3 Oracle Privileged Account Managerの管理の概要

Oracle Privileged Account Managerは、コンソール、コマンドラインおよびOracle Privileged Account ManagerのRESTfulインタフェースを使用して管理できます。

この章では、基本的な管理タスクの実行方法について説明します。内容は次のとおりです。

• 第3.1項「11gリリース2 (11.1.2)のインストール後の作業」

• 第3.2項「Oracle Privileged Account ManagerでのICFコネクタの理解」

• 第3.3項「Oracle Privileged Account Managerサーバーの起動」

• 第3.4項「Oracle Privileged Account Managerのコンソールのナビゲート」

前提作業

この章は、Oracle Privileged Account Managerが『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の説明に従ってインストールおよび構成されていることを前提としています。

『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の「Oracle Privileged Account Managerの構成」の章を参照すると特に役立ちます。

注意: このガイドでWebLogic管理サーバーまたは様々な管理対象サーバーを起動するように指示があった場合、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Stackの起動と停止に関する項でその手順を参照してください。

3.1 11gリリース2 (11.1.2)のインストール後の作業

11gリリース2のインストールが終了したら、次の作業を行うことをお薦めします。

• 表3-1を確認して、このリリースのOracle Privileged Account Managerを管理するために使用できる様々なインタフェースに対応するデフォルト・アプリケーションURLについて理解してください。

  表3-1 デフォルト・アプリケーションURL

  インタフェース	デフォルトURL
  Oracle Identity Navigator	http://adminserver_host:adminserver_port/oinav/
  Oracle WebLogic Server管理コンソール	http://adminserver_host:adminserver_port/console/
  Oracle Privileged Account Managerコンソール	http://adminserver_host:adminserver_port/oinav/opam
  Oracle Privileged Account Managerサーバー	http://managedserver_host:managedserver_port/opam

  
  

• 表3-2を確認して、このリリースのOracle Privileged Account Managerの様々なデフォルト・ポートについて理解してください。

  表3-2 デフォルト・ポート

  ポート・タイプ	デフォルト・ポート	説明
  Oracle Privileged Account Manager	18102	Oracle Privileged Account ManagerサーバーがデプロイされるWebLogic管理対象サーバーのデフォルトのSSL有効ポート。 shiphome (購入時の環境など)には、Oracle Privileged Account Managerに関連する次の2つのWebLogicサーバーがあります。 Oracle Privileged Account ManagerドメインのWebLogic管理サーバーは、Oracle Identity NavigatorおよびOracle Privileged Account Managerコンソールを実行します。 追加のWebLogic管理対象サーバーは、Oracle Privileged Account Managerサーバーを実行します。
  WebLogicによるSSLへの応答	7002	Oracle Identity NavigatorおよびOracle Privileged Account ManagerコンソールがデプロイされるWebLogic管理サーバーのデフォルトのSSL有効ポート。
  WebLogicによる非SSLへの応答	7001	WebLogic管理サーバーが非SSLトラフィックに応答するデフォルトの非SSLポート。

  
  

3.2 Oracle Privileged Account ManagerでのICFコネクタの理解

Oracle Privileged Account Managerでは、管理者によって識別されるアカウント資格証明を保護、共有、監査および管理できます。これらの機能を提供するため、Oracle Privileged Account Managerでは、ターゲット・システムの特権アカウントにアクセスしてそれを管理できる必要があります。

コネクタによって、Oracle Privileged Account Managerは、LDAPやOracle Databaseなどのターゲット・システムと相互作用して、それらのシステム上でOracle Privileged Account Manager関連の管理操作を実行できます。

Oracle Privileged Account Managerでは、ICF標準に準拠するコネクタを利用します。この標準を使用することによって、Oracle Privileged Account Managerがターゲットへの接続に使用するメカニズムから、Oracle Privileged Account Managerが分離されます。そのため、Oracleなどのベンダーによって提供されるコネクタに加えて、独自のICFコネクタを自由に構築およびテストし、Oracle Privileged Account Managerにデプロイできます。

この項では、Oracle Privileged Account ManagerでこれらのICFコネクタを使用する方法について説明します。内容は次のとおりです。

• ICFコネクタについて

• Oracle Privileged Account Managerコネクタ・バンドルの場所の特定

• ICFコネクタの使用

アイデンティティ・コネクタ・フレームワークの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のアイデンティティ・コネクタ・フレームワークの理解に関する項を参照してください。

3.2.1 ICFコネクタについて

Oracle Privileged Account Managerには、オラクル社が開発した次のICF準拠のコネクタが付属しています。

• Database User Management (DBUM)コネクタ

• 汎用LDAPコネクタ

• UNIX用のOracle Identity Managerコネクタ

これらのコネクタによって、Oracle Privileged Account Managerは、前述のタイプに属する様々なターゲット・システム上で特権アカウントを管理できます。

Oracle Privileged Account Managerでは、ユーザーが作成したICF準拠のコネクタも使用できるため、Oracle Privileged Account Managerを使用して独自のシステムを管理する場合に役立ちます。

注意: Oracle Privileged Account Managerに付属するコネクタのみを使用する場合、それらのコネクタはデフォルトで事前に構成されているため、追加の操作は不要です。 他のOracleコネクタやカスタム・コネクタを使用する場合、詳細は、第7.3項「既存のOracle Privileged Account Managerインストール環境への新規コネクタの追加」を参照してください。 アイデンティティ・コネクタ・フレームワークの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のアイデンティティ・コネクタの開発に関する項を参照してください。

3.2.2 Oracle Privileged Account Managerコネクタ・バンドルの場所の特定

ICFコネクタは汎用で、多くのコンテキストで使用できるため、所定のOracleインストール環境においてすべてのコネクタ・バンドルがファイル・システムの単一の場所に配置されます。これらのコネクタ・バンドルに依存するOracle Privileged Account Managerなどのすべてのコンポーネントは、次の場所からそれらにアクセスできます。

ORACLE_HOME/connectors

ORACLE_HOME/connectorsにプッシュされているコネクタは、実際はOracle Identity Managerに同梱されています。このディレクトリのすべてのコネクタのうち、次の3つのコネクタのみがこのリリースのOracle Privileged Account Managerで動作保証済です。

• org.identityconnectors.dbum-1.0.1116.jar

• org.identityconnectors.genericunix-1.0.0.jar

• org.identityconnectors.ldap-1.0.6380.jar

注意: オラクル社から新しいICFコネクタを取得した場合、指示で指定された場所にそれらを配置する必要があります。 カスタムのサードパーティ・コネクタを格納することは自由ですが、Oracle Privileged Account Managerが実行時にそれらを読み取ることができることを確認する必要があります。

3.2.3 ICFコネクタの使用

Oracle Privileged Account Managerは、opam-config.xmlファイルを使用することでICFコネクタを使用します。このファイルの内容によって、Oracle Privileged Account Managerに次の情報が提供されます。

1. ファイル・システムでICFコネクタ・バンドルを選択する場所

2. Oracle Privileged Account Managerの使用事例にとって適切な構成属性

3. 特定のコネクタを使用したターゲット・システムへの接続を構成する際に、Oracle Privileged Account Managerコンソールをレンダリングする方法

opam-config.xmlファイルは、ORACLE_HOME/opam/configディレクトリにあります。Oracle Identity Management Suiteに付属するコネクタ・バンドルを選択して使用するために、すぐに使用できるイメージが構成されています。

opam-config.xsdファイル(これもORACLE_HOME/opam/configディレクトリに配置されている)は、opam-config.xmlのスキーマを記述します。
ORACLE_HOME/opam/config/opam-config.xmlファイルを変更した場合、opam-config.xsdファイルで検証します。

注意: opam-config.xmlファイルを編集する前に、必ず元のファイルをバックアップしてください。

3.3 Oracle Privileged Account Managerの起動

この項では、Oracle Privileged Account Managerのコンソールを起動および操作するための概要情報について説明します。内容は次のとおりです。

• WebLogicの起動

• Oracle Privileged Account Managerの外部アイデンティティ・ストアの構成

• アイデンティティ・ストアの準備

• ユーザーへのアプリケーション構成者ロールの割当て

• Oracle Privileged Account ManagerのWebベースのコンソールの起動

この項で説明する手順では、次のOracleマニュアルに含まれる情報および手順を参照しています。これらの手順を開始する前に、必要に応じて参照先の概念、専門用語および手順を確認してください。

表3-3 参照マニュアル

参照内容	参照先
管理ロール	Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドの共通管理者ロールの割当てに関する項、第2.3.1項「管理ロールのタイプ」および第3.3.4項「ユーザーへのアプリケーション構成者ロールの割当て」
Oracle Privileged Account ManagerおよびOracle Identity Navigatorでサポートされるアイデンティティ・ストアおよびポリシー・ストアの構成	Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのシステム要件と動作保証情報に関する項
Oracle WebLogic Serverの概念および専門用語	Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプおよび『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。
Oracle WebLogic Serverでのデフォルトの認証プロバイダの作成	Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプおよび『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。
現在の環境でのアイデンティティ・ストアの構成	各ベンダーの製品ドキュメント
LDAPベース・サーバーでのOracle Virtual Directoryの構成	『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』のLDAPアダプタの作成に関する項
Oracle WebLogic ServerでのOVD認証プロバイダの構成	Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプ
WLSTへのノード・マネージャの接続	『Oracle Fusion Middleware WebLogic Scripting Toolコマンド・リファレンス』のノード・マネージャ・コマンドに関する項
WLSTを使用したポリシー・ストアの関連付け	『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Internet Directoryサーバーでのノードの設定に関する項およびreassociateSecurityStoreに関する項
Enterprise Managerを使用したポリシー・ストアの関連付け	『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のFusion Middleware Controlでの再関連付けに関する項
idmConfigToolコマンドの使用	Oracle Fusion Middleware Oracle Identity Management統合の概要

注意: IBM WebSphere上でOracle Privileged Account Managerを使用する場合、アプリケーション構成者を割り当て、Oracle Privileged Account Managerコンソールを起動する前に、IBM WebSphereを起動し、いくつかの構成手順を実行する必要があります。 これらのタスクの詳細は、Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイドのIBM WebSphereでのOracle Privileged Account Managerの起動に関する項を参照してください。 Oracle Privileged Account Manager管理者およびユーザーは、Oracle Privileged Account Managerの初期設定中を除き、通常はOracle Identity Navigatorインタフェースを使用する必要はありません。

3.3.1 WebLogicの起動

Oracle Privileged Account Managerを起動する前に、WebLogicサーバーおよびコンソールを起動する必要があります。

注意: WebLogicサーバーおよび管理対象サーバーの起動の詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracleスタックの起動と停止に関する項を参照してください。 サーバーを起動するための適切な管理ロールおよび資格証明を持っている必要があります。詳細は、第2.3.1項「管理ロールのタイプ」を参照してください。

1. nmConnectコマンドを実行してノード・マネージャをWLSTに接続します。

   手順については、Oracle Fusion Middleware WebLogic Scripting Toolのコマンド・リファレンスのノード・マネージャのコマンドに関する項を参照してください。

2. WebLogic管理サーバーを起動します。次に例を示します。

   UNIXでは次のように入力します。

   MIDDLEWARE_HOME/user_projects/domains/DOMAIN_NAME/bin/startWebLogic.sh
   

   Windowsでは次のように入力します。

   MIDDLEWARE_HOME\user_projects\domains\DOMAIN_NAME\bin\startWebLogic.bat
   

3. Oracle Privileged Account Manager管理対象サーバーを起動します。

4. ブラウザを開き、次の場所からWebLogicコンソールを起動します。

   http://adminserver_host:adminserver_port/console

3.3.2 Oracle Privileged Account Managerの外部アイデンティティ・ストアの構成

この項では、Oracle Privileged Account Managerの新しい外部アイデンティティ・ストアを構成する方法について説明します。

注意: IBM WebSphereを使用する場合、外部アイデンティティ・ストアではなくレジストリを構成する必要があります。手順については、Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイドのレジストリの構成に関する項を参照してください。

Oracle Identity Navigatorの「アクセス権限」ペインから検索する場合、ユーザーを表示する前にドメイン・アイデンティティ・ストアを構成する必要があります。アイデンティティ・ストアをメイン認証ソースとして構成するには、Oracle Identity NavigatorがインストールされているOracle WebLogic Serverドメインを構成する必要があります。

サポートされているLDAPベース・ディレクトリ・サーバーでOracle Internet DirectoryまたはOracle Virtual Directoryを使用して、ドメイン・アイデンティティ・ストアを構成できます。アイデンティティ・ストアをWebLogic Server管理コンソールで構成します。

注意: 理論的には、外部のアイデンティティ・ストアとして任意のLDAPサーバーをWebLogicに構成できます。 アイデンティティ・ストアの構成の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアイデンティティ・ストア・サービスの構成に関する項を参照してください。 その他のサポートされているアイデンティティ・ストアの詳細は、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのシステム要件と動作保証情報に関する項

Oracle WebLogic ServerでOracle Internet Directory認証プロバイダを構成するには、次の手順を実行します。

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、デフォルトのレルムはmyrealmです。

3. 「プロバイダ」タブを選択し、「認証」サブタブを選択します。

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動して、次のようにフィールドを完了します。

   • 名前: 認証プロバイダの名前を入力します。たとえば、MyOIDDirectoryと入力します。

   • タイプ: リストから、「OracleInternetDirectoryAuthenticator」を選択します。

   「OK」をクリックして認証プロバイダ表を更新します。

5. 認証プロバイダの表で、新たに追加した認証プロバイダをクリックします。

6. 「設定」で、「構成」タブを選択し、「共通」タブを選択します。

7. 「共通」タブで、「制御フラグ」を「SUFFICIENT」に設定します。

   認証プロバイダの制御フラグの属性を設定すると、認証プロバイダの実行順序が決まります。制御フラグ属性に使用可能な値は次のとおりです。

   • REQUIRED - このLoginModuleは成功する必要があります。失敗した場合でも、認証は、構成された認証プロバイダのLoginModulesリストの下位方向へ進みます。この設定がデフォルトです。

   • REQUISITE - このLoginModuleは成功する必要があります。他の認証プロバイダが構成されていて、このLoginModuleが成功した場合、認証はLoginModulesリストを下位方向へ進みます。それ以外の場合は、制御がアプリケーションに戻ります。

   • SUFFICIENT - このLoginModuleは成功する必要はありません。成功した場合、制御はアプリケーションに戻ります。失敗した場合、他の認証プロバイダが構成されていれば、認証はLoginModuleリストを下位方向に進みます。

   • OPTIONAL - このLoginModuleは成功でも失敗でもかまいません。ただし、JAAS制御フラグがOPTIONALに設定されたセキュリティ・レルムですべての認証プロバイダが構成されている場合は、ユーザーは構成されたいずれかのプロバイダの認証テストに合格する必要があります。

8. 「保存」をクリックします。

9. 「プロバイダ固有」タブをクリックした後、使用する環境の値を使用して次の必要な設定を入力します。

   • ホスト: Oracle Internet Directoryサーバーのホスト名。

   • ポート: Oracle Internet Directoryサーバーがリスニングしているポート番号。

   • プリンシパル: Oracle Internet Directoryサーバーへの接続に使用されるOracle Internet Directoryユーザーの識別名(DN)。例: cn=OIDUser、cn=users、dc=us、dc=mycompany、dc=com。

   • 資格証明: プリンシパルとして入力されたOracle Internet Directoryユーザーのパスワード。

   • グループ・ベースDN: グループを含むOracle Internet Directoryサーバー・ツリーのベース識別名(DN)。

   • ユーザー・ベースDN: ユーザーを含むOracle Internet Directoryサーバー・ツリーのベース識別名(DN)。

   • すべてのユーザーのフィルタ: LDAP検索フィルタ。詳細は、「詳細」をクリックします。

   • 名前指定によるユーザー・フィルタ: LDAP検索フィルタ。詳細は、「詳細」をクリックします。

   • ユーザー名属性: 認証に使用する属性(cn、uid、mailなど)。たとえば、ユーザーの電子メール・アドレスを使用して認証を行うには、この値をmailに設定します。

   • 「取得したユーザー名をプリンシパルとして使用する」を有効化します。

10. 「保存」をクリックします。

11. myrealmページの「設定」から、「プロバイダ」タブを選択した後、「認証」タブを選択します。

12. 「並替え」をクリックします。

13. 新しい認証プロバイダを選択し、矢印ボタンを使用してこれをリストの最初に移動します。

14. 「OK」をクリックします。

15. 「認証プロバイダ」表の「DefaultAuthenticator」をクリックし、DefaultAuthenticatorの「設定」ページを表示します。

16. 「構成」タブ、「共通」タブの順に選択し、「制御フラグ」リストから「SUFFICIENT」を選択します。

17. チェンジ・センターで、変更のアクティブ化をクリックします。

18. Oracle WebLogic Serverを再起動します。

19. LDAPディレクトリ(Oracle Internet DirectoryまたはOracle Virtual Directory)に存在するユーザーが問題なくOracle Privileged Account Managerにログインできることを確認して、構成および設定を検証します。

Oracle Virtual Directoryをドメイン・アイデンティティ・ストアとして使用するには、次の手順を実行する必要があります。

• Oracle Fusion Middleware Oracle Virtual Directory管理者ガイドのLDAPアダプタの作成に関する項の説明に従ったLDAPベース・サーバーでのOracle Virtual Directoryの構成

• Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプの説明に従ったOracle WebLogic ServerでのOVD認証プロバイダの構成

• Oracle WebLogic Serverで認証プロバイダを構成する場合、前述の手順9の説明に従って「取得したユーザー名をプリンシパルとして使用する」オプションを有効にする必要があります。

3.3.3 アイデンティティ・ストアの準備

外部LDAPサーバーをアイデンティティ・ストアとして使用する場合、必要なOracle Privileged Account Managerユーザーおよびグループでそのサーバーをシードする必要があります。

アイデンティティ・ストアを準備するには、次のタスクを実行します。

• Oracle Privileged Account Managerに使用するディレクトリ・スキーマの拡張

• Oracle Privileged Account Managerに使用するユーザーおよびグループの作成

3.3.3.1 Oracle Privileged Account Managerに使用するディレクトリ・スキーマの拡張

アイデンティティ・ストアを事前構成すると、Oracle Internet Directoryでスキーマが拡張されます。

アイデンティティ・ストアを事前構成するには、IDMHOST1で次のタスクを実行する必要があります。

1. 環境変数MW_HOME、JAVA_HOMEおよびORACLE_HOMEを設定します。

   ORACLE_HOMEをIAM_ORACLE_HOMEに設定します。

2. 次の内容でプロパティ・ファイルextend.propsを作成します。

   IDSTORE_HOST: idstore.mycompany.com
   IDSTORE_PORT: 389
   IDSTORE_BINDDN: cn=orcladmin
   IDSTORE_USERNAMEATTRIBUTE: cn
   IDSTORE_LOGINATTRIBUTE: uid
   IDSTORE_USERSEARCHBASE: cn=Users,dc=mycompany,dc=com
   IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=mycompany,dc=com
   IDSTORE_SEARCHBASE: dc=mycompany,dc=com
   IDSTORE_SYSTEMIDBASE: cn=systemids,dc=mycompany,dc=com
   

   説明:

   • IDSTORE_HOSTおよびIDSTORE_PORTは、アイデンティティ・ストア・ディレクトリのホストおよびポートに対応します。

     • OID以外のディレクトリを使用している場合は、Oracle Virtual Directoryのホスト(IDSTORE.mycompany.com)を指定します。

     • Oracle Internet Directoryにアイデンティティ・ストアがある場合は、
       その前面にOracle Virtual Directoryを配置していても、IDSTORE_HOSTがOracle Internet Directoryを指している必要があります。

   • IDSTORE_BINDDNは、アイデンティティ・ストア・ディレクトリ内の管理ユーザーです。

   • IDSTORE_USERSEARCHBASEは、ユーザーを格納するディレクトリ内の場所です。

   • IDSTORE_GROUPSEARCHBASEは、グループを格納するディレクトリ内の場所です。

   • IDSTORE_SEARCHBASEは、ユーザーおよびグループを格納するディレクトリ内の場所です。

   • IDSTORE_SYSTEMIDBASEは、メイン・ユーザー・コンテナに配置する必要のないユーザーを配置できるディレクトリにあるコンテナの場所です。このような状況はほとんどありませんが、その一例としてOracle Virtual DirectoryアダプタのバインドDNユーザーとしても使用されるOracle Identity Managerリコンシリエーション・ユーザーがあげられます。

   • IDSTORE_USERNAMEATTRIBUTEは、ユーザー名を記述したLDAP属性です。この属性は通常CNです。

   • IDSTORE_LOGINATTRIBUTEは、ユーザーのログイン名を記述したLDAP属性です。

3. 次の場所にあるidmConfigToolコマンドを使用してアイデンティティ・ストアを構成します。

   IAM_ORACLE_HOME/idmtools/bin
   

   
   

   注意: idmConfigToolコマンドを実行すると、idmDomainConfig.paramファイルが作成されるか、既存のこのファイルに情報が追加されます。このファイルは、idmConfigToolコマンドを実行するディレクトリと同じディレクトリ内に生成されます。 このツールを実行するたびに必ず同じファイルに情報が追加されるようにするには、常に次のディレクトリでidmConfigToolを実行します。 IAM_ORACLE_HOME/idmtools/bin

   
   

   • Linuxの場合、このコマンドの構文は次のとおりです。

     idmConfigTool.sh -preConfigIDStore input_file=configfile 
     

   • Windowsの場合、このコマンドの構文は次のとおりです。

     idmConfigTool.bat -preConfigIDStore input_file=configfile 
     

   例:

   idmConfigTool.sh -preConfigIDStore input_file=extend.props
   

   このコマンドを実行すると、アイデンティティ・ストアへの接続に使用するアカウントのパスワードを入力するように要求されます。

   Oracle Virtual Directoryに対して実行した場合のコマンド出力例:

   Enter ID Store Bind DN password:
   May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
   INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/
   idm_idstore_groups_template.ldif
   May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
   INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/
   oid/idm_idstore_groups_acl_template.ldif
   May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
   INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/
   oid/systemid_pwdpolicy.ldif
   May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
   INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/
   oid/idstore_tuning.ldif
   May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
   INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/
   oid_schema_extn.ldif
   May 25, 2011 2:37:19 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
   INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/oam/server/oim-intg/schema/
   OID_oblix_pwd_schema_add.ldif
   May 25, 2011 2:37:19 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
   INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/oam/server/oim-intg/schema/
   OID_oim_pwd_schema_add.ldif
   May 25, 2011 2:37:19 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
   INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/oam/server/oim-intg/schema/
   OID_oblix_schema_add.ldif
   May 25, 2011 2:37:34 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
   INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/oam/server/oim-intg/schema/
   OID_oblix_schema_index_add.ldif
   The tool has completed its operation. Details have been logged to
   automation.log
   

4. このツールを実行したディレクトリにautomation.logというファイルが作成されます。このログ・ファイルを確認して、エラーや警告を修正します。

   
   

   注意: idmConfigToolは、ユーザーを作成するだけでなく、次のグループも作成します。 OrclPolicyAndCredentialWritePrivilegeGroup OrclPolicyAndCredentialReadPrivilegeGroup

   
   

関連項目:

idmConfigToolコマンドの詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合概要』を参照してください。

3.3.3.2 Oracle Privileged Account Managerに使用するユーザーおよびグループの作成

トポロジ内にOracle Privileged Account Managerを実装する場合、アイデンティティ・ストアをOracle Privileged Account Managerに必要なユーザーとグループでシードする必要があります。

注意: 次の手順におけるapmとAPMの使用は、Oracle Privileged Account Managerに必要なユーザーとグループの設定に適しています。

必要なユーザーとグループを作成するには、IDMHOST1で次のタスクを実行します。

1. 環境変数MW_HOME、JAVA_HOMEおよびORACLE_HOMEを設定します。

   ORACLE_HOMEをIAM_ORACLE_HOMEに設定します。

2. 次の内容でプロパティ・ファイルapm.propsを作成します。

   IDSTORE_HOST: idstore.mycompany.com
   IDSTORE_PORT: 389
   IDSTORE_BINDDN: cn=orcladmin
   IDSTORE_USERNAMEATTRIBUTE: cn
   IDSTORE_LOGINATTRIBUTE: uid
   IDSTORE_USERSEARCHBASE: cn=Users,dc=mycompany,dc=com
   IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=mycompany,dc=com
   IDSTORE_SEARCHBASE: dc=mycompany,dc=com
   POLICYSTORE_SHARES_IDSTORE: true
   IDSTORE_APMUSER: opamadmin
   

   説明

   • IDSTORE_HOSTおよびIDSTORE_PORTは、アイデンティティ・ストア・ディレクトリのホストおよびポートに対応します。

     • OID以外のディレクトリを使用している場合は、Oracle Virtual Directoryのホスト(IDSTORE.mycompany.com)を指定します。

     • Oracle Internet Directoryにアイデンティティ・ストアがある場合は、
       その前面にOracle Virtual Directoryを配置していても、IDSTORE_HOSTがOracle Internet Directoryを指している必要があります。

   • IDSTORE_BINDDNは、アイデンティティ・ストア・ディレクトリ内の管理ユーザーです。

   • IDSTORE_USERNAMEATTRIBUTEは、ユーザー名を記述したLDAP属性です。この属性は通常CNです。

   • IDSTORE_LOGINATTRIBUTEは、ユーザーのログイン名を記述したLDAP属性です。

   • IDSTORE_USERSEARCHBASEは、ユーザーを格納するディレクトリ内の場所です。

   • IDSTORE_GROUPSEARCHBASEは、グループを格納するディレクトリ内の場所です。

   • IDSTORE_SEARCHBASEは、ユーザーおよびグループを格納するディレクトリ内の場所です。

   • POLICYSTORE_SHARES_IDSTORE

     • ポリシーとアイデンティティ・ストアが同じディレクトリにある場合は、trueに設定します。

     • ポリシーとアイデンティティ・ストアが同じディレクトリにない場合は、falseに設定します。

   • IDSTORE_APMUSERは、Oracle Privileged Account Manager管理者として作成するユーザーの名前です。

   このコマンドでは、ユーザーを作成するだけでなく、そのユーザーを、第3.1項「11gリリース2 (11.1.2)のインストール後の作業」で作成されたグループに割り当てます。

3. 次の場所にあるidmConfigToolコマンドを使用してアイデンティティ・ストアを構成します。

   IAM_ORACLE_HOME/idmtools/bin
   

   
   

   注意: idmConfigToolコマンドを実行すると、idmDomainConfig.paramファイルが作成されるか、既存のこのファイルに情報が追加されます。このファイルは、idmConfigToolコマンドを実行するディレクトリと同じディレクトリ内に生成されます。 このツールを実行するたびに必ず同じファイルに情報が追加されるようにするには、常に次のディレクトリでidmConfigToolを実行します。 IAM_ORACLE_HOME/idmtools/bin

   
   

   • Linuxの場合、このコマンドの構文は次のとおりです。

     idmConfigTool.sh -prepareIDStore mode=APM input_file=configfile 
     

   • Windowsの場合、このコマンドの構文は次のとおりです。

     idmConfigTool.bat -prepareIDStore mode=APM input_file=configfile 
     

   例:

   idmConfigTool.sh -prepareIDStore mode=APM input_file=apm.props
   

   このコマンドを実行すると、アイデンティティ・ストアへの接続に使用するアカウントのパスワードを入力するように要求されます。

   次に、コマンドの出力例を示します。

   Enter ID Store Bind DN password :
   Feb 18, 2013 10:10:35 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
   INFO: -> LOADING:  /u01/app/oracle/product/fmw/iam/common/templates/
   oinav_template_oid.ldif
   *** Creation of APM User ***
   Feb 18, 2013 10:10:35 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
   INFO: -> LOADING:  /u01/app/oracle/product/fmw/iam/idmtools/templates/
   oid/oam_user_template.ldif
   Enter User Password for opamadmin:
   Confirm User Password for opamadmin:
   The tool has completed its operation. Details have been logged to
   automation.log
   

4. このツールを実行したディレクトリにautomation.logというファイルが作成されます。このログ・ファイルを確認して、エラーや警告を修正します。

関連項目:

idmConfigToolコマンドの詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合概要』を参照してください。

3.3.4 ユーザーへのアプリケーション構成者ロールの割当て

インストール後は、どのユーザーにも管理者ロールは付与されていません。ユーザーを選択し、Oracle Identity Navigatorを使用してそのユーザーにアプリケーション構成者ロールを付与する必要があります。

注意: 手順については、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドの共通管理者ロールの割当てに関する項を参照してください。 アプリケーション構成者ユーザーは、このロールに加えて別のロールも持つことができます。他の管理ロールの詳細は、第2.3.1項「管理ロールのタイプ」を参照してください。

アプリケーション構成者ユーザーが次のURLを使用してログインすると、OPAMの構成リンクが含まれた空の画面が表示されます。

http://adminserver_host:adminserver_port/oinav/opam

アプリケーション構成者ユーザーは、このリンクを使用して、Oracle Privileged Account Managerサーバーのホストとポートを指定することで、Oracle Privileged Account Managerサーバーが実行されている場所をOracle Privileged Account Managerコンソールに認識させることができます。

Oracle Privileged Account ManagerコンソールがOracle Privileged Account Managerサーバーとの通信に成功すると、Oracle Privileged Account Managerコンソールにコンテンツが移入されます。

注意: Oracle Privileged Account Manager管理者およびユーザーは、Oracle Privileged Account Managerの初期設定中を除き、通常はOracle Identity Navigatorインタフェースを使用する必要はありません。

3.3.5 Oracle Privileged Account ManagerのWebベースのコンソールの起動

Oracle Privileged Account Managerのコンソールにアクセスするには、ブラウザ・ウィンドウを開いて次のURLを入力します。

http://adminserver_host:adminserver_port/oinav/opam

「サイン・イン」画面のあるOracle Privileged Account Managerページが表示されたら、管理者またはエンド・ユーザーの適切な資格証明を使用してログインします。

注意: Oracle Privileged Account Managerのコマンドライン・ツールまたはOracle Privileged Account ManagerのRESTfulインタフェースを使用する場合、それらのインタフェースの詳細は、それぞれ付録A「コマンドライン・ツールの使用」または付録B「Oracle Privileged Account ManagerのRESTfulインタフェースの使用」を参照してください。

3.4 Oracle Privileged Account Managerのコンソールのナビゲート

Oracle Privileged Account Managerにログインすると、コンソールが表示されます。

コンソールの一部の機能へのアクセスは、ユーザーの管理ロールおよび資格証明に基づきます。たとえば、図3-1は、Oracle Privileged Account Managerで提供されるすべての機能を示しています。ただし、この項で後から説明する「管理」、「レポート」および「構成」アコーディオンは、エンド・ユーザーやセキュリティ管理者ロールを持つユーザーには提供されません。

図3-1 Oracle Privileged Account Managerコンソール(完全な権限に対するビュー)

図3-2は、管理者権限を持たないセルフサービス・ユーザーとしてログインしたときのコンソールを示しています。

図3-2 Oracle Privileged Account Managerコンソール(セルフサービスに対するビュー)

注意: 管理ロールの詳細は、第2.3項「Oracle Privileged Account Managerの認可の理解」を参照してください。

この項では、Oracle Privileged Account Managerコンソールの概要について説明します。この項の内容は次のとおりです。

• 「ホーム」アコーディオンの使用

• 「管理」アコーディオンの使用

• 「レポート」アコーディオンの使用

• 「構成」アコーディオンの使用

• 検索ポートレットの使用

• 検索結果表の使用

ヒント: Oracle Privileged Account Managerインタフェースの要素(パラメータ・フィールドや情報アイコン など)の上にカーソルを重ねると、役に立つプロンプトが表示されます。

3.4.1 「ホーム」アコーディオンの使用

「ホーム」アコーディオンには、次のノードが含まれます。

• マイ・アカウント: このノードを選択すると、自身が権限受領者である任意のアカウントのパスワードを参照、検索、チェックアウト、チェックインおよび表示できる「マイ・アカウント」ページが表示されます。

• マイ・チェックアウト済アカウント: このノードを選択すると、チェックアウト済アカウントの表示、それらのアカウントのパスワードの表示およびアカウントのチェックインを実行できる「マイ・チェックアウト済アカウント」ページが表示されます。

いずれかのノードをクリックすると、新規ページがコンソールの右側に表示されます。これらのページを使用して、アカウントを管理します。

注意: 「マイ・アカウント」ページは、ユーザーがログインしたときに、権限を問わずデフォルトで表示されます。 「マイ・アカウント」ページまたは「マイ・チェックアウト済アカウント」ページの使用の詳細は、第5.2項「セルフサービスの使用」を参照してください。

3.4.2 「管理」アコーディオンの使用

「管理」アコーディオンには、管理ロールと資格証明に基づいて、次のいずれかまたはすべてのノードが含まれます。

• アカウント: 選択すると、アカウントを検索、開く、追加および削除できる「アカウント」ページが表示されます。

• ターゲット: 選択すると、ターゲットを検索、開く、追加および削除できる「ターゲット」ページが表示されます。

• パスワード・ポリシー: 選択すると、パスワード・ポリシーを検索、開く、作成および削除できる「パスワード・ポリシー」ページが表示されます。

• 使用ポリシー: 選択すると、使用ポリシーを検索、開く、作成および削除できる「使用ポリシー」ページが表示されます。

• ユーザー権限受領者: 選択すると、個々のユーザー権限受領者に関する情報を検索、開くおよび表示できる「ユーザー権限受領者」ページが表示されます。

• グループ権限受領者: 選択すると、権限受領者のグループに関する情報を検索、開くおよび表示できる「グループ権限受領者」ページが表示されます。

いずれかのノードをクリックすると、新規ページがコンソールの右側に表示されます。これらのページを使用して、Oracle Privileged Account Managerを構成および管理します。

注意: Oracle Privileged Account Managerの構成と管理の詳細は、第5章「Oracle Privileged Account Managerの構成および管理」を参照してください。 Oracle Privileged Account Managerサーバーの構成と管理の詳細は、第4.3項「Oracle Privileged Account Managerサーバーの管理」を参照してください。

3.4.3 「レポート」アコーディオンの使用

「レポート」アコーディオンには、管理ロールと資格証明に基づいて、次のいずれかまたはすべてのノードが含まれます。

• デプロイメント・レポート: 選択すると、ターゲットおよび特権アカウントが現在どのようにデプロイされているかに関する情報を参照できる「デプロイメント・レポート」ページが表示されます。

• 使用状況レポート: 選択すると、特権アカウントが現在デプロイメント内でどのように使用されているかに関する情報を参照できる「使用状況レポート」ページが表示されます。

• エラー・レポート: 選択すると、ターゲットとアカウントに対するエラーの現在の状態に関する情報を参照できる「エラー・レポート」ページが表示されます。

注意: これらのレポートの詳細は、第5.1.5項「レポートの使用」を参照してください。

3.4.4 「構成」アコーディオンの使用

「構成」アコーディオンには、クラスタ内のすべてのOracle Privileged Account Managerサーバーに適用される共通グローバル構成プロパティを表す、次のノードが含まれます。

• サーバー接続: このノードを選択すると、Oracle Privileged Account Managerサーバーへの接続を構成できます。

• サーバー構成: このノードを選択すると、次を管理できます。

  • 使用ポリシー・スケジューラ間隔

  • パスワード・ポリシー・スケジューラ間隔

  • ターゲット接続タイムアウト(秒単位)

  • Oracle Database TDEモード(透過的データ暗号化)

注意: これらの設定の詳細は、第4.3.2項「Oracle Privileged Account Managerサーバー・プロパティの管理」を参照してください。

3.4.5 検索ポートレットの使用

Oracle Privileged Account Managerの検索ポートレットを使用すると、アカウント、ターゲット、ポリシー、ユーザーおよびグループを検索できます。

図3-3 検索ポートレットの例

検索を構成するには、検索ポートレットに表示されている1つ以上のパラメータを使用します。使用可能なパラメータは、検索のタイプに応じて異なります。次の表では、異なる検索パラメータについて説明します。

表3-4 検索ポートレットのパラメータ

パラメータ名	説明	検索タイプ
アカウント名	検索するアカウント名の1つ以上の文字を入力します。	マイ・アカウント、アカウント
ターゲット名	検索するターゲット名の1つ以上の文字を指定します。	マイ・アカウント、アカウント、ターゲット、ユーザー、グループ
ターゲット・タイプ	「すべて」(すべてのターゲット・タイプを検索する場合)、ldap、unix、databaseまたはlockboxを指定します。	マイ・アカウント、アカウント、ターゲット
ドメイン	検索するドメインを指定します。	マイ・アカウント、アカウント、ターゲット
ホスト名	検索するホストの名前を指定します。	ターゲット
ポリシー名	検索するポリシー名の1つ以上の文字を指定します。	パスワード・ポリシー、使用ポリシー
ポリシー・ステータス	すべてのポリシーを検索するか、検索をアクティブなポリシーのみまたは無効なポリシーのみに制限するかを指定します。	パスワード・ポリシー、使用ポリシー
ユーザー名	検索するユーザー名の1つ以上の文字を指定します。	ユーザー権限受領者
グループ名	検索するグループ名の1つ以上の文字を指定します。	グループ権限受領者

検索を実行する一般的な手順は次のとおりです。

1. 「ホーム」または「管理」アコーディオンで、適切なノードを選択します。

   たとえば、アカウントを検索するには、「アカウント」を選択します。

2. 検索ポートレットのパラメータを使用して、検索を構成します。

   • たとえば、特定のLDAPターゲットに存在するアカウントのリストを検索するには、ターゲット名の1つ以上の文字を入力し、「ターゲット・タイプ」メニューからLDAPを選択して、「検索」をクリックします。

   • 使用可能なすべての結果を検索する場合は、検索パラメータを指定しません。

3. 「検索」をクリックします。

   結果は検索結果表に表示されます。

   
   

   注意: 検索結果表の上にある「ステータス」メニューを使用すると、アカウント・ステータスに基づいて検索結果をフィルタ処理できます。詳細は、第3.4.6項「検索結果表の使用」の表3-5を参照してください。

   
   

4. 別の検索を実行するには、「リセット」をクリックします。

3.4.6 検索結果表の使用

異なる検索結果表の上部に配置されているドロップダウン・メニューとアイコンを使用して、様々なタスクを実行できます。

図3-4 検索結果表の例

次の表では、これらの機能について説明します。

注意: これらの機能の可用性は、ユーザーのロール(権限)および実行された検索のタイプに基づいて変化します。詳細は、第2.3.1項「管理ロールのタイプ」を参照してください。

表3-5 検索結果表の機能

機能名	検索タイプ	説明
アクション	マイ・アカウント、 マイ・チェックアウト済アカウント、アカウント、ターゲット、パスワード・ポリシー、使用ポリシー、ユーザー権限受領者、グループ権限受領者	ドロップダウン・メニューからアクションを選択します。 注意: 「アクション」メニューのオプションは、表の上部に表示されているタスク・アイコンと同じです。
表示	マイ・アカウント、 マイ・チェックアウト済アカウント、アカウント、ターゲット、パスワード・ポリシー、使用ポリシー、ユーザー権限受領者、グループ権限受領者	このドロップダウン・メニューを使用して、検索結果表での列の表示方法を制御します。 「列」→「すべて表示」: 表のすべての列を表示します。 「列」→「列名」: 列名をクリックすると、表内でその列が表示または非表示になります。列はデフォルトで表示(選択)されています。 「列」→「列の管理」: 列の表示と非表示を切り替えることのできるダイアログが表示されます。 列の並替え: このオプションを選択すると、「列の並替え」ダイアログが表示されます。列を選択し、表内でのそれらの順序を変更する場合、このダイアログを使用します。
ステータス	マイ・アカウント、アカウント	メニューからオプションを選択して、検索結果の表示方法を制御します。 チェックイン済アカウント: 現在チェックインされているアカウントのみをリストします。 注意: 管理者としてアカウントを表示している場合、「チェックイン済アカウント」は、そのアカウントへのアクセス権を付与されている任意のユーザーがチェックアウトできるアカウントです。権限受領者としてアカウントを表示している場合、「チェックイン済アカウント」は、自分がチェックアウトできるアカウントです。 チェックアウト済アカウント: 現在チェックアウトされているアカウントのみをリストします。 すべて: ターゲットのすべてのアカウントをリストします。
追加	アカウント、ターゲット	クリックすると、新しいアカウントまたはターゲットをOracle Privileged Account Managerリポジトリに追加できます。
開く	マイ・アカウント、アカウント、ターゲット、パスワード・ポリシー、使用ポリシー、ユーザー権限受領者、グループ権限受領者	クリックすると、選択したアカウント、ターゲット、ポリシー、ユーザー権限受領者またはグループ権限受領者を開くことができます。
削除	アカウント、ターゲット	クリックすると、選択したアカウントまたはターゲットをOracle Privileged Account Managerリポジトリから削除できます。
パスワードの表示	マイ・アカウント、 マイ・チェックアウト済アカウント、アカウント、ターゲット	クリックすると、選択したアカウントまたはターゲット・サービス・ターゲットの現在のパスワードに関する情報を参照できる「現在のパスワードの表示」ダイアログが表示されます。 「アカウント」の場合、このダイアログには現在のアカウント名とパスワードがリストされます。 「ターゲット」の場合、このダイアログには現在のターゲット名、サービス・アカウント名、現在のパスワードおよびパスワード変更時間がリストされます。
パスワードのリセット	アカウント、ターゲット	クリックすると、選択したアカウントまたはターゲット・サービス・アカウントのパスワードを手動でリセットできる「パスワードのリセット」ダイアログが表示されます。 「アカウント」の場合、このダイアログには現在のアカウント名とターゲット名がリストされます。アカウントの新規パスワードを作成するには、「新規パスワード」フィールドにパスワードを入力します。 「ターゲット」の場合、このダイアログには現在のターゲット名とサービス・アカウント名がリストされます。「新規パスワード」フィールドにパスワードを入力するか、「パスワードの自動生成」チェック・ボックスを選択して新規パスワードを自動的に生成できます。
強制的チェックイン	アカウントのみ	クリックすると、他のユーザーによってチェックアウトされた特権アカウントをチェックインできます。
パスワード・ポリシーの作成	パスワード・ポリシーのみ	クリックすると、パスワード・ポリシーを作成できます。詳細は、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。
使用ポリシーの作成	使用ポリシーのみ	クリックすると、使用ポリシーを作成できます。詳細は、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。
削除	パスワード・ポリシー、使用ポリシー	クリックすると、選択したポリシーをOracle Privileged Account Managerリポジトリから削除できます。
チェックイン	マイ・チェックアウト済アカウント のみ	クリックすると、選択したチェックアウト済アカウントをチェックインできます。詳細は、第5.1.3.6項「特権アカウントのチェックイン」を参照してください。
リフレッシュ	マイ・アカウント、マイ・チェックアウト済アカウント、アカウント	クリックすると、検索結果を再表示(リフレッシュ)できます。