Oracle® Fusion Middleware Oracle Privileged Account Manager管理者ガイド

11g リリース2 (11.1.2)

B69534-04(原本部品番号:E27152-05)

目次

例一覧

図一覧

表一覧

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

このガイドの最新情報

- 11gリリース2 (11.1.2.1.0)の新機能と変更機能

- 11gリリース2 (11.1.2.1.0)に関するこのガイドにおける大きな変更

第I部 Oracle Privileged Account Managerの理解

1 Oracle Privileged Account Managerの理解

- 1.1 Oracle Privileged Account Managerとは

- 1.2 Oracle Privileged Account Managerを使用する理由

- 1.2.1 機能

- 1.2.2 特長

- 1.2.3 アーキテクチャおよびトポロジ

- 1.3 Oracle Privileged Account ManagerのOracle Fusion Middlewareへのデプロイ方法

2 Oracle Privileged Account Managerのセキュリティの理解

- 2.1 概要

- 2.2 Oracle Privileged Account Managerの認証の理解

- 2.2.1 Oracle Privileged Account Managerコンソールの認証

- 2.2.2 Oracle Privileged Account Managerサーバーの認証

- 2.3 Oracle Privileged Account Managerの認可の理解

- 2.3.1 管理ロールのタイプ

- 2.3.2 エンド・ユーザー

- 2.4 Oracle Privileged Account Managerの保護

- 2.4.1 ネットワーク・チャネルの保護

- 2.4.1.1 ターゲット・システムへの接続

- 2.4.1.2 エンド・ユーザー・インタフェースの保護

- 2.4.2 共有アカウントの保護

- 2.4.2.1 共有アカウントとは

- 2.4.2.2 セキュリティの制限

- 2.4.2.3 アカウントを保護する方法

- 2.4.3 パスワード・リセットの有効化

- 2.4.4 複数パスを通じた割当ての回避

- 2.4.5 高度なパスワード・ポリシーの定義

- 2.4.6 バックエンドOracle Privileged Account Managerデータベースの強化

第II部 基本的な管理

3 Oracle Privileged Account Managerの管理の概要

- 3.1 11gリリース2 (11.1.2)のインストール後の作業

- 3.2 Oracle Privileged Account ManagerでのICFコネクタの理解

- 3.2.1 ICFコネクタについて

- 3.2.2 Oracle Privileged Account Managerコネクタ・バンドルの場所の特定

- 3.2.3 ICFコネクタの使用

- 3.3 Oracle Privileged Account Managerの起動

- 3.3.1 WebLogicの起動

- 3.3.2 Oracle Privileged Account Managerの外部アイデンティティ・ストアの構成

- 3.3.3 アイデンティティ・ストアの準備

- 3.3.3.1 Oracle Privileged Account Managerに使用するディレクトリ・スキーマの拡張

- 3.3.3.2 Oracle Privileged Account Managerに使用するユーザーおよびグループの作成

- 3.3.4 ユーザーへのアプリケーション構成者ロールの割当て

- 3.3.5 Oracle Privileged Account ManagerのWebベースのコンソールの起動

- 3.4 Oracle Privileged Account Managerのコンソールのナビゲート

- 3.4.1 「ホーム」アコーディオンの使用

- 3.4.2 「管理」アコーディオンの使用

- 3.4.3 「レポート」アコーディオンの使用

- 3.4.4 「構成」アコーディオンの使用

- 3.4.5 検索ポートレットの使用

- 3.4.6 検索結果表の使用

4 Oracle Privileged Account Managerサーバーの追加と管理

- 4.1 概要

- 4.2 前提作業

- 4.3 Oracle Privileged Account Managerサーバーの管理

- 4.3.1 Oracle Privileged Account Managerサーバーへの接続の構成

- 4.3.2 Oracle Privileged Account Managerサーバーのプロパティの管理

- 4.3.2.1 コンソールから

- 4.3.2.2 コマンドラインから

5 Oracle Privileged Account Managerの構成および管理

- 5.1 Oracle Privileged Account Managerの管理

- 5.1.1 ポリシーの使用

- 5.1.1.1 ポリシーの概要

- 5.1.1.2 ポリシーの検索

- 5.1.1.3 ポリシーの表示

- 5.1.1.4 デフォルト・パスワード・ポリシーの変更

- 5.1.1.5 デフォルト使用ポリシーの変更

- 5.1.1.6 パスワード・ポリシーの作成

- 5.1.1.7 使用ポリシーの作成

- 5.1.1.8 ポリシーの割当て

- 5.1.1.9 ポリシーの削除

- 5.1.2 ターゲットの使用

- 5.1.2.1 ターゲットとは

- 5.1.2.2 Oracle Privileged Account Managerへのターゲットの追加

- 5.1.2.3 ターゲットの検索

- 5.1.2.4 ターゲットを開く

- 5.1.2.5 ターゲットのサービス・アカウント・パスワードの管理

- 5.1.2.6 Oracle Privileged Account Managerからのターゲットの削除

- 5.1.3 特権アカウントの使用

- 5.1.3.1 特権アカウントとは

- 5.1.3.2 Oracle Privileged Account Managerへの特権アカウントの追加

- 5.1.3.3 特権アカウントの検索

- 5.1.3.4 特権アカウントを開く

- 5.1.3.5 特権アカウントのチェックアウト

- 5.1.3.6 特権アカウントのチェックイン

- 5.1.3.7 アカウント・パスワードの管理

- 5.1.3.8 Oracle Privileged Account Managerからの特権アカウントの削除

- 5.1.4 権限受領者の使用

- 5.1.4.1 権限受領者とは

- 5.1.4.2 ユーザーへのアカウントの付与

- 5.1.4.3 グループへのアカウントの付与

- 5.1.4.4 権限受領者の検索

- 5.1.4.5 権限受領者を開く

- 5.1.4.6 アカウントからの権限受領者の削除

- 5.1.5 レポートの使用

- 5.1.5.1 デプロイメント・レポートの使用

- 5.1.5.2 使用状況レポートの使用

- 5.1.5.3 エラー・レポートの使用

- 5.1.6 Oracle Privileged Account Managerの再ブランド化

- 5.1.6.1 ログイン・ページのカスタマイズ

- 5.1.6.2 Oracle Privileged Account Managerページのカスタマイズ

- 5.2 セルフサービスの使用

- 5.2.1 セルフサービスのワークフロー

- 5.2.2 アカウントの表示

- 5.2.3 アカウントの検索

- 5.2.4 アカウントのチェックアウトおよびチェックイン

- 5.2.5 チェックアウトしたアカウントの表示

- 5.2.6 パスワードの表示

- 5.3 テスト環境から本番環境への移行

6 Oracle Privileged Account Managerの監査およびロギングの管理

- 6.1 Oracle Privileged Account Managerの監査の理解

- 6.1.1 Oracle Privileged Account Managerでの監査の構成

- 6.1.1.1 Oracle Privileged Account Managerでのファイル・ベース監査の構成

- 6.1.1.2 Oracle Privileged Account Managerでのデータベース・ベース監査の構成

- 6.1.1.3 BI PublisherでのOracle Privileged Account Manager監査レポートのデプロイ

- 6.1.1.4 監査ロギング・レベルの設定

- 6.1.2 Oracle Privileged Account Manager監査レポートの理解

- 6.1.3 CSFの資格証明のアプリケーション負荷の監査

- 6.2 Oracle Privileged Account Managerのロギングの理解

- 6.2.1 基本的なロギングの構成

- 6.2.2 ロギング・データの例

第III部 高度な管理

7 Oracle Privileged Account Managerの拡張構成タスクの実行

- 7.1 SSL経由でターゲット・システムと接続するためのOracle Privileged Account Managerの構成

- 7.2 ディスク上のデータの保護

- 7.2.1 TDEモードの有効化

- 7.2.2 TDEモードの無効化

- 7.3 既存のOracle Privileged Account Managerインストール環境への新規コネクタの追加

- 7.3.1 オラクル社提供によるコネクタの追加

- 7.3.2 カスタム・コネクタの追加

8 統合ソリューション向けのOracle Privileged Account Managerの構成

- 8.1 Oracle Identity Managerとの統合

- 8.1.1 概要

- 8.1.2 前提作業

- 8.1.2.1 Oracle Identity Managerのインストール

- 8.1.2.2 Oracle Identity Manager管理者の構成

- 8.1.2.3 外部アイデンティティ・ストアの構成

- 8.1.2.4 LDAPグループの作成

- 8.1.2.5 Oracle Privileged Account ManagerのCA証明書の追加

- 8.1.3 統合のためのOracle Identity Managerの設定

- 8.1.3.1 汎用LDAPコネクタのインストールおよび構成

- 8.1.3.2 アプリケーション・インスタンスの作成

- 8.1.4 opamSetupスクリプトの実行

- 8.1.5 OPAM_TAGS UDFの作成

- 8.1.6 Oracle Privileged Account Managerのメタデータによるカタログ・エントリのタグ付け

- 8.2 Oracle Access Management Access Managerとの統合

- 8.2.1 前提作業

- 8.2.2 シングル・サインオンの有効化

- 8.2.2.1 エージェント用の新しいリソースの構成

- 8.2.2.2 Access Managerドメイン用のOracle HTTP Serverの構成

- 8.2.2.3 新しいアイデンティティ・プロバイダの追加

- 8.2.2.4 複数のアプリケーションに対するアクセスの構成

- 8.3 資格証明ストア・フレームワークとの統合

- 8.3.1 Oracle Privileged Account Manager管理のCSF資格証明の理解

- 8.3.2 プロビジョニング

- 8.3.3 ライフサイクル管理

- 8.3.4 アプリケーション負荷

第IV部 付録

A コマンドライン・ツールの使用

- A.1 コマンドライン・ツールの起動

- A.2 Oracle Privileged Account Managerコマンド

- A.2.1 コマンドの発行

- A.2.2 addaccountコマンド

- A.2.3 addpasswordpolicyコマンド

- A.2.4 addtargetコマンド

- A.2.5 addusagepolicyコマンド

- A.2.6 checkinコマンド

- A.2.7 checkoutコマンド

- A.2.8 displayallaccountsコマンド

- A.2.9 displayallgroupsコマンド

- A.2.10 displayalltargetsコマンド

- A.2.11 displayallusersコマンド

- A.2.12 displaycheckedoutaccountsコマンド

- A.2.13 exportコマンド

- A.2.14 filedecryptionコマンド

- A.2.15 getglobalconfigコマンド

- A.2.16 getserverstatusコマンド

- A.2.17 grantgroupaccessコマンド

- A.2.18 grantuseraccessコマンド

- A.2.19 importコマンド

- A.2.20 modifyaccountコマンド

- A.2.21 modifyglobalconfigコマンド

- A.2.22 modifypasswordpolicyコマンド

- A.2.23 modifytargetコマンド

- A.2.24 modifyusagepolicyコマンド

- A.2.25 removeaccountコマンド

- A.2.26 removegroupaccessコマンド

- A.2.27 removepasswordpolicyコマンド

- A.2.28 removetargetコマンド

- A.2.29 removeusagepolicyコマンド

- A.2.30 removeuseraccessコマンド

- A.2.31 resetpasswordコマンド

- A.2.32 resettargetpasswordコマンド

- A.2.33 retrieveaccountコマンド

- A.2.34 retrievegranteesコマンド

- A.2.35 retrievegroupコマンド

- A.2.36 retrievepasswordpolicyコマンド

- A.2.37 retrievetargetコマンド

- A.2.38 retrieveusagepolicyコマンド

- A.2.39 retrieveuserコマンド

- A.2.40 searchaccountコマンド

- A.2.41 searchgroupコマンド

- A.2.42 searchtargetコマンド

- A.2.43 searchuserコマンド

- A.2.44 showpasswordコマンド

- A.2.45 showpasswordhistoryコマンド

- A.2.46 showtargetpasswordコマンド

B Oracle Privileged Account ManagerのRESTfulインタフェースの使用

- B.1 サーバー状態リソース

- B.1.1 サーバー状態の取得

- B.2 構成リソース

- B.2.1 構成リソースの取得

- B.2.2 構成リソースの更新

- B.3 ターゲット・リソース

- B.3.1 ターゲット属性の取得

- B.3.2 ターゲットの追加

- B.3.3 ターゲットの検証

- B.3.4 ターゲットの取得

- B.3.5 ターゲットの更新

- B.3.6 ターゲットの削除

- B.3.7 ターゲットの検索

- B.3.8 使用可能なアカウントの取得

- B.3.9 ターゲットで登録されているアカウントの取得

- B.3.10 ターゲット・タイプの取得

- B.3.11 パスワードのリセット

- B.3.12 サービス・アカウント・パスワードの表示

- B.4 アカウント・リソース

- B.4.1 ターゲットへのアカウントの追加

- B.4.2 アカウントの検証

- B.4.3 アカウントの取得

- B.4.4 パスワードのリセット

- B.4.5 アカウントの更新

- B.4.6 アカウントの適用可能な使用ポリシーの取得

- B.4.7 アカウントの削除

- B.4.8 アカウントに対するユーザーまたはロールのアクセス権の付与

- B.4.9 アカウントに対するユーザーまたはロールのアクセス権の削除

- B.4.10 アカウントのCSFマップとキーの追加または削除

- B.4.11 アカウントの権限受領者の取得

- B.4.12 アカウントのチェックアウト

- B.4.13 アカウントのチェックイン

- B.4.14 アカウントをチェックアウトしたユーザーの取得

- B.4.15 パスワードの表示

- B.4.16 パスワード履歴の表示

- B.5 UIリソース

- B.5.1 アカウントの検索

- B.5.2 割当て済アカウントの検索

- B.5.3 すべてのチェックアウト済アカウントの取得

- B.6 ユーザー・リソース

- B.6.1 ユーザーの取得

- B.6.2 ユーザーに付与されているすべてのアカウントの取得

- B.6.3 アイデンティティ・ストアからのユーザーの検索

- B.6.4 割当て済ユーザーの検索

- B.7 グループ・リソース

- B.7.1 グループの取得

- B.7.2 グループのメンバー・ユーザーの取得

- B.7.3 グループのメンバー・グループの取得

- B.7.4 グループに付与されているすべてのアカウントの取得

- B.7.5 アイデンティティ・ストアからのグループの検索

- B.7.6 割当て済グループの拡張検索

- B.8 使用ポリシー・リソース

- B.8.1 使用ポリシーの作成

- B.8.2 使用ポリシーの取得

- B.8.3 使用ポリシーの権限の取得

- B.8.4 使用ポリシーの更新

- B.8.5 使用ポリシーの削除

- B.9 パスワード・ポリシー・リソース

- B.9.1 パスワード・ポリシーの作成

- B.9.2 パスワード・ポリシーの取得

- B.9.3 パスワード・ポリシーのアカウントの取得

- B.9.4 パスワード・ポリシーの削除

- B.9.5 パスワード・ポリシーの更新

- B.10 ポリシー・リソース

- B.10.1 ポリシーの検索

- B.10.2 デフォルト・ポリシーの取得

C Oracle Privileged Account Managerのトラブルシューティング

- C.1 一般的な障害と解決策

- C.1.1 コンソールがOracle Privileged Account Managerサーバーに接続できない

- C.1.2 コンソールの変更が開いている他のページに反映されない

- C.1.3 ターゲットまたはアカウントにアクセスできない

- C.1.4 データベース・ターゲットを追加できない

- C.1.4.1 sysdbaロールでOracle Databaseに接続できない

- C.1.4.2 データベース・ターゲットの追加に関する特別なオプションを検出できない

- C.1.5 Active Directory LDAPターゲットを追加できない

- C.1.6 権限受領者がチェックアウトを実行できない

- C.1.7 構成済のリモートIDストアからユーザーやロールを表示できない

- C.1.8 グループ・メンバーシップの変更がOracle Privileged Account Managerに即座に反映されない

- C.1.9 エクスポート/インポートにさらに大きな鍵サイズを使用できない

- C.1.10 Oracle Privileged Account Managerのエンド・ユーザーが明示的に付与されていない権限を取得する

- C.1.11 MSSQL Serverのターゲットおよびアカウントにアクセスできない

- C.2 Oracle Privileged Account Managerに関する問題の診断

- C.2.1 ログ・レベルの向上

- C.2.2 ログの例外の調査

- C.3 詳細情報

用語集

索引

例一覧

- A-1 Oracle Privileged Account Manager要素のサンプルのXML定義

- A-2 データの作成

- A-3 データの変更: アカウント・パスワード・ポリシーの変更

- A-4 データの変更: パスワード・ポリシーの変更

- A-5 データの削除: ターゲットの削除

- A-6 データの削除: アカウントの削除

- B-1 サーバー・ステータスのJSON出力の例

- B-2 configオブジェクトのサンプルJSON表現

- B-3 変更のJSON出力の例

- B-4 サポートされているターゲット・タイプと属性のJSON表記の出力

- B-5 ターゲットの追加のサンプルJSON表現(ldap TargetType)

- B-6 ターゲットの追加のサンプルJSON表現(database TargetType)

- B-7 ターゲットの追加のサンプルJSON表現(unix TargetType)

- B-8 ターゲットの追加または検証のサンプルJSON表現

- B-9 ターゲットのサンプルJSON表現(ldap TargetType)

- B-10 ターゲットのサンプルJSON表現(database TargetType)

- B-11 ターゲットのサンプルJSON表現(unix TargetType)

- B-12 ターゲット変更のサンプルJSONオブジェクト

- B-13 ターゲット収集のサンプルJSON表現

- B-14 アカウント収集のサンプルJSON表現

- B-15 アカウントのURI収集のサンプルJSON表現

- B-16 サポートされるターゲット・タイプのサンプルJSON表現

- B-17 新規パスワードのサンプルJSON表現

- B-18 アカウント・トークンのサンプルJSON表現

- B-19 アカウントの追加または検証のサンプルJSON表現

- B-20 アカウントの追加または検証のサンプルJSON表現

- B-21 アカウントのサンプルJSON表現

- B-22 新規パスワードのサンプルJSON表現

- B-23 アカウント変更のサンプルJSON表現

- B-24 使用ポリシーのサンプルJSON表現

- B-25 権限受領者の追加のサンプルJSON表現

- B-26 権限受領者の削除のサンプルJSON表現

- B-27 マップとキーの追加/削除のサンプルJSON表現

- B-28 権限受領者のサンプルJSON表現

- B-29 アカウント・トークンのサンプルJSON表現

- B-30 アカウントの強制的チェックインのサンプルJSON表現

- B-31 アカウントをチェックアウトしたユーザーのサンプルJSON表現

- B-32 アカウント・トークンのサンプルJSON表現

- B-33 アカウント・トークンのサンプルJSON表現

- B-34 アカウント収集のサンプルJSON表現

- B-35 アカウント収集のサンプルJSON表現

- B-36 アカウント収集のサンプルJSON表現

- B-37 ユーザーのサンプルJSON表現

- B-38 アカウント収集のサンプルJSON表現

- B-39 ユーザーのサンプルJSON表現

- B-40 ユーザーのサンプルJSON表現

- B-41 グループのサンプルJSON表現

- B-42 ユーザー収集のサンプルJSON表現

- B-43 グループ収集のサンプルJSON表現

- B-44 アカウント収集のサンプルJSON表現

- B-45 グループのサンプルJSON表現

- B-46 グループのサンプルJSON表現

- B-47 使用ポリシーの作成のサンプルJSON表現

- B-48 使用ポリシーのサンプルJSON表現

- B-49 権限のサンプルJSON表現

- B-50 使用ポリシーの変更のサンプルJSON表現

- B-51 パスワード・ポリシーの作成のサンプルJSON表現

- B-52 パスワード・ポリシーのサンプルJSON表現

- B-53 アカウントのサンプルJSON表現

- B-54 パスワード・ポリシーの変更のサンプルJSON表現

- B-55 ポリシーのサンプルJSON表現

- B-56 ポリシーのサンプルJSON表現

図一覧

- 1-1 Oracle Privileged Account Managerのアーキテクチャおよびトポロジ

- 1-2 Oracle Fusion Middleware内にデプロイされたOracle Privileged Account Manager

- 2-1 Oracle Privileged Account Managerでのトラストベースの認証

- 3-1 Oracle Privileged Account Managerコンソール(完全な権限に対するビュー)

- 3-2 Oracle Privileged Account Managerコンソール(セルフサービスに対するビュー)

- 3-3 検索ポートレットの例

- 3-4 検索結果表の例

- 4-1 サーバー・アーキテクチャ

- 4-2 「構成」アコーディオン

- 4-3 「構成」アコーディオン

- 5-1 チェックアウトできるアカウント

- 6-1 Oracle Privileged Account Manager監査レポートの例

- 6-2 ロギング・レポートの例

- 8-1 Oracle Identity Managerのワークフロー・トポロジ

- 8-2 Oracle Privileged Account Managerのプロビジョニング・プロセス

- 8-3 Oracle Privileged Account ManagerでのCSFの使用方法

表一覧

- 2-1 サポートされる管理ロール

- 3-1 デフォルト・アプリケーションURL

- 3-2 デフォルト・ポート

- 3-3 参照マニュアル

- 3-4 検索ポートレットのパラメータ

- 3-5 検索結果表の機能

- 4-1 参照マニュアル

- 5-1 管理ロールに基づく管理者ワークフロー

- 6-1 Oracle Privileged Account Manager監査イベント

- 6-2 監査ロギング・レベル

- 6-3 Oracle Privileged Account Manager関連ログ・ファイル

- 7-1 トラストストアの場所

Oracle® Fusion Middleware

Oracle Privileged Account Manager管理者ガイド

11g リリース2 (11.1.2)

B69534-04(原本部品番号:E27152-05)

2013年6月

管理者およびエンド・ユーザーを対象としたドキュメントです。このドキュメントでは、Oracle Privileged Account Managerを使用して、組織内の特権アカウントとパスワードを管理および監査し、それらのセキュリティを強化する方法について説明します。

Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド, 11gリリース2 (11.1.2)

B69534-04

Copyright © 2012, 2013 Oracle and/or its affiliates.All rights reserved.

原本著者:  K. C. Francis

原本協力者: Buddhika Kottahachchi、Arun Theebaprakasam、Fannie Ho、Ayush Jindal、Kwan-I Lee、An Li、Vishal Mishra、Himanshu Sharma、Olaf StullichおよびMark Wilcox

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントが、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供される場合は、次のNoticeが適用されます。

U.S. GOVERNMENT RIGHTS Programs, software, databases, and related documentation and technical data delivered to U.S. Government customers are "commercial computer software" or "commercial technical data" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, the use, duplication, disclosure, modification, and adaptation shall be subject to the restrictions and license terms set forth in the applicable Government contract, and, to the extent applicable by the terms of the Government contract, the additional rights set forth in FAR 52.227-19, Commercial Computer Software License (December 2007).Oracle America, Inc., 500 Oracle Parkway, Redwood City, CA 94065.

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、このソフトウェアまたはハードウェアを安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracleおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXはThe Open Groupの登録商標です。

このソフトウェアまたはハードウェアおよびドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

はじめに

『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』へようこそ。このマニュアルでは、エンタープライズ・インフラストラクチャでOracle Privileged Account Managerを使用および管理する際に必要な情報を提供します。

対象読者

『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』は、ターゲット・システムおよびクライアント・アプリケーションへの接続、ターゲット・システムのアクセス・パスワードの構成、およびロールの作成とそのロールへのユーザーの割当てができるOracle Privileged Account Manager管理者を対象としています。

管理者がこのドキュメントのコマンドライン構文と例を理解するには、UNIXオペレーティング・システムまたはMicrosoft Windowsオペレーティング・システムをよく理解している必要があります。また、Lightweight Directory Access Protocol (LDAP)も十分に理解している必要があります。

このマニュアルは、管理権限は付与されていないが、特権アカウントにチェックイン/チェックアウトする権限が付与されているエンド・ユーザーも対象としています。

ドキュメントのアクセシビリティについて

オラクル社は、オラクル社の製品、サービスおよびサポート・ドキュメントを、障害のあるお客様を含むすべてのお客様にご利用いただけることを目標としています。オラクル社のドキュメントには、ユーザーが障害支援技術を使用して情報を利用できる機能が組み込まれています。HTML形式のドキュメントで用意されており、障害のあるお客様が簡単にアクセスできるようにマークアップされています。標準規格は改善されつつあります。オラクル社はドキュメントをすべてのお客様がご利用できるように、市場をリードする他の技術ベンダーと積極的に連携して技術的な問題に対応しています。

オラクル社のアクセシビリティへの取組みの詳細は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=docaccを参照してください。

ドキュメント内のサンプル・コードのアクセシビリティについて

スクリーン・リーダーは、ドキュメント内のサンプル・コードを正確に読めない場合があります。コード表記規則では閉じ括弧のみを行に記述する必要があります。しかし、一部のスクリーン・リーダーは括弧のみの行を読まない場合があります。

外部Webサイトのドキュメントのアクセシビリティについて

このドキュメントにはオラクル社およびその関連会社が所有または管理しないWebサイトへのリンクが含まれている場合があります。オラクル社およびその関連会社は、それらのWebサイトのアクセシビリティに関しての評価や言及は行っておりません。

Oracleサポートへのアクセス

Oracleのお客様は、My Oracle Supportにアクセスして電子サポートを受けることができます。詳細は、http://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoまたはhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs (聴覚障害者向け)を参照してください。

関連ドキュメント

詳細は、Oracle Identity Manager 11gリリース2 (11.1.2)のドキュメント・セットに含まれる次のドキュメントを参照してください。

- Oracle Fusion Middleware管理者ガイド

- Oracle Fusion Middleware Oracle Identity Manager管理者ガイド

- Oracle Fusion Middleware Oracle Identity Navigator管理者ガイド

- Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド

- 『Oracle Database Advanced Security管理者ガイド』

- 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』

- Oracle Fusion Middleware Oracle Identity Manager開発者ガイド

- 『Oracle Fusion Middlewareインストレーション・プランニング・ガイド』

- 『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・プランニング・ガイド』

- Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド

- Oracle Fusion Middleware Oracle WebLogic Scripting Tool

- Oracle Fusion Middleware Oracle Identity Managementリリース・ノート

- Oracle Fusion Middleware Oracle WebLogic Serverの保護

- Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド

- 『Oracle Fusion Middleware Oracle WebLogic Serverセキュリティの理解』

- Oracle Fusion Middleware WebLogic Scripting Toolのコマンド・リファレンス

- Oracle Identity Manager Database User Managementコネクタ・ガイド

- Oracle Identity Manager Oracle Internet Directoryコネクタ・ガイド

表記規則

このマニュアルでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック体

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

このガイドの最新情報

この章では、このガイドで説明するOracle Privileged Account Managerの新しい管理機能と変更された管理機能について説明し、追加情報の参照先を示します。

内容は次のとおりです。

- 11gリリース2 (11.1.2.1.0)の新機能と変更機能

- 11gリリース2 (11.1.2.1.0)に関するこのガイドにおける大きな変更

11gリリース2 (11.1.2.1.0)の新機能と変更機能

Oracle Privileged Account Manager 11gリリース2 (11.1.2.1.0)には、次の新機能と変更機能が含まれます。

- 第5.1.1.4項「デフォルト・パスワード・ポリシーの変更」の手順4にある表が更新されました。パスワード履歴の保存オプションが追加されています。また、「パスワード最大期間」オプション名が「パスワード有効期限」に変更されました。

- ターゲットJ2EEコンテナとしてのIBM WebSphere Application Serverのサポートが追加されました。
このガイドに含まれる情報のほとんどは、Oracle WebLogic Server環境とIBM WebSphere環境の両方に適用されます。IBM WebSphereに対して概念や手順が異なる場合は、Oracle® Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイドのIBM WebSphere上のOracle Privileged Account Managerの管理に関する章に含まれる適切なトピックが参照先として提供されます。

- Oracle Privileged Account Managerを構成する際のセキュリティに関する問題を回避するための情報が追加されました。
詳細は、第2.4項「Oracle Privileged Account Managerの保護」を参照してください。

- グラフィカル・ユーザー・インタフェースのナビゲーション・ツリーが更新されました。
詳細は、第3.4項「Oracle Privileged Account Managerのコンソールのナビゲート」と第5項「Oracle Privileged Account Managerの構成および管理」を参照してください。

- 新しいユーザー・インタフェース・オプション、新しいコマンドライン属性、新しいREST APIなど、Oracle Privileged Account Managerを通じてターゲットのサービス・アカウント・ライフサイクルを管理するための新機能が追加されました。
詳細は、第5章「Oracle Privileged Account Managerの構成および管理」、付録A「コマンドライン・ツールの使用」および付録B「Oracle Privileged Account ManagerのRESTfulインタフェースの使用」を参照してください。

- 「アカウント」ページの「一般」タブに「現在の予約」セクションが追加されました。アカウントが現在チェックアウトされているユーザーを確認するには、このセクションを表示します。
詳細は、第5.1.3.5項「特権アカウントのチェックアウト」を参照してください。

- unmanagedターゲット・タイプの名前がlockboxに変更されました。lockboxターゲットでは、デプロイメント内の特権アカウントに関連付けられたパスワードの格納を目的とした、パスワード・ボールトに似た機能が提供されます。

注意:

unmanagedターゲット・タイプは、Oracle Privileged Account Managerリリース11.1.2.0.1で導入されました。

詳細は、第5.1.2.1項「ターゲットとは」と第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

- 適切な権限を持つ管理者が特権アカウントのパスワードの表示とリセットを行い、チェックアウトされたアカウントのチェックインを強制できるチェックイン機能が追加されました。
詳細は、次の場所を参照してください。

- 表3-5「検索結果表の機能」

- 第5.1.3.6項「特権アカウントのチェックイン」

- 第A.2.6項「checkinコマンド」

- 第B.4.13項「アカウントのチェックイン」

- ログイン・ページとOracle Privileged Account Managerのページをカスタマイズ(再ブランド化)できるようになりました。
詳細は、第5.1.6項「Oracle Privileged Account Managerの再ブランド化」を参照してください。

- Oracle Privileged Account ManagerのOracle Database TDE (透過的データ暗号化)モードを有効または無効にするための機能が追加されました。
詳細は、第7.2項「ディスク上のデータの保護」を参照してください。

- Oracle Privileged Account Managerコマンドライン・ツールの更新内容は、次のとおりです。
次の新しいコマンドが追加されました。

- addpasswordpolicy

- addusagepolicy

- filedecryption

- getserverstatus

- modifyaccount

- modifypasswordpolicy

- modifytarget

- modifyusagepolicy

- removeusagepolicy

- resetpassword

- resettargetpassword

- retrievepasswordpolicy

- retrieveusagepolicy

- showpasswordhistory

- showtargetpassword

また、checkinコマンドに追加された-forceオプションを使用すると、「ユーザー・マネージャ」管理ロールを持つ管理者は、他のユーザーによってチェックアウトされた特権アカウントをチェックインできます。

次のコマンドは、Oracle Privileged Account Managerコマンドライン・ツールから削除されました。

- displaydomaintree

- displaytargettypetree

詳細は、付録A「コマンドライン・ツールの使用」を参照してください。

- ターゲット属性の取得URIにロケールを入力する必要がなくなりました。ロケール情報は、HTTPヘッダーによって取得されます。
詳細は、第B.3.1項「ターゲット属性の取得」を参照してください。

11gリリース2 (11.1.2.1.0)に関するこのガイドにおける大きな変更

11gリリース2 (11.1.2.1.0)に関するこのガイドにおける大きな変更は、次のとおりです。

- 第3.4項「Oracle Privileged Account Managerのコンソールのナビゲート」の情報が再編成および更新され、Oracle Privileged Account Managerのユーザー・インタフェースに含まれるアコーディオンへの変更が反映されました。

- Oracle Privileged Account Managerで実行できる拡張構成タスクに関する説明を目的とした、第7章「Oracle Privileged Account Managerに対する拡張構成タスクの実行」が新しく追加されました。

- 次の項が第3章「Oracle Privileged Account Managerの管理の概要」から第7章「Oracle Privileged Account Managerに対する拡張構成タスクの実行」に移動しました。

- ターゲット・システムとSSL経由で通信するためのOracle Privileged Account Managerの構成

- 既存のOracle Privileged Account Managerインストール環境への新規コネクタの追加

- Oracle Privileged Account ManagerとOracle Identity Managerの統合に関する手順が更新および拡張されました。
詳細は、第8.1項「Oracle Identity Managerとの統合」を参照してください。

第I部

Oracle Privileged Account Managerの理解

この部では、Oracle Privileged Account Managerの概要および概念について説明し、次の章が含まれます。

- Oracle Privileged Account Managerの理解

- Oracle Privileged Account Managerのセキュリティの理解

1 Oracle Privileged Account Managerの理解

この章では、Oracle Privileged Account Managerの概要について説明します。この章の内容は次のとおりです。

- 第1.1項「Oracle Privileged Account Managerとは」

- 第1.2項「Oracle Privileged Account Managerを使用する理由」

- 第1.3項「Oracle Privileged Account ManagerのOracle Fusion Middlewareへのデプロイ方法」

1.1 Oracle Privileged Account Managerとは

Oracle Privileged Account Managerは、他のOracle Identity Managementコンポーネントによって管理されていない特権アカウントを管理します。

アカウントは、機密データにアクセスできる場合、機密データへのアクセス権を付与できる場合、またはそのデータへのアクセスとアクセス権付与の両方ができる場合に特権とみなされます。特権アカウントは、企業の最も強力なアカウントであり、頻繁に共有されます。

アカウントは、昇格された権限に関連付けられている場合、複数のエンド・ユーザーによってタスク別に使用される場合、制御および監査を受ける必要がある場合にOracle Privileged Account Managerによる管理の候補になります。

たとえば、次のアカウントにはセキュリティが必要であり、コンプライアンス規制を受ける可能性があります。

- UNIX root、Windows管理者およびOracle Database SYSDBAシステム・アカウント

- アプリケーション・アカウント(人事管理アプリケーションへの接続時にアプリケーション・サーバーによって使用されるデータベース・ユーザー・アカウントなど)

- 共有および昇格された従来の特権ユーザー・アカウント(システム管理者やデータベース管理者など)

管理者は、特定のデプロイメント内でどのアカウントに特権を付与するかを決定し、それらのアカウントを管理するようにOracle Privileged Account Managerを構成する必要があります。

Oracle Privileged Account Managerでは、通常、共有および昇格された特権アカウントを管理しますが、管理者はこれを使用して任意のタイプのアカウントのパスワードを管理することもできます。たとえば、ある従業員が長期休暇に入り、その従業員の電子メール・アカウントを使用して別の従業員がシステムにアクセスすることを許可する業務上の理由がある場合、Oracle Privileged Account Managerによってその権限を管理できます。

1.2 Oracle Privileged Account Managerを使用する理由

Oracle Privileged Account Managerによって、従来はいくつかの理由により管理が困難であった特権アカウントおよびパスワードを管理し、そのセキュリティを向上できます。

まず、特権アカウントには、一般的に通常のユーザー・アカウントより多くのアクセス権が付与されています。これらのアカウントは1人の特定の従業員に関連付けられていないことが多く、既存のツールやプロセスによる監査は困難であることが普通です。その結果、従業員が会社を退社すると、まだ使用できる特権アカウントのパスワードがそのまま残される可能性があり、コンプライアンスおよびセキュリティ上の非常に深刻な問題となります。

また、特権アカウントのパスワードを定期的に変更することは困難です。多くのユーザーがそのアカウントに依存している場合、パスワードを変更してユーザー全員に通知するには、調整のための作業が必要です。

最後に、パスワードへのアクセスを制御できなくなるため、パスワードを集中管理された場所や典型的な場所(LDAPなどの外部リポジトリやアプリケーション構成ファイルなど)に格納することは避けるのが普通です。

Oracle Privileged Account Managerは、次の機能を提供するため、特権アカウントとパスワードを安全に管理するための完全なソリューションとなります。

- 特権および共有アカウントのための集中管理されたパスワード管理(UNIXおよびLinuxのrootアカウント、Oracle Database SYSDBA、アプリケーション・アカウントおよびLDAP管理者アカウントを含む)

- 対話的なポリシーベースのアカウントのチェックアウトおよびチェックイン
Oracle Privileged Account Managerでは、認可されたすべてのユーザーは、アカウントを使用前にチェックアウトし、作業終了後にそのアカウントをチェックインする必要があります。Oracle Privileged Account Managerは、任意の時点におけるすべての共有管理者ユーザーの実際の身元(そのユーザーの名前)を追跡することで、アカウントのチェックアウトとチェックインを監査します。この情報を使用することで、Oracle Privileged Account Managerでは、どのユーザーが何に、いつ、どこでアクセスしたのかを示す完全な監査証跡を提供できます。

- アイデンティティ・コネクタ・フレームワーク(ICF)を使用した自動パスワード変更
Oracle Privileged Account Managerは、パスワードのチェックアウト時およびチェックイン時にパスワードを変更します(そのように構成されている場合)。したがって、ユーザーがあるパスワードをチェックアウトし、その後チェックインすると、そのユーザーは前にチェックアウトしたパスワードを使用できなくなります。

また、Oracle Privileged Account Managerは、アプリケーションの特権アカウントのパスワードを、それらのアプリケーションを変更することなく(90日ごとなどの)指定した間隔で変更でき、各パスワードをターゲット・システム上で同期化します。たとえば、Oracle Privileged Account Managerは、サービスとスケジュール済タスクの資格証明を更新できます。

- ユーザー管理、グループ管理およびワークフロー機能(Oracle Identity Managerとの統合による)
Oracle Privileged Account ManagerはOracle Identity Managerとシームレスに統合されているため、Oracle Privileged Account ManagerはこのOracle Identity Management製品を使用して、企業の特権アカウントに関連付けられているユーザーとグループを管理できます。また、Oracle Identity Managerで提供されるリクエスト・レベルの承認ワークフロー、運用レベルの承認ワークフローおよびプロビジョニング・ワークフローを通じて、適切なグループとユーザーのみが特権アカウントにアクセスできるようにOracle Privileged Account Managerを構成できます。

1.2.1 機能

Oracle Privileged Account Managerの主要機能は次のとおりです。

- 次を含む複数のアクセス・ポイント

- Oracle Privileged Account ManagerのWebベースのユーザー・インタフェース(コンソールと呼ばれる)
コンソールには次の2つのインタフェースが関連付けられています。

- 管理者: Oracle Privileged Account Manager管理者は、このインタフェースを使用してポリシー、ターゲット、アカウント、権限付与およびレポートを管理します。

- セルフサービス: Oracle Privileged Account Managerエンド・ユーザーは、このインタフェースを使用して、アカウントを検索、表示、チェックアウトおよびチェックインします。

詳細は、第3.4項「Oracle Privileged Account Managerのコンソールのナビゲート」を参照してください。

- Oracle Privileged Account Managerのコマンドライン・ツール(CLI)
CLIを使用すると、コンソールから実行するタスクのほとんどを実行できます。たとえば、CLIを使用して、アカウントのチェックアウトとチェックイン、ポリシー、ターゲット、アカウントおよび権限付与の作成と管理を実行できます。

詳細は、付録A「コマンドライン・ツールの使用」を参照してください。

- RESTful API
Oracle Privileged Account Managerは、RESTful APIを使用して、内部機能をアプリケーションとスクリプトに公開します。これらのAPIでは、Oracle Privileged Account Managerによって提供される機能との統合が必要なサードパーティが利用できる統合ポイントも提供されます。

注意:

これらのAPIは、Representative State Transfer (REST)標準に準拠しているため、RESTfulと見なされます。

詳細は、付録B「Oracle Privileged Account ManagerのRESTfulインタフェースの使用」を参照してください。

- 次のようなOracleテクノロジとの統合

- 認可用のOracle Platform Security Services (OPSS)ポリシー・ストア

- アイデンティティを認証してOracle Privileged Account Managerのユーザー・インタフェースからOracle Privileged Account Managerサーバーに伝播するためのOracle Platform Security Services (OPSS)トラスト・サービス

- ターゲット・システムに接続し、各システムにおける特権アカウントのパスワードの検出または更新(あるいはその両方)を行うためのアイデンティティ・コネクタ・フレームワーク(ICF)
また、ICFはオープン標準であるため、オラクル社がまだICFコネクタを作成していない他のタイプのターゲットに対しても独自のコネクタを記述できます。

ICFおよび独自コネクタ開発の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のアイデンティティ・コネクタ・フレームワークの理解に関する項およびJavaを使用したアイデンティティ・コネクタの開発に関する項または.Netを使用したアイデンティティ・コネクタの開発に関する項を参照してください。

- 次を含む複数のターゲット・タイプのサポート

- UNIXおよびLinuxオペレーティング・システム

- Oracle、MSSQL、MySQLおよびSybaseデータベース

- LDAP v3に準拠したディレクトリ

- 拡張レポート機能

- Oracle Privileged Account Managerのすぐに使用可能な監査レポートは、Oracle Business Intelligence Publisher 11g (BI Publisher)に統合されているため、特権アカウントを使用しているユーザーを確認できます。また、BI Publisherでは、データ・ソースが異なる書式設定されたレポートを作成および管理できます。

- Oracle Fusion Middleware監査フレームワークは、集中管理されたデータベースに監査イベントを記録します。Oracle Privileged Account Managerでは、これらのイベントを使用して監査レポートを生成します。

- 特権アカウントのアクセスに関連するイベントは、監査とアテステーションのためにOracle Identity ManagerおよびOracle Identity Analyticsに収集されます。

- 特権アカウントに対するポリシー・ドリブン・アクセス
Oracle Privileged Account Managerには、特権アカウントへのアクセス権の付与を目的とした、次の2つのタイプのポリシーがあります。

- パスワード・ポリシー: このポリシー・タイプは、関連する特権アカウントに対して特定のターゲットによって実施されるパスワード構成ルールを取得します。たとえば、アカウントのパスワードに使用する数字の最小および最大数を指定できます。また、パスワード・ポリシーを使用して、Oracle Privileged Account Managerが特権アカウントのパスワードをリセットするために使用するパスワード値を作成します。

- 使用ポリシー: このポリシー・タイプは、ユーザーまたはグループが特権アカウントにアクセスできる時期と頻度を定義します。

注意:

使用ポリシーを使用して時間間隔を指定しなかった場合、ユーザーまたはグループはいつでも(毎日どの時間でも)特権アカウントにアクセスできます。

- 有人アカウントおよび無人アカウントの管理機能

- 有人アカウントは、特定のグループまたはユーザーに割り当てられたアカウントです。

- 無人アカウントは、エンド・ユーザーによって使用されないアカウントです。
たとえば、Oracle Privileged Account ManagerはOPAMサービス・アカウントという無人アカウントを使用して、ターゲット・システムへの接続とその管理を実行します。このアカウントは、Oracle Privileged Account Manager関連のすべての操作(アカウントの検出やパスワードのリセットなど)をそのターゲット・システムで実行するため、OPAMサービス・アカウントにはいくつかの特別な権限とプロパティを付与する必要があります。

また、Oracle Privileged Account Managerは、CSFマッピング(アプリケーションが実行時にCSFを使用してパスワードを取得することを可能にします)を保持するアプリケーションやサービス・アカウントなど、その他の種類の無人アカウントも管理できます。

注意:

Oracle Privileged Account Managerの管理対象として、サービス・アカウントおよび特権アカウントと同じアカウントを使用しないようにする必要があります。

Oracle Privileged Account Managerにおけるサービス・アカウントの使用の詳細は、第5.1.2項「ターゲットの使用」を参照してください。

1.2.2 特長

第1.2項「Oracle Privileged Account Managerを使用する理由」で説明した機能に加え、Oracle Privileged Account Managerには次の特長があります。

- 特権アカウントとターゲットの関連付け

- 特権アカウントに対するアクセス権のユーザーおよびロールへの付与と、そのアクセス権の削除

- Oracle Privileged Account Managerのパスワード・リクエスト・システムで管理されているパスワードに対するロールベースのアクセスの提供

- パスワードのチェックアウトおよびチェックインによるアカウントへのアクセスの制御

- 無人アプリケーションがクライアント証明書認証を使用する場合に、管理されていない特権アカウントが保持される可能性の排除
クライアント証明書認証は、SSL証明書を(パスワードのかわりに)使用して、Oracle Privileged Account Managerサーバーに対する認証を実行します。

- チェックインおよびチェックアウト時にデフォルトでパスワードをランダム値にリセット
特権アカウントをチェックアウトしたが明示的にそのアカウントをチェックインしないユーザーに対応するため、指定した期間の経過後に特権アカウントを自動的にチェックインするようにOracle Privileged Account Managerを構成できます。

ユーザーが特権アカウントをチェックアウトできる期間を制限することもできます。

- サポートされているターゲットでのパスワード・リセットの管理

- 次のものを特定するための認可決定の実施

- エンド・ユーザーまたは管理者に公開するターゲット、特権アカウントおよびポリシー

- エンド・ユーザーおよび管理者が実行できる操作(追加、変更、チェックインおよびチェックアウト)

- ポリシーと特権アカウントの関連付け

- ターゲット、特権アカウント、ポリシーに対する作成、読取り、更新、削除および検索(CRUD)操作の実行とサポート
これは、Oracle Privileged Account ManagerのRESTful APIを通じて公開される主要機能です。チェックインやチェックアウトなどもRESTfulインタフェースを通じてサポートされます。

- Oracleの一般的な監査、ロギングおよびレポート機能を使用したアクセスの監視とレポート
Oracle Privileged Account Managerでは、Oracle Fusion Middleware ControlとOracle BI Publisherの監査、ロギングおよびレポート機能を使用して、ユーザーとグループが持つ特権アカウントへのアクセス権を監視およびレポートできます。

- 複数の高可用性機能の提供

1.2.3 アーキテクチャおよびトポロジ

次の図では、Oracle Privileged Account Managerのアーキテクチャおよびトポロジを示します。

図1-1 Oracle Privileged Account Managerのアーキテクチャおよびトポロジ

この図を確認する場合、次の点に注意することが重要です。

- Oracle Privileged Account Managerのコア・ロジックは、すべてOracle Privileged Account Managerサーバーに存在します。この機能は、データがJavaScript Object Notation (JSON)としてエンコードされるRepresentational State Transfer (RESTまたはRESTful)サービスを通じて公開されます。

注意:

Oracle Privileged Account Managerによって、Oracle Identity NavigatorのWebベースのユーザー・インタフェース(コンソールとも呼ばれる)と、Oracle Privileged Account Managerコマンドライン・ツール(CLI)が提供されます。どちらのインタフェースも基本的にはOracle Privileged Account Managerサーバーのクライアントです。

ただし、サードパーティは、オープンRESTfulサービスを利用することで、カスタム・アプリケーションなどの独自のクライアントを記述できます。詳細は、付録B「Oracle Privileged Account ManagerのRESTfulインタフェースの使用」を参照してください。

- Oracle Privileged Account Managerの認証は、デプロイ先のJ2EEコンテナで提供されるJava Authentication & Authorization Service (JAAS)サポートに依存します。
Oracle WebLogic Server (WebLogic)でのJAASサポートの詳細は、Oracle Fusion Middleware Oracle WebLogic Serverセキュリティの理解のWebLogicセキュリティ・サービスのアーキテクチャに関する項を参照してください。

Oracle Privileged Account Managerの認証の詳細は、第2.2項「Oracle Privileged Account Managerの認証の理解」を参照してください。

- Oracle Privileged Account Manager関連のコンポーネント(Oracle Privileged Account Managerのコンソール、コマンドライン・インタフェース、サーバーなど)との通信、および各コンポーネント間の通信は、すべてSSLを介して行われます。また、Oracle Privileged Account ManagerのRESTfulインタフェースはSSLを介して公開されます。

- Oracle Privileged Account Managerは、Oracle Privileged Account Managerのデプロイ先であるWebLogicドメインで構成されているIDストア、ポリシー・ストアおよび資格証明ストアに依存し、それらを透過的に使用します。(ポリシー・ストアおよび資格証明ストアはWebLogicドメインの暗黙的な部分であるため、この図では表されていません。)
IDストアは、Oracle Privileged Account Managerユーザーおよびグループ用の集中管理されたリポジトリです。

詳細は、第1.3項「Oracle Privileged Account ManagerのOracle Fusion Middlewareへのデプロイ方法」を参照してください。

- Oracle Privileged Account Managerコンソールは、Oracle Application Development Framework (ADF)を利用し、これによってレンダリングされます。
ADFの詳細は、次のWebサイトを参照してください。

http://www.oracle.com/technetwork/developer-tools/adf/overview/index.html

- Oracle Privileged Account Managerは、Identity Connector Framework (ICF)コネクタを使用してターゲットに接続します。図1-1のように、Oracle Privileged Account Managerは、ICFの使用によって構成される次のコネクタを使用します。

- 汎用データベース・ユーザー管理コネクタ: Oracle、MSSQL、SybaseおよびMySQLデータベースに接続します。

- 汎用Unixコネクタ: 任意のUNIXシステムに接続します。

- 汎用LDAPコネクタ: LDAPターゲット(Oracle Internet Directory、Oracle Universal Directory、Active Directoryなど)に接続します。

- カスタム・コネクタ: 自身に関連付けられた事前定義済のコネクタを持たないターゲットに接続します。

詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のアイデンティティ・コネクタ・フレームワークの理解に関する項を参照してください。

1.3 Oracle Privileged Account ManagerのOracle Fusion Middlewareへのデプロイ方法

次の図では、Oracle Fusion Middleware内にOracle Privileged Account Managerをデプロイする方法を示します。

注意:

IBM WebSphere上でOracle Privileged Account Managerを使用している場合、このトピックの詳細は、Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイドのOracle Fusion MiddlewareへのOracle Privileged Account Managerのデプロイ方法における相違点に関する項を参照してください。

図1-2 Oracle Fusion Middleware内にデプロイされたOracle Privileged Account Manager

この図を確認する場合、次の点に注意してください。

- すべてのコンポーネントが単一のWebLogicドメイン内にデプロイされます。

- Oracle Privileged Account Managerは、アプリケーション・データをOracle Privileged Account Managerデータベースに格納します。また、Oracle Privileged Account Managerスキーマは、Oracle Repository Creation Utilityを介してこのデータベースで作成されます。

- Oracle Privileged Account ManagerのWebベースのユーザー・インタフェース(コンソール)は、Oracle WebLogic Server管理サーバー(WebLogic管理サーバー)にデプロイされます。
コンソールは、Oracle Privileged Account Managerサーバーと通信します。このサーバーは、WebLogic管理サーバーによって管理されるサーバーとして作成され、管理対象サーバーと呼ばれます。

- OPSS IDストアとOPSSセキュリティ・ストア(ポリシー・ストアと資格証明ストアを含む)は、WebLogicドメイン全体の構成要素であるため、ドメインごとに1つずつ存在します。(OPSSセキュリティ・ストアはWebLogicドメインの暗黙的な部分であるため、この図では表されていません。)
Oracle Privileged Account Managerは、単純にそのドメインに構成されている設定に従って動作します。Oracle Privileged Account Manager固有の構成を使用して、これらの構成要素およびサービスを使用する必要はありません。また、これらの構成要素やサービスの使用方法は、Oracle Privileged Account Managerによって抽象化されるため、背後の動作を詳細に理解する必要はありません。

- OPSS IDストアは、WebLogicに埋め込まれたLDAP (即時利用可能)または外部LDAPサーバーを指します。
構成手順は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアイデンティティ・ストア・サービスの構成に関する項を参照してください。

- ポリシー・ストアおよび資格証明ストアの管理の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のポリシー・ストアの管理に関する項および資格証明ストアの管理に関する項を参照してください。

2 Oracle Privileged Account Managerのセキュリティの理解

この章では、Oracle Privileged Account ManagerがOracle Privileged Account Managerサーバーで提供される認証および認可フレームワークを使用して、異なるタイプのユーザーを認証および認可する方法について説明します。

また、この章では、デプロイメント環境でOracle Privileged Account Managerのセキュリティを向上するために使用できる様々な方法についても説明します。

内容は次のとおりです。

- 第2.1項「概要」

- 第2.2項「Oracle Privileged Account Managerの認証の理解」

- 第2.3項「Oracle Privileged Account Managerの認可の理解」

- 第2.4項「Oracle Privileged Account Managerの保護」

2.1 概要

Oracle Privileged Account Managerサーバーで提供される認証および認可フレームワークには、次の機能および特長があります。

- OPSSトラスト・トークンおよびHTTP Basic認証のサポート
Oracle Access Managementと共存して動作するように、Oracle Privileged Account Managerコンソールを構成することもできます。

- 認証におけるJava Authentication & Authorization Service (JAAS)の利用

注意:

Oracle Privileged Account Managerの認証は、デプロイ先のJ2EEコンテナで提供されるJAASサポートに依存します。詳細は、Oracle Fusion Middleware Oracle WebLogic Serverセキュリティの理解のWebLogicセキュリティ・サービスのアーキテクチャに関する項を参照してください。

- 異なるOracle Privileged Account Manager固有の管理ロールおよび対応するOracle Privileged Account Manager固有の職責の定義

- 次のものを特定するための認可決定の実施

- 管理者またはエンド・ユーザーに公開するターゲットおよび特権アカウント

- エンド・ユーザーまたは管理者がターゲット、特権アカウントおよびポリシーに対して実行できる操作(追加、変更、チェックイン、チェックアウトなど)

- 特権アカウントの使用ポリシーおよびパスワード・ポリシーのサポート

2.2 Oracle Privileged Account Managerの認証の理解

Oracle Privileged Account Managerは、Security Assertions Markup Language (SAML)ベースのトークンを、その認証メカニズムとして使用します。SAMLベースのトークンによる認証は、デプロイ先のJ2EEコンテナで提供されるOPSSトラスト・サービスを使用して提供されます。

次の図では、Oracle Privileged Account Managerの認証を示します。

図2-1 Oracle Privileged Account Managerでのトラストベースの認証

トラスト・サービス・インスタンスは、通常、Oracle Privileged Account Managerのインストールおよび構成プロセスの一環として、クライアント・アプリケーションからOracle Privileged Account Managerサーバーにユーザー・アイデンティティを安全に伝播するように構成されます。

Oracle Privileged Account Managerで認証が必要になる場合は次のとおりです。

- ユーザーが、Oracle Privileged Account ManagerのWebベースのユーザー・インタフェース(コンソール)およびコマンドライン・ツール(CLI)と相互作用する場合

- ユーザーとクライアントが、RESTfulインタフェースを通じてOracle Privileged Account Managerサーバーと直接相互作用する場合

どちらの場合でも、Oracle Privileged Account Managerでは、SSLを介した即時利用可能な次の認証モードがサポートされます。

- HTTP Basic認証: ユーザーは、Base64でエンコードされた暗号化されていないテキストとして、ユーザー名とパスワードを送信します。

- OPSSトラスト・サービス・アサーション: OPSSトラスト・サービスにより、トークンを提供および検証することによって、HTTP対応のアプリケーションにアイデンティティを伝播できます。このサービスは、Oracle WebLogic Serverを通じて使用可能なアサーション・プロバイダを使用します。

また、Oracle Privileged Account ManagerおよびOracle Identity Navigatorでは、ドメイン固有のIDストアに対して透過的に実行される、UIベースの相互作用に対応したADFベースの認証もサポートされます。

2.2.1 Oracle Privileged Account Managerコンソールの認証

Oracle Privileged Account ManagerのWebベースのユーザー・インタフェース(コンソール)では、Oracle Identity Navigatorと同じ認証メカニズムがサポートされ、Oracle Access Managementでインタフェースを構成できます。

ユーザーがOracle Privileged Account ManagerコンソールおよびOracle Identity Navigatorと相互作用すると、次の処理が発生します。

注意:

Oracle Privileged Account Manager管理者およびユーザーは、Oracle Privileged Account Managerの初期設定中を除き、通常はOracle Identity Navigatorインタフェースを使用する必要はありません。

1. ユーザーは、ADF認証の使用によって、Oracle Privileged Account ManagerコンソールおよびOracle Identity Navigatorに対して認証されます。

2. Oracle Privileged Account ManagerコンソールおよびOracle Identity Navigatorは、OPSSトラスト・サービスをコールして、Oracle Privileged Account Managerコンソールにログインしたユーザーのアイデンティティをアサートするトークンをリクエストします。

3. ここで、Oracle Privileged Account ManagerコンソールおよびOracle Identity NavigatorがOracle Privileged Account Manager機能を実行するためにOracle Privileged Account Managerサーバーに対してRESTfulコールを行うと、常にOracle Privileged Account ManagerコンソールおよびOracle Identity Navigatorによって、生成されたトークンがOracle Privileged Account Managerサーバーに示されます。

4. デフォルトでOPSSトラスト・サービス・アサーション・プロバイダが構成されているため、アサーション・プロバイダは、前のステップで示されたトークンを調査および検証した後、Oracle Privileged Account Managerサーバーに対してRESTfulコールを実行しているアイデンティティがトークンに含まれているものであることをアサートします。
このプロセスは、アイデンティティ伝播と呼ばれます。エンド・ユーザーはOracle Privileged Account ManagerコンソールおよびOracle Identity Navigatorに対して認証を行うのみですが、Oracle Privileged Account ManagerコンソールおよびOracle Identity Navigatorは、リクエストを作成しているアイデンティティをOracle Privileged Account Managerサーバーに安全に伝達できます。

アイデンティティ伝播に関する重要な注意点は、これによってエンド・ユーザーは、Oracle Privileged Account Managerコンソール、Oracle Identity NavigatorおよびOracle Privileged Account Managerサーバーに対して認証を行う必要がなくなるということです。

注意:

Oracle Privileged Account Managerサーバーに対して独自のクライアント・アプリケーションをデプロイする場合、アイデンティティ伝播が必要です。このような場合、OPSSトラスト・サービス・ベースのアイデンティティ・アサーションを使用することをお薦めします。詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

2.2.2 Oracle Privileged Account Managerサーバーの認証

Oracle Privileged Account Managerサーバーは、RESTfulインタフェースを公開するのみで、HTTP Basic認可またはOPSSトラストをサポートします。また、Oracle Privileged Account Managerサーバーでは、そのサーバーとのすべての通信がSSLで保護されたチャネルを介して行われる必要があります。

Oracle Privileged Account Managerのコマンドライン・ツール・クライアントは、SSLを介したHTTP Basic認証を使用してOracle Privileged Account Managerサーバーに接続し、その認証を受けます。

2.3 Oracle Privileged Account Managerの認可の理解

この項では、Oracle Privileged Account Managerの認可について説明します。

内容は次のとおりです。

- 管理ロールのタイプ

- エンド・ユーザー

2.3.1 管理ロールのタイプ

共通管理者ロールは、Oracle Identity Managementアプリケーションへの管理アクセスを保護するために事前定義された標準のアプリケーション・ロールのセットです。これらのロールは、Oracle Identity Managementスイート全体に共通の管理タスクをカプセル化します。

注意:

各ロールの職責や、そのロールを実行するために必要な技術と経験などの共通管理者ロールの詳細は、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドの共通管理者ロールに関する項を参照してください。

Oracle Privileged Account Managerは、管理ロールを使用して、ターゲットおよび特権アカウントに対するアクセスを管理し、管理者が実行できる操作を制御します。特に、Oracle Privileged Account Managerサーバーは、ログインしているユーザーに割り当てられた管理ロールに基づいて、異なるユーザー・インタフェース・コンポーネントをレンダリングします。

Oracle Privileged Account Managerを管理できるのは、Oracle Privileged Account Manager固有の共通管理者ロールを割り当てられている管理者のみです。

注意:

認可された管理者は、Oracle Identity Navigatorコンソールの「管理」タブでロールの構成と割当てを行う必要があります。詳細は、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのエンタープライズ・ロールの構成に関する項を参照してください。

次の表では、Oracle Privileged Account Managerに固有の共通管理者ロールについて説明します。

表2-1 サポートされる管理ロール

管理ロール

アクセス権

アプリケーション構成者
(OPAM_APPLICATION_CONFIGURATOR)

Oracle Privileged Account Managerコンソールおよびサーバーを構成します。

セキュリティ管理者
(OPAM_SECURITY_ADMIN)

- ターゲットを管理します(ターゲットの追加、編集および削除)。

- アカウントを管理します(アカウントの追加、編集および削除)。
注意: このロールでは、特権アカウントに権限受領者を割り当てることはできません。

- パスワード・ポリシーと使用ポリシーを管理します(ポリシーの作成、編集および削除)。

- パスワード・ポリシーをアカウントに割り当てます。
注意: このロールは、常に権限付与に関連付けられている、使用ポリシーを割り当てることはできません。「ユーザー・マネージャ」(OPAM_USER_MANAGER)ロールのみが権限付与と使用ポリシーを割り当てることができます。

セキュリティ監査者
(OPAM_SECURITY_AUDITOR)

- Oracle Privileged Account Managerレポートを開いて確認します。

- Oracle Identity Navigatorレポート・ポートレットにOracle Privileged Account Manager監査レポートを表示します。

ユーザー・マネージャ
(OPAM_USER_MANAGER)

- 権限付与のあるエンド・ユーザーを特権アカウントに割り当てます。

- 使用ポリシーを管理します(使用ポリシーの作成、編集および削除)。

- 権限付与に使用ポリシーを割り当てます。
注意: アカウントとそのアカウントの権限受領者(エンド・ユーザー)との関係は、権限付与と呼ばれます。ユーザー・マネージャは、同じアカウントの異なる権限受領者に異なる使用ポリシーを割り当てることができます。

このロールでは、アカウントにパスワード・ポリシーを割り当てることはできません。

注意:

次のweblogicユーザーに関する情報は、WebLogic環境内での作業にのみ適用されます。IBM WebSphereを使用している場合、詳細は、Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイドのOracle Privileged Account Managerの認可における相違点に関する項を参照してください。

インストール後のデフォルトの管理者は、管理者グループのメンバーであるweblogicユーザー(ブートストラップ・ユーザーとも呼ばれる)です。ユーザーを作成して表2-1に説明されているOracle Privileged Account Manager管理ロールに割り当てるには、weblogicユーザーを使用する必要があります。その後、これらのユーザーは、この表に説明されている管理タスクを実行できます。

注意:

デフォルトの管理者はこれらすべてのロールを自分自身に割り当てることができますが、一般的ではありません。

インストール後、weblogicユーザーをブートストラップ・ユーザーとして使用して、ユーザーをドメイン・アイデンティティ・ストアから表2-1に示されているOracle Privileged Account Managerの共通管理者ロールにマップできます。セキュリティ管理者ロールにマップされたユーザーは、他のユーザーに共通管理者ロールを割り当てることができ、後から現在の環境のweblogicユーザーを置き換えることができます。最初のユーザー・マッピングが完了した後、セキュリティ管理者ロールを、ドメイン・アイデンティティ・ストアに定義されている1人以上の管理者ユーザーにマップすることで、デフォルトの管理者ユーザーを置き換えます。詳細は、第3.3.3項「アイデンティティ・ストアの準備」を参照してください。

2.3.2 エンド・ユーザー

Oracle Privileged Account Managerのエンド・ユーザーまたはエンタープライズ・ユーザーは、ロールを割り当てられていないため、Oracle Privileged Account Managerのユーザー・インタフェース・コンポーネントへのアクセスが制限されます。これらのユーザーは、アクセス権が付与されている特権アカウントの表示、検索、チェックアウト、チェックインなど、一部のタスクのみを実行できます。

注意:

詳細は、第5.2項「セルフサービスの使用」を参照してください。

2.4 Oracle Privileged Account Managerの保護

この項で説明する推奨事項を実行することで、デプロイメント環境のOracle Privileged Account Managerを保護できます。

内容は次のとおりです。

- ネットワーク・チャネルの保護

- 共有アカウントの保護

- パスワード・リセットの有効化

- 複数パスを通じた割当ての回避

- 高度なパスワード・ポリシーの定義

- バックエンドOracle Privileged Account Managerデータベースの強化

2.4.1 ネットワーク・チャネルの保護

Oracle Privileged Account Managerは、その通常の機能の一部としてターゲット・システムでリモート・パスワード・リセットを実行します。これらのパスワードによって特権アイデンティティとして各システムにアクセスできるため(Oracle Privileged Account Managerは特権アカウントおよびアイデンティティを管理します)、このようなリモート・パスワード・リセットがセキュアなネットワーク・チャネルを介して行われることを確認する必要があります。

リセットが発生すると、Oracle Privileged Account Managerは、特権アカウントとしてターゲット・システムにアクセスすることをリクエストするエンド・ユーザーにこれらのパスワードを伝播します。新しくリセットされたこれらのパスワードもセキュアなチャネルを介してエンド・ユーザーに伝播されることを確認する必要があります。

これらの点を考慮すると、Oracle Privileged Account Managerデプロイメントには、注意して調査および保護する必要のある次の2つの項目があります。

- ターゲット・システムへの接続

- エンド・ユーザー・インタフェースの保護

2.4.1.1 ターゲット・システムへの接続

Oracle Privileged Account Managerは、ICFコネクタを利用してターゲット・システムと通信します。これらのコネクタは、柔軟性が高く、いくつかの方法で構成できます。テスト(さらには本番環境)での柔軟性を確保するため、Oracle Privileged Account Managerでは、この接続は必ずしもセキュアなチャネルを介して行われる必要はありません。

SSHが要求される汎用UNIXターゲットを除き、汎用LDAPおよび汎用DBターゲットの接続では、セキュアな(暗号化された)チャネルと暗号化されていないチャネルの両方が許可されます。したがって、Oracle Privileged Account Manager管理者は、ターゲット・システムに接続する際に使用するチャネルのタイプを決定する場合には、関連するすべての要素を検討することが重要です。

パケット・スニッフィングによるパスワード危殆化のリスクを低減するため、常にセキュアなチャネルを使用することをお薦めします。ターゲット・システム(LDAPまたはDB)がSSLをサポートし、SSLポートでリスニングしている場合、Oracle Privileged Account Managerは、そのターゲットとSSLを介して通信できます。

SSLポートでリスニングするようにターゲットを構成する方法の詳細は、ターゲット・システムの製品ドキュメントを参照してください。SSL経由で通信するようにOracle Privileged Account Managerを構成するには、第7.1項「SSL経由でターゲット・システムと通信するためのOracle Privileged Account Managerの構成」を参照してください。SSLを通じてこのような接続を保護すると、Oracle Privileged Account Managerは、セキュアな方法でパスワード・リセット操作を実行できるようになります。

2.4.1.2 エンド・ユーザー・インタフェースの保護

Oracle Privileged Account Managerのエンド・ユーザーが使用できる主なインタフェースは、次の2つです。

- コンソール(詳細は第3.4項「Oracle Privileged Account Managerのコンソールのナビゲート」を参照)

- コマンドライン・ツール(詳細は付録A「コマンドライン・ツールの使用」を参照)

Oracle Privileged Account Managerのコンソールは、Oracle Identity Navigatorでホストされます。ただし、Oracle Identity Navigatorは、他の目的でも使用されるため、SSLは有効にしても無効にしてもデプロイできます。

SSLを無効にしてOracle Identity Navigatorをデプロイすると、Oracle Identity NavigatorがSSLで保護されたチャネルを介してOracle Privileged Account Managerサーバーと通信する場合でも、Oracle Identity Navigator (Oracle Privileged Account Managerコンソールなど)とエンド・ユーザー・ブラウザ間の接続は保護されないため、セキュリティ上の懸念事項となる可能性があります。

Oracle Identity Navigatorを使用してOracle Privileged Account Managerコンソールを提供する場合、SSL有効モード(SSLのみ)でOracle Identity Navigatorをデプロイする必要があります。

注意:

Oracle Identity NavigatorでSSLを構成する方法の詳細は、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのSecure Socket Layerの構成に関する項を参照してください。

Oracle Privileged Account ManagerサーバーではSSL接続が要求されるため、Oracle Privileged Account Managerのコマンドライン・ツールは、常にSSLを使用してセキュアなチャネルを介して通信を行います。したがって、Oracle Privileged Account Managerサーバーがコマンドライン・ツールを介してエンド・ユーザーにパスワードを伝播する場合、常にセキュアなチャネルが使用されるため、パケット・スニッフィングの危険性はありません。

2.4.2 共有アカウントの保護

Oracle Privileged Account Managerでは、特権アカウントを共有にするか非共有にするかを指定できます。この項では、共有アカウントを定義し、セキュリティ上の考慮事項について説明し、共有アカウントのセキュリティを強化する方法について示します。

2.4.2.1 共有アカウントとは

デフォルトでは、Oracle Privileged Account Managerでアカウントをチェックアウトできるのは、一度に1人のユーザーのみです。2番目のユーザーがすでにチェックアウトされているアカウントをチェックアウトしようとすると、アカウントがすでにチェックアウトされていることを示すエラー・メッセージが表示されます。

Oracle Privileged Account Managerでは、同時に複数のユーザーがアカウントをチェックアウトできる共有アカウントを構成することもできます。

複数のユーザーが共有アカウントをチェックアウトする場合、Oracle Privileged Account Managerでは、ユーザーごとに新しいパスワードが生成されるかわりに、最初のユーザーによって生成されたパスワードが共有されます。(新しいパスワードを設定すると既存のチェックアウトに影響します。)Oracle Privileged Account Managerでは、すべてのユーザーがアカウントをチェックインし、最後のユーザーがパスワードをチェックインするまで、そのパスワードはリセットされません。

業務上やむを得ない理由がある場合にのみ、アカウントを共有として指定することをお薦めします。たとえば、複数のユーザーによってデータベース・アカウントを管理する場合、そのアカウントを共有すると便利です。

2.4.2.2 セキュリティの制限

共有アカウントを構成する場合、次のセキュリティの制限に注意してください。

- Oracle Privileged Account Managerでは、最後のユーザーがアカウントをチェックインするまでパスワードはリセットされないため、ユーザーはアカウントのチェックイン後もパスワードを使用できます。

- アカウントを共有すると、ファイングレイン監査の実行で問題が発生します。Oracle Privileged Account Managerでは、アカウントがチェックアウトされた時期と、ある時点でそのアカウントにアクセスしたユーザーを示す監査証跡を使用できます。ただし、複数のエンド・ユーザーが同時にチェックアウトした同じ特権アカウントを保持している場合、Oracle Privileged Account Managerは個々のエンド・ユーザーが実行したアクションを区別できません。

2.4.2.3 アカウントを保護する方法

アカウントを共有するやむを得ない理由がある場合、次の手順を使用してそのアカウントを保護することをお薦めします。

1. 指定した期間の経過後に特権アカウントを自動的にチェックインするように使用ポリシーを構成します。自動チェックインによって、共有特権アカウントがチェックインされ、そのパスワードが適切な時期に反復されることが保証されます。

2. 特権アカウントを割り当てるユーザーの数を制限し、アカウントにアクセスできる時期を指定してそれらのユーザーをさらに絞り込みます。使用ポリシーを構成して、ユーザーがアカウントにアクセスできる曜日や時間帯を指定できます。これらの制限によってチェックアウトの重複を最小限に抑えることができるため、Oracle Privileged Account Managerの監査機能が向上します。

注意:

使用ポリシーの構成の詳細は、第5.1.1.5項「デフォルト使用ポリシーの変更」または第5.1.1.7項「使用ポリシーの作成」を参照してください。

2.4.3 パスワード・リセットの有効化

Oracle Privileged Account Managerでは、アカウントのチェックアウトとチェックインの両方または一方が発生した場合に特権アカウントのパスワードを自動的にリセットするように、特権アカウントのパスワード・ポリシーを構成できます。

少なくとも、チェックインの発生時に特権アカウントのパスワードをリセットするようにパスワード・ポリシーを構成して適用することをお薦めします。チェックインの発生時にパスワードをリセットすると、エンド・ユーザーが使用していたパスワードは特権アカウントとの関連付けを解除されるため、そのアカウントをチェックイン後に使用することはできなくなります。この機能は、Oracle Privileged Account Managerの主要な革新技術の1つであり、使用することをお薦めします。

注意:

パスワード・ポリシーの構成および操作の詳細は、第5.1.1項「ポリシーの使用」を参照してください。

2.4.4 複数パスを通じた割当ての回避

エンド・ユーザーに特権アカウントを直接割り当てる以外に、Oracle Privileged Account Managerでは、特権アカウントをグループに割り当てることができます。たとえば、"Data Center Product UNIX Administrators"グループを作成して、そのグループに特定の特権アカウントに対するアクセス権を付与できます。

独自のデプロイメントを設計する場合、特定のエンド・ユーザーには、必ずただ1つのパス(直接または単一のグループ)を通じて特権アカウントに対するアクセス権を付与することが重要です。Oracle Privileged Account Managerによって複数の権限付与のパスが検出されると、そのバックエンドから取得された最初のパスが選択されますが、これは非決定的な動作です。この動作では、実際の使用ポリシーが意図した使用ポリシーと異なる可能性があります。

これに関連して、複数のネーミング属性値を持つグループを作成しないようにする必要があります。このようなグループを作成した場合、ユーザーが明示的にアクセス権を付与されていないグループにアクセスできるようになる可能性があります。詳細は、第C.1.10項「Oracle Privileged Account Managerエンド・ユーザーが明示的に付与されていない権限を得る」を参照してください。

注意:

権限受領者の構成と使用の詳細は、第5.1.4項「権限受領者の使用」を参照してください。

2.4.5 高度なパスワード・ポリシーの定義

Oracle Privileged Account Managerのパスワード・ポリシーの主な目的は、ターゲット・システムを対象とするOracle Privileged Account Managerが開始したパスワード・リセットの成功を保証することです。

少なくとも、Oracle Privileged Account Managerでは、特権アカウントに対する有効なパスワード・ポリシーによって、そのパスワード・ポリシーがターゲット・システムに対して施行されることを記述する必要があります。ただし、Oracle Privileged Account Manager管理者は、この要件に制約されません。Oracle Privileged Account Managerのリセット操作中に、より複雑でセキュアなパスワードを生成する高度なパスワード・ポリシーをOracle Privileged Account Managerで定義できます。

注意:

パスワード・ポリシーの構成および操作の詳細は、第5.1.1項「ポリシーの使用」を参照してください。

2.4.6 バックエンドOracle Privileged Account Managerデータベースの強化

11gR2 11.1.2.1.0リリースから、Oracle Privileged Account ManagerはOracle RDBMSをそのデータ・ストアとして使用しています。そのため、バックエンドOracle Privileged Account Managerデータベースを本番デプロイメント用にロックダウンすることは重要です。

管理者は、次の3つのタスクを実行して、バックエンドOracle Privileged Account Managerデータベースを効率的にロックダウンすることをお薦めします。

- TDEの有効化

- SSLの有効化

- Oracle Database Vaultの使用

TDEの有効化

Oracle Privileged Account Managerのすべての本番デプロイメントに使用されるバックエンドOracle Privileged Account Managerデータベースで、透過的データ暗号化(TDE)モードを有効にすることをお薦めします。TDEを有効にすると、Oracle Privileged Account Managerによって格納されたすべての機密情報(アカウント・パスワードなど)が、ディスク上で暗号化されます。

TDEモードは、次のいずれかの方法で有効化できます。

- 第4.3.1項「Oracle Privileged Account Managerサーバーへの接続の構成」の説明に従ってコンソールから

- 第7.2.1項「TDEモードの有効化」の説明に従ってコマンドラインから

注意:

透過的データ暗号化の詳細は、次のWebサイトを参照してください。

- TDEのベスト・プラクティスについては、次を参照してください。
http://www.oracle.com/technetwork/database/security/twp-transparent-data-encryption-bes-130696.pdf

- TDEのFAQを確認するには、次を参照してください。
http://www.oracle.com/technetwork/database/security/tde-faq-093689.html

SSLの有効化

TDEによって提供されるディスク上の暗号化に加えて、Oracle Privileged Account Managerは、格納するすべての機密情報を曖昧化します。この曖昧化により、ユーザーがOracle Privileged Account Managerスキーマへのアクセス権を得ても、機密情報に直接アクセスできなくなります。さらに、この曖昧化によって、ネットワーク・トラフィックを監視する悪質な要素が、機密情報を簡単に表示できなくなります。ただし、Oracle Privileged Account Managerの本番デプロイメントに対して、次の両方の操作を実行することをお薦めします。

- Oracle Privileged Account Managerによって使用されるバックエンドRDBMSで、SSLを有効にします。

- バックエンドRDBMS上のSSLエンドポイントを使用するように、OPAMDSデータ・ソースを更新します。

注意:

手順については、『Oracle Fusion Middleware管理者ガイド』の他の認証モードでのSSLの有効化に関する項とデータ・ソースのSSL対応化に関する項を参照してください。

これらの操作によって、Oracle Privileged Account ManagerとバックエンドOracle Privileged Account Managerデータベースとの間のネットワーク・トラフィックが暗号化されます。また、データベースが悪質な要素による利用に対して脆弱にならないことも保証されます。

Oracle Database Vaultの使用

Oracle Database VaultをOracle Privileged Account Managerの本番デプロイメントに使用すると、Oracle Privileged Account Managerスキーマが保護され、Oracle Privileged Account Managerアプリケーションのみが、そのスキーマにアクセスできるようになります。

注意:

手順については、Oracle Database Vault管理者ガイドのOracle Database Vaultに対するセキュアなアプリケーション・ロールの構成に関する項を参照してください。

したがって、データベース管理者やその他の暗黙的に認可されたユーザーによる、Oracle Privileged Account Managerアプリケーション・スキーマ(およびそれに関連付けられたデータ)への誤ったまたは悪質なアクセスが防止されます。また、Oracle Privileged Account Managerアプリケーションのみが、そのバックエンドOracle Privileged Account Managerデータベースで保持している機密情報にアクセスできるようになります。

第II部

基本的な管理

この部では、Oracle Privileged Account Managerの基本的な管理タスクの実行方法について説明し、次の章が含まれます。

- Oracle Privileged Account Managerの管理の概要

- Oracle Privileged Account Managerサーバーの追加と管理

- Oracle Privileged Account Managerの構成および管理

- Oracle Privileged Account Managerの監査およびロギングの管理

3 Oracle Privileged Account Managerの管理の概要

Oracle Privileged Account Managerは、コンソール、コマンドラインおよびOracle Privileged Account ManagerのRESTfulインタフェースを使用して管理できます。

この章では、基本的な管理タスクの実行方法について説明します。内容は次のとおりです。

- 第3.1項「11gリリース2 (11.1.2)のインストール後の作業」

- 第3.2項「Oracle Privileged Account ManagerでのICFコネクタの理解」

- 第3.3項「Oracle Privileged Account Managerサーバーの起動」

- 第3.4項「Oracle Privileged Account Managerのコンソールのナビゲート」

前提作業

この章は、Oracle Privileged Account Managerが『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の説明に従ってインストールおよび構成されていることを前提としています。

『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の「Oracle Privileged Account Managerの構成」の章を参照すると特に役立ちます。

注意:

このガイドでWebLogic管理サーバーまたは様々な管理対象サーバーを起動するように指示があった場合、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Stackの起動と停止に関する項でその手順を参照してください。

3.1 11gリリース2 (11.1.2)のインストール後の作業

11gリリース2のインストールが終了したら、次の作業を行うことをお薦めします。

- 表3-1を確認して、このリリースのOracle Privileged Account Managerを管理するために使用できる様々なインタフェースに対応するデフォルト・アプリケーションURLについて理解してください。

表3-1 デフォルト・アプリケーションURL

インタフェース

デフォルトURL

Oracle Identity Navigator

http://adminserver_host:adminserver_port/oinav/

Oracle WebLogic Server管理コンソール

http://adminserver_host:adminserver_port/console/

Oracle Privileged Account Managerコンソール

http://adminserver_host:adminserver_port/oinav/opam

Oracle Privileged Account Managerサーバー

http://managedserver_host:managedserver_port/opam

- 表3-2を確認して、このリリースのOracle Privileged Account Managerの様々なデフォルト・ポートについて理解してください。

表3-2 デフォルト・ポート

ポート・タイプ

デフォルト・ポート

説明

Oracle Privileged Account Manager

18102

Oracle Privileged Account ManagerサーバーがデプロイされるWebLogic管理対象サーバーのデフォルトのSSL有効ポート。

shiphome (購入時の環境など)には、Oracle Privileged Account Managerに関連する次の2つのWebLogicサーバーがあります。

- Oracle Privileged Account ManagerドメインのWebLogic管理サーバーは、Oracle Identity NavigatorおよびOracle Privileged Account Managerコンソールを実行します。

- 追加のWebLogic管理対象サーバーは、Oracle Privileged Account Managerサーバーを実行します。

WebLogicによるSSLへの応答

7002

Oracle Identity NavigatorおよびOracle Privileged Account ManagerコンソールがデプロイされるWebLogic管理サーバーのデフォルトのSSL有効ポート。

WebLogicによる非SSLへの応答

7001

WebLogic管理サーバーが非SSLトラフィックに応答するデフォルトの非SSLポート。

3.2 Oracle Privileged Account ManagerでのICFコネクタの理解

Oracle Privileged Account Managerでは、管理者によって識別されるアカウント資格証明を保護、共有、監査および管理できます。これらの機能を提供するため、Oracle Privileged Account Managerでは、ターゲット・システムの特権アカウントにアクセスしてそれを管理できる必要があります。

コネクタによって、Oracle Privileged Account Managerは、LDAPやOracle Databaseなどのターゲット・システムと相互作用して、それらのシステム上でOracle Privileged Account Manager関連の管理操作を実行できます。

Oracle Privileged Account Managerでは、ICF標準に準拠するコネクタを利用します。この標準を使用することによって、Oracle Privileged Account Managerがターゲットへの接続に使用するメカニズムから、Oracle Privileged Account Managerが分離されます。そのため、Oracleなどのベンダーによって提供されるコネクタに加えて、独自のICFコネクタを自由に構築およびテストし、Oracle Privileged Account Managerにデプロイできます。

この項では、Oracle Privileged Account ManagerでこれらのICFコネクタを使用する方法について説明します。内容は次のとおりです。

- ICFコネクタについて

- Oracle Privileged Account Managerコネクタ・バンドルの場所の特定

- ICFコネクタの使用

アイデンティティ・コネクタ・フレームワークの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のアイデンティティ・コネクタ・フレームワークの理解に関する項を参照してください。

3.2.1 ICFコネクタについて

Oracle Privileged Account Managerには、オラクル社が開発した次のICF準拠のコネクタが付属しています。

- Database User Management (DBUM)コネクタ

- 汎用LDAPコネクタ

- UNIX用のOracle Identity Managerコネクタ

これらのコネクタによって、Oracle Privileged Account Managerは、前述のタイプに属する様々なターゲット・システム上で特権アカウントを管理できます。

Oracle Privileged Account Managerでは、ユーザーが作成したICF準拠のコネクタも使用できるため、Oracle Privileged Account Managerを使用して独自のシステムを管理する場合に役立ちます。

注意:

Oracle Privileged Account Managerに付属するコネクタのみを使用する場合、それらのコネクタはデフォルトで事前に構成されているため、追加の操作は不要です。

他のOracleコネクタやカスタム・コネクタを使用する場合、詳細は、第7.3項「既存のOracle Privileged Account Managerインストール環境への新規コネクタの追加」を参照してください。

アイデンティティ・コネクタ・フレームワークの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のアイデンティティ・コネクタの開発に関する項を参照してください。

3.2.2 Oracle Privileged Account Managerコネクタ・バンドルの場所の特定

ICFコネクタは汎用で、多くのコンテキストで使用できるため、所定のOracleインストール環境においてすべてのコネクタ・バンドルがファイル・システムの単一の場所に配置されます。これらのコネクタ・バンドルに依存するOracle Privileged Account Managerなどのすべてのコンポーネントは、次の場所からそれらにアクセスできます。

ORACLE_HOME/connectors

ORACLE_HOME/connectorsにプッシュされているコネクタは、実際はOracle Identity Managerに同梱されています。このディレクトリのすべてのコネクタのうち、次の3つのコネクタのみがこのリリースのOracle Privileged Account Managerで動作保証済です。

- org.identityconnectors.dbum-1.0.1116.jar

- org.identityconnectors.genericunix-1.0.0.jar

- org.identityconnectors.ldap-1.0.6380.jar

注意:

オラクル社から新しいICFコネクタを取得した場合、指示で指定された場所にそれらを配置する必要があります。

カスタムのサードパーティ・コネクタを格納することは自由ですが、Oracle Privileged Account Managerが実行時にそれらを読み取ることができることを確認する必要があります。

3.2.3 ICFコネクタの使用

Oracle Privileged Account Managerは、opam-config.xmlファイルを使用することでICFコネクタを使用します。このファイルの内容によって、Oracle Privileged Account Managerに次の情報が提供されます。

1. ファイル・システムでICFコネクタ・バンドルを選択する場所

2. Oracle Privileged Account Managerの使用事例にとって適切な構成属性

3. 特定のコネクタを使用したターゲット・システムへの接続を構成する際に、Oracle Privileged Account Managerコンソールをレンダリングする方法

opam-config.xmlファイルは、ORACLE_HOME/opam/configディレクトリにあります。Oracle Identity Management Suiteに付属するコネクタ・バンドルを選択して使用するために、すぐに使用できるイメージが構成されています。

opam-config.xsdファイル(これもORACLE_HOME/opam/configディレクトリに配置されている)は、opam-config.xmlのスキーマを記述します。
ORACLE_HOME/opam/config/opam-config.xmlファイルを変更した場合、opam-config.xsdファイルで検証します。

注意:

opam-config.xmlファイルを編集する前に、必ず元のファイルをバックアップしてください。

3.3 Oracle Privileged Account Managerの起動

この項では、Oracle Privileged Account Managerのコンソールを起動および操作するための概要情報について説明します。内容は次のとおりです。

- WebLogicの起動

- Oracle Privileged Account Managerの外部アイデンティティ・ストアの構成

- アイデンティティ・ストアの準備

- ユーザーへのアプリケーション構成者ロールの割当て

- Oracle Privileged Account ManagerのWebベースのコンソールの起動

この項で説明する手順では、次のOracleマニュアルに含まれる情報および手順を参照しています。これらの手順を開始する前に、必要に応じて参照先の概念、専門用語および手順を確認してください。

表3-3 参照マニュアル

参照内容

参照先

管理ロール

Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドの共通管理者ロールの割当てに関する項、第2.3.1項「管理ロールのタイプ」および第3.3.4項「ユーザーへのアプリケーション構成者ロールの割当て」

Oracle Privileged Account ManagerおよびOracle Identity Navigatorでサポートされるアイデンティティ・ストアおよびポリシー・ストアの構成

Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのシステム要件と動作保証情報に関する項

Oracle WebLogic Serverの概念および専門用語

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプおよび『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

Oracle WebLogic Serverでのデフォルトの認証プロバイダの作成

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプおよび『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

現在の環境でのアイデンティティ・ストアの構成

各ベンダーの製品ドキュメント

LDAPベース・サーバーでのOracle Virtual Directoryの構成

『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』のLDAPアダプタの作成に関する項

Oracle WebLogic ServerでのOVD認証プロバイダの構成

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプ

WLSTへのノード・マネージャの接続

『Oracle Fusion Middleware WebLogic Scripting Toolコマンド・リファレンス』のノード・マネージャ・コマンドに関する項

WLSTを使用したポリシー・ストアの関連付け

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Internet Directoryサーバーでのノードの設定に関する項およびreassociateSecurityStoreに関する項

Enterprise Managerを使用したポリシー・ストアの関連付け

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のFusion Middleware Controlでの再関連付けに関する項

idmConfigToolコマンドの使用

Oracle Fusion Middleware Oracle Identity Management統合の概要

注意:

- IBM WebSphere上でOracle Privileged Account Managerを使用する場合、アプリケーション構成者を割り当て、Oracle Privileged Account Managerコンソールを起動する前に、IBM WebSphereを起動し、いくつかの構成手順を実行する必要があります。
これらのタスクの詳細は、Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイドのIBM WebSphereでのOracle Privileged Account Managerの起動に関する項を参照してください。

- Oracle Privileged Account Manager管理者およびユーザーは、Oracle Privileged Account Managerの初期設定中を除き、通常はOracle Identity Navigatorインタフェースを使用する必要はありません。

3.3.1 WebLogicの起動

Oracle Privileged Account Managerを起動する前に、WebLogicサーバーおよびコンソールを起動する必要があります。

注意:

- WebLogicサーバーおよび管理対象サーバーの起動の詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracleスタックの起動と停止に関する項を参照してください。

- サーバーを起動するための適切な管理ロールおよび資格証明を持っている必要があります。詳細は、第2.3.1項「管理ロールのタイプ」を参照してください。

1. nmConnectコマンドを実行してノード・マネージャをWLSTに接続します。
手順については、Oracle Fusion Middleware WebLogic Scripting Toolのコマンド・リファレンスのノード・マネージャのコマンドに関する項を参照してください。

2. WebLogic管理サーバーを起動します。次に例を示します。
UNIXでは次のように入力します。

MIDDLEWARE_HOME/user_projects/domains/DOMAIN_NAME/bin/startWebLogic.sh

Windowsでは次のように入力します。

MIDDLEWARE_HOME\user_projects\domains\DOMAIN_NAME\bin\startWebLogic.bat

3. Oracle Privileged Account Manager管理対象サーバーを起動します。

4. ブラウザを開き、次の場所からWebLogicコンソールを起動します。
http://adminserver_host:adminserver_port/console

3.3.2 Oracle Privileged Account Managerの外部アイデンティティ・ストアの構成

この項では、Oracle Privileged Account Managerの新しい外部アイデンティティ・ストアを構成する方法について説明します。

注意:

IBM WebSphereを使用する場合、外部アイデンティティ・ストアではなくレジストリを構成する必要があります。手順については、Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイドのレジストリの構成に関する項を参照してください。

Oracle Identity Navigatorの「アクセス権限」ペインから検索する場合、ユーザーを表示する前にドメイン・アイデンティティ・ストアを構成する必要があります。アイデンティティ・ストアをメイン認証ソースとして構成するには、Oracle Identity NavigatorがインストールされているOracle WebLogic Serverドメインを構成する必要があります。

サポートされているLDAPベース・ディレクトリ・サーバーでOracle Internet DirectoryまたはOracle Virtual Directoryを使用して、ドメイン・アイデンティティ・ストアを構成できます。アイデンティティ・ストアをWebLogic Server管理コンソールで構成します。

注意:

- 理論的には、外部のアイデンティティ・ストアとして任意のLDAPサーバーをWebLogicに構成できます。
アイデンティティ・ストアの構成の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアイデンティティ・ストア・サービスの構成に関する項を参照してください。

- その他のサポートされているアイデンティティ・ストアの詳細は、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのシステム要件と動作保証情報に関する項

Oracle WebLogic ServerでOracle Internet Directory認証プロバイダを構成するには、次の手順を実行します。

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、デフォルトのレルムはmyrealmです。

3. 「プロバイダ」タブを選択し、「認証」サブタブを選択します。

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動して、次のようにフィールドを完了します。

- 名前: 認証プロバイダの名前を入力します。たとえば、MyOIDDirectoryと入力します。

- タイプ: リストから、「OracleInternetDirectoryAuthenticator」を選択します。

「OK」をクリックして認証プロバイダ表を更新します。

5. 認証プロバイダの表で、新たに追加した認証プロバイダをクリックします。

6. 「設定」で、「構成」タブを選択し、「共通」タブを選択します。

7. 「共通」タブで、「制御フラグ」を「SUFFICIENT」に設定します。
認証プロバイダの制御フラグの属性を設定すると、認証プロバイダの実行順序が決まります。制御フラグ属性に使用可能な値は次のとおりです。

- REQUIRED - このLoginModuleは成功する必要があります。失敗した場合でも、認証は、構成された認証プロバイダのLoginModulesリストの下位方向へ進みます。この設定がデフォルトです。

- REQUISITE - このLoginModuleは成功する必要があります。他の認証プロバイダが構成されていて、このLoginModuleが成功した場合、認証はLoginModulesリストを下位方向へ進みます。それ以外の場合は、制御がアプリケーションに戻ります。

- SUFFICIENT - このLoginModuleは成功する必要はありません。成功した場合、制御はアプリケーションに戻ります。失敗した場合、他の認証プロバイダが構成されていれば、認証はLoginModuleリストを下位方向に進みます。

- OPTIONAL - このLoginModuleは成功でも失敗でもかまいません。ただし、JAAS制御フラグがOPTIONALに設定されたセキュリティ・レルムですべての認証プロバイダが構成されている場合は、ユーザーは構成されたいずれかのプロバイダの認証テストに合格する必要があります。

8. 「保存」をクリックします。

9. 「プロバイダ固有」タブをクリックした後、使用する環境の値を使用して次の必要な設定を入力します。

- ホスト: Oracle Internet Directoryサーバーのホスト名。

- ポート: Oracle Internet Directoryサーバーがリスニングしているポート番号。

- プリンシパル: Oracle Internet Directoryサーバーへの接続に使用されるOracle Internet Directoryユーザーの識別名(DN)。例: cn=OIDUser、cn=users、dc=us、dc=mycompany、dc=com。

- 資格証明: プリンシパルとして入力されたOracle Internet Directoryユーザーのパスワード。

- グループ・ベースDN: グループを含むOracle Internet Directoryサーバー・ツリーのベース識別名(DN)。

- ユーザー・ベースDN: ユーザーを含むOracle Internet Directoryサーバー・ツリーのベース識別名(DN)。

- すべてのユーザーのフィルタ: LDAP検索フィルタ。詳細は、「詳細」をクリックします。

- 名前指定によるユーザー・フィルタ: LDAP検索フィルタ。詳細は、「詳細」をクリックします。

- ユーザー名属性: 認証に使用する属性(cn、uid、mailなど)。たとえば、ユーザーの電子メール・アドレスを使用して認証を行うには、この値をmailに設定します。

- 「取得したユーザー名をプリンシパルとして使用する」を有効化します。

10. 「保存」をクリックします。

11. myrealmページの「設定」から、「プロバイダ」タブを選択した後、「認証」タブを選択します。

12. 「並替え」をクリックします。

13. 新しい認証プロバイダを選択し、矢印ボタンを使用してこれをリストの最初に移動します。

14. 「OK」をクリックします。

15. 「認証プロバイダ」表の「DefaultAuthenticator」をクリックし、DefaultAuthenticatorの「設定」ページを表示します。

16. 「構成」タブ、「共通」タブの順に選択し、「制御フラグ」リストから「SUFFICIENT」を選択します。

17. チェンジ・センターで、変更のアクティブ化をクリックします。

18. Oracle WebLogic Serverを再起動します。

19. LDAPディレクトリ(Oracle Internet DirectoryまたはOracle Virtual Directory)に存在するユーザーが問題なくOracle Privileged Account Managerにログインできることを確認して、構成および設定を検証します。

Oracle Virtual Directoryをドメイン・アイデンティティ・ストアとして使用するには、次の手順を実行する必要があります。

- Oracle Fusion Middleware Oracle Virtual Directory管理者ガイドのLDAPアダプタの作成に関する項の説明に従ったLDAPベース・サーバーでのOracle Virtual Directoryの構成

- Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプの説明に従ったOracle WebLogic ServerでのOVD認証プロバイダの構成

- Oracle WebLogic Serverで認証プロバイダを構成する場合、前述の手順9の説明に従って「取得したユーザー名をプリンシパルとして使用する」オプションを有効にする必要があります。

3.3.3 アイデンティティ・ストアの準備

外部LDAPサーバーをアイデンティティ・ストアとして使用する場合、必要なOracle Privileged Account Managerユーザーおよびグループでそのサーバーをシードする必要があります。

アイデンティティ・ストアを準備するには、次のタスクを実行します。

- Oracle Privileged Account Managerに使用するディレクトリ・スキーマの拡張

- Oracle Privileged Account Managerに使用するユーザーおよびグループの作成

3.3.3.1 Oracle Privileged Account Managerに使用するディレクトリ・スキーマの拡張

アイデンティティ・ストアを事前構成すると、Oracle Internet Directoryでスキーマが拡張されます。

アイデンティティ・ストアを事前構成するには、IDMHOST1で次のタスクを実行する必要があります。

1. 環境変数MW_HOME、JAVA_HOMEおよびORACLE_HOMEを設定します。
ORACLE_HOMEをIAM_ORACLE_HOMEに設定します。

2. 次の内容でプロパティ・ファイルextend.propsを作成します。

IDSTORE_HOST: idstore.mycompany.com
IDSTORE_PORT: 389
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=mycompany,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=mycompany,dc=com
IDSTORE_SEARCHBASE: dc=mycompany,dc=com
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=mycompany,dc=com

説明:

- IDSTORE_HOSTおよびIDSTORE_PORTは、アイデンティティ・ストア・ディレクトリのホストおよびポートに対応します。

- OID以外のディレクトリを使用している場合は、Oracle Virtual Directoryのホスト(IDSTORE.mycompany.com)を指定します。

- Oracle Internet Directoryにアイデンティティ・ストアがある場合は、
その前面にOracle Virtual Directoryを配置していても、IDSTORE_HOSTがOracle Internet Directoryを指している必要があります。

- IDSTORE_BINDDNは、アイデンティティ・ストア・ディレクトリ内の管理ユーザーです。

- IDSTORE_USERSEARCHBASEは、ユーザーを格納するディレクトリ内の場所です。

- IDSTORE_GROUPSEARCHBASEは、グループを格納するディレクトリ内の場所です。

- IDSTORE_SEARCHBASEは、ユーザーおよびグループを格納するディレクトリ内の場所です。

- IDSTORE_SYSTEMIDBASEは、メイン・ユーザー・コンテナに配置する必要のないユーザーを配置できるディレクトリにあるコンテナの場所です。このような状況はほとんどありませんが、その一例としてOracle Virtual DirectoryアダプタのバインドDNユーザーとしても使用されるOracle Identity Managerリコンシリエーション・ユーザーがあげられます。

- IDSTORE_USERNAMEATTRIBUTEは、ユーザー名を記述したLDAP属性です。この属性は通常CNです。

- IDSTORE_LOGINATTRIBUTEは、ユーザーのログイン名を記述したLDAP属性です。

3. 次の場所にあるidmConfigToolコマンドを使用してアイデンティティ・ストアを構成します。

IAM_ORACLE_HOME/idmtools/bin

注意:

idmConfigToolコマンドを実行すると、idmDomainConfig.paramファイルが作成されるか、既存のこのファイルに情報が追加されます。このファイルは、idmConfigToolコマンドを実行するディレクトリと同じディレクトリ内に生成されます。

このツールを実行するたびに必ず同じファイルに情報が追加されるようにするには、常に次のディレクトリでidmConfigToolを実行します。

IAM_ORACLE_HOME/idmtools/bin

- Linuxの場合、このコマンドの構文は次のとおりです。

idmConfigTool.sh -preConfigIDStore input_file=configfile

- Windowsの場合、このコマンドの構文は次のとおりです。

idmConfigTool.bat -preConfigIDStore input_file=configfile

例:

idmConfigTool.sh -preConfigIDStore input_file=extend.props

このコマンドを実行すると、アイデンティティ・ストアへの接続に使用するアカウントのパスワードを入力するように要求されます。

Oracle Virtual Directoryに対して実行した場合のコマンド出力例:

Enter ID Store Bind DN password:
May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/
idm_idstore_groups_template.ldif
May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/
oid/idm_idstore_groups_acl_template.ldif
May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/
oid/systemid_pwdpolicy.ldif
May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/
oid/idstore_tuning.ldif
May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/
oid_schema_extn.ldif
May 25, 2011 2:37:19 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/oam/server/oim-intg/schema/
OID_oblix_pwd_schema_add.ldif
May 25, 2011 2:37:19 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/oam/server/oim-intg/schema/
OID_oim_pwd_schema_add.ldif
May 25, 2011 2:37:19 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/oam/server/oim-intg/schema/
OID_oblix_schema_add.ldif
May 25, 2011 2:37:34 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/oam/server/oim-intg/schema/
OID_oblix_schema_index_add.ldif
The tool has completed its operation. Details have been logged to
automation.log

4. このツールを実行したディレクトリにautomation.logというファイルが作成されます。このログ・ファイルを確認して、エラーや警告を修正します。

注意:

idmConfigToolは、ユーザーを作成するだけでなく、次のグループも作成します。

- OrclPolicyAndCredentialWritePrivilegeGroup

- OrclPolicyAndCredentialReadPrivilegeGroup

関連項目:

idmConfigToolコマンドの詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合概要』を参照してください。

3.3.3.2 Oracle Privileged Account Managerに使用するユーザーおよびグループの作成

トポロジ内にOracle Privileged Account Managerを実装する場合、アイデンティティ・ストアをOracle Privileged Account Managerに必要なユーザーとグループでシードする必要があります。

注意:

次の手順におけるapmとAPMの使用は、Oracle Privileged Account Managerに必要なユーザーとグループの設定に適しています。

必要なユーザーとグループを作成するには、IDMHOST1で次のタスクを実行します。

1. 環境変数MW_HOME、JAVA_HOMEおよびORACLE_HOMEを設定します。
ORACLE_HOMEをIAM_ORACLE_HOMEに設定します。

2. 次の内容でプロパティ・ファイルapm.propsを作成します。

IDSTORE_HOST: idstore.mycompany.com
IDSTORE_PORT: 389
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=mycompany,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=mycompany,dc=com
IDSTORE_SEARCHBASE: dc=mycompany,dc=com
POLICYSTORE_SHARES_IDSTORE: true
IDSTORE_APMUSER: opamadmin

説明

- IDSTORE_HOSTおよびIDSTORE_PORTは、アイデンティティ・ストア・ディレクトリのホストおよびポートに対応します。

- OID以外のディレクトリを使用している場合は、Oracle Virtual Directoryのホスト(IDSTORE.mycompany.com)を指定します。

- Oracle Internet Directoryにアイデンティティ・ストアがある場合は、
その前面にOracle Virtual Directoryを配置していても、IDSTORE_HOSTがOracle Internet Directoryを指している必要があります。

- IDSTORE_BINDDNは、アイデンティティ・ストア・ディレクトリ内の管理ユーザーです。

- IDSTORE_USERNAMEATTRIBUTEは、ユーザー名を記述したLDAP属性です。この属性は通常CNです。

- IDSTORE_LOGINATTRIBUTEは、ユーザーのログイン名を記述したLDAP属性です。

- IDSTORE_USERSEARCHBASEは、ユーザーを格納するディレクトリ内の場所です。

- IDSTORE_GROUPSEARCHBASEは、グループを格納するディレクトリ内の場所です。

- IDSTORE_SEARCHBASEは、ユーザーおよびグループを格納するディレクトリ内の場所です。

- POLICYSTORE_SHARES_IDSTORE

- ポリシーとアイデンティティ・ストアが同じディレクトリにある場合は、trueに設定します。

- ポリシーとアイデンティティ・ストアが同じディレクトリにない場合は、falseに設定します。

- IDSTORE_APMUSERは、Oracle Privileged Account Manager管理者として作成するユーザーの名前です。

このコマンドでは、ユーザーを作成するだけでなく、そのユーザーを、第3.1項「11gリリース2 (11.1.2)のインストール後の作業」で作成されたグループに割り当てます。

3. 次の場所にあるidmConfigToolコマンドを使用してアイデンティティ・ストアを構成します。

IAM_ORACLE_HOME/idmtools/bin

注意:

idmConfigToolコマンドを実行すると、idmDomainConfig.paramファイルが作成されるか、既存のこのファイルに情報が追加されます。このファイルは、idmConfigToolコマンドを実行するディレクトリと同じディレクトリ内に生成されます。

このツールを実行するたびに必ず同じファイルに情報が追加されるようにするには、常に次のディレクトリでidmConfigToolを実行します。

IAM_ORACLE_HOME/idmtools/bin

- Linuxの場合、このコマンドの構文は次のとおりです。

idmConfigTool.sh -prepareIDStore mode=APM input_file=configfile

- Windowsの場合、このコマンドの構文は次のとおりです。

idmConfigTool.bat -prepareIDStore mode=APM input_file=configfile

例:

idmConfigTool.sh -prepareIDStore mode=APM input_file=apm.props

このコマンドを実行すると、アイデンティティ・ストアへの接続に使用するアカウントのパスワードを入力するように要求されます。

次に、コマンドの出力例を示します。

Enter ID Store Bind DN password :
Feb 18, 2013 10:10:35 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING:  /u01/app/oracle/product/fmw/iam/common/templates/
oinav_template_oid.ldif
*** Creation of APM User ***
Feb 18, 2013 10:10:35 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING:  /u01/app/oracle/product/fmw/iam/idmtools/templates/
oid/oam_user_template.ldif
Enter User Password for opamadmin:
Confirm User Password for opamadmin:
The tool has completed its operation. Details have been logged to
automation.log

4. このツールを実行したディレクトリにautomation.logというファイルが作成されます。このログ・ファイルを確認して、エラーや警告を修正します。

関連項目:

idmConfigToolコマンドの詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合概要』を参照してください。

3.3.4 ユーザーへのアプリケーション構成者ロールの割当て

インストール後は、どのユーザーにも管理者ロールは付与されていません。ユーザーを選択し、Oracle Identity Navigatorを使用してそのユーザーにアプリケーション構成者ロールを付与する必要があります。

注意:

手順については、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドの共通管理者ロールの割当てに関する項を参照してください。

アプリケーション構成者ユーザーは、このロールに加えて別のロールも持つことができます。他の管理ロールの詳細は、第2.3.1項「管理ロールのタイプ」を参照してください。

アプリケーション構成者ユーザーが次のURLを使用してログインすると、OPAMの構成リンクが含まれた空の画面が表示されます。

http://adminserver_host:adminserver_port/oinav/opam

アプリケーション構成者ユーザーは、このリンクを使用して、Oracle Privileged Account Managerサーバーのホストとポートを指定することで、Oracle Privileged Account Managerサーバーが実行されている場所をOracle Privileged Account Managerコンソールに認識させることができます。

Oracle Privileged Account ManagerコンソールがOracle Privileged Account Managerサーバーとの通信に成功すると、Oracle Privileged Account Managerコンソールにコンテンツが移入されます。

注意:

Oracle Privileged Account Manager管理者およびユーザーは、Oracle Privileged Account Managerの初期設定中を除き、通常はOracle Identity Navigatorインタフェースを使用する必要はありません。

3.3.5 Oracle Privileged Account ManagerのWebベースのコンソールの起動

Oracle Privileged Account Managerのコンソールにアクセスするには、ブラウザ・ウィンドウを開いて次のURLを入力します。

http://adminserver_host:adminserver_port/oinav/opam

「サイン・イン」画面のあるOracle Privileged Account Managerページが表示されたら、管理者またはエンド・ユーザーの適切な資格証明を使用してログインします。

注意:

Oracle Privileged Account Managerのコマンドライン・ツールまたはOracle Privileged Account ManagerのRESTfulインタフェースを使用する場合、それらのインタフェースの詳細は、それぞれ付録A「コマンドライン・ツールの使用」または付録B「Oracle Privileged Account ManagerのRESTfulインタフェースの使用」を参照してください。

3.4 Oracle Privileged Account Managerのコンソールのナビゲート

Oracle Privileged Account Managerにログインすると、コンソールが表示されます。

コンソールの一部の機能へのアクセスは、ユーザーの管理ロールおよび資格証明に基づきます。たとえば、図3-1は、Oracle Privileged Account Managerで提供されるすべての機能を示しています。ただし、この項で後から説明する「管理」、「レポート」および「構成」アコーディオンは、エンド・ユーザーやセキュリティ管理者ロールを持つユーザーには提供されません。

図3-1 Oracle Privileged Account Managerコンソール(完全な権限に対するビュー)

図3-2は、管理者権限を持たないセルフサービス・ユーザーとしてログインしたときのコンソールを示しています。

図3-2 Oracle Privileged Account Managerコンソール(セルフサービスに対するビュー)

注意:

管理ロールの詳細は、第2.3項「Oracle Privileged Account Managerの認可の理解」を参照してください。

この項では、Oracle Privileged Account Managerコンソールの概要について説明します。この項の内容は次のとおりです。

- 「ホーム」アコーディオンの使用

- 「管理」アコーディオンの使用

- 「レポート」アコーディオンの使用

- 「構成」アコーディオンの使用

- 検索ポートレットの使用

- 検索結果表の使用

ヒント:

Oracle Privileged Account Managerインタフェースの要素(パラメータ・フィールドや情報アイコン など)の上にカーソルを重ねると、役に立つプロンプトが表示されます。

3.4.1 「ホーム」アコーディオンの使用

「ホーム」アコーディオンには、次のノードが含まれます。

- マイ・アカウント: このノードを選択すると、自身が権限受領者である任意のアカウントのパスワードを参照、検索、チェックアウト、チェックインおよび表示できる「マイ・アカウント」ページが表示されます。

- マイ・チェックアウト済アカウント: このノードを選択すると、チェックアウト済アカウントの表示、それらのアカウントのパスワードの表示およびアカウントのチェックインを実行できる「マイ・チェックアウト済アカウント」ページが表示されます。

いずれかのノードをクリックすると、新規ページがコンソールの右側に表示されます。これらのページを使用して、アカウントを管理します。

注意:

- 「マイ・アカウント」ページは、ユーザーがログインしたときに、権限を問わずデフォルトで表示されます。

- 「マイ・アカウント」ページまたは「マイ・チェックアウト済アカウント」ページの使用の詳細は、第5.2項「セルフサービスの使用」を参照してください。

3.4.2 「管理」アコーディオンの使用

「管理」アコーディオンには、管理ロールと資格証明に基づいて、次のいずれかまたはすべてのノードが含まれます。

- アカウント: 選択すると、アカウントを検索、開く、追加および削除できる「アカウント」ページが表示されます。

- ターゲット: 選択すると、ターゲットを検索、開く、追加および削除できる「ターゲット」ページが表示されます。

- パスワード・ポリシー: 選択すると、パスワード・ポリシーを検索、開く、作成および削除できる「パスワード・ポリシー」ページが表示されます。

- 使用ポリシー: 選択すると、使用ポリシーを検索、開く、作成および削除できる「使用ポリシー」ページが表示されます。

- ユーザー権限受領者: 選択すると、個々のユーザー権限受領者に関する情報を検索、開くおよび表示できる「ユーザー権限受領者」ページが表示されます。

- グループ権限受領者: 選択すると、権限受領者のグループに関する情報を検索、開くおよび表示できる「グループ権限受領者」ページが表示されます。

いずれかのノードをクリックすると、新規ページがコンソールの右側に表示されます。これらのページを使用して、Oracle Privileged Account Managerを構成および管理します。

注意:

- Oracle Privileged Account Managerの構成と管理の詳細は、第5章「Oracle Privileged Account Managerの構成および管理」を参照してください。

- Oracle Privileged Account Managerサーバーの構成と管理の詳細は、第4.3項「Oracle Privileged Account Managerサーバーの管理」を参照してください。

3.4.3 「レポート」アコーディオンの使用

「レポート」アコーディオンには、管理ロールと資格証明に基づいて、次のいずれかまたはすべてのノードが含まれます。

- デプロイメント・レポート: 選択すると、ターゲットおよび特権アカウントが現在どのようにデプロイされているかに関する情報を参照できる「デプロイメント・レポート」ページが表示されます。

- 使用状況レポート: 選択すると、特権アカウントが現在デプロイメント内でどのように使用されているかに関する情報を参照できる「使用状況レポート」ページが表示されます。

- エラー・レポート: 選択すると、ターゲットとアカウントに対するエラーの現在の状態に関する情報を参照できる「エラー・レポート」ページが表示されます。

注意:

これらのレポートの詳細は、第5.1.5項「レポートの使用」を参照してください。

3.4.4 「構成」アコーディオンの使用

「構成」アコーディオンには、クラスタ内のすべてのOracle Privileged Account Managerサーバーに適用される共通グローバル構成プロパティを表す、次のノードが含まれます。

- サーバー接続: このノードを選択すると、Oracle Privileged Account Managerサーバーへの接続を構成できます。

- サーバー構成: このノードを選択すると、次を管理できます。

- 使用ポリシー・スケジューラ間隔

- パスワード・ポリシー・スケジューラ間隔

- ターゲット接続タイムアウト(秒単位)

- Oracle Database TDEモード(透過的データ暗号化)

注意:

これらの設定の詳細は、第4.3.2項「Oracle Privileged Account Managerサーバー・プロパティの管理」を参照してください。

3.4.5 検索ポートレットの使用

Oracle Privileged Account Managerの検索ポートレットを使用すると、アカウント、ターゲット、ポリシー、ユーザーおよびグループを検索できます。

図3-3 検索ポートレットの例

検索を構成するには、検索ポートレットに表示されている1つ以上のパラメータを使用します。使用可能なパラメータは、検索のタイプに応じて異なります。次の表では、異なる検索パラメータについて説明します。

表3-4 検索ポートレットのパラメータ

パラメータ名

説明

検索タイプ

アカウント名

検索するアカウント名の1つ以上の文字を入力します。

マイ・アカウント、アカウント

ターゲット名

検索するターゲット名の1つ以上の文字を指定します。

マイ・アカウント、アカウント、ターゲット、ユーザー、グループ

ターゲット・タイプ

「すべて」(すべてのターゲット・タイプを検索する場合)、ldap、unix、databaseまたはlockboxを指定します。

マイ・アカウント、アカウント、ターゲット

ドメイン

検索するドメインを指定します。

マイ・アカウント、アカウント、ターゲット

ホスト名

検索するホストの名前を指定します。

ターゲット

ポリシー名

検索するポリシー名の1つ以上の文字を指定します。

パスワード・ポリシー、使用ポリシー

ポリシー・ステータス

すべてのポリシーを検索するか、検索をアクティブなポリシーのみまたは無効なポリシーのみに制限するかを指定します。

パスワード・ポリシー、使用ポリシー

ユーザー名

検索するユーザー名の1つ以上の文字を指定します。

ユーザー権限受領者

グループ名

検索するグループ名の1つ以上の文字を指定します。

グループ権限受領者

検索を実行する一般的な手順は次のとおりです。

1. 「ホーム」または「管理」アコーディオンで、適切なノードを選択します。
たとえば、アカウントを検索するには、「アカウント」を選択します。

2. 検索ポートレットのパラメータを使用して、検索を構成します。

- たとえば、特定のLDAPターゲットに存在するアカウントのリストを検索するには、ターゲット名の1つ以上の文字を入力し、「ターゲット・タイプ」メニューからLDAPを選択して、「検索」をクリックします。

- 使用可能なすべての結果を検索する場合は、検索パラメータを指定しません。

3. 「検索」をクリックします。
結果は検索結果表に表示されます。

注意:

検索結果表の上にある「ステータス」メニューを使用すると、アカウント・ステータスに基づいて検索結果をフィルタ処理できます。詳細は、第3.4.6項「検索結果表の使用」の表3-5を参照してください。

4. 別の検索を実行するには、「リセット」をクリックします。

3.4.6 検索結果表の使用

異なる検索結果表の上部に配置されているドロップダウン・メニューとアイコンを使用して、様々なタスクを実行できます。

図3-4 検索結果表の例

次の表では、これらの機能について説明します。

注意:

これらの機能の可用性は、ユーザーのロール(権限)および実行された検索のタイプに基づいて変化します。詳細は、第2.3.1項「管理ロールのタイプ」を参照してください。

表3-5 検索結果表の機能

機能名

検索タイプ

説明

アクション

マイ・アカウント、
マイ・チェックアウト済アカウント、アカウント、ターゲット、パスワード・ポリシー、使用ポリシー、ユーザー権限受領者、グループ権限受領者

ドロップダウン・メニューからアクションを選択します。

注意: 「アクション」メニューのオプションは、表の上部に表示されているタスク・アイコンと同じです。

表示

マイ・アカウント、
マイ・チェックアウト済アカウント、アカウント、ターゲット、パスワード・ポリシー、使用ポリシー、ユーザー権限受領者、グループ権限受領者

このドロップダウン・メニューを使用して、検索結果表での列の表示方法を制御します。

- 「列」→「すべて表示」: 表のすべての列を表示します。

- 「列」→「列名」: 列名をクリックすると、表内でその列が表示または非表示になります。列はデフォルトで表示(選択)されています。

- 「列」→「列の管理」: 列の表示と非表示を切り替えることのできるダイアログが表示されます。

- 列の並替え: このオプションを選択すると、「列の並替え」ダイアログが表示されます。列を選択し、表内でのそれらの順序を変更する場合、このダイアログを使用します。

ステータス

マイ・アカウント、アカウント

メニューからオプションを選択して、検索結果の表示方法を制御します。

- チェックイン済アカウント: 現在チェックインされているアカウントのみをリストします。
注意: 管理者としてアカウントを表示している場合、「チェックイン済アカウント」は、そのアカウントへのアクセス権を付与されている任意のユーザーがチェックアウトできるアカウントです。権限受領者としてアカウントを表示している場合、「チェックイン済アカウント」は、自分がチェックアウトできるアカウントです。

- チェックアウト済アカウント: 現在チェックアウトされているアカウントのみをリストします。

- すべて: ターゲットのすべてのアカウントをリストします。

追加

アカウント、ターゲット

クリックすると、新しいアカウントまたはターゲットをOracle Privileged Account Managerリポジトリに追加できます。

開く

マイ・アカウント、アカウント、ターゲット、パスワード・ポリシー、使用ポリシー、ユーザー権限受領者、グループ権限受領者

クリックすると、選択したアカウント、ターゲット、ポリシー、ユーザー権限受領者またはグループ権限受領者を開くことができます。

削除

アカウント、ターゲット

クリックすると、選択したアカウントまたはターゲットをOracle Privileged Account Managerリポジトリから削除できます。

パスワードの表示

マイ・アカウント、
マイ・チェックアウト済アカウント、アカウント、ターゲット

クリックすると、選択したアカウントまたはターゲット・サービス・ターゲットの現在のパスワードに関する情報を参照できる「現在のパスワードの表示」ダイアログが表示されます。

- 「アカウント」の場合、このダイアログには現在のアカウント名とパスワードがリストされます。

- 「ターゲット」の場合、このダイアログには現在のターゲット名、サービス・アカウント名、現在のパスワードおよびパスワード変更時間がリストされます。

パスワードのリセット

アカウント、ターゲット

クリックすると、選択したアカウントまたはターゲット・サービス・アカウントのパスワードを手動でリセットできる「パスワードのリセット」ダイアログが表示されます。

- 「アカウント」の場合、このダイアログには現在のアカウント名とターゲット名がリストされます。アカウントの新規パスワードを作成するには、「新規パスワード」フィールドにパスワードを入力します。

- 「ターゲット」の場合、このダイアログには現在のターゲット名とサービス・アカウント名がリストされます。「新規パスワード」フィールドにパスワードを入力するか、「パスワードの自動生成」チェック・ボックスを選択して新規パスワードを自動的に生成できます。

強制的チェックイン

アカウントのみ

クリックすると、他のユーザーによってチェックアウトされた特権アカウントをチェックインできます。

パスワード・ポリシーの作成

パスワード・ポリシーのみ

クリックすると、パスワード・ポリシーを作成できます。詳細は、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

使用ポリシーの作成

使用ポリシーのみ

クリックすると、使用ポリシーを作成できます。詳細は、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

削除

パスワード・ポリシー、使用ポリシー

クリックすると、選択したポリシーをOracle Privileged Account Managerリポジトリから削除できます。

チェックイン

マイ・チェックアウト済アカウント
のみ

クリックすると、選択したチェックアウト済アカウントをチェックインできます。詳細は、第5.1.3.6項「特権アカウントのチェックイン」を参照してください。

リフレッシュ

マイ・アカウント、マイ・チェックアウト済アカウント、アカウント

クリックすると、検索結果を再表示(リフレッシュ)できます。

4 Oracle Privileged Account Managerサーバーの追加と管理

この章では、Oracle Privileged Account Managerサーバーを追加、構成および管理する管理者が確認しておく必要のある情報を提供します。

この章の内容は次のとおりです。

- 第4.1項「概要」

- 第4.2項「前提作業」

- 第4.3項「Oracle Privileged Account Managerサーバーの管理」

4.1 概要

Oracle Privileged Account Managerサーバーは、Oracle Privileged Account Managerの中核機能を実装し、次のものを特定するための認可決定を行います。

- 管理者またはエンド・ユーザーに公開するターゲットおよび特権アカウント

- 管理者およびエンド・ユーザーがターゲット、特権アカウントおよびポリシーに対して実行できる操作

また、Oracle Privileged Account Managerサーバーは次のことを行います。

- アカウントの使用ポリシーおよびパスワード・ポリシーのサポート

- 前述の認可決定の実施

- OPSSトラスト・サービスによるSAMLベースのOracle Security TokenおよびHTTP Basic認証を使用した認証のサポート

- Oracle Privileged Account Managerサーバーの異なる管理ロールのサポート

注意:

セキュリティ上の理由から、Oracle Privileged Account ManagerサーバーはSSLトラフィックにのみ応答します。

Oracle Privileged Account Managerのユーザー・インタフェースまたはOracle Privileged Account Managerのコマンドライン・ツール(CLI)にOracle Privileged Account Managerサーバー・ターゲットを追加する場合、SSLエンドポイントとしてhttps://hostname:sslport/opamを指定する必要があります。

デフォルトでは、WebLogicは管理サーバーのポート7002および管理対象サーバーのポート18102を使用してSSLに応答します。WebLogicコンソールを使用して、特定のインスタンスのポートを確認できます。

次の図では、Oracle Privileged Account Managerサーバーのアーキテクチャを示します。

図4-1 サーバー・アーキテクチャ

4.2 前提作業

Oracle Privileged Account Managerサーバーを追加および管理するには、「アプリケーション構成者」管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

この章で説明する手順では、次のOracleマニュアルに含まれる情報および手順を参照しています。Oracle Privileged Account Managerサーバーの構成を開始する前に、必要に応じて参照先の概念、専門用語および手順を確認してください。

表4-1 参照マニュアル

参照内容

参照先

管理ロール

第2.3.1項「管理ロールのタイプ」および第3.3.4項「ユーザーへのアプリケーション構成者ロール割当て」

Oracle WebLogic Serverの概念および専門用語

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプおよび『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

IBM WebSphereでのOracle Privileged Account Managerサーバーの追加と管理

Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイドのIBM WebSphereアイデンティティ・ストアに関する項

ディレクトリ構造

『Oracle Fusion Middlewareインストレーション・プランニング・ガイド』のOracle Fusion Middlewareのディレクトリ構造に関する項

WebLogicおよび管理対象サーバーの起動

『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracleスタックの起動と停止に関する項

4.3 Oracle Privileged Account Managerサーバーの管理

この項では、Oracle Privileged Account Managerサーバーを管理するために管理者が必要とする情報を提供し、次の内容が含まれます。

- Oracle Privileged Account Managerサーバーへの接続の構成

- Oracle Privileged Account Managerサーバーのプロパティの管理

4.3.1 Oracle Privileged Account Managerサーバーへの接続の構成

Oracle Privileged Account ManagerコンソールからOracle Privileged Account Managerサーバーへの接続を構成するには、次の手順を使用します。

1. 次のURLにログインしてOracle Privileged Account Managerを開きます。
http://adminserver_host:adminserver_port/oinav/opam

注意:

「アプリケーション構成者」管理ロールを持つユーザーとしてログインする必要があります(持たない場合、「サーバー構成」ページにアクセスできません)。

この管理ロールおよび他の管理ロールの詳細は、第2.3.1項「管理ロールのタイプ」および第3.3.4項「ユーザーへのアプリケーション構成者ロールの割当て」を参照してください。

2. Oracle Privileged Account Managerコンソールが表示されたら、「構成」アコーディオンから「サーバー接続」を選択します。

図4-2 「構成」アコーディオン

3. 「サーバー接続」ページが表示されたら、サーバーのホスト名とSSLポート番号を入力します。
「SSLポート」フィールドの下にURLが表示されます。

4. 「テスト」ボタンをクリックして接続設定をテストします。
通常は、構成のテストに成功したことを示すメッセージが表示されます。

5. 「適用」ボタンをクリックしてこの接続情報を保存します。

4.3.2 Oracle Privileged Account Managerサーバーのプロパティの管理

コンソールまたはOPAM Global Config構成エントリ内のプロパティを使用して、スケジューラ間隔やタイムアウトなどのアクティビティに対するサーバー・レベルの動作を定義できます。使用可能なサーバー・プロパティの詳細は、第4.3.2.1項を参照してください。

OPAM Global Config構成エントリで定義されているサーバー・プロパティは、次の2つの場所から管理できます。

- コンソールから

- コマンドラインから

4.3.2.1 コンソールから

Oracle Privileged Account ManagerコンソールからOracle Privileged Account Managerサーバーのプロパティを管理するには、次の手順を実行します。

1. 次のURLにログインしてOracle Privileged Account Managerを開きます。
http://adminserver_host:adminserver_port/oinav/opam

注意:

「アプリケーション構成者」管理ロールを持つユーザーとしてログインする必要があります(持たない場合、「サーバー構成」ページにアクセスできません)。

この管理ロールおよび他の管理ロールの詳細は、第2.3.1項「管理ロールのタイプ」および第3.3.4項「ユーザーへのアプリケーション構成者ロールの割当て」を参照してください。

2. Oracle Privileged Account Managerコンソールが表示されたら、「構成」アコーディオンから「サーバー構成」を選択します。

図4-3 「構成」アコーディオン

3. 「サーバー構成」ページが表示されたら、次のいずれかのサーバー・プロパティ・オプションを変更できます。

- 使用ポリシー・スケジューラ間隔。Oracle Privileged Account Managerがアカウントを確認した後、使用ポリシーで定義されている有効期限を超えたアカウントを自動的にチェックインする間隔を秒単位で指定します。(デフォルトは3600秒)

- パスワード・ポリシー・スケジューラ間隔。Oracle Privileged Account Managerが、パスワード・ポリシーで定義されている最大パスワード有効期限を超えたアカウントのパスワードを確認およびリセットする間隔を秒単位で指定します。(デフォルトは3600秒)

- ターゲット接続タイムアウト。ICFコネクタが接続先のターゲット・システムからのレスポンスを待機する時間として、Oracle Privileged Account Managerによって許可される間隔を秒単位で指定します。
この設定のデフォルト値は20秒ですが、ネットワーク待機時間が長く、ターゲット・システムからのレスポンスに時間がかかるデプロイメントでは、この値を大きくすることが必要になる場合があります。

- Oracle Database TDEモード。Oracle Privileged Account Managerで透過的データ暗号化(TDE)モードを使用できるようにするには、このボックスを選択します。
TDEを有効にすると、Oracle Privileged Account Managerによって格納されたすべての機密情報(アカウント・パスワードなど)が、ディスク上で暗号化されます。

このボックスの選択を解除すると、TDEモードは無効になります。

注意:

高度なセキュリティの実現のため、TDEモードを有効化することを強くお薦めします。

TDEモードの使用の詳細は、第2.4.6項「バックエンドOracle Privileged Account Managerデータベースの強化」を参照してください。

4. 完了したら、「適用」ボタンをクリックして、これらの構成設定を保存します。

4.3.2.2 コマンドラインから

OPAM Global Config構成エントリにアクセスし、これらのサーバー・プロパティを変更するには、コマンドラインからgetglobalconfigおよびmodifyglobalconfigコマンドを使用します。

注意:

これらのコマンドの使用の詳細は、第A.2.15項「getglobalconfigコマンド」および第A.2.21項「modifyglobalconfigコマンド」を参照してください。

コマンドラインからのTDEモードの有効化または無効化の詳細は、第7.2項「ディスク上のデータの保護」を参照してください。

5 Oracle Privileged Account Managerの構成および管理

この章では、Oracle Privileged Account Managerを構成および管理する方法について説明します。この章の内容は次のとおりです。

- 第5.1項「Oracle Privileged Account Managerの管理」

- 第5.2項「セルフサービスの使用」

- 第5.3項「テスト環境から本番環境への移行」

注意:

この章で説明するタスクの多くは、Oracle Privileged Account Managerのコマンドライン・ツールまたはOracle Privileged Account ManagerのRESTfulインタフェースを使用しても実行できます。

Oracle Privileged Account Managerコンソールのかわりにこれらのインタフェースを使用する場合の手順は、付録A「コマンドライン・ツールの使用」または付録B「Oracle Privileged Account ManagerのRESTfulインタフェースの使用」を参照してください。

5.1 Oracle Privileged Account Managerの管理

この項では、Oracle Privileged Account Managerを構成および管理する必要のある管理者の手順について説明します。

内容は次のとおりです。

- ポリシーの使用

- ターゲットの使用

- 特権アカウントの使用

- 権限受領者の使用

- レポートの使用

- Oracle Privileged Account Managerの再ブランド化

この項で説明する様々な構成タスクを実行するには、特定の管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

次のリストでは、異なる管理ロールに基づいてOracle Privileged Account Manager管理者ユーザーが実行できる基本ワークフローについて説明します。

注意:

「アプリケーション構成者」管理ロールを持つ管理者は、通常、すでにOracle Privileged Account Managerサーバーへの接続を構成済です。詳細は、第4.3.1項「Oracle Privileged Account Managerサーバーへの接続の構成」を参照してください。

表5-1 管理ロールに基づく管理者ワークフロー

管理者

職責

セキュリティ管理者

1. Oracle Privileged Account Managerのデフォルト使用ポリシーおよびデフォルト・パスワード・ポリシーを評価し、必要に応じてそれらのポリシーの変更または新規作成を行います。

2. Oracle Privileged Account Managerにターゲットを追加します。

3. そのターゲットで特権アカウントを追加します。
注意: このロールでは、特権アカウントに権限受領者を割り当てることはできません。

4. 特権アカウントにパスワード・ポリシーを割り当てます。

5. 既存のターゲット、アカウントおよびポリシーを管理します。

ユーザー・マネージャ

1. アカウントに権限付与を割り当てます。

2. 必要に応じて使用ポリシーを作成および管理します。

3. 権限付与に使用ポリシーを割り当てます。

4. 既存の権限付与および使用ポリシーの割当てを管理します。

セキュリティ監査者

Oracle Privileged Account Managerレポートを確認します。

注意:

これらの管理ロールの詳細は、第2.3.1項「管理ロールのタイプ」を参照してください。

5.1.1 ポリシーの使用

この項では、Oracle Privileged Account Managerの使用ポリシーおよびパスワード・ポリシーを使用するための情報を提供します。

内容は次のとおりです。

- ポリシーの概要

- ポリシーの検索

- ポリシーの表示

- デフォルト・パスワード・ポリシーの変更

- デフォルト使用ポリシーの変更

- パスワード・ポリシーの作成

- 使用ポリシーの作成

- ポリシーの割当て

- ポリシーの削除

5.1.1.1 ポリシーの概要

Oracle Privileged Account Managerには、次の2つのタイプのポリシーがあります。

- パスワード・ポリシー: このポリシー・タイプは、関連する特権アカウントに対して特定のターゲットによって実施されるパスワード構成ルールを取得します。たとえば、数字の最小数と最大数です。パスワード・ポリシーを使用して、Oracle Privileged Account Managerが特権アカウントのパスワードをリセットするために使用するパスワード値を作成します。

- 使用ポリシー: このポリシー・タイプは、権限受領者が特権アカウントを使用できる時期と方法を定義します。(デフォルト・アクセスは24x7です。)

Oracle Privileged Account Managerによって管理されるすべての特権アカウントは、関連付けられたパスワード・ポリシーを持っている必要があります。使用ポリシーは、権限付与のレベルでのみ適用されます。単一のパスワード・ポリシーを複数の特権アカウントに、単一の使用ポリシーを複数の権限付与に関連付けることができます。

注意:

使用ポリシーについて、次のことに注意してください。

- 優先順位が最も高くなるのは、ユーザーの権限付与です。Oracle Privileged Account Managerは、ユーザーの権限付与を検出しなかった場合、グループの権限付与を検索します。

- Oracle Privileged Account Managerによる検索の対象がグループの権限付与であり、権限が付与された複数のグループに対象のユーザーが属している場合、実行時に選択されたグループの優先順位が最も高くなります。

Oracle Privileged Account Managerでは、デフォルト・パスワード・ポリシーおよびデフォルト使用ポリシーが提供されています。デフォルト・ポリシーを使用するか、これらのポリシーを変更するか、または独自の特化したポリシーを作成することができます。

注意:

デフォルトのポリシーを変更する場合は、それらのバックアップ・コピーを作成することをお薦めします。第A.2.13項「exportコマンド」の説明に従って、exportコマンドを使用できます。

これらのポリシーのパラメータ設定を確認するには、第5.1.1.3項「ポリシーの表示」を参照してください。

注意:

ポリシーを操作できるのは、セキュリティ管理者管理ロールまたは「ユーザー・マネージャ」管理ロールを持つ管理者のみです。

- セキュリティ管理者管理ロールを持つ管理者は、デフォルト・パスワード・ポリシーとデフォルト使用ポリシーの変更、新規ポリシーの作成、またはポリシーの削除を行うことができます。
セキュリティ管理者管理ロールを持つ管理者は、パスワード・ポリシーを割り当てることはできますが、使用ポリシーを割り当てることはできません。

- 「ユーザー・マネージャ」管理ロールを持つ管理者は、権限受領者とアカウントのペア・レベルでのみアカウントに使用ポリシーを割り当てることができます。つまり、ユーザー・マネージャは、同じアカウントの異なる権限受領者に異なる使用ポリシーを割り当てることができます。
「ユーザー・マネージャ」管理ロールを持つ管理者は、パスワード・ポリシーを割り当てることができません。

5.1.1.2 ポリシーの検索

ポリシーを検索するには、次の手順を実行します。

1. 検索するポリシー・タイプに基づいて、「管理」アコーディオンから「パスワード・ポリシー」または「使用ポリシー」を選択します。

2. 「ポリシーの検索」ポートレットが表示されたら、次の1つ以上のフィールドに検索基準を入力します。

- ポリシー名: ポリシー名の全部または一部を入力します。

- ポリシー・ステータス: すべてのポリシー(アクティブおよび非アクティブ)を検索するには、メニューから「すべて」(デフォルト)を選択します。アクティブまたは非アクティブなポリシーのみに検索を制限するには、「アクティブ」または「無効」を選択します。

3. 「検索」をクリックします。

検索結果表で検索結果を確認します。

5.1.1.3 ポリシーの表示

パスワード・ポリシーまたは使用ポリシーのパラメータ設定を確認するには、次の手順を実行します。

1. 「管理」アコーディオンから「パスワード・ポリシー」または「使用ポリシー」を選択します。

2. 「ポリシー」ページが表示されたら、「検索」をクリックします。
既存のポリシーが検索結果表に表示されます。たとえば、パスワード・ポリシーを検索した場合、既存のパスワード・ポリシーがリストされます。

3. 次のいずれかの方法を使用してポリシーを開きます。

- ポリシー名の横にある行番号をクリックしてから、検索結果表の上にある「開く」アイコンをクリックします。

- 検索結果表のポリシー名(アクティブ・リンク)をクリックします。
たとえば、デフォルト・パスワード・ポリシー・リンクをクリックすると、「パスワード・ポリシー: デフォルト・パスワード・ポリシー」ページが表示されます。

「パスワード・ポリシー」ページには、次の3つのタブが含まれます。

- 一般: ポリシーとそのポリシーのパスワード・ライフサイクル・ルールに関する一般情報を指定するためのパラメータが含まれます。パスワード・ライフサイクル・ルールによって、Oracle Privileged Account Managerが自動的にアカウント・パスワードをリセットする時期が制御されます。

- パスワードの複雑性ルール: アカウント・パスワードの複雑性要件を制御するパラメータが含まれます。

- 特権アカウント: そのパスワード・ポリシーを現在使用している特権アカウントの情報を提供します。

「使用ポリシー」ページには、次の3つのタブが含まれます。

- 一般フィールド: ポリシーに関する一般情報を指定するためのパラメータが含まれます。

- 使用ルール: 特権アカウントのチェックアウトに関連付けられたタイムゾーン、アカウントをチェックアウトできる時期およびチェックアウトの有効期限を制御するパラメータが含まれます。

- 権限受領者: 特定のアカウントを使用する権限が付与されている権限受領者の情報を提供します。

5.1.1.4 デフォルト・パスワード・ポリシーの変更

デフォルト・パスワード・ポリシーを評価した後に、現在の環境に合うように設定を変更することができます。

注意:

デフォルトのポリシーを変更する場合は、それらのバックアップ・コピーを作成することをお薦めします。第A.2.13項「exportコマンド」の説明に従って、exportコマンドを使用できます。

デフォルト・パスワード・ポリシーを変更するには、次の手順を実行します。

1. 「管理」アコーディオンから「パスワード・ポリシー」を選択します。

2. 「パスワード・ポリシー」ページが表示されたら、「検索」をクリックして検索結果表を移入します。

3. 検索結果表のデフォルト・パスワード・ポリシーリンクをクリックして、パスワード・ポリシー: デフォルト・パスワード・ポリシーページを開きます。

4. 「一般」タブを選択して「一般フィールド」領域の「ポリシーの説明」フィールドを変更するか、次のパスワード・ライフサイクル・ルールのいずれかを変更します。

注意:

このポリシーの「ポリシー名」または「ポリシー・ステータス」の値は編集できません。

パラメータ

説明

パスワード履歴の保存

カウンタおよびドロップ・メニューを使用して、アカウントのパスワード履歴を保存する日数を指定します。パスワード履歴には、アカウントのチェックアウト時間とチェックイン時間、およびアカウント・パスワードのリセット時間が含まれます。

パスワード有効期限

カウンタおよびドロップ・メニューを使用して、Oracle Privileged Account Managerでアカウント・パスワードを自動的にリセットするまでの期間(日数、時間数または分数)を指定します。たとえば、アカウント・パスワードを毎月変更する必要のあるセキュリティ・ポリシーを企業で実施する場合には、この値を30日に設定します。

アカウントがチェックアウトされ、そのパスワードが変更されるたびに(チェックアウトおよびチェックイン時にそのパスワードを変更するようにポリシーが構成されている場合)、Oracle Privileged Account Managerでは、パスワード変更時間が追跡されます。

Oracle Privileged Account Managerによってアカウントが使用されていないことが検出され、パスワード変更も指定した日数を超えて発生していない場合、そのパスワードはランダム化された新規の値に自動的にリセットされるため、企業ではユーザー操作なしでセキュリティ・ポリシーを自動的に実施できます。この自動リセット・オプションを無効にするには、数値を0に設定します。

注意: Oracle Privileged Account Managerスケジューラは、この項で説明されているように、パスワード最大期間を超えたアカウントがあるかどうかを定期的に確認し、それらをリセットします。

デフォルトでは、スケジューラは60分ごとにこの確認を実行します(OPAM Global Config構成エントリに含まれるpasswordcyclerintervalプロパティのデフォルト設定である60分に基づきます)。Oracle Privileged Account Managerのgetglobalconfigおよびmodifyglobalconfigコマンドライン・オプションを使用すると、現在の間隔を表示および変更できます。詳細は、第A.2.15項「getglobalconfigコマンド」および第A.2.21項「modifyglobalconfigコマンド」を参照してください。

チェックイン時にパスワードをリセット

このオプションを使用して、チェックイン操作時にOracle Privileged Account Managerでランダム化されたパスワードを自動生成して設定するかどうかを指定します。

チェックイン操作時にパスワードをリセットしない場合は、このボックスの選択を解除します。

チェックアウト時にパスワードをリセット

このオプションを使用して、チェックアウト操作時にOracle Privileged Account Managerでランダム化されたパスワードを自動生成して設定するかどうかを指定します。

チェックアウト操作時にパスワードをリセットしない場合は、このボックスの選択を解除します。

注意:

- セキュリティ管理者管理ロールを持つ管理者は、「パスワードのリセット」オプション(第5.1.3.7.2項「アカウント・パスワードのリセット」を参照)を使用してパスワードを手動でリセットすることもできますが、Oracle Privileged Account Managerではこのパスワード変更時間も追跡されます。

- セキュリティを向上するため、「チェックイン時にパスワードをリセット」および「チェックアウト時にパスワードをリセット」オプションはデフォルトで有効になっていますが、必要に応じて無効にすることもできます。たとえば、企業によっては、パスワードを30日ごとにリセットするだけで済みます。

- 企業でパスワードを自動的に管理せずに、必ずユーザー操作を介して変更する場合は、「パスワード・ライフサイクル・ルール」の3つのオプションをすべて無効にします。
ただし、これら3つのオプションを無効にした後にパスワードを手動で変更する唯一の方法は、「パスワードのリセット」オプションを使用することです(第5.1.3.7.2項「アカウント・パスワードのリセット」を参照)。この場合でも、Oracle Privileged Account Managerを使用することで1つの場所から複数のシステムのパスワードをリセットして集中管理できるため、Oracle Privileged Account Managerは役に立ちます。

5. 「パスワードの複雑性ルール」タブを選択して、デフォルト・パスワード要件を定義する1つ以上のパラメータを変更します。

パラメータ

説明

パスワードの文字

必要な文字の最小数と最大数を指定します。

英字

必要なアルファベット文字の最小数を指定します。

数字

必要な数字の最小数を指定します。

英数字

必要な英数字の最小数を指定します。

特殊文字

必要な特殊文字(*や@など)の最小数と最大数を指定します。

繰返し文字

許可する繰返し文字の最小数と最大数を指定します。

一意文字

必要な一意文字の最小数を指定します。

大文字

必要な大文字の最小数を指定します。

小文字

必要な小文字の最小数を指定します。

開始文字(数字以外)

パスワードを開始するために必要な最初の文字を指定します。

必須文字

パスワードに必要な文字を指定します。

許可された文字

パスワードで許可する文字を指定します。

許可されていない文字

パスワードで許可しない文字を指定します。

パスワードとして許可されていない

「アカウント名」ボックスを有効に(選択)してパスワードでアカウント名の使用を禁止します。

6. 「特権アカウント」タブを選択して、デフォルト・パスワード・ポリシーを現在使用しているアカウントを確認します。

注意:

表にリストされている任意のアカウントに異なるパスワード・ポリシーを指定するには、「アカウント名」のリンクをクリックします。「アカウント」ページが表示されたら、「パスワード・ポリシー」メニューから異なるポリシー名を選択します。

7. ポリシーの編集を終了したら、「適用」をクリックして変更内容を保存します。

5.1.1.5 デフォルト使用ポリシーの変更

デフォルトの使用ポリシーを環境に合せて変更する場合は、次の手順を実行します。

注意:

デフォルトのポリシーを変更する場合は、それらのバックアップ・コピーを作成することをお薦めします。第A.2.13項「exportコマンド」の説明に従って、exportコマンドを使用できます。

1. 「管理」アコーディオンから「使用ポリシー」を選択します。

2. 「使用ポリシー」ページが表示されたら、「検索」をクリックして検索結果表を移入します。

3. 検索結果表のデフォルト使用ポリシーリンクをクリックして、使用ポリシー: デフォルト・パスワード・ポリシーページを開きます。

4. 「一般フィールド」タブを選択して、「説明」を変更します。

注意:

このポリシーの「ポリシー名」または「ポリシー・ステータス」の値は編集できません。

5. 「使用ルール」タブを選択して、次の1つ以上のパラメータ設定を変更します。

パラメータ

説明

タイムゾーン

メニューからタイムゾーンを選択して、ポリシーを適用する時期を指定します。

たとえば、タイムゾーンをGMTに設定し、ポリシーで午前9時から午後5時のチェックアウトが許可されている場合、PSTではなくGMTの午前9時から午後5時にのみチェックアウトを実行できます。

使用許可日

「月曜日」から「日曜日」チェック・ボックスと、「開始」および「終了」ドロップ・メニューを使用して、権限受領者にアカウントの使用が許可される時期を指定します。権限受領者がこのアカウントにアクセスできる1つ以上の曜日や時間帯を選択します。(デフォルト・アクセスは24x7です。)

有効期限日

次のオプションのいずれかを有効にして、権限受領者によるアカウントへのアクセス権の有効期限を変更します。

- アカウントの自動チェックイン: カウンタを使用して、「最終チェックアウト後の分数」の値を指定します。

- この日付のアカウントの自動チェックイン: カレンダ・アイコンをクリックすると、日時の選択ダイアログが表示されます。
月と年のメニューを使用するか、カレンダ内の日付をクリックして、有効期限日を指定します。

時間、分、秒のメニューを使用して「AM」または「PM」ボタンを有効にし、有効期限時刻を指定します。

注意: Oracle Privileged Account Managerスケジューラは、この項で説明されているように、指定した有効期限を過ぎたアカウントがあるかどうかを定期的に確認し、それらをリセットします。

デフォルトでは、スケジューラは60分ごとにこの確認を実行します(OPAM Global Config構成エントリに含まれるpolicyenforcerintervalプロパティのデフォルト設定である60分に基づきます)。Oracle Privileged Account Managerのgetglobalconfigおよびmodifyglobalconfigコマンドライン・オプションを使用すると、現在の間隔を表示および変更できます。詳細は、第A.2.15項「getglobalconfigコマンド」および第A.2.21項「modifyglobalconfigコマンド」を参照してください。

注意:

共有特権アカウントの使用ポリシーを構成する場合、アカウントがチェックインされ、パスワードが適切な時期に反復されることを保証するため、自動チェックイン・オプションを構成することをお薦めします。

また、共有アカウントにアクセスできるユーザーの数を制限し、アカウントにアクセスできる時期を指定してそれらのユーザーをさらに絞り込むことを検討してください。各ユーザーがアカウントにアクセスできる曜日や時間帯を指定することで、チェックアウトの重複を最小限に抑え、Oracle Privileged Account Managerの監査機能を向上します。

共有アカウントの詳細は、第2.4.2項「共有アカウントの保護」を参照してください。

6. 「権限受領者」タブを選択して、このポリシーが割り当てられている権限受領者を表示します。

注意:

表にリストされている任意の権限受領者に異なる使用ポリシーを指定するには、「アカウント名」のリンクをクリックします。「アカウント」ページが表示されたら、「使用ポリシー」メニューから異なるポリシー名を選択します。

ヒント:

「権限受領者名」または「アカウント名」列のアクティブ・リンクをクリックすると、追加情報を含む他の画面にナビゲートできます。

7. ポリシーの編集を終了したら、「適用」をクリックして変更内容を保存します。

5.1.1.6 パスワード・ポリシーの作成

パスワード・ポリシーを作成するには、次の手順を実行します。

1. 「管理」アコーディオンから「パスワード・ポリシー」を選択します。

2. 「パスワード・ポリシー」ページが表示されたら、検索結果表の上部にある「パスワード・ポリシーの作成」をクリックします。
3つのタブを含む新しい「パスワード・ポリシー: 無題」ページが表示されます。

3. 次の情報を「一般」タブで入力します。

1. ポリシー名: 新規ポリシーの名前を入力します。

2. ポリシー・ステータス: ボタンをクリックしてポリシーが「アクティブ」であるか「無効」であるかを指定します。
ポリシーをアクティブにすると、すべての関連付けられたアカウントおよび権限付与に対してそのポリシーが有効になります。

ポリシーを無効にすると、その無効化されたポリシーに関連付けられたすべてのアカウントおよび権限付与にデフォルト・パスワード・ポリシーが適用されます。これらのアカウントおよび権限付与に単に異なるポリシーを割り当てると、古いポリシー割当てに関する情報はすべて失われます。

3. ポリシーの説明(オプション): 新規パスワード・ポリシーに関する説明文を入力します。

4. パスワード・ライフサイクル・ルール: これらのパラメータを構成して、一定の状況下でOracle Privileged Account Managerがランダム化されたアカウント・パスワードを自動生成して設定できるようにします(手順4を参照)。

4. 「パスワードの複雑性ルール」タブを選択して、このポリシーのパスワードの複雑性ルールを指定します。これらのパラメータ設定の詳細は、手順5の表を参照してください。

5. 「特権アカウント」タブを選択して、アカウントまたは権限受領者に新規ポリシーを割り当てます。詳細な手順については、第5.1.1.8項「ポリシーの割当て」を参照してください。
このパスワード・ポリシーを特権アカウントに割り当てた後、「特権アカウント」タブを選択すると、このポリシーを現在使用しているアカウントを確認できます。

6. 「保存」をクリックします。

5.1.1.7 使用ポリシーの作成

使用ポリシーを作成するには、次の手順を実行します。

1. 「管理」アコーディオンから「使用ポリシー」を選択します。

2. 「ポリシー」ページが表示されたら、検索結果表の上部にある「使用ポリシーの作成」をクリックします。
3つのタブを含む新しい「使用ポリシー: 無題」ページが表示されます。

3. 次の情報を「一般」タブで入力します。

1. ポリシー名: 新規ポリシーの名前を入力します。

2. ポリシー・ステータス: ボタンをクリックしてポリシー・ステータスが「アクティブ」であるか「無効」であるかを指定します。
ポリシーをアクティブにすると、関連付けられたアカウントおよび権限付与に対してそのポリシーが有効になります。

ポリシーを無効にすると、その無効化されたポリシーに関連付けられたすべてのアカウントおよび権限付与にデフォルト使用ポリシーが適用されます。これらのアカウントおよび権限付与に単に異なるポリシーを割り当てると、古いポリシー割当てに関する情報はすべて失われます。

3. 説明(オプション): 新規パスワード・ポリシーに関する説明文を入力します。

4. 「使用ルール」を選択して、特権アカウントを使用するためのルールを定義します。これらのパラメータ設定の詳細は、手順5の表を参照してください。

5. 「権限受領者」タブを選択して、アカウントまたは権限受領者に新規ポリシーを割り当てます。詳細な手順については、第5.1.1.8項「ポリシーの割当て」を参照してください。
このポリシーを割り当てた後、「権限受領者」タブを選択すると、このポリシーを使用しているユーザーまたはグループを確認できます。

6. 「保存」をクリックします。

5.1.1.8 ポリシーの割当て

前述のとおり、新しい特権アカウントを追加すると、そのアカウントにデフォルト・パスワード・ポリシーおよびデフォルト使用ポリシーが自動的に割り当てられます。

別のパスワード・ポリシーまたは使用ポリシーを割り当てるには、最初に第5.1.1.6項「パスワード・ポリシーの作成」または第5.1.1.7項「使用ポリシーの作成」の説明に従ってポリシーを作成する必要があります。

注意:

- セキュリティ管理者管理ロールを持つ管理者は、アカウントにパスワード・ポリシーまたは使用ポリシーを割り当てることができます。ただし、このロールでは、アカウント・レベルでのみ使用ポリシーを適用できます。

- 「ユーザー・マネージャ」管理ロールを持つ管理者は、権限受領者とアカウントのペア・レベルでアカウントに使用ポリシーを割り当てることができます。つまり、ユーザー・マネージャは、同じアカウントの異なる権限受領者に異なる使用ポリシーを割り当てることができます。
「ユーザー・マネージャ」管理ロールでは、パスワード・ポリシーを割り当てることはできません。

5.1.1.8.1 アカウントへのパスワード・ポリシーの割当て

アカウントへのパスワード・ポリシーの割当ては、「アカウント」ページ、「ターゲット」ページまたは「ポリシー」ページから行うことができます。

「アカウント」ページでは次の操作を実行します。

「アカウント」ページからパスワード・ポリシーを割り当てるには、次の手順を実行します。

1. ポリシーを割り当てるアカウントを特定します。

1. 「管理」アコーディオンで、「アカウント」を選択します。

2. 「アカウントの検索」ポートレットの「検索」をクリックして、検索結果表にすべての使用可能なアカウントのリストを移入します。
結果を絞り込むか、特定のアカウントを探すには、検索基準を1つ以上の「アカウントの検索」フィールドに入力し、「検索」をクリックします。たとえば、アカウントがUNIXターゲットに割り当てられていることがわかっている場合、「ターゲット・タイプ」メニューからunixを選択します。

2. 検索結果が表示されたら、表にあるアカウントの「アカウント名」のリンクをクリックし、「アカウント: AccountName」ページを開きます。

3. 「一般」タブで、「パスワード・ポリシー」メニューから異なるポリシー名を選択します。

4. 新しいポリシーを選択した後、「テスト」をクリックし、アカウントをOracle Privileged Account Managerで管理できることを確認します。通常は、テストの成功を示す「テストに成功しました」というダイアログが表示されます。

5. 「適用」をクリックして、選択したアカウントへのポリシーの割当てを終了します。

「ターゲット」ページでは次の操作を実行します。

「ターゲット」ページからパスワード・ポリシーを割り当てるには、次の手順を実行します。

1. アカウントが配置されているターゲットを特定します。

1. 「管理」アコーディオンで、「ターゲット」を選択します。

2. 「ターゲットの検索」ポートレットの「検索」をクリックして、検索結果表にすべての使用可能なターゲットのリストを移入します。
結果を絞り込むか、特定のターゲットを探すには、検索基準を1つ以上の「ターゲットの検索」フィールドに入力し、「検索」をクリックします。

2. 検索結果表にあるアカウントの「ターゲット名」のリンクをクリックし、「ターゲット: TargetName」ページを開きます。

3. 「特権アカウント」タブをクリックし、ターゲットで現在管理されているアカウントのリストを表示します。
表に、各アカウントに現在割り当てられているパスワード・ポリシーがリストされます。

4. 特権アカウント表でアカウントを特定し、「アカウント名」のリンクをクリックします。

5. 「一般」タブが表示されたら、「パスワード・ポリシー」メニューから異なるポリシー名を選択します。

6. 新しいポリシーを選択した後、「テスト」をクリックし、アカウントをOracle Privileged Account Managerで管理できることを確認します。通常は、テストの成功を示す「テストに成功しました」というダイアログが表示されます。

7. 「適用」をクリックして、選択したアカウントへのポリシーの割当てを終了します。

「ポリシー」ページでは次の操作を実行します。

「ポリシー」ページからパスワード・ポリシーを割り当てるには、次の手順を実行します。

1. アカウントに割り当てるパスワード・ポリシーを特定します。

1. 「管理」アコーディオンで、「パスワード・ポリシー」を選択します。

2. 「ポリシーの検索」ポートレットの「検索」をクリックして、検索結果表にすべての使用可能なパスワード・ポリシーのリストを移入します。
結果を絞り込むか、特定のポリシーを探すには、検索基準を1つ以上の「ポリシーの検索」フィールドに入力し、「検索」をクリックします。

2. 検索結果表でポリシーを特定し、「ポリシー名」のリンクをクリックして、「パスワード・ポリシー: PolicyName」ページを開きます。

3. 「特権アカウント」タブを選択します。

4. アカウントを特定し、「アカウント名」のリンクをクリックして「アカウント: AccountName」ページを開きます。

5. 「一般」タブが表示されたら、「パスワード・ポリシー」メニューから異なるポリシー名を選択します。

6. 新しいポリシーを選択した後、「テスト」をクリックし、アカウントをOracle Privileged Account Managerで管理できることを確認します。通常は、テストの成功を示す「テストに成功しました」というダイアログが表示されます。

7. 「適用」をクリックして、選択したアカウントへのポリシーの割当てを終了します。

5.1.1.8.2 ユーザーおよびグループへの使用ポリシーの割当て

第5.1.4.2項「ユーザーへのアカウントの付与」または第5.1.4.3項「グループへのアカウントの付与」の説明に従ってアカウントに権限受領者を追加すると、Oracle Privileged Account Managerによって「権限付与」タブの「ユーザー」または「グループ」表にユーザー名またはグループ名が追加され、デフォルト使用ポリシーが自動的に割り当てられます。

「アカウント」ページまたは「使用ポリシー」ページから異なる使用ポリシーを割り当てることができます。

注意:

アカウントの新しい使用ポリシーを作成しても、新しいポリシーはそのアカウントの既存の権限受領者に自動的に割り当てられません。Oracle Privileged Account Managerでは、個々の権限受領者にカスタマイズされたポリシーを割り当てることができるため、新しいポリシーでこれらの他のポリシー割当てを上書きすることは好ましくありません。

ただし、アカウントの新しいポリシーを作成してから新しい権限受領者を追加する場合、これらの(および将来の)権限受領者は、そのポリシーに自動的に関連付けられます(それがアカウントの新しいデフォルト使用ポリシーになっているため)。

「アカウント」ページでは次の操作を実行します。

「アカウント」ページから使用ポリシーを割り当てるには、次の手順を実行します。

1. ポリシーを割り当てるアカウントを特定します。

1. 「管理」アコーディオンで、「アカウント」を選択します。

2. 「アカウントの検索」ポートレットの「検索」をクリックして、検索結果表にすべての使用可能なアカウントのリストを移入します。
結果を絞り込むか、特定のアカウントを探すには、検索基準を1つ以上の「アカウントの検索」フィールドに入力し、「検索」をクリックします。

2. アカウントの「アカウント名」のリンクを特定して「アカウント: AccountName」ページを開きます。

3. 「権限付与」タブを選択します。

4. 「ユーザー」または「グループ」表で権限受領者を特定し、その行の「使用ポリシー」メニューを使用して異なるポリシーを選択します。

5. 「適用」をクリックして変更を追加します。

「ターゲット」ページでは次の操作を実行します。

「ターゲット」ページから使用ポリシーを割り当てるには、次の手順を実行します。

1. アカウントが配置されているターゲットを特定します。

1. 「管理」アコーディオンで、「ターゲット」を選択します。

2. 「ターゲットの検索」ポートレットの「検索」をクリックして、検索結果表にすべての使用可能なターゲットのリストを移入します。
結果を絞り込むか、特定のターゲットを探すには、検索基準を1つ以上の「ターゲットの検索」フィールドに入力し、「検索」をクリックします。

2. 検索結果表にあるアカウントのターゲット名をクリックし、そのターゲットを開きます。

3. 「ターゲット: TargetName」ページが表示されたら、「権限付与」タブをクリックし、そのアカウントへのアクセス権を現在付与されている権限受領者のリストを表示します。
表に、各権限受領者に現在割り当てられている使用ポリシーがリストされます。

4. 「ユーザー」または「グループ」表で権限受領者を特定し、その行の「使用ポリシー」メニューを使用して異なるポリシーを選択します。

5. 「適用」をクリックして、選択したアカウントへのポリシーの割当てを終了します。

「ポリシー」ページでは次の操作を実行します。

「ポリシー」ページから使用ポリシーを割り当てるには、次の手順を実行します。

1. アカウントに割り当てる使用ポリシーを特定します。

1. 「管理」アコーディオンで、「使用ポリシー」を選択します。

2. 「ポリシーの検索」ポートレットの「検索」をクリックして、検索結果表にすべての使用可能な使用ポリシーのリストを移入します。
結果を絞り込むか、特定のポリシーを探すには、検索基準を1つ以上の「ポリシーの検索」フィールドに入力し、「検索」をクリックします。

2. 検索結果が表示されたら、割り当てるポリシーを検索結果表で特定します。「ポリシー名」のリンクをクリックし、「使用ポリシー: PolicyName」ページを開きます。

3. 「権限受領者」タブを選択します。

4. 「権限受領者」表でユーザー名またはグループ名を特定し、その権限受領者の「アカウント名」のリンクをクリックしてアカウントを開きます。

5. 「アカウント: AccountName」ページが表示されたら、「権限付与」タブをクリックします。

6. 「ユーザー」または「グループ」表で権限受領者を特定し、その行の「使用ポリシー」メニューを使用して異なるポリシーを選択します。

7. 「適用」をクリックして変更を追加します。

5.1.1.9 ポリシーの削除

ポリシーを削除するには、次の手順を実行します。

1. 削除するポリシーを特定して選択します。

2. 「削除」アイコンをクリックします。

3. 「削除の確認」ダイアログが表示されたら、「削除」ボタンをクリックします。
ポリシーが削除されます。そのポリシーにアカウントが割り当てられている場合、それらのアカウントはすべて、適用可能なデフォルト・ポリシーを使用する状態に戻ります。

5.1.2 ターゲットの使用

この項では、Oracle Privileged Account Managerでターゲットを使用する場合に実行できる様々なタスクについて説明します。

注意:

ターゲットを追加、編集または削除するには、セキュリティ管理者管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

この項の内容は次のとおりです。

- ターゲットとは

- Oracle Privileged Account Managerへのターゲットの追加

- ターゲットの検索

- ターゲットを開く

- ターゲットのサービス・アカウント・パスワードの管理

- Oracle Privileged Account Managerからのターゲットの削除

5.1.2.1 ターゲットとは

ターゲットとは、ユーザー、システムまたはアプリケーション・アカウントを格納および使用し、それらに依存するソフトウェア・システムです。

ターゲットは、Oracle Privileged Account Managerを使用して環境に作成することや、環境から削除することはできません。かわりに、Oracle Privileged Account Managerは、他のメカニズムを使用してプロビジョニングされた既存のターゲットを管理します。

Oracle Privileged Account Managerでターゲットを追加すると、そのターゲットに対する参照が作成されます。実際には、ターゲットを登録してOracle Privileged Account Managerにその管理を依頼することになります。Oracle Privileged Account Managerからターゲットを削除すると、単にその参照が削除されます。

Oracle Privileged Account Managerでは、LDAP、UNIX、databaseおよびlockboxターゲット・タイプがサポートされます。

lockboxターゲットによって、Oracle Privileged Account Managerでパスワード・ボールトに似た機能が提供されます。つまり、デプロイメント内の特権アカウントに関連付けられたパスワード(またはその他の機密情報)を格納するためのセキュアなメカニズムが提供されます。このターゲット・タイプは、次の点で、他の従来のOracle Privileged Account Managerターゲット・タイプと異なります。

- Oracle Privileged Account Managerは、lockboxターゲット・システムと相互作用しません。これらのシステムへの接続、またはこれらのシステムに対して実行される操作はありません。

- Oracle Privileged Account Managerは、lockboxターゲット上のアカウントに関連付けられたパスワードのライフサイクル管理またはリセットを実行しません。

- パスワードの変更はアウトオブバンドで処理され、管理アクションとしてOracle Privileged Account Manager内で更新されます。そのため、Oracle Privileged Account Managerはパスワードをランダム化せず、それらは管理者によって指定された状態で格納されます。

lockboxターゲットは、Oracle Privileged Account Managerでターゲット・システム上の特権アカウントを自動的に管理することなく、それらのアカウントのパスワードを一元的に格納し、安全に付与する必要がある場合に適しています。たとえば、そのようなターゲット・システムでのパスワードの変更方法および時期の制御を、Oracle Privileged Account Managerに許可せず、自分で実行する場合が考えられます。

また、特定のターゲット・タイプに適したICFコネクタが提供されていないが、Oracle Privileged Account Managerを通じてそのシステムへのアクセスを管理する必要がある場合、lockboxターゲットが役立ちます。

5.1.2.2 Oracle Privileged Account Managerへのターゲットの追加

注意:

いずれかのターゲット・タイプのターゲットを追加する場合、そのアカウントで次のことができる権限を持つサービス・アカウント(無人アカウントとも呼ばれる)を構成する必要があります。

- ターゲット・システムでのアカウントの検索

- ターゲット・システムでのアカウントのパスワードの変更

Oracle Privileged Account Managerの管理対象として、サービス・アカウントおよび特権アカウントと同じアカウントを使用しないようにする必要があります。

サービス・アカウントの詳細は、第1.2.1項「機能」の有人および無人アカウントに関する説明を参照してください。

Oracle Privileged Account Managerで管理するターゲットを追加するには、次の手順を実行します。

1. Oracle Privileged Account Managerにログインします。

2. 「管理」アコーディオンから「ターゲット」を選択して、「ターゲット」ページを開きます。

3. 検索結果表のツールバーにある「追加」をクリックし、2つのタブを含む新しい「ターゲット: 無題」ページを開きます。

- 一般: ターゲットの「基本構成」および「拡張構成」情報を指定するためのパラメータを含む2つの領域があります。

- 特権アカウント: ターゲットで現在管理されている特権アカウントのリストが含まれ、そのターゲットによって管理されているアカウントを追加、オープンおよび削除できます。

4. 「一般」タブで、「ターゲット・タイプ」メニューを使用してターゲット・タイプ(ldap、unix、databaseまたはlockbox)を選択した後、残りの構成パラメータを設定します。

注意:

ターゲット・タイプを設定すると、「ターゲット: 無題」ページがリフレッシュされ、選択内容に基づいて構成パラメータが変更されます。

次の各項では、各ターゲット・タイプのパラメータについて説明します。

- 第5.1.2.2.1項「ldapターゲット・タイプのパラメータ」

- 第5.1.2.2.2項「unixターゲット・タイプのパラメータ」

- 第5.1.2.2.3項「databaseターゲット・タイプのパラメータ」

- 第5.1.2.2.4項「lockboxターゲット・タイプのパラメータ」

(アスタリスク*記号で示された)
すべての必須属性を指定する必要があります。

5. ターゲットの構成パラメータを設定したら、「テスト」をクリックしてターゲットの構成を確認します。
構成が有効な場合、「テストに成功しました」というメッセージが表示されます。

6. 「保存」をクリックして、Oracle Privileged Account Managerサーバーに新しいターゲットを追加します。
Oracle Privileged Account Managerによって自動的にターゲットGUIDが割り当てられ、その読取り専用値は「基本構成」パラメータ・セクションの下部に表示されます。

これで、このターゲットを特権アカウントに関連付けることができます。手順については、第5.1.3.2項「Oracle Privileged Account Managerへの特権アカウントの追加」を参照してください。

5.1.2.2.1 ldapターゲット・タイプのパラメータ

ldapターゲット・タイプを選択すると、次の基本および拡張構成パラメータが表示されます。

パラメータ名

説明

ターゲット名

新しいターゲットの名前を入力します。

説明

このターゲットの説明を入力します。

組織

ターゲットに関連付ける組織の名前を入力します。

ドメイン

ターゲット・サーバーのドメインを入力します。

パスワード・ポリシー

ターゲットのサービス・アカウントに適用するパスワード・ポリシーを選択します。Oracle Privileged Account Managerは、このポリシーを使用してパスワードを自動生成します。

ホスト

ターゲット・サーバーのホスト名を入力します。

TCPポート

LDAPサーバーとの通信時に使用するTCP/IPポートを入力します。

上向きまたは下向きの矢印アイコンを使用して、この値を増加できます。

SSL

LDAPサーバーへの接続時にSecure Socket Layer (SSL)を使用するには、このボックスを選択します。

注意: SSLで接続する場合、Oracle Privileged Account ManagerをホストしているJ2EEコンテナにSSL証明書をインポートする必要があります。詳細は、第7.1項「ターゲット・システムとSSL経由で通信するためのOracle Privileged Account Managerの構成」を参照してください。

プリンシパル

LDAPサーバーに対する認証時に使用する識別名(DN)を入力します。

たとえば、cn=adminとします。

パスワード

ユーザーのパスワードを入力します。

ベース・コンテキスト

LDAPサーバーのツリーでユーザーを検索する場合や、ユーザーがメンバーであるグループを検索する場合に使用するLDAPツリーの1つ以上の開始点を入力します。パイプ(|)を使用して値を区切ります。

アカウント・ユーザー名属性

アカウントのユーザー名として使用する属性を入力します。
(デフォルトはuidです。)

次の拡張構成パラメータはオプションです。

パラメータ名

説明

UID属性

Uid属性にマップされているLDAP属性の名前を入力します。

アカウント取得用LDAPフィルタ

LDAPリソースから返されるアカウントを制御するためのLDAPフィルタを入力します。

フィルタを指定しない場合、Oracle Privileged Account Managerでは、指定したすべてのオブジェクト・クラスを含むアカウントのみが返されます。

パスワード属性

パスワードを保持するLDAP属性の名前を入力します。

ユーザーのパスワードを変更すると、Oracle Privileged Account Managerによってこの属性に新規パスワードが設定されます。

アカウント・オブジェクト・クラス

LDAPツリー内への新規ユーザー・オブジェクトの作成時に使用する1つ以上のオブジェクト・クラスを入力します。

個々の行に各オブジェクト・クラスを入力します。エントリを区切るのにカンマまたはセミコロンは使用しません。

一部のオブジェクト・クラスは、値を区切るためのパイプ(|)を使用してクラス階層を指定する必要があります。

5.1.2.2.2 unixターゲット・タイプのパラメータ

unixターゲット・タイプを選択すると、次の基本および拡張構成パラメータが表示されます。

パラメータ名

説明

ターゲット名

新しいターゲットの名前を入力します。

説明

このターゲットの説明を入力します。

組織

ターゲットに関連付ける組織の名前を入力します。

ドメイン

ターゲット・サーバーのドメインを入力します。

パスワード・ポリシー

ターゲットのサービス・アカウントに適用するパスワード・ポリシーを選択します。Oracle Privileged Account Managerは、このポリシーを使用してパスワードを自動生成します。

ホスト

ターゲット・サーバーのホスト名を入力します。

ポート

UNIXサーバーに接続するためのポートを入力します。上向きまたは下向きの矢印アイコンを使用して、この値を増加できます。

注意: サポートされるのはSSHプロトコルのみです。デフォルトのポートは22です。

ログイン・ユーザー

このターゲットへの接続時に使用するユーザー名を入力します。

ログイン・ユーザー・パスワード

ユーザーのパスワードを入力します。

ログイン・シェル・プロンプト

ターゲットへのログイン時に表示するシェル・プロンプトを入力します。

たとえば、$または#とします。

Sudo認可

ユーザーがsudo認可を必要とする場合、このボックスを選択します。

rootユーザーの場合はこのボックスを選択しないでください。

注意: sudo認可を使用する場合、UNIXコネクタは、ターゲット・システムで特定の条件(sudo実行ファイルに含まれる特定の構成など)が満たされていることを要求します。これらの条件の詳細は、Oracle Identity Manager UNIXコネクタ・ガイドで、コネクタ操作用にターゲット・システムでSUDOユーザー・アカウントを作成する作業に関する項を参照してください。

次の拡張構成パラメータはオプションです。

パラメータ名

説明

コマンド・タイムアウト

コマンドを終了せずに完了するまで待機する時間(ミリ秒)を指定します。

パスワード要求表現

ユーザーのパスワードの設定時にターゲットに表示される表現を指定します。たとえば、Enter passwordおよびRe-enter passwordという表現をpasswdコマンドの実行時に表示する場合、このフィールドの値はenter password,re-enter passwordになります。

注意: 正規表現も指定できます。2つの式を区切るには、カンマを使用します。

パスワード要求前の表現

一部のターゲットでのpasswdコマンドの実行時に、プロンプトを表示してからパスワード・プロンプトを表示できます。プロンプトの表現および要求する入力値を指定し、カンマを使用してこれらの値を区切ります。

sudoパスワード要求表現

sudoモードでのコマンドの実行時に表示するパスワード・プロンプトを指定します。デフォルト値はpasswordです。

5.1.2.2.3 databaseターゲット・タイプのパラメータ

databaseターゲット・タイプを選択すると、次の基本および拡張構成パラメータが表示されます。

パラメータ名

説明

ターゲット名

新しいターゲットの名前を入力します。

説明

このターゲットの説明を入力します。

組織

ターゲットに関連付ける組織の名前を入力します。

ドメイン

ターゲット・サーバーのドメインを入力します。

パスワード・ポリシー

ターゲットのサービス・アカウントに適用するパスワード・ポリシーを選択します。Oracle Privileged Account Managerは、このポリシーを使用してパスワードを自動生成します。

ホスト

ターゲット・サーバーのホスト名を入力します。

データベース接続URL

ターゲット・システムの場所を識別するために使用するJDBC URLを入力します。
次に例を示します。

Oracle:jdbc:oracle:thin:@<host>:
<port>:<sid>

注意: Oracle Privileged Account Managerでは、Oracle、MSSQL、SybaseおよびMySQLデータベース・タイプがサポートされます。

サポートされている特別なオプションは、『Oracle Identity Manager Database User Management Connectorガイド』を参照してください。

管理ユーザー名

このターゲットへの接続時に使用する管理者名を入力します。

注意: sysユーザー名を使用する場合、
「拡張構成」領域にある接続プロパティフィールドにinternal_logon=sysdbaと入力する必要があります。この入力は、systemでは必要ありません。

管理ユーザーのパスワード

ユーザーのパスワードを入力します。

データベース・タイプ

コネクタを使用するデータベースのタイプ(Oracle、MSSQL、SybaseまたはMySQL)を選択します。

Oracleデータベース・ターゲットを選択した場合、ドライバjarは不要です。他のターゲット・システムの場合、次のいずれかのサードパーティjarをコピーする必要があります。

- MSSQLの場合: sqljdbc4.jarをコピーします。

- MySQLの場合: mysql-connector-java-5.1.20-bin.jarをコピーします。

- Sybaseの場合: jconn4.jarをコピーします。

jarのコピーには、次のいずれかのオプションを使用できます。

オプション1: 『Oracle Fusion Middleware Oracle WebLogic Serverアプリケーションの開発』のドメインの/libディレクトリへのJARの追加に関する項の説明に従って、これらのサードパーティjarをWebLogicドメインの/libディレクトリにコピーします。

オプション2: コネクタjarを次のように変更して、サードパーティjarを含めます。

1. 次の場所にあるDBUMコネクタ・バンドルのバックアップ・コピーを作成します。

ORACLE_HOME/connectors/dbum/bundle/
org.identityconnectors.dbum-1.0.1116.jar

2. temporary/libフォルダを作成し、サードパーティjarをそのフォルダに格納します。

3. 次のように、バンドルをサードパーティjarで更新します。

jar -uvf org.identityconnectors.dbum-1.0.1116.jar lib/JAR_NAME

4. temporary/libフォルダを削除します。

5. すべてのOracle Privileged Account Managerプロセスを起動して、変更を有効にします。

詳細は、Oracle Identity Managerコネクタ・データベース・ユーザー管理ガイドのコネクタ・サーバーへのコネクタのインストールに関する項を参照してください。

次の拡張構成パラメータはオプションです。

パラメータ名

説明

接続プロパティ

セキュアな接続を構成する場合に使用する接続プロパティを入力します。

これらのプロパティは、prop1=val1#prop2=val2という書式で指定された名前/値ペアにする必要があります。

5.1.2.2.4 lockboxターゲット・タイプのパラメータ

lockboxターゲット・タイプを選択すると、次の基本構成パラメータのみが表示されます。

パラメータ名

説明

ターゲット名

新しいターゲットの名前を入力します。

説明

このターゲットの説明を入力します。

組織

ターゲットに関連付ける組織の名前を入力します。

ドメイン

ターゲット・サーバーのドメインを入力します。

ホスト

ターゲット・サーバーのホスト名を入力します。

注意:

第3.2.3項「ICFコネクタの使用」の説明に従ってopam-config.xmlファイルを編集することによって、構成パラメータをこのリストに追加できます。

5.1.2.3 ターゲットの検索

管理者権限を持っている場合、次の基準またはこれらの項目の組合せを使用してターゲットを検索できます。

- ターゲット名

- ターゲット・タイプ(すべて、ldap、unix、databaseまたはlockbox)

- ホスト名

- ドメイン

- 説明

ターゲットを検索するには、次の手順を実行します。

1. 「管理」アコーディオンで、「ターゲット」を選択します。

2. 「ターゲット」タブが表示されたら、検索ポートレットのパラメータを使用して、検索を構成します。

- たとえば、すべてのLDAPターゲットのリストを検索するには、「ターゲット・タイプ」メニューからldapを選択します。

- 使用可能なすべてのターゲットを検索する場合は、検索パラメータを指定しません。

3. 「検索」をクリックします。
検索結果表で検索結果を確認します。

5.1.2.4 ターゲットを開く

ターゲットを開いて、ターゲットの構成パラメータとそれに関連する特権アカウント・パラメータを確認および編集できます。

次のいずれかの方法を使用してターゲットを開きます。

- 検索結果表のターゲット名(アクティブ・リンク)をクリックします。

- ターゲットの行番号を選択し、「開く」アイコンをクリックします。

ターゲットおよび特権アカウント情報にアクセスできる「ターゲット: TargetName」ページが表示されます。

5.1.2.5 ターゲットのサービス・アカウント・パスワードの管理

Oracle Privileged Account Managerには、ターゲットのサービス・アカウント・パスワードを管理するための2つのオプションがあります。

- サービス・アカウント・パスワードの表示

- サービス・アカウント・パスワードのリセット

注意:

- これらのコマンドを実行するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

- Oracle Privileged Account Managerコマンドライン・ツールまたはREST APIを使用して、これらのパスワード管理タスクを実行することもできます。
コマンドラインの手順については、第A.2.46項「showtargetpasswordコマンド」および第A.2.32項「resettargetpasswordコマンド」を参照してください。

REST APIの手順については、第B.4.15項「 パスワードの表示」および第B.4.4項「パスワードのリセット」を参照してください。

Oracle Privileged Account Managerでは、両方のタイプのパスワード管理操作が監査され、パスワード・アクセスが追跡されます。

5.1.2.5.1 サービス・アカウント・パスワードの表示

必要に応じ、検索結果表の上にある「パスワードの表示」オプションを使用して、ターゲットのサービス・アカウント用に格納されているパスワードを確認できます。

注意:

- このコマンドはlockboxターゲット・タイプには適用できないため、「操作はサポートされていません」というエラー・メッセージが返されます。

- 他のユーザーが、異なるドメイン内にある別のOracle Privileged Account Managerインスタンスなど、現在のOracle Privileged Account Managerインスタンスではない場所からターゲットのサービス・アカウント・パスワードを変更した場合、「パスワードの表示」機能を使用しても、新規パスワードは表示できず、ターゲットへの接続も失敗します。
この問題を解決するには、Oracle Privileged Account Manager内で、コンソールまたはコマンドラインからターゲットを編集することによって、パスワードを更新する必要があります。

- サービス・アカウントの詳細は、1-4ページの説明を参照してください。

次の手順を実行します。

1. 「管理」アコーディオンで、「ターゲット」を選択します。

2. 「ターゲット」タブが表示されたら、検索ポートレットを使用してターゲットを検索します。

3. ターゲットの行番号を選択し、「パスワードの表示」をクリックします。
「現在のパスワードの表示」ダイアログで、ターゲットのサービス・アカウント・パスワードに関する次の情報が表示および提供されます。

- ターゲット名

- サービス・アカウント名

- 現在のパスワード

- パスワード変更時間

4. 完了したら、「閉じる」をクリックします。

5.1.2.5.2 サービス・アカウント・パスワードのリセット

必要に応じ、検索結果表の上にある「パスワードのリセット」オプションを使用して、ターゲットのサービス・アカウント用に格納されているパスワードを手動でリセットできます。

注意:

- このコマンドはlockboxターゲット・タイプには適用できないため、「操作はサポートされていません」というエラー・メッセージが返されます。

- サービス・アカウントの詳細は、1-4ページの説明を参照してください。

次の手順を実行します。

1. 「管理」アコーディオンで、「ターゲット」を選択します。

2. 「ターゲット」タブが表示されたら、検索ポートレットを使用してターゲットを検索します。

3. ターゲットの行番号を選択し、「パスワードの表示」をクリックします。
「現在のパスワードの表示」ダイアログで、ターゲットのサービス・アカウント・パスワードに関する次の情報が表示および提供されます。

- ターゲット名

- サービス・アカウント名

このダイアログには、パスワードをリセットするための次の2つのオプションも含まれます。

- 新規パスワード: 提供されたスペースに新規パスワードを入力します。

- パスワードの自動生成: このチェック・ボックスを選択すると、アカウントのパスワード・ポリシーに従って、自動的にパスワードが生成されます。

4. 新規パスワードを入力するかチェック・ボックスを選択し、「リセット」をクリックします。

5.1.2.6 Oracle Privileged Account Managerからのターゲットの削除

ターゲットを削除するには、検索結果表からターゲットを選択して「削除」アイコンをクリックします。

警告:

ターゲットを削除すると、Oracle Privileged Account Managerに格納されている、そのターゲットに関する情報(特権アカウントを含む)もすべて削除されます。

ターゲットを削除する前に、まずそのターゲットからすべての関連情報を取得する必要があります。たとえば、Oracle Privileged Account Managerのサービス・アカウント・パスワードと、ターゲット上の特権アカウントに関連付けられた現在のパスワードを保存します。

5.1.3 特権アカウントの使用

この項では、Oracle Privileged Account Managerで特権アカウントを使用する場合に実行できる様々なタスクについて説明します。

注意:

管理者は、特定のデプロイメント内でどのアカウントに特権を付与するかを決定し、それらのアカウントを管理するようにOracle Privileged Account Managerを構成する必要があります。

アカウントを追加および管理するには、セキュリティ管理者管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

この項の内容は次のとおりです。

- 特権アカウントとは

- Oracle Privileged Account Managerへの特権アカウントの追加

- 特権アカウントの検索

- 特権アカウントを開く

- 特権アカウントのチェックアウト

- 特権アカウントのチェックイン

- アカウント・パスワードの管理

- Oracle Privileged Account Managerからの特権アカウントの削除

5.1.3.1 特権アカウントとは

ターゲット上のアカウントは、そのアカウントがデプロイメント内で次の特徴を持つ場合に特権アカウントであるとみなされます。

- 昇格された権限に関連付けられている

- 複数のエンド・ユーザーによってタスク別に使用される

- その使用を制御および監査する必要がある

アカウントは、Oracle Privileged Account Managerを使用して環境に作成することや、環境から削除することはできません。Oracle Privileged Account Managerは、他のメカニズムを使用してプロビジョニングされた既存のアカウントの管理のみを行います。

Oracle Privileged Account Managerでアカウントを追加すると、そのアカウントに対する参照が作成されます。実際には、アカウントを登録してOracle Privileged Account Managerにその管理を依頼することになります。Oracle Privileged Account Managerからアカウントを削除すると、単にそのアカウントに対する参照が削除されます。

Oracle Privileged Account Managerによって、システムとアプリケーション・アカウントの両方を管理できます。次の「システム・アカウントの管理」および「アプリケーション・アカウントの管理」を参照してください。

5.1.3.1.1 システム・アカウントの管理

Oracle Privileged Account Managerの主な目的は、サポートされるターゲット・システム上の特権システム・アカウントを管理することです。Oracle Privileged Account Managerでは、特権システム・アカウントの構成要素の要件はなく、ターゲット・システム上の任意のアカウントを管理できます。管理者は、特権アカウントの識別を担当します。特権アカウントは、通常、ユーザーが管理タスクを実行できるシステム・アカウントです。

特権アカウントは、組織内の複数の個人ユーザーによって使用および共有され、管理者がそれらのアカウントの使用を追跡する必要がある場合、Oracle Privileged Account Managerによる管理に適しています。

管理者は、次の手順を実行して、アカウントをOracle Privileged Account Managerの管理対象となる特権アカウントとして登録します。

1. Oracle Privileged Account Managerにターゲットを追加します(まだ実行していない場合)。手順については、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

2. 識別した特権アカウントをターゲットに追加し、パスワード・ポリシーを割り当てます。手順については、第5.1.3.2項「Oracle Privileged Account Managerへの特権アカウントの追加」および第5.1.1項「ポリシーの使用」を参照してください。

3. アクセス権を直接エンド・ユーザーに付与するか、LDAPロールまたはグループを使用して付与し、使用ポリシーを割り当てます。手順については、第5.1.4.2項「ユーザーへのアカウントの付与」および第5.1.1項「ポリシーの使用」を参照してください。

5.1.3.1.2 アプリケーション・アカウントの管理

アプリケーションは、実行時にアプリケーション・アカウントを使用してターゲット・システムに接続します。従来、これらのアカウントは、管理者によってインストール時に一度設定され、その後は忘れられていました。結果として、アプリケーション・アカウントは、デプロイメントにおいて隠れた脆弱性となる可能性があります。たとえば、期限切れのポリシーを使用して作成されたために時間の経過とともにパスワードの安全性が低下したり、一般的に使用されるデプロイメント・パスワードが危殆化することがあります。

Oracle Privileged Account Managerによって、アプリケーション・アカウントの管理性を向上できます。特に、資格証明ストアにアプリケーション・アカウントを格納するアプリケーションに向いています。これらのアプリケーションでは、資格証明ストア・フレームワークを通じて資格証明ストアから実行時にアカウント資格証明を取得します。

たとえば、アプリケーション・アカウントは、本質的にシステム・アカウントの特別なバージョンであるため、第5.1.3.1.1項「システム・アカウントの管理」の説明に従ってOracle Privileged Account Managerに登録できます。次に、そのアカウントに依存するすべてのアプリケーションに対して対応するCSFマッピングを追加できます(これによって、CSFはCSF内に格納されている資格証明を一意に識別し、アプリケーションはCSFでその資格証明を検出します)。CSFマッピングの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のマップ名のガイドラインに関する項を参照してください。

アカウントのCSFマッピングをOracle Privileged Account Managerに登録すると、アカウントのパスワードが変更されるたびに、Oracle Privileged Account Managerによって新しいパスワードを反映するように登録済のマッピングに対応するCSFエントリが更新され、アプリケーションはサービスを中断することなく動作し続けます。

注意:

Oracle Privileged Account ManagerがCSFを更新(同期化)するのは、パスワードの変更が発生した場合のみです。

Oracle Privileged Account ManagerとCSFの統合の詳細は、第8.3項「資格証明ストア・フレームワークとの統合」を参照してください。

また、アカウント・パスワードを定期的に反復するこれらのアプリケーションにパスワード・ポリシーを適用できます。パスワードを反復すると、アプリケーション・アカウントが常に最新の企業ポリシーに準拠し、安全であることが保証されます。Oracle Privileged Account Managerは、サービスを中断することなくこのタスクを実行します。

最後に、Oracle Privileged Account Managerでは、システム・アカウント(複数のエンド・ユーザーによって共有および使用される)とアプリケーション・アカウント(実行時にアプリケーションによってのみ使用される)の両方のアカウントが同時にサポートされることを意識しておくと役立ちます。この構成では、アクセス権を付与されている人間のエンド・ユーザーがアプリケーション・アカウントをチェックアウトし、アプリケーション機能を損なうことなくそのアプリケーションとして手動の管理操作を実行できます。

5.1.3.1.3 アカウントの共有

Oracle Privileged Account Managerでは、アカウントを共有するか共有しないかを指定できます。

- 共有アカウントでは、複数のユーザーが同時にアカウントをチェックアウトできます。

- 非共有アカウント(デフォルト)では、同時にアカウントをチェックアウトできるのは1人のユーザーのみです。

非共有アカウントの方が安全性が高いため、業務上やむを得ない理由がある場合にのみ、アカウントを共有として指定することをお薦めします。共有が必要な場合、必ず第2.4.2項「共有アカウントの保護」を参照してください。

注意:

共有アカウントを構成する場合、ユーザーは、アカウントのチェックイン後もパスワードを使用できることに注意してください。Oracle Privileged Account Managerでは、最後のユーザーがアカウントをチェックインするまでアカウント・パスワードはリセットされません。

これは、共有アカウントのセキュリティの制限です。

5.1.3.2 Oracle Privileged Account Managerへの特権アカウントの追加

注意:

アカウントは常にターゲットに追加するため、アカウントを追加する前にターゲット・オブジェクトを追加する必要があります。詳細は、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

Oracle Privileged Account Managerの管理対象として、サービス・アカウントおよび特権アカウントと同じアカウントを使用しないでください。

新しい特権アカウントを追加する手順は次のとおりです。

1. アカウントを追加するターゲットを特定します。

1. 「管理」アコーディオンで、「ターゲット」を選択します。

2. 「ターゲットの検索」ポートレットの「検索」をクリックして、検索結果表にすべての使用可能なターゲットのリストを移入します。
結果を絞り込むか、特定のターゲットを探すには、検索基準を1つ以上の「ターゲットの検索」フィールドに入力し、「検索」をクリックします。

2. 検索結果表の「ターゲット名」のリンクをクリックしてターゲットを開きます。

3. 「ターゲット: TargetName」ページが表示されたら、「特権アカウント」タブを選択します。

4. 表のツールバーにある「追加」をクリックします。
次の3つのサブタブを含む「アカウント: 無題」ページが表示されます。

- 一般: アカウントを追加するために必要な情報の指定に使用します。

- 権限付与: ユーザーおよびグループ(権限受領者)をアカウントに関連付けるために使用します。

- 資格証明ストア・フレームワーク: アカウントの資格証明ストア・フレームワーク(CSF)のマッピングを追加または削除するために使用します。

これらのタブと次の項にある手順を使用してアカウントを追加します。

- アカウントの追加

- 権限受領者の追加

- CSFマッピングの追加

5. 終了したら、「保存」をクリックします。

5.1.3.2.1 アカウントの追加

新しいアカウントを追加するには、次のように「一般」タブの「ステップ1: ターゲットの設定」および「ステップ2: アカウントの追加」セクションの入力を完了する必要があります。

1. 「ターゲット名」が未定義の場合、検索アイコンをクリックします。

2. 「ターゲットの設定」ダイアログが表示されたら、「ターゲット名」フィールドに値を入力し、「検索」ボタンをクリックしてアカウントを追加するターゲットを特定します。
たとえば、ターゲット名が「r」で始まることがわかっている場合、「ターゲット名」フィールドにrを入力して「検索」ボタンをクリックします。

3. 検索結果が検索結果表に表示されたら、ターゲット名の横にある「行」ボックスを選択して「設定」をクリックします。
選択したターゲット名とそのターゲット・タイプが「一般」タブに表示されます。

4. 「ステップ2: アカウントの追加」セクションで、「アカウント名」が未定義の場合、検索アイコンをクリックします。

5. 「アカウントの設定」ダイアログが表示されたら、「アカウント名」フィールドに値を入力し、「検索」ボタンをクリックして追加するアカウントを特定します。
たとえば、アカウント名が「s」で始まることがわかっている場合、「アカウント名」フィールドにsを入力して「検索」ボタンをクリックします。

注意:

特権アカウントをlockboxターゲットに追加すると、「パスワード」フィールドもコンソールに表示されます。

Oracle Privileged Account Managerはlockboxターゲット上のアカウントを管理しないため、それらのアカウントのパスワードをリセットできません。ユーザーがそれらの特権アカウントをチェックアウトするときに使用するパスワードを提供する必要があります。

lockboxターゲットの詳細は、第5.1.2.1項「ターゲットとは」を参照してください。

6. 検索結果が検索結果表に表示されたら、アカウント名の横にある「行」ボックスを選択して「設定」をクリックします。

注意:

Oracle Privileged Account Managerの管理対象となる特権アカウントとして、ターゲットのサービス・アカウントを追加しないようにする必要があります。

選択したアカウントが「一般」タブに「アカウント名」として表示されます。

7. 「共有アカウント」ボックスを選択すると、複数のユーザーでこのアカウントを同時にチェックアウトできます。

注意:

詳細は、第5.1.3.1.3項「アカウントの共有」および第5.1.3.5項「特権アカウントのチェックアウト」を参照してください。

8. パスワード・ポリシーを指定します。

注意:

Oracle Privileged Account Managerでは、新規アカウントにデフォルト・パスワード・ポリシーが自動的に割り当てられます。ただし、新しいポリシーを作成できるのは、セキュリティ管理者または「ユーザー・マネージャ」管理ロールを持つOracle Privileged Account Manager管理者です。

デフォルトのポリシー・セットのままにするか、「パスワード・ポリシー」ドロップダウン・メニューから別のポリシーを選択できます。

ポリシーの詳細は、第5.1.1項「ポリシーの使用」を参照してください。

9. 「テスト」をクリックし、これらの設定を使用してOracle Privileged Account Managerでアカウントを管理できることを確認します。
アカウントの構成設定が有効な場合、「テストに成功しました」というメッセージが表示されます。

これで、アカウントに権限受領者とCSFマッピングを追加できます。詳細は、後続の項を参照してください。

5.1.3.2.2 権限受領者の追加

この項では、特権アカウントに権限受領者を追加するための手順について説明します。

注意:

- 権限受領者を追加、編集または削除するには、「ユーザー・マネージャ」管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

- 新しいアカウントを追加しても、自動的にそのアカウントにアクセス権は付与されません。自分自身を権限受領者として追加するプロセスを完了する必要があります。

- 権限受領者をアカウントに追加する前に、第2.4.4項「複数パスを通じた割当ての回避」を確認してください。

ユーザーおよびグループを新しいアカウントに関連付けるには、「権限付与」タブを選択して次の手順を実行します。

- ユーザーを関連付けるには、「ユーザー」表のツールバーにある「追加」をクリックします。

1. 「ユーザーの追加」ダイアログで、「ユーザー名」フィールドに名前を入力し、矢印アイコンをクリックしてそのユーザーを検索します。

2. 検索結果が表示されたら、このアカウントに関連付ける各ユーザーを選択します。

3. ユーザーの追加が完了したら、「追加」をクリックして「閉じる」をクリックします。
Oracle Privileged Account Managerはそれらのユーザー名を「権限付与」タブの「ユーザー」表に追加し、自動的にデフォルト使用ポリシーを割り当てます。異なるポリシーを「使用ポリシー」メニューから選択して割り当てることもできます。

- グループを関連付けるには、「グループ」表のツールバーにある「追加」をクリックします。

1. 「グループの追加」ダイアログで、「グループ名」フィールドに名前を入力し、矢印アイコンをクリックしてそのグループを検索します。

2. 検索結果が表示されたら、このアカウントに関連付ける各グループを選択します。

3. グループの追加が完了したら、「追加」をクリックして「閉じる」をクリックします。
Oracle Privileged Account Managerはそれらのグループ名を「権限付与」タブの「グループ」表に追加し、自動的にデフォルト使用ポリシーを割り当てます。異なるポリシーを「使用ポリシー」メニューから選択して割り当てることもできます。

5.1.3.2.3 CSFマッピングの追加

Oracle Privileged Account Managerでは、Oracle資格証明ストア・フレームワーク(CSF)を使用してアカウント資格証明を安全に格納および同期化できます。この機能は、CSFに格納されたアプリケーション・パスワードのライフサイクルを管理するために便利です。

アカウントのCSF同期化を構成すると、Oracle Privileged Account Managerによって、割り当てられた使用ポリシーに基づいてアカウント・パスワードが変更されます。

注意:

Oracle Privileged Account ManagerがCSFを更新(同期化)するのは、パスワードの変更が発生した場合のみです。

CSFの詳細と、Oracle Privileged Account ManagerがCSF資格証明を管理する方法の詳細は、第8.3項「資格証明ストア・フレームワークとの統合」を参照してください。

アカウントにCSFマッピングを追加するには、次の手順を実行します。

1. 検索結果表の「アカウント名」のリンクを選択します。

2. 「アカウント: AccountName」ページが表示されたら、「資格証明ストア・フレームワーク」タブを選択します。

3. 「追加」をクリックします。
各列に空のフィールドを含む新しい行が、表に表示されます。

4. 空のフィールドに次の情報を入力します。

- 管理サーバーURL: protocol://listen-address:listen-portという書式でサーバーURLを入力します。
たとえば、httpsプロトコルを使用しており、SSLポートが7002である場合、次のように入力します。

https://localhost:7002

- 「ユーザー名」および「パスワード」: Oracle WebLogic Server管理者のログイン資格証明を入力します。
たとえば、weblogic/welcome1と入力します。

- マッピング: CSFで作成したマップ名を入力します。

- キー: CSFで作成した一意キーを入力します。

5. 「追加」を再度クリックして別のマッピングを作成します。必要な数だけCSFマッピングを作成できます。

6. 情報の追加が完了したら、「テスト」をクリックしてマッピングを検証します。
ダイアログに成功メッセージまたはエラー・メッセージが表示されます。

5.1.3.3 特権アカウントの検索

次の1つ以上のパラメータを使用してアカウントを検索できます。

- アカウント名

- ターゲット・タイプ(すべて、ldap、unix、databaseまたはlockbox)

- ターゲット名

- ドメイン

- 説明

アカウントを検索する手順は次のとおりです。

1. 「管理」アコーディオンで、「アカウント」を選択します。

2. 「アカウント」タブが表示されたら、検索ポートレットのパラメータを使用して、検索を構成します。

- たとえば、特定のターゲットにおけるすべてのアカウントのリストを検索するには、ターゲット名を「ターゲット名」フィールドに入力します。

- 使用可能なすべてのアカウントを検索する場合は、検索パラメータを指定しません。

3. 「検索」をクリックします。
検索結果表で検索結果を確認します。

注意:

検索結果表の上にある「ステータス」メニューを使用すると、アカウント・ステータスに基づいて検索結果を制御できます。詳細は、第3.4.6項「検索結果表の使用」を参照してください。

4. 別の検索を実行するには、「リセット」をクリックします。

5.1.3.4 特権アカウントを開く

特権アカウントを開いて、そのアカウントの構成パラメータを表示または編集できます。

次のいずれかの方法を使用してアカウントを開きます。

- 検索結果表のアカウント名(アクティブ・リンク)をクリックします。

- アカウントの行番号を選択し、「アカウントを開く」をクリックします。

「アカウント: AccountName」ページが表示され、関連付けられたターゲット、一般的なアカウント・パラメータ、アカウントをチェックアウトしたユーザー、権限受領者およびCSFマッピングに関する情報にアクセスできます。

5.1.3.5 特権アカウントのチェックアウト

管理者またはエンド・ユーザーは、特権アカウントへのアクセス権を付与されている場合、そのアカウントをチェックアウトできます。(詳細は、第5.1.4項「権限受領者の使用」を参照してください。)

注意:

アカウントを変更または削除するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

特権アカウントは、デフォルトでは共有されず、1人のユーザーがアカウントをチェックアウトすると、他のユーザーはそれを使用できなくなり、競合する操作が回避されます。ただし、管理者は、共有アカウントを構成することで、複数のユーザーが同時にそのアカウントをチェックアウトできるように設定できます。(詳細は、第5.1.3.1.3項「アカウントの共有」を参照してください。)

アカウントをチェックアウトする手順は次のとおりです。

1. 「管理」アコーディオンで、「マイ・アカウント」を選択します。

2. 「マイ・アカウント」ページの検索結果表で、チェックアウトするアカウントを特定します。

- アカウントをチェックアウトできる場合、「アカウント・ステータス」が「チェック・イン済」で、「チェックアウト」ボタンが表示されます。

- アカウントをチェックアウトできない場合、「アカウント・ステータス」が「チェックアウト済」で、「詳細情報」ボタンが表示されます。
追加情報を表示する場合は、「詳細情報」ボタンをクリックします。

図5-1 チェックアウトできるアカウント

注意:

どのユーザーのアカウントがチェックアウトされているかを確認するには、アカウント名を選択します。「アカウント: AccountName」ページが表示されたら、「現在の予約」表で、それらのユーザーのリスト、チェックアウト日および有効期限日を確認します。

3. 「チェックアウト」ボタンをクリックします。

4. 「アカウントのチェックアウト」ダイアログに、アカウント名、ターゲット名および空白の「コメント」フィールドが表示されます。必要に応じてコメントを入力し、「チェックアウト」をクリックします。
「アカウントのチェックアウト - 成功」ダイアログが表示されます。このダイアログには、暗号化されたパスワードが含まれます。「パスワードの表示」ボックスをクリックすると、このパスワードをクリアテキストで表示できます。

5. 「閉じる」をクリックしてダイアログを閉じ、検索結果表に戻ります。

- 非共有アカウントの場合、「アカウント・ステータス」は「チェックアウト済」に変更され、「チェックアウト」ボタンは「チェックイン」ボタンに変化し、Oracle Privileged Account Managerによって「マイ・チェックアウト済アカウント」ページにそのアカウントがリストされます。

- 共有アカウントの場合、「アカウント・ステータス」は「使用可能」のままで、「チェックアウト」ボタンも引き続き表示され、Oracle Privileged Account Managerによって「マイ・チェックアウト済アカウント」ページにそのアカウントがリストされます。

注意:

Oracle Privileged Account Managerコマンドライン・ツールまたはRESTfulインタフェースを使用してアカウントをチェックアウトすることもできます。

- コマンドライン・ツールを使用するには、第A.2.7項「checkoutコマンド」を参照してください。

- RESTfulインタフェースを使用するには、第B.4.12項「アカウントのチェックアウト」を参照してください。

5.1.3.6 特権アカウントのチェックイン

どの管理者またはエンド・ユーザーでも、チェックアウトされたアカウントをチェックインできます。また、「ユーザー・マネージャ」管理ロールを持つ管理者は、必要に応じてアカウントを強制的にチェックインできます。

通常のチェックイン

アカウントをチェックインする手順は次のとおりです。

1. 「ホーム」アコーディオンの「マイ・チェックアウト済アカウント」を選択します。
検索結果表にすべてのチェックアウト済アカウントがリストされた「マイ・チェックアウト済アカウント」ページが表示されます。

2. チェックインする1つ以上のアカウントを選択します。

3. 表の上にある「チェックイン」オプションがアクティブになったら、そのアイコンをクリックします。

4. 「アカウントのチェックイン」ダイアログが表示されたら、「チェックイン」ボタンをクリックします。
チェックインに成功すると、Oracle Privileged Account Managerによってアカウント名が「マイ・チェックアウト済アカウント」表から削除され、そのアカウントは再度チェックアウトできるようになります。

強制的なチェックイン

強制的にアカウントをチェックインする手順は次のとおりです。

1. 「管理」アコーディオンの「アカウント」を選択し、第5.1.3.3項「特権アカウントの検索」の説明に従ってアカウントを検索します。

2. チェックインするアカウントを選択します。

3. 表の上にある「強制的チェックイン」オプションがアクティブになったら、そのアイコンをクリックします。
アカウントのチェックインを確認する「強制的チェックインの確認」ダイアログが表示されます。強制的チェックインを実行すると、現在そのアカウントをチェックアウトしているすべてのユーザーがログアウトされます。

4. 「チェックイン」ボタンをクリックして処理を続行します。
チェックインが成功した場合、そのアカウントは再びチェックアウト可能になります。

注意:

Oracle Privileged Account Managerコマンドライン・ツールまたはRESTfulインタフェースを使用してアカウントをチェックインすることもできます。

- コマンドライン・ツールを使用するには、第A.2.7項「checkoutコマンド」を参照してください。

- RESTfulインタフェースを使用するには、第B.4.13項「アカウントのチェックイン」を参照してください。

5.1.3.7 アカウント・パスワードの管理

Oracle Privileged Account Managerには、アカウント・パスワードを管理するための2つのオプションがあります。

- アカウント・パスワードの表示

- アカウント・パスワードのリセット

注意:

Oracle Privileged Account Managerコマンドライン・ツールを使用して、2つのパスワード管理操作を実行することもできます。手順については、A.2.44項「showpasswordコマンド」およびA.2.31項「resetpasswordコマンド」を参照してください。

Oracle Privileged Account Managerでは、両方のタイプのパスワード管理操作が監査され、パスワード・アクセスが追跡されます。

5.1.3.7.1 アカウント・パスワードの表示

必要に応じ、検索結果表の上にある「パスワードの表示」オプションを使用して、チェックアウトしたアカウントのパスワードを表示できます。たとえば、パスワードを忘れた場合、この機能を使用してそのパスワードを再表示できます。

どのユーザーでも、「パスワードの表示」を使用して、自分がチェックアウトしたアカウントの現在のパスワードを確認できます。ただし、アカウントをチェックインした後にパスワードにアクセスすることや、他のユーザーがチェックアウトしたアカウントのパスワードを表示することはできません。このような場合、「パスワードの表示」をクリックするとエラーが発生します。

注意:

- セキュリティ管理者または「ユーザー・マネージャ」管理ロールを持つ管理者は、システムおよびターゲットのすべてのサービス・アカウントにアクセスできますが、この機能を使用することで、チェックアウトした特権アカウントとチェックインした特権アカウントの両方の現在のパスワードを表示できます。

- 他のユーザーが、異なるドメイン内にある別のOracle Privileged Account Managerインスタンスなど、現在のOracle Privileged Account Managerインスタンスではない場所からターゲットのサービス・アカウント・パスワードを変更した場合、「パスワードの表示」機能を使用しても、新規パスワードは表示できず、ターゲットへの接続も失敗します。
この問題を解決するには、Oracle Privileged Account Manager内で、コンソールまたはコマンドラインを使用してターゲットを編集することによって、パスワードを更新する必要があります。

アカウント・パスワードを表示するには、次の手順を実行します。

1. 特権アカウントがチェックアウトされていることを確認します。

注意:

通常のユーザーの場合、すでにチェックインされているアカウントのパスワードを表示しようとすると、エラーが返されます。

ただし、セキュリティ管理者または「ユーザー・マネージャ」管理ロールを持つ管理者の場合、このコマンドを使用して、チェックアウトしたアカウントとチェックインしたアカウントの両方のパスワードをリセットできます。

2. 「管理」アコーディオンで、「アカウント」を選択します。

3. 「アカウント」タブが表示されたら、検索ポートレットを使用してアカウントを検索します。

4. アカウントの行番号を選択し、「パスワードの表示」をクリックします。
「現在のパスワード」ダイアログが表示され、次の情報が提供されます。

- アカウント名

- パスワード

5. 完了したら、「閉じる」をクリックします。

5.1.3.7.2 アカウント・パスワードのリセット

必要に応じ、「パスワードのリセット」オプションを使用して、チェックアウトしたアカウントの既存のパスワードを手動でリセットできます。

セキュリティ管理者は、ランダム化されたパスワード生成を使用しない場合、任意のパスワードを手動で設定できます。たとえば、管理者は、システム・アップグレード時などに1回かぎりで使用するため、簡単に入力できる単純なパスワードを設定できます。

アカウント・パスワードをリセットするには、次の手順を実行します。

1. 特権アカウントがチェックアウトされていることを確認します。

注意:

通常のユーザーの場合、すでにチェックインされているアカウントのパスワードをリセットしようとすると、エラーが返されます。

ただし、セキュリティ管理者または「ユーザー・マネージャ」管理ロールを持つ管理者の場合、このコマンドを使用して、チェックアウトしたアカウントとチェックインしたアカウントの両方のパスワードをリセットできます。

2. 「管理」アコーディオンで、「アカウント」を選択します。

3. 「アカウント」タブが表示されたら、検索ポートレットを使用してアカウントを検索します。

4. アカウントの行番号を選択し、「パスワードのリセット」をクリックします。
「パスワードのリセット」ダイアログが表示され、アカウント・パスワードに関する次の情報が提供されます。

- アカウント名

- ターゲット名

このダイアログには、「新規パスワード」フィールドも含まれます。

5. 提供されたスペースにパスワードを入力し、「保存」をクリックします。
任意のパスワード文字列を使用できます。文字列は、Oracle Privileged Account Managerのパスワード・ポリシーに準拠している必要はありません(パスワード・ポリシーはランダム化されたパスワード生成に使用されるため)。

選択したアカウントの名前と新規パスワードを含むメッセージが表示されます。

5.1.3.8 Oracle Privileged Account Managerからの特権アカウントの削除

「アカウントの検索」ページまたは「ターゲット」ページを使用して、Oracle Privileged Account Managerから特権アカウントを削除できます。

警告:

特権アカウントを削除すると、Oracle Privileged Account Managerに格納されている、そのアカウントに関する情報もすべて削除されます。

特権アカウントを削除する前に、まずそのアカウントからすべての関連情報を取得する必要があります。たとえば、その特権アカウントに関連付けられている現在のパスワードを保存します。

「アカウントの検索」ページでは次の操作を実行します。

「アカウントの検索」ページからアカウントを削除するには、次の手順を実行します。

1. 削除するアカウントを特定します。

1. 「管理」アコーディオンで、「アカウント」を選択します。

2. 「アカウントの検索」ポートレットの「検索」をクリックして、検索結果表にすべての使用可能なアカウントのリストを移入します。
結果を絞り込むか、特定のアカウントを探すには、検索基準を1つ以上の「アカウントの検索」フィールドに入力し、「検索」をクリックします。

2. 検索結果表で、削除するアカウントを選択して「削除」をクリックします。

3. 終了したら、ページの上部にある「適用」ボタンをクリックします。

「ターゲット」ページでは次の操作を実行します。

ターゲットからアカウントを削除するには、次の手順を実行します。

1. アカウントを削除するターゲットを特定します。

1. 「管理」アコーディオンで、「ターゲット」を選択します。

2. 「ターゲットの検索」ポートレットの「検索」をクリックして、検索結果表にすべての使用可能なターゲットのリストを移入します。
結果を絞り込むか、特定のターゲットを探すには、検索基準を1つ以上の「ターゲットの検索」フィールドに入力し、「検索」をクリックします。

2. 検索結果表のターゲット名をクリックし、そのターゲットを開きます。

3. 「特権アカウント」タブを選択します。

4. 検索結果表で、削除するアカウントを選択して「削除」をクリックします。

5. 終了したら、ページの上部にある「適用」ボタンをクリックします。

5.1.4 権限受領者の使用

この項では、Oracle Privileged Account Managerで権限受領者を使用する場合に実行できる様々なタスクについて説明します。

注意:

権限受領者を追加、編集または削除するには、「ユーザー・マネージャ」管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

内容は次のとおりです。

- 権限受領者とは

- ユーザーへのアカウントの付与

- グループへのアカウントの付与

- 権限受領者の検索

- 権限受領者を開く

- アカウントからの権限受領者の削除

5.1.4.1 権限受領者とは

権限受領者とは、Oracle Privileged Account Manager管理者によって管理される特権アカウントに対するアクセス権を付与されたIDストア内のユーザーまたはグループです。ユーザーは、特権アカウントに対するアクセス権を付与されていない場合、そのアカウントをチェックアウトできません。

Oracle Privileged Account Managerは、次の順序で権限付与を評価します。

1. ユーザーがアカウントへのアクセスおよびチェックアウトを試みると、Oracle Privileged Account Managerは、そのユーザーに対する権限付与を検索します。Oracle Privileged Account Managerがユーザーの権限付与を検出した場合、ユーザーはその権限付与とそれに関連付けられた使用ポリシーに基づいて、アカウントのチェックアウトを許可されます。

2. Oracle Privileged Account Managerは、ユーザーの権限付与を検出しなかった場合、グループの権限付与を検索します。ユーザーは複数のグループのメンバーになることができます。Oracle Privileged Account Managerが、ユーザーが属するいずれかのグループの権限付与を検出した場合、ユーザーはそのグループの権限付与とそれに関連付けられた使用ポリシーに基づいて、アカウントのチェックアウトを許可されます。

3. ユーザーが複数のグループのメンバーであり、そのうち2つ以上のグループの権限付与が使用可能である場合、Oracle Privileged Account Managerは、一致するいずれかのグループの権限付与を実行時に選択できます。複数のグループの権限付与のうち、Oracle Privileged Account Managerが実行時にどれを選択するかを決定論的に述べることはできません。

4. Oracle Privileged Account Managerがユーザーの権限付与またはグループの権限付与を検出できなかった場合、ユーザーのアクセスは拒否されます。

注意:

特権アカウントをユーザーまたはグループに付与する前に、第2.4.4項「複数パスを通じた割当ての回避」を確認してください。

5.1.4.2 ユーザーへのアカウントの付与

特権アカウントに対するアクセス権を付与するには、次の手順を実行します。

1. アクセス権を付与するアカウントを特定します。

1. 「管理」アコーディオンで、「アカウント」を選択します。

2. 「アカウントの検索」ポートレットの「検索」をクリックして、検索結果表にすべての使用可能なアカウントのリストを移入します。
結果を絞り込むか、特定のアカウントを探すには、検索基準を1つ以上の「アカウントの検索」フィールドに入力し、「検索」をクリックします。

2. 検索結果表でそのアカウント名を選択します。
「一般」、「権限付与」および「資格証明ストア・フレームワーク」タブが表示されます。

3. 「権限付与」タブを選択します。
このアカウントにすでに関連付けられているユーザーがいる場合、その名前が「ユーザー」領域の表にリストされます。

4. 「追加」をクリックして「ユーザーの追加」ダイアログを開きます。

5. 「ユーザーの追加」ダイアログで、ユーザー名の全部または一部を入力して矢印アイコンをクリックし、追加するユーザー名を検索します。
たとえば、sec_adminユーザーにアクセス権を付与する場合、このフィールドにsecと入力すると、これらの文字を含む既存のユーザー名が検索結果に表示されます。

6. 1つ以上のユーザー名を選択し、「追加」をクリックして、それらのユーザーを権限受領者にします。

7. 「Close」をクリックしてダイアログを閉じます。
新規ユーザーの名前が「ユーザー」表に表示されます。

注意:

この時点で、デフォルト使用ポリシーがユーザーに自動的に割り当てられます。ただし、「使用ポリシー」メニューを使用してそのユーザーに別のポリシーを選択できます。

5.1.4.3 グループへのアカウントの付与

特権アカウントに対するアクセス権を付与するには、次の手順を実行します。

1. アクセス権を付与するアカウントを特定します。

1. 「管理」アコーディオンで、「アカウント」を選択します。

2. 「アカウントの検索」ポートレットの「検索」をクリックして、検索結果表にすべての使用可能なアカウントのリストを移入します。
結果を絞り込むか、特定のアカウントを探すには、検索基準を1つ以上の「アカウントの検索」フィールドに入力し、「検索」をクリックします。

2. 検索結果表のアカウント名を選択します。
「一般」、「権限付与」および「資格証明ストア・フレームワーク」タブが表示されます。

3. 「権限付与」タブを選択します。
このアカウントにすでに関連付けられているグループがある場合、その名前が「グループ」領域の表にリストされます。

4. 「追加」をクリックして「グループの追加」ダイアログを開きます。

5. 「グループの追加」ダイアログで、グループ名の全部または一部を入力して矢印アイコンをクリックし、追加するグループ名を検索します。
たとえば、OPAM_USER_MANAGERグループにアクセス権を付与する場合、このフィールドにopamと入力すると、これらの文字を含む既存のグループ名が検索結果に表示されます。

6. 1つ以上のグループ名を選択し、「追加」をクリックして、それらのグループを権限受領者にします。

7. 「Close」をクリックしてダイアログを閉じます。
新規グループの名前が「グループ」表に表示されます。

注意:

この時点で、デフォルト使用ポリシーがグループに自動的に割り当てられます。ただし、「使用ポリシー」メニューを使用してそのグループに別のポリシーを選択できます。

5.1.4.4 権限受領者の検索

管理者権限を持っている場合、次の手順を実行して権限受領者を検索できます。

1. 「管理」アコーディオンで、「ユーザー権限受領者」または「グループ権限受領者」を選択します。

2. 「ユーザー権限受領者」または「グループ権限受領者」タブが表示されたら、検索ポートレットを使用して検索を構成します。

- 特定の権限受領者を検索するには、その名前を「ユーザー名」または「グループ名」フィールドに入力します。たとえば、OPAM_USER_MANAGERグループを検索するには、「グループ名」フィールドにopamと入力します。

- 使用可能なすべての権限受領者を検索する場合は、検索パラメータを指定しません。

3. 「検索」をクリックします。
検索結果表で検索結果を確認します。

4. 別の検索を実行するには、「リセット」をクリックします。

5.1.4.5 権限受領者を開く

権限受領者を開いて、そのユーザーまたはグループ権限受領者の情報を表示できます。

次のいずれかの方法を使用して、「権限付与」タブから権限受領者を開きます。

- 検索結果表のユーザー名またはグループ名(アクティブ・リンク)をクリックします。

- ユーザーまたはグループの行番号を選択し、「開く」アイコンをクリックします。

「ユーザー: UserName」または「グループ: GroupName」ページが開き、その権限受領者に関する情報と、アクセス権が付与された特権アカウントを確認できます。

5.1.4.6 アカウントからの権限受領者の削除

アカウントから1つ以上の権限受領者を削除するには、次の手順を実行します。

1. アカウントを開いて「権限付与」タブを選択します。

2. 検索結果表で、ユーザーまたはグループの行番号を選択します。

3. 「削除」アイコンをクリックします。

4. 削除を確認するプロンプトが表示されたら、「削除」ボタンをクリックして続行します(または、「取消」をクリックして操作を終了します)。
プロンプトが閉じ、ユーザーまたはグループが表から削除されます。

5.1.5 レポートの使用

Oracle Privileged Account Managerレポートは、Oracle Privileged Account Managerが管理しているアカウントおよびターゲットの現在のステータスに関する情報を提供するリアルタイム・レポートです。

注意:

Oracle Privileged Account Managerレポートを開いて確認するには、「セキュリティ監査者」管理ロールを持つOracle Privileged Account Manager管理者である必要があります。

この項の内容は次のとおりです。

- デプロイメント・レポートの使用

- 使用状況レポートの使用

- エラー・レポートの使用

レポートを表示するには、「レポート」アコーディオンを開いて「レポート」リンクをクリックします。レポート情報が右側の「レポート」ページに表示されます。

5.1.5.1 デプロイメント・レポートの使用

「デプロイメント・レポート」リンクを選択すると、ターゲットおよび特権アカウントが現在どのようにデプロイされているかに関する情報が表示されます。

デプロイメントに関する情報は、次のポートレットに分類されます。

- 「ターゲットとアカウントのデプロイメント」表: ターゲットのリストがそのターゲット・タイプおよびホスト名とともに表示されます。ターゲット名の横にある矢印アイコンを展開すると、そのターゲットに関連付けられたアカウントが表示されます。

ヒント:

「ターゲット/アカウント」列のリンクをクリックすると、そのターゲットまたはアカウントの構成ページを表示できます。

- ターゲット分布: このポートレットには、ターゲットが現在のデプロイメント内にどのように分布しているかが示されます。

- アカウント分布: このポートレットには、アカウントが現在のデプロイメント内にどのように分布しているかが組織別に示されます。

「表示」および「フィルタ」ドロップダウン・メニューを使用して、レポート内容の表示方法を制御できます。たとえば、「表示」メニューを使用すると、すべてのターゲットを表示したり、結果をフィルタして特定のターゲットを表示することができます。「フィルタ」メニューを使用すると、棒グラフ、円グラフまたは表形式でターゲットとアカウントの分布を表示できます。

5.1.5.2 使用状況レポートの使用

「使用状況レポート」リンクを選択すると、デプロイメントで特権アカウントが現在どのように使用されているかに関する情報が表示されます。

この使用情報は、次のポートレットに分類されます。

- アカウント使用状況: このポートレットには、ターゲット、ターゲット・タイプ、ホスト名および最終チェックアウト日のリストが表示されます。ターゲット名の横にある矢印アイコンを展開すると、そのターゲットに関連付けられたアカウントが表示されます。

- チェックアウト済アカウント: このポートレットには、デプロイメント内でチェックアウトされているターゲットが表示されます。

「表示」および「フィルタ」ドロップダウン・メニューを使用して、レポート内容の表示方法を制御できます。たとえば、「表示」を選択すると、現在チェックアウトされているアカウントまたは過去1時間、1日、1週間以内にチェックアウトされたアカウントを表示できます。「フィルタ」メニューを使用すると、棒グラフ、円グラフまたは表形式でレポート情報を表示できます。

5.1.5.3 エラー・レポートの使用

「エラー・レポート」には、ターゲットおよびアカウントの失敗の、現在の状態に関する情報が表示されます。

ターゲットまたはアカウントの失敗に関する情報は、次のポートレットに分類されます。

- ターゲットおよびアカウントの失敗: このポートレットには、ターゲット、ターゲット・ステータス、最終エラー・メッセージおよび最終失敗日のリストが表示されます。ターゲットの横にある矢印アイコンを展開すると、そのターゲットに関連付けられたアカウントが表示されます。

- ターゲットの失敗: このポートレットには、デプロイメント内のターゲットの失敗が示されます。

- アカウントの失敗: このポートレットには、デプロイメント内のアカウントの失敗が示されます。

「表示」および「フィルタ」ドロップダウン・メニューを使用して、レポート内容の表示方法を制御できます。たとえば、「表示」を選択すると、過去24または48時間、過去1週間、過去30日間に発生したエラーを表示できます。「フィルタ」メニューを使用すると、棒グラフ、円グラフまたは表形式でレポート情報を表示できます。

5.1.6 Oracle Privileged Account Managerの再ブランド化

必要に応じて、ログイン・ページとOracle Privileged Account Managerページを再ブランド化できます。次のトピックには、これらのページのページ・タイトル、ブランド・テキストおよびロゴ・イメージを変更するための手順が含まれます。

- ログイン・ページのカスタマイズ

- Oracle Privileged Account Managerページのカスタマイズ

ヒント:

ファイルを変更する前に、それらのバックアップ・コピーを作成します。

5.1.6.1 ログイン・ページのカスタマイズ

ログイン・ページのブランド変更は、oinav.ear/oiNavApp-war.war/SignIn.jspxファイル内で構成します。

ログイン・ページのタイトル

ログイン・ページのタイトルを変更するには、af:document "#{signinBean.signInTitle}"内のタイトルを変更します。

次のサンプル・コードを参照してください。

<af:document id="d1" title="#{signinBean.signInTitle}" theme="dark"
initialFocusId="pt1:_pt_it1">

ログイン・ページのブランド・テキスト

ログイン・ページのブランド・テキストを変更するには、ブランド・ファセット内で定義されるaf:outputText "#{signinBean.title}"の値を変更します。

次のサンプル・コードを参照してください。

<f:facet name="branding">
<af:outputText value="#{signinBean.title}" id="ot1"/>
</f:facet>

ログイン・ページのロゴ・イメージ

ログイン・ページのロゴ・イメージを変更するには、次の手順を実行します。

1. 新規イメージ(newlogo.pngなど)を次のディレクトリにコピーします。

oinav.ear/oiNavApp-war.war/images

2. デフォルトのロゴをスキップするために、次の行をoinav.ear/oiNavApp-war.war/SignIn.jspxファイルに追加します。

<f:attribute name="brandingLogoCls" value=""/>

3. 新規ロゴのイメージ・サイズがデフォルト・サイズの30を超える場合は、次の行を追加してヘッダーのサイズを調整します。

<f:attribute name="globalBrandingSize" value="60"/>

4. newlogo.png、newlogo mouse over textおよびnew branding textを置換することによって、ブランド・ファセットを変更します。
次のサンプル・コードを参照してください。

<f:facet name="branding">
<af:panelGroupLayout layout="horizontal">
<af:image source="/images/newlogo.png" shortDesc="newlogo mouse over text" id="im1"/>
<af:spacer width="5"/>
<af:outputText value="new branding text" id="ot1"/>
</af:panelGroupLayout>
</f:facet>

5.1.6.2 Oracle Privileged Account Managerページのカスタマイズ

Oracle Privileged Account Managerページのブランド変更は、oinav.ear/oiNavApp-war.war/opam.jspxファイル内で構成します。

Oracle Privileged Account Managerページのタイトル

Oracle Privileged Account Managerページのページ・タイトルを変更するには、af:document "#{resBundle.PRODUCT_OPAM}"内のタイトルを変更します。

次のサンプル・コードを参照してください。

<af:document title="#{resBundle.PRODUCT_OPAM}" id="d1" theme="contentBody">

Oracle Privileged Account Managerのブランド・テキスト

Oracle Privileged Account Managerページのブランド・テキストを変更するには、ブランド・ファセット内で定義されるaf:outputText "#{resBundle.OPAM_PRODUCT_TITLE}"の値を変更します。

次のサンプル・コードを参照してください。

<f:facet name="branding">
<af:outputText value="#{resBundle.OPAM_PRODUCT_TITLE}" id="ot1"/>
</f:facet>

Oracle Privileged Account Managerページのロゴ・イメージ

Oracle Privileged Account Managerページのロゴ・イメージを変更するには、次の手順を実行します。

1. 新規イメージ(newlogo.pngなど)を次のディレクトリにコピーします。

oinav.ear/oiNavApp-war.war/images

2. デフォルトのロゴをスキップするために、次の行をoinav.ear/oiNavApp-war.war/opam.jspxファイルに追加します。

<f:attribute name="brandingLogoCls" value=""/>

3. 新規ロゴのイメージ・サイズがデフォルト・サイズの30を超える場合は、次の行を追加してヘッダーのサイズを調整します。

<f:attribute name="globalHeaderSize" value="30"/>

4. newlogo.png、newlogo mouse over textおよびnew branding textを置換することによって、ブランド・ファセットを変更します。
次のサンプル・コードを参照してください。

<f:facet name="branding">
<af:panelGroupLayout layout="horizontal">
<af:image source="/images/newlogo.png" shortDesc="newlogo mouse over text" id="im1"/>
<af:spacer width="5"/>
<af:outputText value="new branding text" id="ot1"/>
</af:panelGroupLayout>
</f:facet>

5.2 セルフサービスの使用

この項では、Oracle Privileged Account Managerを使用するセルフサービス・ユーザーの操作手順について説明します。

内容は次のとおりです。

- セルフサービスのワークフロー

- アカウントの表示

- アカウントの検索

- アカウントのチェックアウトおよびチェックイン

- チェックアウトしたアカウントの表示

- パスワードの表示

5.2.1 セルフサービスのワークフロー

この項では、セルフサービス・ユーザーの基本ワークフローについて説明します。

1. アカウントの表示

2. アカウントの検索

3. アカウントのチェックアウト

4. チェックアウトしたアカウントの表示

5. アカウントのチェックイン

5.2.2 アカウントの表示

自分が現在権限受領者になっているすべてのアカウントのリストを表示するには、「ホーム」アコーディオンの「マイ・アカウント」を選択し、「検索」をクリックします。

「マイ・アカウント」ページがリフレッシュされ、すべてのアカウントが検索結果表にリストされます。このページでは、次の操作を実行できます。

- アカウント・ステータス、関連付けられたターゲット名、ターゲット・タイプおよびドメインの表示。

- アカウントを開くことによる、関連付けられたターゲット、アカウントおよびパスワード・ポリシーに関する情報の確認。アカウントを現在チェックアウトしているユーザーのリストも表示できます。

- アカウントのチェックアウトとチェックイン。

- アカウント・リストをフィルタ処理して表に表示することによる、すべてのアカウント(デフォルト)、チェックインしたアカウントまたはチェックアウトしたアカウントの表示。

- アカウントの検索。

5.2.3 アカウントの検索

アカウントを検索するには、第5.1.3.3項「特権アカウントの検索」の手順に従ってください。

5.2.4 アカウントのチェックアウトおよびチェックイン

自分に付与されている特権アカウントをチェックアウトするには、第5.1.3.5項「特権アカウントのチェックアウト」を参照してください。

アカウントを再度チェックインするには、第5.1.3.6項「特権アカウントのチェックイン」の手順に従ってください。

5.2.5 チェックアウトしたアカウントの表示

現在チェックアウトしているすべてのアカウントのリストを表示するには、「ホーム」アコーディオンの「マイ・チェックアウト済アカウント」を選択します。

検索結果表にすべてのチェックアウト済アカウントがリストされた「マイ・チェックアウト済アカウント」ページが表示されます。

5.2.6 パスワードの表示

「マイ・アカウント」ページまたは「マイ・チェックアウト済アカウント」ページの検索結果表の上にある「パスワードの表示」オプションを使用して、選択したアカウントのパスワードを表示できます。

アカウント名を選択し、「パスワードの表示」をクリックします。「現在のパスワード」ダイアログに、アカウント名とパスワードが表示されます。完了したら、「閉じる」をクリックします。

5.3 テスト環境から本番環境への移行

ある環境から別の環境にOracle Fusion Middlewareコンポーネントを移動する方法の詳細は、『Oracle Fusion Middleware管理者ガイド』のテスト環境から本番環境への移動に関する項を参照してください。

Oracle Privileged Account Managerを含むIdentity Managementコンポーネントをテスト環境から本番環境に移動する方法の詳細は、『Oracle Fusion Middleware管理者ガイド』のターゲット環境へのIdentity Managementコンポーネントの移動に関する項を参照してください。

6 Oracle Privileged Account Managerの監査およびロギングの管理

この章では、Oracle Privileged Account Managerの監査機能およびロギング機能を構成および使用する方法を説明します。

内容は次のとおりです。

- 第6.1項「Oracle Privileged Account Managerの監査の理解」

- 第6.2項「Oracle Privileged Account Managerのロギングの理解」

6.1 Oracle Privileged Account Managerの監査の理解

Oracle Privileged Account Managerは、その管理下で発生したすべてのセキュリティ・イベントを監査するため、組織内における特権アカウントの使用状況の可視性が向上し、ユーザーは機密情報を効率的に管理できます。

特に、Oracle Privileged Account Manager監査ロガーは、新しいアカウント、ターゲットまたはポリシーの追加、変更、削除など、エンティティ状態が変更されるすべてのイベントを記録します。

次の表では、監査を生成できるすべてのイベント・カテゴリおよびイベント・タイプについて説明します。

表6-1 Oracle Privileged Account Manager監査イベント

イベント・カテゴリ

イベント・タイプ

説明

アカウント管理

プリンシパル・アカウントの管理に関連するイベント

注意: プリンシパルは、エンド・ユーザーまたは疑似ユーザー(システム内のサービス)です。

アカウントの追加

ユーザー、グループまたはその他のプリンシパル・アカウントの追加。

パスワードの変更

パスワードの変更。

アカウントの無効化

ユーザー、グループまたはその他のプリンシパル・アカウントの無効化。

アカウントの有効化

ユーザー、グループまたはその他のプリンシパル・アカウントの有効化。

アカウントの変更

アカウント属性の変更。

アカウントの問合せ

ユーザーのアカウントへの問合せ。

アカウントの削除

ユーザー、グループまたはその他のプリンシパル・アカウントの削除。

ポリシー管理

ポリシーの管理に関連するイベント。

ポリシーの作成

ポリシーの作成。

ポリシーの削除

ポリシーの削除。

ポリシーの変更

ポリシーの変更。

ポリシーの問合せ

ポリシーの問合せ。

ターゲットの管理

ターゲットの管理に関連するイベント。

ターゲットの追加

ターゲットの追加。

ターゲットの変更

ターゲットの変更。

ターゲットの問合せ

ターゲットの問合せ。

ターゲットの削除

ターゲットの削除。

これらの監査イベントの記録によって、レポート・ツールが統計を収集できる処理履歴が作成されます(第6.1.2項「Oracle Privileged Account Manager監査レポートの理解」を参照)。

6.1.1 Oracle Privileged Account Managerでの監査の構成

Oracle Privileged Account Managerを構成して、監査イベントをデータベースまたはファイルに保存できます。データベースが使用できない場合、Oracle Privileged Account Managerではその監査ログが次のファイルに保存されます。

DOMAIN_HOME/servers/<opamserver>/logs/auditlogs/OPAM

また、Oracle Privileged Account Managerを構成してOracle Business Intelligence Publisher(リリース11.1.1.5.0以上)で監査レポートをデプロイし、Oracle Business Intelligence Publisher (BI Publisher)を使用してデータベース内の監査イベントを表示できます。BI Publisherのレポートは、監査イベントがファイルではなくデータベースに保存される場合にのみ作成できます。

次の各項では、Oracle Privileged Account Managerで監査を構成する手順について説明します。

- Oracle Privileged Account Managerでのファイル・ベース監査の構成

- Oracle Privileged Account Managerでのデータベース・ベース監査の構成

- BI PublisherでのOracle Privileged Account Manager監査レポートのデプロイ

- 監査ロギング・レベルの設定

注意:

IBM WebSphere上のOracle Privileged Account Managerの監査を構成するには、この項で説明されている手順を開始する前に、『Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド』のOracle Privileged Account Managerの監査の構成に関する項を参照してください。

6.1.1.1 Oracle Privileged Account Managerでのファイル・ベース監査の構成

この項では、Oracle Privileged Account Managerでファイルベースの監査を構成する方法について説明します。

前提作業

次の構成手順を開始する前に、次のマニュアルを確認します。

- 『Oracle Fusion Middleware Oracle WebLogic Scripting Tool』のWLSTオンラインまたはオフラインの使用に関する項

- 構成手順で使用されるgetAuditPolicy、setAuditPolicy、getAuditRepositoryおよびsetAuditRepository WLST監査コマンドの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の監査のためのOPSSスクリプトに関する項

ファイルベース監査のためにOracle Privileged Account Managerを構成する手順は、次のとおりです。

1. 次のようにWebLogicスクリプト・ツール(WLST)を起動し、Oracle WebLogic Serverに接続します。

1. コマンド・ウィンドウを開き、WLSTを含む次のディレクトリに移動します。

FMW_HOME/oracle_common/common/bin

2. 次のコマンドのいずれかを入力して、WLSTを起動します。
UNIXの場合、sh wlst.shを入力します。

Windowsの場合、wlst.cmdを入力します。

コマンド・プロンプトがwls:>/offlineに変更され、WLSTが起動されたことを示します。

3. 次のコマンドを入力して、Oracle WebLogic Serverに接続します。

connect('WLS_Admin_Name','WLS_Admin_Password','WLS_Machine_Name:Port')

次に例を示します。

connect('weblogic','Welcome1','localhost:7004')

WLSTは、WebLogic管理サーバーと関連付けられた管理者のユーザー名とパスワード、マシン名およびポートを検証します。これらの値がすべて正しければ、WLSTはWebLogic管理サーバーと接続し、コマンド・プロンプトは次のように変更されます。

wls:>/base_domain/serverConfig

注意:

詳細は、『Oracle Fusion Middleware WebLogic Scripting Tool』のWLSTオンラインからのアクセスの保護に関する項を参照してください。

2. Oracle Privileged Account Managerの監査ロギング・レベルを設定するには:

1. filterPresetパラメータがNONEに設定されている場合は、setAuditPolicyコマンドを使用し、Oracle Privileged Account Managerによって提供されるロギングの必要な分量に基づいて、次のように値をAll、MediumまたはLowに変更します。

setAuditPolicy(filterPreset='All')

監査ロギング・レベルが正常に更新されたことを示す確認メッセージが表示されます。

注意:

ロギング・レベル別の説明は、表6-2「監査ロギング・レベル」を参照してください。

2. プロンプトでgetAuditPolicy( )を入力し、filterPresetパラメータ値をチェックすることによって、Oracle Privileged Account Managerの現在のロギング・レベルを確認します。

3. 「リポジトリ・タイプ」をデータベース(DB)に変更するには:

1. 次のようにsetAuditRepositoryコマンドを入力します。

setAuditRepository(switchToDB='true')

監査リポジトリが正常に更新されたことを示す確認メッセージが表示されます。

2. 次のようにWLST getAuditRepositoryコマンドを使用して、監査リポジトリがデータベース・ベース監査に設定されていることを確認します。

getAuditRepository( )

setAuditRepositoryパラメータ値(「リポジトリ・タイプ」フィールドで指定)はFILEである必要があります。

4. 管理サーバーおよびOracle Privileged Account Manager管理対象サーバーの両方を再起動します。

注意:

管理対象サーバーの起動に関する詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracleスタックの起動と停止に関する項を参照してください。

変更内容を有効にするには、両方のサーバーを再起動する必要があります。サーバーを再起動すると、監査ログは次の場所に表示されます。

DOMAIN_HOME/servers/<opamserver>/logs/auditlogs/OPAM

6.1.1.2 Oracle Privileged Account Managerでのデータベース・ベース監査の構成

この項では、Oracle Privileged Account Managerを構成してOracle Privileged Account Managerと関連付けられたOracleデータベースに監査イベントを保存する方法について説明します。

前提条件

次の構成手順を開始する前に、次を実行します。

- 次のマニュアルを確認します。

- 『Oracle Fusion Middleware Oracle WebLogic Scripting Tool』のWLSTオンラインまたはオフラインの使用に関する項

- 構成手順で使用されるgetAuditPolicy、setAuditPolicy、getAuditRepositoryおよびsetAuditRepository WLST監査コマンドの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の監査のためのWLSTコマンドに関する項

- 次をインストールします。

- データベース

- リポジトリ作成ユーティリティ・アプリケーション(スキーマの作成とリポジトリのデータベースへのロードに使用)。

注意:

Oracle Repository作成ユーティリティのインストールおよび使用の詳細は、http://www.oracle.com/technology/documentation/index.htmlで入手できる『Oracle Fusion Middleware Repository Creation Utilityユーザーズ・ガイド』を参照してください。

データベース・ベース監査を構成するには、次の手順を実行します。

1. 次のようにWebLogicスクリプト・ツール(WLST)を起動し、Oracle WebLogic Serverに接続します。

1. コマンド・ウィンドウを開き、WLSTを含む次のディレクトリに移動します。

FMW_HOME/oracle_common/common/bin

2. 次のコマンドのいずれかを入力して、WLSTを起動します。
UNIXの場合、sh wlst.shを入力します。

Windowsの場合、wlst.cmdを入力します。

コマンド・プロンプトがwls:>/offlineに変更され、WLSTが起動されたことを示します。

3. 次のコマンドを入力して、Oracle WebLogic Serverに接続します。

connect('WLS_Admin_Name','WLS_Admin_Password','WLS_Machine_Name:Port')

次に例を示します。

connect('weblogic','Welcome1','localhost:7004')

WLSTは、WebLogic管理サーバーと関連付けられた管理者のユーザー名とパスワード、マシン名およびポートを検証します。これらの値がすべて正しければ、WLSTはWebLogic管理サーバーと接続し、コマンド・プロンプトは次のように変更されます。

wls:>/base_domain/serverConfig

注意:

詳細は、『Oracle Fusion Middleware WebLogic Scripting Tool』のWLSTオンラインからのアクセスの保護に関する項を参照してください。

2. Oracle Privileged Account Managerの監査ロギング・レベルを設定するには:

1. filterPresetパラメータがNONEに設定されている場合は、setAuditPolicyコマンドを使用し、Oracle Privileged Account Managerによって提供されるロギングの必要な分量に基づいて、次のように値をAll、MediumまたはLowに変更します。

setAuditPolicy(filterPreset='All')

監査ロギング・レベルが正常に更新されたことを示す確認メッセージが表示されます。

注意:

ロギング・レベル別の説明は、表6-2「監査ロギング・レベル」を参照してください。

2. プロンプトでgetAuditPolicy( )を入力し、filterPresetパラメータ値をチェックすることによって、Oracle Privileged Account Managerの現在のロギング・レベルを確認します。

3. 「リポジトリ・タイプ」をデータベース(DB)に変更するには:

1. 次のようにsetAuditRepositoryコマンドを入力します。

setAuditRepository(switchToDB='true')

監査リポジトリが正常に更新されたことを示す確認メッセージが表示されます。

2. 次のようにWLST getAuditRepositoryコマンドを使用して、監査リポジトリがデータベース・ベース監査に設定されていることを確認します。

getAuditRepository( )

setAuditRepositoryパラメータ値(「リポジトリ・タイプ」フィールドで指定)はDBである必要があります。

4. リポジトリ作成ユーティリティを使用して監査スキーマをデータベースに作成およびロードし、WebLogic Server管理コンソールを使用してJDBCデータソースを作成します。

データソースには、Oracle Privileged Account Managerと関連付けられたOracleデータベースに接続するためにBI Publisherが必要とする資格証明が含まれます。BI Publisherはこの接続を使用して、Oracle Privileged Account Managerデータベースからデータを取得します。BI Publisherはこのデータを使用して、ターゲット、特権アカウント、権限付与およびポリシーのレポートを生成します。

注意:

監査スキーマの作成およびJDBCデータソースの作成の手順は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の監査の構成と管理に関する項を参照してください。

5. 管理サーバーおよびOracle Privileged Account Manager管理対象サーバーの両方を再起動します。
変更内容を有効にするには、両方のサーバーを再起動する必要があります。両方のサーバーの再起動後、監査ログがインストール済のデータベースに表示されます。

6.1.1.3 BI PublisherでのOracle Privileged Account Manager監査レポートのデプロイ

この項では、BI Publisher(レポートの管理および配信に使用されるコンポーネント)でOracle Privileged Account Manager監査レポートをデプロイする方法について説明します。

次の手順を実行します。

1. まだインストールしていない場合、BI Publisherリリース11.1.1.5.0以上をインストールして構成します。
手順については、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのOracle Business Intelligence Publisherの構成に関する項を参照してください。

2. BI Publisherのインストール後、WebLogicドメインで次のディレクトリを特定します。

注意:

BI Publisherは、同一のホストまたは別のドメインにデプロイできます。

BI_DOMAIN_HOME/config/bupublisher/repository/Reports

3. 次のディレクトリでopam_product_BIP11gReports_11_1_2_1_0.zipファイルを特定します。

ORACLE_HOME/opam/reports

このファイルを手順2に記載のReportsフォルダに解凍し、次のディレクトリが作成されていることを確認します。

ORACLE_HOME/opam/reports/Oracle Privileged Account Manager

4. カタログを設定してデータ・ソースを構成するには、ブラウザ・ウィンドウを開いてBI PublisherのURLを入力します。
このURLの形式は次のとおりです。

http://hostname: port/xmlpserver/

次に例を示します。

http:/localhost:7001/xmlpserver/

5. BI Publisherのログイン・ページが表示されたら、WebLogic権限を持つユーザーとしてログインし、「サインイン」をクリックします。

6. 次の手順に従い、カタログを設定します。

1. 「管理」→「システム・メンテナンス」→「サーバー構成」を選択します。

2. 「システム・メンテナンス」ページが表示されたら、「構成フォルダ」セクションの「パス」フィールドに移動して構成フォルダのパスを入力します。次に例を示します。

BI_DOMAIN_HOME/config/bupublisher/repository

サーバーの構成設定を含むファイル(第6.1.1.2項の手順4で作成したJDBCデータソースなど)は「構成フォルダ」に格納されています。このフォルダへのパスは、xmlp-server-config.xml構成ファイルに格納されています。xmlp-server-config.xmlファイルは次の場所にあります。

BI_DOMAIN_HOME/config/bupublisher/repository/Admin/Configuration

3. 「システム・メンテナンス」ページで「カタログ」セクションを特定して、次の情報を指定します。

パラメータ名

パラメータ値

カタログ・タイプ

メニューからBI Publisher - ファイル・システムを選択します。

パス

BI Publisherの「カタログ」フォルダへのパスを入力します。次に例を示します。

BI_DOMAIN_HOME/config/bipublisher/repository

注意: BI Publisherの「カタログ」へのパスには、Oracle Privileged Account Managerレポートの解凍先であるreportsサブディレクトリが含まれます。

「パス」フィールドにreportsサブディレクトリを含めないでください。BI Publisherが破損します。

注意:

ファイル・システムにはレポート・リポジトリが含まれるため、BI Publisherを実行しているプラットフォームにより、フォルダ名やレポート名の大文字と小文字を区別するかどうかが決められます。Windowsベースの環境ではリポジトリ・オブジェクト名の大文字と小文字は区別されませんが、UNIXベースの環境では区別されます。

4. 「適用」をクリックします。
確認メッセージが表示されます。

5. 管理者としてログインします。

6. 「カタログ」をクリックして、Shared Folder/ Oracle Privileged Account Managerフォルダを開きます。

注意:

このフォルダが表示されない場合、WebLogicコンソールからアプリケーションを再起動します。

7. Oracle Privileged Account Managerレポート用に1つのJDBC (Oracle Privileged Account Manager JDBC)接続が必要です。次の手順を使用して、Oracle Privileged Account Manager JDBC接続を定義し、データ・ソースを定義します。

1. 「BI Publisher」ページの右側にある「管理」リンクをクリックします。
BI Publisherの「管理」ページが表示されます。(このページの「データソース」セクションを確認してください。)

2. 「データソース」セクションにある「JDBC接続」リンクをクリックします。

3. 「データソース」ページが表示されたら、「JDBC」セクションの「データソースの追加」をクリックし、データベースへのJDBC接続を作成します。

4. 「データソースの追加」ページに、次の情報を入力します。

データソース名

OPAM JDBC

ドライバ・タイプ

データベース(Oracle 10gやOracle 11gなど)に適したドライバ・タイプを選択します。

データベース・ドライバ・クラス

oracle.jdbc.driver.OracleDriver (データベースに適したドライバ・クラスを定義します。)

接続文字列

データベース接続の詳細を指定します。
例: hostname:port:sid

ユーザー名

Oracle Privileged Account Manager監査DBユーザーの名前。

パスワード

Oracle Privileged Account Manager監査DBユーザーのパスワード。

データベースへの接続が確立されると、成功を示す確認メッセージが表示されます。

5. 「適用」をクリックします。
この新しく定義された接続(Oracle Privileged Account Manager JDBC)がJDBCデータ・ソースのリストに表示されます。

6. Oracle Privileged Account Manager監査レポートにナビゲートします。
ページの左側にツリー構造、右側に詳細が含まれる「カタログ」ページが表示されます。

7. Shared Foldersを開いてOracle Privileged Account Managerフォルダを選択すると、そのフォルダ内のすべてのオブジェクトが表示されます。

8. Oracle Identity Navigatorを使用してBI Publisherサーバーへの接続を構成します。
必要な手順については、Oracle Fusion Middleware Oracle Identity Navigator管理者ガイドのBI Publisherへの接続作成に関する項を参照してください。

接続の構成に成功すると、Oracle Identity Navigatorの「ダッシュボード」ページの「マイ・レポート」セクションに「レポートを作成するにはここをクリックしてください」というリンクが表示されます。また、セキュリティ監査者ロールを持つユーザーは、次のタスクを実行できます。

- Oracle Identity Management BI Publisherレポートおよび監査レポートの表示

注意:

Oracle Privileged Account Managerでは、BI Publisher 11gおよびOracle Fusion Middleware監査フレームワークに統合された、すぐに使用可能な監査レポートのセットが提供されます。Oracle Privileged Account Managerによって、監査ストアに記録された監査イベントに基づいてこれらのレポートが生成されます。詳細は、第6.2項「Oracle Privileged Account Managerのロギングの理解」を参照してください。

- レポートの選択および「マイ・レポート」リストへの追加

- アクセス権限を持っている任意のレポートの表示および実行

これで、BI PublisherをナビゲートしてOracle Privileged Account Manager 11g BIレポートを使用できます。

6.1.1.4 監査ロギング・レベルの設定

Oracle Privileged Account Managerによって提供される監査ロギングの分量を変更するには、次の手順を実行します。

1. 第6.1.1.2項「Oracle Privileged Account Managerでのデータベース・ベース監査の構成」の手順1の説明に従い、アプリケーション・サーバー・シェル(WLST)を起動してOracle WebLogic Serverへの接続を確立します。

注意:

詳細は、『Oracle Fusion Middleware Oracle WebLogic Scripting Tool』のWLSTオンラインからのアクセスの保護に関する項を参照してください。

2. getAuditPolicyコマンドを使用して、現在の監査ポリシーを取得します。
FilterPresetフィールドがNONEに設定されている場合は、setAuditPolicyコマンドを使用して値を変更します。監査するイベントのタイプに応じて、表6-2に記載されているオプションのいずれかを選択します。

注意:

これらのWLST監査コマンドの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のgetAuditPolicyおよびsetAuditPolicyに関する項を参照してください。

表6-2 監査ロギング・レベル

オプション

ログに記録されるイベント

All

すべてのイベント・タイプを記録します。

Medium

次のイベント・タイプを記録します。

- AccountManagementカテゴリ: ChangePassword、CheckinAccount、CreateAccount、DeleteAccount、DisableAccount、EnableAccount、ModifyAccountおよびQueryAccount

- PolicyManagementカテゴリ: All

- TargetManagementカテゴリ: All

Low

次のイベント・タイプを記録します。

- AccountManagementカテゴリ: ChangePassword、CheckinAccount、CreateAccount、DeleteAccount、DisableAccount、EnableAccountおよびModifyAccount

- PolicyManagementカテゴリ: CreatePolicy、DeletePolicyおよびModifyPolicy

- TargetManagementカテゴリ: CreateTarget、DeleteTargetおよびModifyTarget

None

ロギングは実行されません。

3. Oracle Privileged Account Managerサーバーを再起動します。

注意:

管理対象サーバーの起動に関する詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracleスタックの起動と停止に関する項を参照してください。

サーバーを再起動すると、監査ログは次の場所に表示されます。

DOMAIN_HOME/servers/<opamserver>/logs/auditlogs/OPAM

6.1.2 Oracle Privileged Account Manager監査レポートの理解

Oracle Privileged Account Managerでは、BI Publisher 11gおよびOracle Fusion Middleware監査フレームワークに統合された監査レポートのデフォルト・セットが提供されます。Oracle Privileged Account Managerによって、監査ストアに記録された監査イベントに基づいてこれらのレポートが生成されます。

デフォルト監査レポートのタイプは次のとおりです。

- アカウント・チェックイン/チェックアウト・レポート: アカウントのチェックインとチェックアウトの履歴を提供します。

- すべてのイベント・レポート: 監査ストアに記録されたすべての監査イベントが含まれます。

- エラー・イベント・レポート: 認証および認可の失敗など、Oracle Privileged Account Managerで発生するエラーの情報を提供します。

- 一般レポート: チェックイン、チェックアウトまたは特権アカウントの変更に関連するイベント、および特権アカウントとターゲットについての問合せに関連するイベントの情報を提供します。

- ターゲット管理レポート: ターゲットの追加、変更、問合せまたは削除に関連するイベントの情報を提供します。

Oracle Privileged Account Manager監査レポートでは、アカウントをチェックアウトしたユーザーとチェックアウトされたシステム、理由、すでにチェックアウトされているシステムに対するリクエスト、およびユーザーが権限を持たないシステムに対するリクエストを確認できます。

たとえば、次の図は、BI Publisherに表示された標準的なOracle Privileged Account Manager監査レポートを示しています。

注意:

Oracle Privileged Account Manager監査レポートはBI Publisherで表示できます。

図6-1 Oracle Privileged Account Manager監査レポートの例

このレポートには、次の情報が含まれていることに注意してください。

- イベント: 発生したイベントのタイプです。

- ステータス: イベントの結果(1は成功、0は失敗)を示します。

- ユーザーID: イベントを起動したユーザー

- ターゲット: イベントが発生したターゲット

- リソースID: リソース識別子

- メッセージ: サーバーから返されるメッセージ

- 時間: イベントが発生した日時

6.1.3 CSFの資格証明のアプリケーション負荷の監査

第8.3項「資格証明ストア・フレームワークとの統合」に説明されているように、Oracle Privileged Account ManagerはパスワードをCSFに同期化できます。ただし、Oracle Privileged Account ManagerではCSFコンテンツを監査できません。Oracle Privileged Account ManagerとCSFは、Weblogicドメイン内の2つの別個のエンティティであるからです。CSFアクセスを監査する場合は、CSF自体で監査を有効化する必要があります。

注意:

CSFでの監査の有効化は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』の次の項を参照してください。

- CSFでサポートされている監査イベントのリストは、Oracle Platform Security Servicesのイベントとその属性に関する項を参照します。

- CSFでの監査の有効化に使用するWLSTコマンドは、監査のためのWLSTコマンドに関する項を参照するか、コマンドラインから次のコマンドを入力します。

help('<Audit WLST command>')

- Enterprise Managerを使用したこのタイプの監査の管理は、監査ポリシーの管理に関する項を参照します。

WSAdminコマンドを使用したCSFでの監査の有効化は、『Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド』の共通監査フレームワークwsadminコマンドに関する項を参照してください。

6.2 Oracle Privileged Account Managerのロギングの理解

Oracle Privileged Account Managerは、Oracle Fusion MiddlewareのロギングおよびOracle Diagnostic Logging (ODL)フレームワークと完全に統合されています。

Oracle Privileged Account Managerの汎用ロガー(oracle.idm.opam)は、デバッグ文や例外メッセージなど、監査ロガーによって記録されないすべてのログを扱います。処理ツールでは、これらのログを使用して、Oracle Privileged Account Managerサーバー内で発生した問題を診断できます。

表6-3では、別のOracle Privileged Account Manager関連のログ・ファイルについて説明します。

表6-3 Oracle Privileged Account Manager関連ログ・ファイル

ファイル名

説明

AdminServer.log

WebLogic管理サーバーがサブシステムおよびアプリケーションからメッセージを書き込む汎用ログ・ファイル。

AdminServer-diagnostic.log

WebLogic管理サーバーによって生成されるメッセージを格納する際に使用される診断ログ・ファイル。

base_domain.log

WebLogic管理サーバーがドメインの全体的なステータスについてのメッセージを書き込む汎用ログ・ファイル。

access.log

特権アカウントおよびターゲットにアクセスするリクエストについての情報を格納する際に使用される汎用ログ・ファイル。

opam_server1.log

Oracle Privileged Account Managerサーバーがサブシステムおよびアプリケーションからメッセージを書き込む汎用ログ・ファイル。

opam_server1-diagnostic.log

Oracle Privileged Account Manager管理サーバーによって生成されるメッセージを格納する際に使用される診断ログ・ファイル。

Oracle Privileged Account Managerログ・ファイルは、次の場所に格納されます。

- サーバー・ログ・ファイルは、次の場所に格納されます。

DOMAIN_HOME/servers/OPAM managed server/logs

サーバー・アプリケーション・ログは、次の場所にスプールされます。

OPAM managed server-diagnostic.log

- コンソール・ログ・ファイルは、次の場所に格納されます。

DOMAIN_HOME/servers/AdminServer/logs

注意:

Oracle Fusion MiddlewareのロギングおよびOracle Diagnostic Logging (ODL)フレームワークの詳細は、『Oracle Fusion Middleware管理者ガイド』のログ・ファイルと診断データの管理に関する項を参照してください。

6.2.1 基本的なロギングの構成

『Oracle Fusion Middleware WebLogic Scripting Toolコマンド・リファレンス』のロギング・カスタムWLSTコマンドの項に説明されているように、標準のWLSTコマンドを使用してOracle Privileged Account Managerのロギングを構成できます。

次に、前述の参照に基づいたタスクベースの起動をいくつか示します。

注意:

IBM WebSphereサーバーでロギングを構成している場合は、同じコマンドが適用されます。ただし、考慮が必要な相違点がいくつかあります。

これらのコマンドを使用する前に、『Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド』のOracle Privileged Account Managerの基本ロギングの構成に関する項を参照してください。

- 使用可能なすべてのOracle Privileged Account Managerロガーおよび現在の構成レベルのリストを表示するには、listLoggersコマンドを実行します。

listLoggers(target="<opamserver>",pattern="oracle.idm.opam.*")

次に例を示します。

listLoggers(target="opam_server1",pattern="oracle.idm.opam.*")

- Oracle Privileged Account Managerの現在のログ・レベルをチェックするには、getLogLevelコマンドを実行します。

getLogLevel(logger="oracle.idm.opam",target="<opamserver>")

次に例を示します。

getLogLevel(logger="oracle.idm.opam",target="opam_server1")

- 特定のロガーのログ・レベルを設定するには、setLogLevelコマンドを実行します。

setLogLevel(target="<opamserver>",logger="oracle.idm.opam",level="TRACE:32",
persist=1)

次に例を示します。

setLogLevel(target="opam_server1",logger="oracle.idm.opam",level="TRACE:32",
persist=1)

6.2.2 ロギング・データの例

次の図では、WebLogicコンソールに表示されるロギング・データの例を示します。

図6-2 ロギング・レポートの例

このレポートには、次の情報が含まれていることに注意してください。

- イベントが発生したときの日付およびタイムスタンプ

- イベントが発生したサブシステム

- メッセージの重大度

- メッセージID

- 実行されていた操作についての説明のメッセージ

第III部

高度な管理

この部では、Oracle Privileged Account Managerの高度な管理タスクの実行方法について説明し、次の章が含まれます。

- Oracle Privileged Account Managerの拡張構成タスクの実行

- 統合ソリューション向けのOracle Privileged Account Managerの構成

7 Oracle Privileged Account Managerの拡張構成タスクの実行

この章では、Oracle Privileged Account Managerの拡張構成の実行について説明します。内容は次のとおりです。

- 第7.1項「SSL経由でターゲット・システムと接続するためのOracle Privileged Account Managerの構成」

- 第7.2項「ディスク上のデータの保護」

- 第7.3項「既存のOracle Privileged Account Managerインストールへの新しいコネクタの追加」

7.1 SSL経由でターゲット・システムと接続するためのOracle Privileged Account Managerの構成

Oracle Privileged Account Managerでは、Secure Socket Layer (SSL)または非SSLオプションを介してターゲット・システムに接続できます。SSLオプションは、より安全ですが、追加の構成が必要です。

SSLを介してターゲット・システムと安全に通信するには、Oracle Privileged Account Managerを実行しているWebLogicインスタンスが、ターゲット・システムで使用されているSSL証明書を信頼する必要があります(Oracle Privileged Account Managerは実行されているWebLogicコンテナからそのSSL構成を継承するため)。Oracle Privileged Account Managerを実行しているWebLogicインスタンス(およびOracle Privileged Account Manager)にターゲット・システムのSSL証明書を信頼させるには、WebLogicインスタンスで使用されているトラストストアに証明書をインポートする必要があります。

注意:

IBM WebSphereインスタンスを使用している場合は、SSL通信の構成手順が異なります。

手順は、『Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド』のSSL経由でターゲット・システムに接続するためにOracle Privileged Account Managerを構成する場合の相違点に関する項を参照してください。

ターゲット・システムとOracle Privileged Account Manager間のSSL通信を有効にするには、次の手順を使用します。

1. ターゲット・システムのホスト・コンピュータからSSL証明書をエクスポートします。

注意:

SSL証明書をエクスポートする手順は、ターゲット・システムのタイプごとに異なります。手順の詳細は、使用しているターゲット・システムの製品ドキュメントを参照してください。

2. Oracle Privileged Account Managerを実行しているWebLogicインスタンスが存在するマシンに証明書をコピーします。
Oracle Privileged Account Manager/Oracle Identity NavigatorコンソールとOracle Privileged Account Managerサーバーが異なるマシン上で実行されている場合、SSL証明書はOracle Privileged Account Managerサーバーのマシンにコピーする必要があります。

3. 次のコマンドを実行して、Oracle Privileged Account Managerが実行されているWebLogicサーバーのJVMトラストストアに証明書をインポートします。

JAVA_HOME\bin\keytool -import -file FILE_LOCATION -keystore TRUSTSTORE_LOCATION
-storepass TRUSTSTORE_PASSWORD -trustcacerts -alias ALIAS

説明

- JAVA_HOMEは、WebLogicサーバーによって使用される場所です。次に例を示します。

- MIDDLEWARE_HOME/jrockit..

- MIDDLEWARE_HOME/jdk..

- Javaソフトウェアをインストールした場所

- FILE_LOCATIONは、証明書ファイルのフルパスおよび名前です。

- TRUSTSTORE_LOCATIONは、次のトラストストア・パスのいずれかです。

表7-1 トラストストアの場所

次のように使用します。

キーストアに証明書をインポートするディレクトリ

Oracle jrockit_R27.3.1-jdk

JROCKIT_HOME/jre/lib/security

デフォルトのOracle WebLogic Server JDK

WEBLOGIC_HOME/java/jre/lib/security/cacerts

Oracle
jrockit_R27.3.1-jdkまたは
Oracle WebLogic Server JDK以外のJDK

JAVA_HOME/jre/lib/security/cacerts

- TRUSTSTORE_PASSWORDは、トラストストアのパスワードです。

- ALIASは、証明書の別名です。

注意:

cacertsキーストアのデフォルトのパスワードはchangeitです。

4. すべてのWebLogicサーバーを再起動します。

注意:

WebLogicのセキュリティ概念およびカスタム・キーストアの作成方法の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』のIDと信頼の構成に関する項を参照してください。

7.2 ディスク上のデータの保護

Oracle Privileged Account Managerは、Oracle Databaseの透過的データ暗号化(TDE)モードが使用されていてもいなくても動作します。

注意:

高度なセキュリティの実現のため、TDEモードを有効化することを強くお薦めします。

透過的データ暗号化の詳細は、『Oracle Database Advanced Security管理者ガイド』の透過的データ暗号化を使用した格納済データの保護に関する項を参照してください。

Oracle Privileged Account Managerをインストールして構成すると、任意の時点でTDEモードを有効化または無効化できます。それには次の方法があります。

- 第4.3.1項「Oracle Privileged Account Managerサーバーへの接続の構成」の説明に従って、コンソールを使用します。

- コマンドラインから、OPAMグローバル構成の構成エントリのプロパティを編集します。

この項では、コマンドラインからOracle Privileged Account ManagerのTDEモードを変更する方法について説明します。

内容は次のとおりです。

- TDEモードの有効化

- TDEモードの無効化

注意:

TDEモードの有効化または無効化の手順は、WebLogic Serverを使用していようと、IBM WebSphereサーバーを使用していようと、基本的には変わりません。

IBM WebSphereでOracle Privileged Account Managerを使用している場合の若干の相違点は、『Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド』のディスク上のデータを保護する場合の相違点に関する項を参照してください。

7.2.1 TDEモードの有効化

TDEモードが無効である(tdemodeフラグがfalseに設定されている)ときにTDEを有効化する場合は、次の手順を実行します。

注意:

開始する前に、Oracle Privileged Account Managerサーバーが実行中であることを確認します。

1. 環境変数ORACLE_HOMEおよびJAVA_HOMEを設定します。

2. 次のスクリプトを実行します。
UNIXでは次のように入力します。

ORACLE_HOME/bin/opam.sh -url OPAM_Server_Url -x modifyglobalconfig
-propertyname tdemode -propertyvalue true -u OPAM_APPLICATION_CONFIGURATOR_USER
-p Password

Windowsでは次のように入力します。

ORACLE_HOME\bin\opam.bat -url OPAM_Server_Url -x modifyglobalconfig
-propertyname tdemode -propertyvalue true -u OPAM_APPLICATION_CONFIGURATOR_USER
-p Password

3. 『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のオプション: Oracle Privileged Account Managerデータ・ストアでのTDEの有効化に関する項を参照してください。

7.2.2 TDEモードの無効化

TDEモードを使用しているときに非TDEモードに切り替える場合は、次の手順を実行します。

注意:

開始する前に、Oracle Privileged Account Managerサーバーが実行中であることを確認します。

1. 環境変数ORACLE_HOMEおよびJAVA_HOMEを設定します。

2. 次のスクリプトを実行します。
UNIXの場合:

ORACLE_HOME/opam/bin/opam.sh -url OPAM_Server_Url -x modifyglobalconfig
-propertyname tdemode -propertyvalue false
-u OPAM_APPLICATION_CONFIGURATOR_USER -p Password

ここで、OPAM_Server_Urlは次の形式になります。

https://OPAM_Managed_Server_Hostname:OPAM_Managed_Server_SSL_port/opam

Windowsの場合:

ORACLE_HOME\opam\bin\opam.bat -url OPAM_Server_Url -x modifyglobalconfig
-propertyname tdemode -propertyvalue false
-u OPAM_APPLICATION_CONFIGURATOR_USER -p Password

ここで、OPAM_Server_Urlは次の形式になります。

https://OPAM_Managed_Server_Hostname:OPAM_Managed_Server_SSL_port/opam

3. Oracle Privileged Account Managerスキーマはすでに暗号化されているため、データの暗号化解除にsqlplusやその他のクライアントを使用し、Oracle Privileged Account Managerスキーマ・ユーザーとしてopamxunencrypt.sqlスクリプトを実行します。

$IAM_HOME/opam/sql/opamxunencrypt.sql

次に例を示します。

sqlplus DEV_OPAM/welcome1 @MW_HOME/Oracle_IDM1/opam/sql/opamxunencrypt.sql

7.3 既存のOracle Privileged Account Managerインストール環境への新規コネクタの追加

この項では、既存のOracle Privileged Account Managerインストール環境に新しいコネクタを追加するためのプロセスについて説明します。内容は次のとおりです。

- オラクル社提供によるコネクタの追加

- カスタム・コネクタの追加

7.3.1 オラクル社提供によるコネクタの追加

オラクル社提供による新しいICFコネクタを追加する場合、それらにはインストール手順が付随しています。これらの手順には、コネクタ・バンドルの格納場所や、インストール固有のopam-config.xmlファイルの変更方法が説明されています。

7.3.2 カスタム・コネクタの追加

Oracle Privileged Account Managerでは、ユーザーが作成した(またはサードパーティによって作成された)カスタム・コネクタを使用できます。ただし、これらのコネクタは、ICF標準に厳密に準拠している必要があります。コネクタがICFに準拠していることを確認した後、次の手順を実行してOracle Privileged Account Managerで使用するためにコネクタをデプロイします。

1. コネクタ・バンドルを、実行時にOracle Privileged Account Managerで読み取ることができるファイル・システム上の場所に配置します。

2. 次の手順を実行して、コネクタの構成ブロックを作成し、そのブロックをインストール固有のopam-config.xmlファイルに含めます。

1. 関連する構成ブロックを設計および作成します。
opam-config.xmlファイルとopam-config.xsdファイルには、両方ともファイルの先頭に構成ブロックの作成方法を説明したドキュメントおよび例が含まれます。

2. このコネクタ構成ブロックに、手順1でコネクタ・バンドル用に指定したファイル・システムの場所が含まれていることを確認します。

3. 新しいコネクタ構成ブロックを<connectorConfig>ブロックに含めることでopam-config.xmlファイルに追加します。

4. 変更されたopam-config.xmlファイルをopam-config.xsdファイルに対して検証し、Oracle Privileged Account Managerサーバーでその変更されたファイルを読み取ることができることを確認します。任意のXMLスキーマ検証ツールをこの目的で使用できます。

3. Oracle Privileged Account Managerサーバーを再起動します。

4. Oracle Privileged Account Managerに接続し、新しく追加したコネクタ・タイプを使用して新しいターゲット・システムを追加および構成します。

8 統合ソリューション向けのOracle Privileged Account Managerの構成

この章では、次の項が含まれており、一般的に使用されているディレクトリ・テクノロジおよびID管理テクノロジと統合するためのOracle Privileged Account Managerの構成方法について説明しています。

- 第8.1項「Oracle Identity Managerとの統合」

- 第8.2項「Oracle Access Management Access Managerとの統合」

- 第8.3項「資格証明ストア・フレームワークとの統合」

8.1 Oracle Identity Managerとの統合

この項では、Oracle Privileged Account ManagerとOracle Identity Managerとの統合プロセスについて説明します。

内容は次のとおりです。

- 概要

- 前提作業

- 統合のためのOracle Identity Managerの設定

- opamSetupスクリプトの実行

- OPAM_TAGS UDFの作成

- Oracle Privileged Account Managerのメタデータによるカタログ・エントリのタグ付け

8.1.1 概要

Oracle Privileged Account ManagerとOracle Identity Managerとの統合により、Oracle Privileged Account Managerの権限受領者でもあるLDAPグループに対するアクセスを管理できるようになります。具体的には、この2つの製品の統合により、次のことが可能になります。

- 入社から退社までのアイデンティティ・ライフサイクルを管理できます。

- HRシステムの更新に基づいて適切なLDAPグループに対してユーザーを自動的に追加および削除するネイティブ機能を提供します。

- アカウントに対するアクセスを手動でリクエストする機能を提供します。

- リクエストの承認を取得する機能がサポートされます。

- Oracle Privileged Account Managerの独自のレポートを拡張するか、そのかわりとして、アテステーション・レポートで使用できるレポートがサポートされます。

また、Oracle Privileged Account Managerは、ワークフローをサポートするためにOracle Identity Managerを使用できます。統合の要点は次のとおりです。

- Oracle Privileged Account Manager管理者は、Oracle Privileged Account Managerのロールに付与されている特権アカウントにアクセスします。

- エンド・ユーザーは、Oracle Identity Managerを通じてこれらのロールのメンバーシップをリクエストできます。

- これらのリクエストを承認するためにOracle Identity Managerの標準ワークフローが使用されます。

- リクエストしたロールのメンバーシップによって、エンド・ユーザーは、Oracle Privileged Account Managerの対応する特権アカウントにアクセスできます。

図8-1 Oracle Identity Managerのワークフロー・トポロジ

この統合をサポートするために、Oracle Identity Managerでは、次のことを実現しています。

- LDAPグループを管理するためのLDAPコネクタの提供

- 適切なエンタープライズ・ロールおよび権限のリソース・カタログへの移入。
現実には、Oracle Identity Managerは実際のアカウントに直接アクセス権を付与するのではなく、そのアカウントの表現のみに付与するため、Oracle Privileged Account Managerターゲット・アカウントは権限です。

注意:

IBM WebSphereでOracle Privileged Account Managerを使用している場合は、『Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド』のOracle Fusion MiddlewareでのOracle Privileged Account Managerのデプロイ方法の相違点に関する項を参照してください。

8.1.2 前提作業

この項では、実際の統合プロセスを開始する前に完了しておく必要があるタスクについて説明します。次のようなタスクがあります。

- Oracle Identity Managerのインストール

- Oracle Identity Manager管理者の構成

- 外部アイデンティティ・ストアの構成

- LDAPグループの作成

- Oracle Privileged Account ManagerのCA証明書の追加

8.1.2.1 Oracle Identity Managerのインストール

この章の手順では、Oracle Identity Managerがすでにインストールされていることを前提としています。Oracle Identity Managerをまだインストールしていない場合は、その手順について『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』を参照してください。

8.1.2.2 Oracle Identity Manager管理者の構成

この統合のためにOracle Identity Manager管理者を構成する場合、その管理者は次のタスクを実行できる必要があります。

- ビジネス・ルールに基づいて新しいユーザーを適切なLDAPグループに割り当てるOracle Identity Managerルールを構成します。このルールは、新しいユーザーをユーザー画面から手動で割り当てる場合とHR/テキスト・フィードを使用して自動的に割り当てる場合のどちらにも適用する必要があります。

- Oracle Identity Managerのネイティブ機能を使用して、Oracle Identity Managerリソース・カタログのアイテムに対するリクエストを作成し、カタログが適切に移入されていることを確認します。Oracle Identity Managerによって、ユーザーは、Oracle Identity Managerカタログに含まれる権限に対するアクセスをリクエストできます。

- 承認者フィールドに適切な値を設定します。たとえば、ある従業員が、長期間会社に不在の別の従業員の電子メール・アカウントに対するアクセスをリクエストする場合です。

- 緊急リクエストを処理します(Oracle Privileged Account Managerユーザーが通常のビジネス・プロセスの外部にあるシステムにアクセスする必要がある場合)。
緊急リクエストは、ビジネス要件およびビジネス・ルールに基づいて処理されます。たとえば、Oracle Privileged Account Managerユーザーがターゲットに対する権限を持っているが、アクセス・ポリシーの制限によってパスワードを取得できない場合、Oracle Privileged Account Manager管理者はそのターゲット・アカウントのアクセス・ポリシーを一時的に変更できます。

ユーザーがOracle Identity Managerを待機できない場合、Oracle Privileged Account Manager管理者は、かわりに手動で直接アクセスできます(アカウントに特定の権限受領者を追加するなど)。

Oracle Identity Manager管理者の構成手順をレビューするには、『Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイド』の管理ロールの管理に関する項を参照してください。

8.1.2.3 外部アイデンティティ・ストアの構成

外部アイデンティティ・ストアをOracle Privileged Account Managerのメイン認証ソースとして構成する必要があります。詳細は、第3.3.2項「Oracle Privileged Account Managerの外部アイデンティティ・ストアの構成」を参照してください。

Oracle Privileged Account Managerの外部アイデンティティ・ストアを構成したら、同一のアイデンティティ・ストアを使用するようにOracle Identity Managerを構成する必要があります。サーバーに必要なLDAPコネクタの設定および構成の詳細は、『Oracle Identity Manager Oracle Internet Directory Connectorガイド』を参照してください。

8.1.2.4 LDAPグループの作成

Oracle Privileged Account Managerは、共有アカウントおよび特権アカウント(UNIXシステムのrootなど)を管理する目的で最適化されています。

Oracle Privileged Account Managerは、ユーザーが受領した権限付与に基づいて、ターゲット上でアカウントのパスワードをチェックアウトできるユーザーを判別します。権限付与は、直接行うか、グループのメンバーシップを通じて行うことができます。グループ自体は、静的または動的のいずれかです。

これらのLDAPグループは、可能なかぎりエンタープライズ・ロールと一致している必要があります。たとえば、「データ・センター製品UNIX管理者」エンタープライズ・ロールがある場合、対応するLDAPグループが存在する必要があります。この一致の利点は、これらのグループを使用して、Oracle Privileged Account Managerターゲット・アカウントに加え、他のアプリケーションに対するアクセスを制御できることにあります。

注意:

LDAPグループを作成するには、LDAP管理者に連絡してください。

8.1.2.5 Oracle Privileged Account ManagerのCA証明書の追加

Oracle Privileged Account ManagerサーバーのWebサービス認証局(CA)の証明書が組み込まれるようにOracle Privileged Account Managerのカタログ同期化タスクを構成する必要があります。そうしないと、Oracle Privileged Account Managerに対するHTTPS Webサービス・コールが正常に実行されません。

このプロセスには、2つの手順があります。

1. CA証明書の取得

2. CA証明書のインポート

注意:

IBM WebSphereサーバーでOracle Privileged Account Managerを使用している場合は、これらの手順は若干異なります。手順は、『Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド』のOracle Identity Managerと統合する際の相違点に関する項を参照してください。

CA証明書の取得

Oracle Privileged Account ManagerサーバーのCA証明書を取得する手順は、次のとおりです。

1. ブラウザから、OPAMサーバーWebサービスに接続します。
https://hostname:sslport/opam

2. CA証明書(.pem)ファイルを特定して、トラストストアに保存します。
たとえば、Firefoxブラウザの場合は次の手順を実行します。

1. ブラウザのアドレス・バーにあるロック・アイコンをクリックします。

2. 情報ダイアログが表示されたら、「詳細」をクリックします。

3. 「ページ情報」ダイアログで、「証明書の表示」をクリックします。

4. 「証明書ビューア」ダイアログで、「詳細」タブを選択して証明書の階層を表示します。

5. 証明書階層リストで最初の(root)証明書を選択して、「エクスポート」をクリックします。

6. 「証明書をファイルに保存」ダイアログが表示されたら、ファイルを保存するディレクトリに移動します。たとえば、/tmp/opam.pemに移動します。

7. 「次のタイプとして保存」メニューから「X.509証明書(PEM)」を選択し、ファイル名としてopam.pemと入力し、「保存」をクリックします。

CA証明書のインポート

次のコマンドを実行して、CA証明書ファイルopam.pemを、Oracle Identity Managerを実行しているサーバー上のWebLogicトラストストアにインポートします。

keytool -import -file FILE_LOCATION -keystore TRUSTSTORE_LOCATION
-storepass TRUSTSTORE_PASSWORD -trustcacerts -alias ALIAS

説明

- FILE_LOCATIONは、証明書ファイルのフルパスおよび名前です。

- ALIASは、証明書の別名です。

- TRUSTSTORE_PASSWORDは、トラストストアのパスワードです。

- TRUSTSTORE_LOCATIONは、次のトラストストア・パスのいずれかです。

使用しているJDK

証明書をインポートするキーストアのディレクトリ

Oracle jrockit_R27.3.1-jdk

JROCKIT_HOME/jre/lib/security

デフォルトのOracle WebLogic Server JDK

WEBLOGIC_HOME/java/jre/lib/security/cacerts

Oracle
jrockit_R27.3.1-jdkまたはOracle
WebLogic Server JDK以外のJDK

JAVA_HOME/jre/lib/security/cacerts

8.1.3 統合のためのOracle Identity Managerの設定

注意:

この手順では、Oracle Identity Managerをすでにインストールしており、手順を実行するユーザーがこの項に記載されている各種構成タスクを実行できるOracle Identity Manager管理者であることを前提としています。

Oracle Identity Managerを統合のために準備するには、次のトピックに記載されているタスクを実行する必要があります。

- 汎用LDAPコネクタのインストールおよび構成

- アプリケーション・インスタンスの作成

8.1.3.1 汎用LDAPコネクタのインストールおよび構成

LDAPアイデンティティ・ストアと連携する汎用LDAPコネクタ・ファイルをダウンロードし、ターゲットとしてインストールする必要があります。

インストールの手順は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のコネクタのインストールに関する項を参照してください。

8.1.3.2 アプリケーション・インスタンスの作成

コネクタをインストールしたら、アプリケーション・インスタンスを作成してカタログで使用できるようにする必要があります。

手順は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』の第IV部「アプリケーション管理」を参照してください。

8.1.4 opamSetupスクリプトの実行

Oracle Privileged Account ManagerとOracle Identity Managerとの統合を運用できるようにするには、Oracle Privileged Account ManagerとOracle Identity Managerとの統合設定スクリプト(opamSetup)を実行する必要があります。このスクリプトは次のディレクトリで入手できます。

<OIM Oracle Home>/server/bin

次のコマンドのいずれかを実行し、スクリプトを開始します。

- UNIXの場合は、opamSetup.shを使用します。

- Windowsの場合は、opamSetup.batを使用します。

opamSetup -oimUrl <OIM URL> -oimUser <OIM username>
-oimPassword <OIM user password> -opamItResource <OPAM IT resource name>
-opamServer <OPAM server name> -opamPort <OPAM server port> -opamUser <OPAM user>
-opamPassword <OPAM user password> -idStoreItResource <ID Store IT resource name>
[-ctxFactory <Initial context factory>] [-help]

説明:

オプション

説明

-oimUrl <OIM URL>

Oracle Identity ManagerサーバーのURLアドレスを指定します。

-oimUser <OIM username>

Oracle Identity Managerのログイン・ユーザー名を指定します。

-oimPassword <OIM user password>

Oracle Identity Managerのログイン・パスワードを指定します。

-opamItResource <OPAM IT resource name>

Oracle Privileged Account ManagerのITリソース名を指定します。

-opamServer <OPAM server name>

Oracle Privileged Account Managerサーバーのパスとディレクトリ名を指定します。

-opamPort <OPAM server port>

Oracle Privileged Account Managerサーバーのポートを指定します。

-opamUser <OPAM user>

Oracle Privileged Account Managerのログイン・ユーザー名を指定します。

注意: このコマンドを実行するには、「ユーザー・マネージャ」管理ロールとセキュリティ管理者管理ロールを持つ管理者である必要があります。

-opamPassword <OPAM user password>

Oracle Privileged Account Managerのログイン・パスワードを指定します。

-idStoreItResource <ID Store IT resource name>

アイデンティティ・ストア内のITリソースの名前を指定します。

-ctxFactory <Initial context factory>

コンテキスト・ファクトリの名前(通常はweblogic.jndi.WLInitialContextFactory)を指定します。

-help

オプションです。このコマンドの使用オプションが表示されます。

注意:

誤ってパラメータを省略した場合は、指定するように求められます。

opamSetupスクリプトは、次のタスクを実行します。

1. opamServer、opamPort、opamUserおよびopamPassword設定スクリプト・パラメータを使用してOracle Privileged Account ManagerのITリソースを作成します。

2. Oracle Identity ManagerカタログにOPAM_TAGSという名前のUDF列を作成します。

3. 次の特性を備えたOracle Privileged Account Manager同期化スケジュール済ジョブを作成します。

- 名前: Oracle Privileged Account Managerカタログ同期化ジョブ。この名前のジョブがすでに存在する場合は、ジョブ名にa -1、a -2が順に追加されます。

- スケジュール・タイプ: 15分ごとに周期的に実行されます。

- OPAMServerIdStoreItResource: 設定スクリプトのidStoreItResourceパラメータ。

- OpamServerItResource: 設定スクリプトのopamItResourceパラメータ。

4. OIM.OPAM.Integrationシステム・プロパティを作成し(まだ存在していない場合)、trueに設定します。

これらのタスクのいずれかが失敗すると、スクリプトにより、次のタスクが自動的に実行されます。

8.1.5 OPAM_TAGS UDFの作成

Oracle Privileged Account ManagerとOracle Identity Managerとの統合環境を設定したら、OPAM_TAGSユーザー定義フィールド(UDF)をOracle Identity Managerカタログに手動で作成する必要があります。OPAM_TAGS UDFを使用すると、Oracle Privileged Account ManagerでOracle Identity Managerカタログを検索できます。次の手順は、UDF作成のUIカスタマイズ部分です。

OPAM_TAGS UDFを手動で作成するには、次の手順を実行します。

1. Oracle Identity Manager管理コンソールを開き、Oracle Identity System Administrationにログインします。

2. サンドボックスを作成してアクティブ化します。

注意:

サンドボックスの作成およびアクティブ化の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する項を参照してください。

3. 左ペインの「構成」で、「フォーム・デザイナ」をクリックします。

4. 「フォーム・デザイナ」ページが表示されたら、カタログ・フォームを特定して開きます。

5. 「検索フォーム」領域で、タイプをカタログに設定し、「検索」をクリックします。

6. 「検索結果」表でカタログ・フォームを選択し、「カタログの管理」ページを開きます。

7. 「カスタム・フィールドの作成」アイコンをクリックします。

8. 「フィールド・タイプの選択」ダイアログ・ボックスが表示されたら、「テキスト」フィールドを選択してテキスト・フィールドを作成します。「OK」をクリックします。

9. カスタム・フィールドを作成するためのページが表示されたら、次の設定を指定します。

- 「外観」セクション: 「表示ラベル」フィールドにOPAM tagsと入力します。

- 「名前」セクション: 「名前」フィールドにOPAM_TAGSと入力し、「説明」フィールドにOPAM metadata tagsと入力します。

- 「制約」セクション: 「検索可能」ボックスを選択します。

- 「最大長」: 256と入力します。

- 「デフォルト値」セクション: このフィールドは空白のままにしておきます。

- 「拡張」セクション: いずれもプロパティ・ボックスも選択しないでください。

10. 「保存して閉じる」をクリックし、UDFがカスタム・フィールド表に表示されることを確認します。

11. 「サンドボックスの管理」タブを選択し、「サンドボックスの公開」をクリックします。

注意:

サンドボックスの公開の詳しい手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する項を参照してください。

8.1.6 Oracle Privileged Account Managerのメタデータによるカタログ・エントリのタグ付け

opamSetupスクリプトで作成されたOracle Privileged Account Managerカタログ同期化ジョブにより、カタログ・エントリがOracle Privileged Account Managerのメタデータでタグ付けされます。このジョブは15分ごとに自動的に実行されます。

次回のジョブの開始まで待機せずに、ジョブをただちに実行する必要がある場合は、Oracle Identity Manager管理コンソールから次の手順を手動で実行できます。

1. 「スケジューラ」をクリックします。

2. 新しい画面が表示されたら、OPAM Catalog Synchronizationジョブを見つけて選択します。

3. 「即時実行」をクリックします。

4. ジョブが終了したら、「リフレッシュ」をクリックします。

5. ジョブが正常に実行されたことを確認するには、「ジョブ履歴」ビューを確認します。

注意:

新しいターゲットまたはアカウントをOracle Privileged Account Managerに追加した場合は、Oracle Privileged Account Managerカタログ同期化ジョブを再度実行する必要があります。

8.2 Oracle Access Management Access Managerとの統合

この項では、Oracle Access Management Access Manager (Access Manager)によるOracle Privileged Account Managerとの統合方法について説明します。この統合シナリオを使用すると、Webゲート・エージェントを利用するAccess ManagerによってOracle Privileged Account Managerを保護できます。

この項の内容は次のとおりです。

- 前提作業

- シングル・サインオンの有効化

8.2.1 前提作業

第8.2.2項「シングル・サインオンの有効化」に説明されている手順を開始する前に、次のことに注意してください。

- この手順は、Oracle Internet Directoryをアイデンティティ・ストアとして構成していることを前提としますが、他のコンポーネント構成も可能です。サポートされている構成の詳細は、Oracle Technology Networkにあるシステム要件と動作保証情報のドキュメントを参照してください。

- また、この手順では、Access Managerを使用してURLを保護する特定の例について説明します。記述されている内容はこのタイプの構成に一般的な方法ですが、ここで説明されているものと完全に同じ手順およびコンポーネントを使用しなくてもかまいません。たとえば、Oracle Internet Directoryは、Access Manager 11gに対して動作保証されているいくつかのアイデンティティ・ストアの1つです。

- Oracle Adaptive Access ManagerをAccess Managerでの認証オプションとして使用できます。Oracle Adaptive Access Managerでは、Oracle Privileged Account Managerのレイヤー化セキュリティを実現するために使用できる厳密認証およびリスクベース認可が提供されます。
Oracle Privileged Account ManagerでOracle Adaptive Access Managerを有効にするには、Oracle Privileged Account Managerを保護するWebゲートの認証オプションとしてAccess Managerを選択します。

- Oracle Privileged Account ManagerとともにOracle Identity Navigatorをデプロイし、Oracle Identity NavigatorをOracle Privileged Account Managerのユーザー・インタフェースとして使用している場合、シングル・サインオンを有効にしながらAccess ManagerによってOracle Identity Navigatorを保護することもできます。
手順については、Oracle Fusion Middleware Oracle Identity Management Suite統合ガイドのOracle Identity Navigatorとの統合に関する項を参照してください。

- Oracle Privileged Account Managerは、ドメイン・エージェントによってデフォルトで保護されます。

8.2.2 シングル・サインオンの有効化

デフォルトでは、Access Manager 11gエージェントによって、Oracle Privileged Account Managerおよび次のアイデンティティ管理コンソールにシングル・サインオン機能が提供されます。

- Oracle Identity Manager

- Access Manager

- Oracle Adaptive Access Manager

- Oracle Authorization Policy Manager

- Oracle Identity Navigator

Access Managerエージェントが保護できるのは、単一のドメイン内のコンソールのみです。ご使用の環境が複数のドメインにまたがる場合、Oracle HTTP Server 11gにAccess Manager 11g WebGateを使用できます。Webゲートベースのシングル・サインオンのためにOracle Privileged Account Managerを構成する方法は、Oracle Identity Navigatorを構成する方法と同じです。Oracle Fusion Middleware Oracle Identity Management Suite統合ガイドのOracle Identity Navigatorとの統合に関する項を参照してください。

Access Managerで、任意のAccess Manager認証スキームをチャレンジ・メソッドとして使用して、Oracle Privileged Account Managerのユーザー・インタフェース用にシングル・サインオンを有効にできます。

前提条件を次に示します。

- Oracle HTTP Serverがインストールされています。
Oracle HTTP Serverのインストール時に、「Oracle Web Cache」およびWebLogicドメイン(またはWebSphere Cell)に関連付けられている選択済のコンポーネントの選択を解除します。

- Access Manager 11gが適切にインストールされ、構成されています。

- Oracle HTTP Server 11gがOracle Privileged Account ManagerのフロントエンドのプロキシWebサーバーとしてインストールされ、構成されています。

- Oracle HTTP Server 11g用のAccess Manager 11g WebGateがOracle HTTP Server 11g上にインストールされています。

関連項目:

リストされているコンポーネントのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』を参照してください。

Oracle Privileged Account Managerでシングル・サインオンを有効にする手順の概要は、次のとおりです。

1. Access Manager管理コンソールを使用して、Oracle Privileged Account ManagerのURLを保護するエージェント用に新しいリソースを構成します。詳細は、第8.2.2.1項「エージェント用の新しいリソースの構成」を参照してください。

2. 構成済のリソースおよびポリシーを持つAccess Managerドメインを指すように、Oracle HTTP Serverを構成します。詳細は、第8.2.2.2項「Access Managerドメイン用のOracle HTTP Serverの構成」を参照してください。

3. 管理コンソールを使用して、2つの新しいアイデンティティ・プロバイダ、つまりAccess Manager Identity AsserterおよびOracle Internet Directory Authenticatorを追加します。詳細は、第8.2.2.3項「新しいアイデンティティ・プロバイダの追加」を参照してください。

4. WLSTコマンドを使用して、ブラウザ・セッションで複数のタブを使用する複数のアプリケーションに対するアクセスを有効にします。詳細は、第8.2.2.4項「複数のアプリケーションに対するアクセスの構成」を参照してください。

8.2.2.1 エージェント用の新しいリソースの構成

Access Manager管理コンソールで次の手順を実行します。

1. 「ポリシー構成」タブを選択します。

2. 「アプリケーション・ドメイン」で、Oracle Privileged Account ManagerのURLを保護するエージェントを選択します(たとえば、-OIMDomain)。

3. 「リソース」を選択し、作成アイコンをクリックして新しいリソースを追加します。タイプ、ホスト識別子および値(/oinav/…/*)を入力し、「適用」ボタンをクリックします。

4. 保護付きポリシー、または認証スキーマがLDAPスキーマであるポリシーを選択します。リソース表の「追加」アイコンをクリックし、ドロップダウン・リストからOracle Privileged Account ManagerのURL (/oinav/…/*)を選択します。

5. 認可ポリシーについて、手順を繰り返します。

8.2.2.2 Access Managerドメイン用のOracle HTTP Serverの構成

Oracle HTTP Serverが、Oracle Privileged Account ManagerがインストールされているOracle WebLogic Serverコンテナのフロントエンドとなるように、次の手順を実行します。

1. Oracle HTTP Serverのサーバーconfigディレクトリ(たとえば、/scratch/mydir1/oracle/product/11.1.1/as_1/instances/instance1/config/OHS/ohs1)にナビゲートし、mod_wl_ohs.confファイルを見つけます。

2. <IfModule mod_weblogic.c>ブロックに、保護するOracle Privileged Account Manager URLのホストおよびポート番号を追加します。例:

MatchExpression /oinav* WebLogicHost=host WebLogicPort=port

3. OHSインストールのbinディレクトリ(たとえば、/scratch/mydir1/oracle/product/11.1.1/as_1/instances/instance1/bin)で、次のコマンドを実行することによってOracle HTTP Serverサーバーを再起動します。

-./opmnctl restartproc ias=component=ohs1

8.2.2.3 新しいアイデンティティ・プロバイダの追加

2つの新しいアイデンティティ・プロバイダを追加するには、次の手順を実行します。

1. 管理コンソールを使用して、「セキュリティ・レルム」→「myrealm」→「プロバイダ」にナビゲートします。

2. Access Manager Identity AsserterおよびOracle Internet Directory Authenticatorという2つのプロバイダを追加します。

3. Access Manager Identity Asserterの「制御フラグ」をRequiredに設定します。

4. Oracle Internet Directory Authenticatorで次の設定を更新します。

- 「制御フラグ」をSufficientに設定します。

- 「プロバイダ固有」タブを選択し、必要な変更を加えてOracle Internet Directoryサーバーのホスト、ポートおよびその他の資格証明を指定します。Oracle Internet Directory AuthenticatorでLDAP設定を適切に構成します。

LDAPのユーザーおよびグループがコンソールに反映されます。

5. 次のようにプロバイダの順番を変更します。

1. Access Manager Identity Asserter

2. 認証プロバイダ

3. デフォルトの認証プロバイダ

4. デフォルトのIDアサーション・プロバイダ

6. Oracle WebLogic Serverを再起動します。

7. Oracle HTTP Serverインストールのホストおよびポートを含む、保護されたOracle Privileged Account Manager URLを入力します。

http://OHSHost:OHSPort/oinav/faces/idmNag.jspx

8.2.2.4 複数のアプリケーションに対するアクセスの構成

シングル・サインオン保護が11g Access Managerサーバーによって提供される場合、次の手順が適用されます。次の手順を実行して、FORMキャッシュ・モードに変更することで、単一のブラウザ・セッションで複数のタブを使用するアプリケーションに対するアクセスを構成します。

1. Access Manager管理対象サーバーを停止します。

2. 次のオンラインAccess Manager WLSTコマンドを実行します。

configRequestCacheType(type='FORM')

3. Access Manager管理対象サーバーを再起動します。

8.3 資格証明ストア・フレームワークとの統合

この項では、Oracle Privileged Account Managerと資格証明ストア・フレームワーク(CSF)との統合方法について説明します。

内容は次のとおりです。

- Oracle Privileged Account Manager管理のCSF資格証明の理解

- プロビジョニング

- ライフサイクル管理

- アプリケーション負荷

8.3.1 Oracle Privileged Account Manager管理のCSF資格証明の理解

資格証明ストア・フレームワーク(CSF)は、主に資格証明にセキュアな格納場所を提供するOPSSコンポーネントです。たとえば、CSFは、多くのアプリケーションでアプリケーション資格証明を格納するためのメカニズムとして使用されます。

Oracle Privileged Account Managerによって、管理者は、アカウント資格証明を保護、共有、監査および管理の対象として識別できます。また、Oracle Privileged Account Managerでは、定期的なパスワード変更などのアカウント・ライフサイクル管理アクティビティがサポートされます。

多くのアプリケーション開発者がCSFを使用して必要なターゲット(RDBMSやLDAPなど)のアプリケーション資格証明を格納していますが、CSFの使用方法については、次のように改善が可能ないくつかの側面があります。

- CSFに資格証明を格納するアプリケーションでは、それらの資格証明を共有することは想定されていません。そのため、CSFの特定のインスタンスは、同じ資格証明に対する複数の参照を保持できます。たとえば、複数のアプリケーションが、同じ物理資格証明に依存しながら、複数の論理参照を保持していることがあります。

- コンプライアンスおよび内部ITポリシー要件を満たすには、定期的にアプリケーション資格証明を変更することが必要です。ただし、ターゲット上の資格証明を変更し、その後にCSF参照を変更することは、手動タスクのままであるため、CSFの同じ資格証明に対して複数の参照が存在する可能性があることを考えると、これは非常に複雑な作業です。つまり、管理者は、ターゲット上のパスワードまたは資格証明を変更してから、CSFのそのパスワードに対するすべての参照を手動で更新する必要があります。
Oracle Privileged Account Managerでは、このプロセスを自動化できますが、資格証明の定期的な変更の自動化は、正確にトレースできない複数の参照が存在する可能性によって、同じように複雑になります。

Oracle Privileged Account Managerは、そのアカウント・ライフサイクル管理機能を利用して、CSFに格納されているアプリケーション資格証明のライフサイクル管理を支援します。

8.3.2 プロビジョニング

Oracle Privileged Account Managerで特定のアカウント資格証明を管理することに決定したら、Oracle Privileged Account Managerを通じてその資格証明をプロビジョニングする必要があります。次の図では、このプロビジョニング・プロセスを示します。

図8-2 Oracle Privileged Account Managerのプロビジョニング・プロセス

管理者の作業は次のとおりです。

1. Oracle Privileged Account Managerターゲットを追加します(必要な場合)。

2. Oracle Privileged Account Managerの特権アカウントまたは資格証明をターゲットに追加します(ターゲットには必要なCSFマッピングが含まれている必要があります)。

注意:

CSFマッピングは、CSF内で特定の資格証明インスタンスを一意に識別するためのメカニズムです。

Oracle Privileged Account Managerサーバーは、特権アカウントのその表現とともに、CSFマッピングを格納します。Oracle Privileged Account Managerサーバーによって、指定されたマッピングに対応するCSFに資格証明のインスタンスが作成されます。

図8-3 Oracle Privileged Account ManagerでのCSFの使用方法

8.3.3 ライフサイクル管理

第8.3.2項「プロビジョニング」の説明に従ってプロビジョニングしたアカウントには、パスワード構成や定期的な変更の要件などを制御するパスワード・ポリシーを関連付けることができます。

Oracle Privileged Account Managerは、通常、ポリシーに準拠してアクションを実行します。ただし、管理者が、関連するCSFマッピングを持つアカウント資格証明を変更すると、Oracle Privileged Account Managerによって、CSFに格納されている、そのマッピングを持つ資格証明インスタンスも更新されます(図8-3)。この更新によって、すべての関連ユーザーが最新の資格証明にアクセスし、定期的な変更などのパスワード・ライフサイクル・イベントをシームレスに管理できるようになります。

8.3.4 アプリケーション負荷

Oracle Privileged Account Managerを使用してアプリケーションの資格証明を管理する場合、そのアプリケーションに追加の負荷は発生しません。発生する唯一のプロセス変更は、最初にOracle Privileged Account Managerを通じて資格証明をOracle Privileged Account ManagerおよびCSFにプロビジョニングする必要があることです。

Oracle Privileged Account Managerは、管理者指定のマッピングを使用してCSFに資格証明を送信します(図8-3)。これらのマッピングが変更されない場合、アプリケーションでは、直接CSFを通じて継続的に資格証明にアクセスできます。

第IV部

付録

この部は、次の付録で構成されています。

- コマンドライン・ツールの使用

- Oracle Privileged Account ManagerのRESTfulインタフェースの使用

- Oracle Privileged Account Managerのトラブルシューティング

A コマンドライン・ツールの使用

Oracle Privileged Account Managerコマンドライン・ツールを使用して、Oracle Privileged Account Managerのコンソールから実行する場合と同じ多くのタスクを実行できます。

注意:

また、Oracle Privileged Account ManagerのコンソールやRESTfulインタフェースを使用して、この付録に記載されている数多くのタスクを実行することもできます。

Oracle Privileged Account Managerコマンドライン・ツールのかわりにこれらのインタフェースを使用する場合、その手順は、第5章「Oracle Privileged Account Managerの構成および管理」または付録B「Oracle Privileged Account ManagerのRESTfulインタフェースの使用」を参照してください。

注意:

Oracle Privileged Account Managerコマンドライン・ツールのグローバリゼーション・サポートは、このリリースでは使用できません。コマンドライン・ツールのメッセージとヘルプは、英語でのみ提供されます。

この付録では、コマンドライン・ツールを起動して使用する方法について説明します。この付録の内容は次のとおりです。

注意:

次の項に記載されている説明は、Oracle Privileged Account ManagerをWebLogicとIBM WebSphereのどちらで使用しようとも基本的には同じですが、少々異なる点もいくつかあります。

詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド』のIBM WebSphere上でOracle Privileged Account Managerコマンドライン・ツールとRESTインタフェースを使用する場合の相違点に関する項を参照してください。

- A.1項「コマンドライン・ツールの起動」

- A.2項「Oracle Privileged Account Managerコマンド」

A.1 コマンドライン・ツールの起動

Oracle Privileged Account Managerコマンドライン・ツールを起動するには、次の手順を実行します。

1. コマンド・ウィンドウを開き、ディレクトリをORACLE_HOME/opam/binに変更します。

2. プロンプトから次のコマンドのいずれかを入力します。

- UNIXでは、opam.shと入力します。

- Windowsでは、opam.batと入力します。

コマンドライン・ツールを起動すると、自動的にOracle Privileged Account Managerサーバーに接続されます。

Oracle Privileged Account Managerコマンドライン・ツールをリモート・クライアントから起動するには、-urlオプションに(同じマシン上または異なるマシン上で実行中の) Oracle Privileged Account ManagerサーバーのURLを指定します。

注意:

セキュリティ上の理由から、Oracle Privileged Account ManagerサーバーはSSLトラフィックにのみ応答します。

Oracle Privileged Account Managerコマンドライン・ツール(またはOracle Privileged Account ManagerのWebベース・コンソール)にOracle Privileged Account Managerサーバー・ターゲットを指定する場合、SSLエンドポイントとしてhttps://hostname:sslport/opamを指定する必要があります。

デフォルトでは、WebLogic管理サーバー(Oracle Privileged Account Managerコンソールが実行されているサーバー)は、ポート7002でSSLに応答します(IBM WebSphereの場合は、ポートは8002)。Oracle Privileged Account ManagerサーバーのデフォルトのSSLポートは、WebLogicおよびIBM WebSphereの両方で18102です。WebLogicコンソールを使用して、特定のインスタンスのポートを確認できます。

A.2 Oracle Privileged Account Managerコマンド

この項では、Oracle Privileged Account Managerコマンドライン・ツールで使用できるコマンドについて説明します。

この項の内容は次のとおりです。

- コマンドの発行

- addaccountコマンド

- addpasswordpolicyコマンド

- addtargetコマンド

- addusagepolicyコマンド

- checkinコマンド

- checkoutコマンド

- displayallaccountsコマンド

- displayallgroupsコマンド

- displayalltargetsコマンド

- displayallusersコマンド

- displaycheckedoutaccountsコマンド

- exportコマンド

- filedecryptionコマンド

- getglobalconfigコマンド

- getserverstatusコマンド

- grantgroupaccessコマンド

- grantuseraccessコマンド

- importコマンド

- modifyaccountコマンド

- modifyglobalconfigコマンド

- modifypasswordpolicyコマンド

- modifytargetコマンド

- modifyusagepolicyコマンド

- removeaccountコマンド

- removegroupaccessコマンド

- removepasswordpolicyコマンド

- removetargetコマンド

- removeusagepolicyコマンド

- removeuseraccessコマンド

- resetpasswordコマンド

- resettargetpasswordコマンド

- retrieveaccountコマンド

- retrievegranteesコマンド

- retrievegroupコマンド

- retrievepasswordpolicyコマンド

- retrievetargetコマンド

- retrieveusagepolicyコマンド

- retrieveuserコマンド

- searchaccountコマンド

- searchgroupコマンド

- searchtargetコマンド

- searchuserコマンド

- showpasswordコマンド

- showpasswordhistoryコマンド

- showtargetpasswordコマンド

A.2.1 コマンドの発行

次の構文を使用して、任意のOracle Privileged Account Managerコマンドを発行します。

注意:

コマンドの入力は、次のとおりです。

- UNIXでは、opam.shと入力します。

- Windowsでは、opam.batと入力します。

[-url <url>] -u <username> [-p <password>] [-debug] -x <opam-command>

説明:

オプション

説明

-url <url>

Oracle Privileged Account ManagerサーバーのURLアドレスを指定します。

注意: このオプションでURLを指定しない場合、デフォルトでhttps://hostname:18102/opamになります。

-u <username>

ログイン・ユーザー名を指定します。

-p <password>

ログイン・パスワードを指定します。

-debug

デバッガ・ログを有効化します。

-x <opam-command>

指定したOracle Privileged Account Managerコマンドを実行します。

例:

-url https://hostname:sslport/opam -u <username> [-p <password>] [-debug]
-x checkout -targetname <targetname> -accountname <accountname>

注意:

- Windowsシステムでは、空白を含むパラメータに、一重引用符(')ではなく二重引用符(")を使用する必要があります。次に例を示します。

opam.bat -u sec_admin -p passwd -x showtargetpassword
-targetname "oracle db"

- UNIXシステムでは、空白を含むパラメータに、二重引用符(")または一重引用符(')を使用できます。

A.2.2 addaccountコマンド

特権アカウントを追加するには、addaccountコマンドを使用します。

注意:

Oracle Privileged Account Managerで管理されるサービス・アカウントや特権アカウントと同じアカウントはけっして使用しないでください。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x addaccount <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-targetid <target id>]

オプションです。構成済ターゲットのターゲットGUID値を指定します。

注意: ターゲットを構成すると、Oracle Privileged Account Managerにより、一意のターゲットGUIDが自動的に割り当てられます。詳細は、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

[-targetname <target name>]

オプションです。構成済ターゲットのターゲット名を指定します。

[-password <account password>]

オプションです。アカウント・パスワードのデフォルト値を指定します。

注意: ターゲット・タイプがlockboxの場合は、このフィールドは必須フィールドになります。

[-description <account description>]

オプションです。アカウントの説明を指定します。

-accountname <accountname>

新しいアカウントの名前を指定します。

[-force <true/false>]

オプションです。接続検証の要件を有効化または無効化します。

- true: 接続検証をスキップします。

- false: 接続検証を強制的に実行します。(デフォルト設定)

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

- <targetid>または<targetname>を使用してターゲットを指定します。どちらの値も一意です。

- -passwordを使用してアカウント・パスワードを設定します。

A.2.3 addpasswordpolicyコマンド

パスワード・ポリシーを追加するには、addpasswordpolicyコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x addpasswordpolicy <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-policyname <policy name>

新しいパスワード・ポリシーの名前を指定します。

-policystatus <active/disabled>

パスワード・ポリシーのステータスを指定します。

[-description <policy description>]

オプションです。パスワード・ポリシーの説明を指定します。

[-passwordchangedurationunit <minutes/hours/days>]

オプションです。パスワード期間の単位を指定します。

[-passwordchangedurationvalue <password change duration value>]

オプションです。パスワード期間の値を指定します。

[-changeoncheckin <true/false>]

オプションです。このパスワード・ポリシーを使用してアカウントにチェックインする際にパスワードを変更するかどうかを指定します。

[-changeoncheckout <true/false>]

オプションです。このパスワード・ポリシーを使用してアカウントからチェックアウトする際にパスワードを変更するかどうかを指定します。

[-passwordcharsmin <password minimum chars number>]

オプションです。パスワード・ポリシーの最小文字長制限を指定します。

[-passwordcharsmax <password maximum chars number>]

オプションです。パスワード・ポリシーの最大文字長制限を指定します。

[-passwordalphabeticmin <password minimum alphabetic chars number>]

オプションです。パスワード・ポリシーに必要なアルファベット文字の最小数を指定します。

[-passwordnumericmin <password minimum numeric chars number>]

オプションです。パスワード・ポリシーに必要な数字の最小数を指定します。

[-passwordalphanumericmin <password minimum alphanumeric chars number>]

オプションです。パスワード・ポリシーに必要な英数字の最小数を指定します。

[-passworduniquemin <password minimum unique chars number>]

オプションです。パスワード・ポリシーに必要な一意文字の最小数を指定します。

[-passworduppercasemin <password minimum uppercase chars number>]

オプションです。パスワード・ポリシーに必要な大文字の最小数を指定します。

[-passwordlowercasemin <password minimum lowercase chars number>]

オプションです。パスワード・ポリシーに必要な小文字の最小数を指定します。

[-passwordspecialmin <password minimum special chars number>]

オプションです。パスワード・ポリシーに必要な特殊文字の最小数を指定します。

[-passwordspecialmax <password maximum special chars number>]

オプションです。パスワード・ポリシーに許可されている特殊文字の最大数を指定します。

[-passwordrepeatedmin <password minimum repeated chars number>]

オプションです。パスワード・ポリシーに許可されている繰返し文字の最小数を指定します。

[-passwordrepeatedmax <password maximum repeated chars number>]

オプションです。パスワード・ポリシーに許可されている繰返し文字の最大数を指定します。

[-startingchar <true/false>]

オプションです。生成されたパスワードの最初の文字に数字を使用できるかどうかを指定ます。trueを指定すると、パスワードの最初の文字を数字にできません。

[-isaccountnameallowed <true/false>]

オプションです。生成されたパスワードをアカウント名と同じにできるかどうかを指定します。

[-requiredchars <required chars>]

オプションです。生成されたパスワードに必要な文字を指定します。カンマ(,)記号を使用して文字を区切ります。たとえば、a,b,cのようにします。

[-allowedchars <allowed chars>]

オプションです。生成されたパスワードに許可される文字を指定します。カンマ(,)記号を使用して文字を区切ります。たとえば、a,b,cのようにします。

[-disallowedchars <disallowed chars>]

オプションです。生成されたパスワードに許可されていない文字を指定します。カンマ(,)記号を使用して文字を区切ります。たとえば、a,b,cのようにします。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.4 addtargetコマンド

ターゲットを追加するにはaddtargetコマンドを使用します。

コマンド構文:

[[-url <url>] -u <username> [-p <password>] [-debug] -x addtarget <options>

Oracle Privileged Account Managerでは、複数のターゲット・タイプがサポートされるため、それぞれに必要なパラメータは異なる可能性があります。addtargetコマンドを実行する前に、実行時にこれらのパラメータを見つけておく必要があります。

次に例を示します。

- サポートされるターゲット・タイプのリストを表示するには、次のコマンドを実行します。

sh opam.sh –url <OPAM url> -u <security admin user>
-p <security admin user password> -x addtarget –help

たとえば、https://hostname:sslport/opamがOracle Privileged Account ManagerサーバーのURLである場合、次のコマンドを実行します。

sh opam.sh -url https://hostname:sslport/opam -u sec_admin -p welcome1
-x addtarget -help

- 指定したターゲット・タイプの必須属性およびオプション属性のリストを表示するには、次のコマンドを実行します。

sh opam.sh –url <OPAM url> -u <security admin user>
-p <security admin user password> -x addtarget
–targettype <any supported target type> –help

たとえば、Oracle Privileged Account ManagerサーバーのURLがhttps://hostname:sslport/opamで、LDAPターゲット・タイプの属性のリストを表示するには、次のコマンドを実行します。

sh opam.sh -url https://hostname:sslport/opam -u sec_admin -p welcome1
-x addtarget -targettype ldap -help

次の表では、LDAPターゲットに必要なパラメータおよびこのコマンドで使用できるオプションについて説明します。

注意:

value1|value2|...という書式ですべての複数値属性を指定する必要があります。

オプション

説明

-targetname <targetname>

ターゲットの名前を指定します。

-targettype <ldap | unix | database> <type-specific attributes>

ターゲット・タイプを指定し、タイプ固有の任意の属性を指定します。

-domain <domain>

ドメイン名を指定します。

-host <host>

ホスト名を入力します。

-port <port>

LDAPサーバーとの通信に使用するTCP/IPポート番号を指定します。

-ssl <ssl>

オプションです。SSLを使用してLDAPサーバーに接続する場合に指定します。

-principal <principal>

LDAPサーバーに対する認証に使用する識別名を指定します。

-credentials <credentials>

プリンシパルのパスワードを指定します。

-baseContexts <baseContexts> [Multi-Valued]

LDAPツリーを検索する場合に使用するツリー内の1つ以上の開始点を指定します。

検索が実行されるのは、LDAPサーバーからユーザーを検出する場合、またはユーザーがメンバーに含まれるグループを検索する場合です。

-accountNameAttribute <accountNameAttribute>

アカウントのユーザー名を保持する属性を指定します。

[-description <description>]

オプションです。ターゲットの説明を指定します。

[-organization <organization>]

オプションです。組織名を入力します。

[-uidAttribute <uidAttribute>]

オプションです。UID属性にマップされるLDAP属性の名前を指定します。(デフォルトはuid)

[-accountSearchFilter <accountSearchFilter>]

オプションです。LDAPリソースから返されるアカウントを制御するためのLDAPフィルタを指定します。

フィルタを指定しない場合、指定したすべてのオブジェクト・クラスを含むアカウントのみが返されます。(デフォルトは(uid=*))

[-passwordAttribute <passwordAttribute>]

オプションです。パスワードを保持するLDAP属性の名前を指定します。

ユーザーのパスワードを変更すると、Oracle Privileged Account Managerによってこの属性に新しいパスワードが設定されます。(デフォルトはuserpassword)

[-accountObjectClasses <accountObjectClasses>] [Multi-Valued]

オプションです。LDAPツリーに新しいユーザー・オブジェクトを作成する場合に使用する1つ以上のオブジェクト・クラスを指定します。

複数のオブジェクト・クラスを入力する場合、各エントリはそれぞれ個別の行に配置するようにし、カンマやセミコロンを使用して複数のオブジェクト・クラスを区切らないでください。

一部のオブジェクト・クラスでは、クラス階層内のすべてのオブジェクト・クラスを指定する必要があります。(デフォルトは"top|person|organizationalPerson|inetOrgPerson")

[-force <true/false>]

オプションです。接続検証の要件を有効化または無効化します。

- true: 接続検証をスキップします。

- false: 接続検証を強制的に実行します。(デフォルト設定)

A.2.5 addusagepolicyコマンド

使用ポリシーを追加するには、addusagepolicyコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x addusagepolicy <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-policyname <policy name>

新しい使用ポリシーの名前を指定します。

-policystatus <active/disabled>

使用ポリシーのステータスを指定します。

[-description <policy description>]

オプションです。使用ポリシーの説明を指定します。

-dateorduration <date/duration>

日付または期間に基づいて有効期限を設定します。

[-expireddateminutesfromcheckout <minutes to expiration>]

オプションです。有効期限までの期間を分単位で指定します。この使用ポリシーを持つチェックアウト済アカウントが指定の期間を超えている場合は、Oracle Privileged Account Managerにより、そのアカウントに自動的にチェックインされます。

注意: -dateorduration属性にdurationを指定した場合に、このフィールドは必須フィールドになります。

[-expireddate <expiration date>]

オプションです。有効期限日を指定します。この使用ポリシーを持つアカウントがこの有効期限日を過ぎていない場合は、Oracle Privileged Account Managerにより、そのアカウントに自動的にチェックインされます。

注意: -dateorduration属性にdateを指定した場合に、このフィールドは必須フィールドになります。

アクセスが有効期限日の何時に失効するのかを指定するには、次の3つのオプションを使用します。

- [-expireddatehour <expiration hour in expire time>]

- [-expireddateminutes <expiration minutes in expire time>]

- [-expireddateamorpm <am/pm>]

注意: -dateorduration属性にdateを指定した場合に、これらのフィールドは必須フィールドになります。

- オプションです。時間を指定します。たとえば、有効期限が5:00の場合は、5を指定します。

- オプションです。分を指定します。たとえば、有効期限が5:30の場合は、30を指定します。

- オプションです。有効期限が午前または午後なのかを指定します。

-timezone <time zone>]

タイムゾーン・リージョンを含めて、使用ポリシーのタイムゾーンを指定します。

たとえば、(GMT -6:00) America/Chicagoのように指定します。

-usagedates <dates information of usage policy>]

パイプ(|)記号を使用して曜日を区切り、コロン(:)記号を使用して時刻を区切ることにより、ポリシーの使用日情報を指定します。

たとえば、monday:12:0:am:12:0:am|tuesday:1:15:am:2:35:pmのように指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.6 checkinコマンド

特権アカウントをチェックインするには、checkinコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x checkin <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-accountid <account id>]

オプションです。チェックインするアカウントを指定します。

([-accountname <account name>] and [-targetname <target name>])

オプションです。チェックインするアカウントを指定します。

注意: (<accountname>および<targetname>)の組合せにより、特定のアカウントの指定に使用できる一意のペアは作成されます。

[-force <true/false>]

オプションです。特権アカウントに強制的にチェックインする機能を有効化または無効化します。

強制的チェックインを使用すると、「ユーザー・マネージャ」管理ロールを持つ管理者は、他のユーザーによってチェックアウトされた特権アカウントをチェックインできます。

- true: 強制的チェックインを有効化します。

- false: 強制的チェックインを無効化します。

[-userid <userid>]

オプションです。強制的にチェックインされるユーザーを指定します。

Oracle Privileged Account Managerでは、複数のユーザーがアカウントから同時にチェックアウトできます。useridを指定することにより、強制的チェックインが指定のユーザーにのみ適用されます。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

アカウントを指定するには、<accountid>または (<accountname>および<targetname>)の組せを使用します。

A.2.7 checkoutコマンド

特権アカウントからチェックアウトするには、checkoutコマンドを使用します。

注意:

checkout操作でも使用するパスワードが提供されます。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x checkout <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-accountid <account id>]

オプションです。チェックアウトするアカウントを指定します。

([-accountname <account name>] and [-targetname <target name>])

オプションです。チェックアウトするアカウントを指定します。

注意: (<accountname>および<targetname>)の組合せにより、特定のアカウントの指定に使用できる一意のペアは作成されます。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

アカウントを指定するには、<accountid>または(<accountname>および<targetname>)のいずれかを使用します。

A.2.8 displayallaccountsコマンド

すべてのアカウントのリストを表示するには、displayallaccountsコマンドを使用します。

注意:

このコマンドを正常に実行するには、「ユーザー・マネージャ」管理ロールまたはセキュリティ管理者管理ロールを持つ管理者である必要があります。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x displayallaccounts <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.9 displayallgroupsコマンド

すべてのグループのリストを表示するには、displayallgroupsコマンドを使用します。

注意:

このコマンドを正常に実行するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x displayallgroups <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.10 displayalltargetsコマンド

すべてのターゲットのリストを表示するには、displayalltargetsコマンドを使用します。

注意:

このコマンドを正常に実行するには、「ユーザー・マネージャ」管理ロール、セキュリティ管理者管理ロールまたは「セキュリティ監査者」管理ロールを持つ管理者である必要があります。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x displayalltargets <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.11 displayallusersコマンド

すべてのユーザーのリストを表示するには、displayallusersコマンドを使用します。

注意:

このコマンドを正常に実行するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x displayallusers <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.12 displaycheckedoutaccountsコマンド

ユーザーのチェックアウト済アカウントのリストを表示するには、displaycheckedoutaccountsコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x displaycheckedoutaccounts <options>

表示される結果には、リストの最後にcountパラメータが含まれており、チェックアウト済アカウントの数を示します。

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.13 exportコマンド

ターゲットやアカウントなどの、Oracle Privileged Account Managerに格納されているデータをXML書式にエクスポートするには、exportコマンドを使用します。このオプションおよびimportコマンドは、次の操作を実行する場合に役立ちます。

- ターゲット、アカウント、ポリシーおよび権限付与の作成、変更および削除を含む、大量データの問合せやロードなどのバルク操作

- Oracle Privileged Account ManagerのデータをXMLに周期的にバックアップするなどの、バックアップおよびリカバリ操作

- Oracle Privileged Account Managerのあるインスタンスからデータをエクスポートし、別のインスタンスにインポートするなどの移行操作

注意:

これらのコマンドを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

exportコマンドは、ターゲット、アカウント、ポリシーおよび権限付与などのすべてのOracle Privileged Account Managerデータをエクスポートします。

注意:

アカウントのエクスポートでは、そのアカウントのパスワードもエクスポートされます。セキュリティを追加で実現するために、-encpasswordオプションおよび-enckeylenオプションを使用して、暗号化形式でパスワードをエクスポートできます。

インポート操作時の復号化でその同一のパスワードを指定する必要があるため、暗号化パスワードおよび暗号化鍵長を必ず書き留めておいてください。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x export <options>

次の表では、exportコマンドで使用できるオプションについて説明します。

オプション

説明

-f <export file>

エクスポート・ファイル名を指定します。

[-encpassword <encryption password>]

オプションです。アカウント・パスワードをエクスポート・ファイルに暗号化する際に使用するパスワードを指定します。

[-enckeylen <key length for password encryption>]

オプションです。パスワードの暗号化または復号化用の最小鍵長を指定します。(デフォルトは128ビット)

[-log <log file location>]

オプションです。ログ・ファイルのファイル名および場所を指定します。(デフォルトはopamlog_<timestamp>.txt)

[-noencrypt <true/false>]

オプションです。暗号化パスワードを指定するかどうかを指定します。(デフォルトはfalse)

- true: 暗号化パスワードをスキップし、出力ファイルをクリアテキストでエクスポートします。

- false: 暗号化パスワードを使用して出力ファイルを暗号化します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

エクスポート・ファイルのXMLスキーマは、次のファイルに存在します。

ORACLE_HOME/opam/jlib/OPAMBulkTool.xsd

次の例は、Oracle Privileged Account Manager要素のサンプルのXML定義を示しています。

例A-1 Oracle Privileged Account Manager要素のサンプルのXML定義

<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<OPAMData xmlns="http://www.example.org/OPAMBulkTool"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.example.org/OPAMBulkTool OPAMBulkTool.xsd">
<usagepolicy>
<name value="Accounting Usage Policy"/>
<status value="active"/>
<description value="My Usage Policy"/>
<globaldefault value="n"/>
<dateorduration value="duration"/>
<expiremin value="30"/>
<expiredate value="08/08/2088"/>
<expiretime value="11:30am"/>
<timezone value="America/Los_Angeles"/>
<usagedays>
<day fromtime="12:0am" totime="12:0am" value="monday"/>
<day fromtime="12:0am" totime="12:0am" value="tuesday"/>

<day fromtime="12:0am" totime="12:0am" value="wednesday"/>
<day fromtime="12:0am" totime="12:0am" value="thursday"/>
<day fromtime="12:0am" totime="12:0am" value="friday"/>
<day fromtime="12:0am" totime="12:0am" value="saturday"/>
<day fromtime="12:0am" totime="12:0am" value="sunday"/>
</usagedays>
</usagepolicy>
<passwordpolicy>
<name value="Accounting Password Policy"/>
<status value="active"/>
<description value=""/>
<globaldefault value="n"/>
<changepassevery value="30-days"/>
<changepasscheckout value="y"/>
<changepasscheckin value="y"/>
<passwordlength max="20" min="8"/>
<minalphabets value="1"/>
<minnumeric value="1"/>
<minalphanumeric value="2"/>
<specialchars max="5" min="1"/>
<repeatedchars max="1" min="0"/>
<minuniquechars value="1"/>
<minuppercasechars value="1"/>
<minlowercasechars value="1"/>
<startwithchar value="n"/>
<accountnameaspass value="n"/>
<passwordhistorydays value="30"/>
</passwordpolicy>
<target>
<type name="database"/>
<name value="AccountsDB"/>
<attributes>
<attributeName name="domain" value="Accounting"/>
<attributeName name="host" value="localhost"/>
<attributeName name="jdbcUrl" value="jdbc:oracle:thin:@dbhost:1521:orcl"/>
<attributeName name="loginUser" value="system"/>
<attributeName name="loginPassword" value="welcome1"/>
<attributeName name="dbType" value="Oracle"/>
<attributeName name="description" value="Accounting Database"/>
<attributeName name="organization" value="Accounting"/>
<attributeName name="connectionProperties" value=""/>
</attributes>
</target>
<account>
<name value="ACCT_DBA"/>
<target name="AccountsDB"/>
<description value="Accounts Database"/>
<passwordpolicy name="Accounting Password Policy"/>
<grantee>
<user name="johndoe usagepolicy="Accounting Usage Policy "/>
<user name="janedoe usagepolicy="Default Usage Policy "/>
</grantee>
<shared value="false"/>
</account>
</OPAMData>

A.2.14 filedecryptionコマンド

暗号化されたOracle Privileged Account Manager構成ファイルを復号化するには、filedecryptionコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x filedecryption
-f <encrypted file> -df <destination file> [-encpassword <decryption password>] <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-f <file with encrypted data>

暗号化されたOracle Privileged Account Manager構成ファイルを指定します。

-df <file to write decrypted data>

復号化されたファイルを書き込む場所を指定します。

[-encpassword <encryption/decryption password>]

オプションです。データを復号化する際に使用するパスワードを指定します。

[-enckeylen <Key length for encryption/decryption password>]

オプションです。パスワードの暗号化または復号化の最小鍵長を指定します。(デフォルトは128ビット)

[-force <true/false>]

オプションです。接続検証の要件を有効化または無効化します。

- true: 接続検証をスキップします。

- false: 接続検証を強制的に実行します。(デフォルト設定)

[-log <log file location>]

オプションです。ログ・ファイルのファイル名および場所を指定します。
(デフォルトは opamlog_<timestamp>.txt)

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.15 getglobalconfigコマンド

OPAM Global Config構成エントリを表示するには、getglobalconfigコマンドを使用します。このエントリを使用すると、各種のOracle Privileged Account Managerサーバー・プロパティへのアクセスや管理ができます。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x getglobalconfig <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

サーバー・プロパティを変更するには、modifyglobalconfigコマンドを使用します。詳細は、「modifyglobalconfigコマンド」を参照してください。

A.2.16 getserverstatusコマンド

Oracle Privileged Account Managerインスタンスのステータスを取得するには、getserverstatusコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x getserverstatus <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.17 grantgroupaccessコマンド

特権アカウントに対するアクセス権をグループに付与するには、grantgroupaccessコマンドを使用します。

[-url <url>] -u <username> [-p <password>] [-debug] -x grantgroupaccess <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-accountid <account id>]

オプションです。グループにアクセス権を付与するアカウントを指定します。

([-accountname <account name>] and [-targetname <target name>])

オプションです。グループにアクセス権を付与するアカウントを指定します。

注意: (<accountname>および<targetname>)の組合せにより、特定のアカウントの指定に使用できる一意のペアは作成されます。

-groupname <group name>

アクセス権を付与するグループを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

アカウントを指定するには、<accountid>または(<accountname>および<targetname>)のいずれかを使用します。

A.2.18 grantuseraccessコマンド

特権アカウントに対するアクセス権をユーザーに付与するには、grantuseraccessコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x grantuseraccess <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-accountid <account id>]

オプションです。ユーザーにアクセス権を付与するアカウントを指定します。

([-accountname <account name>] and [-targetname <target name>])

オプションです。ユーザーにアクセス権を付与するアカウントを指定します。

注意: (<accountname>および<targetname>)の組合せにより、特定のアカウントの指定に使用できる一意のペアは作成されます。

-userid <user id>

アクセス権を付与するユーザーを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

アカウントを指定するには、<accountid>または(<accountname>および<targetname>)のいずれかを使用します。

A.2.19 importコマンド

XMLファイルからOracle Privileged Account Managerにデータをインポートするには、importコマンドを使用します。このオプションおよびexportコマンドは、次の操作を実行する場合に役立ちます。

- ターゲット、アカウント、ポリシーおよび権限付与の作成、変更および削除を含む、大量データの問合せやロードなどのバルク操作

- Oracle Privileged Account ManagerのデータをXMLに周期的にバックアップするなどの、バックアップおよびリカバリ操作

- Oracle Privileged Account Managerのあるインスタンスからデータをエクスポートし、別のインスタンスにインポートするなどの移行操作

注意:

これらのコマンドを使用するには、セキュリティ管理者管理ロールと「ユーザー・マネージャ」管理ロールの両方を持つ管理者である必要があります。

アカウント・ステータスがチェックインされている場合は、Oracle Privileged Account Managerにデータをインポートする際にステータスを指定する必要はありません。

インポートXMLファイルは、以前にエクスポートしたデータから作成したり、手動で作成できます。以前に暗号化パスワードを使用してXMLファイルをエクスポートした場合は、インポート時に復号化のために同じパスワードを指定する必要があります。

オブジェクトの作成に加え、importコマンドを使用してオブジェクトを更新したり削除することもできます。詳細は、リファレンスを参照してください。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x import <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-f <import file>

インポート・ファイルの名前を指定します。

[-encpassword <encryption password>]

オプションです。エクスポート・ファイルのアカウント・パスワードを復号化する際に使用するパスワードを指定します。

[-enckeylen <key length for password encryption>]

オプションです。パスワードの暗号化または復号化の最小鍵長を指定します。(デフォルトは128ビット)

[-force <true/false>]

オプションです。接続検証の要件を有効化または無効化します。

- true: 接続検証をスキップします。

- false: 接続検証を強制的に実行します。(デフォルト設定)

[-log <log file location>]

オプションです。ログ・ファイルのファイル名および場所を指定します。(デフォルトはopamlog_<timestamp>.txt)

[-noencrypt <true/false>]

オプションです。インポートされたファイルを復号化するかどうかを指定します。(デフォルトはfalse)

- true: 暗号化パスワードをスキップします。ファイルはクリアテキストでインポートされます。

- false: 暗号化パスワードを使用してインポート・ファイルを復号化し、復号化されたデータをシステムにロードします。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

インポート・ファイルのXMLスキーマは、次のファイルに存在します。

ORACLE_HOME/opam/jlib/OPAMBulkTool.xsd

次の例は、Oracle Privileged Account Manager要素のサンプルのXML定義を示しています。

例A-2 データの作成

<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<OPAMData xmlns=http://www.example.org/OPAMBulkTool
xmlns:xsi=http://www.w3.org/2001/XMLSchema-instance
xsi:schemaLocation="http://www.example.org/OPAMBulkTool OPAMBulkTool.xsd">
<usagepolicy>
<name value="Accounting Usage Policy"/>
<status value="active"/>
<description value="My Usage Policy"/>
<globaldefault value="n"/>
<dateorduration value="duration"/>
<expiremin value="30"/>
<expiredate value="08/08/2088"/>
<expiretime value="11:30am"/>
<timezone value="America/Los_Angeles"/>
<usagedays>
<day fromtime="12:0am" totime="12:0am" value="monday"/>
<day fromtime="12:0am" totime="12:0am" value="tuesday"/>
<day fromtime="12:0am" totime="12:0am" value="wednesday"/>
<day fromtime="12:0am" totime="12:0am" value="thursday"/>
<day fromtime="12:0am" totime="12:0am" value="friday"/>
<day fromtime="12:0am" totime="12:0am" value="saturday"/>
<day fromtime="12:0am" totime="12:0am" value="sunday"/>
</usagedays>
</usagepolicy>
<passwordpolicy>
<name value="Accounting Password Policy"/>
<status value="active"/>
<description value=""/>
<globaldefault value="n"/>
<changepassevery value="30-days"/>
<changepasscheckout value="y"/>
<changepasscheckin value="y"/>
<passwordlength max="20" min="8"/>
<minalphabets value="1"/>
<minnumeric value="1"/>
<minalphanumeric value="2"/>
<specialchars max="5" min="1"/>
<repeatedchars max="1" min="0"/>
<minuniquechars value="1"/>
<minuppercasechars value="1"/>
<minlowercasechars value="1"/>
<startwithchar value="n"/>
<accountnameaspass value="n"/>
<passwordhistorydays value="30"/>
</passwordpolicy>
<target>
<type name="database"/>
<name value="AccountsDB"/>
<attributes>
<attributeName name="domain" value="Accounting"/>
<attributeName name="host" value="localhost"/>
<attributeName name="jdbcUrl" value="jdbc:oracle:thin:@dbhost:1521:orcl"/>
<attributeName name="loginUser" value="system"/>
<attributeName name="loginPassword" value="welcome1"/>
<attributeName name="dbType" value="Oracle"/>
<attributeName name="description" value="Accounting Database"/>
<attributeName name="organization" value="Accounting"/>
<attributeName name="connectionProperties" value=""/>
</attributes>
</target>
<account>
<name value="ACCT_DBA"/>
<target name="AccountsDB"/>
<description value="Accounts Database"/>
<passwordpolicy name="Accounting Password Policy"/>
<grantee>
<user name="johndoe usagepolicy="Accounting Usage Policy "/>
<user name="janedoe usagepolicy="Default Usage Policy "/>
</grantee>
<shared value="false"/>
</account>
</OPAMData>

例A-3 データの変更: アカウント・パスワード・ポリシーの変更

<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<OPAMData xmlns="http://www.example.org/OPAMBulkTool"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.example.org/OPAMBulkTool OPAMBulkTool.xsd">
<account operation="modify">
<name value="account2"/>
<target name="lockbox_target1"/>
<passwordpolicy name="test-pass-policy"/>
<shared value="true"/>
</account>
</OPAMData>

例A-4 データの変更: パスワード・ポリシーの変更

<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<OPAMData xmlns="http://www.example.org/OPAMBulkTool"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.example.org/OPAMBulkTool OPAMBulkTool.xsd">
<passwordpolicy operation="modify">
<name value="test policy"/>
<status value="active"/>
<description value="test"/>
<globaldefault value="n"/>
<changepassevery value="45-hours"/>
<changepasscheckout value="n"/>
<changepasscheckin value="n"/>
<passwordlength max="20" min="5"/>
<minalphabets value="0"/>
<minnumeric value="0"/>
<minalphanumeric value="0"/>
<specialchars max="5" min="0"/>
<repeatedchars max="10" min="0"/>
<minuniquechars value="0"/>
<minuppercasechars value="0"/>
<minlowercasechars value="0"/>
<startwithchar value="y"/>
<requiredchars value="a,b,c,d,e"/>
<allowedchars value="a,b,c,d,e,f,g,h"/>
<disallowedchars value="z,-,x"/>
<accountnameaspass value="y"/>
</passwordpolicy>
</OPAMData>

例A-5 データの削除: ターゲットの削除

<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<OPAMData xmlns="http://www.example.org/OPAMBulkTool"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.example.org/OPAMBulkTool OPAMBulkTool.xsd">
<target operation="delete">
<type name="lockbox"/>
<name value="lockbox_target1"/>
</target>
</OPAMData>

例A-6 データの削除: アカウントの削除

<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<OPAMData xmlns="http://www.example.org/OPAMBulkTool"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.example.org/OPAMBulkTool OPAMBulkTool.xsd">
<account operation="delete">
<name value="account3"/>
<target name="lockbox_target1"/>
</account>
<account operation="delete">
<name value="account4"/>
<target name="lockbox_target1"/>
</account>
</OPAMData>

A.2.20 modifyaccountコマンド

特権アカウントを変更するには、modifyaccountコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x modifyaccount <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-accountid <account id>]

オプションです。変更するアカウントを指定します。

([-accountname <account name>] and [-targetname <target name>])

オプションです。変更するアカウントを指定します。

注意: (<accountname>および<targetname>)の組合せにより、特定のアカウントの指定に使用できる一意のペアは作成されます。

-propertyname <propertyname>

変更するプロパティの名前を指定します。

注意: アカウントの資格証明ストアを変更するには、-propertyname keymapを指定する必要があります。その場合、次の形式でkeymapプロパティ値を指定する必要があります。

-propertyname keymap [map][key][host:port][user][password]

次に例を示します。

[map][key][t3:\/\/localhost:7001][weblogic][abc123]

-propertyvalue <propertyvalue>

変更するプロパティ値を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

アカウントを指定するには、<accountid>または(<accountname>および<targetname>)のいずれかを使用します。

A.2.21 modifyglobalconfigコマンド

OPAM Global Config構成エントリで次のOracle Privileged Account Managerサーバー・プロパティを管理するには、modifyglobalconfigコマンドを使用します。

- policyenforcerinterval。Oracle Privileged Account Managerがアカウントを確認し、「使用ポリシー」で定義されている有効期限を過ぎているアカウントを自動的にチェックインする時間隔(秒)です。(デフォルトは3600秒)

- passwordcyclerinterval。Oracle Privileged Account Managerがアカウントのパスワードを確認し、「パスワード・ポリシー」で定義されている最大パスワード期間を超えているパスワードを持つアカウントをリセットする時間隔(秒)。(デフォルトは3600秒)

- tdemode。Oracle Privileged Account Managerで透過的データ暗号化(TDE)モードまたは非TDEモードを使用することを求めるリクエストに対するフラグ。詳細は、第7.2項「ディスク上のデータの保護」を参照してください。

注意:

これらのプロパティにアクセスするには、getglobalconfigコマンドを使用してOPAM Global Config構成エントリを表示する必要があります。詳細は、「getglobalconfigコマンド」を参照してください。

これらのサーバー・プロパティをコンソールから管理することもできます。詳細は、第4.3項「Oracle Privileged Account Managerサーバーの管理」を参照してください。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x modifyglobalconfig <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-propertyname <property name>

変更するサーバー・プロパティを指定します。

- policyenforcerinterval

- passwordcyclerinterval

- tdemode

-propertyvalue <property value>

新しいプロパティ値を指定します。

- policyenforcerinterval
およびpasswordcyclerinterval: 時間隔(秒)を指定します。

- tdemode: TDEモードの場合はtrueを、非TDEモードの場合はfalseを指定します。(デフォルトはTDEモードです。)

[-help]

オプションです。このコマンドの使用オプションが表示されます。

次に例を示します。

-x modifyglobalconfig -propertyname policyenforcerinterval -propertyvalue 600

または

-x modifyglobalconfig -propertyname tdemode -propertyvalue true

関連項目:

getglobalconfigコマンド

A.2.22 modifypasswordpolicyコマンド

パスワード・ポリシーを変更するには、modifypasswordpolicyコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x modifypasswordpolicy <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-policyname <policy name>

変更するパスワード・ポリシーを指定します。

-propertyname <property name>

変更するプロパティ名を指定します。

-propertyvalue <property value>

変更するプロパティ値を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.23 modifytargetコマンド

ターゲットを変更するには、modifytargetコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x modifytarget <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-targetid <targetid>]

オプションです。変更するターゲットのターゲットGUID値を指定します。

注意: ターゲットを構成すると、Oracle Privileged Account Managerにより、一意のターゲットGUIDが自動的に割り当てられます。詳細は、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

[-targetname <targetname>]

オプションです。変更するターゲットの名前を指定します。

-propertyname <propertyname>

変更するプロパティの名前を指定します。

-propertyvalue <propertyvalue>

変更するプロパティ値を指定します。

[-force <true/false>]

オプションです。接続検証の要件を有効化または無効化します。

- true: 接続検証をスキップします。

- false: 接続検証を強制的に実行します。(デフォルト設定)

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

ターゲットを指定するには、<targetid>または<targetname>を使用します。どちらの値も一意です。

A.2.24 modifyusagepolicyコマンド

使用ポリシーを変更するには、modifyusagepolicyコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x modifyusagepolicy <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-policyname <policy name>

変更する使用ポリシーを指定します。

-propertyname <property name>

変更するプロパティ名を指定します。

-propertyvalue <property value>

変更するプロパティ値を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.25 removeaccountコマンド

特権アカウントを削除するには、removeaccountコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x removeaccount <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-accountid <account id>]

オプションです。削除するアカウントを指定します。

([-accountname <account name>] and [-targetname <target name>])

オプションです。削除するアカウントを指定します。

注意: (<accountname>および<targetname>)の組合せにより、特定のアカウントの指定に使用できる一意のペアは作成されます。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

アカウントを指定するには、<accountid>または(<accountname>および<targetname>)のいずれかを使用します。

A.2.26 removegroupaccessコマンド

特権アカウントに対するグループのアクセス権を削除するには、removegroupaccessコマンドを使用します。

[-url <url>] -u <username> [-p <password>] [-debug] -x removegroupaccess <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-accountid <account id>]

オプションです。アクセス権を削除するアカウントを指定します。

([-accountname <account name>] and [-targetname <target name>])

オプションです。アクセス権を削除するアカウントを指定します。

注意: (<accountname>および<targetname>)の組合せにより、特定のアカウントの指定に使用できる一意のペアは作成されます。

-groupname <group name>

アクセス権を削除するグループを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

アカウントを指定するには、<accountid>または(<accountname>および<targetname>)のいずれかを使用します。

A.2.27 removepasswordpolicyコマンド

パスワード・ポリシーを削除するには、removepasswordpolicyコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x removepasswordpolicy <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-policyname <policy name>

削除するパスワード・ポリシーを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.28 removetargetコマンド

ターゲットを削除するには、removetargetコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x removetarget <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-targetid <target id>

削除するターゲットのターゲットGUID値を指定します。

注意: ターゲットを構成すると、Oracle Privileged Account Managerにより、一意のターゲットGUIDが自動的に割り当てられます。詳細は、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

[-targetname <target name>]

オプションです。削除するターゲットの名前を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

<targetid>または<targetname>を使用してターゲットを指定します。どちらの値も一意です。

A.2.29 removeusagepolicyコマンド

使用ポリシーを削除するには、removeusagepolicyコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x removeusagepolicy <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-policyname <policy name>

削除する使用ポリシーを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.30 removeuseraccessコマンド

特権アカウントに対するユーザーのアクセス権を削除するには、removeuseraccessコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x removeuseraccess <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-accountid <account id>]

オプションです。アクセス権を削除するアカウントを指定します。

([-accountname <account name>] and [-targetname <target name>])

オプションです。アクセス権を削除するアカウントを指定します。

注意: (<accountname>および<targetname>)の組合せにより、特定のアカウントの指定に使用できる一意のペアは作成されます。

-userid <user id>

アクセス権を削除するユーザーを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

アカウントを指定するには、<accountid>または(<accountname>および<targetname>)のいずれかを使用します。

A.2.31 resetpasswordコマンド

チェックアウトしたアカウントのパスワードを手動でリセットするには、resetpasswordコマンドを使用します。このコマンドを実行すると、Oracle Privileged Account Managerによってアカウントの詳細が返され、新しいパスワードの入力を求められます。

注意:

通常のユーザーの場合、アカウントがすでにチェックインされていると、エラーが返されます。

セキュリティ管理者管理ロールを持つ管理者である場合は、このコマンドを使用して、チェックアウト済アカウントとチェックイン済アカウント両方についてパスワードをリセットできます。

コマンド構文:

[-url <url>] -u <username> [-p <password>] -x resetpassword

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-accountid <account id>]

オプションです。リセットするアカウントを指定します。

([-accountname <account name>] and [-targetname <target name>])

オプションです。リセットするアカウントを指定します。

注意: (<accountname>および<targetname>)の組合せにより、特定のアカウントの指定に使用できる一意のペアは作成されます。

[-password <account password>]

オプションです。アカウントの新しいパスワードを指定します。

[-autogen <true/false>]

オプションです。アカウントのパスワード・ポリシーに従って、パスワードを自動的に生成するために使用します。

- true: パスワードの自動生成を有効化します。

- false: パスワードの自動生成機能を無効化します。ユーザーがパスワードを指定する必要があります。(デフォルト設定)

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

- アカウントを指定するには、<accountid>、(<accountname>および<targetname>)のいずれかを使用します。

- <accountid>または(<accountname>および<targetname>)を使用する場合は、-passwordまたは-autogenを使用する必要があります。

A.2.32 resettargetpasswordコマンド

ターゲット・サービス・アカウントのパスワードを手動でリセットするには、resettargetpasswordコマンドを使用します。このコマンドを実行すると、Oracle Privileged Account Managerによってターゲット・サービス・アカウントの詳細が返され、新しいパスワードの入力を求められます。

注意:

- このコマンドを実行するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

- このコマンドはlockboxまたはldapターゲット・タイプには適用できないため、「操作はサポートされていません」というエラー・メッセージが返されます。

コマンド構文:

[-url <url>] -u <username> [-p <password>] -x resettargetpassword

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-targetid <target id>]

オプションです。リセットするターゲットを指定します。

[-targetname <target name>])

オプションです。リセットするターゲットを指定します。

[-password <account password>]

オプションです。ターゲットの新しいパスワードを指定します。

[-autogen <true/false>]

オプションです。アカウントのパスワード・ポリシーに従って、パスワードを自動的に生成するために使用します。

- true: パスワードの自動生成を有効化します。

- false: パスワードの自動生成機能を無効化します。ユーザーがパスワードを指定する必要があります。(デフォルト設定)

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

- <targetid>または<targetname>を使用してターゲットを指定します。

- <password>または<autogen>を使用してターゲットの新しいパスワードを作成します。

A.2.33 retrieveaccountコマンド

アカウントが存在するターゲットなどの特権アカウントに関する情報を取得するには、retrieveaccountコマンドを使用します。この情報にパスワードは含まれません。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x retrieveaccount <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-accountid <account id>]

オプションです。取得するアカウントを指定します。

([-accountname <account name>] and [-targetname <target name>])

オプションです。取得するアカウントを指定します。

注意: (<accountname>および<targetname>)の組合せにより、特定のアカウントの指定に使用できる一意のペアは作成されます。

[-targetname <target name>]

オプションです。取得するアカウントを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

アカウントを指定するには、<accountid>または(<accountname>および<targetname>)のいずれかを使用します。

A.2.34 retrievegranteesコマンド

特権アカウントの権限受領者に関する情報を取得するには、retrievegranteesコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x retrievegrantees <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-accountid <account id>]

オプションです。権限受領者を取得するアカウントを指定します。

([-accountname <account name>] and [-targetname <target name>])

オプションです。権限受領者を取得するアカウントを指定します。

注意: (<accountname>および<targetname>)の組合せにより、特定のアカウントの指定に使用できる一意のペアは作成されます。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

アカウントを指定するには、<accountid>または(<accountname>および<targetname>)のいずれかを使用します。

A.2.35 retrievegroupコマンド

グループに関する情報を取得するには、retrievegroupコマンドを使用します。

注意:

このコマンドを正常に実行するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x retrievegroup <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-groupname <group name>

取得するグループの名前を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.36 retrievepasswordpolicyコマンド

パスワード・ポリシーを取得するには、retrievepasswordpolicyコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x retrievepasswordpolicy <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-policyname <policy name>

取得するパスワード・ポリシーを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.37 retrievetargetコマンド

ターゲットに関する情報を取得するには、retrievetargetコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x retrievetarget <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-targetid <target id>

取得するターゲットのターゲットGUID値を指定します。

注意: ターゲットを構成すると、Oracle Privileged Account Managerにより、一意のターゲットGUIDが自動的に割り当てられます。詳細は、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

[-targetname <target name>]

オプションです。取得するターゲットの名前を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

<targetid>または<targetname>を使用してターゲットを指定します。どちらの値も一意です。

A.2.38 retrieveusagepolicyコマンド

使用ポリシーを取得するには、retrievepolicyコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x retrieveusagepolicy <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-policyname <policy name>

取得する使用ポリシーを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.39 retrieveuserコマンド

ユーザーに関する情報を取得するには、retrieveuserコマンドを使用します。

注意:

このコマンドを正常に実行するには、「ユーザー・マネージャ」管理ロールまたはセキュリティ管理者管理ロールを持つ管理者である必要があります。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x retrieveuser <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

-userid <user id>

取得するユーザーを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.40 searchaccountコマンド

アカウントを検索するには、searchaccountコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x searchaccount <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-targettype <ldap | unix | oracledb>]

オプションです。検索するアカウントを指定します。

[-domain <account domain>]

オプションです。検索するアカウントを指定します。

[-targetname <target name>]

オプションです。検索するアカウントを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

アカウントを指定するには、-targettype、-domainまたは-targetnameの任意の組合せを使用できます。これらのオプションを指定しない場合は、検索からすべてのアカウントが返されます。

たとえば、次の検索ではすべてのターゲットが返されます。

https://<host name>:<port>/opam/target/search?

一方で、次の検索では、タイプにldapおよびorgが含まれるすべてのターゲットが返されます。

https://<host name>:<port>/opam/target/search?type=ldap&org=us

A.2.41 searchgroupコマンド

グループを検索するには、searchgroupコマンドを使用します。

注意:

このコマンドを正常に実行するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x searchgroup <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-groupname <group name>]

オプションです。検索するグループの名前を指定します。

[-description <description>]

オプションです。グループの説明を指定します。

[-accountname <account name>]

オプションです。検索するアカウントの名前を指定します。

[-targetname <target name>]

オプションです。検索するターゲットの名前を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.42 searchtargetコマンド

ターゲットを検索するには、searchtargetコマンドを使用します。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x searchtarget <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-targettype <ldap | solaris | oracledb>]

オプションです。検索するターゲットのタイプをLDAP、SolarisまたはOracle DBとして指定します。

[-domain <domain>]

オプションです。検索するドメインを指定します。

[-targetname <target name>]

オプションです。検索するターゲットの名前を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.43 searchuserコマンド

ユーザーを検索するには、searchuserコマンドを使用します。

注意:

このコマンドを正常に実行するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

コマンド構文:

[-url <url>] -u <username> [-p <password>] [-debug] -x searchuser <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-userid <user id>]

オプションです。ユーザーIDでユーザーを検索します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.44 showpasswordコマンド

チェックアウトしたアカウントのパスワードを表示するには、showpasswordコマンドを使用します。このコマンドを実行すると、Oracle Privileged Account Managerによってアカウントの詳細とパスワードが返されます。

注意:

アカウントがすでにチェックインされていると、エラーが返されます。

このコマンドを正常に実行するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

コマンド構文:

[-url <url>] -u <username> [-p <password>] -x showpassword -accountid <accountid>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-accountid <account id>]

オプションです。取得するパスワードのアカウントを指定します。

([-accountname <account name>] and [-targetname <target name>])

オプションです。取得するパスワードのアカウントを指定します。

注意: (<accountname>および<targetname>)の組合せにより、特定のアカウントの指定に使用できる一意のペアは作成されます。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

アカウントを指定するには、<accountid>または(<accountname>および<targetname>)のいずれかを使用します。

A.2.45 showpasswordhistoryコマンド

パスワードをチェックアウト、チェックインまたはリセットしたアカウントのパスワード履歴を表示するには、showpasswordhistoryコマンドを使用します。このコマンドを実行すると、Oracle Privileged Account Managerからパスワード履歴が返されます。

注意:

このコマンドを正常に実行するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

コマンド構文:

[-url <url>] -u <username> [-p <password>] -x showpasswordhistory -accountid <accountid> <options>

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-accountid <account id>]

オプションです。検索するアカウントを指定します。

[-accountname <account name>]

オプションです。検索するアカウントの名前を指定します。

[-targetname <target name>]

オプションです。検索するターゲットの名前を指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

A.2.46 showtargetpasswordコマンド

ターゲット・サービス・アカウントのパスワードを表示するには、showtargetpasswordコマンドを使用します。このコマンドを実行すると、Oracle Privileged Account Managerからターゲット・サービス・アカウントの詳細とパスワードが返されます。

注意:

- このコマンドを実行するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

- このコマンドはlockboxターゲット・タイプには適用できないため、「操作はサポートされていません」というエラー・メッセージが返されます。

コマンド構文:

[-url <url>] -u <username> [-p <password>] -x showtargetpassword

次の表では、このコマンドで使用できるオプションについて説明します。

オプション

説明

[-targetid <target id>]

オプションです。リセットするパスワードのターゲットを指定します。

[-targetname <target name>])

オプションです。リセットするパスワードのターゲットを指定します。

[-help]

オプションです。このコマンドの使用オプションが表示されます。

注意:

<targetid>または<targetname>を使用してターゲットを指定します。

B Oracle Privileged Account ManagerのRESTfulインタフェースの使用

Oracle Privileged Account Managerはいくつかのクライアント・インタフェースを介して使用できますが、その基本となるアクセス・メカニズムまたはレイヤーは、RESTfulインタフェースにカプセル化されています。

外部パーティ(Oracle Privileged Account Manager以外のサーバーなど)によって使用されるOracle Privileged Account Managerサーバーとのすべての相互作用は、RESTfulインタフェースを介して公開されます。外部から参照可能なすべてのOracle Privileged Account Managerリソースは、URIでモデル化されますが、標準のHTTP操作はそれらのリソースに対する、関連するOracle Privileged Account Manager操作にマップされます。

この付録では、Oracle Privileged Account ManagerのRESTfulインタフェースについて説明します。このインタフェースを介して公開される特定のAPIについて、次の項で説明します。

注意:

次の項に記載されている説明は、Oracle Privileged Account ManagerをWebLogicとIBM WebSphereのどちらで使用しようとも基本的には同じですが、少々異なる点もいくつかあります。

詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド』のIBM WebSphere上でOracle Privileged Account Managerコマンドライン・ツールとRESTインタフェースを使用する場合の相違点に関する項を参照してください。

- B.1項「サーバー状態リソース」

- B.2項「構成リソース」

- B.3項「ターゲット・リソース」

- B.4項「アカウント・リソース」

- B.5項「UIリソース」

- B.6項「ユーザー・リソース」

- B.7項「グループ・リソース」

- B.8項「使用ポリシー・リソース」

- B.9項「パスワード・ポリシー・リソース」

- B.10項「ポリシー・リソース」

注意:

Oracle Privileged Account ManagerのWebベースのコンソールまたはコマンドライン・ツールを使用して、この付録で説明しているタスクを実行することもできます。

詳細は、第5章「Oracle Privileged Account Managerの構成および管理」または付録A「コマンドライン・ツールの使用」を参照してください。

B.1 サーバー状態リソース

この項では、サーバー状態の取得APIについて説明します。

B.1.1 サーバー状態の取得

このAPIを使用して、サーバーのステータスに関する情報を取得します。

URI

https://opam_server_host:opam_ssl_port/opam/

メソッド

GET

Content-Type

成功時の戻り値

ステータス・コード200およびサーバー状態リソースのJSON表現

例B-1 サーバー・ステータスのJSON出力の例

{
"RequestorGroups" : [
"OPAM_APPLICATION_CONFIGURATOR",
"OPAM_SECURITY_ADMIN",
"OPAM_USER_MANAGER",
"OPAM_SECURITY_AUDITOR"
],
"ServerState" : {
"Status" : "Oracle Privileged Account Manager Server is up!",
"StatusCode" : 0
},
"Requestor" : "master_user"
}

説明:

- RequestorGroupsは、リクエストを作成しているユーザーに割り当てられているグループです。

- Requestorは、リクエストを作成しているユーザーです。

- StatusCodeは、サーバーが正常に動作しているかどうかを示します。

- サーバーが正常に動作している場合は、ゼロ(0)が返されます。

- なんらかの問題が発生している場合は、ゼロ以外の整数値が返されます。

- Statusは、サーバーの状態に関する情報メッセージです。

B.2 構成リソース

この項では次のAPIについて説明します。

- 構成リソースの取得

- 構成リソースの更新

B.2.1 構成リソースの取得

このAPIを使用して、構成オブジェクトを取得します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロール、セキュリティ管理者管理ロールまたは「アプリケーション構成者」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/config/configid

メソッド

GET

Content-Type

成功時の戻り値

200およびconfigオブジェクトのJSON表現

サンプルURI

https://opam_server_host:opam_ssl_port/opam/config/globalconfig

例B-2 configオブジェクトのサンプルJSON表現

{
"config":{
"configUID":"globalconfig",
"configType":"config_globalconfig",
"tdemode":[
"true"
],
"policyenforcerinterval":[
"3600"
],
"passwordcyclerinterval":[
"3600"
]
}
}

説明:

- configUIDは、configオブジェクトの一意の識別子です。

- configTypeは、configオブジェクトのタイプです。

- policyenforcerintervalは、Oracle Privileged Account Managerがアカウントを確認し、「使用ポリシー」で定義されている有効期限を過ぎているアカウントを自動的にチェックインする時間隔(秒)です。

- passwordcyclerintervalは、Oracle Privileged Account Managerがアカウントのパスワード確認し、「パスワード・ポリシー」で定義されている最大パスワード期間を超えているパスワードをリセットする時間隔(秒)です。

- tdemodeは、Oracle Privileged Account ManagerでTDEまたは非TDEモードを使用することを求めるリクエストに対するフラグです。

B.2.2 構成リソースの更新

このAPIを使用して、構成オブジェクトを変更します。

注意:

このAPIを使用するには、「アプリケーション構成者」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/config/configid

メソッド

PUT

Content-Type

application/json

本体

変更のJSON表現

成功時の戻り値

ステータス・コード200

例B-3 変更のJSON出力の例

{
"modifications":[
{
"modification":{
"tdemode":[
"false"
]
}
}
]
}

説明:

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一の構成オブジェクトの変更を表すJSONオブジェクトです。

- tdemodeは、Oracle Privileged Account ManagerでTDEまたは非TDEモードを使用することを求めるリクエストに対するフラグです。

B.3 ターゲット・リソース

この項では次のAPIについて説明します。

- ターゲット属性の取得

- ターゲットの追加

- ターゲットの検証

- ターゲットの取得

- ターゲットの更新

- ターゲットの削除

- ターゲットの検索

- 使用可能なアカウントの取得

- ターゲットで登録されているアカウントの取得

- ターゲット・タイプの取得

- パスワードのリセット

- サービス・アカウント・パスワードの表示

B.3.1 ターゲット属性の取得

このAPIを使用して、すべてのターゲット・タイプに関連付けられた属性のリストを取得します。

サポートされるターゲット・タイプのリストをこれらの属性とともに使用して、ターゲットを追加するために必要なJSONオブジェクトを作成します。詳細は、B.3.2項「ターゲットの追加」を参照してください。

URI

https://opam_server_host:opam_ssl_port/opam/target/attributes

メソッド

GET

Content-Type

成功時の戻り値

ステータス・コード200、ターゲット・タイプのJSON表現、およびそれらに関連付けられた属性

サンプルURI

https://opam_server_host:opam_ssl_port/opam/target/attributes

例B-4 サポートされているターゲット・タイプと属性のJSON表記の出力

{
"TargetAttributes":[
{
"TargetType":"ldap",
"DisplayName":"ldap",
"BasicAttributes":[
{
"name":"targetName",
"type":"string",
"description":"",
"label":"Target Name",
"mask":"false",
"array":"false",
"required":"true"
},
{
"name":"description",
"type":"string",
"description":"",
"label":"Description",
"mask":"false",
"array":"false",
"required":"false"
},
{
"name":"organization",
"type":"string",
"description":"",
"label":"Organization",
"mask":"false",
"array":"false",
"required":"false"
},
{
"name":"domain",
"type":"string",
"description":"",
"label":"Domain",
"mask":"false",
"array":"false",
"required":"true"
},
{
"name":"host",
"type":"string",
"description":"",
"label":"Host",
"mask":"false",
"array":"false",
"required":"true"
},
{
"name":"port",
"type":"int",
"description":"TCP/IP port number used to communicate with the LDAP server.",
"label":"TCP Port",
"default":"",
"mask":"false",
"array":"false",
"required":"true"
},
{
"name":"ssl",
"type":"boolean",
"description":"Select the check box to connect to the LDAP server using SSL.",
"label":"SSL",
"default":"false",
"mask":"false",
"array":"false",
"required":"true"
},
{
"name":"principal",
"type":"string",
"description":"The distinguished name with which to authenticate
to the LDAP server.",
"label":"Principal",
"default":"",
"mask":"false",
"array":"false",
"required":"true"
},
{
"name":"credentials",
"type":"string",
"description":"Password for the principal.",
"label":"Password",
"default":"",
"mask":"true",
"array":"false",
"required":"true"
},
{
"name":"baseContexts",
"type":"string",
"description":"One or more starting points in the LDAP tree that will be used
when searching the tree. Searches are performed when discovering users from
the LDAP server or when looking for the groups of which a user is a member.",
"label":"Base Contexts",
"default":[

],
"mask":"false",
"array":"true",
"required":"true"
},
{
"name":"accountNameAttribute",
"type":"string",
"description":"Attribute which holds the account's user name.",
"label":"Account User Name Attribute",
"default":"uid",
"mask":"false",
"array":"false",
"required":"true"
}
],
"AdvancedAttributes":[
{
"name":"uidAttribute",
"type":"string",
"description":"The name of the LDAP attribute which is mapped
to the Uid attribute.",
"label":"Uid Attribute",
"default":"uid",
"mask":"false",
"array":"false",
"required":"false"
},
{
"name":"accountSearchFilter",
"type":"string",
"description":"An optional LDAP filter to control which accounts are returned
from the LDAP resource. If no filter is specified, only accounts that include
all specified object classes are returned.",
"label":"LDAP Filter for Retrieving Accounts",
"default":"(uid=*)",
"mask":"false",
"array":"false",
"required":"false"
},
{
"name":"passwordAttribute",
"type":"string",
"description":"The name of the LDAP attribute which holds the password.
When changing an user's password, the new password is set to this attribute.",
"label":"Password Attribute",
"default":"userpassword",
"mask":"false",
"array":"false",
"required":"false"
},
{
"name":"accountObjectClasses",
"type":"string",
"description":"The object class or classes that will be used when
creating new user objects in the LDAP tree. When entering more than one
object class, each entry should be on its own line; do not use commas or
semi-colons to separate multiple object classes. Some object classes
may require that you specify all object classes in the class hierarchy.",
"label":"Account Object Classes",
"default":[
"top",
"person",
"organizationalPerson",
"inetOrgPerson"
],
"mask":"false",
"array":"true",
"required":"false"
}
]
}
]
}

説明:

- TargetAttributesは、オブジェクトの配列であり、各オブジェクトがターゲット・タイプを表します。

- TargetTypeは、ターゲット・タイプです。

- DisplayNameは、ターゲット・タイプ名の表示方法です。

- BasicAttributesは、オブジェクトの配列であり、各オブジェクトがターゲット・タイプの基本属性を表します。

- AdvancedAttributesは、オブジェクトの配列であり、各オブジェクトがターゲット・タイプの拡張属性を表します。

- nameは、ターゲットJSONを構成してターゲットを作成する場合に使用する属性名です。

- typeは、属性タイプです。有効な値は、string、int、booleanまたはlov (値リスト)です。

- descriptionは、属性のわかりやすい説明です。

- labelは、属性名の表示方法です。

- defaultは、属性のデフォルト値です。
arrayパラメータがfalseの場合は単一値を指定し、arrayがtrueの場合は値の配列を指定します。

- maskは、資格証明などの機密値を非表示にします。

- 属性を非表示にする場合、trueを指定します。

- 属性を非表示にする必要がない場合、falseを指定します。

- arrayは、属性が単一値であるか複数値の配列であるかを示します。

- 属性が複数値の配列である場合、trueを指定します。

- 属性が単一値の場合、falseを指定します。

- requiredは、属性が必須であるかオプションであるかを示します。

- 必須属性の場合、trueを指定します。

- オプション属性の場合、falseを指定します。

B.3.2 ターゲットの追加

このAPIを使用してターゲットを追加します。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

注意:

最初に、B.3.1項「ターゲット属性の取得」の説明に従ってターゲット・タイプの属性のリストを取得する必要があります。これらの属性を使用して、本体で送信されるJSONオブジェクトを作成します。

URI

https://opam_server_host:opam_ssl_port/opam/target

メソッド

POST

Content-Type

application/json

本体

ターゲットの追加またはテストのJSON表現

成功時の戻り値

ステータス・コード201 (作成)および場所

例B-5 ターゲットの追加のサンプルJSON表現(ldap TargetType)

{
"target":{
"targetType":"ldap",
"targetName":"person1-ldap2",
"host":"opam_server_host",
"passwordpolicy" : "passwordpolicy1",
"domain":"berkeley",
"description":"Ldap target",
"organization":"ST-US",
"credentials":"welcome",
"uidAttribute":"uid",
"port":"9876",
"passwordAttribute":"userpassword",
"principal":"cn=orcladmin",
"accountSearchFilter":"(uid=*)",
"baseContexts":[
"cn=Users,c=US"
],
"ssl":"false",
"accountObjectClasses":[
"top",
"person",
"organizationalPerson",
"inetOrgPerson"
],
"accountNameAttribute":"uid"
}
}

例B-6 ターゲットの追加のサンプルJSON表現(database TargetType)

{
"target" : {
"targetType" : "database",
"targetName" : "db112_target",
"passwordpolicy" : "passwordpolicy1",
"host" : "afg1140282",
"domain" : "adc1140282Domain",
"description" : "Dbase target for the automation",
"connectionProperties" : "",
"dbType" : "Oracle",
"jdbcUrl" : "jdbc:oracle:thin:@afg1140282.us.pk.com:11227:db5474",
"loginPassword" : "welcome1",
"loginUser" : "system"
}
}

例B-7 ターゲットの追加のサンプルJSON表現(unix TargetType)

{
"target" : {
"targetType" : "unix",
"targetName" : "BackUpUnixTarget",
"passwordpolicy" : "passwordpolicy1",
"host" : "adc0345lsdf.us.idc.com",
"domain" : "US",
"description" : "Backup system",
"organization" : "IT",
"port" : "23",
"sudoPasswdExpectExpression" : "password",
"commandTimeout" : "120000",
"passwordExpectExpressions" :         "new[\\s](unix[\\s])?password:,new[\\s](unix[\\s])?password([\\s]again)?:",
"loginShellPrompt" : "$",
"prePasswdExpectExpression" : "None",
"sudoAuthorization" : "false",
"loginUserpassword" : "welcome1",
"loginUser" : "aime2"
}
}

サンプル出力

https://opam_server_host:opam_ssl_port/opam/target
/9bbcbbb087174ad1900ea691a2573b61 (場所)

説明:

- targetは、ターゲットJSONオブジェクトです。

- targetNameは、ターゲットの名前です。

- targetTypeは、ターゲット・タイプです。

- passwordpolicyは、ターゲットに適用されているパスワード・ポリシーのパスワード・ポリシーIDです。

他のすべての属性は、動的であり、B.3.1項「ターゲット属性の取得」の属性に対応します。

B.3.3 ターゲットの検証

このAPIを使用してターゲットを検証します。

注意:

最初に、ターゲット・タイプの属性のリストを取得する必要があります。本体で送信されるJSONオブジェクトを作成するには、B.3.1項「ターゲット属性の取得」を参照してください。

URI

https://opam_server_host:opam_ssl_port/opam/target/test

メソッド

PUT

Content-Type

application/json

本体

ターゲットの追加またはテストのJSON表現

成功時の戻り値

ステータス・コード200

例B-8 ターゲットの追加または検証のサンプルJSON表現

{
"target":{
"targetType":"ldap",
"targetName":"person1-ldap2",
"host":"opam_server_host",
"passwordpolicy" : "passwordpolicy1",
"domain":"berkeley",
"description":"Ldap target",
"organization":"ST-US",
"credentials":"welcome",
"uidAttribute":"uid",
"port":"9876",
"passwordAttribute":"userpassword",
"principal":"cn=orcladmin",
"accountSearchFilter":"(uid=*)",
"baseContexts":[
"cn=Users,c=US"
],
"ssl":"false",
"accountObjectClasses":[
"top",
"person",
"organizationalPerson",
"inetOrgPerson"
],
"accountNameAttribute":"uid"
}
}

説明:

- targetは、ターゲットJSONオブジェクトです。

- targetNameは、ターゲットの名前です。

- targetTypeは、ターゲット・タイプです。

- passwordpolicyは、ターゲットに適用されているパスワード・ポリシーのパスワード・ポリシーIDです。

他のすべての属性は、動的であり、B.3.1項「ターゲット属性の取得」の属性に対応します。

B.3.4 ターゲットの取得

このAPIを使用してターゲットを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/target/{targetUID}

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびターゲットのJSON表現

例B-9 ターゲットのサンプルJSON表現(ldap TargetType)

{
"target":{
"targetUID":"9bbcbbb087174ad1900ea691a2573b61",
"targetType":"ldap",
"targetName":"person1-ldap",
"host":"opam_server_host",
"domain":"berkeley",
"description":"Ldap target",
"organization":"ST-US",
"credentials":"welcome",
"uidAttribute":"uid",
"port":"9876",
"passwordAttribute":"userpassword",
"principal":"cn=orcladmin",
"accountSearchFilter":"(uid=*)",
"baseContexts":[
"cn=Users,c=US"
],
"ssl":"false",
"accountObjectClasses":[
"top",
"person",
"organizationalPerson",
"inetOrgPerson"
],
"accountNameAttribute":"uid",
}
}

例B-10 ターゲットのサンプルJSON表現(database TargetType)

{
"target" : {
"targetUID" : "62bcfb98f95d4966ab0ff9a44717a20a",
"targetType" : "database",
"targetName" : "db112_target",
"passwordpolicy" : "passwordpolicy1",
"host" : "afg1140282",
"domain" : "adc1140282Domain",
"description" : "Dbase target for the automation",
"connectionProperties" : "",
"dbType" : "Oracle",
"jdbcUrl" : "jdbc:oracle:thin:@afg1140282.us.pk.com:11227:db5474",
"loginPassword" : "welcome1",
"loginUser" : "system"
}
}

例B-11 ターゲットのサンプルJSON表現(unix TargetType)

{
"target" : {
"targetUID" : "a00075b4b7bb453c9482d02535989b53",
"targetType" : "unix",
"targetName" : "BackUpUnixTarget",
"passwordpolicy" : "passwordpolicy1",
"host" : "adc0345lsdf.us.idc.com",
"domain" : "US",
"description" : "Backup system",
"organization" : "IT",
"port" : "23",
"sudoPasswdExpectExpression" : "password",
"commandTimeout" : "120000",
"passwordExpectExpressions" : "new[\\s](unix[\\s])?password:,new[\\s](unix[\\s])?password([\\s]again)?:",
"loginShellPrompt" : "$",
"prePasswdExpectExpression" : "None",
"sudoAuthorization" : "false",
"loginUserpassword" : "welcome1",
"loginUser" : "aime2"
}
}

説明:

- targetは、ターゲットJSONオブジェクトです。

- targetUIDは、ターゲットの一意識別子です。

- targetNameは、ターゲットの名前です。

- targetTypeは、ターゲット・タイプです。

他のすべての属性は、動的であり、B.3.1項「ターゲット属性の取得」の属性に対応します。

B.3.5 ターゲットの更新

このAPIを使用してターゲットを更新します。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

targetTypeおよびtargetUIDを除くすべての属性の変更が可能で、同時に複数の属性を変更できます。

URI

https://opam_server_host:opam_ssl_port/opam/target/{targetUID}

メソッド

PUT

Content-Type

application/json

本体

ターゲット変更のJSON表現

成功時の戻り値

ステータス・コード200

例B-12 ターゲット変更のサンプルJSONオブジェクト

"modifications":[
{
"modification":{
"host":"opam_server_host
}
},
{
"modification":{
"port":"6000"
}
}
]
}

説明:

- targetUIDは、ターゲットの一意識別子です。

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一属性の変更を表すJSONオブジェクトです。

B.3.6 ターゲットの削除

このAPIを使用してターゲットを削除します。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/target/{targetUID}

メソッド

DELETE

Content-Type

本体

成功時の戻り値

ステータス・コード200

B.3.7 ターゲットの検索

このAPIでは、次のリクエスト・パラメータのいずれかを使用してターゲットを検索します。

- type

- name

- hostname

- domain

- description

- org

これらのパラメータはすべてオプションです。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロール、セキュリティ管理者管理ロールまたは「セキュリティ監査者」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/target/search?param1=value1&param2=value2

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびターゲット収集のJSON表現

サンプルURI:

https://opam_server_host:opam_ssl_port/opam/target/search?

すべてのターゲットが返されます。

https://opam_server_host:opam_ssl_port/opam/target/search?type=ldap&org=us

typeにldap、orgにusが含まれるすべてのターゲットが返されます。

例B-13 ターゲット収集のサンプルJSON表現

{
"Target Collection":[
{
"target":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/target\
/9bbcbbb087174ad1900ea691a2573b61",
"type":"ldap",
"name":"person1-ldap",
"host":"opam_server_host",
"domain":"berkeley"
"description" : "Ldap target"
}
},
{
"target":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/target\
/ac246a162ce948c7b1cdcc17dfc92c15",
"type":"ldap",
"name":"person1-ldap2",
"host":"opam_server_host:opam_ssl_port",
"domain":"berkeley"
"description" : "Ldap target"
}
}
]
}

説明:

- Target Collectionは、ターゲットJSONオブジェクトの配列です。

- targetは、ターゲットJSONオブジェクトです。

- uriは、ターゲット・リソースのURIです。

- typeは、ターゲット・タイプです。

- hostnameは、ターゲットのホスト名です。

- nameは、ターゲット名です。

- orgは、ターゲットの組織です。

- domainは、ターゲットのドメインです。

- descriptionは、ターゲット・システムの説明です。

B.3.8 使用可能なアカウントの取得

このAPIを使用して、ターゲット・システムに存在するすべてのアカウントを取得します。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/target/{targetUID}/availableaccounts

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200 (OK)およびアカウント収集のJSON表現

例B-14 アカウント収集のサンプルJSON表現

{
"AvailableAccounts":[
{
"accountName":"SCOTT",
"accountUid":"SCOTT"
},
{
"accountName":"BLAKE",
"accountUid":"BLAKE "
},
{
"accountName":"JONES",
"accountUid":"JONES"
}
]
}

説明:

- AvailableAccountsは、ターゲット・システムに存在するアカウントの配列です。

- accountNameは、アカウント名です。

- accountUIDは、アカウントの一意識別子です。

B.3.9 ターゲットで登録されているアカウントの取得

このAPIを使用して、ターゲットでOracle Privileged Account Managerに登録されているすべてのアカウントを取得します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロール、セキュリティ管理者管理ロールまたは「セキュリティ監査者」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/target/{targetUID}/accounts

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびアカウントのURI収集のJSON表現

例B-15 アカウントのURI収集のサンプルJSON表現

{
"URI Collection":[
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/3740553e999a4f6aa8e8f9286d320cb4",
"accountName":"sherlock"
}
},
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/c11066278022489aad758aec69d9727d",
"accountName":"root"
}
}
]
}

説明:

- URI Collectionは、ターゲットでOracle Privileged Account Managerに登録されているアカウントの配列です。

- accountは、アカウントJSONオブジェクトです。

- uriは、アカウントのURIです。

- accountNameは、アカウント名です。

B.3.10 ターゲット・タイプの取得

このAPIを使用して、サポートされるすべてのターゲット・タイプのリストを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/target/types

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびサポートされるターゲット・タイプのJSON表現

例B-16 サポートされるターゲット・タイプのサンプルJSON表現

{
"targettypes":[
"ldap",
"unix",
"database",
"lockbox"
]
}

説明:

- targettypesは、サポートされるターゲット・タイプです。

B.3.11 パスワードのリセット

このAPIを使用して、サービス・アカウントでパスワードをリセットします。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/target/{targetUID}/resetpassword

メソッド

PUT

Content-Type

application/json

本体

成功時の戻り値

ステータス・コード200

例B-17 新規パスワードのサンプルJSON表現

{
"password":"welcome1"
}

または

{
"autogen":"true"
}

説明:

- targetUIDは、ターゲットの一意識別子です。

- passwordは、サービス・アカウントに割り当てるパスワードです。

- autogenは、パスワードを自動的に生成するかどうかを制御するフラグです。(デフォルトはfalseです。)

B.3.12 サービス・アカウント・パスワードの表示

このAPIを使用して、サービス・アカウント・パスワードを取得して表示します。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/target/{targetUID}/showpassword

メソッド

PUT

Content-Type

application/json

本体

成功時の戻り値

ステータス・コード200およびサービス・アカウントのJSON表現

例B-18 アカウント・トークンのサンプルJSON表現

{
"serviceAccount" : {
"targetName" : "APILDAP",
"targetUID" : "ad3163bfb37b4544a4c12ae06a39c2d9",
"targetAccount" : "cn=admin",
"targetPassword" : "welcome1",
"targetPasswordChangeTime" : " 2013-01-27 02:58:13.259"
}
}

説明:

- targetUIDは、ターゲットの一意識別子です。

- targetNameは、ターゲットの名前です。

- targetAccountは、ターゲットのサービス・アカウントです。

- targetPasswordは、サービス・アカウント・パスワードです。

- targetPasswordChangeTimeは、パスワードの変更時間です。

B.4 アカウント・リソース

この項では次のAPIについて説明します。

- ターゲットへのアカウントの追加

- アカウントの検証

- アカウントの取得

- パスワードのリセット

- アカウントの更新

- アカウントの適用可能な使用ポリシーの取得

- アカウントの削除

- アカウントに対するアクセス権のユーザーまたはロールへの付与

- アカウントに対するユーザーまたはロールのアクセス権の削除

- アカウントのCSFマップとキーの追加または削除

- アカウントの権限受領者の取得

- アカウントのチェックアウト

- アカウントのチェックイン

- アカウントをチェックアウトしたユーザーの取得

- パスワードの表示

- パスワード履歴の表示

B.4.1 ターゲットへのアカウントの追加

このAPIを使用してターゲットにアカウントを追加します。このAPIは、ターゲット・システムにアカウントを作成しませんが、既存のアカウントをOracle Privileged Account Managerターゲットに登録します。

注意:

- Oracle Privileged Account Managerで管理されるサービス・アカウントや特権アカウントと同じアカウントはけっして使用しないでください。

- このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/account

メソッド

POST

Content-Type

application/json

本体

アカウントの追加または検証のJSON表現

成功時の戻り値

ステータス・コード201および場所

例B-19 アカウントの追加または検証のサンプルJSON表現

{
"account":{
"accountName":"admin",
"description" : "maintenance account on the machine",
"password" : "welcome1",
"passwordpolicy":"passwordpolicy2",
"shared":"true",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61"
}
}

説明:

- accountは、アカウントJSONオブジェクトです。

- accountNameは、アカウントの名前です。

- descriptionは、アカウントの説明です。この属性はオプションlです。

- passwordは、アカウント・パスワードです。この属性はオプションlです。

- passwordpolicyは、アカウントに適用可能なパスワード・ポリシーのポリシーIDです。このパラメータはオプションです。デフォルトでは、このパラメータはグローバル・デフォルト・パスワード・ポリシーを使用します。

- sharedは、アカウントの共有ステータスを示します。この値はブール値であり、デフォルト設定はfalseです。

- targetUIDは、ターゲットの一意識別子です。

B.4.2 アカウントの検証

このAPIを使用して、アカウントがターゲット・システムに存在するかどうかを検証します。

URI

https://opam_server_host:opam_ssl_port/opam/account/test

メソッド

PUT

Content-Type

application/json

本体

アカウントの追加または検証のJSON表現

成功時の戻り値

ステータス・コード200

例B-20 アカウントの追加または検証のサンプルJSON表現

{
"account":{
"accountName":"admin",
"description" : "maintenance account on the machine"
"password" : "welcome1"
"passwordpolicy":"passwordpolicy2",
"shared":"true",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61"
}
}

説明:

- accountは、アカウントJSONオブジェクトです。

- accountNameは、アカウントの名前です。

- descriptionは、アカウントの説明です。この属性はオプションlです。

- passwordは、アカウント・パスワードです。この属性はオプションlです。

- passwordpolicyは、アカウントに適用可能なパスワード・ポリシーのポリシーIDです。このパラメータはオプションです。デフォルトでは、このパラメータはグローバル・デフォルト・パスワード・ポリシーを使用します。

- sharedは、アカウントの共有ステータスを示します。この値はブール値であり、デフォルト設定はfalseです。

- targetUIDは、ターゲットの一意識別子です。

B.4.3 アカウントの取得

このAPIを使用してアカウントを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびアカウントのJSON表現

例B-21 アカウントのサンプルJSON表現

{
"account":{
"accountUID":"3f74a85e39e64432ba917a2e60fa15aa",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61",
"accountName":"admin",
"shared":true,
"accountlevelstatus":"checkedIn",
"passwordpolicy":"passwordpolicy2",
}
}

説明:

- accountは、アカウントJSONオブジェクトです。

- accountUIDは、アカウントの一意識別子です。

- accountNameは、アカウントの名前です。

- passwordpolicyは、アカウントに適用可能なパスワード・ポリシーのポリシーIDです。

- sharedは、アカウントの共有ステータスを示します。この値はブール値であり、デフォルト設定はfalseです。

- targetUIDは、ターゲットの一意識別子です。

- accountlevelstatusは、アカウントがユーザーによってチェックインされたかどうかを示します。有効な値は、checkedInおよびcheckedOutです。

B.4.4 パスワードのリセット

このAPIを使用してアカウントのパスワードをリセットします。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}/resetpassword

メソッド

PUT

Content-Type

application/json

本体

新規パスワードのJSON表現

成功時の戻り値

ステータス・コード200

例B-22 新規パスワードのサンプルJSON表現

{
"password":"welcome1"
}

または

{
"autogen":"true"
}

説明:

- accountUIDは、アカウントの一意識別子です。

- passwordは、アカウントに割り当てるパスワードです。

- autogenは、パスワードを自動的に生成するかどうかを制御するフラグです。(デフォルトはfalseです。)

B.4.5 アカウントの更新

このAPIを使用してアカウントを更新します。同時に複数の属性を変更できます。passwordpolicy、descriptionおよびshared属性のみ更新できます。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}

メソッド

PUT

Content-Type

application/json

本体

アカウント変更のJSON表現

成功時の戻り値

ステータス・コード200

例B-23 アカウント変更のサンプルJSON表現

{
"modifications":[
{
"modification":{
"passwordpolicy":"passwordpolicy2"
}
},
{
"modification":{
"shared":"false"
}
}
}
}

説明:

- accountUIDは、アカウントの一意識別子です。

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一属性の変更を表すJSONオブジェクトです。

B.4.6 アカウントの適用可能な使用ポリシーの取得

このAPIを使用して、アカウントの適用可能な使用ポリシーを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/account/
accountUID/usagepolicy

メソッド

GET

Content-Type

成功時の戻り値

ステータス・コード200および使用ポリシーのJSON表現

例B-24 使用ポリシーのサンプルJSON表現

{"usagepolicy":
{
"policyid":"bafd53072bbb442db185dca18bd00e69",
"policyname":"usage_policy_anytime"
}
}

説明:

- usagepolicyは、使用ポリシーJSONオブジェクトです。

- policyidは、使用ポリシーの一意識別子です。

- policynameは、ポリシーの名前です。

B.4.7 アカウントの削除

このAPIを使用してアカウントを削除します。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}

メソッド

DELETE

Content-Type

本体

成功時の戻り値

ステータス・コード200

説明:

- accountUIDは、アカウントの一意識別子です。

B.4.8 アカウントに対するアクセス権のユーザーまたはロールへの付与

このAPIを使用して、アカウントに対するアクセス権をユーザーまたはロールに付与します。複数のユーザーおよびロールに同時にアクセス権を付与できます。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}

メソッド

PUT

Content-Type

application/json

本体

権限受領者の追加のJSON表現

成功時の戻り値

ステータス・コード200

例B-25 権限受領者の追加のサンプルJSON表現

{
"modifications":[
{
"modification":{
"usagepolicy":"usagepolicy1",
"role":"opamgroup1",
"operation":"add"
}
},
{
"modification":{
"usagepolicy":"usagepolicy1",
"user":"opamuser1",
"operation":"add"
}
}
]
}

説明:

- accountUIDは、アカウントの一意識別子です。

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一属性の変更を表すJSONオブジェクトです。

- roleは、グループにアクセス権を付与する必要があることを示します。このパラメータの値は、グループ名です。

- userは、ユーザーにアクセス権を付与する必要があることを示します。このパラメータの値は、ユーザー・ログインIDです。

- usagepolicyは、権限付与に適用される使用ポリシーの識別子を示します。

- operationは、実行される操作のタイプを示します。有効な値は次のとおりです。

- addは権限付与を示します。

- deleteは取消しを示します。

- replaceは使用ポリシーの新しい値による置換を示します。

B.4.9 アカウントに対するユーザーまたはロールのアクセス権の削除

このAPIを使用して、アカウントに対するユーザーのアクセス権またはロールのアクセス権を削除します。複数のユーザーおよびロールの権限付与を同時に取り消すことができます。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}

メソッド

PUT

Content-Type

application/json

本体

権限受領者の削除のJSON表現

成功時の戻り値

ステータス・コード200

例B-26 権限受領者の削除のサンプルJSON表現

{
"modifications":[
{
"modification":{
"usagepolicy":"usagepolicy1",
"role":"opamgroup1",
"operation":"delete"
}
},
{
"modification":{
"usagepolicy":"usagepolicy1",
"user":"opamuser1",
"operation":"delete"
}
}
]
}

説明:

- accountUIDは、アカウントの一意識別子です。

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一の変更を表すJSONオブジェクトです。

- roleは、グループにアクセス権を付与する必要があることを示します。このパラメータの値は、グループ名です。

- userは、ユーザーにアクセス権を付与する必要があることを示します。このパラメータの値は、ユーザー・ログインIDです。

- usagepolicyは、権限付与に適用される使用ポリシーの識別子を示します。

- operationは、実行される操作のタイプを示します。有効な値は次のとおりです。

- addは権限付与を示します。

- deleteは取消しを示します。

- replaceは使用ポリシーの新しい値による置換を示します。

B.4.10 アカウントのCSFマップとキーの追加または削除

このAPIを使用して、CSFマップとキーをアカウントに追加したり、アカウントから削除します。複数のマップとキーを同時に追加または削除できます。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}

メソッド

PUT

Content-Type

application/json

本体

キーマップの追加のJSON表現

成功時の戻り値

ステータス・コード200

例B-27 マップとキーの追加/削除のサンプルJSON表現

{
"modifications": [
{
"modification": {
"keymap": "[app1][sd45kjlf4g][t3://alc03qvb:7001][weblogic][password]",
"operation": "add"
}
},
{
"modification": {
"keymap": "[hrmap][hrkey2][t3://asd01fgn:7001][weblogic][password]",
"operation": "delete"
}
}
]
}

説明:

- accountUIDは、アカウントの一意識別子です。

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一属性の変更を表すJSONオブジェクトです。

- keymapは、追加または削除するマップとキーです。マップとキーは、次の形式にする必要があります。

[csfmap][csfkey][Administration Server Url][username][password]

- operationは、実行される操作のタイプを示します。有効な値は次のとおりです。

- addは、マップとキーの追加を示します。

- deleteは、マップとキーの削除を示します。

B.4.11 アカウントの権限受領者の取得

このAPIを使用して、アカウントのすべての権限受領者を取得します。権限受領者は、ユーザーまたはロールです。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールまたはセキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}/grantees

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200および権限受領者のJSON表現

例B-28 権限受領者のサンプルJSON表現

{
"grantees":{
"users":[
"opamuser1"
],
"roles":[
"opamgroup1"
]
}
}

説明:

- granteesは、アカウントの権限受領者です。

- usersは、アカウントを付与されたユーザーです。各値は、ユーザーのログインID/UIDです。

- rolesは、アカウントを付与されたグループまたはロールです。各値はグループ名です。

B.4.12 アカウントのチェックアウト

このAPIを使用してアカウントをチェックアウトします。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}/checkout

メソッド

PUT

Content-Type

application/json

本体

成功時の戻り値

ステータス・コード200およびアカウント・トークンのJSON表現

例B-29 アカウント・トークンのサンプルJSON表現

{
"accountToken":{
"accountName":"admin",
"accountUID":"3f74a85e39e64432ba917a2e60fa15aa",
"accountPassword":"GJN8p2ol"
}
}

説明:

- accountUIDは、アカウントの一意識別子です。

- accountNameは、アカウントの名前です。

- accountpasswordは、アカウント・パスワードです。

B.4.13 アカウントのチェックイン

このAPIを使用してアカウントをチェックインします。

注意:

強制的チェックインを実行するには、「ユーザー・マネージャ」管理ロールを持管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}/checkin

メソッド

PUT

Content-Type

application/json

本体

成功時の戻り値

ステータス・コード200

例B-30 アカウントの強制的チェックインのサンプルJSON表現

{
"force":"true",
"userid":"sec_admin"
}

説明:

- forceは、強制的チェックインを示すフラグです。(デフォルトはfalseです。)

- useridは、強制的にチェックインされるユーザーです。(デフォルトでは、強制的チェックインは、アカウントからチェックアウトしているすべてのユーザーに対して実行されます。)

B.4.14 アカウントをチェックアウトしたユーザーの取得

このAPIを使用して、現在アカウントをチェックアウトしているすべてのユーザーのリストを取得します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールまたはセキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}/whocheckedout

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびアカウントをチェックアウトしたユーザーのJSON表現

例B-31 アカウントをチェックアウトしたユーザーのサンプルJSON表現

{
"users":[
{
"user":{
"uid":"sec_admin",
"expiryTime":1338765551,
"checkoutTime":1338333551,
}
}
]
}

説明:

- uidは、ユーザーの一意識別子です。

- expiryTimeは、チェックアウト・セッションの有効期限時刻です。このパラメータの値は、UNIX時間です。

- checkoutTimeは、アカウントがチェックアウトされた時刻です。このパラメータの値は、UNIX時間です。

B.4.15 パスワードの表示

このAPIを使用して、アカウントに関連付けられたパスワードを取得および表示します。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者であるか、アカウントからチェックアウトしている必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}/showpassword

メソッド

PUT

Content-Type

application/json

本体

成功時の戻り値

ステータス・コード200およびアカウント・トークンのJSON表現

例B-32 アカウント・トークンのサンプルJSON表現

{
"accountToken":{
"accountName":"admin",
"accountUID":"3f74a85e39e64432ba917a2e60fa15aa",
"accountPassword":"GJN8p2ol"
}
}

説明:

- accountUIDは、アカウントの一意識別子です。

- accountNameは、アカウントの名前です。

- accountPasswordは、アカウント・パスワードです。

B.4.16 パスワード履歴の表示

このAPIを使用して、アカウントに関連付けられているパスワード履歴を取得および表示します。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者であるか、アカウントからチェックアウトしている必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/account/{accountUID}/showpasswordhistory

メソッド

PUT

Content-Type

application/json

本体

成功時の戻り値

ステータス・コード200およびアカウント・トークンのJSON表現

例B-33 アカウント・トークンのサンプルJSON表現

{
"accountToken":{
"accountName":"admin",
"accountUID":"3f74a85e39e64432ba917a2e60fa15aa",
"passwordHistory": [{
"accountPassword": "Ud2fykRx",
"modificationTime": "2013-01-27 19:36:32.952"
}, {
"accountPassword": "jgs21Z8w",
"modificationTime": "2013-01-27 19:37:02.449"
}, {
"accountPassword": "I3jDRaZb",
"modificationTime": "2013-01-27 19:37:19.488"
}, {
"accountPassword": "5VfKaYZT",
"modificationTime": "2013-01-28 00:22:37.331"
}]
}
}

説明:

- accountUIDは、アカウントの一意識別子です。

- accountNameは、アカウントの名前です。

- passwordHistoryは、アカウントのパスワード履歴です。

- accountPasswordは、アカウント・パスワードです。

- modificationTimeは、パスワードが変更された時間です。

B.5 UIリソース

この項では次のAPIについて説明します。

- アカウントの検索

- 割当て済アカウントの検索

- すべてのチェックアウト済アカウントの取得

B.5.1 アカウントの検索

このAPIでは、次の検索リクエスト・パラメータを1つ以上使用してアカウントを検索します。

- type

- domain

- description

- name

- accountname

これらのパラメータはすべてオプションです。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールまたはセキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/ui/allaccounts/search?param1=val1&param2=val2

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびアカウント収集のJSON表現

例B-34 アカウント収集のサンプルJSON表現

{
"AccountCollection" : [
{
"account" : {
"shared" : false,
"targetUID" : "eadd96486e9a47b79bd23cf1167bd2b2",
"domain" : "needtofix",
"targetName" : "sunds_6.3_target",
"targetType" : "ldap",
"accountlevelstatus" : "checkedIn",
"description" : "",
"accountName" : "dsperson1",
"uri" : "https://slc03jfo:7002/opam/account/35e2709edf0443edae8f67727d937bec",
"accountUID" : "35e2709edf0443edae8f67727d937bec"
}
},
{
"account" : {
"shared" : false,
"targetUID" : "eadd96486e9a47b79bd23cf1167bd2b2",
"domain" : "needtofix",
"targetName" : "sunds_6.3_target",
"targetType" : "ldap",
"accountlevelstatus" : "checkedIn",
"description" : "",
"accountName" : "dsperson10",
"uri" : "https://slc03jfo:7002/opam/account/0a1ee2cb17e345cdb537a2f05e11e93c",
"accountUID" : "0a1ee2cb17e345cdb537a2f05e11e93c"
}
}

],
"count" : 2
}

属性定義の詳細はすべて、B.3項「ターゲット・リソース」およびB.4項「アカウント・リソース」を参照してください。

B.5.2 割当て済アカウントの検索

このAPIを使用して割当て済アカウントを検索します。その際は、次の検索リクエスト・パラメータを1つ以上使用します。

- type

- domain

- description

- name

- accountname

これらのパラメータはすべてオプションです。

URI

https://opam_server_host:opam_ssl_port/opam/ui/myaccounts/search?param1=
val1&param2=val2

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびアカウント収集のJSON表現

例B-35 アカウント収集のサンプルJSON表現

{
"AccountCollection" : [
{
"account" : {
"status" : "checkedIn",
"shared" : false,
"targetUID" : "b7af920f673149f5b0f66da28fdf8253",
"domain" : "needtofix",
"targetName" : "ldap_target",
"targetType" : "ldap",
"accountlevelstatus" : "checkedIn",
"description" : "",
"accountName" : "person1",
"uri" : "https://slc03jfo:7002/opam/account/0d755f646bcf4fa08ca515ed3829aadf",
"accountUID" : "0d755f646bcf4fa08ca515ed3829aadf"
}
},
{
"account" : {
"status" : "checkedIn",
"shared" : false,
"targetUID" : "b7af920f673149f5b0f66da28fdf8253",
"domain" : "needtofix",
"targetName" : "ldap_target",
"targetType" : "ldap",
"accountlevelstatus" : "checkedIn",
"description" : "",
"accountName" : "person2",
"uri" : "https://slc03jfo:7002/opam/account/62c684c3821f4e118790e815ee881e02",
"accountUID" : "62c684c3821f4e118790e815ee881e02"
}
}
],
"count" : 2
}

説明:

- statusは、リクエスト元ユーザーがアカウントからチェックアウトしているのかどうかを示します。

他のすべての属性定義の詳細は、B.3項「ターゲット・リソース」およびB.4項「アカウント・リソース」を参照してください。

B.5.3 すべてのチェックアウト済アカウントの取得

このAPIを使用して、ログイン・ユーザーによってチェックアウトされたすべてのアカウントのリストを取得します。

URI

https://opam_server_host:opam_ssl_port/ui/allaccounts/mycheckedout

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびアカウント収集のJSON表現

例B-36 アカウント収集のサンプルJSON表現

{
"AccountCollection":[
{
"account":{
"uri":"https:\/\/opam_server_host:opam_ssl_port\/opam\/account\
/3740553e999a4f6aa8e8f9286d320cb4",
"accountUID":"3740553e999a4f6aa8e8f9286d320cb4",
"accountName":"sherlock",
"status":"checkedOut",
"targetUID":"9bbcbbb087174ad1900ea691a2573b61",
"targetName":"person1-ldap",
"targetType":"ldap",
"domain":"berkeley",
"expiryTime":1338765551,
},
"count":1
}
]
}

属性定義の詳細は、B.3項「ターゲット・リソース」およびB.4項「アカウント・リソース」を参照してください。

B.6 ユーザー・リソース

この項では次のAPIについて説明します。

- ユーザーの取得

- ユーザーに付与されているすべてのアカウントの取得

- アイデンティティ・ストアからのユーザーの検索

- 割当て済ユーザーの検索

B.6.1 ユーザーの取得

このAPIを使用してユーザーを取得します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールまたはセキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/user/{uid}

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびユーザーのJSON表現

例B-37 ユーザーのサンプルJSON表現

{
"user":{
"uid":"opamuser1",
"lastname":"opamuser1",
"usertype":"End-User",
"opamrole":[

],
"dn":"uid=opamuser1,ou=people,ou=myrealm,dc=base_domain",
}
}

説明:

- uidは、ユーザーのログインIDです。

- lastnameは、ユーザーの姓です。

- firstnameは、ユーザーの名前です。

- dnは、ユーザーの識別名です。

- usertypeは、管理ロールを持つユーザーかどうかを示します。

- opamroleは、ユーザーの管理ロールです。

B.6.2 ユーザーに付与されているすべてのアカウントの取得

このAPIを使用して、ユーザーに付与されているすべてのアカウントを取得します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールまたはセキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/user/{uid}/accounts

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびアカウント収集のJSON表現

例B-38 アカウント収集のサンプルJSON表現

{
"accounts":[
{
"account":{
"accountUID":"16d245784350469cbe25229a7c45af22",
"accountName":"oidperson10",
"targetID":"75a23e9f30ba456b961a1f5d327e67ef",
"targetName":"ldap_target",
"targetDomain":"needtofix",
"targetType":"ldap"
}
},
{
"account":{
"accountUID":"47671a7a4ebc44c496888aac5423dad1",
"accountName":"oudperson11",
"targetID":"488d6d656b2c4b96a5fd835c131b4c00",
"targetName":"oud_11.115_target",
"targetDomain":"needtofix",
"targetType":"ldap"
}
}
]
}

属性定義の詳細は、B.3項「ターゲット・リソース」およびB.4項「アカウント・リソース」を参照してください。

B.6.3 アイデンティティ・ストアからのユーザーの検索

このAPIを使用してユーザーを検索します。このAPIでは、ユーザーのfirstname、lastname、uidおよびmailに対してsearchKeyWordを検索します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/user/search/{searchKeyWord}

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス200およびユーザーのJSON表現

例B-39 ユーザーのサンプルJSON表現

{
"users":[
{
"user":{
"uid":"opamenduser1",
"firstname":"opamenduser1",
"lastname":"opamenduser1",
"dn":"uid=opamenduser1,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamenduser2",
"lastname":"opamenduser2",
"dn":"uid=opamenduser2,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamuser1",
"lastname":"opamuser1",
"dn":"uid=opamuser1,ou=people,ou=myrealm,dc=base_domain"
}
}
]
}

属性定義の詳細は、B.6.1項「ユーザーの取得」を参照してください。

B.6.4 割当て済ユーザーの検索

このAPIを使用してユーザーを検索します。このAPIは、uidパラメータを使用した検索を含みます。

uidパラメータはオプションです。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/user/advancedsearch?param1=val1&param2=val2

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス200およびユーザーのJSON表現

例B-40 ユーザーのサンプルJSON表現

{
"users":[
{
"user":{
"uid":"OracleSystemUser",
"lastname":"OracleSystemUser",
"dn":"uid=OracleSystemUser,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"weblogic",
}
},
{
"user":{
"uid":"app_config",
"lastname":"app_config",
"dn":"uid=app_config,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"sec_admin",
"lastname":"sec_admin",
"dn":"uid=sec_admin,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"user_manager",
"lastname":"user_manager",
"dn":"uid=user_manager,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"sec_auditor",
"lastname":"sec_auditor",
"dn":"uid=sec_auditor,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamenduser1",
"firstname":"opamenduser1",
"lastname":"opamenduser1",
"dn":"uid=opamenduser1,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamenduser2",
"lastname":"opamenduser2",
"dn":"uid=opamenduser2,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"opamuser1",
"lastname":"opamuser1",
"dn":"uid=opamuser1,ou=people,ou=myrealm,dc=base_domain"
}
}
]
}

属性定義の詳細は、B.6.1項「ユーザーの取得」を参照してください。

B.7 グループ・リソース

この項では次のAPIについて説明します。

- グループの取得

- グループのメンバー・ユーザーの取得

- グループのメンバー・グループの取得

- グループに付与されているすべてのアカウントの取得

- アイデンティティ・ストアからのグループの検索

- 割当て済グループの拡張検索

B.7.1 グループの取得

このAPIを使用してグループを取得します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/group/{name}

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびグループのJSON表現

例B-41 グループのサンプルJSON表現

{
"group":{
"name":"opamgroup1",
"dn":"cn=opamgroup1,ou=groups,ou=myrealm,dc=base_domain",
"description":"",
}
}

説明:

- nameは、グループの名前です。

- dnは、グループの識別名です。

- descriptionは、グループの説明です。

B.7.2 グループのメンバー・ユーザーの取得

このAPIを使用してグループのユーザー・メンバーを取得します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/group/{name}/users

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびユーザー収集のJSON表現

例B-42 ユーザー収集のサンプルJSON表現

{
"users":[
{
"user":{
"uid":"master_user",
"lastname":"master_user",
"dn":"uid=master_user,ou=people,ou=myrealm,dc=base_domain"
}
},
{
"user":{
"uid":"sec_admin",
"lastname":"sec_admin",
"dn":"uid=sec_admin,ou=people,ou=myrealm,dc=base_domain"
}
}
]
}

属性定義の詳細は、B.6.1項「ユーザーの取得」を参照してください。

B.7.3 グループのメンバー・グループの取得

このAPIを使用してグループのグループ・メンバーを取得します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/group/{name}/groups

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびグループ収集のJSON表現

例B-43 グループ収集のサンプルJSON表現

{
"groups":[
{
"group":{
"name":"CrossDomainConnectors",
"description":"CrossDomainConnectors can make inter-domain calls from foreign domains."
}
},
{
"group":{
"name":"Deployers",
"description":"Deployers can view all resource attributes and deploy applications."
}
}
]
}

属性定義の詳細は、B.7.1項「グループの取得」を参照してください。

B.7.4 グループに付与されているすべてのアカウントの取得

このAPIを使用して、グループに付与されているすべてのアカウントを取得します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/group/{name}/accounts

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびアカウント収集のJSON表現

例B-44 アカウント収集のサンプルJSON表現

{
"accounts":[
{
"account":{
"accountUID":"16d245784350469cbe25229a7c45af22",
"accountName":"oidperson10",
"targetID":"75a23e9f30ba456b961a1f5d327e67ef",
"targetName":"ldap_target",
"targetDomain":"needtofix",
"targetType":"ldap"
}
},
{
"account":{
"accountUID":"47671a7a4ebc44c496888aac5423dad1",
"accountName":"oudperson11",
"targetID":"488d6d656b2c4b96a5fd835c131b4c00",
"targetName":"oud_11.115_target",
"targetDomain":"needtofix",
"targetType":"ldap"
}
}
]
}

属性定義の詳細は、B.3項「ターゲット・リソース」およびB.4項「アカウント・リソース」を参照してください。

B.7.5 アイデンティティ・ストアからのグループの検索

このAPIを使用してグループを検索します。このAPIでは、グループ名に対してsearchKeyWordを検索します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/group/search/{searchKeyWord}

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス200およびグループのJSON表現

例B-45 グループのサンプルJSON表現

{
"groups":[
{
"group":{
"name":"opamgroup1",
"description":"",
}
},
{
"group":{
"name":"opamgroup2",
"description":"",
}
},
{
"group":{
"name":"opamsubgroup1",
"description":"",
}
},
{
"group":{
"name":"opamsubgroup2",
"description":"",
}
},
{
"group":{
"name":"OPAM_APPLICATION_CONFIGURATOR",
"description":"OPAM_APPLICATION_CONFIGURATOR",
}
},
{
"group":{
"name":"OPAM_SECURITY_ADMIN",
"description":"OPAM_SECURITY_ADMIN",
}
},
{
"group":{
"name":"OPAM_SECURITY_AUDITOR",
"description":"OPAM_SECURITY_AUDITOR",
}
},
{
"group":{
"name":"OPAM_USER_MANAGER",
"description":"OPAM_USER_MANAGER",
}
}
]
}

属性定義の詳細は、B.7.1項「グループの取得」を参照してください。

B.7.6 割当て済グループの拡張検索

このAPIを使用してアカウントに割り当てられているグループを検索します。リクエスト・パラメータはgroupnameです。これはオプションです。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/group/advancedsearch?param1=val1&param2=val2

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス200およびグループのJSON表現

例B-46 グループのサンプルJSON表現

{
"groups":[
{
"group":{
"name":"opamgroup1",
"description":"",
}
},
{
"group":{
"name":"opamgroup2",
"description":"",
}
},
{
"group":{
"name":"opamsubgroup1",
"description":"",
}
},
{
"group":{
"name":"opamsubgroup2",
"description":"",
}
},
{
"group":{
"name":"OPAM_APPLICATION_CONFIGURATOR",
"description":"OPAM_APPLICATION_CONFIGURATOR",
}
},
{
"group":{
"name":"OPAM_SECURITY_ADMIN",
"description":"OPAM_SECURITY_ADMIN",
}
},
{
"group":{
"name":"OPAM_SECURITY_AUDITOR",
"description":"OPAM_SECURITY_AUDITOR",
}
},
{
"group":{
"name":"OPAM_USER_MANAGER",
"description":"OPAM_USER_MANAGER",
}
}
]
}

属性定義の詳細は、B.7.1項「グループの取得」を参照してください。

B.8 使用ポリシー・リソース

この項では次のAPIについて説明します。

- 使用ポリシーの作成

- 使用ポリシーの取得

- 使用ポリシーの権限付与の取得

- 使用ポリシーの更新

- 使用ポリシーの削除

B.8.1 使用ポリシーの作成

このAPIを使用して使用ポリシーを作成します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールまたはセキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/usagepolicy

メソッド

POST

Content-Type

application/json

本体

使用ポリシーの作成のJSON表現

成功時の戻り値

ステータス・コード201

例B-47 使用ポリシーの作成のサンプルJSON表現

{
"usagepolicy":{
"policystatus":"active",
"policyname":"Default Usage Policy",
"description":"Default Usage Policy",
"dateorduration":"duration",
"expireddateminutesfromcheckout":7200,
"expireddate":"08\/08\/2088",
"expireddatehour":0,
"expireddateminutes":0,
"expireddateamorpm":"am",
"timezone":"America\/Los_Angeles",
"usagedates":[
{
"day":"saturday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"wednesday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"sunday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"friday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"tuesday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"thursday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"monday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
}
]
}
}

属性定義の詳細は、B8.2項「使用ポリシーの取得」を参照してください。

B.8.2 使用ポリシーの取得

このAPIを使用して使用ポリシーを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/usagepolicy/{policyid}

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200および使用ポリシーのJSON表現

例B-48 使用ポリシーのサンプルJSON表現

{
"usagepolicy":{
"policyid":"usagepolicy1",
"policystatus":"active",
"policyname":"Default Usage Policy",
"description":"Default Usage Policy",
"globaldefault":"y",
"dateorduration":"duration",
"expireddateminutesfromcheckout":7200,
"expireddate":"08\/08\/2088",
"expireddatehour":0,
"expireddateminutes":0,
"expireddateamorpm":"am",
"timezone":"America\/Los_Angeles",
"usagedates":[
{
"day":"saturday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"wednesday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"sunday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"friday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"tuesday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"thursday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"monday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
}
],
}
}

説明:

- usagepolicyは、使用ポリシーJSONオブジェクトです。

- policyidは、使用ポリシーの一意識別子です。

- policystatusは、activeまたはdisabledに設定されます。

- policynameは、ポリシーの名前です。

- descriptionは、ポリシーの説明です。

- globaldefaultは、ポリシーがグローバル・デフォルト・ポリシーであるかどうかを示します。

- dateordurationは、有効期限の計算方法を示します。

- 設定がdateの場合、expireddate、expireddatehour、expireddateminutesおよびexpireddateamorpmが使用されます。

- 設定がdurationの場合、expireddateminutesfromcheckoutが使用されます。

説明:

- expireddateは有効期限の日付です。書式はMM/dd/yyyyです。

- expireddatehour.hourは0から12の整数値です。

- expireddateminutes.minutesは0から60の整数値です。

- expireddateamorpmはamまたはpmです。

- expireddateminutesfromcheckoutはチェックアウトからの分数です。

- timezoneは、使用ポリシーのタイムゾーンです。

- usagedatesは、配列であり、各値が個々の日のチェックアウト時刻を表します。

- dayは、曜日であり、有効な値はsunday、monday、tuesday、wednesday、thursday、fridayおよびsaturdayです。

次の属性を使用して範囲の開始と終了を示します。

- fromhourは、0から12の整数値です。

- fromminutesは、0から60の整数値です。

- fromamorpmは、amまたはpmです。

- tohourは、0から12の整数値です。

- tominutesは、0から60の整数値です。

- toamorpmは、amまたはpmです。

B.8.3 使用ポリシーの権限の取得

このAPIを使用して、使用ポリシーの権限付与のリストを取得します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールまたはセキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/usagepolicy/{policyid}/grantees

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200および権限のJSON表現

例B-49 権限のサンプルJSON表現

{
"grantees":[
{
"grantee":{
"accountUID":"16d245784350469cbe25229a7c45af22",
"accountName":"oidperson10",
"targetID":"75a23e9f30ba456b961a1f5d327e67ef",
"targetName":"ldap_target",
"targetDomain":"needtofix",
"targetType":"ldap",
"grantee":"CrossDomainConnectors",
"grantType":"role"
}
},
{
"grantee":{
"accountUID":"3a7f105a1e45407284cd887f8774700d",
"accountName":"openLDAPperson2",
"targetID":"dd9d7a31b39348c79eb23ac46f04d40d",
"targetName":"openldap_2.3_target",
"targetDomain":"needtofix",
"targetType":"ldap",
"grantee":"opamuser2",
"grantType":"user"
}
}
]
}

属性定義の詳細は、B.3項「ターゲット・リソース」およびB.4項「アカウント・リソース」を参照してください。

B.8.4 使用ポリシーの更新

このAPIを使用して使用ポリシーを更新します。policyidを除くすべての属性の更新が可能で、同時に複数の属性を更新できます。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールまたはセキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/usagepolicy/{policyid}

メソッド

PUT

Content-Type

application/json

本体

使用ポリシーの変更のJSON表現

成功時の戻り値

ステータス・コード200

例B-50 使用ポリシーの変更のサンプルJSON表現

{
"modifications":[
{
"modification":{
"usagedates":[
{
"day":"saturday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
},
{
"day":"wednesday",
"fromhour":"12",
"fromminutes":"0",
"fromamorpm":"am",
"tohour":"12",
"tominutes":"0",
"toamorpm":"am"
}
]
}
},
{
"modification":{
"expireddatehour":2
}
}
]
}

説明:

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一属性を表すJSONオブジェクトです。

ターゲットのusagedatesおよびexpireddatehour属性を更新する必要があります。これらの値は、指定された値に更新されます。

B.8.5 使用ポリシーの削除

このAPIを使用して使用ポリシーを削除します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールまたはセキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/usagepolicy/{policyid}

メソッド

DELETE

Content-Type

本体

成功時の戻り値

ステータス200

B.9 パスワード・ポリシー・リソース

この項では次のAPIについて説明します。

- パスワード・ポリシーの作成

- パスワード・ポリシーの取得

- パスワード・ポリシーのアカウントの取得

- パスワード・ポリシーの削除

- パスワード・ポリシーの更新

B.9.1 パスワード・ポリシーの作成

このAPIを使用してパスワード・ポリシーを作成します。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/passwordpolicy

メソッド

POST

Content-Type

application/json

本体

パスワード・ポリシーの作成のJSON表現

成功時の戻り値

ステータス・コード201

例B-51 パスワード・ポリシーの作成のサンプルJSON表現

{
"passwordpolicy":{
"policystatus":"active",
"policyname":"Default Password Policy",
"description":"Default Password Policy",
"passwordchangedurationunit":"days",
"passwordchangedurationvalue":30,
"passwordhistorydays":30
"changeoncheckin":"y",
"changeoncheckout":"y",
"passwordcharsmin":8,
"passwordcharsmax":8,
"passwordalphabeticmin":1,
"passwordnumericmin":1,
"passwordalphanumericmin":2,
"passworduniquemin":1,
"passworduppercasemin":1,
"passwordlowercasemin":1,
"passwordspecialmin":0,
"passwordspecialmax":0,
"passwordrepeatedmin":0,
"passwordrepeatedmax":1,
"startingchar":"n",
"isaccountnameallowed":"n",
"requiredchars":[
"a",
"h",
"j"
],
"allowedchars":[
"b",
"t",
"y",
"p",
"u",
"r",
"o",
"k",
"1",
"2",
"=",
"M",
"a",
"h",
"j"
],
"disalloweddchars":[
"7",
"8",
"l"
]
}
}

policynameを除き、属性はすべてオプションlです。属性定義の詳細は、B9.2項「パスワード・ポリシーの取得」を参照してください。

B.9.2 パスワード・ポリシーの取得

このAPIを使用してパスワード・ポリシーを取得します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールまたはセキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/passwordpolicy/{policyid}

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびパスワード・ポリシーのJSON表現

例B-52 パスワード・ポリシーのサンプルJSON表現

{
"passwordpolicy":{
"policyid":"passwordpolicy2",
"policystatus":"active",
"policyname":"Default Password Policy",
"description":"Default Password Policy",
"globaldefault":"y",
"passwordchangedurationunit":"days",
"passwordchangedurationvalue":30,
"passwordhistorydays":30
"changeoncheckin":"y",
"changeoncheckout":"y",
"passwordcharsmin":8,
"passwordcharsmax":8,
"passwordalphabeticmin":1,
"passwordnumericmin":1,
"passwordalphanumericmin":2,
"passworduniquemin":1,
"passworduppercasemin":1,
"passwordlowercasemin":1,
"passwordspecialmin":0,
"passwordspecialmax":0,
"passwordrepeatedmin":0,
"passwordrepeatedmax":1,
"startingchar":"n",
"isaccountnameallowed":"n",
"requiredchars":[
"a",
"h",
"j"
],
"allowedchars":[
"b",
"t",
"y",
"p",
"u",
"r",
"o",
"k",
"1",
"2",
"=",
"M",
"a",
"h",
"j"
],
"disalloweddchars":[
"7",
"8",
"l"
],
}
}

説明:

- passwordpolicyは、パスワード・ポリシーJSONオブジェクトです。

- policyidは、ポリシーの一意識別子です。

- policystatusは、ポリシー・ステータスであり、有効な値はactiveまたはdisabledです。

- policynameは、ポリシー名です。

- descriptionは、ポリシーの説明です。

- globaldefaultは、ポリシーがグローバル・デフォルトであるかどうかを示します。

- passwordchangedurationunitおよびpasswordchangedurationvalueは、アカウント・パスワードの変更が必要となる時間隔を決定します。この場合、passwordchangedurationunitには、値days、hoursまたはminutesを指定できます。

- passwordhistorydaysは、パスワード履歴を保持する日数を示します。

- changeoncheckinは、チェックイン時にパスワードを変更するかどうかを示します。(有効な値は、yおよびnです。)

- changeoncheckoutは、チェックアウト時にパスワードを変更するかどうかを示します。(有効な値は、yおよびnです。)

- startingcharは、パスワードの先頭の文字を示します。

- isaccountnameallowedは、パスワードをアカウント名と同じにできるかどうかを示します。

- requiredchars、allowedchars、disallowedcharsは、それぞれ、必要な文字、許可されている文字および許可されていない文字です。

- passwordcharsminは、パスワードに必要な最小文字数です。

- passwordcharsmaxは、パスワードに使用できる最大文字数です。

- passwordalphabeticminは、パスワードに必要なアルファベット文字の最小数です。

- passwordnumericminは、パスワードに必要な数字の最小数です。

- passwordalphanumericminは、パスワードに必要な英数字の最小数です。

- passworduniqueminは、パスワードに必要な一意文字の最小数です。

- passworduppercaseminは、パスワードに必要な大文字の最小数です。

- passwordlowercaseminは、パスワードに必要な小文字の最小数です。

- passwordspecialminは、パスワードに必要な特殊文字の最小数です。

- passwordspecialmaxは、パスワードに使用できる特殊文字の最大数です。

- passwordrepeatedminは、パスワードに必要な繰返し文字の最小数です。

- passwordrepeatedmaxは、パスワードに使用できる繰返し文字の最大数です。

B.9.3 パスワード・ポリシーのアカウントの取得

このAPIを使用してパスワード・ポリシーのアカウント・リストを取得します。

注意:

このAPIを使用するには、「ユーザー・マネージャ」管理ロールまたはセキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/passwordpolicy/{policyid}/accounts

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびアカウントのJSON表現

例B-53 アカウントのサンプルJSON表現

{
"accounts":[
{
"account":{
"accountUID":"5bb2c74e1655487c92ecefd5b5270e95",
"accountName":"dsperson1",
"targetID":"3ba06e568166493384f86aa5cc7152f1",
"targetName":"sunds_6.3_target",
"targetDomain":"needtofix",
"targetType":"ldap"
}
},
{
"account":{
"account":{
"accountUID":"c67f93d7a7e44844b24aa43d4cd236e9",
"accountName":"person2",
"targetID":"75a23e9f30ba456b961a1f5d327e67ef",
"targetName":"ldap_target",
"targetDomain":"needtofix",
"targetType":"ldap"
}
}
}
]
}

属性定義の詳細は、B.3項「ターゲット・リソース」およびB.4項「アカウント・リソース」を参照してください。

B.9.4 パスワード・ポリシーの削除

このAPIを使用してパスワード・ポリシーを削除します。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/passwordpolicy/{policyid}

メソッド

DELETE

Content-Type

本体

成功時の戻り値

ステータス200

B.9.5 パスワード・ポリシーの更新

このAPIを使用して使用ポリシーを更新します。policyidを除くすべての属性の更新が可能で、同時に複数の属性を更新できます。

注意:

このAPIを使用するには、セキュリティ管理者管理ロールを持つ管理者である必要があります。

URI

https://opam_server_host:opam_ssl_port/opam/passwordpolicy/{policyid}

メソッド

PUT

Content-Type

application/json

本体

パスワード・ポリシーの変更のJSON表現

成功時の戻り値

ステータス・コード200

例B-54 パスワード・ポリシーの変更のサンプルJSON表現

{
"modifications":[
{
"modification":{
"disalloweddchars":[
"4",
"6"
]
}
},
{
"modification":{
"passwordalphabeticmin":2
}
}
]
}

説明:

- modificationsは、変更JSONオブジェクトの配列です。

- modificationは、単一属性を表すJSONオブジェクトです。

B.10 ポリシー・リソース

この項では次のAPIについて説明します。

- ポリシーの検索

- デフォルト・ポリシーの取得

B.10.1 ポリシーの検索

このAPIを使用してアカウントを検索します。このAPIは、次のパラメータを1つ以上使用したcontains条件検索です。

- policystatus

- policyname

パラメータはすべてオプションです。

URI

https://opam_server_host:opam_ssl_port/opam/policy/search?param1=val1&param2=val2

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびポリシーのJSON表現

例B-55 ポリシーのサンプルJSON表現

{
"usagepolicies":[
{
"policyname":"Default Usage Policy",
"policyid":"usagepolicy1",
"policystatus":"active",
}
],
"passwordpolicies":[
{
"policyname":"Default Password Policy",
"policyid":"passwordpolicy2",
"policystatus":"active",
"globaldefault":"y"
}
]
}

説明:

- usagepoliciesは、使用ポリシーの配列です。

- passwordpoliciesは、パスワード・ポリシーの配列です。

- policynameは、ポリシー名です。

- policyidは、ポリシーの一意識別子です。

- policystatusは、ポリシー・ステータスであり、有効な値はactiveまたはdisabledです。

B.10.2 デフォルト・ポリシーの取得

このAPIを使用して、デフォルト使用ポリシーおよびデフォルト・パスワード・ポリシーを取得します。

URI

https://opam_server_host:opam_ssl_port/opam/policy/default

メソッド

GET

Content-Type

本体

成功時の戻り値

ステータス・コード200およびポリシーのJSON表現

例B-56 ポリシーのサンプルJSON表現

{
"usagepolicies":[
{
"policyname":"Default Usage Policy",
"policyid":"usagepolicy1",
"policystatus":"active"
}
],
"passwordpolicies":[
{
"policyname":"Default Password Policy",
"policyid":"passwordpolicy2",
"policystatus":"active"
}
]
}

説明:

- usagepoliciesは、使用ポリシーの配列です。

- passwordpoliciesは、パスワード・ポリシーの配列です。

- policynameは、ポリシー名です。

- policyidは、ポリシーの一意識別子です。

- policystatusは、ポリシー・ステータスであり、有効な値はactiveまたはdisabledです。

この属性は、デフォルト・ポリシー(デフォルト使用ポリシーおよびデフォルト・パスワード・ポリシー)のみを返します。

C Oracle Privileged Account Managerのトラブルシューティング

この付録では、Oracle Privileged Account Managerの使用時に発生する可能性のある一般的な問題を診断して解決する方法について説明します。

この付録の内容は次のとおりです。

- C.1項「一般的な障害と解決策」

- C.2項「Oracle Privileged Account Managerに関する問題の診断」

- C.3項「詳細情報」

C.1 一般的な障害と解決策

この項では、一般的な問題について説明し、それらの問題を解決するために役立つ情報を提供します。

内容は次のとおりです。

- コンソールがOracle Privileged Account Managerサーバーに接続できない

- コンソールの変更が開いている他のページに反映されない

- ターゲットまたはアカウントにアクセスできない

- データベース・ターゲットを追加できない

- Active Directory LDAPターゲットを追加できない

- 権限受領者がチェックアウトを実行できない

- 構成済のリモートIDストアからユーザーやロールを表示できない

- グループ・メンバーシップの変更がOracle Privileged Account Managerに即座に反映されない

- エクスポート/インポートにさらに大きな鍵サイズを使用できない

- Oracle Privileged Account Managerのエンド・ユーザーが明示的に付与されていない権限を取得する

- MSSQL Serverのターゲットおよびアカウントにアクセスできない

C.1.1 コンソールがOracle Privileged Account Managerサーバーに接続できない

Oracle Privileged Account ManagerコンソールがOracle Privileged Account Managerサーバーに接続できません。

原因

コンソールがOracle Privileged Account Managerサーバーに接続していない場合は、コンソールまたはOracle Platform Security Services Trustに構成上の問題がある可能性があります。

解決策

- ホストおよびポート情報が正しいことを確認します。コンソールに表示されている、生成されたURLが応答することを確認します。

- 『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のインストール後のタスクに関する項に説明されているすべての構成手順を正しく完了したことを確認します。

C.1.2 コンソールの変更が開いている他のページに反映されない

複数のブラウザ・ウィンドウがある、または同一のOracle Privileged Account Managerコンソールに対して複数のコンソール・タブが開いている場合は、1つのウィンドウまたはタブで行われた更新は、別のウィンドウやタブに即座には反映されません。

原因

Oracle Privileged Account Managerコンソールでは、更新をブラウザに事前にプッシュしません。

解決策:

ブラウザ・ウィンドウまたはタブをリフレッシュします。

C.1.3 ターゲットまたはアカウントにアクセスできない

ターゲットや特権アカウントにアクセスしようとすると失敗します。チェックアウト、チェックインまたはテストを実行できません。

原因

Oracle Privileged Account Managerで使用されているICFコネクタに、ターゲット・システムとの相互作用に関する問題があります。

解決策:

- ターゲット・システムが起動中で、該当の特権アカウントが存在することを確認します。

- Oracle Privileged Account Managerのロギング・レベルをTRACE:32 (最も詳細なレベル)に上げてトレース・ログを確認し、障害の発生箇所を特定します。
不具合が環境上の問題によって発生することはよくあります。これは、トレース・ログを使用して識別し、ターゲット・システムで構成を修正することにより是正できます。詳細は、第6章「Oracle Privileged Account Managerの監査およびロギングの管理」を参照してください。

- コネクタに問題がある可能性があります。再現可能なテスト・ケース、ターゲット・システムの詳細およびトレース・ログを含むバグを送信します。

原因

ユーザーがOracle Privileged Account Managerからアウトオブバンドでターゲットのサービス・アカウント・パスワードを変更しました。たとえば、ユーザーが、DBホストを使用して、または別のドメインにある別のOracle Privileged Account Managerインスタンスを使用してパスワードを変更した場合は、元のOracle Privileged Account Managerサーバーの「パスワードの表示」機能によって変更が反映されることはなく、そのターゲットに接続しようとすると失敗します。

解決策

新しいパスワードは、Oracle Privileged Account Managerコンソールまたはコマンドラインを使用してターゲットを編集することにより、更新できます。詳細は、第5.1.3.7項「アカウント・パスワードの管理」または第A.2.31項「resetpasswordコマンド」を参照してください。

C.1.4 データベース・ターゲットを追加できない

この項では、データベース・ターゲットの追加を阻む問題について説明します。

- sysdbaロールでOracle Databaseに接続できない

- データベース・ターゲットの追加に関する特別なオプションを検出できない

C.1.4.1 sysdbaロールでOracle Databaseに接続できない

sysdbaロールを使用してOracle Databaseに接続しようとすると失敗し、次のエラー・メッセージが表示されます。

Invalid Connection Details, see server log for details.

原因

sysdbaロールを持つユーザーとしてOracle Databaseに接続するには、「拡張プロパティ」オプションを値internal_logon=sysdbaで構成する必要があります。

この設定は、Oracle Database SYSアカウントにも指定する必要があります。これには、sysdbaロールで接続する必要があります。Oracle Database SYSユーザーは特別なアカウントであるため、このロールを使用しない場合、接続が失敗する可能性があります。ただし、SYSを使用するかわりに、Oracle Privileged Account Managerサービス・アカウントを作成する方が適しています。

解決策:

次の手順を実行してOracle Databaseにsysdbaロールを持つユーザーとして接続します。

注意:

これらの構成手順は、通常のユーザーとして接続している場合には必要ありません。

1. ターゲットの「一般」タブを開き、「拡張構成」を開いて構成オプションを表示します。

2. internal_logon=sysdba値を接続プロパティフィールドに入力します。

3. 「テスト」をクリックして接続を再テストします。

4. 変更を保存します。

C.1.4.2 データベース・ターゲットの追加に関する特別なオプションを検出できない

Oracle RACデータベースなどのデータベース・ターゲットに接続したり、Secure Socket Layer (SSL)を使用するための構成オプションを検出できません。

原因

Oracle Privileged Account Managerでは、汎用的なデータベース・コネクタを使用しています。この場合、特定のデータベース・ターゲット・システムの特別な構成オプションはクリーンで直観的な方法では公開されません。

解決策:

データベース接続URLおよび接続プロパティパラメータ値を変更することにより、データベース・ターゲットの特別な接続オプションを定義します。

注意:

- これらのパラメータは、第5.1.2.2項「Oracle Privileged Account Managerへのターゲットの追加」を参照してください。

- サポートされている特別なオプションは、『Oracle Identity Manager Database User Management Connectorガイド』を参照してください。

C.1.5 Active Directory LDAPターゲットを追加できない

接続のテスト、アカウントの検索またはパスワードのチェックアウト時にMicrosoft Active Directoryを使用するLDAPターゲットに障害が発生します。

原因

Active Directoryはデフォルトで特定の構成を必要とするため、LDAPターゲットの汎用的なデフォルト値を変更する必要があります。Oracle Privileged Account Managerでは、汎用LDAPコネクタを使用しています。この場合、特定のLDAPターゲット・システムの特別な構成オプションやカスタムな構成オプションは容易にはわかりません。(通常、問題を引き起こすのはActive Directory LDAPターゲットのみです。)

解決策:

LDAPターゲットを追加する場合は、次を実行する必要があります。

注意:

次のパラメータの設定の詳細は、第5.1.2.2.1項「ldapターゲット・タイプのパラメータ」を参照してください。

- Active Directoryとの通信にSSLを使用します。

- SSL証明書をOracle Privileged Account Managerを実行するWebLogicインスタンスにインポートします。詳細は、第7.1項「SSL経由でターゲット・システムと接続するためのOracle Privileged Account Managerの構成」を参照してください。

- 「ターゲット」ページから、TCPポートをActive Directory SSLポートに設定し、「SSL」チェック・ボックスを有効化します。

- 次の「拡張構成」パラメータを指定します。

- パスワード属性をunicodepwdに設定します。

- 「拡張構成」→アカウント・オブジェクト・クラスをtop|person|organizationalPerson|userに設定します。

- Active Directory内のデータに適切な属性(uidやsamaccountnameなど)をアカウント・ユーザー名属性、Uid属性およびアカウント取得用LDAPフィルタの各構成パラメータに指定します。

C.1.6 権限受領者がチェックアウトを実行できない

権限受領者がアカウントをチェックアウトしようとすると、Insufficient Privilegesエラーが発生して失敗します。

原因

Oracle Privileged Account Managerの権限付与ではユーザー名は大文字と小文字が区別されますが、WebLogic認証では常にそうとはかぎりません。

解決策:

製品IDストアに使用されているオーセンティケータの取得したユーザー名をプリンシパルとして使用するオプションを必ず有効化してください。詳細は、第3.3.2項「Oracle Privileged Account Managerの外部アイデンティティ・ストアの構成」を参照してください。

C.1.7 構成済のリモートIDストアからユーザーやロールを表示できない

ユーザーまたはグループに対して権限を付与する場合に、構成済のリモートIDストアからのユーザーおよびロールすべては表示できません。

原因

- ユーザーやロールを含むアイデンティティ・ストアに対応するオーセンティケータの制御フラグが、SUFFICIENTに設定されていません。

- 検索しているユーザーやロールが、プロバイダ・リストに表示されている最初のオーセンティケータに存在しません。

解決策:

次の手順を実行します。

1. 必要なオーセンティケータすべての制御フラグをSUFFICIENTに設定します。

2. デフォルトでは、Oracle Privileged Account Managerにより、プロバイダ・リストの最初のオーセンティケータでユーザーやグループが検索されます。ただし、jps-config.xmlのvirtualizeプロパティをtrueに設定した場合はと、Oracle Privileged Account Managerにより、すべてのLDAPオーセンティケータからエンティティが取得されます。次に例を示します。

<serviceInstance name="idstore.ldap" provider="idstore.ldap.provider">
<property name="idstore.config.provider" value="oracle.security.jps.wls.internal.idstore.WlsLdapIdStoreConfigProvider"/>
<property name="CONNECTION_POOL_CLASS" value="oracle.security.idm.providers.stdldap.JNDIPool"/>
<property name="virtualize" value="true"/>
</serviceInstance>

WebLogicでは、jps-config.xmlファイルは次の場所にあります。

DOMAIN_HOME/config/fmwconfig

C.1.8 グループ・メンバーシップの変更がOracle Privileged Account Managerに即座に反映されない

グループ・メンバーシップを通じて権限が間接的に付与されているため、グループ・メンバーシップを更新してもOracle Privileged Account Managerに即座には反映されません。

たとえば、ユーザーをOracle Privileged Account Manager管理ロールに、またはOracle Privileged Account Manager特権アカウントを付与されたグループに割り当てても、その変更を即座に参照できないことがあります。

原因

WebLogicでは、デフォルトで、アイデンティティ・ストア・プロバイダからグループ・メンバーシップをキャッシュします。

解決策:

要件に合うように、WebLogic AuthenticatorおよびAsserterの構成のキャッシング設定を変更します。

注意:

詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』のグループ・メンバーシップ・キャッシュの最適化に関する項を参照してください。

C.1.9 エクスポート/インポートにさらに大きな鍵サイズを使用できない

エクスポートまたはインポート操作に、128ビットより大きなサイズの鍵は使用できません。

原因

デフォルトのJREインストールには、Java Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policy Files 6は含まれません。

解決策:

http://www.oracle.com/technetwork/java/javase/downloads/jce-6-download-429243.htmlからダウンロード可能なJCEパッチを適用してください。

C.1.10 Oracle Privileged Account Managerのエンド・ユーザーが明示的に付与されていない権限を取得する

Oracle Privileged Account Managerエンド・ユーザーは、ユーザーに関連付られているすべてのグループにアクセスできますが、これらのグループへのアクセス権は明示的に付与されていません。

原因

この問題は、次の2つの場合に発生します。

- 複数の値をそのネーミング値として使用するLDAPグループを通じて、Oracle Privileged Account Managerエンド・ユーザーにアクセス権を付与した場合。
たとえば、CNをそのネーミング属性として使用し、2つのグループAとBを含む環境を構成したとします。グループAにはCN値、cn=GroupAが1つのみ含まれており、グループBには2つのCN値、cn=GroupAとcn=GroupBが含まれているとします。

Oracle Privileged Account Managerホスト・コンテナ(WebLogicまたはWebSphere)は、GroupAの実際のメンバーがGroupAのメンバーであることをアサートします。ただし、ホスト・コンテナはGroupBの実際のメンバーがGroupAのメンバーであることもアサートします。つまり、GroupBのメンバーはGroupAに関連付けられている権限を間違って取得することを意味しています。

- ネストされたグループ・メンバーシップを使用した場合。
グループBがグループAのメンバーであり、グループAにOracle Privileged Account Managerリソースへのアクセス権を付与した場合は、この権限をグループBに暗黙的に付与することになります。

解決策:

LDAPのグループ・エントリには、使用されているネーミング属性の値が1つしかないことを確認する必要があります。

C.1.11 MSSQL Serverのターゲットおよびアカウントにアクセスできない

MSSQLサーバー・データベース・ターゲットやアカウントへアクセスしようとすると失敗します。テスト、チェックアウトまたはチェックインを実行できません。

原因

この問題は、次の2つの原因で発生します。

- MSSQLドライバsqljdbc4.jarがありません。

- JAVA Bug 7105007が発生している可能性があります。これは、Javaバージョン: 1.6.0_26および
1.6.0_29に影響します。
http://bugs.sun.com/bugdatabase/view_bug.do?bug_id=7105007

解決策:

この問題を解決する手順は次のとおりです。

- MSSQLドライバは、第5.1.2.2.3項「databaseターゲット・タイプのパラメータ」のデータベースのタイプの説明に記載されているように、サーバーで使用可能です。

- JAVAバージョン1.6.0_30以上を使用して、前述のJAVAバグの発生を防ぎます。

C.2 Oracle Privileged Account Managerに関する問題の診断

この項では、Oracle Privileged Account Managerの問題を診断する方法について説明します。

内容は次のとおりです。

- ログ・レベルの向上

- ログの例外の調査

C.2.1 ログ・レベルの向上

Oracle Privileged Account Managerでエラーが発生した場合、デバッグ情報やコネクタ・ロギングを含む完全なログを収集して、エラーの原因に関する多くの情報を収集できます。次の手順を実行します。

1. Oracle Privileged Account Managerのロギング・レベルを最も詳細なレベルのTRACE:32に設定します。

注意:

- Oracle Privileged Account Managerのロギングの詳細は、第6章「Oracle Privileged Account Managerの監査およびロギングの管理」を参照してください。

- ロギング・レベルの設定の詳細は、『Oracle Containers for J2EE開発者ガイド』のJavaおよびOracleロギングの実装に関する項を参照してください。

2. エラーの発生元であるタスクまたはプロシージャを再度実行します。

3. DEBUGレベルを使用して生成されたログ情報を調査します。

C.2.2 ログの例外の調査

Oracle Privileged Account Managerのログ・ファイルに記録された例外を調査すると、様々な問題の識別に役立ちます。

次のディレクトリにあるOracle Privileged Account Managerの診断ログにアクセスできます。

DOMAIN_HOME/servers/Adminserver/logs
DOMAIN_HOME/servers/opamserver/logs

C.3 詳細情報

My Oracle Support(以前のMetaLink)(http://support.oracle.com)でより多くの解決策を参照できます。そこでも問題の解決策が見つからない場合は、サービス・リクエストを登録してください。

用語集

アカウント

ターゲットでのアカウント。

ADF

Oracle Application Development Framework。Enterprise Javaプラットフォームを基盤とするエンドツーエンドの開発フレームワークであり、アプリケーションの様々なレイヤーに対して統合インフラストラクチャ・ソリューションが提供されるため、それらのレイヤーに基づいて簡単に開発を行うことができます。

アプリケーション構成者

Oracle Privileged Account Managerサーバーを構成および管理する権限を備えた管理ロール。

認証プロバイダ

認証ルールを管理および実施するセキュリティ・プロバイダ。

詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』の認証プロバイダの構成に関する項を参照してください。

BI Publisher

(Oracle Business Intelligence Publisher)各種データソースから書式設定されたレポートを作成して管理できるオラクル社のレポート作成製品。

ブートストラップ・ユーザー

Administratorsグループのメンバーであるデフォルト管理者(weblogicユーザー)。このユーザーは、ユーザーを作成してOracle Privileged Account Manager管理ロールに割り当てることができ、ドメイン・アイデンティティ・ストアからOracle Privileged Account Manager共通管理者ロールにユーザーをマップできます。

資格証明ストア・フレームワーク

「CSF」を参照してください。

CRUD

作成、読取り、更新および削除。永続記憶域またはデータベースの基本機能です。

CSF

資格証明ストア・フレームワーク。主に資格証明にセキュアな格納場所を提供するOPSSコンポーネントです。

DOMAIN_HOME

通常は次のような環境変数。

MIDDLEWARE_HOME/user_projects/domains/<domain_name>

権限受領者

特権アカウントに対するアクセス権を付与されたユーザー、グループまたはロール。

ICF

アイデンティティ・コネクタ・フレームワーク。すべてのOracle Identity ManagerおよびOracle Wavesetコネクタで必要とされる基本プロビジョニングやリコンシリエーションなどの機能を提供するコンポーネントです。

アイデンティティ・コネクタ・フレームワーク

「ICF」を参照してください。

アイデンティティ伝播

OPSSトラスト・サービス・アサーション・プロバイダがトークンを調査および検証した後、Oracle Privileged Account Managerサーバーに対してRESTfulコールを実行しているアイデンティティがトークンに含まれているものであることをアサートするプロセス。

JSON表現

JavaScript Object Notation。JavaScriptから取得され、ブラウザとサーバー間で情報を交換するために使用される判読可能な軽量のデータ形式です。

ldifmigratorツール

Oracle Internet Directoryデータ移行ツール。他のディレクトリまたはアプリケーション固有のリポジトリから出力されたLDIFファイルをOracle Internet Directoryで認識可能な形式に変換します。

lockboxターゲット

A Oracle Privileged Account Managerと相互作用しないターゲット・タイプ。ただし、それにもかかわらず、特権アカウントに関連付けられたパスワードをデプロイメントに格納するためのセキュアなメカニズムを提供します。

Oracle Business Intelligence Publisher

「BI Publisher」を参照してください。

Oracle Privileged Account Managerクライアント

無人接続でシステムにパスワードを提供するためにOracle Privileged Account Managerターゲットに存在するコンポーネント。

Oracle Privileged Account Managerターゲット

Oracle Privileged Account Managerによって管理される特権パスワードを持つコンポーネント。

OPSS

Oracle Platform Security Services。Java Standard Edition (Java SE)およびJava Enterprise Edition (Java EE)アプリケーションで使用できる、標準に基づいた移植可能なエンタープライズ・レベルの統合セキュリティ・フレームワーク。

Oracle Application Development Framework

「ADF」を参照してください。

Oracle Internet Directoryデータ移行ツール

「ldifmigratorツール」を参照してください。

Oracle Platform Security Services

「OPSS」を参照してください。

パスワード・ポリシー

関連する特権アカウントに対して特定のターゲットによって実施されるパスワード構成要件を取得します。管理者は、このポリシーを使用して、Oracle Privileged Account Managerが特権アカウントのパスワードをリセットするために使用するパスワード値を構成します。Oracle Privileged Account Managerによって管理されるすべての特権アカウントには、関連付けられたパスワード・ポリシーがあります。

特権アカウント

デプロイメント内で特権があるとみなされ、Oracle Privileged Account Managerの管理下にあるターゲット上のアカウント。アカウントは、通常、次の場合に特権アカウントになります。

- 昇格された権限に関連付けられている場合

- 複数のエンド・ユーザーによってタスク別に使用される場合

- その使用を制御および監査する必要がある場合

リポジトリ作成ユーティリティ

Oracleリポジトリ作成ユーティリティ。スキーマを作成して、リポジトリをデータベースにロードするために使用できるアプリケーション。

Representational State Transfer

「REST」を参照してください。

リソース

ターゲットおよびアカウントの表現。

REST

Representational State Transfer。World Wide Webのような分散ハイパーメディア・システムのためのソフトウェア・アーキテクチャ・スタイルです。REST制約に準拠することは、RESTfulとも呼ばれます。

SAML

Security Assertion Markup Language。OASIS Security Services Technical Committeeが提供するXMLベースのオープン標準製品であり、セキュリティ・ドメイン間で認証および認可データを交換できます。

Security Assertion Markup Language

「SAML」を参照してください。

サービス・アカウント

Oracle Privileged Account Manager関連のすべての操作(アカウントの検出やパスワードのリセットなど)をターゲット・システムで実行するため、Oracle Privileged Account Managerがそのターゲット・システムへの接続時に使用するアカウントであり、このサービス・アカウントにはいくつかの特別な権限とプロパティが必要です。サービス・アカウントは、無人アカウントと呼ばれることもあります。

shiphome

Oracle Privileged Account Managerをダウンロードして抽出したディレクトリ。

ターゲット

アカウント(ユーザー、システムまたはアプリケーション)を格納および使用し、それらに依存するソフトウェア・システム。

無人アカウント

「サービス・アカウント」を参照してください。

使用ポリシー

権限受領者が特権アカウントを使用できる時期と方法に関する制約を定義します。Oracle Privileged Account Managerによって管理される各特権アカウントには、関連付けられた使用ポリシーがあります。

索引

A  B  C  D  E  F  G  H  I  J  L  M  N  O  P  R  S  T  U  V  W

A

アクセス権, 2.3.1, C.1.10

アコーディオン

管理, 3.4.2

構成, 3.4.4, 4.3.2.1

ホーム, 3.4.1

レポート, 3.4.3

アカウント, 有人, 1.2.1 アカウント, 特権

アクセスの問題, C.1.3

アクセス権, 2.3.1, 2.3.2

追加, 5.1.3.2, 5.1.3.2, A.2.2, B.4.1

管理ロール, 2.3.1

ポリシーの割当て, 5.1.1.8.1

監査, 6.1

チェックイン, A.2.6

チェックアウト, A.2.7

チェックアウト/チェックイン, 2.4.2.1, 5.1.3.5, 5.1.3.6, B.4.12, B.4.13

デプロイメント・レポート, 3.4.3

説明, 1.1, 5.1.3.1

一覧表示, A.2.8

強制的なチェックイン, はじめに, 5.1.3.6

グループへの付与, 5.1.4.3, A.2.17

ユーザーへの付与, 5.1.4.2, A.2.18

管理, 5.1.3.1, 8.3.1

マッピング, 5.1.3.2, 5.1.3.2, 5.1.3.2.3

変更, A.2.20

開く, 5.1.3.4

削除, 5.1.3.8, A.2.25, B.4.6, B.4.7

アクセスの削除, A.2.26, A.2.30, B.4.9

パスワードのリセット, はじめに, 1.2, 5.1.1.4, 5.1.1.4, 5.1.3.6, 5.1.3.7.2

取得, A.2.33, B.3.8, B.4.3

検索, 3.4.5, 5.1.3.3, A.2.40, B.5.1

割当て済アカウントの検索, B.5.2

共有の保護, 2.4.2, 2.4.2.2

共有, 2.4.2.2, 5.1.3.2.1

共有, 2.4.2.1, 2.4.2.2, 5.1.3.1.3, 5.1.3.1.3, 5.1.3.2.1

チェックアウトの表示, 5.2.5, A.2.12, B.5.3

パスワードの表示, 5.1.3.7.1

ステータス, 3.4.5, 5.1.3.3

更新, B.4.5

検証, B.4.2

パスワードの表示, はじめに, 5.1.3.6

アカウント, サービス

構成, 5.1.2.2

説明, 用語集

パスワードのリセット, B.3.11

パスワードの表示, B.3.12

アカウント, 無人, 1.2.1, 5.1.2.2, 用語集 アクティブ化

パスワード・ポリシー, 5.1.1.6

使用ポリシー, 5.1.1.7

追加

CSFキーとマップ, B.4.10

CSFマッピング, 5.1.3.2.3

権限受領者, 5.1.3.2.2

アイデンティティ・プロバイダ, 8.2.2.3

新規コネクタ, 7.3

パスワード・ポリシー, 5.1.1.6, A.2.3

特権アカウント, 5.1.3.2, 5.1.3.2, A.2.2, B.4.1

ターゲット, 5.1.2.2, A.2.4, B.3.2, C.1.4

使用ポリシー, 5.1.1.6, A.2.5

ADF

認証, 2.2

定義および目的, 用語集

Oracle Privileged Account Managerコンソール, 1.2.3

管理ロール, 共通, 2.3.1, 2.3.1 管理アコーディオン, 3.4.2 管理者

OIMの構成, 8.1.2.2

デフォルト, 2.3.1

エージェント, Webゲート, 8.2 API, REST, B アプリケーション・アカウント

管理, 5.1.3.1

ターゲット, 5.1.2.1

アプリケーション構成者ロール

アクセス権, 2.3.1

割当て, 3.3.4

Application Development Framework, オラクル社

「ADF」を参照してください。

アプリケーション

複数に対するアクセスの構成, 8.2.2.4

デフォルトURL, 3.1

クライアントのデプロイ, 2.2.1

ロール, 2.3.1

資格証明の格納, 8.3.1

無人, 1.2.2

カスタムの記述, 1.2.3

アーキテクチャ

図, 1.2.3

Oracle Privileged Account Managerサーバー, 4.1

ポリシーの割当て, 5.1.1.8.1 有人アカウント, 1.2.1 属性, ターゲットの取得, B.3.1 監査ログ

ファイルのデフォルトの場所, 6.1.1

保存, 6.1.1

監査レポート

構成, 6.1.1.1, 6.1.1.1

デフォルト・レポート・タイプ, 6.1.2

デプロイ, 6.1.1.3

例, 6.1.2

監査スキーマ, 6.1.1.2 監査

CSFコンテンツ, 6.1.3

イベント・タイプ, 6.1

監査レポートの例, 6.1.2

ファイルベース, 6.1.1.1, 6.1.1.1

ロギング・レベル, 6.1.1.4

管理, 6

パスワード管理操作, 5.1.3.7

特権アカウント, 6.1

監査ログの保存, 6.1.1

共有アカウント, 2.4.2.2

認証

ADFベース, 2.2

フレームワーク, 2.1

JAASのサポート, 1.2.3, 2.1

モード, 2.2

Oracle Privileged Account Managerコマンドライン・ツール・クライアント, 2.2.2

Oracle Privileged Account Managerサーバー, 2.2.2

SAMLベースのトークン, 2.2

スキーマ, 8.2.2.1

ユーザー, 2.2.1

認可

共通管理者ロール, 2.3

エンド・ユーザー/エンタープライズ・ユーザー, 2.3.2

フレームワーク, 2.1

管理ロールへのユーザーのマッピング, 2.3.1, 2.3.1

WebLogicユーザーまたはブートストラップ・ユーザー, 2.3.1, 2.3.1

automation.log, 3.3.3.1

B

バックエンド・データベース, 強化, 2.4.6

基本的なロギング, 構成, 6.2

BI Publisher

監査レポート, 6.1.2

サーバーへの接続の構成, 6.1.1.3

監査レポートのデプロイ, 6.1.1.3

監査レポートの例, 6.1.2

機能, 1.2.1

ブートストラップ・ユーザー, 2.3.1, 用語集

C

カタログ, 8.1.2.2

証明書

CA, 取得, 8.1.2.5

SSL, インポート, C.1.5

SSL, 信頼, 7.1

チャネル, セキュアと非セキュア, 2.4.1.1 チェックアウト/チェックイン

チェックアウト日, 5.1.3.5

現在の予約, 5.1.3.5

有効期限日, 5.1.3.5

特権アカウント, 5.1.3.5, 5.1.3.6, A.2.6, A.2.7, B.4.12, B.4.13

共有アカウント, 2.4.2.2

トラブルシューティング, C.1.6

クライアント, サードパーティ, 1.2.3 コマンドライン・ツール

Oracle Privileged Account Managerサーバーの追加, 4.1

認証モード, 2.2, 2.2.2

コマンド構文, A.2.1

セキュリティ, 2.2.2, 2.4.1.2

コマンド

idmConfigTool, 3.3.3.1

SSL証明書のインポート, 7.1

OPAMコマンドライン, A2

WLST, 8.2.2.4

共通管理者ロール, 2.3.1, 2.3.1 「構成」アコーディオン, 3.4.4, 4.3.2.1 構成エントリ, A.2.15 構成ファイル

復号化, A.2.14

暗号化, A.2.13

構成

複数のアプリケーションに対するアクセス, 8.2.2.4

監査レポート, 6.1.1.1, 6.1.1.1

データ・ソース, 6.1.1.3

外部アイデンティティ・ストア, 3.3.2

アイデンティティ・ストア, 3.3.3.2

OIM管理者, 8.1.2.2

Oracle HTTP Server, 8.2.2.2

Oracle Internet Directory認証プロバイダ, 3.3.2

共有アカウント, 5.1.3.2.1

Oracle Privileged Account Managerサーバーへの接続, C.1.1 コネクタ

新規の追加, 7.3

バンドルの場所, 3.2.2

ターゲット・システムへの接続, 2.4.1.1

デプロイ, 3.2

説明, 3.2, 3.2

アイデンティティ・コネクタ・フレームワーク, 1.2.1

インストール, 3.2

LDAP, 8.1.1

opam-config.xmlファイル, 3.2.3, 7.3.1, 7.3.2

opam-config.xsdファイル, 3.2.3, 3.2.3, 7.3.2, 7.3.2

Oracle Privileged Account Managerに付属, 3.2.1

格納, 3.2.2

サポートされているデータベース・タイプ, 5.1.2.2.3

書込み, 3.2.1

コンソール

説明, 1.2.3

保護, 2.4.1.2

トラブルシューティングの問題, C.1.2

ユーザー認証, 2.2.1

作成

パスワード・ポリシー, 5.1.1.6, B.9.1

スキーマ, 6.1.1.2, 用語集

使用ポリシー, 5.1.1.7, B.8.1

アイデンティティ・ストアにおけるユーザー/グループ, 3.3.3.2

資格証明ストア・フレームワーク

「CSF」を参照してください。

資格証明

アプリケーションの管理8.3.4

Oracle Privileged Account Managerによるプロビジョニング, 8.3.2

サーバーの起動, 3.3.1

格納, 5.1.3.2.3, 8.3.1, 8.3.1

CSFの使用, 8.3.1

CSF

アカウント・マッピング, 5.1.3.2, 5.1.3.2, 5.1.3.2.3, 8.3.2

マップとキーの追加/削除, B.4.10

定義および目的, 用語集

監査の有効化, 6.1.3

統合, 8.3

「現在の予約」表, 5.1.3.5 カスタム・アプリケーション, 記述, 1.2.3 カスタム・コネクタ, 追加, 7.3.2 ページのカスタマイズ, 5.1.6

D

データ

エクスポート, A.2.13

インポート, A.2.19

データ暗号化, 使用, 2.4.6, 7.2 データソース

構成, 6.1.1.3

JDBCの定義, 6.1.1.3

データ・ストア, RDBMS, 2.4.6 データベース, バックエンドの強化, 2.4.6 暗号化された構成ファイルの復号化, A.2.14 デフォルト

管理者, 2.3.1

監査レポート・タイプ, 6.1.2

パスワード要件, 設定, 5.1.1.4

ポート, 3.1, A.1

URL, 3.1, 3.1

デフォルト・パスワード・ポリシー, 5.1.1.1, 5.1.3.2.1 デフォルト使用ポリシー, 5.1.1.1 定義

JDBC接続およびデータ・ソース, 6.1.1.3, 6.1.1.3

ポリシー, 2.1

ロール, 2.1

削除

権限受領者, 5.1.4.6

パスワード・ポリシー, B.9.4

ポリシー, 5.1.1.9

使用ポリシー, B.8.5

デプロイ

BI Publisherでの監査レポート, 6.1.1.3

クライアント・アプリケーション, 2.2.1

コネクタ, 3.2, 7.3.2

Oracle Fusion MiddlewareのOracle Privileged Account Manager, 1.3

デプロイメント・レポート, 5.1.5.1 問題の診断, C.2 診断ログ, 6.2 無効化

パスワード・ポリシー, 5.1.1.6

使用ポリシー, 5.1.1.7

表示

チェックアウトしたアカウント, A.2.12, B.5.3

グループの一覧表示, A.2.9

特権アカウントのリスト, A.2.8

ターゲットの一覧表示, A.2.10

ユーザーの一覧表示, A.2.11

ドメイン・アイデンティティ・ストア, Oracle Virtual Directoryの使用, 3.3.2 DOMAIN_HOME, 6.1.1, 用語集 期間, パスワード, 5.1.1.4

E

構成ファイルの暗号化, A.2.13

エンド・ユーザー

特権, 2.3.2, C.1.10

セルフサービスの手順, 5.2

エンタープライズ・ロール

リソース・カタログの移入, 8.1.1

権限

リソース・カタログの移入, 8.1.1

アクセスのリクエスト, 8.1.2.2

データのエクスポート, A.2.13 拡張, Oracle Internet Directoryにおけるスキーマ, 3.3.3.1 外部アイデンティティ・ストア, 構成, 3.3.2

F

エラー・レポート, 5.1.5.3

ファイルベース監査, 構成, 6.1.1.1, 6.1.1.1

ファイル

監査ログ, 6.1.1

コネクタ・バンドル, 3.2.2

mod_wl_ohs.confファイル, 8.2.2.2

opam_product_BIP11gReports_11_1_2_1_0.zip, 6.1.1.3

opam-config.xmlファイル, 3.2.3, 7.3.1, 7.3.2

opam-config.xsdファイル, 3.2.3, 3.2.3, 7.3.2, 7.3.2

リポジトリ作成ユーティリティのzipファイル, 6.1.1.2

緊急リクエスト, 8.1.2.2 強制的なチェックイン, はじめに, 5.1.3.6 フレームワーク

ADF, 用語集

認証と認可, 2

Oracle Privileged Account Manager, 2

G

監査レポートの生成, 6.1.1.1, 6.1.1.1

汎用ログ, デフォルトの場所, 6.2

権限受領者

権限が付与されたアカウントへの追加, 5.1.3.2.2

複数の権限付与のパスの回避, 2.4.4

アカウントの付与, 5.1.4.2, 5.1.4.3, A.2.17, B.4.8

開く, 5.1.4.5

削除, 5.1.4.6

取得, A.2.34, B.4.11

検索, 5.1.4.4

トラブルシューティング, C.1.10

グループ

アイデンティティ・ストアの作成, 3.3.3.2

一覧表示, A.2.9

アカウントの付与, 5.1.4.3

取得, B.7.1, B.7.2, B.7.3, B.7.4

情報の取得, A.2.35

検索, A.2.41, B.7.5

H

ホーム・アコーディオン, 3.4.1

HTTP Basic認可, 2.2, 2.2.2

I

ICF, 1.2.1, 用語集

IDストア, OPSS, 1.3

アイデンティティ・コネクタ・フレームワーク

「ICF」を参照してください。

アイデンティティの伝播, 2.2.1, 用語集 アイデンティティ・プロバイダ, 追加, 8.2.2.3 アイデンティティ・ストア

構成, 3.3.2, 3.3.3.2

ユーザー/グループの作成, 3.3.3.2

Oracle Internet Directory, 3.3.2, 8.2.1

Oracle Virtual Directory, 3.3.2

準備, 3.3.3

idmConfigToolコマンド, 3.3.3.1 インポート

データ, A.2.19

SSL証明書, 7.1

統合

CSR, 8.3

Oracle Access Management Access Manager, 8.2

Oracle Identity Manager, 8.1.1

Oracle Identity Managerワークフロー, 8.1.1

Oracleテクノロジ, 1.2.1

インタフェース

Oracle Privileged Account Manager, 1.2.3

保護, 2.4.1.2

J

JAAS認証のサポート, 1.2.3, 2.1

jarファイル, コネクタ, 3.2.2

JavaScript Object Notation

「JSON」を参照してください。

JDBC接続およびデータ・ソース, 6.1.1.3 JSON表記

説明, 用語集

Oracle Privileged Account Managerアーキテクチャ, 1.2.3

RESTful API, B

L

LDAPコネクタ, 8.1.1

LDAPグループ, 8.1.2.4

ldifmigrator, 用語集

監査スキーマのロード, 6.1.1.2

lockboxターゲット, 5.1.2.1, 5.1.2.2.4, 5.1.2.5.1, 5.1.2.5.2, A.2.32, A.2.46, 用語集

ロギング

監査ロガー, 6.1

監査ログの場所, 6.1.1

基本的な構成, 6.2

問題の診断, C.2.1

例外, C.2.2

汎用ロガー, 6.2

汎用ログの場所, 6.2

監査ロギング・レベルの設定, 6.1.1.4

ログイン・ページ, 再ブランド化, 5.1.6 ログ

デフォルトの場所, 6.2

診断, C.2.2

汎用, 6.2

idmConfigTool automation.log, 3.3.3.1

名前/場所の指定, A.2.13

M

管理

アカウント資格証明, 8.3.1

アプリケーション資格証明, 8.3.4

Oracle Privileged Account Manager監査ロギング, 6

パスワード, 1.2, 5.1.3.7

サーバー・プロパティ, A.2.15

パスワードの管理, 5.1.3.7.1 マップとキー, CSF, B.4.10 マッピング, CSF, 5.1.3.2, 5.1.3.2.3, 8.3.2 mod_wl_ohs.confファイル, 8.2.2.2 変更

デフォルト・パスワード・ポリシー, 5.1.1.4

デフォルト使用ポリシー, 5.1.1.5

OPAM Global Config構成エントリ, A.2.21

パスワード・ポリシー, A.2.22

ポリシー, 5.1.1.1

特権アカウント, A.2.20

ターゲット, A.2.23

使用ポリシー, A.2.24

複数の権限付与のパス, 回避, 2.4.4 My Oracle Support, C.3

N

ネットワーク・チャネル, 保護, 2.4.1

O

OPAM Global Config構成エントリ, 4.3.2, 7.2, A.2.21

OPAMサービス・アカウント, 1.2.1

opam_product_BIP11gReports_11_1_2_1_0.zipファイル, 6.1.1.3

opam-config.xmlファイル, 3.2.3, 7.3.1, 7.3.2

opam-config.xsdファイル, 3.2.3, 3.2.3, 7.3.2, 7.3.2

オープン

権限受領者, 5.1.4.5

ポリシー, 5.1.1.3

特権アカウント, 5.1.3.4

ターゲット, 5.1.2.4

OPSS

説明, 用語集

IDストア, 1.3

ポリシー・ストア, 1.2.1

認証の提供, 2.2.1

セキュリティ・ストア, 1.3

トラスト・サービス, 1.2.1

OPSSトラスト・サービス, 2.2.1, 用語集 OPSSトラスト・サービス・アサーション, 2.2 OPSSトラスト・トークン, 2.1 Oracle Access Management Access Manager

統合, 8.2

Oracle Application Development Framework

「ADF」を参照してください。

Oracle Database TDEモード

無効化

コマンドラインから, A.2.21

コンソールから, 4.3.2.1

REST APIの使用, B.2.1

有効

コマンドラインから, 7.2.1, A.2.21

コンソールから, 4.3.2.1

REST APIの使用, B.2.1

OPAMデータベースの保護, 7.2, 7.2 Oracle Fusion Middleware

Oracle Privileged Account Managerのデプロイ, 1.3

Oracle Fusion Middleware監査フレームワーク, 1.2.1 Oracle HTTP Server

構成, 8.2.2.2

シングル・サインオンでの使用, 8.2.2

Oracle Identity Manager

CA証明書, OPAM, 8.1.2.5

管理者の構成, 8.1.2.2

エンタープライズ・ロール, 8.1.1

権限, 8.1.1, 8.1.2.2

統合, 8.1.1, 8.1.1

リソース・カタログ, 8.1.1

ルール, 8.1.2.2

ワークフローのサポート, 8.1.1

Oracle Internet Directory

認証の構成, 3.3.2

データ移行ツール(ldifmigrator), 用語集

アイデンティティ・ストア, 3.3.2, 8.2.1

Oracle Platform Security Services

「OPSS」を参照してください。

Oracle Privileged Account Manager

アーキテクチャおよびトポロジ, 1.2.3

コマンド構文, A.2.1

デフォルト・コネクタ, 3.2.1

インタフェース, 1.2.3

管理対象サーバー, 起動, 3.3.1

保護, 2.4

Oracle Privileged Account Managerコンソール

概要, 1.2.3

Oracle Privileged Account Managerサーバーの追加, 4.1

ADF, 1.2.3

保護, 2.4.1.2

Oracle Privileged Account Managerサーバー

アーキテクチャ, 4.1

認証, 2.2.2

接続, C.1.1

Oracle Virtual Directory

アイデンティティ・ストア, 3.3.2

idmConfigToolの出力例, 3.3.3.1

ドメイン・アイデンティティ・ストアとしての使用, 3.3.2

OID以外のディレクトリの使用, 3.3.3.1

P

パケット・スニッフィング, 2.4.1.1

ページ, 再ブランド化, 5.1.6

パスワードの複雑性ルール, 5.1.1.4

パスワード・ポリシー

アクティブ化, 5.1.1.6

追加, A.2.3

アカウントへの割当て, 5.1.1.8.1

作成, 5.1.1.6, B.9.1

削除, B.9.4

説明および目的, 5.1.1.1

無効化, 5.1.1.6

変更, 5.1.1.1, 5.1.1.4, A.2.22

削除, A.2.27

パスワードのリセット, 5.1.1.4, 5.1.1.4, 5.1.3.7.2

取得, B.9.2

検索, 5.1.1.2

パスワード期間の指定, 5.1.1.4

更新, B.9.5

パスワード・ポリシー, デフォルト, 5.1.3.2.1 パスワード

要件の定義, 5.1.1.4

管理, 1.2, 5.1.3.7

特権, 1.2

伝播, 2.4.1

リセット, 2.4.3, 5.1.2.5.2, 5.1.3.7.2, A.2.31, A.2.32, A.2.32, B.3.11, B.4.4

自動リセット, 1.2, 5.1.1.4

手動リセット, 5.1.1.4, 5.1.3.7.2

サービス・アカウント, B.3.11, B.3.12

表示, 5.1.2.5.1, 5.1.3.7.1, A.2.44, A.2.46, A.2.46, B.3.12, B.4.15

履歴の表示, A.2.45, B.4.16

期間の指定, 5.1.1.4

格納, 1.2

ポリシー

追加, A.2.3, A.2.5

アカウントへの割当て, 5.1.1.8.1

作成, 5.1.1.6, 5.1.1.7, B.8.1, B.9.1

デフォルト, 5.1.3.2.1

定義, 2.1

削除, 5.1.1.9, B.8.5, B.9.4

説明および目的, 5.1.1.1

無効化, 5.1.1.6, 5.1.1.7

アクティブ化, 5.1.1.6, 5.1.1.7

変更, 5.1.1.4, 5.1.1.5

開く, 5.1.1.3

取得, A.2.36, A.2.38, B.8.2, B.9.2

検索, 5.1.1.2

検索, B.10.1

タイプ, 5.1.1.1

更新, B.8.4, B.9.5

検証, 5.1.1.8.1, 5.1.1.8.1

表示, 5.1.1.3

ポリシー・ストア, OPSS, 1.2.1 ポート

デフォルト, 3.1, A.1

SSL, 4.1, A.1

特権アカウント

アクセス権, 2.3.1, 2.3.2

追加, 5.1.3.2

管理ロール, 2.3.1

ポリシーの割当て, 5.1.1.8.1

監査, 6.1

チェックアウト/チェックイン, 5.1.3.5, 5.1.3.6

デプロイメント・レポート, 3.4.3

説明, 1.1, 5.1.3.1

一覧表示, A.2.8

グループへの付与, 5.1.4.3

ユーザーへの付与, 5.1.4.2

管理, 5.1.3.1

マッピング, 5.1.3.2, 5.1.3.2, 5.1.3.2.3

開く, 5.1.3.4

削除, A.2.25

ターゲットからの削除, 5.1.3.8

グループ・アクセスの削除, A.2.26

パスワードのリセット, 1.2, 5.1.1.4, 5.1.3.7.2

検索, 3.4.5, 5.1.3.3

検索, A.2.40

共有の保護, 2.4.2

共有, 2.4.2.1, 5.1.3.1.3, 5.1.3.1.3, 5.1.3.2.1

チェックアウトの表示, 5.2.5, A.2.12, B.5.3

パスワードの表示, 5.1.3.7.1

ステータス, 3.4.5, 5.1.3.3

アカウントの表示, 5.2.2

特権パスワード, 1.2 権限

管理者, 2.3.1

エンド・ユーザー, 2.3.2

パスワードの伝播, 2.4.1 伝播, アイデンティティ, 2.2.1 プロビジョニング

資格証明, 8.3.2

プロセスを示す図, 8.3.2

R

RDBMSデータ・ストア, 2.4.6

ページの再ブランド化, 5.1.6

登録済アカウント, 取得, B.3.9

削除

ターゲットからのアカウント, 5.1.3.8

CSFキーとマップ, B.4.10

権限受領者, 5.1.4.6, A.2.26, A.2.30

パスワード・ポリシー, A.2.27

特権アカウント, A.2.25, B.4.6, B.4.7

必要な管理ロール, 2.3.1

ターゲット, 5.1.2.6, A.2.28, B.3.6

使用ポリシー, A.2.29

レポート

BI Publisher, 6.1.2

監査レポートの例, 6.1.2

レポート

監査, 6.1.1.3

構成, 6.1.1.1, 6.1.1.1

デフォルト監査, 6.1.2

デプロイメント, 5.1.5.1

監査の例, 6.1.2

失敗, 5.1.5.3

使用, 5.1.5.2

表示, 5.1.5

レポート・アコーディオン, 3.4.3 リポジトリ作成ユーティリティ, 6.1.1.2, 用語集 Representational State Transferサービス

「REST (Restful)」を参照してください。

予約, 現在, 5.1.3.5 パスワードのリセット, 1.2, 2.4.3, 5.1.1.4, 5.1.3.7.2, 5.1.3.7.2, A.2.31, A.2.32, B.3.11, B.4.4 リソース・カタログ, 8.1.1 REST (RESTful)

定義および目的, 用語集

インタフェース, B

サービス, 1.2.3

取得

使用可能なアカウント, B.3.8

権限受領者, A.2.34, B.4.11

グループの情報, A.2.35

グループ, B.7.1, B.7.2, B.7.3, B.7.4

パスワード・ポリシー, B.9.2

ポリシー, A.2.36, A.2.38

特権アカウント, A.2.33, B.4.3

登録済アカウント, B.3.9

ターゲットのタイプ, B.3.10

ターゲット, A.2.37, B.3.4

使用ポリシー, B.8.2

ユーザー, A.2.39, B.4.14, B.6.1, B.6.2

ターゲット属性の取得, B.3.1 ロール

管理, 2.3.1

アプリケーション, 2.3.1

アプリケーション構成者, 2.3.1

定義, 2.1

エンタープライズ, 8.1.2.4

セキュリティ管理者, 2.3.1

ユーザー・マネージャ, 2.3.1

ルール, OIMの構成, 8.1.2.2

S

SAML, 定義および目的, 用語集

SAMLベースのトークンの認証, 2.2, 4.1

監査ログの保存, 6.1.1

スキーマ

認証, 8.2.2.1

作成, 6.1.1.2, 用語集

Oracle Internet Directoryにおける拡張, 3.3.3.1

opam-config.xml, 3.2.3

ロード, 6.1.1.2

検証, 7.3.2

検索結果表, 使用, 3.4.6 検索

割当て済アカウント, B.5.2

権限受領者, 5.1.4.4

グループ, A.2.41, B.7.5

ポリシー, 5.1.1.2, B.10.1

特権アカウント, 3.4.5, 5.1.3.3, A.2.40, B.5.1

ターゲット, 5.1.2.3, A.2.42, B.3.7

ユーザー, A.2.43, B.6.3, B.6.4

保護

コマンドライン・ツール, 2.2.2, 2.4.1.2

コンソール, 2.4.1.2

ネットワーク・チャネル, 2.4.1

Oracle Privileged Account Manager, 2.4

共有アカウント, 2.4.2, 2.4.2.3

セキュリティ管理者ロール, 2.3.1 セキュリティ・ストア, OPSS, 1.3 ユーザー/グループのシード, 3.3.3.2 セルフサービス, 5.2.1 サーバー

BI Publisher, 6.1.1.3

Oracle Privileged Account Managerサーバーへの接続, C.1.1

プロパティの管理, A.2.15

Oracle Privileged Account Managerのアーキテクチャ図, 4.1

起動, 3.3.1

ステータス, A.2.16

サービス・アカウント

構成, 5.1.2.2

説明, 1.2.1, 用語集

パスワードのリセット, 5.1.2.5.2, A.2.32, B.3.11

パスワードの表示, 5.1.2.5.1, A.2.46, B.3.12

共有アカウント

監査, 2.4.2.2

構成, 5.1.3.2.1

説明, 2.4.2, 5.1.3.1.3

制限, 5.1.3.1.3

保護, 2.4.2.2

セキュリティの制限, 2.4.2.2

パスワード履歴の表示, A.2.45, B.4.16 パスワードの表示, 5.1.3.7.1, A.2.44, A.2.46, B.3.12, B.4.15 SSL

通信, 1.2.3, 2.2.2

デフォルト・ポート, 4.1, A.1

証明書のインポート, 7.1

エンドポイントの指定, 4.1, A.1

ポートの指定, 4.3.1

使用, 2.2, 2.4.6, 4.1, A.1

SSO

有効化、8.2.2

開始

Oracle Privileged Account Managerの管理対象サーバー, 3.3.1

WebLogic管理サーバー, 3.3.1

ステータス

OPAMインスタンス, A.2.16

特権アカウント, 3.4.5, 5.1.3.3

格納

コネクタ, 3.2.2

資格証明, 5.1.3.2.3, 8.3.1

CSFマッピング, 8.3.2

パスワード, 1.2

サポート, My Oracle, C.3 システム・アカウント

管理, 5.1.3.1

ターゲット, 5.1.2.1

システム, ターゲットへの接続, 2.4.1.1

T

ターゲットGUID

アカウントの追加, A.2.2

ターゲットの変更, A.2.23

ターゲットの削除, A.2.28

ターゲットの取得, A.2.37

ターゲット・サービス・アカウント, 5.1.2.5.1, 5.1.2.5.2, A.2.32, A.2.46 ターゲット・タイプ

lockbox, 5.1.2.1, 5.1.2.2.4, 5.1.2.5.1, 5.1.2.5.2, A.2.32, A.2.46, 用語集

取得, B.3.10

ターゲット

追加, 5.1.2.2, A.2.4, B.3.2

接続, 2.4.1.1, C.1.3

一覧表示, A.2.10

lockbox, 5.1.2.1, 5.1.2.2.4, 5.1.2.5.1, 5.1.2.5.2, A.2.32, A.2.46, 用語集

変更, A.2.23

開く, 5.1.2.4

削除, 5.1.2.6, A.2.28, B.3.6

アカウントの削除, 5.1.3.8

取得, A.2.37, B.3.4

検索, 5.1.2.3, A.2.42, B.3.7

更新, B.3.5

検証, B.3.3

TDEモード

無効化

コマンドラインから, A.2.21

コンソールから, 4.3.2.1

REST APIの使用, B.2.1

有効化、4.3.2.1

コマンドラインから, 7.2.1, A.2.21

コンソールから, 4.3.2.1

REST APIの使用, B.2.1

OPAMデータベースの保護, 2.4.6, 7.2 サードパーティ・クライアント, 1.2.3 トークン, OPSSトラスト, 2.1 トポロジおよびアーキテクチャの図, 1.2.3 透過的データ暗号化モード

「TDEモード」を参照

一般的な問題のトラブルシューティング, C トラスト・サービス, OPSS, 1.2.1

U

無人

アカウント, 1.2.1

アプリケーション, 1.2.2

保護されていないチャネル, 2.4.1.1 非共有アカウント, 2.4.2 更新

アカウント, B.4.5

パスワード・ポリシー, B.9.5

ターゲット, B.3.5

使用ポリシー, B.8.4

URI, B URL, デフォルト・アプリケーション, 3.1 使用ポリシー

アクティブ化, 5.1.1.7

追加, A.2.5

アカウントへの割当て, 5.1.1.8.1

作成, 5.1.1.7, B.8.1

削除, B.8.5

説明および目的, 5.1.1.1

無効化, 5.1.1.7

変更, 5.1.1.1, 5.1.1.5, A.2.24

削除, A.2.29

取得, B.8.2

検索, 5.1.1.2

更新, B.8.4

使用状況レポート, 5.1.5.2 ユーザー認証, 2.2.1 ユーザー・マネージャ・ロール, 2.3.1 ユーザー

ブートストラップ, 2.3.1, 用語集

アイデンティティ・ストアの作成, 3.3.3.2

一覧表示, A.2.11

アカウントの付与, 5.1.4.2, B.4.8

アクセスの削除, A.2.30, B.4.9

取得, A.2.39, B.4.14, B.6.1, B.6.2

検索, A.2.43, B.6.3, B.6.4

セルフサービス, 5.2.1

アカウントの共有, 2.4.2.1, 5.1.1.5

ユーティリティ, リポジトリ作成ユーティリティ, 6.1.1.2

V

opam-config.xmlの検証, 7.3.2

確認

OID構成, 3.3.2

ポリシー, 5.1.1.8.1, 5.1.1.8.1

特権アカウント, B.4.2

ターゲット, B.3.3

表示

アカウント, 3.4.1

ポリシー, 5.1.1.3

特権アカウントのパスワード, はじめに

レポート, 5.1.5

アカウント, 5.2.2

パスワードの表示, 5.1.3.7.1

W

Webゲート・エージェント, 8.2

WebLogic,

SSLポート, 4.1, A.1

管理サーバーの起動, 3.3.1

WebLogicユーザー, 2.3.1 WLSTコマンド, 8.2.2.4 ワークフロー

管理者, 5.1

Oracle Identity Managerとの統合, 8.1.1

Oracle Identity Managerのサポート, 8.1.1

セルフサービス, 5.2.1

Copyright © 2012, 2013, Oracle and/or its affiliates. All rights reserved.