ヘッダーをスキップ
Oracle® Fusion Middleware Oracle Identity Manager開発者ガイド
11g リリース2 (11.1.2.1.0)
B69536-05
  目次へ移動
目次		 索引へ移動
索引
前
前 		 次
次		  

3 セキュリティのアーキテクチャ

Oracle Identity Managerは、アプリケーションにおける様々な操作の実行をユーザーに許可または禁止するために、ユーザーによるアプリケーションへのアクセスを制御します。これは、Oracle Identity Managerに埋め込まれている認可エンジンによって、認可ポリシーを使用して制御されます。認可ポリシーの目的は、データ、UIおよびAPIを含む、Oracle Identity Managerアプリケーションへのユーザーのアクセスを制御することです。認可ポリシーによって、特定のアクションが許可されるかどうかが実行時に決定されます。Oracle Identity Managerでの認可要件を満たす認可ポリシーを定義できます。

Oracle Identity Managerでは、認可ポリシー管理は、管理機能として集中管理されます。Oracle Identity Managerの認可ポリシー管理と施行エンジンは、Oracleの権限管理製品である、埋込みバージョンのOracle Entitlements Server (OES)のをベースにしています。これらの認可ポリシーによって、Oracle Identity Managerアプリケーションに対するアクセス制御が保護され、アプリケーション内で誰がどのデータに対して何をできるかが定義されます。

Oracle Identity Managerでは、次がサポートされています。

図3-1に、OESベースの認可サービスのアーキテクチャを示します。

図3-1 OESベースの認可サービス

図3-1の説明が続きます
「図3-1 OESベースの認可サービス」の説明

認可およびセキュリティ・モデルについては、次の各項で説明します。

3.1 セキュリティ・モデル

セキュリティ・モデルについては、次の各項で説明します。

3.1.1 管理ロールの割当て

新しい認可モデルは、ユーザーに対する管理ロールの割当てをベースとして機能します。管理ロールには、グローバルおよびスコープ指定の2つのタイプがあります。グローバル管理ロール(システム管理者、システム構成管理者、カタログ・システム管理者、SPML管理者、証明管理者、証明ビューアなど)は、最上位組織のコンテキストでのみ割り当てることができます。スコープ指定された管理ロールは、最上位組織およびその他の組織のコンテキストで割り当てることができます。

最上位組織は、Oracle Identity Managerの組織階層のルートにあります。認可ポリシーは、管理ロールに従って作成されます。管理ロールはOracle Identity Managerで事前定義されており、新しい管理ロールを追加することはできません。管理ロールを作成、更新、削除、検索またはリクエストすることはできません。

管理ロールは、エンティティ・タイプごとに事前定義されています。エンティティ管理は委任管理者によって実行されるため、エンティティ・タイプの管理ロールがスコープされます。各エンティティには、次の管理ロールが定義されています。

  • エンティティ管理者: エンティティのライフサイクル全体を管理し、エンティティのすべての操作を実行できます。

  • エンティティ・ビューア: カタログまたはリクエスト・プロファイル内のエンティティを表示し、そのエンティティをリクエストできます。

  • エンティティ認可者: カタログまたはリクエスト・プロファイル内のエンティティを表示し、それをリクエストできます(承認は必要ありません)。組織メンバーシップをリクエストすることはできないため、組織エンティティに認可者は存在しません。同様に、ユーザーに対する認可者も存在しません。ユーザー管理者とユーザー認可者は、同じです。


    注意:

    • エンティティは、ロール、ユーザー、組織、権限およびアプリケーション・インスタンスを指します。

    • 各管理ロールの説明については、『Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイド』の管理ロールに関する説明を参照してください。

管理ロールに階層はありません。ただし、管理ロール・メンバーシップ組織のスコープ指定は階層に対応しており、子組織までカスケードされることができます。管理ロール・メンバーシップは常に組織スコープ内で指定され、システム管理者または組織管理者のみがこれを割り当てることができます。組織管理者は、組織管理者である組織に管理ロールを割り当てることができます。システム構成管理者は、管理ロールを割り当てることはできません。管理ロールは、自動グループ・メンバーシップまたはロール・メンバーシップ・ルールを持ちません。


注意:

  • 管理ロールは、Oracle Identity Managerデータベースにのみ格納され、LDAPデータ・ストアには格納または同期化されません。

  • 管理ロールをリクエストすることはできず、ユーザーに公開されることもありません。

システム管理者とシステム構成管理者の管理ロールは、最上位組織に対してのみ使用可能です。したがって、システム管理者およびシステム構成管理者のみがシステム管理者およびシステム構成管理者ロールを割り当てることができます(これは、システム管理者およびシステム構成管理者が最上位組織にアクセスできるためです)。

ユーザーがエンティティに対して持つ権限には、次のタイプがあります。

  • 固有の権限: ユーザーがメンバーとして属する組織は、そのユーザーのホーム組織と呼ばれます。ユーザーは、そのホーム組織で使用可能なエンティティに対して特定の暗黙的な権限を持ちます。これらの権限は、ユーザーに自動的に割り当てられます。たとえば、ロール管理者が、ホーム組織で使用可能なロールを表示およびリクエストする場合に、明示的なロール・ビューア権限は必要ありません。ただし、別の組織内のロールを表示およびリクエストするには、この同じロール管理者にロール・ビューア権限を明示的に割り当てる必要があります。

  • 管理階層: ユーザーAがユーザーBおよびユーザーCのマネージャの場合、ユーザーAはユーザーBおよびユーザーCに対して暗黙的な権限を持ちます。ユーザーBおよびユーザーCが異なる組織に属する場合でも、ユーザーAはユーザーBおよびユーザーCに対して暗黙的な権限を持ちます。ユーザーAは直接の部下に対して明示的な権限を必要としません(直接の部下がどの組織に属するかは関係ありません)。権限は管理階層を通してグローバルに適用可能で、すべてのマネージャは部下に対してユーザー管理操作を実行できます。

Oracle Identity Managerの各管理ロールは、OES内のアプリケーション・ロールに1対1のマッピングを持ちます。アプリケーション・ロールには、このロールに属するユーザーに許可される権限を制御するポリシーが関連付けられています。これらのポリシーで機能制約およびデータ制約を変更する場合、OESの認可ポリシー管理(APM) UIでそれぞれのポリシーを開き、ポリシーを変更する必要があります。

表3-1に、Oracle Identity Managerの管理ロールと、その管理ロールで許可される対応する権限を示します。


注意:

表3-1および表3-2には、「組織基本情報」、「ロール基本情報」、「権限基本情報」および「アプリケーション・インスタンス基本情報」という暗黙的な権限が示されています。基本情報権限では、特定のエンティティの表示-検索のみの権限が付与されます。次に例を示します。

  • 組織の表示権限では、組織ビューア管理ロールに定義されるすべての権限が提供されますが、組織基本情報では組織属性の検索および表示のみの権限が提供されます。

  • ユーザー・ビューア管理ロールでは、スコープが指定された組織内のロール、組織、アプリケーション・インスタンスおよび権限に対する基本情報権限が提供されます。

表3-1 組織のスコープが指定された管理ロールと権限

Oracle Identity Managerでの管理ロール 暗黙的な権限 組織のスコープが指定された権限 リクエストまたは直接的な操作

ユーザー管理者

組織ビューア

ユーザーの検索(属性レベルのセキュリティ)

該当なし

ロール・ビューア

ユーザーの表示(属性レベルのセキュリティ)

該当なし

権限ビューア

ユーザーの作成

直接

アプリケーション・インスタンス・ビューア

ユーザーの削除

直接


ユーザーの変更(属性レベルのセキュリティ)

直接


ユーザーのロック

該当なし


ユーザーのロック解除

該当なし


ユーザーの有効化

直接


ユーザーの無効化

直接


ロールの付与

直接


ロールの失効

直接


アカウントの付与

直接


アカウントの失効

直接


権限の付与

直接


権限の失効

直接


ユーザー・パスワードの変更

該当なし


アカウント・パスワードの変更

該当なし


ユーザー・アカウントの変更

直接


ユーザー・アカウントの有効化

直接


ユーザー・アカウントの無効化

直接


組織の表示

該当なし


ロールの表示

該当なし


権限の表示

該当なし


アプリケーション・インスタンスの表示

該当なし


リクエストの表示

該当なし


管理ロール・メンバーシップの表示

該当なし


ロール・メンバーシップの表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし


プロキシの表示

該当なし


プロキシの追加

直接


プロキシの削除

直接

ヘルプ・デスク

組織基本情報

ユーザーの検索(属性レベルのセキュリティ)

該当なし

ロール基本情報

ユーザーの表示(属性レベルのセキュリティ)

該当なし

権限基本情報

ユーザーの有効化

リクエスト

アプリケーション・インスタンス基本情報

ユーザーの無効化

リクエスト


ユーザーのロック解除(ログインの失敗でロックされた場合のみ)

直接


ユーザー・パスワードの変更

直接


組織の表示

該当なし


ロールの表示

該当なし


権限の表示

該当なし


アプリケーション・インスタンスの表示

該当なし


リクエストの表示

該当なし


ロール・メンバーシップの表示

該当なし


プロキシの表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

ユーザー・ビューア

組織ビューア

ユーザーの作成

リクエスト

ロール・ビューア

ユーザーの削除

リクエスト

権限ビューア

ユーザーの変更(属性レベルのセキュリティ)

リクエスト

アプリケーション・インスタンス・ビューア

ユーザーの検索(属性レベルのセキュリティ)

該当なし


ユーザーの表示(属性レベルのセキュリティ)

該当なし


ユーザーの有効化

リクエスト


ユーザーの無効化

リクエスト


ロールの付与

リクエスト


ロールの失効

リクエスト


アカウントの付与

リクエスト


アカウントの失効

リクエスト


権限の付与

リクエスト


権限の失効

リクエスト


ユーザー・アカウントの変更

リクエスト


組織の表示

該当なし


ロールの表示

該当なし


権限の表示

該当なし


アプリケーション・インスタンスの表示

該当なし


リクエストの表示

該当なし


ロール・メンバーシップの表示

該当なし


プロキシの表示

該当なし


ユーザー・アカウントの有効化

リクエスト


ユーザー・アカウントの無効化

リクエスト


管理ロール・メンバーシップの表示

該当なし


管理ロールの追加

該当なし


管理ロールの削除

該当なし


管理ロール・メンバーシップの変更

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

ロール・ビューア

組織基本情報

ロールの付与

リクエスト

ユーザー基本情報

ロールの失効

リクエスト


組織の表示

該当なし


ロールの表示

該当なし


ユーザーの表示

該当なし


ロール・メンバーシップの表示

該当なし

組織ビューア

組織基本情報

組織の検索

該当なし

ユーザー基本情報

組織の表示

該当なし

アプリケーション・インスタンス情報

ユーザーの表示

該当なし

権限情報

ロールの表示

該当なし


アプリケーション・インスタンスの表示

該当なし


権限の表示

該当なし


すべてのパブリケーションの表示

該当なし


すべての組織メンバーの表示

該当なし


管理ロールおよびメンバーシップの表示

該当なし


組織にプロビジョニングされたアカウントの表示

該当なし

アプリケーション・インスタンス・ビューア

ユーザー基本情報

アプリケーション・インスタンスの検索

該当なし

組織基本情報

アプリケーション・インスタンスの表示(パスワードを除く)

該当なし

権限情報

アカウントの付与

リクエスト


アカウントの失効

リクエスト


ユーザー・アカウントの変更

リクエスト


ユーザー・アカウントの有効化

リクエスト


ユーザー・アカウントの無効化

リクエスト


組織の表示

該当なし


ユーザーの表示

該当なし


アプリケーション・インスタンスの表示

該当なし


権限の表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

権限ビューア

ユーザー基本情報

権限の検索

該当なし

組織基本情報

権限の表示

該当なし

アプリケーション・インスタンス基本情報

権限の付与

リクエスト


権限の失効

リクエスト


組織の表示

該当なし


ユーザーの表示

該当なし


アプリケーション・インスタンスの表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

ロール管理者

注意: ロール管理者の管理ロールは、その組織スコープ内のロールのライフサイクルを管理するだけで、ユーザーに対してロールの付与または失効を行う権限は持ちません。ロール管理者がこの機能を必要とする場合は、ロール・ビューア管理ロール(リクエストの承認が必要な場合)、またはロール認可者管理ロール(リクエストの承認が不要な場合)を、この機能を必要とする組織スコープ内で割り当てます。

ユーザー基本情報

ロールの検索

該当なし

組織基本情報

ロールの表示

該当なし


ロールの作成

直接


ロールの変更

直接


ロールの削除

直接


ロール・メンバーの表示

該当なし


ロール階層の管理

直接


ロールの公開(許可された組織に対してのみ)

直接


ロールの非公開(許可された組織に対してのみ)

直接


ロール・メンバーシップ・ルールの管理

直接


ロール・カテゴリの作成

直接


ロール・カテゴリの更新

直接


ロール・カテゴリの削除

直接


ユーザーの表示

該当なし


組織の表示

該当なし


ロール・メンバーシップの表示

該当なし

アプリケーション・インスタンス管理者

注意: アプリケーション・インスタンス管理者の管理ロールは、その組織スコープ内のアプリケーション・インスタンスのライフサイクルを管理するだけで、ユーザーに対してアプリケーション・インスタンスの付与または失効を行う権限は持ちません。アプリケーション・インスタンス管理者がこの機能を必要とする場合は、アプリケーション・インスタンス・ビューア管理ロール(リクエストの承認が必要な場合)、またはアプリケーション・インスタンス認可者管理ロール(リクエストの承認が不要な場合)を、この機能を必要とする組織スコープ内で割り当てます。

ユーザー基本情報

アプリケーション・インスタンスの作成

直接

組織基本情報

アプリケーション・インスタンスの変更

直接

権限管理者

アプリケーション・インスタンスの削除

直接


アプリケーション・インスタンスの検索

該当なし


アプリケーション・インスタンスの表示

該当なし


アプリケーション・インスタンスの公開(許可された組織に対してのみ)

直接


アプリケーション・インスタンスの非公開(許可された組織に対してのみ)

直接


権限の公開(許可された組織に対してのみ)

直接


権限の非公開(許可された組織に対してのみ)

直接


拡張UIへのアクセス

該当なし


アカウントの表示

該当なし


ユーザーの表示

該当なし


組織の表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

組織.管理者

ユーザー基本情報

組織の検索

該当なし

アプリケーション・インスタンス基本情報

組織の表示

該当なし

権限基本情報

組織の作成

直接

ロール基本情報

組織の変更

直接


組織の削除

直接


管理ロールのすべてのロール管理権限

直接


組織階層の更新(特定の組織に対して)

直接


パスワード・ポリシーの関連付け

直接


メンバーの表示

該当なし


公開されたロールの表示

該当なし


公開されたアプリケーション・インスタンスの表示

該当なし


公開された権限の表示

該当なし


アカウントの表示(組織にプロビジョニングされたもの)

注意: 組織へのリソースのプロビジョニングは、システム管理者のみに許可されます。

該当なし

権限管理者

注意: 権限管理者の管理ロールは、その組織スコープ内の権限のライフサイクルを管理するだけで、ユーザーに対して権限の付与または失効を行う権限は持ちません。権限管理者がこの機能を必要とする場合は、権限ビューア管理ロール(リクエストの承認が必要な場合)、または権限認可者管理ロール(リクエストの承認が不要な場合)を、この機能を必要とする組織スコープ内で割り当てます。

ユーザー基本情報

権限の検索

該当なし

アプリケーション・インスタンス基本情報

権限の表示

該当なし

組織基本情報

権限の追加(API)

直接


権限の削除(API)

直接


権限の更新(API)

直接


権限の公開(許可された組織に対してのみ)

直接


権限の非公開(許可された組織からのみ)

直接


組織の表示

該当なし


ユーザーの表示

該当なし


アプリケーション・インスタンスの表示

該当なし


アカウントの表示

該当なし


権限メンバーの表示

該当なし


組織データ・セキュリティが適用される、公開された権限の表示(API)

該当なし

カタログ・システム管理者

アプリケーション・インスタンス基本情報

カタログ・メタデータの編集

直接

権限基本情報

リクエスト・プロファイルの作成

直接

ロール基本情報

リクエスト・プロファイルの編集

直接


リクエスト・プロファイルの削除

直接


アプリケーション・インスタンスの表示

該当なし


権限の表示

該当なし


ロールの表示

該当なし

ロール認可者

ユーザー基本情報

ロールの表示

該当なし

組織基本情報

ロールの付与

直接


ロールの失効

直接


組織の表示

該当なし


ユーザーの表示

該当なし


ロール・メンバーシップの表示

該当なし

アプリケーション・インスタンス認可者

ユーザー基本情報

アプリケーション・インスタンスの検索

該当なし

組織基本情報

アプリケーション・インスタンスの表示(パスワードを除く)

該当なし


アカウントの付与

直接


アカウントの失効

直接


アカウントの変更

直接


アカウントの有効化

直接


アカウントの無効化

直接


組織の表示

該当なし


権限の表示

該当なし


ユーザーの表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

権限認可者

ユーザー基本情報

権限の検索

該当なし

組織基本情報

権限の表示

該当なし

アプリケーション・インスタンス基本情報

権限の付与

直接


権限の失効

直接


ユーザーの表示

該当なし


組織の表示

該当なし


アプリケーション・インスタンスの表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

表3-2に、Oracle Identity Managerの管理ロールと、その管理ロールで許可された対応する権限を示します。これらの管理ロールは、最上位の組織により割り当てられます。


注意:

「システム管理者」管理ロールは、表3-2にはリストされていません。「システム管理者」管理ロールには、すべての操作に対するグローバル権限があります。

表3-2 グローバル管理ロールとグローバル権限

Oracle Identity Managerでの管理ロール 暗黙的な権限 明示的な権限 リクエストまたは直接的な操作

カタログ・システム管理者

アプリケーション・インスタンス基本情報

カタログ・メタデータの編集

直接

権限基本情報

リクエスト・プロファイルの作成

直接

ロール基本情報

リクエスト・プロファイルの編集

直接


リクエスト・プロファイルの削除

直接


アプリケーション・インスタンスの表示

該当なし


ViewRentitlements

該当なし


ロールの表示

該当なし

システム構成管理者

ロール基本情報

フォームの表示

該当なし

組織基本情報

フォームの作成

該当なし

アプリケーション・インスタンス基本情報

フォームの変更

該当なし

権限基本情報

フォームの削除

該当なし


コネクタのインポート

該当なし


コネクタのエクスポート

該当なし


リソース・オブジェクトの表示

該当なし


リソース・オブジェクトの作成

該当なし


リソース・オブジェクトの変更

該当なし


リソース・オブジェクトの削除

該当なし


アプリケーション・インスタンスの表示

該当なし


アプリケーション・インスタンスの作成

該当なし


アプリケーション・インスタンスの変更

該当なし


アプリケーション・インスタンスの削除

該当なし


アプリケーション・インスタンスの公開

該当なし


権限の表示

該当なし


権限の公開

該当なし


権限の削除

(APIの使用)

該当なし


権限の変更

(APIの使用)

該当なし


権限の追加

(APIの使用)

該当なし


承認ポリシーの表示

該当なし


承認ポリシーの作成

該当なし


承認ポリシーの変更

該当なし


承認ポリシーの削除

該当なし


拡張UIへのアクセス

該当なし


パスワード・ポリシーの表示

該当なし


パスワード・ポリシーの作成

該当なし


パスワード・ポリシーの変更

該当なし


パスワード・ポリシーの削除

該当なし


通知の表示

該当なし


通知の作成

該当なし


通知の削除

該当なし


通知の変更

該当なし


通知へのロケールの追加

該当なし


通知へのロケールの削除

該当なし


非同期イベント・ハンドラの完了

該当なし


編成操作

該当なし


プラグインの登録

該当なし


プラグインの登録解除

該当なし


スケジュール済ジョブの表示

該当なし


スケジュール済ジョブの検索


スケジューラの起動

該当なし


スケジューラの停止

該当なし


タスクの追加

該当なし


タスクの編集

該当なし


タスクの削除

該当なし


トリガーの作成

該当なし


トリガーの削除

該当なし


トリガーの変更

該当なし


ジョブの表示

該当なし


ジョブの作成

該当なし


ジョブの変更

該当なし


ジョブの削除

該当なし


ジョブの有効化

該当なし


ジョブの無効化

該当なし


ジョブの即時実行

該当なし


ジョブの一時停止

該当なし


ジョブの再開

該当なし


ジョブの停止

該当なし


ステータスのリセット

該当なし


システム・プロパティの表示

該当なし


システム・プロパティの作成

該当なし


システム・プロパティの変更

該当なし


システム・プロパティの削除

該当なし


属性の表示

該当なし


属性の追加

該当なし


属性の変更

該当なし


属性の削除

該当なし


導出属性の追加

該当なし

SPML管理者

ユーザーの作成、変更および削除

リクエスト


すべての属性でのユーザーの検索

該当なし


ユーザー・ステータスの有効化

リクエスト


ユーザー・ステータスの無効化

リクエスト


ロール・メンバーシップの追加

リクエスト


ロール・メンバーシップの削除

リクエスト


すべての属性でのロールの検索

該当なし


ロールの作成、変更および削除

リクエスト

証明管理者

証明ビューア

プロキシ・ユーザーの表示

該当なし

ユーザー基本情報

ViewUser管理ロール

該当なし

ロール基本情報

ユーザー権限の表示

該当なし

組織基本情報

リクエストの表示

該当なし

アプリケーション・インスタンス基本情報

ユーザー・アカウントの表示

該当なし

権限基本情報

ユーザー・ロールの表示

該当なし


証明構成の表示

該当なし


証明構成の更新

該当なし


証明の更新

該当なし


拡張UIへのアクセス

該当なし


スケジュール済ジョブの表示

該当なし


スケジュール済ジョブの検索

該当なし


スケジューラの起動

該当なし


スケジューラの停止

該当なし


タスクの追加

該当なし


タスクの編集

該当なし


タスクの削除

該当なし


トリガーの作成

該当なし


トリガーの削除

該当なし


トリガーの変更

該当なし


ジョブの表示

該当なし


ジョブの作成

該当なし


ジョブの変更

該当なし


ジョブの削除

該当なし


ジョブの有効化

該当なし


ジョブの無効化

該当なし


ジョブの即時実行

該当なし


ジョブの一時停止

該当なし


ジョブの再開

該当なし


ジョブの停止

該当なし

証明ビューア

注意: 「証明書ビューア」管理ロールに明示的に付与される権限は、「証明の表示」のみです。その他のエンティティを表示する権限は、証明で参照されるエンティティに動的に付与され、スコープされます。

証明の表示

該当なし


注意:

Oracle Identity Managerの次の権限は、OESポリシーでは制御されません。

  • アクセス・ポリシーの作成/更新/削除

  • 参照の追加/変更/削除

  • デプロイメント・マネージャを使用したインポート/エクスポート

  • アテステーション管理

3.1.2 ユーザー属性に対する属性レベルのセキュリティ

Oracle Identity Managerは、ユーザー属性に対してのみ、属性レベルのセキュリティをサポートします。他のすべてのエンティティのセキュリティは、エンティティ-インスタンス・レベルでサポートされます。

Oracle Identity Managerには、デフォルトのユーザー・ビューア、ユーザー管理者およびユーザー・ヘルプ・デスク管理ロールとともに、OESの対応するデフォルトの認可ポリシーが含まれています。デフォルトのポリシーでは、ユーザー・ビューアおよびユーザー管理者は、ユーザー定義フィールド(UDF)として追加される属性を含むすべてのユーザー属性を表示および変更できます(デフォルト・ポリシーの変更は必要ありません)。

ユーザー・ビューア・ポリシーには、ポリシーのデフォルト制約セットのdeniedattributes責任と、デフォルトでその属性のNULLリストが含まれています。したがって、ユーザー・ビューア・ロールに属しているすべてのユーザーは、デフォルトで、すべてのユーザー属性の表示を許可されます。

ユーザー管理者ポリシーには、ポリシーのデフォルト制約セットのdeniedattributes責任と、属性のNULLリストが含まれており、ユーザー管理者ロールに属しているすべてのユーザーは、デフォルトで、すべてのユーザー属性の表示および変更を許可されます。ユーザー・ヘルプ・デスク・ポリシーには、ポリシーのデフォルト制約セットのdeniedattributes責任と、属性のNULLリストが含まれています。

新しいUDFを追加した場合に、ユーザー・ビューア・ポリシーを変更する必要はありません。これは、このポリシーにデフォルト制約セットがdeniedattributesとして存在し、デフォルトでその属性のNULLリストが含まれているためです。これによって、自動的に、ユーザー・ビューア・ロールに属するユーザーはUDFを表示可能になります。すべての属性が表示および変更可能なこの制約によって、ユーザー管理者ロールに属するユーザーは自動的にこれらのUDFを表示および変更可能になるため、ユーザー管理者ポリシーを変更する必要はありません。

特定の属性の表示または変更を制限する場合にのみ、OESでポリシーを変更してその属性を拒否リストに含めることができます。ユーザー・ビューア・ロールで表示される属性のリストを制限する場合、またはユーザー管理者ロールで表示および変更される属性のリストを制限する場合は、OESのAPM UIでそれぞれのポリシーを開き、ポリシーの拒否属性リストで制限される属性のリストを含めます。たとえば、Salaryユーザー属性を、ユーザー管理者ロールのみが使用できるように制限し、ユーザー・ビューア・ロールを対象外とする場合は、APM UIを使用してユーザー・ビューア・ロールを変更し、Salary属性を拒否リストに含めます。Oracle Identity Managerがユーザー・ビューア・ロールの属性リストを提供するためにOESに問い合せると、OESはすべてのユーザー属性を提供しますが、拒否リストに指定された属性は除外されます(この例ではSalary属性です)。ユーザー管理者ロールに属するユーザーが表示および変更するSalary情報は「すべての属性の表示および変更」によって戻されるため、ここでは、ユーザー管理ポリシーの変更は必要ありません。

拒否される属性を変更するには、APM UIで必要なOESポリシーを開きます。この例では、図3-2に示すように、ユーザー・ビューア管理ロールに関して、表示-検索ユーザーに権限を付与するOrclOIMUserViewerDirectWithObligationPolicyという名前のOESポリシーを開きます。

図3-2 OrclOIMUserViewerDirectWithObligationPolicy

図3-2の説明が続きます
「図3-2 OrclOIMUserViewerDirectWithObligationPolicy」の説明

編集モードでOrclOIMDeniedAttributesDirect属性をクリックして、図3-3に示すように、拒否する属性をカンマで区切って指定します。

図3-3 「責任属性の編集」ダイアログ・ボックス

図3-3の説明が続きます
「図3-3 「責任属性の編集」ダイアログ・ボックス」の説明

3.1.2.1 ポリシー評価用の属性を渡すためのプラグインの使用

oracle.iam.platform.authopss.plugin.AttributeResolverプラグイン・ポイントを使用して、OESにポリシー評価用の属性を渡すことができます。ポリシー(条件)で使用する新しい属性を追加するには、次のメソッドを使用して、マップに属性を追加する必要があります。

ログイン・ユーザーが作業中のターゲット・エンティティの属性を解決するには、次のようにします。

public Map<String, Object> resolveResourceAttributes(String subjectId, PolicyConstants.Resources resourceType, String resourceId) throws Exception;

ログイン・ユーザーに関する属性を解決するには、次のようにします。

public Map<String, Object> resolveSubjectAttributes(String subjectId, Policy Constants.Resources resourceType) throws Exception;

プラグインの開発および使用の詳細は、第27章「プラグインの開発」を参照してください。

3.1.3 ポリシーの責任

ユーザーに、同じ状況で異なる認可ポリシーが適用可能な複数のロールがある場合、そのユーザーのアクセス権はポリシー間の権限の累積になります。たとえば、ユーザー検索の権限の認可チェックでは、責任のリストが戻されます。これは、適用可能な各認可ポリシーからの責任のリストです。複数のポリシーからの責任が組み合されて、統合された検索結果が生成されます。

次のタイプの責任が、複数の認可ポリシーの結果として戻されます。

  • OrclOIMOrgScopingDirect: 目的ベースの検索用に、特定のエンティティを検索する場合に使用されます。これは、表示-検索の場合にのみサポートされます。

  • OrclOIMOrgScopingWithHierarchy: 管理ロールの組織スコープ指定の階層を考慮して、下位階層のエンティティを検索できます。適用可能な場合に、ユーザーは、適切な管理ロールを持つ組織とそのサブ組織に対して、承認なしでユーザー・プロファイルの表示および変更を実行できます。これは、「階層対応」データ制約によって制御されます。

  • OrclOIMNeedApproval: この責任は、認可ポリシーを適用可能かどうか、操作に承認が必要かどうかを定義します。このフラグの値がtrueの場合、リクエストが作成されます。値がfalseの場合、それは直接的な操作です。

  • OrclOIMUserManagementScoping: ユーザーの管理チェーンで検索する検索基準の作成に使用されます。

  • OrclOIMDeniedAttributesWithoutApproval: これは、リクエストの承認なしで変更が拒否されるユーザー属性に対する責任を定義します。

  • OrclOIMDeniedAttributesDirect: 直接的な操作としてユーザーの表示操作が拒否されるユーザー属性に対する責任を定義します。

  • OrclOIMDeniedAttributesWithApproval: これは、リクエストの承認ありで変更が拒否されるユーザー属性に対する責任を定義します。

次に、複数の認可ポリシーの結果として戻されるポリシー責任の例を示します。

  • 組織のロール・ビューア管理ロールを持つユーザーの場合、ユーザーにロールを付与するには承認が必要です。ロール・ビューアでは、OrgScopingWithHierarchyポリシー責任の結果として、階層を持つこの組織内のすべてのユーザーを表示できます。同じ組織で、ロール認可者管理ロールを持つユーザーの場合、ユーザーにロールを付与する操作は直接的な操作となります。

  • 同じ組織スコープで、ユーザーに対して、2つの管理ロールが割り当てられているとします(ユーザー・ビューアおよびユーザー管理者)。このユーザーがあるユーザーの変更を試みると、最初の管理ロール・ポリシーは承認が必要と戻し、他のポリシーは承認が不要と戻します。結果として、リクエストは発生せず、2つの承認必須の責任が累積した影響で、承認は不要になります。

  • OrgScopingDirectポリシー責任の結果、ロール認可者管理ロールを持つユーザーは、組織のすべてのユーザーを表示できます。ロール認可者管理ロールを持つ同じユーザーは、DeniedAttributesWithApprovalポリシー責任によっていくつかの属性変更が拒否され、その結果、それらの属性がこのユーザーに表示されなくなる可能性があります。

  • 1人のユーザーが、Org1ではロール・ビューアであり、Org2ではロール認可者であるとします。このユーザーがロールを検索すると、policy1から戻される責任は、「OrgScopingDirect = org1」および「OrgScopingDirect = org2」となります。したがって、両方の組織からロールが戻されます。

3.2 機能およびデータ・セキュリティのマッピング

表3-3に、管理ロールと、それに対応するアプリケーション・ロール、デフォルトの認可ポリシーおよびポリシー責任を示します。

表3-3 デフォルトの認可ポリシー

Oracle Identity Managerでの管理ロール OESのアプリケーション・ロール ポリシー名 説明 責任

認証済ロール

authenticated-role

ロール・カテゴリ表示ポリシー

このポリシーは、認証済ユーザーがロール・カテゴリを表示できるかどうかを制御します。

ロール管理者

OIMロール管理者

OIMロール・カテゴリ・ロール管理ポリシー

このポリシーは、ロール管理者の管理ロールによるロール・カテゴリの作成、変更および削除を制御します。

カタログ管理者

OIMカタログ管理者ロール

カタログ管理ポリシー

カタログ管理者はグローバル管理ロールです。カタログ管理者は、カタログ項目およびそのメタデータを管理します。このポリシーは、ロールのメンバーが実行できるアクションを指定します。

組織.管理者

OIM組織管理者

組織管理ポリシー

このポリシーは、組織管理者が実行できるアクションを指定します。このポリシーは、承認を必要とするように構成することもできます。

OrclOIMOrgScopingWithHierarchy=OrclOIMOrganizationAdminOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMOrganizationAdminOrgsDirect

組織.管理者

OIM組織管理者

OIM組織管理者基本情報アプリケーション・インスタンス直接ポリシー

このポリシーは、組織管理者によるアプリケーション・インスタンスに対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMOrganizationAdminOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMOrganizationAdminOrgsWithHierarchy

組織.管理者

OIM組織管理者

OIM組織管理者基本情報ITリソース権限直接ポリシー

このポリシーは、組織管理者による権限に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMOrganizationAdminOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMOrganizationAdminOrgsDirect

組織.管理者

OIM組織管理者

OIM組織管理者基本情報ロール直接ポリシー

このポリシーは、組織管理者によるロールに対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMOrganizationAdminOrgsWithHierarchy

OrclOIMOrgScopingDirect Attribute=OrclOIMOrganizationAdminOrgsDirect

組織.管理者

OIM組織管理者

OIM組織管理者基本情報ユーザー直接(属性利用)ポリシー

このポリシーは、組織管理者によるユーザーおよびユーザー属性に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMOrganizationAdminOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMOrganizationAdminOrgsWithHierarchy

OrclOIMDeniedAttributesDirect=

組織ビューア

OIM組織ビューア

表示アクション用組織ビューア・ポリシー

組織ビューアは、組織のスコープが指定された管理ロールです。このポリシーは、このロールのメンバーが実行できる、承認を必要としないアクションを指定します。デフォルトでは、このポリシーは、一部の表示アクションが承認を必要としないことを指定します。

OrclOIMOrgScopingDirect=OrclOIMOrganizationViewerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMOrganizationViewerOrgsWithHierarchy

組織ビューア

OIM組織ビューア

OIM組織ビューア基本情報アプリケーション・インスタンス直接ポリシー

このポリシーは、組織ビューアによるアプリケーション・インスタンスに対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMOrganizationViewerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMOrganizationViewerOrgsWithHierarchy

組織ビューア

OIM組織ビューア

OIM組織ビューア基本情報ITリソース権限直接ポリシー

このポリシーは、組織ビューアによる権限に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMOrganizationViewerOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMOrganizationViewerOrgsDirect

組織ビューア

OIM組織ビューア

OIM組織ビューア基本情報ロール直接ポリシー

このポリシーは、組織ビューアによるロールに対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMOrganizationViewerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMOrganizationViewerOrgsWithHierarchy

組織ビューア

OIM組織ビューア

OIM組織ビューア基本情報ユーザー直接(属性利用)ポリシー

このポリシーは、組織ビューアによるユーザーおよびユーザー属性に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMOrganizationViewerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMOrganizationViewerOrgsWithHierarchy

OrclOIMDeniedAttributesDirect=

アプリケーション・インスタンス管理者

OIMアプリケーション・インスタンス管理者ロール

アプリケーション・インスタンス管理者ポリシー

アプリケーション・インスタンス管理者の管理ロールは、組織のスコープが指定されたロールです。このポリシーは、ロールのメンバーが実行できるアクションと、そのアクションに承認が必要かどうかを制御します。

OrclOIMOrgScopingDirect=OrclOIMApplicationInstanceAdminOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMApplicationInstanceAdminOrgsWithHierarchy

アプリケーション・インスタンス管理者

OIMアプリケーション・インスタンス管理者ロール

OIMアプリケーション・インスタンス管理者基本情報ユーザー直接(属性利用)ポリシー

このポリシーは、アプリケーション・インスタンス管理者によるユーザーおよびユーザー属性に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMApplicationInstanceAdminOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMApplicationInstanceAdminOrgsDirect

OrclOIMDeniedAttributesDirect=

アプリケーション・インスタンス管理者

OIMアプリケーション・インスタンス管理者ロール

OIMアプリケーション・インスタンス管理者基本情報組織直接ポリシー

このポリシーは、アプリケーション・インスタンス管理者による組織に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMApplicationInstanceAdminOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMApplicationInstanceAdminOrgsWithHierarchy

アプリケーション・インスタンス認可者

OIMアプリケーション・インスタンス認可者ロール

アプリケーション・インスタンス認可者ポリシー

アプリケーション・インスタンス認可者は、Oracle Identity Managerの管理ロールです。アプリケーション・インスタンス認可者は、承認を必要とせずにユーザー・アカウントに対してアプリケーション・インスタンスを付与、取消し、または変更できます。このポリシーは、アプリケーション・インスタンス認可者が、アプリケーション・インスタンスおよびアプリケーション・インスタンス属性を表示または検索できるかどうかを制御します。

OrclOIMOrgScopingWithHierarchy=OrclOIMApplicationInstanceAuthorizerOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMApplicationInstanceAuthorizerOrgsDirect

アプリケーション・インスタンス認可者

OIMアプリケーション・インスタンス認可者ロール

アプリケーション・インスタンス認可者ポリシー

アプリケーション・インスタンス認可者は、承認を必要とせずにユーザー・アカウントに対してアプリケーション・インスタンスを付与、取消し、または変更できます。このポリシーは、アプリケーション・インスタンス認可者が、アプリケーション・インスタンスおよびアプリケーション・インスタンス属性を表示または検索できるかどうかを制御します。

OrclOIMOrgScopingWithHierarchy=OrclOIMApplicationInstanceAuthorizerOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMApplicationInstanceAuthorizerOrgsDirect

OrclOIMNeedApproval=false

アプリケーション・インスタンス認可者

OIMアプリケーション・インスタンス認可者ロール

OIMアプリケーション・インスタンス認可者基本情報ユーザー直接(属性利用)ポリシー

このポリシーは、アプリケーション・インスタンス認可者によるユーザーおよびユーザー属性に対する直接表示および検索権限を指定します。

OrclOIMDeniedAttributesDirect=

OrclOIMOrgScopingWithHierarchy=OrclOIMApplicationInstanceAuthorizerOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMApplicationInstanceAuthorizerOrgsDirect

アプリケーション・インスタンス認可者

OIMアプリケーション・インスタンス認可者ロール

OIMアプリケーション・インスタンス認可者基本情報組織直接ポリシー

このポリシーは、アプリケーション・インスタンス認可者による組織に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMApplicationInstanceAuthorizerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMApplicationInstanceAuthorizerOrgsWithHierarchy

アプリケーション・インスタンス・ビューア

OIMアプリケーション・インスタンス・ビューア・ロール

OIMアプリケーション・インスタンス・ビューア直接ポリシー

このポリシーは、アプリケーション・インスタンス・ビューアが直接実行できる操作を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMApplicationInstanceViewerOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMApplicationInstanceViewerOrgsDirect

アプリケーション・インスタンス・ビューア

OIMアプリケーション・インスタンス・ビューア・ロール

リクエスト・アクション用アプリケーション・インスタンス・ビューア・ポリシー

アプリケーション・インスタンス・ビューア管理ロールは、組織のスコープが指定されたロールです。このポリシーは、ロールのメンバーが実行できるアクションと、そのアクションに承認が必要かどうかを制御します。

OrclOIMOrgScopingDirect=OrclOIMApplicationInstanceViewerOrgsDirect

OrclOIMNeedApproval=true

OrclOIMOrgScopingWithHierarchy=OrclOIMApplicationInstanceViewerOrgsWithHierarchy

アプリケーション・インスタンス・ビューア

OIMアプリケーション・インスタンス・ビューア・ロール

OIMアプリケーション・インスタンス・ビューア基本情報ITリソース権限直接ポリシー

このポリシーは、アプリケーション・インスタンス・ビューアによる権限に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMApplicationInstanceViewerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMApplicationInstanceViewerOrgsWithHierarchy

アプリケーション・インスタンス・ビューア

OIMアプリケーション・インスタンス・ビューア・ロール

OIMアプリケーション・インスタンス・ビューア基本情報ユーザー直接(属性利用)ポリシー

このポリシーは、アプリケーション・インスタンス・ビューアによるユーザーおよびユーザー属性に対する直接表示および検索権限を指定します。

OrclOIMDeniedAttributesDirect=

OrclOIMOrgScopingWithHierarchy=OrclOIMApplicationInstanceViewerOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMApplicationInstanceViewerOrgsDirect

アプリケーション・インスタンス・ビューア

OIMアプリケーション・インスタンス・ビューア・ロール

OIMアプリケーション・インスタンス・ビューア基本情報組織直接ポリシー

このポリシーは、アプリケーション・インスタンス・ビューアによる組織に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMApplicationInstanceViewerOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMApplicationInstanceViewerOrgsDirect

認証済ロール

authenticated-role

アプリケーション・インスタンス用ホーム組織ポリシー

このポリシーは、ユーザーのホーム組織に公開済のアプリケーション・インスタンスおよびアプリケーション・インスタンス属性を暗黙的に表示することをそのユーザーに許可します。

OrclOIMOrgScopingDirect=OrclOIMUserHomeOrgs

認証済ロール

authenticated-role

ホーム組織用アプリケーション・インスタンス・ポリシー

このポリシーは、ユーザーのホーム組織内のアカウントに対してユーザーが実行できるアクションと、そのアクションに承認が必要かどうかを制御します。デフォルトでは、同じホーム組織内のアカウントに対する非ユーザー管理者によるアクションには承認が必要です。

OrclOIMOrgScopingDirect=OrclOIMUserHomeOrgs

OrclOIMNeedApproval=true

システム構成管理者

OIMシステム構成者

パスワード・ポリシー管理ポリシー

このポリシーは、システム管理者またはシステム構成管理者のメンバーが実行できるパスワード・ポリシー管理アクションを制御します。

組織.管理者

OIM組織管理者

OIMパスワード・ポリシー組織管理表示検索ポリシー

このポリシーは、組織管理者によるパスワード・ポリシーに対する表示および検索権限を指定します。

権限管理者

OIM権限管理者

権限管理アクション用権限管理者ポリシー

権限管理者は、Oracle Identity Managerの組織のスコープが指定された管理ロールです。このポリシーは、承認を必要とせずにこのロールのメンバーが実行できるアクションを制御します。

OrclOIMOrgScopingDirect=OrclOIMEntitlementAdminOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementAdminOrgsWithHierarchy

権限管理者

OIM権限管理者

OIM権限管理者基本情報アプリケーション・インスタンス直接ポリシー

このポリシーは、権限管理者によるアプリケーション・インスタンスに対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementAdminOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMEntitlementAdminOrgsDirect

権限管理者

OIM権限管理者

OIM権限管理者基本情報ユーザー直接(属性利用)ポリシー

このポリシーは、権限管理者によるユーザーおよびユーザー属性に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementAdminOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMEntitlementAdminOrgsDirect

OrclOIMDeniedAttributesDirect=

権限管理者

OIM権限管理者

OIM権限管理者基本情報組織直接ポリシー

このポリシーは、権限管理者による組織に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementAdminOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMEntitlementAdminOrgsDirect

権限認可者

OIM権限認可者

表示アクション用権限認可者ポリシー

権限認可者は、Oracle Identity Managerの管理ロールです。権限認可者は、承認を必要とせずにユーザー・アカウントに対して権限を付与、取消し、または変更できます。このポリシーは、権限認可者が、権限および権限属性を表示または検索できるかどうかを制御します。

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementAuthorizerOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMEntitlementAuthorizerOrgsDirect

権限認可者

OIM権限認可者

リクエスト・アクション用権限認可者ポリシー

権限認可者は、承認を必要とせずにユーザー・アカウントに対して権限を付与、取消し、または変更できます。このポリシーは、リクエストの一部として権限認可者が実行できるアクションを制御します。このポリシーは、権限認可者によって実行される特定のアクションが、直接であるか、リクエストを介したものであるかを判別するためにリクエスト・エンジンによって使用されます。

OrclOIMOrgScopingDirect=OrclOIMEntitlementAuthorizerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementAuthorizerOrgsWithHierarchy

OrclOIMNeedApproval=false

権限認可者

OIM権限認可者

OIM権限認可者基本情報アプリケーション・インスタンス直接ポリシー

このポリシーは、権限認可者によるアプリケーション・インスタンスに対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMEntitlementAuthorizerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementAuthorizerOrgsWithHierarchy

権限認可者

OIM権限認可者

OIM権限認可者基本情報ユーザー直接(属性利用)ポリシー

このポリシーは、権限認可者によるユーザーおよびユーザー属性に対する直接表示および検索権限を指定します。

OrclOIMDeniedAttributesDirect=

OrclOIMOrgScopingDirect=OrclOIMEntitlementAuthorizerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementAuthorizerOrgsWithHierarchy

権限認可者

OIM権限認可者

OIM権限認可者基本情報組織直接ポリシー

このポリシーは、権限認可者による組織に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMEntitlementAuthorizerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementAuthorizerOrgsWithHierarchy

権限ビューア

OIM権限ビューア

表示アクション用権限ビューア・ポリシー

権限ビューアは、Oracle Identity Managerの組織のスコープが指定された管理ロールです。このポリシーは、承認を必要とせずに権限ビューアが権限を検索し、その属性を表示できるかどうかを指定します。デフォルトでは、承認は必要ありません。

OrclOIMOrgScopingDirect=OrclOIMEntitlementViewerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementViewerOrgsWithHierarchy

権限ビューア

OIM権限ビューア

リクエスト・アクション用OIM権限ビューア・ポリシー

このポリシーは、組織のスコープが指定されたポリシーであり、ロールのメンバーが、その組織に公開済の権限の付与、取消し、および変更をリクエストすることを許可します。権限ビューアによる権限の付与または取消しはリクエストになります。

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementViewerOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMEntitlementViewerOrgsDirect

OrclOIMNeedApproval=true

権限ビューア

OIM権限ビューア

OIM権限ビューア基本情報アプリケーション・インスタンス直接ポリシー

このポリシーは、権限ビューアによるアプリケーション・インスタンスに対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMEntitlementViewerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementViewerOrgsWithHierarchy

権限ビューア

OIM権限ビューア

OIM権限ビューア基本情報ユーザー直接(属性利用)ポリシー

このポリシーは、権限ビューアによるユーザーおよびユーザー属性に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementViewerOrgsWithHierarchy

OrclOIMDeniedAttributesDirect=

OrclOIMOrgScopingDirect=OrclOIMEntitlementViewerOrgsDirect

権限ビューア

OIM権限ビューア

OIM権限ビューア基本情報組織直接ポリシー

このポリシーは、権限ビューアによる組織に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMEntitlementViewerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMEntitlementViewerOrgsWithHierarchy

認証済ロール

authenticated-role

権限表示用ホーム組織ポリシー

このポリシーは、ユーザーのホーム組織に公開済の権限および権限属性を暗黙的に表示することをそのユーザーに許可します。

OrclOIMOrgScopingDirect =OrclOIMUserHomeOrgs

認証済ロール

authenticated-role

権限に対するアクション用のホーム組織ポリシー

このポリシーは、同じホーム組織内の別のユーザーにプロビジョニングされた権限に対してユーザーが実行できるアクションと、そのアクションに承認が必要かどうかを指定します。デフォルトでは、承認が必要です。

OrclOIMNeedApproval=true

OrclOIMOrgScopingDirect=OrclOIMUserHomeOrgs

カタログ管理者

OIMカタログ管理者ロール

リクエスト・プロファイル管理ポリシー

このポリシーは、リクエスト・プロファイルを管理しているときにカタログ管理者ロールのメンバーが実行できるアクションを制御します。

認証済ロール

authenticated-role

OIMリクエスト・プロファイルのすべてのユーザーの表示検索ポリシー

このポリシーは、すべてのユーザーによるリクエスト・カタログに対する表示および検索権限を制御します。

システム構成管理者

OIMシステム構成者

OIM承認ポリシー管理者ポリシー

このポリシーは、システム構成管理者による承認ポリシー管理の権限を制御します。

システム構成管理者

OIMシステム構成者

診断ダッシュボード管理者ポリシー

診断ダッシュボードは、Oracle Identity Managerの診断ユーティリティです。このポリシーは、診断ダッシュボードにアクセスできるユーザーと、そのユーザーが実行できるアクションを指定します。

システム構成管理者

OIMシステム構成者

OIMリソース・オブジェクト管理ポリシー

このポリシーは、システム構成管理者によるリソース・オブジェクト管理の権限を制御します。

システム構成管理者

OIMシステム構成者

通知管理者ポリシー

このポリシーは、通知管理者が実行できるアクションを指定します。

システム構成管理者

OIMシステム構成者

OIMプラットフォーム・サービス管理者ポリシー

このポリシーは、プラットフォーム・サービス管理者が実行できるアクションを指定します。

システム構成管理者

OIMシステム構成者

プラグイン管理者ポリシー

このポリシーは、プラグインを登録および登録解除できるユーザーを制御します。デフォルトでは、システム管理者およびシステム構成管理者管理ロールのメンバーのみが、プラグインを登録および登録解除できます。

システム構成管理者

OIMシステム構成者

システム管理コンソール用システム構成者ポリシー

このポリシーは、システム構成管理者管理ロールのメンバーが、Oracle Identity System Administrationにアクセスできるかどうかを制御します。

アプリケーション・インスタンス管理者

OIMアプリケーション・インスタンス管理者

OIM UIアプリケーション・インスタンス管理者ポリシー

このポリシーは、アプリケーション・インスタンス管理者がそのUIで実行できるアクションを指定します。

権限管理者

OIM権限管理者

OIM UI権限管理者ポリシー

このポリシーは、権限管理者がそのUIで実行できるアクションを指定します。

アプリケーション・インスタンス管理者

システム構成管理者

OIMアプリケーション・インスタンス管理者

OIMシステム構成者

リクエスト・データセット・ポリシー

このポリシーは、システム構成管理者ロールのメンバーがリクエスト・データセットに対して実行できるアクションを制御するために使用されます。

OrclOIMOrgScopingDirect=OrclOIMSystemConfiguratorOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMSystemConfiguratorOrgsWithHierarchy

システム構成管理者

OIMシステム構成者

リコンシリエーション管理者ポリシー

リコンシリエーション管理者は、リコンシリエーション・イベントに対してアクションを実行できます。このポリシーは、リコンシリエーション管理者が実行できるアクションを制御します。

システム構成管理者

OIMシステム構成者

OIMスケジューラ管理者ポリシー

スケジューラ管理者は、スケジュール済タスクに対してアクションを実行できます。このポリシーは、スケジューラ管理者が実行できるアクションを制御します。

システム構成管理者

OIMシステム構成者

システム・プロパティ管理ポリシー

このポリシーは、アクションを指定し、Oracle Identity Managerシステム・プロパティの管理の一部として誰がそれを実行できるのかを決定します。デフォルト動作では、システム構成管理者のみがシステム・プロパティを管理できます。

システム構成管理者

OIMシステム構成者

OIMユーザー管理構成管理者ポリシー

このポリシーは、システム構成管理者ロールのメンバーが使用できるユーザー構成機能を制御します。

認証済ロール

authenticated-role

組織用ホーム組織ポリシー

このポリシーは、ユーザーのホーム組織に公開済のアプリケーション・インスタンス、アカウント、権限と権限属性、およびユーザーを暗黙的に表示することをそのユーザーに許可します。

OrclOIMOrgScopingDirect=OrclOIMUserHomeOrgs

OrclOIMNeedApproval=true

ユーザー管理者

OIMユーザー管理

ユーザー変更用ユーザー管理ポリシー

ユーザー管理は、組織のスコープが指定された管理ロールです。このロールのメンバーはユーザーを管理し、そのアクションに承認は必要ありません。このポリシーは、ユーザー管理者がユーザー属性を変更できるかどうかと、変更できない属性、および変更に承認が必要かどうかを指定します。デフォルトでは、このロールのメンバーはすべてのユーザー属性を変更でき、そのアクションに承認は必要ありません。

OrclOIMDeniedAttributesWithoutApproval=

OrclOIMNeedApproval=false

OrclOIMOrgScopingDirect=OrclOIMUserAdminOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMUserAdminOrgsWithHierarchy

ユーザー管理者

OIMユーザー管理

管理アクション用ユーザー管理者ポリシー

ユーザー管理者は、組織のスコープが指定された管理ロールです。このロールのメンバーは、承認を必要とせずに、組織のスコープ内のユーザーに対してアクションを実行できます。このポリシーは、表示アクション以外のすてのアクションに適用されます。それによって、有効化されたアクションに対して承認が必要ないことを示す責任が返されます。

OrclOIMNeedApproval=false

OrclOIMOrgScopingWithHierarchy=OrclOIMUserAdminOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMUserAdminOrgsDirect

ユーザー管理者

OIMユーザー管理

OIMユーザー管理ポリシー直接(属性利用)

このポリシーは、ユーザー管理者がユーザーおよびユーザー属性に対して実行できる直接アクションを制御します。

OrclOIMDeniedAttributesDirect=

OrclOIMOrgScopingWithHierarchy=OrclOIMUserAdminOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMUserAdminOrgsDirect

ユーザー管理者

OIMユーザー管理

リクエスト不能アクション用ユーザー管理ポリシー

ユーザー管理者は、組織のスコープが指定された管理ロールです。このロールのメンバーはユーザーを管理し、そのアクションに承認は必要ありません。このポリシーは、このロールのメンバーがユーザーに対して実行できる、承認を必要としないアクションを指定します。

OrclOIMOrgScopingDirect=OrclOIMUserAdminOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMUserAdminOrgsWithHierarchy

ユーザー・ヘルプ・デスク

OIMユーザー・パスワード管理

ユーザー・ステータス管理用ヘルプ・デスク・ポリシー

このポリシーは、ユーザーのアカウント・ステータスの管理の一部としてユーザー・ヘルプ・デスク管理ロールのメンバーが実行できるアクションと、そのアクションに承認が必要かどうかを制御します。デフォルトでは、このロールのメンバーは、承認を必要とせずにユーザーのステータスを有効化または無効化できます。

OrclOIMOrgScopingWithHierarchy=OrclOIMUserHelpDeskOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMUserHelpDeskOrgsDirect

OrclOIMNeedApproval=true

ユーザー・ヘルプ・デスク

OIMユーザー・パスワード管理

ユーザー・アカウントの変更用OIMユーザー・ヘルプ・デスク・ポリシー

このポリシーは、ユーザー・アカウントの変更の一部としてユーザー・ヘルプ・デスク管理ロールのメンバーが実行できるアクションを制御します。

OrclOIMNeedApproval=false

OrclOIMOrgScopingDirect=OrclOIMUserHelpDeskOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMUserHelpDeskOrgsWithHierarchy

ユーザー・ヘルプ・デスク

OIMユーザー・パスワード管理

ユーザー検索用ヘルプ・デスク管理ポリシー

ユーザー・ヘルプ・デスクは、組織のスコープが指定された管理ロールです。このロールのメンバーは、ユーザーの検索、ユーザー・プロファイルの変更、およびユーザー・パスワードの変更を実行できます。このポリシーは、このロールのメンバーがユーザーを検索できるかどうか、およびユーザー属性を表示できるかどうかを指定します。デフォルトでは、この管理ロールのメンバーはすべてのユーザー属性を表示できます。

OrclOIMOrgScopingDirect=OrclOIMUserHelpDeskOrgsDirect

OrclOIMDeniedAttributesDirect=

OrclOIMOrgScopingWithHierarchy=OrclOIMUserHelpDeskOrgsWithHierarchy

ユーザー・ヘルプ・デスク

OIMユーザー・パスワード管理

パスワード管理用ヘルプ・デスク・ユーザー・ポリシー

ユーザー・ヘルプ・デスク管理ロールのメンバーは、ユーザーの検索、ユーザー・プロファイルの変更、およびユーザー・パスワードの変更を実行できます。このポリシーは、このロールのメンバーがユーザー・パスワードを管理できるかどうか、アカウントをロックまたはロック解除できるかどうか、およびユーザーが要求したリクエストを表示できるかどうかを指定します。

OrclOIMOrgScopingDirect=OrclOIMUserHelpDeskOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMUserHelpDeskOrgsWithHierarchy

ユーザー・ヘルプ・デスク

OIMユーザー・パスワード管理

OIMユーザー・ヘルプ・デスク・ユーザーのロック解除ポリシー直接

このポリシーは、ユーザー・ヘルプ・デスクがユーザー・アカウントを直接ロック解除できるかどうかを決定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMUserHelpDeskOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMUserHelpDeskOrgsDirect

OrclOIMAllowOnlyIfLockedByFailLoginAttempts=true

ユーザー・ヘルプ・デスク

OIMユーザー・パスワード管理

OIMヘルプ・デスク基本情報アプリケーション・インスタンス直接ポリシー

このポリシーは、ユーザー・ヘルプ・デスク管理ロールのメンバーによるアプリケーション・インスタンスに対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMUserHelpDeskOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMUserHelpDeskOrgsWithHierarchy

ユーザー・ヘルプ・デスク

OIMユーザー・パスワード管理

OIMヘルプ・デスク基本情報ITリソース権限直接ポリシー

このポリシーは、ユーザー・ヘルプ・デスク管理ロールのメンバーによるITリソース権限に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMUserHelpDeskOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMUserHelpDeskOrgsDirect

ユーザー・ヘルプ・デスク

OIMユーザー・パスワード管理

OIMヘルプ・デスク基本情報ロール直接ポリシー

このポリシーは、ユーザー・ヘルプ・デスク管理ロールのメンバーによるロールに対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMUserHelpDeskOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMUserHelpDeskOrgsDirect

ユーザー・ヘルプ・デスク

OIMユーザー・パスワード管理

OIMヘルプ・デスク基本情報組織直接ポリシー

このポリシーは、ユーザー・ヘルプ・デスク管理ロールのメンバーによる組織に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMUserHelpDeskOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMUserHelpDeskOrgsDirect

ユーザー・ビューア

OIMユーザー・ビューア

リクエスト・アクション用ユーザー・ビューア・ポリシー

ユーザー・ビューアは、組織のスコープが指定された管理ロールです。このポリシーは、管理ロールのメンバーがユーザーのプロファイルを変更できるかどうかと、そのアクションに承認が必要かどうかを制御します。デフォルトでは、ユーザー・ビューア・ロールのメンバーによって送信されたユーザー変更リクエストは承認が必要です。

OrclOIMNeedApproval=true

OrclOIMDeniedAttributesWithApproval=

OrclOIMOrgScopingDirect=OrclOIMUserViewerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMUserViewerOrgsWithHierarchy

ユーザー・ビューア

OIMユーザー・ビューア

ユーザー管理用ユーザー・ビューア・ポリシー

このポリシーは、ユーザー・ビューア・ロールのメンバーが実行できるアクションと、そのアクションに承認が必要かどうかを制御します。

OrclOIMOrgScopingWithHierarchy=OrclOIMUserViewerOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMUserViewerOrgsDirect

OrclOIMNeedApproval=true

ユーザー・ビューア

OIMユーザー・ビューア

デフォルト・ユーザー・ビューア・ポリシー

ユーザー・ビューア管理ロールは、認証されたユーザーが検索および表示できるユーザーおよびその属性と権限付与を制御します。

OrclOIMOrgScopingDirect=OrclOIMUserViewerOrgsDirect

OrclOIMDeniedAttributesDirect=

OrclOIMOrgScopingWithHierarchy=OrclOIMUserViewerOrgsWithHierarchy

ユーザー・ビューア

OIMユーザー・ビューア

ユーザー・ビューア・ポリシー

このポリシーは、ユーザー・ビューア管理ロールのメンバーが表示できるユーザーの属性およびリレーションシップを制御します。

OrclOIMOrgScopingDirect=OrclOIMUserViewerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMUserViewerOrgsWithHierarchy

認証済ロール

authenticated-role

ユーザー変更用管理チェーン・ポリシー

このポリシーは、ユーザーが、そのユーザーの管理チェーン内の別のユーザーを変更できるかどうかと、そのアクションに承認が必要かどうかを指定します。このポリシーは、承認を必要としないユーザー属性も指定します。デフォルトでは、パスワードを除くすべてのユーザー属性の変更に承認が必要です。

OrclOIMUserManagementScoping=OrclOIMUserId

OrclOIMNeedApproval=true

OrclOIMDeniedAttributesWithApproval=

認証済ロール

authenticated-role

ユーザーに対するアクション用管理チェーン・ポリシー

このポリシーは、ユーザーが管理チェーン内の他のユーザーに対して実行できるアクションと、そのアクションに承認が必要かどうかを制御します。デフォルトでは、承認が必要です。

OrclOIMNeedApproval=true

OrclOIMUserManagementScoping=OrclOIMUserId

認証済ロール

authenticated-role

ユーザー検索用管理チェーン・ポリシー

このポリシーは、ユーザーが管理チェーン内の他のユーザーを検索し、許可された属性を表示することを許可します。デフォルトでは、管理チェーン内の他のユーザーのすべての属性を表示できます。

OrclOIMDeniedAttributesDirect=

OrclOIMUserManagementScoping=OrclOIMUserId

認証済ロール

authenticated-role

管理ロール・アクション用管理チェーン・ポリシー

このポリシーは、ユーザーが管理チェーン内の他のユーザーに付与された管理ロールに対して実行できるアクションを制御します。

OrclOIMUserManagementScoping=OrclOIMUserId

認証済ロール

authenticated-role

ホーム組織承認ポリシー

ホーム組織は、ユーザーが所属するデフォルト組織です。このポリシーは、所属するホーム組織内でユーザーが実行できるアクションを制御し、そのアクションに承認が必要かどうかを判別するためにリクエスト・エンジンによって使用されます。

OrclOIMOrgScopingDirect=OrclOIMUserHomeOrgs

OrclOIMNeedApproval=true

認証済ロール

authenticated-role

ホーム組織承認(属性利用)ポリシー

このポリシーは、所属するホーム組織内でユーザーが実行できるアクションを制御し、そのアクションに承認が必要かどうかを判別するためにリクエスト・エンジンによって使用されます。

OrclOIMDeniedAttributesWithApproval=USR_PASSWORD

OrclOIMNeedApproval=true

OrclOIMOrgScopingDirect=OrclOIMUserHomeOrgs

認証済ロール

authenticated-role

ユーザー属性用ホーム組織ポリシー

このポリシーは、同じホーム組織内の他のユーザーのユーザー・プロファイルを検索および表示するときに、ユーザーに表示されないユーザー属性を制御します。デフォルトでは、ユーザーはすべての属性を表示できます。

OrclOIMOrgScopingDirect=OrclOIMUserHomeOrgs

OrclOIMDeniedAttributesDirect=

認証済ロール

authenticated-role

ユーザー・アクセスの表示用ホーム組織ポリシー

このポリシーは、同じホーム組織内の別のユーザーのアクセスを表示しているときにユーザーが実行できるアクションを制御します。

OrclOIMOrgScopingDirectAttributeOrclOIMUserHomeOrgs

認証済ロール

authenticated-role

自身のユーザー・プロファイルの変更用ポリシー

このポリシーは、自身のユーザー・プロファイルでユーザーが変更できるユーザー属性と、その変更に承認が必要かどうかを指定します。デフォルトでは、ユーザーは自身のプロファイルの任意の属性を変更でき、変更には承認が必要です。

OrclOIMNeedApproval=true

OrclOIMDeniedAttributesWithApproval=

認証済ロール

authenticated-role

リクエスト・アクション用ユーザー・セルフ・サービス・ポリシー

このポリシーは、認証されたユーザーがIdentity Self Service内で実行できるアクションと、承認が必要かどうかを制御します。

OrclOIMNeedApproval=true

認証済ロール

authenticated-role

セルフ用ユーザー属性表示ポリシー

このポリシーは、認証されたユーザーが自身のユーザー属性を表示できるかどうかと、表示できない属性を指定します。デフォルトでは、すべてのユーザー属性を表示できます。

OrclOIMDeniedAttributesDirect=

認証済ロール

authenticated-role

表示アクション用ユーザー・セルフ・サービス・ポリシー

このポリシーは、ユーザーが自身のプロファイルに対して実行できるアクション(リクエストを開始しない)を指定します。

SPML管理者

OIM SPML管理

ユーザー更新用SPML管理ポリシー

SPML管理は、グローバル管理ロールです。この管理ロールは、SPML Webサービスによってユーザー管理操作を実行するために使用されます。このポリシーは、このロールのメンバーがユーザーを変更できるかどうかと、そのアクションに承認が必要かどうかを指定します。デフォルトでは、ロールのメンバーによるユーザー変更は承認が必要です。

OrclOIMOrgScopingDirect=OrclOIMSPMLAdminOrgsDirect

OrclOIMNeedApproval=true

OrclOIMDeniedAttributesWithApproval=

OrclOIMOrgScopingWithHierarchy=OrclOIMSPMLAdminOrgsWithHierarchy

SPML管理者

OIM SPML管理

ユーザーに対するアクション用SPML管理ポリシー

このポリシーは、ユーザーを管理しているときにSPML管理ロールのメンバーが実行できるアクション、および承認が必要かどうかを制御します。デフォルトでは、このロールのメンバーによって実行されるユーザー管理アクションには承認が必要です。

OrclOIMOrgScopingDirect=OrclOIMSPMLAdminOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMSPMLAdminOrgsWithHierarchy

OrclOIMNeedApproval=true

SPML管理者

OIM SPML管理

SPML管理者ポリシー

このポリシーは、SPML管理がユーザーに対して実行できるアクションを指定します。

OrclOIMDeniedAttributesDirect=

OrclOIMOrgScopingDirect=OrclOIMSPMLAdminOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMSPMLAdminOrgsWithHierarchy

SPML管理者

OIM SPML管理

ロール・メンバーシップ・アクション用SPML管理ポリシー

このポリシーは、SPML管理ロールのメンバーが実行できるロール・メンバーシップ・アクションと、そのアクションに承認が必要かどうかを制御します。デフォルトでは、アクションには承認が必要です。

OrclOIMOrgScopingWithHierarchy=OrclOIMSPMLAdminOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMSPMLAdminOrgsDirect

OrclOIMNeedApproval=true

SPML管理者

OIM SPML管理

OIMロールSPML管理ポリシー直接(属性利用)

このポリシーは、SPML管理がロールおよびロール属性に対して直接実行できるアクションを指定します。

ロール認可者

OIMロール認可者

表示アクション用ロール認可者ポリシー

ロール認可者管理ロールは、組織のスコープが指定されたロールです。このポリシーは、承認を必要とせずにロール認可者が実行できるアクションを制御します。ロール・メンバーシップの表示やロールの検索などのアクションは承認を必要としません。組織のスコープが指定されたロールの検索およびロール・メンバーの表示は承認を必要としません。

OrclOIMOrgScopingDirect=OrclOIMRoleAuthorizerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMRoleAuthorizerOrgsWithHierarchy

ロール認可者

OIMロール認可者

リクエスト・アクション用ロール認可者ポリシー

このポリシーは、承認を必要とするロール認可者が実行できるアクションを制御します。デフォルトでは、このロールのメンバーによるロール・メンバーシップの付与および取消しは承認を必要としません。

OrclOIMNeedApproval=false

OrclOIMOrgScopingDirect=OrclOIMRoleAuthorizerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMRoleAuthorizerOrgsWithHierarchy

ロール認可者

OIMロール認可者

OIMロール認可者基本情報組織直接ポリシー

このポリシーは、ロール認可者による組織に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMRoleAuthorizerOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMRoleAuthorizerOrgsDirect

ロール認可者

OIMロール認可者

OIMロール認可者基本情報ユーザー直接(属性利用)ポリシー

このポリシーは、ロール認可者によるユーザーおよびユーザー属性に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMRoleAuthorizerOrgsDirect

OrclOIMDeniedAttributesDirect=

OrclOIMOrgScopingWithHierarchy=OrclOIMRoleAuthorizerOrgsWithHierarchy

ロール・ビューア

OIMロール・ビューア

ロール・ビューア・ポリシー

ロール・ビューアは、Oracle Identity Managerの管理ロールです。このポリシーは、ロールのメンバーが実行できるアクションを制御します。デフォルトでは、このポリシーによって、この管理ロールのメンバーは、ロールの検索および表示を許可されます。

OrclOIMOrgScopingDirect=OrclOIMRoleViewerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMRoleViewerOrgsWithHierarchy

ロール・ビューア

OIMロール・ビューア

ロール・メンバーシップ用ロール・ビューア・ポリシー

このポリシーは、ロール・ビューアが実行できるアクションと、そのアクションが承認を必要とするかどうかを制御します。デフォルトでは、承認が必要です。

OrclOIMOrgScopingDirect=OrclOIMRoleViewerOrgsDirect

OrclOIMNeedApproval=true

OrclOIMOrgScopingWithHierarchy=OrclOIMRoleViewerOrgsWithHierarchy

ロール・ビューア

OIMロール・ビューア

OIMロール・ビューア基本情報組織直接ポリシー

このポリシーは、ロール・ビューアによる組織に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMRoleViewerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMRoleViewerOrgsWithHierarchy

ロール・ビューア

OIMロール・ビューア

OIMロール・ビューア基本情報ユーザー直接(属性利用)ポリシー

このポリシーは、ロール・ビューアによるユーザーおよびユーザー属性に対する直接表示および検索権限を指定します。

OrclOIMDeniedAttributesDirect=

OrclOIMOrgScopingDirect=OrclOIMRoleViewerOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMRoleViewerOrgsWithHierarchy

認証済ロール

authenticated-role

ロール・メンバーシップ用ホーム組織ポリシー

このポリシーは、ユーザーがそのユーザーのホーム組織内で実行できるロール・メンバーシップの付与および取消しアクションと、それに承認が必要かどうかを制御します。デフォルトでは、承認が必要です。

OrclOIMNeedApproval=true

OrclOIMOrgScopingDirect=OrclOIMUserHomeOrgs

認証済ロール

authenticated-role

ロール用ホーム組織ポリシー

このポリシーは、ユーザーのホーム組織に公開済のロールおよびロール属性を暗黙的に表示することをそのユーザーに許可します。

OrclOIMOrgScopingDirect=OrclOIMUserHomeOrgs

ロール管理者

OIMロール管理者

承認ありのOIMロール管理ポリシー

ロール管理者は、組織のスコープが指定された管理ロールです。このポリシーは、承認ありでロール管理者が実行できるアクションを指定します。

OrclOIMOrgScopingDirect=OrclOIMRoleAdminOrgsDirect

OrclOIMNeedApproval=false

OrclOIMOrgScopingWithHierarchy=OrclOIMRoleAdminOrgsWithHierarchy

ロール管理者

OIMロール管理者

ロール管理者ポリシー

このポリシーは、ロール管理者管理ロールのメンバーが実行できるアクションを制御します。

OrclOIMOrgScopingWithHierarchy=OrclOIMRoleAdminOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMRoleAdminOrgsDirect

ロール管理者

OIMロール管理者

OIMロール管理者基本情報組織直接ポリシー

このポリシーは、ロール管理者による組織に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingWithHierarchy=OrclOIMRoleAdminOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMRoleAdminOrgsDirect

ロール管理者

OIMロール管理者

OIMロール管理者基本情報ユーザー直接(属性利用)ポリシー

このポリシーは、ロール管理者によるユーザーおよびユーザー属性に対する直接表示および検索権限を指定します。

OrclOIMOrgScopingDirect=OrclOIMRoleAdminOrgsDirect

OrclOIMDeniedAttributesDirect=

OrclOIMOrgScopingWithHierarchy=OrclOIMRoleAdminOrgsWithHierarchy

システム構成管理者

OIMシステム構成者

OIMエンティティ用システム構成者ポリシー

システム構成管理者管理ロールは、グローバル・ロールです。このポリシーは、このロールのメンバーが、ユーザー、権限、ロール、組織、およびアプリケーション・インスタンスに対して実行できるアクションを制御します。メンバーは、Identity System Administrationでアプリケーション・インスタンスを管理できますが、Identity Self Serviceではビューア管理ロール機能を持ちます。

OrclOIMOrgScopingWithHierarchy=OrclOIMSystemConfiguratorOrgsWithHierarchy

OrclOIMOrgScopingDirect=OrclOIMSystemConfiguratorOrgsDirect

システム構成管理者

OIMシステム構成者

システム構成者ポリシー

このポリシーは、システム構成管理者管理ロールのメンバーが実行できるアクションを制御します。この管理ロールのメンバーは、インストール後の製品構成アクティビティを実行し、システム管理者が実行できるすべての構成アクティビティを実行できます。ただし、システム構成管理者管理ロールのメンバーは、システム管理者管理ロールのメンバーが持っている暗黙的なユーザー、ロール、アプリケーション・インスタンス管理者機能を持ちません。

システム構成管理者

OIMシステム構成者

ユーザー用システム構成者ポリシー拒否ポリシー

このポリシーは、システム構成管理者のメンバーがユーザー・エンティティに対して実行できるアクションを制御します。

カタログ管理者

OIMカタログ管理者ロール

カタログ管理者用表示ポリシー

このポリシーは、カタログ管理者のカタログ・エンティティに対する表示権限を制御します。

OrclOIMOrgScopingDirect=OrclOIMCatalogAdminOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMCatalogAdminOrgsWithHierarchy

認証済ロール

authenticated-role

ユーザーに割り当てられたOIMエンティティの直接ポリシー

このポリシーは、認証されたユーザーが、割り当てられたエンティティに対して実行できるアクションを制御します。

認証済ロール

authenticated-role

ユーザーに割り当てられたOIMエンティティの承認ポリシー

このポリシーは、認証されたユーザーが、割り当てられたエンティティに対して実行できるアクションを制御します。

OrclOIMNeedApproval=true

証明管理者

OIM証明管理者

OIM UI証明管理者ポリシー

このポリシーは、証明構成および証明定義の画面を含むアイデンティティ・システム管理者UIに対してアクセス権限を付与します。

証明管理者

OIM証明管理者

証明管理者のすべてのエンティティ検索ポリシー

このポリシーは、証明定義の設計に必要なOracle Identity Managerエンティティに対して表示および検索機能を付与します。エンティティには、アプリケーション・インスタンス、権限、組織、ユーザー、エンタープライズ・ロールおよびカタログ・アイテムが含まれます。このポリシーは、証明定義の構成に使用されます。

OrclOIMOrgScopingDirect=OrclOIMCertificationAdministratorOrgsDirect

OrclOIMOrgScopingWithHierarchy=OrclOIMCertificationAdministratorOrgsWithHierarchy

証明管理者

OIM証明管理者

証明管理者ポリシー

このポリシーは、証明構成オブジェクト(証明構成や証明定義など)に対する更新アクセス権限を付与します。

証明管理者

OIM証明管理者

スケジューラ証明管理者ポリシー

このポリシーは、スケジューラに対してアクセス権限を付与します。スケジュール済ジョブの実行により、証明定義から証明が作成されます。

証明管理者

OIM証明管理者

証明管理者ポリシー

このポリシーは、証明インスタンスに対する更新アクセス権限を付与します。

注意: レビューア(非管理ユーザー)に対する証明の表示および更新アクセス権限は、証明認可により直接付与されます。

証明ビューア

OIM証明ビューア

証明ビューア・ポリシー

このポリシーは、証明インスタンスに対して表示アクセス権限を付与します。

注意: 証明管理者は、すべての証明ビューア権限を保持しています。

OESには、Oracle Identity Managerのユーザーには付与できないため、対応する管理ロールがOracle Identity Managerにないアプリケーション・ロールがいくつかあります。これらのアプリケーション・ロールに関連付けられているポリシーは、リクエスト関連の操作に使用されます。たとえば、OIMリクエスト承認者アプリケーション・ロールと関連付けられてポリシーは、リクエストの承認者の操作を制御するために使用されます。表3-4は、Oracle Identity Managerに対応する管理ロールがないアプリケーション・ロールと、それに関連付けられているポリシーを示しています。

表3-4 OESアプリケーション・ロールとポリシー

OESのアプリケーション・ロール ポリシー名 説明 責任

OIMリクエスト承認者

OIMリクエスト承認者ロール・ポリシー

このポリシーは、リクエスト承認者がロールを表示および検索する権限を指定します。

OIMリクエスト・リクエスタ

OIMリクエスト・リクエスタ・ロール・ポリシー

このポリシーは、リクエスタがロールを表示および検索する権限を指定します。

OIMリクエスト受益者

OIMリクエスト受益者ロール・ポリシー

このポリシーは、リクエストの受益者がロールを表示および検索する権限を指定します。

OIMリクエスト承認者

OIMリクエスト承認者アプリケーション・インスタンス・ポリシー

このポリシーは、リクエスト承認者がアプリケーション・インスタンスを表示および検索する権限を指定します。

OIMリクエスト・リクエスタ

OIMリクエスト・リクエスタ・アプリケーション・インスタンス・ポリシー

このポリシーは、リクエスタがアプリケーション・インスタンスを表示および検索する権限を指定します。

OIMリクエスト受益者

OIMリクエスト受益者アプリケーション・インスタンス・ポリシー

このポリシーは、リクエストの受益者がアプリケーション・インスタンスを表示および検索する権限を指定します。

OIMリクエスト承認者

OIMリクエスト承認者権限ポリシー

このポリシーは、リクエスト承認者が権限を表示および検索する権限を指定します。

OIMリクエスト・リクエスタ

OIMリクエスト・リクエスタ権限ポリシー

このポリシーは、リクエスタが権限を表示および検索する権限を指定します。

OIMリクエスト受益者

OIMリクエスト受益者権限ポリシー

このポリシーは、リクエストの受益者が権限を表示および検索する権限を指定します。

OIMリクエスト承認者

OIMリクエスト承認者ユーザー・ポリシー

このポリシーは、リクエスト承認者がユーザーを表示および検索する権限を指定します。

OrclOIMDeniedAttributesDirect=

OIMリクエスト・リクエスタ

OIMリクエスト・リクエスタ・ユーザー・ポリシー

このポリシーは、リクエスタがユーザーを表示および検索する権限を指定します。

OrclOIMDeniedAttributesDirect=

OIMリクエスト受益者

OIMリクエスト受益者ユーザー・ポリシー

このポリシーは、リクエストの受益者がユーザーを表示および検索する権限を指定します。

OrclOIMDeniedAttributesDirect=

OIMリクエスト委任管理

OIMリクエスト委任管理ロール・ポリシー

このポリシーは、委任管理者がロールを表示および検索する権限を指定します。

OIMリクエスト・ターゲット・エンティティ

OIMリクエスト・ターゲット・エンティティ・ロール・ポリシー

このポリシーは、リクエストのターゲット・ユーザーがロールを表示および検索する権限を指定します。

OIMリクエスト委任管理

OIMリクエスト委任管理ユーザー・ポリシー

このポリシーは、委任管理者がユーザーを表示および検索する権限を指定します。

OIMリクエスト・ターゲット・エンティティ

OIMリクエスト・ターゲット・エンティティ・ユーザー・ポリシー

このポリシーは、リクエストのターゲット・ユーザーがユーザーを表示および検索する権限を指定します。

OIMリクエスト委任管理

OIMリクエスト委任管理ITリソース権限ポリシー

このポリシーは、委任管理者がITリソース権限を表示および検索する権限を指定します。

OIMリクエスト・ターゲット・エンティティ

OIMリクエスト・ターゲット・エンティティITリソース権限ポリシー

このポリシーは、リクエストのターゲット・ユーザーがITリソース権限を表示および検索する権限を指定します。

OIMリクエスト委任管理

OIMリクエスト委任管理アプリケーション・インスタンス・ポリシー

このポリシーは、委任管理者がアプリケーション・インスタンスを表示および検索する権限を指定します。

OIMリクエスト・ターゲット・エンティティ

OIMリクエスト・ターゲット・エンティティ・アプリケーション・インスタンス・ポリシー

このポリシーは、リクエストのターゲット・ユーザーがアプリケーション・インスタンスを表示および検索する権限を指定します。

OIMリクエスト証明ビューア

OIM証明リクエスト証明者ターゲット・エンティティ・ロール・ポリシー

このポリシーは、ロール・エンティティに対して表示アクセス権限を付与します。このポリシーは、ユーザーが証明者(レビューア)となっている証明で参照されるロールを表示するためにログイン・ユーザーに動的に付与するリクエスト証明ビューアに対して付与されます。

OIMリクエスト証明ビューア

OIM証明リクエスト証明者ターゲット・エンティティ・ユーザー・ポリシー

このポリシーは、ユーザー・エンティティに対して表示アクセス権限を付与します。このポリシーは、ユーザーが証明者(レビューア)となっている証明で参照されるユーザーを表示するためにログイン・ユーザーに動的に付与するリクエスト証明ビューアに対して付与されます。

OIMリクエスト証明ビューア

OIM証明リクエスト証明者ターゲット・エンティティITResEntitlementポリシー

このポリシーは、権限エンティティに対して表示アクセス権限を付与します。このポリシーは、ユーザーが証明者(レビューア)となっている証明で参照される権限を表示するためにログイン・ユーザーに動的に付与するリクエスト証明ビューアに対して付与されます。

OIMリクエスト証明ビューア

OIM証明リクエスト証明者ターゲット・エンティティApplicationInstanceポリシー

このポリシーは、アプリケーション・インスタンス・エンティティに表示アクセス権限を付与します。このポリシーは、ユーザーが証明者(レビューア)となっている証明で参照されるアプリケーション・インスタンスを表示するためにログイン・ユーザーに動的に付与するリクエスト証明ビューアに対して付与されます。

アプリケーション・ロールのアプリケーション・ロール階層は、OESで定義されます。つまり、特定の組織のアプリケーション・ロールを付与されたユーザーは、その特定の組織階層に存在するアプリケーション・ロールのすべてのアクションを実行できます。たとえば、ユーザーが特定の組織のOrclOIMUserViewerアプリケーション・ロール(つまり、ユーザー・ビューア管理ロール)を持っている場合、そのユーザーは、その特定の組織に存在するOrclOIMApplicationInstanceViewerRole、OrclOIMEntitlementViewer、OrclOIMOrgViewer、およびOrclOIMRoleViewerアプリケーション・ロールのすべてのアクションを実行できます。

表3-5は、アプリケーション・ロールと、特定の組織における対応するアプリケーション・ロールとの間のマッピングを示しています。つまり、2列目のアプリケーション・ロールを付与されたユーザーは、1列目の対応するアプリケーション・ロールのすべてのアクションを実行できます。

表3-5 アプリケーション・ロールのマッピング

アプリケーション・ロール アプリケーション・ロールのマップ先

OrclOIMRoleViewer

OrclOIMUserAdmin、OrclOIMUserViewer

OrclOIMOrgViewer

OrclOIMUserAdmin、OrclOIMUserViewer、OrclOIMSPMLAdmin

OrclOIMEntitlementViewer

OrclOIMUserAdmin、OrclOIMUserViewer

OrclOIMEntitlementAdministrator

OrclOIMApplicationInstanceAdministratorRole

OrclOIMApplicationInstanceViewerRole

OrclOIMUserAdmin、OrclOIMUserViewer

OrclOIMCertificationViewer

OrclOIMCertificationAdministrator

Oracle Identity Manager 11gリリース2 (11.1.2.1.0)では、以前のリリースのロールのいくつかは削除されているか、別のロールに置き換えられています。表3-6は、以前のロールと新しいロールとの間のマッピングを示しています。

表3-6 以前のロールと新しいロールとの間のマッピング

以前のロール 新規ロール

スケジューラ管理者

システム構成者

デプロイメント・マネージャ管理者

システム構成者

通知テンプレート管理者

システム構成者

SOD管理者

システム管理者

ユーザー名の生成ロール

システム管理者

アイデンティティ・ユーザー管理者

ユーザー管理者

ユーザー構成管理者

システム構成者

アクセス・ポリシー管理者

システム構成者

リコンシリエーション管理者

システム管理者

リソース管理者

システム構成者

汎用コネクタ管理者

システム構成者

承認ポリシー管理者

システム構成者

リクエスト管理者

システム管理者

リクエスト・テンプレート管理者

システム構成者

プラグイン管理者

システム構成者

アテステーション構成管理者

システム構成者

アテステーション・イベント管理者

システム管理者

ロール管理者

ロール管理者

ユーザー名管理者

以前のロールは削除されたため、現在のリリースには対応するロールはありません。管理ロールに依存します。

アイデンティティ組織管理者

組織管理者

ITリソース管理者

アプリケーション・インスタンス管理者

レポート管理者

以前のロールは削除されたため、現在のリリースには対応するロールはありません。これは、Oracle Identity Managerからのレポートへのリンクがないためです。

SPMLアプリケーション・ロール

SPMLアプリケーション・ロール

このエンタープライズ・ロールに対する変更はありません。ただし、権限付きの対応するロールはOESにシードされています。

注意: このロールは、Oracle Identity Managerでは使用されません。

すべてのユーザー

すべてのユーザー

このロールはエンタープライズ・ロールのままです。したがって、OESには対応するアプリケーション・ロールがありません。

このロールは、Oracle Identity Manager Enterprise Editionではアクセス・ポリシーベースのプロビジョニング操作のために必要です。

システム構成管理者

システム構成者

このロールは、ユーザー、ロール、組織およびプロビジョニングを管理する機能を除いて、システム管理者ロールとしてのすべての権限を持っています。この管理ロールは、システム管理者ロールとしてのシステムへの完全なアクセスを必要としないシステム構成タスクに使用されます。

システム管理者

システム管理者

このロールは、システム上の完全な権限を提供するものとしてそのままになっています。このロールは、コード・レベルで適用される無制限の権限を許可します(このロールの宣言的なセキュリティ・モデルはありません)。したがって、OESには、このロールに対応するポリシーはありません。

3.3 組織へのエンティティの公開

組織にエンティティを公開すると、エンティティはその組織で使用可能になります。エンタープライズ・ロール、権限またはアプリケーション・インスタンスについては、それぞれの管理者が組織のリストに公開することによって、その組織のユーザーに付与できるようなります。エンタープライズ・ロール、権限およびアプリケーション・インスタンスは、次の目的で、組織のリストに公開されます。

エンティティ管理者がエンティティを作成すると、エンティティは、その管理者がエンティティ管理者ロールを持つすべての組織で自動的に使用可能になります。たとえば、ロール管理者権限を持つユーザーがエンタープライズ・ロールを作成すると、新しく作成されたロールは、そのユーザーがロール管理者として属するすべての組織で自動的に使用可能になります。これによって、管理者がエンティティを作成して、それぞれの組織(または組織階層)に公開する必要がなくなります。ただし、このエンティティをその他の組織に公開する必要がある場合は、エンティティを手動で公開する必要があります。

エンティティ管理者は、エンティティ詳細ページを使用して組織にエンティティを公開できます。たとえば、一連の組織にロールを公開するには、「ロールの詳細」ページの「組織」タブから実行します。

次のエンティティを組織に公開する方法の参照先を示します。

3.4 OESポリシーの管理

表3-3で示したように、Oracle Identity Managerの各管理ロールには、OESのポリシー・ロールとの1対1のマッピングがあり、それぞれ対応するOESポリシーがあります。デフォルトの認可ポリシーをカスタマイズするには、認可ポリシー管理(APM) UIを使用して、OESポリシーを変更できます。たとえば、特定の管理ロールによって表示される属性のリストを制限するには、APMで対応するOESポリシーのOrclOIMDeniedAttributesポリシー責任を更新できます。同様に、特定の管理ロールによって編集される属性のリストを制限する場合は、OrclOIMDeniedAttributesWithApproval責任を更新できます。

APM UIを使用してOESポリシーを管理する方法の詳細は、Oracle Fusion Middleware Oracle Authorization Policy Manager管理者ガイド(Oracle Fusion Applications Edition)のポリシーおよびポリシー・オブジェクトの管理に関する説明を参照してください。

3.4.1 認可ポリシーのカスタマイズ

Oracle Identity Managerでの認可セキュリティのデフォルト機能は、次の方法から1つ以上を使用してカスタマイズできます。

  • 既存のポリシーの許可されたアクションの変更

  • 責任の変更。これには、次の内容が含まれます。

    • 拒否された属性リストの変更

    • 承認が必要なブール・フラグのtrue/falseの変更

    • スコーピング属性の変更

  • ポリシー条件の変更。これには、次の内容が含まれます。

    • ポリシーを無効化するためのFALSE条件の追加

    • ポリシーでのデフォルト条件の変更

    • リソース/動的属性の追加および既存のポリシーでの使用

  • デフォルト・ポリシーの削除

次の各項では、デフォルト認可をカスタマイズするために変更可能な管理ロールと認可ポリシーとのマッピングについて説明します。

3.4.1.1 誰がどのユーザーを表示できるかの制御

「誰がどのユーザーを表示できるかの制御」は、表3-7に示した管理ロールを使用して制御できます。これらの管理ロールにより、スコープされた組織内のユーザーを表示または検索する権限がユーザーに付与されます。

表3-7 スコープされた組織内のユーザーを表示または検索する管理ロール

管理者ロール 関連する認可ポリシー名

アプリケーション・インスタンス管理者ロール

ApplicationInstanceAdministratorBasicInfoUserDirectWithAttributesPolicy

アプリケーション・インスタンス認可者ロール

ApplicationInstanceAuthorizerBasicInfoUserDirectWithAttributesPolicy

アプリケーション・インスタンス・ビューア・ロール

ApplicationInstanceViewerBasicInfoUserDirectWithAttributesPolicy

権限管理者

EntitlementAdministratorBasicInfoUserDirectWithAttributesPolicy

権限認可者

EntitlementAuthorizerBasicInfoUserDirectWithAttributesPolicy

権限ビューア

EntitlementViewerBasicInfoUserDirectWithAttributesPolicy

組織管理者

OrgAdministratorBasicInfoUserDirectWithAttributesPolicy

組織ビューア

OrgViewerBasicInfoUserDirectWithAttributesPolicy

ロール管理者

RoleAdministratorBasicInfoUserDirectWithAttributesPolicy

ロール認可者

RoleAuthorizerBasicInfoUserDirectWithAttributesPolicy

ロール・ビューア

RoleViewerBasicInfoUserDirectWithAttributesPolicy

ユーザー管理

UserAdminDirectWithAttributesPolicy

ユーザー・ヘルプ・デスク

UserHelpDeskDirectWithAttributesPolicy

管理ロールではなく、ホーム組織

UserHomeOrgDirectWithAttributesPolicy

管理ロールではなく、管理階層向け

UserManagementChainDirectWithAttributesPolicy

SPML管理

UserSPMLAdminDirectWithAttributesPolicy

管理ロールではなく、セルフ向け

UserSelfServiceDirectWithAttributesPolicy

ユーザー・ビューア

UserViewerDirectWithAttributesPolicy

すべてのユーザーを表示できるユーザーを制御するには、表3-7に示すように、割り当てられた管理ロールを更新します。ホーム組織のユーザーを制限する場合は、認可ポリシーを変更する必要があります。

3.4.1.2 誰がどのユーザーを変更できるかの制御

表3-8に、誰がどのユーザーを変更できるかを制御する管理ロールと、関連する認可ポリシーを示します。

表3-8 スコープされた組織内のユーザーを変更する管理ロール

管理者ロール 関連する認可ポリシー名

ユーザー管理

UserAdminApprovalWithAttributesPolicy

管理ロールではなく、ホーム組織

UserHomeOrgApprovalWithAttributesPolicy

管理ロールではなく、管理階層向け

UserManagementChainApprovalWithAttributesPolicy

SPML管理

UserSPMLAdminApprovalWithAttributesPolicy

管理ロールではなく、セルフ向け

UserSelfServiceApprovalWithAttributesPolicy

ユーザー・ビューア

UserViewerApprovalWithAttributesPolicy

すべてのユーザーを変更できるユーザーを制御するには、表3-8に示すように、割り当てられた管理ロールを更新します。ホーム組織のユーザーを制限する場合は、関連する認可ポリシーを変更する必要があります。

3.4.1.3 誰がどのリンクを表示できるかの制御

表3-9に、ポリシーにより有効化された管理ロール、関連する認可ポリシーおよび対応するリンクを示します。

表3-9 リンクの表示を制御する管理ロール

管理者ロール 関連する認可ポリシー名 ポリシーにより有効化されたリンク

ユーザー管理

UserAdminApprovalPolicy

enableUserStatus、modifyUserAccounts、deleteUserAccounts、addUserEntitlements、disableUserStatus、addUserRoles、createUser、disableUserAccount、deleteUserRoles、deleteUser、deleteUserEntitlements、enableUserAccount、addUserAccounts

ユーザー・ヘルプ・デスク

UserHelpDeskApprovalPolicy

enableUserStatus、disableUserStatus

ユーザー・ヘルプ・デスク

UserHelpDeskUserAccountsPolicy

modifyUserAccounts

管理ロールではなく、ホーム組織

UserHomeOrgApprovalPolicy

enableUserStatus、modifyUserAccounts、deleteUserAccounts、addUserEntitlements、disableUserStatus、createUser、addUserRoles、disableUserAccount、deleteUserRoles、deleteUser、deleteUserEntitlements、enableUserAccount、addUserAccounts

管理ロールではなく、管理階層向け

UserManagementChainApprovalPolicy

enableUserStatus、modifyUserAccounts、deleteUserAccounts、addUserEntitlements、disableUserStatus、addUserRoles、createUser、disableUserAccount、deleteUserRoles、deleteUser、deleteUserEntitlements、enableUserAccount、addUserAccounts

管理ロールではなく、セルフ向け

UserSelfServiceApprovalPolicy

addUserRoles、deleteUserRoles、deleteUserEntitlements、deleteUserAccounts、addUserEntitlements、addUserAccounts

SPML管理

UserSPMLAdminApprovalPolicy

enableUserStatus、disableUserStatus、createUser、addUserRoles、deleteUserRoles、deleteUser

ユーザー・ビューア

UserViewerApprovalPolicy

enableUserStatus、modifyUserAccounts、deleteUserAccounts、addUserEntitlements、disableUserStatus、addUserRoles、createUser、disableUserAccount、deleteUserRoles、deleteUser、deleteUserEntitlements、enableUserAccount、addUserAccounts

表3-9で示したように、管理ロールと関連するポリシーにより、許可されたアクションに従ってリンクを有効化する権限が付与されます。ポリシーを使用して認可ポリシーの更新や有効化されたリンクの変更、またそれに応じた管理ロールの割当てを実行できます。

3.4.1.4 誰がアプリケーション・インスタンスのアカウントをリクエストできるかの制御

表3-10に、誰がアプリケーション・インスタンスのアカウントをリクエストできるかを制御する管理ロールと、関連する認可ポリシーを示します。

表3-10 誰がアプリケーション・インスタンスのアカウントをリクエストできるかの制御

管理者ロール 関連する認可ポリシー名

アプリケーション・インスタンス認可者ロール

ApplicationInstanceAuthorizerApprovalPolicy

管理ロールではなく、ユーザーのホーム組織に公開されるアプリケーション・インスタンス

ApplicationInstanceHomeOrgApprovalPolicy

アプリケーション・インスタンス・ビューア・ロール

ApplicationInstanceViewerApprovalPolicy

3.4.1.5 誰がアカウントを変更できるかの制御

表3-11に、誰がアカウントを変更できるかを制御する管理ロールと、関連する認可ポリシーを示します。

表3-11 アカウントを変更するための管理ロール

管理者ロール 関連する認可ポリシー名

アプリケーション・インスタンス認可者ロール

ApplicationInstanceAuthorizerApprovalPolicy

管理ロールではなく、ユーザーのホーム組織に公開されるアプリケーション・インスタンス

ApplicationInstanceHomeOrgApprovalPolicy

アプリケーション・インスタンス・ビューア・ロール

ApplicationInstanceViewerApprovalPolicy

管理ロールではなく、ユーザーにのみプロビジョニングされるアプリケーション・インスタンス

EntityUserAssignmentApprovalPolicy

3.4.1.6 誰がアプリケーション・インスタンスを管理できるかの制御

誰がアプリケーション・インスタンスを管理できるかの制御には、「アプリケーション・インスタンス管理者」管理ロールと、関連するApplicationInstanceAdministratorDirectPolicy認可ポリシーが使用されます。

3.4.1.7 誰がユーザー・パスワードを変更できるかの制御

表3-12に、誰がユーザーのパスワードを変更できるかを制御する管理ロールと、関連する認可ポリシーを示します。

表3-12 ユーザー・パスワードを変更するための管理ロール

管理者ロール 関連する認可ポリシー名

ユーザー管理

UserAdminDirectPolicy

ユーザー・ヘルプ・デスク

UserHelpDeskDirectPolicy

管理ロールではなく、セルフ向け

UserSelfServiceDirectPolicy

3.4.1.8 誰がアカウント・パスワードを変更できるかの制御

表3-13に、アカウント・パスワードの変更のための、選択済ユーザーに対する権限を示します。

表3-13 選択済ユーザーに対する権限を持つ管理ロール

管理ロール 関連する認可ポリシー名

ユーザー管理

UserAdminDirectPolicy

ユーザー・ヘルプ・デスク

UserHelpDeskDirectPolicy

管理ロールではなく、セルフ向け

UserSelfServiceDirectPolicy

表3-14は、管理者がアカウント・パスワードを変更する権限を有する選択済アカウントについて示しています。

表3-14 選択済アカウントに対する権限を有する管理ロール

管理ロール 関連する認可ポリシー名

アプリケーション・インスタンス認可者ロール

ApplicationInstanceAuthorizerDirectPolicy

管理ロールではなく、ユーザーのホーム組織に公開されるアプリケーション・インスタンス

ApplicationInstanceHomeOrgDirectPolicy

アプリケーション・インスタンス・ビューア・ロール

ApplicationInstanceViewerDirectPolicy

管理ロールではなく、ユーザーにのみプロビジョニングされるアプリケーション・インスタンス

EntityUserAssignmentDirectPolicy

3.4.1.9 どの操作が直接またはリクエスト・ベースであるかの制御

表3-15に示す操作と、関連する認可ポリシーにより、操作がリクエストとバインドできるようになります。approvalrequired責任を直接操作にするには、関連する認可ポリシーで変更できます。

表3-15 リクエスト・ベースの操作

リクエスト・ベースの操作 関連する認可ポリシー名

enablenApplicationInstance

ApplicationInstanceHomeOrgApprovalPolicy

revokeApplicationInstance

ApplicationInstanceHomeOrgApprovalPolicy

modifyAccountApplicationInstance

ApplicationInstanceHomeOrgApprovalPolicy

disableApplicationInstance

ApplicationInstanceHomeOrgApprovalPolicy

provisionApplicationInstance

ApplicationInstanceHomeOrgApprovalPolicy

enablenApplicationInstance

ApplicationInstanceViewerApprovalPolicy

revokeApplicationInstance

ApplicationInstanceViewerApprovalPolicy

modifyAccountApplicationInstance

ApplicationInstanceViewerApprovalPolicy

disableApplicationInstance

ApplicationInstanceViewerApprovalPolicy

provisionApplicationInstance

ApplicationInstanceViewerApprovalPolicy

deleteRoleMemberships

EntityUserAssignmentApprovalPolicy

enablenApplicationInstance

EntityUserAssignmentApprovalPolicy

revokeApplicationInstance

EntityUserAssignmentApprovalPolicy

modifyAccountApplicationInstance

EntityUserAssignmentApprovalPolicy

disableApplicationInstance

EntityUserAssignmentApprovalPolicy

revokeITResourceEntitlement

EntityUserAssignmentApprovalPolicy

modifyProvisionedEntitlement

EntityUserAssignmentApprovalPolicy

grantITResourceEntitlement

EntitlementHomeOrgApprovalPolicy

bulkRequestForEntitlements

EntitlementHomeOrgApprovalPolicy

revokeITResourceEntitlement

EntitlementHomeOrgApprovalPolicy

modifyProvisionedEntitlement

EntitlementHomeOrgApprovalPolicy

grantITResourceEntitlement

EntitlementViewerApprovalPolicy

bulkRequestForEntitlements

EntitlementViewerApprovalPolicy

revokeITResourceEntitlement

EntitlementViewerApprovalPolicy

modifyProvisionedEntitlement

EntitlementViewerApprovalPolicy

deleteRoleMemberships

EntityUserAssignmentApprovalPolicy

enablenApplicationInstance

EntityUserAssignmentApprovalPolicy

revokeApplicationInstance

EntityUserAssignmentApprovalPolicy

modifyAccountApplicationInstance

EntityUserAssignmentApprovalPolicy

disableApplicationInstance

EntityUserAssignmentApprovalPolicy

revokeITResourceEntitlement

EntityUserAssignmentApprovalPolicy

modifyProvisionedEntitlement

EntityUserAssignmentApprovalPolicy

viewPublishedAccounts

OrganizationHomeOrgDirectPolicy

viewProvisionedAccounts

OrganizationHomeOrgDirectPolicy

viewSearchEntity

OrganizationHomeOrgDirectPolicy

viewPublishedEntitlements

OrganizationHomeOrgDirectPolicy

deleteRoleMemberships

EntityUserAssignmentApprovalPolicy

enablenApplicationInstance

EntityUserAssignmentApprovalPolicy

revokeApplicationInstance

EntityUserAssignmentApprovalPolicy

modifyAccountApplicationInstance

EntityUserAssignmentApprovalPolicy

disableApplicationInstance

EntityUserAssignmentApprovalPolicy

revokeITResourceEntitlement

EntityUserAssignmentApprovalPolicy

modifyProvisionedEntitlement

EntityUserAssignmentApprovalPolicy

deleteRoleMemberships

RoleHomeOrgApprovalPolicy

addRoleMemberships

RoleHomeOrgApprovalPolicy

deleteRoleMemberships

RoleSPMLAdminApprovalPolicy

deleteRole

RoleSPMLAdminApprovalPolicy

addRoleMemberships

RoleSPMLAdminApprovalPolicy

createRole

RoleSPMLAdminApprovalPolicy

modifyRole

RoleSPMLAdminApprovalPolicy

deleteRoleMemberships

RoleViewerApprovalPolicy

addRoleMemberships

RoleViewerApprovalPolicy

enableUserStatus

UserHelpDeskApprovalPolicy

disableUserStatus

UserHelpDeskApprovalPolicy

enableUserStatus

UserHomeOrgApprovalPolicy

modifyUserAccounts

UserHomeOrgApprovalPolicy

deleteUserAccounts

UserHomeOrgApprovalPolicy

addUserEntitlements

UserHomeOrgApprovalPolicy

disableUserStatus

UserHomeOrgApprovalPolicy

createUser

UserHomeOrgApprovalPolicy

addUserRoles

UserHomeOrgApprovalPolicy

disableUserAccount

UserHomeOrgApprovalPolicy

deleteUserRoles

UserHomeOrgApprovalPolicy

deleteUser

UserHomeOrgApprovalPolicy

deleteUserEntitlements

UserHomeOrgApprovalPolicy

enableUserAccount

UserHomeOrgApprovalPolicy

addUserAccounts

UserHomeOrgApprovalPolicy

modifyUser

UserHomeOrgApprovalWithAttributesPolicy

enableUserStatus

UserManagementChainApprovalPolicy

modifyUserAccounts

UserManagementChainApprovalPolicy

deleteUserAccounts

UserManagementChainApprovalPolicy

addUserEntitlements

UserManagementChainApprovalPolicy

disableUserStatus

UserManagementChainApprovalPolicy

addUserRoles

UserManagementChainApprovalPolicy

createUser

UserManagementChainApprovalPolicy

disableUserAccount

UserManagementChainApprovalPolicy

deleteUserRoles

UserManagementChainApprovalPolicy

deleteUser

UserManagementChainApprovalPolicy

deleteUserEntitlements

UserManagementChainApprovalPolicy

enableUserAccount

UserManagementChainApprovalPolicy

addUserAccounts

UserManagementChainApprovalPolicy

modifyUser

UserManagementChainApprovalWithAttributesPolicy

enableUserStatus

UserSPMLAdminApprovalPolicy

disableUserStatus

UserSPMLAdminApprovalPolicy

createUser

UserSPMLAdminApprovalPolicy

addUserRoles

UserSPMLAdminApprovalPolicy

deleteUserRoles

UserSPMLAdminApprovalPolicy

deleteUser

UserSPMLAdminApprovalPolicy

modifyUser

UserSPMLAdminApprovalWithAttributesPolicy

addUserRoles

UserSelfServiceApprovalPolicy

deleteUserRoles

UserSelfServiceApprovalPolicy

deleteUserEntitlements

UserSelfServiceApprovalPolicy

deleteUserAccounts

UserSelfServiceApprovalPolicy

addUserEntitlements

UserSelfServiceApprovalPolicy

addUserAccounts

UserSelfServiceApprovalPolicy

modifyUser

UserSelfServiceApprovalWithAttributesPolicy

enableUserStatus

UserViewerApprovalPolicy

modifyUserAccounts

UserViewerApprovalPolicy

deleteUserAccounts

UserViewerApprovalPolicy

addUserEntitlements

UserViewerApprovalPolicy

disableUserStatus

UserViewerApprovalPolicy

addUserRoles

UserViewerApprovalPolicy

createUser

UserViewerApprovalPolicy

disableUserAccount

UserViewerApprovalPolicy

deleteUserRoles

UserViewerApprovalPolicy

deleteUser

UserViewerApprovalPolicy

deleteUserEntitlements

UserViewerApprovalPolicy

enableUserAccount

UserViewerApprovalPolicy

addUserAccounts

UserViewerApprovalPolicy

modifyUser

UserViewerApprovalWithAttributesPolicy

直接報告先以外のユーザーのピアに対するリクエストの検索/提起を無効にするには、次の手順を実行します。

  1. ユーザーのホーム組織ポリシーを無効化/非アクティブ化/削除して、ピア権限を拒否します。これらのポリシーは、次のとおりです。

    • ユーザー・ホーム組織承認ポリシー

    • ユーザー・ホーム組織直接ポリシー

    • ユーザー・ホーム組織直接(属性利用)ポリシー

  2. 間接報告先に対するリクエストの検索、表示、提起を拒否するには、次の手順を実行します。

    1. デフォルトでは、Oracle Identity Managerにより、間接報告先に対するリクエストの検索、表示、提起が許可されています。間接報告先からの許可を削除するには、認可プラグインを作成後、isDirectReporteeとして属性を渡し、その値をTRUE/FALSEとして返します。

    2. ポリシー条件で属性を使用するために、次のユーザー・ポリシーを更新します。

      • ユーザー管理チェーン承認ポリシー

      • ユーザー管理チェーン承認(属性利用)ポリシー

      • ユーザー管理チェーン直接(属性利用)ポリシー

3.4.1.10 セルフ・プロファイルの拒否属性の制御

セルフ・プロファイルの拒否属性を制御するには、APMを使用して次の認可ポリシーのポリシー責任を変更します。

  • OrclOIMUserHomeOrgDirectWithAttributesPolicy

  • OrclOIMUserSelfServiceDirectWithAttributesPolicy

3.5 機能セキュリティの強制

次の方法で、セキュリティを強制できます。

機能セキュリティを実装するために、最初にJAVA認可ファイルがPlatformUIで作成されます。このファイルには、各機能またはページまたはモジュールのPolicyConstants (OESポリシー)で定義されるすべての権限のUIPermission変数が含まれています。すべての認可ファイルは、JDeveloperのMainUIプロジェクトのadfc-config.xmlファイルにエントリを持ちます。

機能セキュリティの実装では、次の操作を実行します。

3.5.1 タスク・フローまたはリージョンの実装

このレベルの実装では、ユーザーの権限に基づいてそのユーザーに対してタスク・フロー・リージョンを非表示にするか、無効化するかが決定されます。リージョンを保護する場合は、次の例を検討してください。my-access-accounts.jsffページでは、タスク・フローdetails-information-tfが、次に示す式言語(EL)構文に従う式を使用して、エンド・ユーザーに対して選択的にレンダリングされます。

rendered="#{oimappinstanceAuth.view[bindings.appInstanceKey].allowed}"

説明:

  • oimappinstanceAuthは、adfc-config.xmlファイルでの、ApplicationInstanceAuthz.java認可Beanのマップ名です。

  • viewは、チェックされるUIPermissionの名前です。ApplicationInstanceAuthz.java (oimappinstanceAuthの参照用の実際のBeanファイル)で定義されている権限は次のとおりです。

    private UIPermission view = new UIPermission(PolicyConstants.Resources.APPLICATION_INSTANCE.getId(), PolicyConstants.ApplicationInstanceActions.VIEW_SEARCH.getId());

  • appInstanceKeyは、ユーザーが表示しようとしているアプリケーション・インスタンスのIDで、これはパラメータとして渡されます。

3.5.2 定義済のアクション

リクエストの作成、変更、無効化、有効化、失効、削除、取消しなどのアクションを、ユーザーの権限に基づいてそのユーザーに対して非表示にするか、無効化するかを決定します。たとえば、「作成」ボタンは、ユーザーを作成する権限を持つユーザーのみに表示されます。

PolicyConstantsに基づいてUserAuthz.javaで定義されている権限を次に示します。

private UIPermission create = new UIPermission (PolicyConstants.Resources.USER.getId(), PolicyConstants.UserActions.CREATE.getId());

MainUIプロジェクトのadfc-config.xmlでのUserAuthz.javaのマッピング・エントリは、次のとおりです。

<managed-bean id="__30">
<managed-bean-name id="__36">oimuserAuth</managed-bean-name>
<managed-bean-class id="__29">oracle.iam.ui.platform.view.authz.UserAuthz</managed-bean-class>
<managed-bean-scope id="__31">session</managed-bean-scope>
</managed-bean>

これで、JSFFページで定義される権限のEL式を定義できます。search-users.jsffでは、rendered属性に次のEL式を使用します(この例では「作成」ボタンです)。

<af:commandToolbarButton rendered="#{oimuserAuth.create.allowed}"

このrendered属性で定義されているEL式は、戻されるブール値に基づいてボタンを表示または非表示にします。そうしない場合は、renderedではなくdisabled属性としてEL式を定義することによって、ボタンを読取り専用にできます。これで、「作成」ボタンは、ユーザーのロールにポリシーで定義された権限が含まれる場合にのみ表示されます。

同様に、変更、有効化、無効化などのアクションのEL式を定義することもできます、EL式を使用するもう1つの例として、パスワードのリセットをヘルプデスク管理者のみが実行可能にし、その他のユーザーに対しては非表示にするか、読取り専用にすることがあります。

3.5.3 フィールドレベル・セキュリティの実装

フィールドは、ユーザーがそのフィールドを表示する権限を持つかどうかに基づいて表示されます。表示フィールドを保護する場合は、次の例を検討してください。

userdetails.jsffページの「属性」タブの、「名」、「姓」などのユーザー属性は、次のEL式で保護されています。

rendered="#{oimuserAuth.viewSearch.attributes[bindings.firstName.hints.OIM_ATTRIBUTE]}"

説明:

  • oimuserAuthは、adfc-config.xml内での、UserAuthz.javaのマップ名です。

  • viewsearchはUIPermission名であり、保護されるフィールドのOracle Identity Manager属性名がパラメータとして渡されます。

  前
前 		 次
次
  目次へ移動
目次		 索引へ移動
索引