Oracle® Fusion Middleware Oracle Directory Server Enterprise Edition評価ガイド

11g リリース1 (11.1.1.7.0)

B72442-01(原本部品番号:E28968-01)

目次

図一覧

タイトルおよび著作権情報

はじめに

- 対象読者

- このドキュメントの構成

- Oracle Directory Server Enterprise Editionドキュメント・セット

- 関連ドキュメント

- 再配布可能ファイル

- デフォルト・パスとコマンドの場所

- 表記規則

- コマンド例でのシェル・プロンプト

- 記号の表記規則

- ドキュメント、サポートおよびトレーニング

- Oracleソフトウェア・リソース

- ドキュメントのアクセシビリティ

1 Directory Server Enterprise Editionの概要

- 1.1 Directory Server Enterprise Editionについて

- 1.1.1 強力なディレクトリ・サービスのためのサービス品質要件

- 1.2 Directory Server Enterprise Editionのコンポーネントとその機能

- 1.2.1 Directory Server

- 1.2.1.1 Directory Serverとセキュリティ

- 1.2.1.2 Directory Serverと可用性

- 1.2.1.3 Directory Serverとスケーラビリティ

- 1.2.1.4 Directory Serverと運用性

- 1.2.2 Directory Proxy Server

- 1.2.2.1 Directory Proxy Serverと可用性

- 1.2.2.2 Directory Proxy Serverとセキュリティ

- 1.2.3 Directory Service Control Center

- 1.2.4 Identity Synchronization for Windows

- 1.2.5 Directory Server Resource Kit

- 1.3 DSEE管理モデル

- 1.4 新機能

2 サービス管理機能

- 2.1 DSCCを使用したWebベースのディレクトリ・サービス管理

- 2.1.1 サービス管理を簡略化する様々なビュー

- 2.1.2 構成と接尾辞のクローニング

- 2.2 高度なコマンドライン・インタフェース

- 2.2.1 コマンドの概要

- 2.3 簡略化されたインストールと移行

- 2.3.1 コマンドラインからの自動インストール

- 2.3.2 ルート以外でのインストール

- 2.3.3 ユーザー指定のインストール・パス

- 2.3.4 複数の個別インストール

- 2.3.5 自動移行ツール(dsmig)

- 2.4 構成のオンライン変更

- 2.5 ネットワーク全体での可用性

- 2.6 参照先

3 データの高可用性と高整合性

- 3.1 強力なレプリケーション

- 3.1.1 無制限にレプリケートできるマスター

- 3.1.2 優先順位付きレプリケーション

- 3.1.3 レプリケートされたアカウント・ロックアウト属性

- 3.1.4 レプリケーション収束の監視

- 3.2 レプリケートされた大規模な接尾辞への多数のエントリのインポート

- 3.3 同期化されたバックアップとエクスポート

- 3.4 データベース・ファイルの圧縮

- 3.5 凍結されたデータベースのファイル・システムのスナップショット

- 3.6 サーバーがオンライン中の属性変更

- 3.6.1 オンラインのサーバーでデータ・ディレクトリ・パスを変更する方法

- 3.7 更新時の属性構文の検証

- 3.8 Directory Proxy Serverによるスキーマ検証

- 3.9 参照先

4 パフォーマンス向上のためのチューニング

- 4.1 キャッシュの最適化

- 4.1.1 動的メモリーを使用する場合のしきい値の設定

- 4.1.2 エントリ・キャッシュ・のメモリー割当ての最適化

- 4.2 ログ管理の機能強化

- 4.2.1 時間ベースのログ・ローテーションと削除

- 4.2.2 オンデマンド・ログ・ローテーション

- 4.2.3 構成可能なログ・ファイル権限の設定

- 4.2.4 永続検索の監視と管理

- 4.3 参照先

5 セキュリティの強化

- 5.1 接続ベースのアクセス制御

- 5.2 Directory Server Enterprise Editionのパスワード・ポリシー

- 5.2.1 DSCCを使用したパスワード・ポリシーの管理

- 5.2.2 新規パスワード・ポリシーへの移行

- 5.3 リセット後のパスワードの強制変更

- 5.4 グローバル・アカウント・ロックアウト

- 5.5 Directory Managerの機能強化

- 5.6 LDAP拡張操作による簡略化されたパスワード更新

- 5.7 最終ログイン時間の追跡

- 5.8 プロキシ認可を使用して実行する更新の監査の強化

- 5.9 参照先

6 スケーラビリティの管理

- 6.1 ロード・バランシングと操作ベースのルーティング

- 6.2 DNと属性のリライト

- 6.3 書込みを高速化するカスタマイズ可能なデータ分散

- 6.4 参照先

7 仮想ディレクトリ

- 7.1 複数のソースで構成される仮想ネームスペースの定義

- 7.1.1 JDBCに準拠したデータ・リポジトリへのアクセス

- 7.1.2 フラットLDIFファイル・リソースへのアクセス

- 7.1.3 LDAPリソースへのアクセス

- 7.2 仮想エントリを作成するデータ・ビューの集約

- 7.3 属性名と値のマッピング

- 7.4 参照先

8 Windowsユーザーおよびグループを使用したDirectory Serverの同期

- 8.1 アカウントの同期

- 8.2 Active Directoryを使用したグループ同期

- 8.3 マルチマスター・レプリカでのフェイルオーバー・サポート

- 8.4 Windows同期における管理サーバー・サポートの統合

- 8.5 参照先

A Directory Server Enterprise Editionがサポートする規格とRFC

索引

図一覧

- 1-1 Directory Server Enterprise Editionの管理フレームワーク

Oracle® Fusion Middleware

Oracle Directory Server Enterprise Edition評価ガイド

11g リリース1 (11.1.1.7.0)

B72442-01(原本部品番号:E28968-01)

2013年1月

Directory Server Enterprise Editionソフトウェアの主な機能を紹介します。

Oracle Fusion Middleware Oracle Directory Server Enterprise Edition評価ガイド, 11g リリース1 (11.1.1.7.0)

B72442-01

Copyright © 2001, 2013, Oracle and/or its affiliates.All rights reserved.

原本著者:  Gina Cariaga

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

このソフトウェアもしくはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアもしくはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

はじめに

この評価ガイドでは、Directory Server Enterprise Editionソフトウェアで利用できる主な機能について説明します。

対象読者

このガイドは、Directory Server Enterprise Editionの機能を評価するすべての読者を対象としています。

このガイドの作成者は、読者が次の内容を十分に理解していることを想定しています。

- LDAPおよびDSML v2などの関連するプロトコル

- インターネットおよびWorld Wide Webテクノロジ

- その他のサービス(リレーショナル・データベースまたはMicrosoft Active Directoryが提供するサービスなど)

このドキュメントの構成

第1章「Directory Server Enterprise Editionの概要」では、Directory Server Enterprise Editionコンポーネントを紹介し、Directory Server Enterprise Edition管理モデルについて説明します。

第2章「サービス管理機能」では、WebベースのDirectory Service Control Centerおよび高度なコマンドライン・インタフェースなど、ディレクトリ・サービスの管理に利用できる強力な機能を説明します。

第3章「データの高可用性と高整合性」では、データの高可用性と高整合性を提供するDirectory Server Enterprise Editionの機能のクイック・ツアーを行います。

第4章「パフォーマンス向上のためのチューニング」では、最高のパフォーマンスを得るために、デプロイメントをチューニングできるDSEEのDirectory Server機能について紹介します。

第5章「セキュリティの強化」では、アイデンティティを可能なかぎり最大限にセキュリティ保護するDSEEの機能を説明します。

第6章「スケーラビリティの管理」では、数億、さらには数千億エントリにも及ぶデプロイメントでもサポートできるDSEEの機能について説明します。

第7章「仮想ディレクトリ」では、複数の異機種間のデータ・リポジトリから単一のネームスペースを集約するDSEE仮想ディレクトリ機能を説明します。

第8章「Windowsユーザーおよびグループを使用したDirectory Serverの同期」では、Identity Synchronization for Windows (Microsoft Active DirectoryとWindows NT SAMレジストリをディレクトリ・サービス・デプロイメントに統合するDSEEのソフトウェア)の主な機能を紹介します。

付録A「Directory Server Enterprise Editionがサポートする規格とRFC」では、このバージョンのDirectory Server Enterprise Editionソフトウェアがサポートする規格とRFCについてまとめています。

Oracle Directory Server Enterprise Editionドキュメント・セット

このドキュメント・セットでは、Oracle Directory Server Enterprise Editionを使用してディレクトリ・サービスを評価、設計、デプロイ、および管理する方法について説明します。また、Directory Server Enterprise Edition用クライアント・アプリケーションの開発方法についても説明します。http://docs.oracle.com/cd/E29127_01/index.htmで、Oracle Fusion Middleware Directory Server Enterprise Edition Documentation Libraryを利用できます。

次の表に、Directory Server Enterprise Editionのドキュメント・セットを構成するドキュメントのリストを示します。

ドキュメント・タイトル

内容

『Oracle Directory Server Enterprise Edition
リリース・ノート』

既知の問題点を含め、Directory Server Enterprise Editionについての最新情報を提供しています。

『Oracle Directory Server Enterprise Edition
評価ガイド』

このリリースの重要な機能を紹介します。これらの機能の仕組みや提供される利点を、単独システムに実装可能なデプロイメントのコンテキストに沿って示しています。

『Oracle Directory Server Enterprise Edition
デプロイメント・プランニング・ガイド』

Directory Server Enterprise Editionをベースとする、可用性と拡張性に優れたディレクトリ・サービスを計画および設計する方法について説明しています。デプロイメントの計画および設計の基本的な概念および原則を提示します。ソリューションのライフ・サイクルについて検討し、Directory Server Enterprise Editionベースのソリューションを計画するために使用する概略レベルのサンプルおよび戦略を提供します。

『Oracle Directory Server Enterprise Edition
インストレーション・ガイド』

Directory Server Enterprise Editionソフトウェアのインストール方法について説明しています。インストール済ソフトウェアの構成方法および構成済ソフトウェアの検証方法を示します。

『Oracle Directory Server Enterprise Edition
アップグレードおよび移行ガイド』

バージョン11.1.1.3, 7.xおよび6のインストールをアップグレードする手順およびバージョン5.2インストールを移行する手順を示しています。

『Oracle Directory Server Enterprise Edition
管理者ガイド』

Directory Server Enterprise Editionをコマンドラインから管理する手順を示しています。

Directory Service Control Center(DSCC)を使用してDirectory Server Enterprise Editionを管理する際のヒントおよび手順については、DSCCのオンライン・ヘルプを参照してください。

『Oracle Directory Server Enterprise Edition
リファレンス』

Directory Server Enterprise Editionの技術および概念の基礎を紹介します。コンポーネント、アーキテクチャ、プロセス、および機能について説明しています。

『Oracle Directory Server Enterprise Edition
マニュアル・ページ・リファレンス』

Directory Server Enterprise Editionを通じて利用可能なコマンドライン・ツール、スキーマ・オブジェクトおよびその他の公開インタフェースについて説明しています。このドキュメントの個別の項を、オンライン・マニュアル・ページとしてインストールできます。

『Oracle Directory Server Enterprise Edition
開発者ガイド』

Directory Server Enterprise Editionの一部として提供されるツールおよびAPIを利用して、ディレクトリ・クライアント・アプリケーションを開発する方法を示しています。

『Oracle Directory Server Enterprise Edition
トラブルシューティング・ガイド』

様々なツールを使用して問題の範囲を特定し、データを収集し、問題部分のトラブルシューティングを行う手順について説明しています。

『Identity Synchronization for Windows 6.0
リリース・ノート』

Identity Synchronization for Windows 6.0 SP1のインストール、移行およびアップグレードの最新情報について説明しています。

『Identity Synchronization for Windows 6.0
デプロイメント・プランニング・ガイド』

Identity Synchronization for Windowsの計画とデプロイメントに関する一般的なガイドラインやベスト・プラクティスを示しています。

『Identity Synchronization for Windows 6.0
インストールおよび構成ガイド』

Identity Synchronization for Windowsをインストールおよび構成する方法を説明しています。

Directory Server Enterprise Editionの概要については、次の図で示されたドキュメントを記載順に確認してください。

図docmap.pngの説明

関連ドキュメント

SLAMD分散負荷生成エンジンは、ネットワークベースのアプリケーションのパフォーマンスについて負荷テストを実行し、解析するために設計されたJavaアプリケーションです。このアプリケーションは、LDAPディレクトリ・サーバーのパフォーマンスについてベンチマークを実行し、分析するためにSun Microsystems, Inc.によって開発されました。SLAMDは、OSI認定オープン・ソース・ライセンスであるSun Public Licenseに基づいて、オープン・ソース・アプリケーションとして使用できます。SLAMDについては、http://www.slamd.com/を参照してください。SLAMDは、java.netプロジェクトでも提供されています。https://slamd.dev.java.net/を参照してください。

Java Naming and Directory Interface(JNDI)は、LDAPやDSML v2によるJavaアプリケーションからDirectory Serverへのアクセスに対応しています。JNDIの詳細は、http://www.oracle.com/technetwork/java/jndi/index.htmlを参照してください。JNDI Tutorialには、詳しい説明とJNDIの使用例が記載されています。このチュートリアルは、http://download.oracle.com/javase/jndi/tutorial/で参照できます。

Identity Synchronization for WindowsはMessage Queueを制限されたライセンスで使用します。Message Queueのドキュメントは、http://www.oracle.com/technetwork/indexes/documentation/index.htmlから入手できます。

Identity Synchronization for WindowsはMicrosoft Windowsのパスワード・ポリシーを扱います。

- Windows 2003のパスワード・ポリシーの詳細は、オンラインのMicrosoftドキュメント(http://technet.microsoft.com/en-us/windowsserver/default.aspx)で入手できます。

- Microsoft証明書サービスのエンタープライズ・ルート認証局に関する情報は、オンラインのMicrosoftサポート・ドキュメント(http://support.microsoft.com/default.aspx?scid=kb;en-us;247078)で入手できます。

- MicrosoftシステムでのLDAP over SSLの設定に関する情報は、オンラインのMicrosoftサポート・ドキュメント(http://support.microsoft.com/default.aspx?scid=kb;en-us;321051)で入手できます。

再配布可能ファイル

Directory Server Enterprise Editionのファイルは、再頒布できません。

デフォルト・パスとコマンドの場所

この項では、このドキュメントで使用するデフォルトのパスについて説明し、様々なオペレーティング・システムおよびデプロイメント・タイプでのコマンドの場所を示します。

デフォルト・パス

次の表では、このドキュメントで使用するデフォルトのパスについて説明します。インストールされるファイルの詳細は、『Oracle Directory Server Enterprise Editionリファレンス』の第1章のDirectory Server Enterprise Editionのファイル・リファレンスに関する説明を参照してください。

プレースホルダ

説明

デフォルト値

install-path

Directory Server Enterprise Editionソフトウェアのベース・インストール・ディレクトリを表します。

unzipを使用してzipディストリビューションからインストールする場合、install-pathは、current-directory/dsee7になります。

instance-path

Directory ServerまたはDirectory Proxy Serverのインスタンスのフルパスを表します。

このドキュメントでは、Directory Serverには/local/dsInst/、Directory Proxy Serverには/local/dps/を使用します。

デフォルト・パスはありません。インスタンス・パスは、常にローカル・ファイル・システム上に存在するようにします。

Solarisシステムでは、/varディレクトリをお薦めします。

serverroot

Identity Synchronization for Windowsのインストール先の親ディレクトリを表します。

インストールごとに異なります。Directory ServerおよびDirectory Proxy Serverでは、serverrootの概念が存在しなくなったことに注意してください。

isw-hostname

Identity Synchronization for Windowsインスタンスのディレクトリを表します。

インストールごとに異なります。

/path/to/cert8.db

Identity Synchronization for Windowsにおけるクライアントの証明書データベースのデフォルト・パスおよびファイル名を表します。

current-working-dir/cert8.db

serverroot/isw-hostname/linebreaklogs/

システム・マネージャ、各コネクタ、およびセントラル・ロガーのログ・ファイルをIdentity Synchronization for Windowsがローカルに保存する場所のデフォルト・パスを表します。

インストールごとに異なります。

serverroot/isw-hostname/linebreaklogs/central/

Identity Synchronization for Windowsセントラル・ログ・ファイルのデフォルト・パスを表します。

インストールごとに異なります。

コマンドの場所

この項の次の表は、Directory Server Enterprise Editionのドキュメントで使用されるコマンドの場所を示しています。各コマンドの詳細は、関連するマニュアル・ページを参照してください。インストールされるファイルの詳細は、『Oracle Directory Server Enterprise Editionリファレンス』のDirectory Server Enterprise Editionのソフトウェア・レイアウトに関する説明も参照してください。

コマンド

Zipディストリビューション

certutil

install-path/bin/certutil

dpadm

install-path/bin/dpadm

dpconf

install-path/bin/dpconf

dsadm

install-path/bin/dsadm

dsccagent

install-path/bin/agent

dsccmon

install-path/bin/dsccmon

dsccreg

install-path/bin/dsccreg

dsccsetup

install-path/bin/dsccsetup

dsconf

install-path/bin/dsconf

dsmig

install-path/bin/dsmig

dsutil

install-path/bin/dsutil

entrycmp

install-path/bin/entrycmp

fildif

install-path/bin/fildif

idsktune

解凍したzipディストリビューションのroot

insync

install-path/bin/insync

ldapmodify

install-path/dsrk/bin/ldapmodify

ldapsearch

install-path/dsrk/bin/ldapsearch

repldisc

install-path/bin/repldisc

表記規則

次の表に、このドキュメントで使用する表記規則を示します。

書体

意味

例

AaBbCc123

コマンド名、ファイル名、ディレクトリ名、画面上のコンピュータ出力を示します。

.loginファイルを編集します。

ls aを使用してすべてのファイルをリストします。

machine_name% you have mail.

AaBbCc123

ユーザーが入力する文字を、画面上のコンピュータ出力と区別して示します。

machine_name% su

パスワード:

aabbcc123

プレースホルダ: 実際の名前または値で置き換えます。

ファイルを削除するコマンドはrm filenameです。

AaBbCc123

書名、新規用語および強調する用語を示します。

『ユーザーズ・ガイド』の第6章を参照してください。

キャッシュとは、ローカルに格納されるコピーです。

このファイルは保存しないでください。

注意: 強調する一部の項目は、オンラインで太字で表示されます。

コマンド例でのシェル・プロンプト

次の表に、Oracle Solaris OSに含まれるシェルのデフォルトのUNIXシステム・プロンプトとスーパーユーザー・プロンプトを示します。コマンド例に表示されるデフォルトのシステム・プロンプトは、Oracle Solarisのリリースによって異なることに注意してください。

シェル

プロンプト

Bashシェル、KornシェルおよびBourneシェル

$

Bashシェル、KornシェルおよびBourneシェル(スーパーユーザーの場合)

#

Cシェル

machine_name%

Cシェル(スーパーユーザーの場合)

machine_name#

記号の表記規則

次の表では、このドキュメントで使用される記号について説明します。

記号

説明

例

意味

[ ]

省略可能な引数やコマンドオプションが含まれます。

ls [-l]

-lオプションは省略可能です。

{ | }

必須のコマンドオプションの選択肢を囲みます。

-d {y|n}

-dオプションでは、yかnのどちらかの引数を使用する必要があります。

${ }

編集参照を示します。

${com.sun.javaRoot}

com.sun.javaRoot変数の値を参照します。

-

同時に押すキーを連結します。

Control-A

[Ctrl]キーと[A]キーを同時に押します。

+

連続して押すキーを連結します。

Ctrl+A+N

[Ctrl]キーを押し、放してから以後のキーを続けて押します。

>

グラフィカル・ユーザー・インタフェースで選択するメニュー項目を示します。

「ファイル」→「新規」→「テンプレート」

「ファイル」メニューから「新規」を選択します。「新規」サブメニューから「テンプレート」を選択します。

ドキュメント、サポートおよびトレーニング

次のWebサイトでは、追加の情報が提供されています。

- ドキュメント(http://www.oracle.com/technetwork/indexes/documentation/index.html)

- サポート(http://www.oracle.com/us/support/systems/index.html)

- トレーニング(http://education.oracle.com)

Oracleソフトウェア・リソース

Oracle Technology Network (http://www.oracle.com/technetwork/index.html)は、Oracleソフトウェアに関連する様々なリソースを提供しています。

- ODSEE Discussion Forum (http://forums.oracle.com/forums/forum.jspa?forumID=877)およびDirectory Servicesブログ(http://blogs.oracle.com/directoryservices/)では、技術的な問題やソリューションについて説明しています。

- Directory Servicesブログ(http://blogs.oracle.com/directoryservices/)で最新情報を参照してください。

- http://www.oracle.com/technetwork/middleware/id-mgmt/learnmore/odsee11113-examples-350399.zipよりODSEE 11gのサンプル・ファイルをダウンロードできます。

ドキュメントのアクセシビリティについて

Oracleのアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWebサイト(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc)を参照してください。

Oracle Supportへのアクセス

Oracleサポート・サービスでは、My Oracle Supportを通して電子支援サービスを提供しています。詳細情報は(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info) か、聴覚に障害のあるお客様は (http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs)を参照してください。

1 Directory Server Enterprise Editionの概要

この章では、Oracle Directory Server Enterprise Editionのコンポーネントを紹介し、DSEE管理モデルを説明し、また最新の機能について説明します。この章の内容は、次のとおりです。

- Directory Server Enterprise Editionについて

- Directory Server Enterprise Editionのコンポーネントとその機能

- DSEE管理モデル

- 新機能

1.1Directory Server Enterprise Editionについて

Directory Server Enterprise Editionは、アイデンティティ・データの格納や管理に、セキュアで、可用性が高く、拡張可能なディレクトリ・サービスを提供します。Directory Server Enterprise Editionは、エンタープライズ・アイデンティティ・インフラストラクチャの基盤です。これにより、重要なエンタープライズ・アプリケーションおよび大規模なエクストラネット・アプリケーションは、一貫性と信頼性のあるアイデンティティ・データにアクセスできるようになります。

Directory Server Enterprise Editionは、アイデンティティ・プロファイル、アクセス権限、アプリケーションおよびネットワーク・リソース情報を格納および管理するための中央リポジトリを提供します。Directory Server Enterprise Editionは、複数のプラットフォーム環境に円滑に統合します。また、Microsoft Active Directoryを使用して、オンデマンドのパスワード、ユーザーおよびグループの同期をセキュアに実行することもできます。

Directory Server Enterprise Editionより前では、これらの機能は、4つの別々の製品(Directory Server、Directory Proxy Server、Directory Server Resource KitおよびIdentity Synchronization for Windows)の一部でした。これらの製品は、包括的に統合された1つのソリューションのコンポーネントになりました。

1.1.1 強力なディレクトリ・サービスのためのサービス品質要件

企業では、ユーザーやアプリケーションが増えるほど、強力なディレクトリ・サービスの重要性が大きくなります。Directory Server Enterprise Editionでは、急速に変化および拡張する企業が直面する課題を、次のようなサービス品質要件を提供することで解決します。

- 可用性。エンド・ユーザーがどのくらいの頻度でシステムのリソースやサービスにアクセスできるかを示す尺度で、システムの稼働時間と呼ばれることもあります。

- スケーラビリティ。デプロイされているシステムに容量およびユーザーを一定の期間にわたり追加する能力。スケーラビリティには通常、システムにリソースを追加する必要がありますが、デプロイメント・アーキテクチャを変更する必要はありません。

- セキュリティ。システムおよびそのユーザーの整合性を説明する要因の複雑な組み合せ。セキュリティには、ユーザーの認証と認可、データのセキュリティおよびデプロイされているシステムへのセキュアなアクセスが含まれます。

- 相互運用性。システムが他のシステムと連動するときの容易さ。

- 運用性。デプロイされているシステムを維持するときの容易さ。メンテナンス・タスクには、システムの監視、発生した問題の修復およびハードウェアやソフトウェア・コンポーネントのアップグレードなどがあります。

この章では、Directory Server Enterprise Editionのコンポーネントがどのようにサービス品質の要件を満たすかを簡単に説明します。このガイドの後の項で、要件を詳しく説明します。

1.2 Directory Server Enterprise Editionのコンポーネントとその機能

- Directory Server Enterprise Edition (DSEE)は、エンタープライズ・アイデンティティ・インフラストラクチャの重要要素として機能します。DSEEには、次のコンポーネントがあります。

- Directory Server

- Directory Proxy Server

- Directory Service Control Center

- Identity Synchronization for Windows

- Directory Server Resource Kit

これらのコンポーネントはそれぞれ、前述の1つ以上のサービス品質の要件を満たします。この項では、コンポーネントについて説明し、それらがどのように組み合さって強力なディレクトリ・サービスを提供するか説明します。

1.2.1 Directory Server

Directory Serverは、アイデンティティ情報に拡張可能でパフォーマンスの高いデータ・ストアを提供します。Directory Serverは、Lightweight Directory Access Protocol (LDAP) v3およびDirectory Service Markup Language (DSML) v2をネイティブにサポートしているため、規格に基づいたアクセスが可能です。HTTPまたはSOAP (Simple Object Access Protocol)経由でLDAPおよびDSMLを使用すると、ネットワーク上にいるクライアントは、安全にディレクトリ・データ・オブジェクトを検索したり更新することができます。また、クライアントは、他のアプリケーションが変更した内容を受信し、ファイアウォールを使用していてもユーザーまたはアプリケーションを認証することができます。

1.2.1.1 Directory Serverとセキュリティ

Directory Serverは、情報セキュリティ・ポリシーを遵守できるように、複数のセキュリティ機能を提供しています。これらの機能は、適切な認証を持つユーザーのみが情報にアクセスできることを保証します。

- マクロレベルの動的アクセス制御命令(ACI)。LDAP属性のレベルでアクセスを定義する方法を提供します。アクセス制御ポリシーは、一度定義するとディレクトリ・ツリーで再利用できます。マクロACIを使用して、ディレクトリ内のACIの数を最適化できるため、セキュリティ・フレームワークの複雑さを緩和することができます。

- ロール・ベース・アクセス。ユーザーのエントリの情報に基づいてアクセスできるようになります。ロールは、グループのように定義、および管理されますが、ロールを使用すると、アプリケーションのグループ化メカニズムはさらに効率的になります。ロールをACIで使用して、データへのアクセスを制御できます。また、ロールを、Directory Serverの1つであるサービス・クラス(CoS)で使用して、同時に多くのエントリに適用できる仮想属性を作成できます。これらの仮想属性は、エントリに必要な記憶域を削減します。また、1回の変更で、無制限の関連するエントリを更新できます。

- 実効権限取得制御。ユーザーが持っている一連の情報に対するアクセス権の種類を判断する方法を提供します。ディレクトリ サービスのアクセス・ポリシーを管理する管理者は、ディレクトリ・ユーザーおよびアプリケーションの権限を監査することで、セキュリティを厳しくすることができます。この機能を使用すると、ユーザーの権限に基づいた適応インタフェースを使用してアプリケーションを作成することができます。

- 暗号化メカニズム。通信チャンネルを使用して転送するときのディスク上のデータを保護します。Directory Serverは、部分レプリケーションおよびアクセスに基づくデータの非表示もサポートしています。これらのメカニズムを使用して、欧州連合およびその他の国際的なプライバシー規則に準拠することができます。

- 複数のパスワード・ポリシー。1人のユーザーを対象に定義することも、特定のグループを対象に定義することもできます。これらのポリシーは、ユーザーが定期的にパスワードを変更して、アカウントへの不正なアクセスがブロックされることを確実にするために役立ちます。

1.2.1.2 Directory Serverと可用性

Directory Serverは、様々なアクセス・プロトコルをネイティブにサポートし、分散環境での可用性を保証する、柔軟性の高いスケーラブルなレプリケーション環境を提供します。

Directory Serverレプリケーションは、これらのプロトコルを使用してアイデンティティ・データにアクセスするアプリケーションでのシングル・ポイント障害を防ぎます。Directory Serveｒは、ローカルおよびワイド・エリア・ネットワーク上のレプリケートされた環境で、理論的に無制限の数のマスターおよび読取り専用コンシューマをサポートしています。レプリケーション・プロトコルの特別な機能により、遅延の大きいネットワークでデータをレプリケートする際に最適化できます。詳細は、『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』の可用性を高めるためのレプリケーションおよび冗長性の使用に関する説明を参照してください。

1.2.1.3 Directory Serverとスケーラビリティ

Directory Serverは、大規模なデプロイメントの再設計が必要ない、垂直および並行な拡張性を提供します。デプロイメントが大規模になると、このレベルのスケーラビリティは、ますます重要になります。

ハードウェアによっては、Directory Serverによって、1台のコンピュータで1秒当たり20,000回の検索の実行を維持することが可能となり、1秒当たり数千回の検索に水平に拡張できます。Directory Serverをデプロイして読込みのスケーラビリティを高める方法の詳細は、『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』の第10章のスケーリングされたデプロイメントの設計に関する説明を参照してください。

組織内での利用が拡大するにつれ、情報を絶えず格納したり更新する必要性が増大します。Directory Serverのパフォーマンスの更新は、リレーショナル・データベースの読込みパフォーマンスと同様です。Directory Serverをデプロイして書込みのスケーラビリティを高める方法の詳細は、『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』の第10章のスケーリングされたデプロイメントの設計に関する説明を参照してください。

Directory Serverは、「キャッシュからの読込み」操作に最大28CPUの線形のCPUスケーラビリティを提供します。これにより、最大メモリー容量にアクセスして高いパフォーマンスを実現することができるため、1つのシステム上に大規模なディレクトリを収容してハードウェアのメリットを最大化することができます。

1.2.1.4 Directory Serverと運用性

Directory Serverは、各サーバーとディレクトリ・サービス全体を管理する包括的な管理ツールのセットを提供します。

集中管理されたWebベースの管理コンソールを使用して、複数のDirectory Serverを構成したり管理することができます。インタフェースには、構成から監視に至るまでの、日常的に行われる効果的なサーバー管理やサービスに必要なツールが含まれています。また、サーバーの実行中に、dsadmおよびdsconfコマンドライン・ユーティリティを動的に使用できます。これらの管理機能により、ディレクトリがオンラインのときでもほとんどの管理操作を実行できるため、可用性が最大化されます。

柔軟に管理できるため、多数の異なる環境へのディレクトリ・サービスのデプロイメントが簡略化されます。コマンドライン・ユーティリティを使用すると、リモート管理は、サービスがローカルのデータ・センターにあるかのように簡単になります。

1.2.2 Directory Proxy Server

Directory Proxy Serverは、LDAPアプリケーション層プロトコル・ゲートウェイです。これは、ディレクトリ・アクセス制御、スキーマ互換性および高可用性が強化されるように設計されています。

1.2.2.1 Directory Proxy Serverと可用性

構成可能なロード・バランシング、フェイルオーバーおよびフェイルバックなどの機能を使用する場合、Directory Proxy Serverによって、システムが必要なデータにアクセスできることが保証されます。

Directory Proxy Serverは、Directory Serverと連携して動作することで信頼性を保証し、DoS攻撃から保護します。Directory Proxy Serverは、リクエストの適切なルーティングを自動的に行い、セキュリティ保護されたファイアウォールと同様のサービスをDirectory Serverに提供します。

重要なアプリケーションでのシングル・ポイント障害を防ぐために、Directory Proxy Serverは、停止を検出し、影響のあるエリア周辺のトラフィックとロード・バランシング・リクエストを効果的にシステムにルーティングします。問題のあるエリアがリストアされて操作できるようになると、Directory Proxy Serverは、リストアされたサーバーを自動的に検出します。

詳細は、『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』の冗長性ソリューションの一環としてDirectory Proxy Serverを使用する方法に関する説明を参照してください。

1.2.2.2Directory Proxy Serverとセキュリティ

Directory Proxy Serverは、ディレクトリにアクセスする多数のユーザーを処理して、このレベルのアクセスの提供に関連するセキュリティ・リスクを最小化します。セキュリティ機能により、管理者は、リクエストの送信元、リクエストが許可されているかどうか、必要な認証の種類を判断できます。Directory Proxy Serverは、検索がリクエストされたときに、リクエストが最小要件を満たしているか確認することもできます。

Directory Proxy Serverは、グループを使用して、LDAPクライアントおよび特定のグループに一致するクライアントに適用する制限事項の特定方法を定義します。グループは、様々な基準を使用して定義できます。

不正なアクセスからプライベート・ディレクトリ情報を保護するために、Directory Proxy Serverは、LDAPディレクトリに詳細なアクセス制御ポリシーを構成することができます。このようなポリシーには、ディレクトリの様々な部分で異なる種類の操作を実行できるユーザーの制御を含めることもできます。Directory Proxy Serverでは、Webトローラおよびロボットが情報収集を目的に通常実行する特定の種類の操作を回避するように構成できます。

1.2.3 Directory Service Control Center

Directory Service Control Center (DSCC)は、グラフィカル・ユーザー・インタフェースで、Directory ServerおよびDirectory Proxy Serverインスタンスの管理に使用されます。DSCCは、任意のサポートされているアプリケーション・サーバーにwarファイルをデプロイして構成します。DSCCレジストリは、登録されているDirectory ServerおよびDirectory Proxy Serverのリストを維持して、複数のサーバー・インスタンスを単一のディレクトリ・サービスにグループ化することができます。

1.2.4 Identity Synchronization for Windows

Identity Synchronization for Windowsは、Directory Server Enterprise EditionおよびMicrosoft Active Directory間でのアイデンティティ・データの基本的な同期機能を提供します。

Identity Synchronization for Windowsは、相互運用性の要件を満たします。パスワードなどのアイデンティティ・データを同期することで、ユーザーは、異なるアプリケーション認証メカニズムを使用するためにパスワードを何回も変更する必要がなくなります。

重要なアイデンティティ・データの同期に負担の少ない実装を使用することで、Active Directoryサーバーにクライアント・コンポーネントをインストールする時間が削減され、集中的なメンテナンスが不要になります。

Identity Synchronization for Windowsでは、ユーザーがパスワードおよびその他のアイデンティティ・データをWindows環境またはWebベースのアプリケーション環境で変更できます。これにより、Identity Synchronization for Windowsは、Active DirectoryとDirectory Serverの間で同期を維持します。また、無効化されたアカウントをActive DirectoryとDirectory Serverの間で同期することもできます。この同期により、WindowsデスクトップとWebベースのアプリケーションの間で、アプリケーションおよびデータに対するアクセス・ポリシーの適合性が保証されます。

1.2.5 Directory Server Resource Kit

Directory Server Resource Kitは、Directory Server Enterprise Editionのデプロイメント、アクセス、チューニングおよび管理のためのDirectory Server Enterprise Editionツールおよびアプリケーション・プログラミング・インタフェース(API)を提供します。これらのユーティリティは、より強力なLDAPベースのソリューションの実装および維持に役立ちます。

パフォーマンスのテストおよび容量計画ツールにより、管理者はパフォーマンスを測定したり、Directory Server Enterprise Editionのインストール時に容量計画を実行することができます。デバッグおよびメンテナンス・ツールは、トラブルシューティングおよびDirectory Server Enterprise Editionの日常のメンテナンスに役立ちます。デプロイメント・ユーティリティおよびツールは、Directory Server Enterprise Editionの新規インストールのロールアウトおよび新バージョンへの移行を容易にします。LDAP生産性ツールには、Directory Server Enterprise Editionを使用して開発されたLDAPアプリケーションのサンプルが含まれています。

また、Sunは、Directory Server Enterprise Editionアプリケーションの詳細なパフォーマンスをテストするために必要なすべてのテストが含まれた強力な負荷生成テスト・アプリケーションであるSLAMDを開発しました。SLAMDは、http://www.slamd.comより無料で利用できます。

1.3 DSEE管理モデル

DSEEの機能を評価する前に、DSEEの基本的なアーキテクチャを理解する必要があります。

DSEEは、2つの管理インタフェースを提供します。

- Webベースのコンソール

- コマンドライン・インタフェース

管理者として、いずれかのインタフェースを使用して、ほとんどの管理タスクを実行できます。次の図は、DSEE管理フレームワークを示しています。

図1-1 Directory Server Enterprise Editionの管理フレームワーク

「図1-1 Directory Server Enterprise Editionの管理フレームワーク」の説明

この管理フレームワークは、Directory ServerおよびDirectory Proxy Serverをサポートし、次のコンポーネントで構成されています。

- Directory Service Control Center (DSCC)。Directory ServerおよびDirectory Proxy Serverインスタンスの管理に使用されるグラフィカル・ユーザー・インタフェース。

- DSCCエージェント。1つのDSCCエージェントは、Directory ServerまたはDirectory Proxy Serverをリモートで管理する各サーバー上で実行されます。DSCCエージェントは、Directory Serverのローカル・インスタンスの管理に、ローカルDirectory ServerおよびDirectory Proxy Serverコマンドを実行します。

- ローカルまたはリモート・サーバーへのDirectory ServerおよびDirectory Proxy Server製品インストール。

- ローカルまたはリモート・サーバー上に作成されるDirectory ServerおよびDirectory Proxy Serverインスタンス。

このガイドは、コンソールおよびコマンドライン・インタフェース(CLI)の両方の情報を提供していますが、通常コンソールを使用して機能を説明しています。

DSEE管理モデルの詳細は、『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』のDirectory Server Enterprise Edition管理モデルに関する説明を参照してください。

1.4 新機能

新機能および動作の変更のリストについては、『Oracle Directory Server Enterprise Editionリリース・ノート』の第1章のOracle Directory Server Enterprise Edition 11g リリース1 (11.1.1.7.0)に関する説明を参照してください。

2 サービス管理機能

この章では、Directory Server Enterprise Editionのサービス管理機能について説明します。この章の内容は、次のとおりです。

- DSCCを使用したWebベースのディレクトリ・サービス管理

- 高度なコマンドライン・インタフェース

- 簡略化されたインストールと移行

- 構成のオンライン変更

- ネットワーク全体での可用性

- 参照先

2.1 DSCCを使用したWebベースのディレクトリ・サービス管理

DSEEの主なインタフェースは、Directory Service Control Center (DSCC)です。DSCCでは、ほとんどすべての管理タスクを実行できます。

DSCCでアクションを開始すると、操作は適切なコンソール・エージェントに、またはLDAPを通じて渡されます。コンソール・エージェントは、対応するDirectory ServerまたはDirectory Proxy Serverコマンドを実行して管理アクションを実行します。

DSCCの開始および使用方法の詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のDirectory Service Control Centerのインタフェースに関する説明を参照してください。

2.1.1 サービス管理を簡略化する様々なビュー

DSCCは、様々なデータ・ビューを提供し、サービスを最も効率的に管理するために役立ちます。たとえば、DSCCは、レプリケーション・トポロジに関連するすべてのサーバーとそれらの間の関係を表示できるトポロジ・ビューを提供します。次の図は、単純な2つのマスターと2つのコンシューマ・レプリケーション・トポロジのトポロジ・ビューを示しています。

図topologyview.pngの説明

矢印は、情報が伝播される方向を示しています。サーバーは、階層順にリストされており、最上位にマスター・サーバーが表示され、最下位に読込み専用のコンシューマ・レプリカが表示されます。ハブ・サーバーが使用されている場合、それらは中央に表示されます。DSCCでは、フィルタを適用してビューを変更することで、特定の接尾辞のみを表示することができます。

DSCCは、接尾辞のレプリケーション・ステータスを表示するツールを提供します。このビューは、次の図に示すとおり、各サーバーの、現在欠落している変更数および適用する必要のある最新の変更の有効期間を表示します。

図suffixview.pngの説明

また、DSCCを使用して、タイムスタンプ、ログ・レベル、メッセージおよびメッセージ・ソートを表示するDirectory ServerおよびDirectory Proxy Serverログを表示できます。ログ・ビューを変更して、指定した文字列を含むエントリのみを表示することができます。

2.1.2 構成と接尾辞のクローニング

通常、本番環境には、冗長性およびロード・バランシングのためのインスタンスが複数含まれています。多くの場合、これらのサーバーにはいずれも同じ構成が使用されています。DSCCでは、サーバーのインスタンスを一度インストールすると、そのサーバーの構成およびレプリケーション構成を別のインスタンスにコピーできるため、サービス管理が簡略化されます。

DSCCは、既存のインスタンスを選択した後、インスタンスまたは接尾辞の構成のいずれかを他のディレクトリ・インスタンスにクローニングすることで、インスタンスまたは接尾辞の構成をクローニングできます。

たとえば、レプリケートされたトポロジのデプロイメントを簡略化するには、マスター・レプリケーション構成を作成した後、それをトポロジ内の他のマスターに伝播します。また、索引などの構成の一部分のみをクローニングすることもできます。

次の図は、「ディレクトリ・サーバー構成のコピー」ウィザードを使用して、1つのDirectory Serverの構成設定を他のサーバーにコピーする方法を示しています。

図copy-dsconf.pngの説明

DSCCは、接尾辞の構成のコピーまたはDirectory Proxy Server構成のクローニングの際にも同様のウィザードを提供します。

2.2 高度なコマンドライン・インタフェース

DSEE CLIは、すべての管理タスクをいくつかのコマンドに削減するよう設計されています。これらのコマンドのルック・アンド・フィールや使用感は、DSEE管理フレームワーク全体で同様です。たとえば、Directory ServerおよびDirectory Proxy Serverの管理タスクは、それぞれdsadmおよびdpadmコマンドで実行されます。これらの2つのコマンドの使用方法および構文は同様です。

コマンドライン・ツールは、LDIFベースの構成の複雑な部分の多くをまとめて表記するため、スクリプトを簡潔で読みやすく記述することができます。

2.2.1 コマンドの概要

DSEEには、サーバーのコマンドライン管理を容易にする次のツールが含まれています。

- dsadm - ローカルのDirectory Serverインスタンス・ファイルを処理して、インスタンスを作成したり、ローカル・ホスト上で実行中のサーバー・プロセスを管理します。
詳細は、dsadmのマニュアル・ページを参照してください。

- dpadm - ローカルのDirectory Proxy Serverインスタンス・ファイルを処理して、インスタンスを作成したり、ローカル・ホスト上で実行中のサーバー・プロセスを管理します。
詳細は、dpadmのマニュアル・ページを参照してください。

- dsconf - LDAP経由でDirectory Serverインスタンスに接続し、サーバー構成(インポート、バックアップ、レプリケーション承諾など)を管理します。
詳細は、dsconfのマニュアル・ページを参照してください。

- dpconf - LDAP経由でDirectory Proxy Serverインスタンスに接続し、サーバー構成を管理します。
詳細は、dpconfのマニュアル・ページを参照してください。

Solarisパッケージのインストールの場合、これらのコマンドは、デフォルトでは、/opt/SUNWdsee7/binにあります。

サーバー・インスタンスの起動および停止などの一部の管理操作には、ローカル・エージェントが必要です。コマンドラインの場合、コマンド自体がローカル・エージェントです。dsadmおよびdpadmコマンドは、サーバーがオフラインである必要があるか、特定のシステム権限が必要であるためローカルで実行されます。たとえば、dsadmコマンドを使用して証明書を変更する場合、サーバーが実行中でもかまいませんが、権限が付与されているユーザーが操作を実行する必要があります。

DSEE CLIを使用して、ディレクトリをリモートで管理および構成することができます。dsconfおよびdpconfコマンドをリモートで実行して、接尾辞、サーバー・インスタンスおよび索引を作成できます。これらのコマンドはLDAP認証を使用するため、コンピュータ上にローカル・ユーザーは必要ありませんが、サーバー・インスタンス自体が実行されている必要があります。

2.3 簡略化されたインストールと移行

DSEEには、コンポーネント製品をインストールできる方法を改善する機能がいくつか含まれています。

2.3.1 コマンドラインからの自動インストール

DSEEには、インストールの各手順に柔軟なコマンドが用意されているため、DSEEインスタンスをインストールして最小限の構成を行うカスタム・スクリプトを記述できます。次にスクリプトを使用して、各サーバーの構成が自動的に同じになるようにデプロイメントを標準化できます。

2.3.2 ルート以外でのインストール

Directory Serverでは、ルート以外のユーザーとしてDSEEコンポーネントをインストールできます。このルート以外でのインストールは、zipディストリビューションで可能です。また、WARファイルを使用して、Directory Service Control Centerをルート以外のユーザーとしてインストールすることもできます。

SolarisのSVR4など、オペレーティング・システムに固有のパッケージ形式では、権限が付与されたユーザーとしてインストールする必要があります。

2.3.3 ユーザー指定のインストール・パス

zipディストリビューションでは、DSEEコンポーネントをユーザー指定のインストール・ディレクトリにインストールする機能が提供されます。

2.3.4 複数の個別インストール

zipディストリビューションでは、1つのオペレーティング・システム・インスタンス内に、コンポーネント製品の複数の個別インストールをインストールできます。さらに、既存のディレクトリ・サーバー・パッケージ・インストールを使用してシステムにzipディストリビューションをインストールすることもできます。

1つのシステムに複数のインストールをインストールする場合、次の制約が適用されます。

- サーバー上のすべてのインスタンスの合計によって使用される合計リソース(RAM、CPUおよびディスク)が、利用できるリソースを超過しないように各インスタンスを構成する必要があります。

- 各インストールには、独自の個別インストール・パスが必要です。

- 各インストールには、独自のエージェント・ポートが必要です。

Solaris 10ゾーンを導入する場合、DSEEのパッケージ・バージョンの異なるバージョンおよびインストールをインストールすることもできます。この場合、各インストールは、それ自体の一意のSolaris 10 全体ルート・ゾーン内に含まれている必要があります。

2.3.5 自動移行ツール(dsmig)

dsmigツールは、単一のDirectory Serverインスタンスを移行します。dsmigツールによって、Directory Server 5.2および5.2.xから11g リリース1 (11.1.1.7.0)に、スキーマ、セキュリティ情報、構成情報およびレプリケーション・データなどを移行することができます。

2.4 構成のオンライン変更

Directory Serverでは、サーバーの実行中に、次の構成を変更することができます。

- 接尾辞。Directory Serverがインストールされてオンラインになると、サーバーが実行中でも、継続して新しい接尾辞を動的に追加できます。

- 索引。接尾辞を定義した後、新しい接尾辞を追加して、検索パフォーマンスを向上させることができます。特定の属性を持つエントリ、特定の属性に近いエントリ、部分文字列を含むエントリまたは特定のロケールに一致するエントリをリストする索引など、機能に応じて索引をカスタマイズすることができます。ディレクトリ・サーバー自体の通常の機能を中断せずに、索引を動的に更新できます。

- スキーマ。ディレクトリ・スキーマを動的に変更できます。スキーマを拡張してアプリケーションのニーズを満たす必要がある場合、サーバーが実行中でも、操作に影響を与えずに、新しいオブジェクト・クラスおよび属性を追加することができます。

- レプリケーション・トポロジ。サーバーが実行中に、レプリケーション・トポロジを設定および変更できます。

2.5 ネットワーク全体での可用性

Directory Serverを、複数の特定のIPアドレスに対してリッスンするように構成できます。この機能を使用すると、イントラネットおよびセキュリティ保護されているネットワークまたは制限されているネットワーク(非武装地帯(DMZ))などの複数のネットワーク上でDirectory Serverを同時に利用できます。

2.6 参照先

この章に記載の機能の詳細は、次のドキュメントを参照してください。

機能

ドキュメント

Directory Service Control Center

『Oracle Directory Server Enterprise Edition管理者ガイド』のDirectory Service Control Center Interfaceに関する説明

DSEEのインストール

インストールされるファイルの詳細は、『Oracle Directory Server Enterprise Editionインストレーション・ガイド』の第I部のDirectory Server Enterprise Editionのインストールおよびアンインストールに関する説明を参照してください。

Directory Serverのアップグレードまたは移行

『Oracle Directory Server Enterprise Editionアップグレードおよび移行ガイド』

索引の作成

『Oracle Directory Server Enterprise Edition管理者ガイド』の第12章のDirectory Serverの索引の作成に関する説明

ディレクトリ・スキーマ

『Oracle Directory Server Enterprise Edition管理者ガイド』の第11章のDirectory Serverのスキーマに関する説明

レプリケーションの構成

『Oracle Directory Server Enterprise Edition管理者ガイド』の第10章のDirectory Serverのレプリケーションに関する説明

静的および動的グループ

『Oracle Directory Server Enterprise Edition管理者ガイド』のグループの管理に関する説明

すべてのIDしきい値プロパティのチューニング

all-ids-thresholdのマニュアル・ページ

3 データの高可用性と高整合性

この章では、データの高可用性と高整合性を提供するDirectory Server Enterprise Editionの機能を説明します。この章の内容は、次のとおりです。

- 強力なレプリケーション

- レプリケートされた大規模な接尾辞への多数のエントリのインポート

- 同期化されたバックアップとエクスポート

- データベース・ファイルの圧縮

- 凍結されたデータベースのファイル・システムのスナップショット

- サーバーがオンライン中の属性変更

- 更新時の属性構文の検証

- Directory Proxy Serverによるスキーマ検証

- 参照先

3.1 強力なレプリケーション

Directory Serverでは、次のような機能を含む強力なレプリケーション・メカニズムが提供されます。

- 無制限にレプリケートできるマスター

- 優先順位付きレプリケーション

- レプリケートされたアカウント・ロックアウト属性

- レプリケーション収束の監視

3.1.1 無制限にレプリケートできるマスター

マルチマスター・レプリケーション環境では、データは複数のマスターで更新されます。各マスターは変更ログを維持し、各マスターの変更内容は、他のサーバーにレプリケートされます。各マスターは、サプライヤとコンシューマの役割をします。Directory Serverでは、マスターの数に制限がないため、マルチマスター・レプリケーション・トポロジは、複数のデータ・センターにマスターを無制限に含めることができます。

また、レプリケーション・トポロジを構成して、マスターのみを含めることができるため、コンシューマに対する操作をルーティングする必要がなくなり、全体的なデプロイメントが簡略化されます。

3.1.2 優先順位付きレプリケーション

Directory Serverでは、レプリケーションの更新に優先順位を付けることができます。優先度順位はブール関数で、on またはoffです。次のパラメータに基づいてレプリケーションに優先順位を付けることができます。

- 属性名
たとえば、パスワード属性をすぐにレプリケートするように構成できます。

- 操作タイプ
たとえば、追加操作の優先順位が変更操作の優先順位よりも高くなるように設定できます。

- クライアント・アイデンティティ
たとえば、一般ユーザーによる変更よりも管理ユーザーによる変更の優先順位の方が高くなるように指定できます。

- エントリまたはサブツリー
たとえば、特定のグループの優先順位が他のグループの優先順位よりも高くなるように指定できます。

優先順位のルールは、各マスター・レプリカに構成されます。マスターは、更新を1つ以上のハブまたはコンシューマ・レプリカにレプリケートできます。更新の優先順位は、すべてのハブおよびコンシューマ・レプリカ全体にカスケードされます。1つのパラメータで、レプリケーションが優先されるように構成されている場合、そのパラメータを含むすべての更新のレプリケーションが優先されます。複数のパラメータで、レプリケーションが優先されるように構成されている場合、すべてのパラメータと一致する更新のみのレプリケーションが優先されます。

コマンドライン・ツールを使用した、レプリケーションの優先順位の構成の手順は、『Oracle Directory Server Enterprise Edition管理者ガイド』のレプリケーションの優先順位に関する説明を参照してください。

3.1.3 レプリケートされたアカウント・ロックアウト属性

Directory Serverでは、クライアント・アプリケーションがサーバーへの認証に失敗したときに、格納されているアカウント・ロックアウト・データがレプリケートされます。Directory Proxy Server機能と一緒にこの機能を使用すると、バインドを適切にルーティングできます。同時に、これらの機能では、グローバル・アカウント・ロックアウトが提供されます。グローバル・アカウント・ロックアウトにより、クライアント・アプリケーションは、ディレクトリ・サービス・トポロジ全体で、指定した回数を超えるログインの試行を受け付けることができなくなります。

このトピックの概要は、『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』のグローバル・アカウント・ロックアウトを使用した認証の防止に関する説明を参照してください。

3.1.4 レプリケーション収束の監視

Directory Serverは、保留中のレプリケーションの変更数を迅速に計算します。Directory Serverは、コンシューマが認識している最も古い変更を検出して、それを他のサーバーと比較し、レプリケーションの遅延を計算することができます。この変更から、コンシューマは、最新の変更までの変更のリストを参照し、適用する必要のある変更の数を計算できます。

さらに、変更ログがどれだけ肥大化しても、Directory Serverのパフォーマンスにほとんど影響を与えずに、この属性を検索できます。

Directory Service Control Centerで、特定の接尾辞に対するすべての保留中の変更のサマリを表示できます。次の図に示すとおり、「サフィックス」タブで、「欠落している変更」列に保留中の変更が表示されます。

図missing-change-tracking.pngの説明

3.2 レプリケートされた大規模な接尾辞への多数のエントリのインポート

Directory Serverは、新しいエントリを既存のデータベースに追加するメカニズムを提供します。このインポート処理では、データが上書きされないように、特定のエントリがすでに存在するかどうかを確認します。この機能を使用すると、複数のパスのLDIFファイルを異なるタイミングでインポートできます。連続してインポートしても、データベースにすでに存在している内容は削除されません。

レプリケートされた大規模な接尾辞への多数のエントリのインポートの詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のレプリケートされた大規模な接尾辞への多数のエントリの増分追加に関する説明を参照してください。

3.3 同期化されたバックアップとエクスポート

dsadmまたはdsconfを使用して、オフラインおよびオンラインのすべてのバックアップ・メソッドをCLIで起動できます。これらのコマンドのデフォルトの動作は、同期モードで操作されます。コマンドは、タスクが完了するまで、完成したコードを戻しません。

-aフラグを設定すると、非同期モードでdsconf import、dsconf export、dsconf backupおよびdsconf restoreコマンドを使用できます。

3.4 データベース・ファイルの圧縮

Directory Serverでは、データベース・ファイルを圧縮して、ディスクの使用を削減したり、バックアップ時間を削減できるようになりました。dsadm repackコマンドを使用して、既存の接尾辞を圧縮できます。このコマンドは、インスタンスを停止してから実行する必要があります。

dsadmを使用したデータベース・ファイルの圧縮の詳細は、dsadmのマニュアル・ページを参照してください。

3.5 凍結されたデータベースのファイル・システムのスナップショット

Directory Serverでは、ファイル・システムのスナップショットを安全に取ることができるように、ディスクのデータベースの更新を停止できる機能を構成できます。

凍結モードが設定されている場合、構成されたデータベースはすべてオフラインとなります。進行中の内部操作には、オフラインになるデータベースが通知されます。進行中のLDAP操作が完了すると、データベース環境はフラッシュされます。以降の受信操作は、サーバー・プロパティが読取り/書込みまたは読取り専用にリセットされるまで拒否されます。単一サーバーのトポロジでは、凍結モード時に操作を受信すると、LDAPエラーが返されます。

オフラインのデータベースの標準的なエラーは記録されます。レプリケートされたトポロジでは、リフェラルが返されます。この機能を適切に機能させるには、データベース上で他のタスクを実行しないようにしてください。次のようにdsconf set-server-propコマンドを使用して、凍結モードを設定します。

dsconf set-server-prop read-write-mode:frozen

このプロパティを設定すると、安全にファイル・システムのスナップショットを取ることができます。

コマンドライン・ツールを使用した、凍結モードの構成の手順は、『Oracle Directory Server Enterprise Edition管理者ガイド』のファイル・システムのバックアップに関する説明を参照してください。

3.6 サーバーがオンライン中の属性変更

以前のバージョンのDirectory Serverでは、dsconfコマンド・プロパティdb-env-path、db-log-pathおよびdb-pathに相当するすべてのIDしきい値およびデータ・ディレクトリ・パスなどの属性は、属性値を変更するときに、サーバーがオフラインである必要がありました。インスタンスがオンラインでも、このような属性の値を変更できるようになりました。

オンライン中に値を変更できますが、一部の属性の変更は、インスタンスが再起動されるまで有効にならない場合があります。また、一部の変更では、再起動する前に手動操作が必要です。たとえば、オンラインのサーバーでデータ・ディレクトリのパス設定を変更できますが、サーバーを再起動して変更を有効にする前に、次の手順を実行する必要があります。

3.6.1 オンラインのサーバーでデータ・ディレクトリ・パスを変更する方法

始める前に

参照マニュアル・ページに、サーバーdb-env-path、db-log-path、または接尾辞db-pathを変更した後、LDIFにエクスポートし、次にLDIFからインポートする必要があることが説明されています。または、データ・ファイルを移動することもできます。ただし、次の手順のいずれかが正常に完了しなかった場合、または新しい構成がこの手順による結果のレイアウトと完全に一致しない場合、サーバーを再初期化するか、バックアップからリストアする必要があります。

1. サーバーをバックアップするか、別のインスタンスからサーバーを再初期化できることを確認します。

2. 古いファイル・システム・ディレクトリと同じ所有権および権限で、新しいファイル・システム・ディレクトリを作成します。
新しいディレクトリが、データを保持できる十分な空き領域のあるファイル・システム内にあることを確認します。

3. サーバーを停止します。
サーバーが完全に停止しない場合、サーバーを再初期化するか、バックアップからリストアする必要があります。

4. 古いファイル・システム・ディレクトリからファイルdo not copyを新しいファイル・システム・ディレクトリに移動します。

パラメータ

db-env-path

db-log-path

db-path

移動するファイル

instance-dir/db/_db.*

instance-dir/db/DBVERSION

instance-dir/db/log.*

instance-dir/db/backend-dir/*

5. 古いディレクトリが空になっている場合、または空のディレクトリのみが含まれている場合は、古いディレクトリを削除します。

6. サーバーを再起動します。

3.7 更新時の属性構文の検証

サーバーのスキーマに定義されている各属性には、それに関連する構文が含まれています。この構文によって、属性に保持する必要のある情報が定義されるため、サーバーは、該当する情報の操作を適切に実行できます。サーバーは構文定義を使用して値を索引付けすることもできるため、索引の検索をすばやく処理できます。

Directory Server Enterprise Editionには、dsconfコマンドを使用して設定される構成可能なオプションcheck-syntax-enabledが導入されており、これにより更新された属性が構文定義に従うことが保証されます。属性値は、構文定義を違反していると拒否されます。たとえば、構文チェックがオンのときに、ユーザーが、数値以外の値を含む整数の構文を持つ属性の更新を試みると、更新は拒否されます。

デフォルトでは、構文チェックはオフです。構文チェックがオンの場合、すべてのインポートおよび更新がチェックの対象になります。

3.8 Directory Proxy Serverによるスキーマ検証

Directory Proxy Serverは、許可されたデータのみに書込み操作の権限が与えられていることを保証するためのスキーマ検証を提供します。たとえば、仮想ディレクトリ機能を使用してエントリを集約すると、集約エントリは、エントリ集約に属しているバックエンド・サーバーのいずれかのスキーマと一致しない場合があります。この場合、仮想スキーマを使用して、Directory Proxy Server上でスキーマ・チェックが実行される場合があります。

スキーマ・チェックが有効な場合、Directory Proxy Serverは、cn=schema接尾辞で利用可能なスキーマを取得し、そのスキーマを使用してスキーマ・チェックを実行します。cn=schema接尾辞を保持しているLDIFデータ・ビューを定義できます。cn=schema接尾辞のコンテンツは、LDAPサーバーまたはDirectory Proxy ServerにローカルのLDIFファイルに格納されているスキーマにポイントできます。

3.9 参照先

この章に記載の機能の詳細は、次のドキュメントを参照してください。

機能

ドキュメント

高可用性のデプロイメントの設計

『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』の第12章の高可用性のデプロイメントの設計に関する説明

ディレクトリ・データのバックアップおよびリストア

『Oracle Directory Server Enterprise Edition管理者ガイド』の第8章のDirectory Serverのバックアップおよびリストアに関する説明

グローバル・レトロ変更ログの使用

『Oracle Directory Server Enterprise Editionリファレンス』のレプリケーションおよびレトロ変更ログ・プラグインに関する説明

グローバル・アカウント・ロックアウトの使用

『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』のグローバル・アカウント・ロックアウトを使用した認証の防止に関する説明

データベースが凍結モードのときのファイル・システムのスナップショットの作成

『Oracle Directory Server Enterprise Edition管理者ガイド』のファイル・システムのバックアップに関する説明

更新時に有効な属性構文を確認

『Oracle Directory Server Enterprise Edition管理者ガイド』の有効な属性構文の確認に関する説明

4 パフォーマンス向上のためのチューニング

この章では、最高のパフォーマンスを得るためのデプロイメントのチューニングを容易にするDirectory Server機能について紹介します。Directory Server自体にも、ほとんどすべての操作のパフォーマンスを強化する機能が含まれています。

この章の内容は、次のとおりです。

- キャッシュの最適化

- ログ管理の機能強化

- 参照先

4.1 キャッシュの最適化

クライアントのリクエストに対して迅速に応答できるように、Directory Serverは、ディレクトリの情報をメモリーにキャッシュします。最高のパフォーマンスを得るために、接尾辞エントリ・キャッシュの設定をチューニングして、パフォーマンスを最適化できます。Directory Serverにより、キャッシュ・サイズの制御が簡単になり、一度チューニングすると、サーバーはキャッシュ設定に厳密に従います。

デフォルトでは、エントリ・キャッシュは、負荷に応じて、完全にサーバーによって管理されています。エントリ・キャッシュ設定を変更する前に、デフォルト値を使用したときのサーバーのパフォーマンスを評価することをお薦めします。チューニングの推奨事項については、『Oracle Directory Server Enterprise Editionリファレンス』および『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』を参照してください。

dsconfコマンドを使用してキャッシュ・サイズをチューニングします。詳細は、dsconfのマニュアル・ページを参照してください。

この項では、Directory Serverのキャッシュの主な機能について説明します。

- 動的メモリーを使用する場合のしきい値の設定

- エントリ・キャッシュのメモリー割当ての最適化

4.1.1 動的メモリーを使用する場合のしきい値の設定

Directory Serverを使用すると、キャッシュを目的とするメモリーの使用量を厳密に制御できるため、メモリーの使用量が削減されます。動的メモリーを使用する場合、最小しきい値および最大しきい値を指定します。このしきい値に達すると、Directory Serverは、接尾辞エントリ・キャッシュのメモリーの解放を試み、メモリーの使用量を制御し続けます。サーバー・キャッシュが最大しきい値に達した場合、サーバーはメモリーを積極的に解放します。パフォーマンスに影響があるのは、最大しきい値に達したときのみです。

この機能では、ソフトしきい値およびハードしきい値の2つの構成可能なしきい値が提供されます。ソフトしきい値に達すると、ディレクトリ・サーバーは、他の操作と同時にメモリーを解放しようとします。ハードしきい値に達すると、メモリーを解放している間は、キャッシュ上の操作は行われません。これらの2つのしきい値は、2つのサーバー・プロパティで定義されます。

- heap-high-threshold-sizeは、ハードしきい値を指定します。

- heap-low-threshold-sizeは、ソフトしきい値を指定します。

この2つのサーバー・プロパティの詳細は、serverのマニュアル・ページを参照してください。

4.1.2 エントリ・キャッシュ・のメモリー割当ての最適化

エントリ・キャッシュのサイズによって、メモリーの割当て方法が決まります。たとえば、キャッシュが2ギガバイトより小さい場合、サーバーは、メモリー・プールを1つ使用します。キャッシュ・サイズが2ギガバイトより大きい場合、サーバーは、特定のサイズに分けられた各プールを必要な数だけ使用してキャッシュ・メモリーを最適化します。

デフォルトでは、エントリ・キャッシュは、負荷に応じて、完全にサーバーによって管理されています。エントリ・キャッシュ設定を変更する前に、デフォルト値を使用したときのサーバーのパフォーマンスを評価することをお薦めします。

設定できるキャッシュ・サイズ・プロパティの詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』またはserverのマニュアル・ページを参照してください。チューニングの推奨事項については、『Oracle Directory Server Enterprise Editionリファレンス』および『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』を参照してください。

4.2 ログ管理の機能強化

このバージョンのDirectory Serverでは、時間ベースのログ・ローテーション、アクセス、エラーおよび監査ログのオンデマンド・ローテーション機能およびログ・ファイルの構成可能な権限が機能強化されています。また、プロキシ認可の際のユーザーのロギングがさらに柔軟になりました。

次の項では、Directory Serverのロギング機能の変更内容について説明します。

4.2.1 時間ベースのログ・ローテーションと削除

Directory Serverは、指定期間の後だけでなく、指定した時間でもログをローテーションしたり削除することができます。この機能を使用すると、ローテーションされた各ログ・ファイルの期間が同じになるため、ログ解析および傾向分析などの操作をより簡単に実行できるようになります。また、この機能は、特定のログ・ファイルが対象とする特定の期間を簡単に判断できるため、これを使用して監査およびセキュリティ要件を満たすこともできます。

ログを時間間隔に応じてローテーションするか、ログ・ファイルのサイズに応じてローテーションするかを指定できます。次の図は、DSCCを使用して、ログ・ローテーションを1週間に1度午前0時に実行し、またサイズ制限が100メガバイトを超えたときにログ・ファイルをローテーションするよう構成していることを示しています。

図config-log-rotate.pngの説明

rotation-timeログ・プロパティの詳細は、logのマニュアル・ページを参照してください。

たとえば、アクセス・ログの現在の構成をコマンドラインで次のように表示することができます。

$ dsconf get-log-prop -p 20390
enabled                   :  on
level                     :  default
max-age                   :  1M
max-disk-space-size       :  500M
max-file-count            :  10
max-size                  :  100M
min-free-disk-space-size  :  5M
path                      :  /install-path/sA1/logs/access
perm                      :  600
rotation-interval         :  1d
rotation-min-file-size    :  unlimited
rotation-time             :  undefined
verbose-enabled           :  N/A

コマンドラインを使用して、アクセス・ログのローテーション間隔を次のように変更できます。

$ dsconf set-log-prop -p 20390 rotation-interval:2d

4.2.2 オンデマンド・ログ・ローテーション

Directory Serverアクセス、エラーおよび監査ログを手動でローテーションできます。この機能は、ファイルを調べているときに、サーバーの現在のログ・ファイルへの書込みを停止する場合に便利です。時間ベースのログ・ローテーションの他に、システム・スケジューラ・ユーティリティを備えたこの機能を使用することもできます。

DSCCを使用して、アクセス・ログをローテーションできます。次の図は、ロギング構成スクリーンおよび「ログ・ファイルをただちにローテーション」ボタンを示しています。このボタンをクリックすると、現在のログ・ファイルを閉じて新しいログを開始できます。

図rotatelog.pngの説明

コマンドラインからアクセス・ログをローテーションするには、次のように入力します。

$ dsconf rotate-log-now -p 20390

rotate-log-nowサブコマンドの詳細は、dsconfのマニュアル・ページを参照してください。

4.2.3 構成可能なログ・ファイル権限の設定

Directory Serverは、ログ・ファイルの作成に使用される権限を構成する機能を提供し、ログの権限をデフォルト値から変更できます。この機能で、サーバーを起動するユーザーが実行できる操作を厳密に制御することができます。同時に、ログに含まれている重要な時間依存の情報にアクセスする特定のアプリケーションおよび他のユーザーを許可することができます。

Directory Serverでは、ログ・ファイルの作成に使用される権限を指定できます。

次の図に示すとおり、dsconfコマンドを使用するか、DSCCを使用して、ログ・ファイルの作成権限を設定できます。

図log-permissions.pngの説明

permログ・プロパティの詳細は、logのマニュアル・ページを参照してください。

4.2.4 永続検索の監視と管理

サーバーで実行されている永続検索の数を監視したり、永続検索の最大数を設定することができるようになりました。永続検索の数を監視するには、cn=monitorの下に保存されているcurrentpsearches属性の値を表示します。永続検索の最大数を設定するには、コマンドdsconf set-server-prop max-psearch-count:numberを使用します。この機能は、永続検索に関連したパフォーマンスの問題をトラブルシューティングしたり防止する場合に便利です。

4.3 参照先

この章に記載の機能の詳細は、次のドキュメントを参照してください。

機能

ドキュメント

Directory Serverのパフォーマンス要件

『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』のパフォーマンス要件の定義に関する説明

キャッシュおよびDirectory Serverによるそれらの使用方法の概要

『Oracle Directory Server Enterprise Editionリファレンス』のキャッシュおよびDirectory Serverによるそれらの使用方法に関する説明

パフォーマンス向上を目的としたキャッシュ設定のチューニング

『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』のキャッシュ設定のチューニングに関する説明

Directory Serverロギングの概要

『Oracle Directory Server Enterprise Editionリファレンス』の第10章のDirectory Serverのロギングに関する説明

Directory Serverログの管理

『Oracle Directory Server Enterprise Edition管理者ガイド』の第14章のDirectory Serverのロギングに関する説明

5 セキュリティの強化

この章では、アイデンティティを可能なかぎり最大限にセキュリティ保護するDSEEの機能を説明します。この章の内容は、次のとおりです。

- 接続ベースのアクセス制御

- Directory Server Enterprise Editionのパスワード・ポリシー

- リセット後のパスワードの強制変更

- グローバル・アカウント・ロックアウト

- Directory Managerの機能強化

- LDAP拡張操作による簡略化されたパスワード更新

- 最終ログイン時間の追跡

- プロキシ認可を使用して実行する更新の監査の強化

- 参照先

5.1 接続ベースのアクセス制御

Directory Serverでは、ホスト・アクセス制御ファイルhosts.allowおよびhosts.denyを使用して、サーバーにアクセスする接続状況を指定できます。接続ベースのアクセス制御を有効にするには、dsconfコマンドを使用します。サーバー・プロパティhost-access-dir-pathを、hosts.allowおよびhosts.denyファイルが配置されているファイル・システム・ディレクトリの絶対パスに設定します。詳細は、serverおよびhosts_accessのマニュアル・ページを参照してください。

接続ベースのアクセス制御は、ACIを使用して構成することもできます。ACIバインド・ルールのバックグラウンドの詳細は、『Oracle Directory Server Enterprise Edition管理者ガイド』のACIバインド・ルールに関する説明を参照してください。

5.2 Directory Server Enterprise Editionのパスワード・ポリシー

Directory Server Enterprise Editionのパスワード・ポリシーでは、次のような機能が提供されます。

- pwdGraceLoginLimit属性で指定される猶予期間の上限。この属性は、期限切れのパスワードを使用して認証できる回数を指定します。属性が指定されていないか、0に設定されている場合、認証は失敗します。

- pwdSafeModify属性で指定される安全なパスワード変更。この属性は、パスワードの変更時に現在のパスワードを送信する必要があるかを指定します。属性が指定されていない場合、現在のパスワードを送信する必要はありません。

また、パスワード・ポリシーでは、passwordPolicyRequestおよびpasswordPolicyResponseの2つの制御も提供されます。これらの制御を使用すると、LDAPクライアントは、LDAPのadd、delete、modrdn、compareおよびsearch操作のアカウント・ステータスの情報を取得できます。

検索内でOID 1.3.6.1.4.1.42.2.27.8.5.1を使用すると、次の情報を取得できます。

- パスワードの有効期限が切れるまでの期間

- 猶予期間ログインの残りの試行回数

- パスワードの有効期限が切れている

- アカウントがロックされている

- リセット後にパスワードを変更する必要がある

- パスワードの変更が許可されている

- ユーザーは古いパスワードを入力する必要がある

- パスワード品質(構文)が不十分である

- パスワードが短すぎる

- パスワードを変更するには早すぎる

- パスワードはすでに履歴にある

5.2.1 DSCCを使用したパスワード・ポリシーの管理

DSCCでは、パスワード・ポリシーを管理するためのタブが提供されます。このタブを使用して、新しいポリシーを追加したり、ポリシーをDirectory Serverユーザーに割り当てたり、パスワード・ポリシーの互換性モードを変更することができます。次の図は、このタブを示しています。

図password-policy.pngの説明

新規パスワード・ポリシーを定義する場合、「新規パスワード・ポリシー」ウィザードを使用します。これを使用すると、パスワードの変更設定、有効期限の設定およびコンテンツの設定を指定できます。また、アカウント・ロックアウトの設定も指定できます。次の図は、「新規パスワード・ポリシー」ウィザードの手順2を示しています。

図pwd-policy-wizard.pngの説明

5.2.2 新規パスワード・ポリシーへの移行

新規パスワード・ポリシーは、移行する場合に互換性モードを判断することで、以前のDirectory Serverのバージョンとの互換性を維持します。互換性モードは、パスワード・ポリシーの属性を古い属性として処理するか、新しい属性として処理するかを決定しますが、ここで言う古いとは、Directory Server 5.2または5.2.xのパスワード・ポリシー属性を意味します。

新規パスワード・ポリシーへの移行の詳細は、『Oracle Directory Server Enterprise Editionアップグレードおよび移行ガイド』のパスワード・ポリシーに関する説明を参照してください。

5.3 リセット後のパスワードの強制変更

Directory Serverの機能により、管理者は、パスワードをリセットした後、一般システム・ユーザーにパスワードを強制的に変更させることができます。

この機能を有効にするには、pwd-must-change-enabledプロパティを使用します。このプロパティは、ユーザーが最初にバインドしたとき、またはパスワードを設定またはリセットした後にパスワードを変更する必要があるかどうかを指定します。この機能はデフォルトでは無効になっています。

5.4 グローバル・アカウント・ロックアウト

連続してバインドに失敗したために、ユーザー・アカウントがロックされると、ユーザー・アカウントは、サーバーのコレクション全体で効率的にロックされます。

次の図に示すとおり、DSCCを使用してユーザー・アカウント・ロックアウトを構成できます。

図account-lockout.pngの説明

Directory Serverでは、クライアント・アプリケーションがサーバーへの認証に失敗したときに、格納されているアカウント・ロックアウト・データがレプリケートされるようになりました。バインドを適切にルーティングするためにDirectory Proxy Server機能と一緒に使用すると、グローバル・アカウント・ロックアウトにより、クライアント・アプリケーションは、ディレクトリ・サービス・トポロジ全体でロックアウトされる前に、指定した回数を超える試行を受け付けないようにすることができます。

詳細は、『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』のグローバル・アカウント・ロックアウトを使用した認証の防止に関する説明を参照してください。

5.5 Directory Managerの機能強化

Directory Serverは、グループcn=Administrators,cn=configに属しているディレクトリ管理者が管理できます。これらのユーザーは、ユーザーにディレクトリへの完全なアクセス権を付与する特殊なグローバルACIに従います。各インスタンスで作成されるデフォルトの管理者は、name="DirAdminDN" content="cn=admin,cn=Administrators,cn=config"です。

これらのユーザーは実在エンティティを持つため、それらのエントリに証明書を追加できます。これは、作成する管理者のエントリが、SSL証明書を使用してバインドできることを意味します。さらに、サーバーは、バインドに失敗した試行回数が多すぎると、管理者ユーザーをロックします。

5.6 LDAP拡張操作による簡略化されたパスワード更新

Directory Serverを使用すると、RFC 3062 (http://www.ietf.org/rfc/rfc3062.txt)で説明されているLDAPパスワード変更の拡張操作を使用して、有効期限が切れたパスワードを変更できます。ldappasswdコマンドを使用して、コマンドラインから有効期限が切れたパスワードを変更できます。

5.7 最終ログイン時間の追跡

パスワード・ポリシー属性pwdKeepLastAuthTimeを使用して最終ログイン時間の追跡を有効にすると、Directory Serverは、ユーザー・エントリの操作属性pwdLastAuthTimeに、最後に成功した認証の時間を記録します。

5.8 プロキシ認可を使用して実行する更新の監査の強化

Directory Serverでは、プロキシ認可を使用して実行する更新の監査が強化されました。サーバーは、Directory Serverに認証されたアイデンティティではなく、操作を実行するために認可されたアイデンティティをログに記録できます。cn=configのuseAuthzIdForAuditAttrsをonに設定すると、サーバーは、エントリの書込み操作中に、creatorsNameまたはmodifiersName属性の認可IDを記録します。デフォルトでは、Directory Serverは認可IDを記録します。

5.9参照先

この章に記載の機能の詳細は、次のドキュメントを参照してください。

機能

ドキュメント

コマンドラインを使用したパスワード・ポリシーの構成

『Oracle Directory Server Enterprise Edition管理者ガイド』の第7章のDirectory Serverのパスワード・ポリシーに関する説明

グローバル・アカウント・ロックアウトの有効化

『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』のグローバル・アカウント・ロックアウトを使用した認証の防止に関する説明

Directory Server Enterprise Editionパスワード・ポリシー・アーキテクチャの概要

『Oracle Directory Server Enterprise Editionアップグレードおよび移行ガイド』のパスワード・ポリシーに関する説明

新規パスワード・ポリシーへの移行

『Oracle Directory Server Enterprise Editionアップグレードおよび移行ガイド』のパスワード・ポリシーの構成属性に関する説明

ACIを使用した接続ベースのアクセス制御の構成

『Oracle Directory Server Enterprise Edition管理者ガイド』のACIバインド・ルールに関する説明

6 スケーラビリティの管理

この章では、数億、さらには数千億エントリに及ぶデプロイメントでもサポートできるDSEEの機能について説明します。DSEEでは、ou=peopleなどのフラットなネームスペースを、マルチマスター・レプリケーションのために構成された複数セットのサーバー全体に分割することができます。この章の内容は、次のとおりです。

- ロード・バランシングと操作ベースのルーティング

- DNと属性のリライト

- 書込みを高速化するカスタマイズ可能なデータ分散

- 参照先

6.1 ロード・バランシングと操作ベースのルーティング

Directory Proxy Serverでは、同じクライアント接続上の様々なLDAP操作を異なるサーバーにルーティングしたり、同じクライアント接続上の連続したリクエストを同一のLDAPサーバーに送信することができるようになりました。また、Directory Proxy Serverは、広範囲に及ぶバランシング・ポリシーを提供しています。

さらに、Directory Proxy Serverを構成すると、リクエストされたLDAP操作に応じて、複数のLDAPサーバー全体にLDAPトラフィックをロード・バランスすることができます。

次の図に示すとおり、DSCCの「新規データ・ソース・プール」ウィザードを使用すると、ロード・バランシング・アルゴリズムを選択することができます。

図choose-dps-algor.pngの説明

また、DSCCの「新規データ・ソース・プール」ウィザードを使用して、ロード・バランシング・アルゴリズムを構成することもできます。次の図は、DSCCを使用して、各データ・ソースにルーティングされる読込みおよび書込み操作の割合を定義する方法を示しています。

図loadalgo.pngの説明

次の図に示すとおり、データ・ソースおよびそのロード・バランシング・アルゴリズムを構成した後、「新規データ・ビュー」ウィザードを使用して、データ・ソースをデータ・ビューに関連付けます。

図dataview.pngの説明

6.2 DNと属性のリライト

Directory Proxy Serverを構成して、エントリのDN、属性タイプおよび属性値を自動的に変更することができます。その結果、エントリのクライアント・アプリケーション・ビューが、ディレクトリに格納されている内容と大きく異なる場合があります。

DNのリライトは、1つのDNに対する次の操作でサポートされています。

- 追加

- バインド

- 比較

- 削除

- 変更

- DNの変更

DNのリライトは、検索操作ベースおよび結果エントリのDNでもサポートされています。

コマンドライン・ツールを使用した構成例は、『Oracle Directory Server Enterprise Edition管理者ガイド』のデータ・ビューの作成および構成の使用例に関する説明を参照してください。

6.3 書込みを高速化するカスタマイズ可能なデータ分散

ユーザーは、自身のDSEEのデプロイメントを設計して、ディレクトリをサーバー全体に分散させることで、ディレクトリ対応アプリケーションで可能なかぎり最適なパフォーマンスを得ることができます。また、カスタマイズされた分散によって、ディレクトリの可用性が向上し、ディレクトリの管理が簡単になります。データベースのコンテンツがサーバーの数に分散されるため、各サーバーのワークロードは削減されます。ただし、クライアント側からは、ディレクトリは、単一のディレクトリ・ツリーのように見えます。

データを分散させると、各サーバーのこれらのディレクトリのエントリをエンタープライズに物理的に含めなくても、複数のサーバー全体にディレクトリをスケーリングすることができます。このため、分散されたディレクトリには、単一のサーバーのときよりもはるかに多くのエントリを保持することができます。さらに、分散の詳細内容をユーザーから見えないようにディレクトリを構成することもできます。ユーザーおよびアプリケーションに関するかぎり、それらのディレクトリの問合せは、単一のディレクトリで回答されます。

詳細は、『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』の書込みのスケーラビリティにおける分散の使用に関する説明を参照してください。

6.4 参照先

この章に記載の機能の詳細は、次のドキュメントを参照してください。

機能

ドキュメント

スケーリングされたデプロイメントの設計

『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』の第10章のスケーリングされたデプロイメントの設計に関する説明

Directory Proxy Serverの管理

『Oracle Directory Server Enterprise Edition管理者ガイド』の第II部のDirectory Proxy Serverの管理に関する説明

グローバル・デプロイメントの設計

『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』の第11章のグローバル・デプロイメントの設計に関する説明

Directory Proxy Serverアーキテクチャの概要

『Oracle Directory Server Enterprise Editionリファレンス』の第II部のDirectory Proxy Serverのリファレンスに関する説明

Directory Proxy Serverのロード・バランシングおよびクライアント・アフィニティについて

『Oracle Directory Server Enterprise Editionリファレンス』の第16章のDirectory Proxy Serverのロード・バランシングおよびクライアント・アフィニティに関する説明

ロード・バランシングの構成

『Oracle Directory Server Enterprise Edition管理者ガイド』の第20章のDirectory Proxy Serverのロード・バランシングおよびクライアント・アフィニティに関する説明

7 仮想ディレクトリ

Directory Proxy Serverで提供される仮想ディレクトリ機能を使用すると、様々なデータをLDAPクライアント・アプリケーションに表示されるLDAPビューに集約できます。クライアント・アプリケーションが必要とする内容に応じて、データをフィルタできる他、変更することもできます。そのため、各アプリケーションは、同じデータについて異なる仮想ビューを使用できます。カスタム・ビューでデータを表示する論理レイヤーを提供することで、使用されているインフラストラクチャおよび既存のアプリケーションが変更されることを回避することができ、さらに迅速にデプロイすることができます。

この章では、仮想ディレクトリ機能の概要を説明し、次のトピックを取り扱います。

- 複数のソースで構成される仮想ネームスペースの定義

- 仮想エントリを作成するデータ・ビューの集約

- 属性名と値のマッピング

- 参照先

7.1 複数のソースで構成される仮想ネームスペースの定義

仮想ディレクトリは、複数のディレクトリ、データベースおよびその他のデータ・ソースを、各アプリケーションの仕様に合せてカスタマイズできる論理ビューに統合します。これらの仮想ネームスペースは、ソース・データを適切なフォーマットに変換するときに、複数のソースから結合されて作成され、クライアント・アプリケーションの必要に応じて再構築されます。そのため、各アプリケーションでは、完全に同じデータについて異なる仮想ビューを使用できます。仮想ネームスペースは、使用されているデータを変更することなく作成されるため、実装が簡略化されます。

たとえば、ある企業で、その従業員に関する情報を使用したディレクトリ・サーバーがデプロイされているとします。別のディレクトリ・サーバーには、Access Managerをサポートするその他の従業員情報が含まれています。この企業は、Access Manager環境に両方のディレクトリのユーザー・データの単一ビューが提供されるようにDirectory Proxy Serverを設定します。また、企業は、Directory Proxy Serverを使用して、ユーザー・エントリの更新内容を適切なリポジトリに配信します。たとえば、バインドが作成されると、Access Managerによるユーザー・エントリの更新は、Access Managerディレクトリに限定されます。

複数の仮想データ・ビューの作成方法の詳細は、『Oracle Directory Server Enterprise Editionリファレンス』の仮想データ・ビューの作成に関する説明を参照してください。

次の項では、仮想ディレクトリがサポートしている様々なデータ・ビューについて説明します。

7.1.1 JDBCに準拠したデータ・リポジトリへのアクセス

仮想ディレクトリは、LDAPクライアント・アプリケーションからリレーショナル・データベースにアクセスできるようにするJDBCデータ・ビューを提供します。たとえば、JDBCデータ・ビューを使用すると、LDAP属性をRDBMSテーブルの列にマッピングできます。JDBCテクノロジに準拠したデータ・リポジトリへのアクセスの詳細は、『Oracle Directory Server Enterprise Editionリファレンス』のJDBCデータ・ビューに関する説明を参照してください。

7.1.2 フラットLDIFファイル・リソースへのアクセス

仮想ディレクトリは、LDAPクライアントによるフラットLDIFファイルへのアクセスを可能にするLDIFデータ・ビューを提供します。LDIFファイルへのアクセスの詳細は、『Oracle Directory Server Enterprise Editionリファレンス』のLDIFデータ・ビューに関する説明を参照してください。

7.1.3 LDAPリソースへのアクセス

Directory Proxy Serverは、LDAP v3に準拠したLDAPディレクトリ・サーバーにアクセスできます。

7.2 仮想エントリを作成するデータ・ビューの集約

仮想ディレクトリは、複数のデータ・ビューの複数のエントリから構築される完全な仮想エントリを作成できます。複数のデータ・ソースからデータを集約する仮想ドメインを定義できます。これらのソースには、LDAPディレクトリ、JDBC準拠のデータ・リポジトリまたはフラットLDIFファイルを使用できます。Directory Proxy Serverは、JDBC for Java DB 10.2、Oracle 9iと10g、DB2 v9.1およびMySQL 5.0をサポートしています。データ集約には、異なる属性名および異なるDNとデータ・ソースとの結合が含まれます。

たとえば、ディレクトリには、Adam Brown、cn=Adam Brownのエントリが含まれています。人事管理アプリケーションは、このユーザーの給与情報をリクエストしますが、この情報は別のOracle Databaseに格納されています。Directory Proxy Serverは、Oracle Databaseにアクセスして給与情報を取得し、人事管理アプリケーションがこれを取得するときに、エントリ集約を使用してこの情報を動的にエントリに追加します。ただし、企業の住所録などの他のアプリケーションでは、この情報はユーザー・エントリの一部として表示されません。

また、Directory Proxy Serverは、複数の結合内の同じデータ・ビューを使用することもできます。たとえば、新しいデータ・ビューと既存のデータ・ビューを組み合せた新しい結合を作成することができます。Directory Proxy Serverは、この複数データの結合を制約なく構成できます。

異なるデータ・ソースのデータを集約する方法の詳細は、『Oracle Directory Server Enterprise Editionリファレンス』の結合データ・ビューに関する説明を参照してください。

7.3 属性名と値のマッピング

仮想データ変換機能を使用すると、LDAPクライアント・アプリケーションおよび複数の異なるデータ・ソースに合せて属性名および値をマッピングできます。たとえば、クライアント・アプリケーションが使用する属性を、LDAPディレクトリ、LDIFファイルまたはRDBMSデータベースの任意の属性名にマッピングできます。この機能には、仮想属性および属性値の動的な生成、削除および名前変更などがあります。複数値属性がサポートされています。デフォルトの属性値を定義する機能も提供されています。

仮想データの変換の詳細は、『Oracle Directory Server Enterprise Editionリファレンス』の仮想データの変換に関する説明を参照してください。

7.4 参照先

この章に記載の機能の詳細は、次のドキュメントを参照してください。

機能

ドキュメント

仮想ディレクトリのサンプル・デプロイメント

『Oracle Directory Server Enterprise Editionデプロイメント・プランニング・ガイド』の第14章の仮想ディレクトリのデプロイメントに関する説明

仮想データ・ビューの作成

『Oracle Directory Server Enterprise Edition管理者ガイド』の第22章のDirectory Proxy Serverの仮想化に関する説明

JDBC仮想ビューの概要

『Oracle Directory Server Enterprise Editionリファレンス』のJDBCデータ・ビューに関する説明

LDIF仮想ビューの概要

『Oracle Directory Server Enterprise Editionリファレンス』のLDIFデータ・ビューに関する説明

結合データ・ビューの概要

『Oracle Directory Server Enterprise Editionリファレンス』の結合データ・ビューに関する説明

仮想データの変換の概要

『Oracle Directory Server Enterprise Editionリファレンス』の仮想データの変換に関する説明

8 Windowsユーザーおよびグループを使用したDirectory Serverの同期

Identity Synchronization for Windowsでは、Directory ServerおよびWindows Active DirectoryまたはNT SAMレジストリ間で双方向のパスワードおよびユーザー属性を同期する機能を提供します。この章では、Identity Synchronization for Windowsの主な機能について説明し、次のトピックを取り扱います。

- アカウント同期

- Active Directoryを使用したグループ同期

- マルチマスター・レプリカでのフェイルオーバー・サポート

- Windows同期における管理サーバー・サポートの統合

- 参照先

8.1 アカウント同期

Identity Synchronization for Windowsは、Active DirectoryとDirectory Serverの間で、またはWindows NTとDirectory Serverの間で、アカウントの作成、変更、非アクティブ化および削除を同期します。Identity Synchronization for Windowsを使用すると、1つのディレクトリ環境で、選択した属性またはユーザー・アカウントを作成、変更および削除し、それらの変更内容を別のディレクトリ環境に自動的に伝播させることができます。

Identity Synchronization for Windowsでは、Directory ServerとWindowsの間でのオブジェクトの削除およびオブジェクトの有効化と非アクティブ化のフローを制御することができます。

Identity Synchronization for Windowsを使用して、データを複数のActive DirectoryおよびWindows NTドメインおよび複数のActive Directoryフォレストと同期することができます。集中管理されたシステム監査により、1つの集約された場所から、インストールと構成ステータス、日常のシステム操作およびユーザーのデプロイメントに関連して発生するあらゆるエラーの状態を監視することができます。

8.2 Active Directoryを使用したグループ同期

Identity Synchronization for Windowsは、Directory ServerとActive Directoryの間でのユーザー・グループの同期をサポートしています。Directory ServerのグループをActive Directoryのドメイン・グローバル・ディストリビューションまたはドメイン・グローバル・セキュリティのいずれかにマップできます。

グループ同期の詳細は、『Identity Synchronization for Windows 6インストール・ガイド』のDirectory ServerとActive Directory間のグループに関連する変更を検出して同期させるようにIdentity Synchronization for Windowsを構成する方法の説明を参照してください。

8.3 マルチマスター・レプリカでのフェイルオーバー・サポート

Identity Synchronization for Windowsは、単一のレプリケートされた接尾辞内のユーザーの同期をサポートしています。

8.4 Windows同期における管理サーバー・サポートの統合

インストーラで、ローカル・ホストの選択されたディレクトリ・ソースに既存の管理サーバーが見つからない場合があります。ただし、Identity Synchronization for Windowsには管理サーバーが付属しています。インストーラで、ローカルの管理サーバーが見つからない場合、インストーラは、指定されたサーバー・ルートの場所に管理サーバーを追加します。

8.5 参照先

この章に記載の機能の詳細は、次のドキュメントを参照してください。

機能

ドキュメント

Identity Synchronization for Windowsのデプロイメント

『Identity Synchronization for Windowsデプロイメント・プランニング・ガイド』

Identity Synchronization for Windowsコマンドライン・ユーティリティの使用

『Identity Synchronization for Windows 6インストレーション・ガイド』の付録AのIdentity Synchronization for Windowsコマンドライン・ユーティリティの使用に関する説明

サンプルXML構成ドキュメント

『Identity Synchronization for Windows 6インストレーション・ガイド』の付録BのIdentity Synchronization for Windows LinkUsers XMLドキュメントのサンプルに関する説明

複数のWindowsドメインの構成および同期ユーザー・リスト(SUL)の使用

『Identity Synchronization for Windows 6インストレーション・ガイド』の付録DのIdentity Synchronization for Windowsの同期ユーザー・リストの定義と構成に関する説明

レプリケートされた単一の接尾辞内のユーザーの同期

『Identity Synchronization for Windows 6インストレーション・ガイド』の付録Eのレプリケートされた環境でのIdentity Synchronization for Windowsインストールに関する説明

グループ同期

『Identity Synchronization for Windows 6インストレーション・ガイド』のDirectory ServerとActive Directory間のグループに関連する変更を検出して同期させるようにIdentity Synchronization for Windowsを構成する方法の説明

A Directory Server Enterprise Editionがサポートする規格とRFC

Directory Server Enterprise Editionソフトウェアは、ここにリストされているRFCおよび規格をサポートしています。

注意:

RFC 2251から2256およびその他いくつかのRFCは、RFC 4510から4520の新しいRFCのセットにより廃止されました。新しいRFCは、この付録にリストされています。

DSMLv2 (http://www.oasis-open.org/committees/dsml/docs/DSMLv2.xsd)

Directory Services Markup Language v2

FIPS 180-1 (http://www.itl.nist.gov/fipspubs/fip180-1.htm)

Secure Hash Standard (SHA-1)

RFC 1777 (http://www.ietf.org/rfc/rfc1777.txt)

Lightweight Directory Access Protocol (v2)

RFC 1778 (http://www.ietf.org/rfc/rfc1778.txt)

The String Representation of Standard Attribute Syntaxes

RFC 1779 (http://www.ietf.org/rfc/rfc1779.txt)

A String Representation of Distinguished Names

RFC 2079 (http://www.ietf.org/rfc/rfc2079.txt)

Attribute Type and Object Class to Hold URIs

RFC2079のマニュアル・ページを参照してください。

RFC 2246 (http://www.ietf.org/rfc/rfc2246.txt)

The TLS Protocol Version 1.0

RFC 2247 (http://www.ietf.org/rfc/rfc2247.txt)

Using Domains in LDAP/X.500 Distinguished Names

RFC2247のマニュアル・ページを参照してください。

RFC 2307 (http://www.ietf.org/rfc/rfc2307.txt)

An Approach for Using LDAP as a Network Information Service

RFC2307のマニュアル・ページを参照してください。

RFC 2377 (http://www.ietf.org/rfc/rfc2377.txt)

Naming Plan for Internet Directory-Enabled Applications

uidObjectクラスのみがDirectory Serverスキーマで定義されています。スキーマでは、名前の書式は定義されていません。名前書式の定義は、関連するオブジェクトのRDNのdc以外の属性の正当な使用を妨害します。

RFC 2605 (http://www.ietf.org/rfc/rfc2605.txt)

Directory Server Monitoring MIB

Directory Serverは、このRFCの一部をサポートしています。

RFC 2713 (http://www.ietf.org/rfc/rfc2713.txt)

LDAP Schema for Java Objects

RFC2713のマニュアル・ページを参照してください。

RFC 2739 (http://www.ietf.org/rfc/rfc2739.txt)

Calendar Attributes for vCard and LDAP

Directory Serverは、このRFCの一部をサポートしています。

RFC 2788 (http://www.ietf.org/rfc/rfc2788.txt)

Network Services Monitoring MIB

RFC 2798 (http://www.ietf.org/rfc/rfc2798.txt)

Definition of the inetOrgPerson LDAP Object Class

RFC2798のマニュアル・ページを参照してください。

RFC 2831 (http://www.ietf.org/rfc/rfc2831.txt)

Using Digest Authentication as a SASL Mechanism

現在、使用できる保護品質はauthのみです。

RFC 2849 (http://www.ietf.org/rfc/rfc2849.txt)

LDAP Data Interchange Format

RFC 2891 (http://www.ietf.org/rfc/rfc2891.txt)

LDAP Server-Side Sort Control

RFC 2926 (http://www.ietf.org/rfc/rfc2926.txt)

Conversion of LDAP Schemas to and from SLP Templates

このドキュメントで説明されているSLP固有の属性構文は実装されていません。これらの構文の説明は、IA5文字列構文の説明に置き換えられています。

RFC 3045 (http://www.ietf.org/rfc/rfc3045.txt)

Storing Vendor Information in the LDAP Root DSE

RFC3045のマニュアル・ページを参照してください。

RFC 3062 (http://www.ietf.org/rfc/rfc3062.txt)

LDAP Password Modify Extended Operation

RFC 3296 (http://www.ietf.org/rfc/rfc3296.txt)

LDAP Named Subordinate References

RFC3296のマニュアル・ページを参照してください。

RFC 3698 (http://www.ietf.org/rfc/rfc3698.txt)

LDAP Additional Matching Rules

Directory Serverは、このRFCの一部をサポートしています。

RFC 3829 (http://www.ietf.org/rfc/rfc3829.txt)

LDAP Authorization Identity Controls

RFC 3866 (http://www.ietf.org/rfc/rfc3866.txt)

Language Tags and Ranges in LDAP

Directory Serverは、このRFCの一部をサポートしています。

RFC 4370 (http://www.ietf.org/rfc/rfc4370.txt)

LDAP Proxied Authorization Control (v2)

RFC 4422 (http://www.ietf.org/rfc/rfc4422.txt)

Simple Authentication and Security Layer(SASL)

RFC 4505 (http://www.ietf.org/rfc/rfc4505.txt)

Anonymous Simple Authentication and Security Layer (SASL) Mechanism

RFC 4511 (http://www.ietf.org/rfc/rfc4511.txt)

Lightweight Directory Access Protocol (v3)

RFC 4512 (http://www.ietf.org/rfc/rfc4512.txt)

Lightweight Directory Access Protocol (LDAP): Directory Information Models

RFC 4513 (http://www.ietf.org/rfc/rfc4513.txt)

Lightweight Directory Access Protocol (LDAP): Authentication Methods and Security Mechanisms

RFC 4514 (http://www.ietf.org/rfc/rfc4514.txt)

Lightweight Directory Access Protocol (LDAP): String Representation of Distinguished Names

RFC 4515 (http://www.ietf.org/rfc/rfc4515.txt)

Lightweight Directory Access Protocol (LDAP): String Representation of Search Filters

RFC 4516 (http://www.ietf.org/rfc/rfc4516.txt)

Lightweight Directory Access Protocol (LDAP): Uniform Resource Locator

RFC 4517 (http://www.ietf.org/rfc/rfc4517.txt)

Lightweight Directory Access Protocol (LDAP): Syntaxes and Matching Rules

RFC 4519 (http://www.ietf.org/rfc/rfc4519.txt)

Lightweight Directory Access Protocol (LDAP): Schema for User Applications

RFC 4522 (http://www.ietf.org/rfc/rfc4522.txt)

Lightweight Directory Access Protocol (LDAP): The Binary Encoding Option

RFC 4523 (http://www.ietf.org/rfc/rfc4523.txt)

Lightweight Directory Access Protocol (LDAP) Schema Definitions for X.509 Certificates

Directory Server Enterprise Editionソフトウェアは、このRFCの一部をサポートしています。

RFC 4524 (http://www.ietf.org/rfc/rfc4524.txt)

COSINE LDAP/ X.500 Schema

RFC 4532 (http://www.ietf.org/rfc/rfc4532.txt)

Lightweight Directory Access Protocol (LDAP) "Who am I?"Operation

索引

A  B  C  D  E  F  G  I  J  L  M  N  O  P  R  S  T  V

A

アクセス制御

接続ベース, 5.1

アカウント・ロックアウト, 5.4

データ・レプリケーション, 3.1.3

アカウント同期, 8.1 管理モデル, 1.3 すべてのIDしきい値, 3.6 属性

アカウント・ロックアウト, 3.1.3

変更, 3.6

マッピング, 7.3

リライト, 6.2

構文の検証, 3.7

パスワード・ポリシーの追跡, 5.7

可用性, 1.1.1, 1.2.1.2, 1.2.2.1

B

バックアップ

同期化, 3.3

C

キャッシュ・メモリーの割当て, 4.1.2

キャッシュの最適化, 4.1

中央ログ・ディレクトリ, はじめに

証明書データベース

デフォルト・パス, はじめに

CLI

概要, 2.2

dpadm, 2.2.1

dpconf, 2.2.1

dsadm, 2.2.1

dsconf, 2.2.1

クローニング

構成, 2.1.2

接尾辞, 2.1.2

コマンドライン・インタフェース

「CLI」を参照, 2.2

データベース・ファイルの圧縮化, 3.4 構成

オンライン中の変更, 2.4

ログ・ファイルの権限, 4.2.3

複数のIPアドレス, 2.5

構成のクローニング, 2.1.2

D

データ分散, 6.3

データ・ビュー

集約, 7.2

JDBC, 7.1.1

LDAP, 7.1.3

LDIF, 7.1.2

データベース

圧縮化, 3.4

デフォルトの場所, はじめに ディレクトリ・マネージャ, 5.5 Directory Proxy Server

属性更新, 5.8

データ分散, 6.3

DNと属性のリライト, 6.2

ロード・バランシング, 6.1

操作ベースのルーティング, 6.1

スキーマの検証, 3.8

仮想ディレクトリ, 7

Directory Service Control Center。DSCCを参照, 2.1 ディスクの使用

最適化, 3.4

DNのリライト, 6.2 dpadm, 2.2.1 dpconf, 2.2.1 dsadm, 2.2.1 DSCC, 2.1

構成のクローニング, 2.1.2

データ・ビュー, 2.1.1

パスワード・ポリシーの管理, 5.2.1

DSCCエージェント, 1.3 dsconf, 2.2.1 DSEE

管理モデル, 1.3

コマンド, 2.2.1

dsmig管理ツール, 2.3.5 動的なメモリーのしきい値, 4.1.1

E

エントリ

インポート, 3.2

エクスポート

同期化, 3.3

F

ファイル・システムのスナップショット, 3.5

G

グループ同期, 8.2

I

Identity Synchronization for Windows, 8

アカウント同期, 8.1

管理サーバー・サポート, 8.4

グループ同期, 8.2

マルチマスター・フェイルオーバー, 8.3

インポート

既存のデータベース, 3.2

インストール

自動化, 2.3.1

複数, 2.3.4

ルート以外, 2.3.2

ユーザー指定のパス, 2.3.3

インストール

DSEE, 2.3

install-path, はじめに instance-path, はじめに 相互運用性, 1.2.4 isw- hostnameディレクトリ, はじめに

J

Java Naming and Directory Interface, はじめに

JDBCデータ・ビュー, 7.1.1

JDBCサポート, 7.2

結合ビュー, 7.2

L

最終ログインの追跡 5.7

LDAPデータ・ビュー, 7.1.3

LDIFデータ・ビュー, 7.1.2

ロード・バランシング, 6.1

ローカル・ログ・ディレクトリ, Preface

ログ・ファイルの権限, 4.2.3

ログ・ローテーション, 4.2

オンデマンド, 4.2.2

時間ベース, 4.2.1

M

メモリー割当て

動的, 4.1.1

最適化, 4.1.2

メッセージ・キュー, はじめに パスワード・ポリシーの移行, 5.2.2 移行, 2.3.5 モニタリング

永続検索, 4.2.4

マルチマスター・レプリケーション, 3.1.1 複数のインストール, 2.3.4

N

ルート以外でのインストール, 2.3.2

O

構成のオンライン変更, 2.4

操作ベースのルーティング, 6.1

P

passwordポリシー, 5.2

DSCCによる管理, 5.2.1

移行, 5.2.2

パスワード

LDAP拡張操作, 5.6

リセット, 5.3

保留中の変更数, 3.1.4 永続検索

監視, 4.2.4

優先順位付きレプリケーション, 3.1.2

R

レプリケーション

収束の監視, 3.1.4

機能, 3.1

アカウント・ロックアウト・データ, 3.1.3

優先順位付き, 3.1.2

ユーザーの同期, 8.3

トポロジ

オンライン変更, 2.4

DSCCのビューア, 2.1.1

無制限のマスター, 3.1.1 サポート対象のRFC, A ルーティング

操作ベース, 6.1

S

スケーラビリティ, 1.2.1.3

スキーマ検証, 3.8

セキュリティ, 1.2.1.1, 1.2.2.2

serverrootディレクトリ, はじめに

運用性, 1.2.1.4

SLAMD分散負荷生成エンジン, はじめに

ファイル・システムのスナップショット, 3.5

サポート対象の規格, A

接尾辞のクローニング, 2.1.2

接尾辞ビュー, 2.1.1

サポート対象のRFCおよび規格, A

同期

アカウント, 8.1

グループ, 8.2

構文の検証, 3.7

T

しきい値

設定, 4.1.1

時間ベースのログ・ローテーション, 4.2.1 トポロジ・ビュー, 2.1.1 チューニング

キャッシュ・メモリーの割当て, 4.1.2

キャッシュ・サイズ, 4.1

動的なメモリーのしきい値, 4.1.1

V

検証

属性の構文, 3.7

スキーマ, 3.8

仮想ディレクトリ, 7

仮想データの変換, 7.3

仮想エントリ, 7.2

仮想ネームスペース, 7.1

仮想エントリ

作成, 7.2

データ変換, 7.3

仮想ネームスペース, 7.1

Copyright © 2001, 2013, Oracle and/or its affiliates. All rights reserved.