory Service Control Center (DSCC)またはdpconfコマンドライン・ユーティリティを使用して構成できます。詳細は、dpconfに関する説明を参照してください。

Directory Proxy Server 11gリリース1 (11.1.1.7.0)の構成は、プロパティのセットとして取得できます。たとえば、ポートの情報はlisten-portプロパティに返されます。この項では、バージョン5.2のグローバル構成属性を、存在する場合、Directory Proxy Server 11gリリース1 (11.1.1.7.0)の対応するプロパティにマッピングする方法を説明します。すべての機能が直接マップできるとはかぎりません。

Directory Proxy Server 5.2のグローバル構成は、次の2つのオブジェクト・クラスで指定します。

ids-proxy-sch-LDAPProxy。Directory Proxy Serverの名前およびグローバル構成オブジェクトのDNが含まれます。
ids-proxy-sch-GlobalConfiguration。様々なグローバル構成属性が含まれます。

Directory Proxy Server11gリリース1 (11.1.1.7.0)の構成方法のため、Directory Proxy Server 11gリリース1 (11.1.1.7.0)にはids-proxy-sch-LDAPProxyオブジェクト・クラスまたはその属性と同じものはありません。

Directory Proxy Server 5.2では、これらの構成属性は、ids-proxy-con-Config-Name=user-defined-name,ou=system,ou=dar-config,o=netscaperootの下に保存されます。

ids-proxy-sch-GlobalConfigurationの機能は、Directory Proxy Server 11gリリース1 (11.1.1.7.0)の様々な要素のプロパティとして提供されます。次の表に、ids-proxy-sch-GlobalConfigurationオブジェクト・クラスの属性と、対応するDirectory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティのマッピングを示します。

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-Config-Name`	該当するものはありません。
	Directory Proxy Server 11gリリース1 (11.1.1.7.0)には、2つのリスナー(安全ではないリスナーと安全なリスナー)があります。バージョン5.2のリスニング構成属性は、次の4つのリスナーのプロパティにマップできます。リスナーのプロパティを構成するには、次のとおり`dpconf`コマンドを使用します。 `$ dpconf set-ldap-listener-prop` `PROPERTY` `$ dpconf set-ldaps-listener-prop` `PROPERTY` 詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のクライアントおよびDirectory Proxy Server間のリスナーの構成に関する説明を参照してください。
`ids-proxy-con-listen-port`	`listen-port`
`ids-proxy-con-listen-host`	`listen-address`
`ids-proxy-con-listen-backlog`	`max-connection-queue-size`
`ids-proxy-con-ldaps-port`	`listen-port` (`ldaps-listener`のプロパティ)
`ids-proxy-con-max-conns`	この属性は、接続ハンドラ・リソース制限の`max-client-connections`プロパティにマップできます。このプロパティは、次のとおり`dpconf`コマンドを使用して構成します。 `$ dpconf set-resource-limit-policy-prop` `POLICY-NAME` `max-client-connections:VALUE` 詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のリソース制限ポリシーの作成および構成に関する説明を参照してください。
`ids-proxy-con-userid`	この属性は、次のコマンドを使用してインスタンスを作成した際に指定したユーザーおよびグループ名にマップできます。 `$ dpadm create [-u` `NAME` `-g` `NAME]` `INSTANCE-PATH` 詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のDirectory Proxy Serverインスタンスの操作に関する説明を参照してください。
`ids-proxy-con-working-dir`	この属性は、次のコマンドを使用してインスタンスを作成した際に指定したINSTANCE-PATHにマップできます。 `$ dpadm create` `INSTANCE-PATH` 詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のDirectory Proxy Serverインスタンスの操作に関する説明を参照してください。
`ids-proxy-con-include-logproperty`	該当するものはありません。Directory Proxy Server 11gリリース1 (11.1.1.7.0)でロギングを構成する方法の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』の第27章のDirectory Proxy Serverのロギングに関する説明を参照してください。

10.1.1 グローバル・セキュリティ構成のマッピング

Directory Proxy Server 5.2では、セキュリティはグローバル構成属性を使用して構成します。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、セキュリティは、dpadmコマンドを使用してサーバー・インスタンスを作成した際に構成します。詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』の第19章のDirectory Proxy Serverの証明書に関する説明を参照してください。

Directory Proxy Server 5.2では、これらの構成属性は、ids-proxy-con-Config-Name=user-defined-name,ou=system,ou=dar-config,o=netscaperootの下に保存されます。

次の表に、バージョン5.2のセキュリティ属性とDirectory Proxy Server 11gリリース1 (11.1.1.7.0)の対応するプロパティのマッピングを示します。

表10-1 セキュリティ構成のマッピング

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-ssl-key`	`ssl-key-pin`
`ids-proxy-con-ssl-cert`	`ssl-certificate-directory` `ssl-server-cert-alias`
`ids-proxy-con-send-cert-as-client` この属性により、LDAPサーバーがプロキシ・サーバーをSSLクライアントとして認証できるよう、プロキシ・サーバーが証明書をLDAPサーバーに送信できるようになります。	`ssl-client-cert-alias` このプロパティにより、プロキシ・サーバーがSSLサーバーまたはSSLクライアントとして動作しているかに応じて、LDAPサーバーに別の証明書を送信できるようになります。
`ids-proxy-con-server-ssl-version` `ids-proxy-con-client-ssl-version`	該当するものはありません。
`ids-proxy-con-ssl-cert-required`	この機能は、次のサーバー・プロパティを設定することによって実現できます。 `$ dpconf set-server-prop` `linebreakallow-cert-based-auth:require`
`ids-proxy-con-ssl-cafile`	該当するものはありません。

10.1.1.1 証明書の管理

Directory Proxy Server 5.2の証明書は、certreqユーティリティまたはコンソールを使用して管理されていました。Directory Proxy Server 11g 11gリリース1 (11.1.1.7.0)では、証明書はdpadmコマンドを使用するか、DSCCを使用して管理されます。

証明書は、Directory Proxy Server 11gリリース1 (11.1.1.7.0)の個々のデータ・ソースにそれぞれインストールする必要があります。

Directory Proxy Server 11gリリース1 (11.1.1.7.0)で証明書を管理する方法の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』の第19章のDirectory Proxy Serverの証明書に関する説明を参照してください。

10.1.1.2 プロキシ構成のアクセス制御

Directory Proxy Server 5.2では、プロキシ構成のアクセス制御は構成ディレクトリ・サーバーのACIによって管理されます。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、構成ファイルへのアクセスは、プロキシ・インスタンスを作成したユーザー、またはプロキシがDirectory Proxy Serverを介してアクセスされる場合は、プロキシ・マネージャに制限されています。構成ファイルの直接の編集はサポートされていません。

10.2 接続プール構成のマッピング

Directory Proxy Server 5.2を構成すると、バックエンドのLDAPサーバーへの接続を再利用できます。これにより、バックエンド・サーバーがWAN (ワイド・エリア・ネットワーク)上にある場合、パフォーマンスを大幅に向上させることができます。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、この機能はバックエンド・サーバー自体に構成される接続プールにあります。詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』の第18章のLDAPデータ・ビューに関する説明を参照してください。

Directory Proxy Server 5.2では、これらの構成属性は、ids-proxy-con-Config-Name=user-defined-name,ou=system,ou=dar-config,o=netscaperootの下に保存されます。

次の表に、Directory Proxy Server 5.2の接続構成属性とDirectory Proxy Server 11gリリース1 (11.1.1.7.0)の対応するプロパティのマッピングを示します。

表10-2 接続プール属性のマッピング

Directory Proxy Server5.2の属性 Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-connection-pool`	該当するものはありません。
`ids-proxy-con-connection-pool-interval`	接続プールは、構成済の最大数に自動的に拡張されます。最大数は、LDAPデータ・ソースの次のプロパティを設定して構成します。 `num-bind-init` `num-bin-incr` `num-bind-limit` `num-read-init` `num-read-incr` `num-read-limit` `num-write-init` `num-write-incr` `num-write-limit` LDAPデータ・ソース・プロパティの設定の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のLDAPデータ・ソースの構成に関する説明を参照してください。
`ids-proxy-con-connection-pool-timeout`	`backendMaxReadWaitTimeInMilliSec`

ids-proxy-con-connection-pool

該当するものはありません。

ids-proxy-con-connection-pool-interval

接続プールは、構成済の最大数に自動的に拡張されます。最大数は、LDAPデータ・ソースの次のプロパティを設定して構成します。

num-bind-init

num-bin-incr

num-bind-limit

num-read-init

num-read-incr

num-read-limit

num-write-init

num-write-incr

num-write-limit

LDAPデータ・ソース・プロパティの設定の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のLDAPデータ・ソースの構成に関する説明を参照してください。

ids-proxy-con-connection-pool-timeout

backendMaxReadWaitTimeInMilliSec

10.3 グループ構成のマッピング

Directory Proxy Server 5.2では、クライアント接続の識別とクライアント接続に対する制限にグループを使用します。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、この機能は接続ハンドラ、データ・ビューおよびリスナーを使用して実現されています。

接続ハンドラ、データ・ビューおよびリスナーは、Directory Service Control Centerを使用するか、dpconfコマンドを使用して構成できます。詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』の第25章のクライアントとDirectory Proxy Serverの接続に関する説明および『Oracle Directory Server Enterprise Edition管理者ガイド』の第21章のDirectory Proxy Serverの配布に関する説明を参照してください。

10.3.1 グループ・オブジェクトのマッピング

Directory Proxy Server 5.2では、グループはids-proxy-sch-Groupオブジェクト・クラスの属性を設定して定義していました。このオブジェクト・クラスの特定の属性は、Directory Proxy Server 11gリリース1 (11.1.1.7.0)の接続ハンドラのプロパティにマップできます。接続ハンドラのすべてのプロパティは、次のコマンドを実行して表示できます。

$ dpconf help-properties | grep connection-handler

Directory Proxy Server 5.2では、これらの構成属性は、ou=groups,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

次の表に、バージョン5.2のグループ属性と対応する接続ハンドラ・プロパティのマッピングを示します。

表10-3 グループ属性と接続ハンドラのプロパティ間のマッピング

Directory Proxy Server 5.2のグループ属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)の接続ハンドラ・プロパティ
`ids-proxy-con-Name`	`cn`
`ids-proxy-con-Priority`	`priority`
`ids-proxy-sch-Enable`	`is-enabled`
`ids-proxy-sch-belongs-to`	該当するものはありません。
`ids-proxy-con-permit-auth-none:TRUE` `ids-proxy-con-permit-auth-sasl:TRUE` `ids-proxy-con-permit-auth-simple:TRUE`	`allowed-auth-methods:anonymouslinebreak` `allowed-auth-methods:sasl allowed-auth-methods:simple`

10.3.2 ネットワーク・グループ・オブジェクトのマッピング

Directory Proxy Server 5.2のグループは、ids-proxy-sch-NetworkGroupオブジェクト・クラスの属性を設定して構成します。これらの属性は、Directory Proxy Server11gリリース1 (11.1.1.7.0)の接続ハンドラ、データ・ソースおよびリスナーのプロパティにマップできます。これらのオブジェクトと関連するすべてのプロパティ一覧を表示するには、dpconf help-propertiesコマンドを実行してそのオブジェクトを検索します。たとえば、接続ハンドラのすべてのプロパティを探すには、次のコマンドを実行します。

$ dpconf help-properties | grep connection-handler

Directory Proxy Server 5.2では、これらの構成属性は、ou=groups,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

次の表に、Directory Proxy Server 5.2のネットワーク・グループ属性と、対応するDirectory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティとのマッピング、およびコマンドラインを使用したこれらのプロパティの設定方法を説明します。

表10-4 ネットワーク・グループ属性のマッピング

Directory Proxy Server 5.2のネットワーク・グループ属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)
`ids-proxy-con-Client`	接続ハンドラの`domain-name-filters`および`ip-address-filters`プロパティ
`ids-proxy-con-include-property`	該当するものはありません。
`ids-proxy-con-include-rule`	該当するものはありません。
`ids-proxy-con-ssl-policy:ssl_required`	次のコマンドを使用し、これを接続ハンドラのプロパティとして設定します。 `$ dpconf set-connection-handler-prop CONNECTION-HANDLER-NAME is-ssl-mandatory:true`
`ids-proxy-con-ssl-policy:ssl_optional`	次のコマンドを使用し、これをLDAPデータ・ソースのプロパティとして設定します。 `$ dpconf set-ldap-data-source-prop ds1 ssl-policy:client`
`ids-proxy-con-ssl-policy:ssl_unavailable`	次のコマンドを使用し、これを接続ハンドラのプロパティとして設定します。 `$ dpconf set-connection-handler-prop CONNECTION-HANDLER-NAME is-ssl-mandatory:false`
`ids-proxy-con-tcp-no-delay`	次のコマンドを使用し、これを特定のリスナー・ポートのプロパティとして設定します。 `$ dpconf set-ldap-listener-prop use-tcp-no-delay:true`
`ids-proxy-con-allow-multi-ldapv2-bind`	該当するものはありません。
`ids-proxy-con-reverse-dns-lookup`	該当するものはありません。
`ids-proxy-con-timeout`	この機能は存在しますが、Directory Proxy Server 5での場合と比較すると精度が落ちます。次のコマンドを使用し、この制限を特定のリスナー・ポートのプロパティとして設定します。 `$ dpconf set-ldap-listener-prop connection-idle-timeout:value`

10.3.3 バインド転送のマッピング

Directory Proxy Server 5.2のバインド転送は、バインド・リクエストをLDAPサーバーに渡すか、バインド・リクエストを拒否してクライアントとの接続を閉じるか決定するために使用します。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、バインド・リクエストはすべて転送するか、まったく転送しないかのいずれかです。ただし、allowed-auth-methods接続ハンドラ・プロパティを設定すると、バインドに成功したものは認証基準に応じて接続ハンドラに分類できます。Directory Proxy Server 11gリリース1 (11.1.1.7.0)は、構成すると、特定の接続ハンドラからのリクエストをすべて拒否するDirectory Proxy Server 5.2のバインド転送と同じ機能を提供できます。

Directory Proxy Server 5.2では、これらの構成属性は、ou=groups,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

次の表に、Directory Proxy Server 5.2のバインド転送の属性と、対応するDirectory Proxy Server 11gリリース1 (11.1.1.7.0)の接続ハンドラのプロパティ設定のマッピングを示します。

表10-5 バインド転送属性と接続ハンドラのプロパティ設定のマッピング

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-bind-name`	該当するものはありません。
`ids-proxy-con-permit-auth-none`	`allowed-auth-methods:anonymous`
`ids-proxy-con-permit-auth-simple`	`allowed-auth-methods:simple`
`ids-proxy-con-permit-auth-sasl`	`allowed-auth-methods:sasl`

10.3.4 操作転送のマッピング

操作転送は、バインドの成功後、Directory Proxy Server 5.2がどのようにリクエストを処理するかを決定します。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、この機能はリクエスト・フィルタリング・ポリシーのプロパティを設定して提供しています。リクエスト・フィルタリング・ポリシーの構成の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のリクエスト・フィルタリング・ポリシーおよび検索データ非表示ルールの作成および構成に関する説明を参照してください。リクエスト・フィルタリング・ポリシーのプロパティの全一覧は、次のコマンドを実行して表示できます。

$ dpconf help-properties | grep request-filtering-policy

Directory Proxy Server 5.2では、これらの構成属性は、ou=groups,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

次の表に、Directory Proxy Server 5.2の操作転送の属性と、対応するDirectory Proxy Server 11gリリース1 (11.1.1.7.0)のリクエスト・フィルタリング・ポリシーのマッピングを示します。

表10-6 操作転送属性とリクエスト・フィルタリング・プロパティのマッピング

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-permit-op-search`	`allow-search-operations`
`ids-proxy-con-permit-op-compare`	`allow-compare-operations`
`ids-proxy-con-permit-op-add`	`allow-add-operations`
`ids-proxy-con-permit-op-delete`	`allow-delete-operations`
`ids-proxy-con-permit-op-modify`	`allow-modify-operations`
`ids-proxy-con-permit-op-modrdn`	`allow-rename-operations`
`ids-proxy-con-permit-op-extended`	`allow-extended-operations`

10.3.5 サブツリー非表示のマッピング

Directory Proxy Server 5.2では、ids-proxy-con-forbidden-subtree属性を使用し、任意のクライアント・リクエストでエントリのサブツリーが除外されるよう指定します。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、この機能をリクエスト・フィルタリング・ポリシーのallowed-subtreesおよびprohibited-subtreesプロパティを使用して提供しています。この方法でサブツリーを非表示にする方法の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のリソース制限ポリシーの作成と設定に関する説明を参照してください。

サブツリーが様々なバックエンド・サーバーに分散されている場合、データ・ビューのexcluded-subtreesプロパティを使用してサブツリーを非表示にできます。この方法でサブツリーを非表示にする方法の詳細は、Oracle Directory Server Enterprise Editionリファレンスのデータ・ビューからのサブツリーの除外に関する説明および『Oracle Directory Server Enterprise Edition管理者ガイド』の階層および配布アルゴリズムを持つデータ・ビューの構成に関する説明を参照してください。

10.3.6 検索リクエスト制御のマッピング

Directory Proxy Server 5.2では、特定の種類のリクエストがLDAPサーバーに到達しないよう、検索リクエスト制御が使用されていました。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、この機能はリクエスト・フィルタリング・ポリシーのプロパティおよびリソース制限ポリシーを設定して提供しています。

リクエスト・フィルタリング・ポリシーの構成の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のリクエスト・フィルタリング・ポリシーおよび検索データ非表示ルールの作成に関する説明を参照してください。リソース制限ポリシーの構成の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のリソース制限ポリシーの作成と設定に関する説明を参照してください。リクエスト・フィルタリング・ポリシーまたはリソース制限ポリシーに関連付られているすべてのプロパティ一覧を表示するには、dpadm help-propertiesコマンドを実行してそのオブジェクトを検索します。たとえば、リソース制限ポリシーと関連付られているプロパティをすべて探すには、次のコマンドを実行します。

$ dpconf help-properties | grep resource-limits-policy

Directory Proxy Server 5.2では、これらの構成属性は、ou=groups,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

次の表に、Directory Proxy Server 5.2の検索リクエスト制御属性と、対応するDirectory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティのマッピングを示します。

表10-7 検索リクエスト制御属性のマッピング

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-filter-inequality`	`allow-inequality-search-operations` property of the request filtering policy
`ids-proxy-con-min-substring-size`	`minimum-search-filter-substring-length` property of the resource limits policy

10.3.7 比較リクエスト制御のマッピング

Directory Proxy Server 5.2では、特定の種類の検索および比較操作がLDAPサーバーに到達しないよう比較リクエスト制御が使用されていました。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、この機能はリクエスト・フィルタリング・ポリシーのプロパティを設定して提供しています。

リクエスト・フィルタリング・ポリシーの構成の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のリクエスト・フィルタリング・ポリシーおよび検索データ非表示ルールの作成に関する説明を参照してください。

Directory Proxy Server 5.2では、これらの構成属性は、ou=groups,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

次の表に、Directory Proxy Server 5.2の比較リクエスト制御属性と、対応するDirectory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティのマッピングを示します。

表10-8 比較リクエスト制御属性のマッピング

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-forbidden-compare`	`prohibited-comparable-attrs`
`ids-proxy-con-permitted-compare`	`allowed-comparable-attrs`

10.3.8 属性変更検索リクエストのマッピング

Directory Proxy Server 5.2では、これらの属性はサーバーに転送される前に検索リクエストを変更するために使用されていました。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、この機能はリクエスト・フィルタリング・ポリシーのプロパティおよびリソース制限ポリシーを設定して提供しています。

Directory Proxy Server 5.2では、これらの構成属性は、ou=groups,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

次の表に、Directory Proxy Server 5.2の検索リクエスト変更属性と、対応するDirectory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティのマッピングを示します。

表10-9 検索リクエスト変更属性のマッピング

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-minimum-base`	`allowed-subtrees` property of the request filtering policy
`ids-proxy-con-max-scope`	`allowed-search-scopes` property of the request filtering policy
`ids-proxy-con-max-timelimit`	`search-time-limit` property of the resource limits policy

10.3.9 属性制限検索応答のマッピング

Directory Proxy Server 5.2では、これらはクライアントへの送信前にサーバーから返される検索結果に適用される制限の属性を示していました。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、この機能はリソース制限ポリシーのプロパティを設定し、検索データの非表示ルールを構成して提供しています。

リソース制限ポリシーの構成の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のリソース制限ポリシーの作成と設定に関する説明を参照してください。検索データ非表示ルールの作成の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』の検索データの非表示ルールの作成に関する説明を参照してください。検索データ非表示ルールと関連するプロパティ一覧については、次のコマンドを実行します。

$ dpconf help-properties | grep search-data-hiding-rule

Directory Proxy Server 5.2では、これらの構成属性は、ou=groups,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

次の表に、Directory Proxy Server 5.2の検索応答制限属性と、対応するDirectory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティのマッピングを示します。

表10-10 検索応答制御属性のマッピング

Directory Proxy Server 5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-max-result-size`	リソース制限ポリシーの`search-size-limit`プロパティ
`ids-proxy-con-forbidden-return`	属性のサブセットを非表示にする場合: `rule-action:hide-attributes` `attributes:attribute-name` エントリ全体を非表示にする場合: `rule-action:hide-entry`
`ids-proxy-con-permitted-return`	`rule-action:show-attributes` `attributes:attribute-name`
`ids-proxy-con-search-reference`	直接該当するものはありません。検索継続参照はリソース制限ポリシーの`referral-policy`プロパティによって制御されています。

10.3.10 参照構成属性のマッピング

Directory Proxy Server 5.2では、これらの属性は参照でDirectory Proxy Serverが何を実行すべきか決定します。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、この機能はリソース制限ポリシーのプロパティを設定して提供しています。

リソース制限ポリシーの構成の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のリソース制限ポリシーの作成と設定に関する説明を参照してください。

Directory Proxy Server 5.2では、これらの構成属性は、ou=groups,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

次の表に、Directory Proxy Server 5.2の参照構成属性と、対応するDirectory Proxy Server 11gリリース1 (11.1.1.7.0)のリソース制限プロパティのマッピングを示します。

表10-11 参照構成属性とリソース制限プロパティのマッピング

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-reference`	`referral-policy`
`ids-proxy-con-referral-ssl-policy`	`referral-policy`
`ids-proxy-con-referral-bind-policy`	`referral-bind-policy`
`ids-proxy-con-max-refcount`	`referral-hop-limit`

10.3.11 サーバー・ロード構成のマッピング

Directory Proxy Server 5.2では、これらの属性は同時操作数および1つの接続でクライアントがリクエストできる操作の総数を制御するために使用されていました。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、この機能はリソース制限ポリシーのプロパティを設定して提供しています。

Directory Proxy Server 5.2では、これらの構成属性は、ou=groups,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

次の表に、Directory Proxy Server 5.2のサーバー・ロード構成属性と、対応するDirectory Proxy Server 11gリリース1 (11.1.1.7.0)のリソース制限プロパティとのマッピングを示します。

表10-12 サーバー・ロード構成属性とリソース制限プロパティのマッピング

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-max-simultaneous-operations-per-connection`	`max-simultaneous-operations-per-connection`
`ids-proxy-con-operations-per-connection`	`max-total-operations-per-connection`
`ids-proxy-con-max-conns`	`max-connections`
`ids-proxy-con-max-simultaneous-conns-from-ip`	`max-client-connections`

10.4 プロパティ構成のマッピング

Directory Proxy Server 5.2のプロパティ・オブジェクトでは、LDAPクライアントが従う特殊な制限を指定できます。プロパティ・オブジェクトのほとんどの機能は、新しいアーキテクチャの様々な要素で提供されており、Directory Proxy Server 11gリリース1 (11.1.1.7.0)にあります。次の項では、Directory Proxy Server 5.2プロパティ・オブジェクトを11gリリース1 (11.1.1.7.0)の対応する機能とマッピングする方法を説明します。

10.4.1 属性の名前変更プロパティ

Directory Proxy Server 5.2では、属性名の変更はids-proxy-sch-RenameAttributeオブジェクト・クラスによって定義されます。このオブジェクトでは、ids-proxy-con-server-attr-nameおよびids-proxy-con-client-attr-name属性を使用してどの属性をDirectory Proxy Serverが名前変更するか指定します。

この属性の名前変更機能は、LDAPデータ・ソースのattr-name-mappingsプロパティに置き換わっています。このプロパティは複数の値で構成され、client-attribute-name#server-attribute-nameの形式の値を取ります。クライアント・リクエストでは、Directory Proxy Serverによってclient-attribute-nameがserver-attribute-nameに名前変更されます。応答では、Directory Proxy Serverはserver-attribute-nameからclient-attribute-nameに名前変更されます。

このプロパティを構成するには、次のコマンドを使用します。

$ dpconf set-ldap-data-source-prop data-source-name \
 attr-name-mappings:client-attribute-name#server-attribute-name

10.4.2 入力禁止プロパティ

Directory Proxy Server 5.2では、クライアント・アプリケーションに対し非表示とするエントリまたは属性の一覧は、ids-proxy-sch-ForbiddenEntryPropertyオブジェクトを使用して指定されていました。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、この機能はリクエスト・フィルタリング・ポリシーにsearch-data-hiding-ruleを作成することで実現しています。

Directory Proxy Server 5.2では、これらの構成属性は、ou=groups,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

次の表に、ids-proxy-sch-ForbiddenEntryPropertyオブジェクトの属性と、Directory Proxy Server 11gリリース1 (11.1.1.7.0)の対応する検索データ非表示ルールのプロパティのマッピングを示します。検索データ非表示ルールの作成の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』の検索データの非表示ルールの作成に関する説明を参照してください。

表10-13 サーバー・ロード構成属性とリソース制限プロパティのマッピング

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-dn-exact`	`target-dns`
`ids-proxy-con-dn-regexp`	`target-dn-regular-expressions`
`ids-proxy-con-ava`	`target-attr-value-assertions`
`ids-proxy-con-forbidden-return`	属性のサブセットを非表示にする場合: `rule-action:hide-attributes` `attrs:attribute-name` エントリ全体を非表示にする場合: `rule-action:hide-entry`
`ids-proxy-con-permitted-return`	`rule-action:show-attributes` `attrs:attribute-name`

10.4.3 LDAPサーバーのプロパティ

Directory Proxy Server 5.2では、ids-proxy-sch-LDAPServerプロパティは、Directory Proxy Serverがリクエストを送信するバックエンドLDAPサーバーを定義するために使用されていました。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、この機能はLDAPデータ・ソースを使用して実現されています。LDAPデータ・ソースのプロパティは、Directory Service Control Centerを使用するか、コマンドラインを使用して設定できます。詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のLDAPデータ・ソースの作成および構成に関する説明を参照してください。

Directory Proxy Server 5.2では、これらの構成属性は、ou=groups,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

次の表に、ids-proxy-sch-LDAPServerオブジェクト・クラスの属性と、Directory Proxy Server 11gリリース1 (11.1.1.7.0)の対応するデータ・ソース・プロパティのマッピングを示します。データ・ソースには、Directory Proxy Server 5.2では提供されていなかった他の機能があります。ここでは、データ・ソースのすべてのプロパティは示していません。データ・ソースとして構成できるすべてのプロパティの一覧を表示するには、次のコマンドを実行します。

$ dpconf help-properties | grep ldap-data-source

表10-14 ids-proxy-sch-LDAPServer属性とデータ・ソース・プロパティのマッピング

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-host`	`ldap-address`
`ids-proxy-con-port`	`ldap-port`
`ids-proxy-con-sport`	`ldaps-port`
`ids-proxy-con-supported-version`	該当するものはありません。 Directory Proxy Server 11gリリース1 (11.1.1.7.0)は、バージョン2およびバージョン3のクライアントの両方で、LDAP v3のバックエンドをサポートしています。 Directory Proxy Server 11gリリース1 (11.1.1.7.0)は、プロキシ認証制御バージョン1およびバージョン2をサポートしています。
`ids-proxy-con-use-version`	該当するものはありません。 Directory Proxy Server 11gリリース1 (11.1.1.7.0)は、バージョン2およびバージョン3の両クライアントでLDAP バージョン3のバックエンドをサポートしています。 Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、プロキシ認証制御バージョン1およびバージョン2をサポートしています。
`ids-proxy-con-tcp-no-delay`	`use-tcp-no-delay`
`ids-proxy-con-link-security-policy`	`ssl-policy`
`ids-proxy-con-x509cert-subject`	該当するものはありません。Directory Proxy Server 11gリリース1 (11.1.1.7.0)は、バックエンド・サーバーによって提供される証明書のサブジェクトを確認しません。
`ids-proxy-con-keepalive-interval`	この機能は、LDAPデータ・ソースの次のプロパティを設定して実現しています。 `monitoring-bind-timeout` `monitoring-entry-timeout` `monitoring-inactivity-timeout` `monitoring-interval` LDAPデータ・ソース・プロパティの設定の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のLDAPデータ・ソースの構成に関する説明を参照してください。

10.4.4 ロード分散プロパティ

Directory Proxy Server 5.2では、複数のLDAPサーバーのロードを分散するためにids-proxy-sch-LoadBalancePropertyが使用されていました。Directory Proxy Server 5.2では、各LDAPサーバーに総ロードの特定割合を割り当てる比例ロード・バランシングのみがサポートされています。ids-proxy-sch-LoadBalancePropertyオブジェクトには、次の構文を持つids-proxy-con-Serverという1つの属性があります。

server-name[#percentage]

Directory Proxy Server 5.2では、これらの構成属性は、ids-proxy-con-name=load-balancing-1,ou=properties,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、データ・ソース・プールのプロパティでロード・バランシングを構成します。データ・ソース・プールは、基本的にDirectory Proxy ServerがリクエストをルーティングできるLDAPサーバーの集合です。データ・ソース・プールの設定の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のLDAPデータ・ソース・プールの作成および構成に関する説明を参照してください。データ・ソース・プールに関連するプロパティ一覧を表示するには、次のコマンドを実行します。

$ dpconf help-properties | grep ldap-data-source-pool

Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、比例ロード・バランシングをサポートしていますが、これ以外にロード・バランシング・アルゴリズムもサポートしています。比例ロード・バランシングを構成するには、次のとおりデータ・ソース・プールのプロパティを設定します。

$ dpconf set-ldap-data-source-pool-prop data-source-pool-name \
  load-balancing-algorithm:proportional

各サーバーに割り当てるロードの割合は、アタッチされているデータ・ソースの様々なプロパティを設定することによって構成します。アタッチされているデータ・ソースとは、特定のデータ・ソース・プールにアタッチされているデータ・ソースです。比例ロードを構成するには、各操作タイプにアタッチされているデータ・ソースの重みプロパティを次のとおりに設定します。

$ dpconf set-attached-ldap-data-source-prop data-source-pool-name attached-data-source-name
 add-weight:value
 bind-weight:value
 compare-weight:value
 delete-weight:value
 modify-dn-weight:value
 modify-weight:value
 search-weight:value

詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のロード・バランシングの構成に関する説明を参照してください。

10.4.4.1 バックエンド・サーバーの監視

バックエンドのLDAPサーバーの監視に、Directory Proxy Server 5.2は各サーバーのルートDSEに対し匿名検索操作を10秒ごとに実行します。Directory Proxy Server 11gリリース1 (11.1.1.7.0)には、バックエンド・サーバーの監視を構成するプロパティが多数あります。詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のデータ・ソースの監視データの取得に関する説明を参照してください。

10.4.5 検索サイズ制限プロパティ

Directory Proxy Server 5.2では、検索操作のベースおよび範囲に基づいてサイズ制限を適用するためにids-proxy-sch-SizeLimitPropertyを使用していました。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、検索のサイズ制限は、リソース制限ポリシーのプロパティを設定して構成できます。リソース制限ポリシーでは、特定の接続ハンドラでDirectory Proxy Serverが処理できる最大リソースを定義します。dpconfコマンドを使用すると、次のようにリソース・ポリシーの検索サイズ制限を設定できます。

$ dpconf set-resource-limits-policy-prop policy-name search-size-limit:number-of-entries

リソース制限ポリシーでは、検索サイズ制限のみでなく、多くのものを制御できます。リソース制限ポリシーの構成の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のリソース制限ポリシーの作成および構成に関する説明を参照してください。

Directory Proxy Server 5.2では、これらの構成属性は、ou=groups,cn=user-defined-name,ou=dar-config,o=NetscapeRootの下に保存されています。

次の表に、バージョン5.2のサイズ制限プロパティと、対応するDirectory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティのマッピングを示します。

表10-15 検索サイズ制限属性のマッピング

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-con-Size-Limit`	`search-size-limit`
`ids-proxy-con-Dn-One`	`one-level-search-base-dn`
`ids-proxy-con-Dn-Sub`	該当するものはありません。

10.4.6 ログ・プロパティ

Directory Proxy Server 5.2のログ機能は、Directory Proxy Server 11gリリース1 (11.1.1.7.0)にある機能とは大幅に異なります。

Directory Proxy Server 5.2では、次のログが保守されています。

システム・ログ。システム・イベントおよびエラーのログが記録されています。
監査ログ。すべてのイベントおよびエラーの監査証跡があります。

Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、エラー・ログ・ファイル、アクセス・ログ・ファイルおよび管理アラートを維持します。

このエラー・ログおよび管理アラートは、バージョン5.2のシステム・ログに相当します。管理アラートは、Directory Proxy Serverによって発行されるイベントです。これらのイベントは、syslogデーモンまたは電子メールで管理者に送信できます。

Directory Proxy Server 11gリリース1 (11.1.1.7.0)のアクセス・ログは、バージョン5.2の監査ログに相当します。

バージョン5.2のログは、ids-proxy-sch-LogPropertyオブジェクト・クラスを使用して構成されていました。Directory Proxy Server 11gリリース1 (11.1.1.7.0)のログは、dpconfコマンドを使用し、アクセスおよびエラー・ログのプロパティを設定することによって構成します。たとえば、アクセス・ログのプロパティを設定するには、次のコマンドを使用します。

$ dpconf set-access-log-prop PROPERTY:VALUE

Directory Proxy Server 11gリリース1 (11.1.1.7.0)にはログ・ファイル・ローテーションなどの新機能があり、またログ構成を調整できます。たとえば、メッセージのカテゴリごとにログ・レベルを1つ設定できます。

Directory Proxy Server 5.2では、ログ構成の属性は、 ids-proxy-con-Config-Name=user-defined-name,ou=system,ou=dar-config,o=netscaperootの下に保存されています。

Directory Proxy Server 5.2とDirectory Proxy Server 11gリリース1 (11.1.1.7.0)の2つのバージョンのログ・モデルは大幅に異なるため、実際にはログ構成はマッピングできません。Directory Proxy Server 5.2のログ・モデルでは、ログの記録対象とログの記録場所は結合されています。Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、このモデルはより単純になっています。あるプロパティのセットではログの記録対象を示し、別のプロパティのセットではログ・メッセージの送信先を示します。

次の表に、ids-proxy-sch-LogPropertyオブジェクト・クラスの属性と、対応する機能がDirectory Proxy Server 11gリリース1 (11.1.1.7.0)でどのように実現されているかの概要を示します。

表10-16 バージョン5.2およびバージョン11gリリース1 (11.1.1.7.0)のログ機能

Directory Proxy Server5.2の属性	用途	Directory Proxy Server 11gリリース1 (11.1.1.7.0)で相当するもの
`ids-proxy-con-log-level`	ロギングのレベル	グローバル・ログ・レベル
`ids-proxy-con-stat-level`	ログに記録される統計の種類	監視データ
`ids-proxy-con-log-syslog`	Syslogのファシリティ・コード	管理アラート用の`syslog`出力エラー・メッセージについては相当するものはありません
`ids-proxy-con-log-file`	ログ・ファイルへのパス	`error-log`オブジェクトの`log-file-name`
`ids-proxy-con-audit-syslog`	監査ログ用のSyslogのファシリティ・コード	該当するものはありません。
`ids-proxy-con-audit-file`	監査ログ・ファイルへのパス	`access-log`オブジェクトの`log-file-name`

2つのバージョン間のログ構成を1対1でマッピングすることはできないため、古いログ構成を移行するのではなく、新しいロギング・モデルを理解し、新しいログをそれに従って構成する必要があります。詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』の第27章のDirectory Proxy Serverのロギングに関する説明を参照してください。

10.5 イベント構成のマッピング

Directory Proxy Server 5.2のイベント・オブジェクトは、事前定義した状態をDirectory Proxy Serverが評価する条件を指定するために使用します。

次の2種類のイベント・オブジェクトがサポートされています。

OnBindSuccess。クライアントがバインド操作に成功すると評価されます。
OnSSLEstablished。クライアントがSSLセッションの確立に成功すると評価されます。

Directory Proxy Server 11gリリース1 (11.1.1.7.0)では、イベントは接続ハンドラのプロパティとして実装されています。これらのプロパティの設定には、dpconfコマンドを使用します。たとえば、接続ハンドラの認証方法を設定するには、次のコマンドを実行します。

$ dpconf set-connection-handler-prop connection-handler-name \ 
 allowed-auth-methods:anonymous allowed-auth-methods:sasl allowed-auth-methods:simple

Directory Proxy Server 5.2では、これらの構成属性は、ids-proxy-con-Config-Name=user-defined-name,ou=system,ou=dar-config,o=netscaperootの下に保存されます。

次の表に、バージョン5.2のイベント構成属性と、対応するDirectory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティのマッピングを示します。

表10-17 イベント属性と接続ハンドラ・プロパティのマッピング

Directory Proxy Server5.2の属性	Directory Proxy Server 11gリリース1 (11.1.1.7.0)のプロパティ
`ids-proxy-sch-OnBindSuccessRule`	`bind-dn-filters`
`ids-proxy-con-ssl-required`	`is-ssl-mandatory`
`ids-proxy-con-bind-anonymous`	`allowed-auth-methods:anonymous`
`ids-proxy-con-bind-simple`	`allowed-auth-methods:simple`
`ids-proxy-con-bind-sasl`	`allowed-auth-methods:sasl`

10.6 アクション構成のマッピング

Directory Proxy Server 5.2では、ids-proxy-sch-ChangeGroupActionオブジェクト・クラスで指定する1つのアクションのみをサポートしています。このアクションでは、ルールでの評価に基づいてDirectory Proxy Serverがクライアントのアクセス・グループを別のものに変更できます。このアクションでは、クライアントが変更可能なグループを指定する複数の値で構成されるids-proxy-con-to-group属性を使用します。

Directory Proxy Server11gリリース1 (11.1.1.7.0)では、接続ハンドラがこの機能を提供しています。接続ハンドラ内に分類されると、接続は別の接続ハンドラに自動的に再分類されます。たとえば、クライアントが匿名で接続された場合、その接続は匿名接続用に構成された接続ハンドラに割り当てられます。後でクライアントが同じ接続上でバインドDNを提供すると、接続を別の接続ハンドラに割り当てることができます。

Directory Proxy Server 11gリリース1 (11.1.1.7.0)でこの機能を構成する方法の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』の接続ハンドラの作成、構成および削除に関する説明を参照してください。

10.7 単純な接続ベースのルータとしてのDirectory Proxy Server 11gリリース1 (11.1.1.7.0)の構成

Directory Proxy Server 11gリリース1 (11.1.1.7.0)のインスタンスは、Directory Proxy Server 5.2と同じ機能を持つ単純な接続ベースのルータとして動作するよう構成できます。これを行うには、前述の構成属性をマッピングし、『Oracle Directory Server Enterprise Edition管理者ガイド』の接続ベースのルータとしてのDirectory Proxy Serverの構成に関する説明の手順に従います。