コネクタを自分の要件にかなうように構成したら、コネクタを使用してリコンシリエーションおよびプロビジョニング操作を実行できます。
次のトピックでは、リコンシリエーション操作およびプロビジョニング操作を実行するためのコネクタの使用について説明します。
ノート:
この項では、コネクタの構成に関する、概念的な情報と手順の情報の両方を提供します。手順を実行する前に、概念的な情報を参照することをお薦めします。Oracle Identity Managerリリース11.1.1.xでのプロビジョニング操作の実行
これらのガイドラインでは、コネクタ使用時に必要なことについて情報を提供します。
リコンシリエーション操作およびプロビジョニング操作を実行する際には、次のガイドラインを適用する必要があります。
リコンシリエーションを構成する際に適用する必要があるガイドラインを次に示します。
ターゲット・リソースのリコンシリエーションを実行する前に、参照定義がターゲット・システムの参照フィールドと同期している必要があります。つまり、ユーザー・リコンシリエーションの実行前に、参照フィールド同期のスケジュール済タスクを実行する必要があります。
Oracle Identity Managerリリース11.1.2.x以降を使用している場合は、リコンシリエーションの実行を行う前に、アプリケーション・インスタンスを作成します。
削除されたユーザー・データのリコンシリエーションのスケジュール済ジョブの前に、ユーザー・リコンシリエーションのスケジュール済ジョブを実行する必要があります。
アイデンティティ・リコンシリエーション・モードでは、グループ・リコンシリエーションを構成する場合、グループ・リコンシリエーションによってターゲット・システム上の既存の組織に対する更新のリコンシリエーションが行われないことに注意してください。ターゲット・システムでグループの名前を変更すると、Oracle Identity Managerでは新しいグループとしてリコンサイルされます。
アイデンティティ・リコンシリエーション・モードでは、組織リコンシリエーションを構成する場合、次のことに注意してください。
組織リコンシリエーションでは、ターゲット・システムの既存の組織名に対する更新のリコンシリエーションを行いません。ターゲット・システムで組織の名前を変更すると、Oracle Identity Managerでは新しい組織としてリコンサイルされます。
組織リコンシリエーションのスケジュール済ジョブ(Active Directory Organization Recon)によって作成された組織リコンシリエーション・イベントは、信頼できるソースのリコンシリエーションのスケジュール済ジョブ(Active Directory User Trusted Recon)が実行される前に、正常に処理される必要があります。つまり、組織リコンシリエーションを実行し、ターゲット・システムからリコンサイルされる組織レコードをOracle Identity Managerに正常にリンクする必要があります。
ターゲット・システムでは、ユーザーは特定の組織内に作成されます。ユーザー・データの信頼できるソースのリコンシリエーション時に、Oracle Identity ManagerでOIMユーザーを同じ組織内に作成する場合は、信頼できるソースのリコンシリエーションのスケジュール済タスクのMaintainHierarchy属性をyes
に設定する必要があります。また、信頼できるソースのリコンシリエーションの前に実行されるように組織リコンシリエーションを構成する必要があります。
Oracle Identity Managerでは、組織間の親子階層関係がサポートされていますが、組織のネームスペースはフラットなネームスペースです。そのため、同じ名前を持つ2つのMicrosoft Active DirectoryのOUは、ターゲット・システムで親OUが異なる場合でも、Oracle Identity Managerに作成できません。
Oracle Identity Managerでは、組織名に等号(=)やカンマ(,)などの特殊記号を含めることができません。しかし、ターゲット・システムではこれらの特殊記号を組織名で使用できます。
組織参照フィールドの同期は、組織リコンシリエーションを構成するかどうかとは無関係です。
Microsoft AD LDSを信頼できるソースとして構成する場合は、ターゲット・システムの各ユーザー・レコードのmsDS-UserAccountDisabledフィールドに値(true
またはfalse
)が設定されていることを確認する必要があります。Microsoft ADAMでは、msDS-UserAccountDisabledフィールドにデフォルト値がありません。
Filter属性は、リコンシリエーション属性マッピングを含む参照定義のデコード列に存在する属性のみを含む必要があります。
プロビジョニング操作を実行する際に適用する必要があるガイドラインを次に示します。
プロビジョニング操作を実行する前に、参照定義がターゲット・システムの参照フィールドと同期している必要があります。つまり、プロビジョニング操作の前に、参照フィールド同期のスケジュール済タスクを実行する必要があります。
Microsoft Active Directory User ManagementコネクタとMicrosoft Exchangeコネクタの両方が環境にデプロイされている場合は、「リダイレクト・メールID」フィールドの値を指定しないでください。
「リダイレクト・メールID」フィールドの値をユーザー・プロビジョニング操作時に指定すると、対応するメール・ユーザー・アカウントがMicrosoft Exchangeに作成されます。Exchangeメール・ユーザー・アカウントがActive Directoryで作成されるときに、Exchangeメール・ユーザー・アカウントの一部のフィールド(「Maximum Receive Size」など)が更新できません。つまり、このユーザーのその後のプロビジョニング操作でMicrosoft Exchangeコネクタを使用できなくなります。これは、このユーザーがMicrosoft ExchangeでMailuserとしてすでに作成されているためです。
Microsoft Exchangeコネクタを使用して、Mailuser (前の段落で説明した方法で作成されたユーザー・アカウント)をMailboxに変換することはできません。ターゲットによって許可されないためです。このため、Microsoft Active DirectoryコネクタとMicrosoft Exchangeコネクタの両方がデプロイされている場合には、「リダイレクト・メールID」フィールドの値を指定しないことをお薦めします。
Oracle Identity Managerからプロビジョニングされるユーザー・アカウントのパスワードは、Microsoft Active Directoryで設定されたパスワード・ポリシーに従う必要があります。
ノート:
Microsoft ADAMをドメイン・コントローラにインストールすると、同じドメイン・コントローラにインストールされたMicrosoft Active Directoryのポリシーがすべて取得されます。Microsoft ADAMをワークグループにインストールすると、ローカル・システム・ポリシーが適用されます。
Microsoft Active Directoryでは、パスワード・ポリシーがパスワードの複雑性ルールで制御されます。パスワードの変更または作成時に、このような複雑性ルールが適用されます。Oracle Identity Managerでのプロビジョニング操作の実行によってMicrosoft Active Directoryアカウントのパスワードを変更するときは、新しいパスワードがターゲット・システムのパスワード・ポリシーに従うようにする必要があります。
関連項目:
ターゲット・システムで適用できるパスワードのガイドラインの詳細は、次の場所にあるMicrosoft TechNetのWebサイトを参照してください。
アジア言語の中には、マルチバイト文字セットを使用するものがあります。ターゲット・システムのフィールドの文字数の制限がバイト単位で指定されている場合、特定のフィールドに入力できるアジア言語の文字数は、同じフィールドに入力できる英語の文字数よりも少なくなることがあります。この例を次に示します。
ターゲット・システムの「User Last Name」フィールドに英語50文字を入力できるとします。日本語用にターゲット・システムを構成した場合、そのフィールドに入力できるのは25文字までです。
ターゲット・システム・フィールドの文字長を考慮に入れた上で、対応するOracle Identity Managerフィールドの値を指定する必要があります。たとえば、Oracle Identity Managerの「ユーザー・ログイン」フィールドに指定する値は、20文字以下になるようにしてください。これは、(Oracle Identity Managerの「ユーザー・ログイン」フィールドに対応する)ターゲット・システムのsAMAccountName属性は、20文字以下である必要があるためです。
ターゲット・システムでは、「マネージャ名」フィールドで受け入れられるのはDN値のみです。そのため、Oracle Identity Managerで「マネージャ名」フィールドを設定または変更する場合は、DN値を入力する必要があります。
たとえば:
cn=abc,ou=lmn,dc=corp,dc=com
「マネージャ名」フィールドに指定する値に特殊文字が含まれている場合は、各特殊文字の前に円記号(\
)を付ける必要があります。たとえば、「マネージャ名」フィールドの値として「CN=John Doe #2,OU=sales,DC=example,DC=com」を指定する場合は、その値として次の文字列を指定する必要があります。
CN=John Doe \#2,OU=sales,DC=example,DC=com
円記号(\)を前に付ける必要がある特殊文字のリストを次に示します。
シャープ記号(#
)
バックスラッシュ(\
)
プラス記号(+
)
等号(=
)
カンマ(,
)
セミコロン(;
)
小なり記号(<
)
大なり記号(>
)
二重引用符 ("
)
「ホーム・ディレクトリ」フィールドの値を指定する場合、次のガイドラインに従ってください。
値の先頭には常にバックスラッシュを2つ(\\)付ける必要があります。
値の末尾以外に少なくとも1つのバックスラッシュ(\)を含む必要があります。
正しいサンプル値:
\\
SOME_MACHINE
\
SOME_SHARE
\
SOME_DIRECTORY
\\
SOME_MACHINE
\
SOME_SHARE
\
SOME_DIRECTORY
\
SOME_OTHER_DIRECTORY
正しくないサンプル値:
\\
SOME_MACHINE
\
SOME_SHARE
\
\\
SOME_MACHINE
プロビジョニング操作中に、Lookup.Configuration.ActiveDirectory参照定義のエントリとして補助クラス名を追加することによって、(作成中のユーザー・アカウントに)付加する複数の補助クラスを指定できます。詳細は、「ユーザーへの動的補助オブジェクト・クラスおよびそれらの属性の追加」を参照してください。
Usersコンテナの下のユーザーとグループをプロビジョニングする場合は、次のエントリをLookup.ActiveDirectory.OrganizationalUnits参照定義に含めます。
コード・キー:
IT_RESOURCE_KEY
~CN=Users,DC=childtest,DC=test,DC=idm,DC=central,DC=example,DC=com
デコード:
IT_RESOURCE_NAME
~CN=Users,DC=childtest,DC=test,DC=idm,DC=central,DC=example,DC=com
コード・キーおよびデコード値の次の部分を置き換えます。
IT_RESOURCE_KEYを、Oracle Identity Managerで各ITリソースに割り当てられる数値コードに置き換えます。組織単位の参照フィールド同期を実行し、Lookup.ActiveDirectory.OrganizationalUnits参照定義のコード・キー値からITリソース・キーを探すことで、ITリソース・キーの値を判別できます。
IT_RESOURCE_NAMEをOracle Identity ManagerのITリソースの名前に置き換えます。
参照フィールド同期用のスケジュール済ジョブでは、ターゲット・システムの特定のフィールドから最新の値がOracle Identity Managerの参照定義にフェッチされます。これらの参照定義はOracle Identity Managerの参照フィールドの入力ソースとして使用されます。
次に、参照フィールド同期のスケジュール済ジョブを示します。
ノート:
これらのスケジュール済タスクの構成手順は、このマニュアルで後述します。
Active Directory Group Lookup Recon
このスケジュール済タスクは、Oracle Identity Managerのグループ参照フィールドをターゲット・システムのグループ関連データと同期させるために使用されます。
Active Directory Organization Lookup Recon
このスケジュール済タスクは、Oracle Identity Managerの組織参照フィールドをターゲット・システムの組織関連データと同期させるために使用されます。
表3-1に、この2つのスケジュール済ジョブの属性の説明を示します。
表3-1 参照フィールド同期のスケジュール済タスクの属性
属性 | 説明 |
---|---|
Code Key Attribute |
コネクタまたはターゲット・システムの属性の名前。参照定義(Lookup Name属性の値として指定される)のコード・キー列に値を移入するために使用されます。 デフォルト値は、使用するスケジュール済ジョブに応じて次のとおりです。
ノート: この属性の値を変更しないでください。 |
Decode Attribute |
参照定義(Lookup Name属性の値として指定される)のデコード列に値を移入するために使用される、コネクタまたはターゲット・システムの属性の名前を入力します。 デフォルト値は、使用するスケジュール済ジョブに応じて次のとおりです。
|
Filter |
参照定義に格納されるレコードをフィルタ処理するフィルタを入力します。 Filter属性の詳細は、「制限付きリコンシリエーション」を参照してください。 |
IT Resource Name |
レコードをリコンサイルするターゲット・システム・インストールのITリソースの名前を入力します。 サンプル値: |
Lookup Name |
ターゲット・システムからフェッチした値を移入するOracle Identity Managerの参照定義の名前を入力します。 ノート: この属性の値として指定する参照名がOracle Identity Managerに存在しない場合、スケジュール済ジョブの実行中にその参照定義が作成されます。 デフォルト値は、使用するスケジュール済ジョブに応じて次のとおりです。
|
Object Type |
この属性は、リコンサイルするオブジェクトのタイプ名を含みます。 デフォルト値は、使用するスケジュール済ジョブに応じて次のとおりです。
|
コネクタを構成して、リコンシリエーションのタイプおよびそのスケジュールを指定できます。
この項では、リコンシリエーションの構成に関する次の項目について説明します。
完全リコンシリエーションでは、既存のすべてのユーザー・レコードをターゲット・システムからOracle Identity Managerへリコンサイルします。コネクタをデプロイした後はまず、完全リコンシリエーションを実行する必要があります。さらに、すべてのターゲット・システム・レコードをOracle Identity Managerで確実にリコンサイルする必要がある場合には、いつでも増分リコンシリエーションを完全リコンシリエーションに切り替えることができます。
完全リコンシリエーションを実行する場合は、ユーザー・レコードをリコンサイルするためのスケジュール済ジョブの次の属性の値が存在しない必要があります。
Batch Start
Filter
Latest Token
リコンシリエーション実行の最後で、ユーザー・レコード・リコンシリエーションのスケジュール済ジョブのLatest Token属性が、リコンシリエーションで使用されるドメイン・コントローラのuSNChanged属性の最高値に自動的に設定されます。直後のリコンシリエーション実行からは、Latest Token属性の後に作成または変更されたレコードのみがリコンシリエーションの対象になります。これが、増分リコンシリエーションです。
この項では、制限付きリコンシリエーションおよびそれを行う方法を理解するために役立つ、次のトピックについて説明します。
デフォルトでは、前回のリコンシリエーションの実行後に追加または変更されたすべてのターゲット・システム・レコードが、現在のリコンシリエーションの実行中にリコンサイルされます。リコンサイルする必要のある追加または変更されたターゲット・システム・レコードのサブセットを指定して、このプロセスをカスタマイズできます。
リコンシリエーションを最初に実行するときは制限付きリコンシリエーションを実行できます。つまり、完全リコンシリエーションのスケジュール済ジョブを構成するときに、フィルタを使用するか検索ベースを指定することにより、制限付きリコンシリエーションを実行できます。
リコンシリエーション・モジュールのフィルタを作成して、制限付きリコンシリエーションを実行できます。
このコネクタのFilter属性(スケジュール済タスクの属性)により、任意のMicrosoft Active Directoryリソース属性を使用してターゲット・システム・レコードをフィルタ処理できます。表3-2に、使用可能なフィルタ構文と、対応する説明およびサンプル値を示します。
ノート:
ワイルドカード文字を含むフィルタはサポートされていません。
表3-2 Filter属性のキーワードと構文
フィルタ構文 | 説明 |
---|---|
文字列フィルタ |
|
startsWith('ATTRIBUTE_NAME','PREFIX') |
指定した接頭辞で属性値が開始するレコードがリコンサイルされます。 例: この例では、userPrincipalNameがJohnで開始するすべてのレコードがリコンサイルされます。 |
endsWith('ATTRIBUTE_NAME','SUFFIX') |
指定した接尾辞で属性値が終了するレコードがリコンサイルされます。 例: この例では、姓がDoeで終了するすべてのレコードがリコンサイルされます。 |
contains('ATTRIBUTE_NAME','STRING') |
指定した文字列が属性値に含まれるレコードがリコンサイルされます。 例: この例では、表示名にSmithが含まれるすべてのレコードがリコンサイルされます。 |
containsAllValues('ATTRIBUTE_NAME',['STRING1','STRING2', . . . ,'STRINGn']) |
指定したすべての文字列が指定した属性に含まれるレコードがリコンサイルされます。 例: この例では、objectClassにtopとpersonの両方が含まれるすべてのレコードがリコンサイルされます。 |
等価および不等価フィルタ |
|
equalTo('ATTRIBUTE_NAME','VALUE') |
この構文に指定した値と属性値が等しいレコードがリコンサイルされます。 例: この例では、sAMAccountNameがSales Organizationであるすべてのレコードがリコンサイルされます。 |
greaterThan('ATTRIBUTE_NAME','VALUE') |
この構文に指定した値よりも属性値(文字列または数値)が(辞書順または数値順で)大きいレコードがリコンサイルされます。 例1: この例では、共通名が、bobという共通名よりも辞書順(すなわちアルファベット順)で後になるすべてのレコードがリコンサイルされます。 例2: この例では、従業員番号が1000よりも大きいすべてのレコードがリコンサイルされます。 |
greaterThanOrEqualTo('ATTRIBUTE_NAME','VALUE') |
この構文に指定した値に対して、属性値(文字列または数値)が辞書順または数値順で等しいか大きいレコードがリコンサイルされます。 例1: この例では、sAMAccountNameが辞書順でS以上のすべてのレコードがリコンサイルされます。 例2: この例では、従業員番号が1000以上のすべてのレコードがリコンサイルされます。 |
lessThan('ATTRIBUTE_NAME','VALUE') |
この構文に指定した値よりも属性値(文字列または数値)が(辞書順または数値順で)小さいレコードがリコンサイルされます。 例1: この例では、姓がSmithという姓よりも辞書順(すなわちアルファベット順)で後になるすべてのレコードがリコンサイルされます。 例2: この例では、従業員番号が1000未満のすべてのレコードがリコンサイルされます。 |
lessThanOrEqualTo('ATTRIBUTE_NAME','VALUE') |
この構文に指定した値に対して、属性値(文字列または数値)が辞書順または数値順で等しいか小さいレコードがリコンサイルされます。 例1: この例では、sAMAccountNameが辞書順でA以下のすべてのレコードがリコンサイルされます。 例2: この例では、従業員番号が1000以下のすべてのレコードがリコンサイルされます。 |
複合フィルタ |
|
<FILTER1> & <FILTER2> |
filter1とfilter2両方の条件を満たすレコードがリコンサイルされます。この構文では、論理演算子& (アンパサンド記号)を使用して両方のフィルタを結合します。 例: この例では、共通名がJohnで開始し姓がDoeで終了するすべてのレコードがリコンサイルされます。 |
<FILTER1> | <FILTER2> |
filter1とfilter2の条件のいずれかを満たすレコードがリコンサイルされます。この構文では、論理演算子| (縦棒)を使用して両方のフィルタを結合します。 例: この例では、sAMAccount Name属性にAndyを含むレコードと姓にBrownを含むレコードがすべてリコンサイルされます。 |
not(<FILTER>) |
指定のフィルタ条件を満たさないレコードがリコンサイルされます。 例: この例では、共通名Markを含まないすべてのレコードがリコンサイルされます。 |
この項では、ターゲット・リソースおよび信頼できるソースのリコンシリエーションのスケジュール済ジョブ(Active Directory User Target ReconおよびActive Directory User Trusted Recon)のBatch Size、Batch Start、Sort ByおよびSort Direction属性について説明します。
デフォルトでは、前回のリコンシリエーションの実行後に追加または変更されたすべてのターゲット・システム・レコードが、現在のリコンシリエーションの実行中にリコンサイルされます。リコンサイルされるレコード数によっては、このプロセスに長い時間がかかる場合があります。また、リコンシリエーション中に接続が中断すると、プロセスの完了にはさらに時間がかかります。このような問題を避けるため、バッチ・リコンシリエーションを構成できます。
バッチ・リコンシリエーションを構成するには、次の属性の値を指定します。
Batch Size: この属性は、各バッチに含めるレコード数を指定するために使用します。
Batch Start: この属性は、バッチ・リコンシリエーションを開始するレコード番号を指定するために使用します。
Number of Batches: この属性は、リコンサイルするバッチの合計数を指定するために使用します。この属性のデフォルト値はAll
。バッチ・リコンシリエーションを実装しない場合は、デフォルト値を受け入れます。デフォルト値を受け入れると、Batch Size、Batch Start、Sort ByおよびSort Direction属性の値は無視されます。
Sort By: この属性は、バッチのレコードをソートするターゲット・システム・フィールドの名前を指定するために使用します。
Sort Direction: この属性は、フェッチするレコードを昇順と降順のどちらでソートするかを指定するために使用します。この属性の値には、asc
またはdesc
を指定できます。
バッチ・リコンシリエーションが失敗した場合は、タスク属性の値を変更せずに、スケジュール済タスクを再実行すればよいだけです。
バッチ・リコンシリエーションを完了した後に、増分リコンシリエーションを実行するには、Latest Token属性の値としてhighestCommittedUSN属性の値(「アップグレード前のステップ」のステップ3を参照)を指定します。次のリコンシリエーションからは、リコンシリエーション・エンジンがLatest Token属性の値を自動的に入力します。
ノート:
ターゲット・システムでの大量のレコードのソートは、バッチ・リコンシリエーションの際に失敗します。このため、Lookup.Configuration.ActiveDirectoryまたはLookup.Configuration.ActiveDirectory.Trusted参照定義のPageSizeエントリを使用して、ターゲット・システムからのレコードのフェッチを調整することをお薦めします。
コネクタ・インストーラを実行すると、次のリコンシリエーションのスケジュール済タスクがOracle Identity Managerに自動的に作成されます。
信頼できるソースとターゲット・リソースのどちらのリコンシリエーションを実装するかによって、次のいずれかのユーザー・リコンシリエーション・スケジュール済ジョブの属性に値を指定する必要があります。
ターゲット・リソース・リコンシリエーションを実装するには、Active Directory User Target Reconを参照してください。
信頼できるソースのリコンシリエーションを実装するには、Active Directory User Trusted Reconを参照してください。
このスケジュール済ジョブは、コネクタのターゲット・リソース(アカウント管理)モードでユーザー・データをリコンサイルするために使用されます。表3-3に、このスケジュール済ジョブの属性の説明を示します。
表3-3 ターゲット・リソースからのユーザー・データのリコンシリエーションのスケジュール済ジョブの属性
属性 | 説明 |
---|---|
Batch Size |
ターゲット・システムからフェッチされる各バッチに含めるレコード数を入力します。 デフォルト値: この属性は、Batch Start、Number of Batches、Sort ByおよびSort Direction属性と組み合せて使用されます。これらすべての属性の詳細は、「バッチ・リコンシリエーション」を参照してください。 |
Batch Start |
バッチ・リコンシリエーションの実行を開始するターゲット・システム・レコードの番号を入力します。 デフォルト値: この属性は、Batch Size、Number of Batches、Sort ByおよびSort Direction属性と組み合せて使用されます。これらすべての属性の詳細は、「バッチ・リコンシリエーション」を参照してください。 |
Filter |
レコードをフィルタリングする式。詳細は、「フィルタを使用する制限付きリコンシリエーションの実行」を参照してください。 デフォルト値: なし |
Incremental Recon Attribute |
直前の更新に関連する数値(減少しない値)を含むターゲット・システム属性の名前を入力します。たとえば、 この属性の値は、ターゲット・システムからリコンサイルされた最新のレコードを判別するために増分リコンシリエーションで使用されます。 デフォルト値: ノート: たとえば、最新のActive Directoryコネクタ11.1.1.6.0Wパッチ31377499以降を使用しているときに増分リコンシリエーション属性をwhenChangedに変更する場合は、次のようにします:
|
IT Resource Name |
コネクタがデータのリコンサイルに使用すべきITリソース・インスタンスの名前。 サンプル値: |
Latest Token |
この属性は、リコンシリエーションに使用されるドメイン・コントローラの構成済の増分リコンシリエーション属性の値(uSNChangedやwhenChangedなど)を保持します。 ノート: リコンシリエーション・エンジンにより、値はこの属性に自動的に入力されます。この属性の値を手動で指定すると、増分リコンシリエーション属性値が最新のトークン属性値より大きいユーザー・アカウントのみがリコンサイルされます。 |
Number of Batches |
リコンサイルするバッチ数を入力します。 デフォルト値: サンプル値: この属性は、Batch Size、Batch Start、Sort ByおよびSort Direction属性と組み合せて使用されます。これらすべての属性の詳細は、「バッチ・リコンシリエーション」を参照してください。 デフォルト値( |
Object Type |
この属性は、リコンサイルするオブジェクトのタイプを保持します。 デフォルト値: ノート: ユーザーをカスタム・クラス(たとえば、InetOrgPerson)にプロビジョニングするようにコネクタを構成する場合は、ここにオブジェクト・クラスの値を入力します。 |
Resource Object Name |
リコンシリエーションの実行対象となるリソース・オブジェクトの名前を入力します。 デフォルト値: |
Scheduled Task Name |
この属性は、スケジュール済タスクの名前を保持します。 デフォルト値: |
Search Base |
リコンシリエーション時にユーザー・レコードの検索を実行する必要があるコンテナを入力します。 サンプル値: ノート: この属性の値を指定しないと、ITリソースのContainerパラメータの値として指定された値がこの属性の値として使用されます。 |
Search Scope |
リコンサイルされるレコードの検索範囲に、Search Base属性で指定されるコンテナとすべての子コンテナを含める場合は、 レコードの検索範囲をSearch Base属性で指定されたコンテナのみに限定する場合は、 ノート: onelevelと入力する場合は、oneとlevelの間に空白を入れないようにする必要があります。 デフォルト値: |
Sort By |
バッチのレコードをソートするターゲット・システム・フィールドの名前を入力します。 デフォルト値: ノート: ターゲット・システムとしてAD LDSを使用している場合、この属性のデフォルト値を他の属性(たとえば、 |
Sort Direction |
この属性は、フェッチするレコードを昇順と降順のどちらでソートするかを指定するために使用します。この属性の値には、 デフォルト値: |
このスケジュール済ジョブは、コネクタの信頼できるリソース(アイデンティティ管理)モードでユーザー・データをリコンサイルするために使用されます。表3-4に、このスケジュール済ジョブの属性の説明を示します。
表3-4 信頼できるソースからの削除されたユーザー・データのリコンシリエーションのスケジュール済ジョブの属性
属性 | 説明 |
---|---|
Batch Size |
ターゲット・システムからフェッチされる各バッチに含めるレコード数を入力します。 デフォルト値: この属性は、Batch Start、Number of Batches、Sort ByおよびSort Direction属性と組み合せて使用されます。これらすべての属性の詳細は、「バッチ・リコンシリエーション」を参照してください。 |
Batch Start |
バッチ・リコンシリエーションの実行を開始するターゲット・システム・レコードの番号を入力します。 デフォルト値: この属性は、Batch Size、Number of Batches、Sort ByおよびSort Direction属性と組み合せて使用されます。これらすべての属性の詳細は、「バッチ・リコンシリエーション」を参照してください。 |
Filter |
レコードをフィルタリングする式。詳細は、「フィルタを使用する制限付きリコンシリエーションの実行」を参照してください。 デフォルト値: なし |
Incremental Recon Attribute |
直前の更新に関連する数値(減少しない値)を含むターゲット・システム属性の名前を入力します。たとえば、 この属性の値は、ターゲット・システムからリコンサイルされた最新のレコードを判別するために増分リコンシリエーションで使用されます。 デフォルト値: ノート: たとえば、最新のActive Directoryコネクタ11.1.1.6.0Wパッチ31377499以降を使用しているときに増分リコンシリエーション属性をwhenChangedに変更する場合は、次のようにします:
|
IT Resource Name |
Microsoft ADおよびAD LDSのITリソースの構成で信頼できるソースのリコンシリエーションのために作成する、ITリソース・インスタンスの名前を入力します。 サンプル値: |
Latest Token |
この属性は、リコンシリエーションに使用されるドメイン・コントローラの構成済の増分リコンシリエーション属性の値(uSNChangedやwhenChangedなど)を保持します。 ノート: リコンシリエーション・エンジンにより、値はこの属性に自動的に入力されます。この属性の値を手動で指定すると、増分リコンシリエーション属性値が最新のトークン属性値より大きいユーザー・アカウントのみがリコンサイルされます。 |
Maintain Hierarchy |
ターゲット・システムで保持されているのと同じ組織階層をOracle Identity Managerで保持することを指定する場合は、 デフォルト値: ノート: この属性を |
Manager Id |
信頼できるソースのリコンシリエーションについてリソース・オブジェクト・フィールドとターゲット・システム属性のマッピングを含む参照定義のUser Idコード・キーのデコード値を入力します。 Microsoft Active Directorをターゲット・システムとして使用している場合、この属性のデフォルト値は Microsoft AD LDSをターゲット・システムとして使用している場合は、この属性の値を デフォルト値: |
Number of Batches |
リコンサイルするバッチ数を入力します。 デフォルト値: サンプル値: この属性は、Batch Size、Batch Start、Sort ByおよびSort Direction属性と組み合せて使用されます。これらすべての属性の詳細は、「バッチ・リコンシリエーション」を参照してください。 デフォルト値( |
Object Type |
この属性は、リコンサイルするオブジェクトのタイプを保持します。 デフォルト値: ノート: ユーザーをカスタム・クラス(たとえば、InetOrgPerson)にプロビジョニングするようにコネクタを構成する場合は、ここにオブジェクト・クラスの値を入力します。 |
OIM Employee Type |
リコンシリエーション中に作成されるOIMユーザーに設定する従業員タイプを入力します。 デフォルト値: |
OIM Organization Name |
リコンサイルするユーザーを作成するOracle Identity Manager組織の名前を指定します。 OIM Organization属性は、MaintainHierarchy属性が デフォルト値: |
OIM User Type |
リコンシリエーション中に作成されるOIMユーザーに設定するロールを入力します。次に示すいずれかの値を選択する必要があります。
デフォルト値: |
Resource Object Name |
リコンシリエーションの実行対象となるリソース・オブジェクトの名前を入力します。 デフォルト値: |
Scheduled Task Name |
この属性は、スケジュール済タスクの名前を保持します。 デフォルト値: |
Search Base |
リコンシリエーション時にユーザー・レコードの検索を実行する必要があるコンテナを入力します。 サンプル値: ノート: この属性の値を指定しないと、ITリソースのContainerパラメータの値として指定された値がこの属性の値として使用されます。 |
Search Scope |
リコンサイルされるレコードの検索範囲に、Search Base属性で指定されるコンテナとすべての子コンテナを含める場合は、 レコードの検索範囲をSearch Base属性で指定されたコンテナのみに限定する場合は、 ノート: onelevelと入力する場合は、oneとlevelの間に空白を入れないようにする必要があります。 デフォルト値: |
Sort By |
バッチのレコードをソートするターゲット・システム・フィールドの名前を入力します。 デフォルト値: ノート: ターゲット・システムとしてAD LDSを使用している場合、この属性のデフォルト値を他の属性(たとえば、 |
Sort Direction |
この属性は、フェッチするレコードを昇順と降順のどちらでソートするかを指定するために使用します。この属性の値には、 デフォルト値: |
信頼できるソースとターゲット・リソースのどちらの削除リコンシリエーションを実装するかによって、次のスケジュール済ジョブのいずれかの属性に値を指定する必要があります。
ノート:
コネクタ操作を実行するために作成したターゲット・システム・ユーザー・アカウントにターゲット・システム内のDeleted Objectsコンテナへのアクセス権限があることを確認するには、「削除ユーザーのリコンシリエーションの実行を行うための権限の割当て」で説明されている手順を実行します。
Active Directory User Target Delete Recon
このスケジュール済ジョブは、コネクタのターゲット・リソース(アカウント管理)モードで削除されたユーザーに関するデータをリコンサイルするために使用します。リコンシリエーションの実行時に、ターゲット・システムの削除されたユーザー・アカウントごとに、対応するOIMユーザーのActive Directoryリソースが削除されます。
Active Directory User Trusted Delete Recon
このスケジュール済ジョブは、コネクタの信頼できるリソース(アイデンティティ管理)モードで削除されたユーザーに関するデータをリコンサイルするために使用します。リコンシリエーションの実行時、削除されたターゲット・システム・ユーザー・アカウントごとに、対応するOIMユーザーが削除されます。
表3-5に、この2つのスケジュール済ジョブの属性の説明を示します。
表3-5 削除ユーザーのリコンシリエーションのスケジュール済ジョブの属性
属性 | 説明 |
---|---|
Delete Recon |
削除リコンシリエーションを実行するかどうかを指定します。 デフォルト値: ノート: この属性の値は変更しないでください。 |
IT Resource Name |
コネクタがユーザー・データのリコンサイルに使用する必要があるITリソース・インスタンスの名前。 Active Directory User Target Delete Reconスケジュール済ジョブのこの属性のデフォルト値は Active Directory User Trusted Delete Reconスケジュール済ジョブのこの属性のデフォルト値はありません。 ノート: 信頼できるソースとしてターゲット・システムを構成した場合は、Configuration Lookupパラメータが |
Object Type |
この属性は、リコンサイルするオブジェクトのタイプを保持します。 デフォルト値: |
Resource Object Name |
リコンシリエーションの実行対象となるリソース・オブジェクトの名前を入力します。 Active Directory User Target Delete Reconスケジュール済ジョブのこの属性のデフォルト値は Active Directory User Trusted Delete Reconスケジュール済ジョブのこの属性のデフォルト値は |
Scheduled Task Name |
この属性は、スケジュール済タスクの名前を保持します。 Active Directory User Target Delete Reconスケジュール済ジョブのこの属性のデフォルト値は Active Directory User Trusted Delete Reconスケジュール済ジョブのこの属性のデフォルト値は |
Sync Token |
削除リコンシリエーションを最初に実行するとき、この属性は空白にしておく必要があります。こうすることで、ターゲット・システムから削除されるすべてのレコードに関するデータが、Oracle Identity Managerにフェッチされます。 最初の削除リコンシリエーションが実行された後、コネクタによってこの属性の値がXMLシリアル化形式で自動的に入力されます。次のリコンシリエーションからは、直前のリコンシリエーション終了後に削除されたレコードに関するデータのみがOracle Identity Managerにフェッチされます。 この属性の値は次の形式で格納されます。
この形式での
|
要件に応じて、次のスケジュール済ジョブのいずれかの属性に値を指定する必要があります。
Active Directory Group Recon
このスケジュール済ジョブは、ターゲット・システムからのグループ・データをリコンサイルする目的で使用されます。
Active Directory Organization Recon
このスケジュール済ジョブは、ターゲット・システムからの組織データをリコンサイルする目的で使用されます。
表3-6に、この2つのスケジュール済ジョブの属性の説明を示します。
表3-6 グループおよび組織データのリコンシリエーションのスケジュール済タスクの属性
属性 | 説明 |
---|---|
Filter |
レコードをフィルタリングする式。詳細は、「フィルタを使用する制限付きリコンシリエーションの実行」を参照してください。 デフォルト値: ノート: フィルタを作成するときは、グループまたは組織単位に固有の属性を使用してください。 |
Incremental Recon Attribute |
直前の更新に関連する数値(減少しない値)を含むターゲット・システム属性の名前を入力します。たとえば、 この属性の値は、ターゲット・システムからリコンサイルされた最新のレコードを判別するために増分リコンシリエーションで使用されます。 デフォルト値: ノート: この属性の値は変更しないでください。 |
IT Resource Name |
グループまたは組織データをリコンサイルするターゲット・システム・インストールのITリソースの名前を入力します。 デフォルト値: |
Latest Token |
この属性は、リコンシリエーションに使用されるドメイン・コントローラのuSNChanged属性の値を含みます。 サンプル値: ノート: リコンシリエーション・エンジンにより、値はこの属性に自動的に入力されます。この属性の値は変更しないことをお薦めします。この属性の値を手動で指定した場合、uSNChanged値がLatest Token属性よりも大きいグループまたは組織単位のみがリコンサイルされます。 |
Object Type |
リコンサイルされるオブジェクトのタイプ。 Active Directory Group Reconスケジュール済ジョブのこの属性のデフォルト値は Active Directory Organization Reconスケジュール済ジョブのこの属性のデフォルト値は |
Organization Name |
ターゲット・システムからフェッチされるすべてのグループがリンクしている組織の名前を入力します。 この属性の使用方法の詳細は、「グループ・リコンシリエーションの構成と実行」を参照してください。 ノート: この属性はActive Directory Group Reconスケジュール済ジョブのみに含まれます。 |
Organization Type |
Oracle Identity Managerに作成される組織のタイプ。 デフォルト値: ノート: この属性はActive Directory Group Reconスケジュール済ジョブのみに含まれます。 |
Resource Object Name |
リコンシリエーションに使用されるリソース・オブジェクトの名前。 Active Directory Group Reconスケジュール済ジョブのこの属性のデフォルト値は Active Directory Organization Reconスケジュール済ジョブのこの属性のデフォルト値は |
Scheduled Task Name |
リコンシリエーションに使用されるスケジュール済タスクの名前。 Active Directory Group Reconスケジュール済ジョブのこの属性のデフォルト値は Active Directory Organization Reconスケジュール済ジョブのこの属性のデフォルト値は |
Search Base |
リコンシリエーション時にグループまたは組織レコードの検索を実行する必要があるコンテナを入力します。 サンプル値: ノート: この属性の値を指定しないと、ITリソースのContainerパラメータの値として指定された値がこの属性の値として使用されます。 |
Search Scope |
リコンサイルされるレコードの検索範囲に、Search Base属性で指定されるコンテナとすべての子コンテナを含める場合は、 レコードの検索範囲をSearch Base属性で指定されたコンテナのみに限定する場合は、 ノート: onelevelと入力する場合は、oneとlevelの間に空白を入れないようにする必要があります。 デフォルト値: |
Active Directory Group Delete Reconは、削除されたグループのデータをリコンサイルするために使用されます。
表3-7に、このスケジュール済ジョブの属性の説明を示します。
表3-7 Active Directory Group Delete Reconスケジュール済ジョブの属性
属性 | 説明 |
---|---|
Delete Recon |
削除リコンシリエーションを実行するかどうかを指定します。 デフォルト値: ノート: この属性の値は変更しないでください。 |
IT Resource Name |
コネクタがグループ・データのリコンサイルに使用する必要があるITリソース・インスタンスの名前。 デフォルト値: |
Object Type |
この属性は、リコンサイルするオブジェクトのタイプを保持します。 デフォルト値: |
Resource Object Name |
リコンシリエーションの実行対象となるリソース・オブジェクトの名前を入力します。 デフォルト値: |
Scheduled Task Name |
この属性は、スケジュール済タスクの名前を保持します。 デフォルト値: |
Sync Token |
削除リコンシリエーションを最初に実行するとき、この属性は空白にしておく必要があります。こうすることで、ターゲット・システムから削除されるすべてのレコードに関するデータが、Oracle Identity Managerにフェッチされます。 最初の削除リコンシリエーションが実行された後、コネクタによってこの属性の値がXMLシリアル化形式で自動的に入力されます。次のリコンシリエーションからは、直前のリコンシリエーション終了後に削除されたレコードに関するデータのみがOracle Identity Managerにフェッチされます。 この属性の値は次の形式で格納されます。
この形式での
|
Organization Name |
ターゲット・システムからフェッチされる、削除されたすべてのグループのデータがリンクしている組織の名前を入力します。 グループ・リコンシリエーションが実行されるシナリオは2つあります。これらのシナリオについては、「グループ・リコンシリエーションの構成と実行」で説明しています。 シナリオ1でグループ・リコンシリエーションを実行するようにコネクタを構成した場合、この属性の値を指定する必要はありません。このとき、値を指定してもコネクタによって無視されます。 シナリオ2でグループ・リコンシリエーションを実行するようにコネクタを構成した場合、Active Directory Group Reconスケジュール済ジョブのOrganization Name属性に指定したのと同じ組織名を入力します。 |
グループ・リコンシリエーションを実行できるシナリオは2つあります。
グループ・リコンシリエーションを実行するシナリオに応じて、次のいずれかの手順を実行します。
各ターゲット・システム・グループをそれぞれの組織にリコンサイルするには、個々の組織へのターゲット・システム・グループのリコンサイルを参照してください。
各ターゲット・システム・グループを1つの組織にリコンサイルするには、1つの組織へのターゲット・システム・グループのリコンサイルを参照してください。
Oracle Identity Managerでグループ(ターゲット・システムのグループ)の名前を付けて組織単位を作成し、この新たに作成した組織単位にグループをリコンサイルします。つまり、各ターゲット・システム・グループをそれぞれの組織にリコンサイルするシナリオを想定します。
このシナリオでグループ・リコンシリエーションを実行するには:
組織リコンシリエーションのスケジュール済ジョブを構成して実行できます。
組織リコンシリエーションのスケジュール済ジョブを実行する手順を次に示します。
ノート:
OIM作成の組織は、Microsoft Active Directoryのディレクトリ・リソースのOUオブジェクトには関連しません。コネクタはMicrosoft Active DirectoryにプロビジョニングできるOIM内のOUオブジェクトの作成をサポートしません。そのかわりに、OUはMicrosoft Active Directoryのディレクトリ・サービスで直接作成できます。
さらに、ベスト・プラクティスとして、すべての新しく作成されたOUとその他のオブジェクトが、信頼できるリソース・リコンシリエーションの実行によってターゲット・システムからOIMへフェッチされるようにします。
ターゲット・システムで定期的に新しい情報をチェックしてOracle Identity Managerにそのデータを複製するリコンシリエーションを実行するスケジュール済ジョブを構成します。
この手順は、参照フィールド同期およびリコンシリエーションのためのスケジュール済ジョブを構成する場合に適用できます。
スケジュール済ジョブを構成するには:
Oracle Identity Managerリリース11.1.1を使用している場合:
管理およびユーザー・コンソールにログインします。
「Oracle Identity Managerセルフ・サービスへようこそ」ページの右上隅で、「拡張」をクリックします。
「Oracle Identity Manager拡張管理へようこそ」ページの「システム管理」リージョンで、「スケジュール済ジョブの検索」をクリックします。
Oracle Identity Managerリリース11.1.2.xを使用している場合:
Oracle Identity System Administrationにログインします。
左ペインの「システム管理」で、「スケジューラ」をクリックします。
次のようにスケジュール済タスクを検索して開きます。
左ペインの「検索」フィールドに、スケジュール済ジョブの名前を検索基準として入力します。「拡張検索」をクリックして検索基準を指定することもできます。
左ペインの検索結果表で、「ジョブ名」列のスケジュール済ジョブをクリックします。
「ジョブの詳細」タブで、スケジュール済タスクのパラメータを変更できます。
再試行: このフィールドには整数値を入力します。この数値は、ジョブに「停止済」ステータスを割り当てるまでに、スケジューラがジョブの開始を試行する回数を表します。
スケジュール・タイプ: ジョブを実行する頻度に応じて、適切なスケジュール・タイプを選択します。
ノート:
スケジュール・タイプの詳細は、Oracle Fusion Middleware Oracle Identity Manager管理者ガイドを参照してください。
ジョブ詳細を変更する他に、ジョブを有効化または無効化できます。
「ジョブの詳細」タブの「パラメータ」領域で、スケジュール済タスクの属性の値を指定します。
ノート:
属性値はインポートしたコネクタのXMLファイルで事前定義されています。変更する属性にのみ値を指定してください。
すべての属性に値(デフォルトまたはデフォルト以外)を割り当てる必要があります。属性値を1つでも空白のままにした場合、リコンシリエーションは実行されません。
スケジュール済タスクと属性のリストは、リコンシリエーションのスケジュール済ジョブを参照してください。
「適用」をクリックして変更を保存します。
ノート:
「実行停止」オプションが、管理およびユーザー・コンソールで使用できます。「スケジューラのステータス」ページを使用して、スケジューラを起動、停止または再初期化できます。
アクションは、アカウントの作成、更新または削除のプロビジョニング操作の前または後に実行するように構成できるスクリプトです。
たとえば、あるスクリプトを、個々のユーザー作成前に実行するように構成できます。同様に、カスタムPowerShellスクリプトを、メールボックスの作成、更新または削除の前または後に実行できます。
アクション・スクリプトに関連するトピックを、次に示します。
次に、アクション・スクリプトを構成する手順のサマリーを示します。
コネクタ・サーバーをホストするコンピュータで、カスタム・スクリプト(たとえばPowerShell)をディレクトリの中に作成します。このスクリプトは自己充足的であること、つまりターゲットADサーバーとのセッションの作成、保持、削除と、そのサーバーに対するすべてのアクションを完了できることが必要です。
Oracle Identity Managerをホストしているコンピュータで、バッチ(.bat)ファイルを作成します。このバッチ・ファイルは、コネクタ・サーバーをホストするコンピュータで実行され、コネクタ・サーバーが、そのホスト・コンピュータにあるカスタム・スクリプト(たとえばPowerShell)を呼び出します。Oracle Identity ManagerがUNIXベースのコンピュータにインストールされていても、バッチ・ファイルを作成します。
カスタムPowerShellスクリプトの場合は、バッチ・ファイルによるカスタムPowerShellスクリプトの実行にはPowershell.exeプログラムが使用されます。Powershell.exeの詳細は、http://technet.microsoft.com/en-us/library/hh847736.aspx
を参照してください。
エントリをLookup.ActiveDirectory.UM.Configuration参照定義に追加します。
表3-8に、アクション・スクリプトを実行するためにLookup.ActiveDirectory.UM.Configuration参照定義に追加されるエントリを示します。
表3-8 アクション・スクリプトを実行するための参照エントリ
コード・キー | デコード |
---|---|
TIMING Action Language |
実行するスクリプトのスクリプト言語。 カスタム・シェル・スクリプトの場合は、 |
TIMING Action File |
実行するスクリプトを含むファイルのフル・パスと名前。 スクリプトを含むファイルは、Oracle Identity Managerが実行しているコンピュータに存在する必要があります。 |
TIMING Action Target |
実行する必要があるスクリプトのコンテキスト。 デコード値として |
この表のTIMINGはアクションをいつ実行する必要があるかを定義します。アクションを起動できるのは、作成、更新または削除プロビジョニング操作の前か後です。つまり、TIMINGは次のいずれかの値で置き換えることができます。
Before Create
Before Update
Before Delete
After Create
After Update
After Delete
表3-8のすべてのエントリを合せてアクションが定義されます。したがって、アクション・スクリプトを構成するには、すべてのエントリを定義する必要があります。そうしないとアクションは実行されません。
例として、次のプロシージャで、作成操作前にカスタムPowerShellスクリプトを実行するステップを説明します。
アクション前またはアクション後のスクリプトを呼び出すスクリプトには、プロセス・フォーム・フィールドを渡すことができます。このプロセス・フォーム・フィールドは、Lookup.ActiveDirectory.UM.ProvAttrMap参照定義に存在していることと、対応するターゲット・システム属性にマッピングされていることが必要です。たとえば、「名」というプロセス・フォーム・フィールド(Lookup.ActiveDirectory.UM.ProvAttrMap参照定義に存在します)をアクション・スクリプトに渡すには、ターゲット・システムでの対応する属性の名前である「givenName」を指定します。
ノート:
プロセス・フォーム・フィールドのうち、IGNOREが指定されているものはコネクタに送信されません。
作成プロビジョニング操作の前にスクリプトを実行する手順の例を次に示します。
Visual Basicスクリプトを使用してアクションを構成することもできます。Visual Basicスクリプトは直接サポートされていませんが、シェル・スクリプトを使用してVisual Basicスクリプトを呼び出すことができます。
プロセス・フォームのデータを動的に使用するVisual Basicスクリプトを使用してアクションを実行する手順の例を次に示します。これは、After Createアクションの手順の例です。ここでは、ユーザーがプロビジョニングされる組織単位に加えて、組織単位内にユーザーを作成することも必要になります。
アクション・スクリプトを実行する場合の重要なノートを次に示します。
アクション・スクリプトの実行中に発生したエラーは無視され、Oracle Identity Managerには伝播されません。
作成操作中は、プロセス・フォームのすべての属性部分をスクリプトに使用できます。
更新操作中は、更新中の属性のみをスクリプトに使用できます。
その他の属性も必要な場合、新規アダプタ呼出しICProvisioningManager# updateAttributeValues(String objectType, String[] labels)
が作成され使用される必要があります。プロセス・タスクのアダプタ・マッピング中は、依存属性のフォーム・フィールド・ラベルを追加します。
削除操作中は、__UID__ (GUID)属性のみをスクリプトに使用できます。
アクション・スクリプトを構成する際に適用または注意する必要があるガイドラインを次に示します。
スクリプト・ファイルに含めるスクリプトには、次の参照定義のデコード列に存在する属性を指定することができます。
Lookup.ActiveDirectory.UM.ProvAttrMap
Lookup.ActiveDirectory.GM.ProvAttrMap
Lookup.ActiveDirectory.OM.ProvAttrMap
スクリプト内で使用されるすべてのフィールド名は%%で囲む必要があります。
任意のVBスクリプトをシェルから呼び出して、プロセス・フォーム・フィールドを渡すことができます。
スクリプトにPasswordフィールドを指定することはできません。パスワードは保護された文字列として格納されるためです。したがって、Passwordフィールドの値をフェッチするとき、正確なパスワードは取得されません。
子表属性の追加は、CreateカテゴリではなくUpdateカテゴリに含まれます。
OIMユーザーのリソースのプロビジョニングでは、Oracle Identity Managerを使用して、そのユーザーのMicrosoft Active Directoryアカウントが作成されます。
プロビジョニング操作の実行に関する情報は、次のトピックを参照してください。
Oracle Identity Managerにコネクタをインストールすると、ダイレクト・プロビジョニング機能が自動的に有効になります。すなわち、コネクタをインストールすると、プロセス・フォームが有効になります。
リクエストベースのプロビジョニング用にコネクタを構成すると、プロセス・フォームが抑制されてオブジェクト・フォームが表示されます。つまり、リクエストベース・プロビジョニングのためにコネクタを構成すると、ダイレクト・プロビジョニングが無効になります。直接プロビジョニングに戻るには、「リクエストベースのプロビジョニングと直接プロビジョニングの切替え」に記載されているステップを実行します。
次にプロビジョニング操作のタイプを示します。
直接プロビジョニング
リクエストベースのプロビジョニング
関連項目:
プロビジョニングのタイプの詳細は、Oracle Identity Managerでのセルフ・サービス・タスクの実行のタスクの手動による実行に関する項を参照してください
ダイレクト・プロビジョニングの手法を使用してリソースをプロビジョニングするには、次の手順を実行します。
管理およびユーザー・コンソールにログインします。
まずOIMユーザーを作成してから、ターゲット・システム・アカウントをプロビジョニングする場合は、次の操作を行います。
「アイデンティティ管理へようこそ」ページの「ユーザー」リージョンで「ユーザーの作成」をクリックします。
「ユーザーの詳細」ページでOIMユーザーのフィールドに値を入力し、「保存」をクリックします。図3-2に、このページを示します。
ターゲット・システム・アカウントを既存のOIMユーザーにプロビジョニングする場合は、次の操作を行います。
「アイデンティティ管理へようこそ」ページの左側のペインのリストでOIMユーザーを検索します。
検索結果に表示されたユーザーのリストから、OIMユーザーを選択します。右ペインに、ユーザー詳細ページが表示されます。
ユーザー詳細ページで、「リソース」タブをクリックします。
「アクション」メニューから「リソースの追加」を選択します。あるいは、プラス(+)記号の付いた「リソースの追加」アイコンをクリックします。「ユーザーへのリソースのプロビジョニング」ページが新しいウィンドウに表示されます。
「ステップ1: リソースの選択」ページで、リストから「AD User」を選択し、「続行」をクリックします。図3-3に、「ステップ1: リソースの選択」ページを示します。
「ステップ2: リソースの選択の検証」ページで「続行」をクリックします。図3-4に、「ステップ2: リソースの選択の検証」ページを示します。
「ステップ5: プロセス・データの指定」の「Active Directoryユーザー・フォーム」ページで、ターゲット・システムで作成するアカウントの詳細を入力し、「続行」をクリックします。図3-5に、追加されたユーザーの詳細を示します。
図3-5 「ステップ5: プロセス・データの指定」のADユーザー・フォーム・ページ
必要な場合は、「ステップ5: プロセス・データの指定」の「割当て済グループ・フォーム」ページで、ターゲット・システムのユーザーのグループを検索して選択し、「続行」をクリックします。図3-6に、このページを示します。
「ステップ6: プロセス・データの検証」ページで、指定したデータを確認して「続行」をクリックします。図3-7に、「ステップ6: プロセス・データの検証」ページを示します。
「プロビジョニングが開始されました」というメッセージが表示されるウィンドウを閉じます。
「リソース」タブで「リフレッシュ」をクリックして新たにプロビジョニングされたリソースを表示します。
リクエストベースのプロビジョニング操作には、エンドユーザーと承認者の両方が関係します。通常、承認者はリクエスト発行者の上司です。次の項では、リクエストベースのプロビジョニング操作でエンドユーザーと承認者によって実行されるステップについて説明します。
ノート:
これらの項で説明する手順は、エンドユーザーがターゲット・システム・アカウントのプロビジョニングをリクエストするという例に基づいています。その後、このリクエストが承認者によって承認されます。
リクエストベースのプロビジョニング用にコネクタを構成した場合は、いつでも直接プロビジョニングに切り替えることができます。同様に、いつでもリクエストベースのプロビジョニングに戻すことができます。このセクションのトピックは次のとおりです:
ノート:
「リクエストベースのプロビジョニング用のOracle Identity Managerの構成」に示す手順が実行されたことを想定しています。
リクエストベースのプロビジョニングからダイレクト・プロビジョニングに切り替えるには、次の手順を実行します。
Design Consoleにログインします。
次の手順で、「Auto Save Form」機能を無効にします。
「Process Management」を開いて「Process Definition」をダブルクリックします。
AD Userプロセス定義を検索して開きます。
「Auto Save Form」チェック・ボックスを選択解除します。
「Save」アイコンをクリックします。
「Self Request Allowed」機能が有効になっている場合は、次の操作を行います。
「Resource Management」を開き、「Resource Objects」をダブルクリックします。
AD Userリソース・オブジェクトを検索し、開きます。
「Self Request Allowed」チェック・ボックスを選択解除します。
「Save」アイコンをクリックします。
ダイレクト・プロビジョニングからリクエストベースのプロビジョニングに戻すには、次の手順を実行します。
Design Consoleにログインします。
次の手順で、自動保存フォーム機能を有効にします。
「Process Management」を開いて「Process Definition」をダブルクリックします。
AD Userプロセス定義を検索して開きます。
「Auto Save Form」チェック・ボックスを選択します。
「Save」アイコンをクリックします。
エンドユーザーが自分自身に対するリクエストを生成できるようにするには、次の手順を実行します。
「Resource Management」を開き、「Resource Objects」をダブルクリックします。
AD Userリソース・オブジェクトを検索し、開きます。
「Self Request Allowed」チェック・ボックスを選択します。
「Save」アイコンをクリックします。
OIMユーザーのリソースのプロビジョニングでは、Oracle Identity Managerが使用されて、そのユーザーのMicrosoft Active Directoryアカウントが作成されます。
Oracle Identity Managerリリース11.1.2以降でプロビジョニング操作を実行するには、次の手順を実行します。
Oracle Identity管理およびユーザー・コンソールにログインします。
ユーザーを作成します。ユーザーの作成の詳細は、Oracle Identity Managerでのセルフ・サービス・タスクの実行のユーザーの管理を参照してください。
「アカウント」タブで、「アカウントのリクエスト」をクリックします。
「カタログ」ページで、アプリケーション・インスタンスの作成で作成したアプリケーション・インスタンスを検索してカートに追加し、「チェックアウト」をクリックします。
アプリケーション・フォームの各フィールドの値を指定し、「送信準備ができています」をクリックします
「送信」をクリックします。
権限をプロビジョニングする場合は、次の手順を実行します。
「権限」タブで、「権限のリクエスト」をクリックします。
「カタログ」ページで、権限を検索してカートに追加し、「チェックアウト」をクリックします。
「送信」をクリックします。
コネクタのアンインストールでは、コネクタのリソース・オブジェクトに関連付けられているすべてのアカウント関連データを削除します。
なんらかの理由でコネクタをアンインストールする場合は、Oracle Identity Managerの管理のコネクタのアンインストールを参照してください。
ノート:
有効なアクセス・ポリシーがOracle Identity Managerに存在する場合、コネクタはアンインストールできません。回避策としては、Design Consoleを使用してダミーのリソース・タイプを作成します。依存アクセス・ポリシーをダミー・リソース・タイプに対して指定することで、依存アクセス・ポリシーを削除します。その後、削除する必要があるリソース・タイプから依存関係を除去します。
コネクタをアンインストールすると、プロセス・フォームにアタッチしているITリソース定義(およびそのITリソース)のみが削除されます。ただし、コネクタ・サーバーのITリソース・タイプ定義のITリソースはOracle Identity Managerでは削除されません。